JP4396377B2

JP4396377B2 - 印刷制御システム、サーバ装置

Info

Publication number: JP4396377B2
Application number: JP2004127550A
Authority: JP
Inventors: 尚恭寺尾
Original assignee: Fuji Xerox Co Ltd; Fujifilm Business Innovation Corp
Current assignee: Fujifilm Business Innovation Corp
Priority date: 2004-04-23
Filing date: 2004-04-23
Publication date: 2010-01-13
Anticipated expiration: 2024-04-23
Also published as: JP2005309881A

Description

本発明は印刷制御システム及び方法、サーバ装置並びにプリンタに関し、特に配布された文書データ毎の印刷主体や印刷媒体等の制御に関する。

従来より、プリンタで電子的な文書データを印刷する場合において、プリンタに送信される印刷ジョブに制御命令を付加する、あるいは印刷ジョブを発行するスプールに制限を設ける等により印刷制御する技術が知られており、これにより文書作成者以外のユーザに対して文書データの印刷を禁止することが可能である。

例えば、下記に示す特許文献１には、文書データを作成する際に当該文書データの操作を制限するための制限情報を付加することが記載されている。文書データを受信した端末では、ユーザが文書データに対して操作指示すると、指示された操作が制限情報により制限されたものであるかを判断し、制限された操作である場合には指示された操作を制限する。これにより、電子文書作成者以外のユーザに対し、印刷、複製、編集等の文書操作を禁止することができる。

また、この特許文献１には、個人データを記憶する手段を有し、操作指示した個人データにとって当該制限情報が有効であるか否かを判断し、有効である場合に操作指示を制限することが記載されている。これにより、例えば企業内イントラネットにおいてレベルの高い部長クラスでは制限情報が無効となって操作指示が許容され、それ以外のクラスでは制限情報が有効となって操作指示が禁止される等の制御も可能となる。

特開２００２−２２９９３９号公報

しかしながら、最近、文書データは一層多様化しており、従来以上に細かい印刷制御が要求される場合が多くなっている。

例えば、文書作成者が特定のユーザに文書データを配布した場合に、その文書データの性質上、その文書データが印刷されるべきプリンタを特定したい、すなわちそのユーザが任意のプリンタで印刷することを禁止したいと欲する場合があるが、上記従来技術では文書作成者が印刷プリンタを特定することができない。

また、文書作成者が特定のユーザに文書データを配布した場合に、その文書データの性質上、その文書データが印刷される期間あるいは回数を限定したい、すなわちそのユーザが印刷できる期間あるいは回数を制限したいと欲する場合もあるが、上記従来技術では文書作成者が印刷期間や印刷回数を制限することはできない。

さらに、文書作成者が一旦、ある制限を付加したとしても、その後に制限を変更したいと欲する場合も少なくないが、上記従来技術では制限情報の変更が困難であり、フレキシビリティに欠ける問題もある。

本発明の目的は、文書データ毎に印刷制御を行うこと、例えば印刷されるべきプリンタを特定することができるシステム及び方法並びに装置を提供することにある。

また、本発明の目的は、文書データ毎に、かつ、ユーザ一人一人に対して、印刷されるべきプリンタや印刷期間、印刷回数等の印刷条件を設定することができるシステム及び方法並びに装置を提供することにある。

さらに、本発明の目的は、文書データ毎に、ユーザ一人一人に対して設定した印刷条件を容易に、そして任意のタイミングで変更することができるシステム及び方法並びに装置を提供することにある。

本発明は、通信ネットワークを介して互いにデータ送受可能に接続された端末、プリンタ及び管理サーバを備える印刷制御システムであって、前記端末は、暗号化された文書データ、及び前記文書データを一意に識別するための文書識別データを前記プリンタに送信して印刷要求を出力する手段を有し、前記プリンタは、前記文書識別データ、及び前記プリンタを識別するためのプリンタ識別データを前記管理サーバに送信する手段を有し、前記管理サーバは、前記文書識別データに対応した、前記文書データを印刷可能なプリンタを指定する制御属性を記憶する手段と、前記プリンタから送信された文書識別データ及び前記プリンタ識別データが、前記制御属性の文書識別データ及び印刷可能プリンタに一致するか否かを判定する手段と、前記判定する手段で一致すると判定された場合に、前記暗号化された文書データを復号化するための復号鍵データを前記プリンタに送信する手段を有し、前記プリンタは、前記復号鍵データを用いて前記暗号化された文書データを復号化して前記文書データを印刷する。ここで、制御属性は、プリンタでの印刷態様を指定する条件データを含み、管理サーバは前記条件データをプリンタに送信し、プリンタは前記条件データに従い文書データを印刷することができる。ここで言う印刷態様とは、ｎ−ｕｐ指定、両面指定、カラー/白黒指定、出力部数指定、出力可能な部数指定などの印刷に関する設定や、ステープル指定、パンチ指定などの出力物に対する後処理設定が含まれる。出力部数指定とは「文書データを出力する部数」の指定であり、例えば出力指定部数が「５」なら５部出力される。出力可能な部数指定とは「そのプリンタでその文書データを出力可能な部数」の指定であり、例えば出力可能な部数指定が「３」ならプリンタ側で５部出力を設定しても３部に出力を制限する。制御属性には、印刷主体であるユーザや印刷媒体であるプリンタの種類も含まれる。

また、本発明は、通信ネットワークを介して互いにデータ送受可能に接続された端末、プリンタ及び管理サーバを備える印刷制御システムであって、前記端末は、暗号化された文書データ、及び前記文書データを一意に識別するための文書識別データを前記プリンタに送信して印刷要求を出力する手段を有し、前記プリンタは、前記文書識別データ、及び前記暗号化された文書データ、並びに前記プリンタを識別するためのプリンタ識別データを前記管理サーバに送信する手段を有し、前記管理サーバは、前記文書識別データに対応した、前記文書データを印刷可能なプリンタを指定する制御属性を記憶する手段と、前記プリンタから送信された文書識別データ及び前記プリンタ識別データが、前記制御属性の文書識別データ及び印刷可能プリンタに一致するか否かを判定する手段と、前記判定する手段で一致すると判定された場合に、前記暗号化された文書データを復号化して文書データを前記プリンタに送信する手段を有し、前記プリンタは、前記管理サーバからの前記文書データを印刷する。

