JP4492761B2 - 画像形成装置および画像形成装置におけるアクセス制御方法 - Google Patents

Description

この発明は、画像形成装置および画像形成装置におけるアクセス制御方法に関し、特に外部ネットワークへの接続が制限された環境でも適切にアクセス制御を行なうことのできる構成に関する。

近年のデジタル技術やネットワーク技術などの進歩に伴って、複合機（ＭＦＰ：Multiple Function Peripheral）やプリンタなどの画像形成装置もネットワーク化が進んでいる。このような画像形成装置は、ＬＡＮ（Local Area Network）などを介してパーソナルコンピュータなどとネットワーク接続され、パーソナルコンピュータ（あるいは、パーソナルコンピュータ上で実行されるアプリケーション）から受信したプリント指令などに応じて、画像形成処理を実行する。

このようにネットワーク化された画像形成装置は、さまざまな装置からのアクセスを受けるようになるので、不正行為や異常処理を防止する観点から、セキュリティ対策が施されることが一般的である。このようなセキュリティ対策の一つとして、画像形成装置の製造元（メーカ）などが承認したアプリケーションに対して予め固有の認証情報（以下、「ライセンスコード」とも称す。）を割り当てておき、このような正規のライセンスコードを送信するアプリケーションに限って、画像形成装置との間のデータ通信を許可するような方法が知られている。すなわち、いずれかのアプリケーションからのアクセスを受けた画像形成装置は、当該アプリケーションから送信されるライセンスコードを受信するか否か、さらに受信したライセンスコードは不正なものであるか否かを判断し、正規のライセンスコードを受信した場合に限って、当該アプリケーションからのアクセスを許可する。このようなライセンスコードは、アプリケーションのバーションアップや有効期限切れなどに伴って、随時更新される。そのため、このようなセキュリティ対策を実効的に機能させるためには、画像形成装置のメーカなどが更新後のライセンスコードを適時配布する必要がある。

また、特開２００５−２６７４０５号公報（特許文献１）には、ネットワーク化された画像形成装置などにインストールするアプリケーションの正当性を判断する方法が提案されている。

特開２００５−２６７４０５号公報

ところで、不正アクセスの方法が巧妙化するなどの状況を鑑みて、画像形成装置を含むローカルネットワークと、インターネットなどのグローバルネットワークとを分離する構成を採用することも多くなっている。このようなネットワーク環境下では、同一のローカルネットワークに接続された、画像形成装置とパーソナルコンピュータとの間ではデータ通信は制限されないものの、画像形成装置から外部サーバなどへのアクセスは制限されることとなる。そのため、上述のようなセキュリティ対策を実行しようとしても、メーカ側に設置されたサーバにアクセスすることができず、ライセンスコードを最新のものに自動的に更新できないという課題があった。

一方、画像形成装置のユーザが何らかの方法で更新後のライセンスコードを取得し、画像形成装置に設定（インストール）する方法も考えられるが、ユーザにとってみれば、非常に煩わしい作業となってしまう。

また、特開２００５−２６７４０５号公報（特許文献１）に開示された方法は、外部サーバにアクセスできることを前提とするものであり、上述のような課題を解決するものではない。

そこで、この発明は、かかる問題を解決するためになされたものであり、その目的は、ユーザに過度の負担を与えることなく、画像形成装置に対するアクセス制御を適切に行なうことが可能な画像形成装置および画像形成装置におけるアクセス制御方法を提供することである。

この発明のある局面に従う画像形成装置は、データ通信を行なうための通信部と、アクセスを禁止すべき識別情報およびアクセスを許可できる識別情報の少なくとも一方を含む第１の基準情報を格納するための記憶部と、送信元の識別情報を含む接続要求を受けると、当該識別要求と第１の基準情報とを照合することで、当該接続要求についてのアクセスの許否を判断するための認証部と、アクセスを禁止すべき識別情報およびアクセスを許可できる識別情報の少なくとも一方を含む第２の基準情報が付加された画像形成に係る消耗品から第２の基準情報を読出して、記憶部に格納されている第１の基準情報を第２の基準情報に基づいて更新するための読出部とを含む。

好ましくは、読出部は、消耗品から読出した第２の基準情報が記憶部に格納されている第１の基準情報より新しい場合に、記憶部に格納されている第１の基準情報を更新する。

好ましくは、消耗品は、トナーユニットおよびイメージングユニットの少なくとも一方を含む。

好ましくは、読出部は、消耗品の装着時に、電気的、磁気的、光学的のいずれかの方法によって第２の基準情報を読出すためのセンサを含む。

好ましくは、消耗品には、第２の基準情報を記憶するＩＣチップまたはＩＣタグが付加される。

好ましくは、消耗品に付加される第２の基準情報は暗号化されており、読出部は、消耗品から読出した第２の基準情報を復号化する。

好ましくは、アクセスが許可された送信元が適格なものであるか否かを判断し、適格なものでなければ、当該送信元からの接続要求に含まれる識別情報を不正な識別情報として検知するための検知部と、検知部によって検知された不正な識別情報を消耗品に付加するための付加部とをさらに含む。

さらに好ましくは、付加部は、第２の基準情報を格納する記憶媒体に不正な識別情報を書込む。

この発明の別の局面に従えば、データ通信可能な画像形成装置におけるアクセス制御方法を提供する。アクセス制御方法は、アクセスを禁止すべき識別情報およびアクセスを許可できる識別情報の少なくとも一方を含む第１の基準情報を格納するステップと、送信元の識別情報を含む接続要求を受けると、当該識別要求と第１の基準情報とを照合することで、当該接続要求についてのアクセスの許否を判断するステップと、アクセスを禁止すべき識別情報およびアクセスを許可できる識別情報の少なくとも一方を含む第２の基準情報が付加された画像形成に係る消耗品から第２の基準情報を読出して、記憶部に格納されている第１の基準情報を第２の基準情報に基づいて更新するステップとを含む。

