JP4881688B2 - 画像処理装置 - Google Patents

Description

本発明は、ユーザの利用形態にて組み合わせた複数の機能の実行がセキュアな状態であるか否かを判定可能な画像処理装置を提供するものである。

近年、コピー、プリンタ、スキャナ、ＦＡＸ等の画像処理機能で画像処理装置内に取り込まれた文書データのセキュリティに対する関心が高まっている。

例えば、画像処理装置の利用を制限するためにユーザ認証が成功した場合に使用を許可することがなされている。しかし、画像処理装置へのユーザ認証だけでは、一旦、ユーザに使用許可の判定がなされると、コピー、プリンタ、スキャナ、ＦＡＸ等の画像処理機能を使用するための操作種別に関係なく自由に使用することが可能となり、画像処理装置のセキュリティ管理が十分でない等の問題があった。

そのため、ユーザ情報とユーザの画像処理機能への利用要求とに基づいて操作画面をユーザ別に提供することによって、ユーザの画像処理装置への操作を制限することが提案されている（例えば、特許文献１）。ユーザの画像処理機能に対する利用の権限に応じて操作画面が提供されるため、画像処理機能単位でユーザに対する制限を行うことが可能となった。
特開２００４−１６６１１１号公報

しかしながら、上記従来のセキュリティ管理は、ユーザによる操作を画像処理機能単位で制限するもので、画像処理機能がセキュアであるか否かは考慮されていない。例えば、スキャナの使用を許可されたユーザがスキャナで読み取った文書データを画像処理装置内に蓄積してしまうと、スキャナは使用を許可されないがプリンタ又はＦＡＸの使用が許可されるユーザが、蓄積されている文書データをプリント又はＦＡＸして画像処理装置から出力させることができてしまう。

文書データそのものがスキャンされた後にセキュアな状態で画像処理装置内に蓄積されないからである。このように、ユーザの使用権限による制限では、文書データそのものに対するセキュリティを保障することができないと言った問題があった。

そこで、本発明の課題は、ユーザの利用形態にて組み合わせた複数の機能の実行がセキュアな状態であるか否かを判定可能な画像処理装置を提供することである。

上記課題を解決するため、本発明は、複数の機能を組み合わせて実行する画像処理装置であって、組み合わせ可能な機能のセキュアレベルを示す組み合わせ機能テーブルを参照することによって、複数の機能の組み合わせがセキュアな状態であるかセキュアでない状態であるかを判定するセキュア状態判定手段と、ユーザによって選択された複数の機能の組み合わせを画面に表示すると共に、前記セキュア状態判定手段による判定結果を該画面に表示させるＵＩ制御手段と、を有するように構成される。

このような画像処理装置を利用するユーザは、ユーザの利用形態における組み合わせ機能がセキュアな状態であるかセキュアでない状態であるのかを実行する前に認識することができる。

本願発明では、組み合わせられた種々の機能を用いた利用形態に対してセキュアな状態又はセキュアでない状態を提示することができるため、ユーザは実行しようとする組み合わせの機能のセキュア状態を認識することができる。

また、組み合わせの機能が基準のセキュリティ強度を満たしていない場合、ユーザによる実行を抑止するように制御することもできる。

以下、本発明の実施の形態を図面に基づいて説明する。

本発明の一実施例に係る画像処理装置は、プリンタ、ＦＡＸ、コピー等の複数の異なる画像処理機能を含む種々の機能を有すると共に、ユーザの利用形態に合わせてこれら機能を組み合わせて実行することができる装置である。

図１は、本発明の一実施例に係る画像処理装置のハードウェア構成を示すブロック図である。図１において、画像処理装置１００は、コンピュータによって制御される装置であって、ＣＰＵ（中央処理装置）１１と、ＲＯＭ（Read-Only Memory）１２と、ＲＡＭ（Random Access Memory）１３と、不揮発性ＲＡＭ１４と、通信制御装置２１と、ＳＤカードＩ／Ｆ２３と、ハードディスクＩ／Ｆ２４と、エンジンＩ／Ｆ２５と、ＲＳ−２３２Ｃ Ｉ／Ｆ２６と、ドライバ２７とで構成され、システムバスＢに接続される。

ＣＰＵ１１は、ＲＯＭ１２に格納されたプログラムに従って画像処理装置１００を制御する。ＲＡＭ１３には、例えば、各インターフェース２１から２６に接続される資源に領域が割り当てられる。不揮発性ＲＡＭ１４には、画像処理装置１００を制御するためにＣＰＵ１１による処理で必要な情報が格納される。

通信制御装置２１は、ネットワーク２を介してＰＣ（Personal Computer）１０との間の通信制御を行う。ＳＤカードＩ／Ｆ２３には、ＳＤカード３３が接続され、ＳＤカード３３へのデータの格納及びＳＤカード３３からのデータの読み出しが行われる。ハードディスクＩ／Ｆ２４には、ハードディスク３４が接続され、ネットワークを介して送信された印刷すべき文書の文書データ、又は、印刷処理後の画像データがハードディスクＩ／Ｆ２４を介してハードディスク３４に格納される。

