JP2008046886A - 画像出力管理方法、画像出力管理システム、画像形成指示装置、画像形成装置、媒体移動監視装置、プログラム - Google Patents

Abstract

【課題】使い勝手の悪さを解消しつつ、機密文書の不正持出しを防止できるようにする。
【解決手段】ホスト側装置は、機密出力ジョブ時にはタグ付き用紙を使用するとともに持出しルールを設定して画像出力端末に通知する（S104〜S118）。プリンタは、機密出力ジョブ時には、タグ付き用紙の識別子と持出しルールとを対応付けて監視機構側に通知し（S124）、タグ付き用紙を使用して印刷処理を実行する（S125〜S126）。監視機構側は、識別子と持出しルールとをデータベースに登録し（S130）、出力結果物のゲート通過時に識別子を読み取り、データベースとの照合で持出しルールを特定し、その持出しルールに従って、正規ユーザによるセキュリティ対象文書の出力結果物の持出しを許可するとともに、不正規ユーザによるセキュリティ対象文書の出力結果物の持出しを禁止するように、ユーザ認証処理およびゲート開閉制御処理を実行する（S132〜S180）。
【選択図】図４

Description

本発明は、画像出力管理方法、画像出力管理システム、画像形成指示装置、画像形成装置、媒体移動監視装置、およびプログラムに関する。より詳細には、機密文書などの持出しを制限する必要のある文書などセキュリティ管理を要する文書の画像出力と、出力結果物の持出しを管理する仕組みに関する。

持出し不可の機密文書や正規ユーザ（たとえば本人や代理人）以外の持出しが禁じられるような文書を印刷処理するときには、処理済みの出力用紙の持出しを如何様にして管理するかが問題となり、様々なセキュリティ手法が考えられている。

従来は、基本的には、印刷物に対するセキュリティは、主に人が管理し運用するようになっていた。この場合、持出し不可の機密文書や、正規ユーザ以外の持ち出しが禁じられるような文書が、間違えて持ち出されることを防止することが困難である。

そこで、このような不正持出しを防止するセキュリティ手法も提案されている。たとえば、特許文献１に記載の仕組みでは、バッファトレイと称される鍵付きソータを設け、出力結果物をバッファトレイに排出して正規ユーザのみ取り出すことができるようにした仕組みを採っている。

特開２００６−０６２１９４号公報

しかしながら、特許文献１に記載の仕組みでは、出力結果物を排出するバッファトレイの数や収容能力には物理的な限度があるために、使用できる人数が限られてしまうことや、遠隔地の場合に、信用できる他の人物に文書を取ってもらうなどの処理が難しいなど、使い勝手が悪い。加えて、鍵付きソータから出力結果物を取り出すために鍵を使用しなければならない、あるいは暗号入力を必要とするなどの不便さを伴う。また、バッファトレイから取り出された後には、管理することができない難点もある。

本発明は、上記事情に鑑みてなされたものであり、使い勝手の悪さを解消しつつ、不正持出しを防止することのできる仕組みを提供することを目的とする。

本発明に係る仕組みにおいては、出力ジョブが、不正持出しを制限する必要のある機密出力ジョブのときには、出力媒体に関する所定の情報を格納した記憶媒体を具備する半導体デバイス（いわゆる電子荷札）が添付された出力媒体を使用することにした。

ここで、「電子荷札が添付された出力媒体を使用する」とは、予め電子荷札が添付された出力媒体に画像を形成することだけでなく、電子荷札が添付されていない出力媒体に画像を形成した後に電子荷札を添付することも含む意味である。なお、電子荷札は、その部分の画像形成処理に不都合が生じないように添付する（埋め込む）のがよい。

そして、機密出力ジョブについての出力結果物の移動を、電子荷札に記憶されている情報に基づき特定される持出しルールに基づいて監視するようにした。つまり、ゲート通過をしようとする出力媒体に添付されている電子荷札の記憶内容を読み出して持出しルールを特定し、この特定した持出しルールに従って、機密出力ジョブについての出力結果物のゲート通過を制御するのである。

持出しルールに基づくゲート通過の監視に際しては、出力媒体を一意に特定する識別情報を記憶した電子荷札が添付された出力媒体を使用することにし、機密出力ジョブ時には、ジョブで使用される出力媒体の電子荷札から取得された識別情報とその機密出力ジョブの持出しルールとを対応付けてデータベースに登録しておき、出力媒体のゲート通過の前に、出力媒体の電子荷札から無線通信装置で取得した識別情報と、データベースに管理しておいた情報との照合を行なうことで、持ち出そうとしている出力媒体の持出しルールを特定する第１の手法を採ることが考えられる。

なお、データベースへの登録は、媒体移動監視装置に通知して、この媒体移動監視装置でデータベース登録を行なうようにしてもよいし、媒体移動監視装置の機能を画像形成装置が担当するようにして、画像形成装置自身がデータベース登録を行なうようにしてもよい。

あるいは、機密出力ジョブ時には、その機密出力ジョブの持出しルールをジョブに使用される出力媒体の電子荷札に書き込むようにし、出力媒体のゲート通過の前に、出力媒体の電子荷札から無線通信装置で持出しルールを取得することで、持ち出そうとしている出力媒体の持出しルールを特定する第２の手法を採ることが考えられる。

何れにしても、不正持出しを制限する必要のある機密出力ジョブ時、つまりセキュリティ管理を要するセキュリティ対象文書の画像形成出力処理時には、電子荷札が添付された出力媒体のゲート通過を監視する管理領域内にて、電子荷札が添付された出力媒体に画像形成出力処理を実施する。そして、その出力結果物のゲート通過時に、電子荷札に記憶されている情報を読み取って、当該出力結果物の持出しルールを特定し、持出しが許可される範囲内で、ゲート通過を許可する。すなわち、正規ユーザによるセキュリティ対象文書の出力結果物の持出しは許可するが、不正規ユーザによるセキュリティ対象文書の出力結果物の持出しは禁止するのである。

なお、本発明に係る仕組みは、電子計算機（コンピュータ）を用いてソフトウェアで実現することもでき、このためのプログラムやこのプログラムを格納した記録媒体を発明として抽出することも可能である。プログラムは、コンピュータ読取り可能な記憶媒体に格納されて提供されてもよいし、有線あるいは無線による通信手段を介した配信により提供されてもよい。

本発明によれば、不正持出しを制限する必要のある機密出力ジョブのときには、出力媒体に関する所定の情報を記憶する電子荷札が添付された出力媒体を使用するとともに、出力結果物に添付されている電子荷札に記憶されている情報に基づき特定される出力結果物に対応する持出しルールに基づいて、その出力結果物の移動を監視するようにした。

これにより、使い勝手の悪さを解消しつつ、不正持出しを防止することができる。

出力結果物に添付されている電子荷札に記憶されている情報に基づき特定される出力結果物の持出しルールに従って、その出力結果物の移動を自動的に監視してゲート通過を制御することができるので、不正規ユーザによる持出しを確実に防止することができる。加えて、持ち出された後にも、出力結果物に添付されている電子荷札に記憶されている情報に基づき、その出力結果物の移動を管理することもできる。

以下、図面を参照して本発明の実施形態について詳細に説明する。

＜＜画像出力管理システムの構成＞＞
図１は、セキュリティ印刷機能に対応した画像出力管理システムを示す概略図である。この画像出力管理システム１は、画像形成指示装置としての画像入力端末３と、所定の出力媒体上に画像を形成する画像形成装置としての画像出力端末７と、セキュリティ印刷を管理する機密管理装置８とを備える。

図示した例では、印刷処理におけるセキュリティ管理を実現するための情報処理センタ６が管理する内側の管理領域６ａ内に、画像入力端末３ａと画像出力端末７ａがそれぞれ１台設けられ、また、管理領域６ａの外側の管理領域６ｃ内にも、画像入力端末３ｃと画像出力端末７ｃがそれぞれ１台設けられた状態を示しているが、これは一例であって、それぞれの設置台数は任意である。また、画像出力端末７ａ，７ｃそのものに、機密管理装置８の機能を設けて、一体化した構成にしてもよい。

なお、管理領域６ａ内の画像出力端末７ａと管理領域６ｃ内の画像出力端末７ｃとは、後述するセキュリティ印刷機能に対応した画像出力端末７であるが、システム構成としては、これ以外にも、セキュリティ印刷機能に対応してない図示を割愛した汎用の画像出力端末７も設けられてよい。

管理領域６ａ，６ｃは、セキュリティ印刷機能の中心機能をなす機密管理装置８によって管理されるようになっている。また、管理領域６ａ，６ｃの所定位置には、セキュリティ印刷に供された出力媒体の通過を監視するセキュリティゲート６ｂ，６ｄが設けられている。

セキュリティゲート６ｂ，６ｄと機密管理装置８とにより、出力媒体を一意に特定する識別情報を格納した記憶媒体を具備する半導体デバイスが添付された、出力ジョブについての出力結果物の移動を、記憶媒体に格納されている識別情報と当該出力結果物に対応する持出しルールとに基づいて監視する媒体移動監視装置２が構成される。

セキュリティゲート６ｂ，６ｄは、後述する電子荷札が添付されたタグ付き用紙９０との間で無線通信を行なう無線通信装置としての機能を備えている。また、セキュリティゲート６ｂ，６ｄには、ユーザ認証を行なうためのＩＤコード入力パネルやＩＤカード読取装置などでなる認証情報取得部や、持出し禁止のタグ付き用紙９０を回収する回収ボックスを具備した回収部や、不正規ユーザの持出しに対して所要の警備処理を実施する警備処理部が設けられている（後述する図３を参照）。

セキュリティゲート６ｂ，６ｄと機密管理装置８とは、画像出力管理システム１のセキュリティ印刷機能を管理する事業主側に備えられ、管理機能の中心をなす機密管理装置８は、監視対象となる物と対応付けられた電子荷札に記憶された識別子であって、無線により情報の伝達が可能な状態で識別子が添付された物（後述するタグ付き用紙９０を参照）の前記識別子との間で無線により情報伝達を行ない、無線通信装置の機能を持つセキュリティゲート６ｂ，６ｄが取得した識別子の情報に基づいて、ユーザＺ（実際には識別子の付いたタグ付き用紙９０）の退出を管理する。

セキュリティゲート６ｂ，６ｄの開閉は、詳細は後述するが、出力媒体に添付されたタグ（事実上、タグが添付された出力媒体）に記憶された情報によって特定される持出しルールやユーザ認証情報ＵＩＤに基づき制御されるようになっている。この際、固有識別子ＩＤを電子荷札に記憶しておき、かつ、後処理装置８にて、固有識別子ＩＤと持出しルールとを対応付けて管理しておく形態と（後述する第１実施形態の処理手順を参照）、持出しルールそのものを電子荷札に記憶しておく形態（後述する第２実施形態の処理手順を参照）の何れかを採ることができる。

ここで、実際の場面としては、情報処理センタ６が管理する内側の管理領域６ａは、会社内に用意される専用の印刷ルームが典型例である。この場合、セキュリティゲート６ｂは、その専用の印刷ルームの扉である“認証機能付き出入り口”が該当する。また、外側の管理領域６ｃは、会社敷地が典型例である。この場合、セキュリティゲート６ｄは、通用門が該当する。

たとえば、セキュリティの例として、本人の認証を情報処理センタ６（管理領域６ａ）や社内（管理領域６ｃ）から出る場合に行ない、タグ付き用紙９０に付されている固有識別子ＩＤに対応して、正規ユーザ以外持出し禁止がタグ付き用紙９０に設定されている場合には、不正規ユーザの持出しを警告を発するなどして禁止するとともに、本人を含む正規ユーザの持出しを許可する。

