JP4957732B2 - アクセス制限ファイル、制限ファイル生成装置、ファイル生成装置の制御方法、ファイル生成プログラム - Google Patents

Description

本発明は、暗号化などによってデータにアクセス制限をかけたアクセス制限ファイルおよび該アクセス制限ファイルを生成する制限ファイル生成装置、ファイル生成装置の制御方法、ファイル生成プログラムに関する。

機密情報などの重要データを外部へ持ち出したり配布したりする場合には情報漏洩防止の観点から、一般に、暗号化などによるアクセス制限が行われる。

この際、データを単に暗号化するだけでは、暗号鍵を何らかの方法で入手して復号化されると、その後の監視がきかなくなる。また、アクセス制限をかけて配布等した後に、セキュリティレベルを高めたい、あるいはパスワードを変更したいなど、制限情報を変更したい場合も生じ得る。

特許文献１には、文書データの印刷制限に関して、上記の問題や要請に配慮したシステムが開示されている。このシステムでは、暗号鍵とプリントを許可するプリンタや文書のＩＤ（Identification）などの制限情報とを管理サーバで管理しておき、暗号化文書の印刷を指示されたプリンタが、その暗号化文書の文書ＩＤや当該プリンタのプリンタＩＤなどを管理サーバに送信して印刷の許否を問い合わせし、許可された場合にのみ管理サーバの有する暗号鍵で暗号化文書を復号化して印刷するようになっている。これにより、プリンタＩＤや文書ＩＤなどの制限情報でアクセス制限できると共に、管理サーバに登録する制限情報を変更することで、暗号化文書の配布後においても印刷の許否条件を変更することができるようになっている。

特開２００５−３０９８８１号公報

重要なデータを出張先などに暗号化して持ち出す場合、特許文献１に開示の技術では、暗号化文書を印刷できるのは、管理サーバへのアクセス機能を備えたプリンタのみに限定される。このため、出張先にこの機能を備えたプリンタがなければ、管理サーバに登録されている制限情報（たとえば、印刷を許可するプリンタのプリンタＩＤ）を変更できたとしても、暗号化文書を復号化させて印刷することはできない。

本発明は、上記の問題を解決しようとするものであり、管理サーバによるアクセス権の判定を汎用の情報処理装置から可能にするアクセス制限ファイルおよび該アクセス制限ファイルを生成する制限ファイル生成装置、ファイル生成装置の制御方法、ファイル生成プログラムを提供することを目的としている。

かかる目的を達成するための本発明の要旨とするところは、次の各項の発明に存する。

［１］ユーザの操作に対するアクセスが制限されたデータと、前記データを出力した画像形成装置のネットワーク上のアドレスを示すアドレス情報と、前記画像形成装置に対応するプリンタドライバを特定するドライバ特定情報と、前記画像形成装置に対応するプリンタドライバを、前記ネットワークを介して前記画像形成装置に接続された情報処理装置に入手させる処理を行わせる入手プログラムとを含むアクセス制限ファイルであって、
前記入手プログラムは、前記情報処理装置に、
前記データ対して所定の操作を行う要求を受けたとき、前記ドライバ特定情報で特定されるプリンタドライバが自機にインストールされているか否かを判断する第１のステップと、
前記プリンタドライバが自機にインストールされていない場合に、前記ドライバ特定情報に基づいて前記プリンタドライバを入手する第２のステップとを実行させ、
前記プリンタドライバは、前記情報処理装置に、
前記アドレス情報に基づいて前記画像形成装置に対して前記データに対するアクセス権の確認を依頼する第３のステップと、
前記第３のステップによりアクセス権が確認された場合は前記データに対する前記操作を許可し、アクセス権が確認されない場合は前記データに対する前記操作を禁止するように前記情報処理装置を動作させる第４のステップと、
前記操作が所定時間継続されたとき、前記確認を再度依頼する第５のステップと、
前記第５のステップによりアクセス権が確認された場合は前記データに対する前記操作の継続を許可し、アクセス権が確認されない場合は前記操作が行われた前記データに関するタスクを強制終了する第６のステップと、
を実行させる
ことを特徴とするアクセス制限ファイル。

上記発明では、アクセス制限ファイル自体に、ユーザの操作に対するアクセスが制限されたデータと、このデータを出力した画像形成装置のネットワーク上のアドレスを示すアドレス情報と、前記画像形成装置に対応するプリンタドライバを特定するドライバ特定情報と、前記画像形成装置に対応するプリンタドライバを、前記ネットワークを介して前記画像形成装置に接続された情報処理装置に入手させる処理を行わせる入手プログラムとが含まれている。これにより、当該アクセス制限ファイルを使用するユーザや情報処理装置が確認先の画像形成装置を既知でない場合であっても、指定された画像形成装置にアクセス権の確認を依頼することができ、セキュリティを確保しつつアクセス制限ファイルを汎用の情報処理装置で利用可能になる。

また、アクセス制限ファイルに付加されている入手プログラムによって入手したプリンタドライバによって情報処理装置にアクセス権の確認を依頼する処理を行わせることができる。これにより、アクセス制限ファイルに対応したプリンタドライバをユーザが用意する必要がなく、対応プログラムがインストールされていない情報処理装置においてもアクセス制限ファイルの利用が可能になる。すなわち、アクセス制限ファイルさえ有れば、任意の情報処理装置でアクセス制限ファイルのアクセス権の確認を依頼することが可能になる。また、アクセス制限ファイル内のデータに対する操作の許可・禁止にかかわる監視動作が、アクセス制限ファイルに付加されている入手プログラムによって入手したプリンタドライバによって行われる。操作毎にアクセス権を確認するので、一度の確認でその後はアクセス自由とする場合に比べて、高いセキュリティを確保することができる。また、操作が所定時間継続された場合に、アクセス権の確認が再度行われる。所定時間の経過毎にアクセス権を確認するので、一度の確認でその後はアクセス自由とする場合に比べて、高いセキュリティを確保することができる。

［２］前記データは暗号化されており、
前記プリンタドライバは、更に、
前記第３のステップによりアクセス権が確認された場合は前記データを復号化する第７のステップを含み、
前記第６のステップにおいて、前記データに関するタスクを強制終了する際に、前記復号化された前記データを削除する
ことを特徴とする［１］に記載のアクセス制限ファイル。

上記発明では、アクセス制限データは暗号化によりセキュリティが確保される。アクセス権が確認された場合には、たとえば、管理サーバから復号鍵が提供されてアクセス制限が解除される。また、閲覧や印刷などの操作に対する監視は、復号後のデータをアクセス制限ファイルに付加されている入手プログラムによって入手したプリンタドライバの監視下に置くことによって行われる。

［３］前記操作は、前記データの閲覧開始、前記データにおける閲覧ページの変更、前記データの更新、前記データの印刷、前記データの複製の少なくとも１つである
ことを特徴とする［１］または［２］に記載のアクセス制限ファイル。

上記発明では、データの閲覧開始、閲覧ページの移動、データの更新、
印刷、複製などの操作に係る要求が発生する毎にアクセス権が確認される。

［４］前記プリンタドライバは、前記確認に使用される照合情報を入力し、該入力された照合情報を付加して前記依頼を行うように前記情報処理装置を動作させるものである
ことを特徴とする［１］乃至［３］のいずれか１つに記載のアクセス制限ファイル。

上記発明では、アクセス制限ファイルの使用に際して、アクセス権の確認に使用される照合情報の入力が求められる。たとえば、当該アクセス制限ファイルを使用するユーザのユーザＩＤ、パスワード、情報処理装置の装置ＩＤなどが照合情報にされる。

［５］ユーザの操作に対するアクセスが制限されたデータと、前記データを出力した画像形成装置のネットワーク上のアドレスを示すアドレス情報と、前記画像形成装置に対応するプリンタドライバを特定するドライバ特定情報と、前記画像形成装置に対応するプリンタドライバを、前記ネットワークを介して前記画像形成装置に接続された情報処理装置に入手させる処理を行わせる入手プログラムとを含むアクセス制限ファイルを生成する生成部、
を有し、
前記入手プログラムは、前記情報処理装置に、
前記データ対して所定の操作を行う要求を受けたとき、前記ドライバ特定情報で特定されるプリンタドライバが自機にインストールされているか否かを判断する第１のステップと、
前記プリンタドライバが自機にインストールされていない場合に、前記ドライバ特定情報に基づいて前記プリンタドライバを入手する第２のステップとを実行させ、
前記プリンタドライバは、前記情報処理装置に、
前記アドレス情報に基づいて前記画像形成装置に対して前記データに対するアクセス権の確認を依頼する第３のステップと、
前記第３のステップによりアクセス権が確認された場合は前記データに対する前記操作を許可し、アクセス権が確認されない場合は前記データに対する前記操作を禁止するように前記情報処理装置を動作させる第４のステップと、
前記操作が所定時間継続されたとき、前記確認を再度依頼する第５のステップと、
前記第５のステップによりアクセス権が確認された場合は前記データに対する前記操作の継続を許可し、アクセス権が確認されない場合は前記操作が行われた前記データに関するタスクを強制終了する第６のステップと、
を実行させる
ことを特徴とする制限ファイル生成装置。

上記発明では、ユーザの操作に対するアクセスが制限されたデータと、前記データを出力した画像形成装置のネットワーク上のアドレスを示すアドレス情報と、前記画像形成装置に対応するプリンタドライバを特定するドライバ特定情報と、前記画像形成装置に対応するプリンタドライバを、前記ネットワークを介して前記画像形成装置に接続された情報処理装置に入手させる処理を行わせる入手プログラムとを含むアクセス制限ファイルが生成される。これにより、当該アクセス制限ファイルを使用するユーザや情報処理装置が確認先の画像形成装置を既知でない場合であっても、指定された画像形成装置にアクセス権の確認を依頼することができ、セキュリティを確保しつつアクセス制限ファイルを汎用の情報処理装置で利用可能になる。また、アクセス制限ファイルに付加した入手プログラムによって入手されたプリンタドライバによって情報処理装置にアクセス権の確認を依頼する処理を行わせることができる。これにより、アクセス制限ファイルに対応したプログラムをユーザが用意する必要がなく、対応プログラムがインストールされていない情報処理装置においてもアクセス制限ファイルの利用が可能になる。すなわち、アクセス制限ファイルさえ有れば、任意の情報処理装置でアクセス制限ファイルのアクセス権を確認して利用することが可能になる。また、アクセス制限ファイル内のデータに対する操作の許可・禁止にかかわる監視動作が、アクセス制限ファイルに付加されている入手プログラムによって入手したプリンタドライバによって行われる。操作毎にアクセス権を確認するので、一度の確認でその後はアクセス自由とする場合に比べて、高いセキュリティを確保することができる。また、操作が所定時間継続された場合に、アクセス権の確認が再度行われる。所定時間の経過毎にアクセス権を確認するので、一度の確認でその後はアクセス自由とする場合に比べて、高いセキュリティを確保することができる。

［６］前記データは暗号化されており、
前記プリンタドライバは、更に、
前記第３のステップによりアクセス権が確認された場合は前記データを復号化する第７のステップを含み、
前記第６のステップにおいて、前記データに関するタスクを強制終了する際に、前記復号化された前記データを削除する
ことを特徴とする［５］に記載の制限ファイル生成装置。