エンジンＩ／Ｆ２５には、文書データに基づいて所定媒体に印刷を行うプロッタ３５−１及び画像データを取り込むスキャナ３５−２等が接続される。ＲＳ−２３２Ｃ Ｉ／Ｆ２６には、オペレーションパネル３６が接続され、ユーザへの情報の表示及びユーザから入力情報又は設定情報の取得が行われる。

本発明に係る画像処理装置１００は、図２に示すような機能構成を有する。図２は、本発明に係る画像処理装置の機能構成を示す図である。図２において、画像処理装置１００は、オペレーションパネル３６を制御するためのＵＩ（User Interface）制御部１０２と、画像処理装置１００全体を制御するための制御部１１０と、文書入力部１１２、文書出力部１１４と、文書加工部１１６と、設定管理部１２０と、認証管理部１２１と、セキュア状態判定部１２２と、機能管理部１２４とを有する。

ＵＩ制御部１０２は、オペレーションパネル３６及びＰＣ１０に対して、ユーザが自由に画像処理装置１００の機能をショートカットを用いて組み合わせるための画面表示を制御し、実行可能な順番となった機能の組み合わせを制御部１１０を介して実行する要求を行う処理部である。

コンポーネント管理部１０４は、画像処理装置１００が提供する機能（コンポーネント）に関する情報を管理する処理部である。実行順判定部１０６は、画像処理装置１００が提供する機能の実行順が実現可能であるか否かを判断する処理部である。

制御部１１０は、画像処理装置１００が提供する機能に対する要求を受け付けて、機能の実行状態を管理する処理部である。

文書入力部１１２は、文書データを入力するためにエンジンＩ／Ｆ２５を介してスキャナ３５−２を制御する処理部である。文書出力部１１４は、文書データを出力するためにエンジンＩ／Ｆ２５を介してプロッタ３５−１を制御する処理部である。文書加工部１１６は、文書データを加工する処理部である。

設定管理部１２０は、画像処理装置１００の各機能の設定を管理する処理部である。認証管理部１２１は、ユーザ認証とユーザの権限の確認を行う処理部である。セキュア状態判定部１２２は、ユーザが実行しようとしている組み合わせた機能がセキュアであるか否かを判定する処理部である。機能管理部１２４は、画像処理装置１００が提供する機能に関する情報を管理する処理部である。

本実施例において、セキュアな状態とは、ユーザが組み合わせた機能による一連の処理がセキュリティ基準を満たしている状態である。

本発明に係る画像処理装置１００では、階層化された複数のモジュールを組み合わせることによって一連の処理を行うアプリケーションとして実現する。一連の処理を行うアプリケーションは、複数のクラスの組み合わせによるオブジェクト指向によって定義される。

図３は、画像処理装置における階層化されたモジュールの構成例を示す図である。図３において、画像処理装置１００は、ユーザインタフェースＬ３１と、コントロールＬ３２と、アプリケーションロジックＬ３３と、デバイスサービスＬ４１と、デバイスＬ４２と、アスペクトＬ５１とでなる階層構造を有する。

ユーザインタフェースＬ３１は、ユーザ操作に応じたユーザインタフェースを提供するための、ローカルＵＩ３１１、リモートＵＩ３１２、通信サーバ３１３等のモジュールで構成される。図２のＵＩ制御部１０２がローカルＵＩ１０２に相当する。

コントロールＬ３２は、上位層としてのユーザインタフェースＬ３１からの要求を受けて、下位層としてのアプリケーションロジックＬ３３のモジュールを組み合わせて要求に応じた一連の処理を制御するための、プラグイン管理３２１、機内監視３２２、リクエスト管理３２３、セッション管理３２４等のモジュールで構成される。

図２の機能管理部１２４がプラグイン管理３２１に相当し、セキュア状態判定部１２２が機内監視３２２に相当し、制御部１１０がリクエスト管理３２３に相当する。また、認証管理部１２０が、セッション管理３２４と、後述するアクセス制御５１１とに相当する。

アプリケーションロジックＬ３３は、組み合わせることによって一連の処理となる、読取３３１、保管文書読出３３２、メール受信３３３、ＦＡＸ受信３３４、ＰＣ文書受信３３５、レポート３３６、文書加工３３７、印刷３３８、保管文書登録３３９、メール送信３４０、ＦＡＸ送信３４１、ＰＣ文書送信３４２、プレビュー３４３、文書変換３４４等のモジュールで構成される。

読取３３１、保管文書読出３３２、メール受信３３３、ＦＡＸ受信３３４、ＰＣ文書受信３３５、及びレポート３３６は入力機能（入力フィルタ）として動作するモジュールであり、印刷３３８、保管文書登録３３９、メール送信３４０、ＦＡＸ送信３４１、ＰＣ文書送信３４２、及びプレビュー３４３は出力機能（出力フィルタ）として動作するモジュールであり、文書加工３３７及び文書変換３４４は、必要に応じて実行されるモジュールである。

