JP4609499B2 - 認証印刷装置、認証印刷システム、認証サーバ、並びにそれらの方法およびプログラム - Google Patents

Description

本発明は、予め設定された認証処理を行なってから印刷を行なう認証印刷処理に関連する技術に関する。

近年、個人情報保護法の施行や内部統制強化の機運の高まりといった事情によって機密情報の管理に対する企業の関心が高まっている。たとえば、機密情報の印刷において、利用者の操作する端末と印刷装置との距離が離れている場合には、利用者が印刷指示を出してから印刷装置の設置場所まで移動するまでの時間に、他者によって情報が漏洩してしまうおそれがあるという問題があった。この問題を解決する手段として、利用者が印刷指示を出した状態で印刷処理を停止しておき、印刷装置の側でプリンタサーバや印刷装置が認証を行なってから印刷が開始される認証印刷システムが公開されている（特許文献１）。

一方、印刷処理においては、印刷装置内に備えたハードディスクのような不揮発性記憶媒体に一時的に印刷データを格納して処理するタイプの印刷装置が使用されることがある。このような印刷装置の中には、不揮発性記憶媒体を取り外し可能なものがあるので、不揮発性記憶媒体を印刷装置から取り出すことによって印刷データが漏洩する危険性がある。このような危険性に対して、不揮発性記憶媒体内のデータを暗号化する技術（特許文献１）や不揮発性記憶媒体を使用しない印刷モードを提供する技術（特許文献２）が提案されている。

特開２００６−１４６６６５号公報 特開２００５−３４１４９６号公報 特開２００５−２５９０１２号公報

しかし、特許文献１や特許文献２で提案されている技術には、印刷装置側での対応を要するので、このような機能を有さない印刷装置を含むネットワークにおいては、情報の漏洩の起きにくい認証印刷を実現することは困難であった。

本発明は、上述の課題の少なくとも一部を解決するためになされたものであり、予め設定された認証処理を行なってから行なう印刷をする認証印刷処理におけるセキュリティレベルを高める技術を提供することを目的とし、以下の形態又は適用例として実施される。
本発明の認証印刷装置は、
予め設定された認証処理を行なってから、外部から印刷データを受け取って印刷する認証印刷処理を実行する認証印刷装置であって、
予め登録した機器の装着に関する情報である装着情報を取得する装着情報取得部と、
当該認証印刷装置での印刷の要求を受け付けるとき、前記取得した装着情報を参照し、前記登録された機器に関する前記装着情報に応じて、前記認証印刷処理を制限する認証印刷制限部と
を備え、
前記印刷装置に装着される機器は、印刷データを記憶可能な不揮発性記憶媒体を用いた記憶装置であり、前記装着情報は、前記記憶装置の装着の有無を示す情報であり、
前記認証印刷制限部は、不揮発性記憶媒体を用いた機器が前記印刷装置に装着されていると判断した場合に、前記制限を行なわせることを要旨としている。
なお、実施の形態としては、認証印刷装置、認証印刷システム、認証サーバといった装置発明としての形態、認証印刷制御方法、認証印刷方法、認証方法といった方法発明としての形態、更には認証印刷制御方法、認証印刷方法をコンピュータで実現するプログラムとしての形態などがある。

［適用例１］
予め設定された認証処理を行なってから、外部から印刷データを受け取って印刷する認証印刷処理を実行する認証印刷装置であって、
予め登録した機器の装着に関する情報である装着情報を取得する装着情報取得部と、
当該認証印刷装置での印刷の要求を受け付けるとき、前記取得した装着情報を参照し、前記登録された機器に関する前記装着情報に応じて、前記認証印刷処理を制限する認証印刷制限部と
を備えた認証印刷装置。

この認証印刷装置では、この認証印刷装置に装着される機器の装着に関する情報である装着情報を取得し、認証印刷装置での印刷の要求を受け付けるとき、前記取得した装着情報を参照し、前記登録された機器に関する前記装着情報に応じて、前記認証印刷処理を制限している。従って、認証印刷装置に装着される機器のよって、認証印刷のセキュリティに影響が現われる場合、これに対処することができる。なお、機器の装着に関する情報は、たとえば印刷装置の管理情報ベース （Ｍａｎａｇｅｍｅｎｔ Ｉｎｆｏｒｍａｔｉｏｎ Ｂａｓｅ、ＭＩＢ）から取得することができる。

［適用例２］
適用例１記載の認証印刷装置であって、
前記機器は、印刷データを記憶可能な不揮発性記憶媒体を用いた記憶装置であり、前記装着情報は、前記記憶装置の装着の有無を示す情報である
認証印刷装置。
この認証印刷装置では、装着される機器は不揮発性記憶媒体を用いた記憶装置、例えばハードディスクドライブ、フラッシュメモリなどを用いた半導体記憶ドライブ、書込可能なＤＶＤ−ＲＡＭなどである。従って、これらの記憶装置が装着されている場合には、認証印刷処理を制限することができる。ハードディスクドライブなどの記憶装置は、認証印刷装置に物理的に取り付けられているから、物理的に取り外し可能であり、こうした記憶装置に印刷データが記憶されていれば、そのまま漏洩してしまうことが考えられる。従って、こうした記憶装置の装着の有無により、認証印刷処理を制限することは有用である。

［適用例３］
更に、認証処理のためのデータを入力する認証用データ入力手段を備えた適用例２記載の認証印刷装置を考えることができる。この認証印刷装置では、認証用データは、認証印刷装置において入力することができる。認証用データ入力手段としては、バーコードリーダ、カードリーダ、指紋認証装置、静脈認証装置、あるいはＩＤやパスワードを直接入力するキーボードなどがある。

［適用例４］
この認証印刷装置では、認証処理の制限は、種々の手法を採用可能である。例えば、
前記認証印刷制限部は、前記制限として、前記認証用データ入力手段による認証用データの入力を実施させないものとすることができる。あるいは、
［適用例５］
前記認証印刷制限部は、前記制限として、前記認証用データを、前記認証処理を行なう認証処理部に出力しないものとしてもよい。
［適用例６］
更には、前記認証印刷制限部は、前記制限として、前記外部からの印刷データを取得して印刷を行なう印刷ジョブを制限するものとしても良い。いずれの対応をとっても認証印刷処理を制限し、結果的にデータの漏洩を防止しやすくなる。

［適用例７］
適用例６においては、前記印刷ジョブの制限は、前記外部から印刷データを取得して印刷を実行するために参照する印刷ジョブ属性情報の取得を制限することにより行なわれるものとしてもよい。こうすれば、印刷ジョブは、認証印刷処理を制限する場合でも、しない場合と同様に扱うことができ、簡便である。

［適用例８］
上記のいずれかの認証印刷装置であって、
更に、情報の報知を行なう報知部を備え、
前記認証印刷制限部は、前記制限を行なう際、当該制限の実施に関する情報を、前記報知部により報知するものとしてもよい。
こうすれば、認証印刷装置の利用者が、何らかの制限が必要となっている事態を容易に把握することができる。例えば、導入時には記憶装置などが装着されていなかった認証印刷装置に記憶装置などが後付けされた場合、報知部に制限の実施に関する情報が報知されるので、利用者は認証印刷装置の改変などを容易に知ることができる。なお、報知としては、表示部に文字を表示するだけでなく、ライトの点灯や点滅、音声による報知、振動など種々の態様を採用可能である。なお、こうした報知を行なう場合に、さらに利用者からの確認を受け付ける手段を設け、パスワードなどで利用者の認証を行ないつつ、利用者が確認したものについては、印刷データの取得と印刷を行なうものとしても良い。

［適用例９］
こうした認証印刷装置であって、更に、
前記外部から印刷データを取得して印刷を実行するために参照する情報であり、前記印刷データの秘匿レベルを示す情報を含んだ印刷ジョブ属性情報を取得する印刷ジョブ属性情報取得部と、
当該認証印刷装置での印刷の要求を受け付けたとき、前記取得した印刷ジョブ属性情報に含まれる前記秘匿レベルを判定する秘匿レベル判定部と、
前記認証印刷制限部が前記制限を行なう場合には、前記印刷ジョブ属性情報における前記秘匿レベルが所定のレベル以下の印刷ジョブについては、前記印刷データの取得と印刷とを行なう印刷実行部と
を備えるものとしても良い。

印刷ジョブに、その印刷データの秘匿レベルを示す情報を含ませておき、この秘匿レベルにより、認証印刷処理の制限が行なわれた場合でも、秘匿レベルの低い印刷ジョブについては、印刷データの取得と印刷とを行なうので、印刷データによっては柔軟に対処することができる。

［適用例１０］
また、この認証印刷装置において、更に、
前記認証印刷制限部が前記制限を行なう場合には、前記印刷ジョブ属性情報における前記秘匿レベルが所定のレベル以上の印刷ジョブについては、前記印刷データの印刷の続行を利用者に確認させる確認部と、
該確認が行なわれた場合には、前記印刷データの取得と印刷とを行なう印刷実行部と
を備えるものとしてもよい。

