(57)【要約】      （修正有）【課題】出力先と定めた端末装置で出力異常が生じた場合であっても、機密性を保持しながら暗号化されたデータを出力することのできるデータ管理システムを提供する。【解決手段】出力異常が生じている端末装置２を検知する出力異常検知手段２５１と、前記出力異常検知手段２５１が出力異常を検知した場合に、出力異常が生じている端末装置２に代わりデータを出力する代行端末装置を決定する代行先決定手段７２１と、前記代行先決定手段７２１が代行端末装置を決定した場合に、暗号化されたデータを一旦復号し更に前記代行端末装置で復号可能に暗号化する復号暗号化手段７２３とを備えたデータ管理システムとする。【選択図】図２
2008099119.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを介して接続された端末装置を複数備え、管理対象のデータを暗号化して保存し、復号可能な端末装置の出力手段から出力するデータ管理システムであって、
出力異常が生じている端末装置を検知する出力異常検知手段と、
前記出力異常検知手段が出力異常を検知した場合に、出力異常が生じている端末装置に代わりデータを出力する代行端末装置を決定する代行先決定手段と、
前記代行先決定手段が代行端末装置を決定した場合に、暗号化されたデータを一旦復号し、更に前記代行端末装置で復号可能に暗号化する復号暗号化手段と
を備えることを特徴とするデータ管理システム。
【請求項２】
前記出力異常検知手段は、少なくとも前記出力手段の故障による出力異常を検知することを特徴とする請求項１記載のデータ管理システム。
【請求項３】
前記出力異常検知手段は、少なくとも前記出力手段が所定時間以上出力を開始できないことによる出力異常を検知することを特徴とする請求項１または２に記載のデータ管理システム。
【請求項４】
ネットワークを介して接続された端末装置を複数備え、管理対象のデータを暗号化して保存し、復号可能な端末装置の出力手段から出力するデータ管理システムであって、
データの出力先となる端末装置を変更する旨の指示を受け付ける出力先変更受付手段と、
前記出力先変更受付手段が変更を受け付けた場合に、元の出力先の端末装置で復号可能に暗号化されたデータを一旦復号し、更に新たな出力先となる端末装置で復号可能に暗号化する復号暗号化手段と
を備えることを特徴とするデータ管理システム。
【請求項５】
前記出力先変更受付手段が変更を受け付けた場合に、新たな出力先となる端末装置を決定する出力先決定手段を備えることを特徴とする請求項４記載のデータ管理システム。
【請求項６】
前記複数の端末装置と前記ネットワークを介して接続された管理サーバを備え、前記管理サーバが前記復号暗号化手段を備えることを特徴とする請求項１から５のいずれかに記載のデータ管理システム。
【請求項７】
前記複数の端末装置のそれぞれが前記復号暗号化手段を備えることを特徴とする請求項１から５のいずれかに記載のデータ管理システム。
【請求項８】
出力先と定めた端末装置の装置識別情報に基づいてデータの暗号化が行われることを特徴とする請求項１から７のいずれかに記載のデータ管理システム。
【請求項９】
前記装置識別情報は、各端末装置固有の情報であることを特徴とする請求項８記載のデータ管理システム。
【請求項１０】
ネットワークを介して接続された端末装置を複数備えたデータ管理システムにおいて、管理対象のデータを暗号化して保存し、復号可能な端末装置の出力手段から出力するデータ管理方法であって、
出力異常が生じている端末装置を検知する出力異常検知ステップと、
前記出力異常検知ステップで出力異常が生じていると判断された場合に、出力異常が生じている端末装置に代わりデータを出力する代行端末装置を決定する代行先決定ステップと、
前記代行先決定ステップで代行端末装置が決定された場合に、暗号化されたデータを一旦復号し、更に前記代行端末装置で復号可能に暗号化する復号暗号化ステップと
を含むことを特徴とするデータ管理方法。
【請求項１１】
ネットワークを介して接続された端末装置を複数備えたデータ管理システムにおいて、管理対象のデータを暗号化して保存し、復号可能な端末装置の出力手段から出力するデータ管理方法であって、
データの出力先となる端末装置を変更する旨の指示を受け付ける出力先変更受付ステップと、
前記出力先変更受付ステップで変更を受け付けた場合に、元の出力先の端末装置で復号可能に暗号化されたデータを一旦復号し、更に新たな出力先となる端末装置で復号可能に暗号化する復号暗号化ステップと
を含むことを特徴とするデータ管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はデータ管理システム及びデータ管理方法に関し、特にはデータを機密管理する技術に関する。
【背景技術】
【０００２】
従来から、ネットワーク接続された複数の端末装置間でデータを機密に管理するデータ管理システムがある。例えば、特許文献１には、管理データに暗証コードや装置識別情報等を付加しておき、それら暗証コードや装置識別情報等が一致する場合にのみデータ出力を許可する構成が開示されている。
また、管理データを、出力先と定めた所定の端末装置のみで復号可能に暗号化しておくことが考えられる。このような構成であれば、前記所定の端末装置を使用可能なユーザのみが暗号化データを出力可能であり、データの機密性が向上する。
【特許文献１】特開平２００２−２３６５７２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかしながら、上記構成では、前記所定の端末装置で出力手段の故障が生じた場合やジョブ待機時間が長い場合に、データ出力を他の端末装置に代行させることができない。なぜなら、前記所定の端末装置のみで復号可能に暗号化されたデータは他の端末装置で復号することができず、かといって暗号化データを前記所定の端末装置で復号してから他の端末装置へ転送したのではデータの機密性が低下するからである。
【０００４】
また、端末装置の置き換え等により前記所定の端末装置がデータ管理システムから取り除かれた場合に、当該端末装置のみで復号可能なデータが二度と出力できなくなる虞もある。
本発明は、上記した課題に鑑み、出力先と定めた端末装置で出力異常が生じた場合であっても、機密性を保持しながら暗号化されたデータを出力することのできるデータ管理システムおよびデータ管理方法を提供することを目的とする。
【課題を解決するための手段】
【０００５】
上記目的を達成するため、本発明の一構成に係るデータ管理システムは、ネットワークを介して接続された端末装置を複数備え、管理対象のデータを暗号化して保存し、復号可能な端末装置の出力手段から出力するデータ管理システムであって、出力異常が生じている端末装置を検知する出力異常検知手段と、前記出力異常検知手段が出力異常を検知した場合に、出力異常が生じている端末装置に代わりデータを出力する代行端末装置を決定する代行先決定手段と、前記代行先決定手段が代行端末装置を決定した場合に、暗号化されたデータを一旦復号し、更に前記代行端末装置で復号可能に暗号化する復号暗号化手段とを備えることを特徴とする。
【０００６】
上記目的を達成するため、本発明の一構成に係るデータ管理システムは、ネットワークを介して接続された端末装置を複数備え、管理対象のデータを暗号化して保存し、復号可能な端末装置の出力手段から出力するデータ管理システムであって、データの出力先となる端末装置を変更する旨の指示を受け付ける出力先変更受付手段と、前記出力先変更受付手段が変更を受け付けた場合に、元の出力先の端末装置で復号可能に暗号化されたデータを一旦復号し、更に新たな出力先となる端末装置で復号可能に暗号化する復号暗号化手段とを備えることを特徴とする。
