JP7302393B2

JP7302393B2 - 画像形成装置および、その設定方法

Info

Publication number: JP7302393B2
Application number: JP2019162015A
Authority: JP
Inventors: 笑子羽場; 洋彰杉本
Original assignee: Konica Minolta Inc
Current assignee: Konica Minolta Inc
Priority date: 2019-09-05
Filing date: 2019-09-05
Publication date: 2023-07-04
Anticipated expiration: 2039-09-05
Also published as: CN112449077A; JP2021040283A; EP3789869A1; US20210075930A1; CN112449077B

Description

この開示は、画像形成装置および、その設定方法に関し、より特定的には、情報漏洩を防止する画像形成装置および、その設定方法に関する。

近年、音声認識技術の発展に伴い、音声操作手段を備える装置が開発されている。しかし、当該装置にパスワードなどの機密情報を設定する場合にユーザーが音声操作で機密情報を設定すると、周辺の人に設定した機密情報が漏洩してしまう問題があった。そこで、特開２００７－７９８５２号公報（特許文献１）では、音声操作手段を備える装置において機密情報を設定する場合、音声操作を禁止し、別の操作手段へ切り替える構成が開示されている。

また、特開２０１５－８０１２０号公報（特許文献２）では、ユーザーが装置を音声操作する時、機密情報として設定された設定項目を操作する場合であれば、装置内の機密情報を現在の設定値から別の設定値に変換し、現在の設定値と変換後の設定値の変換テーブルを装置に表示して、変換後の設定値で音声操作を行う構成が開示されている。

特開２００７－７９８５２号公報特開２０１５－８０１２０号公報

特許文献１に開示される技術では、音声操作以外の操作手段に切り替わった後、ユーザーが誤って機密情報を音声入力してしまった場合、機密情報の漏洩を防止することができない。また、特許文献２に開示される技術では、ユーザーが、変換後の設定値ではなく、誤って変換前の設定値（機密情報）を音声入力してしまった場合、機密情報の漏洩を防止することはできない。

本開示は、上記のような問題を解決するためになされたものであって、ある局面における目的は、音声操作が可能である装置に対して機密情報の漏洩を防止することができる画像形成装置および、その設定方法を提供することである。

ある実施形態に従うと、音声により操作することができる画像形成装置であって、ユーザーの動作による操作を受け付ける操作手段と、音声の入力を受け付ける音声入力手段と、音声入力手段によって受け付けた音声を識別する音声識別手段と、音声識別手段で識別した識別情報に従ってユーザーの音声による操作を受け付ける音声操作手段と、音声識別手段で識別した識別情報を記憶する記憶手段と、操作手段または音声操作手段で受け付けた操作に従って画像形成装置を制御する制御手段と、を備え、制御手段は、画像形成装置において設定する項目のうち、機密情報を含む機密項目であるか否かを判別する機密判定手段と、機密判定手段で機密項目と判断された項目に情報を設定する場合、操作手段で受け付けた設定情報と、記憶手段に記憶された識別情報とが一致するか否かを判断する判断手段と、判断手段で設定情報と識別情報とが一致する場合、ユーザーに対して設定する情報の変更を要求する変更要求手段と、を含む。

別の実施形態に従うと、音声により操作することができる画像形成装置であって、ユーザーの動作による操作を受け付ける操作手段と、音声の入力を受け付ける音声入力手段と、音声入力手段によって受け付けた音声を識別する音声識別手段と、音声識別手段で識別した識別情報に従ってユーザーの音声による操作を受け付ける音声操作手段と、音声識別手段で識別した識別情報を記憶する記憶手段と、操作手段または音声操作手段で受け付けた操作に従って画像形成装置を制御する制御手段と、を備え、制御手段は、画像形成装置において設定する項目のうち、機密情報を含む機密項目であるか否かを判別する機密判定手段と、機密判定手段で機密項目と判断された項目に対して操作手段で設定情報を受け付けた場合、当該設定情報があらかじめ機密項目に設定されている情報と一致するか否かを認証する認証手段と、認証手段で認証された設定情報と、記憶手段に記憶された識別情報とが一致するか否かを判断する判断手段と、判断手段で設定情報と識別情報とが一致する場合、ユーザーに対してあらかじめ機密項目に設定する情報の変更を要求する変更要求手段と、を含む。

好ましくは、機密情報であるパスワードにより保護されたジョブを受信するジョブ受信手段と、ジョブ受信手段で受信したジョブを実行する場合、パスワードの入力をユーザーに要求するパスワード要求手段と、パスワード要求手段に従って操作手段で受け付けた設定情報がパスワードと一致する場合、ジョブを実行するジョブ実行手段と、ジョブ実行手段で実行したジョブを蓄積するジョブ蓄積手段と、をさらに備え、制御手段は、ジョブ実行手段でジョブを実行した後、当該ジョブをジョブ蓄積手段に蓄積するか否かを判別する蓄積判別手段をさらに含み、判断手段は、蓄積判別手段で当該ジョブをジョブ蓄積手段に蓄積すると判別した場合、パスワードと、記憶手段に記憶された識別情報とが一致するか否かを判断し、変更要求手段は、判断手段でパスワードと識別情報とが一致する場合、ユーザーに対してパスワードの変更を要求する。

好ましくは、ジョブ受信手段で受信したジョブは、端末からプリンタドライバを経由して受信したプリントジョブである。

好ましくは、ジョブ受信手段で受信したジョブは、外部のＦＡＸ機から受信したＦＡＸジョブである。

好ましくは、ジョブ受信手段で受信したジョブは、端末から電子メールで受信したジョブである。

好ましくは、ジョブ受信手段で受信したジョブは、端末で動作するアプリケーションを経由して受信したジョブである。

好ましくは、ジョブ受信手段で受信したジョブは、接続した外部メモリを経由して受信したジョブである。

好ましくは、ジョブ蓄積手段に蓄積されたジョブの文書データがパスワードで保護されている場合、パスワード要求手段はパスワードの入力をユーザーに要求し、パスワード要求手段に従って操作手段で受け付けた設定情報がパスワードと一致するとき、文書データにジョブコマンドを付加するコマンド付加手段をさらに備え、コマンド付加手段で付加したジョブコマンドに従ってジョブ実行手段でジョブを実行した後、蓄積判別手段で文書データをジョブ蓄積手段に蓄積するか否かを判別し、変更要求手段は、文書データをジョブ蓄積手段に蓄積すると判別し、判断手段でパスワードと識別情報とが一致すると判断された場合、ユーザーに対してパスワードの変更を要求する。

好ましくは、原稿をスキャンして取得したスキャンデータに、パスワードで保護されているジョブコマンドを付加するコマンド付加手段をさらに備え、コマンド付加手段で付加したジョブコマンドに従ってジョブ実行手段でジョブを実行する場合、変更要求手段は、ジョブコマンドの実行前にパスワードと識別情報とが一致するとき、ユーザーに対してパスワードの変更を要求する。

好ましくは、パスワードが埋め込まれた原稿をスキャンして取得したスキャンデータからパスワードを検出するパスワード検出手段と、パスワード検出手段でパスワードを検出した場合、パスワード要求手段はパスワードの入力をユーザーに要求し、パスワード要求手段に従って操作手段で受け付けた設定情報がパスワードと一致するとき、スキャンデータにジョブコマンドを付加するコマンド付加手段と、をさらに備え、制御手段は、パスワード検出手段で検出したパスワードと識別情報とが一致するとき、ジョブの実行を中止し、スキャンデータを破棄する。

好ましくは、判断手段は、設定情報と記憶手段に記憶された識別情報とを比較し、閾値以上の一致率の場合に設定情報と識別情報とが一致していると判断する。

好ましくは、判断手段は、操作手段で機密情報の設定項目の入力が可能になった状態から機密情報の設定項目の設定を実施するまでの間に記憶した識別情報を、設定情報の比較対象とする。

好ましくは、判断手段は、操作手段でユーザーがログインしてから機密情報の設定項目の設定を実施するまでの間に記憶した識別情報を、設定情報の比較対象とする。

好ましくは、変更要求手段は、ユーザーが設定された機密情報を変更する権限を持たない場合、当該権限を有するユーザーに設定する情報の変更を要求する通知を行う。

好ましくは、制御手段は、変更要求手段によりユーザーに設定する情報の変更を要求したが、設定する情報の変更が行われなかった場合、設定する情報を所定の情報に強制的に変更する。

好ましくは、制御手段は、機密情報ごとにユーザーに設定する情報の変更を要求するか、強制的に設定する情報を変更するかを選択することができる。

好ましくは、制御手段は、画像形成装置が設置されている部屋の入退室管理システムと連携することが可能で、当該部屋にユーザー以外に人がいることを確認した場合、変更要求手段でユーザーに対して設定する情報の変更を要求する。

