JP2017228926A

JP2017228926A - 電子機器

Info

Publication number: JP2017228926A
Application number: JP2016123599A
Authority: JP
Inventors: 正樹曽根; Masaki Sone
Original assignee: Kyocera Document Solutions Inc
Current assignee: Kyocera Document Solutions Inc
Priority date: 2016-06-22
Filing date: 2016-06-22
Publication date: 2017-12-28

Abstract

【課題】保守員が現地に出向くことなく適切なメンテナンスを実施する。
【解決手段】画像形成装置４は、保守権限でのメンテナンスを受け付ける電子機器であって、秘密鍵と対になる公開鍵９１を記憶した記憶部９０と、暗号化された署名情報が付加された保守プログラムを取得する保守プログラム取得部（ＵＳＢコントローラー１２０、通信部１１０）と、保守権限を有していないシステム管理者によるメンテナンスの指示を受け付ける操作部４４と、メンテナンスの指示が受け付けられた場合に、公開鍵９１を用いて署名情報の正当性を検証し、正当であると判断した場合に限って保守プログラムに従ってメンテナンスを受け付けるメンテナンス処理制御部８２とを備えている。
【選択図】図４

Description

本発明は、保守権限でのメンテナンスを受け付ける電子機器に関する。

複写機や複合機等の画像形成装置には、メンテナンスを目的としたメンテナンスモードが設けられている。メンテナンスモードで設定できる項目は、特殊な設定であり、例えば、画像形成装置で発生した問題の解消に使用されたりする。そのため、誤って設定されることを防止するためにも、メンテナンスモードは、保守権限でのメンテナンスを受け付け、保守権限を有さないユーザーからのメンテナンスを受け付けないように設定されていることが一般的である。保守権限を有する保守員は、特別なパスワードを入力することにより画像形成装置をメンテナンスモードに移行させて、メンテナンスを実施している。この特別なパスワードが漏洩すると、誰でもメンテナンスモードへの移行が可能になるため、特別なパスワードをその場限りのテンポラリーパスワードとする技術が提案されている（例えば、特許文献１を参照）。

特開2005-309225号公報

しかしながら、画像形成装置で発生する問題の多くは、メンテナンスモードから設定を少し変更するだけで改善、復旧する簡単なものが多かったが、ユーザーに保守権限が付与されていないため、毎回保守員が現地に出向いてメンテナンスしなければならず、保守効率が悪かったという問題があった。

本発明は上記課題に鑑みてなされたものであり、保守員が現地に出向くことなく適切なメンテナンスを実施することができる技術を提供することを目的とする。

本発明の電子機器は、保守権限でのメンテナンスを受け付ける電子機器であって、秘密鍵と対になる公開鍵を記憶した記憶部と、暗号化された署名情報が付加された保守プログラムを取得する保守プログラム取得部と、前記保守権限を有していないシステム管理者による前記メンテナンスの指示を受け付ける操作部と、前記メンテナンスの指示が受け付けられた場合に、前記公開鍵を用いて前記署名情報の正当性を検証し、正当であると判断した場合に限って前記保守プログラムに従って前記メンテナンスを受け付けるメンテナンス処理制御部とを備えたことを特徴とする。
また、前記署名情報には、前記保守プログラムのハッシュ値が含まれており、前記メンテナンス処理制御部は、前記公開鍵を用いて復号化した前記署名情報に含まれるハッシュ値が前記保守プログラムから算出したハッシュ値と一致した場合に、前記署名情報を正当であると判断してもよい。
また、許可する署名発行者の発行者情報を記憶した発行者情報記憶部を備え、前記署名情報には、前記署名発行者を示す発行者情報が含まれており、前記メンテナンス処理制御部は、前記公開鍵を用いて復号化した前記署名情報に含まれる前記発行者情報が前記発行者情報記憶部に記憶された前記発行者情報と一致した場合に、前記署名情報を正当であると判断してもよい。
また、書き換え不可能な固有の機器ＩＤを記憶した機器ＩＤ記憶部を備え、前記署名情報には、前記保守プログラムの実行対象機器の機器ＩＤが含まれており、前記メンテナンス処理制御部は、前記公開鍵を用いて復号化した前記署名情報に含まれる前記機器ＩＤが前記機器ＩＤ記憶部に記憶された前記機器ＩＤと一致した場合に、前記署名情報を正当であると判断してもよい。
また、前記署名情報には、前記保守プログラムを実行可能な有効期限が含まれており、前記メンテナンス処理制御部は、現在日時が前記公開鍵を用いて復号化した前記署名情報に含まれる有効期限を過ぎていなかった場合に、前記署名情報を正当であると判断してもよい。

本発明によれば、保守員が現地に出向くことなく適切なメンテナンスを実施することができる。

本発明に係る実施形態のメンテナンスシステムのシステム構成図である。図１に示す署名発行装置、保守員端末及び管理者端末の概略構成を示す機能ブロック図である。図１に示す画像形成装置の断面模式図である。図１に示す画像形成装置の概略構成を示す機能ブロック図である。図１に示す画像形成装置の操作部に表示されるシステムメニューの表示例である。図１に示すメンテナンスシステムの発行者端末と保守員端末と管理者端末におけるメンテナンス動作の流れを示すフローチャートである。図１に示すメンテナンスシステムの画像形成装置におけるメンテナンス動作の流れを示すフローチャートである。

