JP2006237787A - 画像処理装置 - Google Patents

Abstract

【課題】 いつ、どこで、どのような処理がされたかを追跡可能とするために、入出力画像の履歴情報を記録するセキュリティ機能付き画像処理装置において、画像データを漏れなく効率よく記録でき、追跡しやすい装置を実現する。
【解決手段】 画像処理装置への画像入力時に実画像を記録するセキュリティ実画像記録手段と、画像処理装置から合成された画像の出力時に、出力画像と対応する入力画像への参照情報を記録する合成参照画像記録手段と、画像処理装置から合成された画像の出力時に実画像を記録する合成画像記録手段と、画像処理装置から合成された画像の出力時に前記合成参照画像記録手段および前記合成画像記録手段のどちらかを選択する画像記録方法選択手段を有する入出力画像およびその付随情報をセキュリティユニットに記録する画像処理装置。
【選択図】 図２

Description

この発明は、履歴管理、特に画像処理装置において入力および出力される画像データを効率良く管理する画像処理装置に関するものである。

画像処理装置の普及にともない、誰でも原稿の複写や送信を容易に行うことが可能になっている。しかし、これらはユーザにとっての利便性向上の反面、機密原稿などの複写や送信といった情報漏洩の観点では非常に問題となっている。このような問題への対策として、複写や送信などの際に、読み取った画像データ、プリントや送信した画像データをすべて記録装置に蓄積しておき、いつ、どこで、だれが、どのような処理をしたかを記録する画像処理装置が存在する（例えば特許文献１参照）。これにより、情報漏洩した原稿が、どの画像処理装置で処理されたかを、管理者が前記画像データを確認することによって、あとから調査・追跡可能になるといった効果がある。
特開平０７−２１２６０２号公報

しかしながら、従来の画像処理装置では入出力される画像データをすべて記録装置に蓄積しておくため、記録効率が悪く保管用の大容量記録装置が必要であり、情報漏えい防止用の画像記録時間が余分にかかりジョブの実行速度を低下させていた。

そのような中、あらかじめ登録されているフォーム画像に対する合成など、画像合成が行える画像処理装置が存在する。これらの合成画像の出力において、軽微な合成に関して毎回情報漏えい防止用の画像を記録していては、記録効率が悪く、ジョブ実行速度を著しく低下させるという問題があった。記録効率がよく、ジョブの実行速度の低下が少ない方式で画像合成情報を残そうとした場合、画像合成情報が全て記録されず、セキュリティホールになりやすいという問題があった。

このような背景から、入出力される画像データ、特に合成画像に関して安全に効率よく記録する画像処理装置が求められていた。

前記課題を解決するための手段として、請求項１記載の発明の画像処理装置は、
入出力画像およびその付随情報をセキュリティユニットに記録し、
画像処理装置への画像入力時に実画像を記録するセキュリティ実画像記録手段と、
画像処理装置から合成された画像の出力時に、出力画像と対応する入力画像への参照情報を記録する合成参照画像記録手段と、
画像処理装置から合成された画像の出力時に実画像を記録する合成画像記録手段と、
画像処理装置から合成された画像の出力時に前記合成参照画像記録手段および前記合成画像記録手段のどちらかを選択する画像記録方法選択手段
を備えたものである。

さらに、請求項２記載の発明の画像処理装置は、請求項１記載の画像処理装置において、
前記画像記録方法選択手段での判断基準はジョブ種類であることを特徴とする画像記録方法選択手段を備えたものである。

さらに、請求項３記載の発明の画像処理装置は、請求項１記載の画像処理装置において、
前記画像記録方法選択手段での判断基準は合成画像の種類であることを特徴とする画像記録方法選択手段を備えたものである。

前記課題を解決するための手段として、請求項４記載の画像処理装置において、
入出力画像およびその付随情報をセキュリティユニットに記録し、
画像合成のための画像登録を禁止する画像登録禁止手段
を備えたものである。

さらに、請求項５記載の発明の画像処理装置は、請求項４記載の画像処理装置において、
前記画像登録禁止手段において、特別な画像登録は登録を許可する特定画像登録許可手段を備えたものである。

さらに、請求項６記載の発明の画像処理装置は、請求項５記載の画像処理装置において、
前記特定画像登録許可手段における許可判断を画像登録処理の実行ユーザで行う特定画像登録者許可手段を備えたものである。

前記課題を解決するための手段として、請求項７記載の発明の画像処理装置は、
入出力画像およびその付随情報をセキュリティユニットに記録し、
画像合成出力を禁止する画像合成出力禁止手段
を備えたものである。

さらに、請求項８記載の発明の画像処理装置は、請求項７記載の画像処理装置において、
前記画像合成出力禁止手段において、特別な登録画像との合成は許可する特定登録画像合成許可手段を備えたものである。

請求項１から請求項３記載の画像処理装置によれば、画像処理装置において出力される合成画像を、あとから追跡可能となるように効率的な形でセキュリティユニットに記録することが可能となる。従来技術に比べて画像の保管に必要な記録容量の削減と記録内容の正確さをバランスよく実現することが可能となる。

請求項４から請求項８記載の画像処理装置によれば、セキュリティユニットに入出力画像およびその付随情報を記録する場合、画像合成のための画像登録や、合成画像の出力を禁止する手段を有する。また、システム管理者など特定のユーザ以外の画像登録を禁止し、特定のユーザが登録した画像以外との合成を禁止できる。このため、セキュリティホールになるとシステム管理者が判断した場合は合成画像の出力を禁止することができ、より安全な運用が可能となる。

以下本発明を実施するための最良の形態を、実施例により詳しく説明する。

以下に実施例１を示す。

図１は、実施例１における、基本的なシステム構成図である。

複合機１００１は原稿を読み取り、複写したりプリントしたり、さまざまな装置に画像を送信したり、さまざまな装置から画像を受信する装置である。データベース／メールサーバ１００３は複合機１００１が読み取ったデータを格納するアプリケーションサーバが動作しているコンピュータである。クライアントコンピュータ１００４はデータベースサーバ／メールサーバ１００３に接続し、格納されているデータをダウンロードして表示するコンピュータである。必要なプリント指示を複合機１００１に対して行うことができる。

