JP4526809B2 - 通信装置の製造方法及び製造システム - Google Patents

Description

この発明は、通信装置の製造方法及び通信装置を製造する製造システムに関する。

従来から、通信機能を備えたプリンタ，ファクシミリ（ＦＡＸ）装置，デジタル複写機，スキャナ装置，デジタル複合機等の画像処理装置を始め、ネットワーク家電，自動販売機，医療機器，電源装置，空調システム，ガス・水道・電気等の計量システム等に通信機能（通信手段）を持たせた通信装置（電子装置）を被管理装置とし、サービスセンタ（管理センタ）の管理装置が公衆回線やインタネット等のネットワーク経由でこれらの被管理装置を遠隔管理する遠隔管理システムが提案されている。

あるいは、被管理装置が通信機能を備えていない場合や、通信機能を備えていてもその機能が管理装置と通信するための機能を持っていない場合には、その被管理装置に管理装置と通信可能な通信機能を有する仲介装置をネットワーク経由で接続し、管理装置がネットワークおよび仲介装置経由で被管理装置を遠隔管理する遠隔管理システムも提案されている。

一方、従来から、ＰＣ（パーソナルコンピュータ）等のコンピュータを複数台ネットワークを介して通信可能に接続し、少なくとも１台をサーバ装置（サーバ）、別の少なくとも１台をクライアント装置（クライアント）としたクライアント・サーバシステムを構成することが行われている。
このようなクライアント・サーバシステムにおいては、クライアント装置からサーバ装置に要求を送信し、サーバ装置がその要求に従った処理を行ってクライアント装置に対して応答を返す。

したがって、上述した遠隔管理システムにおいて、通信装置あるいは通信装置が接続された仲介装置にクライアント装置の機能を、管理装置にサーバ装置の機能をそれぞれ持たせ、通信装置又は仲介装置をファイアウォールおよびネットワーク経由で管理装置と接続した場合には、通信装置又は仲介装置が管理装置にポーリング（送信要求があるかどうかの問い合わせ）を行い、その管理装置がそのポーリングに従った処理を行って通信装置又は仲介装置に対して応答を返すことができる。

例えば、管理装置は、仲介装置からポーリングを受けると、課金カウンタ取得要求をその仲介装置へ通知する。
ポーリング通知元の仲介装置は、管理装置から課金カウンタ取得要求を受けると、その課金カウンタ取得要求を自己に接続されている画像形成装置へ通知する。
その画像形成装置は、仲介装置から課金カウンタ取得要求を受けると、不揮発性メモリに格納されている課金カウンタのデータを読み取り、その読み取った課金カウンタのデータ（応答データ）を仲介装置へ送信する。
仲介装置は、画像形成装置から課金カウンタのデータを受信すると、それを管理装置へ送信する。

このような場合においては、通信相手が適切か、あるいは送信される情報が改竄されていないかといった確認が重要である。また、特にインターネットにおいては、情報が通信相手に到達するまでに無関係なコンピュータを経由する場合が多いことから、機密データ（課金カウンタのデータ等）を送信する場合、その内容を盗み見られないようにする必要もある。そして、このような要求に応える通信プロトコルとして、例えばＳＳＬ（Secure Socket Layer）と呼ばれるプロトコルが開発されており、広く用いられている。このプロトコルを用いて通信を行うことにより、公開鍵暗号方式と共通鍵暗号方式とを組み合わせ、通信相手の認証を行うと共に、データの暗号化により改竄および盗聴の防止を図ることができる。

ここで、このＳＳＬを用いて相互認証を行う場合の通信手順について、認証処理の部分に焦点を当てて説明する。
図３６は、クライアント装置（通信装置又は仲介装置）とサーバ装置（管理装置）とがＳＳＬによる相互認証を行う際に各装置において実行する処理のフローチャートを、その処理に用いる情報と共に示す図である。
図３６に示すように、ＳＳＬによる相互認証を行う際には、まずクライアント装置側にルート鍵証明書，クライアント私有鍵，クライアント公開鍵証明書（クライアント証明書）を記憶させておく必要がある。クライアント私有鍵は、認証局（ＣＡ：certificate authority）がクライアント装置に対して発行した私有鍵である。そして、クライアント公開鍵証明書は、その私有鍵と対応する公開鍵にＣＡがデジタル署名を付してデジタル証明書としたものである。また、ルート鍵証明書は、ＣＡがデジタル署名に用いた証明用私有鍵であるルート私有鍵と対応する証明用公開鍵（以下「証明鍵」ともいう）であるルート鍵に、デジタル署名を付してデジタル証明書としたものである。

図３７にこれらの関係を示す。
図３７（ａ）に示すように、クライアント公開鍵は、クライアント私有鍵を用いて暗号化された文書を復号化するための鍵本体と、その公開鍵の発行者（ＣＡ），発行相手（クライアント装置），有効期限等の情報を含む書誌情報とによって構成される。そして、ＣＡは、鍵本体や書誌情報が改竄されていないことを示すため、クライアント公開鍵をハッシュ処理して得たハッシュ値を、ルート私有鍵を用いて暗号化し、デジタル署名としてクライアント公開鍵に付す。またこの際に、デジタル署名に用いるルート私有鍵の識別情報を署名鍵情報として公開鍵の書誌情報に加える。そして、このデジタル署名を付した公開鍵証明書が、クライアント公開鍵証明書である。

このクライアント公開鍵証明書を認証処理に用いる場合には、ここに含まれるデジタル署名を、ルート私有鍵と対応する公開鍵であるルート鍵の鍵本体を用いて復号化する。この復号化が正常に行われれば、デジタル署名が確かにＣＡによって付されたことがわかる。また、クライアント公開鍵部分をハッシュ処理して得たハッシュ値と、復号して得たハッシュ値とが一致すれば、鍵自体も損傷や改竄を受けていないことがわかる。さらに、受信したデータをこのクライアント公開鍵を用いて正常に復号化できれば、そのデータは、クライアント私有鍵の持ち主、つまりクライアント装置から送信されたものであることがわかる。あとは、書誌情報を参照して、ＣＡの信頼性やクライアント装置の登録有無等によって認証の正否を決定すればよい。

ここで、認証を行うためには、ルート鍵を予め記憶しておく必要があるが、このルート鍵も、図３７（ｂ）に示すように、ＣＡがデジタル署名を付したルート鍵証明書として記憶しておく。このルート鍵証明書は、自身に含まれる公開鍵でデジタル署名を復号化可能な、自己署名形式である。そして、ルート鍵を使用する際に、そのルート鍵証明書に含まれる鍵本体を用いてデジタル署名を復号化し、ルート鍵をハッシュ処理して得たハッシュ値と比較する。これが一致すれば、ルート鍵が破損等していないことを確認できるのである。

図３６の説明に戻ると、サーバ装置側には、ルート鍵証明書，サーバ私有鍵，サーバ公開鍵証明書（サーバ証明書）を記憶させておく必要がある。サーバ私有鍵及びサーバ公開鍵証明書は、ＣＡがサーバ装置に対して発行した私有鍵及び公開鍵証明書である。ここではクライアント装置とサーバ装置に対して同じＣＡが同じルート私有鍵を用いて証明書を発行しているものとし、この場合にはルート鍵証明書はクライアント装置とサーバ装置で共通となる。

フローチャートの説明に入る。なお、図３６において、２本のフローチャート間の矢印は、データの転送を示し、送信側は矢印の根元のステップで転送処理を行い、受信側はその情報を受信すると矢印の先端のステップの処理を行うものとする。また、各ステップの処理が正常に完了しなかった場合には、その時点で認証失敗の応答を返して処理を中断するものとする。相手から認証失敗の応答を受けた場合、処理がタイムアウトした場合等も同様である。

クライアント・サーバシステムにおいて、接続を要求するのはクライアント装置側であるが、ユーザの指示等によってこの必要が生じた場合、クライアント装置のＣＰＵは、所要の制御プログラムを実行することにより、図３６の左側に示すフローチャートの処理を開始する。そして、ステップＳ１１でサーバ装置に対して接続要求を送信する。
一方サーバ装置のＣＰＵは、この接続要求を受信すると、所要の制御プログラムを実行することにより、図３６の右側に示すフローチャートの処理を開始する。そして、ステップＳ２１で第１の乱数を生成し、これをサーバ私有鍵を用いて暗号化する。そして、ステップＳ２２でその暗号化した第１の乱数とサーバ公開鍵証明書とをクライアント装置に送信する。このステップＳ２２の処理において、サーバ装置のＣＰＵが第１のサーバ側認証処理手段として機能する。

クライアント装置側では、これを受信すると、ステップＳ１２でルート鍵証明書を用いてサーバ公開鍵証明書の正当性を確認する。これには、上述のように損傷や改竄を受けていないことを確認するのみならず、書誌情報を参照してサーバ装置が適当な通信相手であることを確認する処理を含む。
そして確認ができると、ステップＳ１３で、受信したサーバ公開鍵証明書に含まれるサーバ公開鍵を用いて第１の乱数を復号化する。ここで復号化が成功すれば、第１の乱数は確かにサーバ公開鍵証明書の発行対象であるサーバ装置から受信したものだと確認できる。そして、サーバ装置を正当な通信相手として認証する。このステップＳ１２及びＳ１３の処理において、クライアント装置のＣＰＵが第２のクライアント側認証処理手段として機能する。

その後、ステップＳ１４でこれとは別に第２の乱数及び第３の乱数を生成する。そして、ステップＳ１５で第２の乱数をクライアント私有鍵を用いて暗号化し、第３の乱数をサーバ公開鍵を用いて暗号化し、ステップＳ１６でこれらをクライアント公開鍵証明書と共にサーバ装置に送信する。第３の乱数の暗号化は、サーバ装置以外の装置に乱数を知られないようにするために行うものである。このステップＳ１６の処理において、クライアント装置のＣＰＵが第１のクライアント側認証処理手段として機能する。

サーバ装置側では、これを受信すると、ステップＳ２３でルート鍵証明書を用いてクライアント公開鍵証明書の正当性を確認する。これにも、ステップＳ１２の場合と同様、クライアント装置が適当な通信相手であることを確認する処理を含む。そして確認ができると、ステップＳ２４で、受信したクライアント公開鍵証明書に含まれるクライアント公開鍵を用いて第２の乱数を復号化する。ここで復号化が成功すれば、第２の乱数は確かにクライアント公開鍵証明書の発行対象であるクライアント装置から受信したものだと確認できる。そして、サーバ装置を正当な通信相手として認証する。このステップＳ２３及び２４の処理において、サーバ装置のＣＰＵが第２のサーバ側認証処理手段として機能する。

その後、ステップＳ２５でサーバ私有鍵を用いて第３の乱数を復号化する。ここまでの処理で、サーバ側とクライアント側に共通の第１乃至第３の乱数が共有されたことになる。そして、少なくとも第３の乱数は、生成したクライアント装置と、サーバ私有鍵を持つサーバ装置以外の装置が知ることはない。ここまでの処理が成功すると、ステップＳ２６でクライアント装置に対して認証成功の応答を返す。

クライアント装置側では、これを受信すると、ステップＳ１７で第１乃至第３の乱数から共通鍵を生成し、以後の通信の暗号化に用いるものとして認証処理を終了する。サーバ装置側でも、ステップＳ２７で同様の処理を行って終了する。そして、以上の処理によって互いに通信を確立し、以後はステップＳ１７又はＳ２７で生成した共通鍵を用い、共通鍵暗号方式でデータを暗号化して通信を行う。
このような処理を行うことにより、クライアント装置とサーバ装置が互いに相手を認証した上で安全に共通鍵を交換することができ、通信を確かな相手と安全に行うことができる。

ところで、上述した遠隔管理システムにおいても、通信装置が、管理装置とＳＳＬによる相互認証を行って通信可能にするためには、内部メモリ（記憶手段）にデジタル証明書（公開鍵証明書）、私有鍵、および証明鍵（ここではデジタル証明書形式のルート鍵証明書としている）を予め記憶させておく（設定しておく）必要がある。そして、上記のデジタル証明書は、ＣＡ（認証局）から取得することができ、その取得方式に関しては、例えば特許文献１に記載されている。
特開２００１−３２５２４９号公報

ところで、上述のような遠隔管理システムにおいて、管理装置と通信可能な通信装置のうち、ベンダーとの間で保守契約がなされた通信装置を区別し、これらのみを遠隔管理の対象とすることが要求されている。
一方で、遠隔管理システムに使用される通信装置は、毎日、機種毎に決定された台数分だけ生産されることが一般的であり、その機種毎に内部メモリにデジタル証明書を記憶させるかどうかを決定し、遠隔管理に対応させる機種には、全て証明書を設定することになる。すなわち、一般に量産する通信装置は注文生産されるものではないため、保守契約後、これに対応して内部メモリにデジタル証明書を記憶した通信装置を生産する、ということは困難である。