また別の実施形態に従うと、ユーザーの動作による操作を受け付ける操作手段と、音声の入力を受け付ける音声入力手段と、音声入力手段によって受け付けた音声を識別する音声識別手段と、音声識別手段で識別した識別情報に従ってユーザーの音声による操作を受け付ける音声操作手段と、音声識別手段で識別した識別情報を記憶する記憶手段と、操作手段または音声操作手段で受け付けた操作に従って画像形成装置を制御する制御手段と、を備える画像形成装置の設定方法であって、画像形成装置において設定する項目のうち、機密情報を含む機密項目であるか否かを判別するステップと、機密項目と判断された項目に情報を設定する場合、操作手段で受け付けた設定情報と、記憶手段に記憶された識別情報とが一致するか否かを判断するステップと、設定情報と識別情報とが一致する場合、ユーザーに対して設定する情報の変更を要求するステップと、を含む。

さらに別の実施形態に従うと、ユーザーの動作による操作を受け付ける操作手段と、音声の入力を受け付ける音声入力手段と、音声入力手段によって受け付けた音声を識別する音声識別手段と、音声識別手段で識別した識別情報に従ってユーザーの音声による操作を受け付ける音声操作手段と、音声識別手段で識別した識別情報を記憶する記憶手段と、操作手段または音声操作手段で受け付けた操作に従って画像形成装置を制御する制御手段と、を備える画像形成装置の設定方法であって、画像形成装置において設定する項目のうち、機密情報を含む機密項目であるか否かを判別するステップと、機密項目と判断された項目に対して操作手段で設定情報を受け付けた場合、当該設定情報があらかじめ機密項目に設定されている情報と一致するか否かを認証するステップと、認証された設定情報と、記憶手段に記憶された識別情報とが一致するか否かを判断するステップと、設定情報と識別情報とが一致する場合、ユーザーに対してあらかじめ機密項目に設定する情報の変更を要求するステップと、を含む。

ある実施形態に従う画像形成装置は、音声操作による機密情報の漏洩を防止することができる。

実施の形態１におけるＭＦＰの外観を示す概略図である。実施の形態１におけるＭＦＰのハードウェア構成の概要を示すブロック図である。システム制御部の構成を説明するためのブロック図である。ジョブ処理部の構成を説明するためのブロック図である。実施の形態１におけるＭＦＰでの設定変更の処理を説明するためのフローチャートである。音声識別記憶処理を説明するためのフローチャートである。登録済みのパスワードを要求するＭＦＰのログイン画面の図である。パスワードの変更を要求する画面の図である。メニュー画面の図である。パスワードを設定するユーザー登録画面の図である。設定するパスワードの変更を要求する画面の図である。設定完了画面の図である。実施の形態２におけるＭＦＰでのジョブ実行時の処理を説明するためのフローチャートである。実施の形態２におけるＭＦＰでのジョブ実行時の処理を説明するためのフローチャートである。ジョブの操作要求があった場合に操作パネルに表示されるジョブ一覧の画面の図である。操作パネルに表示される、ジョブのパスワード入力画面の図である。ジョブパスワードの変更を要求する画面の図である。ジョブ実行の完了画面の図である。実施の形態３におけるＭＦＰでの文書の処理を説明するためのフローチャートである。実施の形態３におけるＭＦＰでの文書の処理を説明するためのフローチャートである。文書の表示要求があった場合に操作パネルに表示される文書一覧の画面の図である。文書一覧からユーザーが文書を選択したときに、各種操作を選択するためのメニュー画面の図である。操作パネルに表示される、パスワード入力画面の図である。スキャンデータにジョブコマンドを付加してボックスに保存する場合に、パスワードを付加する文書保存の画面の図である。文書パスワードの変更を要求する画面の図である。文書に埋め込まれているパスワードの入力をユーザーに要求する画面の図である。

＜実施の形態１＞
本実施の形態１について、図面を参照しながら詳細に説明する。なお、図中の同一または相当部分については、同一符号を付してその説明は繰返さない。

図１は、実施の形態１におけるＭＦＰ１００の外観を示す概略図である。図２は、実施の形態１におけるＭＦＰ１００のハードウェア構成の概要を示すブロック図である。図１および図２を参照して、ＭＦＰ１００について説明する。ＭＦＰ１００は、原稿を読み取るための原稿読取部１１０と、画像形成部１２０と、ユーザーインターフェースとしての操作パネル１６０とを含む。

原稿読取部１１０は、ＣＣＤ（Charge Coupled Device）等の光電変換素子を含み、自動原稿搬送装置から搬送される原稿を光学的に読取って電子データとしての画像を出力する。

画像形成部１２０は、電子写真方式のプリント処理を行い、原稿読取部１１０が出力する画像またはスマートフォンから送信された画像を、給紙部から供給される紙などの記録媒体に形成することにより、可視化する。画像形成部１２０は、カラープリントの場合には、イエロー、マゼンタ、シアン、ブラックの４色のトナーで画像を形成する。なお、画像形成部１２０は、インクジェット方式のプリント処理を行ってもよい。操作パネル１６０は、表示部と、操作部とを含む。

また、ＭＦＰ１００は、操作部２０、システム制御部３０、記憶装置４０、ジョブ処理部５０、画像処理部６０、ネットワークＩＦ（インターフェース）７０、デバイスＩＦ（インターフェース）７１、ＵＩ（User Interface）制御部８０、スキャナー制御部８１、プリンター制御部８２を含んでいる。さらに、ＭＦＰ１００は、一般的なＭＦＰの構成に加え、音声入力部１０、音声識別部１１、音声操作部１２を含んでいる。そのため、ＭＦＰ１００は、音声入力部１０でユーザーの音声の入力を受け付けると、音声識別部１１で音声を識別し、識別した音声に対応する操作を音声操作部１２で操作パネル１６０の操作画面を音声で操作を受け付けることができる。音声操作部１２は、受け付けたユーザーの操作に対応する操作信号をシステム制御部３０に送信する。

操作部２０は、操作パネル１６０の操作画面でのユーザーの操作を受け付け、当該操作に対応する操作信号をシステム制御部３０に送信する。システム制御部３０は、操作信号に基づきＭＦＰ１００の制御を行う。システム制御部３０は、各制御のプログラムを実行するＣＰＵを含む。また、システム制御部３０が、機密情報の処理を実行した場合の機能について図を用いて説明する。図３は、システム制御部３０の構成を説明するためのブロック図である。システム制御部３０は、ＭＦＰ１００において設定する項目のうち、機密情報を含む機密項目であるか否かを判別する機密判定部３１と、機密判定部３１で機密項目と判断された項目に情報を設定する場合、操作部２０で受け付けた設定情報と、記憶装置４０に記憶された識別情報とが一致するか否かを判断する判断部３２と、判断部３２で設定情報と識別情報とが一致する場合、ユーザーに対して設定する情報の変更を要求する変更要求部３３とを含む。さらに、システム制御部３０は、機密判定部３１で機密項目と判断された項目に対して操作部２０で設定情報を受け付けた場合、当該設定情報があらかじめ機密項目に設定されている情報と一致するか否かを認証する認証部３４と、ジョブを実行した後、当該ジョブを記憶装置４０に蓄積するか否かを判別する蓄積判別部３５とを含む。

記憶装置４０には、ＲＯＭ、ＲＡＭ、および不揮発性メモリなどを含む。ＲＯＭは、システム制御部３０のＣＰＵが実行するプログラム、またはそのプログラムを実行するために必要なデータを記憶する。ＲＡＭは、ＣＰＵがプログラムを実行する際の作業領域として用いられる。また、ＲＡＭは、原稿読取部１１０から連続的に送られてくる読取データ（画像データ）、音声識別部１１で識別した識別情報などを記憶する。不揮発性メモリは、ＭＦＰ１００において、あらかじめ機密項目に設定されている情報、ジョブの情報、複数の文書を含むボックスの情報などを記憶する。

ジョブ処理部５０は、ネットワークＩＦ７０などで受け付けたジョブを、原稿読取部１１０、画像形成部１２０などで処理することができる情報にする。図４は、ジョブ処理部５０の構成を説明するためのブロック図である。具体的に、ジョブ処理部５０は、機密情報であるパスワードにより保護されたジョブを受信するジョブ受信部５１と、ジョブ受信部５１で受信したジョブを実行する場合、パスワードの入力をユーザーに要求するパスワード要求部５２と、パスワード要求部５２に従って操作部２０で受け付けた設定情報がパスワードと一致する場合、ジョブを実行するジョブ実行部５３とを含む。画像処理部６０は、原稿読取部１１０で読み取った画像を処理し、画像形成部１２０でシートに形成する画像を処理する。

