(57)【要約】【課題】通常は印刷を許されていないクライアントＰＣ等の情報処理装置からでも、セキュリティ上問題がない場合には、印刷をできるようにして、ユーザの利便性を向上させる。【解決手段】印刷装置１１２ａと、印刷装置１１２ａでの印刷を指示する第一の情報処理装置１１１ａと、前記印刷の許否を判断する第二の情報処理装置１２５とを備えた印刷システム１００であって、第一の情報処理装置１１１ａは、印刷対象データと、出力先となる印刷装置１１２ａを特定する印刷装置識別情報とを、第二の情報処理装置１２５に送信する印刷要求送信手段を備え、第二の情報処理装置１２５は、第一の情報処理装置１１１ａから、前記印刷対象データと前記印刷装置識別情報とを受信する印刷要求受信手段と、前記印刷対象データを、前記印刷装置識別情報に対応する印刷装置で印刷することを許可するか否かを判断する印刷許否判断手段とを備える。【選択図】図１
2008226033.tif 000002
【特許請求の範囲】
【請求項１】
印刷装置と、前記印刷装置での印刷を指示する第一の情報処理装置と、前記印刷の許否を判断する第二の情報処理装置とを備えた印刷システムであって、
前記第一の情報処理装置は、
印刷対象データと、出力先となる印刷装置を特定する印刷装置識別情報とを、前記第二の情報処理装置に送信する印刷要求送信手段
を備え、
前記第二の情報処理装置は、
前記第一の情報処理装置から、前記印刷対象データと前記印刷装置識別情報とを受信する印刷要求受信手段と、
前記印刷対象データを、前記印刷装置識別情報に対応する印刷装置で印刷することを許可するか否かを判断する印刷許否判断手段と
を備えた印刷システム。
【請求項２】
前記印刷対象データから、前記印刷装置が解釈可能な印刷データを生成する第三の情報処理装置を更に備え、
前記第二の情報処理装置は、
前記印刷許否判断手段によって印刷が許可された場合に、前記第三の情報処理装置に、前記印刷対象データを送信する印刷対象データ送信手段と、
前記第三の情報処理装置から、前記印刷データを受信する印刷データ受信手段と、
前記印刷データを、前記第一の情報処理装置に送信する印刷データ送信手段と
を更に備え、
前記第三の情報処理装置は、
前記第二の情報処理装置から、前記印刷対象データを受信するデータ受信手段と、
前記印刷対象データから前記印刷データを生成する印刷データ生成手段と、
前記印刷データ生成手段によって生成された前記印刷データを、前記第二の情報処理装置に送信するデータ送信手段と
を備える請求項１に記載の印刷システム。
【請求項３】
前記第二の情報処理装置は、
前記印刷許否判断手段によって印刷が許可された場合に、前記印刷対象データから、前記印刷装置が解釈可能な印刷データを生成する印刷データ生成手段と、
前記印刷データ生成手段によって生成された前記印刷データを、前記第一の情報処理装置に送信する印刷データ送信手段と
を更に備える請求項１に記載の印刷システム。
【請求項４】
前記第一の情報処理装置は、
前記第二の情報処理装置から、前記印刷データを受信する印刷データ受信手段と、
前記印刷データ受信手段によって受信された印刷データを出力先となる印刷装置に送信する印刷データ送信手段と
を更に備える請求項２又は３に記載の印刷システム。
【請求項５】
前記第一の情報処理装置は、
前記印刷データを前記印刷装置に送信する前に、前記印刷装置の認証を行う印刷装置認証手段を
更に備える請求項４に記載の印刷システム。
【請求項６】
前記第二の情報処理装置は、
前記印刷装置識別情報に対応する印刷装置から印刷装置情報を取得する印刷装置情報取得手段と、
前記印刷対象データのセキュリティレベルを判定するセキュリティレベル判定手段と
を更に備え、
前記印刷許否判断手段は、前記印刷装置情報取得手段によって取得された印刷装置情報と、前記セキュリティレベル判定手段によって判定されたセキュリティレベルに応じて、印刷を許可するか否かを判断する
請求項１〜５のいずれか一項に記載の印刷システム。
【請求項７】
前記印刷装置情報は、前記印刷装置が提供可能なセキュリティ機能に関する情報である
請求項６に記載の印刷システム。
【請求項８】
前記第二の情報処理装置は、
印刷許否判断責任者に対して、前記印刷対象データを、前記印刷装置識別情報に対応する印刷装置で印刷することを許可するか否かを問い合わせる問い合わせ手段を
更に備える請求項６又は７に記載の印刷システム。
【請求項９】
前記印刷許否判断手段は、
前記印刷対象データを解析して、当該印刷対象データに含まれるキーワードの発生頻度を集計し、当該集計結果からリスク値を算出し、算出されたリスク値が閾値を超えているか否かによって、印刷を許可するか否かを判断する
請求項６又は７に記載の印刷システム。
【請求項１０】
前記印刷データ生成手段は、
印刷する画像を規定する印刷データと、プリンタの動作を制御する印刷ジョブチケットを別々に生成する
請求項２〜９のいずれか一項に記載の印刷システム。
【請求項１１】
前記第一の情報処理装置は、
前記印刷ジョブチケットに変更可能と指定された印刷条件を変更する印刷条件変更手段を
更に備える請求項１０に記載の印刷システム。
【請求項１２】
前記第一の情報処理装置は、
前記第二の情報処理装置から印刷装置情報取得要求を受信して、前記印刷装置に送信し、また、当該印刷装置情報取得要求に対する応答を、前記印刷装置から受信して、前記第二の情報処理装置に送信する通信中継手段を
更に備える請求項１〜１１のいずれか一項に記載の印刷システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、印刷装置（例えば、プリンタ）と、印刷装置での印刷を指示する情報処理装置（例えば、クライアントＰＣ）とを備えた印刷システムに関する。
【背景技術】
【０００２】
近年、セキュリティ意識の高まりから、一般のユーザが使用するクライアントＰＣからのデータ流出に対する対策が必要とされている。この傾向はデータ出力の一種である印刷についても同様であり、機密文書や社外秘文書のような特定の文書については、印刷に関して一定の制限を課する傾向にある。
【０００３】
かかる制限を課す技術として、例えば特開２００２−２５９１０８号公報には、ネットワークで接続されたドキュメントサーバ、プリンタ、ユーザクライアントから構成される印刷システムであって、ドキュメントサーバが、出力先となるプリンタの公開鍵証明書に基づく認証と、安全なプリンタのリストとの照合により、安全なプリンタであることの確認を行うことで、不適格なプリンタへの出力を防止する印刷システムが開示されている。
【特許文献１】特開２００２−２５９１０８号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかし、かかる制限を一律的に適用した場合、例えばセキュリティ上は問題の無い文書の印刷でも印刷できなくなることや、印刷可能なプリンタの種類やその機能も大幅に制限されることにもなり、印刷の利便性を著しく低下させることになってしまう。
【０００５】
本発明は上記の点に鑑みなされたもので、通常は印刷を許されていないクライアントＰＣ等の情報処理装置からでも、セキュリティ上問題がない場合には、印刷をできるようにすることを目的とする。
【課題を解決するための手段】
【０００６】
本発明では、印刷装置での印刷を指示する第一の情報処理装置が、印刷対象データと、出力先となる印刷装置を特定する印刷装置識別情報とを、前記印刷の許否を判断する第二の情報処理装置に送信し、前記第二の情報処理装置が、前記印刷対象データを、前記印刷装置識別情報に対応する印刷装置で印刷することを許可するか否かを判断するので、通常は印刷を許されていない第一の情報処理装置からでも、セキュリティ上問題がない場合には、印刷をすることが可能となり、ユーザの利便性を向上させることができる。
【０００７】
すなわち、本発明によれば、
印刷装置と、前記印刷装置での印刷を指示する第一の情報処理装置と、前記印刷の許否を判断する第二の情報処理装置とを備えた印刷システムであって、
前記第一の情報処理装置は、
印刷対象データと、出力先となる印刷装置を特定する印刷装置識別情報とを、前記第二の情報処理装置に送信する印刷要求送信手段
