(57)【要約】      （修正有）【課題】予期せぬネットワークダウンなどの事態の中で、ネットワークに接続された装置内の情報に対して適切にアクセスし利用できるネットワーク装置の制御方法及びそのシステムと、該システムを構成するネットワーク装置を提供する。【解決手段】  複数のネットワーク装置が接続されたネットワークシステムにおいて、ネットワークシステムからの機密保持サービスなしに前記データを保持したネットワーク装置がデータの操作を独自に制限するための情報を、ネットワークシステムの正常な稼働時に作成し、ネットワークシステムからの機密保持サービスが停止した場合に、データの操作を独自に制限するための情報に従って、データの操作を制限する。データの操作を独自に制限するための情報は、記憶されたルールに従って、データの操作の可否を問い合わせ、問い合わせに対する応答に基づいて、作成する。【選択図】図６Ｂ
2009048329.tif 000002
【特許請求の範囲】
【請求項１】
複数のネットワーク装置が接続されたネットワークシステムにおいて、該ネットワークシステムに保持されたデータの操作を制御する制御方法であって、
前記ネットワークシステムからの機密保持サービスなしに前記データを保持したネットワーク装置が前記データの操作を独自に制限するための情報を、前記ネットワークシステムの正常な稼働時に作成する作成工程と、
前記ネットワークシステムからの機密保持サービスが停止した場合に、前記データの操作を独自に制限するための情報に従って、前記データの操作を制限する制限工程とを有することを特徴とする制御方法。
【請求項２】
複数のネットワーク装置が接続されたネットワークシステムであって、
機密性を有するデータを保持するネットワーク装置の保持手段と、
前記ネットワークシステムからの機密保持サービスなしに前記ネットワーク装置が前記保持されたデータの操作を独自に制限するための情報を、前記ネットワークシステムの正常な稼働時に作成する作成手段と、
前記ネットワークシステムからの機密保持サービスが停止した場合に、前記ネットワーク装置が、前記データの操作を独自に制限するための情報に従って、前記データの操作を制限する制限手段とを有することを特徴とするネットワークシステム。
【請求項３】
前記機密保持サービスとして前記データの操作の可否を提供する提供手段を更に有し、
前記作成手段は、
前記データの操作を独自に制限するための情報を作成するためのルールを記憶する記憶手段と、
前記記憶されたルールに従って、前記提供手段に前記データの操作の可否を問い合わせる問合手段とを有し、
前記提供手段からの問い合わせに対する応答に基づいて、前記データの操作を独自に制限するための情報を作成することを特徴とする請求項２に記載のネットワークシステム。
【請求項４】
前記記憶手段は、前記提供手段に前記データの操作の可否を問い合わせる操作を選択するルールを記憶し、
前記問合手段は、前記問い合わせる操作を選択するルールに従って選択された操作について、前記提供手段に前記データの操作の可否を問い合わせることを特徴とする請求項３に記載のネットワークシステム。
【請求項５】
前記記憶手段は、前記データの操作を前記ネットワーク装置が独自に制限するルールを更に記憶し、
前記作成手段は、前記提供手段からの問い合わせに対する応答と前記ネットワーク装置が独自に制限するルールとに基づいて、前記データの操作を独自に制限するための情報を作成することを特徴とする請求項４に記載のネットワークシステム。
【請求項６】
前記ネットワーク装置が独自に制限するルールは、ユーザにより設定および変更が可能であることを特徴とする請求項５に記載のネットワークシステム。
【請求項７】
前記作成手段は、前記ネットワークシステムに接続される前記複数のネットワーク装置を管理するネットワーク管理装置に含まれることを特徴とする請求項２乃至６のいずれか１項に記載のネットワークシステム。
【請求項８】
前記データは文書データであって、前記操作は、文書の印刷、文書の送信、文書の保存、文書の移動、文書の複製、文書の削除を含むことを特徴とする請求項２乃至６のいずれか１項に記載のネットワークシステム。
【請求項９】
前記制限手段は、前記操作をあらかじめ定められた最初の一定ページまでに限定することを特徴とする請求項８に記載のネットワークシステム。
【請求項１０】
前記制限手段は、前記操作の許可を最初の一回のみに限ることを特徴とする請求項８に記載のネットワークシステム。
【請求項１１】
前記操作は文書の印刷を含み、
前記制限手段は、文書と一緒に地紋を印刷することを特徴とする請求項８に記載のネットワークシステム。
【請求項１２】
前記操作は文書の印刷を含み、
前記制限手段は、文書に電子透かしを追加して印刷することを特徴とする請求項８に記載のネットワークシステム。
【請求項１３】
前記操作は文書の複写を含み、
前記制限手段は、文書に入った電子透かしに従って文書の複写を禁止することを特徴とする請求項１２に記載のネットワークシステム。
【請求項１４】
前記データは画像データを含み、
前記制限手段は、前記画像データの解像度を低いものに変換することを特徴とする請求項８に記載のネットワークシステム。
【請求項１５】
複数のネットワーク装置が接続されたネットワークシステムにおける、前記ネットワークシステムに接続される前記複数のネットワーク装置を管理するネットワーク管理装置であって、
前記ネットワークシステムからの機密保持サービスなしに前記ネットワーク装置が前記保持されたデータの操作を独自に制限するための情報を、前記ネットワークシステムの正常な稼働時に作成する作成手段と、
前記作成されたデータの操作を独自に制限するための情報を、各ネットワーク装置に配布する配布手段とを有することを特徴とするネットワーク管理装置。
【請求項１６】
前記作成手段は、
前記データの操作を独自に制限するための情報を作成するためのルールを記憶する記憶手段と、
前記記憶されたルールに従って、前記機密保持サービスとして前記データの操作の可否を提供する提供手段に前記データの操作の可否を問い合わせる問合手段とを有し、
前記提供手段からの問い合わせに対する応答に基づいて、前記データの操作を独自に制限するための情報を作成することを特徴とする請求項１５に記載のネットワーク管理装置。
【請求項１７】
前記記憶手段は、前記提供手段に前記データの操作の可否を問い合わせる操作を選択するルールを記憶し、
前記問合手段は、前記問い合わせる操作を選択するルールに従って選択された操作について、前記提供手段に前記データの操作の可否を問い合わせることを特徴とする請求項１６に記載のネットワーク管理装置。
【請求項１８】
前記記憶手段は、前記データの操作を前記ネットワーク装置が独自に制限するルールを更に記憶し、
前記作成手段は、前記提供手段からの問い合わせに対する応答と前記ネットワーク装置が独自に制限するルールとに基づいて、前記データの操作を独自に制限するための情報を作成することを特徴とする請求項１７に記載のネットワーク管理装置。
【請求項１９】
前記ネットワーク装置が独自に制限するルールを設定および変更可能な手段を更に有することを特徴とする請求項１８に記載のネットワーク管理装置。
【請求項２０】
複数のネットワーク装置が接続されたネットワークシステムにおいて、前記ネットワークシステムに接続される前記複数のネットワーク装置を管理するネットワーク管理装置の制御方法であって、
前記ネットワークシステムからの機密保持サービスなしに前記ネットワーク装置が前記保持されたデータの操作を独自に制限するための情報を、前記ネットワークシステムの正常な稼働時に作成する作成工程と、
前記作成されたデータの操作を独自に制限するための情報を、各ネットワーク装置に配布する配布工程とを有し、
前記作成工程は、前記データの操作を独自に制限するための情報を作成するためのルールに従って、前記機密保持サービスとして前記データの操作の可否を提供する提供手段に前記データの操作の可否を問い合わせる問合工程を有し、前記提供手段からの問い合わせに対する応答に基づいて、前記データの操作を独自に制限するための情報を作成することを特徴とするネットワーク管理装置の制御方法。
【請求項２１】
請求項２０に記載のネットワーク管理装置の制御方法の工程をコンピュータに実現させるためのプログラム。
【請求項２２】
請求項２１に記載のプログラムを記憶したコンピュータで読み取り可能な記憶媒体。
【請求項２３】
複数のネットワーク装置が接続されたネットワークシステムにおける、ネットワーク装置であって、
機密性を有するデータを保持する保持手段と、
前記ネットワークシステムの正常な稼働時にネットワーク管理装置で作成された、前記ネットワークシステムからの機密保持サービスなしに前記ネットワーク装置が前記保持されたデータの操作を独自に制限するための情報を受信して保持する受信手段と、
前記ネットワークシステムからの機密保持サービスが停止した場合に、前記保持されたデータの操作を独自に制限するための情報に従って、前記データの操作を制限する制限手段とを有することを特徴とするネットワーク装置。
【請求項２４】
前記データは文書データであって、前記操作は、文書の印刷、文書の送信、文書の保存、文書の移動、文書の複製、文書の削除を含むことを特徴とする請求項２３に記載のネットワーク装置。
【請求項２５】
前記制限手段は、前記操作をあらかじめ定められた最初の一定ページまでに限定することを特徴とする請求項２４に記載のネットワーク装置。
【請求項２６】
前記制限手段は、前記操作の許可を最初の一回のみに限ることを特徴とする請求項２４に記載のネットワーク装置。
【請求項２７】
前記操作は文書の印刷を含み、
前記制限手段は、文書と一緒に地紋を印刷することを特徴とする請求項２４に記載のネットワーク装置。
【請求項２８】
前記操作は文書の印刷を含み、
前記制限手段は、文書に電子透かしを追加して印刷することを特徴とする請求項２４に記載のネットワーク装置。
【請求項２９】
前記操作は文書の複写を含み、
前記制限手段は、文書に入った電子透かしに従って文書の複写を禁止することを特徴とする請求項２８に記載のネットワーク装置。
【請求項３０】
前記データは画像データを含み、
前記制限手段は、前記画像データの解像度を低いものに変換することを特徴とする請求項２４に記載のネットワーク装置。
【請求項３１】
前記ネットワーク装置は、印刷、複写、送受信の多機能を有する多機能周辺装置であることを特徴とする請求項２３乃至３０のいずれか１項に記載のネットワーク装置。
【請求項３２】
複数のネットワーク装置が接続されたネットワークシステムにおける、ネットワーク装置の制御方法であって、
機密性を有するデータを保持する保持工程と、
前記ネットワークシステムの正常な稼働時にネットワーク管理装置で作成された、前記ネットワークシステムからの機密保持サービスなしに前記ネットワーク装置が前記保持されたデータの操作を独自に制限するための情報を受信して保持する受信工程と、
前記ネットワークシステムからの機密保持サービスが停止した場合に、前記保持されたデータの操作を独自に制限するための情報に従って、前記データの操作を制限する制限工程とを有することを特徴とするネットワーク装置の制御方法。
【請求項３３】
前記制限工程では、前記操作をあらかじめ定められた最初の一定ページまでに限定することを特徴とする請求項３２に記載のネットワーク装置の制御方法。
【請求項３４】
前記制限工程では、前記操作の許可を最初の一回のみに限ることを特徴とする請求項３３に記載のネットワーク装置の制御方法。
【請求項３５】
請求項３２乃至３４のいずれか１項に記載のネットワーク装置の制御方法の工程をコンピュータに実現させるためのプログラム。
【請求項３６】
請求項３５に記載のプログラムを記憶したコンピュータで読み取り可能な記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク装置の制御方法及びそのシステムと、該システムを構成するネットワーク装置に関する。例えば、ネットワークに接続された多機能印刷装置、それらを管理するネットワーク管理装置、各文書のネットワーク上での操作の諾否を管理するポリシー管理装置、及びそれらを結ぶネットワークから形成されるネットワーク印刷システムに関する。そして、該ネットワーク印刷システムにおける各ネットワーク装置及びその制御方法に関するものである。