ネットワークＩＦ７０は、ＭＦＰ１００をネットワークに接続するためのインターフェースである。システム制御部３０は、ネットワークＩＦ７０を介して、ネットワークに接続されたコンピューターやスマートフォンとの間で通信し、データを送受信する。ネットワークＩＦ７０は、例えば、他の装置（例えばスマートフォン）と接続され、他の装置から印刷のためのジョブデータを受信することができる。また、ネットワークＩＦ７０は、ネットワークを介してインターネットに接続されたコンピューターと通信が可能である。なお、ネットワークＩＦ７０は、無線ＬＡＮ通信による通信を行ってもよい。

デバイスＩＦ７１は、音声入力部１０、原稿読取部１１０、画像形成部１２０、操作パネル１６０などのデバイスとシステム制御部３０とを接続するための接続部である。ＵＩ制御部８０は、操作パネル１６０を制御する制御部である。スキャナー制御部８１は、原稿読取部１１０を制御する制御部である。プリンター制御部８２は、画像形成部１２０を制御する制御部である。

なお、システム制御部３０のＣＰＵが実行するプログラムを記憶する媒体としては、ＣＤ－ＲＯＭに限られず、光ディスク（ＭＯ（ＭａｇｎｅｔｉｃＯｐｔｉｃａｌＤｉｓｃ）／ＭＤ（ＭｉｎｉＤｉｓｃ）／ＤＶＤ（ＤｉｇｉｔａｌＶｅｒｓａｔｉｌｅＤｉｓｃ））、ＩＣカード、光カード、マスクＲＯＭ、ＥＰＲＯＭ（ＥｒａｓａｂｌｅＰｒｏｇｒａｍｍａｂｌｅＲＯＭ）、ＥＥＰＲＯＭ（ＥｌｅｃｔｒｉｃａｌｌｙＥＰＲＯＭ）などの半導体メモリであってもよい。

また、システム制御部３０のＣＰＵが実行するプログラムは、ＣＤ－ＲＯＭに記録されたプログラムに限られず、補助記憶装置（例えば、ＨＤＤ）に記憶されたプログラムをＲＡＭにロードして実行するようにしてもよい。この場合、ネットワークＩＦ７０を介してネットワークに接続された他のコンピューターが、ＭＦＰ１００の補助記憶装置に記憶されたプログラムを書換える、または、新たなプログラムを追加して書き込むようにしてもよい。さらに、ＭＦＰ１００が、ネットワークＩＦ７０を介してネットワークに接続された他のコンピューターからプログラムをダウンロードして、そのプログラムを補助記憶装置に記憶するようにしてもよい。ここでいうプログラムは、システム制御部３０のＣＰＵが直接実行可能なプログラムだけでなく、ソースプログラム、圧縮処理されたプログラム、暗号化されたプログラム等を含む。

次に、本実施の形態に係るＭＦＰ１００で機密情報の漏洩を防止するための処理について具体的に説明する。ＭＦＰ１００では、音声入力部１０である、例えばマイクからユーザーの音声の入力を受け付けると、音声識別部１１で受け付けた音声を識別し、音声操作部１２で操作パネル１６０の操作画面を操作する命令として受け付ける。また、システム制御部３０は、音声識別部１１で識別した識別情報を、記憶装置４０に記憶する。なお、記憶装置４０に記憶した識別情報は、音声識別記憶とする。操作部２０は、操作パネル１６０の画面が遷移される度に、ＵＩ制御部８０で生成した操作画面を表示する。操作画面に表示される設定項目のうち、機密情報（例えば、パスワード）を入力する設定項目は、あらかじめ機密情報フラグを有効にしてある。ここで、機密情報とは、特定のユーザーにのみ開示されている情報であり、パスワード、送付先、設定情報などが含まれる。ＵＩ制御部８０は、操作画面にある設定項目毎に、機密情報フラグが有効か否かを確認することで、当該項目が機密情報を入力する設定項目か否かを判別している。また、ＭＰＵ１００では、管理者が、設定項目毎に機密情報フラグの有効・無効を設定できるようにしてもよい。

図５は、実施の形態１におけるＭＦＰでの設定変更の処理を説明するためのフローチャートである。まず、システム制御部３０は、操作部２０で画面を遷移するユーザーの要求を受け付けたか否かを判断する（ステップＳ１０１）。操作部２０で画面を遷移するユーザーの要求を受け付けていない場合（ステップＳ１０１でＮＯ）、システム制御部３０は、処理をステップＳ１０１の処理に戻し、画面を遷移するユーザーの要求を待つ。操作部２０で画面を遷移するユーザーの要求を受け付けた場合（ステップＳ１０１でＹＥＳ）、システム制御部３０は、ＵＩ制御部８０で生成した遷移先の操作画面を、操作パネル１６０に表示する（ステップＳ１０２）。システム制御部３０は、操作画面内の設定項目に機密情報フラグを有効にしてある設定項目（機密情報設定）が含まれているか否かをＵＩ制御部８０で判別させる（ステップＳ１０３）。

操作画面に機密情報設定の設定項目（機密項目）が含まれている場合（ステップＳ１０３でＹＥＳ）、システム制御部３０は、音声識別記憶を記憶装置４０に記憶する音声識別記憶処理を実行する（ステップＳ１０４）。ステップＳ１０４の処理について、さらに詳しく説明する。図６は、音声識別記憶処理を説明するためのフローチャートである。システム制御部３０は、音声識別記憶処理を開始すると、まず音声入力部１０で音声の入力を受け付けたか否か（音声入力の有無）を判断する（ステップＳ２０１）。音声入力を受け付けた（音声入力あり）と判断した場合（ステップＳ２０１でＹＥＳ）、システム制御部３０は、音声入力部１０で受け付けた音声を識別する（ステップＳ２０２）。システム制御部３０は、音声識別部１１で識別された識別情報を音声識別記憶として記憶装置４０に記憶する（ステップＳ２０３）。

図５に戻って、操作画面に機密情報設定の設定項目が含まれていない場合（ステップＳ１０３でＮＯ）またはステップＳ１０４の処理後、システム制御部３０は、機密情報を設定する設定項目をユーザーが選択し、設定要求が行われているか否かを判断する（ステップＳ１０５）。設定要求が行われていない場合（ステップＳ１０５でＮＯ）、システム制御部３０は、処理をステップＳ１０４の処理に戻し、音声識別記憶処理を継続する。設定要求が行われている場合（ステップＳ１０５でＹＥＳ）、システム制御部３０は、設定要求が行われている設定項目が登録済みの機密情報を利用する設定項目か否かを判断する（ステップＳ１０６）。ここで、登録済みの機密情報を利用する設定項目とは、例えば登録済みのパスワードを利用して、ＭＰＦ１００にログインする設定項目である。図７は、登録済みのパスワードを要求するＭＦＰ１００のログイン画面の図である。登録済みの機密情報を利用する設定項目である場合（ステップＳ１０６でＹＥＳ）、システム制御部３０は、例えば、図７に示すパスワードの入力欄にパスワードが入力されると、入力したパスワード（入力値）が登録済みのパスワードと一致するか否かの認証を行う（ステップＳ１０７）。

システム制御部３０は、ステップＳ１０７で認証を行い、認証成功か否かを判断する（ステップＳ１０８）。認証失敗の場合（ステップＳ１０８でＮＯ）、システム制御部３０は、操作パネル１６０の画面に認証失敗の表示をし（ステップＳ１０９）、処理をステップＳ１０２の処理に戻す。認証成功の場合（ステップＳ１０８でＹＥＳ）、システム制御部３０は、設定要求している機密情報が再利用されるか否かは判断する（ステップＳ１１０）。機密情報が再利用される場合、（ステップＳ１１０でＹＥＳ）、システム制御部３０は、記憶装置４０に記憶した音声識別記憶に、操作部２０でユーザーが入力した設定情報が含まれているか否かをチェックする（ステップＳ１１１）。

システム制御部３０は、ステップＳ１１１で音声識別記憶をチェックして、操作部２０でユーザーが入力した設定情報と記憶装置４０に記憶した音声識別記憶とが一致するか否かを判断する（ステップＳ１１２）。音声識別記憶と一致しない場合（ステップＳ１１２でＮＯ）、システム制御部３０は、記憶装置４０に記憶した音声識別記憶を破棄する（ステップＳ１１３）。機密情報が再利用されない場合（ステップＳ１０５でＮＯ）も、システム制御部３０は、記憶装置４０に記憶した音声識別記憶を破棄する。具体的に、ワンタイムパスワードのように、１回しか利用しないパスワードについて、システム制御部３０は、ステップＳ１１１～ステップＳ１１２の処理を行わず、記憶装置４０に記憶した音声識別記憶を破棄する。

