(57)【要約】【課題】アクセス権を設定した電子文書の配布先で印刷エラーが発生したときに、より詳細な情報の記録、装置管理者への通知、あるいは改竄の可能性による証拠保全などの適正なエラー対応処理を行なうことのできるようにする。【解決手段】エラー情報がセキュリティポリシーサーバ６Ａから通知されると（Ｓ１３８）、画像形成装置２Ｚ（文書印刷プログラム）は、エラーログを記録する（Ｓ１５０，Ｓ１５２）、装置管理者にエラー情報を通知する（Ｓ１５４）、電子文書を自装置内に保全する（Ｓ１５６，Ｓ１５８）、エラー情報を記録サーバに通知し保全する（Ｓ１６０，Ｓ１６２）、電子文書を記録サーバに送信し保全する（Ｓ１６４，Ｓ１６６）、装置をロックして以後の全操作を禁止する（Ｓ１７０，Ｓ１７２）、エラー情報を印刷する（Ｓ１７４，Ｓ１７６）、印刷処理を中止するとともにエラー警告をユーザに通知する（Ｓ１８０，Ｓ１８２）。【選択図】図７
2009199390.tif 000002
【特許請求の範囲】
【請求項１】
アクセス権が管理されている電子文書の印刷を行なうユーザおよび前記電子文書の属性に基づき、印刷許否および印刷要件を規定したセキュリティポリシーを検索して印刷要件を取得し、取得した印刷要件を印刷処理時に適用するように制御する印刷要件適用制御部と、
前記取得した印刷要件に合致せずエラーが発生したとき、より詳細な情報の記録、装置管理者への通知、あるいは改竄の可能性による証拠保全などに資する所定のエラー対応処理を行なうエラー対応処理部と、
を備えたことを特徴とする画像形成装置。
【請求項２】
前記エラー対応処理部は、自装置に予め登録されている動作設定を参照して、エラー対応処理内容を決定する
ことを特徴とする請求項１項に記載の画像形成装置。
【請求項３】
エラー対応処理内容を決定する動作設定はセキュリティポリシーサーバに予め登録されており、
前記エラー対応処理部は、セキュリティポリシーサーバから通知される動作設定を参照して、エラー対応処理内容を決定する
ことを特徴とする請求項１項に記載の画像形成装置。
【請求項４】
前記動作設定は、ジョブごとに、前記セキュリティポリシーサーバから変更可能である  ことを特徴とする請求項３に記載の画像形成装置。
【請求項５】
エラー対応処理内容を決定する動作設定はセキュリティポリシーサーバに予め登録されており、
前記エラー対応処理部は、当該装置の起動時に、前記セキュリティポリシーサーバに確認を行なうことで取得される動作設定を参照して、エラー対応処理内容を決定する
ことを特徴とする請求項１項に記載の画像形成装置。
【請求項６】
前記アクセス権が管理されている電子文書は暗号化されており、当該電子文書を平文にするための復号鍵を取得する復号鍵取得部と、
前記復号鍵取得部が取得した復号鍵を使用して前記暗号化された電子文書を平文に戻す復号部と、
をさらに備えたことを特徴とする請求項１〜５の内の何れか１項に記載の画像形成装置。
【請求項７】
前記エラー対応処理部は、エラー発生時の状況を示すエラー情報を当該装置内の所定の記憶装置に記録するエラー情報記録部を有する
ことを特徴とする請求項１〜６の内の何れか１項に記載の画像形成装置。
【請求項８】
前記エラー対応処理部は、エラー発生時の状況を示すエラー情報を装置管理者に通知するエラー情報通知保全部を有する
ことを特徴とする請求項１〜７の内の何れか１項に記載の画像形成装置。
【請求項９】
前記エラー対応処理部は、印刷対象である電子文書を自装置内の所定の記憶装置に保全する電子文書保全部を有する
ことを特徴とする請求項１〜８の内の何れか１項に記載の画像形成装置。
【請求項１０】
前記エラー対応処理部は、エラー発生時の状況を示すエラー情報を、運用状況を記録するサーバに通知して保全させるエラー情報通知保全部を有する
ことを特徴とする請求項１〜９の内の何れか１項に記載の画像形成装置。
【請求項１１】
前記エラー対応処理部は、印刷対象である電子文書を、運用状況を記録するサーバに送信して保全させる電子文書送信保全部を有する
ことを特徴とする請求項１〜１０の内の何れか１項に記載の画像形成装置。
【請求項１２】
前記エラー対応処理部は、エラー発生時の状況を示すエラー情報を、所定の出力媒体に印刷するように制御するエラー情報印刷制御部を有する
ことを特徴とする請求項１〜１１の内の何れか１項に記載の画像形成装置。
【請求項１３】
前記エラー情報印刷制御部は、装置管理者のみが印刷出力された前記エラー情報を入手可能な排出装置に排出させる
ことを特徴とする請求項１２に記載の画像形成装置。
【請求項１４】
前記エラー対応処理部は、エラー発生以降の当該装置の操作を全てロックする操作ロック部を有する
ことを特徴とする請求項１〜１３の内の何れか１項に記載の画像形成装置。
【請求項１５】
操作者の静止画または動画を撮影する撮像部をさらに備え、
前記エラー対応処理部は、前記撮像部により取得された操作状況を示す静止画や動画をエラー発生時のエラー情報として扱いエラー対応処理を行なう各機能部に渡すエラー画像取得部を有する
ことを特徴とする請求項１〜１４の内の何れか１項に記載の画像形成装置。
【請求項１６】
アクセス権が管理されている電子情報の処理操作を行なうユーザおよび前記電子情報の属性に基づき、操作許否および操作要件を規定したセキュリティポリシーを検索して操作要件を取得し、取得した操作要件を情報処理時に適用するように制御する操作要件適用制御部と、
前記取得した操作要件に合致せずエラーが発生したとき、より詳細な情報の記録、装置管理者への通知、あるいは改竄の可能性による証拠保全などに資する所定のエラー対応処理を行なうエラー対応処理部と、
を備えたことを特徴とする電子機器。
【請求項１７】
電子文書に関するセキュリティポリシーに基づき装置操作可否を制御するセキュリティポリシー管理処理をコンピュータを用いて行なうためのプログラムであって、
前記コンピュータを、
アクセス権が管理されている電子文書の印刷を行なうユーザおよび前記電子文書の属性に基づき、印刷許否および印刷要件を規定したセキュリティポリシーを登録しているセキュリティポリシーサーバを検索して印刷要件を取得する印刷要件取得部と、
前記印刷要件取得部が取得した印刷要件を印刷処理時に強制する印刷処理部と、
前記印刷要件取得部が取得した印刷要件に合致せずエラーが発生したとき、所定のエラー対応処理を行なうエラー対応処理部と、
して機能させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、文書に関するセキュリティポリシーに基づき所定の出力媒体に画像を形成する画像形成装置、セキュリティポリシーに基づきユーザ操作を受け付ける電子機器、およびプログラムに関する。
【背景技術】
【０００２】
電子文書などの電子的な情報（電子情報と称する）に対する操作要求を受け付けたとき、その操作要求を許可するか不許可にするかや、一定の条件を付けて許可するなどのアクセス制御を行なう仕組みが知られている。この仕組みは、電子情報ごとに管理されたセキュリティポリシーに従ってユーザの電子情報へのアクセスを制御する技術であり、制御対象となるアクセスには、ファイルのオープン、印刷といったものが含まれる。
たとえば、パーソナルコンピュータやサーバなどの電子計算機や、オフィスに設置される印刷装置や複写装置やＦＡＸ装置あるいはこれらの複数機能を実行可能な複合機を運用する場合、文書のセキュリティをコントロールしたいという要望に応えるため、装置操作の許可や不許可をアクセス権の設定（セキュリティ設定とも称する）により管理する仕組みが、たとえば特許文献１に提案されている。
【０００３】
【特許文献１】特開２００４−１５２２６３号公報
【０００４】
特許文献１に記載の仕組みでは、ドキュメントファイルの印刷を行なうユーザの属性を取得する手段と、ドキュメントファイルの属性を取得する手段と、取得したユーザおよびドキュメントファイルの属性に基づき、印刷許否および印刷要件（アクセス権の一例）を規定したセキュリティポリシーを検索して印刷要件を取得する手段と、取得した印刷要件を印刷時に強制する手段とを備えるようにしている。これによって、文書印刷のセキュリティ設定に関して、機器のセキュリティに関する知識は不必要となり、一つ一つの機器に対するセキュリティ設定を不要とし、また、全体のセキュリティ状態を把握することができ、実際の文書のセキュリティが守られているかを実感できるようになっている。
【０００５】
また、特許文献１に記載の仕組みでは、ポリシーサーバとも称される管理サーバでアクセス権と復号鍵を管理するダイナミックな方法を採用しており、アクセス権を設定した電子文書を配布後にアクセス権がダイナミックに変更できるため、配布先での閲覧や印刷などの権利を必要に応じて変更が可能である。また、操作時点でのアクセス権の状況を必ずサーバへ問い合わせるので、配布先での電子文書に対する操作状況を記録として残すことも可能となっている。
【発明の開示】
【発明が解決しようとする課題】
【０００６】
本発明は、アクセス権を設定した電子文書などの電子情報の配布先でのアクセス権を変更可能とするとともに、配布先で正当なアクセス権の確認がとれずにエラーが発生したときに、より詳細な情報の記録、装置管理者への通知、あるいは改竄の可能性による証拠保全などの適正なエラー対応処理を行なうことのできる仕組みを提供することを目的とする。
【課題を解決するための手段】
【０００７】
請求項１に記載の発明は、アクセス権が管理されている電子文書の印刷を行なうユーザおよび前記電子文書の属性に基づき、印刷許否および印刷要件を規定したセキュリティポリシーを検索して印刷要件を取得し、取得した印刷要件を印刷処理時に適用するように制御する印刷要件適用制御部と、前記取得した印刷要件に合致せずエラーが発生したとき、より詳細な情報の記録、装置管理者への通知、あるいは改竄の可能性による証拠保全などに資する所定のエラー対応処理を行なうエラー対応処理部と、を備えたことを特徴とする画像形成装置である。
【０００８】
請求項２に記載の発明は、請求項１に記載の発明においてさらに、前記エラー対応処理部は、自装置に予め登録されている動作設定を参照して、エラー対応処理内容を決定することを特徴とする。
【０００９】
請求項３に記載の発明は、請求項１に記載の発明においてさらに、エラー対応処理内容を決定する動作設定はセキュリティポリシーサーバに予め登録されており、前記エラー対応処理部は、セキュリティポリシーサーバから通知される動作設定を参照して、エラー対応処理内容を決定することを特徴とする。
【００１０】
請求項４に記載の発明は、請求項３に記載の発明においてさらに、前記動作設定は、ジョブごとに、前記セキュリティポリシーサーバから変更可能であることを特徴とする。
【００１１】
請求項５に記載の発明は、請求項１に記載の発明においてさらに、エラー対応処理内容を決定する動作設定はセキュリティポリシーサーバに予め登録されており、前記エラー対応処理部は、当該装置の起動時に、前記セキュリティポリシーサーバに確認を行なうことで取得される動作設定を参照して、エラー対応処理内容を決定することを特徴とする。
【００１２】
請求項６に記載の発明は、請求項１〜５の内の何れか１項に記載の発明においてさらに、前記アクセス権が管理されている電子文書は暗号化されており、当該電子文書を平文にするための復号鍵を取得する復号鍵取得部と、前記復号鍵取得部が取得した復号鍵を使用して前記暗号化された電子文書を平文に戻す復号部と、をさらに備えたことを特徴とする。
【００１３】
請求項７に記載の発明は、請求項１〜６の内の何れか１項に記載の発明においてさらに、前記エラー対応処理部は、エラー発生時の状況を示すエラー情報を当該装置内の所定の記憶装置に記録するエラー情報記録部を有することを特徴とする。
【００１４】
請求項８に記載の発明は、請求項１〜７の内の何れか１項に記載の発明においてさらに、前記エラー対応処理部は、エラー発生時の状況を示すエラー情報を装置管理者に通知するエラー情報通知保全部を有することを特徴とする。
【００１５】
請求項９に記載の発明は、請求項１〜８の内の何れか１項に記載の発明においてさらに、前記エラー対応処理部は、印刷対象である電子文書を自装置内の所定の記憶装置に保全する電子文書保全部を有することを特徴とする。
【００１６】
請求項１０に記載の発明は、請求項１〜９の内の何れか１項に記載の発明においてさらに、前記エラー対応処理部は、エラー発生時の状況を示すエラー情報を、運用状況を記録するサーバに通知して保全させるエラー情報通知保全部を有することを特徴とする。
【００１７】
請求項１１に記載の発明は、請求項１〜１０の内の何れか１項に記載の発明においてさらに、前記エラー対応処理部は、印刷対象である電子文書を、運用状況を記録するサーバに送信して保全させる電子文書送信保全部を有することを特徴とする。
【００１８】