【背景技術】
【０００２】
従来のシステムでは、情報処理装置上で文書などの機密性を有する情報を取り扱う場合、以下のような処理が一般的であった。すなわち、個別の機器内で情報の操作に関する権限をユーザあるいはユーザグループごとに管理し、それに基づいて各ユーザがどの情報をどのように操作することができるかを決定する。
【０００３】
しかしながら、情報処理装置を結ぶネットワークの発展に伴い、情報がいったん別の機器に複写や移動などの操作で移されてしまった場合には、元の機器の内部で適用されていた権限に対する制限を適用することが期待できない、という問題が生じた。
【０００４】
この問題に対処するために、ネットワーク上の操作権限いわゆるポリシーを管理するポリシーサーバと呼ばれる管理装置が考案された。このポリシーサーバによれば、各情報に対するポリシーを独立して管理し、ポリシーデータを配布することで、情報がネットワーク内のどこにあっても一律の操作権限を適用できるようになる。すなわち、ポリシーサーバのポリシーが適用された情報は、当該ポリシーサーバからポリシーデータを取得しなければ操作できないようにする。このため、ネットワークのどこにあってもポリシーに従う文書操作しか実行できないように制限を加えることができ、ユーザの文書操作を管理することが可能となった。
【０００５】
しかし、このようにポリシーサーバのポリシーを適用された情報は、ポリシーサーバに問合せできない情報処理装置の上では操作することができなくなるという問題がある。例えば、情報処理装置がネットワークから離脱した場合やネットワークがダウンした場合などに、このような状況が発生する。このような場合、ポリシーサーバに問合せ出来なくなった情報処理装置の上では、利用者にとって非常に望ましくない状態になることが避けられない。すなわち、情報に対する操作が全て許可されたり、まったくセキュリティの存在しない状態になるか、情報に対する操作が全て禁止されるような状態になってしまう。
【０００６】
これに対して、特許文献１及び特許文献２に見られるような処理が提案されている。当該情報処理装置がメンテナンスや作業場所の移行などの理由で意図的にネットワークから離脱することが予期されている場合には、ポリシーサーバに問合せできる状況下で、予めポリシーサーバに対して離脱することを申告しておく。そうすれば、一時的にポリシーサーバに問合せできなくても情報を参照できるようにするということが可能になる。
【０００７】
しかし、特許文献１及び２のような方法では、予期せぬネットワークダウンのように偶発的にポリシーサーバに問合せできなくなる状況に対応できない。このような場合の解決方法として、特許文献３には、当該文書の置かれた情報処理装置において保存されている情報の操作履歴を基にどのユーザにどのような操作を許可しているかを推定し、その推定に基づいて操作を許可する方法が提示されている。
【特許文献１】特開２００３−２２８５２０号公報
【特許文献２】特開２００５−１４１７４６号公報
【特許文献３】特開２００５−２２７８６６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
しかしながら、上述の特許文献３に示される技術によれば、過去に操作の記録の残っていない文書については操作が許可されない。従って、実際には操作が許可されているユーザについても操作を禁止せざるを得ないことがあり得る。また、ユーザが最後に行った操作が履歴に残るため、その操作がかなり以前のものであって、その後その操作が禁止されたとしてもそのことを知ることはできず、結果的に古い誤ったポリシーが適用されてしまうという事態もあり得る。結果として、このような方法では、ネットワーク上の情報のセキュリティを充分に守ることは難しかった。
【０００９】
本発明は、予期せぬネットワークダウンなどの事態の中で、ネットワークに接続された装置内の情報に対して適切にアクセスし利用できるネットワーク装置の制御方法及びそのシステムと、該システムを構成するネットワーク装置を提供する。
【課題を解決するための手段】
【００１０】
上述した課題を解決するために、本発明の制御方法は、複数のネットワーク装置が接続されたネットワークシステムにおいて、該ネットワークシステムに保持されたデータの操作を制御する制御方法であって、前記ネットワークシステムからの機密保持サービスなしに前記データを保持したネットワーク装置が前記データの操作を独自に制限するための情報を、前記ネットワークシステムの正常な稼働時に作成する作成工程と、前記ネットワークシステムからの機密保持サービスが停止した場合に、前記データの操作を独自に制限するための情報に従って、前記データの操作を制限する制限工程とを有することを特徴とする。
【００１１】
また、本発明のネットワークシステムは、複数のネットワーク装置が接続されたネットワークシステムであって、機密性を有するデータを保持するネットワーク装置の保持手段と、前記ネットワークシステムからの機密保持サービスなしに前記ネットワーク装置が前記保持されたデータの操作を独自に制限するための情報を、前記ネットワークシステムの正常な稼働時に作成する作成手段と、前記ネットワークシステムからの機密保持サービスが停止した場合に、前記ネットワーク装置が、前記データの操作を独自に制限するための情報に従って、前記データの操作を制限する制限手段とを有することを特徴とする。
【００１２】
また、本発明のネットワーク管理装置は、複数のネットワーク装置が接続されたネットワークシステムにおける、前記ネットワークシステムに接続される前記複数のネットワーク装置を管理するネットワーク管理装置であって、前記ネットワークシステムからの機密保持サービスなしに前記ネットワーク装置が前記保持されたデータの操作を独自に制限するための情報を、前記ネットワークシステムの正常な稼働時に作成する作成手段と、前記作成されたデータの操作を独自に制限するための情報を、各ネットワーク装置に配布する配布手段とを有することを特徴とする。
【００１３】
また、本発明のネットワーク管理装置の制御方法は、複数のネットワーク装置が接続されたネットワークシステムにおいて、前記ネットワークシステムに接続される前記複数のネットワーク装置を管理するネットワーク管理装置の制御方法であって、前記ネットワークシステムからの機密保持サービスなしに前記ネットワーク装置が前記保持されたデータの操作を独自に制限するための情報を、前記ネットワークシステムの正常な稼働時に作成する作成工程と、前記作成されたデータの操作を独自に制限するための情報を、各ネットワーク装置に配布する配布工程とを有し、前記作成工程は、前記データの操作を独自に制限するための情報を作成するためのルールに従って、前記機密保持サービスとして前記データの操作の可否を提供する提供手段に前記データの操作の可否を問い合わせる問合工程を有し、前記提供手段からの問い合わせに対する応答に基づいて、前記データの操作を独自に制限するための情報を作成することを特徴とする。
【００１４】
また、本発明のネットワーク装置は、複数のネットワーク装置が接続されたネットワークシステムにおける、ネットワーク装置であって、機密性を有するデータを保持する保持手段と、前記ネットワークシステムの正常な稼働時にネットワーク管理装置で作成された、前記ネットワークシステムからの機密保持サービスなしに前記ネットワーク装置が前記保持されたデータの操作を独自に制限するための情報を受信して保持する受信手段と、前記ネットワークシステムからの機密保持サービスが停止した場合に、前記保持されたデータの操作を独自に制限するための情報に従って、前記データの操作を制限する制限手段とを有することを特徴とする。
【００１５】
また、本発明のネットワーク装置の制御方法は、複数のネットワーク装置が接続されたネットワークシステムにおける、ネットワーク装置の制御方法であって  機密性を有するデータを保持する保持工程と、前記ネットワークシステムの正常な稼働時にネットワーク管理装置で作成された、前記ネットワークシステムからの機密保持サービスなしに前記ネットワーク装置が前記保持されたデータの操作を独自に制限するための情報を受信して保持する受信工程と、前記ネットワークシステムからの機密保持サービスが停止した場合に、前記保持されたデータの操作を独自に制限するための情報に従って、前記データの操作を制限する制限工程とを有することを特徴とする。
【発明の効果】
【００１６】
本発明により、予期せぬネットワークダウンなどの事態の中で、ネットワークに接続された装置内の情報に対して適切にアクセスし利用できるネットワーク装置の制御方法及びそのシステムと、該システムを構成するネットワーク装置を提供できる。
【００１７】
例えば、上記構成を取ることによって、ネットワーク印刷システムにおいて、ネットワーク印刷装置は、ネットワーク及びポリシーサーバが稼動している間は、ポリシーサーバを参照して文書の操作の諾否を判定する。一方、ネットワーク又はポリシーサーバがダウンしている場合には、自装置に保持されている、ポリシーデータの必要部分のみのを参照して文書の操作の諾否を判定することが出来る。この際、保持されているポリシーデータは、充分最近のネットワーク管理装置によって生成されたものであることが期待できる。このため、現在はもう許可されないようになった操作が許可されたりする確率を非常に低く抑えることができる。又、過去に行われたことのない操作に関してもポリシーが設定されているため、不必要に許可されるべき操作が禁止される確率も非常に低く抑えることができる。この結果、予期せぬネットワークダウンなどの事態の中でも、印刷装置内の文書に対して適切にアクセスし利用することが可能となり、ユーザにとっての利用価値を格段に向上させることが可能である。
【発明を実施するための最良の形態】
【００１８】
以下、本発明の実施形態を添付図面を参照しながら詳細に説明する。なお。以下の説明では、多機能周辺装置（ＭＦＰ：Multi-Fanction Peripheral）として多機能印刷装置がネットワークに接続されたネットワーク印刷システムを例に説明するが、かかるネットワークシステムに限定されない。本発明は、ネットワークの障害やネットワークからの離脱があっても、ネットワーク装置が独自に情報の機密性が保持されると共に、情報処理の許可が維持される構成を開示するものである。この構成が実現可能な全てのネットワークシステムに適用でき、これらも本発明に含まれる。
【００１９】
＜本実施形態のネットワーク印刷システムの構成例＞
図１は、本実施形態のネットワーク印刷システムの簡単な構成例を示す図である。
【００２０】
１０１及び１０２は、印刷、複写、送受信の多機能を複合したＭＦＰである。１０３は、機密保持サービスとしてシステムが保持する文書についてのポリシーを管理するポリシーサーバである。１０５は、利用者（ユーザ）である。１０６は、利用者が印刷ジョブなどを作成し投入するのに使用する情報機器である。１０７は、ネットワークに接続された情報機器の管理サービスを提供するネットワーク機器管理サーバである。１０４は、これらの情報機器を接続するネットワークである。
【００２１】
＜本実施形態のＭＦＰの構成例＞
図２Ａは、本実施形態のＭＦＰ１０１及び１０２の内部構成例を説明する簡単な構成図である。図２Ａには、本実施形態の処理に関連するＭＦＰコントローラの内部構成は図示するが、ＭＦＰエンジンについては関連が小さいので内部構成は省略する。
【００２２】
２０１は、ＭＦＰ１０１または１０２を遷御するＭＦＰコントローラである。２０２は、ＭＦＰコントローラ２０１の制御に従って多機能を実現するＭＦＰエンジンである。
【００２３】
ＭＦＰコントローラ２０１は、以下の構成要素を含む。
【００２４】
