JP6065523B2 - 画像形成装置、命令実行方法、プログラム、印刷システム - Google Patents

Description

ネットワークを介して接続された機器から印刷データを受信して記録媒体に印刷する画像形成装置等に関する。

画像形成装置は、ＰＣ（Personal Computer）から受信した印刷データを記憶するために内部記憶装置を有している。内部記憶装置は例えばハードディスクなどであるが、内部記憶装置から印刷データが漏洩する危険性や、内部記憶装置を介して画像形成装置に不正な操作を加えることが可能であることが知られている。

ＰＣから画像形成装置に送信される印刷データはＰＤＬ（ページ記述言語：Page Description Language）で記述されているが、ページ記述言語はその言語仕様として画像形成装置の内部記憶装置のファイルシステムを操作する機能を有している。このため、第三者が、画像形成装置がサポートするページ記述言語（例えば、ＰＪＬ・ＰＣＬ・ＲＰＤＬ・ＰＤＦ・PostScript等）の文法に従って、ファイルを削除、編集、読みだし等する印刷データを作成し、内部記憶装置にアクセスすることが不可能ではない。

このため、内部記憶装置へのアクセスを制限することが考えられる（例えば、特許文献１参照。）。特許文献１には、ユーザごとにプリンタ言語機構へのユーザアクセスを許可又は拒否する技術が開示されている。特許文献１の画像形成装置は、ユーザが画像形成装置用のプリンタ言語コマンドを実行するよう要求すると、ユーザについてのプリンタ言語ポリシー設定に基づき、ユーザにプリンタ言語コマンドを実行する権限が付与されているか否か判定し、ユーザに画像形成装置のプリンタ言語コマンドを実行する権限が付与されていると判定されるとコマンドを実行する。

しかしながら、特許文献１に記載されているように、ユーザ単位でページ記述言語の命令の実行を制限するだけでは内部記憶装置の保護として十分でないという問題がある。というのは、多くの画像形成装置は複数のページ記述言語をサポートしているが、ページ記述言語の扱いやすさや文法がどのくらい公開されているかは、ページ記述言語によってまちまちである。例えば、PostScriptはテキストベースなので印刷データの作成が容易であるのに対し、ＲＰＤＬ（登録商標）はバイナリベースであるし文法が一般ユーザに知られているわけでもないので印刷データの作成は困難といえる。

したがって、ページ記述言語の命令の実行が許可されたユーザに悪意がなくても、例えばPostScriptで印刷データを作成し内部記憶装置のファイルにアクセスすることで、内部記憶装置のファイルを漏洩又は改竄等するおそれが残ってしまう。

本発明は、上記課題に鑑み、受信した印刷データにより所定の制御を行う際の画像形成装置のセキュリティ強化を提供することを目的とする。

本発明は、機器から印刷データを受信して出力する画像形成装置であって、印刷データを受信する印刷データ受信手段と、前記印刷データ受信手段によって受信された印刷データに記述された制御命令に基づいて当該画像形成装置を制御する制御手段と、印刷データを記述するページ記述言語の種類毎に前記制御手段による所定の制御を許可するか否かの設定情報を管理する管理手段と、前記印刷データ受信手段が受信した印刷データを記述するページ記述言語による前記所定の制御が許可されているか否かを、前記設定情報に基づいて判断する判断手段と、前記判断手段によって、前記所定の制御が許可されていないと判断されたとき、前記制御手段による実行を制御する命令実行制御手段と、前記所定の制御を許可するか否かの設定の有効期限を受け付ける設定受付手段と、を有することを特徴とする。

受信した印刷データにより所定の制御を行う際の画像形成装置のセキュリティ強化を提供することことができる。

本実施の形態の画像形成装置の概略的な特徴を説明する図の一例である。 画像形成装置のハードウェア構成図の一例である。 画像形成装置の機能ブロック図の一例である。 ページ記述言語選択テーブルの一例を示す図である。 操作許否設定テーブルの一例を示す図である。 ページ記述言語毎に予め登録されているファイルアクセスする命令の一例を示す図である。 操作許否設定テーブルの設定時にプリンタ管理者ＰＣに表示される画面の一例を示す図である。 ユーザＰＣに表示される画面の一例を示す図である。 プリンタ管理者がネットワークを介して操作許否設定テーブルを設定する処理手順を示すフローチャート図の一例である。 画像形成装置がページ記述言語に応じてファイルアクセスするか否かを制御するフローチャート図の一例である（アクセス可）。 画像形成装置がページ記述言語に応じてファイルアクセスする手順を示すシーケンス図の一例である（アクセス不可）。 画像形成装置がページ記述言語に応じてファイルアクセスする手順を示すシーケンス図の一例である。 ユーザＰＣに表示される命令の実行結果の表示画面の一例を示す図である。 プリンタ管理者ＰＣに表示される操作許否設定画面の一例を示す図である（実施例２）。 画像形成装置がページ記述言語に応じてファイルアクセスするか否かを制御するフローチャート図の一例である（実施例２）。 印刷システムの概略構成図の一例である（実施例３）。 画像形成装置がページ記述言語に応じてファイルアクセスする手順を示すシーケンス図の一例である。

以下、本発明を実施するための形態について図面を参照しながら説明する。

図１は、本実施の形態の画像形成装置の概略的な特徴を説明する図の一例である。
（１）まず、プリンタ管理者は画像形成装置１００に操作許否設定テーブル４１を登録する。プリンタ管理者はプリンタ管理者ＰＣ（Personal Computer）２００で画像形成装置１００と通信し、画像形成装置１００がサポートしているＰＤＬ（ページ記述言語：Page Description Language）のリストを取得する。