上記発明では、アクセス制限データは暗号化によりセキュリティが確保される。アクセス権が確認された場合には、たとえば、管理サーバから復号鍵が提供されてアクセス制限が解除される。また、閲覧や印刷などの操作に対する監視は、復号後のデータをアクセス制限ファイルに付加されている入手プログラムによって入手したプリンタドライバの監視下に置くことによって行われる。

［７］前記アクセス権を確認するための条件情報を前記画像形成装置に登録する条件登録部をさらに有する
ことを特徴とする［５］または［６］に記載の制限ファイル生成装置。

上記発明では、アクセス制限ファイルに対するアクセス権を確認するための条件情報が画像形成装置に登録される。条件情報は、アクセス権有無の判断基準となるものであり、たとえば、使用ユーザを制限する場合は使用可能なユーザの情報、使用端末を制限する場合は使用可能な端末の情報、使用期間を制限する場合は使用可能な期間を示す情報、使用可能な操作を制限する場合は使用可能とする操作の情報が条件情報として登録される。

［８］前記操作は、前記データの閲覧開始、前記データにおける閲覧ページの変更、前記データの更新、前記データの印刷、前記データの複製の少なくとも１つを含む
ことを特徴とする［５］乃至［７］のいずれか１つに記載の制限ファイル生成装置。

上記発明では、データの閲覧開始、閲覧ページの移動、データの更新、
印刷、複製などの操作に係る要求が発生する毎にアクセス権が確認される。

［９］前記プリンタドライバは、前記確認に使用される照合情報を入力し、その入力された照合情報を付加して前記依頼を行うように前記情報処理装置を動作させるものである
ことを特徴とする［５］乃至［８］のいずれか１つに記載の制限ファイル生成装置。

上記発明では、アクセス制限ファイルの使用に際して、アクセス権の確認に使用される照合情報の入力が求められる。たとえば、当該アクセス制限ファイルを使用するユーザのユーザＩＤ、パスワード、情報処理装置の装置ＩＤなどが照合情報にされる。

［１０］ファイル生成装置を、ユーザの操作に対するアクセスが制限されたデータと、前記データを出力した画像形成装置のネットワーク上のアドレスを示すアドレス情報と、前記画像形成装置に対応するプリンタドライバを特定するドライバ特定情報と、前記画像形成装置に対応するプリンタドライバを、前記ネットワークを介して前記画像形成装置に接続された情報処理装置に入手させる処理を行わせる入手プログラムとを含むアクセス制限ファイルを生成するように制御し、
前記入手プログラムは、前記情報処理装置に、
前記データ対して所定の操作を行う要求を受けたとき、前記ドライバ特定情報で特定されるプリンタドライバが自機にインストールされているか否かを判断する第１のステップと、
前記プリンタドライバが自機にインストールされていない場合に、前記ドライバ特定情報に基づいて前記プリンタドライバを入手する第２のステップとを実行させ、
前記プリンタドライバは、前記情報処理装置に、
前記アドレス情報に基づいて前記画像形成装置に対して前記データに対するアクセス権の確認を依頼する第３のステップと、
前記第３のステップによりアクセス権が確認された場合は前記データに対する前記操作を許可し、アクセス権が確認されない場合は前記データに対する前記操作を禁止するように前記情報処理装置を動作させる第４のステップと、
前記操作が所定時間継続されたとき、前記確認を再度依頼する第５のステップと、
前記第５のステップによりアクセス権が確認された場合は前記データに対する前記操作の継続を許可し、アクセス権が確認されない場合は前記操作が行われた前記データに関するタスクを強制終了する第６のステップと、
を実行させる
ことを特徴とするファイル生成装置の制御方法。
［１１］前記データは暗号化されており、
前記プリンタドライバは、更に、
前記第３のステップによりアクセス権が確認された場合は前記データを復号化する第７のステップを含み、
前記第６のステップにおいて、前記データに関するタスクを強制終了する際に、前記復号化された前記データを削除する
ことを特徴とする［１０］に記載のファイル生成装置の制御方法。
［１２］ファイル生成装置を、ユーザの操作に対するアクセスが制限されたデータと、前記データを出力した画像形成装置のネットワーク上のアドレスを示すアドレス情報と、前記画像形成装置に対応するプリンタドライバを特定するドライバ特定情報と、前記画像形成装置に対応するプリンタドライバを、前記ネットワークを介して前記画像形成装置に接続された情報処理装置に入手させる処理を行わせる入手プログラムとを含むアクセス制限ファイルを生成するように動作させ、
前記入手プログラムは、前記情報処理装置に、
前記データ対して所定の操作を行う要求を受けたとき、前記ドライバ特定情報で特定されるプリンタドライバが自機にインストールされているか否かを判断する第１のステップと、
前記プリンタドライバが自機にインストールされていない場合に、前記ドライバ特定情報に基づいて前記プリンタドライバを入手する第２のステップとを実行させ、
前記プリンタドライバは、前記情報処理装置に、
前記アドレス情報に基づいて前記画像形成装置に対して前記データに対するアクセス権の確認を依頼する第３のステップと、
前記第３のステップによりアクセス権が確認された場合は前記データに対する前記操作を許可し、アクセス権が確認されない場合は前記データに対する前記操作を禁止するように前記情報処理装置を動作させる第４のステップと、
前記操作が所定時間継続されたとき、前記確認を再度依頼する第５のステップと、
前記第５のステップによりアクセス権が確認された場合は前記データに対する前記操作の継続を許可し、アクセス権が確認されない場合は前記操作が行われた前記データに関するタスクを強制終了する第６のステップと、
を実行させる
ことを特徴とするファイル生成プログラム
［１３］前記データは暗号化されており、
前記プリンタドライバプログラムは、更に、
前記第３のステップによりアクセス権が確認された場合は前記データを復号化する第７のステップを含み、
前記第６のステップにおいて、前記データに関するタスクを強制終了する際に、前記復号化された前記データを削除する
ことを特徴とする［１２］に記載のファイル生成プログラム。

本発明に係るアクセス制限ファイルおよび制限ファイル生成装置、ファイル生成装置の制御方法、ファイル生成プログラムによれば、アクセス制限ファイルにアクセス権の確認先情報を含めたので、この確認先情報に基づいて汎用の情報処理装置から管理サーバにアクセス権の有無を問い合わせてデータを利用することが可能になる。

本発明の実施の形態に係わる印刷システムのシステム構成例を示す説明図である。 本発明の実施の形態に係る画像形成装置の概略構成を示すブロック図である。 端末装置の概略構成を示すブロック図である。 本発明の実施の形態に係る制限ファイルのデータ構成を示す説明図である。 端末装置と画像形成装置との間で通信される各種信号のデータ構造を示す説明図である。 各種信号の各領域に格納される情報の詳細を示す説明図である。 端末装置からのコピー操作要求に応じて制限ファイルを生成する際の画像形成装置の動作を示す流れ図である。 管理テーブルのデータ構成を示す説明図である。 図７の動作に対応したシーケンス図である（ステップＳ１０２；Ｎｏの場合）。 図７の動作に対応したシーケンス図である（ステップＳ１０３；Ｎｏの場合）。 図７の動作に対応したシーケンス図である（ステップＳ１０３；Ｙｅｓの場合）。 ＭＦＰドライバの印刷設定画面を示す正面図である。 ＭＦＰドライバのプロパティ画面を示す正面図である。 ＭＦＰドライバの操作許可条件設定画面を示す正面図である。 ケース２の暗号化において端末装置が行う動作を示す流れ図である。 ケース２の暗号化において画像形成装置が行う動作を示す流れ図である。 図１５、図１６に係る動作に対応したシーケンス図である。 制限ファイルの利用時に情報処理装置で行われる処理を示す流れ図である。 復号鍵要求を端末装置から受信した管理サーバの動作を示す流れ図である。 情報処理装置で行われる該当アプリケーションのインストール要求処理を示す流れ図である。 インストール要求を端末装置から受信した管理サーバの動作を示す流れ図である。 図１８の処理において該当アプリケーションがインストールされていない場合（ステップＳ４０７；Ｎｏ）の動作に対応するシーケンス図である。 図２２の続きを示すシーケンス図である。 図１８の処理において該当アプリケーションがインストール済みの場合（ステップＳ４０７；Ｙｅｓ）の動作に対応するシーケンス図である。 図２４の続きを示すシーケンス図である。 復号データに対する操作を監視するアプリケーションプログラムの動作を示す流れ図である。 継続確認要求を端末装置から受信した管理サーバの動作を示す流れ図である。 図２６、図２７で確認結果がアクセス権ありの場合の動作に対応するシーケンス図である。 図２６、図２７で確認結果がアクセス権なしの場合の動作に対応するシーケンス図である。 図２６、図２７で通信障害などによりＣｏｍｍａｎｄ信号５に対するＲｅｓｕｌｔ信号５を受信できなかった場合の動作に対応するシーケンス図である。 復号データに対する操作を監視するアプリケーションプログラムの動作のうち操作要求発生に伴う処理（図２６のステップＳ５０３に対応する処理）の流れを示している。 図３１の動作に対応するシーケンス図である。

以下、図面に基づき本発明の実施の形態を説明する。

図１は、本発明の実施の形態に係る画像形成装置２０を含む印刷システム２の構成例を示している。印刷システム２は、制限ファイル生成装置および管理サーバとしての機能を含む画像形成装置２０とパーソナルコンピュータなど端末装置１０とをネットワークに接続して構成される。この例では、第１ＬＡＮ（Local Area Network）３に画像形成装置２０ａ、２０ｂと端末装置１０ａが接続され、第２ＬＡＮ４に画像形成装置２０ｃ、２０ｄと端末装置１０ｂが接続され、第１ＬＡＮ３と第２ＬＡＮ４はインターネットなどのＷＡＮ（Wide Area Network）５を介して接続されている。

画像形成装置２０は、原稿画像を光学的に読み取ってその複製画像を記録紙に印刷するコピー機能、読み取った原稿の画像データをファイルにして保存したり外部端末へ送信したりするスキャン機能、パーソナルコンピュータなどの外部端末から受信した印刷ジョブに係る画像を記録紙上に形成して出力する印刷機能、画像データを送受信するファクシミリ機能などを備えた、一般に複合機と称される装置である。なお、以後、画像形成装置２０をＭＦＰとも呼ぶものとする。

画像形成装置２０にはそれぞれ固有の装置ＩＤ（Identification）が与えられている。図１の例では、画像形成装置２０ａ（ＭＦＰ１）の装置ＩＤは「Ａ−２０−００１」、画像形成装置２０ｂ（ＭＦＰ２）の装置ＩＤは「Ａ−２０−００２」、画像形成装置２０ｃ（ＭＦＰ３）の装置ＩＤは「Ａ−３０−００１」、画像形成装置２０ｄ（ＭＦＰ４）の装置ＩＤは「Ａ−３０−００２」となっている。これらの装置ＩＤにより、その画像形成装置で利用可能なＭＦＰドライバを特定可能となっている。

