画像処理装置、画像処理システムおよび認証装置
【課題】正当ユーザの使用利便性を損なうことなく、高いセキュリティを確保することができる、画像処理装置、画像処理システムおよび認証装置を提供する。
【解決手段】操作履歴記憶部４０２は、操作部２００に対する操作の履歴を格納する。照合部４０３は、操作部２００を通じて入力された情報が予め登録された認証条件を満たすか否かを判定する。ユーザ属性判定部４０４は、照合部４０３が認証条件を満足すると判定した場合、当該情報を入力したユーザが異常な操作を実行した非正当ユーザであるか否かを操作履歴記憶部４０２に格納されている操作履歴に基づいて判定する。認証部４０５は、照合部４０３が認証条件を満足すると判定し、かつユーザ属性判定部４０４が非正当ユーザではないと判定した場合に、認証条件を満足した情報に基づいて認証処理を実行する。
【解決手段】操作履歴記憶部４０２は、操作部２００に対する操作の履歴を格納する。照合部４０３は、操作部２００を通じて入力された情報が予め登録された認証条件を満たすか否かを判定する。ユーザ属性判定部４０４は、照合部４０３が認証条件を満足すると判定した場合、当該情報を入力したユーザが異常な操作を実行した非正当ユーザであるか否かを操作履歴記憶部４０２に格納されている操作履歴に基づいて判定する。認証部４０５は、照合部４０３が認証条件を満足すると判定し、かつユーザ属性判定部４０４が非正当ユーザではないと判定した場合に、認証条件を満足した情報に基づいて認証処理を実行する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ユーザ認証機能を有する画像処理装置、画像処理システムおよび認証装置に関する。
【背景技術】
【０００２】
近年、オフィス等において、スキャナ、ファクシミリ、プリンタ、複写機等の機能を備える複合機（ＭＦＰ：Multi Function Peripheral）が使用されている。複合機は、例えば、ＬＡＮ（Local Area Network）等のネットワークを通じてパーソナルコンピュータ等の情報処理端末と接続された状況で使用されることが多い。そして、情報処理端末から入力された画像データを用紙上に印刷する画像形成装置として機能したり、情報処理端末において使用される画像データを取得する画像読取装置として機能したり、文書画像データを検索可能に蓄積する文書管理装置として機能したりする。
【０００３】
このような複合機には、一般ユーザが画像処理を実施する通常モードと、サービスマンのように限られた者のみに開放された保守モードとを有するものがある。保守モードは、ユーザ登録権限等、一般ユーザよりも広い権限を付与された管理者でも実行することができない、課金基準となる単価表やカウンタ情報の変更やユーザ情報の取り出し等、画像処理装置の全ての情報にアクセス可能なモードである。そのため、一般ユーザ等の保守モードの実行が許されていない者による実行を確実に防止する必要がある。また、通常モードにおける使用であっても、印刷ジョブとして情報処理端末から入力される画像データや、複合機に蓄積される文書画像データには、機密度が高く他人に入手されたくないものも存在する。
【０００４】
そのため、この種の複合機では、利用者の利用資格を確認するユーザ認証を実施することにより、保守モードの実行、あるいは、印刷ジョブとして入力された画像データの出力（印刷）や蓄積された文書画像データへのアクセスを、権限を有する者にのみ許可するユーザ認証が広く使用されている。そして、このようなユーザ認証のセキュリティ性をより高めるための技術が種々提案されている（例えば、特許文献１、２等参照。）。
【０００５】
例えば、特許文献１は、ネットワーク機器がネットワークへのアクセスを開始したときに、予め登録されているあて先に、アクセス開始通知メッセージを送信する構成を開示している。また、当該ネットワーク機器を所有者等の正当ユーザが起動する場合には、ネットワーク機器に対して特定の入力を行うことによりアクセス開始通知メッセージの送信を解除可能に構成されている。この構成によれば、所有者ではない非正当ユーザがネットワーク機器を使用すると、予め登録されているあて先にアクセス開始通知メッセージが送信されることになるため、あて先を適切に設定しておくことで所有者や管理者が非正当ユーザによるネットワーク機器の使用開始を知ることができる。
【０００６】
また、特許文献２は、通常動作モード、機器管理モード、機器メンテナンスモードの複数の動作モードを有する電子機器において、モード移行の際に複数のパスワードを入力させる構成を開示している。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００２−０１４９２８号公報
【特許文献２】特開２００５−２１５１０１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
上述の特許文献１が開示する技術では、非正当ユーザによるネットワーク機器の使用開始はネットワークを介して所有者あるいは管理者に通知される。しかしながら、当該使用が非正当ユーザによる使用であるか否かは、所有者あるいは管理者によって判断される必要がある。そのため、通知があったときに、所有者あるいは管理者が直ちに対応できない状況にあれば、非正当ユーザによる使用に対し何ら対処することはできない。すなわち、その非正当ユーザによりデータ等が持ち出され、あるいは、保守モードが実行された場合、その後に、通知により非正当ユーザによる使用があったことが認識できたとしてもデータ等の漏洩を防止することができず、手遅れである。また、当該技術は、ネットワークを介した侵入や攻撃を回避するため、スタンドアローンで使用されている装置等には適用することができない。
【０００９】
また、特許文献２が開示する技術では、複数のパスワード入力が要求されるため、１のパスワード入力を要求するユーザ認証に比べてセキュリティを高めることが可能になる。しかしながら、このような構成であっても、パスワード強度の低いパスワードが使用された場合、セキュリティを高める効果は低減してしまう。そのため、高いセキュリティ効果を得るためには、各パスワードのパスワード強度を高める必要がある。パスワードを構成する文字数や文字種を増やすことでパスワード強度を高めることは可能であるが、このようなパスワード強度の高いパスワードを使用する場合は、正当ユーザの使用利便性が損なわれることになる。
【００１０】
一方、オフィス等、一般に開放されていない環境で使用される画像処理装置において、当該装置に対して非正当ユーザとなって侵入や攻撃をしようとする者は、当該画像処理装置に全く無関係な者は想定しがたい。すなわち、当該画像処理装置をユーザとして使用しており、当該画像処理装置の使用方法を承知している者が、非正当ユーザになることを想定すべきである。この場合、非正当ユーザはユーザ認証の方法等の情報を有している。
【００１１】
例えば、ユーザ認証のための情報としてユーザ識別情報およびパスワードの入力を要求する画像処理装置において、社員番号等をユーザ識別情報として使用している場合には、非正当ユーザは他のユーザの識別情報を容易に知ることができる。そのため、総当たり的にパスワードを入力する等により偶発的に認証条件が満足されると、非正当ユーザが正当ユーザになり代わって装置を使用できることになる。
【００１２】
このような不正使用は、例えば、誤ったパスワードが所定回数連続して入力されたときに、そのユーザＩＤを使用不可にする公知技術（いわゆる、ロックアウト）を適用することにより防止できるかもしれない。しかしながら、このような対策を採用すると、何ら操作をしていないユーザが、自らが知らない間にロックアウトされるという不都合が生じる。そのため、使用利便性とセキュリティ確保とを両立することは容易ではない。
【００１３】
本発明は、このような従来技術の課題を鑑みてなされたものであり、正当なユーザの使用利便性を損なうことなく高いセキュリティを確保できる、画像処理装置、画像処理システムおよび認証装置を提供することを目的とする。
【課題を解決するための手段】
【００１４】
上述の目的を達成するために、本発明は以下の技術的手段を採用している。すなわち、本発明に係る画像処理装置はユーザ認証機能を有し、操作部、操作履歴記憶部、照合部、ユーザ属性判定部および認証部を備える。操作部は、ユーザ認証のための情報の入力に使用される複数の操作ボタンを有する。操作履歴記憶部は、操作部に対する操作の履歴を格納する。照合部は、操作部を通じて入力された情報が予め登録された認証条件を満たすか否かを判定する。ユーザ属性判定部は、照合部が認証条件を満足すると判定した場合、当該情報を入力したユーザが異常な操作を実行した非正当ユーザであるか否かを操作履歴記憶部に格納されている操作履歴に基づいて判定する。そして、認証部は、照合部が認証条件を満足すると判定し、かつユーザ属性判定部が非正当ユーザではないと判定した場合に、認証条件を満足した情報に基づいて認証処理を実行する。
【００１５】
この画像処理装置では、操作履歴記憶部に格納されている操作履歴に基づいて非正当ユーザを特定し、当該非正当ユーザに該当しない正当ユーザに対して選択的に認証処理が実行される。例えば、ユーザ属性判定部は、ユーザの単純な入力ミスであると想定できない操作が操作履歴として格納されていた場合に、当該ユーザを非正当ユーザと認定する。そして、このような非正当ユーザに該当しない正当ユーザに対して認証処理が実施されるため、正当ユーザの使用利便性を損なうことなく、セキュリティを確保することができる。
【００１６】
上述の画像処理装置において、ユーザ属性判定部は、明らかに異常な操作を実行したユーザを、非正当ユーザに属する異常ユーザと判定し、ユーザ属性判定部が異常ユーザであると判定した場合、認証部は認証処理を実行することなく操作を禁止する構成を採用することができる。この構成では、異常ユーザによる総当たり的な操作により不幸にも認証条件が満たされた場合であっても、当該ユーザによる画像処理装置の操作は許可されない。その結果、正当ユーザの使用利便性を損なうことなく、セキュリティを確保することができる。
【００１７】
また、ユーザ属性判定部は、異常な操作と疑われる操作を実行したユーザを、非正当ユーザに属する被疑ユーザと判定し、ユーザ属性判定部が被疑ユーザであると判定した場合、認証部は通常の認証処理に代えて特殊認証処理を実行する構成を採用することもできる。ここで、異常な操作と疑われる操作とは、上述の異常な操作には該当しないが、ユーザの単純な入力ミスであるとも想定できない操作である。この構成では、被疑ユーザに対しては、認証部は、上記認証条件に代えて強化認証条件を照合部に照合させる認証処理や、操作権限を制限した認証処理等の特殊認証処理を実行する。そのため、正当ユーザと異常ユーザとの境界を柔軟に設定することができ、誤って正当ユーザが異常ユーザと判定される可能性を低減しつつ、異常ユーザによる使用を確実に排除することができる。
【００１８】
なお、上述の認証処理は、画像処理を実施する通常モードから、装置保守のための保守モードへ移行するための認証処理に適用することができる。また、上記認証のための情報は、ユーザを識別する識別情報と、当該識別情報に対応づけられたパスワードとを含むことができる。
【００１９】
また、他の観点では、本発明は、画像処理装置、ユーザ認証のための情報を入力する複数の操作ボタンを有する操作装置、当該操作装置に対する操作の履歴を格納する操作履歴記憶装置および認証装置を備える画像処理システムを提供することもできる。この構成では、認証装置は、照合部、ユーザ属性判定部および認証部を備える。照合部は、操作装置を通じて入力された情報が予め登録された認証条件を満たすか否かを判定する。ユーザ属性判定部は、照合部が認証条件を満足すると判定した場合、当該情報を入力したユーザが異常な操作を実行した非正当ユーザであるか否かを操作履歴記憶装置に格納されている操作履歴に基づいて判定する。認証部は、照合部が認証条件を満足すると判定し、かつユーザ属性判定部が非正当ユーザではないと判定した場合、認証条件を満足した情報に基づいて認証処理を実行する。
【００２０】
さらに、他の観点では、本発明は、認証装置を提供することもできる。
【発明の効果】
【００２１】
本発明によれば、正当ユーザの使用利便性を損なうことなく、高いセキュリティを確保することができる。
【図面の簡単な説明】
【００２２】
【図１】本発明の一実施形態における複合機の全体構成を示す概略構成図
【図２】本発明の一実施形態における複合機の操作パネルを示す模式図
【図３】本発明の一実施形態における複合機のハードウェア構成を示す図
【図４】本発明の一実施形態における複合機を示す機能ブロック図
【図５】本発明の一実施形態における複合機が実施するユーザ認証手順の一例を示すフロー図
【図６】本発明の一実施形態における複合機が実施するユーザ属性判定手順の一例を示すフロー図
【図７】本発明の一実施形態における他の複合機を示す機能ブロック図
【発明を実施するための形態】
【００２３】
以下、本発明の一実施形態について、図面を参照しながらより詳細に説明する。以下では、デジタル複合機として本発明を具体化する。
【００２４】
図１は本実施形態におけるデジタル複合機の全体構成の一例を示す概略構成図である。図１に示すように、複合機１００は、画像読取部１２０および画像形成部１４０を含む本体１０１と、本体１０１の上方に取り付けられたプラテンカバー１０２とを備える。本体１０１の上面には原稿台１０３が設けられており、原稿台１０３はプラテンカバー１０２によって開閉されるようになっている。また、プラテンカバー１０２は、原稿搬送装置１１０を備えている。
【００２５】