２０４は、ＭＦＰコントローラ２０１の制御を司る演算制御用の中央処理装置（ＣＰＵ）である。２０５は、ＣＰＵ２０４とＭＦＰコントローラ２０１のそのほかの構成要素を接続するバスである。２０６は、ＣＰＵ２０４が実行するブートプログラムや固定のパラメータを格納する読み出し専用メモリ（ＲＯＭ）である。２０７は、ＣＰＵ２０４がプログラムを実行中にデータを一時記憶する読み書き可能メモリ（ＲＡＭ）である。２０８は、ディスクやＣＤ、メモリカードなどの二次記憶装置２０９をバスと接続するための二次記憶インタフェース（Ｉ／Ｆ）である。なお、ＯＳやアプリケーションのプログラムは、二次記憶２０９の格納されており、ＲＡＭ２０７に読み出されてＣＰＵ２０４に実行される。
【００２５】
２１０は、一般に液晶表示器とタッチパネルとから成る操作パネル２１１をバスと接続するための操作パネルＩ／Ｆである。２１２は、ＭＦＰコントローラ２０１とＭＦＰエンジン２０２を接続するために、バス２０５とＭＦＰエンジン２０２を接続するＭＦＰエンジンＩ／Ｆである。２１３は、ＭＦＰコントローラ２０１とネットワーク１０４を接続するために、バス２０５とネットワーク１０４を接続するネットワークＩ／Ｆである。
【００２６】
（ＭＦＰの記憶情報の構成例）
図２Ｂは、本実施形態で二次記憶２０９の保持される情報の構成例を示す図である。図２Ｂには、本実施形態に特有な情報のみが示されている。
【００２７】
２０９ａは、ＭＦＰに対して指示された操作を記憶するジョブテーブルである。ジョブテーブル２０９ａには、ジョブ番号２０９ａ−１に対応して、文書ＩＤ２０９ａ−２、ユーザＩＤ２０９ａ−３、印刷／複写／送信などの処理種別２０９ａ−４、印刷種別に対応する各種パラメータ２０９ａ−５などが記憶される。
【００２８】
２０９ｂは、入力され保持されている文書情報を登録する文書テーブルである。文書テーブル２０９ｂは、文書ＩＤ２０９ｂ−１に対応して、文書名２０９ｂ−２、ベージ数などのパラメータ２０９ｂ−３、文書データへのポインタ２０９ｂ−４などが記憶される。
【００２９】
２０９ｃは、ＭＦＰを操作可能なユーザを登録するユーザテーブルである。ユーザテーブルは、ユーザＩＤ２０９ｃ−１に対応して、パスワード２０９ｃ−２、ユーザ名２０９ｃ−３、電話番号やアドレスなどのパラメータ２０９ｃ−４などが記憶される。
【００３０】
２０９ｄは、ネットワークから切断された時に、オペレーションの可否の判定に使用される部分ポリシーマトリックスである。部分ポリシーマトリックス２０９ｄは、文書ＩＤ２０９ｄ−１毎に作成され、各文書ＩＤ２０９ｄ−１に対してユーザＩＤ２０９ｄ−２とオペレーション２０９ｄ−３とのマトリックス上に、オペレーションの許可／拒否２０９ｄ−４が記憶される。
【００３１】
＜本実施形態のポリシーサーバ１０３の構成例＞
図３Ａは、本実施形態のポリシーサーバ１０３の内部構成例を説明する簡単な構成図である。なお、ネットワーク機器管理サーバ１０７、情報機器１０６も同様の構成を有する。
【００３２】
３０１は、これら装置の本体であるＣＰＵユニットである。３０２は、ＣＰＵユニット３０１が利用者１０５に対して表示出力する図形情報を表示するためのディスプレイ装置である。
【００３３】
ＣＰＵユニット３０１は、以下の構成要素を含む。３０４は、ＣＰＵユニット３０１を制御する演算制御用のＣＰＵである。３０５は、ＣＰＵ３０４とＣＰＵユニット３０１内の各部を接続するバスである。３０６は、ＣＰＵ３０４が実行するブートプログラムや固定のパラメータを格納するＲＯＭである。３０７は、ＣＰＵ２０４がプログラムを実行中にデータを一時記憶するＲＡＭである。３０８は、ディスクやＣＤ、メモリカードなどの二次記憶装置２０９をバスと接続するための二次記憶Ｉ／Ｆである。３１０は、利用者１０５が情報処理装置１０６に情報を入力するのに使用するヒューマンインタフェースデバイス（ＨＩＤ）３１１とバス３０５を接続するＨＩＤ＿Ｉ／Ｆである。３１２は。ＣＰＵユニット３０１とディスプレイ３０２を接続するために、バス３０５とディスプレイ３０２を接続するディスプレイＩ／Ｆである。３１３は、ＣＰＵユニット３０１とネットワーク１０４を接続するために、バス３０５とネットワーク１０４を接続するネットワークＩ／Ｆである。
【００３４】
なお、上記のように、本実施形態の情報機器１０６、ネットワーク機器管理サーバ１０７も図３Ａと同様の構成をとるので、その構成の説明は省略する。
【００３５】
（ポリシーサーバの記憶情報の構成例）
図３Ｂは、本実施形態でポリシーサーバの二次記憶３０９の保持される情報の構成例を示す図である。図３Ｂには、本実施形態に特有な情報のみが示されている。
【００３６】
３０９ａは、ネットワークに接続されている各ＭＦＰに対するオペレーションのポリシーが登録されたＭＦＰポリシーテーブルである。ＭＦＰポリシーテーブル３０９ａには、ＭＦＰＩＤ３０９ａ−１に対応して、かかるＭＦＰが可能なオペレーション／不可能なオペレーションが記憶されている。
【００３７】
３０９ｂは、ネットワーク上に保持されている各文書に対するオペレーションのポリシーが登録された文書ポリシーテーブルである。文書ポリシーテーブル３０９ｂは、文書ＩＤ３０９ｂ−１に対応して、かかる文書に対して許可されるオペレーション／拒否されるオペレーションが記憶されている。
【００３８】
３０９ｃは、ネットワーク上の機器への操作を許可された各ユーザ対するオペレーションのポリシーが登録されたユーザポリシーテーブルである。ユーザポリシーテーブル３０９ｃは、ユーザＩＤ３０９ｃ−１に対応して、かかるユーザに対して許可されるオペレーション／拒否されるオペレーションが記憶されている。
【００３９】
本実施形態のポリシーデータは、かかるＭＦＰテーブル３０９ａ、文書ポリシーテーブル３０９ｂ、ユーザポリシーテーブル３０９ｃを含むものである。
【００４０】
（機器管理サーバの記憶情報の構成例）
図３Ｃは、本実施形態で機器管理サーバの二次記憶３０９の保持される情報の構成例を示す図である。図３Ｃには、本実施形態に特有な情報のみが示されている。
【００４１】
３０９ｄは、ネットワークに接続されている各ＭＦＰに対する管理情報が登録されたＭＦＰ管理情報テーブルである。ＭＦＰ管理情報テーブル３０９ｄには、ＭＦＰＩＤ３０９ｄ−１に対応して、アドレス３０９ｄ−２、ステータス３０９ｄ−３、性能やオプション３０９ｄ−４などが記憶されている。
【００４２】
３０９ｅ−１は、ポリシールールの一例であり、本実施形態の部分ポリシーマトリックスを作成するためのポリシーサーバ１０３へのポリシー問合せのオペレーションが記憶されている。
【００４３】
３０９ｆは、ネットワークから切断された時に、オペレーションの可否の判定のために作成される部分ポリシーマトリックスである。部分ポリシーマトリックス３０９ｆは、文書ＩＤ３０９ｆ−１毎に作成され、各文書ＩＤ３０９ｆ−１に対してユーザＩＤ３０９ｆ−２とオペレーション３０９ｆ−３とのマトリックス上に、オペレーションの許可／拒否３０９ｆ−４が記憶される。
【００４４】
＜本実施形態のネットワーク印刷システムの処理例＞
以下、上記ネットワーク印刷システムの構成例に基づく本実施形態のネットワーク印刷システムの処理例を、図４乃至図１１を参照して示す。又、図１１乃至図１８は、処理手順中に表示される表示画面例である。
【００４５】
図４は、ポリシーサーバの基本動作手順例を説明するフローチャートである。
【００４６】
ステップＳ４０１で、ポリシーサーバが処理を開始する。ステップＳ４０２で、システムに接続された他のネットワーク装置、本例ではＭＦＰ１０１，１０２、情報機器１０６、機器管理サーバ１０７からの接続を待ち受ける。続くステップＳ４０３にて、接続があったか否かをチェックし、接続がなければ処理はステップＳ４０２へ戻ってチェックを続行する。接続があれば処理はステップＳ４０４へ進み、リクエスト元の認証を行う。認証の対象は、ユーザ及びポリシーに関するハンドリングを行うアプリケーション、文書を取り扱うネットワーク接続機器や、ネットワーク機器管理サーバ、別のポリシーサーバなどであり、あらかじめ登録されているもののみが認証される。ステップＳ４０５にて認証されたか否かをチェックし、認証された場合には処理はステップＳ４０６へ進む。認証されなければ、処理はステップＳ４２２へ進む。
【００４７】
ステップＳ４０６では、リクエストの種類を判別する。判別結果から、ステップＳ４０７ではリクエストが文書登録であったか否かを判定する。文書登録であれば処理はステップＳ４０８へ進み、リクエスト元が文書登録を実行する権限を持っているか否かを判定する。権限を持っていれば処理はステップＳ４０９に進んで文書登録操作を行った後、処理はステップＳ４２０へ進む。権限がなかった場合には処理はステップＳ４２１へ進む。
【００４８】
リクエストが文書登録ではなかった場合には、処理はステップＳ４１０へ進み、リクエストが特定の文書に対して特定のユーザが特定の操作を実行する権限を持っているか否かを問い合わせる操作権限の問い合わせであるか否かを判定する。操作権限の問い合わせであれば処理はステップＳ４１１へ進み、リクエスト元が操作権限を問い合わせる権限を持っているか否かを判定する。権限を持っていれば処理はステップＳ４１２へ進み、操作権限をポリシーデータベースから検索し、検索結果を返送した後、処理はステップＳ４２０へ進む。権限がない場合には処理はステップＳ４２１へ進む。
【００４９】
リクエストが操作権限の問い合わせではなかった場合には、処理はステップＳ４１３へ進み、リクエストが特定の文書に対して特定のユーザが特定の操作を実行する権限について変更を加える操作権限の変更リクエストであるか否かを判定する。操作権限の変更リクエストであった場合には処理はステップＳ４１４へ進む。ステップＳ４１４では、リクエスト元が操作権限の変更を行う権限を持っているか否かを判定する。権限を持っているのであれば処理はステップＳ４１５へ進み、変更内容を取得して変更を実施した後、処理はステップＳ４２０へ進む。権限がない場合には処理はステップＳ４２１へ進む。
【００５０】
リクエストが操作権限の変更ではなかった場合には処理はステップＳ４１６へ進み、リクエストがそのほかの操作のリクエストであった場合には処理はステップＳ４１７へ進む。ステップＳ４１７では、リクエスト元がその操作を実行する権限を持っているか否かを判定し、権限を持っていれば処理はステップＳ４１８へ進み、当該操作を実行して処理はステップＳ４２０へ進む。権限を持っていなければ処理はステップＳ４２１へ進む。
【００５１】
リクエストがそのほかの操作に関するリクエストのいずれにも合致しなかった場合には処理はステップＳ４１９へ進み、不明なリクエストであることを示す応答を返す。
【００５２】
ステップＳ４０９、ステップＳ４１２、ステップＳ４１５、ステップＳ４１８で正常に操作を実行した場合には、ステップＳ４２０にて正常にリクエストを処理したことを示す応答を返す。
【００５３】
一方、ステップＳ４０８、ステップＳ４１１、ステップＳ４１４、ステップＳ４１７にて権限がなかった場合には、ステップＳ４２１でリクエストを処理できなかったことを示す応答を返す。
【００５４】
ステップＳ４１９、ステップＳ４２０、ステップＳ４２１でいずれかの応答を返した後、処理はステップＳ４２２へ進み、ステップＳ４２２では接続を解除する。そして、処理はステップＳ４２３へ進み、ポリシーサーバの処理全体を終了するか否かを判定する。ポリシーサーバが外部から終了のためのイベントを受け取るなどの状況にあり終了するのであれば、処理はステップＳ４２４へ進み全体の処理を終了する。終了指示がなければ処理はステップＳ４０２へ戻って、再びリクエストを待ち受ける。
【００５５】
（ポリシーサーバへの管理文書の登録手順例）
次に、図５のアクティビティ図に従って、本実施形態のＭＦＰ１０１（又は１０２）がスキャン・トゥー・ボックスやプリント・トゥー・ボックス、ＦＡＸ受信などの機能によって文書を受信又は生成して内部に格納する場合の処理の流れを説明する。
【００５６】
ステップＳ５０１にてＭＦＰが処理を開始する。まずステップＳ５０２において、操作に従って文書を二次記憶装置２０９へ格納する。そして、続くステップＳ５０３にて、その文書に割り振られるユニークな識別子（文書ＩＤ）を決定する。そして、ステップＳ５０４にて、ＭＦＰ自身を識別するためのユニークな識別子（ＭＦＰ＿ＩＤ）とステップＳ５０３で割り振られた文書ＩＤとをポリシーサーバ１０３へ送信する。
