JP4890990B2 - 画像処理装置、その画像処理装置の制御方法およびプログラム - Google Patents

Description

本発明は、画像形成装置と画像処理装置とを含むシステムに関する。

従来より、画像形成装置と画像処理装置を備えたシステムが知られている。例えば、画像形成装置としてコピーやスキャン、ＦＡＸなどを兼ね備えたＭＦＰ（Multi-Function Peripheral）を備え、画像処理装置としてプリントコントローラを備えたシステムがある。

このようなシステム内のデータに対するセキュリティ意識が、昨今、世の中で高まっている。そのため、送信者が画像形成装置や画像処理装置にパスワードを入れなければ、印刷されないキュアプリント機能や、以後復元できないようなデータ消去機能が実装されたシステムも存在する。また、ＭＦＰの論理的な印刷ジョブ保存用ボックスにパスワードをかける機能なども提案されている（特許文献１を参照）。
特開２００４−００７０５９号公報

しかし、従来のシステムでは、必ずしもセキュリティが十分ではなかった。それは、従来のシステムにおいて、画像処理装置と画像形成装置は、何の機能連携もなくそれぞれでバラバラに機能していたからである。このため、例えば、ＭＦＰにおいてはセキュアな消去方法でデータを消去していても、プリントコントローラにはその印刷ジョブが再印刷できるよう保存されている場合などがあった。つまり、システム全体として、セキュアとは言えないものがあった。

また、同様に、ＭＦＰ内の、論理的な印刷ジョブ保存用ボックスを、パスワードによってセキュアに保てたとしても、プリントコントローラから印刷ジョブを簡単に取り出せるようでは、システム全体として、セキュアとは言えなかった。

本発明は、上記従来技術の課題を解決するためになされたもので、全体として情報安全性の高い仕組みを提供することを目的とする。

上記目的を達成するため、画像データに基づいて印刷を行う印刷装置に画像データを送信する画像処理装置であって、
画像データを記憶する記憶手段と、
前記印刷装置に前記画像データを送信する送信手段と、
前記送信手段によって送信された前記画像データの印刷を実行するためにパスワードの入力が必要であるか否かを判定する判定手段とを有し、
前記判定手段によって前記パスワードの入力が必要であると判定された場合に、前記記憶手段に記憶された前記画像データを消去し、前記判定手段によって前記パスワードの入力が必要ではないと判定された場合に、前記記憶手段に記憶された前記画像データを消去しないことを特徴とする。

本発明によれば、全体として情報安全性の高い仕組みを提供することができる。

以下に、図面を参照して、この発明の好適な実施の形態を例示的に詳しく説明する。ただし、この実施の形態に記載されている構成要素はあくまで例示であり、この発明の範囲をそれらのみに限定する趣旨のものではない。

（第１実施形態）
図１は、本発明の第１実施形態に係るシステム１００の全体説明図である。図１において、システム１００は、ネットワークケーブル１０３と画像送信ケーブル１０４とで接続された画像処理装置１０１と画像形成装置１０２を含む。画像処理装置１０１は、ＬＡＮ（Local Area Network）１０５を介してユーザ端末１０６と接続され、ユーザ端末１０６からシステム１００に印刷ジョブを送信できるようになっている。

画像処理装置１０１は、その内部に、通信手段としてのインターフェイス部２０５，２０６と、記憶部２０７と、消去手段としてのセキュア消去部２０８と、画像処理部２０９とを備えている。なお、本実施の形態では画像処理装置１０１を、プリントコントローラを備えたコンピュータを想定しつつ説明する。そのプリントコントローラは、ユーザから印刷ジョブを受け取り、画像処理を行い、画像形成装置１０２にて画像形成できるフォームの画像データを生成するものである。

画像処理装置１０１のインターフェイス部２０５は、画像形成装置１０２とコミュニケーションするネットワークインターフェイスと、画像処理装置１０１で生成した画像データを画像形成装置１０２へ送信する画像データ送信インターフェイスを含んでいる。なお、本実施の形態では、ネットワークインターフェイスは汎用的なイーサネット（登録商標）方式、画像データ送信インターフェイスは画像処理装置１０１と画像形成装置１０２とで取り決める非汎用的な独自の方式を採用する。

画像処理装置１０１のインターフェイス部２０６は、ＬＡＮを介してユーザ端末１０６からの印刷ジョブを受信するネットワークインターフェイスである。なお、本実施の形態ではネットワークインターフェイスは汎用的なイーサネット（登録商標）方式を採用する。