図２の文書入力部１１２は読取３３１に相当し、文書出力部１１４は印刷３３８に相当し、文書加工部１１６は文書加工３３７に相当する。

アプリケーションロジックＬ３３は、更に、所定情報へのアクセスを行うための、書誌情報３５１、ユーザ情報３５２、アクティビティ定義３５３、設定情報３５４、履歴情報３５５、課金情報３５６、表示定義３５７、装置情報３５８等のモジュールで構成される。

デバイスサービスＬ４１は、各デバイスに関する情報及び各デバイスを動作させるための情報を管理するための、通信クライアント４１１、ＤＢＭＳ４１２、データ管理４１３、画像パイプ４１４、画像認識４１５等のモジュールで構成される。

デバイスＬ４２は、上位層としてのデバイスサービスＬ４１からの要求に応じて各デバイスを制御するための、操作部デバイス４２１、ネットワーク４２２、ＴＥＬ回線４２３、ＩＰＵ４２４、メモリ４２５、プロッタ４２６、スキャナ４２７等のモジュールで構成される。

アスペクトＬ５１は、ユーザインタフェースＬ３１、コントロールＬ３２、アプリケーションロジックＬ３３、デバイスサービスＬ４１、デバイスＬ４２から共有に利用され、画像処理装置１００の利用状態を制御及び管理するための、アクセス制御５１１、履歴５１２、課金５１３等のモジュールで構成される。

図２の認証管理部１２０の一部がアクセス制御５１１に相当する。

複数の機能が組み合わされることによるセキュアな状態及びセキュアでない態について図４、図５及び図６で説明する。図４から図６において、機能６ａ、機能６ｂ及び機能６ｃは、機能６ａ、機能６ｂ、機能６ｃ、機能７ａ、及び機能７ｂは、予め用意された組み合わせ可能な機能（フィルタ）である。

例えば、図４に示すように、基準となるセキュリティ強度に基づいて、機能６ａ、機能６ｂ及び機能６ｃがセキュアな機能６として分類され、機能７ａ及び機能７ｂがセキュアでない機能７として分類される。

図５は、セキュア状態が同じ機能同士の組み合わせ例を示す図である。図５において、セキュアな機能同士の組み合わせ６０として、セキュアな機能６ａの実行後にセキュアな機能６ｂを実行するような組み合わせがある。また、セキュアでない機能同士の組み合わせ７０として、セキュアでない機能７ａの実行後にセキュアでない機能７ｂを実行するような組み合わせがある。

図６は、セキュア状態が異なる機能同士の組み合わせ例を示す図である。図６において、セキュアな機能とセキュアでない機能の組み合わせ６１として、セキュアな機能６ｃ、セキュアでない機能７ａ、セキュアでない機能７ｂの順に実行する組み合わせがある。

セキュアな機能とセキュアでない機能の組み合わせ６２として、セキュアでない機能７ａ、セキュアな機能６ａ、セキュアな機能６ｂの順に実行する組み合わせがある。

セキュアな機能とセキュアでない機能の組み合わせ６３として、セキュアでない機能７ａ、セキュアな機能６ａ、セキュアでない機能７ｂの順に実行する組み合わせがある。

セキュアな機能とセキュアでない機能の組み合わせ６４として、セキュアな機能６ｃ、セキュアでない機能７ａ、セキュアな機能６ｂの順に実行する組み合わせがある。

上述したような機能の組み合わせにおけるセキュア状態に応じた制御を実現するために、画像処理装置１００は、図７に示すような組み合わせ可能な機能のセキュアレベルを示す組み合わせ機能テーブル８０を備える。図７は、組み合わせ機能テーブルの例を示す図である。

図７に示す組み合わせ機能テーブル８０は、機能（フィルタ）のカテゴリ、組み合わせるために選択可能な機能を示す選択肢、機能のセキュアレベル等の項目で構成される。

カテゴリとして、文書入力、文書出力、文書加工等がある。セキュアレベルは、５段階の「１」から「５」で示され、セキュアレベル「１」が最も低く、セキュアレベル「５」が最も高いことを意味する。

文書入力の選択肢として、スキャン（改竄検知なし）、スキャン（改竄検知あり）、DocumentBox読出（非暗号化）、DocumentBox読出（暗号化）、ＳＤカード読出（非暗号化）、ＳＤカード読出（暗号化）、ｅ−ｍａｉｌ受信（非暗号化）、ｅ−ｍａｉｌ受信（暗号化）等が管理され、夫々のセキュアレベルは「３」、「５」、「２」、「５」、「１」、「５」、「１」、「５」であることが示される。

文書出力の選択肢として、印刷（改竄防止地紋なし）、印刷（改竄防止地紋あり）、DocumentBox保存（非暗号化）、DocumentBox保存（暗号化）、ＳＤカード保存（非暗号化）、ＳＤカード保存（暗号化）、ＦＡＸ送信、ｅ−ｍａｉｌ送信（非暗号化）、ｅ−ｍａｉｌ送信（暗号化）等が管理され、夫々のセキュアレベルは「３」、「５」、「２」、「５」、「１」、「５」、「１」、「１」、「５」であることが示される。