ストレージサーバ１００５は複合機１００１が入出力した全ての画像データを蓄積する監査用のストレージデバイスである。履歴管理サーバ１００６は複合機１００１における複写や送信ジョブの履歴を記録する履歴管理サーバである。チェイシングサーバ１００９はストレージサーバ１００５や履歴サーバ１００６のデータを吸い上げてまとめるサーバである。複数の複合機やストレージサーバ、履歴サーバが存在する環境下において、チェイシングサーバを置くことにより、セキュリティ管理のデータを一元管理することが可能となる。また、チェイシングサーバにおいて吸い上げた画像のＯＣＲ処理を行い、特定キーワードを検知した場合は、情報漏えいの危険ありとし、システム管理者にメール通知することが可能である。

イーサネット(登録商標)１００７は、複合機１００１、データベース／メールサーバ１００３、クライアントコンピュータ１００４、ストレージサーバ１００５、履歴管理サーバ１００６、チェイシングサーバ１００９が接続されるネットワークである。

複合機１０１０は原稿を読み取り、複写したりプリントしたり、さまざまな装置に画像を送信する装置である。複合機１０１０にはストレージサーバ１００５や履歴管理サーバ１００６と同等の機能が組み込まれており、複合機１０１０が入出力した全ての画像データを蓄積する監査用のストレージデバイスを有し、複合機１０１０における複写や送信ジョブの履歴を記録する履歴記録デバイスを有している。

クライアントコンピュータ１０１１は複合機１０１０に接続し、プリント出力指示やＩＦＡＸ（インターネットＦＡＸ）指示を行う。イーサネット(登録商標)１０１２は、複合機１０１０、クライアントコンピュータ１０１１が接続されるネットワークである。ファクシミリ１００２は複合機１０１０の複合機が読み取ったデータを、公衆回線１００８を介して受信しプリントするファクシミリ装置である。また、ファクシミリ１００２は公衆回線１００８を介して複合機１０１０に画像データを送信することも可能である。イーサネット(登録商標)１００７とイーサネット(登録商標)１０１２はＷＡＮ １０２０（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ：広域通信網）にて接続されている。

図２は、実施例１における、システムブロック図であり、複合機１００１や複合機１０１０に実装される。

Ｃｏｎｔｒｏｌｌｅｒ Ｕｎｉｔ ２０００は画像入力デバイスであるＳｃａｎｎｅｒ２０７０や画像出力デバイスであるＰｒｉｎｔｅｒ２０９５と接続し、一方ではＬＡＮ２０１１や公衆回線（ＷＡＮ）２０５１接続することで、画像情報やデバイス情報の入出力を行う為のコントローラである。

ＣＰＵ２００１はシステム全体を制御するコントローラである。ＲＡＭ２００２はＣＰＵ２００１が動作するためのシステムワークメモリであり、画像データを一時記憶するための画像メモリでもある。ＲＯＭ２００３はブートＲＯＭであり、システムのブートプログラムが格納されている。ＨＤＤ２００４はハードディスクドライブで、システムソフトウェア、画像データを格納する。操作部Ｉ／Ｆ２００６はタッチパネルを有した操作部（ＵＩ）２０１２とのインターフェース部で、操作部２０１２に表示する画像データを操作部２０１２に対して出力する。また、操作部２０１２から本システム使用者が入力した情報を、ＣＰＵ２００１に伝える役割をする。Ｎｅｔｗｏｒｋ Ｉ／Ｆ２０１０はＬＡＮ２０１１に接続し、情報の入出力を行う。Ｍｏｄｅｍ２０５０は公衆回線２０５１に接続し、情報の入出力を行う。

以上のデバイスがシステムバス２００７上に配置される。Ｉｍａｇｅ Ｂｕｓ Ｉ／Ｆ２００５はシステムバス２００７と画像データを高速で転送する画像バス２００８を接続し、データ構造を変換するバスブリッジである。画像バス２００８は、ＰＣＩバスまたはＩＥＥＥ１３９４で構成される。画像バス２００８上には以下のデバイスが配置される。ラスターイメージプロセッサ（ＲＩＰ）２０６０はＰＤＬコードをビットマップイメージに展開する。デバイスＩ／Ｆ部２０２０は、画像入出力デバイスであるスキャナ２０７０やプリンタ２０９５とコントローラ２０００を接続し、画像データの同期系／非同期系の変換を行う。スキャナ画像処理部２０８０は、入力画像データに対し補正、加工、編集を行う。プリンタ画像処理部は、プリント出力画像データに対して、プリンタの補正、解像度変換等を行う。画像回転部２０３０は画像データの回転を行う。画像圧縮部２０４０は、多値画像データはＪＰＥＧ、２値画像データはＪＢＩＧ、ＭＭＲ、ＭＨの圧縮伸張処理を行う。ＩＣ Ｃａｒｄ Ｓｌｏｔ２１００はＩＣカードメディアによるユーザ認証を行う。このユーザ認証によりジョブ実行時のユーザを特定する。また、ＩＣカードメディアを挿入した後に適切なＰＩＮ（Ｐｅｒｓｏｎａｌ Ｉｄｅｎｔｉｆｉｅｒ Ｎｕｍｂｅｒ）コードを入力することにより、暗号・復号に用いる鍵の入出力を行うことが可能となる。暗号・復号処理部２１１０はＩＣ Ｃａｒｄ Ｓｌｏｔ２１００の鍵やデバイス固有の鍵を用いてデータの暗号化・複合化処理を行うハードウェアアクセラレータボードである。ＯＣＲ・ＯＭＲ処理部２１１１は画像データに含まれる文字情報や２次元バーコードを解読して文字コード化する処理を行う。

