JP4994970B2 - 画像処理システム、画像処理装置、プログラム管理方法及びプログラムを管理する管理プログラム - Google Patents

Description

本発明は、画像処理システムに係り、特に、暗号化した情報を含む認証情報に基づいて、画像処理装置内のプログラムを機能単位で認証し、適正なプログラムを効率よく管理する画像処理システム、画像処理装置、プログラム管理方法及びプログラムを管理する管理プログラムに関するものである。

現在のデジタル複合機（MFP：Multi-Function Printer）は、CPU（Central Processing Unit）の性能向上、メモリの大容量化、通信技術の高速化及びデジタル画像技術の高度化等、デジタル複合機（以下、「画像処理装置」という。）に関連する技術の進化に伴い、単に複写機としての機能だけでなく、ファクシミリ、プリンタ及びスキャナ機能等の機能を搭載し、利用者の環境において様々な場面で利用されている。

そのため、利用者から用途に合わせた機能拡張を要求されることも多く、製造者（メーカー）側では、適正な機能拡張用ソフトウェアを迅速にインストールし、機能拡張を実現する画像処理装置を設計しなければならない。

これらの点に鑑みて提案された方法に、機能拡張用ソフトウェアを蓄積したダウンロードサーバから、拡張したい機能を選択し、該当するソフトウェアコンポーネント及び認証情報をダウンロード（画像処理装置側に転送）することで、ダウンロードした認証情報に基づいて、ソフトウェアコンポーネントを実行する方法等がある（例えば、特許文献１を参照）。
特開２００２―１５２４５８号公報

しかしながら、特許文献１に開示された方法では、例えば、画像処理装置に不適正な拡張機能用ソフトウェアであった場合、認証情報に基づいて、画像処理装置が備えるハードウェアリソースの使用を制限するようになっており、拡張機能用ソフトウェア全体の使用を制限するものではない。

よって、実行する拡張機能用ソフトウェアが適正なものか否かを、適切な単位（機能単位）で効率的に判断していない。

また、拡張機能用ソフトウェア自身の適正を判断する方法には、拡張機能用ソフトウェアが適正であることを判断するための認証情報をソフトウェア自身に埋め込み、その認証情報に基づいて判断する方法がある。

しかし、拡張機能用ソフトウェアを開発する側にとっては、ソフトウェアを動作させるシステムで採用された認証方式や認証データ形式が異なれば、それぞれに対応した認証情報を埋め込まなくてはならないため、認証情報を拡張機能用ソフトウェアに埋め込む作業が煩雑であった。

本発明は、上記従来技術の問題点に鑑み、暗号化した情報を含む認証情報に基づいて、画像処理装置内のプログラムを機能単位で認証し、適正なプログラムを効率よく管理する画像処理システム、画像処理装置、プログラム管理方法及びプログラムを管理する管理プログラムを提供することを目的とする。

上記目的を達成するため、本発明の画像処理システムは、画像処理装置にインストールするプログラムを管理する管理サーバと、前記管理サーバからダウンロードしたプログラムがインストールされる画像処理装置とが接続される画像処理システムであって、
画像処理装置は、
所定のタイミングで、前記管理サーバからダウンロードしたプログラムを機能単位で識別する情報を表すプログラム識別情報と、前記管理サーバからダウンロードしたプログラムの使用可能期限を表す使用可能期限情報と、前記プログラム識別情報と前記使用可能期限情報とを暗号化した証明書とを有する認証情報の内、前記証明書を、前記管理サーバへ送信し、認証を要求する認証要求手段と、
前記認証要求手段により送信された前記認証情報が、前記管理サーバが有する前記認証手段により認証された場合、前記認証情報の使用可能期限情報に基づいて、前記プログラムの使用可能期限が切れたか否かを判定する使用可能期限判定手段と、
前記使用可能期限判定手段によって前記プログラムの使用可能期限が切れたと判定された場合、継続使用可能な期間を表す継続使用可能期限情報に基づいて、前記継続使用可能な期間、前記プログラムを使用可能とするように制御する動作制御手段とを有することを特徴とする。

これによって、本発明の画像処理システムは、画像処理装置から暗号化した情報を含む認証情報が管理サーバに送信され、送信された認証情報が管理サーバにおいて適正な認証情報であるか否かを判断し、その結果が管理サーバから画像処理装置に送信されることで、画像処理装置が該当するプログラムの動作を認証結果に従って制御することができる。

また、プログラムに埋め込んだ認証情報に基づいて、プログラムの適正を判断する認証方式でないため、プログラムを開発する側の作業負担を軽減できる。

よって、暗号化した情報を含む認証情報に基づいて、画像処理装置内のプログラムを機能単位で認証し、適正なプログラムを効率よく管理する画像処理システムを実現することができる。

上記目的を達成するため、本発明の画像処理システムにおける画像処理装置は、管理サーバと接続される画像処理装置であって、
所定のタイミングで、前記管理サーバからダウンロードしたプログラムを機能単位で識別する情報を表すプログラム識別情報と、前記管理サーバからダウンロードしたプログラムの使用可能期限を表す使用可能期限情報と、前記プログラム識別情報と前記使用可能期限情報とを暗号化した証明書とを有する認証情報の内、前記証明書を、前記管理サーバへ送信し、認証を要求する認証要求手段と、
前記認証要求手段により送信された前記認証情報が、前記管理サーバが有する前記認証手段により認証された場合、前記認証情報の使用可能期限情報に基づいて、前記プログラムの使用可能期限が切れたか否かを判定する使用可能期限判定手段と、
前記使用可能期限判定手段によって前記プログラムの使用可能期限が切れたと判定された場合、継続使用可能な期間を表す継続使用可能期限情報に基づいて、前記継続使用可能な期間、前記プログラムを使用可能とするように制御する動作制御手段とを有することを特徴とする。

これによって、本発明の画像処理システムにおける画像処理装置は、管理サーバに対して認証要求を行い、管理サーバからの認証結果に基づいて、管理サーバからダウンロードしたプログラムの動作を制御することができるため、プログラムの不正使用等を防ぐことができる。

上記目的を達成するため、本発明の画像処理システムにおける画像処理装置は、前記管理サーバから送信された前記証明書を取得する証明書取得手段と、前記証明書取得手段により取得した前記証明書を前記管理サーバに送信し、前記プログラムリストの取得を要求するプログラム情報要求手段と、前記管理サーバから、前記プログラムリストを取得するプログラム情報取得手段と、前記管理サーバから、前記プログラムリストに基づいて当該画像処理装置に対しインストールするプログラムを取得するプログラム取得手段と、前記プログラム取得手段により取得したプログラムをインストールするインストール手段とを有することを特徴とする。

これによって、本発明の画像処理システムにおける画像処理装置は、管理サーバからの認証結果に基づいて、インストール可能なプログラムに関する情報及びプログラムを管理サーバから取得することができる。

また、画像処理装置において、取得したプログラムをインストールすることができる。

また、画像処理装置において、プログラムの動作制御における認証の際に必要な認証情報である証明書（暗号化情報）を、管理サーバから取得することができる。

上記目的を達成するため、本発明の画像処理システムにおける画像処理装置は、前記画像処理装置における利用契約者の認証を要求する利用契約者認証要求手段を有し、前記利用契約者認証要求手段において、前記管理サーバに利用契約者を識別する情報を送信し、利用契約者の認証を要求することを特徴とする。

これによって、本発明の画像処理システムにおける画像処理装置は、利用契約者認証を管理サーバに要求することができる。

上記目的を達成するため、本発明の画像処理システムにおける画像処理装置は、前記管理サーバに前記認証情報の更新を要求する認証情報更新要求手段を有することを特徴とする。

これによって、本発明の画像処理システムにおける画像処理装置は、契約更新時に更新された使用可能期限情報を含む認証情報である新しい証明書（暗号化情報）の発行を管理サーバに要求することができる。

上記目的を達成するため、本発明の画像処理システムにおける画像処理装置は、前記使用可能期限情報に基づいてインストールしたプログラムの使用可能期限が過ぎたか否かを判断する使用可能期限判定手段を有し、前記使用可能期限判定手段において、前記使用可能期限情報の有効期限の日付及び時間と使用可能期限判定時の日付及び時間とを比較し、インストールしたプログラムの使用可能期限が過ぎたか否かの判断することを特徴とする。

これによって、本発明の画像処理システムにおける画像処理装置は、取得した証明書を復号化し得た使用可能期限情報の日時と使用可能期限判定時の日時とを比較し、該当するプログラムが使用可能期限内か否かを判断することができる。

よって、プログラムの動作制御を、プログラム毎の使用可能期限に基づいて行うことができる。

上記目的を達成するため、本発明の画像処理システムにおける画像処理装置は、前記動作制御手段において、前記使用可能期限判定手段により、インストールしたプログラムの使用可能期限が過ぎたと判断された場合、該当するプログラムを終了又は起動しないことを特徴とする。

これによって、本発明の画像処理システムにおける画像処理装置は、使用可能期限が過ぎたプログラムに対して、起動中のプログラムについては終了し、起動しようとしているプログラムは起動しないように動作を制御することができる。

上記目的を達成するため、本発明の画像処理システムにおける画像処理装置は、当該画像処理装置にインストールしたプログラムをアンインストールするアンインストール手段を有し、前記アンインストール手段において、前記使用可能期限判定手段により、インストールしたプログラムの使用可能期限が過ぎたと判断された場合、該当するプログラムをアンインストールすることを特徴とする。

これによって、本発明の画像処理システムにおける画像処理装置は、使用可能期限が過ぎたプログラムに対して、プログラムをアンインストールすることができる。

よって、画像処理装置が備える不揮発性の記憶装置におけるインストール容量を削減することができる。

上記目的を達成するため、本発明の画像処理システムにおける画像処理装置は、前記プログラム識別情報に基づいて、当該プログラムをアンインストールすると当該画像処理装置が使用不可能となるプログラムか否かを判断する重要機能プログラム判定手段を有することを特徴とする。

これによって、本発明の画像処理システムにおける画像処理装置は、使用可能期限が過ぎたプログラムに対して、アンインストールすると画像処理装置が使用不可能となるプログラムか否かを判断し、アンインストールすることができる。

上記目的を達成するため、本発明の画像処理システムにおける画像処理装置は、前記使用可能期限情報が、使用可能期限の延長期間を表す継続使用可能期限情報を有し、前記アンインストール手段において、前記重要機能プログラム判定手段により、当該プログラムをアンインストールすると当該画像処理装置が使用不可能となるプログラムと判断された場合、前記継続使用可能期限情報が示す延長期間を経て、該当するプログラムをアンインストールすることを特徴とする。

これによって、本発明の画像処理システムにおける画像処理装置は、アンインストールすると画像処理装置が使用不可能となると判断されたプログラムに対して、一定の延長期間を経てアンインストールすることができる。

上記目的を達成するため、本発明の画像処理システムにおける画像処理装置は、前記動作制御手段において、前記使用可能期限判定手段により、インストールしたプログラムの使用可能期限が過ぎたと判断され、且つ、前記重要機能プログラム判定手段により、当該プログラムをアンインストールすると当該画像処理装置が使用不可能となるプログラムと判断された場合、前記継続使用可能期限情報が示す延長期間の間、該当するプログラムを動作又は起動することを特徴とする。

これによって、本発明の画像処理システムにおける画像処理装置は、アンインストールすると画像処理装置が使用不可能となると判断されたプログラムに対して、一定の延長期間の間、該当するプログラムを動作又は起動することができる。

上記目的を達成するため、本発明の画像処理システムにおける画像処理装置は、前記管理サーバからダウンロードしたプログラムに関する情報を表示画面に表示する表示手段を有し、前記表示手段において、前記使用可能期限判定手段により、インストールしたプログラムの使用可能期限が過ぎたと判断され、且つ、前記重要機能プログラム判定手段により、当該プログラムをアンインストールすると当該画像処理装置が使用できなくなるプログラムと判断された場合、前記継続使用可能期限情報が示す延長期間の間、使用可能期限を更新することを促すような内容を表示画面に表示することを特徴とする。

これによって、本発明の画像処理システムにおける画像処理装置は、アンインストールすると画像処理装置が使用不可能となると判断されたプログラムに対して、一定の延長期間の間、該当するプログラムの使用可能期限を更新するように促す内容を表示画面に表示することができる。

上記目的を達成するため、本発明の画像処理システムにおける画像処理装置は、前記使用可能期限情報が、使用可能期限までの残り日数を表す警告発生条件情報を有し、前記表示手段において、前記使用可能期限判定手段により、前記警告発生条件情報に基づいて、インストールしたプログラムの使用可能期限間近と判断された場合、該当するプログラムの使用可能期限が間近であることを表示画面へ表示することを特徴とする。