文書加工の選択肢として、回転、変倍、スタンプ、ＯＣＲ（外部サーバ使用）、追跡情報埋め込み等が管理され、夫々のセキュアレベルは「３」、「３」、「３」、「１」、「５」であることが示される。

このような組み合わせ機能テーブル８０に基づいて、ユーザの操作による機能の組み合わせに対する画面例について、図８から図１１で説明する。図８、図９、図１０及び図１１は、セキュア状態に応じた画面例を示す図である。

図８（Ａ）に示す画面Ｇ３００は、スキャン、スタンプ、ＨＤＤ保存の順の機能の組み合わせがセキュアな状態で利用できる場合の画面であり、「実行できます（セキュアモード）」を示す。図８（Ｂ）に示す画面Ｇ３０１は、スキャン、スタンプ、ＳＤカード保存の順の機能の組み合わせにおいて、ＳＤカードがセキュアな機能でないため非セキュアモード表示となった場面であり、「実行できます（非セキュアモード）」を示す。

図９（Ａ）に示す画面Ｇ３０２は、スキャン、スタンプ、ＳＤカード保存の順の機能の組み合わせにおいて、ＳＤカードがセキュアな機能でないため非セキュアモード表示となった場面であり、「実行できます（非セキュアモード）」を示し、かつ、ユーザが実行ボタンを押下した際に、警告画面３０２ａを表示する。例えば、警告画面３０２ａには、「セキュリティ強度が十分でない機能が組み合わされています。実行する前にセキュリティ上問題が無いことを確認してください。」などのメッセージが表示される。

図９（Ｂ）に示す画面Ｇ３０３は、スキャン、スタンプ、ＳＤカード保存の順の機能の組み合わせにおいて、ＳＤカードがセキュアな機能でないため非セキュアモード表示となった場面であり、「実行できません（非セキュアモード）」を示し、かつ、実行ボタン３０３ａが非アクティブになるように制御され、ユーザが実行ボタン３０３ａを押下したとしても機能は実行されない。

図１０（Ａ）に示す画面Ｇ３０４は、スキャン、スタンプ、ＳＤカード保存の順の機能の組み合わせにおいて、ＳＤカードがセキュアな機能でないため非セキュアモード表示となった場面であり、「実行できます（非セキュアモード）」を示すが、ユーザが実行ボタンを押下した場合には、警告画面３０４ａが表示される。例えば、警告画面３０４ａには、「この機能はセキュリティ強度が十分でない機能が組み合わされているため実行できません。」などのメッセージが表示される。実際にユーザが実行しようとした場合にはユーザ操作が禁止される。

図１０（Ｂ）に示す画面Ｇ３０５は、スキャン、スタンプ、ＳＤカード保存の順の機能の組み合わせにおいて、ＳＤカードがセキュアな機能でないため非セキュアモード表示となった場面であり、「実行できます（非セキュアモード）」を示すが、ユーザが実行ボタンを押下した場合には、警告画面３０５ａが表示される。例えば、警告画面３０５ａには、「セキュリティ強度が十分でない機能が組み合わされています。実行を継続しますか？」などのメッセージが表示される。ユーザが実行ボタンを押下した際に、そのまま実行を継続するか否かの選択がユーザに促される。

図１１（Ａ）に示す画面Ｇ３０６は、スキャン、スタンプ、ＳＤカード保存の順の機能の組み合わせにおいて、ＳＤカードがセキュアな機能でないため非セキュアモード表示となった場面であり、「実行できます（非セキュアモード）」を示すが、ユーザが実行ボタンを押下した場合には、警告画面３０６ａが表示される。例えば、警告画面３０６ａには、「セキュリティ強度が十分でない機能が組み合わされています。「ＳＤカード保存」機能を「ＳＤカード暗号化ＰＤＦ保存」に変更することをお勧めします。変更しますか？」などのメッセージが表示される。ユーザは、セキュアな機能への変更を選択することができる。

図１１（Ｂ）に示す画面Ｇ３０７は、機能の組み合わせがセキュアでない場合、「実行できます（非セキュアモード）」を示すが、ユーザがセキュリティ関連の設定変更の権限を持っている場合には、ユーザに一時的に利用を許可するために管理者認証の画面Ｇ３０７ａを表示する。例えば、画面Ｇ３０７ａには、「セキュリティ強度が十分でない機能を実行しようとしています。権限を確認するため、管理者のＩＤとパスワードを入力してください。」などのメッセージが表示される。ユーザが管理者としてのＩＤとパスワードを入力し、認証が成功した場合、機能の組み合わせを実行することができる。

次に、機能の組み合わせにおけるセキュア状態に応じて制御するためのシーケンスについて図１２から図１６で説明する。図１２から図１６において、画像処理装置１００のオペレーションパネル３６からユーザ操作がなされる場合でシーケンスが説明されるが、ユーザがＰＣ１０から画像処理装置１００に対して組み合わせる機能を追加する場合も同様である。

