JP2020043439A - 情報処理装置及びプログラム - Google Patents

Abstract

【課題】ユーザの利用可能なネットワークにデータを出力できない保存領域をユーザがデータの保存先として選んでしまうことを抑制する。【解決手段】複合機内の各保存領域（ボックス）には、そのボックス内のデータの出力経路として許可されるネットワークインタフェースが規定されている。またユーザごとに、そのユーザが利用可能なネットワークを規定するユーザ管理情報（図１３）が用意されている。複合機は、ユーザからデータ保存が指示された場合、そのユーザが利用可能なネットワークへのインタフェースを出力経路として許可しているボックスを、保存先の選択肢として提示する。【選択図】図１３

Description

本発明は、情報処理装置及びプログラムに関する。

情報処理装置の中には、複数のネットワークインタフェースを介して異なる複数のネットワークに同時に接続可能なものが存在する。この種の情報処理装置が、機密度の高いデータを扱う第１ネットワークと、そうでない第２ネットワークとの両方に接続される場合もあり得る。例えば、情報処理装置が、デジタル複合機等の高価な機器である場合、第１ネットワークと第２ネットワークとで共用できた方がコスト面で有利である。このような場合、第１ネットワーク上で取り扱われるデータがその情報処理装置内の保存領域にいったん保存されたあと、その保存領域から第２ネットワーク上に漏洩する事態が起こり得る。

特許文献１に開示されたシステムでは、印刷制御装置がいずれかのネットワークを介してジョブを受信すると、該ジョブを受信したネットワークを特定し、特定したネットワークの情報をジョブの属性値として付加し、画像形成装置へ保存する際に、ジョブの属性値として付加されたネットワーク情報を管理テーブルに格納してジョブと共に管理する。そして、端末装置からＨＤＤに保存されているデータの取得要求がなされた場合、管理テーブルを参照して該データにネットワーク情報を付加し、該ネットワーク情報と送信先ネットワーク情報に基づいて送信条件に満足するか判定を行い、満足する場合にデータを送信する。

特許第５５１１３３２号明細書

例えば、複数のネットワークインタフェースを介して異なる複数のネットワークに同時に接続可能な情報処理装置が、機密度の高いデータを扱う第１ネットワークと、そうでない第２ネットワークとの両方に接続される場合があり得る情報処理装置が、デジタル複合機等の高価な機器である場合、第１ネットワークと第２ネットワークとでデータを共用できた方がコスト面で有利である。このような場合、第１ネットワーク上で取り扱われるデータがその情報処理装置内の保存領域にいったん保存されたあと、その保存領域から第２ネットワーク上に漏洩する事態が起こり得る。このような事態を避けるための方法の一つとして、例えば、第１ネットワークからのデータを保存するための専用の保存領域を情報処理装置内に設け、その保存領域に対して出力経路に関する属性を設定し、その属性に従ってその保存領域に対するデータの出力を制御することが考えられる。上述の例では、その保存領域の属性として、その保存領域内のデータの出力経路として第１ネットワーク用のネットワークインタフェースは許可するが第２ネットワーク用のネットワークインタフェースは許可しない旨を示す属性を設定することが考えられる。この方法では、その保存領域に保存されたデータに対して、第２ネットワーク用のネットワークインタフェースを介して出力する指示があっても、その属性を参照した制御により、その指示は実行されない。

複数のユーザが共用する情報処理装置（例えば複合機）で、利用するユーザ又は目的がそれぞれ異なる複数の保存領域が運用されている場合を考える。この場合、ユーザは、それら複数の保存領域の一覧表示の中から自分の目的に合った保存領域を見つけ出してデータの保存先に指定することになる。ここで、ユーザが保存先に指定した保存領域の出力属性では、そのユーザの自席のＰＣ（パーソナルコンピュータ）が接続されているネットワークに、その保存領域内のデータを出力することが許可されないとする。この場合、その保存領域にデータを保存すると、ユーザは、そのデータを自席のＰＣにダウンロードすることができなくなってしまう。

本発明は、ユーザの利用可能なネットワークにデータを出力できない保存領域をユーザがデータの保存先として選んでしまうことを抑制することを目的とする。

請求項１に係る発明は、それぞれ対応するネットワークに接続された複数のネットワークインタフェースと、データを保存する複数の保存領域であって、保存しているデータの出力経路として許可されるネットワークインタフェースがそれぞれ規定されている複数の保存領域と、各ユーザが利用可能なネットワークを示すネットワーク情報を取得する取得手段と、ユーザに対して、データの保存先として選択可能な保存領域の一覧を提示する手段であって、前記ネットワーク情報が示す当該ユーザに利用可能なネットワークに接続されたネットワークインタフェースが前記出力経路として規定されている保存領域の一覧を提示する提示手段と、を含む情報処理装置である。

請求項２に係る発明は、前記提示手段は、前記ネットワーク情報に前記ユーザが利用可能なネットワークが登録されていない場合、当該ユーザに対して、データの保存先として選択可能な保存領域として、未登録ユーザ用の保存領域を提示する、請求項１に記載の情報処理装置である。

請求項３に係る発明は、前記ネットワーク情報に前記ユーザが利用可能なネットワークが登録されていない場合に、前記未登録ユーザ用の保存領域を生成する生成手段、を更に含み、前記提示手段は、前記生成手段により生成された前記未登録ユーザ用の保存領域を前記ユーザに提示する、請求項２に記載の情報処理装置である。

請求項４に係る発明は、前記生成手段により生成された前記未登録ユーザ用の保存領域を、当該保存領域の利用が終わった後に削除する削除手段、を更に含む請求項３に記載の情報処理装置である。

請求項５に係る発明は、未登録ユーザ用のネットワークが予め定められており、前記生成手段は、前記未登録ユーザ用のネットワークに接続された前記ネットワークインタフェースを、生成した前記未登録ユーザ用の保存領域に保存しているデータについての出力経路として規定する、請求項３〜４のいずれか１項に記載の情報処理装置である。

請求項６に係る発明は、前記取得手段は、各ユーザが属するグループを示す情報を更に取得すると共に、前記ネットワーク情報は、前記グループの各々が利用可能なネットワークを示すものであり、前記提示手段は、前記ユーザが属するグループが利用可能なネットワークを前記ネットワーク情報から求め、求めたネットワークに接続されたネットワークインタフェースが前記出力経路として規定されている保存領域の一覧を提示する、請求項１〜５のいずれか１項に記載の情報処理装置である。

請求項７に係る発明は、前記ユーザが過去に利用した保存領域の情報を記録する記録手段、を更に含み、前記提示手段は、前記記録手段に記録された前記ユーザの過去に利用した保存領域の情報に基づいて、前記一覧における各保存領域の表示の順序又は態様を制御する、請求項１〜６のいずれか１項に記載の情報処理装置である。

請求項８に係る発明は、前記複数の保存領域のそれぞれには、更に、当該保存領域に対して保存するデータの入力経路として許可されるネットワークインタフェースがそれぞれ規定されており、前記提示手段は、前記ユーザがネットワークを経由して前記情報処理装置にアクセスしている場合に、当該経由しているネットワークに接続されたネットワークインタフェースが前記入力経路として規定されており、かつ、前記ネットワーク情報が示す当該ユーザが利用可能なネットワークに接続されたネットワークインタフェースが前記出力経路として規定されている保存領域の一覧を提示する、請求項１〜７のいずれか１項に記載の情報処理装置である。

請求項９に係る発明は、各ネットワークには目的種別が対応付けられており、前記情報処理装置は、データを保存する目的種別の入力を受け付ける手段を更に備え、前記提示手段は、前記ネットワーク情報が示す当該ユーザに利用可能なネットワークであり且つ受け付けた前記目的種別に対応するネットワーク、に接続されたネットワークインタフェースが前記出力経路として規定されている保存領域の一覧を提示する、請求項１〜８のいずれか１項に記載の情報処理装置である。

請求項１０に係る発明は、それぞれ対応するネットワークに接続された複数のネットワークインタフェースを含むコンピュータを、データを保存する複数の保存領域であって、保存しているデータの出力経路として許可されるネットワークインタフェースがそれぞれ規定されている複数の保存領域、各ユーザが利用可能なネットワークを示すネットワーク情報を取得する取得手段、ユーザに対して、データの保存先として選択可能な保存領域の一覧を提示する手段であって、前記ネットワーク情報が示す当該ユーザに利用可能なネットワークに接続されたネットワークインタフェースが前記出力経路として規定されている保存領域の一覧を提示する提示手段、として機能させるためのプログラムである。

請求項１又は１０に係る発明によれば、ユーザの利用可能なネットワークにデータを出力できない保存領域をユーザがデータの保存先として選んでしまうことを抑制することができる。