【００５７】
ステップＳ５０５にて、ポリシーサーバ１０３は送信されたＭＦＰ＿ＩＤと文書ＩＤを受信し、続くステップＳ５０６にて当該文書を管理対象として、ポリシーデータベースに登録する。そして、ステップＳ５０７にてＭＦＰへの応答を生成しＭＦＰに対して送信する。
【００５８】
ステップＳ５０８では、ＭＦＰがポリシーサーバ１０３からの応答を受信し、ステップＳ５０９にて処理を終了する。
【００５９】
（機器管理サーバによる部分ポリシーマトリックスの作成手順例１）
図６Ａ及び図６Ｂのアクティビティ図に従って、本実施形態のネットワーク機器管理サーバ１０７が管理者の設定するタイミングにおいて実行する、部分ポリシーマトリックスを作成してＭＦＰに格納する処理の流れの作成手順例１を説明する。なお、部分ポリシーマトリックスの作成は、ネットワークシステムの正常な稼働時に行われる。以下、ネットワーク機器管理サーバ１０７は機器管理サーバ１０７と略す。
【００６０】
ステップＳ７０１から、機器管理サーバ１０７が管理者の設定するタイミングで処理を開始する。まずステップＳ７０２にて、自身が管理しているＭＦＰの中から最初のＭＦＰに着目する。続くステップＳ７０３にて、現在着目しているＭＦＰに機器管理サービスＩＤを送信する。ＭＦＰはステップＳ７０４にて、その機器管理サービスＩＤを受信する。
【００６１】
次に、ステップＳ７０５にて、機器管理サーバ１０７はＭＦＰ＿ＩＤをリクエストする。これに応じて、ＭＦＰはステップＳ７０６にてリクエストを受信した後、ステップＳ７０７にて自身のＭＦＰ＿ＩＤを送信する。機器管理サーバ１０７は、ステップＳ７０８にてこれを受信した後、続いてステップＳ７０９にてＭＦＰに格納されている文書の文書ＩＤの一覧をリクエストする。ステップＳ７１０にてＭＦＰはこのリクエストを受信し、ステップＳ７１１にて格納文書情報２０９ｂから文書ＩＤの一覧を生成して送信する。ステップＳ７１２にてこれを受信した機器管理サーバ１０７は、続くステップＳ７１３にて今度はＭＦＰを最近利用したユーザのユーザＩＤ一覧をリクエストする。ステップＳ７１４にてこのリクエストを受信したＭＦＰは、続くステップＳ７１５にてユーザ情報２０９ｃからユーザＩＤの一覧を作成して送信する。機器管理サーバ１０７はこれをステップＳ７１６にて受信する。
【００６２】
ステップＳ７１７にて、機器管理サーバ１０７は一覧中の最初の文書ＩＤに着目する。続いてステップＳ７１８にて、一覧中の最初のユーザＩＤに着目する。そして続くステップＳ７１９にて、想定されるオペレーションの最初のものに着目する。ここで想定されるオペレーションとはネットワーク等がダウンした場合にＭＦＰ上でユーザが実行するようなオペレーションに限定され、全ての規定されたオペレーションに対して問い合わせを実行するわけではない。かかる限定されたオペレーションは、ポリシールール３０９ｅ−１として予め設定されている。
【００６３】
続くステップＳ７２０にて、機器管理サーバ１０７はポリシーサーバ１０３に対してポリシーの問い合わせを行う。ポリシーサーバ１０３は、ステップＳ７２１にて問い合わせを受けて、その文書ＩＤ、ユーザＩＤ、ＭＦＰ＿ＩＤ、及びオペレーションについてそのポリシーを検索する。そして対応するポリシーが存在しなかった場合には、ステップＳ７２２にてデフォルトのポリシーを取得して応答する。ポリシーが検索して存在していた場合には、ステップＳ７２３でそのポリシーを応答する。
【００６４】
ステップＳ７２４で、機器管理サーバ１０７はポリシーサーバ１０３からの応答を受信する。続くステップＳ７２５にて、受信したポリシーを、そのＭＦＰに関わり必要な部分だけを抜き出したポリシーのマトリックス（部分ポリシーマトリックス３０９ｆ）に格納する。
【００６５】
そして、これが最後のオペレーションではなく次のオペレーションが存在するのであれば、ステップＳ７２６へ進んで次のオペレーションを選択し、ステップＳ７２０から処理を続行する。最後のオペレーションであった場合は、次へ進む。ここで、最後のユーザＩＤではなく次のユーザが存在する場合にはステップＳ７２７へ進み次のユーザＩＤを選択し、ステップＳ７１９から処理を続行する。最後のユーザＩＤであった場合には、次へ進む。
【００６６】
図７は、本実施形態における機器管理サーバ１０７が作成した部分ポリシーマトリックス３０９ｆを、この時点で作成された１つの文書、例えば「文書ａ」について示したものである。１７０１は文書Ａのマトリックスであることを示す。１７０２はオペレーションの列である。１７０３はユーザの列である。ユーザの列には過去一定の期間において当該ＭＦＰで文書の操作を行った記録の残っているユーザが網羅されている。１７０４はユーザＩが文書Ａをネットワーク送信することが許可されていることを表している。また１７０５はユーザＧが文書Ａをメモリーカードに保存することが拒否されることを表している。
【００６７】
次に、現在着目しているのが最後の文書ＩＤではなく次の文書が存在している場合には処理はステップＳ７２８へ進み、次の文書ＩＤを選択してステップＳ７１８から処理を続行する。これが最後の文書ＩＤであった場合には処理はステップＳ７２９へ進む。
【００６８】
ステップＳ７２９では、機器管理サーバ１０７がここまでに作成した部分ポリシーマトリックスをＭＦＰへ送信する。ステップＳ７３０にて、ＭＦＰは部分ポリシーマトリックスを受信して自身に格納する。
【００６９】
図８は、図７に示したマトリックスがそれぞれの文書に対して用意されているところを表した図である。これは、この時点の１つのＭＦＰについて機器管理サーバ１０７で作成された部分ポリシーマトリックス３０９ｆであり、ＭＦＰに格納された同じ部分ポリシーマトリックス２０９ｄである。１８０１は文書ａに対する部分ポリシーマトリックスであり、１８０２は文書ｂに対する部分ポリシーマトリックスであり、１８０３は文書ｃに対する部分ポリシーマトリックスであり、１８０４は文書ｄに対する部分ポリシーマトリックスである。これらの部分ポリシーマトリックスがＭＦＰに格納されている全部の文書とユーザに対して用意されているのが、本実施形態における部分ポリシーマトリックスである。
【００７０】
機器管理サーバ１０７は、これが自身が管理している最後のＭＦＰではなくまだ次のＭＦＰが存在する場合には処理をステップＳ７３１へ進め、次のＭＦＰを選択し、ステップＳ７０３から処理を続行する。これが最後のＭＦＰであった場合にはステップＳ７３２へ進んで処理を終了する。
【００７１】
機器管理サーバ１０７は、管理者が設定したタイミングごとにこの処理を開始し終了するまで続行する。
【００７２】
（ネットワーク接続状態時のＭＦＰの文書の操作手順例）
次に、図９のアクティビティ図に従って、本実施形態のＭＦＰ１０１（又は１０２）において、ＭＦＰに格納されている文書をユーザが操作する場合の処理の流れを説明する。なお、図９においては、ＭＦＰはネットワークに接続しているので、ユーザ１０５による操作は、ＭＦＰの操作パネルから行われても、情報機器１０６からネットワークを介して行われてもよい。情報機器１０６からネットワークを介して行われる場合は、以下に示す各表示は情報機器１０６のディスプレイ３０２に対して行われ、ＨＩＤ３１１から指示が入力されることになる。
【００７３】
ステップＳ６０１にて、ＭＦＰが処理を開始する。まず、ステップＳ６０２で、ＭＦＰはログイン画面を表示する。図１１は、ログイン画面の例である。９０１はユーザ名の入力欄であり、９０２はパスワードの入力欄である。９０３はＯＫボタンであり、９０４はキャンセルボタンである。ここで想定するＭＦＰの操作部はタッチパネルになっており、ここに文字を入力したあとＯＫボタン９０３あるいはキャンセルボタン９０４を指で触るとユーザ名とパスワードが入力されるようになっている。
【００７４】
このログイン画面の表示に応じて、ステップＳ６０３にてユーザはユーザ名とパスワードを入力する。この結果、認証されなかった場合には処理はステップＳ６０４へ進み、ログイン失敗を表示する。図１２は、ログイン失敗画面の一例である。１２０１はログインできなかったことを示すエラーメッセージであり、１２０２はその詳細を説明した説明文である。１２０３は３０秒でログイン画面に戻るというメッセージである。本実施形態では、ランダムなユーザ名やパスワードでの突破を試みにくいようにログインに失敗するとログイン画面に戻るのに一定の時間をおくように設定されている。
【００７５】
認証された場合には処理はステップＳ６０５へ進み、ここでログインしたユーザの情報を前記ユーザ情報２０９ｃに記録する。
【００７６】
その後、処理はステップＳ６０６へ進みＭＦＰは格納された前記文書の情報２０９ｂを参照しながら、文書の選択画面を表示する。図１３は、文書の選択画面である。１００１はリストボックスにおける文書名を表示するカラムであり、１００２はリストボックスにおける各文書の作成日時を表示するカラムである。１００３はＯＫボタンであり、１００４はキャンセルボタンである。
【００７７】
文書の選択画面に応じて、ユーザはステップＳ６０７にて文書を選択する。続いてステップＳ６０８で、ＭＦＰはオペレーションの選択画面を表示する。図１４はオペレーションの選択画面である。１１０１が前段階で選択した文書を印刷するという操作、１１０２は前段階で選択した文書をネットワーク送信するという操作、１１０３は前段階で選択した文書をＦＡＸ送信するという操作、１１０４は前段階で選択した文書をメモリーカードに保存する、という操作、１１０５は前段階で選択した文書を消去する、という操作を選択するためのラジオボタンである。１１０６はＯＫボタンであり、１１０７はキャンセルボタンである。
【００７８】
ユーザはオペレーションの選択画面に応じて、ステップＳ６０９にてオペレーションを選択する。
【００７９】
文書とオペレーションが選択されたところで、ＭＦＰはステップＳ６１０にてポリシーサーバ１０３にポリシーを問い合わせる。ポリシーサーバ１０３は、ポリシーデータ３０９ａ〜ｃを参照して、問い合わせられたＭＦＰのＩＤ、文書ＩＤ、ユーザＩＤ、及びオペレーションの種別に対応するポリシーを検索する。もしも対応するポリシーが存在していなかった場合には処理はステップＳ６１２へ進み、与えられたオペレーションに対応するデフォルトポリシーを取り出し応答する。ポリシーが見つかった場合には処理はステップＳ６１３へ進み、見つかったポリシーをＭＦＰに応答する。
【００８０】
ステップＳ６１４にて、ＭＦＰはポリシーサーバ１０３からの応答を受信する。この応答が操作を拒否するものであった場合には処理はステップＳ６１５へ進み、オペレーションが拒否されることを示す表示を行う。図１５は、オペレーションを拒否されたときに表示する画面の一例である。１３０１はオペレーションが許可されないことを示すエラーメッセージである。１３０２はその詳細を説明した説明文である。１３０３は１２０３と同様に３０秒でログイン画面に戻るというメッセージである。
【００８１】
操作が許可されることを示す応答であった場合にはステップＳ６１６へ進み、指示された操作を実行する。そして続くステップＳ６１７にて操作を行った結果を表示する。操作結果としては、操作の正常終了と以上終了とがある。図１６は、オペレーションが正常に終了したときに表示する画面の一例である。１４０１はオペレーションが正常に終了したことを示すメッセージである。１４０２はその詳細を説明した説明文である。１４０３は同様に３０秒でログイン画面に戻るというメッセージである。図１７は、オペレーションが異常終了したときに表示する画面の一例である。１５０１はオペレーションが実行されたが何らかのエラーになったことを示すエラーメッセージであり、１５０２はその詳細を説明した説明文である。１５０３は同様に３０秒でログイン画面に戻るというメッセージである。
【００８２】
ステップＳ６０４にてログイン失敗を表示したり、ステップＳ６１５にてオペレーション拒否を表示した場合、あるいはステップＳ６１７にてオペレーションの結果を表示した後は、全体が終了する場合には処理はステップＳ６１８へ進み、全体を終了する。そうでない場合には処理はステップＳ６０２へ戻って、再び処理を続行する。