この発明によれば、ユーザに過度の負担を与えることなく、画像形成装置に対するアクセス制御を適切に行なうことができる。

この発明の第１実施形態に従うシステム構成の一例を示す概略構成図である。 この発明の第１実施形態に従うライセンスコードの配布方法を説明するための概略図である。 この発明の第１実施形態に従う画像形成装置の装置構成の概略を示す断面図である。 この発明の第１実施形態に従う画像形成装置の機能構成を示すブロック図である。 この発明の第１実施形態に従うパーソナルコンピュータの機能構成を示すブロック図である。 この発明の第１実施形態に従うパーソナルコンピュータで実行されるプログラムの構成例を示す模式図である。 この発明の第１実施形態に従う画像形成装置の制御構造を示すブロック図である。 この発明の第１実施形態に従う配布情報のデータ構造を示す図である。 この発明の第１実施形態に従うトナーユニットに配布情報を付加する形態を示す外観図である。 この発明の第１実施形態に従う消耗品に配布情報を付加する別の形態を示す外観図である。 この発明の第１実施形態に従う消耗品に配布情報を付加するさらに別の形態を示す図である。 この発明の第１実施形態に従うシステムにおける一連の処理手順を示すフローチャートである。 この発明の第２実施形態に従う不正ライセンスコードの収集方法を説明するための概略図である。 この発明の第２実施形態に従う画像形成装置の機能構成を示すブロック図である。 この発明の第２実施形態に従う画像形成装置の制御構造を示すブロック図である。 この発明の第２実施形態に従うシステムにおける一連の処理手順を示すフローチャートである。

この発明の実施の形態について、図面を参照しながら詳細に説明する。なお、図中の同一または相当部分については、同一符号を付してその説明は繰返さない。

以下の実施の形態では、本発明に係る画像形成装置の代表例として、コピーやプリントといった画像形成機能に加えて、ＦＡＸ送信機能や画像読取機能といった複数の機能を搭載した複合機（Multi Function Peripheral）について説明する。

［第１実施形態］
（ネットワークシステムの全体構成）
図１は、この発明の第１実施形態に従うシステム構成の一例を示す概略構成図である。

図１を参照して、本実施形態に従うシステムとしては、たとえば社内ネットワークなどのローカルネットワークＮＷに、データ通信可能な画像形成装置ＭＦＰと、複数のパーソナルコンピュータＰＣ１〜ＰＣ３（以下、「パーソナルコンピュータＰＣ」とも総称する。）とが接続されている形態を考える。

パーソナルコンピュータＰＣでは、オペレーティングシステム（Operating System：ＯＳ）を含む各種アプリケーションが実行されているものとする。これらのアプリケーションのうち、データ通信を行なうアプリケーションは、ユーザの指示に従って、画像形成装置ＭＦＰに対してプリント指令を送出したり、画像形成装置ＭＦＰに蓄積されているファイルを取得したりする。より具体的には、プリンタドライバなどのアプリケーションは、文書作成アプリケーションや表計算アプリケーションに対して、ユーザによる印刷操作がなされると、それらのアプリケーションからの情報に基づいてプリント指令を生成し、画像形成装置ＭＦＰへ送出する。また、ファイル管理プログラムなどのアプリケーションは、ユーザ操作に従って、画像形成装置ＭＦＰに記憶されている画像データなどのファイルの一覧を表示したり、指定されたファイルを取得したりする。

画像形成装置ＭＦＰは、上述のようなパーソナルコンピュータＰＣからのアクセスを受けると、アクセス元のアプリケーションに対して、固有の認証情報（以下、「ライセンスコード」とも称す。）を要求する。そして、画像形成装置ＭＦＰは、アクセス元のアプリケーションからのライセンスコードが不正なものではないと判断された場合に限って、アクセスを許可する。

なお、本明細書における「認証情報」または「ライセンスコード」は、画像形成装置ＭＦＰと他の装置（たとえば、パーソナルコンピュータ）との間の論理的な接続（コネクション）を確立するための認証に用いられる情報を総称するものである。「認証情報」または「ライセンスコード」は、接続元のデバイス（ハードウェア）またはアプリケーション（プログラム）に一意（ユニーク）なコード（値）が用いられる。より具体的には、画像形成装置ＭＦＰの製造元（メーカ）などが承認したアプリケーションに対して固有のコードを割り当てる場合や、アプリケーションの名前、バージョン番号、適用済のパッチ番号などの組み合わせたコードを用いる場合などが想定される。以下に示す実施の形態では、各アプリケーションに対して、固有のライセンスコードが予め割り当てられているものとする。

ローカルネットワークＮＷは、ゲートウェイＧＷを介して、外部のネットワークであるインターネットに接続されている。しかしながら、セキュリティの観点から、ゲートウェイＧＷが画像形成装置ＭＦＰから外部サーバへのアクセスを禁止（制限）しているものとする。

このような環境下では、画像形成装置ＭＦＰは、インターネット上に存在する画像形成装置ＭＦＰのメーカ（あるいは、販売会社）のサーバＳＲＶにアクセスすることができない。このようなネットワーク環境下において、ライセンスコードが有効なものであるかを判断するための基準情報を更新する構成について以下説明する。

（ライセンスコードの配布方法）
図２は、この発明の第１実施形態に従うライセンスコードの配布方法を説明するための概略図である。

図２を参照して、本実施形態では、メーカなどが画像形成装置ＭＦＰで使用される消耗品３００に最新のライセンスコードを含む配布情報３０２を付加した上で販売するとともに、画像形成装置ＭＦＰがこのような消耗品から配布情報を読出して、認証処理を行なう。すなわち、画像形成装置ＭＦＰは、パーソナルコンピュータＰＣで実行されるアプリケーションから接続要求を受けると、当該接続要求に含まれるアプリケーションのライセンスコードを消耗品に付加された配布情報と照合して、接続可否を判断する。この配布情報は、アクセスを禁止すべきライセンスコードおよびアクセスを許可できるライセンスコードの少なくとも一方からなる基準情報を含む。

消耗品としては、トナーユニット、イメージング（作像）ユニット、記録用紙、プリペイドカードなどが考えられるが、以下の説明では、主としてトナーユニットに配布情報３０２を付加する形態について例示する。

配布情報３０２には、アクセスを禁止すべき相手を特定するためのライセンスコードが記述されたブラックリストと、アクセスを許可できる相手を特定するためのライセンスコードが記述されたホワイトリストとが含まれ得る。ブラックリストを用いる場合には、ブラックリストに登録されていないアプリケーションを有効と判断し、ホワイトリストを用いる場合には、ホワイトリストに登録されているアプリケーションのみを有効と判断する。言い換えれば、本明細書において「不正ライセンスコード」とは、広義には、ブラックリストに登録されているライセンスコードおよびホワイトリストに登録されていないライセンスコードを含み得る。