を備え、
前記第二の情報処理装置は、
前記第一の情報処理装置から、前記印刷対象データと前記印刷装置識別情報とを受信する印刷要求受信手段と、
前記印刷対象データを、前記印刷装置識別情報に対応する印刷装置で印刷することを許可するか否かを判断する印刷許否判断手段と
を備えた印刷システムが提供される。
【０００８】
前記印刷システムでは、前記印刷対象データから、前記印刷装置が解釈可能な印刷データを生成する第三の情報処理装置を更に備え、
前記第二の情報処理装置は、
前記印刷許否判断手段によって印刷が許可された場合に、前記第三の情報処理装置に、前記印刷対象データを送信する印刷対象データ送信手段と、
前記第三の情報処理装置から、前記印刷データを受信する印刷データ受信手段と、
前記印刷データを、前記第一の情報処理装置に送信する印刷データ送信手段と
を更に備え、
前記第三の情報処理装置は、
前記第二の情報処理装置から、前記印刷対象データを受信するデータ受信手段と、
前記印刷対象データから前記印刷データを生成する印刷データ生成手段と、
前記印刷データ生成手段によって生成された前記印刷データを、前記第二の情報処理装置に送信するデータ送信手段と
を備えることができる。
【０００９】
また、前記第二の情報処理装置は、
前記印刷許否判断手段によって印刷が許可された場合に、前記印刷対象データから、前記印刷装置が解釈可能な印刷データを生成する印刷データ生成手段と、
前記印刷データ生成手段によって生成された前記印刷データを、前記第一の情報処理装置に送信する印刷データ送信手段と
を更に備えることができる。
【００１０】
また、前記第一の情報処理装置は、
前記第二の情報処理装置から、前記印刷データを受信する印刷データ受信手段と、
前記印刷データ受信手段によって受信された印刷データを出力先となる印刷装置に送信する印刷データ送信手段と
を更に備えることができる。
【００１１】
また、前記第一の情報処理装置は、
前記印刷データを前記印刷装置に送信する前に、前記印刷装置の認証を行う印刷装置認証手段を
更に備えることができる。
【００１２】
また、前記第二の情報処理装置は、
前記印刷装置識別情報に対応する印刷装置から印刷装置情報を取得する印刷装置情報取得手段と、
前記印刷対象データのセキュリティレベルを判定するセキュリティレベル判定手段と
を更に備え、
前記印刷許否判断手段は、前記印刷装置情報取得手段によって取得された印刷装置情報と、前記セキュリティレベル判定手段によって判定されたセキュリティレベルに応じて、印刷を許可するか否かを判断することができる。
【００１３】
また、前記印刷装置情報は、例えば、前記印刷装置が提供可能なセキュリティ機能に関する情報である。
【００１４】
また、前記第二の情報処理装置は、
印刷許否判断責任者に対して、前記印刷対象データを、前記印刷装置識別情報に対応する印刷装置で印刷することを許可するか否かを問い合わせる問い合わせ手段を
更に備えることができる。
【００１５】
また、前記印刷許否判断手段は、
前記印刷対象データを解析して、当該印刷対象データに含まれるキーワードの発生頻度を集計し、当該集計結果からリスク値を算出し、算出されたリスク値が閾値を超えているか否かによって、印刷を許可するか否かを判断することができる。
【００１６】
また、前記印刷データ生成手段は、
印刷する画像を規定する印刷データと、プリンタの動作を制御する印刷ジョブチケットを別々に生成することができる。
【００１７】
また、前記第一の情報処理装置は、
前記印刷ジョブチケットに変更可能と指定された印刷条件を変更する印刷条件変更手段を
更に備えることができる。
【００１８】
また、前記第一の情報処理装置は、
前記第二の情報処理装置から印刷装置情報取得要求を受信して、前記印刷装置に送信し、また、当該印刷装置情報取得要求に対する応答を、前記印刷装置から受信して、前記第二の情報処理装置に送信する通信中継手段を
更に備えることができる。
【発明を実施するための最良の形態】
【００１９】
以下、本発明の実施形態を図面を交えながら説明するが、本発明は後述する実施形態に限定されるわけではない。
【００２０】
図1は、本発明の一実施形態である印刷システムの構成例を示す図である。
【００２１】
図１に示すように、印刷システム１００は、第一のネットワークシステム１１０と、第二のネットワークシステム１２０とによって構成されており、第一のネットワークシステム１１０と第二のネットワークシステム１２０とは、インターネット１３０を介して接続されている。
【００２２】
第一のネットワークシステム１１０は、１台以上のクライアントＰＣ１１１（図１の例では、２台のクライアントＰＣ１１１ａ，１１１ｂ）と、１台以上のプリンタ１１２（図１の例では、２台のプリンタ１１２ａ，１１２ｂ）と、ルータ１１３とを備える。クライアントＰＣ１１１、プリンタ１１２及びルータ１１３は、それぞれ、ＬＡＮ等のネットワーク１１９に接続されており、また、ルータ１１３は、インターネット１３０にも接続されている。第一のネットワークシステム１１０のシステム構成は、例えば、各家庭の家庭内ＬＡＮや、インターネットアクセスを提供する街頭の無線ＬＡＮスポットなどで採用されるシステム構成と同様のものである。なお、無線ＬＡＮを利用する場合は、クライアントＰＣ１１１は、ネットワーク１１９に接続されるアクセスポイント（不図示）を介して、ネットワーク１１９に接続される。
【００２３】
クライアントＰＣ１１１は、プリンタ１１２で印刷を行う文書等を作成したり、作成された文書等の印刷を指示したりするためにユーザが利用する情報処理装置である。クライアントＰＣ１１１は、例えば、パーソナルコンピュータその他のコンピュータによって構成され、中央処理装置（ＣＰＵ）、メモリ（ＲＯＭやＲＡＭ）、外部記憶装置（例えば、ハードディスク装置や光ディスク装置）、各種インタフェース部（例えば、ネットワークインタフェース部）、表示装置（例えば、ＣＲＴディスプレイや液晶ディスプレイ）、入力装置（例えば、キーボードやマウス）等を備える。
【００２４】
プリンタ１１２は、ネットワーク１１９を介して送られてくる印刷データを受信して、受信した印刷データに応じた出力を用紙に対して行う印刷装置である。プリンタ１１２は、例えば、通常のネットワーク対応のプリンタや複合機と同様に、電子写真式やインクジェット式のプリントエンジン、ＣＰＵ、ＲＯＭ、ＲＡＭ、不揮発性メモリ（例えば、ＮＶＲＡＭ）、各種インタフェース部（例えば、ネットワークインタフェース部）等を備える。
【００２５】
ルータ１１３は、ネットワーク１１９とインターネット１３０とを接続して、ネットワーク１１９とインターネット１３０との間でパケットを中継する通信装置である。また、ここでは、ルータ１１３は、インターネット１３０からの不正アクセスを防止するためのファイアウォール機能も備えているものとする。
【００２６】
第二のネットワークシステム１２０は、複数のクライアントＰＣ１２１（図１の例では、２台のクライアントＰＣ１２１ａ，１２１ｂ）と、複数のプリンタ１２２（図１の例では、２台のプリンタ１２２ａ，１２２ｂ）と、ルータ１２３と、シンクライアントサーバ１２４と、印刷許否判断サーバ１２５と、印刷データ生成サーバ１２６とを備える。クライアントＰＣ１２１、プリンタ１２２、ルータ１２３、シンクライアントサーバ１２４、印刷許否判断サーバ１２５及び印刷データ生成サーバ１２６は、それぞれ、ＬＡＮ等のネットワーク１２９に接続されており、また、ルータ１２３は、インターネット１３０にも接続されている。第二のネットワークシステム１２０のシステム構成は、例えば、企業等の組織で採用されるシステム構成と同様のものである。
【００２７】
クライアントＰＣ１２１は、プリンタ１２２で印刷を行う文書等を作成したり、作成された文書等の印刷を指示したりするためにユーザが利用する情報処理装置である。クライアントＰＣ１２１は、例えば、パーソナルコンピュータその他のコンピュータによって構成され、ＣＰＵ、メモリ（ＲＯＭやＲＡＭ）、各種インタフェース部（例えば、ネットワークインタフェース部）、表示装置（例えば、ＣＲＴディスプレイや液晶ディスプレイ）、入力装置（例えば、キーボードやマウス）等を備える。なお、ここでは、クライアントＰＣ１２１は、例えば、シンクライアントサーバ１２４で動作しているアプリケーションソフトウェアを遠隔操作するシンクライアントとして動作するものであり、シンクライアントサーバ１２４から送信されてくる画面情報を表示させ、ユーザからのキーボードやマウスによる入力情報を、シンクライアントサーバ１２４に送信するものであるとする。