画像処理装置１０１の記憶部２０７は、ユーザから受信した印刷ジョブを画像処理のために一時的に記憶したり、印刷ジョブ終了後に再印刷処理を行えるよう印刷ジョブを保持したりする記憶デバイスであり、例えばＨＤＤを適用することができる。

画像処理装置１０１のセキュア消去部２０８は、画像処理のために一時的に記憶部２０７に記憶したデータや、印刷ジョブ終了後に再印刷処理を行えるよう記憶部２０７に保持した印刷ジョブデータを、セキュアに消去する。その消去方法は、セキュア消去部２０３での消去方法に応じたものである。具体的には、不要になった時点で以後復元できないように、かつ、セキュア消去部２０３と同等以上に、セキュアに消去する。

画像処理装置１０１の画像処理部２０９は、ユーザから受信した印刷ジョブを解析し、画像処理を施して画像形成装置１０２にて画像形成可能な画像データを生成する処理を担う。ここでは、画像処理部２０９は、プリントコントローラのいわゆる核であるＲＩＰ（Raster Image Processor）であり、図３で詳しく説明するように、インタープリタ部３０１およびレンダリング部３０２により構成される。

次に、画像形成装置１０２の内部構成について説明する。画像形成装置１０２は、通信手段としてのインターフェイス部２０１と、記憶部２０２と、消去手段としてのセキュア消去部２０３と、画像形成部２０４とを備えている。なお、本実施の形態では画像形成装置１０２を、コピー機能やＦＡＸ機能、スキャン機能、そして、画像処理装置１０１からの画像データを印刷用紙に印刷する機能などを兼ね備えたＭＦＰを想定しつつ説明する。

画像形成装置１０２のインターフェイス部２０１は、画像処理装置１０１とコミュニケーションするネットワークインターフェイスと、画像処理装置１０１で生成した画像データを画像形成装置１０２で受信する画像データ受信インターフェイスとを含んでいる。なお、本実施の形態では、ネットワークインターフェイスは汎用的なイーサネット（登録商標）方式、画像データ送信インターフェイスは画像処理装置１０１と画像形成装置１０２とで取り決める非汎用的な独自の方式である。

画像形成装置１０２の記憶部２０２は、画像処理装置１０１から送信された画像データを画像形成のために一時的に記憶する記憶デバイスであり、例えばＨＤＤを適用できる。画像形成装置１０２のセキュア消去部２０３は、画像形成のために一時的に記憶部２０２に記憶したデータを、不要になった時点で以後復元できないようにセキュアに消去する処理を担う。画像形成装置１０２の画像形成部２０４は、画像処理装置１０１から送信された画像データを用紙に印刷する処理を担うもので、いわゆるプリンタエンジンがこれに相当する。

図２は、画像形成装置１０２の内部構成をより詳細に示すブロック図である。画像形成装置１０２は、上述したように、複数のジョブのデータを記憶可能な記憶部２０２を備え、スキャナから出力されたジョブデータに対し記憶部２０２を介して画像形成部２０４でプリント可能にするコピー機能を有する。また、コンピュータ等の画像処理装置１０１から出力されたジョブデータに対し記憶部２０２を介して画像形成部２０４でプリント可能にするプリント機能等の複数の機能を備える。

一般的にＭＦＰには、フルカラー機器とモノクロ機器があり、色処理や内部データなどを除いて、基本的な部分において、フルカラー機器がモノクロ機器の構成を包含することが多い。そのため、本実施形態においても、画像形成装置１０２を説明するにあたり、フルカラー機器を主に説明し、必要に応じて随時モノクロ機器の説明を加えることとする。 本システムは、複数の機能を具備した複合機能型のＭＦＰと、プリント機能のみを具備した単一機能型のＳＦＰ（Single Function Peripheral）とを両方備えても良い。また、いずれか一方のタイプの画像形成装置のみを備える構成でも良い。また、何れかのタイプの画像形成装置を、複数台具備する構成でも良い。いずれにしても、本形態の制御が実現可能な構成であればよい。

