JP2007258974A - ドキュメント管理方法、ドキュメント管理システム、およびコンピュータプログラム - Google Patents

Abstract

【課題】ドキュメントのセキュリティを守りつつドキュメントの世代の管理を容易に行う。
【解決手段】パスワードを表わす地紋画像とともにドキュメントの画像を用紙に記しておき、そのドキュメントを複製する権限を有する者に対して、そのパスワードを知らせておき、そのドキュメントを複製するように要求する要求者にパスワードを入力させ（＃１０４）、その用紙をスキャンすることによってそのドキュメントの画像および地紋画像を取得し（＃１０１）、入力させたパスワードと取得した地紋画像が表わすパスワードとに基づいてその要求者が権限を有するか否かを判別し（＃１０５）、権限を有すると判別した場合に、別のパスワードを発行し、その別のパスワードを表わす地紋画像とともそのドキュメントの画像を別の用紙に印刷し、その別のパスワードを、その別の用紙に印刷されたドキュメントを複製する権限を有する者に知らせる。
【選択図】図１２

Description

本発明は、セキュリティを考慮しつつドキュメントの管理を行う方法および装置などに関する。

近年、複合機またはＭＦＰ（Multi Function Peripherals）などと呼ばれる、コピー機能、スキャナ機能、ファックス機能、およびイーサネット（登録商標）通信機能などの様々な機能を備えた画像形成装置が、会社または役所などのオフィス、学校または研究所などの学術機関、コンビニエンスストアなどの商店、その他様々な場所に普及し、誰でも気軽に使用することができるようになった。また、最近は、小型で廉価な画像形成装置が販売されるようになり、家庭にも普及し始めている。

画像形成装置の普及に伴って、ユーザは、紙に記されている文章、図表、写真、またはイラストなどからなるドキュメントの画像を電子データ化して画像形成装置のハードディスクまたはサーバなどに保存したり別の用紙に複写（コピー）したりする作業を簡単に行うようになった。

また、近年、機密情報の管理が重要視されるようになった。特に最近は、上に述べたようにドキュメントを容易に電子データ化したり別の用紙に複写したりすることができるようになったので、機密にしておくべきドキュメントが不特定多数の者に漏洩しやすくなった。

そこで、ドキュメントのセキュリティを守る方法として、例えば特許文献１〜４に記載されるような方法または装置が提案されている。

特許文献１に記載される方法によると、用紙に極小型のメモリチップを埋め込んでおく。そして、その用紙に記録する画像の情報を、そのメモリチップにパスワードとともに記憶する。さらに、その用紙には、コピー牽制用の地紋を印字する。この用紙から正規のコピーをとる場合には、専用の複写機により、作業者にパスワードを入力させ、そのパスワードがメモリチップに記憶されているパスワードと一致したら、メモリチップに記憶されている画像情報を読み出してコピーを行う。

特許文献２に記載される方法によると、暗号化処理される原稿または暗号化されて記録され、復号化処理される原稿は、画像読み取り部により読み取られ、Ａ／Ｄ変換器を介して画像格納部に格納される。暗号化モードかまたは復号化モードかは、暗証番号入力部を介して入力した処理モードと暗証番号により選択され、番号解析部がこの入力処理モードと暗証番号を解析する。アドレス算出部は、この処理モードに応じて暗号化処理または復号化するための画素の移転先アドレスを、暗証番号に基づいて多項式演算の解を導出するような手法で算出し、画素再配置／再構成部はこの移転先アドレスにより、画像格納部に格納された画像データの入れ替えを行う。

特許文献３に記載される画像形成装置は、原稿を画像データに変換する画像読込部、画像データを解析して暗号原稿であるか否かを判断する画像認識部、画像データを暗号化する暗号化部、画像データを復号化する復号化部、装置全体を制御する画像入出力制御部、パスワードなど各種指示を装置に与える指示部、および画像データを記録紙に記録するプリンタ部から構成される。画像形成装置は、元の原稿から指定されたパスワードに基づいて暗号原稿を出力し、暗号原稿からパスワードに基づいて元の原稿と同じ画像を出力する。

特許文献４に記載される方法によると、まず、電子文章のデータ、地紋画像のデータを外部記憶装置からＲＡＭにロードする。そして次に、キーボードやマウスから、電子透かし情報としての許諾条件の入力を受け付ける。次に、入力された許諾条件を電子透かし情報として、文章データに埋め込む。そして電子透かしを埋め込んだ文章データを、ＲＡＭにロードされた地紋画像上に合成し、文章画像を生成する。そして、生成された文章画像を印刷データに変換し、変換した印刷データを印刷装置に出力する。
特開２００４−３２００８０号公報 特開２００４−４０８１９号公報 特開平１０−２７６３３５号公報 特開２００４−２２８８９７号公報

上に述べたように、画像形成装置の普及に伴って、ドキュメントが容易に複製されるようになった。しかし、その反面、ドキュメントの管理が煩雑になりやすい。

例えば、機密のドキュメント（稟議書など）を回覧する場合は、各メンバは、１つ前のメンバから回ってきたドキュメントをチェックし、次のメンバに渡す。そのドキュメントを手元に残しておく必要があれば、そのドキュメントを複製し、元のドキュメントまたはその複製物（用紙または電子データ）を次のメンバに渡す。そのドキュメントに必要な情報を書き込みまたは誤りを訂正するなどの編集を行ってから、次のメンバに渡すこともある。

このように次々にドキュメントの編集が行われる場合は、編集の順番、特に、最新版のドキュメントがどの用紙に記されているのかまたはどの電子データに記録されているのかを正確に把握しなければならない。つまり、ドキュメントの世代の管理を行わなければならない。

したがって、もしも、ドキュメントを必要以上に複製すると、いずれかの複製物が予め決められた順番に反して予期せぬメンバに渡ることがある。そうすると、ドキュメントの編集が上手く行われなくなってしまうことがある。このように、ドキュメントを必要以上に複製することは、ドキュメントの管理を煩雑にする。また、前に述べたように、不特定多数の者に漏洩しやすくなるので、セキュリティ上、問題である。

特許文献１〜４に記載される発明によると、一定の範囲でドキュメントのセキュリティを守ることができる。しかし、ドキュメントの世代の管理を行うことはできない。

本発明は、このような問題点に鑑み、ドキュメントのセキュリティを守りつつ、ドキュメントの世代の管理を容易にすることを目的とする。

本発明に係るドキュメント管理システムは、人間には識別が困難な形態で第一のキーを表わす画像であるキー画像とともにドキュメントの画像を用紙に記しておき、前記ドキュメントを複製する権限を有する者に対して、前記第一のキーに対応する第二のキーを知らせておき、前記ドキュメントを複製するように要求する要求者に前記第二のキーを入力させ、前記用紙をスキャンすることによって前記ドキュメントの画像および前記キー画像を取得し、前記要求者に入力させた前記第二のキーおよび取得した前記キー画像が表わす前記第一のキーに基づいて当該要求者が前記権限を有するか否かを判別し、前記権限を有すると判別することができた場合に、前記第一のキーの内容および前記第二のキーの内容を変更し、変更後の前記第一のキーを表わす前記キー画像ととも前記ドキュメントの画像を記録媒体に複製するための複製処理を行い、変更後の前記第二のキーを、前記記録媒体に複製された前記ドキュメントを複製する権限を有する者に知らせる、ことを特徴とする。

好ましくは、前記キー画像および前記ドキュメントの画像を他の用紙に印刷することによって前記複製処理を実行する。または、前記キー画像および前記ドキュメントの画像を再現するための電子データを前記要求者が指定した送信先に送信することによって前記複製処理を実行する。

本発明に係るドキュメント管理システムの第二の形態は、人間には識別が困難な形態で第一のキーを表わす画像であるキー画像とともにドキュメントの画像を用紙に記しておき、前記ドキュメントを複製する権限を有する者に対して、前記第一のキーに対応する第二のキーを知らせておき、前記ドキュメントの画像を再現するための電子データを前記第二のキーに対応する第三のキーによって暗号化して保存しておき、前記ドキュメントを複製するように要求する要求者に前記第二のキーを入力させ、前記用紙をスキャンすることによって前記キー画像を取得し、前記要求者に入力させた前記第二のキーおよび取得した前記キー画像が表わす前記第一のキーに基づいて当該要求者が前記権限を有するか否かを判別し、前記要求者に入力させた前記第二のキーによって前記電子データを復号する処理を実行し、前記権限を有すると判別することができかつ前記電子データを復号することができた場合に、前記第一のキーの内容、前記第二のキーの内容、および前記第三のキーの内容を変更し、変更後の前記第一のキーを表わす前記キー画像ととも前記ドキュメントの画像を記録媒体に複製するための複製処理を行い、復号した前記電子データを変更後の前記第三のキーによって暗号化し直し、変更後の前記第二のキーを、前記記録媒体に複製された前記ドキュメントを複製する権限を有する者に知らせる、ことを特徴とする。

本発明に係るドキュメント管理システムの第二の形態は、人間には識別が困難な形態で第一のキーを表わす画像であるキー画像とともにドキュメントの画像を用紙に記しておき、前記ドキュメントを複製する権限を有する者に対して、前記第一のキーに対応する第二のキーを知らせておき、前記ドキュメントを複製するように要求する要求者に前記第二のキーを入力させ、前記用紙をスキャンすることによって前記ドキュメントの画像および前記キー画像を取得し、前記要求者に入力させた前記第二のキーおよび取得した前記キー画像が表わす前記第一のキーに基づいて当該要求者が前記権限を有するか否かを判別し、前記権限を有すると判別することができた場合に、前記ドキュメントの画像の画像データを、前記第二のキーを暗号鍵として使用して暗号化し、暗号化した前記画像データを前記要求者が指定した宛先に送信する、ことを特徴とする。

本発明によると、ドキュメントのセキュリティの管理を容易に行うことができる。請求項１−１０、１２−１５の発明によると、さらに、ドキュメントの世代の管理を容易に行うことができる。

図１はドキュメント管理システム１の全体的な構成の例を示す図、図２は画像形成装置２のハードウェア構成の例を示す図、図３は画像形成装置２の機能的構成の例を示す図である。

図１に示すように、本発明に係るドキュメント管理システム１は、画像形成装置２、ドキュメントサーバ３、および通信回線４などによって構成される。画像形成装置２とドキュメントサーバ３とは、通信回線４を介して互いに接続されている。通信回線４として、ＬＡＮ、インターネット、公衆回線、または専用線などが用いられる。