図３は、実施例１における、複合機１００１が画像データをストレージサーバ１００５へ、履歴レコードを履歴管理サーバ１００６へ書き込む場合の構成例である。

この構成例では、イーサネット(登録商標)を利用し、複合機１００１からストレージサーバ１００５への画像データ格納には、ＳＯＡＰ（Ｓｉｍｐｌｅ Ｏｂｊｅｃｔ Ａｃｃｅｓｓ Ｐｒｏｔｏｃｏｌ）を利用しているが、その他既存のデータ転送可能なプロトコルであればいずれでも構わず、必要に応じてＳＳＬをもちいるなど暗号処理を施しても構わない。ストレージサーバ１００５内のデータを暗号処理し保存しても構わない。

また、複合機１００１から履歴管理サーバ１００６への履歴レコード書き込みにもＳＯＡＰを利用しているが、こちらも他既存のロギングプロトコルでも構わない。必要に応じてＳＳＬをもちいるなど暗号処理を施しても構わない。履歴管理サーバ１００６内のデータを暗号処理し保存しても構わない。

また、本実施例では複合機１００１、ストレージサーバ１００５、履歴管理サーバ１００６が別体の構成となっているが、いずれか、または全てが組み合わされている構成であっても構わない。これらストレージサーバ１００５、履歴管理サーバ１００６へアクセスするために必要な設定情報は複合機１００１のシステム管理者のみが設定可能なように保護されている。

図４は、履歴管理サーバ１００６に保存される履歴レコードの一例である。４００１から４０２２の各行がそれぞれの項目であり、項目の説明が項目列にある。タグ名列はデータを識別するための項目毎のタグ名である。４００１はジョブ種類の項目でありＣＯＰＹやＦＡＸやＰＤＬといったジョブの種類を示す。タグ名は［ＪｏｂＫｉｎｄ］となる。４００２はジョブ名の項目であり、実行されたジョブのジョブ名を示す。タグ名は［ＪｏｂＮａｍｅ］である。４００３はジョブ依頼者の項目であり、実行されたジョブのユーザ名を示す。タグ名は［ＣｌｉｅｎｔＮａｍｅ］である。４００４は文字コード情報の項目であり、当レコードで使用している文字コード情報を示す。タグ名は［ＣｈａｒａｃｔｅｒＣｏｄｅ］である。４００５は部門コードの項目であり、ユーザが所属している部門番号を示している。タグ名は［ＳｅｃｔｉｏｎＮｏ］である。４００６はジョブ開始時刻の項目であり、当ジョブの開始時刻を示す。タグ名は［ＳｔａｒｔＴｉｍｅ］である。４００７はジョブ終了時刻の項目であり、当ジョブの終了時刻を示す。タグ名は［ＥｎｄＴｉｍｅ］である。４００８はジョブ終了結果の項目であり、ＯＫやＣａｎｃｅｌｅｄなど当ジョブの終了結果内容を示す。タグ名は［Ｒｅｓｕｌｔ］である。４００９は１部あたりの枚数の項目であり、何ページのジョブかを示す。タグ名は［ＲｅｓｏｕｒｃｅＣｏｕｎｔ］である。４０１０は部数の項目であり、何部出力する設定かを示す。タグ名は［Ｃｏｐｉｅｓ］である。

４０１１は通信方法の項目であり、通信方法の種類を示す。タグ名は［Ｐｒｏｔｏｃｏｌ］である。４０１２は通信種別の項目であり、送信か受信かを示す。タグ名は［ＣｏｍＴｙｐｅ］である。４０１３は使用回線番号の項目であり、使用している電話番号などを示す。タグ名は［ＬｉｎｅＩｎｆｏ］である。４０１４は送受信相手先アドレスの項目であり、相手先のアドレスや電話番号を示す。タグ名は［ＮｏｔｉｃｅＡｄｄｒｅｓｓ］である。４０１５は送受信相手先名称の項目であり、ジョブの相手先の名称を示す。タグ名は［ＣｏｍＡｂｂｒｅｖｉａｔｉｏｎ］である。４０１６はサブジェクトの項目であり、ｅ−ｍａｉｌジョブなどにおけるサブジェクトを示す。タグ名は［Ｓｕｂｊｅｃｔ］である。４０１７は画像パス名の項目であり、画像格納ジョブにおける画像格納先を示す。タグ名は［ＰａｔｈＮａｍｅ］である。４０１８はデバイス名の項目であり、機器につけられている名称を示す。タグ名は［ＤｅｖｉｃｅＮａｍｅ］である。４０１９はデバイスシリアルナンバーの項目であり、機器固有のシリアル番号を示す。タグ名は［ＤｅｖｉｃｅＳｅｒｉａｌＮｏ］である。４０２０はデバイスアドレスの項目であり、機器のＩＰアドレスなどを示す。タグ名は［ＤｅｖｉｃｅＡｄｄｒｅｓｓ］である。４０２１は文書ＩＤの項目であり、ジョブが扱う文書を特定するためのものである。複数の文書ＩＤを並べることにより、複数文書の表現が可能である。タグ名は［ＤｏｃｕｍｅｎｔＩＤ］である。文書ＩＤは、”デバイスシリアルナンバー”（１０桁ＡＳＣＩＩ）＋”ドキュメント生成時刻ｙｙｍｍｄｄｈｈｍｍｓｓ”（１２桁ＡＳＣＩＩ）＋”機器がジョブ毎にインクリメントするシリアル番号（１０桁ＡＳＣＩＩ）”の合計３２桁のＡＳＣＩＩ文字列で表現される。４０２２はジョブの詳細情報の項目であり、特記事項などを記載する。この例で”ＦＯＲＭ−ＣＯＭＰＯＳＩＩＴＯＮ”とあるが、フォーム合成のことで、あらかじめ登録されたフォーム画像と、投入されたジョブの画像をページ毎に合成して出力することをあらわしている。タグ名は［ＪｏｂＩｎｆｏｒｍａｔｉｏｎ］である。

