JP6673263B2 - 画像形成システム、画像形成装置、及び画像形成方法 - Google Patents

Description

本発明は、画像形成システム、端末、サーバー、画像形成装置、及び画像形成方法に係り、特に文書を管理する画像形成システム、端末、サーバー、画像形成装置、及び画像形成方法に関する。

従来から、文書や画像を印刷可能な複合機（Multifunctional Peripheral, MFP）、複写機等の画像形成装置が存在する。

近年、画像形成装置の普及が増加しており、誰でも容易に文書を複写できるようになっている。また、文書をＰＤＦ等の文書データに変換し、ユーザー同士でやり取りを行うことも一般的になっている。それに伴い、社外秘文書等の関係者以外に閲覧させてはならない機密文書の複写による流出が大きな問題になっている。
また、文書編集ソフトが多く開発され、簡単に文書を編集できるようになっている。このため、文書の不正な編集、変更も問題となっている。

これらの問題に対応するために、ウォーターマーク（地紋）と呼ばれる技術が存在する。ウォーターマークは、文書に目立ちにくいように符号化されたり、特定のマークが記載されたりした情報を一緒に書き出すものである。
たとえば、地紋のドットパターンを読み取り、複写すると「社外秘」等の警告文字が浮き出るように構成したものが存在する。また、その文書を印刷したＭＦＰの情報や印刷日時等の出所情報を埋め込むシステムも存在する。

ここで、このような従来の技術の例として、特許文献１を参照すると、ユーザーの処理要求に基づいて文書へのアクセスログを作成し、ログＩＤから電子透かしを作成し、「社外秘」等のウォーターマーク（地紋）と合成して文書に付加する技術が記載されている。特許文献１の技術では、合成されたログＩＤをウォーターマークから抽出して文書ＩＤを取得し、文書読み込み時に文書に対する処理要求があったことを所有者へ通知する。
特許文献１の技術によれば、機密文書が不正に流出した際に知ることができる。
また、複写された際の原稿画像をログとともに保存しておけば、文書の不正な変更を確認することができる。

特開２００６−５６０５号公報

しかしながら、特許文献１の技術は、不正に変更された文書が出力されること自体を防止できなかった。

本発明は、このような状況に鑑みてなされたものであって、上述の問題点を解消する画像形成装置を提供することを課題とする。

本発明の画像形成システムは、端末と、該端末からアクセスされるサーバーと、前記サーバーに格納されたデータを取得する画像形成装置とを含む画像形成システムであって、前記端末は、文書データの文書内で機密用に指定された画像又は文字を含む機密データを前記サーバーへ送信する機密データ送信部と、前記機密データの出力用のコード画像を前記サーバーから取得するコード画像取得部と、前記コード画像取得部により取得された前記コード画像を前記文書データに透かしとして付加した機密文書データを作成して送信する機密文書データ作成部とを備え、前記サーバーは、前記端末の前記機密データ送信部から送信された前記機密データを取得する機密データ取得部と、前記機密データ取得部により取得された前記機密データを出力するための前記コード画像を作成するコード画像作成部と、前記コード画像作成部により作成された前記コード画像を前記端末へ送信するコード画像送信部と、前記コード画像の内容に対応した前記機密データを、前記画像形成装置へ送信するコード機密データ送信部とを備え、前記画像形成装置は、前記機密文書データが出力された原稿を画像データとして読み取る原稿読取部と、前記原稿読取部により読み取られた前記原稿の画像データから、前記コード画像を復号する復号部と、前記復号部により復号された前記コード画像の内容に対応して、前記サーバーの前記コード機密データ送信部から前記機密データを取得するコード機密データ取得部と、前記コード機密データ取得部により取得された前記機密データと前記原稿の画像データとを比較する比較部と、前記比較部により比較された結果が同じ場合、前記コード画像を含む前記原稿の画像データを画像形成して出力する画像形成部とを備えることを特徴とする。
本発明の画像形成システムは、前記画像形成装置は、前記比較部により比較された結果が異なる場合、前記原稿の画像データを前記コード機密データ取得部により取得された前記機密データに置き換えた出力データを作成する出力データ作成部を更に備えることを特徴とする。
本発明の画像形成システムは、前記サーバーの前記コード画像作成部は、前記機密データに対するユーザーのアクセス情報を含めた前記コード画像を作成し、前記画像形成装置は、前記ユーザーの認証を行う認証部を更に備え、前記復号部は、前記ユーザーの前記アクセス情報も含めて前記コード画像を復号し、前記コード機密データ取得部は、前記認証部による前記ユーザーの認証状態及び前記アクセス情報により、前記サーバーから前記機密データを取得する際の振る舞いを変更することを特徴とする。
本発明の画像形成システムは、前記サーバーは、前記認証部からのユーザーの認証情報を取得し、前記機密データへのアクセスが試みられた場合、前記認証状態と前記機密データとを関連付けたログを記録するログ記録部を更に備えることを特徴とする。
本発明の画像形成システムは、前記端末は、前記機密データを更新する機密データ更新部を更に備えることを特徴とする。
本発明の画像形成装置は、端末と、該端末からアクセスされるサーバーと、前記サーバーに格納されたデータを取得する自装置とを含む画像形成システムの画像形成装置であって、機密データを出力するためのコード画像が含まれている機密文書データが出力された原稿を画像データとして読み取る原稿読取部と、前記原稿読取部により読み取られた前記原稿の画像データから、前記コード画像を復号する復号部と、前記復号部により復号された前記コード画像の内容に対応して、前記サーバーから前記機密データを取得するコード機密データ取得部と、前記コード機密データ取得部により取得された前記機密データと前記原稿の画像データとを比較する比較部と、前記比較部により比較された結果が同じ場合、前記コード画像を含む前記原稿の画像データを画像形成して出力する画像形成部とを備えることを特徴とする。
本発明の画像形成方法は、端末と、該端末からアクセスされるサーバーと、前記サーバーに格納されたデータを取得する画像形成装置とを含む画像形成システムにより実行される画像形成方法であって、前記端末により、文書データの文書内で機密用に指定された画像又は文字を含む機密データを前記サーバーへ送信し、前記機密データの出力用のコード画像を前記サーバーから取得し、取得された前記コード画像を前記文書データに透かしとして付加した機密文書データを作成して送信し、前記サーバーにより、前記端末から送信された前記機密データを取得し、取得された前記機密データを出力するための前記コード画像を作成し、作成された前記コード画像を前記端末へ送信し、前記コード画像の内容に対応した前記機密データを前記画像形成装置へ送信し、前記画像形成装置により、前記機密文書データが出力された原稿を画像データとして読み取り、読み取られた前記原稿の画像データから、前記コード画像を復号し、復号された前記コード画像の内容に対応して、前記サーバーから前記機密データを取得し、取得された前記機密データと前記原稿の画像データとを比較し、比較された結果が同じ場合、前記コード画像を含む前記原稿の画像データを画像形成して出力することを特徴とすることを特徴とする。

本発明によれば、端末にて文書データの機密データをサーバーへ送信し、サーバーで作成された機密データの出力用のコード画像を取得して文書データに付加した機密文書データを作成し、画像形成装置にてこの機密文書データを出力しようとした場合、サーバーに格納された機密データを取得して比較することで、文書の不正な変更が検出可能な画像形成システムを提供することができる。

本発明の実施の形態に係る画像形成システムのシステム構成図である。 図１に示す端末の制御構成を示すブロック図である。 図１に示すサーバーの制御構成を示すブロック図である。 図１に示す画像形成装置の制御構成を示すブロック図である。 本発明の実施の形態に係る画像形成システムの機能構成を示すブロック図である。 本発明の実施の形態に係る機密文書出力処理のフローチャートである。 図６に示す機密文書出力処理の文書データ及び機密文書データの概念図である。 本発明の実施の形態に係る機密文書複写処理のフローチャートである。 図８に示すサーバー認証処理及び認証応答処理の概念図である。 図８に示す機密データ比較処理の概念図である。 図８に示すログ記録処理で記録されるログの概念図である。 本発明の実施の形態に係る機密データ更新処理のフローチャートである。 図１２に示す差し換え選択処理の概念図である。