この認証印刷装置によれば、認証印刷処理が制限された場合であっても、利用者の確認を得て、印刷データの印刷を続行させることができる。このため、秘匿レベルが含まれる印刷ジョブの印刷について、柔軟に対応することができる。なお、利用者による確認には、利用者本人を確認するパスワードなどの入力と、印刷続行の指示の入力とが行なえる程度のインタフェースを、認証印刷装置に設けておけばよい。こうしたインタフェースとしては、テンキー（パスワードと印刷指示の入力）や、指紋あるいは静脈認証などの本人確認の装置と印刷指示を入力する専用キーなどの組合わせを考えることができる。もとより、声紋などを利用した音声による認証と音声認識を利用した印刷指示の入力などによっても実現することができる。

［適用例１１］
適用例６記載の認証印刷装置であって、
前記装着情報は、前記記憶装置に記憶した印刷データの外部からの読み出しの困難さを示すセキュリティ強度を含んでおり、
前記認証印刷制限部は、前記セキュリティ強度が所定値以下の場合に、前記外部からの印刷データを取得して印刷を行なう印刷ジョブを制限するものとしても良い。
こうした認証印刷装置によれば、記憶装置に記憶した印刷データの外部からの読み出しの困難さを示すセキュリティ強度が所定値以下の場合に、印刷ジョブを制限するので、印刷データの外部からの読み出しの可能性を低減し、かつ印刷ジョブを適切に実行することができる。かかる構成に代えて、セキュリティ強度に応じて、装着情報に基づく認証印刷処理の制限の度合いを調整するといった対応も可能である。セキュリティ強度としては、たとえば、認証印刷装置に装着される機器が記憶装置である場合において、記憶装置が一旦印刷して印刷データを削除した場合の削除データの復元の困難さなどを評価し、復元が困難であるほど、セキュリティ強度が高いとすればよい。同様に、認証印刷装置からの機器の取り外しにくさによりセキュリティ強度を決定するものとしても良い。あるいは機器が記憶装置である場合に、単独で取り出した記憶装置に対するアクセスを制限し、認証印刷装置から取り出した状態では内部のデータにアクセスできない仕組みを採用している場合には、セキュリティ強度を高く設定するものとしても良い。

［適用例１２］
更に、適用例６記載の印刷制御装置であって、
前記認証印刷制限部は、前記印刷ジョブの制限として、前記取得した装着情報に基づき、前記印刷ジョブを、当該認証印刷装置以外の印刷装置により実施させるものとしても良い。
この認証印刷装置は、印刷ジョブを実行しようとした認証印刷装置が、認証印刷処理の制限を行なうものである場合、その認証印刷装置での印刷は行なわず、それ以外の印刷装置で印刷を行なう。当初印刷しようとした認証印刷装置が、認証印刷処理を制限するものである場合、他の印刷装置で印刷できるので、セキュリティの確保と簡便な印刷ジョブの実施とを両立することができる。

ここで、印刷を行なう他の印刷装置としては、以下に例示するように、種々のものを想定することができる。
他の印刷装置は、前記認証印刷処理が制限されないと判断された印刷装置であり、かつ前記一の印刷装置と同一機種または性能が同等以上の機種である、としても良い。この場合、印刷ジョブを実行使用とした認証印刷機と同一機種または性能が同等以上の機種であれば、所望の印刷結果を得ることができる。例えば、カラー印刷を行なうとして、白黒印刷されてしまうと言ったことがない。

また、他の印刷装置は、前記認証印刷処理が制限されないと判断された印刷装置であり、かつ印刷可能な状態にある印刷装置である、としたり、前記一の印刷装置で印刷できない場合の代替機として予め登録された印刷装置であり、かつ前記認証印刷処理が制限されないと判断された印刷装置である、としてもよい。これらの場合には、確実に印刷することができる。

このほか、他の印刷装置は、前記認証印刷処理が制限されないと判断された印刷装置であって、かつ前記一の印刷装置に近接して配置された印刷装置である、とすることもできる。この場合には、近接して配置された印刷装置で印刷がなされることになり、印刷結果の取得が容易となる。

以上、認証印刷装置について説明したが、この認証印刷装置を含む認証印刷システムとしての適用例を考えることもできる。
［適用例１３］
印刷要求に対する認証を行なってから印刷を実施する認証印刷システムであって、
印刷ジョブを受け取り、該印刷ジョブに伴う印刷データによって印刷を行なう複数の印刷装置と、
前記印刷ジョブに伴う印刷データを保存する印刷データ保存装置と、
前記印刷装置に対して、前記印刷ジョブによる印刷要求がなされたとき、該印刷要求を認証して、前記印刷装置の一つにより該印刷ジョブを実行させて前記印刷データを印刷させる認証印刷処理を行なう認証装置と
が、ネットワークを介して接続されており、
前記印刷装置に装着される機器に関する情報である装着情報を取得する装着情報取得部と、
前記印刷要求を受け付けるとき、前記取得した装着情報を参照し、前記機器に関する前記装着情報に応じて、前記認証印刷処理を制限する認証印刷制限部と
を備えた認証印刷システム。

かかる認証印刷システムでは、複数の印刷装置と印刷データ保存装置と認証装置とがネットワークを介して接続されており、使い勝手が良く、かつ情報の漏洩などの可能性を低減した認証印刷システムを簡易に拘置することができる。

また、認証サーバとしては、
ネットワークを介して接続された印刷装置からの求めに応じて認証処理を行なう認証サーバであって、
前記印刷装置に印刷を行なわせようとする印刷要求に伴って出力され、予め登録した機器の当該印刷装置への装着に関する情報である装着情報を含む認証用情報を受け取る認証要求受信部と、
該受け取った認証用情報を参照し、前記機器に関する前記装着情報に応じて、前記認証処理の少なくとも一部を完了しないことで、前記印刷装置での印刷を制限する認証制限部と
を備えた認証サーバ、として実現することができる。

更に、認証印刷制御方法、認証印刷方法、認証方法といった形態での適用、あるいは認証印刷制御方法、認証印刷方法をコンピュータで実現するプログラムとしての形態での適用などもかんがえることができる。

以下、本発明の実施の形態について、実施例に基づき以下の順序で説明する。
Ａ．実施例における印刷システムの概略構成：
Ｂ．実施例における認証印刷処理の概要：
Ｃ．実施例における印刷処理の概要：
Ｄ．認証印刷処理の詳細：
Ｅ．第１実施例の変形例：
Ｆ．第２実施例：
Ｇ．その他の変形例：

Ａ．実施例における印刷システムの概略構成：
図１は、本発明の実施例における認証印刷システム１０の構成の一例を示す説明図である。認証印刷システム１０は、ローカルエリアネットワークＬＡＮ１によって接続された第１のネットワーク領域Ｚ１と、ローカルエリアネットワークＬＡＮ２によって接続された第２のネットワーク領域Ｚ２と、これらのネットワーク領域Ｚ１、Ｚ２をファイアーウォールを介して接続するルータＲＴとを備えている。

第１のネットワーク領域Ｚ１では、３台の端末ＰＣ１１、ＰＣ１２、ＰＣ１３と、１台のプリンタＰＲＴ１と、１台のプリンタサーバＳＶｐ１と、１台の認証サーバＳＶａ１と、がローカルエリアネットワークＬＡＮ１によって接続されている。第２のネットワーク領域Ｚ２では、３台の端末ＰＣ２１、ＰＣ２２、ＰＣ２３と、１台のプリンタＰＲＴ２と、１台のプリンタサーバＳＶｐ２と、１台の認証サーバＳＶａ２と、がローカルエリアネットワークＬＡＮ２によって接続されている。

図２は、実施例の端末ＰＣ１１の機能ブロック図である。端末ＰＣ１１は、ディスプレイＤＰ１１と、本体ＢＤ１１と、キーボードＫＢ１１と、マウスＭＳ１１と、カードリーダＣＲ１１とを備えている。他の５台の端末ＰＣ１２、ＰＣ１３、ＰＣ２１、ＰＣ２２、ＰＣ２３は、本実施例では、端末ＰＣ１１と同一の構成を有している。各端末の本体ＢＤ１１は、端末ＰＣ１１の処理を司るＣＰＵ１００の他に、メモリＲＯＭ１０１、ＲＡＭ１０２、周辺機器用のインタフェース回路（Ｉ／Ｆ）１０３、ネットワーク用のインタフェース回路１０５およびハードディスク（ＨＤ）１０６を備えている。ＣＰＵ１００やメモリＲＯＭ１０１、ＲＡＭ１０２、ＨＤ１０６、インターフェース回路１０３，１０５は、内部バス１０４によって相互に接続されている。インタフェース回路１０３には、ディスプレイＤＰ１１、キーボードＫＢ１１、マウスＭＳ１１、カードリーダＣＲ１１が接続されており、ＣＰＵ１００は、内部バス１０４およびインタフェース回路１０３を介して、これらの周辺機器とデータのやり取りをすることができる。

