JP2007220108A - 動作データを安全に伝送する方法 - Google Patents

Abstract

【課題】印刷所事業者のコンピュータから印刷機製造者のコンピュータへ、きわめて安全なデータ伝送を可能にする。
【解決手段】公衆通信網６を介して通信可能な少なくとも１つの管理コンピュータ９へ、公衆アクセス可能な通信網６を通じて、印刷機１で動作データを伝送する際、印刷機１の動作データが印刷機１に付属する少なくとも１つのコンピュータ２で暗号化されて保存され、暗号化された動作データが公衆通信網６を通じて管理コンピュータ９へ伝送されて管理コンピュータ９で保存される。
【選択図】 図１

Description

本発明は、公衆通信網を介して通信可能な少なくとも１つの管理コンピュータへ、公衆アクセス可能な通信網を通じて、グラフィック(grafischen)産業の機械における動作データを伝送する方法に関する。

現代の印刷機、およびグラフィック産業のその他の機械は、コンピュータによって制御される部品を、ますます多く備えるようになっている。このように印刷機にコンピュータが搭載されることは、現代の印刷機の操作で自動化がますます進んでいることの表れである。しかし、印刷機自体だけでなく電子制御部品にも定期的なメンテナンスが必要であり、こうしたメンテナンスは、数年前までは、担当のサービス技術者が機械の顧客のもとで、現場で行わなくてはならなかった。近年では、革新的な遠隔保守方法がしだいに実用化されており、それによって、サービス技術者の訪問を最低限に抑えることができるようになっている。このような遠隔保守方法の要点は、印刷機の特定の動作パラメータを、印刷機の運営者からデータ網を通じて印刷機の製造者に伝送することができ、それによって、製造者が印刷機の最新状態を評価し、場合によっては保守や修理の必要性があることを見極めることができるという点にある。そして、見極められた必要性に応じて、もしも必要であれば、サービス員が顧客のところへ派遣される。さらに、顧客の印刷機の動作データを製造者へ伝送する以外にも、これと逆の経路で、製造者から顧客へデータを伝送することもできる。この場合、製造者は、たとえば発生した問題を解決するために、顧客の印刷機の設定を遠距離から変更することができる。

このような遠隔保守システムが、特許文献１から、コピー機について公知である。同文献には、コピー機器の動作データを、モデムを通じて製造者のコンピュータに伝送できる方法が記載されており、このデータ伝送は所定の時期に行われるか、または製造者の照会に応じて行われる。顧客の印刷機に不具合が生じた場合、顧客はユーザーインターフェースを介して、遠隔診断と遠隔保守のために製造者との通信接続を成立させることができ、このとき、機械および動作データのアイデンティティが、運営者の追加情報を付け加えたうえで、または付け加えることなく、製造者へ自動的に送信される。この場合、顧客から製造者へのデータ転送を開始するために、電話で連絡をする必要がなくなる。機械アイデンティティの伝送によって、製造者は、それがどの機械でどの顧客なのかをすぐに認識することができる。しかし、このようなシステムは、製造者への動作データの伝送を、原則として顧客の側からしか始めることができないという欠点がある。このことは、一面においては、安全性の観点から有意義である。そのようにして、顧客のコンピュータから権限のないコンピュータへのデータ伝送を、第三者が外部から始めることができないことが保証されるからである。しかしながら特許文献１のこの方法は、それ以外にも、印刷機のコンピュータから製造者のコンピュータへのデータの伝送がセキュリティ対策なしで行われるという欠点を有している。すなわち、印刷機コンピュータから製造者のコンピュータへのデータ伝送が顧客によって開始されると、権限のない者がそのデータを不正操作して、傍受するという危険がただちに発生する。
欧州特許出願公開明細書０５９９５２３Ｂ１

本発明の目的は、上記従来技術の欠点に鑑み、印刷所事業者のコンピュータから印刷機製造者のコンピュータへ、きわめて安全なデータ伝送を可能にする方法を提供することである。