＜実施の形態＞
〔画像形成システムＸのシステム構成〕
まず、図１〜図４を参照して、画像形成システムＸのシステム構成について説明する。 図１によると、本発明の実施の形態に係る画像形成システムＸは、端末１と、端末１からアクセスされるサーバー２と、端末１の指示によりサーバー２に格納されたデータを取得することが可能な画像形成装置３とを含む。また、各装置は、ネットワーク５で接続されている。

端末１は、ＰＣ、携帯電話、スマートフォン、ＰＤＡ（Personal Data Assistant）、業務用端末、画像形成装置３用の専用端末等の端末である。
端末１は、各種汎用のＯＳ（Operating System）等が動作している。また、端末１は、画像形成装置３用のデバイスドライバー等の制御プログラムをインストール（install）することが可能である。これにより、ＯＳ及び各種アプリケーションソフトウェア（Application Software、アプリケーション、以下、単に「アプリ」という。）から、画像形成装置３の印刷、スキャン、ＦＡＸ送受信、ネットワークＦＡＸ等の機能を使用することが可能となる。また、端末１は、サーバー２で管理される各種文書を作成し、更新することが可能である。

サーバー２は、端末１及び画像形成装置３からアクセスされ、各種データを送受信可能な管理用の情報処理装置である。本実施形態において、サーバー２は、例えば、汎用機、ＰＣ（Personal Computer）サーバー、ＮＡＳ（Network Attached Storage）等であってもよい。
また、サーバー２は、例えば、画像形成システムＸのユーザーに対応付けてられた文書ボックス（共有フォルダー。保存フォルダー）に文書データ４００（図５）を格納、管理、課金、認可等を行うことが可能である。この際、サーバー２は、機密として扱われる文書データ４００の機密データ５００を取得して格納し、これにアクセスするためのコード画像５１０を作成して送信する。なお、サーバー２は、業務や事務用のＤＭＳ（Document Management System）等への送信処理を行うことが可能であってもよい。

画像形成装置３は、端末１の指示によりサーバー２に格納された各種データを送受信可能なＭＦＰ、ネットワークスキャナー、ドキュメントスキャナー、ネットワークＦＡＸ、プリンター等の情報処理装置である。画像形成装置３は、端末１で作成された機密文書データ４１０を複写（コピー）、印刷、スキャン、ファクシミリ送信等して出力することも可能である。

ネットワーク５は、本実施形態においては、イントラネット（Intranet）等のＬＡＮ（Local Area Network）、インターネット（登録商標）や携帯電話網等のＷＡＮ（Wide Area Network）等である。ネットワーク５がＷＡＮの場合、ルーター（Router）やゲートウェイ（Gateway）等を介して、他のサーバーに接続可能であってもよい。また、ネットワーク５は、ＶＰＮ（Virtual Private Network）を構成していてもよい。

なお、画像形成システムＸにおいて、端末１，サーバー２、及び画像形成装置３は、それぞれ複数備えられていてもよい。逆に、サーバー２及び画像形成装置３のいずれかが存在しない構成も可能である。
各装置は、後述する装置ＩＤ（Identification）等で区別可能である。

（端末１の構成）
また、図２によると、端末１は、制御部１０、ネットワーク送受信部１５、入力部１６、表示部１７、記憶部１９等を備えている。

制御部１０は、ＧＰＰ（General Purpose Processor）、ＣＰＵ（Central Processing Unit、中央処理装置）、ＭＰＵ（Micro Processing Unit）、ＤＳＰ（Digital Signal Processor）、ＧＰＵ（Graphics Processing Unit）、ＡＳＩＣ（Application Specific Processor、特定用途向けプロセッサー）等の情報処理部である。

入力部１６は、ユーザーによる各種指示を取得するためのキーボード、各種センサー、ポインティングデバイス等である。ポインティングデバイスは、タッチパネル、デジタイザー、タッチパッド等を含む。
入力部１６は、ＯＳ上のＧＵＩ（Graphical User Interface）により、ユーザーにより各種指示を入力させ、これを取得することが可能である。また、入力部１６でユーザーが入力した指示により、文書データ４００（図５）の作成、送信、各ユーザーの情報の入力、変更等の処理を行うことも可能である。

表示部１７は、ＬＣＤ(Liquid Crystal Display)、有機ＥＬディスプレイ、ＦＥＤ（Field Emission Display）、蛍光表示管等の平面ディスプレイパネル、プロジェクタ、ステータス表示用ＬＥＤ等である。表示部１７は、ＧＵＩに関連する各種操作画面を表示することが可能である。
なお、入力部１６と表示部１７とは、タッチパネル付きのディスプレイやデジタイザー等のように一体的に形成されていてもよい。

ネットワーク送受信部１５は、ネットワーク５に接続するためのＬＡＮボードや無線送受信機等を含むネットワーク接続部である。

記憶部１９は、一時的でない記録媒体を用いた記憶部である。記憶部１９は、例えば、主記憶部として各種ＲＡＭ（Random Access Memory）を含んでいてもよい。また、記憶部１９は、例えば、補助記憶部として、ＲＯＭ（Read Only Memory）、ｅＭＭＣ（embedded Multi Media Card）、ＳＳＤ（Solid State Drive）、ＨＤＤ（Hard Disk Drive）等を含んでいてもよい。
また、記憶部１９は、各種フラッシュメモリーや光学記録媒体等の外部記憶媒体を含んでいてもよい。
また、記憶部１９は、自装置を特定するためのシリアルナンバーや固有ＩＤ、ＯＳやファームウェアやデバイスドライバー等のバージョン、ＩＰアドレスやＭＡＣアドレス等の装置ＩＤを格納していてもよい。

また、記憶部１９の補助記憶部には、端末１の動作制御を行うための制御プログラムが記憶されている。この制御プログラムには、ＯＳ、各種アプリ等のプログラムやデータを含んでいる。また、この制御プログラムは、ＯＳ上で動作するミドルウェア、画像形成装置３等を制御するデバイスドライバー等も含む。
これに加えて、記憶部１９は、ユーザーのアカウント設定４３０も記憶していてもよい。

なお、制御部１０は、ＲＡＭやＲＯＭやフラッシュメモリー等を内蔵していてもよい。
また、制御部１０は、記憶部１９に記憶されている制御プログラムを読み出して、この制御プログラムを展開させて実行することで、後述する機能ブロックの各手段として動作させられる。

（サーバー２の構成）
次に、図３によると、サーバー２は、制御部２０、ネットワーク送受信部２５、及び記憶部２９を含んでいる。

制御部２０は、ＣＰＵ、ＭＰＵ、ＤＳＰ、ＧＰＵ、ＡＳＩＣ等を含む情報処理部である。
制御部２０は、記憶部２９に記憶されている制御プログラムを読み出して、この制御プログラムを展開させて実行することで、後述する各機能部として動作させられる。

ネットワーク送受信部２５は、ネットワーク５に接続するためのＬＡＮボード等を含むネットワーク接続部である。

記憶部２９は、一時的でない記録媒体を用いた記憶部である。記憶部２９は、主記憶部として、ＲＡＭ等を含んでいてもよい。また、記憶部２９は、補助記憶部として、ＲＯＭ、ｅＭＭＣ、ＳＳＤ、及びＨＤＤ等含んでいてもよい。
また、記憶部２９には、ユーザー毎の文書ボックス（保存フォルダー、共有フォルダー）の領域が含まれていてもよい。
また、記憶部２９には、サーバー２の装置ＩＤが格納されていてもよい。

なお、制御部２０も、ＲＡＭやＲＯＭやフラッシュメモリー等を内蔵していてもよい。 また、制御部２０は、記憶部２９に記憶されている制御プログラムを読み出して、この制御プログラムを展開させて実行することで、後述する機能ブロックの各機能部として動作させられる。

（画像形成装置３の構成）
次に、図４によると、画像形成装置３は、画像処理部３１、原稿読取部３２、原稿給送部３３、給紙部３４、ネットワーク送受信部３５、操作パネル部３６、画像形成部３７（画像形成手段）、ＦＡＸ送受信部３８、及び記憶部３９等を含む。各部は、制御部３０に接続され、制御部３０によって動作制御される。

