JP2007133670A - 画像処理装置、画像管理方法、文書管理装置、文書管理方法及びコンピュータプログラム - Google Patents

Abstract

【課題】機密情報を確実に保護することと、容易に管理することとを両立させる。
【解決手段】読み取られた原稿の画像データまたは電子文書を、セキュア文書と非セキュア文書とに分割し、ユーザがユーザインターフェイスで指定した別々の場所にセキュア文書と、非セキュア文書とをそれぞれ格納する。このようにして格納される非セキュア文書には、セキュアなページの実体は含まれていない。このため、セキュア文書が参照できる場所に非セキュア文書がある場合になければ、非セキュア文書からセキュア文書の各ページを参照することができないようになる。また、機密情報として管理するファイルは、セキュア文書によるものだけとなり、文書全体を機密情報として管理する場合よりも、機密情報として管理するファイルの容量を小さくすることができる。
【選択図】図１１

Description

本発明は、画像処理装置、画像管理方法、文書管理装置、文書管理方法及びコンピュータプログラムに関し、特に、機密とする部分を含む原稿の画像データまたは電子文書を処理するために用いて好適なものである。

近年、デジタルカラー複合機等の画像複写機器を用いることにより、機密情報を含む紙文書を電子データ化し、電子データ化した紙文書を電子文書システムによって統一して管理することができるようになった。

また、近年の高度情報化に伴い、個人情報の利用が著しく拡大している。これにより、個人情報等の機密データを管理することの重要度は、一層増してきている。例えば、官庁や銀行の窓口業務のような顧客の個人情報を紙文書で入力するようなワークフロー（work flow）では、紙文書の機密を確保することへのニーズは一層高い。機密情報の中には、特定の作業者のみがアクセスすべき情報も多い。したがって、機密情報へのアクセスを制限することによって、情報の機密性を確保することが一層求められている。つまり、特定のアクセス者のみ機密情報の閲覧を許可することによるセキュリティの向上が一層求められている。

機密情報へのアクセスを制限する従来の一般的な手法として、第１に、機密文書そのものにパスワードを付与する手法がある。かかる手法では、機密文書に付与されたパスワードの認証を行わないと文書を開くことができない。
第２に、ハードディスク等の記憶装置を暗号化し、暗号化した記憶装置を復号化できるユーザを特定のユーザのみにすることによって、機密情報へのアクセスを制限する手法がある。
第３に、文書へのアクセスを行うユーザにアクセス権を付与し、付与したアクセス権に基づくサーバ認証などを行わないと文書へアクセスを行えないようにすることによって、機密情報へのアクセスを制限する方法がある。

以上のような機密情報へのアクセスを制限する従来の一般的な手法のうち、例えば、機密情報を閲覧することが可能な特定者だけに機密情報を閲覧可能にする方法として、特許文献１に記載された技術がある。かかる技術では、機密情報を保護された形式に変換すると共に、機密情報が保護された形式に変換されていることを報知する。これにより、閲覧可能な特定者は、機密情報の存在を認知して、その機密情報にアクセスすることができるようになり、ある特定者だけが機密情報を容易に閲覧することができる。

特開２００４−５８４１０号公報

しかしながら、前述した従来の技術においては以下のような問題があった。
例えば、パスワードを用いて文書へのアクセスを制限したとしても、機密情報を含む文書を配布することになるので、パスワードが流出すれば機密情報が流出していることと等価となってしまう。また、配布した文書のトラッキング(tracking)も難しい。さらに、機密情報を含む文書（電子データ）の全てを管理下に置かなければならない。このため、例えば、機密情報は文書全体のごく部分的なものであっても、管理するファイルのサイズは、文書の全ページ分となってしまう。したがって、管理するファイルのサイズが大きくなってしまうという問題があった。

本発明は、このような問題点に鑑みてなされたものであり、機密情報を確実に保護することと、容易に管理することとを両立させることを目的とする。

本発明の画像処理装置は、原稿の画像データを読み取る読み取り手段と、前記読み取り手段により読み取られた原稿の画像データを、機密とするセキュアな部分と、機密としない非セキュアな部分とに分割する分割手段とを有することを特徴とする。

本発明の画像管理方法は、原稿の画像データを読み取る読み取りステップと、前記読み取りステップにより読み取られた原稿の画像データを、機密とするセキュアな部分と、機密としない非セキュアな部分とに分割する分割ステップとを有することを特徴とする。

本発明のコンピュータプログラムは、原稿の画像データを読み取る読み取りステップと、前記読み取りステップにより読み取られた原稿の画像データを、機密とするセキュアな部分と、機密としない非セキュアな部分とに分割する分割ステップとをコンピュータに実行させることを特徴とする。

本発明の電子文書を保存管理する文書管理装置は、複数ページまたは複数オブジェクトからなる電子文書を前記文書管理装置に入力する入力手段と、前記電子文書に付属するセキュリティ情報を含む属性情報を判別する判別手段と、前記判別手段の判別に基づいて前記電子文書をセキュアな部分と非セキュアな部分に分割する分割手段と、前記セキュアな部分と非セキュアな部分からそれぞれセキュア電子文書と非セキュア文書を作成する文書作成手段と、前記セキュア文書と前記非セキュア文書を記憶装置に記憶させる記憶手段と、を有することを特徴とする。

本発明の電子文書を保存管理する文書管理方法は、複数ページまたは複数オブジェクトからなる電子文書を入力する入力工程と、前記電子文書に付属するセキュリティ情報を含む属性情報を判別する判別工程と、前記属性情報に基づいて前記電子文書をセキュアな部分と非セキュアな部分に分割する分割工程と、前記セキュアな部分と非セキュアな部分からそれぞれセキュア電子文書と非セキュア文書を作成する文書作成工程と、前記セキュア文書と前記非セキュア文書を記憶装置に記憶させる記憶手段と、有することを特徴とする。

本発明によれば、原稿の画像データまたは電子文書を、機密とするセキュアな部分と、機密としない非セキュアな部分とに分割するので、機密とするセキュアな部分のみを管理すれば、原稿の機密情報の漏洩を防ぐことができる。これにより、機密情報を確実に保護することと、容易に管理することとを両立させることが可能になる。

（第１の実施形態）
次に、図面を参照しながら、本発明の第１の実施形態について説明する。
図１は、本実施形態の画像処理装置の一例である画像形成装置と、コンピュータ（情報処理装置）とを含むシステムの構成の一例を示すブロック図である。なお、図１では、画像形成装置が、複写機の機能を有するデジタル複合機である場合を例に挙げて示す。
図１において、画像形成装置１００は、リーダ部１０１、操作部１０２、プリンタ部１０３、コントローラ部１０４、及び記憶装置１０９を有する。また、コントローラ部１０４は、ネットワーク処理部１０６、ＰＤＬ展開部１０７、ディスク制御部１０８、及びコア部１０５を有する。

インターネット網１１０に接続されている情報処理装置１１２と、情報処理装置１１１は、イントラネット等のネットワーク１１３を介して相互に接続されている。これらの情報処理装置１１１、１１２は、例えば、ワークステーション（ＷＳ）、又は標準的なパーソナルコンピュータ（ＰＣ）を用いることで実現することができる。
画像形成装置１００のリーダ部１０１は、画像形成装置１００にセットされた原稿をスキャンして、原稿の画像を読み取り、読み取った原稿の画像に応じた画像データを、コア部１０５を通じて、プリンタ部１０３へ出力する。プリンタ部１０３は、リーダ部１０１から出力された画像データに応じた画像を記録紙上に記録する。

操作部１０２は、例えば、液晶パネルを用いて構成される。この液晶パネルは、タッチパッドの機能を有しており、ユーザがこのタッチパットに指を触れることにより、画像形成装置１００を制御するための所定の命令に対応付けられたキーの選択を可能とするものである。

コントローラ部１０４は、リーダ部１０１で読み取られた（スキャンされた）原稿の画像を、コア部１０５を通じてＰＤＦ（Portable Document Format）やＸＭＬ（eXtensible Markup Language）等の汎用電子ドキュメントフォーマットに変換する。そして、汎用電子ドキュメントフォーマットに変換されたデータをディスク制御部１０８に送信する。ディスク制御部１０８は、受け取った汎用電子ドキュメントフォーマットに変換したデータを、記憶装置１０９の一例であるハードディスクドライブ（ＨＤＤ）に保存する。

さらに、コントローラ部１０４は、汎用電子ドキュメントフォーマットに変換したデータを、ネットワーク処理部１０６を通してインターネット網１１０に転送したり、ネットワーク１１３に接続されている情報処理装置１１１に転送したりすることも可能である。転送されたデータは、情報処理装置１１１、１１２内の不図示の記憶装置に保存される。

前述したように、本実施形態の情報処理装置１１１、１１２は、パーソナルコンピュータ又はワークステーション（ＰＣ／ＷＳ）である。情報処理装置１１１、１１２では、予めインストールされたプリンタドライバ等のソフトウェアによって、画像形成装置１００のＰＤＬ展開部１０７で解釈することが可能なＰＤＬプリントデータが作成される。作成されたＰＤＬプリントデータは、ネットワーク１１３と、ネットワーク処理部１０６とを介して、コア部１０５に送信される。そうすると、ＰＤＬ展開部１０７は、ＰＤＬプリントデータをプリンタ部１０３で記録紙に記録することができる画像データに展開し、展開した画像データを、コア部１０５を介して、プリンタ部１０３に出力する。プリンタ部１０３は、このようにして出力された画像データに応じた画像を記録紙上に記録する。このように、本実施形態の画像形成装置１００では、リーダ部１０１で読み取られた原稿に基づく画像の他に、情報処理装置１１１、１１２から出力されたＰＤＬプリントデータに基づく画像をプリントすることができる。

