(57)【要約】【課題】閲覧文書をセキュリティーを保ったまま閲覧させる画像形成装置を提供する。【解決手段】  画像形成装置１は、端末２による閲覧用ファイルの閲覧の制御を行う。暗号化部１１０は、閲覧用ファイル３１０と、閲覧用ファイル３１０の閲覧条件を示す閲覧条件情報４１０とを閲覧用公開鍵１９１で暗号化する。閲覧制限ファイル取得部１２０は、閲覧制限ファイル３２０を取得する。閲覧制限ファイル３２０は、閲覧用ファイル３１０が閲覧条件を満たさなくなった際に、端末２で閲覧用公開鍵１９１とは別の閲覧制限用公開鍵２９２で再暗号化されたものである。閲覧制限ファイル復号化部１３０は、取得された閲覧制限ファイル３２０を、閲覧制限用公開鍵２９２に対応する閲覧制限用秘密鍵１９２で復号化する。閲覧条件再設定部１４０は、復号化された閲覧制限ファイル３２０に対応した閲覧条件情報４２０を再設定する。【選択図】図１
2015106279.tif 000002
【特許請求の範囲】
【請求項１】
端末による閲覧用ファイルの閲覧の制御を行う画像形成装置において、
前記閲覧用ファイルと、前記閲覧用ファイルの閲覧条件を示す閲覧条件情報とを閲覧用公開鍵で暗号化する暗号化手段と、
該暗号化手段により暗号化された前記閲覧用ファイルが前記閲覧条件情報に含まれる閲覧条件を満たさなくなったため前記端末により前記閲覧用公開鍵とは別の閲覧制限用公開鍵で再暗号化された閲覧制限ファイルを取得する閲覧制限ファイル取得手段と、
該閲覧制限ファイル取得手段により取得された前記閲覧制限ファイルを、前記閲覧制限用公開鍵に対応する閲覧制限用秘密鍵で復号化する閲覧制限ファイル復号化手段と、
該閲覧制限ファイル復号化手段により復号化された前記閲覧制限ファイルに対応した前記閲覧条件情報を再設定する閲覧条件再設定手段とを備える
ことを特徴とする画像形成装置。
【請求項２】
前記閲覧条件情報は、
前記閲覧用ファイルが再暗号化された前記閲覧制限ファイルの前記閲覧制限ファイル復号化手段による復号化が許可される位置を指定する閲覧制限解除可能位置情報を含み、
前記閲覧制限ファイル復号化手段は、前記端末の位置情報が前記閲覧制限解除可能位置情報の位置であった場合に、前記閲覧制限ファイルを復号化する
ことを特徴とする請求項１に記載の画像形成装置。
【請求項３】
画像形成装置にて暗号化された閲覧用ファイルを閲覧するための端末において、
前記閲覧用ファイルの閲覧条件を示す閲覧条件情報を、前記閲覧用ファイルが暗号化された閲覧用公開鍵に対応する閲覧用秘密鍵で復号化する復号化手段と、
該復号化手段により復号化された前記閲覧条件情報の閲覧条件を満たす場合には、前記閲覧用秘密鍵で前記閲覧用ファイルを復号化し、前記閲覧条件を満たさなくなった場合には、前記閲覧用公開鍵とは別の閲覧制限用公開鍵で前記閲覧用ファイルを再暗号化した閲覧制限ファイルに変換する閲覧制限手段とを備える
ことを特徴とする端末。
【請求項４】
前記閲覧条件情報は、
前記閲覧用ファイルが再暗号化された前記閲覧制限ファイルの復号化が許可される位置を指定する閲覧制限解除可能位置情報を含み、
現在位置が前記閲覧制限解除可能位置情報の位置であった場合に、前記現在位置の位置情報と前記閲覧制限ファイルとを前記画像形成装置へ送信し、前記閲覧条件情報の再設定を要求する閲覧制限解除要求手段とを備える
ことを特徴とする請求項３に記載の端末。
【請求項５】
請求項１に記載の画像形成装置並びに請求項３に記載の端末を備え、又は、
請求項２に記載の画像形成装置並びに請求項４に記載の端末を備える
ことを特徴とするファイル閲覧制御システム。
【請求項６】
端末による閲覧用ファイルの閲覧の制御を行う画像形成装置による画像形成方法において、
前記閲覧用ファイルと、前記閲覧用ファイルの閲覧条件を示す閲覧条件情報とを閲覧用公開鍵で暗号化し、
暗号化された前記閲覧用ファイルが前記閲覧条件情報に含まれる閲覧条件を満たさなくなったため前記端末により前記閲覧用公開鍵とは別の閲覧制限用公開鍵で再暗号化された閲覧制限ファイルを取得し、
取得された前記閲覧制限ファイルを、前記閲覧制限用公開鍵に対応する閲覧制限用秘密鍵で復号化し、
復号化された前記閲覧制限ファイルに対応した前記閲覧条件情報を再設定する
ことを特徴とする画像形成方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、画像形成装置、端末、ファイル閲覧制御システム、及び画像形成方法に係り、特に暗号化したファイルの閲覧をさせるための画像形成装置、端末、ファイル閲覧制御システム、及び画像形成方法に関する。
【背景技術】
【０００２】
従来から、文書や画像を印刷可能な複合機（Multifunctional Peripheral, MFP）等の画像形成装置が存在する。
また、近年、画像形成装置を使用して、デジタル化されてファイルとして蓄積された文書等に対するアクセス制御を行うファイル閲覧制御システムの技術も存在する。このようなファイル閲覧制御システムでは、専用の閲覧端末により、暗号化等されたファイルを閲覧させることができる。
このようなファイル閲覧制御システムは、不特定多数のユーザーの閲覧に配慮しつつ、ファイルの紛失や盗難、複製などがあったとしてもその閲覧を不可能にすることで、情報の安全性（セキュリティー）を高めることができる。
【０００３】
ここで、特許文献１を参照すると、位置情報をキーとして閲覧用ファイルを暗号化し、端末の応答に含まれる当該端末の現在位置が、当該閲覧用ファイルに含まれる位置情報と一致する情報が得られなければ、閲覧用ファイルの閲覧を不可能とすることを特徴とするアクセス制御システムが開示されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００７−４２４３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、特許文献１の技術は、ＧＰＳから取得された位置情報を復号化の秘密鍵としているため、総当たり（ブルートフォース）攻撃等で位置情報が解析されてしまうと、ファイルの復号化が可能となってしまうというセキュリティー上の問題があった。
【０００６】
本発明は、このような状況に鑑みてなされたものであって、上述の問題点を解消する画像形成装置を提供することを課題とする。
【課題を解決するための手段】
【０００７】
本発明の画像形成装置は、端末による閲覧用ファイルの閲覧の制御を行う画像形成装置において、前記閲覧用ファイルと、前記閲覧用ファイルの閲覧条件を示す閲覧条件情報とを閲覧用公開鍵で暗号化する暗号化手段と、該暗号化手段により暗号化された前記閲覧用ファイルが前記閲覧条件情報に含まれる閲覧条件を満たさなくなったため前記端末により前記閲覧用公開鍵とは別の閲覧制限用公開鍵で再暗号化された閲覧制限ファイルを取得する閲覧制限ファイル取得手段と、該閲覧制限ファイル取得手段により取得された前記閲覧制限ファイルを、前記閲覧制限用公開鍵に対応する閲覧制限用秘密鍵で復号化する閲覧制限ファイル復号化手段と、該閲覧制限ファイル復号化手段により復号化された前記閲覧制限ファイルに対応した前記閲覧条件情報を再設定する閲覧条件再設定手段とを備えることを特徴とする。
本発明の画像形成装置は、前記閲覧条件情報は、前記閲覧用ファイルが再暗号化された前記閲覧制限ファイルの前記閲覧制限ファイル復号化手段による復号化が許可される位置を指定する閲覧制限解除可能位置情報を含み、前記閲覧制限ファイル復号化手段は、前記端末の位置情報が前記閲覧制限解除可能位置情報の位置であった場合に、前記閲覧制限ファイルを復号化することを特徴とする。
本発明の端末は、画像形成装置にて暗号化された閲覧用ファイルを閲覧するための端末において、前記閲覧用ファイルの閲覧条件を示す閲覧条件情報を、前記閲覧用ファイルが暗号化された閲覧用公開鍵に対応する閲覧用秘密鍵で復号化する復号化手段と、該復号化手段により復号化された前記閲覧条件情報の閲覧条件を満たす場合には、前記閲覧用秘密鍵で前記閲覧用ファイルを復号化し、前記閲覧条件を満たさなくなった場合には、前記閲覧用公開鍵とは別の閲覧制限用公開鍵で前記閲覧用ファイルを再暗号化した閲覧制限ファイルに変換する閲覧制限手段とを備えることを特徴とする。
本発明の端末は、前記閲覧条件情報は、前記閲覧用ファイルが再暗号化された前記閲覧制限ファイルの復号化が許可される位置を指定する閲覧制限解除可能位置情報を含み、現在位置が前記閲覧制限解除可能位置情報の位置であった場合に、前記現在位置の位置情報と前記閲覧制限ファイルとを前記画像形成装置へ送信し、前記閲覧条件情報の再設定を要求する閲覧制限解除要求手段とを備えることを特徴とする。
本発明のファイル閲覧制御システムは、前記画像形成装置及び前記端末を備えることを特徴とする。
本発明の画像形成方法は、端末による閲覧用ファイルの閲覧の制御を行う画像形成装置による画像形成方法において、前記閲覧用ファイルと、前記閲覧用ファイルの閲覧条件を示す閲覧条件情報とを閲覧用公開鍵で暗号化し、暗号化された前記閲覧用ファイルが前記閲覧条件情報に含まれる閲覧条件を満たさなくなったため前記端末により前記閲覧用公開鍵とは別の閲覧制限用公開鍵で再暗号化された閲覧制限ファイルを取得し、取得された前記閲覧制限ファイルを、前記閲覧制限用公開鍵に対応する閲覧制限用秘密鍵で復号化し、復号化された前記閲覧制限ファイルに対応した前記閲覧条件情報を再設定することを特徴とする。
【発明の効果】
【０００８】