以下、図を参照して本発明の実施形態を詳細に説明する。なお、以下の実施形態において、同様の機能を示す構成には、同一の符号を付してある。

図１に示すように、本実施形態のメンテナンスシステム１０００は、署名発行装置２と、保守員端末１と、管理者端末３と、電子機器の一例である画像形成装置４とが、インターネットやＬＡＮ等のネットワーク６によって接続された構成を有している。

画像形成装置４に問題が発生した場合には、ユーザーからの連絡を受けた保守員が保守員端末１を操作して、問題改修用の保守プログラムを作成し、作成した保守プログラムに対する署名情報生成要求を署名発行装置２に送信する。署名発行装置２は、署名情報生成要求に応じて保守プログラムに対する署名情報を生成し、保守員端末１に送信する。保守員端末１は、受信した署名情報と保守プログラムとを管理者端末３にメール送信する。管理者端末３は、保守員端末１からのメールに含まれる署名情報と保守プログラムとを記録媒体５に記録する。画像形成装置４は、記録媒体５に記録された署名情報と保守プログラムとを読み取って、署名情報の正当性を検証し、正当な署名情報であると判断した場合に、保守プログラムを実行して、保守プログラムに基づくメンテナンスを受け付ける。

保守員端末１は、保守員によって管理されている端末であり、通信機能を備えたパーソナルコンピュータ等のプログラム制御によって動作する情報処理装置である。保守員端末１は、署名発行装置２にネットワーク６を介してアクセスする機能（例えば、Ｗｅｂブラウザ等）等を備えている。保守員端末１は、図２を参照すると、通信部１１と、キーボード等の入力部１２と、液晶ディスプレイ等の表示部１３と、制御部１４とを備えている。

通信部１１は、ネットワーク６を介して署名発行装置２と情報通信を行う機能を有する。通信部１１は、署名情報生成要求部１６によって生成された署名情報生成要求をネットワーク６経由で署名発行装置２に送信すると共に、署名発行装置２から受信した署名情報を保守員端末１に送信する。

制御部１４は、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）等を備えたマイクロコンピュータ等の情報処理部である。ＲＯＭには保守員端末１の動作制御を行うための制御プログラムが記憶されている。制御部１４は、ＲＯＭに記憶されている制御プログラムを読み出し、制御プログラムをＲＡＭに展開させることで、入力部１２から入力された所定の指示情報に応じて装置全体の制御を行う。また、制御部１４は、保守プログラム作成処理部１５と、署名情報生成要求部１６と、メール処理部１７として機能する。

保守プログラム作成処理部１５は、保守員による入力部１２からの入力に基づいて、画像形成装置４で発生した問題の問題改修用の保守プログラムを作成する機能を有する。

署名情報生成要求部１６は、署名情報の生成を要求する署名情報生成要求を生成して、ネットワーク６経由で署名発行装置２に送信する機能を有する。署名情報生成要求部１６は、署名発行者の発行者情報と、保守プログラムの実行対象機器の機器ＩＤと、保守プログラムを実行可能な有効期限との入力を入力部１２により受け付け、保守プログラムと共に署名情報生成要求として送信する。発行者情報は、署名情報の発行者を特定するための情報である。発行者情報は、保守プログラムの作成者である保守員の保守員ＩＤや、メンテナンスサービスを行っているサービス会社を特定するためのサービス会社ＩＤや、画像形成装置４の製造会社を特定するための製造会社ＩＤ等であってもよい。発行者情報は、予め署名発行装置２に記憶されていてもよい。また、機器ＩＤは、保守プログラムを実行する画像形成装置４に付与されている固有情報であり、シリアル番号等である。署名発行装置２から署名情報と保守プログラムとが送信されると、メール処理部１７は、署名情報を保守プログラムと共に管理者端末３にメール送信する。

署名発行装置２は、プログラム制御によって動作するパーソナルコンピュータ等の情報処理装置であり、図２を参照すると、記憶部２１と、制御部２２と、通信部２３とを備えている。

記憶部２１は、半導体メモリーやＨＤＤ（Hard Disk Drive）等の記憶手段である。記憶部２１には、秘密鍵２４が記憶されている。秘密鍵２４は、署名発行装置２のみが有しており、画像形成装置４が有する後述の公開鍵と対になっている。

制御部２２は、ＲＯＭ、ＲＡＭ等を備えたマイクロコンピュータ等の情報処理部である。ＲＯＭには署名発行装置２の動作制御を行うための制御プログラムが記憶されている。制御部２２は、ＲＯＭに記憶されている制御プログラムを読み出し、制御プログラムをＲＡＭに展開させることで、装置全体の制御を行う。