音声識別記憶と一致する場合（ステップＳ１１２でＹＥＳ）、システム制御部３０は、設定情報の変更、例えば登録しているパスワードの変更を要求する（ステップＳ１１４）。図８は、パスワードの変更を要求する画面の図である。図８では、システム制御部３０は、パスワードの漏洩の可能性を示唆し、パスワードの変更を要求する。つまり、ログイン画面が表示されている際に、ユーザーがパスワードを声に出した場合、他人がその声を聞くことができるので機密情報であるパスワードが漏洩している可能性があり、システム制御部３０は、登録しているパスワードの変更を要求することでセキュリティを担保している。

システム制御部３０は、ステップＳ１１４の処理後、処理をステップＳ１０２の処理に戻す。また、システム制御部３０は、ステップＳ１１３で記憶装置４０に記憶した音声識別記憶を破棄した後、設定項目の設定を実行する（ステップＳ１１５）。設定項目が図７に示すログイン画面の場合、システム制御部３０は、ステップＳ１１５でメニュー画面を表示する。図９は、メニュー画面の図である。

図７～図９では、ユーザーが登録済みの機密情報を利用する設定項目の例として、ユーザーのパスワードによるユーザー認証の例を説明したが、他にも管理者のパスワード、ボックスのパスワードなどの認証する設定項目でも、同様の処理を実施することで、同様に音声による機密情報の漏洩を防止することができる。さらに、上記のパスワードがワンタイムパスワードであるか否かをステップＳ１１０の処理で判断しており、再利用できない機密情報であると判断した場合、音声識別記憶をチェックする処理（ステップＳ１１１）を実施しないことで、ユーザーに対して不要な設定変更要求の処理（ステップＳ１１４）を行わないようにすることができる。また、ユーザーの入力値が登録済みの機密情報と一致するか否かの認証を行い、認証に成功した場合のみ、上記音声識別記憶をチェックする処理（ステップＳ１１１）を実施することで、音声による総当たり攻撃や辞書攻撃によって機密情報が特定されてしまうことを防止することができる。

ステップＳ１０６に戻って、登録済みの機密情報を利用する設定項目でない場合（ステップＳ１０６でＮＯ）、システム制御部３０は、ステップＳ１０７～ステップＳ１０９の処理を行わず、登録済みの機密情報を利用しない設定項目を操作パネル１６０の画面に表示し、ステップＳ１１０の処理を実行する。登録済みの機密情報を利用しない設定項目として、例えば、ユーザー登録画面でパスワードを設定する項目がある。図１０は、パスワードを設定するユーザー登録画面の図である。システム制御部３０は、例えば、図１０に示すパスワードの設定欄にパスワードが入力されると、入力したパスワード（入力値）が登録済みのパスワードと一致するか否かの認証を行う（ステップＳ１０７）。

設定欄に入力したパスワードが音声識別記憶と一致する場合（ステップＳ１１２でＹＥＳ）、システム制御部３０は、設定情報の変更、例えば設定するパスワードの変更を要求する（ステップＳ１１４）。図１１は、設定するパスワードの変更を要求する画面の図である。図１１では、システム制御部３０は、設定しようとしているパスワードの漏洩の可能性を示唆し、設定するパスワードの変更を要求する。つまり、ユーザー登録画面が表示されている際に、ユーザーが設定するパスワードを声に出した場合、他人がその声を聞くことができるので機密情報であるパスワードが漏洩している可能性があり、システム制御部３０は、設定しようとしているパスワードの変更を要求することでセキュリティを担保している。

システム制御部３０は、ステップＳ１１３で記憶装置４０に記憶した音声識別記憶を破棄した後、設定項目の設定を実行する（ステップＳ１１５）。設定項目が図１０に示すユーザー登録画面の場合、システム制御部３０は、ステップＳ１１５で設定完了画面を表示する。図１２は、設定完了画面の図である。図１０～図１２では、機密情報の設定項目として、ユーザー登録画面でユーザーのパスワードを設定する項目を例に示したが、他にも、ボックスのパスワード、文書のパスワード、ジョブのパスワード、ストレージ暗号化のパスワード、ストレージロックのパスワード、共有鍵などの機密情報を設定する項目についても、同様の処理を行うことができ、同様に音声による機密情報の漏洩を防止することができる。

以上のように、本実施の形態に係る画像形成装置（ＭＦＰ１００）は、音声により操作することができる画像形成装置であって、ユーザーの動作による操作を受け付ける操作部２０と、音声の入力を受け付ける音声入力部１０と、音声入力部１０によって受け付けた音声を識別する音声識別部１１と、音声識別部１１で識別した識別情報に従ってユーザーの音声による操作を受け付ける音声操作部１２と、音声識別部１１で識別した識別情報を記憶する記憶装置４０と、操作部２０または音声操作部１２で受け付けた操作に従って画像形成装置を制御するシステム制御部３０と、を備えている。システム制御部３０は、画像形成装置において設定する項目のうち、機密情報を含む機密項目であるか否かを判別する機密判定部３１と、機密判定部３１で機密項目と判断された項目に情報を設定する場合、操作部２０で受け付けた設定情報と、記憶装置４０に記憶された識別情報とが一致するか否かを判断する判断部３２と、判断部３２で設定情報と識別情報とが一致する場合、ユーザーに対して設定する情報の変更を要求する変更要求部３３と、を含む。これにより、本実施の形態に係る画像形成装置は、機密情報を含む機密項目の設定を行う場合に、音声操作による機密情報の漏洩を防止することができる。

本実施の形態に係る画像形成装置（ＭＦＰ１００）は、システム制御部３０が、画像形成装置において設定する項目のうち、機密情報を含む機密項目であるか否かを判別する機密判定部３１と、機密判定部３１で機密項目と判断された項目に対して操作部２０で設定情報を受け付けた場合、当該設定情報があらかじめ機密項目に設定されている情報と一致するか否かを認証する認証手段と、認証手段で認証された設定情報と、記憶装置４０に記憶された識別情報とが一致するか否かを判断する判断部３２と、判断部３２で設定情報と識別情報とが一致する場合、ユーザーに対してあらかじめ機密項目に設定する情報の変更を要求する変更要求部３３と、を含む。これにより、本実施の形態に係る画像形成装置は、機密情報を含む機密項目の認証を行う場合に、音声操作による機密情報の漏洩を防止することができる。

また、本実施の形態に係る画像形成装置（ＭＦＰ１００）の設定方法は、画像形成装置において設定する項目のうち、機密情報を含む機密項目であるか否かを判別するステップと、機密項目と判断された項目に情報を設定する場合、操作部２０で受け付けた設定情報と、記憶装置４０に記憶された識別情報とが一致するか否かを判断するステップと、設定情報と識別情報とが一致する場合、ユーザーに対して設定する情報の変更を要求するステップと、を含む。これにより、本実施の形態に係る画像形成装置は、機密情報を含む機密項目の設定方法において、音声操作による機密情報の漏洩を防止することができる。

また、本実施の形態に係る画像形成装置（ＭＦＰ１００）の設定方法は、画像形成装置において設定する項目のうち、機密情報を含む機密項目であるか否かを判別するステップと、機密項目と判断された項目に対して操作部２０で設定情報を受け付けた場合、当該設定情報があらかじめ機密項目に設定されている情報と一致するか否かを認証するステップと、認証された設定情報と、記憶装置４０に記憶された識別情報とが一致するか否かを判断するステップと、設定情報と識別情報とが一致する場合、ユーザーに対してあらかじめ機密項目に設定する情報の変更を要求するステップと、を含む。これにより、本実施の形態に係る画像形成装置は、機密情報を含む機密項目の認証を行う設定方法において、音声操作による機密情報の漏洩を防止することができる。

＜実施の形態２＞
ＭＦＰ１００において、ジョブ、文書をユーザーが操作するため、あらかじめジョブ、文書に付加されているパスワードを入力する場合、ユーザーが付加されているパスワードを声に出すと、他人がその声を聞くことができるので機密情報であるパスワードが漏洩している可能性がある。もちろん、各種操作後にジョブ、文書が破棄される場合であれば、パスワードを再利用しないため、パスワードの入力時に機密情報が漏洩しても悪用されることはない。そこで、ＭＦＰ１００では、パスワード付きジョブ、パスワード付き文書をユーザーが操作する際、操作後にジョブ、文書がパスワードと共にＭＦＰ１００内に蓄積されるか否かを判断し、蓄積される場合のみ音声識別記憶のチェックを行う。