請求項１２に記載の発明は、請求項１〜１１の内の何れか１項に記載の発明においてさらに、前記エラー対応処理部は、エラー発生時の状況を示すエラー情報を、所定の出力媒体に印刷するように制御するエラー情報印刷制御部を有することを特徴とする。
【００１９】
請求項１３に記載の発明は、請求項１２に記載の発明においてさらに、前記エラー情報印刷制御部は、装置管理者のみが印刷出力された前記エラー情報を入手可能な排出装置に排出させることを特徴とする。
【００２０】
請求項１４に記載の発明は、請求項１〜１３の内の何れか１項に記載の発明においてさらに、前記エラー対応処理部は、エラー発生以降の当該装置の操作を全てロックする操作ロック部を有することを特徴とする。
【００２１】
請求項１５に記載の発明は、請求項１〜１４の内の何れか１項に記載の発明においてさらに、操作者の静止画または動画を撮影する撮像部をさらに備え、前記エラー対応処理部は、前記撮像部により取得された操作状況を示す静止画や動画をエラー発生時のエラー情報として扱いエラー対応処理を行なう各機能部に渡すエラー画像取得部を有することを特徴とする。
【００２２】
請求項１６に記載の発明は、アクセス権が管理されている電子情報の処理操作を行なうユーザおよび前記電子情報の属性に基づき、操作許否および操作要件を規定したセキュリティポリシーを検索して操作要件を取得し、取得した操作要件を情報処理時に強制する情報処理部と、前記取得した操作要件に合致せずエラーが発生したとき、より詳細な情報の記録、装置管理者への通知、あるいは改竄の可能性による証拠保全などに資する所定のエラー対応処理を行なうエラー対応処理部と、を備えたことを特徴とする電子機器である。
【００２３】
請求項１７に記載の発明は、電子情報に関するセキュリティポリシーに基づき装置操作可否を制御するセキュリティポリシー管理処理をコンピュータを用いて行なうためのプログラムであって、前記コンピュータを、アクセス権が管理されている電子情報の操作を行なうユーザおよび前記電子情報の属性に基づき、操作許否および操作要件を規定したセキュリティポリシーを検索して操作要件を取得し、取得した操作要件を情報処理時に適用するように制御する操作要件適用制御部と、前記取得した操作要件に合致せずエラーが発生したとき、所定のエラー対応処理を行なうエラー対応処理部と、して機能させることを特徴とするプログラムである。
【発明の効果】
【００２４】
請求項１に記載の発明によれば、本請求項１に係る発明を採用しない場合と比較して、セキュリティポリシーサーバでアクセス権が管理されている電子文書の配布先における実際の印刷処理時点に設定されている印刷要件に合致せずエラーが発生し印刷できない場合、内部統制のための情報記録、通知、保全ができる。
【００２５】
請求項２に記載の発明によれば、本請求項２に係る発明を採用しない場合と比較して、自装置のみでエラー対応処理内容を決定することができる。
【００２６】
請求項３に記載の発明によれば、本請求項３に係る発明を採用しない場合と比較して、セキュリティポリシーサーバとの連携処理によりエラー対応処理内容を決定することができる。
【００２７】
請求項４に記載の発明によれば、本請求項４に係る発明を採用しない場合と比較して、ジョブごとにダイナミックにエラー対応処理内容を決定することができる。
【００２８】
請求項５に記載の発明によれば、本請求項５に係る発明を採用しない場合と比較して、画像形成装置の起動時に、セキュリティポリシーサーバとの連携処理によりエラー対応処理内容を決定することができる。
【００２９】
請求項６に記載の発明によれば、本請求項６に係る発明を採用しない場合と比較して、画像形成装置でのジョブデータの保存に関するセキュリティ性能を高めることができる。
【００３０】
請求項７に記載の発明によれば、本請求項７に係る発明を採用しない場合と比較して、内部統制のためのエラーログを、自装置内で記録・保全することができる。
【００３１】
請求項８に記載の発明によれば、本請求項８に係る発明を採用しない場合と比較して、内部統制のためのエラー情報の装置管理者への通知ができる。
【００３２】
請求項９に記載の発明によれば、本請求項９に係る発明を採用しない場合と比較して、内部統制のための印刷対象の電子文書を自装置内で保全することができる。
【００３３】
請求項１０に記載の発明によれば、本請求項１０に係る発明を採用しない場合と比較して、内部統制のためのエラー情報をサーバで記録・保全することができる。
【００３４】
請求項１１に記載の発明によれば、本請求項１１に係る発明を採用しない場合と比較して、内部統制のための印刷対象の電子文書をサーバで保全することができる。
【００３５】
請求項１２に記載の発明によれば、本請求項１２に係る発明を採用しない場合と比較して、内部統制のためのエラー情報を印刷結果として取得し確認することができる。
【００３６】
請求項１３に記載の発明によれば、本請求項１３に係る発明を採用しない場合と比較して、一般ユーザによるエラー情報出力結果の持出しを防止できる。
【００３７】
請求項１４に記載の発明によれば、本請求項１４に係る発明を採用しない場合と比較して、以後の装置操作が一切できないことで、保全した情報の不正な取出しなどをより確実に防止できる。
【００３８】
請求項１５に記載の発明によれば、本請求項１５に係る発明を採用しない場合と比較して、エラー解析時に、操作者の特定が容易になる。
【００３９】
請求項１６に記載の発明によれば、本請求項１６に係る発明を採用しない場合と比較して、セキュリティポリシーサーバでアクセス権が管理されている電子情報の配布先における実際の情報処理時点に設定されている操作要件に合致せずエラーが発生し情報処理を実行できない場合、内部統制のための情報記録、通知、保全ができる。
【００４０】
請求項１７に記載の発明によれば、本請求項１７に係る発明を採用しない場合と比較して、セキュリティポリシーサーバでアクセス権が管理されている電子文書の配布先における実際の印刷処理時点に設定されている印刷要件に合致せずエラーが発生し印刷できない場合に、内部統制のための情報記録、通知、保全を行なう仕組みを、コンピュータを用いて実現できる。
【発明を実施するための最良の形態】
【００４１】
以下、図面を参照して本発明の実施形態について詳細に説明する。
【００４２】
＜システム構成＞
図１は、本発明の一実施形態を適用した画像形成システムを一部に備える文書処理履歴管理システムの一構成例を示す図である。本実施形態の文書処理履歴管理システム１は、セキュリティポリシー管理処理システムを包含しており、装置の操作履歴を記録する文書処理履歴保存機能だけでなく、電子文書に関するセキュリティポリシーに基づき装置操作の許可／不許可（装置操作可否と称する）を制御するセキュリティポリシー管理機能を備える点に特徴を有する。
【００４３】
図示のように、本実施形態の文書処理履歴管理システム１は、紙などの出力媒体に画像を出力する画像出力機能や出力媒体上の画像を読み取りその電子データを取得する画像取得機能を持つ各種のイメージング機器２と、各種のイメージング機器２に対して画像取得処理や画像出力処理を指令するクライアント装置４を備える。クライアント装置４としては、配布する文書に画像出力許否および画像出力要件を規定したセキュリティポリシーを設定する機能を持つ配布者端末４Ａと、配布された文書を利用した画像読取処理や画像出力処理を指令する処理指示端末４Ｂを含む。
【００４４】
さらに文書処理履歴管理システム１は、文書処理履歴管理機能とセキュリティポリシーに従って画像形成処理を制御するセキュリティポリシー管理機能（セキュリティポリシーサーバ６Ａの機能）を備える文書処理履歴管理装置６と、個人認証処理（ディレクトリサービスとも称される）を行なう認証サーバ７を備える。各機能部は、通信手段の一例であるネットワーク９により接続されている。文書処理履歴管理装置６と認証サーバ７でアクセス管理サーバ８が構成される。なお、他の図では、セキュリティポリシーサーバ６Ａを「ポリシーサーバ」と記すことがある。
【００４５】
文書処理履歴管理機能は、電子文書に対する操作を電子文書を扱うプログラムからの報告によりログする機能、具体的には、処理された文書画像を各種のイメージング機器２で画像取得処理や画像出力処理がなされたときの状況と一緒に処理履歴（ログとも称される）として記録・保存・管理し、また保存しておいた情報（画像を含む）を検索する機能である。
【００４６】
また、文書処理履歴管理システム１は、文書を廃棄するためのシュレッダ装置３を備える。シュレッダ装置３は、廃棄する際に文書を識別することのできるもので、ネットワーク９などを介して文書処理履歴管理装置６に接続されており、識別した文書の情報を文書処理履歴管理装置６に通知する。
【００４７】
イメージング機器２は、画像読取処理や画像形成処理を制御する画像処理制御部２２を備える。イメージング機器２としては、たとえば、画像取得機能および画像出力機能（合わせて複写機能と称する）を持つ複写機２Ａ、プリンタと称される単機能（画像出力機能の一例である印刷機能のみ）の印刷装置２Ｂ、スキャナと称される画像取得機能（特にスキャナ機能と称する）を持つ画像読取装置２Ｃ、印刷機能や複写機能やスキャナ機能を持つ複合機２Ｄ、およびファクシミリ２Ｅがあり、これらは、ネットワーク９を介してあるいは所定の接続インタフェースを介して文書処理履歴管理装置６と接続されている。図では、イメージング機器３を、各種１台もしくは２台で示しているが、その数は任意でよく、また、システム運用によっては、何れかが存在しない場合であってもよい。その各運用事例については後述する。
【００４８】
イメージング機器２の内、印刷装置２Ｂ、複合機２Ｄなどの画像出力機能を持つものを特に画像形成装置２Ｚと称する。本実施形態では、画像形成装置２Ｚは、１ページ分のデータを纏めて出力（印刷）する方式のもの、いわゆるページ・プリンタ（Page Printer）であるものとする。
【００４９】
たとえば、複写機２Ａは、ネットワーク９を介して文書処理履歴管理装置６に接続されており、利用者がその複写機２Ａの操作パネル（図示せず）を操作して複写指示を行なったときに、複写指示に従って読み取った画像（詳しくはその電子データである画像データ：以下同様）を文書処理履歴管理装置６へ送信する。このとき、複写機２Ａは、複写指示を行なった利用者を、利用者名やパスワードを入力させることで認証し、この認証によって得られた利用者を特定する利用者名などの情報を、画像とともに文書処理履歴管理装置６へ送信してもよい。
【００５０】
さらに、複写機２Ａは、読み取った画像をそのまま用紙に形成処理せず、文書処理履歴管理装置６から形成処理の対象となる画像を受信して、受信した画像に基づき用紙に対応する画像を形成する。つまり、複写機２Ａは、複写する原稿を読み取って得た画像を一旦文書処理履歴管理装置６１へ送信し、文書処理履歴管理装置６から受信した画像に基づいて処理を継続するようにする。
【００５１】
印刷装置２Ｂは、ネットワーク９を介して処理指示端末４Ｂや文書処理履歴管理装置６に接続されており、処理指示端末４Ｂ（場合によっては文書処理履歴管理装置６を介して）から入力される画像に基づき用紙などの出力媒体に画像を形成する。
【００５２】
画像読取装置２Ｃは、ネットワーク９を介して文書処理履歴管理装置６に接続されており、利用者がその画像読取装置２Ｃの操作パネル（図示せず）もしくは処理指示端末４Ｂを操作して読取り指示を行なったときに、その読取り指示に従って読み取った画像を文書処理履歴管理装置６へ送信する。このとき、画像読取装置２Ｃは、読取り指示を行なった利用者を、利用者名やパスワードを入力させることで認証し、この認証によって得られた利用者を特定する利用者名などの情報を、画像とともに文書処理履歴管理装置６へ送信してもよい。
【００５３】
複合機２Ｄは、ネットワーク９を介して文書処理履歴管理装置６に接続されており、複写機２Ａ、印刷装置２Ｂ、画像読取装置２Ｃの各機能を実行する。
【００５４】
ファクシミリ２Ｅは、ネットワーク９を介して文書処理履歴管理装置６に接続されており、読み取った画像をＦＡＸ送信し、あるいは受信した画像に基づき用紙などの出力媒体にＦＡＸ画像を出力するととともに、送受信時の処理画像を文書処理履歴管理装置６に出力する。
【００５５】
イメージング機器２に備えられる画像処理制御部２２のハードウェア構成としては、たとえば、制御処理や演算処理を行なう中枢を司るＣＰＵ（中央演算制御部）や処理データやプログラムデータを記憶するＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）などのメモリ装置などで構成される一般的な電子計算機と同様の仕組みとすることができる。そのハードウェア構成例については、所定の処理用のソフトウェアを実行するマイクロプロセッサなどから構築される、パーソナルコンピュータを始めとする電子計算機の構成として周知である。
【００５６】
