JP7087990B2 - 画像形成装置および画像形成装置の制御プログラム - Google Patents

Description

本発明は、画像形成装置および画像形成装置の制御プログラムに関する。より特定的には、本発明は、機密情報やウイルスの拡散を抑止することのできる画像形成装置および画像形成装置の制御プログラムに関する。

電子写真式の画像形成装置には、スキャナー機能、ファクシミリ機能、複写機能、印刷機能、データ通信機能、ファイル送信機能、およびサーバー機能などを有するＭＦＰ（Ｍｕｌｔｉ Ｆｕｎｃｔｉｏｎ Ｐｅｒｉｐｈｅｒａｌ）、ファクシミリ装置、複写機、プリンターなどがある。

コンピューターのセキュリティを確保する方法として、任意アクセス制御（Ｄｉｓｃｒｅｔｉｏｎ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）という方法が知られている。任意アクセス制御は、リソースの所有者がユーザーＩＤ（ＵＩＤ）やグループＩＤ（ＧＩＤ）などを組み合わせたユーザーの属性に応じて、個別にアクセス権限を設定する制御方法である。任意アクセス制御には、ユーザー権限が第三者に奪取された場合や、アクセス権限の設定ミスなどが生じた場合には、アプリやアプリが呼び出した子プロセスなどを通じてリソースが第三者によって自由に使用されるおそれがあるという問題がある。

任意アクセス制御の上記問題を解決するために、近年の情報機器では、強制アクセス制御（Ｍａｎｄａｔｏｒｙ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）という方法を用いてセキュリティが確保されている。Ｌｉｎｕｘ（登録商標）のカーネルに強制アクセス制御機能を付加するモジュールとしては、ＳＥＬｉｎｕｘなどが知られている。強制アクセス制御は、リソースの所有者によって予め設定されたセキュリティポリシーに従い、ユーザーからリソースへのアクセスに対する許可または拒否を決定する制御方法である。従来のセキュリティでは、コンピューターシステムへのマルウエアなどの不正なプログラムの侵入を防止することが重点的に考慮されていた。これに対して、強制アクセス制御によれば、コンピューターシステムに仮に不正なプログラムが侵入した場合であっても、不正なプログラムからリソースへのアクセスをカーネル層でブロックすることができ、セキュリティを確保することができる。また、リソースへのアクセスログを保存すること可能である。

下記特許文献１～３では、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）や携帯情報端末などと同様に、ユーザーがアプリを自由に追加することのできる画像形成装置が提案されている。

下記特許文献１には、アプリケーションを追加可能であり、アクセス制御情報に基づいてリソースへのアクセスの許否を判定するアクセス制御手段を備えた情報処理装置が開示されている。この情報処理装置において、アクセス制御手段は、アクセス制御情報に対するアクセスの発生に応じ、アクセスに関する情報をログファイルに保存する。

下記特許文献２には、クライアント上のセキュリティソフトウェアアプリケーションが、クライアント上のアプリケーションからのリソースの要求を監視し、遠隔の評判サーバから取得した評判スコアによりそのアプリケーションの評判を決定する技術が開示されている。

下記特許文献３には、アプリケーションが、ユーザーのリソースに対するアクセスを検知したときに、ユーザーのアクセスポリシーを参照し、参照したユーザのアクセスポリシに基づいて、ユーザーのリソースに対するアクセスを許可するか否かの判断処理を割り込み処理として行う技術が開示されている。

特開２００７－３２８７７０号公報 特開２０１０－０７９９０１号公報 特開２０１４－１７８７２７号公報

ユーザーがアプリを自由に追加することのできる画像形成装置には、安全性が保証されていないアプリ（画像を編集するアプリなど）が画像形成装置が追加されることがある。このようなアプリが画像形成装置に追加されると、画像形成装置に保存されている機密情報のファイルや、画像形成装置内のウイルスが、追加されたアプリによって他の機器に送付されるおそれがあった。その結果、機密情報やウイルスが拡散するおそれがあった。

また、特に特許文献２の技術では、遠隔の評判サーバの管理者は、アプリ内に隠された処理プログラムや、バグによる予期せず生じる処理などを考慮しつつ、多数のアプリの安全性を事前に審査する必要がある。このため、審査の精度を確保することが困難であり、時間および費用を要するという問題があった。

本発明は、上記課題を解決するためのものであり、その目的は、機密情報やウイルスの拡散を抑止することのできる画像形成装置および画像形成装置の制御プログラムを提供することである。

本発明の一の局面に従う画像形成装置は、外部機器へのファイルの送信を伴う機能である送信機能と、印刷機能とを少なくとも有する画像形成装置であって、第１のアプリケーションと、第１のアプリケーションとは異なる第２のアプリケーションであって、画像形成装置のユーザーによって追加された第２のアプリケーションと、ファイルおよび履歴を記憶する記憶装置と、第２のアプリケーションによって新たなデータが書き込まれたファイルである書き込みファイルが記憶装置に保存された場合に、書き込みファイルの識別子と、書き込みファイルの保存を行ったアプリケーションの識別子と、書き込みファイルが保存された日時とを互いに関連付けて履歴に記録する書き込み記録手段と、第２のアプリケーションによる外部機器との通信およびドキュメントファイル以外のファイルへのデータの書き込みを禁止する禁止手段と、第１のアプリケーションから、記憶装置に記憶されたファイルのうち任意のファイルである対象ファイルに対する印刷機能の処理の要求を受けた場合に、対象ファイルに対する印刷機能の処理を許可する印刷許可手段と、第１のアプリケーションから、対象ファイルに対する送信機能の処理の要求を受けた場合に、履歴に基づいて、対象ファイルに対する送信機能の処理を許可するか否かを判別する送信判別手段とを備える。

上記画像形成装置において好ましくは、対象ファイルが書き込みファイルであり、かつ対象ファイルに新たなデータが書き込まれた後で、対象ファイルの外部機器への送信の許可を画像形成装置のユーザーから受けていない場合に、対象ファイルの外部機器への送信を許可するか否かをユーザーに問い合わせる問合せ手段をさらに備え、送信判別手段は、問合せ手段による問合せの結果、送信の許可をユーザーから受けた場合に、対象ファイルの送信機能の処理を許可する第１の送信許可手段と、問合せ手段による問合せの結果、送信の許可をユーザーから受けない場合に、対象ファイルの送信機能の処理を許可しない送信不許可手段とを含み、問合せ手段による問合せの結果、送信の許可をユーザーから受けた場合に、対象ファイルの送信の許可を受けた日時を履歴に記録する日時記録手段をさらに備える。

上記画像形成装置において好ましくは、送信判別手段は、対象ファイルが書き込みファイルであり、かつ対象ファイルに新たなデータが書き込まれた後で、対象ファイルの外部機器への送信の許可をユーザーから受けている場合に、対象ファイルの送信機能の処理を許可する第２の送信許可手段をさらに含む。