また、制御部２２は、署名情報生成要求をネットワーク６経由で受信すると、署名情報を生成し、生成した署名情報を保守員端末１に送信する署名情報生成部２５として機能する。署名情報生成要求には、保守プログラムと、発行者情報と、機器ＩＤと、有効期限とが含まれている。署名情報生成部２５は、署名情報生成要求に含まれる保守プログラムのハッシュ値を算出し、算出したハッシュ値と発行者情報と機器ＩＤと有効期限とをまとめて秘密鍵により暗号化することにより署名情報を生成し、保守プログラムと共にネットワーク６経由で保守員端末１に送信する。

通信部２３は、ネットワーク６を介して保守員端末１と各種データを送受信する機能を有する。

管理者端末３は、画像形成装置４を管理するシステム管理者によって管理されている端末であり、通信機能を備えたパーソナルコンピュータ等のプログラム制御によって動作する情報処理装置である。管理者端末３は、図２を参照すると、通信部３１と、キーボード等の入力部３２と、液晶ディスプレイ等の表示部３３と、制御部３４と、ＵＳＢコントローラー３５と、記録媒体５（ＵＳＢメモリー）の差し込み口（接続口）であるＵＳＢポート３６とを備えている。

通信部３１は、ネットワーク６を介して管理者端末３が各種データを送受信する機能を有する。例えば、通信部３１は、ネットワーク６を介して保守員端末１からメールを受信する。

制御部３４は、ＲＯＭ、ＲＡＭ等を備えたマイクロコンピュータ等の情報処理部である。ＲＯＭには管理者端末３の動作制御を行うための制御プログラムが記憶されている。制御部３４は、ＲＯＭに記憶されている制御プログラムを読み出し、制御プログラムをＲＡＭに展開させることで、入力部３２から入力された所定の指示情報に応じて装置全体の制御を行う。また、制御部３４は、メール処理部３７として機能し、保守員端末１からネットワーク６経由で受信したメールに保守プログラムと署名情報とが含まれる場合に、メールから保守プログラムと署名情報とを取り出して、ＵＳＢコントローラー３５を介してＵＳＢポート３６に装着された記録媒体５に記録する。

ＵＳＢコントローラー３５は、ネットワーク６を介して保守員端末１から受信したメールに含まれる署名情報と保守プログラムとをＵＳＢポート３６に装着された記録媒体５に記録させる機能を備えている。

画像形成装置４は、複写機や複合機等の電子機器であり、図３を参照すると、原稿読み取り部４１と、原稿給送部４２と、本体部４３と、操作部４４と、ＵＳＢポート４５を備えている。原稿読み取り部４１は、本体部４３の上部に配設され、原稿給送部４２は、原稿読み取り部４１の上部に配設されている。スタートキーやテンキーや液晶表示部等からなる操作部４４は、画像形成装置４の手前側に配設されている。なお、ＵＳＢポート４５は、記録媒体５（ＵＳＢメモリー）の差し込み口（接続口）である。

原稿読み取り部４１は、スキャナー４１１と、プラテンガラス４１２と、原稿読取スリット４１３とを備える。スキャナー４１１は、露光ランプ及びＣＣＤ(Charge Coupled Device)センサー等から構成され、原稿給送部４２による原稿の搬送方向に移動可能に構成されている。プラテンガラス４１２は、ガラス等の透明部材により構成された原稿台である。原稿読取スリット４１３は、原稿給送部４２による原稿ＭＳの搬送方向と直交方向に形成されたスリットを有する。

プラテンガラス４１２に載置された原稿ＭＳを読み取る場合には、スキャナー４１１は、プラテンガラス４１２に対向する位置に移動され、プラテンガラス４１２に載置された原稿ＭＳを走査しながら原稿ＭＳを読み取って画像データを取得し、取得した画像データを本体部４３に出力する。また、原稿給送部４２により搬送された原稿ＭＳを読み取る場合には、スキャナー４１１は、原稿読取スリット４１３と対向する位置に移動され、原稿読取スリット４１３を介し、原稿給送部４２による原稿ＭＳの搬送動作と同期して原稿ＭＳを読み取って画像データを取得し、取得した画像データを本体部４３に出力する。

原稿給送部４２は、原稿載置部４２１と、原稿排出部４２２と、原稿搬送機構４２３とを備えている。原稿載置部４２１に載置された原稿は、原稿搬送機構４２３によって、１枚ずつ順に繰り出されて原稿読取スリット４１３に対向する位置へ搬送され、その後、原稿排出部４２２に排出される。なお、原稿給送部４２は、可倒式に構成され、原稿給送部４２を上方に持ち上げることで、プラテンガラス４１２の上面を開放させることができる。

本体部４３は、記録部６０を備えると共に、給紙部７０と、用紙搬送路４３１と、搬送ローラー４３２と、排出ローラー４３３と、胴内トレイ４３４とを備えている。給紙部７０は、記録紙Ｐを収納する給紙カセット７１と、給紙カセット７１から記録紙Ｐを１枚ずつ用紙搬送路４３１に繰り出す給紙ローラー７２とを備えている。給紙ローラー７２、搬送ローラー４３２及び排出ローラー４３３が搬送部として機能し、記録紙Ｐが搬送される。給紙ローラー７２によって用紙搬送路４３１に繰り出された記録紙Ｐは、搬送ローラー４３２によって記録部６０に搬送される。そして、記録部６０によって記録が施された記録紙Ｐは、排出ローラー４３３によって胴内トレイ４３４に排出される。

