JP4980809B2 - 画像形成装置、画像形成装置の起動方法、およびプログラム - Google Patents

Description

本発明は、画像形成に関し、より詳細には、記録媒体に登録された少なくとも１つのファームウェア設定に関連する構成情報を利用して画像形成を行う、画像形成装置、画像形成装置に起動方法、およびプログラムに関する。

近年、ＳＤカード、ハードディスク装置、ＥＥＰＲＯＭ、ＥＰＲＯＭ、ＮＶＲＡＭなどの書換え可能な記録媒体を実装する画像形成装置が知られている。記録媒体に登録された情報は、画像形成装置の起動時またはユーザからの読み取り指令などにより画像形成装置が読み出され、画像形成装置の処理実行のためのプログラムや各種データを提供する。

例えば、特開２００４−３１８８７１号公報（特許文献１）では、更新用ＯＳをダウンロードして記憶させ、それとは別にリカバリプログラムを格納しておき、ダウンロードの成功または失敗に対応して、起動用プログラムの読み出し先を変更する画像形成装置を開示している。

画像形成装置側では、記録媒体から取得したデータを使用して画像形成装置のセットアップを開始したり、またジョブ実行のためのハードウェアのセットアップを開始して、画像形成処理を開始する。

また、特開２００４−１６５７３４号公報（特許文献２）は、トラブル発生時のファームウェアの更新処理を開示する。しかしながら、画像形成装置がスムースに画像形成処理に遷移できるように、外部から移植される構成情報を検査する技術については何ら開示するものではない。
特開２００４−３１８８７１号公報 特開２００４−１６５７３４号公報

すなわち、従来の画像形成装置では、記録媒体から取得したファームウェア設定に関連するオプション設定のデータやプログラムを読み込んでセットアップ処理を実行させる場合、画像形成装置のその時点でのオプション設定やプログラムなどの構成情報と適合していない場合も想定される。構成情報が適合していない環境で画像形成装置をリブートする場合、オプション設定などによっては、他の機能が利用不能となったり、ハードウェアモジュールの不具合を生じさせるケースも想定される。このような状況は発生すると、ユーザは、スムーズな画像形成処理を開始できず、かえって処理効率の低下を招くことになる。

上述したファームウェア構成の装置であって、スムーズな画像形成の障害となる設定の不整合を、コンフリクトとして参照する。

上述したハードウェア設定などの装置の他、近年では、オプション設定としてセキュリティ設定も設定可能な場合も想定される。セキュリティレベルを装置管理者やスーパユーザのレベルまで引き上げた構成情報を取得してしまうと無条件に画像形成装置が保有する個人情報などが取得されてしまうという不都合も想定される。

セキュリティ設定は、ハードウェア構成や設定などのコンフリクトとして参照するファームウェア設定の不具合ではない。しかしながら、画像形成装置がネットワークを経由してデータサーバなどに接続されている場合には、画像形成装置を介してより重大な情報漏洩を引き起こす可能性がある。

本発明は、上記従来技術の問題点に鑑みてなされたものであり、ファームウェア構成などの構成情報を記録媒体から取得して、よりスムーズ、かつ高いセキュリティ条件下で画像形成を行うことが可能な、画像形成装置、画像形成装置の起動方法、およびプログラムを提供することを目的とする。

本発明は、ＳＤカード、スマートメディア、ＵＳＢメモリなどの記録媒体から取得したプログラムやデータを使用して、よりスムーズな画像形成を実行するため、画像形成装置は、構成情報を、一時記憶手段に一旦登録する。着脱自在な記録媒体から取得した構成情報は、画像形成装置がＮＶＲＡＭなどの不揮発性記憶媒体に登録された構成情報である現在構成と比較・検査される。

なお、本発明では、画像形成装置をその時点で起動するべきファームウェア設定を含む構成情報を現在構成として参照する。また、本発明では、ファームウェアとして許容可能なオプション機能、プログラム識別値、プログラムバージョン、セキュリティ設定の少なくとも１つを含むファームウェア構成を、構成情報として参照する。

現在構成は、画像形成装置が初期起動される場合に、ＢＯＯＴＰプロトコルなどにしたがって読み出しが行われるＮＶＲＡＭなどに登録されるデータである。また、現在構成とは、画像形成装置が省エネモードに遷移している場合であって、ＲＡＭ内のデータをＮＶＲＡＭなどに退避させている場合、退避先からＲＡＭ内に再構成される場合に再現される構成のことを意味する。

また、構成情報は、本発明にしたがい、承認が得られたとき、現在構成の対応する項目を更新し、現在構成を更新することが可能なデータを意味する。承認が得られない場合、構成情報は破棄され、画像形成装置の現在構成として利用されない。

また、画像形成装置は、当該比較・検査が終了するまで、比較および検査のための処理手段以外、他の制御システムに関連する起動指令を発行せず、この結果、他手段の起動が阻止される。

このため、構成情報の承認を行うための制御システムしか起動させない。したがって、画像形成装置は記録媒体からの構成情報を自動読み込みする設定、または手動読み込みする設定にかかわらず、画像形成装置が記録媒体の構成情報をそのまま使用して自動的に起動されることによる問題を防止することができる。また、ユーザおよびセキュリティ設定に関するオプション設定が修正される場合についても検査・検査される。セキュリティ設定の照合結果についても装置管理者に通知され、ユーザおよび装置管理者による承認を受けた後に画像形成装置の起動が許可される。