【０００７】
上記目的を達成するため、本発明の一構成に係るデータ管理方法は、ネットワークを介して接続された端末装置を複数備えたデータ管理システムにおいて、管理対象のデータを暗号化して保存し、復号可能な端末装置の出力手段から出力するデータ管理方法であって、出力異常が生じている端末装置を検知する出力異常検知ステップと、前記出力異常検知ステップで出力異常が生じていると判断された場合に、出力異常が生じている端末装置に代わりデータを出力する代行端末装置を決定する代行先決定ステップと、前記代行先決定ステップで代行端末装置が決定された場合に、暗号化されたデータを一旦復号し、更に前記代行端末装置で復号可能に暗号化する復号暗号化ステップとを含むことを特徴とする。
【０００８】
上記目的を達成するため、本発明の一構成に係るデータ管理方法は、ネットワークを介して接続された端末装置を複数備えたデータ管理システムにおいて、管理対象のデータを暗号化して保存し、復号可能な端末装置の出力手段から出力するデータ管理方法であって、データの出力先となる端末装置を変更する旨の指示を受け付ける出力先変更受付ステップと、前記出力先変更受付ステップで変更を受け付けた場合に、元の出力先の端末装置で復号可能に暗号化されたデータを一旦復号し、更に新たな出力先となる端末装置で復号可能に暗号化する復号暗号化ステップとを含むことを特徴とする。
【発明の効果】
【０００９】
本発明の一構成に係るデータ管理システムおよびデータ管理方法は、管理データを、出力先と定めた所定の端末装置のみで復号可能に暗号化して管理する構成であるにも拘らず、前記所定の端末装置で出力異常が生じても、データの機密性を低下させることなく、他の端末装置から暗号化データを出力することができる。
また、前記出力異常検知手段は、少なくとも前記出力手段の故障による出力異常を検知する構成としてもよい。この構成とすれば、前記所定の端末装置で出力手段の故障が生じても、所定の端末装置のみで復号可能に暗号化したデータを出力することができる。
【００１０】
また、前記出力異常検知手段は、少なくとも前記出力手段が所定時間以上出力を開始できないことによる出力異常を検知する構成としてもよい。この構成とすれば、前記所定の端末装置から速やかにデータ出力できない場合であっても、他の端末装置から速やかにデータ出力をすることができる。
また、前記出力先変更受付手段が変更を受け付けた場合に、新たな出力先となる端末装置を決定する出力先決定手段を備える構成としてもよい。この構成とすれば、ユーザが新たな出力先を指定せずとも出力先の変更が行われる。
【００１１】
また、前記複数の端末装置と前記ネットワークを介して接続された管理サーバを備え、前記管理サーバが前記復号暗号化手段を備える構成としてもよい。この構成とすれば、端末装置間におけるデータの送受信に管理サーバが介在し、当該管理サーバが復号および暗号化を行うため、復号および暗号化に必要な情報が他の端末装置に漏れることがない。
また、前記複数の端末装置のそれぞれが前記復号暗号化手段を備える構成としてもよい。この構成とすれば、データを復号および暗号化するための装置を別途用意する必要がないため、データ管理システムのコストが低減すると共に代行出力処理の内容を簡単にすることができる。
【００１２】
また、出力先と定めた端末装置の装置識別情報に基づいてデータの暗号化が行われる構成としてもよい。この構成とすれば、出力先と定めた端末装置以外の端末装置で暗号化データを復号することが困難となるため、データの機密性がより向上する。
また、前記装置識別情報は、各端末装置固有の情報である構成としてもよい。この構成とすれば、各端末装置の装置識別情報が他の端末装置に漏洩し難いため、データの機密性をさらに向上させることができる。
【発明を実施するための最良の形態】
【００１３】
以下、本発明に係るデータ管理システムおよびデータ管理方法の実施の形態について図面を参照しながら説明する。
＜第１の実施形態＞
（データ管理システムの構成）
以下に、第１の実施形態に係るデータ管理システムの構成について詳細に説明する。
【００１４】
１．データ管理システムの全体構成
図１は、第１の実施形態に係るデータ管理システムの全体構成を模式的に示す図である。図２は、第１の実施形態に係るデータ管理システムの概略構成を示すブロック図である。
図１に示すように、本実施形態に係るデータ管理システム１は、端末装置としてのＭＦＰ（Multiple Function Peripheral）２〜５、ファイルサーバ６および管理サーバ７が、ネットワーク８を介して相互に接続された構成となっている。
【００１５】
２．各ＭＦＰの構成
まず、ＭＦＰ２〜５の構成および機能をＭＦＰ２を例に挙げて説明する。
図２に示すように、ＭＦＰ２は、操作部２１、読取部２２、出力手段としての出力部２３、記憶部２４、制御部２５、ネットワークＩＦ２６、並びに、その他図示しないＣＰＵやＲＡＭ等を備える。
【００１６】
操作部２１は、複数のハードキー（不図示）と、画面上にタッチセンサが取り付けられた液晶パネル（不図示）とを備える。ユーザは、ハードキーや液晶パネルのソフトキーを操作してＭＦＰ２への命令を入力する。なお、液晶パネルには、ＭＦＰ２のジョブ状態などが表示される。
操作部２１から入力される命令には、原稿から画像データを読み取る命令、或いは読み取った画像データを出力する命令のように、ＭＦＰ２単体で実行される命令と、ＭＦＰ２から送信した画像データをファイルサーバ６に保存させる命令、或いは前記ファイルサーバ６に保存したデータをいずれかのＭＦＰ２〜５から出力する命令のように、データ管理システム１全体として実行される命令とがある。
【００１７】
読取部２２は、露光ランプを搭載したスキャナ（不図示）を移動させて原稿面を走査し、原稿面からの反射光を画像信号に変換して、当該原稿から画像データを読み取る。読み取られた画像データは、一旦ＲＡＭに保存され、出力部２３から出力されたり、記憶部２４に保存されたり、ネットワーク８を介してファイルサーバ６等へ送信されたりする。なお、ネットワーク８を介して画像データを送信する場合は、データの機密性の確保のために前記画像データを暗号化する。暗号化についての詳細は後述する。
【００１８】
出力部２３は、画像データに応じた画像を用紙上にプリントするプリンタ部であって、本実施の形態における出力とはプリントアウトのことである。出力部２３は、各ＭＦＰ２〜５の操作部から入力される命令、或いは管理サーバ７から送信されてくる命令を受けて画像データを出力する。
記憶部２４は、例えばＨＤＤ（Hard Disk Drive）であって、ＭＦＰ２の装置識別情報を記憶している。
【００１９】
装置識別情報は、例えば、記憶部の製造番号、ＭＦＰの製造番号、公開鍵、ＭＡＣアドレス、或いはＩＰアドレス等のようにＭＦＰを識別することのできる情報である。ＭＦＰ２を出力先とする画像データは当該ＭＦＰ２の装置識別情報に基づいて暗号化される。
本実施の形態では、特に、装置識別情報として、ＭＦＰ固有の装置識別情報が用いられている。例えば、ＭＦＰ２固有の装置識別情報としては、当該ＭＦＰ２のみが所有し他のＭＦＰ３〜５が取得することができないＭＦＰ２の記憶部２４の製造番号が用いられている。ＭＦＰ固有の装置識別情報としては、記憶部の製造番号の他、例えばＭＦＰの製造番号、公開鍵、ＭＡＣアドレス等が挙げられる。
