画像処理装置
【課題】イメージログ機能を有する画像処理装置において、イメージログを介した情報漏洩を防止できるようにする。
【解決手段】所定ユーザに対しては暗号化処理の使用選択権限を与えておく（Ｓ１００）。暗号化処理の使用選択権限がないユーザには暗号化処理を許可しない（Ｓ１２６）。また、暗号化処理の使用選択権限が設定されているユーザからのジョブ要求があると、暗号化するか否かを問い合わせる（Ｓ１２２）。暗号化処理が希望されたときには暗号化処理を行なうように設定するが（Ｓ１２２−ＹＥＳ，Ｓ１２４）、希望がなければ暗号化処理を許可しない（Ｓ１２２−ＮＯ，Ｓ１２６）。重要文書の出力処理時には暗号化するように設定することで、管理者であっても、イメージログを復号できず、イメージログを介した重要文書の閲覧を制限できる。
【解決手段】所定ユーザに対しては暗号化処理の使用選択権限を与えておく（Ｓ１００）。暗号化処理の使用選択権限がないユーザには暗号化処理を許可しない（Ｓ１２６）。また、暗号化処理の使用選択権限が設定されているユーザからのジョブ要求があると、暗号化するか否かを問い合わせる（Ｓ１２２）。暗号化処理が希望されたときには暗号化処理を行なうように設定するが（Ｓ１２２−ＹＥＳ，Ｓ１２４）、希望がなければ暗号化処理を許可しない（Ｓ１２２−ＮＯ，Ｓ１２６）。重要文書の出力処理時には暗号化するように設定することで、管理者であっても、イメージログを復号できず、イメージログを介した重要文書の閲覧を制限できる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、画像形成装置における処理履歴を画像（イメージ）として保存するイメージログ機能を有する画像処理装置に関する。
【背景技術】
【０００２】
画像形成装置の高性能化や高機能化されている今日、この画像形成装置で出力された画像による情報漏洩や不正使用が問題となってきている。たとえば、読み取った原稿データを所定の記憶領域に保存するように構成されている高機能の装置では、他人が複写した原稿データを出力することができ、また、データそのものを他の記憶媒体に保存して持ち出すこともできてしまう。また、高解像度のカラー画像形成装置では、たとえば有価証券や紙幣などの偽造が問題となっている。
【０００３】
このような問題の解決要求に対して、たとえば、紙出力された後については、その出力ルートを追跡可能とする仕組みが提案されている（特許文献１，２を参照）。この仕組みは、基本的には、印刷媒体への画像出力操作を行なう都度、入力画像もしくは出力画像を保存し、また必要に応じて、さらに出力した日時、ユーザ名、場所など、その画像の出力ジョブに関するデータ（ジョブ環境データ）を画像に関連させて保存しておくことで、後からの追跡を可能とするものである。
【０００４】
【特許文献１】特開平６−２７０４７７号公報
【特許文献２】特開２００４−２０８０４８号公報
【０００５】
たとえば、特許文献１に記載の仕組みは、このような仕組みの基本的な構成を示しており、どのような画像が印刷されたかを履歴（イメージログ）として残すべく、印刷出力した画像そのものを履歴として装置側の記憶装置に保存しておく。つまり、全ての印字データを同等に記憶装置に記録するように構成している。その画像履歴を検索すれば、不正使用などで問題となった印刷物の出力先である画像形成装置の機種名、製造番号、設置場所などを特定することができる。
【０００６】
また、特許文献２に記載の仕組みでは、印刷履歴としてのイメージログを保存する記憶装置をサーバ（イメージログサーバと称する）として持つ仕組みにおいて、印刷出力する際に、たとえばイメージログサーバと接続可能でかつサーバに空き領域があるなど、原稿および環境情報のサーバへの転送を可能とする条件を満たしている場合に限って印刷出力を許可し、条件を満たしていないときには印刷を禁止するようにしている。機密書類などを印刷出力する際に、出力する画像データと印刷出力に関する環境情報とが、イメージログサーバに保存可能な状態でのみ印刷出力を許可することで、出力された機密書類を確実に特定可能としている。
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、特許文献１，２に記載の仕組みでは、イメージログ作成・保存の段階でイメージログに対するアクセスポリシーを管理することが困難である。たとえば、出力画像と同等の状態でイメージログを保存すると、出力処理対象の元画像に対するアクセスポリシー（セキュリティポリシー）と、イメージログに対するアクセスポリシーとを同一にできない事態が起こり得る。たとえば、出力処理対象の元画像が、他人には一切閲覧されたくない重要文書であっても、ログサーバの管理者であれば、通常アクセスできないその重要文書を、イメージログとして閲覧できてしまう。
【０００８】
また、特許文献１，２に記載の仕組みでは、少なくとも出力画像そのものを履歴として残すので、常に出力画像と同等の精度でイメージログを採取することができるが、採取効率や格納効率の面では、効率的でないことも起こり得る。
【０００９】
また、出力画像と同等のものをイメージログとして取得して保存しようとすると、通常の出力処理にその取得処理や保存処理を割り込ませる必要が生じ、どのタイミングでこれらの処理を割り込ませるかによってスループット（生産性）の低下が起こり得る。
【００１０】
また、処理対象画像に隠し情報が埋め込まれている場合に、出力画像に十分な精度がなければ、出力画像と同等のものをイメージログとして取得して保存すると、隠し情報が消失してしまい、検索や閲覧時に支障を来たすことがある。
【００１１】
また、特許文献１に記載の仕組みでは、使用者に悟られることなく印刷出力と同時に印刷した画像そのものの履歴を残しておくようにしているが（同文献の段落３３を参照）、使用者に悟られないようにイメージログを保存することは、必ずしも効果的でない。
【００１２】
また、特許文献２に記載の仕組みでは、通信不可でログサーバがダウンしていると、必ず出力処理が禁止されてしまうので、どうしても出力させたい場合には問題となる。
【００１３】
本発明は、上記事情に鑑みてなされたものであり、上述した問題の内、イメージログ作成・保存の段階でイメージログに対するアクセスポリシーを管理することのできる仕組みを提供することを目的とする。
【００１４】
また、さらに好ましくは、上述した問題の内の残りの少なくとも１つをも解決することのできる仕組みを提供することを目的とする。
【課題を解決するための手段】
【００１５】
本発明に係る第１の画像処理装置は、保存されたイメージログの画像を閲覧したときに、処理対象画像を一目では推測不能な状態に処理対象画像を加工する画像加工部を備えるものとし、画像加工部で加工された画像をイメージログの画像として保存するようにした。出力画像と同等レベル（品質）でイメージログ画像を保存するのではなく、暗号化やその他の画像加工（編集）技術を利用して元の処理対象画像を一見しては推測できないような画像に加工してから保存することで、イメージログを介した情報漏洩を防止する趣旨である。
【００１６】
本発明に係る第２の画像処理装置は、保存されたイメージログの開示レベル（開示対象のユーザレベル）を調整するログ開示レベル調整処理部を備えるものとした。保存されたイメージログを誰でもが検索・閲覧できるようにするのではなく、開示対象のユーザレベルを設定可能にすることで、処理対象画像の重要度合いに応じて開示対象者を制限できるようにする趣旨である。
【００１７】
本発明に係る第３の画像処理装置は、保存されるイメージログの開示レベルを調整するログ開示レベル調整処理部と、ログ開示レベル調整処理部により調整されたログ開示レベルに応じてイメージログの保存先を切り替えるログ保存先切替部とを備えるものとした。それぞれ管理レベルの異なる保存先が用意されているときには、常に同じ保存先に保存するのではなく、ユーザの希望するログ開示レベルに応じた最適な保存先を選択できるようにすることで、処理対象画像の重要度合いに応じて開示対象者を制限できるようにする趣旨である。
【００１８】
また従属項に記載された発明は、本発明に係る画像処理装置のさらなる有利な具体例を規定する。
【００１９】
たとえば、本発明に係る第４の画像処理装置は、イメージログ機能の使用可否の選択権限を設定するログ作成拒否権設定部をさらに備えるものとし、ログ作成拒否権設定部により選択権限が設定されているユーザに対してのみイメージログ機能の使用可否を選択可能にするようにした。常にイメージログを保存するのではなく、ユーザの希望によって、具体的には処理対象画像の重要度合いに応じてログ保存機能を解除できるようにするのであるが、この際、誰でもがログ保存機能を解除できるようにすると、本来の目的が達成されないので、機能解除可能なユーザレベルを設定可能にする趣旨である。
【００２０】
また、本発明に係る第５の画像処理装置は、保存されるイメージログの取得レベルを調整するログ取得レベル調整処理部とログ取得レベル調整処理部により調整されたログ取得レベルに応じて処理対象画像の品質を調整して保存用の画像とする画像品質調整部とをさらに備えるものとした。常に出力画像と同等の品質でログ保存するのではなく、ユーザの希望するログ取得レベルに応じて保存品質を調整可能にすることで格納効率を向上させる趣旨である。
【００２１】
また、本発明に係る第６の画像処理装置は、出力用の画像以外の入力画像や中間画像をイメージログ用の画像に選択する保存画像選択処理部をさらに備えるものとした。常に出力画像と同等の画像をログ保存するのではなく、保存対象の画像をユーザの希望によって、入力画像や中間画像などを任意に選択可能にすることでログの取得効率や格納効率を向上させる趣旨である。
【００２２】
また、本発明に係る第７の画像処理装置は、保存しようとするイメージログの保存先が保存可能な状態であるか否かを確認する保存可否確認部と、保存可否確認部の確認結果が保存可能な状態でない旨を示している場合には、保存可能な他の保存先を検索して保存先に設定するログ保存先切替部とをさらに備えるものとした。ログ保存先が通信不良や容量不足などによりログ保存が不可能な状態のときには、即時に出力処理を中止するのではなく、保存可能な他の保存先を検索して保存するようにすることで、可能な限り処理を中止させないようにする趣旨である。
【００２３】
また、本発明に係る第８の画像処理装置は、処理対処ジョブやシステム構成に応じてイメージログの取得と保存のタイミングを調整する処理タイミング制御部をさらに備えるものとした。ログ取得や保存のタイミングを固定するのではなく、処理対処ジョブやシステム構成に応じて任意に調整可能にすることで、スループットを向上させる趣旨である。
【００２４】
また、本発明に係る第９の画像処理装置は、処理対処画像に埋め込まれている隠し情報を画像と分離する隠し情報処理部をさらに備えるものとし、隠し情報処理部により分離された隠し情報を画像と対応付けてイメージログとして保存するようにした。処理対処画像の出力画像をログ保存すると消失してしまうような隠し情報を、画像から分離した隠し情報として、画像は別にログ保存することで、イメージログを読み出して、検索や閲覧に利用できるようにする趣旨である。
【００２５】
また、本発明に係る第１０の画像処理装置は、イメージログを保存する旨を通知する保存通知部をさらに備えるものとした。使用者に悟られることなくイメージログを保存するのではなく、ログ保存する旨や保存している旨を積極的に通知することで、不正使用の抑止効果を得る趣旨である。
【発明の効果】
【００２６】
本発明に係る第１の画像処理装置によれば、暗号化技術などを利用して元の処理対象画像を一見しては推測できないような画像に加工してから保存するようにしたので、イメージログ作成・保存の段階でイメージログに対するアクセスポリシーを管理することができ、イメージログを介した情報漏洩を確実に防止することができる。
【００２７】
たとえば、暗号化してログ保存する場合、監査者が持っている暗号鍵を利用して暗号化を行なうので、復号鍵がないと復号できず、実質的には、監査者しか復号できないので、イメージログの安全性を高めることができる。重要文書の出力処理時には暗号化するように設定することで、管理者であっても、イメージログを復号できず、イメージログを介した重要文書の閲覧を制限できる。
【００２８】
また、暗号化してログ保存する場合、ユーザが持っている暗号鍵を利用して暗号化を行なうので、復号鍵がないと復号できず、実質的には、ジョブを実行した本人しか復号できないので、イメージログの安全性を高めることができる。重要文書の出力処理時には暗号化するように設定することで、管理者であっても、イメージログを復号できず、イメージログを介した重要文書の閲覧を制限できる。
【００２９】
ただし、この場合、監査者もイメージログを復号できない問題があり、この場合、管理者により暗号化を行なう権限をもったユーザを登録し、権限のあるユーザのみが暗号化を行なうことができるようにすることで、信頼できないユーザに対する監査を強化することができる。
【００３０】
本発明に係る第２の画像処理装置によれば、ログ開示レベルを設定可能にしたので、第１の画像処理装置と同様に、イメージログ作成・保存の段階でイメージログに対するアクセスポリシーを管理することができる。たとえば、処理対象画像の重要度合いに応じて開示対象者を制限でき、元画像に対するアクセスポリシーとイメージログに対するアクセスポリシーとを同等にすることができる。
【００３１】
本発明に係る第３の画像処理装置によれば、ユーザの希望するログ開示レベルに応じて最適な保存先を選択できるようにしたので、第２の画像処理装置と同様に、イメージログ作成・保存の段階でイメージログに対するアクセスポリシーを管理することができる。イメージログに対するアクセスポリシーを制御することができるので、元画像に対するアクセスポリシーとイメージログに対するアクセスポリシーとを同等に調整することができるようになる。
【００３２】
本発明に係る第４の画像処理装置によれば、所定レベルのユーザに対してはイメージログ機能の使用可否を選択できるようにしたので、処理対象画像の重要度合いに応じてログ保存機能を解除することで、イメージログを介した情報漏洩を防止することができる。たとえば、重要な文書は、イメージログを介した情報漏洩が起きないように、イメージログを取得・保存しないといった運用ができる。
【００３３】
本発明に係る第５の画像処理装置によれば、ユーザの希望するログ取得レベルに応じてイメージログの保存品質を調整可能にしたので、ログの格納効率を向上させることができる。
【００３４】
本発明に係る第６の画像処理装置によれば、入力画像や中間画像など出力画像以外のものを任意に選択してログ保存可能にしたので、ログの取得効率や格納効率を向上させることができる。
【００３５】
本発明に係る第７の画像処理装置によれば、指定したログ保存先が使用不可能な状態のときには、保存可能な他の保存先を検索して保存するようにしたので、可能な限り出力処理を中止させないようにすることができる。
【００３６】
本発明に係る第８の画像処理装置によれば、処理対処ジョブやシステム構成に応じてログ取得・保存のタイミングを調整するようにしたので、スループットの低下を引き起こさないタイミングでログ取得・保存を行なうことで、イメージログ機能と生産性を両立させることができる。
【００３７】
本発明に係る第９の画像処理装置によれば、処理対処画像に隠し情報が埋め込まれている場合には、画像と隠し情報とを分離し、別々にログ保存するようにしたので、保存した画像では隠し情報が消失してしまっても、別に保存した隠し情報を読み出すことができ、画像における隠し情報消失の影響を排除できる。
【００３８】
本発明に係る第１０の画像処理装置によれば、イメージログを保存する旨を通知するようにしたので、不正使用の抑止効果を得ることができる。
【発明を実施するための最良の形態】
【００３９】
以下、図面を参照して本発明の実施形態について詳細に説明する。
【００４０】
＜システム構成＞
図１は、画像形成装置とイメージログを保存するイメージログサーバとがネットワーク接続されてなる画像形成システム（イメージログシステム）の構成例を示す図である。
【００４１】
画像形成システム１は、画像を読み取ったり、読み取った画像に基づいて印刷処理を行なったり、クライアント端末から受け取った印刷データに基づいて印刷処理を行なったりする画像出力端末としての画像形成装置５と、この画像形成装置５の操作履歴をイメージログとして保存（記録）する記憶装置を具備したイメージログサーバとしての文書管理装置７と、文書管理装置７に記憶されているイメージログを閲覧するための管理者端末としての閲覧装置８とが、ネットワーク９の一例であるログ管理ＮＷ（NetWork ）９ａにより接続されて構成されている。
【００４２】
なお、図では、画像形成装置５、文書管理装置７、閲覧装置８の何れもが１つで構成されているが、実際には、それぞれを複数配置してもよい。また、文書管理装置７と閲覧装置８とをログ管理ＮＷ９ａで接続しているが、ログ管理ＮＷ９ａを介さずに直接に接続することで情報処理サーバとして事実上一体的に構成してもよい。
【００４３】
また、この画像形成システム１では、イメージログを保存する記憶装置を画像形成装置５の外部に設けられたサーバ機能をなす文書管理装置７に用意しているが、このようなサーバ機能を持つ構成に限らず、イメージログを保存する記憶装置を画像形成装置５に内蔵もしくは外付けで用意してもよい。また、装置に実装のユーザインタフェース部１５の操作パネルや別体のユーザインタフェース装置の表示デバイス（たとえばＣＲＴや液晶）にてイメージログを閲覧可能に構成することで、画像形成装置５と閲覧装置８とを一体化させることもできる。
【００４４】
画像形成装置５は、本体に設けられているユーザインタフェース機器からのユーザ操作や、ネットワーク上の画像入力端末からの開始指示でジョブを起動可能になっている。
【００４５】
たとえば、画像形成装置５には、各種の画像入力端末３が接続され、処理対象のデータが入力されるようになっている。たとえば、画像入力端末３は、デジタルドキュメント（以下単にドキュメントという）ＤＯＣを作成し、また編集などの処理をする、たとえばパソコン（パーソナルコンピュータ）３ａ、カラースキャナ３ｂ、デジタルカメラ３ｃ、またはハードディスク装置や光磁気ディスク装置あるいは光ディスク装置などのドキュメントボックスとして機能するデータ格納装置３ｄ、さらにはＦＡＸ装置３ｅなど、任意数の画像入力ソースを含み得る。また、インターネット上のＷｅｂサーバ３ｆも、画像形成装置５に対してホームページなどのデジタルドキュメントを入力する画像入力ソースとなり得る。
【００４６】
たとえば、カラースキャナ３ｂやデジタルカメラ３ｃは、ＩＥＥＥ（Institute of Electrical and Electronics Engineers, Inc. ；米国電気電子学会）１３９４規格やＵＳＢ（Universal Serial Bus）２．０規格で画像形成装置５と接続する。
【００４７】
画像入力端末３のそれぞれには、ドキュメントＤＯＣ作成用のアプリケーションプログラムなどが組み込まれる。たとえば、画像入力端末３側にて用意されるドキュメントＤＯＣを表す電子データは、画像形成装置５で処理可能な画像フォーマット（たとえば、ＪＰＥＧ、ＢＭＰ、ＰＮＧなど）で記述される。
【００４８】
またたとえば、パソコン３ａで作成された文書ファイルは、たとえばプリンタなどで印刷出力するために、図形、文字などの拡大、回転、変形などが自由に制御できるページ記述言語（ＰＤＬ：Page Description Language ）で記載されたデータとして画像形成装置５に送られる。このＰＤＬデータを受け取った画像形成装置５は、印刷前に出力単位ごと（１ページごと）に画像データをレンダリング（描画展開）してから画像出力部（プリンタエンジン部）にラスタデータを出力する。
【００４９】
画像形成装置５は、たとえば複写機能、ページプリンタ機能、およびファクシミリ送受信機能を備えたいわゆる複合機（マルチファンクション機）で、デジタルプリント装置として構成されている。
【００５０】
この画像形成装置５は、大まかに、原稿を読み取る画像読取部１０、入力された画像データに対して所望の画像処理を施す画像処理機能と端末全体の動作を制御する制御機能とを備えたコントローラ部２０、およびコントローラ部２０からの画像データに基づいて所定の出力媒体に可視画像を形成して出力する画像出力部３０、および内蔵の給紙トレイ（図では３段構成）あるいは手差しトレイの内の何れかから出力媒体としての印刷用紙を画像出力部３０に搬送する給紙部８０を備える。
【００５１】
また画像形成装置５は、接続ケーブルやネットワークを介して画像入力端末３や文書管理装置７や閲覧装置８に接続可能になっている。たとえば、ＣＳＭＡ／ＣＤ（Carrier Sense Multiple Access with Collision Detection）型ＬＡＮ（Local Area Network；たとえばＩＥＥＥ８０２．３）やギガビット（Giga Bit）ベースのＬＡＮ（以下纏めて有線ＬＡＮという）によりパソコン３ａなどの画像入力端末３に接続される。なお、有線ＬＡＮは、無線ＬＡＮにすることもできる。
【００５２】
あるいは一般加入電話網（ＰＳＴＮ：Public Switched Telephone Network ）やＩＳＤＮ(Integrated Switched Digital Network )などの通信ＮＷ９ｂを介してＦＡＸ装置３ｅなどの画像入力端末３に接続される。なお、通信ＮＷ９ｂに代えてインターネットを含む他の通信媒体を利用してファクシミリをやり取りするいわゆるＰＣ−ＦＡＸを行なうようにしてもよい。
【００５３】
また、画像形成装置５は、たとえばＩＥＥＥ（Institute of Electrical and Electronics Engineers, Inc. ；米国電気電子学会）１３９４規格のデバイスやＵＳＢ（Universal Serial Bus）２．０規格のデバイスなどとも接続可能となっており、これらのデバイスからデジタル画像データを受け付けることもできる。あるいは、これらデバイスを介してリモートで画像形成装置５を制御することもできるようになっている。
【００５４】
このような構成により、画像形成装置５は、前述のように、画像読取部１０にて読み取った画像の印刷機能すなわち複写機能に限らず、接続ケーブルを介してパソコン３ａなどの画像入力端末３から取得した文書データやデータ格納装置３ｄに保存されている画像ファイルなどに基づいて画像を印刷するいわゆるプリント機能や、電話回線やその他の通信インタフェースを介して取得したＦＡＸデータやその他の画像データに基づいて印刷出力する機能も備えるようになる。
【００５５】
画像読取部１０は、プラテンカバーの機能も備え、原稿を図示しない読取台（プラテンガラス）上の読取位置まで搬送し排紙する循環機能のないドキュメントフィーダ（ＡＤＦ（自動原稿搬送）装置）１２と、装置使用のためのガイダンス情報や所定の情報処理結果や管理情報などを表示する操作パネル部やオペレータからの装置に対する種々の指示入力を受け付けるための操作キー部を有するユーザインタフェース（ＵＩ）部１５とを有している。操作パネル部１５ａの下部であって装置の前面側には、ユーザ認証を行なうためのＩＤカードやその他のＩＣカードを読み取るカード読取部１７が設けられている。
【００５６】
なお、操作パネル部や操作キー部に代えて、あるいはこれらとともに使用される大型ユーザインタフェースあるいはメンテナンス画面を備えたユーザインタフェース装置を設けてもよい。
【００５７】
画像出力部３０は、画像形成ユニット３２（両面複写ユニットを含んでいてもよい）と、通常の搬送用紙（記録済用紙）が排出される複数の排紙トレイを具備した排出部３６とを有する。
【００５８】
画像形成ユニット３２は、画像読取装置１０にて得られた画像信号により表される画像を、電子写真式、感熱式、熱転写式、インクジェット式、あるいは同様な従来の画像形成処理を利用して、普通紙や感熱紙上に可視画像を形成する（印刷する）すなわち複写する。このため、画像形成ユニット３２は、たとえば画像形成装置５をデジタル印刷システムとして稼働させるためのラスタ出力スキャン（ＲＯＳ）ベースのプリントエンジンを備える。
【００５９】
