(57)【要約】      （修正有）【課題】画像形成ジョブの保護方法を開示する。【解決手段】ドキュメントについて、アクセス制御機能を実行し、このドキュメントについて、監査機能も実行する。次に、上記ドキュメントから画像形成ジョブを生成する。内容に依存しない下流プロセスでも画像形成ジョブを適切に処理するように、画像形成ジョブの内容を暗号化する。暗号化した後、暗号化された内容を受信側が復号する。破壊されにくい情報を出力形成画像へと符号化する。画像形成ジョブに関する残余データを消去する。【選択図】図３
2005285095.tif 000002
【特許請求の範囲】
【請求項１】
ドキュメントについてアクセス制御機能を実行するステップと、
上記ドキュメントについて監査機能を実行するステップと、
上記ドキュメントから画像形成ジョブを生成するステップと、
内容に依存しない下流プロセスでも上記画像形成ジョブを適切に処理するように、上記画像形成ジョブの内容を暗号化するステップと、
暗号化された内容を受信側が復号するステップと、
破壊されにくい情報を出力形成画像へと符号化するステップと、
上記画像形成ジョブに関する残余データを消去するステップと、
を含む、画像形成ジョブの保護方法。
【請求項２】
上記監査機能は、
内容の少なくとも１つの記述状況の、縮小された内容を供給する機能と、
上記縮小された内容を保護された記憶装置に格納する機能と、
を含む、請求項１に記載の方法。
【請求項３】
さらに、上記画像形成ジョブをクライアントから上記受信側に送信するステップを含み、
上記送信するステップは、上記暗号化するステップと上記復号するステップとの間に実行される、請求項１に記載の方法。
【請求項４】
上記各ステップは列挙した順序で実行される、請求項１に記載の方法。
【請求項５】
上記アクセス制御機能は、ユーザがある処理を実行する許可を得ているか否かを、アクセス制御情報を用いて決定する、請求項１に記載の方法。
【請求項６】
上記アクセス制御情報は、ログイン識別情報、部門コード、クライアント装置識別情報、受信装置識別情報、画像形成処理、メタデータ、シリアルナンバー、ネットワークアドレス、デジタル署名、およびバイオメトリックデータを含んだグループから選択されるデータを含む、請求項５に記載の方法。
【請求項７】
上記アクセス制御機能は、許可された内容を決定し、該許可された内容を上記画像形成ジョブを生成するために処理されるようにする、請求項１に記載の方法。
【請求項８】
さらに、監査証跡を生成するステップと、監査証跡情報を格納するステップとを含む、請求項２に記載の方法。
【請求項９】
上記出力形成画像へと符号化された破壊されにくい情報は、追跡情報を含む、請求項１に記載の方法。
【請求項１０】
上記追跡情報は、クライアント追跡情報および画像形成装置追跡情報を含む、請求項９に記載の方法。
【請求項１１】
画像形成ジョブ保護方法を実行するために構成されたシステムであって、
上記システムは、クライアント装置と、受信装置とを備え、
上記クライアント装置は、
ドキュメントについてアクセス制御機能を実行するステップと、
上記ドキュメントについて監査機能を実行するステップと、
上記ドキュメントからの画像形成ジョブを生成するステップと、
内容に依存しない下流プロセスでも画像形成ジョブを適切に処理するように、画像形成ジョブの内容を暗号化するステップと、
上記画像形成ジョブに関する第１残余データを消去するステップと、
を含む方法を実施するために構成された、クライアント実行可能命令を実行可能であり、
上記受信装置は、
上記の暗号化された内容を復号するステップと、
破壊されにくい情報を出力形成画像へと符号化するステップと、
上記画像形成ジョブに関する第２残余データを消去するステップと、
を含む方法を実施するために構成された、受信側実行可能命令を実行可能である、
画像形成ジョブ保護方法を実行するために構成されたシステム。
【請求項１２】
上記監査機能は、
内容の少なくとも１つの記述状況の、縮小された内容を供給する機能と、
縮小された内容を保護された記憶装置に格納する機能と、
を含む、請求項１１に記載のシステム。
【請求項１３】
さらに、上記クライアント実行可能命令の方法は、上記画像形成ジョブを、クライアント装置から受信装置に送信するステップを含み、
上記送信するステップは、上記クライアント装置が上記内容を暗号化した後に実行される、請求項１１に記載のシステム。
【請求項１４】
上記アクセス制御機能は、ユーザがある処理を実行する許可を得ているか否かを、アクセス制御情報を用いて決定する、請求項１１に記載のシステム。
【請求項１５】
上記アクセス制御情報は、ログイン識別情報、部門コード、クライアント装置識別情報、受信装置識別情報、画像形成処理、メタデータ、シリアルナンバー、ネットワークアドレス、デジタル署名、およびバイオメトリックデータを含んだグループから選択されるデータを含む、請求項１４に記載のシステム。
【請求項１６】
上記アクセス制御機能は、許可された内容を決定し、該許可された内容を上記画像形成ジョブを生成するために処理されるようにする、請求項１１に記載のシステム。
【請求項１７】
上記クライアント実行可能命令の方法は、監査証跡を生成するステップと、監査証跡情報を格納するステップとをさらに含む、請求項１２に記載のシステム。
【請求項１８】
上記出力形成画像へと符号化された破壊されにくい情報は、追跡情報を含む、請求項１１に記載のシステム。
【請求項１９】
上記追跡情報は、クライアント追跡情報、画像形成装置追跡情報、ユーザ追跡情報、および内容追跡情報を含む、請求項１８に記載のシステム。
【請求項２０】
プログラムデータを格納するコンピュータ読み取り可能媒体であって、
上記プログラムデータは、画像形成ジョブの保護方法を実行するための実行可能命令を含み、
上記方法は、
ドキュメントについてアクセス制御機能を実行するステップと、
上記ドキュメントについて監査機能を実行するステップと、
上記ドキュメントから画像形成ジョブを生成するステップと、
内容に依存しない下流プロセスでも上記画像形成ジョブを適切に処理するように、上記画像形成ジョブの内容を暗号化するステップと、
暗号化された内容を受信側が復号するステップと、
破壊されにくい情報を出力形成画像へと符号化するステップと、
上記画像形成ジョブに関する残余データを消去するステップと、
を含む、コンピュータ読み取り可能媒体。
【請求項２１】
上記監査機能は、
内容の少なくとも１つの記述状況の、縮小された内容を供給する機能と、
上記縮小された内容を保護された記憶装置に格納する機能と、
を含む、請求項２０に記載のコンピュータ読み取り可能媒体。
【請求項２２】
さらに、上記方法は、上記画像形成ジョブをクライアントから上記受信側に送信するステップを含み、上記送信するステップは、上記暗号化するステップと上記復号するステップとの間に実行される、請求項２１に記載のコンピュータ読み取り可能媒体。
【請求項２３】
上記各ステップは列挙した順序で実行される、請求項２２に記載のコンピュータ読み取り可能媒体。
【請求項２４】
上記アクセス制御機能は、ユーザがある処理を実行する許可を得ているか否かを、アクセス制御情報を用いて決定する、請求項２３に記載のコンピュータ読み取り可能媒体。
【請求項２５】
上記アクセス制御情報は、ログイン識別情報、部門コード、クライアント装置識別情報、受信装置識別情報、画像形成処理、メタデータ、シリアルナンバー、ネットワークアドレス、デジタル署名、およびバイオメトリックデータを含んだグループから選択されるデータを含む、請求項２４に記載のコンピュータ読み取り可能媒体。
【請求項２６】
上記アクセス制御機能は、さらに許可された内容を決定し、該許可された内容を上記画像形成ジョブを生成するために処理されるようにする、請求項２４に記載のコンピュータ読み取り可能媒体。
【請求項２７】
上記方法は、監査証跡を生成するステップと、監査証跡情報を格納するステップとをさらに含む、請求項２６に記載のコンピュータ読み取り可能媒体。
【請求項２８】
上記出力形成画像へと符号化された破壊されにくい情報は、追跡情報を含む、請求項２７に記載のコンピュータ読み取り可能媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
[技術分野]
本発明は、概して、コンピュータを用いて画像形成装置（imaging device）に送信される画像形成ジョブ（imaging job）に関するものであり、特に、画像形成ジョブ保護システムおよび画像形成ジョブ保護方法に関するものである。
【背景技術】
【０００２】
[背景技術]