本発明によれば、この目的は請求項１によって達成される。本発明の特別に有利な実施態様は、従属請求項および図面から読み取ることができる。

製造者の管理コンピュータへ、公衆アクセス可能な通信網を通じて、グラフィック産業の機械における動作データを伝送する本発明の方法は、原則として、電子制御コンピュータと、通信網へ接続する適切な通信インターフェースとを備える、グラフィック産業のあらゆる機械に適用することができる。これは、市販のＰＣを通じてインターネットとの接続を成立させることができる印刷機、打抜き機、およびその他の印刷仕上処理機械であってよい。本発明では、グラフィック産業の機械に、当該機械の動作データを恒常的に、または一定の時間的間隔で記録して保存する少なくとも１つのコンピュータが付属している。ただし、動作データは単に保存されるだけではなく、これに加えて暗号化されるので、権限のない者が機械のコンピュータへアクセスしたときに、機械のデータを見ることができない。そして、このように暗号化された動作データが、インターネット等の公衆アクセス可能な通信網を介して、機械の製造者のところにある管理コンピュータへ伝送され、そこで保存される。機械コンピュータで動作データがすぐに暗号化されることによって、権限のない者によるアクセスに対して、最大限可能な安全性が可能となる。

このことは、最近では印刷所の機械がイントラネット等のネットワークを通じて相互に接続されている場合がほとんどであり、このネットワークがさらにインターネットと接続されているので、いっそう重要である。このような場合、安全対策がなされていないと、印刷所にある機械のコンピュータのデータの盗み出しを比較的容易に行うことができる。しかしこのことは、各機械に付属するコンピュータ上の動作データが本発明によって暗号化されて保存されることで、効果的に防止することができる。権限のない者は、暗号化されたデータを入手しても、どうすることもできないからである。対応する暗号鍵は機械の製造者にしか知らされていないので、製造者だけが管理コンピュータ上で動作データを復号化し、評価することができる。このようにして、印刷機の動作データを印刷機の製造者へ伝送して遠隔保守すると競業者が当該動作データを入手し、印刷所の受注業務や作業進行について知られるのではないかという不安を、印刷機の運営者から取り除くことも意図されている。

本発明の第１の実施態様では、動作データが、公衆アクセス可能な通信網を通じて暗号化されて伝送されることが意図される。機械コンピュータ上ですでに暗号化されて保存されている動作データを、このようにさらに追加して暗号化して伝送することは、安全性をいっそう高める。暗号化されたデータ伝送によって、公衆アクセス可能な通信網を通じて伝送される途上で暗号化動作データが万一改変されたときにそれを認識し、改変が確認されたときには、場合によってデータ伝送を中止することができる。すなわち、伝送時におけるデータの改変は、不具合が発生しているか、または、何者かがデータを不正操作しようとしていることを推測させる。

さらに、動作データが、グラフィック産業に属する機械に付属するコンピュータで保存される前に、符号化によって改変に対して防護されることが意図される。この場合、対称暗号化方式でも非対称暗号化方式でも適用することができるが、公開鍵／秘密鍵のアルゴリズムを用いた非対称方式が好ましい。さらに、データを保存する前にハッシュコードと呼ばれるチェックサムを与えておき、そのようにして改変に対して防護することができる。それによって、印刷機の作動時に得られたデータが暗号化された状態でのみ保存され、権限のない者によるアクセスに対して高い信頼度で守られることが保証される。

本発明の特別に好ましい実施態様では、動作データが、グラフィック産業に属する機械に付属するコンピュータで保存される前に、妥当性検査(Plausibilitaetspruefung)にかけられることが意図される。妥当性検査によって、印刷機の有意義な動作データだけが検出され、万一不正操作があっても、動作データの検出時にそれが発見されることが保証される。機械の個々のセンサで不正操作が行われている場合、あるいは検出時に不具合が発生した場合、このことを妥当性検査によって発見し、該当するファイルに相応の注記をつけて製造者に伝えることができる。このようにしてセンサの故障も検知することができ、それをうけて、適切なサービス措置またはメンテナンス措置を開始することができる。

管理コンピュータがデジタル署名を備えており、動作データは、グラフィック産業の機械に付属するコンピュータから、公衆通信網を通じて、同一のデジタル署名を有するコンピュータへのみ伝送されることが意図されるのが好ましい。このような署名を導入することによって、機械に付属するコンピュータに保存されている動作データを、無資格の第三者に転送できることが確実に防止される。このようにして動作データは、適切なデジタル署名を備えているコンピュータにしか伝送することができず、そのようなコンピュータは、本件の場合でいえば、伝送が意図される、各機械の製造者の管理コンピュータまたは保守コンピュータだけである。したがって、競業者の印刷所も競業者の製造者も、他社のコンピュータの動作データにアクセスすることは不可能である。

