(57)【要約】【課題】セキュアプリンタでないプリンタを用いて、安全性を損なわずに印刷を行う。【解決手段】セキュアアプリケーション３により、一般出力装置１０を用いたセキュアデータ２の印刷が指示された場合、まずセキュリティ管理サーバ４によりアクセス権の確認がされる。確認されると、一般出力装置１０に対する印刷データにセキュア出力装置５に対するヘッダを付してカプセル化した印刷データが作成されて、セキュア出力装置５に送信される。セキュア出力装置５においてもユーザのアクセス権が確認され、またログも記録される。さらに印刷データはカプセルから取り出されて一般出力装置１０に転送され、そこで印刷が行われる。【選択図】図１
2008003792.tif 000002
【特許請求の範囲】
【請求項１】
暗号化されているセキュアデータにアクセス可能なセキュア装置と、セキュアデータにアクセスできない通常印刷装置と、クライアントとを有するセキュア印刷システムであって、
前記クライアントは、前記通常印刷装置により印刷を行う場合に、前記通常の印刷装置に対する印刷データを、前記セキュア装置に対する印刷データとしてカプセル化し、
前記セキュア装置は、前記クライアントから受信した印刷データが、前記通常印刷装置に対する印刷データをカプセル化した印刷データである場合には、前記通常印刷装置に対する印刷データを前記通常印刷装置に転送することを特徴とする印刷システム。
【請求項２】
セキュリティ管理サーバを更に有し、
前記セキュア装置は、前記カプセル化された印刷データを受信した場合、前記セキュリティ管理サーバに、ログ情報を送信し、
前記セキュリティ管理サーバは、受信したログ情報を蓄積保存することを特徴とする請求項１に記載の印刷システム。
【請求項３】
前記通常印刷装置は、前記セキュア印刷装置から転送された印刷データの出力を試みた場合、その結果を示すステータス情報を前記セキュア装置に送信し、
前記セキュア装置は、前記通常印刷装置から受信したステータス情報を前記クライアントに転送することを特徴とする請求項１又は２に記載の印刷システム。
【請求項４】
前記セキュア装置は、前記クライアントから印刷データを受信した場合、該印刷データに対するアクセス権限の有無を、前記セキュリティ管理サーバを照会して判定することを特徴とする請求項２、または、請求項２を引用する請求項３に記載の印刷システム。
【請求項５】
前記クライアントは、前記通常印刷装置により印刷を行う場合に、前記通常の印刷装置に対する印刷データを暗号化して、前記セキュア装置に対する印刷データとしてカプセル化し、
前記セキュア装置は、前記クライアントから受信した印刷データが、前記通常印刷装置に対する印刷データをカプセル化した印刷データである場合には、前記通常印刷装置に対する印刷データを復号して前記通常印刷装置に転送することを特徴とする請求項１乃至４のいずれか１項に記載の印刷システム。
【請求項６】
前記セキュア装置は、セキュア印刷データにアクセス可能なセキュア印刷装置であることを特徴とする請求項１乃至５のいずれか１項に記載の印刷システム。
【請求項７】
印刷データを受信する印刷データ受信手段と、
受信した印刷データが、暗号化されているセキュアデータにアクセスできない通常印刷装置に対する印刷データをカプセル化した印刷データであるか否か判定する判定手段と、
前記通常印刷装置に対する印刷データをカプセル化した印刷データであると判定された場合には、前記通常印刷装置に対する印刷データを前記通常印刷装置に転送するデータ転送手段と
を備えることを特徴とするセキュア印刷装置。
【請求項８】
前記通常印刷装置から、印刷処理のステータス情報を受信する状態受信手段と、
受信した前記ステータス情報を、当該印刷処理に係る印刷データの送信元に転送するステータス転送手段とを更に備えることを特徴とする請求項７に記載のセキュア印刷装置。
【請求項９】
暗号化されているセキュアデータにアクセス可能なセキュア装置と、セキュアデータにアクセスできない通常印刷装置と、クライアントとを有するセキュア印刷システムの制御方法であって、
前記クライアントは、前記通常印刷装置により印刷を行う場合に、前記通常の印刷装置に対する印刷データを、前記セキュア装置に対する印刷データとしてカプセル化し、
前記セキュア装置は、前記クライアントから受信した印刷データが、前記通常印刷装置に対する印刷データをカプセル化した印刷データである場合には、前記通常印刷装置に対する印刷データを前記通常印刷装置に転送することを特徴とする印刷制御方法。
【請求項１０】
受信手段と、判定手段と、データ転送手段とを備える印刷装置の制御方法であって、
データ受信手段が、印刷データを受信する印刷データ受信工程と、
判定手段が、受信した印刷データが、暗号化されているセキュアデータにアクセスできない通常印刷装置に対する印刷データをカプセル化した印刷データであるか否か判定する判定工程と、
