JP6741386B2 - セキュリティ機能付き装置 - Google Patents

Description

本発明は、セキュリティ機能付き装置、セキュリティ保護方法及びセキュリティ保護プログラムに関し、特に情報漏洩を防止するセキュリティ機能を有する各種装置に関する。

セキュリティに関わる操作を行う場合は、事前にユーザ認証を行い、各操作に対する許可をユーザごとに切り替えるという手法が一般的に用いられている。しかし、同じマシンを複数のユーザで利用するような場合、セキュリティ関連操作の終了時にはユーザ認証を適切に終了させる必要がある。このため従来技術では、一定期間ユーザ操作が無かった場合に自動的に認証を終了させる等の手法が用いられるが、セキュリティ保護とユーザの利便性確保との両立が困難であった。

特許文献１には操作ユーザが装置の近傍に存在しないことをＩＤ(identification)カード、無線タグなどにより検知し、かつ装置がホーム設定にされていない場合に印刷ジョブ等の中断を行う手法が記載されている。

特開２００８−１９４９３３号公報

しかし、特許文献１に記載の技術ではＩＤカードや無線タグなどにより操作ユーザが装置の近傍に存在しないことを検知しているので、操作ユーザ以外の人が傍にいても検知できず、例えば、他者による操作画面の覗き込みなどによる情報漏洩を防止できない。

また、特許文献１に記載の技術ではＩＤカードや無線タグなどにより操作ユーザが装置の近傍に存在しないことを検知しているので、ユーザがＩＤカードや無線タグを携帯する必要があり、利便性に欠ける面があった。指紋などによる生体認証によりユーザの存否を判定する場合でも、指を指紋リーダに載置し続ける必要があり、利便性に欠ける面があった。

本発明は、上述のような問題に鑑みて為されたものであって、セキュリティ保護とユーザの利便性確保の両方を実現するセキュリティ機能付き装置、セキュリティ保護方法、及びセキュリティ保護プログラムを提供することを目的とする。

本発明によれば、
セキュリティ機能付き装置であって、
前記装置を操作するユーザの顔が映る所定の検知範囲を撮像する撮像手段と、
前記撮像手段により撮像された画像中に存在する人の顔を検知する顔検知手段と、
所定の期間に入ったことを契機として取得したユーザの顔情報に基づいて、前記顔検知手段が前記所定の期間が終了する前に前記検知範囲内にて前記ユーザの顔を検知できなくなったならば、前記ユーザに対しセキュリティに関する警告を出力する警告出力手段と、
を備え、
前記所定の期間内に前記警告出力手段は前記顔検知手段が前記ユーザの顔を検知した場合であっても前記ユーザ以外の人物の顔を検知した場合はセキュリティに関する警告を出力し、
前記警告は前記ユーザに対しセキュリティに関する改善を促す警告を含むことを特徴と
するセキュリティ機能付き装置が提供される。
また、本発明によれば、
セキュリティ機能付き装置であって、
前記装置を操作するユーザの顔が映る所定の検知範囲を撮像する撮像手段と、
前記撮像手段により撮像された画像中に存在する人の顔を検知する顔検知手段と、
前記ユーザのユーザ認証の開始により所定の期間に入ったことを契機として取得したユーザの顔情報に基づいて、前記顔検知手段が前記所定の期間が終了する前に前記検知範囲内にて前記ユーザの顔を検知できなくなったならば、検知できなくなったことを原因として警告を出力するセキュリティ保護手段と、
を備え、
前記セキュリティ保護手段は、前記警告を出力させても、前記所定の期間内の保留期間はユーザ認証状態を維持し、前記保留期間が終了する前に前記警告を出力させた前記原因が解消したことが確認されたならば、ユーザ認証状態を更に継続することを特徴とすることを特徴とするセキュリティ機能付き装置が提供される。
更に、本発明によれば、
セキュリティ機能付き装置であって、
前記装置を操作するユーザの顔が映る所定の検知範囲を撮像する撮像手段と、
前記撮像手段により撮像された画像中に存在する人の顔を検知する顔検知手段と、
前記ユーザのユーザ認証の開始により所定の期間に入ったことを契機として取得した前記ユーザの顔情報に基づいて、前記顔検知手段が前記所定の期間が終了する前に前記検知範囲内に当該ユーザ以外の人物の顔を検知したら、検知したことを原因として警告を出力するするセキュリティ保護手段と、
を備え、
前記セキュリティ保護手段は、前記警告を出力させても、前記所定の期間内の保留期間内はユーザ認証状態を維持し、前記保留期間が終了する前に前記警告を出力させた前記原因が解消したことが確認されたならば、ユーザ認証状態を更に継続することを特徴とすることを特徴とするセキュリティ機能付き装置が提供される。
更に、本発明によれば、
セキュリティ保護方法であって、
装置を操作するユーザの顔が映る所定の検知範囲を撮像する撮像ステップと、
前記撮像ステップにて撮像された画像中に存在する人の顔を検知する顔検知ステップと、
所定の期間に入ったことを契機として取得したユーザの顔情報に基づいて、前記顔検知ステップにて前記所定の期間が終了する前に前記検知範囲内にて前記ユーザの顔を検知できなくなったならば、前記ユーザに対しセキュリティに関する警告を出力する警告出力ステップと、
を有し、
前記所定の期間内の前記警告出力ステップにおいて前記顔検知ステップで前記ユーザの顔を検知した場合であっても前記ユーザ以外の人物の顔を検知した場合はセキュリティに関する警告を出力し、
前記警告は前記ユーザに対しセキュリティに関する改善を促す警告を含むことを特徴とするセキュリティ保護方法が提供される。
更に、本発明によれば、
セキュリティ保護方法であって、
装置を操作するユーザの顔が映る所定の検知範囲を撮像する撮像ステップと、
前記撮像ステップにて撮像された画像中に存在する人の顔を検知する顔検知ステップと、
前記ユーザのユーザ認証の開始により所定の期間に入ったことを契機として取得したユーザの顔情報に基づいて、前記顔検知ステップにて前記所定の期間が終了する前に前記検知範囲内にて前記ユーザの顔を検知できなくなったならば、検知できなくなったことを原因として警告を出力するセキュリティ保護ステップと、
を有し、
前記警告を出力させても、前記所定の期間内の保留期間はユーザ認証状態を維持し、前記保留期間が終了する前に前記警告を出力させた前記原因が解消したことが確認されたならば、ユーザ認証状態を更に継続することを特徴とすることを特徴とするセキュリティ保護方法が提供される。
更に、本発明によれば、
セキュリティ保護方法であって、
装置を操作するユーザの顔が映る所定の検知範囲を撮像する撮像ステップと、
前記撮像ステップにて撮像された画像中に存在する人の顔を検知する顔検知ステップと、
前記ユーザのユーザ認証の開始により所定の期間に入ったことを契機として取得した前記ユーザの顔情報に基づいて、前記顔検知ステップにて前記所定の期間が終了する前に前記検知範囲内に当該ユーザ以外の人物の顔を検知したら、検知したことを原因として警告を出力するセキュリティ保護ステップと、
を有し、
前記警告を出力させても、前記所定の期間内の保留期間内はユーザ認証状態を維持し、前記保留期間が終了する前に前記警告を出力させた前記原因が解消したことが確認されたならば、ユーザ認証状態を更に継続することを特徴とすることを特徴とするセキュリティ保護方法が提供される。
更に、本発明によれば、コンピュータを上記のセキュリティ機能付き装置として機能させるためのプログラムが提供される。

本発明によると、セキュリティ保護とユーザの利便性確保の両方を実現するセキュリティ機能付き装置、セキュリティ保護方法、及びセキュリティ保護プログラムを提供することができる。

本発明の第１の実施形態に係るセキュリティ機能付き装置の要部構成例を示すブロック図である。 本発明の第１の実施形態に係るセキュリティ機能付き装置の構成例を示す図である。 本発明の第１の実施形態に係るセキュリティ機能付き装置とその周辺機器のブロック図である。 本発明の第１の実施形態での処理を示すフローチャートである。 図４のＳＰ部での処理の詳細を示すフローチャートである。 図５に示される処理フローの代替案である。 図５に示される処理フローの別の代替案である。 図５に示される処理フローの更に別の代替案である。 本発明の第２の実施形態での処理を示すフローチャートである。 本発明の第３の実施形態に係るセキュリティ機能付き装置の要部構成例を示すブロック図である。 本発明の第３の実施形態での処理を示すフローチャートである。 本発明の第１の実施形態、第２の実施形態及び第３の実施形態における使用状況を示す図である。 本発明の第４の実施形態における使用状況を示す図である。 本発明の第５の実施形態における使用状況を示す図である。

以下、本発明に係る実施形態を図面を参照しながら具体的に説明する。

〔第１の実施形態〕
図１は、本発明の第１の実施形態による複合機１００の要部構成例を示すブロック図である。セキュリティ機能付き装置である複合機１００は、複写装置に、例えば、ファクシミリ機能部、インターネット通信部などの他の機能部を加えたものである。ここで、複写装置とは画像読取装置と画像形成装置を備えた装置である。また、画像読取装置とはスキャナのみを備えた装置であり、画像形成装置とは印刷機のみを備えた装置である。本発明のセキュリティ機能付き装置は、第１の実施形態では複合機１００であるとしているが、その他に、例えば、画像読取装置、画像形成装置、複写装置などであってもよい。

図１において、複合機１００は、制御部１０１、画像形成部１０７、操作パネル１０２、カメラ１０５、警告部１０６、スキャナ１１０、記憶部１１１、通信インターフェース（Ｉ／Ｆ）１１２、及び記録紙搬送部１１３を備える。

制御部１０１は、例えば、内部にＣＰＵ(Central Processing Unit)、ＲＯＭ(Read Only Memory)、ＲＡＭ(Random Access Memory)等を有するマイクロコンピュータであり、複合機１００の各機能部を制御する。画像形成部１０７は、転写部１０８と、定着部１０９を備え、制御部１０１の制御に従って、記録紙（シート）上に画像データに基づいた画像形成を行う。記録紙搬送部１１２は、画像形成部１０７において記録紙を搬送するための複数のローラを備える。

操作パネル１０２は、操作部１０３と表示部１０４を備え、操作部１０３は、ユーザによる操作入力を受け付けて制御部１０１に出力する。また、表示部１０４は操作用の画面や各種情報を表示する。表示部１０４は、操作画面に対して入力操作が可能なタッチパネルで構成されていてもよく、この場合、表示部１０４は操作部１０３と同様にユーザによる操作入力を受け付けることができる。

撮像手段としてのカメラ１０５は、複合機１００を操作するユーザの顔が映る所定の検知範囲を撮像する。原稿画像読取手段としてのスキャナ１１０は原稿の画像を読み取る。警告部１０６は必要に応じて警告音や警告光によってユーザに警告を発する。警告音は、例えば、音声合成装置により合成された、所定のメッセージを伝える音声や、警告用ブザーにより発生されるブザー音などであってもよい。警告光は、例えば、ＬＥＤ(Light Emitting Diode)の点灯や点滅により発せられる光でもよい。また、制御部１０１は、警告部１０６に対して警告を出力するように指示を出す代わりに、又は、それに加えて、表示部１０４に警告を表示するように指示を出してもよい。記憶部１１１は各種データや制御プログラムを記憶し、制御部１０１はその制御プログラムを記憶部１１１から読み出して実行し、また、実行中に各種データを記憶部１１１に対して読み書きする。また、記憶部１１１は、セキュリティ監視機能の起動を契機として取得したユーザの顔情報を記憶してもよい。