そして、プリンタ管理者はプリンタ管理者ＰＣ２００を操作して、ページ記述言語毎にファイルアクセスを許可するか否かを設定する。画像形成装置１００は設定内容を操作許否設定テーブル４１として記憶する。図１（ａ）に示すように、操作許否設定テーブル４１には、ページ記述言語毎にファイルアクセスを「許可するか／許可しないか」が設定される。
（２）画像形成装置１００を使用するユーザは、所定のページ記述言語（図ではＲＰＤＬ）でプリントデータを作成して画像形成装置１００に送信する。画像形成装置１００は、まずファイルアクセス命令が含まれているか否かを判定する。ファイルアクセス命令が含まれている場合、プリントデータがどのページ記述言語で記述されているかを判断し、操作許否設定テーブル４１でそのページ記述言語によるファイルアクセスが許可されているか否かを判定する。

画像形成装置１００は、許可されている場合はファイルアクセスを行うが、許可されていない場合はファイルアクセスせずにエラーをユーザに通知する。図の例ではＲＰＤＬで記述されたプリントデータはファイルアクセスが禁止されているので、エラーが通知される。

したがって、本実施形態の画像形成装置１００では、ファイルアクセスが禁止されているページ記述言語によるファイルアクセスを一切禁止することができる。よって、画像形成装置１００がサポートしているページ記述言語であってもプリントデータの編集が容易なページ記述言語が使用された際の記憶装置に対するセキュリティを向上できる。一方、プリント管理者は、特定のプリントデータの編集が困難なページ記述言語を用いてファイルアクセスすることができる。

〔構成例〕
図２は、画像形成装置１００のハードウェア構成図の一例を示す。画像形成装置１００は、コントローラ１３０と、オペレーションパネル１２５と、ファクシミリコントロールユニット（ＦＣＵ）１２６と、撮像部１２７及び印刷部１２８を有する。

コントローラ１３０は、ＣＰＵ１１４と、ＡＳＩＣ１１６と、ＮＢ（ノースブリッジ）１１５と、ＳＢ（サウスブリッジ）１１７と、ＭＥＭ−Ｐ（システムメモリ）１１１と、ＭＥＭ−Ｃ（ローカルメモリ）１１２と、ＨＤＤ（ハードディスクドライブ）１１３と、メモリカードスロット１２３と、ＮＩＣ（ネットワークインタフェースコントローラ）１１８と、ＵＳＢデバイス１１９と、ＩＥＥＥ１３９４デバイス１２１と、セントロニクスデバイス１２２とを有する。

ＣＰＵ１１４は、種々の情報処理を実行するためのＩＣであり、アプリやプラットフォーム、オプションパッケージをＵＮＩＸ（登録商標）等のＯＳによりプロセス単位で並列的に実行する。ＡＳＩＣ１１６は、画像処理用のＩＣである。ＮＢ１１５は、ＣＰＵ１１４とＡＳＩＣ１１６を接続するためのブリッジである。ＳＢ１１７は、ＮＢ１１５と周辺機器等を接続するためのブリッジである。ＡＳＩＣ１１６とＮＢ１１５は、ＡＧＰ（Ａｃｃｅｌｅｒａｔｅｄ Ｇｒａｐｈｉｃｓ Ｐｏｒｔ）を介して接続されている。

ＭＥＭ−Ｐ１１１は、ＮＢ１１５に接続されたメモリである。ＭＥＭ−Ｃ１１２は、ＡＳＩＣ１１６に接続されたメモリである。ＨＤＤ１１３は、ＡＳＩＣ１１６に接続されたストレージであり、画像データ蓄積・文書データ蓄積・プログラム蓄積・フォントデータ蓄積・フォームデータ蓄積等を行うために使用される。ＨＤＤ１１３には上記の種々のアプリ、及び、プログラム１３１が記憶されている。

メモリカードスロット１２３は、ＳＢ１１７に接続され、メモリカード１２４をセット（挿入）するために使用される。メモリカード１２４は、ＵＳＢメモリ、ＳＤメモリ等のフラッシュメモリであり、プログラム１３１を配布するために使用される。また、プログラム１３１は所定のサーバから画像形成装置１００にダウンロードして配布することもできる。

ＮＩＣ１１８は、ネットワーク４００等を介してＭＡＣアドレス等を使用したデータ通信を行うためのコントローラである。ＵＳＢデバイス１１９は、ＵＳＢ規格に準拠したシリアルポートを提供するためのデバイスである。ＩＥＥＥ１３９４デバイス１２１は、ＩＥＥＥ１３９４規格に準拠したシリアルポートを提供するためのデバイスである。セントロニクスデバイス１２２は、セントロニクス仕様に準拠したパラレルポートを提供するためのデバイスである。ＮＩＣ１１８と、ＵＳＢデバイス１１９と、ＩＥＥＥ１３９４デバイス１２１と、セントロニクスデバイス１２２と、ＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｅｃｔ）バスを介してＮＢ１１５とＳＢ１１７に接続されている。

オペレーションパネル１２５は、ユーザが画像形成装置１００に入力を行うためのハードウェア（操作部）であると共に、画像形成装置１００がメニュー画面を表示するハードウェア（表示部）である。オペレーションパネル１２５は、ＡＳＩＣ１１６に接続されている。ＦＣＵ１２６と、撮像部１２７と、印刷部１２８は、ＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｅｃｔ）バスを介してＡＳＩＣ１１６に接続されている。

図３は、画像形成装置１００の機能ブロック図の一例を示す。画像形成装置１００は、ネットワーク４００を介してプリンタ管理者ＰＣ２００及びユーザＰＣ３００と接続されている。画像形成装置１００は、ネットワークＩ／Ｆ部３６、設定受付処理部３１、ジョブ受信部３２、画像処理ＩＣ３３、及び、記憶部３５を有している。設定受付処理部３１、ジョブ受信部３２、画像処理ＩＣ３３、及び、記憶部３５は相互にアクセス可能である。また、画像処理ＩＣ３３は、解析部４５（以下、解析部１〜４という）、ページ記述言語選択テーブル４４、判断部４２（以下、解析部１〜４という）、及び、プログラム４３を有している。また記憶部３５には操作拒否設定テーブル４１を記憶している。なお、記憶部３５は画像形成装置１００の外部にあってもよい。