上記画像形成装置において好ましくは、書き込み記録手段は、書き込みファイルを構成する複数のページのうち前回保存された内容から変更されたページである変更ページの識別子をさらに関連付けて履歴に記録し、画像形成装置および他の画像形成装置の各々が対象ファイルを構成する複数のページの一部を印刷することにより、対象ファイルを互いに分担して印刷する分担印刷を実行する場合に、履歴に基づいて複数のページの各々を印刷する装置を決定する機器決定手段をさらに備え、機器決定手段は、変更ページを印刷する装置を画像形成装置に決定する。

上記画像形成装置において好ましくは、書き込み記録手段は、書き込みファイルを構成する複数のページのうち前回保存された内容から変更されたページである変更ページの識別子をさらに関連付けて履歴に記録し、画像形成装置および他の画像形成装置の各々が対象ファイルを構成する複数のページの一部を印刷することにより、対象ファイルを互いに分担して印刷する分担印刷を実行する場合に、ファイルの履歴に基づいて複数のページの各々を印刷する装置を決定する機器決定手段と、他の画像形成装置が有する機能の情報を取得する機能情報取得手段とをさらに備え、機器決定手段は、書き込みページを印刷する機器を、外部にデータを送信する機能を有さない他の画像形成装置、および画像形成装置のうちいずれかに決定する。

上記画像形成装置において好ましくは、新たなアプリケーションが画像形成装置に追加される場合に、新たなアプリケーションの署名を取得する署名取得手段と、署名取得手段にて取得した署名に基づいて、新たなアプリケーションに信頼性があるか否かを判別する署名判別手段と、新たなアプリケーションに信頼性があると署名判別手段にて判別した場合に、新たなアプリケーションを第１のアプリケーションとして分類する分類手段とをさらに備える。

本発明の他の局面に従う画像形成装置の制御プログラムは、外部機器へのファイルの送信を伴う機能である送信機能と、印刷機能とを少なくとも有する画像形成装置の制御プログラムであって、画像形成装置は、第１のアプリケーションと、第１のアプリケーションとは異なる第２のアプリケーションであって、画像形成装置のユーザーによって追加された第２のアプリケーションと、ファイルおよび履歴を記憶する記憶装置とを備え、制御プログラムは、第２のアプリケーションによって新たなデータが書き込まれたファイルである書き込みファイルが記憶装置に保存された場合に、書き込みファイルの識別子と、書き込みファイルの保存を行ったアプリケーションの識別子と、書き込みファイルが保存された日時とを互いに関連付けて履歴に記録する書き込み記録ステップと、第２のアプリケーションによる外部機器との通信およびドキュメントファイル以外のファイルへのデータの書き込みを禁止する禁止ステップと、第１のアプリケーションから、記憶装置に記憶されたファイルのうち任意のファイルである対象ファイルに対する印刷機能の処理の要求を受けた場合に、対象ファイルに対する印刷機能の処理を許可する印刷許可ステップと、第１のアプリケーションから、対象ファイルに対する送信機能の処理の要求を受けた場合に、履歴に基づいて、対象ファイルに対する送信機能の処理を許可するか否かを判別する送信判別ステップとをコンピューターに実行させる。

本発明によれば、機密情報やウイルスの拡散を抑止することのできる画像形成装置および画像形成装置の制御プログラムを提供することができる。

本発明の第１の実施の形態における画像形成装置１のハードウェア構成を示すブロック図である。 本発明の第１の実施の形態における画像形成装置１の機能的構成を示すブロック図である。 本発明の第１の実施の形態において補助記憶装置１４が記憶するファイルログテーブル３６の一例を示す図である。 本発明の第１の実施の形態において、追加アプリ３３が書き込みファイルの保存を要求した場合の画像形成装置１の動作を示すブロック図である。 本発明の第１の実施の形態において、基本アプリ３２が送信機能の処理の実行を要求した場合の画像形成装置１の動作を示すブロック図である。 本発明の第１の実施の形態において、基本アプリ３２が印刷機能の処理の実行を要求した場合の画像形成装置１の動作を示すブロック図である。 本発明の第１の実施の形態における画像形成装置１の第１の動作を示すフローチャートである。 本発明の第１の実施の形態における画像形成装置１の第２の動作を示すフローチャートである。 本発明の第２の実施の形態において補助記憶装置１４が記憶するファイルログテーブル３６の一例を示す図である。 本発明の第２の実施の形態において、画像形成装置１が分担印刷を行う場合の各装置の印刷分担の決定方法を概念的に説明する図である。 本発明の第２の実施の形態において、画像形成装置１が分担印刷を行う場合の各装置の印刷分担の決定方法の変形例を概念的に説明する図である。 本発明の第２の実施の形態において、基本アプリ３２が分担印刷の処理の実行を要求した場合の画像形成装置１の動作を示すブロック図である。 本発明の第２の実施の形態における画像形成装置１の動作を示すフローチャートである。

以下、本発明の実施の形態について、図面に基づいて説明する。

以下の実施の形態では、画像形成装置がＭＦＰである場合について説明する。画像形成装置は、ＭＦＰの他、プリンター、ファクシミリ装置、または複写機などであってもよい。

［第１の実施の形態］

図１は、本発明の第１の実施の形態における画像形成装置１のハードウェア構成を示すブロック図である。

図１を参照して、本実施の形態における画像形成装置１は、スキャナー機能、ファクシミリ機能、複写機能、印刷機能、データ通信機能、ファイル送信機能、およびサーバー機能（以降、これらの機能を基本機能と記すことがある）などを有している。これらの機能のうちデータ通信機能、ファイル送信機能、およびサーバー機能は、外部機器へのファイルの送信を伴う機能（以降、送信機能と記すことがある）である。画像形成装置１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１と、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１２と、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１３と、補助記憶装置１４（記憶装置の一例）と、スキャナー部１５と、画像処理部１６と、プリンターエンジン部１７と、ファクシミリ通信部１８と、ネットワーク通信部１９と、操作パネル２０（問合せ手段の一例）とを備えている。ＣＰＵ１１は、ＲＯＭ１２、ＲＡＭ１３、補助記憶装置１４、スキャナー部１５、画像処理部１６、プリンターエンジン部１７、ファクシミリ通信部１８、ネットワーク通信部１９、および操作パネル２０の各々と、バスを通じて接続されている。

ＣＰＵ１１は、ＲＯＭ１２に格納されている管理プログラム３１などの制御プログラムに基づいて画像形成装置１全体の動作を制御する。

ＲＯＭ１２は、たとえばフラッシュＲＯＭである。ＲＯＭ１２には、ＣＰＵ１１が実行する管理プログラム３１などの制御プログラムと、各種固定データとが格納されている。ＲＯＭ１２は、書換え不可能なものであってもよい。管理プログラム３１の制御機能は、ＣＰＵ１１が管理プログラム３１に基づいて処理を実行することにより実現される。

ＲＡＭ１３は、ＣＰＵ１１のメインメモリである。ＲＡＭ１３は、ＣＰＵ１１が各種プログラムを実行するときに必要なデータを一時的に記憶するためなどに用いられる。ＲＡＭ１３は、画像データを一時的に保存するための画像メモリなどとしても使用される。

