JP2007318731A - 複数のモジュール構成情報を管理できる画像形成装置 - Google Patents

Abstract

【課題】画像形成装置のモジュール構成が変更されたとき、セキュリティを高めて脆弱性による情報漏洩を防ぐ。
【解決手段】アプリケーションモジュールとサービスモジュールの全モジュールの構成情報を、不揮発性の構成情報記憶手段に格納しておく。起動前に、全モジュールの構成情報を、格納されている構成情報と比較する。構成情報に相違があることを検出したときは、管理者に通知し、情報の相違のあるモジュールの起動を抑制し、管理者の認証に必要なモジュールのみ起動して管理者に認証を要求し、管理者以外の機器使用を制限する。管理者が構成の変更を容認したときは、格納されている構成情報を更新してシステムを起動する。
【選択図】図２

Description

本発明は、画像形成装置に関し、特に、モジュール構成変更についてのセキュリティを高めた画像形成装置に関する。

コピー、プリンタ、スキャナ、ファクシミリ機能等を有する画像形成装置においては、ユーザーの要望に合わせるために、その機能はますます増える傾向にある。また、この画像形成装置の各種機能もモジュール化されてきている。このようにモジュール化することで、機器の開発をモジュール毎に行えるようにしている。これらの各モジュールは、それぞれ個々のファームウェアによって動作するとともに、全体を制御するシステムコントローラのファームウェアによって動作制御される。

そして、最近では、市場に投入された画像形成装置のファームウェアやアプリケーションの拡張性を高めるために、画像形成装置は、各種メディアを使って機能を追加できるようになっている。例えば、画像形成装置のメーカ以外のサードパーティによるアプリケーションを追加して、機能を拡張できる。また、セキュリティ機能の強化等も行える。ファームウェアの更新も、各種メディアやネットワーク経由で行える。このような画像形成装置において、何らかのトラブルが発生した場合や、機能を更新する場合、またセキュリティ機能を強化する場合などに、画像形成装置の管理者により装置の構成が変更されることがある。以下に、これに関連する従来技術の例をいくつかあげる。

特許文献１に開示された「画像形成装置」は、トラブルが発生した場合など、緊急にファームウェアの更新処理を行う必要がある場合において、生産性の低下を抑制することができる画像形成装置である。ファームウェアに起因するトラブルの発生が検知された場合に、新たなファームウェアに更新する。新たなファームウェアが、例えば画像読取部の制御モジュールや画像形成部の制御モジュールなどの各制御モジュールのうち、どのモジュールを制御するファームウェアかを判定する。新たなファームウェアにより制御される部分の動作を停止し、他の部分の動作は継続させる。

特許文献２に開示された「ソフトウェア更新装置」は、高い安全性を確保しながら更新処理の負荷を低減するものである。ソフトウェア更新装置（仲介装置）によって、ネットワークを介して通信可能な被更新装置（画像処理装置）のファームウェアを更新する。仲介装置がワンタイムパスワードを生成し、これを、SSLを用いた通信経路で画像処理装置に送信して記憶させる。画像処理装置にワンタイムパスワードをSSLよりも処理負荷の小さいFTPを用いた通信経路で送信して認証処理を行わせる。その認証処理が成功した場合に、更新用ファームウェアをFTPによる通信経路で画像処理装置に送信してファームウェアの更新を行わせる。更新の成功が確認できた場合には、そのワンタイムパスワードを無効化する。

特許文献３に開示された「通信装置」は、管理装置等の外部装置から更新用OSをダウンロードしてOSの更新を行う場合に、電源遮断等によってその更新が失敗しても、その後の電源投入による再起動時にその失敗を簡単且つ確実に判断できるようにしたものである。通信装置のCPUは、管理装置からファームウェア（OSを含む）の書換（更新）要求があった場合に、管理装置から書換用ファームウェアをダウンロードする。それが成功した場合、フラッシュROM内のファーム書換中フラグを“１”にセットする。その後の通信装置の起動（ブートローダの起動）時に、ファーム書換中フラグの状態を調べ、それが“０”であれば、カードメモリ内のOSおよびアプリを順次DRAMに展開させて起動させる、ファーム書換中フラグが“１”であれば、フラッシュROM内のOSおよびリカバリプログラムを、順次DRAMに展開させて起動させる。
特開2004-165734号公報 特開2004-318838号公報 特開2004-318871号公報