画像形成装置２は、コピー、ＳＣＡＮ−ＴＯ−ＰＣ、ファックス、およびネットワークプリンティングなどの様々な処理の機能を集約した処理装置である。一般に、複合機またはＭＦＰ（Multi Function Peripherals）などと呼ばれることもある。

「ＳＣＡＮ−ＴＯ−ＰＣ」は、用紙の印刷面を走査して読み取った画像を画像データ化し、その画像データをユーザが指定するパーソナルコンピュータ（ＰＣ）などの端末装置に送信する機能である。

「ネットワークプリンティング」は、画像データをパーソナルコンピュータなどの端末装置から通信回線を介して受信して画像を用紙に印刷する機能である。「ネットワークプリンタ機能」または「ＰＣプリント機能」などと呼ばれることもある。

画像形成装置２は、図２に示すように、ＣＰＵ２０ａ、ＲＡＭ２０ｂ、ＲＯＭ２０ｃ、ハードディスク２０ｄ、制御用回路２０ｅ、通信インタフェース２０ｆ、スキャナユニット２０ｇ、印刷ユニット２０ｈ、タッチパネル２０ｊ、操作キー部２０ｋ、および入出力インタフェース２０ｍなどによって構成される。

制御用回路２０ｅは、ハードディスク２０ｄ、通信インタフェース２０ｆ、スキャナユニット２０ｇ、印刷ユニット２０ｈ、タッチパネル２０ｊ、操作キー部２０ｋ、および入出力インタフェース２０ｍなどを制御するための回路である。

通信インタフェース２０ｆは、外部のファックス端末とデータ通信を行うためのモデムおよびドキュメントサーバ３などとデータ通信を行うためのＮＩＣ（Network Interface Card）などである。

操作キー部２０ｋは、テンキーおよびカーソルキーなどによって構成され、ユーザが画像形成装置１に対して処理の実行開始などの指令を与え、処理条件を指定し、その他種々の事項を指定するために用いられる。タッチパネル２０ｊは、ユーザに対してメッセージまたは指示を与えるための画面、ユーザが所望する処理の種類および処理条件を入力するための画面、およびＣＰＵ２０ａで実行された処理の結果を示す画面などが表示される。また、ユーザは、タッチパネルの所定の位置に触れることによって画像形成装置１に対して指令を与えたり処理条件の指定を行ったりすることができる。このように、印刷ユニット２０ｈおよび操作キー部２０ｋは、画像形成装置１を操作するユーザのユーザインタフェースの役割を果たしている。

スキャナユニット２０ｇは、用紙に記されている文章、数式、記号、写真、図表、またはイラストなどによって表現されるドキュメントの画像を光学的に読み取って画像データを生成する。

印刷ユニット２０ｈは、スキャナユニット２０ｇで得られたドキュメントの画像データまたはパーソナルコンピュータなどから送信されてきた画像データに基づいてドキュメントの画像を形成し、電子写真方式またはインクジェット方式などによってその画像を用紙に印刷する。

入出力インタフェース２０ｍは、ＵＳＢまたはＩＥＥＥ１３９４などのインタフェースであって、フラッシュメモリリーダライタ、ＭＯディスクドライブ、またはＣＤ−ＲＷドライブなどの装置を接続することができる。

ハードディスク２０ｄには、図３に示すように、ドキュメント新規登録処理部２０１、ドキュメントコピー処理部２０２、ドキュメントスキャン送信処理部２０３、ユーザ指令等受付部２ＲＶ、および画面表示処理部２ＰＨなどの機能を実現するためのプログラムおよびデータがインストールされている。これらのプログラムおよびデータは必要に応じてＲＡＭ２０ｂに読み出され、ＣＰＵ２０ａによってプログラムが実行される。または、図３に示す機能の一部または全部を、制御用回路２０ｅによって実現するようにしてもよい。

図４はドキュメントの画像と地紋画像ＧＰとの位置関係の例を示す図である。

ここで、このドキュメント管理システム１で取り扱うドキュメント（書類）について説明する。一般に、ドキュメントは、人が用紙にペンで文章、数式、記号、図表、またはイラストなどを書き込んだり切抜きを貼り付けたりすることによって作成される。

または、ドキュメントは、パーソナルコンピュータのワープロソフト、表計算ソフト、または描画ソフトなどのアプリケーションによっても作成される。この場合は、ドキュメントはＲＡＭ、ハードディスク、またはリムーバブルディスクなどの記録媒体に電子的に記録される。作成されたドキュメントは、画像形成装置２のネットワークプリンティング機能またはそのパーソナルコンピュータに接続されている印刷装置によって、用紙に印刷される。

このように、ドキュメントは、作成された時点では、用紙上にインクなどによって記録されている場合もあれば、ＲＡＭなどに電子的に記録されている場合もある。ユーザは、ドキュメント管理システム１で管理したいドキュメントを、上記のいずれかの方法によって作成して用意する。

または、ユーザは、既存の印刷物を、ドキュメント管理システム１で管理するドキュメントとして用意してもよい。

以下、用意された時点のドキュメントを特に「オリジナルのドキュメント」と記載することがある。ただし、本実施形態では、後に説明する地紋画像ＧＰをドキュメントに付するために、アプリケーションによって作成されたドキュメントについては、画像形成装置２などの印刷装置によって用紙に印刷しておくものとする。つまり、どのような方法で用意されたにせよ、ドキュメント管理システム１による管理を開始する直前の、用紙に記されているドキュメントが、本実施形態における「オリジナルのドキュメント」である。

ユーザは、オリジナルのドキュメントを、画像形成装置２のコピー機能を使用して別の用紙にコピーすることができる。

または、ユーザは、画像形成装置２のＳＣＡＮ−ＴＯ−ＰＣ機能を使用して、オリジナルのドキュメントを電子データ化してパーソナルコンピュータに送信することもできる。その電子データの受取人は、そのパーソナルコンピュータに接続されている印刷装置によってドキュメントを用紙に印刷することができる。ＳＣＡＮ−ＴＯ−ＰＣ機能によってパーソナルコンピュータに送信された電子データのドキュメントは、オリジナルのドキュメントを複製したものである、と言える。

このように、ユーザは、画像形成装置２のコピー機能またはＳＣＡＮ−ＴＯ−ＰＣ機能によって、オリジナルのドキュメントを複製することができる。以下、オリジナルのドキュメントの複製を「複製のドキュメント」と記載する。

同様の方法によって、さらに、複製のドキュメントを複製することができる。以下、このように次々に複製されるドキュメントを区別するために、オリジナルのドキュメントを複製したものを「第２世代のドキュメント」と記載し、第ｎ世代のドキュメントを複製したものを「第ｎ＋１世代のドキュメント」と記載することがある。例えば、第２世代のドキュメントを複製したものを「第３世代のドキュメント」と記載し、第３世代のドキュメントを複製したものを「第４世代のドキュメント」と記載することがある。なお、オリジナルのドキュメントは、第１世代のドキュメントである。

ただし、ドキュメント管理システム１には、「１つのドキュメントは、１世代につき１部しか存在してはならない」という管理の規則が決められている。つまり、ユーザは、オリジナルのドキュメントの用紙を１部しか用意してはならない。また、各世代のドキュメントは１回しかコピーまたはＳＣＡＮ−ＴＯ−ＰＣを行うことができない。例えば、あるドキュメントの第２世代のコピーを画像形成装置２に実行させたら（すなわち、次の世代が生成されたら）、今後、そのドキュメントの第２世代については今後、コピーもＳＣＡＮ−ＴＯ−ＰＣも両方とも実行させることが認められない。

さらに、コピーもＳＣＡＮ−ＴＯ−ＰＣも、パスワードを知っているユーザでなければ実行させることができない。

このような規則に従ってドキュメントの管理を行うために、地紋画像ＧＰが用いられる。つまり、ドキュメントの用紙には、図４に示すように、用紙の所定の位置（例えば、そのドキュメントが配置されない余白部分）に、そのドキュメントを他のドキュメントと識別するためのドキュメントナンバおよび世代管理のために用いられるパスワードを示す地紋画像ＧＰを印刷しまたは貼り付けておく。

この地紋画像ＧＰは、人間の見た目には単なる地紋（網点パターン）にしか見えないが、ドット（点）の配置によってドキュメントナンバおよびパスワードが表わされている。すなわち、地紋画像ＧＰには、ドキュメントナンバおよびパスワードが埋め込まれている。地紋画像ＧＰを生成し用紙に印刷する技術および地紋画像ＧＰを読み取って解析する技術として、例えば下記の公知技術文献１、２に記載されるような透かしの技術が用いられる。

〔公知技術文献１〕”電子透かしプリントソリューション”，株式会社日立製作所，２００６年３月１日インターネット検索，ＵＲＬ：http://www.hitachi.co.jp/Prod/comp/Secureplaza/news/data/20060208densisukasi.pdf
〔公知技術文献２〕”技術情報 −［論文］文書偽造防止における、二値電子透かし技術−”，株式会社シーフォーテクノロジー，２００６年３月１日インターネット検索，ＵＲＬ：http://capg.c4t.jp/technology/watermark/binary.html
なお、地紋画像ＧＰの使用方法などについては、後に説明する。

図５はログイン画面ＨＧ１の例を示す図、図６は処理指令画面ＨＧ２の例を示す図、図７はドキュメント情報データベースＤＢ１の例を示す図である。

次に、図３に示す画像形成装置２の各部およびドキュメントサーバ３の処理内容などについて詳細に説明する。

図３において、画像形成装置２の画面表示処理部２ＰＨは、ユーザが処理の指令または処理条件の指定を行うのを待つ画面（いわゆる待受け画面）を生成しタッチパネル２０ｊに表示させる処理を行う。

ユーザ指令等受付部２ＲＶは、ユーザによる指令または指定を受け付けるための処理を行う。

例えば、誰も画像形成装置２を使用していないときは、画面表示処理部２ＰＨは、図５のようなログイン画面ＨＧ１をタッチパネル２０ｊに表示させる。今から画像形成装置２を使用しようとするユーザは、ログイン画面ＨＧ１が表示されている状態で、自分のユーザアカウントの名称（ユーザ名）およびパスワード（ユーザパスワード）を入力し、「ＯＫ」ボタンを押す。

すると、ユーザ指令等受付部２ＲＶは、入力されたユーザ名およびユーザパスワードとログイン指令とを受け付け、ユーザ認証の処理を実行するように、図示しないユーザ認証手段に対して要求する。画像形成装置２内のユーザ認証手段は、従来通り、入力されたユーザ名およびユーザパスワードに基づいてユーザ認証の処理を実行し、そのユーザ（入力者）が正規のユーザであることを確認できたら、そのユーザを画像形成装置２にログインさせる。これにより、画像形成装置２の使用がそのユーザに対して認められる。なお、「ユーザパスワード」は、地紋画像ＧＰに埋め込まれているパスワードとは異なる。