請求項２又は３に係る発明によれば、登録されていないユーザが、登録されているユーザ用のボックスを利用することによるセキュリティ的な問題を回避することができる。

請求項４に係る発明によれば、生成した未登録ユーザ用のボックスが残って何らかの不正利用がなされる可能性を低減することができる。

請求項５に係る発明によれば、未登録ユーザ用のボックスに対する未登録ユーザのアクセスが、登録されているユーザが利用しているネットワークを経由しないようにすることができる。

請求項６に係る発明によれば、ユーザが利用可能なネットワークの情報を個人単位で管理する場合に比べて、管理のための作業負担を軽減できる。

請求項７に係る発明によれば、候補となる保存領域を区別せずに提示する場合と比べて、ユーザが過去に利用していた保存領域を区別できるように提示できる。

請求項８に係る発明によれば、ネットワーク経由で保存領域にデータを保存しようとするユーザに、そのネットワークからデータを入力できない保存領域を保存先として提示することがない。

請求項９に係る発明によれば、ネットワークに対応付けられた目的の点から、データの保存先とする保存領域の候補を絞り込むことができる。

本発明に係る処理が適用される複合機が接続されるネットワーク環境の一例を示すである。 複合機の内部構成を例示する図である。 ボックスに保存された文書がセキュリティ上許可されないネットワークに流出しないように制御する仕組みを例示する図である。 入出力経路アクセス権限情報のデータ構造の例を示す図である。 図５の入出力経路アクセス権限情報を用いたボックス入出力情報の例を示す図である。 ローカルのＵＩ（ユーザインタフェース）からのボックスへの指示に対する入出力制御部の処理の手順を例示する図である。 リモート（ネットワーク）からのボックスへの指示に対する入出力制御部の処理の手順を例示する図である。 入出力経路アクセス権限情報のデータ構造の別の例を示す図である。 図８の入出力経路アクセス権限情報を用いたボックス入出力情報の例を示す図である。 未指定時情報の項目を含む入出力経路アクセス権限情報のデータ構造の例を示す図である。 保存先ボックスの選択画面を提示する実施形態の装置構成を例示する図である。 ボックス管理テーブルの内容を例示する図である。 ユーザ管理テーブルの内容を例示する図である。 ボックス管理テーブルとユーザ管理テーブルから求められる、各ユーザの文書保存先として好適なボックスの情報を例示する図である。 ボックス選択画面の一例を示す図である。 ボックス選択画面の別の例を示す図である。 各ユーザに提示される文書保存先の選択肢を例示する図である。 第１変形例における未登録ユーザ用のボックスの情報を含むボックス管理テーブルを例示する図である。 第１変形例における主制御部の機能構成を例示する図である。 第２変形例におけるグループ管理テーブルの例を示す図である。 第２変形例におけるユーザ情報テーブルの例を示す図である。 第３変形例における主制御部の機能構成を例示する図である。 第３変形例におけるユーザ管理テーブルの一例を示す図である。 第４変形例における各ネットワークの目的種別の設定例を示す図である。 第４変形例におけるボックス保存の目的種別の選択画面の例を示す図である。

＜装置構成の例＞
図１に、本発明に係る処理が適用される複合機１００が接続されるネットワーク環境の一例を示す。

この例では、複合機１００は、３つのネットワークインタフェースを内蔵しており、それらネットワークインタフェースを介してＬＡＮ１、ＬＡＮ２、Wi-Fi（登録商標）という３つの異なるネットワークに接続されている。各ネットワーク上のＰＣ（パーソナルコンピュータ）やモバイル端末等のコンピュータ２００は、各々が接続されているネットワークを経由して、複合機１００とデータのやりとりを行う。なお、複合機とは、プリンタ、スキャナ、コピー機、ファクシミリ等の機能を併せ持つ装置のことである。

図２に、複合機１００の内部構成の一例を示す。複合機１００は、スキャナ１０１、プリンタ１０３、ファクシミリ装置１０５、表示装置１０７、不揮発性記憶装置１０９、主制御部１１０、ネットワークインタフェース１２０−１、１２０−２及び１２０−３（以下区別の必要がないときは「ネットワークインタフェース１２０」と総称）を有する。

スキャナ１０１は、原稿の画像を光学的に読み取ってその画像を表す画像データを生成する。プリンタ１０３は、画像データが表す画像を用紙に印刷する。スキャナ１０１とプリンタ１０３を連係動作させることで、コピー処理が実現される。ファクシミリ装置１０５は、ファクシミリの送受信を行う。表示装置１０７は、複合機１００のＵＩ（ユーザインタフェース）用の画面を表示する装置である。この例では、表示装置１０７はタッチパネル型の装置として構成されており、入力装置も兼ねる（ただしこれはあくまで一例に過ぎない）。不揮発性記憶装置１０９は、電源をオフしても記憶を保持する記憶装置であり、ハードディスクドライブやフラッシュメモリがその一例である。

主制御部１１０は、複合機１００の動作を制御する装置であり、データ処理を行うコンピュータと、そのコンピュータが実行する制御プログラムとを含んでいる。主制御部１１０は、表示装置１０７に表示したＵＩ画面に対するユーザの入力を受け取り、この入力に応じてスキャナ１０１、プリンタ１０３、ファクシミリ１０５等を制御することで、ユーザの指示する処理を実現する。また、主制御部１１０は、ネットワークインタフェース１２０−１、１２０−２及び１２０−３を介してネットワークに接続されており、ネットワーク上のコンピュータと指示やデータのやりとりを行う。図１及び図２の例では、ネットワークインタフェース１２０−１はＬＡＮ１に、ネットワークインタフェース１２０−２はＬＡＮ２に、ネットワークインタフェース１２０−３はWi-Fi経由であるネットワークに、それぞれ接続されているとする。以下の説明のために、この例では、少なくともＬＡＮ１とＬＡＮ２は異なるネットワークであるものとする。また、複合機１００がWi-Fi経由で接続されているネットワークは、ＬＡＮ１に接続されているものとする。

複合機１００は、画像データやページ記述言語で記述された印刷データ、各種のアプリケーションで生成されたファイル等の電子文書データ（以下単に「文書」と呼ぶ）を不揮発性記憶装置１０９に保存する機能を有する。

複合機１００には、文書の保存領域を複数設けることが可能である。保存領域の具体的な実現方式に特に限定はない。例えば、個々の保存領域は、主制御部１１０のファイルシステムが管理する１つのフォルダであってもよいし、不揮発性記憶装置１０９に対して設定された１つの論理パーティション又は論理ドライブであってもよい。また、複合機１００に不揮発性記憶装置１０９（物理ドライブ）を複数設け、それら個々の物理ドライブをそれぞれ別々の保存領域として定義してもよい。また、これら例示した種類の保存領域を組み合わせて利用可能としてもよい。以下では、個々の保存領域のことを比喩的に「ボックス」と呼ぶ。個々のボックスにアクセス可能なユーザを制限するために、ボックスに対してパスワードを設定したり、アクセス制御リストによりボックスに対する各ユーザのアクセス権限を規定したりすることも可能である。

主制御部１１０は、このようなボックスに対する文書の入力（保存、蓄積）及び出力（取り出し）を制御する機能を持つ。

ボックスには、スキャナ１０１のスキャンにより生成された文書（画像データ）、ファクシミリ装置１０５が受信した文書、ネットワーク経由で入力された文書などが保存される。また、ボックスに保存された文書は、プリンタ１０３からの印刷出力、ファクシミリ装置１０５による送信、又はネットワーク経由での送信等の態様で出力される。

図に例示した複合機１００は複数の異なるネットワークに接続されているが、これらネットワークごとにセキュリティに関する要件が異なる場合がある。例えば、オフィスにおいて、機密性が高いデータを取り扱う部門とそうでない部門とでネットワークを分けることで、後者の部門のスタッフがネットワーク経由で機密性の高いデータにアクセスできないようにする場合がその一例である。このような場合でも、高価な複合機１００を部門ごとに設置することが困難で、１つの複合機１００を複数部門で共用することがある。このような場合、複合機１００が、セキュリティ要件の厳しい部門（便宜上「第１部門」と呼ぶ）のネットワークと、そうでない部門のネットワークに接続されることになる。前者の部門のセキュリティ要件を満たすには、複合機１００内のボックス（保存領域）として、前者の部門専用のボックスを用意し、このボックスに保存された文書が後者の部門のネットワークに流出しないようにする必要がある。

例えば、第１部門のネットワークと、これと異なる他の部門のネットワークとが、プライベートＩＰアドレスとして同じネットワークアドレスを用いている場合があり得る。このような場合、複合機１００内のボックスへのアクセス制限やボックス内の文書の転送制限をＩＰアドレスで行うことはできない。対策として、例えば、ボックス内の文書を送信する際に、その送信を指示するユーザが、その送信において経由するネットワークインタフェース１２０を指定すれば、そのボックス内の文書が想定外のネットワークに流出することを防げる。しかし、経由するネットワークインタフェース１２０を指定することは一般ユーザにとって難度が高い要求であり、ユーザを迷わせたり、誤った選択を誘発したりする可能性が少なくない。