そこで、本件出願人は、遠隔管理に対応させる機種には保守契約の有無に関わらず内部メモリにデジタル証明書を設定しておき、契約後に所定の初期設定動作を行って遠隔管理機能を有効にする対応を行う方式を提案している。
また、このような方式を採用した場合、通信相手が保守契約の対象となっている通信装置か否かは、管理装置が通信装置から機種機番（装置の機種コードとシリアル番号とを含めた情報）のような識別情報を取得し、これによって判断することが考えられる。一方で、従来はデジタル証明書に装置の識別情報を入れることはせず、機種毎に共通の証明書を設定するようにしていた。そして、この場合、デジタル証明書を用いた認証で相手を正当な通信相手と認証した後で、通信装置から別途識別情報を取得して保守契約の対象か否かを判断することになる。

しかしこの場合には、複数の通信装置を所有する悪意のユーザが、ある通信装置の機種機番を他の通信装置に書き写すことにより、機器の「なりすまし」が可能になってしまうという問題があった。
例えば、２台の通信装置を所有する機器利用者がいたとして、保守契約している通信装置の課金カウンタの値より保守契約していない通信装置の課金カウンタの値が小さいような場合、後者の通信装置の方が保守料金が安く済むため、前者の通信装置の機種機番を後者の通信装置に書き写し、前者の通信装置になりすました後者の通信装置から課金カウンタの値を管理装置へ送信するようにすることが可能になってしまう。その場合、管理装置側では、後者の通信装置から受信したカウンタ情報に基づいて保守料金を計算するため、その保守料金、つまり安い方の保守料金を機器利用者に請求することになってしまう。

また、通信装置へのデジタル証明書の設定を生産の際に工場で行う場合、工場の生産設備を介して設定を行うことになる。そして、工場では日々多数の通信装置を生産するため、万一この生産設備からデジタル証明書が漏洩すると、多数の通信装置の認証に影響を及ぼし、セキュリティ面での影響が大きいという問題もあった。

この発明は、上記の問題点に鑑みてなされたものであり、悪意のユーザによる「なりすまし」が困難な通信装置を容易に提供できるようにすることを第１の目的とし、万一生産設備からデジタル証明書が漏洩した場合のセキュリティ面への影響を低減することを第２の目的とする。

以上の目的を達成するため、この発明の通信装置の製造方法は、通信装置に証明書を設定するための証明書設定装置が、証明書の発行要求と共に、所定期間内における上記通信装置の生産予定台数分の、通信装置毎に異なる識別情報を証明書管理装置に送信する第１の工程と、上記証明書管理装置が、上記生産予定台数分の通信装置毎に異なる識別情報のうち一つの識別情報を含む証明書を、その異なる識別情報毎に生成して、上記証明書設定装置へ送信する第２の工程と、上記証明書設定装置、上記証明書管理装置から送信された証明書を記憶する第３の工程と、上記証明書設定装置が、上記所定期間内に組み立てられた所定の通信装置に、上記証明書管理装置に送信した上記生産予定台数分の通信装置毎に異なる識別情報のうち一つの識別情報を付す第４の工程と、上記証明書設定装置が、上記第３の工程で記憶した証明書のうち、上記第４の工程で上記所定の通信装置に付した識別情報を含む証明書を、上記所定の通信装置に設定する第５の工程とを有するものである。

このような通信装置の製造方法において、上記証明書設定装置が、上記所定の期間内における上記通信装置の生産予定台数を示す生産管理情報を、上記通信装置の生産計画を管理する生産管理装置から取得し、その生産管理情報に基づき、上記第１の工程において上記所定期間内における上記通信装置の生産予定台数分の通信装置の識別情報を証明書管理装置に送信するようにするとよい。

また、この発明の別の通信装置の製造方法は、通信装置に証明書を設定するための証明書設定装置が、通信装置の機種毎にその機種の所定期間内の生産予定台数及び証明書設定要否を示す生産管理情報に基づき、証明書の発行要求と共に、証明書の設定を要する通信装置について、所定期間内におけるその通信装置の生産予定台数分の、通信装置毎に異なる識別情報を証明書管理装置に送信する第１の工程と、上記証明書管理装置が、上記生産予定台数分の通信装置毎に異なる識別情報のうち一つの識別情報を含む証明書を、その異なる識別情報毎に生成して、上記証明書設定装置へ送信する第２の工程と、上記証明書設定装置が、上記証明書管理装置から送信された証明書を記憶する第３の工程と、上記証明書設定装置が、上記生産管理情報に基づき、上記所定期間内に組み立てられた証明書の設定を要する機種の所定の通信装置に、上記証明書管理装置に送信した上記生産予定台数分の通信装置毎に異なる識別情報のうち、その機種の通信装置の一つの識別情報を付す第４の工程と、上記証明書設定装置が、上記第３の工程で記憶した証明書のうち、上記第４の工程で上記所定の通信装置に付した識別情報を含む証明書を、上記所定の通信装置に設定する第５の工程とを有するものである。

このような通信装置の製造方法において、上記証明書設定装置が、上記生産管理情報を、上記通信装置の生産計画を管理する生産管理装置から取得するようにするとよい。
また、上記の各通信装置の製造方法において、上記識別情報が、機種コードとシリアル番号を含む情報であるとよい。
さらに、上記第４の工程において、上記通信装置と対にしてその通信装置に付した識別情報を配置しておき、上記第５の工程において、読取手段によってこの識別情報を読み取って上記証明書設定装置に入力し、これに応じてその証明書設定装置が、入力された識別情報と同じ識別情報を含む証明書を、その識別情報と対になっている通信装置に設定するようにするとよい。

また、この発明の製造システムは、通信装置を製造する製造システムにおいて、通信装置に証明書を設定するための証明書設定装置を設け、その証明書設定装置に、証明書の発行要求と共に、所定期間内における上記通信装置の生産予定台数分の、通信装置毎に異なる識別情報を証明書管理装置に送信する第１の手段と、上記第１の手段が送信した証明書の発行要求に応じて上記証明書管理装置が送信してくる、上記生産予定台数分の通信装置毎に異なる識別情報のうち一つの識別情報を含む、その異なる識別情報毎の証明書を記憶する第２の手段と、上記所定期間内に組み立てられた所定の通信装置に、上記証明書管理装置に送信した上記生産予定台数分の通信装置毎に異なる識別情報のうち１つの識別情報を付す第３の手段と、上記組み立てられた通信装置に付された識別情報を読み取る読取手段と、上記組み立てられた通信装置と通信可能に接続するための接続手段と、上記第２の手段が記憶した証明書のうち、上記読取手段が読み取った識別情報と同じ識別情報を含む証明書を、上記接続手段によって接続された通信装置に送信して設定させる第４の手段とを設けたものである。

このような製造システムにおいて、上記証明書設定装置に、上記所定の期間内における上記通信装置の生産予定台数を示す生産管理情報を、上記通信装置の生産計画を管理する生産管理装置から取得する取得手段を設け、上記第１の手段が、その取得手段が取得した生産管理情報に基づき、上記所定期間内における上記通信装置の生産予定台数分の通信装置の識別情報を証明書管理装置に送信するようにするとよい。

また、この発明の別の製造システムは、通信装置を製造する製造システムにおいて、通信装置に証明書を設定するための証明書設定装置を設け、その証明書設定装置に、通信装置の機種毎にその機種の所定期間内の生産予定台数及び証明書設定要否を示す生産管理情報に基づき、証明書の発行要求と共に、証明書の設定を要する通信装置について、所定期間内におけるその通信装置の生産予定台数分の、通信装置毎に異なる識別情報を証明書管理装置に送信する第１の手段と、上記第１の手段が送信した証明書の発行要求に応じて上記証明書管理装置が送信してくる、上記生産予定台数分の通信装置毎に異なる識別情報のうち一つの識別情報を含む、その異なる識別情報毎の証明書を記憶する第２の手段と、上記生産管理情報に基づき、上記所定期間内に組み立てられた証明書の設定を要する機種の所定の通信装置に、上記証明書管理装置に送信した上記生産予定台数分の通信装置毎に異なる識別情報のうち、その機種の通信装置の一つの識別情報を付す第３の手段と、上記組み立てられた通信装置に付された識別情報を読み取る読取手段と、上記組み立てられた通信装置と通信可能に接続するための接続手段と、上記第２の手段が記憶した証明書のうち、上記読取手段が読み取った識別情報と同じ識別情報を含む証明書を、上記接続手段によって接続された通信装置に送信して設定させる第４の手段とを設けたものである。

このような製造システムにおいて、上記証明書設定装置に、上記生産管理情報を、上記通信装置の生産計画を管理する生産管理装置から取得する取得手段を設けるとよい。
また、上記の各製造システムにおいて、上記識別情報が、機種コードとシリアル番号を含む情報であるとよい。

以上のようなこの発明の通信装置の製造方法及び製造システムによれば、悪意のユーザによる「なりすまし」が困難な通信装置を容易に提供できるようにすることができると共に、万一生産設備からデジタル証明書が漏洩した場合のセキュリティ面への影響を低減することができる。

以下、この発明の好ましい実施の形態を図面を参照して説明する。
〔実施形態：図１乃至図３１〕
まず、この発明の証明書取得方法、証明書設定方法、証明書取得装置、証明書設定装置、証明書取扱システム、または証明書設定システムを用いてデジタル証明書を設定する対象の通信装置を被管理装置とする遠隔管理システムの構成例について説明する。図１は、その遠隔管理システムの構成の一例を示す概念図である。
なお、ここでいうデジタル証明書とは、図３７に示したような、ＰＫＩ（Public Key Infrastructure）に使用する鍵にデジタル署名を付したもののことである。

この遠隔管理システムは、プリンタ，ＦＡＸ装置，デジタル複写機，スキャナ装置，デジタル複合機等の画像処理装置や、ネットワーク家電，自動販売機，医療機器，電源装置，空調システム，ガス・水道・電気等の計量システム等に通信機能を持たせた通信装置（電子装置）を被管理装置１０（１０ａ，１０ｂ，１０ｃ，１０ｄ，１０ｅ，１０ｆ）とする遠隔管理システムである。そして、この被管理装置１０と接続される（被管理装置側から見た）外部装置として、被管理装置１０とＬＡＮ（ローカルエリアネットワーク）によって接続された遠隔管理仲介装置である仲介装置１０１（１０１ａ，１０１ｂ，１０１ｃ）、更に仲介装置１０１とインタネット１０３（公衆回線や専用線等による他のネットワークでもよく、有線、無線を問わない）を介して接続されるサーバ装置として機能する管理装置１０２を備え、その管理装置１０２が、仲介装置１０１を介して各被管理装置１０を集中的に遠隔管理できるようにしたものである。当該仲介装置１０１および被管理装置１０は、その利用環境に応じて多様な階層構造を成す。

例えば、図１に示す設置環境Ａでは、管理装置１０２とＨＴＴＰ（Hyper Text Transfer Protocol）による直接的なコネクションを確立できる仲介装置１０１ａが、被管理装置１０ａ及び１０ｂを従える単純な階層構造になっているが、同図に示す設置環境Ｂでは、４台の被管理装置１０を設置するため、１台の仲介装置１０１を設置しただけでは負荷が大きくなる。そのため、管理装置１０２とＨＴＴＰによる直接的なコネクションを確立できる仲介装置１０１ｂが、被管理装置１０ｃおよび１０ｄだけでなく、他の仲介装置１０１ｃを従え、この仲介装置１０１ｃが被管理装置１０ｅおよび１０ｆを更に従えるという階層構造を形成している。この場合、被管理装置１０ｅおよび１０ｆを遠隔管理するために管理装置１０２から発せられた情報は、仲介装置１０１ｂとその下位のノードである仲介装置１０１ｃとを経由して、被管理装置１０ｅ又は１０ｆに到達することになる。

また、設置環境Ｃのように、被管理装置１０に仲介装置１０１の機能を併せ持たせた仲介機能付被管理装置（以下単に「被管理装置」ともいう）１１ａ，１１ｂを、別途仲介装置を介さずにインタネット１０３によって管理装置１０２に接続するようにしてもよい。
図示はしていないが、仲介機能付被管理装置１１の下位に更に被管理装置１０と同等の被管理装置を接続することもできる。
なお、各設置環境Ａ，Ｂ，Ｃには、セキュリティ面を考慮し、ファイアウォール１０４を設置する。

このような遠隔管理システムにおいて、仲介装置１０１は、これに接続された被管理装置１０の制御管理のためのアプリケーションプログラムを実装している。
管理装置１０２は、各仲介装置１０１の制御管理、更にはこの仲介装置１０１を介した被管理装置１０の制御管理を行うためのアプリケーションプログラムを実装している。そして、被管理装置１０も含め、この遠隔管理システムにおけるこれら各ノードは、ＲＰＣ（remote procedure call）により、相互の実装するアプリケーションプログラムのメソッドに対する処理の依頼である「要求」を送信し、この依頼された処理の結果である「応答」を取得することができるようになっている。