さらに、前述したように、リーダ部１０１で読み取られた原稿の画像は、コア部１０５を通じて汎用電子ドキュメントフォーマットに変換され、情報処理装置１１１、１１２内の不図示の記憶装置に保存されることも可能である。情報処理装置１１１、１１２内の記憶装置の一例としては、ハードディスクドライブが挙げられる。
なお、図１に示す構成は一例であり、図示の構成に限定されるものではない。

図２は、本画像形成装置１００におけるコア部１０５の構成の一例を示すブロック図である。
図２において、コア部１０５は、インターフェース部２０１、２０２、２０３、２０７、データ処理部２０４、２０６、ＣＰＵ２０５、及びメモリ２０８を備えている。
このようなコア部１０５の構成を詳述すると、リーダ部１０１から読み取られた原稿に基づく画像データは、インターフェース部２０１を介してデータ処理部２０４へ転送される。データ処理部２０４では、プリンタ部１０３への印刷時には画像の回転処理や変倍処理などのデータ処理を行う。また、データ処理部２０４へ転送された画像データは、ＣＰＵ２０５を通じて、メモリ２０８にデジタルデータとして蓄積される。さらに、ユーザが操作部１０２を用いて複写機の機能に相当する内部制御コマンドを入力すると、データ処理部２０４へ転送された画像データは、その内部制御コマンドに応じて、ＣＰＵ２０５、データ処理部２０６、及びインターフェース部２０３を通じて、プリンタ部１０３へ転送され、記録紙上に記録（印字）される。

また、ユーザが操作部１０２を用いて複写機の機能に相当する内部制御コマンドを入力すると、リーダ部１０１で読み取られた画像データは、その内部制御コマンドに応じて、インターフェース部２０１を介してデータ処理部２０４へ転送される。データ処理部２０４は、転送された画像データを、ＰＤＦやＸＭＬ等の汎用電子フォーマットへ変換する。また、データ処理部２０４へ転送された画像データは、ＣＰＵ２０５の制御のもと、メモリ２０８にデジタルデータとして蓄積される。さらに、データ処理部２０４へ転送された画像データは、操作部１０２を用いてユーザが入力する機能に相当する内部制御コマンドに応じて、ＣＰＵ２０５の制御のもと、インターフェース部２０７を介して、ディスク制御部１０８に転送される。これにより、データ処理部２０４へ転送された画像データを、記憶装置１０９に保存することが可能である。

さらに、操作部１０２を用いてユーザが入力した機能に相当する内部制御コマンドに応じて、リーダ部１０１で読み取られた画像データは、インターフェース部２０１を介してデータ処理部２０４へ転送される。データ処理部２０４は、転送された画像データを、ＰＤＦやＸＭＬ等の汎用電子ドキュメントフォーマットへ変換する。データ処理部２０４へ転送された画像データは、ＣＰＵ２０５介して、メモリ２０８にデジタルデータとして蓄積される。さらに、データ処理部２０４は、操作部１０２を用いてユーザが入力した機能に相当する内部制御コマンドに応じて、ＣＰＵ２０５の制御のもと、インターフェース部２０７を介して、転送された画像データをネットワーク処理部１０６に転送する。そうすると、ネットワーク処理部１０６は、ネットワーク１１３に接続された情報処理装置１１１や、インターネット網１１０に接続された情報処理装置１１２に、転送された画像データを保存する。

さらに、情報処理装置１１１，１１２で作成されたＰＤＬデータは、ネットワーク処理部１０６を介して画像形成装置１００に入力される。入力されたＰＤＬデータは、インターフェース部２０７を介して、ＣＰＵ２０５へ転送され、インターフェース部２０７を介して、再度ＰＤＬ展開部１０７へ転送される。そうすると、ＰＤＬ展開部１０７は、転送されたＰＤＬデータを画像ビットマップデータに展開する。この画像ビットマップデータは、Ｉ／Ｆ２０７、ＣＰＵ２０５を介して、メモリ２０８へ蓄積される。その後、画像ビットマップデータは、ＣＰＵ２０５、データ処理部２０６、及びインターフェース部２０３を介して、プリンタ部１０３へ転送され、プリントされる。

ＣＰＵ２０５は、メモリ２０８に記憶されている制御プログラム、及びインターフェース部２０７を経由して操作部１０２から受けた内部制御コマンドに従って、前述したような制御を行う。また、メモリ２０８は、ＣＰＵ２０５の作業領域としても使われる。 このように、本実施形態の画像形成装置１００では、コア部１０５を中心に、原稿の画像の読み取り、画像のプリント、画像の送受信、画像の保存、及び情報処理装置１１１、１１２との間で行われるデータの入出力等の機能を複合させた処理を行うことが可能である。

図３は、本実施形態の画像形成装置１００のコア部１０５（メモリ２０８）に記憶された制御プログラムのソフトウェア構造の一例を概念的に示した図である。
オペレーティングシステム３０１は、画像形成装置１００の全体を制御する第１の実行環境の一例である。以下では、オペレーティングシステムをＯＳと略称する。ＯＳ３０１は、一般的には、複写機の各種機能をリアルタイムに制御可能なリアルタイムＯＳの各モジュール、或いはＣＰＵ２０５に命令して、複写機のオプション装置や、拡張カードを含む各機能をクリティカルに制御することが可能なライブラリ群を有している。このようなＯＳ３０１は、その上位で動作するアプリケーションに対して、インターフェース・コマンドを提供するモジュール群を用いて実現される。

コントローラ制御部３０２は、ＯＳ３０１上で動作する。本実施形態のコントローラ制御部３０２は、リーダ部１０１、プリンタ部１０３、ＰＤＬ展開部１０７、ディスク制御部１０８、及びネットワーク処理部１０６等を制御するモジュールを用いて構成されるものとする。

アプリケーション・プログラミング・インターフェース３０３は、ＯＳ３０１によって制御されるコントローラ制御部３０２にアクセスするための複数の制御コマンドにそれぞれ対応したインターフェースの集合である。以下では、このアプリケーション・プログラミング・インターフェースをＡＰＩと略称する。ＡＰＩ３０３は、標準アプリケーション３０４から、画像形成装置１００を制御するための命令を入力すると、その命令に応答して、コントローラ制御部３０２にアクセスするための処理を提供する機能を有するものである。

標準アプリケーション３０４は、ＯＳ３０１上で動作するアプリケーションであり、ＡＰＩ３０３を介してコントローラ制御部３０２に各種処理を依頼することで複写機の機能を実現するためのものである。具体的に標準アプリケーション３０４は、画像形成装置１００が標準で備える機能を実現するための機能を有するアプリケーションであり、一例としては複写機が標準で備えるコピー機能等を実現するための機能を有するアプリケーションが考えられる。ここでコピー機能とは、例えば、原稿をリーダ部１０１で読み取り、読み取った原稿の画像を、プリンタ部１０３で記録媒体に出力する機能をいう。

仮想マシン３０５は、特殊なアプリケーションをインストールし、インストールした特殊なアプリケーションを実行するための第２の実行環境の一例である。この仮想マシン３０５は、例えば、Ｊａｖａ（登録商標）の仮想マシン等により実現されるものである。ＡＰＩ３０６は、仮想マシン３０５上の追加アプリケーション３０８が、ＯＳ３０１上で動作するコントローラ制御部３０２にアクセスするためのＡＰＩであり、本実施形態においてはＡＰＩ３０３を呼び出すための仲介の役割を有するものである。なお、ＡＰＩ３０６はＡＰＩ３０３と同一であっても、ＡＰＩ３０３のサブセットとして機能が制限されて実現されていてもよい。

フレームワークモジュール３０７は、仮想マシン３０５上の追加アプリケーション３０８を統括的に制御する機能を有する。
追加アプリケーション３０８は、仮想マシン３０５にインストールされて動作し、画像形成装置１００に依存した各種処理を、ＡＰＩ３０６を使用してコントローラ制御部３０２に依頼することが可能である。また、追加アプリケーション３０８は、ＡＰＩ３０６を通じて、リーダ部１０１に原稿の読み取り処理を依頼することが可能である。さらに、追加アプリケーション３０８は、ネットワーク１１３に接続された情報処理装置１１１やインターネット網１１０に接続された情報処理装置１１２に、ネットワーク処理部１０６を介して、データの転送を依頼することが可能である。また、追加アプリケーション３０８は、ディスク制御部１０８と通信することも可能である。

リソース管理部３０９は、ＯＳ３０１（リアルタイムＯＳ）上で動作し、第２の実行環境である仮想マシン３０５が使用する資源を管理する。リソース管理部３０９は、仮想マシン３０５、ＡＰＩ３０６、フレームワークモジュール３０７、或いは追加アプリケーション３０８がメモリ等のリソース資源を使用する際に、これらが、予め決められた以上の資源を使用できないように制限することを可能とする。

図４は、追加アプリケーション３０８として、分散スキャンアプリケーションがロードされた状態における制御プログラムのソフトウェア構造の一例を概念的に示した図である。分散スキャンアプリケーション４０１は、ロードされた追加アプリケーションである。
また、コピーアプリケーション４０２は、標準アプリケーションとしてロードされたアプリケーションであって、コピー機能を有するアプリケーションである。

