JP2022186592A - 情報処理装置およびその制御方法、情報処理システム、プログラム、記憶媒体 - Google Patents

Abstract

【課題】スキャンデータに関する情報漏洩防止効果を高める。【解決手段】原稿のスキャンにより取得されたスキャンデータは、抽出された文字列に検閲キーワードが含まれていないことを条件に保存される。ＢＯＸ出力を要するジョブを実行するに当たって、保存済みスキャンデータに対して文字列が抽出されると共に、抽出された文字列に検閲キーワードが含まれると判定された場合は、保存済みスキャンデータは出力されず、抽出された文字列に検閲キーワードが含まれないと判定された場合は、保存済みスキャンデータは出力（送信または印刷）される。【選択図】図６

Description

本発明は、情報処理装置およびその制御方法、情報処理システム、プログラム、記憶媒体に関する。

近年、社内・社外問わず情報漏洩の発生や不正操作による攻撃が問題となっている。そのような状況から、セキュリティモデルは、ファイアーウォールによって守られた中では安全という境界型モデルから、全てを信用しないという性悪説に基づいたゼロトラストのモデルへと変化している。

情報処理装置、例えば画像形成装置は多様な機能を備えており、スキャンデータの送信機能、ＦＡＸ機能、保存文書の送信機能等、外部ストレージへのデータ送信や通信機能を持つ。ゼロトラストのセキュリティモデルにおいては全てを疑う必要があるため、やり取りされるデータが情報漏洩に繋がらないことや、不正な操作がされていないことを常に検証することが重要となる。

スキャンデータを検証し不正な操作が実施されることを防ぐ方法として、スキャン文書に対して文字列抽出（ＯＣＲ）を行って抽出したテキストが事前登録された文字列や位置に合致するかどうかを確認（検閲）する技術が提案されている(特許文献１)。これにより、従来の画像による比較に比べて少ないメモリ量でもデータの検証を実施することができ、有価証券のような不正コピーを防止することができる。

また、画像形成装置内部に保存された画像データに対し、個人情報が含まれていないかを定期的に確認し、問題があれば警告表示を行うことで情報漏洩を防ぐ方法も知られている(特許文献２)。この方法によれば、保存された画像データから取得したテキストデータの中に個人情報が含まれているとユーザに通知される。

特開平８－１９４４１２号公報 特開２００７－４８０５３号公報

しかしながら、特許文献１の装置では、検閲は印刷やコピー等の出力時にだけ実施され、スキャンデータの保存の際には実施されない。また、特許文献２の装置では、所定のタイミングで検閲が実施されるが、保存されたデータを送信等の出力をする際に必ずしも検閲は実施されない。スキャンされたデータは、保存後、出力されるまでの間に、悪意あるユーザによって改ざんされることがある。さらに、保存後、出力されるまでの間に、検閲対象となる文字列が更新される場合もある。従って、スキャンデータに関する情報漏洩防止効果を高める上で改善の余地があった。

上記目的を達成するために本発明は、原稿のスキャンにより取得されたスキャンデータから文字列を抽出する抽出手段と、前記取得されたスキャンデータから前記抽出手段により抽出された文字列に検閲対象文字列が含まれていないことを条件に、前記取得されたスキャンデータを保存部に保存する保存手段と、前記保存部に保存されたスキャンデータを出力するジョブを実行するに当たって、前記保存されたスキャンデータに対して、前記抽出手段により文字列を抽出させると共に抽出された文字列に前記検閲対象文字列が含まれるか否かを判定する判定処理を実行する判定手段と、前記ジョブを実行するに当たって、前記判定手段により、前記抽出された文字列に前記検閲対象文字列が含まれると判定された場合は、前記保存されたスキャンデータを出力せず、前記判定手段により、前記抽出された文字列に前記検閲対象文字列が含まれないと判定された場合は、前記保存されたスキャンデータを出力するよう制御する制御手段と、を有することを特徴とする。

本発明によれば、スキャンデータに関する情報漏洩防止効果を高めることができる。

情報処理システムの全体構成を示すブロック図である。 検閲処理の概要を示す図である。 メインコントローラの機能ブロック図である。 スキャン処理、データ検閲処理を示すフローチャートである。 エラー画面の一例を示す図である。 ＢＯＸ出力処理を示すフローチャートである。 辞書登録処理を示すフローチャートである。 検閲キーワード入力画面を示す図である。 データ検閲処理を示すフローチャートである。 スキャンデータの送信先と検閲処理の要否との対応関係を示す図である。 サーバ装置のソフトウェア構成を示すブロック図である。 データ検閲処理、サーバ側検閲処理を示すフローチャートである。 データ検閲処理を示すフローチャートである。 送信ファイル設定画面の例を示す図である。 スキャン処理を示すフローチャートである。

以下、図面を参照して本発明の実施の形態を説明する。

（第１の実施の形態）
図１は、本発明の第１の実施の形態に係る情報処理装置を含む情報処理システムの全体構成を示すブロック図である。この情報処理装置として、画像形成装置１００を例示するが、画像形成装置に限定されない。画像形成装置１００は、例えば、ＭＦＰ（Multifunction Peripheral）である。図１では、画像形成装置１００に関して、ハードウェアを示すブロック図が示されている。

情報処理システムは、画像形成装置１００が、ＬＡＮ１６０を介してサーバ装置１８０およびＰＣ１９０と通信可能に接続されて構成される。画像形成装置１００は、メインコントローラ１１０、操作部ユニット１３０、プリンタユニット１４０、スキャナユニット１５０を有する。

メインコントローラ１１０において、ＣＰＵ１１１は、ＲＯＭ１１２やフラッシュメモリ１１４に記憶されたメインコントローラ１１０用のプログラムをＲＡＭ１１３に読み出して実行する。ＲＯＭ１１２はリードオンリーメモリであり、メインコントローラ１１０のブートプログラム、ＢＩＯＳ、固定パラメータ等を格納している。ＲＡＭ１１３はランダムアクセスメモリであり、ＣＰＵ１１１がメインコントローラ１１０を制御する際に、プログラムや一時的なデータの格納などに使用される。フラッシュメモリ１１４はローダ、カーネル、アプリケーションを格納する。またフラッシュメモリ１１４には、実行プログラムの他に、画像形成装置１００の機能を有効にするためのライセンス情報や、プログラムの改ざん検知に使用する署名や公開鍵が記憶されている。

ＨＤＤ１１５はハードディスクドライブであり、一部のアプリケーション、各種データのほか、ネットワークＩ／Ｆ１２０を介してＰＣ１９０から受信した印刷データなどを記憶する。フラッシュメモリ１１４から読み出されＣＰＵ１１１により実行されるプログラムには、プリント用アプリケーションプログラムが含まれる。そして、このプリント用アプリケーションプログラムにより、ＨＤＤ１１５に記憶された印刷データが、プリンタユニット１４０によるプリントが可能な画像データに変換され、それらの画像データもまたＨＤＤ１１５に記憶される。

また、フラッシュメモリ１１４から読み出されＣＰＵ１１１により実行されるファームウェアには、スキャン用アプリケーションプログラムが含まれる。このスキャン用アプリケーションプログラムにより、スキャナユニット１５０により画像データが読み取られるとともに、読み取られた画像データがＨＤＤ１１５に転送される。そして、ＨＤＤ１１５には、読み取られた画像データが記憶される。

操作部Ｉ／Ｆ１１６は、操作部ユニット１３０を介して画像形成装置１００の使用者により入力される指示をＣＰＵ１１１に伝達するためのＩ／Ｆ（インターフェース）である。また、操作部Ｉ／Ｆ１１６は、操作部ユニット１３０に表示する内容を切り替えるための処理内容をＣＰＵ１１１から受信して操作部ユニット１３０に伝達する。なお、操作部ユニット１３０は、タッチパネル機能を有する液晶表示部やキーボードなどを備え、画像形成装置１００の状態や操作メニューを表示し、使用者の指示を受け付ける。

プリンタＩ／Ｆ１１７は、メインコントローラ１１０とプリンタユニット１４０とを接続するためのインターフェースである。ここで、プリンタユニット１４０は、プリンタＩ／Ｆ１１７を介してＨＤＤ１１５から転送される画像データに基づいて記録媒体上に印刷を行う。

