(57)【特許請求の範囲】
【請求項１】
ネットワークを介して画像形成装置に接続されるセキュリティサーバであって、
前記画像形成装置における電子文書の生成に応じて、該電子文書に対して新たに第１のＩＤを付与する第１のＩＤ生成手段と、
前記画像形成装置における印刷文書の生成に応じて、該印刷文書に対して新たに第２のＩＤを付与する第２のＩＤ生成手段と、
任意の電子文書の前記第１のＩＤと、該任意の電子文書の生成経緯の履歴を示す派生元文書の前記第１または第２のＩＤとが対応付けられて記録される第１のプロファイル管理テーブルと、
任意の印刷文書の前記第２のＩＤと、該任意の印刷文書の生成経緯の履歴を示す派生元文書の前記第１または第２のＩＤとが対応付けられて記録される第２のプロファイル管理テーブルと、
前記画像形成装置における電子文書または印刷文書の生成に付随して前記ネットワークを介して取得する任意の前記第１または第２のＩＤを、該取得したＩＤの種類に対応する前記第１または第２のプロファイル管理テーブルから検索する検索手段と、
前記検索の結果、前記ネットワークを介して取得した前記第１または第２のＩＤが、前記第１または第２のプロファイル管理テーブルに存在する場合に、前記検索された第１または第２のＩＤおよび該検索されたＩＤに対応付けられている前記生成経緯の履歴を示す派生元文書の第１または第２のＩＤを、前記新たに第１又は第２のＩＤが付与された電子文書または印刷文書の生成履歴を示すＩＤ情報として、前記新たに付与された第１または第２のＩＤと対応付けて、該新たに付与されたＩＤの種類に対応する前記第１または第２のプロファイル管理テーブルに記録する格納手段と、
を備えることを特徴とするセキュリティサーバ。
【請求項２】
前記電子文書が前記任意の印刷文書から生成されるときに、前記第１のプロファイル管理テーブルは、前記電子文書のプロファイルを、前記任意の印刷文書に付与されている前記第２のＩＤと関連付けて記録することを特徴とする請求項１に記載のセキュリティサーバ。
【請求項３】
前記印刷文書が前記任意の電子文書から生成されるときに、前記第２のプロファイル管理テーブルは、前記任意の電子文書に付与されている前記第１のＩＤを前記印刷文書の派生元ＩＤとして記録することを特徴とする請求項１に記載のセキュリティサーバ。
【請求項４】
前記印刷文書が前記任意の印刷文書から生成されるときに、前記第２のプロファイル管理テーブルは、前記任意の印刷文書に付与されている前記第２のＩＤを前記生成される印刷文書の派生元ＩＤとして記録することを特徴とする請求項１に記載のセキュリティサーバ。
【請求項５】
画像形成装置と、前記画像形成装置にネットワークを介して接続されるセキュリティサーバとを含む文書セキュリティ管理システムであって、
前記セキュリティサーバは、
前記画像形成装置における電子文書の生成に応じて、該電子文書に対して新たに第１のＩＤを付与する第１のＩＤ生成手段と、
前記画像形成装置における印刷文書の生成に応じて、該印刷文書に対して新たに第２のＩＤを付与する第２のＩＤ生成手段と、
任意の電子文書の前記第１のＩＤと、該任意の電子文書の生成経緯の履歴を示す派生元文書の前記第１または第２のＩＤとが対応付けられて記録される第１のプロファイル管理テーブルと、
任意の印刷文書の前記第２のＩＤと、該任意の印刷文書の生成経緯の履歴を示す派生元文書の前記第１または第２のＩＤとが対応付けられて記録される第２のプロファイル管理テーブルと、
前記画像形成装置における電子文書または印刷文書の生成に付随して前記ネットワークを介して取得する任意の前記第１または第２のＩＤを、該取得したＩＤの種類に対応する前記第１または第２のプロファイル管理テーブルから検索する検索手段と、
前記検索の結果、前記ネットワークを介して取得した前記第１または第２のＩＤが、前記第１または第２のプロファイル管理テーブルに存在する場合に、前記検索された第１または第２のＩＤおよび該検索されたＩＤに対応付けられている前記生成経緯の履歴を示す派生元文書の第１または第２のＩＤを、前記新たに第１又は第２のＩＤが付与された電子文書または印刷文書の生成履歴を示すＩＤ情報として、前記新たに付与された第１または第２のＩＤと対応付けて、該新たに付与されたＩＤの種類に対応する前記第１または第２のプロファイル管理テーブルに記録する格納手段と、
を備え、
前記画像形成装置は、前記新たに付与された前記第１または第２のＩＤを前記ネットワーク経由で受信し、前記電子文書または印刷文書を出力するときに、当該文書に前記新たな第１または第２のＩＤを埋め込んで出力することを特徴とする文書セキュリティ管理システム。
【請求項６】
前記画像形成装置は、前記新たに付与された前記第２のＩＤを、可視的なドット配列として前記印刷文書上に印字することを特徴とする請求項５に記載の文書セキュリティ管理システム。
【請求項７】
前記画像形成装置が、前記任意の印刷文書から前記印刷文書または電子文書を生成するときに、前記セキュリティサーバまたは前記画像形成装置は、前記任意の印刷文書上に付された前記第２のＩＤを抽出し、
前記セキュリティサーバは、前記抽出された前記第２のＩＤを派生元ＩＤとして、前記新たに付与されたＩＤの種類に応じた前記第１または第２のプロファイル管理テーブルに記録することを特徴とする請求項５に記載の文書セキュリティ管理システム。
【請求項８】
画像形成装置にネットワークを介して接続されるセキュリティサーバにおいて、
前記画像形成装置における電子文書の生成に応じて、該電子文書に対して新たに第１のＩＤを付与し、
前記画像形成装置における印刷文書の生成に応じて、該印刷文書に対して新たに第２のＩＤを付与し、
任意の電子文書の前記第１のＩＤと、該任意の電子文書の生成経緯の履歴を示す派生元文書の前記第１または第２のＩＤとを対応付けて、第１のプロファイル管理テーブルに記録し、
任意の印刷文書の前記第２のＩＤと、該任意の印刷文書の生成経緯の履歴を示す派生元文書の前記第１または第２のＩＤとを対応付けて、第２のプロファイル管理テーブルに記録し、
前記画像形成装置における電子文書または印刷文書の生成に付随して前記ネットワークを介して取得する任意の前記第１または第２のＩＤを、該取得したＩＤの種類に対応する前記第１または第２のプロファイル管理テーブルから検索し、
前記検索の結果、前記ネットワークを介して取得した前記第１または第２のＩＤが、前記第１または第２のプロファイル管理テーブルに存在する場合に、前記検索された第１または第２のＩＤおよび該検索されたＩＤに対応付けられている前記生成経緯の履歴を示す派生元文書の第１または第２のＩＤを、前記新たに第１又は第２のＩＤが付与された電子文書または印刷文書の生成履歴を示すＩＤ情報として、前記新たに付与された第１または第２のＩＤと対応付けて、該新たに付与されたＩＤの種類に対応する前記第１または第２のプロファイル管理テーブルに記録する
ことを特徴とする文書セキュリティ管理方法。
【請求項９】
前記新たに生成した前記第１または第２のＩＤを、前記セキュリティサーバから前記ネットワークを介して前記画像形成装置に送信する、
ことを特徴とする請求項８に記載の文書セキュリティ管理方法。
【請求項１０】
前記電子文書が前記任意の印刷文書から生成されるときに、前記セキュリティサーバにおいて当該任意の印刷文書に付与された前記第２のＩＤを抽出し、
前記抽出した第２のＩＤを、前記電子文書の派生元ＩＤとして前記第１のプロファイル管理テーブルに記録する
ことを特徴とする請求項９に記載の文書セキュリティ管理方法。
【請求項１１】
前記印刷文書が前記任意の電子文書から生成されるときに、前記セキュリティサーバにおいて当該任意の電子文書に付与された第１のＩＤを、前記印刷文書の派生元ＩＤとして前記第２のプロファイル管理テーブルに記録する