悪意あるユーザが、装置管理者やスーパユーザの権原でアクセスしようとしても、正当な装置管理者による承認がない限り、画像形成装置は起動されず、情報漏洩に対しても高いロバスト性を付与することができる。

上記処理のため、画像形成装置は、記録媒体を介したアクセスを受領すると、直ちに指令される動作を行うのではなく、承認手段のみを起動し、記録媒体から取得した構成情報を、バッファメモリなどの一時記憶手段に格納する。一時記憶手段に格納された構成情報は、承認手段により、画像形成装置がＮＶＲＡＭなどの不揮発性記憶手段に登録された現在設定と比較される。承認手段は、ミドルウェアシステムとして提供されており、例えば、特定用途集積回路（ＡＳＩＣ）として構成される制御回路として提供される。この検査の結果、設定変更が必要であると判断された場合、承認手段は、その時点で画像形成装置は、画像形成装置のファームウェア構成の修正を承認する権原を有する装置管理者の承認を要求する。

画像形成装置は、装置管理者のログイン名やパスワードなどの管理者識別値の入力を受け付けない限り、一時記憶装置に登録された構成情報を、現在構成に反映することなく、画像形成装置自体の起動を停止させるか、または現在構成のまま、起動を行う。このため、画像形成装置は、よりスムーズに画像形成操作を行うことが可能となる。また、他の実施形態では、装置管理者は、画像形成装置からのＳＮＭＰプロトコルのトラップコマンドを通して設定変更の可能性を通知されても良い。この実施形態では、装置管理者は、パーソナルコンピュータに表示された変更内容などをチェックし、承認処理を行う。

他の実施形態では、装置管理者は、当該通知を遠隔的に判断してプログラム、オプション機能の変更により生じる画像形成上の問題について判断することが可能となり、よりユーザの負担を軽減しつつ、スムーズに画像形成操作を行うことが可能となる。また、記録媒体に登録されたオプション設定によっては画像形成装置内に蓄積された個人情報などが事由に閲覧可能となる設定も想定できる。このような場合であっても、オプション設定が変更された時点で装置管理者により認証を経ることを可能とし、セキュリティ性を向上させることができる。

以下、本発明につき、実施形態をもって説明するが、本発明は上述する実施形態に限定されるものではない。図１は、本実施形態の画像形成装置１００の機能ブロック図である。画像形成装置１００は、コピー、ファクシミリ、プリンタ、スキャナなどの多機能を提供するＭＦＰ(Multi-Function Peripheral)として構成されている。この目的のため、画像形成装置１００は、プリンタ機能、ファクシミリ機能、スキャナ機能を提供するための、複数のアプリケーション１０２、１０４、１０６とを含んで構成される。アプリケーション１０２〜１０６は、ＡＰＩ(Application
Program Interface)を介して複数のミドルウェアシステムへと処理結果を渡し、またミドルウェアシステムからの指令を受領したＯＳ１２２からの呼出しを受けて処理を開始または停止する。

ミドルウェアシステムは、サービスコントロールシステム（ＳＣＳ）１１２、サーティフィカットシステム（ＣＣＳ）１１４、ログコントロールシステム（ＬＣＳ）１１６、ユーザコントロールサービス（ＵＣＳ）１１８、オペレーションコントロールサービス（ＯＣＳ）１２０などの各種制御システムを実装する。なお、ミドルウェアシステムは、さらに、他の制御システムを含んで実装することができる。これらのミドルウェアシステムのうち、本画像形成装置１００は、ＳＣＳ１１２、ＣＣＳ１１４および説明している実施形態では、ログを記録するためのＬＣＳ１１６がおよびユーザインタフェースを提供するＵＣＳ１１８が承認手段を構成するものとして説明する。なお、ＬＣＳ１１６は、ログ管理を承認プロセスで使用しない場合、承認手段から排除することもできる。

ミドルウェアシステム１１２〜１２０は、ＵＮＩＸ（登録商標）、Ｌｉｎｕｘ（登録商標）などのオペレーティングシステム（以下、単にＯＳとして参照する。）１２２との間で通信を行う。ＯＳ１２２は、中央処理装置（ＣＰＵ）により実行され、システム上の処理およびアプリケーションの実行管理などを行っている。ミドルウェアシステム１１２〜１２０が発生した処理要求は、ミドルウェアシステムのＩ／ＯポートおよびＣＰＵなどのＩ／Ｏポートを介して割込、シリアル通信パラレルなどのデータ送受信などにより通信される。ＯＳ側では、当該割込をＩ／Ｏポートを介して受け付け、例えば、ＯＳ１２２が実装するシグナルハンドラなどを介して、ＯＳのプロセスへと通知され、各種のプロセス間通信を介してデータ処理、アプリケーションの呼出し・終了およびメモリ管理などが制御される。

本実施形態では、ＯＳ１２２は、Ｃ、Ｃ＋＋、Ｊａｖａ（登録商標）などのコンパイラ、リンカなどを実装し、各種言語で記述されたアプリケーションを起動し、プロセス間通信を使用してアプリケーションの管理を行う。ＯＳは、アプリケーションの処理終了および処理結果を各種コントロールシステムに通知して、画像形成装置１００がユーザ指令に基づく画像形成を可能とさせている。