また、本発明は、通信ネットワークを介して互いにデータ送受可能に接続された端末、プリンタ及び管理サーバを備えるシステムにおいて文書データの印刷を制御する方法であって、前記端末から暗号化された文書データ、及び前記文書データを一意に識別するための文書識別データを前記プリンタに送信して印刷要求を出力し、前記プリンタから前記文書識別データ、前記プリンタを識別するためのプリンタ識別データ、及び前記端末から前記印刷要求を出力する文書利用者の識別データを前記管理サーバに送信し、前記管理サーバは、前記文書識別データに対応した、前記文書データを印刷可能なユーザ及び印刷可能なプリンタを指定する制御属性を記憶する記憶装置にアクセスすることにより、前記プリンタから送信された文書識別データ及び前記プリンタ識別データ並びに文書利用者識別データが、前記制御属性の文書識別データ及び印刷可能プリンタ並びに印刷可能ユーザに一致するか否かを判定し、一致すると判定した場合に前記暗号化された文書データを復号化するための復号鍵データを前記プリンタに送信し、前記プリンタは、前記復号鍵データを用いて前記暗号化された文書データを復号化して前記文書データを印刷する。

また、本発明は、通信ネットワークを介して互いにデータ送受可能に接続された端末、プリンタ及び管理サーバを備えるシステムにおいて文書データの印刷を制御する方法であって、前記端末から暗号化された文書データ、及び前記文書データを一意に識別するための文書識別データを前記プリンタに送信して印刷要求を出力し、前記プリンタから前記文書識別データ、前記暗号化された文書データ、前記プリンタを識別するためのプリンタ識別データ、及び前記端末から前記印刷要求を出力する文書利用者の識別データを前記管理サーバに送信し、前記管理サーバは、前記文書識別データに対応した、前記文書データを印刷可能なユーザ及び印刷可能なプリンタを指定する制御属性を記憶する記憶装置にアクセスすることにより、前記プリンタから送信された文書識別データ及び前記プリンタ識別データ並びに文書利用者識別データが、前記制御属性の文書識別データ及び印刷可能プリンタ並びに印刷可能ユーザに一致するか否かを判定し、一致すると判定した場合に前記暗号化された文書データを復号化して元の文書データを前記プリンタに送信し、前記プリンタは、前記文書データを印刷する。

また、本発明は、通信ネットワークを介して互いにデータ送受可能に接続された端末、プリンタ及びサーバ装置を備えるシステムにおける前記サーバ装置であって、前記プリンタから送信される、文書データを一意に識別するための文書識別データ、前記プリンタを識別するためのプリンタ識別データ、及び前記端末から前記プリンタに対して印刷要求を出力する文書利用者の識別データを受信する手段と、前記文書識別データに対応した、前記文書データを印刷可能なユーザ及び印刷可能なプリンタを指定する制御属性を記憶する手段と、前記プリンタから送信された、前記文書識別データ及び前記プリンタ識別データ並びに文書利用者識別データが、前記制御属性の文書識別データ及び印刷可能プリンタ並びに印刷可能ユーザに一致するか否かを判定する手段と、前記判定する手段で一致すると判定した場合に、暗号化された文書データの復号鍵データを前記プリンタに送信することで前記プリンタでの前記文書データの復号化を可能とする手段とを有する。

また、本発明は、通信ネットワークを介して互いにデータ送受可能に接続された端末、プリンタ及びサーバ装置を備えるシステムにおける前記サーバ装置であって、前記プリンタから送信される、文書データを一意に識別するための文書識別データ、暗号化された文書データ、前記プリンタを識別するためのプリンタ識別データ、及び前記端末から前記プリンタに対して印刷要求を出力する文書利用者の識別データを受信する手段と、前記文書識別データに対応した、前記文書データを印刷可能なユーザ及び印刷可能なプリンタを指定する制御属性を記憶する手段と、前記プリンタから送信された、前記文書識別データ及び前記プリンタ識別データ並びに文書利用者識別データが、前記制御属性の文書識別データ及び印刷可能プリンタ並びに印刷可能ユーザに一致するか否かを判定する手段と、前記判定する手段で一致すると判定した場合に、前記暗号化された文書データを復号化して前記プリンタに送信することで前記プリンタでの前記文書データの印刷を可能とする手段とを有する。

本発明によれば、ある文書データ毎に印刷制御を実行でき、例えば特定のプリンタでの印刷制御等を行うことができる。また、ある文書データに対して、特定のユーザによる特定のプリンタでの印刷制御を行うことができる。さらに、文書が配布された後であっても任意のタイミングで印刷制御を変更できる。

以下、図面に基づき本発明の実施形態について説明する。

＜第１実施形態＞
図１には、本実施形態に係る印刷制御システムのシステム構成図が示されている。本システムは、端末１、端末２、文書管理サーバ１２，ユーザエータベース（Ｄ／Ｂ）１３及びプリンタ２４を含んで構成される。

端末１は、文書データを作成する文書作成者が操作する端末であり、文書管理サーバ１２と有線あるいは無線の通信ネットワーク５０によりデータ送受可能に接続されている。端末２は、文書データを受け取った（文書データの配布を受けた）ユーザが操作する端末であり、プリンタ２４と有線あるいは無線の通信ネットワーク５２によりデータ送受可能に接続されている。端末１と端末２は非接続でもよく、図示のように通信ネットワーク５４により接続されていてもよい。前者の場合にはユーザは例えばフレキシブルディスクやＣＤ、ＤＶＤ、フラッシュメモリ等の可搬記録媒体を介して文書作成者から文書データの配布を受けることができ、後者の場合には端末１から所定のメールサーバを介して送信された電子メールの添付ファイル等として文書データの配布を受けることができる。ユーザが受け取る文書データは、そのまま印刷できるデータではなく、管理サーバ１２が管理する秘密鍵で暗号化された文書データである。文書データを暗号化することで、任意のプリンタでの印刷が防止される。ユーザは、端末２からプリンタ２４に対して暗号化された文書データを送信し印刷命令（印刷ジョブ）を出力する。