これによって、本発明の画像処理システムにおける画像処理装置は、使用可能期限切れ間近と判断されたプログラムに対して、使用可能期限内の間、該当するプログラムの使用可能期限切れが間近である旨を表示画面に表示することができる。

上記目的を達成するため、本発明の画像処理システムにおける画像処理装置は、前記表示手段において、前記動作制御手段により、インストールしたプログラムが動作又は起動した際に、該当するプログラムが実行する機能名を表示画面に表示することを特徴とする。

これによって、本発明の画像処理システムにおける画像処理装置は、適正なプログラムが動作している旨（プログラムが実行する機能名）を表示画面に表示することができる。

上記目的を達成するため、本発明の画像処理システムにおけるプログラム管理方法は、画像処理装置にインストールするプログラムを管理する管理サーバと、前記管理サーバからダウンロードしたプログラムがインストールされる画像処理装置とが接続される画像処理システムにおけるプログラムを管理するプログラム管理方法であって、
画像処理装置が、
所定のタイミングで、前記管理サーバからダウンロードしたプログラムを機能単位で識別する情報を表すプログラム識別情報と、前記管理サーバからダウンロードしたプログラムの使用可能期限を表す使用可能期限情報と、前記プログラム識別情報と前記使用可能期限情報とを暗号化した証明書とを有する認証情報の内、前記証明書を、前記管理サーバへ送信し、認証を要求する認証要求手順と、
前記認証要求手段により送信された前記認証情報が、前記管理サーバが有する前記認証手段により認証された場合、前記認証情報の使用可能期限情報に基づいて、前記プログラムの使用可能期限が切れたか否かを判定する使用可能期限判定手順と、
前記使用可能期限判定手順によって前記プログラムの使用可能期限が切れたと判定された場合、継続使用可能な期間を表す継続使用可能期限情報に基づいて、前記継続使用可能な期間、前記プログラムを使用可能とするように制御する動作制御手順とを有することを特徴とする。

これによって、本発明のプログラム管理方法は、画像処理装置から暗号化した情報を含む認証情報が管理サーバに送信され、送信された認証情報が管理サーバにおいて適正な認証情報であるか否かを判断し、その結果が管理サーバから画像処理装置に送信されることで、画像処理装置が該当するプログラムの動作を認証結果に従って制御することができる。

また、プログラムに埋め込んだ認証情報に基づいて、プログラムの適正を判断する認証方式でないため、プログラムを開発する側の作業負担を軽減できる。

よって、暗号化した情報を含む認証情報に基づいて、画像処理装置内のプログラムを機能単位で認証し、適正なプログラムを効率よく管理することができる。

これによって、本発明の画像処理システムにおける管理サーバのプログラム管理方法は、画像処理装置におけるプログラムの動作を制御する必要な使用可能期限情報とプログラム識別情報を暗号化し、機密性の高い認証情報である証明書を画像処理装置へ発行するとともに、発行した証明書を基に認証処理を行うことで、画像処理装置が適切なプログラムを使用可能期限に従って使用しているか否かを判断し、又、認証結果に応じて適切なプログラムを提供することができる。

また、画像処理装置と管理サーバとの間で送受信される認証情報は、暗号化されているため、悪意により認証情報を不正に改竄し、画像処理装置が有する機能を利用する等の不正使用を防ぐことができる。

上記目的を達成するため、本発明の画像処理システムにおける画像処理装置のプログラム管理方法は、管理サーバと接続される画像処理装置におけるプログラム管理方法であって、
所定のタイミングで、前記管理サーバからダウンロードしたプログラムを機能単位で識別する情報を表すプログラム識別情報と、前記管理サーバからダウンロードしたプログラムの使用可能期限を表す使用可能期限情報と、前記プログラム識別情報と前記使用可能期限情報とを暗号化した証明書とを有する認証情報の内、前記証明書を、前記管理サーバへ送信し、認証を要求する認証要求手順と、
前記認証要求手段により送信された前記認証情報が、前記管理サーバが有する前記認証手段により認証された場合、前記認証情報の使用可能期限情報に基づいて、前記プログラムの使用可能期限が切れたか否かを判定する使用可能期限判定手順と、
前記使用可能期限判定手順によって前記プログラムの使用可能期限が切れたと判定された場合、継続使用可能な期間を表す継続使用可能期限情報に基づいて、前記継続使用可能な期間、前記プログラムを使用可能とするように制御する動作制御手順とを有することを特徴とする。

これによって、本発明の画像処理システムにおける画像処理装置のプログラム管理方法は、管理サーバに対して認証要求を行い、管理サーバからの認証結果に基づいて、管理サーバからダウンロードしたプログラムの動作を制御することができるため、プログラムの不正使用等を防ぐことができる。

これによって、本発明の管理サーバにおける管理プログラムは、コンピュータにおいて、画像処理装置におけるプログラムの動作を制御する必要な使用可能期限情報とプログラム識別情報を暗号化し、機密性の高い認証情報である証明書を画像処理装置へ発行するとともに、発行した証明書を基に認証処理を行うことで、画像処理装置が適切なプログラムを使用可能期限に従って使用しているか否かを判断し、又、認証結果に応じて適切なプログラムを提供することができる。

また、画像処理装置と管理サーバとの間で送受信される認証情報は、暗号化されているため、悪意により認証情報を不正に改竄し、画像処理装置が有する機能を利用する等の不正使用を防ぐことができる。

また、上記目的を達成するため、本発明の画像処理装置の管理プログラムは、当該画像処理装置にインストールするプログラムを管理する管理サーバと接続される、前記管理サーバからダウンロードしたプログラムがインストールされる画像処理装置におけるプログラムを管理する管理プログラムであって、
コンピュータを、
所定のタイミングで、前記管理サーバからダウンロードしたプログラムを機能単位で識別する情報を表すプログラム識別情報と、前記管理サーバからダウンロードしたプログラムの使用可能期限を表す使用可能期限情報と、前記プログラム識別情報と前記使用可能期限情報とを暗号化した証明書とを有する認証情報の内、前記証明書を、前記管理サーバへ送信し、認証を要求する認証要求手段と、
前記認証要求手段により送信された前記認証情報が、前記管理サーバが有する前記認証手段により認証された場合、前記認証情報の使用可能期限情報に基づいて、前記プログラムの使用可能期限が切れたか否かを判定する使用可能期限判定手段と、
前記使用可能期限判定手段によって前記プログラムの使用可能期限が切れたと判定された場合、継続使用可能な期間を表す継続使用可能期限情報に基づいて、前記継続使用可能な期間、前記プログラムを使用可能とするように制御する動作制御手段として機能させる。

これによって、本発明の画像処理装置における管理プログラムは、コンピュータにおいて、管理サーバに対して認証要求を行い、管理サーバからの認証結果に基づいて、管理サーバからダウンロードしたプログラムの動作を制御することができるため、プログラムの不正使用等を防ぐことができる。

本発明によれば、暗号化した情報を含む認証情報に基づいて、画像処理装置内のプログラムを機能単位で認証し、適正なプログラムを効率よく管理する画像処理システム、画像処理装置、プログラム管理方法及びプログラムを管理する管理プログラムを提供することができる。

以下、本発明の好適な実施の形態（以下、「実施形態」という。）について、図面を用いて詳細に説明する。

［第１の実施形態］
図１は、本発明の第１の実施形態に係る画像処理システムにおけるシステム構成例を示す図である。

図１に示すように、画像処理システムは、拡張機能のプログラムをインストールする画像処理装置１０と画像処理装置１０にインストールする拡張機能のプログラムを管理する管理サーバ２０とが、LAN（Local Area Network）やWAN（Wide Area Network）等のネットワーク３０により接続されている。画像処理装置１０は、ネットワーク３０を介して、管理サーバ２０が管理する拡張機能のプログラムをダウンロードすることができ、ダウンロードした拡張機能のプログラムをインストールし、機能拡張を行うことができる。

このように、画像処理システムは、画像処理装置１０における機能拡張を迅速に行う拡張性の高いシステムを実現している。

次に、図１に示す画像処理システムを構成する画像処理装置１０及び管理サーバ２０のハードウェア構成について、画像処理装置１０、管理サーバ２０の順に図２を用いて説明する。

図２（a）は、本発明の第１の実施形態に係る画像処理装置１０におけるハードウェア構成例を示す図である。

図２（a）に示すように、画像処理装置１０は、入力部１１、表示部１２、補助記憶部１３、ネットワークI/F１４、外部記憶装置I/F１５、外部入力装置I/F１６、主記憶部１７、及び制御部１８を備えている。

入力部１１は、操作部と呼ばれ、テンキー、各種ファンクションキー、スタート/ストップキー等を備え、画像処理機能の各種条件設定の入力（例えば、「解像度設定」や「変倍の倍率設定」等。）や機能実行を指示する入力（例えば、スタートキーによる「コピーの実行」。）を各キーにより受け付ける。例えは、本実施形態に係る入力部１１は、後に説明する利用契約者認証を行う際に、契約者の識別コードやパスワード等をテンキーから入力することにより受け付ける。

表示部１２は、液晶表示装置を備え、ジョブに関する情報（例えば、「画像処理中のジョブ名」。）、画像処理装置１０の駆動条件（例えば、「設定された解像度値」や「設定された倍率」。）、装置状態（例えば、「ジョブ待ちの状態」や「ジョブ処理中の状態」。）等の各種情報を表示する。また、表示部１２がタッチパネル機能を有している場合には、タッチパネル上からタッチペン等を用いてタッチ入力を行うことができ、パネル上に表示された機能ボタンを選択することで、入力部１１が行う機能と同様の操作が行える。例えは、本実施形態に係る表示部１２は、後に説明する管理サーバ２０からダウンロードした拡張機能のプログラムに関する情報（例えば、「動作中のプログラムにより通知された機能名」。）を表示画面に表示する。また、表示部１２がタッチパネル機能を有している場合には、入力部１１と同様に、利用契約者認証を行う際に、契約者の識別コードやパスワード等をテンキーから入力することにより受け付ける。

補助記憶部１３は、画像処理装置１０が取り扱うデータ（例えば「画像データ」）の格納先であるハードディスク（HD：Hard Disk）等の不揮発性の記憶装置である。例えは、本実施形態に係る補助記憶部１３は、拡張機能のプログラム及び関連するデータを格納する。

ネットワークI/F１４は、LANやWAN等のネットワーク上の通信機器（例えば「管理サーバ２０が備えるネットワークI/F」）と画像処理装置１０との間で、データを双方向通信するためのインタフェースである。例えは、本実施形態に係るネットワークI/F１４は、インストールする拡張機能のプログラム及び関連データ等を管理サーバ２０からダウンロードする際や、プログラムの適正を判断する認証情報を管理サーバ２０と送受信する際のインタフェースとして使用される。

外部記憶装置I/F１５は、メモリカード等の外部の記憶メディアと画像処理装置１０との間で、データをやり取りするためのインタフェースである。また、外部の記憶メディアには、メモリカードの他、FD（floppy disk）、MO（Magneto-Optical disk）、CD（Compact Disc）、及びDVD（Digital Versatile Disk）等の記憶メディアも含まれる。例えは、本実施形態に係る外部記憶装置I/F１５は、メモリカードや記憶メディア内に格納された画像データ等を、画像処理装置１０とやり取り（読み取り／書き込み）する際のインタフェースとして使用される。

外部入力装置I/F１６は、スキャナやデジタルカメラ等の画像読み取り装置と画像処理装置１０との間で、データをやり取りするためのインタフェースである。例えは、本実施形態に係る外部入力装置I/F１６は、画像処理を行う画像データを入力する（画像を読み取る）。

主記憶部１７は、ROM（Read Only Memory）、RAM（Random Access Memory）から構成され、画像処理装置１０が有する機能を実現するためのプログラム及び関連データを格納又は一時保持する記憶装置である。例えは、本実施形態に係る主記憶部１７は、画像処理装置１０を制御する基本ソフト（以下、「OS：Operating System」という。）及び画像処理装置１０が起動した際に機能提供される基本機能（例えば、「画像入力機能」、「画像加工機能」、及び「画像出力機能」等。）のプログラム及び関連データがROMに格納されており、後に説明する制御部１８により、ROMに格納されたプログラム及び関連データがRAMへ展開（ロード）される。