制御部３０は、ＣＰＵ、ＭＰＵ、ＤＳＰ、ＧＰＵ、ＡＳＩＣ等を含む情報処理手段である。
制御部３０は、記憶部３９のＲＯＭやＨＤＤに記憶されている制御プログラムを読み出して、この制御プログラムをＲＡＭに展開させて実行することで、後述する機能ブロックの各機能部として動作させられる。また、制御部３０は、端末１や操作パネル部３６から入力された所定の指示情報に応じて、装置全体の制御を行う。

画像処理部３１は、ＤＳＰ（Digital Signal Processor）やＧＰＵ（Graphics Processing Unit）等の制御演算部である。画像処理部３１は、画像データに対して所定の画像処理を行う手段であり、例えば、拡大縮小、濃度調整、階調調整、画像改善等の各種画像処理を行う。
画像処理部３１は、機密文書データ４１０（図５）の原稿が原稿読取部３２で読み取られた際に出力された画像データを、記憶部３９に取得機密文書データ４１１に変換して格納することが可能である。この際、画像処理部３１は、画像データをビットマップデータのまま格納したり、ＰＤＦ等のフォーマットのファイル単位に変換して格納したりしてもよい。

また、画像処理部３１は、画像データ同士を比較することも可能である。この比較としては、例えば、複数方向に回転、縮小させて、差分を割合等により算出可能である。また、画像処理部３１は、複写困難な印刷物の原稿を読み取った際に、これを認識してもよい。
また、画像処理部３１は、画像データの光学文字認識（Optical Character Recognition、以下、「ＯＣＲ」という。）する機能を備えていてもよい。また、画像処理部３１は、ウォーターマークや地紋を認識することも可能であってもよい。

原稿読取部３２は、セットされた原稿を読み取る（スキャン）手段である。また、原稿読取部３２は、画像形成装置３の本体部の上部に配設される。
原稿読取部３２は、機密文書データ４１０（図５）が記録紙に記録され出力された原稿を、画像データとして読み取ることが可能である。
原稿読取部３２は、スキャナーと、プラテンガラスと、原稿読取スリットとを備えている。原稿読取部３２は、プラテンガラスに載置された原稿を読み取る場合には、スキャナーをプラテンガラスに対向する位置に移動させ、プラテンガラスに載置された原稿を走査しながら読み取って画像データを取得し、取得した画像データを制御部３０及び画像処理部３１に出力する。

また、原稿読取部３２は、原稿給送部３３から給送された原稿を読み取る場合には、スキャナーを、原稿読取スリットと対向する位置に移動させる。そして、原稿読取部３２は、原稿読取スリットを介し、原稿給送部３３による原稿の搬送動作と同期して原稿を読み取って、画像データを取得する。原稿読取部３２は、取得した画像データを、制御部３０及び画像処理部３１に出力する。

原稿給送部３３は、原稿読取部３２で読み取られる原稿を搬送する機構である。原稿給送部３３は、原稿読取部３２の上部に配設されている。
原稿給送部３３は、原稿載置部と、原稿搬送機構とを備えている。原稿給送部３３は、原稿載置部に載置された原稿を、原稿搬送機構によって１枚ずつ順に繰り出して、原稿読取部３２に給送する。

給紙部３４は、記録紙を１枚ずつ画像形成部３７に向けて繰り出す機構である。給紙部３４は、本体部に備えられている。

ネットワーク送受信部３５は、ネットワーク５に接続するためのＬＡＮボードや無線送受信機等を含むネットワーク接続部である。
ネットワーク送受信部３５は、データ通信用の回線ではデータを送受信し、音声電話回線では音声信号を送受信する。

操作パネル部３６は、画像形成装置３のフロント側に配設されている。
また、操作パネル部３６は、入力部４６と、表示部４７とを備えている。

入力部４６は、ユーザーによる画像形成装置３への指示を取得するボタンやタッチパネル等の入力手段である。このボタンは、テンキー、スタート、キャンセル、動作モードの切り換え、ジョブの実行に係る指示を行うボタンであってもよい。この動作モードとしては、コピー、プリンター、スキャナー、ＦＡＸ送信等の種類のモードを含んでいてもよい。また、ジョブは、選択された文書の印刷、送信、保存、及び記録等を含んでいる。
なお、入力部４６から取得したユーザーの指示により、各ユーザーの情報を入力、変更することも可能である。
また、入力部４６は、磁気カードやＩＣカードのリーダー、生体認証用のデバイス等を接続することも可能である。

表示部４７は、ＬＣＤ(Liquid Crystal Display)や有機ＥＬディスプレイ等である。表示部４７は、ＧＵＩ（Graphical User Interface）の各種操作画面を表示することが可能である。

なお、外部記録媒体の入力部４６と表示部４７とは、タッチパネル付きディスプレイ等のように一体的に構成されていてもよい。
また、操作パネル部３６は、フラッシュメモリーカードやＵＳＢ機器等の外部記録媒体を接続する接続部を備えていてもよい。

ＦＡＸ送受信部３８は、ファクシミリの送受信を行う手段である。ＦＡＸ送受信部３８は、音声回線により、他のＦＡＸ装置（図示せず）からファクシミリ受信して、記憶部３９に保存し、画像形成部３７で画像形成させることも可能である。
また、ＦＡＸ送受信部３８は、原稿読取部３２で読み取られた原稿や外部の端末から送信されたネットワークＦＡＸのデータを画像データに変換して、他のＦＡＸ装置へ音声回線でファクシミリ送信することが可能である。

記憶部３９は、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）等の半導体メモリーやＨＤＤ（Hard Disk Drive）等の一時的でない記録媒体を用いた記憶部である。
記憶部３９のＲＡＭは、省電力状態であっても、セルフリフレッシュ等の機能により、記憶内容が保持される。
記憶部３９のＲＯＭやＨＤＤには画像形成装置３の動作制御を行うための制御プログラムが記憶されている。
また、記憶部３９は、画像形成装置３の装置ＩＤも格納されていてもよい。
なお、記憶部３９は、ユーザーのアカウント設定４３０を記憶していてもよい。また、記憶部３９には、ユーザー毎の文書ボックスの領域が含まれていてもよい。

なお、画像形成装置３において、制御部３０及び画像処理部３１は、ＧＰＵ内蔵ＣＰＵ等やチップ・オン・モジュールパッケージのように、一体的に形成されていてもよい。
また、制御部３０及び画像処理部３１は、ＲＡＭやＲＯＭやフラッシュメモリー等を内蔵していてもよい。

〔画像形成システムＸの機能構成〕
ここで、図５を参照し、画像形成システムＸの機能構成について説明する。図５は、画像形成システムＸの主な機能部を示している。
端末１の制御部１０は、文書データ作成部１００、機密データ送信部１１０、コード画像取得部１２０、機密文書データ作成部１３０、及び機密データ更新部１４０を備えている。
端末１の記憶部１９は、文書データ４００、機密文書データ４１０、及びアクセス情報５２０を格納する。
サーバー２の制御部２０は、機密データ取得部２００、コード画像作成部２１０、コード画像送信部２２０、コード機密データ送信部２３０、及びログ記録部２４０を備えている。
サーバー２の記憶部２９は、機密データ５００、コード画像５１０、アクセス情報５２０、アカウント設定４３０、及びログ４４０を格納する。
画像形成装置３の制御部３０は、認証部３００、復号部３１０、コード機密データ取得部３２０、比較部３３０、及び出力データ作成部３４０を備えている。
画像形成装置３の記憶部３９は、取得機密文書データ４１１及び出力データ４２０を格納する。

文書データ作成部１００は、アプリ等から出力された文書データ４００を作成する。この際に、文書データ作成部１００は、デバイスドライバーのＧＵＩ等から、サーバー２と連携して、文書データ４００の機密データ５００を指定して、この文書データ４００を機密文書データ４１０にすることを設定可能である。