文書管理サーバ１２は、文書作成者が作成した文書データの印刷ジョブを管理するサーバであり、端末２から印刷命令を受け付けたプリンタ２４からの要求に応じ、当該プリンタ２４の認証を行う。文書管理サーバ１２におけるプリンタ２４の認証とは、そのユーザに対してその文書データが印刷されるべきプリンタとして予め文書作成者により設定されたプリンタに一致することを意味する。文書管理サーバ１２は、プリンタ２４とともに文書利用者の認証を行ってもよい。認証できた場合、プリンタ２４に対してプリンタ２４が暗号化された文書データを印刷するために必要なデータを返信する。暗号化された文書データを印刷するために必要なデータとは、暗号化された文書データを復号化するための復号鍵データであり、あるいは復号済みのオリジナル文書データである。

プリンタ２４は、端末２からの文書データを印刷するプリンタであり、文書管理サーバ１２と通信ネットワーク５６で接続される。プリンタ２４は、端末２から印刷命令を受け付けた場合、文書管理サーバ１２に対して認証を要求する。文書管理サーバ１２が認証に成功すると、文書管理サーバ１２から返信されるデータを用いてオリジナル文書データの印刷を実行する。

このように、本実施形態のシステムでは、文書管理サーバ１２においてプリンタ２４の認証を実行し、認証の結果、文書作成者が指定したプリンタではないと判定された場合には、文書データは暗号化されたまま維持されるため印刷されることがなく、認証された特定のプリンタ２４のみで印刷されることになる。また、プリンタ２４の認証時において、ユーザの認証も同時に実行することで、特定のユーザによる特定のプリンタ２４での印刷を許容することができる。さらに、印刷条件を文書管理サーバ１２からプリンタ２４に供給することで、文書作成者は文書管理サーバ１２に記憶されている印刷条件を任意のタイミングで変更することができる。通信ネットワーク５０〜５６はＬＡＮでもよく、あるいはＷＡＮでもよい。印刷条件を任意のタイミングで変更できるだけでなく、印刷可能となるユーザや印刷可能なプリンタも任意のタイミングで変更可能である。

以下、本実施形態の印刷制御システムをより詳細に説明する。

図２には、本実施形態の印刷制御システムにおける処理の流れが模式的に示されている。文書作成者１００は、端末１を用いて文書データを作成する。この文書データはオリジナル文書１０であり、文書作成者１００が文書利用者（ユーザ）２００に配布する文書である。文書作成者１００は、文書利用者２００に文書データを配布するに際し、まず、文書管理サーバ１２に対して文書登録の要求を行う。具体的には、端末１から文書管理サーバ１２に対して通信ネットワーク５０を介して、文書作成者１００は文書管理サーバ１２の認証を受ける。文書管理サーバ１２の認可後、文書作成者１００は、文書制御属性（印刷制御情報）とともに文書登録要求コマンドを出力する。本実施形態における文書制御属性は、印刷の条件を設定するものであり、カラー印刷を許容する、あるいは白黒のみを許容する等の他、オリジナル文書１０を印刷できるユーザ及び印刷できるプリンタを制限するデータも含む。文書制御属性は、文書管理サーバ１２の記憶装置に記憶される。

文書管理サーバ１２は、認証手段、文書識別子生成手段、暗号/復号鍵記憶手段、文書制御属性記憶手段及び文書利用ログ（文書利用履歴記憶手段）を有する。文書管理サーバ１２は、文書登録要求コマンドを受け付けると、文書作成者１００の認証を行う。すなわち、ユーザＤ／Ｂ１３に予め記憶された、本システムの利用者データと文書作成者１００とを照合し、文書作成者１００が本システムの利用者の一人であることを確認する。

文書登録要求完了後、文書管理サーバ１２は、文書を一意（ユニーク）に識別するための文書識別子１４を作成し、文書暗号化用の暗号鍵１６とともに端末１に返信する。文書識別子は一意であるかぎり文書作成者が文書識別子を作成(例えば文書のハッシュ値)してもよい。暗号鍵１６は文書識別子毎に復号鍵１６’とともに作成される。共通鍵暗号を使用する場合は暗号鍵１６と復号鍵１６’は同一のものとなる。文書識別子１４及び暗号鍵１６の返信をもって、文書管理サーバ１２は文書作成者１００に対して文書登録完了の通知とする。また、文書管理サーバ１２は、文書が登録されたことを文書利用ログ２０に登録する。文書利用ログ２０への登録は、具体的には文書識別子１４及び文書制御属性１８、暗号鍵１６および復号鍵１６’を１つのセットとして登録する。したがって、文書識別子１４が与えられた場合、このログにアクセスすることで当該文書識別子１４に対応する文書制御属性１８が特定され、文書の印刷条件が決定されることになる。文書登録日付をログ２０に登録してもよい。

文書管理サーバ１２から文書識別子１４及び暗号鍵１６を受け取った文書作成者１００は、端末１を用いてオリジナル文書１０を暗号鍵１６で暗号化して暗号化文書２２を作成する。文書識別子１４は、暗号化された文書データのヘッダ等に付加される。暗号化が完了した時点で、文書作成者１００は暗号鍵１６を廃棄する。オリジナル文書１０を暗号化することで、以後、オリジナル文書１０は文書管理サーバ１２から復号鍵１６’を取得しない限り復号できず、印刷できないことになる。

文書作成者１００は、暗号化文書２２を任意の方法で文書利用者２００に配布する。一つの方法は、上述したように端末１から文書利用者２００が使用する端末２に対して通信ネットワーク５４を介して送信する方法である。暗号化文書２２を受け取った文書利用者２００は、暗号化文書２２を印刷すべく、端末２を用いてプリンタ２４に対して印刷コマンドとともに暗号化文書２２を送信する。この際、文書利用者２００はプリンタ２４により認証を受ける。

暗号化文書２２を受け取ったプリンタ２４は、文書利用者２００の認証を行う。すなわち、文書利用者２００は正規のユーザであるか否かを確認する。認証完了後、プリンタ２４は、暗号化文書２２から文書識別子１４を抽出し、ユーザ認証情報２６とともに文書管理サーバ１２に送信して文書制御属性を要求する。この際、プリンタ２４は文書管理サーバ１２により認証を受ける。