さらに、管理コンピュータによる動作データの受信成功が、肯定応答信号を通じて、グラフィック産業に属する機械に付属するコンピュータに通知されることが意図される。機械コンピュータへのこのような肯定応答信号によって、製造者の管理コンピュータへの、動作データの適正な伝送をチェックすることができる。動作データの伝送が、管理コンピュータによって成功裏に完了したとしてマーキングされたときにのみ、顧客の機械のコンピュータに肯定応答信号の出力が行われる。受信に成功した肯定応答信号は、顧客のコンピュータ上で保存されるので、製造者の管理コンピュータへのデータ伝送の成功を、顧客のコンピュータ上でいつでも再確認することができる。それによって、機械メンテナンスの成功のために必要なデータが実際に製造者のところまで届いて、場合によって、必要な保守・修理措置が製造者によって認識されることが保証される。１つまたは複数の肯定応答信号が機械のコンピュータに届かない場合、このことは、１つまたは複数のケースでデータ伝送が失敗したことを意味している。このような場合、データ伝送が行われなかったために、機械が製造者によって正しく保守整備されない危険があるので、機械のコンピュータは、１つまたは複数の肯定応答信号が届かなかったときは機械の停止が行われ、機械で修復不能な損傷が発生するのを防ぐようにプログラミングされていてよい。少なくとも機械のクリティカルな機能を段階的に停止することができ、それによって、製造者の保守による介入がなされなくても、少なくとも操作員の危険を回避することができる。

本発明の１つの実施態様では、グラフィック産業に属する機械に付属するコンピュータに、当該コンピュータが動作データを管理コンピュータに伝送する決まった伝送時点が割り当てられていることが意図される。この場合、機械のコンピュータに決まった伝送時点がプログラミングで組み込まれているか、または、機械のコンピュータに対して管理コンピュータの側から、動作データの伝送が行われるべき時点が設定される。このように設定された時点で動作データの伝送が行われない場合、このことは、まず管理コンピュータによって把握されて記録される。これに加えて、場合によって安全性関連の機能もしくは機械全体の動作を停止させて、操作員の危険や機械の修復不能な損傷を防ぐために、管理コンピュータから顧客の機械へ応答を行うことができる。上に述べた実施態様では、このような段階的な安全措置は、肯定応答信号が届かないときに機械のコンピュータによって開始されるのに対して、本実施態様では、製造者の管理コンピュータによって安全措置が開始される。

管理コンピュータと機械コンピュータを、データへの不正アクセスから守るために、管理コンピュータと機械コンピュータがいずれもアクセス防護装置によって、公衆アクセス可能な通信網から切り離されていると好ましい。この場合、管理コンピュータと機械コンピュータはいずれもファイアウォールによってそれぞれインターネットから守られるので、少なくともインターネットからは、コンピュータへのアクセスが不可能になる。印刷所にある複数の機械またはコンピュータがイントラネットを介して相互にネットワーク化されているときは、印刷所のイントラネットとインターネットの間にファイアウォールがインストールされる。この安全対策によって、印刷所の運営者と製造者の双方で、データ保全をいっそう改善することができる。

次に、本発明の実施の形態について図面を参照して説明する。

図１では、図面の左端に、制御卓コンピュータ２を有する印刷機１が模式的に示されている。この印刷機の制御卓コンピュータ２は、印刷機１のすべての機能と動作進行を制御するとともに、操作員が印刷ジョブに必要な入力を行うことを可能にする。制御卓コンピュータ２は、印刷機１の動作データを保存するためのデータ記憶装置３を備えている。印刷機１の動作データは連続して、または一定の時間間隔をおいて、印刷機１にあるセンサを通じて検出され、データ記憶装置３に保存される。制御卓コンピュータ２は印刷所のローカルネットワーク４と接続されており、それによって、制御卓コンピュータ２は印刷所の他の機械と通信することができる。このようなローカルネットワークはイントラネットであってよく、あるいは無線ＬＡＮネットワークもしくは無線ＷＬＡＮネットワークであってよい。ローカルネットワーク４は、ファイアウォール５によって、公衆アクセス可能なインターネット６から切り離されているので、権限のない者が印刷所のローカルネットワーク４のデータにアクセスすることはできない。印刷機１の製造者のところには、印刷機１の制御卓コンピュータ２によって検出された動作データを受けとって評価することができる管理コンピュータ９がある。この目的のために、管理コンピュータ９も同じくデータ記憶装置１０を備えている。このデータ記憶装置１０には、検出された動作データのほか、これに加えて、印刷機１の個々の機能についてのライセンスも保存されていてよい。管理コンピュータ９も、図１では同じくファイアウォールによってインターネット６から分断された、製造者のローカルネットワーク８につながれている。