制御部１０１は、複合機１００の各機能部を制御することに加えて、保護すべき情報の漏洩を防止するセキュリティ機能を実現するために、顔検知部１１４及びセキュリティ保護部１１５を備える。顔検知部１１４は、カメラ１０５により撮像された画像中に存在する人の顔を検知する。セキュリティ保護部１１５は、複合機１００においてセキュリティ監視機能が作動中に情報漏洩の危険性が高い所定の条件が満たされたとき、セキュリティ保護機能を発動する。

図２は、本発明の第１の実施形態による複合機１００の構成例を示す図である。

複合機１００は、外部から伝送され、もしくはスキャナ１１０で読み取った画像データを記録紙に画像形成するもので、装置本体１３０と、スキャナ１１０に読取原稿を搬送するための自動原稿処理装置１２０を備える。

装置本体１３０は、露光ユニット１、現像器２、感光体ドラム３、クリーナユニット４、帯電器５、中間転写ベルトユニット６、定着ユニット７、給紙カセット８１、排紙トレイ９１等を備える。

装置本体１３０の上部には、透明ガラスからなる原稿載置台９２が設けられ、その上側には原稿載置台９２に原稿を自動搬送する自動原稿処理装置１２０が取り付けられる。自動原稿処理装置１２０は矢印Ｍ方向に回動自在に構成され、原稿載置台９２の上を開放することにより原稿を手置きで置くことができるようになっている。

装置本体１３０は、筐体内に収容されるスキャナ１１０を備える。スキャナ１１０は、光源及び第１ミラーを保持する光源ユニット９３と、第２及び第３ミラーを保持するミラーユニット９４と、レンズ及びＣＣＤ９５とから構成された縮小光学系の画像読取手段である。また、装置本体１３０には、図２には示していない操作パネル１０２が設けられ、ユーザによる操作入力が可能となっている。操作パネル１０２は図１に示すように操作部１０３と表示部１０４を含む。また、装置本体１３０には、有線又は無線で外部接続された装置から画像データを入力する手段、及び、可搬型の記録媒体（メモリーカードなど）から画像データを読み取る手段（いずれも図示せず）のうちの少なくとも１つを備えていてもよい。

複合機１００において扱われる画像データは、例えばブラック（Ｋ）、シアン（Ｃ）、マゼンタ（Ｍ）、イエロー（Ｙ）の４色のカラー画像に応じたものである。従って、現像器２、感光体ドラム（像担持体）３、帯電器５、クリーナユニット４は、各色に応じた４種類の潜像を形成するようにそれぞれ４個ずつ設けられ、これらにより４つの画像ステーションが構成されている。

帯電器５は、感光体ドラム３の表面を所定の電位に均一に帯電させるための帯電手段であり、図２に示すようなチャージャ型の他、接触型のローラ型やブラシ型の帯電器が用いられることもある。

露光ユニット１は、レーザ出射部、反射ミラー等を備えたレーザスキャニングユニット（ＬＳＵ）として構成される。露光ユニット１は、レーザビームを走査するポリゴンミラーと、ポリゴンミラーによって反射されたレーザ光を感光体ドラム３に導くためのレンズやミラー等の光学要素が配置されている。また、露光ユニット１としては、この他にも発光素子をアレイ状に並べた例えばＥＬ(Electro-Luminescence)やＬＥＤ(Light Emitting Diode)書込みヘッドを用いる手法も採用できる。

露光ユニット１は、帯電された感光体ドラム３を入力された画像データに応じて露光することにより、その表面に、画像データに応じた静電潜像を形成する機能を有する。現像器２は、それぞれの感光体ドラム３上に形成された静電潜像を４色（Ｙ、Ｍ、Ｃ、Ｋ）のトナーにより顕像化するものである。また、クリーナユニット４は、現像・画像転写後における感光体ドラム３上の表面に残留したトナーを、除去・回収する。

感光体ドラム３の上方に配置されている中間転写ベルトユニット６は、中間転写ベルト６１、中間転写ベルト駆動ローラ６２、中間転写ベルト従動ローラ６３、中間転写ローラ６４、及び中間転写ベルトクリーニングユニット６５を備えている。中間転写ローラ６４は、Ｙ、Ｍ、Ｃ、Ｋの各色に対応して４本設けられている。

中間転写ベルト駆動ローラ６２、中間転写ベルト従動ローラ６３、及び中間転写ローラ６４は、中間転写ベルト６１を張架して回転駆動させる。また、各中間転写ローラ６４は、感光体ドラム３のトナー像を中間転写ベルト６１上に転写するための転写バイアスを中間転写ベルト６１に対して与える。

中間転写ベルト６１は、各感光体ドラム３に接触するように設けられている、そして、感光体ドラム３に形成された各色のトナー像を中間転写ベルト６１に順次的に重ねて転写することによって、中間転写ベルト６１上にカラーのトナー像（多色トナー像）を形成する。中間転写ベルト６１は、例えば厚さ１００μｍ〜１５０μｍ程度のフィルムを用いて無端状に形成されている。

感光体ドラム３から中間転写ベルト６１へのトナー像の転写は、中間転写ベルト６１の裏側に接触している中間転写ローラ６４によって行われる。中間転写ローラ６４には、トナー像を転写するために高電圧の転写バイアス（トナーの帯電極性（−）とは逆極性（＋）の高電圧）が印加されている。中間転写ローラ６４は、直径８〜１０ｍｍの金属（例えばステンレス）軸をベースとし、その表面が導電性の弾性材（例えばＥＰＤＭ(Ethylene Propylene Diene Monomer)、発泡ウレタン等）により覆われているローラである。この導電性の弾性材により、中間転写ベルト６１に対して均一に高電圧の転写バイアスを印加することができる。本構成例では転写電極としてローラ形状を使用しているが、それ以外にブラシなども用いることが可能である。

上述の様に各感光体ドラム３上で各色相に応じて顕像化された静電像は、中間転写ベルト６１で積層される。このように積層された静電像は、中間転写ベルト６１の回転によって、後述の用紙と中間転写ベルト６１の接触位置に配置される二次転写機構部である転写ローラ１０によって記録紙に転写される。二次転写機構部としては、転写ローラに限らず、コロナチャージャや転写ベルトを用いることも可能である。

このとき、中間転写ベルト６１と転写ローラ１０は所定ニップで圧接されるとともに、転写ローラ１０にはトナーを用紙に転写させるための電圧が印加される（トナーの帯電極性（−）とは逆極性（＋）の高電圧）。さらに、転写ローラ１０は、上記ニップを定常的に得るために、転写ローラ１０若しくは中間転写ベルト駆動ローラ６２の何れか一方を硬質材料（金属等）とし、他方を弾性ローラ等の軟質材料（弾性ゴムローラ、または発泡性樹脂ローラ等々）としている。

また、上記のように、感光体ドラム３に接触することにより中間転写ベルト６１に付着したトナー、若しくは転写ローラ１０によって記録紙に転写が行われず中間転写ベルト６１上に残存したトナーは、次工程でトナーの混色を発生させる原因となるために、中間転写ベルトクリーニングユニット６５によって除去・回収されるように設定されている。中間転写ベルトクリーニングユニット６５には、中間転写ベルト６１に接触する例えばクリーニング部材としてクリーニングブレードが備えられており、クリーニングブレードが接触する中間転写ベルト６１は、裏側から中間転写ベルト従動ローラ６３で支持されている。

上記の中間転写ベルトユニット６及び転写ローラ１０によって図１の転写部１０８が構成される。感光体ドラム３と中間転写ベルト６１とを接触または離間させる図示しない駆動機構部を有している。

給紙カセット８１は、画像形成に使用する記録紙（シート）を蓄積しておくためのトレイであり、装置本体１３０の露光ユニット１の下側に設けられている。また、手差し給紙カセット８２にも画像形成に使用する記録紙を置くことができる。装置本体１３０の上方に設けられている排紙トレイ９１は、印刷済みの記録紙をフェイスダウンで集積するためのトレイである。

また、装置本体１３０には、給紙カセット８１及び手差し給紙カセット８２の記録紙を転写ローラ１０及び定着ユニット７を経由させて排紙トレイ９１に送るための、略垂直形状の用紙搬送路Ｓ１が設けられている。給紙カセット８１ないし手差し給紙カセット８２から排紙トレイ９１までの用紙搬送路Ｓ１の近傍には、ピックアップローラ１１ａ、１１ｂ、複数の搬送ローラ１２ａ〜１２ｄ、レジストローラ１３、転写ローラ１０、定着ユニット７等が配置されている。

搬送ローラ１２ａ〜１２ｄは、記録紙の搬送を促進・補助するための小型のローラであり、用紙搬送路Ｓ１及びＳ２に沿って複数設けられている。また、ピックアップローラ１１ａは、給紙カセット８１の端部近傍に備えられ、給紙カセット８１から記録紙を１枚ずつピックアップして用紙搬送路Ｓ１に供給する。同様に、ピックアップローラ１１ｂは、手差し給紙カセット８２の端部近傍に備えられ、手差し給紙カセット８２から記録紙を１枚ずつピックアップして用紙搬送路Ｓ１に供給する。

また、レジストローラ１３は、用紙搬送路Ｓ１又はＳ２を搬送されている記録紙を一旦保持するものである。そして、中間転写ベルトユニット６上のトナー像の先端と記録紙の先端を合わせるタイミングで記録紙を転写ローラ１０に搬送する機能を有している。

定着ユニット７は、図１の定着部１０９に相当するものであり、ヒートローラ７１及び加圧ローラ７２を備えている。ヒートローラ７１及び加圧ローラ７２は、記録紙を挟んで回転するようになっている。また、ヒートローラ７１は、図示しない温度検出器からの信号に基づいて制御手段によって所定の定着温度を維持するように設定されており、加圧ローラ７２とともにトナーを記録紙に熱圧着することにより、記録紙に転写された多色トナー像を溶融・混合・圧接し、記録紙に対して熱定着させる機能を有している。また、ヒートローラ７１を外部から加熱するための外部加熱ベルト７３が設けられている。

次に、記録紙の搬送経路をより具体的に説明する。上述のように、複合機１００には、予め記録紙を収納する給紙カセット８１、及び手差し給紙カセット８２が設けられている。これら給紙カセット８１、８２から記録紙を給紙するために、各々ピックアップローラ１１ａ、１１ｂが配置され、記録紙を１枚ずつ用紙搬送路Ｓ１に導くようになっている。

各給紙カセット８１、８２から搬送される記録紙は、用紙搬送路Ｓ１の搬送ローラ１２ａによってレジストローラ１３まで搬送され、記録紙の先端と中間転写ベルト６１上の画像情報の先端を整合するタイミングで転写ローラ１０に搬送され、記録紙上に画像情報が書き込まれる。その後、記録紙は定着ユニット７を通過することによって記録紙上の未定着トナーが熱で溶融・固着され、その後に配置された搬送ローラ１２ｂを経て排紙トレイ９１上に排出される。

上記の搬送経路は、記録紙に対する片面印字要求のときのものであるが、これに対して両面印字要求のときは、上記のように片面印字が終了し定着ユニット７を通過した記録紙の後端が最終の搬送ローラ１２ｂで把持されたときに、搬送ローラ１２ｂが逆回転することによって記録紙を搬送ローラ１２ｃ、１２ｄが配置された用紙搬送路Ｓ２に導く。そして、用紙搬送路Ｓ２は用紙搬送路Ｓ１に合流して、記録紙はレジストローラ１３から転写ローラ１０に搬送される。このとき、用紙搬送路Ｓ２からＳ１に合流する段階で記録紙の表裏が反転されているため、転写ローラ１０では記録紙の裏面に印刷が行わる。そして、裏面に印刷された記録紙は定着ユニット７で定着され、排紙トレイ９１に排出される。