そこで、このシステムでは、ボックスに保存された文書がセキュリティ上許可されないネットワークに流出しないように制御する仕組みを設けている。以下、この仕組みについて説明する。

図３に、この仕組みのために主制御部１１０が有する機能群を示す。ボックス記憶部１１１は、１以上のボックスの情報と、各ボックスに保存される文書の情報とを記憶する。入出力制御部１１３は、ボックス記憶部１１１に対する文書の入力（保存）又は出力（転送、印刷等）の制御を行う。

入出力先判定部１１５は、ボックスに対する操作指示や文書の入力の入力元、及びボックス内の文書の出力先を判定する。ボックスに対する操作指示の入力元としては、ローカルのＵＩ（すなわち表示装置１０７）と、ネットワーク上の装置とがある。ネットワーク上の装置は、複数のネットワークインタフェース１２０のいずれかを介して主制御部１１０と通信するので、入出力先判定部１１５は、到来した操作指示が、ローカルのＵＩ及び複数のネットワークインタフェース１２０のいずれからのものかを判定する。同様に、入出力先判定部１１５は、ボックスに対して文書が入力された場合、その入力元が、ローカルのスキャナ１０１及びファクシミリ装置１０５（ファクシミリ受信）、並びに複数のネットワークインタフェース１２０のいずれからのものかを判定する。入出力先判定部１１５は、ボックス内の文書の出力指示を受けた場合、その出力先が、ローカルのプリンタ１０３及びファクシミリ装置１０５（ファクシミリ送信）、並びに複数のネットワークインタフェース１２０のいずれへのものかを判定する。

ボックス認証部１１７は、ユーザのボックスへのアクセス認証、及び到来した文書のボックスへの入力（保存）のための認証を行う。この認証は、例えば操作または文書入力の対象のボックスに設定されたパスワードを用いて行う。すなわち、ユーザがボックスの操作を開始しようとした場合、パスワードの入力を求め、これに応じて正しいパスワードが入力された場合に、そのユーザからの操作を許可する。また、ボックス宛のファクシミリ受信の場合、受信した文書に付随するパスワードがそのボックスに設定されたパスワードと合致する場合、その文書をそのボックスに蓄積することを許可する。また、ボックスに対してアクセス制御リストが設定されている場合、図示省略したユーザ認証機構が複合機１００は操作を行おうとするユーザに対してユーザ認証を行い、ボックス認証部１１７は、ユーザ認証により特定されたユーザがそのボックスのアクセス制御リストにより許可される権限の範囲内で、そのボックスに対する操作を許可する。例えば、ユーザがそのボックスについて、文書の蓄積及び印刷の権限は認めているが、ファクシミリ及びネットワーク経由での転送の権限を認めていない場合、ユーザからの転送指示は不許可とする。なお、ボックスにパスワードが設定されておらず、アクセス制御リストによるアクセス制御も行われない場合は、ユーザはそのボックスに対してすべての操作が許可される（ただし、別途、その操作に係るボックス内の文書の入出力先に応じた後述する操作制限は受ける）。

管理情報記憶部１１９は、ボックスへの入出力についての入出力制御部１１３の制御のために用いる管理情報を保持する。保持される管理情報には、ボックスごとに各入出力先からの入出力の許可・不許可を示すボックス入出力情報が含まれる。ボックス入出力情報は、例えば、ボックスごとに、そのボックスに対する操作指示又は文書の入力を許可する入力元、及びそのボックス内の文書の出力を許可する出力先を規定する。この場合、ボックス入出力情報に許可の旨が規定されない入力元からの入力、及び出力先への出力は許可されない。また、ボックス入出力情報は、許可する入力元及び出力先を規定する代わりに、不許可とする入力元及び出力先を規定するものであってもよい。この場合、ボックス入出力情報に不許可の旨が規定されない入力元からの入力、及び出力先への出力は許可される。また、ボックス入出力情報は、入力元と出力先について個別に規定するものに限らず、あるソース（またはネットワークインタフェース１２０）に対して、ボックスへの入力及び出力の両方を一括して許可又は不許可とする旨を規定するものであってもよい。

また、ボックス内の文書の意図せぬ漏洩の防止という観点では、ボックスへの入力（保存）を制限しなくてよい場合も考えられる。そのような場合には、ボックス入出力情報は、許可されるボックスからの出力先（又は不許可とするボックスからの出力先）を規定するものであれば足りる場合がある。ただし、前述したセキュリティ要件が異なる複数のネットワークに複合機１００が接続される例のように、セキュリティ要件が厳しいネットワークからの文書が、セキュリティ要件の緩いネットワークへの出力を許可するボックスに蓄積されると、そのボックスを介して後者のネットワークに漏洩するリスクがある。そこで、このような場合にはボックス入出力情報には、入力元についても規定する。

また、複合機１００のローカルの（すなわちネットワーク経由でない）入出力、すなわちスキャンやファクシミリ等からの文書のボックスへの保存、ボックス内の文書の印刷出力及びファクシミリ送信等は、複合機１００の基本的な機能であり、これらについてはデフォルトで許可としてもよい。以下に示すいくつかの具体例では、ボックスへのローカルの入出力は許可されているとする。この場合、ボックス入出力情報は、各ネットワークインタフェース１２０を経路とする入力及び出力の許可又は不許可を規定するものとなる。

入出力制御部１１３は、管理情報記憶部１１９に保持されたボックス入出力情報等の管理情報を参照して、ボックス記憶部１１１内の個々のボックスへの文書の入力及び出力の制御を行う。

次に、具体例を用いて、入出力制御部１１３の処理を説明する。

図４及び図５には、一つの具体例において用いる、管理情報記憶部１１９に保持される入出力経路アクセス権限情報、及びボックス入出力情報を示す。この例は、複合機１００が、図１に示したＬＡＮ１、ＬＡＮ２、及びWi-Fiという３つのネットワークに（これらに対応する３つのネットワークインタフェース１２０を介して）接続されている場合の例である。

図４に示す入出力経路アクセス権限情報は、ネットワークグループを規定する情報である。この情報は、ネットワークグループＩＤと、これに対応するネットワークインタフェース情報とを含む。ネットワークグループＩＤは、ネットワークグループを一意に識別するためのＩＤである。ネットワークインタフェース情報は、当該ネットワークグループＩＤのネットワークグループを構成するネットワークインタフェースのＩＤのリストである。図４の例では、「グループ１」は「ＬＡＮ１」というネットワークインタフェース１２０（及びその先に繋がるネットワーク）のみから構成され、「グループ５」は「ＬＡＮ１」及び「Wi-Fi」という２つのネットワークインタフェース１２０から構成される。このグループの情報は、図５に例示するボックス入出力情報において、ボックスに対する入出力を許可するグループを表すために用いられる。なお、「グループ４」は、ネットワークインタフェース情報の値が「Ｎｏｎｅ」（すなわち「なし」）となっているが、これはネットワークインタフェース１２０経由のボックスへの入出力を一切許可しない場合に用いられる。また、「グループ５」は、例えば「ＬＡＮ１」と「Wi-Fi」によってそれぞれ接続されるネットワークで同様のセキュリティ要件に従った文書を取り扱う場合に用いられる。このグループをボックスに対応付けた場合、そのボックスで取り扱う（すなわち保存したり出力したりする）文書は、ＬＡＮ１及びWi-Fiで通信するものに限られる。

図５に示すボックス入出力情報は、ボックス記憶部１１１内のボックスごとに、そのボックスへの入出力を許可するネットワークグループのＩＤを規定する。すなわち、図４及び図５の例では、ボックスに対応付けられたネットワークグループに属するネットワークインタフェース１２０は、そのボックスに対する入力及び出力の両方の経路として許可される。

図５の例では、「ボックス１」という名称のボックス（ボックスＩＤは「００１」）は、グループ１に対応付けられている。したがって、このボックス１については、グループ１に属する「ＬＡＮ１」というＩＤのネットワークインタフェース１２０を経由する入出力は許可されるが、他のネットワークインタフェース１２０を経由する入出力は許可されない。すなわち、ボックス１についてのネットワーク経由での文書の入出力の許可態様は以下のようになる。
１）ＬＡＮ１経由での文書保存は許可
２）ＬＡＮ２又はWi-Fi経由での文書保存は不許可
３）ＬＡＮ１経由での文書の出力（取り出し及び転送）は許可
４）ＬＡＮ２又はWi-Fi経由での文書の出力は不許可

なお、この例ではローカルの入出力はデフォルトで許可となっているので、ボックス１へのスキャン及びファクシミリ受信による文書の保存、及びボックス１内の文書の印刷及びファクシミリ送信による出力は許可される。