データ転送手段が、前記通常印刷装置に対する印刷データをカプセル化した印刷データであると判定された場合には、前記通常印刷装置に対する印刷データを前記通常印刷装置に転送するデータ転送工程と
を備えることを特徴とする制御方法。
【請求項１１】
印刷データを受信する印刷データ受信手段と、
受信した印刷データが、暗号化されているセキュアデータにアクセスできない通常印刷装置に対する印刷データをカプセル化した印刷データであるか否か判定する判定手段と、
前記通常印刷装置に対する印刷データをカプセル化した印刷データであると判定された場合には、前記通常印刷装置に対する印刷データを前記通常印刷装置に転送するデータ転送手段と
してコンピュータを機能させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、たとえば暗号化等によりデータの安全性を向上させたセキュアなドキュメントシステム等に関し、特に、セキュアドキュメントを印刷するための印刷システムと印刷装置及びそれらの制御方法に関する。
【背景技術】
【０００２】
近年ネットワークを経由してＰＣ（パーソナルコンピュータ）やスキャナあるいはプリンタ等の入出力装置で電子文書が取り扱われている。これにより、電子文書のプリンタでの印刷や配布、個人ＰＣやＵＳＢストレージへの保存や持ち出し等、機密情報が外部に流出されうる機会が増え、流出があってもその流出経路の特定が困難である。そのため情報漏洩を防ぐセキュリティが重要視され、様々な取り組みが行なわれている。
【０００３】
その取り組みとして、ネットワークに接続されたＰＣ、入出力装置およびそこで取り扱われる電子文書をセキュリティ管理サーバにて一元管理するセキュアドキュメントシステムという仕組みが注目されている（たとえば特許文献１等参照）。
【０００４】
セキュアドキュメントシステムは、アクセス権管理を行なうセキュリティ管理サーバを有している。またセキュアドキュメントシステムでは、ネットワークに接続されたＰＣや入出力装置が暗号化された電子文書（セキュアドキュメント）にアクセスする際には、セキュリティ管理サーバから認証を得なければならない。これにより、暗号化された電子文書へアクセスする際には、クライアントはセキュリティ管理サーバに接続されている必要がある。仮に電子文書をネットワーク外に持ち出されても認証が得られないため電子文書に対する一切のアクセスは行なえない。また、その電子文書にアクセスするＰＣおよびアプリケーション、入出力装置のアクセス状況やアクセス履歴を、セキュリティ管理サーバにより全て一元的に管理することが出来る。
【特許文献１】特開２００５−２１７９５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
セキュアドキュメントシステムでは、暗号化された電子文書を印刷する際に、印刷装置はセキュリティ管理サーバから認証を受け、印刷ログを保存してから印刷を行なう必要がある。そこで、そのための機能を有するセキュア印刷装置が用いられる。セキュリティ管理サーバにアクセス出来る機能を有しない、セキュアドキュメントサイクル外の一般の（通常の）印刷装置を用いて印刷を行うことはできない。例えば、利用可能なセキュア印刷装置が、画質やサイズ等で利用者の要求を満たしていない場合、その要求を満たす一般印刷装置を用いようとしても、用いることはできない。このように、利用者の要求に合わせた使い勝手が悪いという問題があった。
【０００６】
本発明は上記従来例に鑑みてなされたもので、通常の印刷装置を用いてセキュアドキュメントを印刷可能とする。また、その際にはアクセスのログを記録することで、ユーザの利便性とデータのセキュリティを両立することができる印刷システムと印刷装置及びそれらの制御方法を提供することを目的とする。
【課題を解決するための手段】
【０００７】
上記目的を達成するために、本発明は以下の構成を備える。すなわち、暗号化されているセキュアデータにアクセス可能なセキュア装置と、セキュアデータにアクセスできない通常印刷装置と、クライアントとを有するセキュア印刷システムであって、
前記クライアントは、前記通常印刷装置により印刷を行う場合に、前記通常の印刷装置に対する印刷データを、前記セキュア装置に対する印刷データとしてカプセル化し、
前記セキュア装置は、前記クライアントから受信した印刷データが、前記通常印刷装置に対する印刷データをカプセル化した印刷データである場合には、前記通常印刷装置に対する印刷データを前記通常印刷装置に転送することを特徴とする。
【０００８】
あるいは本発明に係る印刷装置は以下の構成を備える。すなわち、印刷データを受信する印刷データ受信手段と、
受信した印刷データが、暗号化されているセキュアデータにアクセスできない通常印刷装置に対する印刷データをカプセル化した印刷データであるか否か判定する判定手段と、