図３は、本発明の第１の実施形態による複合機１００と周辺機器のブロック図である。複合機１００は、制御部１０１、カメラ１０５、スキャナ１１０、画像形成部１０７、操作部１０３、表示部１０４、記憶部１１１、通信Ｉ／Ｆ１１２、警告部１０６を備え、これらがバスなどを介して相互に接続されている。また、複合機１００は、通信Ｉ／Ｆ１１２を介して外部記憶装置１４３や、ネットワーク１４０を経由して認証サーバ１４１やＰＣ(Personal Computer)１４２に接続されていてもよい。

制御部１０１は、記憶部１１１に記憶されたプログラムに従い複合機１００の各部を制御する。カメラ１０５は複合機１００を操作するユーザの顔情報が取得できるように設置されており、取得された顔情報を元に制御部１０１にて顔認識及び顔識別を行う。ユーザは操作パネル１０２の操作部１０３を操作することで複合機１００の各種動作の実行や情報の閲覧を行うことが出来る。操作パネル１０２は、ユーザが操作部１０３を操作する際に必要な情報や関連する情報を提示する操作画面、ユーザが情報の閲覧を行う際に当該情報を提示する閲覧画面などを表示する表示部１０４を備える。

スキャナ１１０は、原稿を画像情報として複合機１００の内部へ取り込むことが出来る。取り込んだ画像情報を表す画像データは表示部１０４に表示されたり、記憶部１１１に格納されたり、画像形成部１０７を用いて記録紙に印刷されたりする。

複合機１００は、外部のネットワーク１４０と通信Ｉ／Ｆ１１２を介して接続される。ネットワーク１４０には認証サーバ１４１が接続されており、複合機１００は認証サーバ１４１と通信できる。認証サーバ１４１には複数の複合機が接続されていてもよい。

ユーザ認証を行う場合は、複合機１００と認証サーバ１４１との間で通信を行い認証の成否を判断する。但し、認証サーバ１４１の認証に係る機能が複合機１００に含まれていてもよく、その場合は、認証操作のために複合機１００をネットワーク１４０に接続する必要はない。

複合機１００は、通信Ｉ／Ｆ１１２を介して外部記憶装置１４３と接続できる。外部記憶装置１４３はネットワーク１４０も経由して接続されていてもよい。複合機１００は、外部記憶装置１４３に格納されたデータに基づいた情報を表示部１０４に表示したり、画像形成部１０７で印刷したりできる。

複合機１００は、ネットワーク１４０に接続されたＰＣ１４２と通信Ｉ／Ｆ１１２を介して通信できる。複合機１００は、ＰＣ１４２から受信したデータに基づいた情報を表示部１０４に表示したり、画像形成部１０７で印刷したりできる。

外部のＰＣ１４２からセキュリティ保護対象のファイルを印刷する場合で、ＰＣ１４２が複合機１００から離れた場所に設置されている場合は、ＰＣ１４２からの印刷指示後すぐに印刷開始するのではなく、改めて複合機１００の操作部１０３を用いてユーザ認証を行ってから印刷開始するようにする。

次に、図４の処理フローチャートに従って本発明の第１の実施形態に関する処理手順を説明する。

第１の実施形態では、複合機１００を使用して行う作業のうち、事前にユーザ認証を要する作業の開始に伴って処理フローが開始される（Ｓ２００）。ここで、事前にユーザ認証を要する作業は、例えば、セキュリティ保護対象のファイルの閲覧や印刷、パスワード付きファイルの閲覧や印刷、管理者権限を必要とする複合機１００の各種設定の変更や各種動作の実行、ユーザ毎に設定されている個人データの閲覧や印刷、セキュリティ関連情報の閲覧や印刷、パスワード付きアドレス帳の閲覧や印刷などである。これら以外にも、情報の閲覧や動作の実行をユーザ毎に制限したい作業を対象としてもよい。保護対象の情報、データ、ファイルなどは、例えば、記憶部１１１に格納されているものである。また、保護対象の情報、データ、ファイルなどは、複合機１００に直接装着されるＵＳＢ(Universal Serial Bus)メモリ、メモリーカードなどの可搬型の記録媒体に格納されているものでもよく、通信Ｉ／Ｆ１１２を介して有線又は無線で外部接続された装置から送信されてくるものでもよい。なお、閲覧は、操作パネル１０２の表示部１０４に必要な情報等を表示させて行う。印刷は、画像形成部１０７、記録紙搬送部１１３等を用いて行う。ステップＳ２００で処理フローが開始されると、ステップＳ２０１に進む。

ステップＳ２０１では、ユーザ認証処理のためにユーザからのユーザ認証情報の入力を、例えば、操作部１０３から受け付ける。入力されるユーザ認証情報は、ユーザ名とパスワードの組や、ユーザの生体情報を元にした認証データ、認証用のデバイスから取得されるデータであってもよい。ユーザの顔情報を取得して、顔認証を行う場合には、認証のために取得した顔情報を下記の顔認識及び顔識別（Ｓ２０７）で使用してもよい。

次に、ステップＳ２０２では、ステップＳ２０１で受け付けたユーザ認証情報を基に、ユーザ認証を行う。具体的には、ネットワーク１４０に接続された認証サーバ１４１に、通信Ｉ／Ｆ１１２を介してユーザ認証情報を送信し、認証サーバ１４１にユーザ認証を依頼する。複合機１００がユーザ認証を行う機能部を備えていれば、外部の認証サーバ１４１でユーザ認証を行う代わりに、複合機１００においてユーザ認証を行ってもよい。

次に、ステップＳ２０３では、ステップＳ２０２でユーザ認証を実行した認証サーバ１４１との通信によってユーザ認証の成否を調べる。ユーザ認証に失敗したことが判明すると（Ｓ２０３でＮＯ）、ステップＳ２０１に戻って再度ユーザ認証情報の入力を行う。ユーザ認証に成功したことが判明すると（Ｓ２０３でＹＥＳ）、セキュリティ監視機能を起動し（Ｓ２０４）、ステップＳ２０５に進む。ここで、ユーザ認証は、ステップＳ２０１で取得したユーザ認証情報を基に、ユーザの利用資格を確認する処理であり、ユーザ認証に成功とは、ユーザの利用資格が確認できることであり、ユーザ認証に失敗とは、ユーザの利用資格が確認できないことである。セキュリティ監視機能は、セキュリティ保護機能を発動させる状況にあるか否かを監視する機能である。

ステップＳ２０４でのセキュリティ監視機能の起動を契機に、ユーザ認証に成功したユーザの顔情報を、撮像手段であるカメラ１０５によって取得し、記録する（Ｓ２０５）。ステップＳ２０５の顔情報の取得及び記録は、セキュリティ監視機能の起動後直ちに行ってもよいし、一定の時間経過後に行うようにしてもよい。後者の場合は、例えば、顔情報を取得する旨のメッセージを表示部１０４に表示するか、又は、或いはそれに加えて、音声合成技術を用いて合成した音声によって上記メッセージをユーザに伝えて注意を喚起し、その後でカメラ１０５を作動して顔情報を取得する。メッセージは、例えば、「カメラで顔を撮影します」などとしてもよい。このようにすることで、顔情報の取得に失敗する可能性を下げることができる。取得した顔情報は記憶部１１１などに格納しておく。

ステップＳ２０５では、取得した顔情報が適切な情報であるか否かを判定してもよい（図示せず）。適切な顔情報でない場合には再度、ユーザの顔情報の取得を試みる。適切な顔情報の場合には、次のステップＳ２０６に進む。再試行しても適切な顔情報を取得できない回数が所定回数に達したら、図示していないが、ステップＳ２０１に戻るようにしてもよい。

また、ステップＳ２０５では、セキュリティ監視機能の起動を契機にカメラ１０５によりユーザの顔情報を取得したが、その代わりに、ユーザが予め顔情報を登録しておき、ユーザ認証によって特定されるユーザＩＤに基づいて、予め登録しておいた顔情報を取得するようにしてもよい。この場合には、登録していない不特定多数のユーザに対しては適用できないこと、登録時とは髪型が変わっていたり、メガネの有無などの違いにより、ユーザの顔検知ができない場合があること、ユーザ情報の定期的な更新が必要になること等の制約があり、これらが許容できる用途に限定するのが好ましい。

ステップＳ２０６では、認証状態が解除されているか否かを判定する。認証状態とは、ステップＳ２００で開始した、事前にユーザ認証を要する作業を、ユーザが複合機１００を操作して実行できるような状態をいう。ユーザ認証が成功することにより（Ｓ２０３でＹＥＳ）、認証解除状態から認証状態になる。認証解除状態は、認証状態が解除された状態であって、ユーザ認証を要する作業を行うことができない状態である。認証状態にあるとき、認証状態を解除する操作である認証解除操作が実行されると、認証解除状態に移行する。認証解除操作は、ステップＳ２０２でのユーザ認証に成功したユーザの認証状態を解除する操作であり、例えば、ステップＳ２００で開始した、事前にユーザ認証を要する作業の終了や中止を、ユーザによる操作部１０３の操作によって制御部１０１に知らせる操作などである。認証解除操作が実行されると、直ちに、表示部１０４に表示されている内容からセキュリティ保護対象の情報を非表示とすることが望ましい。ユーザによる操作入力がなくても、ステップＳ２００で開始した、事前にユーザ認証を要する作業の終了や中止を、制御部１０１が検知したならば、認証解除状態に移行するようにしてもよい。また、ユーザ入力の無い状態が所定時間以上継続すると、認証状態が解除されたと判断してもよい。ステップＳ２０６において認証状態が解除されていれば（ＹＥＳ）、セキュリティ監視機能を停止し（Ｓ２１０）、本処理フローを終了する（Ｓ２１１）。

ステップＳ２０６で認証状態が解除されていなければ（Ｓ２０６でＮＯ）、ステップＳ２０５で取得したユーザの顔情報に基づいて、顔検知部１１４が、顔認識及び顔識別の処理を行う（Ｓ２０７）。ステップＳ２０７の顔認識及び顔識別の処理では、まず顔認識の処理を行い、次いで、その顔認識の結果を用いて顔識別の処理を行う。なお、「顔認識」とは、画像の中から人の顔の部分を検出することを意味し、「顔識別」とは、顔認識で検出した人の顔の部分について、ユーザの顔か否かを識別することを意味する。

顔認識は、例えば、以下の様な手順で行う。
（１）事前に、標準顔情報を集めて、標準顔の画像Ａを作成しておく。ここで、標準顔情報とは、いわゆる平均顔の情報のことである。
（２）次に、カメラ１０５で撮影した画像Ｂを取得する。このとき、カメラ１０５は、複合機１００を操作しているユーザが存在しているとすると、そのユーザの顔が撮影画像中に映るように、位置及び方向が設定されている。
（３）次に、取得した画像Ｂに対し、標準顔画像Ａを端から順にずらしながら標準顔画像Ａと比較（探索）していき、標準顔画像Ａと一定以上の類似性がある領域が存在すれば、その領域を人の顔として認識する。必要に応じて、標準顔画像Ａを拡大縮小、回転、変形などさせながら探索することで、検出率を向上させる。画像Ｂ中に存在する人の顔を探索できたならば、当該人の顔が存在している領域での画像から、その人の顔画像Ｃを取得する。この顔画像Ｃは、人の顔の画像ではあるが、ステップＳ２０５で取得したユーザの顔であるか否かは確認されていない画像であり、以下では「未確認顔画像」と称する。

