JP2008288985A - 印刷装置 - Google Patents

Abstract

【課題】 従来、機密情報が印刷装置の出力トレイの上に放置され、本来当該機密情報にアクセスできないユーザに情報が漏えいする危険性が存在した。
【解決手段】 印刷装置において、出力トレイに一定時間出力原稿が放置されているときに、情報漏えい対策としての破棄を行うために、印刷実施時に出力時間情報を電子透かしで埋め込み、印刷装置の管理者が放置原稿をスキャンし、前記出力時間情報を取り出して、経過時間を判断し、破棄してよいかの判断を自動的に行う。
また、必要に応じて出力者に破棄の通知を行う。
【選択図】 図１

Description

本発明は電子写真方式に代表される印字方式を利用した印刷装置やデジタル複合機に関わるものである。

昨今、セキュリティに対する世の中の認識が高まり、例えば企業における顧客情報流出に代表される情報漏えいの問題が社会問題として認知されつつある。また、２００５年から個人情報保護法が試行され、法的な面からも情報漏えいの対策が行なわれつつある。近年のセキュリティ上の問題の傾向として、ハッキングなどの外部からの攻撃よりも、社内の従業員が情報漏えいを実施するという内部犯行のケースが増えてきているという報告がなされている。このような背景から、社内といえども関係者以外に機密情報の参照や持ち出しをさせない対策が重要である。

印刷装置の世界では、ホストコンピュータで作成した画像データをネットワークを介して印刷装置に送られ、実際の用紙媒体に出力される。しかし、ホストコンピュータと印刷装置が遠い場所に設置されていたり、印刷を実施したユーザが自分が印刷を行った事実を忘却した場合、機密情報が印刷装置の出力トレイの上に放置され、本来当該機密情報にアクセスできないユーザに情報が漏えいする危険性が存在した。

この問題の対策として、従来の技術としてはセキュア印刷（あるいは機密印刷、セキュアード印刷）と呼ばれる印刷方式がセキュリティ対策として用いられている。これは印刷を実施する際に印刷ジョブ（印刷の要求単位）にパスワードなどの認証情報を付加し、ホストコンピュータから送信しただけでは印刷されず、ユーザが印刷装置に出向き、操作パネルからパスワードを入力し、認証が成功した場合にのみ印刷を開始する方式である。この方式により、ユーザが指示するまで実際の印刷が行われないため、出力トレイ上には当該印刷ジョブが放置されず、ユーザが印刷指示を印刷装置の目の前で実施するので、放置の問題が解消される。

一般論として、セキュリティ対策を行うことによって、厳密に実施しようとすればするほど、ユーザにとっての可用性が失われるという問題点がある。通常ならユーザは印刷実行後に印刷装置に出向き、出力結果を取得してすぐに席に戻ることができたが、上記のセキュア印刷においては以下の問題が発生する。

印刷ジョブを発行するためにパスワードを与えなくてはならない。さらに印刷装置に出向いて印刷指示を行う必要がある。

実際に印刷を指示してから、印刷エンジンを動作させて印刷を実施するまで遅延時間が発生し、ユーザは印刷ジョブの出力が完了するまで印刷装置の前で待機する必要がある。これはユーザにとって煩わしい作業と考えられる。

上記のように、可用性に問題があったため、セキュア印刷は実際にはあまり普及していないという現実が存在している。

別の方法として、印刷自体は通常の貯め置きを行わない印刷を実行し、出力トレイに置かれた印刷結果を一定時間放置していると確認されたら、印刷装置の管理者によって当該印刷結果を破棄する、といった運用も考えられる。厳密には出力されてから破棄されるまでの間に当該出力結果を第３者に盗みとられ、情報漏えいがなされる危険性は拭えないが、破棄するまでの一定時間を十分に短い時間に設定すれば、出力トレイ上に出力結果を放置される可能性が軽減し、また長時間原稿を放置すると出力原稿を強制的に破棄されるといった運用が定着することによって、一般ユーザに出力結果をすぐに取得しないといけないという意識の向上が図れるため、情報漏えい対策としては妥当であると考えられる。