ことを特徴とする請求項９に記載の文書セキュリティ管理方法。
【請求項１２】
前記印刷文書が前記任意の印刷文書から生成されるときに、前記セキュリティサーバにおいて前記任意の印刷文書に付与された第２のＩＤを抽出し、
前記抽出した前記第２のＩＤを、前記印刷文書の派生元ＩＤとして前記第２のプロファイル管理テーブルに記録する
ことを特徴とする請求項９に記載の文書セキュリティ管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、広くは情報セキュリティの維持管理に関し、特に、スキャナ、コピー機、ファクシミリなどにより情報の電子データ化とハードコピー化が繰り返される環境でも、情報セキュリティを維持、管理できる文書セキュリティ管理技術に関する。
【背景技術】
【０００２】
近年、個人、企業を問わず、情報資産のセキュリティをいかに確保するかについての関心が高まっている。その背景には、セキュリティホールやコンピュータウイルスの問題、顧客情報の機密管理の必要性、情報システムの管理・運用体制の強化への要望、などがある。情報セキュリティに関する標準化については、ＩＳＯ１５４０８、ＩＳＯ１７７９９、ＢＳ７７９９、ＩＳＭＳなどの規格が数多く制定されており、一般のオフィスでも、セキュリティポリシーの制定や情報セキュリティ管理の実施が行われつつある。
【０００３】
たとえば、文書のセキュリティに関する取り扱い方針を「文書セキュリティポリシー」として定め、このポリシーに基づいて文書システムや各種機器を連携して動作させ、一貫した文書管理を行う「ポリシーベース・文書セキュリティシステム」の開発が行われている。
【０００４】
ポリシーは、一連のルールとしてルールテーブルに記載することができる。ルールテーブルを用いて文書の作成や複写に関するセキュリティを一元的に管理するサーバを、ドメイン内に設置することで、ドメイン内の文書のセキュリティを維持、管理するシステムが考えられる。管理は、文書に付された文書ＩＤと、あらかじめ登録されたユーザの属性とに基づいて、行われる。
【０００５】
ワードプロセッサなどで作成された電子文書の管理については、各電子文書にＩＤを与え、暗号化することによって、プロテクトされた文書の発行、管理が可能になる。ＩＤや電子文書の属性は、プロファイルとして管理される。そして、電子文書を開くための専用のプログラムを使用して、セキュリティサーバにアクセス権限を問い合わせることにより、ポリシーベースの文書セキュリティ管理が実現される。
【０００６】
一方、ハードコピー（紙文書）上の情報管理については、画像データを印刷する際にＩＤを与え、このＩＤを画像の中に埋め込んで、画像データとともに印刷出力する。画像データのＩＤや、印刷中に埋め込まれる情報も、プロファイルとして管理される。再生された印刷媒体を、スキャン、複写などにより読み取る際に、印刷されたＩＤを読み取り、読み取ったＩＤに基づいて、セキュリティサーバにアクセス権限を問い合わせることによって、ポリシーベースの情報セキュリティ管理が実現される。
【０００７】
図１は、セキュリティサーバで管理されているプロファイルの一例を示す。固有の文書ＩＤに対応して、電子文書の属性を表わす属性ファイルと、印刷時に埋め込まれて画像とともに出力される埋め込み情報が定義されている。属性ファイルは、たとえば、文書のセキュリティ属性、文書のカテゴリ、文書のセキュリティレベルなどが記録されている。埋め込み情報は、たとえば、ビットマップ形式、ＪＰＥＧ形式の画像関連情報から成り、印刷出力時に埋め込まれる印刷ＩＤが含まれる。
【０００８】
文書セキュリティポリシーの異なる複数のドメイン間で文書のやり取りを行う場合、電子文書については、文書セキュリティポリシーの問い合わせ先を記述しておくことにより、上述したポリシーベースの文書セキュリティ管理をそのまま適用することができる。
【０００９】
しかし、紙文書については、情報の埋め込み形式の相違、印刷スペースや読み取り手段の限界などから、文書セキュリティポリシーの問い合わせ先を画像の中に埋め込んで印刷するのは、非現実的である。
【００１０】
そこで、複数のドメインを統括するＴＴＰ（Trusted Third Party）を設けておき、ＴＴＰに統括的なセキュリティポリシーを設定することが提案されている（たとえば、特許文献１参照）。ドメインをまたがるアクセスについては、すべてＴＴＰがアクセス権限の判断を行い、オープンな分散環境でのセキュリティ管理が行われる。
【特許文献１】特開平７−１４１２９６号公報
【発明の開示】
【発明が解決しようとする課題】
【００１１】
しかし、統括的なセキュリティポリシーの設定自体が容易でなく、仮に、設定できたとしても、アクセス判断の権限を外部機関に譲渡しなければならないという状況は、望ましくない。
【００１２】
また、上述した従来のセキュリティサーバやＴＴＰシステムを用いて、ドメイン内または異なるドメイン間で文書管理が適正になされたとしても、そのシステムが予定するセキュリティの範囲を超えて文書が利用されてしまうと、その時点でセキュリティが損なわれてしまう。たとえば、プロテクトされた電子文書から印刷された原稿が、複写、スキャン、ファクシミリ送信など繰り返し利用された場合、セキュリティが維持されているかどうかを追跡することが困難になる。
【００１３】
また、画像（あるいは文書）に埋め込まれたＩＤ情報の改ざんの可能性や、複写の繰り返しによるＩＤ自体の劣化、変質も考えられ、正確なＩＤ情報が読み取れなくなるという問題も発生する。
【００１４】
そこで、本発明は、印刷、複写等が繰り返される場合でも、セキュリティの維持、管理状況を追跡することのできる文書セキュリティ管理システムの提供を課題とする。
【００１５】
また、異なるドメイン間でも、外部にアクセス判断の権限を譲渡することなく、容易にセキュリティの維持、管理を行うことのできる文書セキュリティ管理システムの提供を課題とする。
【００１６】
さらに、改ざんが困難で、複写に対する耐性に優れた識別子を用いた文書セキュリティ管理システムの提供を課題とする。
【課題を解決するための手段】
【００１７】
上記目的を達成するため、本発明の第１の側面では、ネットワークを介して画像形成装置に接続されるセキュリティサーバを提供する。セキュリティサーバは、
（ａ）前記画像形成装置で電子文書が生成されるときに、前記電子文書のプロファイルを記録する第１のプロファイル管理テーブルと、
（ｂ）前記画像形成装置で印刷文書が生成されるときに、前記印刷文書のプロファイルを、当該印刷文書の派生元の文書のＩＤと関連付けて記録する第２のプロファイル管理テーブルとを備える。
【００１８】
たとえば、任意の印刷文書を派生元として電子文書が生成されるときは、第１のプロファイル管理テーブルは、この電子文書のプロファイルを、派生元である前記任意の印刷文書のＩＤと関連付けて記録する。
【００１９】
あるいは、任意の電子文書を派生元として印刷文書が生成されるときは、第２のプロファイル管理テーブルは、前記任意の電子文書のＩＤを印刷文書の派生元ＩＤとして、この印刷文書のプロファイルに記録する。
【００２０】
任意の印刷文書を派生元として印刷文書が生成されるときは、第２のプロファイル管理テーブルは、前記任意の印刷文書のＩＤを印刷文書の派生元ＩＤとして、この印刷文書のプロファイルに記録する。
【００２１】
このように、画像形成動作により新たな文書が生成されるたび、生成される文書の派生元の文書の情報と関連づけてプロファイルが生成され、生成される文書が電子文書のときは第１のプロファイル管理テーブルに、生成される文書が印刷文書であるときは第２のプロファイル管理テーブルに登録される。これにより、文書の追跡が容易になり、セキュリティが維持される。
【００２２】
