特開 2024-27252 情報処理システム、情報処理装置、およびプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024027252

(43)【公開日】2024-03-01

(54)【発明の名称】情報処理システム、情報処理装置、およびプログラム

(51)【国際特許分類】

   G06F 3/12 20060101AFI20240222BHJP

   G09C 5/00 20060101ALI20240222BHJP

   G06F 40/279 20200101ALI20240222BHJP

   G06F 16/335 20190101ALI20240222BHJP

【ＦＩ】

G06F3/12 338

G06F3/12 322

G06F3/12 344

G09C5/00

G06F40/279

G06F16/335

【審査請求】未請求

【請求項の数】13

【出願形態】ＯＬ

(21)【出願番号】P 2022129895

(22)【出願日】2022-08-17

(71)【出願人】

【識別番号】000005496

【氏名又は名称】富士フイルムビジネスイノベーション株式会社

(74)【代理人】

【識別番号】100104880

【弁理士】

【氏名又は名称】古部 次郎

(74)【代理人】

【識別番号】100125346

【弁理士】

【氏名又は名称】尾形 文雄

(72)【発明者】

【氏名】筬島 健太郎

【テーマコード（参考）】

5B091

5B175

【Ｆターム（参考）】

5B091AA15

5B175BA01

5B175DA01

(57)【要約】

【課題】情報漏洩のリスクを低減化させる処理として、入力文書の要素の一部を置換する処理を行う際、置換の処理が一律に行われる場合に比べてユーザが意図する利便性を得られるようにする。
【解決手段】情報処理システムを構成する管理サーバ１０は、制御部１１を備え、制御部１１では、対象要素管理部１０１が、入力文書に含まれる要素のうち秘匿化の対象となる対象要素と、その対象要素を秘匿化して出力文書として出力する際の出力場所に関する条件を少なくとも含む秘匿条件とを管理し、秘匿化制御部１０７が、秘匿条件に応じて、対象要素を秘匿化する制御を行い、送信制御部１０８が、出力文書を出力する制御を行う。
【選択図】図４

【特許請求の範囲】

【請求項1】

１または複数のプロセッサを備え、
前記１または複数のプロセッサは、
入力文書に含まれる要素のうち秘匿化の対象となる対象要素と、当該対象要素を秘匿化して出力文書として出力する際の出力場所に関する条件を少なくとも含む秘匿条件とを管理し、
前記秘匿条件に応じて、前記対象要素を秘匿化する制御と、前記出力文書を出力する制御とを行うことを特徴とする、
情報処理システム。

【請求項2】

前記１または複数のプロセッサは、前記秘匿化する制御として、前記対象要素を外観の異なる代替要素に置換する制御を行うことを特徴とする、
請求項１に記載の情報処理システム。

【請求項3】

前記代替要素は、前記対象要素ごと、および当該対象要素の種類ごとに予め定められていることを特徴とする、
請求項２に記載の情報処理システム。

【請求項4】

前記１または複数のプロセッサは、前記対象要素としての文字列および画像と、前記代替要素としての文字列および画像との対応関係を示す情報を出力する制御を行うことを特徴とする、
請求項２に記載の情報処理システム。

【請求項5】

前記１または複数のプロセッサは、前記出力場所に関する条件として、前記出力文書を出力する出力装置の設置場所に応じて、前記秘匿化の有無および程度を決定することを特徴とする、
請求項１に記載の情報処理システム。

【請求項6】

前記１または複数のプロセッサは、
前記出力装置の設置場所ごとに、前記秘匿化の有無および程度を示す秘匿レベルを対応付けて管理し、
前記秘匿レベルに応じて、前記秘匿化の有無および程度を決定することを特徴とする、
請求項５に記載の情報処理システム。

【請求項7】

前記秘匿レベルには、前記秘匿化の程度として、当該秘匿化にユーザの指示を必要とするものと、当該指示を必要としないものとが含まれることを特徴とする、
請求項６に記載の情報処理システム。

【請求項8】

前記１または複数のプロセッサは、前記入力文書に含まれる要素のうち、前記対象要素との類似性が認められる範囲として予め定められた範囲に属する要素を、当該対象要素として秘匿化する制御を行うことを特徴とする、
請求項１に記載の情報処理システム。

【請求項9】

前記予め定められた範囲が、前記入力文書に含まれる要素の種類ごとに定められることを特徴とする、
請求項８に記載の情報処理システム。

【請求項10】

前記予め定められた範囲は、前記入力文書に含まれる要素のうち文字列よりも画像の方がより広範になるように定められることを特徴とする、
請求項９に記載の情報処理システム。

【請求項11】

プロセッサを備え、
前記プロセッサは、
入力文書に含まれる要素のうち秘匿化の対象となる対象要素と、当該対象要素を秘匿化して出力文書として出力する際の出力場所に関する条件を少なくとも含む秘匿条件とを管理し、
前記対象要素を特定した前記入力文書と、前記秘匿条件とを前記出力場所に設置された出力装置に向けて送信する制御とを行うことを特徴とする、
情報処理装置。

【請求項12】

プロセッサを備え、
前記プロセッサは、
秘匿化の対象となる対象要素を含む入力文書と、当該対象要素を秘匿化して出力文書として出力する際の出力場所に関する条件を少なくとも含む秘匿条件とを取得し、
前記出力文書を出力する際の出力場所が前記秘匿条件を満たした場合に、前記対象要素を秘匿化する制御と、当該出力文書を出力する制御とを行うことを特徴とする、
情報処理装置。

【請求項13】

コンピュータに、
入力文書に含まれる要素のうち秘匿化の対象となる対象要素と、当該対象要素を秘匿化して出力文書として出力する際の出力場所に関する条件を少なくとも含む秘匿条件とを管理する機能と、
前記秘匿条件に応じて、前記対象要素を秘匿化する制御と、前記出力文書を出力する制御とを行う機能と、
を実現させるためのプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、情報処理システム、情報処理装置、およびプログラムに関する。

【背景技術】

【0002】

情報セキュリティの観点から、入力文書の要素ごとに出力の可否を判定し、出力不可と判定した要素を伏せ字等に置換した出力文書を出力する技術が知られている（例えば、特許文献１）。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２００１－３２５２４９号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

このような技術では、置換後の要素の外観が一律となるため、出力文書を利用するユーザが意図する利便性を得られないことがある。

【0005】

本発明の目的は、情報漏洩のリスクを低減化させる処理として、入力文書の要素の一部を置換する処理を行う際、置換の処理が一律に行われる場合に比べてユーザが意図する利便性を得られるようにすることにある。