ＯＳ１２２は、画像形成装置１００が起動される場合に、装置設定を行い、起動するべきプログラムをロードさせるための起動モジュール（ＢＲＤ）１２４を含んで実装する。ＢＲＤ１２４は、ＯＳ１２２に標準搭載されたＢＯＯＴＰプロトコルを利用するブートローダを含む構成とすることができる。また、ＢＲＤ１２４は、記録媒体が存在する場合、記録媒体に登録されたプログラムやオプション設定などを含む構成情報を取得する。この場合、ＳＤカードなどの記録媒体に登録された構成情報は、動作に必要とされる全情報とすることもできるし、ユーザがオプションで設定した項目のみを構成情報として登録することができる。

ＢＲＤ１２４は、起動時に、ブート処理に先立ってＳＤカード、スマートメディアスティック型メモリなどの着脱自在の記録媒体から取得したファームウェア構成を含む構成情報を、バッファメモリなどとして構成される一時記憶手段に格納する。また、ＢＲＤ１２４は、ＮＶＲＡＭ（不図示）といった不揮発性記憶手段から、画像形成装置１００のプログラム識別値、プログラムバージョン、オプション設定、セキュリティ設定などの現在構成を取得する。これらの構成情報および現在構成は、比較および検査の効率を考慮して、共通の項目を含んで構成される構成情報リストなどのデータ構造とすることができる。

ＢＲＤ１２４は、記録媒体に記録されたデータと、画像形成装置１００の現在構成との比較結果を使用して、記録媒体の存在および比較の結果に応答した起動処理を各ミドルウェアシステムに通知する。ＢＲＤ１２４による起動処理は、（１）記録媒体が存在しない場合、または比較の結果構成変更がない場合、または常に現在構成で起動する場合、現在構成のまま起動処理を実行する：
（２）記録媒体が存在し、記録媒体のデータと現在構成とが相違している場合であって、ユーザおよび装置管理者の認証が得られた場合、記録媒体から取得したデータを含むように現在構成を更新し、起動処理を実行する：
（３）記録媒体が存在し、記録媒体のデータと現在構成とが相違している場合であって、ユーザおよび装置管理者の認証が得られない場合、記録媒体のデータを廃棄して起動処理を終了するか、または現在構成を使用して起動処理を実行する：
の複数の起動条件にしたがい、異なる内容の起動処理を実行する。

画像形成装置１００は、さらにハードウェアを制御するためのインタフェース（Ｉ／Ｆ）１２６を介して各種のハードウェアモジュール群を制御する。ハードウェアモジュール群には、プリンタモジュール、コピーモジュール、ファックスモジュール、スキャナモジュールなど画像形成に必要なモジュールの他、ＲＡＭ、ＲＯＭ、ＮＶＲＡＭ、ＳＤカード、スマートメディア、ＵＳＢメモリなどのメモリ手段や、ハードディスク装置などを含むことができる。また、ＲＡＭの一部は、本発明では、記録媒体から取得した構成情報を一時的に記憶する一時記憶手段を提供することができる。また、この一時記憶手段は、ミドルウェアシステムを構成するＡＳＩＣ内に実装することもできる。ＮＶＲＡＭは、画像形成装置１００の現在構成を構成情報リストのデータ構造などとして登録しており、不揮発性記憶手段として機能している。オプション設定が正当に修正される場合には、変更後のオプション設定を当該画像形成装置１００の現在構成として登録する。

また、ＳＤカード、スマートカードまたはＵＳＢメモリなどの着脱自在の記録媒体は、他の画像形成装置（不図示）でユーザがオプション設定した条件データ、プログラムなどのファームウェア設定の他、セキュリティ情報などを登録している。画像形成装置１００は、記憶媒体が挿入された状態でユーザからタッチパネルを介した指令を受け付けた時点で起動モジュールを起動させ、記録媒体からの構成情報についての承認結果に応答した内容の起動処理を実行する。

図２は、画像形成装置１００が実行する処理の実施形態のフローチャートである。図２に示した処理は、ステップＳ２００から開始し、ステップＳ２０１で、ＢＲＤ１２４は、構成変更検出モード設定情報を取得する。構成情報変更検出モード設定情報は、例えば、ＳＣＳ１１２がユーザからの指令またはサービスマンの設定などにより変更され、例えば、ＮＶＲＡＭの適切なアドレスのフラグなどとして設定することができる。

その後、ステップＳ２０２で、ＢＲＤ１２４は、ＮＶＲＡＭなどの不揮発性記憶領域に格納された構成変更検出モード設定情報を検査し、構成変更検出モードとなっているか否かを判断する。構成変更検出モード設定情報が構成変更を検出する値に設定されている場合（ｙｅｓ）、ステップＳ２０３で現在、画像形成装置１００の構成情報としてＮＶＲＡＭなどに格納されている構成情報をＲＡＭなどに取得する。ステップＳ２０４では、ＳＤカードなどの記録媒体に登録された構成情報を、バッファメモリなどに取得する。