【００２８】
プリンタ１２２は、ネットワーク１２９を介して送られてくる印刷データを受信して、受信した印刷データに応じた出力を用紙に対して行う印刷装置である。プリンタ１２２は、例えば、通常のネットワーク対応のプリンタや複合機と同様に、電子写真式やインクジェット式のプリントエンジン、ＣＰＵ、ＲＯＭ、ＲＡＭ、不揮発性メモリ（例えば、ＮＶＲＡＭ）、各種インタフェース部（例えば、ネットワークインタフェース部）等を備える。
【００２９】
ルータ１２３は、ネットワーク１２９とインターネット１３０とを接続して、ネットワーク１２９とインターネット１３０との間でパケットを中継する通信装置である。また、ここでは、ルータ１２３は、インターネット１３０からの不正アクセスを防止するためのファイアウォール機能や、インターネット１３０上に仮想的な私的ネットワークを構築するためのＶＰＮ（Virtual Private Network）ゲートウェイ機能も備えているものとする。
【００３０】
シンクライアントサーバ１２４は、クライアントＰＣ１２１がシンクライアントとして動作するために必要な機能を提供する情報処理装置である。例えば、シンクライアントサーバ１２４は、各クライアントＰＣ１２１によって起動されたアプリケーションソフトウェアを動作させ、各クライアントＰＣ１２１から送信されてくる入力情報を、対応するアプリケーションソフトウェアに通知し、各アプリケーションソフトウェアによって生成された画面情報を、対応するクライアントＰＣ１２１に送信する。
【００３１】
印刷許否判断サーバ１２５は、ネットワーク１２９を介して受信した印刷要求を許可するか否かを判断する情報処理装置である。例えば、印刷許否判断サーバ１２５は、第一のネットワークシステム１１０のクライアントＰＣ１１１によって送信された印刷要求を、ネットワーク１１９、インターネット１３０及びネットワーク１２９を介して受信し、当該印刷要求を許可するか否かを判断する。印刷許否判断サーバ１２５は、印刷要求を許可した場合は、当該印刷要求に含まれる印刷対象データ及び印刷条件を、印刷データ生成サーバ１２６に通知して、印刷データ等の生成を指示する。
【００３２】
印刷データ生成サーバ１２６は、ネットワーク１２９を介して受信した印刷対象データから、出力先となるプリンタが解釈可能な印刷データを生成するものである。また、印刷データ生成サーバ１２６は、ネットワーク１２９を介して受信した印刷条件から、印刷ジョブチケットも生成する。印刷データ生成サーバ１２６は、印刷データ及び印刷ジョブチケットの生成を完了すると、生成された印刷データ及び印刷ジョブチケットを、印刷許否判断サーバ１２５に送信する。
【００３３】
なお、シンクライアントサーバ１２４、印刷許否判断サーバ１２５及び印刷データ生成サーバ１２６はそれぞれ、通常のサーバ用コンピュータその他のコンピュータによって構成され、例えば、中央処理装置（ＣＰＵ）、メモリ（ＲＯＭやＲＡＭ）、外部記憶装置（例えば、ハードディスク装置や光ディスク装置）、各種インタフェース部（例えば、ネットワークインタフェース部）、表示装置（例えば、ＣＲＴディスプレイや液晶ディスプレイ）、入力装置（例えば、キーボードやマウス）等を備える。
【００３４】
第二のネットワークシステム１２０においては、強固なセキュリティを確保するため、組織内ネットワークであるネットワーク１２９に接続して使用するクライアントＰＣは、予めすべて登録するものとし、登録されていないクライアントＰＣは接続できないように設定されているものとする。また、ユーザごとやクライアントＰＣごとに、利用可能なプリンタが指定されているものとする。すなわち、例えば、クライアントＰＣ１２１ａでは、プリンタ１２２ａでのみに印刷することが可能なように、ＩＴ管理者があらかじめ設定しておくものとする。また、クライアントＰＣ１２１は、すべてシンクライアントとして動作し、ユーザが使うデータその他のＰＣ環境はすべてシンクライアントサーバ１２４内に格納されるものとする。この場合、ユーザが使用するデータや環境はすべてシンクライアントサーバ１２４内に保存され、クライアントＰＣ１２１内には残らないため、クライアントＰＣ１２１を紛失したりしても機密漏洩には、つながらないということになる。
【００３５】
このような運用がなされている組織のユーザが、クライアントＰＣ１２１を組織外（例えば、自宅や外出先）に持ち出して、組織外でクライアントＰＣ１２１を使用する場合は、まず、例えば、自宅や外出先で利用可能なネットワークである第一のネットワークシステム１１０のネットワーク１１９に接続し、インターネット１３０を経由して、組織内のシンクライアントサーバ１２４に接続する必要がある。また、組織外のクライアントＰＣ１１１を利用して、組織内に存在する文書データ（例えば、ネットワーク１２９に接続された文書サーバに格納された文書データ）の閲覧等を行う場合についても、同様に、インターネット１３０を経由して、第二のネットワークシステム１２０のネットワーク１２９に接続する必要がある。このとき、インターネット１３０を経由して、ネットワーク１２９に接続する技術としてＶＰＮ技術が使用される。ＶＰＮ技術を使用することにより、ネットワーク１１９に接続しているクライアントＰＣ１１１は、あたかも専用線を介してネットワーク１２９に接続しているように、インターネット１３０を介してネットワーク１２９に接続することが可能となる。
【００３６】
しかし、ユーザごとやクライアントＰＣごとに利用可能なプリンタが指定されている場合は、組織外でクライアントＰＣを使用している際も同じ制限が課されることとなり、自宅や外出先のユーザの近くに設置されているプリンタでは印刷することができないことになる。しかしながら、印刷対象となる文書等によっては、組織外に存在するプリンタでの印刷を許してもセキュリティ上問題にならない場合も存在する。そこで、本実施形態では、印刷許否判断サーバ１２５によって、各印刷要求について印刷を許可するか否かを判断し、セキュリティ上問題にならない場合については、印刷を許可するようにする。
【００３７】
以下では、第一のネットワークシステム１１０のネットワーク１１９に接続されたクライアントＰＣ１１１が、インターネット１３０を介して、第二のネットワークシステム１２０のネットワーク１２９に接続し、組織内に存在する文書データの閲覧を行っている際に、当該文書データを、本来は印刷することが許されていない、ネットワークに１１９に接続されたプリンタ１１２に印刷する場合について説明する。
【００３８】
まず、クライアントＰＣ１１１の機能構成について説明する。
【００３９】
図２は、クライアントＰＣ１１１の機能構成の実施形態を示す図である
図２に示すように、クライアントＰＣ１１１は、印刷要求送信部２１０と、印刷データ受信部２２０と、印刷条件変更部２３０と、印刷データ送信部２４０と、プリンタ認証部２５０と、通信中継部２６０とを備える。
【００４０】
印刷要求送信部２１０は、ユーザから文書データの印刷を指示されると、印刷許否判断サーバ１２５に、印刷対象データである文書データ自体、出力先となるプリンタ１１２の識別情報その他必要な情報を含む印刷要求を送信して、印刷許否の判断を要求するものである。
【００４１】
印刷データ受信部２２０は、印刷許否判断サーバ１２５によって印刷が許可された場合に、印刷許否判断サーバ１２５から送られてくる印刷データ及び印刷ジョブチケットを受信するものである。
【００４２】
印刷条件変更部２３０は、印刷ジョブチケットで変更可能に設定されている印刷条件の変更が必要であるか否かをユーザに問い合わせて、必要な変更を行うものである。
【００４３】
印刷データ送信部２４０は、印刷データ及び必要な変更が加えられた印刷条件等を、出力先となるプリンタ１１２に送信するものである。