コンピュータおよび通信技術は急速な発展を遂げている。実際に、コンピュータおよび通信技術は、個々人の日常の数多くの側面に関わっている。例えば、消費者が今日用いている装置の多くは、その中に小型コンピュータを搭載している。これらの小型コンピュータの大きさや性能は様々である。これらのコンピュータの性能は、単機能のマイクロコントローラから、全機能を実行するコンピュータシステムまで様々である。例えば、小型コンピュータには、マイクロコントローラのようなワンチップコンピュータや、制御装置のようなワンボード型コンピュータや、ＩＢＭ‐ＰＣなどと互換性のある（ＩＢＭ−ＰＣ compatible）標準的なデスクトップコンピュータなどがある。
【０００３】
プリンタは、文字、ドキュメント、画像といった、様々な形式のデータ（items）を印刷するために、コンピュータとともに用いられる。様々な種類のプリンタが市場に出まわっている。インクジェットプリンタおよびレーザープリンタは、コンピュータユーザにかなり普及している。インクジェットプリンタは、インクの液滴を直接紙に飛ばす。レーザープリンタは、レーザー光を用いて印刷する。
【０００４】
プリンタは、画像形成装置の１つの型である。画像形成装置には、物理プリンタ、多機能周辺機器（multi-function peripheral）、プリンタプール（a printer pool）、プリンタクラスタ、ファックス機、作図装置、スキャナ、論理装置、電子ホワイトボード、タブレットＰＣ、コンピュータモニター、ファイル等が含まれるが、これらに限定されない。
【０００５】
画像形成装置は、様々な種類のコンピュータソフトウェアによって簡単に利用できる。データ（materials）の印刷に用いられるコンピュータまたはコンピューティングデバイスは、通常、１つまたは複数のソフトウェアを備えており、このソフトウェアは、データ印刷用のプリンタに必要な情報を送信するコンピュータにおいて、駆動する。コンピュータまたはコンピューティングデバイスがコンピュータネットワーク上にある場合は、印刷を補助する１つまたは複数のソフトウェアが、コンピュータネットワーク上にある１つまたは複数のコンピュータにおいて駆動する。
【０００６】
コンピュータ環境によっては、画像形成ジョブは保護されていないことも多い。つまり、画像形成ジョブおよび／またはその中のある情報は、盗視、改ざん、および／または、さもなければ破壊される（compromised）こともあり得る。画像形成ジョブの処理に用いられるハードウェアおよび／またはソフトウェアに対する保護を強化することが有効である。
【発明の開示】
【０００７】
[図面の簡単な説明]
本発明の実施形態に関して、添付の図面を参照しながら、以下の説明および特許請求の範囲から明らかにする。これらの図面が代表的な実施形態のみを表しており、それゆえに、本発明の範囲を限定したものではないということを理解した上で、本実施形態を、添付の図面を用いてさらに明確に詳しく説明する。
【０００８】
図１は、本発明の実施形態に係る、通常用いられる主要なハードウェア構成要素を示すブロック図である。
【０００９】
図２は、本発明のシステムおよび方法を実施できる一環境を示すネットワークのブロック図である。
【００１０】
図３は、画像形成ジョブを保護するための一方法を示すフローチャートである。
【００１１】
図４は、アクセス制御機能を示す論理ブロック図である。
【００１２】
図５は、画像形成ジョブを生成する間の監査追跡（audit track）を示す論理ブロック図である。
【００１３】
図６は、画像形成処理の間の暗号化および復号を示す論理ブロック図である。
【００１４】
図７は、出力形成画像（imaging output）への追跡情報の符号化を示す論理ブロック図である。
【００１５】
図８は、残余データの消去を示す論理ブロック図である。
【００１６】
[詳細な説明]
画像形成ジョブの保護方法を開示する。ドキュメントについて、アクセス制御機能および監査機能を実行する。次に、ドキュメントから画像形成ジョブを生成する。内容に依存しない下流プロセス（downstream non-content dependent process）でも画像形成ジョブを適切に処理できるように、画像形成ジョブの内容を暗号化する。暗号化した後、受信側（recipient）が暗号化された内容を復号する。そして、破壊されにくい（non-destructible）情報が、出力形成画像へと符号化され、画像形成ジョブに関係した残余データが消去される。
【００１７】
一実施形態では、監査機能は、内容の少なくとも１つの記述状況（descriptive aspect）の内容を縮小する（reduce）ことができる。アクセス制御機能は、アクセス制御情報を用いることにより、ある処理の実行をユーザに許可するかどうかを決定することできる。また、アクセス制御機能は、許可された内容を決定することができ、これによりその内容を、画像形成ジョブを生成するために処理することが可能となる。
【００１８】
また、画像形成ジョブを、クライアントから受信側に送信することができる。さらに、この送信を、暗号化処理と復号処理との間に実行することができる。
【００１９】
上記アクセス制御情報には、ログイン識別情報、部門コード、クライアント装置（client device）識別情報、受信装置（recipient device）識別情報、画像形成処理、メタデータ、シリアルナンバー、ネットワークアドレス、デジタル署名および／またはバイオメトリックデータといった様々な種類のデータが含まれるが、これらに限定されない。
【００２０】
出力形成画像へと符号化された破壊されにくい情報は、追跡情報を含んでいてもよい。監査証跡（An audit trail）が生成され、その監査証跡情報が格納されてもよい。また、追跡情報は、クライアント追跡情報、画像形成装置追跡情報、ユーザ追跡情報、および、内容追跡情報を含んでいてもよい。
【００２１】
また、画像形成ジョブ保護方法を実施するために構成されたシステムを開示する。このシステムは、クライアント装置および受信装置を含んでいる。クライアント装置上で実行可能な、クライアントが実行できる命令は、（ｉ）ドキュメントについて、アクセス制御機能を実行する、（ii）上記ドキュメントについて、監査機能も実行する、（iii）次に、そのドキュメントから画像形成ジョブを生成する、（iv）内容に依存しない下流プロセスでも画像形成ジョブを適切に処理できるように、画像形成ジョブの内容を暗号化する、方法を実施するように構成されている。次に受信装置について述べると、受信装置上で実行可能な、受信側が実行できる命令は、（ｉ）暗号化された内容を復号する、（ii）破壊されにくい情報を、出力形成画像へと符号化する、（iii）画像形成ジョブに関係のある残余データを消去する、方法を実施するように構成されている。
【００２２】
また、プログラムデータを格納するための、コンピュータが読み取り可能な記録媒体を開示する。このプログラムデータは、（ｉ）ドキュメントについて、アクセス制御機能を実行する、（ii）上記ドキュメントについて、監査機能も実行する、（iii）次に、そのドキュメントから画像形成ジョブを生成する、（iv）内容に依存しない下流プロセスでも画像形成ジョブを適切に処理できるように、画像形成ジョブの内容を暗号化する、（ｖ）暗号化した後、暗号化された内容を受信側が復号する、（vi）破壊されにくい情報を、出力形成画像へと符号化する、（vii）画像形成ジョブに関係のある残余データを消去する、画像形成ジョブの保護方法を実施するための実行可能な命令を含んでいる。
【００２３】
本願全体にわたって、記載し、図示した実施形態の構成要素が、様々な構成に配置・設計できることは、容易に理解されるだろう。したがって、図面に示す本発明のシステムおよび方法に係る実施形態の、以下のより詳細な説明は、請求する通り、本発明の範囲を限定することを意図したものではなく、本発明の実施形態を示したものにすぎない。
【００２４】
「典型的」という用語を、ここではもっぱら、「一例、事例、または、実例として挙げる」という意味で用いる。「典型的」であるとしてここに記載しているいずれの実施形態も、他の実施形態以上に好ましい、または有効であると、必ずしも解釈する必要はない。実施形態の様々な側面を図面に示すが、各図は、特に明記しなければ、必ずしも縮尺どおりに示されているわけではない。
【００２５】
ここに記載した実施形態のいくつかの側面を、コンピューティングデバイスに格納された、ソフトウェアモジュールまたは構成要素として示す。ここで用いたように、ソフトウェアモジュールまたは構成要素には、あらゆる型のコンピュータ命令またはコンピュータ実行可能コードが含まれている。上記命令およびコードは、メモリ内に位置する、および／またはシステムバスまたはネットワークを介して電子信号として送信される。ソフトウェアモジュールには、例えば、１つまたは複数のタスクまたは特定の抽象データ型を実行する、ルーチン、プログラム、オブジェクト、構成要素、データ構造などとして構成されるコンピュータ命令の、１つまたは複数の物理ブロックまたは論理ブロックが含まれている。