上述のような消耗品は、画像形成装置ＭＦＰが使用されることで、必然的に交換されるものである。そのため、上述のような配布方法を採用することで、外部ネットワークへの接続が制限された画像形成装置ＭＦＰでも、認証に用いる不正ライセンスコードの情報を容易に更新することができる。その結果、画像形成装置ＭＦＰに対するアクセス制御を適切に行なうことができる。

（画像形成装置の構成）
図３は、この発明の第１実施形態に従う画像形成装置ＭＦＰの装置構成の概略を示す断面図である。

図３を参照して、画像形成装置ＭＦＰは、スキャナ１１２と、プリントエンジン１１４と、給紙部１１８と、排紙装置１２０と、排紙トレイ１２２とを含む。

スキャナ１１２は、原稿から画像情報を読取って画像データを生成する。この画像データは、プリントエンジン１１４へ送られてプリント処理されたり、ＦＡＸデータとして送信されたりする。より具体的には、スキャナ１１２は、プラテンガラスに載置された原稿に向けて光源から光を照射するとともに、原稿から反射した光を撮像素子などによって受光することで、原稿の画像情報を読取る。あるいは、連続的な原稿読取りができるように、原稿給紙台、送出ローラ、レジストローラ、搬送ドラム、および排紙台などを含むようにスキャナ１１２を構成してもよい。

プリントエンジン１１４は、スキャナ１１２で読取られた画像データや、後述するネットワークＩ／Ｆ部１０６（図４）などによって受信された画像データを記録用紙にプリントする。代表的に、プリントエンジン１１４は、電子写真方式のカラー画像形成ユニットを含む。より具体的には、プリントエンジン１１４は、それぞれイエロー（Ｙ）、マゼンタ（Ｍ）、シアン（Ｃ）、ブラック（Ｋ）の各色のトナー像を生成するイメージング（作像）ユニット７０Ｙ，７０Ｍ，７０Ｃ，７０Ｋ（以下、「イメージングユニット７０」とも総称する。）を含む。イメージングユニット７０Ｙ，７０Ｍ，７０Ｃ，７０Ｋは、プリントエンジン１１４内を循環的に駆動される転写ベルト２２に沿って、その記載の順序に配置される。

イメージングユニット７０Ｙ，７０Ｍ，７０Ｃ，７０Ｋは、それぞれ露光走査部６０Ｙ，６０Ｍ，６０Ｃ，６０Ｋ（以下、「露光走査部６０」とも総称する。）と、感光体ドラム６２Ｙ，６２Ｍ，６２Ｃ，６２Ｋ（以下、「感光体ドラム６２」とも総称する。）とを含む。露光走査部６０の各々は、対象の画像データに含まれる各色イメージに応じたレーザ光を発するレーザダイオードと、このレーザ光を偏向して対応の感光体ドラム６２の表面を主走査方向に露光させるポリゴンミラーとを含んでいる。

感光体ドラム６２Ｙ，６２Ｍ，６２Ｃ，６２Ｋの表面には、上述ような露光走査部６０による露光によって静電潜像が形成され、この静電潜像がそれぞれ対応するトナーユニット６４Ｙ，６４Ｍ，６４Ｃ，６４Ｋ（以下、「トナーユニット６４」とも総称する。）から供給されるトナー粒子によってトナー像として現像される。

各感光体ドラム６２の表面に現像された各色のトナー像は、転写ベルト２２に順次転送される。さらに、この転写ベルト２２上に重ねられたトナー像は、給紙部１１８からタイミングを合わせて供給される記録用紙上にさらに転写される。

この記録紙上に転写されたトナー像は、下流部に配置された定着部において定着された後、排紙装置１２０を通って適切な排紙トレイ１２２へ排紙される。

上述した装置構成のうち、イメージングユニット７０、トナーユニット６４、記録用紙などは消耗品に相当する。特に、イメージングユニット７０では、感光体ドラム６２が使用に伴って劣化し、トナーユニット６４では、それに収納されていたトナー粒子が使用に伴って消費される。

図４は、この発明の第１実施形態に従う画像形成装置ＭＦＰの機能構成を示すブロック図である。

図４を参照して、画像形成装置ＭＦＰは、ＣＰＵ（Central Processing Unit）１００と、メモリ１０４と、ネットワークインターフェイス（Ｉ／Ｆ）部１０６と、操作部１０８と、表示部１１０と、スキャナ１１２と、プリントエンジン１１４と、データ読取部１１６とを含み、これらの各部は、バス１０２を介して互いにデータ通信可能に接続されている。

ＣＰＵ１００は、画像形成装置ＭＦＰの全体制御を司る演算装置であって、メモリ１０４などに予め格納されたプログラムを実行することで本実施形態に従う各処理を提供する。

メモリ１０４は、代表的に、ＤＲＡＭ（Dynamic Random Access Memory）などの揮発性メモリと、フラッシュメモリなどの不揮発性メモリとを含んで構成される。より具体的には、メモリ１０４は、スキャナ１１２で読取られた原稿の画像データを一時的に格納するとともに、ＣＰＵ１００で実行されるプログラムを格納する。

操作部１０８は、ユーザ指示を受付ける入力部であり、各種キーおよびタッチパネルを含む。

表示部１１０は、ユーザに各種情報を提示する情報提示部であり、液晶パネルやＬＥＤ（Light Emitting Diode）インジケータを含む。

ネットワークＩ／Ｆ部１０６は、ローカルネットワークＮＷを介して、パーソナルコンピュータＰＣや他の画像形成装置ＭＦＰとの間でデータ通信を行なうための信号を授受する。

スキャナ１１２およびプリントエンジン１１４については、上述したので、詳細な説明は繰返さない。

データ読取部１１６は、消耗品（代表例には、トナーユニット）に付加された配布情報を読取り、当該読取った配布情報をメモリ１０４に記憶する。後述するように、消耗品には、電気的、磁気的および光学的といったさまざまな方法で配布情報が付加されるので、データ読取部１１６は、消耗品に付加された配布情報の形態に応じて、それぞれ電気的、磁気的および光学的にデータを読取可能なセンサからなる。