ここで、文書とは、例えば、スキャンデータ、画像データ、テキストデータ、各種アプリデータなどＭＦＰ１００の画像処理部６０で画像処理する対象のデータをすべて含むものとする。また、パスワード付き文書とは、上記の文書にパスワードによるアクセス制限を行うジョブコマンドを付加したものである。さらに、ジョブとは、上記の文書に各種操作を行うジョブコマンドを付加したものである。パスワード付きジョブは、上記のジョブにパスワードによるアクセス制限を行うジョブコマンドを付加したものである。

次に、ＭＦＰ１００において、ジョブ実行時の処理を説明する。図１３および図１４は、実施の形態２におけるＭＦＰでのジョブ実行時の処理を説明するためのフローチャートである。まず、システム制御部３０は、ネットワークＩＦ７０で外部から受信したジョブの有無を判断する（ステップＳ３０１）。ジョブを受信していない場合（ステップＳ３０１でＮＯ）、システム制御部３０は、処理をステップＳ３０１の処理に戻し、外部からジョブが送信されるのを待つ。ジョブを受信した場合（ステップＳ３０１でＹＥＳ）、システム制御部３０は、ジョブを一時的に記憶装置４０に蓄積する（ステップＳ３０２）。

システム制御部３０は、蓄積されたジョブに対してユーザーによるジョブの操作要求があるか否かを判断する（ステップＳ３０３）。ジョブの操作要求がない場合（ステップＳ３０３でＮＯ）、システム制御部３０は、処理をステップＳ３０１の処理に戻す。ジョブの操作要求があった場合（ステップＳ３０３でＹＥＳ）、システム制御部３０は、ジョブ一覧を操作パネル１６０に表示する（ステップＳ３０４）。図１５は、ジョブの操作要求があった場合に操作パネル１６０に表示されるジョブ一覧の画面の図である。ジョブ一覧が画面に表示されると、システム制御部３０は、図１３に示すユーザーによるジョブの実行要求があるか否かを判断する（ステップＳ３０５）。ジョブの実行要求がない場合（ステップＳ３０５でＮＯ）、システム制御部３０は、処理をステップＳ３０４の処理に戻す。ジョブの実行要求があった場合（ステップＳ３０５でＹＥＳ）、システム制御部３０は、蓄積しているジョブのコマンドを解析する（ステップＳ３０６）。

ＭＦＰ１００では、ネットワークＩＦ７０で外部から受信したジョブを一時蓄積し、ユーザーがジョブを選択してジョブの実行を指示した場合、ジョブ処理部５０で当該ジョブに付加されているジョブコマンドを解析し、ジョブコマンドに従ってジョブを実行する。なお、外部から受信するジョブには、外部端末にインストールされたプリンタドライバ経由で受信するジョブ、外部ＦＡＸ機器から電話回線経由で受信するジョブ、外部メールサーバもしくはＭＦＰ１００内のメールサーバ機能経由で受信するジョブ、外部端末のブラウザ上で動作するＷｅｂアプリケーション経由で受信するジョブ、ＭＦＰ１００に装着したＵＳＢメモリ等の外部メモリに保存されたジョブなどがある。

次に、システム制御部３０は、蓄積しているジョブのジョブコマンドを解析した結果、当該ジョブにパスワードが設定されているか否かを判断する（ステップＳ３０７）。パスワードが設定されている場合（ステップＳ３０７でＹＥＳ）、システム制御部３０は、パスワード入力画面を操作パネル１６０に表示する（ステップＳ３０８）。図１６は、操作パネル１６０に表示されるジョブのパスワード入力画面の図である。図１３に戻って、システム制御部３０は入力するパスワードが再利用されるか否かは判断する（ステップＳ３０９）。パスワードが再利用される場合、（ステップＳ３０９でＹＥＳ）、システム制御部３０は、音声識別記憶を記憶装置４０に記憶する音声識別記憶処理を実行する（ステップＳ３１０）。ステップＳ３１０の音声識別記憶処理は、図５に示すステップＳ１０４の音声識別記憶処理と同じであるため詳しい説明を繰り返さない。

システム制御部３０は、例えば、パスワードの入力欄（図１６参照）にパスワードが入力されると、入力したパスワード（入力値）がジョブのパスワード（ジョブパスワード）と一致するか否かの認証要求を受け付け（ステップＳ３１１）、パスワード認証を行う（ステップＳ３１２）。システム制御部３０は、ステップＳ３１２で認証を行い、認証成功か否かを判断する（ステップＳ３１３）。認証失敗の場合（ステップＳ３１３でＮＯ）、システム制御部３０は、操作パネル１６０の画面に認証失敗の表示をし（ステップＳ３１５）、処理をステップＳ３０８の処理に戻す。認証成功の場合（ステップＳ３１３でＹＥＳ）、システム制御部３０は、図１４に示すように入力したパスワードが再利用されるか否かは判断する（ステップＳ３１４）。

パスワードが再利用される場合、（ステップＳ３１４でＹＥＳ）、システム制御部３０は、記憶装置４０に記憶した音声識別記憶に、操作部２０でユーザーが入力したパスワード（設定情報）が含まれているか否かをチェックする（ステップＳ３１６）。システム制御部３０は、ステップＳ３１６で音声識別記憶をチェックして、操作部２０でユーザーが入力したパスワードと記憶装置４０に記憶した音声識別記憶とが一致するか否かを判断する（ステップＳ３１７）。音声識別記憶と一致する場合（ステップＳ３１７でＹＥＳ）、システム制御部３０は、設定情報の変更、つまりジョブパスワードの変更を要求する（ステップＳ３１８）。図１７は、ジョブパスワードの変更を要求する画面の図である。図１７では、システム制御部３０は、ジョブパスワードの漏洩の可能性を示唆し、ジョブパスワードの変更を要求する。つまり、ジョブパスワードの入力画面が表示されている際に、ユーザーがジョブパスワードを声に出した場合、他人がその声を聞くことができるので機密情報であるジョブパスワードが漏洩している可能性があり、システム制御部３０は、ジョブパスワードの変更を要求することでセキュリティを担保している。

システム制御部３０は、ステップＳ３１８で、ジョブパスワードの変更を要求し、ジョブパスワードの変更が実施された否かを判断する（ステップＳ３１９）。ジョブパスワードの変更が実施されていない場合（ステップＳ３１９でＮＯ）、システム制御部３０は、処理をステップＳ３１８の処理に戻す。ジョブパスワードの変更が実施された場合（ステップＳ３１９でＹＥＳ）、システム制御部３０は、ジョブパスワードを含むジョブコマンドを変更する（ステップＳ３２０）。ジョブコマンドの変更後、または音声識別記憶と一致しない場合（ステップＳ３１７でＮＯ）、システム制御部３０は、記憶装置４０に記憶した音声識別記憶を破棄する（ステップＳ３２１）。

システム制御部３０は、ステップＳ３２１で記憶装置４０に記憶した音声識別記憶を破棄した後、パスワードが設定されていない場合（ステップＳ３０７でＮＯ）、または音声識別記憶と一致しない場合（ステップＳ３１７でＮＯ）、ジョブを実行する（ステップＳ３２２）。図１８は、ジョブ実行の完了画面の図である。

システム制御部３０は、ユーザーが選択したジョブのジョブコマンドにパスワードが付加されている場合、ジョブパスワードの入力を要求し（ステップＳ３１１）、ユーザーが正しいパスワードを入力すると、ジョブを実行し（ステップＳ３２２）、誤ったパスワードを入力するとジョブを実行せず、パスワードの再入力を要求する。なお、システム制御部３０は、ユーザーが正しいパスワードを入力した場合、ジョブ処理部５０で当該ジョブに付加されているジョブコマンドを解析し、当該ジョブがパスワードと共に記憶装置４０に蓄積する、または当該ジョブをパスワードと共に外部に送信する。システム制御部３０は、このような場合に、ジョブ実行前に音声識別記憶にパスワードが記録されていないか否かを確認し、一致する記録がある場合、当該パスワードが漏洩していると判断して、ユーザーにパスワードの変更を要求する（ステップＳ３１８）。システム制御部３０は、ユーザーが新しいパスワードを設定した場合、ジョブコマンドに新しいパスワードを付加して、ジョブを実行する。