【００４４】
プリンタ認証部２５０は、印刷データ等をプリンタ１１２に送信する前に、出力先となるプリンタ１１２の認証を行うものである。
【００４５】
通信中継部２６０は、印刷許否判断サーバ１２５がプリンタ１１２と通信する際に、印刷許否判断サーバ１２５とプリンタ１１２との通信を中継するものである。すなわち、通信中継部２６０は、印刷許否判断サーバ１２５から送信されてくるプリンタ１１２に対するプリンタ情報の問い合わせメッセージを受信して、プリンタ１１２に送信し、また、当該問い合わせメッセージに対する応答メッセージを、プリンタ１１２から受信して、印刷許否判断サーバ１２５に送信する。本実施形態では、通信中継部２６０が、印刷許否判断サーバ１２５とプリンタ１１２との通信を中継することにより、ネットワークの途中のファイアウォールやＶＰＮシステムの構成状態によって、印刷許否判断サーバ１２５が、プリンタ１１２と、ネットワークを介して直接通信することができない場合であっても、印刷許否判断サーバ１２５は、プリンタ１１２の情報を取得することが可能となる。
【００４６】
次に、印刷許否判断サーバ１２５の機能構成について説明する。
【００４７】
図３は、印刷許否判断サーバ１２５の機能構成の実施形態を示す図である。
【００４８】
図３に示すように、印刷許否判断サーバ１２５は、印刷要求受信部３１０と、セキュリティレベル判定部３２０と、プリンタ情報取得部３３０と、印刷許否判断部３４０と、動作制御テーブル３５０と、印刷対象データ送信部３６０と、印刷データ受信部３７０と、印刷データ送信部３８０とを備える。
【００４９】
印刷要求受信部３１０は、クライアントＰＣ１１１から送られてくる印刷要求を受信するものである。受信した印刷要求には、印刷対象データや、出力先となるプリンタ１１２の識別情報等が含まれている。
【００５０】
セキュリティレベル判定部３２０は、印刷要求に含まれる印刷対象データのセキュリティレベルを判定するものである。セキュリティレベル判定部３２０は、例えば、印刷対象データの属性情報を調べて、印刷対象データのセキュリティレベルを判定する。
【００５１】
プリンタ情報取得部３３０は、印刷要求で出力先と指定されているプリンタ１１２から、当該プリンタ１１２のセキュリティ機能情報その他の情報を取得するものである。プリンタ情報取得部は、例えば、プリンタの公開鍵証明書や、プリンタが使用するタイムサーバ（Time Server）の情報や、プリンタがサポートする通信暗号化方式についての情報や、セキュリティ透かし機能の有無についての情報や、パスワード印刷機能の有無についての情報や、プリンタのモデル名とオプション構成（増設ハードディスクドライブや給紙トレイ・排紙トレイなど)についての情報等を取得する。
【００５２】
このようなプリンタ情報を取得することで、出力先となるプリンタの信頼度等を判断することが可能となる。例えば、プリンタから取得された公開鍵証明書が信頼できるルート認証局が発行したものであれば、プリンタの信頼度は高いと判断することができるし、プリンタが使用するタイムサーバが信頼できるものであれば、プリンタの信頼度は高いと判断することができる。また、プリンタが強固な暗号化方法をサポートしていれば、それだけセキュリティレベルが高いと判断することができる。また、プリンタがセキュリティ透かし機能や、パスワード印刷機能を有していれば、その分、セキュリティレベルが高いと判断することができる。なお、セキュリティ透かし機能とは、人間の目では識別できないが機械的には識別可能なパターンを、本来の印刷結果と共に用紙に印刷することで、印刷結果物の識別を可能にする技術である。また、パスワード印刷機能とは、印刷データを受信してもすぐには印刷を行わず、ユーザがプリンタの操作パネル等を介してパスワードを入力したのを確認した後に、印刷を開始する機能である。
【００５３】
印刷許否判断部３４０は、セキュリティレベル判定部３２０によって判定された印刷対象データのセキュリティレベルと、プリンタ情報取得部３３０によって取得されたプリンタ情報に従って、印刷を許可するか否かを判断するものである。印刷許否判断部３４０は、動作制御テーブル３５０を参照して、印刷を許可するか否かの判断を行う。
【００５４】
動作制御テーブル３５０は、印刷許否判断サーバ１２５の動作を制御するデータが格納されたテーブルであって、印刷を許可するか否かの判断に利用されるデータや、印刷許可後に設定変更を許す印刷条件についてのデータや、印刷対象データや印刷データを保存するか否かを示すデータが格納される。なお、動作制御テーブル３５０に格納される各データは、予め管理者等によって設定される。動作制御テーブル３５０の詳細については後述する。
【００５５】
印刷対象データ送信部３６０は、印刷許否判断部３４０によって印刷が許可されると、印刷データ生成サーバ１２６に、印刷対象データ、印刷条件等を送信して、印刷データ及び印刷ジョブチケットの生成を指示するものである。なお、印刷対象データ送信部３６０は、必要に応じて、印刷対象データ等の保存も行う。
【００５６】
印刷データ受信部３７０は、印刷データ生成サーバ１２６によって生成された印刷データ及び印刷ジョブチケットを受信し、必要に応じて、受信した印刷データ等の保存を行うものである。
【００５７】
印刷データ送信部３８０は、印刷データ生成サーバ１２６から受信した印刷データ及び印刷ジョブチケットを、クライアントＰＣ１１１に送信するものである。
【００５８】
図４は、動作制御テーブル３５０の実施形態を示す図である。
【００５９】
図４に示すように、動作制御テーブル３５０は、「文書セキュリティレベル」フィールド４０１と、「プリンタ設置場所」フィールド４０２と、「必須プリンタセキュリティ機能」フィールド４０３と、「可変印刷条件」フィールド４０４と、「文書データ保存」フィールド４０５と、「印刷データ保存」フィールド４０５とを備える。
【００６０】
「文書セキュリティレベル」フィールド４０１は、各文書データに対して設定されるセキュリティレベルが格納される領域であり、図４に示した例では、セキュリティレベルとして６種類の値（すなわち、「対象外」、「公開」、「不明」、「社外秘」、「秘」、「極秘」）が格納されている。
【００６１】
「プリンタ設置場所」フィールド４０２は、出力先となるプリンタが設置された場所を表す値が格納される領域であり、図４に示した例では、プリンタの設置場所を表す値として、２種類の値（すなわち、「社内」及び「社外」）が格納されている。
【００６２】
「必須プリンタセキュリティ機能」フィールド４０３は、文書セキュリティレベルとプリンタ設置場所の各組み合わせに対して、必要とされるプリンタセキュリティ機能を示す情報が格納される領域である。印刷許否判断部３４０は、当該フィールド４０３に指定されているセキュリティ機能を、出力先となるプリンタ１１２が有している場合、必要なセキュリティが確保可能と判断して、印刷を許可する。
【００６３】
「可変印刷条件」フィールド４０４は、印刷許可を与えた後に、ユーザに変更を許可する印刷条件が指定される領域である。当該フィールド４０４には、文書セキュリティレベルとプリンタ設置場所の各組み合わせに対して、ユーザに変更を許してもセキュリティ上問題にならない印刷条件（及び必要に応じて設定値の範囲）が指定される。
【００６４】
「文書データ保存」フィールド４０５は、印刷要求に含まれる文書データの保存が必要であるか否かが指定される領域であり、印刷許否判断サーバ１２５は、当該フィールド４０５を参照して、文書データの保存が必要と指定されている場合は、文書データの保存を行う。
【００６５】
「印刷データ保存」フィールド４０６は、印刷データ生成サーバ１２６によって生成された印刷データの保存が必要であるか否かが指定される領域であり、印刷許否判断サーバ１２５は、当該フィールド４０６を参照して、印刷データの保存が必要と指定されている場合は、印刷データの保存を行う。
【００６６】
次に、印刷データ生成サーバ１２６の機能構成について説明する。
【００６７】
図５は、印刷データ生成サーバ１２６の機能構成の実施形態を示す図である。
【００６８】