【００８３】
（ネットワークからの切断状態時のＭＦＰの文書の操作手順例１）
次に、図１０のアクティビティ図に従って、ネットワーク１０４あるいはポリシーサーバ１０３がダウンした状態などにおける、ＭＦＰ１０１（又は１０２）上でユーザが何らかの文書操作を行う処理の流れを説明する。
【００８４】
ネットワーク１０４あるいはポリシーサーバ１０３がダウンしているため、機密保持サービスが停止し、ポリシーサーバ１０３にポリシーを問い合わせることはできない。このような場合に、図７で機器管理サーバ１０７から受信した部分ポリシーマトリックス２０９ｄを利用して文書のアクセスをコントロールする。なお、かかる処理は、ＭＦＰがネットワークから切断されている場合にはＭＦＰ単独で実行されるが、例えばポリシーサーバ１０３はダウンしていても、ネットワークが正常であれば、図６Ａ及び図６Ｂのように情報機器１０６を介して操作することも可能である。
【００８５】
ステップＳ８０１から、ＭＦＰは処理を開始する。続くステップＳ８０２にてログイン画面を表示する。ログイン画面は既に図１１に示した。ログイン画面に応じて、ユーザはステップＳ８０３にてユーザ名とパスワードを入力する。これを受け取ったＭＦＰは、ユーザ情報２０９ｃを参照してユーザの認証が成功したか否かを判定する。認証されなかった場合には処理はステップＳ８０４へ進み、ログイン失敗を表示する（図１２参照）。認証された場合には処理はステップＳ８０５へ進み、今度は格納文書情報２０９ｂを参照して文書の選択画面を表示する（図１３参照）。ユーザは、ステップＳ８０６にて文書を選択する。ＭＦＰはステップＳ８０７にて、今度はオペレーションの選択画面を表示する（図１４参照）。なお、ここでは通常と同様のオペレーション選択画面を表示するものとするが、あらかじめネットワークダウン時には実行できないオペレーションはここで省いてしまってもよい。ユーザは、ステップＳ８０８にてオペレーションを選択する。ここで、選択したオペレーションがネットワークダウン時には不可能な操作であれば、ＭＦＰはステップＳ８０９へ進みオペレーション不能であることを表示する。
【００８６】
図１８は、オペレーションがネットワークダウンのため実行できないことを示す画面の一例である。すでに述べたように、あらかじめネットワークダウン時には実行できないオペレーションを選択画面（図１４）で表示しない内容にしておけば、この画面を表示する必要はない。しかし、ここでは通常と同様のオペレーション選択画面を表示した場合の画面の例を図に示した。１６０１はオペレーションがネットワークダウンのために実行できないことを示すメッセージであり、１６０２はその詳細を説明した説明文である。１６０３は同様に３０秒でログイン画面に戻ることを示すメッセージである。
【００８７】
選択したオペレーションが可能な操作であれば処理はステップＳ８１０へ進み、今度は部分ポリシーマトリックス２０９ｄから文書ＩＤ、ユーザＩＤ、オペレーションに対応するポリシーを調べる。もし当該部分ポリシーマトリックス２０９ｄに対応するオペレーションが載っていて操作が許可される場合には、処理はステップＳ８１３へ進む。許可されない場合には処理はステップＳ８１２へ進む。オペレーションが載っていない場合には処理はステップＳ８１１へ進み、デフォルトのポリシーを参照する。デフォルトのポリシーにて操作が許可される場合には処理はステップＳ８１３へ進み、許可されない場合にはステップＳ８１２へ進む。
【００８８】
ステップＳ８１２ではオペレーション拒否を表示する（図１５参照）。ステップＳ８１３では文書の操作を実際に行い、ステップＳ８１４へ進み結果を表示する。操作結果としては、操作の正常終了と以上終了とがある。上述のように、図１６は、オペレーションが正常に終了したときに表示する画面の一例であり、図１７は、オペレーションが異常終了したときに表示する画面の一例である。
【００８９】
ステップＳ８０４、ステップＳ８０９、ステップＳ８１２、ステップＳ８１４にて操作指示の結果を表示した後、全体の処理を終了しない場合にはステップＳ８０２へ進み、終了する場合にはステップＳ８１５へ進む。
【００９０】
以上見てきたように、本実施形態では、ポリシーサーバが提供するポリシーデータをネットワーク機器管理サーバが一定時間ごとに必要な部分だけ取得してＭＦＰへ転送することによって、ネットワークダウン時にＭＦＰがその部分ポリシーマトリックスを参照してセキュリティ的に適切な文書操作の諾否を判定することが可能になる。これによりネットワークダウン時にポリシーサーバに接続できないことによってセキュリティが損なわれ、重要な機密文書を勝手に印刷して持ち去られるなどの危険を減らすことが可能になる。また同時にネットワークダウン時にポリシーサーバに接続できないことによって安全のために全ての文書に対する操作を禁止せねばならないようなこともなくなる。こうしてネットワークダウン時も最低限の文書の利用を保証しながら、セキュリティ的に問題のある文書の操作を禁止することができる。
【００９１】
＜部分ポリシーマトリックスの作成手順の他の例＞
（機器管理サーバによる部分ポリシーマトリックスの作成手順例２）
図６Ａ及び図６Ｂに従って説明した上記部分ポリシーマトリックスの作成手順例１では、機器管理サーバ１０７が有するポリシー決定のためのルールは、ネットワークダウン時に実行可能なオペレーションの選択のみであった（図３Ｃのポリシールール３０９ｅ−１参照）。本部分ポリシーマトリックスの作成手順例２では、機器管理サーバ１０７が予めポリシーサーバ１０３とは独立したポリシー決定のためのルールを有する場合の手順を示す。
【００９２】
図１９は、本で予め機器管理サーバ１０７に設定されているポリシー決定のためのルールの一例を示す図である。
【００９３】
図１９に示したポリシールール３０９ｅ−２は、ネットワークダウン時に実行可能なオペレーションの選択３０９ｅ−２ａと、機器管理サーバ１０７が有するポリシー決定のためのルール３０９ｅ−２ｂとからなる。
【００９４】
この例では、ポリシーサーバ１０３に問合せるオペレーションの選択３０９ｅ−２ａは、印刷、ネットワーク送信、ボックス間複製の３つのみである。他のオペレーションについては、そのルール３０９ｅ−２ｂがポリシーサーバ１０３とは独立に機器管理サーバ１０７に設定されている。
【００９５】
ルール３０９ｅ−２ｂによれば、ネットワーク稼動時にネットワーク送信が許可されているユーザにはネットワークダウン時にはメモリーカードへの保存を許可する、というルールが設定されている。すなわち、普段メモリーカードへの保存を許可するか否かとは無関係に、ネットワークダウン時にはネットワーク送信の諾否でメモリーカードへの保存の諾否が決定される。またこのルールではネットワークダウン時のＦＡＸ送信、ボックス間の文書の移動、及び文書の削除は無条件に拒否される。なお、図１９のポリシールールは一例であって、ＭＦＰ、文書、ユーザ毎に異なるオペレーションとルールが設定されていてもよい。
【００９６】
図２０Ａ及び図２０Ｂのアクティビティ図を用いて、本部分ポリシーマトリックスの作成手順例２において、機器管理サーバ１０７が部分ポリシーマトリックスを作成し、ＭＦＰがそれを受信し格納する動作について説明を行なう。
【００９７】
ステップＳ１９０１から、機器管理サーバ１０７は処理を開始する。ステップＳ１９０２にて最初のＭＦＰを選択する。つぎにステップＳ１９０３にて、選択されたＭＦＰに対して機器管理サービスＩＤを送信する。ステップＳ１９０４にて、ＭＦＰは機器管理サービスＩＤを受信する。続いて機器管理サーバ１０７は、ステップＳ１９０５にてＭＦＰ＿ＩＤをリクエストする。ＭＦＰは、ステップＳ１９０６にてリクエストを受信し、ステップＳ１９０７にてＭＦＰ＿ＩＤを送信する。続いて機器管理サーバ１０７は、ステップＳ１９０８にてＭＦＰ＿ＩＤを受信する。そして続くステップＳ１９０９にて文書ＩＤの一覧をリクエストし、ＭＦＰはステップＳ１９１０にてリクエストを受信し、ステップＳ１９１１で格納文書情報２０９ｂに従い文書ＩＤの一覧を送信する。機器管理サーバ１０７は、ステップＳ１９１２にて文書ＩＤ一覧を受信し、続いてステップＳ１９１３にてユーザＩＤの一覧をリクエストする。ＭＦＰは、ステップＳ１９１４にてリクエストを受信し、ステップＳ１９１５にてユーザ情報２０９ｃに従いユーザＩＤの一覧を送信する。機器管理サーバ１０７は、ステップＳ１９１６にてユーザＩＤの一覧を受信する。
【００９８】
機器管理サーバ１０７は、ステップＳ１９１７にて最初の文書ＩＤに着目する。続くステップＳ１９１８にて最初のユーザＩＤに着目する。さらに次のステップＳ１９１９にて、ポリシールール３０９ｅー２に設定された問い合わせを行うべきオペレーション（図１９の３０９ｅ−２ａ参照）の最初のものを選択する。そしてステップＳ１９２０にて、ポリシーサーバ１０３にポリシーの問い合わせを行う。
【００９９】
ステップＳ１９２１にて、ポリシーサーバ１０３はポリシーデータ３０９ａ〜ｃを参照して、当該ＭＦＰ＿ＩＤ、文書ＩＤ、ユーザＩＤ、オペレーションに関するポリシーを検索する。ポリシーが存在しない場合には、ステップＳ１９２２にてデフォルトポリシーに基づいた応答を返す。ポリシーが存在する場合には、そのポリシーに基づいた応答をステップＳ１９２３にて返す。
【０１００】
機器関留サーバ１０７は、ステップＳ１９２４にて応答に含まれたポリシーを受信し、続くステップＳ１９２５にてそのポリシーを部分ポリシーマトリックスに格納する。現在選択されているオペレーションが問い合わせを行うべきオペレーションの最後ではなく次のオペレーションがあるのであれば、ステップＳ１９２６にて次のオペレーションを選択し、ステップＳ１９２０へ戻って処理を続行する。最後のオペレーションなのであれば処理はステップＳ１９２７へ進む。
【０１０１】
この時点の部分ポリシーマトリックス２０９ｆが、図２１の上段に示すものである。ステップＳ１９２５では、ルール３０９ｅ−２ｂでポリシーの決定されない部分だけを部分ポリシーマトリックスに書き込む。その状態の部分ポリシーマトリックスが２１０１である。
【０１０２】
図１９のルール３０９ｅ−２ｂに基づいて、ネットワークダウン時のポリシーを設定するオペレーションのうち最初のものに着目する。続くステップＳ１９２８にてまず、当該オペレーションに対するポリシーを決めるための基準となるオペレーションのポリシーをルール３０９ｅ−２ｂから取得する。そして続くステップＳ１９２９にてそのポリシーを現在着目しているオペレーションに関する部分ポリシーマトリックス２０９ｆの位置に格納する。そして、現在着目しているオペレーションがネットワークダウン時のポリシーを設定するオペレーションのうち最後のものではなければ処理はステップＳ１９３０へ進み、次のオペレーションを選択してステップＳ１９２８から処理を続行する。
【０１０３】
最後のものであった場合には、さらに現在着目しているユーザがＭＦＰから取得したユーザＩＤの一覧の最後のユーザであるか否かを判断し、そうでなければ処理はステップＳ１９３１へ進んで、次のユーザに着目しステップＳ１９１９より処理を続行する。
【０１０４】
最後のユーザであった場合の部分ポリシーマトリックス２０９ｆを、図２１の下段に示す。ステップＳ１９２９においてルールから決定されるポリシーを書き込んだ状態の部分ポリシーマトリックス２０９ｆが２１０２である。ここでは、ＦＡＸ送信、ボックス間の文書の移動、文書の削除はすべて拒否になっている。また、メモリーカードへの保存はネットワーク送信の許可・拒否と同一のポリシーが書き込まれており、本来ネットワーク稼動時にメモリーカードへの保存が許可されているか拒否されているかとは無関係になる。
【０１０５】
最後のユーザであった場合、さらに、現在着目している文書がＭＦＰから取得した文書ＩＤの一覧の最後の文書であるか否かを判断する。最後の文書でなければ処理はステップＳＳ１９３２へ進んで、次の文書に着目しステップＳ１９１８から処理を続行する。
【０１０６】