補助記憶装置１４は、各種情報を記憶している。特に補助記憶装置１４は、基本アプリ３２（第１のアプリケーションの一例）と、追加アプリ３３（第２のアプリケーションの一例）と、ドキュメントファイル３４と、他ファイル３５と、ファイルログテーブル３６（履歴の一例）などを記憶している。

基本アプリ３２は、スキャナー機能、ファクシミリ機能、複写機能、プリンターとしての機能、データ通信機能、およびサーバー機能などの画像形成装置１の基本機能の処理を実行するアプリである。基本アプリ３２は、主に画像形成装置１の製品出荷前に画像形成装置１の製造者によって画像形成装置１にインストールされる。基本アプリ３２の各種機能は、ＣＰＵ１１が基本アプリ３２に基づいて処理を実行することにより実現される。

追加アプリ３３は、基本アプリ３２とは異なるアプリであり、基本機能以外の機能（典型的には印刷画像を編集する機能）の処理を実行するアプリである。追加アプリ３３は、主に画像形成装置１の製品出荷後に画像形成装置１のユーザーによって画像形成装置１に追加される。追加アプリ３３の各種機能は、ＣＰＵ１１が追加アプリ３３に基づいて処理を実行することにより実現される。

ドキュメントファイル３４は、文書作成アプリや表計算アプリなどで作成したファイル、画像ファイル、またはＰＤＦファイルなどである。

他ファイル３５は、システムファイルなどのドキュメントファイル３４以外のファイルである。

ファイルログテーブル３６は、ファイルログを記憶している。

スキャナー部１５は、原稿を光学的に読み取って画像データを取得する。スキャナー部１５は、たとえば、原稿に光を照射する光源と、その反射光を受けて原稿を幅方向に１ライン分読み取るラインイメージセンサと、ライン単位の読取位置を原稿の長さ方向に順次移動させる移動手段と、原稿からの反射光をラインイメージセンサに導いて結像させるレンズやミラーなどからなる光学経路と、ラインイメージセンサの出力するアナログ画像信号をデジタルの画像データに変換する変換部などを含んでいる。

画像処理部１６は、外部機器から受信した印刷データ（ベクタ形式の印刷データ）に対してラスタライズ処理を行う。また画像処理部１６は、画像データに対して、画像補正、回転、拡大／縮小、または圧縮／伸張など各種の画像処理を行う。

プリンターエンジン部１７は、画像データに基づく画像を電子写真プロセスによって用紙上に印刷して出力する。プリンターエンジン部１７は、いわゆるレーザープリンターであり、たとえば、用紙の搬送装置と、感光体ドラムと、帯電装置と、入力される画像データに応じて点灯制御されるＬＤ（Ｌａｓｅｒ Ｄｉｏｄｅ）と、ＬＤから射出されたレーザ光を感光体ドラム上で走査させる走査ユニットと、現像装置と、転写分離装置と、クリーニング装置と、定着装置とを含んでいる。なお、プリンターエンジン部１７は、ＬＥＤ（Ｌｉｇｈｔ Ｅｍｉｔｔｉｎｇ Ｄｉｏｄｅ）で感光体ドラムを照射するＬＥＤプリンターなど、他の方式のものであってもよい。

ファクシミリ通信部１８は、ファクシミリ機能を有する外部機器との間で、公衆回線を通じて画像データを送受信する。

ネットワーク通信部１９は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）などのネットワークを通じて外部機器と通信を行う。

操作パネル２０は、表示部２０ａと、操作部２０ｂとを含んでいる。表示部２０ａは、液晶ディスプレイなどで構成されており、各種の操作画面を表示する。操作部２０ｂは、画像形成装置１に対して行われる各種の操作を受け付ける。

図２は、本発明の第１の実施の形態における画像形成装置１の機能的構成を示すブロック図である。

図２を参照して、画像形成装置１は、アクセス判別部５１と、ファイル管理部５２と、ログ管理部５３（書き込み記録手段および日時記録手段の一例）と、端末情報収集部５４と、通信制御部５５と、印刷制御部５６とを備えている。アクセス判別部５１（禁止手段、印刷許可手段、送信判別手段、および機器決定手段の一例）、ファイル管理部５２、ログ管理部５３、端末情報収集部５４、通信制御部５５、および印刷制御部５６の各々は、ＲＯＭ１２に記憶された制御プログラムをＣＰＵ１１が実行することによって実現される。

アクセス判別部５１は、ファイルに対する処理を許可するか否かを判別する。特にアクセス判別部５１は、追加アプリ３３による外部機器との通信および他ファイル３５へのデータの書き込みを禁止する。またアクセス判別部５１は、基本アプリ３２から、補助記憶装置１４に記憶されたファイルのうち任意のファイル（以降、補助記憶装置１４に記憶されたファイルのうち任意のファイルであって処理の対象となるファイルを、対象ファイルと記すことがある）に対する印刷機能の処理の要求を受けた場合に、対象ファイルに対する印刷機能の処理を許可する。さらにアクセス判別部５１は、基本アプリ３２から、対象ファイルに対する送信機能の処理の要求を受けた場合に、ファイルログテーブル３６に基づいて、対象ファイルに対する送信機能の処理を許可するか否かを判別する。

ファイル管理部５２は、補助記憶装置１４に記憶されている各種ファイルの削除、変更、および補助記憶装置１４への新たなファイルの追加などを管理する。

ログ管理部５３は、ファイルログの内容の削除、変更、および追加などを管理する。

端末情報収集部５４は、画像形成装置１と通信可能な外部機器から、その外部機器が有する機能の情報を収集する。

通信制御部５５は、ネットワーク通信部１９の外部機器との通信を制御する。

印刷制御部５６は、プリンターエンジン部１７の印刷動作を制御する。

図３は、本発明の第１の実施の形態において補助記憶装置１４が記憶するファイルログテーブル３６の一例を示す図である。

図３を参照して、ファイルログテーブル３６にはファイルログが記憶されている。ファイルログは、画像形成装置１が記憶しているファイルへのアプリによるアクセスを記録した情報である。ファイルログは、ファイルにアクセスされた日時と、アクセスされたファイルの識別子と、ファイルにアクセスしたアプリの識別子と、ファイルにアクセスしたユーザーの識別子と、アクセスの目的などの情報を含んでいる。

なお、ファイルログテーブル３６において、「ｐｈｅｄｉｔｏｒ．ｅｘｅ」というアプリおよび「ｔｘｅｄｉｔｏｒ．ｅｘｅ」というアプリは基本アプリである。「ａｄｄａｐ１．ｅｘｅ」というアプリおよび「ａｄｄａｐ２．ｅｘｅ」というアプリは追加アプリである。

このファイルログテーブル３６によれば、たとえば、「２０１８年１２月１５日１０時２３分」に「ｐｒｅｉｍ．ｊｐｇ」というファイルに対して、「ｋａｚｉ」というユーザーの実行指示によって「ａｄｄａｐ１．ｅｘｅ」という追加アプリによって書き込みが行われたことが分かる。また、この「ｐｒｅｉｍ．ｊｐｇ」というファイルについては、書き込み完了後の「２０１８年１２月１５日１０時２５分」に、「ｐｈｅｄｉｔｏｒ．ｅｘｅ」という基本アプリを通じての外部機器への送信が「ｋａｚｉ」というユーザーによって許可されていることが分かる。