次に、顔認識で取得した未確認顔画像Ｃを用いて、顔識別を以下の様な手順で行う。
（４）まず、ステップＳ２０５で取得しておいた、ユーザが映っている画像を用いて、上記の顔認識の手法によって画像中の顔領域を検出する。この顔領域の画像をユーザ顔画像Ｄとして取得する。
（５）未確認顔画像Ｃとユーザ顔画像Ｄの両方で、目、眉、鼻、口、輪郭等のパーツを検出する。これらのパーツは、本質的には顔認識と同じ手法による探索で検出できる。
（６）未確認顔画像Ｃとユーザ顔画像Ｄについて、それぞれのパーツごとに類似性を比較する。また、個々のパーツの位置関係の類似性を比較する。例えば、左右の目の距離、両目と口との三角形の形状などを両者で比較する。
（７）上記（６）の各類似性を基に、全体として類似性を求め、全体としての類似性が所定値以上である場合、未確認顔画像Ｃに示される人の顔画像がユーザ顔画像Ｄに示されるユーザの顔画像と同一であると判断する。
このような顔認識及び顔識別処理により、カメラ１０５で撮影した画像中に人の顔が映っているか否か、人の顔が映っている場合には、映っている人毎にユーザと同一人物であるか否か、についての情報が少なくとも取得できる。

上記した顔認識の方法と顔識別の方法は、あくまで簡略化した一例であり、細部の最適化等を含めると多種多様な方法が提案、実用化されており、本発明の実施形態において任意の方法を適用できる。

なお、「顔検知」というときは、顔認識処理により、カメラ１０５で撮った画像の中から人の顔の領域である未確認顔画像を認識、取得し、この未確認顔画像とステップＳ２０５で取得したユーザ顔画像とを用いて顔識別処理を行って未確認顔画像に示される人の顔がユーザの顔であるか否かを確認する一連の処理を意味する。

次に、ステップＳ２０８において、ステップＳ２０７で実行した顔認識及び顔識別処理でユーザの顔検知に成功したか否かを判断する。成功したと判断される場合は（Ｓ２０８でＹＥＳ）、ステップＳ２０６に戻る。顔認識及び顔識別処理でユーザの顔検知に失敗したと判断される場合は（Ｓ２０８でＮＯ）、次のステップＳ２０９に進む。このようにして、認証状態の解除が確認されるか、又は、顔認識及び顔識別処理でユーザの検知に失敗したことが確認されるまで、継続して顔認識及び顔識別処理が実行される。

ステップＳ２０８において、ステップＳ２０７で実行した顔認識及び顔識別処理でユーザの顔検知に失敗したと判断される条件としては、図１２で示される使用状況の図において、ステップＳ２０２でユーザ認証されたユーザ（Ａ）１５１が検知範囲１５０の外に出た場合や、一定時間ユーザ（Ａ）１５１の顔を検知できなかった場合等の条件が考えられる。また、検知範囲１５０の内にユーザ（Ａ）１５１以外の人の顔情報を検知した場合にも失敗と判断してもよい。

ステップＳ２０９では、ユーザに警告を発する。警告を発する代わりに、又はそれに加えて、認証解除を行ってもよい。このステップＳ２０９は、セキュリティ保護部１１５がセキュリティ保護機能を発動するステップである。警告を発する場合、制御部１０１が警告部１０６に警告音若しくは警告光、又はそれら両方を発するよう指示する。警告音は、音声合成技術により合成した音声や、警告ブザーにより発せられるブザー音などでもよい。例えば、音声合成技術により、「セキュリティ保護に注意して下さい」などのメッセージを合成音声でユーザに伝えるようにしてもよい。警告光は、例えば、複合機１００の上部又は側部の視認しやすい場所に設置したＬＥＤを点灯又は点滅させることにより、発せられる光であってもよい。このようにすることで、ユーザが複合機１００から離れてしまったとしても、警告音等が届く範囲内に存在していれば、注意を喚起して呼び戻すことができる。また、表示部１０４に警告を表示するようにしてもよい。例えば、「他の人の覗き込みに注意して下さい」などのメッセージを表示部１０４に表示するようにしてもよい。

ステップＳ２０９において警告等のセキュリティ保護機能を発動する場合には、セキュリティ保護機能を発動させた原因に応じて、警告の仕方を変えるようにする。セキュリティ保護機能を発動させる原因としては、例えば、図１２において複合機１００を操作しているユーザ（Ａ）１５１が所定の検出範囲１５０内で検知できないとき、ユーザ（Ａ）１５１以外の人が検知範囲１５０内で検知されたときなどがある。ユーザを検知範囲内で検知できないことを原因とする場合には、例えば、「セキュリティ機能が作動中です。機器から離れないで下さい。」などのメッセージを合成音声でユーザに伝える。また、ユーザ以外の人を検知範囲内で検知したことを原因とする場合には、例えば、「セキュリティ機能が作動中です。他の人の覗き込みに注意してください。」などのメッセージを合成音声でユーザに伝えるか、又は、或いはそれに加えて、表示部１０４にも同様のメッセージを表示する。このように、セキュリティ保護機能を発動させた原因ごとに、警告の仕方を変えることで、より適切な対応をユーザに取らせることが可能になる。

ステップＳ２０９における認証解除は、制御部１０１によって認証状態を強制的に解除するものである。認証状態が解除されると、再度のユーザ認証を行わない限り、事前にユーザ認証を要する作業は実行できない。認証解除の代わりに、事前にユーザ認証を要する作業を強制的に終了させてもよい。

ステップＳ２０９で警告や認証解除などのセキュリティ保護機能が発動されると、セキュリティ監視機能を停止し（Ｓ２１０）、本処理フローを終了する（Ｓ２１１）。

次に、セキュリティ保護機能の発動条件について図５〜図８を基に説明する。セキュリティ保護機能の発動条件が満たされれば、ステップＳ２０９でセキュリティ保護機能が発動する。図４において、破線で囲ったＳＰ部がセキュリティ保護機能の発動の仕方を示した部分である。

（セキュリティ保護機能の発動条件１）
図５は、図４のＳＰ部での処理の詳細を示すフローチャートである。

セキュリティ監視起動の起動（Ｓ２０４）を契機にユーザの顔情報を取得して記録すると（ステップＳ２０５）、ＳＰ部が開始される（Ｓ２２０）。ＳＰ部が開始されると、まず、認証状態が解除されているか否かを調べる（Ｓ２２１）。認証状態が解除されていれば（Ｓ２２１でＹＥＳ）、ＳＰ部での処理を終了する（Ｓ２２６）。認証状態が解除されていなければ（Ｓ２２１でＮＯ）、ステップＳ２２２に進む。

ステップＳ２２２では、複合機１００を操作するユーザの顔が映る所定の検知範囲を撮像できるように位置及び方向が設定されたカメラ１０５により、検知範囲を撮像して画像を取得する。検知範囲については後で説明する。

次に、ステップＳ２０５で取得しておいたユーザの顔情報を基に、ステップＳ２２２で取得した画像に対して顔認識及び顔識別の処理を行う（Ｓ２２３）。顔認識及び顔識別処理の具体的方法は上記で説明した通りである。まず、顔認識処理を行う。顔認識処理では、予め作成しておいた標準顔画像に基づいて、ステップＳ２２２で取得した画像中に人の顔を探索する。画像中に人の顔が存在していれば、その顔が存在している領域の画像情報から未確認顔画像を取得する。次に、顔識別処理を行う。顔識別処理では、ステップＳ２０５で取得しておいたユーザの顔情報に基づいたユーザ顔画像と顔認識処理で取得した未確認顔画像とに基づいて、ステップＳ２２２で取得した画像中に検出された人の顔が、当該ユーザの顔と同一か否かを、顔の類似性等を考慮して判断する。このようにして、ステップＳ２２３の顔認識及び顔識別処理により、ステップＳ２２２で取得した画像中にユーザの顔が存在するか否かの情報が得られる。

次に、ステップＳ２２４において、ステップＳ２２３の顔認識及び顔識別処理で得られた情報を基に、ステップＳ２２２で得られた画像中に、ステップＳ２０５で顔情報を取得したユーザを検知できたか否かを判定する。当該ユーザを検知できた場合（Ｓ２２４でＹＥＳ）には、ステップＳ２２１に戻る。当該ユーザを検知できなかった場合（Ｓ２２４でＮＯ）には、ステップＳ２２５に進む。このようにして、認証状態の解除が確認されるか、又は、顔認識及び顔識別処理でユーザを検知できないことが確認されるまで、Ｓ２２１からＳ２２４までのステップを繰り返す。

ステップＳ２２４で当該ユーザを検知できなかった場合には、警告、認証解除などのセキュリティ保護機能を発動し（Ｓ２２５）、ＳＰ部の処理を終了する（Ｓ２２６）。

（セキュリティ保護機能の発動条件２）
図６は、図５に示す処理フローの代替案である。

セキュリティ監視起動の起動（Ｓ２０４）を契機にユーザの顔情報を取得して記録すると（ステップＳ２０５）、ＳＰ部が開始される（Ｓ２３０）。ＳＰ部が開始されると、まず、認証状態が解除されているか否かを調べる（Ｓ２３１）。認証状態が解除されていれば（Ｓ２３１でＹＥＳ）、ＳＰ部での処理を終了する（Ｓ２３７）。認証状態が解除されていなければ（Ｓ２３１でＮＯ）、ステップＳ２３２に進む。

ステップＳ２３２では、複合機１００を操作するユーザの顔が映る所定の検知範囲を撮像できるように位置及び方向が設定されたカメラ１０５により、検知範囲を撮像して画像を取得する。

次に、ステップＳ２０５で取得しておいたユーザの顔情報を基に、ステップＳ２３２で取得した画像に対して顔認識及び顔識別の処理を行う（Ｓ２３３）。顔認識及び顔識別処理の具体的方法は上記で説明した通りである。まず、顔認識処理を行う。顔認識処理では、予め作成しておいた標準顔画像に基づいて、ステップＳ２３２で取得した画像中に人の顔を探索する。画像中に人の顔が存在していれば、その顔が存在している領域の画像情報から未確認顔画像を取得する。次に、顔識別処理を行う。顔識別処理では、ステップＳ２０５で取得しておいたユーザの顔情報と顔認識処理で取得した未確認顔画像に基づいて、ステップＳ２３２で取得した画像中に検出された人の顔が、当該ユーザの顔と同一か否かを、顔の類似性等を考慮して判断する。このようにして、ステップＳ２３３の顔認識及び顔識別処理により、ステップＳ２３２で取得した画像中にユーザとは別の人の顔が存在するか否かの情報、及びその画像中にユーザの顔が存在するか否かの情報が得られる。

次に、ステップＳ２３４において、ステップＳ２３３の顔認識及び顔識別処理で得られた情報を基に、ステップＳ２３２で得られた画像中に、ステップＳ２０５で顔情報を取得したユーザ以外の人を検知できたか否かを判定する。当該ユーザ以外の人を検知できた場合（Ｓ２３４でＹＥＳ）には、ステップＳ２３６に進む。当該ユーザ以外の人を検知できなかった場合（Ｓ２３４でＮＯ）には、ステップＳ２３５に進む。

ステップＳ２３５では、ステップＳ２３３の顔認識及び顔識別処理で得られた情報を基に、ステップＳ２３２で得られた画像中に、ステップＳ２０５で顔情報を取得したユーザを検知できたか否かを判定する。当該ユーザを検知できた場合（Ｓ２３５でＹＥＳ）には、ステップＳ２３１に戻る。当該ユーザを検知できなかった場合（Ｓ２３５でＮＯ）には、ステップＳ２３６に進む。このようにして、認証状態の解除が確認されるか、又は、顔認識及び顔識別処理でユーザ以外の人を検知したことが確認されるか、又は、顔認識及び顔識別処理でユーザを検知できないことが確認されるまで、Ｓ２３１からＳ２３５までのステップを繰り返す。