制御部１８は、コントローラ部と呼ばれ、プログラムをCPUにおいて実行し、制御命令の信号によって画像処理装置１０を制御する制御装置である。例えは、本実施形態に係る制御部１８は、画像処理装置１０に電源が投入された後、ROMに格納されたプログラム及びデータを必要に応じてRAMへ展開（ロード）し、展開（ロード）したプログラムを実行することで、電源投入後OSが起動し、起動したOS上で基本機能を動作させている。また、制御部１８は、拡張機能がインストールされている場合、インストールの際に補助記憶部１３へ格納した拡張機能のプログラム及び関連データを、基本機能のプラグインソフトウェアとしてOS上で動作させている。

上記各ハードウェアは、データや制御信号の伝送路であるバス及び接続ケーブルによって接続されている。よって、制御部１８は、周辺の入力部１１、表示部１２、補助記憶部１３、ネットワークI/F１４、外部記憶装置I/F１５、外部入力装置I/F１６、及び主記憶部１７へ、制御信号を送信し、それに対して、入力部１１、表示部１２、補助記憶部１３、ネットワークI/F１４、外部記憶装置I/F１５、外部入力装置I/F１６、及び主記憶部１７からは、制御命令に従って各装置で処理されたデータ信号が制御部１８へ送信される。よって、制御部１８は、画像処理装置全体の動作を制御することができる。

例えば、管理サーバ２０が管理する拡張機能のプログラム及び関連データを画像処理装置１０へインストールする場合、まず、制御部１８では、インストールを行う制御用プログラムが実行され、管理サーバ２０に対し、該当するプログラム及び関連データの取得を要求するデータ要求信号とデータ要求信号を管理サーバ２０へ送信するようにネットワークI/F１４へ制御信号を送る。

その後、制御部１８は、管理サーバ２０からデータ（プログラム及び各種データ）の送信が開始されたことを知らせる信号を、ネットワークI/F１４から受け取り、取得したデータを補助記憶部１３へ転送するようにデータ信号を制御し、転送されたデータを格納するように補助記憶部１３へ制御信号を送る。

このように、画像処理装置１０は、管理サーバ２０が管理する拡張機能のプログラム及び関連データをネットワークI/F1１４を介して取得し、取得したプログラム及び関連データをインストールする（補助記憶部１３へ格納する）ことができ、インストールされた拡張機能のプログラムや関連データを、補助記憶部１３から主記憶部１７のRAMへ展開（ロード）し、展開したプログラムを実行することで機能拡張を実現している。

図２（b）は、本発明の第１の実施形態に係る管理サーバ２０におけるハードウェア構成例を示す図である。

図２（b）に示すように、管理サーバ２０は、入力デバイスI/F２１、ディスプレイI/F２２、補助記憶部１３、ネットワークI/F１４、外部記憶装置I/F１５、主記憶部１７、及び制御部１８を備えている。

入力デバイスI/F２１は、キーボードやマウス等の入力デバイスと管理サーバ２０との間で、データをやり取りするためのインタフェースである。

ディスプレイI/F２２は、CRT（Cathode Ray Tube）や液晶等のディスプレイと管理サーバ２０との間で、RGB信号をやり取りするためのインタフェースである。

管理サーバ２０が備える補助記憶部１３、ネットワークI/F１４、外部記憶装置I/F１５、主記憶部１７、及び制御部１８は、画像処理装置１０が備えるハードウェアと同様のため、これらのハードウェアにおける基本的な動作については説明を省略し、画像処理装置１０との違いについてのみ説明する。

管理サーバ２０の補助記憶部１３は、管理サーバ２０が管理する拡張機能のプログラム及び関連するデータや認証情報を格納する。

管理サーバ２０の外部記憶装置I/F１５は、メモリカードや記憶メディア内に格納された拡張機能のプログラム及び関連するデータ等を、管理サーバ２０とやり取り（読み取り／書き込み）する際のインタフェースとして使用される。

管理サーバ２０の主記憶部１７は、管理サーバ２０を制御するOSのプログラム及び関連データがROMに格納されており、制御部１８により、ROMに格納されたプログラム及び関連データがRAMへ展開（ロード）される。

管理サーバ２０の制御部１８は、管理サーバ２０に電源が投入された後、ROMに格納されたプログラム及びデータを必要に応じてRAMへ展開（ロード）し、展開（ロード）したプログラムを実行することで、電源投入後OSが起動し、起動したOS上で基本機能（例えば、「拡張機能プログラム及び関連データ管理機能」や「認証情報管理機能」。）を動作させている。よって、管理サーバ２０の制御部１８は、管理サーバ２０全体の動作を制御することができる。

このように、管理サーバ２０は、画像処理装置１０から拡張機能のプログラム及び関連データの取得要求を受け取り、要求に応じて、画像処理装置１０へ該当するプログラム及び関連データを送信することができ、拡張機能のプログラムや関連データを画像処理装置１０へ提供している。

次に、管理サーバ２０から画像処理装置１０に対して拡張する機能がどのように提供されているのかについて、図３を用いて説明する。

図３（a）は、本発明の第１の実施形態に係る管理サーバ２０から画像処理装置１０へ機能単位でプログラムをインストールする例を示す図である。

まず、画像処理装置１０が有する機能構成は、大きく分けて基本機能４１と拡張機能４２から構成されている。

図３（a）に示すように、基本機能４１は、画像データを入力する「画像入力機能」、入力した画像データを加工する「画像加工機能」、加工した画像データを出力する「画像出力機能」であり、入力データに対して画像処理を行い、処理した画像データを出力するために必要な機能で構成され、拡張機能４２は、基本機能４１を拡張する機能で構成されている。

よって、基本機能４１は、画像処理装置１０における機能ソフトウェアであり、拡張機能４２は、機能ソフトウェアのプラグインという関係をもっている。

管理サーバ２０では、これらの機能ソフトウェア及び拡張機能プラグインソフトウェアを構成するプログラム及び関連データを機能毎に管理している。

そのため、画像処理装置１０にインストールする際は、インストールしたい機能を構成するプログラム及び関連データをパッケージ化したインストールパッケージ５１（図中の「機能-Xパッケージ」）を、管理サーバ２０からダウンロードし取得する。

また、管理サーバ２０では、画像処理装置１０にインストールするプログラムが適正なプログラムであるか否かを判断するための認証に必要な認証情報５２を利用契約者毎に管理している。

ここで、認証情報５２について、図４を用いて説明する。認証情報５２は、プログラム識別情報５２１、使用可能期限情報５２２及び証明書５２３（暗号化情報）から構成されている。

プログラム識別情報５２１は、プログラム識別コード５２１a、プログラムバージョン５２１b及び対応機種５２１cから構成され、プログラムを識別する情報である。

プログラム識別コード５２１aは、プログラムを識別するため、英数字で構成された文字列（テキスト）データである。また、プログラムバージョン５２１bは、プログラムのバージョンを表す英数字で構成された文字列（テキスト）データである。また、対応機種５２１cは、プログラムが動作する機種を表す英数字で構成された文字列（テキスト）データである。

次に、使用可能期限情報５２２は、有効期限５２２a、自動更新条件５２２b、警告発生条件５２２c、期限切れ動作条件５２２d及び継続使用可能期限５２２eから構成され、該当するプログラムの使用可能期限に関する情報である。

有効期限５２２aは、利用契約者の契約により設定されたプログラムの使用可能期限の日時を表す文字列（テキスト）データである。例えば、「2006.06.15（22h.11m.07s）」等のように日付と時間が情報化され、該当するプログラムをインストールした日時から設定された期限日までは使用可能であることを示す。

また、自動更新条件５２２bは、有効期限５２２aが切れた場合、自動的に利用契約及び利用契約により設定されたプログラムの使用可能期限を更新するか否かを表すビットデータである。例えば、0を「自動更新しない」、1を「自動更新する」とし、自動更新情報５２２bに1が設定されていれば、有効期限５２２aが切れた際に、自動的に使用可能期限を更新する。

また、警告発生条件５２２cは、「使用可能期限切れ間近」の旨を表示部１２の表示画面に表示するための残り日数の条件を表す数字で構成された文字列（テキスト）データである。例えば、"5"を「残り期限5日以下になった時」、"10"を「残り期限10日以下になった時」等、警告発生条件５２２cに"10"が設定されていれば、使用可能期限が残り期限10日以下になった際に、「使用可能期限切れ間近」の旨を表示部１２の表示画面に表示する。

また、期限切れ動作条件５２２dは、有効期限５２２aが切れた場合、該当するプログラムの動作制御条件を表すビットデータである。例えば、'0x01'を「画面表示に警告し継続使用可」、'0x10'を「画面表示に警告し使用不可」等とし、期限切れ動作条件５２２dに'0x10'が設定されていれば、有効期限が切れた際に、画面表示に「使用可能期限切れ」の旨を表示し、該当するプログラムを終了又は起動しない。

また、継続使用可能期限５２２eは、期限切れ動作条件５２２dに「継続使用可」が設定された場合、該当するプログラムの継続使用可能な期間を表す文字列（テキスト）データである。例えば、"5"を「5日間」、"10"を「10日間」等、警告発生条件５２２cに"10"が設定されていれば、該当するプログラムを10日間継続して使用できる。

次に、証明書５２３は、プログラム識別情報５２１と使用可能期限情報５２２とを暗号化した暗号化情報である。

証明書５２３は、他人に広く公開する公開鍵（public key）と厳重に管理する秘密鍵５３（secret key）と対になる2つの鍵を使ってデータの暗号化・復号化を行うRSA（Rivest Shamir Adleman）等の公開鍵暗号（public key cryptosystem）方式を用いて、プログラム識別情報５２１と使用可能期限情報５２２とを暗号化した暗号化情報である。

上記に説明した認証情報５２は、利用契約者毎の情報で、利用契約者の機能使用権限が複数の機能にわたる場合、該当するプログラムに対応した複数のプログラム識別情報５２１と使用可能期限情報５２２とで構成された情報となる。

また、認証情報５２の証明書５２３は、利用契約者の機能使用権限が複数の機能にわたる場合、複数のプログラム識別情報５２１と使用可能期限情報５２２とを1つにまとめ、暗号化した暗号化情報となる。

また、暗号化情報である証明書５２３は、認証情報５２として、画像処理装置１０と管理サーバ２０との間で送受信される。

次に、図３（a）に戻り、証明書５２３に基づいて、管理サーバ２０から画像処理装置１０へ機能単位でプログラムをインストールする流れについて説明する。

まず、画像処理装置１０から管理サーバ２０へ、インストールする機能のプログラムを指定し、認証情報５２の証明書５２３を送信することで、該当するプログラムのインストール（該当するプログラムの取得）許可認証を要求する。

次に、管理サーバ２０は、画像処理装置１０から受け取った証明書５２３が適正な証明書５２３（不正改竄されていないデータ）であるか否かを判断する。

管理サーバ２０が、認証によって、適正な証明書５２３と判断された場合（認証結果がOKの場合）、管理サーバ２０から画像処理装置１０へ該当するプログラムを含むインストールパッケージ５１が送信される。この時、該当するプログラムに対応するプログラム識別情報５２１と使用可能期限情報５２２とが更新され、更新後の情報を暗号化した証明書５２３が発行され画像処理装置１０へ送信される。

画像処理装置１０は、管理サーバ２０から送信されたプログラムを含むインストールパッケージ５１と証明書５２３を取得する。

次に、画像処理装置１０は、取得したプログラムをインストールするとともに、証明書５２３を復号化し、インストールを要求する時点で保持していた認証情報５２を、インストールしたプログラムに対応するプログラム識別情報５２１と使用可能期限情報５２２を含む認証情報５２へ更新する。

ここで、画像処理装置１０が証明書５２３を復号化し、認証情報５２を更新する流れについて、図５を用いて説明する。

図５は、本発明の第１の実施形態に係る画像処理システムにおける認証情報５２の送受信の様子を示す図である。

まず、管理サーバ２０は、プログラム識別情報５２１と使用可能期限情報５２２とを、秘密鍵５３によって暗号化し、証明書５２３を発行する。その後、認証情報５２として発行した証明書５２３を画像処理装置１０へ送信する。

画像処理装置１０は、管理サーバ２０から送信された証明書５２３を取得し、公開鍵５４によって復号化し、プログラム識別情報５２１と使用可能期限情報５２２とを取得し、画像処理装置１０が保持する認証情報５２を更新する。

このように、公開鍵暗号方式を採用した第１の実施形態に係る画像処理システムでは、認証情報５２の送受信において、機密性の高い管理サーバ２０において秘密鍵５３を保持し、認証情報５２の暗号化を行い、管理サーバ２０に比べて機密性の低い画像処理装置１０において公開鍵５４を保持し、管理サーバ２０から取得した暗号化情報（証明書５２３）を公開鍵５４により復号化する方法で、管理サーバ２０と画像処理装置１０との間における認証情報５２の安全性を保持している。