スキャナＩ／Ｆ１１８は、メインコントローラ１１０とスキャナユニット１５０とを接続するためのインターフェースである。ここで、スキャナユニット１５０（スキャナ部）は、原稿上の画像をＣＣＤ（ＣｈａｒｇｅＣｏｕｐｌｅｄＤｅｖｉｃｅ）等により構成されるラインセンサを用いて画像データとして読み取る。スキャナユニット１５０は、読み取った画像データをスキャナＩ／Ｆ１１８を介してＨＤＤ１１５へ転送する。記憶された画像データは、プリンタユニット１４０によりプリントすることが可能である。スキャナユニット１５０により読み取った画像データをプリンタユニット１４０によりプリントすることにより、複写（コピー）処理が可能となる。

ＵＳＢ－ＨｏｓｔＩ／Ｆ１１９は、メインコントローラ１１０と外部ＵＳＢデバイス１７０を接続するためのインターフェースである。ここで、外部ＵＳＢデバイス１７０の例としてはＦＡＸユニットが挙げられる。ＦＡＸユニットの例では、外部ＵＳＢデバイス１７０は、ＵＳＢ－ＨｏｓｔＩ／Ｆ１１９を介してＨＤＤ１１５から転送される画像データに基づいてＦＡＸ送信を行う。また、外部ＵＳＢデバイス１７０は、受信したデータに基づいて画像データを生成し、ＵＳＢ－ＨｏｓｔＩ／Ｆ１１９を介してＨＤＤ１１５に画像データを転送する。なお、ＨＤＤ１１５に記憶された画像データは、前述したようにプリンタユニット１４０により記録媒体にプリントされる。外部ＵＳＢデバイス１７０の他の例としては、ＵＳＢメモリやＵＳＢキーボードなども挙げられる。ＵＳＢメモリからは、ファームウェアアップデートに必要な更新ファイルの転送も可能である。

ネットワークＩ／Ｆ１２０は、メインコントローラ１１０をＬＡＮ１６０に接続し、ＬＡＮ上のＰＣ１９０との通信を行う。ＰＣ１９０は画像形成装置１００とＬＡＮ１６０で接続され、画像形成装置１００に対して、印刷データの送信、ＷＥＢブラウザ経由での機器の操作、ファームウェアファイルの転送等が可能である。さらに画像形成装置１００は、ＬＡＮ１６０を介してサーバ装置１８０と接続され、スキャンデータや各種ログの送信先としてサーバ装置１８０を設定することができる。ここでの送信方式は、ＳＭＴＰ（Simple Mail Transfer Protocol）、ＦＴＰ(File Transfer Protocol)等であるが、そのプロトコルは限定されない。

また、画像形成装置１００は、必要とする設定やデータの保存場所としてサーバ装置１８０を使用することができる。ただし、画像形成装置１００の設置環境によっては、サーバ装置１８０には接続しないケースもある。なお、サーバ装置１８０に代えてクラウドサービス等を採用してもよい。

次に、スキャンデータの検閲処理を実行するためにメインコントローラ１１０のＣＰＵ１１１によって実行されるデータ検閲機能について説明する。

図２は、データ検閲機能を実現するソフトウェアによる検閲処理の概要を示す図である。なお、データ検閲機能を実現するソフトウェアプログラムは、ＲＯＭ１１２、フラッシュメモリ１１４またはＨＤＤ１１５に記憶されている。

画像形成装置１００は、コピー、スキャン送信、ＦＡＸ送信、ＢＯＸ保存等、スキャンの実行を必要するジョブ処理が投入されると、スキャンデータのコンテンツをチェックするために検閲処理を実施する。ここで、ＢＯＸ保存ジョブは、原稿をスキャンし、スキャンデータを画像形成装置１００のＢＯＸ２００（保存部）に保存するジョブである。ここでいうＢＯＸ２００は、例えばＨＤＤ１１５により実現される。なお、ＢＯＸ２００は、画像形成装置１００内に構築されることは必須でなく、通信を通じてアクセス可能な場所に構築されてもよい。

検閲処理の結果、事前に管理者またはユーザが登録した所定の文字列としての検閲キーワード（検閲対象文字列）が含まれていないと判定された場合にのみ、その後の処理が実行される。例えば、コピージョブの場合は、スキャンデータが印刷される。スキャン送信ジョブの場合は、スキャンデータに対してメール送信やＦＴＰ等によるデータ送信が行われ、ＦＡＸ送信ジョブの場合は、スキャンデータに対してＦＡＸ送信処理が実行される。ＢＯＸ保存ジョブの場合は、スキャンデータにＩＤが付与され、ＢＯＸ２００に保存される。

以降、ＢＯＸ２００に保存されたスキャンデータ（文書）を、保存前のスキャンデータと特に区別して呼称する際には、「保存済みスキャンデータ」と記す場合がある。また、保存済みスキャンデータをＢＯＸ２００から読み出して出力（送信・印刷）に利用することを、「ＢＯＸ出力」と呼称する。

ＢＯＸ出力において、保存済みスキャンデータは、ユーザの指示によってＢＯＸ２００から読み出され、印刷や送信が実行される。スキャンデータは、ＢＯＸ２００に保存された後、読み出されて出力（送信・印刷）に利用されるまでの間に変化する場合がある。例えば、保存済みスキャンデータに対して不正な操作が行われて改ざんされる可能性がある。そこで、画像形成装置１００は、ＢＯＸ出力の際、改めて検閲処理を実施してから送信・印刷を実行する。また、検閲キーワードも、スキャンデータを保存したときとＢＯＸ出力のときとでは異なっている可能性がある。この点でも、ＢＯＸ出力の際、改めて検閲処理を実施する利点がある。

図３は、メインコントローラ１１０の機能ブロック図である。図３を用いて、メインコントローラ１１０のＣＰＵ１１１により実行されるソフトウェアの構成について説明する。図３に示されるプログラムは、フラッシュメモリ１１４（図１）に記憶される。図３に示す各機能部は、主として、ＣＰＵ１１１、フラッシュメモリ１１４、ＲＡＭ１１３の協働により実現される。

起動制御部３１１は、画像形成装置１００の起動時の処理を制御するプログラムであり、メインコントローラ１１０のＯＳ（オペレーションシステム）を起動させ、各種プログラムを動作させるための基本システムを立ち上げる。操作部制御部３１２は、操作部Ｉ／Ｆ１１６を介して操作部ユニット１３０の制御を行うためのプログラムである。プリンタ制御部３１３は、プリンタＩ／Ｆ１１７を介してプリンタユニット１４０の制御を行うプログラムである。スキャナ制御部３１４は、スキャナＩ／Ｆ１１８を介してスキャナユニット１５０の制御を行うためのプログラムである。

画像処理部３１５は、スキャナ制御部３１４を介して受け取ったスキャンデータの画像処理を行うと共に、スキャンデータから文字情報を抽出する処理も行う。文字情報は、ＯＣＲ（Optical character recognition）によってスキャンデータから抽出されるが、他の方法によって抽出されてもよい。なお、画像処理部３１５で行う文字情報の抽出は、検閲処理を実行するために行われるだけでなく、スキャンデータに文字情報を付したデータを作成するためにも行われてもよい。

ＵＳＢ制御部３１６は、ＵＳＢ－ＨｏｓｔＩ／Ｆ１１９を介して外部ＵＳＢデバイス１７０を制御するためのプログラムである。通信制御部３１７は、ネットワークＩ／Ｆ１２０を介して、サーバ装置１８０やＰＣ１９０との通信を行う。この通信はＬＡＮ１６０を介して行われ、スキャンデータの送信やデータの検閲に必要な設定データの転送が行われる。転送されたファイルはＨＤＤ１１５に保存される。