図５は、分散スキャンアプリケーション４０１におけるソフトウェア構造の一例を示した図である。
スキャン制御部５０１は、分散スキャンアプリケーション４０１の全体を制御する。例えば、スキャン制御部５０１は、ＡＰＩ３０６を介してコントローラ制御部３０２にアクセスする。そうすると、コントローラ制御部３０２は、画像形成装置１００の機能を利用してリーダ部１０１に原稿をページ毎にスキャンさせる。スキャン制御部５０１は、スキャンされた原稿のページ毎の画像データを、コントローラ制御部３０２及びＡＰＩ３０６を介して取得する。

分割判断部５０２は、コントローラ制御部３０２及びＡＰＩ３０６を介してスキャン制御部５０１が取得した原稿の各ページの画像データから、どのページをセキュア文書として分割するのかを判断する。ページ生成部５０３は、分割判断部５０２によって判断された結果に基づいて、元の原稿の画像データから、セキュア文書及び非セキュア文書を生成する。出力管理部５０４は、ページ生成部５０３により生成されたセキュア文書及び非セキュア文書の出力先を制御する。

本実施形態において、分散スキャンアプリケーション４０１は、前述のように追加アプリケーション３０８として、第２の実行環境である仮想マシン３０５上で動作する場合を例に挙げて説明した。しかしながら、分散スキャンアプリケーション４０１が、標準アプリケーション３０４として、ＯＳ３０１上で動作するようにしてもよい。

図６は、本実施形態の画像形成装置１００の操作部１０２に表示される画面（ユーザインターフェイス）の一例を示す図である。図６に示す画面（ユーザインターフェイス）は、ＯＳ３０１（リアルタイムＯＳ）上で動作する標準アプリケーション３０４、又は仮想マシン３０５上で実行される追加アプリケーション３０８を選択し、実行するためのものである。なお、この画面はタッチパネルとなっており、ユーザがそれぞれ表示される機能の枠内を触れることにより、その機能が実行される。

アプリケーション切り替えキー６０１、６０２は、アプリケーションをユーザが選択するものである。ここでは、標準アプリケーションとしてコピーアプリケーション４０２を選択するコピーキー６０１と、追加アプリケーション３０８として分散スキャンアプリケーション４０１を選択する分散スキャンキー６０２とから構成されるものとする。

コピーキー６０１は、前述した標準アプリケーション３０４であるコピーアプリケーション４０２を呼び出すキーである。このコピーキー６０１をユーザが押下すると、不図示のコピー機能を設定するためのユーザインターフェイスが提供される。分割スキャンキー６０２は、分散スキャンアプリケーション４０１の設定を読み出すキーである。この分割スキャンキー６０２が押下されると、図６に示すような分割スキャンアプリケーションの設定画面６１０が表示される。

フィールド６０３は、リーダ部１０１にセットされた原稿がスキャン制御部５０１によりスキャンされた後、セキュア文書として分割すると分割判断部５０２により判断された結果に基づいてページ生成部５０３により生成されたセキュア文書の送信先を指定するフィールドである。
設定ボタン６０４は、フィールド６０３でセキュア文書の送信先を指定するための後述するユーザインターフェイスを呼び出す際にユーザが押下するボタンである。

フィールド６０５は、リーダ部１０１にセットされた原稿がスキャン制御部５０１によりスキャン後、非セキュアページとして分割すると分割判断部５０２により判断された結果に基づいてページ生成部５０３により生成された非セキュア文書の送信先を指定するフィールドである。
設定ボタン６０６は、フィールド６０５で非セキュア文書の送信先を指定するための後述するユーザインターフェイスを呼び出す際にユーザが押下するボタンである。

ボタン６０７、６０８は、セキュア文書となるページの判断方法を指定するためのボタンであって、どちらか一方がユーザにより選択される。この選択された結果を示す情報に基づいて、分割判断部５０２は、処理するページがセキュア文書となるページであるか、それとも非セキュア文書となるページであるかを判断する。
フィールド６０９は、分散スキャンアプリケーション４０１の現在のステイタスを示す項目であり、分散スキャンアプリケーション４０１の現在の動作に関わるステイタスの内容が表示される。図６に示す例では、現在の動作に関わるステイタスが、スキャン中であることを示している。

図７は、ユーザが設定ボタン６０４を押下したときに表示されるユーザインターフェイスの一例を示した図である。ユーザは、このユーザインターフェイスを用いてセキュア文書の送信先を確定することができる。
フィールド７０１は、ユーザにより入力されるセキュア文書の送信先を表示する。
タッチキー７０２は、ユーザが所望の送信先を表す文字を入力するために使用される。タッチキー７０２で押下された文字が、フィール７０１に逐次表示される。ＯＫボタン７０３は、セキュア文書の送信先を確定するために使用される。ユーザがＯＫボタン７０３を押下することでセキュア文書の送信先が確定する。これと同時に、図６に示した画面のフィールド６０３に、確定したセキュア文書の送信先が表示される。キャンセルボタン７０４は、タッチキー７０２を用いて入力されたセキュア文書の送信先を無効にするために使用される。ユーザがキャンセルボタン７０４を押下することでセキュア文書の送信先が無効になる。

図８は、ユーザが設定ボタン６０６を押下したときに表示されるユーザインターフェイスの一例を示した図である。ユーザは、このユーザインターフェイスを用いて非セキュア文書の送信先を確定することができる。
フィールド８０１は、ユーザにより入力される非セキュア文書の送信先を表示する。
タッチキー８０２は、ユーザが所望の送信先を入力するために使用される。タッチキー８０２で押下された文字がフィールド８０１に逐次表示される。ＯＫボタン８０３は、非セキュア文書の送信先を確定するために使用される。ユーザがＯＫボタン８０３を押下することで非セキュア文書の送信先が確定する。これと同時に、図６に示した画面のフィールド６０５に、確定した非セキュア文書の送信先が表示される。キャンセルボタン８０４は、タッチキー８０２を用いて入力されたセキュア文書の送信先を無効にするために使用される。ユーザがキャンセルボタン８０４を押下することで非セキュア文書の送信先が無効になる。

図９は、ユーザがボタン６０７を押下したときに表示されるユーザインターフェイスの一例を示した図である。ユーザは、このユーザインターフェイスを用いてセキュア文書とするページを、単語を用いて指定する処理を確定することができる。
図９において、フィールド９０１は、ユーザが指定する単語を表示する。タッチキー９０２は、ユーザが所望の単語を入力するために使用される。タッチキー９０２で押下された文字がフィールド９０１に逐次表示される。

変換キー９０３は、ローマ字表記を漢字表記に変換する場合等、ユーザが文字の表記を変換するために使用されるキーである。かなキー９０４は、入力をすべて日本語で行う場合に使用されるキーである。確定キー９０５は、例えば変換キー９０３で変換された漢字を確定するために使用されるキーである。ＯＫボタン９０６は、フィールド９０１に表示された単語を確定するために使用される。ユーザがＯＫボタン９０６を押下することでユーザが指定した単語が確定する。キャンセルボタン９０７は、タッチキー９０２を用いて入力されたセキュア文書の送信先を無効にするために使用される。ユーザがキャンセルボタン９０７を押下することでユーザが指定した単語が無効になる。

図１０は、ユーザがボタン６０８を押下したときに表示されるユーザインターフェイスの一例を示した図である。ユーザは、このユーザインターフェイスを用いてセキュア文書とするページを、ページで指定する処理を確定することができる。
図１０において、フィールド１００１は、画像形成装置１００に装備された不図示のテンキーを用いて指定したページ番号を表示する領域である。

ＯＫボタン１００２は、フィールド１００１に表示されたページを確定するために使用される。ユーザがＯＫボタン１００２を押下することで、ユーザが指定したページが、セキュア文書とするページとして確定する。キャンセルボタン１００３は、フィールド１００１に入力されたページを無効にするために使用される。ユーザがキャンセルボタン１００３を押下することでユーザが指定したページは無効になる。

分散スキャンアプリケーション４０１は、図６に示した画面の表示時に、画像形成装置１００に標準で装備されるスタートキーがユーザによって押下される等して複写動作の実行が指示されると、処理の開始や各種パラメータの設定等を行うＡＰＩ３０６を順次呼び出す。このようにすることによって、コントローラ制御部３０２に機器制御コマンドが伝わり、この機器制御コマンドに対する応答を分散スキャンアプリケーション４０１が受けることができ、前述したページの分割動作が実行される。

図１１は、分割スキャンアプリケーション４０１によりセキュア文書と、非セキュア文書とに分割されたドキュメントの構造の一例を概念的に示した図である。図１１において、ユーザ文書１１０１は、リーダ部１０１でスキャンされた複数ページを含む原稿である。セキュア文書１１０２は、ユーザ文書１１０１から分割されたセキュア文書である。非セキュア文書１１０３は、ユーザ文書１１０１から分割された非セキュア文書を示している。セキュア文書と非セキュア文書は、ユーザ文書１１０１から分割されるが、分割されたページは相互に関連付けられており、特定の領域に非セキュア文書がある場合に限り、非セキュア文書からセキュア文書を参照することが可能になるようにしている。また、セキュア文書から非セキュア文書を参照することも可能である。

図１２は、図１１に示したセキュア文書と、非セキュア文書の文書構造の一例を概念的に示した図である。
図１２において、領域１２０１には、文書の開始を示す文書開始命令が格納される。領域１２０２には、１ページ目の開始を示す１ページ目開始命令が格納される。領域１２０３には、１ページ目の実体が格納される。例えば、領域１２０３には、ユーザ文書１１０１の１ページ目の画像データが格納される。