（パーソナルコンピュータの構成）
図５は、この発明の第１実施形態に従うパーソナルコンピュータＰＣの機能構成を示すブロック図である。

図５を参照して、パーソナルコンピュータＰＣは、オペレーティングシステムを含む各種プログラムを実行するＣＰＵ２００と、ＣＰＵ２００でのプログラムの実行に必要なデータを一時的に記憶するメモリ２１２と、ＣＰＵ２００で実行されるプログラムを不揮発的に記憶するハードディスクドライブ（ＨＤＤ）２１０とを含む。このようなプログラムは、ＣＤ−ＲＯＭ（Compact Disk-Read Only Memory）ドライブ２１４またはフレキシブルディスク（ＦＤ：Flexible Disk）ドライブ２１６によって、それぞれＣＤ−ＲＯＭ２１４ａまたはフレキシブルディスク２１６ａなどから読取られる。

ＣＰＵ２００は、キーボードやマウスなどからなる入力部２０８を介してユーザによる操作要求を受取るとともに、プログラムの実行によって生成される画面出力をディスプレイ２０４へ出力する。また、ＣＰＵ２００は、ＬＡＮカードなどからなるネットワークインターフェイス（Ｉ／Ｆ）部２０６を介して、画像形成装置ＭＦＰとの間でデータ通信を行なう。これらの部位は、バス２０２を介して互いにデータ通信可能に接続されている。

図６は、この発明の第１実施形態に従うパーソナルコンピュータＰＣで実行されるプログラムの構成例を示す模式図である。

図６を参照して、パーソナルコンピュータＰＣでは、基本的な処理を行なうためのオペレーティングシステム（ＯＳ）２５０が実行されており、このオペレーティングシステムの一部の機能を利用してアプリケーション２５２、ＧＵＩ（Graphical User Interface）２５６、通信プロセス２５８などのプログラムが実行される。

本実施形態に従うアプリケーション２５２は、予め画像形成装置ＭＦＰの製造元（メーカ）によって割り当てられたライセンスコード２５４を含んでおり、画像形成装置ＭＦＰとの接続を行なう場合には、このライセンスコード２５４を含む接続要求を送信する。

ＧＵＩ２５６は、各種情報を表示したり、ユーザの指示を受付けたりするための視覚的なインタフェースをディスプレイ２０４に表示させる。すなわち、ユーザがディスプレイ２０４を参照しながら操作を行なうと、対応する内部コマンドがこのＧＵＩ２５６を介してアプリケーション２５２に伝えられ、アプリケーション２５２による処理が実行される。また、アプリケーション２５２による実行結果は、このＧＵＩ２５６に伝えられ、ディスプレイ２０４に表示される。

通信プロセス２５８は、アプリケーション２５２などからの内部コマンドに応じて、画像形成装置ＭＦＰとの間で通信処理を実行する。

（画像形成装置の制御構造）
図７は、この発明の第１実施形態に従う画像形成装置ＭＦＰの制御構造を示すブロック図である。なお、図７に示す制御構造は、主として、ＣＰＵ１００（図４）が予め格納されたプログラムを実行することで実現される。但し、プログラムによって実現される機能の一部または全部を専用のハードウェアによって提供してもよい。

図７を参照して、画像形成装置ＭＦＰは、その制御構造として、送受信部１５０と、認証情報抽出部１５２と、認証部１５４と、配布情報ＤＢ（Data Base）１５６と、配布情報読出部１５８とを含む。

送受信部１５０は、パーソナルコンピュータＰＣ上で実行されるアプリケーションなどとの間の接続を確立するとともに、データ通信を行なう。まず、送受信部１５０は、パーソナルコンピュータＰＣ上で実行されるアプリケーションから接続要求を受けると、当該接続要求を認証情報抽出部１５２へ出力する。

認証情報抽出部１５２は、接続要求に含まれるアプリケーションのライセンスコードを抽出し、抽出したライセンスコードを認証部１５４へ出力する。

認証部１５４は、抽出されたライセンスコードを配布情報ＤＢ１５６に格納されている配布情報と照合して、当該ライセンスコードが有効であるか否かを判断する。すなわち、認証部１５４は、送信元からの接続要求についてのアクセスの許否を判断する。さらに、認証部１５４は、その判断結果を送受信部１５０に戻す。この判断結果が無効である場合には、送受信部１５０は、接続要求の送信元のアプリケーションに対して、アクセスの禁止を示すメッセージを送信する。あるいは、それ以降、当該送信元のアプリケーションからの要求に対して、送受信部１５０から何らの応答もしないようにしてもよい。一方、この判断結果が有効である場合には、送受信部１５０は、接続要求の送信元のアプリケーションとの間に接続を確立し、データ通信を開始する。相手先との接続が確立した後、送受信部１５０は、相手先のアプリケーションから送信された要求に応じて、スキャナ１１２、プリントエンジン１１４、データ読取部１１６（図４）などに対して、制御コマンドを送信する。

図７には、配布情報ＤＢ１５６がブラックリスト１５６ａおよびホワイトリスト１５６ｂを含む構成を図示するが、これらのリストのいずれか一方のみを用いるようにしてもよい。上述したように、認証部１５４は、送信要求から抽出されたライセンスコードがブラックリスト１５６ａに登録されていれば、当該ライセンスコードを無効と判断し、送信要求から抽出されたライセンスコードがホワイトリスト１５６ｂに登録されていれば、当該ライセンスコードを有効と判断する。

図８は、この発明の第１実施形態に従う配布情報のデータ構造を示す図である。
図８を参照して、ブラックリスト１５６ａおよびホワイトリスト１５６ｂは、いずれも少なくともライセンスコードの一覧を含む。また、図８に示す例では、各ライセンスコードに対応付けて、アプリケーションの情報（アプリケーション名およびバージョン情報）、および画像形成装置ＭＦＰの製造元などによって当該ライセンスコードが登録された日付が記述されている。なお、アプリケーションの情報および登録された日付は任意項目であり、必ずしも記述しなくてもよい。

なお、配布情報ＤＢ１５６は、メモリ１０４などの不揮発領域に配置され、画像形成装置ＭＦＰの電源がオフされた後にも、配布情報（ブラックリスト１５６ａおよび／またはホワイトリスト１５６ｂ）を保持する。