従来、放置された原稿に対して注意を喚起する技術として、特開2005-45551があげられる。これは、印刷データに当該印刷ジョブ発行者の連絡先（電子メールアドレスなど）を記載し、出力トレイに据え付けられたセンサによって、一定時間出力結果の取り出しがないと判別されたときには放置とみなして、印刷装置に記憶されたジョブ発行者の連絡先情報を用いて、出力結果が放置されていることをジョブ発行者に通知する方法である。
特開2005-45551号公報

従来の課題として、先行実施件ではジョブ発行者の連絡先に通知を行うだけであるので、実際に当該ジョブ発行者によって印刷結果が取得されることは保証されていない、すなわち本質的に出力結果の放置が解決するわけではないという問題がある。実際に印刷装置の管理者が情報漏えい防止のために放置された出力結果を破棄したいと考えるが、連絡先に通知するだけでは不十分である。

一方、印刷装置の管理者が放置された出力結果を破棄したいと思った時に、実は出力結果は出力されてからそれほど時間が経っていない可能性もあり、この場合、実際に破棄を行ってしまうと印刷ジョブの発行者から苦情が寄せられる可能性があり、現実には破棄を実施するには躊躇すると考えられる。

また先行実施件のように、出力トレイにセンサを設けて出力トレイに出力結果が排出されている時間を計測し、一定時間経ったら放置と見なす方法もあるが、安価な機械の場合には出力トレイにセンサを取り付けることがコスト上困難であるという問題と、出力トレイから一旦原稿を持ち上げ、再度出力トレイに載せると、計測時間がリセットされ、放置と見なされないため破棄が行えない、といった問題もある。

上記の課題を解決するために、本発明による印刷装置は、
印刷する画像に出力時間情報を2次元バーコードや電子透かしによって埋め込んで出力を行う、出力情報埋め込み手段と、
原稿を光学スキャナなどによって読み込み、スキャン結果から電子透かしを読み込み、前記出力時間情報を取り出す、出力時間情報取得手段と、
前記出力時間情報取得手段によって獲得された時刻情報と、機器が保有する時刻情報を比較し、当該原稿の出力時間から一定時間経過しているかどうかを判定する破棄判断手段と、
前記出力時間情報取得手段に、原稿の読み込みを指示して出力時間を取り出し、前記破棄判断手段によって当該原稿を破棄してよいか判断を行わせ、判断結果を操作パネルに表示して印刷装置の管理者に通知する、破棄操作判定出力手段、
とから構成されることを特徴とする。

本発明によって、印刷装置の管理者は出力結果が放置された時間を正しく判断することが可能となるため、放置原稿を一定時間経過後に破棄することが可能となり、結果、情報漏えいに繋がる印刷装置の出力トレイの原稿放置を抑止することが可能となる。

（実施例１）
図１は本発明第１実施例の構成を示すブロック図である。

図１において、110は印刷装置、102は印刷ジョブを生成するホストコンピュータである。

印刷装置110はさらに、ホストコンピュータ102から印刷ジョブを受信するインターフェイス111、印刷ジョブを受信して後段に渡すジョブ受信部112、受信した印刷ジョブを解析して、PDL(Page Description Language=ページ記述言語)データと属性部に抽出して後段に渡すジョブ解析部113、PDLデータを解析が完了するまで一時的に格納しておく、ハードディスクドライブなどの２次記憶装置から構成されるスプーラ114、印刷ジョブの「ジョブ名」「送信時間」「ジョブオーナ」「画質レベル」などの属性情報を印刷ジョブの出力が完了するまで一時的に格納する属性格納部115、スプーラ114からPDLデータ、属性格納部115から属性情報を取得して解析し、印刷に必要な画像データを生成する画像生成部116、画像生成部116から生成された画像データを印刷が完了するまで一時的に格納する２次記憶装置からなる画像格納部117、属性情報から電子透かしを生成する電子透かし生成部120、画像格納部117から取得した画像データと電子透かし生成部120で生成された電子透かしを合成して埋め込み画像データを生成する電子透かし合成部118,現在時刻を記憶し、通知するタイマー121、前段で生成された画像データを電子写真技術やインクジェット技術などの既知の印刷技術を用いて用紙媒体に印刷を行う印刷部119、印刷装置110の設定や機能の動作指示を行う操作部122、操作部122の指示に従い、当該原稿を破棄していいかどうかの判定を行う原稿破棄判定部123、原稿を電気信号に変換する光学スキャナ125、光学スキャナ125が読み込んだ電気信号をデジタル情報であるイメージデータに変換する画像読み取り部124、画像読み取り部124が読み込んだイメージデータを解析して、中に含まれた電子透かしから埋め込まれた情報を獲得する電子透かし解析部126から構成される。