前記通常印刷装置に対する印刷データをカプセル化した印刷データであると判定された場合には、前記通常印刷装置に対する印刷データを前記通常印刷装置に転送するデータ転送手段とを備えることを特徴とする。
【発明の効果】
【０００９】
発明によれば、通常の印刷装置を用いてセキュアドキュメントを印刷可能とし、その際にはアクセスのログを記録することで、ユーザの利便性とデータのセキュリティを両立することができる。
【発明を実施するための最良の形態】
【００１０】
＜定義＞
実施形態を説明する前にまずいくつかの用語についてその定義をしておく。セキュアデータとは暗号化されて保護されたデータをいう。セキュアアプリケーションとは、セキュアデータを処理するための暗号化機能および復号機能を有するアプリケーションプログラムをいう。セキュアアプリケーションはこのほかユーザインターフェースを表示し、そのユーザインターフェースを介してセキュアデータ（セキュアドキュメント）を印刷する設定や印刷する指示を受け付ける。さらに受け付けた指示に応じて、印刷データを作成し、出力装置（印刷装置）に送信する。
【００１１】
セキュア出力装置とは、セキュアデータを復号するための復号機能およびセキュリティ管理サーバにアクセスしてアクセス権の確認を行う機能を有するプリンタ等の出力装置をいう。セキュリティ管理サーバとは、ユーザのアクセス権やセキュアデータの管理、ログの記録やそれらに伴う処理等を行うサーバ装置である。セキュアドキュメントシステムとは、セキュアアプリケーションがインストールされたコンピュータやセキュア入力装置、セキュア出力装置、セキュリティ管理サーバ等を含む。セキュアドキュメントシステムは、ドキュメントデータをセキュアデータとして流通させ、その編集や印刷等の処理を行う。また、印刷データを暗号化したセキュアデータを特にセキュア印刷データという。
【００１２】
＜セキュアドキュメントシステムの構成＞
以下、添付図面に従って本発明に係わる実施例を詳細に説明する。図１から図１０は本発明である一般の出力装置へ印刷を実行する為のセキュアドキュメントシステムの構成の一例を示す。
【００１３】
図５は、本発明が適用されるセキュアドキュメントシステムの構成を示したものである。本システムにおいて、セキュア出力装置５はネットワーク７に接続されセキュアデータ２にアクセスすることが出来る。セキュアデータ２は、図５ではホスト装置２に保存されているが、たとえばデータベースサーバ等、他の装置に保存されていても良い。ホスト装置１には、セキュアアプリケーション４およびユーザインターフェース部４−２０が設けられている。いずれもソフトウエアで実現される。セキュリティ管理サーバ４およびセキュア入力装置６もネットワーク７に接続されている。図１においては各装置はネットワークに直接接続されているが、セキュア出力装置５がセキュリティ管理サーバ４に接続されているなど、いずれかの装置を介して互いに接続されるような構成であっても本発明は適用可能である。また、セキュアアプリケーション３は必ずしもホスト装置１に搭載されている必要はなく、セキュア出力装置５やセキュア入力装置６に搭載されていてもよい。
【００１４】
セキュアアプリケーション３、セキュア出力装置５、セキュア入力装置６とは、暗号化されたセキュアデータ２にアクセス出来、セキュリティ管理サーバ４から認証が取れるという特徴を持つ。
【００１５】
図２は、本発明が適用されるセキュアドキュメントシステムのセキュアデータ２内部の構造の一例を示す。セキュアデータ２は暗号化されており、少なくともデータＩＤ部（２−１）と実データ部（２−２）の２種類の領域を持つ。データＩＤ部（２−１）はセキュリティ管理サーバ４で管理される単位でデータに割り当てられる。必ずしもセキュアデータ２のファイル名と１対１対応する必要はなく、ひとつのファイルであっても、その部分毎に異なるデータＩＤが割り当てられる場合もある。データＩＤは、データごとに固有の値である。実データ部（２−２）は、文書や画像、映像等が有り得る。セキュアデータ２自体は暗号化されているため、セキュアアプリケーション３、セキュア出力装置５、セキュア入力装置６、セキュリティ管理サーバ４以外の装置やアプリケーションでは実データ部（２−２）にアクセスすることは出来ない。
【００１６】
図３は、本発明が適用されるセキュアドキュメントシステムのセキュリティ管理サーバに格納されたセキュア管理データの一例を示した図である。セキュリティ管理サーバ４には、セキュアデータ２に１対１で対応されたセキュア管理データ３−０が格納されている。セキュア管理データは、データＩＤ部（３−１）、アクセス権管理部（３−２）、アクセスログ格納部（３−３）と基本的には３種類の領域を持つ。データＩＤ部（３−１）は、セキュアデータのデータＩＤ（２−１）と対応している。よってセキュア管理データ３−０は、セキュアドキュメントシステム内に存在する、データＩＤが割り当てられたセキュアデータ２と同じ数だけ存在する。