なお、図示した例では、機密管理装置８は、内側の管理領域６ａと外側の管理領域６ｃとで２重に出力媒体の通過を監視するようにしているが、何れか一方の管理領域を設けないシステム構成を採ることもできる。もちろん、図示のように、多重で管理するシステム構成とすることで、セキュリティ印刷機能を、より強固に実現できる。

＜画像入力端末＞
画像入力端末３は、デジタルドキュメント（以下単にドキュメントという）ＤＯＣを作成し、また編集などの処理をする、たとえばノート型のパソコン（パーソナルコンピュータ）の他、図示を割愛したカラースキャナ、デジタルカメラ、またはハードディスク装置や光磁気ディスク装置あるいは光ディスク装置などのデータ格納装置、さらにはＦＡＸ装置など、任意数の画像入力ソースを含み得る。

画像入力端末３のそれぞれには、ドキュメントＤＯＣ作成用のアプリケーションプログラムなどが組み込まれる。たとえば、画像入力端末３側にて用意されるドキュメントＤＯＣを表す電子データは、画像出力端末７で処理可能な画像フォーマット（たとえば、ＪＰＥＧ、ＢＭＰ、ＰＮＧなど）で記述される。またたとえば、ノート型のパソコン（ノートパソコン）で作成された文書ファイルは、たとえばプリンタなどで印刷出力するために、図形、文字などの拡大、回転、変形などが自由に制御できるページ記述言語（ＰＤＬ：Page Description Language ）で記載されたデータとして画像出力端末７に送られる。このＰＤＬデータを受け取った画像出力端末７は、印字前に出力単位ごと（１ページごと）に画像データをレンダリング（描画展開）してから画像出力部（プリンタエンジン部）にラスタデータを出力する。

ここで、本実施形態の画像入力端末３は、持出し不可の機密文書や、正規ユーザ（たとえば本人や代理人）以外の持出しが禁じられるような文書（セキュリティ対象文書）を印刷する際に、間違えて持ち出されることを禁止するなどの機密保持性を高めるような印刷管理機能（セキュリティ印刷機能）を実現するように構成する。

具体的には、セキュリティ対象文書の印刷処理時には、管理領域６ａ内に設置された画像出力端末７ａもしくは管理領域６ｃ内に設置された画像出力端末７ｃで、タグ付き用紙９０に画像形成を実施するように出力指示する一方、セキュリティ対象文書以外の一般文書を印刷する際には、汎用の画像出力端末７で、一般の出力媒体に画像形成を実施するように出力指示する機能を、ハードウェア構成もしくはソフトウェア構成にて設ける。なお、セキュリティ対象文書以外の一般文書を印刷する際には、画像出力端末７ａ，７ｃにて、一般の出力媒体に画像形成を実施するように出力指示してもよい。

＜画像出力端末＞
画像出力端末７は、本発明に係る画像形成装置の一例であって、たとえば複写機能、ページプリンタ機能、およびファクシミリ送受信機能を備えたいわゆる複合機（マルチファンクション機）で、デジタルプリント装置として構成されている。

画像出力端末７は、接続ケーブルやネットワークを介して外部機器に接続可能になっている。たとえば、接続ケーブルは、ＣＳＭＡ／ＣＤ（Carrier Sense Multiple Access with Collision Detection）型ＬＡＮ（Local Area Network；たとえばＩＥＥＥ８０２．３）やギガビット（Giga Bit）ベースのＬＡＮ（以下纏めて有線ＬＡＮともいう）もしくはＷＡＮ（Wide Area Network ；広域ネットワーク）などのネットワーク９によりノートパソコンなどの画像入力端末３に接続される。

この画像出力端末７は、大まかに、原稿を読み取る画像読取部１０、入力された画像データに対して所望の画像処理を施す画像処理機能と端末全体の動作を制御する制御機能とを備えたコントローラ部２０と、コントローラ部２０からの画像データに基づいて所定の記録媒体に可視画像を形成して出力する画像記録部（画像形成モジュール）３０と、図示を割愛した内蔵の給紙トレイあるいは手差しの給紙トレイ（手差しトレイ）などの内の何れかの媒体収容部から記録媒体としての印刷用紙を画像記録部３０に搬送する給送部（フィードモジュール）６０と、印刷済の出力媒体に対してソーティングやパンチングや折込みなど所定の終末処理を実施して排出する出力モジュール８０ａおよび後処理モジュール８０ｂを具備した排出処理部８０とを備える。

画像読取装置１０は、プラテンカバーの機能も備え、原稿を図示しない読取台（プラテンガラス）上の読取位置まで搬送し排紙する循環機能のないドキュメントフィーダ（ＡＤＦ（自動原稿搬送）装置）と、装置使用のためのガイダンス情報や所定の情報処理結果や管理情報などを表示する操作パネル部やオペレータからの装置に対する種々の指示入力を受け付けるための操作キー部を有するユーザインタフェース部とを有している。

なお、本実施形態の画像出力端末７は、操作パネル部や操作キー部に代えて、あるいはこれらとともに使用される大型ユーザインタフェースあるいはメンテナンス画面を備えたユーザインタフェース装置１６を具備している。

画像記録部３０は、図示を割愛するが、画像形成ユニットと、両面複写ユニットと、１枚もしくは複数枚（図は複数枚で例示）の処理基板とを含む。画像形成ユニットは、画像読取装置１０にて得られた画像信号やネットワーク９を介して取得した印刷画像データにより表される画像を、電子写真式、感熱式、熱転写式、インクジェット式、あるいは同様な従来の画像形成処理を利用して、普通紙や感熱紙上に可視画像を形成する（印刷する）すなわち複写する。このため、画像形成ユニットは、たとえば画像出力端末７をデジタル印刷システムとして稼働させるためのラスタ出力スキャン（ＲＯＳ）ベースのプリントエンジンを備える。

処理基板には、画像記録部３０用の処理部（特に画像処理部や制御部）だけでなく、コントローラ部２０の画像処理機能部や画像出力端末７全体の種々の処理をするための回路が搭載される。たとえば、画像出力端末７内に構築された資源であるドキュメントフィーダ、操作パネル部、画像読取部１０の図示しない画像読取ユニット（スキャナ部）、画像形成ユニット、両面複写ユニット、あるいは給紙トレイなどを制御する回路が搭載される。この処理基板には、半導体製の記憶媒体が搭載され、たとえば、複写アプリケーション、プリンタアプリケーション、ファクシミリ（ＦＡＸ）アプリケーション、あるいは他のアプリケーション用の処理プログラムが格納される。

このような構成により、画像出力端末７は、画像読取部１０にて読み取った画像の印刷機能すなわち複写機能に限らず、ネットワーク９を介してパソコンなどの画像入力端末から取得した文書データや画像ファイルなどに基づいて画像を印刷するいわゆるプリント機能や、電話回線やその他の通信インタフェースを介して取得したＦＡＸデータやその他の画像データに基づいて印刷出力する機能も備えるようになる。

ここで、給送部６０には、本実施形態の画像出力管理システム１において、セキュリティ管理を要する文書（セキュリティ対象文書）の印刷処理時には、機密印刷を担保するための管理領域６ａ，６ｃ内にて、ＩＣタグや無線タグと称される非接触ＩＣチップ（電子荷札）の付いた出力媒体（タグ付き用紙９０）に画像形成を実施するべく、タグ付き用紙９０を使用可能になっている。なお、管理領域６ａ内の画像出力端末７ａと管理領域６ｃ内の画像出力端末７ｃとは、一般の出力媒体（通常用紙９９）に画像形成を実施することができるのはいうまでもない。

機密管理装置８は、非接触ＩＣチップの付いた画像形成済のタグ付き用紙９０が、セキュリティゲート６ｂを通って管理領域６ａから持ち出されるか否かや、セキュリティゲート６ｄを通って管理領域６ｃから持ち出されるか否かを監視する。

なお、電子荷札を利用した印刷処理の仕組みとして、たとえば、特開２００２−３４２５１９号公報には、非接触ＩＣチップを装着した用紙を用いて、質問機を内蔵したプリンタからＩＣチップの固有識別子ＩＤを読み取ることができるようにするとともに、固有識別子ＩＤを管理センタなどに登録しておき、非接触ＩＣチップを装着した用紙の利用時に固有識別子ＩＤに基づいてチケットサービスを実現する仕組みが提案されている。

しかしながら、同公報に記載の仕組みは、セキュリティシステムに対応したものではなく、チケットの唯一性保持に関するものであり、電子荷札を利用してセキュリティ印刷機能を実現する本実施形態の仕組みとは異なる。同公報に記載の仕組みを採るだけでは、正規ユーザによるセキュリティ対象文書の出力結果物の持出しを許可し、不正規ユーザによるセキュリティ対象文書の出力結果物の持出しを禁止するという、セキュリティ対象文書の持出し管理を実現することはできない。

これに対して、本実施形態のシステム構成では、画像出力端末７は、画像入力端末３から機密出力ジョブＤＯＣ_2を受け取った時には、電子荷札が添付されたタグ付き用紙９０を使用して印刷処理を実行し、この後、監視機構側の媒体移動監視装置２によって、出力結果物のゲート通過時に電子荷札に記憶されている情報を読み取って持出しルールを特定し、その持出しルールに基づいて、ユーザ認証処理およびゲート開閉制御処理を実行するので、鍵付きソータを必要とする特許文献１に記載の仕組みにおける使い勝手の悪さを解消しつつ、機密文書の不正持出しを防止できるようになるという優れた作用効果をもたらすことができるようになるのである。

＜画像出力管理システムの印刷制御処理＞
図２は、画像出力管理システム１における印刷制御処理を実行する機能部の構成例を示した図である。ここで、図２は、図１に示した画像出力管理システム１において、セキュリティ印刷機能に着目して画像入力端末３と画像出力端末７を示したブロック図である。

図２に示すように、画像出力管理システム１を構成する画像形成機能部分は、ワープロソフトなどのドキュメント作成ツールで作成したドキュメントデータを、ページ記述言語（ＰＤＬ：Page Description Language） に変換して、画像を表す多値階調信号としてのＰＤＬデータをプリンタ側に送り、プリンタ側にて、描画展開した後に、処理済みの画像データを、画像形成装置としての画像出力端末７の主要部をなす画像記録部３０（画像形成部あるいはプリントエンジンとも言われる）に渡す形態のものである。

画像出力管理システム１における画像形成処理機能部分は、一般ユーザが使用する端末であって、文書データを生成するパソコン（クライアントＰＣ）などのホスト側装置１００（画像形成指示装置として機能する図１の画像入力端末３に相当）と、ホスト側装置１００から出力された文書データに基づいて印刷出力処理をする画像形成装置の一例であるプリンタ２００（図１の画像出力端末７に相当）とが、ネットワーク９により接続されて構成されている。

なお、複合機を構成する場合、ホスト側装置１００とプリンタ２００とを一体化させた構成とすればよい。

＜ホスト側装置＞
ホスト側装置１００は、文書や図形などの画像データを生成するデータ生成部１１０と、ホスト側装置１００の各部の動作を制御する中央制御部１２０と、プリンタ２００との間のインタフェース機能をなすインタフェース部１３０とを有する。データ生成部１１０には、たとえば、文書や図形などのデータを生成するためのアプリケーションプログラムが組み込まれる。

なお、このアプリケーションプログラムには、無線タグを利用してセキュリティ対象文書の印刷結果物の持出しを管理するためのアプリケーションも用意される。つまり、ホスト側装置１００は、プリンタ２００を使って画像を所定の出力媒体に出力させる画像形成装置（特に画像形成指示装置）としても機能し、特に本実施形態の構成では、セキュリティ印刷指示機能をアプリケーションソフトウェアとして備えている。