領域１２０４には、２ページ目の開始を示す２ページ目開始命令が格納される。領域１２０５には、２ページ目の実体が格納される。例えば、領域１２０４には、ユーザ文書１１０１の２ページ目の画像データが格納される。このような文書構造は、任意のページ数分繰り返される。そして、領域１２０６には文書終了命令が格納される。

図１３は、セキュア文書１１０２及び非セキュア文書１１０３のそれぞれの文書構造の一例を示している。
ここでは、ユーザ文書１１０１において、１ページ目がセキュア文書となるページ、２ページ目が非セキュア文書と成るページの場合を例に挙げて、ページを分割する方法の一例を説明する。

図１３において、領域１３０３は、１ページ目の画像データ１２０３が格納される領域である。すなわち、領域１３０３には、１ページ目の実体が格納されていて、例えばこの領域１３０３には、１ページ目の実体を示す画像データ列が格納されている。
領域１３０４には、セキュア文書の１ページ目を参照する参照命令が格納されている。この参照命令による参照先は、セキュア文書の１ページ目の実体が格納されている領域１３０３である。

領域１３０５には、非セキュア文書の２ページ目を参照する参照命令が格納されている。この参照命令による参照先は、非セキュア文書の２ページ目の実体が格納されている領域１３０６である。領域１３０６には、非セキュア文書の２ページ目の実体を示す画像データが格納されている。

次に、図１４のフローチャートを参照しながら、本実施形態の分散スキャンアプリケーション４０１により実行される処理の一例を説明する。
まず、ユーザは、図６〜図８に示したユーザインターフェイスを用いて、原稿がスキャンされた後に分割されたセキュア文書と、非セキュア文書の送信先をそれぞれ指定する。そして、ユーザは、ボタン６０７、６０８の何れかを選択した後、図９、図１０に示したユーザインターフェイスを用いて、ページを分割する方法（以下、必要に応じてページ分割方法と称する）を指定し、不図示のスキャン開始ボタンを押下する。そうすると、分散スキャンアプリケーション４０１による処理が開始する。

まず、スキャン制御部５０１は、ＡＰＩ３０６を介して１ページ目のスキャンを開始し（ステップＳ１４０１）、スキャン済みの画像データを取得する（ステップＳ１４０２）。次に、分割判断部５０２は、ユーザにより指定されたページ分割方法に関する情報に従い、図１５を用いて後述する方法に従って本ページがセキュア文書となるページか、非セキュア文書となるページかを判断する（ステップＳ１４０３）。ここで本ページがセキュア文書となるページと判断された場合には（ステップＳ１４０４のＹＥＳ）、ページ生成部５０３は、セキュア文書１１０２を作成する（ステップＳ１４０５）。

一方、本ページが非セキュア文書となるページと判断された場合には（ステップＳ１４０４のＮＯ）、ページ生成部５０３は、非セキュア文書１１０３を作成する（ステップＳ１４０６）。こうしてセキュア文書１１０２及び非セキュア文書１１０３が作成されると、スキャン制御部５０１は、全ページのスキャンが終了したか否かを判断する（ステップＳ１４０７）。

この判断の結果、全ページのスキャンが終了した場合には（ステップＳ１４０７のＹＥＳ）、出力管理部５０４は、作成されたセキュア文書１１０２と非セキュア文書１１０３を、それぞれユーザにより指定された送信先へ送信する（ステップＳ１４０８、Ｓ１４０９）。
一方、全ページのスキャンが終了していない場合には（ステップＳ１４０７のＮＯ）、全ページのスキャンが終了するまでステップＳ１４０２〜Ｓ１４０７を繰り返す。

図１５は、図１４のステップＳ１４０３におけるページ分割方法判断処理の一例を説明するフローチャートである。
図６に示した画面（ユーザインターフェイス）のボタン６０７、６０８のユーザの操作に基づき、セキュア文書となるページの指定方法が、単語を用いて指定する"単語指定"か、それともページで指定する"ページ指定"かを判断する（ステップＳ１５０１）。

この判断の結果、セキュア文書となるページの指定方法として単語指定が選択されたと判断した場合、スキャンされた画像から単語を抽出する処理を行う（ステップＳ１５０２）。一般的に、この単語を抽出する処理は、例えば、画像形成装置１００が有するＯＣＲ（Ｏｐｔｉｃａｌ Ｃｈａｒａｃｔｏｒ Ｒｅａｄｅｒ）機能を用いることにより実現される。

そして、この単語を抽出する処理により抽出された単語列の１つと、図９に示した画面（ユーザインターフェイス）を用いてユーザにより指定された単語とが一致するか否かを判断する（ステップＳ１５０３）。この判断の結果、この単語を抽出する処理により抽出された単語列の１つと、図９に示した画面を用いてユーザにより指定された単語とが一致した場合には、本ページはセキュアページと判断する（ステップＳ１５０５）。一方、一致しなかった場合には、本ページは非セキュアページと判断する（ステップＳ１５０６）。

前記ステップＳ１５０１において、セキュア文書となるページの指定方法としてページ指定が選択されたと判断された場合、本ページの番号が、図１０に示した画面を用いてユーザにより指定されたページの番号と同じか否かを判断する（ステップＳ１５０４）。この判断の結果、ページの番号が同じであると判断された場合（ステップＳ１５０４のＹＥＳ）、本ページはセキュアページと判断する（ステップＳ１５０５）。一方、ページの番号が同じでないと判断された場合（ステップＳ１５０４のＮＯ）、本ページは非セキュアページと判断する（ステップＳ１５０６）。

なお、本実施形態では、単語指定と、ページ指定とを行って、図１５に示したページ分割方法判断処理を行うようにしているが、セキュア文書として分割するページを判断する方法は、他の方法であっても実現可能である。

次に、図６、図９、図１３、図１４、図１５、図１６を用いて本実施形態の具体例について詳細に説明する。
例えば、ユーザが図１６のような原稿をリーダ部１０１にセットし、図６に示すようにして分散スキャンアプリケーション４０１を設定したものとする。
図１６において、１ページ目のデータ１６０１には"Ｃｏｎｆｉｄｅｎｔｉａｌ"という文字が含まれている。これに対し、２ページ目のデータ１６０２には"Ｃｏｎｆｉｄｅｎｔｉａｌ"という文字が含まれていない。

図６において、フィールド６０３に表示されるセキュア文書１１０２の送信先には、情報処理装置１１１内のファイルが指定され、フィールド６０５に表示される非セキュア文書の送信先には情報処理装置１１２内のファイルが指定されているものとする。さらにユーザは、図６において、セキュア文書となるページを指定する方法として、単語指定を選択したものとし、図９においてフィールド９０１に、"Ｃｏｎｆｉｄｅｎｄｅｎｔｉａｌ"という単語を入力したものとする。

このとき、ユーザが、不図示のスキャン開始ボタンを押下することで、分散スキャンアプリケーション４０１による処理が開始される。
前述したように、スキャン制御部５０１はＡＰＩ３０６を介して１ページ目のデータ１６０１のスキャンを開始し（ステップＳ１４０１）、スキャン済みの画像データを取得する（ステップＳ１４０２）。

次に、分割判断部５０２は、セキュア文書となるページの指定方法が、単語を用いて指定する"単語指定"か、それともページで指定する"ページ指定"かを判断する（ステップＳ１５０１）。ここでは単語指定が選択されているので、スキャンされた１ページ目の画像データから単語を抽出する処理を行う。図１６に示すように、原稿の１ページ目からは"Ｃｏｎｆｉｄｅｎｔｉａｌ"という文字が抽出され、この単語と、図９に示した画面を用いてユーザにより指定された単語とが一致するので、本ページはセキュアページと判断される（ステップＳ１５０５）。

つまり、図１４のステップＳ１４０４において、原稿の１ページ目はセキュア文書となるページであると判断され（ステップＳ１４０４のＹＥＳ）、セキュア文書内にページ情報が作成される。この時点では全ページのスキャンが終了していないため（ステップＳ１４０７のＮＯ）、２ページ目の画像データを取得する（ステップＳ１４０２）。

セキュア文書となるページの指定方法として単語指定が選択されているので（図１５のステップＳ１５０１）、スキャンされた２ページ目の画像データから単語を抽出する処理を行う。図１６に示すように、原稿の２ページ目からは"Ｃｏｎｆｉｄｅｎｔｉａｌ"という文字は抽出されないので、本ページは非セキュアページと判断される（ステップＳ１５０６）。

つまり、図１４のステップＳ１４０４において、原稿の２ページ目は非セキュア文書となるページと判断され（ステップＳ１４０４のＮＯ）、非セキュア文書内にページ情報が作成される。これにより全ページのスキャンが終了したため（ステップＳ１４０７のＹＥＳ）、出力管理部５０３は、ステップＳ１４０５にて作成されたセキュア文書を、図６に示した画面のフィールド６０３で指定された情報処理装置１１１に出力する（ステップＳ１４０８）。これによりセキュア文書は、情報処理装置１１１に保存される。

次に、出力管理部５０３は、ステップＳ１４０６にて作成された非セキュア文書を、図６に示した画面のフィールド６０５で指定された情報処理装置１１２に出力する（ステップＳ１４０９）。これにより非セキュア文書は、情報処理装置１１２に保存される。