最後の文書であった場合には処理はステップＳ１９３３へ進み、生成された部分ポリシーマトリックス２０９ｆをＭＦＰへ送信する。ステップＳ１９３４にて、ＭＦＰはその部分ポリシーマトリックス２０９ｆを受信して、部分ポリシーマトリックス２０９ｄとして保持する。この時点の部分ポリシーマトリックス２０９ｆ，２０９ｄは、図８と同様である。
【０１０７】
機器管理サーバ１０７は、現在着目しているＭＦＰが最後のＭＦＰであればステップＳ１９３６へ進み、処理を終了する。最後のＭＦＰでなければステップＳ１９３５にて次のＭＦＰを選択し、ステップＳ１９０３へ戻って処理を続行する。
【０１０８】
かかる部分ポリシーマトリックス２０９ｄを使用する場合も、ネットワークダウン時におけるユーザがＭＦＰ上の文書の操作を行う際の動作は、先の図１０に示したものと同様である。また、ネットワーク及びポリシーサーバが正常に動作している場合にユーザがＭＦＰ上で文書の操作を行おうとした場合の動作のアクティビティ図は、図９に示したものと同様である。
【０１０９】
ここまで述べた動作で分かるとおり、部分ポリシーマトリックスの作成手順例２では、機器管理サーバ１０７は、ネットワークダウン時に適用すべきポリシーをポリシーサーバ１０３の持っているポリシーデータ３０９ａ〜ｃとは別に設定する機能を備えている。設定されるポリシーはあらかじめ組み込まれた一定のルール３０９ｅ−２ｂに基づいて決定されており、その際に、別のオペレーションに関するポリシーを参照することもあり得る。なお、本例では、ポリシーサーバ１０３に問合せるオペレーションと機器管理サーバ１０７のルールに従って設定するオペレーションとを重ならないようにしたが、両方のポリシーを得て選択するような処理も可能である。
【０１１０】
本作成手順例２による部分ポリシーマトリックス２０９ｄの作成によれば、ネットワークダウン時には、ユーザはネットワーク送信が行えなくなってしまう。しかし、その代用手段として文書をメモリーカードに保存するようなことが可能になる。通常時にはメモリーカードへの保存はセキュリティ上の脅威となりうるため許可されない場合でも、ネットワークダウン時には、ネットワーク送信を普段許可しているユーザにはメモリーカードへの保存を一時的に認めるといった運用が可能になる。逆に、ネットワークダウン時にＦＡＸ送信を禁止することでセキュリティを高めるという運用も可能である。
【０１１１】
このようなルールはあらかじめ定められており、機器管理サーバ１０７による部分ポリシーマトリックス作成時には自動的に決定されるので部分ポリシーマトリックスを高速に決定することが可能である。なおかつ、上述のようにネットワークダウン時の利便性やセキュリティを向上させることが可能になる。
【０１１２】
このように、本作成手順例２では、通常稼動時のポリシーではカバーできない利便性やセキュリティを、ネットワークダウン時にのみ適用される一定のルールを適用することによって向上させることができる。
【０１１３】
（機器管理サーバによる部分ポリシーマトリックスの作成手順例３）
図２０Ａ及び図２０Ｂに従って説明した上記部分ポリシーマトリックスの作成手順例２では、ポリシー決定のためのルールは、予めポリシーサーバ１０３とは独立して機器管理サーバ１０７に設定されている固定したルールであった（図１９参照）。本部分ポリシーマトリックスの作成手順例３では、機器管理サーバ１０７がポリシーサーバ１０３とは独立して有するポリシー決定のためのルールが、ネットワーク管理者によって変更可能な場合の手順を示す。
【０１１４】
図２２は、機器管理サーバ１０７でネットワークダウン時のポリシーを定めるための本例のポリシールール３０９ｅ−３を設定するための画面である。
【０１１５】
２３０１は、ポリシールールの設定を説明するメッセージである。２３０２は、設定されているポリシー設定ルールを表示するためのリストボックスである。左から適用すべきＭＦＰ、適用すべきオペレーション、そしてどのようにポリシーを定めるかが表示されている。
【０１１６】
２３０５は、同様のルールを新たに作成するための新規作成ボタンである。２３０６は、現在すでに存在しているルールについて選択されているものの内容を変更するための編集ボタンである。また、２３０７は、すでに存在しているルールについて選択されているものと同じルールをもう一つ生成する複製ボタンである。２３０８は、すでに存在しているルールのうち選択されているものを削除するための削除ボタンである。２３０９は、ここで表示されているルールを最終決定して保存、この画面の作業を終了するための保存終了ボタンである。また、２３１０は、ここで新規作成したルール、ルールに加えた内容変更、あるいはルールの削除などの作業結果をすべて破棄し終了するための破棄終了ボタンである。  図２３Ａのアクティビティ図を用いて、本例において機器管理サーバ１０７でシステム管理者がポリシールールを設定する動作手順について説明を行なう。
【０１１７】
ステップＳ２３０１で、機器管理サーバ１０７が処理を開始する。ますステップＳ２３０２で、ログイン画面を表示する（図１１参照）。ステップＳ２３０３で管理者がＩＤ及びパスワードを入力する。機器管理サーバ１０７は管理者の認証を行ない、認証されない場合はステップＳ２３０４でログイン失敗を表示する（図１２参照）。
【０１１８】
管理者が認証されれば、機器管理サーバ１０７はステップＳ２３０５でネットワークダウン時のポリシー設定画面を表示する（図２２参照）。予めポリシルール２０９ｅ−３の設定があればそれも表示する。管理者は、ステップＳ２３０６でＭＦＰ＿ＩＤ、オペレーション、ポリシー（あるいはポリシールール）を入力する。あるいは、予め設定されているポリシルール２０９ｅ−３の変更を指示する。
【０１１９】
ＭＦＰ＿ＩＤ、オペレーション、ポリシー（あるいはポリシールール）を入力を受信した機器管理サーバ１０７は、ステップＳ２３０７でポリシルール２０９ｅ−３に設定あるいは更新を行なう。管理者の確認のために、ステップＳ２３０８で設定更新後のポリシルール２０９ｅ−３を表示するようにしてもよい。
【０１２０】
設定あるいは更新が更にあれば、ステップＳ２３０２に戻る。終了であればステップＳ２３０９でポリシールール設定処理を終了する。
【０１２１】
次に、図２３Ｂ及び図２３Ｃのアクティビティ図を用いて、本実施形態においてネットワーク機器管理サーバ１０７が部分ポリシーマトリックスを作成し、ＭＦＰがそれを受信して格納する動作手順について説明を行なう。
【０１２２】
ステップＳ２２０１で、機器管理サーバ１０７が処理を開始する。まずステップＳ２２０２で、最初のＭＦＰを選択する。続いてステップＳ２２０３で、当該ＭＦＰに対して機器管理サービスＩＤを送信する。ステップＳ２２０４にて、ＭＦＰはそのサービスＩＤを受信する。続いて機器管理サーバは、ステップＳ２２０５にてＭＦＰ＿ＩＤをリクエストする。ステップＳ２２０６にてＭＦＰはこのリクエストを受信し、ステップＳ２２０７にてＭＦＰ＿ＩＤを送信する。ステップＳ２２０８にて、機器管理サービスはそのＭＦＰ＿ＩＤを受信し、ステップＳ２２０９で今度は文書ＩＤの一覧をリクエストする。ステップＳ２２１０にてＭＦＰはリクエストを受信し、ステップＳ２２１１にて格納文書情報２０９ｂを参照して文書ＩＤの一覧を送信する。機器管理サーバ１０７は、ステップＳ２２１２にて文書ＩＤの一覧を受信した後、続くステップＳ２２１３にてユーザＩＤの一覧をリクエストする。ＭＦＰはステップＳ２２１４にてリクエストを受信し、ステップＳ２２１５にてユーザ情報２０９ｃを参照してユーザＩＤの一覧を送信する。機器管理サーバ１０７は、ステップＳ２２１６にてこれを受信する。
【０１２３】
続くステップＳ２２１７にて、機器管理サーバ１０７はステップＳ２２１２にて受信した文書ＩＤのうち最初のものに着目する。さらに続くステップＳ２２１８にて、ステップＳ２２１６で受信したユーザＩＤのうち一番最初のものに着目する。ステップＳ２２１９にて、機器管理サーバ１０７に設定されているポリシーの設定ルール３０９−３を参照し、そこに記述されていないオペレーションについて最初のものを選択する。ステップＳ２２２０にて、ポリシーサーバ１０３に現在のＭＦＰ＿ＩＤ、文書ＩＤ、ユーザＩＤ、オペレーションについてのポリシーの問い合わせを行う。
【０１２４】
ステップＳ２２２１では、ポリシーサーバ１０３が問い合わせのあったポリシーをポリシーデータから検索する。当該のポリシーが見つからなかった場合には処理はステップＳ２２２２へ進み、デフォルトポリシーから適用されるポリシーを定めて応答する。ポリシーが見つかった場合には、そのポリシーをステップＳ２２２３にて応答する。
【０１２５】
いずれの場合も、ステップＳ２２２４にて機器管理サーバ１０７がその応答を受信し、ステップＳ２２２５にてそのポリシーを機器管理サーバ１０７の作成する部分ポリシーマトリックス２０９ｆに保存する。そして、現在着目しているのがポリシーの設定ルールに記述されていないオペレーションのうち最後のものであるか否かを判定する。最後のオペレーションでなければ処理はステップＳ２２２６へ進んで、次のオペレーションを選択する。その後ステップＳ２２２０から処理を続行する。最後のオペレーションであった場合の部分ポリシーマトリックス２０９ｆは、図２１の上段のようになる。
【０１２６】
最後のオペレーションであった場合には処理はステップＳ２２２７へ進んで、機器管理サーバ１０７に設定されているポリシーの設定ルール２０９ｆに記述されているオペレーションの最初のものに着目する。ステップＳ２２２８では、すでに取得されている当該文書と当該ユーザのルール３０９ｅ−３の中で基準とすべきと定められているオペレーションがもしあれば、そのオペレーションに対するポリシーを、部分ポリシーマトリックスから取得する。そしてステップＳ２２２９にてその基準となるポリシーからルールに従って設定すべきポリシーを定め、それを部分ポリシーマトリックス２０９ｆに書き込む。いま着目しているオペレーションがルール３０９ｅ−３に記述されているオペレーションの最後のものであるか否かを判定し、最後でなければステップＳ２２３０にて次のオペレーションに着目し、ステップＳ２２２８から処理を続行する。
【０１２７】
最後のオペレーションであれば、現在着目しているユーザが最後のユーザであるか否かを判定し、最後のユーザでなければステップＳ２２３１にて次のユーザを選択し、ステップＳ２２１９から処理を続行する。最後のユーザであった場合の部分ポリシーマトリックス２０９ｆの例は、図２１の下段と同様である。
【０１２８】
最後のユーザであれば、さらに現在着目している文書が最後の文書であるか否かを判定し、最後の文書でなければステップＳ２２３２にて次の文書を選択したあと、ステップＳ２２１８から処理を続行する。最後の文書であった場合には処理はステップＳ２２３３へ進み、ここまでに作成された部分ポリシーマトリックス２０９ｆをＭＦＰへ送信する。この時点の部分ポリシーマトリックス２０９ｆは、図８と同様である。
【０１２９】
ステップＳ２２３４では、ＭＦＰがこの部分ポリシーマトリックス２０９ｆを受信して、自身に部分ポリシーマトリックス２０９ｄとして格納する。これが終了したら、機器管理サーバ１０７はこれが最後のＭＦＰであるか否かを判定し、最後のＭＦＰなければステップＳ２２３５にて次のＭＦＰを選択した後、ステップＳ２２０３から処理を続行する。最後のＭＦＰまで処理が終わっている場合には処理はステップＳ２２３６へ進み、全体の処理を終了する。
【０１３０】
かかる部分ポリシーマトリックス２０９ｄを使用する場合も、ネットワークダウン時におけるユーザがＭＦＰ上の文書の操作を行う際の動作は、先の図１０に示したものと同様である。また、ネットワーク及びポリシーサーバが正常に動作している場合にユーザがＭＦＰ上で文書の操作を行おうとした場合の動作のアクティビティ図は、図９に示したものと同様である。
【０１３１】
部分ポリシーマトリックスの作成手順例３では、このようにネットワークダウン時にどのようなルールでポリシーを定めるかについて、機器管理サーバ１０７の管理者が決定し、適用させることができる。図２２の画面の状態でわかるように、別々のＭＦＰに対しては別々のルールを設定することが可能である。これに加えてユーザ別にルールを設定することなども可能である。