本発明によれば、一旦、閲覧位置等の閲覧条件を満たさなくなった閲覧用ファイルは、端末の公開鍵で再暗号化され、これを取得した画像形成装置がもつ秘密鍵で復号化して閲覧条件を再設定することで、セキュリティーを向上させた画像形成装置を提供することができる。
【図面の簡単な説明】
【０００９】
【図１】本発明の画像形成装置システムの実施の形態に係るシステム構成図である。
【図２】図１に示す閲覧条件情報の詳細を示す図である。
【図３】本発明の実施の形態に係る閲覧用ファイル作成処理のフローチャートである。
【図４】本発明の実施の形態に係る閲覧制御処理のフローチャートである。
【図５】図４に示す閲覧用ファイル表示処理の画面例である。
【図６】図４に示す閲覧制限ファイル変換処理の画面例である。
【図７】本発明の実施の形態に係る閲覧制限解除処理の概念図である。
【図８】図７に示す閲覧制限解除要求取得処理の画面例である。
【図９】図１に示す画像形成装置の全体の構成を示すブロック図である。
【図１０】図１に示す画像形成装置の概略図である。
【発明を実施するための形態】
【００１０】
＜実施の形態＞
〔画像形成装置システムＸの全体の構成〕
図９を参照して、本発明の実施の形態に係る画像形成装置システムＸ（ファイル閲覧制御システム）の全体の構成について説明する。
画像形成装置１は、閲覧を制御する文書を作成するためのＭＦＰ等の画像形成装置である。
端末２は、タブレット端末、ＰＣ／ＡＴ互換機等のＰＣ、スマートフォン、携帯電話等の文書を閲覧するための端末である。
画像形成装置１及び端末２は、ＬＡＮ、無線ＬＡＮ、ＷＡＮ、携帯電話網等のネットワーク５に接続されている。
【００１１】
（画像形成装置１の全体の構成）
画像形成装置１は、画像処理部１１、原稿読取部１２、原稿給送部１３、搬送部（給紙ローラー４２ｂ、搬送ローラー対４４、排出ローラー対４５）、ネットワーク送受信部１５、操作パネル部１６、画像形成部１７（画像形成手段）、タイムサーバー部１８（時刻確認手段）、及び記憶部１９等が、制御部１０に接続されている。各部は、制御部１０によって動作制御される。
【００１２】
制御部１０は、ＧＰＰ（General Purpose Processor）、ＣＰＵ（Central Processing Unit、中央処理装置）、ＭＰＵ（Micro Processing Unit）、ＤＳＰ（Digital Signal Processor）、ＧＰＵ（Graphics Processing Unit）、ＡＳＩＣ（Application Specific Processor、特定用途向けプロセッサー）等の情報処理手段である。
制御部１０は、記憶部１９のＲＯＭやＨＤＤに記憶されている制御プログラムを読み出して、この制御プログラムをＲＡＭに展開させて実行することで、後述する機能ブロックの各手段として動作させられる。また、制御部１０は、外部の端末２や図示しない他の端末やサーバー、操作パネル部１６や端末２から入力された所定の指示情報に応じて、装置全体の制御を行う。
【００１３】
画像処理部１１は、ＤＳＰ（Digital Signal Processor）やＧＰＵ（Graphics Processing Unit）等の制御演算手段である。画像処理部１１は、画像データに対して所定の画像処理を行う手段であり、例えば、拡大縮小、濃度調整、階調調整、画像改善等の各種画像処理を行う。
画像処理部１１は、原稿読取部１２で読み取られた画像を、記憶部１９に印刷データとして記憶する。この際、画像処理部１１は、印刷データをＰＤＦやＴＩＦＦ等のフォーマットのファイル単位に変換することも可能である。
【００１４】
原稿読取部１２は、セットされた原稿を読み取る（スキャン）手段である。
原稿給送部１３は、原稿読取部１２で読み取られる原稿を搬送する手段である。
画像形成部１７は、ユーザーの出力指示により、記憶部１９に記憶され、原稿読取部１２で読み取られ、又は外部の端末から取得されたデータから記録紙への画像形成を行わせる手段である。
搬送部は、給紙カセット４２ａ（図１０）から記録紙を搬送し、画像形成部１７で画像形成させ、その後にスタックトレイ５０へ搬送する。
なお、原稿読取部１２、原稿給送部１３、搬送部、画像形成部１７の動作については後述する。
【００１５】
ネットワーク送受信部１５は、ＬＡＮ、無線ＬＡＮ、ＷＡＮ、携帯電話網等の外部のネットワーク５に接続するためのＬＡＮボードや無線送受信機等を含むネットワーク接続手段である。
ネットワーク送受信部１５は、データ通信用の回線ではデータを送受信し、音声電話回線では音声信号を送受信する。
ネットワーク送受信部１５は、端末２との間で、ネットワーク５を介して各種情報を送受信する。
【００１６】
操作パネル部１６は、ＬＣＤ等の表示部と、テンキー、スタート、キャンセル、複写やＦＡＸ送信やスキャナー等の動作モードの切り換えのボタンと、選択された文書の印刷や送信や保存や記録等に関するジョブの実行に係る指示を行うためのボタンやタッチパネル等の入力部とを備えている。
操作パネル部１６は、ユーザーによる画像形成装置１の各種ジョブの指示を取得する。また、操作パネル部１６から取得したユーザーの指示により、各ユーザーの情報を入力、変更することも可能である。
【００１７】
タイムサーバー部１８は、高精度のクロック、ＧＰＳ（Global Positioning System）受信機とアンテナ等を備える時間計測手段である。
タイムサーバー部１８は、誤差の少ない実時間の時刻情報を取得することができる。また、タイムサーバー部１８がＧＰＳ受信機を備えている場合は、画像形成装置１の位置情報も取得することが可能である。
【００１８】
記録媒体接続部３０は、記録媒体３と接続されるリーダー／ライター等である。記録媒体接続部３０は、無線や光学的な接続により記録媒体３や各種機器と接続されても、端子が直接接触し有線で接続されてもよい。記録媒体接続部３０は、無線で接続される場合は、ＲＦ、ＮＦＣ、Ｂｌｕｅｔｏｏｔｈ（登録商標）等のアンテナ及び復調器を含む送受信部や、ＩｒＤＡの赤外線送受信部等を備える。記録媒体接続部３０は、有線で接続される場合は、記録媒体３の読み書きに対応した端子やコネクタ等を備える。
さらに、記録媒体接続部３０は、記録媒体３とのアクセスを制御するＵＳＢホスト部や、他の端末との通信を制御するＮ／Ｗインターフェイス部、ＵＳＢインターフェイス部等を含んで構成されている。
記録媒体接続部３０に接続された記録媒体３は、記憶部１９（図９）と同様に記憶手段として機能する。
【００１９】
記録媒体３は、ＵＳＢメモリー、ＳＤカード／ｘＤ／メモリースティック等の各種フラッシュメモリー、ＲＦＩＤ（Radio Frequency IDentification）カード、スマートフォン、タブレット、ＰＤＡ、ＵＳＢ接続のＨＤＤ、デジタルカメラやビデオカメラ等の記録媒体を内蔵した各種機器等である。
記録媒体３は、後述する文書データ３００（図１）、閲覧用ファイル３１０、閲覧用公開鍵１９１、閲覧用秘密鍵２９１、ビューアー２９３、閲覧用ファイル３１０、閲覧制限ファイル３２０等を記憶し、画像形成装置１から端末２へのデータの移動等に用いることも可能である。
【００２０】
記憶部１９は、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）等の半導体メモリーやＨＤＤ（Hard Disk Drive）等の記録媒体を用いた記憶手段である。
記憶部１９のＲＡＭは、省電力状態であっても、セルフリフレッシュ等の機能により、記憶内容が保持される。
記憶部１９のＲＯＭやＨＤＤには画像形成装置１の動作制御を行うための制御プログラムが記憶されている。これに加えて、記憶部１９は、ユーザーのアカウント設定も記憶している。また、記憶部１９には、ユーザー毎の保存フォルダーの領域が含まれていてもよい。
【００２１】
なお、画像形成装置１において、制御部１０及び画像処理部１１は、ＧＰＵ内蔵ＣＰＵ等やチップ・オン・モジュールパッケージのように、一体的に形成されていてもよい。
また、制御部１０及び画像処理部１１は、ＲＡＭやＲＯＭやフラッシュメモリー等を内蔵していてもよい。
また、画像形成装置１は、ファクシミリの送受信を行うＦＡＸ送受信部を備えていてもよい。
【００２２】
（端末２の全体の構成）
端末２は、制御部２０、Ｉ／Ｏ部２１、入力部２２、表示部２３、ＧＰＳ受信部２４（位置情報取得手段）、ネットワーク送受信部２５、記憶部２９（位置情報記憶手段）を備えている。各部は、制御部２０によって動作制御される。
【００２３】
制御部２０は、ＣＰＵ（Central Processing Unit、中央処理装置）、ＭＰＵ（Micro Processing Unit）、ＤＳＰ（Digital Signal Processor）、ＧＰＵ（Graphics Processing Unit）、ＡＳＩＣ（Application Specific Processor、特定用途向けプロセッサー）等である演算・制御能力を備えた制御手段である。制御部２０は、記憶部２９に記憶された各プログラムを、ハードウェア資源を用いて実行する。
制御部２０の詳細構成については後述する。
【００２４】
Ｉ／Ｏ部２１は、各種周辺機器（ペリフェラル）に接続するための、ＤＶＩ、アナログＲＧＢ、ＨＤＭＩ（登録商標）、ＵＳＢ、ＩＥＥＥ１３９４、シリアル、パラレル、赤外線、無線等のインターフェイスを提供する構成部位である。Ｉ／Ｏ部２１は、入力部２２及び表示部２３と接続される。