原稿台１０３の下方には、画像読取部１２０が設けられている。画像読取部１２０は、走査光学系１２１により原稿の画像を読み取りその画像のデジタルデータ（画像データ）を生成する。原稿は、原稿台１０３や原稿搬送装置１１０に載置することができる。走査光学系１２１は、第１キャリッジ１２２や第２キャリッジ１２３、集光レンズ１２４を備える。第１キャリッジ１２２には線状の光源１３１およびミラー１３２が設けられ、第２キャリッジ１２３にはミラー１３３および１３４が設けられている。光源１３１は原稿を照明する。ミラー１３２、１３３、１３４は、原稿からの反射光を集光レンズ１２４に導き、集光レンズ１２４はその光像をラインイメージセンサ１２５の受光面に結像する。この走査光学系１２１において、第１キャリッジ１２２および第２キャリッジ１２３は、副走査方向１３５に往復動可能に設けられている。第１キャリッジ１２２および第２キャリッジ１２３を副走査方向１３５に移動することによって、原稿台１０３に載置された原稿の画像をイメージセンサ１２５で読み取ることができる。原稿搬送装置１１０にセットされた原稿の画像を読み取る場合、画像読取部１２０は、第１キャリッジ１２２および第２キャリッジ１２３を画像読取位置に合わせて一時的に固定し、画像読取位置を通過する原稿の画像をイメージセンサ１２５で読み取る。イメージセンサ１２５は、受光面に入射した光像から、例えば、Ｒ（レッド）、Ｇ（グリーン）、Ｂ（ブルー）の各色に対応する原稿の画像データを生成する。生成された画像データは、画像形成部１４０において用紙に印刷することができる。また、ネットワークアダプタ１６１によりネットワーク１６２を通じて他の機器（図示せず）へ送信することもできる。
【００２６】
画像形成部１４０は、画像読取部１２０で得た画像データや、ネットワーク１６２に接続された他の機器から受信した画像データを用紙に印刷する。画像形成部１４０は、感光体ドラム１４１を備える。感光体ドラム１４１は一定速度で一方向に回転する。感光体ドラム１４１の周囲には、回転方向の上流側から順に、帯電器１４２、露光器１４３、現像器１４４、中間転写ベルト１４５が配置されている。帯電器１４２は、感光体ドラム１４１表面を一様に帯電させる。露光器１４３は、一様に帯電した感光体ドラム１４１の表面に、画像データに応じて光を照射し、感光体ドラム１４１上に静電潜像を形成する。現像器１４４は、その静電潜像にトナーを付着させ、感光体ドラム１４１上にトナー像を形成する。中間転写ベルト１４５は、感光体ドラム１４１上のトナー像を用紙に転写する。画像データがカラー画像である場合、中間転写ベルト１４５は、各色のトナー像を同一の用紙に転写する。なお、ＲＧＢ形式のカラー画像は、Ｃ（シアン）、Ｍ（マゼンタ）、Ｙ（イエロー）、Ｋ（ブラック）形式の画像データに変換され、各色の画像データが露光器１４３に入力される。
【００２７】
画像形成部１４０は、手差しトレイ１５１、給紙カセット１５２、１５３、１５４等から、中間転写ベルト１４５と転写ローラ１４６との間の転写部に用紙を給送する。手差しトレイ１５１や各給紙カセット１５２、１５３、１５４には、様々なサイズの用紙を載置または収容することができる。画像形成部１４０は、ユーザの指定した用紙や、自動検知した原稿のサイズに応じた用紙を選択し、選択した用紙を給送ローラ１５５により手差しトレイ１５１やカセット１５２、１５３、１５４から給紙する。給紙された用紙は搬送ローラ１５６やレジストローラ１５７で転写部に搬送する。トナー像を転写した用紙は、搬送ベルト１４７により定着器１４８に搬送される。定着器１４８は、ヒータを内蔵した定着ローラ１５８および加圧ローラ１５９を有しており、熱と押圧力によってトナー像を用紙に定着する。画像形成部１４０は、定着器１４８を通過した用紙を排紙トレイ１４９へ排紙する。
【００２８】
図２は複合機が備える操作パネルの外観の一例を示す図である。ユーザは、操作パネル２００を用いて、複合機１００に複写開始やその他の指示を与えたり、複合機１００の状態や設定を確認したりすることができる。操作パネル２００には、タッチパネル付きディスプレイ２０１や操作キー２０３が配置されている。ディスプレイ２０１は、操作ボタンやメッセージ等を表示する液晶ディスプレイ等からなる表示面と、当該表示面上の押圧位置を検出するセンサとを備える。押圧位置の検知方法は特に限定されない。抵抗膜方式、静電容量方式、表面弾性波方式、電磁波方式等、任意の方式を採用することができる。ユーザは、自身の指やタッチペン２０２を使用して、ディスプレイ２０１を通じて入力を行うことができる。
【００２９】
ディスプレイ２０１は、ボタン表示部２０４、メッセージ表示部２０５およびステータス表示部２０６を有する操作画面を表示する。ボタン表示部２０４には、複数のタブ２０８が用意されており、各タブにはそのタブのカテゴリーに応じた操作ボタンが配列されている。「簡単設定」タブは、基本的な設定に使用される操作ボタンを有する。図２の例では、用紙サイズ、複写倍率、濃度、印刷面、ページ集約、後処理を設定するための操作ボタンが配列されている。例えば「濃度」ボタン２０７を押圧する操作をユーザが行うと、濃度を選択するための「薄い」、「ふつう」、「濃い」等の選択ボタンを有するポップアップ画面がその操作ボタン上に重ねて表示され、ユーザの選択（押圧）によりその濃度が設定される。図２の例では、「簡単設定」タブの他、「原稿／用紙／仕上げ」タブ、「カラー／画質」タブ、「レイアウト／編集」タブ、「応用／その他」タブも設けられている。ユーザは、タブボタン２０８を選択する操作を行うことによって、これらのタブの表示に切り替えることができる。一つのタブが選択されている間、操作画面上で他のタブやその要素は隠れている。
【００３０】
メッセージ表示部２０５には、複写が可能か否か、複写部数などの設定をユーザに通知するメッセージが表示される。なお、図２では、後述のユーザ認証処理（ログイン処理）が実施される前の状態を示している。特に限定されないが、本実施形態では、ユーザ認証情報として、ユーザ識別情報（ユーザＩＤ）およびパスワードを入力する構成になっており、メッセージ表示部２０５には、ユーザ認証情報の入力を要求する「認証情報を入力してください」のメッセージが表示されている。
【００３１】
ステータス表示部２０６には、必要に応じて装置ステータス情報が表示される。この表示には、複合機１００が備える各種センサの検知結果が反映される。装置ステータス情報とは、装置は動作可能な状態にあるが、異常への対応を促す警告をユーザに通知するメッセージを意味する。例えば、用紙残量が少ない旨、原稿台１０３が汚れている旨、ファクシミリのメモリ受信が設定されている場合にファックス文書がメモリに格納された旨等が含まれる。また、用紙切れや搬送ジャム等が装置ステータス情報に含まれてもよい。
【００３２】
操作キー２０３は、主電源キー２０９、テンキー２１０やスタートキー２１１、クリアキー２１２、ＬｏｇＯｕｔキー２１３等を含む。例えば、主電源キー２０９は、複合機１００の主電源のＯＮ、ＯＦＦの切り替えに使用される。テンキー２１０は、複写部数の指定や複写倍率の設定に用いることができる。ユーザがそれらの設定をすると、複合機１００は、メッセージ表示部２０５に、例えば、「コピーできます（設定あり）」のようなメッセージを表示し、ユーザによる設定が行われたことを通知する。スタートキー２１１は、複写や画像印刷の開始指示に使用される。ユーザは、自身でした設定を解除する場合、クリアキー２１２を操作する。ユーザによる設定を機械が受け付けているかどうかは上述のメッセージで判断することができるので、その設定が不要になればクリアキー２１２を操作すればよい。特に限定されないが、本実施形態では、後述の認証部が認証処理を行うまで、ユーザ認証に関する情報入力を除き、操作パネル２００を通じた操作が禁止される構成になっている。認証されたユーザが複合機使用後にＬｏｇＯｕｔキー２１３を押下する、あるいは、操作パネル２００に対する操作および画像読取部１２０や画像形成部１４０の動作がない時間が認証後に所定時間継続すると、複合機１００はユーザ認証処理が実施される前の状態に戻るように構成されている。
【００３３】
図３は、複合機における制御系のハードウェア構成図である。本実施形態の複合機１００は、ＣＰＵ（Central Processing Unit）３０１、ＲＡＭ（Random Access Memory）３０２、ＲＯＭ（Read Only Memory）３０３、ＨＤＤ（Hard Disk Drive）３０４および原稿搬送装置１１０、画像読取部１２０、画像形成部１４０における各駆動部に対応するドライバ３０５が内部バス３０６を介して接続されている。ＲＯＭ３０３やＨＤＤ３０４等はプログラムを格納しており、ＣＰＵ３０１はその制御プログラムの指令にしたがって複合機１００を制御する。例えば、ＣＰＵ３０１はＲＡＭ３０２を作業領域として利用し、ドライバ３０５とデータや命令を授受することにより上記各駆動部の動作を制御する。また、ＨＤＤ３０４は、画像読取部１２０により得られた画像データや、他の機器からネットワークアダプタ１６１を通じて受信した画像データの蓄積にも用いられる。
【００３４】
内部バス３０６には、操作パネル２００や各種のセンサ３０７も接続されている。操作パネル２００は、ユーザの操作を受け付け、その操作に基づく信号をＣＰＵ３０１に供給する。また、ディスプレイ２０１は、ＣＰＵ３０１からの制御信号にしたがって上述の操作画面を表示する。センサ３０７は、プラテンカバー１０２の開閉検知センサや原稿台１０３上の原稿検知センサ、定着器１４８の温度センサ、搬送される用紙または原稿の検知センサなど各種のセンサを含む。ＣＰＵ３０１は、例えばＲＯＭ３０３に格納されたプログラムを実行することで、以下の各手段（機能ブロック）を実現するとともに、これらセンサからの信号に応じて各手段の動作を制御する。
【００３５】
図４は、本実施形態の複合機の機能ブロック図である。図４に示すように、本実施形態の複合機１００は、操作認識部４０１、操作履歴記憶部４０２、照合部４０３、ユーザ属性判定部４０４および認証部４０５を備える。
【００３６】
操作認識部４０１は、操作パネル２００における、操作キー２０３の押下およびディスプレイ２０１の押圧を認識し、ユーザの操作内容を認識する。特に限定されないが、本実施形態では、ディスプレイ２０１の押圧位置を検出するセンサにより検出された押圧位置の座標が操作認識部４０１に入力され、操作認識部４０１が、自身が保持する操作ボタン等の画面要素の座標と入力された押圧位置の座標とに基づいて、ディスプレイ２０１に対するユーザの操作内容を認識する。操作認識部４０１が認識したユーザによる操作は、操作履歴記憶部４０２に格納される。特に限定されないが、本実施形態では、操作された操作ボタンを特定する情報が、操作の先後関係および操作間隔を示す情報と対応づけて記録されるようになっている。ここでは、操作の先後関係および操作間隔を示す情報として時刻情報を使用している。
【００３７】
本実施形態では、操作パネル２００は操作部として機能し、ディスプレイ２０１に表示される操作ボタンおよび操作キー２０３はいずれも、操作部が備える複数の操作ボタンに相当する。また、上述のように、本実施形態では、ユーザ認証情報として、ユーザ識別情報（ユーザＩＤ）およびパスワードが複合機１００に入力される。すなわち、操作パネル２００は、ユーザ識別情報を入力するための識別情報入力部４２１として機能するとともに、パスワードを入力するためのパスワード入力部４２２としても機能する。ここでは、ユーザは、テンキー２１０、あるいは必要に応じてタッチパネル２０１に表示されるソフトウェアキーボードを識別情報入力部４２１、パスワード入力部４２２として用いて、ユーザ認証情報を入力する。なお、ユーザ識別情報は、例えば、ＩＣカード、磁気カード、ＵＳＢ（Universal Serial Bus）メモリ等の可搬記憶媒体を介して複合機１００に入力される構成であってもよい。この場合、ユーザは、ＩＣカードリーダ等の可搬記憶媒体に応じた情報読取装置に可搬記憶媒体を配置することにより可搬記憶媒体に記憶されているユーザ識別情報を入力し、当該ユーザ識別情報に基づいて要求されるパスワードを、操作パネル２００を通じて入力する。なお、ここでは各ユーザに一義的に割り当てられたユーザＩＤをユーザ識別情報として使用しているが、ユーザを特定することができる情報であれば任意の情報をユーザ識別情報として使用可能である。
【００３８】
照合部４０３は、操作パネル２００を通じて入力されたユーザ認証情報が予め登録された認証条件を満たすか否かを判定する。本実施形態では、照合部４０３に、複合機１００の使用を許可するユーザのユーザＩＤと当該ユーザＩＤと対応づけられたパスワードを記録した使用許可者リストが予め登録されており、識別情報入力部４２１から入力されたユーザＩＤと、パスワード入力部４２２から入力されたパスワードとが使用許可者リストに含まれている場合、照合部４０３は、認証条件を満足すると判断する。
【００３９】
ユーザ属性判定部４０４は、照合部４０３が認証条件を満足すると判定した場合に、当該ユーザ認証情報を入力したユーザが異常な操作を実行した非正当ユーザであるか否かを判定する。当該判定は、操作履歴記憶部４０２に格納されている操作履歴に基づいて実施される。
【００４０】
本実施形態では、ユーザ属性判定部４０４は、ユーザを、正当ユーザ、被疑ユーザ、異常ユーザのいずれかの属性に区分する。なお、被疑ユーザおよび異常ユーザが非正当ユーザである。
【００４１】
ユーザ認証情報を間違うことなく入力したユーザ、および単純な入力ミスであると想定できる操作を行ったユーザは正当ユーザと判定される。単純な入力ミスであると想定できる操作とは、例えば、同一のユーザ識別情報について、予め登録された回数（例えば４回）未満のパスワード入力が行われて認証条件を満足した操作、特定のユーザ認証情報に対して、ユーザ識別情報またはパスワードの一部不一致の後、当該特定のユーザ認証情報について認証条件を満足した操作、特定のユーザ識別情報に対して、旧パスワードが入力された後、当該特定のユーザ識別情報について認証条件を満足した操作等である。