このように、図４及び図５に示した例は、ボックスごとにいわばそのボックスを利用可能なネットワークを規定するものである。この例では、ボックスのネットワーク経由で利用できる（すなわちボックスを操作できる、ボックスに文書を保存できる、ボックス内の装置を取り出せる、又はその文書の転送先となれる）のは、そのボックスに対応付けられたネットワークグループに属するネットワーク上の装置に限定される。したがって、複数のネットワークで共用される複合機１００内の各ボックスを、ネットワークごとに分離することができる。また、この例では、ローカルから（すなわちスキャナ１０１又はファクシミリ装置１０５から）ボックス内に保存された文書についても、リモートのコンピュータからその文書を取り出したり、リモートのコンピュータにその文書を転送したりする際に、そのボックスについてのボックス入出力情報が適用される。したがって、そのようなローカルからボックスに保存した文書についても、ボックスを介して意図せぬネットワークに漏洩することが防止される。

次に図６及び図７を参照して、入出力制御部１１３が実行する処理手順の一例を説明する。

図６は、ユーザがローカルのＵＩ（表示装置１０７）の画面上であるボックスを操作対象として指定した場合に、入出力制御部１１３が行う処理の例を示す。この場合、入出力制御部１１３は、ボックス認証部１１７にそのボックスについてのアクセス認証処理を行わせる（Ｓ１０）。ボックス認証部１１７は、そのボックスにパスワードが設定されている場合は、パスワード入力画面をＵＩに表示し、ユーザにパスワード入力を求める。これに応じてユーザが入力したパスワードがそのボックスに設定されたパスワードと一致すれば、ボックス認証部１１７は、認証成功とする。また、ボックスへのアクセスをユーザ認証ベースのアクセス制御リストにより制御する方式の場合は、ボックス認証部１１７は、図示しないユーザ認証機構にユーザのログイン認証を行わせ、このログイン認証が成功した場合、そのユーザのユーザＩＤをユーザ認証機構から得る。そして、そのユーザＩＤがそのボックスに対して何らかのアクセス権（例えばボックスへの文書の保存又は取り出し等の権限）を持っているか否かをそのボックスのアクセス制御リストから判定する。そのユーザがそのボックスに何らかのアクセス権を持っていれば、ボックス認証部１１７はＳ１０の認証を成功とし、一切アクセス権を持っていなければ認証を失敗とする。入出力制御部１１３は、ボックス認証部１１７の認証が成功したか否かを判定する（Ｓ１２）。

ボックス認証部１１７の認証が失敗した場合、入出力制御部１１３は、指定されたボックスについての操作が実行不可であることを示すエラー画面をローカルのＵＩに表示し（Ｓ１４）、処理を終了する。

ボックス認証部１１７の認証が成功した場合、入出力制御部１１３は、そのボックスに関するユーザからの指示が、そのボックス内の文書をネットワーク経由で転送する操作を指示するものであるかどうかを判定する（Ｓ１６）。例えばＦＴＰ(File Transfer Protocol)やＳＭＴＰ（Simple Mail Transfer Protocol）のようなネットワーク転送のプロトコルを用いた転送操作が指示された場合、Ｓ１６の判定結果はＹｅｓとなる。逆に、そのボックス内の文書の印刷出力、ファクシミリ送信、又はそのスキャン結果の文書のボックス内への保存等の、ネットワーク経由の転送以外の操作が指示された場合は、Ｓ１６の判定結果がＮｏとなる。

Ｓ１６の判定結果がＮｏの場合、入出力制御部１１３は、ユーザが指示した処理を実行する（Ｓ１８）。例えば、ユーザが、スキャンした文書をそのボックスに保存する操作を指示した場合、入出力制御部１１３は、スキャナ１０１が生成した文書を受け取ってボックス記憶部１１１内のそのボックスに保存する。

Ｓ１６の判定結果がＹｅｓの場合、入出力制御部１１３は、ユーザから指示された転送（送信）の転送先への出力経路がどのネットワークインタフェース１２０となるかを入出力先判定部１１５に判定させる。入出力先判定部１１５は、この判定を、例えば、転送先のアドレス（例えばＩＰアドレス）がどのネットワークインタフェース１２０の先にあるネットワークのものかを判定することで行えばよい。そして、入出力制御部１１３は、管理情報記憶部１１９を参照して、入出力先判定部１１５が判定したネットワークインタフェース１２０が、ボックス入出力情報において当該ボックス内の文書の出力経路として許可されているか否かを判定する（Ｓ２０）。図４及び図５の例の場合、当該ボックスに対応付けられたネットワークグループ内に、そのネットワークインタフェース１２０が含まれる場合Ｓ２０の判定結果はＹｅｓとなり、含まれない場合はＳ２０の判定結果はＮｏとなる。

Ｓ２０の判定結果がＮｏの場合、入出力制御部１１３は、指示された操作が実行不可であることを示すエラー画面をローカルのＵＩに表示し（Ｓ１４）、処理を終了する。

Ｓ２０の判定結果がＹｅｓの場合、入出力制御部１１３は、転送対象に指定された文書を、指定された転送先に転送する（Ｓ２２）。

図７は、ユーザが複合機１００とネットワークを介して接続されたリモートのコンピュータからボックスに対する操作を指示した場合の入出力制御部１１３が行う処理の例を示す。リモートからのボックスの操作には、例えばボックスに対する文書の保存（すなわち当該コンピュータからボックスへのアップロード）、ボックス内の文書の取り出し（ボックスから当該コンピュータへのダウンロード）、ボックスの操作画面の表示等がある。

この場合、入出力制御部１１３は、ボックス認証部１１７にそのボックスについてのアクセス認証処理を行わせる（Ｓ３０）。リモートからの指示がそのボックス宛の文書保存指示である場合、ボックス認証部１１７は、例えば、そのボックスに設定されているパスワードがその文書保存指示に含まれているか調べ、含まれていれば認証成功、そうで無ければ認証失敗と判定する。また、リモートのユーザからボックスへのアクセス要求を受けた場合は、ボックス認証部１１７は、ボックスのパスワードの入力を求め、これに応じて正しいパスワードが入力された場合に、認証成功とする。また、ボックスへのアクセスをアクセス制御リストにより制御する方式の場合は、図６の場合と同様、ユーザ認証が成功していれば、ボックス認証部１１７は、ログインが成功しているユーザＩＤをユーザ認証機構から得て、そのユーザＩＤがそのボックスに対して何らかのアクセス権を持っているか否かをそのボックスのアクセス制御リストから判定する。そのユーザがそのボックスに何らかのアクセス権を持っていれば、ボックス認証部１１７はＳ３０の認証を成功とする。

ボックス認証部１１７の認証が失敗した場合、入出力制御部１１３は、指定されたボックスについての操作が実行不可であることを示すエラー情報をリモートの指示元の装置に表示し（Ｓ３４）、処理を終了する。

ボックス認証部１１７の認証が成功した場合、入出力制御部１１３は、そのボックスに関するリモートのユーザからの指示が、そのボックスへの文書の保存（アップロード）指示、又はボックス内の文書の取り出し（ダウンロード）指示であるかどうかを判定する（Ｓ３６）。

Ｓ３６の判定結果がＮｏの場合、入出力制御部１１３は、ユーザが指示した処理を実行する（Ｓ４０）。例えば、ユーザの指示が、そのボックス内の操作画面の表示を求めるものであれば、その操作画面の情報をそのユーザのコンピュータにネットワーク経由で送信する。

Ｓ３６の判定結果がＹｅｓの場合、入出力制御部１１３は、そのリモートのユーザからの指示を受け取った経路がどのネットワークインタフェース１２０であるかを入出力先判定部１１５に判定させる。そして、入出力制御部１１３は、管理情報記憶部１１９を参照して、入出力先判定部１１５が判定したネットワークインタフェース１２０が、ボックス入出力情報において当該ボックス内の文書の入力または出力の経路として許可されているか否かを判定する（Ｓ３８）。この判定では、文書保存指示の場合は、判定したネットワークインタフェース１２０が入力経路として許可されているか否かを判定し、文書のとりだし指示の場合は、そのネットワークインタフェース１２０が出力経路として許可されているかを判定する。図４及び図５の例の場合、入出力を区別していないので、当該ボックスに対応付けられたネットワークグループ内に、そのネットワークインタフェース１２０が含まれる場合、Ｓ３８の判定結果はＹｅｓとなり、含まれない場合はＳ４０の判定結果はＮｏとなる。

Ｓ３８の判定結果がＮｏの場合、入出力制御部１１３は、指示された操作が実行不可であることを示すエラー情報をリモートのユーザのコンピュータに返し（Ｓ３４）、処理を終了する。Ｓ３８の判定結果がＹｅｓの場合、入出力制御部１１３は、ユーザから指示された操作、例えばボックスへの文書の保存、又はボックス内の文書の取り出しを実行する（Ｓ４０）。