【００２６】
また、ある実施形態では、特定のソフトウェアモジュールが、メモリの様々な位置に格納された、本質的に異なる命令（上記モジュールの上述の機能をともに実行する）を含んでいる。実際、モジュールは、単一の命令を含んでいることもあれば、複数の命令を含んでいることもあり、様々なメモリにまたがって、様々なプログラムにわたり、複数の様々なコードゼグメントにまたがって分散されてもよい。実施形態のいくつかは、タスクが通信網を介して連係されている遠隔処理装置によって実行される、分散型のコンピュータ環境において実施されてもよい。分散型のコンピュータ環境では、ソフトウェアモジュールを、局部メモリ記憶装置および／または遠隔メモリ記憶装置（local and/or remote memory storage devices）に配置する。
【００２７】
なお、典型的な実施形態を、本書において代表例として提示するが、本発明の範囲を逸脱しない程度に、他の実施形態が様々な側面を含んでいることもある。
【００２８】
ここに開示した実施形態において記載した、各ステップの順序または方法の各動作を、本発明の範囲を逸脱しない程度に、当業者によって変更できる。したがって、図面または詳細な説明のどの順序も、より分かりやすく説明するためのものであり、必ずしも必須の順序を意味しているのではない。
【００２９】
図１は、本発明の実施形態に係る、通常用いられる主要なハードウェア構成要素を示すブロック図である。開示したこれらのシステムおよび方法に、コンピューティングデバイス１０２および画像形成装置１２０を使用してもよい。コンピューティングデバイス１０２は、公知の技術であり、市場で入手できる。コンピューティングデバイス１０２に通常用いられる主要なハードウェア構成要素を、図１に示す。コンピューティングデバイス１０２には、通常、プロセッサ１０３が含まれている。このプロセッサは、入力構成要素または入力装置１０４、および／または、出力構成要素または出力装置１０６が、電子的に通信できるようにするためのものである。プロセッサ１０３は、それと電子的に通信可能な入力装置１０４および／または出力装置１０６（言い換えると、電気信号の形状で入力および／または出力可能な装置）に接続されていることにより、それらを操作できる。本実施形態の装置１０２は、入力部１０４、出力部１０６、および、プロセッサ１０３を、同じ物理的構造内、または別々の筐体または構造に含んでいる。
【００３０】
電子装置１０２には、メモリ１０８が含まれている。このメモリ１０８は、プロセッサ１０３とは別個の構成要素であってもよいし、プロセッサ１０３と同じ部分に含まれたオンボードメモリ１０８であってもよい。例えば、マイクロコントローラには、一定数のオンボードメモリが含まれていることが多い。
【００３１】
プロセッサ１０３はまた、通信インターフェース１１０と電子的に通信している。この通信インターフェース１１０を、他の装置１０２、画像形成装置１２０、サーバなどとの通信に用いてもよい。したがって、それぞれ異なる装置１０２の通信インターフェース１１０を、相互通信用に設計し、コンピューティングデバイス１０２間で信号またはメッセージを送信するようにしてもよい。
【００３２】
このコンピューティングデバイス１０２には、他の通信ポート１１２が含まれていてもよい。さらに、他の構成要素１１４が電子装置１０２に含まれていてもよい。
【００３３】
本発明の実施形態では、様々な装置を使用してもよい。コンピューティングデバイス１０２は、ワンチップコンピュータ（例えば、マイクロコントローラ）であってもよいし、ワンボード型コンピュータ（例えば、制御装置）であってもよいし、標準的なデスクトップコンピュータ（例えば、ＩＢＭ−ＰＣと互換性のあるＰＤＡ（Personal Digital Assistant））、ＵＮＩＸ(登録商標）ベースのワークステーション、などであってもよい。したがって、図１のブロック図は、コンピューティングデバイス１０２の標準的な構成要素を示すことのみを意図したものであり、ここで開示した実施形態の範囲を限定することを意図したものではない。
【００３４】
コンピューティングデバイス１０２は、画像形成装置１２０と電子的に通信している。画像形成装置１２０は、多機能周辺機器（ＭＦＰ）またはコンピューティングデバイスといった、画像形成ジョブを送受信する装置である。画像形成装置には、物理プリンタ、多機能周辺機器、プリンタプール、プリンタクラスタ、ファックス機、作図装置、スキャナ、複製機、論理装置、コンピュータモニター、ファイル、電子ホワイトボード、タブレットＰＣ、ドキュメントサーバ（document server）等が含まれるが、これらに限定されない。上記画像形成装置は、２つ以上の装置の、単一または複数のグループ（例えば、プールまたはクラスタ）であってもよい。
【００３５】
上述の画像形成装置１２０の定義を踏まえて、ここで用いる「画像形成ジョブ」という用語を、画像形成装置１２０に、または画像形成装置１２０から、印刷、撮像、スキャン、送信などされる画像を生成するために、画像形成装置に送信される全ての命令または命令のセットのこととして、広範に定義する。したがって、「画像形成ジョブ」という用語は、ファックスを送信するためのファックス命令またはジョブ、ファイルに印刷するための印刷ジョブ、グラフィカルユーザインターフェースを用いて特定のウィンドウに印刷するための印刷ジョブ、スキャナから画像をスキャンし、取り込むためのスキャンジョブ、物理プリンタに印刷するための印刷ジョブ、ドキュメント編集ジョブ、およびドキュメント変換ジョブ、などを含んでいるが、これらに限定されない。印刷ジョブおよび印刷装置（printing device）を、典型的な実施形態を示すために用いるが、他の型の画像形成ジョブおよび画像形成装置を、ここで開示した実施形態を実施する際に用いてもよい。
【００３６】
図２は、本発明のシステムおよび方法を実施できる一環境を示すネットワークのブロック図である。本発明のシステムおよび方法を、独立型コンピュータシステムにおいて実施してもよい。図２は、複数のコンピューティングデバイス２０２と、画像形成装置２２０と、画像形成サーバ２２４とを含んだ、コンピュータネットワーク２０１を示している。
【００３７】
本発明は、ジョブ制御コマンド、画像データ言語、および、文法（syntax）には依存しない。例えば、ジョブ制御言語は、ＰＪＬであってもよく、画像形成ジョブデータ言語は、ページ記述言語（例えば、ＰＣＬ、ＰＤＦ、または、ポストスクリプト）であっても、あるいは、画像形成／ラスタ形式（例えば、ＴＩＦＦまたはＪＰＥＧ）であってもよい。
【００３８】
ここで、画像形成ジョブを構成し、それを画像形成装置または画像形成サーバにデスプールする（despool）か、あるいは、画像形成装置または画像形成サーバから画像形成ジョブを受信する、コンピューティングデバイスを、画像形成クライアントとする。また、ここで、画像形成装置を管理し、画像形成ジョブを受信し、画像形成装置に（または画像形成装置から）画像形成ジョブを再スプールする（respool）コンピューティングデバイスを、画像形成サーバとする。
【００３９】
画像形成ジョブを構成し、それを画像形成装置または画像形成サーバにデスプールするコンピューティングデバイスを、クライアントコンピューティングデバイス（以下単に、クライアントと称する）とする。ここで、複数のクライアントコンピューティングデバイスから、デスプールされた画像形成ジョブを受信することにより、共有の画像形成装置を集中管理し、画像形成ジョブを該画像形成装置に再デスプールする（re-despool）コンピューティングデバイスを、サーバコンピューティングデバイス（以下単に、サーバと称する）とする。
【００４０】
開示した実施形態は、画像形成ジョブの起動方法には関係なく動作する。例えば、印刷ジョブを印刷スプーラにスプールするプリンタドライバを用いたアプリケーションによって印刷ジョブを起動してもよい。あるいは、印刷ジョブチケット（print job ticket）を生成してドキュメントデータとジョブチケットとを直接プリンタにデスプールするユーティリティ（utility）を用いて、直接印刷することにより、プリントジョブを起動してもよい。
【００４１】