しかし、従来の画像形成装置では、セキュリティについて次のような問題がある。ネットワークに接続されてセキュアな状態で稼動していた画像形成装置に対して、アプリケーションモジュールやサービスモジュールなどの構成が不正に変更された場合、ユーザーはそれを検知することができず、脆弱性が生じているシステムを使い続けるという危険性がある。通常は管理者でないとモジュールを変更できないような仕組みになっているが、悪意をもって不正にモジュールを変更することは不可能ではない。不正なモジュール変更に気づかずにいると、秘匿を要する画像データなどがネットワークを介して流出する可能性がある。

本発明の目的は、上記従来の問題を解決して、画像形成装置の構成変更によるセキュリティの脆弱化を防ぐことである。すなわち、画像形成装置のモジュール構成が不正に変更されたことを検知して、構成が変更されたことを管理者に通知するとともに、管理者以外の機器使用を制限して、セキュリティ上に重大な脆弱性が生じることを防止するとともに、脆弱性による情報漏洩を防いでセキュリティを高めることである。

上記の課題を解決するために、本発明では、画像形成装置を、画像の走査と印刷と複写を含む画像処理を行う複数のアプリケーションモジュールと、画像の蓄積と転送を含むデータ処理を行う複数のサービスモジュールと、アプリケーションモジュールとサービスモジュールの全モジュールの構成情報を格納した不揮発性の構成情報記憶手段と、アプリケーションモジュールとサービスモジュールの起動前に全モジュールの構成情報と構成情報記憶手段に格納された全モジュールの構成情報を比較する構成情報比較手段と、モジュール構成情報に相違があることを検出したことに応じて管理者に通知する手段とを具備する構成とした。

また、モジュール構成情報に相違があることを検出したことに応じて情報の相違のあるモジュールの起動を抑制し、管理者の認証に必要なモジュールのみ起動し、管理者に認証を要求する。管理者以外からの認証の要求に対しては認証を拒絶して再び認証を要求し、管理者以外の機器使用を制限する。管理者がモジュール構成の変更を容認したことに応じて、構成情報記憶手段に格納されているモジュール構成情報を更新し、システムを通常通り起動する。

上記のように構成したことにより、画像形成装置において、不正なモジュール構成変更を検出でき、セキュリティ上の重大な脆弱性の露呈を防ぐことができる。また、モジュール構成が変更されたことを管理者に通知でき、脆弱性による情報漏洩を防ぐことができる。

以下、本発明を実施するための最良の形態について、図１〜図４を参照しながら詳細に説明する。

本発明の実施例は、システム起動時に、アプリケーションモジュールとサービスモジュールの全構成情報と不揮発性記憶媒体に格納された全モジュールの構成情報を比較し、モジュール構成情報に相違があるとき、管理者に通知する画像形成装置である。

図１（ａ）は、本発明の実施例における画像形成装置を含むネットワークシステムの構成図である。画像形成装置の基本的な構成は、従来のものと同じである。モジュールの構成検査に関する点が、従来のものと異なる。図１（ａ）において、ネットワークシステム１は、インターネットやLAN (Local Area Network)等のネットワーク２に、複数台のクライアント端末３と、配信サーバ４と、SMTPサーバ５と、FTP (File Transfer Protocol)サーバ６と、複数台の画像形成装置７等が接続されているシステムである。配信サーバ４はモデム８を備えており、クライアント端末３からネットワーク２を介して受け取ったファクシミリデータを、図示しない電話回線等によって通信先のファクシミリ装置に送信し、また、ファクシミリ装置から受信したファクシミリデータを、ネットワーク２上のクラィアント端末３に転送する。

SMTPサーバ５は、ネットワーク２を介して複数のクライアント端末３とSMTP (Simple Mai1 Transfer protocol)によりメールの送受信を行う。FTPサーバ６は、ネットワーク２の転送コマンドであるFTP (File Transfer Protocol)を用いて、自己へのファイル転送要求を受け取ると、クライアント端末３等からのファイル転送要求に応じて、内部に蓄積するファイルのファイル転送を行う。クライアント端末３は、通常のパーソナルコンピュータ等が用いられており、配信サーバ４とのファクシミリデータの交換、SMTPサーバ５とのメールの交換及びFTPサーバ６とのファイルの交換等を行い、特に、FTPサーバ６を介して、または、直接、ファイルを画像形成装置７に送って、画像形成装置７にファイルの印刷を行わせる。