画像形成装置５に内蔵の処理基板には、画像出力部３０用の処理部（特に画像処理部や制御部）だけでなく、コントローラ部２０の画像処理機能部や画像形成装置５全体の種々の処理をするための回路が搭載される。たとえば、画像形成装置５内に構築された資源であるドキュメントフィーダ１２、ユーザインタフェース部１５、画像読取部１０の図示しない画像読取ユニット（スキャナ部）、画像形成ユニット３２、排出部３６、あるいは給紙部８０などを制御する回路が搭載される。この処理基板には、半導体製の記憶媒体が搭載され、たとえば、複写アプリケーション、プリンタアプリケーション、ファクシミリ（ＦＡＸ）アプリケーション、あるいは他のアプリケーション用の処理プログラムが格納される。
【００６０】
画像読取部１０は、画像入力端末の機能を備えており、たとえばＣＣＤ固体撮像素子の全幅アレイを使用して、読取位置へ送られた原稿に光を照射することで、原稿上の画像を読み取り、この読み取った画像を表す赤、緑、青のアナログビデオ信号をデジタル信号へ変換し、コントローラ部２０の画像処理機能部へ送る。
【００６１】
このようにして、読取りが完了すると、コントローラ部２０の画像処理機能部は、画像読取部１０からの赤、緑、青の画像データＲ，Ｇ，Ｂに基づいて、ブラック（Ｋ）、イエロー（Ｙ）、マゼンタ（Ｍ）、シアン（Ｃ）のオンオフ２値化トナー信号を得、各トナー信号を画像出力部３０に出力する。
【００６２】
この画像読取装置１０の読み取りに同期して、用紙が複数（Ａ４，Ｂ４，Ａ３）の給紙トレイの内の何れかから画像出力部３０へ給紙されると、画像出力部３０の画像形成ユニット３２は、その用紙の一方の面に、コントローラ部２０の画像処理機能部から送られたＫ，Ｙ，Ｍ，Ｃのトナー信号に基づいて可視画像を形成する。
【００６３】
また、画像形成装置５は、本実施形態特有の構成として、イメージログ機能実現のシステム構成次第では、イメージログデータを生成するイメージログ取得部２４０や、生成されたイメージログを所定の記憶媒体に保存する記憶処理部２６０や、記憶処理部２６０からイメージログを読み出して検索処理を行ない、イメージログそのものや検索過程や検索結果などを所定の表示デバイスに表示させてユーザに提示するイメージログ閲覧処理部２８０を備えることもある。
【００６４】
また、装置に実装のユーザインタフェース部１５の操作パネルや別体のユーザインタフェース装置の表示デバイス（たとえばＣＲＴや液晶）にてイメージログを閲覧可能に構成することで、画像形成装置５と閲覧装置８とを一体化させることもできる。
【００６５】
文書管理装置７は、画像形成装置５から送信されたイメージログを保存し、また閲覧装置８からの要求に応じて、保存しておいたイメージログを閲覧装置８に送付する。
【００６６】
閲覧装置８は、文書管理装置７に保存されているイメージログをユーザに提示するだけでなく、イメージログを使って、画像の出所追跡調査処理を行なうことができるようになっている。
【００６７】
なお、閲覧装置８には、ユーザ認証を行なうためのＩＤカードやその他のＩＣカードを読み取るカードリーダ８ａが接続可能となっている。
【００６８】
＜画像処理装置の基本構成例＞
図２は、イメージログを文書管理装置７に保存し操作履歴を検索するための機能部分に注目した、画像形成装置５、文書管理装置７、および閲覧装置８などの画像処理装置の基本構成を示す機能ブロック図である。
【００６９】
先にも説明したが、イメージログ機能を実現するに当たり、イメージログを保存する記憶装置を何処に設けるかは自由であり、また、イメージログを作成し、またイメージログを記憶装置に記憶させ読み出して閲覧させるための各種の機能部分も、何処に設けるかも自由である。
【００７０】
以下の説明では、各機能部が何処に設けられるかを問わず、システム全体として、イメージログ機能を実現する画像処理装置として記述する。
【００７１】
図示するように、イメージログ機能を実現する画像処理装置２は、当該画像処理装置２の全体動作を制御する制御部１００と、当該画像処理装置２の操作指示を受け付ける指示受付部１１０と、操作メニューを表示したり装置の動作状態や各種の情報を表示したりする表示部１２０と、ネットワークとのインタフェース機能をなす通信インタフェース部１３０とを備えている。
【００７２】
また、画像処理装置２は、本実施形態特有の構成として、イメージログ機能を実現するイメージログ処理部２００を備えている。イメージログ処理部２００は、イメージログデータを生成するイメージログ取得部２４０と、生成されたイメージログを所定の記憶媒体に保存する記憶処理部２６０とを有する。画像形成装置５にイメージログ保存用の記憶処理部２６０を内蔵するシステム構成とする場合、イメージログ取得部２４０と記憶処理部２６０との間のデータ転送はシステムバスを介して行なってもよいし、直接に行なってもよい。
【００７３】
記憶処理部２６０は、大容量のイメージログ保存に対応したものであるのか、小容量のイメージログ保存にのみ対応したものであるのか、と言った、サーバの管理レベルを異なるものとすることができる。
【００７４】
また、イメージログ処理部２００は、記憶処理部２６０からイメージログを読み出して検索処理を行ない、イメージログそのものや検索過程や検索結果などを所定の表示デバイスに表示させてユーザに提示するイメージログ閲覧処理部２８０を備える。
【００７５】
イメージログ取得部２４０は、画像読取部１０によって読み取られた読取画像データや画像入力端末３から受け取った印刷画像データなどの入力画像データや画像出力部３０で出力処理に使用した出力画像データやその他の中間画像データなどを、画像履歴保存の対象となる原稿画像データとする。
【００７６】
また、イメージログ取得部２４０は、処理対象のジョブを特定するジョブ情報、画像形成装置５にて画像を出力した日時、操作者を特定するユーザ特定情報、画像形成装置５の設置場所、使用した画像形成装置５を特定する装置情報、イメージログの開示レベルなど、その画像の出力ジョブに関するジョブ環境データを取得する。イメージログ取得部２４０により取得され記憶処理部２６０に保存される原稿画像データとそれに付帯するジョブ環境データとを纏めてイメージログと称する。
【００７７】
ユーザ特定情報は、出力ジョブを発行したユーザに固有の情報であって、たとえばユーザ認証機能を使って取得するユーザ名そのものであってもよいし、ジョブ発行元のクライアント装置名（画像入力端末３を特定する情報）、そのＩＰ（Internet Protocol ）アドレス、ログインユーザ名、ドキュメント名、ジョブ実行先となる装置名などを利用することもできる。
【００７８】
装置情報は、たとえばメーカー名、機種番号、製造番号（シリアルナンバー）、あるいは、その装置のＩＰ（Internet Protocol ）アドレスなどを利用することができる。
【００７９】
またイメージログ取得部２４０は、本実施形態特有の構成として、以下に説明する機能部分を備えている。たとえば、イメージログ取得部２４０は、イメージログの取得レベルをユーザにより設定可能とするログ取得レベル設定部（ログ取得レベル調整処理部の一例）２４２と、保存されるイメージログの開示レベルを調整するログ開示レベル調整部２４３と、ログ保存用の原稿画像データを選択する保存画像選択処理部２４４と、保存画像選択処理部２４４により選択された画像の精度を調整する精度調整処理部２４５と、イメージログの送出先の記憶処理部２６０を切り替えるログ保存先切替部２４６を備えている。
【００８０】
保存画像選択処理部２４４は、ログ保存用の原稿画像データを取得するに当り、ログ取得レベル設定部２４２にて設定されたログ取得レベルに応じて、保存精度や、データ容量や、取得処理の容易性などを考慮して、入力画像データを使用すべきか、出力画像データを使用すべきか、あるいはその他の中間画像データを使用すべきかを判断する。保存対象のイメージログ選択を利用することで、イメージログ作成・保存の段階でイメージログに対するアクセスポリシーを管理することもできる。
【００８１】
たとえば、画像出力部３０による出力結果物とほぼ同じ状態のイメージログを保存する必要のある場合には、出力画像データを使用する必要があるが、その要求がない場合には、保存画像選択処理部２４４は、入力画像データや中間画像データの中からより効率のよいものを選択する。たとえば、プリントジョブに関してはＰＤＬデータなどの入力画像データそのものをログ保存用の原稿画像データとする。出力画像データに比べると記憶情報量が少なく、イメージログの格納を効率よく実行できる。
【００８２】
また、精度調整処理部２４５は、ログ取得レベル調整処理部としてのログ取得レベル設定部２４２により調整されたログ取得レベルに応じて、処理対象画像の品質を調整して保存用の画像とする画像品質調整部の一例である。
【００８３】
この精度調整処理部２４５は、ログ取得レベル設定部２４２にて設定されたログ取得レベルに応じて、たとえばイメージログ（特に原稿画像データ）の精度を調整する。高精度な状態でイメージログを保存する必要がある場合には大容量を必要とする高精度な状態での保存を可能とし、低精度な状態でイメージログを保存してもよければ、小容量で済む低高精度な状態での保存を可能とするのである。
【００８４】
たとえば、精度調整処理部２４５は、大容量を必要とするカラー画像とするのか、小容量で済む白黒画像とするのかを調整する、あるいは、大容量を必要とする高解像度とするのか、小容量で済む低解像度とするのかを調整する。これらを組み合わせてもよい。ログ取得レベルに応じてイメージログの情報量を調整可能にすることで、イメージログの採取や格納を効率よく実行することができる。
【００８５】
また、ログ開示レベル調整部２４３は、保存されるイメージログの開示レベルを調整するべくイメージログの開示レベルを取得し、そのログ開示レベルをログ保存先切替部２４６に通知する。ログ保存先切替部２４６は、そのログ開示レベルに応じて、イメージログの送出すべきログ保存先（自装置の記憶部２６８もしくは外部のログサーバである文書管理装置７）を選択する。
【００８６】
こうすることで、ログ保存先切替部２４６は、ログ開示レベル調整部２４３により調整されたログ開示レベルに応じて、イメージログの保存先を切り替えることができるようになり、イメージログ作成・保存の段階でイメージログに対するアクセスポリシーを管理することができる。たとえば、ログ開示レベルにより、管理状態の異なるログサーバにイメージログを送出することにより、イメージログの安全レベルを切り替えることができる。
【００８７】
ここで、管理状態の異なるログサーバとは、たとえば、管理者のレベルが異なるものや、物理的配置が異なるものが考えられる。管理者のレベルが異なるものとしては、たとえば、管理レベルの低い方はグループ内で指名された管理者、管理レベルの高い方は会社レベルで管理を役割とする部門の管理下が該当する。また、物理的配置が異なるものとしては、居室内、サーバルーム、外部管理会社などが該当する。
【００８８】
また、イメージログ取得部２４０は、入力画像データや出力画像データを暗号化し、この暗号化済の画像データを画像履歴保存の対象となる原稿画像データとする、あるいはジョブ環境データを暗号化し、この暗号化済のジョブ環境データを履歴保存の対象となるジョブ環境データとする暗号化処理部２４７を有する。
【００８９】
暗号化処理部２４７は、イメージログとして保存される原稿画像データを入力画像や出力画像とは異なる状態の画像に変換する画像加工部（画像変換部）の一例であり、原稿画像データを入力画像や出力画像とは異なる状態の画像に加工することで、イメージログ作成・保存の段階でイメージログに対するアクセスポリシーを管理し、セキュリティ性能を高めることのできるものであればよい。
【００９０】
たとえば、閲覧者が保存されたイメージログを閲覧したときに、元の処理対象画像を一目では判読（推測）不可の状態にするものであればよく、画像加工（画像変換）の仕組みは、暗号化に限定されるものではない。ただし、復元処理や解読困難性などを考慮すれば、暗号化処理を画像加工処理として使用するのが好ましく、特に、公開鍵方式を使用すれば、よりセキュリティ性能を高めることができる。
【００９１】
なお、暗号化処理部２４７は、ログ取得レベル設定部２４２を設ける構成の場合、ログ取得レベル設定部２４２にて設定されたログ取得レベルに応じて、イメージログ取得部２４０により精度調整された後のイメージログ（特に原稿画像データ）に対して暗号化処理を施す。暗号処理を利用することで、イメージログ作成・保存の段階でイメージログに対するアクセスポリシーを管理することができる。
【００９２】
暗号化処理部２４７は、たとえば自己生成した秘密鍵を利用する暗号化方式を採ることもできるし、公開鍵を読み出す鍵読出部２４８を設けることで、公開鍵（ＰＫＩ；Public Key Infrastructure ）を利用した暗号化方式を採ることもできる。何れの方式も公知の技術であるので、ここでは詳細な説明を割愛する。
【００９３】
またイメージログ取得部２４０は、画像形成装置５の仕様を希望するユーザのユーザ認証を行なう認証処理部２５０と、認証処理部２５０が特定したユーザに対して暗号化処理部２４７を使用した暗号化処理の使用選択権限、すなわち暗号化の使用権限を与えることを設定する暗号化権設定部（画像加工化権設定部の一例）２５２とを有している。
【００９４】
暗号化権設定部２５２に対するアクセスは、一般ユーザは不可として、ある特定の者のみがアクセスして、暗号化処理の使用選択権限を設定可能にしておく第１の態様を採ることができる。たとえば、ユーザが鍵管理を行ない、イメージログ対象となるジョブを実行したユーザしか復号できないようにする、つまり、無差別に暗号化を許すと、暗号鍵の破棄などにより、暗号化されたイメージログの復号が困難となり、監査ができなくなってしまう可能性が出てくるが、監査を管理する者が暗号化の鍵管理を行なうようにすることで、この問題を解消することができる。
【００９５】
また、暗号化権設定部２５２は、暗号化処理の使用選択権限を特定の者のみが設定可能にしておく第１の態様の場合、認証処理部２５０により特定された者が暗号化の権限を有している場合のみ、イメージログ取得部２４０により取得されたイメージログの暗号化処理部２４７による暗号化を許可する。
【００９６】
たとえば、部門を管理する人、もしくは監査を行なう人が、鍵を管理する方法を採る。これにより、たとえば、ＰＫＩ方式で、監査を行なう人が秘密鍵を管理し、公開鍵で暗号化することで、イメージログの復号は、ログサーバを管理する者とは異なる監査を行なう者に限定することができる。
【００９７】
あるいは、暗号化権設定部２５２に対するアクセスを一般ユーザに自由に許可して、暗号化処理の使用選択権限をユーザが自由に設定可能にしておく第２の態様を採ることもできる。つまり、暗号化の鍵管理を一般ユーザに任せる。こうすることで、暗号化処理に対応しているシステム構成とする場合、基本的に（初期設定）は、暗号化機能を使うように初期設定しておく。
【００９８】
ユーザが鍵管理を行なうことで、イメージログ対象となるジョブを実行したユーザしか復号できないようにすることができ、イメージログ作成・保存の段階でイメージログに対するアクセスポリシーを管理することができるようになり、セキュリティ性能を確保することができる。
【００９９】
すなわち、暗号化処理の可否を変更可能なのを一般ユーザに広く許可するものとしておけば、ユーザが持っている暗号鍵を使用して暗号化を行なうので、その暗号鍵に対応した復号鍵が無いと復号できず、実質的に、出力ジョブを実行した当該ユーザ（本人）しか復号できないので、イメージログの安全性を高めることができる。これによって、管理者であれば、通常アクセスできない文書もイメージログとして閲覧できてしまうという問題を解消することができるのである。また、不正使用の解析時には、ユーザ（本人）の許可による復号の後に、保存したイメージログを利用した検索ができる。
【０１００】
一方、たとえば、管理者によるイメージログ閲覧を起因とする情報漏洩や不正使用の心配がない画像の出力時には、暗号化処理を割愛してイメージログを保存することで、処理の高速化や記憶情報量（通常は暗号化すると情報量が増える）の低減などを図ることができるようにする。また、不正使用の解析時には、保存したイメージログを利用した検索を可能にしておくことができる。
【０１０１】
また、イメージログ取得部２４０は、認証処理部２５０により特定された各ユーザに対してイメージログ作成の拒否権限を設定するログ作成拒否権設定部２５６を有している。 イメージログ取得部２４０は、たとえば認証処理部２５０により特定されたユーザがログ作成拒否権設定部２５６を介してイメージログ作成の拒否権限が設定されている場合のみ、イメージログ取得部２４０により取得されたイメージログの記憶処理部２６０への保存機能の使用有無を選択できるようにする。
【０１０２】
なお、ログ作成拒否権設定部２５６に対するアクセスはユーザは不可とし、管理者などのある特定の者のみがアクセスして、イメージログ作成の拒否権限を設定可能にしておくのがよい。ユーザレベルに応じてイメージログの取得レベルを変更可能なように構成しておくのである。誰でもがメージログ作成の拒否権限を設定可能にするとログ作成を解除した不正使用が問題となるからである。
【０１０３】
こうすることで、たとえば、システム構成上は、基本的には、イメージログ保存機能を使用する、さらに好ましくは暗号化機能も使うことを初期設定にしておき、不正使用の解析時には、保存したイメージログを利用した検索を可能にしておくことができる。不正使用の虞れのある一般ユーザには、イメージログの取得レベル変更を許可しないことで、イメージログを確実に保存するようにする。
【０１０４】
一方、不正使用の虞れのない特定ユーザに対してはイメージログ保存機能の使用拒否権限を与え、ユーザの希望によってイメージログ記録を解除できるようにする。これにより、ユーザの判断で「重要な文書はイメージログを保存しない」と言った運用が可能となる。重要文書が、イメージログを介して漏洩し、あるいは不正使用される現象を防止することができる。また、ログ保存を割愛することで、イメージログ採取効率や格納効率を高めることもできる。
【０１０５】
たとえば、ログ記録機能を解除できない場合、「重要文書のログ記録」を割愛したいとユーザが希望しても、それができず、また、イメージログが暗号化されずに記録される状態では、管理者によって、そのイメージログが閲覧されてしまう問題が懸念される。これに対して、本態様では、信頼のおけるユーザに対してログ記録機能の使用有無を設定可能にしておくことで、ユーザ自身が文書の重要度合いに応じてイメージログを保存するか否かを設定できるので、前述の問題を解消できるのである。
【０１０６】
また、イメージログ取得部２４０は、処理対象文書に重畳されている透かしや埋込情報などの隠し情報を抽出し、原稿画像データに添付するジョブ環境データの一部とする隠し情報処理部２５８を有している。隠し情報が重畳されている文書が複写もしくは印刷されたときに、装置の処理能力不足により、その隠し情報が消失した状態でイメージログが保存されることへの対処である。
【０１０７】
記憶処理部２６０は、イメージログ保存を制御する記憶制御部２６２と、イメージログに関するデータを保持するハードディスク装置や半導体製の記憶媒体を持つ１つもしくは複数の記憶部２６８とを具備する。
【０１０８】
また、記憶処理部２６０は、 通知制御部２８８によるイメージログの開示レベルをユーザより受け付けるログ開示レベル受付部２６４と、記憶部２６８の空き領域や通信可否を確認する保存可否確認部２６６と、イメージログを記憶部２６８に保存している旨をユーザに通知する保存通知部２６７とを備えている。
【０１０９】
記憶制御部２６２は、イメージログを記憶部２６８に保存する際に、ログ開示レベル受付部２６４にてイメージログの開示レベルがユーザから指定された際には、その開示レベルの情報をジョブ環境データに含める。
【０１１０】
記憶部２６８は、画像読取部１０によって読み取られた読取画像データや画像入力端末３から受け取った印刷画像データなどの入力画像データや画像出力部３０で出力処理に使用した出力画像データなどの原稿画像データそのものを記憶する原稿データ保存領域２６８ａと、出力した日時、ユーザ名、場所など、その画像の出力ジョブに関するジョブ環境データを保存するジョブ環境データ領域２６８ｂとを具備し、両者を対応付けて保存するログデータベース２６９を有する。
【０１１１】
また、画像形成装置５側に設けられる記憶部２６８は、画像読取部１０により読み取られた読取画像や通信インタフェース部１３０を介して取得した印刷画像データなどの入力画像データや、入力画像データに基づく出力画像データを印刷出力する際の操作時のジョブ環境データを一時的に記憶する出力用の作業領域（中間データ保存領域）２６８ｃを有する。
【０１１２】
また、文書管理装置７側に設けられる記憶部２６８には、画像形成装置５から受信したイメージログ（原稿画像データとジョブ環境データ）を一時的に保存する保存用の作業領域（受信データ保存領域）２６８ｄを有する。
【０１１３】
記憶制御部２６２は、画像形成装置５もしくは文書管理装置７に設けられる記憶部２６８のログデータベース２６９へのログ保存が完了すると、作業領域２６８ｃ，２６８ｄに一時的に保存したデータを消去させる。
【０１１４】
また、保存可否確認部２６６は、記憶制御部２６２が記憶部２６８へのデータ保存を制御する際に、記憶部２６８のログデータベース２６９に、原稿画像データとジョブ環境データとを保存できるだけの空き領域があるか否かを判定し、その判定結果を記憶制御部２６２に通知する。
【０１１５】
記憶制御部２６２は、空き領域がないときには、他の記憶部２６８（自装置の他のものであってもよいし他の文書管理装置７であってもよい）を利用可能であるか否かを確認し、他の記憶部２６８を利用できるか否かに応じて、画像形成装置５での出力処理許可を制御可能になっている。画像形成装置５と文書管理装置７とを別体とする際には、双方の記憶制御部２６２が協働してこの制御を行なう。
【０１１６】
また、画像形成装置５と文書管理装置７とを別体とする際には、保存可否確認部２６６は、さらに、双方間での通信が可能であるか否かを判定し、その判定結果を記憶制御部２６２に通知する。記憶制御部２６２は、通信可能か否かに応じて、画像形成装置５での出力処理許可を制御する。通信不可の場合、記憶処理部２６０の空き領域がないときと同様の対処を行なう。
【０１１７】
なお、空き領域がないあるいは通信不可のためイメージログ保存先の記憶処理部２６０を変更する必要が生じた場合、ユーザにその旨を通知して、その時点で使用可能な記憶処理部２６０の何れを保存先にするか、あるいは処理を中止するかをユーザ選択可能としてもよい。
【０１１８】
イメージログが記憶部２６８のログデータベース２６９に適切に保存可能である場合、記憶制御部２６２はその旨を制御部１００に通知する。これを受けて、制御部１００は、画像形成装置５での出力処理を許可する。
【０１１９】
また、画像形成装置５での出力処理を禁止した際には、記憶制御部２６２はその旨を制御部１００に通知する。これを受けて、制御部１００は、その後の操作を禁止する旨のエラーメッセージをユーザインタフェース部１５にてユーザに通知する。
【０１２０】
制御部１００は、処理タイミング制御部１０２を有している。処理タイミング制御部１０２は、イメージログ処理部２００におけるイメージログ取得部２４０によるイメージログ取得処理や記憶制御部２６２による記憶処理部２６０へのイメージログ保存処理のタイミングを、要求されたジョブサービスやシステム構成に応じて制御する。
【０１２１】
イメージログ機能の実現のためにイメージログの取得や保存を行なうには、当該機能を行なわない通常処理に割り込んで、これらの処理を行なわなければならないので、どのタイミングでこれらの処理を割り込ませるかによってスループットの低下が起こり得る。
【０１２２】
このため、処理タイミング制御部１０２は、要求サービスやシステム構成に応じて、できるだけスループットの低下が起こらないように、イメージログを作成・保存するタイミングを変更するのである。
【０１２３】
イメージログ閲覧処理部２８０は、記憶処理部２６０に保存されているイメージログを読み出すログ読出部２８２と、ログ読出部２８２が読み出したイメージログを使って画像マッチング（画像検索処理）や出所追跡調査処理などを行なう調査処理部２８４と、ログ読出部２８２が読み出したイメージログや調査処理部２８４により得られた調査結果やその他の関連情報を調査担当者（操作者）に通知する所定の表示デバイス（表示部１２０）に表示させる通知制御部２８８とを有している。
【０１２４】
なお、イメージログ取得部２４０に暗号化処理部２４７を持つ場合、イメージログ閲覧処理部２８０には、調査処理部２８４と復号化処理部２８８との間に、暗号化処理部２４７に対応した復号化処理部２８６を持つ構成とする。
【０１２５】