ファイルログは、新たなデータが書き込まれたファイルが補助記憶装置１４に保存された場合（補助記憶装置１４が記憶しているファイルへのデータが書き込まれた場合、および補助記憶装置１４に新たに生成されたファイルが保存された場合を含む）、または画像形成装置１が記憶しているファイルを外部機器に送信することをユーザーが許可した場合に、ログ管理部５３によってファイルログテーブル３６に記録（追加）される。

なお、ファイルログは、ファイルの識別子と、ファイルの保存を行ったアプリケーションの識別子と、ファイルが保存された日時とを互いに関連付けた情報であればよい。またファイルログは、リソース識別子や、ファイルへのアクセスが一連の動作の一部であるか否かを指標する情報（たとえばＰＩＤ（Ｐｒｏｃｅｓｓ Ｉｄｅｎｔｉｆｉｅｒ））などをさらに含んでいてもよい。

また、ファイルログテーブル３６には、基本アプリ３２によって新たなデータが書き込まれたファイルのファイルログが記憶されず、追加アプリ３３によって新たなデータが書き込まれたファイル（以降、追加アプリ３３によって新たなデータが書き込まれたファイルを、書き込みファイルと記すことがある）のファイルログのみが記憶されてもよい。

図４は、本発明の第１の実施の形態において、追加アプリ３３が書き込みファイルの保存を要求した場合の画像形成装置１の動作を示すブロック図である。

図４を参照して、追加アプリ３３は、補助記憶装置１４に記憶されているファイルに対して新たなデータを書き込むことにより（または新たにファイルを作成することにより）書き込みファイルを作成し、書き込みファイルの保存を管理プログラム３１に要求する（処理ＰＲ１）。

管理プログラム３１は、この要求を受けると、アクセス判別部５１に対して書き込みファイルを保存する処理を許可するか否かの判別を要求する。アクセス判別部５１は、この要求を受けると、書き込みファイルの形式がドキュメントファイルの形式であるか否かに基づいて、書き込みファイルを保存する処理を許可するか否かを判別する。アクセス判別部５１は、判別結果を管理プログラム３１に通知する（処理ＰＲ２）。

処理ＰＲ２において、書き込みファイルの形式がドキュメントファイルの形式（ＪＰＥＧなどの画像ファイルの形式、およびＰＤＦやＤＯＣなどの文書ファイルの形式を含む）である場合には、書き込みファイルを保存する処理は許可される。一方、書き込みファイルの形式がドキュメントファイル以外の形式（システムファイルの形式など）である場合には、書き込みファイルを保存する処理は許可されない。ドキュメントファイル以外のファイルの内容が追加アプリのような信頼性の低いアプリによって書き換えられると、画像形成装置１の動作に支障をきたすおそれが大きいためである。

書き込みファイルを保存する処理が許可されない場合、管理プログラム３１は、その後の処理を行わない。

書き込みファイルを保存する処理が許可された場合、管理プログラム３１は、ログ管理部５３に対してファイルログの追加を要求する。ログ管理部５３は、この要求を受けると、書き込みファイルの保存（書き込みを目的とする書き込みファイルへのアクセス）に関するファイルログをファイルログテーブル３６に追加する（処理ＰＲ３）。

書き込みファイルを保存する処理が許可された場合、管理プログラム３１は、ファイル管理部５２に対して書き込みファイルの保存を要求する。ファイル管理部５２は、この要求を受けると、書き込みファイル（書き込み後のドキュメントファイル３４）を補助記憶装置１４に保存する（処理ＰＲ４）。

図５は、本発明の第１の実施の形態において、基本アプリ３２が送信機能の処理の実行を要求した場合の画像形成装置１の動作を示すブロック図である。

図３および図５を参照して、基本アプリ３２は、対象ファイルに対する送信機能の処理の実行を管理プログラム３１に要求する（処理ＰＲ１１）。この送信機能の処理には、スキャナー部１５にて読み取った画像を外部機器に送信する処理も含まれる。

管理プログラム３１は、この要求を受けると、アクセス判別部５１に対してこの処理を許可するか否かの判別を要求する。アクセス判別部５１は、この要求を受けると、ファイルログに基づいて、対象ファイルに対する送信機能の処理を許可する否かを判別し、判別結果を管理プログラム３１に通知する（処理ＰＲ１２）。

処理ＰＲ１２において、アクセス判別部５１は次の方法で判別を行う。アクセス判別部５１は、管理プログラム３１を通じてログ管理部５３に対して、対象ファイルのファイルログの送信を要求し、ログ管理部５３から対象ファイルのファイルログを取得する（処理ＰＲ１２ａ）。

対象ファイルが書き込みファイルでない場合（追加アプリ３３によってデータが書き込まれた旨のファイルログが存在しない場合）には、アクセス判別部５１は、対象ファイルに対する送信機能の処理を許可すると判別する（処理ＰＲ１２ｃ）。対象ファイルは追加アプリ３３によってデータが書き込まれていないので、対象ファイルを送信しても機密事項やウイルスが拡散するおそれは低いためである。

対象ファイルが書き込みファイルであり（追加アプリ３３によってデータが書き込まれた旨のファイルログが存在し）、かつ対象ファイルに新たなデータが書き込まれた後で、対象ファイルの画像形成装置１の外部への送信の許可を画像形成装置１のユーザーから受けている場合（画像形成装置１のユーザーによって外部機器への送信が許可された旨のファイルログが存在する場合）にも、アクセス判別部５１は、対象ファイルに対する送信機能の処理を許可すると判別する（処理ＰＲ１２ｃ）。対象ファイルはユーザーによって送信が許可されているので、対象ファイルを送信しても機密事項やウイルスが拡散するおそれは低いためである。具体的には、図３のファイルログテーブル３６における「ｐｒｅｉｍ．ｊｐｇ」というファイルが対象ファイルである場合、このファイルは新たなデータが書き込まれた後で、外部機器への送信が許可されているので、送信機能の処理を許可すると判別される。

対象ファイルが書き込みファイルであり、かつ対象ファイルに新たなデータが書き込まれた後で、対象ファイルの画像形成装置１の外部への送信の許可を画像形成装置１のユーザーから受けていない場合（画像形成装置１のユーザーによって外部機器への送信が許可された旨のファイルログが存在しない場合）、アクセス判別部５１は、管理プログラム３１に対して問合せを要求する。管理プログラム３１は、操作パネル２０を通じて、対象ファイルの外部機器への送信を許可するか否かを画像形成装置１のユーザーに問い合わせ（処理ＰＲ１２ｂ）、その結果をアクセス判別部５１に通知する。具体的には、図３のファイルログテーブル３６における「ｉｌｌｓｔ２．ｊｐｇ」というファイルが対象ファイルである場合、このファイルは新たなデータが書き込まれた後で、外部機器への送信が許可されていないので、画像形成装置１のユーザーへの問合せが行われる。