画像形成装置２０はさらに、自機に保存されている画像データあるいは端末装置１０等の外部装置から送られてきたデータを暗号化すると共に、該暗号化により得たデータ（暗号化データと呼ぶ。）に、その復号化や復号化後のデータに対する各種の操作（閲覧開始、閲覧ページの移動（ページ変更）、印刷、変更、複製など）を制限するための情報を付加した制限ファイル４０を生成する制限ファイル生成装置としての機能を備えている。

制限ファイル４０は画像形成装置２０から端末装置１０へ出力されてその出力先の端末装置１０で利用されるほか、たとえば、リムーバブルの記憶媒体であるＵＳＢ（Universal Serial Bus）メモリ６に記憶して外部へ持ち出して使用される。制限ファイル４０は、外部へ持ち出されたような場合でも、セキュリティを確保しつつ任意の外部端末で利用可能となるデータ構成を備えている。

詳細には、制限ファイル４０は、暗号化データ４１と、ヘッダ４２と、自己解凍型のプログラムである自己解凍アプリケーション４３とを含むデータ構成を備えている。ヘッダ４２には、暗号化データ４１の復号化や復号化後のデータに対するアクセス権の確認先の管理サーバを示す確認先情報（たとえば、アドレス情報）が登録されている。本実施の形態では、制限ファイル４０を生成した画像形成装置２０がその制限ファイル４０のアクセス権を確認する管理サーバの機能を果たすようになっている。

制限ファイル４０に含まれる自己解凍アプリケーション４３は、当該制限ファイル４０に対してダブルクリックなどの所定操作が任意の通信機能付き情報処理装置で行われると自己解凍して動作するプログラムである。自己解凍後の自己解凍アプリケーション４３は、ヘッダ４２に含まれているアドレス情報が示す管理サーバに対して、暗号化データ４１の復号化や復号化後のデータに対する各種操作の実行権（アクセス権）の確認を依頼する処理を、自己解凍アプリケーション４３がロードされている通信機能付きの情報処理装置に行わせる機能を果たす。

制限ファイル４０の利用形態には、たとえば、第１ＬＡＮ３に接続された端末装置１０ａからの依頼に基づいて画像形成装置２０ａで暗号化して生成した制限ファイル４０を画像形成装置２０ａから端末装置１０ａに出力し（Ｐ１）、これをＵＳＢメモリ６に入れて持ち出し（Ｐ２）、第２ＬＡＮ４に接続された端末装置１０ｂで該制限ファイル４０の復号化や復号化後のデータに対する各種操作を行うといったものがある。この場合、端末装置１０ｂにて制限ファイル４０がダブルクリックされると、自己解凍アプリケーション４３は、自己解凍した後、ヘッダ４２に含まれる確認先情報（アドレス情報）を読み出し、この確認先情報が示す管理サーバ（画像形成装置２０ａ）に対してアクセス権の有無の確認を依頼するように端末装置１０ｂを動作させる（Ｐ３）。管理サーバとしての画像形成装置２０ａはアクセス権が有ることを確認した場合は端末装置１０ｂに対して復号鍵を送信する（Ｐ４）。この復号鍵を受信した端末装置１０ｂはこれを使用して暗号化データ４１を復号化し、このデータに基づく印刷などを行う（Ｐ５）。

図２は、画像形成装置２０の概略構成を示すブロック図である。画像形成装置２０は、当該画像形成装置２０の動作を統括制御する制御部としてのＣＰＵ（Central Processing Unit）２１にバス２２を介して、ＲＯＭ（Read Only Memory）２３と、ＲＡＭ（Random Access Memory）２４と、ハードディスク装置２５と、不揮発メモリ２６と、操作表示部２７と、認証部２８と、ファクシミリ通信部３１と、ネットワーク通信部３２と、画像処理部３３と、スキャナ部３４と、プリンタ部３５とを接続して構成される。

ＲＯＭ２３には各種のプログラムが格納されており、これらのプログラムに従ってＣＰＵ２１が処理を実行することにより画像形成装置２０としての各機能が実現される。ＲＡＭ２４はＣＰＵ２１がプログラムを実行する際に各種のデータを一時的に格納するワークメモリや画像データを格納する画像メモリ、送受信に係るデータを一時的に保存する通信バッファなどとして使用されるランダム・アクセス・メモリである。

ハードディスク装置２５は不揮発かつ大容量の記憶装置である。ハードディスク装置２５には、管理サーバとしての機能にかかわる各種データを登録するための管理テーブル３７が記憶される。また、ユーザ別やグループ別に管理される記憶領域であるボックス３８が作成される。ボックスには、画像データなどが保存される。ボックスへのアクセスはパスワードなどにより制限される。

不揮発メモリ２６は、電源をオフしてもその記憶内容が保持される書き換え可能なメモリである。不揮発メモリ２６には、データを暗号化して制限ファイル４０を生成する場合にその暗号化対象データの所在情報（ファイルパス情報）などが記憶される。このほか不揮発メモリ２６には、画像形成装置２０に対して設定された各種の設定内容、ユーザ情報、ユーザの認証情報、装置ＩＤ、システム情報、当該画像形成装置２０のアドレス情報（管理サーバとしてのＩＰ（Internet Protocol）アドレスやＵＲＬ(Uniform Resource Locator)）、当該画像形成装置２０と通信を行うために必要なアプリケーションプログラム（ＭＦＰドライバ）の名称やバージョン情報などが記憶される。

操作表示部２７は、液晶ディスプレイ（ＬＣＤ…Liquid Crystal Display）と、その画面上に設けられて押下された座標位置を検出するタッチパネル、テンキー、スタートボタンなどの各種操作スイッチで構成され、各種の操作画面や設定画面、案内画面、警告画面などを表示する機能およびユーザから各種の操作を受け付ける機能を果たす。たとえば、操作表示部２７からユーザＩＤとパスワードの入力を受け、これらを予め登録されているユーザ認証情報と照合することでユーザ認証を行う。このほか、画像形成装置２０の近くに居るユーザが所持する個人認証用無線カードと交信して該カードからユーザ情報を読み出すことによってユーザ認証を行うなどの構成でもかまわない。

ファクシミリ通信部３１は、ファクシミリ送信やファクシミリ受信のための通信制御、発呼（ダイアル）、着呼、電話回線との接続などを行う。

ネットワーク通信部３２は、ＬＡＮなどのネットワークを介して他の画像形成装置２０や端末装置１０と通信して各種のデータや情報を送受信する機能を果たす。

画像処理部３３は、端末装置１０から受信した印刷データをイメージデータ（ビットマップデータ）に変換するラスタライズ処理、画像データの圧縮処理や伸張処理、データの暗号化や復号化処理、画像の回転処理などを行う機能を備えている。

スキャナ部３４は、原稿を光学的に読み取って画像データを取得する機能を果たす。スキャナ部３４は、たとえば、原稿に光を照射する光源と、その反射光を受けて原稿を幅方向に１ライン分読み取るラインイメージセンサと、ライン単位の読取位置を原稿の長さ方向に順次移動させる移動手段と、原稿からの反射光をラインイメージセンサに導いて結像させるレンズやミラーなどからなる光学経路、ラインイメージセンサの出力するアナログ画像信号をデジタルの画像データに変換する変換部などを備えて構成される。

プリンタ部３５は、画像データに応じた画像を記録紙に印刷する機能を果たす。ここでは、記録紙の搬送装置と、感光体ドラムと、帯電装置と、レーザーユニットと、現像装置と、転写分離装置と、クリーニング装置と、定着装置とを有し、電子写真プロセスによって画像形成を行う、所謂、レーザープリンタとして構成されている。他の方式のプリンタであっても構わない。

図３は、端末装置１０の構成例を示している。端末装置１０は、汎用のＰＣ（Personal Computer）に所定のプログラムをインストールして構成される。端末装置１０は、ＣＰＵ５１にバス５２を介して、ＲＯＭ５３と、ＲＡＭ５４と、ネットワークＩ／Ｆ部５５と、操作部５６と、表示装置５７と、ハードディスク装置５８と、不揮発メモリ５９などを接続して構成される。

ＲＯＭ５３には、ＣＰＵ５１によって実行される起動プログラムや各種の固定データが記憶されている。不揮発メモリ５９には、当該端末装置１０を使用するユーザのユーザ情報やユーザＩＤ、ユーザの認証情報、当該端末装置１０の識別情報（端末ＩＤ）、ＩＰアドレスなどが記憶される。

また、ハードディスク装置５８には、ＯＳ（Operating System）プログラム６１のほか、該ＯＳ上で動作する各種のアプリケーション・プログラム６２、ＭＦＰドライバ６３などが記憶されている。ＭＦＰドライバ６３やアプリケーション・プログラム６２は実行時にはハードディスク装置５８から読み出されてＲＡＭ５４に展開され、ＣＰＵ５１はＲＡＭ５４上に展開されたそれらのプログラムを実行する。

操作部５６は、キーボード、マウス（ポインティングデバイス）などで構成され、ユーザから文書の入力操作、印刷対象や暗号化対象となるデータやファイルの指定や処理の実行指示などを受ける。表示装置５７は、液晶ディスプレイなどで構成され、ＭＦＰドライバ６３やアプリケーション・プログラム６２、ＯＳプログラム６１によって作成された表示データに従って操作画面、設定画面、警告画面など各種画面を表示する機能を果たす。ネットワークＩ／Ｆ部５５はＬＡＮ３、４などのネットワークを通じて画像形成装置２０や他の端末装置１０などと各種のデータを送受信する機能を果たす。

端末装置１０では、制限ファイル４０に対してダブルクリックなどの起動操作を受けたとき、ＯＳプログラム６１が制限ファイル４０に含まれている自己解凍アプリケーション４３を起動し、その自己解凍を行わせ、さらに、その自己解凍後のプログラムの実行をＣＰＵ５１に行わせるように制御する。また、アプリケーション・プログラム６２をＣＰＵ５１が実行することにより、文書や画像などの閲覧や印刷、複製、更新などの操作の受付や該操作に対応する動作が行われる。自己解凍後の自己解凍アプリケーション４３は、アプリケーション・プログラム６２の動作を監視している。詳細には、制限ファイル４０を復号化して得たデータに対して閲覧や各種の操作がアプリケーション・プログラム６２を通じて行われる状況を監視し、閲覧や操作に対するアクセス権の有無をヘッダ４２に含まれる確認先情報が示す管理サーバに問い合わせて確認する処理を行う。

図４は、制限ファイル４０のデータ構成をより詳細に示している。ヘッダ４２には、（１）この制限ファイル４０の生成を画像形成装置２０に依頼したユーザの識別情報(ユーザＩＤ)と、（２）この制限ファイル４０を生成した画像形成装置２０の識別情報(装置ＩＤ)と、（３）確認先情報の示す管理サーバと通信を行うためのアプリケーションプログラムに関する情報（アプリケーション情報）と、（４）この制限ファイル４０に対するアクセス権の確認先情報と、（５）制限ファイルＩＤ、が登録されている。

装置ＩＤは、会社コードを示す第１属性と、機種コードを示す第２属性と、製番コードを示す第３属性とから構成される。たとえば、「Ａ−２０−００１」の装置ＩＤでは、第１属性が「Ａ」、第２属性が「２０」、第３属性が「００１」となっている。装置ＩＤのデータ構成はこれに限定されるものではない。