これらの４００１から４０２２の項目は全て使用するとは限らず、使用しない場合は内容が無い項目として記録される。

図５も図４と同様であり、５００１から５０２２の各行が４００１から４０２２の各行に相当する。４００１や５００１で示されるジョブ種類が例１、例２、例３で異なるが、このようにジョブ種類などに応じて使用される項目も異なることになる。例えば例３のＦＡＸジョブでは５０１３使用回線番号には自機の電話番号、５０１４送受信相手先アドレスには、相手先電話番号が記録される。

図６は、実施例１における、ジョブ種類毎のデータフローの説明図である。６００１はＣＯＰＹジョブであり、６００２のスキャナから読み込んだ画像を一時的に６００４のＨＤＤに記録し、６００３のプリンタに出力する。ジョブ実行時に、図４や図５で説明した履歴レコードとスキャナ６００２から読み込んだ画像を６００５のセキュリティユニットに記録する。ここで述べているセキュリティユニットとは、ストレージサーバ１００５と履歴管理サーバ１００６の総称である。

６１０１はＰＤＬプリントジョブであり、６１０２のホストから送られてきたＰＤＬデータをＲＩＰし画像を作成する。ＲＩＰ後の画像を一時的に６１０４のＨＤＤに記録し、６１０３のプリンタに出力する。ジョブ実行時に、図４や図５で説明した履歴レコードとＲＩＰ後の画像を６１０５のセキュリティユニットに記録する。

６２０１はＳＣＡＮジョブやＢＯＸ格納ジョブであり、６２０２のスキャナから送られてきた画像や、６０２３のｈホストから送られてきたＰＤＬデータをＲＩＰした画像を６２０４のＨＤＤに記録する。ジョブ実行時に、図４や図５で説明した履歴レコードと入力された画像を６２０５のセキュリティユニットに記録する。このジョブで６２０４のＨＤＤに記録された画像は、後からプリントや送信などが可能である。

６３０１はＦＡＸ受信ジョブやＩ−ＦＡＸ受信ジョブであり、６３０２の相手先から送られてきた画像を６３０４のＨＤＤに記録する。ジョブ実行時に、図４や図５で説明した履歴レコードと相手先６３０２から受けた画像を６３０５のセキュリティユニットに記録する。このジョブで６３０４のＨＤＤに記録された画像は、後からプリントや送信などが可能である。

６４０１はＦＡＸ・Ｉ−ＦＡＸ送信ジョブやＳＥＮＤジョブであり、６２０１や６３０１のジョブで格納されたＨＤＤ６４０４に存在している画像を読出し６４０３の相手先に送信する。ジョブ実行時に、図４や図５で説明した履歴レコードと相手先６４０３に送信した画像の参照情報を６４０５のセキュリティユニットに記録する。ここでセキュリティユニット６４０５への記録の際に実画像を記録せず、以前６２０５や６３０５のセキュリティユニットで記録した画像への参照情報を記録することにより、同じ画像を何度も記録せず、処理の高速化と記録量の削減をはかっている。なお、ここでいうＳＥＮＤジョブとは、ｅ−ｍａｉｌやＦＴＰ，ＳＭＢといったプロトコルで画像送信されるジョブの総称である。

６５０１は受信プリントジョブやＢＯＸプリントジョブであり、６２０１や６３０１のジョブで格納されたＨＤＤ６５０４に存在している画像を読出し６５０３のプリンタに出力する。ジョブ実行時に、図４や図５で説明した履歴レコードとプリンタ６５０３に出力した画像の参照情報を６５０５のセキュリティユニットに記録する。ここでセキュリティユニット６５０５への記録の際に実画像を記録せず、以前６２０５や６３０５のセキュリティユニットで記録した画像への参照情報を記録することにより、同じ画像を何度も記録せず、処理の高速化と記録量の削減をはかっている。

これらのジョブを組み合わせることにより、ＦＡＸ受信した文書のプリントや、ＳＣＡＮジョブで読み込んだスキャン画像をＦＡＸ送信するなどのことが可能となる。

図７はジョブ種類毎のセキュリティユニットへの画像格納方法を示している。ジョブ種類７００１の列がＣＯＰＹやＰＤＬプリントといったジョブ種類を表し、ジョブタイプ７００２の列が画像の入力（ジョブ）か出力（ジョブ）かといったジョブタイプを表し、実画像の記録７００３の列がセキュリティユニットに実画像を記録するジョブか、実画像への参照情報のみで実画像を記録しないジョブかの設定を表す。全面合成７００４の列はそのジョブに全面合成機能があるかどうかを表している。全面合成とはページ全体を合成するような範囲の広い合成機能のことである。ヘッダやフッタなどの合成は部分合成となる。

７１０１のＣＯＰＹジョブはジョブタイプ７００２が画像入力を伴う“入力ジョブ”７１０２である。そのため実画像の記録７００３が“する”７１０３になる。

７２０１のＰＤＬ−ＰＲＩＮＴジョブはジョブタイプ７００２が画像入力を伴う“入力ジョブ”７２０２である。そのため実画像の記録７００３が“する”７２０３になる。

７３０１のＳＣＡＮジョブ／ＢＯＸ格納ジョブ／フォーム登録ジョブはジョブタイプ７００２が画像入力を伴う“入力ジョブ”７３０２である。そのため実画像の記録７００３が“する”７３０３になる。

７４０１の受信ジョブはジョブタイプ７００２が画像入力を伴う“入力ジョブ”７４０２である。そのため実画像の記録７００３が“する”７４０３になる。

７５０１の送信ジョブはジョブタイプ７００２が画像入力を伴わない画像出力のみの“出力ジョブ”７５０２である。そのため実画像の記録７００３が“しない”７５０３になる。したがって、送信ジョブ７５０１は実画像のかわりに、画像の参照情報を記録することになる。

７６０１のＢＯＸプリントジョブ・受信プリントジョブはジョブタイプ７００２が画像入力を伴わない画像出力のみの“出力ジョブ”７６０２である。そのため実画像の記録７００３が“しない”７６０３になる。したがって、ＢＯＸプリントジョブ・受信プリントジョブ７６０１は実画像のかわりに、画像の参照情報を記録することになる。