【０１３２】
以上のように作成手順例３では、ネットワークダウン時のセキュリティと利便性の確保のためにより細かいポリシーを設定することが可能となる。
【０１３３】
＜ネットワークからの切断状態時のＭＦＰの文書の操作手順の他の例＞
（ネットワークからの切断状態時のＭＦＰの文書の操作手順例２）
図１０に示した、ネットワークからの切断状態時のＭＦＰの文書の操作手順例１では、部分ポリシーマトリックスでポリシーが許可であれば当該保存文書を無制限に印刷をすることが出来た。しかしながら、実際にはネットワークからの切断状態でありポリシーサーバ１０３による正式な許可に比較すると不確実である。従って、本操作手順例２では、部分ポリシーマトリックスでポリシーが許可であっても、印刷回数に制限を加えて文書の使用は可能であるが機密性は守る操作を提案する。
【０１３４】
図２４のアクティビティ図を用いて、ネットワークダウン時におけるユーザがＭＦＰ上の文書の操作を行う際の本操作手順例２の動作を説明する。
【０１３５】
ステップＳ２８０１から、ＭＦＰが処理を開始する。まずステップＳ２８０２で、ＭＦＰはログイン画面を表示する（図１１参照）。ユーザはその画面に対して、ステップＳ２８０３にてユーザ名とパスワードを入力する。ユーザ情報２０９ｃに基づきユーザの認証を行ない、認証されない場合には、ＭＦＰはステップＳ２８０４へ進みログイン失敗を表示する（図１２参照）。
【０１３６】
認証された場合には処理はステップＳ２８０５へ進み、今度は格納文書情報２０９ｂに基づき文書の選択画面を表示する（図１３参照）。ユーザはステップＳ２８０６にて文書を選択する。続いてＭＦＰは、ステップＳ２８０７にてオペレーションの選択画面を表示し、ユーザはステップＳ２８０８でオペレーションを選択する（図１４参照）。
【０１３７】
ＭＦＰはネットワークダウン時に可能な操作であるか否かを判定し、可能な操作でないのであれば処理はステップＳ２８０９へ進んで、オペレーション不可であることを表示する（図１８参照）。
【０１３８】
可能な操作であれば処理はステップＳ２８１０へ進み、部分ポリシーマトリックス２０９ｄから文書ＩＤ、ユーザＩＤ、オペレーションに対応するポリシーを調べる。部分ポリシーマトリックス２０９ｄでオペレーションが許可されない場合には、次にステップＳ２８１２へ進みオペレーション拒否を表示する（図１５参照）。ユーザが部分ポリシーマトリックス２０９ｄに載っていない場合には処理はステップＳ２８１１へ進んで、デフォルトのポリシーを参照する。デフォルトのポリシーでも許可されない場合にはステップＳ２８１２へ進み、オペレーション拒否を表示する（図１５参照）。
【０１３９】
部分ポリシーマトリックス２０９ｄで許可されていた場合、あるいはデフォルトポリシーで許可されている場合には、処理は次に操作が印刷であるか否かを判定する。印刷であれば次に、この文書はネットワークダウンが発生して以来初めて印刷されるのであるか否かを判定する。すでに一度印刷されたことがある文書であればステップＳ２８１２へ進みオペレーション拒否を表示する（図１５参照）。まだ印刷されたことがないのであれば、ステップＳ２８１３へ進み印刷済みであることを示すフラグを文書印刷履歴２０９ｅ（詳細は不図示）に書き込んでおき、ステップＳ２８１４へ進み文書の操作（印刷）を実施する。そして、ステップＳ２８１５へ進み操作の結果を表示する。操作結果の表示は、既に図１６又は図１７に示した。
【０１４０】
ステップＳ２８０４、ステップＳ２８０９、ステップＳ２８１２、そしてステップＳ２８１５後は、終了するか否かを判定し、終了しないのであればステップＳ２８０２から処理を続行する。終了するのであればステップＳ２８１６へ進み、処理を終了する。
【０１４１】
ここでは印刷処理の例を記載したが、メモリーカードへの複製、あるいはファクシミリ送信などの操作に対しても同様に履歴を管理し、各文書に対して最初の一回だけしかその操作を許さないとすることが可能である。なお、回数は１回に限定されない。操作の種類によって異なる回数を設定してもよい。
【０１４２】
本ＭＦＰの文書の操作手順例２によれば、ネットワークダウン時には各文書は印刷、あるいはメモリーカードへの複製、ファクシミリ送信を行おうとしても、最大でも一回しか操作できない。これにより、ネットワークダウン時に取り出したい文書を取り出すことを可能にするとともに、ネットワークダウンしている間に文書をむやみに持ち出されることを防ぐことが可能になる。
【０１４３】
（ネットワークからの切断状態時のＭＦＰの文書の操作手順例３）
上記操作手順例２では、ネットワークから切断した場合のＭＦＰによる文書の操作回数を制限した。しかしながら、１回の操作が例えば印刷であれば、文書全体を持ち出されてしまう。一方、操作を禁止してしまえば文書の確認することさえ出来ない。本操作手順例３では、文書全体を持ち出されずに内容を確認する手順を提案する。
【０１４４】
図２５のアクティビティ図を用いて、本操作手順３において、ネットワークダウン時におけるユーザがＭＦＰ上の文書の操作を行う際の動作を説明する。
【０１４５】
ステップＳ２９０１から、ＭＦＰが処理を開始する。まずステップＳ２９０２で、ＭＦＰはログイン画面を表示する（図１１参照）。ユーザはその画面に対して、ステップＳ２９０３にてユーザ名とパスワードを入力する。ユーザ情報２０９ｃに基づいてユーザの認証を行ない、認証されない場合にはＭＦＰはステップＳ２９０４へ進み、ログイン失敗を表示する（図１２参照）。
【０１４６】
認証された場合には処理はステップＳ２９０５へ進み、今度は格納文書情報２０９ｂに基づいて文書の選択画面を表示する（図１３参照）。ユーザはステップＳ２９０６にて文書を選択する。続いてＭＦＰは、ステップＳ２９０７にてオペレーションの選択画面を表示し、ユーザはステップＳ２９０８でオペレーションを選択する（図１４参照）。
【０１４７】
ＭＦＰはネットワークダウン時に可能な操作であるか否かを判定し、可能な操作でないのであればステップＳ２９０９へ進んでオペレーション不可であることを表示する（図１８参照）。
【０１４８】
可能な操作であれば処理はステップＳ２９１０へ進み、部分ポリシーマトリックス２０９ｄから文書ＩＤ、ユーザＩＤ、オペレーションに対応するポリシーを調べる。オペレーションが許可されない場合には次にステップＳ２９１２へ進み、オペレーション拒否を表示する（図１５参照）。ユーザが部分ポリシーマトリックス２０９ｄに載っていない場合には処理はステップＳ２９１１へ進んで、デフォルトのポリシーを参照する。デフォルトのポリシーでも許可されない場合にはステップＳ２９１２へ進み、オペレーション拒否を表示する（図１５参照）。
【０１４９】
部分ポリシーマトリックス２０９ｄで許可されていた場合、あるいはデフォルトポリシーで許可されている場合には、処理は次に操作が印刷であるか否かを判定する。印刷であれば次に、ステップＳ２９１３へ進み最初の一定ページとして１０ページだけを印刷した後、ステップＳ２９１５へ進み操作の結果を表示する。操作が印刷ではなかった場合には処理はステップＳ２９１４へ進み、通常の文書の操作を実行した後、同様にステップＳ２９１５へ進み操作の結果を表示する。操作結果の表示は、既に図１６又は図１７に示した。
【０１５０】
ステップＳ２９０４、ステップＳ２９０９、ステップＳ２９１２、そしてステップＳ２９１５後は、終了するか否かを判定し、終了しないのであればステップＳ２９０２から処理を続行する。終了するのであればステップＳ２９１６へ進み処理を終了する。
【０１５１】
本操作手順例３では印刷の例を記載したが、メモリーカードへの複製、あるいはファクシミリ送信などの操作に対しても、各文書に対して最初の１０ページだけしかその操作を許さないとすることが可能である。
【０１５２】
本操作手順例３によれば、ネットワークダウン時には各文書は印刷、あるいはメモリーカードへの複製、ファクシミリ送信を行おうとした場合でも、最大最初の１０ページまでしか印刷することができないため、文書の内容を確認するような用途には使用できるが内容全てを持ち出すことはできなくなる。これによってセキュリティを向上させることが可能になる。
【０１５３】
＜ネットワークからの切断状態時のＭＦＰによる文書の印刷処理例＞
上記ネットワークからの切断状態時のＭＦＰの文書の操作手順例２及び３では、文書の印刷において、印刷回数や印刷ページに制限を設けて、文書の印刷は可能であるが同時にセキュリティを向上させる処理について説明した。
【０１５４】
本印刷処理例では、印刷に対して工夫を施すことで、印刷された文書の複製を禁止する方法を提案する。なお、かかる印刷処理例を、上記操作手順例１乃至３と組合せることも可能である。
【０１５５】
（文書と一緒に地紋を印刷する例）
本例においては、ネットワークと接続している図９において文書を印刷した場合と、図１０（図２４，図２５）において文書を印刷した場合で、印刷の結果が異なる。図９に示したネットワークが稼動している場合に行われる文書の印刷では、文書がそのまま印刷が行われる。一方、図１０（図２４，図２５）に示したネットワークあるいはポリシーサーバがダウンしている場合に行われる文書の印刷では、地紋が文書と一緒に印刷され、どのような状況で印刷された文書であるかが分かるようになっている。
【０１５６】
図２６は、本例における文書を印刷した結果を模式的に図にしたものである。
【０１５７】
２４０１は図９の動作によって印刷された文書であり、２４０２は本文部分である。２４０３は図１０（図２４，図２５）の動作によって印刷された文書であり、２４０４は同じく本文部分である。２４０５は、ネットワークダウン時のみに加えられる地紋である。
【０１５８】
このため、ネットワークがダウンしている間はこの文書は閲覧するために印刷することは可能であるが、これをコピーすると地紋が浮かび上がってしまい判読しづらくなってしまう。そのため、コピーして配布するような用途には使えないことになる。
【０１５９】
図２７は、地紋が印刷された文書のコピーを模式的に図にしたものである。
【０１６０】
２５０１は文書２４０３のコピーであり、２５０２は本文部分である。２５０３は地紋部分であり、これはコピーしたことによって濃い黒で浮かび上がっている。  以上のように、本例では、ネットワークダウン時の文書の印刷操作時に印刷結果に地紋を加えることによって、ネットワークダウン時に悪意を持ったユーザが文書を大量にコピーして悪用することを防止することができる。
【０１６１】
（文書に電子透かしを埋め込む例）
本例においても、図９において文書を印刷した場合と、図１０（図２４，図２５）において文書を印刷した場合で、印刷結果が異なる。図９に示したネットワークが稼動している場合に行われる文書の印刷では文書そのままの印刷が行われる。一方、図１０（図２４，図２５）に示したネットワークあるいはポリシーサーバがダウンしている場合に行われる文書の印刷では、印刷結果の中に電子透かしが追加して埋め込まれ、誰がいつ印刷したものであるのかがわかるようになっている。
【０１６２】
図２８は、電子透かしが埋め込まれた印刷結果の例を模式的に図示したものである。
【０１６３】
２６０１は印刷結果であり、２６０２は本文部分である。２６０３は点線の円で囲まれた部分を拡大したものであるが、ここに文字間隔を意図的に変化させることや、ドットの並びを変化させることなどの、一般的に電子透かしと呼ばれる手段で情報を埋め込むことが可能になる。この情報は、コピーなどでも消えないように埋め込むことが可能であるため、たとえばネットワークダウン時に誰かが文書を持ち去った場合にはこの情報を用いることで、持ち去った者を特定することが可能になる。
【０１６４】
以上のように、本例では、ネットワークダウン時の文書の印刷操作時に印刷結果に電子透かしを加えることによって、ネットワークダウン時に悪意を持ったユーザが文書を持ち出したり、コピーして悪用したりすることを防止することができる。
【０１６５】
（電子透かしによる複写の制限例）