アプリケーション情報は、ここでは、この制限ファイル４０を生成した画像形成装置２０に対応したＭＦＰドライバを示す情報（ドライバ名やバージョン）である。確認先情報はこの制限ファイル４０を生成した画像形成装置２０のネットワーク上のアドレス情報である。たとえば、ＨＴＴＰ（Hyper Text Transfer Protocol）プロトコルでのＵＲＬやＩＰアドレスが確認先情報として登録される。

制限ファイルＩＤは、画像形成装置２０が当該制限ファイル４０に対して与えた識別情報である。

自己解凍アプリケーション４３は自己解凍した後、以下の処理を行う。
（１）制限ファイル４０のヘッダ４２を解析する。
（２）自己解凍の実行された端末装置１０にヘッダ４２内のアプリケーション情報が示すアプリケーションプログラム（ＭＦＰドライバ）が存在するか否かをレジストリなどでチェックする。
（３）ヘッダ４２内のアプリケーション情報が示すアプリケーションプログラム（ＭＦＰドライバ）が自己解凍アプリケーション４３の実行された端末装置１０に存在しない場合は該アプリケーションプログラムを入手してインストールする。
（４）ヘッダ４２内のアプリケーション情報が示すアプリケーションプログラム（ＭＦＰドライバ）を起動する。

なお、起動されたアプリケーションプログラム（ＭＦＰドライバ）は、以下の処理を行う。
（１）ヘッダ４２内の確認先情報（アドレス情報）が示す管理サーバ（画像形成装置２０）にアクセス権の確認を要求する。
（２）アクセス権が確認された場合は画像形成装置２０から復号鍵を受信し、該復号鍵で暗号化データ４１の複製（コピー）を生成し、複製（コピー）生成された暗号化データ４１を復号化し、その後、復号鍵を削除する。
（３）復号化後のデータに対する操作を監視し、何らかの操作が要求されたら、その操作に対するアクセス権を管理サーバに確認する。
（４）操作が継続する場合は、一定時間の経過毎にアクセス権を管理サーバに確認する。
（５）アクセス権が確認されない場合（通信断なども含む）は、復号化や復号化後のデータに対する操作を禁止し、復号化後のデータは削除する。

図５は、端末装置１０と画像形成装置２０との間の通信で使用されるＣｏｍｍａｎｄ信号等のデータ構造を例示している。Ｃｏｍｍａｎｄ信号は、Ｈｅａｄｅｒ７１と、ＩｄｅｎｔｉｃａｌＣｏｄｅ７２と、パラメータ７３と、付属データ７４とから構成される。Ｃｏｍｍａｎｄ信号は端末装置１０から画像形成装置２０へ送信する信号である。Ｃｏｍｍａｎｄ信号に対する処理結果はＲｅｓｕｌｔ信号として画像形成装置２０から端末装置１０へ送信される。Ｒｅｓｕｌｔ信号もＣｏｍｍａｎｄ信号と同様のデータ構造になっている。暗号化対象のデータや制限ファイル４０、復号鍵といった送信対象のデータは付属データ７４の領域に埋め込まれて送信される。

端末装置１０から送信するデータを暗号化して制限ファイル４０を生成する処理を画像形成装置２０に依頼するＣｏｍｍａｎｄ信号を送信する場合の通信シーケンスは以下のようになる。

（１）端末装置１０で暗号化対象のデータを含むＣｏｍｍａｎｄ信号を作成して画像形成装置２０へ送信する。
（２）画像形成装置２０は該Ｃｏｍｍａｎｄ信号を受信して解析する。
（３）画像形成装置２０はＣｏｍｍａｎｄ信号に対するＡｃｋ信号を作成して端末装置１０へ送信する。
（４）端末装置１０はＡｃｋ信号を受信して解析する。
（５）画像形成装置２０はＣｏｍｍａｎｄ信号に対する処理（ここでは制限ファイル４０の作成）を行う。
（６）画像形成装置２０は処理結果の制限ファイル４０を含むＲｅｓｕｌｔ信号を作成して端末装置１０に送信する。
（７）端末装置１０はＲｅｓｕｌｔ信号を受信して解析する。
なお、Ａｃｋ信号は、Ｃｏｍｍａｎｄ信号を受信したことを画像形成装置２０から端末装置１０へ通知する信号である。

図６は、Ｃｏｍｍａｎｄ信号等の信号の各領域に格納される情報の詳細を示している。Ｈｅａｄｅｒ７１は当該信号（パケット）の属性（種類）を示す。ＩｄｅｎｔｉｃａｌＣｏｄｅ７２は、Ｈｅａｄｅｒ７１の示す属性（種類）をもつ信号の中での細分類を示す。たとえば、オペレーションの種類を示す。Ａｃｋ信号においてＩｄｅｎｔｉｃａｌＣｏｄｅ７２は、どのオペレーションに係るＣｏｍｍａｎｄ信号に対するＡｃｋ信号であるかを示す。Ｒｅｓｕｌｔ信号においてＩｄｅｎｔｉｃａｌＣｏｄｅ７２は、どのオペレーションに係るＣｏｍｍａｎｄ信号に対するＲｅｓｕｔｌ信号であるかを示す。パラメータ７３は、Ｒｅｓｕｌｔ信号における通信結果内容（正常、エラーの種類など）を示している。付属データ７４の領域には送信対象にされる各種のデータ（暗号化対象のデータ、制限ファイル４０、復号鍵、アプリケーションプログラムなど）が格納される。

次に、制限ファイル４０を生成する場合の動作について説明する。

制限ファイル４０を生成する動作には、画像形成装置２０のボックスなどに保存されているデータを暗号化し制限ファイル４０にして端末装置１０へ出力する動作（ケース１）と、端末装置１０から暗号化対象のデータを画像形成装置２０に送信し、画像形成装置２０でこれを暗号化して生成した制限ファイル４０を端末装置１０へ返信する動作（ケース２）がある。以下それぞれのケースについて説明する。

＜ケース１＞
端末装置１０からのコピー操作要求（もしくは移動操作要求）に基づいて、画像形成装置２０のボックス３８に保存されているデータを暗号化し、その暗号化データを含む制限ファイル４０を生成しこれを要求元の端末装置１０へ出力する、という動作が行われる。ボックスデータを制限ファイル４０にすることで外部に持ち出してもそのセキュリティが確保される。

図７は、端末装置１０からのコピー操作要求に応じて制限ファイル４０を生成する際の画像形成装置２０の動作の流れを示している。端末装置１０は、ＭＦＰドライバ６３を通じてユーザから操作対象のデータの指定をボックス名とファイル名などで受け付けた後にコピー操作の実行指示を受けると、該指定内容を含むコピー操作要求を画像形成装置２０へ送信する。コピー操作要求には当該操作要求を行ったユーザのユーザＩＤが含まれる。画像形成装置２０は、端末装置１０からコピー操作要求を受信すると（ステップＳ１０１；Ｙｅｓ）、該コピー操作要求で指定されている操作対象のデータが重要データか否かを判断する（ステップＳ１０２）。なお、重要データか否かを示す情報は予めそのデータのヘッダや管理情報として登録されている。重要データか否かを示す情報はボックスの所有者あるいはボックスにデータを入れたユーザが任意に設定登録できるようになっている。

画像形成装置２０のＣＰＵ２１は、操作対象のデータが重要データでない場合は(ステップＳ１０２；Ｎｏ)、該操作対象のデータをボックスから読み出し、この読み出したデータを当該コピー操作要求の要求元の端末装置１０へ送信して（ステップＳ１１２）処理を終了する。

画像形成装置２０のＣＰＵ２１は、操作対象のデータが重要データの場合は(ステップＳ１０２；Ｙｅｓ)、そのデータが暗号化済み（制限ファイル４０に変換済み）か否かを調べる（ステップＳ１０３）。暗号化済みの場合は（ステップＳ１０３；Ｙｅｓ）、その暗号化済みのデータである制限ファイル４０を当該コピー操作要求の要求元の端末装置１０へ送信して（ステップＳ１１１）処理を終了する。

画像形成装置２０のＣＰＵ２１は、操作対象のデータが暗号化済みでない場合は（ステップＳ１０３；Ｎｏ）、操作対象のデータとそのファイルパス情報とを取得し（ステップＳ１０４）、該ファイルパス情報を不揮発メモリ２６に保存する（ステップＳ１０５）。そして操作対象のデータを暗号化する（ステップＳ１０６）。

次に、制限ファイル４０のヘッダ４２の作成に必要な情報を収集・取得する（ステップＳ１０７）。たとえば、ヘッダ４２に含めるユーザＩＤは、端末装置１０からのコピー操作要求に含まれているものを使用する。装置ＩＤやアプリケーション情報（ＭＦＰドライバ名、バージョン情報など）、確認先情報（アドレス情報…ＩＰアドレスやＵＲＬ）は、自装置の不揮発メモリ２６から読み出して取得する。

ＣＰＵ２１はこれら収集・取得した情報に基づいてヘッダ４２を作成し、該ヘッダ４２とステップＳ１０６で暗号化した暗号化データ４１と所定の自己解凍アプリケーション４３とを含む制限ファイル４０を生成する（ステップＳ１０８）。なお、自己解凍アプリケーション４３は予めハードディスク装置２５あるいはＲＯＭ２３に保存されており、これをコピーしたものを制限ファイル４０に含めるようになっている。

次に画像形成装置２０のＣＰＵ２１は、この生成した制限ファイル４０に関する管理情報を管理テーブル３７に登録する（ステップＳ１０９）。管理テーブル３７には、図８に示すように、制限ファイル４０を特定するための識別情報である制限ファイルＩＤに対応つけて、該制限ファイル４０のヘッダ４２に登録したものと同じユーザＩＤおよび装置ＩＤと、当該制限ファイル４０に含まれる暗号化データ４１の復号鍵と、アクセス権を確認する際に使用する条件情報が登録される。

条件情報には、アクセスを許可するユーザ（許可ユーザ）の識別情報（ユーザＩＤ）、アクセスを許可する情報処理装置や端末装置（許可端末）の識別情報（端末ＩＤ）、アクセスを許可する操作（許可操作）の識別情報（操作名や操作ＩＤ）、アクセスを許可する期間（許可期間）などがある。許可ユーザ、許可端末、許可期間などは許可操作別に設定可能にされてもよい。許可期間は、年月日時分などによる絶対指定でもよし、たとえば、最初のアクセスから３日間などのように、ある基点からの相対的な期間であってもよい。

図７に戻って説明を続ける。画像形成装置２０のＣＰＵ２１は、ステップＳ１０５で不揮発メモリ２６に保存したファイルパス情報が示すファイルパスにステップＳ１０８で生成した制限ファイル４０を保存し（ステップＳ１１０）、該制限ファイル４０を当該コピー操作要求の要求元の端末装置１０へ送信して（ステップＳ１１１）処理を終了する。

図９、図１０、図１１は、図７に係る動作をシーケンスで表わしたものである。図９は、操作対象のデータが重要データではない場合（図７のステップＳ１０２；Ｎｏの場合）のシーケンスを示している。図１０は、操作対象のデータが重要データであり、かつ暗号化済みでない場合（図７のステップＳ１０３；Ｎｏの場合）のシーケンスを示している。図１１は、操作対象のデータが重要データであり、かつ暗号化済みの場合（図７のステップＳ１０３；Ｙｅｓの場合）のシーケンスを示している。