つまり本実施形態において、画像を読み取る処理、あるいは画像を所定の出力媒体に形成する処理を制御する中心的な機能をなす画像処理制御部２２の仕組みは、ハードウェア処理回路により構成することに限らず、その機能を実現するプログラムコードに基づき電子計算機（コンピュータ）を用いてソフトウェア的に実現することも可能である。ソフトウェアにより実行させる仕組みとすることで、ハードウェアの変更を伴うことなく、処理手順などを容易に変更できる利点が享受される。
【００５７】
電子計算機に、画像読取処理や画像形成処理を制御する機能をソフトウェアにより実行させる場合には、そのソフトウェアを構成するプログラムが、専用のハードウェアに組み込まれているコンピュータ（組込マイコンなど）、あるいは、ＣＰＵ、論理回路、記憶装置などの機能を１つのチップ上に搭載して所望のシステムを実現するＳＯＣ（System On a Chip：システムオンチップ）、または、各種のプログラムをインストールすることで各種の機能を実行することが可能な汎用のパーソナルコンピュータなどに、記録媒体からインストールされる。
【００５８】
記録媒体は、コンピュータのハードウェア資源に備えられている読取装置に対して、プログラムの記述内容に応じて、磁気、光、電気などのエネルギの状態変化を引き起こして、それに対応する信号の形式で、読取装置にプログラムの記述内容を伝達できるものである。たとえば、コンピュータとは別に、ユーザにプログラムを提供するために配布される、プログラムが記録されている磁気ディスク（フレキシブルディスクＦＤを含む）、光ディスク（ＣＤ−ＲＯＭ（Compact Disc-Read Only Memory ）、ＤＶＤ（Digital Versatile Disc）、光磁気ディスク（ＭＯ（Magneto Optical Disk））を含む）、または半導体メモリなどよりなるパッケージメディア（可搬型の記憶媒体）により構成されるだけでなく、コンピュータに予め組み込まれた状態でユーザに提供される、プログラムが記録されているＲＯＭやハードディスクなどで構成されてもよい。また、ソフトウェアを構成するプログラムは、記録媒体を介して提供されることに限らず、有線あるいは無線などの通信網を介して提供されてもよい。これら電子計算機の仕組みを利用した形態並びにそれに伴うプログラムインスロールなどは、後述する文書処理履歴管理装置６や認証サーバ７においても同様である。
【００５９】
画像形成機能を持つイメージング機器２（複写機２Ａ、印刷装置２Ｂ、複合機２Ｄ、ファクシミリ２Ｅ：以下纏めて画像形成装置２Ｚとも称する）には電子文書に関する処理を行なうプログラムである電子文書プログラム、特に電子文書に関するセキュリティポリシーに基づき装置操作の許可／不許可（装置操作可否と称する）を制御するセキュリティポリシー管理プログラムの一例として文書印刷プログラムが組み込まれる。
【００６０】
文書印刷プログラムは、処理指示端末４Ｂの使用者（ユーザ）からの印刷要求時に、保護文書を復号するとともに、設定されている印刷要件に応じた印刷処理を画像形成部に実行させる処理を行なうプログラムである。たとえば、電子文書のハンドリングに必要となる、入力データのスプール機能（保存機能）、認証処理機能、暗号化処理機能、暗号鍵取得機能、復号化処理機能、復号鍵取得機能、セキュリティポリシーサーバ連携機能、画像形成要件取得機能、スクリプト処理（ワークフロー含む）機能、画像データ生成機能（印刷データ生成機能）、ジョブログ機能、ネットワーク機能（メール送信やファイル転送など）などのプログラムモジュールを含む。文書印刷プログラムに従って処理された出力用の画像形成データ（印刷データ）は画像形成部に送られる。
【００６１】
電子文書に関するセキュリティポリシーに基づき装置操作可否を制御するセキュリティポリシー管理プログラムの一例として、配布者端末４Ａには文書保護プログラムが、処理指示端末４Ｂにはプリンタドライバなどとも称される文書印刷指示プログラムがそれぞれ組み込まれる。文書保護プログラムは、文書ファイルに配布者端末４Ａの使用者（配布者）の入力操作に応じた処理要件を設定するとともに、認証処理を行ない、暗号化アルゴリズムを用いて文書ファイルを暗号化し、保護文書を生成する処理を行なうプログラムである。たとえば、電子文書のハンドリングに必要となる、認証処理機能（たとえばパスワード処理）、暗号化処理機能、暗号鍵取得機能、属性付与機能、属性登録機能、セキュリティポリシーサーバ連携機能などのプログラムモジュールを含む。暗号化アルゴリズムとしては、共通鍵暗号方式や公開鍵暗号方式（Public key encryption system）など何れの方式でもよいが、周知のように後者の方がセキュリティ性能がよい。
【００６２】
配布者端末４Ａや処理指示端末４Ｂは、ネットワーク９を介して文書処理履歴管理装置６に接続されており、印刷装置２Ｂや画像読取装置２Ｃなどに処理させる画像と、処理指示を行なう利用者名などの付帯情報とを文書処理履歴管理装置６に送信する。配布者端末４Ａや処理指示端末４Ｂは、液晶パネルやＣＲＴ（Cathode Ray Tube）などを主要部とする表示装置とキーボードやマウスなどの指示入力装置と、ＦＤＤ（Flexible Disk Drive ）やＨＤＤ（Hard Disk Drive ）などの記録装置などを備えたパーソナルコンピュータを適用できる。
【００６３】
電子文書に関する処理を行なうプログラムである電子文書プログラムの一例として、配布者端末４Ａには文書保護プログラムが、処理指示端末４Ｂにはプリンタドライバなどとも称される文書印刷指示プログラムがそれぞれ組み込まれる。なお、配布者端末４Ａには、文書保護の要求を受け付けるプログラムモジュールだけを組み込み、電子文書にアクセス権を設定して保護するコアモジュール部分はセキュリティポリシーサーバ６Ａ側に組み込むなど、システム構成に応じて適宜変更が可能である。
【００６４】
文書保護プログラムは、文書ファイルに配布者端末４Ａの使用者（配布者）の入力操作に応じた処理要件を設定するとともに、認証処理を行ない、暗号化アルゴリズムを用いて文書ファイルを暗号化し、保護文書を生成する処理を行なうプログラムである。たとえば、電子文書のハンドリングに必要となる、認証処理機能（たとえばパスワード処理）、暗号化処理機能、暗号鍵取得機能、属性付与機能、属性登録機能、セキュリティポリシーサーバ連携機能などのプログラムモジュールを含む。暗号化アルゴリズムとしては、共通鍵暗号方式や公開鍵暗号方式（Public key encryption system）など何れの方式でもよいが、周知のように後者の方がセキュリティ性能がよい。
【００６５】
なお、電子文書を配布する際は、その電子文書を作成・編集などしたアプリケーションのままのファイル形式ではなく、たとえばＰＤＦ（Portable Document Format）など、受け取った側の機器やシステムに操作性が依存されないような標準的なファイル形式にしておくのがよい。標準的なファイル形式で配布せず固有のファイル形式で配布する場合には、当然のことながら、その電子文書を受け取った側の機器やシステムには、その電子文書に固有のファイル形式を扱うことのできるアプリケーションプログラム（作成・編集などしたアプリケーションプログラムと同じである必要はない）が組み込まれていることが必要となる。本実施形態では、説明を簡単にするため、特段の断りのない限り、標準的なファイル形式で配布する態様で説明する。
【００６６】
文書印刷指示プログラムは、配布者がアクセス権を管理する状態で配布した電子文書の印刷指示を出すためのもので、電子文書を操作するための認証処理を行ない、処理指示端末４Ｂの使用者（ユーザ）の入力操作に応じた出力条件（印刷条件）を設定するとともに、必要に応じて印刷用の電子データ（以下印刷文書と称する）を作成するプログラムである。出力ジョブを作成して任意の画像形成装置２Ｚや文書処理履歴管理装置６に送信するいわゆるプリンタドライバの仕組みを採り入れることができる。たとえば、印刷文書のハンドリングに必要となる、認証処理機能（たとえばパスワード処理）、復号化処理機能、復号鍵取得機能、プリンタドライバ機能、セキュリティポリシーサーバ連携機能などのプログラムモジュールを含む。
【００６７】
プリンタドライバ機能では、必要に応じて指定された出力設定（出力条件や印刷条件や印刷属性とも称される）に基づいて出力ジョブ（印刷ジョブとも称される）を作成する。出力ジョブは、紙媒体などに画像形成すべき内容である画像データ（印刷データ）と出力設定とを含んでいる。ここで、出力条件は、基本設定、レイアウト設定、ページ装飾設定、仕上げ設定などの各項目が存在する。基本設定には、たとえば、印刷枚数、印刷部数、白黒かカラーか、用紙サイズ（Ａ４，Ａ３、Ｂ４，Ｂ５など）、印刷方向（縦／横）、給紙トレイ（自動、トレイ番号）、印刷品質などの項目が含まれる。レイアウト設定には、たとえば、片面か両面か、変倍（拡大／縮小）の有無と変倍率の設定、割付け印刷（集約印刷）の有無と配置態様の設定などの項目が含まれる。ページ装飾設定中には、たとえば、ページ印刷の有無とその詳細設定、スタンプマークの有無とスタンプマークの設定、ヘッダやフッタの有無とその印刷情報の設定などの項目が含まれる。仕上げ設定には、たとえば、ソート、フィニッシャ（終末装置）、綴じ代、開き方向、製本の設定などの項目が含まれる。フィニッシャは、たとえばパンチの有無と孔数の設定、ステイプル（１つの束にして綴じる処理）の有無と綴じ位置の設定などの項目が含まれる。配布者は、これら出力条件についても、アクセス権が設定可能となっており、たとえば白黒モードや低品質でしか許可しないなど、許容する出力条件を制限できるようになっている。
【００６８】
処理指示端末４Ｂと画像形成装置２Ｚや文書処理履歴管理装置６との間の印刷用のデータの受渡しには、画像形成装置２Ｚがページ・プリンタであることに対応してページ記述言語（ＰＤＬ：Page Description Language ）と称されるプログラム言語のファイル形式を使用してもよいし、配布された電子文書のファイル形式そのものと出力条件を記述した出力指示ファイルBF_2を使用するようにしてもよい。本実施形態では、説明を簡単にするため、特段の断りのない限り、配布された電子文書のファイル形式そのもの画像形成装置２Ｚに送信して印刷指示を出す態様で説明する。印刷指示とともに画像形成装置２Ｚ側に送られる印刷用のデータ（文書ファイル）を、配布された電子文書である配布文書BF_1と区別するため、以下印刷文書BF_3と称する。後者の場合は配布文書BF_1と出力指示ファイルBF_2の対で印刷文書BF_3となる。
【００６９】
印刷文書BF_3がＰＤＬファイルの場合、好ましくは、セキュリティ性能を高めるために、ＰＤＬデータに対して暗号化しておくのがよい。そして、処理指示端末４Ｂ側で作成された出力ジョブが画像形成装置２Ｚに送信されると、画像形成装置２Ｚは、受け取ったＰＤＬデータが暗号化されていれば復号化し、さらに受け取ったＰＤＬデータに基づきページ単位でビットマップ状の画像データ（イメージ）へ変換し、所定の記憶装置に蓄積してから印刷を行なう。一方、印刷文書BF_3が配布文書BF_1と出力指示ファイルBF_2の対でなる場合、受け取った印刷文書BF_3（＝配布文書BF_1）が暗号化されていれば復号化して元の電子文書に戻し（平文にし）、さらに平文の電子文書に基づいて画像形成装置２Ｚ側の画像形成処理に適したビットマップ状の画像データ（イメージ）へ変換し、所定の記憶装置に蓄積してから印刷を行なう。
【００７０】
なお、親展印刷時には、画像形成装置２Ｚ側でのセキュリティ性能を高めるために、画像形成装置２Ｚは、処理指示端末４Ｂ側から受け取った印刷文書BF_3、画像形成処理中の途中で作成される中間データ、あるいは最終的なビットマップ状の画像データを、暗号化した状態で保存しておくのが好ましい。本実施形態では、説明を簡単にするため、特段の断りのない限り、処理指示端末４Ｂ側から受け取った配布文書BF_1および出力指示ファイルBF_2でなる印刷文書BF_3を暗号化した状態で保存しておくものとする。
【００７１】
文書処理履歴管理装置６は、サーバ機能を備え、クライアント・システムである処理指示端末４Ｂ側からの要求によってイメージング機器２における画像取得処理や画像出力処理のための制御を行なうとともに、処理画像とその処理の際の関連情報を処理履歴として保管するため、文書画像の特徴を所定の記憶装置に記録・保存する。処理履歴の取得や保存の基本的な手法に関しては、公知の各種の仕組みと同様のものでよい。また、文書処理履歴管理装置６は、配布者端末４Ａ、処理指示端末４Ｂ、あるいはイメージング機器２からの認証処理要求を受けると認証サーバ７と連携して個人認証処理を行なうとともに、画像出力許否および画像出力要件を規定したセキュリティポリシーに従って画像形成処理を制御する機能を備えたイメージング機器２における画像形成処理の実行可否を制御する。