また、このとき分割されたセキュア文書と、非セキュア文書は、図１３に示したようになっている。
つまり、１ページ目の"Ｃｏｎｆｉｄｅｎｔｉａｌ"という文字列を含むセキュア文書のページは、セキュア文書１１０２として保存され、領域１３０３に１ページ目の実体がある。２ページ目は非セキュア文書となるページであるため、領域１３０５には、非セキュア文書の２ページ目を参照する参照命令がある。一方、２ページ目の"Ｃｏｎｆｉｄｅｎｔｉａｌ"という文字列を含まない非セキュア文書のページは、非セキュア文書１１０３として保存され、領域１３０６に２ページ目の実体がある。１ページ目はセキュア文書となるページであるため、領域１３０４には、セキュア文書の１ページ目を参照する参照命令がある。

つまり、本実施形態によれば、読み取られた原稿の画像データを、セキュア文書と非セキュア文書とに分割し、ユーザが画像形成装置１００上のユーザインターフェイスで指定した別々の場所にセキュア文書と、非セキュア文書とをそれぞれ格納する。このようにして格納される非セキュア文書には、セキュアなページの実体は含まれていない。このため、セキュア文書が参照できる場所に非セキュア文書がある場合にのみ非セキュア文書からセキュア文書の各ページを参照することができる。つまり、参照するネットワークを制限することができる。

このように、セキュア文書を参照することが制限されたネットワークにある非セキュア文書からセキュア文書を参照することはできないので、例えば、非セキュア文書がインターネット網１１０等の広域ネットワークに流出してしまったとしても、機密情報の流出を防止することができる。一方、非セキュア文書にはセキュア文書のページへの参照が付随しているので、セキュア文書を参照することが制限されていない領域に非セキュア文書がある場合には、その非セキュア文書からセキュア文書の各ページを閲覧することができる。

また、機密情報として管理するファイルは、セキュア文書によるものだけとなり、文書全体を機密情報として管理する場合よりも、機密情報として管理するファイルの容量を小さくすることができる。
以上により、機密情報を確実に保護することと、容易に管理することとを両立させることができる。

なお、図６に示したユーザインターフェイスにおいてユーザがページ指定を選択し、図１０に示したユーザインターフェイスにおいてユーザが１ページ目を選択した場合にも前述したのと同様の結果、効果が得られることは言うまでもない。

また、本実施形態では、図６に示したユーザインターフェイスを表示し、リーダ部１０１でスキャンされたジョブが発生する度に分散アプリケーション４０１をその都度実行した。しかしながら、必ずしもこのようにする必要はない。例えば、画像形成装置１００の設定を固定にする管理者モードで、システム管理者が本実施形態で示した設定を予め行い、画像形成処理装置１００を使用する全てのユーザ、及びスキャンされた全ての連続するジョブに対して本実施形態の手法を適用できることは言うまでもない。

（第２の実施形態）
次に、本発明の第２の実施形態について説明する。
前述した実施形態では、セキュア文書及び非セキュア文書を、インターネット網１１０に接続されている情報処理装置１１２と、イントラネットに接続されている情報処理装置１１１に送信して保存するようにした。

これに対し、本実施形態では、ファイヤーウォールを用いてイントラネットに接続されている画像形成装置や、情報処理装置を保護し、非セキュア文書をイントラネットに接続されている情報処理装置でのみ閲覧することができるようにしている。さらに、セキュア文書については画像形成装置内の着脱可能な記憶装置に記憶させ、非セキュア文書については画像形成装置内の着脱不可能な固定の記憶装置に記憶させるようにしている。このように、本実施形態と第１の実施形態とでは、セキュア文書の作成方法と保存場所とが異なるだけであるので、以下の説明において、前述した第１の実施形態と同一の部分についての詳細な説明を省略する。

図１７は、本実施形態の画像形成装置と、コンピュータとを含むシステムの構成の一例を示すブロック図である。
図１７において、画像形成装置１７０のハードウェアの構成は、記憶装置１０９ｂの代わりに記憶装置１０９ｃを備えている点が、図１に示した第１の実施形態の画像形成装置１００と異なる。本実施形態の画像形成装置１７０が備えている記憶装置１０９ｃは、着脱可能な記憶装置（リムーバル記憶装置）である。具体的に記憶装置１０９ｃは、例えば、ｉＶＤＲ（Information Versatile Disk for Removable usage）規格に基づくリムーバブルハードディスクや、フラッシュメモリ等を用いることにより実現することができる。

このような画像形成装置１７０と、情報処理装置１７１は、イントラネット１７４に接続されている。このイントラネット１７４と、外部のインターネット網１７６との接点には、ファイヤーウォール専用機１７５が設けられている。このファイヤーウォール専用機１７５は、イントラネット１７４に接続された画像形成装置１７０や情報処理装置１７１等の機器に、外部から侵入されてしまうことを防ぐためのファイヤーウォールとしての機能を有するコンピュータである。

一方、インターネット網１７６には、情報処理装置１７２が接続されている。なお、情報処理装置１７１、１７２は、前述した第１の実施形態と同様に、例えば、ワークステーション（ＷＳ）、又は標準的なパーソナルコンピュータ（ＰＣ）を用いることで実現することができる。

図１８は、本実施形態の画像形成装置１７０におけるＮａｔｉｖｅ部と仮想アプリ部との関係の一例を概念的に示した図である。
Ｎａｔｉｖｅ部１７０ａは、画像形成装置１７０が標準で備える機能を実現するためのものである。Ｎａｔｉｖｅ部１７０ａは、リーダ部１０１と、ＮａｔｉｖｅＡＰＩ１８０２と、コントローラ制御部３０２とを有している。

リーダ部１０１は、画像形成装置１７０にセットされた原稿をスキャンして、原稿の画像を読み取る。ＮａｔｉｖｅＡＰＩ１８０２は、仮想アプリ部１７０ｂから、リーダ部１０１に対する原稿読み取り指示を入力すると、その原稿読み取り指示に応答して、コントローラ制御部３０２にアクセスするための処理を行う。また、リーダ部１０１で読み取られた原稿の画像データを、仮想アプリ部１７０に出力する。
コントローラ制御部３０２は、ＮａｔｉｖｅＡＰＩ１８０２からのアクセスがあると、リーダ部１０１を制御して、リーダ部１０１に原稿の画像を読み取らせる。そして、読み取られた原稿の画像データを、ＮａｔｉｖｅＡＰＩ１８０２に出力する。

仮想アプリ部１７０ｂは、例えば、外部からインストールされることにより画像形成装置１７０に追加された機能を実現するためのものである。仮想アプリ部１７０ｂは、セキュアスキャンアプリケーション１８０３と、ページ生成モジュール１８０４と、ＭｅａｐＡＰＩ１８０５と、ネットワーク制御部１０６と、ディスク制御部１０８とを有している。
セキュアスキャンアプリケーション１８０３は、外部から画像形成装置１７０にインストールされたものである。このセキュアスキャンアプリケーション１８０３は、図１９に示すようなユーザインターフェイスに入力された内容に従って、例えば以下のような処理を行う。
セキュアスキャンアプリケーション１８０３は、ＭｅａｐＡＰＩ１８０５に原稿読み取り指示を出力する。これによりＭｅａｐＡＰＩ１８０５から原稿読み取り指示がＮａｔｉｖｅ部１７０ａに出力される。

また、セキュアスキャンアプリケーション１８０３は、Ｎａｔｉｖｅ部１７０ａで読み取られた原稿の画像データを、汎用電子ドキュメントフォーマットへ変換する。ここでは、汎用電子ドキュメントフォーマットの一例であるＰＤＦに、原稿の画像データを変換するものとする。そして、セキュアスキャンアプリケーション１８０３は、Ｎａｔｉｖｅ部１７０ａで読み取られた原稿の各ページの画像データから、どのページをセキュア文書として分割するのかを判断する。

この判断の結果に基づいて、セキュアスキャンアプリケーション１８０３は、元の原稿の画像データから、セキュア文書となるページの画像データを抽出し、抽出した画像データの暗号化指示をページ生成モジュール１８０４に行う。ページ生成モジュール１８０４は、その暗号化指示に基づいて、セキュア文書となるページの画像データを、例えば内部に保持している暗号鍵を使用する等して暗号化する。これにより、セキュア文書となるページの画像データは、暗号化されたＰＤＦデータとなる。これにより、暗号化されたＰＤＦデータは、前記暗号鍵に対応する復号鍵を有している機器でしか復号化することができないようになる。

そして、セキュアスキャンアプリケーション１８０３は、暗号化されたＰＤＦデータ（セキュア文書となるページの画像データ）を、ＭｅａｐＡＰＩ１８０５に出力する。そうすると、ＭｅａｐＡＰＩ１８０５は、図１９に示すユーザインターフェイスによって指示された送信先に、暗号化されたＰＤＦデータを出力するための処理を行う。本実施形態では、暗号化されたＰＤＦデータは、リムーバル記憶装置１０９ｃに記憶される。したがって、ＭｅａｐＡＰＩ１８０５は、暗号化されたＰＤＦデータをディスク制御部１０８に出力する。

また、セキュアスキャンアプリケーション１８０３は、非セキュア文書となるページの画像データの生成指示をページ生成モジュール１８０４に送る。そして、セキュアスキャンアプリケーション１８０３は、生成された画象データを、ＭｅａｐＡＰＩ１８０５に出力する。そうすると、ＭｅａｐＡＰＩ１８０５は、図１９に示すユーザインターフェイスによって指示された送信先に、非セキュア文書となるページの画像データを出力するための処理を行う。本実施形態では、非セキュア文書となるページの画像データは、情報処理装置１７１又は記憶装置１０９ａに記憶される。したがって、ＭｅａｐＡＰＩ１８０５は、非セキュア文書となるページの画像データを、ネットワーク処理部１０６又はディスク制御部１０８に出力する。