また中央制御部１２０には、ホスト側装置１００の全体を制御するソフトウェアであるＯＳ（オペレーティングシステム）やプリンタ２００を制御するためのソフトウェアであるプリンタドライバが組み込まれる。

特に、本実施形態の中央制御部１２０には、不正持出しを制限する必要のあるセキュリティ対象文書を印刷する出力ジョブの際には、管理領域６ａ，６ｃ内に設置の画像出力端末７ａ，７ｃでタグ付き用紙９０に画像形成を実施する機密出力ジョブを指示する画像形成指示部をソフトウェアで実現するプリンタドライが組み込まれる。

これにより、ホスト側装置１００は、所定の処理をプログラムに基づいてソフトウェア的に実現するようになる。すなわち、所定の処理を実行する各機能部を構成するためのプログラムを格納したＣＤ−ＲＯＭなどからプログラムを読み出して図示しないハードディスク装置などにインストールさせておき、ハードディスク装置からプログラムを読み出して図示しないＣＰＵが所定の処理手順を実行することにより、各機能をソフトウェア的に実現することができる。

ここで、本実施形態の画像形成指示部（プリンタドライバ）は、セキュリティ印刷対象の出力ジョブ時には無線タグが添付された出力媒体を使用するように指示するとともに、この出力ジョブの出力結果物の持出しルールを設定する機能を持つ点に特徴を有する。

また、本実施形態の画像形成指示部（プリンタドライバ）は、プリンタ２００に出力指示（出力ジョブ）を発するだけでなく、出力指示を発した後に、セキュリティ印刷対象の出力ジョブに設定する持出しルールの変更を、インタフェース部１３０およびネットワーク９を介して機密管理装置８に通知する機能も持つ。

なお、プログラムは、コンピュータ読取り可能な記憶媒体に格納されて提供されてもよいし、有線あるいは無線による通信手段を介して配信されてもよい。また、これらのプログラムや当該プログラムを格納した記憶媒体は、既存のシステムやアプリケーションプログラムあるいはプリンタドライバをバージョンアップするものとして提供されてもよい。あるいは、各機能部分をソフトウェア的に実現するパッチファイルなど、一部の機能に対応したオプションプログラムとして提供されてもよい。

たとえば、ホスト側装置１００に組み込まれているアプリケーションプログラムから、イメージ描画命令、グラフィック描画命令、フォント描画命令などの命令種別を持った描画命令が順次プリンタドライバに入力される。プリンタドライバは描画命令をプリンタ２００が理解可能なプリント命令に変換してインタフェース部１３０に出力する。インタフェース部１３０に入力されたプリント命令（出力ジョブ）は、ネットワーク９を通りプリンタ２００に伝送される。

たとえば、図形、文字などの拡大、回転、変形などが自由に制御できるページ記述言語（ＰＤＬ：Page Description Language ）の形式でプリント命令をプリンタ２００に渡す。ＰＤＬで作成されている画像データは、ページ内の任意位置の画像、図形、文字を表現する描画命令およびデータを任意の順で配置した命令およびデータ列で構成されている。

＜プリンタ＞
プリンタ２００は、受け取ったプリント命令に従って、用紙に画像を印刷（画像出力）する。この際、ページプリンタであるプリンタ２００側では、受け取ったプリント命令に従って印刷するために、印刷前に出力単位ごと（１ページごと）に画像データをレンダリング（描画展開）する。

ここで、本実施形態のプリンタ２００は、ＣＰＵや各種のメモリなどを備えたパーソナルコンピュータなどの一般的な情報処理装置と同様の構成を備えている。すなわち、本実施形態において、タグ付き用紙９０を利用したセキュリティ印刷機能を実現する仕組みは、ハードウェア処理回路により構成することに限らず、その機能を実現するプログラムコードに基づき電子計算機（コンピュータ）を用いてソフトウェア的に実現することも可能である。

よって、セキュリティ印刷処理を、電子計算機（コンピュータ）を用いてソフトウェアで実現するために好適なプログラムあるいはこのプログラムを格納したコンピュータ読取可能な記憶媒体を発明として抽出することもできる。

なお、プログラムを提供するための記録媒体としては、ＦＤやＣＤ−ＲＯＭなどの他にも、ＤＶＤなどの光学記録媒体、ＭＤなどの磁気記録媒体、ＰＤなどの光磁気記録媒体、テープ媒体、磁気記録媒体、ＩＣカードやミニチュアカードなどの半導体メモリを用いることができる。記録媒体の一例としてのＦＤやＣＤ−ＲＯＭなどには、セキュリティ印刷管理機能を実現する際の、一部または全ての機能を格納することができる。

電子計算機に一連のセキュリティ印刷機能をソフトウェアにより実行させる場合には、そのソフトウェアを構成するプログラムが、専用のハードウェアに組み込まれているコンピュータ（組込マイコンなど）、あるいは、ＣＰＵ（Central Processing Unit ）、論理回路、記憶装置などの機能を１つのチップ上に搭載して所望のシステムを実現するＳＯＣ（System On a Chip：システムオンチップ）、または、各種のプログラムをインストールすることで各種の機能を実行することが可能な汎用のパーソナルコンピュータなどに、記録媒体からインストールされる。この点は、後述する機密管理装置８と同様である。

たとえば、プリンタ２００は、システムバス２９１を介してプリンタ２００の各部の動作を制御するＣＰＵ２１２と、読出専用の記憶部であるＲＯＭ（Read Only Memory）２１３、随時書込みおよび読出しが可能であるとともに揮発性の記憶部の一例であるＲＡＭ（Random Access Memory）２１５、不揮発性の記憶部の一例であるＲＡＭ（ＮＶＲＡＭと記述する）２１６と、ジョブデータやその他の情報を記憶するハードディスク装置（ＨＤＤ）２１８とを有している。ＮＶＲＡＭ２１６には、たとえば、一時データなどを格納することができる。この場合、ＮＶＲＡＭ２１６は、一時データ保存部として機能することとなる。

上記において“揮発性の記憶部”とは、装置の主電源がオフされた場合には、記憶内容を消滅してしまう形態の記憶部を意味する。一方、“不揮発性の記憶部”とは、装置の主電源がオフされた場合でも記憶内容を保持し続ける形態の記憶部を意味する。記憶内容を保持し続けることができるものであればよく、半導体製のメモリ素子自体が不揮発性を有するものに限らず、バックアップ電源を備えることで、揮発性のメモリ素子を“不揮発性”を呈するように構成するものであってもよい。また、半導体製のメモリ素子により構成することに限らず、磁気ディスクや光ディスクなどの媒体を利用して構成してもよい。たとえば、ハードディスク装置２１８を不揮発性の記憶部として利用できる。

また、プリンタ２００は、ユーザインタフェースをなす機能部として、キーボードやマウスなどを有する指示入力部２２３と、操作時のガイダンス画面や処理結果などの所定の情報をユーザに提示する操作パネルなどを具備した表示出力部２２４とを有する。

また、プリンタ２００は、ホストコンピュータなどのホスト側装置１００や機密管理装置８との間のインタフェース機能をなすインタフェース部２３０と、画像処理部２４０とを備える。

画像処理部２４０は、ＰＤＬデータを解釈するインタプリタ部（ＰＤＬ解釈部）２５０と、インタプリタ部２５０から受けとった解釈命令に基づいて描画展開することでビットマップデータを生成するレンダリング部（描画部）２７０とを有している。

またプリンタ２００は、印刷出力処理を制御する印刷制御部３００と、印刷制御部３００の指令に従って印刷出力処理を実行するプリントエンジン部３１０と、給紙トレイから用紙をプリントエンジン部３１０に給送し排出する媒体搬送制御部３２０（図１の給送部６０に相当）とを備える。プリントエンジン部３１０とシステムバスとの間にはプリンタエンジンインタフェース部３４０が設けられる。

印刷制御部３００は、印刷を行なう際に、プリントエンジン部３１０と媒体搬送制御部３２０とを起動するとともに、出力単位分のビットマップデータを、プリントエンジン部３１０に供給する。媒体搬送制御部３２０は、印刷制御部３００からの指示に基づいて給送部６０の所定の給送トレイもしくは手差しトレイから出力媒体を取り込んでプリントエンジン部３１０に渡す。これと並行して、プリントエンジン部３１０は、プリンタエンジンインタフェース部３４０を介して供給されるビットマップデータ、具体的には、レンダリング部２７０により生成されたビットマップデータに基づいて、出力媒体としての印刷用紙などの上に画像を形成し出力する。

ここで、印刷制御部３００は、図１に示したコントローラ部２０における画像形成処理動作を制御する制御機能部であり、本実施形態特有の構成として、出力ジョブが、セキュリティ対象文書以外の印刷処理を示す印刷指示（通常出力ジョブＤＯＣ_1）であるのかセキュリティ対象文書についての印刷処理を示す印刷指示（機密出力ジョブＤＯＣ_2）であるのかを判定し、通常出力ジョブＤＯＣ_1であるときには通常の出力用紙（通常用紙９９）を出力媒体として使用し、機密出力ジョブＤＯＣ_2であるときにはタグ付き用紙９０を出力媒体として使用して、印刷出力処理（画像形成処理）を実行させる機能部を備えている。

もちろん、この印刷制御部３００の機能は、ソフトウェアで実現することができ、この場合は、ＣＰＵ２１２，ＲＯＭ２１３，ＲＡＭ２１５，ＮＶＲＡＭ２１６などでなるコントローラ部２０１が、印刷制御部３００の機能を担当するようになる。

たとえば、セキュリティ印刷を実行する出力ジョブであるか否かを判定する出力ジョブ判定部や、タグ付き用紙９０に添付されている電子荷札の固有識別子ＩＤを抽出する機能部である管理情報抽出部が設けられる。なお、出力ジョブ判定部や管理情報抽出部は、ソフトウェア処理にてコンピュータが管理情報抽出部として機能するように構成することもできるし、機構部品や回路部品などのハードウェア要素にて構成することもできる。

具体的には、プリンタ２００は、先ず、搬送過程にある出力媒体がタグ付き用紙９０であるときに、電子荷札に設定されている固有識別子ＩＤ（管理情報）、つまり事実上の出力媒体を一意に特定する識別情報（媒体情報）を読み取る識別情報取得部３３４を備えている。

印刷制御部３００は、ホスト側装置１００から受け取った出力ジョブＤＯＣが、通常出力ジョブＤＯＣ_1であるのか持出し禁止や間違えて他人が持っていかないようにする指示が付された機密出力ジョブＤＯＣ_2であるのかを判定する出力ジョブ判定部３０２を備えている。また、印刷制御部３００は、識別情報取得部３３４が取得した固有識別子ＩＤを、出力ジョブ（特に持出しルール）と対応付けて機密印刷情報Ｊ１として機密管理装置８に通知する機密印刷情報通知部３０８を備えている。

印刷制御部３００は、出力ジョブ判定部３０２の判定結果に基づいて、通常出力ジョブＤＯＣ_1のときは通常用紙９９を使用し、機密出力ジョブＤＯＣ_2のときはタグ付き用紙９０を使用するように、プリントエンジン部３１０と媒体搬送制御部３２０とを制御する。なお、給送部６０にタグ付き用紙９０が収容されておらず、タグ付き用紙９０を使用した印刷処理が実行できないときには、印刷処理印刷制御部３００は、機密出力ジョブＤＯＣ_2についての印刷処理を禁止するとともに、その旨をホスト側装置１００に通知する。

本実施形態の構成においては、プリンタ２００がタグ付き用紙９０を使用する前に、事前に、別の管理情報書込装置で、固有識別子ＩＤを電子荷札に書き込んでおけばよいので、当該プリンタ２００自身に、この管理情報書込装置の機能部を設けることは必須ではない。