【００７２】
文書処理履歴管理装置６は、たとえば、セキュリティ制御部６２と、処理画像（イメージログと称される）および処理履歴を対応付けて記憶するハードディスク装置や光ディスク装置などを記憶装置として有するデータ保持部６４を有する。セキュリティ制御部６２のハードウェア構成としては、画像処理制御部２２と同様に、電子計算機と同様の仕組みとすることができる。
【００７３】
セキュリティ制御部６２は、複写機２Ａや印刷装置２Ｂなどのイメージング機器２から処理の対象となる画像や、画像の処理を要求した利用者や処理日時や処理条件などの処理操作の情報を特定する情報などの付帯情報（処理操作の状況を特定する画像以外の情報）を受信して、文書の画像と付帯情報（たとえば電子文書ＩＤ、バージョン、属性など）を処理履歴情報としてデータ保持部６４に格納する。また、処理の対象として受信した画像を複写機２Ａや印刷装置２Ｂやファクシミリ２Ｅなどのイメージング機器２に送信出力して、画像処理を実行させる。さらに、セキュリティ制御部６２は、処理履歴情報の検索指示を受けて、データ保持部６４に格納した処理履歴情報を検索し、その検索の結果を提示する検索処理を実行する。
【００７４】
この検索処理のため、画像をイメージング機器２で処理する際、画像を一意に特定する情報（識別子ＩＤ）とバージョンＶＯを出力媒体（紙媒体などへの出力や電子データでのファイル保存の何れでもよい）に、バーコードやＩＤタグや電子透かしなどの手段によって埋め込んでおく。処理された画像が再度、イメージング機器２で処理される際には、画像のＩＤとバージョンを読み取る。そして、読み取った情報から特定されるデータ保持部６４に保存済みの文書画像と、出力媒体から読み取った文書画像を比較する。
【００７５】
また、文書処理履歴管理装置６が備えるセキュリティポリシーサーバ６Ａ部分は、電子文書の安全性を高めるために、電子文書の暗号化機能を提供する。好ましくは、公開鍵暗号方式の元で、二重鍵を用い、暗号化と復号化の鍵を、ユーザ認証の可否によって、電子文書を扱うプログラムに提供する。さらにセキュリティポリシーサーバ６Ａは、好ましくは、オフラインでの利便性を高めるために、テンポラリ（一時的な、時限的な）の復号化鍵を提供するようにする。すなわち、セキュリティポリシーサーバ６Ａは、アクセス権が設定されている電子文書（保護電子文書と称する）にどのようなアクセス権（セキュリティ属性）が設定されているかを示す情報およびその保護電子文書を復号するための復号鍵を対応付けて所定の記憶媒体にアクセス権データベースとして登録しておく。
【００７６】
復号化鍵を用いたときは、その電子文書に対するアクセス権も得るようにする。この場合、復号化鍵はテンポラリであり、その復号化鍵には有効期間が存在するが、オンラインで復号化鍵とアクセス権を取得した後には、その有効期間内であれば処理指示端末４Ｂと文書処理履歴管理装置６（詳しくはセキュリティポリシーサーバ６Ａ）との間はオフラインであっても文書の操作ができ、たとえば閲覧だけでなく画像形成装置２Ｚに対して出力指示を出せる一方、有効期間外では文書の操作ができないこととなる。有効期間が切れてから文書操作を行なうには、再度オンラインでセキュリティポリシーサーバ６Ａから復号化鍵とアクセス権を取り直す必要がある。
【００７７】
認証サーバ７は、図示を割愛した認証処理制御部とハードディスク装置などのデータ保持部を備え、当該データ保持部に予めユーザ各人の認証用の情報（ユーザ名とパスワードとの組）をユーザデータベースとして登録しておく。ユーザデータベースには、たとえば、ユーザごとにカテゴリと階級とを別々の属性として管理する、あるいは、グループアカウントを生成し個人ユーザをそのグループに所属させるなど、カテゴリと階級を管理することが好ましい。
【００７８】
認証処理制御部のハードウェア構成としては、画像処理制御部２２と同様に、電子計算機と同様の仕組みとすることができる。そして、文書処理履歴管理装置６から送られたユーザＩＤとユーザが入力したユーザパスワードを、予め登録されているユーザ情報と照合して、そのユーザが適正な者であるか否かを判定し、その判定結果（認証結果と称する）を文書処理履歴管理装置６に返す。
【００７９】
ここで、画像形成機能を備えた画像形成装置２Ｚは、たとえば複合機２Ｄについて示しているように、好ましくは、データを保持・蓄積するハードディスク装置や光ディスク装置などのデータ保持部２４を備え、画像処理制御部２２は、出力指示を受けるとほぼ即時に画像形成処理を行なう単純機能の他に、画像形成ジョブを一旦所定のデータ保持部２４に保存しておきその後の所定のタイミングで発せられる実際の出力指示を受けてから出力媒体上に画像を出力するいわゆる親展印刷処理機能を備えるようにする。ここで、処理指示端末４Ｂ側に組み込まれる電子文書を扱うプログラムは、ユーザＩＤとユーザパスワードなどでユーザを特定し、電子文書の固有ＩＤとともにセキュリティポリシーサーバ６Ａに問い合わせ、セキュリティポリシー（パーミッション情報／アクセス権の情報）を確認し、そのセキュリティポリシーに従って画像形成処理を行なう。親展印刷処理時にも、セキュリティポリシーサーバ６Ａとの連携によりセキュリティポリシーを確認し、そのセキュリティポリシーに従って画像形成処理を行なう。
【００８０】
たとえば、画像形成装置２Ｚは、セキュリティポリシーサーバ６Ａで管理された電子文書を処理指示端末４Ｂから直接に受信し、あるいは文書処理履歴管理装置６を介して受信し、あるいはＣＤ−ＲＯＭなどの可搬型の記憶媒体から読み出し、内部で動作する電子文書を扱うプログラムによって、電子文書の印刷権利を確認後に印刷する。また、画像形成装置２Ｚは、セキュリティポリシーサーバ６Ａに対して、印刷しようとするユーザのアクセス権を確認するためのユーザインタフェースを備える。これにより、ユーザは、ユーザＩＤやユーザパスワードなどの入力、並びに、印刷すべき電子文書（そのファイルデータ）を探すための一覧表示などの機能が提供される。
【００８１】
また、画像形成装置２Ｚは、操作者の静止画または動画を撮影する撮像部２８を有する。撮像部２８で取得された操作状況を示す静止画や動画はエラー発生時のエラー情報として利用される。
【００８２】
なお、図１では、イメージング機器２とは別に、セキュリティポリシーに従って画像形成処理を行なうためのセキュリティポリシーサーバ機能を具備した文書処理履歴管理装置６を設けているが、システム構成はこのようなものに限らない。たとえば、文書処理履歴管理装置６からセキュリティポリシーサーバ６Ａを取り外し別のサーバとして設けたシステム構成にしてもよいし、イメージング機器２にセキュリティポリシーサーバ６Ａの機能を備えるシステム構成にしてもよい。
【００８３】
＜セキュリティポリシー出力処理の概要＞
図２は、セキュリティポリシーに従った画像形成処理の手順の概要を説明する図である。基本的には、システム構成がどのようなものであるかは問わないが、図１に示すように、文書処理履歴管理装置６がセキュリティポリシーサーバの機能を備える場合で説明する。
【００８４】
画像形成装置２Ｚにおいては、予め親展ボックスを作成しておく（Ｓ１０）。このとき、親展ボックスの属性として、認証サーバ７におけるディレクトリサービスのためのユーザＩＤおよびユーザパスワードをセットしておく。これら親展ボックスの作成に関わる情報は文書処理履歴管理装置６や認証サーバ７に通知され、文書処理履歴管理装置６や認証サーバ７にても管理される。
【００８５】
配布者端末４Ａは、電子文書を扱うプログラムとそのプログラムを実行可能な装置であり、当該配布者端末４Ａを扱うユーザ（文書の配布者）は、電子文書をネットワーク９や可搬型の記憶媒体を介して配布する際（Ｓ２０）、ユーザ別に配布文書BF_1にアクセス権を設定する。たとえば電子文書のカテゴリ（技術関連や経理関連など）および機密レベル（極秘、マル秘、社外秘、公開など）を設定する。このとき、アクセスを許可する範囲をユーザが属する部門や階級で設定するのではなく、ユーザごとに設定してもよい。
【００８６】
配布者端末４Ａは、その設定されたアクセス権の情報（パーミッション情報）をたとえばＸＭＬ（eXtensible Markup Language）などのページ記述言語で記述したセキュリティポリシーを文書処理履歴管理装置６が備えるセキュリティポリシーサーバ６Ａに登録する（Ｓ２２）。電子文書そのもののセキュリティ性を高めるため、電子文書ファイルそのものにアクセス権の情報を含めてしまうスタティックな方法ではなく、電子文書ファイルとは別にその電子文書を操作するためのアクセス権をセキュリティポリシーサーバ６Ａで管理するダイナミックな方法をとるのである。ダイナミックな方法をとると、電子文書を配布後にアクセス権の内容をダイナミックに変更可能となる反面、配布先でその電子文書の操作が可能となるには、いわゆるユーザ認証だけでなくアクセス権の照合処理のための操作も必要になる。操作ログをデータベースで管理する仕組みを採る場合、このアクセス権の照合処理操作の情報も記録することで、内部統制が強化される。
【００８７】
具体的には、セキュリティポリシーサーバ６Ａは、配布者端末４Ａから送られたセキュリティポリシーの情報を電子文書ごとに管理する。たとえば、電子文書には、閲覧する、編集する、印刷する、保存するなどのアクセス権を設定することができる。設定されたアクセス権は電子文書自体に付加されず、セキュリティポリシーサーバ６Ａで管理する。電子文書には、それぞれを一意に特定するために固有の識別子（電子文書ＩＤと称する）を付与する。また、電子文書は、好ましくは、暗号化して配布するのがよい。また、適当なパスワードや秘密鍵で復号化できるようにしておくとよい。暗号化とそれに対応した秘密鍵および復号化鍵は、電子文書の安全性を高めるために適用される。
【００８８】
セキュリティポリシーとしては、たとえば、組織におけるセキュリティポリシーの例で説明すると、文書に対して分野および機密レベルを設定した上で、電子文書に対するアクセスを許可するユーザの階級や部門および印刷要件を設定する。たとえば、分野が「技術」で機密レベルが「極秘」の電子文書ファイルは、カテゴリが「技術」で階級が「上」のユーザに対しては閲覧は許可するが「関係者」を要件とすること、複写は原則として禁止とし、複写する際には管理責任者の許可を得なければならないこと、また複写が許可されるのは「関係者」のみであること、さらに、機密印刷、地紋印刷、バーコード付加、電子透かし付加、機密ラベルスタンプ付加、などを電子的な複写の要件とし、紙媒体などへの印刷（いわゆるハードコピー）は許可しないことを規定する。また、分野が「技術」で機密レベルが「マル秘」の電子文書ファイルは、カテゴリが「技術」で階級が「中」または「上」のユーザに対しては閲覧は許可するが「関係者」を要件とすること、複写や印刷が許可されるのは「関係者」のみであること、さらに、印刷する際には丸秘文書であることを示す文字や記号などの透かしを同時に印刷することを規定する。また、「社外秘文書」の場合、社外へ送付する際には管理者の許可を得なければならないことや、複写・印刷・閲覧は社内であれば許可が不要であることを規定する。「経理関連文書」の場合は全て丸秘文書として扱うものと規定する。
【００８９】
配布者によってアクセス権が管理されて配布された電子文書の操作を希望するユーザは、処理指示端末４Ｂを操作して、操作を希望する電子文書を特定する電子文書ＩＤなどの電子文書の属性と、自身を一意に特定するために予め登録しておいたユーザＩＤおよびユーザパスワードなどのユーザ属性をセキュリティポリシーサーバ６Ａに通知する（Ｓ３０）。これらを受け取ったセキュリティポリシーサーバ６Ａは、認証サーバ７と連携して個人認証処理を行ない（Ｓ３２）、認証に成功すると（つまり正規ユーザであれば）、電子文書ＩＤに対応する電子文書を復号化するために必要となる復号鍵とその時点におけるその電子文書およびそのユーザに設定されているパーミッション情報（アクセス権の情報）を処理指示端末４Ｂに送信する（Ｓ３４）。つまり、処理指示端末４Ｂでの電子文書に対する操作時点で、ユーザ属性や電子文書属性からセキュリティポリシーを検索し親展印刷の指示時にも適用する。
【００９０】
これにより、その時点でアクセス権が許可されている範囲で、その電子文書の閲覧や印刷指示などが可能な状態となる。たとえば、その時点で閲覧および印刷が許可されていれば、復号化権を取得したユーザ（処理指示端末４Ｂ）は、その復号化権を使って暗号化されている（アクセス権が管理されている）電子文書を復号して文書ファイルを開く（Ｓ３６）。
【００９１】
さらに、その電子文書の印刷を希望する場合、ユーザは、処理指示端末４Ｂ上でプリントドライバ画面を操作して、出力を希望する画像形成装置２Ｚに対して印刷指示を出す（Ｓ４０）。このとき、本実施形態では、配布された配布文書BF_1そのものと出力条件を記述した出力指示ファイルBF_2を対にして印刷文書BF_3として画像形成装置２Ｚ側に送信する。ここで、親展印刷を指示する際には、出力指示ファイルBF_2には、出力条件そのものの他に、親展印刷に必要となる情報、たとえば、親展ボックス番号、親展ボックス用のパスワード、印刷指示時に指定した文書名なども含める。