画像形成装置７は、MFP（複合装置）等である。給紙部、画像形成部、スキャナ部、スキャナ部の画像読取位置に原稿を搬送するADF (Auto Document Feeder)、ファクシミリ通信機能部、ネットワーク通信機能部等を備えている。コピー機能、ファックス機能、プリンタ機能、スキャナ機能等を実現するものである。画像形成装置のソフトウェア構成を、図１（ｂ）に示す。アプリケーション層のPrinterは、印刷を行うプログラムである。Copyは、複写を行うプログラムである。Faxは、ファックスを送受信するプログラムである。Scanは、画像読取を行うプログラムである。アプリケーション層の各プログラムは、APIを介してサービス層の各モジュールを利用して処理を行う。

サービス層のSCS (System Control Service)は、システムの制御を行うモジュールである。MCS (Memory Control Service)は、メモリの制御を行うモジュールである。ECS (Engine Control Service)は、エンジンの制御を行うモジュールである。FCS (Fax Control Service)は、ファックスの制御を行うモジュールである。NCS (Network Control Service)は、ネットワークの制御を行うモジュールである。SRM (System Resource Management)は、システムの各リソースを管理するモジュールである。IMH (Image Memory Handler)は、画像メモリを扱うモジュールである。サービス層は、カーネル層の制御の下に各サービスを実行する。

カーネル層のOS (Operating System)は、システムの中心的な管理プログラムである。Init (Initialize program)は、システムの初期化処理を行うプログラムである。カーネル層は、ハードウェアインタフェースを介してハードウェアを制御する。Plotterは、印刷機である。Scannerは、画像読取機である。HDDは、ハードディスク装置である。FCU (Fax Control Unit)は、ファックスと通信する装置である。

図２は、本発明の実施例における画像形成装置の動作手順を示す流れ図である。図３は、構成情報テーブルの更新を示す図である。図４は、機器管理者にモジュール構成情報が変更されたことを通知する画面と、管理者によるログインを行う画面と、モジュール構成情報が正しく更新されたことを通知する画面と、ログインが無効であることを表示する画面である。

上記のように構成された本発明の実施例における画像形成装置の機能と動作を説明する。最初に、図１を参照しながら、画像形成装置の機能の概要を説明する。画像形成装置７は、画像の走査や印刷や複写などを行う複数のアプリケーションモジュールと、画像の蓄積や転送などを行う複数のサービスモジュールを有する。不揮発性記憶装置（NV-RAM）で構成された構成情報記憶手段に、アプリケーションモジュールとサービスモジュールの全モジュールの構成情報を格納しておく。アプリケーションモジュールとサービスモジュールの起動前に、全モジュールの構成情報と、構成情報記憶手段に格納された全モジュールの構成情報を、構成情報比較手段で比較する。

構成情報に相違があることを検出したことに応じて、管理者の認証に必要なモジュールのみ起動し、構成情報に相違のあるモジュールの起動を抑制し、管理者に通知し、管理者に認証を要求し、管理者以外の機器使用を制限する。管理者が構成の変更を容認したことに応じて、構成情報記憶手段に格納されているモジュールの構成情報を更新し、システムを通常通り起動する。管理者以外からの認証の要求に対しては認証を拒絶して再び認証を要求する。この画像形成制御方法は、コンピュータプログラムによりコンピュータで実行することができる。

次に、図２を参照しながら、画像形成装置の動作手順を説明する。図２（ａ）に示すように、電源がONされると、ステップ１において、構成変更検知設定の値を読む。ステップ２において、構成変更検知設定が有効かどうか調べる。有効でなければ、ステップ７において、通常モードでSCSを起動する。有効であれば、ステップ３において、NVRAMから前回起動のモジュール構成情報を取得する。ステップ４において、現在起動しているモジュール構成情報を取得する。ステップ５において、２つのモジュール構成情報に差異があるかどうか調べる。差異がなければ、ステップ７において、通常モードでSCSを起動する。差異があれば、ステップ８において、構成変更検知モードでSCSを起動する。この処理は、図１（ｂ）に示したOSのInitが実行する。