本発明の第２の側面では、画像形成装置と、この画像形成装置にネットワークを介して接続されるセキュリティサーバと、を含む文書セキュリティ管理システムを提供する。文書セキュリティ管理システムにおいて、セキュリティサーバは、画像形成装置で電子文書が生成されるときに、生成された電子文書のプロファイルを記録する第１のプロファイル管理テーブルと、画像形成装置で印刷文書が生成されるときに、この印刷文書のプロファイルを派生元の文書のＩＤと関連付けて記録する第２のプロファイル管理テーブルとを備える。画像形成装置は、前記印刷文書を出力するときに、この印刷文書に新たなプリントＩＤを埋め込んで印刷する。
【００２３】
このようなシステムによれば、電子文書や印刷文書が生成されるたびに、生成された文書のプロファイルが、派生元である文書の情報と関連付けて個別のプロファイル管理テーブルで管理される。したがって、不正な画像形成動作が行われた場合でも、文書ごとのセキュリティの追跡が容易になる。
【発明の効果】
【００２４】
文書の種類にかかわらずセキュリティが統一的に維持され、ユーザや管理者は、ジョブごとのセキュリティ状態を容易に追跡することができる。
【発明を実施するための最良の形態】
【００２５】
以下、図面を参照して本発明の良好な実施の形態を説明する。
【００２６】
図２は、本発明の一実施形態に係る文書セキュリティ管理システムの概略構成を示す図である。文書セキュリティ管理システムは、セキュリティサーバ３と、画像形成装置としてのプリンタ１および複合機２と、電子文書（文字および／または画像を含む）を生成するパーソナルコンピュータ（ＰＣ）５を含む。また、必要に応じて、生成された電子文書を保存、管理する文書サーバ１９を設けてもよい。これらの機器は、ネットワーク４を介して相互に接続される。
【００２７】
セキュリティサーバ３は、ドメイン内で、プリンタ１、複合機２、ＰＣ５などにより生成、送受信される文書を管理する。セキュリティサーバ３は、電子データとしての文書の情報と、印刷物としての文書の情報を個別に管理する。具体的には、電子文書を管理するドキュメントプロファイル管理テーブル１５と、印刷、複写された紙文書（ハードコピーなどの物理的な文書）を管理するプリントプロファイル管理テーブル１６を別個に備えている。
【００２８】
ＰＣ５で生成された電子文書は、プリンタ１または複合機２から印刷出力される。複合機２は、プリンタ、コピア、スキャナ、ファクシミリ等の異なる画像形成アプリケーションを搭載し、プリンタとして機能する場合は、ＰＣ５や他のファクシミリ（不図示）から受信した電子データを紙などに印字出力する。コピアとして機能する場合は、紙、写真などの印刷媒体から読み取った画像データを、紙媒体上に再生する。スキャナあるいはファクシミリ送信機として機能する場合は、原稿から読み取った画像データ（電子データ）を、所定の送信先へ送信する。
【００２９】
プリンタ１は、電子データを紙などに印刷する際に、その印刷ジョブを識別するプリントＩＰを生成するプリントＩＤ生成手段１０を有する。プリントＩＤは、数字、符合、バーコード、ＱＲコード等、任意の識別子を用いることができるが、実施形態では、一例として２次元コードを用いる。２次元コードは、後述するように、たとえば微小なドットパターンで構成され、電子データを印刷出力する際に、ドットパターンのプリントＩＤを画像データとともに印刷する。
【００３０】
複合機２が、プリンタ、コピア、ファクシミリ受信機として機能する場合、すなわち、電子データを紙などの媒体上へ再生出力する場合は、プリンタ１と同様に、ジョブごとにプリントＩＤを付与する。逆に、スキャナ、ファクシミリ送信機として機能する場合、すなわち、紙媒体から電子データを生成する場合は、原稿に付されたプリントＩＤを読み取って識別する。このため、複合機２は、プリントＩＤ生成手段１０と、識別子取得手段１１を有する。
【００３１】
実施形態では、プリンタ１および複合機２は、たとえば電子写真方式の画像形成装置であるが、本発明はこの例に限定されない。また、プリントＩＤは、必ずしもプリンタ１や複合機２のような画像形成装置側で生成する必要はなく、セキュリティサーバ３で生成してもよいし、ＰＣ５のクライアントアプリケーションで生成してもよい。プリントＩＤの生成については後述する。図２では、図の簡略化のため、プリンタ１および複合機２が１台ずつ描かれているが、複数台のプリンタ１や複合機２が、ネットワーク４を介して接続され得る。
【００３２】
セキュリティサーバ３は、文書ＩＤ生成手段１２と、格納手段１３と、識別子検索手段１４と、プリントＩＤ生成手段１７を有する。上述したドキュメントプロファイル管理テーブル１５とプリントプロファイル管理テーブル１６は、格納部１３の一部に格納され、電子文書としての情報と、紙文書としての情報を、個別に管理する。ここで、紙文書とは、プリンタ出力、複写、ファクシミリ受信などにより任意の媒体上に出力された物理的な文書の総称を指すものとする。文書ＩＤ生成手段１２は、ＰＣ５が新たな電子文書を作成するたび、あるいは、複合機２が原稿などをスキャンして新たに電子データを生成するたびに、文書ＩＤを付与する。格納手段１３は、プリンタ１、複合機２、ＰＣ５から受信した情報を格納し、必要に応じて、ドキュメントプロファイル管理テーブル１５や、プリントプロファイル管理テーブル１６に、必要な情報を書き込む。識別子検索手段１４は、ドキュメントプロファイル管理テーブル１５、プリントプロファイル管理テーブル１６から、文書ＩＤやプリントＩＤを検索する。任意で設けられるプリントＩＤ生成手段１７は、プリントや複写が行われると、画像形成装置（プリンタ１、複合機２）に代わってプリントＩＤを発行する。
【００３３】
格納手段１３は、図示はしないが、セキュリティポリシーに基づいて作成されたルールテーブルを格納する。ルールテーブルは、ドメイン内で管理されている文書に対するアクセス（読み出し、編集などの処理を含む）の許否判断の基準となる一定の規則を記述したものである。たとえば、どのレベルのユーザには、どのセキュリティレベルの文書にまでアクセスを許可するか等が、定められている。格納手段１３はまた、ユーザ名や所属、レベルなどのユーザ情報を記録したユーザＤＢ（不図示）を格納してもよい。
【００３４】
図３（ａ）および図３（ｂ）は、セキュリティサーバ３が有するプリントプロファイル管理テーブル１６と、ドキュメントプロファイル管理テーブル１５の構成例を、それぞれ示す図である。
【００３５】
図３（ａ）に示すように、プリントプロファイル管理テーブル１６は、紙文書ごとに、その紙文書が生成される原因となった派生元のＩＤと関連づけて格納し、各紙文書がどのような経緯で生成されたかの履歴を記録する。具体的には、ハードコピーなどの紙文書について、ジョブごとに固有のプリントＩＤが与えられ、そのジョブのプリント属性情報１６ａが対応づけて記録される。プリントＩＤは、プリント属性情報１６ａは、セキュリティ属性として、その紙文書の属するカテゴリ（機密文書、技術文書、一般文書など）、所属するゾーン（研究所、事業所、開発部など）、セキュリティレベル（Ｈｉｇｈ，Ｍｅｄｉｕｍ，Ｌｏｗなど）を記載する。
【００３６】
そして、この紙文書が生成される源である派生元の電子文書あるいは紙文書のＩＤを、派生元ＩＤ１６ｂとして関連付ける。たとえば、紙文書が、ＰＣ５からの印刷要求に応じてプリンタ１または複合機１のプリンタ機能により出力されたものであれば、ＰＣ５で作成された文書ファイルのＩＤが派生元ＩＤとなる。また、この紙文書が、複合機２のコピー機能により複製されたものであれば、オリジナルの原稿に与えられたプリントＩＤが派生元ＩＤとなる。
【００３７】