【００９２】
印刷文書BF_3を受け取った画像形成装置２Ｚは、親展印刷でなければ、ほぼ即時に出力処理を完了させる。一方、印刷文書BF_3の出力処理を一旦蓄積しておく必要のある親展印刷が指示されていると、画像形成装置２Ｚは、親展ボックス用のパスワードが正しければ、印刷文書BF_3を親展ボックスに保存する。このとき、処理指示端末４Ｂ側から受け取った配布文書BF_1および出力指示ファイルBF_2でなる印刷文書BF_3を暗号化した状態で保存しておく。そして、その後にユーザは画像形成装置２Ｚの設置場所に出向いて、画像形成装置２Ｚを操作して、親展文書の出力指示を出す。このときには、ユーザは、ユーザＩＤとユーザパスワード、並びに親展ボックス番号と親展ボックス用のパスワードを入力して自身用の親展ボックスを開き、操作パネルなどに表示される文書一覧から出力を希望する親展文書を選択して印刷指示を出す（Ｓ５０）。
【００９３】
親展文書の印刷指示を受け付けた画像形成装置２Ｚは、出力を指示された親展文書の電子文書ＩＤとユーザＩＤとユーザパスワードをセキュリティポリシーサーバ６Ａに送付して認証処理とパーミッション情報（アクセス権の情報）の取得を要求する（Ｓ５２）。これらを受け取ったセキュリティポリシーサーバ６Ａは、認証サーバ７と連携して個人認証処理を行なう（Ｓ５４）。認証に成功すると（つまり正規ユーザであれば）、セキュリティポリシーサーバ６Ａはさらに、自身が記録保持しているセキュリティポリシーを参照して、ユーザが指定した親展文書を印刷する権限があるか否かやどのような印刷要件が設定されているかなどのその時点のセキュリティポリシーの状況を確認し、電子文書ＩＤに対応する電子文書を復号化するために必要となる復号鍵とその時点におけるその電子文書およびそのユーザに設定されているパーミッション情報（アクセス権の情報）を画像形成装置２Ｚに送信する（Ｓ５６）。つまり、親展印刷指示があったときの印刷文書BF_3についての実際の出力処理などのように画像形成装置２Ｚに蓄積しておいた印刷ジョブの出力処理の際にも、ユーザ属性や電子文書属性からセキュリティポリシーを検索しその出力処理時に適用する。
【００９４】
これにより、画像形成装置２Ｚは、文書印刷プログラムに従い、その時点でアクセス権が許可されている範囲で、アクセス権が設定されている保護文書の一例である親展文書を復号するとともに、設定されている印刷条件に応じて、その電子文書の印刷処理が可能な状態となる。ただし、本実施形態におけるアクセス権の管理形態としては、電子文書ファイルとは別にその電子文書を操作するためのアクセス権をセキュリティポリシーサーバ６Ａで管理するダイナミックな方法をとっているので、セキュリティポリシーは任意の時点で変更することができるため、親展印刷指示を発した時点（Ｓ４０）のセキュリティポリシー（アクセス権）の状況と、親展文書に対する実際の出力指示時点（Ｓ５２）のセキュリティポリシーの状況が同じであるとは限らない。よって、アクセス権の管理対象の電子文書へアクセスが発生したタイミングで（本例では実際の親展印刷処理時にも）、当該電子文書のセキュリティポリシーの確認とアクセス制御を行なう。
【００９５】
たとえば、親展印刷指示を発した時点（Ｓ４０）のセキュリティポリシーの状況と親展文書に対する実際の出力指示時点（Ｓ５２）のセキュリティポリシーの状況に変更がなければ、親展印刷指示を発した時点の出力条件に従って印刷処理がなされる（Ｓ６０）。たとえば、親展印刷指示を発した時点（Ｓ４０）の出力条件と変更がなく印刷が許可されていれば、復号化権を取得した画像形成装置２Ｚは、その復号化権を使って暗号化されている（アクセス権が管理されている）配布文書BF_1を復号してから、出力指示ファイルBF_2に従って出力用のビットマップデータを作成して印刷処理を実行する。この際、電子文書ファイルに透かし付加が印刷要件として設定されている場合には、電子文書の内容とともに地紋や丸秘文書であることを示す文字や記号など所定の透かしも印刷する。これにより、電子文書ファイルを印刷する際に、予め設定されたアクセス権に応じた印刷要件が強制される。
【００９６】
一方、親展印刷指示を発した時点（Ｓ４０）のセキュリティポリシーの状況と親展文書に対する実際の出力指示時点（Ｓ５２）のセキュリティポリシーの状況に変更があると、何らかの問題で、親展文書の印刷処理ができないことが起こり得る。このような場合、画像形成装置２Ｚは、先ず、セキュリティポリシーサーバ６Ａからの認証・セキュリティポリシー確認結果通知に基づき、印刷不許可にするとともに、エラー表示などユーザに対して警告メッセージを通知する（Ｓ６２）。
【００９７】
また、本実施形態の特徴点として、さらに、セキュリティポリシーサーバ６Ａでセキュリティポリシーが管理されている電子文書（本例では親展文書、以下同様）が、何らかの問題で印刷できない場合、画像形成装置２Ｚは、内部統制の見地から、その際のより詳細な各種情報（たとえば操作情報）の記録、管理者など所定の箇所への各種の情報の通知、あるいは、改竄の可能性への対処目的によるその際の各種の情報の保全（証拠を残すための保存）、などのエラー対応処理を行なう（Ｓ６４）。
【００９８】
「通知」の内容は、たとえば、そのジョブのユーザ、クライアント端末である処理指示端末４Ｂのアドレス（ＩＰアドレスやＭＡＣアドレスなど）、調査に有効な情報を含むのがよい。「保全」とは、情報を所定の記憶媒体に記憶・保存する一例であるが、証拠を残すための保存の意味であり、特に、一般ユーザによっては保存した情報へのアクセスができないような状態で記録を残す（電子データを記憶媒体に記録する）ことを意味し、本実施形態では、通常の「保存」と区別して使用する。たとえば、保存（保全）したエラー情報や電子文書は適当なセキュリティによって保護されることにより、権限を持つ装置管理者のみアクセスすることができるようにする。
【００９９】
「何らかの問題」としては、たとえば、以下のようなケースが考えられる。何れも、親展印刷指示を発した時点（Ｓ４０）では何ら問題がなかったものが、親展文書に対する実際の出力指示時点（Ｓ５２）では、セキュリティポリシーに何らかの設定変更があったケースである。
【０１００】
１）電子文書が持つ電子文書ＩＤがセキュリティポリシーサーバ６Ａに登録されておらず、その親展文書とセキュリティポリシーの紐付け（対応関係）が特定できず、ユーザより指定された親展文書のセキュリティポリシーを探せないケースである。先ず１）のケースとして考えられるのは、セキュリティポリシーサーバ６Ａから電子文書ＩＤが削除されている場合である。これは、電子文書の文書処理履歴管理装置６（セキュリティポリシーサーバ６Ａ）上での管理所有者が自ら消した、謝って消した、データベースが壊れてしまった、などのケースなどである。何れにしても、紐付けされていない理由を明らかにすべきである。また、次に１）のケースとして考えられるのは、電子文書自体が改竄され、電子文書ＩＤを詐称した可能性がある。この場合は、電子文書そのものを保全することにより解析する。
【０１０１】
２）セキュリティポリシーサーバ６Ａには、電子文書は登録されているが、ユーザ確認がとれないケースである。２）のケースとして考えられるのは、画像形成装置２Ｚのデータ保持部２４に蓄積された電子文書を他のユーザが印刷しようと試みた場合など、そのユーザの個人情報登録がなく指定された親展文書のセキュリティポリシーを管理するセキュリティポリシーサーバ６Ａにログインできない場合や、親展文書の印刷指示後にセキュリティポリシーサーバ６Ａ上でそのユーザに対する印刷のアクセス権が剥奪された場合などである。
【０１０２】
３）セキュリティポリシーとして印刷禁止が設定されているユーザが印刷しようとしたケースである。３）のケースとして考えられるのは、クライアントのツールなどで印刷できるかの権利を確認せずに電子文書を直接に画像形成装置２Ｚに送った場合などである。
【０１０３】
ステップＳ６４における「エラー対応処理」は、ステップＳ６２における印刷不許可や警告メッセージの通知以外の処理で、たとえば、以下のようなことが考えられる。なお、これらは、システム環境に応じて、適宜任意に組み合わせてよい。
【０１０４】
１）エラーによって印刷を中止したことの情報（エラー情報と称する）を操作ログ（ジョブログ）に残す。
２）画像形成装置２Ｚの管理者に電子メールやその他の手段で通知する。
３）エラーの理由を印刷する。このとき、保全のために鍵付きの出力ボックスに排出するのがよい。
４）スプールされた処理データを画像形成装置２Ｚ内に保全する。
５）電子文書へのアクセスを記録している文書処理履歴管理装置６に通知して操作ログを残す。
６）電子文書へのアクセスを記録している文書処理履歴管理装置６に電子文書を送信し、保全する。
７）画像形成装置２Ｚをロックすることで、その後の印刷操作やその他の操作を一切禁止する。
【０１０５】
前記１）〜７）のエラー対応処理動作の何れを実行するかは、１）画像形成装置２Ｚ自体に登録しておく、２）セキュリティポリシーサーバ６Ａに登録しておき、エラー発生時に動作ポリシーを画像形成装置２Ｚに送信する、あるいは、３）セキュリティポリシーサーバ６Ａに登録しておき、画像形成装置２Ｚが起動時にチェックする、の何れかの設定手法で規定すればよい。２）の場合は、セキュリティポリシーサーバ６Ａ固有、画像形成装置２Ｚごと、電子文書ごと、ユーザごとなど、様々な属性値を元に、動作ポリシーをジョブごとにセキュリティポリシーサーバ６Ａから変更・通知する、つまり、動作ポリシーをダイナミックに決定すればよい。３）の場合は、画像形成装置２Ｚの電源（メイン電源など）が切断されるまで有効となるようにしておく。
【０１０６】
以下、前述の処理を行なうための具体的な仕組みと、エラー対応処理動作の詳細について、説明する。先ず、配布者端末４Ａ、アクセス管理サーバ８（セキュリティポリシーサーバ６Ａと認証サーバ７）、および画像形成装置２Ｚの構成例について説明し、その後に、何らかの問題で印刷できない場合におけるエラー対応処理（Ｓ６４）について、前記の１）〜３）のケース別に説明する。
【０１０７】
＜配布者端末の構成例＞
図３は、配布者端末４Ａの一構成例、特に、電子文書にアクセス権を設定する処理に関わる部分の構成例を説明する図である。図示する各機能部は、実際の適用事例では、配布者端末４Ａに組み込まれる文書保護プログラムのプログラムモジュールと考えればよい。
【０１０８】
図示のように、配布者端末４Ａは、たとえばハッシュ関数を利用するなどして暗号鍵を生成する暗号鍵取得部４１０と、暗号鍵取得部４１０が生成した暗号鍵を用いて配布者が指定した電子文書を暗号化する暗号化部４１２を備える。暗号鍵取得部４１０は、暗号化のためのパラメータを自身で生成し、そのパラメータを使って暗号鍵を生成してもよいし、パラメータを別の機能部から取得してもよい。パラメータは文書保護プログラム内部に保持しておくか、要求があった場合に生成すればよい。
【０１０９】
また、配布者端末４Ａは、電子文書の電子文書ＩＤを生成し暗号化部４１２から渡された暗号化文書に電子文書ＩＤを付与して保護電子文書として出力する保護設定部４１４と、配布者からアクセス権の情報を受け取るとともに、暗号鍵取得部４１０から暗号鍵を、保護設定部４１４から電子文書ＩＤを、配布者からアクセス権の情報をそれぞれ受け取り、セキュリティポリシーサーバ６Ａに対してこれらの電子文書ＩＤ、暗号鍵、アクセス権の情報を渡してセキュリティポリシーの登録を要求するセキュリティポリシー登録部４１６を有する。
【０１１０】
セキュリティポリシー登録部４１６に登録するセキュリティポリシーとしては、電子文書に対する操作要求に対してその操作を許可するか不許可とするかだけでなく、所定の条件を満たしたときには一定範囲の操作を許可するという条件付きの操作要件を設定するようにしてもよい。また、所定の条件は、１つに限らず複数の組み合わせて設定するようにしてもよい。たとえば、印刷を許可する／不許可にすると言ったある機能の使用を許可するか禁止するかの単純なアクセス権制御に限らず、印刷を許可するけれども、白黒や低品質のみなど、一定の印刷条件指定の範囲内に限ると言う条件を付けてもよい。
【０１１１】
＜アクセス管理サーバの構成例＞
図４は、アクセス管理サーバ８の一構成例、特に、電子文書のセキュリティポリシーを管理する機能部であるセキュリティポリシーサーバ６Ａのセキュリティ制御部６２および認証サーバ７に関わる部分の構成例を説明する図である。
【０１１２】