プリンタ管理者はプリンタ管理者ＰＣ２００を操作し、ユーザはユーザＰＣ３００を操作する。プリンタ管理者とは操作許否設定テーブル４１を登録する権限を有する者をいい、ユーザとは画像形成装置１００にプリントデータを送信する者をいう。プリンタ管理者ＰＣ２００とユーザＰＣ３００は、ネットワーク４００を介して画像形成装置１００のネットワークＩ／Ｆ部３６と通信可能に接続されている。ネットワーク４００は、例えばＬＡＮ(Local Area Network)であるが、複数のＬＡＮがルータで接続されたＷＡＮ（インターネット）であってもよい。また、ＬＡＮは有線ＬＡＮでも、一部又は全てが無線ＬＡＮで構築されていてもよい。また、ネットワーク４００には、ＵＳＢケーブルやＬＡＮケーブルなどで、プリンタ管理者ＰＣ２００又はユーザＰＣ３００と画像形成装置１００とが１対１に接続されている態様を含む。

プリンタ管理者ＰＣ２００又はユーザＰＣ３００は、ＣＰＵ、ＲＯＭ、ＲＡＭ、ＨＤＤ、ネットワークカード、マウス・キーボード、及び、ディスプレイ等を備えた情報処理装置である。その呼称はＰＣだけでなく、スマートフォン、タブレット、ＰＤＡ（Personal Digital Assistant）、携帯電話などどのようなものでもよい。

ネットワークＩ／Ｆ部３６は、例えばイーサネット（登録商標）と上位のプロトコル（ＴＣＰ／ＩＰ、ＩＰＰ（Internet Printing Protocol）、ＳＭＢ（Server Message Block）、ＦＴＰ等）を処理するプロトコルスタックである。また、ネットワークＩ／Ｆ部３６は、プリンタ管理者ＰＣ２００から受信した操作許否設定テーブル４１の設定内容を設定受付処理部３１に、ユーザＰＣ３００から受信したプリンタジョブをジョブ受信部３２に、それぞれ振り分ける。

プリントデータは、ページ記述言語によって記述されたデータである。ページ記述言語には、ＰＪＬ（Printer Job Language)、ＰＣＬ（Printer Control Language）、ＲＰＤＬ(登録商標)、ＰＤＦ(Portable Document Format)、又は、PostScript（登録商標）等がある。プリントデータは、用紙サイズ、印刷部数、両面設定、ステープルなどの印刷条件と、印刷対象のデータを含む。ページ記述言語の仕様では、ユーザが、画像形成装置１００のファイルシステムを操作する制御命令を記述することが可能になっている。

ジョブ受信部３２は、図２のＨＤＤ１１３に記憶されたプログラムをＣＰＵ１１４が実行することで実現される。ジョブ受信部３２は、ユーザＰＣ３００から受信するプリントデータをジョブ単位に保持し、ジョブ単位に画像処理ＩＣ３３にプリントデータを送出する。また、印刷する前にドキュメントボックスに保持したり、ファックス送信するなどアプリ毎にジョブを振り分ける。

画像処理ＩＣ３３は、図２のＡＳＩＣ１１６が対応する。画像処理ＩＣ３３内のプロセッサはプログラム４３を実行することで判断部１〜４を実現する。解析部１〜４は各ページ記述言語に対応した解析を行う。判断部１〜４はプリントデータを記述しているページ記述言語によるファイルアクセスが許可されているか否か判断する。ページ記述言語の判断はページ記述言語毎に行われるため判断部１〜４は解析部１〜４と対応する数だけ存在する。

記憶部３５は、図２のＨＤＤ１１３、ＭＥＭ−Ｐ１１１、又は、ＭＥＭ−Ｃ１１２が対応する。言語選択テーブル４４は、ページ記述言語に適合する解析部１〜４を選択するためのテーブルである。

図４は、ページ記述言語選択テーブル４４の一例を示す。ページ記述言語（ＰＤＬ）の種類に対応づけて、そのページ記述言語を解析可能な解析部１〜４が登録されている。解析部１〜４は、アドレスやイネーブル（選択信号）線により選択される。なお、画像処理ＩＣ３３は、プリントデータのヘッダー部からどのページ記述言語で記述されているかを判断する。例えば、ＰｏｓｔＳｃｒｉｐｔではプリントデータの1行目の「%!PS-Adobe-3.0」からＰｏｓｔＳｃｒｉｐｔであると判定される。

プリントデータには制御命令と印刷対象のデータが含まれ、印刷対象のデータには、文字、画像データ及び図形データを特定するための情報と、それらの位置情報、色や大きさなどの書式情報が含まれている。解析部１〜４は、ジョブ受信部３２を介してユーザによって送信されたプリントデータを取得し、ページ記述言語で記述されたプリントデータを解釈してレンダリング（ビットマップデータ化）などの処理を行い印刷エンジンに送信する。ビットマップデータは不図示のラインメモリに格納され、スキュー補正、ジャギー補正、倍密処理などが施される。

各解析部１〜４は専用の回路やＩＰ（Intellectual Property）コアで実装されるが、ソフト的に処理してもよい。このソフトとして、エミュレーションプログラムを使用できる。エミュレーションとは、あるハードウェアＡ向けに開発されたソフトウェアを、設計の異なる他のハードウェアＢ上で実行させることをいい、エミュレーションプログラムは設計の異なる他のハードウェアＢ上で、あるハードウェアＡを再現するソフトウェアを言う。エミューレションプログラムがあることで、画像形成装置はハードウェアに依存せずにページ記述言語を解析するプログラムを実行できる。なお、エミュレーションプログラムを利用することは、あるハードウェアにネイティブなプログラムであってはならないことを意図していない。

設定受付処理部３１は、図２のＨＤＤ１１３に記憶されたプログラムをＣＰＵ１１４が実行することで実現される。設定受付処理部３１は、操作許否設定テーブル４１にプリンタ管理者ＰＣ２００から送信された設定内容を設定する。なお、プリンタ管理者は操作パネルを操作して操作許否設定テーブル４１を設定することができる。