ただし、当該プリンタ２００に、タグ付き用紙９０の電子荷札に持出しルールを書き込む管理情報記録部３３６もしくは当該管理情報記録部３３６の機能をソフトウェアで実現する管理情報付加モジュールなどの管理情報書込装置の機能部を設けて、プリンタ２００自身にて、機密出力ジョブＤＯＣ_2の出力結果物の電子荷札に持出しルールの書込みを行なうようにしてもよい。

管理情報記録部３３６を設ける場合、識別情報取得部３３４や機密印刷情報通知部３０８を取り外した構成を採ることができる。すなわち、機密印刷情報通知部３０８から機密管理装置８に機密印刷情報Ｊ１を通知する代わりに、タグ付き用紙９０の電子荷札に機密印刷情報Ｊ１（特に持出しルール）を書き込んでおくことができるからである。この場合、機密管理装置８を使用しなくても、セキュリティゲート６ｂ，６ｄ自身で、ゲートを通過しようとしているタグ付き用紙９０の電子荷札から取得した持出しルールを参照して、タグ付き用紙９０の通過を制御することができ、システム構成をコンパクトにすることができる。

識別情報取得部３３４としては、用紙に電子荷札が添付されているときに、その固有識別子ＩＤを読み取ることができる構成のものであればよい。管理情報記録部３３６としては、電子荷札が埋め込まれているタグ付き用紙９０の電子荷札に、機密出力ジョブＤＯＣ_2の持出しルールを書き込むことができる構成のものであればよい。

識別情報取得部３３４や管理情報記録部３３６は、出力媒体の搬送過程の、出力媒体が機外に排出される前までの間の何れかの箇所に設ければよい。ただし、識別情報取得部３３４や管理情報記録部３３６は、画像記録部３０での画像形成処理（印刷出力処理）が開始される前の箇所、たとえば、給送部６０の給紙トレイに設けるのが好ましい。

たとえば、予め電子荷札が添付された出力媒体に画像を形成する場合、排出処理部８０の排出口に識別情報取得部３３４や管理情報記録部３３６を設けることも考えられるが、この場合、正常に排出されるものについてしか固有識別子ＩＤを読み取ることができないし、同様に正常に排出されるものについてしか持出しルールを書き込むことができない。この場合、ジャムなどの異常出力が発生すると、その異常出力された未完成の出力媒体がセキュリティ対象文書についての出力結果物である場合、それが無チェックで持ち出されることが懸念される。ジャムなどの異常出力が発生した場合にも、セキュリティ対象文書の属性は変わらないためである。

一方、給紙トレイに設けた識別情報取得部３３４にて固有識別子ＩＤを読み取ると、画像形成前の段階で固有識別子ＩＤを読み取ることができ、同様に、給紙トレイに設けた管理情報記録部３３６にて持出しルールを書き込むと、画像形成前の段階で持出しルールを書き込むことができ、ジャムなどの異常出力が発生した場合に、その異常出力された未完成の出力媒体がセキュリティ対象文書についての出力結果物である場合にも、不正持出しを禁止することができる。

なお、電子荷札が添付されていない出力媒体に画像を形成した後に電子荷札を添付する場合にも、同様のことが言えるので、この場合には、ジャム発生時のものを含む機密出力ジョブＤＯＣ_2の全ての出力結果物には必ず電子荷札が添付されるように、画像記録部３０にて画像形成が完了すると直ちに固有識別子ＩＤや持出しルールなどの管理情報を管理情報記録部３３６で電子荷札に書き込みながら、その管理情報書込み済の電子荷札を出力結果物に張り付けるようにするのがよい。この場合、管理情報記録部３３６による書込み時に固有識別子ＩＤを取得でき、識別情報取得部３３４の機能を管理情報記録部３３６が果たすことができるので、事実上、識別情報取得部３３４を備えていなくてもよい。

＜＜セキュリティ印刷管理機能＞＞
図３は、媒体移動監視装置２、すなわちセキュリティゲート６ｂ，６ｄと機密管理装置８との協働処理で実現されるセキュリティ印刷管理機能（持出し監視機能）に着目して、セキュリティ印刷管理処理を実行する機能部であるセキュリティゲート６ｂ，６ｄと機密管理装置８の構成例を示したブロック図である。

本実施形態の画像出力管理システム１は、監視機構側の装置として、前述のように、電子荷札９１が添付されたタグ付き用紙９０の持出しをチェックするゲート（門やドア）機能をなすセキュリティゲート６ｂ，６ｄと、セキュリティ印刷機能の中心機能をなす機密管理装置８を備えている。

＜セキュリティゲート＞
セキュリティゲート６ｂ，６ｄは、ユーザＺが出入りするゲート（門や扉）の他に、タグ付き用紙９０との間で通信処理をして、タグ付き用紙９０に添付されている電子荷札９１に記憶されている情報（たとえば固有識別子ＩＤや持出しルール）を取得する無線通信装置６１０を備えている。

また、セキュリティゲート６ｂ，６ｄは、ユーザ認証を行なうためのユーザ認証情報の入力を受け付けるＩＤコード入力パネルやＩＤカード読取装置などでなる認証情報取得部６３０、持ち出そうとした用紙（特にタグ付き用紙９０）を回収するための回収ボックスなどを具備した回収部６４０、および不正規ユーザの持出しに対して所要の警備処理を実施する警備処理部６６０を有する退出制御部６２０を備えている。

また、退出制御部６２０には、この他にも、図示を割愛するが、文字や画像を表示するための表示部および音声を再生するためのスピーカ（音声出力部）を備えている。退出制御部６２０は、機密管理装置８から受け取った提供情報を表示部やスピーカで出力する。

たとえば、警備処理部６６０は、不正規ユーザがタグ付き用紙９０を持ち出そうとしたとき、警告メッセージを通知したり、回収ボックスへの投入を促すメッセージを通知したり、管理者や警備員への通報をしたりする。もちろん、退出制御部６２０は、本人を含む正規ユーザに対しては、ゲート通過を許可するし、警告を発しない。

＜タグ付き用紙＞
タグ付き用紙９０には、識別子が添付される。識別子としては、無線により情報の伝達が可能な状態で提供対象となる情報と対応付けられたものであればよく、たとえば電子荷札９１を利用できる。電子荷札９１には、固有識別子ＩＤを記録しておく。

電子荷札９１は、電気絶縁性の基板上に、０．４ミリ角や０．１５ミリ角のＩＣ（Integrated Circuit；半導体集積回路）チップ９２が搭載され、アンテナ９４が導体パターンとして形成されている。たとえば、ＩＣチップ９２やアンテナ９４などが、プラスチックフィルムやプリント配線板（ＰＷＢ）の上にマウントされて形成される。これらの電気絶縁性基板の大きさは、たとえば６０ｍｍ×１０ｍｍ程度である。電子荷札９１の全体の厚みは、０．１〜０．５ｍｍ程度である。

ＩＣチップ（半導体デバイス）９２は、無線インタフェースや制御部および記憶媒体などを含む制御用ＩＣであり、記憶部はフラッシュメモリなどの不揮発性でしかもデータの書込も可能なメモリを有するし、また制御部としてＣＰＵ（Central Processing Unit） などが搭載され、予め設定されるプログラムに従って動作させることができる。記憶部は、タグ（事実上、タグが添付された出力媒体）を一意に特定する固有識別子ＩＤやその他の情報を格納可能である。

アンテナ９４は、所定の波長帯に同調するダイポールアンテナであり、導体パターンで形成される。アンテナ９４に所定波長帯の無線電波が受信されると、ＩＣチップ９２の内部で、たとえば１．５〜２Ｖ程度の電圧が発生され、記憶部に記憶されている“０”または“１”のデジタルデータに応じて、強度を変えた反射波を電子荷札９１のアンテナ９４から放射する。

このような構成の電子荷札９１は、トランスポンダとも呼ばれ、インテロゲータと呼ばれる質問器から電波を受信すると、その電波のエネルギによって起動し、記憶データに応じた反射波を送出する。したがって、電子荷札９１は、内部にバッテリなどを有していなくても、電波を受信すれば動作することができる。電子荷札９１は、本来、添付する対象の固有識別子ＩＤ（IDentification）を記憶しておき、質問器が無線電波を使用して非接触で識別情報を読取る用途に開発されている。このために、電子荷札９１は、ＲＦＩＤ（Radio Frequency IDentification；無線タグ）とも呼ばれる。

ここで、一般的な電子荷札は、使用する電波の周波数によって特性が異なる。本実施形態では、複数枚のタグ付き用紙９０の積層体の状態で、あるいは比較的離れた状態で、それぞれから固有識別子ＩＤの取得を行なうことができるような周波数帯の電波を使うシステム構成とするのがよい。

一例としては、通信距離が長く（３〜５メートル程度）、他の電波の影響を受け難く、多数の同時読取りが可能なＵＨＦ（極超短波）帯（たとえば周波数８６０メガ〜９６０メガヘルツ）の電波を使う国際規格「ＥＰＣグローバル」のクラス１ジェネレーション２（Ｃ１Ｇ２）規格に準拠したシステムにすることが考えられる。あるいは、より周波数の短い通信距離が１メートル程度の２．４ギガヘルツ帯の電波を使うシステムとしてもよい。

非接触ＩＣチップ（電子荷札）を利用する場合には、たとえば耐環境性に優れた数ｃｍ程度の大きさのタグ（情報保持装置）に管理情報（本実施形態では特に固有識別子ＩＤや持出しルール）を記憶し、電波や電磁波など非接触電力伝送技術を利用して読取装置と交信する必要がある。よって、管理情報をタグに記録するために、用紙に設けられた情報保持装置に管理情報を設定する（書き込む）ための処理回路を必要とする。

本実施形態では、画像出力端末７がタグ付き用紙９０を使用する前に、事前に、別の管理情報書込装置で、固有識別子ＩＤを電子荷札９１に書き込んでおけばよい。もちろん、画像出力端末７に、管理情報付加モジュールもしくは管理情報記録部などの管理情報書込装置の機能部を設けて、画像出力端末７にて、この書込みを行なうようにしてもよい。

また、画像出力端末７に管理情報書込装置の機能部を設ける場合、画像出力端末７から機密管理装置８に機密印刷情報Ｊ１を通知する代わりに、タグ付き用紙９０の電子荷札９１に機密印刷情報Ｊ１を書き込んでおくこともできる。

無線通信装置６１０は、当該無線通信装置６１０から所定距離を隔てた範囲を電子荷札９１の監視範囲とし、非接触で電子荷札９１と間でデータの読取りが可能になっている。無線通信装置６１０は、タグ付き用紙９０に添付されている電子荷札９１と無線通信をして、その電子荷札９１に記憶されている管理情報を読み取るＲＦＩＤ読取機能や、読み取った情報を解析するデータ解析機能とを備えている。たとえば、無線通信装置６１０は、電子荷札９１から読み取った固有識別子ＩＤを機密管理装置８に送る。

機密管理装置８は、所定監視サイクルごとに無線通信装置６１０の監視範囲内に存在するタグ付き用紙９０の電子荷札９１と無線通信を行なって、それぞれから固有識別子ＩＤを取得するとともに、その監視範囲内に存在するタグ付き用紙９０の状態を解析し、また各電子荷札９１に対応付けられている各種情報に基づいて、ゲートの開放を、つまりユーザＺのゲート通過を管理する。

このような機能を実現する機密管理装置８は、本実施形態の全体概要としては、ＣＰＵや各種のメモリなどを備えたパーソナルコンピュータなどの一般的な情報処理装置と同様の構成を有している。すなわち、本実施形態において、セキュリティ印刷管理機能を実現する仕組みは、ハードウェア処理回路により構成することに限らず、その機能を実現するプログラムコードに基づき電子計算機（コンピュータ）を用いてソフトウェア的に実現することも可能である。