文書制御属性要求を受け取った文書管理サーバ１２は、文書識別子１４で特定される文書制御属性をログ２０から読み出す。なお、文書識別子１４が暗号化されている場合には、復号鍵１６’で復号して対応する文書制御属性を読み出す。そして、文書を印刷しようとするプリンタ２４及び文書利用者２００が、当該文書識別子１４で特定される文書制御属性で指定された印刷可能プリンタ及び印刷可能ユーザに一致するか否かを確認する。プリンタ２４及び文書利用者２００が、文書制御属性で指定された印刷可能プリンタ及び印刷可能ユーザに一致する場合、文書管理サーバ１２は復号鍵１６’及び文書制御属性１８を文書属性完了としてプリンタ２４に返信する。復号鍵１６’をプリンタ２４に返信することで、プリンタ２４では暗号化文書２２の復号化が可能となり、すなわちオリジナル文書１０の印刷が可能になる。なお、文書管理サーバ１２は、復号鍵１６’をプリンタ２４に返信した場合、オリジナル文書１０が印刷されたものとしてログ２０にその旨（印刷完了及び印刷日時）を登録する。

文書管理サーバ１２から復号鍵１６’及び文書制御属性１８を受け取ったプリンタ２４は、復号鍵１６’を用いて暗号化文書２２を復号してオリジナル文書１０を取得し、文書制御属性に従ってオリジナル文書１０を印刷して印刷文書３０を出力する。以上により、特定の文書利用者２００による特定のプリンタ２４での印刷が実行される。

文書識別子１４、暗号鍵１６、及び暗号化文書２２の流れをまとめると以下のようになる。

＜文書識別子１４＞
（１）文書作成者１００（端末１）からの要求に応じ、管理サーバ１２にて文書識別子１４が作成される。
（２）作成された文書識別子１４は文書作成者１００（端末１）に返信される。
（３）暗号化文書２２とともに文書利用者２００（端末２）に配布される。
（４）文書利用者２００（端末２）からプリンタ２４に送信される。
（５）プリンタ２４にて文書識別子１４が抽出され、管理サーバ１２に送信される。
（６）管理サーバにて文書識別子１４に基づき、文書制御属性が読み出される。文書識別子１４が暗号化されている場合には、管理サーバ１２の暗号鍵１６で復号される。

＜暗号鍵１６＞
（１）文書作成者１００（端末１）からの要求に応じ、予め管理サーバ１２に記憶され、あるいは文書毎に作成された暗号鍵１６は文書作成者１００（端末１）に返信される。
（２）文書作成者１００（端末１）により、暗号鍵１６を用いてオリジナル文書１０が暗号化される。
（３）プリンタ２４からの要求に応じ、管理サーバ１２で認証が成功した場合に暗号鍵１６に対応する復号鍵１６’がプリンタ２４に返信される。

＜暗号化文書２２＞
（１）文書作成者１００（端末１）により暗号鍵１６を用いてオリジナル文書１０が暗号化され、暗号化文書２２が作成される。
（２）暗号化文書２２は文書作成者１００（端末１）から文書利用者２００（端末２）に配布される。
（３）文書利用者２００（端末２）からプリンタ２４に送信される。
（４）プリンタ２４で暗号化文書２２は復号され、オリジナル文書１０が印刷される。

このように、オリジナル文書１０は特定のプリンタ２４でのみ印刷されるが、文書制御属性１８によりオリジナル文書１０の印刷の態様を種々制御することができる。以下、文書制御属性１８について説明する。

文書制御属性１８が、例えば「印刷可能ユーザ＝文書利用者２００、印刷可能プリンタ＝プリンタ２４、印刷条件＝カラー」である場合、プリンタ２４では印刷条件＝カラーに従い、オリジナル文書１０をカラー印刷し、印刷文書３０として出力する。

また、文書制御属性１８が、「印刷可能ユーザ＝文書利用者２００、印刷可能プリンタ＝プリンタ２４、印刷条件＝白黒」である場合、白黒のオリジナル文書１０が印刷文書３０として出力される。

また、文書制御属性１８が、「印刷可能ユーザ＝文書利用者２００、印刷可能プリンタ＝プリンタ２４、印刷条件＝最大印刷回数１回」である場合、文書管理サーバ１２はユーザ及びプリンタを認証した後、ログ２０にアクセスして当該文書識別子１４で特定される文書の印刷回数を確認し、未だ印刷されていない場合には印刷可能と判定して暗号鍵１６を返信する。プリンタ２４は復号鍵１６’を用いてオリジナル文書１０を復号し印刷文書３０を出力する。ログ２０にアクセスした結果、既に過去に印刷されている場合には印刷不能と判定して復号鍵１６’をプリンタ２４に返信しない。この場合、プリンタ２４は暗号化文書２２を復号できないため印刷できず、印刷回数を１回に制限した印刷条件が満たされることになる。

また、文書制御属性１８が、「印刷可能ユーザ＝文書利用者２００、印刷可能プリンタ＝プリンタ２４、印刷条件＝印刷期間登録後３ヶ月」である場合、文書管理サーバ１２はユーザ及びプリンタを認証した後、現在の日時が登録後３ヶ月以内か否かを確認する。そして、３ヶ月以内である場合には印刷可能と判定して復号鍵１６’を返信する。プリンタ２４は復号鍵１６’を用いてオリジナル文書１０を復号し印刷文書３０を出力する。現在の日時が３ヶ月を超える場合には印刷不能と判定して復号鍵１６’をプリンタ２４に返信しない。この場合、プリンタ２４は暗号化文書２２を復号できないため印刷できず、印刷期間を制限した印刷条件が満たされることになる。

また、文書制御属性１８が、「印刷可能ユーザ＝文書利用者２００、印刷可能プリンタ＝プリンタ２４、印刷条件＝二次配布禁止（TrustMarking)」である場合、文書管理サーバ１２はユーザ及びプリンタを認証した後、復号鍵１６’をプリンタ２４に返信する。プリンタ２４では、二次配布禁止の印刷条件に従って所定のマーキング処理を施し、印刷文書３０を出力する。なお、プリンタ２４は二次配布禁止印刷が可能なプリンタであることが前提であり、ここにプリンタを特定する意義があるということもできる。すなわち、二次配布を禁止する場合には、二次配布禁止印刷を可能とするプリンタで印刷されるべきところ、本実施形態では特定のプリンタを指定した印刷が可能となるため二次配布禁止が可能となる。