また、イメージログ閲覧処理部２８０は、ログ閲覧ユーザのユーザ認証を行なう認証処理部２９０と、通知制御部２８８によるイメージログの開示レベルを設定可能とするログ開示レベル設定部２９２とを有している。本実施形態の場合、記憶処理部２６０側のログ開示レベル受付部２６４とログ開示レベル設定部２９２とで、保存されたイメージログの開示レベルを調整するログ開示レベル調整処理部が構成される。
【０１２６】
画像形成装置５と閲覧装置８を一体化させたシステム構成の場合、認証処理部２５０と認証処理部２９０とを１つの機能部を共用する構成とすることができる。閲覧装置８を操作するログ閲覧ユーザ（たとえば調査担当者や管理者）に対しては、予めユーザ登録時に、イメージログ開示レベルを追加設定しておく。
【０１２７】
イメージログを記憶処理部２６０に保存しておくことで、画像形成装置５を特定する手掛かりを残しておくことができ、不正印刷が行なわれた際に、調査処理部２８４にて、イメージログを使って容易にどの画像形成装置で出力されたかを特定することができる。
【０１２８】
たとえば、調査処理部２８４は、情報がどのようにして漏れたかを考慮し、該当する箇所の画像形成装置について画像マッチングにより画像履歴検索を行なう。そして、該当する印刷物の画像内容がイメージログ中から検索されると、そのイメージログに添付のジョブ環境データから使用装置や不正印刷された時刻やユーザを推測し、その調査情報を通知制御部２８８に通知する。通知制御部２８８は、該当のイメージログや関連する調査情報を、たとえば表示部１２０にて表示する。あるいは印刷出力する。
【０１２９】
調査担当者は、その表示情報と印刷物とを目視で照合し、最終判断を行なうことができる。犯人を追跡するに当たり、ユーザ情報がジョブ環境データに添付されていなかったとしても、ジョブ情報や出力時間情報を参照して、画像形成装置の利用者を推定することで、可能性のある人物を特定できる。
【０１３０】
また、ログ読出部２８２が読み出したイメージログにログ開示レベルが設定されている場合、ログ開示レベル設定部２９２は、認証処理部２９０を介して取得されるログ閲覧ユーザのイメージログ開示レベルと記憶部２６８から読み出したイメージログに添付のジョブ環境データから抽出されるイメージログ開示レベルとを照合し、両者の開示レベル度合いに応じて通知制御部２８８を制御することで、ログ閲覧希望者へのイメージログの提示レベルを制御する。これにより、イメージログ作成・保存の段階でイメージログに対するアクセスポリシーを管理することができる。たとえば、同レベルのみにしか閲覧できないようにしてもよいし、上位互換を採用して、同レベル以下にしか閲覧できないようにしてもよい。
【０１３１】
また、暗号化（復号化）に対応したシステム構成では、ログ開示レベル設定部２９２は、両者の開示レベル度合いに応じて、復号化処理部２８６を制御することで復号化を許可するか否かを決定してもよい。この場合、たとえば、同レベルのみにしか復号化を許可しないようにしてもよいし、上位互換を採用して、同レベル以下にしか復号化を許可しないようにしてもよい。復号化を許可しないものについては、復号化せずに閲覧させてもよいし（つまり未復号の閲覧を許可する）、未復号の閲覧自体をも禁止してもよい、つまり、イメージログを暗号化して保存したときには、開示レベルに応じたイメージログのみを復号して開示する。
【０１３２】
こうすることで、画像形成装置５側で処理した画像（文書）のアクセスポリシー（開示レベル）と、閲覧装置８側で提示されるイメージログに対するアクセスポリシー（開示レベル）とを同一もしくは上位互換とすることができる。よって、たとえば、画像形成装置５を使って印刷物を出力する際に、管理者に対してもイメージログの開示を禁止するように開示レベルを設定しておけば、管理者であっても、閲覧装置８にて、その文書の印刷出力に関するイメージログを閲覧できない。管理者によるイメージログを介した情報漏洩を防止することができる。
【０１３３】
一方、たとえば、管理者や調査担当者によるイメージログ閲覧を起因とする情報漏洩や不正使用の心配がない画像の出力時には、管理者などに対しては開示を許可し、その他の一般ユーザに対しては開示を禁止するレベル設定をしておくことで、一般ユーザによる不正使用の解析時には、保存したイメージログを利用した検索ができる。
【０１３４】
なお、図示した画像処理装置２は、後述する各種実施形態の全てに対応可能な万能装置として示したが、必ずしも、上記で説明した各機能部分を全て備えている必要はなく、実施形態によっては不要な機能部分も存在する。
【０１３５】
なお、制御部１００を始めとする各種の機能部は、ハードウェア処理回路により構成することに限らず、その機能を実現するプログラムコードに基づき電子計算機（コンピュータ）を用いてソフトウェア的に実現することも可能である。
【０１３６】
よって、イメージログ機能を実現する画像処理装置２を、電子計算機（コンピュータ）を用いてソフトウェアで実現するために好適なプログラムあるいはこのプログラムを格納したコンピュータ読取可能な記憶媒体を発明として抽出することもできる。
【０１３７】
電子計算機に一連のイメージログ機能をソフトウェアにより実行させる場合には、そのソフトウェアを構成するプログラムが、専用のハードウェアに組み込まれているコンピュータ（組込マイコンなど）、あるいは、ＣＰＵ（Central Processing Unit ）、論理回路、読出専用の記憶部であるＲＯＭ（Read Only Memory）、随時書込みおよび読出しが可能であるとともに揮発性の記憶部の一例であるＲＡＭ（Random Access Memory）、あるいは不揮発性の記憶部の一例であるＲＡＭ（ＮＶＲＡＭと記述する）を始めとする記憶装置などの機能を１つのチップ上に搭載して所望のシステムを実現するＳＯＣ（System On a Chip：システムオンチップ）、または、各種のプログラムをインストールすることで各種の機能を実行することが可能な汎用のパーソナルコンピュータなどに、記録媒体からインストールされる。
【０１３８】
＜処理事例；第１実施形態；基本例＞
図３は、画像処理装置２における第１実施形態の基本例の処理手順を示すフローチャートである。なお、ここでは、画像形成装置５、文書管理装置７、および閲覧装置８が、図１に示したように、別体のもので、ログ管理ＮＷ９ａによりネットワーク接続されているシステム構成であるとして説明する。後述する他の実施形態でも同様である。
【０１３９】
第１実施形態は、暗号化権設定部２５２の機能に着目したものであり、認証処理部２５０によって特定されたユーザが暗号化の権限を有している場合のみイメージログ取得部２４０で取得されるイメージログの暗号化を許可する点に特徴を有している。特に、基本例は、暗号化処理の使用可否の権限設定を変更可能なのはシステム管理者のみとしている点に特徴を有する。
【０１４０】
先ず、システム管理者は、ユーザ登録時に、暗号化権設定部２５２により、各ユーザについて、暗号化処理部２４７を使用した暗号化処理の使用選択権限（暗号化処理を使用するか否かの選択権限）を設定しておく（Ｓ１００）。
【０１４１】
そして、画像形成装置５に電源が投入され所定の初期化処理が終了して動作が可能な状態で、何らかの操作をする場合には、装置使用を希望するユーザは、認証処理部２５０にアクセスして、ユーザＩＤを入力することでユーザ認証を行なう（Ｓ１１０）。認証処理部２５０は、ユーザより入力されたユーザＩＤが、画像形成装置５に登録されたユーザであるか否かを判定する（Ｓ１１２）。このユーザ認証の手法は、公知の様々な手法を適用できる。ここでは、その詳細説明を割愛する。
【０１４２】
認証処理部２５０は、登録されたユーザでなければ、その旨のエラーメッセージを表示部１２０の画面に表示して処理を終了する（Ｓ１１２−ＮＯ，Ｓ１１４）。
【０１４３】
一方、登録されたユーザの場合、暗号化権設定部２５２は、その登録されたユーザに対して、暗号化処理の使用選択権限が付与されているか否かを判定する（Ｓ１１２−ＹＥＳ，Ｓ１２０）。暗号化処理の使用選択権限のあるユーザであれば、暗号化権設定部２５２は、暗号化する／しないを選択する画面を表示部１２０に表示し、何れを希望するかをユーザに問い合わせ、選択結果に対応した動作を行なう（Ｓ１２０−ＹＥＳ，Ｓ１２２）。
【０１４４】
たとえば、暗号化権設定部２５２は、ユーザが暗号化処理の使用を希望する旨を入力すると、暗号化処理部２４７に暗号化処理を許可する（Ｓ１２２−ＹＥＳ，Ｓ１２４）。一方、暗号化処理の使用が許可されていないユーザの場合や（Ｓ１２０−ＮＯ）、ユーザが暗号化処理の使用を希望しない旨を入力すると（Ｓ１２２−ＮＯ）、暗号化処理を行なわないように暗号化処理部２４７を制御する（Ｓ１２６）。
【０１４５】
以下、一般的な処理と同様にして、たとえば、制御部１００は、ユーザが画像形成装置５を操作をしてコピーボタンを押下したのを指示受付部１１０を介して検知するなどジョブ開始指示を受け付けると（Ｓ１３０）、制御部１００は、画像読取部１０によりコピーされる原稿の画像を読み取らせ、処理画像（原稿画像データ）や付帯情報（ジョブ環境データ）をイメージログとする（Ｓ１３２）。
【０１４６】
記憶制御部２６２は、画像読取部１０により読み取られた原稿画像データを記憶部２６８の作業領域２６８ｃに保存し、またこの原稿に対するジョブ環境データを作業領域２６８ｃに保存する（Ｓ１３４）。なお、暗号化処理が設定されているときには（Ｓ１２２−ＹＥＳ，Ｓ１２４）、暗号化済のイメージログを作業領域２６８ｃに保存しておく。
【０１４７】
この後、制御部１００は、画像出力部３０にて、読み取った原稿に基づく画像を複写・印刷してコピー出力させることで、要求された出力ジョブを完了させる（Ｓ１３６）。
【０１４８】
コピー出力処理が完了すると、記憶制御部２６２は、作業領域２６８ｃに保存しておいた保存用のイメージログ（原稿画像データとジョブ環境データ）を読み出して、文書管理装置７に通信インタフェース部１３０を介して送信する（Ｓ１４０）。送信が正常に終了したら、記憶制御部２６２は、送信済のイメージログデータを、作業領域２６８ｃから削除する（Ｓ１４８）。
【０１４９】
文書管理装置７は、通信インタフェース部１３０を介して画像形成装置５からイメージログを受信する（Ｓ１５０）。記憶制御部２６２は、受信したイメージログ（暗号化済の場合もある）を原稿画像データとジョブ環境データの別に、ログデータベース２６９の原稿データ保存領域２６８ａとジョブ環境データ領域２６８ｂとに対応付けて保存する（Ｓ１５８）。
【０１５０】
このとき、保存通知部２６７は、使用者に悟られることなくイメージログを保存するようにするのではなく、イメージログを保存する旨のメッセージをユーザインタフェース部１５にてユーザに通知する（Ｓ１５９）。ログ保存を行なっている（イメージログ送出中である）ことを積極的にユーザに通知する（分からせる）ことで、機密文書の不正印刷や紙幣の偽造印刷などの不正出力の抑止効果を得ることができる。
【０１５１】
閲覧装置８から、イメージログの読出要求があると、そのイメージログを閲覧装置８に送信する（Ｓ１６１）。
【０１５２】
閲覧装置８にて、イメージログの検索要求や閲覧要求などのログ読出要求があった際に（Ｓ１６０−ＹＥＳ）、イメージログが暗号化されているときには（Ｓ１６２−ＹＥＳ）、暗号鍵に対応した復号鍵を使用して復号してから（Ｓ１６４）、検索や閲覧に供する（Ｓ１６６）。暗号鍵に対応した復号鍵を持っていない者は復号できないのは言うまでもない。
【０１５３】
なお、上記説明では、暗号化処理を画像形成装置５側で行なうようにしていたが、暗号化未処理のイメージログと暗号鍵とを対応付けて文書管理装置７側に送信し、文書管理装置７にて暗号化処理を行なってから、暗号化済のイメージログを作業領域２６８ｃに保存するようにしてもよい。
【０１５４】
こうすることで、システム管理者によって暗号化の使用を許可されているユーザに限って、そのユーザは、出力処理対象のイメージログを暗号化して文書管理装置７に保存させることができる。暗号化してからイメージログとして保存することで、出力画像と同等の状態ではなく、異なる状態でイメージログを保存するのである。
【０１５５】
イメージログを暗号化して保存する場合、通常は、出力処理を行なったユーザが持つ復号鍵が無いと復号できず、実質的に、ジョブを実行した本人しか復号できないので、イメージログの安全性を高めることができる。
【０１５６】
特に本例の場合、認証処理部２５０によって、ユーザ情報を管理できるようにしており、そのユーザ情報の１つとして暗号化処理使用可否の選択権限がある。そして、その暗号化処理の使用可否の選択権限設定を変更可能なのはシステム管理者のみとしている。これより、後述する変形例に対して、信頼できないユーザに対して監査を強化できる利点がある。
【０１５７】
＜処理事例；第１実施形態；変形例＞
図４は、画像処理装置２における第１実施形態に対する変形例の処理手順を示すフローチャートである。
【０１５８】
この第１実施形態に対する変形例は、暗号化処理の使用可否を一般ユーザが自由に設定できるようにしている点で、第１実施形態の基本例と異なる。
【０１５９】
先ず、システム管理者は、暗号化処理を使用するか否かの選択権限に関与することはなく、基本例で示した暗号化処理の使用選択権限設定処理（Ｓ１００）を割愛する。また、登録されたユーザに対して、暗号化処理の使用選択権限が付与されているか否かの判定処理（Ｓ１２０）も割愛する。
【０１６０】
ユーザ認証時に、登録されたユーザの場合、暗号化権設定部２５２は、暗号化する／しないを選択する画面を表示部１２０に表示し、何れを希望するかをユーザに問い合わせ、選択結果に対応した動作を行なう（Ｓ１１２−ＹＥＳ，Ｓ１２２）。以下、基本例と同様である。
【０１６１】
こうすることで、システム管理者が関与することなく、ユーザは、暗号化処理を使用するか否かを自由に設定できる。たとえば、システム管理者にさえもイメージログを介した実質的な文書閲覧を許可させたくない場合、暗号化を設定することで、出力処理対象のイメージログを暗号化して文書管理装置７に保存させることができる。通常、復号鍵を持たないシステム管理者は復号できないのでイメージログを介した文書閲覧ができない。システム管理者による権限設定を関与させることなく、システム管理者に対しても、セキュリティ性能を確実に高めることができる。
【０１６２】
＜処理事例；第２実施形態＞
図５は、画像処理装置２における第２実施形態の処理手順を示すフローチャートである。この第２実施形態は、鍵読出部２４８の機能に着目したものであり、暗号化方式として、公開鍵方式を使用する点に特徴を有している。これに対応して、暗号化処理を画像形成装置５側で行なうのではなく、文書管理装置７側にて行なってから、暗号化済のイメージログを作業領域２６８ｃに保存する。
【０１６３】
ここで、暗号化未処理のイメージログと暗号鍵とを対応付けて文書管理装置７側に送信し、文書管理装置７にて暗号化処理を行なう場合、暗号鍵のセキュリティが問題となる。この問題を解消する技術として、第２実施形態では、公開鍵方式を使用している。以下具体的に説明する。
【０１６４】
画像形成装置５には、カード読取部１７が設けられていて、ＩＣカードリーダ機能を有している。もちろん、画像形成装置５と別体のＩＣカードリーダを接続する構成としてもよい。コピーやファックス送信時には、ユーザは、自分のユーザＩＤカードをカード読取部１７に挿入してユーザ認証を行なうが（Ｓ２１０）、この際には、さらに暗号化用の公開鍵が添付されている暗号化用のＩＣカードも挿入して、その公開鍵を読み取らせる（Ｓ２１１）。なお、公開鍵なので、ユーザＩＤカードから読み出されるユーザ情報に公開鍵の情報を設定しておいてもよい。
【０１６５】
コピー出力処理が完了すると、記憶制御部２６２は、作業領域２６８ｃに保存しておいた暗号化未処理のイメージログ（原稿画像データとジョブ環境データ）を読み出して、通信インタフェース部１３０に渡す。
【０１６６】
このとき、鍵読出部２４８は、暗号化が設定されていて（Ｓ２２２−ＹＥＳ，Ｓ２２４）、たとえばＩＣカードや認証処理部２５０を介して取得されるユーザ管理情報より公開鍵を読み出すことができたときには、公開鍵を通信インタフェース部１３０に渡す。通信インタフェース部１３０は、公開鍵をイメージログとともに文書管理装置７に送信する（Ｓ２４０）。送信が正常に終了したら、記憶制御部２６２は、送信したイメージログデータや公開鍵の情報を作業領域２６８ｃから削除する（Ｓ２４８）。
【０１６７】
イメージログに公開鍵を添付して文書管理装置７に送ることで、文書管理装置７にては暗号化処理を行なうモードが設定されることになる。たとえば、暗号化用のＩＣカードが挿入されずに出力指示があった場合など、鍵読出部２４８が公開鍵を読み出せないときには、暗号化処理のないモードとなる。
【０１６８】
文書管理装置７は、通信インタフェース部１３０を介して画像形成装置５からイメージログと公開鍵とを受信する（Ｓ２５０）。イメージログ取得部２４０は、必要に応じてイメージログの原稿画像データに対してＯＣＲ（Optical Character Reader）などの画像処理を行なう（Ｓ２５２）。
【０１６９】
この後、イメージログに公開鍵が添付されていたときには、暗号化処理部２４７は、イメージログの全情報を公開鍵を使用して暗号化する（Ｓ２５３−ＹＥＳ，Ｓ２５４）。
【０１７０】
記憶制御部２６２は、イメージログを原稿画像データとジョブ環境データの別に、ログデータベース２６９の原稿データ保存領域２６８ａとジョブ環境データ領域２６８ｂとに対応付けて保存する（Ｓ２５８）。もちろん、暗号化処理部２４７にて暗号化したときには、暗号化済のものを保存する。
【０１７１】
閲覧装置８にて、イメージログの検索要求や閲覧要求があった際には（Ｓ２６０−ＹＥＳ）、イメージログが暗号化されているときには（Ｓ２６２−ＹＥＳ）、認証処理部２９０は、公開鍵が添付されているＩＣカードがカードリーダ８ａに挿入されると（Ｓ２６３−ＹＥＳ）、公開鍵に対応する復号鍵を取得し、その復号鍵を使用して復号してから（Ｓ２６４）、検索や閲覧に供する（Ｓ２６６）。
【０１７２】
このような第２実施形態の仕組みによれば、公開鍵方式を利用して暗号化処理を行なうことができるので、暗号鍵を画像形成装置５から文書管理装置７に送り文書管理装置７にて暗号化処理を行なう場合であっても、セキュリティ性能を高めることができる。もちろん、通常であれば復号鍵を取得できないシステム管理者に対しては、復号されていないイメージログを提示することで、イメージログを介した文書閲覧を制限できるので、セキュリティ性能を確実に高めることができる。
【０１７３】
また、ＩＣカード内に設定された公開鍵情報を、デバイス側で取得して、ログサーバ（本例では文書管理装置７）側で利用する仕組みとしているが、デバイス側で取得した公開鍵情報をログサーバに送付しないと、ログサーバでＯＣＲを行なう場合に、その後の暗号化のためにユーザ固有の鍵が使えない、あるいは予めログサーバに利用するユーザの公開鍵情報設定しておかなければならないことが問題となる。しかしながら、第２実施形態では、イメージログと公開鍵を受け取り、イメージログに対してＯＣＲ処理を行なった後に、イメージログおよび画像処理結果を公開鍵を使用して暗号化するようにしているので、ユーザ固有の鍵で暗号化でき、そのユーザしか復号できず、イメージログ安全性が上がる。
【０１７４】
なお、実装上で考えた場合、ＯＣＲ機能は画像形成装置５上で行なうよりもサーバ上で行なう方が有利な場合が多くある。たとえば、サーバ用のＯＳ（Operating Systems ）に対応したＯＣＲ機能の方が充実し、進化も早い。サーバの方が高価なＣＰＵを使い易いなどの利点がある。ただし、構成として考えれば、デバイス側でＯＣＲをかけてからデバイス側で暗号化することや、手間はかかるが、サーバ側に予め、ユーザの公開鍵を格納しておく方法など、様々な方法を採ることが考えられる。
【０１７５】
＜処理事例；第３実施形態＞
図６は、画像処理装置２における第３実施形態の処理手順を示すフローチャートである。この第３実施形態は、ログ開示レベル受付部２６４とログ開示レベル設定部２９２の機能に着目したものであり、イメージログに開示レベルが設定されているときには、その開示レベルに応じたイメージログのみを閲覧希望者に提示する点に特徴を有する。
【０１７６】
コピー出力処理が完了すると、ログ開示レベル受付部２６４は、イメージログの開示レベルを受け付ける画面を表示部１２０に表示し、どのレベルの者にイメージログの開示を許可するかを受け付ける（Ｓ３３８）。ログ開示レベル受付部２６４は、受け付けた開示レベルの情報を記憶制御部２６２に通知する。
【０１７７】
記憶制御部２６２は、作業領域２６８ｃに保存しておいた保存用のイメージログ（原稿画像データとジョブ環境データ）を読み出して、文書管理装置７に通信インタフェース部１３０を介して送信する（Ｓ３４０）。この際、記憶制御部２６２は、ログ開示レベル受付部２６４にてイメージログの開示レベルがデフォルト（開示レベル設定無し）以外に指定された際には、その開示レベルの情報をジョブ環境データに含める（Ｓ３４２）。送信が正常に終了したら、記憶制御部２６２は、送信済のイメージログデータを、作業領域２６８ｃから削除する（Ｓ３４８）。
【０１７８】
閲覧装置８にて、イメージログの検索要求や閲覧要求があった際に（Ｓ３６０−ＹＥＳ）、ログ読出部２８２が読み出したイメージログにログ開示レベルが設定されている場合（Ｓ３６１−ＹＥＳ）、ログ開示レベル設定部２９２は、認証処理部２９０を介して取得されるログ閲覧希望ユーザのイメージログ開示レベルと記憶部２６８から読み出したイメージログに添付のジョブ環境データから抽出されるイメージログ開示レベルとを照合し、両者の開示レベル度合いに応じて、開示処理の準備をする（Ｓ３６４）。
【０１７９】
たとえば、暗号化（復号化）に対応したシステム構成の場合、記憶処理部２６０は、暗号化処理部２４７にて暗号化された後のイメージログを記憶部２６８に保存するようにしておき、イメージログ閲覧処理部２８０では、開示レベルに応じて、復号しての提示が許可されるイメージログのみを復号して開示する。
【０１８０】
このような第３実施形態の仕組みによれば、ユーザは、イメージログ開示レベルを設定できるので、画像形成装置５側で処理した文書の開示レベルと、閲覧装置８側で提示されるイメージログに対する開示レベルとを同一もしくは上位互換とすることができる。
【０１８１】
＜処理事例；第４実施形態＞
図７は、画像処理装置２における第４実施形態の処理手順を示すフローチャートである。この第４実施形態は、ログ作成拒否権設定部２５６の機能に着目したものであり、各ユーザに対してイメージログ作成の拒否権限を与え、認証処理部２５０により特定されたユーザがイメージログ作成の拒否権限を持っている場合のみ、イメージログ作成の有無を選択可能にする点に特徴を有する。
【０１８２】
先ず、システム管理者は、ユーザ登録時に、ログ作成拒否権設定部２５６により、各ユーザについて、イメージログ作成を拒否できるか否かの選択権限（ログ作成拒否権限）を設定しておく（Ｓ４００）。
【０１８３】
そして、ユーザ認証時に、登録されたユーザの場合、イメージログ取得部２４０は、その登録されたユーザに対して、ログ作成拒否権限が付与されているか否かを判定する（Ｓ４１２−ＹＥＳ，Ｓ４２０）。ログ作成拒否権限のないユーザであれば、通常通りイメージログを取得してログ保存を行なうように設定する（Ｓ４２０−ＮＯ，Ｓ４２４〜Ｓ４４０）。
【０１８４】
一方、ログ作成拒否権限のあるユーザであれば、イメージログ取得部２４０は、イメージログを作成する／しないを選択する画面を表示部１２０に表示し、何れを希望するかをユーザに問い合わせ、選択結果に対応した動作を行なう（Ｓ４２０−ＹＥＳ）。
【０１８５】
すなわち、ログ作成が選択されたときにはイメージログを取得してログ保存を行なうようにするが（Ｓ４２２−ＹＥＳ，Ｓ４２４〜Ｓ４４０）、ログ作成を拒否されたときには、ログ取得をしないようにする（Ｓ４２２−ＮＯ，Ｓ４２６，Ｓ４３１−ＮＯ）。
【０１８６】
このような第４実施形態の仕組みによれば、イメージログ作成の拒否権限が設定されているユーザについてのみ、イメージログ保存機能の使用有無を選択できるようにしたので、たとえば、不正使用の虞れのない特定ユーザに対してはイメージログ保存機能の使用拒否権限を与えておくことで、そのユーザは、自身の希望によってイメージログ記録を解除できる。たとえば、重要な文書はイメージログを保存しないようにすることで、その重要文書がイメージログを介して管理者によって閲覧される自体を防止することができる。
【０１８７】
＜処理事例；第５実施形態；基本例＞