図５に示すように、印刷データ生成サーバ１２６は、データ受信部５１０と、印刷データ生成部５２０と、データ送信部５３０とを備える。
【００６９】
データ受信部５１０は、印刷許否判断サーバ１２５から、ネットワーク１２９を介して送信されてくる印刷対象データ及び印刷条件等を受信するものである。
【００７０】
印刷データ生成部５２０は、データ受信部５１０によって受信された印刷対象データ及び印刷条件等から、印刷データ及び印刷ジョブチケットを生成するものである。すなわち、印刷対象データを、出力先となるプリンタ１１２が解釈可能な印刷データに変換すると共に、印刷条件等から、印刷ジョブチケットを生成する。印刷データは、Ｐｏｓｔｓｃｒｉｐｔ（登録商標）やＰＣＬなどのプリンタ制御言語で記述され、用紙等の印刷媒体に出力されるイメージ（画像）を規定するデータである。印刷ジョブチケットは、プリンタの動作を制御する情報等が含まれたデータであって、例えば、印刷条件に関する情報や、出力先となるプリンタに関する情報が含まれる。
【００７１】
データ送信部５３０は、印刷データ生成部５２０によって生成された印刷データ及び印刷ジョブチケットを、印刷許否判断サーバ１２５に、ネットワーク１２９を介して送信するものである。
【００７２】
図６は、印刷データ生成サーバ１２６によって生成される印刷ジョブチケットの例を示す図である。
【００７３】
図６に示すように、印刷ジョブチケット６００は、プリンタ識別情報セクション６１０と、印刷条件セクション６２０とを備える。
【００７４】
プリンタ識別情報セクション６１０は、<Printer
ID>と</Printer ID>とで挟まれた部分であって、プリンタの識別方法に関する情報が含まれる部分である。図６に示した印刷ジョブチケット６００では、プリンタの識別方法は、シリアル番号（model_and_serial）によることが指定されている。
【００７５】
印刷条件セクション６２０は、<PrintJobInstructions>と</PrintJobInstructions>とで挟まれた部分であって、印刷条件に関する情報が含まれる部分である。図６に示した印刷ジョブチケット６００では、印刷条件として、印刷部数（Copies）、両面設定（Duplex）、後処理（Finishing）、透かし印刷（Watermark）の４種類が指定されている。
【００７６】
また、図６に示すように、印刷ジョブチケット６００の印刷条件セクション６２０には、可変印刷条件セクション６２１が含まれている。可変印刷条件セクション６２１は、<Changeables>と</Changeables>とで挟まれた部分であって、変更可能な印刷条件が指定されている部分である。すなわち、<Changeable>と</Changeable>とで挟まれた各部分に、変更可能な各印刷条件が指定される。図６に示した例では、印刷部数（Copies）と後処理（Finishing）が、変更可能な印刷条件として指定されている。更に、印刷部数については、変更可能な範囲、すなわち、下限値（Minimum)及び上限値（Maximum）についても指定されている。
【００７７】
次に、プリンタ１１２の機能構成について説明する。
【００７８】
図７は、プリンタ１１２の機能構成の実施形態を示す図である。
【００７９】
図７に示すように、プリンタ１１２は、データ受信部７１０と、印刷制御部７２０と、印刷処理部７３０と、プリンタ情報送信部７４０とを備える。
【００８０】
データ受信部７１０は、ネットワーク１１９を介して、印刷データや印刷条件指示命令等を受信するものである。
【００８１】
印刷制御部７２０は、データ受信部７１０によって受信された印刷データに応じた印刷出力を制御するものである。例えば、印刷制御部７２０は、インターネット１３０上のタイムサーバから現在の正確な時刻を取得する時刻情報取得部７２１を備え、時刻情報取得部７２１によって取得された時刻情報と、印刷データと共に通知される印刷可能時間範囲情報とを比較し、現在の時刻が、印刷可能時間範囲内にある場合は、印刷処理部７３０に印刷出力を指示する。一方、現在の時刻が、印刷可能時間範囲内にない場合は、印刷出力を指示しない。このような処理を行うことにより、一度印刷許可が発行された印刷要求をコピーしておいて、同じジョブが後に印刷されてしまうことを防止することが可能となる。
【００８２】
また、印刷制御部７２０は、例えば、印刷データ等のハッシュ値を算出して保存しておくハッシュ値算出部７２２を備え、新たに受信した印刷データ等からハッシュ値算出部７２２によって算出されたハッシュ値を、以前に算出して保存しておいたハッシュ値と比較し、両者が一致しない場合に限って、印刷処理部７３０に印刷出力を指示するようにしてもよい。このような処理を行うことにより、同じ印刷要求は１度しか印刷することができなくなるので、一度印刷許可を発行した印刷要求をコピーして、同じ印刷要求を複数回印刷されることを防止することが可能となる。
【００８３】
印刷処理部７３０は、データ受信部７１０によって受信された印刷データに応じた印刷出力を、用紙に対して行うものである。
【００８４】
プリンタ情報送信部７４０は、印刷許否判断サーバ１２５からプリンタ情報の問い合わせを、クライアントＰＣ１１１を介して受信すると、当該問い合わせに応答して、自己が備えるセキュリティ機能に関する情報その他の情報を、クライアントＰＣ１１１を介して、印刷許否判断サーバ１２５に通知するものである。
【００８５】
次に、以上のような構成を有する印刷システム１００の動作について説明する。まず、クライアントＰＣ１１１の動作について説明する。
【００８６】
図８及び図９は、クライアントＰＣ１１１の動作を説明するためのフローチャートである。
【００８７】
クライアントＰＣ１１１を利用するユーザによって、印刷を行う文書（印刷対象データ）及び出力先となるプリンタが選択されて、印刷の実行が指示されると、クライアントＰＣ１１１は、図８に示すように、まず、ステップＳ８０１で、出力先に指定されたプリンタ１１２との通信を確立し、そのプリンタ１１２との通信に使用される通信ポート識別子を取得する。当該通信ポート識別子は、以後、出力先となるプリンタ１１２の識別情報として利用される。
【００８８】
次に、ステップＳ８０２で、クライアントＰＣ１１１は、印刷許否判断サーバ１２５に、印刷対象となる文書データ及び通信ポート識別子等を送信して、印刷許可を求める。文書データ等を受信した印刷諾否判断サーバ１２５では、当該文書データの印刷を許可するか否かの判断が開始される。
【００８９】
次に、ステップＳ８０３で、クライアントＰＣ１１１は、印刷許否判断サーバ１２５と出力先となるプリンタ１１２との間の通信の中継を行う。すなわち、印刷許否判断サーバ１２５から、印刷を許可するか否かを判断するために必要なプリンタ情報をプリンタ１１２に対して要求するプリンタ情報取得要求を受信すると、受信したプリンタ情報取得要求を、プリンタ１１２に送信し、当該プリンタ情報取得要求に対する応答を、プリンタ１１２から受信すると、当該応答を、印刷許否判断サーバ１２５に送信する。
【００９０】
次に、ステップＳ８０４で、クライアントＰＣ１１１は、印刷許否判断サーバ１２５によって印刷が許可されたか否かを判別する。その結果、印刷許否判断サーバ１２５によって印刷が許可されなかった場合は（Ｓ８０４：Ｎｏ）、ステップＳ８１５で、印刷が許可されなかった旨をユーザに適宜通知し、処理を終了する。
【００９１】
一方、印刷許否判断サーバ１２５によって印刷が許可された場合は（Ｓ８０４：Ｙｅｓ）、ステップＳ８０５で、クライアントＰＣ１１１は、印刷許否判断サーバ１２５から印刷データ及び印刷ジョブチケットを受信する。次に、ステップＳ８０６で、クライアントＰＣ１１１は、出力先となるプリンタの認証を行う。すなわち、これから印刷を行おうとしているプリンタが、印刷許可を得たプリンタと同一であるか否かの確認を行う。プリンタの認証処理の詳細については後述する。
【００９２】
次に、クライアントＰＣ１１１は、ステップＳ８０７で、プリンタ認証に成功したか否かを判別し、プリンタ認証に失敗、すなわち、これから印刷を行おうとしているプリンタが、印刷許可を得たプリンタと一致しない場合は、印刷を許可できないと判断して、ステップＳ８１５で、印刷が許可されなかった旨をユーザに適宜通知し、処理を終了する。