直近の派生元ＩＤ１６ａに対して、さらにその元になるデータまたは原稿があれば、その派生元ＩＤ１６ｂをリンクさせる。以下、派生元があれば順次、上流に向かってリンクさせてゆく。これにより、文書の利用状況を遡って追跡することが可能になる。
【００３８】
同様に、図３（ｂ）に示すように、ドキュメントプロファイル管理テーブル１５は、生成された電子文書ごとに、その電子文書が生成される原因となった派生元のＩＤと関連づけ、各電子文書がどのような経緯で生成されたかの履歴を記録する。具体的には、生成された文書ファイルごとに、固有の文書ＩＤが与えられ、その文書の属性情報１５ａが対応づけて記録される。文書属性情報１５ａは、電子文書のセキュリティ属性として、その電子文書の属するカテゴリ（機密文書、技術文書、一般文書など）、電子文書の属するゾーン（研究所、事業所、開発部など）、セキュリティレベル（Ｈｉｇｈ，Ｍｅｄｉｕｍ，Ｌｏｗなど）を記載する。
【００３９】
この電子文書が生成された源となる派生元の文書があれば、派生元の文書のＩＤを、派生元ＩＤ１５ｂとして関連付けて記録する。たとえば、複合機２のスキャナ機能により紙文書から電子文書が生成される場合は、スキャンされた紙文書（原稿１）に付与されているプリントＩＤが、派生元ＩＤ１５ｂとして記入される。
【００４０】
この直近の派生元ＩＤ１５ｂに対して、さらにその元になるデータまたは原稿があれば、その派生元ＩＤ１５ｃを記述する。たとえば、スキャンされた原稿１が、ＰＣ５からの印刷要求に応じてプリンタ１または複合機２のプリンタ機能により出力されたものであれば、もとの電子データの文書ＩＤが、さらに遡った派生元ＩＤ１５ｃとして記述される。スキャンされた原稿１が、複合機２のコピー機能により複製されたものであれば、オリジナルの原稿２に付与されたプリントＩＤが、派生元ＩＤ１５ｃとして記述される。それ以前の派生元がさらにあれば、順次、上流に向かってリンクさせてゆく。
【００４１】
このように、プリンタ１または複合機２の画像形成機能（コピー、プリントなど）により印刷媒体上に画像が再生されるたびに、プリントＩＤが与えられ、このプリントＩＤが、派生元の情報とともに、セキュリティサーバ３のプリントプロファイル管理テーブル１６に追加される。
【００４２】
一方、ＰＣ５や複合機２の画像形成機能（スキャンなど）により電子文書が生成されるたびに、文書ＩＤが与えられ、この文書ＩＤが派生元の情報とともに、セキュリティサーバ３のドキュメントプロファイル管理テーブル１５に追加される。プリントＩＤ、文書ＩＤのいずれに基づいた問い合わせがあっても、その履歴が把握されるので、追跡が容易になる。結果として、セキュリティ判断を的確に行うことができる。
【００４３】
図４（ａ）および図４（ｂ）は、プリントプロファイル管理テーブル１６とドキュメントプロファイル管理テーブル１５にそれぞれ記述される詳細情報の例を示す図である。
【００４４】
図４（ａ）に示すように、プリントプロファイル管理テーブル１６は、プリントＩＤごとに、そのジョブ（複写、プリンタ出力など）が発生した日時、ジョブを発生した処理機能（コピー機能、プリンタ機能など）、処理を行ったユーザのユーザＩＤ，ジョブを行った装置ＩＤなどを記載する。
【００４５】
同様に、図４（ｂ）に示すように、ドキュメントプロファイル管理テーブル１５は、文書ＩＤごとに、その電子文書が発生した日時、電子文書を発生した処理手段（新規文書作成、スキャナ機能など）、処理を行ったユーザのユーザＩＤ，電子文書を発生した装置ＩＤなどを記載する。
【００４６】
この詳細情報により、電子データ化とハードコピー化の履歴が詳細に把握され、文書の追跡がいっそう容易になる。
【００４７】
図５は、セキュリティサーバ３に対するアクセス要求を記録したアクセスログの例を示す図である。上述したように、プリンタによる印字、複写、スキャン等の画像形成動作が発生するたびに、ドキュメントプロファイル管理テーブル１５やプリントプロファイル管理テーブル１６へ記録するために、ネットワーク上の画像形成装置からセキュリティサーバ３にアクセスが生じる。セキュリティサーバ３へのアクセスログを記録しておくことによって、文書のセキュリティ管理、追跡が容易になる。
【００４８】
図５の例では、ログが発生するたびに、追加すべき文書ＩＤあるいはプリントＩＤと関連づけて、ログ発生日時、処理手段、処理を行ったユーザＩＤ，ログを要求した装置ＩＤなどを記録する。このようなアクセスログの記録を、図４の詳細情報とともに用いることにより、仮に、ポリシーベースの文書セキュリティシステムでルールを逸脱して文書が流出したとしても、誰がいつどのような手段で、どの装置から文書を再生したのかを、具体的に割り出すことが可能になる。
【００４９】
図６は、プロファイルの派生元ＩＤがどのように変化するかを示す図である。たとえばワードプロセッサにより電子文書０が生成されると、文書ＩＤ（Ｄ００１３８２９５）が付与される。この電子文書がプリンタで印刷されると、プリントＩＤ（Ｐ０５４７２９８３１が付与され、紙文書１が生成される。この紙文書１には、プリントＩＤを表わすＩＤパターンが画像とともに印刷されている。紙文書１の派生元（origin）は、電子文書０であり、電子文書０の文書ＩＤは、紙文書１のプロファイルに記録される。
【００５０】
紙文書１がスキャンされて電子文書２が生成されると、別の文書ＩＤが付与される。電子文書２の派生元は、昇順に紙文書１、電子文書０である。電子文書２をさらにプリンタで印刷すると、新たなプリントＩＤが付与され、紙文書３が生成される。紙文書３には、新たなプリントＩＤに対応するＩＤパターンが印刷されている。以下、画像の電子データ化と、ハードコピー化が繰り返されるにつれて、新たな文書ＩＤまたはプリントＩＤが付与され、派生元のＩＤが追加されてゆく。
【００５１】
電子文書が生成される場合は、対応する文書ＩＤが派生元のＩＤとともに、セキュリティサーバ３のドキュメントプロファイル管理テーブル１５に記録される。紙文書が生成される場合は、対応するプリントＩＤが派生元のＩＤとともに、セキュリティサーバ３のプリントプロファイル管理テーブル１６に記録される。したがって、図６のように異なる種類の画像形成動作が繰り返されても、文書を追跡することができ、文書のセキュリティを維持できる。
【００５２】
図７Ａ〜図７Ｃは、図２の文書セキュリティ管理システムで行われるプリント時のプロファイル処理を示すシーケンス図である。
【００５３】
図７Ａでは、プリントＩＤパターン（たとえば２次元コード）をセキュリティサーバ３で生成する。セキュリティサーバ３は、ＰＣ５などのクライアントアプリケーションからプリント要求とともにドキュメントＩＤを受け取ると（Ｓ１０１）、ドキュメントプロファイル管理テーブル１５を検索して、該当するドキュメントプロファイルに派生元のＩＤ情報が記述されているかを調べる（Ｓ１０２）。派生元のＩＤ情報がある場合は、そのＩＤ情報をプリントプロファイルに追加してプリントプロファイルを生成し、プリントプロファイル管理テーブル１６を更新する（Ｓ１０３）。該当するドキュメントプロファイルに派生元のＩＤ情報がない場合は、そのドキュメントＩＤだけを派生元ＩＤとしてプリントプロファイルを生成し、プリントプロファイル管理テーブルを更新する（Ｓ１０３）。
【００５４】
その後、プリントＩＤパターンを生成し（Ｓ１０４）、必要に応じてＩＤパターンをプリントプロファイル管理テーブル１６に登録して（Ｓ１０５）、プリントＩＤパターンをクライアントアプリケーションに通知する（Ｓ１０６）。クライアントアプリケーションは、受け取ったＩＤパターンをプリントデータに重ねてプリンタ１に送信し、プリント要求を行う（Ｓ１０７）。プリンタ１は、受け取ったプリントデータを印刷出力し（Ｓ１０８）、結果をクライアントアプリケーションに通知する（Ｓ１０９）。
【００５５】