次に、証明書５２３に基づいて、画像処理装置１０にインストールしたプログラムを起動する流れについて、図３（b）を用いて説明する。

まず、画像処理装置１０から管理サーバ２０へ、起動するプログラムを指定し、認証情報５２の証明書５２３を送信することで、該当するプログラムの起動許可認証を要求する。

次に、管理サーバ２０は、画像処理装置１０から受け取った証明書５２３が適正な証明書５２３（不正改竄されていないデータ）であるか否かを判断する。

管理サーバ２０が、認証によって、適正な証明書５２３と判断された場合（認証結果がOKの場合）、認証結果（認証判定OK：プログラムの起動許可）が送信される。

画像処理装置１０は、管理サーバ２０から送信された認証結果（認証判定OK：適正な認証情報５２）を取得し、取得した認証情報（認証判定OK：適正な認証情報５２）に基づいてプログラムを起動する。

このように、第１の実施形態に係る画像処理システムは、管理サーバ２０の認証結果に基づいて、機能毎にプログラムのインストール及びインストールされたプログラムの動作を制御（機能毎にプログラムを管理）することができる。

また、プログラムに埋め込んだ認証情報５２に基づいて、プログラムの適正を判断する認証方式でないため、プログラムを開発する側の作業負担を軽減できる。

また、画像処理装置１０と管理サーバ２０との間で送受信される認証情報５２は、暗号化されているため、悪意により認証情報５２を不正に改竄し、画像処理装置１０が有する機能を利用する等の不正使用を防ぐことができる。

よって、暗号化した情報を含む認証情報５２に基づいて、画像処理装置内のプログラムを機能単位で認証し、適正なプログラムを効率よく管理する画像処理システムを実現することができる。

次に、図３、図４及び図５において説明した画像処理システムにおけるプログラムのインストール及びインストールされたプログラムの動作制御を、どのような機能部により実現しているかについて、図６を用いて説明する。

図６は、本発明の第１の実施形態に係る主要機能部の構成例を示しており、図６（a）が、画像処理装置における主要機能部の構成例を示すブロック図、図６（b）が、管理サーバにおける主要機能部の構成例を示すブロック図である。

まず、画像処理装置１０における主要機能部について、図６（a）を用いて説明する。

図６（a）に示す主要機能部は、プログラム格納部６１、プログラム動作管理部６２、認証要求部６３から構成されている。

プログラム格納部６１は、認証情報更新要求手段６１１、証明書取得手段６１２、プログラム情報要求手段６１３、プログラム情報取得手段６１４、プログラム取得手段６１５、インストール手段６１６及びアンインストール手段６１７を有し、管理サーバ２０から取得したプログラムをインストールし、インストールしたプログラム及び認証情報５２を管理する（例えば、「プログラムの格納又は削除」や「認証情報５２の更新」）。

プログラム動作管理部６２は、動作制御手段６２１、使用可能期限判定手段６２２及び重要機能プログラム判定手段６２３を有し、管理サーバ２０からの認証結果及び認証情報５２に基づいてプログラムの起動と終了を行い、インストールされたプログラムの動作を制御する。

また、プログラム動作管理部６２は、表示手段６２４を有し、管理サーバ２０から取得し、インストールされたプログラムに関する情報（例えば「プログラムの使用可能期限情報５２２」）を表示部１２の表示画面に表示する。

認証要求部６３は、認証要求手段６３１及び利用契約者認証要求手段６３２を有し、利用契約者及び利用契約者に対し発行された証明書５２３が適正か否かを判断するように管理サーバ２０へ要求する。

このように、画像処理装置１０は、上記主要機能部により、プログラムのインストール及びインストールしたプログラムの動作を制御している。

次に、図６（a）において説明した各機能部が有する手段について、図７（a）を用いて説明する。

図７（a）は、本発明の第１の実施形態に係る画像処理装置における主要機能部が有する手段の構成例を示すブロック図である。

まず、プログラム格納部６１が有する認証情報更新要求手段６１１は、管理サーバ２０に対して認証情報５２の更新を要求する。

インストールしたプログラムの使用可能期限切れ又は期限切れ間近の場合、今後も該当するプログラムを使用するため、使用可能期限情報５２２を更新する必要がある。

そのため、認証情報更新要求手段６１１は、利用契約者による更新指示（入力部１１が有するハードキー又は表示部１２のタッチパネルからの更新指示）や使用可能期限情報５２２の自動更新条件５２２bに従い、管理サーバ２０に対して、認証情報５２の使用可能期限情報５２２を利用契約に従って更新するように要求する。

次に、プログラム格納部６１が有する証明書取得手段６１２は、管理サーバ２０から送信される証明書５２３を取得する。

証明書取得手段６１２は、認証情報５２を更新した時や新規プログラムをインストールする時等、画像処理装置１０に新しい認証情報５２が必要な場合、管理サーバ２０から送信された証明書５２３を取得する。

また、証明書取得手段６１２は、取得する以前の証明書５２３を取得した証明書５２３に更新し、保持している公開鍵５４により、更新した証明書５２３を復号化し得た認証情報５２の使用可能期限情報５２２を基に、取得する以前の使用可能期限情報５２２を更新する。

よって、プログラム格納部６１は、契約更新又は新規プログラムのインストールの際に、認証情報更新要求手段６１１により、管理サーバ２０へ認証情報５２の更新を要求し、要求に応じて管理サーバ２０から送信された更新後の認証情報５２である証明書５２３を証明書取得手段６１２により取得することで、画像処理処置１０が保持する認証情報５２の使用可能期限情報５２２を更新することができる。

次に、プログラム格納部６１が有するプログラム情報要求手段６１３は、新規プログラムをインストールする際に、管理サーバ２０へ、画像処理装置１０に対しインストール可能なプログラムに関する情報を表すプログラムリストの取得を要求する。

プログラム情報要求手段６１３は、管理サーバ２０へ、証明書取得手段６１２により取得した証明書５２３を認証情報５２として送信し、プログラムリストの取得を要求する。

次に、プログラム格納部６１が有するプログラム情報取得手段６１４は、新規プログラムをインストールする際に、管理サーバ２０から送信されたプログラムリストを取得する。

プログラム情報取得手段６１４は、プログラム情報要求手段６１３により要求したプログラムリストを、管理サーバ２０が認証結果に基づいて送信するため、送信されたプログラムリストを取得する。

次に、プログラム格納部６１が有するプログラム取得手段６１５は、新規プログラムをインストールする際に、プログラムリストに基づいて該当するプログラムを管理サーバ２０から取得する。

プログラム取得手段６１５は、プログラム情報取得手段６１４により取得したプログラムリストの中から新規インストールするプログラムを選び、管理サーバ２０に対し、該当するプログラムの取得を要求する。

そして、プログラム取得手段６１５は、管理サーバ２０からプログラム取得要求に応じて送信されたプログラムを取得する。

次に、プログラム格納部６１が有するインストール手段６１６は、プログラム取得手段６１５により取得したプログラムをインストールする。

インストール手段６１６は、取得したプログラムを補助記憶部１３の所定の記憶領域に格納する。

次に、プログラム格納部６１が有するアンインストール手段６１７は、インストール手段６１６によりインストールしたプログラムをアンインストールする。

アンインストール手段６１７は、使用可能期限切れとなり契約更新されなかったプログラム等、補助記憶部１３に格納されたプログラムを、プログラム動作管理部６２からの指示により機能単位で削除する。

よって、プログラム格納部６１は、プログラム情報要求手段６１３、プログラム情報取得手段６１４、プログラム取得手段６１５、インストール手段６１６により、管理サーバ２０から機能単位でプログラムを取得し、インストールを行い、また、アンインストール手段６１７により、インストールしたプログラムを機能単位でアンインストールを行い、機能毎にプログラムを管理することができる。

次に、プログラム動作管理部６２が有する動作制御手段６２１は、管理サーバ２０から送信される認証結果に基づいてプログラムの動作を制御する。

動作制御手段６２１は、画像処理装置１０に電源が投入された時や動作中に日付が変わった時（日付変化時）等、利用契約者に対し発行された証明書５２３が適正な認証情報５２か否かを判断する必要がある場合に、管理サーバ２０から送信された認証結果に基づいてプログラムの動作を制御する。

例えば、画像処理装置１０に電源が投入された場合（プログラムを起動する場合）、管理サーバ２０からの認証結果が認証判定OK（適正なプログラム）の時にプログラムを起動する。また、認証判定NG（不適正なプログラム）の時には、プログラムを起動しない。

また、例えば、画像処理装置１０が動作中に日付が変わった場合、管理サーバ２０からの認証結果が認証判定NG（不適正なプログラム）の時は、動作中のプログラムを終了する。

また、動作制御手段６２１は、使用可能期限情報５２２に基づいてプログラムの動作を制御する。

以下に、動作制御手段６２１がプログラムの動作を制御するための判定手段について説明する。

プログラム動作管理部６２が有する使用可能期限判定手段６２２は、使用可能期限情報５２２の有効期限５２２aに基づいて、動作制御手段６２１により動作制御するプログラムの使用可能期限が過ぎたか否かを判断する。

使用可能期限判定手段６２２は、使用可能期限情報５２２の有効期限５２２aの日時と使用可能期限判定時の日時とを比較し、プログラムの使用可能期限が過ぎたか否かを判断する。

動作制御手段６２１は、画像処理装置１０に電源が投入された際（プログラムを起動する際）、認証結果が認証判定OK（適正なプログラム）で、且つ使用可能期限判定手段６２２により、使用可能期限判定時において、該当するプログラムの使用可能期限が過ぎていると判断された場合、プログラムを起動しない。

また、動作制御手段６２１は、画像処理装置１０が動作中に日付が変わった際、認証結果が認証判定OK（適正なプログラム）で、且つ使用可能期限判定手段６２２により、使用可能期限判定時において、該当するプログラムの使用可能期限が過ぎていると判断された場合、動作中のプログラムを終了する。

このような認証結果が認証判定OK（適正なプログラム）で、且つ使用可能期限判定手段６２２により、使用可能期限判定時において、該当するプログラムの使用可能期限が過ぎていると判断された場合の動作制御は、使用可能期限情報５２２の期限切れ動作条件５２２dに基づいて行う。

例えば、期限切れ動作条件５２２dが「画面表示に警告し使用不可」の場合、表示部１２の表示画面に使用可能期限切れの旨を表示し、動作中のプログラムを終了又はプログラムを起動しない。

また、動作制御手段６２１は、認証情報５２のプログラム識別情報５２１に基づいて、インストールしたプログラムのアンインストールをプログラム格納部６１へ指示する。

以下に、動作制御手段６２１がプログラム格納部６１にアンインストールを指示するための判定手段について説明する。

該当するプログラムをアンインストールすると画像処理装置１０が使用不可能となるプログラムか否かを判断し、プログラム格納部６１へアンインストールを指示しなければならない。

そのため、プログラム動作管理部６２は、プログラム識別情報５２１のプログラム識別コード５２１aに基づいて、プログラムのアンインストールをプログラム格納部６１へ指示する重要機能プログラム判定手段６２３を有し、動作制御手段６２１により、重要機能プログラム判定手段６２３により判断した結果に基づいて、プログラム格納部６１へアンインストールを指示する。

また、動作制御手段６１は、重要機能プログラム判定手段６２３により、使用可能期限切れとなったプログラムにおいて、動作を終了すると画像処理装置１０が使用不可能となるプログラムと判断された場合、使用可能期限情報５２２の継続使用可能期限５２２eに基づいて、使用可能期限切れの後、一定期間の間、プログラムを動作又は起動する（使用可能期限切れであってもプログラムの動作を終了しない）。

よって、プログラム動作管理部６２は、動作制御手段６２１において、認証結果及び使用可能期限判定手段６２２による判定結果に基づきプログラムの起動と終了を行う。

また、プログラム動作管理部６２は、動作制御手段６２１において、重要機能プログラム判定手段６２３による判定結果に基づき、プログラムのアンインストールを行う。

このように、プログラム動作管理部６２は、認証結果、使用可能期限、動作条件及び継続使用可能期間に基づいてプログラムの起動と終了を行い、インストールされたプログラムの動作を制御することができる。

また、プログラム動作管理部６２は、使用可能期限切れとなり更新されなかったプログラム等、利用契約に従って画像処理装置１０に格納しておく必要がないプログラムをアンインストールでき、画像処理装置１０にインストールしたプログラム容量を最適に保つことができる（インストール容量を最小限に制限できる）。