また、ユーザのログイン後、画面表示処理部２ＰＨは、図６のような処理指令画面ＨＧ２を表示させる。ここで、ユーザは、自分の所望する処理に対応するボタンを押すことによって、ログインした画像形成装置２に対して処理の指令を与えることができる。各処理の内容については、順次説明する。また、タッチパネル２０ｊに表示させる他の画面についても、順次説明する。

ドキュメントサーバ３は、管理の対象であるドキュメントに関するデータを一元的に取り扱う。具体的には、ドキュメントサーバ３のハードディスクに、管理の対象であるドキュメントのドキュメントファイルＤＣＦを保存するためのディレクトリＤＹが設けられている。さらに、ドキュメント情報データベースＤＢ１が設けられている。このドキュメント情報データベースＤＢ１には、図７に示すように、ディレクトリＤＹに保存しているドキュメントファイルＤＣＦごとのドキュメント情報ＤＣＪが格納されている。ドキュメント情報ＤＣＪには、そのドキュメントファイルＤＣＦのファイル名、ドキュメントのドキュメントナンバ、暗号化のための暗号鍵として使用されたパスワード、および所有者であるユーザのユーザ名などが示される。

ユーザは、ドキュメントをドキュメント管理システム１に管理してもらうためには、予め、そのドキュメントのドキュメントファイルＤＣＦおよびドキュメント情報ＤＣＪをそれぞれドキュメントサーバ３のディレクトリＤＹおよびドキュメント情報データベースＤＢ１に登録しておく必要がある。これらのドキュメントファイルＤＣＦおよびドキュメント情報ＤＣＪは、次に説明する画像形成装置２のドキュメント新規登録処理部２０１によって用意される。

〔新規ドキュメントの登録処理〕
図８はドキュメント新規登録処理部２０１の構成の例を示す図である。

ドキュメント新規登録処理部２０１は、図８に示すように、画像読取処理部２１ａ、パスワード等発行部２１ｂ、登録用ファイル生成部２１ｃ、暗号化処理部２１ｄ、ファイル等登録要求部２１ｅ、印刷用画像生成部２１ｆ、および画像印刷制御部２１ｇなどによって構成され、新規に管理を開始するドキュメントのドキュメントファイルＤＣＦおよびドキュメント情報ＤＣＪをドキュメントサーバ３に登録するための処理およびそのドキュメントに地紋画像ＧＰを付けるための処理を行う。

画像読取処理部２１ａは、ユーザが今から管理してもらいたいドキュメント（つまり、オリジナルのドキュメント）の画像が読み取られようにスキャナユニット２０ｇの制御を行う。係る制御は、例えば次のようにして行われる。ユーザは、画像形成装置２にログインした後、今から管理してもらいたいオリジナルのドキュメントの用紙を画像形成装置２の原稿台にセットし、処理指令画面ＨＧ２（図６参照）の「ドキュメント新規登録」ボタンを押す。

すると、画像読取処理部２１ａは、セットされた用紙をスキャンするようにスキャナユニット２０ｇに対して指令を与える。スキャナユニット２０ｇは、その用紙の原稿面を走査し、その用紙に記されているオリジナルのドキュメントの画像の画像データを取得する。以下、読み取った画像を「読取画像ＧＡ０」と記載する。

パスワード等発行部２１ｂは、そのオリジナルのドキュメントに対してパスワードおよびドキュメントナンバを発行する。パスワードは、このオリジナルのドキュメントの、ドキュメントサーバ３に登録（保存）するためのドキュメントファイルＤＣＦを暗号化するために用いられる。ドキュメントナンバは、そのドキュメントを既にドキュメントサーバ３に登録されている他のドキュメントと識別するための識別情報である。よって、パスワード等発行部２１ｂは、ドキュメントサーバ３にアクセスし、他のドキュメントのドキュメントナンバと重複しないナンバを選出し、これをドキュメントナンバして与える。

登録用ファイル生成部２１ｃは、読取画像ＧＡ０の画像データを所定のフォーマット（例えば、アクロバット社のＰＤＦ）の画像データに変換しファイル化することによって、ドキュメントファイルＤＣＦを生成する。このドキュメントファイルＤＣＦには、ドキュメントサーバ３のディレクトリＤＹに既に保存されている他のドキュメントファイルＤＣＦのファイル名と重複しないように、ファイル名を付けておく。例えば、「００００１．ｐｄｆ」のように、ドキュメントナンバと拡張子とを組み合わせたファイル名を付ければよい。

暗号化処理部２１ｄは、生成されたドキュメントファイルＤＣＦを、パスワード等発行部２１ｂによって発行されたパスワードを暗号鍵として使用して暗号化する。本実施形態では、共通鍵暗号方式が用いられるものとする。

ファイル等登録要求部２１ｅは、暗号化されたドキュメントファイルＤＣＦを、そのドキュメントファイルＤＣＦのファイル名、ドキュメントナンバ、パスワード、および今回の操作を行ったユーザ（つまり、画像形成装置２にログイン中のユーザ）のユーザ名などを示すドキュメント情報ＤＣＪとともにドキュメントサーバ３に送信し、これらを新規に登録するように要求する。

すると、ドキュメントサーバ３は、受信したドキュメントファイルＤＣＦおよびドキュメント情報ＤＣＪを、それぞれ、ディレクトリＤＹおよびドキュメント情報データベースＤＢ１に新規に保存しまたは格納する。これにより、そのドキュメントの登録が完了し、そのドキュメントの管理が開始される。

また、ユーザは、画像読取処理部２１ａによってドキュメント（ここでは、オリジナルのドキュメント）の読取りが行われた後、そのドキュメントの用紙を画像形成装置２の手差しトレイにセットする。

印刷用画像生成部２１ｆは、パスワード等発行部２１ｂによって発行されたドキュメントナンバおよびパスワードを埋め込んだ地紋画像ＧＰを生成する。地紋画像ＧＰの生成方法は、前に述べたように公知なので、説明を省略する。さらに、地紋画像ＧＰをＲＩＰ（Raster Image Processor）によってビットマップ展開する。

そして、画像印刷制御部２１ｇは、手差しトレイにセットされた用紙の所定の位置に、ビットマップ展開された地紋画像ＧＰが印刷されるように、印刷ユニット２０ｈを制御する。

または、白紙またはシールなどに地紋画像ＧＰを印刷し、ユーザにその地紋画像ＧＰの部分を切り取るなどしてオリジナルのドキュメントの用紙に貼り付けてもらってもよい。

このようにして、管理対象のドキュメントに関するデータがドキュメントサーバ３に登録され、図４に示すように地紋画像ＧＰがオリジナルのドキュメントの用紙に付される。これで、ドキュメントの管理のための準備が完了する。

準備の完了後、図３の画面表示処理部２ＰＨは、今回発行したドキュメントナンバおよびパスワードを、タッチパネル２０ｊに表示することによってユーザに知らせる。ユーザは、そのパスワードを今回登録したドキュメントと関連付けて覚えておかなければならない。パスワードとドキュメントナンバとを対にして覚えておくのが望ましい。または、オリジナルのドキュメントを複製する権限を有する者がいる場合は、パスワードとドキュメントナンバとをその者に教えなければならない。

〔ドキュメントのコピー〕
図９はドキュメントコピー処理部２０２の構成の例を示す図、図１０はドキュメント画像ＧＡ２と地紋画像ＧＰとを分離する方法の例を説明するための図、図１１はドキュメントパスワード入力画面ＨＧ３の例を示す図である。

ドキュメントコピー処理部２０２は、図９に示すように、画像読取制御部２２ａ、読取画像分離処理部２２ｂ、地紋画像解析部２２ｃ、権限有無判別部２２ｄ、ドキュメントファイル受信部２２ｅ、ファイル復号処理部２２ｆ、パスワード発行部２２ｇ、複製用画像生成部２２ｈ、画像印刷制御部２２ｉ、保存用ファイル生成部２２ｊ、ファイル暗号化処理部２２ｋ、およびファイル等更新要求部２２ｍなどによって構成される。

このような構成により、ドキュメントコピー処理部２０２は、画像形成装置２のコピー機能を使用して、ドキュメントを用紙に複製する処理を行う。この際に、前に説明した規則に従って、権限を有しないユーザにのみこの処理を認め、かつ、そのドキュメントの１世代につき２部以上コピーされないように、管理を行う。

画像読取制御部２２ａは、コピーの対象のドキュメントの画像が読み取られようにスキャナユニット２０ｇの制御を行う。係る制御は、例えば次のようにして行われる。ユーザは、画像形成装置２にログインした後、コピーしたいドキュメントの用紙を画像形成装置２の原稿台にセットし、処理指令画面ＨＧ２（図６参照）の「コピー」ボタンを押す。

すると、画像読取制御部２２ａは、セットされた用紙をスキャンするようにスキャナユニット２０ｇに対して指令を与える。スキャナユニット２０ｇは、その用紙の原稿面を走査し、その用紙に記されているドキュメントの画像の画像データを取得する。以下、読み取ったこの画像を「読取画像ＧＡ１」と記載する。そのドキュメントに関するデータをドキュメントサーバ３に登録する処理が既に完了しているのであれば、その読取画像ＧＡ１には、地紋画像ＧＰ（図４参照）が含まれている。以下、そのドキュメントの登録が完了している場合について説明する。

読取画像分離処理部２２ｂは、読取画像ＧＡ１を、図１０に示すように、ドキュメントの部分の画像であるドキュメント画像ＧＡ２と地紋画像ＧＰとに分離する。例えば、所定の位置に配置されている地紋画像ＧＰを読取画像ＧＡ１から切り出すことによって、ドキュメント画像ＧＡ２と地紋画像ＧＰとに分離する。

地紋画像解析部２２ｃは、地紋画像ＧＰを解析することによって、それに表わされるドキュメントナンバおよびパスワードを抽出する。解析の方法は、前に述べたように公知なので、説明を省略する。

地紋画像解析部２２ｃによってドキュメントナンバが抽出されると、図３の画面表示処理部２ＰＨは、図１１に示すような、そのドキュメントナンバのドキュメントに対応するパスワードを入力するように促すドキュメントパスワード入力画面ＨＧ３を、タッチパネル２０ｊに表示させる。ここで、ユーザは、以前に知らされた、そのドキュメントのパスワードを入力する。