【００４２】
また、明らかに異常な操作を実行したユーザは異常ユーザと判定される。明らかに異常な操作とは、例えば、複数の操作ボタンの同時押下、操作ボタンの長時間押下（長押し）、装置の主電源投入時の操作ボタン押下等を、操作ボタンを代えて所定回数以上繰り返す操作のような意図的に侵入を試みる操作や、特定のユーザ識別情報について予め登録された回数（例えば４回）以上のパスワード入力が行われて認証条件を満足した操作である。
【００４３】
また、異常な操作と疑われる操作を実行したユーザは被疑ユーザと判定される。異常な操作と疑われる操作とは、上述の異常な操作には該当しないが、ユーザの単純な入力ミスであるとも想定できない操作である。例えば、複数の操作ボタンの同時押下、操作ボタンの長押し、装置主電源投入時の操作ボタン押下等の操作が、所定回数未満の複数回実行される場合等である。なお、被疑ユーザは、操作に基づいて判定することも可能であるが、本実施形態では、セキュリティ確保の観点から、後述のように、正当ユーザに該当せず、かつ異常ユーザにも該当しないユーザを被疑ユーザと判定するようにしている。
【００４４】
また、ユーザ属性判定部４０４は、非正当ユーザ（異常ユーザ、被疑ユーザ）と判定した場合、当該判定結果を、認証条件を満足したユーザ認証情報と対応づけてユーザ属性記憶部４０６に登録する。上述のように、ユーザ属性判定部４０４による判定は、照合部４０３が認証条件を満足すると判定した場合になされるため、当該時点で、非正当ユーザは認証条件を満足するユーザ認証情報を得ている。すなわち、以降では、当該ユーザ認証情報を入力することにより、本来当該ユーザ認証情報を使用すべき正当ユーザになり代わって複合機１００を使用することが可能である。このような使用を不能とするため、非正当ユーザにより使用されたユーザ認証情報がユーザ属性記憶部４０６に登録される。特に限定されないが、本実施形態では、ユーザ属性記憶部４０６は、判定結果を示す情報を、非正当ユーザに使用されたユーザ識別情報と対応づけたテーブルとして保持している。
【００４５】
認証部４０５は、照合部４０３が認証条件を満足すると判定し、かつユーザ属性判定部４０４が非正当ユーザではないと判定した場合、上記認証条件を満足した情報に基づいてユーザ認証処理（ログイン処理）を実施し、そのユーザによる複合機１００の使用（画像読取部１２０における画像データの生成、画像形成部１４０における画像データの印刷、蓄積文書画像データへのアクセス等）を許可する。特に限定されないが、本実施形態では、動作制御部４０７が、操作認識部４０１が認識した、操作パネル２００を通じたユーザの指示に基づいて画像読取部１２０における画像データの生成、画像形成部１４０における画像データの印刷、文書管理部４１１を介した蓄積文書画像データへのアクセス等を実行するよう構成されており、認証部４０５は、動作制御部４０７の動作制限を解除することで、ユーザによる複合機１００の使用を許可する。
【００４６】
図５は、複合機１００が実行するユーザ認証手順の一例を示すフロー図である。当該手順は、例えば、複合機１００の主電源がオンされたことをトリガとして開始する。
【００４７】
上述のように、本実施形態では、ログイン処理がなされていない状況下では、操作パネル２００を通じたユーザ認証情報の入力のみが許されている。当該状況下において、操作認識部４０１は、操作パネル２００を通じた操作を認識すると、当該操作を操作履歴記憶部４０２に格納する（ステップＳ５０１Ｙｅｓ）。例えば、ユーザＩＤ入力のためにテンキー２１０に属するいずれかのキーが押下されると、押下されたボタン示す情報と時刻情報とが操作履歴として操作履歴記憶部４０２に格納される（ステップＳ５０２、Ｓ５０３Ｎｏ）。複数のボタンが順に押下されると、操作認識部４０１は、各ボタンの押下を示す情報と時刻情報とを順に操作履歴記憶部４０２に格納する（ステップＳ５０１Ｙｅｓ、Ｓ５０２、Ｓ５０３Ｎｏ）。
【００４８】
本実施形態では、操作認識部４０１は、識別情報入力部４２１から入力された一連のユーザＩＤと、パスワード入力部４２２から入力された一連のパスワードを認識し、認識したユーザＩＤおよびパスワードを照合部４０３にも入力する。
【００４９】
上述のように本実施形態では、操作パネル２００が識別情報入力部４２１およびパスワード入力部４２２として機能する。そのため、操作認識部４０１は、操作パネル２００が識別情報入力部４２１として機能している状態（ユーザに対しユーザＩＤの入力を要求している状態）で入力された情報をユーザＩＤと認識し、操作パネル２００がパスワード入力部４２２として機能している状態（ユーザに対しパスワードの入力を要求している状態）で入力された情報をパスワードと認識する。ここでは、照合部４０３において認証条件を満足すると判定されるまでの間は、ユーザが、テンキー２１０に含まれる「Ｅｎｔｅｒ」キー、または必要に応じてディスプレイ２０１に表示されるソフトウェアキーボードに含まれる「Ｅｎｔｅｒ」キーを押下する都度、識別情報入力部４２１とパスワード入力部４２２とが切り替わるようになっている。
【００５０】
例えば、テンキー２１０によりユーザＩＤが入力され、入力完了を示すためにテンキー２１０に含まれる「Ｅｎｔｅｒ」ボタンが押下されると、その各ボタンに対する操作が操作履歴として操作履歴記憶部４０２に格納される。また、「Ｅｎｔｅｒ」ボタン押下により、ユーザＩＤの入力完了が認識されると、操作認識部４０１は、操作パネル２００が識別情報入力部４２１として機能している状態で入力された一連の情報をユーザＩＤとして照合部４０３に入力する。また、当該「Ｅｎｔｅｒ」ボタン押下により、操作パネル２００はパスワード入力部４２２として機能する状態になる。
【００５１】
当該状態で、例えば、テンキー２１０によりパスワードが入力され、入力完了を示すためにテンキー２１０に含まれる「Ｅｎｔｅｒ」ボタンが押下されると、その各ボタンに対する操作が操作履歴として操作履歴記憶部４０２に格納される。また、「Ｅｎｔｅｒ」ボタン押下により、パスワードの入力完了が認識されると、操作認識部４０１は、操作パネル２００がパスワード入力部４２２として機能している状態で入力された一連の情報をパスワードとして照合部４０３に入力する。
【００５２】
ユーザＩＤおよびパスワードが入力されると、照合部４０３は、入力されたユーザＩＤおよびパスワードが認証条件を満足するか否かを判断する（ステップＳ５０３Ｙｅｓ、Ｓ５０４）。照合部４０３は、入力されたユーザＩＤおよびパスワードが使用許可者リストに含まれている場合は認証条件を満足すると判定し、その旨をユーザ属性判定部４０４へ入力する（ステップＳ５０４Ｙｅｓ）。また、照合部４０３は、入力されたユーザＩＤおよびパスワードが使用許可者リストに含まれていない場合は認証条件を満足しないと判定し、ユーザ認証情報の入力を再度要求する（ステップＳ５０４Ｎｏ、Ｓ５０１）。ここでは、照合部４０３は、操作パネル２００を識別情報入力部４２１として機能する状態にする。
【００５３】
照合部４０３から、認証条件を満足する旨の通知を受けたユーザ属性判定部４０４は、操作履歴記憶部４０２に格納されている操作履歴に基づいて、ユーザ認証情報を入力したユーザが上述の非正当ユーザであるか否かを判定する（ステップＳ５０５）。図６は、ユーザ属性判定部４０４が実行するユーザ属性判定手順の一例を示すフロー図である。
【００５４】
まず、ユーザ属性判定部４０４は、操作履歴記憶部４０２から判定に使用する操作履歴を抽出する（ステップＳ６０１）。このとき抽出する操作履歴は、認証条件を満足した操作（ユーザＩＤ入力、パスワード入力）をしたユーザが行ったと推測される操作である。ここでは、認証条件を満足する操作を含み、当該操作以前に、予め指定された時間間隔以内で実施されたユーザ認証情報入力のための操作の履歴を抽出している。なお、ユーザ認証情報入力のための操作は、操作パネル２００が、識別情報入力部４２１、パスワード入力部４２２として機能している状態でなされた操作である。
【００５５】
ユーザ属性判定部４０４は、抽出した操作履歴に基づいて、抽出した操作履歴が正常操作であるか否かを判断する（ステップＳ６０２）。上述のように、正常操作は、例えば、ユーザ認証情報を間違うことなく入力した操作や、単純な入力ミスを伴う操作を意味する。抽出した操作履歴にこれらの操作が記録されている場合、ユーザ属性判定部４０４は抽出した操作履歴が正常操作であると判断し、認証条件を満足した操作をしたユーザを正当ユーザと判定する（ステップＳ６０２Ｙｅｓ、Ｓ６０７）。
【００５６】
一方、抽出した操作履歴が正常操作でない場合、ユーザ属性判定部４０４は、当該操作履歴に異常操作が含まれるか否かを判断する（ステップＳ６０２Ｎｏ、Ｓ６０３）。上述のように、異常操作は、意図的に侵入を試みる操作や総当たり的な入力操作を意味する。抽出した操作履歴にこれらの操作が記録されている場合、ユーザ属性判定部４０４は抽出した操作履歴が異常操作を含むと判断し、認証条件を満足した操作をしたユーザを非正当ユーザに含まれる異常ユーザと判定する（ステップＳ６０３Ｙｅｓ、Ｓ６０６）。
【００５７】
また、抽出した操作履歴が正常操作でなく、かつ異常操作が含まれない場合、ユーザ属性判定部４０４は、認証条件を満足した操作をしたユーザを、非正当ユーザに含まれる被疑ユーザと判定する（ステップＳ６０３Ｎｏ、Ｓ６０４）。正常操作でなく、かつ異常操作が含まれない操作とは、上述の異常な操作には該当しないがユーザの単純な入力ミスであるとも想定できない操作である。
【００５８】
なお、認証条件を満足した操作をしたユーザが非正当ユーザ（異常ユーザ、被疑ユーザ）であると判定した場合、ユーザ属性判定部４０４は、当該判定結果を、上述のようにユーザ属性記憶部４０６に登録する（ステップＳ６０５）。
【００５９】
以上のようにして、ユーザ属性判定をしたユーザ属性判定部４０４は、判定結果を認証部４０５に通知する。当該通知を受けた認証部４０５は、ユーザ属性判定部４０４による判定が正当ユーザである場合、正当ユーザと判定されたユーザ認証情報がユーザ属性判定部４０４により過去に非正当ユーザとして判定されているか否かを確認する。当該確認は、正当ユーザと判定されたユーザ認証情報がユーザ属性記憶部４０６に格納されているか否かにより実行可能である。正当ユーザと判定されたユーザ認証情報がユーザ属性記憶部４０６に格納されていない場合、認証部４０５はユーザ認証処理を実施し、認証条件を満足する操作をしたユーザによる複合機１００の使用を許可する（ステップＳ５０６Ｙｅｓ、Ｓ５１０）。
【００６０】
また、ユーザ属性判定部４０４による判定が異常ユーザである場合、またはユーザ属性判定部４０４による判定は正当ユーザであるが、正当ユーザと判定されたユーザ認証情報が異常ユーザとしてユーザ属性記憶部４０６に格納されている場合、認証部４０５はユーザ認証処理を実行せず、認証条件を満足した操作をしたユーザによる操作を禁止する（ステップＳ５０６Ｎｏ、Ｓ５０７Ｙｅｓ、Ｓ５０９）。
【００６１】
さらに、ユーザ属性判定部４０４による判定が正当ユーザおよび異常ユーザでない場合（すなわち、被疑ユーザである場合）、またはユーザ属性判定部４０４による判定は正当ユーザであるが、過去に被疑ユーザと判定され、正当ユーザと判定されたユーザ認証情報が被疑ユーザとしてユーザ属性記憶部４０６に格納されている場合、認証部４０５は通常の認証処理に代えて特殊認証処理を実行する（ステップＳ５０６Ｎｏ、Ｓ５０７Ｎｏ、Ｓ５０８）。
【００６２】
本実施形態において認証部４０５が実施する特殊認証処理は、操作権限を制限した認証処理である。すなわち、複合機１００に既に入力されている印刷者が指定された印刷ジョブに対するアクセスや、蓄積文書画像データに対するアクセス等、セキュリティ管理（この場合、ユーザがアクセス資格を有することの確認）が要求される複合機１００の機能を使用できない状態で認証処理が実施される。そのため、被疑ユーザとして特殊認証処理されたユーザは、複写や印刷者が指定されていない印刷ジョブの出力等、セキュリティ管理が要求されない機能しか使用できない。
【００６３】
以上説明したように、この複合機１００では、操作履歴記憶部４０２に格納されている操作履歴に基づいて非正当ユーザを特定し、当該非正当ユーザに該当しない正当ユーザに対して選択的に認証処理が実行される。そして、このような非正当ユーザに該当しない正当ユーザに対して認証処理が実施されるため、正当ユーザの使用利便性を損なうことなく、セキュリティを確保することができる。
【００６４】
また、この複合機１００では、ユーザ属性判定部４０４は、明らかに異常な操作を実行したユーザを非正当ユーザに属する異常ユーザと判定する。異常ユーザである場合、認証部４０５は認証処理を実行することなく操作を禁止する。そのため、異常ユーザによる総当たり的な操作により不幸にも認証条件が満たされた場合であっても当該ユーザによる複合機１００の操作を確実に防止することができる。
【００６５】
さらに、この複合機１００では、ユーザ属性判定部４０４は、異常な操作と疑われる操作を実行したユーザを非正当ユーザに属する被疑ユーザと判定する。被疑ユーザである場合、認証部４０５は通常の認証処理に代えて、操作権限を制限した認証処理である特殊認証処理を実行する。その結果、被疑ユーザに対しては、印刷ジョブや蓄積文書画像データに対するアクセスを制限する等がなされるため、セキュリティを確保することができる。また、被疑ユーザというユーザ属性を設けることにより、柔軟なセキュリティ設定を実現することができ、誤って正当ユーザが異常ユーザと判定される可能性を低減しつつ、異常ユーザによる使用を確実に排除することができる。