【００９３】
一方、プリンタの認証に成功、すなわち、これから印刷を行おうとしているプリンタが、印刷許可を得たプリンタであることが確認できると（Ｓ８０７：Ｙｅｓ）、次に、図９に示すように、ステップＳ８０８で、印刷条件の変更が必要であるか否かをユーザに問い合わせる。すなわち、クライアントＰＣ１１１は、印刷ジョブチケットを解析して、印刷ジョブチケットに設定されている印刷条件を抽出し、各印刷条件の確認・変更用のユーザインタフェース（ＵＩ）画面を、自己が備える表示装置に表示させる。このとき、印刷ジョブチケットに変更可能なもの（Changeable）として指定されている印刷条件については、必要に応じて変更できるような態様でＵＩ画面に表示させる。例えば、印刷条件を設定するための適当なＵＩ部品（例えば、チェックボックスや、ラジオボタンや、リストボックス等）を表示させる。このとき、印刷ジョブチケットに選択可能な値が指定されている場合は、当該印刷ジョブチケットの指定に応じた選択肢を表示させる。一方、変更可能なものとして指定されていない印刷条件については、変更できないことがユーザにわかるような態様（例えば、グレイアウト表示）でＵＩ画面に表示させる。このようにして表示される印刷条件確認・変更用のＵＩ画面を介して、ユーザは必要に応じて印刷条件の設定を変更する。このように、印刷ジョブチケットに、変更可能な印刷条件として指定されているものについてのみ（範囲についても指定されている場合は、その指定されている範囲内でのみ）、ユーザによる設定変更を可能とすることにより、セキュリティ上問題にならない範囲で、印刷直前での印刷条件の変更を認めることが可能となり、必要なセキュリティを確保しつつも、ユーザの利便性を向上させることが可能となる。
【００９４】
ステップＳ８０８での問い合わせの結果、印刷条件の変更が必要である場合は（Ｓ８０８：Ｙｅｓ）、ステップＳ８０９で、ユーザからの指示に応じて印刷条件の変更を行う。そして、必要に応じて印刷条件の変更がされた後に、ステップＳ８１０で、印刷条件を、印刷条件指定命令に変換する。
【００９５】
次に、ステップＳ８１１で、クライアントＰＣ１１１は、印刷条件指定命令及び印刷データを、出力先となるプリンタ１１２に送信する。このとき、クライアントＰＣ１１１は、プリンタ１１２との通信方法に、暗号化通信が指定されている場合は、その暗号化通信方法で通信を行う。印刷条件指定命令及び印刷データを受信したプリンタ１１２は、受信した印刷条件指定命令及び印刷データに応じた出力を用紙等の印刷媒体に対して行う。
【００９６】
次に、クライアントＰＣ１１１は、ステップＳ８１２で、プリンタ１１２に送信した印刷データに対応する印刷結果物がユーザによって回収されたことが通知されたか否かを判別する。ユーザは、プリンタ１１２での印刷処理終了後に、印刷結果物を回収すると、回収に成功したことをクライアントＰＣ１１１の表示装置に表示されたＵＩ画面を介して、クライアントＰＣ１１１に通知する。ステップＳ８１２での判別の結果、回収に成功した旨の通知を受けた場合は（Ｓ８１２：Ｙｅｓ）、クライアントＰＣ１１１は、ステップＳ８１３で、印刷許否判断サーバ１２５に印刷結果物回収成功を通知し、処理を終了する。一方、ステップＳ８１２での判別の結果、ユーザが印刷結果物を回収できなかったことを通知してきたり、予め決められた時間内に回収報告をしてこなかったりした場合は（Ｓ８１２：Ｎｏ）、クライアントＰＣ１１１は、ステップＳ８１４で、印刷許否判断サーバ１２５に印刷結果物回収失敗を通知して、処理を終了する。当該通知を受けた印刷許否判断サーバ１２５は、当該印刷結果物回収失敗をセキュリティリスクとして記録する。
【００９７】
次に、プリンタの認証処理の詳細について説明する。
【００９８】
図１０は、プリンタの認証処理を説明するためのフローチャートである。
【００９９】
まず、クライアントＰＣ１１１は、印刷ジョブチケットに指定されているプリンタ識別方法を確認する。すなわち、図１０に示すように、まず、ステップＳ１００１で、プリンタの識別方法がシリアル番号によるものか否かを判別し、シリアル番号によるものではない場合は（Ｓ１００１：Ｎｏ）、更に、ステップＳ１００２で、公開鍵証明書によるものであるか否かを判別する。その結果、印刷ジョブチケットにいずれのプリンタ識別方法も指定されていない場合は（Ｓ１００２：Ｎｏ）、ステップＳ１００９で、プリンタの認証に失敗したと判断して、処理を終了する。
【０１００】
一方、プリンタ識別方法が、シリアル番号によることが印刷ジョブチケットに指定されている場合は（Ｓ１００１：Ｙｅｓ）、ステップＳ１００３で、プリンタ１１２からシリアル番号を取得する。例えば、図６に示した印刷ジョブチケット６００では、プリンタ識別方法としてシリアル番号によることが指定されているので、この場合、プリンタ１１２のシリアル番号をプリンタ１１２に問い合わせる。当該問い合わせに対してプリンタ１１２は、自己のシリアル番号をクライアントＰＣ１１１に通知する。
【０１０１】
クライアントＰＣ１１１は、プリンタ１１２からシリアル番号を取得すると、ステップＳ１００４で、取得したシリアル番号と、印刷ジョブチケットに指定されているシリアル番号とを比較して、両者が一致しているか否かを判別する。比較の結果、両者が異なる場合は（Ｓ１００４：Ｎｏ）、ステップＳ１００９で、プリンタの認証に失敗したと判断して、処理を終了する。
【０１０２】
一方、ステップＳ１００４での比較の結果、シリアル番号が一致している場合は（Ｓ１００４：Ｙｅｓ）、ステップＳ１００５で、プリンタの認証に成功したと判断して、処理を終了する。
【０１０３】
また、ステップＳ１００２での判別の結果、プリンタの識別方法が公開鍵証明書によることが印刷ジョブチケットに指定されている場合は（Ｓ１００２：Ｙｅｓ）、ステップＳ１００６で、プリンタ１１２から公開鍵証明書を取得する。そして、ステップＳ１００７で、取得した公開鍵証明書が有効であるか否かを調べる。すなわち、公開鍵証明書のダイジェスト（ハッシュ値）を生成するとともに、公開鍵証明書の電子署名を発行者の公開鍵で復号し、復号結果が、前記ダイジェストと一致するか否かを調べる。その結果、公開鍵証明書が有効である場合は（Ｓ１００７：Ｙｅｓ）、ステップＳ１００８で、プリンタの認証に成功したと判断して、処理を終了する。一方、公開鍵証明書が有効でない場合は（Ｓ１００７：Ｎｏ）、ステップＳ１００９で、プリンタ１１２の認証に失敗したと判断して処理を終了する。
【０１０４】
以上のようにして、プリンタの認証処理が行われる。
【０１０５】
このようにプリンタの認証を行うことにより、印刷が許可されたプリンタ（印刷許可時と同一のプリンタ）でのみ印刷を行うことが可能となるので、例えば、印刷許否判断が終わったあとに、セキュリティレベルの低いプリンタに置き換えて印刷を行う等の不正行為を防止することが可能となる。
【０１０６】
次に、印刷許否判断サーバ１２５の動作について説明する。
【０１０７】
図１１及び図１２は、印刷許否判断サーバ１２５の動作を説明するためのフローチャートである。
【０１０８】
図１１に示すように、印刷許否判断サーバ１２５は、まず、クライアントＰＣ１１１から印刷要求を受信すると、ステップＳ１１０１で、当該印刷要求に含まれている文書データの文書名や、プリンタとの通信ポート識別子等を抽出して、印刷ログに保存する。
【０１０９】
次に、印刷許否判断サーバ１２５は、ステップＳ１１０２で、文書データのセキュリティレベルを判定する。セキュリティレベルは、文書データの属性として文書データに含まれている情報であり、例えば、ワードプロセッサソフトウェアで文書データを作成する際や、文書管理データベースに登録される際等に適宜設定される。
【０１１０】