権限有無判別部２２ｄは、入力されたパスワードおよび地紋画像ＧＰに埋め込まれていたパスワードに基づいて、指令を与えたユーザが正当な権限を有しているか否かを判別する。本実施形態では、両パスワードが一致した場合に、そのユーザが正当な権限を有している、と判別する。そのように判別できた場合は、次に説明するドキュメントファイル受信部２２ｅ、およびファイル復号処理部２２ｆによる処理が開始される。そのように判別できなかった場合は、コピーできない旨のメッセージを画面表示処理部２ＰＨによってタッチパネル２０ｊに表示させ、コピーの処理を中止する。

ドキュメントファイル受信部２２ｅは、地紋画像解析部２２ｃによって得られたドキュメントナンバのドキュメントファイルＤＣＦを、例えば次のようにしてドキュメントサーバ３から受信（ダウンロード）する。ドキュメントサーバ３にアクセスし、ドキュメントナンバをドキュメントサーバ３に提示してドキュメントファイルＤＣＦを要求する。

すると、ドキュメントサーバ３は、そのドキュメントナンバを示すドキュメント情報ＤＣＪを、ドキュメント情報データベースＤＢ１（図７参照）の中から検索する。見つかったドキュメント情報ＤＣＪに示されるファイル名のドキュメントファイルＤＣＦをディレクトリＤＹの中から検索する。そして、見つかったドキュメントファイルＤＣＦを、要求元である画像形成装置２に送信する。これにより、画像形成装置２にドキュメントファイルＤＣＦがダウンロードされる。

ファイル復号処理部２２ｆは、受信したドキュメントファイルＤＣＦを、ユーザが入力したパスワードを共通鍵（復号鍵）として使用して、復号する。もしも、ユーザが入力したパスワードがそのドキュメントの最新の世代のものであれば、ドキュメントファイルＤＣＦを正常に復号することができる。しかし、１世代以上古い世代のものであれば、そのパスワードはそのドキュメントファイルＤＣＦを暗号化する際に使用された暗号鍵（パスワード）と一致しないので、復号することができない。これは、後に説明するように、世代が１つ進むごとにパスワードを変えてドキュメントファイルＤＣＦの暗号化をやり直すからである。

復号することができた場合は、パスワード発行部２２ｇ、複製用画像生成部２２ｈ、画像印刷制御部２２ｉ、保存用ファイル生成部２２ｊ、ファイル暗号化処理部２２ｋ、およびファイル等更新要求部２２ｍによる処理が開始される。復号することができなかった場合は、コピーできない旨のメッセージをタッチパネル２０ｊに表示させ、コピーの処理を中止する。

パスワード発行部２２ｇは、以前にそのドキュメントに対して発行されたことがあるパスワードとは異なる文字列のパスワードを発行し直す。

複製用画像生成部２２ｈは、用紙に複製（印刷）するための複製用画像ＧＡ３を、次のように生成する。コピーの対象のドキュメントのドキュメントナンバ（つまり、地紋画像解析部２２ｃによって得られたドキュメントナンバ）およびパスワード発行部２２ｇによって発行された新しいパスワードを埋め込んだ地紋画像ＧＰを生成する。そして、コピー元のドキュメントと同様につまり図４に示すように、そのドキュメントの画像および生成した地紋画像ＧＰをそれぞれ所定の位置に配置し、１つの画像に合成する。これにより、複製用画像ＧＡ３が出来上がる。さらに、その複製用画像ＧＡ３をＲＩＰによってビットマップ展開する。

合成のためのドキュメントの画像として、読取画像分離処理部２２ｂによって得られたドキュメント画像ＧＡ２つまり用紙から読み取った画像を用いてもよいし、ドキュメントサーバ３からダウンロードし復号したドキュメントファイルＤＣＦから再現される画像を用いてもよい。いずれの画像を用いるのかは、目的などに応じてユーザが決定しまたは画像形成装置２が自動的に決定してもよい。例えば、ユーザが、今回のコピーのための作業を開始する前に用紙に情報を加筆しまたは誤りを訂正するなどしてそのドキュメントを編集し、今後、その編集されたドキュメントを管理することを所望する場合は、ドキュメント画像ＧＡ２を用いればよい。ドキュメントを編集していない場合または編集前の状態に戻してドキュメントの管理を継続したい場合は、ダウンロードし復号したドキュメントファイルＤＣＦから再現される画像を用いればよい。

画像印刷制御部２２ｉは、複製用画像生成部２２ｈによって生成されビットマップ展開された複製用画像ＧＡ３が白紙に印刷（複写）されるように、印刷ユニット２０ｈを制御する。これにより、ドキュメントの複製が出来上がる。この複製は、そのドキュメントの次の世代である。例えば、今回のコピーの対象がオリジナルのドキュメントであった場合は、第２世代のドキュメントが得られる。または、今回のコピーの対象が第ｍ世代のドキュメントであった場合は、第ｍ＋１世代のドキュメントが得られる。

一方、保存用ファイル生成部２２ｊ、ファイル暗号化処理部２２ｋ、およびファイル等更新要求部２２ｍは、画像印刷制御部２２ｉによる印刷処理の完了後、今回のコピー対象の世代のドキュメントが再び複製されないようにするために（つまり、最新の世代のドキュメントの用紙の存在を１部のみにするために）、次のような処理を行う。

保存用ファイル生成部２２ｊは、必要に応じて、そのドキュメントのドキュメントファイルＤＣＦを生成し直す。例えば、複製用画像生成部２２ｈにおいて画像を選択した場合と同様に、編集したドキュメントを今後管理することをユーザが望む場合は、読取画像分離処理部２２ｂによって得られたドキュメント画像ＧＡ２をファイル化することによってドキュメントファイルＤＣＦを生成し直す。ドキュメントが編集されていない場合または編集前の状態に戻してドキュメントの管理を継続したい場合は、ドキュメントファイルＤＣＦの再生成は行わず、ドキュメントサーバ３からダウンロードし復号したドキュメントファイルＤＣＦが継続して今後の処理のために使用される。

ファイル暗号化処理部２２ｋは、必要に応じて生成し直されたドキュメントファイルＤＣＦを、パスワード発行部２２ｇによって再発行されたパスワードを暗号鍵として使用し暗号化する。

ファイル等更新要求部２２ｍは、暗号化されたドキュメントファイルＤＣＦを、そのドキュメントファイルＤＣＦのファイル名、ドキュメントナンバ、発行し直されたパスワード、および今回の操作を行ったユーザ（つまり、画像形成装置２にログイン中のユーザ）のユーザ名などを示すドキュメント情報ＤＣＪとともに、ドキュメントサーバ３に対して送信することによって、そのドキュメントに関するデータを更新するように要求する。

すると、ドキュメントサーバ３は、受信したドキュメントファイルＤＣＦを、ディレクトリＤＹに保存されている、同じファイル名を有する既存のドキュメントファイルＤＣＦと置き換える。つまり、今回のコピー処理によって１世代古くなったドキュメントファイルＤＣＦを削除し、受信した最新の世代のドキュメントファイルＤＣＦを保存する。同様に、受信したドキュメント情報ＤＣＪを、同じドキュメントナンバを示す既存のドキュメント情報ＤＣＪと置き換える。

処理の完了後、図３の画面表示処理部２ＰＨは、そのドキュメントのドキュメントナンバおよびパスワード発行部２２ｇによって発行し直されたパスワードを、タッチパネル２０ｊに表示することによってユーザに知らせる。ユーザは、この新しいパスワードを覚えておかなければならない。古いパスワード（今回入力したパスワード）は、もはや使用することができないので、忘れてもよい。

図１２および図１３はドキュメントコピー処理の流れの例を説明するためのフローチャートである。

次に、ドキュメントをコピーする際の画像形成装置２の処理の流れを、図１２および図１３のフローチャートを参照して説明する。

図１２において、ユーザがコピーの対象のドキュメントの用紙を原稿台にセットし処理指令画面ＨＧ２（図６参照）の「コピー」ボタンを押すと、画像形成装置２は、その用紙の原稿面に記されている画像を読み取って読取画像ＧＡ１を取得する（＃１０１）。以下、オリジナルのドキュメント（つまり、第１世代のドキュメント）をドキュメントコピー処理の対象とする場合を例に説明する。

画像形成装置２は、図１０に示すように読取画像ＧＡ１をドキュメント画像ＧＡ２と地紋画像ＧＰとに分離し（＃１０２）、地紋画像ＧＰを解析することによってドキュメントナンバおよびパスワードを取得する（＃１０３）。

取得したドキュメントナンバに基づいて図１１のようなドキュメントパスワード入力画面ＨＧ３を表示することによってそのドキュメントをドキュメントサーバ３に登録した際に知らせたそのドキュメントのパスワードを入力するように要求し、これを取得する（＃１０４）。

ステップ＃１０３、＃１０４で取得した２つのパスワードが一致しない場合は（＃１０５でＮｏ）、そのドキュメントをコピーする権限がそのユーザに対して与えられていないと判別し（＃１０６）、このドキュメントコピー処理を中止する。両者が一致する場合は（＃１０５でＹｅｓ）、権限が与えられていると判別し（＃１０７）、このドキュメントコピー処理を継続する。

画像形成装置２は、ステップ＃１０３で取得したドキュメントナンバに対応するドキュメントファイルＤＣＦをドキュメントサーバ３に対して要求し（＃１０８）、そのドキュメントファイルＤＣＦが保存されていれば（＃１０９でＹｅｓ）、これをダウンロードする（＃１１０）。保存されていなければ（＃１０９でＮｏ）、このドキュメントコピー処理を中止する。

ダウンロードしたドキュメントファイルＤＣＦを、ユーザが入力したパスワードによって復号する（＃１１１）。正常に復号することができたら（図１３の＃１１２でＹｅｓ）、従来のパスワードの文字列とは異なる新しいパスワードを発行する（＃１１５）。なお、ステップ＃１１３、＃１１４は、オリジナルのドキュメントをコピーする場合には不要なので、ここでは説明を省略する。

そのドキュメントのドキュメントナンバおよび新しいパスワードを埋め込んだ地紋画像ＧＰを生成し（＃１１６）、その地紋画像ＧＰとドキュメントの画像とを所定の位置に配置して合成することによって、複製用画像ＧＡ３を生成する（＃１１７）。なお、ドキュメントの画像として、ステップ＃１０２で取得したドキュメント画像ＧＡ２を用いてもよいし、ステップ＃１１０でダウンロードしたドキュメントファイルＤＣＦによって再現される画像を用いてもよい。そして、複製用画像ＧＡ３を白紙に印刷する（＃１１８）。これにより、ユーザは、オリジナルのドキュメントがコピーされた用紙、つまり、第２世代のドキュメントの用紙が得られる。