図７に戻って、配布情報読出部１５８は、消耗品３００（代表的に、トナーユニット）が画像形成装置ＭＦＰに装着されると、当該消耗品３００に付加されている配布情報を読出し、その読出した配布情報を配布情報ＤＢ１５６に格納する。消耗品３００から配布情報を読出すタイミングとしては、消耗品３００が新たに装着されたと判断された最初の１回で十分である。なお、消耗品３００に付加される配布情報は、不正な改ざんなどを防止するために、暗号化しておくことが好ましく、この場合には、配布情報読出部１５８は、予め取得しておいた暗号鍵を用いて、当該暗号化された情報を復号化する。

（配布情報を付加する形態）
図９は、この発明の第１実施形態に従うトナーユニットに配布情報を付加する形態を示す外観図である。図９（Ａ）は、配布情報３０２が付加されたトナーユニットの一例を示し、図９（Ｂ）は、トナーユニットの装着状態の一例を示す。

トナーユニットは、図９（Ａ）に示すように、トナーが収納された収納部と、収納部につながるくびれ部とを含む。くびれ部には、図９（Ｂ）に示すような画像形成装置ＭＦＰ側に設けられたマウント部３２０と係合するように係止部が設けられている。この係止部は、円板状の２つのつば部からなる。

トナーユニットに配布情報３０２を付加する位置はいずれであってもよいが、本実施形態では、データ読取部１１６をマウント部３２０と一体的に構成し、トナーユニットがマウント部３２０と係合された状態で配布情報３０２を読出すことができるように構成される。すなわち、一例として、トナーユニットの係止部を構成する２つのつば部の間に、記憶媒体に格納された配布情報３０２が付加される。

また、イメージングユニットに配布情報３０２を付加する場合にも、同様の態様を採用することができる。

図１０は、この発明の第１実施形態に従う消耗品に配布情報３０２を付加する別の形態を示す外観図である。

上述したように、配布情報３０２の配布方法は、電気的、磁気的および光学的といったさまざまな方法を採用することができるが、たとえば、図１０（Ａ）に示すようにＩＣ（Integrated Circuit）チップやＩＣタグを用いて、電気的に配布情報３０２を格納した記憶媒体を消耗品に配布してもよい。この場合には、データ読取部１１６は、無線信号を発して、このような記憶媒体から接触または非接触で配布情報３０２のバイナリーデータを読取るような構成が採用される。

また、図１０（Ｂ）および図１０（Ｃ）に示すような光学的に配布情報３０２を付加してもよい。光学的な配布情報３０２を付加する形態として、図１０（Ｂ）には、１次元バーコードを用いる方法を示し、図１０（Ｃ）には、２次元バーコード（いわゆる、ＱＲ（Quick Response）コード）を用いる方法を示す。この場合には、データ読取部１１６は、これらのバーコードからの反射光をＣＣＤ（Charge Coupled Device）などで読取るような構成が採用される。

また、記録用紙に配布情報３０２を付加する形態としては、記録用紙自体、あるいは記録用紙の包装などに埋め込むことも可能である。

図１１は、この発明の第１実施形態に従う消耗品に配布情報３０２を付加するさらに別の形態を示す図である。

図１１（Ａ）に示すように、画像形成装置ＭＦＰのメーカ（あるいは、販売会社）が、自社の画像形成装置ＭＦＰに適した記録用紙を製造および／または販売する場合もある。このような場合には、記録用紙またはその包装に地紋などを用いて、配布情報を付加することも可能である。

具体的には、図１１（Ｂ）に示すように、ロゴに加えて、外見的に視認できない地紋が印刷される。この地紋は、図１１（Ｃ）に示すように、所定のドット単位で描かれたパターンであり、各パターンを構成するドットの位置などに応じて、情報を埋め込むものである。このような地紋として付加された配布情報の読出しの方法としては、専用のデータ読取部を設けてもよいが、画像形成装置ＭＦＰに搭載されるスキャナ１１２（図３）を用いて画像データとして読取り、ＣＰＵ１００（図４）で画像処理を行なうことで、配布情報を生成してもよい。すなわち、ユーザは、新たな記録用紙を購入すると、地紋が埋め込まれた用紙またはその包装をスキャナ１１２（図３）に載置し、画像読取機能を実行するだけで、新たな配布情報に更新することができる。

さらに、プリペイドカードを用いた課金式の画像形成装置ＭＦＰでは、当該プリペイドカードに残高情報に加えて、配布情報を電気的および／または磁気的に記憶しておく方法を採用することもできる。なお、このようなプリペイドカードを媒体として配布情報を配布する場合には、当該プリペイドカードの販売所において、販売直前に最新の配布情報を書込むことが好ましい。

なお、各消耗品に付加される配布情報には、更新日や有効期限などの情報を追加的に含めておくことが好ましい。これらの情報を含めることで、複数の消耗品が画像形成装置ＭＦＰに装着された場合に、最も新しい配布情報のみを有効として、認証処理を行なうことができる。

（処理手順）
図１２は、この発明の第１実施形態に従うシステムにおける一連の処理手順を示すフローチャートである。

図１２を参照して、まず、画像形成装置ＭＦＰのメーカなどにおいて、認証処理に用いられる予め収集されているライセンスコードの一覧が配布情報として生成される（ステップＳ１００）。なお、ブラックリストが用いられる場合には、画像形成装置ＭＦＰのメーカなどでは、不正な動作を行なうと何らかの手段を用いて判断されたアプリケーションに対応するライセンスコードが収集され、この収集されたライセンスコードが配布情報として生成される。また、ホワイトリストが用いられる場合には、画像形成装置ＭＦＰのメーカなどが承認したアプリケーションのライセンスコードのうち、不正な動作を行なうと何らかの手段を用いて判断されたアプリケーションに対応するライセンスコードを除いたものが配布情報として生成される。なお、配布情報は、不正コードを予め定めた秘密鍵で暗号化しておくことが好ましい。

そして、画像形成装置ＭＦＰのメーカなどにおいて、製造した消耗品に配布情報が付加される（ステップＳ１０２）。この消耗品は、画像形成装置ＭＦＰのメーカや販売会社などによってユーザに対して販売等される（ステップＳ１０４）。