【００２０】
記憶部２４には、装置識別情報以外に、ＭＦＰ２の読取部２２で取得した画像データ、或いはファイルサーバ６または他のＭＦＰ３〜５から送信されてくる画像データが記憶される場合もある。
制御部２５は、出力異常検知手段としての出力異常検知部２５１、復号暗号化手段としての復号暗号化部２５２、出力先変更受付手段としての出力先変更受付部２５３および全体制御部２５４等を備える。当該制御部２５は、実際にはコンピュータシステムの記憶媒体に確保された一定の領域にインストールされたプログラムがＣＰＵによってＲＡＭ上に読み出されて実行され、ＯＳ（Operating System）と協働することにより各部２５１〜２５４の機能を奏する。
【００２１】
出力異常検知部２５１は、出力異常検知処理を実行してＭＦＰ２の出力異常を検知する。ここで、出力異常とは、出力部２３から画像データを出力できない状態にあることを意味する。例えば、出力部２３の機械的な故障、或いはＭＦＰ２の電源がＯＦＦになっている等して出力部２３が稼動しない場合が考えられる。また、ジョブ等が溜まっている等の理由により出力部２３が所定時間以上出力を開始することができない場合も出力異常に含まれる。出力異常であるか否かの判断は、出力部２３を構成する各部材が正常に駆動するか否か、電源のＯＮ／ＯＦＦ、ジョブ等の溜まり具合などにより判断する。
【００２２】
出力異常検知処理は、画像データの出力先となる出力先ＭＦＰ２で実行される。データ出力の命令と共に暗号化画像データを受信したＭＦＰ２は、当該暗号化画像データを復号する前に出力異常検知処理を実行し、画像データを当該ＭＦＰ２から出力可能であるか否か判断する。その検知結果は、検知結果情報としてＭＦＰ２から管理サーバ７へ送信される。
【００２３】
また、出力異常検知処理は、後述する代行先決定処理において、管理サーバ７からの問い合わせに応じた他のＭＦＰ３〜５が行う。その検知結果も、検知結果情報として他のＭＦＰ３〜５から管理サーバ７へ送信される。
復号暗号化部２５２は、画像データおよび装置識別情報の暗号化を行う。画像データの暗号化は、ユーザが画像データを機密管理することを選択した場合に行われる。機密管理することが選択されると、記憶部２４から装置識別情報が読み出され、前記装置識別情報に基づいて画像データが暗号化される。一方、装置識別情報の暗号化は、当該装置識別情報をＭＦＰ２から管理サーバ６へ送信する際に行われる。
【００２４】
画像データは、ユーザが出力先と定めたＭＦＰに関する装置識別情報に基づいて暗号化される。したがって、前記画像データは、前記出力先と定められたＭＦＰのみが復号可能であり、当該ＭＦＰを使用することのできるユーザのみが出力可能である。例えば、ある画像データの出力先を自分の所属するグループが使用するＭＦＰに定めた場合、他のグループのＭＦＰでは前記画像データを出力することはできない。
【００２５】
また、復号暗号化部２５２は、暗号化された画像データ（以下、「暗号化画像データ」と称する）を復号する。ＭＦＰ２固有の装置識別情報で暗号化された暗号化画像データは、前記装置識別情報を所有するＭＦＰ２でのみが復号可能であり、他のＭＦＰ３〜５、ファイルサーバ６および管理サーバ７では基本的に復号することができない。但し、後述する代行出力処理時において管理サーバ７が前記装置識別情報を取得した際には、前記管理サーバ７でも復号可能になる。
【００２６】
さらに、復号暗号化部２５２は、出力先変更受付部２５３が出力先の変更を受け付けた際に実行される出力先変更処理において、元の出力先ＭＦＰで復号可能に暗号化された画像データを一旦復号し、その後、更に復号した画像データを新たな出力先となるＭＦＰで復号可能に暗号化する。出力先変更処理についての詳細は後述する。
出力先変更受付部２５３は、データ管理システム１内で保存する画像データの出力先を変更する旨の命令を受け付ける。当該命令は、ユーザが操作部２１を操作して入力する。
【００２７】
全体制御部２５４は、ＭＦＰ２全体として当該ＭＦＰ２が円滑に動作するように各部２１〜２６を制御する。
ネットワークＩＦ２６は、ネットワーク通信プログラム等の制御プログラムからなり、通信プロトコルによって他のＭＦＰ３〜５、ファイルサーバ６および管理サーバ７等との接続を確立し、暗号化画像データ等を送受信する。
【００２８】
ＭＦＰ３〜５は、ＭＦＰ２と略同様の構成であるため、説明を省略する。
３．ファイルサーバの構成
ファイルサーバ６は、記憶部６１、制御部６２、ネットワークＩＦ６３、並びに、図示しないＣＰＵやＲＡＭ等を備える。
記憶部６１は、各ＭＦＰ２〜５から送信されてくる暗号化画像データを記憶させるためのＨＤＤである。当該暗号化画像データは、画像データのＩＤ情報および当該画像データの出力先を示す出力先情報が関連付けられて記憶部６１に記憶される。
【００２９】
制御部６２は、データ管理部６２１および全体制御部６２２を備える。当該制御部６２は、実際にはコンピュータシステムの記憶媒体に確保された一定の領域にインストールされたプログラムがＣＰＵによってＲＡＭ上に読み出されて実行され、ＯＳと協働することにより各部６２１，６２２の機能を奏する。
データ管理部６２１は、データ入力処理において、各ＭＦＰから送信されてくる暗号化画像データを記憶部６１に記憶させる。また、データ管理部６２１は、データ出力処理において、出力先ＭＦＰから暗号化画像データの転送を要求されると、当該暗号化画像データを検索して出力先ＭＦＰへ送信する。具体的には、画像データのＩＤ情報に基づいて、記憶部６１の暗号化画像データの中から目的の暗号化画像データを検索する。そして、得られた暗号化画像データに関連付けられている出力先情報に基づいて出力先ＭＦＰを特定し、当該出力先ＭＦＰへ前記暗号化画像データを送信する。さらに、データ管理部６２１は、代行出力処理において、代行ＭＦＰに暗号化画像データを送信する。
【００３０】
全体制御部６２２は、ファイルサーバ６全体として当該ファイルサーバ６が円滑に動作するように、各部を制御する。
ネットワークＩＦ６３は、ネットワーク通信プログラム等の制御プログラムからなり、通信プロトコルによって各ＭＦＰ２〜５および管理サーバ７等との接続を確立し、暗号化画像データを送受信する。
【００３１】
４．管理サーバの構成
暗号管理サーバ７は、記憶部７１、制御部７２、ネットワークＩＦ７３、並びに、図示しないＣＰＵおよびＲＡＭ等を備える。
記憶部７１は、管理サーバ７の公開鍵および秘密鍵を記憶している。公開鍵は、代行出力処理を実行する際に、代行ＭＦＰと代行出力を依頼する依頼元ＭＦＰとに送信される。一方、秘密鍵は、各ＭＦＰ２〜５から送信されてくる暗号化装置識別情報を管理サーバ７が復号する際に用いられる。
【００３２】
また、記憶部７１は、代行出力処理が実行される場合に、依頼元ＭＦＰの装置識別情報および代行ＭＦＰの装置識別情報を記憶する。なお、依頼元ＭＦＰおよび代行ＭＦＰの装置識別情報が漏洩するリスクを低減させるためには、代行出力処理終了後に前記装置識別情報を記憶部７１から消去することが好ましい。
制御部７２は、代行先決定手段としての代行先決定部７２１、装置識別情報取得部７２２、復号暗号化部７２３、出力先制御部７２４、出力先決定手段としての出力先決定部７２５および全体制御部７２６を備える。当該制御部７２は、実際にはコンピュータシステムの記憶媒体に確保された一定の領域にインストールされたプログラムがＣＰＵによってＲＡＭ上に読み出されて実行され、ＯＳと協働することにより各部７２１〜７２６の機能を奏する。