図８は、画像処理装置２における第５実施形態の基本例の処理手順を示すフローチャートである。第５実施形態の基本例は、ログ取得レベル設定部２４２と精度調整処理部２４５の機能に着目したものであり、各ユーザに対して、イメージログ取得レベルを設定可能とし、ログ取得レベル設定部２４２が取得したレベルに応じて、精度調整処理部２４５にてイメージログ作成精度（カラー／白黒、解像度など）を変更する点に特徴を有する。
【０１８８】
認証処理時に、登録されたユーザの場合、ログ取得レベル設定部２４２は、その登録されたユーザに対し、ログ取得レベルの指定を受け付ける画面を表示部１２０に表示し、何れの取得レベルを希望するかをユーザに問い合わせる（Ｓ５１２−ＹＥＳ，Ｓ５２０）。
【０１８９】
なお、ここでは、一般ユーザが自由にイメージログの取得レベルを指定できるようにしているが、一般ユーザにはその指定を開放せずに、管理者のみが、そのレベルを指定できるようにしてもよい。
【０１９０】
この取得レベル指定を受けて、イメージログ取得部２４０の精度調整処理部２４５は、ログ取得レベル設定部２４２がユーザより受け付けたログ取得レベルに応じて、保存画像選択処理部２４４が選択した保存用の画像データの解像度や白黒／カラーの別など画像精度（画像品質）を調整し、精度調整後のものを保存用の原稿画像データとする（Ｓ５３２）。
【０１９１】
このような第５実施形態の基本例の仕組みによれば、常に同じ精度でイメージログを採取して保存するのではなく、ユーザ（管理者であってもよい）が希望するイメージログ取得レベルに応じて、原稿画像データの精度を調整してから保存するようにしたので、ログ保存の精度要求の度合いに応じて、その精度を調整することができる。たとえば、低精度な状態でイメージログを保存してもよければ、小容量で済む低高精度な状態で保存することで、イメージログの採取効率や格納効率を高めることができる。
【０１９２】
＜処理事例；第５実施形態；変形例＞
図９は、画像処理装置２における第５実施形態の変形例の処理手順を示すフローチャートである。この第５実施形態の変形例は、ログ開示レベル調整部２４３とログ保存先切替部２４６の機能に着目したものであり、各ユーザに対して、イメージログ開示レベルを設定可能とし、ログ開示レベル調整部２４３が取得したレベルに応じて、ログ保存先切替部２４６にてイメージログの保存先の記憶部２６８を変更する点に特徴を有する。なお、記憶部２６８が、ログサーバとしての文書管理装置７に備えられているものである場合、その管理レベルが異なるものとする。
【０１９３】
認証処理時に、登録されたユーザの場合、ログ開示レベル調整部２４３は、その登録されたユーザに対し、ログ開示レベルの指定を受け付ける画面を表示部１２０に表示し、何れの開示レベルを希望するかをユーザに問い合わせる（Ｓ５１２−ＹＥＳ，Ｓ５２０）。
【０１９４】
なお、ここでは、一般ユーザが自由にイメージログの開示レベルを指定できるようにしているが、一般ユーザにはその指定を開放せずに、管理者のみが、そのレベルを指定できるようにしてもよい。
【０１９５】
この開示レベル指定を受けて、イメージログ取得部２４０のログ保存先切替部２４６は、ログ開示レベル調整部２４３がユーザより受け付けたログ開示レベルに応じて、イメージログの保存先となる記憶部２６８を選択・設定する（Ｓ５３３）。
【０１９６】
このような第５実施形態の変形例の仕組みによれば、予め設定されている常に同じ記憶部２６８にイメージログを保存するのではなく、ユーザ（管理者であってもよい）が希望するイメージログ開示レベルに応じて、保存用の記憶部２６８（自装置内蔵のものでもよいし文書管理装置７のものでもよい）をログ保存先切替部２４６にて決定するようにしたので、保存しようとするイメージログの開示レベルに応じた適切な記憶部２６８を指定してログ保存できるようになる。
【０１９７】
こうすることで、ログ開示レベルの一致したサーバにイメージログを格納することができ、メージログ作成・保存の段階でイメージログに対するアクセスポリシーを管理することができるようになる。
【０１９８】
＜処理事例；第６実施形態＞
図１０は、画像処理装置２における第６実施形態の処理手順を示すフローチャートである。この第６実施形態は、保存可否確認部２６６の機能に着目したものであり、イメージログを保存させようとする記憶部２６８の反応がない場合や空き領域不足の場合に、その時点で使用可能な別の記憶部２６８を検索して保存可能な記憶部２６８を見つけることで以降のジョブも実行可能とする点に特徴を有する。
【０１９９】
別の記憶部２６８を検索する際には、画像形成装置５に内蔵のものを指定可能とするものでもよいし、別の文書管理装置７の記憶部２６８を指定可能とするものでもよい。
【０２００】
認証処理時に、登録されたユーザの場合（Ｓ６１２−ＹＥＳ）、保存可否確認部２６６は、出力処理を許可する条件を満たしているか否かを判定する。具体的には、先ず、保存可否確認部２６６は、記憶部２６８のログデータベース２６９に、イメージログを保存できるだけの空き領域があるか否かを判定し、その判定結果を記憶制御部２６２に通知する（Ｓ６２２）。
【０２０１】
また、画像形成装置５と文書管理装置７とが別体のシステム構成の場合、保存可否確認部２６６は、さらに、双方間での通信が可能であるか否かを、たとえば問合せメッセージに対する応答により確認し、その確認結果を記憶制御部２６２に通知する（Ｓ６２２）。なお、この応答確認の際には、文書管理装置７側の記憶部２６８のログデータベース２６９に、イメージログを保存できるだけの空き領域があるか否かの応答も貰うようにする。
【０２０２】
要するに、この第６実施形態では、自装置内蔵の記憶部２６８にイメージログ保存できるだけの記憶領域が確保されているか、あるいはログサーバとしての文書管理装置７との通信が可能であり、かつ、文書管理装置７の記憶部２６８にイメージログ保存できるだけの記憶領域が確保されていること、つまりイメージログの記憶部２６８への転送が可能であることを、画像形成装置５における出力処理許可の条件としているのである。
【０２０３】
イメージログの記憶部２６８への転送が可能でなければ、現在指定されている記憶部２６８へはイメージログを保存できないので、記憶制御部２６２は、ログ保存先切替部２４６と協働して、イメージログ保存できるだけの記憶領域が確保されている別の記憶部２６８（自装置内蔵のものもしくは別の文書管理装置７に備えられているもの）を検索する（Ｓ６２２−ＮＯ，Ｓ６２４）。
【０２０４】
イメージログの記憶部２６８への転送が可能である場合には（Ｓ６２６−ＹＥＳ）、一般的な処理と同様にして、たとえば、制御部１００は、ユーザが画像形成装置５を操作して、コピーボタンを押下したのを指示受付部１１０で検知すると（Ｓ６３０）、制御部１００は、画像読取部１０によりコピーされる原稿の画像を読み取らせ、処理画像（原稿画像データ）や付帯情報（ジョブ環境データ）をイメージログとする（Ｓ６３２）。
【０２０５】
一方、イメージログの記憶部２６８への転送が可能である別の記憶部２６８も見つからなければ（Ｓ６２６−ＮＯ）、記憶制御部２６２と制御部１００とは協働して、画像形成装置５における処理を中断させる（Ｓ６２６−ＮＯ，Ｓ６２８）。必要に応じて、エラーメッセージを表示部１２０に表示すればよい。
【０２０６】
なお、ここでは、自動的に別の記憶部２６８の使用可能性を判断していたが、ユーザに問い合わせて、その時点で使用可能な別の記憶部２６８を保存先にするか、あるいは処理を中断するかなど、動作変更を促すようにしてもよい。
【０２０７】
このような第６実施形態の仕組みによれば、最初に指定されている記憶部２６８へのイメージログの転送が不可能である場合には、特許文献２に記載の仕組みとは異なり、即時に処理を停止するのではなく、その時点で保存可能な他の記憶部２６８の存在を確認するようにした。たとえばログサーバとしての文書管理装置７の反応が無い場合、画像形成装置５内の記憶部２６８や別の文書管理装置７を保存先に切り替えてイメージログを格納したまま以降のジョブを実行することができる。サーバダウンなど、最初に指定されている記憶部２６８が使用できない場合であっても、特許文献２に記載の仕組みとは異なり、別の保存先に切り替えることで、画像形成装置５にて出力処理を実行できるのである。
【０２０８】
＜処理事例；第７実施形態＞
図１１は、画像処理装置２における第７実施形態の処理手順を示すフローチャートである。この第７実施形態は、ログ取得レベル設定部２４２と保存画像選択処理部２４４の機能に着目したもので、ログ取得レベルや生産性を考慮して、保存するイメージログ（特に原稿画像データ）を切り替える点に特徴を有する。
【０２０９】
認証処理時に、登録されたユーザの場合、ログ取得レベル設定部２４２は、その登録されたユーザに対し、ログ取得レベルの指定を受け付ける画面を表示部１２０に表示し、何れの取得レベルを希望するかをユーザに問い合わせる（Ｓ７１２−ＹＥＳ，Ｓ７２０）。
【０２１０】
なお、ここでは、一般ユーザが自由にイメージログの取得レベルを指定できるようにしているが、一般ユーザにはその指定を開放せずに、管理者のみが、そのレベルを指定できるようにしてもよい。
【０２１１】
この取得レベル指定を受けて、イメージログ取得部２４０の保存画像選択処理部２４４は、ログ取得レベル設定部２４２がユーザより受け付けたログ取得レベルに応じて、要求された保存精度や、データ容量や、取得処理の容易性などを考慮して、取り込んだ入力画像データを使用すべきか、それとも画像出力部３０が取り扱う出力画像データを使用すべきか、あるいはその他の中間画像データを使用すべきかを決定する（Ｓ７３２）。
【０２１２】
このような第７実施形態の基本例の仕組みによれば、常に出力画像相当のものをイメージログ用の原稿画像データとして保存するのではなく、ユーザ（管理者であってもよい）が希望するイメージログ取得レベルに応じて、保存対象画像を選択してから保存するようにしたので、ログ保存の精度要求の度合いや取得効率などに応じて、効率的な画像を原稿画像データとして選択することができる。
【０２１３】
たとえば、必ずしも出力画像そのものをイメージログとして保存することが必要でなければ、入力画像を保存用の原稿画像データとすることができる。たとえば、プリントジョブの場合、画像入力端末３（パソコン３ａ）側から入力されるＰＤＬデータそのものをログ保存用の原稿画像データとすれば、原稿画像データ取得に特別の処理が不要であるし、出力画像データで保存するよりも記憶情報量を少なくでき、イメージログの取得効率や格納効率を高めることができる。
【０２１４】
出力画像と同じものをイメージログとして採取し保存するだけでなく、出力画像以外を原稿画像データとして選択可能に構成することで、生産性を落とすことなく、イメージログの取得効率や格納効率を高めることができるのである。
【０２１５】
＜処理事例；第８実施形態＞
図１２は、画像処理装置２における第８実施形態の処理手順を示すフローチャートである。この第８実施形態は、処理タイミング制御部１０２の機能に着目したものであり、イメージログ処理部２００におけるイメージログ取得部２４０によるイメージログ取得処理や記憶制御部２６２による記憶処理部２６０へのイメージログ保存処理のタイミングを、要求されたジョブサービスやシステム構成に応じて制御する点に特徴を有する。
【０２１６】
認証処理時に、登録されたユーザの場合、処理タイミング制御部１０２は、要求されたジョブサービスやその時点のシステム構成がどのようなものになっているかを判断し、ジョブ内容やシステム構成に応じて、より効率的なイメージログの取得・保存手法を決定する（Ｓ８１２−ＹＥＳ，Ｓ８２０）。ここでの「効率的」とは、できるだけスループットの低下が起こらないようにすることを意味している。
【０２１７】
たとえば、画像出力部３０での出力画像処理で画像編集があるか否かを判断する（Ｓ８３０）。たとえばスキャン蓄積ジョブや後処理のないコピージョブが要求されたときには、スキャンや入力データ取得と同時にページごとにイメージログ取得（作成）を行なう（Ｓ８３０−ＮＯ，Ｓ８３１）。これらのジョブ要求は、画像出力部３０による画像加工がないジョブであるので、取り込んだ入力画像を原稿画像データとしても、殆ど出力画像と相違のない原稿画像データとすることができるからである。
【０２１８】
画像出力部３０における出力処理と並行してイメージログを取得し保存する場合、その出力処理に割り込んでログ取得とログ保存とを行なうことになり、スループットの低下が起こり得るが、入力画像を原稿画像データとして使用することで、スループット低下を生じることなく、実質的に出力画像と同じものをイメージログとして採取・保存できる。
【０２１９】
一方、イメージ合成など後処理のあるコピージョブの場合には、後処理後の画像に対して、つまり出力処理と同時・並行的に、イメージログ作成を行なう（Ｓ８３０−ＹＥＳ）。このジョブ要求は、画像出力部３０による画像加工を伴うジョブであるので、取り込んだ入力画像ではなく、画像出力部３０が取り扱う出力画像データを原稿画像データとするのである。ただし、この場合、前述の如く、画像出力部３０における出力処理と並行してイメージログの取得と保存を行なう必要が生じ、スループットの低下が起こり得る。
【０２２０】
そこで、イメージ合成など後処理のあるコピージョブの場合には、さらに、イメージログ作成用のハードウェア回路が画像形成装置５に組み込まれていて使用可能であるか否かを判断するとよい（Ｓ８３２）。たとえば、スキャンと同時にイメージログ作成可能なハードウェア回路が接続されている場合や、印刷と同時にイメージログ作成可能なハードウェア回路が接続されている場合、つまりソフトウェア処理ではなくハードウェア回路を使用したイメージログ取得（作成）が可能であれば（Ｓ８３２−ＹＥＳ）、画像出力部３０での出力画像処理と並行して、出力画像と同等のイメージログを、そのハードウェア回路で生成して出力されたものを原稿画像データに利用するように切り替える（Ｓ８２３）。
【０２２１】
ハードウェア回路を使用できないときは、スループット低下を許容する場合にはソフトウェア処理で、出力処理と同時並行的にイメージログの取得や保存を行なう、あるいは、スループット低下が許容されない場合には、出力画像との相違があるものの、入力画像データを原稿画像データとしてもよい（Ｓ８３２−ＮＯ，Ｓ８３４）。何れにするかをユーザに問い合わせるようにしてもよい。
【０２２２】
このような第８実施形態の基本例の仕組みによれば、常に出力画像データを原稿画像データとするのではなく、イメージログの取得手法や保存手法を、処理対象ジョブやシステム構成に応じて調整するようにしたので、なるべく出力画像と同じものをイメージログとして採取・保存しつつ、生産性（スループット）を落とさないようにすることができる。
【０２２３】
＜処理事例；第９実施形態＞
図１３は、画像処理装置２における第９実施形態の処理手順を示すフローチャートである。この第９実施形態は、隠し情報処理部２５８の機能に着目したものであり、透かしや埋込情報などの隠し情報が重畳されている隠し印刷物を処理対象画像とする場合には、その隠し情報を本来の画像と分離して、分離した画像を原稿画像データとするとともに、分離した隠し情報をジョブ環境データに含めるようにする点に特徴を有する。
【０２２４】
認証処理後に、画像読取部１０にて画像を読み取って、読み取った原稿に基づく画像を画像出力部３０にて複写・印刷してコピー出力させる際（Ｓ９３０）、画像読取部１０は、出力画像の色種や解像度に合わせて精度を低下させて読み取るのではなく、持っている最大能力で原稿を読み取る。そして、隠し情報処理部２５８は、その原稿に隠し情報が存在するか否かを判断する（Ｓ９３１）。なお、画像読取部１０が読み取った画像を解析して隠し情報の存在を判断してもよいが、ユーザからの指定を受け付けてもよい。
【０２２５】
隠し情報が存在する場合（Ｓ９３１−ＹＥＳ）、隠し情報処理部２５８は、その隠し情報を本来の画像と分離して、分離して残った画像を原稿画像データとするとともに、分離した隠し情報をコード情報（たとえば文字情報）に変換してジョブ環境データに含める（Ｓ９３２，９３３）。
【０２２６】
たとえば、カラーで隠し情報（カラーでの透かしなど）が埋め込まれたカラー原稿を読み取って白黒出力するコピー出力ジョブが指定された場合に、画像出力部３０が取り扱う白黒出力画像をログ保存用の原稿画像データとすると、その原稿画像データ（イメージログ）では、カラーの隠し情報が消失してしまう。
【０２２７】
この問題の対処として、本実施形態では、画像読取部１０ではカラーモードで画像を読み取り、隠し情報処理部２５８では、その読み取った情報から隠し情報を分離し、記憶処理部２６０では、原稿画像データの付加データとして、隠し情報を添付して保存する。
【０２２８】
あるいは、付加情報が高解像度のドットパターンや階調パターンで埋め込まれている場合のように、高解像度で隠し情報が埋め込まれた原稿（カラー／白黒は不問）を処理対象として低解像度で出力する出力ジョブ（コピー出力やプリント出力）が指定された場合に、画像出力部３０が取り扱う低解像度出力画像をログ保存用の原稿画像データとすると、その原稿画像データ（イメージログ）では、高解像度の隠し情報が消失してしまう。
【０２２９】
この問題の対処として、本実施形態では、コピー出力時には、画像読取部１０では持っている最大解像度で画像を読み取り、また隠し情報処理部２５８では、取得した画像情報（画像読取部１０が読み取ったものやプリントジョブで描画展開されるもの）から隠し情報を分離し、記憶処理部２６０では、原稿画像データの付加データとして、隠し情報を添付して保存する。
【０２３０】
何れの場合にも、このように、隠し情報を分離して文字情報などに変換して原稿画像データと関連させて保存する手法を採ることで、保存された原稿画像データ自体には隠し情報が存在しないが、対応付けて保存されているジョブ環境データから隠し情報を取り出して検索や閲覧に供することができるようになる。
【図面の簡単な説明】
【０２３１】
【図１】イメージログシステムの構成例を示す図である。
【図２】画像処理装置の基本構成を示す機能ブロック図である。
【図３】第１実施形態の基本例の処理手順を示すフローチャートである。
【図４】第１実施形態に対する変形例の処理手順を示すフローチャートである。
【図５】第２実施形態の処理手順を示すフローチャートである。
【図６】第３実施形態の処理手順を示すフローチャートである。
【図７】第４実施形態の処理手順を示すフローチャートである。
【図８】第５実施形態の基本例の処理手順を示すフローチャートである。
【図９】第５実施形態の変形例の処理手順を示すフローチャートである。
【図１０】第６実施形態の処理手順を示すフローチャートである。
【図１１】第７実施形態の処理手順を示すフローチャートである。
【図１２】第８実施形態の処理手順を示すフローチャートである。
【図１３】第９実施形態の処理手順を示すフローチャートである。
【符号の説明】
【０２３２】
１…画像形成システム（イメージログシステム）、２…画像処理装置、３…画像入力端末、５…画像形成装置、７…文書管理装置、８…閲覧装置、９ａ…ログ管理ＮＷ、１０…画像読取部、１５…ユーザインタフェース部、１７…カード読取部、２０…コントローラ部、３０…画像出力部、１００…制御部、１０２…処理タイミング制御部、１１０…指示受付部、１２０…表示部、１３０…通信インタフェース部、２００…イメージログ処理部、２４０…イメージログ取得部、２４２…ログ取得レベル設定部、２４３…ログ開示レベル調整部、２４４…保存画像選択処理部、２４５…精度調整処理部、２４６…ログ保存先切替部、２４７…暗号化処理部、２４８…鍵読出部、２５０…認証処理部、２５２…暗号化権設定部、２５６…ログ作成拒否権設定部、２５８…隠し情報処理部、２６０…記憶処理部、２６２…記憶制御部、２６４…ログ開示レベル受付部、２６６…保存可否確認部、２６７…保存通知部、２６８…記憶部、２６８ａ…原稿データ保存領域、２６８ｂ…ジョブ環境データ領域、２６８ｃ，２６８ｄ…作業領域、２６９…ログデータベース、２８０…イメージログ閲覧処理部、２８２…ログ読出部、２８４…調査処理部、２８６…復号化処理部、２８８…通知制御部、２９０…認証処理部、２９２…ログ開示レベル設定部
【技術分野】
【０００１】
本発明は、画像形成装置における処理履歴を画像（イメージ）として保存するイメージログ機能を有する画像処理装置に関する。
【背景技術】
【０００２】
画像形成装置の高性能化や高機能化されている今日、この画像形成装置で出力された画像による情報漏洩や不正使用が問題となってきている。たとえば、読み取った原稿データを所定の記憶領域に保存するように構成されている高機能の装置では、他人が複写した原稿データを出力することができ、また、データそのものを他の記憶媒体に保存して持ち出すこともできてしまう。また、高解像度のカラー画像形成装置では、たとえば有価証券や紙幣などの偽造が問題となっている。
【０００３】
このような問題の解決要求に対して、たとえば、紙出力された後については、その出力ルートを追跡可能とする仕組みが提案されている（特許文献１，２を参照）。この仕組みは、基本的には、印刷媒体への画像出力操作を行なう都度、入力画像もしくは出力画像を保存し、また必要に応じて、さらに出力した日時、ユーザ名、場所など、その画像の出力ジョブに関するデータ（ジョブ環境データ）を画像に関連させて保存しておくことで、後からの追跡を可能とするものである。
【０００４】
【特許文献１】特開平６−２７０４７７号公報
【特許文献２】特開２００４−２０８０４８号公報
【０００５】
たとえば、特許文献１に記載の仕組みは、このような仕組みの基本的な構成を示しており、どのような画像が印刷されたかを履歴（イメージログ）として残すべく、印刷出力した画像そのものを履歴として装置側の記憶装置に保存しておく。つまり、全ての印字データを同等に記憶装置に記録するように構成している。その画像履歴を検索すれば、不正使用などで問題となった印刷物の出力先である画像形成装置の機種名、製造番号、設置場所などを特定することができる。
【０００６】
また、特許文献２に記載の仕組みでは、印刷履歴としてのイメージログを保存する記憶装置をサーバ（イメージログサーバと称する）として持つ仕組みにおいて、印刷出力する際に、たとえばイメージログサーバと接続可能でかつサーバに空き領域があるなど、原稿および環境情報のサーバへの転送を可能とする条件を満たしている場合に限って印刷出力を許可し、条件を満たしていないときには印刷を禁止するようにしている。機密書類などを印刷出力する際に、出力する画像データと印刷出力に関する環境情報とが、イメージログサーバに保存可能な状態でのみ印刷出力を許可することで、出力された機密書類を確実に特定可能としている。
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、特許文献１，２に記載の仕組みでは、イメージログ作成・保存の段階でイメージログに対するアクセスポリシーを管理することが困難である。たとえば、出力画像と同等の状態でイメージログを保存すると、出力処理対象の元画像に対するアクセスポリシー（セキュリティポリシー）と、イメージログに対するアクセスポリシーとを同一にできない事態が起こり得る。たとえば、出力処理対象の元画像が、他人には一切閲覧されたくない重要文書であっても、ログサーバの管理者であれば、通常アクセスできないその重要文書を、イメージログとして閲覧できてしまう。
【０００８】
また、特許文献１，２に記載の仕組みでは、少なくとも出力画像そのものを履歴として残すので、常に出力画像と同等の精度でイメージログを採取することができるが、採取効率や格納効率の面では、効率的でないことも起こり得る。
【０００９】
また、出力画像と同等のものをイメージログとして取得して保存しようとすると、通常の出力処理にその取得処理や保存処理を割り込ませる必要が生じ、どのタイミングでこれらの処理を割り込ませるかによってスループット（生産性）の低下が起こり得る。
【００１０】
また、処理対象画像に隠し情報が埋め込まれている場合に、出力画像に十分な精度がなければ、出力画像と同等のものをイメージログとして取得して保存すると、隠し情報が消失してしまい、検索や閲覧時に支障を来たすことがある。
【００１１】
また、特許文献１に記載の仕組みでは、使用者に悟られることなく印刷出力と同時に印刷した画像そのものの履歴を残しておくようにしているが（同文献の段落３３を参照）、使用者に悟られないようにイメージログを保存することは、必ずしも効果的でない。
【００１２】
また、特許文献２に記載の仕組みでは、通信不可でログサーバがダウンしていると、必ず出力処理が禁止されてしまうので、どうしても出力させたい場合には問題となる。
【００１３】