図示のように、アクセス管理サーバ８のセキュリティポリシーサーバ６Ａのセキュリティ制御部６２は、セキュリティポリシー登録部４１６から渡された電子文書ＩＤ、暗号鍵、アクセス権の情報を所定の記憶媒体にセキュリティポリシーデータベースSPDBとして登録するセキュリティポリシーＤＢ登録部６１０と、認証サーバ７との連携によりユーザ認証を行なうとともにセキュリティポリシーデータベースSPDBを参照して操作要求のあった電子文書のセキュリティポリシーを確認するアクセス権限確認部６１２と、セキュリティポリシーに基づき印刷要件を特定し画像形成装置２Ｚに通知する印刷要件取得送付部６１４を有する。アクセス管理サーバ８の認証サーバ７は、所定の記憶媒体に登録されているユーザデータベースUDB を参照してユーザ認証を行ない、認証結果をアクセス権限確認部６１２に通知するユーザ認証部７１０を有する。
【０１１３】
＜画像形成装置：第１構成例＞
図５は、画像形成装置２Ｚの一構成例、特に、文書処理履歴管理装置６からセキュリティポリシーサーバ機能を取り外し、画像形成装置２Ｚにセキュリティポリシー管理機能を備えるシステム構成の場合の構成例（第１構成例と称する）を説明する図である。
【０１１４】
図示のように、第１構成例の画像形成装置２Ｚは、セキュリティポリシーを管理するセキュリティポリシー管理部２１０と、電子文書の印刷を要求したユーザの属性（カテゴリやセキュリティレベルなど）を取得するユーザ属性取得部２１２と、印刷対象の電子文書の属性（カテゴリやセキュリティレベルなど）を取得する文書属性取得部２１４と、処理指示端末４Ｂや自装置の操作パネルからの指示に基づき画像形成処理（印刷処理）を実行する画像形成部２１６を有する。画像形成部２１６は、後述する第２構成例と同様に、文書印刷プログラムが組み込まれる画像処理制御部２２と、プリントエンジン部２６０を有する。画像処理制御部２２の詳細については第２構成例で説明する。
【０１１５】
セキュリティポリシー管理部２１０は、図４に示したセキュリティポリシーサーバ６ＡのセキュリティポリシーＤＢ登録部６１０の機能も備える。ユーザ属性取得部２１２は、図４に示したセキュリティポリシーサーバ６Ａのアクセス権限確認部６１２のユーザ認証に関する機能部分も備える。文書属性取得部２１４は、図４に示したセキュリティポリシーサーバ６Ａのアクセス権限確認部６１２のセキュリティポリシーに関する機能部分と印刷要件取得送付部６１４の機能も備える。
【０１１６】
＜画像形成装置：第２構成例＞
図６および図６Ａは、画像形成装置２Ｚの他の構成例、特に、文書処理履歴管理装置６がセキュリティポリシーサーバ６Ａを備えるシステム構成の場合の構成例（第２構成例と称する）を説明する図である。
【０１１７】
図６に示す全体概要図のように、第２構成例の画像形成装置２Ｚは、処理指示端末４Ｂや自装置の操作パネルからの指示に基づき画像形成処理（印刷処理）を実行する画像形成部２１６を有する。画像形成部２１６は、文書印刷プログラムが組み込まれる画像処理制御部２２と、プリントエンジン部２６０を有する。
【０１１８】
画像処理制御部２２は、セキュリティポリシーサーバ６Ａにアクセスして処理時点のセキュリティポリシーを確認し、確認した印刷要件を印刷処理時に適用するように制御する印刷要件適用制御部２２０と、平文の電子文書や印刷データを暗号化する暗号化部２２５と、暗号化された配布文書BF_1や印刷データを平文に戻す復号部２２６と、平文の配布文書BF_1もしくは復号部２２６が復号した平文の電子文書について印刷データを生成する印刷処理部２２８を有する。
【０１１９】
印刷要件適用制御部２２０は、データ保持部２４に蓄積した印刷文書BF_3、中間データ、あるいはビットマップ画像（何れも暗号化されたものでもよいし平文化されたものでもよい：本実施形態では前者が好ましい）を印刷する際に、印刷するユーザＩＤと蓄積しておいた電子文書ＩＤから、そのユーザが印刷する権限を持っているかどうかをセキュリティポリシーサーバ６Ａに確認し、印刷を許可された画像だけを印刷するように制御する機能を持っている。具体的には、印刷要件適用制御部２２０は、セキュリティポリシーサーバ６Ａにアクセスしてアクセス権を確認して復号鍵を取得するアクセス権確認・復号鍵取得部２２２と、セキュリティポリシーサーバ６Ａにアクセスして印刷要件を取得する印刷要件取得部２２４を有する。
【０１２０】
アクセス権確認・復号鍵取得部２２２は、アクセス権の確認ができた場合にセキュリティポリシーサーバ６Ａから復号鍵を得てこれを復号部２２６に渡す。復号部２２６は、アクセス権確認・復号鍵取得部２２２から取得した復号鍵を用いて暗号化されている保護電子文書（配布文書BF_1）を平文に戻し、平文の電子文書を印刷処理部２２８に渡す。印刷要件取得部２２４は、セキュリティポリシーサーバ６Ａから印刷要件を取得し印刷処理部２２８に渡す。印刷処理部２２８は、平文の電子文書について印刷要件取得部２２４が取得した印刷要件に従って印刷データを生成する。
【０１２１】
図６Ａに示す詳細図のように、印刷処理部２２８は、印刷要件取得部２２４から受け取った印刷要件の内容に応じて加工指示やエラー警告やログ記録や印刷設定の他、本実施形態特有の処理であるエラー対応処理を制御する要件処理制御部２３０と、必要に応じて電子文書ファイルを加工する文書加工部２３２と、平文の電子文書ファイル（文書加工部２３２による加工済みの電子文書ファイルを含む）に基づき印刷データを作成するプリンタドライバ部２３４を有する。
【０１２２】
印刷処理部２２８はさらに、所定の表示通知手段（たとえば操作パネルなどの表示装置）や音声通知手段（たとえばスピーカその他の発音体を利用したもの）にて警告メッセージをユーザにエラー警告を通知（エラー警報を行なうと称する）するエラー警報部２３６と、操作ログを記録サーバ（リモートサーバ：本例では文書処理履歴管理装置６）に通知して記録を残させるログ記録部２３８と、エラー対応処理を行なうエラー対応処理部２４０を有する。
【０１２３】
エラー対応処理部２４０は、セキュリティポリシーサーバ６Ａでエラーが発生した場合にそのエラー通知により、設定されたエラー処理を行なう。このため、エラー対応処理部２４０は、たとえば、エラー対応処理として、電子文書プログラムによってエラー情報を画像形成装置２Ｚ内の所定の記憶装置（データ保持部２４など）に記録（ログ）するエラー情報記録部２４２と、電子文書プログラムによってエラー情報を装置管理者にたとえば所有している携帯端末に電子メールで送るなどして通知するエラー情報通知保全部２４４と、電子文書プログラムによって印刷対象である電子文書を画像形成装置２Ｚ内の所定の記憶装置（データ保持部２４など）に保全する電子文書保全部２４６を有する。
【０１２４】
エラー情報記録部２４２はログ記録部２３８と、サーバと独立してエラーに関する情報を記録できるという点で構成上の相違がある。また、この構成上の相違点から、サーバへの通知で定められた書式以上の情報を記録することができたり、エラー発生時に故意にネットワークを遮断された場合でも全ての情報を記録することができるという特有の作用・効果が存在する。
【０１２５】
電子文書保全部２４６が画像形成装置２Ｚ内の所定の記憶装置に保全する電子文書については、暗号化した状態で保全するのが好ましい。また、保全された電子文書は、適当なセキュリティによって保護されることにより、権限を持つ装置管理者のみがアクセスすることができるようにしておくのが好ましい。一般ユーザによる不正なアクセスにより保全した電子文書が改竄されたり削除されたりすることがないようにしておくのである。
【０１２６】
エラー対応処理部２４０はまた、エラー対応処理として、電子文書プログラムによってエラー情報を、運用状況（装置操作状態の情報）を記録するサーバ（本例では文書処理履歴管理装置６）に通知して保全させるエラー情報通知保全部２４８と、電子文書プログラムによって印刷対象である電子文書を運用状況を記録するサーバ（本例では文書処理履歴管理装置６）に送信し文書処理履歴管理装置６にて保全させる電子文書送信保全部２５０を有する。
【０１２７】
エラー情報通知保全部２４８から通知されたエラー情報は文書処理履歴管理装置６にて所定の記憶装置に保全される。電子文書送信保全部２５０から送信された電子文書は、文書処理履歴管理装置６にて所定の記憶装置に保全される。文書処理履歴管理装置６にて保全される運用状況や電子文書は何れも、暗号化した状態で保全するのが好ましい。また、保全された運用状況や電子文書は、適当なセキュリティによって保護されることにより、権限を持つ装置管理者のみがアクセスすることができるようにしておくのが好ましい。一般ユーザによる不正なアクセスにより保全した運用状況や電子文書が改竄されたり削除されたりすることがないようにしておくのである。
【０１２８】
エラー対応処理部２４０はまた、エラー対応処理として、電子文書プログラムによってエラー情報を、たとえば画像形成装置２Ｚやセキュリティポリシーサーバ６Ａ側にて所定の出力媒体上に印刷するように制御するエラー情報印刷制御部２５２と、電子文書プログラムによって、以後の画像形成装置２Ｚの操作を全てロックする（lock）操作ロック部２５４を有する。エラー情報印刷部２５２の指示に基づき画像形成装置２Ｚにて印刷したエラー情報は、たとえば鍵付きの出力トレイ内など装置管理者のみが印刷出力されたエラー情報を入手可能な排出装置に出力することにより、装置管理者のみエラー情報の出力結果を入手可能にしておくのが好ましい。一般ユーザによりエラー情報出力結果の持出しが行なわれないようにしておくのである。
【０１２９】
また、エラー対応処理部２４０は、画像形成装置２Ｚに備えられている撮像部２８により取得された操作状況を示す静止画や動画をエラー発生時のエラー情報（特にエラー画像と称する）として扱うエラー画像取得部２５８を有する。エラー画像取得部２５８は、このエラー画像を、エラー対応処理部２４０内の他のエラー対応処理を行なう各機能部にエラー情報として渡す。
【０１３０】
エラー対応処理部２４０が備える各機能部は、何れか１つのみが単独で実行することに限らず、各機能部が任意に複数組み合わされて、それぞれにおけるエラー対応処理を実行してよい。
【０１３１】
＜エラーの問題：第１実施形態＞
図７は、エラー対応処理部２４０においてエラー対応処理を行なう契機となる「何らかの問題」の第１実施形態とエラー対応処理を説明するフローチャートである。第１実施形態における「何らかの問題」が起きるケースは、電子文書が持つ電子文書ＩＤがセキュリティポリシーサーバ６Ａに登録されていない場合である。この場合、電子文書とセキュリティポリシーの紐付け（対応関係）が特定できず、ユーザより指定された親展文書のセキュリティポリシーを探せないので、画像形成装置２Ｚは印刷処理を中止しエラー警報部２３６にてエラー警告をユーザに通知するとともに、エラー対応処理部２４０にて所定のエラー対応処理を行なう。なお、印刷中止処理やエラー警告通知処理と、エラー対応処理部２４０におけるエラー対応処理は、何れか先であってもよい。図では、エラー対応処理部２４０におけるエラー対応処理を先に行なってから印刷中止処理やエラー警告通知処理を行なう例で示している。
【０１３２】
たとえば、クライアント（一般ユーザ）は、処理指示端末４Ｂにて電子文書の印刷指示として親展印刷の指示を出す（Ｓ１００）。この指示を受け付けた処理指示端末４Ｂは、親展印刷対象の配布文書BF_1そのものと出力指示ファイルBF_2を印刷文書BF_3として画像形成装置２Ｚに送信する（Ｓ１０２）。処理指示端末４Ｂから印刷文書BF_3を受け取った画像形成装置２Ｚは、印刷文書BF_3を一旦データ保持部２４に保存し、電子文書プログラム（本例では文書印刷プログラム）を起動して印刷ジョブを開始する（Ｓ１１０）。因みに、印刷文書BF_3が親展印刷対象のものであるときには、親展印刷指示を出したユーザは画像形成装置２Ｚの設置場所に出向いて画像形成装置２Ｚの操作パネルからの親展印刷ジョブの開始を指示する。
【０１３３】
画像形成装置２Ｚ（文書印刷プログラム）は、印刷ジョブを開始すると、先ず、処理対象の印刷文書BF_3がセキュリティポリシーサーバ６Ａで管理された保護電子文書であるか否かを確認する（Ｓ１２０）。保護電子文書でなければ、画像形成装置２Ｚ（文書印刷プログラム）は、通常の印刷（本例の場合は通常の親展印刷）に備える（Ｓ１２０−ＮＯ，Ｓ１２２）。一方、保護電子文書であるときには（Ｓ１２０−ＹＥＳ）、画像形成装置２Ｚ（文書印刷プログラム）は、操作パネルやユーザカード（ＩＤカード）などを介してユーザＩＤとユーザパスワードの入力を受け付け（Ｓ１２４）、入力されたユーザＩＤおよびユーザパスワード並びに出力を指示された印刷文書BF_3の電子文書ＩＤをセキュリティポリシーサーバ６Ａに送付して、セキュリティポリシーサーバ６Ａや認証サーバ７での認証確認を待つ（Ｓ１２６）。
【０１３４】