【００３３】
代行先決定部７２１は、依頼元ＭＦＰの出力異常検知部から検知結果情報を受け取り、当該検知結果情報に基づいて出力異常の発生を認識すると、代行先決定処理を実行して代行ＭＦＰを決定する。代行先決定処理の詳細については後述する。
装置識別情報取得部７２２は、代行出力処理を実行する際に、依頼元ＭＦＰおよび代行ＭＦＰに対して、それらＭＦＰの装置識別情報を公開鍵で暗号化して送信するよう命令する。
【００３４】
復号暗号化部７２３は、依頼元ＭＦＰまたは代行ＭＦＰから送信されてくる暗号化装置識別情報を復号する。具体的には、記憶部７１から秘密鍵を読み出し、前記秘密鍵で暗号化装置識別情報を復号する。
また、復号暗号化部７２３は、依頼元ＭＦＰから送信されてくる暗号化画像データを依頼元ＭＦＰの装置識別情報を用いて復号する。さらに、復号した画像データを代行ＭＦＰの装置識別情報に基づいて暗号化する。
【００３５】
出力先制御部７２４は、代行ＭＦＰに、送信した暗号化画像データを復号し、出力することを命令する。
出力先決定部７２５は、出力先変更受付部２５３の依頼を受けて出力先決定処理を実行する。出力先決定処理は、出力先変更処理で実行される処理の１つであって、データ管理システム１内から新たな出力先に適したＭＦＰを探し出し、当該ＭＦＰを新たな出力先として決定する。出力先決定処理についての詳細は後述する。
【００３６】
全体制御部７２６は、管理サーバ７全体として当該管理サーバ７が円滑に動作するように、各部を制御する。
ネットワークＩＦ７３は、ネットワーク通信プログラム等の制御プログラムからなり、通信プロトコルによって各ＭＦＰ２〜５およびファイルサーバ６等との接続を確立し、暗号化画像データおよび暗号化装置識別情報を送受信する。
【００３７】
（データ管理システムの動作）
以下に、第１の実施形態に係るデータ管理システムの動作について詳細に説明する。
１．データ入力処理
図３は、第１の実施形態に係るデータ入力処理の内容を示すフローチャートである。データ入力処理は、ＭＦＰ２の操作部２１の液晶パネルに表示される処理メニューで「データ保存」が選択された場合にスタートする。
【００３８】
図３に示すように、まず、読取部２２で原稿が読み取られ（ステップＳ１１）、画像データと当該画像データに関するＩＤ情報とが取得される（ステップＳ１２）。
ユーザが、画像データを機密管理することを選択した場合（ステップＳ１３で「ＹＥＳ」）、復号暗号化部２５２は、当該ＭＦＰ２の装置識別情報に基づいて前記画像データの暗号化を行う（ステップＳ１４）。さらに、画像データの出力先がＭＦＰ２であることを示す出力先情報を取得する（ステップＳ１５）。ＭＦＰ２で取得された画像データは、当該ＭＦＰ２の装置識別情報に基づいて暗号化されるが、当該ＭＦＰ２の装置識別情報に基づいて暗号化された画像データは、基本的に当該ＭＦＰ２でなければ復号することができないため、通常前記画像データの出力先はＭＦＰ２となる。
【００３９】
なお、ＭＦＰ２で取得した画像データの出力先を、ＭＦＰ２以外のＭＦＰ３〜５にする場合、ＭＦＰ２で取得した画像データを他のＭＦＰ３〜５に一旦送信して、その送信先のＭＦＰ３〜５の装置識別情報で暗号化することが考えられる。画像データを送信する際には、機密性を確保するために、当該画像データに暗証コード等を付加しておいたり、当該画像データを暗号化しておいたりすることが好ましい。
【００４０】
次に、暗号化画像データ、ＩＤ情報および出力先情報がファイルサーバ６に送信される（ステップＳ１６）。ファイルサーバ６では、受信された暗号化画像データにＩＤ情報および出力先情報が関連付けられ、記憶部６１に記憶される（ステップＳ１７）。
一方、ステップＳ１２に戻って、ユーザが、画像データを機密管理することを選択しなかった場合（ステップＳ１３で「ＮＯ」）、画像データは暗号化されることなくファイルサーバ６に送信される（ステップＳ１６）。そして、ファイルサーバ６では、受信された暗号化画像データにＩＤ情報が関連付けられ、記憶部６１に記憶される（ステップＳ１７）。
【００４１】
２．データ出力処理
図４は、第１の実施形態に係るデータ出力処理の内容を示すフローチャートである。データ出力処理は、ＭＦＰ２の操作部２１の液晶パネルに表示される処理メニューで「データ出力」が選択された場合にスタートする。
図４に示すように、いずれかのＭＦＰ（例えば、ＭＦＰ２）でデータ出力の要求を受け付けると（ステップＳ３１）、データ管理システム１内に保存されている画像データのリストが操作部２１の液晶パネルに表示される（ステップＳ３２）。次に、ユーザが出力対象となる画像データを決定すると（ステップＳ３３で「ＹＥＳ」）、当該画像データのＩＤ情報がファイルサーバ６に送信される（ステップＳ３４）。
【００４２】
ＩＤ情報を受信したファイルサーバ６では、データ管理部６２１がＩＤ情報を参照して記憶部６１内の画像データを検索する（ステップＳ３５）。さらに、データ管理部６２１が、画像データに関連付けられた出力先情報を参照して前記画像データの出力先を確認する（ステップＳ３６）。
出力先ＭＦＰ（例えば、ＭＦＰ２）に暗号化画像データが送信されると（ステップＳ３７）、当該ＭＦＰ２の復号暗号化部２５２が当該ＭＦＰ２の装置識別情報を用いて暗号化画像データの復号を行い（ステップＳ３８）、出力部２３から復号した画像データを出力する（ステップＳ３９）。
【００４３】
３．代行出力処理（概要）
第１の実施形態に係るデータ管理システム１において、出力先ＭＦＰで出力異常が発生した場合は、以下に説明する代行出力処理が実行される。
代行出力処理は、例えば、出力先ＭＦＰの出力部が故障している場合、出力先ＭＦＰにジョブ等が溜まっている場合、出力先ＭＦＰが別のＭＦＰに置き換えられた場合等に実行される。以下に、機密管理されている画像データをＭＦＰ(A)２で出力しようとしたところ、当該ＭＦＰ(A)２に出力異常が発生したため、ＭＦＰ(B)３で代行出力を行うことになった場合を例に挙げて、代行出力処理の内容を説明する。
【００４４】
図５は、第１の実施形態に係る代行出力処理の概要を示すシーケンス図である。図５に示すように、暗号化画像データを受信したＭＦＰ(A)２で出力異常が検知されると、当該ＭＦＰ(A)２の出力異常検知部２５１が管理サーバ７に、当該ＭＦＰ(A)２に代行して画像データの出力を行う代行ＭＦＰの決定を依頼する。
依頼元ＭＦＰであるＭＦＰ(A)２から依頼を受けた管理サーバ７は、代行先決定処理を実行することによって代行先をＭＦＰ(B)３に決定し、その旨をＭＦＰ(A)２に通知する。
【００４５】
通知を受けたＭＦＰ(A)２は、管理サーバ７の公開鍵を要求し、管理サーバ７は要求に応じて前記ＭＦＰ(A)２に前記公開鍵を送信する。
公開鍵を受信したＭＦＰ(A)２は、当該ＭＦＰ(A)２の装置識別情報を前記公開鍵で暗号化し、暗号化装置識別情報を管理サーバ７に送信する。また、ＭＦＰ(A)２で出力されるはずであった暗号化画像データを、暗号化した状態のまま管理サーバ７に送信する。
【００４６】
暗号化装置識別情報および暗号化画像データを受信した管理サーバ７は、まず、管理サーバ７の秘密鍵で暗号化装置識別情報を復号し、さらに、得られた装置識別情報に基づいて暗号化画像データを復号する。