本発明は、上記事情に鑑みてなされたものであり、上述した問題の内、イメージログ作成・保存の段階でイメージログに対するアクセスポリシーを管理することのできる仕組みを提供することを目的とする。
【００１４】
また、さらに好ましくは、上述した問題の内の残りの少なくとも１つをも解決することのできる仕組みを提供することを目的とする。
【課題を解決するための手段】
【００１５】
本発明に係る第１の画像処理装置は、保存されたイメージログの画像を閲覧したときに、処理対象画像を一目では推測不能な状態に処理対象画像を加工する画像加工部を備えるものとし、画像加工部で加工された画像をイメージログの画像として保存するようにした。出力画像と同等レベル（品質）でイメージログ画像を保存するのではなく、暗号化やその他の画像加工（編集）技術を利用して元の処理対象画像を一見しては推測できないような画像に加工してから保存することで、イメージログを介した情報漏洩を防止する趣旨である。
【００１６】
本発明に係る第２の画像処理装置は、保存されたイメージログの開示レベル（開示対象のユーザレベル）を調整するログ開示レベル調整処理部を備えるものとした。保存されたイメージログを誰でもが検索・閲覧できるようにするのではなく、開示対象のユーザレベルを設定可能にすることで、処理対象画像の重要度合いに応じて開示対象者を制限できるようにする趣旨である。
【００１７】
本発明に係る第３の画像処理装置は、保存されるイメージログの開示レベルを調整するログ開示レベル調整処理部と、ログ開示レベル調整処理部により調整されたログ開示レベルに応じてイメージログの保存先を切り替えるログ保存先切替部とを備えるものとした。それぞれ管理レベルの異なる保存先が用意されているときには、常に同じ保存先に保存するのではなく、ユーザの希望するログ開示レベルに応じた最適な保存先を選択できるようにすることで、処理対象画像の重要度合いに応じて開示対象者を制限できるようにする趣旨である。
【００１８】
また従属項に記載された発明は、本発明に係る画像処理装置のさらなる有利な具体例を規定する。
【００１９】
たとえば、本発明に係る第４の画像処理装置は、イメージログ機能の使用可否の選択権限を設定するログ作成拒否権設定部をさらに備えるものとし、ログ作成拒否権設定部により選択権限が設定されているユーザに対してのみイメージログ機能の使用可否を選択可能にするようにした。常にイメージログを保存するのではなく、ユーザの希望によって、具体的には処理対象画像の重要度合いに応じてログ保存機能を解除できるようにするのであるが、この際、誰でもがログ保存機能を解除できるようにすると、本来の目的が達成されないので、機能解除可能なユーザレベルを設定可能にする趣旨である。
【００２０】
また、本発明に係る第５の画像処理装置は、保存されるイメージログの取得レベルを調整するログ取得レベル調整処理部とログ取得レベル調整処理部により調整されたログ取得レベルに応じて処理対象画像の品質を調整して保存用の画像とする画像品質調整部とをさらに備えるものとした。常に出力画像と同等の品質でログ保存するのではなく、ユーザの希望するログ取得レベルに応じて保存品質を調整可能にすることで格納効率を向上させる趣旨である。
【００２１】
また、本発明に係る第６の画像処理装置は、出力用の画像以外の入力画像や中間画像をイメージログ用の画像に選択する保存画像選択処理部をさらに備えるものとした。常に出力画像と同等の画像をログ保存するのではなく、保存対象の画像をユーザの希望によって、入力画像や中間画像などを任意に選択可能にすることでログの取得効率や格納効率を向上させる趣旨である。
【００２２】
また、本発明に係る第７の画像処理装置は、保存しようとするイメージログの保存先が保存可能な状態であるか否かを確認する保存可否確認部と、保存可否確認部の確認結果が保存可能な状態でない旨を示している場合には、保存可能な他の保存先を検索して保存先に設定するログ保存先切替部とをさらに備えるものとした。ログ保存先が通信不良や容量不足などによりログ保存が不可能な状態のときには、即時に出力処理を中止するのではなく、保存可能な他の保存先を検索して保存するようにすることで、可能な限り処理を中止させないようにする趣旨である。
【００２３】
また、本発明に係る第８の画像処理装置は、処理対処ジョブやシステム構成に応じてイメージログの取得と保存のタイミングを調整する処理タイミング制御部をさらに備えるものとした。ログ取得や保存のタイミングを固定するのではなく、処理対処ジョブやシステム構成に応じて任意に調整可能にすることで、スループットを向上させる趣旨である。
【００２４】
また、本発明に係る第９の画像処理装置は、処理対処画像に埋め込まれている隠し情報を画像と分離する隠し情報処理部をさらに備えるものとし、隠し情報処理部により分離された隠し情報を画像と対応付けてイメージログとして保存するようにした。処理対処画像の出力画像をログ保存すると消失してしまうような隠し情報を、画像から分離した隠し情報として、画像は別にログ保存することで、イメージログを読み出して、検索や閲覧に利用できるようにする趣旨である。
【００２５】
また、本発明に係る第１０の画像処理装置は、イメージログを保存する旨を通知する保存通知部をさらに備えるものとした。使用者に悟られることなくイメージログを保存するのではなく、ログ保存する旨や保存している旨を積極的に通知することで、不正使用の抑止効果を得る趣旨である。
【発明の効果】
【００２６】
本発明に係る第１の画像処理装置によれば、暗号化技術などを利用して元の処理対象画像を一見しては推測できないような画像に加工してから保存するようにしたので、イメージログ作成・保存の段階でイメージログに対するアクセスポリシーを管理することができ、イメージログを介した情報漏洩を確実に防止することができる。
【００２７】
たとえば、暗号化してログ保存する場合、監査者が持っている暗号鍵を利用して暗号化を行なうので、復号鍵がないと復号できず、実質的には、監査者しか復号できないので、イメージログの安全性を高めることができる。重要文書の出力処理時には暗号化するように設定することで、管理者であっても、イメージログを復号できず、イメージログを介した重要文書の閲覧を制限できる。
【００２８】
また、暗号化してログ保存する場合、ユーザが持っている暗号鍵を利用して暗号化を行なうので、復号鍵がないと復号できず、実質的には、ジョブを実行した本人しか復号できないので、イメージログの安全性を高めることができる。重要文書の出力処理時には暗号化するように設定することで、管理者であっても、イメージログを復号できず、イメージログを介した重要文書の閲覧を制限できる。
【００２９】
ただし、この場合、監査者もイメージログを復号できない問題があり、この場合、管理者により暗号化を行なう権限をもったユーザを登録し、権限のあるユーザのみが暗号化を行なうことができるようにすることで、信頼できないユーザに対する監査を強化することができる。
【００３０】
本発明に係る第２の画像処理装置によれば、ログ開示レベルを設定可能にしたので、第１の画像処理装置と同様に、イメージログ作成・保存の段階でイメージログに対するアクセスポリシーを管理することができる。たとえば、処理対象画像の重要度合いに応じて開示対象者を制限でき、元画像に対するアクセスポリシーとイメージログに対するアクセスポリシーとを同等にすることができる。
【００３１】
本発明に係る第３の画像処理装置によれば、ユーザの希望するログ開示レベルに応じて最適な保存先を選択できるようにしたので、第２の画像処理装置と同様に、イメージログ作成・保存の段階でイメージログに対するアクセスポリシーを管理することができる。イメージログに対するアクセスポリシーを制御することができるので、元画像に対するアクセスポリシーとイメージログに対するアクセスポリシーとを同等に調整することができるようになる。
【００３２】
本発明に係る第４の画像処理装置によれば、所定レベルのユーザに対してはイメージログ機能の使用可否を選択できるようにしたので、処理対象画像の重要度合いに応じてログ保存機能を解除することで、イメージログを介した情報漏洩を防止することができる。たとえば、重要な文書は、イメージログを介した情報漏洩が起きないように、イメージログを取得・保存しないといった運用ができる。
【００３３】
本発明に係る第５の画像処理装置によれば、ユーザの希望するログ取得レベルに応じてイメージログの保存品質を調整可能にしたので、ログの格納効率を向上させることができる。
【００３４】
本発明に係る第６の画像処理装置によれば、入力画像や中間画像など出力画像以外のものを任意に選択してログ保存可能にしたので、ログの取得効率や格納効率を向上させることができる。
【００３５】
本発明に係る第７の画像処理装置によれば、指定したログ保存先が使用不可能な状態のときには、保存可能な他の保存先を検索して保存するようにしたので、可能な限り出力処理を中止させないようにすることができる。
【００３６】
本発明に係る第８の画像処理装置によれば、処理対処ジョブやシステム構成に応じてログ取得・保存のタイミングを調整するようにしたので、スループットの低下を引き起こさないタイミングでログ取得・保存を行なうことで、イメージログ機能と生産性を両立させることができる。
【００３７】
本発明に係る第９の画像処理装置によれば、処理対処画像に隠し情報が埋め込まれている場合には、画像と隠し情報とを分離し、別々にログ保存するようにしたので、保存した画像では隠し情報が消失してしまっても、別に保存した隠し情報を読み出すことができ、画像における隠し情報消失の影響を排除できる。
【００３８】
本発明に係る第１０の画像処理装置によれば、イメージログを保存する旨を通知するようにしたので、不正使用の抑止効果を得ることができる。
【発明を実施するための最良の形態】
【００３９】
以下、図面を参照して本発明の実施形態について詳細に説明する。
【００４０】
＜システム構成＞
図１は、画像形成装置とイメージログを保存するイメージログサーバとがネットワーク接続されてなる画像形成システム（イメージログシステム）の構成例を示す図である。
【００４１】
画像形成システム１は、画像を読み取ったり、読み取った画像に基づいて印刷処理を行なったり、クライアント端末から受け取った印刷データに基づいて印刷処理を行なったりする画像出力端末としての画像形成装置５と、この画像形成装置５の操作履歴をイメージログとして保存（記録）する記憶装置を具備したイメージログサーバとしての文書管理装置７と、文書管理装置７に記憶されているイメージログを閲覧するための管理者端末としての閲覧装置８とが、ネットワーク９の一例であるログ管理ＮＷ（NetWork ）９ａにより接続されて構成されている。
【００４２】
なお、図では、画像形成装置５、文書管理装置７、閲覧装置８の何れもが１つで構成されているが、実際には、それぞれを複数配置してもよい。また、文書管理装置７と閲覧装置８とをログ管理ＮＷ９ａで接続しているが、ログ管理ＮＷ９ａを介さずに直接に接続することで情報処理サーバとして事実上一体的に構成してもよい。
【００４３】
また、この画像形成システム１では、イメージログを保存する記憶装置を画像形成装置５の外部に設けられたサーバ機能をなす文書管理装置７に用意しているが、このようなサーバ機能を持つ構成に限らず、イメージログを保存する記憶装置を画像形成装置５に内蔵もしくは外付けで用意してもよい。また、装置に実装のユーザインタフェース部１５の操作パネルや別体のユーザインタフェース装置の表示デバイス（たとえばＣＲＴや液晶）にてイメージログを閲覧可能に構成することで、画像形成装置５と閲覧装置８とを一体化させることもできる。
【００４４】
画像形成装置５は、本体に設けられているユーザインタフェース機器からのユーザ操作や、ネットワーク上の画像入力端末からの開始指示でジョブを起動可能になっている。
【００４５】
たとえば、画像形成装置５には、各種の画像入力端末３が接続され、処理対象のデータが入力されるようになっている。たとえば、画像入力端末３は、デジタルドキュメント（以下単にドキュメントという）ＤＯＣを作成し、また編集などの処理をする、たとえばパソコン（パーソナルコンピュータ）３ａ、カラースキャナ３ｂ、デジタルカメラ３ｃ、またはハードディスク装置や光磁気ディスク装置あるいは光ディスク装置などのドキュメントボックスとして機能するデータ格納装置３ｄ、さらにはＦＡＸ装置３ｅなど、任意数の画像入力ソースを含み得る。また、インターネット上のＷｅｂサーバ３ｆも、画像形成装置５に対してホームページなどのデジタルドキュメントを入力する画像入力ソースとなり得る。
【００４６】
たとえば、カラースキャナ３ｂやデジタルカメラ３ｃは、ＩＥＥＥ（Institute of Electrical and Electronics Engineers, Inc. ；米国電気電子学会）１３９４規格やＵＳＢ（Universal Serial Bus）２．０規格で画像形成装置５と接続する。
【００４７】
画像入力端末３のそれぞれには、ドキュメントＤＯＣ作成用のアプリケーションプログラムなどが組み込まれる。たとえば、画像入力端末３側にて用意されるドキュメントＤＯＣを表す電子データは、画像形成装置５で処理可能な画像フォーマット（たとえば、ＪＰＥＧ、ＢＭＰ、ＰＮＧなど）で記述される。
【００４８】
またたとえば、パソコン３ａで作成された文書ファイルは、たとえばプリンタなどで印刷出力するために、図形、文字などの拡大、回転、変形などが自由に制御できるページ記述言語（ＰＤＬ：Page Description Language ）で記載されたデータとして画像形成装置５に送られる。このＰＤＬデータを受け取った画像形成装置５は、印刷前に出力単位ごと（１ページごと）に画像データをレンダリング（描画展開）してから画像出力部（プリンタエンジン部）にラスタデータを出力する。
【００４９】
画像形成装置５は、たとえば複写機能、ページプリンタ機能、およびファクシミリ送受信機能を備えたいわゆる複合機（マルチファンクション機）で、デジタルプリント装置として構成されている。
【００５０】
この画像形成装置５は、大まかに、原稿を読み取る画像読取部１０、入力された画像データに対して所望の画像処理を施す画像処理機能と端末全体の動作を制御する制御機能とを備えたコントローラ部２０、およびコントローラ部２０からの画像データに基づいて所定の出力媒体に可視画像を形成して出力する画像出力部３０、および内蔵の給紙トレイ（図では３段構成）あるいは手差しトレイの内の何れかから出力媒体としての印刷用紙を画像出力部３０に搬送する給紙部８０を備える。
【００５１】
また画像形成装置５は、接続ケーブルやネットワークを介して画像入力端末３や文書管理装置７や閲覧装置８に接続可能になっている。たとえば、ＣＳＭＡ／ＣＤ（Carrier Sense Multiple Access with Collision Detection）型ＬＡＮ（Local Area Network；たとえばＩＥＥＥ８０２．３）やギガビット（Giga Bit）ベースのＬＡＮ（以下纏めて有線ＬＡＮという）によりパソコン３ａなどの画像入力端末３に接続される。なお、有線ＬＡＮは、無線ＬＡＮにすることもできる。
【００５２】
あるいは一般加入電話網（ＰＳＴＮ：Public Switched Telephone Network ）やＩＳＤＮ(Integrated Switched Digital Network )などの通信ＮＷ９ｂを介してＦＡＸ装置３ｅなどの画像入力端末３に接続される。なお、通信ＮＷ９ｂに代えてインターネットを含む他の通信媒体を利用してファクシミリをやり取りするいわゆるＰＣ−ＦＡＸを行なうようにしてもよい。
【００５３】
また、画像形成装置５は、たとえばＩＥＥＥ（Institute of Electrical and Electronics Engineers, Inc. ；米国電気電子学会）１３９４規格のデバイスやＵＳＢ（Universal Serial Bus）２．０規格のデバイスなどとも接続可能となっており、これらのデバイスからデジタル画像データを受け付けることもできる。あるいは、これらデバイスを介してリモートで画像形成装置５を制御することもできるようになっている。
【００５４】
このような構成により、画像形成装置５は、前述のように、画像読取部１０にて読み取った画像の印刷機能すなわち複写機能に限らず、接続ケーブルを介してパソコン３ａなどの画像入力端末３から取得した文書データやデータ格納装置３ｄに保存されている画像ファイルなどに基づいて画像を印刷するいわゆるプリント機能や、電話回線やその他の通信インタフェースを介して取得したＦＡＸデータやその他の画像データに基づいて印刷出力する機能も備えるようになる。
【００５５】
画像読取部１０は、プラテンカバーの機能も備え、原稿を図示しない読取台（プラテンガラス）上の読取位置まで搬送し排紙する循環機能のないドキュメントフィーダ（ＡＤＦ（自動原稿搬送）装置）１２と、装置使用のためのガイダンス情報や所定の情報処理結果や管理情報などを表示する操作パネル部やオペレータからの装置に対する種々の指示入力を受け付けるための操作キー部を有するユーザインタフェース（ＵＩ）部１５とを有している。操作パネル部１５ａの下部であって装置の前面側には、ユーザ認証を行なうためのＩＤカードやその他のＩＣカードを読み取るカード読取部１７が設けられている。
【００５６】
なお、操作パネル部や操作キー部に代えて、あるいはこれらとともに使用される大型ユーザインタフェースあるいはメンテナンス画面を備えたユーザインタフェース装置を設けてもよい。
【００５７】
画像出力部３０は、画像形成ユニット３２（両面複写ユニットを含んでいてもよい）と、通常の搬送用紙（記録済用紙）が排出される複数の排紙トレイを具備した排出部３６とを有する。
【００５８】
画像形成ユニット３２は、画像読取装置１０にて得られた画像信号により表される画像を、電子写真式、感熱式、熱転写式、インクジェット式、あるいは同様な従来の画像形成処理を利用して、普通紙や感熱紙上に可視画像を形成する（印刷する）すなわち複写する。このため、画像形成ユニット３２は、たとえば画像形成装置５をデジタル印刷システムとして稼働させるためのラスタ出力スキャン（ＲＯＳ）ベースのプリントエンジンを備える。
【００５９】
画像形成装置５に内蔵の処理基板には、画像出力部３０用の処理部（特に画像処理部や制御部）だけでなく、コントローラ部２０の画像処理機能部や画像形成装置５全体の種々の処理をするための回路が搭載される。たとえば、画像形成装置５内に構築された資源であるドキュメントフィーダ１２、ユーザインタフェース部１５、画像読取部１０の図示しない画像読取ユニット（スキャナ部）、画像形成ユニット３２、排出部３６、あるいは給紙部８０などを制御する回路が搭載される。この処理基板には、半導体製の記憶媒体が搭載され、たとえば、複写アプリケーション、プリンタアプリケーション、ファクシミリ（ＦＡＸ）アプリケーション、あるいは他のアプリケーション用の処理プログラムが格納される。
【００６０】
画像読取部１０は、画像入力端末の機能を備えており、たとえばＣＣＤ固体撮像素子の全幅アレイを使用して、読取位置へ送られた原稿に光を照射することで、原稿上の画像を読み取り、この読み取った画像を表す赤、緑、青のアナログビデオ信号をデジタル信号へ変換し、コントローラ部２０の画像処理機能部へ送る。
【００６１】
このようにして、読取りが完了すると、コントローラ部２０の画像処理機能部は、画像読取部１０からの赤、緑、青の画像データＲ，Ｇ，Ｂに基づいて、ブラック（Ｋ）、イエロー（Ｙ）、マゼンタ（Ｍ）、シアン（Ｃ）のオンオフ２値化トナー信号を得、各トナー信号を画像出力部３０に出力する。
【００６２】
この画像読取装置１０の読み取りに同期して、用紙が複数（Ａ４，Ｂ４，Ａ３）の給紙トレイの内の何れかから画像出力部３０へ給紙されると、画像出力部３０の画像形成ユニット３２は、その用紙の一方の面に、コントローラ部２０の画像処理機能部から送られたＫ，Ｙ，Ｍ，Ｃのトナー信号に基づいて可視画像を形成する。
【００６３】
また、画像形成装置５は、本実施形態特有の構成として、イメージログ機能実現のシステム構成次第では、イメージログデータを生成するイメージログ取得部２４０や、生成されたイメージログを所定の記憶媒体に保存する記憶処理部２６０や、記憶処理部２６０からイメージログを読み出して検索処理を行ない、イメージログそのものや検索過程や検索結果などを所定の表示デバイスに表示させてユーザに提示するイメージログ閲覧処理部２８０を備えることもある。
【００６４】
また、装置に実装のユーザインタフェース部１５の操作パネルや別体のユーザインタフェース装置の表示デバイス（たとえばＣＲＴや液晶）にてイメージログを閲覧可能に構成することで、画像形成装置５と閲覧装置８とを一体化させることもできる。
【００６５】
文書管理装置７は、画像形成装置５から送信されたイメージログを保存し、また閲覧装置８からの要求に応じて、保存しておいたイメージログを閲覧装置８に送付する。
【００６６】
閲覧装置８は、文書管理装置７に保存されているイメージログをユーザに提示するだけでなく、イメージログを使って、画像の出所追跡調査処理を行なうことができるようになっている。
【００６７】
なお、閲覧装置８には、ユーザ認証を行なうためのＩＤカードやその他のＩＣカードを読み取るカードリーダ８ａが接続可能となっている。
【００６８】
＜画像処理装置の基本構成例＞
図２は、イメージログを文書管理装置７に保存し操作履歴を検索するための機能部分に注目した、画像形成装置５、文書管理装置７、および閲覧装置８などの画像処理装置の基本構成を示す機能ブロック図である。
【００６９】
先にも説明したが、イメージログ機能を実現するに当たり、イメージログを保存する記憶装置を何処に設けるかは自由であり、また、イメージログを作成し、またイメージログを記憶装置に記憶させ読み出して閲覧させるための各種の機能部分も、何処に設けるかも自由である。
【００７０】
以下の説明では、各機能部が何処に設けられるかを問わず、システム全体として、イメージログ機能を実現する画像処理装置として記述する。
【００７１】
図示するように、イメージログ機能を実現する画像処理装置２は、当該画像処理装置２の全体動作を制御する制御部１００と、当該画像処理装置２の操作指示を受け付ける指示受付部１１０と、操作メニューを表示したり装置の動作状態や各種の情報を表示したりする表示部１２０と、ネットワークとのインタフェース機能をなす通信インタフェース部１３０とを備えている。
【００７２】
また、画像処理装置２は、本実施形態特有の構成として、イメージログ機能を実現するイメージログ処理部２００を備えている。イメージログ処理部２００は、イメージログデータを生成するイメージログ取得部２４０と、生成されたイメージログを所定の記憶媒体に保存する記憶処理部２６０とを有する。画像形成装置５にイメージログ保存用の記憶処理部２６０を内蔵するシステム構成とする場合、イメージログ取得部２４０と記憶処理部２６０との間のデータ転送はシステムバスを介して行なってもよいし、直接に行なってもよい。
【００７３】
記憶処理部２６０は、大容量のイメージログ保存に対応したものであるのか、小容量のイメージログ保存にのみ対応したものであるのか、と言った、サーバの管理レベルを異なるものとすることができる。
【００７４】
また、イメージログ処理部２００は、記憶処理部２６０からイメージログを読み出して検索処理を行ない、イメージログそのものや検索過程や検索結果などを所定の表示デバイスに表示させてユーザに提示するイメージログ閲覧処理部２８０を備える。
【００７５】
イメージログ取得部２４０は、画像読取部１０によって読み取られた読取画像データや画像入力端末３から受け取った印刷画像データなどの入力画像データや画像出力部３０で出力処理に使用した出力画像データやその他の中間画像データなどを、画像履歴保存の対象となる原稿画像データとする。
【００７６】
また、イメージログ取得部２４０は、処理対象のジョブを特定するジョブ情報、画像形成装置５にて画像を出力した日時、操作者を特定するユーザ特定情報、画像形成装置５の設置場所、使用した画像形成装置５を特定する装置情報、イメージログの開示レベルなど、その画像の出力ジョブに関するジョブ環境データを取得する。イメージログ取得部２４０により取得され記憶処理部２６０に保存される原稿画像データとそれに付帯するジョブ環境データとを纏めてイメージログと称する。
【００７７】
ユーザ特定情報は、出力ジョブを発行したユーザに固有の情報であって、たとえばユーザ認証機能を使って取得するユーザ名そのものであってもよいし、ジョブ発行元のクライアント装置名（画像入力端末３を特定する情報）、そのＩＰ（Internet Protocol ）アドレス、ログインユーザ名、ドキュメント名、ジョブ実行先となる装置名などを利用することもできる。