図７の手順では、リモートのコンピュータからボックスへの操作指示を受けると、その指示とそのコンピュータのあるネットワークとの組合せから、その指示に係る操作が許可できるか否かを判定したが、この指示と判定の順序は一例に過ぎない。この代わりに、ユーザがリモートから複合機１００内のボックスにアクセスした際、そのコンピュータからそのボックスに対して文書の入力又は出力が認められるかを入出力制御部１１３が判定し、認められない操作は例えば操作画面上に選択不可状態（すなわちその操作を画面上で選択できない状態）で表示してもよい。

図７の処理によれば、ボックスに対してユーザがリモートのコンピュータからアクセスした場合、ユーザがそのボックスにアクセス権を持っていたとしても、そのコンピュータがそのボックスに対する入力又は出力を許可されないネットワーク上にある場合には、そのボックスに対する文書の保存又は取り出しを行うことはできない。ただし、この場合でも、文書の保存又は取り出し以外のそのボックスに対するある範囲の操作は許可されるようにしてもよい。また、ボックスにアクセスするコンピュータがそのボックスに対する入力又は出力を許可されないネットワーク上にある場合に、そのボックスの操作画面の表示すら許可しないようにしてもよい。

次に図８及び図９を参照して、管理情報記憶部１１９に保持されるボックス入出力情報の別の例を説明する。

図８は、この例における入出力経路アクセス権限情報の一例を示す。この入出力経路アクセス権限情報は、図４の例と異なり、入力経路と出力経路とに分けて規定されている。すなわち、図８の入出力アクセス権限情報は、入力許可経路と出力許可経路の組合せを１つのパターンとして、１以上のパターンを規定している、入力許可経路は、そのボックスに対する文書の入力経路として許可される１以上のネットワークインタフェース１２０であり、出力許可経路は、そのボックス内の文書の出力経路として許可される１以上のネットワークインタフェース１２０である。例えば、パターン３は、ボックスへの入力経路として、ＬＡＮ１、ＬＡＮ２及びWi-Fiの３つのネットワークインタフェース１２０を許可するが、出力経路としては１つのネットワークインタフェース１２０も許可しない（「Ｎｏｎｅ」）。これは、当該ボックス内の文書は、ネットワーク経由での出力は一切許可しないことを意味する。

図９に示すボックス入出力情報は、ボックス記憶部１１１内のボックスごとに、そのボックスに設定された入出力アクセス権限情報のパターンＩＤを規定する。

図９の例では、ボックス１（ボックスＩＤは「００１」）は、パターン１に対応付けられている。したがって、このボックス１については、ＬＡＮ１及びWi-Fiの２つのネットワークインタフェース１２０を経由する文書の入力（保存）と、ＬＡＮ１を経由する文書の出力が許可される。したがって、図１に例示したＬＡＮ１、ＬＡＮ２及びWi-Fiに接続された複合機１００の場合、ボックス１についてのネットワーク経由での文書の入出力の許可態様は以下のようになる。
１）ＬＡＮ１又はWi-Fi経由での文書保存は許可
２）ＬＡＮ２経由での文書保存は不許可
３）ＬＡＮ１経由での文書の出力（取り出し及び転送）は許可
４）ＬＡＮ２又はWi-Fi経由での文書の出力は不許可

このボックス１に対応付けられたパターン１は、例えば、ＬＡＮ１及びWi-Fiが接続されるネットワークは同様の機密が要求される文書を扱うものであるが、ＬＡＮ１の方がWi-Fiよりもネットワークとしてのセキュリティが高い場合に有用である。すなわち、ボックス１への文書の入力は当該文書については１回きりの話なのでＬＡＮ１及びWi-Fiの両方からの入力を認めても漏洩リスクは少ないが、文書の出力は、１つの文書について何回も行われるので、Wi-Fiよりも漏洩リスクが少ないと考えられるＬＡＮ１のみを許可することで、漏洩リスクを低減するのである。

また、パターン３が設定されたボックス３の場合、ネットワーク経由での文書の入出力の許可態様は以下のようになる。
１）ＬＡＮ１、ＬＡＮ２又はWi-Fi経由での文書保存は許可
２）ＬＡＮ１、ＬＡＮ２又はWi-Fi経由での文書の出力（取り出し及び転送）は不許可
なお、図８に例示したパターンはいずれも出力許可経路として指定されるネットワークインタフェース１２０が１つだけであったが、出力許可経路に複数のネットワークインタフェース１２０が設定されていてもよい。

この図８及び図９に例示した入出力経路アクセス権限情報及びボックス入出力情報に基づく入出力制御部１１３の制御の手順は、図６及び図７に示した手順と同様でよい。

次に、未指定時情報を用いたボックス内の文書の出力制御の例を説明する。

ボックスに対して、文書の出力経路として許可されるネットワークインタフェース１２０が複数設定されている場合がある。例えば図４のグループ５が設定されているボックスがあった場合、そのボックスはこのケースに該当する。このようなボックス内の文書をネットワーク経由で転送する場合、出力経路として設定されている複数のネットワークインタフェース１２０のどれ用いてもその転送先に文書が転送できる場合がある。この場合、転送を指示するユーザがその文書の転送の経路とするネットワークインタフェース１２０を明示的に指定しないと、その文書は、それら複数のネットワークインタフェース１２０のうちオペレーティングシステムに選ばれたものを経由して転送されることとなる。しかし、例えば前に例示したＬＡＮ１とWi-Fiの関係のように、文書出力が許可される経路としてボックスに設定されている複数のネットワークインタフェース１２０が、同じネットワークに接続されているものの、転送データの漏洩リスクの点では優劣がある場合がある。この場合、それら複数のネットワークインタフェース１２０からオペレーティングシステムが選択するネットワークインタフェース１２０が、漏洩リスクの点でよりよいものであるとは限らない。

以上、ユーザが文書転送の経路となるネットワークインタフェース１２０を指定しない場合を例にとったが、例えば文書の転送を含む処理フロー（特開２０１３−１３８２８４号公報に示される指示書がその一例）をボックスに適用する場合に、その処理フローには転送先の装置の名前やアドレス等は記述されるが、経由するネットワークインタフェースまでは規定されない場合が多い。したがって、ボックスに対して処理フローを用いる場合も、同様の事態が起こり得る。

このような事態を防止するために、この例では、ボックスに対して未指定時情報を設定可能とする。未指定時情報は、ボックス内の文書をネットワーク経由で転送する際に出力経路のネットワークインタフェース１２０がユーザや処理フロー等により明示的に指定されていない場合に、出力経路として用いるネットワークインタフェース１２０を規定する。

図１０に、図４の入出力経路アクセス権限情報に未指定時情報の項目を追加した例を示す。未指定時情報の項目に示されるネットワークインタフェース１２０は、ネットワークインタフェース情報の項目に示される１以上のネットワークインタフェース１２０から選ばれる。図示例では、グループ６が設定されたボックスは、ＬＡＮ１及びWi-Fi経由で文書の保存及び取り出し・転送が許可されるが、ボックス内の文書の転送指示において経由するネットワークインタフェース１２０がユーザ等から指定されない場合、入出力制御部１１３は、その指示に係る転送の際に、未指定時情報に規定されるＬＡＮ１を経路として選択する。

このような制御により、ボックス内の文書の転送において経路とするネットワークインタフェース１２０が明示的に指定されなかった場合に、オペレーティングシステムにより漏洩等の観点で劣っているネットワークインタフェース１２０が経路として選ばれることが防止される。

なお、以上に説明した例において、ボックス内の文書の転送の際に経由するネットワークインタフェース１２０としてユーザが明示的に指定したものが、そのボックスのボックス入出力情報において出力経路として許可されないものである場合には、入出力制御部１１３は、その転送を実施せず、ユーザに対して実行不可の旨を応答する。

図１０は、図４の入出力経路アクセス権限情報に未指定時情報の項目を加えたものであったが、図８の入出力経路アクセス権限情報にも同様に未指定時情報の項目を加えて運用することができる。

＜ＵＩ制御の実施形態＞
ボックスについてのＵＩ制御の実施形態を説明する。複合機１００が設置されたネットワーク環境は図１に示した例を参照する。また、この実施形態において、複合機１００の構成やボックスの入出力制御等の処理は、図２〜図１０を参照して説明した上述の例と同様のものでよい。

図１１は、この実施形態における複合機１００の主制御部１１０の主要部の機能構成を示している。図１１は、図３に示した構成において、ＵＩ部１５０を明示したものである。ＵＩ部１５０は、ユーザに対して複合機１００のＵＩを提供する処理部である。ＵＩ部１５０は、複合機１００の持つ様々な機能を操作するために多様なＵＩ画面を用意しているが、この実施形態では特にボックスに文書を保存（格納）するユーザに提供するＵＩ画面の制御について説明する。