画像形成装置２は、今回コピーしたオリジナルのドキュメントが再びコピーされないようにするために、次のような処理を実行する。ドキュメント画像ＧＡ２をファイル化することによってドキュメントファイルＤＣＦを生成し直し（＃１１９）、これを新しいパスワードによって暗号化する（＃１２０）。または、ステップ＃１１９の再生成は行わず、ドキュメントサーバ３からダウンロードし復号したドキュメントファイルＤＣＦを新しいパスワードによって暗号化し直す（＃１２０）。

そして、暗号化したドキュメントファイルＤＣＦおよびそれに関するドキュメント情報ＤＣＪをドキュメントサーバ３に送信し、これらを、ドキュメントサーバ３に現在保存されているそのドキュメントの従来のドキュメントファイルＤＣＦおよびドキュメント情報ＤＣＪと置き換えるように要求する（＃１２１）。

また、ステップ＃１１５の処理の後、適当なタイミングで、ドキュメントナンバおよび新しいパスワードを表示しユーザに知らせる（＃１２２）。

ユーザは、このようにして得られた複製つまり第２世代のドキュメントを、画像形成装置２にコピーさせることもできる。または、ＳＣＡＮ−ＴＯ−ＰＣの処理の対象とすることもできる。または、この第２世代のドキュメントの用紙を他のユーザに譲渡することもできる。この場合は、譲受人に対して、その第２世代のドキュメントをコピーまたはＳＣＡＮ−ＴＯ−ＰＣの対象とすることを認めるのであれば、そのドキュメントナンバおよび新しいパスワードを教えておく。

次に、第２世代のドキュメントを処理対象にする場合のドキュメントコピー処理の流れを、図１２および図１３のフローチャートを参照して説明する。なお、上に説明したオリジナルのドキュメントを処理対象にする場合と同様の内容については、説明を省略する。

図１２において、ユーザが第２世代のドキュメントの用紙を原稿台にセットし処理指令画面ＨＧ２（図６参照）の「コピー」ボタンを押すと、画像形成装置２は、読取画像ＧＡ１を取得する（＃１０１）。読取画像ＧＡ１をドキュメント画像ＧＡ２と地紋画像ＧＰとに分離し（＃１０２）、地紋画像ＧＰよりドキュメントナンバおよびパスワードを取得する（＃１０３）。

ユーザに対して、その第２世代のドキュメントに対応するパスワード（つまり、１つ前の世代のドキュメントをコピーしてその第２世代のドキュメントを作成したときに知らせたパスワード）を入力するように要求し、これを取得する（＃１０４）。

両パスワードが一致する場合は（＃１０５でＹｅｓ）、その第２世代のドキュメントをコピーする権限がそのユーザに対して与えられていると判別し（＃１０７）、このドキュメントコピー処理を継続する。

ステップ＃１０３で取得したドキュメントナンバに対応するドキュメントファイルＤＣＦをドキュメントサーバ３からダウンロードする（＃１０８、＃１１０）。

ダウンロードしたドキュメントファイルＤＣＦを、ユーザが入力したパスワードによって復号する（＃１１１）。

もしも、ユーザが第２世代のドキュメントよりも古い世代のドキュメントに対応するパスワードを入力したのであれば、ドキュメントファイルＤＣＦを復号することはできない。なぜなら、前に説明したように、ドキュメントサーバ３に保存されているドキュメントファイルＤＣＦは、そのドキュメントのコピーの処理（または後に説明するＳＣＡＮ−ＴＯ−ＰＣの処理）が行われるごとに、新しいパスワードによって暗号化し直されるからである。

このような事例は、例えば、ユーザが、最新の世代でないドキュメント（ここでは、第２世代よりも古いドキュメントつまりオリジナルのドキュメント）を、それが最新の世代のドキュメントであるものと信じてコピーしようとした場合に、発生する。もちろん、最新の世代でないドキュメントであることを知りつつコピーを試みた場合にも、発生する。

よって、画像形成装置２は、復号することができなかった場合は（図１３の＃１１２でＮｏ）、ユーザが画像形成装置２にコピーさせようとしているドキュメントの世代が最新でないと判別し（＃１１３）、このドキュメントコピー処理を中止する。

復号することができた場合は（＃１１２でＹｅｓ）、そのドキュメントの世代が最新であると判別し（＃１１４）、従来のパスワードの文字列とは異なる新しいパスワードを発行する（＃１１５）。

ドキュメントナンバおよび新しいパスワードを埋め込んだ地紋画像ＧＰを生成し（＃１１６）、その地紋画像ＧＰと第２世代のドキュメントの画像とを所定の位置に配置して合成することによって、複製用画像ＧＡ３を生成する（＃１１７）。そして、複製用画像ＧＡ３を白紙に印刷する（＃１１８）。これにより、第３世代のドキュメントの用紙が得られる。

画像形成装置２は、今回コピーした第２世代のドキュメントが再びコピーされないようにするために、ドキュメントファイルＤＣＦを新しいパスワードによって暗号化し、そのドキュメントの古いドキュメントファイルＤＣＦと置き換える（＃１１９〜＃１２１）。また、適当なタイミングで、新しいパスワードをユーザに知らせる（＃１２２）。

第３世代以降のドキュメントをコピーする場合も、上の説明の通りにドキュメントコピー処理が実行される。

〔ドキュメントのＳＣＡＮ−ＴＯ−ＰＣの処理〕
図１４はドキュメントスキャン送信処理部２０３の構成の例を示す図、図１５はドキュメントパスワード等入力画面ＨＧ４の例を示す図である。

図３のドキュメントスキャン送信処理部２０３は、図１４に示すように、画像読取制御部２３ａ、読取画像分離処理部２３ｂ、地紋画像解析部２３ｃ、権限有無判別部２３ｄ、ドキュメントファイル受信部２３ｅ、ファイル復号処理部２３ｆ、パスワード発行部２３ｇ、送信用ファイル生成部２３ｈ、ファイル送信制御部２３ｉ、保存用ファイル生成部２３ｊ、ファイル暗号化処理部２３ｋ、およびファイル等更新要求部２３ｍなどによって構成される。

このような構成により、ドキュメントスキャン送信処理部２０３は、画像形成装置２のＳＣＡＮ−ＴＯ−ＰＣ機能を使用して、用紙に記されているドキュメントを読み取って電子データ化しパーソナルコンピュータに送信する処理を行う。この際に、前に説明した規則に従って、権限を有しないユーザにのみこの処理を認め、かつ、そのドキュメントの１世代につき２回以上送信が行われないように、管理を行う。

図１４の処理部のうち、画像読取制御部２３ａ、読取画像分離処理部２３ｂ、地紋画像解析部２３ｃ、権限有無判別部２３ｄ、ドキュメントファイル受信部２３ｅ、ファイル復号処理部２３ｆ、およびパスワード発行部２３ｇは、それぞれ、図９で説明したドキュメントコピー処理部２０２の画像読取制御部２２ａ、読取画像分離処理部２２ｂ、地紋画像解析部２２ｃ、権限有無判別部２２ｄ、ドキュメントファイル受信部２２ｅ、ファイル復号処理部２２ｆ、およびパスワード発行部２２ｇと同様の役割を果たす。

つまり、画像読取制御部２３ａは、ＳＣＡＮ−ＴＯ−ＰＣの対象のドキュメントの画像が読み取られようにスキャナユニット２０ｇの制御を行う。係る制御は、ユーザが、画像形成装置２にログインした後、パーソナルコンピュータに送信したいドキュメントの用紙を原稿台にセットし、処理指令画面ＨＧ２（図６参照）の「スキャン」ボタンを押したときに、開始される。これにより、そのドキュメントの読取画像ＧＡ１が取得される。

読取画像分離処理部２３ｂは、読取画像ＧＡ１をドキュメント画像ＧＡ２と地紋画像ＧＰとに分離する。地紋画像解析部２３ｃは、地紋画像ＧＰを解析することによって、それに表わされるドキュメントナンバおよびパスワードを抽出する。

地紋画像解析部２３ｃによってドキュメントナンバが抽出されると、図３の画面表示処理部２ＰＨは、図１５に示すような、そのドキュメントナンバのドキュメントに対応するパスワードおよびそのドキュメントのデータの送信先を入力するように促すドキュメントパスワード等入力画面ＨＧ４を、タッチパネル２０ｊに表示させる。ここで、ユーザは、以前に知らされたそのドキュメントのパスワードを入力するとともに、そのドキュメントのデータの送信先（例えば、電子メールアドレスまたはＩＰアドレスなど）を指定する。

権限有無判別部２３ｄは、入力されたパスワードおよび地紋画像ＧＰに埋め込まれていたパスワードに基づいて、指令を与えたユーザが正当な権限を有しているか否かを判別する。正当な権限を有していないと判別した場合は、ＳＣＡＮ−ＴＯ−ＰＣの処理を実行できない旨のメッセージを画面表示処理部２ＰＨによってタッチパネル２０ｊに表示させ、ＳＣＡＮ−ＴＯ−ＰＣの処理を中止する。

ドキュメントファイル受信部２３ｅは、そのユーザに正当な権限があると判別された場合に、地紋画像解析部２３ｃによって得られたドキュメントナンバのドキュメントファイルＤＣＦを、ドキュメントサーバ３から受信（ダウンロード）する。

ファイル復号処理部２３ｆは、受信したドキュメントファイルＤＣＦを、ユーザが入力したパスワードを共通鍵（復号鍵）として使用して、復号する。コピー処理の場合と同様、もしも、ユーザが入力したパスワードがそのドキュメントの最新の世代のものであれば、ドキュメントファイルＤＣＦを正常に復号することができる。しかし、１世代以上古い世代のものであれば、そのパスワードはそのドキュメントファイルＤＣＦを暗号化する際に使用された暗号鍵（パスワード）と一致しないので、復号することができない。復号することができなかった場合は、ＳＣＡＮ−ＴＯ−ＰＣの処理を実行できない旨のメッセージをタッチパネル２０ｊに表示させ、ＳＣＡＮ−ＴＯ−ＰＣの処理を中止する。