【００６６】
これらの効果は、複合機１００がネットワークに接続されず、スタンドアローンで使用されている場合であっても、得ることができる。
【００６７】
なお、上述の複合機１００では、一度、異常ユーザとして判定されたユーザ認証情報により特定される本来のユーザは複合機１００を使用することができない。また、一度、被疑ユーザとして判定されたユーザ認証情報により特定される本来のユーザは複合機１００の一部の機能しか使用することができない。したがって、本来のユーザは、複合機１００を使用するために、例えば、複合機１００の管理者等に対し申請を行い、ユーザ属性記憶部４０６に格納されている非正当ユーザとしての登録を消去する必要がある。このとき、少なくともパスワードは変更される必要がある。また、より好ましくは、ユーザ属性記憶部４０６に格納されている非正当ユーザとしての登録を消去することなく、新たなユーザ認証情報（ユーザ識別情報およびパスワード）を複合機１００に登録することにより、本来のユーザによる複合機１００の使用を可能にすることが好ましい。
【００６８】
ところで、上記実施形態では、特殊認証処理の一例として、使用権限を制限する認証処理を説明した。この形態では、上述のように、被疑ユーザと判定されたユーザＩＤは一部の機能しか使用することができなくなる。このような形態は、例えば、保守モードへの移行等、極めて限定された者のみに使用を許可するためのユーザ認証処理に適用することは困難である。例えば、保守モードへの移行の認証処理において使用権限が制限されると、実質的に保守モードへの移行ができなくなる。また、当該ユーザＩＤについての被疑ユーザ判定を解消する上位権限者も存在しないため、結果として、複合機１００の保守が実施できなくなってしまう。
【００６９】
このような状況を解消するため、本実施形態の変形例では、認証部が特殊認証処理として、上述の認証条件とは異なる強化認証条件を照合部４０３に照合させるように構成されている。
【００７０】
図７は、本実施形態の変形例である複合機７００の構成を示す機能ブロック図である。図７において、図４に示す複合機１００と同一の作用機能を奏する要素には同一の符号を付し、以下での詳細な説明は省略する。
【００７１】
複合機７００は認証部７０５を備える。操作者が被疑ユーザである場合、認証部７０５は、特殊認証処理として、通常の認証条件に代えて強化認証条件を照合部４０３に照合させる。すなわち、図５のステップＳ５０８において、認証部７０５が実施する特殊認証処理が、強化認証条件に基づく認証処理になる。例えば、上述のように、ユーザ認証条件としてユーザＩＤおよび当該ユーザＩＤに対応する１のパスワード入力が要求される事例では、強化認証条件として、当該１のパスワードに加えて別のパスワードを要求する構成を採用することができる。つまり、当該別のパスワードを要求することにより、パスワード強度を高めている。
【００７２】
当該動作は以下のようにして実施される。すなわち、ユーザ属性判定部４０４による判定が正当ユーザおよび異常ユーザでない場合（すなわち、被疑ユーザである場合）、またはユーザ属性判定部４０４による判定は正当ユーザであるが、正当ユーザと判定されたユーザ認証情報が被疑ユーザとしてユーザ属性記憶部４０６に格納されている場合、認証部７０５は照合部４０３に対して強化認証条件の照合を要求する。このとき、照合部４０３は、パスワード入力部４２２（操作パネル２００）に対して、追加パスワードの入力を要求する。ここでは、照合部４０３には、上述の使用許可者リストに登録された各ユーザＩＤと対応づけて追加パスワードが予め登録されており、パスワード入力部４２２から入力された追加パスワードが使用許可者リストに含まれている場合、照合部４０３は強化認証条件を満足すると判断する。なお、当該強化認証条件を構成する追加パスワードの入力時にも、ユーザ属性判定部４０４は、非正当ユーザであるか否かの判定を行うことが好ましい。
【００７３】
このように本変形例では、被疑ユーザに対して、正当ユーザであることの確認が追加でなされる。そのため、何らかの事情により本来のユーザが被疑ユーザと認定された場合でも、正当ユーザとしてログインする機会を付与することができる。また、被疑ユーザが本来のユーザでない場合は、強化認証条件を満足することがない限り、被疑ユーザによる使用が許可されることもない。したがって、正当ユーザの使用利便性を損なうことなく、セキュリティを確保することができる。
【００７４】
また、当該構成では、例えば、追加パスワードの入力が上述の正常操作によりなされた場合には、ユーザ属性記憶部４０６に記録された被疑ユーザの記録を消去する構成を採用してもよい。これにより、正当ユーザである可能性が高い場合に、被疑ユーザの認定が自動的に解消されることになる。
【００７５】
さらに、ここでは、被疑ユーザに対してのみ強化認証条件を照合させる構成としたが、異常ユーザに対しても強化認証条件を照合させる構成を採用することもできる。これにより、異常ユーザの行為に起因して、正当ユーザがロックアウトされ、本来のユーザが使用できない状態になることを確実に防止できる。また、この場合も、追加パスワードの入力が上述の正常操作によりなされた場合には、ユーザ属性記憶部４０６に記録された異常ユーザの記録を消去する構成を採用してもよい。なお、異常ユーザに対して強化認証条件を照合させる場合は、予め指定された特定の操作ボタン操作（隠しコマンドの入力）がされた場合に、初めて強化認証条件を照合させる構成にしてもよい。
【００７６】
なお、ここでは強化認証条件として、１つの追加パスワードを要求する構成を説明したが、複数の追加パスワードを要求する構成であってもよい。また、ユーザ認証条件としてユーザＩＤおよび当該ユーザＩＤに対応する複数のパスワード入力が要求される構成では、例えば、１番目のパスワード入力の際に、非正当ユーザであるとの判定がなされた場合に、上記複数のパスワードのうち２番目以降に入力されるべきパスワードのパスワード強度を高める構成を採用してもよい。パスワード強度は、例えば、パスワードを構成する文字数を増加させることにより高めることができる。このような構成は、例えば、照合部４０３に、低強度パスワードと高強度パスワードとを予め登録しておくことにより容易に実現可能である。
【００７７】
以上説明したように、本発明によれば、正当ユーザの使用利便性を損なうことなく、高いセキュリティを確保することができる。
【００７８】
なお、上述の実施形態では、認証条件を満足する操作を含み、当該操作以前に、予め指定された時間間隔以内で実施されたユーザ認証情報入力のための操作の履歴を、認証条件を満足した操作をしたユーザが行った操作履歴として抽出した。しかしながら、認証条件を満足した操作をしたユーザが行ったと推測される操作を、他の手法によって抽出することもできる。例えば、認証条件を満足する操作前の所定時間内において、操作パネル２００が、識別情報入力部４２１、パスワード入力部４２２として機能している状態でなされた操作の履歴を抽出してもよい。また、装置前における操作者の有無を検出するセンサを有する複合機では、当該センサが同一人を認識している間の操作履歴を抽出してもよい。また、待機時に消費電力を低減する省電力モードへ移行する機能を有する複合機では、省電力モードから通常モードへの復帰後、かつ操作パネル２００が、識別情報入力部４２１、パスワード入力部４２２として機能している状態でなされた操作の履歴を抽出してもよい。
【００７９】
なお、上述した実施形態は本発明の技術的範囲を制限するものではなく、既に記載したもの以外でも、本発明の範囲内で種々の変形や応用が可能である。例えば、上記実施形態では、画像処理装置である複合機の操作パネルを通じた操作に基づいて説明をしたが、当該複合機と通信可能に接続されたパーソナルコンピュータ等の情報処理端末を介して複合機に対する操作が行われてもよい。この場合、上述の実施形態における操作パネル２００のディスプレイ２０１の機能は、情報処理端末が具備する、ディスプレイ等の表示手段およびキーボード等の入力手段により提供される。
【００８０】
また、図５、図６に示したフローチャートは、等価な作用を奏する範囲において、各ステップの順序を適宜変更可能である。例えば、図５における、正当ユーザ、異常ユーザの判定順や、図６における、正常操作、異常操作の判定順を入れ替えた場合でも、同様の効果を得ることができる。
【００８１】
また、上記実施形態では、ユーザ属性として、正当ユーザ、被疑ユーザ、異常ユーザの３分類を使用したが、正当ユーザと被疑ユーザ（非正当ユーザ）の２分類や正当ユーザと異常ユーザ（非正当ユーザ）の２分類を使用してもよい。あるいは、３分類より多くのユーザ属性を使用することもできる。
【００８２】
さらに、上記では、識別情報およびパスワードをユーザ認証情報として入力する構成に基づいて説明したが、パスワードのみをユーザ認証情報として入力する構成であっても本発明を適用可能である。
【００８３】
また、上記では、デジタル複合機として本発明を具体化したが、デジタル複合機に限らず、プリンタ、複写機等の任意の画像処理装置に本発明を適用することも可能である。
【００８４】
加えて、上記では、画像処理装置である複合機が、操作部、操作履歴記憶部、照合部、ユーザ属性判定部、認証部を全て備える構成を説明したが、各部が、適宜、別体で構成され、ネットワーク等を通じて接続された画像処理システムとして構成されていてもよい。例えば、上述の照合部、ユーザ属性判定部、認証部を備える認証装置が、画像処理装置、ユーザ認証のための情報を入力する操作装置および当該操作装置に対する操作の履歴を格納する操作履歴記憶装置とは別体で構成されている場合であっても、上記実施形態の複合機と同様の効果を得ることができる。このような画像処理システムでは、例えば、複数台の画像処理装置に対して認証装置を共通化することができる。また、操作部を備える認証装置のみを提供することもできる。
【産業上の利用可能性】
【００８５】
本発明によれば、正当ユーザの使用利便性を損なうことなく高いセキュリティを確保することができ、画像処理装置、画像処理システムおよび認証装置として有用である。
【符号の説明】
【００８６】
１００、７００ 複合機
２００ 操作パネル（操作部）
４０１ 操作認識部
４０２ 操作履歴記憶部
４０３ 照合部
４０４ ユーザ属性判定部
４０５、７０５ 認証部
４０６ ユーザ属性記憶部
４０７ 動作制御部
４１１ 文書管理部
４２１ 識別情報入力部
４２２ パスワード入力部
【技術分野】
【０００１】
本発明は、ユーザ認証機能を有する画像処理装置、画像処理システムおよび認証装置に関する。
【背景技術】
【０００２】
近年、オフィス等において、スキャナ、ファクシミリ、プリンタ、複写機等の機能を備える複合機（ＭＦＰ：Multi Function Peripheral）が使用されている。複合機は、例えば、ＬＡＮ（Local Area Network）等のネットワークを通じてパーソナルコンピュータ等の情報処理端末と接続された状況で使用されることが多い。そして、情報処理端末から入力された画像データを用紙上に印刷する画像形成装置として機能したり、情報処理端末において使用される画像データを取得する画像読取装置として機能したり、文書画像データを検索可能に蓄積する文書管理装置として機能したりする。
【０００３】
このような複合機には、一般ユーザが画像処理を実施する通常モードと、サービスマンのように限られた者のみに開放された保守モードとを有するものがある。保守モードは、ユーザ登録権限等、一般ユーザよりも広い権限を付与された管理者でも実行することができない、課金基準となる単価表やカウンタ情報の変更やユーザ情報の取り出し等、画像処理装置の全ての情報にアクセス可能なモードである。そのため、一般ユーザ等の保守モードの実行が許されていない者による実行を確実に防止する必要がある。また、通常モードにおける使用であっても、印刷ジョブとして情報処理端末から入力される画像データや、複合機に蓄積される文書画像データには、機密度が高く他人に入手されたくないものも存在する。
【０００４】
そのため、この種の複合機では、利用者の利用資格を確認するユーザ認証を実施することにより、保守モードの実行、あるいは、印刷ジョブとして入力された画像データの出力（印刷）や蓄積された文書画像データへのアクセスを、権限を有する者にのみ許可するユーザ認証が広く使用されている。そして、このようなユーザ認証のセキュリティ性をより高めるための技術が種々提案されている（例えば、特許文献１、２等参照。）。
【０００５】
例えば、特許文献１は、ネットワーク機器がネットワークへのアクセスを開始したときに、予め登録されているあて先に、アクセス開始通知メッセージを送信する構成を開示している。また、当該ネットワーク機器を所有者等の正当ユーザが起動する場合には、ネットワーク機器に対して特定の入力を行うことによりアクセス開始通知メッセージの送信を解除可能に構成されている。この構成によれば、所有者ではない非正当ユーザがネットワーク機器を使用すると、予め登録されているあて先にアクセス開始通知メッセージが送信されることになるため、あて先を適切に設定しておくことで所有者や管理者が非正当ユーザによるネットワーク機器の使用開始を知ることができる。
【０００６】
また、特許文献２は、通常動作モード、機器管理モード、機器メンテナンスモードの複数の動作モードを有する電子機器において、モード移行の際に複数のパスワードを入力させる構成を開示している。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００２−０１４９２８号公報
【特許文献２】特開２００５−２１５１０１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