図１２は、組み合わせ機能の追加によりセキュアな状態からセキュアでない状態に変わった場合のシーケンスを示す図である。図１２において、画像処理装置１００のオペレーションパネル３６でのユーザの操作によって組み合わせ機能が追加されると、オペレーションパネル３６は、組み合わせ機能追加要求をＵＩ制御部１０２へ送信する（ステップＳ１０１）。

オペレーションパネル３６からの組み合わせ機能追加要求に応じて、ＵＩ制御部１０２は、組み合わせ機能追加要求を機能管理部１２４へ送信する（ステップＳ１０２）。機能管理部１２４は、セキュア状態を判定するために、セキュア状態判定依頼をセキュア状態判定部１２２へ送信する（ステップＳ１０３）。

セキュア状態判定部１２２は、機能管理部１２４からのセキュア状態判定依頼に応じて、組み合わせ管理テーブル８０を用いて組み合わせ機能がセキュアな状態であるのか否かを判定する（ステップＳ１０４）。セキュア状態判定部１２２は、判定結果を示すセキュア状態通知を機能管理部１２４へ送信する（ステップＳ１０５）。この場合、判定結果はセキュアな状態であるとする。

機能管理部１２４は、セキュア状態判定部１２２から受信したセキュア状態通知をＵＩ制御部１０２へ送信する（ステップＳ１０６）。ＵＩ制御部１０２は、セキュア状態通知によってセキュアな状態であることが通知された場合、オペレーションパネル３６にセキュアモードで表示するようにセキュアモード表示指示を行う（ステップＳ１０７）。

オペレーションパネル３６は、ユーザによって更に組み合わせ機能が追加されると、組み合わせ機能追加要求をＵＩ制御部１０２へ送信する（ステップＳ１０８）。ＵＩ制御部１０２は、組み合わせ機能追加要求を機能管理部１２４へ送信する（ステップＳ１０９）。機能管理部１２４は、セキュア状態を判定するために、セキュア状態判定依頼をセキュア状態判定部１２２へ送信する（ステップＳ１１０）。

セキュア状態判定部１２２は、機能管理部１２４からのセキュア状態判定依頼に応じて、組み合わせ管理テーブル８０を用いて組み合わせ機能がセキュアな状態であるのか否かを判定する（ステップＳ１１１）。セキュア状態判定部１２２は、判定結果を示すセキュア状態通知を機能管理部１２４へ送信する（ステップＳ１１２）。この場合、判定結果はセキュアでない状態（非セキュアな状態）であるとする。

機能管理部１２４は、セキュア状態判定部１２２から受信したセキュア状態通知をＵＩ制御部１０２へ送信する（ステップＳ１１３）。ＵＩ制御部１０２は、セキュア状態通知によって非セキュアな状態であることが通知された場合、オペレーションパネル３６に非セキュアモードで表示するように非セキュアモード表示指示を行う（ステップＳ１１４）。

図１３は、セキュアでない状態でユーザが実行しようとした場合にユーザ操作を禁止するシーケンスを示す図である。図１３中、図１２に示す同様の処理には同一符号を付し、その説明を省略する。

図１３において、画像処理装置１００のオペレーションパネル３６でのユーザの操作によって追加された組み合わせ機能が非セキュアである旨がオペレーションパネル３６に表示された後（ステップＳ１０１からＳ１１４）、ユーザがその組み合わせ機能の実行を試みると、オペレーションパネル３６は実行要求をＵＩ制御部１０２に送信する（ステップＳ１１５）。

ＵＩ制御部１０２は、非セキュアな組み合わせ機能に対する実行要求を受信すると、警告を表示するためにオペレーションパネル３６へ警告表示指示を送信する（ステップＳ１１６）。ステップＳ１１６にて、例えば、図９（Ａ）に示す警告画面３０２ａ又は図１０（Ａ）に示す警告画面３０４ａなどがオペレーションパネル３６に表示される。

図１４は、セキュアでない状態での実行の継続をユーザに判断させるシーケンスを示す図である。図１４中、図１２及び図１３に示す同様の処理には同一符号を付し、その説明を省略する。

図１４において、セキュアでない組み合わせ機能の実行要求に対する警告表示がオペレーションパネル３６に表示され（ステップＳ１０１からＳ１１６）、ユーザが実行を継続する操作を行うと、オペレーションパネル３６は、実行継続要求をＵＩ制御部１０２へ送信する（ステップＳ１１７）。ステップＳ１１６では、例えば、図１０（Ｂ）に示す警告画面３０５ａなどがオペレーションパネル３６に表示される。

ＵＩ制御部１０２は、オペレーションパネル３６からの実行継続要求に応じて、実行要求を制御部１１０へ送信する（ステップＳ１１８）。

図１５は、セキュアでない状態の組み合わせ機能に対してセキュアな代替機能を提案するシーケンスを示す図である。図１５中、図１２から図１４に示す同様の処理には同一符号を付し、その説明を省略する。