各端末のネットワーク用のインターフェース回路１０５には、ローカルエリアネットワークＬＡＮ１のケーブルが接続されており、ＣＰＵ１００は、ローカルエリアネットワークＬＡＮ１を介して、他の端末やサーバとパケットのやり取りをすることができる。なお、本実施例で用いた端末は、ＵＳＢを用いて接続されているが、このＵＳＢには、マスストレージデバイスは接続できないようにＢＩＯＳの機能を制限している。また、フレキシブルディスクなどの外部記憶媒体のインタフェースも設けられていない。従って、端末からフレキシブルディスクにデータを書き出したり、ＵＳＢ接続のメモリなどを接続してデータを書き出したりすることができない。この結果、端末側での情報漏洩が生じにくい構成となっている。もとより、これらの端末は、ＵＳＢ接続とせず、キーボードやマウス専用のインタフェースで接続するものとしても良い。

図３は、実施例のプリンタＰＲＴ１の概略構成を示す説明図である。このプリンタＰＲＴ１は、周知のページプリンタであり、用紙カセット２１、感光ドラムを含む印刷エンジン２３、用紙の搬送機構２５、ネットワークとのインタフェース回路を含む制御回路２７などを備える。制御回路２７の内部には、端末ＰＣ１１（図２）と同様に、ＣＰＵやＲＯＭ，ＲＡＭなどが設けられている。また、図１にも示したように、プリンタＰＲＴ１，ＰＲＴ２には、それぞれ認証用の磁気カードリーダＰＣＲ１、ＰＣＲ２が接続されており、制御回路２７に接続されている。更に、プリンタＰＲＴ１，ＰＲＴ２には、それぞれ液晶表示パネルＤＳＰ１，ＤＳＰ２や、入力用の操作パネルＯＰ１，ＯＰ２が設けられている。これらの液晶表示パネルＤＳＰ１，ＤＳＰ２と操作用パネルＯＰ１，ＯＰ２も、制御回路２７に接続されている。液晶表示パネルＤＳＰ１，ＤＳＰ２は、日本語のメッセージを表示するだけでなく、オン／オフなどの操作ボタンを表示することができる。操作パネルＯＰ１，ＯＰ２には、左右上下の矢印キーや、「決定キー」など、複数個の操作キーが設けられている。操作キーの数は限定的なものだが、液晶表示パネルＤＳＰ１，ＤＳＰ２の表示と組み合わせることで、さまざまな処理を実現することができる。例えば、液晶表示パネルＤＳＰ１，ＤＳＰ２に複数個の選択肢を表示し、矢印キーを操作することにより、複数個の選択肢を順次反転表示するなどの方法によりその一つを選択させ、その状態で「決定キー」を操作することで、反転表示された選択肢を選択するといった処理が可能である。なお、液晶表示パネルＤＳＰ１，ＤＳＰ２上にタッチパネルを設け、直接選択肢を選択できるようにしても良い。

プリンタＰＲＴ１，ＰＲＴ２には、ハードディスク（ＨＤＤ）２９が接続可能な専用のポートを備える。本実施例では、ＡＴＡインタフェースのコネクタが用意されており、ここにハードディスク２９を接続することにより、容易にプリンタの記憶容量を増加することができる構成となっている。もとより、プリンタＰＲＴ１，ＰＲＴ２におけるハードディスクの装着は、その仕様によりまちまちである。制御回路２７は、ハードディスク２９が装着されている場合には、送信された印刷データを一旦ハードディスクに保存し、それから印刷することができる。ハードディスクが装着されていなければ、プリンタは、ネットワークを介して受け取ったデータをＲＡＭに展開してその都度印刷し、印刷が終わると直ちにそのデータを破棄する。プリンタＰＲＴ１，ＰＲＴ２にハードディスク２９が装着されているか否かは、制御回路２７は、プリンタの管理情報ベース （Ｍａｎａｇｅｍｅｎｔ Ｉｎｆｏｒｍａｔｉｏｎ Ｂａｓｅ、ＭＩＢ）から取得した情報に基づいて行なうことができる。制御回路２７は、まず電源投入時のセルフチェックの段階でＭＩＢから取得した情報によりハードディスクの存在を認識し、その後も定期的に確認している。認識した結果を、制御回路２７は、専用のフラグにセットする。従って、このフラグを参照することにより、制御回路２７は、いつでもハードディスクの有無を知ることができる。また、外部の機器、例えば認証サーバＳＶａ１などから、各プリンタＰＲＴ１，ＰＲＴ２におけるハードディスクの装着の有無を、所定の手続により問い合わせることも可能である。なお、ハードディスクは、通常は印刷データを一時的あるいは一定期間に亘って保存するために用いられるが、ポストスクリプトタイプのプリンタでは、単にフォントデータを展開して記憶するためだけに用いられる場合もある。後者の場合には、プリンタＰＲＴ１にハードディスクが装着されていても、印刷データは、ハードディスクには保存されず、ＲＡＭに展開されて印刷に用いられ、その都度廃棄される。

Ｂ．実施例における認証印刷処理の概要：
以下、本発明のいくつかの実施例について説明するが、最初に、認証印刷システムとしての概略動作について説明する。図４は、本発明の実施例における認証印刷処理の概要を示す説明図である。図４は、システム全体の動作を示している。この図に従い、認証印刷が行なわれる際に必要な手続について説明する。認証印刷を行なう場合、特定の端末から特定のプリンタを用いて印刷を行なおうとするユーザは、まずログイン処理を行なう（ステップＳ１００）。具体的には、ユーザは、認証印刷システム１０に接続されたいずれかの端末ＰＣ１１ないしＰＣ１３（あるいはＰＣ２１ないしＰＣ２３）を起動し、認証印刷システム１０にログインする処理を行なうのである。以下の説明では、ユーザは、端末ＰＣ１１を用いて認証印刷システム１０にログインするものとした。

ユーザが端末ＰＣ１１を起動すると、端末ＰＣ１１は、予めインストールされたログイン処理用のプログラムを自動実行し、システムにログインするための処理を開始する。この処理を、図５に従って説明する。端末ＰＣ１１は、ログイン処理を開始すると、まず端末ＰＣ１１の画面に、ユーザにユーザＩＤ（ユーザ名）の入力を求め、かつ自己の磁気カードＭＣを磁気カードリーダＣＲ１１に通すように要求するメッセージを表示する（ステップＳ１０１）。このメッセージを受けて、ユーザがキーボードＫＢ１１を操作すると、これをユーザＩＤとして入力し（ステップＳ１０２）、磁気カードＭＣをカードリーダＣＲ１１に通すと磁気カードＭＣに予め記録されたデータを読み取る（ステップＳ１０３）。

次に、端末ＰＣ１１は、入力されたユーザＩＤと磁気カードＭＣから読み取った認証用データとを、ネットワークを介して認証サーバＳＶａ１に送信する（ステップＳ１０４）。認証用データの一例を、図６に示した。認証用データは、ユーザＩＤと対にして管理されている。かかる処理では、磁気カードＭＣに記録された認証用データは、ログインのためのパスワードとして働いていることになる。なお、磁気カードＭＣに登録されたデータをユーザＩＤとして扱い、キーボードＫＢ１１からパスワードを入力させるようにしても良い。あるいは、端末ＰＣ１１にログインするためであれば、磁気カードリーダＣＲ１１を用いず、キーボードＫＢ１１から、ユーザＩＤとパスワードを単に入力することによってユーザログインの処理とすることも可能である。

端末ＰＣ１１からのユーザＩＤと認証用データの送信を受けた認証サーバＳＶａ１は、図５右欄の処理を実行する。すなわち、認証サーバＳＶａ１は、まず端末ＰＣ１１からのユーザＩＤと磁気カードＭＣから読み取られた認証用データとを受信し（ステップＳ１１０）、これを認証する処理を行なう（ステップＳ１２０）。認証サーバＳＶａ１は、予め、ログインを許可するユーザＩＤとそのユーザが所有・管理している磁気カードＭＣに記録された認証用データとを、テーブルの形で記憶している。認証サーバＳＶａ１は、端末ＰＣ１１からネットワークを介して受け取ったユーザＩＤと認証用データとを用いて、このテーブルを参照し、認証印刷システム１０へのログインが認められたユーザか否かを認証するのである。たとえば図７に示されるように「Ｓｕｚｕｋｉ」のユーザＩＤが認証情報として入力されると、パスワードとして働いている認証用データとの照合を行ない、「ＯＫ」の認証結果を得る。このときに、併せて印刷者ＩＤ「００１１１」をテーブルから取得する。印刷者ＩＤは、認証印刷システムを利用するためのＩＤである。一方、たとえば「Ｔａｋａｈａｓｈｉ」のユーザＩＤが認証情報として入力されると、認証用データとの照合を行ない、この利用者の登録がなれば、「ＮＧ」の認証結果を得る。この場合には、当然、印刷者ＩＤは取得されない。

こうして、認証サーバＳＶａ１で、ユーザＩＤと認証用データとを用いた認証を行ない（ステップＳ１３０）、利用者が認証されれば、認証サーバＳＶａ１は、端末ＰＣ１１に対して、ログインを許可する旨の許可通知を送信する（ステップＳ１３５）。図７に示したように、認証サーバＳＶａ１は、認証結果「ＯＫ」を返すと共に、認証印刷システム１０を用いた印刷を行なうための印刷者ＩＤを端末ＰＣ１１側に返送する。端末ＰＣ１１は、認証サーバＳＶａ１からの信号を受信し（ステップＳ１０５）、これが許可通知であるか否かを判断し（ステップＳ１０６）、許可通知であれば、端末ＰＣ１１の利用をユーザに開放する（ステップＳ１０７）。すなわち、ユーザは、この後、キーボードＫＢ１１やマウスＭＳ１１を用いて、端末ＰＣ１１を自由に扱い、ユーザに許可されたデータの閲覧やデータの作成などを、端末ＰＣ１１で実行することができる。認証サーバＳＶａ１から許可通知を受け取らなければ、端末ＰＣ１１は、ステップＳ１０５の受信処理を繰り返し、端末ＰＣ１１の操作をユーザに開放しない。