印刷装置110とホストコンピュータ102は無線LANなどの規定の通信媒体を介して接続される。

印刷部119は印刷技術の他に給紙、用紙搬送、排紙などの技術も含まれるが、従来技術から変更点がないので、説明を省略する。

次に電子透かし生成部120の動作を説明する。

用紙媒体に電子透かしを埋め込む具体的技術については、従来多くの技術が提案されているが、本実施例ではLVBC(Low Visibility BarCode)方式について説明する。なお、LVBC方式は電子透かしを説明するための一例であり、電子透かしとして用紙に情報を埋め込む技術であればよく、本発明に必須技術ではない。

LVBCは紙面にユーザが所望する画像イメージとは別に格子状の点列（グリッド）を配置し、グリッドの中心地から変移させた位置に、ドットを打ち込むことにより情報を埋め込むことで、解析が容易な情報埋め込み手段を提供するものである。グリッドの間隔をあけてドットを打ち込むことにより、比較的可視性が低く、インクやトナーなどの消耗品の消費量を防いで電子透かしを埋め込むことが可能である。

図３はLVBC方式で用紙に電子透かしを埋め込んだ際の拡大した模式図である。301の濃度の薄いドットは基底ドットを示しており、すべてのドットが格子状に並んでいることがわかる。基底ドットの位置には実際にはドットは印字しない。302は電子透かしとして実際に情報を埋め込んでドットを打ち込む電子透かしドットである。電子透かしドットは基底ドットの位置から８方向（dx,dy）のいずれかにわずかに変移しており、その変移の方向により８＝２＾３すなわち３bitの情報を埋め込むことが可能である。

図４は各ドットの打ち込み位置がどのように情報埋め込みに反映されるかを示す模式図である。各グリッド上のドットは打ち込む位置によって０〜７の値をとることが可能であり、これが３bitの情報となる。図４では１２個の電子透かしドットを打ち込むことにより、３bitｘ１２個＝36bit＝4.5byteの情報を埋め込むことが可能である。

印刷装置110で印刷された原稿はプリント、コピーともに、タイマー121から取得された時刻情報を埋め込まれて印刷が行われる。この時刻情報を使用して放置原稿の判定を実施する。

図１１は本実施例における埋め込まれた電子透かしデータの情報を示す図である。図１１によれば、出力時間として2005年12月12日の20:00に出力されたことが判断できる。

次に印刷装置の管理者が出力原稿を発見し、一定時間放置された原稿かどうか判定したい場合の処理を説明する。

図２は原稿破棄判定部123の動作を説明するフローチャートである。原稿破棄判定部123は印刷装置110の起動とともに動作を開始し、以降、印刷装置110の電源遮断まで動作を継続する。図２において、201において操作部122の動作を確認し、202において操作部122によって放置原稿破棄判定の処理が呼ばれたか判定する。

図６は操作部122が操作パネルに表示するＧＵＩ図の一例である。図６において、操作パネルは印刷装置110が保持する多くの機能を選択できるよう、タブ画面で仕切られた操作体系を用いている。601は本画面が放置確認を実施するタブが選択されていることを示す。602は現在時刻を表示する画面である。これはタイマー121から取得した現在時刻を表示している。602は破棄を行うための不可情報を与えるためのものであり、本発明の実施において必須というものではない。

603はプルダウンメニューによって一定時間の設定を行うメニューである。本設定も決めうちの固定値を一定時間として使用する場合には必須というものではない。

604は放置確認を実行するボタンである。このボタンを押下することにより、光学スキャナ125が保持するＡＤＦ（自動文書フィーダ）あるいは圧板に挟みこまれた1枚以上の原稿を読み込む。