機密データ送信部１１０は、文書データ４００中で指定された機密データ５００をサーバー２へ送信する。

コード画像取得部１２０は、機密データ５００の出力用のコード画像５１０をサーバー２から取得する。

機密文書データ作成部１３０は、コード画像取得部１２０により取得されたコード画像５１０を文書データ４００に付加した機密文書データ４１０を作成する。つまり、機密文書データ作成部１３０は、文書データ４００を機密文書データ４１０に変換する。
この際、機密文書データ作成部１３０は、コード画像５１０を文書データ４００に「透かし」として付加してもよい。この透かしとしては、ウォーターマーク（地紋）であってもよい。
また、機密文書データ作成部１３０は、機密データ５００については、付加しなくてもよい。また、機密文書データ作成部１３０は、機密データ５００について、印刷した場合に複写困難な状態になるような状態にして付加してもよい。
また、機密文書データ作成部１３０は、作成された機密文書データ４１０をサーバー２の文書ボックスに格納したり、画像形成装置３の画像形成部３７で画像形成させたりしてもよい。

機密データ更新部１４０は、機密データ５００を更新する。機密データ更新部１４０は、例えば、機密データ５００を更新した文書データ４００を作成し、サーバー２へ送る。

機密データ取得部２００は、端末１の機密データ送信部１１０から送信された機密データ５００を取得する。また、機密データ取得部２００は、アクセス情報５２０についても取得してもよい。

コード画像作成部２１０は、機密データ取得部２００に取得された機密データ５００を出力するためのコード画像５１０を作成する。
また、コード画像作成部２１０は、機密データ５００に対するユーザーのアクセス情報５２０を含めたコード画像５１０を作成してもよい。

コード画像送信部２２０は、コード画像作成部２１０により作成されたコード画像５１０を端末１へ送信する。

コード機密データ送信部２３０は、コード画像５１０の内容に対応した機密データ５００を画像形成装置３へ送信する。

ログ記録部２４０は、画像形成装置３の認証部３００からユーザーの認証情報を取得する。また、ログ記録部２４０は、機密データ５００へのアクセスが試みられた場合、認証状態と機密データ５００とを関連付けたログ４４０を記録する。また、ログ記録部２４０は、機密データ５００の取得、コード画像５１０の作成、その他の端末１や画像形成装置３のアクセスのログ４４０を記録してもよい。

認証部３００は、アカウント設定４３０を参照して、ユーザー認証を行う。
この際、認証部３００は、端末１の入力部１６、又は画像形成装置３の操作パネル部３６の入力部４６から入力されたユーザーのＩＤやパスワード等を取得して、ユーザー認証を行ってもよい。また、認証部３００は、端末１又は操作パネル部３６に接続された、磁気カード、ＩＣカード、指紋や静脈パターンや網膜血管パターンや顔認証等を用いた生体認証等を行ってもよい。
また、認証部３００は、サーバー２の機密データ５００へのアクセスを行う際のアクセス権限の確認、アクセス権限がなかった場合のパスワード認証等を行うことが可能である。

復号部３１０は、コード画像５１０が含まれている機密文書データ４１０から、コード画像５１０を復号する。復号部３１０は、例えば、コード画像５１０を復号して、サーバー２に格納され、当該文書データ４００に対応付けられた機密データ５００を特定することが可能である。
また、復号部３１０は、ユーザーのアクセス情報５２０も含めてコード画像５１０を復号してもよい。

コード機密データ取得部３２０は、復号部３１０により復号されたコード画像５１０の内容に対応して、サーバー２のコード機密データ送信部２３０から機密データ５００を取得する。
また、コード機密データ取得部３２０は、認証部３００によるユーザーの認証状態及びアクセス情報５２０により、サーバー２から機密データ５００を取得する際の振る舞いを変更する。この振る舞いとして、コード機密データ取得部３２０は、例えば、アクセス権限の確認が成功した認証状態である場合、そのままサーバー２から機密データ５００を取得してもよい。また、コード機密データ取得部３２０は、アクセス権限の確認が失敗しても、パスワード認証が成功した認証状態であれば、サーバー２から機密データ５００を取得してもよい。コード機密データ取得部３２０は、それ以外の場合は、機密データ５００を取得しなくてもよい。

比較部３３０は、機密データ取得部２００により取得された機密データ５００と原稿の画像データとを比較する。比較部３３０は、この比較を、画像処理部３１の画像マッチング等により実行してもよい。
比較部３３０は、比較された結果が異なる場合、ユーザーに警告してもよい。

出力データ作成部３４０は、機密データ５００を取得機密文書データ４１１に含めた出力データ４２０を作成する。出力データ作成部３４０は、例えば、取得機密文書データ４１１を画像形成部３７等で出力する際に、コード機密データ取得部３２０により取得された機密データ５００を、この出力データ４２０に含める。
また、出力データ作成部３４０は、例えば、取得機密文書データ４１１に含まれる機密データ５０１をそのまま、出力データ４２０に含ませてもよい。
しかしながら、出力データ作成部３４０は、比較部３３０により比較された結果が異なる場合、出力データ４２０を出力させなくてもよい。また、この場合、出力データ作成部３４０は、原稿の画像データである取得機密文書データ４１１の機密データ５０１を破棄し、機密データ取得部２００により取得された機密データ５００に置き換えた出力データ４２０を作成してもよい。

文書データ４００は、原稿読取部３２で読み取られた原稿の画像データ、端末１のアプリ等から出力されたＰＤＬ（Page Description Language）やＰＳ（Post Script、登録商標）やＰＤＦ（Portable Document Format）等の電子文書のファイル、ＸＭＬ（Extensible Markup Language）やＨＴＭＬ（HyperText Markup Language）等の構造化文書ファイル、端末１用又は画像形成装置３用のワードプロセッサーや表計算ソフトウェアやプレゼンテーションソフトウェア等のアプリのファイル、プレーンテキストファイル（Plain Text）ファイル等である。
また、文書データ４００においては、本実施形態においては、機密データ５００を指定可能である。

機密文書データ４１０は、文書データ４００にコード画像５１０が付加された状態のデータである。このコード画像５１０は、透かしとして付加されてもよい。また、機密文書データ４１０は、基の文書データ４００で機密指定された機密データ５００は、付加されていなくても、複写困難な状態になるよう付加されていてもよい。この複写困難な状態は、濃度やディザリング等を調整して、複写時に掠れたり黒くなったりするような状態であってもよい。
なお、機密文書データ４１０は、アクセス情報５２０に対応した画像形成装置３やユーザー以外では出力できないように暗号化等されていてもよい。

取得機密文書データ４１１は、原稿読取部３２で読み取られた機密文書データ４１０の原稿の画像データ、端末１や他の端末（図示せず）やサーバー２のユーザーの文書ボックスや外部記録媒体等から取得された機密文書データ４１０等である。すなわち、取得機密文書データ４１１は、機密文書データ４１０と同等の文書のデータのはずであるものの、改ざんされている可能性も考慮される。

出力データ４２０は、機密データ５００を取得機密文書データ４１１に含めた画像データ等である。
なお、この出力データ４２０は、取得機密文書データ４１１が改ざんされていない場合、機密データ５０１を含んでいてもよい。

アカウント設定４３０は、ユーザー認証のためのユーザーのＩＤ、パスワード、権限情報、メールアドレスや電話番号等の連絡先情報等を含むデータベース等である。また、アカウント設定４３０は、ユーザー毎の機密データ５００の格納先、文書ボックスの場所等についても含んでいる。

ログ４４０は、ログ記録部２４０により作成される、端末１又は画像形成装置３から送られた各種データ等の記録である。ログ４４０は、例えば、認証状態と機密データ５００とが関連付けられた各種データであってもよい。

機密データ５００は、文書データ４００の文書内で機密用に指定された画像又は文字を含む箇所のデータである。機密データ５００は、例えば、文書データ４００内の文字、文章、段落や章や挿絵やコラム等の特定のまとまり、カット紙等の記録紙に対応したページ等（以下、「段落等」という。）に対応したデータの箇所を、デバイスドライバー等の設定により指定可能である。この機密データ５００は、文書データ４００の出力されないメタデータ等として付加されて指定されていても、別ファイルであっても、データベース上のデータとして指定されていてもよい。

コード画像５１０は、ＱＲコード（登録商標）等の二次元バーコード、一次元バーコード（群）、カラーコード、複数の点の集まり等であるドットコード等の各種情報が符号化された画像を含むデータである。本実施形態においては、コード画像５１０は、例えば、機密文書データ４１０で機密データ５００として指定された箇所に付加される。また、コード画像５１０は、例えば、透かしとして付加されてもよい。
また、コード画像５１０には、機密データ５００を特定し、ダウンロード等で取得するためのＩＤや格納場所、アクセス情報５２０等が符号化されて含まれている。
なお、コード画像５１０は、文書データ４００の冒頭のページに付加されてもよく、ページの端部等に付加されてもよい。