図２９フローチャートを参照して、ネットワークダウン時の複写処理における電子透かしの追加による複写の制限例の説明を行なう。
【０１６６】
ステップＳ３００１で、ＭＦＰが処理を開始する。ステップＳ３００２にて原稿台に原稿がセットされているか否かをチェックする。セットされていなければステップＳ３００２へ戻り処理を続行する。セットされていればステップＳ３００３へ進み、まず複写ボタンを有効にする。続くステップＳ３００４で複写ボタンが押されたか否かを判定し、押されていなければステップＳ３００４へ戻り処理を続行する。押されていればステップＳ３００５へ進む。
【０１６７】
ステップＳ３００５では原稿台から原稿を読み出す。そして、続くステップＳ３００６では、原稿に電子透かしが入っているか否かを判定する。電子透かしが入っていない場合にはステップＳ３０１０へ進む。電子透かしが入っている場合にはステップＳ３００７へ進む。
【０１６８】
ステップＳ３００７では電子透かしを読み込み、電子透かしから文書情報を取り出す。続くステップＳ３００８で、文書情報から複写が許可されているか否か判定可能であるか否かを判定する。判定可能であればステップＳ３００９へ進む。判定不可能であればステップＳ３０１０へ進む。
【０１６９】
ステップＳ３００９では複写が許可されているか否かを判定し、許可されていなければステップＳ３０１０へ進む。許可されていればステップＳ３０１１へ進み、複写を実行する。そして続くステップＳ３０１２にて複写の結果を表示する。その後ステップＳ３０１３へ進む。
【０１７０】
ステップＳ３０１０へ進んだ場合は、複写を拒否することを表示する。そしてステップＳ３０１３へ進む。ステップＳ３０１３では複写ボタンを無効にし、続くステップＳ３０１４で全体の処理を終了するか否かを判定する。処理を終了するのであればステップＳ３０１５へ進み、処理を終了する。処理を終了しないのであれば再びステップＳ３００２へ戻って、処理を続行する。
【０１７１】
以上のように、本例では、ネットワークダウン時の文書の複写操作時に電子透かしにより複写を制限することによって、ネットワークダウン時に悪意を持ったユーザが文書を持ち出したり、コピーして悪用したりすることを防止することができる。
【０１７２】
（画像の解像度を落とす例）
本例においては、図９において文書を印刷した場合と、図１０（図２４，図２５）において文書を印刷した場合で、印刷結果が異なる。図９に示したネットワークが稼動している場合に行われる文書の印刷では文書そのままで印刷が行われる。一方、図１０（図２４，図２５）に示したネットワークあるいはポリシーサーバがダウンしている場合に行われる文書の印刷では、印刷結果中の画像データが解像度の低いものに変換される。
【０１７３】
図３０は、画像データが解像度の低いものに変換された印刷結果の例を模式的に図示したものである。
【０１７４】
２７０１は通常時の印刷結果であり、２７０２は本文部分である。２７０３は画像データである。２７０４はネットワークダウン時の印刷結果であり、２７０５は本文部分である。２７０６は画像データであり、２７０３の画像の解像度を落としたものである。このように画像データの解像度を落とすと文書の利用価値が下がるため悪用される恐れが低くなる。
【０１７５】
以上のように、本例では、ネットワークダウン時の文書の印刷操作時に印刷結果において画像データの解像度を落とすことによって、ネットワークダウン時に悪意を持ったユーザが文書を持ち出し悪用することを抑止することができる。
【０１７６】
なお、実施形態の最初にも記載した如く、本発明はネットワーク印刷システムにおける処理に限定されない。本発明は、ネットワークの障害やネットワークからの離脱があっても、情報の機密性が保持されると共に、情報処理の許可が維持される構成を開示するものであり、この構成が実現可能な全てのネットワークシステムに適用できる。これらも本発明に含まれるものである。
【０１７７】
又、本発明は、複数の機器（例えばホストコンピュータ、インタフェース機器、プリンタなど）から構成されるシステムあるいは統合装置に適用しても、ひとつの機器からなる装置に適用してもよい。
【０１７８】
又、本発明の目的が、前述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記憶媒体（または記録媒体）を、システムあるいは装置に供給することによって、達成されることは言うまでもない。この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施形態の機能を実現することになり、そのプログラムコードを記憶した記憶媒体は本発明を構成することになる。又、コンピュータが読み出したプログラムコードの指示に基づき、オペレーティングシステム（OS）などが実際の処理の一部または全部を行い、前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【０１７９】
さらに、記憶媒体から読み出されたプログラムコードが、コンピュータに挿入された機能拡張カードやコンピュータに接続された機能拡張ユニットに備わるメモリに書込まれる。その後、そのプログラムコードの指示に基づき、機能拡張カードや機能拡張ユニットに備わるCPUなどが実際の処理の一部または全部を行い、前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【０１８０】
本発明を上記記憶媒体に適用する場合、その記憶媒体には、先に説明したフローチャートに対応するプログラムコードが格納されることになる。
【図面の簡単な説明】
【０１８１】
【図１】本実施形態のネットワーク印刷システムの構成例を示す図である。
【図２Ａ】本実施形態のＭＦＰの内部構成例を示す図である。
【図２Ｂ】本実施形態のＭＦＰが有する情報の構成例を示す図である。
【図３Ａ】本実施形態のポリシーサーバ、情報処理装置、機器管理サーバの内部構成例を示す図である。
【図３Ｂ】本実施形態のポリシーサーバが有する情報の構成例を示す図である。
【図３Ｃ】本実施形態の機器管理サーバが有する情報の構成例を示す図である。
【図４】本実施形態のポリシーサーバの基本動作の手順例を示すフローチャートである。
【図５】本実施形態のＭＦＰの文書格納に伴う動作手順例を示すアクティビティ図である。
【図６Ａ】、
【図６Ｂ】本実施形態の機器管理サーバの部分ポリシーマトリックスを取得する動作とＭＦＰが部分ポリシーマトリックスを受信して保管する動作の手順例１を示すアクティビティ図である。
【図７】本実施形態の機器管理サーバが作成し、ＭＦＰが受信して保持している部分ポリシーマトリックスのうちの１つの文書に関わる部分を模式的にあらわした図である。
【図８】本実施形態の機器管理サーバが作成し、ＭＦＰが受信して保持している部分ポリシーマトリックスを模式的にあらわした図である。
【図９】本実施形態のネットワーク接続時のＭＦＰの文書操作に伴う動作手順例を示すアクティビティ図である。
【図１０】本実施形態のＭＦＰのネットワークダウン時の文書操作に伴う動作手順例１を示すアクティビティ図である。
【図１１】本実施形態のＭＦＰが表示するログイン画面の例を示す図である。
【図１２】本実施形態のＭＦＰが表示するログイン失敗表示画面の例を示す図である。
【図１３】本実施形態のＭＦＰが表示する文書選択画面の例を示す図である。
【図１４】本実施形態のＭＦＰが表示する操作選択画面の例を示す図である。
【図１５】本実施形態のＭＦＰが表示する操作拒否表示画面の例を示す図である。
【図１６】本実施形態のＭＦＰが表示する操作の結果表示画面の例を示す図である。
【図１７】本実施形態のＭＦＰが表示する操作の結果表示画面のもう一つの例を示す図である。
【図１８】本実施形態のＭＦＰが表示するネットワークダウン中に実行できない操作の警告画面の例を示す図である。
【図１９】本実施形態においてネットワークダウン時のポリシーを設定するためのルールの一例を示す模式図である。
【図２０Ａ】、
【図２０Ｂ】本実施形態の機器管理サーバの部分ポリシーマトリックスを取得する動作とＭＦＰが部分ポリシーマトリックスを受信して保管する動作の手順例２を示すアクティビティ図である。
【図２１】本実施形態において手順例２で設定される部分ポリシーマトリックスの例を示す図である。
【図２２】本実施形態の機器管理サーバにおけるネットワークダウン時のポリシーの決定ルールを設定する画面の例を示す図である。
【図２３Ａ】本実施形態の機器管理サーバにおけるポリシーの決定ルールを設定する動作例を示すアクティビティ図である。
【図２３Ｂ】、
【図２３Ｃ】本実施形態の機器管理サーバの部分ポリシーマトリックスを取得する動作とＭＦＰが部分ポリシーマトリックスを受信して保管する動作の手順例３を示すアクティビティ図である。
【図２４】本実施形態のＭＦＰのネットワークダウン時の文書操作に伴う動作の手順例２を示すアクティビティ図である。
【図２５】本実施形態のＭＦＰのネットワークダウン時の文書操作に伴う動作の手順例３を示すアクティビティ図である。
【図２６】本実施形態のネットワークが正常に稼動している状況での印刷結果とネットワークがダウンしている状況での地紋を印刷した印刷結果を模式的に表した図である。
【図２７】本実施形態のネットワークダウン時に印刷した地紋を有する文書をコピーした結果を模式的に表した図である。
【図２８】本実施形態でネットワークがダウンしている状況での印刷結果に電子透かしが埋め込まれている様子を模式的に表した図である。
【図２９】本実施形態のＭＦＰの電子透かしが埋め込まれている文書の複写操作に伴う動作手順例を示すフローチャートである。
【図３０】本実施形態のネットワークが正常に稼動している状況での印刷結果とネットワークがダウンしている状況での画像の解像度を落とした印刷結果を模式的に表した図である。
【図１】
2009048329.tif 000003
【図２Ａ】
2009048329.tif 000004
【図２Ｂ】
2009048329.tif 000005
【図３Ａ】
2009048329.tif 000006
【図３Ｂ】
2009048329.tif 000007
【図３Ｃ】
2009048329.tif 000008
【図４】
2009048329.tif 000009
【図５】
2009048329.tif 000010
【図６Ａ】
2009048329.tif 000011
【図６Ｂ】
2009048329.tif 000012
【図７】
2009048329.tif 000013
【図８】
2009048329.tif 000014
【図９】
2009048329.tif 000015
【図１０】
2009048329.tif 000016
【図１１】
2009048329.tif 000017
【図１２】
2009048329.tif 000018
【図１３】
2009048329.tif 000019
【図１４】
2009048329.tif 000020
【図１５】
2009048329.tif 000021
【図１６】
2009048329.tif 000022
【図１７】
2009048329.tif 000023
【図１８】
2009048329.tif 000024
【図１９】
2009048329.tif 000025
【図２０Ａ】
2009048329.tif 000026
【図２０Ｂ】
2009048329.tif 000027
【図２１】
2009048329.tif 000028
【図２２】
2009048329.tif 000029
【図２３Ａ】
2009048329.tif 000030
【図２３Ｂ】
2009048329.tif 000031
【図２３Ｃ】
2009048329.tif 000032
【図２４】
2009048329.tif 000033
【図２５】
2009048329.tif 000034
【図２６】
2009048329.tif 000035
【図２７】
2009048329.tif 000036
【図２８】
2009048329.tif 000037
【図２９】
2009048329.tif 000038
【図３０】
2009048329.tif 000039