次に、プログラム動作管理部６２が有する表示手段６２４は、管理サーバ２０から取得し、インストールされたプログラムに関する情報（例えば「プログラムの使用可能期限情報５２２」）を表示部１２の表示画面に表示する。

表示手段６２４は、動作制御手段６２１により表示を指示された場合、表示部１２の表示画面に表示する。

表示する内容は、「ＸＸ機能は、使用可能期限切れのため起動できません。契約を更新して下さい。」や「ＸＸ機能は、残り10日で使用可能期限切れとなります。契約が切れる前に更新手続きを行って下さい。」等のように、該当するプログラムの動作状態、現在の使用可能期限情報５２２及び契約更新に関する情報である。

よって、プログラム動作管理部６２は、表示手段６２４により、プログラムの動作状態、現在の使用可能期限情報５２２及び契約更新に関する情報を利用契約者に通知することができ、利用契約者に適切な契約管理を促すことができる。

次に、認証要求部６３が有する認証要求手段６３１は、画像処理装置１０に電源が投入された時や動作中に日付が変わった時（日付変化時）等、利用契約者に対し発行された証明書５２３が適正な認証情報５２か否かを判断する必要がある場合に、保持している証明書５２３を管理サーバ２０へ送信し、認証情報５２の認証を要求する。

また、認証要求手段６３１は、管理サーバ２０から送信される、認証要求に応じた認証結果（認証判定OK：適正な認証情報５２/NG：不正改竄された認証情報５２）を取得する。

よって、認証要求部６３は、認証要求手段６３１により、利用契約者に対し発行された証明書５２３が適正か否かを判断するように管理サーバ２０へ要求し、管理サーバ２０からの認証結果に基づいて、証明書５２３が悪意により不正改竄されていないかを確認し、利用契約に従った適正な証明書５２３によりプログラムの正当性を判断することができる。

次に、認証要求部６３が有する利用契約者認証要求手段６３２は、新規のプログラムをインストールする際に、画像処理装置１０に対し管理サーバ２０から適正なプログラム（拡張機能）をインストールするため、インストール前にインストールを要求する利用契約者が正当な利用契約者か否かを判断するように、利用契約者を識別する情報（例えば「公開鍵５４」）を管理サーバ２０へ送信し、利用契約者の認証を要求する。

また、利用契約者認証要求手段６３２は、管理サーバ２０から送信される、認証要求に応じた認証結果（認証判定OK：正当な利用契約者/NG：不正使用）を取得する。

よって、認証要求部６３は、利用契約者認証要求手段６３２により、利用契約者が適正な契約者か否かを判断するように管理サーバ２０へ要求し、管理サーバ２０からの認証結果に基づいて、利用契約者になりすまし悪意により不正使用していないかを確認できる。

このように、画像処理装置１０は、主要機能部が有する各手段により、認証結果に基づきプログラムのインストール、また、認証結果、使用可能期限及び使用可能期限切れの動作条件等に基づいてインストールしたプログラムの動作を制御し管理することができる。

次に、管理サーバ２０における主要機能部について、図６（b）を用いて説明する。

図６（b）に示す主要機能部は、認証要求受取部７１、認証部７２、証明書発行部７３、プログラム提供部７４及び使用可能期限情報管理部７５から構成されている。

認証要求受取部７１は、画像処理装置１０から認証を要求された際に送信される利用契約者を識別する情報及び証明書５２３を受け取り、受け取った情報を認証部７２へ渡し、認証部７２により認証された認証結果を要求先の画像処理装置１０へ応答する。

認証部７２は、認証手段７２１及び利用契約者認証手段７２２を有し、画像処理装置１０から認証要求された利用契約者及び証明書５２３の認証を行う。

証明書発行部７３は、証明書発行手段７３１を有し、認証情報５２のプログラム識別情報５２１と使用可能期限情報５２２を暗号化した証明書５２３を発行する。

プログラム提供部７４は、プログラム情報提供手段７４１及びプログラム提供手段７４２を有し、画像処理装置１０に対しインストール可能なプログラムに関する情報、また、その情報を基に取得を要求されたプログラムを、認証結果に基づいて画像処理装置１０へ提供する。

使用可能期限情報管理部７５は、認証情報更新手段７５１を有し、画像処理装置１０からの認証情報５２の更新要求に応じて、管理サーバ２０が保持する認証情報５２を更新する。

このように、管理サーバ２０は、上記主要機能部により、画像処理装置１０におけるプログラムのインストール及びインストールしたプログラムの動作を制御するために必要な認証及びデータ管理を行っている。

次に、図６（b）において説明した各機能部が有する手段について、図７（b）を用いて説明する。

図７（b）は、本発明の第１の実施形態に係る管理サーバ２０における主要機能部が有する手段の構成例を示すブロック図である。

まず、認証部７２が有する認証手段７２１は、画像処理装置１０から送信された証明書５２３が適正な認証情報５２であるか否かを判断する。

認証手段７２１は、画像処理装置１０に電源が投入された時や動作中に日付が変わった時（日付変化時）等、利用契約者に対し発行された証明書５２３が適正な認証情報５２か否かを判断する必要がある場合に、画像処理装置１０が保持している証明書５２３を送信され、送信された証明書５２３の認証要求に対し認証を行う。

また、認証手段７２１は、認証要求に応じた認証結果（認証判定OK：適正な認証情報５２/NG：不正改竄された認証情報５２）を画像処理装置１０へ送信する。

よって、認証部７２は、認証手段７２１により、画像処理装置１０が保持する証明書５２３が適正か否かを判定し、画像処理装置１０へ判定結果を送信することで、証明書５２３が悪意により不正改竄されていないかを確認し、利用契約に従った適正な証明書５２３によりプログラムの正当性を通知することができる。

次に、利用契約者認証手段７２２は、新規のプログラムをインストールする際に、画像処理装置１０に対して適正なプログラムをインストールするため、画像処理装置１０から、インストール前にインストールを要求する利用契約者が正当な利用契約者か否かを判断するように、利用契約者を識別する情報（例えば「公開鍵５４」）が送信され、送信された利用契約者を識別する情報の認証要求に対して認証を行う。

また、利用契約者認証手段７２２は、認証要求に応じた認証結果（認証判定OK：正当な利用契約者/NG：不正使用）を画像処理装置１０へ送信する。

よって、認証部７２は、利用契約者認証手段７２２により、画像処理装置１０から送信された利用契約者を識別する情報に基づいて利用契約者が適正な利用契約者か否かを判断し、画像処理装置１０へ判定結果を送信することで、利用契約者になりすまし、画像処理装置１０が有する機能を悪意により不正使用していないか通知することできる。

次に、証明書発行部７３が有する証明書発行手段７３１は、プログラム識別情報５２１と使用可能期限情報５２２とを、保持する秘密鍵５３によって、暗号化して証明書５２３を発行する。

証明書発行手段７３１は、認証情報５２を更新した時や新規プログラムをインストールする時等、画像処理装置１０に新しい認証情報５２が必要な場合、画像処理装置１０から証明書５２３の取得を要求され、その要求に応じて最新の証明書５２３を画像処理装置１０へ送信する。

よって、証明書発行部７３は、証明書発行手段７３１により、認証情報５２のプログラム識別情報５２１と使用可能期限情報５２２を暗号化した証明書５２３を発行し、画像処理装置１０に新しい認証情報５２が必要な場合、利用契約に従い管理された最新の証明書５２３を画像処理装置１０へ提供することができる。

次に、プログラム提供部７４が有するプログラム情報提供手段７４１は、新規プログラムをインストールする際に、画像処理装置１０からの要求に応じてインストール可能なプログラムに関する情報を表すプログラムリストを送信する。

プログラム情報提供手段７４１は、認証情報５２に基づいて画像処理装置１０へプログラムリストを送信する。

次に、プログラム提供部７４が有するプログラム提供手段７４２は、新規プログラムをインストールする際に、画像処理装置１０からの要求に応じて該当するプログラムを送信する。

よって、プログラム提供部７４は、プログラム情報提供手段７４１及びプログラム提供手段７４２により、画像処理装置１０に対しインストール可能なプログラムのプログラムリスト、また、そのプログラムリストを基に取得を要求されたプログラムを、認証結果に基づいて画像処理装置１０へ送信し、利用契約に従って画像処理装置１０に適正なプログラムを提供することができる。

次に、使用可能期限情報管理部７５が有する認証情報更新手段７５１は、画像処理装置１０において、インストールしたプログラムの使用可能期限切れ又は期限切れ間近の場合、今後も該当するプログラムを使用するため、使用可能期限情報５２２を更新する必要がある場合、認証情報５２の使用可能期限情報５２２を利用契約に従って更新するように要求され、その要求に応じて使用可能期限情報５２２を更新する。

認証情報更新手段７５１は、プログラム毎の利用契約に従い使用可能期限（例えば「契約期間1年間」）の更新期間に基づいて、使用可能期限情報５２２の有効期限５２２aを変更する。

よって、使用可能期限情報管理部７５は、認証情報更新手段７５１により、画像処理装置１０からの認証情報５２の更新要求に応じて、管理サーバ２０が保持する認証情報５２を契約更新時にプログラム毎の更新期間に基づいて、使用可能期限の期間を更新することできる。

このように、管理サーバ２０は、主要機能部が有する各手段により、画像処理装置１０におけるプログラムのインストール及びインストールしたプログラムの動作を制御するために必要な認証及びデータを管理し、要求に応じて画像処理装置１０が必要な情報を提供することができる。

よって、第１の実施形態に係る画像処理システムは、画像処理装置１０から暗号化した情報を含む認証情報５２が管理サーバ２０に送信され、送信された認証情報５２が管理サーバ２０において適正な認証情報５２であるか否かを判断し、その結果が管理サーバ２０から画像処理装置１０に送信されることで、画像処理装置１０が該当するプログラムの動作を認証結果に従って制御することができる。

よって、暗号化した情報を含む認証情報５２に基づいて、画像処理装置内のプログラムを機能単位で認証し、適正なプログラムを効率よく管理する画像処理システムを実現することができる。

また、画像処理システムは、画像処理装置１０におけるプログラムの動作を制御する必要な使用可能期限情報５２２とプログラム識別情報５２１を暗号化することで、機密性の高い認証情報５２を構成することができる。

よって、画像処理装置１０と管理サーバ２０との間で送受信される認証情報５２は、暗号化されているため、悪意により認証情報５２を不正に改竄し、画像処理装置１０が有する機能を利用する等の不正使用を防ぐことができる。

次に、図６及び図７において説明した画像処理システムにおけるプログラムのインストール及びインストールされたプログラムの動作制御を実現する詳細な方法について図８から図１５を用いて、画像処理装置１０、管理サーバ２０の順に説明する。

まず、画像処理装置１０の主要機能部の処理について、図８から図１０を用いて詳細説明する。

図８は、本発明の第１の実施形態に係る画像処理装置１０におけるプログラム格納部６１に関する処理を示すフローチャートである。

まず、プログラム格納部６１は、インストール、アンインストール又は認証情報５２更新の動作要求を受け付けるまで待つ（Ｓ１０１）。

次に、プログラム格納部６１は、動作要求があった場合（Ｓ１０１がYESの場合）、要求がインストール、アンインストール、又は認証情報更新のうち、どの動作要求かを判定する（Ｓ１０２、Ｓ１１０、又はＳ１１２）。

プログラム格納部６１は、インストールの要求を受け付けた場合（Ｓ１０２がYESの場合）、利用契約者の正当性を確認するため、管理サーバ２０へ認証を要求する。この時、利用契約者を識別する情報として保持している公開鍵５４を管理サーバ２０へ送信する（Ｓ１０３）。

次に、管理サーバ２０において要求した利用契約者が認証された場合、認証後に利用契約者の利用契約に従って発行された証明書５２３が送信される。そのため、プログラム格納部６１は、証明書取得手段６１２により、認証後に管理サーバ２０から送信される証明書５２３の取得を待つ（Ｓ１０４）。

次に、プログラム格納部６１は、管理サーバ２０から利用契約者の証明書５２３を取得した場合（Ｓ１０４がYESの場合）、プログラム情報要求手段６１３により、インストール可能なプログラムに関する情報を表すプログラムリストの取得を管理サーバ２０へ要求する。この時、取得した証明書５２３を管理サーバ２０へ送信し、証明書５２３の認証を要求する（Ｓ１０５）。

次に、プログラム格納部６１は、プログラム情報取得手段６１４により、管理サーバ２０において要求した証明書５２３が認証された場合に管理サーバ２０から送信されたプログラムリストを取得するまで待つ（Ｓ１０６）。