また、Ｉ／Ｏ部２１は、画像形成装置１の記録媒体接続部３０と同様に、記録媒体３を接続し、データの読み出し、書き込みをすることが可能である。
【００２５】
入力部２２は、各種設定やユーザー認証等の情報を入力するためのキーボードやマウスやタッチパネルやタッチパッド等の入力部位である。
【００２６】
表示部２３は、ＬＣＤディスプレイや有機ＥＬディスプレイ等の表示部位である。表示部２３は、アプリの描画やセキュリティー設定のための画面表示等が可能である。
【００２７】
ＧＰＳ受信部２４は、ＧＰＳの受信機とアンテナ、ジャイロセンサー等を含んでいる。ＧＰＳ受信部２４は、各種ＧＰＳの信号に加え、ＧＰＳリピータ等の信号を取得してもよい。また、ＧＰＳ受信部２４は、携帯網等の電波により位置に関する信号を取得することも可能である。
ＧＰＳ受信部２４は、これらの受信した信号とネットワーク上のアドレス等により、端末２の現在位置を算出することが可能である。
【００２８】
ネットワーク送受信部２５は、ネットワーク５に接続するための、例えば１０００ＢＡＳＥ−Ｔ／１００ＢＡＳＥ−ＴＸ等の規格のＬＡＮインターフェイスや無線ＬＡＮインターフェイスや携帯電波送受信デバイス等である。端末２は、ネットワーク送受信部２５を介して、文書データ３００（図１）、閲覧用ファイル３１０、ログイン時のユーザーＩＤやパスワード等を送受信可能である。
なお、ネットワーク送受信部２５は、外部のハブやルータ等に接続され、ネットワーク５に接続されていてもよい。
【００２９】
記憶部２９は、ＲＡＭ（Random Access Memory）、ＳＳＤ（Solid State Drive）等のフラッシュメモリーディスク、ＨＤＤ（Hard Disk Drive）、磁気テープ装置、光ディスク装置等の記憶手段である。記憶部２９は、端末２を文書の閲覧用の端末として機能させるための各種プログラムと閲覧用の文書データを記憶している。これらのプログラムやデータの詳細については後述する。
また、記憶部２９は、ＧＵＩ（Graphical User Interface）を備えたＯＳ（Operating System）、ワードプロセッサー、表計算ソフトウェア、描画ソフトウェア、WWWブラウザー、電子メーラ等のアプリケーション・ソフトウェア（以下「アプリ」という。）、及びその他のプログラムやデータ等も記憶している。これらのプログラムやデータは、制御部２０が読み出して実行したり、書き込んだりすることが可能である。つまり、記憶部２９は、制御部２０にて作成された印刷データを一旦、記憶することも可能である。端末２はこの印刷データを文書データ３００として画像形成装置１に送信することも可能である。この際に、端末２では、図示しない管理プログラムを用いて、管理者の権限があるユーザーが閲覧制御を行う文書データ３００を送信する。
【００３０】
〔画像形成装置１の動作〕
図１０を参照して、本実施形態に係る画像形成装置１の動作について説明する。
原稿読取部１２は、本体部１４の上部に配設され、原稿給送部１３は、原稿読取部１２の上部に配設されている。スタックトレイ５０は、本体部１４に形成された記録紙の排出口４１側に配設され、また、操作パネル部１６は、画像形成装置１のフロント側に配設されている。
【００３１】
原稿読取部１２は、スキャナー１２ａと、プラテンガラス１２ｂと、原稿読取スリット１２ｃとを備えている。スキャナー１２ａは、露光ランプ、及びＣＣＤ(Charge Coupled Device)やＣＭＯＳ（Complementary Metal Oxide Semiconductor）撮像センサー等から構成され、原稿給送部１３による原稿の搬送方向に移動可能に構成されている。
プラテンガラス１２ｂは、ガラス等の透明部材により構成された原稿台である。原稿読取スリット１２ｃは、原稿給送部１３による原稿の搬送方向と直交方向に形成されたスリットを有する。
【００３２】
プラテンガラス１２ｂに載置された原稿を読み取る場合には、スキャナー１２ａは、プラテンガラス１２ｂに対向する位置に移動され、プラテンガラス１２ｂに載置された原稿を走査しながら原稿を読み取って画像データを取得して、取得した画像データを本体部１４に備わる制御部１０（図９）に出力する。
また、原稿給送部１３により搬送された原稿を読み取る場合には、スキャナー１２ａは、原稿読取スリット１２ｃと対向する位置に移動され、原稿読取スリット１２ｃを介し、原稿給送部１３による原稿の搬送動作と同期して原稿を読み取って画像データを取得し、取得した画像データを本体部１４に備わる制御部１０に出力する。
【００３３】
原稿給送部１３は、原稿載置部１３ａと、原稿排出部１３ｂと、原稿搬送機構１３ｃとを備えている。原稿載置部１３ａに載置された原稿は、原稿搬送機構１３ｃによって、１枚ずつ順に繰り出されて原稿読取スリット１２ｃに対向する位置へ搬送され、その後、原稿排出部１３ｂに排出される。
なお、原稿給送部１３は、可倒式に構成され、原稿給送部１３を上方に持ち上げることで、プラテンガラス１２ｂの上面を開放させることができる。
【００３４】
本体部１４は、画像形成部１７を備えると共に、給紙部４２と、用紙搬送路４３と、搬送ローラー対４４と、排出ローラー対４５とを備えている。給紙部４２は、それぞれサイズ又は向きが異なる記録紙を収納する複数の給紙カセット４２ａと、給紙カセット４２ａから記録紙を１枚ずつ用紙搬送路４３に繰り出す給紙ローラー４２ｂとを備えている。給紙ローラー４２ｂ、搬送ローラー対４４、及び排出ローラー対４５は、搬送部として機能する。記録紙は、この搬送部により搬送される。
給紙ローラー４２ｂによって用紙搬送路４３に繰り出された記録紙は、搬送ローラー対４４によって画像形成部１７に搬送される。そして、画像形成部１７によって記録が施された記録紙は、排出ローラー対４５によってスタックトレイ５０に排出される。
【００３５】
画像形成部１７は、感光体ドラム１７ａと、露光部１７ｂと、現像部１７ｃと、転写部１７ｄと、定着部１７ｅとを備えている。露光部１７ｂは、レーザー装置やミラーやレンズやＬＥＤアレイ等を備えた光学ユニットであり、画像データに基づいて光等を出力して感光体ドラム１７ａを露光し、感光体ドラム１７ａの表面に静電潜像を形成する。現像部１７ｃは、トナーを用いて感光体ドラム１７ａに形成された静電潜像を現像する現像ユニットであり、静電潜像に基づいたトナー像を感光体ドラム１７ａ上に形成させる。転写部１７ｄは、現像部１７ｃによって感光体ドラム１７ａ上に形成されたトナー像を記録紙に転写させる。定着部１７ｅは、転写部１７ｄによってトナー像が転写された記録紙を加熱してトナー像を記録紙に定着させる。
【００３６】
〔画像形成システムＸのシステム構成〕
図１により、画像形成装置１と端末２とによりファイルの閲覧の制御を行うファイル閲覧制御システムである画像形成システムＸの詳細なシステム構成について説明する。
【００３７】
画像形成装置１の制御部１０は、文書データ取得部１００（文書データ取得手段）、暗号化部１１０（暗号化手段）、閲覧制限ファイル取得部１２０（閲覧制限ファイル取得手段）、閲覧制限ファイル復号化部１３０（閲覧制限ファイル復号化手段）、及び閲覧条件再設定部１４０（閲覧条件再設定手段）を備えている。また、画像形成装置１の記憶部１９は、アカウント設定１９０、閲覧用公開鍵１９１、閲覧制限用秘密鍵１９２、閲覧制御設定１９３（位置情報）、文書データ３００、閲覧用ファイル３１０、閲覧制限ファイル３２０、位置情報４００を記憶する。
端末２の制御部２０は、復号化部２００（復号化手段）、閲覧制限部２１０（閲覧制限手段）、及び閲覧制限解除要求部２２０（閲覧制限解除要求手段）を備えている。また、端末２の記憶部２９は、閲覧用秘密鍵２９１、閲覧制限用公開鍵２９２、ビューアー２９３（閲覧用プログラム）、閲覧用ファイル３１０、閲覧制限ファイル３２０、及び位置情報４００を記憶する。
【００３８】
画像形成装置１の文書データ取得部１００は、原稿読取部１２で読み取った原稿の画像データを文書データ３００として記憶部１９に保存する。また、文書データ取得部１００は、端末２や他の端末（図示せず）から送信された印刷用データであるＰＤＬ（Page Description Language）データ等から、文書データ３００を作成してもよい。また、文書データ取得部１００は、端末２、記録媒体３、記憶部１９のユーザーの保存フォルダー（図示せず）等から、文書データ３００を取得して記憶部１９に記憶してもよい。
【００３９】
暗号化部１１０は、閲覧用ファイル３１０と、閲覧用ファイル３１０の閲覧条件を示す閲覧条件情報４１０とを設定し、閲覧用公開鍵１９１で暗号化する。また、暗号化部１１０は、アカウント設定１９０を参照して、ユーザー認証を行う。暗号化部１１０は、このユーザーの認証の際には、操作パネル部１６や端末２からユーザーＩＤ及びパスワード等を取得し、これをアカウント設定１９０を読み出して比較して認証する。なお、文書データ３００は、閲覧用公開鍵１９１で暗号化するため、端末２や図示しない他の端末、サーバー等に閲覧用公開鍵１９１を備え又は送信し、これらの機器で暗号化してもよい。
暗号化部１１０は、作成された閲覧用ファイル３１０を端末２へ送信するか、記録媒体３へ書きだす。
【００４０】
閲覧制限ファイル取得部１２０は、端末２において暗号化された閲覧制限ファイル３２０を取得する。また、閲覧制限ファイル取得部１２０は、端末２から、位置情報も取得する。また、閲覧制限ファイル取得部１２０は、タイムサーバー部１８から取得した時刻情報を端末２に送信してもよい。