記録部６０は、感光体ドラム６１と、帯電部６２と、露光部６３と、画像形成部６４と、転写部６５と、定着部６６と、クリーニング部６７とを備えている。露光部６３は、レーザー装置やミラー等を備えた光学ユニットであり、画像データに基づいてレーザー光を出力して、帯電部６２によって帯電させた感光体ドラム６１を露光し、感光体ドラム６１の表面に静電潜像を形成する。画像形成部６４は、トナーを用いて感光体ドラム６１に形成された静電潜像を現像する現像ユニットであり、静電潜像に基づいたトナー像を感光体ドラム６１上に形成させる。転写部６５は、画像形成部６４によって感光体ドラム６１上に形成されたトナー像を記録紙Ｐに転写させる。定着部６６は、転写部６５によってトナー像が転写された記録紙Ｐを加熱してトナー像を記録紙Ｐに定着させる。そして、感光体ドラム６１上に残ったトナーは、クリーニング部６７によって除去される。

図４には、画像形成装置４の概略構成を示す機能ブロック図が示されている。上述の原稿読み取り部４１、原稿給送部４２、搬送部（給紙ローラー７２、搬送ローラー４３２、排出ローラー４３３）、操作部４４及び記録部６０は、制御部８０に接続され、制御部８０によって動作制御される。また、制御部８０には、記憶部９０と、画像処理部１００と、通信部１１０と、ＵＳＢコントローラー１２０が接続されている。

記憶部９０は、半導体メモリーやＨＤＤ等の記憶手段であり、原稿読み取り部４１によって原稿ＭＳを読み取ることで取得された画像データが記憶される。また、記憶部９０には、秘密鍵の対になる公開鍵９１と、許可する署名発行者の発行者情報９２が記憶されている。記憶部９０は、公開鍵９１を記憶する公開鍵記憶部、発行者情報９２を記憶する発行者情報記憶部としてそれぞれ機能する。

画像処理部１００は、画像データに対して所定の画像処理を行う手段であり、例えば、拡大縮小処理や、濃度調整、階調調整等の画像改善処理が行われる。

通信部１１０は、ネットワーク６を介して各種データを送受信する機能を有する。

ＵＳＢコントローラー１２０は、ＵＳＢポート４５に装着された記録媒体５に記録された署名情報と保守プログラムとを読み出して制御部８０に出力する機能を備えている。

制御部８０は、ＲＯＭ、ＲＡＭ等を備えたマイクロコンピュータ等の情報処理部である。ＲＯＭには画像形成装置４の動作制御を行うための制御プログラムが記憶されている。制御部８０は、ＲＯＭに記憶されている制御プログラムを読み出し、制御プログラムをＲＡＭに展開させることで、操作部４４から入力された所定の指示情報に応じて装置全体の制御を行う。制御部８０のＲＯＭ（機器ＩＤ記憶部）には、機器ＩＤ８１が書き換え不可能な状態で記憶されている。機器ＩＤ８１は、画像形成装置４を特定するシリアル番号等の固有情報であり、書き換えることができない状態で記憶されている。

また、制御部８０は、図５に示すシステムメニュー画面Ｇ５０に設けられたメンテナンス受け付けボタンＢ５３が押されると、メンテナンス処理制御部８２として機能する。システムメニュー画面Ｇ５０は、管理者権限を有するシステム管理者が操作可能なメニューであり、操作を受け付けるためにシステム管理者のログインＩＤやログインパスワードなどの入力を必要とする。システムメニュー画面Ｇ５０には、メンテナンス受け付けボタンＢ５３の他にも、ユーザー登録や部門登録を行うためのユーザー／部門管理ボタンＢ５１や、アドレス登録を行うためのアドレス帳ボタンＢ５２等が設けられている。メンテナンス受け付けボタンＢ５３は、保守権限を有する保守員によるメンテナンスではなく、保守権限を有さないシステム管理者による画像形成装置４のメンテナンスの指示を受け付けるためのボタンである。メンテナンス処理制御部８２は、メンテナンス受け付けボタンＢ５３が押されると、記録媒体５から署名情報を読み取って、公開鍵９１を用いて署名情報の正当性を検証する。そして、メンテナンス処理制御部８２は、正当な署名情報であると判断した場合に限って画像形成装置４をメンテナンスモードに移行させ、記録媒体５に記録された保守プログラムを実行して、保守プログラムに従ってメンテナンスを受け付ける。

具体的には、メンテナンス処理制御部８２は、記録媒体５から保守プログラムと署名情報とを読み出し、公開鍵９１を用いて署名情報の復号化を試みる。公開鍵９１を用いて署名情報の復号化に成功した場合、メンテナンス処理制御部８２は、公開鍵による署名情報の検証ＯＫと判断する。つづいて、メンテナンス処理制御部８２は、署名情報に含まれる保守プログラムのハッシュ値と、発行者情報と、機器ＩＤと、有効期限とのそれぞれが正しいか検証する。復号化に失敗した場合には、メンテナンス処理制御部８２は、署名情報が正当でないと判断し、メンテナンスモードへの移行及び保守プログラムの実行を禁止する。