操作パネル２０を通じた問合せの結果、送信の許可を画像形成装置１のユーザーから受けた場合に、アクセス判別部５１は、対象ファイルに対する送信機能の処理を許可する（処理ＰＲ１２ｃ）。対象ファイルはユーザーによって送信が許可されているので、対象ファイルを送信しても機密事項やウイルスが拡散するおそれは低いためである。

対象ファイルに対する送信機能の処理が許可された場合、管理プログラム３１は、ログ管理部５３に対して対象ファイルの送信の許可を受けた日時のファイルログの追加を要求する。ログ管理部５３は、この要求を受けると、対象ファイルの送信の許可を受けた日時のファイルログをファイルログテーブル３６に記録（追加）する（処理ＰＲ１３）。

対象ファイルに対する送信機能の処理が許可された場合、管理プログラム３１は、ファイル管理部５２を通じて対象ファイルを取得し（処理ＰＲ１４）、通信制御部５５を通じて対象ファイルに対する送信機能の処理を行う（処理ＰＲ１５）。

操作パネル２０を通じた問合せの結果、送信の許可を画像形成装置１のユーザーから受けない場合に、アクセス判別部５１は、対象ファイルの送信機能の処理を許可しない（処理ＰＲ１２ｄ）。対象ファイルに対する送信機能の処理が許可されない場合、管理プログラム３１は、対象ファイルに対する外部機器への送信を伴う処理を実行しない（送信機能の処理の要求を拒否する）。対象ファイルはユーザーによって送信が許可されていないので、対象ファイルを送信した場合に機密事項やウイルスが拡散するおそれが高いためである。

なお、アクセス判別部５１は、対象ファイルに対する送信機能の処理を要求した主体が基本アプリ３２ではなく追加アプリ３３である場合には、ファイルログの内容に関わらず、送信機能の処理を許可しない。

図６は、本発明の第１の実施の形態において、基本アプリ３２が印刷機能の処理の実行を要求した場合の画像形成装置１の動作を示すブロック図である。

図６を参照して、基本アプリ３２は、対象ファイルに対する印刷機能の処理の実行を管理プログラム３１に要求する（処理ＰＲ２１）。

管理プログラム３１は、この要求を受けると、アクセス判別部５１に対してこの処理を許可するか否かの判別を要求する。アクセス判別部５１は、ファイルログの内容に関わらず、印刷機能の処理を許可し、管理プログラム３１に通知する（処理ＰＲ２２）。印刷の際には対象ファイルが外部機器に送信されることはなく、機密事項やウイルスが拡散することは無いためである。

対象ファイルに対する印刷機能の処理が許可された場合、管理プログラム３１は、ファイル管理部５２を通じて対象ファイルを取得し（処理ＰＲ２３）、印刷制御部５６を通じて対象ファイルに対する印刷機能の処理を行う（処理ＰＲ２４）。

図７は、本発明の第１の実施の形態における画像形成装置１の第１の動作を示すフローチャートである。

図７を参照して、管理プログラム３１は、画像形成装置１に電力が供給されると、書き込みファイルの保存要求をアプリから受けたか否かを判別する（Ｓ１）。書き込みファイルの保存要求をアプリから受けたと判別するまで、管理プログラム３１はステップＳ１の処理を繰り返す。

ステップＳ１において、書き込みファイルの保存要求をアプリから受けたと判別した場合（Ｓ１でＹＥＳ）、アクセス判別部５１は、その保存要求が追加アプリ３３からのものであるか否かを判別する（Ｓ３）。

ステップＳ３において、その保存要求が追加アプリ３３からのものでないと判別した場合（Ｓ３でＮＯ）、アクセス判別部５１は、その保存要求が基本アプリ３２からのものであると判断し、ステップＳ９の処理へ進む。

ステップＳ９において、ファイル管理部５２は、要求に従ってファイルを補助記憶装置１４に保存し（Ｓ９）、処理を終了する。

ステップＳ３において、その保存要求が追加アプリ３３からのものであると判別した場合（Ｓ３でＹＥＳ）、アクセス判別部５１は、保存要求を受けたファイルの形式がドキュメントファイルの形式であるか否かを判別する（Ｓ５）。

ステップＳ５において、保存要求を受けたファイルの形式がドキュメントファイルの形式であると判別した場合（Ｓ５でＹＥＳ）、ログ管理部５３は、書き込みファイルの保存に関するファイルログをファイルログテーブル３６に追加し（Ｓ７）、ステップＳ９の処理へ進む。

ステップＳ５において、保存要求を受けたファイルの形式がドキュメントファイルの形式でないと判別した場合（Ｓ５でＮＯ）、ファイル管理部５２は、保存要求を受けたファイルを保存せずに、操作パネル２０を通じて保存エラーを通知し（Ｓ１１）、処理を終了する。

図８は、本発明の第１の実施の形態における画像形成装置１の第２の動作を示すフローチャートである。

図８を参照して、管理プログラム３１は、画像形成装置１に電力が供給されると、ファイルの送信要求をアプリから受けたか否かを判別する（Ｓ２１）。ファイルの送信要求をアプリから受けたと判別するまで、管理プログラム３１はステップＳ２１の処理を繰り返す。

ステップＳ２１において、ファイルの送信要求をアプリから受けたと判別した場合（Ｓ２１でＹＥＳ）、アクセス判別部５１は、その送信要求が追加アプリ３３からのものであるか否かを判別する（Ｓ２３）。

ステップＳ２３において、その送信要求が追加アプリ３３からのものであると判別した場合（Ｓ２３でＹＥＳ）、アクセス判別部５１は、ログ管理部５３を通じて対象ファイルのファイルログを取得し（Ｓ２５）、追加アプリ３３によってデータが書き込まれた旨のファイルログが存在するか否かを判別する（Ｓ２７）。

ステップＳ２７において、追加アプリ３３によってデータが書き込まれた旨のファイルログが存在すると判別した場合（Ｓ２７でＹＥＳ）、アクセス判別部５１は、対象ファイルに新たなデータが書き込まれた後の日時のファイルログであって、画像形成装置１のユーザーによって外部機器への送信が許可された旨のファイルログが存在するか否かを判別する（Ｓ２９）。

ステップＳ２３において、その送信要求が追加アプリ３３からのものでないと判別した場合（Ｓ２３でＮＯ）、ステップＳ２７において、追加アプリ３３によってデータが書き込まれた旨のファイルログが存在しないと判別した場合（Ｓ２７でＮＯ）、またはステップＳ２９において、対象ファイルに新たなデータが書き込まれた後の日時のファイルログであって、画像形成装置１のユーザーによって外部機器への送信が許可された旨のファイルログが存在すると判別した場合（Ｓ２９でＹＥＳ）、通信制御部５５は、対象ファイルを送信し（Ｓ３１）、処理を終了する。

ステップＳ２９において、対象ファイルに新たなデータが書き込まれた後の日時のファイルログであって、画像形成装置１のユーザーによって外部機器への送信が許可された旨のファイルログが存在しないと判別した場合（Ｓ２９でＮＯ）、アクセス判別部５１は、操作パネル２０を通じて対象ファイルの送信の可否を画像形成装置１のユーザーに問い合わせる（Ｓ３３）。次にアクセス判別部５１は、画像形成装置１のユーザーが送信を許可したか否かを判別する（Ｓ３５）。