図１９は、本実施形態の画像形成装置１７０の操作部１０２に表示される画面（ユーザインターフェイス）の一例を示す図である。図１９に示す画面（ユーザインターフェイス）は、セキュアスキャンアプリケーション１８０３を実行するためのものである。なお、この画面はタッチパネルとなっており、ユーザがそれぞれ表示される機能の枠内を触れることにより、その機能が実行される。

アプリケーション選択キー１９０１は、セキュアスキャンアプリケーションをユーザが選択するものである。このアプリケーション選択キー１９０１がユーザにより押下されると、図１９に示すようなセキュアスキャンアプリケーションの設定画面１９０２が表示される。
フィールド１９０３は、セキュア文書の送信先を指定するフィールドである。設定ボタン１９０４は、フィールド１９０３でセキュア文書の送信先を指定するためのユーザインターフェイスを呼び出す際にユーザが押下するボタンである。このセキュア文書の送信先を指定するためのユーザインターフェイスは、例えば図７に示したものになる。なお、図１９に示した例では、セキュア文書の送信先としてリムーバブル記憶装置１０９ｃが指定されている場合を示している。

フィールド１９０５は、非セキュア文書の送信先を指定するフィールドである。設定ボタン１９０６は、フィールド１９０５で非セキュア文書の送信先を指定するためのユーザインターフェイスを呼び出す際にユーザが押下するボタンである。この非セキュア文書の送信先を指定するためのユーザインターフェイスは、例えば図８に示したものになる。なお、図１９に示した例では、非セキュア文書の送信先として情報処理装置１７１が指定されている場合を示している。
ボタン１９０７、１９０８は、セキュア文書となるページの判断方法を指定するためのボタンであって、どちらか一方がユーザにより選択される。この選択された結果を示す情報に基づいて、セキュアスキャンアプリケーション１８０３は、処理するページがセキュア文書となるページであるか、それとも非セキュア文書となるページであるかを判断する。

ボタン１９０７が押下された場合には、セキュア文書とするページが、自動的に指定される。具体的に説明すると、例えば、予め定められている単語（例えば、社外秘、マル秘、Ｃｏｎｆｉｄｅｎｔｉａｌ）があるページをセキュア文書とするページであると判断したり、マーカが付されているページをセキュア文書とするページであると判断したりする。
ボタン１９０８が押下された場合には、第１の実施形態のボタン６０８（図６を参照）が押下された場合と同様に、セキュア文書とするページが、ページで指定される。

フィールド１９０９は、セキュアスキャンアプリケーション１８０３の現在のステイタスを示す項目であり、セキュアスキャンアプリケーション１８０３の現在の動作に関わるステイタスの内容が表示される。図１９に示す例では、現在の動作に関わるステイタスが、スキャン中であることを示している。

図２０（ａ）にセキュア文書の文書構造を、図２０（ｂ）に非セキュア文書の文書構造の一例を示す。図２０では、原稿が３ページからなり、１ページ目と、２ページ目がセキュア文書となるページであり、３ページ目が非セキュア文書となるページである場合を例に挙げて示している。第１の実施形態で説明したように、セキュア文書と非セキュア文書とは関連付けられており、セキュア文書から非セキュア文書を参照することも、非セキュア文書からセキュア文書を参照することも可能である。
本実施形態では、図２０（ａ）に示すセキュア文書２００１がリムーバブル記憶装置１０９ｃに記憶され、図２０（ｂ）に示す非セキュア文書２００２が情報処理装置１７１に記憶される。

次に、図２１のフローチャートを参照しながら、本実施形態のセキュアスキャンアプリケーション１８０３により実行される処理の一例を説明する。
まず、ユーザは、図１９に示したユーザインターフェイスを用いて、原稿がスキャンされた後に分割されたセキュア文書と、非セキュア文書の送信先をそれぞれ指定する。そして、ユーザは、ボタン１９０７、１９０８の何れかを選択する等してページ分割方法を指定し、不図示のスキャン開始ボタンを押下する。そうすると、セキュアスキャンアプリケーション１８０３による処理が開始し、原稿のスキャンが開始する。

そうすると、空の非セキュア文書と、空のセキュア文書とを作成し（ステップＳ２１０１、Ｓ２１０２）、スキャン済みの画像データを取得し、取得した画像データを例えばＰＤＦデータに変換する（ステップＳ２１０３）。次に、ユーザにより指定されたページ分割方法に関する情報に従い、本ページがセキュア文書となるページか非セキュア文書となるページかを判断する（ステップＳ２１０４）。ここで、本ページがセキュア文書となるページと判断された場合には（ステップＳ２１０４のＹＥＳ）、ページ生成モジュール１８０４にそのページのＰＤＦデータの暗号化を依頼する。そして、暗号化されたＰＤＦデータをステップＳ２１０２で作成したセキュア文書にマージ（ｍｅｒｇｅ）する（ステップＳ２１０５）。

次に、ステップＳ２１０１で作成した非セキュア文書に、ステップＳ２１０５でマージしたＰＤＦデータを参照するためのセキュア文書リンク情報を埋め込む（ステップＳ２１０６）。
一方、本ページが非セキュア文書となるページと判断された場合には（ステップＳ２１０４のＮＯ）、ステップＳ２１０１で作成した非セキュア文書に、そのページのＰＤＦデータをマージする（ステップＳ２１０７）。

こうして、セキュア文書及び非セキュア文書にＰＤＬデータをマージすると、全ページのスキャンが終了したか否かを判断する（ステップＳ２１０８）。この判断の結果、全ページのスキャンが終了した場合には（ステップＳ２１０８のＹＥＳ）、セキュア文書と非セキュア文書を、それぞれユーザにより指定された送信先へ送信する（ステップＳ２１０９、Ｓ２１１０）。
一方、全ページのスキャンが終了していない場合には（ステップＳ２１０８のＮＯ）、全ページのスキャンが終了するまでステップＳ２１０３〜Ｓ２１０８を繰り返す。

以上のように本実施形態では、セキュア文書を、画像形成装置１７０から取り外すことが可能なリムーバブル記憶装置１０９ｃに記憶するようにした。これにより、前述した第１の実施形態の効果に加え、例えばセキュリティに厳格な金融機関や公官庁等では、アクセスが必要なとき以外（例えば定時後）には、このリムーバブル記憶装置１０９ｃを取り外して金庫等に安全に保存することができるという効果が得られる。

また、セキュア文書及び非セキュア文書を、ファイヤーウォール専用機１７５で保護されているイントラネット１７４に接続されている機器にのみ送信するようにすると共に、セキュア文書を暗号化して保存するようにした。これにより、セキュア文書をより一層確実に保護することができる。ただし、セキュア文書の安全性が確保される場合には、必ずしもセキュア文書を暗号化する必要はない。

なお、セキュア文書を格納するリムーバブル記憶装置１０９ｃを耐タンパー性の高い記憶装置とするのが好ましい。ここで、耐タンパー性とは、非正規な手段による機密情報の読み取りを防ぐ能力を言い、耐タンパー性が高い程、記憶装置の内部構造や記憶しているデータなどの解析が困難になる。耐タンパー性を高める方法としては、外部から読み取りを困難にして機密性を高める方法と、外部から読み取ろうとするとプログラムやデータが破壊されてしまう機構を設ける方法とがある。

前者の例としては、プログラム自体を HYPERLINK "http://e-words.jp/w/E69A97E58FB7E58C96.html" 暗号化しておき、実行時に必要な分だけ復号して実行するソフトウェアなどがある。また、後者の例としては、 HYPERLINK "http://e-words.jp/w/E38381E38383E38397.html" チップ表面が空気に触れると記録内容が消滅する HYPERLINK "http://e-words.jp/w/E383A1E383A2E383AAE38381E38383E38397.html" メモリチップや、信号を読み出すプローブを取り付けると動作できなくなる回路などがある。
このようにリムーバブル記憶装置１０９ｃを耐タンパー性の高い記憶装置とすれば、例えば、リムーバブル記憶装置１０９ｃが金庫等から盗まれても、セキュア文書の解読を不能にすることが可能になる。

また、前述した各実施形態では、セキュア文書にするか、非セキュア文書にするかをページ毎に判断して分割するようにしたが、１ページの文書を分割するようにしてもよい。例えば、図２２に示すように、１ページの文書２２０１を、リムーバブル記憶装置１０９ｃに保存する保存用セキュアページ２２０２と、情報処理装置１７１等に配布する配布用非セキュアページ２２０３とに分割するようにしてもよい。具体的には、例えば、１ページの文書２２０１に記載されている所定の文字等から、保存用セキュアページ２２０２とする領域と、配布用非セキュアページ２２０３とする領域とを判別するようにすればよい。このようにした場合であっても、前述した各実施形態と同様に、保存用セキュアページ２２０２を参照することが制限されていない場合には配布用非セキュアページ２２０３から配布用非セキュアページ２２０３を参照することができるようにする。

（第３の実施形態）
前述した第１の実施形態では、スキャンした原稿をセキュア部分と非セキュア部分に分割し、セキュア文書と非セキュア文書を作成する例を示したが、電子文書自体をその電子文書に付属するセキュリティ情報に基づいて分割するような文書管理装置で構成しても良い。あるいは単数または複数のコンピュータで構成される文書管理システムで構成しても良い。
ここで電子文書とはＡｄｏｂｅ社のＡｄｏｂｅ Ｒｅａｄｅｒ（登録商標）やＡｃｒｏｂａｔ（登録商標）で扱うＰＤＦファイルが代表的な電子文書の代表的な例である。