ハッシュ値の検証処理では、メンテナンス処理制御部８２は、記録媒体５から読み出した保守プログラムのハッシュ値を算出し、算出したハッシュ値が署名情報に含まれるハッシュ値と一致するかを検証する。ハッシュ値同士が一致した場合には、メンテナンス処理制御部８２は、ハッシュ値の検証ＯＫと判断し、ハッシュ値同士が一致しなかった場合には、ハッシュ値の検証ＮＧと判断する。

発行者情報の検証処理では、メンテナンス処理制御部８２は、署名情報に含まれる発行者情報が記憶部９０に記憶された許可された署名発行者の発行者情報９２と一致するかを検証する。発行者情報同士が一致した場合には、メンテナンス処理制御部８２は、発行者情報の検証ＯＫと判断し、発行者情報同士が一致しなかった場合には、発行者情報の検証ＮＧと判断する。

機器ＩＤの検証処理では、メンテナンス処理制御部８２は、署名情報に含まれる機器ＩＤがＲＯＭに記憶された機器ＩＤ８１と一致するかを検証する。機器ＩＤ同士が一致した場合には、メンテナンス処理制御部８２は、機器ＩＤの検証ＯＫと判断し、機器ＩＤ同士が一致しなかった場合には、機器ＩＤの検証ＮＧと判断する。

有効期限の検証処理では、メンテナンス処理制御部８２は、署名情報に含まれる有効期限と制御部８０が管理する不図示のシステム時計の現在日時とを比較し、現在日時が有効期限を過ぎていないかを検証する。現在日時が有効期限を過ぎていない場合、すなわち、現在日時が有効期限内である場合には、メンテナンス処理制御部８２は、有効期限の検証ＯＫと判断し、現在日時が有効期限を過ぎている場合に、有効期限の検証ＮＧと判断する。

メンテナンス処理制御部８２は、署名情報に含まれていたハッシュ値と発行者情報と機器ＩＤと有効期限との全ての検証がＯＫだった場合に限って、正当な署名情報であると判断し、いずれか１つでも検証ＮＧとなった場合には、正当な署名情報でないと判断する。メンテナンス処理制御部８２は、正当な署名情報でないと判断した場合には、画像形成装置４をメンテナンスモードに移行させず、保守プログラムも実行しない。なお、署名情報には、ハッシュ値と発行者情報と機器ＩＤと有効期限との少なくともいずれか１つ以上の情報が含まれるようにしてもよい。この場合、メンテナンス処理制御部８２は、署名情報に含まれていた情報の検証結果が検証ＯＫとなった場合に、正当な署名情報であると判断すればよい。

次に、図６及び図７を参照して、本実施の形態のメンテナンスシステム１０００におけるメンテナンス動作の流れを説明する。図６は、保守員端末１と署名発行装置２と管理者端末３との間におけるメンテナンス動作を示しており、図７は、画像形成装置４におけるメンテナンス動作を示している。

図６を参照すると、保守員端末１は、ユーザーから画像形成装置４に問題が発生した旨の連絡を受けた保守員による入力部１２からの操作に従って、保守プログラム作成処理部１５を介して問題改修用の保守プログラムを作成する（ステップｓ１１）。つづいて、保守員端末１の署名情報生成要求部１６は、入力部１２を介して、署名情報の発行者情報と、保守プログラムを実行させる画像形成装置４の機器ＩＤと、保守プログラムを実行可能な有効期限との入力を受け付ける（ステップｓ１２）。つづいて、署名情報生成要求部１６は、保守プログラムと発行者情報と機器ＩＤと有効期限とを含む署名情報生成要求を生成し、ネットワーク６経由で署名発行装置２に送信する（ステップｓ１３）。

署名発行装置２の署名情報生成部２５は、ネットワーク６経由で署名情報生成要求を受信するまで待機している（ステップｓ１４、ステップｓ１４でＮｏ）。署名情報生成部２５は、署名情報生成要求を受信すると（ステップｓ１４でＹｅｓ）、署名情報生成要求に含まれる保守プログラムのハッシュ値を算出する（ステップｓ１５）。つづいて、署名情報生成部２５は、算出したハッシュ値と、署名情報生成要求に含まれる発行者情報と、署名情報生成要求に含まれる機器ＩＤと、署名情報生成要求に含まれる有効期限とを秘密鍵２４を用いて暗号化することにより署名情報を生成する（ステップｓ１６）。つづいて、署名情報生成部２５は、生成した署名情報をネットワーク６経由で保守員端末１に送信する（ステップｓ１７）。

保守員端末１の署名情報生成要求部１６は、署名情報生成要求を送信すると、署名発行装置２から署名情報を受信するまで待機している（ステップｓ１８、ステップｓ１８でＮｏ）。署名情報が受信されると（ステップｓ１８でＹｅｓ）、メール処理部１７により、署名情報と保守プログラムとがネットワーク６経由で管理者端末３にメール送信される（ステップｓ１９）。