次に、印刷許否判断サーバ１２５は、ステップＳ１１０３で、出力先となるプリンタ１１２のセキュリティ機能情報その他プリンタに関する情報を、出力先となるプリンタ１１２から取得する。例えば、プリンタの公開鍵証明書や、プリンタが使用するタイムサーバの情報や、プリンタがサポートする通信暗号化方式についての情報や、セキュリティ透かし機能やパスワード印刷機能の有無についての情報や、プリンタのモデル名とオプション構成（増設ハードディスクドライブや給紙トレイ・排紙トレイなど)についての情報等を取得する。なお、プリンタ情報の取得は、前述したように、クライアントＰＣ１１１（通信中継部２６０）を介して行われる。また、印刷許否判断サーバ１２５は、プリンタ１１２と通信ができない場合は、プリンタ１１２のセキュリティ機能情報を取得できないとして、セキュリティ機能なしと判断する。
【０１１１】
次に、ステップＳ１１０４で、印刷許否判断サーバ１２５は、ステップＳ１１０２で判定した文書データのセキュリティレベルと、ステップＳ１１０３で取得したプリンタ情報を利用して、必要最低限のセキュリティが確保可能か否かを判断する。すなわち、印刷許否判断サーバ１２５は、動作制御テーブル３５０を参照して、出力先となるプリンタ１１２が、文書のセキュリティレベル及びプリンタの設置場所に応じて必要とされるセキュリティ機能を有しているか否かを判断する。
【０１１２】
判断の結果、プリンタ１１２が、文書のセキュリティレベル及びプリンタの設置場所に応じて必要とされるセキュリティ機能を有していない場合は（Ｓ１１０４：Ｎｏ）、印刷許否判断サーバ１２５は、当該印刷を許可できないと判断して、ステップＳ１１０５で、印刷要求は却下された旨と、その理由を、クライアントＰＣ１１１に通知すると共に、印刷ログに記録して、処理を終了する。
【０１１３】
一方、プリンタ１１２が、印刷対象文書のセキュリティレベル及びプリンタの設置場所に応じて必要とされるセキュリティ機能を有している場合は（Ｓ１１０４：Ｙｅｓ）、印刷許否判断サーバ１２５は、更に、ステップＳ１１０６で、印刷対象となる文書を印刷してよいかどうか（印刷可否）の判断を行う。本実施形態では、印刷可否の判断方法として、３種類の方法のいずれかを利用する。すなわち、（i）自動判断、（ii）他人（上司）判断、（iii）自己判断のいずれかである。それぞれの判断方法の詳細については後述する。３種類の判断方法のうち、いずれを利用するかは、例えば、実装条件に応じて予め設定されている。
【０１１４】
次に、ステップＳ１１０７で、印刷許否判断サーバ１２５は、ステップＳ１１０６での判断の結果、印刷可能と判断されたか否かを判別する。その結果、印刷不可と判断された場合は（Ｓ１１０７：Ｎｏ）、ステップＳ１１０５で、印刷要求が却下された旨と、その理由を、クライアントＰＣ１１１に通知すると共に、印刷ログに記録して、処理を終了する。
【０１１５】
一方、ステップＳ１１０７の判別の結果、印刷可能と判断された場合は（Ｓ１１０７：Ｙｅｓ）、印刷許否判断サーバ１２５は、ステップＳ１１０８で、文書データ保存の必要性を確認する。文書データの保存の必要性の有無は、前述したように、動作制御テーブル３５０に指定されている。印刷許否判断サーバ１２５は、動作制御テーブル３５０に文書データの保存が必要であることが指定されている場合は（Ｓ１１０８：Ｙｅｓ）、ステップＳ１１０９で、文書データをプリンタ情報と共に、あらかじめ設定されている保存方法で保存する。必要に応じて文書データの保存が終了すると、次に、図１２に示すように、ステップＳ１１１０で、文書データと印刷条件とプリンタ識別情報を印刷データ生成サーバ１２６に送り、印刷ジョブチケット及び印刷データの生成を印刷データ生成サーバ１２６に依頼する。当該依頼を受けた印刷データ生成サーバ１２６は、印刷許否判断サーバ１２５から受信したデータから、印刷ジョブチケット及び印刷データを生成し、印刷許否判断サーバ１２５に送り返す。
【０１１６】
印刷許否判断サーバ１２５は、印刷データ生成サーバ１２６によって生成された印刷ジョブチケット及び印刷データを受信すると、ステップＳ１１１１で、印刷データ保存の必要性を確認する。印刷データの保存の必要性の有無についても、前述したように、動作制御テーブル３５０に設定されているので、印刷許否判断サーバ１２５は、動作制御テーブル３５０を参照することによって、印刷データ保存の必要性を確認する。その結果、印刷データの保存が必要である場合は（Ｓ１１１１：Ｙｅｓ）、ステップＳ１１１２で、印刷データを、プリンタ情報と共にあらかじめ設定されている保存方法で保存する。必要に応じて印刷データの保存が終了すると、印刷許否判断サーバ１２５は、ステップＳ１１１３で、クライアントＰＣ１１１に印刷が許可されたことを通知するとともに、印刷ジョブチケット及び印刷データをクライアントＰＣ１１１に送信する。なお、印刷許否判断サーバ１２５は、クライアントＰＣ１１１に印刷データを送信する前に、必要に応じて、プリンタ１１２が備える暗号化方式に従って、印刷データの暗号化を行う。そして、印刷許否判断サーバ１２５は、ステップＳ１１１４で、印刷が行われたこと（印刷データが生成されて、クライアントＰＣ１１１に送信されたこと）を印刷ログに記録し、処理を終了する。
【０１１７】
次に、前述したステップＳ１１０６での印刷可否の判断方法について説明する。前述したように、印刷可否の判断は、（i）自動判断、（ii）他人（上司）判断、（iii）自己判断のいずれかで行われる。
【０１１８】
まず、印刷可否の判断が自動判断である場合について説明する。
【０１１９】
図１３は、印刷可否の判断が自動判断である場合の処理を説明するためのフローチャートである。
【０１２０】
図１３に示すように、印刷可否判断サーバ１２５は、まず、ステップＳ１３０１で、文書データを解析して、キーワードを抽出する。次に、ステップＳ１３０２で、リスク閾値を算出する。例えば、ステップＳ１３０１で抽出されたキーワードの数に、あらかじめ決められた係数を掛けることでリスク閾値を算出する。後述するように、本実施形態では、リスク値が、リスク閾値を超えた場合に、判断対象となる文書データは、セキュリティ上リスクが高いと判断する。
【０１２１】
次に、ステップＳ１３０３で、リスク値を算出する。例えば、ステップＳ１３０１でのキーワードの抽出時に、各キーワードの出現回数（出現頻度）をカウントしておき、各キーワードの出現回数と、各キーワードのリスク係数とを掛け合わせたものを、すべてのキーワードについて合算することで、リスク値を算出する。なお、キーワード及び各キーワードのリスク係数は、例えば、予め用意されるセキュリティ危険用語辞典に登録されているものとする。
【０１２２】
リスク値の算出が終了すると、次に、ステップＳ１３０４で、算出されたリスク値とリスク閾値とを比較し、算出されたリスク値がリスク閾値を超えているか否かを判別する。その結果、算出されたリスク値がリスク閾値を超えている場合は（Ｓ１３０４：Ｙｅｓ）、ステップＳ１３０５で、当該文書の印刷はリスクが高いとして、印刷不可と判断して、処理を終了する。一方、ステップＳ１３０４での判別の結果、算出されたリスク値がリスク閾値を超えていなかった場合は（Ｓ１３０４：Ｎｏ）、ステップＳ１３０６で、印刷可能と判断して、処理を終了する。
【０１２３】
以上のようにして、印刷可否が自動判断される。
【０１２４】
次に、印刷可否の判断が他人判断（上司判断）である場合について説明する。
【０１２５】
印刷可否の判断は、印刷可否判断責任者（例えば、印刷要求者の上司）が行うような運用（社内規定）がされている場合がある。このような場合は、印刷許否判断サーバ１２５は、印刷可否判断責任者である上司に対して、印刷を許可するか否かを問い合わせて、当該問い合わせに対する上司からの応答にしたがって、印刷許否の判断を行う。
【０１２６】
図１４は、印刷可否の判断が上司判断である場合の処理を説明するためのフローチャートである。
【０１２７】
図１４に示すように、印刷許否判断サーバ１２５は、まず、ステップＳ１４０１で、組織内の社員データベースから、印刷を指示したユーザの上司の識別情報（ユーザＩＤ）を取得する。次に、ステップＳ１４０２で、上司がログインしている端末を検索する。そして、ステップＳ１４０３で、上司がログインしている端末が存在するか否かが判別される。その結果、上司がログインしている端末が存在しない場合は（Ｓ１４０３：Ｎｏ）、すぐには判断を得られないため、ステップＳ１４０４で、印刷許可判断不能のため、印刷不可と判断して、処理を終了する。