上述の特許文献１が開示する技術では、非正当ユーザによるネットワーク機器の使用開始はネットワークを介して所有者あるいは管理者に通知される。しかしながら、当該使用が非正当ユーザによる使用であるか否かは、所有者あるいは管理者によって判断される必要がある。そのため、通知があったときに、所有者あるいは管理者が直ちに対応できない状況にあれば、非正当ユーザによる使用に対し何ら対処することはできない。すなわち、その非正当ユーザによりデータ等が持ち出され、あるいは、保守モードが実行された場合、その後に、通知により非正当ユーザによる使用があったことが認識できたとしてもデータ等の漏洩を防止することができず、手遅れである。また、当該技術は、ネットワークを介した侵入や攻撃を回避するため、スタンドアローンで使用されている装置等には適用することができない。
【０００９】
また、特許文献２が開示する技術では、複数のパスワード入力が要求されるため、１のパスワード入力を要求するユーザ認証に比べてセキュリティを高めることが可能になる。しかしながら、このような構成であっても、パスワード強度の低いパスワードが使用された場合、セキュリティを高める効果は低減してしまう。そのため、高いセキュリティ効果を得るためには、各パスワードのパスワード強度を高める必要がある。パスワードを構成する文字数や文字種を増やすことでパスワード強度を高めることは可能であるが、このようなパスワード強度の高いパスワードを使用する場合は、正当ユーザの使用利便性が損なわれることになる。
【００１０】
一方、オフィス等、一般に開放されていない環境で使用される画像処理装置において、当該装置に対して非正当ユーザとなって侵入や攻撃をしようとする者は、当該画像処理装置に全く無関係な者は想定しがたい。すなわち、当該画像処理装置をユーザとして使用しており、当該画像処理装置の使用方法を承知している者が、非正当ユーザになることを想定すべきである。この場合、非正当ユーザはユーザ認証の方法等の情報を有している。
【００１１】
例えば、ユーザ認証のための情報としてユーザ識別情報およびパスワードの入力を要求する画像処理装置において、社員番号等をユーザ識別情報として使用している場合には、非正当ユーザは他のユーザの識別情報を容易に知ることができる。そのため、総当たり的にパスワードを入力する等により偶発的に認証条件が満足されると、非正当ユーザが正当ユーザになり代わって装置を使用できることになる。
【００１２】
このような不正使用は、例えば、誤ったパスワードが所定回数連続して入力されたときに、そのユーザＩＤを使用不可にする公知技術（いわゆる、ロックアウト）を適用することにより防止できるかもしれない。しかしながら、このような対策を採用すると、何ら操作をしていないユーザが、自らが知らない間にロックアウトされるという不都合が生じる。そのため、使用利便性とセキュリティ確保とを両立することは容易ではない。
【００１３】
本発明は、このような従来技術の課題を鑑みてなされたものであり、正当なユーザの使用利便性を損なうことなく高いセキュリティを確保できる、画像処理装置、画像処理システムおよび認証装置を提供することを目的とする。
【課題を解決するための手段】
【００１４】
上述の目的を達成するために、本発明は以下の技術的手段を採用している。すなわち、本発明に係る画像処理装置はユーザ認証機能を有し、操作部、操作履歴記憶部、照合部、ユーザ属性判定部および認証部を備える。操作部は、ユーザ認証のための情報の入力に使用される複数の操作ボタンを有する。操作履歴記憶部は、操作部に対する操作の履歴を格納する。照合部は、操作部を通じて入力された情報が予め登録された認証条件を満たすか否かを判定する。ユーザ属性判定部は、照合部が認証条件を満足すると判定した場合、当該情報を入力したユーザが異常な操作を実行した非正当ユーザであるか否かを操作履歴記憶部に格納されている操作履歴に基づいて判定する。そして、認証部は、照合部が認証条件を満足すると判定し、かつユーザ属性判定部が非正当ユーザではないと判定した場合に、認証条件を満足した情報に基づいて認証処理を実行する。
【００１５】
この画像処理装置では、操作履歴記憶部に格納されている操作履歴に基づいて非正当ユーザを特定し、当該非正当ユーザに該当しない正当ユーザに対して選択的に認証処理が実行される。例えば、ユーザ属性判定部は、ユーザの単純な入力ミスであると想定できない操作が操作履歴として格納されていた場合に、当該ユーザを非正当ユーザと認定する。そして、このような非正当ユーザに該当しない正当ユーザに対して認証処理が実施されるため、正当ユーザの使用利便性を損なうことなく、セキュリティを確保することができる。
【００１６】
上述の画像処理装置において、ユーザ属性判定部は、明らかに異常な操作を実行したユーザを、非正当ユーザに属する異常ユーザと判定し、ユーザ属性判定部が異常ユーザであると判定した場合、認証部は認証処理を実行することなく操作を禁止する構成を採用することができる。この構成では、異常ユーザによる総当たり的な操作により不幸にも認証条件が満たされた場合であっても、当該ユーザによる画像処理装置の操作は許可されない。その結果、正当ユーザの使用利便性を損なうことなく、セキュリティを確保することができる。
【００１７】
また、ユーザ属性判定部は、異常な操作と疑われる操作を実行したユーザを、非正当ユーザに属する被疑ユーザと判定し、ユーザ属性判定部が被疑ユーザであると判定した場合、認証部は通常の認証処理に代えて特殊認証処理を実行する構成を採用することもできる。ここで、異常な操作と疑われる操作とは、上述の異常な操作には該当しないが、ユーザの単純な入力ミスであるとも想定できない操作である。この構成では、被疑ユーザに対しては、認証部は、上記認証条件に代えて強化認証条件を照合部に照合させる認証処理や、操作権限を制限した認証処理等の特殊認証処理を実行する。そのため、正当ユーザと異常ユーザとの境界を柔軟に設定することができ、誤って正当ユーザが異常ユーザと判定される可能性を低減しつつ、異常ユーザによる使用を確実に排除することができる。
【００１８】
なお、上述の認証処理は、画像処理を実施する通常モードから、装置保守のための保守モードへ移行するための認証処理に適用することができる。また、上記認証のための情報は、ユーザを識別する識別情報と、当該識別情報に対応づけられたパスワードとを含むことができる。
【００１９】
また、他の観点では、本発明は、画像処理装置、ユーザ認証のための情報を入力する複数の操作ボタンを有する操作装置、当該操作装置に対する操作の履歴を格納する操作履歴記憶装置および認証装置を備える画像処理システムを提供することもできる。この構成では、認証装置は、照合部、ユーザ属性判定部および認証部を備える。照合部は、操作装置を通じて入力された情報が予め登録された認証条件を満たすか否かを判定する。ユーザ属性判定部は、照合部が認証条件を満足すると判定した場合、当該情報を入力したユーザが異常な操作を実行した非正当ユーザであるか否かを操作履歴記憶装置に格納されている操作履歴に基づいて判定する。認証部は、照合部が認証条件を満足すると判定し、かつユーザ属性判定部が非正当ユーザではないと判定した場合、認証条件を満足した情報に基づいて認証処理を実行する。
【００２０】
さらに、他の観点では、本発明は、認証装置を提供することもできる。
【発明の効果】
【００２１】
本発明によれば、正当ユーザの使用利便性を損なうことなく、高いセキュリティを確保することができる。
【図面の簡単な説明】
【００２２】
【図１】本発明の一実施形態における複合機の全体構成を示す概略構成図
【図２】本発明の一実施形態における複合機の操作パネルを示す模式図
【図３】本発明の一実施形態における複合機のハードウェア構成を示す図
【図４】本発明の一実施形態における複合機を示す機能ブロック図
【図５】本発明の一実施形態における複合機が実施するユーザ認証手順の一例を示すフロー図
【図６】本発明の一実施形態における複合機が実施するユーザ属性判定手順の一例を示すフロー図
【図７】本発明の一実施形態における他の複合機を示す機能ブロック図
【発明を実施するための形態】
【００２３】
以下、本発明の一実施形態について、図面を参照しながらより詳細に説明する。以下では、デジタル複合機として本発明を具体化する。
【００２４】
図１は本実施形態におけるデジタル複合機の全体構成の一例を示す概略構成図である。図１に示すように、複合機１００は、画像読取部１２０および画像形成部１４０を含む本体１０１と、本体１０１の上方に取り付けられたプラテンカバー１０２とを備える。本体１０１の上面には原稿台１０３が設けられており、原稿台１０３はプラテンカバー１０２によって開閉されるようになっている。また、プラテンカバー１０２は、原稿搬送装置１１０を備えている。
【００２５】
原稿台１０３の下方には、画像読取部１２０が設けられている。画像読取部１２０は、走査光学系１２１により原稿の画像を読み取りその画像のデジタルデータ（画像データ）を生成する。原稿は、原稿台１０３や原稿搬送装置１１０に載置することができる。走査光学系１２１は、第１キャリッジ１２２や第２キャリッジ１２３、集光レンズ１２４を備える。第１キャリッジ１２２には線状の光源１３１およびミラー１３２が設けられ、第２キャリッジ１２３にはミラー１３３および１３４が設けられている。光源１３１は原稿を照明する。ミラー１３２、１３３、１３４は、原稿からの反射光を集光レンズ１２４に導き、集光レンズ１２４はその光像をラインイメージセンサ１２５の受光面に結像する。この走査光学系１２１において、第１キャリッジ１２２および第２キャリッジ１２３は、副走査方向１３５に往復動可能に設けられている。第１キャリッジ１２２および第２キャリッジ１２３を副走査方向１３５に移動することによって、原稿台１０３に載置された原稿の画像をイメージセンサ１２５で読み取ることができる。原稿搬送装置１１０にセットされた原稿の画像を読み取る場合、画像読取部１２０は、第１キャリッジ１２２および第２キャリッジ１２３を画像読取位置に合わせて一時的に固定し、画像読取位置を通過する原稿の画像をイメージセンサ１２５で読み取る。イメージセンサ１２５は、受光面に入射した光像から、例えば、Ｒ（レッド）、Ｇ（グリーン）、Ｂ（ブルー）の各色に対応する原稿の画像データを生成する。生成された画像データは、画像形成部１４０において用紙に印刷することができる。また、ネットワークアダプタ１６１によりネットワーク１６２を通じて他の機器（図示せず）へ送信することもできる。
【００２６】
画像形成部１４０は、画像読取部１２０で得た画像データや、ネットワーク１６２に接続された他の機器から受信した画像データを用紙に印刷する。画像形成部１４０は、感光体ドラム１４１を備える。感光体ドラム１４１は一定速度で一方向に回転する。感光体ドラム１４１の周囲には、回転方向の上流側から順に、帯電器１４２、露光器１４３、現像器１４４、中間転写ベルト１４５が配置されている。帯電器１４２は、感光体ドラム１４１表面を一様に帯電させる。露光器１４３は、一様に帯電した感光体ドラム１４１の表面に、画像データに応じて光を照射し、感光体ドラム１４１上に静電潜像を形成する。現像器１４４は、その静電潜像にトナーを付着させ、感光体ドラム１４１上にトナー像を形成する。中間転写ベルト１４５は、感光体ドラム１４１上のトナー像を用紙に転写する。画像データがカラー画像である場合、中間転写ベルト１４５は、各色のトナー像を同一の用紙に転写する。なお、ＲＧＢ形式のカラー画像は、Ｃ（シアン）、Ｍ（マゼンタ）、Ｙ（イエロー）、Ｋ（ブラック）形式の画像データに変換され、各色の画像データが露光器１４３に入力される。
【００２７】
画像形成部１４０は、手差しトレイ１５１、給紙カセット１５２、１５３、１５４等から、中間転写ベルト１４５と転写ローラ１４６との間の転写部に用紙を給送する。手差しトレイ１５１や各給紙カセット１５２、１５３、１５４には、様々なサイズの用紙を載置または収容することができる。画像形成部１４０は、ユーザの指定した用紙や、自動検知した原稿のサイズに応じた用紙を選択し、選択した用紙を給送ローラ１５５により手差しトレイ１５１やカセット１５２、１５３、１５４から給紙する。給紙された用紙は搬送ローラ１５６やレジストローラ１５７で転写部に搬送する。トナー像を転写した用紙は、搬送ベルト１４７により定着器１４８に搬送される。定着器１４８は、ヒータを内蔵した定着ローラ１５８および加圧ローラ１５９を有しており、熱と押圧力によってトナー像を用紙に定着する。画像形成部１４０は、定着器１４８を通過した用紙を排紙トレイ１４９へ排紙する。
【００２８】
図２は複合機が備える操作パネルの外観の一例を示す図である。ユーザは、操作パネル２００を用いて、複合機１００に複写開始やその他の指示を与えたり、複合機１００の状態や設定を確認したりすることができる。操作パネル２００には、タッチパネル付きディスプレイ２０１や操作キー２０３が配置されている。ディスプレイ２０１は、操作ボタンやメッセージ等を表示する液晶ディスプレイ等からなる表示面と、当該表示面上の押圧位置を検出するセンサとを備える。押圧位置の検知方法は特に限定されない。抵抗膜方式、静電容量方式、表面弾性波方式、電磁波方式等、任意の方式を採用することができる。ユーザは、自身の指やタッチペン２０２を使用して、ディスプレイ２０１を通じて入力を行うことができる。
【００２９】