図７Ｂでは、プリントＩＤパターンをクライアントアプリケーションで生成する。セキュリティサーバ３は、クライアントアプリケーションからのプリント要求に応じてドキュメントプロファイル管理テーブル１５を検索し、プリントプロファイルを生成して、プリントプロファイル管理テーブルを更新する（Ｓ１１１〜Ｓ１１３）。セキュリティサーバ３は、プリントプロファイルに付与したプリントＩＤを、クライアントアプリケーションに通知する（Ｓ１１４）。クライアントアプリケーションは、プリントＩＤに対応するＩＤパターンを生成し（Ｓ１１５）、ＩＤパターン自体をプリントプロファイルに登録する場合は、生成したＩＤパターンをセキュリティサーバにＩＤパターンを送信する（Ｓ１１６）。この場合、セキュリティサーバ３は、プリントプロファイルを検索してＩＤパターンを登録し、結果をクライアントアプリケーションに通知する（Ｓ１１７〜Ｓ１１９）。
【００５６】
クライアントアプリケーションは、生成したＩＤパターンをプリントデータに重ねてプリンタ１に送信し、プリント要求を行う（Ｓ１２０）。プリンタ１は、プリントデータをＩＤパターンとともに印刷出力し（Ｓ１２１）、結果をクライアントアプリケーションに通知する（Ｓ１２２）。プリント要求（Ｓ１２０）と、オプションで行うＩＤパターンの登録（Ｓ１１８）は、前後してもよい。
【００５７】
図７Ｃでは、プリントＩＤパターンをプリンタ１で生成する。セキュリティサーバ３は、クライアントアプリケーションからのプリント要求に応じてドキュメントプロファイル管理テーブル１５を検索し、プリントプロファイルを生成して、プリントプロファイル管理テーブルを更新する（Ｓ１３１〜Ｓ１３３）。セキュリティサーバ３は、プリントプロファイルに付与したプリントＩＤを、クライアントアプリケーションに通知する（Ｓ１３４）。
【００５８】
クライアントアプリケーションは、セキュリティサーバ３から受け取ったプリントＩＤを、プリントデータとともにプリンタ１へ送信する（Ｓ１３５）。プリンタ１は、プリントＩＤに対応するＩＤパターンを生成し（Ｓ１３６）、ＩＤパターンとともにプリントデータを印刷出力して（Ｓ１４１）、結果をクライアントアプリケーションに通知する（Ｓ１４２）。なお、生成したＩＤパターンをプリントプロファイルに登録する場合は、ＩＤパターンをセキュリティサーバ３に送信する（Ｓ１３７）。セキュリティサーバ３は、プリントプロファイルを検索してＩＤパターンを登録し、結果をプリンタ１へ通知する。ＩＤパターンの登録（Ｓ１３７〜Ｓ１４０）と、プリント出力（Ｓ１４１）は前後してもよい。
【００５９】
図８Ａ〜図８Ｃは、図２の文書セキュリティ管理システムで行われるスキャン時のプロファイル処理を示すシーケンス図である。
【００６０】
図８Ａでは、プリントＩＤの抽出をスキャナ（複合機２のスキャナ機能）で行う。まず、スキャナで紙文書をスキャンし（Ｓ２０１）、読み取ったＩＤパターンからプリントＩＤを抽出し（Ｓ２０２）、必要に応じて、読み取った画像データからＩＤパターンを除去する（Ｓ２０３）。そして、抽出したプリントＩＤをセキュリティサーバ３に通知する（Ｓ２０４）。
【００６１】
セキュリティサーバ３は、プリントＩＤに対応するプリントプロファイルを検索し（Ｓ２０５）、該当するプリントプロファイルに派生元のＩＤ情報がある場合は、その派生元ＩＤ情報を含むドキュメントプロファイルを生成し、登録する。該当するプリントプロファイルに派生元のＩＤ情報がない場合は、受け取ったプリントＩＤを派生元ＩＤとするドキュメントプロファイルを生成し登録する（Ｓ２０６）。生成したドキュメントプロファイルに付与されたドキュメントＩＤをスキャナに通知する（Ｓ２０７）。
【００６２】
スキャナは、読み取ったデータとドキュメントＩＤを文書サーバ１９に送信する（Ｓ２０８）する。文書サーバ１９は、受け取ったデータをドキュメントＩＤと対応付けて保存し（Ｓ２０９）、結果をスキャナに通知する（Ｓ２１０）。
【００６３】
なお、ＩＤパターンの除去（Ｓ２０３）は、必ずしもスキャナで行う必要はなく、たとえば、スキャンして得られた電子データをプリンタなどで印刷する際に、プリンタで行ってもよい。
【００６４】
図８Ｂでは、プリントＩＤの抽出をセキュリティサーバ３で行う。スキャナで紙文書をスキャンし（Ｓ２２１）、読み取った電子データをセキュリティサーバ３へ送信する（Ｓ２２２）。セキュリティサーバ３は、受け取ったデータからプリントＩＤを抽出し（Ｓ２２３）、必要に応じて、データからＩＤパターンを除去する（Ｓ２２４）。さらに、プリントＩＤに対応するプリントプロファイルを検索して（Ｓ２２５）、派生元ＩＤ情報がある場合は、今回抽出したプリントＩＤに派生元ＩＤ情報を追加してドキュメントプロファイルを生成し、派生元ＩＤがない場合は、抽出したプリントＩＤを派生元ＩＤとしてドキュメントプロファイルを生成する（Ｓ２２６）。そして、生成された電子文書に与えられるドキュメントＩＤをスキャナに送る（Ｓ２２７）。スキャナは、読み取ったデータとドキュメントＩＤを文書サーバ１９に送信する（Ｓ２２８）。文書サーバ１９は、電子データをドキュメントＩＤと関連付けて保存し（Ｓ２２９）、結果をスキャナに通知する（Ｓ２３０）。
【００６５】
図８Ｃでは、プリントＩＤの抽出を文書サーバ１９で行う。スキャナで紙文書をスキャンし（Ｓ２４１）、スキャンしたデータを文書サーバ１９に送信する（Ｓ２４２）。文書サーバ１９は、受け取ったデータからプリントＩＤを抽出し（Ｓ２４３）、必要に応じて受け取ったデータからＩＤパターンを除去する（Ｓ２４４）。文書サーバ１９はまた、抽出したプリントＩＤをセキュリティサーバ３に通知する（Ｓ２４５）。セキュリティサーバ３は、このプリントＩＤに該当するプリントプロファイルを検索し（Ｓ２４６）、該当するプリントプロファイルに派生元ＩＤ情報があれば、この派生元ＩＤ情報を含むドキュメントプロファイルを生成する。派生元ＩＤがない場合は、抽出されたプリントＩＤを派生元ＩＤとしてドキュメントプロファイルを生成する（Ｓ２４７）。セキュリティさーバ３は、ドキュメントプロファイルに与えられるドキュメントＩＤを、文書サーバ１９に通知する（Ｓ２４８）。文書サーバ１９は、受け取ったドキュメントＩＤと関連付けて、読み取られたデータを保存し（Ｓ２４９）、結果をスキャナに通知する（Ｓ２５０）。
【００６６】
図９Ａおよび図９Ｂは、図２の文書セキュリティ管理システムで行われるコピー時のプロファイル処理を示すシーケンス図である。
【００６７】
図９Ａでは、ＩＤパターンの処理をコピア（あるいは複合機２のコピー機能）で行う。コピアで紙文書を読み取り（Ｓ３０１）、読み取ったデータからプリントＩＤを抽出し（Ｓ３０２）、読み取ったデータからＩＤパターンを除去する（Ｓ３０３）。そして、抽出したプリントＩＤをセキュリティサーバ３に通知する（Ｓ３０４）。
【００６８】
セキュリティサーバ３は、抽出されたプリントＩＤに該当するプリントプロファイルを検索し（Ｓ３０５）、プリントプロファイルに派生元ＩＤ情報があれば、その派生元ＩＤ情報を含む新たなプリントプロファイルを生成する。ない場合は、抽出されたプリントＩＤを派生元ＩＤとするプリントプロファイルを生成する（Ｓ３０６）。そして、生成されたプリントプロファイルに対応するプリントＩＤをコピアに通知する（Ｓ３０７）。
【００６９】
コピアは、新たなプリントＩＤに対応するＩＤパターンを生成し（Ｓ３０８）、プリントＩＤとＩＤパターンをセキュリティサーバ３に通知する（Ｓ３０９）。セキュリティサーバ３は、対応するプリントプロファイルにこのＩＤパターンを登録し（Ｓ３１０、Ｓ３１１）、結果をコピアに通知する（Ｓ３１２）。コピアは、読み取った画像情報に新たに生成したＩＤパターンを重ねて印刷出力する（Ｓ３１３）。
【００７０】