図２に戻ると、画像形成装置１０２は、紙原稿などの画像を読み取り、読み取られた画像データを画像処理する入力画像処理部２１１と、ＦＡＸなどに代表される電話回線を利用した画像の送受信を行うＦＡＸ部２１２とを有する。また更に、ネットワークを利用して画像データや装置情報をやりとりするＮＩＣ（Network Interface Card）部２１３と、画像処理装置１０１と画像データなどの情報交換を行う専用インターフェイス部２１４を有する。また、ＵＳＢ（Universal Serial Bus）メモリ（リムーバブルメディアの一種）に代表されるＵＳＢ機器と画像データなどを送受するＵＳＢインターフェイス（ＵＳＢ Ｉ／Ｆ）部２１５を備えている。

これらの構成の中心においては、画像形成装置１０２の用途に応じて画像データを一時保存したり、経路を決定したりといった交通整理の役割を担う制御部２１６が設けられている。

文書管理部２１７は、複数の画像データを格納可能なＨＤＤ等のメモリを備える。例えば、画像形成装置１０２の制御手段（例えば制御部２１６のＣＰＵなど）が主体となって、複数種類の画像データをＨＤＤに格納し、適宜読み出して、画像形成部２０４等の出力部に転送し、画像形成部２０４によるプリント処理等の出力処理を制御する。ここでの複数種類の画像データには、入力画像処理部２１１からの画像データや、ＦＡＸ部２１２から入力したＦＡＸジョブの画像データや、インターフェイス部２０１から入力した画像データや、ＵＳＢＩ／Ｆ部を介して入力した画像データ等が含まれる。

ユーザからの指示により、ＨＤＤから読み出した画像データを、コンピュータや他の画像形成装置等に転送可能に制御する。画像データを文書管理部２１７に記憶したり、文書管理部２１７から画像データを読出す際には、必要に応じて、圧縮伸張部２１８により画像データの圧縮・伸張処理を施す。リソース管理部２１９には、フォント、カラープロファイル、ガンマテーブルなど共通に扱われる各種パラメータテーブルなどが格納されている。リソース管理部２１９からは、これらのパラメータテーブルを必要に応じて呼び出すことができ、新しいパラメータテーブルを格納したり、修正して更新したりすることもできる。

セキュア消去部２０３は、画像形成のために一時的に記憶部２０２に記憶したデータを、不要になった時点で、以後復元できないようにセキュアに消去する処理を担う。

画像処理装置１０１から画像データが入力された場合には、プリントする画像に対して、必要に応じて出力画像処理部２２１でプリントのための画像処理を行う。また、その際に作られる画像データの一時的なデータやプリントレディデータ（プリントのためのビットマップデータやそれを圧縮したデータ）を必要に応じて、文書管理部２１７に再度格納することもできる。そのような画像データは、画像形成を行う画像形成部２０４に送られ、画像形成部２０４でプリントアウトされたシートは後処理部２２０へ送り込まれ、シートの仕分け処理やシートの仕上げ処理が施される。

さて、ここで、制御部２１６は円滑にジョブを流す役割を担っており、画像形成装置１０２の使い方に応じて、以下のようにパス切り替えが行われている。但し、一時的なデータとして画像データを必要に応じて格納することは一般に知られているが、ここでは文書管理部が始点、終点になる以外のアクセスは表記しない。また、必要に応じて利用される圧縮伸張部２１８と後処理部２２０、あるいは、全体のコアとなる制御部２１６などの処理は省略して、おおよそのフローがわかるように記載する。

−複写機能：入力画像処理部→出力画像処理部→画像形成部
−ＦＡＸ送信機能：入力画像処理部→ＦＡＸ部
−ＦＡＸ受信機能：ＦＡＸ部→出力画像処理部→画像形成部
−ネットワークスキャン：入力画像処理部→ＮＩＣ部
−画像処理装置へのスキャン：入力画像処理部→ＮＩＣ部
−画像処理装置からのプリント：専用Ｉ／Ｆ部→出力画像処理部→画像形成部
−外部メモリへのスキャン：入力画像処理部→ＵＳＢ Ｉ／Ｆ部
−外部メモリからのプリント：ＵＳＢ Ｉ／Ｆ部→出力画像処理部→画像形成部
−ボックススキャン機能：入力画像処理部→出力画像処理部→文書管理部
−ボックスプリント機能：文書管理部→画像形成部
−ボックス受信機能：第１インターフェイス部→出力画像処理部→文書管理部
−ボックス送信機能：文書管理部→ＮＩＣ部
−プレビュー機能：文書管理部→操作部
なお、上記以外にも、電子メールサービスやウェブサーバ機能を初めとして、様々な機能との組み合わせが考えられるが、ここでは割愛する。また、ボックススキャン、ボックスプリント、ボックス受信、あるいは、ボックス送信とは、論理的な「箱」で、文書管理部を利用したデータの書き込みや読み出しを伴う画像形成装置１０２の処理機能である。これにより、ジョブ毎やユーザ毎に文書管理部内のメモリを分割して一次的にデータを保存して、ユーザＩＳやパスワードを組み合わせてデータの入出力を行うことができる。更に、操作部２２２は、上記の様々なフローや機能を選択したり操作指示したりするためのものであるが、操作部の表示装置の高解像度化に伴い、文書管理部にある画像データをプレビューし、確認後ＯＫならばプリントするといったこともできる。