また、文書制御属性１８が、「印刷可能ユーザ＝文書利用者２００、印刷可能プリンタ＝プリンタ２４、印刷条件＝オーバレイ印刷」である場合も二次配布禁止印刷の場合と同様である。すなわち、文書管理サーバ１２はユーザ及びプリンタを認証した後、暗号鍵１６をプリンタ２４に返信する。プリンタ２４では、オーバレイ印刷の印刷条件に従って所定の背景印刷、例えばconfidentialの文字を背景印刷する等して印刷文書３０を出力する。プリンタ２４はオーバレイ印刷可能なプリンタであることが前提であり、ここにプリンタを特定する意義がある。

また、文書制御属性１８が、「印刷可能ユーザ＝文書利用者２００、印刷可能プリンタ＝プリンタ２４、印刷条件＝文書利用者２００が課長以上の場合にはカラー印刷、そうでない場合には白黒印刷」である場合、文書管理サーバ１２はユーザ及びプリンタを認証した後、さらにユーザＤ／Ｂ１３にアクセスして文書利用者２００が課長以上であるかそうでないかを判定する。文書利用者２００が課長以上である場合には復号鍵１６’とともに「印刷条件＝カラー印刷」なる制御属性をプリンタ２４に返信する。プリンタ２４はこの制御属性に従い暗号化文書２２を復号して得られるオリジナル文書１０をカラー印刷し、印刷文書３０を出力する。文書利用者２００が課長以上でない場合、文書管理サーバ１２は復号鍵１６’とともに「印刷条件＝白黒印刷」なる制御属性をプリンタ２４に返信する。プリンタ２４はこの制御属性に従いオリジナル文書１０を白黒印刷し、印刷文書を出力する。

一方、文書制御属性１８が、「印刷可能ユーザ＝文書利用者２０１（不図示）、印刷可能プリンタ＝２５（不図示）、印刷条件＝白黒」である場合、プリンタ２４から送信されたユーザ認証情報が文書利用者２０１と一致せず、プリンタ２４はプリンタ２５と一致しないため暗号鍵１６はプリンタ２４に返信されず、したがってプリンタ２４では暗号化文書２２を印刷できず印刷文書３０もない。

本実施形態では、文書制御属性１８は文書管理サーバ１２に記憶され管理されているので、文書管理サーバ１２にアクセスすることにより任意のタイミングで文書制御属性１８を追加、削除、あるいは変更することが可能である。したがって、例えばオーバレイ印刷としてconfidentialの文字を背景印刷するとの制御属性を設定していたが、文書配布後にその文字を変更することも可能である。また、課長以上ではない場合は白黒印刷との制御属性を設定していたが、文書配布後に課長以上ではない場合もカラー印刷に変更することも容易である。具体的には、文書管理サーバ１２にアクセスできる権限を有する文書管理者３００が端末を用いて文書管理サーバ１２にアクセスし、文書制御属性を変更すればよい。印刷可能ユーザあるいは印刷可能プリンタを変更する場合も同様である。

＜第２実施形態＞
上記の実施形態では、文書作成者１００が文書管理サーバ１２から取得した暗号鍵１６を用いてオリジナル文書１０を暗号化して暗号化文書２２を作成し、文書利用者２００に配布しているが、オリジナル文書１０の暗号化を文書管理サーバ１２で実行することもできる。本実施形態ではこの場合について説明する。

図３には、本実施形態の処理が模式的に示されている。文書作成者１００は、端末１を用いてオリジナル文書１０を文書管理サーバ１２に送信し、文書登録要求を出力する。文書管理サーバ１２は、文書作成者１００が本サービスを利用できるユーザであるか否かを認証した後、オリジナル文書１０を暗号鍵１６を用いて暗号化し、暗号化文書２２及び文書識別子１４として返信する。文書識別子１４は文書データとともに暗号化してもよく、暗号化しなくてもよい。

暗号化文書２２を受け取った文書作成者１００は、記憶媒体に格納して文書利用者２００に手渡す、あるいは端末１から端末２に対して暗号化文書２２を送信することで文書利用者２００に配布する。文書利用者２００は、プリンタ２４に対して暗号化文書２２とともに印刷コマンドを出力する。

プリンタ２４は、暗号化文書２２及び文書利用者２００のユーザ認証情報２６を文書管理サーバ１２に送信して文書属性を要求する。文書管理サーバ１２は、プリンタ２４を認証し、暗号化文書２２に含まれる文書識別子１４を復号し、当該文書識別子１４で特定される文書制御属性に含まれる印刷可能ユーザ及び印刷可能プリンタがユーザ認証情報２６及びプリンタに一致するか否かを判定する。一致する場合には、文書管理サーバ１２は暗号化文書２２を暗号鍵で復号し、得られたオリジナル文書１０をプリンタ２４に返信する。プリンタ２４は、返信されたオリジナル文書１０を印刷し、印刷文書３０として出力する。文書制御属性として印刷可能枚数や印刷期間、カラー／白黒等がある場合には第１実施形態と同様に処理される。

本実施形態では、オリジナル文書１０の暗号化及び復号が文書管理サーバ１２で実行されるため、端末１での処理及びプリンタ２４での処理が簡易化される。

＜第３実施形態＞
上記の第２実施形態では、文書管理サーバ１２でオリジナル文書１０を暗号化して文書作成者１００に返信するとともに、暗号化文書２２を復号化してプリンタ２４に返信しているが、文書管理サーバ１２でオリジナル文書１０のフォーマットを変換してもよい。すなわち、文書作成者１００はプリンタ２４での印刷が不可能なフォーマットのオリジナル文書１０を文書管理サーバ１２に送信して文書登録要求を出力する。文書管理サーバ１２は、この要求を受け付け、印刷不可能なフォーマットを印刷可能なフォーマットに変換し、さらに秘密鍵で暗号化して文書作成者１００に返信する。以後は第２実施形態の同様の処理が実行され、プリンタ２４から印刷文書３０が出力される。

文書管理サーバ１２でのフォーマット変換は、例えば以下のように行われる。文書作成者１００からオリジナル文書１０及び文書制御属性１８を含む文書登録要求がなされると、文書制御属性１８に含まれる印刷可能プリンタを抽出し、そのプリンタのプロパティをデータベースから検索し、印刷可能なフォーマットを取得する。そして、オリジナル文書のフォーマットがプリンタの印刷可能フォーマットと一致するか否かを判定し、一致しない場合には印刷可能フォーマットのいずれかに変換する。