次に、管理サーバ７は、代行先のＭＦＰ(B)３に当該ＭＦＰ(B)３の装置識別情報を要求する。これに応じてＭＦＰ(B)３は、管理サーバ７に公開鍵を要求し、管理サーバ７は要求に応じて前記ＭＦＰ(B)３に公開鍵を送信する。公開鍵を受信したＭＦＰ(B)３は、装置識別情報を前記公開鍵で暗号化し、暗号化装置識別情報を管理サーバ７に送信する。
【００４７】
管理サーバ７は、暗号化装置識別情報を当該管理サーバ７の秘密鍵で復号した後、更にＭＦＰ(B)３の装置識別情報に基づいて画像データを暗号化する。そして、暗号化画像データをＭＦＰ(B)３に送信する。
ＭＦＰ(B)３は、受信した暗号化データを当該ＭＦＰ(B)３の装置識別情報で復号し、得られた画像データを出力する。
【００４８】
４．代行出力処理（依頼元ＭＦＰの動作）
図６は、第１の実施形態に係る代行出力処理における依頼元ＭＦＰの動作の内容を示すフローチャートである。図６に示すように、依頼元ＭＦＰ(A)２が暗号化画像データを受信すると（ステップＳ５１で「ＹＥＳ」）、出力異常検知部２５１が出力異常検知処理を実行する。
【００４９】
出力異常検知処理として、まず出力異常検知部２５１は、出力部２３に異常がないか判断する（ステップＳ５２）。さらに、出力部２３に異常がないと判断した場合（ステップＳ５２で「ＮＯ」）、次に出力異常検知部２５１は、出力開始迄の時間が閾値以上であるか否かを判断する（ステップＳ５３）。
閾値以上でないと判断した場合（ステップＳ５３で「ＮＯ」）、復号暗号化部２５２がＭＦＰ(A)２の装置識別情報に基づいて暗号化画像データを復号し（ステップＳ５４）、復号した画像データを出力部２３が通常の出力処理に従って出力する（ステップＳ５５）。
【００５０】
一方、ステップＳ５２において、出力異常検知部２５１が出力部２３に異常があると判断した場合（ステップＳ５２で「ＹＥＳ」）、および、ステップＳ５３において、出力開始迄の時間が閾値以上であると判断した場合は（ステップＳ５３で「ＹＥＳ」）、管理サーバ７に代行先の決定を依頼する（ステップＳ５６）。管理サーバ７では、代行先の決定の依頼を受けて代行先決定処理が実行される。代行先決定処理についての詳細は後述する。
【００５１】
管理サーバ７が代行先を決定することができない場合（ステップＳ５７で「ＮＯ」）、操作部２１の液晶パネルに警告を表示し（ステップＳ５８）、代行出力ができない旨をユーザに知らせる。そして、暗号化画像データを記憶部２４に記憶して（ステップＳ５９）、処理を終了し、出力異常の回復を待つ。
ステップＳ５７に戻って、管理サーバ７が代行先を決定できた場合（ステップＳ５７で「ＹＥＳ」）、操作部２１の液晶パネルに、画像データが代行出力される代行先のＭＦＰ(B)３を表示し（ステップＳ６０）、ユーザに画像データの出力先を知らせる。
【００５２】
次に、ＭＦＰ(A)２は、管理サーバ７に公開鍵を要求し（ステップＳ６１）、公開鍵を受信すると（ステップＳ６２）、当該公開鍵でＭＦＰ(A)の装置識別情報を暗号化し（ステップＳ６３）、暗号化装置識別情報と暗号化画像データとを管理サーバ７に送信する（ステップＳ６４）。
５．代行出力処理（管理サーバの動作）
図７は、第１の実施形態に係る代行出力処理における管理サーバの動作の内容を示すフローチャートであって、詳しくは、図５においてフローＭで示す範囲の処理の内容を示す。
【００５３】
図７に示すように、管理サーバ７は、ＭＦＰ(A)２からの暗号化画像データおよび暗号化装置識別情報を受信すると（ステップＳ７１）、まず、受信した暗号化装置識別情報を管理サーバ７の秘密鍵で復号する（ステップＳ７２）。さらに、復号したＭＦＰ(A)２の装置識別情報に基づいて暗号化画像データを復号する（ステップＳ７３）。
次に、代行先決定処理で代行先に決定したＭＦＰ(B)３に当該ＭＦＰ(B)３の装置識別情報を要求する（ステップＳ７４）。これに応じてＭＦＰ(B)３から公開鍵の送信が要求されると（ステップＳ７５で「ＹＥＳ」）、前記公開鍵をＭＦＰ(B)３に送信する（ステップＳ７６）。
【００５４】
公開鍵で暗号化された暗号化装置識別情報を受信すると（ステップＳ７７で「ＹＥＳ」）、管理サーバ７の秘密鍵で復号し（ステップＳ７８）、得られたＭＦＰ(B)３の装置識別情報に基づいて画像データを再度暗号化する（ステップＳ７９）。そして、暗号化画像データをＭＦＰ(B)３に送信する（ステップＳ８０）。
６．代行先決定処理
図８は、第１の実施形態に係る代行先決定処理の内容を示すフローチャートである。図８に示すように、代行先決定処理では、まず、データ管理システム１内の全てのＭＦＰ２〜５について出力異常検知結果を収集する（ステップＳ９１）。具体的には、管理サーバ７の代行先決定部７２１が、各ＭＦＰ２〜５の出力異常検知部に検出結果情報の送信を要求し、前記ＭＦＰ２〜５から送信されてくる検知結果情報を受信する。
【００５５】
次に、出力異常が検知されなかった正常なＭＦＰだけを抽出する（ステップＳ９２）。具体的には、各ＭＦＰ２〜５から送信された検知結果情報に基づいて各ＭＦＰ２〜５における出力異常の発生の有無を確認し、出力異常が発生していないＭＦＰのみを抽出する。
次に、抽出されたＭＦＰの抽出数を確認し（ステップＳ９３）、抽出数が「０」の場合（ステップＳ９３で「０」）、代行先を決定せずに戻り値を「代行不可」として（ステップＳ９４）、処理を終了する。
【００５６】
抽出数が「１」の場合（ステップＳ９３で「１」）、抽出したＭＦＰを代行先に決定し（ステップＳ９５）、戻り値を「代行可能」として（ステップＳ９６）、処理を終了する。
抽出数が「２以上」の場合（ステップＳ９３で「２以上」）、更に依頼元ＭＦＰと管理上同じグループに属するＭＦＰが存在するか否かを判断する（ステップＳ９７）。
【００５７】
同じグループに属するＭＦＰが存在する場合（ステップＳ９７で「ＹＥＳ」）、同じグループに属するＭＦＰの中で依頼元ＭＦＰに最も近い位置に設置されているＭＦＰを代行先に決定し（ステップＳ９８）、戻り値を「代行可能」として（ステップＳ９６）、処理を終了する。
一方、ステップＳ９７に戻って、同じグループに属するＭＦＰが存在しない場合（ステップＳ９７で「ＮＯ」）、依頼元ＭＦＰに最も近い位置に設置されているＭＦＰを代行先に決定し（ステップＳ９９）、戻り値を「代行可能」として（ステップＳ９６）、処理を終了する。
【００５８】
７．出力先変更処理
第１の実施形態に係るデータ管理システム１において、当該データ管理システム１内に保存した画像データの出力先を変更する場合には、以下に説明する出力先変更処理が実行される。
出力先変更処理は、例えば、データ管理システム１からいずれかのＭＦＰを取り除く場合、データ管理システム１に新たなＭＦＰを追加した場合、ＭＦＰの置き換えがあった場合等に実行される。以下に、データ管理システム１内で保存される画像データの出力先をＭＦＰ(A)２からＭＦＰ(B)３に変更する場合を例に挙げて、出力先変更処理の内容を説明する。
【００５９】
図９は、第１の実施形態に係る出力先変更処理の概略を示すシーケンス図である。出力先変更処理は、例えばＭＦＰ(A)２の操作部２１の液晶パネルに表示される処理メニューで「出力先変更」が選択された場合にスタートする。
ユーザが「出力先変更」を選択すると共に、対象となる画像データの元の出力先を例えばＭＦＰ(A)２と入力すると、出力変更先受付部２５２が出力先を変更する旨の命令を受け付ける。
【００６０】
命令を受け付けた出力先変更受付部２５３は、管理サーバ７に出力先の変更を依頼する。依頼を受けた管理サーバ７では、出力先決定部７２５が出力先決定処理を実行して新たな出力先を例えばＭＦＰ(B)３に決定する。