【課題を解決するための手段】

【0006】

請求項１に記載された発明は、１または複数のプロセッサを備え、前記１または複数のプロセッサは、入力文書に含まれる要素のうち秘匿化の対象となる対象要素と、当該対象要素を秘匿化して出力文書として出力する際の出力場所に関する条件を少なくとも含む秘匿条件とを管理し、前記秘匿条件に応じて、前記対象要素を秘匿化する制御と、前記出力文書を出力する制御とを行うことを特徴とする、情報処理システムである。
請求項２に記載された発明は、前記１または複数のプロセッサは、前記秘匿化する制御として、前記対象要素を外観の異なる代替要素に置換する制御を行うことを特徴とする、請求項１に記載の情報処理システムである。
請求項３に記載された発明は、前記代替要素は、前記対象要素ごと、および当該対象要素の種類ごとに予め定められていることを特徴とする、請求項２に記載の情報処理システムである。
請求項４に記載された発明は、前記１または複数のプロセッサは、前記対象要素としての文字列および画像と、前記代替要素としての文字列および画像との対応関係を示す情報を出力する制御を行うことを特徴とする、請求項２に記載の情報処理システムである。
請求項５に記載された発明は、前記１または複数のプロセッサは、前記出力場所に関する条件として、前記出力文書を出力する出力装置の設置場所に応じて、前記秘匿化の有無および程度を決定することを特徴とする、請求項１に記載の情報処理システムである。
請求項６に記載された発明は、前記１または複数のプロセッサは、前記出力装置の設置場所ごとに、前記秘匿化の有無および程度を示す秘匿レベルを対応付けて管理し、前記秘匿レベルに応じて、前記秘匿化の有無および程度を決定することを特徴とする、請求項５に記載の情報処理システムである。
請求項７に記載された発明は、前記秘匿レベルには、前記秘匿化の程度として、当該秘匿化にユーザの指示を必要とするものと、当該指示を必要としないものとが含まれることを特徴とする、請求項６に記載の情報処理システムである。
請求項８に記載された発明は、前記１または複数のプロセッサは、前記入力文書に含まれる要素のうち、前記対象要素との類似が認められる範囲として予め定められた範囲に属する要素を、当該対象要素として秘匿化する制御を行うことを特徴とする、請求項１に記載の情報処理システムである。
請求項９に記載された発明は、前記予め定められた範囲が、前記入力文書に含まれる要素の種類ごとに定められることを特徴とする、請求項８に記載の情報処理システムである。
請求項１０に記載された発明は、前記予め定められた範囲は、前記入力文書に含まれる要素のうち文字列よりも画像の方がより広範になるように定められることを特徴とする、請求項９に記載の情報処理システムである。
請求項１１に記載された発明は、プロセッサを備え、前記プロセッサは、入力文書に含まれる要素のうち秘匿化の対象となる対象要素と、当該対象要素を秘匿化して出力文書として出力する際の出力場所に関する条件を少なくとも含む秘匿条件とを管理し、前記対象要素を特定した前記入力文書と、前記秘匿条件とを前記出力場所に設置された出力装置に向けて送信する制御とを行うことを特徴とする、情報処理装置である。
請求項１２に記載された発明は、プロセッサを備え、前記プロセッサは、秘匿化の対象となる対象要素を含む入力文書と、当該対象要素を秘匿化して出力文書として出力する際の出力場所に関する条件を少なくとも含む秘匿条件とを取得し、前記出力文書を出力する際の出力場所が前記秘匿条件を満たした場合に、前記対象要素を秘匿化する制御と、当該出力文書を出力する制御とを行うことを特徴とする、情報処理装置である。
請求項１３に記載された発明は、コンピュータに、入力文書に含まれる要素のうち秘匿化の対象となる対象要素と、当該対象要素を秘匿化して出力文書として出力する際の出力場所に関する条件を少なくとも含む秘匿条件とを管理する機能と、前記秘匿条件に応じて、前記対象要素を秘匿化する制御と、前記出力文書を出力する制御とを行う機能と、を実現させるためのプログラムである。

【発明の効果】

【0007】

請求項１の本発明によれば、情報漏洩のリスクを低減化させる処理として、入力文書の要素の一部を置換する処理を行う際、置換の処理が一律に行われる場合に比べてユーザが意図する利便性を得られるようにする情報処理システムを提供できる。
請求項２の本発明によれば、対象要素が代替要素に置換されるので、出力文書を利用するユーザの利便性を向上させることができる。
請求項３の本発明によれば、対象要素ごと、または対象要素の種類ごとに代替要素を設定できるので、出力文書を利用するユーザによる内容の理解を助けることができる。
請求項４の本発明によれば、秘匿化された出力文書を利用する権限を有するユーザによる内容の理解を助けるとともに、出力文書を入手した部外者による内容の理解を妨げることができる。
請求項５の本発明によれば、出力文書を出力する出力装置の設置場所に応じた秘匿化により、ユーザの利便性を向上させることができる。
請求項６の本発明によれば、出力文書を出力する出力装置の設置場所ごとに設定された秘匿レベルに応じて秘匿化の有無および程度が決定されるので、ユーザの利便性を向上させることができる。
請求項７の本発明によれば、出力文書を出力する出力装置の設置場所ごとに設定された秘匿レベルに応じて秘匿化にユーザの指示を要するか否かが決定されるので、ユーザの利便性を向上させることができる。
請求項８の本発明によれば、対象要素と判定される範囲を予め設定することが可能となるので、ユーザが意図しない置換処理が行われないように調整することができる。これにより、ユーザの利便性が向上する。
請求項９の本発明によれば、「予め定められた範囲」が要素の種類ごとに定められるので、要素の特徴に応じた置換が可能となる。
請求項１０の本発明によれば、「予め定められた範囲」の判定において、文字列については厳格に行い、画像については「向きの違い」等を考慮した判定が可能となる。
請求項１１の本発明によれば、情報漏洩のリスクを低減化させる処理として、入力文書の要素の一部を置換する処理を行う際、置換の処理が一律に行われる場合に比べてユーザが意図する利便性を得られるようにする情報処理装置を提供できる。
請求項１２の本発明によれば、情報漏洩のリスクを低減化させる処理として、入力文書の要素の一部を置換する処理を行う際、置換の処理が一律に行われる場合に比べてユーザが意図する利便性を得られるようにする情報処理装置を提供できる。
請求項１３の本発明によれば、情報漏洩のリスクを低減化させる処理として、入力文書の要素の一部を置換する処理を行う際、置換の処理が一律に行われる場合に比べてユーザが意図する利便性を得られるようにするプログラムを提供できる。