図９Ｂでは、ＩＤパターンの処理をセキュリティサーバ３で行う。コピアは紙文書を読み取って、読み取った画像データをセキュリティサーバ３へ送信する（Ｓ３２１、Ｓ３２２）。セキュリティサーバ３は、受け取ったデータからプリントＩＤを抽出し（Ｓ３２３）、抽出したプリントＩＤをコピアに通知する（Ｓ３２４）。コピアはプリントＩＤのＩＤパターンを除去する。セキュリティサーバ３は、抽出したプリントＩＤに対応するプリントプロファイルを検索し（Ｓ３２６）、派生元ＩＤ情報があればこれを含めて新たなプリントプロファイルを生成する（Ｓ３２７）。また、生成したプリントプロファイルに対応するプリントＩＤのＩＤパターンを生成し、登録する（Ｓ３２８、３２９）。生成したＩＤパターンをコピアに送信し（Ｓ３３０）。コピアは、読み取った画像データに新たなＩＤパターンを重ねて印刷出力する（Ｓ３３１）。
【００７１】
このように、コピー、スキャン、プリントなどのジョブが行われるたびに、新たに生成される紙文書や電子文書にプリントＩＤや文書ＩＤが付与され、派生元のＩＤ情報とともに記録される。
【００７２】
図１０は、上述した実施形態の文書セキュリティ管理システムを、複数ドメインに適用した例を示す図である。第１のセキュリティドメイン５０Ａでは、第１のセキュリティサーバ３Ａを用いて、第１のセキュリティポリシーに基づく文書のセキュリティ管理が行われている。セキュリティサーバ３Ａは、ドキュメントプロファイル管理テーブル１５Ａとプリントプロファイル管理テーブル１６Ａを有する。セキュリティサーバ３Ａには、図示しないネットワークを介して複合機２Ａが接続されている。複合機２Ａは、識別子取得手段１１Ａを有する。
【００７３】
第２第１のセキュリティドメイン５０Ｂでは、第２のセキュリティサーバ３Ｂを用いて、第２のセキュリティポリシーに基づく文書のセキュリティ管理が行われている。セキュリティサーバ３Ｂは、ドキュメントプロファイル管理テーブル１５Ｂとプリントプロファイル管理テーブル１６Ｂを有する。セキュリティサーバ３Ｂには、図示しないネットワークを介して、複合機２Ｂが接続されている。複合機２Ｂは、識別子取得手段１１Ｂを有する。
【００７４】
今、第１ドメイン５０Ａのプリンタ（複合機）２Ａで紙文書２２が印刷されたとする。プリンタ２は、紙文書２２に付与されたプリントＩＤ（と必要であればＩＤパターン）をセキュリティサーバ３Ａに通知する。セキュリティサーバ３Ａは、印刷された紙文書２２の派生元の文書ＩＤを含むプリントプロファイルを生成して、プリントプロファイル管理テーブル１６Ａに追加する。
【００７５】
ユーザ２００は、第１ドメイン５０Ａで生成された紙文書２２を、セキュリティポリシーの異なる第２ドメイン５０Ｂのコピア（複合機）２Ｂでコピーする（矢印（１））。コピア２Ｂは、読み取ったプリントＩＤに基づいてセキュリティサーバ３Ｂに認証を要求する（矢印（２））。セキュリティサーバ３Ｂは認証サーバ２０でシステム認証及びユーザ認証を受けるともに（矢印（３））、位置管理サーバ３０で紙文書２２の所属ドメインを確認する（矢印（４））。
【００７６】
紙文書２２がドメイン５０Ａの所属であると判明すると、コピア２Ｂは、第１ドメイン５０Ａのセキュリティサーバ３Ａに対して、コピージョブを行ってもよいかどうかを問い合わせる（矢印（５））。許可されると、セキュリティサーバ３Ａに抽出したプリントＩＤを送信する。セキュリティサーバ３ＡはこのプリントＩＤに対応するプリントプロファイルを検索して派生元ＩＤ情報を返す（矢印（６））。コピア２Ｂは、派生元ＩＤ情報をセキュリティサーバ３Ｂに送り、セキュリティサーバ３Ｂは派生元ＩＤ情報を含む新たなプリントプロファイルを生成して、プリントプロファイル管理テーブル１６Ｂに追加する。そして、対応するプリントＩＤをコピア２Ｂに送信する（矢印（７））。コピア２Ｂは、紙文書２２の画像情報にプリントＩＤのＩＤパターンを重ねて印刷する。
【００７７】
図１１は、上述したドメイン間での処理シーケンスを示す図である。図１１のシーケンス図では、図１０の矢印（２）以降の処理を示す。
【００７８】
ユーザ２００による複写要求に応じて、コピア２Ｂは、セキュリティサーバ３Ｂに対して認証要求を送る（Ｓ４１１）。セキュリティサーバ３Ｂは、ドメイン間で共通の認証サーバ２０に対し、ドメイン５０Ｂのシステムについての認証要求を送る（Ｓ４１２）。認証サーバ２０は、要求のあったコピア２Ｂを確認すると、セキュリティサーバ３Ｂに対してシステムチケットを発行する（Ｓ４１３）。セキュリティサーバ３Ｂは、コピア２Ｂにシステムチケットを送る（Ｓ４１４）。
【００７９】
次にコピア２Ｂは、セキュリティサーバ３Ｂに対してユーザ２００の認証要求を行う（Ｓ４１５）。セキュリティサーバ３Ｂは、認証サーバ２０にユーザ２００のユーザ属性を送信しユーザの認証要求を行う（Ｓ４１６）。ユーザ認証が完了すると、認証サーバ２０はセキュリティサーバ３Ｂにユーザチケットを発行する（Ｓ４１７）。セキュリティサーバ３Ｂは、ユーザチケットをコピア２Ｂに送る（Ｓ４１８）。
【００８０】
次に、コピア２Ｂは、システムチケットを用いて、セキュリティサーバ３Ｂに対してセッション開始要求を行い（Ｓ４１９）、セキュリティサーバ３Ｂは、コピア２ＢにセッションＩＤ“Ａ”を送る（Ｓ４２０）。
【００８１】
コピア２Ｂは、紙文書２２をスキャンして画像を読み取り、プリントＩＤを抽出し、ＩＤパターンを除去する（Ｓ４２１）。そして、セッションチケットとセッションＩＤを用いて、抽出したプリントＩＤとともにロケーション要求をセキュリティサーバ３Ｂに送る（Ｓ４２２）。セキュリティサーバ３Ｂは、位置管理サーバ３０に対し、抽出されたプリントＩＤがどこのドメインで管理されているかを問い合わせる（Ｓ４２３）。位置管理サーバ３０は、プリントＩＤに基づいて、ドメイン５０Ａを特定し、セキュリティサーバ３Ｂに通知する（Ｓ４２４）。セキュリティサーバ３Ｂは、コピア２Ｂにロケーションを通知する（Ｓ４２５）。
【００８２】
コピア２Ｂは、ドメイン５０Ａのセキュリティサーバ３Ａに対し、セッション開始要求を行う（Ｓ４２６）。セキュリティサーバ３Ａは、コピア２Ｂに対しセッションＩＤ“Ｂ”を発行する（Ｓ４２７）。コピア２Ｂは、セッションＩＤ“Ｂ”とユーザチケットを用いて、複写の許可を要求する（Ｓ４２８）。
【００８３】
セキュリティサーバ３Ａは、複写を許可するか禁止するか、許可する場合はその条件をルールテーブル（不図示）を参照して判断し、判断結果をコピア２Ｂに通知する（Ｓ４２９）。複写を許可されると、コピア２Ｂはセキュリティサーバ３Ａに対して抽出したプリントＩＤを送る（Ｓ４３０）。セキュリティサーバ３Ａは、プリントプロファイル管理テーブル１５Ａで、このプリントＩＤに対応するプリントプロファイルを検索し（Ｓ４３１）、派生元ＩＤ情報をコピア２Ｂに通知する（Ｓ４３２）。
【００８４】
コピア２Ｂは、受け取った派生元ＩＤ情報を、ドメイン５０Ｂのセキュリティサーバ３Ｂに送る（Ｓ４３３）。セキュリティサーバ３Ｂは、派生元ＩＤ情報を含む新たなプリントプロファイルを生成し（Ｓ４３４）、ＩＤパターンを生成してこれをコピア２Ｂに送信する（Ｓ４３５、Ｓ４３６）。コピア２Ｂは、紙文書２２から読み取った画像データにＩＤパターンを重ねて印刷出力する。コピーされた紙文書には新たなプリントＩＤが付され、派生元のＩＤ情報と関連づけて管理される。
【００８５】
このように、異なるセキュリティポリシーのドメイン間にまたがっても、文書の電子化、ハードコピー化の過程を遡って追跡できるので、文書のセキュリティが維持される。
【００８６】
最後に、本発明の実施形態において紙文書に付されるプリントＩＤについて説明する。
【００８７】