【００７８】
装置情報は、たとえばメーカー名、機種番号、製造番号（シリアルナンバー）、あるいは、その装置のＩＰ（Internet Protocol ）アドレスなどを利用することができる。
【００７９】
またイメージログ取得部２４０は、本実施形態特有の構成として、以下に説明する機能部分を備えている。たとえば、イメージログ取得部２４０は、イメージログの取得レベルをユーザにより設定可能とするログ取得レベル設定部（ログ取得レベル調整処理部の一例）２４２と、保存されるイメージログの開示レベルを調整するログ開示レベル調整部２４３と、ログ保存用の原稿画像データを選択する保存画像選択処理部２４４と、保存画像選択処理部２４４により選択された画像の精度を調整する精度調整処理部２４５と、イメージログの送出先の記憶処理部２６０を切り替えるログ保存先切替部２４６を備えている。
【００８０】
保存画像選択処理部２４４は、ログ保存用の原稿画像データを取得するに当り、ログ取得レベル設定部２４２にて設定されたログ取得レベルに応じて、保存精度や、データ容量や、取得処理の容易性などを考慮して、入力画像データを使用すべきか、出力画像データを使用すべきか、あるいはその他の中間画像データを使用すべきかを判断する。保存対象のイメージログ選択を利用することで、イメージログ作成・保存の段階でイメージログに対するアクセスポリシーを管理することもできる。
【００８１】
たとえば、画像出力部３０による出力結果物とほぼ同じ状態のイメージログを保存する必要のある場合には、出力画像データを使用する必要があるが、その要求がない場合には、保存画像選択処理部２４４は、入力画像データや中間画像データの中からより効率のよいものを選択する。たとえば、プリントジョブに関してはＰＤＬデータなどの入力画像データそのものをログ保存用の原稿画像データとする。出力画像データに比べると記憶情報量が少なく、イメージログの格納を効率よく実行できる。
【００８２】
また、精度調整処理部２４５は、ログ取得レベル調整処理部としてのログ取得レベル設定部２４２により調整されたログ取得レベルに応じて、処理対象画像の品質を調整して保存用の画像とする画像品質調整部の一例である。
【００８３】
この精度調整処理部２４５は、ログ取得レベル設定部２４２にて設定されたログ取得レベルに応じて、たとえばイメージログ（特に原稿画像データ）の精度を調整する。高精度な状態でイメージログを保存する必要がある場合には大容量を必要とする高精度な状態での保存を可能とし、低精度な状態でイメージログを保存してもよければ、小容量で済む低高精度な状態での保存を可能とするのである。
【００８４】
たとえば、精度調整処理部２４５は、大容量を必要とするカラー画像とするのか、小容量で済む白黒画像とするのかを調整する、あるいは、大容量を必要とする高解像度とするのか、小容量で済む低解像度とするのかを調整する。これらを組み合わせてもよい。ログ取得レベルに応じてイメージログの情報量を調整可能にすることで、イメージログの採取や格納を効率よく実行することができる。
【００８５】
また、ログ開示レベル調整部２４３は、保存されるイメージログの開示レベルを調整するべくイメージログの開示レベルを取得し、そのログ開示レベルをログ保存先切替部２４６に通知する。ログ保存先切替部２４６は、そのログ開示レベルに応じて、イメージログの送出すべきログ保存先（自装置の記憶部２６８もしくは外部のログサーバである文書管理装置７）を選択する。
【００８６】
こうすることで、ログ保存先切替部２４６は、ログ開示レベル調整部２４３により調整されたログ開示レベルに応じて、イメージログの保存先を切り替えることができるようになり、イメージログ作成・保存の段階でイメージログに対するアクセスポリシーを管理することができる。たとえば、ログ開示レベルにより、管理状態の異なるログサーバにイメージログを送出することにより、イメージログの安全レベルを切り替えることができる。
【００８７】
ここで、管理状態の異なるログサーバとは、たとえば、管理者のレベルが異なるものや、物理的配置が異なるものが考えられる。管理者のレベルが異なるものとしては、たとえば、管理レベルの低い方はグループ内で指名された管理者、管理レベルの高い方は会社レベルで管理を役割とする部門の管理下が該当する。また、物理的配置が異なるものとしては、居室内、サーバルーム、外部管理会社などが該当する。
【００８８】
また、イメージログ取得部２４０は、入力画像データや出力画像データを暗号化し、この暗号化済の画像データを画像履歴保存の対象となる原稿画像データとする、あるいはジョブ環境データを暗号化し、この暗号化済のジョブ環境データを履歴保存の対象となるジョブ環境データとする暗号化処理部２４７を有する。
【００８９】
暗号化処理部２４７は、イメージログとして保存される原稿画像データを入力画像や出力画像とは異なる状態の画像に変換する画像加工部（画像変換部）の一例であり、原稿画像データを入力画像や出力画像とは異なる状態の画像に加工することで、イメージログ作成・保存の段階でイメージログに対するアクセスポリシーを管理し、セキュリティ性能を高めることのできるものであればよい。
【００９０】
たとえば、閲覧者が保存されたイメージログを閲覧したときに、元の処理対象画像を一目では判読（推測）不可の状態にするものであればよく、画像加工（画像変換）の仕組みは、暗号化に限定されるものではない。ただし、復元処理や解読困難性などを考慮すれば、暗号化処理を画像加工処理として使用するのが好ましく、特に、公開鍵方式を使用すれば、よりセキュリティ性能を高めることができる。
【００９１】
なお、暗号化処理部２４７は、ログ取得レベル設定部２４２を設ける構成の場合、ログ取得レベル設定部２４２にて設定されたログ取得レベルに応じて、イメージログ取得部２４０により精度調整された後のイメージログ（特に原稿画像データ）に対して暗号化処理を施す。暗号処理を利用することで、イメージログ作成・保存の段階でイメージログに対するアクセスポリシーを管理することができる。
【００９２】
暗号化処理部２４７は、たとえば自己生成した秘密鍵を利用する暗号化方式を採ることもできるし、公開鍵を読み出す鍵読出部２４８を設けることで、公開鍵（ＰＫＩ；Public Key Infrastructure ）を利用した暗号化方式を採ることもできる。何れの方式も公知の技術であるので、ここでは詳細な説明を割愛する。
【００９３】
またイメージログ取得部２４０は、画像形成装置５の仕様を希望するユーザのユーザ認証を行なう認証処理部２５０と、認証処理部２５０が特定したユーザに対して暗号化処理部２４７を使用した暗号化処理の使用選択権限、すなわち暗号化の使用権限を与えることを設定する暗号化権設定部（画像加工化権設定部の一例）２５２とを有している。
【００９４】
暗号化権設定部２５２に対するアクセスは、一般ユーザは不可として、ある特定の者のみがアクセスして、暗号化処理の使用選択権限を設定可能にしておく第１の態様を採ることができる。たとえば、ユーザが鍵管理を行ない、イメージログ対象となるジョブを実行したユーザしか復号できないようにする、つまり、無差別に暗号化を許すと、暗号鍵の破棄などにより、暗号化されたイメージログの復号が困難となり、監査ができなくなってしまう可能性が出てくるが、監査を管理する者が暗号化の鍵管理を行なうようにすることで、この問題を解消することができる。
【００９５】
また、暗号化権設定部２５２は、暗号化処理の使用選択権限を特定の者のみが設定可能にしておく第１の態様の場合、認証処理部２５０により特定された者が暗号化の権限を有している場合のみ、イメージログ取得部２４０により取得されたイメージログの暗号化処理部２４７による暗号化を許可する。
【００９６】
たとえば、部門を管理する人、もしくは監査を行なう人が、鍵を管理する方法を採る。これにより、たとえば、ＰＫＩ方式で、監査を行なう人が秘密鍵を管理し、公開鍵で暗号化することで、イメージログの復号は、ログサーバを管理する者とは異なる監査を行なう者に限定することができる。
【００９７】
あるいは、暗号化権設定部２５２に対するアクセスを一般ユーザに自由に許可して、暗号化処理の使用選択権限をユーザが自由に設定可能にしておく第２の態様を採ることもできる。つまり、暗号化の鍵管理を一般ユーザに任せる。こうすることで、暗号化処理に対応しているシステム構成とする場合、基本的に（初期設定）は、暗号化機能を使うように初期設定しておく。
【００９８】
ユーザが鍵管理を行なうことで、イメージログ対象となるジョブを実行したユーザしか復号できないようにすることができ、イメージログ作成・保存の段階でイメージログに対するアクセスポリシーを管理することができるようになり、セキュリティ性能を確保することができる。
【００９９】
すなわち、暗号化処理の可否を変更可能なのを一般ユーザに広く許可するものとしておけば、ユーザが持っている暗号鍵を使用して暗号化を行なうので、その暗号鍵に対応した復号鍵が無いと復号できず、実質的に、出力ジョブを実行した当該ユーザ（本人）しか復号できないので、イメージログの安全性を高めることができる。これによって、管理者であれば、通常アクセスできない文書もイメージログとして閲覧できてしまうという問題を解消することができるのである。また、不正使用の解析時には、ユーザ（本人）の許可による復号の後に、保存したイメージログを利用した検索ができる。
【０１００】
一方、たとえば、管理者によるイメージログ閲覧を起因とする情報漏洩や不正使用の心配がない画像の出力時には、暗号化処理を割愛してイメージログを保存することで、処理の高速化や記憶情報量（通常は暗号化すると情報量が増える）の低減などを図ることができるようにする。また、不正使用の解析時には、保存したイメージログを利用した検索を可能にしておくことができる。
【０１０１】
また、イメージログ取得部２４０は、認証処理部２５０により特定された各ユーザに対してイメージログ作成の拒否権限を設定するログ作成拒否権設定部２５６を有している。 イメージログ取得部２４０は、たとえば認証処理部２５０により特定されたユーザがログ作成拒否権設定部２５６を介してイメージログ作成の拒否権限が設定されている場合のみ、イメージログ取得部２４０により取得されたイメージログの記憶処理部２６０への保存機能の使用有無を選択できるようにする。
【０１０２】
なお、ログ作成拒否権設定部２５６に対するアクセスはユーザは不可とし、管理者などのある特定の者のみがアクセスして、イメージログ作成の拒否権限を設定可能にしておくのがよい。ユーザレベルに応じてイメージログの取得レベルを変更可能なように構成しておくのである。誰でもがメージログ作成の拒否権限を設定可能にするとログ作成を解除した不正使用が問題となるからである。
【０１０３】
こうすることで、たとえば、システム構成上は、基本的には、イメージログ保存機能を使用する、さらに好ましくは暗号化機能も使うことを初期設定にしておき、不正使用の解析時には、保存したイメージログを利用した検索を可能にしておくことができる。不正使用の虞れのある一般ユーザには、イメージログの取得レベル変更を許可しないことで、イメージログを確実に保存するようにする。
【０１０４】
一方、不正使用の虞れのない特定ユーザに対してはイメージログ保存機能の使用拒否権限を与え、ユーザの希望によってイメージログ記録を解除できるようにする。これにより、ユーザの判断で「重要な文書はイメージログを保存しない」と言った運用が可能となる。重要文書が、イメージログを介して漏洩し、あるいは不正使用される現象を防止することができる。また、ログ保存を割愛することで、イメージログ採取効率や格納効率を高めることもできる。
【０１０５】
たとえば、ログ記録機能を解除できない場合、「重要文書のログ記録」を割愛したいとユーザが希望しても、それができず、また、イメージログが暗号化されずに記録される状態では、管理者によって、そのイメージログが閲覧されてしまう問題が懸念される。これに対して、本態様では、信頼のおけるユーザに対してログ記録機能の使用有無を設定可能にしておくことで、ユーザ自身が文書の重要度合いに応じてイメージログを保存するか否かを設定できるので、前述の問題を解消できるのである。
【０１０６】
また、イメージログ取得部２４０は、処理対象文書に重畳されている透かしや埋込情報などの隠し情報を抽出し、原稿画像データに添付するジョブ環境データの一部とする隠し情報処理部２５８を有している。隠し情報が重畳されている文書が複写もしくは印刷されたときに、装置の処理能力不足により、その隠し情報が消失した状態でイメージログが保存されることへの対処である。
【０１０７】
記憶処理部２６０は、イメージログ保存を制御する記憶制御部２６２と、イメージログに関するデータを保持するハードディスク装置や半導体製の記憶媒体を持つ１つもしくは複数の記憶部２６８とを具備する。
【０１０８】
また、記憶処理部２６０は、 通知制御部２８８によるイメージログの開示レベルをユーザより受け付けるログ開示レベル受付部２６４と、記憶部２６８の空き領域や通信可否を確認する保存可否確認部２６６と、イメージログを記憶部２６８に保存している旨をユーザに通知する保存通知部２６７とを備えている。
【０１０９】
記憶制御部２６２は、イメージログを記憶部２６８に保存する際に、ログ開示レベル受付部２６４にてイメージログの開示レベルがユーザから指定された際には、その開示レベルの情報をジョブ環境データに含める。
【０１１０】
記憶部２６８は、画像読取部１０によって読み取られた読取画像データや画像入力端末３から受け取った印刷画像データなどの入力画像データや画像出力部３０で出力処理に使用した出力画像データなどの原稿画像データそのものを記憶する原稿データ保存領域２６８ａと、出力した日時、ユーザ名、場所など、その画像の出力ジョブに関するジョブ環境データを保存するジョブ環境データ領域２６８ｂとを具備し、両者を対応付けて保存するログデータベース２６９を有する。
【０１１１】
また、画像形成装置５側に設けられる記憶部２６８は、画像読取部１０により読み取られた読取画像や通信インタフェース部１３０を介して取得した印刷画像データなどの入力画像データや、入力画像データに基づく出力画像データを印刷出力する際の操作時のジョブ環境データを一時的に記憶する出力用の作業領域（中間データ保存領域）２６８ｃを有する。
【０１１２】
また、文書管理装置７側に設けられる記憶部２６８には、画像形成装置５から受信したイメージログ（原稿画像データとジョブ環境データ）を一時的に保存する保存用の作業領域（受信データ保存領域）２６８ｄを有する。
【０１１３】
記憶制御部２６２は、画像形成装置５もしくは文書管理装置７に設けられる記憶部２６８のログデータベース２６９へのログ保存が完了すると、作業領域２６８ｃ，２６８ｄに一時的に保存したデータを消去させる。
【０１１４】
また、保存可否確認部２６６は、記憶制御部２６２が記憶部２６８へのデータ保存を制御する際に、記憶部２６８のログデータベース２６９に、原稿画像データとジョブ環境データとを保存できるだけの空き領域があるか否かを判定し、その判定結果を記憶制御部２６２に通知する。
【０１１５】
記憶制御部２６２は、空き領域がないときには、他の記憶部２６８（自装置の他のものであってもよいし他の文書管理装置７であってもよい）を利用可能であるか否かを確認し、他の記憶部２６８を利用できるか否かに応じて、画像形成装置５での出力処理許可を制御可能になっている。画像形成装置５と文書管理装置７とを別体とする際には、双方の記憶制御部２６２が協働してこの制御を行なう。
【０１１６】
また、画像形成装置５と文書管理装置７とを別体とする際には、保存可否確認部２６６は、さらに、双方間での通信が可能であるか否かを判定し、その判定結果を記憶制御部２６２に通知する。記憶制御部２６２は、通信可能か否かに応じて、画像形成装置５での出力処理許可を制御する。通信不可の場合、記憶処理部２６０の空き領域がないときと同様の対処を行なう。
【０１１７】
なお、空き領域がないあるいは通信不可のためイメージログ保存先の記憶処理部２６０を変更する必要が生じた場合、ユーザにその旨を通知して、その時点で使用可能な記憶処理部２６０の何れを保存先にするか、あるいは処理を中止するかをユーザ選択可能としてもよい。
【０１１８】
イメージログが記憶部２６８のログデータベース２６９に適切に保存可能である場合、記憶制御部２６２はその旨を制御部１００に通知する。これを受けて、制御部１００は、画像形成装置５での出力処理を許可する。
【０１１９】
また、画像形成装置５での出力処理を禁止した際には、記憶制御部２６２はその旨を制御部１００に通知する。これを受けて、制御部１００は、その後の操作を禁止する旨のエラーメッセージをユーザインタフェース部１５にてユーザに通知する。
【０１２０】
制御部１００は、処理タイミング制御部１０２を有している。処理タイミング制御部１０２は、イメージログ処理部２００におけるイメージログ取得部２４０によるイメージログ取得処理や記憶制御部２６２による記憶処理部２６０へのイメージログ保存処理のタイミングを、要求されたジョブサービスやシステム構成に応じて制御する。
【０１２１】
イメージログ機能の実現のためにイメージログの取得や保存を行なうには、当該機能を行なわない通常処理に割り込んで、これらの処理を行なわなければならないので、どのタイミングでこれらの処理を割り込ませるかによってスループットの低下が起こり得る。
【０１２２】
このため、処理タイミング制御部１０２は、要求サービスやシステム構成に応じて、できるだけスループットの低下が起こらないように、イメージログを作成・保存するタイミングを変更するのである。
【０１２３】
イメージログ閲覧処理部２８０は、記憶処理部２６０に保存されているイメージログを読み出すログ読出部２８２と、ログ読出部２８２が読み出したイメージログを使って画像マッチング（画像検索処理）や出所追跡調査処理などを行なう調査処理部２８４と、ログ読出部２８２が読み出したイメージログや調査処理部２８４により得られた調査結果やその他の関連情報を調査担当者（操作者）に通知する所定の表示デバイス（表示部１２０）に表示させる通知制御部２８８とを有している。
【０１２４】
なお、イメージログ取得部２４０に暗号化処理部２４７を持つ場合、イメージログ閲覧処理部２８０には、調査処理部２８４と復号化処理部２８８との間に、暗号化処理部２４７に対応した復号化処理部２８６を持つ構成とする。
【０１２５】
また、イメージログ閲覧処理部２８０は、ログ閲覧ユーザのユーザ認証を行なう認証処理部２９０と、通知制御部２８８によるイメージログの開示レベルを設定可能とするログ開示レベル設定部２９２とを有している。本実施形態の場合、記憶処理部２６０側のログ開示レベル受付部２６４とログ開示レベル設定部２９２とで、保存されたイメージログの開示レベルを調整するログ開示レベル調整処理部が構成される。
【０１２６】
画像形成装置５と閲覧装置８を一体化させたシステム構成の場合、認証処理部２５０と認証処理部２９０とを１つの機能部を共用する構成とすることができる。閲覧装置８を操作するログ閲覧ユーザ（たとえば調査担当者や管理者）に対しては、予めユーザ登録時に、イメージログ開示レベルを追加設定しておく。
【０１２７】
イメージログを記憶処理部２６０に保存しておくことで、画像形成装置５を特定する手掛かりを残しておくことができ、不正印刷が行なわれた際に、調査処理部２８４にて、イメージログを使って容易にどの画像形成装置で出力されたかを特定することができる。
【０１２８】
たとえば、調査処理部２８４は、情報がどのようにして漏れたかを考慮し、該当する箇所の画像形成装置について画像マッチングにより画像履歴検索を行なう。そして、該当する印刷物の画像内容がイメージログ中から検索されると、そのイメージログに添付のジョブ環境データから使用装置や不正印刷された時刻やユーザを推測し、その調査情報を通知制御部２８８に通知する。通知制御部２８８は、該当のイメージログや関連する調査情報を、たとえば表示部１２０にて表示する。あるいは印刷出力する。
【０１２９】
調査担当者は、その表示情報と印刷物とを目視で照合し、最終判断を行なうことができる。犯人を追跡するに当たり、ユーザ情報がジョブ環境データに添付されていなかったとしても、ジョブ情報や出力時間情報を参照して、画像形成装置の利用者を推定することで、可能性のある人物を特定できる。
【０１３０】
また、ログ読出部２８２が読み出したイメージログにログ開示レベルが設定されている場合、ログ開示レベル設定部２９２は、認証処理部２９０を介して取得されるログ閲覧ユーザのイメージログ開示レベルと記憶部２６８から読み出したイメージログに添付のジョブ環境データから抽出されるイメージログ開示レベルとを照合し、両者の開示レベル度合いに応じて通知制御部２８８を制御することで、ログ閲覧希望者へのイメージログの提示レベルを制御する。これにより、イメージログ作成・保存の段階でイメージログに対するアクセスポリシーを管理することができる。たとえば、同レベルのみにしか閲覧できないようにしてもよいし、上位互換を採用して、同レベル以下にしか閲覧できないようにしてもよい。
【０１３１】
また、暗号化（復号化）に対応したシステム構成では、ログ開示レベル設定部２９２は、両者の開示レベル度合いに応じて、復号化処理部２８６を制御することで復号化を許可するか否かを決定してもよい。この場合、たとえば、同レベルのみにしか復号化を許可しないようにしてもよいし、上位互換を採用して、同レベル以下にしか復号化を許可しないようにしてもよい。復号化を許可しないものについては、復号化せずに閲覧させてもよいし（つまり未復号の閲覧を許可する）、未復号の閲覧自体をも禁止してもよい、つまり、イメージログを暗号化して保存したときには、開示レベルに応じたイメージログのみを復号して開示する。
【０１３２】
こうすることで、画像形成装置５側で処理した画像（文書）のアクセスポリシー（開示レベル）と、閲覧装置８側で提示されるイメージログに対するアクセスポリシー（開示レベル）とを同一もしくは上位互換とすることができる。よって、たとえば、画像形成装置５を使って印刷物を出力する際に、管理者に対してもイメージログの開示を禁止するように開示レベルを設定しておけば、管理者であっても、閲覧装置８にて、その文書の印刷出力に関するイメージログを閲覧できない。管理者によるイメージログを介した情報漏洩を防止することができる。
【０１３３】
一方、たとえば、管理者や調査担当者によるイメージログ閲覧を起因とする情報漏洩や不正使用の心配がない画像の出力時には、管理者などに対しては開示を許可し、その他の一般ユーザに対しては開示を禁止するレベル設定をしておくことで、一般ユーザによる不正使用の解析時には、保存したイメージログを利用した検索ができる。
【０１３４】
なお、図示した画像処理装置２は、後述する各種実施形態の全てに対応可能な万能装置として示したが、必ずしも、上記で説明した各機能部分を全て備えている必要はなく、実施形態によっては不要な機能部分も存在する。
【０１３５】
なお、制御部１００を始めとする各種の機能部は、ハードウェア処理回路により構成することに限らず、その機能を実現するプログラムコードに基づき電子計算機（コンピュータ）を用いてソフトウェア的に実現することも可能である。
【０１３６】
よって、イメージログ機能を実現する画像処理装置２を、電子計算機（コンピュータ）を用いてソフトウェアで実現するために好適なプログラムあるいはこのプログラムを格納したコンピュータ読取可能な記憶媒体を発明として抽出することもできる。
【０１３７】
電子計算機に一連のイメージログ機能をソフトウェアにより実行させる場合には、そのソフトウェアを構成するプログラムが、専用のハードウェアに組み込まれているコンピュータ（組込マイコンなど）、あるいは、ＣＰＵ（Central Processing Unit ）、論理回路、読出専用の記憶部であるＲＯＭ（Read Only Memory）、随時書込みおよび読出しが可能であるとともに揮発性の記憶部の一例であるＲＡＭ（Random Access Memory）、あるいは不揮発性の記憶部の一例であるＲＡＭ（ＮＶＲＡＭと記述する）を始めとする記憶装置などの機能を１つのチップ上に搭載して所望のシステムを実現するＳＯＣ（System On a Chip：システムオンチップ）、または、各種のプログラムをインストールすることで各種の機能を実行することが可能な汎用のパーソナルコンピュータなどに、記録媒体からインストールされる。
【０１３８】
＜処理事例；第１実施形態；基本例＞
図３は、画像処理装置２における第１実施形態の基本例の処理手順を示すフローチャートである。なお、ここでは、画像形成装置５、文書管理装置７、および閲覧装置８が、図１に示したように、別体のもので、ログ管理ＮＷ９ａによりネットワーク接続されているシステム構成であるとして説明する。後述する他の実施形態でも同様である。