復号することができた場合は、パスワード発行部２３ｇは、以前にそのドキュメントに対して発行されたことがあるパスワードとは異なる文字列のパスワードを発行し直す。

送信用ファイル生成部２３ｈは、ユーザが入力した送信先に送信するためのドキュメントのファイルを、次のように生成する。図９の複製用画像生成部２２ｈの処理の場合と同様に、そのドキュメントのドキュメントナンバおよび新しいパスワードを埋め込んだ地紋画像ＧＰを生成する。そのドキュメントの画像および生成した地紋画像ＧＰをそれぞれ所定の位置に配置し、１つの画像に合成し、複製用画像ＧＡ３を生成する。そして、その複製用画像ＧＡ３の画像データを所定のフォーマット（例えば、アクロバット社のＰＤＦ）の画像データに変換しファイル化する。これにより、ドキュメントのファイルが生成される。以下、生成されたファイルを「ドキュメントファイルＳＮＦ」と記載する。

複製用画像生成部２２ｈの処理の場合と同様に、合成のためのドキュメントの画像として、読取画像分離処理部２３ｂによって得られたドキュメント画像ＧＡ２つまり用紙から読み取った画像を用いてもよいし、ドキュメントサーバ３からダウンロードし復号したドキュメントファイルＤＣＦから再現される画像を用いてもよい。

ファイル送信制御部２３ｉは、送信用ファイル生成部２３ｈによって生成されたドキュメントファイルＳＮＦがユーザの指定した送信先に送信されるように、通信インタフェース２０ｆを制御する。例えば、送信先として電子メールアドレスが指定された場合は、ドキュメントファイルＳＮＦを添付した電子メールがその電子メールアドレスに宛てて送信されるように制御する。または、ＩＰアドレスが指定された場合は、そのＩＰアドレスを有するパーソナルコンピュータにアクセスしＦＴＰ（File Transfer Protocol）などのプロトコルによってドキュメントファイルＳＮＦが送信されるように制御する。

送信後、図３の画面表示処理部２ＰＨは、そのドキュメントのドキュメントナンバおよび新しいパスワードを、タッチパネル２０ｊに表示することによってユーザに知らせる。ユーザは、この新しいパスワードを覚えておかなければならない。または、送信先のパーソナルコンピュータの所有者にドキュメントナンバおよび新しいパスワードを教えなければならない。または、そのドキュメントのドキュメントナンバおよび新しいパスワードを知らせる電子メールを、そのドキュメントファイルＳＮＦの受取人に送信するようにしてもよい。

ドキュメントファイルＳＮＦを受信したパーソナルコンピュータは、そのドキュメントファイルＳＮＦを所定の記憶領域に保存する。そのパーソナルコンピュータのユーザは、ドキュメントを閲覧したい場合は、所定のアプリケーションを使用してドキュメントファイルＳＮＦをオープンすればよい。そうすると、ドキュメントの画像がパーソナルコンピュータのディスプレイに表示される。また、そのドキュメントを、パーソナルコンピュータに接続されている印刷装置に印刷させることもできる。このようにして、その次の世代のドキュメントが得られる。つまり、例えば、今回のＳＣＡＮ−ＴＯ−ＰＣの対象が第ｍ世代のドキュメントであった場合は、第ｍ＋１世代のドキュメントが得られる。

なお、ドキュメントファイルＳＮＦを、地紋画像解析部２３ｃが地紋画像ＧＰを解析し抽出したパスワードを暗号鍵として使用して暗号化し、パーソナルコンピュータに送信するようにしてもよい。この場合は、送信先のユーザは、ドキュメントファイルＳＮＦをオープンする際に、送信者から教えてもらったそのパスワードをパーソナルコンピュータに入力し、ドキュメントファイルＳＮＦを復号させなければならない。または、パスワード発行部２３ｇが発行した新しいパスワードを使用してドキュメントファイルＳＮＦを暗号化してもよい。

保存用ファイル生成部２３ｊ、ファイル暗号化処理部２３ｋ、およびファイル等更新要求部２３ｍは、それぞれ、ドキュメントコピー処理部２０２の保存用ファイル生成部２２ｊ、ファイル暗号化処理部２２ｋ、およびファイル等更新要求部２２ｍと同様の処理を行う。つまり、ＳＣＡＮ−ＴＯ−ＰＣの処理の完了後、今回のＳＣＡＮ−ＴＯ−ＰＣの対象の世代のドキュメントが再び複製されないようにするために（つまり、最新の世代のドキュメントの用紙の存在を１部のみにするために）、次のような処理を行う。

保存用ファイル生成部２３ｊは、必要に応じて、そのドキュメントのドキュメントファイルＤＣＦを生成し直す。ファイル暗号化処理部２３ｋは、必要に応じて生成し直されたドキュメントファイルＤＣＦを、パスワード発行部２３ｇによって再発行されたパスワードを暗号鍵として使用し暗号化する。

ファイル等更新要求部２３ｍは、暗号化されたドキュメントファイルＤＣＦを、そのドキュメントファイルＤＣＦのファイル名、ドキュメントナンバ、発行し直されたパスワード、および今回の操作を行ったユーザ（つまり、画像形成装置２にログイン中のユーザ）のユーザ名などを示すドキュメント情報ＤＣＪとともに、ドキュメントサーバ３に対して送信することによって、そのドキュメントに関するデータを更新するように要求する。

すると、ドキュメントサーバ３は、受信したドキュメントファイルＤＣＦを、ディレクトリＤＹに保存されている、同じファイル名を有する既存のドキュメントファイルＤＣＦと置き換える。同様に、受信したドキュメント情報ＤＣＪを、同じドキュメントナンバを示す既存のドキュメント情報ＤＣＪと置き換える。

図１６および図１７はＳＣＡＮ−ＴＯ−ＰＣ処理の流れの例を説明するためのフローチャートである。

次に、ＳＣＡＮ−ＴＯ−ＰＣの処理の流れを、図１６および図１７のフローチャートを参照して説明する。なお、前に図１２および図１４で説明したコピー処理と共通する部分については、説明を省略する。

図１６において、ユーザがコピーの対象のドキュメントの用紙を原稿台にセットし処理指令画面ＨＧ２（図６参照）の「スキャン」ボタンを押すと、画像形成装置２は、その用紙の原稿面に記されている画像を読み取って読取画像ＧＡ１を取得する（＃１５１）。以下、第ｘ世代のドキュメントをＳＣＡＮ−ＴＯ−ＰＣの対象とする場合を例に説明する。

画像形成装置２は、読取画像ＧＡ１をドキュメント画像ＧＡ２と地紋画像ＧＰとに分離し（＃１５２）、地紋画像ＧＰを解析することによってドキュメントナンバおよびパスワードを取得する（＃１５３）。

取得したドキュメントナンバに基づいて図１５のようなドキュメントパスワード等入力画面ＨＧ４を表示することによってそのドキュメントのパスワードおよび送信先を入力するように要求し、これを取得する（＃１５４）。

ステップ＃１５３、＃１５４で取得した２つのパスワードが一致しない場合は（＃１５５でＮｏ）、そのドキュメントのＳＣＡＮ−ＴＯ−ＰＣを実行させる権限がそのユーザに対して与えられていないと判別し（＃１５６）、ＳＣＡＮ−ＴＯ−ＰＣの処理を中止する。両者が一致する場合は（＃１５５でＹｅｓ）、権限が与えられていると判別し（＃１５７）、ＳＣＡＮ−ＴＯ−ＰＣの処理を継続する。

画像形成装置２は、ステップ＃１５３で取得したドキュメントナンバに対応するドキュメントファイルＤＣＦをドキュメントサーバ３に対して要求し（＃１５８）、そのドキュメントファイルＤＣＦが保存されていれば（＃１５９でＹｅｓ）、これをダウンロードする（＃１６０）。保存されていなければ（＃１０９でＮｏ）、ＳＣＡＮ−ＴＯ−ＰＣの処理を中止する。

ダウンロードしたドキュメントファイルＤＣＦを、ユーザが入力したパスワードによって復号する（＃１６１）。

もしも、ユーザが第ｘ−１世代以前のドキュメントに対応するパスワードを入力したのであれば、ドキュメントファイルＤＣＦを復号することはできない。なぜなら、前に説明したように、ドキュメントサーバ３に保存されているドキュメントファイルＤＣＦは、そのドキュメントのコピーの処理またはＳＣＡＮ−ＴＯ−ＰＣの処理ごとに、新しいパスワードによって暗号化し直されるからである。

よって、画像形成装置２は、復号することができなかった場合は（図１７の＃１６２でＮｏ）、ＳＣＡＮ−ＴＯ−ＰＣの処理対象のドキュメントの世代が最新でないと判別し（＃１６３）、ＳＣＡＮ−ＴＯ−ＰＣの処理を中止する。

復号することができた場合は（＃１６２でＹｅｓ）、そのドキュメントの世代が最新であると判別し（＃１６４）、従来のパスワードの文字列とは異なる新しいパスワードを発行する（＃１６５）。

そのドキュメントのドキュメントナンバおよび新しいパスワードを埋め込んだ地紋画像ＧＰを生成する（＃１６６）。その地紋画像ＧＰとドキュメントの画像とを所定の位置に配置して複製用画像ＧＡ３を生成し、その画像データをファイル化してドキュメントファイルＳＮＦを生成する（＃１６７）。そして、そのドキュメントファイルＳＮＦを、ユーザが指定した送信先に送信する（＃１６８）。これで、ドキュメントを送信する処理が完了する。

第ｘ世代のドキュメントに対して再びＳＣＡＮ−ＴＯ−ＰＣが実行されないようにするために、次のような処理を実行する。ドキュメント画像ＧＡ２をファイル化することによってドキュメントファイルＤＣＦを生成し直し（＃１６９）、これを新しいパスワードによって暗号化する（＃１７０）。または、再生成は行わず、ドキュメントサーバ３からダウンロードし復号したドキュメントファイルＤＣＦを新しいパスワードによって暗号化し直す（＃１７０）。

そして、暗号化したドキュメントファイルＤＣＦおよびそれに関するドキュメント情報ＤＣＪをドキュメントサーバ３に送信し、これらを、ドキュメントサーバ３に現在保存されているそのドキュメントの従来のドキュメントファイルＤＣＦおよびドキュメント情報ＤＣＪと置き換えるように要求する（＃１７１）。

また、ステップ＃１６５の処理の後、適当なタイミングで、ドキュメントナンバおよび新しいパスワードを表示しユーザに知らせる（＃１７２）。

図１８は画像形成装置２の全体的な処理フローチャートである。次に、図１８のフローチャートを参照しながら、画像形成装置２の全体的な処理の流れを説明する。

画像形成装置２にログインしたユーザが図６の処理指令画面ＨＧ２の「ドキュメント新規登録」ボタンを押した場合は（図１８の＃１でＹｅｓ）、画像形成装置２は、新規に管理するドキュメントのデータをドキュメントサーバ３に登録するための処理を行う（＃２）。具体的には、そのドキュメントのドキュメントファイルＤＣＦおよびドキュメント情報ＤＣＪをドキュメントサーバ３に登録する。ドキュメントファイルＤＣＦは、共通鍵暗号方式によって暗号化しておく。その際に暗号鍵として使用したパスワードは、ユーザに知らせておく。