ステップＳ２０５では、取得した構成情報と現在構成とを比較し構成変更が検出された場合（ｙｅｓ）、ＢＲＤ１２４または他の適切なモジュールがステップＳ２０６で、同一項目に登録されたｎｕｌｌではないデータ内容であって、構成情報と、現在情報とが異なるプログラム識別値、プログラムバージョン、オプション識別値、セキュリティ設定などの値を取得して、一旦バッファリングする。これらの値は、承認後に現在設定を更新するために利用される。

また、ステップＳ２０５で取得した構成情報と現在構成とを比較して、相違項目を検査し、構成変更が検出されない場合（ｎｏ）、処理をステップＳ２１３に分岐させて、リブートを行うことなく、現在設定のままで起動させる。

ステップＳ２０７では、当該変更をユーザが承認したか否かを判断する。ユーザが当該変更を承認した場合（ｙｅｓ）、続いてステップＳ２０８で装置管理者からの承認を受領したか否かを判断する。なお、ユーザの承認は、画像形成装置１００のタッチパネルなどを介して入力される。また、装置管理者からの許可は、装置管理者が画像形成装置１００のタッチパネルから装置管理者のログイン名およびパスワードなどの管理者識別値が入力されたことにより判断する。

なお、画像形成装置１００がハードウェアモジュールとしてＮＩＣ(Network Interface Card)を実装し、ＳＮＭＰプロトコルを使用したスレーブ管理を介して装置管理者などのパーソナルコンピュータと通信できる場合には、ＬＡＮ経由で装置管理者のパーソナルコンピュータからの承認を受領して判断することもできる。

ステップＳ２０８で装置管理者からの承認が得られた場合（ｙｅｓ）、バッファリングしておいた構成情報について、例えばＳＣＳ１１２は、バッファリングされた構成情報のうち、現在構成と同一の項目であって内容の異なる値で現在構成を上書きして、ＮＶＲＡＭ内に登録された構成情報である現在構成を更新する。ＢＲＤ１２４は、更新された現在構成にしたがってステップＳ２１０でリブートを実行し、変更された条件で画像形成装置１００を立ち上げる。なお、現在構成を修正する構成情報更新手段は、ＳＣＳ１１２の他、いかなる適切な手段、例えばＢＲＤ１２４にも実装することができる。

一方、ＢＲＤ１２４が構成変更検出モードではないと判断した場合、処理をステップＳ２１３に分岐させ、構成情報として現在構成を使用して起動処理を開始する。現在構成を使用する起動処理は、２態様想定される。例えば、画像形成装置１００が電源断などの状態から起動される場合および省エネモードなどから復帰する場合である。電源断などの状態から復帰する場合、画像形成装置は、ＢＯＯＴＰプロトコルなどに従い、システムを検査し、各デバイス状態の確認などを行って、ミドルウェアの設定、アプリケーションのロードおよび起動などを実行する。また、省エネモードからの復帰の場合、ＮＶＲＡＭなどに退避させておいたＲＡＭ内での実行環境をＲＡＭに読み出し、アプリケーションなどを差イロードする処理を実行する。

これらのいずれの場合も、ＮＶＲＡＭに格納されて現在設定をそのまま利用して画像形成装置１００を起動することとなるので、画像形成装置１００の動作設定を全く変更しない。

また、ステップＳ２０７でユーザによる承認が得られない場合（ｎｏ）処理をステップＳ２１２に分岐させて処理を終了する。また、ステップＳ２０８で装置管理者の承認がなされなかった場合（ｎｏ）、処理をステップＳ２１１に分岐させ、さらにタイムアウトが経過したか否かを判断する。タイムアウトが経過していない場合（ｎｏ）、ステップＳ２０８に処理を戻し、装置管理者からの承認を待機する。一方、ステップＳ２１１でタイムアウトが経過した場合（ｙｅｓ）、処理は、ステップＳ２１２に分岐して全体の処理を終了させる。なお、他の実施形態では、タイムアウトタイマではなく、リトライカウンタを実装しておき、設定されたリトライ数を超えた場合、処理をステップＳ２１２に分岐させても良い。

図３は、画像処理装置１００が、ＳＤカードなどの記録媒体から構成情報を取得し、設定変更する場合の処理を示したシーケンス３００である。図３に示したシーケンス３００では、ＢＲＤ１２４は、画像形成装置１００がユーザからの起動指令を受け付けると、起動され、ステップＳ３０１でＳＤカードからのオプション設定などの構成情報の取得する。次いで、ステップＳ３０２でＮＶＲＡＭに登録されたファームウェア設定を現在構成として読み取る。その後、ＢＲＤ１２４は、読み込んだ構成情報と現在構成とを比較し、構成の相違についての検査を実行する。

この比較で、設定変更が検出される場合、ＢＲＤ１２４は、ステップＳ３０３〜ステップＳ３０５でそれぞれＳＣＳ１１２、ＣＣＤ１１４、ＬＣＳ１１６に設定変更が検出されたことを通知する。ＳＣＳ１１２は、設定変更検出の通知を受け付けると、ユーザ入力および装置管理者入力を可能とするために、オペレーションパネルなどを表示させるＵＣＳ１１８を起動させる。また、ＣＣＳ１１４、ＬＣＳ１１６は、ステップＳ３０４およびステップＳ３０５で設定変更検出が通知されると起動する。この段階で、ＳＣＳ１１２は、ユーザがその他の指令ボタンの押し下げた場合でも指令されたサービスモジュールの起動を許可せず、入力されたとしても当該指令をアボートし、承認が完了するまで画像形成装置１００を、初期承認状態に保持させている。