ステップＳ３５において、画像形成装置１のユーザーが送信を許可したと判別した場合（Ｓ３５でＹＥＳ）、ログ管理部５３は、対象ファイルの送信の許可を受けた日時のファイルログを追加し（Ｓ３７）、ステップＳ３１の処理へ進む。

ステップＳ３５において、画像形成装置１のユーザーが送信を許可しないと判別した場合（Ｓ３５でＮＯ）、通信制御部５５は対象ファイルを送信せずに、操作パネル２０を通じて送信エラーを通知し（Ｓ３９）、処理を終了する。

追加アプリは、安全性が保証されていないため、アプリの制作者の悪意またはバグなどにより、機密情報や、処理時に不具合を起こし得るデータをファイルのデータに紛れ込ませるおそれがある。追加アプリによってデータが書き込まれたファイルが外部機器に送信されると、機密情報やウイルスが外部機器に拡散するおそれがある。

本実施の形態では、追加アプリによる外部機器との通信およびドキュメントファイル以外のファイルへのデータの書き込みが禁止される。また、基本アプリから、対象ファイルに対する送信機能の処理の要求を受けた場合に、追加アプリによるデータの書き込みのファイルログの有無に基づいてその処理を許可するか否かが判別される。これにより、追加アプリによってデータが書き込まれたファイルが外部機器に不要に送信される事態を抑止することができ、機密情報やウイルスの拡散を抑止することができる。また、追加アプリの不要な審査を省略することができる。

一方で、基本アプリから対象ファイルに対する印刷機能の処理の要求を受けた場合に、対象ファイルに対する印刷機能の処理が許可される。これにより、機密事項やウイルスの拡散とは関係が無い印刷機能については、対象ファイルの作成元が基本アプリであるか追加アプリであるかに関わらず実行することができる。

［第２の実施の形態］

本実施の形態では、画像形成装置１が分担印刷を行う場合の動作について説明する。

図９は、本発明の第２の実施の形態において補助記憶装置１４が記憶するファイルログテーブル３６の一例を示す図である。

図９を参照して、本実施の形態においてファイルログテーブル３６に記憶されているファイルログは、第１の実施の形態のファイルログの内容に加えて、書き込みファイルを構成する複数のページのうち前回保存された内容から変更されたページ（アクセスされたページ）（以降、変更ページと記すことがある）の識別子の情報を含んでいる。

このファイルログテーブル３６によれば、「２０１８年１２月１５日１５時１５分」に「ｉｌｌｓｔ２．ｊｐｇ」というファイル（全８ページ）の７ページ目および８ページ目に対して、「ｉｓｈｉｉ」というユーザーの実行指示によって「ａｄｄａｐ２．ｅｘｅ」という追加アプリによって書き込みが行われたことが分かる。「ｉｌｌｓｔ２．ｊｐｇ」というファイルでは、７ページ目および８ページ目が変更ページであることが分かる。

ログ管理部５３は、書き込みファイルが補助記憶装置１４に保存された場合に、書き込みファイルにおける変更ページの識別子をさらに関連付けたファイルログをファイルログテーブル３６に追加する。

図１０は、本発明の第２の実施の形態において、画像形成装置１が分担印刷を行う場合の各装置の印刷分担の決定方法を概念的に説明する図である。なお、図１０および図１１において、対象ファイルＦＬに付された番号（Ｐ１、Ｐ２・・・Ｐ８）は、対象ファイルＦＬにおけるページ番号を意味している。

図９および図１０を参照して、画像形成装置１および他の画像形成装置２（ここでは２台の画像形成装置２ａおよび２ｂ）の各々は、ネットワーク３を通じて互いに接続されており、画像形成システムを構成している。画像形成装置２ａおよび２ｂは、画像形成装置１と同様の構成を有しており、スキャナー機能、ファクシミリ機能、複写機能、印刷機能、データ通信機能、ファイル送信機能、およびサーバー機能などを有しているものとする。

分担印刷とは、画像形成装置および他の画像形成装置の各々が対象ファイルを構成する複数のページの一部を印刷することにより、対象ファイルを互いに分担して印刷する印刷方法である。

分担印刷の対象ファイルＦＬは、画像形成装置１の補助記憶装置１４に記憶されている。画像形成装置１、２ａ、および２ｂが分担印刷を実行する場合、画像形成装置１は、対象ファイルＦＬのファイルログに基づいて、対象ファイルＦＬを構成する複数のページの各々を印刷する装置を画像形成装置１、２ａ、および２ｂの中から決定する（各装置の印刷分担を決定する）。画像形成装置１は、対象ファイルＦＬを構成する複数のページのうち変更ページを印刷する装置を、画像形成装置１に決定する。画像形成装置１は、画像形成装置２ａが印刷を分担するページの画像データを、矢印ＡＲ１で示すように画像形成装置２ａに送信し、画像形成装置２ｂが印刷を分担するページの画像データを、矢印ＡＲ２で示すように画像形成装置２ｂに送信する。

ここでは、対象ファイルＦＬが図９の「ｉｌｌｓｔ２．ｊｐｇ」というファイルである場合を想定する。対象ファイルＦＬは全８ページであり、７ページ目および８ページ目が変更ページである。画像形成装置１は、変更ページである７ページ目および８ページ目を印刷する装置を画像形成装置１に決定し、残りの１ページ目～６ページ目を印刷する装置を任意の方法で決定する。具体的には、１ページ目、７ページ目、および８ページ目を印刷する装置が画像形成装置１に決定され、２ページ目～４ページ目を印刷する装置が画像形成装置２ａに決定され、５ページ目および６ページ目を印刷する装置が画像形成装置２ｂに決定される。

図１１は、本発明の第２の実施の形態において、画像形成装置１が分担印刷を行う場合の各装置の印刷分担の決定方法の変形例を概念的に説明する図である。

図１１を参照して、画像形成装置１および他の画像形成装置２（ここでは２台の画像形成装置２ａおよび２ｂ）の各々は、ネットワーク３を通じて互いに接続されており、画像形成システムを構成している。画像形成装置２ａは、画像形成装置１と同様の構成を有しており、スキャナー機能、ファクシミリ機能、複写機能、印刷機能、データ通信機能、ファイル送信機能、およびサーバー機能などを有しているものとする。一方、画像形成装置２ｂは、印刷機能のみを有しており、外部機器にデータを送信する送信機能を有していないものとする。

変形例として、画像形成装置１は、対象ファイルＦＬを構成する複数のページのうち変更ページを印刷する装置を、画像形成装置１および２ｂのいずれかに決定してもよい。画像形成装置１は、変更ページである７ページ目および８ページ目を印刷する装置を画像形成装置１または２ｂに決定し、残りの１ページ目～６ページ目を印刷する装置を任意の方法で決定する。画像形成装置２ｂは送信機能を有していないため、万が一画像形成装置２ｂに対して機密情報やウイルスを含むページの画像データを送信しても、画像形成装置２ｂを起点として外部に機密情報やウイルスが拡散するおそれが無いためである。