管理者端末３のメール処理部３７は、保守員端末１からのメールを受信するまで待機している（ステップｓ２０、ステップｓ２０でＮｏ）。メールを受信すると（ステップｓ２０でＹｅｓ）、メール処理部３７は、メールに含まれる署名情報と保守プログラムとをＵＳＢコントローラー３５を介してＵＳＢポート３６に接続された記録媒体５に記録する（ステップｓ２１）。

つづいて、図７を参照すると、画像形成装置４の制御部８０は、システム管理者によりシステムメニュー画面Ｇ５０に設けられたメンテナンス受け付けボタンＢ５３が押されると、システム管理者によるメンテナンスモードへの移行指示を受け付けて（ステップｓ３１）、メンテナンス処理制御部８２として機能する。メンテナンス処理制御部８２は、ＵＳＢコントローラー１２０を介してＵＳＢポート４５に接続された記録媒体５から保守プログラムと署名情報とを読み出して（ステップｓ３２）、公開鍵９１を用いて署名情報の検証処理を行う（ステップｓ３３）。

公開鍵９１を用いた検証処理では、メンテナンス処理制御部８２は、公開鍵９１を用いて署名情報の復号化に成功するか検証する（ステップｓ３４）。復号化できなかった場合には（ステップｓ３４でＮｏ）、メンテナンス処理制御部８２は、公開鍵９１を用いた検証結果をＮＧと判断し、メンテナンスモードへの移行及び保守プログラムの実行を禁止して（ステップｓ４１）、本処理を終了する。

復号化に成功した場合には（ステップｓ３４でＹｅｓ）、つづいて、メンテナンス処理制御部８２は、ハッシュ値の検証処理を行う（ステップｓ３５）。ハッシュ値の検証処理では、メンテナンス処理制御部８２は、記録媒体５から読み出した保守プログラムのハッシュ値を算出し、算出したハッシュ値を署名情報に含まれていたハッシュ値と比較する。ハッシュ値同士が一致した場合、メンテナンス処理制御部８２は、ハッシュ値の検証結果をＯＫと判断する。ハッシュ値同士が一致しなかった場合には、ハッシュ値の検証結果がＮＧと判断される。これにより、署名情報が署名発行装置２を介して生成されたことを確認できると共に、保守プログラムに改ざんがなく正当なものであることを確認できる。

つづいて、メンテナンス処理制御部８２は、発行者情報の検証処理を行う（ステップｓ３６）。発行者情報の検証処理では、メンテナンス処理制御部８２は、記憶部９０に記憶された発行者情報９２と、署名情報に含まれていた発行者情報とを比較する。発行者情報同士が一致した場合、メンテナンス処理制御部８２は、発行者情報の検証結果をＯＫと判断する。発行者情報同士が一致しなかった場合には、発行者情報の検証結果がＮＧと判断される。これにより、画像形成装置４に予め記憶された発行者情報９２と関係のない発行者による署名情報が付加された保守プログラムを実行されることを防止することができる。

つづいて、メンテナンス処理制御部８２は、機器ＩＤの検証処理を行う（ステップｓ３７）。機器ＩＤの検証処理では、メンテナンス処理制御部８２は、制御部８０のＲＯＭに記憶された機器ＩＤ８１と、署名情報に含まれていた機器ＩＤとを比較する。機器ＩＤ同士が一致した場合、メンテナンス処理制御部８２は、機器ＩＤの検証結果をＯＫと判断する。機器ＩＤ同士が一致しなかった場合には、機器ＩＤの検証結果がＮＧと判断される。これにより、署名情報及び保守プログラムがメンテナンス対象装置とは異なる画像形成装置に使用されて、他の画像形成装置をメンテナンスモードに移行させるために使用されることを防止することができる。

つづいて、メンテナンス処理制御部８２は、有効期限の検証処理を行う（ステップｓ３８）。有効期限の検証処理では、メンテナンス処理制御部８２は、制御部８０が管理している不図示のシステム時計による現在日時と、署名情報に含まれていた有効期限とを比較する。現在日時が有効期限内である場合、メンテナンス処理制御部８２は、有効期限の検証結果をＯＫと判断する。現在日時が有効期限を過ぎていた場合には、有効期限の検証結果がＮＧと判断される。これにより、署名情報及び保守プログラムがメンテナンス終了後に再び画像形成装置４をメンテナンスモードに移行させるために使用されることを防止することができる。

ハッシュ値の検証処理と、発行者情報の検証処理と、機器ＩＤの検証処理と、有効期限の検証処理とを終えると、メンテナンス処理制御部８２は、検証結果が全てＯＫだったか否かを判断する（ステップｓ３９）。

検証結果が全てＯＫの場合（ステップｓ３９でＹｅｓ）、メンテナンス処理制御部８２は、画像形成装置４をメンテナンスモードに移行させて記録媒体５に記録された保守プログラムを実行する（ステップｓ４０）。これにより画像形成装置４は、保守プログラムに対応するメンテナンスを受け付ける。