ＬＣＳ１１６は、ステップＳ３０５の通知を受領すると、その通知をログに記入する。一方、ＣＣＳ１１４は、画像形成装置１００のタッチパネル上にユーザ承認および装置管理者による承認を行うための承認画面を表示させ、ユーザ承認および装置管理者承認の両方の値がtrueとなったとき、ステップＳ３０６でＳＣＳ１１２に対して承認成功を通知する。ＳＣＳ１１２は、当該通知を受領すると、ステップＳ３０７でＢＲＤ１２４に対して承認が成功したことを通知する。ＳＣＳ１１２からの承認成功の通知を受け付けると、ＢＲＤ１２４は、ステップＳ３０８でそれまで一旦バッファリングしておいた構成変更に関連するモジュール識別値やプログラム識別値などをＮＶＲＡＭに登録した現在構成を更新する。なお、現在構成の更新や、データ読み出し、比較等の処理は、ＢＲＤ１２４自体ではなく、ＢＲＤ１２４の指令を受領したＳＣＳ１１２が実行することもできる。

ステップＳ３０９〜ステップＳ３１１では、ＢＲＤ１２４は、ＳＣＳ１１２、ＣＣＳ１１４、ＬＣＡ１１６に対してリブート開始を通知する。なお、このとき、ＬＣＳ１１６は、リブートをログとして記録する。ステップＳ３１２で、ＢＲＤ１２４は、リブート処理を開始し、更新された構成情報を使用して画像形成装置１００の初期セットアップを実行する。ＢＲＤ１２４は、ＢＯＯＴＰプロトコルなどを使用してミドルウェアシステムの設定および起動を行い、アプリケーションのロードなどを実行し、画像形成装置１００を、ユーザからの指令を待機する状態とする。

なお、本発明の他の実施形態では、ＢＲＤ１１２は、直接管理するＳＣＳ１１２に対してのみ設定変更検出情報を通知することができる。この場合、ＳＣＳ１１２は、設定変更検出通知を受領して起動し、それぞれ承認手段として登録されたＣＣＳ１１４、ＬＣＳ１１６およびＵＣＳ１１８に起動のための割込を送付することもできる。同様に、ＢＲＤ１２４は、リブート開始の通知をＳＣＳ１１２のみに発行することもできる。

なお、説明している他の実施形態では、リブート開始の通知を受領した受け取ったＳＣＳ１１２は、承認処理の場合と同様に、それぞれＣＣＳ１１４およびＬＣＳ１１６に対してリブート開始通知を発行し、各システムのシャットダウン処理を開始させてもよい。なお、各ミドルウェアシステムとＯＳとの間の通信は、ＯＳ側のシグナルなどを使用するプロセス間通信および割込などを使用して実行される。このため、ＢＲＤ１２４が直接指令するミドルウェアシステムが少なくなるほど、シグナルハンドラに対する修正も少なくて済み、効率的にＢＲＤ１２４を構成することができる。

図４は、ＳＤカードから構成情報を取得した場合であって、設定を変更する必要がないと判断した場合のシーケンス４００を示す。ＢＲＤ１２４は、ステップＳ４０１で現在構成をＮＶＲＡＭなどから取得する。ステップＳ４０２では、ＳＤカードに登録されたファームウェア設定についての構成情報を読み込ませる。その後、ＢＲＤ１２４は、構成情報と現在構成とを比較結果の通知を使用して、その内容が完全に一致したと判断する。この場合、ＢＲＤ１２４は、ステップＳ４０３〜ステップＳ４０５で設定変更不検出をＳＣＳ１１２、ＣＣＳ１１４、ＬＣＳ１１６に通知する。

また、設定変更不検出の通知は、ＳＣＳ１１２のみに通知されてもよい。この場合、ＳＣＳ１１２は、ＣＣＳ１１４およびＬＣＳ１１６に設定変更不検出を通知する。この段階でＬＣＳ１１６は、構成変更せずに画像形成装置１００が起動されたことをログに記録する。さらにＳＣＳ１１２は、ステップＳ４０６で他のミドルウェアシステムに対し起動を通知し、同時にＯＳに通知を行い、ＯＳに対し、現在構成で指定される各アプリケーションのロード開始またはメソッド呼出しなどを実行させる。

図５は、ユーザおよび装置管理者による承認に失敗したときの画像形成装置１００が実行する実施形態のシーケンス５００を示す。ＢＲＤ１２４は、ステップＳ５０１で現在構成をＮＶＲＡＭなどから取得する。その後、さらにステップＳ５０２で画像形成装置１００の現在構成を取得する。ステップＳ５０３〜ステップＳ５０５で、構成情報と現在情報とを比較させて設定変更を検出し、設定変更検出通知をＳＣＳ１１２、ＣＣＳ１１４、ＬＣＳ１１６に対して通知する。