なお、図２のＣＰＵ１１４は、ＨＤＤ１１３に記憶されているプログラム１３１を実行して動作し、画像形成装置１００の全体を統括的に制御する。ＣＰＵ１１４は、ジョブ受信部３２が受信したプリントデータや操作パネルから受け付けたジョブを管理して、ジョブ受信部３２や画像処理ＩＣ３３を制御してジョブを実行する。また、ＣＰＵ１１４は、記憶部３５にアクセスすることができる。

〔操作拒否設定テーブル〕
図５は、操作許否設定テーブル４１の一例を示す図である。操作許否設定テーブル４１の設定方法については後述するが、操作許否設定テーブル４１には、ページ記述言語（PJL（Printer Job Language)、RPDL (Ricoh Page Description Language)、PDF(Portable Document Format)、及び、PostScript）毎にファイルアクセスを「許可するか／許可しないか」が設定されている。さらにPCL（Printer Control Language）を含めてもよい。なお、操作許否設定テーブル４１の記憶場所は画像形成装置内であればよい。

画像処理ＩＣ３３の解析部１〜４は、記憶部３５のファイルにファイルアクセスする制御命令が記載されたプリントデータについて、該制御命令を解析し、解析した内容に従い記憶部３５に対しファイルアクセスする。しかし、判断部１〜４は、操作許否設定テーブル４１を参照して、ファイルアクセスが禁止されたページ記述言語でプリントデータが記述されている場合は、記憶部３５へのファイルアクセスを禁止する。

ファイルアクセスする制御命令は、ページ記述言語によって様々であるが、例えば下記のような制御命令がファイルアクセスする命令である。
(i)ＰＪＬの場合
＠PJL FSMKDIR NAME＝"0:\pcl"
この制御命令は、「ＨＤＤ内部にpclという名前のディレクトリを作成する」という命令である。
＠PJL FSDELETE NAME＝"0:\pcl\\Name"
この制御命令は、「ＨＤＤ内部のpclディレクトリにあるNameというファイルを削除する」という命令である。
(ii)ＰｏｓｔＳｃｒｉｐｔの場合
(%disk0%test1.txt）(w) file
この制御命令は、「%disk0%（HDD内部の領域）にtest1.txtを作成する」という命令である。
(%disk0%test1.txt）(r) file read
この制御命令は、「%disk0%のtest1.txtをリードする」という命令である。
(%disk0%test1.txt）(%disk0%test2.txt) renamefile
この制御命令は、「%disk0%のtest1.txtをtest2.txtにリネームする」という命令である。

判断部４２は、図６に示すように、ページ記述言語毎にファイルアクセスする命令を予め保持している。判断部４２は、ジョブ受信部３２が受信したプリントデータに、図６に示すファイルアクセス命令が含まれているか否かを判定する。含まれている場合は、操作許否設定テーブル４１を参照して、プリントデータを記述するページ記述言語によるファイルアクセスが禁止されているか否かを判定する。

なお、画像処理ＩＣ３３がレンダリング処理等を行うために記憶部３５にアクセスする必要がある場合がある。例えば、フォントデータやレイアウトを取得する場合である。このような必須のファイルアクセスはレンダリング処理の中で発生するが、図6に示す明示的なファイルアクセス命令ではないため、区別することができる（レンダリング処理等に必要なファイルアクセスは許可される）。

〔操作許否設定テーブルの設定〕
操作許否設定テーブル４１への設定は、プリンタ管理者がネットワーク４００およびネットワークＩ／Ｆ部３６を介して設定受付処理部３１と通信することで行われる。

まず、プリンタ管理者はプリンタ管理者ＰＣ２００を操作してブラウザソフトウェアを実行し、画像形成装置１００のＩＰアドレスを設定する。これにより、プリンタ管理者ＰＣ２００は画像形成装置１００とＴＣＰ／ＩＰ、ＨＴＴＰなどのプロトコルで通信することが可能になる。通信が可能になると、プリンタ管理者は画像形成装置１００にパスワードとＩＤを送信する。設定受付処理部３１は、パスワードとＩＤの組に整合性があるか否かを判定し、整合性がある場合にはログインを許可する。

そして、設定受付処理部３１は、ＨＴＭＬデータをプリンタ管理者ＰＣ２００に送信する。これにより、図７（ａ）に示すメニュー画面が表示される。図７（ａ）は、操作許否設定テーブル４１の設定時にプリンタ管理者ＰＣ２００に表示されるメニュー画面の一例を示す図である。メニュー画面にはプリンタの設定メニュー７０１、スキャナの設定メニュー７０２、Ｒｅｍｏｔｅの設定メニュー７０３、ＷｅｂＰａｇｅの設定メニュー７０４、拡張期能初期設定の設定メニュー７０５の各設定メニューがある。プリンタ管理者は、操作許否設定テーブル４１の設定のため、プリンタの設定メニューの「ページ記述言語のファイルシステム操作拒否設定」ボタン７０６を押下する。設定受付処理部３１はこの操作を受信して操作許否設定画面を表示するためのＨＴＭＬデータをプリント管理者ＰＣ２００に送信する。

図７（ｂ）は、「ページ記述言語のファイルシステム操作拒否設定」ボタン７０６が押下された場合に、プリンタ管理者ＰＣ２００に表示される操作許否設定画面の一例を示す図である。ページ記述言語にそれぞれ、「許可する」「許可しない」のラジオボタン７１１，７１２が表示されている。ラジオボタン７１１，７１２は、すでに設定されている内容（初期設定又は過去にプリンタ管理者が設定した内容）に応じて選択された状態で表示される。

プリンタ管理者は、ファイルアクセスを許可してよいページ記述言語、許可したくないページ記述言語を判断し、ラジオボタン７１１，７１２をＯＮ又はＯＦＦする。設定後、プリンタ管理者がＯＫボタン７１３を押下することで、操作許否設定テーブル４１の設定内容が設定受付処理部３１に送信される。