次に、図８でフォーム文書の登録および合成について説明する。図８（ａ）はフォーム登録文書である。一般的には、会社のロゴや書類のテンプレート、定型文書などが登録される。図８（ｂ）はフォーム登録文書と合成する本文であり、図８（ｃ）は（ａ）と（ｂ）の合成結果である。このようにあらかじめ登録してあるフォーム（ａ）に、本文（ｂ）を合成することで出力（ｃ）を得るといった使い方をする。

図９は、実施例１における、ジョブ実行時のフローチャートである。まず、ジョブが開始されると、Ｓ１０００１でジョブ開始時のログ記録を行う。ここでは、ログ記録に必要な領域を確保し履歴管理サーバ１００６に保存される履歴レコードのうち現時点で確定している項目の書き込みを行う。特に、文書ＩＤ４０２１の項目は重要であり、ストレージサーバ１００５へ格納される画像を文書単位で特定するための情報となる。ジョブタイプが入力ジョブであっても、出力ジョブであっても新たに文書ＩＤを生成する。現時点で不定な項目はジョブ終了時に書き込み処理を行う。ジョブ終了時に書き込む領域もここで確保しておく。

次にＳ１０００２へ進み、ログが記録できたかどうかの判断を行う。ログ記録ができなかったり、必要な領域が確保できなかったりした場合は、Ｓ１００１１へ進みジョブの実行を継続せず、ジョブの終了処理を行う。ジョブの終了処理が終わるとフローチャートを抜ける。Ｓ１０００２の判断で必要領域の確保およびログ記録が正常に行えたと判断した場合は、Ｓ１０００３へ進む。

Ｓ１０００３では、画像データの入力待ちを行い、１ページ分の画像が入力されるとＳ１００３３へ進む。ジョブタイプ７００２が出力ジョブの場合は、ここでの入力はＨＤＤ２００４からの画像読出しになる。

Ｓ１００３３では、Ｓ１０００３で入力したページに対して画像合成があるかどうかの判断を行う。画像合成がない場合はＳ１０００４へ進み、画像合成がある場合はＳ１００４１へ進む。Ｓ１００４１では、全面合成が存在するジョブ種かどうかの判断を行う。ＣＯＰＹジョブやＰＤＬ−ＰＲＩＮＴジョブなどのように全面合成７００４が「ある」になっているジョブ種類の場合はＳ１００４２へ進み、送信ジョブなどのように「ない」になっているジョブ種類の場合は、実画像を全て記録するメリットは少ないと判断しＳ１００４４へ進む。Ｓ１００４２では、このページに行う合成は特別に登録されている画像との合成（特定画像合成）かどうかの判断を行う。会社のロゴや“極秘”や“Ｃｏｎｆｉｄｅｎｔｉａｌ”といったよく使用される画像をシステム管理者が特別な領域に登録可能である。一般ユーザが行ったフォーム登録画像と異なり、これらの特定画像との合成を行った後の画像を実画像として図８の（ｃ）のように記録することはメリットが薄いためＳ１００４４へ進む。一方、一般ユーザが行ったフォーム登録画像と合成する場合は、図１３の説明で後述するようなセキュリティホールの危険性があるため合成後の実画像を記録するためにＳ１００４３へ進む。

Ｓ１００４３では、Ｓ１０００３で入力を受けた画像と指定された画像を合成し、合成後の実画像をストレージサーバ１００５へ格納する。図８の例でいうと（ｃ）の画像を格納することになる。この際に、ページ毎にユニークとなる画像ＩＤを付加する。さらに、必要に応じて解像度変換やカラー画像を白黒化するなどのカラーモード変換をおこない、画像データサイズの圧縮を図る事も可能である。Ｓ１００４３の処理が終わると次にＳ１０００６へ進む。

Ｓ１００４４では、ジョブタイプ７００２が入力ジョブかどうかの判断を行う。ジョブタイプ７００２がＣＯＰＹジョブやＢＯＸ格納ジョブや受信ジョブなど入力ジョブである場合は、Ｓ１００４５へ進み、ジョブタイプ７００２が送信ジョブやＢＯＸプリントジョブなどの出力ジョブである場合は、Ｓ１００４６へ進む。

Ｓ１００４５では、Ｓ１０００３で入力された画像（実画像）図８の例でいうと（ｂ）と、その画像と合成するよう指定された合成画像、図８の例でいうと（ａ）を示す画像ＩＤをそれぞれストレージサーバ１００５へ格納する。この際に、実画像、図８の例で（ｂ）にはページ毎にユニークとなる画像ＩＤを付加する。さらに、必要に応じて解像度変換やカラー画像を白黒化するなどのカラーモード変換をおこない、画像データサイズの圧縮を図る事も可能である。合成画像、図８の例で（ａ）の画像は別のジョブで既に実画像が登録されているため、画像ＩＤをもちいた参照情報を記録する。このため、合成後の画像を再現させるためには、後から、図８の例でいう（ａ）と（ｂ）の画像合成をチェイシングサーバ１００９などで行うことが必要となる。Ｓ１００４５の処理が終わると次にＳ１０００６へ進む。

Ｓ１００４６では、Ｓ１０００３で入力された画像、図８の例でいう（ｂ）を示す画像ＩＤと、その画像と合成するよう指定された合成画像、図８の例でいう（ａ）を示す画像ＩＤをそれぞれストレージサーバ１００５へ格納する。参照情報のみの記録であるため、記録容量の圧縮というメリットがあるが、合成後の画像を再現させるためには、後から、図８の例でいう（ａ）と（ｂ）の画像合成をチェイシングサーバ１００９などで行うことが必要となる。１００４６の処理が終わると次にＳ１０００６へ進む。