以上で、端末ＰＣ１１と認証サーバＳＶａ１とが行になうユーザのログイン処理（図４、ステップＳ１００）は完了する。ユーザは、端末ＰＣ１１を用いて、文書の作成や閲覧などを行ない、次に所望の文書やシート、あるいは画像などを印刷すべく、印刷指令操作を行なう（ステップＳ２００）。印刷指令操作とは、プリンタＰＲＴ１あるいはプリンタＰＲＴ２に対して印刷出力を指示する操作である。この操作がなされると、端末ＰＣ１１から、印刷を指示したユーザを特定するための認証用データ（印刷者ＩＤ）と共に送信される印刷用のデータは、一旦プリンタサーバＳＶｐ１に、印刷ジョブの形態でスプールされる。

図８は、端末ＰＣ１１が行なう印刷指令処理の一例を示すフローチャートであり。端末ＰＣ１１は、まず印刷指示の入力を受け付ける（ステップＳ２１０）。このときに使用者は、併せて秘匿レベルも入力する。秘匿レベルとは、自分が作成した文書を、どの程度秘匿すべきかを示すセキュリティレベルであり、ここでは、「高」「中」「低」の３段階で指定するものとしている。もとより、秘匿レベルは、「部長以上」「課長以上」などの役職により指定するものとしても良いし、あるいは「権限Ａ」「権限Ｂ」のように、文書にアクセスできる権限により指定するものとしても良い。「社内秘」「社外秘」など、組織単位で付与しても良い。更には、「○年○月○日まで」といった秘匿期間をオプションとして付与することも差し支えない。秘匿レベルの利用については、後述する。

次に、端末ＰＣ１１は、印刷を指示された文書についての印刷ジョブヘッダを生成する処理を行なう（ステップＳ２２０）。印刷ジョブのヘッダには、印刷を指示した日時や支持者の指名、印刷者ＩＤなどの書誌的情報の他に、この文書の印刷をどのような印刷装置で許可するかといった印刷に関する属性を示す印刷ジョブ属性情報が含まれている。印刷ジョブ属性情報の詳細については、後述する。次に端末ＰＣ１１は、印刷データを生成し（ステップＳ２３０）、これをプリンタサーバＳＶｐ１に送信する（ステップＳ２４０）。

端末ＰＣ１１からの印刷データの送信を受けるプリンタサーバＳＶｐ１の処理を、図９に示した。プリンタサーバＳＶｐ１は、端末ＰＣ１１から送信された印刷データを受信し（ステップＳ２５０）、この印刷データからそのヘッダ部を読み取る処理を行なう（ステップＳ２６０）。次にこのヘッダ部に含まれる書誌情報と共に、印刷ジョブ属性情報を抽出する処理を行なう（ステップＳ２７０）。その上で、抽出した印刷ジョブ属性情報と印刷データとを関連づけてスプールする処理を行なう（ステップＳ２８０）。なお、スプールは、印刷データを暗号化した上で、プリンタサーバＳＶｐ１の内部に備えられたハードディスクに保存することによって行なわれる。このとき、暗号化されてスプールされた印刷データは、図１０に示すように、認証用データと対応付けたスプーラ管理テーブルとして記憶される。スプーラ管理テーブルには、図１０に例示したように、印刷ジョブ属性情報も含まれている。

プリンタサーバＳＶｐ１は、後述する印刷認証処理が行なわれるまで、スプールした印刷用のデータを、プリンタＰＲＴ１、ＰＲＴ２などに出力することはない。従って、ユーザが端末ＰＣ１１から印刷の指示を行なっても、直ちにプリンタから印刷結果が出力されることはない。印刷指示操作を完了すると、ユーザは、端末ＰＣ１１からログアウトしてプリンタＰＣＴ１の側に移動する。

端末ＰＣ１１からログアウトしたユーザは、磁気カードＭＣを携えて、印刷を行なうとするプリンタＰＲＴ１またはＰＲＴ２に近づき、印刷認証処理を行なう（ステップＳ３００）。印刷認証処理とは、プリンタ側での認証を経て初めて印刷を可能とする処理であり、機密性の高い文書の印刷や、高性能の印刷機を複数のユーザで共有する場合などに用いられる。ユーザが使用する端末とプリンタとの間の距離が離れている場合に、端末で印刷指示をしてからプリンタ側に到着する前に第三者に機密文書が見られないように、プリンタ側で認証を行なって印刷処理を開始させる処理である。かかる印刷認証処理の詳細は後述するが、ユーザがプリンタＰＲＴ１で、磁気カードＭＣを用いた印刷認証処理を行ない、ユーザの認証が行なわれると、プリンタＰＲＴ１は印刷処理を実行する（図４、ステップＳ４００）。このとき、ユーザが、先に端末ＰＣ１１から印刷を指示し、プリンタサーバＳＶｐ１に暗号化されてスプールされた暗号化済みの印刷データは復号される。復号された印刷データは、ローカルエリアネットワークＬＡＮ１を介してプリンタに送信され、印刷されるのである。なお、復号は、プリンタ側で行なうものとしても良い。

Ｃ．実施例における印刷処理の概要：
本実施例では、印刷に際して、高度なセキュリティを確保するために、後述する認証印刷処理を行なっている。この認証印刷処理について説明する前に、実施例における認証印刷システム１０において、端末ＰＣ１１、認証サーバＳＶａ１、プリンタサーバＳＶｐ１がどのようにデータをやり取りしているかを説明する。図１１は、実施例における認証印刷処理（図４、ステップＳ３００に相当する処理）のうち、基本的なデータのやり取りを中心に示すフローチャートである。この処理は、磁気カードリーダＰＣＲ１を有するプリンタＰＲＴ１における印刷処理（ステップＳ３１１ないし３１８）、プリンタＰＲＴ１からの認証要求を受けて処理を行なう認証サーバＳＶａ１における認証処理（ステップＳ３３１ないし３４０）、印刷の指示を受けてスプールしておいた印刷データをプリンタＰＲＴ１に出力するプリンタサーバＳＶｐ１の印刷データ送信処理（ステップＳ３５１ないし３５７）の協働によって実現される。以下、図１１を参照しつつ、三者の処理を説明する。

端末ＰＣ１１で印刷指令操作を行なったユーザは、プリンタＰＲＴ１からその印刷結果を取り出すべく、プリンタＰＲＴ１の磁気カードリーダＰＣＲ１に自分の磁気カードＭＣを通す。プリンタＰＲＴ１は、この磁気カードＭＣの内容を読み取り（ステップＳ３１１）、読み取った磁気カードＭＣに記録されていた認証用データを、認証サーバＳＶａ１に送信する処理を行なう（ステップＳ３１２）。

プリンタＰＲＴ１は、磁気カードＭＣから読み取った認証用データを、送信先である認証サーバＳＶａ１宛のヘッダを付けてローカルエリアネットワークＬＡＮ１に送信する。従って、認証サーバＳＶａ１は、パケットのヘッダを読み取ることで、この識別情報を含むパケットが自分宛のものであることを認識するとができ、認証用データを受信することができる（ステップＳ３３１）。認証サーバＳＶａ１は、認証用データを受け取ると、認証用データを解析し、これが登録されたユーザの一人を示すものであることを認証する処理を行なう（ステップＳ３３４）。登録されたユーザを示す認証用データであることが確認ができたら（ステップＳ３３５）、認証サーバＳＶａ１は、利用者であるユーザの認証に成功したとして、印刷指示をプリンタサーバＳＶｐ１に送信する処理を行なう（ステップＳ３４０）。なお、認証用データが登録されたユーザのものとして認識できなければ（ステップＳ３３５）、そのまま何も行なわずに処理を終了する。従って、この場合には、印刷指示がプリンタサーバＳＶｐ１に送信されることはない。認証ができなかった場合には、予め定めた異常処理を実行するものとしても良い。異常処理としては、プリンタや各種サーバの動作の中断あるいは停止、また異常発生の報知（警告音、警告表示）などが考えられる。

認証サーバＳＶａ１は、認証が成功した場合には、印刷指示を、プリンタサーバＳＶｐ１を示すヘッダを付けてローカルエリアネットワークＬＡＮ１に送信する（ステップＳ３４０）。印刷指示には、印刷すべきデータを特定する情報の他、印刷者ＩＤ（図７）などを含む認証用データが含まれる。プリンタサーバＳＶｐ１は、パケットのヘッダを読み取ることで、印刷指示を含むパケットが自分宛のものであることを認識することができ、送信された印刷指示に含まれる種々のデータを受信する（ステップＳ３５１）。印刷指示を受け取ったプリンタサーバＳＶｐ１は、ハードディスクの中に、印刷指示に含まれる認証用データが付与され、かつ印刷者ＩＤが一致する印刷用データがスプールされているか否かを判別する処理を行なう（ステップＳ３５２）。図１０に示したように、プリンタサーバＳＶｐ１は、暗号化した印刷用データを認証用データに対応付けて記憶しているので、受け取った認証用データを手がかりに、スプールされている印刷用データを特定し、これを復号する（ステップＳ３５４）。その後プリンタサーバＳＶｐ１は、復号した印刷用データ（図示符号ＰＤ）を、プリンタＰＲＴ１に向けて送信する処理を行なう（ステップＳ３５５）。