図３は、画像処理装置１０１の画像処理部２０９の内部構成をより詳細に示した図である。

画像処理部２０９は、ＰＤＬ（Page Description Language）で記述された文字、線画、図形などのベクトル情報、色、パターン、写真などの画像情報などを同時にページ上に再現するＲＩＰである。そのために、それぞれのオブジェクト情報をラスタイメージ（画像データ）に展開する。ハードウェアとして出力装置側に搭載してもよいが、本実施形態では、ソフトウェアで構成され、制御部のＣＰＵにより実行される。

画像処理部２０９は、インタプリタ部３０１とレンダリング部３０２の２つの部分から成り立っている。さらに、インタプリタ部３０１は、ＰＤＬの翻訳を行うＰＤＬ解釈部３０１ａと、解釈したＰＤＬデータからディスプレイリストと呼ばれる中間ファイルを生成するＤＬ（Display List）生成部３０１ｂとを含む。レンダリング部３０２は、ディスプレイリストに対してカラーマッチングを行うＣＭＭ（Color Matching Module）部３０２ａと、ディスプレイリストをラスタイメージ（画像データ）に展開するＤＬ展開部３０２ｂとを含む。

ＰＤＬ解釈部３０１ａは、入力されてきた様々な種類のＰＤＬデータを解析する部分である。入力フォーマットとしては、Adobe社のPostScript言語やＨＰ社のＰＣＬ（Printer Control Language）言語などが有名である。これらは、ページ単位の画像を作成するためのプリンタ制御コードで記載されており、単純な文字コードのほか、図形描画のコードや写真画像のコードなども含まれている。また、ＰＤＦ（Portable Document Format）というAdobe社の開発した文書表示用ファイル形式も様々な業界で多用されている。ＰＤＦは、ドライバを使用せず直接ＭＦＰに投げ込まれる。そのほか、ＰＰＭＬ（Personalized Print Markup Language）と呼ばれるＶＤＰ（Variable Data Print）向けフォーマットにも対応している。また、ＪＰＥＧ（Joint Photographic Experts Group）やＴＩＦＦ（Tagged Image File Format）などのカラー画像の圧縮フォーマットにも対応している。

次に、ＣＭＭ部では、グレースケール、ＲＧＢ、ＣＭＹＫなど様々な画像データの入力が可能である。その他の色空間の場合には、ＣＲＤ（Color Rendering Dictionary）にてＣＭＹＫ空間に変換された後、カラーマッチングが施される。ＣＭＭ部において、ＩＣＣプロファイルによる色調整が行われる。ＩＣＣプロファイルは、ソースプロファイルとプリンタプロファイルとがある。ソースプロファイルは、ＲＧＢ（またはＣＭＹＫ）データを一度規格化されたＬ＊ａ＊ｂ＊空間に変換し、このＬ＊ａ＊ｂ＊データを再度ターゲットとなるプリンタに適したＣＭＹＫ空間に変換する。

ソースプロファイルは、ＲＧＢプロファイルとＣＭＹＫプロファイルからなっている。入力画像がＲＧＢ系画像（Microsoft社のアプリケーションソフトやＪＰＥＧ、ＴＩＦＦ画像等）の場合は、ＲＧＢプロファイルが選択される。また、ＣＭＹＫ系画像（Ａｄｏｂｅ社のPhotoshopやIllustratorの一部データなど）の場合にはＣＭＹＫプロファイルが選択される。