【図面の簡単な説明】

【0008】

【図1】本実施の形態が適用される情報処理システムの全体構成の一例を示す図である。

【図2】本実施の形態が適用される情報処理装置としての管理サーバのハードウェア構成を示す図である。

【図3】本実施の形態が適用される情報処理装置としての画像形成装置のハードウェア構成を示す図である。

【図4】管理サーバの制御部の機能構成を示す図である。

【図5】ユーザ端末の制御部の機能構成を示す図である。

【図6】画像形成装置の制御部の機能構成を示す図である。

【図7】管理サーバの処理のうち、対象要素、代替要素、および秘匿条件を登録するまでの処理の流れを示すフローチャートである。

【図8】管理サーバの処理のうち、画像形成装置の設置場所を登録してから、対象要素を秘匿化した出力文書を生成するまでの処理の流れを示すフローチャートである。

【図9】画像形成装置の処理の流れを示すフローチャートである。

【図10】データベースに記憶された対象要素の具体例を示す図である。

【図11】データベースに記憶された秘匿条件の具体例を示す図である。

【図12】データベースに記憶された画像形成装置の情報の具体例を示す図である。

【図13】入力文書および出力文書の具体例を示す図である。

【図14】ユーザが対象要素の秘匿化の有無を指示する際、画像形成装置に表示されるユーザインターフェースの具体例を示す図である。

【発明を実施するための形態】

【0009】

以下、添付図面を参照して、本発明の実施の形態について詳細に説明する。
（情報処理システムの構成）
図１は、本実施の形態が適用される情報処理システム１の全体構成の一例を示す図である。
情報処理システム１は、管理サーバ１０と、ユーザ端末３０と、画像形成装置５０－１乃至５０－ｎ（ｎは２以上の整数値）とがネットワーク９０を介して接続されることにより構成されている。ネットワーク９０は、例えば、ＬＡＮ（Local Area Network）、インターネット等である。なお、画像形成装置５０－１乃至５０－ｎの各々を個別に説明する必要がない場合、これらをまとめて画像形成装置５０と呼ぶ。

【0010】

管理サーバ１０は、情報処理システム１の全体を管理するサーバとしての情報処理装置である。管理サーバ１０は、例えば、入力された文書（以下、「入力文書」と呼ぶ。）に含まれる要素のうち、秘匿化の対象となる要素（以下、「対象要素」と呼ぶ。）と、対象要素を秘匿化するための条件（以下、「秘匿条件」と呼ぶ。）とを管理する。「要素」とは、文書を構成する文字列や画像のことをいい、例えば、単語、文節、図形、撮像画像、罫線等が含まれる。

【0011】

また、管理サーバ１０は、秘匿条件に応じて、対象要素を秘匿化し、出力文書として出力する制御を行う。秘匿条件には、出力文書を出力する出力場所に関する条件が少なくとも含まれる。「秘匿化」とは、要素を外観の異なる他の要素（以下、「代替要素」と呼ぶ。）に置換することで、置換後の代替要素を視認した部外者が置換前の対象要素の意味内容を知得できないようにすることをいう。なお、管理サーバ１０によるこれらの処理の詳細については後述する。

【0012】

ユーザ端末３０は、ユーザが操作するパーソナルコンピュータ、スマートフォン、タブレット端末等の情報処理装置である。ユーザ端末３０は、例えば、管理サーバ１０から送信されてきた情報を取得して表示する。また、ユーザ端末３０は、ユーザの入力操作により入力された情報を管理サーバ１０に向けて送信する。なお、ユーザ端末３０による処理の詳細については後述する。

【0013】

画像形成装置５０は、入力文書の画像のデータに基づいて記録媒体に画像を形成する情報処理装置である。また、画像形成装置５０は、画像が形成された記録媒体を出力する出力装置でもある。画像形成装置５０としては、例えば、トナー像を用紙の印刷面に形成するいわゆる電子写真方式の複合機や、インクを用紙の印刷面に吐出するいわゆるインクジェット方式のプリンタ等が挙げられる。画像形成装置５０は、例えば、管理サーバ１０から送信されてきた情報を取得して表示する。また、画像形成装置５０は、ユーザの入力操作により入力された情報を管理サーバ１０に向けて送信する。

【0014】

上述の情報処理システム１の構成は一例であり、情報処理システム１全体として上述の処理を実現させる機能を備えていればよい。このため、上述の処理を実現させる機能のうち、一部または全部を情報処理システム１内で分担してもよいし協働してもよい。すなわち、管理サーバ１０の機能の一部または全部をユーザ端末３０や画像形成装置５０の機能としてもよいし、また、ユーザ端末３０の機能の一部または全部を管理サーバ１０や画像形成装置５０の機能としてもよい。また、画像形成装置５０の機能の一部または全部を管理サーバ１０やユーザ端末３０の機能としてもよい。さらに、情報処理システム１を構成する管理サーバ１０、ユーザ端末３０、および画像形成装置５０の各々の機能の一部または全部を、図示せぬ他のサーバ等に移譲してもよい。これにより、情報処理システム１全体としての処理が促進され、また、処理を補完し合うことも可能となる。

【0015】

（ユーザ端末のハードウェア構成）
図２は、本実施の形態が適用される情報処理装置としての管理サーバ１０のハードウェア構成を示す図である。
管理サーバ１０は、制御部１１と、メモリ１２と、記憶部１３と、通信部１４と、操作部１５と、表示部１６とを有している。これらの各部は、データバス、アドレスバス、ＰＣＩ（Peripheral Component Interconnect）バス等で接続されている。

【0016】

制御部１１は、ＯＳ（基本ソフトウェア）やアプリケーションソフトウェア（応用ソフトウェア）等の各種ソフトウェアの実行を通じてユーザ端末３０の機能の制御を行うプロセッサである。制御部１１は、例えばＣＰＵ（Central Processing Unit）で構成される。メモリ１２は、各種ソフトウェアやその実行に用いるデータ等を記憶する記憶領域であり、演算に際して作業エリアとして用いられる。メモリ１２は、例えばＲＡＭ（Random Access Memory）等で構成される。

【0017】

記憶部１３は、各種ソフトウェアに対する入力データや各種ソフトウェアからの出力データ等を記憶する記憶領域である。記憶部１３は、例えばプログラムや各種設定データなどの記憶に用いられるＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）、半導体メモリ等で構成される。記憶部１３には、各種情報を記憶するデータベースとして、例えば、対象要素が記憶された対象要素ＤＢ１３１、入力文書や出力文書が記憶された文書ＤＢ１３２、秘匿条件が記憶された秘匿条件ＤＢ１３３、出力装置としての画像形成装置５０－１乃至５０－ｎの各々の情報が記憶された出力装置ＤＢ１３４等が格納されている。

【0018】

通信部１４は、ネットワーク９０を介して管理サーバ１０および外部との間でデータの送受信を行う。操作部１５は、例えばキーボード、マウス、機械式のボタン、スイッチで構成され、入力操作を受け付ける。操作部１５には、表示部１６と一体的にタッチパネルを構成するタッチセンサも含まれる。表示部１６は、例えば情報の表示に用いられる液晶ディスプレイや有機ＥＬ（Electro Luminescence）ディスプレイで構成され、画像やテキストのデータなどを表示する。表示部１６には、ワークスペース、検索用のユーザインターフェース等が表示される。

【0019】

（ユーザ端末のハードウェア構成）
ユーザ端末３０のハードウェア構成は、いずれも図２に示す管理サーバ１０のハードウェア構成と同様の構成を備えている。すなわち、ユーザ端末３０は、図２の制御部１１、メモリ１２、記憶部１３、通信部１４、操作部１５、および表示部１６の各々と同様の機能を有する、制御部、メモリ、記憶部、通信部、操作部、および表示部の各々を備えている。このため、ユーザ端末３０のハードウェア構成の図示および説明を省略する。