なお、図７（ｂ）ではＰＤＦとＰｏｓｔＳｃｒｉｐｔが同一設定になっているが、ＰＤＦとＰｏｓｔＳｃｒｉｐｔの設定を別々にすることもできる。

図８（ａ）は、ユーザＰＣ３００に表示される画面の一例を示す図である。ユーザはプリンタ管理者としてログインできないので、操作許否設定テーブル４１を設定することができないが、操作許否設定テーブル４１の現在の設定内容を確認できるようになっている。このためユーザＰＣ３００には、ページ記述言語毎に、ファイルアクセスが許可するか否かが表示される。

なお、プリンタ管理者は操作許否設定テーブル４１を操作パネルから設定することができる。図８（ｂ）は操作パネル８００に表示された操作許否設定画面の一例を示す図である。プリンタ管理者は、ハードキーやソフトキーを操作してＩＤとパスワードを入力することでログインする。これにより図８（ｂ）の操作許否設定画面が表示される。操作パネルにおいては、ページ記述言語にそれぞれ、「許可する」ボタン８１１と「許可しない」ボタン８１２が表示される。プリンタ管理者が選択したボタンは反転表示される。プリンタ管理者がＯＫボタン８１３を押下することで、操作許否設定テーブル４１の設定内容が設定受付処理部３１に受け付けられる。

図９は、プリンタ管理者がネットワーク４００を介して操作許否設定テーブル４１を設定する処理手順を示すフローチャート図の一例である。

まず、プリンタ管理者は、ブラウザに画像形成装置１００のＩＰアドレスを設定して画像形成装置１００の設定受付処理部３１と通信する（Ｓ３０１）。これにより、プリンタ管理者ＰＣ２００には図７（ａ）のメニュー画面が表示される。

プリンタ管理者は、メニュー画面から操作許否設定テーブル４１を設定する「ページ記述言語のファイルシステム操作拒否設定」ボタン７０６を選択することで、画像形成装置１００から操作許否設定テーブル４１を設定するＨＴＭＬデータを呼び出す（Ｓ３０２）。ブラウザがＨＴＭＬデータを解釈することで図７（ｂ）の画面が表示される。

プリンタ管理者は、プリンタ管理者ＰＣ２００を操作して、ステップＳ３０２で呼び出した操作許否設定画面において、画像形成装置１００がサポートする個々のページ記述言語について、ファイルアクセスを「許可する」又は「拒否する」の設定を行う（Ｓ３０３）。設定後、ＯＫボタン７１３を押下することで、ページ記述言語毎にファイルアクセスを「許可する」又は「拒否する」の設定内容が画像形成装置１００に送信される。

設定受付処理部３１は、ネットワークＩ／Ｆ部３６を介して操作許否設定テーブル４１の設定内容を受信して、操作許否設定テーブル４１に登録する（Ｓ３０４）。

〔ページ記述言語に応じたファイルアクセス制御〕
図１０は、画像形成装置１００がページ記述言語の種類に応じてファイルアクセスするか否かを制御するフローチャート図の一例である。図１０の処理はユーザＰＣ３００がプリントデータを送信することでスタートする。

まず、画像処理ＩＣ３３の判断部４２は、プリントデータにファイルアクセスの命令が含まれているか否か判定する（Ｓ２０１）。

ファイルアクセスの命令が含まれていない場合（Ｓ２０２のＮｏ）、ファイルアクセスする必要がないので図８の処理は終了する。この場合、プリントデータに従い印刷等が行われる。

ファイルアクセスの命令が含まれている場合（Ｓ２０２のＹｅｓ）、判断部４２はプリントデータが記述されているページ記述言語を判別し、操作許否設定テーブル４１にて該ページ記述言語によるファイルアクセスが禁止されているか否かを判定する（Ｓ２０３）。

ファイルアクセスが禁止されている場合（Ｓ２０３のＹｅｓ）、画像処理ＩＣ３３は記憶部３５にファイルアクセスせずに処理を終了する（Ｓ２０４）。

ファイルアクセスが禁止されていない場合（Ｓ２０３のＮｏ）、画像処理ＩＣ３３は記憶部３５に対しファイルアクセスを行う（Ｓ２０５）。

なお、ステップＳ２０２とＳ２０３は順不同であり、ステップＳ２０３を先に判定してもよい。

図１１は、画像形成装置１００がページ記述言語の種類に応じてファイルアクセスする手順を示すシーケンス図の一例である。

S1：ユーザは、ユーザＰＣ３００においてプリントデータを作成する。このプリントデータには、ファイルアクセスする命令が含まれているが、プリントデータを記述するページ記述言語はファイルアクセスが許可されているものとする。ユーザＰＣ３００は、プリントデータを画像形成装置１００に送信する。画像形成装置１００のネットワークＩ／Ｆ部３６はプリントデータを受信したのでジョブ受信部３２に振り分ける。

S1.1：ジョブ受信部３２は、画像処理ＩＣ３３にプリントデータを送出する。

S1.1.1：画像処理ＩＣ３３の判断部４２は、設定受付処理部３１から操作許否設定テーブル４１を読みだす。

S1.1.2：判断部４２は以下の判断を行う。

(i) プリントデータにファイルアクセスの命令が含まれるか否か
(ii) 含まれている場合は、操作許否設定テーブル４１においてプリントデータが記述されているページ記述言語のファイルアクセスが許可されているか否か
を判定する処理が含まれる。(i)は図８のＳ２０２の判定に相当し、(ii)は図８のＳ２０３の判定に相当する。

S1.1.3：ファイルアクセスを記述するページ記述言語によるファイルアクセスが許可されているので、画像処理ＩＣ３３は、記憶部３５にファイルアクセスする。すなわち、記憶部３５にディレクトリを作成したり、ファイルを削除したりする操作を行う。