【０１３９】
第１実施形態は、暗号化権設定部２５２の機能に着目したものであり、認証処理部２５０によって特定されたユーザが暗号化の権限を有している場合のみイメージログ取得部２４０で取得されるイメージログの暗号化を許可する点に特徴を有している。特に、基本例は、暗号化処理の使用可否の権限設定を変更可能なのはシステム管理者のみとしている点に特徴を有する。
【０１４０】
先ず、システム管理者は、ユーザ登録時に、暗号化権設定部２５２により、各ユーザについて、暗号化処理部２４７を使用した暗号化処理の使用選択権限（暗号化処理を使用するか否かの選択権限）を設定しておく（Ｓ１００）。
【０１４１】
そして、画像形成装置５に電源が投入され所定の初期化処理が終了して動作が可能な状態で、何らかの操作をする場合には、装置使用を希望するユーザは、認証処理部２５０にアクセスして、ユーザＩＤを入力することでユーザ認証を行なう（Ｓ１１０）。認証処理部２５０は、ユーザより入力されたユーザＩＤが、画像形成装置５に登録されたユーザであるか否かを判定する（Ｓ１１２）。このユーザ認証の手法は、公知の様々な手法を適用できる。ここでは、その詳細説明を割愛する。
【０１４２】
認証処理部２５０は、登録されたユーザでなければ、その旨のエラーメッセージを表示部１２０の画面に表示して処理を終了する（Ｓ１１２−ＮＯ，Ｓ１１４）。
【０１４３】
一方、登録されたユーザの場合、暗号化権設定部２５２は、その登録されたユーザに対して、暗号化処理の使用選択権限が付与されているか否かを判定する（Ｓ１１２−ＹＥＳ，Ｓ１２０）。暗号化処理の使用選択権限のあるユーザであれば、暗号化権設定部２５２は、暗号化する／しないを選択する画面を表示部１２０に表示し、何れを希望するかをユーザに問い合わせ、選択結果に対応した動作を行なう（Ｓ１２０−ＹＥＳ，Ｓ１２２）。
【０１４４】
たとえば、暗号化権設定部２５２は、ユーザが暗号化処理の使用を希望する旨を入力すると、暗号化処理部２４７に暗号化処理を許可する（Ｓ１２２−ＹＥＳ，Ｓ１２４）。一方、暗号化処理の使用が許可されていないユーザの場合や（Ｓ１２０−ＮＯ）、ユーザが暗号化処理の使用を希望しない旨を入力すると（Ｓ１２２−ＮＯ）、暗号化処理を行なわないように暗号化処理部２４７を制御する（Ｓ１２６）。
【０１４５】
以下、一般的な処理と同様にして、たとえば、制御部１００は、ユーザが画像形成装置５を操作をしてコピーボタンを押下したのを指示受付部１１０を介して検知するなどジョブ開始指示を受け付けると（Ｓ１３０）、制御部１００は、画像読取部１０によりコピーされる原稿の画像を読み取らせ、処理画像（原稿画像データ）や付帯情報（ジョブ環境データ）をイメージログとする（Ｓ１３２）。
【０１４６】
記憶制御部２６２は、画像読取部１０により読み取られた原稿画像データを記憶部２６８の作業領域２６８ｃに保存し、またこの原稿に対するジョブ環境データを作業領域２６８ｃに保存する（Ｓ１３４）。なお、暗号化処理が設定されているときには（Ｓ１２２−ＹＥＳ，Ｓ１２４）、暗号化済のイメージログを作業領域２６８ｃに保存しておく。
【０１４７】
この後、制御部１００は、画像出力部３０にて、読み取った原稿に基づく画像を複写・印刷してコピー出力させることで、要求された出力ジョブを完了させる（Ｓ１３６）。
【０１４８】
コピー出力処理が完了すると、記憶制御部２６２は、作業領域２６８ｃに保存しておいた保存用のイメージログ（原稿画像データとジョブ環境データ）を読み出して、文書管理装置７に通信インタフェース部１３０を介して送信する（Ｓ１４０）。送信が正常に終了したら、記憶制御部２６２は、送信済のイメージログデータを、作業領域２６８ｃから削除する（Ｓ１４８）。
【０１４９】
文書管理装置７は、通信インタフェース部１３０を介して画像形成装置５からイメージログを受信する（Ｓ１５０）。記憶制御部２６２は、受信したイメージログ（暗号化済の場合もある）を原稿画像データとジョブ環境データの別に、ログデータベース２６９の原稿データ保存領域２６８ａとジョブ環境データ領域２６８ｂとに対応付けて保存する（Ｓ１５８）。
【０１５０】
このとき、保存通知部２６７は、使用者に悟られることなくイメージログを保存するようにするのではなく、イメージログを保存する旨のメッセージをユーザインタフェース部１５にてユーザに通知する（Ｓ１５９）。ログ保存を行なっている（イメージログ送出中である）ことを積極的にユーザに通知する（分からせる）ことで、機密文書の不正印刷や紙幣の偽造印刷などの不正出力の抑止効果を得ることができる。
【０１５１】
閲覧装置８から、イメージログの読出要求があると、そのイメージログを閲覧装置８に送信する（Ｓ１６１）。
【０１５２】
閲覧装置８にて、イメージログの検索要求や閲覧要求などのログ読出要求があった際に（Ｓ１６０−ＹＥＳ）、イメージログが暗号化されているときには（Ｓ１６２−ＹＥＳ）、暗号鍵に対応した復号鍵を使用して復号してから（Ｓ１６４）、検索や閲覧に供する（Ｓ１６６）。暗号鍵に対応した復号鍵を持っていない者は復号できないのは言うまでもない。
【０１５３】
なお、上記説明では、暗号化処理を画像形成装置５側で行なうようにしていたが、暗号化未処理のイメージログと暗号鍵とを対応付けて文書管理装置７側に送信し、文書管理装置７にて暗号化処理を行なってから、暗号化済のイメージログを作業領域２６８ｃに保存するようにしてもよい。
【０１５４】
こうすることで、システム管理者によって暗号化の使用を許可されているユーザに限って、そのユーザは、出力処理対象のイメージログを暗号化して文書管理装置７に保存させることができる。暗号化してからイメージログとして保存することで、出力画像と同等の状態ではなく、異なる状態でイメージログを保存するのである。
【０１５５】
イメージログを暗号化して保存する場合、通常は、出力処理を行なったユーザが持つ復号鍵が無いと復号できず、実質的に、ジョブを実行した本人しか復号できないので、イメージログの安全性を高めることができる。
【０１５６】
特に本例の場合、認証処理部２５０によって、ユーザ情報を管理できるようにしており、そのユーザ情報の１つとして暗号化処理使用可否の選択権限がある。そして、その暗号化処理の使用可否の選択権限設定を変更可能なのはシステム管理者のみとしている。これより、後述する変形例に対して、信頼できないユーザに対して監査を強化できる利点がある。
【０１５７】
＜処理事例；第１実施形態；変形例＞
図４は、画像処理装置２における第１実施形態に対する変形例の処理手順を示すフローチャートである。
【０１５８】
この第１実施形態に対する変形例は、暗号化処理の使用可否を一般ユーザが自由に設定できるようにしている点で、第１実施形態の基本例と異なる。
【０１５９】
先ず、システム管理者は、暗号化処理を使用するか否かの選択権限に関与することはなく、基本例で示した暗号化処理の使用選択権限設定処理（Ｓ１００）を割愛する。また、登録されたユーザに対して、暗号化処理の使用選択権限が付与されているか否かの判定処理（Ｓ１２０）も割愛する。
【０１６０】
ユーザ認証時に、登録されたユーザの場合、暗号化権設定部２５２は、暗号化する／しないを選択する画面を表示部１２０に表示し、何れを希望するかをユーザに問い合わせ、選択結果に対応した動作を行なう（Ｓ１１２−ＹＥＳ，Ｓ１２２）。以下、基本例と同様である。
【０１６１】
こうすることで、システム管理者が関与することなく、ユーザは、暗号化処理を使用するか否かを自由に設定できる。たとえば、システム管理者にさえもイメージログを介した実質的な文書閲覧を許可させたくない場合、暗号化を設定することで、出力処理対象のイメージログを暗号化して文書管理装置７に保存させることができる。通常、復号鍵を持たないシステム管理者は復号できないのでイメージログを介した文書閲覧ができない。システム管理者による権限設定を関与させることなく、システム管理者に対しても、セキュリティ性能を確実に高めることができる。
【０１６２】
＜処理事例；第２実施形態＞
図５は、画像処理装置２における第２実施形態の処理手順を示すフローチャートである。この第２実施形態は、鍵読出部２４８の機能に着目したものであり、暗号化方式として、公開鍵方式を使用する点に特徴を有している。これに対応して、暗号化処理を画像形成装置５側で行なうのではなく、文書管理装置７側にて行なってから、暗号化済のイメージログを作業領域２６８ｃに保存する。
【０１６３】
ここで、暗号化未処理のイメージログと暗号鍵とを対応付けて文書管理装置７側に送信し、文書管理装置７にて暗号化処理を行なう場合、暗号鍵のセキュリティが問題となる。この問題を解消する技術として、第２実施形態では、公開鍵方式を使用している。以下具体的に説明する。
【０１６４】
画像形成装置５には、カード読取部１７が設けられていて、ＩＣカードリーダ機能を有している。もちろん、画像形成装置５と別体のＩＣカードリーダを接続する構成としてもよい。コピーやファックス送信時には、ユーザは、自分のユーザＩＤカードをカード読取部１７に挿入してユーザ認証を行なうが（Ｓ２１０）、この際には、さらに暗号化用の公開鍵が添付されている暗号化用のＩＣカードも挿入して、その公開鍵を読み取らせる（Ｓ２１１）。なお、公開鍵なので、ユーザＩＤカードから読み出されるユーザ情報に公開鍵の情報を設定しておいてもよい。
【０１６５】
コピー出力処理が完了すると、記憶制御部２６２は、作業領域２６８ｃに保存しておいた暗号化未処理のイメージログ（原稿画像データとジョブ環境データ）を読み出して、通信インタフェース部１３０に渡す。
【０１６６】
このとき、鍵読出部２４８は、暗号化が設定されていて（Ｓ２２２−ＹＥＳ，Ｓ２２４）、たとえばＩＣカードや認証処理部２５０を介して取得されるユーザ管理情報より公開鍵を読み出すことができたときには、公開鍵を通信インタフェース部１３０に渡す。通信インタフェース部１３０は、公開鍵をイメージログとともに文書管理装置７に送信する（Ｓ２４０）。送信が正常に終了したら、記憶制御部２６２は、送信したイメージログデータや公開鍵の情報を作業領域２６８ｃから削除する（Ｓ２４８）。
【０１６７】
イメージログに公開鍵を添付して文書管理装置７に送ることで、文書管理装置７にては暗号化処理を行なうモードが設定されることになる。たとえば、暗号化用のＩＣカードが挿入されずに出力指示があった場合など、鍵読出部２４８が公開鍵を読み出せないときには、暗号化処理のないモードとなる。
【０１６８】
文書管理装置７は、通信インタフェース部１３０を介して画像形成装置５からイメージログと公開鍵とを受信する（Ｓ２５０）。イメージログ取得部２４０は、必要に応じてイメージログの原稿画像データに対してＯＣＲ（Optical Character Reader）などの画像処理を行なう（Ｓ２５２）。
【０１６９】
この後、イメージログに公開鍵が添付されていたときには、暗号化処理部２４７は、イメージログの全情報を公開鍵を使用して暗号化する（Ｓ２５３−ＹＥＳ，Ｓ２５４）。
【０１７０】
記憶制御部２６２は、イメージログを原稿画像データとジョブ環境データの別に、ログデータベース２６９の原稿データ保存領域２６８ａとジョブ環境データ領域２６８ｂとに対応付けて保存する（Ｓ２５８）。もちろん、暗号化処理部２４７にて暗号化したときには、暗号化済のものを保存する。
【０１７１】
閲覧装置８にて、イメージログの検索要求や閲覧要求があった際には（Ｓ２６０−ＹＥＳ）、イメージログが暗号化されているときには（Ｓ２６２−ＹＥＳ）、認証処理部２９０は、公開鍵が添付されているＩＣカードがカードリーダ８ａに挿入されると（Ｓ２６３−ＹＥＳ）、公開鍵に対応する復号鍵を取得し、その復号鍵を使用して復号してから（Ｓ２６４）、検索や閲覧に供する（Ｓ２６６）。
【０１７２】
このような第２実施形態の仕組みによれば、公開鍵方式を利用して暗号化処理を行なうことができるので、暗号鍵を画像形成装置５から文書管理装置７に送り文書管理装置７にて暗号化処理を行なう場合であっても、セキュリティ性能を高めることができる。もちろん、通常であれば復号鍵を取得できないシステム管理者に対しては、復号されていないイメージログを提示することで、イメージログを介した文書閲覧を制限できるので、セキュリティ性能を確実に高めることができる。
【０１７３】
また、ＩＣカード内に設定された公開鍵情報を、デバイス側で取得して、ログサーバ（本例では文書管理装置７）側で利用する仕組みとしているが、デバイス側で取得した公開鍵情報をログサーバに送付しないと、ログサーバでＯＣＲを行なう場合に、その後の暗号化のためにユーザ固有の鍵が使えない、あるいは予めログサーバに利用するユーザの公開鍵情報設定しておかなければならないことが問題となる。しかしながら、第２実施形態では、イメージログと公開鍵を受け取り、イメージログに対してＯＣＲ処理を行なった後に、イメージログおよび画像処理結果を公開鍵を使用して暗号化するようにしているので、ユーザ固有の鍵で暗号化でき、そのユーザしか復号できず、イメージログ安全性が上がる。
【０１７４】
なお、実装上で考えた場合、ＯＣＲ機能は画像形成装置５上で行なうよりもサーバ上で行なう方が有利な場合が多くある。たとえば、サーバ用のＯＳ（Operating Systems ）に対応したＯＣＲ機能の方が充実し、進化も早い。サーバの方が高価なＣＰＵを使い易いなどの利点がある。ただし、構成として考えれば、デバイス側でＯＣＲをかけてからデバイス側で暗号化することや、手間はかかるが、サーバ側に予め、ユーザの公開鍵を格納しておく方法など、様々な方法を採ることが考えられる。
【０１７５】
＜処理事例；第３実施形態＞
図６は、画像処理装置２における第３実施形態の処理手順を示すフローチャートである。この第３実施形態は、ログ開示レベル受付部２６４とログ開示レベル設定部２９２の機能に着目したものであり、イメージログに開示レベルが設定されているときには、その開示レベルに応じたイメージログのみを閲覧希望者に提示する点に特徴を有する。
【０１７６】
コピー出力処理が完了すると、ログ開示レベル受付部２６４は、イメージログの開示レベルを受け付ける画面を表示部１２０に表示し、どのレベルの者にイメージログの開示を許可するかを受け付ける（Ｓ３３８）。ログ開示レベル受付部２６４は、受け付けた開示レベルの情報を記憶制御部２６２に通知する。
【０１７７】
記憶制御部２６２は、作業領域２６８ｃに保存しておいた保存用のイメージログ（原稿画像データとジョブ環境データ）を読み出して、文書管理装置７に通信インタフェース部１３０を介して送信する（Ｓ３４０）。この際、記憶制御部２６２は、ログ開示レベル受付部２６４にてイメージログの開示レベルがデフォルト（開示レベル設定無し）以外に指定された際には、その開示レベルの情報をジョブ環境データに含める（Ｓ３４２）。送信が正常に終了したら、記憶制御部２６２は、送信済のイメージログデータを、作業領域２６８ｃから削除する（Ｓ３４８）。
【０１７８】
閲覧装置８にて、イメージログの検索要求や閲覧要求があった際に（Ｓ３６０−ＹＥＳ）、ログ読出部２８２が読み出したイメージログにログ開示レベルが設定されている場合（Ｓ３６１−ＹＥＳ）、ログ開示レベル設定部２９２は、認証処理部２９０を介して取得されるログ閲覧希望ユーザのイメージログ開示レベルと記憶部２６８から読み出したイメージログに添付のジョブ環境データから抽出されるイメージログ開示レベルとを照合し、両者の開示レベル度合いに応じて、開示処理の準備をする（Ｓ３６４）。
【０１７９】
たとえば、暗号化（復号化）に対応したシステム構成の場合、記憶処理部２６０は、暗号化処理部２４７にて暗号化された後のイメージログを記憶部２６８に保存するようにしておき、イメージログ閲覧処理部２８０では、開示レベルに応じて、復号しての提示が許可されるイメージログのみを復号して開示する。
【０１８０】
このような第３実施形態の仕組みによれば、ユーザは、イメージログ開示レベルを設定できるので、画像形成装置５側で処理した文書の開示レベルと、閲覧装置８側で提示されるイメージログに対する開示レベルとを同一もしくは上位互換とすることができる。
【０１８１】
＜処理事例；第４実施形態＞
図７は、画像処理装置２における第４実施形態の処理手順を示すフローチャートである。この第４実施形態は、ログ作成拒否権設定部２５６の機能に着目したものであり、各ユーザに対してイメージログ作成の拒否権限を与え、認証処理部２５０により特定されたユーザがイメージログ作成の拒否権限を持っている場合のみ、イメージログ作成の有無を選択可能にする点に特徴を有する。
【０１８２】
先ず、システム管理者は、ユーザ登録時に、ログ作成拒否権設定部２５６により、各ユーザについて、イメージログ作成を拒否できるか否かの選択権限（ログ作成拒否権限）を設定しておく（Ｓ４００）。
【０１８３】
そして、ユーザ認証時に、登録されたユーザの場合、イメージログ取得部２４０は、その登録されたユーザに対して、ログ作成拒否権限が付与されているか否かを判定する（Ｓ４１２−ＹＥＳ，Ｓ４２０）。ログ作成拒否権限のないユーザであれば、通常通りイメージログを取得してログ保存を行なうように設定する（Ｓ４２０−ＮＯ，Ｓ４２４〜Ｓ４４０）。
【０１８４】
一方、ログ作成拒否権限のあるユーザであれば、イメージログ取得部２４０は、イメージログを作成する／しないを選択する画面を表示部１２０に表示し、何れを希望するかをユーザに問い合わせ、選択結果に対応した動作を行なう（Ｓ４２０−ＹＥＳ）。
【０１８５】
すなわち、ログ作成が選択されたときにはイメージログを取得してログ保存を行なうようにするが（Ｓ４２２−ＹＥＳ，Ｓ４２４〜Ｓ４４０）、ログ作成を拒否されたときには、ログ取得をしないようにする（Ｓ４２２−ＮＯ，Ｓ４２６，Ｓ４３１−ＮＯ）。
【０１８６】
このような第４実施形態の仕組みによれば、イメージログ作成の拒否権限が設定されているユーザについてのみ、イメージログ保存機能の使用有無を選択できるようにしたので、たとえば、不正使用の虞れのない特定ユーザに対してはイメージログ保存機能の使用拒否権限を与えておくことで、そのユーザは、自身の希望によってイメージログ記録を解除できる。たとえば、重要な文書はイメージログを保存しないようにすることで、その重要文書がイメージログを介して管理者によって閲覧される自体を防止することができる。
【０１８７】
＜処理事例；第５実施形態；基本例＞
図８は、画像処理装置２における第５実施形態の基本例の処理手順を示すフローチャートである。第５実施形態の基本例は、ログ取得レベル設定部２４２と精度調整処理部２４５の機能に着目したものであり、各ユーザに対して、イメージログ取得レベルを設定可能とし、ログ取得レベル設定部２４２が取得したレベルに応じて、精度調整処理部２４５にてイメージログ作成精度（カラー／白黒、解像度など）を変更する点に特徴を有する。
【０１８８】
認証処理時に、登録されたユーザの場合、ログ取得レベル設定部２４２は、その登録されたユーザに対し、ログ取得レベルの指定を受け付ける画面を表示部１２０に表示し、何れの取得レベルを希望するかをユーザに問い合わせる（Ｓ５１２−ＹＥＳ，Ｓ５２０）。
【０１８９】
なお、ここでは、一般ユーザが自由にイメージログの取得レベルを指定できるようにしているが、一般ユーザにはその指定を開放せずに、管理者のみが、そのレベルを指定できるようにしてもよい。
【０１９０】
この取得レベル指定を受けて、イメージログ取得部２４０の精度調整処理部２４５は、ログ取得レベル設定部２４２がユーザより受け付けたログ取得レベルに応じて、保存画像選択処理部２４４が選択した保存用の画像データの解像度や白黒／カラーの別など画像精度（画像品質）を調整し、精度調整後のものを保存用の原稿画像データとする（Ｓ５３２）。
【０１９１】
このような第５実施形態の基本例の仕組みによれば、常に同じ精度でイメージログを採取して保存するのではなく、ユーザ（管理者であってもよい）が希望するイメージログ取得レベルに応じて、原稿画像データの精度を調整してから保存するようにしたので、ログ保存の精度要求の度合いに応じて、その精度を調整することができる。たとえば、低精度な状態でイメージログを保存してもよければ、小容量で済む低高精度な状態で保存することで、イメージログの採取効率や格納効率を高めることができる。
【０１９２】
＜処理事例；第５実施形態；変形例＞
図９は、画像処理装置２における第５実施形態の変形例の処理手順を示すフローチャートである。この第５実施形態の変形例は、ログ開示レベル調整部２４３とログ保存先切替部２４６の機能に着目したものであり、各ユーザに対して、イメージログ開示レベルを設定可能とし、ログ開示レベル調整部２４３が取得したレベルに応じて、ログ保存先切替部２４６にてイメージログの保存先の記憶部２６８を変更する点に特徴を有する。なお、記憶部２６８が、ログサーバとしての文書管理装置７に備えられているものである場合、その管理レベルが異なるものとする。
【０１９３】
認証処理時に、登録されたユーザの場合、ログ開示レベル調整部２４３は、その登録されたユーザに対し、ログ開示レベルの指定を受け付ける画面を表示部１２０に表示し、何れの開示レベルを希望するかをユーザに問い合わせる（Ｓ５１２−ＹＥＳ，Ｓ５２０）。
【０１９４】
なお、ここでは、一般ユーザが自由にイメージログの開示レベルを指定できるようにしているが、一般ユーザにはその指定を開放せずに、管理者のみが、そのレベルを指定できるようにしてもよい。
【０１９５】
この開示レベル指定を受けて、イメージログ取得部２４０のログ保存先切替部２４６は、ログ開示レベル調整部２４３がユーザより受け付けたログ開示レベルに応じて、イメージログの保存先となる記憶部２６８を選択・設定する（Ｓ５３３）。
【０１９６】
このような第５実施形態の変形例の仕組みによれば、予め設定されている常に同じ記憶部２６８にイメージログを保存するのではなく、ユーザ（管理者であってもよい）が希望するイメージログ開示レベルに応じて、保存用の記憶部２６８（自装置内蔵のものでもよいし文書管理装置７のものでもよい）をログ保存先切替部２４６にて決定するようにしたので、保存しようとするイメージログの開示レベルに応じた適切な記憶部２６８を指定してログ保存できるようになる。
【０１９７】
こうすることで、ログ開示レベルの一致したサーバにイメージログを格納することができ、メージログ作成・保存の段階でイメージログに対するアクセスポリシーを管理することができるようになる。
【０１９８】
＜処理事例；第６実施形態＞
図１０は、画像処理装置２における第６実施形態の処理手順を示すフローチャートである。この第６実施形態は、保存可否確認部２６６の機能に着目したものであり、イメージログを保存させようとする記憶部２６８の反応がない場合や空き領域不足の場合に、その時点で使用可能な別の記憶部２６８を検索して保存可能な記憶部２６８を見つけることで以降のジョブも実行可能とする点に特徴を有する。
【０１９９】
別の記憶部２６８を検索する際には、画像形成装置５に内蔵のものを指定可能とするものでもよいし、別の文書管理装置７の記憶部２６８を指定可能とするものでもよい。
【０２００】
認証処理時に、登録されたユーザの場合（Ｓ６１２−ＹＥＳ）、保存可否確認部２６６は、出力処理を許可する条件を満たしているか否かを判定する。具体的には、先ず、保存可否確認部２６６は、記憶部２６８のログデータベース２６９に、イメージログを保存できるだけの空き領域があるか否かを判定し、その判定結果を記憶制御部２６２に通知する（Ｓ６２２）。
【０２０１】
また、画像形成装置５と文書管理装置７とが別体のシステム構成の場合、保存可否確認部２６６は、さらに、双方間での通信が可能であるか否かを、たとえば問合せメッセージに対する応答により確認し、その確認結果を記憶制御部２６２に通知する（Ｓ６２２）。なお、この応答確認の際には、文書管理装置７側の記憶部２６８のログデータベース２６９に、イメージログを保存できるだけの空き領域があるか否かの応答も貰うようにする。
【０２０２】
要するに、この第６実施形態では、自装置内蔵の記憶部２６８にイメージログ保存できるだけの記憶領域が確保されているか、あるいはログサーバとしての文書管理装置７との通信が可能であり、かつ、文書管理装置７の記憶部２６８にイメージログ保存できるだけの記憶領域が確保されていること、つまりイメージログの記憶部２６８への転送が可能であることを、画像形成装置５における出力処理許可の条件としているのである。
【０２０３】
イメージログの記憶部２６８への転送が可能でなければ、現在指定されている記憶部２６８へはイメージログを保存できないので、記憶制御部２６２は、ログ保存先切替部２４６と協働して、イメージログ保存できるだけの記憶領域が確保されている別の記憶部２６８（自装置内蔵のものもしくは別の文書管理装置７に備えられているもの）を検索する（Ｓ６２２−ＮＯ，Ｓ６２４）。