【0020】

（画像形成装置のハードウェア構成）
図３は、本実施の形態が適用される情報処理装置としての画像形成装置５０のハードウェア構成を示す図である。
画像形成装置５０は、図２の管理サーバ１０のハードウェア構成のうち、制御部１１、メモリ１２、記憶部１３、通信部１４、操作部１５、および表示部１６の各々に対応するハードウェア構成を有している。

【0021】

すなわち、画像形成装置５０は、ＣＰＵ等のプロセッサで構成される制御部５１と、ＲＡＭ等の記憶領域で構成されるメモリ５２と、ＨＤＤやＳＤＤ、半導体メモリ等の記憶領域で構成される記憶部５３とを有している。記憶部５３には、各種情報を記憶するデータベースとして、例えば、自機（画像形成装置５０）の設置場所情報が記憶された出力場所ＤＢ５３１等が格納されている。また、画像形成装置５０は、ネットワーク９０を介して、管理サーバ１０、ユーザ端末３０、および外部との間でデータの送受信を行う通信部５４を有している。また、画像形成装置５０は、タッチパネル等で構成される操作部５５と、液晶ディスプレイや有機ＥＬディスプレイ等で構成される表示部５６を有している。

【0022】

さらに、画像形成装置５０は、これらの構成に加えて、読取部５７と、画像形成部５８とを有している。読取部５７は、記録媒体としての用紙等の媒体（例えば、紙媒体の文書等）に記録された画像を読み取る。読取部５７は、例えば光源から原稿に照射した光に対する反射光をレンズで縮小してＣＣＤ（Charge Coupled Devices）で受光するＣＣＤ方式のスキャナや、ＬＥＤ光源から原稿に順に照射した光に対する反射光をＣＩＳ（Contact Image Sensor）で受光するＣＩＳ方式のスキャナ等で構成される。

【0023】

画像形成部５８は、例えば、電子写真方式やインクジェット方式等により、記録媒体としての用紙の印刷面に、画像データに基づいた画像を形成する。本実施の形態における画像データとしては、例えば、入力文書に含まれる対象要素を代替要素に置換した出力文書の画像データ等が挙げられる。そして、これらの各部は、データバス、アドレスバス、ＰＣＩバス等で接続されている。

【0024】

（管理サーバの制御部の機能構成）
図４は、管理サーバ１０の制御部１１の機能構成を示す図である。
管理サーバ１０の制御部１１では、対象要素管理部１０１と、文書取得部１０２と、対象要素特定部１０３と、秘匿条件管理部１０４と、出力装置管理部１０５と、設置場所特定部１０６と、秘匿化制御部１０７と、送信制御部１０８とが機能する。

【0025】

対象要素管理部１０１は、対象要素をデータベース（例えば、図２の対象要素ＤＢ１３１）に記憶して管理する。対象要素は、予め定められたものであってもよいし、ユーザの入力操作により登録されたものであってもよい。対象要素管理部１０１は、対象要素と代替要素とを対応付けてデータベースに記憶して管理する。具体的には、対象要素管理部１０１は、対象要素ごと、および対象要素の種類ごとに代替要素を対応付けて管理する。

【0026】

データベースにて管理される「対象要素の種類」としては、例えば、対象要素としての「文字列」の種類として、漢字、ひらがな、カタカナ、アルファベット、数字、フォント、色、太さ、ラインマーカの有無等が挙げられる。また、例えば、対象要素としての「画像」の種類として、撮像された画像、描画された画像、カラー、モノクロ等が挙げられる。なお、データベースに記憶された対象要素の具体例については、図１０を参照して後述する。

【0027】

文書取得部１０２は、入力文書を取得する。入力文書としては、例えば、画像形成装置５０に紙媒体の文書を読み取らせることで生成された電子文書、ユーザ端末３０にて作成された電子文書等が挙げられる。文書取得部１０２により取得された入力文書は、データベース（例えば、図２の文書ＤＢ１３２）に記憶されて管理されるようにしてもよい。また、文書取得部１０２により取得された入力文書は、一時的に記憶されるようにして、画像形成装置５０から出力文書が出力されると同時に削除されるようにしてもよい。

【0028】

対象要素特定部１０３は、文書取得部１０２により取得された入力文書の構造を解析して対象要素を特定する。具体的には、対象要素特定部１０３は、入力文書に含まれる１以上の要素のうち、データベース（例えば、図２の対象要素ＤＢ１３１）に記憶されている対象要素との類似性が認められる範囲として予め定められた範囲に属する要素を、対象要素として特定する。

【0029】

なお、ここでいう「対象要素との類似性が認められる範囲」は、ユーザの入力操作により設定されてもよい。例えば、文字列の要素の場合には、文字のサイズ、フォント、色彩等の違いについては「対象要素との類似性が認められる範囲」に属するように設定されてもよい。また、「対象要素との類似性が認められる範囲」を定義する閾値を設けてもよい。また、「対象要素との類似性が認められる範囲」は、入力文書に含まれる要素の種類ごとに設定されてもよい。例えば、文字列よりも画像の方が「対象要素との類似性が認められる範囲」がより広範になるように設定されてもよい。なお、対象要素特定部１０３により特定された要素の具体例については、図１３を参照して後述する。

【0030】

秘匿条件管理部１０４は、秘匿条件をデータベース（例えば、図２の秘匿条件ＤＢ１３３）に記憶して管理する。具体的には、秘匿条件管理部１０４は、秘匿条件として、画像形成装置５０の設置場所の種類と、秘匿化の有無および程度を示す指標（以下、「秘匿レベル」と呼ぶ。）とを対応付けて管理する。秘匿条件のうち秘匿レベルは、出力文書の出力環境に応じて定められる。

【0031】

秘匿レベルは、画像形成装置５０の設置場所が、いわゆるシェアードオフィスのように情報漏洩のリスクが高い場所である場合には高くなるように定められ、ユーザの自宅のように情報漏洩のリスクが低い場所である場合には低くなるように定められる。なお、秘匿レベルをどのように区分するかは特に限定されない。例えば、秘匿レベルを、「高」および「低」の２段階に区分してもよいし、「高」、「中」、および「低」の３段階に区分してもよい。

【0032】

例えば、秘匿レベルが、「高」および「低」の２段階に区分されていたとする。この場合、秘匿レベル「高」は、対象要素の秘匿化に際してユーザの指示を必要としない設置場所の種類に対応付けられ、秘匿レベル「低」は、対象要素の秘匿化に際してユーザの指示を必要とする設置場所の種類に対応付けられる。そして、登録されていない設置場所の種類については秘匿化が行われない。

【0033】

また、例えば、秘匿レベルが、「高」、「中」、および「低」の３段階に区分されていたとする。この場合、「高」は、対象要素の秘匿化に際してユーザの指示を必要としない設置場所の種類に対応付けられ、「中」は、対象要素の秘匿化に際してユーザの指示を必要とする設置場所の種類に対応付けられる。そして、「低」は、対象要素の秘匿化を行わない設置場所の種類に対応付けられる。