例えば、保守プログラムが、全て自動で設定変更や処理を実行する自動実行スクリプトである場合には、実行されることによりシステム管理者の操作不要でメンテナンス処理が完了する。そのため、システム管理者は、メンテナンス受け付けボタンＢ５３を押すだけで簡単にメンテナンスを完了させることができる。また、保守プログラムは、事前に保守員が指定したメンテナンス画面のみ操作可能となるように作成されてもよい。この場合、保守プログラムが実行されると、保守員が指定したメンテナンス画面のみが操作部４４に表示され、設定を変更されたくないメンテナンス画面が非表示となる。システム管理者は保守員からの電話指示などに従って操作を実行することで、状況に応じた対応が可能となる。また、不要なメンテナンス画面は表示されないので、システム管理者により誤った設定がされることを防止できる。そのため、保守員は、作成する保守プログラムの内容を変えることにより現地に出向くことなく多様な保守作業を実現することができる。メンテナンスが終了すると、画像形成装置４はメンテナンスモードを終了して通常モードに復帰し、システム管理者によるメンテナンスも終了する。

一方、検証結果が全てＯＫでなかった場合（ステップｓ３９でＮｏ）、すなわち、検証結果が１つでもＮＧとなった場合、メンテナンス処理制御部８２は、画像形成装置４のメンテナンスモードへの移行、及び保守プログラムの実行を禁止し（ステップｓ４１）、本処理を終了する。なお、ハッシュ値の検証処理（ステップｓ３５）、発行者情報の検証処理（ステップｓ３６）、機器ＩＤの検証処理（ステップｓ３７）、有効期限の検証処理（ステップｓ３８）のそれぞれの検証処理において、検証結果がＮＧとなった段階で以降の検証は行わずに、ステップｓ４１のメンテナンスモードへの移行及び保守プログラムの実行を禁止する処理を実行してもよい。

このように、画像形成装置４は、保守権限でのメンテナンスを受け付ける電子機器であって、秘密鍵２４と対になる公開鍵９１を記憶した記憶部９０と、暗号化された署名情報が付加された保守プログラムを取得する保守プログラム取得部（ＵＳＢコントローラー１２０）と、保守権限を有していないシステム管理者によるメンテナンスの指示を受け付ける操作部４４と、メンテナンスの指示が受け付けられた場合に、公開鍵９１を用いて署名情報の正当性を検証し、正当であると判断した場合に限って保守プログラムに従ってメンテナンスを受け付けるメンテナンス処理制御部８２とを備えている。

これにより、保守員に代わってシステム管理者が保守プログラムを画像形成装置に実行させ、保守プログラムに従ってメンテナンスすることができる。したがって、保守員が現地に出向くことなく画像形成装置のメンテナンスを実施することができるので、画像形成装置のダウンタイムを短縮でき、保守員の保守効率も改善することができる。また、保守員は、保守プログラムの内容を変えることで、画像形成装置で発生した問題のメンテナンスに必要なメンテナンス項目のみ設定を受け付け可能に制御したり、メンテナンス項目を表示させないままメンテナンス項目の設定変更を実行するように制御したりできるので、状況に応じて臨機応変なメンテナンスの実施が可能になる。また、メンテナンス処理制御部８２は、公開鍵９１を用いて保守プログラムに付加された署名情報の正当性を検証し、正当であると判断した場合に限って保守プログラムを実行するので、不正な保守プログラムの実行を防止することができる。

また、署名情報には、保守プログラムのハッシュ値が含まれているので、メンテナンス処理制御部８２は、署名情報のハッシュ値と保守プログラムから算出したハッシュ値とを比較することで、改ざんのない正当な保守プログラムであるか確認することができる。また、署名情報には、署名発行者の発行者情報が含まれているので、メンテナンス処理制御部８２は、記憶部９０に記憶された予め許可された署名発行者の発行者情報と比較することで、許可された署名発行者による署名情報であるかを確認することができる。また、署名情報には、保守プログラムの実行対象機器の機器ＩＤが含まれているので、メンテナンス処理制御部８２は、自機器の機器ＩＤ８１と比較することで、保守プログラムを実行してよいかを確認することができ、保守ポログラムを他の機器に転用されることを防止できる。また、保守プログラムには、有効期限が含まれているので、保守員が意図したメンテナンス以外で保守プログラムが再利用されることを防止することができる。

なお、画像形成装置４は保守員端末１からネットワーク６経由でリモート管理可能に構成されてもよい。この場合、保守員は、保守員端末１を介して画像形成装置４をネットワーク６経由で遠隔操作し、保守プログラム及び署名情報を画像形成装置４に送信して、画像形成装置４の記憶部９０に記憶させておくことができる。そして、システム管理者によりメンテナンス受け付けボタンＢ５３が押されると、メンテナンス処理制御部８２が記憶部９０に記憶された署名情報の正当性を検証し、正当な署名情報であると判断した場合に、画像形成装置４をメンテナンスモードに移行して、保守プログラムを実行するようにしてもよい。また、画像形成装置４がメール受信機能を備えている場合には、保守員端末１は保守プログラムと署名情報とが含まれるメールを管理者端末３ではなく画像形成装置４に送信してもよい。そして、システム管理者によりメンテナンス受け付けボタンＢ５３が押されることにより、メンテナンス処理制御部８２は、保守員端末１から受信したメールに含まれる署名情報の正当性を検証し、正当な署名情報であると判断した場合に、画像形成装置４をメンテナンスモードに移行して、保守プログラムを実行するようにしてもよい。いずれの場合も、システム管理者が管理者端末３を操作して、メールから保守プログラムと署名情報とを取り出して記録媒体５に移す作業を不要にすることができるので、システム管理者の負担を減らすことができる。なお、これらの場合、通信部１１０が保守プログラム取得部に相当する。