検閲設定管理部３１８は、スキャン時に検閲を実行する必要があるか否かの設定値（検閲モードのＯＮ／ＯＦＦ）を管理する。また、検閲設定管理部３１８は、検閲実施に必要な設定をユーザから受け付け、ＨＤＤ１１５に保存する。なお、検閲実施に必要な設定を受け付ける設定画面を、操作部制御部３１２を通して操作部ユニット１３０に表示してもよいし、ＰＣ１９０に搭載されたＷｅｂブラウザによってユーザが操作できるようＷｅｂサーバ機能によって提供してもよい。検閲設定管理部３１８は、これらによって受け付けた設定値をＨＤＤ１１５に保存し、データ検閲処理部３１９が検閲を実行する際に設定値を提供する。

データ検閲処理部３１９は、スキャナ制御部３１４によってスキャンが実行された際、画像処理部３１５がスキャンデータから抽出した文字情報を読み込む。そしてデータ検閲処理部３１９は、読み込んだ文字情報に、検閲設定管理部３１８が管理する検閲キーワードが含まるかどうかを調べる（検閲する）。

エラー通知制御部３２０は、図４（ｂ）で後述するデータ検閲処理により、スキャンデータのコンテンツに、送信が禁止されるような検閲キーワードが存在すると判定された際に、報知処理として例えばエラー通知を実施する。このエラー通知は、例えば、操作部ユニット１３０や、ＬＡＮ１６０に接続された外部機器に対して行われる。

ユーザデータ管理部３２１は、個々のユーザごとのデータを管理する。ここで管理されるデータには、ＦＡＸ等で用いる宛先表、ＢＯＸ２００に保存されたスキャンデータ、各種設定値が含まれる。認証制御部３２２は、各ユーザの認証情報を管理し、画像形成装置１００を使用する際の認証操作を受け付ける。認証制御部３２２で行った認証情報に基づいて、ユーザデータ管理部３２１から権限に紐づいたデータを読み出すことが可能となる。

次に、図４、図５を用いて、原稿のスキャンとスキャンデータの検閲について説明する。

図４（ａ）は、スキャン処理を示すフローチャートである。この処理は、ＣＰＵ１１１が、フラッシュメモリ１１４に記憶されたプログラムをＲＡＭ１１３に展開して実行することにより実現される。この処理は、スキャンを要するジョブが投入されると開始される。スキャンを要するジョブとしては、コピージョブ、スキャン送信ジョブ、ＦＡＸ送信ジョブ、ＢＯＸ保存ジョブが想定される。

ステップＳ４０１では、スキャナ制御部３１４は、スキャナユニット１５０を用いて原稿を１枚スキャンし、読み取り結果を画像処理部３１５がデータ化する。ステップＳ４０２では、スキャナ制御部３１４は、未スキャンの原稿があるか否かを判別し、未スキャンの原稿がない場合は図４（ａ）に示す処理を終了する。一方、スキャナ制御部３１４は、未スキャンの原稿があれば、ステップＳ４０３で、停止フラグがＯＮに設定されているか否かを判別する。なお、停止フラグは後述する図４（ｂ）のステップＳ４２１でＯＮに設定される。そしてスキャナ制御部３１４は、停止フラグがＯＮに設定されていない（ＯＦＦに設定されている）場合はステップＳ４０１に戻り、次の原稿のスキャンへ移行する一方、停止フラグがＯＮに設定されている場合は図４（ａ）に示す処理を終了する。

図４（ｂ）は、データ検閲処理を示すフローチャートである。この処理は、ＣＰＵ１１１が、フラッシュメモリ１１４に記憶されたプログラムをＲＡＭ１１３に展開して実行することにより実現される。この処理は、スキャン処理（図４（ａ））の開始以降に開始され、同処理とは非同期に実行される。例えば、スキャン処理において１枚目のスキャンデータが生成されたタイミングでデータ検閲処理が開始されてもよいし、全ての原稿のスキャンが終了後にデータ検閲処理が開始されてもよい。

ステップＳ４１１では、検閲設定管理部３１８は、管理する検閲モードがＯＮに設定されているか否かを判別する。検閲設定管理部３１８は、検閲モードがＯＮに設定されている場合はステップＳ４１２に遷移し、検閲モードがＯＦＦに設定されている場合は、検閲処理を実施しないのでステップＳ４１６に遷移する。

ステップＳ４１２～Ｓ４１４では、判定手段としてのＣＰＵ１１１は、ステップＳ４０１で取得されたスキャンデータに対する判定処理を実行する。まず、ステップＳ４１２では、抽出手段としての画像処理部３１５は、ステップＳ４０１で取得されたスキャンデータに対してＯＣＲを実行することで、当該スキャンデータから文字列（テキストデータ）を抽出する。ステップＳ４１３では、データ検閲処理部３１９は、データ検閲を実行する。すなわち、データ検閲処理部３１９は、抽出された文字列と検閲辞書とを比較し、抽出された文字列に検閲キーワードが含まれているかどうかを確認する。ここで、検閲辞書には、辞書登録（図７で後述）によって少なくとも１つの検閲キーワードが登録されている。検閲辞書は検閲設定管理部３１８により管理される。

ステップＳ４１４では、データ検閲処理部３１９は、ステップＳ４１３でのデータ検閲の結果、抽出された文字列に、検閲キーワードと一致する文字列が存在しない（抽出された文字列に検閲キーワードが含まれていない）か否かを判別する。その判別の結果、データ検閲処理部３１９は、抽出された文字列に、検閲キーワードと一致する文字列が存在しない場合はステップＳ４１５に進む。

ステップＳ４１５では、データ検閲処理部３１９は、検閲辞書との比較が未実施の文字列、すなわち未検閲のデータがないか否かを判別する。そしてデータ検閲処理部３１９は、未検閲のデータがある場合はステップＳ４１２に戻り、未検閲のデータがない場合は、全てのデータに対してデータ検閲を終えたので、ステップＳ４１６に進む。

ステップＳ４１６では、データ検閲処理部３１９は、今回投入された（図４（ａ）の処理開始の元となった）ジョブが、ＢＯＸ保存ジョブであるか否かを判別する。データ検閲処理部３１９は、今回投入されたジョブがＢＯＸ保存ジョブである場合は、ステップＳ４１７に進む。ステップＳ４１７では、保存手段としてのユーザデータ管理部３２１は、検閲済みのスキャンデータにＩＤを付与してＢＯＸ２００に保存する。ＢＯＸ２００に保存されたデータは、これ以降、保存済みスキャンデータとなる。なお、ステップＳ４１７で保存されるスキャンデータは、ステップＳ４１２で抽出されたテキストデータと共に保存されていても良く、保存の態様は限定はしない。

データ検閲処理部３１９は、今回投入されたジョブがＢＯＸ保存ジョブでない場合は、ステップＳ４１８に進み、今回投入されたジョブが送信ジョブ（スキャン送信ジョブまたはＦＡＸ送信ジョブ）であるか否かを判別する。そしてデータ検閲処理部３１９は、今回投入されたジョブが送信ジョブである場合は、ステップＳ４１９に進む。ステップＳ４１９では、通信制御部３１７は、スキャンデータを、ユーザにより指定された送信先へ、指定に応じた送信の形態（メール送信、ＦＴＰ送信またはＦＡＸ送信）にて送信する。

ここで、スキャンデータが、ステップＳ４１２で抽出されたテキストデータと共に送信されていてもよい。その際、例えば、スキャンデータは、ＳｅａｒｃｈａｂｌｅＰＤＦのようなテキスト付きファイルの形態で送信されていてもよいし、テキストデータがメールタイトルや本文として送信されてもよい。

今回投入されたジョブが送信ジョブでない場合は、今回投入されたジョブはコピージョブであるので、プリンタ制御部３１３は、ステップＳ４２０に進み、プリンタユニット１４０を用いてスキャンデータを印刷する。

ステップＳ４１４での判別の結果、データ検閲処理部３１９は、抽出された文字列に、検閲キーワードと一致する文字列が存在する場合は、今回の検閲済みのデータは情報漏洩防止の必要性が高いので、ステップＳ４２１に進む。従って、検閲済みのデータの印刷、送信、保存は行われない。ステップＳ４２１では、データ検閲処理部３１９は、スキャナ制御部３１４により管理される停止フラグをＯＮにする。これは、スキャンデータが情報漏洩防止の必要性が高いことから、実行中のスキャン処理がある場合はその処理を中止するのが適切だからである。