【００１７】
アクセス権管理部（３−２）には、セキュアデータ２に対するアクセス権を管理するためのデータが保存されている。アクセスログ格納部（３−３）には、セキュアアプリケーション３、セキュア出力装置５、セキュア入力装置６のセキュアデータ２に対するアクセス状況が、ログとして格納される。アクセス権管理部（３−２）には通常、管理者等が設定したアクセス権管理テーブル（３−４）がリンクされている。リンクされるアクセス権管理テーブルは、当該セキュア管理データと同じデータＩＤを持つセキュアデータ２に関連づけられるアクセス権管理テーブルである。これによってデータＩＤごとにアクセス権管理が実現される。
【００１８】
アクセス権管理テーブル（３−４）にはユーザＩＤ（３−５）毎のアクセス許可種別（３−６）が登録されている。セキュリティ管理サーバ４は、アクセス権管理部（３−２）を介してアクセスされるアクセス権管理テーブル（３−４）の情報を基に、ユーザのアクセス権の有無を判定する。なお、アクセス許可種別（３−６）とは、許可あるいは禁止される処理内容が指定された領域である。具体的には、セキュアデータ２の編集、コピー、表示や印刷といった処理毎の許可／禁止の別を示す情報が、アクセス許可種別（３−６）にユーザ毎に登録される。
【００１９】
図４は、本発明が適用されるセキュアドキュメントシステムのセキュリテイー管理サーバとセキュアアプリケーションやセキュア入出力装置との認証の仕組みを示した図である。
【００２０】
ユーザが編集や印刷等、暗号化されたセキュアデータ２に対して作業を行いたい場合、ユーザは行いたい作業に応じた指示を、ユーザインターフェース４−２０から入力する。このとき作業内容（４−２）、該当セキュアデータ２を指示すると共に、ユーザを特定するユーザＩＤ（４−３）も合わせて指定する。入力された指示等のデータは、セキュアアプリケーション３あるいはセキュア出力装置５やセキュア入力装置６に入力される。
【００２１】
ユーザＩＤ（４−３）、セキュアデータ２と共に作業内容（４−２）を受けたセキュアアプリケーション３、セキュア出力装置５、セキュア入力装置６は、セキュアデータ２のデータＩＤ部（２−１）からデータＩＤを抽出する（４−４）。そして、セキュリティ管理サーバ４に作業認証依頼（４−５）を行う。このとき作業内容（４−２）、ユーザＩＤ（４−３）、抽出されたデータＩＤ（４−６）がセキュリティ管理サーバ４に渡される。
【００２２】
セキュリティ管理サーバ４では、それらの情報からセキュア管理データ３−０のアクセス権管理部（３−２）およびアクセス権管理テーブル３−４に基づいてアクセス権を確認する（４−７）。作業内容（４−２）に対してアクセス権が適切であれば、セキュリティ管理サーバ４はアクセス許可（４−８）を行い、セキュアアプリケーション３、あるいはセキュア出力装置５、セキュア入力装置６に認証キーを発行する（４−９）。
【００２３】
認証が受けられたセキュアアプリケーション３、セキュア出力装置５、セキュア入力装置６は、該当セキュアデータに対しユーザから指示を受けた作業を行い（４−１０）、作業完了通知を行う（４−１１）。この作業完了通知（４−１１）はユーザ（ユーザインターフェース）とセキュリティ管理サーバ６の両方に対して行われる。セキュリティ管理サーバ６へはユーザＩＤ（４−３）、データＩＤ（４−６）、作業完了通知（４−１２）を発行する。これによりセキュリティ管理サーバ６に格納されたセキュア管理データのアクセスログ格納部（３−３）において、アクセスログが更新される（４−１３）。なお、本実施形態の場合、通常の印刷装置に対しては、印刷データと共にクライアントであるホスト装置でログデータが作成されており、このログデータ４−１５もセキュリティ管理サーバ４に送信される。
【００２４】
ユーザには、作業管理通知（４−１２）を発行することで、ユーザが指示した作業が完了する（４−１４）。なお、セキュアデータ２は、図４では保存場所から読み出されて、必要があれば再度保存されているが、たとえば表示する場合などには、復号されてからユーザインターフェース部４−２０に渡されて、表示される。また、印刷など、再保存の必要がない場合には、読み出されるだけである。
【００２５】
また、セキュリティアプリケーション３から印刷を要求する場合には、セキュアデータ２にアクセスする際にセキュアアプリケーション３がセキュリティ管理サーバ４に認証を要求する。認証が成功すると、セキュアデータである印刷データはセキュア出力装置５に送信される。セキュア出力装置５においても、セキュリティ管理サーバ４に対して認証が要求される。認証が成功すると印刷が実行される。あるいは、本実施形態では、一般の出力装置１０に印刷データが転送される。
【００２６】
＜本実施形態に係る印刷システムの構成＞