また、説明している実施形態では、ＣＣＳ１１４は、ユーザ承認がなされたものの、装置管理者承認が、タイムアウトが満了するまでに受領できなかったので、ＢＲＤ１２４に対してステップＳ５０７で承認失敗を通知する。ＢＲＤ１２４は、ステップＳ５０９〜ステップＳ５１２で、ＳＣＳ１１２〜ＬＣＳ１１６に対して起動処理終了を通知する。その後、ＳＣＳ１１２は、ＵＣＳ１１８に対して起動処理が承認を受けられなかったので終了する旨の通知をユーザに表示させてもよい。その後、ＢＲＤ１２４は、メモリなどのハードウェアリソースを開放して処理を終了する。なお、図５に示した実施形態でも、ＢＲＤ１２４は、直接的にＳＣＳ１１２のみに通知を行い、以後の通知をＳＣＳ１１２に管理させることもできる。

以上のシーケンス３００、シーケンス４００、およびシーケンス５００を実装することにより、画像形成装置１００は、承認を受けないと画像形成装置１００がスムーズに画像形成を行うことができなくなるオプション設定やプログラムなどを無条件に実行することなく、画像形成装置１００が提供することができる機能範囲で最適な画像形成動作を可能とする。また、セキュリティ設定が、画像形成装置１００のセキュリティレベルを装置管理者レベルに引き上げるような設定がなされる場合であっても、装置管理者による承認がなされない限り、現在構成が修正されない。このため、本実施形態の画像形成装置１００は、画像形成装置１００が保有する個人情報、または画像形成装置１００を介してネットワーク接続されたサーバなどに保管された各種情報への管理者レベルでのアクセスを可能とする設定変更を防止することができる。

図６は、ミドルウェアシステムを実装する制御回路の実施形態を示す。図６に示す制御回路６００は、ＳＣＳ処理部６０２と、ＬＣＳ処理部６０４と、ＣＣＳ処理部６０６と、ＵＣＳ処理部６０８とを実装している。これらは、単一またはそれぞれ独立した特定用途集積回路（ＡＳＩＣ）とされ、単一の制御器板上に実装されてもよい。ＳＣＳ処理部６０２〜ＵＣＳ処理部６０８は、ミドルウェアシステムとしてそれぞれ、ＯＳ１２２と通信し、各種アプリケーションの呼出しやデータ送受信などを制御する。

これらの処理部は、内部バス６１２を介して相互接続されていて、各処理部間の通信を可能としている。また、内部バス６１２は、システムバス６２０およびインタフェースバス６１４に接続されている。インタフェースバス６１４は、適切なインタフェースを介してＮＶＲＡＭ、ＳＤカード、バッファメモリなどのストレージデバイスに接続されていて、制御回路６００からのデータ書き込みおよび読み出しを可能とする。

制御回路６００は、画像形成装置１００に対してユーザアクセスがあり、ＢＲＤ１２４が構成変更検出モードであると判断した場合に、他のミドルウェアシステムから独立して起動が通知されて、その処理を開始する。制御回路６００は、ＢＲＤ１２４からの共通の割込信号として処理し、ＳＣＳ処理部６０２〜ＬＣＳ処理部６０８を同時に起動させることができる。また、他の実施形態では、ＢＲＤ１２４からの通知をまず、ＳＣＳ処理部６０２が受領し、その後ＳＣＳ１１２がその他の処理モジュールの起動を管理する構成とすることができる。本実施形態で承認が不成功となった場合、ＳＣＳ処理部６０２は、制御回路６００以外のミドルウェアシステムに対して起動割込などの通知を行わず、画像形成装置の各種機能の開始を防止する。

図７は、画像形成装置のＣＣＳ１１４がユーザ承認を受領するため、オペレーションパネルなどに表示させるディスプレイ表示７００の実施形態を示す。図７に示すように、ＣＣＳ１１４は、表示領域７０２内に、ユーザ承認を受領するために、ファームウェアの構成変更が検出され処理が一時停止していること、および承認を得るために、この構成で起動を許可する場合の処理を表示し、ユーザによる後続処理を待機している。

また、表示領域７０４内に、変更が検出されたモジュールのモジュール識別値（図示した実施形態ではプログラム）と、そのバージョン値１．１３などが表示され、ユーザに対し、確認を促している。ユーザは、表示領域７０４で変更に関連する項目を確認する。確認後、ユーザは、「ログインして許可する」の表示された領域にタッチすることにより、ユーザ承認を行う。

図８は、その後画像形成装置１００が提供するディスプレイ表示を示す。図８に示されたディスプレイ表示８００の表示領域８０２内には、管理者確認画面であることが表示されている。さらに、装置管理者のログイン名を入力することを表示する表示領域８０４と、そのパスワードを入力することを表示する表示領域８０６とが表示されている。装置管理者は、図８に示された表示領域内のログイン名およびパスワードを入力するべき領域に、それぞれログイン名、パスワードを入力する。その後、「ログイン」が表示された表示領域８０８にタッチすることにより、装置管理者承認を与える。

なお、他の実施形態で、画像形成装置１００がこの段階で、例えばＳＮＭＰプロトコルで規定されるトラップコマンドを装置管理者のパーソナルコンピュータに送信することもできる。この実施形態の場合、装置管理者のパーソナルコンピュータは、ＳＮＭＰプロトコルでのマスタノードとして機能する。パーソナルコンピュータは、設定変更が検出され、ユーザ承認がなされた段階で、承認を要求するメッセージを装置管理者のパーソナルコンピュータに送付する。装置管理者のパーソナルコンピュータは、当該メッセージの受信に対応して図８に表示されたディスプレイ表示を含むウィンドウを表示させ、パーソナルコンピュータから、ログイン名およびパスワードを入力し、送信することができる。この実施形態では、装置管理者がログイン名およびパスワードの入力を行う場合にユーザによりそれらの値が取得されてしまうなどの不都合が防止できる。