Ｓ１０００４ではジョブタイプ７００２が入力ジョブかどうかの判断を行う。ジョブタイプ７００２がＣＯＰＹジョブやＢＯＸ格納ジョブや受信ジョブなど入力ジョブである場合は、Ｓ１０００５へ進み、ジョブタイプ７００２が送信ジョブやＢＯＸプリントジョブなどの出力ジョブである場合は、Ｓ１００３１へ進む。実施例１において、画像の参照情報は画像単位で管理するため、Ｓ１００３１では以前に実行した同じ画像を入力処理した入力ジョブがストレージサーバ１００５へ格納した画像の画像ＩＤと同じＩＤをストレージサーバ１００５に記録する。このことにより、出力ジョブで処理した画像の特定が可能となる。Ｓ１００３１の処理が終わると次にＳ１０００６へ進む。

Ｓ１０００５ではジョブタイプ７００２が入力ジョブの処理を行う。Ｓ１０００３で入力を受けた画像をストレージサーバ１００５へ格納する。この際に、ページ毎にユニークとなる画像ＩＤを付加する。さらに、必要に応じて解像度変換やカラー画像を白黒化するなどのカラーモード変換をおこない、画像データサイズの圧縮を図る事も可能である。フォームの登録画像、図８の例で（ａ）の画像の処理も入力ジョブの１ページとしてＳ１０００５で行われる。

次にＳ１０００６でストレージサーバ１００５に格納できたかどうかの判断を行う。格納できた場合はＳ１０００７へ進み、格納できなかった場合はＳ１００１２へ進む。Ｓ１００１２ではジョブのキャンセル処理を行い、Ｓ１０００９へ進む。この処理により、ストレージサーバ１００５に格納できなかった画像が送信されたりプリント出力されたりする事が防止できる。

Ｓ１０００７ではＳ１０００３で入力された画像をＨＤＤ２００４へ格納する。ＢＯＸ格納ジョブやＳＣＡＮジョブ、受信ジョブはＨＤＤ２００４への格納だけで処理が終わるが、ＣＯＰＹジョブやＰＤＬプリントジョブの場合はプリンタ２０９５へのプリント出力処理を行う。送信ジョブの場合は、ＮｅｔｗｏｒｋＩ／Ｆ２０１０やＭＯＤＥＭ２０５０を使用した送信処理が行われる。Ｓ１０００６でストレージサーバ１００５への画像格納を確認しているため、プリントや送信される画像は必ずセキュリティユニットに格納され、後から調査可能となる。Ｓ１０００７の処理が終わると、Ｓ１０００８へ進む。Ｓ１０００８では、Ｓ１０００３で受けた画像が最終ページかどうかの判断を行う。最終ページだった場合はＳ１０００９へ進み、最終ページではなかった場合はＳ１０００３へ進み、次の画像の入力を待つ。

Ｓ１０００９ではジョブの終了待ちを行う。Ｓ１００１０ではジョブ終了結果４００８など、Ｓ１０００１の時点では不定で書き込めなかった項目のログ記録処理を履歴管理サーバ１００６にたいして行う。ログ記録が終わるとこのフローチャートを抜ける。

図１０は、実施例１における、履歴管理サーバ１００６とストレージサーバ１００５への書き込み例である。２０００１はジョブタイプ７００２が入力ジョブ、例えばＢＯＸ格納ジョブ７３０１である。２０１０１はジョブタイプ７００２が出力ジョブである。例えばＢＯＸ−ＰＲＩＮＴジョブ７６０１である。いいかえると出力ジョブ２０１０１は入力ジョブ２０００１で入力した画像を出力するジョブである。

入力ジョブ２０００１は履歴レコード２０００２を履歴管理サーバ１００６へ記録し、文書ファイル２００１０をストレージサーバ１００５へ記録する。履歴レコード２０００２は文書ＩＤ２０００３を含む図４で説明した項目により構成される。文書ファイル２００１０は文書ＩＤ２００１１と各画像データ２００２０，２００３０から構成される。文書ＩＤ２００１１と文書ＩＤ２０００３により、文書ファイル２００１０と履歴レコード２０００２のリンクが行われ、対応関係が表現される。画像データ２００２０はＳ１０００５でストレージサーバ１００５へ書き込まれ、画像ＩＤ２００２１、画像属性２００２２、画像２００２３から構成される。画像ＩＤはページ毎にユニークなＩＤであり、画像属性２００２２は画像２００２３の画像フォーマットなどである。画像２００２３は画像イメージそのものである。ストレージサーバ１００５内では、１つの文書は１ファイルから構成され、複数のページ（画像）を持つことが可能である。１つの文書に対して１つのユニークな文書ＩＤ２００１１が存在する。

出力ジョブ２０１０１は履歴レコード２０１０２を履歴管理サーバ１００６へ記録し、文書ファイル２０１１０をストレージサーバ１００５へ記録する。履歴レコード２０１０２は文書ＩＤ２０１０３を含む図４で説明した項目により構成される。文書ファイル２０１１０は文書ＩＤ２０１１１と各画像データ２０１２０，２０１３０から構成される。文書ＩＤ２０１１１と文書ＩＤ２０１０３により、文書ファイル２０１１０と履歴レコード２０１０２のリンクが行われ、対応関係が表現される。画像データ２０１２０はＳ１００３１でストレージサーバ１００５へ書き込まれ、画像ＩＤ２０１２１、画像属性２０１２２、から構成され、画像２００２３のような実画像は存在しない。画像ＩＤ２０１２１は実画像毎にユニークなＩＤである画像ＩＤ２００２１と同じ値を示し、そのことで出力した実画像が画像２００２３であることを表している。画像属性２０１２２は画像２００２３の画像フォーマットなどである。出力時に画像２００２３に対して変更された属性、例えば、綴じ代量、ヘッダやフッタ情報などを記録することも可能である。

画像ＩＤ２０１２１と画像ＩＤ２００２１による画像の参照情報記録という方式により、出力時にストレージサーバ１００５への画像記録を伴わないため、記録量の削減およびジョブ実行速度の低下防止が図れる。また、画像属性２０１２２へ出力ジョブ２０１０１実行にともない変更された画像の属性を記録することで、入力ジョブ２０００１の画像２００２３から変更された綴じ代などのレイアウト情報やヘッダやフッタなどの付加情報を表現できる。