すなわち、仲介装置１０１又はこれと接続された被管理装置１０では、管理装置１０２への要求を生成してこれを管理装置１０２へ引き渡し、この要求に対する応答を取得できる一方で、管理装置１０２は、上記仲介装置１０１側への要求を生成してこれを仲介装置１０１側へ引き渡し、この要求に対する応答を取得できるようになっている。この要求には、仲介装置１０１に被管理装置１０に対して各種要求を送信させ、被管理装置１０からの応答を仲介装置１０１を介して取得することも含まれる。
なお、ＲＰＣを実現するために、ＳＯＡＰ（Simple Object Access Protocol），ＨＴＴＰ，ＦＴＰ（File Transfer Protocol）,ＣＯＭ（Component Object Model），ＣＯＲＢＡ（Common Object Request Broker Architecture）等の既知のプロトコル（通信規格），技術，仕様などを利用することができる。

この送受信のデータ送受モデルを図２の概念図に示す。
（Ａ）は、被管理装置１０で管理装置１０２に対する要求が発生したケースである。このケースでは、被管理装置１０が被管理装置側要求ａを生成し、これを仲介装置１０１を経由して受け取った管理装置１０２がこの要求に対する応答ａを返すというモデルになる。同図に示す仲介装置１０１は複数であるケースも想定できる（上記図１に示す設置環境Ｂ）。なお、（Ａ）では、応答ａだけでなく応答遅延通知ａ′を返信するケースが表記されている。これは、管理装置１０２を、仲介装置１０１を経由して被管理装置側要求を受け取って、当該要求に対する応答を即座に返せないと判断したときには、応答遅延通知を通知して一旦接続状態を切断し、次回の接続の際に上記要求に対する応答を改めて引き渡す構成としているためである。

（Ｂ）は、管理装置１０２で被管理装置１０に対する要求が発生したケースである。このケースでは、管理装置１０２が管理装置側要求ｂを生成し、これを仲介装置１０１を経由して受け取った被管理装置１０が、当該要求に対する応答ｂを返すというモデルになっている。なお、（Ｂ）のケースでも、応答を即座に返せないときに応答遅延通知ｂ′を返すことは（Ａ）のケースと同様である。

次に、図１に示す管理装置１０２の物理的構成について簡単に説明すると、当該管理装置１０２は、ＣＰＵ，ＲＯＭ，ＲＡＭ等からなる制御装置や、ファイルサーバ，モデム，外部接続Ｉ／Ｆ等によって構成されている。その構成については、追って詳細に説明する。
さらに、図１に示す仲介装置１０１の物理的構成について説明すると、当該仲介装置１０１は、不図示のＣＰＵ，ＲＯＭ，ＲＡＭ，不揮発性メモリ，ネットワークインタフェースカード（ＮＩＣ）等によって構成されている。

また、仲介機能付被管理装置１１については、仲介装置１０１の機能を実現するためにこれらのユニットを単に被管理装置１０に付加しても良いが、被管理装置１０に備えるＣＰＵ，ＲＯＭ，ＲＡＭ等のハードウェア資源を利用し、ＣＰＵに適当なアプリケーションやプログラムモジュールを実行させることによって仲介装置１０１の機能を実現することもできる。

以下、図１に示した遠隔管理システムのより具体的な例として、被管理装置を通信装置である画像形成装置とした、画像形成装置遠隔管理システムについて説明する。ここでは、このシステムを構成する画像形成装置が、この発明を用いてデジタル証明書を設定する対象の通信装置に該当する。

図３は、その画像形成装置遠隔管理システムの構成の一例を示す概念図であるが、被管理装置１０を画像形成装置１００に、仲介機能付被管理装置１１を仲介機能付画像形成装置（以下単に「画像形成装置」ともいう）１１０に変更した点が図１と相違するのみであるので、システムの全体構成についての説明は省略する。なおここでは、管理装置１０２はこの画像形成装置遠隔管理システムのベンダーのサービス拠点であるサービスセンタＳ内に設けている。
また、画像形成装置１００は、コピー，ファクシミリ，スキャナ等の機能および外部装置と通信を行う機能を備えたデジタル複合機であり、それらの機能に係るサービスを提供するためのアプリケーションプログラムを実装しているものである。また、仲介機能付画像形成装置１１０は、画像形成装置１００に仲介装置１０１の機能を併せ持たせたものである。

また、後に詳述するが、図４に示すように、図３に示した画像形成装置１００、仲介機能付画像形成装置１１０や仲介装置１０１等を生産する生産工場Ｅに備える通信端末１５０や、その生産工場Ｅでの生産計画を立案・管理するための生産管理装置１４０、生産工場Ｅにおいて画像形成装置１００等に記憶させるためのデジタル証明書を発行する証明書管理装置（ＣＡ）４００等も、インタネット１０３に接続されている。

次に、図３に示した画像形成装置１００の物理的構成について図５を用いて説明する。
図５は、画像形成装置１００内のハードウェア構成例を示すブロック図である。図６は、画像形成装置１００に備えるメモリにおける記憶エリアの構成例を示すメモリマップ図である。
この画像形成装置１００は、ＣＰＵ２０１，ＡＳＩＣ（Application Specific Integrated Circuit）２０２，ＳＤＲＡＭ２０３，ＮＶＲＡＭ（不揮発性メモリ）２０４，ＮＲＳ用メモリ２０５，ＰＨＹ（物理メディアインタフェース）２０６，操作部２０９，ＨＤＤ（ハードディスクドライブ）２１０，モデム２１１，ＰＩ（パーソナルインタフェース）２１２，ＦＣＵ（ファックスコントロールユニット）２１３，ＵＳＢ（Universal Serial Bus）２１４，ＩＥＥＥ１３９４＿２１５，エンジンＩ／Ｆ２１６，およびエンジン部２１７を備えている。

ＣＰＵ２０１は、ＡＳＩＣ２０２を介してデータ処理（各機能の制御）を行う演算処理手段である。
ＡＳＩＣ２０２は、ＣＰＵインターフェース，ＳＤＲＡＭインターフェース，ローカルバスインタフェース，ＰＣＩインタフェース，ＭＡＣ（Media Access Controller）、ＨＤＤインタフェースなどからなる多機能デバイスボードであり、ＣＰＵ２０１の制御対象となるデバイスの共有化を図り、アーキテクチャの面からアプリ（アプリケーションソフト）や共通システムサービスの開発の高効率化を支援するものである。
ＳＤＲＡＭ２０３は、ＯＳを含む各種プログラムを記憶するプログラムメモリや、ＣＰＵ２０１がデータ処理を行う際に使用するワークメモリ等として使用するメインメモリである。なお、このＳＤＲＡＭ２０３の代わりに、ＤＲＡＭやＳＲＡＭを使用してもよい。

ＮＶＲＡＭ２０４は、不揮発性のメモリ（記憶手段）あり、電源がオフになっても記憶内容を保持するようになっている。そして、図６のメモリマップからわかるように、このＮＶＲＡＭ２０４の用途としては、この画像形成装置１００を起動させるブートローダ（ブートプログラム）やＯＳのファイルであるＯＳイメージを記憶するプログラムメモリ、仲介装置１０１や管理装置１０２等の通信相手との通信時のＳＳＬによる相互認証に用いる、装置の識別情報を含むデジタル証明書（以下「個別証明書」ともいう）を記憶する個別証明書メモリ、個別証明書が使えない場合にＳＳＬによる相互認証に用いる、装置の識別情報を含まないデジタル証明書（以下「共通証明書」ともいう）を記憶する共通証明書メモリ、プリンタ機能の初期値やスキャナ機能の初期値のような、ほとんど値を変更しない種々の固定パラメータを記憶する固定パラメータメモリ、この画像形成装置１００の識別情報である機種機番を記憶する機種機番メモリ、操作部２０９による操作上の初期値を記憶するメモリ、各アプリ（ＡＰＬ）の初期値を記憶するメモリ、各カウンタ情報（課金カウンタのデータ等）を記憶するメモリ等が挙げられる。
なお、ＮＶＲＡＭ２０４は、複数のメモリユニットによって構成したり、装置の各部に分散して設けたりしてももちろん構わない。また、それらのメモリユニットとしては、例えばＲＡＭと電池を利用したバックアップ回路を集積した不揮発性ＲＡＭや、ＥＥＰＲＯＭ、あるいはフラッシュメモリ等の不揮発性メモリを使用することができる。

ＮＲＳ用メモリ２０５は、後述するＮＲＳアプリを記憶する不揮発性メモリであり、オプションでＮＲＳ機能を追加することができる。
ＰＨＹ２０６は、ＬＡＮを介して外部装置と通信を行うためのインタフェースである。
操作部２０９は、操作表示手段（操作手段および表示手段）である。
ＨＤＤ２１０は、電源のオン・オフに関係なくデータを記憶保存する記憶手段（記録媒体）である。このＨＤＤ２１０に、上述したＮＶＲＡＭ２０４内のプログラムやそれ以外のデータを記憶しておくこともできる。

モデム２１１は、変復調手段であり、管理装置１０２へ公衆回線経由でデータを送信する場合、そのデータを公衆回線に流せる形に変調する。また、管理装置１０２から送られてくる変調されたデータを受信した場合、そのデータを復調する。
ＰＩ２１２は、ＲＳ４８５規格に準拠したインタフェースを備え、図示しないラインアダプタを介して公衆回線に接続している。
ＦＣＵ２１３は、ＦＡＸ装置又はモデム機能（ＦＡＸ通信機能）を有するデジタル複写機やデジタル複合機等の画像形成装置および管理装置１０２等の外部装置との通信を公衆回線経由で制御する。

ＵＳＢ２１４及びＩＥＥＥ１３９４＿２１５はそれぞれ、周辺機器と通信を行うための、ＵＳＢ規格及びＩＥＥＥ１３９４規格のインタフェースである。
エンジンＩ／Ｆ２１６は、エンジン部２１７をＰＣＩバスに接続するためのインタフェースである。
エンジン部２１７は、公知のスキャナエンジン及びプロッタエンジン等からなる画像読み取り／形成用のエンジンや、プロッタエンジンによって画像を形成した用紙に、ソート、穴開け、ステープル処理等の後処理を行う後処理ユニット等が該当する。

ここで、電源投入（電源オン）により、ＣＰＵ２０１は、ＡＳＩＣ２０２経由でＮＶＲＡＭ２０４内のブートローダを起動させ、そのブートローダに従い、ＮＶＲＡＭ２０４内のＯＳイメージを読み出し、それをＳＤＲＡＭ２０３にロードして使用可能なＯＳに展開する。そして、ＯＳの展開が完了すると、そのＯＳを起動させる。その後、必要に応じてＮＶＲＡＭ２０４内のアプリ等のプログラムあるいはＮＲＳ用メモリ２０５内のＮＲＳアプリを読み出し、それをＳＤＲＡＭ２０３にロードして展開し、起動させることにより、各種機能を実現することができる。

次に、画像形成装置１００（又は１１０）におけるソフトウェア構成を図７を用いて説明する。
図７は、画像形成装置１００のソフトウェア構成の一例を示すブロック図である。当該画像形成装置１００のソフトウェア構成は、最上位のアプリケーションモジュール層、その下位のサービスモジュール層からなる。そして、これらのソフトウェアを構成するプログラムはＮＶＲＡＭ２０４やＮＲＳ用メモリ２０５に記憶され、必要に応じて読み出されてＣＰＵ２０１によって実行される。

アプリケーションモジュール層のソフトウェアは、ＣＰＵ２０１を、ハードウェア資源を動作させて所定の機能を実現させる複数のアプリケーション制御手段（処理実行手段）として機能させるためのプログラムによって構成され、サービスモジュール層のソフトウェアは、ＣＰＵ２０１を、ハードウェア資源と各アプリケーション制御手段との間に介在し、複数のアプリケーション制御手段からのハードウェア資源に対する動作要求の受付，その動作要求の調停，およびその動作要求に基づく動作の実行制御を行うサービス制御手段（処理実行手段）として機能させるためのプログラムによって構成される。
ＯＳ３１９はＵＮＩＸ（登録商標）などのオペレーティングシステムであり、サービスモジュール層及びアプリケーションモジュール層の各プログラムをそれぞれプロセスとして並列実行する。

なお、上記の機能のうち、管理装置１０２との通信に係わる機能（通信手段としての機能）の実現方法は、画像形成装置１００と画像形成装置１１０とによって異なる。つまり、画像形成装置１１０の場合は、仲介装置１０１の機能を備えているため、ＣＰＵが対応するプログラムを実行することにより、管理装置１０２との通信に係わる機能を実現することができる。画像形成装置１００の場合には、ＣＰＵが対応するプログラムを実行すると共に、仲介装置１０１を利用することにより、管理装置１０２との通信に係わる機能を実現することができる。

サービスモジュール層には、オペレーションコントロールサービス（ＯＣＳ）３００、エンジンコントロールサービス（ＥＣＳ）３０１、メモリコントロールサービス（ＭＣＳ）３０２、ネットワークコントロールサービス（ＮＣＳ）３０３、ファクスコントロールサービス（ＦＣＳ）３０４、カスタマーサポートシステム（ＣＳＳ）３０５、システムコントロールサービス（ＳＣＳ）３０６、システムリソースマネージャ（ＳＲＭ）３０７、イメージメモリハンドラ（ＩＭＨ）３０８、デリバリーコントロールサービス（ＤＣＳ）３１６、ユーザコントロールサービス（ＵＣＳ）３１７を実装している。更に、アプリケーションモジュール層には、コピーアプリ３０９、ファクスアプリ３１０、プリンタアプリ３１１、スキャナアプリ３１２、ネットファイルアプリ３１３、ウェブアプリ３１４、ＮＲＳ（ニューリモートサービス）アプリ３１５を実装している。