制御卓コンピュータ２から管理コンピュータ９へ動作データを伝送するとき、この動作データは、印刷所のローカルネットワーク４を介して、印刷所のファイアウォール５を経由してインターネット６へ伝送され、そこから製造者のファイアウォール７を通って、製造者のローカルネットワーク８へさらに送信される。最後に、動作データは管理コンピュータ９に到達し、そこで同じく保存される。ただし、このような動作データの伝送が行われるのは、プロセスが適切に認証されており、関与するコンピュータ２，９が、許可されたコンピュータであると識別された場合だけである。コンピュータ２，９の間のデータ伝送は暗号化された形態でしか行われないので、インターネットを通じてのデータ伝送中に、権限のない者がデータへアクセスすることはできない。そのために、周知のＳＳＬ暗号を適用することができる。これと逆の経路で、管理コンピュータ９から制御卓コンピュータ２へ、印刷機１における機能の相応の使用許諾を行うことができる。これは、印刷機１の運営者がその機能の使用許諾を受ける相応のライセンスを有している場合である。このようなライセンス権は、製造者と印刷機１の運営者との間の契約情報１１を含む、管理コンピュータ９の別個のファイル１１に保存される。該当する契約情報が存在していれば、管理コンピュータ９は、相応の信号を印刷機１の制御卓コンピュータ２へ送信することによって、許容されている機能を使用許諾することができる。

図２は、印刷機１から管理コンピュータ９へ動作データを伝送する手順を示している。まず印刷機１において、そこにあるセンサによって、もしくは印刷機のコンピュータ２によって検出される操作員の入力によって、そのつどの印刷ジョブのために必要な動作データが連続して、または一定の時間間隔をおいて検出される。動作データが保存される前に、動作データはまず印刷機の制御卓コンピュータ２で妥当性に関してチェックされる。このときに誤りや異常を確認することができなければ、その動作データにハッシュコードのチェックサムが与えられ、改変に対して防護される。これに加えて、こうして防護される動作データが、非対称暗号化方式によって不正なアクセスから守られる。暗号化には製造者のデジタル署名が用いられ、この非対称方式では、制御卓コンピュータ２は暗号化されたデータを書き込むことしかできず、読み出すことはできない。このようにして、印刷機１の操作員による、保存された動作データの不正操作は不可能である。印刷機１の制御卓コンピュータ２に通信計画が格納されているか、または、管理コンピュータ９から制御卓コンピュータ２へ通信計画が伝送される。この通信計画には、制御卓コンピュータ２が管理コンピュータ９との間で、動作データを伝送するための接続をどの時点で開始しなければならないかが規定されている。設定された時点に達すると、インターネット６を通じて、管理コンピュータ９との接続の構築が行われる。このときには、まず機械のコンピュータ２で相手のアイデンティティがチェックされ、それによって、無資格の第三者は動作データを入手できないことが保証される。これと同じ手続が管理コンピュータ９の側でも行われ、この場合にも、制御卓コンピュータ２のアイデンティティが最初にチェックされ、チェックに合格すると、制御卓コンピュータ２と管理コンピュータ９で、暗号化されて保存された印刷機１のデータが管理コンピュータ９に伝送される。管理コンピュータ９はまずデータを保存してから、評価を行う。データの伝送が成功すると、管理コンピュータ９は制御卓コンピュータ２に肯定応答信号を送り返す。制御卓コンピュータ２は、肯定応答信号を受信するとすぐに管理コンピュータ９との接続を切り、肯定応答をデータ記憶装置に保存する。このようにして制御卓コンピュータ２は、この記録を通じて、製造者の管理コンピュータ９によって行われたすべてのデータ照会を確認することができる。管理コンピュータ９も、肯定応答信号を出力した後、制御卓コンピュータ２との接続を中止し、受信したデータをデータ記憶装置１０に保存する。以上で、制御卓コンピュータ２から管理コンピュータ９へ動作データが安全に伝送されたことになる。