以上のように、本実施の形態２に係る画像形成装置（ＭＦＰ１００）は、機密情報であるパスワードにより保護されたジョブを受信するジョブ受信部５１と、ジョブ受信部５１で受信したジョブを実行する場合、パスワードの入力をユーザーに要求するパスワード要求部５２と、パスワード要求部５２に従って操作部２０で受け付けた設定情報がパスワードと一致する場合、ジョブを実行するジョブ実行部５３と、ジョブ実行手段で実行したジョブを蓄積する記憶装置４０（ジョブ蓄積手段）と、を含む。システム制御部３０は、ジョブ実行部５３でジョブを実行した後、当該ジョブを記憶装置４０に蓄積するか否かを判別する蓄積判別部３５をさらに含む。判断部３２は、蓄積判別部３５で当該ジョブを記憶装置４０に蓄積すると判別した場合、パスワードと、記憶装置４０に記憶された識別情報とが一致するか否かを判断する。変更要求部３３は、判断部３２でパスワードと識別情報とが一致する場合、ユーザーに対してパスワードの変更を要求する。これにより、本実施の形態２に係る画像形成装置（ＭＦＰ１００）は、パスワードにより保護されたジョブ（ジョブコマンドにパスワードが付加されているジョブ）の場合に、音声操作による機密情報の漏洩を防止することができる。

なお、ジョブ受信部５１で受信したジョブは、端末からプリンタドライバを経由して受信したプリントジョブであっても、外部のＦＡＸ機から受信したＦＡＸジョブであってもよい。また、ジョブ受信部５１で受信したジョブは、端末から電子メールで受信したジョブであっても、端末で動作するアプリケーションを経由して受信したジョブであっても、接続した外部メモリを経由して受信したジョブであってもよい。

＜実施の形態３＞
本実施の形態３に係るＭＦＰ１００において、文書の処理を説明する。図１９および図２０は、本実施の形態３におけるＭＦＰ１００での文書の処理を説明するためのフローチャートである。本実施の形態３におけるＭＦＰ１００では、原稿読取部１１０で読み取った原稿のスキャンデータ、ネットワークＩＦ７０で外部から受信した文書データを文書として記憶装置４０のボックスに保存するボックス機能を備えている。まず、システム制御部３０は、ボックスに文書を保存する要求を受け付けたか否かを判断する（ステップＳ４０１）。ボックスに文書を保存する要求を受け付けていない場合（ステップＳ４０１でＮＯ）、システム制御部３０は、処理をステップＳ４０１の処理に戻し、ボックスに文書を保存する要求を待つ。ボックスに文書を保存する要求を受け付けた場合（ステップＳ４０１でＹＥＳ）、システム制御部３０は、文書をボックスに保存する（ステップＳ４０２）。

システム制御部３０は、ボックスに保存された文書に対してユーザーからの表示要求があるか否かを判断する（ステップＳ４０３）。文書の表示要求がない場合（ステップＳ４０３でＮＯ）、システム制御部３０は、処理をステップＳ４０１の処理に戻す。文書の表示要求があった場合（ステップＳ４０３でＹＥＳ）、システム制御部３０は、文書一覧を操作パネル１６０に表示する（ステップＳ４０４）。図２１は、文書の表示要求があった場合に操作パネル１６０に表示される文書一覧の画面の図である。文書一覧が画面に表示されると、システム制御部３０は、図１９に示すユーザーによる文書の操作要求があるか否かを判断する（ステップＳ４０５）。文書の操作要求がない場合（ステップＳ４０５でＮＯ）、システム制御部３０は、処理をステップＳ４０４の処理に戻す。文書の操作要求があった場合（ステップＳ４０５でＹＥＳ）、システム制御部３０は、保存している文書がパスワードで保護されているかを確認する（ステップＳ４０６）。なお、システム制御部３０は、保存する文書がパスワード付き文書だった場合、文書データと共にパスワードもボックス内に保存される。

ＭＦＰ１００では、ボックス内に保存されている文書一覧からユーザーが文書を選択し、印刷、送信、ＦＡＸ送信、別ボックスへのコピー・移動、編集、削除といった各種操作を指定すると、指定した操作がジョブコマンドとして文書データに付加され、ジョブの実行を指示したときに当該ジョブコマンドに従って文書に対して指定した操作がなされる。図２２は、文書一覧からユーザーが文書を選択したときに、各種操作を選択するためのメニュー画面の図である。

次に、システム制御部３０は、保存している文書のジョブコマンドを解析した結果、当該文書にパスワードが設定されているか否かを判断する（ステップＳ４０７）。パスワードが設定されていない場合（ステップＳ４０７でＮＯ）、システム制御部３０は、処理を終了する。パスワードが設定されている場合（ステップＳ４０７でＹＥＳ）、システム制御部３０は、パスワード入力画面を操作パネル１６０に表示する（ステップＳ４０８）。図２３は、操作パネル１６０に表示されるパスワード入力画面の図である。図１９に戻って、システム制御部３０は、音声識別記憶を記憶装置４０に記憶する音声識別記憶処理を実行する（ステップＳ４０９）。ステップＳ４０９の音声識別記憶処理は、図５に示すステップＳ１０４の音声識別記憶処理と同じであるため詳しい説明を繰り返さない。

システム制御部３０は、例えば、図２３に示すパスワードの入力欄にパスワードが入力されると、入力したパスワード（入力値）が文書のパスワード（文書パスワード）と一致するか否かの認証要求を受け付け（ステップＳ４１０）、パスワード認証を行う（ステップＳ４１１）。システム制御部３０は、ステップＳ４１１で認証を行い、認証成功か否かを判断する（ステップＳ４１２）。認証失敗の場合（ステップＳ４１２でＮＯ）、システム制御部３０は、操作パネル１６０の画面に認証失敗の表示をし（ステップＳ４１３）、処理をステップＳ４０８の処理に戻す。認証成功の場合（ステップＳ４１２でＹＥＳ）、システム制御部３０は、図１４に示すように、ユーザーが正しいパスワードを入力して認証成功した場合、ジョブ処理部５０で文書に指定した操作のジョブコマンドを付加する（ステップＳ４１４）。なお、ジョブ処理部５０は、文書にジョブコマンドを付加するコマンド付加手段でもある。具体的に、ＭＦＰ１００は、ユーザーが原稿読取部１１０に原稿をセットし、保存先ボックス、もしくは、宛先を指定してジョブ実行を指示したとき、原稿を読み取ったスキャンデータにジョブコマンドを付加してボックスに保存、もしくは、スキャンデータにジョブコマンドを付加して指定された宛先へ送信する。図２４は、スキャンデータにジョブコマンドを付加してボックスに保存する場合に、パスワードを付加する文書保存の画面の図である。次に、システム制御部３０は、文書に付加されているジョブのコマンドを解析する（ステップＳ４１５）。さらに、システム制御部３０は、入力したパスワードが再利用されるか否かは判断する（ステップＳ４１６）。

パスワードが再利用される場合、（ステップＳ４１６でＹＥＳ）、システム制御部３０は、記憶装置４０に記憶した音声識別記憶に、操作部２０でユーザーが入力したパスワード（設定情報）が含まれているか否かをチェックする（ステップＳ４１７）。システム制御部３０は、ステップＳ４１７で音声識別記憶をチェックして、操作部２０でユーザーが入力したパスワードと記憶装置４０に記憶した音声識別記憶とが一致するか否かを判断する（ステップＳ４１８）。音声識別記憶と一致する場合（ステップＳ４１８でＹＥＳ）、システム制御部３０は、設定情報の変更、つまり文書パスワードの変更を要求する（ステップＳ４１９）。図２５は、文書パスワードの変更を要求する画面の図である。図２５では、システム制御部３０は、文書パスワードの漏洩の可能性を示唆し、文書パスワードの変更を要求する。つまり、文書パスワードの入力画面が表示されている際に、ユーザーが文書パスワードを声に出した場合、他人がその声を聞くことができるので機密情報である文書パスワードが漏洩している可能性があり、システム制御部３０は、文書パスワードの変更を要求することでセキュリティを担保している。

システム制御部３０は、ステップＳ４１９で、文書パスワードの変更を要求し、文書パスワードの変更が実施された否かを判断する（ステップＳ４２０）。文書パスワードの変更が実施されていない場合（ステップＳ４２０でＮＯ）、システム制御部３０は、処理をステップＳ４１９の処理に戻す。文書パスワードの変更が実施された場合（ステップＳ４２０でＹＥＳ）、システム制御部３０は、文書パスワードを含むジョブコマンドを変更する（ステップＳ４２１）。ジョブコマンドの変更後、音声識別記憶と一致しない場合（ステップＳ４１８でＮＯ）、（ステップＳ４１６でＮＯ）、またはパスワードが再利用されない場合、システム制御部３０は、記憶装置４０に記憶した音声識別記憶を破棄する（ステップＳ４２２）。