ディスプレイ２０１は、ボタン表示部２０４、メッセージ表示部２０５およびステータス表示部２０６を有する操作画面を表示する。ボタン表示部２０４には、複数のタブ２０８が用意されており、各タブにはそのタブのカテゴリーに応じた操作ボタンが配列されている。「簡単設定」タブは、基本的な設定に使用される操作ボタンを有する。図２の例では、用紙サイズ、複写倍率、濃度、印刷面、ページ集約、後処理を設定するための操作ボタンが配列されている。例えば「濃度」ボタン２０７を押圧する操作をユーザが行うと、濃度を選択するための「薄い」、「ふつう」、「濃い」等の選択ボタンを有するポップアップ画面がその操作ボタン上に重ねて表示され、ユーザの選択（押圧）によりその濃度が設定される。図２の例では、「簡単設定」タブの他、「原稿／用紙／仕上げ」タブ、「カラー／画質」タブ、「レイアウト／編集」タブ、「応用／その他」タブも設けられている。ユーザは、タブボタン２０８を選択する操作を行うことによって、これらのタブの表示に切り替えることができる。一つのタブが選択されている間、操作画面上で他のタブやその要素は隠れている。
【００３０】
メッセージ表示部２０５には、複写が可能か否か、複写部数などの設定をユーザに通知するメッセージが表示される。なお、図２では、後述のユーザ認証処理（ログイン処理）が実施される前の状態を示している。特に限定されないが、本実施形態では、ユーザ認証情報として、ユーザ識別情報（ユーザＩＤ）およびパスワードを入力する構成になっており、メッセージ表示部２０５には、ユーザ認証情報の入力を要求する「認証情報を入力してください」のメッセージが表示されている。
【００３１】
ステータス表示部２０６には、必要に応じて装置ステータス情報が表示される。この表示には、複合機１００が備える各種センサの検知結果が反映される。装置ステータス情報とは、装置は動作可能な状態にあるが、異常への対応を促す警告をユーザに通知するメッセージを意味する。例えば、用紙残量が少ない旨、原稿台１０３が汚れている旨、ファクシミリのメモリ受信が設定されている場合にファックス文書がメモリに格納された旨等が含まれる。また、用紙切れや搬送ジャム等が装置ステータス情報に含まれてもよい。
【００３２】
操作キー２０３は、主電源キー２０９、テンキー２１０やスタートキー２１１、クリアキー２１２、ＬｏｇＯｕｔキー２１３等を含む。例えば、主電源キー２０９は、複合機１００の主電源のＯＮ、ＯＦＦの切り替えに使用される。テンキー２１０は、複写部数の指定や複写倍率の設定に用いることができる。ユーザがそれらの設定をすると、複合機１００は、メッセージ表示部２０５に、例えば、「コピーできます（設定あり）」のようなメッセージを表示し、ユーザによる設定が行われたことを通知する。スタートキー２１１は、複写や画像印刷の開始指示に使用される。ユーザは、自身でした設定を解除する場合、クリアキー２１２を操作する。ユーザによる設定を機械が受け付けているかどうかは上述のメッセージで判断することができるので、その設定が不要になればクリアキー２１２を操作すればよい。特に限定されないが、本実施形態では、後述の認証部が認証処理を行うまで、ユーザ認証に関する情報入力を除き、操作パネル２００を通じた操作が禁止される構成になっている。認証されたユーザが複合機使用後にＬｏｇＯｕｔキー２１３を押下する、あるいは、操作パネル２００に対する操作および画像読取部１２０や画像形成部１４０の動作がない時間が認証後に所定時間継続すると、複合機１００はユーザ認証処理が実施される前の状態に戻るように構成されている。
【００３３】
図３は、複合機における制御系のハードウェア構成図である。本実施形態の複合機１００は、ＣＰＵ（Central Processing Unit）３０１、ＲＡＭ（Random Access Memory）３０２、ＲＯＭ（Read Only Memory）３０３、ＨＤＤ（Hard Disk Drive）３０４および原稿搬送装置１１０、画像読取部１２０、画像形成部１４０における各駆動部に対応するドライバ３０５が内部バス３０６を介して接続されている。ＲＯＭ３０３やＨＤＤ３０４等はプログラムを格納しており、ＣＰＵ３０１はその制御プログラムの指令にしたがって複合機１００を制御する。例えば、ＣＰＵ３０１はＲＡＭ３０２を作業領域として利用し、ドライバ３０５とデータや命令を授受することにより上記各駆動部の動作を制御する。また、ＨＤＤ３０４は、画像読取部１２０により得られた画像データや、他の機器からネットワークアダプタ１６１を通じて受信した画像データの蓄積にも用いられる。
【００３４】
内部バス３０６には、操作パネル２００や各種のセンサ３０７も接続されている。操作パネル２００は、ユーザの操作を受け付け、その操作に基づく信号をＣＰＵ３０１に供給する。また、ディスプレイ２０１は、ＣＰＵ３０１からの制御信号にしたがって上述の操作画面を表示する。センサ３０７は、プラテンカバー１０２の開閉検知センサや原稿台１０３上の原稿検知センサ、定着器１４８の温度センサ、搬送される用紙または原稿の検知センサなど各種のセンサを含む。ＣＰＵ３０１は、例えばＲＯＭ３０３に格納されたプログラムを実行することで、以下の各手段（機能ブロック）を実現するとともに、これらセンサからの信号に応じて各手段の動作を制御する。
【００３５】
図４は、本実施形態の複合機の機能ブロック図である。図４に示すように、本実施形態の複合機１００は、操作認識部４０１、操作履歴記憶部４０２、照合部４０３、ユーザ属性判定部４０４および認証部４０５を備える。
【００３６】
操作認識部４０１は、操作パネル２００における、操作キー２０３の押下およびディスプレイ２０１の押圧を認識し、ユーザの操作内容を認識する。特に限定されないが、本実施形態では、ディスプレイ２０１の押圧位置を検出するセンサにより検出された押圧位置の座標が操作認識部４０１に入力され、操作認識部４０１が、自身が保持する操作ボタン等の画面要素の座標と入力された押圧位置の座標とに基づいて、ディスプレイ２０１に対するユーザの操作内容を認識する。操作認識部４０１が認識したユーザによる操作は、操作履歴記憶部４０２に格納される。特に限定されないが、本実施形態では、操作された操作ボタンを特定する情報が、操作の先後関係および操作間隔を示す情報と対応づけて記録されるようになっている。ここでは、操作の先後関係および操作間隔を示す情報として時刻情報を使用している。
【００３７】
本実施形態では、操作パネル２００は操作部として機能し、ディスプレイ２０１に表示される操作ボタンおよび操作キー２０３はいずれも、操作部が備える複数の操作ボタンに相当する。また、上述のように、本実施形態では、ユーザ認証情報として、ユーザ識別情報（ユーザＩＤ）およびパスワードが複合機１００に入力される。すなわち、操作パネル２００は、ユーザ識別情報を入力するための識別情報入力部４２１として機能するとともに、パスワードを入力するためのパスワード入力部４２２としても機能する。ここでは、ユーザは、テンキー２１０、あるいは必要に応じてタッチパネル２０１に表示されるソフトウェアキーボードを識別情報入力部４２１、パスワード入力部４２２として用いて、ユーザ認証情報を入力する。なお、ユーザ識別情報は、例えば、ＩＣカード、磁気カード、ＵＳＢ（Universal Serial Bus）メモリ等の可搬記憶媒体を介して複合機１００に入力される構成であってもよい。この場合、ユーザは、ＩＣカードリーダ等の可搬記憶媒体に応じた情報読取装置に可搬記憶媒体を配置することにより可搬記憶媒体に記憶されているユーザ識別情報を入力し、当該ユーザ識別情報に基づいて要求されるパスワードを、操作パネル２００を通じて入力する。なお、ここでは各ユーザに一義的に割り当てられたユーザＩＤをユーザ識別情報として使用しているが、ユーザを特定することができる情報であれば任意の情報をユーザ識別情報として使用可能である。
【００３８】
照合部４０３は、操作パネル２００を通じて入力されたユーザ認証情報が予め登録された認証条件を満たすか否かを判定する。本実施形態では、照合部４０３に、複合機１００の使用を許可するユーザのユーザＩＤと当該ユーザＩＤと対応づけられたパスワードを記録した使用許可者リストが予め登録されており、識別情報入力部４２１から入力されたユーザＩＤと、パスワード入力部４２２から入力されたパスワードとが使用許可者リストに含まれている場合、照合部４０３は、認証条件を満足すると判断する。
【００３９】
ユーザ属性判定部４０４は、照合部４０３が認証条件を満足すると判定した場合に、当該ユーザ認証情報を入力したユーザが異常な操作を実行した非正当ユーザであるか否かを判定する。当該判定は、操作履歴記憶部４０２に格納されている操作履歴に基づいて実施される。
【００４０】
本実施形態では、ユーザ属性判定部４０４は、ユーザを、正当ユーザ、被疑ユーザ、異常ユーザのいずれかの属性に区分する。なお、被疑ユーザおよび異常ユーザが非正当ユーザである。
【００４１】
ユーザ認証情報を間違うことなく入力したユーザ、および単純な入力ミスであると想定できる操作を行ったユーザは正当ユーザと判定される。単純な入力ミスであると想定できる操作とは、例えば、同一のユーザ識別情報について、予め登録された回数（例えば４回）未満のパスワード入力が行われて認証条件を満足した操作、特定のユーザ認証情報に対して、ユーザ識別情報またはパスワードの一部不一致の後、当該特定のユーザ認証情報について認証条件を満足した操作、特定のユーザ識別情報に対して、旧パスワードが入力された後、当該特定のユーザ識別情報について認証条件を満足した操作等である。
【００４２】
また、明らかに異常な操作を実行したユーザは異常ユーザと判定される。明らかに異常な操作とは、例えば、複数の操作ボタンの同時押下、操作ボタンの長時間押下（長押し）、装置の主電源投入時の操作ボタン押下等を、操作ボタンを代えて所定回数以上繰り返す操作のような意図的に侵入を試みる操作や、特定のユーザ識別情報について予め登録された回数（例えば４回）以上のパスワード入力が行われて認証条件を満足した操作である。
【００４３】
また、異常な操作と疑われる操作を実行したユーザは被疑ユーザと判定される。異常な操作と疑われる操作とは、上述の異常な操作には該当しないが、ユーザの単純な入力ミスであるとも想定できない操作である。例えば、複数の操作ボタンの同時押下、操作ボタンの長押し、装置主電源投入時の操作ボタン押下等の操作が、所定回数未満の複数回実行される場合等である。なお、被疑ユーザは、操作に基づいて判定することも可能であるが、本実施形態では、セキュリティ確保の観点から、後述のように、正当ユーザに該当せず、かつ異常ユーザにも該当しないユーザを被疑ユーザと判定するようにしている。
【００４４】
また、ユーザ属性判定部４０４は、非正当ユーザ（異常ユーザ、被疑ユーザ）と判定した場合、当該判定結果を、認証条件を満足したユーザ認証情報と対応づけてユーザ属性記憶部４０６に登録する。上述のように、ユーザ属性判定部４０４による判定は、照合部４０３が認証条件を満足すると判定した場合になされるため、当該時点で、非正当ユーザは認証条件を満足するユーザ認証情報を得ている。すなわち、以降では、当該ユーザ認証情報を入力することにより、本来当該ユーザ認証情報を使用すべき正当ユーザになり代わって複合機１００を使用することが可能である。このような使用を不能とするため、非正当ユーザにより使用されたユーザ認証情報がユーザ属性記憶部４０６に登録される。特に限定されないが、本実施形態では、ユーザ属性記憶部４０６は、判定結果を示す情報を、非正当ユーザに使用されたユーザ識別情報と対応づけたテーブルとして保持している。
【００４５】
認証部４０５は、照合部４０３が認証条件を満足すると判定し、かつユーザ属性判定部４０４が非正当ユーザではないと判定した場合、上記認証条件を満足した情報に基づいてユーザ認証処理（ログイン処理）を実施し、そのユーザによる複合機１００の使用（画像読取部１２０における画像データの生成、画像形成部１４０における画像データの印刷、蓄積文書画像データへのアクセス等）を許可する。特に限定されないが、本実施形態では、動作制御部４０７が、操作認識部４０１が認識した、操作パネル２００を通じたユーザの指示に基づいて画像読取部１２０における画像データの生成、画像形成部１４０における画像データの印刷、文書管理部４１１を介した蓄積文書画像データへのアクセス等を実行するよう構成されており、認証部４０５は、動作制御部４０７の動作制限を解除することで、ユーザによる複合機１００の使用を許可する。
【００４６】
図５は、複合機１００が実行するユーザ認証手順の一例を示すフロー図である。当該手順は、例えば、複合機１００の主電源がオンされたことをトリガとして開始する。
【００４７】
上述のように、本実施形態では、ログイン処理がなされていない状況下では、操作パネル２００を通じたユーザ認証情報の入力のみが許されている。当該状況下において、操作認識部４０１は、操作パネル２００を通じた操作を認識すると、当該操作を操作履歴記憶部４０２に格納する（ステップＳ５０１Ｙｅｓ）。例えば、ユーザＩＤ入力のためにテンキー２１０に属するいずれかのキーが押下されると、押下されたボタン示す情報と時刻情報とが操作履歴として操作履歴記憶部４０２に格納される（ステップＳ５０２、Ｓ５０３Ｎｏ）。複数のボタンが順に押下されると、操作認識部４０１は、各ボタンの押下を示す情報と時刻情報とを順に操作履歴記憶部４０２に格納する（ステップＳ５０１Ｙｅｓ、Ｓ５０２、Ｓ５０３Ｎｏ）。
【００４８】
本実施形態では、操作認識部４０１は、識別情報入力部４２１から入力された一連のユーザＩＤと、パスワード入力部４２２から入力された一連のパスワードを認識し、認識したユーザＩＤおよびパスワードを照合部４０３にも入力する。
【００４９】