プリンタプロファイルは、各プリンタの色特性に合わせて作られており、ＲＧＢ系画像の場合は、Perceptual（色味優先）やSaturation（鮮やかさ優先）を選択するのが好ましい。また、ＣＭＹＫ系画像の場合は、Colorimetric（色差最小）を選んで最適画像を出力することが多い。また、ＩＣＣプロファイルは、一般にルックアップテーブル形式で作られている。ソースプロファイルでは、ＲＧＢ（またはＣＭＹＫ）データが入力されると、一意にＬ＊ａ＊ｂ＊データに変換され、逆にプリンタプロファイルでは、Ｌ＊ａ＊ｂ＊データからプリンタにマッチしたＣＭＹＫデータに変換される。なお、カラーマッチングを必要としないＲＧＢデータは、デフォルトの色変換によりＣＭＹＫデータに変換されて出力され、カラーマッチングを必要としないＣＭＹＫデータに対しては、そのまま出力される。

図４は、上述した画像形成装置１０２のセキュア消去部２０３や、画像処理装置１０１のセキュア消去部２０８で用いられるデータ消去方式の例を示した表である。なお、本実施の形態においては、データ消去方式そのものについて言及するものではないので、この他にどのようなデータ消去方式を用いても構わない。

方式Ａは、最も一般的なデータ消去方式である。記憶部２０２、２０７内のデータを論理的に消去したことにするだけであり、記憶部を解析すれば容易に元データを復元できるセキュリティレベルが最も低い方式である。

方式Ｂは、記憶部２０２、２０７内のデータを論理的に消去するだけでなく、そのデータが使用していた領域全体に「０」（数字のゼロ）を書き込む方式である。記憶部２０２、２０７を解析しても比較的元データ復元が難しいセキュリティレベルが中程度の方式である。

方式Ｃは、記憶部記憶部２０２、２０７内のデータを論理的に消去するだけでなく、そのデータが使用していた領域全体にランダムな値を書き込む方式である。記憶部２０２、２０７を解析しても元データ復元が困難なセキュリティレベルが高い方式である。

方式Ｄは、記憶部２０２、２０７内のデータを論理的に消去するだけでなく、そのデータが使用していた領域全体にランダムな値を３回書き込む方式である。記憶部２０２、２０７を解析しても元データ復元が特別困難なセキュリティレベルが特に高い方式である。

このように、データ消去方式は複数存在し、そのセキュリティレベルも低いものから高いものまで様々である。従来の画像形成装置１０２と画像処理装置１０１は、何の連携をすることなく、それらをそれぞれバラバラに使っていた。例えば、画像形成装置１０２では方式Ｄを適用しているときでも、画像処理装置１０１では方式Ａを適用することがあった。この場合、画像形成装置１０２はセキュリティレベルが高いが、画像処理装置１０１はセキュリティレベルが低いので、全体のシステムとしては、セキュリティレベルが低いことになっていた。

そこで、本実施の形態では、画像形成装置１０２のセキュリティレベルと画像処理装置１０１のセキュリティレベルとを連携させる。つまり、画像形成装置１０２のセキュリティレベルに応じて画像処理装置１０１のセキュリティレベルを設定することで、セキュリティレベルを考慮したシステムを実現している。

図５は、セキュア消去部２０３、２０８の動作を中心に示したシーケンス図である。

まず、画像形成装置１０２と画像処理装置１０１の間で、起動処理が行われる（Ｓ５０１）。これは、画像形成装置１０２と画像処理装置１０１の電源が共にオンにされた後、待機状態になるための起動処理である。

次に、画像形成装置１０２と画像処理装置１０１は、お互いに起動が完了し待機状態になったことを通知し合う（Ｓ５０２）。この時点で、画像形成装置１０２と画像処理装置１０１というシステムが起動完了したことを意味する。

次に、画像処理装置１０１は画像形成装置１０２に対して、画像処理装置１０１１０２のセキュア消去部２０３がどのようなセキュリティレベルであるかを問い合わせる（Ｓ５０３）。例えば、どのようなデータ消去方式を採用しているのかなどを問い合わせる。

次に、画像形成装置１０２から画像処理装置１０１に対して、画像形成装置１０２のセキュア消去部２０３のセキュリティレベルを通知する。なお、本実施の形態では、例として、セキュア消去部２０３のデータ消去方式は方式Ｃを採用するものとして説明する。

ユーザ端末１０６から印刷ジョブがシステム、つまり、画像処理装置１０１に送信される（Ｓ５０５）と、画像処理部２０９は、受信した印刷ジョブから画像形成装置１０２で必要となる画像データを生成する（Ｓ５０６）。なお、この段階では、ユーザから受信した印刷ジョブを画像処理のために一時的に記憶したり、印刷ジョブ終了後に再印刷処理を行えるよう印刷ジョブを保持したりするなど、印刷ジョブに関係するデータが画像処理装置１０１の記憶部２０７に残っている。