【００４１】
閲覧制限ファイル復号化部１３０は、閲覧制限ファイル取得部１２０により取得された閲覧制限ファイル３２０を、端末２の閲覧制限用公開鍵２９２に対応する、閲覧制限用秘密鍵１９２で復号化する。閲覧制限ファイル復号化部１３０は、この際に、タイムサーバー部１８から時刻情報を取得して、端末２から取得した位置情報４００に含まれる時刻と比較して、正しい時刻であれば閲覧制限ファイル３２０を復号化してもよい。
【００４２】
閲覧条件再設定部１４０は、閲覧制限ファイル復号化部１３０により閲覧制限ファイル３２０が復号化された閲覧用ファイル３１０の閲覧条件情報４１０を再設定する。閲覧条件再設定部１４０は、この再設定の際に、端末２の現在位置、現在時刻等に対応するように、閲覧可能位置情報４１１、閲覧可能期間情報４１２、及び閲覧制限解除可能位置情報４１３を再設定してもよい。
【００４３】
端末２の復号化部２００は、閲覧用ファイル３１０の閲覧条件を示す閲覧条件情報４１０を、閲覧用ファイル３１０が暗号化された閲覧用公開鍵１９１に対応する閲覧用秘密鍵２９１で復号化する。また、復号化部２００は、暗号化部１１０により送信された閲覧用ファイル３１０を取得して、記憶部２９に保存する。
なお、復号化部２００は、記録媒体３に記録されている閲覧用ファイル３１０を取得して記憶部２９に保存し、ビューアー２９３を取得して記憶部２９にインストールしてもよい。
【００４４】
閲覧制限部２１０は、復号化部２００により復号化された閲覧条件情報４１０の閲覧条件を満たすか否かを判断する。閲覧制限部２１０は、この際、閲覧条件情報４１０の閲覧可能位置情報４１１と、ＧＰＳ受信部２４から取得した位置情報４００の現在位置とが一致するか否かを判断する。また、閲覧制限部２１０は、現在位置が、閲覧可能位置情報４１１の所定の許容範囲内の位置であるか否かについて判断する。また、閲覧制限部２１０は、閲覧可能期間情報４１２と、位置情報４００に含まれるＧＰＳ等の時刻情報とが一致するか否かを判断する。閲覧制限部２１０は、この際、画像形成装置１のタイムサーバー部１８から時刻情報を取得してもよい。閲覧制限部２１０は、これらの閲覧条件を満たす場合には、閲覧用秘密鍵２９１で閲覧用ファイル３１０を復号化し、閲覧させる。また、閲覧制限部２１０は、これらの閲覧条件を満たさなくなった場合には、閲覧用公開鍵１９１とは別の閲覧制限用公開鍵２９２により閲覧用ファイル３１０を再暗号化し、閲覧制限ファイル３２０に変換する。
【００４５】
閲覧制限解除要求部２２０は、ＧＰＳ受信部２４により取得された位置情報４００に含まれる現在位置が、閲覧条件情報４２０の閲覧制限解除可能位置情報４２３に指定された位置であるか否かを判断する。閲覧制限解除要求部２２０は、指定された位置である場合には、現在位置の位置情報４００と、閲覧制限ファイル３２０とを画像形成装置１へ送信し、閲覧条件情報４２０の再設定を要求する。
【００４６】
アカウント設定１９０は、ユーザーのアカウント毎に、ユーザーＩＤ（Identification、ユーザー名）、パスワード、権限情報、端末２のＩＰアドレス、メールアドレス等の属性情報を備えるデータベースである。アカウント設定１９０のユーザーＩＤとパスワードは、画像形成装置１へのログインの際に用いられる。アカウント設定１９０の権限情報は、閲覧が制御された機密度の高い文書の印刷や送信や閲覧等の取り扱い可否の権限、つまり「一般ユーザー」「権限ユーザー」の種別の情報を含む。アカウント設定１９０は、操作パネル部１６や端末２からユーザーが入力した各種情報を用いて登録される。
【００４７】
閲覧用公開鍵１９１は、閲覧用ファイル３１０を暗号化するために用いる公開鍵暗号（Public key cryptosystem）の公開鍵等である。ここでは、画像形成装置１の閲覧用公開鍵１９１、及び端末２の閲覧用秘密鍵２９１が、ハッシュ関数により暗号化（符号化）及び復号化するための公開鍵・秘密鍵ペア等となる。
なお、閲覧用公開鍵１９１及び閲覧用秘密鍵２９１として、複数の公開鍵・秘密鍵ペアを用意して、閲覧条件情報４１０に設定されたユーザーの権限により閲覧させる位置や期間等を制御してもよい。
【００４８】
閲覧制限用秘密鍵１９２は、端末２に備えられた閲覧制限用公開鍵２９２で暗号化された閲覧制限ファイル３２０を復号化するために用いる、公開鍵暗号の秘密鍵である。ここでは、端末２の閲覧制限用公開鍵２９２、及び画像形成装置１の閲覧制限用秘密鍵１９２が、もう一つの公開鍵・秘密鍵ペア等となる。
【００４９】
閲覧制御設定１９３は、画像形成装置１が設置された位置、閲覧用ファイル３１０の閲覧が許可される閲覧条件の設定情報を含んでいる。この閲覧条件の設定情報は、ユーザーの権限毎に、閲覧を許可する位置、閲覧期間、閲覧制限を解除する条件等の情報を含んでいる。この閲覧制御設定１９３を基にして、閲覧用ファイル３１０に閲覧条件情報４１０が設定される。
【００５０】
閲覧用秘密鍵２９１は、画像形成装置１の閲覧用公開鍵１９１で暗号化された閲覧用ファイル３１０を、復号化部２００により復号化するための公開鍵・秘密鍵ペアの秘密鍵である。
【００５１】
閲覧制限用公開鍵２９２は、画像形成装置１から復号化部２００により取得された閲覧用ファイル３１０が、閲覧条件情報４１０に含まれる閲覧条件を満たさなくなった場合に閲覧制限部２１０により再暗号化するための公開鍵・秘密鍵ペアの公開鍵である。
【００５２】
ビューアー２９３は、端末２で閲覧用ファイル３１０を閲覧させるビューアー（File Viewer）のプログラム等である。
なお、ビューアー２９３を画像形成装置１でも実行可能に構成してもよい。また、ビューアー２９３は、画像形成装置１から送信され、又は端末２に図示しないＣＤ−ＲＯＭ等の光学記録媒体を読み取らせてインストールされてもよい。
【００５３】
文書データ３００は、文書データ取得部１００により取得された文書のデータである。文書データ３００は、文字データ、画像データ、及びその他のデータを含んでいる。文書データ３００は原稿読取部１２で読み取られ画像処理部１１で画像処理された画像データであってもよい。この場合、文書データ３００は、ＲＧＢカラーやモノクロやグレースケールのビットマップ画像のファイルや、ランレングスやＬＺＷ等で軽度に圧縮されたファイル等となる。加えて文書データ３００は、画像処理部１１や制御部１０で既にＰＤＦやＴＩＦＦ等の形式に変換されたデータであってもよい。また、記録媒体接続部３０にユーザーが持ち込んだ記録媒体３を接続し、この記録媒体に記憶された地図や文書のデータや画像データ等が、読み込まれた文書データ３００であってもよい。
【００５４】
閲覧用ファイル３１０は、文書データ３００に閲覧条件を示す閲覧条件情報４１０が設定され、暗号化部１１０により暗号化されて作成されたファイルである。閲覧用ファイル３１０は、端末２の復号化部２００により復号化され、ビューアー２９３により閲覧に供される。
閲覧条件情報４１０の詳細については、後述する。
【００５５】
閲覧制限ファイル３２０は、端末２の閲覧制限部２１０により、閲覧用公開鍵１９１とは別の閲覧制限用公開鍵２９２で再暗号化されたファイルである。閲覧制限ファイル３２０は、端末２に送信された閲覧用ファイル３１０が閲覧条件情報４１０に含まれる閲覧条件を満たさなくなった場合に再暗号化される。また、閲覧制限ファイル３２０は、閲覧条件情報４１０と同様の閲覧条件情報４２０を含んでいる。また、閲覧条件情報４２０は、暗号化されていなくてもよい。
また、画像形成装置１においては、閲覧制限ファイル３２０は、閲覧制限ファイル取得部１２０より取得される。
【００５６】
位置情報４００は、端末２のＧＰＳ受信部２４等から取得した位置の情報である。位置情報４００は、ＧＰＳ信号や画像形成装置１のタイムサーバー部１８から取得した正確な現在時刻である時刻情報も含んでいる。
【００５７】
なお、ユーザー毎に、別々の閲覧用公開鍵１９１及び閲覧用秘密鍵２９１を用いてもよい。また、端末２において、閲覧用秘密鍵２９１及び閲覧制限用公開鍵２９２は、画像形成装置１から取得されてもよい。また、閲覧用公開鍵１９１及び閲覧用秘密鍵２９１、閲覧制限用公開鍵２９２及び閲覧制限用秘密鍵１９２は、アカウント設定１９０のユーザーのパスワード等を基に作成されてもよい。
また、画像形成装置１の記憶部１９は、画像形成装置１の設置場所（位置）や製造番号やＩＤ等のデータ製造番号やＩＤ等のデータを含んでいてもよい。これらも、上述の公開鍵・秘密鍵ペアの作成に利用されてもよい。
また、記憶部１９は、画像形成装置１やユーザーのＰＣやスマートフォン等の他の端末（図示せず）でスキャンした画像データ、ユーザー認証に用いる情報等、その他文書データ等を記憶してもよい。
【００５８】
次に、図２により、閲覧条件情報４１０、４２０の詳細について説明する。
閲覧条件情報４１０は、閲覧可能位置情報４１１、閲覧可能期間情報４１２、閲覧制限解除可能位置情報４１３を含んでいる。また、閲覧条件情報４２０は、閲覧可能位置情報４２１、閲覧可能期間情報４２２、閲覧制限解除可能位置情報４２３を含んでいる。