本実施形態では、文書作成者１００はオリジナル文書１０のフォーマットを特に気にすることなく文書利用者２００に文書を配布することが可能である。

＜第４実施形態＞
上記の第１〜第３実施形態では、オリジナル文書１０は暗号化されて文書利用者２００に配布されるため、文書利用者２００はプリンタ２４で印刷されるまでその文書の内容を知ることはできない。これにより、印刷物の流出が防止されることになるが、その一方で文書利用者２００は印刷前にどのような内容の文書を印刷しようとしているのか確認したいと欲する場合も少なくない。ある文書を印刷する場合、まず端末２のモニタ画面に文書データを表示してその内容を確認し、その後にプリンタで印刷するのが通常のルーチンと考えられる。

そこで、本実施形態では、文書データの不正流出を防止しつつ、文書利用者２００が印刷しようとする文書の内容をある程度事前に知ることができる構成について説明する。

図４には、本実施形態における処理が模式的に示されている。文書作成者１００は、印刷可能なフォーマットのオリジナル文書１０を暗号化するために端末１から文書管理サーバ１２に対して文書登録要求を出力する。

文書管理サーバ１２は、文書作成者１００の認証を行い、認証完了後、文書を一意（ユニーク）に識別するための文書識別子１４を生成し、暗号鍵１６とともに文書作成者１００に返信する。また、文書管理サーバ１２は、文書が登録されたことを文書利用ログ２０に登録する。

文書作成者１００は、端末１を用いてオリジナル文書１０を暗号鍵１６で暗号化し、暗号化文書２２を作成する。暗号化に用いられた暗号鍵１６は、暗号作成後に廃棄される。また、文書作成者１００は端末１にインストールされたハッシュ関数プログラムを用いて暗号化文書２２のハッシュ値１７を作成し、かつ、端末１にインストールされたサムネイル生成プログラムを用いてオリジナル文書１０から文書内容を把握できるが内容の詳細は把握できないような縮小イメージ、すなわちサムネイル（ＳＮ）１９を作成する。ハッシュ値１７及びサムネイル１９作成後、文書作成者１００は端末１から文書管理サーバ１２に対して文書識別子１４、ハッシュ値１７及びサムネイル１９を送信し、文書管理サーバ１２での署名を要求する。文書管理サーバ１２は、サービス秘密鍵１５を用いてこれらのデータにタイムスタンプを追加して署名を行い、その署名データ２１を文書署名完了として文書作成者１００に返信する。なお、公開鍵方式において、公開鍵とペアをなす秘密鍵を用いて暗号化することにより署名する技術は公知であるためその詳細は省略する。文書作成者１００は、端末１を用いて暗号化文書２２に署名データ２１を付加した暗号化署名文書２３を作成する。その後、端末１から端末２に対して暗号化署名文書２３を送信する等により文書利用者２００に配布される。

暗号化署名文書２３の配布を受けた文書利用者２００は、端末２のモニタ画面に暗号化署名文書２３に含まれるサムネイル１９を表示し、内容を確認する。この際、サムネイル１９が改竄されていないことを確認するために文書管理サーバ１２の証明書２５を用いてサムネイル１９の署名の検証を行う。周知の如く、証明書２５の実体は秘密鍵１５に対応する公開鍵であり、検証は実質的に秘密鍵で暗号化されたサムネイルを公開鍵で復号化することに等しい。検証できた場合、文書利用者２００はサムネイル１９の内容が改竄されておらず正しいものであると確認することができる。検証後、文書利用者２００は任意のタイミングで印刷すべく、端末２を操作して端末２からプリンタ２４に対して暗号化署名文書２３とともに印刷コマンドを送信する。

プリンタ２４は、まずユーザの認証を行い、認証完了後に送られてきた文書が正しい文書であるか否かを証明書２５を用いて署名検証を行う。署名検証が正しく行なわれなかった場合、プリンタ２４は印刷を拒否する。

以後の処理は第１実施形態と同様であり、プリンタ２４は文書管理サーバ１２に対して文書識別子１４、ユーザ認証情報２６、を送信して文書属性を要求する。文書管理サーバ１２は、プリンタを認証し、文書利用者２００及びプリンタ２４が文書制御属性１８で指定される印刷可能ユーザ及び印刷可能プリンタに一致するか否かを判定し、一致する場合には暗号鍵１６及び文書制御属性１８（印刷条件を指定する属性）をプリンタ２４に返信する。プリンタ２４は、返信された暗号鍵１６を用いて暗号化文書２２を復号してオリジナル文書１０を取得し、印刷文書３０として出力する。

本実施形態では、文書利用者２００は端末２を用いて暗号化文書２２の概要をサムネイル１９で事前に知ることができる。また、サムネイル１９は文書管理サーバ１２の秘密鍵１５で暗号化されることで署名されているため、その改竄も検知できる。

＜第５実施形態＞
上記の第４実施形態では、オリジナル文書１０の暗号化、ハッシュ値生成、サムネイル生成を文書作成者１００側の端末１で実行したが、第２実施形態と同様にこれらを文書管理サーバ１２側で実行してもよい。

文書作成者１００は端末１から文書管理サーバ１２に対してオリジナル文書１０を送信して文書登録要求を出力する。文書管理サーバ１２は、オリジナル文書１０から文書識別子１４及びサムネイル１９を生成し、またオリジナル文書１０を暗号鍵１６で暗号化して暗号化文書２２を作成する。そして、暗号化文書２２のハッシュ値１７を生成し、文書識別子１４、ハッシュ値１７、サムネイル１９に対してタイムスタンプを付加して秘密鍵１５により署名し、暗号化署名文書２３を作成する。暗号化署名文書２３は文書作成者１００に返信される。

暗号化署名文書２３の配布を受けた文書利用者２００がプリンタ２４に対して印刷コマンドを出力すると、プリンタ２４は証明書２５を用いて暗号化署名文書２３に含まれる署名付きの文書識別子１４、ハッシュ値を検証し、改竄がなされていないことを確認した後に暗号化文書２２を文書管理サーバ１２に送信する。文書管理サーバ１２は、文書利用者２００及びプリンタ２４が文書制御属性１８で指定される印刷可能ユーザ及び印刷可能プリンタであるか否かを判定した後、暗号鍵１６を用いて暗号化文書２２を復号化し、オリジナル文書１０をプリンタ２４に返信する。