本発明のシステムおよび方法は、画像形成ジョブを起動するための方法と、画像形成クライアントおよび画像形成装置に（から）画像形成ジョブおよび／または画像形成結果をデスプールする方法と、には依存しない。例えば、プリンタドライバを用いてアプリケーションから画像形成ジョブを生成する。このアプリケーションは、ドキュメントを、印刷命令（例えば、マイクロソフトファミリーのオペレーティングシステムにおけるＧＤＩ（いわゆる、グラフィックスデバイスインターフェース（Graphics Device Interface）））へと変換する。次に、上記印刷命令を、印刷装置に関連付けられたクライアントおよび／またはサーバに、インストールされたプリンタドライバへと引き渡す。次に、上記プリンタドライバは、印刷命令を、ラスタ画像またはＰＤＬ（ページ記述言語）などの、プリンタ依存形式（printer dependent format）へと変換する。他には、直接印刷のように、ドキュメント形式がプリンタによって直接解釈されてもよい。この場合ドキュメント形式からプリンタ依存形式への前処理がなくなる。
【００４２】
また、開示した実施形態は、ジョブ完了状態（job completion status）を取得するためにクライアントコンピューティング（client computing）と画像形成装置との間で用いられるプロトコルには関係なく動作する。例えば、このプロトコルは、ＴＣＰ／ＩＰの専用プロトコルであってもよい。ＴＣＰ／ＩＰのシャープ専用のＮＪＲ（notify job return）プロトコルを、様々な実施形態の側面を示すために用いるが、他のプロトコルを用いてもよい。
【００４３】
本発明の実施形態のシステムおよび方法は、通常、ネットワークまたは遠隔印刷環境（remote printing environment）を介してローカルに接続される１つまたは複数の印刷装置を含んでいる。これらのシステムおよび方法は、印刷ジョブを生成可能な、または、それを印刷装置に送信可能な、あるいはプル型印刷（pull printing）の場合のように印刷ジョブの位置を印刷装置に送信可能な、コンピューティングデバイスをさらに含んでいてもよい。これらの実施形態は、プリンタドライバ、スプーラ、印刷プロセッサ、および、他の印刷システム構成要素を含んでいてもよい。上記構成要素は、印刷ジョブを処理し、送信するか、そうでなければ、印刷ジョブを生成するために機能する。実施形態によっては、上記構成要素が、マイクロソフトＷｉｎｄｏｗｓ９８、Ｍｅ、ＮＴ、２０００、ＸＰ、２００３のサーバ、または、それらに類似したオペレーティングシステムに備えられているものもある。上記オペレーティングシステムの印刷システムの、構成要素およびプロセスの詳細については、マイクロソフトＷｉｎｄｏｗｓのドライバデベロップメントキット（ＤＤＫｓ）およびそれに関連して文書化されたもの（documentation）を参照することによって得られる。ここでは、これらを、本願に引用してここに含める。
【００４４】
マイクロソフトＷｉｎｄｏｗｓ（登録商標）オペレーティングシステムを利用した実施形態には、通常、プリンタドライバ、スプーラ、印刷プロセッサ、ポートモニタ、および、他の印刷システム構成要素が含まれている。上記構成要素は、オペレーティングシステムおよび該オペレーティングシステム上で動作するアプリケーションを介して生成される印刷タスクを処理する。他のオペレーティングシステムに連動して用いられる実施形態は、類似した機能を有する印刷システム構成要素を使用する。上記構成要素も、マイクロソフトＷｉｎｄｏｗｓ（登録商標）システムに用いられる用語によって参照されることがある。
【００４５】
典型的な実施形態を、マイクロソフトＷｉｎｄｏｗｓ（登録商標）環境に関連した専門用語を用いて記載するが、これらの用語は、他のオペレーティングシステムにおける同等の要素のことも指している。例えば、多くの実施形態に記載した印刷プロセッサは、Ｗｉｎｄｏｗｓ環境において共通している印刷プロセッサと、同様に、他のオペレーティングシステムと同等の機能を有する要素とを指している。
【００４６】
本段落および次段落での定義は、本明細書およびその特許請求の範囲の全体に適用される。この用語「印刷ジョブ」は、印刷されるデータの全ての組み合わせを示している。印刷ジョブは、テキスト、線分図形および／または画像を含んでいてもよく、ページの一部分、１ページ、または、複数のページを含んでいてもよい。また、印刷ジョブは展開されて（rendered）いても、展開されていなくてもよい。通常、印刷ジョブは、ワードプロセッサや表計算などのアプリケーションを用いて生成されるが、プリンタに直接送信される、メモリに記憶された、ファイルおよびデータを含んでいてもよい。
【００４７】
用語「ネットワーク」は、コンピューティングデバイスおよび周辺装置（例えば、印刷装置など）のあらゆる組み合わせを示している。これらの印刷装置は互いに通信できる。また、用語「ネットワーク」は、ローカルネットワーク（Local Area Networks）（ＬＡＮ）、広域ネットワーク（Wide Area Networks）（ＷＡＮ）および多くの他のネットワーク型を含んでいてもよい。ネットワークは、従来の伝導ケーブル、光ファイバケーブル、電話線、電力線ケーブル、または、他の電気導体および光導体（electrical and light conductor）、および、他の信号送信媒体を用いて接続されてもよい。また同様に、ネットワークは、赤外線、ＲＦ、または、他の無線方法によって接続されてもよい。
【００４８】
マイクロソフトＷｉｎｄｏｗｓ（登録商標）のオペレーティングシステムを用いた印刷システムについて簡単に述べるために、システム構成要素のいくつかのグループをひとまとめにして示す。構成要素の中には、それらのグループ名によって一般名称で呼ばれているものもある。例えば、スプーラＡＰＩサーバは、スプーラと呼ばれている。スプーラクライアントインターフェース、スプーラＡＰＩサーバ、ルータ、印刷ジョブ生成ＡＰＩ（print job creation API）、および、ジョブスケジューリングＡＰＩを含んだ構成要素のグループは、ＷｉｎｄｏｗｓＮＴ／２０００オペレーティングシステムではスプーラと呼ばれている。言語モニタ、ポートモニタ、および、ポートドライバスタック（port driver stack）を含んだ構成要素のグループは、ポートマネージャーと呼ばれている。ファイル形式ディレクタ（a file format director）とＥＭＦ印刷プロセッサＤＬＬとを含んだ構成要素のグループは、印刷プロセッサと呼ばれている。同等の構成要素のグループは、マイクロソフトＷｉｎｄｏｗｓ（登録商標）オペレーティングシステムであろうと、他のシステムであろうと、これらの用語で呼ばれている。
【００４９】
マイクロソフトＷｉｎｄｏｗｓ（登録商標）またはＷｉｎｄｏｗｓオペレーティングシステムとは、Ｗｉｎｄｏｗｓ９５、Ｗｉｎｄｏｗｓ９８、ＷｉｎｄｏｗｓＮＴ、Ｗｉｎｄｏｗｓ２０００、ＷｉｎｄｏｗｓＭＥ、ＷｉｎｄｏｗｓＸＰ、Ｗｉｎｄｏｗｓ２００３Ｓｅｒｖｅｒなどを含んだマイクロソフトＷｉｎｄｏｗｓ（登録商標）オペレーティングシステムの、あらゆるバージョンまたは変型例を示している。典型的な実施形態を、Ｗｉｎｄｏｗｓオペレーティングシステムおよび環境について、開示すると同時に、他のオペレーティングシステム（例えば、マッキントッシュ、ＵＮＩＸ、ＤＯＳ、リナックス、ＭＶＳ、ＡＳ／４００など）でのシステムおよび方法も、本発明の範囲内で考慮すべきである。
【００５０】
実施形態を、ソフトウェア、ファームウェア、ハードウェア、および、ここに記載した機能を達成する他の形態で例示してもよい。実施形態を、コンピューティングデバイス、オペレーティングシステム、印刷装置、ネットワークハードウェア、ネットワークソフトウェア、アプリケーション、および他の変型例を変更することによって、多くの環境に適応させることができるので、これらの実施形態は、ここに記載した機能を達成するために様々な形態をとってもよい。実施形態の中には、例えば信号として送信されてもよいものもあり、またある実施形態は、アナログまたはデジタル電気信号として、または、光ファイバ線の光として、送信されてもよいが、これらに限定されるものではない。これらの実施形態の全ては、本発明の範囲内で考慮されるべきである。
【００５１】