なお、データをボックスから端末装置１０へ移動する移動操作要求の場合にもコピー操作要求の場合と同様の動作およびシーケンスとなる。

＜ケース２＞
端末装置１０から暗号化対象のデータを画像形成装置２０に送信し、画像形成装置２０でこれを暗号化して制限ファイル４０を生成し、この制限ファイル４０を端末装置１０へ送信するという動作が行われる。ケース２の場合、端末装置１０のアプリケーション・プログラム６２にて印刷に関する指示を行うと自動的にＭＦＰドライバが起動され、該ＭＦＰドライバが提供する操作入力画面において、暗号化に関する各種の設定や実行指示が行われる。

図１２（ａ）は、端末装置１０のＣＰＵ５１が表示装置５７に表示させるＭＦＰドライバの印刷設定画面８０を示している。ここで当該端末装置１０に複数種類のＭＦＰドライバがインストールされている場合には、ドライバ指定欄８１にデフォルトのＭＦＰドライバが初期表示される。デフォルト設定されているＭＦＰドライバに対応する画像形成装置２０以外の画像形成装置２０で暗号化処理（制限ファイル４０の生成処理）を実行させたい場合は、図１２（ｂ）に示すようにプルダウン釦８２を操作すると、インストール済みのＭＦＰドライバのリスト８３が表示され、その中から選択を受けると、その選択されたＭＦＰドライバに切り替わるようになっている。

次に、ユーザは暗号化対象のデータを指定する操作を行う。ＣＰＵ５１は、印刷設定画面８０のプロパティ釦８４が操作されると、図１３（ａ）に示すプロパティ画面９０を表示装置５７に表示させる。プロパティ画面９０には各種項目のタブが設けてあり、図１３（ａ）はセキュリティタブ９１が選択された場合の画面を示している。この画面にて暗号化対象のデータの指定や操作に対する許可条件（条件情報）の設定、暗号化の実行指示などのユーザ操作の受け付けが行われる。

対象データ指定欄９２には、暗号化対象のデータのパスおよびファイル名が入力される。ステータス欄９３には、暗号化対象のデータに関する状態情報が表示される。

暗号化対象のデータの指定が完了すると、図１３（ｂ）に示すように、ステータス欄９３の表示が指定完了に変化する。また、暗号化の実行を指示するためのＯＫ釦９４と許可条件設定釦９５が、操作を受け付け可能な有効状態に変化する。なお、ステータス欄９３に表示されるステータスには、データ未指定、データ指定完了、データ送信中、データ暗号化中、制限ファイル受信中、制限ファイル保存完了などがある。

許可条件設定釦９５が操作されると、ＣＰＵ５１は表示装置５７に図１４に示すような操作許可条件設定画面１００をプロパティ画面９０上にポップアップ表示させる。操作許可条件設定画面１００には、許可ユーザのユーザＩＤを設定する許可ユーザ設定欄１０１と、許可端末の端末ＩＤを設定する許可端末設定欄１０２と、許可期間を設定する許可期間設定欄１０３と、許可操作毎のチェックボックス１０４ａ〜１０４ｅが設けられている。また、許可ユーザ、許可端末、許可期間の各条件に対応させてチェックボックス１０１ａ、１０２ａ、１０３ａが設けてある。

許可ユーザ、許可端末、許可期間に対応するチェックボックス１０１ａ、１０２ａ、１０３ａにチェックマークを付すと、その許可条件がアクセス権を確認する際の条件の１つに設定され、チェックマークをつけていない許可条件は無視される。また、各操作に対応するチェックボックス１０４ａ〜１０４ｅにチェックマークが付された操作は許可対象にされ、チェックマークが付されていない操作は、許可ユーザ等の条件が一致しても許可されない操作になる。

たとえば、図１４では、許可操作として閲覧と印刷のチェックボックス１０４ａ、１０４ｃのみにチェックマークが付され、許可条件として許可端末のチェックボックス１０２ａにはチェックマークが付されず、許可ユーザのチェックボックス１０１ａと許可期間のチェックボックス１０３ａにチェックマークが付されているので、「操作が行われる端末装置１０は任意の端末でよく、許可期間設定欄１０３に設定された期間内かつ許可ユーザ設定欄１０１に設定されたユーザのみに対して閲覧（ぺージ移動は禁止）と印刷の操作のみを許可する」という条件になっている。なお、許可操作別に許可ユーザ、許可端末、許可期間などの条件を設定可能に構成されてもよい。また、許可条件や許可操作は例示したものに限定されず適宜設定すればよい。

図１５は、ケース２にて端末装置１０が行う動作の流れを示し、図１６は、ケース２にて画像形成装置２０が行う動作の流れを示している。端末装置１０のＣＰＵ５１は、ＭＦＰドライバの起動要求を受けると(ステップＳ２０１；Ｙｅｓ)、図１２に示す印刷設定画面８０のドライバ指定欄８１で指定されたＭＦＰドライバを起動し(ステップＳ２０２)、図１３のプロパティ画面９０内の対象データ指定欄９２にて暗号化対象データの指定操作を受ける（ステップＳ２０３）。次に、許可条件設定釦９５の操作を受けると図１４の操作許可条件設定画面１００をポップアップ表示させ、この画面１００にて、復号化や復号化後のデータの操作に対するアクセス権を確認する際の条件の設定を受け付ける（ステップＳ２０４）。

そして、図１３のプロパティ画面９０にてＯＫ釦９４の操作を受けると、指定された暗号化対象データを暗号化して制限ファイル４０を生成する処理を実行する。詳細には、端末装置１０のＣＰＵ５１は、指定された暗号化前の暗号化対象データのファイルパスを不揮発メモリ５９に保存し（ステップＳ２０５）、Ｃｏｍｍａｎｄ信号１を、ドライバ指定欄８１で指定されたＭＦＰドライバに対応する画像形成装置２０（以後これを、指定ＭＦＰとする）へ送信する（ステップＳ２０６）。Ｃｏｍｍａｎｄ信号１は、通信の可否を確認するためのコマンドである。

Ｃｏｍｍａｎｄ信号１を受信した画像形成装置２０は（図１６：ステップＳ３０１；Ｙｅｓ）、Ｃｏｍｍａｎｄ信号１を受信したことを示すＲｅｓｕｌｔ信号１を作成し、これをＣｏｍｍａｎｄ信号１の送信元の端末装置１０へ送信する（ステップＳ３０２）。

端末装置１０は、Ｃｏｍｍａｎｄ信号１を送信後、一定時間が経過する前にその送信先からＲｅｓｕｌｔ信号を受信できない場合は（図１５：ステップＳ２０７；Ｙｅｓ）、エラーで本処理を終了する。Ｃｏｍｍａｎｄ信号１を送信後、一定時間が経過する前にその送信先からＲｅｓｕｌｔ信号１を受信した場合は（ステップＳ２０７；Ｎｏ、Ｓ２０８；Ｙｅｓ）、暗号化要求であるＣｏｍｍａｎｄ信号２を作成して（ステップＳ２０９）これを指定ＭＦＰに送信する(ステップＳ２１０)。Ｃｏｍｍａｎｄ信号２には、暗号化対象データ、操作許可条件設定画面１００にて設定された各条件、当該端末装置１０の端末ＩＤ、暗号化を指示したユーザのユーザＩＤなどが含まれる。

Ｃｏｍｍａｎｄ信号２を受信した画像形成装置２０（指定ＭＦＰ）は（図１６：ステップＳ３０３；Ｙｅｓ）、Ｃｏｍｍａｎｄ信号２に対応するＡｃｋ信号２をＣｏｍｍａｎｄ信号２の送信元の端末装置１０へ送信する（ステップＳ３０４）。さらに該画像形成装置２０は、Ｃｏｍｍａｎｄ信号２に含まれている暗号化対象データを暗号化し（ステップＳ３０５）、制限ファイル４０のヘッダ４２の作成に必要な情報を収集・取得する（ステップＳ３０６）。ここでは、ヘッダ４２に含めるユーザＩＤはＣｏｍｍａｎｄ信号２に含まれていたものを使用する。装置ＩＤやアプリケーション情報（ＭＦＰドライバ名、バージョン情報など）、確認先情報（アドレス情報…ＩＰアドレスやＵＲＬ）は、自装置のものを使用する。これらは不揮発メモリ２６から読み出して取得する。また、新たな制限ファイルＩＤを生成する。

指定ＭＦＰのＣＰＵ２１は、これら収集・生成した情報に基づいてヘッダ４２を作成し、該ヘッダ４２とステップＳ３０５で暗号化して得た暗号化データ４１と所定の自己解凍アプリケーション４３とを含む制限ファイル４０を生成する（ステップＳ３０７）。なお、自己解凍アプリケーション４３は予めハードディスク装置２５あるいはＲＯＭ２３に保存されており、これをコピーしたものを制限ファイル４０に含めるようになっている。

次に、指定ＭＦＰのＣＰＵ２１は、この生成した制限ファイル４０に関する管理情報を管理テーブル３７に登録する（ステップＳ３０８）。管理テーブル３７に登録する制限ファイルＩＤはＣＰＵ２１が当該制限ファイル４０に対してユニークに割り付けたものを使用する。またユーザＩＤおよび条件情報はＣｏｍｍａｎｄ信号２に含まれるものを使用する。装置ＩＤは自機の不揮発メモリ２６から読み出した自機の装置ＩＤを使用する。復号鍵は、暗号化データ４１の作成時に使用した暗号鍵に対応するものを登録する。

さらに指定ＭＦＰのＣＰＵ２１は、ステップＳ３０７で生成した制限ファイル４０を含むＲｅｓｕｌｔ信号２を、Ｃｏｍｍａｎｄ信号２の送信元の端末装置１０へ送信して（ステップＳ３０９）処理を終了する。

端末装置１０は、Ｃｏｍｍａｎｄ信号２を送信後、一定時間が経過する前にその送信先からＡｃｋ信号２を受信できない場合（図１５：ステップＳ２１１；Ｙｅｓ）もしくはＡｃｋ信号２を受信したがその内容が受信エラーであった場合は（ステップＳ２１３；Ｎｏ）、エラーで本処理を終了する。Ｃｏｍｍａｎｄ信号２を送信後、一定時間が経過する前に正常受信を示すＡｃｋ信号２を受信した場合は(ステップＳ２１１；Ｎｏ、Ｓ２１２；Ｙｅｓ、Ｓ２１３；Ｙｅｓ)、さらにＲｅｓｕｌｔ信号２の受信を待つ。Ａｃｋ信号２の受信後、一定時間が経過する前に指定ＭＦＰからＲｅｓｕｌｔ信号２を受信できない場合は(ステップＳ２１４；Ｙｅｓ)、エラーで本処理を終了する。

Ａｃｋ信号２の受信後、一定時間が経過する前に指定ＭＦＰからＲｅｓｕｌｔ信号２を受信した場合は(ステップＳ２１４；Ｎｏ、Ｓ２１５；Ｙｅｓ)、ステップＳ２０５にて保存した暗号化前の暗号化対象データのファイルパス情報を不揮発メモリ５９から読み出し（ステップＳ２１６）、そのファイルパスに、受信した制限ファイル４０を保存して（ステップＳ２１７）処理を終了する。