図１は本実施形態に係る印刷システムであり、図５に示したセキュアドキュメントシステムに一般出力装置（通常印刷装置とも呼ぶ。）１０を付加した構成を示したものである。一般出力装置１０は、ネットワーク７に接続されてはいるが、セキュアデータ２を復号できないし、またセキュリティ管理サーバに対して認証を要求する機能も持たない。すなわち、セキュアデータに直接アクセスすることが出来ない。そこで本実施形態では、セキュア出力装置５を経由して、セキュアドキュメントシステムすなわちセキュアアプリケーション３等、セキュアデータにアクセス可能な装置からの通信を可能とした。これは一実施形態であり、一般印刷装置１０は、セキュア入力装置６やホスト装置１を経由してもアクセス可能とすることもできる。このように、一般出力装置に対するトンネルとして機能するホスト装置、セキュア出力装置等を、まとめてセキュア装置と称する。
【００２７】
図６は、ホスト装置１に具備されるセキュアアプリケーション３から一般の印刷装置１０に対して印刷要求する際の、プリンタドライバ（不図示）から指定の印刷装置の設定をする為のユーザインターフェースに関するものである。プリンタドライバはセキュア出力装置５に対応したソフトウエアであり、暗号化および複合化の機能を持つ。あるいは、暗号化に関する機能は持たず、セキュアアプリケーション３で復号されたデータを用いて印刷データの生成等を行い、その後の暗号化は他の暗号化モジュールで行うようにしても良い。
【００２８】
図６において、プリンタ名６−１は、印刷を実行するプリンタを指定する選択画面であり、本実施形態では一般出力装置Ａ６−２が指定されている。デフォルトセキュアプリンタ６−３は、セキュアドキュメントシステム内で通常使用するセキュア印刷装置が指定されている。本実施形態では、セキュア出力装置を選択可能なメニューとしてセキュア印刷装置Ｂ６−４を指定している。尚、プリンタ名６−１でセキュア印刷装置が指定されている場合は、デフォルトセキュアプリンタ６−３と同一のプリンタ名となる。
【００２９】
各プリンタのプロパティ６−５は、プロパティスイッチで切替えが可能であり、プロパティ画面において、「ページ設定」「給紙」「仕上げ」などの印刷設定の指定が可能である。その他に、「場所」は、印刷が実行されるプリンタが置かれている場所で、本実施形態では「居室」を示す。印刷範囲は印刷を実行するページ範囲を示し、印刷部数は、印刷を行なう部数を示す。
【００３０】
図７は、本発明が適用されるセキュアドキュメントシステムにおいて、セキュア出力装置５で印刷が実行される際に、セキュリティ管理サーバ４に保持するアクセスログの内容を設定する印刷ログ設定ユーザインターフェースである。一般出力装置１０で印刷が実行される際にも同内容のログが記録される。この設定はクライアントであるホスト装置１において行われ、たとえばログとして記録される項目のＩＤ等の表としてホスト装置１に保存されると共に、その表はセキュリティ管理サーバ４に送信されて、そこでも保持される。
【００３１】
ログの設定内容には、印刷実行日時、印刷実行者のユーザＩＤ、印刷を実行した文章ファイル名を示す印刷データ名、どのホストコンピュータからの命令に従って印刷実行を行なったかを示す入力装置が指定可能である。さらに、印刷を実行したセキュア出力装置を示す出力装置、一般の出力装置に出力する場合の、一般出力装置のＩＰアドレス等の装置情報を保持する一般印刷装置も指定可能である。さらに、ログに印刷文章の内容も保持する場合に指定する印刷文章保存とどのような形式のフォーマットでデータを保持するか、例えば、ＰＤＦ形式、ＴＩＦ形式、ＸＭＬ方式かを指定するメニューが準備されている。
【００３２】
本実施形態では、ホスト装置１のプリンタドライバにより図７は表示されて入力が行われるが、装置毎に設定アプリケーションをもっていてもよい。また、総合管理ツールでアクセス権を設定しても良い。また、ログ項目は、セキュリティを向上させるために、情報径路の追跡等の観点からの選択される、そのため、各項目毎に、管理者によるアクセス制限を設けるのが一般的である。
【００３３】
図８は、プリンタドライバから、一般出力装置１０で印刷を行うために出力される印刷ジョブの構成を示している。すなわち、出力先印刷装置として一般出力装置が選択されていると、発行される印刷ジョブは図８のような構成となる。一般出力装置かセキュア出力装置かは、たとえば装置の名称等で判定できる。
【００３４】
この印刷ジョブは、印刷ヘッダ８１０、印刷データ８１１から構成される。印刷ヘッダ８１０には、印刷１ヘッダ８−１および印刷ログ８−２および転送コマンド８−３が含まれる。印刷１ヘッダ８−１は、印刷装置１に対する印刷命令が記述された印刷コマンドである。印刷ログ８−２は、セキュリティサーバに保存するログデータである。ここで、ログの項目として印刷ページが選択されている場合は、セキュア出力装置の印刷データもここに含まれる。ログ情報はセキュアアプリケーション３により収集されて印刷ログ８−２に収められる。転送コマンド８−３は、一般出力装置１０に対して、印刷データの転送を指示する命令により構成される。