次に、画像処理装置１０１は画像形成装置１０２に対して、画像処理部にて生成した画像データを送信する（Ｓ５０７）。次に、画像形成装置１０２は受信した画像データから画像形成部にて画像形成を行い、印刷用紙に画像を印刷する（Ｓ５０８）。次に、画像形成装置１０２の記憶部に残っている本印刷ジョブに関係するデータについては、方式Ｃを用いてセキュアに消去される（Ｓ５０９）。そして、画像形成装置１０２から画像処理装置１０１に対して、本印刷ジョブの終了通知がなされる（Ｓ５１０）。

最後に、画像処理装置１０１では、先に入手した画像形成装置１０２のセキュリティレベル情報に基づき、それと同等以上のセキュリティレベルで画像処理装置１０１の記憶部２０７に残っている本印刷ジョブに関係するデータを消去する（Ｓ５１１）。

つまり、本実施の形態では、セキュア消去部２０３のデータ消去方式は方式Ｃなので、セキュア消去部２０８も方式Ｃを使い、記憶部２０７に残っている本印刷ジョブに関係するデータを消去する。

このようにして、ユーザからの印刷ジョブに対して、画像処理装置１０１は画像形成装置１０２のセキュリティレベルに応じたデータ消去方法を採用することで、システム全体のセキュリティレベルを統一することができる。

なお、上記実施形態では、セキュリティレベルを、画像形成装置から画像処理装置へ通知することとしたが、本発明はこれに限定されるものではなく、画像処理装置から画像形成装置へセキュリティレベルを通知しても良い。

（第２実施形態）
次に、本発明の第２実施形態について説明する。第２実施形態は、第１実施形態と異なり、画像形成装置内にセキュア消去部ではなく、パスワード設定手段としてのセキュア保持部を備えているが、その他の構成及び作用については同様であるため、同じ構成については同じ符号を付して説明を省略する。

なお、第１実施形態では、ユーザからのジョブが印刷ジョブであったが、本実施の形態では、ユーザからのジョブがボックス投入ジョブであり、かつ、投入先のボックスにパスワードがかかっているとする。ボックス投入ジョブとは、画像形成装置ボックス受信機能を用いて画像処理装置１０１から受信した画像データを画像形成装置１０２の記憶部２０２に格納するジョブである。

従来、画像形成装置の記憶部内の、論理的な印刷ジョブ保存用ボックスにパスワードをかける機能を有効にし、ユーザがプリントコントローラを介して印刷ジョブをそのボックスに入れることはできた。しかし、そのボックスにパスワードを設定して印刷ジョブをセキュアに保とうとしても、プリントコントローラからはその印刷ジョブを簡単に取り出せるのでは、システム全体として、全くセキュアと言えなかった。

そこで、本実施形態では、記憶部２０２に設定された論理空間としてのボックスにパスワードがかかっている場合には、記憶部２０７に格納された一時的なデータや、再印刷用に保持した印刷ジョブデータを、所定のタイミングで以後復元できないよう消去する。

図６は、本実施形態に係るシステムの全体説明図であり、図７は、本実施形態の画像形成装置１０２を詳細に示した図である。図１と異なり、画像形成装置１０２は、セキュア保持部２１０を有する。このセキュア保持部２１０は、画像データを保持した記憶部２０２の論理空間としてのボックスに、パスワードをかけてセキュアにボックス内の画像データを保持する処理を担う。

図８は、本実施の形態の核となる第２セキュア消去部の動作を中心に示したシーケンス図である。

ユーザからボックス投入ジョブがシステム、つまり、画像処理装置１０１に送信され（Ｓ８０１）、画像処理部によってボックス投入ジョブから画像形成装置１０２で必要となる画像データを生成する（Ｓ８０２）。ユーザから受信したボックス投入ジョブを、画像処理のために一時的に記憶し、ボックス投入ジョブ終了後に再印刷処理を行えるよう保持するため、ボックス投入ジョブに関係するデータが画像処理装置１０１の記憶部２０７に残っている。

次に、画像処理装置１０１は画像形成装置１０２に対して、ボックス投入ジョブの投入先であるボックスにパスワードがかかっているか否かを問い合わせる（Ｓ８０３）。そして、画像形成装置１０２では画像処理装置１０１の要求に対して、指定されたボックスにパスワードがかかっているか否かを確認し（Ｓ８０４）、その結果を画像処理装置１０１に通知する（Ｓ８０５）。なお、本実施の形態では、指定されたボックスにパスワードがかかっているものとして説明する。