次に、プログラム格納部６１は、管理サーバ２０から送信されるプログラムリストを取得した場合（Ｓ１０６がYESの場合）、プログラム取得手段６１５により、プログラムリストに基づいて、インストールする機能毎のプログラムの取得を管理サーバ２０へ要求し（Ｓ１０７）、管理サーバ２０から該当するプログラムを取得するまで待つ（Ｓ１０８）。

次に、プログラム格納部６１は、管理サーバ２０から該当するプログラムを取得した場合（Ｓ１０８がYESの場合）、インストール手段６１６により、取得したプログラムを補助記憶部１３へ格納する（Ｓ１０９）。

また、プログラム格納部６１は、アンインストールの要求を受け付けた場合（Ｓ１０２がNOでＳ１１０がYESの場合）、アンインストール手段６１７により、インストールしたプログラムのうち、該当するプログラムを、機能単位で補助記憶部１３から削除する（Ｓ１１１）。

また、プログラム格納部６１は、認証情報５２の要求を受け付けた場合（Ｓ１１０がNOでＳ１１２がYESの場合）、認証情報更新要求手段６１１により、管理サーバ２０へ認証情報５２の更新を要求する。この時、取得した証明書５２３を管理サーバ２０へ送信し、証明書５２３の認証を要求する（Ｓ１１３）。

次に、プログラム格納部６１は、証明書取得手段６１２により、管理サーバ２０において要求した証明書５２３が認証された場合に管理サーバ２０から送信された更新された証明書５２３を取得するまで待つ（Ｓ１１４）。

次に、プログラム格納部６１は、管理サーバ２０から送信された更新後の証明書５２３を取得した場合（Ｓ１１４がYESの場合）、保持している公開鍵５４によって、証明書５２３を復号化し（１１５）、復号化して得たプログラム識別情報５２１と使用可能期限情報５２２とを基に、現在保持している認証情報５２を更新する（Ｓ１１６）。

また、プログラム格納部６１は、受け付けた動作要求がインストール、アンインストール又は認証情報更新以外の場合（Ｓ１１２がNOの場合）、インストール、アンインストール又は認証情報更新の動作要求待ちに戻る（Ｓ１０１へ戻る）。

図９は、本発明の第１の実施形態に係る画像処理装置１０におけるプログラム動作管理部６２に関する処理を示すフローチャートである。

図９（a）は、本発明の第１の実施形態に係る画像処理装置１０における電源投入時のプログラム動作管理部６２に関する処理を示すフローチャートである。

まず、プログラム動作管理部６２は、画像処理装置１０に電源が投入された場合や日付が変わった場合に適正なプログラムの起動要求を受け付けるまで待つ（Ｓ２０１）。

次に、プログラム動作管理部６２は、プログラムの起動要求があった場合（Ｓ２０１がYESの場合）、管理サーバ２０へ証明書５２３の認証を要求し（管理サーバ２０へ証明書５２３を送信）、管理サーバ２０からの認証結果（認証判定OK：適正な認証情報５２/NG：不正改竄された認証情報５２）を待つ（Ｓ２０２）。

次に、プログラム動作管理部６２は、管理サーバ２０からの認証結果がOK（認証判定OK：適正な認証情報５２）の場合（Ｓ２０２がYESの場合）、プログラムの起動要求がどの条件（条件１：「画像処理装置１０に電源が投入された時」、条件２：「日付が変わった時」。）によって要求されたかを判定する（Ｓ２０３）。

次に、プログラム動作管理部６２は、プログラムの起動要求が条件１：「画像処理装置１０に電源が投入された時」の場合（Ｓ２０３がYESの場合）、使用可能期限判定手段６２２により、プログラム格納部６１で管理している認証情報５２のうち、使用可能期限情報５２２の有効期限５２２aの日付と、使用可能期限判定時の日付とを比較する（Ｓ２０４）。

使用可能期限判定手段６２２は、比較結果から該当するプログラムの使用可能期限が過ぎているか否かを判定する（Ｓ２０５）。

次に、プログラム動作管理部６２は、使用可能期限判定手段６２２により、使用可能期限が過ぎていると判断した場合（Ｓ２０５がYESの場合）、重要機能プログラム判定手段６２３により、プログラム格納部６１が管理するプログラム識別情報５２１に基づいて、該当するプログラムが画像処理装置１０に対し重要な機能であるか確認し（Ｓ２０６）、重要機能プログラム判定手段６２３により、該当するプログラムが画像処理装置１０に対し重要な機能であるか否か判定する（Ｓ２０７）。

プログラム動作管理部６２は、重要機能プログラム判定手段６２３により、重要機能のプログラムと判断した場合（Ｓ２０７がYESの場合）、プログラム格納部６１が管理する認証情報５２のうち、使用可能期限情報５２２の継続使用可能期限５２２eに基づいて、重要な機能であるために、使用可能期限切れ後において継続して使用可能な期間内であるか否かを判定する（Ｓ２０８）。

プログラム動作管理部６２は、継続使用可能期限内であると判断した場合（Ｓ２０８がYESの場合）、表示手段６２４により、該当するプログラムの使用可能期限が切れてしまっているため、利用契約を更新するように促す内容を表示部１２の表示画面へ表示する（Ｓ２０９）。

次に、プログラム動作管理部６２は、動作制御手段６２１により、継続使用可能期限の間、該当するプログラムを起動し（Ｓ２１０）、起動したプログラムの機能名を表示部１２の表示画面へ表示する（Ｓ２１１）。

また、プログラム動作管理部６２は、重要機能プログラム判定手段６２３により、重要機能のプログラムでないと判断した場合（Ｓ２０７がNOの場合）、プログラムが画像処理装置１０において不適正なプログラムであると判断し、且つ重要な機能でないプログラムと判断されたため、該当するプログラムを機能単位でアンインストールするように、プログラム格納部６１へ要求し（Ｓ２１２）、表示手段６２４により、該当するプログラムをアンインストールした旨を表示部１２の表示画面に表示する（Ｓ２１３）。

また、プログラム動作管理部６２は、使用可能期限判定手段６２２により、使用可能期限内と判断した場合（Ｓ２０５がNOの場合）、プログラム格納部６１が管理する認証情報５２のうち、使用可能期限情報５２２の警告発生条件５２２cに基づいて、使用可能期限切れ間近により警告を発生するか否かを判定する（Ｓ２１４）。

プログラム動作管理部６２は、警告を発生する判断した場合（Ｓ２１４がYESの場合）、表示手段６２４により、使用可能期限切れ間近のため、期限が切れる前に利用契約を更新するように促す内容を表示部１２の表示画面に表示する（Ｓ２１５）。

次に、プログラム動作管理部６２は、動作制御手段６２１により、該当するプログラムを起動し（Ｓ２１６）、起動したプログラムの機能名を表示部１２の表示画面へ表示する（Ｓ２１７）。

また、プログラム動作管理部６２は、管理サーバ２０からの認証結果がNG（認証判定NG：不正改竄された認証情報５２）の場合（Ｓ２０２がNOの場合）、表示手段６２４により、不適正な証明書５２３によりプログラムの起動が許可されなかった旨を表示部１２の表示画面に表示し、該当するプログラムは起動しない（B）。

図９（b）は、本発明の第１の実施形態に係る画像処理装置１０における日付変化時のプログラム動作管理部６２に関する処理を示すフローチャートである。

プログラム動作管理部６２は、プログラムの起動要求が条件２：「日付が変わった時」の場合（Ｓ２０３がNOの場合：A）、使用可能期限判定手段６２２により、プログラム格納部６１で管理している認証情報５２のうち、使用可能期限情報５２２の有効期限５２２aの日付と、使用可能期限判定時の日付とを比較する（Ｓ２１９）。

使用可能期限判定手段６２２は、比較結果から該当するプログラムの使用可能期限が過ぎているか否かを判定する（Ｓ２２０）。

次に、プログラム動作管理部６２は、使用可能期限判定手段６２２により、使用可能期限が過ぎていると判断した場合（Ｓ２２０がYESの場合）、重要機能プログラム判定手段６２３により、プログラム格納部６１が管理するプログラム識別情報５２１に基づいて、該当するプログラムが画像処理装置１０に対し重要な機能であるか確認し（Ｓ２２１）、重要機能プログラム判定手段６２３により、該当するプログラムが画像処理装置１０に対し重要な機能であるか否か判定する（Ｓ２２２）。

プログラム動作管理部６２は、重要機能プログラム判定手段６２３により、重要機能のプログラムと判断した場合（Ｓ２２２がYESの場合）、プログラム格納部６１が管理する認証情報５２のうち、使用可能期限情報５２２の継続使用可能期限５２２eに基づいて、重要な機能であるために、使用可能期限切れ後において継続して使用可能な期間内であるか否かを判定する（Ｓ２２３）。

プログラム動作管理部６２は、継続使用可能期限内であると判断した場合（Ｓ２２３がYESの場合）、表示手段６２４により、該当するプログラムの使用可能期限が切れてしまっているため、利用契約を更新するように促す内容を表示部１２の表示画面へ表示する（Ｓ２２４）。

次に、プログラム動作管理部６２は、動作制御手段６２１により、継続使用可能期限の間、起動したプログラムの機能名を表示部１２の表示画面へ表示する（Ｓ２２５）。

また、プログラム動作管理部６２は、重要機能プログラム判定手段６２３により、重要機能のプログラムでないと判断した場合（Ｓ２２２がNOの場合）、プログラムが画像処理装置１０において不適正なプログラムであると判断し、且つ重要な機能でないプログラムと判断されたため、該当するプログラムの動作を終了し（Ｓ２２６）、該当するプログラムを機能単位でアンインストールするように、プログラム格納部６１へ要求する（Ｓ２２７）。

次に、プログラム動作管理部６２は、表示手段６２４により、該当するプログラムをアンインストールした旨を表示部１２の表示画面に表示する（Ｓ２２８）。

また、プログラム動作管理部６２は、使用可能期限判定手段６２２により、使用可能期限内と判断した場合（Ｓ２２０がNOの場合）、プログラム格納部６１が管理する認証情報５２のうち、使用可能期限情報５２２の警告発生条件５２２cに基づいて、使用可能期限切れ間近により警告を発生するか否かを判定する（Ｓ２２９）。

プログラム動作管理部６２は、警告を発生する判断した場合（Ｓ２２９がYESの場合）、表示手段６２４により、使用可能期限切れ間近のため、期限が切れる前に利用契約を更新するように促す内容を表示部１２の表示画面に表示する（Ｓ２３０）。

次に、プログラム動作管理部６２は、動作制御手段６２１により、動作中のプログラムの機能名を表示部１２の表示画面へ表示する（Ｓ２３１）。

図１０は、本発明の第１の実施形態に係る画像処理装置１０における認証要求部６３に関する処理を示すフローチャートである。

まず、認証要求部６３は、プログラム格納部６１やプログラム動作管理部６２からの認証要求を受け付けるまで待つ（Ｓ３０１）。

次に、認証要求部６３は、認証要求を受け付け（Ｓ３０２）、認証要求の種類（「利用契約者認証」、「証明書認証」）を判定する（Ｓ３０３）。

認証要求部６３は、利用契約者認証要求手段６３２により、利用契約者の認証要求を受け付けた場合（Ｓ３０３が「利用契約者認証」の場合）、利用契約者を識別する情報である公開鍵５４を管理サーバ２０へ送信し、認証を要求する（Ｓ３０４）。

また、認証要求部６３は、利用契約者の認証要求を受け付けた場合（Ｓ３０３が「証明書認証」の場合）、認証要求手段６３１により、証明書５２３を管理サーバ２０へ送信し、認証を要求する（Ｓ３０７）。

次に、認証要求部６３は、管理サーバ２０からの認証結果（利用契約者認証の場合は、「認証判定OK：正当な利用契約者/NG：不正使用」、証明書認証の場合は、「認証判定OK：適正な認証情報５２/NG：不正改竄された認証情報５２」）を受け取るまで待つ（Ｓ３０５）。

認証要求部６３は、管理サーバ２０からの認証結果を受け取った場合（Ｓ３０５がYESの場合）、取得した認証結果をプログラム格納部６１やプログラム動作管理部６２に応答する（Ｓ３０６）。

次に、管理サーバ２０の主要機能部の処理について、図１１から図１５を用いて詳細説明する。

図１１は、本発明の第１の実施形態に係る管理サーバ２０における認証要求受取部７１に関する処理を示すフローチャートである。

まず、認証要求受取部７１は、画像処理装置１０からの認証要求を受け付けるまで待つ。この時、画像処理装置１０から送信された公開鍵５４又は証明書５２３を取得する（Ｓ４０１）。