上述のように本実施形態では、操作パネル２００が識別情報入力部４２１およびパスワード入力部４２２として機能する。そのため、操作認識部４０１は、操作パネル２００が識別情報入力部４２１として機能している状態（ユーザに対しユーザＩＤの入力を要求している状態）で入力された情報をユーザＩＤと認識し、操作パネル２００がパスワード入力部４２２として機能している状態（ユーザに対しパスワードの入力を要求している状態）で入力された情報をパスワードと認識する。ここでは、照合部４０３において認証条件を満足すると判定されるまでの間は、ユーザが、テンキー２１０に含まれる「Ｅｎｔｅｒ」キー、または必要に応じてディスプレイ２０１に表示されるソフトウェアキーボードに含まれる「Ｅｎｔｅｒ」キーを押下する都度、識別情報入力部４２１とパスワード入力部４２２とが切り替わるようになっている。
【００５０】
例えば、テンキー２１０によりユーザＩＤが入力され、入力完了を示すためにテンキー２１０に含まれる「Ｅｎｔｅｒ」ボタンが押下されると、その各ボタンに対する操作が操作履歴として操作履歴記憶部４０２に格納される。また、「Ｅｎｔｅｒ」ボタン押下により、ユーザＩＤの入力完了が認識されると、操作認識部４０１は、操作パネル２００が識別情報入力部４２１として機能している状態で入力された一連の情報をユーザＩＤとして照合部４０３に入力する。また、当該「Ｅｎｔｅｒ」ボタン押下により、操作パネル２００はパスワード入力部４２２として機能する状態になる。
【００５１】
当該状態で、例えば、テンキー２１０によりパスワードが入力され、入力完了を示すためにテンキー２１０に含まれる「Ｅｎｔｅｒ」ボタンが押下されると、その各ボタンに対する操作が操作履歴として操作履歴記憶部４０２に格納される。また、「Ｅｎｔｅｒ」ボタン押下により、パスワードの入力完了が認識されると、操作認識部４０１は、操作パネル２００がパスワード入力部４２２として機能している状態で入力された一連の情報をパスワードとして照合部４０３に入力する。
【００５２】
ユーザＩＤおよびパスワードが入力されると、照合部４０３は、入力されたユーザＩＤおよびパスワードが認証条件を満足するか否かを判断する（ステップＳ５０３Ｙｅｓ、Ｓ５０４）。照合部４０３は、入力されたユーザＩＤおよびパスワードが使用許可者リストに含まれている場合は認証条件を満足すると判定し、その旨をユーザ属性判定部４０４へ入力する（ステップＳ５０４Ｙｅｓ）。また、照合部４０３は、入力されたユーザＩＤおよびパスワードが使用許可者リストに含まれていない場合は認証条件を満足しないと判定し、ユーザ認証情報の入力を再度要求する（ステップＳ５０４Ｎｏ、Ｓ５０１）。ここでは、照合部４０３は、操作パネル２００を識別情報入力部４２１として機能する状態にする。
【００５３】
照合部４０３から、認証条件を満足する旨の通知を受けたユーザ属性判定部４０４は、操作履歴記憶部４０２に格納されている操作履歴に基づいて、ユーザ認証情報を入力したユーザが上述の非正当ユーザであるか否かを判定する（ステップＳ５０５）。図６は、ユーザ属性判定部４０４が実行するユーザ属性判定手順の一例を示すフロー図である。
【００５４】
まず、ユーザ属性判定部４０４は、操作履歴記憶部４０２から判定に使用する操作履歴を抽出する（ステップＳ６０１）。このとき抽出する操作履歴は、認証条件を満足した操作（ユーザＩＤ入力、パスワード入力）をしたユーザが行ったと推測される操作である。ここでは、認証条件を満足する操作を含み、当該操作以前に、予め指定された時間間隔以内で実施されたユーザ認証情報入力のための操作の履歴を抽出している。なお、ユーザ認証情報入力のための操作は、操作パネル２００が、識別情報入力部４２１、パスワード入力部４２２として機能している状態でなされた操作である。
【００５５】
ユーザ属性判定部４０４は、抽出した操作履歴に基づいて、抽出した操作履歴が正常操作であるか否かを判断する（ステップＳ６０２）。上述のように、正常操作は、例えば、ユーザ認証情報を間違うことなく入力した操作や、単純な入力ミスを伴う操作を意味する。抽出した操作履歴にこれらの操作が記録されている場合、ユーザ属性判定部４０４は抽出した操作履歴が正常操作であると判断し、認証条件を満足した操作をしたユーザを正当ユーザと判定する（ステップＳ６０２Ｙｅｓ、Ｓ６０７）。
【００５６】
一方、抽出した操作履歴が正常操作でない場合、ユーザ属性判定部４０４は、当該操作履歴に異常操作が含まれるか否かを判断する（ステップＳ６０２Ｎｏ、Ｓ６０３）。上述のように、異常操作は、意図的に侵入を試みる操作や総当たり的な入力操作を意味する。抽出した操作履歴にこれらの操作が記録されている場合、ユーザ属性判定部４０４は抽出した操作履歴が異常操作を含むと判断し、認証条件を満足した操作をしたユーザを非正当ユーザに含まれる異常ユーザと判定する（ステップＳ６０３Ｙｅｓ、Ｓ６０６）。
【００５７】
また、抽出した操作履歴が正常操作でなく、かつ異常操作が含まれない場合、ユーザ属性判定部４０４は、認証条件を満足した操作をしたユーザを、非正当ユーザに含まれる被疑ユーザと判定する（ステップＳ６０３Ｎｏ、Ｓ６０４）。正常操作でなく、かつ異常操作が含まれない操作とは、上述の異常な操作には該当しないがユーザの単純な入力ミスであるとも想定できない操作である。
【００５８】
なお、認証条件を満足した操作をしたユーザが非正当ユーザ（異常ユーザ、被疑ユーザ）であると判定した場合、ユーザ属性判定部４０４は、当該判定結果を、上述のようにユーザ属性記憶部４０６に登録する（ステップＳ６０５）。
【００５９】
以上のようにして、ユーザ属性判定をしたユーザ属性判定部４０４は、判定結果を認証部４０５に通知する。当該通知を受けた認証部４０５は、ユーザ属性判定部４０４による判定が正当ユーザである場合、正当ユーザと判定されたユーザ認証情報がユーザ属性判定部４０４により過去に非正当ユーザとして判定されているか否かを確認する。当該確認は、正当ユーザと判定されたユーザ認証情報がユーザ属性記憶部４０６に格納されているか否かにより実行可能である。正当ユーザと判定されたユーザ認証情報がユーザ属性記憶部４０６に格納されていない場合、認証部４０５はユーザ認証処理を実施し、認証条件を満足する操作をしたユーザによる複合機１００の使用を許可する（ステップＳ５０６Ｙｅｓ、Ｓ５１０）。
【００６０】
また、ユーザ属性判定部４０４による判定が異常ユーザである場合、またはユーザ属性判定部４０４による判定は正当ユーザであるが、正当ユーザと判定されたユーザ認証情報が異常ユーザとしてユーザ属性記憶部４０６に格納されている場合、認証部４０５はユーザ認証処理を実行せず、認証条件を満足した操作をしたユーザによる操作を禁止する（ステップＳ５０６Ｎｏ、Ｓ５０７Ｙｅｓ、Ｓ５０９）。
【００６１】
さらに、ユーザ属性判定部４０４による判定が正当ユーザおよび異常ユーザでない場合（すなわち、被疑ユーザである場合）、またはユーザ属性判定部４０４による判定は正当ユーザであるが、過去に被疑ユーザと判定され、正当ユーザと判定されたユーザ認証情報が被疑ユーザとしてユーザ属性記憶部４０６に格納されている場合、認証部４０５は通常の認証処理に代えて特殊認証処理を実行する（ステップＳ５０６Ｎｏ、Ｓ５０７Ｎｏ、Ｓ５０８）。
【００６２】
本実施形態において認証部４０５が実施する特殊認証処理は、操作権限を制限した認証処理である。すなわち、複合機１００に既に入力されている印刷者が指定された印刷ジョブに対するアクセスや、蓄積文書画像データに対するアクセス等、セキュリティ管理（この場合、ユーザがアクセス資格を有することの確認）が要求される複合機１００の機能を使用できない状態で認証処理が実施される。そのため、被疑ユーザとして特殊認証処理されたユーザは、複写や印刷者が指定されていない印刷ジョブの出力等、セキュリティ管理が要求されない機能しか使用できない。
【００６３】
以上説明したように、この複合機１００では、操作履歴記憶部４０２に格納されている操作履歴に基づいて非正当ユーザを特定し、当該非正当ユーザに該当しない正当ユーザに対して選択的に認証処理が実行される。そして、このような非正当ユーザに該当しない正当ユーザに対して認証処理が実施されるため、正当ユーザの使用利便性を損なうことなく、セキュリティを確保することができる。
【００６４】
また、この複合機１００では、ユーザ属性判定部４０４は、明らかに異常な操作を実行したユーザを非正当ユーザに属する異常ユーザと判定する。異常ユーザである場合、認証部４０５は認証処理を実行することなく操作を禁止する。そのため、異常ユーザによる総当たり的な操作により不幸にも認証条件が満たされた場合であっても当該ユーザによる複合機１００の操作を確実に防止することができる。
【００６５】
さらに、この複合機１００では、ユーザ属性判定部４０４は、異常な操作と疑われる操作を実行したユーザを非正当ユーザに属する被疑ユーザと判定する。被疑ユーザである場合、認証部４０５は通常の認証処理に代えて、操作権限を制限した認証処理である特殊認証処理を実行する。その結果、被疑ユーザに対しては、印刷ジョブや蓄積文書画像データに対するアクセスを制限する等がなされるため、セキュリティを確保することができる。また、被疑ユーザというユーザ属性を設けることにより、柔軟なセキュリティ設定を実現することができ、誤って正当ユーザが異常ユーザと判定される可能性を低減しつつ、異常ユーザによる使用を確実に排除することができる。
【００６６】
これらの効果は、複合機１００がネットワークに接続されず、スタンドアローンで使用されている場合であっても、得ることができる。
【００６７】
なお、上述の複合機１００では、一度、異常ユーザとして判定されたユーザ認証情報により特定される本来のユーザは複合機１００を使用することができない。また、一度、被疑ユーザとして判定されたユーザ認証情報により特定される本来のユーザは複合機１００の一部の機能しか使用することができない。したがって、本来のユーザは、複合機１００を使用するために、例えば、複合機１００の管理者等に対し申請を行い、ユーザ属性記憶部４０６に格納されている非正当ユーザとしての登録を消去する必要がある。このとき、少なくともパスワードは変更される必要がある。また、より好ましくは、ユーザ属性記憶部４０６に格納されている非正当ユーザとしての登録を消去することなく、新たなユーザ認証情報（ユーザ識別情報およびパスワード）を複合機１００に登録することにより、本来のユーザによる複合機１００の使用を可能にすることが好ましい。
【００６８】
ところで、上記実施形態では、特殊認証処理の一例として、使用権限を制限する認証処理を説明した。この形態では、上述のように、被疑ユーザと判定されたユーザＩＤは一部の機能しか使用することができなくなる。このような形態は、例えば、保守モードへの移行等、極めて限定された者のみに使用を許可するためのユーザ認証処理に適用することは困難である。例えば、保守モードへの移行の認証処理において使用権限が制限されると、実質的に保守モードへの移行ができなくなる。また、当該ユーザＩＤについての被疑ユーザ判定を解消する上位権限者も存在しないため、結果として、複合機１００の保守が実施できなくなってしまう。
【００６９】
このような状況を解消するため、本実施形態の変形例では、認証部が特殊認証処理として、上述の認証条件とは異なる強化認証条件を照合部４０３に照合させるように構成されている。
【００７０】
図７は、本実施形態の変形例である複合機７００の構成を示す機能ブロック図である。図７において、図４に示す複合機１００と同一の作用機能を奏する要素には同一の符号を付し、以下での詳細な説明は省略する。
【００７１】
複合機７００は認証部７０５を備える。操作者が被疑ユーザである場合、認証部７０５は、特殊認証処理として、通常の認証条件に代えて強化認証条件を照合部４０３に照合させる。すなわち、図５のステップＳ５０８において、認証部７０５が実施する特殊認証処理が、強化認証条件に基づく認証処理になる。例えば、上述のように、ユーザ認証条件としてユーザＩＤおよび当該ユーザＩＤに対応する１のパスワード入力が要求される事例では、強化認証条件として、当該１のパスワードに加えて別のパスワードを要求する構成を採用することができる。つまり、当該別のパスワードを要求することにより、パスワード強度を高めている。
【００７２】
当該動作は以下のようにして実施される。すなわち、ユーザ属性判定部４０４による判定が正当ユーザおよび異常ユーザでない場合（すなわち、被疑ユーザである場合）、またはユーザ属性判定部４０４による判定は正当ユーザであるが、正当ユーザと判定されたユーザ認証情報が被疑ユーザとしてユーザ属性記憶部４０６に格納されている場合、認証部７０５は照合部４０３に対して強化認証条件の照合を要求する。このとき、照合部４０３は、パスワード入力部４２２（操作パネル２００）に対して、追加パスワードの入力を要求する。ここでは、照合部４０３には、上述の使用許可者リストに登録された各ユーザＩＤと対応づけて追加パスワードが予め登録されており、パスワード入力部４２２から入力された追加パスワードが使用許可者リストに含まれている場合、照合部４０３は強化認証条件を満足すると判断する。なお、当該強化認証条件を構成する追加パスワードの入力時にも、ユーザ属性判定部４０４は、非正当ユーザであるか否かの判定を行うことが好ましい。
【００７３】
このように本変形例では、被疑ユーザに対して、正当ユーザであることの確認が追加でなされる。そのため、何らかの事情により本来のユーザが被疑ユーザと認定された場合でも、正当ユーザとしてログインする機会を付与することができる。また、被疑ユーザが本来のユーザでない場合は、強化認証条件を満足することがない限り、被疑ユーザによる使用が許可されることもない。したがって、正当ユーザの使用利便性を損なうことなく、セキュリティを確保することができる。
【００７４】
また、当該構成では、例えば、追加パスワードの入力が上述の正常操作によりなされた場合には、ユーザ属性記憶部４０６に記録された被疑ユーザの記録を消去する構成を採用してもよい。これにより、正当ユーザである可能性が高い場合に、被疑ユーザの認定が自動的に解消されることになる。