よって、セキュリティ印刷管理処理を、電子計算機（コンピュータ）を用いてソフトウェアで実現するために好適なプログラムあるいはこのプログラムを格納したコンピュータ読取可能な記憶媒体を発明として抽出することもできる。

電子計算機に一連のセキュリティ印刷管理機能をソフトウェアにより実行させる場合には、そのソフトウェアを構成するプログラムが、専用のハードウェアに組み込まれているコンピュータ（組込マイコンなど）、あるいは、ＣＰＵ、論理回路、記憶装置などの機能を１つのチップ上に搭載して所望のシステムを実現するＳＯＣ（System On a Chip：システムオンチップ）、または、各種のプログラムをインストールすることで各種の機能を実行することが可能な汎用のパーソナルコンピュータなどに、記録媒体からインストールされる。

記録媒体は、コンピュータのハードウェア資源に備えられている読取装置に対して、プログラムの記述内容に応じて、磁気、光、電気などのエネルギの状態変化を引き起こして、それに対応する信号の形式で、読取装置にプログラムの記述内容を伝達できるものである。

たとえば、コンピュータとは別に、ユーザにプログラムを提供するために配布される、プログラムが記録されている磁気ディスク（フレキシブルディスクＦＤを含む）、光ディスク（ＣＤ−ＲＯＭ（Compact Disc-Read Only Memory ）、ＤＶＤ（Digital Versatile Disc）を含む）、光磁気ディスク（ＭＤ（Mini Disc ）を含む）、または半導体メモリなどよりなるパッケージメディア（可搬型の記憶媒体）により構成されるだけでなく、コンピュータに予め組み込まれた状態でユーザに提供される、プログラムが記録されているＲＯＭやハードディスクなどで構成されてもよい。

また、ソフトウェアを構成するプログラムは、記録媒体を介して提供されることに限らず、記録媒体を用いずに、有線あるいは無線などの通信網を介して提供されてもよい。

たとえば、セキュリティ印刷管理機能を実現するソフトウェアのプログラムコードを記録した記憶媒体を、システムあるいは装置に供給し、そのシステムあるいは装置のコンピュータ（またはＣＰＵやＭＰＵ）が記憶媒体に格納されたプログラムコードを読み出し実行することによっても、ハードウェア処理回路にて構成する場合と同様の効果は達成される。この場合、記憶媒体から読み出されたプログラムコード自体がセキュリティ印刷管理機能を実現する。

また、コンピュータが読み出したプログラムコードを実行することで、セキュリティ印刷管理機能が実現されるだけでなく、プログラムコードの指示に基づき、コンピュータ上で稼働しているＯＳ（Operating Systems ；基本ソフト）などが実際の処理の一部または全部を行ない、その処理によりセキュリティ印刷管理機能が実現される場合であってもよい。

さらに、記憶媒体から読み出されたプログラムコードが、コンピュータに挿入された機能拡張カードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれた後、そのプログラムコードの指示に基づき、その機能拡張カードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行ない、その処理によってセキュリティ印刷管理機能が実現される場合であってもよい。

なお、セキュリティ印刷管理機能を実現するプログラムコードを記述したファイルとしてプログラムが提供されるが、この場合、一括のプログラムファイルとして提供されることに限らず、コンピュータで構成されるシステムのハードウェア構成に応じて、個別のプログラムモジュールとして提供されてもよい。

たとえば図３は、ＣＰＵやメモリを利用してソフトウェア的にセキュリティ印刷管理機能を持つ情報提供装置７を機密管理装置８にて構成する、すなわちパーソナルコンピュータなどのコンピュータ（電子計算機）の機能を利用してセキュリティ印刷管理処理を機密管理装置８側にてソフトウェア的に実現する場合のハードウェア構成の一例を示すブロック図である。

もちろん、このようなコンピュータを用いた構成に限らず、専用のハードウェアの組合せによりセキュリティ印刷管理処理を行なう構成にすることもできる。ただし、ソフトウェアにより処理を実行させる仕組みとすることで、ハードウェアの変更を伴うことなく、処理手順などを容易に変更できる利点を享受できるようになる。

たとえば、機密管理装置８を構築するコンピュータシステム８００は、コントローラ部８０１と、ハードディスク装置（ＨＤＤ）８１８や、図示を割愛したフレキシブルディスク（ＦＤ）ドライブ、あるいはＣＤ−ＲＯＭ（Compact Disk ROM）ドライブ、半導体メモリコントローラなどの、所定の記憶媒体からデータを読み出したり記録したりするための記録・読取制御部８０２を有する。

コントローラ部８０１は、ＣＰＵ８１２、読出専用の記憶部であるＲＯＭ８１３、随時書込みおよび読出しが可能であるとともに揮発性の記憶部の一例であるＲＡＭ８１５、および不揮発性の記憶部の一例であるＮＶＲＡＭ８１６を有している。ＮＶＲＡＭ８１６には、たとえば、一時データなどを格納することができる。この場合、ＮＶＲＡＭ８１６は、一時データ保存部として機能することとなる。

また、コンピュータシステム８００は、ユーザインタフェースをなす機能部として、キーボードやマウスあるいは表示パネル部８４１ａや操作キー部８４１ｂを具備した当該装置に備えられる操作パネル部８４１などを利用した指示入力部８０３と、操作時のガイダンス画面や処理結果などの所定の情報をユーザに提示する表示出力部８０４と、各機能部との間のインタフェース機能をなすインタフェース部（ＩＦ部）８０９とを有する。表示出力部８０４は、操作パネル部８４１などの表示デバイスの他、表示デバイスを制御する表示制御部８４２を有している。

インタフェース部８０９としては、処理データ（画像データを含む）や制御データの転送経路であるシステムバス８９１の他、たとえば、ネットワークとの間の通信データの受け渡しを仲介する通信ＩＦ部８９９を有している。

なお、セキュリティ印刷管理処理のための各機能部分の全ての処理をソフトウェアで行なうのではなく、これら機能部分の一部を専用のハードウェアにて行なうためのセキュリティ印刷管理処理部として機能する機密印刷情報管理部８３０を備えた処理回路８０８を設けてもよい。

機密管理装置８側に設けられるコントローラ部８０１は、セキュリティゲート６ｂ，６ｄ側に設けられる退出制御部６２０との協働処理によって、所定の情報を記憶可能な記憶媒体を具備する半導体デバイスが添付された出力ジョブについての出力結果物について、無線通信装置６１０により取得された情報に基づいて出力媒体の持出しルールを特定することで、出力媒体のゲート通過を制御する媒体退出管理部として機能する。

なお、プリンタ２００において、持出しルールを電子荷札９１の記憶媒体（ＩＣチップ９２）に書き込む管理情報記録部３３６を備える構成とする場合には、機密管理装置８を備えるシステム構成は不要である。この場合、セキュリティゲート６ｂ，６ｄのみで媒体移動監視装置２が構成され、このセキュリティゲート６ｂ，６ｄ側に設けられる退出制御部６２０のみによって、無線通信装置６１０により取得された情報に基づいて出力媒体の持出しルールを特定することで、出力媒体のゲート通過を制御する媒体退出管理部が構成される。

この場合、退出制御部６２０について、ＣＰＵや各種のメモリなどを備えたパーソナルコンピュータなどの一般的な情報処理装置と同様にして構成することで、その機能を実現するプログラムコードに基づき電子計算機（コンピュータ）を用いてソフトウェア的に実現することも可能である。

ソフトウェアで行なう仕組みは、並列処理や連続処理に柔軟に対処し得るものの、その処理が複雑になるに連れ処理時間が長くなるため、処理速度の低下が問題となる。これに対して、ハードウェア処理回路で行なうことで、高速化を図ったアクセラレータシステムを構築することができるようになる。アクセラレータシステムは、処理が複雑であっても、処理速度の低下を防ぐことができ、高いスループットを得ることができる。

このような構成において、セキュリティ印刷管理機能をコンピュータに実行させるプログラムは、ＣＤ−ＲＯＭなどの記録媒体を通じて配布される。あるいは、このプログラムは、ＣＤ−ＲＯＭではなくＦＤに格納されてもよい。また、ＭＯドライブを設け、ＭＯに前記プログラムを格納してもよく、またフラッシュメモリなどの不揮発性の半導体メモリカードなど、その他の記録媒体にプログラムを格納してもよい。さらに、他のサーバなどからインターネットなどのネットワークを経由してプログラムをダウンロードして取得したり、あるいは更新したりしてもよい。また、ハードディスク装置は、制御プログラムによる各種処理のためのデータを格納したり、外部から受信した提供情報などを大量に一時的に格納したりする領域を含んでいる。

たとえば、機密管理装置８において、持出しルールを含む機密印刷情報Ｊ１の通知を画像出力端末７から受けたとき、機密印刷情報管理部８３０は、持出しルールを含む機密印刷情報Ｊ１を、各ページのタグ付き用紙９０（の電子荷札９１）で特定される固有識別子ＩＤと持出しルールとを対応付けて、所定の不揮発性の記憶媒体（たとえばＮＶＲＡＭ８１６）にデータベースＤＢとして登録する。また、ホスト側装置１００での出力指示後に持出しルールの変更通知を受けたときには、機密印刷情報管理部８３０は、登録済の持出しルールを更新する。

この後、機密管理装置８は、セキュリティゲート６ｂ，６ｄから固有識別子ＩＤの通知を受け取ると、データベースＤＢに登録済の固有識別子ＩＤに対応付けられている持出しルールを参照して、持出しルールに整合するユーザＺのみ、そのタグ付き用紙９０の持出しを許可する。

なお、本実施形態の構成では、セキュリティゲート６ｂ，６ｄと機密管理装置８との協働処理によって、セキュリティ印刷管理機能（持出し監視機能）を実現するように構成しているが、前述のように、持出しルールを電子荷札９１に書き込む機能部（管理情報記録部３３６）をプリンタ２００に設けることで、機密管理装置８を有しないシステム構成を採ることもできる。

この場合、セキュリティゲート６ｂ，６ｄは、電子荷札９１に記憶されている管理情報を無線通信装置６１０にて読み取り、退出制御部６２０は、読み取られた持出しルールを参照して、また、必要に応じて、認証情報取得部６３０によりユーザ認証情報ＵＩＤの入力を受け付け、これらの情報に基づいて、正規ユーザによるセキュリティ対象文書の出力結果物の持出しを許可するとともに、不正規ユーザによるセキュリティ対象文書の出力結果物の持出しを禁止する。つまり、タグ付き用紙９０の通過を制御する。セキュリティ対象文書の印刷結果物の不正持出しを禁止するだけでよければ、このようなシステム構成でも十分であるし、機密管理装置８を必要としない分、システム構成をコンパクトにすることができる利点がある。

＜処理手順；第１実施形態＞
図４〜図７は、セキュリティ印刷機能を実現する一連の処理手順の第１実施形態を説明する図である。第１実施形態の処理手順は、図１に示したシステム構成のように、機密管理装置８を備えているシステム構成の場合である。ここで、図４は、第１実施形態のセキュリティ印刷処理手順の一例を示すフローチャートである。また、図５〜図７は、図１に示したシステム構成において、図４に示した所定の処理ステップの状態を模式的に示した図である。