図１１は、フォーム画像を参照情報として記録する場合の例である。入力ジョブ２１００１は例えばＢＯＸ格納ジョブ７３０１である。入力ジョブ２１１０１はフォーム登録ジョブ７３０１である。出力ジョブ２１２０１は入力ジョブ２１００１と入力ジョブ（フォーム登録ジョブ）２１１０１の合成を出力したジョブ、例えばＢＯＸ−ＰＲＩＮＴジョブ７６０１である。

出力ジョブ２１２０１は履歴レコード２１２０２を履歴管理サーバ１００６へ記録し、文書ファイル２１２１０をストレージサーバ１００５へ記録する。履歴レコード２１２０２は文書ＩＤ２１２０３を含む図４で説明した項目により構成される。文書ファイル２１２１０は文書ＩＤ２１２１１と各画像データ２１２２０，２１２３０から構成される。文書ＩＤ２１２１１と文書ＩＤ２１２０３により、文書ファイル２１２１０と履歴レコード２１２０２のリンクが行われ、対応関係が表現される。画像データ２１２２０はＳ１００４６でストレージサーバ１００５へ書き込まれ、画像ＩＤ２１２２１、画像ＩＤ２１２２２、画像属性２１２２３、から構成され、画像２１０２３や画像２１１２３のような実画像は存在しない。画像ＩＤ２１２２１は実画像毎にユニークなＩＤである画像ＩＤ２１０２１と同じ値を示し、画像ＩＤ２１２２２は実画像毎にユニークなＩＤである画像ＩＤ２１１２１と同じ値を示す。そのことで出力した実画像が画像２１０２３と画像２１１２３の合成画像であることを表している。画像属性２１２２３は画像２１０２３および画像２１１２３の画像フォーマットなどである。合成方法の詳細などもこの属性に記録される。

画像ＩＤ２１２２１と画像ＩＤ２１２２２による画像の参照情報記録という方式により、出力時にストレージサーバ１００５への画像記録を伴わないため、記録量の削減およびジョブ実行速度の低下防止が図れる。また、画像属性２１２２３へ出力ジョブ２０１０１実行にともない変更された画像の属性を記録することで、入力ジョブ２１００１の画像２１０２３から変更された綴じ代などのレイアウト情報やヘッダやフッタなどの付加情報を表現できる。

図１２は、フォーム合成後の画像を実画像として記録する場合の例である。フローチャートにおいてＳ１００４３を通るケースの例となる。図１１の入力ジョブ２１００１とフォーム登録ジョブ２１１０１を合成した場合、出力ジョブ２２００１の結果となる。ここで画像２２０２３等の画像記録は全て実画像であり、画像の参照情報による記録は行わない。

図１３は、フォーム登録および合成機能がセキュリティホールになる例である。図１３（ａ）はフォーム登録文書である。図１３（ｂ）はフォーム登録文書と合成する本文であり、図１３（ｃ）は（ａ）と（ｂ）の合成結果である。例を見てわかるとおり、（ａ）と（ｂ）の画像だけ見ても何を表しているのか分からないが、（ｃ）のように合成してはじめて意味を成す画像の作成が可能である。したがって、（ａ）や（ｂ）の画像のままセキュリティユニットに画像登録されても、それが重要な画像なのかどうかの判断ができない。このため、一般ユーザが登録可能なフォーム画像の取り扱いには注意が必要である。本発明では一般ユーザが登録した画像を合成する場合は、Ｓ１００４３のように実画像を記録することでセキュリティホールになることを防止している。

以上説明したように、画像処理装置において出力される合成画像を、あとから追跡可能となるように効率的な形でセキュリティユニットに記録することが可能となる。従来技術に比べて画像の保管に必要な記録容量の削減と記録内容の正確さをバランスよく実現することが可能となる。

以下に実施例２を示す。実施例２の基本的なシステム構成図、および基本的なシステムブロック図、およびセキュリティユニットの構成、履歴レコードの記録内容、ジョブ種類毎のデータフロー図、画像格納方法は、実施例１の図１〜図１３と同様であるので説明は省略する。

図１４はフォーム登録画面である。フォーム登録画面３０００１は操作部２０１２に表示される。フォーム登録画面ではフォームの登録が可能であり、フォームは特定フォーム３００１１と一般フォーム３００２１から構成される。特定フォーム３００１１へはシステム管理者など特定のユーザのみ登録可能であり、ユーザの特定はＩＣ Ｃａｒｄ Ｓｌｏｔ２１００などのユーザ認証手段を用いる。一般フォーム３００２１への登録制限はない。３００１２から３００１４は特定フォームへ登録されたフォーム画像のフォーム名である。これらのフォーム名を指定してのフォーム合成が可能である。特定フォームとの合成における制限事項はない。３００２２から３００２４は一般フォームへ登録されたフォーム画像のフォーム名である。これらのフォーム名を指定してのフォーム合成が可能である。一般フォームとの合成における制限事項が存在するため図１６のフローチャートの説明において後述する。

登録ボタン３００３１を押下することにより、スキャナ２０７０から読み込んだ画像のフォーム登録が可能である。それ以外に、クライアントコンピュータ１００４上のプリンタドライバからもフォーム登録が可能である。閉じるボタン３００４１を押下することにより、フォーム登録画面３０００１がクローズする。

図１５はフォーム登録時のフローチャートである。まず、フォーム登録が行われる際にＳ１１００１において、フォーム登録を行うユーザの判定を行う。フォーム登録を実行しているユーザがあらかじめ特定ユーザとして登録されているユーザである場合はＳ１１００２へ進み、登録されていないユーザである場合はＳ１１０１１へ進む。Ｓ１１００２では特定登録ユーザのフォーム登録であるため、特定画像として、特定フォーム３００１１へフォーム画像を登録する。登録が終わるとフローチャートを抜ける。