閲覧可能位置情報４１１、４２１は、閲覧条件のうち、閲覧用ファイル３１０の閲覧が可能な位置の情報である。閲覧可能位置情報４１１、４２１は、ＧＰＳで取得可能な緯度や経度や高度等の座標データ、携帯電話網で取得可能な位置のデータ、住所データ、地域の名称や建物の名称、ＬＡＮやＷＡＮのネットワーク上の画像形成装置１のＩＰアドレス等の位置の情報を含んでいてもよい。また、閲覧可能位置情報４１１、４２１は、閲覧が許可される拠点の位置と、この位置から離れても閲覧が可能な許容範囲とを、数十ｍ〜数百ｍ又はＩＰアドレスのネットワーク上のサブネットマスクのような値として複数設定してもよい。
閲覧可能期間情報４１２、４２２は、閲覧条件のうち、閲覧用ファイル３１０の閲覧が可能な期間の情報である。閲覧可能期間情報４１２は、位置毎に、閲覧時間、閲覧可能回数、閲覧可能な日時や期限等の設定を含んでいてもよい。
閲覧制限解除可能位置情報４１３、４２３は、閲覧条件のうち、閲覧用ファイル３１０が閲覧制限ファイル３２０に変換された際に、この閲覧制限の解除を要求可能な位置の情報である。閲覧制限解除可能位置情報４１３、４２３は、閲覧可能位置情報４１１、４２１と同様の情報を備えていてもよい。また、閲覧制限解除可能位置情報４１３、４２３は、現在位置が閲覧可能位置情報４１１、４２１に含まれなくなった場合に、閲覧用ファイル３１０が再暗号化され閲覧制限ファイル３２０に変換されるまでの所定期間についても含んでいてもよい。
なお、閲覧制限解除可能位置情報４１３、４２３は、位置の情報の他に、閲覧制限の解除を要求可能な許可期間の情報等を備えていてもよい。
【００５９】
〔画像形成装置１による閲覧用ファイル作成処理〕
次に、図３により、本発明の実施の形態に係る画像形成装置１による閲覧用ファイル作成処理の説明を行う。
閲覧用ファイル作成処理では、主に画像形成装置１により文書データ３００に閲覧条件情報４１０を設定し、暗号化して閲覧用ファイル３１０を作成する。そして、この閲覧用ファイル３１０を、端末２に送信する。
この閲覧用ファイル作成処理は、主に制御部１０が記憶部１９に記憶されたプログラムを、各部と協働し、ハードウェア資源を用いて実行する。
以下で、図３のフローチャートを参照し、閲覧用ファイル作成処理をステップ毎に説明する。
【００６０】
（ステップＳ１０１）
まず、制御部１０が、暗号化部１１０により、ユーザー認証処理を行う。
制御部１０は、操作パネル部１６から、端末２のビューアー２９３で閲覧可能な閲覧用ファイル３１０の作成指示を取得する。すると、制御部１０は、ユーザーのＩＤ及びパスワード入力を求めるダイアログ等を操作パネル部１６の表示部に表示する。制御部１０はＩＤ及びパスワードを取得すると、アカウント設定１９０を読み出して比較する。
なお、制御部１０は、ユーザーのＩＤ情報が記憶されたＩＣカード等の記録媒体３や、生体認証センサー（図示せず）等による認証を行ってもよい。
また、端末２の管理プログラムが実行された場合、制御部１０は、表示部２３にダイアログボックス等を表示させ、ユーザーからのＩＤやパスワードをネットワーク５を介して取得して認証を行ってもよい。
【００６１】
（ステップ１０２）
次に、制御部１０が、暗号化部１１０により、当該ユーザーが権限ユーザーであるか否かを判定する。制御部１０は、ユーザーのＩＤ及びパスワードがアカウント設定１９０に記憶されたものと一致する場合、取得したユーザーのアカウント設定１９０の権限情報を読み出す。そして、制御部１０は、当該ユーザーが権限ユーザーであった場合にはＹｅｓと判定する。それ以外の場合は、Ｎｏと判定する。
Ｙｅｓの場合、制御部１０は、処理をステップＳ１０３に進める。
Ｎｏの場合、制御部１０は、操作パネル部１６の表示部等に、「ビューアーで閲覧する閲覧用ファイルの作成権限がありません」等の表示を行い、閲覧用ファイル作成処理を終了する。
【００６２】
（ステップＳ１０３）
ユーザー認証されたのが権限ユーザーであった場合、制御部１０が、文書データ取得部１００を用いて、文書データ取得処理を行う。
制御部１０は、例えば、ユーザーがセットした原稿を原稿読取部１２で読み取らせ、読み取った原稿の画像データを文書データ３００として記憶部１９に保存する。
また、制御部１０は、端末２や他の端末やサーバー（図示せず）からＰＤＬデータ等を取得し、文書データ３００を作成して記憶部１９に保存してもよい。このＰＤＬデータは、例えば、端末２や他の端末等で実行されるアプリケーション・ソフトウェアで作成された文書のデータを基に、画像形成装置１の管理プログラムにより作成され、デバイスドライバーにより送信される。
また、制御部１０は、記録媒体接続部３０に接続された記録媒体３や記憶部１９のユーザーの保存フォルダー（図示せず）等に既に存在する文書データ３００を取得し、記憶部１９に記憶してもよい。また、文書データ取得部１００は、端末２や他の端末の保存フォルダ（図示せず）から、既に存在する文書データ３００を取得し、記憶部１９に記憶してもよい。
なお、制御部１０は、他の画像形成装置１や他の端末やサーバーからネットワーク５を介して文書データ３００を取得し、又はファクシミリ受信した原稿等を文書データ３００として取得してもよい。
【００６３】
（ステップＳ１０４）
次に、制御部１０が、暗号化部１１０により、閲覧条件情報設定処理を行う。
制御部１０は、閲覧制御設定１９３を読み出して、閲覧条件情報４１０を作成し、文書データ３００と合わせて、閲覧用ファイル３１０を作成する。
制御部１０は、ユーザーの設定と閲覧制御設定１９３とに基づいて、閲覧条件情報４１０の閲覧可能位置情報４１１を設定する。制御部１０は、この際、閲覧用ファイル３１０の閲覧をユーザーに許可する拠点（場所、位置）の閲覧可能位置情報４１１を設定する。制御部１０は、例えば、画像形成装置１の設置された位置の閲覧制御設定１９３から半径数十〜数百ｍまでの許容範囲等を指定して、閲覧可能位置情報４１１に設定する。また、制御部１０は、ＧＰＳにより位置を取得できない屋内においては、携帯網からの電波情報に基づいた許容範囲を指定して、閲覧可能位置情報４１１に設定してもよい。また、制御部１０は、ネットワーク上のサブネットマスク、画像形成装置１と同じＬＡＮ内にある場合に閲覧可能とするような許容範囲の閲覧可能位置情報４１１を設定してもよい。
【００６４】
また、制御部１０は、閲覧可能位置情報４１１に、閲覧用ファイル３１０の閲覧を許可する位置を複数設定することも可能である。制御部１０は、例えば、「本社」「支店Ａ」「支店Ｂ」等の複数の拠点の位置を閲覧可能位置情報４１１に設定可能である。制御部１０は、この拠点の位置毎に、使用する閲覧用秘密鍵２９１を異なるように閲覧可能位置情報４１１に設定することも可能である。
また、制御部１０は、ビューアー２９３の種類や、閲覧させるユーザーの権限に応じた許容範囲を閲覧可能位置情報４１１として設定可能である。この際、ビューアー２９３の種類によって、異なる閲覧条件を閲覧可能位置情報４１１に設定してもよい。
たとえば、制御部１０は、
協力会社用ビューアー２９３：    特定の拠点のみ閲覧可
一般社員用ビューアー２９３：    すべての拠点で閲覧可
管理者用ビューアー２９３：      どの場所でも閲覧可
といった設定を行うことができる。
また、閲覧可能位置情報４１１として、例えば「新幹線内」「国道〜号内」といった、特定のキーワード等で指定されるような位置情報を設定することも可能である。
このように、閲覧可能位置情報４１１を設定することで、閲覧用ファイル３１０の閲覧場所を柔軟に設定することが可能となる。
【００６５】
また、制御部１０は、閲覧条件情報４１０の閲覧可能期間情報４１２に、閲覧時間、閲覧可能回数、閲覧可能な日時や期限等を設定する。この場合、端末２は、設定された日時や期限等のみ、ビューアー２９３を起動し、閲覧用ファイル３１０を閲覧することが可能となる。逆に、その位置では閲覧可能な時刻や期間でない場合は、端末２は、後述するように、閲覧用ファイル３１０が再暗号化される。
また、制御部１０は、閲覧可能期間情報４１２に、位置毎に別々の閲覧時間を設定してもよい。この場合、制御部１０は、所定の場所では、端末２でビューアー２９３を起動してから、設定された閲覧時間だけ、閲覧用ファイル３１０の閲覧を許可するように設定可能である。
また、制御部１０は、閲覧条件情報４１０の閲覧可能期間情報４１２に、閲覧可能回数を設定してもよい。つまり、制御部１０は、端末２で、閲覧可能回数だけビューアー２９３を起動できるように設定可能である。
なお、制御部１０は、閲覧用秘密鍵２９１とビューアー２９３との設定を、後述するように、操作パネル部１６や端末２から変更することも可能である。
【００６６】
また、制御部１０は、閲覧条件情報４１０の閲覧制限解除可能位置情報４１３に、閲覧条件を満たさなかったため、再暗号化されて閲覧制限ファイル３２０になったファイルが閲覧制限解除を要求するための閲覧制限解除の条件を設定する。この条件は、位置、権限、日時や期限等を設定可能である。また、閲覧条件を満たさない場合に、所定回数、ビューアー２９３を起動した場合に再暗号化するといった、再暗号化のトリガー（引き金）となる動作の条件についても設定してもよい。
なお、制御部１０は、閲覧条件情報４１０を閲覧用ファイル３１０と関連付けて記憶部１９に保存しておいてもよい。これにより、閲覧条件情報４１０を不正に変更された場合に対応可能となる。
【００６７】
（ステップＳ１０５）
次に、制御部１０が、暗号化部１１０により、文書暗号化処理を行う。
制御部１０は、閲覧条件を示す閲覧条件情報４１０が設定された閲覧用ファイル３１０を、ハッシュ関数等を用いて、閲覧用公開鍵１９１で暗号化する。