画像処理装置１０１は画像形成装置１０２に対して、画像処理部にて生成した画像データを送信する（Ｓ８０６）。画像形成装置１０２は受信した画像データから画像形成部２０４にて画像形成を行う（Ｓ８０７）。画像形成部にて画像形成されたデータをユーザが指定したボックスに投入する（Ｓ８０８）。そして、画像形成装置１０２から画像処理装置１０１に対して、本印刷ジョブの終了通知がなされる（Ｓ８０９）。

そして、ボックス投入ジョブを投入した先のボックスにパスワードがかかっているかどうか判定する（Ｓ８１０）。画像形成装置１０２側でパスワードが設定されていれば、セキュリティレベルが高いと判断して、記憶部２０７に残っているボックス投入ジョブに関係するデータを消去して、ボックス投入ジョブを終了する（Ｓ８１１）。なお、本実施の形態では、セキュア消去部２０８は方式Ｂを使い、記憶部２０７に残っているボックス投入ジョブに関係するデータを消去する。一方、もし本ボックス投入ジョブを投入した先のボックスにパスワードがかかっていなかった場合には、画像処理装置１０１の記憶部２０７に残っている本ボックス投入ジョブに関係するデータを消去することはない。

また、画像形成装置の指定されたボックスにパスワードがかかっている場合にはステップＳ８０５でそのパスワード自体も通知してもよい。そして、当該ボックス投入ジョブに関係するデータが画像処理装置１０１の記憶部２０７に記憶されている間はそのデータに対して同じパスワードを設定することでセキュリティレベルを合わせるようにしてもよい。

このように、本実施形態では、ユーザからのボックス投入ジョブに対して、画像処理装置１０１は画像形成装置１０２のセキュリティレベルに応じたデータを消去方法を採用する。これにより、第１実施形態と同様にして、画像形成装置１０２と画像処理装置１０１というシステム全体のセキュリティレベルを保つことができる。

すなわち、ＭＦＰのセキュリティレベルに応じてプリントコントローラのセキュリティレベルが設定されるので、ＭＦＰとプリントコントローラというシステム全体として安全性を統一化できる。

なお、上記実施形態では、パスワードの設定の有無を、画像形成装置から画像処理装置へ通知することとしたが、本発明はこれに限定されるものではない。画像処理装置から画像形成装置へセキュリティレベルを通知して、そのレベルが高ければ、画像形成装置でボックスに対するパスワードをユーザに設定させる構成でも良い。

また、本実施形態ではボックスに対するパスワードの設定の有無をセキュリティレベルとして説明したが、他にも、ボックスに格納する画像データに対する暗号化の設定の有無をセキュリティレベルとしてもよい。

本発明における画像処理装置は、プリンタコントローラを備えたコンピュータに限定されるものではない。その他にも例えば、文字認識などの画像処理機能を提供し画像形成装置と連携して動作するようなコンピュータ装置や、画像形成装置と連動する文書管理サーバなどが挙げられる。また、本発明における画像形成装置は、ＭＦＰやＳＦＰに限定されるものではなく、その他にも、例えば、ファクシミリ装置や、スキャナ装置などが挙げられる。

（他の実施形態）
以上、本発明の実施形態について詳述したが、本発明は、複数の機器から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。

なお、本発明は、前述した実施形態の機能を実現するプログラムを、システム或いは装置に直接或いは遠隔から供給し、そのシステム或いは装置が、供給されたプログラムコードを読み出して実行することによっても達成される。従って、本発明の機能処理をコンピュータで実現するために、コンピュータにインストールされるプログラムコード自体も本発明の技術的範囲に含まれる。

その場合、プログラムの機能を有していれば、オブジェクトコード、インタプリタにより実行されるプログラム、ＯＳに供給するスクリプトデータ等、プログラムの形態を問わない。

プログラムを供給するための記録媒体としては、例えば、フロッピー（登録商標）ディスク、ハードディスク、光ディスク、光磁気ディスクがある。また、ＭＯ、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＣＤ−ＲＷ、磁気テープ、不揮発性のメモリカード、ＲＯＭ、ＤＶＤ（ＤＶＤ−ＲＯＭ，ＤＶＤ−Ｒ）などがある。