上述したように、プリントＩＤを表わすＩＤパターンの一例として、２次元コードを用いる。２次元コードは、プリンタ１（または複合機２のプリント機能）の最小ドットの２×２単位で印刷される。１２００ｄｐｉのプリンタならば、プリンタの最小径は２１μｍであるから、２次元コードのドットの直径は４２μｍになる。水平方向、垂直方向に６画素間隔でドット配置位置が決定される。
【００８８】
すべての配置位置にドットが存在する場合でも、ドットの面積率は２．８％であり、５０％程度のドットゲインを見込んでも５％に満たないので、人間の目には明るい灰色に見え、ドットに邪魔されて文書が見えにくくなることはない。
【００８９】
一般に、セキュリティ上の配慮が必要な紙文書に識別子を付して配布する場合、その識別子が容易に紙文書に記録された情報内容と分離され、改ざんされることは望ましくない。また、文書データがハードコピーとして再生されると、用紙上に印字された識別子が識別子としての機能を維持しなければならず、複写に対する耐性が必要である。さらに、紙文書上に何らかの符合が付されていると一見して認識できると、ルールに反する画像形成行為を抑制する効果が期待できる。紙文書に付されるプリントＩＤは、このような要件を満たす必要がある。
【００９０】
図１２および図１３は、本発明の実施形態で用いられるドットパターンから成る２次元コードを示す図である。
【００９１】
図１２に示すように、２次元コード１００は視認可能な微細なドット１１０で構成される。ドット１１０は、テキストや絵などの画像情報とともに紙文書上に印刷されるので、２次元コード１００のみを取り出して消去することは困難である。
【００９２】
２次元コード１００は、誤り訂正符号を含んでもよい。また、同じ２次元コードを繰り返し配置する冗長配置にすると、一部のドットが消えていても復元できるので、効果的である。セキュリティ上の配慮から、所定の画素位置にノイズ成分を挿入して、２次元コードの解読を防止することも可能である。
【００９３】
図１３に示すように、１つの２次元コード１００は、８×１２のセル１０１で構成される領域に印字されるドットパターンで表わされる。１つのセルの６×６画素を単位とし、１つのセル１０１に１つのドットが印字される。領域（Ａ）は、２次元コード１００の枠１０２を構成し、常にドットが印字される。領域（Ｂ）は、２次元コード１００の上端と下端を表わし、上端の３つの連続するセルには常にドットが印字され、下端の２つの隣接するセルには常にドットが印字されない。
【００９４】
１〜４８の番号が付されたセル１０１は、識別子および誤り訂正符合を構成するセルであり、Ｎが記載されたセル１０１は、ノイズ成分を挿入するセルである。奇数番号のセル１０１には、識別子の上位ビットから順に、ビットが「１」であればドットが印字され、ビットが「０」であれば、ドットを印字しない。偶数番号のセル１０１は、誤り訂正符合の上位ビットから順に、ビットが「１」であればドットが印字され、ビットが「０」であれば、ドットを印字しない。
【００９５】
Ｎが記載されたセル１０１は、乱数によりドットを印字するか、印字しないかを決定する。ただし、Ｎが記載された行、列のその他のセルのすべてにドットが印字される場合は、２次元コードの枠１０２と区別するために、印字しないこととする。たとえば、上端の領域（Ａ）には、すべてのセル１０１にドットが印字されるので、番号１〜３のセル識別子および誤り訂正符号のビットがすべて「１」のときは、同じ行にあるＮの少なくとも１つは、乱数による決定を待たずに、常に印字されない。
【００９６】
本実施形態では、１つの２次元コード１００を定義する矩形の領域には、９６のセル１０１を含み、９６のドットを印字することができる。９６のうち、２次元コードの枠１０２を形成する１９ドット、２次元コードの上端を示す３ドット、下端を示す２ドット、識別誌を示す２４ドット（２４ビット）、誤り訂正符合を示す２４ドット（２４ビット）、ノイズ成分を示す２４ドットである。誤り訂正にリードソロモン符合を用いることにより、４８ビット中の１２ビットは復元可能となる。
【００９７】
本実施形態の文書セキュリティ管理システムでは、ドットパターンから成る２次元コード１００を１枚の用紙の画像形成領域に４０×４０個形成し、識別誌取得手段１１により２次元コード１００を読み取る。読み取った２次元コード１００をそれぞれ比較し、最も数の多いドットパターンを正しい２次元コートのＩＤパターンとする。
【００９８】
次に、コピー時に、ドットパターンが印刷された紙文書をスキャンして取得された画像データから、もとのプリントＩＤを消去し、新たなプリントＩＤを重ねて印刷出力する場合の、ドットパターンの更新処理を説明する。
【００９９】
紙文書をスキャンして、ドットパターンの各ドットの位置を検出する。２次元コードの枠１０２は固定されているので、枠の位置は正確に捕捉することができるので、枠１０２の位置を基準として、識別子および誤り訂正符号を構成するドットの位置をかなり正確に検出できる。
【０１００】
こうして検出されたドットの位置に対して、図１４に示すルールに従った操作を行う。すなわち、紙文書上に実際にドットが打たれているセルについて、新たなプリントＩＤを表わすＩＤパターンでもドットを打つ必要があるセルについては、変更しない。新たなＩＤパターンでドットを打つ必要のないセルについては、白くする。一方、紙文書上でドットが打たれていないセルについて、新たなＩＤパターンでドットを打つ必要のあるセルについては、黒くする。ドットを打つ必要のないセルについては変更しない。
【０１０１】
このような処理を行うと、紙文書上の文字、図などが印字されている箇所に重なるドットについては、白く抜けてしまい、画像が劣化することも考えられる。しかし、面積比としては、元の白い背景に対する黒いドットと同じ比率（最大２％程度）である。さらに、白を打つ必要がある確率は、単純計算で０．５×（識別子と誤り訂正符合の総ドット数）／（２次元コードの全ドット数）＝０．５＊（２４＋２４）／９６＝０．２５である。したがって、面積比では、原稿全体に示す白ドットの割合は、０．５％程度になる。したがって、用紙が黒で占められる割合の低い紙文書（黒の割合が６％〜２０％程度）においては、ほとんど問題は生じない。
【０１０２】
次に、紙文書から抽出したプリントＩＤからドキュメントを追跡する方法を説明する。図３（ａ）に示すプリントプロファイル管理テーブル１６を検索することによって、プリント属性情報と、派生元ＩＤ情報がわかる。現在処理対象となっている紙文書は、最も下流の派生文書である場合が多く、プリントプロファイル管理テーブル１６を参照することで、文書をさかのぼって追跡することができる。
【０１０３】
たとえば、追跡しようとしている紙文書が、セキュリティ管理されているドメイン以外の場所で発見された場合、プリントプロファイル管理テーブル１６に記載されている派生元ＩＤを上流側へたどることにより、かつ図４および図５に示す詳細情報やアクセスログの記録を参照することによって、その文書（電子文書または紙文書の状態で）をドメイン外へもらしたユーザのＩＤを特定することができる。
【０１０４】
文書ＩＤからドキュメントを追跡することもできる。電子文書のファイルが暗号化されている場合は、暗号を復号するソフトウエアによって復号して、その電子文書に付された文書ＩＤを取り出すことができる。図３（ｂ）のドキュメントプロファイル管理テーブルを検索して、文書属性および派生元ＩＤ情報を参照することによって、追跡可能になる。
【０１０５】
図１５は、紙文書に付されたプリントＩＤとしての２次元コードの読み取りの別の例を説明するための図である。図１５の例では、ドットパターンから成る２次元コードが印刷された紙文書のうち、鮮明に印字されているドットパターン１個を、たとえばマーカで囲み、マーカで囲まれた２次元コード１２０をスキャナで読み取る。