【００３５】
印刷データ８１１において、印刷２ヘッダ８−４には、第二の印刷装置である一般出力装置への印刷命令が格納されている。印刷２データ８−５には、第二の印刷装置である一般出力装置により出力される（すなわちアクセス可能な）印刷データにより構成される。  図９は、本実施形態の構成を示すブロック図である。ホストコンピュータ１内部のセキュアアプリケーション２、セキュアアプリケーション２はプリンタドライバ９００と連携しながらセキュアアプリケーションで印刷デーの生成９０１を行なう。プリンタドライバ内のプリンタ情報取得手段９０４は、プリンタＩＤなどの情報を取得する。印刷データ部は、プリンタドライバの設定に合わせて、印刷データを加工する部分である。プリンタドライバで作成された印刷データは、通信手段９０５を用いて送信される。
【００３６】
セキュリティ管理サーバ４は、データを保持するデータ保存部９６０とコントロール部９６１と通信手段９６２から構成される。
【００３７】
セキュア出力装置５は、通信手段９１０と印刷ジョブ取得部９１１と印刷ジョブ解析部９１２とデータ送信部９１３と印刷機構部９１４から構成される。
【００３８】
一般出力装置１０は、通信手段９２０と印刷ジョブ取得部９２１、印刷ジョブ解析部９２２、印刷機構部９２３より構成される。
【００３９】
以上のような構成において、本実施形態の印刷処理手順を、図１１〜図１３のフローチャートを用いて説明する。
【００４０】
＜セキュアアプリケーションおよびプリンタドライバ＞
先ず、セキュアアプリケーション３から印刷を実行するにあたり、セキュアアプリケーション３からセキュア出力装置５の印刷ログの設定方法を予め指定しておく必要がある。図１１ではこの指定はステップＳ１００で行われるが、この指定は予めされていれば、ステップＳ１０１以下の処理と非同期に行うことができる。同様に、使用するプリンタも、デフォルトセキュアプリンタも、図６のユーザインターフェースから設定されている必要がある。
【００４１】
ここで印刷指示があると、ステップＳ１０１が実行される。ステップＳ１０１では、使用するプリンタがセキュアプリンタ（セキュア出力装置のこと）ではない通常プリンタか、それともセキュアプリンタか、設定に基づいて判定される。セキュアプリンタであれば、ステップＳ１２０に進んで、セキュアプリンタによる印刷処理を実行する。
【００４２】
一方、セキュアプリンタではない場合にはステップＳ１０２に進む。ステップＳ１０２では、印刷対象のセキュアデータのデータＩＤ部２−１に対応するアクセス権情報を参照し、印刷指示したユーザが、一般の印刷装置への印刷権限を有するか確認する。すなわち、一般の印刷装置１０で印刷可能かどうか、ユーザのアクセス権を確認する。ここで、ユーザが、セキュアデータを一般の出力装置１０により印刷する権限を持たない場合は、図１０に示すような警告を発して、印刷を中止する（ステップＳ１１０）。
【００４３】
一方印刷権限が確認された場合、すなわち一般の出力装置で印刷が可能な場合は、先ず、プリンタドライバは、プリンタドライバで指定したセキュアプリンタに対して印刷ジョブを準備する（ステップＳ１０３）。プリンタドライバで指定したセキュアプリンタとは、たとえばデフォルトセキュアプリンタである。
【００４４】
ステップＳ１０３では、図８で示した印刷ジョブのうち、印刷の管理を行うための印刷ヘッダ８−１０を作成する。プリンタドライバは、セキュア出力装置５に対して印刷ログを格納する為の命令である印刷１ヘッダと、印刷データ８−１０を一般の出力装置１０に転送する為の転送コマンド８−３を作成する。転送コマンド８−３には、送信した印刷データ８−１０をそのまま転送する為の、一般の出力装置の転送先であるネットワーク上のアドレス情報が記載される。
【００４５】
次に、セキュアアプリケーション３は、セキュア出力装置の設定・確認１００で設定された印刷ログの指定内容に合わせて、サーバに保存する印刷ログ８−２の作成１０４を行なう。ここで、選択されているログ情報が印刷ジョブに付加される。
【００４６】
印刷ヘッダ８１０の作成が終了すると、次に、印刷データ８１１すなわち、実際に印刷処理を行う一般出力装置１０のための印刷ジョブを作成する。まず、一般の出力装置１０に対応した用紙の設定や面付け方法など、図６のプリンタドライバのプロパティ項目で設定された印刷設定情報を作成する（ステップＳ１０５）。この段階でユーザインターフェースを表示し、ユーザの設定を受け付けても良い。また既に設定されている場合には、たとえばその設定情報を読み出して、印刷データ用に再構成する。
【００４７】
次に、実際に一般の出力装置１０で印刷される印刷データの作成を行なう（ステップＳ１０６）。一般の出力装置は暗号化されたデータにアクセスできないため、平文にしたドキュメントデータを用いて印刷データを作成する。