ステップＳ２３６では、警告、認証解除などのセキュリティ保護機能を発動し、ＳＰ部の処理を終了する（Ｓ２３７）。

（セキュリティ保護機能の発動条件３）
図７は、図５に示す処理フローの別の代替案である。

セキュリティ監視起動の起動（Ｓ２０４）を契機にユーザの顔情報を取得して記録すると（ステップＳ２０５）、ＳＰ部が開始される（Ｓ２４０）。ＳＰ部が開始されると、まず、カウント値Ｎを初期値の０にする（Ｓ２４１）。

次に、認証状態が解除されているか否かを調べる（Ｓ２４２）。認証状態が解除されていれば（Ｓ２４２でＹＥＳ）、ＳＰ部での処理を終了する（Ｓ２５０）。認証状態が解除されていなければ（Ｓ２４２でＮＯ）、ステップＳ２４３に進む。

ステップＳ２４３では、複合機１００を操作するユーザの顔が映る所定の検知範囲を撮像できるように位置及び方向が設定されたカメラ１０５により、検知範囲を撮像して画像を取得する。

次に、ステップＳ２０５で取得しておいたユーザの顔情報を基に、ステップＳ２４３で取得した画像に対して顔認識及び顔識別の処理を行う（Ｓ２４４）。顔認識及び顔識別処理の具体的方法は上記で説明した通りである。まず、顔認識処理を行う。顔認識処理では、予め作成しておいた標準顔画像に基づいて、ステップＳ２４３で取得した画像中に人の顔を探索する。画像中に人の顔が存在していれば、その顔が存在している領域の画像情報から未確認顔画像を取得する。次に、顔識別処理を行う。顔識別処理では、ステップＳ２０５で取得しておいたユーザの顔情報と顔認識処理で取得した未確認顔画像に基づいて、ステップＳ２４３で取得した画像中に検出された人の顔が、当該ユーザの顔と同一か否かを、顔の類似性等を考慮して判断する。このようにして、ステップＳ２４４の顔認識及び顔識別処理により、ステップＳ２４３で取得した画像中にユーザとは別の人の顔が存在するか否かの情報、及びその画像中にユーザの顔が存在するか否かの情報が得られる。

次に、ステップＳ２４５において、ステップＳ２４４の顔認識及び顔識別処理で得られた情報を基に、ステップＳ２４３で得られた画像中に、ステップＳ２０５で顔情報を取得したユーザを検知できたか否かを判定する。当該ユーザを検知できた場合（Ｓ２４５でＹＥＳ）には、カウント値Ｎを初期値０に戻して（Ｓ２４６）、ステップＳ２４２に戻る。当該ユーザを検知できなかった場合（Ｓ２２４でＮＯ）には、カウント値Ｎの値を１だけ増し（Ｓ２４７）、カウント値Ｎが閾値ＴＨ１より大きいか否かを判定する（Ｓ２４８）。カウント値Ｎが閾値ＴＨ１より大きい場合（Ｓ２４８でＹＥＳ）には、ステップＳ２４９に進む。カウント値Ｎが閾値ＴＨ１より大きくない場合（Ｓ２４８でＮＯ）には、ステップＳ２４２に戻る。

このようにすることで、閾値ＴＨ１を越えない最大の整数をＫとすると、当該ユーザを連続してＫ回検知しなかった場合に、ステップＳ２４９に進む。ステップＳ２４２からステップＳ２４８を経てステップＳ２４２に戻る１回のループに要する時間をＴ秒とすると、Ｔ×Ｋ秒の間、当該ユーザを検知できない状態が続いたときに、セキュリティ保護機能を発動させることができることになる。Ｔ×Ｋ秒の大きさは、閾値ＴＨ１を変えることにより、調整できる。このような処理フローにすることで、ユーザが一時的に横を向いたとき、ユーザが一時的に屈んだとき、ユーザが一時的に横に移動したときなどにセキュリティ保護機能が発動してしまうのを防止できる。

ステップＳ２４８でＹＥＳのとき、すなわち、連続してＫ回ユーザを検知できなかったとき、警告、認証解除などのセキュリティ保護機能を発動し（Ｓ２４９）、ＳＰ部の処理を終了する（Ｓ２５０）。

（セキュリティ保護機能の発動条件４）
図８は、図５に示す処理フローの更に別の代替案である。

セキュリティ監視起動の起動（Ｓ２０４）を契機にユーザの顔情報を取得して記録すると（ステップＳ２０５）、ＳＰ部が開始される（Ｓ２６０）。ＳＰ部が開始されると、まず、カウント値Ｎとカウント値Ｍを初期値の０にする（Ｓ２６１）。

次に、認証状態が解除されているか否かを調べる（Ｓ２６２）。認証状態が解除されていれば（Ｓ２６２でＹＥＳ）、ＳＰ部での処理を終了する（Ｓ２７４）。認証状態が解除されていなければ（Ｓ２６２でＮＯ）、ステップＳ２６３に進む。

ステップＳ２６３では、複合機１００を操作するユーザの顔が映る所定の検知範囲を撮像できるように位置及び方向が設定されたカメラ１０５により、検知範囲を撮像して画像を取得する。

次に、ステップＳ２０５で取得しておいたユーザの顔情報を基に、ステップＳ２６３で取得した画像に対して顔認識及び顔識別の処理を行う（Ｓ２６４）。顔認識及び顔識別処理の具体的方法は上記で説明した通りである。まず、顔認識処理を行う。顔認識処理では、予め作成しておいた標準顔画像に基づいて、ステップＳ２６３で取得した画像中に人の顔を探索する。画像中に人の顔が存在していれば、その顔が存在している領域の画像情報から未確認顔画像を取得する。次に、顔識別処理を行う。顔識別処理では、ステップＳ２０５で取得しておいたユーザの顔情報と顔認識処理で取得した未確認顔画像に基づいて、ステップＳ２６３で取得した画像中に検出された人の顔が、当該ユーザの顔と同一か否かを、顔の類似性等を考慮して判断する。このようにして、ステップＳ２６４の顔認識及び顔識別処理により、ステップＳ２６３で取得した画像中にユーザとは別の人の顔が存在するか否かの情報、及びその画像中にユーザの顔が存在するか否かの情報が得られる。

次に、ステップＳ２６５において、ステップＳ２６４の顔認識及び顔識別処理で得られた情報を基に、ステップＳ２６３で得られた画像中に、ステップＳ２０５で顔情報を取得したユーザ以外の人を検知できたか否かを判定する。ステップＳ２６５で当該ユーザ以外の人（以下、単に別人ともいう）を検知できなかった場合（Ｓ２６５でＮＯ）には、カウント値Ｍを初期値０に戻し（Ｓ２６６）、ステップＳ２６７に進む。ステップＳ２６５で別人を検知できた場合（Ｓ２６５でＹＥＳ）には、カウント値Ｍの値を１だけ増し（Ｓ２７１）、カウント値Ｍが閾値ＴＨ２より大きいか否かを判定する（Ｓ２７２）。カウント値Ｍが閾値ＴＨ２より大きい場合（Ｓ２７２でＹＥＳ）には、ステップＳ２７３に進む。カウント値Ｍが閾値ＴＨ２より大きくない場合（Ｓ２７２でＮＯ）には、ステップＳ２６２に戻る。

このようにすることで、閾値ＴＨ２を越えない最大の整数をＬとすると、別人を連続してＬ回検知した場合に、ステップＳ２７３に進む。ステップＳ２６２からステップＳ２７２を経てステップＳ２６２に戻る１回のループに要する時間をＴ秒とすると、Ｔ×Ｌ秒の間、別人を検知している状態が続いたときに、セキュリティ保護機能を発動させることができることになる。Ｔ×Ｌ秒の大きさは、閾値ＴＨ２を変えることにより、調整できる。このような処理フローにすることで、情報を覗き見ることができないくらい短期間だけ、別人が一時的に検出されただけで、セキュリティ保護機能が発動してしまうことを防止できる。

ステップＳ２７２でＹＥＳのとき、すなわち、連続してＬ回別人を検知したとき、警告、認証解除などのセキュリティ保護機能を発動し（Ｓ２７３）、ＳＰ部の処理を終了する（Ｓ２７４）。

次に、ステップＳ２６７では、ステップＳ２６４の顔認識及び顔識別処理で得られた情報を基に、ステップＳ２６３で得られた画像中に、ステップＳ２０５で顔情報を取得したユーザを検知できたか否かを判定する。ステップＳ２６７で当該ユーザを検知できた場合（Ｓ２６７でＹＥＳ）には、カウント値Ｎを初期値０に戻し（Ｓ２６８）、ステップＳ２６２に戻る。ステップＳ２６７で当該ユーザを検知できなかった場合（Ｓ２６７でＮＯ）には、カウント値Ｎの値を１だけ増し（Ｓ２６９）、カウント値Ｎが閾値ＴＨ１より大きいか否かを判定する（Ｓ２７０）。カウント値Ｎが閾値ＴＨ１より大きい場合（Ｓ２７０でＹＥＳ）には、ステップＳ２７３に進む。カウント値Ｎが閾値ＴＨ１より大きくない場合（Ｓ２７０でＮＯ）には、ステップＳ２６２に戻る。

このようにすることで、閾値ＴＨ１を越えない最大の整数をＫとすると、当該ユーザを連続してＫ回検知できなかった場合に、ステップＳ２７３に進む。ステップＳ２６２からステップＳ２７０を経てステップＳ２６２に戻る１回のループに要する時間をＴ秒とすると、Ｔ×Ｋ秒の間、当該ユーザを検知できていない状態が続いたときに、セキュリティ保護機能を発動させることができることになる。Ｔ×Ｋ秒の大きさは、閾値ＴＨ１を変えることにより、調整できる。このような処理フローにすることで、ユーザが一時的に横を向いただけのとき、ユーザが一時的に屈んだとき、ユーザが一時的に横に移動したときなどに、セキュリティ保護機能が発動してしまうことを防止できる。

ステップＳ２７０でＹＥＳのとき、すなわち、連続してＫ回ユーザを検知できなかったとき、警告、認証解除などのセキュリティ保護機能を発動し（Ｓ２７３）、ＳＰ部の処理を終了する（Ｓ２７４）。

（検知範囲）
ここで、図１２を参照して検知範囲１５０について説明する。図１２（ａ）は、複合機１００をユーザ（Ａ）１５１が使用している状況を示す平面図であり、図１２（ｂ）は側面図である。検知範囲１５０は、ユーザ（Ａ）１５１が複合機１００を操作しているとすると、当該ユーザ（Ａ）１５１の顔が存在しているはずの空間範囲である。検知範囲１５０にユーザ（Ａ）１５１の顔が存在していなければ、複合機１００を操作可能な位置からユーザ（Ａ）１５１が離れたと見なすことができる。そのような検知範囲１５０内にユーザ（Ｂ）１５２が入ってきたならば、ユーザ（Ｂ）１５２は、操作パネル１０２に示されている情報を覗き見ることができると見なす。

図１２（ａ）の平面図に示されるように、上方から見た検知範囲１５０は、カメラ１０５のある位置を頂点の１つとする、破線で示された三角形の内側の範囲である。また、図１２（ｂ）の側面図に示されるように、側方から見た検知範囲１５０は、カメラ１０５のある位置を頂点の１つとする、破線で示された三角形の内側の範囲である。３次元で考えると、検知範囲１５０は、カメラ１０５のある位置を頂点とする四角錐（図示せず）の内側の範囲である。

カメラ１０５によって、少なくとも検知範囲１５０を含むような空間範囲を撮像する。この場合、カメラ１０５による撮像範囲全体を検知範囲１５０としてもよいし、その一部を検知範囲１５０としてもよい。このようにすれば、検知範囲１５０内にユーザ（Ａ）１５１の顔が入っていれば、カメラ１０５で撮った撮像画像中にユーザ（Ａ）１５１の顔を検出できる。