以上説明したように、本実施形態では、特定のユーザによる特定のプリンタでの印刷が可能となる。また、文書制御属性を種々指定することで、特定のユーザによる特定のプリンタによる特定の印刷条件による印刷が可能となる。さらに、文書制御属性は文書管理サーバに記憶され管理されているため、任意のタイミング、具体的には文書配布後であっても印刷条件を付加、削除、あるいは変更することができる。

本発明は上記の各実施形態に限定されるものではなく、種々の変形例が可能である。例えば、第１実施形態では文書作成者１００が端末１を用いてオリジナル文書１０を暗号化し、管理サーバ１２から返信された暗号鍵１６を用いてプリンタ２４で復号化しているが、この場合でもプリンタ２４は暗号化文書２２を管理サーバ１２に送信し、管理サーバ１２で復号化してオリジナル文書１０をプリンタ２４に返信してもよい。また、第２実施形態では管理サーバ１２でオリジナル文書１０の暗号化及び復号化を実行しているが、オリジナル文書１０の暗号化のみを実行し、プリンタ２４に対して暗号鍵１６を返信してプリンタ２４で復号してもよい。

実施形態に係るシステムの概念構成図である。実施形態の処理の流れを示す模試的説明図である。他の実施形態の処理の流れを示す模式的説明図である。さらに他の実施形態の処理の流れを示す模式的説明図である。

符号の説明

１端末（文書作成者端末）、２端末（文書利用者端末）、１０オリジナル文書、１２文書管理サーバ、１３ユーザデータベース（Ｄ／Ｂ）、１４文書識別子、１６暗号鍵、１８文書制御属性、２０文書利用ログ、２２暗号化文書、２４プリンタ、３０印刷文書、１００文書作成者、２００文書利用者、３００文書管理者。