出力先決定処理では、出力先決定部７２５が、まずＭＦＰ(A)２と同じグループに属するＭＦＰが存在するか否かを判断する。そして、同じグループに属するＭＦＰが存在する場合は、同じグループに属するＭＦＰの中で元の出力先ＭＦＰに最も近い位置に設置されているＭＦＰを新たな出力先に決定する。一方、同じグループに属するＭＦＰが存在しない場合は、元の出力先ＭＦＰに最も近い位置に設置されているＭＦＰを新たな出力先ＭＦＰに決定する。
【００６１】
なお、出力先決定部７２５は、本実施の形態に係るデータ管理システム１に必ずしも必要ではなく、前記出力先決定部７２５を備えない構成としてもよい。この場合、例えばユーザが「出力先変更」を選択する際に、新たな出力先となるＭＦＰを指定することが考えられる。
管理サーバ７は、ファイルサーバ６にＭＦＰ(A)２の暗号化画像データの送信を依頼する。ファイルサーバ６のデータ管理部６２１は、記憶部６１に保存されている暗号化画像データの中から、出力先情報に基づいて出力先がＭＦＰ(A)２と定められた暗号化画像データを検索する。そして得られたＭＦＰ(A)２の暗号化画像データを管理サーバ７に送信する。
【００６２】
次に、管理サーバ７は、ＭＦＰ(A)２の装置識別情報を当該ＭＦＰ(A)２に要求すると共に、当該管理サーバ７の公開鍵を前記ＭＦＰ(A)２に送信する。公開鍵を受信したＭＦＰ(A)２は、当該ＭＦＰ(A)２の装置識別情報を前記公開鍵で暗号化し、暗号化装置識別情報を管理サーバ７に送信する。
暗号化装置識別情報を受信した管理サーバ７は、まず、管理サーバ７の秘密鍵で暗号化装置識別情報を復号し、さらに、得られた装置識別情報に基づいてＭＦＰ(A)２の暗号化画像データを復号する。
【００６３】
次に、管理サーバ７は、新たな出力先であるＭＦＰ(B)３に当該ＭＦＰ(B)３の装置識別情報を要求すると共に、前記管理サーバ７の公開鍵を前記ＭＦＰ(B)３に送信する。公開鍵を受信したＭＦＰ(B)３は、当該ＭＦＰ(B)３の装置識別情報を前記公開鍵で暗号化し、暗号化装置識別情報を管理サーバ７に送信する。
管理サーバ７は、暗号化装置識別情報を当該管理サーバ７の秘密鍵で復号した後、更にＭＦＰ(B)３の装置識別情報に基づいて画像データを暗号化する。そして、得られた暗号化画像データをファイルサーバ６に送信する。
【００６４】
暗号化画像データを受信したファイルサーバ６は、前記暗号化画像データを記憶部６１に保存する。
＜第２の実施形態＞
（データ管理システムの構成）
以下に、第２の実施形態に係るデータ管理システムの構成について詳細に説明する。
【００６５】
第２の実施形態に係るデータ管理システムは、ファイルサーバ６および管理サーバ７を備えていない点において第１の実施形態に係るデータ管理システム１と大きく相違する。第２の実施形態に係るデータ管理システムでは、ファイルサーバ６の機能をＭＦＰが共同して果たし、管理サーバ７の機能を各ＭＦＰが各個に果たす。
また、第１の実施形態に係るデータ管理システム１では、記憶部の製造番号に基づいてデータが暗号化されるのに対し、第２の実施形態に係るデータ管理システムでは、公開鍵暗号方式でデータが暗号化される点においても相違する。
【００６６】
１．データ管理システムの全体構成
図１０は、第２の実施形態に係るデータ管理システムの全体構成を模式的に示す図である。図１１は、第２の実施形態に係るＭＦＰの概略構成を示すブロック図である。
図１０に示すように、本実施形態に係るデータ管理システム１００１は、端末装置としてのＭＦＰ１００２〜１００５が、ネットワーク１００６を介して相互に接続された構成となっている。
【００６７】
２．各ＭＦＰの構成
各ＭＦＰ１００２〜１００５の構成を、ＭＦＰ１００２を例に挙げて説明する。図１１に示すように、ＭＦＰ１００２は、操作部１０２１、読取部１０２２、出力手段としての出力部１０２３、記憶部１０２４、制御部１０２５、ネットワークＩＦ１０２５、並びに、その他図示しないＣＰＵやＲＡＭ等を備える。
【００６８】
操作部１０２１、読取部１０２２、出力部１０２３およびネットワークＩＦ１０２６の構成は、第１の実施形態に係る操作部２１、読取部２２、出力部２３およびネットワークＩＦ２６の構成と、それぞれ略同様であるため説明は省略する。
記憶部１０２４は、ＨＤＤであって、ＭＦＰ１００２の秘密鍵、およびＭＦＰ１００２〜１００５の公開鍵を記憶している。
【００６９】
また、記憶部１０２４は、ＭＦＰ１００２の読取部１０２２で取得した画像データおよび他のＭＦＰ１００３〜１００５から受信した画像データを記憶している。画像データは、いずれかのＭＦＰ１００２〜１００５の公開鍵で暗号化されており、また、前記画像データのＩＤ情報と、前記画像データの出力先を示す出力先情報とが関連付けられている。
制御部１０２５は、出力異常検知手段としての出力異常検知部１２５１、代行先決定手段としての代行先決定部１２５２、復号暗号化手段としての復号暗号化部１２５３、出力先制御部１２５４、出力変更受付手段としての出力変更受付部１２５５、出力先決定手段としての出力先決定部１２５６、データ管理部１２５７および全体制御部１２５８等を備える。当該制御部１０２５は、実際にはコンピュータシステムの記憶媒体に確保された一定の領域にインストールされたプログラムがＣＰＵによってＲＡＭ上に読み出されて実行され、ＯＳと協働することにより各部１２５１〜１２５８の機能を奏する。
【００７０】
出力異常検知部１２５１は、出力異常検知処理を実行してＭＦＰ１００２の出力異常を検知する。出力異常の意味、および、出力異常であるか否かの判断方法は、第１の実施形態と略同様である。
出力異常検知処理は、出力先ＭＦＰにおいて、暗号化画像データを復号する前或いは復号した後に実行され、前記画像データを前記ＭＦＰから出力可能であるか否かが判断される。検知結果は、検知結果情報として依頼元ＭＦＰへ送信される。また、出力異常検知処理は、依頼元ＭＦＰの代行先決定部からの問い合わせに応じて実行される。その検知結果は、検知結果情報として依頼元ＭＦＰへ送信される。
【００７１】
代行先決定部１２５２は、依頼元ＭＦＰの出力異常検知部から検知結果情報を受け取り、当該検知結果情報から出力異常の発生を認識すると、代行先ＭＦＰを決定する。
復号暗号化部１２５３は、画像データの暗号化および復号を行う。画像データの暗号化は、ユーザが画像データを機密管理することを選択した場合に行われる。機密管理することが選択されると、記憶部１０２４から出力先ＭＦＰの公開鍵が読み出され、前記公開鍵で画像データが暗号化される。
【００７２】
さらに、復号暗号化部１２５３は、ＭＦＰ１００２の秘密鍵で暗号化画像データを復号する。ＭＦＰ１００２の公開鍵で暗号化された暗号化画像データは、ＭＦＰ１００２の秘密鍵でのみ復号可能である。ＭＦＰ１００２の秘密鍵は、ＭＦＰ１００２のみが所有し、他のＭＦＰ１００３〜１００５は取得できない。
出力制御部１２５４は、出力先ＭＦＰに、送信した暗号化画像データを復号し、出力することを命令する。
【００７３】
出力変更受付部１２５５は、データ管理システム１００１内で保存する画像データの出力先を変更する旨の命令を受け付ける。当該命令は、ユーザが操作部１０２１を操作して入力する。
出力先決定部１２５６は、出力先変更受付部１２５５の依頼を受けて出力先決定処理を実行する。出力先決定処理の内容は第１の実施形態と略同様である。
【００７４】