この押下により202はYesとなり、203において画像読み取り部124に原稿の読み取りを指示する画像読み取り部124は間接的に光学スキャナ125を起動し、フィーダに置かれた原稿の読み取りを実施する。204において読み取りが完了したかどうかの確認が行われる。完了しなければ204に戻り、完了すると画像を電子透かし解析部126へ渡して、原稿に重畳されている電子透かしの解析を行う。205において解析の完了を待ち、完了したら206に移動する。解析の結果、電子透かし合成部118によって埋め込まれたページ毎の時刻情報が取得される。206において、タイマー121から現在時刻を取得する。207において、ページ毎の時刻情報と206で取得した現在時刻を比較し、その差が603で設定された一定時刻に収まるかの調査が行われる。もし、一つのページでも一定時刻に収まらない場合には、209に遷移して操作パネルに破棄不可であることを通知する。そうでない場合には208に遷移し、当該原稿が破棄可能であることを通知する。

図７は208において読み取った原稿がすべて一定時間を経過した場合に表示されるダイアログを示したＧＵＩ図である。本例では一定時間を３０分として定義している。図８は207において原稿のうち一枚でも一定時間以内に出力されていたら表示されるダイアログを示したＧＵＩ図である。図７、図８ともユーザに通知を行うだけであり、表示以外の副作用は伴わない。

次に電子透かし解析部126において実施される、LVBC方式で埋め込まれたデータの認識に関して説明する。

認識は２つのプロセスから構成される。第1にLVBCによる電子透かしが埋め込まれたイメージデータを光学スキャナなどの機器を介して入力すると、イメージデータの中からグリッドを検出する。打ち込まれた画像は基底ドットではなく、電子透かしドットであるが、電子透かしのドットの変移がdx,dyそれぞれの方向にどう変移するかはそれぞれの軸に対して確率的には５０％であり、平均値を計算するとグリッドの位置が算出可能である。実際には用紙は回転やスキャン時やプリンタ時の斜行によりグリッドが用紙搬送方向に水平、垂直にはならないが、グリッドの検出に回転方向への予測をいれることにより補正することができる。グリッドが算出できると、そのグリッド上に打たれるべき基底ドットの位置が予測できる。

第２に基底ドットの位置が検出できると、実際に電子透かしドットが打ち込まれた位置を計測することにより、変移が測定できる。この変移を先ほどの回転方向への補正をかけることにより、変移を０〜７の３bitデータへ変換することが可能である。

実際にはプリンタエンジンの性能や、トナーの残量低下による濃度低下、耐久劣化などの要因により、基底ドットから電子透かしドットの変移の測定に誤差が生じる可能性がある。誤差による埋め込み情報の誤認識を避けるため、埋め込みを行う元データにエラー訂正コードの付与や、同一パターンの複数回書き込みによって電子透かしデータの復元率を向上させる。

さらに、電子透かしドットの点が小さいと、コピー世代を重ねることにより、孤立点が細ることによりドットが消失する可能性もある。そこで実際にはコピー耐性の要求に応じて、電子透かしドットの点を大きくすることが可能である。ただし、可視性を低くするためのドットが大きくなると可視となり、原稿全体の品位を低下させることになるため、大きさには一定の限界がある。

一般的なオフィス原稿の場合、文字などの比較的濃度の低い原稿が多いが、イメージ画像が多く貼り付けられているＤＴＰ画像などの場合、原稿の濃度が大きいため、単純に電子透かしドットを打っただけではドットが他のイメージの画素と誤認識する可能性が高く、エラー訂正コードでは復元しきれない場合がある。そこで、電子透かしを埋め込みたい原稿の濃度を検知して、打ち込む電子透かしドットを変更する。その方法について以下に説明する。

図５は実際に用紙に電子透かしが載せられた状態を示す模式図である。501は用紙全体を示す。１つの電子透かし情報は502で示すタイルで構成され、同じタイルを用紙の全面に繰り返し配置する。例えば用紙のある部分を切り取ったり、汚したとしても、どこかに完全なタイルがある限りは情報の読み取りが可能である。503は元の原稿に描画された画像パターンである。画像パターン503は非常に濃度が大きい画像であるので、電子透かしドットを打ち込んでも、画像Ｘパターンにまぎれて情報を取得することができない。このようなパターンが用紙の全面に描画されると電子透かしドットが消失し、埋め込まれた情報を取得できなくなる。そこで、504のように、濃度の濃い画像の場合は白ドットで電子透かしドットを打ち込む。これによって元画像の濃度に関わらず、電子透かしドットを打ち込むことが可能となり、電子透かし情報を埋め込むことが可能となる。