アクセス情報５２０は、機密データ５００を出力可能なユーザーのアクセス権限等の情報である。また、アクセス情報５２０は、例えば、特定のユーザーのＩＤやパスワード、ユーザーの役職、グループ、管理者等の権限を示す情報が含まれていてもよい。
なお、アクセス情報５２０は、暗号化されて、コード画像５１０に含められていてもよい。

ここで、端末１の制御部１０、サーバー２の制御部２０、及び画像形成装置３の制御部３０は、それぞれ、記憶部１９、２９、３９に格納された制御プログラムを実行することで、文書データ作成部１００、機密データ送信部１１０、コード画像取得部１２０、機密文書データ作成部１３０、機密データ更新部１４０、機密データ取得部２００、コード画像作成部２１０、コード画像送信部２２０、コード機密データ送信部２３０、ログ記録部２４０、認証部３００、復号部３１０、コード機密データ取得部３２０、比較部３３０、及び出力データ作成部３４０として機能させられる。
また、上述の端末１、サーバー２、及び画像形成装置３の各部は、本発明の画像形成方法を実行するハードウェア資源となる。

〔画像形成システムＸによる機密文書出力処理〕
次に、図６〜図７を参照して、本発明の実施の形態に係る画像形成システムＸによる機密文書出力処理の説明を行う。
本実施形態の機密文書出力処理は、端末１のデバイスドライバーにて、社外秘等の機密文書を印刷するためのモードにおいて、サーバー２へ機密データ５００を格納させ、機密文書データ４１０を作成し、画像形成装置３で出力させる。
本実施形態の機密文書出力処理は、主に制御部１０、２０、３０が、それぞれ、記憶部１９、２９、３９に記憶されたプログラムを、各部と協働し、ハードウェア資源を用いて実行する。
以下で、図６のフローチャートを参照して、機密文書出力処理の詳細をステップ毎に説明する。

（ステップＳ１０１）
まず、端末１の文書データ作成部１００が、文書データ作成処理を行う。
文書データ作成部１００は、ユーザーがアプリ等で作成した文書を、文書データ４００として出力する。
図７（ａ）によると、この際、ユーザーの指示により、文書データ作成部１００は、画像形成装置３のデバイスドライバーの設定画面等で出力を行う文書データ４００の機密データ５００の箇所を設定する。
また、文書データ作成部１００は、文書データ４００のアクセス権限をアクセス情報５２０に設定してもよい。

（ステップＳ１０２）
次に、機密文書データ作成部１３０が、機密データ送信処理を行う。
機密文書データ作成部１３０は、画像形成装置３のデバイスドライバーを実行して、文書データ４００中で指定された機密データ５００をサーバー２へ送信する。
また、機密文書データ作成部１３０は、アクセス情報５２０についてもサーバー２へ送信してもよい。

（ステップＳ１０３）
次に、サーバー２の機密データ取得部２００が、機密データ取得処理を行う。
機密データ取得部２００は、端末１の機密データ送信部１１０から送信された機密データ５００を取得して、端末１の装置ＩＤ及び文書データ４００等と対応付けて、記憶部２９に格納する。
この際、機密データ取得部２００は、アクセス情報５２０についても、機密データ５００と対応付けて記憶部２９に格納してもよい。

（ステップＳ１０４）
次に、コード画像作成部２１０が、コード画像作成処理を行う。
コード画像作成部２１０は、機密データ５００を出力するためのコード画像５１０を作成する。コード画像作成部２１０は、画像形成装置３での出力時等において、機密データ５００をダウンロード等で取得するための情報が含まれたコード画像５１０を生成する。また、コード画像作成部２１０は、アクセス情報５２０を含めたコード画像５１０を作成してもよい。
なお、コード画像作成部２１０は、ハッシュ関数等で暗号化等したパスワードをコード画像５１０に含めてもよい。

（ステップＳ１０５）
次に、コード画像送信部２２０が、コード画像送信処理を行う。
コード画像送信部２２０は、作成されたコード画像５１０を端末１へ送信する。

（ステップＳ１０６）
次に、端末１のコード画像取得部１２０が、コード画像取得処理を行う。
端末１のコード画像取得部１２０は、サーバー２からコード画像５１０を受信して、記憶部１９に一時的に格納する。

（ステップＳ１０７）
次に、機密文書データ作成部１３０が、機密文書データ作成処理を行う。
機密文書データ作成部１３０は、コード画像取得部１２０により取得されたコード画像５１０を文書データ４００に付加した機密文書データ４１０を作成する。
図７（ｂ）の機密文書データ４１０ａの例によると、機密文書データ作成部１３０は、透かしとしてコード画像５１０を付加してもよい。
なお、機密文書データ作成部１３０は、機密データ５００については、複写困難な状態になるよう印刷して付加してもよい。

（ステップＳ１０８）
次に、機密文書データ作成部１３０が、機密文書データ送信処理を行う。
また、機密文書データ作成部１３０は、例えば、作成された機密文書データ４１０をサーバー２の文書ボックスに格納する。機密文書データ作成部１３０は、この際に、サーバー２との間で、ユーザー認証を行ってもよい。
また、機密文書データ作成部１３０は、画像形成装置３のデバイスドライバー等を実行して、機密文書データ４１０を印刷するために画像形成装置３へ送信してもよい。
なお、端末１において、機密文書データ４１０を出力せず、端末１の記憶部１９の文書ボックスに格納したり、外部記録媒体に記録したりしてもよい。

（ステップＳ１０９）
次に、画像形成装置３の画像形成部３７が、機密文書データ出力処理を行う。画像形成装置３の制御部１０は、機密文書データ４１０を一時的に記憶部３９に格納した上で、画像形成部３７で記録紙に画像形成させる。
また、この機密文書データ４１０は、ＦＡＸ送受信部３８でファクシミリ送信されてもよい。
また、機密文書データ４１０は、画像形成装置３の文書ボックスに格納されてもよい。
以上により、本発明の実施の形態に係る機密文書出力処理を終了する。

〔画像形成システムＸによる機密文書複写処理〕
次に、図８〜図１１を参照して、本発明の実施の形態に係る画像形成システムＸによる機密文書複写処理の説明を行う。
この機密文書複写処理においては、ユーザーは、コード画像５１０が記録された機密文書データ４１０を原稿として複写する。また、原稿のコード画像５１０が読み取られ、機密データ５００がサーバー２から取得される。この際、アクセス権限が確認され、アクセス権限に対応して振る舞いが変更されてもよい。また、複写時の原稿の機密データ５０１とサーバー２から取得された機密データ５００が比較されてもよい。また、ログ４４０が記録されてもよい。
本実施形態の機密文書複写処理は、主にサーバー２の制御部２０及び画像形成装置３の制御部３０が、それぞれ、記憶部２９、３９に記憶されたプログラムを、各部と協働し、ハードウェア資源を用いて実行する。
以下で、図８のフローチャートを参照して、機密文書複写処理の詳細をステップ毎に説明する。

（ステップＳ２０１）
まず、画像形成装置３の認証部３００等が、文書データ取得処理を行う。
まず、認証部３００は、画像形成装置３で複写を行うためのユーザー認証を行う。認証部３００は、例えば、操作パネル部３６に認証画面を表示して、ユーザーのＩＤとパスワードとを入力させて、これを認証情報としてサーバー２に送信する。サーバー２は、アカウント設定４３０を参照して認証させる。
その後、ユーザーは、操作パネル部３６の入力部４６のボタン等により、コード画像５１０を含んだ機密文書データ４１０の複写を指示する。
これにより、原稿読取部３２は、原稿のスキャンを行って、画像データを作成し、これを画像処理部３１が取得機密文書データ４１１として記憶部３９に格納する。
なお、認証部３００は、外部記録媒体、画像形成装置３やサーバー２や端末１の文書ボックス等から、機密文書データ４１０を直接取得して、取得機密文書データ４１１として記憶部３９に格納してもよい。