【０１２８】
一方、ステップＳ１４０３での判別の結果、上司がログインしている端末が存在する場合は（Ｓ１４０３：Ｙｅｓ）、ステップＳ１４０５で、その端末に、印刷許可を与えるかどうかを問い合わせる画面を表示させる。例えば、当該画面には、印刷対象となる文書や出力先となるプリンタについての情報等、判断に役立つ情報が表示される。
【０１２９】
次に、ステップＳ１４０６で、当該画面を表示後、予め決められた制限時間（例えば、３分間）以内に応答があったか否かを判別する。その結果、制限時間内に応答がなかった場合は（Ｓ１４０６：Ｎｏ）、上司はログインしているが何らかの理由で印刷可否判断をすぐに下せる状況にないと判断し、ステップＳ１４０４で、印刷許可判断不能のため、印刷不可と判断して、処理を終了する。
【０１３０】
一方、ステップＳ１４０６での判別の結果、制限時間内に上司からの応答があった場合は（Ｓ１４０６：Ｙｅｓ）、ステップＳ１４０７で、当該応答が印刷拒否か印刷許可かを判別する。その結果、上司からの応答が印刷拒否であった場合は（Ｓ１４０７：Ｙｅｓ）、ステップＳ１４０８で、印刷不可と判断して、処理を終了する。一方、ステップＳ１４０７での判別の結果、上司からの応答が印刷許可であった場合は（Ｓ１４０７：Ｎｏ）、ステップＳ１４０９で、印刷可能と判断して処理を終了する。
【０１３１】
以上のようにして、印刷可否が上司判断される。なお、印刷許否判断サーバ１２５は、必要に応じて、判断結果等をログに記録する。
【０１３２】
次に、印刷拒否の判断が自己判断である場合について説明する。
【０１３３】
図１５は、印刷可否の判断が自己判断である場合の処理を説明するためのフローチャートである。
【０１３４】
図１５に示すように、印刷許否判断サーバ１２５は、まず、ステップＳ１５０１で、印刷を指示したユーザが利用するクライアントＰＣ１１１に、印刷を許可するか否かを問い合わせるＵＩ画面を表示させる。このとき、当該ＵＩ画面には、ユーザの判断に役立てるため、例えば、出力先となるプリンタ１１２が備えるセキュリティ機能等の情報が表示される。
【０１３５】
次に、ステップＳ１５０２で、当該ＵＩ画面に対して、ユーザから印刷を行わない旨の指示があったか否かが判別される。その結果、ユーザから印刷を行わない旨の指示があった場合は（Ｓ１５０２：Ｙｅｓ）、ステップＳ１５０３で、印刷不可と判断して、処理を終了する。一方、ユーザから印刷を行う旨の指示があった場合は（Ｓ１５０２：Ｎｏ）、ステップＳ１５０４で、印刷可能と判断して、処理を終了する。
【０１３６】
以上のようにして、印刷可否が自己判断される。
【０１３７】
以上説明したように、上述した実施形態によれば、通常は印刷を許されていないクライアントＰＣからでも、セキュリティ上問題がないと判断される場合は、印刷を行うことが可能となるので、必要なセキュリティを確保しつつ、ユーザの利便性を向上させることが可能となる。
【０１３８】
なお、上述した実施形態では、印刷ジョブチケットと印刷データとを別々のデータとして扱ったが、両者をひとかたまりのデータとして扱うことも可能である。また、上述した実施形態では、印刷許否判断サーバ１２５と印刷データ生成サーバ１２６を別々のサーバとして実現したが、両者をひとつのサーバで実現することも可能である。また、印刷データ生成サーバ１２６をクライアントＰＣで動作させる実装も可能である。
【０１３９】
また、上述した実施形態では、印刷可否の判断方法として３種類の方法について説明したが、他の方法で判断することも可能である。更に、当該判断を行うモジュールを、印刷許否判断サーバ１２５の外部モジュールとして実装することも可能である。この場合、印刷許否判断サーバ１２５は判断に必要な情報を当該外部モジュールに通知し、当該外部モジュールは、通知された情報に基づいて印刷可否を判断し、その結果を印刷許否判断サーバに返すことになる。
【０１４０】
上述した実施形態の各機能は、アセンブリ言語、Ｃ、Ｖｉｓｕａｌ  Ｃ、Ｃ＋＋、Ｖｉｓｕａｌ  Ｃ＋＋、Ｊａｖａ（登録商標）、Ｊａｖａ（登録商標）Ｂｅａｎｓ、Ｊａｖａ（登録商標）Ａｐｐｌｅｔ、Ｊａｖａ（登録商標）Ｓｃｒｉｐｔ、Ｐｅｒｌ、Ｒｕｂｙなど、レガシーブログラミング言語やオブジェクト指向プログラミング言語などで記述された装置実行可能なプログラムにより実現でき、装置可読な記録媒体に格納して頒布することができる。
【０１４１】
これまで本発明の実施形態を図面を交えながら説明してきたが、本発明は上述の実施形態に限定されるものではなく、他の実施形態、追加、変更、削除など、当業者が想到することができる範囲内で変更することができ、いずれの態様においても本発明の作用・効果を奏する限り、本発明の範囲に含まれるものである。
【図面の簡単な説明】
【０１４２】
【図１】本発明の一実施形態である印刷システムの構成例を示す図。
【図２】クライアントＰＣの機能構成の実施形態を示す図。
【図３】印刷許否判断サーバの機能構成の実施形態を示す図。
【図４】動作制御テーブルの実施形態を示す図。
【図５】印刷データ生成サーバの機能構成の実施形態を示す図。
【図６】印刷データ生成サーバによって生成される印刷ジョブチケットの例を示す図。
【図７】プリンタの機能構成の実施形態を示す図。
【図８】クライアントＰＣの動作を説明するためのフローチャート（その１）。
【図９】クライアントＰＣの動作を説明するためのフローチャート（その２）。
【図１０】プリンタ認証処理を説明するためのフローチャート。
【図１１】印刷許否判断サーバの動作を説明するためのフローチャート（その１）。
【図１２】印刷許否判断サーバの動作を説明するためのフローチャート（その２）。
【図１３】印刷可否の判断が自動判断である場合の処理を説明するためのフローチャート。
【図１４】印刷可否の判断が上司判断である場合の処理を説明するためのフローチャート。
【図１５】印刷可否の判断が自己判断である場合の処理を説明するためのフローチャート。
【符号の説明】
【０１４３】
１００…印刷システム、１１０…第一のネットワークシステム、１１１ａ，１１１ｂ…クライアントＰＣ、１１２ａ，１１２ｂ…プリンタ、１１３…ルータ、１１９…ネットワーク、１２０…第二のネットワークシステム、１２１ａ，１２１ｂ…クライアントＰＣ、１２２ａ，１２２ｂ…プリンタ、１２３…ルータ、１２４…シンクライアントサーバ、１２５…印刷許否判断サーバ、１２６…印刷データ生成サーバ、１２９…ネットワーク、１３０…インターネット、２１０…印刷要求送信部、２２０…印刷データ受信部、２３０…印刷条件変更部、２４０…印刷データ送信部、２５０…プリンタ認証部、２６０…通信中継部、３１０…印刷要求受信部、３２０…セキュリティレベル判定部、３３０…プリンタ情報取得部、３４０…印刷許否判断部、３５０…動作制御テーブル、３６０…印刷対象データ送信部、３７０…印刷データ受信部、３８０…印刷データ送信部、５１０…データ受信部、５２０…印刷データ生成部、５３０…データ送信部、６００…印刷ジョブチケット、６１０…プリンタ識別情報セクション、６２０…印刷条件セクション、６２１…可変印刷条件セクション、７１０…データ受信部、７２０…印刷制御部、７２１…時刻情報取得部、７２２…ハッシュ値算出部、７３０…印刷処理部、７４０…プリンタ情報送信部
【図１】
2008226033.tif 000003
【図２】
2008226033.tif 000004
【図３】
2008226033.tif 000005
【図４】
2008226033.tif 000006
【図５】
2008226033.tif 000007
【図６】
2008226033.tif 000008
【図７】
2008226033.tif 000009
【図８】
2008226033.tif 000010
【図９】
2008226033.tif 000011
【図１０】
2008226033.tif 000012
【図１１】
2008226033.tif 000013
【図１２】
2008226033.tif 000014
【図１３】
2008226033.tif 000015
【図１４】
2008226033.tif 000016
【図１５】
2008226033.tif 000017