ファイルアクセスが命令どおりに行われたので、画像処理ＩＣ３３とジョブ受信部３２は制御命令が正常に実行されたこと（ＯＫ）をユーザＰＣ３００に通知する。制御命令が正常に実行されたことはユーザＰＣ３００には表示されないが、ユーザＰＣ３００が制御命令の実行結果を表示することも可能である。

S1.1.4：画像処理ＩＣ３３の解析部４５（解析部１〜４のいずれか）はプリントデータに記述されている制御命令に従って画像形成装置の制御を行い、通常の画像処理を行う。

図１２は、画像形成装置１００がページ記述言語の種類に応じてファイルアクセスする手順を示すシーケンス図の一例である。

S1：ユーザは、ユーザＰＣ３００においてプリントデータを作成する。このプリントデータには、ファイルアクセスする命令が含まれているが、プリントデータを記述するページ記述言語はファイルアクセスが許可されていないものとする。ユーザＰＣ３００は、プリントデータを画像形成装置１００に送信する。画像形成装置１００のネットワークＩ／Ｆ部３６はプリントデータを受信したのでジョブ受信部３２に振り分ける。S1.1〜S1.1.2までの処理は図9と同様である。

S1.1：ジョブ受信部３２は、画像処理ＩＣ３３にプリントデータを送出する。

S1.1.1：画像処理ＩＣ３３の判断部４２は、設定受付処理部３１から操作許否設定テーブル４１を読みだす。

S1.1.2：判断部４２は以下の判断を行う。

(i) プリントデータにファイルアクセスの命令が含まれるか否か
(ii) 含まれている場合は、操作許否設定テーブル４１においてプリントデータが記述されているページ記述言語のファイルアクセスが許可されているか否か
を判定する処理が含まれる。

ファイルアクセスを含むプリントデータを記述するページ記述言語に対しファイルアクセスが許可されていないので、画像処理ＩＣ３３はジョブ受信部３２に制御命令が正常に実行されないこと（NG）を通知する。

この場合はユーザに制御命令が実行されないことを知らせるため、ユーザＰＣ３００に制御命令の実行結果を表示することが好ましい。

図１３は、ユーザＰＣ３００に表示される制御命令の実行結果の表示画面の一例を示す。図１３では「ファイルアクセスが拒否されました。お使いのページ記述言語によるファイルアクセスは許可されていません。」と表示されている。ユーザは実行結果を読むことでファイルアクセスが受け付けられなかったことを把握できる。

以上説明したように、本実施例の画像形成装置１００によれば、任意のページ記述言語によるファイルアクセスを禁止することで、画像形成装置１００がサポートしているページ記述言語によるファイルアクセスを完全に禁止して記憶部に対するセキュリティを向上できる。

本実施例では、操作許否設定テーブル４１の設定内容に有効時間を設定可能な画像形成装置１００について説明する。本実施例において、実施例１にて説明した構成要素は同様の機能を果たすので、主に本実施例の主要な構成要素についてのみ説明する場合がある。

図１４は、プリンタ管理者ＰＣ２００に表示される操作許否設定画面の一例を示す図である。図１４は図７（ｂ）とほぼ同様の構成を有するが、新たに「有効期限」のフィールドを有している。

有効期限は、「ファイルシステム操作」においてプリンタ管理者が「許可する」を選択することで入力可能になる。「有効期限」は、日時を指定する方法と、期限が切れるまでの時間を設定する方法のいずれか１つ以上で設定可能になっている。両方が設定された場合は、短い方の有効期限が優先される。

図１５は、画像形成装置１００がページ記述言語に応じてファイルアクセスするか否かを制御するフローチャート図の一例である。図１５の処理は図１０と同様であるがステップＳ２０３１の処理が異なっている。

プリントデータにファイルアクセス命令が含まれている場合（Ｓ２０２のＹｅｓ）、判断部４２はファイルアクセス制限が有効期限内か否かを判定する（Ｓ２０３１）。有効期限が日時で指定されている場合は、ＣＰＵ１１４からＲＴＣ（Ｒｅａｌ Ｔｉｍｅ Ｃｌｏｃｋ）のカレンダ情報を取得し、設定されている日時と比較する。また、有効期限が、期限が切れるまでの時間で設定されている場合は、設定された時刻を記憶しておき現在時刻との差分を算出して、期限が切れるまでの時間と比較する。

比較の結果、ファイルアクセス制限がありそれが有効期限内の場合（Ｓ２０３１のＹｅｓ）、判断部１〜４は記憶部３５に対しファイルアクセスを行わない（Ｓ２０４）。

ファイルアクセス制限されていても有効期限内でない場合（Ｓ２０３１のＮｏ）、画像処理ＩＣ３３は記憶部３５に対しファイルアクセスを要求する（Ｓ２０５）。

なお、図１５のように判断部４２が有効期限を判断するのでなく、設定受付処理部３１が操作許否設定テーブル４１を設定し直すようにしてもよい。すなわち、ユーザが設定した有効期限が到来した場合、設定受付処理部３１は有効期限が設定されていたページ記述言語の「ファイルシステム操作」の設定をデフォルトの設定に戻す。デフォルトの設定は例えば「許可しない」である。この方法であれば、判断部４２の処理は図１０と全く同じでよい。

本実施例の画像形成装置１００によれば、ファイルシステムをメンテナンスするような状況で一時的にファイルアクセスを許可したい場合に、 メンテナンス後に「許可しない」という設定に戻す必要がないので、利便性を向上できる。

また、本実施例では（図１４では）、ファイルアクセスを「許可する」場合に有効期限を設定したが、ファイルアクセスを「許可しない」場合に有効期限を設定してもよい。この場合、有効期限が到来するとファイルアクセスが許可されるようになる。このような態様は、常態ではファイルアクセスを許可してもよいが、社外の協力者や派遣社員が社内に存在するため一時的にファイルアクセスを禁止したい場合に有効である。

ページ記述言語毎に、ファイルアクセスを「許可する」場合に有効期限を設定するか、ファイルアクセスを「許可しない」場合に有効期限を設定するか、をプリンタ管理者が任意に選択可能としてもよい。