【００４８】
印刷データが作成し終わると、ホスト装置１は、通信手段９０５を通じてセキュア印刷装置５に印刷ジョブを送信する（ステップＳ１０７）。
【００４９】
以上のように、通常の印刷装置１０に対する印刷データを、セキュア出力装置５に対する印刷データでカプセル化処理を行う。これによってセキュア出力装置５をトンネルして通常の印刷装置１０に印刷データを送信することができる。ただし、単なるトンネル処理ではなく、後述のようにログの記録が行われるために、セキュリティを維持することができる。次にセキュア出力装置の動作に関して説明する。
【００５０】
＜セキュア出力装置＞
図１２に、図１１のステップＳ１０７で送信された印刷データを受信したセキュア出力装置による処理手順を示す。装置ホスト装置１から送信された印刷ジョブは、セキュア出力装置５の通信手段で９１０で受信され、印刷ジョブ取得部９１１で一旦格納される。印刷ジョブ解析部９１２で先ず受信した印刷ヘッダが解析される（ステップＳ２００）。
【００５１】
次に、受信した印刷ヘッダを解析した内容に基づいて、アクセス権が確認される（ステップＳ２０１）。受信ヘッダの内容から得た印刷対象のデータＩＤを基に、セキュア出力装置は、データ送信部９１３、通信手段９１０を通じて、そのデータＩＤに対応するセキュア管理データ３−０を参照する。セキュア管理データ３−０はセキュリティ管理サーバ４のデータ保持部９６０に格納されている。
【００５２】
ここで、図４に示したように、セキュリティ管理サーバ４に対して、セキュア印刷装置５から、印刷指示したユーザによる印刷データへのアクセス権の取得を行う。アクセス権の確認が出来たなら、印刷ジョブ解析部９１２は、セキュリティ管理データに含まれるアクセスログ格納部３−３に印刷ログ８−２を格納する（ステップＳ２０２）。
【００５３】
ログ情報の格納が終了すると、印刷ジョブ解析部９１２は順次コマンドを解析し、転送コマンド８−３を解析する（ステップＳ２０３）。そして転送コマンドに従って、受信した印刷データ８−１１を指定された宛先、すなわち一般の出力装置１０に転送する（ステップＳ２０４）。
【００５４】
＜出力装置による印刷後の処理＞
さて、図１２のステップＳ２０４において転送された印刷データを受信した一般出力装置１０は、図１３（Ａ）Note順で動作する。
【００５５】
一般の出力装置が印刷待ちの状態で印刷データを受信し（ステップＳ３００）、そのときに印刷用紙の不足やトナー切れなどのステイタスにエラーがあった場合（ステップＳ３０１−ＹＥＳ）、ステイタスの通知のシーケンスに入る（Ｓ３０５）。
【００５６】
エラーがない場合、印刷ジョブ取得部、印刷ジョブ解析部９２２で受信した印刷データを解析し、順次印刷を実行する（ステップＳ３０２）。このとき、データ不正や、紙詰まり、トナー切れなどのエラーが発生すると（ステップＳ３０３−ＹＥＳ）、その結果を通知するステータス通知シーケンスに入る（Ｓ３０５）。
【００５７】
また、印刷が正常に終了した場合（Ｓ３０４）、その終了結果をステップＳ３０５で通知するためにステイタス通知シーケンスに入る。
【００５８】
ステップＳ３０５のステイタス通知シーケンスでは、一般印刷装置への情報取得や、印刷命令が、セキュアドキュメントサイクルの装置から実行されている為、通知方法が異なる。図１１のステップＳ１０７のように、一般出力装置に対して、セキュア印刷装置を経由して印刷データが転送される場合、ステイタス通知は、印刷データの転送元であるセキュア印刷装置５に対して行なわれる。
【００５９】
セキュア印刷装置５では、一般出力装置１０からのステイタスを受け取ると図１３（Ｂ）のように動作する。まずステータスを受信すると（ステップＳ４００）、受信データを解析する。ここでは、ステータス情報を転送する宛先のクライアント（ホスト装置）を決定する（ステップＳ４０１）。そのために、たとえばステータスのジョブＩＤに相当する、転送した印刷ジョブのジョブＩＤを探し、見付けたならそこに記述された送信元のホスト装置のＩＤを読む。それをステータス情報の送信先のホスト装置とする。あるいは、情報取得操作を行なったホスト装置のＩＤ情報と受信データとの比較、また、印刷命令を実行したホスト装置のＩＤ情報と受信データの比較を行う。
【００６０】
このようにして送信先のホスト装置が決定されたなら、そのホスト装置に対して、ステイタス情報を転送する。
【００６１】
尚、一般出力装置１０に対して、ホスト装置１からネットワークを通じて直接、ステイタス情報の取得は可能で、その場合は、エラーステイタスの確認３０１の場合は、ステイタス通知は、直接ホスト装置に通知される。
【００６２】
以上のようにして、セキュアプリンタを介してセキュアでないプリンタを用いることで、セキュアドキュメントシステムから印刷を行うことができる。この場合単に印刷を可能にしただけではなく、プリンタによる認証が行われ、さらにログが記録される、こうすることでセキュリティを確保している。