ここでは、１ページ目、２ページ目、および７ページ目を印刷する装置が画像形成装置１に決定され、３ページ目～５ページ目を印刷する装置が画像形成装置２ａに決定され、６ページ目および８ページ目を印刷する装置が画像形成装置２ｂに決定される。

図１２は、本発明の第２の実施の形態において、基本アプリ３２が分担印刷の処理の実行を要求した場合の画像形成装置１の動作を示すブロック図である。

図１２を参照して、基本アプリ３２は、対象ファイルに対する分担印刷の処理の実行を管理プログラム３１に要求する（処理ＰＲ３１）。管理プログラム３１は、この要求を受けると、通信制御部５５を通じて他の画像形成装置２が有する機能に関する情報を取得する（処理ＰＲ３２）。

また、管理プログラム３１は、アクセス判別部５１に対して分担印刷の処理を許可するか否かの判別を要求する。アクセス判別部５１は、ファイルログの内容に関わらず、分担印刷の処理を許可するとともに、分担印刷の対象ファイルを構成する複数のページのうち変更ページを検出し、検出した変更ページを管理プログラム３１に通知する（処理ＰＲ３３）。処理ＰＲ３３において、アクセス判別部５１は、対象ファイルのファイルログをログ管理部５３を通じて取得し（処理ＰＲ３３ａ）、取得したファイルログに基づいて変更ページを検出する。

管理プログラム３１は、ファイル管理部５２を通じて対象ファイルを取得し（処理ＰＲ３４）、通知された変更ページに基づいて、対象ファイルを構成する複数のページの各々を印刷する装置を決定する。

管理プログラム３１は、対象ファイルにおける変更ページを含む部分を印刷する装置を自機に決定し、印刷制御部５６を用いて対象ファイルにおける決定した部分を印刷する（処理ＰＲ３５ａ）。

また管理プログラム３１は、対象ファイルにおける変更ページを含まない部分を印刷する装置を他の画像形成装置に決定し（または対象ファイルにおける変更ページを含む部分を印刷する装置を、印刷機能のみを有する他の画像形成装置に決定し）、通信制御部５５を用いて対象ファイルにおける決定した部分を他の画像形成装置に送信する（処理ＰＲ３５ｂ）。

図１３は、本発明の第２の実施の形態における画像形成装置１の動作を示すフローチャートである。

図１３を参照して、管理プログラム３１は、画像形成装置１に電力が供給されると、分担印刷の要求を基本アプリから受けたか否かを判別する（Ｓ５１）。分担印刷の要求を基本アプリから受けたと判別するまで、管理プログラム３１はステップＳ５１の処理を繰り返す。

ステップＳ５１において、分担印刷の要求を基本アプリから受けたと判別した場合（Ｓ５１でＹＥＳ）、アクセス判別部５１は、通信制御部５５を通じて他の画像形成装置２の機能の情報を取得する（Ｓ５３）。次にアクセス判別部５１は、ページ番号を示す変数ｎを１に設定し（Ｓ５５）、ｎページ目のファイルログ（追加アプリによる書き込みのファイルログ）があればそれを取得する（Ｓ５７）。続いて管理プログラム３１は、追加アプリによる書き込みのファイルログがあるか否かを判別する（Ｓ５９）。

ステップＳ５９において、追加アプリによる書き込みのファイルログがあると判別した場合（Ｓ５９でＹＥＳ）、管理プログラム３１は、自機、または印刷機能のみを有する他の画像形成装置にｎページ目の印刷先を決定し（Ｓ６１）、ステップＳ６５の処理へ進む。

ステップＳ５９において、追加アプリによる書き込みのファイルログがないと判別した場合（Ｓ５９でＮＯ）、管理プログラム３１は、任意の画像形成装置にｎページ目の印刷先を決定し（Ｓ６３）、ステップＳ６５の処理へ進む。

ステップＳ６５において、管理プログラム３１は、ファイル管理部５２を通じて対象ファイルを取得し、印刷制御部５６を用いてｎページ目の印刷を実行、または通信制御部５５を用いてｎページ目の画像データを送信する（Ｓ６５）。次に管理プログラム３１は、ｎページ目が対象ファイルの最終ページであるか否かを判別する（Ｓ６７）。

ステップＳ６７において、ｎページ目が対象ファイルの最終ページでないと判別した場合（Ｓ６７でＮＯ）、管理プログラム３１はｎをインクリメントし（Ｓ６９）、ステップＳ５７の処理へ進む。

ステップＳ６７において、ｎページ目が対象ファイルの最終ページであると判別した場合（Ｓ６７でＹＥＳ）、管理プログラム３１は処理を終了する。

なお、画像形成装置１の構成および上述以外の動作については、第１の実施の形態における画像形成装置１の構成および動作と同様であるため、その説明は繰り返さない。

本実施の形態においては、追加アプリによってデータが書き込まれたページの画像データはウイルスを含んでいる可能性があるため、そのページの印刷先を自機または印刷機能のみを有する画像形成装置に決定する。これにより、分担印刷を行う際の画像データの送信に起因する機密情報やウイルスの拡散を抑止することができる。

（その他）

新たなアプリケーションが画像形成装置１に追加される場合に、管理プログラム３１（署名取得手段、署名判別手段、および分類手段の一例）は、新たなアプリケーションの署名を取得し、取得した署名に基づいて、新たなアプリケーションに信頼性があるか否かを判別してもよい。管理プログラム３１は、画像形成装置１の外部のサーバーから任意のタイミングで署名のリストを取得し、このリストに取得した署名が含まれているか否かに基づいて、新たなアプリケーションに信頼性があるか否かを判別してもよい。管理プログラム３１は、新たなアプリケーションに信頼性があると判別した場合に、新たなアプリケーションを基本アプリとして分類してもよい。これにより、追加アプリが信頼できる場合に、追加アプリによる外部機器との通信が許可になる。

上述の実施の形態における処理は、強制アクセス制御の処理として行われてもよい。

上述の実施の形態における処理は、ソフトウェアにより行っても、ハードウェア回路を用いて行ってもよい。また、上述の実施の形態における処理を実行するプログラムを提供することもできるし、そのプログラムをＣＤ－ＲＯＭ、フレキシブルディスク、ハードディスク、ＲＯＭ、ＲＡＭ、メモリカードなどの記録媒体に記録してユーザーに提供することにしてもよい。プログラムは、ＣＰＵなどのコンピューターにより実行される。また、プログラムはインターネットなどの通信回線を介して、装置にダウンロードするようにしてもよい。