セキュリティポリシーサーバ６Ａは、認証サーバ７と連携して個人認証処理を行ない、個人認証に成功するとさらに、自身が記録保持しているセキュリティポリシーを参照して、ユーザが指定した印刷文書BF_3を印刷する権限があるか否かや、どのような印刷要件が設定されているかなどの、その時点のセキュリティポリシーの状況を確認する。本例の場合、印刷文書BF_3が持つ電子文書ＩＤがセキュリティポリシーサーバ６Ａに登録されていない場合であるので、管理されていない電子文書ＩＤであるとの認証結果が得られ（Ｓ１３０）、セキュリティポリシーサーバ６Ａは、画像形成装置２Ｚ（文書印刷プログラム）に、その問題状況を示すエラー情報を返す（Ｓ１３８）。
【０１３５】
セキュリティポリシーサーバ６Ａからエラー情報を受け取った画像形成装置２Ｚ（文書印刷プログラム）は、エラー対応処理部２４０にて、エラー処理の設定に従ってエラー対応処理を行なう。たとえば、エラー情報記録部２４２によるエラー情報のログ記録（Ｓ１５０，Ｓ１５２）、エラー情報通知保全部２４４によるエラー情報の装置管理者への通知（Ｓ１５４）、電子文書保全部２４６による電子文書の自装置内での保全（Ｓ１５６，Ｓ１５８）、エラー情報通知保全部２４８によるエラー情報の記録サーバ（本例では文書処理履歴管理装置６）への通知および記録サーバでの保全（Ｓ１６０，Ｓ１６２）、電子文書送信保全部２５０による電子文書の記録サーバ（本例では文書処理履歴管理装置６）への送信および記録サーバでの保全（Ｓ１６４，Ｓ１６６）、操作ロック部２５４による以後の画像形成装置２Ｚの全操作のロック（Ｓ１７０−ＹＥＳ，Ｓ１７２）、エラー情報印刷部２５２によるエラー情報の印刷出力（Ｓ１７４−ＹＥＳ，Ｓ１７６）などが、エラー処理設定に従って、何れか１つあるいは任意に複数組み合わせられて実行される。
【０１３６】
そして、エラー対応処理部２４０におけるエラー対応処理が完了すると、画像形成装置２Ｚ（文書印刷プログラム）は、印刷処理を中止するとともにエラー警報部２３６にてエラー警告をユーザに通知する（Ｓ１８０，Ｓ１８２）。
【０１３７】
＜エラーの問題：第２実施形態＞
図８は、エラー対応処理部２４０においてエラー対応処理を行なう契機となる「何らかの問題」の第２実施形態とエラー対応処理を説明するフローチャートである。処理ステップ番号を２００番で示し、第１実施形態と同じ処理ステップの１０番台と１番台には、第１実施形態と同じ１０番台と１番台の番号を付して示す。以下、第１実施形態との相違点について説明する。
【０１３８】
第２実施形態における「何らかの問題」が起きるケースは、セキュリティポリシーサーバ６Ａには電子文書は登録されているが、個人情報が認証サーバ７に登録されていない場合や後発的にセキュリティポリシーサーバ６Ａ上でそのユーザに対する印刷のアクセス権が剥奪された場合など、その電子文書に対するアクセス（本例では印刷操作）を許可するためのユーザ確認がとれない場合である。この場合、ユーザ確認がとれないので、画像形成装置２Ｚは印刷処理を中止しエラー警報部２３６にてエラー警告をユーザに通知するとともに、エラー対応処理部２４０にて所定のエラー対応処理を行なう。
【０１３９】
セキュリティポリシーサーバ６Ａは、画像形成装置２Ｚ（文書印刷プログラム）から送られたユーザＩＤおよびユーザパスワード並びに出力を指示された印刷文書BF_3に基づき個人認証やその時点のセキュリティポリシーの状況を確認する。本例の場合、電子文書ＩＤは登録されているが、そのユーザの認証情報の登録がない（そのユーザはユーザＤＢに存在しない）か、そのユーザに関するその電子文書へのアクセス権（本例では特に印刷に関するもの）が設定されていないとの認証結果が得られ（Ｓ２３２）、セキュリティポリシーサーバ６Ａは、画像形成装置２Ｚ（文書印刷プログラム）に、その問題状況を示すエラー情報を返す（Ｓ２３８）。
【０１４０】
セキュリティポリシーサーバ６Ａからエラー情報を受け取った画像形成装置２Ｚ（文書印刷プログラム）は、エラー対応処理部２４０にて、第１実施形態と同様にして、エラー処理の設定に従ってエラー対応処理を行なう。
【０１４１】
＜エラーの問題：第３実施形態＞
図９は、エラー対応処理部２４０においてエラー対応処理を行なう契機となる「何らかの問題」の第３実施形態とエラー対応処理を説明するフローチャートである。処理ステップ番号を３００番で示し、第１実施形態と同じ処理ステップの１０番台と１番台には、第１実施形態と同じ１０番台と１番台の番号を付して示す。以下、第１実施形態との相違点について説明する。
【０１４２】
第３実施形態における「何らかの問題」が起きるケースは、セキュリティポリシーサーバ６Ａには電子文書が登録されているし、個人情報が認証サーバ７に登録されているが、セキュリティポリシーとして印刷禁止が設定されているユーザが印刷しようとした場合である。この場合、そのユーザに対しては印刷を許可できないので、画像形成装置２Ｚは印刷処理を中止しエラー警報部２３６にてエラー警告をユーザに通知するとともに、エラー対応処理部２４０にて所定のエラー対応処理を行なう。
【０１４３】
セキュリティポリシーサーバ６Ａは、画像形成装置２Ｚ（文書印刷プログラム）から送られたユーザＩＤおよびユーザパスワード並びに出力を指示された印刷文書BF_3に基づき個人認証やその時点のセキュリティポリシーの状況を確認する。本例の場合、電子文書ＩＤや個人認証情報（ユーザＩＤおよびユーザパスワード）は登録されているが、そのユーザに対してはその電子文書の印刷禁止のセキュリティポリシーが設定されているとの認証結果が得られ（Ｓ３３４）、セキュリティポリシーサーバ６Ａは、画像形成装置２Ｚ（文書印刷プログラム）に、その問題状況を示すエラー情報を返す（Ｓ３３８）。
【０１４４】
セキュリティポリシーサーバ６Ａからエラー情報を受け取った画像形成装置２Ｚ（文書印刷プログラム）は、エラー対応処理部２４０にて、第１実施形態と同様にして、エラー処理の設定に従ってエラー対応処理を行なう。
【０１４５】
＜エラー発生時に通知・記録される情報の一例＞
図１０は、エラー発生時に通知または記録される情報（エラー情報やエラー発生時の電子文書）を説明する図表である。図示のように、「通知・記録される情報」の内、エラー発生時の電子文書を除いたものがエラー情報であり、「通知・記録される情報」の内容は、そのジョブのユーザ、クライアント端末を一意に特性する情報など、エラー調査に有効な情報とする。「通知・記録される情報」は、エラー情報記録部２４２によるエラーログ保全（Ｓ＠５０，Ｓ＠５２：＠は１，２，３の何れか：以下同様）、エラー情報通知保全部２４４による装置管理者への通知（Ｓ＠５４）、エラー情報通知保全部２４８や電子文書送信保全部２５０による記録サーバへの通知・送信および保全（Ｓ＠６０，Ｓ＠６２，Ｓ＠６４，Ｓ＠６６）、エラー情報印刷部２５２によるエラー情報の印刷（Ｓ＠７４，Ｓ＠７６）などに用いられる。
【０１４６】
エラー情報としては、図示のように、たとえば、画像形成装置２Ｚを一意に特定する情報（たとえば装置名や型番など）、電子文書ＩＤ、ジョブの受付時刻、ジョブの実行時刻、出力指示ファイルBF_2の印刷指示情報（給排紙トレイ、両面、後処理など）、ユーザＩＤ、ユーザパスワード、セキュリティポリシーサーバ６Ａでの認証結果、セキュリティポリシーサーバ６Ａから得られたアクセス権、セキュリティポリシーサーバ６Ａからのエラー情報そのもの、エラー発生時の画像形成装置２Ｚの動作設定、撮像部２８（エラー画像取得部２５８）で得られるエラー発生時のユーザの静止画像または動画、装置管理者を一意に特定する情報（たとえば氏名や所属など）、記録サーバ（本例では文書処理履歴管理装置６）を一意に特定する情報（たとえばＩＰアドレスやＭＡＣアドレスなど）、セキュリティポリシーサーバ６Ａを一意に特定する情報（たとえばＩＰアドレスやＭＡＣアドレスなど）が該当する。
【０１４７】
＜エラー発生時の動作設定の一例＞
図１１〜図１１Ｂは、エラー発生時にエラー対応処理部２４０が行なうエラー対応処理動作を決定する手法を説明するフローチャートである。
【０１４８】
図１１に示す第１の手法は、エラー対応処理動作の何れを実行するか（エラー発生時の動作ポリシー）を画像形成装置２Ｚ自体に登録しておく例である。具体的には、セキュリティポリシーサーバ６Ａからエラー情報が送られると（Ｓ４００）、このエラー情報を受け取った画像形成装置２Ｚ（文書印刷プログラム）は、エラーが発生したと認識する（Ｓ４０２）。そして、画像形成装置２Ｚ（文書印刷プログラム）は、予め自装置に登録しておいたエラー対応処理の動作設定を読み出して（Ｓ４０４）、読み出したエラー対応処理の設定を参照して、動作ポリシーに従ったエラー対応処理を実行する（Ｓ４０６）。
【０１４９】
図１１Ａに示す第２の手法は、エラー対応処理動作の何れを実行するかをセキュリティポリシーサーバ６Ａに登録しておき、エラー発生時に動作ポリシーを画像形成装置２Ｚ（文書印刷プログラム）に送信する例である。具体的には、セキュリティポリシーサーバ６Ａはエラー情報を画像形成装置２Ｚ（文書印刷プログラム）に送る際に、予め自装置に登録しておいたエラー対応処理の動作設定を読み出して、読み出した動作ポリシーも画像形成装置２Ｚ（文書印刷プログラム）に通知する（Ｓ４１０）。エラー情報を受け取った画像形成装置２Ｚ（文書印刷プログラム）は、エラーが発生したと認識し（Ｓ４１２）、さらに受け取ったエラー対応処理の設定を参照して、動作ポリシーに従ったエラー対応処理を実行する（Ｓ４１６）。
【０１５０】
図１１Ｂに示す第３の手法は、エラー対応処理動作の何れを実行するかをセキュリティポリシーサーバ６Ａに登録しておき、エラー発生時にその登録されている動作ポリシーを画像形成装置２Ｚ（文書印刷プログラム）が起動時に確認する例である。具体的には、画像形成装置２Ｚ（文書印刷プログラム）は、メイン電源が投入された装置起動時にセキュリティポリシーサーバ６Ａに対してエラー対応処理の設定確認を要求する（Ｓ４２０）。この設定確認要求を受け付けたセキュリティポリシーサーバ６Ａは、予め自装置に登録しておいたエラー対応処理の動作設定を読み出して、読み出した動作ポリシーを画像形成装置２Ｚ（文書印刷プログラム）に通知する（Ｓ４２２）。動作ポリシーをセキュリティポリシーサーバ６Ａから受け取った画像形成装置２Ｚ（文書印刷プログラム）は、その動作ポリシーを所定の記憶装置に、画像形成装置２Ｚの電源（メイン電源など）が切断されるまで有効となるように保存しておく（Ｓ４２４）。
【０１５１】
セキュリティポリシーサーバ６Ａからエラー情報が送られると（Ｓ４３０）、このエラー情報を受け取った画像形成装置２Ｚ（文書印刷プログラム）は、エラーが発生したと認識する（Ｓ４３２）。そして、画像形成装置２Ｚ（文書印刷プログラム）は、セキュリティポリシーサーバ６Ａから受け取り所定の記憶装置に保存しておいたエラー対応処理の動作設定を読み出して、読み出したエラー対応処理の設定を参照して、動作ポリシーに従ったエラー対応処理を実行する（Ｓ４３６）。
【０１５２】
＜各種装置：計算機構成＞
図１２は、画像形成装置２Ｚ、配布者端末４Ａ、処理指示端末４Ｂ、文書処理履歴管理装置６、セキュリティポリシーサーバ６Ａ、認証サーバ７などの各種装置の他の構成例を示すブロック図である。ここでは、パーソナルコンピュータなどの電子計算機を利用して、電子文書保護処理（本実施形態では特にエラー対応処理に関連した各種処理）をソフトウェアを実行するマイクロプロセッサなどから構築されるより現実的なハードウェア構成を示している。
【０１５３】
すなわち、本実施形態において、電子文書に関するセキュリティポリシーに基づき装置操作可否を制御するセキュリティポリシー管理機能の仕組みは、ハードウェア処理回路により構成することに限らず、その機能を実現するプログラムコードに基づき電子計算機（コンピュータ）を用いてソフトウェア的に実現される。よって、本発明に係る仕組みを、電子計算機（コンピュータ）を用いてソフトウェアで実現するために好適なプログラムあるいはこのプログラムを格納したコンピュータ読取可能な記憶媒体が発明として抽出される。ソフトウェアにより実行させる仕組みとすることで、ハードウェアの変更を伴うことなく処理手順などが容易に変更されることとなる。
【０１５４】
電子文書に関するセキュリティポリシーに基づき装置操作の許可／不許可（装置操作可否と称する）を制御する一連の処理はハードウェアまたはソフトウェアの単独に限らずその両者の複合構成によっても実現され得る。ソフトウェアによる処理を実行する場合、処理手順を示したプログラムを、ハードウェアに組み込まれたコンピュータ内の記憶媒体に組み込んで（インストールして）実行させたり、各種処理が実行可能な汎用の電子計算機にプログラムを組み込んで実行させたりする。
【０１５５】