これらを更に詳述する。
ＯＣＳ３００は、操作部２０９を制御するモジュールである。
ＥＣＳ３０１は、ハードウェアリソース等のエンジンを制御するモジュールである。
ＭＣＳ３０２は、メモリ制御をするモジュールであり、例えば、画像メモリの取得及び開放、ＨＤＤ２１０の利用等を行う。
ＮＣＳ３０３は、ネットワークとアプリケーションモジュール層の各アプリケーションプログラムとの仲介処理を行わせるモジュールである。
ＦＣＳ３０４は、ファクシミリ送受信、ファクシミリ読み取り、ファクシミリ受信印刷等を行うモジュールである。

ＣＳＳ３０５は、公衆回線を介してデータを送受信する際のデータの変換等をするモジュールであり、また公衆回線を介した遠隔管理に関する機能をまとめたモジュールである。
ＳＣＳ３０６は、コマンドの内容に応じたアプリケーションモジュール層の各アプリケーションプログラムの起動管理及び終了管理を行うモジュールである。
ＳＲＭ３０７は、システムの制御及びリソースの管理を行うモジュールである。
ＩＭＨ３０８は、一時的に画像データを入れておくメモリを管理するモジュールである。

ＤＣＳ３１６は、ＨＤＤ２１０やＳＤＲＡＭ２０３に記憶している（する）画像ファイル等をＳＭＴＰ（Simple Mail Transfer Protocol）やＦＴＰ（File Transfer Protocol）を用いて送受信するモジュールである。
ＵＣＳ３１７は、ユーザが登録した宛先情報や宛名情報等のユーザ情報を管理するモジュールである。

コピーアプリ３０９は、コピーサービスを実現するためのアプリケーションプログラムである。
ファクスアプリ３１０は、ファクスサービスを実現するためのアプリケーションプログラムである。
プリンタアプリ３１１は、プリンタサービスを実現するためのアプリケーションプログラムである。

スキャナアプリ３１２は、スキャナサービスを実現するためのアプリケーションプログラムである。
ネットファイルアプリ３１３は、ネットファイルサービスを実現するためのアプリケーションプログラムである。
ウェブアプリ３１４は、ウェブサービスを実現するためのアプリケーションプログラムである。
ＮＲＳアプリ３１５は、ネットワークを介してデータを送受信する際のデータの変換や、ネットワークを介した遠隔管理に関する機能（管理装置１０２との通信に係わる機能を含む）を実現するためのアプリケーションプログラムである。

次に、上述した画像形成装置１００のソフトウェアの構成に含まれるＮＲＳアプリ３１５の内部構成を図８を用いて更に説明する。
図８は、ＮＲＳアプリの構成の一例を示す機能ブロック図である。同図に示すように、ＮＲＳアプリ３１５は、ＳＣＳ３０６とＮＣＳ３０３との間で処理をおこなっている。ウェブサーバ機能部５００は、外部から受信した要求に関する応答処理を行う。ここでの要求は、例えば、構造化言語であるＸＭＬ（Extensible Markup Language）形式で記載された、ＳＯＡＰ（Simple Object Access Protocol）によるＳＯＡＰリクエストであることが考えられる。ウェブクライアント機能部５０１は、外部への要求を発行する処理を行う。ｌｉｂｓｏａｐ５０２は、ＳＯＡＰを処理するライブラリであり、ｌｉｂｘｍｌ５０３は、ＸＭＬ形式で記載されたデータを処理するライブラリである。また、ｌｉｂｇｗｗｗ５０４は、ＨＴＴＰを処理するライブラリであり、ｌｉｂｇｗ＿ｎｃｓ５０５は、ＮＣＳ３０３との間の処理をするライブラリである。

図９は、管理装置１０２の概略構成例を示すブロック図である。
この管理装置１０２は、モデム６０１，通信端末６０２，外部接続Ｉ／Ｆ６０３，操作者端末６０４，制御装置６０５，ファイルサーバ６０６等からなる。
モデム６０１は、図示しない公衆回線を介して機器利用者側（例えば画像形成装置を利用しているユーザ先）の仲介装置１０１又は画像形成装置１１０と通信するものであり、送受信するデータを変復調する。また、通信端末６０２は、モデム６０１による通信を制御するものである。そして、これらのモデム６０１と通信端末６０２により通信手段としての機能を果たす。

外部接続Ｉ／Ｆ６０３は、インタネット１０３あるいは専用線等によるネットワークを介した通信を行うためのインタフェースである。そして、ここを介して機器利用者側の仲介装置１０１又は画像形成装置１１０との通信を行う、また、セキュリティ管理のためのプロキシサーバ等を設けてもよい。
操作者端末６０４は、各種データの入力をオペレータによるキーボード等の入力装置上の操作により受け付ける。入力されるデータとしては、例えば、各機器利用者側の仲介装置１０１又は画像形成装置１１０と通信する際に使用するそれらのＩＰアドレスや電話番号（発呼先電話番号）等の顧客情報がある。

制御装置６０５は、図示しないＣＰＵ，ＲＯＭ，ＲＡＭ等からなるマイクロコンピュータを備えており、管理装置１０２全体を統括的に制御する。そのＣＰＵが、上記プログラムに従って動作する（上記プログラムを必要に応じて実行する）と共に、各部を必要に応じて選択的に使用することにより、各種処理を行うことができる。
ファイルサーバ６０６は、図示しないハードディスク装置等の記憶装置を備え、そこに各機器利用者側の仲介装置１０１および画像形成装置１１０のＩＰアドレスや電話番号、それらの装置から受信したデータ、管理対象の画像形成装置の識別情報、操作者端末６０４から入力されたデータ、およびこの発明に係わるプログラム等の各種データをそれぞれデータベース（ＤＢ）として記憶している。

ところで、以上説明した画像形成装置管理システムにおいて、画像形成装置１００,１１０、仲介装置１０１、管理装置１０２の各ノードは、他のノードと通信を行おうとする場合、通信相手との間で上述したようなＳＳＬによる認証処理を行い、認証が成功した場合のみ通信を確立させるようにしている。そして、上記の各ノードには、それぞれこの認証を行うための認証情報として、公開鍵証明書、私有鍵、ルート鍵証明書を記憶させている。

図１０は、（ａ）に画像形成装置１００,１１０が記憶する証明書及び鍵の種類を示し、（ｂ）に仲介装置１０１が記憶する証明書及び鍵の種類を示す図である。また、図１１は管理装置１０２が記憶する証明書及び鍵のうち、管理装置１０２における認証処理に用いるものを示す図である。
これらの図に示すように、画像形成装置１００,１１０、仲介装置１０１、管理装置１０２は、大きく分けて個別認証情報と共通認証情報を記憶している。そして、これらの個別認証情報と共通認証情報は、それぞれ自分に関する認証情報である公開鍵証明書及び私有鍵と、通信相手の認証情報の正当性を確認するためのルート鍵証明書とからなる証明書セットによって構成される。

また、例えば画像形成装置用個別公開鍵証明書は、後述する証明書管理装置４００が画像形成装置１００,１１０に対して発行した個別公開鍵に、個別認証用ルート鍵を用いて正当性を確認可能なデジタル署名を付したデジタル証明書である。
ここで、公開鍵証明書のフォーマットは、例えば図１３に示したものを用いることができ、公開鍵本体の他、証明書の発行者や証明書の有効期限、証明される対象（証明書の発行先の装置あるいは利用者）等の情報が記載されている。具体的には、例えばＸ５０９と呼ばれるフォーマットに従って作成することができ、このフォーマットに従って作成された公開鍵証明書は、例えば図１４に示すようなものになる。
この例においては、ＡがＣＡの識別情報を示し、Ｃが証明書の発行先の装置の識別情報を示す。これらは、それぞれ所在地、名称、機種機番あるいはコード等の情報を含む。また、Ｂが有効期間を示し、その開始日時と終了日時によって有効期間を指定している。

また、画像形成装置用個別私有鍵は、上記の個別公開鍵と対応する私有鍵、個別認証用ルート鍵証明書は、個別認証用ルート鍵に自身と対応するルート私有鍵を用いて自身で正当性を確認可能なデジタル署名を付したデジタル証明書である。
そして、画像形成装置１００,１１０を複数設けた場合でも、各装置の個別公開鍵に付すデジタル署名は同じルート私有鍵を用いて付し、正当性確認に必要な通常ルート鍵証明書は共通にする。しかし、個別公開鍵証明書に含まれる個別公開鍵やこれと対応する私有鍵は、装置毎に異なる。

仲介装置用個別公開鍵証明書と仲介装置用個別私有鍵と個別認証用ルート鍵証明書も同様な関係であり、管理装置用個別公開鍵証明書と管理装置用個別私有鍵と個別認証用ルート鍵証明書も同様な関係である。なお、個別認証用ルート鍵は、公開鍵証明書の発行対象の装置によらず同じ物を使用するようにし、どの装置の個別公開鍵証明書の正当性も、同じ個別認証用ルート鍵で確認できるようにしている。

そして、例えば画像形成装置１００と仲介装置１０１とが相互認証を行う場合には、仲介装置１０１からの通信要求に応じて、画像形成装置１００は画像形成装置用個別私有鍵を用いて暗号化した第１の乱数を画像形成装置用個別公開鍵証明書と共に仲介装置１０１に送信する。仲介装置１０１側では個別認証用ルート鍵証明書を用いてまずこの画像形成装置用個別公開鍵証明書の正当性（損傷や改竄を受けていないこと）を確認し、これが確認できた場合にここに含まれる公開鍵で第１の乱数を復号化する。この復号化が成功した場合に、仲介装置１０１は通信相手の画像形成装置１００が確かに画像形成装置用個別公開鍵証明書の発行先であると認識でき、その証明書に含まれる識別情報から装置を特定することができる。そして、特定した装置が通信相手としてふさわしいか否かに応じて認証の成功と失敗を決定することができる。

また、画像形成装置１００側でも、仲介装置１０１側で認証が成功した場合に送信されてくる仲介装置用個別公開鍵証明書及び仲介装置用個別私有鍵で暗号化された乱数を受信し、記憶している個別認証用ルート鍵証明書を用いて同様な認証を行うことができる。
なおこの手順は、仲介装置１０１がクライアントとして機能して、サーバとして機能する画像形成装置１００に対して通信を要求する場合の処理であり、画像形成装置１００がクライアントとして機能して、サーバとして機能する仲介装置１０１に対して通信を要求する場合には、使用する証明書や鍵は同じであるが、仲介装置１０１と画像形成装置１００の処理が逆になる。
仲介装置１０１と管理装置１０２とが通信する場合の処理についても同様である。

ところで、上述のように、公開鍵証明書には有効期限があり、定期的に更新する必要があるが、更新処理中に電源がＯＦＦされて更新が失敗したり、電源がＯＦＦされたままであった等して更新が行えないうちに有効期限が過ぎてしまったりすると、個別公開鍵証明書を用いた認証を行えなくなってしまう。そして、各装置が個別公開鍵証明書を用いた認証しか行えないとすると、この状態では、新たな個別公開鍵証明書や個別私有鍵及び通常ルート鍵証明書をネットワークを介して安全に対象の装置に送信する方法はないことになる。

そこで、画像形成装置１００,１１０、仲介装置１０１、管理装置１０２には、このような事態に対処するために共通認証情報を記憶しており、通信相手を異なる２種類のデジタル証明書を用いて認証することができるようにしている。そして、共通認証情報を用いることにより、必要な装置にネットワークを介して新たな個別公開鍵証明書等を安全に送信できるようにしている。

この共通認証情報は、正規認証情報と概ね同様な構成となっており、例えば画像形成装置用共通公開鍵証明書は、所定のＣＡ（認証情報管理装置４００と同一でも異なってもよい）が画像形成装置１００,１１０に対して発行した共通公開鍵に、共通認証用ルート鍵を用いて正当性を確認可能なデジタル署名を付したデジタル証明書である。また、画像形成装置用共通私有鍵はその共通公開鍵と対応する私有鍵、共通認証用ルート鍵証明書は、共通認証用ルート鍵に自身を用いて正当性を確認可能なデジタル署名を付したデジタル証明書である。

しかし、個別認証情報と大きく異なる点は、共通公開鍵証明書には、発行先装置の識別情報が含まれていない点である。例えば、図１４に符号Ｃで示した証明書の発行先の装置の識別情報の欄を空欄にしたり、装置ＩＤとして共通公開鍵証明書であることを示す０００００００等の値を記載したりする等が考えられる。また、有効期間も、実質的に更新が必要ない程度に長く設定し、デジタル署名に用いるルート私有鍵を、個別公開鍵証明書の場合とは異なるものとするとよい。