先ず、印刷出力を希望するユーザＺは、画像入力端末３（ホスト側装置１００）にて、プリンタ２００（画像出力端末７）に対して、印刷出力を指示する。この際、持出し不可の機密文書や正規ユーザ以外の持出しが禁じられるような文書を始めとする各種のセキュリティ対象文書以外の一般文書を印刷する際には、任意の画像出力端末７にて一般の出力媒体への画像形成を実施する通常印刷モードを指示し（Ｓ１００−ＮＯ，Ｓ１０２）、セキュリティ対象文書を印刷する際には管理領域６ａ内の画像出力端末７ａもしくは管理領域６ｃ内の画像出力端末７ｃにてタグ付き用紙９０への画像形成を実施する機密文書印刷モードを指定する（Ｓ１００−ＹＥＳ，Ｓ１０４）。

機密文書印刷モードが指定されると（Ｓ１０４）、プリンタ２００は、どのような持出しルールを設定するのかを特定する（Ｓ１１０）。この際には、たとえば、ユーザＺに問い合わせて持出しルールを特定する、もしくは、セキュリティ対象文書ごとに予め決められている持出しルールを自動選択する、など様々な手法を採ることができる。

ホスト側装置１００は、プリンタ２００（画像出力端末７ａ（もしくは７ｃ））に、ネットワーク９を介して出力ジョブデータを送信する（Ｓ１１２）。この際、機密出力ジョブＤＯＣ_2の場合には、図５に示す印刷指示ステップのように、特定した持出しルールを機密文書の印刷指示（機密出力ジョブＤＯＣ_2）と対応付けて画像出力端末７ａ（もしくは７ｃ）にネットワーク９を介して送信する（Ｓ１１２）。持出しルールの設定は、出力指示後に、その機密出力ジョブＤＯＣ_2を特定して、機密管理装置８に通知してもよい（Ｓ１１８）。

持出しルールとしては、印刷ジョブの出力結果物全体について、たとえば、持出しの全面禁止、本人（ユーザＡ）や代理人（ユーザＤ）などの正規ユーザのみ持出し可能、など持出しを許可するユーザ範囲を設定することが考えられる。これにより、セキュリティ対象文書を間違えて他人が持って行かないようにすることができる。

なお、持出しの全面許可を持出しルールとして設定してもよいし、持出しルールそのものを未設定にしてもよい。全面許可や未設定の場合、セキュリティゲート６ｂ，６ｄでは、事実上、セキュリティ機能を担保することはできないが、持ち出されたタグ付き用紙９０を別ルートで追跡調査することで、セキュリティ機能を担保することは可能である。

また、本例では、印刷ジョブ全体について１つの持出しルールを設定することを前提とするが、これに限らず、出力ジョブの各ページのそれぞれに、個別の持出しルールを設定する態様を採ってもよい。

プリンタ２００（画像出力端末７ａ，７ｃ）の印刷制御部３００は、ホスト側装置１００から出力ジョブデータ受け取ると（Ｓ１２０−ＹＥＳ）、その出力ジョブデータが通常出力ジョブＤＯＣ_1であるのか機密出力ジョブＤＯＣ_2であるのかを出力ジョブ判定部３０２により判定する（Ｓ１２２）。

通常出力ジョブＤＯＣ_1であれば（Ｓ１２２−ＮＯ）、印刷制御部３００は、通常用紙９９を用いて印刷処理を実行するようにプリントエンジン部３１０や媒体搬送制御部３２０を制御する（Ｓ１２３，Ｓ１２６）。正規ユーザ、すなわち、本人（ユーザＡ）もしくは代理人（ユーザＤ）は、出力結果物を受け取るため、出力指示を発したプリンタ２００の設置されている場所に赴く（Ｓ１２８）。

一方、プリンタ２００が機密文書指定の文書印刷指示、すなわち機密文書印刷モードが指定された機密出力ジョブＤＯＣ_2を受け取ると（Ｓ１２２−ＹＥＳ）、印刷制御部３００は、図６に示す印刷出力処理ステップのように、識別情報取得部３３４を介して固有識別子ＩＤを取得するとともに、ホスト側装置１００から通知された持出しルールを固有識別子ＩＤに対応付けて、機密文書印刷モードで印刷処理したことを示す機密印刷情報Ｊ１として、セキュリティシステムを管理する監視機構側の機密管理装置８に機密印刷情報通知部３０８により通知する（Ｓ１２４）。

なお、画像出力端末７ａ，７ｃそのものに、機密管理装置８の機能を設けて、一体化したシステム構成にする場合は、使用するタグ付き用紙９０に添付されている電子荷札９１の固有識別子ＩＤと機密出力ジョブＤＯＣ_2の指示に基づく持出しルールとを対応付けて、内蔵の不揮発性の記憶媒体（ＮＶＲＡＭ２１６，８１６）にデータベースＤＢとして記憶（登録）しておけばよい。

そして、印刷制御部３００は、ＩＣタグや電子荷札と称される非接触ＩＣチップの付いたタグ付き用紙９０を用いて印刷処理を実行するように、プリントエンジン部３１０や媒体搬送制御部３２０を制御する（Ｓ１２５，Ｓ１２６）。正規ユーザ、すなわち、本人（ユーザＡ）もしくは代理人（ユーザＤ）は、出力結果物を受け取るため、出力指示を発したプリンタ２００の設置されている場所に赴く（Ｓ１２８）。

なお、機密出力ジョブＤＯＣ_2として、即時の出力処理ではなく、親展印刷のように、出力ジョブデータを画像出力端末７にて保持しておき、出力指示を発した本人（ユーザＡ）もしくは代理人（ユーザＤ）がプリンタ２００の設置されている場所まで出向いて、プリンタ２００の操作パネル上で出力指示を発することで、実際の印刷出力処理を開始するようにしてもよい。

機密管理装置８に通知するセキュリティ印刷情報Ｊ１としては、機密文書印刷モードで印刷した各ページのタグ付き用紙９０（つまりＩＣチップ９２）の固有識別子ＩＤと、ホスト側装置１００にて設定された持出しルールが典型例である。

この機密印刷情報Ｊ１の通知を受けた機密管理装置８は、機密印刷情報Ｊ１を機密印刷情報管理部８３０にて、各ページのタグ付き用紙９０（の電子荷札９１）で特定される固有識別子ＩＤと持出しルールとを対応付けて、所定の記憶媒体にデータベースＤＢとして登録しておく（Ｓ１２８）。ホスト側装置１００側での出力指示後に、持出しルールがホスト側装置１００から通知された場合は、登録済の持出しルールを変更登録（更新）する。何れも、固有識別子ＩＤを介して、タグ付き用紙９０と持出しルールとを１対１に対応付けるためである。

機密管理装置８は、図７に示す退出管理ステップのように、データベースＤＢに登録している機密印刷情報Ｊ１との照合によって、タグ付き用紙９０の電子荷札９１に割り当てられている固有識別子ＩＤおよびそれに対応する持出しルールとユーザ認証情報ＵＩＤとに基づいて、ユーザ認証処理およびゲート開閉制御処理を実行することで、正規ユーザによるセキュリティ対象文書の出力結果物の持出しを許可するとともに、不正規ユーザによるセキュリティ対象文書の出力結果物の持出しを禁止する（Ｓ１３０〜Ｓ１８０）。

具体的には、機密管理装置８は、機密印刷情報管理部８３０が管理するデータベースＤＢに登録されている機密印刷情報Ｊ１が存在する限り、先ず、タグ付き用紙９０の退出を監視するべく、セキュリティゲート６ｂ，６ｄを介して所定の時間間隔でタグ付き用紙９０にアクセスしようとしている。

ここで、機密文書印刷モードで印刷した各ページのタグ付き用紙９０を、あるユーザＺが、管理領域６ａからセキュリティゲート６ｂを通って、あるいは管理領域６ｃからセキュリティゲート６ｄを通って持ち出そうとする。この時点では、セキュリティゲート６ｂ，６ｄは閉じた状態にあり、基本的には（たとえば強行突破をしない限り）、ユーザＺは、ゲート通過が不可能である。

このとき、セキュリティゲート６ｂ，６ｄの監視エリア（事実上の機密管理装置８の監視エリア）内にタグ付き用紙９０を持ったユーザＺが通過し、その監視タイミングに合致して（Ｓ１３２−ＹＥＳ）、電子荷札９１からの応答があると（Ｓ１３４−ＹＥＳ）、機密管理装置８（詳しくはセキュリティゲート６ｂ，６ｄの無線通信装置６１０）とタグ付き用紙９０の電子荷札９１との間で通信が開始され、無線通信装置６１０は、電子荷札９１から固有識別子ＩＤを受け取る（Ｓ１３８）。

すなわち、機密管理装置８は、所定の時間間隔で各種のタグ付き用紙９０に添付されている電子荷札９１に無線通信装置６１０を介して通信開始のコマンドを送りアクセスする。セキュリティゲート６ｂ，６ｄの監視範囲内にあるタグ付き用紙９０に添付されている電子荷札９１は、このアクセスに対して応答する。セキュリティゲート６ｂ，６ｄの無線通信装置６１０は、電子荷札９１から応答があると、データ受付コマンドを送り、電子荷札９１から固有識別子ＩＤを受け取る。

セキュリティゲート６ｂ，６ｄの無線通信装置６１０は、電子荷札９１から固有識別子ＩＤを受け取ると、ネットワーク９を介して機密管理装置８と通信して、この固有識別子ＩＤをそのまま機密管理装置８に通知する。

この固有識別子ＩＤを受け取った機密管理装置８は、データベースＤＢに登録している機密印刷情報Ｊ１との照合によって、受け取った固有識別子ＩＤが、持出しのユーザ範囲を制限すべきものであるか否かを判定する（Ｓ１４４）。具体的には、先ず、受け取った固有識別子ＩＤに持出しルールが設定されているか否かを判定し、また持出しルールが設定されている場合には、さらに持出しを許可するユーザ範囲が制限されているか否かを判定する。機密管理装置８は、持出しのユーザ範囲を制限する必要がないときには（Ｓ１４４−ＮＯ）、セキュリティゲート６ｂ，６ｄの退出制御部６２０に対してゲートの開放を許可する。つまり、ユーザ制限なしでの通過を許可する（Ｓ１４６，Ｓ１８０）。

一方、持出しのユーザ範囲を制限する必要があるときには（Ｓ１４４−ＹＥＳ）、機密管理装置８は、セキュリティゲート６ｂ，６ｄの認証情報取得部６３０と協働して、ユーザ認証を行なうためのユーザ認証情報の入力を、セキュリティゲート６ｂ，６ｄを通過しようとしているユーザＺに求める（Ｓ１５０）。ＩＤコード入力パネルやＩＤカード読取装置などでなる認証情報取得部６３０は、ユーザＺによるユーザ認証情報ＵＩＤの入力を受け付けると、機密管理装置８とネットワーク９を介して通信して、このユーザ認証情報ＵＩＤ（ユーザ情報）をそのまま機密管理装置８に通知する（Ｓ１５４）。

機密管理装置８は、収集した各ページのタグ付き用紙９０（の電子荷札９１）で特定される固有識別子ＩＤに対応付けられている持出しルールを特定するとともに、セキュリティゲート６ｂ，６ｄの認証情報取得部６３０から受け取ったユーザ認証情報ＵＩＤと、データベースＤＢに登録している機密印刷情報Ｊ１の持出しルールとの整合性をチェックする（Ｓ１６０）。ここでの整合性チェックは、タグ付き用紙９０を持ち出す人物が、持出しルールで許可された人物であるか否かの判定である。

機密管理装置８は、タグ付き用紙９０を持ち出そうとしたユーザＺが持出しルールで許可された人物であれば（Ｓ１６０−ＹＥＳ）、セキュリティゲート６ｂ，６ｄの退出制御部６２０に対してゲートの開放を許可する（Ｓ１８０）。これにより、たとえば、出力指示を発した本人（ユーザＡ）や代理人その他の正規ユーザは、機密文書を印刷したタグ付き用紙９０を持ち出すことができる。