制御部１０は暗号化された閲覧用ファイル３１０を、記憶部１９に記憶する。
【００６８】
（ステップＳ１０６）
次に、制御部１０が、暗号化部１１０により、送信処理を行う。
制御部１０は、閲覧条件情報４１０が設定された閲覧用ファイル３１０を端末２に送信する。これを端末２の制御部２０が、復号化部２００により取得して、記憶部２９に記憶する。
また、制御部１０は、閲覧用ファイル３１０を記録媒体接続部３０に接続された記録媒体３に書き出し、記憶させることも可能である。この記録媒体３に記憶された閲覧用ファイル３１０についても、端末２の復号化部２００が取得することが可能である。
以上により、本発明の実施の形態に係る閲覧用ファイル作成処理を終了する。
【００６９】
〔端末２による閲覧制御処理〕
次に、図４〜図６を参照して、端末２による閲覧制御処理の詳細について説明する。
上述の閲覧ファイル作成処理により、端末２には、暗号化された閲覧用ファイル３１０が画像形成装置１から取得され、記憶部２９に記憶されている。
本実施形態の閲覧制御処理では、この状態で、ユーザーがビューアー２９３を起動するよう指示した際に、閲覧条件を満たす場合には閲覧用ファイル３１０を復号化し、閲覧条件を満たさなくなった場合に再暗号化により閲覧制限ファイル３２０に変換する。
この閲覧制御処理は、主に制御部２０が記憶部２９に記憶されたプログラムを各部と協働し、ハードウェア資源を用いて実行する。
以下で、図４のフローチャートを参照して、閲覧用ファイル作成処理をステップ毎に詳しく説明する。
【００７０】
（ステップＳ２００）
まず、制御部２０が、閲覧制限部２１０により、既に閲覧制限が行われていたか否かを判定する。制御部２０は、閲覧条件を満たさないとして、既に閲覧用ファイル３１０が再暗号化され、閲覧制限ファイル３２０に変換されていた場合はＹｅｓと判定する。制御部２０は、それ以外の場合はＮｏと判定する。
Ｙｅｓの場合、制御部２０は、処理をステップＳ２０８に進める。
Ｎｏの場合、制御部２０は、処理をステップＳ２０１に進める。
【００７１】
（ステップＳ２０１）
次に、制御部２０が、閲覧制限部２１０により、位置情報取得可能か否かを判定する。制御部２０は、ＧＰＳ受信部２４（図２）等が使用可能であって、現在位置の位置情報４００を取得可能である場合、Ｙｅｓと判定する。制御部２０は、それ以外の場合は、Ｎｏと判定する。
Ｙｅｓの場合、制御部２０は、処理をステップＳ２０２に進める。
Ｎｏの場合、制御部２０は、処理をステップＳ２０７に進める。
【００７２】
（ステップＳ２０２）
次に、制御部２０が、閲覧制限部２１０を用いて、現在位置取得処理を行う。
制御部２０は、ＧＰＳ受信部２４等により、端末２の現在位置を、位置情報４００として取得する。制御部２０は、この際、位置情報４００に現在時刻の時刻情報を含める。
制御部２０は、複数のＧＰＳ衛星から端末２の緯度や軽度を算出しても、携帯電話網の基地局の情報等を用いて現在位置を特定してもよい。また、制御部２０は、ＧＰＳリピータ等の電波から現在位置を特定してもよい。加えて、制御部２０は、無線ＬＡＮのアクセスポイントからの電波の大きさ等から屋内の現在位置を特定してもよい。また、制御部２０は、図示しないジャイロセンサーや気圧センサーの値により、より詳細な現在位置を特定してもよい。
また、制御部２０は、特定のＬＡＮ内等のネットワーク上の位置を特定してもよい。制御部２０は、この際に、画像形成装置１が端末２と同じＬＡＮ上にあるかないかといった情報を、現在位置として特定してもよい。また、制御部２０は、ブロードキャスト等を行って、画像形成装置１と通信して、製造番号やＩＤ等、閲覧制御設定１９３に含まれる設置位置等を参照して現在位置を特定してもよい。
なお、制御部２０は、ユーザーに端末２へログイン等をさせて、ビューアー２９３の使用が想定されているユーザーか否かについてユーザー認証させてもよい。
【００７３】
（ステップＳ２０３）
次に、制御部２０が、閲覧制限部２１０により、閲覧条件を満たすか否かを判定する。制御部２０は、閲覧用ファイル３１０の閲覧条件情報４１０のみ閲覧用秘密鍵２９１で復号化する。制御部２０は、この上で、閲覧条件情報４１０の閲覧可能位置情報４１１が、ＧＰＳ受信部２４等により取得した位置情報４００の現在位置とが一致するか否かを判断する。また、制御部２０は、位置情報４００に含まれる時刻情報が、閲覧条件情報４１０の閲覧可能期間情報４１２の閲覧が許可された期間に含まれるか否かを判断する。制御部２０は、この際、閲覧が許可された期間を所定時間、経過した場合に、閲覧が許可された期間外になったと判断する。また、制御部２０は、画像形成装置１にログインして、タイムサーバー部１８から現在時刻の時刻情報を取得して、現在時刻が閲覧可能期間情報４１２の閲覧が許可された期間に含まれるか否か判断してもよい。
制御部２０は、位置情報４００の取得した現在位置が、閲覧可能位置情報４１１の閲覧が許可された期間の許容範囲内であった場合で、現在時刻が閲覧可能期間情報４１２の閲覧が許可された期間に含まれる場合、Ｙｅｓと判定する。それ以外の場合は、Ｎｏと判定する。また、制御部２０は、閲覧可能期間情報４１２の閲覧可能な回数、期限、時刻等の閲覧条件を満たさなかった場合、つまり起動回数が超過したり、閲覧可能な時刻や期間でない場合等にもＮｏと判定する。また、制御部２０は、そもそも、閲覧用ファイル３１０を復号化できる閲覧用秘密鍵２９１が存在しない場合、又は閲覧用ファイル３１０に閲覧条件情報４１０が設定されていない場合にもＮｏと判定する。
Ｙｅｓの場合、制御部２０は、処理をステップＳ２０４に進める。
Ｎｏの場合、制御部２０は、処理をステップＳ２０７に進める。
【００７４】
（ステップＳ２０４）
閲覧条件を満たした場合、制御部２０が、閲覧制限部２１０を用いて閲覧用ファイル復号化処理を行う。
制御部２０は、記憶部２９に記憶されたビューアー２９３に含まれる閲覧用秘密鍵２９１により、閲覧用ファイル３１０の文書本体を復号化する。
この際、制御部２０は、閲覧用ファイル３１０の端末２の表示部２３に表示される分だけ、逐次、読み出して復号化することが可能である。
また、制御部２０は、閲覧用ファイル３１０の復号化されたデータを、記憶部２９の保護された記憶領域に保存するようにしてもよい。これにより、ビューアー２９３のみが復号化されたデータを読み出すことが可能となる。
【００７５】
（ステップＳ２０５）
次に、制御部２０が、閲覧制限部２１０を用いて、閲覧用ファイル表示処理を行う。
図５の画面例５００に示すように、制御部２０は、表示欄６００のようなウィンドウを表示して、閲覧用ファイル３１０の復号化されたデータを表示する。この際、閲覧用ファイル３１０が逐次復号化された場合は、制御部２０は、ユーザーによる入力部２２での指示を取得し、スクロールバー等の押下等に対応して、逐次、閲覧用ファイル３１０を読み出して復号化して表示する。
なお、制御部２０は、閲覧用ファイル３１０の復号化されたデータを、画像形成装置１で印刷、ファクシミリ送信、記録媒体３へ保管、ファイル送信等することも可能である。  また、制御部２０は、ユーザーが閲覧していることを、画像形成装置１に送信して監視させてもよい。制御部１０は、この際、逐次、タイムサーバー部１８により閲覧許可の時間であるかをチェックして、これを逸脱していた場合は強制的にビューアー２９３の閲覧停止と閲覧制限ファイル３２０への変換をするよう指示してもよい。
【００７６】
（ステップＳ２０６）
次に、制御部２０が、閲覧制限部２１０を用いて、ユーザーから閲覧終了の指示があったか否かを判定する。制御部２０は、例えば、ユーザーが図５の「終了」ボタン７００を押下した場合、図示しないビューアー２９３のファイルメニューから「終了」を選択した場合、又はビューアー２９３のウィンドウをクローズするボタンを押下したことを検出した場合等に、Ｙｅｓと判定する。また、制御部２０は、閲覧時間が設定されている場合、ビューアー２９３の起動からこの閲覧時間が経過した場合もＹｅｓと判定する。また、制御部２０は、画像形成装置１から閲覧停止を指示された場合もＹｅｓと判定する。制御部２０は、それ以外の場合には、Ｎｏと判定する。
Ｙｅｓの場合、制御部２０は、処理をステップＳ２０８に進める。
Ｎｏの場合、制御部２０は、所定時間待機後、処理をステップＳ２０１に戻し、ユーザーに閲覧を続けさせる。これにより、文書の閲覧中は、一定時間間隔で、端末２の現在位置を取得して、閲覧用ファイル３１０を復号化可能な場所の外になった場合、現在閲覧中の閲覧用ファイル３１０を閉じるといった処理が可能となる。
【００７７】
（ステップＳ２０７）
現在位置を取得できなかった場合、現在位置が閲覧許可の場所と一致しなかった場合又は、その他の閲覧条件を満たさなかった場合等に、制御部２０が、閲覧制限部２１０を用いて、閲覧制限ファイル変換処理を行う。
制御部２０は、閲覧用公開鍵１９１とは別の閲覧制限用公開鍵２９２で閲覧用ファイル３１０を再暗号化して、閲覧制限ファイル３２０に変換する。（以下、この状態を「閲覧制限状態」という。）。
また、制御部２０は、この際、閲覧条件情報４１０の閲覧制限解除可能位置情報４１３のみについては、再暗号化により閲覧制限ファイル３２０の閲覧条件情報４２０に変換しないか、又は記憶部２９に保存しておくかして読み出せる状態にしておく。
【００７８】
図６の画面例５０１によると、制御部２０は、「この場所では閲覧できません、文書は閲覧制限のため暗号化されました」等と表示欄６０１のようにダイアログボックスを表示する。