ローカルエリアネットワークＬＡＮ１に送信された印刷用データ（ＰＤ）は、プリンタＰＲＴ１宛のヘッダを付けた複数のパケットに分けられているので、プリンタＰＲＴ１は、ローカルエリアネットワークＬＡＮ１からこのパケットを順次受け取り（ステップＳ３１６）、画像データとして再構成した上で、印刷する処理を行なう（ステップＳ３１７）。こうした印刷用データの復号および送信と受信および印刷とは、全ての印刷用データの送信と印刷が完了するまで行なわれる（ステップＳ３１８、Ｓ３５７）。印刷用データの復号・送信、受信・印刷が完了すると、プリンタＰＲＴ１は印刷処理を完了して、再びスタンバイの状態となり、プリンタサーバＳＶｐ１もまた初期状態に復する。

Ｄ．認証印刷処理の詳細：
以上、端末ＰＣ１１，認証サーバＳＶａ１，プリンタサーバＳＶｐ１が実行する基本的な印刷時の処理について説明した。次に、この認証印刷システム１０が実施している高度なセキュリティの確保を目的とする認証印刷処理について説明する。図１２は、プリンタＰＲＴ１，ＰＲＴ２が実行している認証印刷処理の概要を示すフローチャートである。図１１が、三者間のデータのやり取りを中心に、認証印刷処理の概要を示したものであるのに対して、図１２は、セキュリティの確保をプリンタＰＲＴ１，ＰＲＴ２側で実現するために行なわれる処理を詳細に示すものである。

認証印刷処理を開始すると、プリンタＰＲＴ１の制御回路２７は、まず認証処理を実施する（ステップＳ５００）。この処理は、既に説明した図１１のステップＳ３１１，Ｓ３１２の処理のことである。なお、磁気カードリーダなどがセキュリティの低い機器に取り替えられるといった不正に対応するために、磁気カードリーダＰＣＲ１自体を認証する処理を加えることも有用である。認証処理の後、プリンタＰＲＴ１は、自身にハードディスクドライブ（ＨＤＤ）が設置されているか否かの確認を行なう（ステップＳ５１０）。ＨＤＤが装着されているか否かは、制御回路２７により検出され、専用のフラグにセットされているので、フラグの値を参照することにより、容易に判断することができる。

次に制御回路２７は、セキュリティ強度値の算出を行なう（ステップＳ５２０）。セキュリティ強度値とは、このプリンタＰＲＴ１が、情報の漏洩に対して、どの程度の強度を持っているかを数値化したものである。セキュリティ強度値は、例えば図１３に示したテーブルを用いて計算することができる。この例では、プリンタＰＲＴ１におけるハードディスクの扱いと印刷データの暗号化の状況によりセキュリティ強度値を定めるようになっている。すなわち、ハードディスクが装着されていないか、装着されていても印刷データを一時的であっても記憶しない仕様になっていれば、セキュリティ強度値は、最大値（１０）となる。他方、印刷完了後も印刷データをそのままの形態で記憶している場合は、セキュリティ強度値は−５とされる。また印刷データが暗号化された上でハードディスクに保存される場合には、暗号化の強度により、それぞれ３、２、１の値が設定される。ハードディスクの使用方法についての情報がない場合には、「不明」として、最小値（−１０）が設定される。

セキュリティ強度値は、図１３に示したテーブルのみによって決定しても良いが、その他の条件と組み合わせて計算することも可能である。例えば、ハードディスクの取り出しという事態を想定し、プリンタの筐体の開閉のしやすさを数値化したり、プリンタＰＲＴ１に設けられた認証装置（実施例では磁気カードリーダＰＣＲ１）の種類により、数値することもできる。前者の場合、例えば筐体の開閉やハードディスクの取り出しのために専用の錠を開けなければならない場合には、高いセキュリティ強度値とすることが考えられる。また、後者の場合、例えば指紋認証や静脈認証の場合には、セキュリティ強度値を高く設定することが可能である。その上で、セキュリティ強度値を、これらの条件から求められた各数値の合計値として計算する。なお、更に各条件に重み付けを行なって合算するものとしても良い。

こうしてセキュリティ強度値を計算した後、プリンタＰＲＴ１は、認証処理（ステップＳ５００）により認識したユーザの印刷ジョブを、プリンタサーバＳＶｐ１から取得する処理を行なう（ステップＳ５３０）。印刷ジョブ情報は、図１０に示したように、どのユーザが印刷を指示したものが、プリンタサーバＳＶｐ１に保存されているかという情報である。また、この印刷ジョブ情報には、印刷データの秘匿のレベルを示す印刷ジョブ属性情報が含まれている。

次に、プリンタサーバＳＶｐ１の制御回路２７は、このプリンタ自身のセキュリティ強度を判定する処理を行なう（ステップＳ５４０）。セキュリティ強度の判定は、実施例では、ステップＳ５２０で演算したセキュリティ強度値により判定するものとした。この判定のための強度値範囲を、図１４に示した。セキュリティ強度値が、値１０以上の場合にはセキュリティ強度は「強」、値５以上１０未満の場合にはセキュリティ強度は「中」、値５未満の場合には、セキュリティ強度は「弱」と判断する。

セキュリティ強度が「高」、すなわちハードディスクが装着されていないか、装着されていても印刷データを一時的にしか記憶しない場合などでは、プリンタサーバＳＶｐ１に保存されている印刷データを全て印刷して良いとして、プリンタＰＲＴ１に対して認証を行なったユーザが印刷を指示した文書を全て印刷対象とし、その印刷ジョブの印刷データを、プリンタサーバＳＶｐ１から取得する処理を行なう（ステップＳ５５０）。印刷ジョブの特定や印刷データの取得は、図１０に示したテーブルを参照することにより、容易に行なうことができる。印刷データを取得したら、これをもとに印刷処理を実行する（ステップＳ５６０）。これらの処理は、図１１に示したプリンタの処理のステップＳ３１６ないしＳ３１８の処理に相当している。

他方、プリンタのセキュリティ強度が「中」であると判断された場合には（ステップＳ５４０）、制御回路２７は、印刷ジョブ属性情報に含まれる秘匿レベルにより、印刷処理を異ならせるものとして、以下に説明する処理を行なう。なお、印刷ジョブ属性情報に含まれる秘匿レベルは、本実施例では、図１５に示すように、秘匿レベル「高」は、社内外を含めて他者に見られるべきでない内容（例えば給与一覧など）の印刷物であり、秘匿レベル「中」は、社外への流出を阻止すべき内容の印刷物（いわゆる社外秘文書）であり、秘匿レベル「低」は、特に秘匿すべき内容を含まない印刷物であるものとしている。もとより、これ以外の区分基準を採用することも差し支えない。例えば、一定の役職以上にのみ開示するものとして、開示のレベルにより秘匿レベルを格付けすることなどが考えられる。

そこで、秘匿レベルにより印刷処理を異ならせるために、制御回路２７は、まず、プリンタＰＲＴ１に設けられた液晶表示パネルＤＳＰ１に、ダイアローグを表示し、次のメッセージＡを表示する。
メッセージＡ：「このプリンタにはハードディスクが装着されています。印刷を行ないますか？」
また、このメッセージに続けて、選択肢「全て印刷」「秘匿レベル低のみ印刷」「他のプリンタで印刷」「印刷しない」を液晶表示パネルＤＳＰ１に表示する（ステップＳ５７０）。その後、ユーザが、操作パネルＯＰ１を操作して、いずれの選択肢を選択したかを判断する（ステップＳ５８０）。

ユーザが「秘匿レベル低のみ印刷」を選択した場合には、印刷対象を秘匿レベルが「低」のものに限定し（ステップＳ５９０）、秘匿レベル「低」の印刷ジョブの印刷データのみ、プリンタサーバＳＶｐ１から取得し（ステップＳ５５０）、印刷を実行する（ステップＳ５６０）。

他方、ユーザが「他のプリンタで印刷する」を選択した場合は、ネットワークに接続された他のプリンタで印刷を行なう処理（ステップＳ６００）を実行する。また、「印刷しない」を選択した場合には、何らの印刷処理を行なわず、本ルーチンを終了する。他のプリンタで印刷を行なう処理（ステップＳ６００）については、この後、図１６を用いて詳しく説明するが、この処理は、セキュリティ強度が「弱」の場合にも実行される（ステップＳ５４０）。セキュリティ強度がぬ「弱」と判断された場合には、まず液晶表示パネルＤＳＰ１に次のメッセージＢを表示し、その後、他のプリンタでの印刷処理（ステップＳ６００）に移行する。
メッセージＢ：「このプリンタには、ハードディスクが装着されているなど、情報流出の可能性があるため、印刷を行ないません。」
なお、この実施例では、ユーザが選択したプリンタのセキュリティ強度が「弱」の場合には（ステップＳ５４０）、他のプリンタで印刷するものとしたが、この場合には、更に選択肢として、「印刷しない」「他のプリンタで印刷する」を表示し、ユーザに「印刷しない」を選択させるものとすることもできる。