（ステップＳ２０２）
次に、復号部３１０が、コード画像復号処理を行う。
ここでは、復号部３１０は、取得機密文書データ４１１に含まれるコード画像５１０を復号する。これにより、復号部３１０は、取得機密文書データ４１１に対応付けられた機密データ５００を特定する。また、本実施形態において、復号部３１０は、コード画像５１０を復号した際に、アクセス情報５２０も取得する。

（ステップＳ２０３）
次に、認証部３００が、アクセス権限確認処理を行う。
復号部３１０は、復号したコード画像５１０から取得したアクセス情報５２０から、複写を指示したユーザーが機密データ５００を取得して出力する権限があるユーザーであるかどうかを確認する。復号部３１０は、この確認も、サーバー２へアクセスして、当該ユーザーのアカウント設定４３０を参照して確認してもよい。
また、復号部３１０は、サーバー２によるこの確認の結果により、「権限あり」又は「権限なし」に認証状態を変化させる。

（ステップＳ２０４）
次に、画像形成装置３の認証部３００が、権限あるユーザーであったか否かを判断する。認証部３００は、複写を指示したユーザーが取得機密文書データ４１１を出力する「権限あり」の認証状態であった場合に、Ｙｅｓと判断する。認証部３００は、それ以外、すなわち「権限なし」の認証状態の場合には、Ｎｏと判断する。
Ｙｅｓの場合、認証部３００は、処理をステップＳ２０８に進める。
Ｎｏの場合、認証部３００は、処理をステップＳ２０５に進める。

（ステップＳ２０５）
「権限なし」の認証状態であり、ユーザーに取得機密文書データ４１１を出力する権限がなかった場合、認証部３００が、パスワード認証処理を行う。
認証部３００は、当該機密データ５００へのアクセス権限を持っていないユーザーについて、パスワード認証を行う。つまり、画像形成装置３は、認証状態により振る舞いを変える。
図９（ａ）によると、認証部３００は、操作パネル部３６の表示部４７に画面例７００のようなダイアログボックスを表示して、入力部４６からパスワードを入力させる。認証部３００は、サーバー２へこのパスワードを認証情報として送信する。サーバー２は、このパスワードと結びつけられている機密データ５００とを参照して、ユーザーに出力の権限があるか確認してもよい。復号部３１０は、この確認の結果により、「権限なし」の認証状態「権限あり」に変更することも可能である。

（ステップＳ２０６）
次に、画像形成装置３の認証部３００が、パスワード認証が成功したか否かを判断する。認証部３００は、サーバー２との間のパスワード認証が成功し「権限あり」の認証状態になった場合に、Ｙｅｓと判断する。認証部３００は、それ以外、すなわち「権限なし」のままの場合には、Ｎｏと判断する。
Ｙｅｓの場合、認証部３００は、認証成功したとして、図９（ｂ）の画面例７１０のような画面を表示して、処理をステップＳ２０７に進める。
Ｎｏの場合、認証部３００は、本実施形態に係る機密文書出力処理を終了する。これにより、複写はされなくなる。この際に、認証部３００は、図９（ｃ）の画面例７２０のような失敗画面を表示してもよい。

（ステップＳ２０７）
ここで、画像形成装置３のコード機密データ取得部３２０が、コード機密データ取得処理を行う。
ここでは、画像形成装置３から複写を指示したユーザーは、取得機密文書データ４１１の機密データ５００へのアクセス権限をもっている。このため、コード機密データ取得部３２０は、コード画像５１０の情報を基に、サーバーへ機密データ５００をダウンロードするためにサーバー２へアクセスする。この時、ユーザーの認証情報や画像形成装置３の装置ＩＤ等をサーバー２へ送信してもよい。

（ステップＳ２０８）
アクセス権限の確認又はパスワード認証に成功した場合、サーバー２のコード機密データ送信部２３０が、コード機密データ送信処理を行う。
コード機密データ送信部２３０は、特定された機密データ５００を画像形成装置３へ送信する。
画像形成装置３のコード機密データ取得部３２０は、この機密データ５００を取得して、一旦、記憶部３９に格納する。

（ステップＳ２０９）
次に、比較部３３０が、機密データ比較処理を行う。
図１０（ａ）（ｂ）の例のように、比較部３３０は、ダウンロードされた機密データ５００と、取得機密文書データ４１１の機密データ５０１とを比較する。この例では、比較部３３０は、出力データ４２０の機密データ５００の箇所について、画像マッチング等により比較する。
なお、取得機密文書データ４１１において、そもそも機密データ５０１が付加されていない場合には、この比較は行われない。この場合、比較部３３０は存在しなくてもよい。

（ステップＳ２１０）
次に、比較部３３０が、機密データ５０１は改ざんされていたか否かを判断する。具体的には、比較部３３０は、比較部３３０により比較された機密データ５００と機密データ５０１とについて、例えば、特定の閾値以上に差異があった場合に、改ざんされていたとして、Ｙｅｓと判断する。比較部３３０は、比較を行わなかった場合を含む、それ以外の場合には、改ざんされていいないとして、Ｎｏと判断する。
Ｙｅｓの場合、比較部３３０は、処理をステップＳ２１１に進める。
Ｎｏの場合、比較部３３０は、処理をステップＳ２１２に進める。

（ステップＳ２１１）
改ざんされていた場合、比較部３３０及び出力データ作成部３４０が、ユーザー通知差し換え処理を行う。
機密データ５００と機密データ５０１とに差異があった場合、比較部３３０は、差異分があることをユーザーへ通知する。
図１０（ｃ）の画面例７３０のように、比較部３３０は、操作パネル部３６の表示部４７に警告画面を表示してもよい。この例の場合、ユーザーは、「ＯＫ」のボタンを押下して複写を続行指示しても、「複写終了」のボタンを押下して終了指示をしてもよい。
なお、終了指示の場合、比較部３３０は、本実施形態に係る機密文書出力処理を終了してもよい。また、比較部３３０は、サーバー２へ機密データ５０１をアップロードしてもよい。
また、出力データ作成部３４０は、ユーザーが複写を続行指示しても、改ざんされた機密データ５０１を元に戻すよう差し換えることも可能である。この場合、出力データ作成部３４０は、下記で説明する出力データ４２０には、サーバー２から取得した機密データ５００を含ませる。

（ステップＳ２１２）
次に、出力データ作成部３４０が、出力データ作成処理を行う。
出力データ作成部３４０は、出力データ作成処理を行う。出力データ作成部３４０は、例えば、コード画像５１０を出力データ４２０に含め、サーバー２から取得した機密データ５００を取得機密文書データ４１１に含めた出力データ４２０を作成する。
なお、出力データ作成部３４０は、上述の比較で機密データの改ざんがなかった場合、取得機密文書データ４１１の機密データ５０１をそのまま含んだ状態の出力データ４２０を作成してもよい。
また、出力データ作成部３４０は、再度、サーバー２へアクセスして、アクセス情報５２０等を含む更新されたコード画像を取得して付加してもよい。これにより、「ワンタイムパスワード」のように、複写する度に、その複写物でしか複写をできなくすることができる。

その後、出力データ作成部３４０は、複写した原稿の出力データ４２０を画像形成部３７で画像形成して、記録紙に記録することで印刷出力させることが可能である。
なお、出力データ作成部３４０は、ユーザーの指示により、出力データ４２０をＦＡＸ送受信部３８でファクシミリ送信したり、サーバー２や端末１や画像形成装置３の文書ボックスに格納したり、ユーザーの電子メール等のアドレスへ送信したりしてもよい。

（ステップＳ２１３）
ここで、サーバー２のログ記録部２４０が、ログ記録処理を行う。
ログ記録部２４０は、画像形成装置３から送られた各種データ等をログ４４０としてサーバー２の記憶部２９内に格納する。
図１１のログ４４０の例によれば、例えば、ログ４４０は、アクセスしたユーザーＩＤ、アクセス日時、機密データ５００の取得の成否、アクセスした端末１又は画像形成装置３の装置ＩＤ（アクセス機器）、機密データ５００の更新の有無、画像を含むイメージログを含んでいる。
以上により、本発明の実施の形態に係る機密文書出力処理を終了する。