複合機１００を利用するユーザは、例えば各人の業務や自席の場所に応じて、自分が利用可能なネットワークが１つ乃至いくつかに限定されていることが少なくない。例えばユーザの自席のデスクトップＰＣが物理的に接続されているネットワークは決まっている。また、ユーザが用いる端末がノートＰＣ等のモバイル端末の場合も、ユーザの業務等に応じて、そのユーザがログインできるネットワークとログインできないネットワークが決まっている場合がある。

一方、これまでに説明したように、ボックス記憶部１１１内の個々のボックスにはボックス入出力情報が対応付けられており、そのボックスに保存された文書は、そのボックス入出力情報に規定された出力許可経路に対応するネットワークにしか出力できない。

したがって、ユーザが文書を保存するボックスを不用意に選ぶと、そのユーザが利用可能なネットワークに文書を出力できないボックスを選んでしまう可能性がある。そのようなボックスに文書を格納した場合、ユーザは、自分が利用しているネットワークを経由してその文書を取得することができなくなってしまう。

そこでこの実施形態では、ユーザが、自分の利用可能なネットワークに文書を出力できないボックスに誤って文書を格納することがないようにするためのＵＩを提供する。ＵＩ部１５０は、管理情報記憶部１１９Ａに記憶された情報を参照して、そのようなＵＩの提供を行う。この目的のために管理情報記憶部１１９Ａに記憶されている情報を、図１２及び図１３に例示する。

図１２に示されるのは、ボックス入出力情報を示すボックス管理テーブルである。この例のボックス管理テーブルには、ボックスのＩＤ（識別情報）に対応付けてそのボックスに対する文書の入出力の経路として許可されるネットワークインタフェース（ＩＦ）が登録されている。なお、ボックス入出力情報は、図８及び図９に示したように、ボックスに対する入力許可経路と出力許可経路を別々に規定したものであってもよい。図１３に示されるのは、ユーザが利用可能なネットワークの情報を保持するユーザ管理テーブルである。このテーブルには、ユーザのＩＤに対応付けて、そのユーザが利用可能なネットワークの識別情報が登録されている。例えば、ユーザ「User2」は、図１に示したネットワーク環境のうち、ＬＡＮ２とWi-Fiに接続可能である。なお、複合機１００が備えるネットワークインタフェースの識別名と、そのネットワークインタフェースが接続されたネットワークの識別名とは、同じものを用いている。

ユーザがボックス内の文書を自分の利用可能なネットワーク上の端末へと取り出すことができるのは、そのネットワーク（に繋がったネットワークインタフェース）がそのボックスの出力許可経路として設定されている場合である。そこで、ＵＩ部１５０は、ユーザに対して文書の保存先とするボックスを選択するためのＵＩ画面として、自分の利用可能なネットワーク上の端末へと取り出すことができるボックスが識別しやすい画面を提供する。

このようなＵＩ画面を生成するために、ＵＩ部１５０は、管理情報記憶部１１９Ａに記憶されたボックス管理テーブル（図１２参照）とユーザ管理テーブル（図１３参照）を参照して、そのユーザが利用可能なネットワークへと文書を出力可能なボックスを、そのユーザにとって文書の保存先として好適なボックスとして特定する。例えば、図１２のボックス入出力情報と図１３のネットワーク情報との組合せの場合、ユーザについての文書の保存先として好適なボックスは、図１４に示すようなものとなる。例えばユーザ「User2」にとって文書の保存先として好適なボックスは、そのユーザが利用可能なネットワーク「ＬＡＮ１」及び「Wi-Fi」の少なくとも１つを出力許可経路として含んだボックス「Box-B」、「Box-C」、「Box-D」である。

なお、文書をボックスへ保存する指示がネットワークを経由して複合機１００に入力される場合、その文書はそのネットワークから複合機１００内のボックスに入力され保存されることになる。したがって、その保存指示に対する保存先として許されるボックスは、そのネットワーク（に繋がるネットワークインタフェース）を入力許可経路としているものに限られる。したがって、ネットワークからの保存指示に対しては、「文書の保存先として好適なボックス」の要件に、そのネットワークを入力許可経路として含む、という条件が追加される。すなわち、ネットワークからの保存指示に対する「文書の保存先として好適なボックス」は、そのユーザが利用可能なネットワークへと文書を出力可能なボックスであり、かつその保存指示の入力経路となったネットワークインタフェースを入力許可経路として含むボックスである。

そして、ＵＩ部１５０は、文書の保存先のボックスを選択するためのＵＩ画面として、ユーザにとっての文書の保存先として好適なボックス（すなわちそのユーザが利用可能なネットワークへと文書を出力可能なボックス）を、そうでないボックスと区別可能に表示する画面を提供する。

一つの例では、ＵＩ部１５０は、図１５に示すように、ユーザにとっての文書の保存先として好適なボックスのみを保存先の選択肢としてリスト表示したボックス指定画面３００をユーザに提供する。図１５の例は、図１２に示したボックス管理テーブルと図１３に示したユーザ管理テーブルが適用される複合機１００に対して、ユーザ「User1」がスキャンした文書をボックスに保存する指示を行った場合に提供されるボックス指定画面３００の例を示す。このボックス指定画面３００には、「User1」にとって文書の保存先として好適なボックス（図１４参照）のボックスＩＤとボックス名が、リスト形式で一覧表示されている。この例では、ボックスＩＤ欄に選択を示すラジオボタン３０２が示されている。ボックス名は、ボックスに対して、例えばそのボックスのオーナー（例えばそのボックスの開設操作を行った人）等のように名称付与権限を持つ人が付与した名前である。ユーザは、ボックス名を参考にして、今回の文書の保存先とするボックスを選択する。ユーザは、保存先とするボックスのラジオボタン３０２をタッチ操作等で選択状態とし、「決定」ボタン３０４を押下することで、保存先とするボックスの選択を確定する。

また、図１６の別の例のボックス指定画面３００Ａは、ユーザにとっての文書の保存先として好適なボックスだけでなく、そうでないボックスも選択肢のリストに含んでいる。ただし、このリストでは、そのユーザにとって文書の保存に好適なボックスとそうで無いボックスとが区別可能な表示態様となっている。図１６の例は、図１５の場合と同様ユーザ「User1」が文書保存の指示を行った際に提示されるものであり、選択肢のリストにおいて、文書の保存先として好適なボックス（Box-A及びBox-D）は、そうでないボックス（Box-B及びBox-C）よりも目立つよう高い輝度で表示される。また図示例のボックス指定画面３００Ａには、高輝度の選択肢と低輝度の選択肢の違いが分かるよう、各ボックスが、そのユーザの利用可能なネットワークの端末へと文書を出力できるか否かを示す欄も設けられている。Box-A及びBox-Dについては、この出力可否の欄の値が「可」となっており、残りの２つのボックスについては「不可」となっている。ユーザは、ボックス指定画面３００Ａの表示を見て、保存した文書をネットワーク上の端末から取り出す等の予定がある場合には、Box-A及びBox-Dのいずれかを選ぶようにする。文書の保存先として好適なボックスとそうでないボックスとの間の表示態様の区別は、例示した輝度や可・不可の表示に限らない。例えば色やフォントサイズ等を異ならせてもよい。

なお、ボックス指定画面３００Ａにリスト表示するボックスの選択肢は、一つの例では、複合機１００内に設けられている全てのボックスであってもよい。また別の例として、各ボックスに対する各ユーザのアクセス権限が設定されている場合には、文書保存を指示したユーザがアクセス権を持つボックス群を選択肢として表示する。

図１５及び図１６の例では、ボックス指定画面３００及び３００Ａに表示される保存先ボックスの選択肢はリスト形式であったが、選択肢の表示形式はリスト形式に限らない。この代わりに、例えば、選択肢であるボックスのアイコンを縦横にマトリクス状に配置する表示形式の画面としてもよい。

図１７には、複合機１００に図１２に例示したボックス管理テーブル１６０と図１３に例示したユーザ管理テーブル１６２とに基づく文書保存先のボックスの選択肢表示の例をまとめる。図１７の例は、ユーザにとっての文書の保存先として好適なボックスのみを選択肢としてリスト表示する場合の例である。ユーザ「User1」が、例えば、複合機１００の操作部のパネル（タッチパネル等である表示装置１０７）に対して、スキャン結果をボックス保存するタイプのスキャンを指示した場合には、複合機１００のコンソールのタッチパネル（表示装置１０７）に、Box-A及びBox-Dが選択肢としてリスト表示される。また、ユーザ「User1」がネットワークインタフェースＬＡＮ１に接続されたネットワークａ上の端末２００から複合機１００にアクセスし、文書の保存を指示した場合にも、保存先の選択肢としてBox-A及びBox-Dがその端末２００に表示される。これら選択肢は、保存指示が通ったネットワークインタフェースＬＡＮ１を入力許可経路として含むボックスであると共に、指示者である「User1」が利用可能なネットワーク（ＬＡＮ１）を出力許可経路として含むボックスでもある。またユーザ「User2」が複合機１００の操作パネルまたはネットワークｃ上の端末２００からボックスへの文書保存を伴う機能の利用を指示した場合には、保存先の選択肢としてBox-B、Box-C及びBox-Dが提示される。