通常の印刷環境では、ユーザが印刷ジョブを起動する。この印刷ジョブには、通常、アプリケーションによって生成された印刷されるドキュメントが１つ含まれている。本発明の実施形態の中には、ユーザが、それぞれ１つまたは複数のページからなる１つまたは複数のドキュメントが含まれた印刷タスクを起動するものもある。また、印刷タスクには、印刷ジョブの複製が複数含まれていてもよい。印刷ジョブまたは印刷タスクを、ページ記述言語（ＰＤＬ）での出力データのようにプリンタ読み取り可能なデータへとあらかじめ処理してもよい。上記ページ記述言語には、例えば、プリンタ制御言語（Printer Control Language）（ＰＣＬ）、アドビポストスクリプト（Adobe Postscript）（登録商標）、アドビポータブルドキュメントフォーマット（Adobe Portable Document Format）（ＰＤＦ）、および、タグ画像ファイルフォーマット（Tagged-Image File Format）（ＴＩＦＦ）があるが、これに限定されない。印刷ジョブまたは印刷タスクはそのジャーナルを記録されてもよい。ジャーナルが記録された印刷ジョブまたは印刷タスクにおいて、展開命令（rendering instruction）が次の再生のために記録される。ジャーナルが記録された形式の例として、マイクロソフトの拡張メタファイル（Enhanced Metafile）（ＥＭＦ）およびシャープのプリンタメタファイル（Printer Meta file）（ＰＭＦ）が挙げられる。
【００５２】
通常、印刷ジョブまたは印刷タスクを起動させる場合、ユーザが選択入力を行うことにより、処理が開始される。コンピューティングデバイスは、ダイアログの表示によって応答する。ダイアログの表示には、例えば、印刷ダイアログボックス、コマンドラインクエリ（a command line query）、パネル表示、または、他の形態をしたユーザインターフェースがあり、それらによって、ユーザは、印刷タスクの各オプションを選択できる。オプションの一例として、印刷装置の選択が考えられる。印刷装置とは、ここでは、例えば、プリンタ、作図装置、多機能周辺機器（ＭＦＰ）、ＣＤライタ、または、他の装置のことである。印刷装置を選択すると、ドライバ（および任意で印刷プロセッサ、および他の印刷システム構成要素）を、起動するようにしてもよい。このドライバおよび／または他の印刷システム構成要素を起動すると、選択された装置で利用できるオプションをユーザに促すための、他のダイアログが追加で提示される。上記各オプション（例えば、印刷の質、用紙サイズ、印刷の向き、トレイの選択、手差し、ステープリング、すかし、クラスタ印刷（cluster printing）、プール印刷など）を選択する。
【００５３】
本発明の実施形態の中には、印刷システム構成要素によって、印刷ジョブまたは印刷タスクのインターリーブオプション（interleaving option）を提供するダイアログが、ユーザに提示されるものもある。その他の実施形態は、印刷ジョブまたは印刷タスク用のインターリーブオプションを自動的に選択する。
【００５４】
印刷オプションが選択されると、あるいは設定されるとすぐに、手動あるいは自動で、印刷ジョブまたは印刷タスクの処理が始まる。印刷ジョブまたは印刷タスクの処理には、プリンタドライバによる印刷ジョブまたは印刷タスクの特定の情報を組み立ての処理が含まれている。上記特定の情報は、マイクロソフトＷｉｎｄｏｗｓ（登録商標）環境でのＤＥＶＭＯＤＥデータのような、装置の初期設定（initialization）および環境データを含んでいる。次に、展開命令をコンパイルし、遅延再生（deferred playback）（ジャーナルを記録したデータ（journaled data））用に記録するか、あるいは、プリンタ読み取り可能なデータに処理する。印刷タスクを、前のステップでプリンタ読み取り可能なデータに部分的または完全に展開し、展開命令をコンパイルするステップをスキップ（または部分的にスキップ）することもある。
【００５５】
スプールされた印刷環境では、印刷ドライバからの出力データをスプールファイルと呼び、その内容をスプールデータと呼ぶ。スプールファイルをディスク、メモリ、キャッシュ、または、コンピューティングデバイスと互換性のある他の記録媒体に、記録することができる。本実施形態では、スプールファイルは、インターリーブデータ（interleaving data）を含んでいる。インターリーブデータには、例えば、出力トレイオプション、出力ページ方向、出力ページ位置、媒体選択、または、印刷装置出力データの特徴（aspect）に作用する他の基準などといった、プリンタ出力モードオプションを含んでいるが、これに限定されない。
【００５６】
スプールファイルが完了すると、ドライバからもう１つの印刷システム構成要素（例えば、スプーラ）へ、制御対象が移動する。システムによっては、制御がスプーラから、データがプリンタ読み取り可能なデータであるかどうかを決定し、それに応じてデータを処理する、印刷プロセッサへ移動するものもある。データがプリンタ読み取り可能な形式である場合、このデータを、選択された印刷装置のポートへ送信する。データのジャーナルが記録される場合、該データは、プリンタ読み取り可能な形式へとさらに処理される。データが印刷ソース（つまり、プリンタドライバ）からスプーラへとスプールされて、次に、すぐにあるいは遅れて、上記スプーラからデータの宛先にデスプールされるというこの処理は、スプーリングと呼ばれる。ジャーナルを記録されたデータがプリンタ読み取り可能なデータへと処理されると、該データは、データの宛先となる印刷装置に関連付けられたポートにデスプールされる。
【００５７】
通常、印刷ジョブおよびそれに関連した画像形成処理は保護されない。ユーザは、通常、ドキュメントにアクセスし、ドキュメントをプリンタ読み取り可能な形式へと変換し、そのドキュメントを印刷する印刷デバイスへ送信する。この簡単な印刷の手順の至るところに、ユーザ個人のまたは組織の安全保障上の利益（security interest）が侵害される好機がある。
【００５８】
印刷ジョブを保護するための１つの方法は、送信側で送信元が印刷ジョブを暗号化し、次に、印刷ジョブを受信側で復号することである。一例を挙げると、印刷ジョブを、例えばセキュア・ソケット・レイヤー（secured socket layer）（ＳＳＬ）プロトコルを用いて、トランスポート層で復号する。他の方法を挙げると、例えば公開／秘密鍵暗号方式などのような暗号化スキーマを用いて、印刷ジョブをデータ層で暗号化する方法がある。
【００５９】
保護された、および／または、認証されたドキュメントを遠隔操作で印刷するための、他のより進んだ包括的なシステムおよび方法を用いてもよい。この方法は、送信側、受信側、および、サーバから構成されている。送信側は、印刷するためにジョブを送信し、受信側は、印刷ジョブを実行し、サーバは、印刷ジョブを認証および保護するジョブを実行する。サーバは、任意で、プリンタに不可欠な構成要素であるハードウェアデバイスであってもよい。サーバは、送信側から印刷用のドキュメントを受信し、それを、印刷するために受信側に送る。サーバ、送信側、および受信側は、次の動作を実行する。
【００６０】
１．ドキュメントを認証した後、それをサーバから受信側に送る。プリンタを、例えばプリンタのシリアルナンバーおよびＩＰアドレスを用いて、認証してもよい。例えば装置やドキュメントの内容へのアクセスなどのように、他のアクセス制御を実行してもよい。
【００６１】
２．送信側の要求に応じて、サーバは印刷制御を実行する。印刷制御は、例えば、（ｉ）改ざん、偽造がなされていないこと、および不正コピー防止制御がなされていること、などを確認すること、（ii）印刷を許可すること、および／または（iii）印刷部数の制御をすること、などである。
【００６２】
３．サーバは、証拠データベース（evidence database）に監査証跡を保管する。監査証跡は、トランザクションの時間、暗号化されたドキュメントの複製の格納、受信側情報、および、処理結果の記録から構成されている。
【００６３】
４．ドキュメントを暗号化し、デジタル署名を加えた後、このドキュメントを受信側に送信する。
【００６４】
５．不正コピー防止（anti-copying）および他の認証手段を、印刷用のドキュメント（例えば、光学式透かし（optical watermark）、特殊なインク、または、特殊な用紙）に加える。
【００６５】
６．ドキュメントを受信側で復号する。
【００６６】
７．ドキュメントを、適切な密封処理（the proper seal）を施して印刷する。
【００６７】
８．印刷ジョブを完了した後、プリンタはドキュメントを削除する。
【００６８】
９．プリンタでの印刷ジョブの解放、あるいは、印刷ジョブへのアクセスは、ユーザに装置にてパスワードを入力（例えば、ＰＩＮ印刷）させることで、さらに制御される。
【００６９】
以下に記載するシステムおよび方法は、ユーザおよび組織のセキュリティのために、送信側と受信側との間の印刷ジョブを、起動から出力完了まで、より効果的に保護する方法を開示している。ここに示す実施形態では、印刷ジョブが、送信側で起動され、受信側で出力が完了する。送信側と受信側との間での印刷ジョブの処理によって、制限／監査／暗号化／追跡／画像形成モデルの破壊（Destroy imaging model）を用いて、ユーザの効果的な保護方法（つまり、ユーザに関係のあるセキュリティのこと）と、組織の効果的な保護方法（つまり、組織に関係のあるセキュリティのこと）とが達成される。これについて、以下に要約する。