次に、図１６を用いて、他のプリンタでの印刷処理について説明する。他のプリンタでの印刷が指示された場合には、制御回路２７は、他のプリンタを検索する処理を行なう（ステップＳ６１０）。他のプリンタの検索は、制御回路２７が行なうことも可能だが、プリンタサーバＳＶｐ２などが、ネットワークに接続されたプリンタの管理を行なっている場合には、このサーバに問い合わせることにより、容易に検索を行なうことができる。制御回路２７は、検索した結果、ネットワーク上に発見したプリンタから、そのセキュリティ強度値を取得する（ステップＳ６２０）。各プリンタの制御回路は、それぞれ自身のセキュリティ強度値を演算しているので、所定の手続により、このセキュリティ強度値を問い合わせ、各プリンタから送られてきたセキュリティ強度値を取得する。

次に制御回路２７は、発見したプリンタの中に、セキュリティ強度が「強」のプリンタがあるかないかを判断する（ステップＳ６３０）。セキュリティ強度が「強」のプリンタがあれば、制御回路２７は、その液晶表示パネルＤＳＰ１に、メッセージＣを表示する（ステップＳ６４０）。
メッセージＣ：「安全度の高いプリンタがネットワーク上にあります。印刷データを転送して印刷を行ないますか。
該当プリンタの機種名：××××
ＩＰアドレス ：１９２．１６８．１．×
設置場所 ：３階フロア中央」

また、制御回路２７は、このメッセージに続けで、「転送する」「転送しない」という選択肢も表示する。なお、これらの情報が、液晶表示パネルＤＳＰ１の１画面に入り切らない場合には、複数ページを順次切り替えて表示しても良いし、スクロール表示しても良い。なお、転送対象となりうるセキュリティ強度が「高」のプリンタが、ネットワーク上に複数見い出された場合には、これらを全て表示して、ユーザにいずれか一つを選択させても良いし、最もセキュリティ強度値の高いプリンタを選択するものとして良い。あるいは、ユーザが当初印刷対象としたプリンタＰＲＴ１に近接して設置されたプリンタを特定し、これを転送先の候補として表示するものとしても良い。プリンタを管理しているプリンタサーバなどが、プリンタの位置関係を把握していれば、セキュリティ強度値が所定以上のものの中から、最も近くのプリンタを特定し、これを転送先のプリンタとして表示することができる。

次に、ユーザが、操作用パネルＯＰ１を用いて、いずれの選択肢を選択したかを判別し（ステップＳ６５０）、「転送する」が選択された場合には、印刷処理対象とする印刷ジョブの印刷データをプリンタサーバＳＶｐ１から取得し、これを、選択されたプリンタに転送する処理を行なう（ステップＳ６６０）。この場合には、転送される側のプリンタのセキュリティ強度は、十分に高いので、ユーザが、転送先のプリンタで認証を行なうと、直ちに印刷が行なわれる。なお、印刷データについては、セキュリティ強度が「強」でないプリンタが一旦取得するのではなく、プリンタサーバＳＶｐ１に対して、転送先のプリンタを教え、直接、他のプリンタに、プリンタサーバＳＶｐ１から印刷データを転送するものとすることが望ましい。セキュリティ強度が「高」でないプリンタが一旦印刷データを取得して転送する場合には、印刷データは、ハードディスクに保存せず、ＲＡＭにのみ記憶して、順次転送する。

他方、ネットワーク上のプリンタを検索して発見したプリンタの中に、セキュリティ強度が「高」のプリンタがなかった場合には（ステップＳ６３０）、制御回路２７は、液晶表示パネルＤＳＰ１に次のメッセージＤを表示し、その後「ＮＥＸＴ」に抜けて、本ルーチンを終了する。
メッセージＤ：「安全度の高いプリンタは見つかりませんでした。印刷を中止します」
この場合、プリンタＰＲＴ１は、プリンタサーバＳＶｐ１に対して、保存されている印刷ジョブの削除を指示しても良い。もとより、印刷ジョブはそのまま残し、セキュリティ強度の高いプリンタを用意してから、そのプリンタで印刷するものとしても良い。

以上説明した第１実施例の認証印刷装置によれば、認証印刷システム１０において、印刷指示がなされて、ユーザが所定のプリンタで印刷を行なうとしたとき、そのプリンタがハードディスクを装着しているといったセキュリティ強度の低いものであった場合には、印刷を許さず、プリンタのハードディスクからの情報の漏洩という事態が生じにくくなっている。また、セキュリティ強度に応じて、文書の秘匿レベルと組合わせ、一部の文書のみ印刷したり、ネットワーク上のセキュリティ強度の高いプリンタで印刷するなど、柔軟な対応を可能としている。この結果、ハードディスクなどの印刷データを保存したまま取り出せる機器による情報の漏洩といった事態を回避しつつ、使い勝手の良い認証印刷システムを実現することができる。

Ｅ．第１実施例の変形例：
以上説明した第１実施例の変形例について説明する。図１７は、図１１におけるプリンタの処理に対応しており、変形例の処理の要部を示すフローチャートである。図１１と同一の処理については同一の符号（Ｓ３１１、Ｓ３１２）を付した。この例では、プリンタＰＲＴ１は、磁気カードＭＣの読み取りを行なった後、プリンタＰＲＴ１における装着情報を取得する処理を行なう（ステップＳ３２１）。ＭＩＢにより取得した情報を解析して、ハードディスク（ＨＤ）が搭載されているか否かを判断し（ステップＳ３２３）、搭載されていなければ、そのまま通常の印刷処理（ステップＳ３１２以下）を実行する。

他方、ハードディスク（ＨＤ）が搭載されていると判断した場合には、判定処理（ステップＳ３２４）を行なう。判定処理とは、このプリンタで印刷を行なって良いか否かを判断する処理であり、取り外しが簡単でセキュリティの低いハードディスク（例えばＵＳＢ接続の外付けハードディスクなど）が装着されていると判断した場合には、印刷不可と判定するのである。この判定処理を受け、印刷不可の場合には（ステップＳ３２７）、報知処理（ステップＳ３２９）を行なう。他方、ハードディスクが装着されていても、印刷データの保存が行なわれないハードディスクであるといった場合には、印刷可と判断し、通常の印刷処理に復する。

報知処理（ステップＳ３２９）では、このプリンタで印刷を行なわない旨を、プリンタＰＲＴ１の液晶表示パネルＤＳＰ１に表示したり、あるいはブザーなどを鳴動して報知するのである。通常、秘匿すべき印刷データを印刷しようとするユーザは、外付けハードディスクが装着されているようなセキュリティ対策の低いプリンタでは印刷しようとしない筈である。従って、誤って、あるいは故意に、セキュリティ対策の低いプリンタで印刷しようとしている場合には、単なるメッセージの表示と言った対応だけでなく、ブザーの鳴動と言った強い警告を行なうことも望ましい。

かかる変形例によれば、プリンタだけで、印刷の可否を判断するので、構成を簡略化することができる。また、印刷を行なわないと判断した場合には、プリンタＰＲＴ１の液晶表示パネルＤＳＰ１に警告を表示するなどの報知処理を行なうので、ユーザは、印刷できない理由をすぐに認識することができる。ブザーなどを鳴動させれば、情報が漏洩する可能性のある条件での印刷が試みられようとしていることが周囲にも分かるから、不正な印刷の可能性を低減することも可能である。

Ｆ．第２実施例：
以上説明した変形例では、プリンタＰＲＴ１の装着情報に基づく印刷可否の判断を、認証用データの送信より前に行なった。従って、変形例では、認証サーバＳＶａ１やプリンタサーバＳＶｐ１とのやり取りに先立って、ユーザが印刷を行なおうとしたプリンタでの印刷の可否を判断した。これに対して、第２実施例では、図１８、図１９に示すように、印刷可否の判断を認証用データを認証サーバＳＶａ１に送信し、認証サーバＳＶａ１からプリンタサーバＳＶｐ１に対して印刷指示が送信された後で、行なっている。以下、第２実施例の処理の概要について説明する。なお、図１１および図１７と同一の処理については、同一の符号を付し、説明は省略する。

第２実施例では、プリンタＰＲＴ１は、磁気カードＭＣから認証用のデータを読み取ると、これをプリンタサーバＳＶｐ１に送信するので、認証サーバＳＶａ１による認証が行なわれる（図１１、ステップＳ３３４）。この結果、認証がなされると、認証サーバＳＶａ１からプリンタサーバＳＶｐ１に対して、印刷指示が送信される。この印刷指示を受けたプリンタサーバＳＶｐ１は、印刷データの復号処理を行なった後（ステップＳ３５４）、図１９に示すように、印刷ジョブ属性情報ＪＤを送信する処理を行なう（ステップＳ３６１）。この印刷ジョブ属性情報ＪＤの一例を図２０に示した。第２実施例では、印刷ジョブ属性情報には、印刷者ＩＤや印刷データ自体、それにその印刷データの秘匿レベルが含まれている。秘匿レベルは、第２実施例では、「高機密」「低機密」の２種類とした。