次に、認証要求受取部７１は、認証要求を受け付け、受け付けた認証要求を認証部７２へ転送する。この時、取得した公開鍵５４又は証明書５２３を転送する（Ｓ４０２）。

次に、認証要求受取部７１は、認証部７２からの認証結果を待ち（Ｓ４０３）、認証結果を受け取った場合（Ｓ４０３がYESの場合）、受け取った認証結果を画像処理装置１０へ送信する（Ｓ４０４）。

図１２は、本発明の第１の実施形態に係る管理サーバ２０における認証部７２に関する処理を示すフローチャートである。

まず、認証部７２は、認証要求受取部７１からの認証要求を受け付けるまで待つ（Ｓ５０１）。

認証部７２は、認証要求を受け付けた場合（Ｓ５０１がYESの場合）、受け付けた認証要求が「利用契約者認証」か「証明書認証」かを判定する（Ｓ５０２）。

次に、認証部７２は、認証要求が「利用契約者認証」の場合（Ｓ５０２が「利用契約者認証」の場合）、利用契約者認証手段７２２により、取得した公開鍵５４に対して、正当な利用契約者か否かを判定する（Ｓ５０３）。

次に、認証部７２は、利用契約者認証手段７２２により認証した認証結果が、正当な利用契約者（認証判定OK）か不正使用（認証判定NG）かを判定し（Ｓ５０４）、「正当な利用契約者（認証判定OK）」の場合（Ｓ５０４がYESの場合）、認証結果（認証判定OK）とともに、プログラム提供部７４に、インストール可能なプログラムに関する情報を表すプログラムリスト又はインストール可能なプログラムを送信するように指示する（Ｓ５０５）。

また、「不正使用（認証判定NG）」の場合（Ｓ５０４がNOの場合）、認証結果（認証判定NG）を認証要求受取部７１に転送し、画像処理装置１０へ送信するように指示する（Ｓ５０９）。

また、認証部７２は、認証要求が「証明書認証」の場合（Ｓ５０２が「証明書認証」の場合）、認証手段７２１により、取得した証明書５２３に対して、適正な証明書５２３であるか否かを判定する（Ｓ５０６）。

次に、認証部７２は、認証手段７２１により認証した認証結果が、適正な認証情報５２（認証判定OK）か不正改竄された認証情報５２（認証判定NG）かを判定し（Ｓ５０７）、「適正な認証情報５２（認証判定OK）」の場合（Ｓ５０７がYESの場合）、認証結果（認証判定OK）とともに、使用可能期限情報管理部７５に認証情報５２の使用可能期限情報５２２の更新を指示し、更新後、新しい証明書５２３を画像処理装置１０へ送信するように指示する（Ｓ５０８）。

また、「不正改竄された認証情報５２（認証判定NG）」の場合（Ｓ５０７がNOの場合）、認証結果（認証判定NG）を認証要求受取部７１に転送し、画像処理装置１０へ送信するように指示する（Ｓ５０９）。

図１３は、本発明の第１の実施形態に係る管理サーバ２０における証明書発行部７３に関する処理を示すフローチャートである。

まず、証明書発行部７３は、使用可能期限情報管理部７５から新しい証明書５２３を発行するように要求されるまで待つ（Ｓ６０１）。

次に、証明書発行部７３は、証明書発行要求を受け付けた場合（Ｓ６０１がYESの場合）、取得した証明書５２３を受け取り（Ｓ６０２）、補助記憶部１３へ格納された更新後の認証情報５２を取得する（Ｓ６０３）。

次に、証明書発行部７３は、証明書発行手段７３１により、保持している秘密鍵５３によって、取得した認証情報５２のプログラム識別情報５２１と使用可能期限情報５２２を暗号化し、新しい証明書５２３を発行する（Ｓ６０４）。

次に、証明書発行部７３は、新しく発行した証明書５２３を補助記憶部１３へ格納し（Ｓ６０５）、発行した証明書５２３を画像処理装置１０へ送信する（Ｓ６０６）。

図１４は、本発明の第１の実施形態に係る管理サーバ２０におけるプログラム提供部７４に関する処理を示すフローチャートである。

まず、プログラム提供部７４は、認証部７２からプログラムリスト又はプログラムを提供するように要求されるまで待つ（Ｓ７０１）。

次に、プログラム提供部７４は、プログラムリスト又はプログラム提供要求を受け付けた場合（Ｓ７０１がYESの場合）、要求を受け付け（Ｓ７０２）、受け付けた要求が「プログラムリスト提供要求」か「プリグラム提供要求」かを判定する（Ｓ７０３）。

プログラム提供部７４は、受け付けた要求が「プログラムリスト」の場合（Ｓ７０３が「プログラムリスト」の場合）、プログラム提供手段７４１により、補助記憶部１３へ格納されたプログラムリストを取得し（Ｓ７０４）、取得したプログラムリストを画像処理装置１０へ送信する（Ｓ７０５）。

また、プログラム提供部７４は、受け付けた要求が「プログラム」の場合（Ｓ７０３が「プログラム」の場合）、プログラム提供手段７４１により、補助記憶部１３へ格納されたプログラムを取得し（Ｓ７０６）、取得したプログラムを画像処理装置１０へ送信する（Ｓ７０７）。

図１５は、本発明の第１の実施形態に係る管理サーバ２０における使用可能期限情報管理部７５に関する処理を示すフローチャートである。

まず、使用可能期限情報管理部７５は、認証部７２から認証情報５２の使用可能期限情報５２２を送信するように要求されるまで待つ（Ｓ８０１）。

次に、使用可能期限情報５２２の更新要求を受け付けた場合（Ｓ８０１がYESの場合）、要求を受け付け（Ｓ８０２）、補助記憶部１３へ格納された認証情報５２の使用可能期限情報５２２を取得し（Ｓ８０３）、認証情報更新手段７５１により、プログラム毎の利用契約に従い使用可能期限の更新期間に基づいて、取得した使用可能期限情報５２２の有効期限５２２aを変更し、補助記憶部１３へ格納する（Ｓ８０４）。

次に、使用可能期限情報管理部７５は、証明書発行部７３に、更新した使用可能期限情報５２２を含む認証情報５２を基に新しい証明書５２３を発行し、画像処理装置１０へ送信するように指示する（Ｓ８０５）。

次に、図８から図１５で示した画像処理装置１０と管理サーバ２０との関係性を明確にするため、画像処理システムにおけるプログラムのインストールとアンインストール、起動と終了及び認証情報５２の更新の流れについて、図１６から図１９を用いて説明する。

図１６は、本発明の第１の実施形態に係るプログラムをインストールする流れを示すシーケンス図である。

まず、画像処理装置１０が有するプログラム格納部６１は、インストール指示を受け付けると（１−１）、認証要求部６３に利用契約者の認証を要求する（１−２）。

次に、認証要求部６３は、画像処理装置１０は保持している公開鍵５４を管理サーバ２０へ送信することで、管理サーバ２０へ利用契約者の認証を要求する（１−３）。

管理サーバ２０が有する認証要求受取部７１は、画像処理装置１０から送信された公開鍵５４を受け取り、受け取った公開鍵５４を認証部７２へ転送することで、利用契約者の認証を指示する（１−４）。

次に、認証部７２は、利用契約者に対して、取得した公開鍵５４を基に認証を行い、認証結果に従って、認証判定がOKの場合、利用契約者に対応する証明書５２３の発行を証明書発行部７３に指示し（１−５）、認証結果（認証判定OK）を認証要求受取部７１に応答する（１−６）。その結果、認証要求受取部７１は、画像処理装置１０へ認証結果を送信する（１−７）。

次に、画像処理装置１０が有する認証要求部６３は、プログラム格納部６１に認証結果を応答する（１−８）。

また、管理サーバ２０が有する証明書発行部７３は、発行した証明書５２３を画像処理装置１０が有するプログラム格納部６１へ送信する（１−９）。

このように、画像処理装置１０は、管理サーバ２０において、正当な利用契約者であることを確認され、利用契約者に対応した証明書５２３が発行される。

次に、画像処理装置１０が有するプログラム格納部６１は、認証要求部６３にプログラムリストの取得を要求する（１―１０）。

次に、認証要求部６３は、取得した証明書５２３を管理サーバ２０へ送信することで、管理サーバ２０へ証明書５２３の認証を要求する（１―１１）。

管理サーバ２０が有する認証要求受取部７１は、受け取った証明書５２３を認証部７２へ転送することで、証明書５２３の認証を指示する（１―１２）。

次に、認証部７２は、取得した証明書５２３に対して認証を行い、認証結果に従って、認証判定がOKの場合、利用契約に対応するプログラムリストの提供をプログラム提供部７４に指示し（１−１３）、認証結果（認証判定OK）を認証要求受取部７１に応答する（１−１４）。その結果、認証要求受取部７１は、画像処理装置１０へ認証結果を送信する（１−１５）。

次に、画像処理装置１０が有する認証要求部６３は、プログラム格納部６１に認証結果を応答する（１−１６）。

また、管理サーバ２０が有するプログラム提供部７４は、プログラムリストを画像処理装置１０が有するプログラム格納部６１へ送信する（１−１７）。

このように、画像処理装置１０は、管理サーバ２０において、適正な証明書５２３であることが確認され、インストール可能なプログラムに関する情報を表すプログラムリストを取得する。

次に、画像処理装置１０が有するプログラム格納部６１は、認証要求部６３にインストールするプログラムの取得を要求する（１−１８）。

次に、認証要求部６３は、証明書５２３を管理サーバ２０へ送信することで、管理サーバ２０へ証明書５２３の認証を要求する（１−１９）。

管理サーバ２０が有する認証要求受取部７１は、受け取った証明書５２３を認証部７２へ転送することで、証明書５２３の認証を指示する（１−２０）。

次に、認証部７２は、取得した証明書５２３に対して認証を行い、認証結果に従って、認証判定がOKの場合、利用契約に対応するプログラムの提供をプログラム提供部７４に指示し（１−２１）、認証結果（認証判定OK）を認証要求受取部７１に応答する（１−２２）。その結果、認証要求受取部７１は、画像処理装置１０へ認証結果を送信する（１−２３）。

次に、画像処理装置１０が有する認証要求部６３は、プログラム格納部６１に認証結果を応答する（１−２４）。

また、管理サーバ２０が有するプログラム提供部７４は、プログラムを画像処理装置１０が有するプログラム格納部６１へ提供する（１−２５）。

このように、画像処理装置１０は、プログラムリストを基に、インストールするプログラムを管理サーバ２０から取得し、インストールする。

よって、第１の実施形態に係る画像処理システムでは、利用契約に基づいてプログラムをインストールすることができる。

図１７は、本発明の第１の実施形態に係るプログラムを起動した際の流れ示すシーケンス図である。

図１７（a）は、本発明の第１の実施形態に係る電源投入時にプログラムを起動した際の認証結果がOKの場合の流れ示すシーケンス図である。

まず、画像処理装置１０が有するプログラム動作管理部６２は、画像処理装置１０に電源が投入された場合、プログラムの起動指示を受け付ける（２−１）。

次に、プログラム動作管理部６２は、プログラム格納部６１に証明書５２３の取得を要求し（２−２）、要求に応じて送信された証明書５２３を受け取り（２−３）、認証要求部６３に証明書５２３の認証を要求する（２―４）。

次に、認証要求部６３は、証明書５２３を管理サーバ２０へ送信することで、管理サーバ２０へ証明書５２３の認証を要求する（２−５）。

管理サーバ２０が有する認証要求受取部７１は、画像処理装置１０から送信された証明書５２３を受け取り、受け取った証明書５２３を認証部７２へ転送することで、証明書５２３の認証を指示する（２−６）。

次に、認証部７２は、取得した証明書５２３に対して認証を行い、認証結果（認証判定OK）を認証要求受取部７１に応答する（２−７）。その結果、認証要求受取部７１は、画像処理装置１０へ認証結果を送信する（２−８）。

次に、画像処理装置１０が有する認証要求部６３は、プログラム動作管理部６２に認証結果を応答する（２−９）。

次に、プログラム動作管理部６２は、プログラム格納部６１が管理する認証情報５２の使用可能期限情報５２２の取得を要求し（２−１０）、要求に応じて送信された使用可能期限情報５２２を受け取り（２−１１）、受け取った使用可能期限情報５２２の有効期限５２２aに基づいて、使用可能期限判定を行う。

プログラム動作管理部６２は、使用可能期限判定の結果に従って、起動するプログラムが使用可能期限内である場合、プログラムを起動し、起動したプログラムの機能名を表示部１２に表示するよう指示する（２−１２）。