【００７５】
さらに、ここでは、被疑ユーザに対してのみ強化認証条件を照合させる構成としたが、異常ユーザに対しても強化認証条件を照合させる構成を採用することもできる。これにより、異常ユーザの行為に起因して、正当ユーザがロックアウトされ、本来のユーザが使用できない状態になることを確実に防止できる。また、この場合も、追加パスワードの入力が上述の正常操作によりなされた場合には、ユーザ属性記憶部４０６に記録された異常ユーザの記録を消去する構成を採用してもよい。なお、異常ユーザに対して強化認証条件を照合させる場合は、予め指定された特定の操作ボタン操作（隠しコマンドの入力）がされた場合に、初めて強化認証条件を照合させる構成にしてもよい。
【００７６】
なお、ここでは強化認証条件として、１つの追加パスワードを要求する構成を説明したが、複数の追加パスワードを要求する構成であってもよい。また、ユーザ認証条件としてユーザＩＤおよび当該ユーザＩＤに対応する複数のパスワード入力が要求される構成では、例えば、１番目のパスワード入力の際に、非正当ユーザであるとの判定がなされた場合に、上記複数のパスワードのうち２番目以降に入力されるべきパスワードのパスワード強度を高める構成を採用してもよい。パスワード強度は、例えば、パスワードを構成する文字数を増加させることにより高めることができる。このような構成は、例えば、照合部４０３に、低強度パスワードと高強度パスワードとを予め登録しておくことにより容易に実現可能である。
【００７７】
以上説明したように、本発明によれば、正当ユーザの使用利便性を損なうことなく、高いセキュリティを確保することができる。
【００７８】
なお、上述の実施形態では、認証条件を満足する操作を含み、当該操作以前に、予め指定された時間間隔以内で実施されたユーザ認証情報入力のための操作の履歴を、認証条件を満足した操作をしたユーザが行った操作履歴として抽出した。しかしながら、認証条件を満足した操作をしたユーザが行ったと推測される操作を、他の手法によって抽出することもできる。例えば、認証条件を満足する操作前の所定時間内において、操作パネル２００が、識別情報入力部４２１、パスワード入力部４２２として機能している状態でなされた操作の履歴を抽出してもよい。また、装置前における操作者の有無を検出するセンサを有する複合機では、当該センサが同一人を認識している間の操作履歴を抽出してもよい。また、待機時に消費電力を低減する省電力モードへ移行する機能を有する複合機では、省電力モードから通常モードへの復帰後、かつ操作パネル２００が、識別情報入力部４２１、パスワード入力部４２２として機能している状態でなされた操作の履歴を抽出してもよい。
【００７９】
なお、上述した実施形態は本発明の技術的範囲を制限するものではなく、既に記載したもの以外でも、本発明の範囲内で種々の変形や応用が可能である。例えば、上記実施形態では、画像処理装置である複合機の操作パネルを通じた操作に基づいて説明をしたが、当該複合機と通信可能に接続されたパーソナルコンピュータ等の情報処理端末を介して複合機に対する操作が行われてもよい。この場合、上述の実施形態における操作パネル２００のディスプレイ２０１の機能は、情報処理端末が具備する、ディスプレイ等の表示手段およびキーボード等の入力手段により提供される。
【００８０】
また、図５、図６に示したフローチャートは、等価な作用を奏する範囲において、各ステップの順序を適宜変更可能である。例えば、図５における、正当ユーザ、異常ユーザの判定順や、図６における、正常操作、異常操作の判定順を入れ替えた場合でも、同様の効果を得ることができる。
【００８１】
また、上記実施形態では、ユーザ属性として、正当ユーザ、被疑ユーザ、異常ユーザの３分類を使用したが、正当ユーザと被疑ユーザ（非正当ユーザ）の２分類や正当ユーザと異常ユーザ（非正当ユーザ）の２分類を使用してもよい。あるいは、３分類より多くのユーザ属性を使用することもできる。
【００８２】
さらに、上記では、識別情報およびパスワードをユーザ認証情報として入力する構成に基づいて説明したが、パスワードのみをユーザ認証情報として入力する構成であっても本発明を適用可能である。
【００８３】
また、上記では、デジタル複合機として本発明を具体化したが、デジタル複合機に限らず、プリンタ、複写機等の任意の画像処理装置に本発明を適用することも可能である。
【００８４】
加えて、上記では、画像処理装置である複合機が、操作部、操作履歴記憶部、照合部、ユーザ属性判定部、認証部を全て備える構成を説明したが、各部が、適宜、別体で構成され、ネットワーク等を通じて接続された画像処理システムとして構成されていてもよい。例えば、上述の照合部、ユーザ属性判定部、認証部を備える認証装置が、画像処理装置、ユーザ認証のための情報を入力する操作装置および当該操作装置に対する操作の履歴を格納する操作履歴記憶装置とは別体で構成されている場合であっても、上記実施形態の複合機と同様の効果を得ることができる。このような画像処理システムでは、例えば、複数台の画像処理装置に対して認証装置を共通化することができる。また、操作部を備える認証装置のみを提供することもできる。
【産業上の利用可能性】
【００８５】
本発明によれば、正当ユーザの使用利便性を損なうことなく高いセキュリティを確保することができ、画像処理装置、画像処理システムおよび認証装置として有用である。
【符号の説明】
【００８６】
１００、７００ 複合機
２００ 操作パネル（操作部）
４０１ 操作認識部
４０２ 操作履歴記憶部
４０３ 照合部
４０４ ユーザ属性判定部
４０５、７０５ 認証部
４０６ ユーザ属性記憶部
４０７ 動作制御部
４１１ 文書管理部
４２１ 識別情報入力部
４２２ パスワード入力部
【特許請求の範囲】
【請求項１】
ユーザ認証機能を有する画像処理装置であって、
ユーザ認証のための情報を入力する複数の操作ボタンを有する操作部と、
前記操作部に対する操作の履歴を格納する操作履歴記憶部と、
前記操作部を通じて入力された情報が予め登録された認証条件を満たすか否かを判定する照合部と、
前記照合部が認証条件を満足すると判定した場合、当該情報を入力したユーザが異常な操作を実行した非正当ユーザであるか否かを前記操作履歴記憶部に格納されている操作履歴に基づいて判定するユーザ属性判定部と、
前記照合部が認証条件を満足すると判定し、かつ前記ユーザ属性判定部が非正当ユーザではないと判定した場合、前記認証条件を満足した情報に基づいて認証処理を実行する認証部と、
を備える画像処理装置。
【請求項２】
前記ユーザ属性判定部は、明らかに異常な操作を実行したユーザを、前記非正当ユーザに属する異常ユーザと判定し、
前記ユーザ属性判定部が異常ユーザであると判定した場合、前記認証部は認証処理を実行することなく操作を禁止する、請求項１記載の画像処理装置。
【請求項３】
前記ユーザ属性判定部は、異常な操作と疑われる操作を実行したユーザを、前記非正当ユーザに属する被疑ユーザと判定し、
前記ユーザ属性判定部が被疑ユーザであると判定した場合、前記認証部は、通常の認証処理に代えて特殊認証処理を実行する、請求項１または２記載の画像処理装置。
【請求項４】
前記特殊認証処理が、前記照合部に、前記認証条件に代えて強化認証条件を照合させる認証処理である、請求項３記載の画像処理装置。
【請求項５】
前記特殊認証処理が、操作権限を制限した認証処理である、請求項３記載の画像処理装置。
【請求項６】
前記画像処理装置は、画像処理を実施する通常モードと、装置保守のための保守モードとを備え、前記認証処理が前記通常モードから前記保守モードへ移行するための認証処理である、請求項１から５のいずれか１項に記載の画像処理装置。
【請求項７】
前記認証のための情報が、ユーザを識別する識別情報と、当該識別情報に対応づけられたパスワードとを含む、請求項１から６のいずれか１項に記載の画像処理装置。
【請求項８】
画像処理装置と、
ユーザ認証のための情報を入力する複数の操作ボタンを有する操作装置と、
前記操作装置に対する操作の履歴を格納する操作履歴記憶装置と、
前記操作装置を通じて入力された情報が予め登録された認証条件を満たすか否かを判定する照合部、
前記照合部が認証条件を満足すると判定した場合、当該情報を入力したユーザが異常な操作を実行した非正当ユーザであるか否かを前記操作履歴記憶装置に格納されている操作履歴に基づいて判定するユーザ属性判定部、
前記照合部が認証条件を満足すると判定し、かつ前記ユーザ属性判定部が非正当ユーザではないと判定した場合、前記認証条件を満足した情報に基づいて認証処理を実行する認証部、
を備える認証装置と、
を備える画像処理システム。
【請求項９】
ユーザ認証のための情報を入力する複数の操作ボタンを有する操作部と、
前記操作部に対する操作の履歴を格納する操作履歴記憶部と、
前記操作部を通じて入力された情報が予め登録された認証条件を満たすか否かを判定する照合部と、
前記照合部が認証条件を満足すると判定した場合、当該情報を入力したユーザが異常な操作を実行した非正当ユーザであるか否かを前記操作履歴記憶部に格納されている操作履歴に基づいて判定するユーザ属性判定部と、
前記照合部が認証条件を満足すると判定し、かつ前記ユーザ属性判定部が非正当ユーザではないと判定した場合、前記認証条件を満足した情報に基づいて認証処理を実行する認証部と、
を備える認証装置。
【請求項１】
ユーザ認証機能を有する画像処理装置であって、
ユーザ認証のための情報を入力する複数の操作ボタンを有する操作部と、
前記操作部に対する操作の履歴を格納する操作履歴記憶部と、
前記操作部を通じて入力された情報が予め登録された認証条件を満たすか否かを判定する照合部と、
前記照合部が認証条件を満足すると判定した場合、当該情報を入力したユーザが異常な操作を実行した非正当ユーザであるか否かを前記操作履歴記憶部に格納されている操作履歴に基づいて判定するユーザ属性判定部と、
前記照合部が認証条件を満足すると判定し、かつ前記ユーザ属性判定部が非正当ユーザではないと判定した場合、前記認証条件を満足した情報に基づいて認証処理を実行する認証部と、
を備える画像処理装置。
【請求項２】
前記ユーザ属性判定部は、明らかに異常な操作を実行したユーザを、前記非正当ユーザに属する異常ユーザと判定し、
前記ユーザ属性判定部が異常ユーザであると判定した場合、前記認証部は認証処理を実行することなく操作を禁止する、請求項１記載の画像処理装置。
【請求項３】
前記ユーザ属性判定部は、異常な操作と疑われる操作を実行したユーザを、前記非正当ユーザに属する被疑ユーザと判定し、
前記ユーザ属性判定部が被疑ユーザであると判定した場合、前記認証部は、通常の認証処理に代えて特殊認証処理を実行する、請求項１または２記載の画像処理装置。
【請求項４】
前記特殊認証処理が、前記照合部に、前記認証条件に代えて強化認証条件を照合させる認証処理である、請求項３記載の画像処理装置。
【請求項５】
前記特殊認証処理が、操作権限を制限した認証処理である、請求項３記載の画像処理装置。
【請求項６】
前記画像処理装置は、画像処理を実施する通常モードと、装置保守のための保守モードとを備え、前記認証処理が前記通常モードから前記保守モードへ移行するための認証処理である、請求項１から５のいずれか１項に記載の画像処理装置。
【請求項７】
前記認証のための情報が、ユーザを識別する識別情報と、当該識別情報に対応づけられたパスワードとを含む、請求項１から６のいずれか１項に記載の画像処理装置。
【請求項８】
画像処理装置と、
ユーザ認証のための情報を入力する複数の操作ボタンを有する操作装置と、
前記操作装置に対する操作の履歴を格納する操作履歴記憶装置と、
前記操作装置を通じて入力された情報が予め登録された認証条件を満たすか否かを判定する照合部、
前記照合部が認証条件を満足すると判定した場合、当該情報を入力したユーザが異常な操作を実行した非正当ユーザであるか否かを前記操作履歴記憶装置に格納されている操作履歴に基づいて判定するユーザ属性判定部、
前記照合部が認証条件を満足すると判定し、かつ前記ユーザ属性判定部が非正当ユーザではないと判定した場合、前記認証条件を満足した情報に基づいて認証処理を実行する認証部、
を備える認証装置と、
を備える画像処理システム。
【請求項９】
ユーザ認証のための情報を入力する複数の操作ボタンを有する操作部と、
前記操作部に対する操作の履歴を格納する操作履歴記憶部と、
前記操作部を通じて入力された情報が予め登録された認証条件を満たすか否かを判定する照合部と、
前記照合部が認証条件を満足すると判定した場合、当該情報を入力したユーザが異常な操作を実行した非正当ユーザであるか否かを前記操作履歴記憶部に格納されている操作履歴に基づいて判定するユーザ属性判定部と、
前記照合部が認証条件を満足すると判定し、かつ前記ユーザ属性判定部が非正当ユーザではないと判定した場合、前記認証条件を満足した情報に基づいて認証処理を実行する認証部と、
を備える認証装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【公開番号】特開２０１３−１２０４３（Ｐ２０１３−１２０４３Ａ）
【公開日】平成２５年１月１７日（２０１３．１．１７）
【国際特許分類】
【出願番号】特願２０１１−１４４３８６（Ｐ２０１１−１４４３８６）
【出願日】平成２３年６月２９日（２０１１．６．２９）
【出願人】（０００００６１５０）京セラドキュメントソリューションズ株式会社 (13,173)
【Ｆターム（参考）】
【公開日】平成２５年１月１７日（２０１３．１．１７）
【国際特許分類】
【出願日】平成２３年６月２９日（２０１１．６．２９）
【出願人】（０００００６１５０）京セラドキュメントソリューションズ株式会社 (13,173)
【Ｆターム（参考）】
[ Back to top ]