図９は、図８の装置管理者承認に成功した後、ＵＣＳ１１８が表示させるリブート指令画面を示す。ＳＣＳ１１２は、ＣＣＳ１１４から装置管理者承認を受領したとの通知を受け取ると、図９の表示画面をオペレーションパネルなどに表示させる。リブート指令画面９００の表示領域９０２には、ファームウェアの構成が変更されたこと、およびそのために再起動が必要であることを表示するテキストストリング９０４が表示されている。

また、表示領域９０６には変更が確定された構成変更に関連する項目が表示されていて、ユーザが変更する構成内容の再確認を可能としている。ユーザは、この段階で、表示領域９０８に表示された「再起動」にタッチすることにより、ＢＲＤ１２４によるリブート処理を開始させることができる。ＢＲＤ１２４は、ＮＶＲＡＭに登録された設定変更に関連するモジュール識別値やオプション識別値などを含む構成情報を使用して、順次処理モジュールをロードし、起動を行う。起動完了後、ユーザは、ＳＤカードなどの記録媒体から取得したオプション設定やプログラムを使用する画像形成を行うことができる。

図１０は、図８に示した管理者確認画面からの入力データが、ＮＶＲＡＭなどに登録されている装置管理者による承認が得られなかった場合にＣＣＳ１１４が表示するディスプレイ表示１０００を示す。図１０に示したディスプレイ表示１０００は、ファームウェアの構成変更は検出され、起動処理が停止したものの、装置管理者のログイン名およびパスワードの値が入力されず、ユーザは、再度「ログインして許可する」の表示領域１００８をタッチすることにより、図８に示した管理者確認画面を表示させ、再度のログイン名およびパスワードの入力を行うことができる。

一方、画像形成装置１００は、装置管理者承認処理を開始すると、タイムアウトタイマのリセットおよび起動を開始し、タイムアウトの経過を監視する。タイムアウトタイマの満了前に装置管理者からの承認が受け付けられない場合、画像形成装置１００は、起動処理を終了させ、待機状態に復帰することができる。また、他の実施形態では、タイムアウトタイマの満了までに装置管理者による承認が得られない場合、当該画像形成装置１００の現在構成のまま起動処理を実行させ、オプション設定の再入力などによる画像形成を可能とすることもできる。

また、さらに他の実施形態では、タイムアウトカウンタのかわりにリトライカウンタを実装することもできる。リトライカウンタは、ログイン名またはパスワードの総当たり的な攻撃から画像形成装置１００を保護するために効果的であり、リトライ設定値を超えたログイン名およびパスワードの入力がなされると、起動処理を終了させるか、または画像形成装置１００を現在構成のまま起動させる起動処理を実行することができる。

以上説明したように、本画像形成装置によれば、ＳＤカードなどの着脱自在の記録媒体から取得した構成情報を、そのまま画像形成装置１００に実行させない。画像形成装置１００は、画像形成装置１００が記録媒体から取得した構成情報とその時点で画像形成装置１００が構成のために使用している設定である現在構成とを最初に検査する。画像形成装置１００は、検査の結果、変更内容を現在構成として反映させてかまわないことが承認されるまで、関連するミドルウェアシステム以外の起動を遮断する。このため、記録媒体から自動的に構成情報をロードする場合の他、記録媒体から画像形成装置１００の起動後に手動でロードする設定の両方の設定について、スムーズな起動を行うことが可能となる。

また、本実施形態の画像形成装置１００では、例えばセキュリティレベルなどの設定が管理者やスーパユーザの権原にまで引上げられている構成情報について自動的にロードする設定の他、手動でロードする設定の場合についても、正当な権原を有する装置管理者の承認なく、セキュリティレベルの変更が不可能となり、画像形成装置１００からの情報漏洩に対するロバスト性を与えることができる。

また、本発明の上記機能は、アセンブラ、Ｃ、Ｃ＋＋、Ｊａｖａ（登録商標）、などのレガシープログラミング言語やオブジェクト指向プログラミング言語またはそれの適切な組合わせで記述された装置実行可能なプログラムにより実現でき、装置可読な記録媒体に格納して頒布することができる。

これまで本発明について実施形態をもって説明してきたが、本発明は、上述した実施形態に限定されるものではなく、他の実施形態、追加、変更、削除など、当業者が想到することができる範囲内で変更することができ、いずれの態様においても本発明の作用・効果を奏する限り、本発明の範囲に含まれるものである。