図１５において、組み合わせ機能が非セキュアモードで表示された画面からユーザが実行を要求すると（ステップＳ１０１からＳ１１５）、ＵＩ制御部１０２は、代替機能を検索するために代替機能検索要求を機能管理部１２４へ送信する（ステップＳ１２１）。

機能管理部１２４は、代替機能を検索した検索結果を示す代替機能検索結果通知をＵＩ制御部１０２へ送信する（ステップＳ１２２）。この場合、検索結果は検索された代替機能の情報を含むことによって代替機能ありを示す。

ＵＩ制御部１０２は、代替機能ありの検索結果を機能管理部１２４からの代替機能検索結果通知によって取得すると、代替機能の情報に基づいて代替機能表示指示をオペレーションパネル３６に送信する（ステップＳ１２３）。ステップＳ１２３にて、代替機能表示指示に応じて、オペレーションパネル３６は、例えば、図１１（Ａ）に示す警告画面３０６ａなどを表示し、ユーザが警告画面３０６ａから代替機能への変更を選択すると、オペレーションパネル３６は、代替機能による実行継続要求をＵＩ制御部１０２へ送信する（ステップＳ１２４）。

ＵＩ制御部１０２は、代替機能による実行を要求するために、実行要求を制御部１１０へ送信する（ステップＳ１２５）。

図１６は、管理者権限の確認後に組み合わせ機能を実行するシーケンスを示す図である。図１６中、図１２から図１５に示す同様の処理には同一符号を付し、その説明を省略する。

図１６において、組み合わせ機能が非セキュアモードで表示された画面からユーザが実行を要求すると（ステップＳ１０１からＳ１１５）、ＵＩ制御部１０２は、管理者を認証するための画面を表示するために、管理者認証画面表示指示をオペレーションパネル３６に行う（ステップＳ１３１）。ステップＳ１３１にて、例えば、図１１（Ｂ）に示す警告画面３０７ａなどがオペレーションパネル３６に表示される。

ユーザがオペレーションパネル３６から管理者としてのＩＤ及びパスワードを入力すると、オペレーションパネル３６は、管理者認証要求をＵＩ制御部１０２へ送信する（ステップＳ１３２）。

ＵＩ制御部１０２は、管理者認証を行うために、管理者認証要求を認証管理部１２１へ送信する（ステップＳ１３３）。認証管理部１２１は、管理者認証を行い（ステップＳ１３４）、その認証結果をＵＩ制御部１０２へ送信する（ステップＳ１３５）。

ＵＩ制御部１０２は、認証管理部１２１からの認証結果通知が認証の成功を示す場合、オペレーションパネル３６へ管理者を認証するための画面を解除する管理者認証画面解除指示を行う（ステップＳ１３６）。また、ＵＩ制御部１０２は、実行要求を制御部１１０へ送信する（ステップＳ１３７）。

次に、セキュア状態判定部１２２がセキュア状態を判定する基準について図１７で説明する。図１７は、セキュア状態の判定基準を示す図である。図１７において、セキュア状態判定部１２２は、全てセキュアな機能を組み合わせている場合をパターン（１）、１つでもセキュアな機能が含まれている場合をパターン（２）、最初がセキュアな機能である場合をパターン（３）、最後がセキュアな機能である場合をパターン（４）、そして、最初と最後が共にセキュアな機能である場合をパターン（５）として、図１８に示す処理フローに従って、機能の組み合わせ方による各パターンに対応した制御を行う。

図１８は、セキュア状態判定処理を説明するためのフローチャート図である。図１８において、セキュア状態判定部１２２は、先ず、セキュア状態判定依頼があるか否かを判断する（ステップＳ２０１）。セキュア状態判定依頼がない場合、待ち状態となる。

セキュア状態判定依頼がある場合、セキュア状態判定部１２２は、セキュア状態判定依頼から対象となる機能の組み合わせを取得する（ステップＳ２０２）。

セキュア状態判定部１２２は、機能の組み合わせがセキュリティレベルから判定基準のパターン（４）であるか否かを判断する（ステップＳ２０３）。判定基準のパターン（４）である場合、セキュア状態判定部１２２は、組み合わせた機能による処理がセキュアな状態であること判定するためのターゲットを先頭の機能に設定して（ステップＳ２０３−２）、ステップＳ２０５へと進む。一方、判定基準のパターン（４）ではない場合、セキュア状態判定部１２２は、ターゲットを最後の機能に設定する（ステップＳ２０４）。

そして、セキュア状態判定部１２２は、基準となるセキュリティ強度を取得する（ステップＳ２０５）。基準となるセキュリティ強度は、画像処理装置１００が処理を実行する際に要求される画像処理装置１００又は機能毎に対して予め設定された基準である。

次に、セキュア状態判定部１２２は、ターゲット機能のセキュリティ強度を取得して（ステップＳ２０６）、基準となるセキュリティ強度以上であるか否かを判断する（ステップＳ２０７）。

ステップＳ２０７において、ターゲット機能のセキュリティ強度が基準となるセキュリティ強度以上である場合、セキュア状態判定部１２２は、更に、機能の組み合わせが判定基準のパターン（１）であるか否かを判断する（ステップＳ２０８）。