ユーザは、購入した消耗品を画像形成装置ＭＦＰに装着する（ステップＳ１０６）。すると、画像形成装置ＭＦＰのＣＰＵ１００は、装着された消耗品に付加されている配布情報を読出す（ステップＳ１０８）。なお、読出された配布情報は、必要に応じて復号化される。

続いて、ＣＰＵ１００は、読出した配布情報とメモリ１０４（配布情報ＤＢ１５６）に現在格納されている配布情報とを比較し、読出した配布情報がより新しいか否かを判断する（ステップＳ１１０）。読出した配布情報がメモリ１０４（配布情報ＤＢ１５６）に現在格納されている配布情報より新しい場合（ステップＳ１１０においてＹＥＳの場合）には、メモリ１０４（配布情報ＤＢ１５６）に格納されている配布情報を読出した配布情報で更新する（ステップＳ１１２）。一方、読出した配布情報がメモリ１０４（配布情報ＤＢ１５６）に現在格納されている配布情報より新しくない場合（ステップＳ１１０においてＮＯの場合）には、ステップＳ１１２の処理はスキップされ、処理はステップＳ１１４に進む。

ステップＳ１１４では、ＣＰＵ１００は、アプリケーションから接続要求を受信したか否かを判断する。接続要求を受信していなければ（ステップＳ１１４においてＮＯ）、ステップＳ１１４の処理が繰返される。

一方、接続要求を受信した場合（ステップＳ１１４においてＹＥＳの場合）には、ＣＰＵ１００は、受信した接続要求に含まれるライセンスコードを抽出する（ステップＳ１１６）。さらに、ＣＰＵ１００は、抽出したライセンスコードをメモリ１０４（配布情報ＤＢ１５６）に格納されている配布情報と照合して、当該ライセンスコードが有効であるか否かを判断する（ステップＳ１１８）。

ライセンスコードが有効である場合（ステップＳ１１８においてＹＥＳの場合）には、ＣＰＵ１００は、接続要求についてのアクセスを許可し（ステップＳ１２０）、当該接続要求の送信元のアプリケーションとのデータ通信を開始する（ステップＳ１２２）。そして、データ通信が終了すると、処理はリターンする。

一方、ライセンスコードが有効でない場合（ステップＳ１１８においてＮＯの場合）には、ＣＰＵ１００は、接続要求についてのアクセスを不許可とし（ステップＳ１２４）、当該接続要求の送信元のアプリケーションに対して、アクセスの禁止を示すメッセージを送信し（ステップＳ１２６）、処理はリターンする。

［第２実施形態］
上述した第１実施形態では、画像形成装置のメーカなどが予め不正ライセンスコードを収集して配布情報として消耗品に付加する構成について例示した。一方、本実施の形態では、各画像形成装置において、アクセス元のアプリケーションなどが適格なものであるか否かを判断し、適格なものでなければ、当該送信元が使用するライセンスコードを不正ライセンスコードとして検知するとともに、画像形成装置のメーカなどがそれらを収集する構成について例示する。

本実施の形態に従うシステム構成は、上述の図１と同様であるので、詳細な説明は繰返さない。

（不正ライセンスコードの収集方法）
図１３は、この発明の第２実施形態に従う不正ライセンスコードの収集方法を説明するための概略図である。

図１３を参照して、上述の第１実施形態と同様に、画像形成装置ＭＦＰ＃は、パーソナルコンピュータＰＣで実行されるアプリケーションから接続要求を受けると、予め格納した配布情報に基づいて、接続可否を判断する。このとき、接続要求に含まれるライセンスコードが配布情報に含まれる不正なライセンスコードには該当しない場合であっても、すなわち有効なライセンスコードであると判断された場合であっても、画像形成装置ＭＦＰ＃は、アクセス元のアプリケーションが適格なものであるか否かを判断し、適格なものではないと判断すると、当該アクセス元のアプリケーションが使用するライセンスコードを不正もしくは不正の可能性の高いものとして検知する。

ところで、資源の有効利用の観点から、使用済の消耗品３００は、メーカや販売会社に回収されることが一般的である。このような消耗品３００が回収される形態では、画像形成装置ＭＦＰ＃は、上述のように収集した不正もしくは不正の可能性の高いライセンスコード（以下、単に「不正ライセンスコード」とも称す。）を、不正認証情報３０４として回収される使用済の消耗品３００に付加する。

そして、メーカや販売会社は、この回収した消耗品３００に付加された不正認証情報３０４に基づいて、自身が管理する不正ライセンスコードＤＢ４００を更新する。

上述のような不正ライセンスコードの収集方法を採用することで、局所的に生じ得る不正なライセンスコードをより容易に収集することができる。

（画像形成装置の構成）
以下、上述のような不正ラインスコードの収集方法を実現するための画像形成装置ＭＦＰ＃の構成について説明する。なお、本実施形態においては、上述した第１実施形態と同様に、消耗品に付加された配布情報によって配布情報ＤＢの内容を更新可能な構成について例示するが、これらの構成は本実施形態に従う不正ライセンスコードの収集方法を実現するために必須の構成ではない。

本実施形態に従う画像形成装置ＭＦＰ＃の装置構成については、図３と同様であるので、詳細な説明は繰返さない。

図１４は、この発明の第２実施形態に従う画像形成装置ＭＦＰ＃の機能構成を示すブロック図である。

図１４を参照して、画像形成装置ＭＦＰ＃は、図４に示す第１実施形態に従う画像形成装置ＭＦＰの機能構成において、データ読取部１１６に代えて、データ読取／書込部１１８を設けたものであり、その他については、図４と同様であるので、詳細な説明は繰返さない。

データ読取／書込部１１８は、データ読取部１１６と同様に、消耗品（代表例には、トナーユニット）に付加された配布情報を読取り、当該読取った配布情報をメモリ１０４に記憶する。さらに、データ読取／書込部１１８は、後述するような処理によって収集された不正ライセンスコードを含む不正認証情報を消耗品に書込む。この不正認証情報の書込みは、メーカや販売会社からの出荷段階で付加されていた配布情報用の記憶媒体に追記してもよい。あるいは、データ読取／書込部１１８は、消耗品の表面に不正認識情報を示すバーコード（１次元または２次元）を直接的に印字してもよい。すなわち、消耗品の表面に感熱式または感圧式の印字可能媒体を設けておき、データ読取／書込部１１８が熱または圧力を与えることで、不正認識情報を示すバーコードなどのパターンもしくは文字をプリントすることができる。さらにあるいは、不正認識情報を示すバーコード（１次元または２次元）をラベルとしてプリントし、ユーザが当該プリントされたラベルを回収する消耗品に貼付するようにしてもよい。