この電子文書は、複数ページの文書や複数のオブジェクトで構成されている。ここでオブジェクトとは各ページを構成するテキストや画像などのページを構成するパーツを指している。電子文書の構造自体は、ページ単位で管理してもオブジェクト単位で管理しても階層構造の管理の違いだけなのでどちらでも良い。つまりページ単位で管理する場合は、各ページにどのオブジェクトが配置されるか記述する。オブジェクト単位で管理する場合、オブジェクトは、例えばテキスト・画像などのオブジェクト種別で管理され、各オブジェクトに各ページ上での配置位置が記述される。

この複数ページまたは複数オブジェクトからなる電子文書は、文書管理装置／文書管理システムにファイルとして入力される。電子文書は、外部のファイルサーバ等からネットワーク経由でファイルのコピーやダウンロードしたファイル、スキャナから入力した画像をスキャナ用ソフトウェアでＰＤＦ化したファイル、ＵＳＢ等のインターフェースを介してＵＳＢメモリなどからコピー・移動するファイルなど、様々な形態で入力可能である。これは通常のＷｉｎｄｏｗｓ（登録商標）などの一般的なＯＳ上にファイルを入力する場合と同じであり、電子文書ファイルの入力方法であればどのような手段であっても良い。

次に、電子文書に付属するセキュリティ情報について説明する。セキュリティ情報は電子文書の属性情報の１つとして記述される。セキュリティ情報の記述形態としては、電子文書の属性ファイルに各ページや各オブジェクトについてのセキュア属性／非セキュア属性を一括して記述する形態が挙げられる。あるいは電子文書内の各ページに属性情報を持ち、そこにセキュア属性／非セキュア属性を記述する形態も挙げられる。さらに、電子文書内の各オブジェクトに属性情報を持ち、そこにセキュア属性／非セキュア属性を記述する場合も挙げられる。

文書管理装置／文書管理システムは、装置／システム内に電子文書ファイルを開く為のアプリケーションを持つ。ＰＤＦファイルであればＡｄｏｂｅ ＲｅａｄｅｒやＡｃｒｏｂａｔなどのＰＤＦファイルを開けるアプリケーションプログラムがこれに該当する。ここで電子文書ファイル開くとは、電子文書を閲覧、編集、あるいは印刷可能な状態にすることを意味する。この閲覧、編集、印刷は人間自体が介在するものであっても良いし、コンピュータの内部的な処理の為のサービスとして実行するものでも良い。

文書管理装置／文書管理システムは、電子文書ファイルを開く事によって上記の電子文書ファイルに付属するセキュリティ情報を判別する。あるいはファイルのプロパティのコメント行にセキュリティ情報を記述するようにしてもよく、この場合、セキュリティ情報は、文書ファイルを開かなくてもコンピュータのＯＳで認識できる情報となる。

電子文書をファイルとして開いた後は、属性情報に従ってページ毎あるいはオブジェクト単位でセキュア部分と非セキュア部分に分割し、セキュア部分で構成されるセキュア文書と非セキュア部分で構成される非セキュア文書を作成する。以下の処理は第１の実施形態と同様なので以下説明を省略する。

なお、セキュア文書と非セキュア文書は、セキュアページのみをセキュア文書とし、非セキュアページのみを非セキュア文書として構成しても良い。あるいはオブジェクト単位でセキュア部分と非セキュア部分とを分割する場合は、セキュアオブジェクトのみが文書の各ページに配置されたセキュア文書と、非セキュアオブジェクトのみが文書の各ページに配置された非セキュア文書で構成しても良い。

（本発明の他の実施形態）
本実施形態における、図１４、図１５、図２１などに示す処理は、外部からインストールされるプログラムによって、画像形成装置により遂行される。そして、その場合、ＣＤ−ＲＯＭやフラッシュメモリやＦＤ等の記憶媒体により、あるいはネットワークを介して外部の記憶媒体から、プログラムを含む情報群を外部コンピュータから供給される場合でも本発明は適用されるものである。

以上のように、前述した各実施形態の機能を実現するソフトウェアのプログラムコードを記録した記憶媒体を、システムあるいは装置に供給し、又は、外部サーバ（図示省略）からダウンロードすることで、そのシステムあるいは装置の制御部（ＣＰＵやＭＰＵ）が記憶媒体に格納されたプログラムコードを読出し実行することによっても、本発明の目的が達成されることは言うまでもない。

この場合、記憶媒体から読み出されたプログラムコード自体が本発明の新規な機能を実現することになり、そのプログラムコードを記憶した記憶媒体は本発明を構成することになる。プログラムコードを供給するための記憶媒体としては、たとえば、フロッピィーディスク、ハードディスク、光ディスク、光磁気ディスク、ＤＶＤ、ＣＤ−ＲＯＭ、磁気テープ、不揮発性のメモリカード、ＲＯＭ、ＥＥＰＲＯＭ等を用いることができる。

また、ＣＰＵが読み出したプログラムコードを実行することにより、前述した実施形態の機能が実現されるだけでなく、そのプログラムコードの指示に基づき、画像形成装置上で稼働しているＯＳ（オペレーティングシステム）等が実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。さらに、記憶媒体から読み出されたプログラムコードが、画像形成装置に挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵ等が実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。

なお、前述した各実施形態は、何れも本発明を実施するにあたっての具体化の例を示したものに過ぎず、これらによって本発明の技術的範囲が限定的に解釈されてはならないものである。すなわち、本発明はその技術思想、またはその主要な特徴から逸脱することなく、様々な形で実施することができる。

本発明の第１の実施形態を示し、画像形成装置と、コンピュータとを含むシステムの構成の一例を示すブロック図である。 本発明の第１の実施形態を示し、画像形成装置におけるコア部の構成の一例を示すブロック図である。 本発明の第１の実施形態を示し、画像形成装置のコア部（メモリ）に記憶された制御プログラムのソフトウェア構造の一例を概念的に示した図である。 本発明の第１の実施形態を示し、追加アプリケーションとして、分散スキャンアプリケーションがロードされた状態における制御プログラムのソフトウェア構造の一例を概念的に示した図である。 本発明の第１の実施形態を示し、分散スキャンアプリケーションにおけるソフトウェア構造の一例を示した図である。 本発明の第１の実施形態を示し、画像形成装置の操作部に表示される画面（ユーザインターフェイス）の一例を示す図である。 本発明の第１の実施形態を示し、セキュア文書の送信先を設定する設定ボタンをユーザが押下したときに表示されるユーザインターフェイスの一例を示した図である。 本発明の第１の実施形態を示し、非セキュア文書の送信先を設定する設定ボタンをユーザが押下したときに表示されるユーザインターフェイスの一例を示した図である。 本発明の第１の実施形態を示し、セキュア文書とするページを、単語を用いて指定するボタンをユーザが押下したときに表示されるユーザインターフェイスの一例を示した図である。 本発明の第１の実施形態を示し、セキュア文書とするページを、ページで指定するボタンをユーザが押下したときに表示されるユーザインターフェイスの一例を示した図である。 本発明の第１の実施形態を示し、分割スキャンアプリケーションによりセキュア文書と、非セキュア文書とに分割されたドキュメントの構造の一例を概念的に示した図である。 本発明の第１の実施形態を示し、図１１に示したセキュア文書と、非セキュア文書の文書構造の一例を概念的に示した図である。 本発明の第１の実施形態を示し、セキュア文書及び非セキュア文書のそれぞれの文書構造の一例を示した図である。 本発明の第１の実施形態を示し、分散スキャンアプリケーションにより実行される処理の一例を説明するフローチャートである。 本発明の第１の実施形態を示し、ページ分割方法判断処理の一例を説明するフローチャートである。 本発明の第１の実施形態を示し、セキュア文書及び非セキュア文書の具体例を示した図である。 本発明の第２の実施形態を示し、画像形成装置と、コンピュータとを含むシステムの構成の一例を示すブロック図である。 本発明の第２の実施形態を示し、画像形成装置におけるＮａｔｉｖｅ部と仮想アプリ部との関係の一例を概念的に示した図である。 本発明の第２の実施形態を示し、画像形成装置の操作部に表示される画面（ユーザインターフェイス）の一例を示す図である。 本発明の第２の実施形態を示し、セキュア文書及び非セキュア文書のそれぞれの文書構造の一例を示した図である。 本発明の第２の実施形態を示し、セキュアスキャンアプリケーション１８０３により実行される処理の一例を説明するフローチャートである。 本発明の実施形態を示し、１ページの文書から、保存用セキュアページと配布用非セキュアページとに分割されたドキュメントの構造の一例を概念的に示した図である。

符号の説明

１００、１７０ 画像形成装置
１０５ コア部
１０９ａ、１０９ｂ 記憶装置
１０９ｃ リムーバブル記憶装置
１１０ インターネット網
１１１、１１２、１７１、１７２ 情報処理装置
１７４ イントラネット
４０１ 分散スキャンアプリケーション
５０１ スキャン制御部
５０２ 分割判断部
５０３ ページ生成部
５０４ 出力管理部

Claims (36)