システム制御部３０は、ステップＳ４２２で記憶装置４０に記憶した音声識別記憶を破棄した後、ジョブを実行する（ステップＳ４２３）。システム制御部３０は、文書のジョブを実行する場合、２次元コード、バーコードといった人にとって不可視なパスワードが文書に埋め込まれている原稿を原稿読取部１１０で読み取りボックスに保存する、もしくは、宛先を指定してジョブ実行するとき、文書に埋め込まれているパスワードの入力をユーザーに要求する。つまり、システム制御部３０は、パスワードが埋め込まれた原稿をスキャンして取得したスキャンデータからパスワードを検出するパスワード検出手段でもある。図２６は、文書に埋め込まれているパスワードの入力をユーザーに要求する画面の図である。システム制御部３０は、ユーザーが正しいパスワードを入力した時、ジョブを実行し、誤ったパスワードを入力した場合、ジョブを実行せず、パスワードの再入力を要求する。

以上のように、本実施の形態３に係る画像形成装置（ＭＦＰ１００）は、記憶装置４０（ボックス）に蓄積されたジョブの文書データがパスワードで保護されている場合、パスワード要求部５２はパスワードの入力をユーザーに要求し、パスワード要求部５２に従って操作部２０で受け付けた設定情報がパスワードと一致するとき、文書データにジョブコマンドを付加するジョブ処理部５０（コマンド付加手段）を含む。ジョブ処理部５０で付加したジョブコマンドに従ってジョブ実行手段でジョブを実行した後、蓄積判別部３５で文書データを記憶装置４０に蓄積するか否かを判別する。変更要求部３３は、文書データを記憶装置４０に蓄積すると判別し、判断部３２でパスワードと識別情報とが一致すると判断された場合、ユーザーに対してパスワードの変更を要求する。これにより、本実施の形態３に係る画像形成装置（ＭＦＰ１００）は、パスワードにより保護された文書（ジョブコマンドにパスワードが付加されている文書）の場合に、音声操作による機密情報の漏洩を防止することができる。

画像形成装置（ＭＦＰ１００）は、原稿をスキャンして取得したスキャンデータに、パスワードで保護されているジョブコマンドを付加するジョブ処理部５０（コマンド付加手段）を含み、ジョブ処理部５０で付加したジョブコマンドに従ってジョブ実行部５３でジョブを実行する場合、変更要求部３３は、ジョブコマンドの実行前にパスワードと識別情報とが一致するとき、ユーザーに対してパスワードの変更を要求してよい。

画像形成装置（ＭＦＰ１００）は、パスワードが埋め込まれた原稿をスキャンして取得したスキャンデータからパスワードを検出するシステム制御部３０（パスワード検出手段）と、パスワードを検出した場合、パスワード要求部５２はパスワードの入力をユーザーに要求し、パスワード要求部５２に従って操作部２０で受け付けた設定情報がパスワードと一致するとき、スキャンデータにジョブコマンドを付加するジョブ処理部５０（コマンド付加手段）とを含み、検出したパスワードと識別情報とが一致するとき、ジョブの実行を中止し、スキャンデータを破棄してもよい。つまり、ＭＦＰ１００では、ユーザーが正しいパスワードを入力したと判断した後、ジョブ実行前に音声識別記憶をチェックし、原稿のパスワードと一致するものが記録されていた場合、音声によって機密情報が漏洩している可能性があると判断して、ジョブを中止し、スキャンデータを破棄することで、音声によって漏洩したパスワードを不正に利用されないようにしてもよい。

＜変形例＞
前述の実施の形態では、音声識別部１１でユーザーの発音が不明瞭、周辺の雑音の影響などによりユーザーが入力した音声をすべて正確に識別できない場合について考慮していない。しかし、これに限定されず、ＭＦＰ１００は、上記の場合を考慮して、音声識別記憶とユーザーの入力値とを比較してあらかじめ定めた閾値以上の一致率だった場合に、ユーザーが機密情報を発音したと判断して、設定変更を要求するようにしてもよい。

前述の実施の形態では、比較対象の音声識別記憶のデータが多い場合、比較処理に時間がかかるため、機密情報の設定項目を含む操作画面が表示されてから当該機密情報の設定が実施されるまでの間に記録された音声識別記憶のデータを記憶装置４０に記憶している。しかし、これに限定されず、ＭＦＰ１００は、電源がＯＮ状態のとき常時、音声識別記憶のデータを記憶装置４０に記憶してもよい。また、ＭＦＰ１００は、ユーザーが操作を開始してから終了するまでの音声識別記憶のデータを記憶装置４０に記憶してもよい。さらに、ＭＦＰ１００は、機密情報の設定項目にカーソルを移動し入力可能が状態になった時から当該機密情報の設定項目の設定を実施するまでの間に記録された音声識別記憶を比較対象としてもよい。ＭＦＰ１００は、ユーザー認証によりログインしている場合、ユーザーがログインしてから機密情報の設定項目の設定を実施するまでの間に記録された音声識別記憶を比較対象とし、より厳密にチェックしてもよい。

前述の実施の形態では、音声による機密情報の漏洩を検知した時、操作中のユーザーに対して設定変更を要求している。しかし、操作中のユーザー自身が当該機密情報を設定変更できる権限を持たない場合が考えられる。例えば、ユーザパスワードやボックスパスワードなどは、ユーザー自身に管理させるとパスワードの紛失等が発生するため、管理者のみが変更できるように管理している場合がある。そこで、ＭＦＰ１００は、音声による機密情報の漏洩を検知した時、操作中のユーザーが当該機密情報の設定変更権限を持つか否かを確認し、権限がない場合、権限を持つユーザーへ設定変更要求を通知するようにしてもよい。

前述の実施の形態では、音声による機密情報の漏洩を検知し、ユーザーに設定変更を要求したにも関わらず、ユーザーが設定変更しないまま操作を終了してしまう可能性があった。例えば、ストレージ暗号化ワードやストレージロックパスワードが漏洩してしまった場合、悪意あるユーザーがＭＦＰ１００からストレージを取り外し、上記機密情報を利用して、ストレージ内のデータをすべて取り出せるので、重大なセキュリティインシデントつながる。そこで、ＭＦＰ１００は、ユーザーによる設定変更が実施されなかった場合、管理者だけが知る所定の設定値に強制的に変更し、漏洩した機密情報が利用できなくするようにしてもよい。また、ＭＦＰ１００は、音声による機密情報の漏洩を検知した時、ユーザーに設定変更を要求するか、強制的な設定変更を実施するかを機密情報の設定項目に選択することが可能なようにしてもよい。

前述の実施の形態では、ＭＦＰ１００の周辺に人がいる、いないに関わらず、音声による機密情報の漏洩を検知した場合、ユーザーに設定変更を要求していた。しかし、ユーザーがＭＦＰ１００を操作する時、周辺に人がいない場合、音声による機密情報の漏洩は発生しない。そこで、ＭＦＰ１００は、入退室管理システムからＭＦＰ１００が設置されている部屋への入退室情報を取得し、２人以上の入室が確認できた時、音声による機密情報の漏洩を検知した場合、ユーザーに設定変更を要求するようにしてもよい。

今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

１０音声入力部、１１音声識別部、１２音声操作部、２０操作部、３０システム制御部、３１機密判定部、３２判断部、３３変更要求部、３４認証部、３５蓄積判別部、４０記憶装置、５０ジョブ処理部、５１ジョブ受信部、５２パスワード要求部、５３ジョブ実行部、６０画像処理部、７０ネットワークＩＦ、７１デバイスＩＦ、８０ＵＩ制御部、８１スキャナー制御部、８２プリンター制御部、１００ＭＦＰ、１１０原稿読取部、１２０画像形成部、１６０操作パネル。