【０１０６】
マーカの色は、あらかじめ決められた色であってもよいし、スキャンする際に指定してもよい。スキャナが認識できる色で、かつ紙文書に含まれていない色であれば、任意の色を用いることができる。
【０１０７】
スキャンしたデータから、マーカで囲まれた領域を抽出する。たとえば、画像の左上から右下方向に画素値をラスタスキャンし、マーカの色を認識した位置を領域の左上１２１とする。再度、右下方向から左上方向に画素値をラスタスキャンし、マーカの色を認識した位置を領域の右下１２２とする。左上位置１２１と右下位置１２２で特定される領域からドットパターンを抽出する。
【０１０８】
この方法では、マーカで囲む際の手作業が必要となるが、すべてのドットパターンを自動的に読み取って最も多いパターンを２次元コードとして決定する方法に比べ、２次元コードを正確に抽出することができる。
【０１０９】
図１６は、紙文書上のドットを画面上で入力する入力インタフェースの一例を示す図である。画面上では、ドットパターンがデコードされて表示されている。表示画面１３０には、２次元コードパターンのドット配置に対応するセル１４０を定義する格子領域が設定されている。各セル１４０は、ドットの有無を入力する入力部である。一番上の横列と左端の縦列は、２次元コードの枠を示す固定入力部であり、常に黒丸が入力されている。上から２列目の水平方向に連続する３つのセルは、ドットパターンの上端側を示す固定入力部であり、これも常に黒丸１４１が入力されている。したがって、ドットの有無は、これらの固定入力部以外のセルを用いて入力する。
【０１１０】
クリアボタン１３２は、入力を最初からやり直すときに利用するボタンであり、クリアボタン１３２をクリックすると、固定入力部以外のセルは初期化され、たとえば、ドット無しの状態となる。
【０１１１】
デコードボタン１３３は、入力されたドットパターンをデコードしてプリントＩＤを抽出するときに利用するボタンである。ドットをすべて入力した後にデコードボタン１３３をクリックすると、プリントＩＤが抽出され、デコード結果がデコード結果ウィンドウ１３４に表示される。
【０１１２】
各セルで、マウスを左クリックすると、ドットあり（黒丸）、ドットなし（無印）、不確定（クエスチョンマーク）の状態がトグル可能になる。また、右クリックしたときに、プルダウンメニューからそれぞれの状態を選択できるようにしてもよい。不確定の状態については、クエスチョンマークを入力せずに、ドット有りあるいはドットなしのいずれかの状態にしておいてもよい。
【０１１３】
ドット入力の結果を、実際の印字に近い状態で、表示画面１３０の右上のウィンドウ１３１に表示してもよい。
【０１１４】
入力されたドットパターンから２次元コードとしてのプリントＩＤを特定する方法を説明する。入力された「ドット有り」、「ドット無し」、「不確定」をそれぞれ該当するコードのビットに当てはめる。このとき、ドット有りは「１」、ドットなしは「０」とする。不確定については、「０」としたテストコードと、「１」としたテストコードのそれぞれについてデコードし、デコードが成功したもののうち最も多いものをＩＤに決定する。
【０１１５】
なお、ノイズ成分を除いた４８ドットのうち誤り訂正可能な１２ドット以下を不確定と指定した場合は、デコードされたものが正しい確率は、不確定としたもの以外がすべて正しいと仮定すれば１００％となる。したがって、不確定と指定したもの以外における誤りも考慮に入れ、上限値を０ドットから１２ドットの間で慎重に決定する必要がある。
【図面の簡単な説明】
【０１１６】
【図１】従来のセキュリティサーバで管理されるプロファイルの一例を示す図である。
【図２】本発明の一実施形態に係る文書セキュリティ管理システムの概略構成図である。
【図３】セキュリティサーバが有するプリントプロファイル管理テーブルと、ドキュメントプロファイル管理テーブルの例を示す図である。
【図４】プリントプロファイル管理テーブルとドキュメントプロファイル管理テーブルに記録される詳細情報の例を示す図である。
【図５】セキュリティサーバに記録されるアクセスログの例を示す図である。
【図６】画像形成動作の流れにつれてプロファイルの派生元が変化する様子を示す図である。
【図７Ａ】プリント時のプロファイル処理フロー（その１）であり、プリントＩＤパターンをセキュリティサーバで生成する例を示す図である。
【図７Ｂ】プリント時のプロファイル処理フロー（その２）であり、プリントＩＤパターンをクライアントアプリケーションで生成する例を示す図である。
【図７Ｃ】プリント時のプロファイル処理フロー（その３）であり、プリントＩＤパターンをプリンタで生成する例を示す図である。
【図８Ａ】スキャン時のプロファイル処理フロー（その１）であり、プリントＩＤの抽出をスキャナで行う例を示す図である。
【図８Ｂ】スキャン時のプロファイル処理フロー（その２）であり、プリントＩＤの抽出をセキュリティサーバで行う例を示す図である。
【図８Ｃ】スキャン時のプロファイル処理フロー（その３）であり、プリントＩＤの抽出を文書サーバを行う例を示す図である。
【図９Ａ】コピー時のプロファイル処理フロー（その１）であり、ＩＤパターンの処理をコピアで行う例を示す図である。
【図９Ｂ】コピー時のプロファイル処理フロー（その２）であり、ＩＤパターンの処理をセキュリティサーバで行う例を示す図である。
【図１０】本発明の実施形態の文書セキュリティ管理システムを複数ドメインに適応した例を示す図である。
【図１１】複数ドメインでの文書管理シーケンス図である。
【図１２】本発明の実施形態でＩＤパターンとして用いられる２次元コードの一例を示す図である。
【図１３】２次元コードのセル配置例を示す図である。
【図１４】ドットパターンの更新方法を説明するための図である。
【図１５】２次元コードをスキャンする例を示す図である。
【図１６】ドットパターンのデコード表示画面を示す図である。
【符号の説明】
【０１１７】
１  プリンタ
２  複合機
３  セキュリティサーバ
４  ネットワーク
５  ＰＣ
１０  プリントＩＤ生成手段
１１  識別子取得手段
１２  文書ＩＤ生成手段
１３  格納手段
１４  識別子検索手段
１５  ドキュメントプロファイル管理テーブル
１６  プリントプロファイル管理テーブル
１７  プリントＩＤ生成手段
１９  文書サーバ
２０  認証サーバ
３０  位置管理サーバ
１００  ２次元コード
【図１】
0004653457.tif 000002
【図２】
0004653457.tif 000003
【図３】
0004653457.tif 000004
【図４】
0004653457.tif 000005
【図５】
0004653457.tif 000006
【図６】
0004653457.tif 000007
【図７Ａ】
0004653457.tif 000008
【図７Ｂ】
0004653457.tif 000009
【図７Ｃ】
0004653457.tif 000010
【図８Ａ】
0004653457.tif 000011
【図８Ｂ】
0004653457.tif 000012
【図８Ｃ】
0004653457.tif 000013
【図９Ａ】
0004653457.tif 000014
【図９Ｂ】
0004653457.tif 000015
【図１０】
0004653457.tif 000016
【図１１】
0004653457.tif 000017
【図１２】
0004653457.tif 000018
【図１３】
0004653457.tif 000019
【図１４】
0004653457.tif 000020
【図１５】
0004653457.tif 000021
【図１６】
0004653457.tif 000022