本実施例では、設定受付処理部３１を外部に設けた印刷システム６００について説明する。

図１６は、印刷システム６００の概略構成図の一例を示す。印刷システム６００はプリンタ管理者ＰＣ２００、ユーザＰＣ３００、画像形成装置１００、及び、設定受付サーバ５００を有している。画像形成装置１００は実施例１の設定受付処理部３１を有しておらず、替わりに設定受付サーバ５００が配置される。また、画像処理ＩＣ３３が有していた判断部４２とプログラム４３は設定受付サーバ５００が有している。このような構成であれば、画像形成装置１００は従来の画像処理ＩＣ３３を有していればよく、画像形成装置のコスト増を抑制できる。

設定受付サーバ５００は、ＣＰＵ、ＲＯＭ、ＲＡＭ、ＨＤＤ、ネットワークカード、及び、マウス・キーボード等を備えた情報処理装置である。ＨＤＤには、図１６に示したプログラム４３が記憶されている。

本実施例では、プリンタ管理者が設定受付サーバ５００に操作許否設定テーブル４１を設定する。なお、設定受付サーバ５００のＩＰアドレスはプリンタ管理者が把握している。設定方法は実施例１と同様であるが、本実施例では画像形成装置毎に操作許否設定テーブル４１を登録することが可能である。したがって、設定受付サーバ５００は複数の操作許否設定テーブル４１を有している。なお、複数の画像形成装置に共通に１つの操作許否設定テーブル４１を登録してもよい。

操作パネルを使用して操作許否設定テーブル４１を設定する際は、画像形成装置１００が有するブラウザ機能を利用する。すなわち、画像形成装置１００はブラウザにより設定受付サーバ５００と通信する。プリンタ管理者はプリンタ管理者ＰＣ２００を使う場合と同様に操作許否設定テーブル４１を登録できる。

図１７は、画像形成装置１００がページ記述言語に応じてファイルアクセスする手順を示すシーケンス図の一例である。

S1：ユーザは、ユーザＰＣ３００においてプリントデータを作成する。ユーザＰＣ３００は、プリントデータを画像形成装置１００に送信する。画像形成装置１００のネットワークＩ／Ｆ部３６はプリントデータを受信したのでジョブ受信部３２に振り分ける。

S1.1：ジョブ受信部３２は、設定受付サーバ５００にプリントデータを送信する。

S1.1.1：設定受付サーバ５００の判断部４２は操作許否設定テーブル４１を読みだす。

S1.1.2：判断部４２は、プリントデータを解析する。この解析には、
(i) プリントデータにファイルアクセスの命令が含まれるか否か
(ii) 含まれている場合は、操作許否設定テーブル４１においてプリントデータが記述されているページ記述言語のファイルアクセスが許可されているか否か
を判定する処理が含まれる。

S1.1.3：設定受付サーバ５００は判断結果（ＯＫ／ＮＧ）を画像形成装置１００に送信する。この後の処理は、判断結果がＯＫ又はＮＧかによって分かれる。プリントデータに、ファイルアクセスする命令が含まれており、記述されているページ記述言語によるファイルアクセスが許可されている場合、処理はS1.2に進む。プリントデータに、ファイルアクセスする命令が含まれているが、記述されているページ記述言語によるファイルアクセスが許可されてない場合、処理はS1.4に進む。

S1.2：ファイルアクセスを含むプリントデータを記述するページ記述言語に対しファイルアクセスが許可されているので、ジョブ受信部３２はプリントデータを画像処理ＩＣ３３に送出する。

S1.2.1：画像処理ＩＣ３３は、記憶部３５にファイルアクセスする。すなわち、記憶部３５にディレクトリを作成したり、ファイルを削除したりする操作を行う。ファイルアクセスが命令どおりに行われたので、画像処理ＩＣ３３とジョブ受信部３２は制御命令が正常に実行されたこと（ＯＫ）をユーザＰＣ３００に通知する。

S1.3：画像処理ＩＣ３３の解析部４５（解析部１〜４のいずれか）はプリントデータに記述されている制御命令に従って画像形成装置の制御を行い、通常の画像処理を行う。

S1.4：ファイルアクセスを含むプリントデータを記述するページ記述言語に対しファイルアクセスが許可されていないので、ジョブ受信部３２はユーザＰＣ３００に制御命令が正常に実行されないこと（NG）を通知する。

本実施例によれば、外部のサーバを用いて実施例１と同様にファイルアクセス制限することができるので、画像形成装置１００のコスト増を抑制できる。また、複数の画像形成装置１００に対し共通にファイルアクセス制限することもでき、その場合は１回の操作許否設定テーブル４１の設定で、全ての画像形成装置に対し同様にファイルアクセスを制限できる。

３１ 設定受付処理部
３２ ジョブ受信部
３３ 画像処理ＩＣ
３５ 記憶部
３６ ネットワークＩ／Ｆ部
４１ 操作許否設定テーブル
４２ 判断部
４３ プログラム
４４ ページ記述言語選択テーブル
１００ 画像形成装置
２００ プリンタ管理者ＰＣ
３００ ユーザＰＣ
４００ ネットワーク
５００ 設定受付サーバ
６００ 印刷システム

特開２０１１−２１６０８９号公報

Claims (13)