Claims

音声により操作することができる画像形成装置であって、
ユーザーの動作による操作を受け付ける操作手段と、
音声の入力を受け付ける音声入力手段と、
前記音声入力手段によって受け付けた音声を識別する音声識別手段と、
前記音声識別手段で識別した識別情報に従ってユーザーの音声による操作を受け付ける音声操作手段と、
前記音声識別手段で識別した前記識別情報を記憶する記憶手段と、
前記操作手段または前記音声操作手段で受け付けた操作に従って前記画像形成装置を制御する制御手段と、を備え、
前記制御手段は、
前記画像形成装置において設定する項目のうち、機密情報を含む機密項目であるか否かを判別する機密判定手段と、
前記機密判定手段で前記機密項目と判断された項目に情報を設定する場合、前記操作手段で受け付けた設定情報と、前記記憶手段に記憶された前記識別情報とが一致するか否かを判断する判断手段と、
前記判断手段で前記設定情報と前記識別情報とが一致する場合、ユーザーに対して設定する情報の変更を要求する変更要求手段と、を含む、画像形成装置。
音声により操作することができる画像形成装置であって、
ユーザーの動作による操作を受け付ける操作手段と、
音声の入力を受け付ける音声入力手段と、
前記音声入力手段によって受け付けた音声を識別する音声識別手段と、
前記音声識別手段で識別した識別情報に従ってユーザーの音声による操作を受け付ける音声操作手段と、
前記音声識別手段で識別した前記識別情報を記憶する記憶手段と、
前記操作手段または前記音声操作手段で受け付けた操作に従って前記画像形成装置を制御する制御手段と、を備え、
前記制御手段は、
前記画像形成装置において設定する項目のうち、機密情報を含む機密項目であるか否かを判別する機密判定手段と、
前記機密判定手段で前記機密項目と判断された項目に対して前記操作手段で設定情報を受け付けた場合、当該設定情報があらかじめ前記機密項目に設定されている情報と一致するか否かを認証する認証手段と、
前記認証手段で認証された前記設定情報と、前記記憶手段に記憶された前記識別情報とが一致するか否かを判断する判断手段と、
前記判断手段で前記設定情報と前記識別情報とが一致する場合、ユーザーに対してあらかじめ前記機密項目に設定する情報の変更を要求する変更要求手段と、を含む、画像形成装置。
機密情報であるパスワードにより保護されたジョブを受信するジョブ受信手段と、
前記ジョブ受信手段で受信したジョブを実行する場合、前記パスワードの入力をユーザーに要求するパスワード要求手段と、
前記パスワード要求手段に従って前記操作手段で受け付けた前記設定情報が前記パスワードと一致する場合、ジョブを実行するジョブ実行手段と、
前記ジョブ実行手段で実行したジョブを蓄積するジョブ蓄積手段と、をさらに備え、
前記制御手段は、
前記ジョブ実行手段でジョブを実行した後、当該ジョブを前記ジョブ蓄積手段に蓄積するか否かを判別する蓄積判別手段をさらに含み、
前記判断手段は、前記蓄積判別手段で当該ジョブを前記ジョブ蓄積手段に蓄積すると判別した場合、前記パスワードと、前記記憶手段に記憶された前記識別情報とが一致するか否かを判断し、
前記変更要求手段は、前記判断手段で前記パスワードと前記識別情報とが一致する場合、ユーザーに対して前記パスワードの変更を要求する、請求項２に記載の画像形成装置。
前記ジョブ受信手段で受信したジョブは、端末からプリンタドライバを経由して受信したプリントジョブである、請求項３に記載の画像形成装置。
前記ジョブ受信手段で受信したジョブは、外部のＦＡＸ機から受信したＦＡＸジョブである、請求項３に記載の画像形成装置。
前記ジョブ受信手段で受信したジョブは、端末から電子メールで受信したジョブである、請求項３に記載の画像形成装置。
前記ジョブ受信手段で受信したジョブは、端末で動作するアプリケーションを経由して受信したジョブである、請求項３に記載の画像形成装置。
前記ジョブ受信手段で受信したジョブは、接続した外部メモリを経由して受信したジョブである、請求項３に記載の画像形成装置。
前記ジョブ蓄積手段に蓄積されたジョブの文書データが前記パスワードで保護されている場合、前記パスワード要求手段は前記パスワードの入力をユーザーに要求し、前記パスワード要求手段に従って前記操作手段で受け付けた前記設定情報が前記パスワードと一致するとき、前記文書データにジョブコマンドを付加するコマンド付加手段をさらに備え、
前記コマンド付加手段で付加した前記ジョブコマンドに従って前記ジョブ実行手段でジョブを実行した後、前記蓄積判別手段で前記文書データを前記ジョブ蓄積手段に蓄積するか否かを判別し、
前記変更要求手段は、前記文書データを前記ジョブ蓄積手段に蓄積すると判別し、前記判断手段で前記パスワードと前記識別情報とが一致すると判断された場合、ユーザーに対して前記パスワードの変更を要求する、請求項３～請求項８のいずれか１項に記載の画像形成装置。
原稿をスキャンして取得したスキャンデータに、前記パスワードで保護されているジョブコマンドを付加するコマンド付加手段をさらに備え、
前記コマンド付加手段で付加した前記ジョブコマンドに従って前記ジョブ実行手段でジョブを実行する場合、前記変更要求手段は、前記ジョブコマンドの実行前に前記パスワードと前記識別情報とが一致するとき、ユーザーに対して前記パスワードの変更を要求する、請求項３に記載の画像形成装置。
パスワードが埋め込まれた原稿をスキャンして取得したスキャンデータから前記パスワードを検出するパスワード検出手段と、
前記パスワード検出手段で前記パスワードを検出した場合、前記パスワード要求手段は前記パスワードの入力をユーザーに要求し、前記パスワード要求手段に従って前記操作手段で受け付けた前記設定情報が前記パスワードと一致するとき、前記スキャンデータにジョブコマンドを付加するコマンド付加手段と、をさらに備え、
前記制御手段は、
前記パスワード検出手段で検出した前記パスワードと前記識別情報とが一致するとき、ジョブの実行を中止し、前記スキャンデータを破棄する、請求項３に記載の画像形成装置。
前記判断手段は、前記設定情報と前記記憶手段に記憶された前記識別情報とを比較し、閾値以上の一致率の場合に前記設定情報と前記識別情報とが一致していると判断する、請求項１～請求項１１のいずれか１項に記載の画像形成装置。
前記判断手段は、前記操作手段で前記機密情報の設定項目の入力が可能になった状態から前記機密情報の設定項目の設定を実施するまでの間に記憶した前記識別情報を、前記設定情報の比較対象とする、請求項１～請求項１２のいずれか１項に記載の画像形成装置。
前記判断手段は、前記操作手段でユーザーがログインしてから前記機密情報の設定項目の設定を実施するまでの間に記憶した前記識別情報を、前記設定情報の比較対象とする、請求項１～請求項１２のいずれか１項に記載の画像形成装置。
前記変更要求手段は、ユーザーが設定された機密情報を変更する権限を持たない場合、当該権限を有するユーザーに設定する情報の変更を要求する通知を行う、請求項１～請求項１４のいずれか１項に記載の画像形成装置。
前記制御手段は、前記変更要求手段によりユーザーに設定する情報の変更を要求したが、設定する情報の変更が行われなかった場合、設定する情報を所定の情報に強制的に変更する、請求項１～請求項１５のいずれか１項に記載の画像形成装置。
前記制御手段は、機密情報ごとにユーザーに設定する情報の変更を要求するか、強制的に設定する情報を変更するかを選択することができる、請求項１～請求項１６のいずれか１項に記載の画像形成装置。
前記制御手段は、前記画像形成装置が設置されている部屋の入退室管理システムと連携することが可能で、当該部屋にユーザー以外に人がいることを確認した場合、前記変更要求手段でユーザーに対して設定する情報の変更を要求する、請求項１～請求項１７のいずれか１項に記載の画像形成装置。
ユーザーの動作による操作を受け付ける操作手段と、音声の入力を受け付ける音声入力手段と、前記音声入力手段によって受け付けた音声を識別する音声識別手段と、前記音声識別手段で識別した識別情報に従ってユーザーの音声による操作を受け付ける音声操作手段と、前記音声識別手段で識別した前記識別情報を記憶する記憶手段と、前記操作手段または前記音声操作手段で受け付けた操作に従って画像形成装置を制御する制御手段と、を備える画像形成装置の設定方法であって、
前記画像形成装置において設定する項目のうち、機密情報を含む機密項目であるか否かを判別するステップと、
前記機密項目と判断された項目に情報を設定する場合、前記操作手段で受け付けた設定情報と、前記記憶手段に記憶された前記識別情報とが一致するか否かを判断するステップと、
前記設定情報と前記識別情報とが一致する場合、ユーザーに対して設定する情報の変更を要求するステップと、を含む、画像形成装置の設定方法。
ユーザーの動作による操作を受け付ける操作手段と、音声の入力を受け付ける音声入力手段と、前記音声入力手段によって受け付けた音声を識別する音声識別手段と、前記音声識別手段で識別した識別情報に従ってユーザーの音声による操作を受け付ける音声操作手段と、前記音声識別手段で識別した前記識別情報を記憶する記憶手段と、前記操作手段または前記音声操作手段で受け付けた操作に従って画像形成装置を制御する制御手段と、を備える画像形成装置の設定方法であって、
前記画像形成装置において設定する項目のうち、機密情報を含む機密項目であるか否かを判別するステップと、
前記機密項目と判断された項目に対して前記操作手段で設定情報を受け付けた場合、当該設定情報があらかじめ前記機密項目に設定されている情報と一致するか否かを認証するステップと、
認証された前記設定情報と、前記記憶手段に記憶された前記識別情報とが一致するか否かを判断するステップと、
前記設定情報と前記識別情報とが一致する場合、ユーザーに対してあらかじめ前記機密項目に設定する情報の変更を要求するステップと、を含む、画像形成装置の設定方法。