このような共通公開鍵証明書は、装置の識別情報を含む個別公開鍵証明書と比べて、安全性という点では若干劣る。しかしながら、このような共通公開鍵証明書を利用することにより、個別公開鍵証明書が使用できなくなってしまった場合であっても、予備として使用して、通信相手を認証することができる。そして、このような認証が成功すれば、前述のように通信相手との間で共通鍵を交換して共通鍵暗号を用いた安全な通信経路を設けることができる。従って、この通信経路を利用して、通信相手に新しい個別公開鍵証明書を通信相手に送信し、設定させることが可能となる。

このとき、個別公開鍵証明書を始めとする各証明書の送信や設定は、公開鍵証明書、私有鍵、ルート鍵証明書を含む証明書セットの単位で行うようにしている。すなわち、認証処理に用いる証明書や鍵を一括して通信相手に転送し、設定させるようにしている。例えば、画像形成装置用個別証明書セットの構成は、図１２に示すようなものである。

なお、共通認証情報を用いて認証処理を行った場合に、個別公開鍵証明書を始めとする個別認証情報の更新のような限られた要求のみ実行を許可するようにすれば、有効期間を長くしたために若干安全性が低下したとしても、大きな問題にはならない。
また、ＳＳＬプロトコルに従った認証処理を行う場合には、サーバは、クライアントから通信要求があった時点ではクライアントの状態を知ることができないため、基本的には、１つの装置が公開鍵証明書を複数持ち、通信相手が認証に使用しようとする公開鍵証明書の種類に合わせて適当なものを選択して送信するといった構成を取ることはできない。しかし、複数のＵＲＬで通信を受け付け、通信を要求する側で、使用する証明書に合わせて通信要求に係るＵＲＬを変えるようにすれば、ＵＲＬ毎に異なる公開鍵証明書を返し、個別公開鍵証明書と共通公開鍵証明書を使い分けることも可能である。

次に、以上説明したような画像形成装置管理システムの具体的な動作例について説明する。図１５に、その動作の一例として、画像形成装置１００が自身における異常発生を検知した場合の動作シーケンスを示す。
この図に示すように、図３に示した画像形成装置管理システムにおいて、画像形成装置１００は、自身における異常発生を検知すると（Ｓ１０１）、操作部２０９にサービスマンコールを行う旨の画面を表示し（Ｓ１０２）、異常発生を通知するサービスマンコールを、管理装置１０２に向けて送信する。ただし、この送信は、仲介装置１０１を介して行うことになる。

そして、画像形成装置１００は、サービスマンコールの送信に際して、まず仲介装置１０１との間でＳＳＬによる相互認証を行う（Ｓ１０３）。この相互認証処理は、図１０に示した個別認証情報を用いて行うものであり、従来の技術で図３４を用いて説明したような処理を、画像形成装置１００側と仲介装置１０１側とで行うものである。しかし、公開鍵証明書に装置の識別情報が記載されていることから、図３４のステップＳ２３に示す部分の処理において、図１６に示す処理を行うようにしている。
すなわち、サーバ装置（ここでは仲介装置１０１に該当）がクライアント装置（ここでは画像形成装置１００に該当）から第２，第３の乱数及び画像形成装置用個別公開鍵証明書を受信した場合に、ステップＳ２３１で、仲介装置１０１が記憶している個別認証用ルート鍵証明書に含まれるルート鍵を用いて、画像形成装置用個別公開鍵証明書に付されたデジタル署名を復号化する。

そして、ステップＳ２３２で、画像形成装置用個別公開鍵証明書に含まれる公開鍵（鍵本体＋書誌情報）をハッシュ処理してハッシュ値を得る。公開鍵証明書が破損したり改竄されたりしていなければ、ステップＳ２３１の復号化で得た値とステップＳ２３２のハッシュ処理で得たハッシュ値とが一致するはずであるので、ステップＳ２３３でこの点を確認する。

次のステップＳ２３４では、画像形成装置用個別公開鍵証明書中の書誌情報から、画像形成装置１００の識別情報として記載されている機種機番情報を抽出する。そして、ステップＳ２３５で抽出した機種機番情報が管理対象装置として登録されている装置のものであることを確認する。そして、この確認ができた場合に、初めて適切な画像形成装置用個別公開鍵証明書が適切な機器から送られてきていると判断する。
公開鍵証明書の改竄は極めて困難であるので、以上のように、公開鍵証明書の正当性確認に、その書誌情報に記載された識別情報も用いるようにすることにより、装置のなりすましを効果的に防止し、通信相手を正確に特定した上で通信の可否を判定することができる。
なお、図３４の処理において、ステップＳ２３だけでなくステップＳ１２においても同様な処理を行うようにしている。この場合において、処理の対象となる公開鍵証明書は、仲介装置用個別公開鍵証明書である。

図１５の説明に戻ると、ステップＳ１０３での認証が成功した場合に、相互認証時のＳＳＬによって確保した安全な通信経路で、サービスマンコールの内容を記載したＳＯＡＰメッセージを仲介装置１０１に送信する（Ｓ１０４）。
そして、これを受信した仲介装置１０１は、管理装置１０２との間でステップＳ１０３の場合と同様にＳＳＬによる相互認証を行い（Ｓ１０５）、認証が成功した場合に、相互認証時のＳＳＬによって確保した安全な通信経路で、サービスマンコールの内容を記載したＳＯＡＰメッセージを管理装置１０２に送信する（Ｓ１０６）。

すると、管理装置１０２はそのサービスマンコールを受け付け（Ｓ１０７）、コールを正常に受け付けた旨の応答を仲介装置１０１に返す（Ｓ１０８）。ユーザへの復旧方法の指示や、修理のためのサービスマンの手配等は、ここに示す処理とは別途行うものとする。
そして、ステップＳ１０８の応答を受けた仲介装置１０１は、コールが正常に受け付けられた旨の応答を画像形成装置１００に返す（Ｓ１０９）。これらの通信も、ＳＳＬによって確保した安全な通信経路で行うが、ステップＳ１０３及びＳ１０５で確保した通信経路であっても、新たにＳＳＬによる相互認証を行って確保したものであってもよい。

以上により、画像形成装置１００において異常の発生を検知した場合に、管理装置１０２にその旨を通知することができる。その際に、各装置が通信相手を正確に認識できることから、例えば遠隔管理の対象となっていない装置からの通知は受信しないようにすることができ、管理対象の装置のみに確実に管理装置１０２によるサービスを提供することができる。

次に、以上説明したような画像形成装置管理システムを構成する画像形成装置や仲介装置を生産する際に使用する設備のうち、デジタル証明書の設定に関連する設備について説明する。
図１７は、これらの装置を生産する生産工場及び関連施設に設ける、デジタル証明書の設定に関連する設備の構成例を示すブロック図である。
この図に示すように、画像形成装置１００,１１０や仲介装置１０１を生産する生産工場Ｅには、通信端末１５０，工場端末１６０が設置されている。また、関連施設には、生産管理装置１４０及び証明書管理装置（ＣＡ）４００を設けている。そして、通信端末１５０と証明書管理装置４００とがこの発明の証明書取扱システムの実施形態を構成し、通信端末１５０と証明書管理装置４００と工場端末１６０とがこの発明の証明書設定システムの実施形態を構成する。

また、生産管理装置１４０は、メーカーにおける装置の生産計画を立案・管理するための装置であり、生産工場Ｅにおける画像形成装置１００，１１０，仲介装置１０１等の通信装置やその部品の日々の生産数を管理するためにも使用される。もちろん、他の装置の生産計画や他の工場での生産計画の立案・管理にも同時に使用できる。
証明書管理装置４００は、デジタル証明書や私有鍵の発行、署名、管理等を行う装置であり、外部装置からの要求に応じてデジタル証明書を発行し、送信することもできる。

通信端末１５０は、生産工場Ｅの外部と通信を行い、必要な情報を取得したり、要求を送信したりする装置である。この通信は、インターネット、専用線によるネットワーク、公衆回線等の種々のネットワークを使用して行うことができる。そして、インターネットを用いる場合には、ＳＳＬやＶＰＮ（Virtual Private Network）等の技術を利用したり、ファイアウォールを設けたりしてセキュリティを確保するものとする。
そして、通信端末１５０は、証明書取得装置に該当し、生産管理装置１４０と通信して機種毎にその日の通信装置の生産台数の情報を入手（取得）すると共に、生産予定の各装置に付す識別情報として機種機番（機種コードとシリアル番号とを含めた情報）の情報を取得する機能と、その情報に基づいて証明書管理装置４００に証明書送信要求を送信し、証明書管理装置４００からその各機種機番が含まれる証明書セットをそれぞれ取得する機能を有する。

また、証明書データベース（ＤＢ）１５４ａは、通信端末１５０のハードディスクドライブ（ＨＤＤ）に設けたデータベースであり、証明書管理装置から取得した証明書を記憶する記憶手段である。
入力装置１５６は、通信端末のオペレータが通信端末１５０に情報を入力するためのキーボード等による入力手段であり、生産管理装置１４０で作成した生産計画をプリントアウトして郵送やＦＡＸで生産工場Ｅに送付し、これをオペレータが手入力するような対応も可能となっている。表示装置１５７は、ディスプレイ等の表示手段である。

また、工場端末１６０は、バーコードリーダ１４１によって読み取られたバーコードによる機種機番が入力された場合に、その機種機番に対応する証明書を通信端末１５０から入手し、それを対応する画像形成装置や仲介装置へ送信してその装置の不揮発性メモリ（記憶手段）に書き込ませる装置である。この工場端末１６０は複数設けてもよく、通信端末１５０及び工場端末１６０が、証明書設定装置に該当する。
バーコードリーダ１４１は、読取手段であり、生産工場Ｅで生産される装置に貼付された定格銘板あるいは対応するチェックシート上の機種機番（識別情報）を示すバーコードの情報を読み取って工場端末１６０へ送信する。このバーコードリーダ１４１として、ハンドタイプの小型バーコードリーダを用いることができる。

ここで、図１８に、証明書管理装置４００のハードウェア構成例を示す。
証明書管理装置４００は、ＣＰＵ１３１，ＲＯＭ１３２，ＲＡＭ１３３（記憶手段），ＨＤＤ１３４（記憶手段），通信Ｉ／Ｆ１３５を備え、これらがシステムバス１３６によって接続されている。
この証明書管理装置４００によれば、ＣＰＵ１３１がＲＯＭ１３２やＨＤＤ１３４に記憶されている各種制御プログラムを実行することによってこの証明書管理装置４００の動作を制御し、この発明による機能（デジタル証明書送信手段としての機能）を実現することができる。

図１９に、通信端末１５０のハードウェア構成例を示す。
通信端末１５０は、ＣＰＵ１５１，ＲＯＭ１５２，ＲＡＭ１５３，ＨＤＤ１５４，通信Ｉ／Ｆ１５５，入力装置（入力手段）１５６，表示装置（表示手段）１５７を備え、これらがシステムバス１５８によって接続されている。
図２０は、工場端末１６０のハードウェア構成例を示すブロック図である。
工場端末１６０は、ＣＰＵ１６１，ＲＯＭ１６２，ＲＡＭ１６３，通信Ｉ／Ｆ１６４を備え、これらがシステムバス１６６によって接続されている。

通信端末１５０および工場端末１６０によれば、ＣＰＵ１５１がＲＯＭ１５２やＨＤＤ１５４に記憶されている各種制御プログラムを実行することによって通信端末１５０の動作を、ＣＰＵ１６１がＲＯＭ１６２やＨＤＤ１６４に記憶されている各種制御プログラムを実行することによって工場端末１６０の動作をそれぞれ制御し、この発明による機能（送信手段、受信手段、記憶手段、設定手段等としての機能）を実現することができる。
なお、証明書管理装置４００，通信端末１５０，工場端末１６０のハードウェアとしては、適宜公知のコンピュータを採用することができる。もちろん、必要に応じて他のハードウェアを付加してもよい。

次に、図２１に生産工場Ｅにおける通信端末１５０および工場端末１６０の周辺の状況の概略を示す。
生産工場Ｅにおいては、通信端末１５０は、セキュリティ面を考慮して管理者室Ｆに設置している。そして、その管理者室Ｆは、特定の管理者しか入れないように、ドアＧに鍵をかけるようにしており、通信端末１５０は、特定のＩＤとパスワードが入力された場合にのみ操作できるようにしている。

またこの例では、生産工場Ｅには仲介装置１０１の生産用ライン１００１と画像形成装置１００の生産用ライン１００２と画像形成装置１１０の生産用ライン１００３とを設けている。そして、その各生産用ライン毎に工場端末１６０（１６０ａ，１６０ｂ,１６０ｃ）を設置している。
そして、各工場端末１６０にはそれぞれ、バーコードリーダ１４１（１４１ａ，１４１ｂ,１４１ｃ）と接続するためのバーコード用Ｉ／Ｆ１４２（１４２ａ，１４２ｂ,１４２ｃ）、および生産する装置（仲介装置１０１,画像形成装置１００,１１０）と接続するための書き込み用Ｉ／Ｆ１６５（１６５ａ，１６５ｂ,１６５ｃ）がそれぞれ接続されている。