なお、以上に説明した実施形態では、ボックス管理テーブル１６０やユーザ管理テーブル１６２が複合機１００（管理情報記憶部１１９）に保持されている例を説明したが、これは一例に過ぎない。それらテーブルは複合機１００からアクセス可能なネットワーク上の管理サーバ２５０に保持されていてもよい。図１７では、管理サーバ２５０はネットワークインタフェースＬＡＮ２に接続されたネットワークｂ上に設けられているが、これはあくまで一例に過ぎない。

＜第１変形例＞
次に、第１変形例を説明する。
ユーザが上記実施形態の仕組みを利用するには、そのユーザが複合機１００（またはこの複合機１００の利用のためのユーザ管理を行うシステム）に対してユーザ登録されている必要がある。したがって、複合機１００の設置された組織に属さない部外者（例えばその組織への来訪者）がその仕組みを利用するには、ユーザ登録が必要となり煩雑である。

そこでこの第１の変形例では、ユーザ登録がされていないユーザ（未登録ユーザ）に対応する方式を提案する。この方式では、未登録ユーザ用のボックスをボックス記憶部１１１内に設ける。ＵＩ部１５０は、複合機１００を操作しているユーザが未登録ユーザである場合（例えばそのユーザが複合機１００にログインしないで利用している場合）には、文書保存のＵＩ画面に、保存先の選択肢として、その未登録ユーザ用のボックスを提示する。このＵＩ画面には、登録済ユーザ用のボックス群は選択肢として表示されない。未登録のユーザが選べるのは、その未登録ユーザ用のボックスのみである。

この未登録ユーザ用のボックスには、通常のボックスと同様、ボックス入出力情報を設定可能とし、そのボックス入出力情報に従ってボックスとネットワークとの間の入出力を制御してもよい。この場合、そのボックスの入力許可経路及び出力許可経路は、ネットワークセキュリティを考慮して定める。例えば、そのボックスの入力許可経路及び出力許可経路には、少なくとも機密文書を扱うネットワーク（例えば図１のＬＡＮ１及びWi-Fi）は含めない。また、業務用のネットワークに部外者をアクセスさせないポリシーの場合には、部外者が利用可能な外部向けのネットワークに複合機１００を接続し、そのネットワークへのネットワークインタフェースをそのボックスの入力許可経路及び出力許可経路に設定する。例えば、図１８に例示するボックス管理テーブルでは、未登録ユーザ用に用意されたボックス「Box-Z」に対して、そのような外部向けのネットワーク（Wi-Fi2）へのネットワークインタフェースが対応付けられている。

例えば、未登録ユーザが、複合機１００のローカルのＵＩ（表示装置１０７等）からボックス利用のスキャンを指示した場合、そのユーザには保存先としてその未登録ユーザ用のボックスが提示される。その指示に応じて実行されたスキャン結果の文書はそのボックスに保存される。入出力制御部１１３は、そのボックスに対応付けられた出力許可経路のネットワークからはそのボックス内の文書の取り出しを認めるが、他のネットワークからのそのボックス内の文書の取り出しは受け付けない。

さて、このような未登録ユーザ向けのボックスは、固定的に設けておいてもよいし、オンデマンドで開設してもよい。

後者（オンデマンド）の場合、例えば、図１９に示すように、主制御部１１０のＵＩ部１５０は、ログインしていないユーザ（すなわち未登録ユーザ）から、スキャン結果をボックス保存するタイプのスキャン処理のように、ボックスを利用する機能の実行指示を受け取ると、未登録者用ボックス管理部１５２に、未登録ユーザ用のボックスの生成指示を送る。この指示を受けた未登録者用ボックス管理部１５２は、ボックス記憶部１１１内に未登録ユーザ用のボックスを新規開設する。ＵＩ部１５０は、そのユーザに対して、利用先として選択可能なボックスとしてその未登録ユーザ用のボックスを示したＵＩ画面を提示し、ユーザからそのボックスの利用指示を受けると、指示された機能を実行する。なお、ボックスを利用する機能の実行指示を受けた時点で未登録ユーザ用のボックスが既に存在している場合には、新たなボックスを生成せず、その既存のボックスを保存先としてユーザに提示してもよい。

また、未登録者用ボックス管理部１５２は、開設した未登録ユーザ用のボックスの利用が終了したと判断される時点で、そのボックスを削除してもよい。ここで、未登録ユーザ用のボックスの利用終了の判定は、以下のようなものがある。例えば、未登録ユーザの指示に応じて開設した当該ボックスに対してスキャン結果等の文書が保存された後、そのボックスからその文書が取り出されてそのボックスが空になった時に、そのボックスの利用が終了したと判定してもよい。また、開設した未登録ユーザ用のボックスに対するユーザのアクセス（例えばローカル又はリモートのＵＩからの文書の保存指示や、保存された文書の転送又は取り出しの指示等）がない時間が所定の時間以上経過した時点（いわゆるタイムアウトの時点）で、そのボックスの利用が終了したと判定してもよい。

＜第２変形例＞
上記実施形態及び第１変形例では、個々人を単位としてユーザが利用可能なネットワークを設定していた（図１３のユーザ管理テーブル参照）。しかし、この方式では、制御のためのリソースの無駄が多く、またユーザ管理テーブルのメンテナンスの負担が大きい。そこで、この第２変形例では、ユーザのグループを単位として利用可能なネットワークを設定できるようにする。

第２変形例では、管理情報記憶部１１９内に、グループ管理テーブル（図２０参照）と、ユーザ情報テーブル（図２１参照）を持たせる。グループ管理テーブルには、ユーザグループごとに、そのグループのＩＤに対応付けて、そのグループに属するユーザが利用可能なネットワークの識別情報が登録されている。ユーザ情報テーブルには、ユーザのＩＤに対応付けて、そのユーザが属するユーザグループのＩＤが登録されている。これらのテーブルは、複合機１００等の管理者がメンテナンスする。

ＵＩ部１５０は、ユーザからボックスへの文書保存を伴う機能（例えばスキャン）の実行指示を受けた場合に、そのユーザの属するグループをユーザ情報テーブル（図２１参照）から求め、そのグループが利用可能なネットワークをグループ管理テーブル（図２０参照）から特定する。ＵＩ部１５０は、その特定した情報と、各ボックスのボックス入出力情報（例えばボックス管理テーブル（図１２参照））とを参照して、そのユーザにとって文書の保存先として好適なボックスとしてそのユーザが利用可能なネットワークへと文書を出力可能なボックスを特定する。そして、ＵＩ部１５０は、保存先のボックスの選択用ＵＩ画面として、そのユーザが利用可能なネットワークへと文書を出力可能なボックスを、そうでないボックスと区別可能に表示する画面を提供する。

＜第３変形例＞
この変形例では、ＵＩ部１５０は、ユーザの過去のボックスの利用履歴を用いて、今回の文書の保存先選択用のＵＩ画面における保存先候補のボックスの表示を制御する。このために、主制御部１１０は、図２２に示すように、各ユーザのボックスの利用履歴を記録する利用履歴記録部１５４を有する。

一つの例では、利用履歴記録部１５４は、ユーザごとに、そのユーザが最後に利用したボックスの情報を記録する。例えば、図２３に示すように管理情報記憶部１１９内のユーザ管理テーブルに、ユーザが利用可能なネットワークの情報に加えて、そのユーザが「最後に利用したボックス」の項目を設ける。利用履歴記録部１５４は、ユーザがボックスを利用するごとに、今回利用されたボックスを、ユーザ管理テーブル内の当該ユーザの「最後に利用したボックス」の項目に上書きする。

なお、どのような操作をボックスの利用履歴における「利用」とするかは、予め設定しておく。例えば、ボックスへの文書の保存を「利用」としてもよいし、ボックス内の文書の出力又は取り出しを「利用」としてもよいし、それら両者の「利用」としてもよい。また、ボックスを開く操作（すなわちボックス内に保存されている文書の一覧の画面を表示する操作）も「利用」の範疇に含めてもよい。

この例では、ＵＩ部１５０は、ユーザからボックスへの文書保存を伴う機能の実行指示を受けた場合、上記実施形態のユーザ管理テーブルとボックス管理テーブル（図１３）の情報から、ＵＩ画面に表示する、そのユーザにとって保存先として好適なボックスを求める。そして、ＵＩ部１５０は、求めた「ユーザにとって保存先として好適なボックス」を選択肢とて並べたＵＩ画面上で、それら選択肢のうち、そのユーザが「最後に利用したボックス」（すなわち、今回の保存からみてそのユーザが「前回」に利用したボックス）を、他の選択肢と区別可能な方式（例えばより目立つように）で表示する。例えば、「最後に利用したボックス」を他のボックスとは異なる色で、又は特別のマークを付けて、又は他より高い輝度で、あるいはそれらの組合せで、強調表示する。