なお、制御部２０は、すぐ再暗号化を行わず、ＧＰＳ機能がオフになっている場合や、位置情報４００が取得されなかった場合に「警告：ＧＰＳをオンにして下さい」といった警告表示を行い、その後所定時間経過してもＧＰＳ機能がオンにならない場合、更なる警告表示をしてから再暗号化することも可能である。同様に、制御部２０は、閲覧の回数、期限、時刻等が超過していた場合「警告：あとＸ回、起動すると閲覧制限のため文書が暗号化されます」といった表示を行ってもよい。この場合、制御部２０は、ビューアー２９３を起動した回数等が、その警告の値を超過した場合に再暗号化してもよい。
また、制御部２０は、その他の閲覧条件を満たさなかった場合、閲覧用秘密鍵２９１や閲覧条件情報４１０が設定されていなかった場合にも、その旨の表示が可能である。
【００７９】
（ステップＳ２０８）
ここで、制御部２０が、閲覧制限解除要求部２２０により、閲覧制限解除要求可能な状態であるか否かを判定する。制御部２０は、閲覧制限状態にあるものの、現在位置の位置情報４００が当該閲覧制限ファイル３２０に対応する閲覧制限解除可能位置情報４１３の位置に含まれ、許可期間等である場合、場合はＹｅｓと判定する。制御部２０は、それ以外の場合はＮｏと判定する。
Ｙｅｓの場合、制御部２０は、処理をステップＳ２０９に進める。
Ｎｏの場合、制御部２０は、処理をステップＳ２１０に進める。
【００８０】
（ステップＳ２０９）
現在位置が閲覧制限解除可能位置情報４１３の位置に含まれる場合、制御部２０が、閲覧制限解除要求送信処理を行う。
制御部２０は、閲覧制限状態となった閲覧制限ファイル３２０を画像形成装置１へ送信する。これは、端末２には閲覧制限用公開鍵２９２と対応する閲覧制限用秘密鍵１９２が備えられていないので復号化できないためである。また、制御部２０は、閲覧制限ファイル３２０と対応付けられた、現在位置の位置情報４００も送信する。
なお、制御部２０は、送信後に、記憶部２９に保存されている閲覧制限解除可能位置情報４１３を削除してもよい。
【００８１】
（ステップＳ２１０）
ここで、制御部２０が、閲覧制限部２１０を用いて、閲覧終了処理を行う。
制御部２０は、ビューアー２９３のウィンドウをクローズ等して、閲覧用ファイル３１０の復号化されたデータを削除する。この際、制御部２０は、閲覧終了したことを、画像形成装置１に送信してもよい。
なお、制御部２０は、閲覧回数が設定されていた場合、ビューアー２９３の起動回数が閲覧回数を超えた場合、閲覧可能な期限を超過した場合に、上述のステップＳ２０７の閲覧制限ファイル変換処理と同様の処理を行ってもよい。
以上により、本発明の実施の形態に係る閲覧制御処理を終了する。
【００８２】
〔画像形成装置１による閲覧制限解除処理〕
次に、図７〜図８により、本発明の実施の形態に係る画像形成装置１による閲覧制限解除処理の説明を行う。
本実施形態の閲覧制限解除処理では、画像形成装置１は、端末２からの閲覧制限解除要求を取得した場合に、端末２の閲覧制限用公開鍵２９２に対応する閲覧制限用秘密鍵１９２で復号化し、端末２に再送信する。
この閲覧用ファイル作成処理は、主に制御部１０が記憶部１９に記憶されたプログラムを、各部と協働し、ハードウェア資源を用いて実行する。
以下で、図７のフローチャートを参照し、本実施形態の閲覧制限解除処理をステップ毎に説明する。
【００８３】
（ステップＳ３０１）
まず、制御部１０が、閲覧制限ファイル取得部１２０により、閲覧制限解除要求取得処理を行う。
制御部１０は、端末２から閲覧制限ファイル３２０を取得する。この閲覧制限ファイル３２０は、上述したように、閲覧条件情報４１０に含まれる閲覧条件を満たさなくなったため、閲覧用公開鍵１９１とは別の、端末２が備える閲覧制限用公開鍵２９２で再暗号化されている。
【００８４】
（ステップＳ３０２）
次に、制御部１０が、閲覧制限ファイル復号化部１３０により、閲覧制限解除可能か否かを判定する。制御部２０は、一旦、閲覧制限ファイル３２０の閲覧条件情報４２０の閲覧制限解除可能位置情報４２３が暗号化されている場合、閲覧制限用秘密鍵１９２で復号化する。制御部１０は、この閲覧制限解除可能位置情報４２３の位置、期間等が、端末２の位置情報４００と対応している場合にＹｅｓと判定する。また、制御部１０は、位置情報４００に含まれる時刻の情報を、タイムサーバー部１８の現在時刻の情報と照合して、所定の遅延時間以下の正しい時刻であることを確認する。また、制御部１０は、端末２の位置情報４００と、記憶部１９に先に保存しておいた閲覧条件情報４１０の閲覧制限解除可能位置情報４１３と照合して確認してもよい。制御部２０は、位置情報と対応していない場合、及び確認に失敗した場合等には、Ｎｏと判定する。
Ｙｅｓの場合、制御部２０は、処理をステップＳ３０３に進める。
Ｎｏの場合、制御部２０は、閲覧制限解除処理を終了し、制限解除を行わない。
【００８５】
（ステップＳ３０３）
位置情報と対応していた場合、制御部１０が、暗号化部１１０により、ユーザー認証処理を行う。
この処理は、上述のステップＳ１０１（図３）と同様に行う。
【００８６】
（ステップＳ３０４）
次に、制御部２０が、閲覧制限ファイル復号化部１３０により、権限ユーザーか否かを判定する。制御部２０は、ログインしたユーザーのアカウント設定１９０の権限情報を参照して、管理者の権限のあるユーザーであった場合に、Ｙｅｓと判定する。制御部２０はそれ以外の場合には、Ｎｏと判定する。
Ｙｅｓの場合、制御部２０は、処理をステップＳ３０５に進める。
Ｎｏの場合、制御部２０は、閲覧制限解除処理を終了し、制限解除を行わない。
【００８７】
（ステップＳ３０５）
ログインしたのが権限ユーザーであった場合、制御部１０が、閲覧制限ファイル復号化部１３０により、閲覧制限ファイル復号化処理を行う。
制御部１０は、閲覧制限ファイル３２０を、記憶部１９に記憶された閲覧制限用秘密鍵１９２により復号化する。復号化された閲覧制限ファイル３２０は、再び、閲覧用ファイル３１０となる。
【００８８】
（ステップＳ３０６）
次に、制御部１０が、閲覧条件再設定部１４０によって、閲覧条件情報再設定処理を行う。
制御部１０は、取得された閲覧制限ファイル３２０が復号化された閲覧用ファイル３１０について、閲覧条件情報４１０を再設定する。
制御部１０は、この再設定の際に、閲覧可能期間情報４２２の閲覧可能な期間を、所定期間、延長するように設定する。制御部１０は、この所定期間として、タイムサーバー部１８により取得した時刻情報に基づいた期間を設定することで、セキュリティーを向上させられる。
また、制御部１０は、閲覧可能位置情報４１１及び閲覧制限解除可能位置情報４１３について、端末２の現在の位置情報４００に対応する位置に変更してもよい。
また、制御部１０は、これらの再設定については、管理者に通知して確認を求めてもよい。
なお、制御部１０は、閲覧期間が経過したことにより閲覧制限された閲覧制限ファイル３２０閲覧条件を再設定し、位置情報が異なることにより閲覧制限された閲覧制限ファイル３２０は再設定しないといった処理を行うことも可能である。
【００８９】
（ステップＳ３０７）
次に、制御部１０が、暗号化部１１０により、再設定閲覧ファイル送信処理を行う。
制御部１０は、閲覧制限が解除され、閲覧条件情報４１０が再設定された閲覧用ファイル３１０を、再び閲覧用公開鍵１９１で暗号化する。その後、制御部１０は、この暗号化された閲覧用ファイル３１０を端末２に送信する。
図８の画面例５０２によれば、この閲覧用ファイル３１０を受信した端末２は、ビューアー２９３を再起動し、表示欄６０２のように閲覧制限が解除されたダイアログを表示すしてユーザーに通知してもよい。
以上により、本発明の実施の形態に係る閲覧制限解除処理を終了する。
【００９０】
以上のように構成することで、以下のような効果を得ることができる。
従来、特許文献１の技術では、位置情報だけが閲覧用の秘密鍵であるため、総当たり攻撃等で閲覧用ファイルが復号化されるおそれがあった。
本発明の実施の形態に係る画像形成装置１は、端末２による閲覧用ファイルの閲覧の制御を行う画像形成装置であり、閲覧用ファイル３１０と、閲覧用ファイル３１０の閲覧条件を示す閲覧条件情報４１０とを閲覧用公開鍵１９１で暗号化する暗号化部１１０と、暗号化部１１０により暗号化された閲覧用ファイル３１０が閲覧条件情報４１０に含まれる閲覧条件を満たさなくなったため端末２により閲覧用公開鍵１９１とは別の閲覧制限用公開鍵２９２で再暗号化された閲覧制限ファイル３２０を取得する閲覧制限ファイル取得部１２０と、閲覧制限ファイル取得部１２０により取得された閲覧制限ファイル３２０を、閲覧制限用公開鍵２９２に対応する閲覧制限用秘密鍵１９２で復号化する閲覧制限ファイル復号化部１３０と、閲覧制限ファイル復号化部１３０により復号化された閲覧制限ファイル３２０に対応した閲覧条件情報４２０を再設定する閲覧条件再設定部１４０とを備えることを特徴とする。
また、本発明の実施の形態に係る端末２は、画像形成装置１にて暗号化された閲覧用ファイルを閲覧するための端末であり、閲覧用ファイル３１０の閲覧条件を示す閲覧条件情報４１０を、閲覧用ファイル３１０が暗号化された閲覧用公開鍵１９１に対応する閲覧用秘密鍵２９１で復号化する復号化部２００と、復号化部２００により復号化された閲覧条件情報４１０の閲覧条件を満たす場合には、閲覧用秘密鍵２９１で閲覧用ファイル３１０を復号化し、閲覧条件を満たさなくなった場合には、閲覧用公開鍵１９１とは別の閲覧制限用公開鍵２９２で閲覧用ファイル３１０を再暗号化した閲覧制限ファイル３２０に変換する閲覧制限部２１０とを備えることを特徴とする。