【0034】

画像形成装置５０が設置された場所の種類としては、例えば、いわゆるシェアードオフィス、図書館、コンビニエンスストア、ユーザの自宅、専用オフィス等が挙げられる。この場合、例えば、秘匿レベルが３段階に区分されているのであれば、シェアードオフィスおよび図書館の秘匿レベルが「高」、コンビニエンスストアおよびユーザの自宅の秘匿レベルが「中」、専用オフィスの秘匿レベルが「低」となるように登録される。なお、データベースに記憶された秘匿条件の具体例については、図１１を参照して後述する。

【0035】

出力装置管理部１０５は、出力装置としての画像形成装置５０に関する情報を管理する。例えば、出力装置管理部１０５は、画像形成装置５０に関する情報として、画像形成装置５０が設置された場所に関する情報（以下、「設置場所情報」と呼ぶ。）をデータベース（例えば、図２の出力装置ＤＢ１３４）に記憶して管理する。具体的には、出力装置管理部１０５は、画像形成装置５０－１乃至５０－ｎの各々から送信されてくる設置場所情報を取得し、取得した設置場所情報をデータベースに記憶して管理する。なお、データベースに記憶された設置場所情報の具体例については、図１２を参照して後述する。

【0036】

設置場所特定部１０６は、出力装置として指定された画像形成装置５０の設置場所の種類を特定する。具体的には、設置場所特定部１０６は、ユーザ端末３０から送信されてくる設置場所情報に基づいて、ユーザが出力装置として指定した画像形成装置５０の設置場所の種類を特定する。

【0037】

秘匿化制御部１０７は、登録された秘匿条件に応じて、対象要素を秘匿化する制御を行う。具体的には、秘匿化制御部１０７は、設置場所特定部１０６により特定された画像形成装置５０の設置場所の種類と、登録された秘匿条件とに基づいて、対象要素の秘匿化の有無および程度を決定する。ここで、「秘匿化の有無」とは、入力文書に含まれる対象要素を代替要素に置換するかどうかを意味する。また、「秘匿化の程度」とは、入力文書に含まれる対象要素を代替要素に置換する必要性の度合を意味する。なお、秘匿化制御部１０７による対象要素の秘匿化の制御の具体例については、図１３を参照して後述する。

【0038】

送信制御部１０８は、入力文書に含まれる対象要素を秘匿化して出力文書として出力するための情報を、画像形成装置５０に向けて送信する制御を行う。具体的には、送信制御部１０８は、対象要素が秘匿化された入力文書の画像データを画像形成装置５０に向けて送信する制御を行う。また、送信制御部１０８は、対象要素の秘匿化に際してユーザの指示を必要とする旨を示す情報（以下、「指示情報を必要とする旨を示す情報」と呼ぶ。）を画像形成装置５０に向けて送信する制御を行う。

【0039】

また、送信制御部１０８は、出力文書を閲覧するユーザの理解を助けるための情報を、画像形成装置５０に向けて送信する制御を行う。具体的には、送信制御部１０８は、対象要素としての文字列および画像と、代替要素としての文字列および画像との対応関係をリスト化した情報を、画像形成装置５０に向けて送信する制御を行う。なお、対象情報と代替要素との対応関係をリスト化した情報の具体例については、図１０を参照して後述する。

【0040】

（ユーザ端末の制御部の機能構成）
図５は、ユーザ端末３０の制御部の機能構成を示す図である。
ユーザ端末３０の制御部では、情報取得部３０１と、送信制御部３０２と、表示制御部３０３とが機能する。

【0041】

情報取得部３０１は、各種の情報を取得する。具体的には、情報取得部３０１は、操作部により入力が受け付けられた情報を取得する。操作部により入力が受け付けられた情報としては、例えば、入力文書を指定するために入力された情報、対象要素を登録するために入力された情報、代替要素を登録するために入力された情報、秘匿条件を登録するために入力された情報等が挙げられる。

【0042】

また、情報取得部３０１は、管理サーバ１０から送信されてきた各種情報を取得する。管理サーバ１０から送信されてくる情報としては、例えば、対象要素の登録が完了した旨を示す情報、代替要素の登録が完了した旨を示す情報、秘匿条件の登録が完了した旨を示す情報等が挙げられる。

【0043】

送信制御部３０２は、各種情報を、通信部を介して管理サーバ１０または外部に向けて送信する制御を行う。例えば、送信制御部３０２は、情報取得部３０１により取得された情報を管理サーバ１０に向けて送信する制御を行う。

【0044】

表示制御部３０３は、各種情報を表示部に表示する制御を行う。例えば、表示制御部３０３は、ユーザインターフェースを表示部に表示する制御を行う。表示部に表示されるユーザインターフェースとしては、例えば、ユーザが、対象要素、代替要素、および秘匿条件の各々を登録する際、表示部に表示されるユーザインターフェース等が挙げられる。

【0045】

（画像形成装置の制御部の機能構成）
図６は、画像形成装置５０の制御部５１の機能構成を示す図である。
ユーザ端末３０の制御部では、情報取得部５０１と、送信制御部５０２と、表示制御部５０３とが機能する。

【0046】

情報取得部５０１は、各種の情報を取得する。具体的には、情報取得部５０１は、操作部５５により入力が受け付けられた情報を取得する。操作部５５により入力が受け付けられた情報としては、例えば、自機（画像形成装置５０）の設置場所を登録するために入力された設置場所情報、読取部５７（図３参照）により読み取られることで生成された入力文書、データベース（例えば、文書ＤＢ１３２）に記憶された入力文書を指定するために入力された情報、対象要素の秘匿化を指示するために入力された情報等が挙げられる。

【0047】

また、情報取得部５０１は、管理サーバ１０から送信されてきた情報を、通信部５４を介して取得する。管理サーバ１０から送信されてきた情報としては、例えば、対象要素が秘匿化された入力文書の画像データ、対象要素を秘匿化する前の入力文書の画像データ、対象要素および代替要素を示す情報、対象情報と代替要素との対応関係をリスト化した情報、指示情報を必要とする旨を示す情報等が挙げられる。

【0048】

送信制御部５０２は、各種の情報を管理サーバ１０に向けて送信する制御を行う。具体的には、送信制御部５０２は、通信部５４（図３参照）を介して各種情報を管理サーバ１０に向けて送信する制御を行う。例えば、送信制御部５０２は、情報取得部５０１により取得された情報を管理サーバ１０に向けて送信する制御を行う。

【0049】

表示制御部５０３は、各種情報を表示部５６に表示する制御を行う。例えば、表示制御部５０３は、ユーザインターフェースを表示部５６に表示する制御を行う。表示部５６に表示されるユーザインターフェースとしては、例えば、ユーザが対象要素の秘匿化の有無を指示する際、表示部５６に表示されるユーザインターフェース等が挙げられる。なお、表示部５６に表示されるユーザインターフェースの具体例については、図１４を参照して後述する。

【0050】

（管理サーバの処理の流れ）
図７および図８は、管理サーバ１０の処理の流れを示すフローチャートである。
図７には、管理サーバ１０の処理のうち、対象要素、代替要素、および秘匿条件を登録するまでの処理の流れが示されている。なお、図７および図８の例において、秘匿レベルは「高」および「低」の２段階とする。