この印刷ジョブ属性情報ＪＤは、印刷を行なうとしているプリンタに送信される。そこで、プリンタＰＲＴ１は、この印刷ジョブ属性情報ＪＤを取得し（ステップＳ３２２）、次に、既に取得した装着情報により、このプリンタがハードディスク（ＨＤ）を装着しているか否かの判断を行なう（ステップＳ３２３）。ハードディスク（ＨＤ）が装着されていなければ、プリンタＰＲＴ１は、印刷を行なうとして、印刷データの要求ＲＪを出力する処理を行なう（ステップＳ３２５）。この要求ＲＪを、プリンタサーバＳＶｐ１は受信し（ステップＳ３６３）、正しく要求ＲＪを受信したか判断し（ステップＳ３６５）、正しく受信した場合には（ステップＳ３６５）、印刷データの送信を開始する（ステップＳ３５５）。従って、この場合（プリンタＰＲＴ１にハードディスクが装着されていない場合）には、第１実施例同様、そのまま印刷が行なわれる（ステップＳ３１６ないしＳ３１８）。

他方、プリンタＰＲＴ１にハードディスクが搭載されていると判断された場合には（ステップＳ３２３）、次にプリンタＰＲＴ１は、セキュリティチェックの処理を行なう（ステップＳ３２６）。このセキュリティチェックの処理は、プリンタＰＲＴ１における装着情報と、プリンタサーバＳＶｐ１から受け取った印刷ジョブ属性情報とをつきあわせて、プリンタサーバＳＶｐ１に歩属されているデータをこのプリンタで印刷することがセキュリティチェックの観点から可能か否かを判断する処理である。図２０に示したように、「低機密」とされた文書の場合には、ハードディスクが装着されていても印刷可能という場合がありえるから、これをチェックし、印刷可能と判断した場合には（ステップＳ３２７）、第１実施例の変形例と同様に、そのまま印刷を行なうのである（ステップＳ３１６ないしＳ３１８）。他方、印刷不可と判断された場合には（ステップＳ３２７）、変形例同様、報知処理（ステップＳ３２９）を行ない、印刷は行なわずに処理を終了する。

かかる第２実施例では、プリンタＰＲＴ１とプリンタサーバＳＶｐ１との間でのデータのやり取りは存在するものの、印刷の可否については、プリンタＰＲＴ１側で判断するので、構成を簡略化することができる。また、印刷を行なわないと判断した場合には、プリンタＰＲＴ１の液晶表示パネルＤＳＰ１に警告を表示するなどの報知処理を行なうので、ユーザは、印刷できない理由を直ちに認識することができる。ブザーなどを鳴動させれば、情報が漏洩する可能性のある条件での印刷が試みられようとしていることが周囲にも分かるから、不正な印刷の可能性を低減することも可能である点も、変形例と同様である。

Ｇ．その他の変形例：
図１６に示した他のプリンタでの印刷処理では、他のプリンタとして、セキュリティ強度が「高」のプリンタ、つまり認証印刷処理が制限されないと判断されたプリンタを用いた。これに対して、例えば、ユーザが当初印刷を試みたプリンタと同一機種または性能が同等以上の機種で、かつハードディスクが装着されていないなどの点でセキュリティ強度が高いものを選択してもよい。また、認証印刷処理が制限されないと判断されたプリンタが２台以上見つかった場合には、直ちに印刷可能な状態にあるプリンタを選択するものとしても良い。判断した時点で他の用途に用いられているプリンタや、トナー切れや紙詰まりなどの理由で停止しているプリンタを選択しないものとして、迅速な印刷を可能とすることができる。

もとより、代替用のプリンタは、代替機として予め登録されたものから選択しても良い。更には、認証印刷処理が制限されないと判断されたプリンタであって、ユーザが当初印刷を試みたプリンタに近接して配置されたプリンタを用いることも有用である。

以上本発明のいくつかの実施例および変形例について説明したが、本発明は、これらの実施例・変形例に限定されるものではなく、本発明の要旨を変更しない範囲内で、種々の態様で実施例できことはもちろんである。例えば、実施例では、装着情報として、ハードディスク（ＨＤ）の装着の有無や、装着されたハードディスクのセキュリティ強度などを用いたが、他の機器、例えばＵＳＢメモリなどの装着の有無を装着情報として扱うことも可能である。また、装着情報として、認証用の機器、例えば磁気カードリーダや指紋認証装置などの装着の違いを扱うものとしても良い。

更に、上記実施例では、認証印刷処理のうち、ハードディスクなどの装着の有無や文書の秘匿レベルの高低などの判断は、全てプリンタ側で行なったが、これらの処理は、認証サーバで行なっても良いし、プリンタサーバで行なっても良い。プリンタ以外の装置で判断する場合には、ネットワークを介して、装着情報を予め取得しておけばよい。また、認証印刷の制限としては、上記実施例では、印刷しないという対応を基本としたが、印刷を行なった上で、印刷面に「社外秘」といったウォーターマークを印刷するものとし、その濃度をセキュリティレベルに応じて濃くするといったことも可能である。また、音声合成装置をプリンタに設け、印刷は行なうものの、「○○という文書が印刷されています」と報知を行なうといった対応を採ることも、認証印刷の制限に含まれる。更には、印刷は行なうものの、認証印刷システムの管理者に対して、メールや音声で報知する処理を行ない、セキュリティの低い状態での印刷が特定のプリンタで行なわれており、そのプリンタまで出向いて確認を行なうことを推奨するといった対応も、認証印刷の制限として採用可能である。

本発明の実施例における認証印刷システム１０の構成の一例を示す説明図である。 実施例の端末ＰＣ１１の機能ブロック図である。 実施例のプリンタＰＲＴ１の概略構成を示す説明図である。 実施例における認証印刷処理を示すフローチャートである。 実施例におけるログイン処理を示すフローチャートである。 実施例における認証情報の一例を示す説明図である。 認証処理の内容を示す説明図である。 印刷指令操作に伴って端末側が実行する処理の一例を示すフローチャートである。 印刷指令操作に伴ってプリンタサーバが実行する処理の一例を示すフローチャートである。 スプールされた印刷データを管理するスプーラ管理テーブルの一例を示す説明図である。 実施例における印刷理の概要を示すフローチャートである。 本発明の第１実施例における認証印刷処理の要部を示すフローチャートである。 セキュリティ強度算出用テーブルの一例を示す説明図である。 セキュリティ強度値とセキュリティ強度との関係を示す説明図である。 秘匿レベルの一例を示す説明図である。 認証印刷処理の一部として、他のプリンタで印刷する場合の処理の一例を示すフローチャートである。 第１実施例の変形例おけるプリンタの処理を示すフローチャートである。 第２実施例におけるプリンタ側の処理を示すフローチャートである。 同じくプリンタサーバ側の処理の一例を示すフローチャートである。 印刷ジョブ属性情報の一例をリストとして示す説明図である。

符号の説明

１０…認証印刷システム
１００…ＣＰＵ
１０３…インターフェース回路
１０４…内部バス
１０６…ハードディスクドライブ（ＨＤＤ）
ＢＤ１１…本体
ＣＲ１１…カードリーダ
ＤＳＰ１，ＤＳＰ２…液晶表示パネル
ＫＢ１１…キーボード
ＭＳ１１…マウス
ＬＡＮ１、ＬＡＮ２…ローカルエリアネットワーク
ＯＰ１，ＯＰ２…操作パネル
ＰＣ１１、ＰＣ１２、ＰＣ１３、ＰＣ２１、ＰＣ２２、ＰＣ２３…端末
ＰＲＴ１、ＰＲＴ２…プリンタ
ＳＶｐ１、ＳＶｐ２…プリンタサーバ
ＳＶａ１、ＳＶａ２…認証サーバ
ＰＣＲ１…認証用磁気カードリーダ
ＤＰ１１…ディスプレイ
Ｚ１…第１のネットワーク領域
Ｚ２…第２のネットワーク領域
ＲＴ…ルータ

Claims (18)