一方、機密管理装置８は、タグ付き用紙９０を持ち出そうとしたユーザＺの整合性チェック処理に失敗した場合、つまり、タグ付き用紙９０を持ち出そうとしたユーザＺが持出しルールで許可された人物と異なる場合（Ｓ１６０−ＮＯ）、警備処理部６６０と協働して警告を発するとともに、持ち出そうとしたタグ付き用紙９０を回収ボックスへ投入するように、持ち出そうとしたユーザＺに通知する（Ｓ１６６）。

この回収指示に従って、持ち出そうとしたタグ付き用紙９０が回収ボックスへ投入されると（Ｓ１７０−ＹＥＳ）、このことを検知した回収部６４０は、その旨を機密管理装置８に通知する。これを受けて、機密管理装置８は、セキュリティゲート６ｂ，６ｄの退出制御部６２０に対してゲートの開放を許可する（Ｓ１８０）。これにより、機密文書を印刷したタグ付き用紙９０を持ち出そうとした不正規ユーザでも、そのタグ付き用紙９０の持出しを放棄することで、管理領域６ａ，６ｃから出ることができる。

一方、機密管理装置８は、回収指示後、所定時間内にタグ付き用紙９０を回収できないときには（Ｓ１７０−ＮＯ）、セキュリティゲート６ｂ，６ｄの退出制御部６２０に対してゲートの開放を禁止を指示したまま、警備処理部６６０と協働して、管理人への通報など、所定の警備処置を講じる（Ｓ１７６）。これにより、機密文書を印刷したタグ付き用紙９０を持ち出そうとした不正規ユーザに対しての警備を担保できる。

このように、機密管理装置８を具備した画像出力管理システム１の仕組みでは、各タグ付き用紙９０に添付した電子荷札９１に機密管理装置８からアクセスして、各電子荷札９１に書き込まれている固有識別子ＩＤを読み出し、監視範囲内に存在する各電子荷札９１の状態と、データベースＤＢに管理されているその固有識別子ＩＤに対応付けられている持出しルールとを解析して、ゲート通過を制御するようにした。

タグ付き用紙９０に添付されている電子荷札９１に格納されている情報に基づいて特定されるタグ付き用紙９０の持出しルールに基づいて、そのタグ付き用紙９０のゲート通過を制御するので、機密文書を人的ミスによる持ち出しから守ることができるし、悪意のある持ち出しを抑止することができる。持出し不可の機密文書や正規ユーザ以外の持出しが禁じられるようなセキュリティ対象文書を印刷する際に、間違えて持ち出されることを確実に禁止することができるのである。

電子荷札９１を利用してセキュリティ対象文書についての印刷出力結果物の退室管理を実現できるので、電子マネー用のＩＣカードの仕組みや、電子チケットなど電子荷札を利用した一般的な入退室管理などの仕組みと同様に、管理制御のための処理時間を短くすることができる利点がある。

また、電子荷札９１を利用してセキュリティ印刷機能を実現するようにしているので、鍵付きのソータが不要であるし、鍵や暗号なども必要である。もちろん、物理的な鍵付きのソータが不要であるから、タグ付き用紙９０が十分にありさえすれば、セキュリティ印刷を使用できる人数が制限されることもない。

また、不正規ユーザに対しては、警告を発したり、回収ボックスへの放棄を促したりすことで、悪意のある持出しを抑止することができる。

また、持出しルールの設定として本人以外を設定することができる、つまり、印刷指示した本人（ユーザＡ）でなくとも代理人などを正規ユーザに割り当てることができるので、出力指示を発した本人（ユーザＡ）の鍵や暗号を持たなくとも、その代理人の本人確認ができれば、機密文書を持ち出すことは可能である。たとえば、ホスト側装置１００とプリンタ２００とが離れた遠隔地の場合に、信用できる他の人物を代理人に設定して、その代理人に文書を取ってもらうことができる。

また、印刷結果物に、セキュリティ対象文書の持出しルール（事実上の機密文書ルール）を任意に設定することができるので、文書の様々なセキュリティレベルの管理ができる利点もある。たとえば、出力ジョブを発する各ページのそれぞれに個別の持出しルールを設定することで、文書の一部の持出しも制御することができる。

もちろん、セキュリティ対象文書以外の文書は、タグ付き用紙９０ではなく、通常用紙９９に出力することで、問題なく持ち出すことができる。

また、後述する第２実施形態の処理手順とは異なり、機密管理装置８を備えたシステム構成としているので、持出しルールを設定して出力指示を発した後にでも（Ｓ１１２）、持出しルールを変更する（Ｓ１１８）ことができる利点がある。たとえば、当初は、本人（ユーザＡ）が出力結果物を取りに行くことを予定していたが、後に、代理人（ユーザＤ）に出力結果物を取りに行くことを依頼する場合に対処できる。

さらに、正規ユーザによって持ち出された後にも、あるいは、不正規ユーザによって悪意を持って（たとえばゲートの強行突破）で持ち出された後にも、その持ち出された出力結果物（タグ付き用紙９０）には依然として電子荷札９１が添付されているので、その電子荷札９１に記憶されている情報に基づき、その出力結果物の移動を管理することもできる。要するに、ゲート通過後にも、ある程度の追跡が可能である。

＜処理手順；第２実施形態＞
図８は、第２実施形態のセキュリティ印刷処理手順の一例を示すフローチャートである。第２実施形態の処理手順は、持出しルールを電子荷札９１に書き込む機能部（管理情報記録部３３６）をプリンタ２００に設けることで、機密管理装置８を有しないシステム構成を採る場合である。以下、第１実施形態との相違点を中心に説明する。

プリンタ２００は、機密文書指定の文書印刷指示、すなわち機密文書印刷モードが指定された機密出力ジョブＤＯＣ_2を受け取ると（Ｓ１２２−ＹＥＳ）、ＩＣタグや電子荷札と称される非接触ＩＣチップの付いたタグ付き用紙９０を用いて印刷処理を実行する（Ｓ１２５，Ｓ１２６）。また、管理情報記録部３３６は、機密文書印刷モードで印刷処理したことを示す機密印刷情報Ｊ１をタグに残すべく、持出しルールを電子荷札９１に記録する（Ｓ１２７）。

なお、この第２実施形態の処理手順では、持出しルールを直接にタグ付き用紙９０の電子荷札９１に書き込むので、タグ付き用紙９０と持出しルールとを１対１に対応付けることができるため、固有識別子ＩＤの記録は不要である。

セキュリティゲート６ｂ，６ｄは、無線通信装置６１０で取得されるタグに記録された持出しルールとユーザ認証情報ＵＩＤとに基づいて、ユーザ認証処理およびゲート開閉制御処理を実行することで、正規ユーザによるセキュリティ対象文書の出力結果物の持出しを許可するとともに、不正規ユーザによるセキュリティ対象文書の出力結果物の持出しを禁止する（Ｓ１３２〜Ｓ１７６）。

具体的には、セキュリティゲート６ｂ，６ｄは、タグ付き用紙９０の退出を監視するべく、所定の時間間隔でタグ付き用紙９０にアクセスしようとしている。ここで、機密文書印刷モードで印刷した各ページのタグ付き用紙９０を、あるユーザＺが、管理領域６ａからセキュリティゲート６ｂを通って、あるいは管理領域６ｃからセキュリティゲート６ｄを通って持ち出そうとする。この時点では、セキュリティゲート６ｂ，６ｄは閉じた状態にあり、基本的には（たとえば強行突破をしない限り）、ユーザＺは、ゲート通過が不可能である。

このとき、セキュリティゲート６ｂ，６ｄの監視エリア（事実上の機密管理装置８の監視エリア）内にタグ付き用紙９０を持ったユーザＺが通過し、その監視タイミングに合致して（Ｓ１３２−ＹＥＳ）、電子荷札９１からの応答があると（Ｓ１３４−ＹＥＳ）、セキュリティゲート６ｂ，６ｄの無線通信装置６１０とタグ付き用紙９０の電子荷札９１との間で通信が開始され、無線通信装置６１０は、電子荷札９１から持出しルールを受け取る（Ｓ１３９）。

すなわち、セキュリティゲート６ｂ，６ｄは、所定の時間間隔で各種のタグ付き用紙９０に添付されている電子荷札９１に無線通信装置６１０を介して通信開始のコマンドを送りアクセスする。セキュリティゲート６ｂ，６ｄの監視範囲内にあるタグ付き用紙９０に添付されている電子荷札９１は、このアクセスに対して応答する。セキュリティゲート６ｂ，６ｄの無線通信装置６１０は、電子荷札９１から応答があると、データ受付コマンドを送り、電子荷札９１から持出しルールを受け取る。なお、アクセスした電子荷札９１から持出しルールを受信できないときには、持出しルールが設定されていないことになる。

セキュリティゲート６ｂ，６ｄの無線通信装置６１０は、電子荷札９１から持出しルールを受け取ると、そのまま退出制御部６２０に通知する。

この持出しルールを受け取った退出制御部６２０は、持出しのユーザ範囲を制限すべきものであるか否かを判定する（Ｓ１４４）。具体的には、先ず、持出しルールが設定されているか否かを判定し、また持出しルールが設定されている場合には、さらに持出しを許可するユーザ範囲が制限されているか否かを判定する。退出制御部６２０は、持出しのユーザ範囲を制限する必要がないときには（Ｓ１４４−ＮＯ）、ゲートの開放を許可する。つまり、ユーザ制限なしでの通過を許可する（Ｓ１４６，Ｓ１８０）。

一方、持出しのユーザ範囲を制限する必要があるときには（Ｓ１４４−ＹＥＳ）、退出制御部６２０は、認証情報取得部６３０にて、ユーザ認証を行なうためのユーザ認証情報の入力を、セキュリティゲート６ｂ，６ｄを通過しようとしているユーザＺに求める（Ｓ１５０）。ＩＤコード入力パネルやＩＤカード読取装置などでなる認証情報取得部６３０は、ユーザＺによるユーザ認証情報ＵＩＤの入力を受け付けると（Ｓ１５４）、このユーザ認証情報ＵＩＤと、電子荷札９１から取得済の持出しルールとの整合性をチェックする（Ｓ１６０）。ここでの整合性チェックは、タグ付き用紙９０を持ち出す人物が、持出しルールで許可された人物であるか否かの判定である。

退出制御部６２０は、タグ付き用紙９０を持ち出そうとしたユーザＺが持出しルールで許可された人物であれば、ゲートの開放を許可する（Ｓ１６０−ＹＥＳ，Ｓ１８０）。これにより、たとえば、出力指示を発した本人（ユーザＡ）や代理人その他の正規ユーザは、機密文書を印刷したタグ付き用紙９０を持ち出すことができる。

一方、退出制御部６２０は、タグ付き用紙９０を持ち出そうとしたユーザＺの整合性チェック処理に失敗した場合、つまり、タグ付き用紙９０を持ち出そうとしたユーザＺが持出しルールで許可された人物と異なる場合、警備処理部６６０により、警告を発するとともに、持ち出そうとしたタグ付き用紙９０を回収ボックスへ投入するように、持ち出そうとしたユーザＺに通知する（Ｓ１６０−ＮＯ，Ｓ１６６）。

この回収指示に従って、持ち出そうとしたタグ付き用紙９０が回収ボックスへ投入されたことを回収部６４０で検知すると、退出制御部６２０は、ゲートの開放を許可する（Ｓ１７０−ＹＥＳ，Ｓ１８０）。これにより、機密文書を印刷したタグ付き用紙９０を持ち出そうとした不正規ユーザでも、そのタグ付き用紙９０の持出しを放棄することで、管理領域６ａ，６ｃから出ることができる。