本実施形態の画像形成装置の機能ブロック図。 画像形成装置が実行する処理の実施形態のフローチャート。 画像処理装置が、ＳＤカードなどの記録媒体からオプション設定、プログラムおよびデータなどを含む構成情報を取得し、設定変更する場合の処理を示したシーケンスを示した図。 ＳＤカードから構成情報を取得した場合であって、設定を変更する必要がないと判断した場合のシーケンスを示した図。 ユーザおよび装置管理者による承認に失敗したときの画像形成装置が実行する実施形態のシーケンスを示した図。 ミドルウェアシステムを実装する制御回路の実施形態を示した図。 図７は、画像形成装置のＣＣＳがユーザ承認を受領するため、オペレーションパネルなどに表示させるディスプレイ表示の実施形態を示す ユーザ承認後に画像形成装置が提供するディスプレイ表示の実施形態を示した図。 図８の装置管理者承認に成功した後、ＵＣＳが表示させるリブート指令画面の実施形態を示した図。 図８に示した管理者確認画面からの入力データが、ＮＶＲＡＭなどに登録されている装置管理者による承認が得られなかった場合にＣＣＳが表示するディスプレイ表示を示した図。

符号の説明

１００…画像形成装置、１０２〜１０６…アプリケーション、１１０…ＡＰＩ、１１２…ＳＣＳ、１１４…ＣＣＳ、１１６…ＬＣＳ、１１８…ＵＣＳ、１２０…ＯＣＳ、１２２…ＯＳ、１２４…起動モジュール（ＢＲＤ）、１２６…インタフェース（Ｉ／Ｆ）、１２８…ハードウェアモジュール群、６００…制御回路、６０２…ＳＣＳ処理部、６０４…ＬＣＳ処理部、６０６…ＣＣＳ処理部、６０８…ＵＳＣ処理部、６１２…内部バス、６１４…インタフェースバス、６１８…ストレージデバイス、６２０…システムバス

Claims (10)

1. 画像形成装置に着脱自在に構成された記録媒体から取得し、前記画像形成装置が利用する少なくとも１つのファームウェア構成である構成情報を一時記録する一時記憶手段と、
   前記画像形成装置が現在起動時に利用するファームウェア構成である現在構成を記録する不揮発性記憶手段と、
   前記現在構成と前記一時記憶手段に記憶された構成情報との間に設定の相違がある場合、前記構成情報を前記画像形成装置の前記現在構成として承認するための承認手段と、
   前記構成情報と前記現在構成とが相違すると判断した場合に設定変更検出を通知して前記承認手段のみを起動し、前記承認手段の承認結果に対応し前記現在構成または前記構成情報により更新した異なる現在構成を使用して前記画像形成装置を起動する起動手段と
   を含む画像形成装置。
2. 前記画像形成装置は、
   前記承認手段により、前記構成情報が前記画像形成装置の前記現在構成として承認された場合、前記構成情報を含むように前記不揮発性記憶手段に登録された現在構成を更新する構成情報更新手段と、
   前記承認手段により、前記構成情報を前記画像形成装置の前記現在構成として承認されない場合、前記構成情報の有無によらず、前記現在構成を保存する構成情報保存手段と
   を含む請求項１に記載の画像形成装置。
3. 前記起動手段は、前記承認手段により前記構成情報が承認された場合には、前記更新された前記現在構成にしたがって前記画像形成装置のリブート処理を実行し、前記承認手段により承認されない場合、起動処理を終了させるか、または前記現在構成にしたがって前記画像形成装置の起動処理を実行する、請求項２に記載の画像形成装置。
4. 前記画像形成装置は、前記承認手段による承認が成功するまで前記画像形成装置の他手段の起動を阻止する、請求項１〜３のいずれか１項に記載の画像形成装置。
5. 前記ファームウェア構成は、少なくともオプション設定、プログラム、プログラムバージョン、およびセキュリティ設定を含む、請求項１〜４のいずれか１項に記載の画像形成装置。
6. 画像形成装置の起動方法であって、着脱自在な記録媒体から取得したファームウェア構成である構成情報を一時記憶手段に読み込むステップと、
   画像形成装置が現在起動時に利用するファームウェア構成である現在構成を不揮発性記憶手段から読み込むステップと、
   前記構成情報と前記現在構成との間の設定の相違を検出するステップと、
   前記設定の相違が検出された場合、前記構成情報を前記画像形成装置の前記現在構成として承認するか否かを、前記画像形成装置のユーザおよび管理者からの外部入力を使用して決定するステップと、
   前記構成情報と前記現在構成とが相違すると判断した場合に設定変更検出を通知して承認手段のみを起動するステップと、
   前記承認手段の承認結果に対応し前記現在構成または前記構成情報により更新した異なる現在構成を使用して前記画像形成装置を起動するステップと
   を含む、画像形成装置の起動方法。
7. 前記起動するステップは、
   前記構成情報を前記画像形成装置の前記現在構成として承認された場合、前記構成情報を前記現在構成として使用してリブートするステップと、
   前記構成情報を前記画像形成装置の前記現在構成として承認されない場合、前記構成情報の有無によらず、前記現在構成のまま起動するステップと、
   を含む請求項６に記載の起動方法。
8. 前記承認手段による承認が成功するまで前記画像形成装置の他手段の起動を阻止するステップを含む、請求項６または７に記載の起動方法。
9. 前記ファームウェア構成は、少なくともオプション設定、プログラム、プログラムバージョン、およびセキュリティ設定を含む、請求項６〜７のいずれか１項に記載の起動方法。
10. 画像形成装置を、請求項１〜５のいずれか１項に記載の各手段として機能させる、装置実行可能なプログラム。

Images