ユーザが「コピー」ボタンを押した場合は（＃３でＹｅｓ）、画像形成装置２は、ドキュメントをコピーする処理を行う（＃４）。係る処理の内容は、前に図１２および図１３で説明した通りである。

ユーザが「スキャン」ボタンを押した場合は（＃５でＹｅｓ）、画像形成装置２は、ドキュメントのＳＣＡＮ−ＴＯ−ＰＣの処理を行う（＃６）。係る処理の内容は、前に図１６および図１７で説明した通りである。

ユーザが上記以外の操作を行うと（＃１、＃３、＃５のすべてでＮｏ）、従来通り、それに応じた処理を行う（＃７）。

本実施形態によると、ドキュメントのコピーまたはＳＣＡＮ−ＴＯ−ＰＣを行う際に、要求者に対してパスワードを入力させた。そして、そのパスワードが正しくかつ最新の世代（版）に係ることが確認できたら、コピーまたはＳＣＡＮ−ＴＯ−ＰＣを認めた。これにより、ドキュメントのセキュリティの管理および世代の管理を容易に行うことができる。さらに、コピーまたはＳＣＡＮ−ＴＯ−ＰＣの処理後、パスワードを発行し直した。これにより、古くなった世代のドキュメントのコピーまたはＳＣＡＮ−ＴＯ−ＰＣを禁止し、セキュリティの管理を一層厳格に行うことができる。

本実施形態では、ドキュメントのコピーを行う場合およびＳＣＡＮ−ＴＯ−ＰＣを行う場合を例に説明したが、ＰＣプリント（ネットワークプリンティング）を行う場合は、画像形成装置２およびドキュメントサーバ３は次のように機能する。

パーソナルコンピュータにおいて、ドキュメントファイルＳＮＦが所定のアプリケーション（例えば、ＰＤＦファイルのビューア）によってオープンされ、ドキュメントが表示されているとする。ここで、ユーザが印刷指令を入力すると、パーソナルコンピュータは、そのドキュメントファイルＳＮＦを画像形成装置２に送信する。

画像形成装置２は、ドキュメントファイルＳＮＦを受信すると、タッチパネル２０ｊに図１１で説明したようなドキュメントパスワード入力画面ＨＧ３を表示し、ユーザがそのドキュメントのパスワードを入力するのを待つ。ここで、ユーザがパスワードを入力すると、画像形成装置２は、そのパスワードを復号鍵として使用してドキュメントファイルＳＮＦを復号し、そのドキュメントファイルＳＮＦに基づいてＲＩＰによってドキュメントの画像をビットマップ展開する。ＲＩＰによる処理と並行して、ドキュメントナンバおよびパスワードを埋め込んだ地紋画像ＧＰを生成する。そして、ドキュメントの画像および地紋画像ＧＰをそれぞれ所定の位置に配置し、両画像を白紙に印刷する。

図１９は画像形成装置２の全体的な処理の変形例を説明するためのフローチャートである。

本実施形態では、セキュリティの管理および世代の管理の対象のドキュメントのドキュメントファイルＤＣＦおよびドキュメント情報ＤＣＪを予めドキュメントサーバ３に登録しておいたが、ドキュメントファイルＤＣＦおよびドキュメント情報ＤＣＪが登録されていない場合は、画像形成装置２は、例えば図１９に示すように処理を行ってもよい。

処理対象のドキュメントが記された用紙をスキャンすることによって、そのドキュメントの画像および地紋画像ＧＰを取得する（図１９の＃２１）。ユーザにそのドキュメントのパスワードを入力させ（＃２２）、入力されたパスワードと地紋画像ＧＰに示されるパスワードとが一致する場合は（＃２３でＹｅｓ）、そのドキュメントを複製する権限を有するユーザであると判別し、ステップ＃２４以降の処理を継続する。一致しない場合は（＃２３でＮｏ）、そのドキュメントを複製する権限を有しないと判別し、処理を中止する。

今回の処理がＳＣＡＮ−ＴＯ−ＰＣである場合は（図１９の＃２４でＹｅｓ）、地紋画像ＧＰに示されるドキュメントナンバに対応するドキュメントファイルＤＣＦがドキュメントサーバ３に存在するか否かをチェックし、存在すれば（＃２５でＹｅｓ）、図１６および図１７のステップ＃１６０〜＃１７２で説明した処理を実行する（＃２６）。存在しない場合は（＃２５でＮｏ）、ステップ＃２１で取得したドキュメントの画像および地紋画像ＧＰの画像データを所定のフォーマット（例えば、ＰＤＦ）のファイルに変換し、これを、地紋画像ＧＰに示されるパスワードを暗号鍵として使用して暗号化する（＃２７）。そして、暗号化されたファイルを、ユーザが指定した宛先に送信する（＃２８）。

今回の処理がコピーである場合は（図１９の＃２４でＮｏ）、
地紋画像ＧＰに示されるドキュメントナンバに対応するドキュメントファイルＤＣＦがドキュメントサーバ３に存在するか否かをチェックし、存在すれば（＃２９でＹｅｓ）、図１２および図１３のステップ＃１１０〜＃１２２で説明した処理を実行する（＃３０）。存在しない場合は（＃２９でＮｏ）、そのドキュメントの画像に地紋画像ＧＰを埋め込んだ画像を白紙に印刷する（＃３１）。

本実施形態では、共通鍵暗号方式によって暗号化および復号を行ったが、公開鍵暗号方式を用いてもよい。この場合は、地紋画像ＧＰに埋め込むパスワードとして公開鍵を用い、ユーザに知らせるパスワードとして秘密鍵を用いればよい。公開鍵暗号化方式を用いると、地紋画像ＧＰに埋め込まれているパスワードが不正に解読されたとしても、ドキュメントの不正な複製を防止することができる。

本実施形態では、ドキュメントサーバ３のドキュメント情報データベースＤＢ１（図７参照）においてドキュメントのパスワードを管理するように構成したが、管理しないように構成してもよい。この場合は、画像形成装置２は、ドキュメントファイルＤＣＦの暗号化のために使用したパスワードをドキュメントサーバ３に通知する必要はない。このようにパスワードの送受信を行わないようにすることによって、セキュリティを向上させることができる。

ドキュメント管理システム１に画像形成装置２が複数台設けられている場合にも、本発明を適用することができる。または、ドキュメントを管理する機能（いわゆるボックス機能）が設けられている画像形成装置２単体にも、本発明を適用することができる。

コピーまたはＳＣＡＮ−ＴＯ−ＰＣを行うごとに「第２世代」、「第３世代」、「第４世代」、…のように世代の番号をカウントし、その番号をドキュメントナンバおよびパスワードとともに地紋画像ＧＰに埋め込んでもよい。または、ドキュメント情報ＤＣＪに含めるようにしてもよい。

図１２のステップ＃１０３または図１６のステップ＃１５３においてドキュメントナンバが得られなかった場合は、コピーまたはＳＣＡＮ−ＴＯ−ＰＣを行おうとしているドキュメントがセキュリティ管理および世代管理の対象外であるものとみなし、ステップ＃１０４またはステップ＃１５４以降の処理をスキップし、従来通りにそのドキュメントのコピーまたはＳＣＡＮ−ＴＯ−ＰＣを行うようにしてもよい。

本実施形態では、ユーザが入力したパスワードと地紋画像ＧＰに示されるパスワードとが一致しなかった場合またはドキュメントファイルＤＣＦの復号を行うことができなかった場合に、コピーの処理を中止したが、地紋画像ＧＰの代わりに用紙全体に「コピー」という地紋を入れてドキュメントの印刷を行うようにしてもよい。または、地紋画像ＧＰの代わりに「コピー」という地紋を入れたドキュメントの画像の画像データをドキュメントファイルＳＮＦとしてパーソナルコンピュータに送信してもよい。

本実施形態では、地紋画像を使用することによってドキュメントナンバおよびパスワードを人間にとって識別困難にしたが、下記の公知技術文献３に記載される技術によって写真またはロゴマークなどにドキュメントナンバおよびパスワードを埋め込み、それを地紋画像ＧＰの代わりに使用してもよい。

〔公知技術文献３〕” ベクターソフトニュース−ステガノＶｉｓｉｏｎ２０００”，株式会社ベクター，２００６年３月７日インターネット検索，ＵＲＬ：http://www.vector.co.jp/magazine/softnews/000802/n0008021.html
その他、ドキュメント管理システム１、画像形成装置２、ドキュメントサーバ３の全体または各部の構成、処理内容、処理順序、データベースの構成などは、本発明の趣旨に沿って適宜変更することができる。

ドキュメント管理システムの全体的な構成の例を示す図である。 画像形成装置のハードウェア構成の例を示す図である。 画像形成装置の機能的構成の例を示す図である。 ドキュメントの画像と地紋画像との位置関係の例を示す図である。 ログイン画面の例を示す図である。 処理指令画面の例を示す図である。 ドキュメント情報データベースの例を示す図である。 ドキュメント新規登録処理部の構成の例を示す図である。 ドキュメントコピー処理部の構成の例を示す図である。 ドキュメント画像と地紋画像とを分離する方法の例を説明するための図である。 ドキュメントパスワード入力画面の例を示す図である。 ドキュメントコピー処理の流れの例を説明するためのフローチャートである。 ドキュメントコピー処理の流れの例を説明するためのフローチャートである。 ドキュメントスキャン送信処理部の構成の例を示す図である。 ドキュメントパスワード等入力画面の例を示す図である。 ＳＣＡＮ−ＴＯ−ＰＣ処理の流れの例を説明するためのフローチャートである。 ＳＣＡＮ−ＴＯ−ＰＣ処理の流れの例を説明するためのフローチャートである。 画像形成装置の全体的な処理フローチャートである。 画像形成装置の全体的な処理の変形例を説明するためのフローチャートである。