ステップＳ４２２では、エラー通知制御部３２０は報知処理を実行する。この報知処理では、図５（ａ）に示すように、エラー通知制御部３２０は操作部制御部３１２を用いて操作部ユニット１３０にエラー画面５００を表示する。

図５（ａ）は、エラー画面５００の一例を示す図である。エラー画面５００では、エラーメッセージが表示され、これにより、今回の検閲済みデータは情報漏洩防止要請が高いために出力不可であったことがユーザに通知される。なお、報知処理では、メッセージの表示に限らず、マークの表示や、音声による報知を行ってもよい。

また、報知処理では、図５（ｂ）に他の例を示すように、エラーの内容５１０を電子メールでユーザに通知するようにしてもよい。この場合、エラー通知制御部３２０は、認証制御部３２２に対して現在のユーザが誰であるかを確認し、ユーザデータ管理部３２１からユーザのメールアドレスを取得する。通信制御部３１７を通して電子メールが送信されることにより、ユーザはスキャンしたデータが出力不可のデータであることを通知される。ステップＳ４１７、Ｓ４１９、Ｓ４２０、Ｓ４２２の後、図４（ｂ）に示す処理は終了される。

なお、画面による報知とメール送信による報知とを併用してもよい。すなわち、ユーザがログオフするまでは操作部ユニット１３０にエラー画面５００を表示し、ログオフ後は画像形成装置１００の前にユーザがいないと判断して、電子メールでユーザに通知する構成としてもよい。この場合でも、スキャンデータの送信は行われない。

なお、コピージョブ、スキャン送信ジョブ、ＦＡＸ送信ジョブ、ＢＯＸ保存ジョブ以外の他のジョブが選択肢として存在してもよい。他のジョブが投入された場合は、それに応じた処理が実行される。

次に、保存済みスキャンデータをＢＯＸ２００から読み出して出力するＢＯＸ出力処理について説明する。図６は、ＢＯＸ出力処理を示すフローチャートである。この処理は、ＣＰＵ１１１が、フラッシュメモリ１１４に記憶されたプログラムをＲＡＭ１１３に展開して実行することにより実現される。この処理は、ＢＯＸ出力を要するジョブ（ＢＯＸ送信ジョブまたはＢＯＸ印刷ジョブ）が投入されると開始される。この処理において、データ検閲処理部３１９ないしＣＰＵ１１１は、本発明における制御手段としての機能を果たす。

ステップＳ６０１では、ユーザデータ管理部３２１は、投入されたジョブに応じた保存済みスキャンデータをＢＯＸ２００から読み出す。ステップＳ６０２では、検閲設定管理部３１８は、ステップＳ４１１と同様の処理を実行する。そして検閲設定管理部３１８は、検閲モードがＯＮに設定されている場合はステップＳ６０３に遷移し、検閲モードがＯＦＦに設定されている場合はステップＳ６０６に遷移する。

ステップＳ６０３～Ｓ６０５では、判定手段としてのＣＰＵ１１１は、読み出した保存済みスキャンデータに対する判定処理を実行する。これは、スキャンされたデータが、保存されてから出力されるまでの間に改ざんされたり、検閲キーワードが更新されたりする可能性があるため、ＢＯＸ出力の際にデータ検閲を改めて実施するのが適切だからである。

まず、ステップＳ６０３では、画像処理部３１５は、ステップＳ６０１で読み出された保存済みスキャンデータに対してＯＣＲを実行することで、当該スキャンデータから文字列（テキスト）を抽出する。なお、保存済みスキャンデータにテキスト情報が付与されていた場合は、ステップＳ６０３の処理を行わず、ステップＳ６０４に進んでも良い。その場合、付与されていたテキスト情報が、抽出した文字列（テキスト）と同等に扱われる。ステップＳ６０４、Ｓ６０５では、データ検閲処理部３１９は、図４（ｂ）のステップＳ４１３、Ｓ４１４と同様の処理を実行する。ステップＳ６０５での判別の結果、データ検閲処理部３１９は、抽出された文字列に、検閲キーワードと一致する文字列が存在しない場合はステップＳ６０６に進む。

ステップＳ６０６では、データ検閲処理部３１９は、今回投入されたジョブがＢＯＸ送信ジョブであるか否かを判別する。そしてデータ検閲処理部３１９は、今回投入されたジョブがＢＯＸ送信ジョブである場合は、ステップＳ６０７に進む。ステップＳ６０７では、通信制御部３１７は、ステップＳ６０４で検閲されたスキャンデータを、ユーザにより指定された送信先へ、指定に応じた送信の形態（メール送信、ＦＴＰ送信またはＦＡＸ送信）にて送信する。

データ検閲処理部３１９は、今回投入されたジョブが送信ジョブでない場合は、今回投入されたジョブはＢＯＸ印刷ジョブであるので、プリンタ制御部３１３は、ステップＳ６０８に進む。ステップＳ６０８では、データ検閲処理部３１９は、プリンタユニット１４０を用いて、ステップＳ６０４で検閲されたスキャンデータを印刷する。

ステップＳ６０５での判別の結果、データ検閲処理部３１９は、抽出された文字列に、検閲キーワードと一致する文字列が存在する場合は、今回の検閲済みのデータは情報漏洩防止の必要性が高いので、ステップＳ６０９に進む。従って、検閲済みのデータの印刷や送信は行われない。ステップＳ６０９、Ｓ６１０では、データ検閲処理部３１９は、図４のステップＳ４２１、Ｓ４２２と同様の処理を実行する。ステップＳ６０７、Ｓ６０８、Ｓ６１０の後、図６に示す処理は終了される。

図７は、辞書登録処理を示すフローチャートである。この処理は、ＣＰＵ１１１が、フラッシュメモリ１１４に記憶されたプログラムをＲＡＭ１１３に展開して実行することにより実現される。この処理は、操作部ユニット１３０を介してユーザから辞書登録の実行指示が入力されると開始される。

まず、辞書登録の実行指示が入力されると、設定画面が表示される。設定画面は操作部ユニット１３０に表示されるか、または、Ｗｅｂサーバ機能によって、ＰＣ１９０が備えるＷｅｂブラウザに表示される。

ステップＳ７０１では、検閲設定管理部３１８は、ユーザが設定画面にアクセスするのを待ち、ユーザが設定画面にアクセスすると、ステップＳ７０２で、検閲設定管理部３１８は、図８に示す検閲キーワード入力画面８００を操作部ユニット１３０に表示する。図８に示す検閲キーワード入力画面８００には、キーワードリスト表示部８０１、キーワード入力受付部８０２、ＯＫボタン８０３、キャンセルボタン８０４が表示される。なお、これ以外にも、スキャンデータの検閲結果が不合格だった場合の動作の設定や検閲文字列を、ユーザやグループ単位で設定できるようにしてもよい。

ステップＳ７０３では、検閲設定管理部３１８は、検閲キーワード入力画面８００において、ユーザからの検閲キーワードの入力を受け付ける。ステップ７０４では、検閲設定管理部３１８は、入力された検閲キーワードをＨＤＤ１１５に保存し、図７に示す処理を終了する。登録された検閲キーワードが存在する段階で、図７に示す処理が実行されることで、検閲キーワードの登録内容は更新され得る。上述した判定処理における検閲は、最新の検閲キーワードを用いてなされる。

本実施の形態によれば、まず、原稿のスキャンにより取得されたスキャンデータの保存や出力を試みる際に、取得されたスキャンデータに対する判定処理が実行される（Ｓ４１２～Ｓ４１４）。取得されたスキャンデータから抽出された文字列に検閲キーワード（検閲対象文字列）が含まれていないことを条件に、取得されたスキャンデータがＨＤＤ１１５（保存部）に保存される（Ｓ４１４～Ｓ４１７）。ＢＯＸ出力を要するジョブを実行するに当たって、保存済みスキャンデータに対する判定処理が実行される（Ｓ６０３～Ｓ６０５）。すなわち、保存済みスキャンデータに対して文字列が抽出されると共に、抽出された文字列に検閲キーワードが含まれるか否かが判定される。そして、抽出された文字列に検閲キーワードが含まれると判定された場合は、保存済みスキャンデータは出力されない（Ｓ６０５→Ｓ６０９）。抽出された文字列に検閲キーワードが含まれないと判定された場合は、保存済みスキャンデータは出力（送信または印刷）される（Ｓ６０５→Ｓ６０６→Ｓ６０７、Ｓ６０８）。