【００７０】
制限：ドキュメント、内容、装置、および画像形成処理に対する、アクセス／認証の制御を実行すること。
【００７１】
監査：保護された区域で、画像形成処理の内容を縮小して記録すること。
【００７２】
暗号化：ジョブの、ドキュメントの内容の部分を暗号化すること。
【００７３】
追跡：出力情報を画像形成ジョブへと符号化して、ジョブが画像形成されたもの／場所を追跡する。
【００７４】
破壊：全てのディスク／メモリの、ジョブによるゴースト画像を、初めから終わりまで消去する。
【００７５】
画像形成ジョブを保護するための一方法を示すフローチャートである。図３では送信側を示しているが、受信側もこれらの処理のいくつか、または全てを実行する。この方法では、送信側は、以下の順序で以下の処理を実行する。この方法の詳細については、後述する。初めに、送信側は、ドキュメントについて、１つまたは複数のアクセス制御機能を実行する（３０２）。このアクセス制御機能は、内容、画像形成装置、および／または、画像形成処理に関係したものであればよい。次に、送信側は、監査機能を実行する（３０４）。ここで、内容の少なくとも１つの記述状況の縮小された内容は、保護された区域に格納されている。次に、送信側は、いずれの内容に依存しない下流プロセスでも機能するように、画像形成ジョブ（例えば、用紙のインク）の内容を暗号化する（３０６）。一実施形態では、送信側は印刷ジョブの内容のみを暗号化する。
【００７６】
内容が暗号化された画像形成ジョブを、受信側がまず復号する（３０８）。受信側は、破壊されにくい情報（例えば、電子透かし技術（steganography））を出力形成画像に符号化し（３１０）、ジョブが画像形成された人／場所を追跡する。最後に、内容情報を含んでいる画像形成ジョブの、全ての複製および中間データ（intermediate data）を、送信側および／または受信側が消去する（３１２）。上記の方法に関する更なる詳細については、図４から図８に関連させて、後に記載する。
【００７７】
図４は、アクセス制御機能を示す論理ブロック図である。一実施形態では、画像形成クライアント４０１は、画像形成ジョブの起動時に、ただし、画像形成ジョブの生成（４０４）の前に、様々なアクセス制御機能４０２を実行する。アクセス制御機能４０２は、当業者が本発明のシステムおよび方法をどのように実施したかに基づいて、画像形成クライアント４０１または画像形成装置４０１によって、実行されてもよい。アクセス制御４０２は、ユーザがある処理を実行するための許可を得ているかどうかを決定する。アクセス制御４０２のプロセスは、ユーザがある処理を実行するための許可を得ているかどうかを決定するための、アクセス制御情報４０６を用いてもよい。上記ある処理には、ドキュメントへのアクセス、ドキュメントのいくつかの（または全ての）内容へのアクセス、画像形成装置４０１へのアクセス、および／または、ドキュメント内容についての画像形成装置４０１での画像形成処理の実行、などが含まれているが、これらに限定されない。
【００７８】
アクセス制御情報４０６は、ユーザが１つまたは複数の処理を実行するための許可を得ているかどうかを決定するために用いられ得る、全ての情報である。例えば、画像形成クライアントは、ユーザが所望のドキュメントへのアクセス権を有しているかどうかを決定するために、ユーザのログイン識別情報４０８または部門コード４１０を使用してもよい。他の例では、ドキュメントは、内容および／または処理のセクションにアクセス制御を記載するメタデータ４１２を含んでいてもよい。
【００７９】
また、他の例では、ドキュメントが、ある保護レベル以上の内容（例えば、最高機密か秘密か）を含んでいてもよい。ユーザが、内容についての全保護レベルのうち、１つの（または２、３の）アクセス権を有しているだけの場合、アクセス制御４０２プロセスは、ユーザがアクセス権を有している内容の部分集合へのアクセスを許可するだけとなる。他のアクセス制御は、いくつかおよび／または全ての内容に関して、ある画像形成処理（例えば、読み取り、更新、印刷、ファックス）をユーザに制限／許可してもよい。
【００８０】
他の例では、画像形成クライアントは、ユーザが画像形成処理のための装置へのアクセス権を有しているかどうかを決定するために、画像形成装置の、シリアルナンバー４１４およびネットワークアドレス４１６を使用してもよい。また、他の方法では、画像形成装置は、ユーザＩＤ４０８、画像形成クライアントのネットワークアドレス４１６、および、他の認証情報（例えば、デジタル署名４１８またはバイオメトリックデータ４２０（例えば指紋））を用いて、アクセス権を決定してもよい。アクセス制御情報４０６は、クライアント装置識別情報、受信装置識別情報、および／または、画像形成処理を含んでいてもよい。その他４２２のデータは、アクセス制御情報４０６として用いられてもよい。画像形成ジョブがクライアントと受信側との間の中間装置（例えば、印刷サーバ）を通過した場合、アクセス制御情報は、中間装置識別情報を含んでいてもよい。
【００８１】
ドキュメント４２４、装置および処理へのアクセスが許可されるとすぐに、ドキュメントの許可された部分４２６は、画像形成ジョブ生成プロセス４０４に送られる。したがって、許可された内容４２６は、通常、内容４２４の部分集合である。
【００８２】
図５を参照しながら、画像形成ジョブ生成中の監査追跡用システムを示す。一実施形態では、許可された内容５０２を、画像形成ジョブ生成プロセス５０４に送る。プロセス５０４の部分として、監査証跡５０６を、画像形成ジョブから生成する。監査証跡５０６は、監査証跡情報を含んでいる。監査証跡情報は、（１）ユーザを識別する情報５０８、および、画像形成ジョブを起動する画像形成クライアント５１０、（２）画像形成ジョブを実行する画像形成装置５１２を識別する情報、および／または、（３）許可されたドキュメント５０２のいくつかの特性または状況の縮小された内容５１４（例えば、サムネイル）、を含んでいるが、これらに限定されない。次に、この監査証跡情報５０６を、保護された手段（例えば、保護されたトランスポート層）によって、保護された記憶装置５１８に送る。
【００８３】
内容縮小プロセス５２０が、いくつかの縮小手段によって、許可された内容５０２全体よりも少ない内容の情報の部分集合を抽出する。内容縮小の例をいくつか示す。縮小された内容情報５２２を、ページごとにいくつか（または全て）格納してもよい。縮小された内容情報５２２の一例は、ビットマップの、テキスト出力および（例えば、１インチあたりのドット数を縮小することによる、または、不可逆的画像圧縮を用いて）縮小された（サムネイルの）分解画像（resolution images）であってもよい。一実施形態では、縮小された内容情報５２２は、フォント情報、ベクトル、および、ページレイアウト情報を含んでいなくてもよい。縮小された内容情報５２２は他の構成も可能である。この構成は、本発明のシステムおよび方法を実行する人によって選択されてもよい。ビットマップに関しては、内容縮小５２０を、ゼグメンテーションごとの選択的なサブ画像抽出（selective sub-image extraction）によって達成してもよい。スキャンジョブに関しては、縮小された内容情報５２２は、もし利用できるなら、光学文字読取装置（「ＯＣＲ」）によって形成されたテキスト形式の出力であってもよいし、ページの縮小された（サムネイル）分解画像であってもよい。有効な内容情報を提供しない、内容を縮小する色情報（つまり、画像の細部が明るい方（the luminous channel）にある色情報）などの画像情報を、フィルタにかけてもよい。最後に、内容縮小５２０の他の例では、テキスト形式の情報（textual information）で文法的に意味を持つ要約（grammatical summary）を用いることにより縮小してもよい。
【００８４】
縮小された内容情報５２２は、保護され、縮小された内容５２４を生成することにより、保護される。保護され、縮小された内容５２４は、保護された伝送経路５２６を介して保護された記憶装置５１８に送信される。
【００８５】
記憶領域５１８があふれたら、以前に格納された縮小された内容情報５２２を、例えば最も古い日付から上書きしていくか、さらに縮小するか、および／または補助記憶装置に移す、などしてもよい。
【００８６】