図２２に、工場端末１６０とバーコードリーダ１４１と生産する通信装置との間の接続例を示すが、例えば画像形成装置１００生産用ライン１００２に設けられた工場端末１６０ｂには、バーコード用Ｉ／Ｆ１４２ｂを介してバーコードリーダ１４１ｂが、書き込み用Ｉ／Ｆ１６５ｂを介して画像形成装置１００が接続される。
なお、生産される画像形成装置１００（又は画像形成装置１１０や仲介装置１０１）は、初期値として同じＩＰアドレスを有しており、工場端末１６０とＬＡＮ接続するとＩＰアドレスが重複してしまうため、書き込み用Ｉ／Ｆ１６５としてクロスケーブルを使用して工場端末１６０との接続を行っている。

このような生産ラインにおいては、装置を生産する際、機能検査に合格した装置に識別番号を付与した後、定格銘板１７０（１７０ａ,１７０ｂ,１７０ｃ）を貼付する。この定格銘板の例を図２３に示すが、定格銘板には、定格電圧，消費電力等の情報と共に、装置の機種機番を記載している。そしてさらに、この機種機番の情報を示すバーコードＢＣも記載している。

そして、個別証明書の設定工程において、作業者がバーコードリーダ１４１によって定格銘板１７０上のバーコードＢＣを読み取り、作業対象の装置の機種機番情報を工場端末１６０に入力する。すると、工場端末１６０がその機種機番を含む証明書セットを通信端末１５０から入手し、書き込み用Ｉ／Ｆ１６５を介して接続する画像形成装置１００等へ送信してその装置の個別証明書メモリに設定させる。
以上の作業及び処理により、各生産用ラインで生産する通信装置に、その機種機番情報を発行先装置の識別情報として含む個別公開鍵証明書を簡単な作業で記憶させることができる。

図２４は、図２１に示した生産工場Ｅの各生産用ラインで生産される通信装置の生産工程の一例を示す説明図である。この図においては、デジタル証明書の設定に関する部分を中心に示し、それ以外の部分については大幅に簡略化して示している。
この図に示すように、通信装置を生産する場合には、まずその通信装置の制御基板を組み立て、次にその制御基板の検査を行った後、機種毎に共通な、図１０に示した共通証明書セットを、工場端末１６０によってＮＶＲＡＭ２０４等の不揮発性記憶手段に書き込む。また、種々の固定パラメータや初期値も、このとき同時に書き込む。

そして、データが書き込まれた制御基板は、図２１に示した各生産用ラインに組み立て用部品として供給される。また、一部は梱包され、市場出た通信装置のための交換用部品として出荷される。
ここまでの工程は、生産工場Ｅで行ってもよいが、別の工場で行うことが多い。

そして、図２１に示した各生産用ラインにおいては、通信装置本体や外装カバーの組み立てを行い、組み立てた外装カバーに、組み立て用部品として供給された制御基板を組み付けて、通信装置が一通り完成する。
その後、その通信装置に対して機能検査を行い、これに合格した装置に機番を付す。そして、機番を付した装置に対して、通信端末１５０および工場端末１６０によって図１０に示した個別証明書セットを送信して不揮発性記憶手段に設定させると共に、検査工程で変化するカウンタ値等のパラメータを初期化する。なお、ここで設定させる個別証明書セットは、個別公開鍵証明書に、対象の装置の識別情報としてその装置の機種機番情報を含むものである。
以上の工程で通信装置は全て完成し、その後外観を検査した後、梱包して出荷する。

次に、上述した生産工程において個別証明書の設定に関する動作及び処理について、図２５乃至図３１を参照してより詳細に説明する。以下に説明する処理が、この発明の証明書取得方法及び証明書設定方法の実施形態に係る処理であり、ここでは画像形成装置１００を生産する場合の例について説明するが、他の装置を生産する場合にも同様な処理で対応できる。

図２５は、個別証明書の設定に関与する装置が個別証明書の設定に関連して行う処理の流れを示すシーケンス図である。この図におけるローマ数字は、図１７に示したローマ数字と対応する通信であることを示す。
また、図２６は、通信端末１５０が生産管理装置１４０から取得する工場製造管理ＤＢの一例を示す。ここでは（ａ）に証明書管理機器一覧ＤＢの一例を、（ｂ）に生産計画ＤＢの一例をそれぞれ示している。これらのＤＢは、通信端末１５０のＨＤＤ１５４に記憶する。

まず、証明書管理機器一覧ＤＢには、生産工場Ｅで生産する装置の機種コード一覧と、各機種について個別証明書の有無の情報を記載している。遠隔管理に対応していない機種には、個別証明書を設定する必要がないので、その設定の要否を示したものである。そして、設定の必要な装置についてのみ、以下に説明する個別証明書セットの取得及び設定に関する処理を行うようにしている。
また、生産計画ＤＢには、生産工場Ｅにおける各日の機種毎の生産予定台数を記載している。そして、このデータは、毎月所定のタイミングで（予め決められた日時に）通信端末１５０が生産管理装置１４０から取得して更新する（図２５のI）。

また、通信端末１５０は、毎日所定のタイミングで（予め決められた時刻に）、上記の証明書管理機器一覧ＤＢおよび生産計画ＤＢに基づいて、当日生産予定の各通信装置に設定すべき個別証明書セットの送信を要求する証明書発行要求を生成して証明書管理装置４００に送信する。具体的には、個別証明書セットを設定すべき通信装置の識別情報（機種機番情報）を付した証明書発行要求を送信する。

すると、証明書管理装置４００がこれに応じてその証明書発行要求と共に受信した機種機番情報を個別公開鍵証明書に含む個別証明書セットを生成し、通信端末１５０に送信してくるので、通信端末１５０はこれを受信して証明書ＤＢ１５４ａに記憶する（II）。機種機番情報が複数の場合には、証明書管理装置４００は、受信した機種機番情報の各々について、それを個別公開鍵証明書に含む個別証明書セットを生成して送信する。
この部分の処理において、通信端末１５０のＣＰＵ１５１及び通信Ｉ／Ｆ１５５が発行要求送信手段（送信手段）及び受信手段として機能し、証明書管理装置４００のＣＰＵ１３１及び通信Ｉ／Ｆ１３５が証明書送信手段として機能する。

なお、通信端末１５０は、機種機番情報を自ら生成することもできるし、生産管理装置１４０が生成したものを取得することもできるが、生産管理の観点からは、後者の方が好ましい。また、１つの証明書発行要求に生産予定台数分の機種機番情報を付してもよいし、機種機番情報１つ又は所定数毎に別々の証明書発行要求を送信するようにしてもよい。

ここで、上記の証明書ＤＢ１５４ａの例を図２７に、証明書管理装置４００と通信端末１５０との通信時のデータフォーマットの一例を図２８に示す。
図２７に示すように、証明書ＤＢ１５４ａには、機種機番別の証明書セット，その作成日，書き込み済みフラグの状態を示している。そのうち、証明書セットは、ルート鍵証明書，公開鍵証明書，私有鍵のセットになっている。書き込み済みフラグは、対象の通信装置への設定が完了したか否かを示すフラグである。

また、上記の証明書発行要求及び、証明書管理装置４００からの証明書の送信は、図２８に示すようなＳＯＡＰメッセージの形式で行う。証明書発行要求はＳＯＡＰリクエスト、証明書はそのＳＯＡＰリクエストに対するＳＯＡＰレスポンスとして送信する。そして、これらのメッセージは構造化言語であるＸＭＬの形式で記載されており、具体例はそれぞれ図２９及び図３０に示すものとなる。
この例において、図２９に示すＳＯＡＰリクエストでは、ＳＯＡＰボディに、証明書発行要求であることを示す「証明書発行要求」タグを設け、その下位のタグに、証明書セットを設定する予定の装置の機種機番情報を複数記載している。また、図３０に示すＳＯＡＰレスポンスでは、ＳＯＡＰボディに、証明書発行要求に対する応答であることを示す「証明書発行要求response」タグを設け、その下位のタグに、証明書発行要求に記載されていた機種機番毎に、その機種機番の装置に対して発行したルート鍵証明書、公開鍵証明書、私有鍵の証明書セットを記載している。

図２５の説明に戻る。次に、生産用ラインにおいて組み立てられ、検査を受けた画像形成装置１００が、機番を付され、定格銘板１７０を貼付されて個別証明書の設定工程に供されると、作業員が、これを書き込み用Ｉ／Ｆ１６５ｂを介して工場端末１６０ｂと接続した上でバーコードリーダ１４１ｂで定格銘板１７０のバーコードＢＣを読み取り、その画像形成装置１００の機種機番を工場端末１６０ｂに入力する（III）。

すると、工場端末１６０ｂはその機種機番を含む証明書セットの送信要求を通信端末１５０に送信する。そして、この要求を受信した通信端末１５０は、これに応じて、指定された機種機番と対応する（指定された機種機番と同じ機種機番を公開鍵証明書に含む）証明書セットをＨＤＤ１５４内の証明書ＤＢ１５４ａから読み出して工場端末１６０へ送信する。
これを受信した工場端末１６０は、書き込み用Ｉ／Ｆ１６５ｂを介して接続されている画像形成装置１００（機種機番が読み取られた画像形成装置）に対して、通信端末１５０から受信した証明書セットを証明書設定要求と共に送信し、これを個別証明書セットとして設定するよう要求する（IV）。

一方、画像形成装置１００は、この要求を受信すると、この要求と共に受信した証明書セットを、ＮＶＲＡＭ２０４に設けた個別証明書メモリに書き込んで設定し、その結果を証明書設定要求に対する応答として工場端末１６０に送信する。
この部分の処理において、工場端末１６０のＣＰＵ１６１及び通信Ｉ／Ｆ１６４が設定手段として機能する。

なお、工場端末１６０と画像形成装置１００との間で通信を行う際には、画像形成装置１００に既に記憶させてある共通証明書セットを利用し、ＳＳＬによる認証処理を行うとよい。このとき、工場端末１６０ｂにも適当な証明書セットを記憶させておけば、相互認証も可能である。このような認証処理を行うことにより、画像形成装置１００が誤った工場端末から受信した証明書セットを設定したり、工場端末１６０ｂが無関係な装置に証明書セットを送信してしまったりすることを防止できる。また、画像形成装置１００に、証明書セットを何らかの暗号化方式によって暗号化した状態で設定させ、メモリダンプ等によって私有鍵等を抜き取られないようにすることも考えられる。
さらに、バーコードリーダ１４１と工場端末１６０との間の通信や、工場端末１６０と通信端末１５０との間の通信にもＳＳＬを使用するようにすると、さらにセキュリティを向上させることができる。

ここで、以上の処理における通信端末１５０と工場端末１６０との間の通信に係るデータフォーマットの一例を図３１に、工場端末１６０と画像形成装置１００との間の通信に係るデータフォーマットの一例を図３２にそれぞれ示す。
これらの図からわかるように、通信端末１５０と工場端末１６０との間及び工場端末１６０と画像形成装置１００との間の通信も、ＳＯＡＰメッセージを送受信することによって行っている。そして、証明書送信要求及び証明書設定要求がＳＯＡＰリクエストに該当し、これらに応じた証明書や設定結果の送信がＳＯＡＰレスポンスに該当する。

図２５の説明に戻る。
工場端末１６０は、画像形成装置１００から証明書設定要求に対する応答を受信すると、その内容を通信端末１５０に通知する。そして通信端末１５０は、この通知を受け取ると、設定が成功していた場合には、証明書ＤＢにおいて書き込みが完了した証明書セットについての書込み済フラグをＯＮ（済み）に設定し、このことを示して証明書セットの重複使用を防止する。また、このことにより証明書セットの設定が完了した通信装置を容易に特定できるので、生産性を向上させることができる。
また、設定が失敗していた場合には、図示は省略したが、証明書発行要求を証明書管理装置４００に送信して、書き込みが失敗した証明書セットと同じ機種機番情報を含む証明書セットを再度取得して、上述と同様な処理により、通信端末１５０への再設定を試みる。

また、証明書ＤＢ１５４ａに同じ証明書を長く保持すると、セキュリティの問題もあるため、書き込みの完了した証明書は、定期的にチェックして削除するようにするとよい。工場端末１６０から設定成功の通知を受けた場合に、直ちに対応する証明書を証明書ＤＢ１５４ａから削除するようにしてもよい。
以上の処理により、通信端末１５０が、生産管理装置１４０から取得した生産計画に従って、識別情報として機種機番情報を含む証明書セットを必要な数だけ証明書管理装置４００から取得し、生産した各通信装置（画像形成装置１００,１１０や仲介装置１０１等）に工場端末１６０を介して設定することができる。