ステップＳ２０８において、機能の組み合わせが判定基準のパターン（１）でない場合、セキュア状態判定部１２２は、機能の組み合わせが判定基準のパターン（２）から（４）のうちの１つであるあるか否かを判断する（ステップＳ２０８−２）。

ステップＳ２０８−２において、機能の組み合わせが判定基準のパターン（２）から（４）のうちの１つである場合、セキュア状態判定部１２２は、セキュアであるという判定結果を通知し（ステップＳ２１９）、セキュア状態判定処理を終了する。一方、機能の組み合わせが判定基準のパターン（２）から（４）のいずれでもない場合、つまり、判定基準のパターン（５）である場合、セキュア状態判定部１２２は、ターゲットとして最後の機能が設定されているか否かを判断する（ステップＳ２０８−４）。ターゲットとして最後の機能が設定されている場合、セキュア状態判定部１２２は、セキュアであるという判定結果を通知し（ステップＳ２１９）、セキュア状態判定処理を終了する。一方、ターゲットとして最後の機能が設定されていない場合、セキュア状態判定部１２２は、ターゲットとして最後の機能を設定して（ステップＳ２０８−６）、ステップＳ２０６へ戻る。

一方、ステップＳ２０８において、機能の組み合わせが判定基準のパターン（１）である場合、セキュア状態判定部１２２は、全ての機能に対して確認が終了したか否かを判断する（ステップＳ２０９）。全ての機能に対して確認が終了していない場合、セキュア状態判定部１２２は、ターゲットを次ぎに実行する機能に進めて（ステップＳ２１０）、ステップＳ２０６へ戻る。一方、全ての機能に対して確認が終了している場合、セキュア状態判定部１２２は、セキュアであるという判定結果を通知し（ステップＳ２１９）、セキュア状態判定処理を終了する。

ステップＳ２０７において、ターゲット機能のセキュリティ強度が基準となるセキュリティ強度未満である場合、セキュア状態判定部１２２は、更に、機能の組み合わせが判定基準のパターン（２）であるか否かを判断する（ステップＳ２２１）。機能の組み合わせが判定基準のパターン（２）でない場合、セキュア状態判定部１２２は、非セキュアであるという判定結果を通知し（ステップＳ２２９）、セキュア状態判定処理を終了する。

ステップＳ２１１において、機能の組み合わせが判定基準のパターン（２）である場合、セキュア状態判定部１２２は、全ての機能に対して確認が終了したか否かを判断する（ステップＳ２２２）。ステップＳ２２２において、全ての機能に対して確認が終了していない場合、セキュア状態判定部１２２は、ターゲットを次ぎに実行する機能に進めて（ステップＳ２１０）、ステップＳ２０６へ戻る。一方、全ての機能に対して確認が終了した場合、セキュア状態判定部１２２は、非セキュアであるという判定結果を通知し（ステップＳ２２９）、セキュア状態判定処理を終了する。

図１９は、利用形態の概念図である。図１９において、ユーザは、画像処理装置１００を操作して種々の機能を個々に又は組み合わせて利用する。ユーザから見た機能として、ネットワーク２を利用した情報資産の送信及び受信、ハードディスク３４を利用した情報資産の書き込み及び読出し、スキャナ３５−１による情報資産の読み取り及びプロッタ３５−２による情報資産の印刷などが個々の機能として操作でき、また、組み合わせて操作することができる。

ネットワーク２、ハードディスク３４、スキャナ３５−１、及びプロッタ３５−２等のデバイス（Ｉ／Ｆ）は、電子文書、ログ、設定情報、ユーザ情報、紙文書などの情報資産を操作する。

上述したような仕組みによって、画像処理装置１００は、組み合わせられた種々の機能を用いた利用形態に対してセキュアな状態又はセキュアでない状態を提示することができるため、ユーザは実行しようとする組み合わせの機能のセキュア状態を認識することができる。

また、組み合わせの機能が基準のセキュリティ強度を満たしていない場合、ユーザによる実行を抑止するように制御することもできる。

本発明は、具体的に開示された実施例に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。

本発明の一実施例に係る画像処理装置のハードウェア構成を示すブロック図である。 本発明に係る画像処理装置の機能構成を示す図である。 画像処理装置における階層化されたモジュールの構成例を示す図である。 セキュア状態に基づく分類例を示す図である。 セキュア状態が同じ機能同士の組み合わせ例を示す図である。 セキュア状態が異なる機能同士の組み合わせ例を示す図である。 組み合わせ機能テーブルの例を示す図である。 セキュア状態に応じた画面例を示す図である（その１）。 セキュア状態に応じた画面例を示す図である（その２）。 セキュア状態に応じた画面例を示す図である（その３）。 セキュア状態に応じた画面例を示す図である（その４）。 組み合わせ機能の追加によりセキュアな状態からセキュアでない状態に変わった場合のシーケンスを示す図である。 セキュアでない状態でユーザが実行しようとした場合にユーザ操作を禁止するシーケンスを示す図である。 セキュアでない状態での実行の継続をユーザに判断させるシーケンスを示す図である。 セキュアでない状態の組み合わせ機能に対してセキュアな代替機能を提案するシーケンスを示す図である。 管理者権限の確認後に組み合わせ機能を実行するシーケンスを示す図である。 セキュア状態の判定基準を示す図である。 セキュア状態判定処理を説明するためのフローチャート図である。 利用形態の概念図である。