その他、クライアントＰＣのブラウザを用いてインターネットサイトに接続し、本発明に係るプログラムそのもの、もしくは更に自動インストール機能を含むファイルをハードディスク等の記録媒体にダウンロードするという利用方法もある。また、本発明に係るプログラムを構成するプログラムコードを複数のファイルに分割し、それぞれのファイルを異なるホームページからダウンロードすることによっても実現可能である。つまり、本発明の機能処理をコンピュータで実現するためのプログラムを複数のユーザに対してダウンロードさせるＷＷＷサーバも、本発明の範疇に含まれる。 また、本発明に係るプログラムを暗号化してＣＤ−ＲＯＭ等の記憶媒体に格納してユーザに配布してもよい。所定の条件をクリアしたユーザに対し、インターネットを介してホームページから暗号化を解く鍵情報をダウンロードさせ、その鍵情報を使用することにより暗号化されたプログラムを実行してコンピュータにインストールさせて実現することも可能である。

また、プログラムの指示に基づき、コンピュータ上で稼動しているＯＳなどが、実際の処理の一部または全部を行ない、その処理によっても前述した実施形態の機能が実現され得る。

さらに、ＰＣの機能拡張ユニットに備わるメモリに本発明に係るプログラムが書き込まれ、そのプログラムに基づき、その機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行なう場合も、本発明の範疇に含まれる。

本発明の第１実施形態を説明するための図である。 本発明の第１実施形態における画像形成装置を説明するための図である。 本発明の第１実施形態における情報処理装置を説明するための図である。 本発明の第１実施形態におけるセキュアなデータ消去方式の一例を説明するための表を示す図である。 本発明の第１実施形態における第２セキュア消去手段を説明するためのシーケンス図である。 本発明の第２実施形態を説明するための図である。 本発明の第２実施形態における画像形成装置を説明するための図である。 本発明の第２実施形態における第２セキュア消去手段を説明するためのシーケンス図である。

Claims (6)

1. 画像データに基づいて印刷を行う印刷装置に画像データを送信する画像処理装置であって、
   画像データを記憶する記憶手段と、
   前記印刷装置に前記画像データを送信する送信手段と、
   前記送信手段によって送信された前記画像データの印刷を実行するためにパスワードの入力が必要であるか否かを判定する判定手段とを有し、
   前記判定手段によって前記パスワードの入力が必要であると判定された場合に、前記記憶手段に記憶された前記画像データを消去し、前記判定手段によって前記パスワードの入力が必要ではないと判定された場合に、前記記憶手段に記憶された前記画像データを消去しないことを特徴とする画像処理装置。
2. 前記判定手段によって前記パスワードの入力が必要であると判定された場合に、前記印刷装置における前記画像データの印刷の完了に応じて、前記記憶手段に記憶された前記画像データを消去することを特徴とする請求項１に記載の画像処理装置。
3. 前記判定手段によって前記パスワードの入力が必要であると判定された場合に、複数の消去方法のうちの１つによって、前記記憶手段に記憶された前記画像データを消去することを特徴とする請求項１又は２に記載の画像処理装置。
4. 前記複数の消去方法は、
   前記画像データを論理的に消去する方法と、
   前記画像データを論理的に消去し、前記画像データが記憶されていた領域に特定の値を書き込む方法と、
   前記画像データを論理的に消去し、前記画像データが記憶されていた領域にランダムな値を書き込む方法と、
   前記画像データを論理的に消去し、前記画像データが記憶されていた領域にランダムな値を複数回書き込む方法と、のうちいずれかの方法を含むことを特徴とする請求項３に記載の画像処理装置。
5. 画像データに基づいて印刷を行う印刷装置に画像データを送信する画像処理装置において実行される画像処理装置の制御方法であって、
   前記画像処理装置の記憶手段が、画像データを記憶する記憶工程と、
   前記画像処理装置の送信手段が、前記印刷装置に前記画像データを送信する送信工程と、
   前記画像処理装置の判定手段が、前記送信工程において送信された前記画像データの印刷を実行するためにパスワードの入力が必要であるか否かを判定する判定工程とを有し、
   前記画像処理装置の制御手段が、前記判定工程において前記パスワードの入力が必要であると判定された場合に、前記記憶工程において記憶された前記画像データを消去し、前記判定工程において前記パスワードの入力が必要ではないと判定された場合に、前記記憶工程において記憶された前記画像データを消去しないことを特徴とする画像処理装置の制御方法。
6. 請求項５に記載された画像処理装置の制御方法の各工程をコンピュータに実行させるプログラム。

Images