データ管理部１２５７は、データ入力処理において、受信した暗号化画像データを記憶部１０２４に記憶させる。また、データ管理部１２５７は、データ出力処理において、出力先ＭＦＰから暗号化画像データを要求されると、当該暗号化画像データを前記出力先ＭＦＰへ送信する。具体的には、画像データのＩＤ情報に基づいて、記憶部１０２４の暗号化画像データの中から目的の暗号化画像データを見つけ出す。そして、見つけ出した暗号化画像データに関連付けられた出力先情報に基づいて、出力先ＭＦＰを特定し、当該出力先ＭＦＰに前記暗号化画像データを送信する。さらに、データ管理部１２５７は、代行出力処理において、代行先ＭＦＰに暗号化画像データを送信する。
【００７５】
全体制御部１２５８は、ＭＦＰ全体として当該ＭＦＰが円滑に動作するように、ＭＦＰ２の各部を制御する。
ネットワークＩＦ１０２６は、ネットワーク通信プログラム等の制御プログラムからなり、通信プロトコルによって他のＭＦＰ１００３〜１００５との接続を確立し、暗号化画像データ等を送受信する。
【００７６】
ＭＦＰ１００３〜１００５は、ＭＦＰ１００２と略同様の構成であるため、説明を省略する。
（データ管理システムの動作）
以下に、第２の実施形態に係るデータ管理システムの動作について、第１の実施形態に係るデータ管理システムとの相違点を中心に説明する。
【００７７】
１．データ入力処理
第２の実施形態に係るデータ入力処理は、暗号化画像データ等をファイルサーバ６ではなく、いずれかのＭＦＰに記憶させる点において第１の実施形態に係るデータ入力処理と相違する。それ以外の点に付いては、第１の実施形態に係るデータ入力処理と略同様であるため説明を簡略し、相違点のみ詳細に説明する。
【００７８】
図３のステップＳ１６〜１７に示すように、第１の実施形態に係るデータ入力処理では、暗号化画像データ、ＩＤ情報および出力先情報がファイルサーバ６に送信され、当該ファイルサーバ６の記憶部６１で記憶される。これに対して、第２の実施形態に係るデータ入力処理では、暗号化画像データ、ＩＤ情報および出力先情報が、データ管理システム１００１内のいずれかのＭＦＰ１００２〜１００５の記憶部で記憶される。すなわち、暗号化画像データ等は、画像データを取得したＭＦＰ１００２の記憶部１０２４、或いは他のＭＦＰ１００３〜１００５の記憶部で記憶される。
【００７９】
２．データ出力処理
図１２は、第２の実施形態に係るデータ出力処理の内容を示すフローチャートである。図１２に示すように、いずれかのＭＦＰ（例えば、ＭＦＰ１００２）でデータ出力の要求を受け付けると（ステップＳ１１１）、データ管理システム１００１内に保存されている画像データのリストが操作部１０２１の液晶パネルに表示される（ステップＳ１１２）。ユーザが出力対象となる画像データを決定すると（ステップＳ１１３で「ＹＥＳ」）、データ管理部１２５７はＩＤ情報を参照してＭＦＰ１００２の記憶部１０２４内の画像データを検索する（ステップＳ１１４）。
【００８０】
ＭＦＰ１００２の記憶部１０２４に対象の画像データがない場合（ステップＳ１１５で「ＮＯ」）、データ管理部１２５７はＩＤ情報を他のＭＦＰ１００３〜１００５に送信する（ステップＳ１１６）。ＩＤ情報を受信した他のＭＦＰ１００３〜１００５では、データ管理部がＩＤ情報を参照して記憶部内の画像データを検索する（ステップＳ１１７）。さらに、データ管理部は、画像データに関連付けられた出力先情報に基づいて前記画像データの出力先を確認する（ステップＳ１１８）。
【００８１】
出力先ＭＦＰ（例えば、ＭＦＰ１００３）に暗号化画像データが送信されると（ステップＳ１１９）、当該ＭＦＰ１００３の復号暗号化部が当該ＭＦＰ１００３の秘密鍵を用いて暗号化画像データの復号を行い（ステップＳ１２０）、当該ＭＦＰ１００３の出力部から復号した画像データを出力する（ステップＳ１２１）。
一方、ステップＳ１１５に戻って、ＭＦＰ１００２の記憶部１０２４内に出力対象の画像データがあった場合は（ステップＳ１１５で「ＹＥＳ」）、復号暗号化部１２５３が当該ＭＦＰ１００２の秘密鍵を用いて暗号化画像データの復号を行い（ステップＳ１２０）、出力部１０２３から復号した画像データを出力する（ステップＳ１２１）。
【００８２】
３．代行出力処理
第２の実施形態に係るデータ管理システム１００１において、出力先ＭＦＰで出力異常が発生した場合は、以下に説明する代行出力処理が実行される。
代行出力処理は、例えば、出力先ＭＦＰの出力部が故障している場合、出力先ＭＦＰにプリントジョブ等が溜まっている場合、出力先ＭＦＰが別のＭＦＰに置き換えられた場合等に実行される。以下に、機密管理されている画像データをＭＦＰ(A)１００２で出力しようとしたところ、当該ＭＦＰ(A)１００２に出力異常が発生したため、ＭＦＰ(B)１００３で代行出力を行うことになった場合を例に挙げて、第２の実施形態に係る代行出力処理を説明する。
【００８３】
図１３は、代行出力処理の概要を示すシーケンス図である。図１３に示すように、ＭＦＰ(A)１００２は、暗号化画像データを受信すると、暗号化画像データを前記ＭＦＰ(A)１００２の秘密鍵で復号する。
次に、出力異常検知部１２５１が出力異常検知処理を実行する。出力異常検知処理の内容は、第１の実施形態に係る出力異常検知処理と略同様である。
【００８４】
出力異常が検知されると、代行先決定処理が実行される。代行先決定処理の内容は、第１の実施形態に係る代行先決定処理と略同様である。
代行先決定処理により代行ＭＦＰがＭＦＰ(B)１００３に決定すると、ＭＦＰ(A)１００２の復号暗号化部１２５３は、記憶部１０２４に保存されている前記ＭＦＰ(B)１００３の公開鍵で画像データを暗号化する。そして、暗号化画像データをＭＦＰ(B)１００３に送信する。
【００８５】
暗号化画像データを受信したＭＦＰ(B)１００３では、当該ＭＦＰ(B)１００３の復号暗号化部が当該ＭＦＰ(B)１００３の秘密鍵で暗号化画像データを復号し、当該ＭＦＰ(B)１００３の出力部から復号した画像データを出力する。
４．出力先変更処理
第２の実施形態に係るデータ管理システム１００１において、当該データ管理システム１００１内に保存した画像データの出力先を変更する場合には、以下に説明する出力先変更処理が実行される。
【００８６】
出力先変更処理は、例えば、データ管理システム１００１からいずれかのＭＦＰを取り除く場合、データ管理システム１００１に新たなＭＦＰを追加した場合、ＭＦＰの置き換えがあった場合等に実行される。以下に、データ管理システム１内で保存される画像データの出力先をＭＦＰ(A)１００２からＭＦＰ(B)１００３に変更する場合を例に挙げて、出力先変更処理の内容を説明する。
【００８７】
図１４は、第２の実施形態に係る出力先変更処理の内容を示すフローチャートである。
いずれかのＭＦＰ（例えば、ＭＦＰ(A)１００２）の出力先変更受付部１２５５が出力先変更を受け付けると（ステップＳ１３１）、データ管理システム１００１内に存在するＭＦＰ１００２〜１００５のリストが操作部１０２１の液晶パネルに表示される（ステップＳ１３２）。
【００８８】
ユーザが元の出力先となるＭＦＰ（例えば、ＭＦＰ(A)１００２）を選択すると（ステップＳ１３３で「ＹＥＳ」）、出力先決定部１２５６が出力先決定処理を実行して新たな出力先となるＭＦＰ（例えば、ＭＦＰ(B)１００３）を決定する（ステップＳ１３４）。出力先決定処理の内容は第１の実施形態と略同様であるため省略する。