Ｓ１１０１１では、セキュリティユニットに記録する設定になっているかどうかの判断を行う。セキュリティユニットへ記録する設定になっている場合はＳ１１０１２へ、なっていない場合はＳ１１０２１へそれぞれ進む。Ｓ１１０１２ではセキュリティ機能が有効時の一般ユーザのフォーム登録ということで、フォーム登録をキャンセルする。キャンセルする理由は上述した図１３のようなセキュリティホールになることを防止するためである。キャンセル処理が終わるとフローチャートを抜ける。

Ｓ１１０２１では一般フォームとして、一般フォーム３００２１へフォーム画像を登録する。登録が終わるとフローチャートを抜ける。

図１６はフォーム合成時のフローチャートである。まず、フォーム合成が行われる際にＳ１２００１において、セキュリティユニットに記録する設定になっているかどうかの判断を行う。セキュリティユニットへ記録する設定になっている場合はＳ１２００２へ、なっていない場合はＳ１２００３へそれぞれ進む。Ｓ１２００２では特定フォーム３００１１とのフォーム合成かどうかの判定を行う。特定フォーム３００１１に登録されたフォーム画像との合成である場合はＳ１２００３へ進み、それ以外の場合はＳ１２０１１へ進む。Ｓ１２００３ではフォームの合成処理を行う。合成が終わるとフローチャートを抜ける。

Ｓ１２０１１では指定されたフォーム合成のキャンセルを行う。セキュリティ機能が有効である場合に、特定画像以外の合成を行い、図１３のようなセキュリティホールになることを防止するためである。キャンセル処理が終わるとフローチャートを抜ける。

以上説明したような発明により、セキュリティユニットに入出力画像およびその付随情報を記録する場合、画像合成のための画像登録や、合成画像の出力を禁止する手段を有することができる。また、システム管理者など特定のユーザ以外の画像登録を禁止し、特定のユーザが登録した画像以外との合成を禁止できる。このため、セキュリティホールになるような画像登録・合成を防止でき、より安全な運用が可能となる。

基本的なシステム構成を示す図である。 複合機１００１および複合機１０１０のシステムブロック図である。 複合機１００１が画像データをストレージサーバ１００５へ、履歴レコードを履歴管理サーバ１００６へ書き込む場合の構成例を示す図である。 履歴管理サーバ１００６に記録されている履歴レコードの例を示す図である。 履歴管理サーバ１００６に記録されている履歴レコードの例を示す図である。 ジョブ種類毎のデータフロー図である。 ジョブ種類毎の画像格納方法を示す図である。 フォーム文書の登録および合成に関する図である。 ジョブ実行時のフローチャートである。 ストレージサーバ１００５と履歴管理サーバ１００６への書き込み例を示す図である。 フォーム画像を参照情報として記録する場合の例を示す図である。 フォーム合成後の画像を実画像として記録する場合の例を示す図である。 フォーム登録および合成機能がセキュリティホールになる例を示す図である。 フォーム登録画面を示す図である。 フォーム登録時のフローチャートである。 フォーム合成時のフローチャートである。

符号の説明

１００１ 複合機
１００２ ファクシミリ
１００３ データベース／メールサーバ
１００４ クライアントコンピュータ
１００５ ストレージサーバ
１００６ 履歴管理サーバ
１００７ イーサネット(登録商標)
１００８ 公衆回線
１００９ チェイシングサーバ
１０１０ 複合機
１０１１ クライアントコンピュータ
１０２０ ＷＡＮ
２０００ コントローラユニット
２００１ ＣＰＵ
２００２ ＲＡＭ
２００３ ＲＯＭ
２００４ ハードディスク
２００５ Ｉｍａｇｅ Ｂｕｓ Ｉ／Ｆ
２００６ 操作部Ｉ／Ｆ
２００７ システムバス
２００８ 画像バス
２０１０ Ｎｅｔｗｏｒｋ Ｉ／Ｆ
２０１１ ＬＡＮ
２０１２ 操作部
２０２０ デバイスＩ／Ｆ
２０３０ 画像回転
２０４０ 画像圧縮
２０５０ ＭＯＤＥＭ
２０５１ ＷＡＮ
２０６０ ＲＩＰ
２０７０ スキャナ
２０８０ スキャナ画像処理
２０９０ プリンタ画像処理
２０９５ プリンタ
２１００ ＩＣ Ｃａｒｄ Ｓｌｏｔ
２１１０ 暗号・復号処理
２１１１ ＯＣＲ／ＯＭＲ処理

Claims (8)

1. 入出力画像およびその付随情報をセキュリティユニットに記録する画像処理装置において、画像処理装置への画像入力時に実画像を記録するセキュリティ実画像記録手段と、
   画像処理装置から合成された画像の出力時に、出力画像と対応する入力画像への参照情報を記録する合成参照画像記録手段と、
   画像処理装置から合成された画像の出力時に実画像を記録する合成画像記録手段と、
   画像処理装置から合成された画像の出力時に前記合成参照画像記録手段および前記合成画像記録手段のどちらかを選択する画像記録方法選択手段
   を有することを特徴とする画像処理装置。
2. 前記画像記録方法選択手段での判断基準はジョブ種類であることを特徴とする請求項１記載の画像処理装置。
3. 前記画像記録方法選択手段での判断基準は合成画像の種類であることを特徴とする請求項１記載の画像処理装置。
4. 入出力画像およびその付随情報をセキュリティユニットに記録する画像処理装置において、
   画像合成のための画像登録を禁止する画像登録禁止手段
   を有することを特徴とする画像処理装置。
5. 前記画像登録禁止手段において、特別な画像登録は登録を許可する特定画像登録許可手段を有することを特徴とする請求項４記載の画像処理装置。
6. 前記特定画像登録許可手段における許可判断を画像登録処理の実行ユーザで行う特定画像登録者許可手段を有することを特徴とする請求項５記載の画像処理装置。
7. 入出力画像およびその付随情報をセキュリティユニットに記録する画像処理装置において、
   画像合成出力を禁止する画像合成出力禁止手段
   を有することを特徴とする画像処理装置。
8. 前記画像合成出力禁止手段において、特別な登録画像との合成は許可する特定登録画像合成許可手段を有することを特徴とする請求項７記載の画像処理装置。