図１２（ａ）では、複合機１００を操作しているユーザ（Ａ）１５１の斜め後方にユーザ（Ｂ）１５２を存在しているが、ユーザ（Ｂ）１５２は検知範囲１５０には入っていない。この場合、操作パネル１０２からユーザ（Ｂ）１５２までの距離が十分あり、ユーザ（Ｂ）１５２は操作パネル１０２を覗き込めないので、セキュリティ保護機能を発動する必要はない。しかし、カメラの撮像範囲が広い場合、撮像画像中にユーザ（Ｂ）１５２の顔が映り込み、ユーザ（Ｂ）１５２が検知範囲１５０内に存在していると判断される可能性がある。これを避けるため、カメラ１０５からユーザ（Ｂ）１５２までの距離を求めて、ユーザ（Ｂ）１５２が検知範囲１５０内に存在するか否かについて判定してもよい。カメラ１０５からユーザ（Ｂ）１５２までの距離は、画像内の顔画像の大きさ等で簡易的に判別できる。より詳細に距離を測定するために、測距用の専用センサを搭載してもよいし、カメラ１０５をステレオカメラにすることで距離を測位してもよい。また、カメラ１０５の被写界深度を調整することにより、検知範囲１５０の外にいるユーザ（Ｂ）１５２の顔が鮮明に取得できないようにしてもよい。

カメラ１０５は、例えば、図１２（ａ）に示されるように、操作パネル１０２の上端などに近接させて設置する。ただし、カメラ１０５の設置位置は、ユーザ（Ａ）１５１の顔画像を取得できる位置であれば特に限定されるものではない。

（セキュリティレベルに基づいたセキュリティ保護機能）
セキュリティ保護部１１５は、セキュリティレベルに応じて複合機１００に対する各操作の許可及び不許可状態をユーザごとに切り替えるようにし、併せて、セキュリティ保護機能が発動されると、セキュリティレベルを高めるようにしてもよい。例えば、ユーザｘ、ユーザｙに対して、操作ｐ、操作ｑの許可及び不許可状態を、セキュリティレベルNormal、Alarmごとに次の表１に示すように設定してもよい。

表１に示す例では、セキュリティレベルがNormalのとき、ユーザｘは操作ｐを使用できるが、操作ｑを使用できず、ユーザｙは、操作ｐと操作ｑの両方を使用できる。このとき、セキュリティ保護機能が発動されると、セキュリティレベルをAlarmに高める。セキュリティレベルがAlarmでは、ユーザｘは操作ｐと操作ｑの両方が使用できず、ユーザｙは操作ｐを使用できるが、操作ｑを使用できない。このような構成により、ユーザ毎、操作毎、セキュリティレベル毎に、操作の許可及び不許可状態を設定できるので、一律に全ユーザに対し全操作を使用不可にするような措置に比べて柔軟な対応が可能になる。

また、セキュリティ保護機能が発動されてセキュリティレベルを高める際に、セキュリティ保護機能を発動させた原因を考慮して、原因別にセキュリティレベルの高め方を変えてもよい。セキュリティ保護機能を発動さる原因としては、例えば、図１２において複合機１００を操作しているユーザ（Ａ）１５１が所定の検出範囲１５０内で検知できないとき、ユーザ（Ａ）１５１以外の人が検知範囲１５０内で検知されたときなどがある。下の表２に、原因i、原因jごとに、セキュリティレベルの上げ方を変える例を示す。この例では、３段階のセキュリティレベルNormal、Alarm、Emergencyがあり、セキュリティレベルはこの順で高くなっているとする。

表２に示す例では、原因iによりセキュリティ保護機能が発動した場合には、セキュリティレベルをNormalからAlarmに上げる。原因ｊによりセキュリティ保護機能が発動した場合には、緊急性がより高いと判断してセキュリティレベルをNormalからEmergencyに上げる。このようにして、原因ごとに新たに設定されたセキュリティレベルに応じて複合機１００に対する各操作の許可及び不許可状態をユーザごとに切り替える。このような構成により、ユーザ毎、操作毎、セキュリティレベル毎、更には、原因毎に操作の許可及び不許可状態を設定でき、原因に応じて柔軟な対応が可能になる。

〔第２の実施形態〕
次に、本発明の第２の実施形態を説明する。

本発明の第２の実施形態のセキュリティ機能付き装置は、図１〜図３に示す第１の実施形態の複合機１００と同じ装置構成を有する。第１の実施形態との違いは、処理フローにおいて、セキュリティ保護機能を発動した後の対処の仕方にある。

図９は、本発明の第２の実施形態の処理手順を示すフローチャートである。ステップＳ２００からステップＳ２０８までは、第１の実施形態と同じである。図９において、ステップ２０８の顔認識及び顔識別処理でユーザの顔検知に失敗すると（NO）、ステップ２０９にてユーザに警告を発する。警告の仕方は、第１の実施形態と同じである。例えば、ユーザが検知範囲内にいないことが検知されたならば、「セキュリティ機能が作動中です。機器から離れないで下さい。」などのメッセージを合成音声でユーザに伝える。ユーザがこのメッセージを聞いて、複合機１００に戻ってきた場合には、ユーザが作業を継続して実行できるようにする。そのために、警告（Ｓ２０９）の後、再度、顔認識及び顔識別処理を実行する（Ｓ３００）。顔認識及び顔識別処理でユーザの顔検知に成功したならば（Ｓ３０１でYES）、ステップ２０６に戻る。顔認識及び顔識別処理でユーザの顔検知に失敗したならば（Ｓ３０１でＮＯ）、ユーザは戻ってこないものと判断し、認証状態を解除とセキュリティ監視機能を停止し（Ｓ２１０）、処理フローを終了させる（Ｓ２１１）。

ユーザがステップＳ２０９の警告を聞いて複合機１００まで戻ってくるまでには、ある程度の時間を要する場合もあるので、図示はしていないが、ステップＳ３００の顔認識及び顔識別処理の実行のステップ（Ｓ３００）とユーザの顔検知の成否の判断のステップ（Ｓ３０１）を所定回数繰り返し実行するようにしてもよい。例えば、ステップ３０１でNOの場合が連続してＫ回以上続いたならば、セキュリティ監視機能を停止し（Ｓ２１０）、処理フローを終了させる（Ｓ２１１）。ステップＳ３０１においてＮＯの場合でも、それが連続Ｋ回未満であれば、ステップＳ３００に戻る。このようにすることで、繰り返し回数Ｋを調整することにより、セキュリティ監視機能を停止（Ｓ２１０）するまでの時間を、ユーザが戻ってこれる程度の適切な長さに設定できる。

また、ステップＳ２０８の顔認識及び顔識別処理において、例えば、ユーザ以外の人を検知範囲内で検知した場合（Ｓ２０８でNO）にも、ユーザに「他の人の覗き込みに注意して下さい。」などのメッセージを合成音声で伝え、又は、或いはそれに加えて、同様の内容のメッセージを表示部１０４に表示する（Ｓ２０９）。このメッセージを受けて、ユーザが検知範囲に入っている人に対して、複合機１００から適切な距離だけ離れるように注意することもできる。また、検知範囲に入っている人が、メッセージを聞いて自発的に離れることも想定される。このように、再度、検知範囲にユーザ以外の人が検知されないようになった場合にも、図９に示す処理フローでは、ステップＳ３００及びＳ３０１を経てステップＳ２０６に戻るので、ユーザが作業を継続できる。

本発明の第２の実施形態によれば、セキュリティ保護機能を発動させた原因が、警告後に取り除かれたならば、ユーザ認証を要する作業を継続して実行できるので、ユーザ認証を再度行う必要がなくなる。
〔第３の実施形態〕
次に、本発明の第３の実施形態を説明する。

図１０は、本発明の第３の実施形態による複合機１００の要部構成例を示すブロック図である。セキュリティ機能付き装置である複合機１００は、制御部１０１が判定部１１６を備えている点を除いて、図１に示す第１の実施形態の複合機１００と構成が同じである。この判定部１１６は、スキャナ１１０を用いて画像読取を行った原稿、又は画像形成部１０７を用いて印刷する原稿がセキュリティ保護の対象か否かを判定する。

次に、図１１の処理フローチャートに従って本発明の第３の実施形態について処理手順を説明する。

第３の実施形態では、複合機１００を使用して行う作業のうち、ユーザ操作を要する作業の開始に伴って処理フローが開始される（Ｓ２８０）。ユーザ操作を要する作業とは、ユーザによる操作部１０３の操作に応じて、複合機１００が持つ機能、例えば、印刷、原稿画像読取、複写、ファクシミリ送信などの何れかを複写機１００が実行する、といった作業である。ユーザ操作とは、ユーザによる操作部１０３の操作であり、例えば、ユーザが操作部１０３を操作して原稿画像読取、複写、ファクシミリ送信のうち実行する機能を選択し、操作部１０３のスタートボタン等を押して制御部１０１に実行を指示するような操作のことである。ユーザ操作を要する作業には、上記で説明した事前にユーザ認証を要する作業のうち、ユーザによる操作部１０３の操作を必要とするような作業も含まれる。

また、外部のＰＣ１４２からセキュリティ保護対象のファイルを印刷する場合で、ＰＣ１４２が複合機１００から離れた場所に設置されている場合は、ＰＣ１４２からの印刷指示後すぐに印刷開始するのではなく、改めて複合機１００の操作部１０３を用いてユーザ操作を行ってから印刷開始するようにする。このような場合の印刷作業も、ユーザ操作を要する作業に含まれ、第３の実施形態の対象である。

次に、ステップＳ２８１では、判定部１１６が、ユーザ操作を要する作業において当該作業の対象となるもの、例えば、原稿画像読取を行う場合の原稿、複写を行う場合の原稿、印刷する場合のファイル、ファクシミリ送信する場合の原稿又はファイルなどに対して、セキュリティ情報の識別を行う（Ｓ２８１）。セキュリティ情報は、セキュリティ保護の要否に関する情報である。セキュリティ情報の識別とは、原稿などの作業対象からセキュリティ情報を識別し、その作業対象がセキュリティ保護の対象であるか否かを判定することである。

セキュリティ情報は、原稿、ファイルなどの作業対象から抽出する。例えば、原稿画像読取、複写などを行う場合には、自動原稿処理装置１２０又は原稿載置台９２にセットした原稿をスキャナ１１０でスキャンして原稿画像を取得し、その原稿画像内から特定のセキュリティ識別子を検出することにより、セキュリティ情報の抽出を行う。また、例えば、ファイルの印刷を行う場合には、ファイルに設定されたセキュリティ情報を取得し、セキュリティ保護の対象であるか否かを判別する。パスワード付きファイルであると判明すると、セキュリティ保護の対象であると判断する。印刷するファイルは、例えば、複合機１００の記憶部１１１、複合機１００に装着するＵＳＢメモリなど可搬型の記録媒体などに格納されているファイルでもよいし、有線又は無線で外部接続されたＰＣ１４２等から送信されてきたファイルでもよい。