1. 原稿の画像データを読み取る読み取り手段と、
   前記読み取り手段により読み取られた原稿の画像データを、機密とするセキュアな部分と、機密としない非セキュアな部分とに分割する分割手段とを有することを特徴とする画像処理装置。
2. 前記分割手段により分割されたセキュアな部分を用いてセキュア文書を作成するセキュア文書作成手段と、
   前記分割手段により分割された非セキュアな部分を用いて非セキュア文書を作成する非セキュア文書作成手段と、
   前記セキュア文書作成手段により作成されたセキュア文書と、前記非セキュア文書作成手段により作成された非セキュア文書とを記憶装置に記憶させる記憶手段とを有することを特徴とする請求項１に記載の画像処理装置。
3. 前記記憶手段は、前記セキュア文書作成手段により作成されたセキュア文書と、前記非セキュア文書作成手段により作成された非セキュア文書とを別々の記憶装置に記憶させることを特徴とする請求項２に記載の画像処理装置。
4. 前記記憶手段は、前記セキュア文書を記憶する記憶装置であって、画像処理装置から取り外すことが可能なリムーバブル記憶装置に、前記セキュア文書を記憶させることを特徴とする請求項２または３に記載の画像処理装置。
5. 前記非セキュア文書を記憶する記憶装置であって、前記リムーバブルディスクと物理的に異なる記憶装置を有し、
   前記記憶手段は、前記非セキュア文書を前記リムーバブル記憶装置と物理的に異なる記憶装置に記憶させることを特徴とする請求項４に記載の画像処理装置。
6. 前記記憶手段は、前記セキュア文書または前記非セキュア文書を、外部からの不正な侵入から保護された環境にあるネットワークに接続された情報処理装置が有している記憶装置に記憶させることを特徴とする請求項２〜５の何れか１項に記載の画像処理装置。
7. 前記セキュア文書が記憶される記憶装置は、耐タンパー性を有する記憶装置であることを特徴とする請求項２〜６の何れか１項に記載の画像処理装置。
8. 前記非セキュア文書作成手段は、前記分割手段により分割された非セキュアな部分のデータと、前記分割手段により分割されたセキュアな部分の記憶場所に関するデータとを含む非セキュア文書を作成することを特徴とする請求項２〜７の何れか１項に記載の画像処理装置。
9. 前記分割手段は、前記読み取り手段により読み取られた原稿の画像データの各ページを、機密とするセキュアなページと、機密としない非セキュアなページとに分割することを特徴とする請求項１〜８の何れか１項に記載の画像処理装置。
10. 原稿の画像データを読み取る読み取りステップと、
    前記読み取りステップにより読み取られた原稿の画像データを、機密とするセキュアな部分と、機密としない非セキュアな部分とに分割する分割ステップとを有することを特徴とする画像管理方法。
11. 前記分割ステップにより分割されたセキュアな部分を用いてセキュア文書を作成するセキュア文書作成ステップと、
    前記分割ステップにより分割された非セキュアな部分を用いて非セキュア文書を作成する非セキュア文書作成ステップと、
    前記セキュア文書作成ステップにより作成されたセキュア文書と、前記非セキュア文書作成ステップにより作成された非セキュア文書とを記憶装置に記憶させる記憶ステップとを有することを特徴とする請求項１０に記載の画像管理方法。
12. 前記記憶ステップは、前記セキュア文書作成ステップにより作成されたセキュア文書と、前記非セキュア文書作成ステップにより作成された非セキュア文書とを別々の記憶装置に記憶させることを特徴とする請求項１１に記載の画像管理方法。
13. 前記記憶ステップは、前記セキュア文書を記憶する記憶装置であって、画像処理装置から取り外すことが可能なリムーバブル記憶装置に、前記セキュア文書を記憶させることを特徴とする請求項１１または１２に記載の画像管理方法。
14. 前記記憶ステップは、前記非セキュア文書を記憶する記憶装置であって、前記リムーバブルディスクと物理的に異なる記憶装置に、前記非セキュア文書を記憶させることを特徴とする請求項１３に記載の画像管理方法。
15. 前記記憶ステップは、前記セキュア文書または前記非セキュア文書を、外部からの不正な侵入から保護された環境にあるネットワークに接続された情報処理装置が有している記憶装置に記憶させることを特徴とする請求項１１〜１４の何れか１項に記載の画像管理方法。
16. 前記セキュア文書が記憶される記憶装置は、耐タンパー性を有する記憶装置であることを特徴とする請求項１１〜１５の何れか１項に記載の画像管理方法。
17. 前記非セキュア文書作成ステップは、前記分割ステップにより分割された非セキュアな部分のデータと、前記分割ステップにより分割されたセキュアな部分の記憶場所に関するデータとを含む非セキュア文書を作成することを特徴とする請求項１１〜１６の何れか１項に記載の画像管理方法。
18. 前記分割ステップは、前記読み取りステップにより読み取られた原稿の画像データの各ページを、機密とするセキュアなページと、機密としない非セキュアなページとに分割することを特徴とする請求項１０〜１７の何れか１項に記載の画像管理方法。
19. 原稿の画像データを読み取る読み取りステップと、
    前記読み取りステップにより読み取られた原稿の画像データを、機密とするセキュアな部分と、機密としない非セキュアな部分とに分割する分割ステップとをコンピュータに実行させることを特徴とするコンピュータプログラム。
20. 電子文書を保存管理する文書管理装置において、
    複数ページまたは複数オブジェクトからなる電子文書を前記文書管理装置に入力する入力手段と、
    前記電子文書に付属するセキュリティ情報を含む属性情報を判別する判別手段と、
    前記判別手段の判別に基づいて前記電子文書をセキュアな部分と非セキュアな部分に分割する分割手段と、
    前記セキュアな部分と非セキュアな部分からそれぞれセキュア電子文書と非セキュア文書を作成する文書作成手段と、
    前記セキュア文書と前記非セキュア文書を記憶装置に記憶させる記憶手段と、
    を有することを特徴とする文書管理装置。
21. 前記属性情報は、前記複数ページまたは複数オブジェクトからなる電子文書のページ単位について、前記分割手段による前記セキュアな部分と非セキュアな部分へ分割するための属性情報であることを特徴とする請求項２０に記載の文書管理装置。
22. 前記属性情報は、前記複数ページまたは複数オブジェクトからなる電子文書のオブジェクト単位について、前記分割手段による前記セキュアな部分と非セキュアな部分へ分割するための属性情報であることを特徴とする請求項２０に記載の文書管理装置。
23. 前記記憶手段は、前記文書作成手段により作成されたセキュア文書と非セキュア文書とを別々の記憶装置に記憶させることを特徴とする請求項２０に記載の文書管理装置。
24. 前記記憶手段は、前記セキュア文書を記憶する記憶装置であって、文書管理装置から取り外すことが可能なリムーバブル記憶装置に、前記セキュア文書を記憶させることを特徴とする請求項２０または２３に記載の文書管理装置。
25. 前記非セキュア文書を記憶する記憶装置であって、前記リムーバブルディスクと物理的に異なる記憶装置を有し、
    前記記憶手段は、前記非セキュア文書を前記リムーバブル記憶装置と物理的に異なる記憶装置に記憶させることを特徴とする請求項２４に記載の文書管理装置。
26. 前記セキュア文書が記憶される記憶装置は、耐タンパー性を有する記憶装置であることを特徴とする請求項２３または２４に記載の文書管理装置。
27. 前記記憶手段は、前記セキュア文書を、外部からの不正な侵入から保護された環境にあるネットワークに接続された情報処理装置が有している記憶装置に記憶させることを特徴とする請求項２０または２３に記載の文書管理装置。
28. 電子文書を保存管理する文書管理方法において、
    複数ページまたは複数オブジェクトからなる電子文書を入力する入力工程と、
    前記電子文書に付属するセキュリティ情報を含む属性情報を判別する判別工程と、
    前記属性情報に基づいて前記電子文書をセキュアな部分と非セキュアな部分に分割する分割工程と、
    前記セキュアな部分と非セキュアな部分からそれぞれセキュア電子文書と非セキュア文書を作成する文書作成工程と、
    前記セキュア文書と前記非セキュア文書を記憶装置に記憶させる記憶工程と、
    を有することを特徴とする文書管理方法。
29. 前記属性情報は、前記複数ページまたは複数オブジェクトからなる電子文書のページ単位について、前記分割工程による前記セキュアな部分と非セキュアな部分へ分割するための属性情報であることを特徴とする請求項２８に記載の文書管理方法。
30. 前記属性情報は、前記複数ページまたは複数オブジェクトからなる電子文書のオブジェクト単位について、前記分割工程による前記セキュアな部分と非セキュアな部分へ分割するための属性情報であることを特徴とする請求項２８に記載の文書管理方法。
31. 前記記憶手段は、前記文書作成工程により作成されたセキュア文書と非セキュア文書とを別々の記憶装置に記憶させることを特徴とする請求項２８に記載の文書管理方法。
32. 前記記憶手段は、前記セキュア文書を記憶する記憶装置であって、記憶装置から取り外すことが可能なリムーバブル記憶装置に、前記セキュア文書を記憶させることを特徴とする請求項２８または３１に記載の文書管理方法。
33. 前記非セキュア文書を記憶する記憶装置であって、前記リムーバブルディスクと物理的に異なる記憶装置を有し、
    前記記憶手段は、前記非セキュア文書を前記リムーバブル記憶装置と物理的に異なる記憶装置に記憶させることを特徴とする請求項３２に記載の文書管理方法。
34. 前記セキュア文書が記憶される記憶装置は、耐タンパー性を有する記憶装置であることを特徴とする請求項３１または３２に記載の文書管理方法。
35. 前記記憶手段は、前記セキュア文書を、外部からの不正な侵入から保護された環境にあるネットワークに接続された情報処理装置が有している記憶装置に記憶させることを特徴とする請求項２８または３１に記載の文書管理方法。
36. 請求項２８〜３５のいずれか１項に記載の文書管理方法をコンピュータで実行させることを特徴とするコンピュータプログラム。

Images