これにより、スキャンデータは、保存時だけでなく出力時にも検閲されるので、保存後のデータ改ざんや検閲キーワードの更新にも対処できる。よって、スキャンデータに関する情報漏洩防止効果を高めることができる。特に、検閲キーワードは更新され得るが、出力時での検閲は最新の検閲キーワードに基づき実行される。従って、出力時の状況に適した条件で検閲が実施され情報漏洩防止効果が高い。

また、抽出された文字列に検閲キーワードと一致する文字列が存在する場合は、停止フラグがＯＮにされるので、未スキャンの原稿があればそのスキャンが中止される（Ｓ４２１、Ｓ４０３）。これにより、情報漏洩のおそれのあるスキャンデータの生成を中断することができる。

また、抽出された文字列に検閲キーワードと一致する文字列が存在する場合は、エラーを報知されるので（Ｓ４２２）、情報漏洩防止の観点でスキャンデータが出力不可である旨をユーザに知らせることができる。

また、検閲モードのＯＮ、ＯＦＦの設定によって検閲の実行要否を設定可能であり、検閲モードの実行が必要と設定されていることを条件に判定処理が実行される。これにより、情報漏洩のおそれがないデータの保存や出力については円滑に処理することができる。

（第２の実施の形態）
第１の実施の形態では、スキャンを要するジョブが投入されると一律に検閲が実施された。しかし、検閲が必須であるとすると処理負荷が増加し、処理完了までの待ち時間が増えてしまう。そこで、本発明の第２の実施の形態では、画像形成装置１００は、検閲が必要なジョブについてだけ、スキャンデータに対する判定処理を実行する。本実施の形態では、第１の実施の形態に対し、データ検閲処理が異なり、その他の構成は同様である。

図９は、データ検閲処理を示すフローチャートである。この処理の実行主体、実行・開始条件は図４（ｂ）に示す処理と同様である。図９に示すデータ検閲処理は、図４（ｂ）に示す処理に対し、ステップＳ９０１が追加された点が異なり、その他のステップは同様であり図４（ｂ）で説明した通りである。

ステップＳ４１１での判別の結果、検閲設定管理部３１８は、検閲モードがＯＮに設定されている場合はステップＳ９０１に遷移し、検閲モードがＯＦＦに設定されている場合はステップＳ４１６に遷移する。

図１０（ａ）は、スキャンデータの送信先と検閲処理の要否との対応関係を示す図である。この対応関係を示す情報は、例えばフラッシュメモリ１１４に記憶され、ユーザによって随時更新可能である。

ステップＳ９０１では、検閲設定管理部３１８は、図１０（ａ）に示す情報を参照して、今回投入されたジョブが検閲処理を要するジョブであるか否かを判別する。例えば、投入されたジョブに指定されている、スキャンデータの送信先の情報に基づいて、検閲設定管理部３１８は、検閲処理の要否を判別する。

具体的には、検閲設定管理部３１８は、スキャンデータの送信先の情報をテーブル１０００と照らし合わせる。そして検閲設定管理部３１８は、検閲処理の実行指示としての「検閲する」が対応付けられているか、検閲処理の非実行指示としての「検閲しない」が対応付けられているかを判断する。スキャンデータの送信先に「検閲する」が対応付けられている場合は、当該スキャンデータは検閲必要と判別される。スキャンデータの送信先に「検閲しない」が対応付けられている場合は、当該スキャンデータは検閲不要と判別される。

例えば、図１０（ａ）に示す例によれば、送信先が社内ストレージサーバであれば、外部への情報漏洩のおそれがないため検閲不要と判別される。送信先がクラウドサービスまたは電子メールアドレスである場合は、外部への情報漏洩のおそれがあるため検閲必要と判別される。なお、送信先が複数選択されていた場合は、１つでも検閲が必要な宛先が含まれる場合は検閲が必要であると判別される。

ステップＳ９０１での判別の結果、検閲設定管理部３１８は、今回投入されたジョブが検閲処理を要するジョブでないと判別した場合はステップＳ４１６に進む。検閲設定管理部３１８は、今回投入されたジョブが検閲処理を要するジョブであると判別した場合はステップＳ４１２に進む。従って、検閲が必要な場合にだけ、取得されたスキャンデータに対する判定処理が実行される。

本実施の形態によれば、スキャンデータに関する情報漏洩防止効果を高めることに関し、第１の実施の形態と同様の効果を奏することができる。また、検閲処理が必要なジョブについてだけ検閲処理が実行されるので、画像形成装置１００の処理負荷を低下させることができる。

なお、図１０（ａ）では、一例としてスキャン後の送信先として社内ストレージサーバ、クラウド上、メールサーバと分け、検閲する・しないの切り替えを行っているが、これに限らない。例えば、図１０（ｂ）に示すように、メールアドレスや電話番号に対して検閲する・しないを登録するように構成されていてもよい。例えば、機密情報を含む文書のやり取りが頻繁に行われることが想定される会社の役員クラスのメールアドレス１００２及び電話番号１００４は、検閲処理を必要としないメールアドレスおよび電話番号として予め登録しておく。メールアドレス内に「＠mail」という文字列が含まれるドメイン１００３は、検閲処理を必要とするドメインとして登録しておく。送信宛先のメールアドレスがメールアドレス１００２として登録されていないメールアドレスであった場合は、検閲するように制御される。

従来、例えば特開２００５－１８４７４３号公報においては、取得したスキャンデータに対して必ず検閲が実行されていた。そのため、検閲の必要がない送信先に送信される場合にも検閲処理を実行していたので検閲処理に時間がかかっていた。これに対し、図１０（ａ）、（ｂ）に示すように、スキャン後の送信先に応じて検閲処理を実行するかどうかを切り替えることで、検閲処理にかかる時間を短縮することが可能となる。

なお、検閲処理の要否は、送信先に限らず、通信路の形態、送信元ユーザの権限、送信先ユーザの権限等によって判定されてもよい。

（第３の実施の形態）
第１、第２の実施の形態では、検閲を含む判定処理を一貫して画像形成装置１００が実行した。しかし、ＣＰＵ１１１やＨＤＤ１１５のリソースには限りがあり、高負荷な処理を実行すると処理が遅延するおそれがある。そこで、本発明の第３の実施の形態では、画像形成装置１００がサーバ装置やクラウドサービスと連携して検閲処理を実施する。

図１１は、サーバ装置１８０のソフトウェア構成を示すブロック図である。なお、サーバ装置１８０に代えて、同様の構成を持つクラウドサーバを採用してもよい。サーバ装置１８０は、データ閲覧サービス１１００を有する。図１１に示すデータ閲覧サービス１１００が含む各機能部は、主として、サーバ装置１８０が備えるＣＰＵ、ＲＯＭ、ＲＡＭ（いずれも図示せず）の協働により実現される。

データ閲覧サービス１１００において、認証制御部１１０１は、各ユーザの認証情報を管理し、ユーザの権限に応じて機能を提供する。データ検閲処理部１１０２は、画像形成装置１００から送信されたスキャンデータに記載された文字列を元に、データの検閲処理を実施する。検閲設定管理部１１０３は、データの検閲処理に必要な検閲キーワード（検閲対象文字列）を含む検閲辞書を保持する。ユーザデータ管理部１１０４は、ユーザの画像や文書等の管理を行う。エラー通知制御部１１０５は、スキャンデータに検閲キーワードが存在する場合にユーザに対してエラーを通知する機能を持つ。通信制御部１１０６は、画像形成装置１００との通信を行う役割を持つ。

図１２（ａ）は、データ検閲処理を示すフローチャートである。この処理の実行主体、実行・開始条件は図４（ｂ）に示す処理と同様である。本実施の形態では、第１の実施の形態に対し、図４（ｂ）に代えて図１２（ａ）に示すデータ検閲処理が採用される。