図１７は、図１５、図１６に係る動作をシーケンスで表わしている。

次に、制限ファイル４０の復号化および復号化後のデータへの操作に関する動作について説明する。

画像形成装置２０から端末装置１０へ出力された制限ファイル４０は、図１でも説明したように、ＵＳＢメモリ６などに記憶して持ち出し、任意の情報処理装置でアクセス権を確認して利用することができる。

図１８は、制限ファイル４０の利用に関して任意の情報処理装置（たとえば、端末装置１０ｂ）で行われる処理の流れを示している。また、図１９はこれに対応する管理サーバとしての画像形成装置２０の動作を示している。情報処理装置のＯＳプログラムは、データに対してダブルクリック操作を受けると（ステップＳ４０１）、そのデータの種類を判別し、そのデータに応じたアプリケーションを起動する。たとえば、ダブルクリックされたデータが通常の文書ファイルであれば（ステップＳ４０２；Ｎｏ）、規定のエディタプログラムなどを起動して、該文書ファイルを開くといった処理を行う（ステップＳ４１８）。

情報処理装置のＯＳプログラムはダブルクリックされたデータが制限ファイル４０の場合には、当該制限ファイル４０の自己解凍アプリケーション４３を起動する（ステップＳ４０３）。以後、情報処理装置は自己解凍アプリケーション４３に従って動作する。起動された自己解凍アプリケーション４３は自己解凍する。自己解凍後の自己解凍アプリケーション４３は、当該制限ファイル４０のヘッダ４２を解析し（ステップＳ４０４）、さらに当該情報処理装置のレジストリ情報を取得する（ステップＳ４０５）。レジストリ情報と制限ファイル４０のヘッダ４２に含まれるアプリケーション情報とを比較し（ステップＳ４０６）、該アプリケーション情報の示すアプリケーションプログラム（該当アプリケーション）が当該情報処理装置にインストール済みか否かを判断する（ステップＳ４０７）。

該当アプリケーションがインストールされていない場合は（ステップＳ４０７；Ｎｏ）、該当アプリケーションのインストール要求処理（ステップＳ４０８）を行って、該当アプリケーションを入手してインストールする。インストール要求処理の詳細は後述する。

該当アプリケーションがインストール済みの場合（ステップＳ４０７；Ｙｅｓ）もしくはステップＳ４０８にてインストールを完了した場合は、その該当アプリケーション（ここでは、アプリケーション情報で指定されたＭＦＰドライバ（該当ＭＦＰドライバ））を起動する（ステップＳ４０９）。以後、情報処理装置は起動したアプリケーションプログラム（該当ＭＦＰドライバ）に従って動作する。該当ＭＦＰドライバは、アクセス権の確認処理において管理サーバに登録されている条件情報と照合される照合情報を取得する。たとえば、照合情報の１つであるユーザＩＤやパスワードは、当該情報処理装置の表示装置にこれらの入力画面を表示し、ユーザから入力を受けることによって取得する。また、端末ＩＤは、情報処理装置のシステム情報から取得する。

該当ＭＦＰドライバは、取得した照合情報とヘッダ４２に含まれていた制限ファイルＩＤとを含むＣｏｍｍａｎｄ信号４を作成する（ステップＳ４１１）。Ｃｏｍｍａｎｄ信号４は、暗号化データ４１の復号鍵の提供を求めるコマンドである。該当ＭＦＰドライバはこのＣｏｍｍａｎｄ信号４を制限ファイル４０のヘッダ４２に含まれている確認先情報（アドレス情報）が示す管理サーバに送信する（ステップＳ４１２）。

Ｃｏｍｍａｎｄ信号４を受信した画像形成装置２０（管理サーバ）は（図１９：ステップＳ３２１；Ｙｅｓ）、Ａｃｋ信号４をＣｏｍｍａｎｄ信号４の送信元に送信する（ステップＳ３２２）。その後、受信したＣｏｍｍａｎｄ信号４に含まれている制限ファイルＩＤに対応付けて管理テーブル３７に登録されている条件情報を読み出し、該条件情報と受信したＣｏｍｍａｎｄ信号４に含まれている照合情報とを比較して、復号化を許可するか否かを判定する（ステップＳ３２３）。

画像形成装置２０（管理サーバ）は、復号化を許可する（アクセス権あり）と判定した場合は（図１９：ステップＳ３２４；Ｙｅｓ）、Ｃｏｍｍａｎｄ信号４の送信元の情報処理装置に対して、該当の復号鍵を含むＲｅｓｕｌｔ信号４を送信して（ステップＳ３２５）処理を終了する（Ｅｎｄ）。アクセス権なしと判定した場合は（ステップＳ３２４；Ｎｏ）、アクセス権なしを示す確認結果を含むＲｅｓｕｌｔ信号４を返信して（ステップＳ３２６）処理を終了する（Ｅｎｄ）。

情報処理装置では、Ｃｏｍｍａｎｄ信号４の送信後、一定時間が経過しても、当該Ｃｏｍｍａｎｄ信号４に対応するＡｃｋ信号４を受信しない場合は（図１８：ステップＳ４１３；Ｙｅｓ）、該当ＭＦＰドライバは自プログラムの動作を終了させる（Ｅｎｄ）。

情報処理装置は、Ｃｏｍｍａｎｄ信号４の送信後、一定時間の経過前にＡｃｋ信号４を受信した場合は（ステップＳ４１３；Ｎｏ、Ｓ４１４；Ｙｅｓ）、Ｃｏｍｍａｎｄ信号４の処理結果を含むＲｅｓｕｌｔ信号４の受信を待つ（ステップＳ４１６；Ｎｏ）。Ａｃｋ信号４の受信後、一定時間が経過してもＲｅｓｕｌｔ信号４を受信できない場合は（ステップＳ４１６；Ｎｏ、Ｓ４１５；Ｙｅｓ）該当ＭＦＰドライバは自プログラムの動作を終了させる（Ｅｎｄ）。

Ａｃｋ信号４の受信後、一定時間の経過前にＲｅｓｕｌｔ信号４を受信した場合は（ステップＳ４１６；Ｙｅｓ）、暗号化データ４１の複製（コピー）を生成し（ステップＳ４１７）、該Ｒｅｓｕｌｔ信号４に含まれる復号鍵を使用して複製（コピー）生成された暗号化データ４１を復号化し、復号化完了と同時に復号鍵を削除する（ステップＳ４１８）。この場合、該当ＭＦＰドライバは、以後、復号化されたデータに対する操作を監視するバックグラウンド動作に移行する。

このように、制限ファイル４０のヘッダ４２にアクセス権の確認先情報が含まれているので、この情報を使用して任意の情報処理装置から管理サーバに対してアクセス権の有無を問い合わせることができる。また、アクセス権の確認を管理サーバで行うので、許可の条件をいつでも変更することができ、たとえば、制限ファイル４０を出力した後でも、必要に応じて復号化などの許可条件を変更することができ、暗号化データに柔軟で強固なセキュリティを与えることができる。

図２０は、該当アプリケーションのインストール要求処理の流れを示している。また図２１はインストール要求を受けた場合の管理サーバ（画像形成装置２０）の動作を示している。自己解凍アプリケーション４３は、制限ファイル４０のヘッダ４２に含まれるアプリケーション情報が示すアプリケーションプログラムの転送要求を含むＣｏｍｍａｎｄ信号３を作成し（ステップＳ４２１）、これを制限ファイル４０のヘッダ４２の確認先情報（該当管理サーバのアドレス情報）が示すアドレスへ送信する（ステップＳ４２２）。

Ｃｏｍｍａｎｄ信号３を受信した画像形成装置２０（管理サーバ）は（図２１：ステップＳ３４１；Ｙｅｓ）、Ｃｏｍｍａｎｄ信号３に対応するＡｃｋ信号３を該Ｃｏｍｍａｎｄ信号３の送信元へ送信する(ステップＳ３４２)。そして、Ｃｏｍｍａｎｄ信号３にて指定されたアプリケーションプログラム(ここでは、当該画像形成装置２０のＭＦＰドライバ)を該Ｃｏｍｍａｎｄ信号３の送信元へ送信して（ステップＳ３４３）処理を終了する（Ｅｎｄ）。

情報処理装置では、Ｃｏｍｍａｎｄ信号３の送信後、一定時間が経過する前にＡｃｋ信号３を受信できない場合は（図２０：ステップＳ４２４；Ｎｏ、Ｓ４２３；Ｙｅｓ）、エラーで自己解凍アプリケーション４３が強制終了する（ステップＳ４２６）。

情報処理装置は、Ｃｏｍｍａｎｄ信号３の送信後、一定時間の経過前にＡｃｋ信号３を受信した場合は（ステップＳ４２３；Ｎｏ、Ｓ４２４；Ｙｅｓ）、Ｃｏｍｍａｎｄ信号３の処理結果（該当アプリケーション）を含むＲｅｓｕｌｔ信号３の受信を待つ。Ａｃｋ信号３の受信後、一定時間が経過してもＲｅｓｕｌｔ信号３を受信できない場合は（ステップＳ４２５；Ｙｅｓ）エラーで自己解凍アプリケーション４３を強制終了する（ステップＳ４２６）。

Ａｃｋ信号３の受信後、一定時間の経過前にＲｅｓｕｌｔ信号３を受信した場合は（ステップＳ４２７；Ｙｅｓ）、該Ｒｅｓｕｌｔ信号３に含まれる該当アプリケーションを当該情報処理装置にインストールして（ステップＳ４２８）処理を終了する（Ｅｎｄ）。

このように、該当アプリケーションを必要に応じて管理サーバから入手するので、制限ファイル４０にアプリケーションプログラムを含める場合に比べて、制限ファイル４０の容量を小さく抑えることができる。また、管理サーバから入手するので、アプリケーションプログラムの変更やバージョンＵＰに対して柔軟に対応することができる。

図２２およびその続きの図２３は、図１８において該当アプリケーションがインストールされていない場合（ステップＳ４０７；Ｎｏ）の動作に対応するシーケンスを示している。図２４およびその続きの図２５は、図１８の流れにおいて該当アプリケーションがインストール済みの場合（ステップＳ４０７；Ｙｅｓ）の動作に対応するシーケンスを示している。

図２６は、復号化後のデータ（復号データと呼ぶ。）に対する操作を監視するアプリケーションプログラムの動作を示している。図２７は、図２６の動作に対してアクセス権の確認を行う管理サーバの動作を示している。

情報処理装置では、図１８のステップＳ４０９で起動されたアプリケーションプログラムの制御により、復号データのタスクおよび復号データへの操作を監視しており（ステップＳ５０１）、閲覧開始、閲覧ページの移動、印刷、修正（変更）、複製などの操作の要求が行われたことを検知すると（ステップＳ５０２）、該操作要求の発生に伴う処理を行って（ステップＳ５０３）、ステップＳ５０４へ移行する。なお、操作要求の発生に伴う処理の詳細は後述する。操作要求が検知されない場合はステップＳ５０４へ移行する（ステップＳ５０２；Ｎｏ）。