図６は、画像形成ジョブの暗号化および復号を示している。許可された内容６０２を、画像形成ジョブ６０６を生成するために、画像形成ジョブ生成プロセス６０４に使用する。この実施形態では、画像形成ジョブ６０６を、画像形成クライアントでの画像形成ジョブ生成プロセス６０４によってデータ層にて暗号化する。画像形成ジョブ６０６にあるデータは２つのカテゴリに分類される。第１カテゴリは内容である。内容は、出力媒体に関する可視情報を生成する命令を含んでいる。例えば、印刷ジョブであれば、用紙にインクをのせる（produce）全ての命令は、内容と考えることができる。第２カテゴリは内容以外（non-content）である。内容以外は、出力媒体に関する可視情報を生成しない全ての命令を含んでいる。例えば、印刷ジョブであれば、用紙にインクをのせる以外の全ての命令（例えば、ジョブまたはページ制御命令など）は、内容以外とみなされる。
【００８７】
次に、暗号化プロセス６０８は、画像形成ジョブ６０６にある内容データのみを暗号化し、内容以外のデータは、そのままにしておく（つまり、暗号化しない）。したがって、暗号化プロセス６０８は、暗号化された内容と暗号化されていない内容以外とを有する画像形成ジョブ６１０を供給する。このように、画像形成ジョブ生成プロセス６０４よりも下流で、かつ、ドキュメント内容に依存しない復号処理より前の、全てのプロセス６１２が、なお機能する。このような内容に依存しない下流プロセス６１２は、処理し続けることが可能であり、期待される出力６１４を供給することが可能である。例えば、暗号化された画像形成ジョブを、ジョブ課金プロセス（a job accounting process）を介して通過させてもよい。このプロセスは印刷命令を分析して、消費される用紙量を決定し、それに応じて部門に修正をかける。このようなプロセスは、解析ジョブおよびページ制御命令により決定されるが、ドキュメント内容の解析には依存しない。
【００８８】
印刷ジョブの内容が暗号化されるとすぐに、印刷ジョブは、画像形成装置にスプール／デスプールされる。さらに、画像形成ジョブは、ＳＳＬなどの安全な伝送プロトコルを用いて、トランスポート層にて印刷ジョブを暗号化することによって、保護されてもよい。画像形成クライアントから画像形成装置１２０へと印刷ジョブが続く経路とは関係なく、画像形成ジョブの内容は、画像形成装置１２０によって受信されるより前には復号されない。
【００８９】
（図１におおよそ示した）画像形成装置１２０は、最終出力のために内容が処理されるまで、画像形成ジョブの内容の復号６１６を延期する。例えば、画像形成ジョブは、内部印刷キューにある間、暗号化されたままである。画像形成ジョブ６１０が、最終出力の処理の実行可能状態になると、内容は、内容復号プロセス６１６によって復号され、暗号化されていない内容画像形成ジョブ６１８は、残りの画像形成処理６２０のいずれかによって、最終形成画像出力６２２のために処理される。
【００９０】
残余データ６２４は、画像形成中に時々形成されるものである。図６は、残余データ６２４の例を示している。残余データ６２４は、画像形成ジョブ生成から最終出力までを含んだ画像形成ジョブの処理中に、コンピュータプロセスによって生成される全てのデータである。例えば、残余データ６２４は、メモリ（例えば、ディスクおよびＲＡＭ）からの、画像形成ジョブの内容を含んだ中間データを含んでいる。印刷ジョブが生成されると、ジョブ生成プロセス６０４は、最終画像形成ジョブへと後に処理されるジョブの内容のいくつか（または全て）を含んだ中間データを、ファイルまたはＲＡＭなどに、生成してもよい。
【００９１】
図７は、出力形成画像への追跡情報の符号化を示す論理ブロック図である。この実施形態では、クライアントは、クライアント追跡情報７０２および画像形成ジョブ７０４を送信する。通常、クライアント追跡情報７０２は、暗号化された内容の画像形成ジョブ７０４とともに送信される。クライアント追跡情報７０２は、画像形成ジョブ７０４を追跡するために用いられるクライアントからの全ての情報である。例えば、クライアント追跡情報７０２は、ドキュメントの出所（origin）、ユーザ、および暗号化された内容の画像形成ジョブとともにその画像形成ジョブを起動したクライアントを識別してもよい。
【００９２】
画像形成装置は、画像形成装置追跡情報７０６を含んでいてもよい。画像形成装置追跡情報７０６は、画像形成ジョブ７０４を追跡するために用いられる画像形成装置１２０（図１に大まかに示した）からの全ての情報である。例えば、画像形成装置追跡情報７０６は、プリンタシリアルナンバー、ネットワークアドレス、および／または、時刻表示を含んでいてもよい。画像形成装置１２０は、クライアント側情報７０２と、画像形成処理７０８による、画像形成装置１２０に関する、情報７０６とを組み合わせて、画像形成ジョブ７０４に関する追跡情報７１０を形成する。
【００９３】
また、他の型の追跡情報を使用してもよい。他の例は、ユーザ追跡情報および内容追跡情報を含んでいるが、これらに限定されない。
【００９４】
次に、追跡情報７１０を、画像形成ジョブ出力の一部として符号化する（７１２）。符号化プロセス７１２は、追跡情報７１０と、出力形成画像７０５とを受け取り、追跡情報７１０を出力形成画像７０５へと符号化して、符号化された追跡情報７１４を有する出力形成画像を生成する。次に、追跡情報７１０を、例えば特定の光学スキャン装置（optical scanning device）を用いて、後にデコードし、何の、いつ、および／またはどこでドキュメントが画像形成されるのかが決定されてもよい。一実施形態では、符号化された情報が、続いて破壊されないような、あるいは偽造されないような方式（電子透かし技術など）で、追跡情報７１０が画像形成ジョブに出力される。例えば、この情報を、磁気インク文字読取装置（magnetic ink character recognition）（ＭＩＣＲ）を用いてドキュメントに符号化してもよい。
【００９５】
図８は、画像形成クライアントおよび画像形成装置が、メモリ（ディスク、フラッシュ、および、ＲＡＭ）から、画像形成ジョブの内容を含んだ全ての残余複製と中間データとを破壊することを示すブロック図である。図８は、図６と類似しており、図６に関連のあるデータおよびプロセス記述を、図８にも適用することができる。
【００９６】
印刷ジョブを生成するとき、ジョブ生成プロセス８０４は、ジョブの内容のいくつかまたは全てを含んだ、後に最終画像形成ジョブへと処理される中間データを、ファイルまたはＲＡＭなどに生成してもよい。中間データ８２５は、残余データ６２４の一形態である。次に、画像形成ジョブをスプーラにスプールしてもよい。スプーラは、次に、後に装置にデスプールされるように、ディスクに画像形成ジョブの他の複製を生成してもよい。画像形成ジョブのデスプールプロセス８５０は、さらに、印刷ジョブの残りの画像を形成してもよい。このとき、データは、ディスクからメモリに読み込まれて、ポート通信を扱う他のプロセスに回される。データそれ自体が、内容の残余データまたは複製を生成することもある。
【００９７】
ファイルを通常のオペレーティングシステム（例えば、ＭＳ−Ｗｉｎｄｏｗｓ、ＵＮＩＸなど）で削除するときでも、物理データをディスクから削除する必要はなく、その後に修復する場合もある。ファイルが削除されたという事実にもかかわらずまだ存在しているデータは、残余データ６２４の一形態である。
【００９８】
このシステムでは、画像形成クライアント画像形成ジョブ生成８０４、スプーリングおよびデスプーリングプロセス８５０、および、画像形成処理プロセス８２０は全て、メモリにある画像形成ジョブの、全ての複製および残余画像を互いに識別し合うようになっている。各構成要素の処理について、次に、各構成要素は、関連付けられた複製および残余画像８２５をメモリから物理的に消去する（８５２）。このような方法では、繰り返し上書きする必要があるか、あるいは、データが残っている物理的位置のデータパターンが必要となる。このような方法は、米国特許出願「不揮発性メモリにあるデータを隠蔽するためのランダムビットマスク生成（Random Bit Mask Generation for Obscuring Data on Nonvolatile Memory Device）」（公開番号  ２００１００２５３４３）に開示されており、これを、本願に引用して援用する。また、この方法は、Dr. Peter Gutmannによる「磁気および固体素子記憶装置からのデータの安全な消去（Secured Deletion of Data from Magnetic and Solid-State Memory）」にも開示されており、これを、本願に引用して援用する。
【００９９】