〔画像形成システムＸによる機密データ更新処理〕
次に、図１２〜図１３を参照して、本発明の実施の形態に係る画像形成システムＸによる機密データ更新処理の説明を行う。
機密データ更新処理では、例えば、文書に間違いがあって訂正したり、新しい文書に更新したりしたい場合に、サーバー２上に格納されている機密データ５００を差し替える等して更新する。なお、この処理は、機密文書データ４１０にアクセス権限をもつユーザーのみ実行可能であってもよい。
本実施形態の機密データ更新処理は、主に端末１の制御部１０、サーバー２の制御部２０が、それぞれ、記憶部１９、２９に記憶されたプログラムを、各部と協働し、ハードウェア資源を用いて実行する。
以下で、図１２のフローチャートを参照して、機密データ更新処理の詳細をステップ毎に説明する。

（ステップＳ３０１）
まず、端末１の機密データ更新部１４０が、差し換え選択処理を行う。
ＧＵＩにて、ユーザーが文書データ４００を編集して、デバイスドライバーの設定を開くと、機密データ更新部１４０が起動される。
すると、機密データ更新部１４０は、端末１からサーバー２へユーザー認証を行う。このユーザー認証は、上述のステップＳ２０１の際の処理と同様に行うことが可能である。
認証に成功した場合、機密データ更新部１４０は、サーバー２の文書ボックス等に格納されている機密文書データ４１０のリストを表示部１７に表示させて、ユーザーに提示する。機密データ更新部１４０は、認証されたユーザーのファイルのみを表示させてもよい。
図１３（ａ）の画面例７４０によると、機密データ更新部１４０は、機密文書データ４１０の文書名、登録したユーザーのユーザー名を表示部１７に表示する。ここで、ユーザーが「差し換え」を選択すると、機密データ更新部１４０は、図１３（ｂ）のように、差し換える機密文書データ４１０を確認させることが可能である。この例では、機密データ更新部１４０は、編集した文書データ４００に含まれる機密データ５００ｃと、差し換える機密文書データ４１０ｃとを合成して表示する。

（ステップＳ３０２）
次に、機密データ更新部１４０が、機密データ更新処理を行う。
図１３（ａ）の例のように、ユーザーが差し替えたい機密文書データ４１０を選択し、「ＯＫ」を選択すると、機密データ更新部１４０が、編集された文書データ４００の機密データ５００をサーバー２へ送信する。

（ステップＳ３０３）
次に、サーバー２の機密データ取得部２００が、機密データ取得処理を行う。
機密データ取得部２００は、更新された機密データ５００を取得して、サーバー２の記憶部２９に一時的に格納する。

（ステップＳ３０４）
次に、機密データ取得部２００が、機密データ差し換え処理を行う。
機密データ取得部２００は、端末１から送信された機密データ５００を、ユーザーが選択した機密文書データ４１０の機密データ５００と差し替える。なお、この際に、新しくコード画像５１０を作成して、端末１へ送信してもよい。
以上により、本発明の実施の形態に係る機密データ更新処理を終了する。

以上のように構成することで、以下のような効果を得ることができる。
従来、文書編集ソフトが多く開発され、簡単に文書を編集できるようになっている。このため、文書の不正な編集、変更も問題となってきていた。しかしながら、特許文献１の技術は、不正に変更された文書が出力されること自体を防止できなかった。
これに対して、本発明の実施の形態に係る画像形成システムＸは、端末１と、端末１からアクセスされるサーバー２と、該端末１の指示によりサーバー２に格納されたデータを取得する画像形成装置３とを含む画像形成システムである。端末１は、文書データ４００の文書内で機密用に指定された画像又は文字を含む機密データ５００をサーバー２へ送信する機密データ送信部１１０と、機密データ５００の出力用のコード画像５１０をサーバー２から取得するコード画像取得部１２０と、コード画像取得部１２０により取得されたコード画像５１０を文書データ４００に透かしとして付加した機密文書データ４１０を作成する機密文書データ作成部１３０とを備える。サーバー２は、端末１の機密データ送信部１１０から送信された機密データ５００を取得する機密データ取得部２００と、機密データ取得部２００により取得された機密データ５００を出力するためのコード画像５１０を作成するコード画像作成部２１０と、コード画像作成部２１０により作成されたコード画像５１０を端末１へ送信するコード画像送信部２２０と、コード画像５１０の内容に対応した機密データ５００を、記憶部２９から読み出して画像形成装置３へ送信するコード機密データ送信部２３０とを備える。画像形成装置３は、機密文書データ４１０が出力された原稿を画像データとして読み取る原稿読取部と、原稿読取部により読み取られた原稿の画像データである取得機密文書データ４１１から、コード画像５１０を復号する復号部３１０と、復号部３１０により復号されたコード画像５１０の内容に対応して、サーバー２のコード機密データ送信部２３０から機密データ５００を取得する機密データ取得部２００と、機密データ取得部２００により取得された機密データ５００と、原稿の画像データである機密データ５０１とを比較する比較部３３０とを備える。
このように構成することで、格納された機密データ５００を比較して、文書の不正な変更を防ぐことが可能な画像形成システムＸを提供することができる。つまり、正規以外の方法で変更された文書を印刷しようとしても、自動的に不正な変更そのものを検出することができ、複写を防止することができる。
また、サーバー２に機密データ５００を格納しておくので、画像形成装置３をハッキング等されても、改ざん等を防ぐことができ、セキュリティ性能を向上させられる。

また、特許文献１の技術は、不正な変更が行われた場合、アクセスログを追跡するといった手間がかかっていた。
これに対して、本実施形態の画像形成システムは、そもそも機密データ５００に不正な変更を加えると出力できないため、管理者の手間を減少させられる。

また、本発明の実施の形態に係る画像形成システムＸは、画像形成装置３は、比較部３３０により比較された結果が異なる場合、原稿の画像データである機密データ５０１を、機密データ取得部２００により取得された機密データ５００に置き換えた出力データ４２０を作成する出力データ作成部３４０を更に備えることを特徴とする。
このように構成することで、不正に改ざんされた機密データ５００が変更前の機密データ５００へ自動的に差し換えられるため、不正な変更そのものを防止することができる。

また、本発明の実施の形態に係る画像形成装置３は、サーバー２のコード画像作成部２１０は、機密データ５００に対するユーザーのアクセス情報５２０を含めたコード画像５１０を作成する。画像形成装置３は、ユーザーの認証を行う認証部３００を更に備え、復号部３１０は、ユーザーのアクセス情報５２０も含めてコード画像５１０を復号し、コード機密データ取得部３２０は、認証部３００によるユーザーの認証状態及びアクセス情報５２０により、サーバー２から機密データ５００を取得する際の振る舞いを変更する。
このように構成することで、画像形成装置３の権限あるユーザーにしか複写できないため、不正な複写を確実に防止することができる。
また、機密文書データ４１０の機密データ５００毎にコード画像５１０が付加されるので、セキュリティ性能を高めることができる。

また、本発明の実施の形態に係るサーバー２は、認証部３００からのユーザーの認証情報を取得し、機密データ５００へのアクセスが試みられた場合、認証状態と機密データ５００とを関連付けたログ４４０を記録するログ記録部２４０を更に備えることを特徴とする。
このように構成することで、機密データ５００の出力について、不正な複写の状況を容易に知ることができ、管理者の手間を減らすことができる。また、サーバー２は、ネットワークセキュリティを比較的安全に保つことが可能あり、セキュリティ性能を高めることができる。

また、本発明の実施の形態に係る端末１は、機密データ５００を更新する機密データ更新部１４０を更に備えることを特徴とする。
このように構成することで、容易に機密データ５００を更新することができ、ユーザーの使い勝手をよくし、更に、頻繁な更新によりセキュリティ性能を高めることができる。

また、本発明の実施の形態に係る端末１の機密文書データ作成部１３０は、文書データ４００へコード画像５１０を透かしとして付加することを特徴とする。
このように構成することで、コード画像５１０自体を改ざんされる可能性を減らすことができる。また、不正な複写がされたときに、地紋のコード画像５１０が浮き上がるようにすることで、複写物の視認性を減じて見にくくさせることができ、結果として、不正な複写を防止できる。