ステップＳ１２０１、Ｓ１２０２では、図９のステップＳ４１１、Ｓ９０１と同様の処理が実行される。ステップＳ１２０２での判別の結果、検閲設定管理部３１８は、今回投入されたジョブが検閲処理を要するジョブでないと判別した場合はステップＳ１２０７に進み、今回投入されたジョブが検閲処理を要するジョブであると判別した場合はステップＳ１２０３に進む。

ステップＳ１２０３～Ｓ１２０６では、ＣＰＵ１１１は、図４（ａ）のステップＳ４０１で取得されたスキャンデータに対する判定処理を実行する。まず、ステップＳ１２０３では、画像処理部３１５は、ステップＳ４１２と同様の処理を実行する。

ステップＳ１２０４では、画像処理部３１５は、未スキャンのデータがない（全てのスキャンデータに対してＯＣＲを実行した）か否かを判別する。そして画像処理部３１５は、未スキャンのデータある場合はステップＳ１２０３に戻り、未スキャンのデータがない場合はステップＳ１２０５に進む。

ステップＳ１２０５では、データ検閲処理部３１９は、ステップＳ１２０３で抽出されたテキストデータを、通信制御部３１７を用いて、外部装置であるサーバ装置１８０に対して送信する。すなわち、データ検閲処理部３１９は、スキャンデータから抽出された文字列をサーバ装置１８０へ送信することで、抽出された文字列に検閲キーワードが含まれるか否かの検閲を依頼する。ここで、検閲キーワードを含む検閲辞書は、画像形成装置１００からサーバ装置１８０に随時送信される。例えば、辞書登録処理（図７）が実行されるごとに、サーバ装置１８０で管理される検閲辞書が更新される。

上記依頼に応答してサーバ装置１８０では検閲が実施され、その検閲結果が返信される（後述する図１２（ｂ））。ステップＳ１２０６では、データ検閲処理部３１９は、通信制御部３１７を用いて、サーバ装置１８０から検閲結果を受信する。さらに、データ検閲処理部３１９は、抽出された文字列に、検閲キーワードと一致する文字列が存在しない（抽出された文字列に検閲キーワードが含まれていない）か否かを検閲結果に基づき判別する。その判別の結果、データ検閲処理部３１９は、抽出された文字列に、検閲キーワードと一致する文字列が存在しない場合はステップＳ１２０７に進む。ステップＳ１２０７～Ｓ１２１１では、図４（ｂ）のステップＳ４１６～Ｓ４２０と同様の処理が実行される。

一方、データ検閲処理部３１９は、ステップＳ１２０６での判別の結果、抽出された文字列に、検閲キーワードと一致する文字列が存在する場合は、今回の検閲済みのデータは情報漏洩防止の必要性が高いので、ステップＳ１２１２に進む。ステップＳ１２１２では、データ検閲処理部３１９は、図４（ｂ）のステップＳ４２２と同様の処理を実行する。従って、検閲済みのデータの印刷、送信、保存は行われない。

図１２（ｂ）は、サーバ装置１８０で実行されるサーバ側検閲処理を示すフローチャートである。この処理は、サーバ装置１８０が備えるＣＰＵが、サーバ装置１８０が備えるＲＯＭに記憶されたプログラムをサーバ装置１８０が備えるＲＡＭに展開して実行することにより実現される。この処理は、図１２（ａ）のステップＳ１２０５で送信された検閲の依頼を画像形成装置１００から受信すると開始される。

ステップＳ１２２１では、通信制御部１１０６は、画像形成装置１００から送信された検閲対象のテキストデータを受信する。ステップＳ１１１２では、データ検閲処理部１１０２は、受信されたテキストデータに対してデータ検閲を実行する。すなわち、データ検閲処理部１１０２は、テキストデータの文字列と検閲辞書とを比較し、抽出された文字列に検閲キーワードが含まれているかどうかを確認する。

ステップＳ１２２３では、データ検閲処理部１１０２は、ステップＳ１２２２でのデータ検閲の結果、抽出された文字列に、検閲キーワードと一致する文字列が存在しない（抽出された文字列に検閲キーワードが含まれていない）か否かを判別する。その判別の結果、データ検閲処理部１１０２は、抽出された文字列に、検閲キーワードと一致する文字列が存在しない場合はステップＳ１２２４に進む。

ステップＳ１２２４では、データ検閲処理部１１０２は、出力可能である旨の検閲結果を画像形成装置１００へ通知する。すなわち、データ検閲処理部１１０２は、抽出された文字列に、検閲キーワードと一致する文字列が存在しないことを示す検閲結果を、通信制御部１１０６を用いて画像形成装置１００へ送信する。

ステップＳ１２２３での判別の結果、データ検閲処理部１１０２は、抽出された文字列に、検閲キーワードと一致する文字列が存在する場合はステップＳ１２２５に進む。ステップＳ１２２５では、データ検閲処理部１１０２は、出力不可である旨の検閲結果を画像形成装置１００へ通知する。すなわち、データ検閲処理部１１０２は、抽出された文字列に、検閲キーワードと一致する文字列が存在することを示す検閲結果を、通信制御部１１０６を用いて画像形成装置１００へ送信する。ステップＳ１２２４、Ｓ１２２５の後、図１２（ｂ）に示す処理は終了される。

本実施の形態によれば、スキャンデータに関する情報漏洩防止効果を高めることに関し、第１の実施の形態と同様の効果を奏することができる。

また、画像形成装置１００は、取得されたスキャンデータの保存や出力を試みる際の判定処理において、スキャンデータから抽出された文字列をサーバ装置１８０へ送信して検閲を依頼する（Ｓ１２０５）。さらに画像形成装置１００は、サーバ装置１８０から受信した検閲結果に基づき、抽出された文字列に検閲キーワード（検閲対象文字列）が含まれていないか否かを判定する（Ｓ１２０６）。よって、判定処理がサーバ装置１８０と連携して実施されることで、費やされる処理リソースを削減できるので、処理の遅延を抑制することができる。

（第４の実施の形態）
上記各実施の形態においては、抽出された文字列に、検閲キーワードと一致する文字列が存在する場合、エラーを通知する報知処理が実施され、スキャンデータの印刷、送信、保存は行われない。特に、送信ジョブ（スキャン送信ジョブ、ＦＡＸ送信ジョブ）の場合、送信自体ができなくなってしまう。そこで、本発明の第４の実施の形態では、検閲キーワードと一致する文字列が存在するスキャンデータであっても、一定条件下で送信を可能にする。

図１３は、データ検閲処理を示すフローチャートである。この処理の実行主体、実行・開始条件は図４（ｂ）に示す処理と同様である。本実施の形態では、第１の実施の形態に対し、データ検閲処理として図１３に示すデータ検閲処理が追加採用される。この処理は、送信ジョブに基づくスキャン処理（図４（ａ））の開始に応じて実行される。

図４（ｂ）に示す処理と図１３に示す処理とは併用される。つまり、コピージョブまたはＢＯＸ保存ジョブの場合は図４（ｂ）に示す処理が実行され、スキャン送信ジョブまたはＦＡＸ送信ジョブの場合は図１３に示す処理が実行される。なお、図４（ｂ）のステップＳ４１９は廃止される。

ステップＳ１３０１では、図４のテップＳ４１１と同様の処理が実行される。ステップＳ１３０１での判別の結果、検閲設定管理部３１８は、検閲モードがＯＮに設定されている場合はステップＳ１３０２に遷移し、検閲モードがＯＦＦに設定されている場合はステップＳ１３０７に遷移する。

ステップＳ１３０２では、図９のステップＳ９０１と同様の処理が実行される。ステップＳ１３０２での判別の結果、検閲設定管理部３１８は、今回投入されたジョブが検閲処理を要するジョブでないと判別した場合はステップＳ１３０７に進み、今回投入されたジョブが検閲処理を要するジョブであると判別した場合はステップＳ１３０３に進む。ステップＳ１３０７では、ステップＳ４１９と同様の処理が実行される。