図３には、印刷機１で特定の機能を使い始めるときの、製造者によるライセンスのチェックが示されている。ここでいうライセンスとは、制御卓コンピュータ２に搭載された印刷機１のソフトウェアには工場出荷時からすでに格納されているが、相当の対価と引き換えでなければ、または契約の取決めによらなければ、製造者によって使用許諾されない特定の機能の使用許諾を意味している。操作員によって印刷機１がスイッチオンされると、まず、印刷機の制御卓コンピュータ２に格納されているすべてのライセンスコードが、チェックのためにワークメモリへロードされる。すべての機能が相応のライセンスによって使用許諾されていないときは、その機能が警告メッセージによって表示され、もしくは、現時点では操作員が選択していないがライセンスされていない機能に警告メッセージが付される。警告メッセージが出力されてから、その機能は停止される。したがって操作員は、ライセンスされていない機能を印刷機１で使うことはできない。一方、機能が適正にライセンスされていれば、その機能は相応に使用許諾され、利用することができる。

制御卓コンピュータ２のソフトウェアには、製造者の管理コンピュータ９とのやり取りで新たなライセンスを取得する手段が設けられていてよい。この場合、印刷機１の運営者は、制御卓コンピュータ２で、スクリーンおよび相応の入力機器、たとえばマウス、キーボード、タッチスクリーンなどを通じて、使用許諾されていない所望の機能を選択し、製造者の管理コンピュータ９に照会することができる。そして応答メッセージで、希望する機能の使用許諾のための費用が、印刷機の制御卓コンピュータ２によって運営者に表示され、運営者はこれを承諾または拒絶する。運営者が拒絶すれば、その機能は停止されたままであるが、承諾すれば、該当するライセンスコードが管理コンピュータ９からインターネット６を通じて制御卓コンピュータ２に送られ、そこに保存される。このライセンスコードも適切に暗号化されているので、印刷機１の運営者による不正操作から守られる。ライセンスコードが伝送された後、該当する機能が印刷機１で使用許諾され、以後、利用できるようになる。そして、使用許諾された機能の支払は、管理コンピュータ９によって、印刷機１の運営者のサービス契約で自動的に決済することができ、それによって、相応に値段の高いサービス手数料が支払われることになる。あるいは、印刷機１の運営者の引落口座またはクレジットカード番号を指定することで、ライセンスをダウンロードするときに直接支払を行うことも可能である。このようにして、印刷機１のすべての機能を工場出荷時から用意しておいて顧客に引き渡すが、これらの機能を標準装備としては使用許諾せず、そのようにして、機械を有利な価格で提供できるようにすることが可能である。印刷機１の運営者が追加的に機能を必要とすることが判明したときに、面倒な作業をしてその機能を後付けしなくてよく、オンラインで使用許諾することができる。それによって、普通でならば顧客のいる現場で相応のソフトウェアをインストールすることで、その機能を初めて使用許諾しなければならないが、サービス員が出向く必要がなくなる。さらに、当該機能を必要とする特定の印刷ジョブを遂行しようとするときに、特定のライセンスを一定期間のみ取得することが可能である。限定された一定期間のみ取得される機能は、相応に安価に提供、取得することができる。希望期間が満了するとすぐに、その機能は印刷機１の制御卓コンピュータ２で再び停止され、使うことができなくなる。

このように本発明によって、監視のために、およびサービス措置の実施のために製造者へ伝送される動作データの最大限の防護を意図することが可能となるばかりでなく、印刷機の特定の機能についてのライセンスを、サービス技術者を投入することなく使用許諾することも可能になる。採用される暗号化技術は、権限のない者による不正操作が行われ得ないことを保証する。

インターネットを通じて印刷機製造者の管理コンピュータと通信することができる、印刷機のコンピュータを示す図である。 動作データの伝送手順を示すフローチャートである。 印刷機の特定の機能を使用許諾するための手順である。