また、署名発行装置２は、保守員端末１から受信した保守プログラムを秘密鍵２４により暗号化して保守員端末１に送信してもよいし、秘密鍵２４とは別の共通鍵を画像形成装置４との間で用意して共通鍵により保守プログラムを暗号化して保守員端末１に送信してもよい。保守プログラムの中身が解読されることを防止するためである。なお、仮に保守プログラムが解読されて改ざんされたとしても、メンテナンス処理制御部８２によるハッシュ値同士の検証処理でＮＧと判断されるので、改ざんされた保守プログラムの実行は防止される。

本発明は上述した実施の形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で種々様々に変更が可能であることは言うまでもない。

１保守員端末
２署名発行装置
３管理者端末
４画像形成装置
５記録媒体
６ネットワーク
１１通信部
１２入力部
１３表示部
１４制御部
１５保守プログラム作成処理部
１６署名情報生成要求部
１７メール処理部
２１記憶部
２２制御部
２３通信部
２４秘密鍵
２５署名情報生成部
３１通信部
３２入力部
３３表示部
３４制御部
３５ＵＳＢコントローラー
３６ＵＳＢポート
３７メール処理部
４１原稿読み取り部
４２原稿給送部
４３本体部
４４操作部
４５ＵＳＢポート
６０記録部
６１感光体ドラム
６２帯電部
６３露光部
６４画像形成部
６５転写部
６６定着部
６７クリーニング部
７０給紙部
７１給紙カセット
７２給紙ローラー
８０制御部
８１機器ＩＤ
８２メンテナンス処理制御部
９０記憶部
９１公開鍵
９２発行者情報
１００画像処理部
１１０通信部（保守プログラム取得部）
１２０ＵＳＢコントローラー（保守プログラム取得部）
４１１スキャナー
４１２プラテンガラス
４１３原稿読取スリット
４２１原稿載置部
４２２原稿排出部
４２３原稿搬送機構
４３１用紙搬送路
４３２搬送ローラー
４３３排出ローラー
４３４胴体トレイ
１０００メンテナンスシステム
Ｇ５０システムメニュー画面
Ｂ５１〜Ｂ５４ボタン

Claims

保守権限でのメンテナンスを受け付ける電子機器であって、
秘密鍵と対になる公開鍵を記憶した記憶部と、
暗号化された署名情報が付加された保守プログラムを取得する保守プログラム取得部と、
前記保守権限を有していないシステム管理者による前記メンテナンスの指示を受け付ける操作部と、
前記メンテナンスの指示が受け付けられた場合に、前記公開鍵を用いて前記署名情報の正当性を検証し、正当であると判断した場合に限って前記保守プログラムに従って前記メンテナンスを受け付けるメンテナンス処理制御部と
を備えたことを特徴とする電子機器。
前記署名情報には、前記保守プログラムのハッシュ値が含まれており、
前記メンテナンス処理制御部は、
前記公開鍵を用いて復号化した前記署名情報に含まれるハッシュ値が前記保守プログラムから算出したハッシュ値と一致した場合に、前記署名情報を正当であると判断する
ことを特徴とする請求項１に記載の電子機器。
許可する署名発行者の発行者情報を記憶した発行者情報記憶部を備え、
前記署名情報には、前記署名発行者を示す発行者情報が含まれており、
前記メンテナンス処理制御部は、
前記公開鍵を用いて復号化した前記署名情報に含まれる前記発行者情報が前記発行者情報記憶部に記憶された前記発行者情報と一致した場合に、前記署名情報を正当であると判断する
ことを特徴とする請求項１又は２に記載の電子機器。
書き換え不可能な固有の機器ＩＤを記憶した機器ＩＤ記憶部を備え、
前記署名情報には、前記保守プログラムの実行対象機器の機器ＩＤが含まれており、
前記メンテナンス処理制御部は、
前記公開鍵を用いて復号化した前記署名情報に含まれる前記機器ＩＤが前記機器ＩＤ記憶部に記憶された前記機器ＩＤと一致した場合に、前記署名情報を正当であると判断する
ことを特徴とする請求項１から３までのいずれか１項に記載の電子機器。
前記署名情報には、前記保守プログラムを実行可能な有効期限が含まれており、
前記メンテナンス処理制御部は、
現在日時が前記公開鍵を用いて復号化した前記署名情報に含まれる有効期限を過ぎていなかった場合に、前記署名情報を正当であると判断する
ことを特徴とする請求項１から４までのいずれか１項に記載の電子機器。