原稿内のセキュリティ識別子は、例えば、特定の１次元又は２次元バーコード（ＱＲコード（登録商標））や、「社外秘」、「極秘」等の文字情報、電子透かしにより埋め込まれた特定の情報などであってもよい。これらのセキュリティ識別子は、画像情報として原稿に含まれている。１次元又は２次元バーコード（ＱＲコード（登録商標））については、スキャナ１１０により得られた原稿画像からバーコード画像を検出し、一般的なバーコード読取手段を用いてバーコードに含まれている情報を読み取る。「社外秘」、「極秘」等の文字情報については、ＯＣＲ(optical character recognition)等により原稿画像をテキスト化し、「社外秘」、「極秘」等の特定の文字、文字列、記号などを検索する方法が使用できる。また、「社外秘」、「極秘」等の特定の文字、文字列、記号などを図形として扱い、パターンマッチングを利用して、これら特定の文字、文字列、記号などを原稿画像から検出する方法を使用してもよい。電子透かしは、原稿内において、一般的に人間の目では判別の難しい箇所に情報を記録しておくものである。埋め込み方法としては、写真などの部分に特定のパターンを合成する方法や、テキスト部分に対して文字間隔やフォントの輪郭部分を変化させるなどの方法がある。検出時はこれらの情報を原稿画像から抽出する。

次のステップＳ２８２では、判定部１１６が、ステップＳ２８１のセキュリティ情報の識別の結果に基づき、原稿などの作業対象がセキュリティ保護の対象であるか否かを判定する。セキュリティ保護の対象でない場合（Ｓ２８２でＮＯ）には、処理フローを終了する（Ｓ２９０）。セキュリティ保護の対象であると判定された場合（Ｓ２８２でＹＥＳ）は、セキュリティ監視機能を起動する（Ｓ２８３）。

ステップＳ２８３でのセキュリティ監視機能の起動を契機に、操作中のユーザの顔情報を、撮像手段であるカメラ１０５によって取得し、記録する（Ｓ２８４）。ステップＳ２８４の顔情報の取得及び記録は、セキュリティ監視機能の起動後直ちに行ってもよいし、一定の時間経過後に行うようにしてもよい。後者の場合は、例えば、顔情報を取得する旨のメッセージを表示部１０４に表示するか、又は、或いはそれに加えて、音声合成技術を用いて合成した音声によってメッセージをユーザに伝えて注意を喚起し、その後でカメラ１０５を作動して顔情報を取得する。メッセージは、例えば、「カメラで顔を撮影します」などとしてもよい。このようにすることで、顔情報の取得に失敗する可能性を下げることができる。取得した顔情報は記憶部１１１などに格納しておく。

ステップＳ２８４では、取得した顔情報が適切な情報であるか否かを判定してもよい（図示せず）。適切な顔情報でない場合には再度、ユーザの顔情報の取得を試みる。適切な顔情報の場合には、次のステップＳ２８５に進む。

ステップＳ２８５では、作業が終了しているか否かを判定する。作業が終了していると判定されるための条件（以下、終了条件という）は、対象となる作業ごとに決められる。例えば、スキャナ１１０を用いた原稿画像読取の作業では、スキャナ１１０による原稿画像読取後に、原稿が原稿載置台９２又は自動原稿処理装置１２０から取り除かれることを終了条件とする。また、例えば、セキュリティ保護対象のファイルを印刷する作業では、画像形成部１０７による印刷後に、排紙トレイ９１から印刷物が取り除かれることを終了条件とする。また、例えば、複写の作業では、スキャナ１１０による原稿画像読取後に、原稿が原稿載置台９２又は自動原稿処理装置１２０から取り除かれ、かつ、画像形成部１０７による印刷後に、排紙トレイ９１から印刷物が取り除かれることを終了条件とする。また、ＵＳＢメモリなどの可搬型の記録媒体に格納されているパスワード保護されたデータについて閲覧、アクセス等を行う作業では、その可搬型の記録媒体を複合機１００から取り外したことを終了条件とする。また、作業の途中でユーザが操作部１０３を操作して作業の終了を制御部１０１に指示した場合にも、終了条件が満たされたと判断する。

ステップＳ２８５において作業が終了していると判定された場合（Ｓ２８５でＹＥＳ）は、セキュリティ監視機能を停止し（Ｓ２８９）、本処理フローを終了する（Ｓ２９０）。ステップＳ２８５において作業が終了していないと判定された場合（Ｓ２８５でＮＯ）は、ステップＳ２８４で取得したユーザの顔情報に基づいて、顔検知部１１４が顔認識及び顔識別の処理を行う（Ｓ２８６）。顔認識及び顔識別の処理は、第１の実施形態のステップＳ２０７の顔認識及び顔識別処理と同様の方法で行う。

次に、ステップＳ２８７において、ステップＳ２８６で実行した顔認識及び顔識別処理でユーザの顔検知に成功したか否かを判断する。成功したと判断される場合は（Ｓ２８７でＹＥＳ）、ステップＳ２８５に戻る。顔認識及び顔識別処理でユーザの顔検知に失敗したと判断される場合は（Ｓ２８７でＮＯ）、次のステップＳ２８８に進む。このようにして、作業の終了が確認されるか、又は、顔認識及び顔識別処理でユーザの顔検知に失敗したことが確認されるまで、継続して顔認識及び顔識別処理が実行される。

なお、顔認識及び顔識別処理で成功と判断された場合であっても、パスワード付きファイルの印刷中やセキュリティ関連情報へのアクセス中には、表示部１０４に「セキュリティ保護に注意」などのメッセージを表示したり、そのようなメッセージを合成音声で伝えるなどの警告を行ってもよい。

ステップＳ２８７において、ステップＳ２８６で実行した顔認識及び顔識別処理でユーザの顔検知に失敗したと判断される条件としては、図１２で示される使用状況の図において、作業を開始したユーザ（Ａ）１５１が検知範囲１５０の外に出た場合や、一定時間ユーザ（Ａ）１５１の顔を検知できなかった場合等の条件が考えられる。また、検知範囲１５０の内にユーザ（Ａ）１５１以外の人の顔情報を検知した場合にも失敗と判断してもよい。

ステップＳ２８８では、ユーザに警告を発する。警告を発する代わりに、又はそれに加えて、作業の停止を実施してもよい。作業の停止は、複合機１００で実行されている作業を停止することである。このステップＳ２８８は、セキュリティ保護部１１５がセキュリティ保護機能を発動するステップである。警告は、第１の実施形態のステップＳ２０９での警告と同様の方法で行う。

ステップＳ２８８において警告や認証解除などのセキュリティ保護機能が発動されると、セキュリティ監視機能を停止し（Ｓ２８９）、本処理フローを終了する（Ｓ２９０）。

なお、本発明のセキュリティ機能付き装置について、第１の実施形態及び第３の実施形態では複合機１００であるとして説明してきたが、その他にも、例えば、スキャナのみを備えた画像読取装置、印刷機のみを備えた画像形成装置、画像読取装置と画像形成装置を備えた複写装置などであってもよい。

［効果の説明］
本発明の第１の実施形態、第２の実施形態、及び第３の実施形態では、複合機に対して操作を行うユーザを、顔情報に基づいて、認識及び識別（すなわち検知）する。これにより、セキュリティ保護の対象となる操作を行っている場合に、複合機からユーザが離れたことを検知し、ユーザに対する警告や自動での認証解除などを行う。これにより、ユーザに対してセキュリティリスクを通知することができ、情報漏洩の回避やプライバシーの保護が実現できる。また、顔情報に基づいてユーザ検知を行うことで、対象ユーザ以外の人を検知でき、この場合にも警告を発することが出来るため、操作画面の覗き込みなどによるセキュリティリスクも回避できる。

〔第４の実施形態〕
図１３は、本発明の第４の実施形態における使用状況を示す図であり、図１３（ａ）が平面図、図１３（ｂ）が側面図である。第１の実施形態及び第３の実施形態では複合機にセキュリティ機能が付加されていたが、第４の実施形態では現金自動預け払い機（ＡＴＭ）にセキュリティ機能が付加されている点で両者は異なる。セキュリティ機能のうち第１の実施形態及び第３の実施形態と同様な部分についての説明は省略する。図１３に示されるように、現金自動預け払い機４００は、制御部（図示せず）、操作部と表示部を含む操作パネル４０２、カメラ４０５、カード挿入口４０３、現金取出口４０１を備える。

セキュリティ監視機能は、例えば、ユーザ（Ａ）４０７が認証カードをカード挿入口４０３に挿入したとき、すなわちユーザ認証の開始時に起動されるようにしてもよい。セキュリティ監視機能が起動されると、カメラ４０５によりユーザ（Ａ）４０７の顔情報を取得する。また、セキュリティ監視機能は、ユーザ（Ａ）４０７からパスワードを受け付ける状態の画面が操作パネル４０２に表示されたときに、起動されるようにしてもよい。更にまた、セキュリティ監視機能は、ユーザ（Ａ）４０７が操作パネル４０２を最初に操作したときに、起動されるようにしてもよい。ただし、ユーザ（Ａ）４０７が操作パネル４０２から暗証番号を入力する前に起動しておくのが好ましい。

セキュリティ保護機能は、例えば、セキュリティ監視機能の作動中にカメラ４０５により撮られた画像中にユーザ（Ａ）４０７の顔を検知できなくなったときに、発動させる。カメラ４０５は、検知範囲４０６を撮像するように設定される。また、セキュリティ保護機能は、セキュリティ監視機能の作動中にカメラ４０５により撮られた画像中にユーザ（Ａ）４０７以外の人の顔を検知したときに、発動させるようにしてもよい。図１３では、ユーザ（Ｂ）４０８は検知範囲４０６に入っていないので、セキュリティ監視機能は発動させないが、検知範囲４０６に入ると、操作パネル４０２をユーザ（Ａ）４０７の肩越しに覗き見ることができるので、セキュリティ監視機能を発動させる。

セキュリティ保護機能としては、例えば、現金取出口４０１の蓋を閉めるようにする。また、セキュリティ保護機能として、操作パネル４０２に表示されている機密情報を消すようにしてもよい。また、セキュリティ保護機能として、操作パネル４０２から入力を受け付けないようにしてもよい。また、音声合成技術を用いて「セキュリティ監視機能が作動しています」というメッセージを合成音声でユーザ（Ａ）４０７に伝えるようにしてもよい。なお、上記に例示したセキュリティ保護機能は、それぞれ単独で用いてもよいし、複数を組み合わせて用いてもよい。

〔第５の実施形態〕
図１４は、本発明の第５の実施形態における使用状況を示す図であり、図１４（ａ）が平面図、図１４（ｂ）が側面図である。第１の実施形態及び第３の実施形態では複合機にセキュリティ機能が付加されていたが、第５の実施形態ではパーソナルコンピュータなどの情報処理装置５００にセキュリティ機能が付加されている点で両者は異なる。セキュリティ機能のうち第１の実施形態及び第３の実施形態と同様な部分についての説明は省略する。図１４に示されるように、情報処理装置５００は、パソコン本体５０１、液晶ディスプレイなどの表示器５０４、キーボード５０２、マウス５０３、及びカメラ５０５を備える。カメラ５０５は、情報処理装置５００を操作しているユーザ（Ａ）５０７の顔が撮像画像中に入るような位置及び方向に設定される。

セキュリティ監視機能は、例えば、ユーザＩＤ、パスワードなどのユーザ認証情報をキーボード５０２から受け付ける状態の画面が表示器５０４に表示されたときに、起動されるようにしてもよい。また、セキュリティ監視機能は、パスワード付きファイルの内容が表示器５０４に表示されたときに、起動されるようにしてもよい。更にまた、セキュリティ監視機能は、ユーザ（Ａ）５０７がキーボード５０２やマウス５０３から所定の入力操作を行うことでパソコン本体５０１の制御部にセキュリティ監視機能の起動を指示したときに、起動されるようにしてもよい。