符号の説明

１ 印刷機
２ 印刷機の制御卓コンピュータ
３ 動作データを保存する、制御卓コンピュータのデータ記憶装置
４ 印刷所のローカルネットワーク
５ 印刷所のファイアウォール
６ インターネット
７ ライセンサーのファイアウォール
８ ライセンサーのローカルネットワーク
９ ライセンス用の管理コンピュータ
１０ 管理コンピュータのデータ記憶装置
１１ 契約情報

Claims (16)

1. グラフィック産業の機械（１）における動作データを、公衆アクセス可能な通信網（６）を通じて、該公衆通信網（６）を介して通信可能な少なくとも１つの管理コンピュータ（９）に伝送する方法において、
   前記グラフィック産業における機械（１）の前記動作データを、前記機械（１）に付属する少なくとも１つのコンピュータ（２）に暗号化して保存し、該暗号化された動作データを前記の公衆アクセス可能な通信網（６）を通じて前記管理コンピュータ（９）へ伝送して前記管理コンピュータ（９）に保存することを特徴とする、動作データを伝送する方法。
2. 前記動作データを前記の公衆アクセス可能な通信網（６）を通じて暗号化して伝送する、請求項１に記載の方法。
3. 前記動作データを、前記グラフィック産業に属する機械（１）に付属するコンピュータ（２）に保存する前に符号化によって改変から守る、請求項１または２に記載の方法。
4. 前記動作データを、前記グラフィック産業に属する機械（１）に付属する前記コンピュータ（２）に保存する前に妥当性検査にかける、請求項１から３までのいずれか１項に記載の方法。
5. 前記管理コンピュータ（９）はデジタル署名を備えており、前記動作データを、前記グラフィック産業の機械（１）に付属するコンピュータ（２）から前記公衆通信網（６）を通じて同じデジタル署名を有するコンピュータ（９）にのみ伝送する、請求項１から４までのいずれか１項に記載の方法。
6. 前記動作データの、前記管理コンピュータ（９）による受信の成功を、肯定応答信号によって、前記グラフィック産業に属する機械（１）に付属する前記コンピュータ（２）へ通知する、請求項１から５までのいずれか１項に記載の方法。
7. 前記グラフィック産業に属する機械（１）に付属するコンピュータ（２）に、前記コンピュータ（２）が前記動作データを前記管理コンピュータ（９）へ伝送する決まった伝送時点が割り当てられている、請求項１から６までのいずれか１項に記載の方法。
8. 前記動作データの伝送が所定の伝送時点に行われなかったことを前記管理コンピュータ（９）によって検出し、ログ記憶する、請求項７に記載の方法。
9. 前記動作データの、前記管理コンピュータ（９）への伝送が所定の伝送時点に行われないと、前記グラフィック産業の機械（１）に付属するコンピュータ（２）に、前記の公衆アクセス可能な通信網（６）を通じて前記管理コンピュータ（９）から応答を行う、請求項７または８に記載の方法。
10. 前記動作データの、前記管理コンピュータ（９）への伝送が行われないと、前記グラフィック産業の機械（１）の機能を停止する、請求項９に記載の方法。
11. 前記グラフィック産業の前記機械（１）に付属する前記コンピュータ（２）はアクセス防護装置（５）によって前記の公衆アクセス可能な通信網（６）から切り離されている、請求項１から１０までのいずれか１項に記載の方法。
12. 前記管理コンピュータ（９）はアクセス防護装置（７）によって前記の公衆アクセス可能な通信網（６）から切り離されている、請求項１から１１までのいずれか１項に記載の方法。
13. 前記グラフィック産業の前記機械（１）は印刷機（１）である、請求項１から１２までのいずれか１項に記載の方法。
14. 前記機械（１）の運営者の照会に応じて、前記機械（１）の選択された機能を使用許諾するためのライセンスを、前記管理コンピュータ（９）から前記機械コンピュータ（２）へ送信する、請求項１から１３までのいずれか１項に記載の方法。
15. 前記機械（１）の使用開始時にライセンスが有効かどうか前記機械コンピュータ（２）によってチェックし、前記機械（１）の、該ライセンスに属する機能を、チェックに合格した場合にのみ使用許諾する、請求項１から１４までのいずれか１項に記載の方法。
16. 機能が使用許諾される期間が時間的に限定されている、請求項１から１５までのいずれか１項に記載の方法。

Images