Claims

通信ネットワークを介して互いにデータ送受可能に接続された端末、プリンタ及び管理サーバを備える印刷制御システムであって、
前記端末は、
暗号化された文書データ、及び前記文書データを一意に識別するための文書識別データを前記プリンタに送信して印刷要求を出力する手段
を有し、
前記プリンタは、
前記文書識別データ、及び前記プリンタを識別するためのプリンタ識別データを前記管理サーバに送信する手段
を有し、
前記管理サーバは、
前記文書識別データに対応した、前記文書データを印刷可能なプリンタを指定する制御属性を記憶する手段と、
前記プリンタから送信された文書識別データ及び前記プリンタ識別データが、前記制御属性の文書識別データ及び印刷可能プリンタに一致するか否かを判定する手段と、
前記判定する手段で一致すると判定された場合に、前記暗号化された文書データを復号化するための復号鍵データを前記プリンタに送信する手段
を有し、
前記プリンタは、前記復号鍵データを用いて前記暗号化された文書データを復号化して前記文書データを印刷することを特徴とする印刷制御システム。
請求項１記載のシステムにおいて、
前記プリンタの前記送信する手段は、さらに、前記端末から前記印刷要求を出力する文書利用者の識別データを前記管理サーバに送信し、
前記管理サーバの前記記憶する手段は、前記制御属性として前記文書識別データに対応した、前記文書データを印刷可能なプリンタ及びユーザを指定する制御属性を記憶し、
前記管理サーバの前記判定する手段は、前記プリンタから送信された文書識別データ及び前記プリンタ識別データ並びに文書利用者識別データが、前記制御属性の文書識別データ及び印刷可能プリンタ並びにユーザ識別データに一致するか否かを判定する
ことを特徴とする印刷制御システム。
請求項１、２のいずれかに記載のシステムにおいて、さらに、
通信ネットワークを介して前記管理サーバとデータ送受可能に接続された文書作成者端末を備え、
前記文書作成者端末は、
前記管理サーバに文書要録要求を送信する手段と、
前記管理サーバからの前記文書識別データ及び暗号鍵データを受信する手段と、
前記暗号鍵データで前記文書データを暗号化する手段と、
を有し、
前記管理サーバは、
前記文書登録要求に応じて前記文書識別データを作成する手段と、
前記文書識別データ及び前記暗号鍵データを前記文書作成者端末に送信する手段と、
を有することを特徴とする印刷制御システム。
請求項１、２のいずれかに記載のシステムにおいて、
前記端末は、前記文書データに付随するサムネイルデータを画面上に表示する手段
を有することを特徴とする印刷制御システム。
請求項３記載のシステムにおいて、
前記文書作成者端末の前記送信する手段は、前記文書データに付随するサムネイルデータ及び暗号化された文書のハッシュ値を前記管理サーバに送信し、
前記文書作成者端末の前記受信する手段は、前記管理サーバからの前記管理サーバの所定の秘密鍵データで署名された前記サムネイルデータ及びハッシュ値を受信し、
前記管理サーバは、前記文書作成者端末から送信された前記サムネイルデータ及びハッシュ値に対して前記所定の秘密鍵データで署名する手段を有し、
前記端末は、署名された前記サムネイルデータ及びハッシュ値を前記秘密鍵データに対応する所定の公開鍵データで検証して画面上に表示する手段を有する
ことを特徴とする印刷制御システム。
通信ネットワークを介して互いにデータ送受可能に接続された端末、プリンタ及び管理サーバを備える印刷制御システムであって、
前記端末は、
暗号化された文書データ、及び前記文書データを一意に識別するための文書識別データを前記プリンタに送信して印刷要求を出力する手段
を有し、
前記プリンタは、
前記文書識別データ、及び前記暗号化された文書データ、並びに前記プリンタを識別するためのプリンタ識別データを前記管理サーバに送信する手段
を有し、
前記管理サーバは、
前記文書識別データに対応した、前記文書データを印刷可能なプリンタを指定する制御属性を記憶する手段と、
前記プリンタから送信された文書識別データ及び前記プリンタ識別データが、前記制御属性の文書識別データ及び印刷可能プリンタに一致するか否かを判定する手段と、
前記判定する手段で一致すると判定された場合に、前記暗号化された文書データを復号化して文書データを前記プリンタに送信する手段
を有し、
前記プリンタは、前記管理サーバからの前記文書データを印刷することを特徴とする印刷制御システム。
請求項６記載のシステムにおいて、
前記プリンタの前記送信する手段は、さらに、前記端末から前記印刷要求を出力する文書利用者の識別データを前記管理サーバに送信し、
前記管理サーバの前記記憶する手段は、前記制御属性として前記文書識別データに対応した、前記文書データを印刷可能なプリンタ及びユーザを指定する制御属性を記憶し、
前記管理サーバの前記判定する手段は、前記プリンタから送信された文書識別データ及び前記プリンタ識別データ並びに文書利用者識別データが、前記制御属性の文書識別データ及び印刷可能プリンタ並びにユーザ識別データに一致するか否かを判定する
ことを特徴とする印刷制御システム。
請求項６、７のいずれかに記載のシステムにおいて、さらに、
通信ネットワークを介して前記管理サーバとデータ送受可能に接続された文書作成者端末を備え、
前記文書作成者端末は、
前記管理サーバに文書データ及び文書要録要求を送信する手段と、
前記管理サーバからの暗号化された文書データ及び前記文書識別データを受信する手段と、
を有し、
前記管理サーバは、
前記文書登録要求に応じて前記文書識別データを作成する手段と、
前記文書登録要求に応じて前記文書データを暗号化する手段と、
前記文書識別データ及び前記暗号化された文書データを前記文書作成者端末に送信する手段と、
を有することを特徴とする印刷制御システム。
請求項６、７のいずれかに記載のシステムにおいて、
前記端末は、前記文書データに付随するサムネイルデータを画面上に表示する手段
を有することを特徴とする印刷制御システム。
請求項８記載のシステムにおいて、
前記管理サーバは、
前記文書作成者端末から送信された文書データに基づいてサムネイルデータ及びハッシュ値を生成する手段と、
前記サムネイルデータ及びハッシュ値に所定の秘密鍵データを用いて署名して前記文書作成者端末に送信する手段
を有し、
前記端末は、署名された前記サムネイルデータ及びハッシュ値を前記秘密鍵データに対応する所定の公開鍵データで検証して画面上に表示する手段を有する
ことを特徴とする印刷制御システム。
請求項１〜１０のいずれかに記載のシステムにおいて、
前記管理サーバの前記制御属性は、前記プリンタでの印刷態様を指定する条件データを含み、
前記管理サーバは、前記条件データを前記プリンタに送信する手段を有し、
前記プリンタは、前記条件データに従い前記文書データを印刷することを特徴とする印刷制御システム。
請求項１１記載のシステムにおいて、
前記条件データには、印刷回数制限データが含まれ、
前記管理サーバは、
前記プリンタに前記復号鍵データあるいは前記文書データを送信する場合に印刷されたとして印刷回数を記憶する手段と、
前記印刷回数が前記印刷回数制限を超える場合に前記復号鍵データあるいは前記文書データの送信を禁止する手段と、
を有することを特徴とする印刷制御システム。
請求項１１記載のシステムにおいて、
前記条件データには、印刷期間制限データが含まれ、
前記管理サーバは、
前記プリンタに前記文書データを送信する日時が前記印刷期間制限を超える場合に前記復号鍵データあるいは前記文書データの送信を禁止する手段と、
を有することを特徴とする印刷制御システム。
請求項１１記載のシステムにおいて、
前記条件データには、二次配布禁止印刷データが含まれ、
前記プリンタは、前記管理サーバから送信された前記二次配布禁止印刷データに従い所定の二次配布禁止印刷を施すことを特徴とする印刷制御システム。
請求項１１記載のシステムにおいて、
前記条件データには、オーバレイ印刷データが含まれ、
前記プリンタは、前記管理サーバから送信された前記オーバレイ印刷データに従い所定のオーバレイ印刷を施すことを特徴とする印刷制御システム。
通信ネットワークを介して互いにデータ送受可能に接続された端末、プリンタ及びサーバ装置を備えるシステムにおける前記サーバ装置であって、
前記プリンタから送信される、文書データを一意に識別するための文書識別データ、前記プリンタを識別するためのプリンタ識別データ、及び前記端末から前記プリンタに対して印刷要求を出力する文書利用者の識別データを受信する手段と、
前記文書識別データに対応した、前記文書データを印刷可能なユーザ及び印刷可能なプリンタを指定する制御属性を記憶する手段と、
前記プリンタから送信された、前記文書識別データ及び前記プリンタ識別データ並びに文書利用者識別データが、前記制御属性の文書識別データ及び印刷可能プリンタ並びに印刷可能ユーザに一致するか否かを判定する手段と、
前記判定する手段で一致すると判定した場合に、暗号化された文書データの復号鍵データを前記プリンタに送信することで前記プリンタでの前記文書データの復号化を可能とする手段と、
を有することを特徴とするサーバ装置。
請求項１６記載の装置において、
通信ネットワークを介してデータ送受可能な文書作成者端末から送信された要求に応じて、前記文書識別データ及び暗号鍵データを前記文書作成者端末に送信する手段と、
を有し、前記暗号化された文書データは前記暗号鍵データにより暗号化されたものであり、前記復号鍵データは前記暗号鍵データに対応するものであることを特徴とするサーバ装置。
通信ネットワークを介して互いにデータ送受可能に接続された端末、プリンタ及びサーバ装置を備えるシステムにおける前記サーバ装置であって、
前記プリンタから送信される、文書データを一意に識別するための文書識別データ、暗号化された文書データ、前記プリンタを識別するためのプリンタ識別データ、及び前記端末から前記プリンタに対して印刷要求を出力する文書利用者の識別データを受信する手段と、
前記文書識別データに対応した、前記文書データを印刷可能なユーザ及び印刷可能なプリンタを指定する制御属性を記憶する手段と、
前記プリンタから送信された、前記文書識別データ及び前記プリンタ識別データ並びに文書利用者識別データが、前記制御属性の文書識別データ及び印刷可能プリンタ並びに印刷可能ユーザに一致するか否かを判定する手段と、
前記判定する手段で一致すると判定した場合に、前記暗号化された文書データを復号化して前記プリンタに送信することで前記プリンタでの前記文書データの印刷を可能とする手段と、
を有することを特徴とするサーバ装置。
請求項１８記載の装置において、
通信ネットワークを介してデータ送受可能な文書作成者端末から送信された文書データ及び要求に応じて、前記文書データを暗号化するとともに前記文書識別データを作成して前記文書作成者端末に送信する手段と、
を有することを特徴とするサーバ装置。
請求項１〜１０のいずれかに記載のシステムにおいて、さらに、
前記管理サーバにアクセスし前記管理サーバが前記制御属性を記憶した後の任意のタイミングで前記制御属性を変更する手段
を有することを特徴とする印刷制御システム。