ステップＳ５０４では、前回のアクセス権確認から一定時間（たとえば、１０分）が経過したか否かを調べ、一定時間が経過していなければ（ステップＳ５０４；Ｎｏ）、ステップＳ５０１へ移行する。なお、初回のアクセス権確認は、復号鍵の要求において行われている。前回のアクセス権確認から一定時間が経過した場合は（ステップＳ５０４；Ｙｅｓ）、再度、アクセス権の確認を行う。

詳細には、復号データに対する閲覧等の操作の継続に対するアクセス権の確認を要求するＣｏｍｍａｎｄ信号５を作成し（ステップＳ５０５）、これをヘッダ４２の確認先情報が示す管理サーバへ送信する（ステップＳ５０６）。Ｃｏｍｍａｎｄ信号５には、Ｃｏｍｍａｎｄ信号４と同様にアクセス権の確認に必要な照合情報および制限ファイルＩＤが含まれる。この際、入力画面を表示して照合情報(ユーザＩＤやパスワードなど)の再入力を求めるようになっている。なお、利便性を重視する場合は、照合情報の再入力を求めず、前回のものを使用する構成とされてもよい。

Ｃｏｍｍａｎｄ信号５を受信した画像形成装置２０（管理サーバ）は（図２７：ステップＳ３６１；Ｙｅｓ）、受信したＣｏｍｍａｎｄ信号５に含まれている制限ファイルＩＤに対応付けて管理テーブル３７に登録されている条件情報を読み出し、該条件情報と受信したＣｏｍｍａｎｄ信号５に含まれている照合情報とを比較して、アクセス権の有無（操作の継続を許可するか否か）を判定する（ステップＳ３６２）。

画像形成装置２０（管理サーバ）は、アクセス権ありと判定した場合は（図２７：ステップＳ３６３；Ｙｅｓ）、Ｃｏｍｍａｎｄ信号５の送信元の情報処理装置に対して、アクセス権あり（継続操作の許可）を示す確認結果を含むＲｅｓｕｌｔ信号５を送信して（ステップＳ３６４）処理を終了する（Ｅｎｄ）。アクセス権なしと判定した場合は（ステップＳ３６３；Ｎｏ）、アクセス権なし（継続操作の不許可）を示す確認結果を含むＲｅｓｕｌｔ信号５を送信して（ステップＳ３６５）処理を終了する（Ｅｎｄ）。

情報処理装置では、Ｃｏｍｍａｎｄ信号５を送信後、一定時間が経過する前にＣｏｍｍａｎｄ信号５に対応するＲｅｓｕｌｔ信号５を受信した場合は（図２６：ステップＳ５０８；Ｙｅｓ）、そのＲｅｓｕｌｔ信号５を解析し（ステップＳ５０９）、アクセス権ありを示す確認結果が含まれている場合は（ステップＳ５１０；Ｙｅｓ）、復号データの閲覧の継続を許可する（ステップＳ５１１）。その後、復号データのタスクが終了したか否かを調べ、終了していない場合は（ステップＳ５１３；Ｎｏ）、ステップＳ５０１に戻って監視処理を継続する。タスク終了の場合は、（ステップＳ５１３；Ｙｅｓ）本処理を終了する(Ｅｎｄ)。なお、タスク終了時に復号データを削除するようになっている。

一定時間の経過前にＲｅｓｕｌｔ信号５を受信できなかった場合（ステップＳ５０８；Ｎｏ、Ｓ５０７；Ｙｅｓ）および受信したＲｅｒｓｕｌｔ信号５がアクセス権なしを示す確認結果を含んでいる場合は（ステップＳ５１０；Ｎｏ）、復号データのタスクを強制終了させて（ステップＳ５１２）本処理を終了する（Ｅｎｄ）。なお、強制終了の場合に復号データを削除するように構成されてもよい。

このように、復号データの閲覧中は一定時間の経過毎にアクセス権の確認が行われる。たとえば、アクセス権の許可に関する条件として許可期間が設定されている場合には、継続閲覧中に許可期間外になれば、その時点でアクセス権なしと判定されて閲覧が強制終了される。また、閲覧状態で放置された場合には、一定時間毎に照合情報（ユーザＩＤやパスワードなど）の入力を求めてアクセス権の確認を行うので、閲覧状態で放置された復号データを権限のないユーザが無断で閲覧するといった事態を防止することができる。さらに、たとえば、パスワードの不正入手などによって復号化されたことが判明したような場合には、管理サーバ側の許可条件を変更すれば、復号データに対する以後のアクセスを禁止することができ、各種の事態に柔軟に対応して強固なセキュリティを確保することができる。

図２８、図２９、図３０は、図２６、図２７に示す動作に対応するシーケンスを示している。図２８は、確認結果がアクセス権ありの場合のシーケンスを示し、図２９は、確認結果がアクセス権なしの場合のシーケンスを示している。図３０は、通信障害などによりＣｏｍｍａｎｄ信号５に対するＲｅｓｕｌｔ信号５を受信できなかった場合のシーケンスを示している。図３０の破線で囲った期間は通信障害が生じた期間を示している。

図３１は、操作要求発生に伴う処理（図２６のステップＳ５０３に対応する処理）の流れを示している。操作を監視するアプリケーションプログラムは、発生した操作要求にかかわる操作に対してブロックをかけてその操作の実行を禁止する(ステップＳ５４１)。次に発生した操作に係るアクセス権の確認を要求するＣｏｍｍａｎｄ信号６を作成し（ステップＳ５４２）、これをヘッダ４２の確認先情報が示す管理サーバへ送信する（ステップＳ５４３）。Ｃｏｍｍａｎｄ信号６には、Ｃｏｍｍａｎｄ信号５と同様にアクセス権の確認に必要な照合情報および制限ファイルＩＤが含まれる。また、この際、入力画面を表示して照合情報(ユーザＩＤやパスワードなど)の再入力を求める。なお、利便性を重視する場合は、照合情報の再入力を求めず、前回のものを使用する構成とされてもよい。

Ｃｏｍｍａｎｄ信号６を受信した画像形成装置２０（管理サーバ）は図２７と同様の処理（ただし、Ｃｏｍｍａｎｄ信号５をＣｏｍｍａｎｄ信号６に置き換える）が行われ、アクセス権あり、または、アクセス権なしの確認結果を含むＲｅｓｕｌｕｔ信号６が返信される。

情報処理装置では、Ｃｏｍｍａｎｄ信号６を送信後、一定時間が経過する前にＣｏｍｍａｎｄ信号６に対応するＲｅｓｕｌｔ信号６を受信した場合は（図３１：ステップＳ５４５；Ｙｅｓ）、そのＲｅｓｕｌｔ信号６を解析し（ステップＳ５４６）、アクセス権ありを示す確認結果が含まれている場合は（ステップＳ５４７；Ｙｅｓ）、復号データに対する当該操作を許可する（ステップＳ５４９）。その後、当該操作が復号データに対して実行されたことを検知し(ステップＳ５５０)、図２６のステップＳ５０４の判定に係る時間の計測を再開して（ステップＳ５５１）処理を終了する（Ｅｎｄ）。

一定時間の経過前にＲｅｓｕｌｔ信号６を受信できないかった場合（ステップＳ５４５；Ｎｏ、Ｓ５４４；Ｙｅｓ）および受信したＲｅｒｓｕｌｔ信号６がアクセス権なしを示す確認結果を含んでいる場合は（ステップＳ５４７；Ｎｏ）、復号データに対する当該操作を不許可として禁止し（ステップＳ５４８）、本処理を終了する（Ｅｎｄ）。このとき、不許可であることを操作中のユーザに通知するメッセージを表示するように構成してもよい。

図３２は、図３１の動作に対応するシーケンスを示している。

このように、操作が発生するごとに、その操作に対するアクセス権を管理サーバに確認するので、復号データの操作に対するセキュリティを高めることができる。また、管理サーバでアクセス権を確認するので、許可条件を随時変更することができ、許可条件の変更要請に柔軟に対応することができる。たとえば、印刷を禁止した許可条件で生成された制限ファイル４０を出張先に持ち出したが、急に出張先で該制限ファイル４０にかかわる印刷が必要となったような場合でも、管理者等に電話して許可条件の変更を依頼し、それが認められて管理サーバに登録されている許可条件が変更されれば、以後は印刷操作に対するアクセス権も許可されるようになるので、出張先での印刷が可能になる。

以上、本発明の実施の形態を図面によって説明してきたが、具体的な構成は実施の形態に示したものに限られるものではなく、本発明の要旨を逸脱しない範囲における変更や追加があっても本発明に含まれる。

たとえば、実施の形態では、制限ファイル４０に自己解凍アプリケーション４３を含めるようにしたが、これを含めない構成にされてもよい。またヘッダ４２には少なくとも確認先情報が含まれればよく、他の情報は付加されなくてもかまわない。たとえば、ユーザＩＤや装置ＩＤ、アプリケーション情報はヘッダ４２に含めない構成にされてもよい。

ヘッダ４２にユーザ情報や装置ＩＤが含まれている場合は、これを照合情報の補助情報として管理サーバに送信する構成にしてもよい。

また、管理テーブル３７および制限ファイル４０のヘッダ４２に制限ファイルＩＤを登録し、制限ファイル毎に個別の条件でアクセス権を確認するように構成したが、すべての制限ファイルに共通の条件でアクセス権の有無を判定する場合には、制限ファイルＩＤの登録はなくてもよい。

また、実施の形態では、照合情報として管理サーバに送信する端末ＩＤを、復号データを監視するアプリケーションプログラムが自動的に情報処理装置から収集するようにしたが、使用者が入力画面を通じて入力する構成にされてもよい。

許可対象の操作は、実施の形態に例示したものに限定されない。なお、復号データを他の端末へ送信する操作は複製の操作に含まれる。

確認先情報は、管理サーバのネットワーク上のアドレス情報に限定されるものではなく、指定の管理サーバへのアクセスを可能にする情報であればよい。たとえば、管理サーバのＩＤ情報からアドレス情報を入手可能（既知のサーバに問い合わせればＩＤ情報から管理サーバのアドレス情報が提供されるような場合など）であれば、管理サーバのＩＤ情報を確認先情報としてもかまわない。

また、実施の形態では画像形成装置２０にてデータの暗号化を行うようにしたが、暗号化は別の装置で行われてもよく、画像形成装置２０は、その暗号化データに少なくとも確認先情報を付加した制限ファイル４０を生成するように構成されてもよい。たとえば、ケース２の場合に、暗号鍵を管理サーバから端末装置１０へ送信し、この暗号鍵を使用して端末装置１０側で暗号化を行い、該暗号化で得た暗号化データを画像形成装置２０へ送信し、画像形成装置２０はこの暗号化データを含む制限ファイル４０を生成して端末装置１０へ返送しかつ管理テーブル３７に必要な管理情報を登録する、といった構成にされてもよい。

また、実施の形態では画像形成装置２０が制限ファイル４０を生成する制限ファイル生成装置としての機能と管理サーバとしての機能を併せ持つように構成したが、制限ファイル生成装置と管理サーバとを別装置に分けられて構成してもかまわない。また、制限ファイル生成装置としての機能や管理サーバとしての機能は画像形成装置に設ける必要はなく、それぞれ専用の装置として設けられてもよい。