【0051】

管理サーバ１０は、ユーザ端末３０から対象要素を登録するための情報が送信されてくると（ステップ７０１でＹＥＳ）、送信されてきた情報を取得し（ステップ７０２）、取得した情報から対象要素を特定して登録する（ステップ７０３）。具体的には、管理サーバ１０は、ステップ７０２で取得した情報から対象要素を特定する。対象要素を登録するための情報は、ユーザによるユーザ端末３０に対する入力操作により行われる。ユーザ端末３０に対する入力操作は、例えば、オフィスのシステム管理者等により行われる。

【0052】

管理サーバ１０は、特定した特定要素をデータベース（例えば、図２の対象要素ＤＢ１３１）に記憶して管理する。ユーザ端末３０から送信されてきた「対象要素を登録するための情報」には、対象要素としての文字情報や画像情報が含まれる。これに対して、ユーザ端末３０から対象要素を登録するための情報が送信されてきていない場合（ステップ７０１でＮＯ）、管理サーバ１０は、ユーザ端末３０から対象要素を登録するための情報が送信されてくるまでステップ７０１を繰り返す。

【0053】

管理サーバ１０は、ユーザ端末３０から代替要素を登録するための情報が送信されてくると（ステップ７０４でＹＥＳ）、送信されてきた情報を取得し（ステップ７０５）、取得した情報から代替要素を特定して登録する（ステップ７０６）。具体的には、管理サーバ１０は、ステップ７０５で取得した情報から、代替要素と、その代替要素に対応する対象要素とを特定する。そして、管理サーバ１０は、特定した代替要素を、データベース（例えば、図２の対象要素ＤＢ１３１）に記憶されている対象要素に対応付けて管理する。ユーザ端末３０から送信されてきた「代替要素を登録するための情報」には、代替要素としての文字情報および画像情報と、代替要素に対応する対象要素を示す情報とが含まれる。これに対して、ユーザ端末３０から代替要素を登録するための情報が送信されてきていない場合（ステップ７０４でＮＯ）、管理サーバ１０は、ユーザ端末３０から代替要素を登録するための情報が送信されてくるまでステップ７０４を繰り返す。

【0054】

管理サーバ１０は、ユーザ端末３０から秘匿条件を登録するための情報が送信されてくると（ステップ７０７でＹＥＳ）、送信されてきた情報を取得し（ステップ７０８）、取得した情報から秘匿条件を特定して登録する（ステップ７０９）。具体的には、管理サーバ１０は、ステップ７０８で取得した情報から秘匿条件を特定する。そして、管理サーバ１０は、特定した秘匿条件をデータベース（例えば、図２の秘匿条件ＤＢ１３３）に記憶して管理する。ユーザ端末３０から送信されてきた「秘匿条件を登録するための情報」には、秘匿条件の内容を示す情報が含まれる。これに対して、秘匿条件を登録するための情報が送信されてきていない場合（ステップ７０７でＮＯ）、管理サーバ１０は、秘匿条件を登録するための情報が送信されてくるまでステップ７０７を繰り返す。

【0055】

図８には、管理サーバ１０の処理のうち、画像形成装置５０の設置場所を登録してから、対象要素が秘匿化された出力文書を生成するまでの処理の流れが示されている。
管理サーバ１０は、画像形成装置５０から設置場所情報が送信されてくると（ステップ８０１でＹＥＳ）、送信されてきた設置場所情報を取得し（ステップ８０２）、取得した設置場所情報から設置場所の種類を特定して登録する（ステップ８０３）。具体的には、管理サーバ１０は、ステップ８０２で取得した設置場所情報から設置場所の種類を特定する。そして、管理サーバ１０は、特定した設置場所の種類をデータベース（例えば、図２の出力装置ＤＢ１３４）に記憶して管理する。これに対して、画像形成装置５０から設置場所情報が送信されてきていない場合（ステップ８０１でＮＯ）、管理サーバ１０は、画像形成装置５０から設置場所情報が送信されてくるまでステップ８０１を繰り返す。

【0056】

管理サーバ１０は、画像形成装置５０から、入力文書と、出力場所を示す設置場所情報とが送信されてくると（ステップ８０４でＹＥＳ）、送信されてきた入力文書および設置場所情報を取得する（ステップ８０５）。これに対して、画像形成装置５０から入力文書および設置場所情報が送信されてきていない場合（ステップ８０４でＮＯ）、管理サーバ１０は、画像形成装置５０から入力文書および設置場所情報が送信されてくるまでステップ８０４を繰り返す。

【0057】

管理サーバ１０は、ステップ８０３で登録した設置場所の種類の中に、ステップ８０５で取得した設置場所情報から特定される設置場所の種類が含まれている場合には（ステップ８０６でＹＥＳ）、ステップ８０７に進む。これに対して、ステップ８０３で登録された画像形成装置５０の設置場所の種類の中に、ステップ８０５で取得した設置場所情報から特定される設置場所の種類が含まれていない場合には（ステップ８０６でＮＯ）、管理サーバ１０は、秘匿化の処理を行うことなく出力文書を生成する（ステップ８１３）。

【0058】

管理サーバ１０は、登録された設置場所の種類に対応する秘匿レベルが指示情報を必要とするもの（例えば、秘匿レベルが「低」）である場合には（ステップ８０７でＹＥＳ）、画像形成装置５０に向けて指示情報を必要とする旨を示す情報を送信する（ステップ８０８）。これに対して、登録された設置場所の種類に対応する秘匿レベルが、指示情報を必要としないもの（例えば、秘匿レベルが「高」）である場合（ステップ８０７でＮＯ）、管理サーバ１０は、ステップ８０５で取得した入力文書に含まれる対象要素を秘匿化した出力文書を生成する（ステップ８１２）。

【0059】

管理サーバ１０は、画像形成装置５０から指示情報が送信されてくると（ステップ８０９でＹＥＳ）、送信されてきた指示情報を取得する（ステップ８１０）。これに対して、画像形成装置５０から指示情報が送信されてきていない場合（ステップ８０９でＮＯ）、管理サーバ１０は、画像形成装置５０から指示情報が送信されてくるまでステップ８０９を繰り返す。

【0060】

管理サーバ１０は、ステップ８１０で取得した指示情報の内容が対象要素の秘匿化を指示するものである場合には（ステップ８１１でＹＥＳ）、ステップ８０５で取得した入力文書に含まれる対象要素を秘匿化した出力文書を生成する（ステップ８１２）。これに対して、ステップ８１０で取得した指示情報の内容が、対象要素の秘匿化を指示するものでない場合（ステップ８１１でＮＯ）、管理サーバ１０は、秘匿化の処理を行うことなく出力文書を生成する（ステップ８１３）。

【0061】

（画像形成装置の処理の流れ）
図９は、画像形成装置５０の処理の流れを示すフローチャートである。
画像形成装置５０は、画像形成装置５０の設置場所を登録するための入力操作として、設置場所情報を入力する操作が行われると（ステップ９０１でＹＥＳ）、入力された設置場所情報を取得し（ステップ９０２）、取得した設置場所情報を管理サーバ１０に向けて送信する（ステップ９０３）。これに対して、設置場所情報を入力する操作が行われていない場合（ステップ９０１でＮＯ）、管理サーバ１０は、設置場所情報を入力する操作が行われるまでステップ９０１を繰り返す。設置場所を登録するための入力操作は、例えば、画像形成装置５０の管理者等により行われる。