ステップＳ１３０３～Ｓ１３０６では、ＣＰＵ１１１は、ステップＳ４０１で取得されたスキャンデータに対する判定処理を実行する。まず、ステップＳ１３０３、Ｓ１３０４、Ｓ１３０５では、図４（ｂ）のステップＳ４１２、Ｓ４１３、Ｓ４１５と同様の処理が実行される。ステップＳ１３０５での判別の結果、データ検閲処理部３１９は、未検閲のデータがある場合はステップＳ１３０３に戻り、未検閲のデータがない場合は、全てのデータに対してデータ検閲を終えたので、ステップＳ１３０６に進む。

ステップＳ１３０６では、データ検閲処理部３１９は、ステップＳ１３０４でのデータ検閲の結果、抽出された文字列に、検閲キーワードと一致する文字列が存在しない（抽出された文字列に検閲キーワードが含まれていない）か否かを判別する。その判別の結果、データ検閲処理部３１９は、抽出された文字列に、検閲キーワードと一致する文字列が存在しない場合はステップＳ１３０７に進む。一方、データ検閲処理部３１９は、抽出された文字列に、検閲キーワードと一致する文字列が存在する場合はステップＳ１３０８に進む。

ステップＳ１３０８では、通信制御部３１７は、スキャンデータにパスワードを付加すると共に、パスワードを付加したスキャンデータを、ユーザにより指定された送信先へ、指定に応じた送信の形態にて送信する。

例えば、通信制御部３１７は、スキャンデータをパスワード付きＰＤＦに変換し、不正にスキャンデータを参照できないようにする。このパスワードは事前に検閲設定管理部３１８に対してユーザが設定できるようにしてもよい。あるいは、操作部ユニット１３０に入力画面を表示し、ユーザがパスワードを指定できるようにしてもよい。なお、パスワードの付加だけでなく、署名の付加や、暗号化することによって不正操作を防ぐようにしてもよい。スキャンデータをどのようなファイルに変換するかは、事前に設定画面によって設定可能に構成してもよい。なお、ファイルの変換だけでなく、送信時の通信プロトコルをＳＭＴＰからＳＭＴＰＳにするなど、ＳＳＬによって通信経路を暗号化することによって不正を防ぐようにしてもよい。ステップＳ１３０７、Ｓ１３０８の後、図１３に示す処理は終了される。

本実施の形態によれば、スキャンデータに関する情報漏洩防止効果を高めることに関し、第１の実施の形態と同様の効果を奏することができる。

また、スキャン送信ジョブの実行に当たって、抽出された文字列に検閲キーワードが含まれる場合は、スキャンデータにパスワードや暗号化等が施されてから送信される（Ｓ１３０８）。これにより、そのままでは情報漏洩のおそれがあると判断されるスキャンデータであっても、パスワードや暗号化等によって情報漏洩を回避した形態で送信を確保することができる。従って、ユーザの負担を軽減することができる。

なお、上記各実施の形態において、画像処理部３１５がスキャンデータに対してＯＣＲを実行し、テキスト情報をもつスキャンデータを作成するように構成してもよい。

図１４は、送信ファイル設定画面の例を示す図である。この送信ファイル設定画面１４００は、スキャン実行時のファイル形式を設定する画面であり、操作部ユニット１３０に表示される。検閲設定管理部３１８は、送信ファイル設定画面１４００に対するユーザ指示に基づき、スキャンと同時に（スキャンデータの取得時に）ＯＣＲを行うか否かを設定する。ユーザは、ボタン１４０１をタッチ操作で選択し、ＯＫボタン１４０３を押下することでＯＣＲの実行を指示する。キャンセルボタン１４０２を押下すると選択状態が解除される。

なお、ＯＣＲの実行指示は、スキャンデータ１枚ごとに設定できてもよいし、複数枚からなるジョブに対して設定できてもよい。ＣＰＵ１１１は、ボタン１４０１が選択されたことにより、例えばＳｅａｒｃｈａｂｌｅＰＤＦとしてスキャンデータを扱えるようにしてもよい。

なお、上記各実施の形態において、図４（ａ）に示すスキャン処理に代えて、図１５に示すスキャン処理を採用してもよい。図１５は、図４（ａ）に対し、ステップＳ４２３、Ｓ４２４を追加した点が異なる。従って、ステップＳ４０１、Ｓ４０２、Ｓ４０３の処理は、図４（ａ）で説明した通りである。また、スキャンと同時にＯＣＲを行うか否かは、送信ファイル設定画面１４００（図１４）により設定されるとする。

ステップＳ４２３では、スキャナ制御部３１４は、スキャンと同時にＯＣＲを行うよう設定されているか否かを判別する。スキャナ制御部３１４は、スキャンと同時にＯＣＲを行うよう設定されていない場合はステップＳ４０２に進み、スキャンと同時にＯＣＲを行うよう設定されている場合はステップＳ４２４に進む。ステップＳ４２４では、画像処理部３１５は、ステップＳ４０１で取得されたスキャンデータに対してＯＣＲを実行することで、当該スキャンデータから文字列（テキストデータ）を抽出する。

なお、ステップＳ４２４でのＯＣＲは、ステップＳ４１２で実行されるＯＣＲと同程度の精度で行ってもよいし、文字抽出の精度を下げることでＯＣＲの速度を速めてもよい。ステップＳ４２４の後、画像処理部３１５は、ステップＳ４０２に進む。

従って、例えば第１の実施の形態での検閲処理では、ステップＳ４１２で抽出された文字列と検閲辞書とが比較されたが、これに限らない。例えば、ステップＳ４２４でＯＣＲが実行され且つステップＳ４１１で検閲モードがＯＮに設定されている場合に実行される検閲処理では、ステップＳ４２４で抽出された文字列と検閲辞書とが比較される。すなわち、ステップＳ４１２でのＯＣＲの実行は省略される。この場合、判定処理には、スキャンデータに対するＯＣＲ処理は含まれない。

また、スキャンと同時にＯＣＲを行うよう設定されている場合は、ステップＳ４１１で検閲モードがＯＦＦに設定されている場合であっても、結果として（Ｓ４２４で）スキャンデータに対するＯＣＲは実行されることになる。

なお、上記各実施の形態において、このほか、図４（ｂ）に示すステップの順序を次のように変更してもよい。例えば、Ｓ４１２→Ｓ４１１→Ｓ４１３の順で処理してもよい。すなわち、データ検閲が開始されると、ステップＳ４１２でスキャンデータに対するＯＣＲが実行され、ステップＳ４１１で検閲モードがＯＮに設定されているか否かが判別される。検閲設定管理部３１８は、検閲モードがＯＮに設定されている場合はステップＳ４１３に遷移し、検閲モードがＯＦＦに設定されている場合は、検閲処理を実施しないのでステップＳ４１６に遷移する。ステップＳ４１５でＮｏと判別された場合は、検閲設定管理部３１８はステップＳ４１２に戻る。これ以外の処理は図４（ｂ）で説明したのと同様である。

以上、本発明をその好適な実施形態に基づいて詳述してきたが、本発明はこれら特定の実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の様々な形態も本発明に含まれる。上述の実施形態の一部を適宜組み合わせてもよい。

（その他の実施例）
本発明は、上記した実施形態の１以上の機能を実現するプログラムをネットワークや非一過性の記憶媒体を介してシステムや装置に供給し、そのシステム又は装置のコンピュータの１以上のプロセッサがプログラムを読み出して実行する処理でも実現可能である。以上のプログラムおよび以上のプログラムを記憶する記憶媒体は、本発明を構成する。また、本発明は、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

１１１ ＣＰＵ
２００ ＢＯＸ
３１５ 画像処理部
３１９ データ検閲処理部
３２１ ユーザデータ管理部

Claims (21)