一方、退出制御部６２０は、回収指示後、所定時間内にタグ付き用紙９０を回収できないときには（Ｓ１７０−ＮＯ）、ゲートの開放を禁止を指示したまま、警備処理部６６０にて、管理人への通報など、所定の警備処置を講じる（Ｓ１７６）。これにより、機密文書を印刷したタグ付き用紙９０を持ち出そうとした不正規ユーザに対しての警備を担保できる。

このように、第２実施形態の処理手順では、機密出力ジョブＤＯＣ_2時にはプリンタ２００の管理情報記録部３３６にて持出しルールを電子荷札９１に書き込むようにしたので、機密管理装置８を具備していない画像出力管理システム１の仕組みでも、第１実施形態の処理手順と概ね同様にして、正規ユーザによるセキュリティ対象文書の出力結果物の持出しを許可するとともに、不正規ユーザによるセキュリティ対象文書の出力結果物の持出しを禁止することができる。

機密出力ジョブＤＯＣ_2時には持出しルールを電子荷札９１に書き込んでおく必要があるので、持出しルールを設定して出力指示を発した後には、持出しルールの変更が不可能であるが、機密管理装置８を使用しなくてもよいので、システム構成をコンパクトにすることができる利点がある。

セキュリティ印刷機能に対応した画像出力管理システムを示す概略図である。 画像出力管理システムにおける印刷制御処理を実行する機能部の構成例を示した図である。 セキュリティ印刷管理処理を実行する機能部の構成例を示した図である。 セキュリティ印刷機能を実現する処理手順の第１実施形態を示すフローチャートである。 図１に示したシステム構成において、図４に示した印刷指示ステップ（Ｓ１００〜Ｓ１１２）の状態を模式的に示した図である。 図１に示したシステム構成において、図４に示した印刷出力処理ステップ（Ｓ１２０〜Ｓ１２４）の状態を模式的に示した図である。 図１に示したシステム構成において、図４に示した退出管理ステップ（Ｓ１３０〜Ｓ１８０）の状態を模式的に示した図である。 セキュリティ印刷機能を実現する処理手順の第２実施形態を示すフローチャートである。

符号の説明

１…画像出力管理システム、２…媒体移動監視装置、３…画像入力端末、６…情報処理センタ、６ｂ，６ｄ…セキュリティゲート、８…機密管理装置、９…ネットワーク、９０…タグ付き用紙、９１…電子荷札（ＩＣタグ、無線タグ）、９２…ＩＣチップ、９４…アンテナ、９９…通常用紙、１００…ホスト側装置、１２０…中央制御部、２００…プリンタ、３００…印刷制御部、３０２…出力ジョブ判定部、３０８…機密印刷情報通知部、３１０…プリントエンジン部、３２０…媒体搬送制御部、３３４…識別情報取得部、３３６…管理情報記録部、６１０…無線通信装置、６２０…退出制御部（媒体退出管理部）、６３０…認証情報取得部、６４０…回収部、６６０…警備処理部、８０１…コントローラ部（媒体退出管理部）、８３０…機密印刷情報管理部

Claims (14)

1. 画像形成指示装置から出力ジョブを発して、前記出力ジョブに基づいて、画像形成装置において所定の出力媒体に画像を形成する画像出力管理方法であって、
   前記出力ジョブが、不正持出しを制限する必要のある機密出力ジョブのときには、前記出力媒体として電子荷札が添付されたものを使用し、
   前記機密出力ジョブについての出力結果物の移動を、前記電子荷札に記憶されている当該機密出力ジョブに関する情報に基づき特定される当該出力結果物の持出しルールに基づいて監視する
   ことを特徴とする画像出力管理方法。
2. 画像形成指示装置から出力ジョブを発して、前記出力ジョブに基づいて、画像形成装置において所定の出力媒体に画像を形成する画像出力管理システムであって、
   前記出力媒体に関する所定の情報を記憶する電子荷札が添付された前記出力ジョブについての出力結果物について、その移動を監視する媒体移動監視装置を備え、
   前記画像形成指示装置は、前記出力ジョブが不正持出しを制限する必要のあるときには、前記出力媒体として前記電子荷札が添付されたものを使用する機密出力ジョブを指示するとともに、当該機密出力ジョブの出力結果物の持出しルールを設定し、
   前記画像形成装置は、前記出力ジョブが、不正持出しを制限する必要のある機密出力ジョブのときには、前記出力媒体として、前期電子荷札が添付されたものを使用し、
   前記媒体移動監視装置は、前記機密出力ジョブについての出力結果物の移動を、前記電子荷札に記憶されている当該機密出力ジョブに関する情報に基づき特定される当該出力結果物の持出しルールに基づいて監視する
   ことを特徴とする画像出力管理システム。
3. 画像形成装置に対して、所定の出力媒体に画像を形成するように出力ジョブを発する画像形成指示装置であって、
   前記出力ジョブが、不正持出しを制限する必要のあるときには、前記出力媒体として電子荷札が添付されたものを使用する機密出力ジョブを指示するとともに、当該機密出力ジョブの出力結果物の持出しルールを設定する画像形成指示部
   を備えることを特徴とする画像形成指示装置。
4. 画像形成指示装置から発せられた出力ジョブに基づいて、所定の出力媒体に画像を形成する画像形成装置であって、
   前記出力ジョブが不正持出しを制限する必要のある機密出力ジョブであるか否かを判定する出力ジョブ判定部、および前記出力媒体の移動を監視する媒体移動監視装置に情報を通知する情報通知部を具備し、前記出力ジョブ判定部が、前記出力ジョブが不正持出しを制限する必要のある機密出力ジョブと判定したとき、前記出力媒体として、当該出力媒体を一意に特定する識別情報を記憶した電子荷札が添付されたものを使用した画像形成を実施するように制御するとともに、前記機密出力ジョブに使用される前記出力媒体の前記電子荷札から前記識別情報を取得し、当該識別情報と当該出力媒体の持出しルールを前記情報通知部により前記媒体移動監視装置に通知するように制御する制御部
   を備えたことを特徴とする画像形成装置。
5. 前記機密出力ジョブに使用される前記出力媒体の前記電子荷札から前記識別情報を取得する識別情報取得部を、前記出力媒体の搬送過程における、画像形成処理が開始される前の箇所に備えている
   ことを特徴とする請求項４に記載の画像形成装置。
6. 画像形成指示装置から発せられた出力ジョブに基づいて、所定の出力媒体に画像を形成する画像形成装置であって、
   前記出力媒体に添付されている電子荷札に所定の情報を書き込む情報記録部と、
   前記出力ジョブが、不正持出しを制限する必要のある機密出力ジョブであるか否かを判定する出力ジョブ判定部を具備し、前記出力ジョブ判定部が、前記出力ジョブが不正持出しを制限する必要のある機密出力ジョブと判定したとき、前記出力媒体として、前記電子荷札が添付されたものを使用した画像形成を実施するように制御するとともに、前記機密出力ジョブに使用される前記出力媒体の前記電子荷札に、当該出力媒体の持出しルールを前記情報記録部により書き込むように制御する制御部
   を備えたことを特徴とする画像形成装置。
7. 前記情報記録部は、前記出力媒体の搬送過程における、画像形成処理が開始される前の箇所に設けられている
   ことを特徴とする請求項６に記載の画像形成装置。
8. 画像形成装置において出力ジョブに基づいて画像が形成された出力媒体の移動を監視する媒体移動監視装置であって、
   電子荷札が添付された前記出力ジョブについての出力結果物について、無線通信処理により前記電子荷札に記憶されている情報を取得する無線通信部と、
   前記無線通信部により取得された前記情報に基づいて前記出力媒体の持出しルールを特定することで、当該出力媒体のゲート通過を制御する媒体退出管理部と
   を備えることを特徴とする媒体移動監視装置。
9. 前記出力ジョブに使用された前記出力媒体に添付された前記電子荷札に記憶されている前記出力媒体を一意に特定する識別情報と、前記出力ジョブに使用された前記出力媒体の持出しルールとを管理する機密印刷情報管理部
   をさらに備え、
   前記無線通信部は、前記出力媒体を一意に特定する識別情報を記憶した前記電子荷札が添付された前記出力ジョブの出力結果物について、無線通信処理により前記識別情報を取得し、
   前記媒体退出管理部は、前記無線通信部により取得された前記識別情報に基づいて前記機密印刷情報管理部が管理している当該出力媒体の持出しルールを特定することで、当該出力媒体のゲート通過を制御する
   ことを特徴とする請求項８に記載の媒体移動監視装置。
10. 前記無線通信部は、前記電子荷札に記憶されている前記出力媒体の持出しルールを無線通信処理により取得し、
    前記媒体退出管理部は、前記無線通信部により取得された前記持出しルールに基づいて、当該出力媒体のゲート通過を制御する
    ことを特徴とする請求項８に記載の媒体移動監視装置。
11. 画像形成装置に対して、所定の出力媒体に画像を形成するように出力ジョブを発する画像形成指示処理をコンピュータを用いて行なうためのプログラムであって、
    前記コンピュータを、
    前記出力ジョブが、不正持出しを制限する必要のあるときには、前記出力媒体として電子荷札が添付されたものを使用する機密出力ジョブを指示するとともに、当該機密出力ジョブの出力結果物の持出しルールを設定する画像形成指示部
    として機能させることを特徴とするプログラム。
12. 画像形成指示装置から発せられた出力ジョブに基づいて、所定の出力媒体に画像を形成する画像形成処理をコンピュータを用いて行なうためのプログラムであって、
    前記コンピュータを、
    前記出力ジョブが不正持出しを制限する必要のある機密出力ジョブであるか否かを判定する出力ジョブ判定部と、
    前記出力媒体の移動を監視する媒体移動監視装置に情報を通知する情報通知部と、
    前記出力ジョブ判定部が、前記出力ジョブが不正持出しを制限する必要のある機密出力ジョブと判定したとき、前記出力媒体として、当該出力媒体を一意に特定する識別情報を記憶した電子荷札が添付されたものを使用した画像形成を実施するように制御するとともに、前記機密出力ジョブに使用される前記出力媒体の前記電子荷札から前記識別情報を取得し、当該識別情報と当該出力媒体の持出しルールを前記情報通知部により前記媒体移動監視装置に通知するように制御する制御部
    として機能させることを特徴とするプログラム。
13. 画像形成指示装置から発せられた出力ジョブに基づいて、所定の出力媒体に画像を形成する画像形成処理をコンピュータを用いて行なうためのプログラムであって、
    前記コンピュータを、
    前記出力ジョブが不正持出しを制限する必要のある機密出力ジョブであるか否かを判定する出力ジョブ判定部と、
    前記出力ジョブ判定部が、前記出力ジョブが不正持出しを制限する必要のある機密出力ジョブと判定したとき、前記出力媒体として、電子荷札が添付されたものを使用した画像形成を実施するように制御するとともに、前記電子荷札に所定の情報を書き込む情報記録部に対して、前記機密出力ジョブに使用された前記出力媒体の前記電子荷札に、当該出力媒体の持出しルールを書き込むように制御する制御部
    として機能させることを特徴とするプログラム。
14. 画像形成装置において出力ジョブに基づいて画像が形成された出力媒体の移動を監視する媒体移動監視処理をコンピュータを用いて行なうためのプログラムであって、
    前記コンピュータを、
    前記出力媒体に添付されている電子荷札に記憶されている、不正持出しを制限する必要のある機密出力ジョブに関する情報に基づいて、前記出力媒体の持出しルールを特定し、この特定した持出しルールに従って当該出力媒体のゲート通過を制御する媒体退出管理部
    として機能させることを特徴とするプログラム。
    

Images