また別の例では、利用履歴記録部１５４は、ユーザごとに、そのユーザがいつ、どのボックスを「利用」（何を「利用」とするかは上述の通り設定されている）したかを示す履歴情報を記録しておく。そして、ＵＩ部１５０は、ユーザに対して文書保存先の選択のためのＵＩ画面を生成する際に、そのユーザの履歴情報を参照する。すなわち、ＵＩ部１５０は、上記実施形態と同様に保存先として好適なボックスを特定し、それら特定したボックス群を一覧表示する際に、例えば履歴情報から求められるそのユーザが最もよく利用しているボックスを強調表示する。あるいは、それら特定したボックス群を、利用頻度の順に並べて表示する。

＜第４変形例＞
この変形例では、ボックスに文書保存を行う目的をユーザに指定させ、その目的に応じて、保存先の選択肢とするボックスを絞り込む。

このために、管理情報記憶部１１９には、図２４に例示するように、複合機１００が接続されているネットワーク（それぞれ対応するネットワークインタフェースの識別名で識別する）ごとに、そのネットワークの目的の種別が登録されている。ここでいうネットワークの目的とは、そのネットワーク上でやりとりされる文書群の利用目的のことである。ネットワークの目的には、「機密文書用」、「一般文書用」等のようにいくつかの種別が用意され、各ネットワークに対してそれら種別のうちの一以上が対応付けられている。

ＵＩ部１５０は、ユーザからボックスへの文書保存を指示された場合に、まず、例えば図２５に例示する目的選択画面３２０をユーザに提示し、その画面上で文書を保存する目的種別を選択させる。目的選択画面３２０には、目的種別の選択肢群３２２が示されており、ユーザは、それら選択肢群から今回の目的を選択する。ＵＩ部１５０は、ユーザ管理テーブル（図１２）とボックス管理テーブル（図１３）からそのユーザにとって保存先として好適なボックスを特定する。そして、それら特定したボックス群から、ユーザが選択した目的種別に対応するネットワークを出力許可経路とするボックスのみを抽出し、抽出したボックスを選択肢とする保存先の選択画面をユーザに提示する。

以上、本発明の実施形態及び変形例について説明したが、それらはあくまで本発明の具現化の一例に過ぎない。

以上に例示した複合機１００の主制御部１１０は、例えば、複合機１００に内蔵されるコンピュータにそれら各装置内の各機能モジュールの機能を表すプログラムを実行させることにより実現してもよい。ここで、コンピュータは、例えば、ハードウエアとして、ＣＰＵ等のプロセッサ、ランダムアクセスメモリ（ＲＡＭ）およびリードオンリメモリ（ＲＯＭ）等のメモリ（一次記憶）、ＨＤＤ（ハードディスクドライブ）を制御するＨＤＤコントローラ、各種Ｉ／Ｏ（入出力）インタフェース、ローカルエリアネットワークなどのネットワークとの接続のための制御を行うネットワークインタフェース等が、たとえばバスを介して接続された回路構成を有する。また、そのバスに対し、例えばＩ／Ｏインタフェース経由で、ＣＤやＤＶＤなどの可搬型ディスク記録媒体に対する読み取り及び／又は書き込みのためのディスクドライブ、フラッシュメモリなどの各種規格の可搬型の不揮発性記録媒体に対する読み取り及び／又は書き込みのためのメモリリーダライタ、などが接続されてもよい。上に例示した各機能モジュールの処理内容が記述されたプログラムがＣＤやＤＶＤ等の記録媒体を経由して、又はネットワーク等の通信手段経由で、ハードディスクドライブ等の固定記憶装置に保存され、コンピュータにインストールされる。固定記憶装置に記憶されたプログラムがＲＡＭに読み出されＣＰＵ等のプロセッサにより実行されることにより、上に例示した機能モジュール群が実現される。

１００ 複合機、１０１ スキャナ、１０３ プリンタ、１０５ ファクシミリ装置、１０７ 表示装置、１０９ 不揮発性記憶装置、１１０ 主制御部、１１１ ボックス記憶部、１１３ 入出力制御部、１１５ 入出力先判定部、１１７ ボックス認証部、１１９ 管理情報記憶部、１２０ ネットワークインタフェース、１５０ ＵＩ部、１５２ 未登録者用ボックス管理部、２００ コンピュータ。

Claims (10)

1. それぞれ対応するネットワークに接続された複数のネットワークインタフェースと、
   データを保存する複数の保存領域であって、保存しているデータの出力経路として許可されるネットワークインタフェースがそれぞれ規定されている複数の保存領域と、
   各ユーザが利用可能なネットワークを示すネットワーク情報を取得する取得手段と、
   ユーザに対して、データの保存先として選択可能な保存領域の一覧を提示する手段であって、前記ネットワーク情報が示す当該ユーザに利用可能なネットワークに接続されたネットワークインタフェースが前記出力経路として規定されている保存領域の一覧を提示する提示手段と、
   を含む情報処理装置。
2. 前記提示手段は、前記ネットワーク情報に前記ユーザが利用可能なネットワークが登録されていない場合、当該ユーザに対して、データの保存先として選択可能な保存領域として、未登録ユーザ用の保存領域を提示する、請求項１に記載の情報処理装置。
3. 前記ネットワーク情報に前記ユーザが利用可能なネットワークが登録されていない場合に、前記未登録ユーザ用の保存領域を生成する生成手段、を更に含み、
   前記提示手段は、前記生成手段により生成された前記未登録ユーザ用の保存領域を前記ユーザに提示する、請求項２に記載の情報処理装置。
4. 前記生成手段により生成された前記未登録ユーザ用の保存領域を、当該保存領域の利用が終わった後に削除する削除手段、を更に含む請求項３に記載の情報処理装置。
5. 未登録ユーザ用のネットワークが予め定められており、
   前記生成手段は、前記未登録ユーザ用のネットワークに接続された前記ネットワークインタフェースを、生成した前記未登録ユーザ用の保存領域に保存しているデータについての出力経路として規定する、請求項３または４に記載の情報処理装置。
6. 前記取得手段は、各ユーザが属するグループを示す情報を更に取得すると共に、前記ネットワーク情報は、前記グループの各々が利用可能なネットワークを示すものであり、
   前記提示手段は、前記ユーザが属するグループが利用可能なネットワークを前記ネットワーク情報から求め、求めたネットワークに接続されたネットワークインタフェースが前記出力経路として規定されている保存領域の一覧を提示する、請求項１〜５のいずれか１項に記載の情報処理装置。
7. 前記ユーザが過去に利用した保存領域の情報を記録する記録手段、を更に含み、
   前記提示手段は、前記記録手段に記録された前記ユーザの過去に利用した保存領域の情報に基づいて、前記一覧における各保存領域の表示の順序又は態様を制御する、
   請求項１〜６のいずれか１項に記載の情報処理装置。
8. 前記複数の保存領域のそれぞれには、更に、当該保存領域に対して保存するデータの入力経路として許可されるネットワークインタフェースがそれぞれ規定されており、
   前記提示手段は、前記ユーザがネットワークを経由して前記情報処理装置にアクセスしている場合に、当該経由しているネットワークに接続されたネットワークインタフェースが前記入力経路として規定されており、かつ、前記ネットワーク情報が示す当該ユーザが利用可能なネットワークに接続されたネットワークインタフェースが前記出力経路として規定されている保存領域の一覧を提示する、請求項１〜７のいずれか１項に記載の情報処理装置。
9. 各ネットワークには目的種別が対応付けられており、
   前記情報処理装置は、データを保存する目的種別の入力を受け付ける手段を更に備え、
   前記提示手段は、前記ネットワーク情報が示す当該ユーザに利用可能なネットワークであり且つ受け付けた前記目的種別に対応するネットワーク、に接続されたネットワークインタフェースが前記出力経路として規定されている保存領域の一覧を提示する、
   請求項１〜８のいずれか１項に記載の情報処理装置。
10. それぞれ対応するネットワークに接続された複数のネットワークインタフェースを含むコンピュータを、
    データを保存する複数の保存領域であって、保存しているデータの出力経路として許可されるネットワークインタフェースがそれぞれ規定されている複数の保存領域、
    各ユーザが利用可能なネットワークを示すネットワーク情報を取得する取得手段、
    ユーザに対して、データの保存先として選択可能な保存領域の一覧を提示する手段であって、前記ネットワーク情報が示す当該ユーザに利用可能なネットワークに接続されたネットワークインタフェースが前記出力経路として規定されている保存領域の一覧を提示する提示手段、
    として機能させるためのプログラム。