電子透かしを解析することによって埋め込まれた電子透かし情報を取得可能となり、例えば図１１で示したような出力時間を取得可能である。この出力時間を使用して、207において一定時間経過したかどうかの判定に使用される。

（実施例２）
実施例１においては時刻情報のみを電子透かしに埋め込んでいた。しかし、実際に破棄する際に、印刷ジョブの発行者に破棄する旨を電子メールで通知することにより注意を喚起することが可能となる。その方法について第２実施例で述べる。

図９は本実施例における操作部122が操作パネルに表示するＧＵＩ図の一例である。図９において、操作パネルは印刷装置110が保持する多くの機能を選択できるよう、タブ画面で仕切られた操作体系を用いている。901は本画面が放置確認を実施するタブが選択されていることを示す。902は現在時刻を表示する画面である。これはタイマー121から取得した現在時刻を表示している。902は破棄を行うための不可情報を与えるためのものであり、本発明の実施において必須というものではない。

903はプルダウンメニューによって一定時間の設定を行うメニューである。本設定も決めうちの固定値を一定時間として使用する場合には必須というものではない。

904は放置確認を実行するボタンである。このボタンを押下することにより、光学スキャナ125が保持するＡＤＦ（自動文書フィーダ）あるいは圧板に挟みこまれた1枚以上の原稿を読み込む。

905は破棄する際に所有者に通知をするかどうかの設定を行うチェックボックスである。

図１０は原稿破棄判定部123の動作を説明するフローチャートである。原稿破棄判定部123は印刷装置110の起動とともに動作を開始し、以降、印刷装置110の電源遮断まで動作を継続する。図１０において、1001において操作部122の動作を確認し、1002において操作部122によって放置原稿破棄判定の処理が呼ばれたか判定する。図１０は実施例１の図２とほぼ同様であり、追加されたのは、1007において破棄実施可能と判断されたときに、1009において原稿の所有者にメールにて破棄する旨を通知する機能である。実際にメールで送る文面は不図示のメール文面記憶部に記憶させてもよい。

図１２は本実施例における埋め込まれた電子透かしデータの情報を示す図である。図１２によれば、出力時間として2005年12月12日の20:00に出力され、連絡先として「aaa@ABC.co.jp」が登録されていることがわかる。このメールアドレスを利用して、1009において印刷ジョブの出力者に破棄が実施されることを通知する。

（実施例３）
実施例１、２の一定時間経過した出力結果の破棄を行う運用ポリシーは、元の原稿データがホストコンピュータ上に保管され、例え出力結果が失われても原稿データから再度印刷可能であるため、業務に差し支えないという前提が必要である。

しかし、原稿によってはホストコンピュータ上から失われるものも存在する。このような原稿を破棄することは、いくらセキュリティが重要であるからといっても許容できない場合がある。実施例３では破棄不可能な原稿に対して一定時間経過後にも破棄を実施しない方法について説明する。

図１５はホストコンピュータ102から原稿の印刷を行う際のプリンタドライバの設定画面である。1503は原稿破棄を行う際の設定項目であることを示し、1501は一定時間経過後に破棄を許可するラジオボタン、1502は破棄を許可しないラジオボタンである。1501と1502はそれぞれ排他的に選択することが可能である。

この設定によって、ユーザが当該原稿の破棄を許可するかどうかを選択することが可能である。なお他の画面に関しては本実施例に影響しないため、説明を割愛する。

図１４は本実施例における原稿破棄判定部123の動作を説明するフローチャートである。図１４において、1407において、出力時間と現在時刻が一定時間内である場合は、1410において、ユーザが設定画面で設定し、電子透かしに埋め込まれた情報として破棄を許可しているかどうかを判定する。もし破棄を許可していない場合には1409に遷移して当該原稿の破棄不許可であることを操作部122に表示する。破棄してよい原稿の場合は1408において当該原稿の破棄許可であることを操作部122に表示する。他の動作については実施例１の図２と同様であるため、説明を省略する。

図１３は本実施例における埋め込まれた電子透かしデータの情報を示す図である。図１３によれば、出力時間として2005年12月12日の20:00に出力され、破棄設定(DISCARD)が不許可(DISABLE)であることを示す。原稿破棄判定部123は破棄が不許可であることを検知すると、当該原稿の破棄を行わないよう判定することによって、破棄できない原稿が誤って破棄されないように防御することが可能である。これは1502のラジオボタンを選択したことによってユーザに設定されたものである。