【0062】

画像形成装置５０は、紙媒体の文書の読取操作が行われると（ステップ９０４でＹＥＳ）、入力文書を生成し（ステップ９０５）、生成した入力文書と、出力場所を示す設置場所情報とを管理サーバ１０に向けて送信する（ステップ９０６）。これに対して、紙媒体の文書の読取操作が行われていない場合（ステップ９０４でＮＯ）、画像形成装置５０は、紙媒体の文書の読取操作が行われるまでステップ９０４を繰り返す。

【0063】

画像形成装置５０は、管理サーバ１０から指示情報を必要とする旨を示す情報が送信されてきた場合には（ステップ９０７でＹＥＳ）、指示情報を入力するためのユーザインターフェースを表示部５６（図３参照）に表示する（ステップ９０８）。これに対して、管理サーバ１０から、指示情報を必要とする旨を示す情報が送信されてきたのではなく（ステップ９０７でＮＯ）、出力文書が送信されてきた場合には（ステップ９０９でＹＥＳ）、送信されてきた出力文書を取得して出力する（ステップ９１０）。また、指示情報を必要とする旨を示す情報と、出力文書とのいずれもが送信されてきていない場合（ステップ９０７およびステップ９０９いずれもＮＯ）、画像形成装置５０は、管理サーバ１０から、指示情報を必要とする旨を示す情報、または出力文書が送信されてくるまでステップ９０７およびステップ９０９を繰り返す。

【0064】

画像形成装置５０は、ステップ９０８で表示したユーザインターフェースに指示情報が入力されると（ステップ９１１でＹＥＳ）、入力された指示情報を管理サーバ１０に向けて送信する（ステップ９１２）。これに対して、ユーザインターフェースに指示情報が入力されていない場合（ステップ９１１でＮＯ）、画像形成装置５０は、ユーザインターフェースに指示情報が入力されるまでステップ９１１を繰り返す。

【0065】

（具体例）
図１０は、データベースに記憶された対象要素の具体例を示す図である。
データベース（例えば、図２の対象要素ＤＢ１３１）では、対象要素と代替要素とが対応付けられている。例えば、図１０の例では、「ＴＴＴ」という文字列の対象要素に、「△△△」という文字列の代替要素が対応付けられている。また、「ＳＳＳ」という文字列の対象要素に、「□□□」という文字列の代替要素が対応付けられている。また、「ＣＣＣ」という文字列の対象要素に、「○○○」という文字列の代替要素が対応付けられている。また、「Ａｐｐｐ」という文字列の対象要素に、「ＡＢＣＤ」という文字列の代替要素が対応付けられている。また、画像形成装置を表す画像の対象要素に、飛行機を表す画像の代替要素が対応付けられている。

【0066】

これにより、入力文書に「ＴＴＴ」という文字列が含まれている場合には、「ＴＴＴ」という文字列は対象要素として特定されて、代替要素としての「△△△」という文字列に置換されることで秘匿化される。また、入力文書に図１０の画像形成装置を表す画像が含まれている場合には、図１０の画像形成装置を表す画像は対象要素として特定されて、代替要素としての図１０の飛行機を表す画像に置換されることで秘匿化される。

【0067】

なお、上述のように、対象要素として特定される要素は、対象要素との類似性が認められる範囲として予め定められた範囲に属する要素であり、「対象要素との類似性が認められる範囲」は、ユーザの入力操作により設定することができる。このため、例えば、図１０の画像形成装置とは異なる角度から撮像（または描画）した画像形成装置の画像であっても、「対象要素との類似性が認められる範囲」に属するように設定してもよい。

【0068】

また、図１０に示す内容は、対象要素と代替要素との対応関係をリスト化した情報として出力できるようにしてもよい。対象要素と代替要素との対応関係をリスト化した情報は、例えば、同一組織に属するユーザが予め知得可能な情報として組織内で共有されてもよい。また、同じ対象要素であったとしても、同一企業内に属するグループａに属するユーザ間で共有する代替要素と、グループｂに属するユーザ間で共有する代替要素との間に違いを設け、情報漏洩のリスクのさらなる低減化を図ってもよい。また、企業Ａと企業Ｂとが取引関係にあり、秘密保持契約が締結されているような場合には、対象要素と代替要素との対応関係をリスト化した情報を両社で共有できるようにしてもよい。

【0069】

図１１は、データベースに記憶された秘匿条件の具体例を示す図である。なお、図１１の例では、秘匿レベルが「高」および「低」の２段階に区分されているものとする。
データベース（例えば、図２の秘匿条件ＤＢ１３３）では、出力装置としての画像形成装置５０の設置場所の種類と秘匿レベルとが対応付けられている。例えば、図１１の例では、「シェアードオフィス」という設置場所の種類と、「図書館」という設置場所の種類との各々の秘匿レベルは、いずれも「高」となっている。また、「コンビニエンスストア」という設置場所の種類と、「ユーザの自宅」という設置場所の種類と、「専用オフィス」という設置場所の種類との各々の秘匿レベルは、いずれも「低」となっている。

【0070】

ここで、秘匿レベル「高」は、対象要素の秘匿化に際してユーザの指示を必要としない設置場所の種類に設定され、秘匿レベル「低」は、対象要素の秘匿化に際してユーザの指示を必要とする設置場所の種類に設定されていたとする。この場合、「シェアードオフィス」および「図書館」は、秘匿レベルが「高」であるため、対象要素の秘匿化に際してユーザの指示を必要としない設置場所の種類となる。例えば、ユーザがシェアードオフィスに設置された画像形成装置５０から出力文書を出力する場合には、そのユーザの指示に関係なく対象要素が秘匿化された出力文書が出力される。これに対して、「コンビニエンスストア」、「ユーザの自宅」、および「専用オフィス」は、秘匿レベルが「低」であるため、対象要素の秘匿化に際してユーザの指示を必要とする設置場所の種類となる。

【0071】

図１２は、データベースに記憶された画像形成装置５０の情報の具体例を示す図である。なお、図１２の例も図１１の例と同様に、秘匿レベルが「高」および「低」の２段階に区分されているものとする。
データベース（例えば、図２の出力装置ＤＢ１３４）では、実際に出力装置として各地に設置されている画像形成装置５０－１乃至５０－ｎの各々について、ＩＤと、設置場所の種類と、秘匿レベルとが対応付けられている。例えば、図１２の例において、ＩＤが「１２３００１」である画像形成装置５０と、ＩＤが「１２３００７」である画像形成装置５０は、いずれも「図書館」に設置されており、秘匿レベルは「高」となっている。