【０２０４】
イメージログの記憶部２６８への転送が可能である場合には（Ｓ６２６−ＹＥＳ）、一般的な処理と同様にして、たとえば、制御部１００は、ユーザが画像形成装置５を操作して、コピーボタンを押下したのを指示受付部１１０で検知すると（Ｓ６３０）、制御部１００は、画像読取部１０によりコピーされる原稿の画像を読み取らせ、処理画像（原稿画像データ）や付帯情報（ジョブ環境データ）をイメージログとする（Ｓ６３２）。
【０２０５】
一方、イメージログの記憶部２６８への転送が可能である別の記憶部２６８も見つからなければ（Ｓ６２６−ＮＯ）、記憶制御部２６２と制御部１００とは協働して、画像形成装置５における処理を中断させる（Ｓ６２６−ＮＯ，Ｓ６２８）。必要に応じて、エラーメッセージを表示部１２０に表示すればよい。
【０２０６】
なお、ここでは、自動的に別の記憶部２６８の使用可能性を判断していたが、ユーザに問い合わせて、その時点で使用可能な別の記憶部２６８を保存先にするか、あるいは処理を中断するかなど、動作変更を促すようにしてもよい。
【０２０７】
このような第６実施形態の仕組みによれば、最初に指定されている記憶部２６８へのイメージログの転送が不可能である場合には、特許文献２に記載の仕組みとは異なり、即時に処理を停止するのではなく、その時点で保存可能な他の記憶部２６８の存在を確認するようにした。たとえばログサーバとしての文書管理装置７の反応が無い場合、画像形成装置５内の記憶部２６８や別の文書管理装置７を保存先に切り替えてイメージログを格納したまま以降のジョブを実行することができる。サーバダウンなど、最初に指定されている記憶部２６８が使用できない場合であっても、特許文献２に記載の仕組みとは異なり、別の保存先に切り替えることで、画像形成装置５にて出力処理を実行できるのである。
【０２０８】
＜処理事例；第７実施形態＞
図１１は、画像処理装置２における第７実施形態の処理手順を示すフローチャートである。この第７実施形態は、ログ取得レベル設定部２４２と保存画像選択処理部２４４の機能に着目したもので、ログ取得レベルや生産性を考慮して、保存するイメージログ（特に原稿画像データ）を切り替える点に特徴を有する。
【０２０９】
認証処理時に、登録されたユーザの場合、ログ取得レベル設定部２４２は、その登録されたユーザに対し、ログ取得レベルの指定を受け付ける画面を表示部１２０に表示し、何れの取得レベルを希望するかをユーザに問い合わせる（Ｓ７１２−ＹＥＳ，Ｓ７２０）。
【０２１０】
なお、ここでは、一般ユーザが自由にイメージログの取得レベルを指定できるようにしているが、一般ユーザにはその指定を開放せずに、管理者のみが、そのレベルを指定できるようにしてもよい。
【０２１１】
この取得レベル指定を受けて、イメージログ取得部２４０の保存画像選択処理部２４４は、ログ取得レベル設定部２４２がユーザより受け付けたログ取得レベルに応じて、要求された保存精度や、データ容量や、取得処理の容易性などを考慮して、取り込んだ入力画像データを使用すべきか、それとも画像出力部３０が取り扱う出力画像データを使用すべきか、あるいはその他の中間画像データを使用すべきかを決定する（Ｓ７３２）。
【０２１２】
このような第７実施形態の基本例の仕組みによれば、常に出力画像相当のものをイメージログ用の原稿画像データとして保存するのではなく、ユーザ（管理者であってもよい）が希望するイメージログ取得レベルに応じて、保存対象画像を選択してから保存するようにしたので、ログ保存の精度要求の度合いや取得効率などに応じて、効率的な画像を原稿画像データとして選択することができる。
【０２１３】
たとえば、必ずしも出力画像そのものをイメージログとして保存することが必要でなければ、入力画像を保存用の原稿画像データとすることができる。たとえば、プリントジョブの場合、画像入力端末３（パソコン３ａ）側から入力されるＰＤＬデータそのものをログ保存用の原稿画像データとすれば、原稿画像データ取得に特別の処理が不要であるし、出力画像データで保存するよりも記憶情報量を少なくでき、イメージログの取得効率や格納効率を高めることができる。
【０２１４】
出力画像と同じものをイメージログとして採取し保存するだけでなく、出力画像以外を原稿画像データとして選択可能に構成することで、生産性を落とすことなく、イメージログの取得効率や格納効率を高めることができるのである。
【０２１５】
＜処理事例；第８実施形態＞
図１２は、画像処理装置２における第８実施形態の処理手順を示すフローチャートである。この第８実施形態は、処理タイミング制御部１０２の機能に着目したものであり、イメージログ処理部２００におけるイメージログ取得部２４０によるイメージログ取得処理や記憶制御部２６２による記憶処理部２６０へのイメージログ保存処理のタイミングを、要求されたジョブサービスやシステム構成に応じて制御する点に特徴を有する。
【０２１６】
認証処理時に、登録されたユーザの場合、処理タイミング制御部１０２は、要求されたジョブサービスやその時点のシステム構成がどのようなものになっているかを判断し、ジョブ内容やシステム構成に応じて、より効率的なイメージログの取得・保存手法を決定する（Ｓ８１２−ＹＥＳ，Ｓ８２０）。ここでの「効率的」とは、できるだけスループットの低下が起こらないようにすることを意味している。
【０２１７】
たとえば、画像出力部３０での出力画像処理で画像編集があるか否かを判断する（Ｓ８３０）。たとえばスキャン蓄積ジョブや後処理のないコピージョブが要求されたときには、スキャンや入力データ取得と同時にページごとにイメージログ取得（作成）を行なう（Ｓ８３０−ＮＯ，Ｓ８３１）。これらのジョブ要求は、画像出力部３０による画像加工がないジョブであるので、取り込んだ入力画像を原稿画像データとしても、殆ど出力画像と相違のない原稿画像データとすることができるからである。
【０２１８】
画像出力部３０における出力処理と並行してイメージログを取得し保存する場合、その出力処理に割り込んでログ取得とログ保存とを行なうことになり、スループットの低下が起こり得るが、入力画像を原稿画像データとして使用することで、スループット低下を生じることなく、実質的に出力画像と同じものをイメージログとして採取・保存できる。
【０２１９】
一方、イメージ合成など後処理のあるコピージョブの場合には、後処理後の画像に対して、つまり出力処理と同時・並行的に、イメージログ作成を行なう（Ｓ８３０−ＹＥＳ）。このジョブ要求は、画像出力部３０による画像加工を伴うジョブであるので、取り込んだ入力画像ではなく、画像出力部３０が取り扱う出力画像データを原稿画像データとするのである。ただし、この場合、前述の如く、画像出力部３０における出力処理と並行してイメージログの取得と保存を行なう必要が生じ、スループットの低下が起こり得る。
【０２２０】
そこで、イメージ合成など後処理のあるコピージョブの場合には、さらに、イメージログ作成用のハードウェア回路が画像形成装置５に組み込まれていて使用可能であるか否かを判断するとよい（Ｓ８３２）。たとえば、スキャンと同時にイメージログ作成可能なハードウェア回路が接続されている場合や、印刷と同時にイメージログ作成可能なハードウェア回路が接続されている場合、つまりソフトウェア処理ではなくハードウェア回路を使用したイメージログ取得（作成）が可能であれば（Ｓ８３２−ＹＥＳ）、画像出力部３０での出力画像処理と並行して、出力画像と同等のイメージログを、そのハードウェア回路で生成して出力されたものを原稿画像データに利用するように切り替える（Ｓ８２３）。
【０２２１】
ハードウェア回路を使用できないときは、スループット低下を許容する場合にはソフトウェア処理で、出力処理と同時並行的にイメージログの取得や保存を行なう、あるいは、スループット低下が許容されない場合には、出力画像との相違があるものの、入力画像データを原稿画像データとしてもよい（Ｓ８３２−ＮＯ，Ｓ８３４）。何れにするかをユーザに問い合わせるようにしてもよい。
【０２２２】
このような第８実施形態の基本例の仕組みによれば、常に出力画像データを原稿画像データとするのではなく、イメージログの取得手法や保存手法を、処理対象ジョブやシステム構成に応じて調整するようにしたので、なるべく出力画像と同じものをイメージログとして採取・保存しつつ、生産性（スループット）を落とさないようにすることができる。
【０２２３】
＜処理事例；第９実施形態＞
図１３は、画像処理装置２における第９実施形態の処理手順を示すフローチャートである。この第９実施形態は、隠し情報処理部２５８の機能に着目したものであり、透かしや埋込情報などの隠し情報が重畳されている隠し印刷物を処理対象画像とする場合には、その隠し情報を本来の画像と分離して、分離した画像を原稿画像データとするとともに、分離した隠し情報をジョブ環境データに含めるようにする点に特徴を有する。
【０２２４】
認証処理後に、画像読取部１０にて画像を読み取って、読み取った原稿に基づく画像を画像出力部３０にて複写・印刷してコピー出力させる際（Ｓ９３０）、画像読取部１０は、出力画像の色種や解像度に合わせて精度を低下させて読み取るのではなく、持っている最大能力で原稿を読み取る。そして、隠し情報処理部２５８は、その原稿に隠し情報が存在するか否かを判断する（Ｓ９３１）。なお、画像読取部１０が読み取った画像を解析して隠し情報の存在を判断してもよいが、ユーザからの指定を受け付けてもよい。
【０２２５】
隠し情報が存在する場合（Ｓ９３１−ＹＥＳ）、隠し情報処理部２５８は、その隠し情報を本来の画像と分離して、分離して残った画像を原稿画像データとするとともに、分離した隠し情報をコード情報（たとえば文字情報）に変換してジョブ環境データに含める（Ｓ９３２，９３３）。
【０２２６】
たとえば、カラーで隠し情報（カラーでの透かしなど）が埋め込まれたカラー原稿を読み取って白黒出力するコピー出力ジョブが指定された場合に、画像出力部３０が取り扱う白黒出力画像をログ保存用の原稿画像データとすると、その原稿画像データ（イメージログ）では、カラーの隠し情報が消失してしまう。
【０２２７】
この問題の対処として、本実施形態では、画像読取部１０ではカラーモードで画像を読み取り、隠し情報処理部２５８では、その読み取った情報から隠し情報を分離し、記憶処理部２６０では、原稿画像データの付加データとして、隠し情報を添付して保存する。
【０２２８】
あるいは、付加情報が高解像度のドットパターンや階調パターンで埋め込まれている場合のように、高解像度で隠し情報が埋め込まれた原稿（カラー／白黒は不問）を処理対象として低解像度で出力する出力ジョブ（コピー出力やプリント出力）が指定された場合に、画像出力部３０が取り扱う低解像度出力画像をログ保存用の原稿画像データとすると、その原稿画像データ（イメージログ）では、高解像度の隠し情報が消失してしまう。
【０２２９】
この問題の対処として、本実施形態では、コピー出力時には、画像読取部１０では持っている最大解像度で画像を読み取り、また隠し情報処理部２５８では、取得した画像情報（画像読取部１０が読み取ったものやプリントジョブで描画展開されるもの）から隠し情報を分離し、記憶処理部２６０では、原稿画像データの付加データとして、隠し情報を添付して保存する。
【０２３０】
何れの場合にも、このように、隠し情報を分離して文字情報などに変換して原稿画像データと関連させて保存する手法を採ることで、保存された原稿画像データ自体には隠し情報が存在しないが、対応付けて保存されているジョブ環境データから隠し情報を取り出して検索や閲覧に供することができるようになる。
【図面の簡単な説明】
【０２３１】
【図１】イメージログシステムの構成例を示す図である。
【図２】画像処理装置の基本構成を示す機能ブロック図である。
【図３】第１実施形態の基本例の処理手順を示すフローチャートである。
【図４】第１実施形態に対する変形例の処理手順を示すフローチャートである。
【図５】第２実施形態の処理手順を示すフローチャートである。
【図６】第３実施形態の処理手順を示すフローチャートである。
【図７】第４実施形態の処理手順を示すフローチャートである。
【図８】第５実施形態の基本例の処理手順を示すフローチャートである。
【図９】第５実施形態の変形例の処理手順を示すフローチャートである。
【図１０】第６実施形態の処理手順を示すフローチャートである。
【図１１】第７実施形態の処理手順を示すフローチャートである。
【図１２】第８実施形態の処理手順を示すフローチャートである。
【図１３】第９実施形態の処理手順を示すフローチャートである。
【符号の説明】
【０２３２】
１…画像形成システム（イメージログシステム）、２…画像処理装置、３…画像入力端末、５…画像形成装置、７…文書管理装置、８…閲覧装置、９ａ…ログ管理ＮＷ、１０…画像読取部、１５…ユーザインタフェース部、１７…カード読取部、２０…コントローラ部、３０…画像出力部、１００…制御部、１０２…処理タイミング制御部、１１０…指示受付部、１２０…表示部、１３０…通信インタフェース部、２００…イメージログ処理部、２４０…イメージログ取得部、２４２…ログ取得レベル設定部、２４３…ログ開示レベル調整部、２４４…保存画像選択処理部、２４５…精度調整処理部、２４６…ログ保存先切替部、２４７…暗号化処理部、２４８…鍵読出部、２５０…認証処理部、２５２…暗号化権設定部、２５６…ログ作成拒否権設定部、２５８…隠し情報処理部、２６０…記憶処理部、２６２…記憶制御部、２６４…ログ開示レベル受付部、２６６…保存可否確認部、２６７…保存通知部、２６８…記憶部、２６８ａ…原稿データ保存領域、２６８ｂ…ジョブ環境データ領域、２６８ｃ，２６８ｄ…作業領域、２６９…ログデータベース、２８０…イメージログ閲覧処理部、２８２…ログ読出部、２８４…調査処理部、２８６…復号化処理部、２８８…通知制御部、２９０…認証処理部、２９２…ログ開示レベル設定部
【特許請求の範囲】
【請求項１】
イメージログ機能を有する画像処理装置であって、
保存された前記イメージログの画像を閲覧したときに、処理対象画像を一目では推測不能の状態に前記処理対象画像を加工する画像加工部を備え、
前記画像加工部で加工された画像を前記イメージログの画像として保存する
ことを特徴とする画像処理装置。
【請求項２】
前記画像加工部は、画像加工処理として暗号化処理を行なう
ことを特徴とする請求項１に記載の画像処理装置。
【請求項３】
前記画像加工部は、公開鍵方式で前記暗号化処理を行なう
ことを特徴とする請求項２に記載の画像処理装置。
【請求項４】
前記画像加工部は、加工対象の画像と公開鍵とを受け取り、前記加工対象の画像に対して文字認識処理などの画像処理を行なった後に、処理後の画像を前記公開鍵を使用して暗号化する
ことを特徴とする請求項３に記載の画像処理装置。
【請求項５】
画像加工を行なうか否かの選択権限を設定する画像加工化権設定部を備え、
前記暗号化権設定部により前記選択権限が設定されているユーザに対してのみ、前記暗号化処理の使用を選択可能にする
ことを特徴とする請求項１に記載の画像処理装置。
【請求項６】
前記画像加工化権設定部は、特定の者のみが、前記画像加工を行なうか否かの選択権限を設定可能に構成されている
ことを特徴とする請求項５に記載の画像処理装置。
【請求項７】
イメージログ機能を有する画像処理装置であって、
保存された前記イメージログの開示レベルを調整するログ開示レベル調整処理部
を備えていることを特徴とする画像処理装置。
【請求項８】
イメージログ機能を有する画像処理装置であって、
保存される前記イメージログの開示レベルを調整するログ開示レベル調整部と、
前記ログ開示レベル調整部により調整されたログ開示レベルに応じて、前記イメージログの保存先を切り替えるログ保存先切替部と
を備えたことを特徴とする画像処理装置。
【請求項９】
前記イメージログ機能の使用可否の選択権限を設定するログ作成拒否権設定部をさらに備え、
前記ログ作成拒否権設定部により前記選択権限が設定されているユーザに対してのみ、前記イメージログ機能の使用可否を選択可能にする
ことを特徴とする請求項１〜８の内の何れか１項に記載の画像処理装置。
【請求項１０】
前記ログ作成拒否権設定部は、特定の者のみが、前記イメージログ機能を使用するか否かの選択権限を設定可能に構成されている
ことを特徴とする請求項９に記載の画像処理装置。
【請求項１１】
保存される前記イメージログの取得レベルを調整するログ取得レベル調整処理部と、
前記ログ取得レベル調整処理部により調整されたログ取得レベルに応じて、処理対象画像の品質を調整して保存用の画像とする画像品質調整部と
をさらに備えたことを特徴とする請求項１〜１０の内の何れか１項に記載の画像処理装置。
【請求項１２】
前記画像品質調整部は、カラーの処理対象画像を白黒画像に加工する
ことを特徴とする請求項１１に記載の画像処理装置。
【請求項１３】
前記画像品質調整部は、処理対象画像の解像度を低下させる
ことを特徴とする請求項１１または１２に記載の画像処理装置。
【請求項１４】
出力用の画像以外の入力画像や中間画像を前記イメージログ用の画像に選択する保存画像選択処理部
をさらに備えたことを特徴とする請求項１〜１３の内の何れか１項に記載の画像処理装置。
【請求項１５】
保存される前記イメージログの取得レベルを調整するログ取得レベル調整処理部をさらに備え、
前記保存画像選択処理部は、前記ログ取得レベル調整処理部により調整されたログ取得レベルに応じて、前記イメージログ用の画像を決定する
ことを特徴とする請求項１４に記載の画像処理装置。
【請求項１６】
処理対象ジョブが印刷ジョブであって、ＰＤＬデータが入力される場合には、
前記保存画像選択処理部は、前記ＰＤＬデータを、前記イメージログ用の画像とする
ことを特徴とする請求項１４に記載の画像処理装置。
【請求項１７】
保存しようとする前記イメージログの保存先が保存可能な状態であるか否かを確認する保存可否確認部と、
前記保存可否確認部の確認結果が保存可能な状態でない旨を示している場合には、保存可能な他の保存先を検索して保存先に設定するログ保存先切替部と
をさらに備えたことを特徴とする請求項１〜１６の内の何れか１項に記載の画像処理装置。
【請求項１８】
処理対処ジョブやシステム構成に応じて、前記イメージログの取得と保存のタイミングを調整する処理タイミング制御部
をさらに備えたことを特徴とする請求項１〜１７の内の何れか１項に記載の画像処理装置。
【請求項１９】
処理対処画像に埋め込まれている隠し情報を画像と分離する隠し情報処理部をさらに備え、
前記隠し情報処理部により分離された隠し情報を、画像と対応付けて前記イメージログとして保存する
ことを特徴とする請求項１〜１８の内の何れか１項に記載の画像処理装置。
【請求項２０】
前記イメージログを保存する旨を通知する保存通知部
をさらに備えたことを特徴とする請求項１〜１９の内の何れか１項に記載の画像処理装置。
【請求項１】
イメージログ機能を有する画像処理装置であって、
保存された前記イメージログの画像を閲覧したときに、処理対象画像を一目では推測不能の状態に前記処理対象画像を加工する画像加工部を備え、
前記画像加工部で加工された画像を前記イメージログの画像として保存する
ことを特徴とする画像処理装置。
【請求項２】
前記画像加工部は、画像加工処理として暗号化処理を行なう
ことを特徴とする請求項１に記載の画像処理装置。
【請求項３】
前記画像加工部は、公開鍵方式で前記暗号化処理を行なう
ことを特徴とする請求項２に記載の画像処理装置。
【請求項４】
前記画像加工部は、加工対象の画像と公開鍵とを受け取り、前記加工対象の画像に対して文字認識処理などの画像処理を行なった後に、処理後の画像を前記公開鍵を使用して暗号化する
ことを特徴とする請求項３に記載の画像処理装置。
【請求項５】
画像加工を行なうか否かの選択権限を設定する画像加工化権設定部を備え、
前記暗号化権設定部により前記選択権限が設定されているユーザに対してのみ、前記暗号化処理の使用を選択可能にする
ことを特徴とする請求項１に記載の画像処理装置。
【請求項６】
前記画像加工化権設定部は、特定の者のみが、前記画像加工を行なうか否かの選択権限を設定可能に構成されている
ことを特徴とする請求項５に記載の画像処理装置。
【請求項７】
イメージログ機能を有する画像処理装置であって、
保存された前記イメージログの開示レベルを調整するログ開示レベル調整処理部
を備えていることを特徴とする画像処理装置。
【請求項８】
イメージログ機能を有する画像処理装置であって、
保存される前記イメージログの開示レベルを調整するログ開示レベル調整部と、
前記ログ開示レベル調整部により調整されたログ開示レベルに応じて、前記イメージログの保存先を切り替えるログ保存先切替部と
を備えたことを特徴とする画像処理装置。
【請求項９】
前記イメージログ機能の使用可否の選択権限を設定するログ作成拒否権設定部をさらに備え、
前記ログ作成拒否権設定部により前記選択権限が設定されているユーザに対してのみ、前記イメージログ機能の使用可否を選択可能にする
ことを特徴とする請求項１〜８の内の何れか１項に記載の画像処理装置。
【請求項１０】
前記ログ作成拒否権設定部は、特定の者のみが、前記イメージログ機能を使用するか否かの選択権限を設定可能に構成されている
ことを特徴とする請求項９に記載の画像処理装置。
【請求項１１】
保存される前記イメージログの取得レベルを調整するログ取得レベル調整処理部と、
前記ログ取得レベル調整処理部により調整されたログ取得レベルに応じて、処理対象画像の品質を調整して保存用の画像とする画像品質調整部と
をさらに備えたことを特徴とする請求項１〜１０の内の何れか１項に記載の画像処理装置。
【請求項１２】
前記画像品質調整部は、カラーの処理対象画像を白黒画像に加工する
ことを特徴とする請求項１１に記載の画像処理装置。
【請求項１３】
前記画像品質調整部は、処理対象画像の解像度を低下させる
ことを特徴とする請求項１１または１２に記載の画像処理装置。
【請求項１４】
出力用の画像以外の入力画像や中間画像を前記イメージログ用の画像に選択する保存画像選択処理部
をさらに備えたことを特徴とする請求項１〜１３の内の何れか１項に記載の画像処理装置。
【請求項１５】
保存される前記イメージログの取得レベルを調整するログ取得レベル調整処理部をさらに備え、
前記保存画像選択処理部は、前記ログ取得レベル調整処理部により調整されたログ取得レベルに応じて、前記イメージログ用の画像を決定する
ことを特徴とする請求項１４に記載の画像処理装置。
【請求項１６】
処理対象ジョブが印刷ジョブであって、ＰＤＬデータが入力される場合には、
前記保存画像選択処理部は、前記ＰＤＬデータを、前記イメージログ用の画像とする
ことを特徴とする請求項１４に記載の画像処理装置。
【請求項１７】
保存しようとする前記イメージログの保存先が保存可能な状態であるか否かを確認する保存可否確認部と、
前記保存可否確認部の確認結果が保存可能な状態でない旨を示している場合には、保存可能な他の保存先を検索して保存先に設定するログ保存先切替部と
をさらに備えたことを特徴とする請求項１〜１６の内の何れか１項に記載の画像処理装置。
【請求項１８】
処理対処ジョブやシステム構成に応じて、前記イメージログの取得と保存のタイミングを調整する処理タイミング制御部
をさらに備えたことを特徴とする請求項１〜１７の内の何れか１項に記載の画像処理装置。
【請求項１９】
処理対処画像に埋め込まれている隠し情報を画像と分離する隠し情報処理部をさらに備え、
前記隠し情報処理部により分離された隠し情報を、画像と対応付けて前記イメージログとして保存する
ことを特徴とする請求項１〜１８の内の何れか１項に記載の画像処理装置。
【請求項２０】
前記イメージログを保存する旨を通知する保存通知部
をさらに備えたことを特徴とする請求項１〜１９の内の何れか１項に記載の画像処理装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【公開番号】特開２００７−２１４６１１（Ｐ２００７−２１４６１１Ａ）
【公開日】平成１９年８月２３日（２００７．８．２３）
【国際特許分類】
【出願番号】特願２００６−２９１２０（Ｐ２００６−２９１２０）
【出願日】平成１８年２月７日（２００６．２．７）
【出願人】（０００００５４９６）富士ゼロックス株式会社 (21,908)
【Ｆターム（参考）】
【公開日】平成１９年８月２３日（２００７．８．２３）
【国際特許分類】
【出願日】平成１８年２月７日（２００６．２．７）
【出願人】（０００００５４９６）富士ゼロックス株式会社 (21,908)
【Ｆターム（参考）】
[ Back to top ]