【００６３】
さらに、一般出力装置用の印刷データ８−５を暗号化しておき、セキュア出力装置５による転送時に、暗号化された印刷データを解読して平文化することもできる。そして平文の印刷データを転送する。この場合、図１１のステップＳ１０６において、セキュリティ管理サーバ６から復号鍵を取得し、その復号鍵を用いて印刷データを復号する。この様に構成することで、セキュアドキュメントシステム内で交換されるデータの安全性は損なわれることがなく、更にデータの安全性を向上させることができる。
【００６４】
なお本発明は、複数の機器（例えばホストコンピュータ、インタフェイス機器、リーダ、プリンタなど）から構成されるシステムに適用しても、一つの機器からなる装置（例えば、複写機、ファクシミリ装置など）に適用してもよい。また本発明の目的は、前述の実施形態の機能を実現するプログラムコードを記録した記録媒体を、システムあるいは装置に供給し、そのシステムあるいは装置のコンピュータが記憶媒体に格納されたプログラムコードを読み出し実行することによっても達成される。この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施形態の機能を実現することになり、そのプログラムコード自体およびプログラムコードを記憶した記憶媒体は本発明を構成することになる。
【００６５】
また、本発明には、プログラムコードの指示に基づき、コンピュータ上で稼働しているオペレーティングシステム（ＯＳ）などが実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれる。さらに、記憶媒体から読み出されたプログラムコードが、コンピュータに挿入された機能拡張カードやコンピュータに接続された機能拡張ユニットに備わるメモリに書込まれた場合についても、本発明は適用される。その場合、書き込まれたプログラムコードの指示に基づき、その機能拡張カードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される。
【図面の簡単な説明】
【００６６】
【図１】本発明が適用されるセキュアドキュメントシステムに一般出力装置を追加した構成を示すシステム構成図である。
【図２】本発明が適用されるセキュアドキュメントシステムのセキュアデータ内部構造の一例を示す図である。
【図３】本発明が適用されるセキュアドキュメントシステムのセキュリティ管理サーバに格納されたセキュア管理データの一例を示す図である。
【図４】本発明が適用されるセキュアドキュメントシステムのセキュリテイー管理サーバとセキュアアプリケーションやセキュア入出力装置との認証の仕組みを示す図である。
【図５】本発明が適用されるセキュアドキュメントシステムの構成を示すシステム構成図。
【図６】本発明が適用されるセキュアドキュメントシステムのセキュアアプリケーションのプリンタドライバから印刷装置を指定するユーザインターフェースを示す図である。
【図７】本発明が適用されるセキュアドキュメントシステムのプリンタドライバから、印刷ログの記録指定方法を示す、ユーザインターフェースを示す図である。
【図８】本発明が適用されるセキュアドキュメントシステムにおいて、ホストコンピュータで作成されれる印刷ジョブで、第一の出力装置に送信される印刷ジョブの構成を示す図である。
【図９】本発明が適用されるセキュアドキュメントシステムのブロック図である。
【図１０】印刷データのアクセス権確認の際に表示される、エラーメッセージの一例を示す図である。
【図１１】セキュアアプリケーションによる印刷時の処理のフローチャートである。
【図１２】セキュア出力装置による転送処理のフローチャートである。
【図１３】出力装置による印刷処理時のフローチャートである。
【符号の説明】
【００６７】
１  ホスト装置 （ＰＣ）
２  セキュアデータ
３  セキュアアプリケーション
４  セキュリティ管理サーバ
５  セキュア出力装置
６  セキュア入力装置
７  ネットワーク
１０  一般出力装置
【図１】
2008003792.tif 000003
【図２】
2008003792.tif 000004
【図３】
2008003792.tif 000005
【図４】
2008003792.tif 000006
【図５】
2008003792.tif 000007
【図６】
2008003792.tif 000008
【図７】
2008003792.tif 000009
【図８】
2008003792.tif 000010
【図９】
2008003792.tif 000011
【図１０】
2008003792.tif 000012
【図１１】
2008003792.tif 000013
【図１２】
2008003792.tif 000014
【図１３】
2008003792.tif 000015