そして、以上のような構成及び処理を採用することにより、以下のような効果を得ることができる。
まず、通信端末１５０が証明書発行要求と共にその証明書セットを設定する通信装置の識別情報を証明書管理装置４００に送信し、これに応じて証明書管理装置４００が送信する、証明書発行要求と共に送信した識別情報を公開鍵証明書に含む証明書セットを、通信装置が受信するようにしたことにより、各通信装置毎にその通信装置の識別情報を含む公開鍵証明書を設定するようにし、装置毎に異なる証明書セットを記憶させる場合であっても、各通信装置に設定すべき証明書セットを容易に取得することができる。
また、このように取得した証明書セットを、証明書セット中の公開鍵証明書に含まれる識別情報と同じ識別情報を有する通信装置に設定することにより、各通信装置毎にその通信装置の識別情報を含む公開鍵証明書を設定する場合であっても、各通信装置に設定すべき証明書セットを容易に設定することができる。

そして、このように自身の識別情報を含む公開鍵証明書を各通信装置に設定し、これをＳＳＬによる認証処理に使用するようにすれば、認証処理において、公開鍵証明書に含まれる識別情報を使用することができる。公開鍵証明書に含まれる識別情報を改竄することは実質的に不可能である（改竄された場合にはデジタル署名との照合によりそれがわかる）から、このようにすることにより、他の装置になりすますことは困難となる。従って、上記のように識別情報を含む証明書セットを取得、設定することにより、悪意のユーザによる「なりすまし」が困難な通信装置を容易に提供することができる。
また、通信端末１５０が、証明書管理装置４００に送信する識別情報を、生産管理装置１４０から取得するようにすれば、各生産工場で生産する通信装置の識別情報を生産管理装置１４０で一元管理することができ、効率的な管理を行うことができる。

また、生産した通信装置と対にしてその通信装置の識別情報を配置しておき、読取手段によってこの識別情報を読み取って工場端末１６０に入力し、これに応じて工場端末１６０が、入力された識別情報と同じ識別情報を含むデジタル証明書を通信端末１５０から取得してその識別情報と対になっている通信装置に設定するようにしたことにより、各通信装置に、その通信装置の識別情報と同じ識別情報を含む証明書を間違いなく設定することができる。
この場合において、上述の実施形態では、作業員がバーコードリーダ１４１で定格銘板１７０上のバーコードを読み取る例について説明したが、固定のバーコードリーダで読み取りを行ったり、数字や文字で記載した識別情報を撮像して画像認識で読み取るようにしてもよい。また、定格銘板ではなく、チェックシートのようなものを使用してもよい。さらにまた、通信端末１５０の入力装置１５６から手動で識別情報を入力することも考えられる。

また、通信端末１５０が、所定期間内に生産する予定の台数分のみの通信装置の証明書セットを取得して記憶しておくようにすれば、万一通信端末から証明書セットが漏洩した場合でも、将来生産する台数分の多くの証明書セットを溜めておく場合に比べ、セキュリティ面への影響を低減することができる。
しかし、溜めておく数があまり少ないと、通信端末１５０と証明書管理装置４００との間の通信に何らかの理由で異常が生じた場合に装置の生産に支障が出ることが考えられるので、ある程度の期間分は溜めておくことが好ましい。そこで、上述の実施形態では１日分ずつ取得して記憶するものとしたが、数日あるいは１週間分等としてもよい。通信に異常が生じた場合でも生産態勢を維持できるようにすることを重視するのであれば、１ヶ月分程度を取得してしまうことも考えられる。また、生産計画ＤＢの更新も、月１回に限られない。

さらにまた、ある機種の生産を打ち切る場合には、証明書セットが通信端末１５０に残らないように計画的に処理を行うが、何らかの事情で通信端末１５０の証明書ＤＢ１５４ａに生産が打ち切りとなった通信装置の機種に対応する証明書が残ったままになっていた場合には、管理責任者が通信端末１５０の入力装置１５６を操作することにより、対応する証明書を証明書ＤＢ１５４ａから削除（消去）することもできる。
また、通信端末１５０のＣＰＵ１５１は、現在有している機種毎の証明書の数と当日使用した証明書の数を表示装置１５７に表示させることもできる。

さらに、証明書ＤＢ１５４ａを設けず、通信端末１５０が工場端末１６０から証明書送信要求を受信した場合に、その証明書受信要求と共に受信した機種機番情報を証明書発行要求に付して証明書管理装置４００に送信し、証明書セットの発行を受けて工場端末１６０に返すような構成も採り得る。証明書管理装置４００の処理速度が十分であれば、このような構成でも問題はなく、このようにすれば、証明書ＤＢが不要であるので、低コスト化を図ることができる。
また、以上の実施形態においては、公開鍵証明書を証明書セットの形で設定する例について説明したが、ルート鍵証明書については、公開鍵証明書や私有鍵と同時に設定することは必須ではない。

以上、この発明を画像形成装置１００，１１０，および仲介装置１０１の不揮発性メモリに証明書を書き込むための通信端末１５０および工場端末１６０に適用した実施形態について説明したが、この発明はこれに限らず、ネットワーク家電，自動販売機，医療機器，電源装置，空調システム，ガス・水道・電気等の計量システム,自動車,航空機等に通信機能を設けた通信装置や、ネットワークに接続可能なコンピュータ等の通信装置の不揮発性メモリに証明書を書き込むための装置やシステムにも適用可能である。

例えば、図１に示した遠隔管理システムにおいて、これらの各装置を被管理装置とし、図３３に示すような遠隔管理システムを構成することが考えられる。この図においては、仲介装置１０１を別途設ける被管理装置の例としてテレビ受像機１２ａや冷蔵庫１２ｂのようなネットワーク家電、医療機器１２ｃ，自動販売機１２ｄ，計量システム１２ｅ，空調システム１２ｆを挙げている。そして、仲介装置１０１の機能を併せ持つ被管理装置の例として、自動車１３ａや航空機１３ｂを挙げている。また、自動車１３ａや航空機１３ｂのように広範囲を移動する装置においては、ファイアウォール（ＦＷ）１０４の機能も併せ持つようにすることが好ましい。
このような遠隔管理システムにおいて被管理装置となる各装置の不揮発性メモリに証明書を書き込むための装置やシステムにも、この発明はもちろん適用可能である。

また、証明書管理装置４００,生産管理装置１４０,通信端末１５０,工場端末１６０等の各装置は、各々１つの装置として構成する必要はなく、複数の装置からなるシステムとして構成することも当然可能である。逆に、これらのうち複数の装置の機能を１つの装置に持たせるようにしてもよい。また、装置を配置する場所も、上述の実施例の通りに限定されるものではない。

また、この発明によるプログラムは、通信端末１５０および工場端末１６０を制御するコンピュータに、この発明による各機能（送信手段,受信手段,設定手段,その他の手段としての機能）を実現させるためのプログラムであり、このようなプログラムをコンピュータに実行させることにより、上述したような効果を得ることができる。
このようなプログラムは、はじめからコンピュータに備えるＲＯＭあるいはＨＤＤ等の記憶手段に格納しておいてもよいが、記録媒体であるＣＤ−ＲＯＭあるいはフレキシブルディスク，ＳＲＡＭ，ＥＥＰＲＯＭ，メモリカード等の不揮発性記録媒体（メモリ）に記録して提供することもできる。そのメモリに記録されたプログラムをコンピュータにインストールしてＣＰＵに実行させるか、ＣＰＵにそのメモリからこのプログラムを読み出して実行させることにより、上述した各手順を実行させることができる。
さらに、ネットワークに接続され、プログラムを記録した記録媒体を備える外部機器あるいはプログラムを記憶手段に記憶した外部機器からダウンロードして実行させることも可能である。

〔変形例：図３４,図３５〕
次に、上述した実施形態の変形例について説明する。
この変形例は、生産工場Ｅ内に証明書管理装置をミラーするミラーサーバを設けた点が上述した実施形態と異なるが、その他の点はほぼ同様であるので、相違点を中心に説明する。
図３４は、この変形例において通信装置の生産工場及び関連施設に設けるデジタル証明書の設定に関連する設備の構成例を示す、図１７と対応するブロック図である。

この図からわかるように、この変形例においては、生産工場Ｅに証明書管理装置４００をミラーするＣＡミラーサーバ４１０を設けている。そして、生産管理装置１４０から証明書管理装置４００に直接生産予定の通信装置の機種機番を送信し、その機種機番情報を公開鍵証明書に含む証明書セットを発行させるようにしている。
証明書管理装置４００が発行した証明書は、これをミラーするＣＡミラーサーバ４１０に自動的に転送されるので、通信端末１５０は、このＣＡミラーサーバ４１０から必要な証明書セットを取得することができる。従って、証明書管理装置４００から受信した証明書セットを記憶しておく証明書ＤＢは不要であるので、ここでは設けていない。

なお、証明書管理装置４００とＣＡミラーサーバ４１０との間の通信は、ＳＳＬ方式で行う。また、ＣＡミラーサーバ４１０は、証明書管理装置４００の全てのデータをミラーする必要はなく、生産工場Ｅで使用する証明書セットを記憶している領域のデータのみミラーすれば足りる。また、一方向ミラーでも双方向ミラーでもよい。
また、生産管理装置１４０は、通信端末１５０とも通信を行い、機種毎の生産予定台数や生産する装置の機種機番情報等を送信し、生産工場Ｅでの生産計画や、生産した通信装置に付すべき機番を指示する。このようにすることにより、証明書管理装置４００で発行され、ＣＡミラーサーバ４１０に転送された証明書セットに含まれる機種機番と、生産工場Ｅで生産される通信装置に付される機種機番との間で食い違いが生じないようにすることができる。

次に、この変形例における個別証明書の設定に関する動作及び処理について説明する。図３４は、この変形例において個別証明書の設定に関与する装置が個別証明書の設定に関連して行う処理の流れを示す、図２５と対応するシーケンス図である。この図におけるローマ数字は、図３２に示したローマ数字と対応する通信であることを示す。

この変形例においては、生産管理装置１４０が、毎日所定のタイミングで、証明書管理機器一覧ＤＢおよび生産計画ＤＢに基づいて、当日生産予定の各通信装置に付与すべき機種機番を生成し、証明書管理装置４００に送信する（I）。なお、この送信の際、生成した機種機番を全て記載して行うことは必須ではなく、開始番号と台数で記載するような方式も取り得る。
証明書管理装置４００は、この情報を受信すると、受信した機種機番の各々について、その機種機番の情報を公開鍵証明書に含む証明書セットを発行して記憶する。すると、その証明書セットは、ミラーの処理によってＣＡミラーサーバ４１０に転送される（II）。

一方、生産管理装置１４０は、当日生産予定の各機種の通信装置に付与すべき機番を、生産計画情報の一部として通信端末１５０にも送信し、生産した画像形成装置や仲介装置にその機番を付させる。
また、個別証明書の設定工程において、作業員がバーコードリーダ１４１ｂで定格銘板１７０のバーコードＢＣを読み取り、画像形成装置１００の機種機番を工場端末１６０ｂに入力する点は、上述の実施形態の場合と同様である（III）。

すると、工場端末１６０ｂはその機種機番を含む証明書セットの送信要求を通信端末１５０に送信するが、この要求を受信した通信端末１５０は、さらに同様の送信要求をＣＡミラーサーバ４１０に送信する。すると、ＣＡミラーサーバ４１０はこれに応じて、指定された機種機番と対応する証明書セットを記憶手段から読み出して通信端末１５０へ送信する。通信端末１５０は、工場端末１６０ｂからの送信要求に対する応答として、その証明書セットを工場端末１６０ｂに送信する。

これを受信した工場端末１６０が、画像形成装置１００に対して通信端末１５０から受信した証明書セットを送信し、個別証明書セットとして設定させる点は、上述の実施形態の場合と同様である（IV）。そして、工場端末１６０は、画像形成装置１００から証明書設定要求に対する応答を受信すると、その内容を通信端末１５０に通知するが、書込み済みフラグの設定は行わない。
ここで、書込み済みフラグの設定を行わないのは、設定したとしてもミラー処理時に証明書管理装置４００における記憶内容が上書きされて消されてしまうからであるが、ミラーしない領域に書込み済みフラグを記憶することはできる。

また、書込みの終了した証明書セットの消去は、証明書管理装置４００が定期的に行うものとする。例えば、証明書セットの発行を１日に生産する予定の台数分ずつ行うのであれば、発行してから１日経った証明書セットは、通信装置への設定が完了していると考えられるので、書込み済みフラグを用いなくても、これを基準に消去すべき証明書セットを選択することができる。そして、証明書管理装置４００側で消去された証明書セットは、ミラー処理により、ＣＡミラーサーバ４１０側でも消去されることになる。証明書管理装置４００側で発行した証明書セットを保存しておきたい場合には、証明書セットをＣＡミラーサーバ４１０にミラーしない記憶領域に移すことも考えられる。

以上の処理により、識別情報として機種機番情報を含む証明書セットを必要な数だけ証明書管理装置４００に発行させ、通信端末１５０がこれを取得して、生産した各通信装置（画像形成装置１００,１１０や仲介装置１０１等）に工場端末１６０を介して設定することができる。
そして、この変形例の構成及び処理によっても、上述した実施例の場合と同様な効果を得ることができる。
また、この変形例においても、上述の実施形態において説明した変形を適用できることは、もちろんである。逆に、この変形例の一部を上述の実施形態に適用することもできる。