また、復号化を情報処理装置で行うようにしたが、情報処理装置から管理サーバへ暗号化データを送信し、管理サーバで復号化し、復号化後の復号データを情報処理装置に返信するように構成されてもよい。

２…印刷システム
３…第１ＬＡＮ
４…第２ＬＡＮ
５…ＷＡＮ
６…ＵＳＢメモリ
１０…端末装置
２０…画像形成装置（ＭＦＰ）
２１…ＣＰＵ
２２…バス
２３…ＲＯＭ
２４…ＲＡＭ
２５…ハードディスク装置
２６…不揮発メモリ
２７…操作表示部
２８…認証部
３１…ファクシミリ通信部
３２…ネットワーク通信部
３３…画像処理部
３４…スキャナ部
３５…プリンタ部
３７…管理テーブル
３８…ボックス
４０…制限ファイル
４１…暗号化データ
４２…ヘッダ
４３…自己解凍アプリケーション
５１…ＣＰＵ
５２…バス
５３…ＲＯＭ
５４…ＲＡＭ
５５…ネットワークＩ／Ｆ部
５６…操作部
５７…表示装置
５８…ハードディスク装置
５９…不揮発メモリ
６１…ＯＳプログラム
６２…アプリケーション・プログラム
６３…ＭＦＰドライバ
７１…Ｈｅａｄｅｒ
７２…ＩｄｅｎｔｉｃａｌＣｏｄｅ
７３…パラメータ
７４…付属データ
８０…印刷設定画面
８１…ドライバ指定欄
８２…プルダウン釦
８３…リスト
８４…プロパティ釦
９０…プロパティ画面
９１…セキュリティタブ
９２…対象データ指定欄
９３…ステータス欄
９４…ＯＫ釦
９５…許可条件設定釦
１００…操作許可条件設定画面
１０１…許可ユーザ設定欄
１０２…許可端末設定欄
１０３…許可期間設定欄

Claims (13)

1. ユーザの操作に対するアクセスが制限されたデータと、前記データを出力した画像形成装置のネットワーク上のアドレスを示すアドレス情報と、前記画像形成装置に対応するプリンタドライバを特定するドライバ特定情報と、前記画像形成装置に対応するプリンタドライバを、前記ネットワークを介して前記画像形成装置に接続された情報処理装置に入手させる処理を行わせる入手プログラムとを含むアクセス制限ファイルであって、
   前記入手プログラムは、前記情報処理装置に、
   前記データ対して所定の操作を行う要求を受けたとき、前記ドライバ特定情報で特定されるプリンタドライバが自機にインストールされているか否かを判断する第１のステップと、
   前記プリンタドライバが自機にインストールされていない場合に、前記ドライバ特定情報に基づいて前記プリンタドライバを入手する第２のステップとを実行させ、
   前記プリンタドライバは、前記情報処理装置に、
   前記アドレス情報に基づいて前記画像形成装置に対して前記データに対するアクセス権の確認を依頼する第３のステップと、
   前記第３のステップによりアクセス権が確認された場合は前記データに対する前記操作を許可し、アクセス権が確認されない場合は前記データに対する前記操作を禁止するように前記情報処理装置を動作させる第４のステップと、
   前記操作が所定時間継続されたとき、前記確認を再度依頼する第５のステップと、
   前記第５のステップによりアクセス権が確認された場合は前記データに対する前記操作の継続を許可し、アクセス権が確認されない場合は前記操作が行われた前記データに関するタスクを強制終了する第６のステップと、
   を実行させる
   ことを特徴とするアクセス制限ファイル。
2. 前記データは暗号化されており、
   前記プリンタドライバは、更に、
   前記第３のステップによりアクセス権が確認された場合は前記データを復号化する第７のステップを含み、
   前記第６のステップにおいて、前記データに関するタスクを強制終了する際に、前記復号化された前記データを削除する
   ことを特徴とする請求項１に記載のアクセス制限ファイル。
3. 前記操作は、前記データの閲覧開始、前記データにおける閲覧ページの変更、前記データの更新、前記データの印刷、前記データの複製の少なくとも１つである
   ことを特徴とする請求項１または２に記載のアクセス制限ファイル。
4. 前記プリンタドライバは、前記確認に使用される照合情報を入力し、該入力された照合情報を付加して前記依頼を行うように前記情報処理装置を動作させるものである
   ことを特徴とする請求項１乃至３のいずれか１つに記載のアクセス制限ファイル。
5. ユーザの操作に対するアクセスが制限されたデータと、前記データを出力した画像形成装置のネットワーク上のアドレスを示すアドレス情報と、前記画像形成装置に対応するプリンタドライバを特定するドライバ特定情報と、前記画像形成装置に対応するプリンタドライバを、前記ネットワークを介して前記画像形成装置に接続された情報処理装置に入手させる処理を行わせる入手プログラムとを含むアクセス制限ファイルを生成する生成部、
   を有し、
   前記入手プログラムは、前記情報処理装置に、
   前記データ対して所定の操作を行う要求を受けたとき、前記ドライバ特定情報で特定されるプリンタドライバが自機にインストールされているか否かを判断する第１のステップと、
   前記プリンタドライバが自機にインストールされていない場合に、前記ドライバ特定情報に基づいて前記プリンタドライバを入手する第２のステップとを実行させ、
   前記プリンタドライバは、前記情報処理装置に、
   前記アドレス情報に基づいて前記画像形成装置に対して前記データに対するアクセス権の確認を依頼する第３のステップと、
   前記第３のステップによりアクセス権が確認された場合は前記データに対する前記操作を許可し、アクセス権が確認されない場合は前記データに対する前記操作を禁止するように前記情報処理装置を動作させる第４のステップと、
   前記操作が所定時間継続されたとき、前記確認を再度依頼する第５のステップと、
   前記第５のステップによりアクセス権が確認された場合は前記データに対する前記操作の継続を許可し、アクセス権が確認されない場合は前記操作が行われた前記データに関するタスクを強制終了する第６のステップと、
   を実行させる
   ことを特徴とする制限ファイル生成装置。
6. 前記データは暗号化されており、
   前記プリンタドライバは、更に、
   前記第３のステップによりアクセス権が確認された場合は前記データを復号化する第７のステップを含み、
   前記第６のステップにおいて、前記データに関するタスクを強制終了する際に、前記復号化された前記データを削除する
   ことを特徴とする請求項５に記載の制限ファイル生成装置。
7. 前記アクセス権を確認するための条件情報を前記画像形成装置に登録する条件登録部をさらに有する
   ことを特徴とする請求項５または６に記載の制限ファイル生成装置。
8. 前記操作は、前記データの閲覧開始、前記データにおける閲覧ページの変更、前記データの更新、前記データの印刷、前記データの複製の少なくとも１つを含む
   ことを特徴とする請求項５乃至７のいずれか１つに記載の制限ファイル生成装置。
9. 前記プリンタドライバは、前記確認に使用される照合情報を入力し、その入力された照合情報を付加して前記依頼を行うように前記情報処理装置を動作させるものである
   ことを特徴とする請求項５乃至８のいずれか１つに記載の制限ファイル生成装置。
10. ファイル生成装置を、ユーザの操作に対するアクセスが制限されたデータと、前記データを出力した画像形成装置のネットワーク上のアドレスを示すアドレス情報と、前記画像形成装置に対応するプリンタドライバを特定するドライバ特定情報と、前記画像形成装置に対応するプリンタドライバを、前記ネットワークを介して前記画像形成装置に接続された情報処理装置に入手させる処理を行わせる入手プログラムとを含むアクセス制限ファイルを生成するように制御し、
    前記入手プログラムは、前記情報処理装置に、
    前記データ対して所定の操作を行う要求を受けたとき、前記ドライバ特定情報で特定されるプリンタドライバが自機にインストールされているか否かを判断する第１のステップと、
    前記プリンタドライバが自機にインストールされていない場合に、前記ドライバ特定情報に基づいて前記プリンタドライバを入手する第２のステップとを実行させ、
    前記プリンタドライバは、前記情報処理装置に、
    前記アドレス情報に基づいて前記画像形成装置に対して前記データに対するアクセス権の確認を依頼する第３のステップと、
    前記第３のステップによりアクセス権が確認された場合は前記データに対する前記操作を許可し、アクセス権が確認されない場合は前記データに対する前記操作を禁止するように前記情報処理装置を動作させる第４のステップと、
    前記操作が所定時間継続されたとき、前記確認を再度依頼する第５のステップと、
    前記第５のステップによりアクセス権が確認された場合は前記データに対する前記操作の継続を許可し、アクセス権が確認されない場合は前記操作が行われた前記データに関するタスクを強制終了する第６のステップと、
    を実行させる
    ことを特徴とするファイル生成装置の制御方法。
11. 前記データは暗号化されており、
    前記プリンタドライバは、更に、
    前記第３のステップによりアクセス権が確認された場合は前記データを復号化する第７のステップを含み、
    前記第６のステップにおいて、前記データに関するタスクを強制終了する際に、前記復号化された前記データを削除する
    ことを特徴とする請求項１０に記載のファイル生成装置の制御方法。
12. ファイル生成装置を、ユーザの操作に対するアクセスが制限されたデータと、前記データを出力した画像形成装置のネットワーク上のアドレスを示すアドレス情報と、前記画像形成装置に対応するプリンタドライバを特定するドライバ特定情報と、前記画像形成装置に対応するプリンタドライバを、前記ネットワークを介して前記画像形成装置に接続された情報処理装置に入手させる処理を行わせる入手プログラムとを含むアクセス制限ファイルを生成するように動作させ、
    前記入手プログラムは、前記情報処理装置に、
    前記データ対して所定の操作を行う要求を受けたとき、前記ドライバ特定情報で特定されるプリンタドライバが自機にインストールされているか否かを判断する第１のステップと、
    前記プリンタドライバが自機にインストールされていない場合に、前記ドライバ特定情報に基づいて前記プリンタドライバを入手する第２のステップとを実行させ、
    前記プリンタドライバは、前記情報処理装置に、
    前記アドレス情報に基づいて前記画像形成装置に対して前記データに対するアクセス権の確認を依頼する第３のステップと、
    前記第３のステップによりアクセス権が確認された場合は前記データに対する前記操作を許可し、アクセス権が確認されない場合は前記データに対する前記操作を禁止するように前記情報処理装置を動作させる第４のステップと、
    前記操作が所定時間継続されたとき、前記確認を再度依頼する第５のステップと、
    前記第５のステップによりアクセス権が確認された場合は前記データに対する前記操作の継続を許可し、アクセス権が確認されない場合は前記操作が行われた前記データに関するタスクを強制終了する第６のステップと、
    を実行させる
    ことを特徴とするファイル生成プログラム
13. 前記データは暗号化されており、
    前記プリンタドライバプログラムは、更に、
    前記第３のステップによりアクセス権が確認された場合は前記データを復号化する第７のステップを含み、
    前記第６のステップにおいて、前記データに関するタスクを強制終了する際に、前記復号化された前記データを削除する
    ことを特徴とする請求項１２に記載のファイル生成プログラム。

Images