符号の説明

１ ドキュメント管理システム
２０ｇ スキャナユニット（画像読取手段）
２０ｈ 印刷ユニット（ドキュメント複製処理手段）
２０ｊ タッチパネル（キー入力手段、変更キー通知手段）
２０ｋ 操作キー部（キー入力手段）
２ＲＶ ユーザ指令等受付部
２２ａ 画像読取制御部（画像読取手段）
２２ｄ、２３ｄ 権限有無判別部（権限有無判別手段）
２２ｆ ファイル復号処理部（復号手段）
２２ｇ、２３ｇ パスワード発行部（キー変更手段）
２２ｈ 複製用画像生成部（ドキュメント複製処理手段）
２２ｉ 画像印刷制御部（ドキュメント複製処理手段）
２２ｋ ファイル暗号化処理部（暗号化手段）
２３ａ 画像読取制御部（キー画像読取手段）
２３ｈ 送信用ファイル生成部（ドキュメント複製処理手段）
３ ドキュメントサーバ（電子データ保存手段）
ＤＣＦ ドキュメントファイル（電子データ）
ＧＰ 地紋画像（キー画像）
ＨＧ３ ドキュメントパスワード入力画面
ＨＧ４ ドキュメントパスワード等入力画面

Claims (15)

1. 人間には識別が困難な形態で第一のキーを表わす画像であるキー画像とともにドキュメントの画像を用紙に記しておき、
   前記ドキュメントを複製する権限を有する者に対して、前記第一のキーに対応する第二のキーを知らせておき、
   前記ドキュメントを複製するように要求する要求者に前記第二のキーを入力させ、
   前記用紙をスキャンすることによって前記ドキュメントの画像および前記キー画像を取得し、
   前記要求者に入力させた前記第二のキーおよび取得した前記キー画像が表わす前記第一のキーに基づいて当該要求者が前記権限を有するか否かを判別し、
   前記権限を有すると判別することができた場合に、前記第一のキーの内容および前記第二のキーの内容を変更し、
   変更後の前記第一のキーを表わす前記キー画像ととも前記ドキュメントの画像を記録媒体に複製するための複製処理を行い、
   変更後の前記第二のキーを、前記記録媒体に複製された前記ドキュメントを複製する権限を有する者に知らせる、
   ことを特徴とするドキュメント管理方法。
2. 前記キー画像および前記ドキュメントの画像を他の用紙に印刷することによって前記複製処理を実行する、
   請求項１記載のドキュメント管理方法。
3. 前記キー画像および前記ドキュメントの画像を再現するための電子データを前記要求者が指定した送信先に送信することによって前記複製処理を実行する、
   請求項１記載のドキュメント管理方法。
4. 前記権限を有すると判別することができない場合は、前記ドキュメントを複製するのを拒否する、
   請求項１ないし請求項３のいずれかに記載のドキュメント管理方法。
5. 人間には識別が困難な形態で第一のキーを表わす画像であるキー画像とともにドキュメントの画像を用紙に記しておき、
   前記ドキュメントを複製する権限を有する者に対して、前記第一のキーに対応する第二のキーを知らせておき、
   前記ドキュメントの画像を再現するための電子データを前記第二のキーに対応する第三のキーによって暗号化して保存しておき、
   前記ドキュメントを複製するように要求する要求者に前記第二のキーを入力させ、
   前記用紙をスキャンすることによって前記キー画像を取得し、
   前記要求者に入力させた前記第二のキーおよび取得した前記キー画像が表わす前記第一のキーに基づいて当該要求者が前記権限を有するか否かを判別し、
   前記要求者に入力させた前記第二のキーによって前記電子データを復号する処理を実行し、
   前記権限を有すると判別することができかつ前記電子データを復号することができた場合に、前記第一のキーの内容、前記第二のキーの内容、および前記第三のキーの内容を変更し、
   変更後の前記第一のキーを表わす前記キー画像ととも前記ドキュメントの画像を記録媒体に複製するための複製処理を行い、
   復号した前記電子データを変更後の前記第三のキーによって暗号化し直し、
   変更後の前記第二のキーを、前記記録媒体に複製された前記ドキュメントを複製する権限を有する者に知らせる、
   ことを特徴とするドキュメント管理方法。
6. 前記キー画像および前記ドキュメントの画像を他の用紙に印刷することによって前記複製処理を実行する、
   請求項５記載のドキュメント管理方法。
7. 前記キー画像および前記ドキュメントの画像を再現するための第二の電子データを前記要求者が指定した送信先に送信することによって前記複製処理を実行する、
   請求項５記載のドキュメント管理方法。
8. 前記権限を有すると判別することができない場合または前記電子データを復号することができない場合は、前記ドキュメントを複製するのを拒否する、
   請求項５ないし請求項７のいずれかに記載のドキュメント管理方法。
9. 前記第一のキー、前記第二のキー、および前記第三のキーは、すべて同じ文字列を示し、
   前記電子データを共通暗号化方式によって暗号化する、
   請求項５ないし請求項８のいずれかに記載のドキュメント管理方法。
10. 前記第一のキーおよび前記第二のキーは、それぞれ、公開鍵暗号方式の公開鍵および秘密鍵である、
    請求項５ないし請求項８のいずれかに記載のドキュメント管理方法。
11. 人間には識別が困難な形態で第一のキーを表わす画像であるキー画像とともにドキュメントの画像を用紙に記しておき、
    前記ドキュメントを複製する権限を有する者に対して、前記第一のキーに対応する第二のキーを知らせておき、
    前記ドキュメントを複製するように要求する要求者に前記第二のキーを入力させ、
    前記用紙をスキャンすることによって前記ドキュメントの画像および前記キー画像を取得し、
    前記要求者に入力させた前記第二のキーおよび取得した前記キー画像が表わす前記第一のキーに基づいて当該要求者が前記権限を有するか否かを判別し、
    前記権限を有すると判別することができた場合に、前記ドキュメントの画像の画像データを、前記第二のキーを暗号鍵として使用して暗号化し、
    暗号化した前記画像データを前記要求者が指定した宛先に送信する、
    ことを特徴とするドキュメント管理方法。
12. 用紙をスキャンすることによって、当該用紙に記されているドキュメントの画像および人間には識別が困難な形態で第一のキーを表わす画像であるキー画像を読み取る、画像読取手段と、
    前記第一のキーに対応する第二のキーをユーザに入力させるキー入力手段と、
    前記ユーザに入力させた前記第二のキーおよび読み取った前記キー画像が表わす前記第一のキーに基づいて当該ユーザが前記ドキュメントを複製する権限を有するか否かを判別する権限有無判別手段と、
    前記権限を有すると判別することができた場合に、前記第一のキーの内容および前記第二のキーの内容を変更するキー変更手段と、
    変更後の前記第一のキーを表わす前記キー画像ととも前記ドキュメントの画像を記録媒体に複製するための複製処理を行う、ドキュメント複製処理手段と、
    変更後の前記第二のキーを、前記記録媒体に複製された前記ドキュメントを複製する権限を有する者に知らせる、変更キー通知手段と、
    を有することを特徴とするドキュメント管理システム。
13. 用紙をスキャンすることによって、当該用紙に記されているドキュメントの画像とともに記されている、人間には識別が困難な形態で第一のキーを表わす画像であるキー画像を読み取る、キー画像読取手段と、
    前記第一のキーに対応する第二のキーをユーザに入力させるキー入力手段と、
    前記ドキュメントの画像を再現するための電子データを前記第二のキーに対応する第三のキーによって暗号化して保存する電子データ保存手段と、
    前記ユーザに入力させた前記第二のキーおよび読み取った前記キー画像が表わす前記第一のキーに基づいて当該ユーザが前記ドキュメントを複製する権限を有するか否かを判別する権限有無判別手段と、
    前記ユーザに入力させた前記第二のキーによって前記電子データを復号する復号手段と、
    前記権限を有すると判別することができかつ前記電子データを復号することができた場合に、前記第一のキーの内容、前記第二のキーの内容、および前記第三のキーの内容を変更する、キー変更手段と、
    変更後の前記第一のキーを表わす前記キー画像ととも前記ドキュメントの画像を記録媒体に複製するための複製処理を行う、複製処理手段と、
    復号した前記電子データを変更後の前記第三のキーによって暗号化し直す暗号化手段と、
    変更後の前記第二のキーを、前記記録媒体に複製された前記ドキュメントを複製する権限を有する者に知らせる、キー通知手段と、
    を有することを特徴とするドキュメント管理システム。
14. ドキュメントの管理を行うコンピュータに用いられるコンピュータプログラムであって、
    前記コンピュータに、
    用紙に記されている前記ドキュメントの画像および人間には識別が困難な形態で第一のキーを表わす画像であるキー画像を読み取る処理を実行させ、
    前記第一のキーに対応する第二のキーをユーザに入力させる処理を実行させ、
    前記ユーザに入力させた前記第二のキーおよび読み取った前記キー画像が表わす前記第一のキーに基づいて当該ユーザが前記ドキュメントを複製する権限を有するか否かを判別する処理を実行させ、
    前記権限を有すると判別することができた場合に、前記第一のキーの内容および前記第二のキーの内容を変更する処理を実行させ、
    変更後の前記第一のキーを表わす前記キー画像ととも前記ドキュメントの画像を記録媒体に複製する処理を実行させ、
    変更後の前記第二のキーを、前記記録媒体に複製された前記ドキュメントを複製する権限を有する者に知らせる処理を実行させる、
    ことを特徴とするコンピュータプログラム。
15. ドキュメントの管理を行うコンピュータに用いられるコンピュータプログラムであって、
    前記コンピュータに、
    前記ドキュメントの画像とともに用紙に記されている、人間には識別が困難な形態で第一のキーを表わす画像であるキー画像を読み取る処理を実行させ、
    前記第一のキーに対応する第二のキーをユーザに入力させる処理を実行させ、
    前記ユーザに入力させた前記第二のキーおよび読み取った前記キー画像が表わす前記第一のキーに基づいて当該ユーザが前記ドキュメントを複製する権限を有するか否かを判別する処理を実行させ、
    保存手段に保存されている、前記第二のキーに対応する第三のキーによって暗号化されている前記ドキュメントの画像を再現するための電子データを、前記ユーザに入力させた前記第二のキーによって前記電子データを復号する処理を実行させ、
    前記権限を有すると判別することができかつ前記電子データを復号することができた場合に、前記第一のキーの内容、前記第二のキーの内容、および前記第三のキーの内容を変更する処理を実行させ、
    変更後の前記第一のキーを表わす前記キー画像ととも前記ドキュメントの画像を記録媒体に複製する処理を実行させ、
    復号した前記電子データを変更後の前記第三のキーによって暗号化し直す処理を実行させ、
    変更後の前記第二のキーを、前記記録媒体に複製された前記ドキュメントを複製する権限を有する者に知らせる処理を実行させる、
    ことを特徴とするコンピュータプログラム。