1. 機器から印刷データを受信して出力する画像形成装置であって、
   印刷データを受信する印刷データ受信手段と、
   前記印刷データ受信手段によって受信された印刷データに記述された制御命令に基づいて当該画像形成装置を制御する制御手段と、
   印刷データを記述するページ記述言語の種類毎に前記制御手段による所定の制御を許可するか否かの設定情報を管理する管理手段と、
   前記印刷データ受信手段が受信した印刷データを記述するページ記述言語による前記所定の制御が許可されているか否かを、前記設定情報に基づいて判断する判断手段と、
   前記判断手段によって、前記所定の制御が許可されていないと判断されたとき、前記制御手段による実行を制御する命令実行制御手段と、
   前記所定の制御を許可するか否かの設定の有効期限を受け付ける設定受付手段と、
   を有することを特徴とする画像形成装置。
2. 前記所定の制御は、所定の情報を記憶する記憶手段へ前記制御手段がアクセスすることである、ことを特徴とする請求項１記載の画像形成装置。
3. 前記管理手段は、ページ記述言語の種類毎に前記所定の制御に対応する制御命令が登録された制御命令情報を管理し、
   前記判断手段は、前記印刷データ受信手段が受信した印刷データに、前記制御命令情報に登録されている制御命令が記述されているか否かを判断し、前記制御命令情報に登録されている制御命令が記述されていると判断したとき、前記設定情報に基づいて、前記印刷データ受信手段が受信した印刷データを記述するページ記述言語による前記所定の制御が許可されているかを判断する、ことを特徴とする請求項１又は２記載の画像形成装置。
4. 前記設定受付手段は、ページ記述言語の種類毎に前記所定の制御を許可するか否かの設定を受け付け、
   前記管理手段は、前記設定受付手段が受け付けた設定に基づいて、前記設定情報を管理する、ことを特徴とする請求項１乃至３いずれか1項に記載の画像形成装置。
5. 前記設定受付手段は、ページ記述言語の種類毎に前記所定の制御を許可するか否かの設定を受け付ける設定欄を前記機器に表示させる設定表示情報を前記機器に送信し、前記機器から前記設定欄の設定を受け付け、
   前記管理手段は、前記設定受付手段が受け付けた設定欄の設定に基づいて、前記設定情報を管理する、ことを特徴とする請求項４に記載の画像形成装置。
6. 前記管理手段は、前記設定情報を管理可能なユーザを識別する第１のユーザ識別情報を管理し、
   前記設定受付手段は、さらに前記機器のユーザを識別する第２のユーザ識別情報を前記機器から受け付け、該第２のユーザ識別情報が前記第１のユーザ識別情報に含まれているかを判断し、前記第１のユーザ識別情報に含まれると判断したとき、前記設定受付手段が受け付けた設定に基づいて設定情報を管理する、ことを特徴とする請求項４又は５に記載の画像形成装置。
7. 前記設定表示情報に基づいて、前記設定欄を当該画像形成装置の有する表示手段に表示する表示制御手段を有し、
   前記設定受付手段は、前記表示手段に表示された設定欄の設定を受け付ける、
   ことを特徴とする請求項５に記載の画像形成装置。
8. ページ記述言語の種類毎にページ記述言語を解析してレンダリング処理を行う解析部を少なくとも１つ有し、
   前記印刷データ受信手段が受信した印刷データを記述するページ記述言語の種類に応じた解析部によってレンダリング処理を行う、
   ことを特徴とする請求項１〜７のいずれか１項に記載の画像形成装置。
9. 前記命令実行制御手段が前記制御手段による前記所定の制御に対応する制御命令の実行を禁止した場合、前記印刷データ受信手段は前記所定の制御に対応する制御命令を実行できない旨を前記機器に通知する、
   ことを特徴とする請求項１〜７のいずれか１項に記載の画像形成装置。
10. 前記記憶手段はＨＤＤである、ことを特徴とする請求項２に記載の画像形成装置。
11. 機器から印刷データを受信して出力する画像形成装置の命令実行方法であって、
    印刷データ受信手段が、印刷データを受信するステップと、
    管理手段が、印刷データを記述するページ記述言語の種類毎に制御手段による所定の制御を許可するか否かの設定情報を管理するステップと、
    判断手段が、前記印刷データ受信手段が受信した印刷データを記述するページ記述言語による前記所定の制御が許可されているかを前記設定情報に基づいて判断するステップと、
    前記判断手段によって、前記所定の制御が許可されていないと判断されたとき、命令実行制御手段が、制御手段による実行を制御するステップと、
    前記制御手段が、前記命令実行制御手段により制御された態様で、前記印刷データ受信手段によって受信された印刷データに記述された制御命令に基づいて当該画像形成装置を制御するステップと、
    設定受付付け手段が、前記所定の制御を許可するか否かの設定の有効期限を受け付けるステップと、
    を有することを特徴とする命令実行方法。
12. 機器から印刷データを受信して出力するコンピュータに、
    印刷データを受信する印刷データ受信ステップと、
    印刷データを記述するページ記述言語の種類毎に制御手段による所定の制御を許可するか否かの設定情報を管理する管理ステップと、
    前記印刷データ受信ステップにより受信された印刷データを記述するページ記述言語による前記所定の制御が許可されているか否かを前記設定情報に基づいて判断する判断ステップと、
    前記判断ステップにより前記所定の制御が許可されていないと判断されたとき、制御手段による実行を制御する命令実行制御ステップと、
    前記命令実行制御ステップにより制御された態様で、前記印刷データ受信ステップによって受信された印刷データに記述された制御命令に基づいて画像形成装置を制御する制御ステップと、
    前記所定の制御を許可するか否かの設定の有効期限を受け付ける設定受付ステップと、
    を実行させるプログラム。
13. 機器から印刷データを受信して出力する印刷システムであって、
    印刷データを受信する印刷データ受信手段と、
    前記印刷データ受信手段によって受信された印刷データに記述された制御命令に基づいて画像形成装置を制御する制御手段と、
    印刷データを記述するページ記述言語の種類毎に前記制御手段による所定の制御を許可するか否かの設定情報を管理する管理手段と、
    前記印刷データ受信手段が受信した印刷データを記述するページ記述言語による前記所定の制御が許可されているか否かを前記設定情報に基づいて判断する判断手段と、
    前記判断手段によって、前記所定の制御が許可されていないと判断されたとき、前記制御手段による実行を制御する命令実行制御手段と、
    前記所定の制御を許可するか否かの設定の有効期限を受け付ける設定受付手段と、
    を有することを特徴とする印刷システム。

Images