図２（ｂ）に示すように、ステップ11において、不揮発性メモリ（NVRAM）から、前回起動していたモジュール構成情報を取得する。ステップ12において、現在起動しているモジュール構成情報を取得する。ステップ13において、操作部に、変更のあるモジュールを表示する。ステップ14において、管理者認証をとる。管理者認証に失敗した場合は、ステップ15において、失敗したことをユーザーに通知する。管理者認証に成功すれば、ステップ16において、ログインユーザーは機器管理者か否かを調べる。機器管理者でなければ、ステップ17において、許可できないことを、ユーザーに通知する。機器管理者であれば、ステップ18において、不揮発性メモリ（NVRAM）にあるモジュール構成を更新し、ユーザーに通知する。ステップ19において、機器を再起動する。この処理は、図１（ｂ）に示したサービス層のSCSが実行する。

次に、図３を参照しながら、構成情報テーブルの更新方法を説明する。図３（ａ）に示す構成情報テーブルは、前回の起動時に、ステップ18で生成した構成情報テーブルである。図３（ｂ）に示す構成情報テーブルは、今回の起動時に、ステップ４とステップ12で取得した構成情報である。図３（ｃ）に示す構成情報テーブルは、今回の起動時に、ステップ18で生成した構成情報テーブルである。ステップ５とステップ13で、図３（ａ）に示す構成情報テーブルと、図３（ｂ）に示す構成情報テーブルを比較する。この例では、Systemのバージョン番号が異なっている。管理者の認証が得られれば、構成情報テーブルを更新する。比較する対象は、バージョン番号以外でもよい。バージョン番号を含めてファイルの改ざんを検出できるように、システムの認証コードなどでメッセージ認証されているので、検知されずにファイルの一部でも改ざんすることは事実上不可能である。したがって、管理者以外が構成を変更することは全くできない。

このようにして、画像形成装置は、起動時に、不揮発メモリに格納してある前回起動時のモジュール構成情報を取り出し、現在のモジュール構成と比較する。画像形成装置は、モジュール構成情報に差異を検出した場合、構成変更があった旨を操作部に表示してユーザーに通知し、機器管理者による認証を要求する。したがって、いかなるモジュールの変更があっても、機器管理者以外は画像形成装置を起動することができない。また、機器管理者がモジュール変更を容認しない限り、機器管理者以外が画像形成装置を利用することはできない。

次に、図４を参照しながら、モジュール構成情報に差異が検出された場合における機器管理者によるログイン方法を説明する。モジュール構成情報に差異が検出された場合には、図４（ａ）に示すような画面が表示される。機器管理者は、不正なモジュール変更があったかどうか、ここで検査することができる。正当なモジュール変更であって起動を許可する場合、機器管理者は、画面に表示されている指示に従い、「ログインして許可する。」のボタンを押す。すると、図４（ｂ）に示す管理者認証画面が表示される。この画面で管理者によるログインを行う。機器管理者の認証が取れると、図４（ｃ）の画面が表示され、モジュール構成情報が正しく更新されたことが通知される。これで問題がなければ、機器管理者は、「再起動」のボタンを押して機器を再起動する。

また、図４（ｂ）に示す画面で機器管理者以外のログインがあった場合は、ログインが無効であることを、機器側が操作部上に図４（ｄ）に示す画面を表示して、機器管理者での認証を取るようにユーザーに促す。このようにして、モジュール構成情報に相違があることを検出した場合は、管理者以外の機器使用を制限する。認証方法については、この例のように操作部上で認証を行ってもよいが、ICカード認証や指紋認証などの外部認証装置を利用する方法でもよい。

上記のように、本発明の実施例では、画像形成装置を、システム起動時に、アプリケーションモジュールとサービスモジュールの全構成情報と不揮発性記憶媒体に格納された全モジュールの構成情報を比較し、モジュール構成情報に相違があるとき、管理者に通知する構成としたので、モジュールが不正に変更されたことを検出でき、セキュリティの低下による情報漏洩などを防止できる。

本発明の画像形成装置は、ネットワークに接続されて高いセキュリティを必要とする画像形成装置として最適である。

本発明の実施例における画像形成装置を含むネットワークシステムの概念図と、画像形成装置のソフトウェア構成を示す図である。 本発明の実施例における画像形成装置の動作手順を示す流れ図である。 本発明の実施例における画像形成装置の構成情報テーブルの更新を示す図である。 本発明の実施例における画像形成装置で、機器管理者にモジュール構成情報が変更されたことを通知する画面と、管理者によるログインを行う画面と、モジュール構成情報が正しく更新されたことを通知する画面と、ログインが無効であることを表示する画面である。