他の実施形態は、ファックス、スキャン、複製、およびドキュメント管理（例えば、ドキュメントの保存／検索、編集、および転送など）といった他の画像形成処理を含んでいる。さらなる実施形態では、従来のプリンタおよび専用のコンピューティングデバイスを、保護されたプリンタの代わりに使用することができる。それによって、専用のコンピューティングデバイスは、保護の機能（例えば、復号、監査、および、記憶データの消去）を実行し、復号された印刷ジョブを従来のプリンタに送信する。
【０１００】
本発明のシステムおよび方法は、様々な実施形態で実施できる。他の実施形態では、以下のオペレーティングシステムにおけるスプーリングおよびデスプーリングサブシステムを含む。以下のオペレーティングシステムとは、Ａｐｐｌｅ  ＭａｃＩｎｔｏｓｈオペレーティングシステム、Ｌｉｎｕｘオペレーティングシステム、Ｓｙｓｔｅｍ  Ｖ  Ｕｎｉｘオペレーティングシステム、ＢＳＤ  Ｕｎｉｘオペレーティングシステム、ＯＳＦ  Ｕｎｉｘオペレーティングシステム、Ｓｕｎ  Ｓｏｌａｒｉｓオペレーティングシステム、ＨＰ／ＵＸオペレーティングシステムおよびＩＢＭ  Ｍａｉｎｆｒａｍｅ  ＭＶＳ、ＡＳ／４００およびＯＳ／３９０オペレーティングシステム、などであるが、これらに限定されない。
【０１０１】
当業者には、情報および信号を様々な技術および技法のうちのいずれかを用いて表現できることが理解されるだろう。例えば、上記記載のいたるところに見られるデータ、命令、指令、情報、信号、ビット、記号、および、チップを、電圧、電流、電磁波、磁界または磁性粒子（magnetic fields or particles）、光または光粒子（optical fields or particles）、または、それらのあらゆる組み合わせによって表してもよい。
【０１０２】
さらに、当業者には、ここで開示した実施形態との関連で記載した、様々な例証的な論理ブロック、モジュール、回路、およびアルゴリズムの各ステップを、電子ハードウェア、コンピュータソフトウェア、または、それらの組み合わせとして実施できることが、理解されるであろう。ハードウェアとソフトウェアとの互換性について明示するために、様々な例証的な構成要素、ブロック、モジュール、回路、および各ステップの、機能について、これまで概ね記載してきた。このような機能が、ハードウェアで実施されるか、ソフトウェアで実施されるかについては、特定のアプリケーション、および、システム全体に課せられた設計の制限に応じて決まる。当業者は、上記機能を、各特定のアプリケーションに適した様々な方法によって実施してもよいが、このように決定された実施形態が、本発明の範囲を逸脱するものであると解釈されるべきではない。
【０１０３】
ここで開示した実施形態との関係で記載した、様々な例証的な論理ブロック、モジュール、および回路を、汎用プロセッサ、デジタル信号プロセッサ（ＤＳＰ）、特定用途向け集積回路（application specific integrated circuit）（ＡＳＩＣ）、書替え可能ゲートアレイ信号（a field programmable gate array signal）（ＦＰＧＡ）または他のプログラマブル論理デバイス（programmable logic device）、ディスクリートゲート回路（discrete gate）またはトランジスタ論理回路（transistor logic）、個別のハードウェア構成要素、または、ここで記載した機能を実行するよう設計された上記のいずれの組み合わせで、実施または実行してもよい。汎用プロセッサは、マイクロプロセッサであってもよいが、代わりに、従来のいずれのプロセッサ、コントローラ、マイクロコントローラ、または、状態機械（state machine）であってもよい。プロセッサを、コンピューティングデバイスの組み合わせとして実施することもできる。例えば、ＤＳＰと、マイクロプロセッサ、複数のマイクロプロセッサ、ＤＳＰコアと連動する１つまたは複数のマイクロプロセッサ、またはこのようないずれかの他の構成と、の組み合わせとして実施することができる。
【０１０４】
ここで開示した実施形態に関して記載した方法またはアルゴリズムの各ステップを、直接ハードウェアで、プロセッサによって実行されるソフトウェアモジュールで、またはこれら２つの組み合わせで、実施してもよい。上記ソフトウェアモジュールは、ＲＡＭメモリ、フラッシュメモリ、ＲＯＭメモリ、ＥＰＲＯＭメモリ、ＥＥＰＲＯＭメモリ、レジスタ、ハードディスク、リムーバルディスク、ＣＤ‐ＲＯＭ、または、従来技術によって知られている他のいずれの形式の記録媒体に備えられていてもよい。典型的な記録媒体は、情報を記録媒体から読み出してそこに書き込むことができるようなプロセッサに、接続されている。また、場合によっては、この記録媒体は、プロセッサに不可欠の部分となることもある。プロセッサおよび記録媒体は、ＡＳＩＣに備えられていてもよい。ＡＳＩＣは、ユーザ端末に備えられていてもよい。また、場合によっては、プロセッサおよび記録媒体は、ユーザ端末の個別の構成要素として備えられていてもよい。
【０１０５】
ここで開示した方法は、上記方法を達成するための、１つまたは複数のステップまたは動作を含んでいる。上記方法の各ステップおよび／または動作を、本発明の範囲から離れることなく、互いに入れ替えてもよい。言い換えると、ステップまたは動作の特定の順序がこの実施形態を適切に作用させるために必須ではない場合には、この順序、および／または、特定のステップおよび／または動作の使用を、本発明の範囲から離れることなく修正してもよい。
【０１０６】
本発明の特定の実施形態および適用を、図示し、記載してきたが、本発明を、ここで開示した構成および構成要素に厳密に限定するべきでないことを、理解されたい。ここに開示した本発明の方法およびシステムの構成、処理、および細部において、当業者が想定なし得る様々な修正、変更、および変型を、本発明の精神および範囲から離れることなく実施してもよい。
【図面の簡単な説明】
【０１０７】
【図１】本発明の実施形態に係る、通常用いられる主要なハードウェア構成要素を示すブロック図である。
【図２】本発明のシステムおよび方法を実施できる一環境を示すネットワークのブロック図である。
【図３】画像形成ジョブを保護するための一方法を示すフローチャートである。
【図４】アクセス制御機能を示す論理ブロック図である。
【図５】画像形成ジョブを生成する間の監査追跡を示す論理ブロック図である。
【図６】画像形成処理の間の暗号化および復号を示す論理ブロック図である。
【図７】出力形成画像への追跡情報の符号化を示す論理ブロック図である。
【図８】残余データの消去を示す論理ブロック図である。
【図１】
2005285095.tif 000003
【図２】
2005285095.tif 000004
【図３】
2005285095.tif 000005
【図４】
2005285095.tif 000006
【図５】
2005285095.tif 000007
【図６】
2005285095.tif 000008
【図７】
2005285095.tif 000009
【図８】
2005285095.tif 000010
【外国語明細書】
2005285095.tif 000011
2005285095.tif 000012
2005285095.tif 000013
2005285095.tif 000014
2005285095.tif 000015
2005285095.tif 000016
2005285095.tif 000017
2005285095.tif 000018
2005285095.tif 000019
2005285095.tif 000020
2005285095.tif 000021
2005285095.tif 000022
2005285095.tif 000023
2005285095.tif 000024
2005285095.tif 000025
2005285095.tif 000026
2005285095.tif 000027
2005285095.tif 000028
2005285095.tif 000029
2005285095.tif 000030
2005285095.tif 000031
2005285095.tif 000032
2005285095.tif 000033
2005285095.tif 000034
2005285095.tif 000035
2005285095.tif 000036
2005285095.tif 000037
2005285095.tif 000038
2005285095.tif 000039
2005285095.tif 000040
2005285095.tif 000041
2005285095.tif 000042
2005285095.tif 000043
2005285095.tif 000044
2005285095.tif 000045