以上説明してきたように、この発明の通信装置の製造方法及び製造システムによれば、悪意のユーザによる「なりすまし」が困難な通信装置を容易に提供できるようにすることができると共に、万一生産設備からデジタル証明書が漏洩した場合のセキュリティ面への影響を低減することができる。
従って、これらを利用して製造した通信装置によって通信システムや遠隔管理システムを構成することにより、安全性の高いシステムを提供することができる。

この発明においてデジタル証明書の設定対象となる通信装置を被管理装置とする遠隔管理システムの構成例を示す概念図である。 その遠隔管理システムにおけるデータ送受モデルを示す概念図である。 この発明においてデジタル証明書の設定対象となる通信装置である画像形成装置を被管理装置とする画像形成装置遠隔管理システムの構成例を示す概念図である。 図３に示した各装置を、この発明に関連する他の装置と共に示す図である。 図３に示した画像形成装置のハードウェア構成例を示すブロック図である。 その画像形成装置に備えるメモリにおける記憶エリアの構成例を示すメモリマップ図である。 図３に示した画像形成装置のソフトウェア構成例を示すブロック図である。 図７に示したＮＲＳアプリの構成例を示す機能ブロック図である。 図３に示した管理装置の概略構成例を示すブロック図である。 図３に示した画像形成装置及び仲介装置が記憶する証明書及び鍵の種類を示す図である。

同じく管理装置が認証処理に用いる証明書及び鍵の種類を示す図である。 証明書セットの構成例を示す図である。 図３に示した各ノードに記憶させる公開鍵証明書のフォーマット例を示す図である。 図１３のフォーマットに従った公開鍵証明書の具体例を示す図である。 図３に示した画像形成装置管理システムにおいて、画像形成装置が自身における異常発生を検知した場合の動作シーケンスの例を示す図である。 図１５に示した処理において行う相互認証処理の一部を示す図である。 図３に示した画像形成装置や仲介装置を生産する生産工場及び関連施設に設ける、デジタル証明書の設定に関連する設備の構成例を示すブロック図である。 図１７に示した証明書管理装置のハードウェア構成例を示すブロック図である。 図１７に示した通信端末のハードウェア構成例を示すブロック図である。 図１７に示した工場端末のハードウェア構成例を示すブロック図である。

図１７に示した生産工場Ｅにおける通信端末および工場端末の周辺の状況の概略を示す図である。 図２１に示した工場端末とバーコードリーダと生産する通信装置との間の接続例を示す図である。 図２１に示した生産用ラインで生産される画像形成装置に貼付する定格銘板の一例を示す図である。 図２１に示した生産工場Ｅの各生産用ラインで生産される通信装置の生産工程の一例を示す説明図である。 図１７に示した生産工場Ｅでの個別証明書の設定に関与する装置が、個別証明書の設定に関連して行う処理の流れを示すシーケンス図である。 図１７に示した通信端末が生産管理装置から取得する工場製造管理ＤＢの一例を示す図である。 図１７に示した通信端末が記憶する証明書ＤＢの例を示す図である。 図２５に示した証明書管理装置と通信端末との間の通信時のデータフォーマットの一例を示す図である。 図２８に示した証明書発行要求を記載したＳＯＡＰメッセージの具体例を示す図である。 その要求に対する応答を記載したＳＯＡＰメッセージの具体例を示す図である。

図２５に示した通信端末と工場端末と間の通信時のデータフォーマットの一例を示す図である。 図２５に示した工場端末と通信装置（画像形成装置等）との通信時のデータフォーマットの一例を示す図である。 図１に示した遠隔管理システムの別の構成例を示す図である。 この発明の実施形態の変形例において通信装置の生産工場及び関連施設に設けるデジタル証明書の設定に関連する設備の構成例を示す、図１７と対応するブロック図である。 同じく個別証明書の設定に関与する装置が個別証明書の設定に関連して行う処理の流れを示す、図２５と対応するシーケンス図である。 クライアント装置とサーバ装置とがＳＳＬによる相互認証を行う際の各装置において実行する処理のフローチャートを、その処理に用いる情報と共に示す図である。 図３６に示した認証処理におけるルート鍵、ルート私有鍵、およびクライアント公開鍵の関係について説明するための図である。

符号の説明

１０：被管理装置 １１：仲介機能付被管理装置
１００：画像形成装置 １０１：仲介装置
１０２：管理装置 １０３：インタネット
１０４：ファイアウォール
１１０：仲介機能付画像形成装置
１３１，１５１，１６１，２０１：ＣＰＵ
１３２，１５２，１６２：ＲＯＭ
１３３，１５３，１６３：ＲＡＭ
１３４，１５４，２１０：ＨＤＤ
１３５，１５５，１６４：通信Ｉ／Ｆ
１５６：入力装置 １５７：表示装置
１４０：生産管理装置 １４１：バーコードリーダ
１５０，６０２：通信端末 １６０：工場端末
１７０：定格銘板 ２０２：ＡＳＩＣ
２０３：ＳＤＲＡＭ ２０４：ＮＶＲＡＭ
２０５：ＮＲＳ用メモリ ２０６：ＰＨＹ
２０９：操作部 ２１２：ＰＩ
３００：ＯＣＳ ３０１：ＥＣＳ
３０２：ＭＣＳ ３０３：ＮＣＳ
３０４：ＦＣＳ ３０５：ＣＳＳ
３０６：ＳＣＳ ３０７：ＳＲＭ
３０８：ＩＭＨ ３０９：コピーアプリ
３１０：ファクスアプリ ３１１：プリンタアプリ
３１２：スキャナアプリ
３１３：ネットファイルアプリ ３１４：ウェブアプリ
３１５：ＮＲＳアプリ ４００：証明書管理装置
４１０：ＣＡミラーサーバ ６０１：モデム
６０３：外部接続Ｉ／Ｆ ６０４：操作者端末
６０５：制御装置 ６０６：ファイルサーバ

Claims (11)

1. 通信装置の製造方法であって、
   通信装置に証明書を設定するための証明書設定装置が、証明書の発行要求と共に、所定期間内における前記通信装置の生産予定台数分の、通信装置毎に異なる識別情報を証明書管理装置に送信する第１の工程と、
   前記証明書管理装置が、前記生産予定台数分の通信装置毎に異なる識別情報のうち一つの識別情報を含む証明書を、該異なる識別情報毎に生成して、前記証明書設定装置へ送信する第２の工程と、
   前記証明書設定装置、前記証明書管理装置から送信された証明書を記憶する第３の工程と、
   前記証明書設定装置が、前記所定期間内に組み立てられた所定の通信装置に、前記証明書管理装置に送信した前記生産予定台数分の通信装置毎に異なる識別情報のうち一つの識別情報を付す第４の工程と、
   前記証明書設定装置が、前記第３の工程で記憶した証明書のうち、前記第４の工程で前記所定の通信装置に付した識別情報を含む証明書を、前記所定の通信装置に設定する第５の工程とを有することを特徴とする通信装置の製造方法。
2. 請求項１に記載の通信装置の製造方法であって、
   前記証明書設定装置は、前記所定の期間内における前記通信装置の生産予定台数を示す生産管理情報を、前記通信装置の生産計画を管理する生産管理装置から取得し、該生産管理情報に基づき、前記第１の工程において前記所定期間内における前記通信装置の生産予定台数分の通信装置の識別情報を証明書管理装置に送信することを特徴とする通信装置の製造方法。
3. 通信装置の製造方法であって、
   通信装置に証明書を設定するための証明書設定装置が、通信装置の機種毎に該機種の所定期間内の生産予定台数及び証明書設定要否を示す生産管理情報に基づき、証明書の発行要求と共に、証明書の設定を要する通信装置について、所定期間内における該通信装置の生産予定台数分の、通信装置毎に異なる識別情報を証明書管理装置に送信する第１の工程と、
   前記証明書管理装置が、前記生産予定台数分の通信装置毎に異なる識別情報のうち一つの識別情報を含む証明書を、該異なる識別情報毎に生成して、前記証明書設定装置へ送信する第２の工程と、
   前記証明書設定装置が、前記証明書管理装置から送信された証明書を記憶する第３の工程と、
   前記証明書設定装置が、前記生産管理情報に基づき、前記所定期間内に組み立てられた証明書の設定を要する機種の所定の通信装置に、前記証明書管理装置に送信した前記生産予定台数分の通信装置毎に異なる識別情報のうち、その機種の通信装置の一つの識別情報を付す第４の工程と、
   前記証明書設定装置が、前記第３の工程で記憶した証明書のうち、前記第４の工程で前記所定の通信装置に付した識別情報を含む証明書を、前記所定の通信装置に設定する第５の工程とを有することを特徴とする通信装置の製造方法。
4. 請求項２に記載の通信装置の製造方法であって、
   前記証明書設定装置は、前記生産管理情報を、前記通信装置の生産計画を管理する生産管理装置から取得することを特徴とする通信装置の製造方法。
5. 請求項１乃至４のいずれか一項に記載の通信装置の製造方法であって、
   前記識別情報は、機種コードとシリアル番号を含む情報であることを特徴とする通信装置の製造方法。
6. 請求項１乃至６のいずれか一項に記載の通信装置の製造方法であって、
   前記第４の工程において、前記通信装置と対にしてその通信装置に付した識別情報を配置しておき、
   前記第５の工程において、読取手段によってこの識別情報を読み取って前記証明書設定装置に入力し、これに応じて該証明書設定装置が、入力された識別情報と同じ識別情報を含む証明書を、その識別情報と対になっている通信装置に設定するようにしたことを特徴とする通信装置の製造方法。
7. 通信装置を製造する製造システムであって、
   通信装置に証明書を設定するための証明書設定装置を有し、
   該証明書設定装置が、
   証明書の発行要求と共に、所定期間内における前記通信装置の生産予定台数分の、通信装置毎に異なる識別情報を証明書管理装置に送信する第１の手段と、
   前記第１の手段が送信した証明書の発行要求に応じて前記証明書管理装置が送信してくる、前記生産予定台数分の通信装置毎に異なる識別情報のうち一つの識別情報を含む、該異なる識別情報毎の証明書を記憶する第２の手段と、
   前記所定期間内に組み立てられた所定の通信装置に、前記証明書管理装置に送信した前記生産予定台数分の通信装置毎に異なる識別情報のうち１つの識別情報を付す第３の手段と、
   前記組み立てられた通信装置に付された識別情報を読み取る読取手段と、
   前記組み立てられた通信装置と通信可能に接続するための接続手段と、
   前記第２の手段が記憶した証明書のうち、前記読取手段が読み取った識別情報と同じ識別情報を含む証明書を、前記接続手段によって接続された通信装置に送信して設定させる第４の手段とを備えたことを特徴とする製造システム。
8. 請求項７に記載の製造システムであって、
   前記証明書設定装置は、
   前記所定の期間内における前記通信装置の生産予定台数を示す生産管理情報を、前記通信装置の生産計画を管理する生産管理装置から取得する取得手段を有し、前記第１の手段は、該取得手段が取得した生産管理情報に基づき、前記所定期間内における前記通信装置の生産予定台数分の通信装置の識別情報を証明書管理装置に送信することを特徴とする製造システム。
9. 通信装置を製造する製造システムであって、
   通信装置に証明書を設定するための証明書設定装置を有し、
   該証明書設定装置が、
   通信装置の機種毎に該機種の所定期間内の生産予定台数及び証明書設定要否を示す生産管理情報に基づき、証明書の発行要求と共に、証明書の設定を要する通信装置について、所定期間内における該通信装置の生産予定台数分の、通信装置毎に異なる識別情報を証明書管理装置に送信する第１の手段と、
   前記第１の手段が送信した証明書の発行要求に応じて前記証明書管理装置が送信してくる、前記生産予定台数分の通信装置毎に異なる識別情報のうち一つの識別情報を含む、該異なる識別情報毎の証明書を記憶する第２の手段と、
   前記生産管理情報に基づき、前記所定期間内に組み立てられた証明書の設定を要する機種の所定の通信装置に、前記証明書管理装置に送信した前記生産予定台数分の通信装置毎に異なる識別情報のうち、その機種の通信装置の一つの識別情報を付す第３の手段と、
   前記組み立てられた通信装置に付された識別情報を読み取る読取手段と、
   前記組み立てられた通信装置と通信可能に接続するための接続手段と、
   前記第２の手段が記憶した証明書のうち、前記読取手段が読み取った識別情報と同じ識別情報を含む証明書を、前記接続手段によって接続された通信装置に送信して設定させる第４の手段とを備えたことを特徴とする製造システム。
10. 請求項９に記載の製造システムであって、
    前記証明書設定装置は、前記生産管理情報を、前記通信装置の生産計画を管理する生産管理装置から取得する取得手段を有することを特徴とする製造システム。
11. 請求項７乃至１０のいずれか一項に記載の製造システムであって、
    前記識別情報は、機種コードとシリアル番号を含む情報であることを特徴とする製造システム。

Images