セキュリティポリシー管理機能をコンピュータに実行させるプログラムは、ＣＤ−ＲＯＭなどの記録媒体を通じて配布される。あるいは、このプログラムは、ＣＤ−ＲＯＭではなくＦＤに格納されてもよい。また、ＭＯドライブを設け、ＭＯに前記プログラムを格納してもよく、またフラッシュメモリなどの不揮発性の半導体メモリカードなど、その他の記録媒体にプログラムを格納してもよい。さらに、ソフトウェアを構成するプログラムは、記録媒体を介して提供されることに限らず、有線あるいは無線などの通信網を介して提供されてもよい。たとえば、他のサーバなどからインターネットなどのネットワークを経由してプログラムをダウンロードして取得したり、あるいは更新したりしてもよい。さらに、セキュリティポリシー管理処理を行なう機能を実現するプログラムコードを記述したファイルとしてプログラムが提供されるが、この場合、一括のプログラムファイルとして提供されることに限らず、コンピュータで構成されるシステムのハードウェア構成に応じて、個別のプログラムモジュールとして提供されてもよい。
【０１５６】
たとえば、コンピュータシステム９００は、コントローラ部９０１と、ハードディスク装置、フレキシブルディスク（ＦＤ）ドライブ、あるいはＣＤ−ＲＯＭ（Compact Disk ROM）ドライブ、半導体メモリコントローラなどの、所定の記憶媒体からデータを読み出したり記録したりするための記録・読取制御部９０２とを有する。また、コンピュータシステム９００は、ユーザインタフェースをなす機能部としての指示入力部９０３と、操作時のガイダンス画面や処理結果などの所定の情報をユーザに提示する表示出力部９０４と、各機能部との間のインタフェース機能をなすインタフェース部（ＩＦ部）９０９とを有する。
【０１５７】
コントローラ部９０１は、ＣＰＵ（Central Processing Unit ）９１２、読出専用の記憶部であるＲＯＭ（Read Only Memory）９１３、随時書込みおよび読出しが可能であるとともに揮発性の記憶部の一例であるＲＡＭ（Random Access Memory）９１５、および不揮発性の記憶部の一例であるＲＡＭ（ＮＶＲＡＭと記述する）９１６を有している。
【０１５８】
記録媒体は、コンピュータのハードウェア資源に備えられている読取装置に対し、プログラムの記述内容に応じて、磁気、光、電気などのエネルギの状態変化を引き起こして、それに対応する信号の形式で、読取装置にプログラムの記述内容を伝達するものである。
【０１５９】
“揮発性の記憶部”とは、装置の電源がオフされた場合には、記憶内容を消滅してしまう形態の記憶部を意味する。一方、“不揮発性の記憶部”とは、装置のメイン電源がオフされた場合でも、記憶内容を保持し続ける形態の記憶部を意味する。記憶内容を保持し続けるものであればよく、半導体製のメモリ素子自体が不揮発性を有するものに限らず、バックアップ電源を備えることで、揮発性のメモリ素子を”不揮発性”を呈するように構成するものであってもよい。
【０１６０】
“不揮発性の記憶部”は、半導体製のメモリ素子により構成することに限らず、磁気ディスクや光ディスクなどの媒体を利用して構成してもよい。たとえば、ハードディスク装置も不揮発性の記憶部として利用され得る。また、ＣＤ−ＲＯＭなどの記録媒体から情報を読み出す構成を採ることでも不揮発性の記憶部として利用され得る。
【０１６１】
指示入力部９０３としては、たとえば、ユーザインタフェース部９８５の操作キー部９８５ｂを利用してもよい。あるいは、キーボードやマウスなどを利用してもよい。表示出力部９０４は、表示制御部９１９と表示装置とを備える。表示装置としては、たとえば、ユーザインタフェース部９８５の操作パネル部９８５ａを利用してもよい。あるいは、ＣＲＴ（Cathode Ray Tube；陰極線管）やＬＣＤ（Liquid Crystal Display；液晶）などでなるその他のディスプレイ部を利用してもよい。
【０１６２】
セキュリティポリシー管理機能やいわゆるイメージログ機能を実現する画像形成装置２Ｚを構成する場合、文書を読み取る画像読取部９０５や、出力用の画像データに基づき所定の出力媒体に文書の画像を形成する画像形成部２１６に対応する画像形成部９０６を設ける。
【０１６３】
インタフェース部９０９としては、処理データ（画像データを含む）や制御データの転送経路であるシステムバス９９１の他、たとえば、画像形成部９０６や他のプリンタとのインタフェース機能をなすプリンタＩＦ部９９６、およびネットワークとの間の通信データの受け渡しを仲介する通信ＩＦ部９９９を有している。
【０１６４】
このような構成において、ＣＰＵ９１２は、システムバス９９１を介してシステム全体の制御を行なう。ＲＯＭ９１３は、ＣＰＵ９１２の制御プログラムなどを格納する。ＲＡＭ９１５は、ＳＲＡＭ（Static Random Access Memory ）などで構成され、プログラム制御変数や各種処理のためのデータなどを格納する。また、ＲＡＭ９１５は、所定のアプリケーションプログラムに従って演算して得たデータや外部から取得したデータなどを一時的に格納する領域を含んでいる。記録・読取制御部９０２により制御されるハードディスク装置は、制御プログラムによる各種処理のためのデータを格納したり、自装置で取得したデータや外部から取得したデータなどを大量に一時的に格納したりする領域を含む。
【０１６５】
このような構成により、操作キー部９８５ｂを介した操作者による指令にて、電子文書に関するセキュリティポリシーに基づき装置操作可否を制御するセキュリティポリシー管理処理方法を実行するプログラムが記憶されているＣＤ−ＲＯＭなどの読取可能な記録媒体からＲＡＭ９１５にセキュリティポリシー管理処理プログラムがインストールされ、また操作キー部９８５ｂを介した操作者による指令や自動処理にてセキュリティポリシー管理処理プログラムが起動される。ＣＰＵ９１２は、このセキュリティポリシー管理処理プログラムに従ってセキュリティポリシー管理処理方法に伴う計算処理や判定処理や制御処理などを施し、処理結果をＲＡＭ９１５やハードディスクなどの記憶装置に格納し、操作パネル部９８５ａ、あるいはＣＲＴやＬＣＤなどの表示装置に出力する。
【０１６６】
なお、このようなコンピュータを用いた構成に限らず、機能ブロックを用いて示した各装置の構成図における各機能部の処理をなす専用のハードウェアの組合せにより、セキュリティポリシー管理処理を行なうセキュリティポリシー管理処理システムや画像形成装置２Ｚや配布者端末４Ａや処理指示端末４Ｂやセキュリティポリシーサーバ６Ａなどを構成してもよい。たとえば、セキュリティポリシー管理処理のための各機能部分の全ての処理をソフトウェアで行なうのではなく、これら機能部分の一部を専用のハードウェアにて行なう処理回路９６０を設けてもよい。もちろん、各機能部の全体をハードウェアで構成することに限らず、各機能部を構成する各機能部の一部をハードウェアで構成してもよい。
【０１６７】
ソフトウェアで行なう仕組みは、並列処理や連続処理に柔軟に対処し得るものの、その処理が複雑になるに連れ、処理時間が長くなるため、処理速度の低下が問題となる。これに対して、ハードウェア処理回路で構築すると、処理が複雑であっても、処理速度の低下が防止され、高いスループットを得る高速化を図ったアクセラレータシステムが構築される。
【０１６８】
以上、本発明について実施形態を用いて説明したが、本発明の技術的範囲は前記実施形態に記載の範囲には限定されない。発明の要旨を逸脱しない範囲で前記実施形態に多様な変更または改良を加えることができ、そのような変更または改良を加えた形態も本発明の技術的範囲に含まれる。
【０１６９】
また、前記の実施形態は、クレーム（請求項）にかかる発明を限定するものではなく、また実施形態の中で説明されている特徴の組合せの全てが発明の解決手段に必須であるとは限らない。前述した実施形態には種々の段階の発明が含まれており、開示される複数の構成要件における適宜の組合せにより種々の発明を抽出できる。実施形態に示される全構成要件から幾つかの構成要件が削除されても、効果が得られる限りにおいて、この幾つかの構成要件が削除された構成が発明として抽出され得る。
【０１７０】
たとえば、前述の実施形態では、電子機器の一例である画像形成装置に対してセキュリティポリシー管理処理システムを適用した事例で具体的に説明したが、対象となる電子機器は、画像形成装置に限らず、電子機器で扱う電子情報がアクセス権を管理されているものである限り、たとえば携帯電話や携帯音楽プレーヤなど、あらゆるものに適用できる。この場合、前述の実施形態における電子文書はサーバからダウンロードしたコンテンツなどの電子情報と置き換え、画像形成や印刷処理は情報処理と置き換え、印刷要件は操作要件と置き換えて考えればよい。
【図面の簡単な説明】
【０１７１】
【図１】本発明の一実施形態を適用した画像形成システムを一部に備える文書処理履歴管理システムの一構成例を示す図である。
【図２】セキュリティポリシーに従った画像形成処理の手順の概要を説明する図である。
【図３】配布者端末における、電子文書にアクセス権を設定する処理に関わる部分の構成例を説明する図である。
【図４】アクセス管理サーバにおける、セキュリティポリシーサーバおよび認証サーバに関わる部分の構成例を説明する図である。
【図５】セキュリティポリシー管理機能を備える第１構成例の画像形成装置を説明する図である。
【図６】セキュリティポリシーサーバを備えるシステム構成の場合の第２構成例の画像形成装置を説明する全体概要図である。
【図６Ａ】セキュリティポリシーサーバを備えるシステム構成の場合の第２構成例の画像形成装置の印刷処理部を説明する詳細図である。
【図７】エラー対応処理部においてエラー対応処理を行なう契機となる「何らかの問題」の第１実施形態とエラー対応処理を説明するフローチャートである。
【図８】エラー対応処理部においてエラー対応処理を行なう契機となる「何らかの問題」の第２実施形態とエラー対応処理を説明するフローチャートである。
【図９】エラー対応処理部においてエラー対応処理を行なう契機となる「何らかの問題」の第２実施形態とエラー対応処理を説明するフローチャートである。
【図１０】エラー発生時に通知または記録される情報（エラー情報やエラー発生時の電子文書）を説明する図表である。
【図１１】エラー発生時にエラー対応処理部が行なうエラー対応処理動作を決定する第１の手法を説明するフローチャートである。
【図１１Ａ】エラー発生時にエラー対応処理部が行なうエラー対応処理動作を決定する第２の手法を説明するフローチャートである。
【図１１Ｂ】エラー発生時にエラー対応処理部が行なうエラー対応処理動作を決定する第３の手法を説明するフローチャートである。
【図１２】画像形成装置、配布者端末、処理指示端末、文書処理履歴管理装置、セキュリティポリシーサーバ、認証サーバなどの各種装置を、電子計算機を用いて構成する場合のハードウェア構成の一例を示した図である。
【符号の説明】
【０１７２】
１…文書処理履歴管理システム、２…イメージング機器、２Ｚ…画像形成装置、４…クライアント装置、４Ａ…配布者端末、４Ｂ…処理指示端末、６…文書処理履歴管理装置、６Ａ…セキュリティポリシーサーバ、７…認証サーバ、８…アクセス管理サーバ、９…ネットワーク、２２…画像処理制御部、２４…データ保持部、２８…撮像部、６２…セキュリティ制御部、６４…データ保持部、２１０…セキュリティポリシー管理部、２１２…ユーザ属性取得部、２１４…文書属性取得部、２１６…画像形成部、２２０…印刷要件適用制御部、２２２…アクセス権確認・復号鍵取得部、２２４…印刷要件取得部、２２５…暗号化部、２２６…復号部、２２８…印刷処理部、２３０…要件処理制御部、２３２…文書加工部、２３４…プリンタドライバ部、２３６…エラー警報部、２３８…ログ記録部、２４０…エラー対応処理部、２４２…エラー情報記録部、２４４…エラー情報通知部、２４６…電子文書保全部、２４８…エラー情報通知保全部、２５０…電子文書送信保全部、２５２…エラー情報印刷部、２５４…操作ロック部、２５８…エラー画像取得部、２６０…プリントエンジン部、４１０…暗号鍵取得部、４１２…暗号化部、４１４…保護設定部、４１６…セキュリティポリシー登録部、６１０…セキュリティポリシーＤＢ登録部、６１２…アクセス権限確認部、６１４…印刷要件取得送付部、７１０…ユーザ認証部
【図１】
2009199390.tif 000003
【図２】
2009199390.tif 000004
【図３】
2009199390.tif 000005
【図４】
2009199390.tif 000006
【図５】
2009199390.tif 000007
【図６】
2009199390.tif 000008
【図６Ａ】
2009199390.tif 000009
【図７】
2009199390.tif 000010
【図８】
2009199390.tif 000011
【図９】
2009199390.tif 000012
【図１０】
2009199390.tif 000013
【図１１】
2009199390.tif 000014
【図１１Ａ】
2009199390.tif 000015
【図１１Ｂ】
2009199390.tif 000016
【図１２】
2009199390.tif 000017