【0072】

また、ＩＤが「１２３００２」である画像形成装置５０と、ＩＤが「１２３００５」である画像形成装置５０は、いずれも「専用オフィス」に設置されており、秘匿レベルは「低」となっている。また、ＩＤが「１２３００３」である画像形成装置５０と、ＩＤが「１２３００８」である画像形成装置５０は、いずれも「シェアードオフィス」に設置されており、秘匿レベルは「高」となっている。なお、その他の画像形成装置５０のＩＤ、設置場所の種類、および秘匿レベルは、図１２に示すとおりである。

【0073】

図１３は、入力文書および出力文書の具体例を示す図である。
図１３（Ａ）には、上述の図１０に示す対象要素を含む入力文書の具体例が示されている。図１３（Ａ）に示す入力文書には、対象要素Ｙ１乃至Ｙ３が含まれている。このうち、対象要素Ｙ１（「Ａｐｐｐ」）は、文字列の要素であり、図１０に例示するデータベースにて代替要素「ＡＢＣＤ」に対応付けられている。このため、対象要素Ｙ１（「Ａｐｐｐ」）は、図１３（Ｂ）に示すように、代替要素Ｄ１（「ＡＢＣＤ」）に置換されることで秘匿化される。

【0074】

また、対象要素Ｙ２（「ＴＴＴ」）は、文字列の要素であり、図１０に例示するデータベースにて代替要素「△△△」に対応付けられている。このため、対象要素Ｙ２（「ＴＴＴ」）は、図１３（Ｂ）に示すように、代替要素Ｄ２「△△△」に置換されることで秘匿化される。また、対象要素Ｙ３（画像形成装置を表す画像）は、画像の要素であり、図１０に例示するデータベースにて代替要素（飛行機を表す画像）に対応付けられている。このため、対象要素Ｙ３（画像形成装置を表す画像）は、図１３（Ｂ）に示すように、代替要素Ｄ３（飛行機を表す画像）に置換されることで秘匿化される。

【0075】

図１４は、ユーザが対象要素の秘匿化の有無を指示する際、画像形成装置５０に表示されるユーザインターフェースの具体例を示す図である。
画像形成装置５０は、管理サーバ１０から、指示情報を必要とする旨を示す情報が送信されてくると、ユーザが指示情報を入力するためのユーザインターフェースを表示部５６に表示する。図１４に示すように、ユーザインターフェースには、「この文書に対して秘匿処理を実行しますか？」というメッセージと、「はい」または「いいえ」を選択するボタンＢ１およびＢ２と、対象要素を含む入力文書のプレビュー画像とが表示される。

【0076】

入力文書のプレビュー画像は、例えば、図１４に示すように、対象要素が存在する箇所が破線で示されてもよい。また、図示はしないが、対象要素が存在する箇所がハイライト表示されてもよい。ユーザは、対象要素を秘匿化させる場合には、「はい」と表記されたボタンＢ１を押下する。すると、画像形成装置５０は、対象要素を秘匿化させる旨を示す指示情報を生成し、生成した指示情報を管理サーバ１０に向けて送信する。これに対して、対象要素を秘匿化させない場合、ユーザは、「いいえ」と表記されたボタンＢ２を押下する。すると、画像形成装置５０は、対象要素を秘匿化させない旨を示す指示情報を生成し、生成した指示情報を管理サーバ１０に向けて送信する。

【0077】

以上、本実施の形態について説明したが、本発明は上述した本実施の形態に限るものではない。また、本発明による効果も、上述した本実施の形態に記載されたものに限定されない。例えば、図１に示す情報処理システム１の構成、図２に示す管理サーバ１０のハードウェア構成、図３に示す画像形成装置５０のハードウェア構成は、いずれも本発明の目的を達成するための例示に過ぎず、特に限定されない。また、図４に示す管理サーバ１０の機能構成、図５に示すユーザ端末３０の機能構成、図６に示す画像形成装置５０の機能構成も例示に過ぎず、特に限定されない。上述した処理を全体として実行できる機能が図１の情報処理システム１に備えられていれば足り、この機能を実現するためにどのような機能構成を用いるかは図４乃至図６の例に限定されない。

【0078】

また、図７および図８に示す管理サーバ１０の処理のステップ、および図９に示す画像形成装置５０の処理のステップの各々の順序も例示に過ぎず、特に限定されない。図示されたステップの順序に沿って時系列的に行われる処理だけではなく、必ずしも時系列的に処理されなくとも、並列的あるいは個別的に行われてもよい。また、図１０乃至図１４に示す具体例も一例に過ぎず、特に限定されない。

【0079】

例えば、上述の実施の形態では、秘匿化の処理が管理サーバ１０側で行われているが、管理サーバ１０の機能の少なくとも一部を移譲することで、ユーザ端末３０や画像形成装置５０が秘匿化の処理の少なくとも一部を行えるようにしてもよい。

【0080】

また、上述の実施の形態では、秘匿条件として、設置場所の種類ごとに秘匿レベルが対応付けられているが、これに限定されない。例えば、画像形成装置５０ごとに個別に秘匿レベルが対応付けられていてもよい。

【0081】

また、上述の実施の形態では、秘匿条件として、画像形成装置５０の設置場所の種類を示す情報と、秘匿レベルとが予め定められているが、これに限定されない。例えば、出力文書を出力する時間帯、出力文書を出力する操作を行うユーザの属性、画像形成装置５０の設置場所の位置情報や店舗名等を秘匿条件として予め定めておいてもよい。

【0082】

また、上述の実施の形態における秘匿化の処理は、対象要素を代替要素に置換する処理であるが、これに限定されない。例えば、ユーザの選択肢として、対象要素のみを登録して代替要素を登録しない選択肢があってもよい。この場合、対象要素ＤＢ１３１には、代替要素がブランク（未登録）の対象要素が存在することになる。そして、秘匿化の処理では、対象要素に対応する代替要素が存在する場合には上述の置換が行われ、代替要素が存在しない場合には予め定められた伏字（例えば、黒塗り等）への置換が行われるようにしてもよい。

【0083】

また、上述の図１４の例では、画像形成装置５０に表示される入力画像のプレビュー画像として、対象要素が存在する箇所が破線で示されているが、例えば、ユーザ端末３０に表示される入力画像のプレビュー画像の場合には、ユーザがマウス等で対象要素を選択する操作（例えば、マウスオーバーの操作）を行うと、対応する代替要素がポップアップ表示されるようにしてもよい。

【0084】

また、上述の図１４の例では、画像形成装置５０に表示される入力画像のプレビュー画像の例が示されているが、入力画像のプレビュー画像とともに、秘匿化された後の出力画像のプレビュー画像が表示されるようにしてもよい。

【符号の説明】

【0085】

１…情報処理システム、１０…管理サーバ、１１…制御部、３０…ユーザ端末、５０…画像形成装置、５１…制御部、９０…ネットワーク、１０１…対象要素管理部、１０２…文書取得部、１０３…対象要素特定部、１０４…秘匿条件管理部、１０５…出力装置管理部、１０６…設置場所特定部、１０７…秘匿化制御部、１０８…送信制御部、３０１…情報取得部、３０２…送信制御部、３０３…表示制御部、５０１…情報取得部、５０２…送信制御部、５０３…表示制御部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】