本発明第１実施例の構成を示すブロック図である。 原稿破棄判定部123の動作を説明するフローチャートである LVBC方式で用紙に電子透かしを埋め込んだ際の拡大した模式図である。 各ドットの打ち込み位置がどのように情報埋め込みに反映されるかを示す模式図である。 実際に用紙に電子透かしが載せられた状態を示す模式図である。 操作部122が操作パネルに表示するＧＵＩ図の一例である。 読み取った原稿がすべて一定時間を経過した場合に表示されるダイアログを示したＧＵＩ図である。 原稿のうち一枚でも一定時間以内に出力されていたら表示されるダイアログを示したＧＵＩ図である。 本発明第２実施例における操作部122が操作パネルに表示するＧＵＩ図の一例である。 原稿破棄判定部123の動作を説明するフローチャートである。 第１実施例における埋め込まれた電子透かしデータの情報を示す図である。 本発明第３実施例における埋め込まれた電子透かしデータの情報を示す図である。 本発明第３実施例における埋め込まれた電子透かしデータの情報を示す図である。 本発明第３実施例における原稿破棄判定部123の動作を説明するフローチャートである。 ホストコンピュータ102から原稿の印刷を行う際のプリンタドライバの設定画面である。

符号の説明

102 ホストコンピュータ
110 印刷装置
111 インターフェイス
112 ジョブ受信部
113 ジョブ解析部
114 スプーラ
115 属性格納部
116 画像生成部
117 画像格納部
118 電子透かし合成部
119 印刷部
120 電子透かし生成部
121 タイマー
122 操作部
123 原稿破棄判定部
124 画像読み取り部
125 光学スキャナ
126 電子透かし解析部

Claims (3)

1. 原稿をスキャナで読み込み、あるいはホストコンピュータで作成された画像データを受信して、用紙媒体に実際に印刷を行う印刷装置であって、
   印刷する画像に出力時間情報を出力原稿に埋め込んで出力を行う、出力情報埋め込み手段と、
   原稿を読み込み、スキャン結果から電子透かしを読み込み、前記出力時間情報を取り出す、出力情報取得手段と、
   前記出力時間情報取得手段によって獲得された時刻情報と、機器が保有する時刻情報を比較し、当該原稿の出力時間から一定時間経過しているかどうかを判定する破棄判定手段と、
   前記出力時報取得手段に、原稿の読み込みを指示して出力時間を取り出し、前記破棄判断手段によって当該原稿を破棄してよいか判断を行わせ、判断結果を操作パネルに表示して印刷装置の管理者に通知する、破棄判定出力手段と
   を有することを特徴とする印刷装置。
2. 請求項１の印刷装置であって、
   印刷する画像に連絡先情報を出力原稿に埋め込んで出力を行う、出力情報埋め込み手段と、
   原稿を読み込み、スキャン結果から電子透かしを読み込み、前記出力情報埋め込み手段によって埋め込まれた連絡先情報を取り出す出力情報取得手段と、
   前記出力情報取得手段は、原稿の読み込みを指示して出力時間と連絡先情報を取り出し、前記破棄判断手段によって当該原稿を破棄してよいか判断を行わせ、判断結果を操作パネルに表示して印刷装置の管理者に通知し、さらに該原稿の出力者に破棄を行うことを通知する破棄判定出力手段と
   を有することを特徴とする印刷装置。
3. 請求項１乃至２の印刷装置であって、
   印刷実施時に、当該原稿の破棄を行ってよいか否かを示す破棄情報を設定する破棄情報設定手段と、
   印刷する画像に前記破棄情報を出力原稿に埋め込んで出力を行う、出力情報埋め込み手段と、
   原稿を読み込み、スキャン結果から電子透かしを読み込み、前記破棄情報埋め込み手段によって埋め込まれた破棄情報を取り出す出力情報取得手段と、
   前記破棄判定出力手段は一定時間経過のほかに前記破棄設定手段によって設定された破棄情報の設定値によって当該原稿を破棄してよいか判断を行わせ、判断結果を操作パネルに表示して印刷装置の管理者に通知する、破棄判定出力手段と
   を有することを特徴とする印刷装置。

Images