このように構成されることで、本発明の実施の携帯に係る画像形成装置１及び端末２では、一旦、閲覧制限状態になった閲覧用ファイル３１０は再暗号化して閲覧制限ファイル３２０に変換されて、画像形成装置１で再復号化される。これにより、端末２の秘密鍵がハッキング等されても、一度、再暗号化されると端末２内では復号化することは不可能となる。加えて、閲覧制限のかかった閲覧制限ファイル３２０は、閲覧可能な位置情報等の情報を知っていても閲覧することができなくなる。これにより、閲覧制限ファイル３２０の不正な閲覧が防止され、機密性が高まり、セキュリティーを向上させることができる。
また、本実施形態では、閲覧制限ファイル３２０を一旦、画像形成装置１に送信し、管理者の確認後に、閲覧制限を解除してもらうことができる。これにより、閲覧制限されても、用意に閲覧制限を解除させて閲覧させることができる。また、この閲覧制限の解除の際に、新たな閲覧条件を再設定することができ、柔軟な閲覧制御を行うことができる。このため、ユーザーの利便性が向上する。また、管理者の管理上で閲覧制限を解除することもでき、閲覧の利便性とセキュリティーの向上とを両立させられる。
【００９１】
また、本発明の実施の形態に係る画像形成装置１は、閲覧条件情報４２０が、閲覧用ファイル３１０が再暗号化された閲覧制限ファイル３２０の閲覧制限ファイル復号化部１３０による復号化が許可される位置を指定する閲覧制限解除可能位置情報４２３を含み、閲覧制限ファイル復号化部１３０は、端末の位置情報４００が閲覧制限解除可能位置情報４２３の位置であった場合に、閲覧制限ファイル３２０を復号化することを特徴とする。
また、本発明の実施の形態に係る端末２は、閲覧条件情報４２０が、閲覧用ファイル３１０が再暗号化された閲覧制限ファイル３２０の閲覧制限ファイル復号化部１３０による復号化が許可される位置を指定する閲覧制限解除可能位置情報４２３を含み、現在位置が閲覧制限解除可能位置情報４２３の位置であった場合に、現在位置の位置情報４００と閲覧制限ファイル３２０とを画像形成装置１へ送信し、閲覧条件情報４２０の再設定を要求する閲覧制限解除要求部２２０とを備えることを特徴とする。
このように構成することで、端末２の現在位置をＧＰＳ受信部２４から取得し、予め閲覧条件情報４１０に設定されている場所であった場合、閲覧用秘密鍵２９１にて文書を復号化して閲覧可能な状態とすることができる。
つまり、本実施形態では、端末２内に保存された閲覧用ファイル３１０は、例えば、社内でのみ閲覧を許可され、社外では閲覧が許可されないといった閲覧条件情報４１０を設定することが可能となる。この場合、文書自体に暗号化を行いアクセス制限をかけ、ユーザーが社内にいることが判定された場合に閲覧用ファイル３１０を復号化して閲覧を許可することが可能となる。これにより、文書が社外へ持ち出されることによる情報漏洩等を防ぐことができる。
また、本実施形態では、端末２内に保存されている社内文書等の閲覧用ファイル３１０への閲覧条件を所定の条件で変更することができる。
【００９２】
また、本実施形態では、閲覧用ファイル３１０の配付後でも、閲覧条件情報４１０の閲覧場所等のセキュリティー設定を変更することができる。
実質上、既に配布された閲覧用ファイル３１０を更新することは難しかった。これに対して、本実施形態では、ユーザーが所定時間の間に、社内にいないことを判定された場合に、閲覧用ファイル３１０が再暗号化された閲覧制限ファイル３２０に、画像形成装置１で閲覧条件を再設定してアクセス制限をかけることが可能になる。この際、閲覧条件情報４１０に閲覧期限を設定することで、強制的に定期更新させることが可能である。このため、閲覧用ファイル３１０の作成後でも、閲覧を許可する場所を容易に変更することが可能となる。
【００９３】
また、本実施形態のファイル閲覧制御システムは、ネットワーク５に接続されていない環境でも閲覧することができ、利便性が高まる。
また、ネットワーク５に接続しない場合には、再暗号化された閲覧制限ファイル３２０はそのまま復号化不可能となる。また、ネットワーク５を介した攻撃等を受ける可能性を少なくし、鍵情報等の流出を抑えることが可能となる。よって、セキュリティーを高められる。
【００９４】
また、本実施形態のファイル閲覧制御システムは、閲覧用ファイル３１０は閲覧用公開鍵１９１で暗号化され、端末２に閲覧用秘密鍵２９１を設定することで、画像形成装置１と端末２とで異なる鍵で暗号化、復号化される。このため、閲覧用秘密鍵２９１が画像形成装置１と端末２以外に流出する危険性を少なくすることができる。
また、本実施形態では、閲覧用ファイル３１０を取得し、閲覧が許可される位置情報が分かっていても、それだけでは閲覧用ファイル３１０を復号化できない。また、本実施形態の端末２は、現在位置の取得が不可能な場合は、閲覧を許可しないこともできる。
これらの構成により、セキュリティーを高められる。
【００９５】
なお、文書データ３００から閲覧用ファイル３１０を作成する権限ユーザーは多数存在してもよい。また、本実施形態では、閲覧用公開鍵１９１を用いて一般ユーザーが閲覧用ファイル３１０を作成してもよい。
このため、ユーザーの利便性を高めることができる。
【００９６】
また、画像形成装置１の閲覧制限解除処理において、権限ユーザーの確認をせずに自動的に閲覧制限解除するような構成でもよい。
これらの構成により、ユーザーが閲覧制限されていることを意識せずに閲覧制限をさせることができ、使い勝手を向上させられる。なお、この場合、記憶部１９に閲覧制限を解除した際のログを記憶させることで、セキュリティーを担保することができる。
【００９７】
また、閲覧制限用公開鍵２９２、閲覧制限用秘密鍵１９２の公開鍵・秘密鍵ペアは、閲覧用公開鍵１９１及び閲覧用秘密鍵２９１のペアよりもビット数等が多く、演算に時間がかかる高度な暗号化の公開鍵・秘密鍵ペアであってもよい。
これにより、閲覧制限ファイル３２０用の閲覧用秘密鍵２９１が解析される可能性を低くでき、セキュリティーを向上させられる。また、画像形成装置１に、専用の暗号化、復号化ハードウェアを備えるような構成の場合、端末２で復号化するより演算コストを低減させることができ、処理速度も向上させられる。
【００９８】
また、本発明の端末２は、ＰＣやスマートフォン等の端末のデバイスドライバー（Device Driver Software）や管理者用の専用アプリ（Application Software）により実現されてもよい。
また、本発明は、画像形成装置以外の情報処理装置にも適用できる。つまり、ネットワークスキャナー、スキャナーをＵＳＢ等で別途接続したサーバー等を用いる構成であってもよい。
【００９９】
なお、上記実施の形態の構成及び動作は例であって、本発明の趣旨を逸脱しない範囲で適宜変更して実行することができることは言うまでもない。
【符号の説明】
【０１００】
１  画像形成装置
２  端末
３  記録媒体
５  ネットワーク
１０、２０  制御部
１１  画像処理部
１２  原稿読取部
１２ａ  スキャナー
１２ｂ  プラテンガラス
１２ｃ  原稿読取スリット
１３  原稿給送部
１３ａ  原稿載置部
１３ｂ  原稿排出部
１３ｃ  原稿搬送機構
１４  本体部
１５、２５  ネットワーク送受信部
１６  操作パネル部
１７  画像形成部
１７ａ  感光体ドラム
１７ｂ  露光部
１７ｃ  現像部
１７ｄ  転写部
１７ｅ  定着部
１８  タイムサーバー部
１９、２９  記憶部
２１  Ｉ／Ｏ部
２２  入力部
２３  表示部
２４  ＧＰＳ受信部
３０  記録媒体接続部
４１  排出口
４２  給紙部
４２ａ  給紙カセット
４２ｂ  給紙ローラー
４３  用紙搬送路
４４  搬送ローラー対
４５  排出ローラー対
５０  スタックトレイ
１００  文書データ取得部
１１０  暗号化部
１２０  閲覧制限ファイル取得部
１３０  閲覧制限ファイル復号化部
１４０  閲覧条件再設定部
１９０  アカウント設定
１９１  閲覧用公開鍵
１９２  閲覧制限用秘密鍵
１９３  閲覧制御設定
２００  復号化部
２１０  閲覧制限部
２２０  閲覧制限解除要求部
２９１  閲覧用秘密鍵
２９２  閲覧制限用公開鍵
２９３  ビューアー
３００  文書データ
３１０  閲覧用ファイル
３２０  閲覧制限ファイル
４００  位置情報
４１０、４２０  閲覧条件情報
４１１、４２１  閲覧可能位置情報
４１２、４２２  閲覧可能期間情報
４１３、４２３  閲覧制限解除可能位置情報
５００、５０１、５０２  画面例
６００、６０１、６０２  表示欄
７００  ボタン
Ｘ  画像形成システム
【図１】
2015106279.tif 000003
【図２】
2015106279.tif 000004
【図３】
2015106279.tif 000005
【図４】
2015106279.tif 000006
【図５】
2015106279.tif 000007
【図６】
2015106279.tif 000008
【図７】
2015106279.tif 000009
【図８】
2015106279.tif 000010
【図９】
2015106279.tif 000011
【図１０】
2015106279.tif 000012