〔他の実施の形態〕
なお、本発明の実施の形態においては、認証を全てサーバー２により行う例について記載したものの、これに限られない。
たとえば、認証部３００は、画像形成装置３の記憶部に格納されたアカウント設定を用いて、ローカル認証を行ってもよい。
また、アクセス情報５２０に、アクセス権限のないユーザーの場合であっても、機密データ５００の取得を許可するためのパスワードを含めるような構成であってもよい。また、このパスワードは、ハッシュ関数等で符号化されて含まれていてもよい。
この場合、例えば、ユーザーに機密文書データ４１０を出力する権限がなく、パスワード認証を行う場合、認証部３００は、ユーザーの入力したパスワードと、アクセス情報５２０に含まれるパスワードとを照合して確認してもよい。
このように構成することで、サーバー２が単なるＮＡＳ等であっても、画像形成装置３だけでパスワード認証を行うことができ、構成を簡略化し、コストを削減することができる。なお、ログ４４０についても、画像形成装置３や端末１へ格納することも可能である。

また、逆に、コード画像作成部２１０により、アクセス情報５２０に含まれるパスワードを、機密データ５００と結びつけてサーバー２の記憶部２９に格納しておき、サーバー２でも確認するといった構成も可能である。
このように構成することで、セキュリティを高めることができる。

また、上述の実施の形態においては、機密文書データ４１０を端末１で作成するように記載したもののこれに限られない。
つまり、サーバー２や画像形成装置３にて機密文書データ４１０を作成するような構成であってもよい。
このように構成することで、端末１の負荷を減らすことができる。また、端末１のハッキング等による機密文書データ４１０の改ざんを防ぐことができる。

また、本発明は、画像形成装置以外の情報処理装置にも適用できる。つまり、ネットワークスキャナー、スキャナーをＵＳＢ等で別途接続したサーバー等を用いる構成であってもよい。

また、上記実施の形態の構成及び動作は例であって、本発明の趣旨を逸脱しない範囲で適宜変更して実行することができることは言うまでもない。

１ 端末
２ サーバー
３ 画像形成装置
５ ネットワーク
１０、２０、３０ 制御部
１５、２５、３５ ネットワーク送受信部
１６、４６ 入力部
１７、４７ 表示部
１９、２９、３９ 記憶部
３１ 画像処理部
３２ 原稿読取部
３３ 原稿給送部
３４ 給紙部
３６ 操作パネル部
３７ 画像形成部
３８ ＦＡＸ送受信部
１００ 文書データ作成部
１１０ 機密データ送信部
１２０ コード画像取得部
１３０ 機密文書データ作成部
１４０ 機密データ更新部
２００ 機密データ取得部
２１０ コード画像作成部
２２０ コード画像送信部
２３０ コード機密データ送信部
２４０ ログ記録部
３００ 認証部
３１０ 復号部
３２０ コード機密データ取得部
３３０ 比較部
３４０ 出力データ作成部
４００ 文書データ
４１０、４１０ａ、４１０ｃ 機密文書データ
４１１ 取得機密文書データ
４２０ 出力データ
４３０ アカウント設定
４４０ ログ
５００、５００ｃ、５０１ 機密データ
５１０ コード画像
５２０ アクセス情報
７００、７１０、７２０、７３０、７４０ 画面例
Ｘ 画像形成システム

Claims (7)

1. 端末と、該端末からアクセスされるサーバーと、前記サーバーに格納されたデータを取得する画像形成装置とを含む画像形成システムであって、
   前記端末は、
   文書データの文書内で機密用に指定された画像又は文字を含む機密データを前記サーバーへ送信する機密データ送信部と、
   前記機密データの出力用のコード画像を前記サーバーから取得するコード画像取得部と、
   前記コード画像取得部により取得された前記コード画像を前記文書データに透かしとして付加した機密文書データを作成して送信する機密文書データ作成部とを備え、
   前記サーバーは、
   前記端末の前記機密データ送信部から送信された前記機密データを取得する機密データ取得部と、
   前記機密データ取得部により取得された前記機密データを出力するための前記コード画像を作成するコード画像作成部と、
   前記コード画像作成部により作成された前記コード画像を前記端末へ送信するコード画像送信部と、
   前記コード画像の内容に対応した前記機密データを、前記画像形成装置へ送信するコード機密データ送信部とを備え、
   前記画像形成装置は、
   前記機密文書データが出力された原稿を画像データとして読み取る原稿読取部と、
   前記原稿読取部により読み取られた前記原稿の画像データから、前記コード画像を復号する復号部と、
   前記復号部により復号された前記コード画像の内容に対応して、前記サーバーの前記コード機密データ送信部から前記機密データを取得するコード機密データ取得部と、
   前記コード機密データ取得部により取得された前記機密データと前記原稿の画像データとを比較する比較部と、
   前記比較部により比較された結果が同じ場合、前記コード画像を含む前記原稿の画像データを画像形成して出力する画像形成部とを備える
   ことを特徴とする画像形成システム。
2. 前記画像形成装置は、
   前記比較部により比較された結果が異なる場合、前記原稿の画像データを前記コード機密データ取得部により取得された前記機密データに置き換えた出力データを作成する出力データ作成部を更に備える
   ことを特徴とする請求項１に記載の画像形成システム。
3. 前記サーバーの前記コード画像作成部は、
   前記機密データに対するユーザーのアクセス情報を含めた前記コード画像を作成し、
   前記画像形成装置は、
   前記ユーザーの認証を行う認証部を更に備え、
   前記復号部は、前記ユーザーの前記アクセス情報も含めて前記コード画像を復号し、
   前記コード機密データ取得部は、前記認証部による前記ユーザーの認証状態及び前記アクセス情報により、前記サーバーから前記機密データを取得する際の振る舞いを変更する
   ことを特徴とする請求項１又は２に記載の画像形成システム。
4. 前記サーバーは、
   前記認証部からのユーザーの認証情報を取得し、前記機密データへのアクセスが試みられた場合、前記認証状態と前記機密データとを関連付けたログを記録するログ記録部を更に備える
   ことを特徴とする請求項３に記載の画像形成システム。
5. 前記端末は、
   前記機密データを更新する機密データ更新部を更に備える
   ことを特徴とする請求項１乃至４のいずれか１項に記載の画像形成システム。
6. 端末と、該端末からアクセスされるサーバーと、前記サーバーに格納されたデータを取得する自装置とを含む画像形成システムの画像形成装置であって、
   機密データを出力するためのコード画像が含まれている機密文書データが出力された原稿を画像データとして読み取る原稿読取部と、
   前記原稿読取部により読み取られた前記原稿の画像データから、前記コード画像を復号する復号部と、
   前記復号部により復号された前記コード画像の内容に対応して、前記サーバーから前記機密データを取得するコード機密データ取得部と、
   前記コード機密データ取得部により取得された前記機密データと前記原稿の画像データとを比較する比較部と、
   前記比較部により比較された結果が同じ場合、前記コード画像を含む前記原稿の画像データを画像形成して出力する画像形成部とを備える
   ことを特徴とする画像形成装置。
7. 端末と、該端末からアクセスされるサーバーと、前記サーバーに格納されたデータを取得する画像形成装置とを含む画像形成システムにより実行される画像形成方法であって、
   前記端末により、
   文書データの文書内で機密用に指定された画像又は文字を含む機密データを前記サーバーへ送信し、
   前記機密データの出力用のコード画像を前記サーバーから取得し、
   取得された前記コード画像を前記文書データに透かしとして付加した機密文書データを作成して送信し、
   前記サーバーにより、
   前記端末から送信された前記機密データを取得し、
   取得された前記機密データを出力するための前記コード画像を作成し、
   作成された前記コード画像を前記端末へ送信し、
   前記コード画像の内容に対応した前記機密データを前記画像形成装置へ送信し、
   前記画像形成装置により、
   前記機密文書データが出力された原稿を画像データとして読み取り、
   読み取られた前記原稿の画像データから、前記コード画像を復号し、
   復号された前記コード画像の内容に対応して、前記サーバーから前記機密データを取得し、
   取得された前記機密データと前記原稿の画像データとを比較し、
   比較された結果が同じ場合、前記コード画像を含む前記原稿の画像データを画像形成して出力する
   ことを特徴とする画像形成方法。

Images