したがって、データ読取／書込部１１８は、回収する消耗品に不正認識情報を付加するための形態に応じて、適宜必要な構成が採用される。

（画像形成装置の制御構造）
図１５は、この発明の第２実施形態に従う画像形成装置ＭＦＰ＃の制御構造を示すブロック図である。なお、図１５に示す制御構造は、主として、ＣＰＵ１００（図４）が予め格納されたプログラムを実行することで実現される。但し、プログラムによって実現される機能の一部または全部を専用のハードウェアによって提供してもよい。

図１５を参照して、本実施形態に従う画像形成装置ＭＦＰ＃の制御構造は、図７に示す第１実施形態に従う画像形成装置ＭＦＰの制御構造において、不正認識情報検知部１６４と、不正認識情報ＤＢ１６６と、不正認識情報付加部１６８とをさらに加えたものに相当する。そのため、図７に図示される要素についての詳細な説明は繰返さない。

不正認識情報検知部１６４は、パーソナルコンピュータＰＣで実行されるアプリケーションからの接続要求についての認証が成功した後、当該接続要求元のアプリケーションからのデータなどに基づいて、当該接続要求に含まれるライセンスコードが不正もしくは不正の可能性の高いものであるか否かを判断する。そして、不正もしくは不正の可能性の高いものであると判断すると、不正認識情報検知部１６４は、当該ライセンスコードを不正ライセンスコードとして、不正認識情報ＤＢ１６６に順次格納する。ライセンスコードが不正もしくは不正の可能性の高いものであると判断される具体例としては、以下のようなものがある。

（１）あるアプリケーションと当該アプリケーションとは異なるアプリケーションとから、同一のライセンスコードを含む接続要求が送信された場合のライセンスコード
（２）コンピュータウィルスなどを含むデータを送信したアプリケーションからの接続要求に含まれているライセンスコード
（３）画像形成装置ＭＦＰ＃のプリント処理などにエラー（異常終了）を頻発させるデータを送信するアプリケーションからの接続要求に含まれているライセンスコード
不正認識情報ＤＢ１６６は、メモリ１０４などの不揮発領域に配置され、画像形成装置ＭＦＰ＃の電源がオフされた後にも、不正認識情報を保持する。

不正認識情報付加部１６８は、不正認識情報ＤＢ１６６に蓄積された不正認識情報を所定タイミングで消耗品に付加する。あるいは、不正認識情報付加部１６８は、消耗品の表面に不正認識情報を示すバーコード（１次元または２次元）を直接的に印字する。この不正認識情報を付加するタイミングとしては、トナーユニットやイメージングユニットが画像形成装置ＭＦＰ＃から取り外される直前、不正認識情報検知部１６４による不正ライセンスコードが検知される毎、所定数の不正ライセンスコードが検知される毎、あるいは一定間隔毎などとすることができる。

（処理手順）
図１６は、この発明の第２実施形態に従うシステムにおける一連の処理手順を示すフローチャートである。なお、画像形成装置ＭＦＰ＃では、予め配布情報がメモリ１０４（配布情報ＤＢ１５６）に格納されているものとする。

図１６を参照して、まず、画像形成装置ＭＦＰ＃のＣＰＵ１００は、アプリケーションから接続要求を受信したか否かを判断する（ステップＳ２００）。接続要求を受信していなければ（ステップＳ２００においてＮＯ）、ステップＳ２００の処理が繰返される。

一方、接続要求を受信した場合（ステップＳ２００においてＹＥＳの場合）には、ＣＰＵ１００は、受信した接続要求に含まれるライセンスコードを抽出する（ステップＳ２０２）。さらに、ＣＰＵ１００は、抽出したライセンスコードをメモリ１０４（配布情報ＤＢ１５６）に格納されている配布情報と照合して、当該ライセンスコードが有効であるか否かを判断する（ステップＳ２０４）。

ライセンスコードが有効でない場合（ステップＳ２０４においてＮＯの場合）には、ＣＰＵ１００は、接続要求についてのアクセスを不許可とし（ステップＳ２０６）、当該接続要求の送信元のアプリケーションに対して、アクセスの禁止を示すメッセージを送信し（ステップＳ２０８）、処理はリターンする。

一方、ライセンスコードが有効である場合（ステップＳ２０４においてＹＥＳの場合）には、ＣＰＵ１００は、接続要求についてのアクセスを許可し（ステップＳ２０６）、当該接続要求の送信元のアプリケーションとのデータ通信を開始する（ステップＳ２０８）。

さらに、ＣＰＵ１００は、続くステップＳ２１０〜Ｓ２１４の処理によって、不正ライセンスコードを検知する。

すなわち、ステップＳ２１０では、ＣＰＵ１００は、送信元のアプリケーションが送信した接続要求に含まれるライセンスコードが過去に別のアプリケーションが送信した接続要求に含まれていたライセンスコードと同一であるか否かを判断する。送信元のアプリケーションが送信した接続要求に含まれるライセンスコードが別のアプリケーションのものと同一でなければ（ステップＳ２１０においてＮＯ）、処理はステップＳ２１２に進む。

ステップＳ２１２では、ＣＰＵ１００は、送信元のアプリケーションから送信されたデータにコンピュータウィルスなどが含まれているか否かが判断される。送信されたデータにコンピュータウィルスなどが含まれていなければ（ステップＳ２１２においてＮＯ）、処理はステップＳ２１４に進む。

ステップＳ２１４では、ＣＰＵ１００は、プリント処理などにエラー（異常終了）が頻発しているか否かを判断する。プリント処理などにエラーが頻発していなければ（ステップＳ２１４においてＮＯ）、データ通信を継続する。そして、データ通信が終了すると、処理はリターンする。