新たな出力先が決定すると（ステップＳ１３５で「ＹＥＳ」）、データ管理システム１００１内に保存されている画像データの中から、ＭＦＰ(A)１００２の公開鍵で暗号化された画像データを検索する（ステップＳ１３６）。具体的には、ＭＦＰ(A)１００２のデータ管理部１２５７が、データ管理システム１００１内の全てのＭＦＰ１００２〜１００５に対して、それらＭＦＰ１００２〜１００５の記憶部にＭＦＰ(A)１００２の公開鍵で暗号化された画像データが保存されていないかを問い合わせる。問い合わせを受けた各ＭＦＰ１００２〜１００５は、出力先情報を参照して、記憶部内に保存されている暗号化画像データの中からＭＦＰ(A)１００２の公開鍵で暗号化された画像データを検索する。
【００８９】
いずれかのＭＦＰ１００２〜１００５の記憶部に暗号化画像データが保存されていた場合（ステップＳ１３７で「ＹＥＳ」）、それらＭＦＰ１００２〜１００５に暗号化画像データの送信を要求し、それらＭＦＰ１００２〜１００５からＭＦＰ(A)１００２の暗号化画像データを取得する（ステップＳ１３８）。
次に、ＭＦＰ(A)１００２の復号暗号化部１２５３は、当該ＭＦＰ(A)１００２の秘密鍵で取得した暗号化画像データを復号する（ステップＳ１３９）。さらに、復号した画像データを、ＭＦＰ(B)１００３の公開鍵で暗号化し（ステップＳ１４０）、暗号化画像データを前記ＭＦＰ(B)１００３に送信する（ステップＳ１４１）。暗号化画像データを受信したＭＦＰ(B)１００３では、前記暗号化画像データが前記ＭＦＰ(B)１００３の記憶部に保存される。
【００９０】
ステップＳ１３５に戻って、新たな出力先が決定しない場合（ステップＳ１３５で「ＮＯ」）、出力先を変更することなく出力先変更処理を終了する。
ステップＳ１３７に戻って、ＭＦＰ(B)１００２の公開鍵で暗号化された画像データがデータ管理システム１００１内にない場合（ステップＳ１３７で「ＮＯ」）、出力先を変更することなく出力先変更処理を終了する。
【００９１】
＜データ管理システムの変形例＞
以上、本発明に係るデータ管理システムを実施の形態に基づいて具体的に説明してきたが、本発明の技術的範囲は上記実施の形態に限定されないことはいうまでもない。
例えば、端末装置は、ＭＦＰに限定されず、ＰＣ、プリンタ、コピー機、ファクシミリ機などであってもよい。また、端末装置の台数は上記に限定されず２台以上であればよい。さらに、ファイルサーバの台数も１台に限定されず２台以上であってもよく、ファイルサーバが管理サーバを兼ねた構成であってもよい。
【００９２】
データは、画像データに限定されず音声データなどであってもよい。また、画像データには、図や表に関するデータだけでなく文字データも含まれ、図、表および文字を組み合わせたデータも含まれる。
出力部は、プリンタ部に限定されず、画像データが表示されるモニタ部であってもよい。すなわち、データ出力には、印刷物として用紙に出力される場合のみならず、画面上に表示される場合も含まれる。さらに、出力部は、音声データが出力されるスピーカ部であってもよい。
【００９３】
暗号鍵は、公開鍵暗号方式のものに限定されず、秘密鍵暗号方式であってもよい。なお、公開鍵暗号方式としては、ElGamal暗号や楕円曲線暗号等の方式を、秘密鍵暗号方式としては、Triple DES、FEAL、Rijndael、MISTY等の方式を、暗号強度や暗号化速度等に基づいて適宜採用することが考えられる。なお、暗号鍵は、定期的に変更してもよい。
＜データ管理方法＞
本発明は、データ管理システムに限られずデータ管理方法であるとしてもよい。さらに、その方法をコンピュータが実行するプログラムであるとしてもよい。また、本発明に係るプログラムは、例えば磁気テープ、フレキシブルディスク等の磁気ディスク、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＭＯ、ＰＤなどの光記録媒体、フラッシュメモリ系記録媒体等、コンピュータ読み取り可能な各種記録媒体に記録することが可能であり、当該記録媒体の形態で生産、譲渡等がなされる場合もあるし、プログラムの形態でインターネットを含む有線、無線の各種ネットワーク、放送、電気通信回線、衛星通信等を介して伝送、供給される場合もある。
【００９４】
また、上記プログラムは、上述した処理をコンピュータに実行させるための全てのモジュールを含んでいる必要はなく、例えば通信プログラムやＯＳに含まれるプログラムなど、別途情報処理装置にインストールすることができる各種汎用的なプログラムを利用して、本発明の各処理をコンピュータに実行させるようにしても良い。従って、上記した本発明の記録媒体に必ずしも上記全てのモジュールを記録している必要はないし、また、必ずしも全てのモジュールを伝送する必要もない。さらに、所定の処理は、専用ハードウェアを利用して実行させるようにすることができる場合もある。
【産業上の利用可能性】
【００９５】
本発明に係るデータ管理システムは、ＭＦＰ、ＰＣ、コピー機、ファクシミリ機、プリンタなどの端末装置を複数台備えたデータ管理システムに適用することができる。
【図面の簡単な説明】
【００９６】
【図１】第１の実施形態に係るデータ管理システムの全体構成を模式的に示す図である。
【図２】第１の実施形態に係るデータ管理システムの概略構成を示すブロック図である。
【図３】第１の実施形態に係るデータ入力処理の内容を示すフローチャートである。
【図４】第１の実施形態に係るデータ出力処理の内容を示すフローチャートである。
【図５】第１の実施形態に係る代行出力処理の概要を示すシーケンス図である。
【図６】第１の実施形態に係る代行出力処理における依頼元ＭＦＰの動作の内容を示すフローチャートである。
【図７】第１の実施形態に係る代行出力処理における管理サーバの動作の内容を示すフローチャートである。
【図８】第１の実施形態に係る代行先決定処理の内容を示すフローチャートである。
【図９】第１の実施形態に係る出力先変更処理の概略を示すシーケンス図である。
【図１０】第２の実施形態に係るデータ管理システムの全体構成を模式的に示す図である。
【図１１】第２の実施形態に係るＭＦＰの概略構成を示すブロック図である。
【図１２】第２の実施形態に係るデータ出力処理の内容を示すフローチャートである。
【図１３】第２の実施形態に係る代行出力処理の概要を示すシーケンス図である。
【図１４】第２の実施形態に係る出力先変更処理の内容を示すフローチャートである。
【符号の説明】
【００９７】
１，１００１  データ管理システム
２〜５，１００２〜１００５  端末装置
７  管理サーバ
８，１００６  ネットワーク
２３，１０２３  出力部  
７２３，１２５１  復号暗号化部
２５２，１２５２  出力異常検知部
７２１，１２５３  代行先決定部
【図１】
2008099119.tif 000003
【図２】
2008099119.tif 000004
【図３】
2008099119.tif 000005
【図４】
2008099119.tif 000006
【図５】
2008099119.tif 000007
【図６】
2008099119.tif 000008
【図７】
2008099119.tif 000009
【図８】
2008099119.tif 000010
【図９】
2008099119.tif 000011
【図１０】
2008099119.tif 000012
【図１１】
2008099119.tif 000013
【図１２】
2008099119.tif 000014
【図１３】
2008099119.tif 000015
【図１４】
2008099119.tif 000016