上述の実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

１，２，２ａ，２ｂ 画像形成装置
３ ネットワーク
１１ ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）
１２ ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）
１３ ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）
１４ 補助記憶装置（記憶装置の一例）
１５ スキャナー部
１６ 画像処理部
１７ プリンターエンジン部
１８ ファクシミリ通信部
１９ ネットワーク通信部
２０ 操作パネル（問合せ手段の一例）
２０ａ 表示部
２０ｂ 操作部
３１ 管理プログラム（署名取得手段、署名判別手段、および分類手段の一例）
３２ 基本アプリ（第１のアプリケーションの一例）
３３ 追加アプリ（第２のアプリケーションの一例）
３４ ドキュメントファイル
３５ 他ファイル
３６ ファイルログテーブル（履歴の一例）
５１ アクセス判別部（禁止手段、印刷許可手段、送信判別手段、および機器決定手段の一例）
５２ ファイル管理部
５３ ログ管理部（書き込み記録手段および日時記録手段の一例）
５４ 端末情報収集部
５５ 通信制御部（機能情報取得手段の一例）
５６ 印刷制御部
ＦＬ 対象ファイル

Claims (7)

1. 外部機器へのファイルの送信を伴う機能である送信機能と、印刷機能とを少なくとも有する画像形成装置であって、
   第１のアプリケーションと、
   前記第１のアプリケーションとは異なる第２のアプリケーションであって、前記画像形成装置のユーザーによって追加された第２のアプリケーションと、
   ファイルおよび履歴を記憶する記憶装置と、
   前記第２のアプリケーションによって新たなデータが書き込まれたファイルである書き込みファイルが前記記憶装置に保存された場合に、前記書き込みファイルの識別子と、前記書き込みファイルの保存を行ったアプリケーションの識別子と、前記書き込みファイルが保存された日時とを互いに関連付けて前記履歴に記録する書き込み記録手段と、
   前記第２のアプリケーションによる前記外部機器との通信およびドキュメントファイル以外のファイルへのデータの書き込みを禁止する禁止手段と、
   前記第１のアプリケーションから、前記記憶装置に記憶されたファイルのうち任意のファイルである対象ファイルに対する前記印刷機能の処理の要求を受けた場合に、前記対象ファイルに対する前記印刷機能の処理を許可する印刷許可手段と、
   前記第１のアプリケーションから、前記対象ファイルに対する前記送信機能の処理の要求を受けた場合に、前記履歴に基づいて、前記対象ファイルに対する前記送信機能の処理を許可するか否かを判別する送信判別手段とを備えた、画像形成装置。
2. 前記対象ファイルが前記書き込みファイルであり、かつ前記対象ファイルに新たなデータが書き込まれた後で、前記対象ファイルの前記外部機器への送信の許可を前記画像形成装置のユーザーから受けていない場合に、前記対象ファイルの前記外部機器への送信を許可するか否かを前記ユーザーに問い合わせる問合せ手段をさらに備え、
   前記送信判別手段は、
   前記問合せ手段による問合せの結果、送信の許可を前記ユーザーから受けた場合に、前記対象ファイルの前記送信機能の処理を許可する第１の送信許可手段と、
   前記問合せ手段による問合せの結果、送信の許可を前記ユーザーから受けない場合に、前記対象ファイルの前記送信機能の処理を許可しない送信不許可手段とを含み、
   前記問合せ手段による問合せの結果、送信の許可を前記ユーザーから受けた場合に、前記対象ファイルの送信の許可を受けた日時を前記履歴に記録する日時記録手段をさらに備えた、請求項１に記載の画像形成装置。
3. 前記送信判別手段は、前記対象ファイルが前記書き込みファイルであり、かつ前記対象ファイルに新たなデータが書き込まれた後で、前記対象ファイルの前記外部機器への送信の許可を前記ユーザーから受けている場合に、前記対象ファイルの前記送信機能の処理を許可する第２の送信許可手段をさらに含む、請求項２に記載の画像形成装置。
4. 前記書き込み記録手段は、前記書き込みファイルを構成する複数のページのうち前回保存された内容から変更されたページである変更ページの識別子をさらに関連付けて前記履歴に記録し、
   前記画像形成装置および他の画像形成装置の各々が前記対象ファイルを構成する複数のページの一部を印刷することにより、前記対象ファイルを互いに分担して印刷する分担印刷を実行する場合に、前記履歴に基づいて前記複数のページの各々を印刷する装置を決定する機器決定手段をさらに備え、
   前記機器決定手段は、前記変更ページを印刷する装置を前記画像形成装置に決定する、請求項１～３のいずれかに記載の画像形成装置。
5. 前記書き込み記録手段は、前記書き込みファイルを構成する複数のページのうち前回保存された内容から変更されたページである変更ページの識別子をさらに関連付けて前記履歴に記録し、
   前記画像形成装置および他の画像形成装置の各々が前記対象ファイルを構成する複数のページの一部を印刷することにより、前記対象ファイルを互いに分担して印刷する分担印刷を実行する場合に、前記ファイルの履歴に基づいて前記複数のページの各々を印刷する装置を決定する機器決定手段と、
   前記他の画像形成装置が有する機能の情報を取得する機能情報取得手段とをさらに備え、
   前記機器決定手段は、前記書き込みページを印刷する機器を、外部にデータを送信する機能を有さない他の画像形成装置、および前記画像形成装置のうちいずれかに決定する、請求項１～３のいずれかに記載の画像形成装置。
6. 新たなアプリケーションが前記画像形成装置に追加される場合に、前記新たなアプリケーションの署名を取得する署名取得手段と、
   前記署名取得手段にて取得した署名に基づいて、前記新たなアプリケーションに信頼性があるか否かを判別する署名判別手段と、
   前記新たなアプリケーションに信頼性があると前記署名判別手段にて判別した場合に、前記新たなアプリケーションを前記第１のアプリケーションとして分類する分類手段とをさらに備えた、請求項１～５のいずれかに記載の画像形成装置。
7. 外部機器へのファイルの送信を伴う機能である送信機能と、印刷機能とを少なくとも有する画像形成装置の制御プログラムであって、
   前記画像形成装置は、第１のアプリケーションと、前記第１のアプリケーションとは異なる第２のアプリケーションであって、前記画像形成装置のユーザーによって追加された第２のアプリケーションと、ファイルおよび履歴を記憶する記憶装置とを備え、
   前記制御プログラムは、
   前記第２のアプリケーションによって新たなデータが書き込まれたファイルである書き込みファイルが前記記憶装置に保存された場合に、前記書き込みファイルの識別子と、前記書き込みファイルの保存を行ったアプリケーションの識別子と、前記書き込みファイルが保存された日時とを互いに関連付けて前記履歴に記録する書き込み記録ステップと、
   前記第２のアプリケーションによる前記外部機器との通信およびドキュメントファイル以外のファイルへのデータの書き込みを禁止する禁止ステップと、
   前記第１のアプリケーションから、前記記憶装置に記憶されたファイルのうち任意のファイルである対象ファイルに対する前記印刷機能の処理の要求を受けた場合に、前記対象ファイルに対する前記印刷機能の処理を許可する印刷許可ステップと、
   前記第１のアプリケーションから、前記対象ファイルに対する前記送信機能の処理の要求を受けた場合に、前記履歴に基づいて、前記対象ファイルに対する前記送信機能の処理を許可するか否かを判別する送信判別ステップとをコンピューターに実行させる、画像形成装置の制御プログラム。

Images