これらに対して、ステップＳ２１０，Ｓ２１２，Ｓ２１４のいずれかにおいてＹＥＳの判断がなされると、ＣＰＵ１００は、現在の送信元のアプリケーションが使用しているライセンスコードが不正もしくは不正の可能性の高いものであると判断する（ステップＳ２１６）。そして、ＣＰＵ１００は、この不正ライセンスコードをメモリ１０４（不正認識情報ＤＢ１６６）に格納する。

さらに、ＣＰＵ１００は、不正認識情報を書込むべきタイミングであるか否かを判断する（ステップＳ２１８）。不正認識情報を書込むべきタイミングである場合（ステップＳ２１８においてＹＥＳの場合）には、ＣＰＵ１００は、検知した不正ライセンスコードを消耗品に付加する（ステップＳ２２０）。そして、処理はリターンする。また、不正認識情報を書込むべきタイミングでない場合（ステップＳ２１８においてＮＯの場合）にも、処理はリターンする。

なお、上述の第１および第２実施形態では、パーソナルコンピュータ上で実行されるアプリケーションから画像形成装置に対してアクセスがなされる場合について主として例示したが、アクセス要求元としては、狭義のアプリケーションに限られることなく、パーソナルコンピュータや他の画像形成装置といったデバイスそのものや、各デバイスで実行されるファームウェアであっても同様の処理が可能である。

今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

２２ 転写ベルト、６０，６０Ｙ，６０Ｍ，６０Ｃ，６０Ｋ 露光走査部、６２，６２Ｙ，６２Ｍ，６２Ｃ，６２Ｋ 感光体ドラム、６４，６４Ｙ，６４Ｍ，６４Ｃ，６４Ｋ トナーユニット、７０，７０Ｙ，７０Ｍ，７０Ｃ，７０Ｋ イメージング（作像）ユニット、１０２ バス、１０４ メモリ、１０６ ネットワークインターフェイス（Ｉ／Ｆ）部、１０８ 操作部、１１０ 表示部、１１２ スキャナ、１１４ プリントエンジン、１１６ データ読取部、１１７ データ読取／書込部、１１８ 給紙部、１２０ 排紙装置、１２２ 排紙トレイ、１５０ 送受信部、１５２ 認証情報抽出部、１５４ 認証部、１５６ 配布情報ＤＢ、１５６ａ ブラックリスト、１５６ｂ ホワイトリスト、１５８ 配布情報読出部、１６４ 不正認識情報検知部、１６６ 不正認識情報ＤＢ、１６８ 不正認識情報付加部、２０２ バス、２０４ ディスプレイ、２０６ ネットワークインターフェイス（Ｉ／Ｆ）部、２０８ 入力部、２１２ メモリ、２１４ ＣＤ−ＲＯＭドライブ、２１４ａ ＣＤ−ＲＯＭ、２１６ フレキシブルディスク（ＦＤ）ドライブ、２１６ａ フレキシブルディスク、２５２ アプリケーション、２５４ ライセンスコード、２５８ 通信プロセス、３００ 消耗品、３０２ 配布情報、３０４ 不正認証情報、３２０ マウント部、４００ 不正ライセンスコードＤＢ、ＧＷ ゲートウェイ、ＭＦＰ 画像形成装置、ＮＷ ローカルネットワーク、ＰＣ，ＰＣ１，ＰＣ２，ＰＣ３ パーソナルコンピュータ、ＳＲＶ サーバ。

Claims (9)

1. 画像形成装置であって、
   データ通信を行なうための通信部と、
   アクセスを禁止すべき識別情報およびアクセスを許可できる識別情報の少なくとも一方を含む第１の基準情報を格納するための記憶部と、
   送信元の識別情報を含む接続要求を受けると、当該識別要求と前記第１の基準情報とを照合することで、当該接続要求についてのアクセスの許否を判断するための認証部と、
   アクセスを禁止すべき識別情報およびアクセスを許可できる識別情報の少なくとも一方を含む第２の基準情報が付加された画像形成に係る消耗品から前記第２の基準情報を読出して、前記記憶部に格納されている前記第１の基準情報を前記第２の基準情報に基づいて更新するための読出部とを備える、画像形成装置。
2. 前記読出部は、前記消耗品から読出した前記第２の基準情報が前記記憶部に格納されている前記第１の基準情報より新しい場合に、前記記憶部に格納されている前記第１の基準情報を更新する、請求項１に記載の画像形成装置。
3. 前記消耗品は、トナーユニットおよびイメージングユニットの少なくとも一方を含む、請求項１または２に記載の画像形成装置。
4. 前記読出部は、前記消耗品の装着時に、電気的、磁気的、光学的のいずれかの方法によって前記第２の基準情報を読出すためのセンサを含む、請求項１〜３のいずれか１項に記載の画像形成装置。
5. 前記消耗品には、前記第２の基準情報を記憶するＩＣチップまたはＩＣタグが付加される、請求項１〜３のいずれか１項に記載の画像形成装置。
6. 前記消耗品に付加される前記第２の基準情報は暗号化されており、
   前記読出部は、前記消耗品から読出した前記第２の基準情報を復号化する、請求項１〜５のいずれか１項に記載の画像形成装置。
7. アクセスが許可された送信元が適格なものであるか否かを判断し、適格なものでなければ、当該送信元からの接続要求に含まれる識別情報を不正な識別情報として検知するための検知部と、
   前記検知部によって検知された不正な識別情報を前記消耗品に付加するための付加部とをさらに備える、請求項１〜６のいずれか１項に記載の画像形成装置。
8. 前記付加部は、前記第２の基準情報を格納する記憶媒体に前記不正な識別情報を書込む、請求項７に記載の画像形成装置。
9. データ通信可能な画像形成装置におけるアクセス制御方法であって、
   アクセスを禁止すべき識別情報およびアクセスを許可できる識別情報の少なくとも一方を含む第１の基準情報を格納するステップと、
   送信元の識別情報を含む接続要求を受けると、当該識別要求と前記第１の基準情報とを照合することで、当該接続要求についてのアクセスの許否を判断するステップと、
   アクセスを禁止すべき識別情報およびアクセスを許可できる識別情報の少なくとも一方を含む第２の基準情報が付加された画像形成に係る消耗品から前記第２の基準情報を読出して、記憶部に格納されている前記第１の基準情報を前記第２の基準情報に基づいて更新するステップとを備える、画像形成装置におけるアクセス制御方法。

Images