セキュリティ保護機能は、例えば、セキュリティ監視機能の作動中にカメラ５０５により撮られた画像中にユーザ（Ａ）５０７の顔を検知できなくなったときに、発動させる。カメラ５０５は、検知範囲５０６を撮像するように設定される。また、セキュリティ保護機能は、セキュリティ監視機能の作動中にカメラ５０５により撮られた画像中にユーザ（Ａ）４０７以外の人の顔を検知したときに、発動させるようにしてもよい。図１４では、ユーザ（Ｂ）５０８は検知範囲５０６に入っていないので、セキュリティ監視機能は発動させないが、検知範囲５０６に入ると、キーボード操作や表示器５０４に表示された情報をユーザ（Ａ）５０７の肩越しに覗き見ることができるので、セキュリティ監視機能を発動させる。

セキュリティ保護機能としては、例えば、表示器５０４が表示している画面を消したり、スクリーンセーバに切り替えるようにする。また、セキュリティ保護機能として、ログインされた状態にある情報処理装置５００をログオフの状態にするようにしてもよい。また、セキュリティ保護機能として、キーボード５０２からのキー入力やマウス５０３の操作を受け付けないようにしてもよい。また、音声合成技術を用いて「セキュリティ監視機能が作動しています」というメッセージを合成音声でユーザ（Ａ）５０７に伝えるようにしてもよい。なお、上記に例示したセキュリティ保護機能は、それぞれ単独で用いてもよいし、複数を組み合わせて用いてもよい。

なお、上記のセキュリティ機能付き装置は、ハードウェア、ソフトウェア又はこれらの組合せにより実現することができる。また、上記のセキュリティ保護方法も、ハードウェア、ソフトウェア又はこれらに組合せにより実現することができる。ここで、ソフトウェアによって実現されるとは、コンピュータがプログラムを読み込んで実行することにより実現されることを意味する。

プログラムは、様々なタイプの非一時的なコンピュータ可読媒体(non-transitory computer readable medium)を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体(tangible storage medium)を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えば、フレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば、光磁気ディスク）、ＣＤ−ＲＯＭ(Read Only Memory)、ＣＤ−Ｒ、ＣＤ−Ｒ／Ｗ、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ(Programmable ROM)、ＥＰＲＯＭ(Erasable PROM)、フラッシュＲＯＭ、ＲＡＭ(random access memory)）を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体(transitory computer readable medium)によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。

本発明は、画像読取装置、画像形成装置、複写装置、複合機、現金自動預け払い機、パソコンなどの情報処理装置等、セキュリティ保護機能を必要とする装置に利用できる。例えば、画面を用いたマンマシンインタフェースが使用され、操作ユーザの近くにいる人も同時に画面を見ることができる形状の機器、操作ユーザが操作場所から離れたときに、操作ユーザ以外の人が画面を見ることができるような機器などに適用できる。

１００ 複合機（セキュリティ機能付き装置）
１０１ 制御部
１０２ 操作パネル
１０３ 操作部
１０４ 表示部
１０５ カメラ（撮像手段）
１０６ 警告部
１０７ 画像形成部
１１０ スキャナ
１１１ 記憶部
１１２ 通信Ｉ／Ｆ
１１４ 顔検知部
１１５ セキュリティ保護部
１１６ 判定部
１４１ 認証サーバ
１５０ 検知範囲
４００ ＡＴＭ（セキュリティ機能付き装置）
４０１ 現金取出口
４０２ 操作パネル
４０３ 認証カード挿入口
４０５ カメラ（撮像手段）
４０６ 検知範囲
５００ 情報処理装置（セキュリティ機能付き装置）
５０１ パソコン本体
５０２ キーボード
５０３ マウス
５０４ 表示器
５０５ カメラ（撮像手段）
５０６ 検知範囲

Claims (18)

1. セキュリティ機能付き装置であって、
   前記装置を操作するユーザの顔が映る所定の検知範囲を撮像する撮像手段と、
   前記撮像手段により撮像された画像中に存在する人の顔を検知する顔検知手段と、
   所定の期間に入ったことを契機として取得したユーザの顔情報に基づいて、前記顔検知手段が前記所定の期間が終了する前に前記検知範囲内にて前記ユーザの顔を検知できなくなったならば、前記ユーザに対しセキュリティに関する警告を出力する警告出力手段と、
   を備え、
   前記所定の期間内に前記警告出力手段は前記顔検知手段が前記ユーザの顔を検知した場合であっても前記ユーザ以外の人物の顔を検知した場合はセキュリティに関する警告を出力し、
   前記警告は前記ユーザに対しセキュリティに関する改善を促す警告を含むことを特徴と
   するセキュリティ機能付き装置。
2. セキュリティ機能付き装置であって、
   前記装置を操作するユーザの顔が映る所定の検知範囲を撮像する撮像手段と、
   前記撮像手段により撮像された画像中に存在する人の顔を検知する顔検知手段と、
   前記ユーザのユーザ認証の開始により所定の期間に入ったことを契機として取得したユーザの顔情報に基づいて、前記顔検知手段が前記所定の期間が終了する前に前記検知範囲内にて前記ユーザの顔を検知できなくなったならば、検知できなくなったことを原因として警告を出力するセキュリティ保護手段と、
   を備え、
   前記セキュリティ保護手段は、前記警告を出力させても、前記所定の期間内の保留期間はユーザ認証状態を維持し、前記保留期間が終了する前に前記警告を出力させた前記原因が解消したことが確認されたならば、ユーザ認証状態を更に継続することを特徴とすることを特徴とするセキュリティ機能付き装置。
3. 請求項２に記載のセキュリティ機能付き装置であって、
   前記セキュリティ保護手段は、前記警告を出力させても、前記所定の期間内の保留期間内はユーザ認証状態を維持し、前記保留期間が終了してからも前記警告を出力させた前記原因が解消しないならば、ユーザ認証状態を解除することを特徴とするセキュリティ機能付き装置。
4. セキュリティ機能付き装置であって、
   前記装置を操作するユーザの顔が映る所定の検知範囲を撮像する撮像手段と、
   前記撮像手段により撮像された画像中に存在する人の顔を検知する顔検知手段と、
   前記ユーザのユーザ認証の開始により所定の期間に入ったことを契機として取得した前記ユーザの顔情報に基づいて、前記顔検知手段が前記所定の期間が終了する前に前記検知範囲内に当該ユーザ以外の人物の顔を検知したら、検知したことを原因として警告を出力するするセキュリティ保護手段と、
   を備え、
   前記セキュリティ保護手段は、前記警告を出力させても、前記所定の期間内の保留期間内はユーザ認証状態を維持し、前記保留期間が終了する前に前記警告を出力させた前記原因が解消したことが確認されたならば、ユーザ認証状態を更に継続することを特徴とすることを特徴とするセキュリティ機能付き装置。
5. 請求項４に記載のセキュリティ機能付き装置であって、
   前記セキュリティ保護手段は、前記警告を出力させても、前記所定の期間内の保留期間内はユーザ認証状態を維持し、前記保留期間が終了してからも前記警告を出力させた前記原因が解消しないならば、ユーザ認証状態を解除することを特徴とするセキュリティ機能付き装置。
6. 前記セキュリティ保護手段は、前記所定の期間に入ったことを契機として取得したユーザの顔情報に基づいて、前記顔検知手段が前記所定の期間が終了する前に、更に、前記ユーザ以外の人物の顔を検知したら、前記警告を出力することを特徴とする請求項２又は３に記載のセキュリティ機能付き装置。
7. 前記所定の期間に入ったことを契機として取得した前記ユーザの顔情報に基づいて、前記顔検知手段が前記所定の期間が終了する前に前記検知範囲内にて当該ユーザの顔を検知できない状態が前記所定の期間以下の一定時間以上継続したならば、当該ユーザの顔を検知できなくなったとみなすことを特徴とする請求項１、２又は３に記載のセキュリティ機能付き装置。
8. 前記警告を出力はユーザに対して警告を発する機能であることを特徴とする請求項２乃至７のいずれか１項に記載のセキュリティ機能付き装置。
9. 前記所定の期間とは、対象となる装置が認証状態に入ってから認証解除されるまでの期間又はセキュリティ保護対象を検出してから該セキュリティ保護対象に関する作業が終了するまでの期間であることを特徴とする請求項１乃至８の何れか１項に記載のセキュリティ機能付き装置。
10. 前記所定の期間はユーザ認証の開始又は成功に応じて開始し、事前に前記ユーザ認証を要する作業の終了に応じて終了することを特徴とする請求項１乃至９のいずれか１項に記載のセキュリティ機能付き装置。
11. 前記ユーザ認証を行う認証手段を更に備えることを特徴とする請求項１０に記載のセキュリティ機能付き装置。
12. ネットワークを介して接続された認証サーバを使用して前記ユーザ認証を行うことを特徴とする請求項１１に記載のセキュリティ機能付き装置。
13. 前記ユーザの顔情報は前記ユーザ認証が成功したとき前記撮像手段により撮られた画像から前記顔検知手段により取得されることを特徴とする請求項１０乃至１２のいずれか１項に記載のセキュリティ機能付き装置。
14. 前記装置が画像形成装置、画像読取装置、複写機、複合機、又はコンピュータ装置であることを特徴とする請求項１乃至１３のいずれか１項に記載のセキュリティ機能付き装置。
15. セキュリティ保護方法であって、
    装置を操作するユーザの顔が映る所定の検知範囲を撮像する撮像ステップと、
    前記撮像ステップにて撮像された画像中に存在する人の顔を検知する顔検知ステップと、
    所定の期間に入ったことを契機として取得したユーザの顔情報に基づいて、前記顔検知ステップにて前記所定の期間が終了する前に前記検知範囲内にて前記ユーザの顔を検知できなくなったならば、前記ユーザに対しセキュリティに関する警告を出力する警告出力ステップと、
    を有し、
    前記所定の期間内の前記警告出力ステップにおいて前記顔検知ステップで前記ユーザの顔を検知した場合であっても前記ユーザ以外の人物の顔を検知した場合はセキュリティに関する警告を出力し、
    前記警告は前記ユーザに対しセキュリティに関する改善を促す警告を含むことを特徴とするセキュリティ保護方法。
16. セキュリティ保護方法であって、
    装置を操作するユーザの顔が映る所定の検知範囲を撮像する撮像ステップと、
    前記撮像ステップにて撮像された画像中に存在する人の顔を検知する顔検知ステップと、
    前記ユーザのユーザ認証の開始により所定の期間に入ったことを契機として取得したユーザの顔情報に基づいて、前記顔検知ステップにて前記所定の期間が終了する前に前記検知範囲内にて前記ユーザの顔を検知できなくなったならば、検知できなくなったことを原因として警告を出力するセキュリティ保護ステップと、
    を有し、
    前記警告を出力させても、前記所定の期間内の保留期間はユーザ認証状態を維持し、前記保留期間が終了する前に前記警告を出力させた前記原因が解消したことが確認されたならば、ユーザ認証状態を更に継続することを特徴とすることを特徴とするセキュリティ保護方法。
17. セキュリティ保護方法であって、
    装置を操作するユーザの顔が映る所定の検知範囲を撮像する撮像ステップと、
    前記撮像ステップにて撮像された画像中に存在する人の顔を検知する顔検知ステップと、
    前記ユーザのユーザ認証の開始により所定の期間に入ったことを契機として取得した前記ユーザの顔情報に基づいて、前記顔検知ステップにて前記所定の期間が終了する前に前記検知範囲内に当該ユーザ以外の人物の顔を検知したら、検知したことを原因として警告を出力するセキュリティ保護ステップと、
    を有し、
    前記警告を出力させても、前記所定の期間内の保留期間内はユーザ認証状態を維持し、前記保留期間が終了する前に前記警告を出力させた前記原因が解消したことが確認されたならば、ユーザ認証状態を更に継続することを特徴とすることを特徴とするセキュリティ保護方法。
18. コンピュータを請求項１乃至１４の何れか１項に記載のセキュリティ機能付き装置として機能させるためのプログラム。

Images