1. 予め設定された認証処理を行なってから、外部から印刷データを受け取って印刷する認証印刷処理を実行する認証印刷装置であって、
   予め登録した機器の装着に関する情報である装着情報を取得する装着情報取得部と、
   当該認証印刷装置での印刷の要求を受け付けるとき、前記取得した装着情報を参照し、前記登録された機器に関する前記装着情報に応じて、前記認証印刷処理を制限する認証印刷制限部と
   を備え、
   前記印刷装置に装着される機器は、印刷データを記憶可能な不揮発性記憶媒体を用いた記憶装置であり、前記装着情報は、前記記憶装置の装着の有無を示す情報であり、
   前記認証印刷制限部は、不揮発性記憶媒体を用いた機器が前記印刷装置に装着されていると判断した場合に、前記制限を行なわせる
   認証印刷装置。
2. 更に、認証処理のためのデータを入力する認証用データ入力手段を備えた請求項１記載の認証印刷装置。
3. 請求項２記載の認証印刷装置であって、
   前記認証印刷制限部は、前記制限として、前記認証用データを、前記認証処理を行なう認証処理部に出力させない
   認証印刷装置。
4. 請求項１に記載の認証印刷装置であって、
   前記認証印刷制限部は、前記制限として、前記外部からの印刷データを取得して印刷を行なう印刷ジョブを制限する
   認証印刷装置。
5. 請求項４記載の認証印刷装置であって、
   前記印刷ジョブの制限は、前記外部から印刷データを取得して印刷を実行するために参照する印刷ジョブ属性情報の取得を制限することにより行なわれる
   認証印刷装置。
6. 請求項１ないし請求項５のいずれか記載の認証印刷装置であって、
   更に、情報の報知を行なう報知部を備え、
   前記認証印刷制限部は、前記制限を行なう際、当該制限の実施に関する情報を、前記報知部により報知する
   認証印刷装置。
7. 請求項４記載の認証印刷装置であって、更に、
   前記外部から印刷データを取得して印刷を実行するために参照する情報であり、前記印刷データの秘匿レベルを示す情報を含んだ印刷ジョブ属性情報を取得する印刷ジョブ属性情報取得部と、
   当該認証印刷装置での印刷の要求を受け付けたとき、前記取得した印刷ジョブ属性情報に含まれる前記秘匿レベルを判定する秘匿レベル判定部と、
   前記認証印刷制限部が前記制限を行なう場合には、前記印刷ジョブ属性情報における前記秘匿レベルが所定のレベル以下の印刷ジョブについては、前記印刷データの取得と印刷とを行なう印刷実行部と
   を備えた認証印刷装置。
8. 請求項７記載の認証印刷装置であって、更に、
   前記認証印刷制限部が前記制限を行なう場合には、前記印刷ジョブ属性情報における前記秘匿レベルが所定のレベル以上の印刷ジョブについては、前記印刷データの印刷の続行を利用者に確認させる確認部と、
   該確認が行なわれた場合には、前記印刷データの取得と印刷とを行なう印刷実行部と
   を備えた認証印刷装置。
9. 請求項４記載の認証印刷装置であって、更に、
   前記認証印刷制限部は、前記印刷ジョブの制限として、前記取得した装着情報に基づき、前記印刷ジョブを、当該認証印刷装置以外の印刷装置により実施させる
   認証印刷装置。
10. 印刷要求に対する認証を行なってから印刷を実施する認証印刷システムであって、
    印刷ジョブを受け取り、該印刷ジョブに伴う印刷データによって印刷を行なう複数の印刷装置と、
    前記印刷ジョブに伴う印刷データを保存する印刷データ保存装置と、
    前記印刷装置に対して、前記印刷ジョブによる印刷要求がなされたとき、該印刷要求を認証して、前記印刷装置の一つにより該印刷ジョブを実行させて前記印刷データを印刷させる認証印刷処理を行なう認証装置と
    が、ネットワークを介して接続されており、
    前記印刷装置に装着される機器に関する情報である装着情報を取得する装着情報取得部と、
    前記印刷要求を受け付けるとき、前記取得した装着情報を参照し、前記機器に関する前記装着情報に応じて、前記認証印刷処理を制限する認証印刷制限部と
    を備え、
    前記印刷装置に装着される機器は、印刷データを記憶可能な不揮発性記憶媒体を用いた記憶装置であり、前記装着情報は、前記記憶装置の装着の有無を示す情報であり、
    前記認証印刷制限部は、不揮発性記憶媒体を用いた機器が前記印刷装置に装着されていると判断した場合に、前記制限を行なわせる
    認証印刷システム。
11. 請求項１０記載の認証印刷システムであって、
    前記認証印刷制限部は、前記認証印刷処理の制限として、前記取得した装着情報に基づき、前記印刷要求に対応した印刷ジョブの実行が、一の印刷装置において制限されていると判断したとき、該一の印刷装置以外の他の印刷装置のうち、該他の印刷装置に関する装着情報から、前記認証印刷処理が制限されないと判断された印刷装置によって、前記印刷ジョブを実行させる
    認証印刷システム。
12. 前記他の印刷装置は、
    （ａ）前記認証印刷処理が制限されないと判断された印刷装置であり、かつ前記一の印刷装置と同一機種または性能が同等以上の機種の印刷装置、
    （ｂ）前記認証印刷処理が制限されないと判断された印刷装置であり、かつ印刷可能な状態にある印刷装置、
    （ｃ）前記認証印刷処理が制限されないと判断された印刷装置であり、かつ前記一の印刷装置で印刷できない場合の代替機として予め登録された印刷装置、または
    （ｄ）前記認証印刷処理が制限されないと判断された印刷装置であり、かつ前記一の印刷装置に近接して配置された印刷装置
    のいずれか一つである請求項１１記載の認証印刷システム。
13. ネットワークを介して接続された印刷装置からの求めに応じて認証処理を行なう認証サーバであって、
    前記印刷装置に印刷を行なわせようとする印刷要求に伴って出力され、印刷データを記憶可能な不揮発性記憶媒体を用いた記憶装置として予め登録した機器の当該印刷装置への装着の有無を示す装着情報を含む認証用情報を受け取る認証要求受信部と、
    該受け取った認証用情報を参照し、前記機器に関する前記装着情報に基づいて、不揮発性記憶媒体を用いた機器が前記印刷装置に装着されていると判断した場合には、前記認証処理の少なくとも一部を完了しないことで、前記印刷装置での印刷を制限する認証制限部と
    を備えた認証サーバ。
14. 予め設定された認証処理を行なってから、外部から受け取った印刷データを印刷装置で印刷する認証印刷制御方法であって、
    前記印刷データを記憶可能な不揮発性記憶媒体を用いた記憶装置として予め登録した機器の装着の有無を示す情報である装着情報を取得し、
    前記印刷装置での印刷の要求を受け付けるとき、前記取得した装着情報を参照し、前記登録された機器に関する前記装着情報に基づいて、不揮発性記憶媒体を用いた機器が前記印刷装置に装着されていると判断した場合には、前記認証印刷処理を制限する
    認証印刷制御方法。
15. 印刷要求に対する認証を行なってから印刷を実施する認証印刷方法であって、
    ネットワークを介して接続された端末から、印刷ジョブを、該印刷ジョブに伴う印刷データと共に、ネットワーク上の機器に保存し、
    前記ネットワークに接続された印刷装置に対して、前記印刷ジョブによる印刷要求がなされたとき、前記印刷装置に装着される機器であって、印刷データを記憶可能な不揮発性記憶媒体を用いた記憶装置として予め登録された機器の装着の受けを示す情報である装着情報を含む認証用情報を、前記ネットワーク上の認証サーバに送信し、
    該印刷要求を含む認証用情報を受信した前記認証サーバが、前記取得した装着情報を参照し、前記機器に関する前記装着情報に基づいて、不揮発性記憶媒体を用いた機器が前記印刷装置に装着されていると判断した場合には、前記印刷装置による前記印刷ジョブの実施を制限する
    認証印刷方法。
16. ネットワークを介して接続された印刷装置からの求めに応じて認証処理を行なう方法であって、
    前記印刷装置に印刷を行なわせようとする印刷要求に伴って出力される認証用情報であって、印刷データを記憶可能な不揮発性記憶媒体を用いた記憶装置として予め登録した機器の当該印刷装置への装着の有無を示す情報である装着情報を含む認証用情報を受け取り、
    該受け取った認証用情報を参照し、前記機器に関する前記装着情報に基づいて、不揮発性記憶媒体を用いた機器が前記印刷装置に装着されていると判断した場合には、前記認証処理の少なくとも一部を完了しないことで、前記印刷装置での印刷を制限する
    認証方法。
17. 予め設定された認証処理を行なってから、外部から印刷データを受け取って印刷する認証印刷処理を、コンピュータを有する印刷装置に実行させるプロクラムであって、
    前記印刷データを記憶可能な不揮発性記憶媒体を用いた記憶装置として予め登録した機器の装着の有無を示す情報である装着情報を取得する機能と、
    当該認証印刷装置での印刷の要求を受け付けるとき、前記取得した装着情報を参照し、前記登録された機器に関する前記装着情報に基づいて、不揮発性記憶媒体を用いた機器が前記印刷装置に装着されていると判断した場合には、前記認証印刷処理を制限する機能とを
    前記印刷装置のコンピュータにより実現するプログラム。
18. ネットワークを介して接続された印刷装置からの求めに応じて認証処理を行なう認証サーバにおいて実行されるプログラムであって、
    前記印刷装置に印刷を行なわせようとする印刷要求に伴って出力され、印刷データを記憶可能な不揮発性記憶媒体を用いた記憶装置として予め登録した機器の当該印刷装置への装着の有無を示す情報である装着情報を含む認証用情報を受け取る機能と、
    該受け取った認証用情報を参照し、前記機器に関する前記装着情報に基づいて、不揮発性記憶媒体を用いた機器が前記印刷装置に装着されていると判断した場合には、前記認証処理の少なくとも一部を完了しないことで、前記印刷装置での印刷を制限する機能と
    を認証サーバに実現されるプログラム。

Images