1. 原稿のスキャンにより取得されたスキャンデータから文字列を抽出する抽出手段と、
   前記取得されたスキャンデータから前記抽出手段により抽出された文字列に検閲対象文字列が含まれていないことを条件に、前記取得されたスキャンデータを保存部に保存する保存手段と、
   前記保存部に保存されたスキャンデータを出力するジョブを実行するに当たって、前記保存されたスキャンデータに対して、前記抽出手段により抽出された文字列に前記検閲対象文字列が含まれるか否かを判定する判定処理を実行する判定手段と、
   前記ジョブを実行するに当たって、前記判定手段により、前記抽出された文字列に前記検閲対象文字列が含まれると判定された場合は、前記保存されたスキャンデータを出力せず、前記判定手段により、前記抽出された文字列に前記検閲対象文字列が含まれないと判定された場合は、前記保存されたスキャンデータを出力するよう制御する制御手段と、を有することを特徴とする情報処理装置。
2. 前記判定手段は、前記取得されたスキャンデータの前記保存部への保存を前記保存手段が試みる際にも、前記取得されたスキャンデータに対する前記判定処理を実行することを特徴とする請求項１に記載の情報処理装置。
3. 前記判定手段は、前記取得されたスキャンデータの前記保存部への保存を前記保存手段が試みる際に、スキャナ部が前記原稿からスキャンデータを取得するためのスキャン処理の開始以降に、前記取得されたスキャンデータに対する前記判定処理を開始し、
   前記制御手段は、前記スキャナ部による未スキャンの原稿があり且つ、前記抽出された文字列に前記検閲対象文字列が含まれると判定された場合は、前記スキャナ部によるスキャンを中止させるよう制御することを特徴とする請求項２に記載の情報処理装置。
4. 前記判定手段は、前記取得されたスキャンデータの送信先の情報に基づいて検閲の要否を判定し、検閲が必要と判定された場合には前記取得されたスキャンデータに対する前記判定処理を実行し、検閲が必要と判定されなかった場合には前記取得されたスキャンデータに対する前記判定処理を実行しないことを特徴とする請求項２または３に記載の情報処理装置。
5. 前記判定手段は、前記取得されたスキャンデータの前記保存部への保存を前記保存手段が試みる際の前記判定処理において、前記取得されたスキャンデータから抽出された文字列を外部装置へ送信して、前記抽出された文字列に前記検閲対象文字列が含まれるか否かの検閲を前記外部装置に依頼すると共に、前記外部装置から受信した検閲結果に基づき、前記抽出された文字列に前記検閲対象文字列が含まれるか否かを判定することを特徴とする請求項２または３に記載の情報処理装置。
6. 前記判定手段は、前記取得されたスキャンデータの送信先の情報に基づいて検閲の要否を判定し、検閲が必要と判定された場合には前記抽出された文字列に前記検閲対象文字列が含まれるか否かの検閲を前記外部装置に依頼し、検閲が必要と判定されなかった場合には前記抽出された文字列に前記検閲対象文字列が含まれるか否かの検閲を前記外部装置に依頼しないことを特徴とする請求項５に記載の情報処理装置。
7. 前記制御手段は、前記抽出手段により抽出された文字列に前記検閲対象文字列が含まれると判定された場合は、エラーを報知することを特徴とする請求項１乃至６のいずれか１項に記載の情報処理装置。
8. 前記検閲対象文字列を更新する手段を有し、
   前記判定手段は、最新の前記検閲対象文字列に基づき前記判定処理を実行することを特徴とする請求項１乃至７のいずれか１項に記載の情報処理装置。
9. 前記ジョブは、前記保存されたスキャンデータを外部に送信するジョブであることを特徴とする請求項１乃至８のいずれか１項に記載の情報処理装置。
10. 前記ジョブは、前記保存されたスキャンデータを印刷するジョブであることを特徴とする請求項１乃至８のいずれか１項に記載の情報処理装置。
11. 検閲モードの実行の要否を設定する手段を有し、
    前記判定手段は、検閲モードの実行が必要と設定されていることを条件に前記判定処理を実行することを特徴とする請求項１乃至１０のいずれか１項に記載の情報処理装置。
12. 前記判定処理には、前記抽出手段により前記文字列を抽出させることが含まれることを特徴とする請求項１乃至１１のいずれか１項に記載の情報処理装置。
13. 前記スキャンデータの取得時に文字列を抽出する処理を実行するかしないかをユーザ指示に応じて設定する手段を有し、
    前記抽出手段は、前記スキャンデータの取得時に文字列を抽出する処理を実行すると設定されている場合は、前記スキャンデータが取得された際に前記スキャンデータから文字列を抽出し、前記スキャンデータの取得時に文字列を抽出する処理を実行しないと設定されている場合は、前記判定手段により前記判定処理が実行される際に前記スキャンデータから文字列を抽出することを特徴とする請求項１乃至１１のいずれか１項に記載の情報処理装置。
14. 前記判定手段は、前記検閲モードの実行が必要と設定されているか否かを判定する前に、前記抽出手段により前記文字列を抽出させることを特徴とする請求項１１に記載の情報処理装置。
15. 前記判定手段は、送信先の情報と検閲の要否との対応関係を示す情報と、前記取得されたスキャンデータの送信先の情報と、に基づいて検閲の要否を判定することを特徴とする請求項４に記載の情報処理装置。
16. 前記対応関係を示す情報における前記送信先の情報には、電話番号、メールアドレス、サーバ装置のファイルを指定する情報、クラウドサービスのファイルを指定する情報の少なくとも１つが含まれることを特徴とする請求項１５に記載の情報処理装置。
17. 前記制御手段は、前記取得されたスキャンデータを外部へ送信するジョブを実行するに当たって、前記判定手段に前記判定処理を実行させ、前記判定手段により、前記抽出された文字列に前記検閲対象文字列が含まれると判定された場合は、前記取得されたスキャンデータにパスワードまたは暗号化を施してから送信するよう制御することを特徴とする請求項１に記載の情報処理装置。
18. 情報処理装置と、前記情報処理装置と通信可能に接続された外部装置と、を有する情報処理システムであって、
    前記情報処理装置は、
    原稿のスキャンにより取得されたスキャンデータから文字列を抽出する抽出手段と、
    前記取得されたスキャンデータから前記抽出手段により抽出された文字列に検閲対象文字列が含まれていないことを条件に、前記取得されたスキャンデータを保存部に保存する保存手段と、
    前記取得されたスキャンデータの前記保存部への保存を前記保存手段が試みる際に、前記抽出された文字列を外部装置へ送信して、前記抽出された文字列に前記検閲対象文字列が含まれるか否かの検閲を前記外部装置に依頼する依頼手段と、を有し、
    前記外部装置は、
    前記依頼手段の依頼に応答して、前記抽出された文字列に前記検閲対象文字列が含まれるか否かを検閲し、その検閲結果を前記情報処理装置へ送信し、
    前記情報処理装置は、さらに、
    前記保存部に保存されたスキャンデータを出力するジョブを実行するに当たって、前記情報処理装置から受信された前記検閲結果に基づき、前記抽出された文字列に前記検閲対象文字列が含まれると判定した場合は、前記保存されたスキャンデータを出力せず、前記抽出された文字列に前記検閲対象文字列が含まれないと判定した場合は、前記保存されたスキャンデータを出力するよう制御する制御手段を有することを特徴とする情報処理システム。
19. 原稿のスキャンにより取得されたスキャンデータから文字列を抽出する抽出ステップと、
    前記取得されたスキャンデータから前記抽出ステップにより抽出された文字列に検閲対象文字列が含まれていないことを条件に、前記取得されたスキャンデータを保存部に保存する保存ステップと、
    前記保存部に保存されたスキャンデータを出力するジョブを実行するに当たって、前記保存されたスキャンデータに対して、前記抽出ステップにより抽出された文字列に前記検閲対象文字列が含まれるか否かを判定する判定処理を実行する判定ステップと、
    前記ジョブを実行するに当たって、前記判定ステップにより、前記抽出された文字列に前記検閲対象文字列が含まれると判定された場合は、前記保存されたスキャンデータを出力せず、前記判定ステップにより、前記抽出された文字列に前記検閲対象文字列が含まれないと判定された場合は、前記保存されたスキャンデータを出力するよう制御する制御ステップと、を有することを特徴とする情報処理装置の制御方法。
20. コンピュータを、請求項１乃至１７のいずれか１項に記載の情報処理装置の各手段として機能させるためのプログラム。
21. コンピュータを、請求項１乃至１７のいずれか１項に記載の情報処理装置の各手段として機能させるためのプログラムを格納した、コンピュータが読み取り可能な記憶媒体。

Images