符号の説明

２ ネットワーク
１０ ＰＣ
１１ ＣＰＵ
１２ ＲＯＭ
１３ ＲＡＭ
１４ 不揮発性ＲＡＭ
２１ 通信制御装置
２３ ＳＤカードＩ／Ｆ
２４ ハードディスクＩ／Ｆ
２５ エンジンＩ／Ｆ
２６ ＲＳ−２３２Ｃ Ｉ／Ｆ
３３ ＳＤカード
３４ ハードディスク
３５−１ プロッタ
２５−２ スキャナ
３６ オペレーションパネル３６
１００ 画像処理装置
１０２ ＵＩ制御部
１１０ 制御部
１１２ 文書入力部
１１４ 文書出力部
１１６ 文書加工部
１２０ 設定管理部
１２１ 認証管理部
１２２ セキュア状態判定部
１２４ 機器管理部
Ｌ３１ ユーザインタフェース
Ｌ３２ コントロール
Ｌ３３ アプリケーションロジック
Ｌ４１ デバイスサービス
Ｌ４２ デバイス
Ｌ５１ アスペクト

Claims (13)

1. 複数の機能を組み合わせて実行する画像処理装置であって、
   組み合わせ可能な機能のセキュアレベルを示す組み合わせ機能テーブルを参照することによって、複数の機能の組み合わせがセキュアな状態であるかセキュアでない状態であるかを判定するセキュア状態判定手段と、
   ユーザによって選択された複数の機能の組み合わせを画面に表示すると共に、前記セキュア状態判定手段による判定結果を該画面に表示させるＵＩ制御手段と、
   を有することを特徴とする画像処理装置。
2. 前記セキュア状態判定手段は、前記組み合わせ機能をセキュアな機能とセキュアでない機能とに分類して、該組み合わせ機能の組み合わせ方で前記セキュアな状態であるか否かを判定することを特徴とする請求項１記載の画像処理装置。
3. 前記セキュア状態判定手段は、前記組み合わせ機能が全てセキュアな機能の組み合わせである場合、前記セキュアな状態であると判定することを特徴とする請求項２記載の画像処理装置。
4. 前記セキュア状態判定手段は、前記組み合わせ機能に少なくとも１つセキュアな機能が組み合わされている場合、前記セキュアな状態であると判定することを特徴とする請求項２記載の画像処理装置。
5. 前記セキュア状態判定手段は、前記組み合わせ機能で最初に実行される機能がセキュアな機能である場合、前記セキュアな状態であると判定することを特徴とする請求項２記載の画像処理装置。
6. 前記セキュア状態判定手段は、前記組み合わせ機能で最後に実行される機能がセキュアな機能である場合、前記セキュアな状態であると判定することを特徴とする請求項２記載の画像処理装置。
7. 前記セキュア状態判定手段は、前記組み合わせ機能で最初と最後に実行される機能が共にセキュアな機能である場合、前記セキュアな状態であると判定することを特徴とする請求項２記載の画像処理装置。
8. 前記セキュア状態判定手段によって前記組み合わせ機能が前記セキュアでない状態と判断した場合、該セキュアな状態でないことを表示するように制御する制御手段を有することを特徴とする請求項１乃至７のいずれか一項記載の画像処理装置。
9. 前記セキュア状態判定手段によって前記組み合わせ機能が前記セキュアでない状態と判断した場合、該組み合わせ機能の実行を禁止するように制御する制御手段を有することを特徴とする請求項１乃至７のいずれか一項記載の画像処理装置。
10. 前記セキュア状態判定手段によって前記組み合わせ機能が前記セキュアでない状態と判断した場合、該組み合わせ機能の実行をユーザに確認させるように制御する制御手段を有することを特徴とする請求項１乃至７のいずれか一項記載の画像処理装置。
11. 前記セキュア状態判定手段によって前記組み合わせ機能が前記セキュアでない状態と判断した場合、該組み合わせ機能の少なくとも１つを代替となるセキュアな機能をユーザに変更させるように制御する制御手段を有することを特徴とする請求項１乃至７のいずれか一項記載の画像処理装置。
12. 前記セキュア状態判定手段によって前記組み合わせ機能が前記セキュアでない状態と判断した場合、ユーザの権限に応じて該ユーザによる該組み合わせ機能の実行を許可するように制御する制御手段を有することを特徴とする請求項１乃至７のいずれか一項記載の画像処理装置。
13. 前記複数の機能毎にセキュリティレベルを対応付けて管理されることを特徴とする請求項１乃至１２のいずれか一項記載の画像処理装置。

Images