符号の説明

１・・・ネットワークシステム、２・・・ネットワーク、３・・・クライアント端末、４・・・配信サーバ、５・・・SMTPサーバ、６・・・FTPサーバ、７・・・画像形成装置、８・・・モデム。

Claims (18)

1. 画像の走査と印刷と複写を含む画像処理を行う複数のアプリケーションモジュールと、画像の蓄積と転送を含むデータ処理を行う複数のサービスモジュールと、前記アプリケーションモジュールと前記サービスモジュールの全モジュールの構成情報を格納した不揮発性の構成情報記憶手段と、前記アプリケーションモジュールと前記サービスモジュールの起動前に全モジュールの構成情報と前記構成情報記憶手段に格納された全モジュールの構成情報を比較する構成情報比較手段と、構成情報に相違があることを検出したことに応じて管理者に通知する手段とを具備することを特徴とする画像形成装置。
2. モジュール構成情報に相違があることを検出したことに応じて構成情報に相違のあるモジュールの起動を抑制する手段を備えることを特徴とする請求項１記載の画像形成装置。
3. モジュール構成情報に相違があることを検出したことに応じて管理者に認証を要求する手段を備えることを特徴とする請求項１記載の画像形成装置。
4. モジュール構成情報に相違があることを検出したことに応じて管理者の認証に必要なモジュールのみ起動する手段を備えることを特徴とする請求項１記載の画像形成装置。
5. 管理者がモジュール構成の変更を容認したことに応じて前記構成情報記憶手段に格納されているモジュール構成情報を更新する手段を備えることを特徴とする請求項１記載の画像形成装置。
6. 管理者が構成の変更を容認したことに応じてシステムを通常通り起動する手段を備えることを特徴とする請求項１記載の画像形成装置。
7. 管理者以外からの認証の要求に対しては認証を拒絶して再び認証を要求する手段を備えることを特徴とする請求項１記載の画像形成装置。
8. モジュール構成情報に相違があることを検出したことに応じて管理者以外の機器使用を制限する手段を備えることを特徴とする請求項１記載の画像形成装置。
9. 不揮発性の構成情報記憶手段に、画像の走査と印刷と複写を含む画像処理を行う複数のアプリケーションモジュールと画像の蓄積と転送を含むデータ処理を行う複数のサービスモジュールの構成情報を全て格納しておき、前記アプリケーションモジュールと前記サービスモジュールの起動前に、全モジュールの構成情報と前記構成情報記憶手段に格納された全モジュールの構成情報とを比較し、構成情報に相違があることを検出したことに応じて管理者に通知することを特徴とする画像形成制御方法。
10. モジュール構成情報に相違があることを検出したことに応じて情報の相違のあるモジュールの起動を抑制することを特徴とする請求項９記載の画像形成制御方法。
11. モジュール構成情報に相違があることを検出したことに応じて管理者に認証を要求することを特徴とする請求項９記載の画像形成制御方法。
12. モジュール構成情報に相違があることを検出したことに応じて管理者の認証に必要なモジュールのみ起動することを特徴とする請求項９記載の画像形成制御方法。
13. 管理者がモジュール構成の変更を容認したことに応じて前記構成情報記憶手段に格納されているモジュール構成情報を更新することを特徴とする請求項９記載の画像形成制御方法。
14. 管理者がモジュール構成の変更を容認したことに応じてシステムを通常通り起動することを特徴とする請求項９記載の画像形成制御方法。
15. モジュール構成情報に相違があることを検出したことに応じて、管理者以外からの認証の要求に対しては認証を拒絶して再び認証を要求することを特徴とする請求項９記載の画像形成制御方法。
16. モジュール構成情報に相違があることを検出したことに応じて、管理者以外の機器使用を制限することを特徴とする請求項９記載の画像形成制御方法。
17. 請求項９〜１６のいずれかに記載の画像形成制御方法をコンピュータで実行するための処理手順を記述したコンピュータプログラム。
18. 請求項１７に記載のコンピュータプログラムを記録したコンピュータで読み取り可能な記録媒体。

Images