図１７（b）は、本発明の第１の実施形態に係る電源投入時にプログラムを起動した際の認証結果がNGの場合の流れを示すシーケンス図である。

図１７（b）に示す流れのうち、（３−１）〜（３−９）については、管理サーバ２０による証明書５２３の認証結果がNG以外は、図１７（a）に示した（２−１）〜（２−９）と同じであるため、その説明を省略し、異なる点（プログラムを起動しない点）についての流れを説明する。

画像処理装置１０が有するプログラム動作管理部６２は、管理サーバ２０からの証明書認証結果（認証判定NG）に従って、該当するプログラムを起動せず、認証結果がNGのため（利用契約者の証明書５２３が不適正な認証結果と判断されたため）、起動できない旨を表示部１２に表示するよう指示する（３−１０）。

図１８は、本発明の第１の実施形態に係る日付変化時の流れを示すシーケンス図である。

図１８（a）は、本発明の第１の実施形態に係る日付変化時に使用可能期限を判定した際の判定結果が「期限内」の場合の流れを示すシーケンス図である。

まず、画像処理装置１０が有するプログラム動作管理部６２は、プログラムの動作中に日付が変わった場合、プログラムにおける使用可能期限の確認指示を受け付ける（４−１）。

次に、プログラム動作管理部６２は、プログラム格納部６１に証明書５２３の取得を要求し（４−２）、要求に応じて送信された証明書５２３を受け取り（４−３）、認証要求部６３に証明書５２３の認証を要求する（４―４）。

次に、認証要求部６３は、証明書５２３を管理サーバ２０へ送信することで、管理サーバ２０へ証明書５２３の認証を要求する（４−５）。

管理サーバ２０が有する認証要求受取部７１は、受け取った証明書５２３を認証部７２へ転送することで、証明書５２３の認証を指示する（４−６）。

次に、認証部７２は、取得した証明書５２３に対して認証を行い、認証結果（認証判定OK）を認証要求受取部７１に応答する（４−７）。その結果、認証要求受取部７１は、画像処理装置１０へ認証結果を送信する（４−８）。

次に、画像処理装置１０が有する認証要求部６３は、プログラム動作管理部６２に認証結果を応答する（４−９）。

次に、プログラム動作管理部６２は、プログラム格納部６１が管理する認証情報５２の使用可能期限情報５２２の取得を要求し（４−１０）、要求に応じて送信された使用可能期限情報５２２を受け取り（４−１１）、受け取った使用可能期限情報５２２の有効期限５２２aに基づいて、使用可能期限判定を行う。

プログラム動作管理部６２は、使用可能期限判定の結果に従って、起動するプログラムが使用可能期限内である場合、プログラムをそのまま動作させる。

このように、第１の実施形態に係る画像処理システムでは、利用契約に基づいて、プログラムの動作を制御することができる。

図１８（b）は、本発明の第１の実施形態に係る日付変化時に使用可能期限を判定した際の判定結果が「期限切れ」の場合の流れを示すシーケンス図である。

図１８（b）に示す流れのうち、（５−１）〜（５−１１）については、図１８（a）に示した（４−１）〜（４−１１）と同じであるため、その説明を省略し、異なる点（使用可能期限切れのため動作中のプログラムを終了する点）についての流れを説明する。

画像処理装置１０が有するプログラム動作管理部６２は、使用可能期限判定の結果（使用可能期限切れ）に従って、動作中のプログラムを終了する。

次に、プログラム動作管理部６２は、プログラム格納部６１が管理する認証情報５２のプログラム識別情報５２１の取得を要求し（５−１２）、要求に応じて送信されたプログラム識別情報５２１を受け取り（５−１３）、受け取ったプログラム識別情報５２１のプログラム識別コード５２１aに基づいて、重要機能プログラム判定を行う。

プログラム動作管理部６２は、重要機能プログラム判定の結果に従って、該当するプログラムが重要な機能のプログラムでない場合、プログラム格納部６１に該当するプログラムを補助記憶部１３から削除するように指示し（５−１４）、「使用可能期限切れ」且つ「重要でない機能のプログラム」であったため、動作中のプログラムを終了し、アンインストールした旨を表示部１２に表示するよう指示する（５−１５）。

このように、第１の実施形態に係る画像処理システムでは、利用契約に基づいて必要ないプログラムをアンインストールすることができる。

図１８（c）は、本発明の第１の実施形態に係る日付変化時に使用可能期限を判定した際の判定結果が「期限切れ間近」の場合の流れを示すシーケンス図である。

図１８（c）に示す流れのうち、（６−１）〜（６−１１）については、図１８（a）に示した（４−１）〜（４−１１）又は図１８（b）に示した（５−１）〜（５−１１）と同じであるため、その説明を省略し、異なる点（使用可能期限切れ間近のため利用契約の更新を要求する点）についての流れを説明する。

画像処理装置１０が有するプログラム動作管理部６２は、使用可能期限判定の結果（使用可能期限切れ間近）に従って、使用可能期限切れ間近であるため、利用契約を更新するように促す内容を表示部１２に表示するよう指示する（６−１２）。

このように、第１の実施形態に係る画像処理システムでは、利用契約の更新を使用可能期限が切れる前に通知することができる。

図１９は、本発明の第１の実施形態に係る認証情報を更新する流れを示すシーケンス図である。

まず、画像処理装置１０が有するプログラム格納部６１は、認証情報５２の更新指示を受け付けると（７−１）、認証要求部６３に証明書５２３の認証を要求する（７−２）。

次に、認証要求部６３は、証明書５２３を管理サーバ２０へ送信することで、管理サーバ２０へ証明書５２３の認証を要求する（７−３）。

管理サーバ２０が有する認証要求受取部７１は、受け取った証明書５２３を認証部７２へ転送することで、証明書５２３の認証を指示する（７−４）。

次に、認証部７２は、取得した証明書５２３に対して認証を行い、認証結果（認証判定OK）を認証要求受取部７１に応答する（７−５）。その結果、認証要求受取部７１は、画像処理装置１０へ認証結果を送信する（７−６）。

次に、画像処理装置１０が有する認証要求部６３は、プログラム格納部６１に認証結果を応答する（７−７）。

また、管理サーバ２０が有する認証部７２は、認証結果に従って、認証判定がOKの場合、認証情報５２の使用可能期限情報５２２を更新するように使用可能期限情報管理部７５へ指示する（７−８）。

使用可能期限情報管理部７５は、利用契約に従い使用可能期限の更新期間に基づいて、取得した使用可能期限情報５２２の有効期限５２２aを変更し、証明書発行部７３に更新後の認証情報５２の使用可能期限情報５２２を含む新しい証明書５２３を発行し、画像処理装置１０へ送信するように指示する（７−９）。

証明書発行部７３は、更新後の認証情報５２を基に、新しい証明書５２３を発行し、画像処理装置１０へ送信する（７−１０）。

画像処理装置１０が有するプログラム格納部６１は、管理サーバ２０から送信された新しい証明書５２３を受け取り、復号化して得た使用可能期限情報５２２に基づいて、現在保持している使用可能期限情報５２２を更新し、認証情報５２の使用可能期限情報５２２を更新した旨を表示部１２に表示するよう指示する（７−１１）。

このように、第１の実施形態に係る画像処理システムでは、認証情報５２を更新することができる。

以下に、第１の実施形態の変形例について、図２０〜図２３を用いて説明する。

図２０及び図２１は、本発明の第１の実施形態の変形例に係る画像処理システムにおけるシステム構成例を示す図である。

本発明の第１の実施形態では、管理サーバ２０において認証要求受取部７１、認証部７２、証明書発行部７３、プログラム提供部７４及び使用可能期限情報管理部７５の全ての処理を1つの管理サーバ２０によって実現する方法を説明したが、図２０に示すように、認証要求受取部７１及び認証部７２を有する認証サーバ２０aと、証明書発行部７３、プログラム提供部７４及び使用可能期限情報管理部７５を有するプログラム管理サーバ２０bとで構成し、機能毎に複数の管理サーバ２０nに分離しても良い（分散型管理サーバ２０a及び２０b）。

このように構成された画像処理システムは、管理サーバ２０の負荷が軽減される効果がある。

また、図２１に示すように、認証部７２を有する画像処理装置１０（拡張型画像処理装置１０）、証明書発行部７３、プログラム提供部７４及び使用可能期限情報管理部７５を有するプログラム管理サーバ２０で構成しても良い。

このように構成された画像処理システムは、認証時に、ネットワーク３０を介して管理サーバ２０へ認証要求することがないため、ネットワーク３０の回線状態（送受信状態）や回線性能（帯域幅）等に影響されることがなく、認証要求に対する応答の迅速さと処理の高速化を図ることができる。

図２２は、本発明の第１の実施形態の変形例に係る拡張型画像処理装置１０のプログラムを起動した際の流れ示すシーケンス図である。

図２２に示すように、画像処理装置内に認証部７２を有するため、ネットワーク３０を介して管理サーバ２０へ認証を要求しない。

このように、拡張型画像処理装置１０は、プログラムの起動や動作中のプログラムの確認等の場合、画像処理装置１０において全ての処理が行えるため効果は大きい。

また、図２３は、本発明の第１の実施形態の変形例に係る画像形成装置９０のハードウェア構成例を示すブロック図である。

図２３に示すように、画像形成装置９０は、図１に示した画像処理装置１０が有するハードウェア構成に加え、印刷部１９を備えている。

印刷部１９は、プリンタエンジンと呼ばれ、画像処理（例えば、「フィルタ処理」、「解像度変換」、「カラーマッチング」、「γ補正」、「階調変換」等。）を行った後に生成されたラスタイメージ（ビットマップイメージ）を用紙へ印刷する画像形成部と、用紙を画像形成部へ搬送する給紙搬送部と、印刷後の用紙を排紙する用紙排紙部とから構成される。

よって、印刷部１９は、図２で示した基本機能４１（「画像入力機能」、「画像加工機能」、「画像出力機能」）のうち、画像出力機能から受け取った画像データを用紙へ印刷する。

このように、画像形成装置９０に代表される画像処理装置１０を有する装置であれば、第１の実施形態を実施することができる。

以上のように、本発明の第１の実施形態によれば、画像処理装置１０におけるプログラム格納部６１は、認証情報更新要求手段６１１、証明書取得手段６１２、プログラム情報要求手段６１３、プログラム情報取得手段６１４、プログラム取得手段６１５、インストール手段６１６及びアンインストール手段６１７を有し、管理サーバ２０から取得したプログラム及び関連データをインストールし、インストールしたプログラムや認証情報５２を管理する（例えば、「プログラムの格納又は削除」や「認証情報５２の更新」）。

プログラム動作管理部６２は、動作制御手段６２１、使用可能期限判定手段６２２、重要機能プログラム判定手段６２３、管理サーバ２０からの認証結果及び認証情報５２に基づいてプログラムの起動と終了を行い、インストールされたプログラムの動作を制御する。

また、プログラム動作管理部６２は、表示手段６２４を有し、管理サーバ２０から取得し、インストールされたプログラムに関する情報（例えば「プログラムの使用可能期限情報５２２」）を表示部１２の表示画面に表示する。

認証要求部６３は、認証要求手段６３１及び利用契約者認証要求手段６３２を有し、利用契約者及び利用契約者に対し発行された証明書５２３が適正か否かを判断するように管理サーバ２０へ要求する。

このように、画像処理装置１０は、主要機能部が有する各手段により、認証結果に基づきプログラムをインストールすることができ、また、認証結果、使用可能期限及び使用可能期限切れの動作条件等に基づいてインストールしたプログラムの動作を制御し管理することができる。
また、管理サーバ２０における認証要求受取部７１は、画像処理装置１０から認証を要求された際に送信される利用契約者を識別する情報及び証明書５２３を受け取り、受け取った情報を認証部７２へ渡し、認証部７２により認証された認証結果を要求先の画像処理装置１０へ応答する。

認証部７２は、認証手段７２１及び利用契約者認証手段７２２を有し、画像処理装置１０から認証要求された利用契約者及び証明書５２３の認証を行う。

証明書発行部７３は、証明書発行手段７３１を有し、認証情報５２のプログラム識別情報５２１と使用可能期限情報５２２を暗号化した証明書５２３を発行する。

プログラム提供部７４は、プログラム情報提供手段７４１及びプログラム提供手段７４２を有し、画像処理装置１０に対しインストール可能なプログラムに関する情報、また、その情報を基に取得を要求されたプログラムを、認証結果に基づいて画像処理装置１０へ提供する。

使用可能期限情報管理部７５は、認証情報更新手段７５１を有し、画像処理装置１０からの認証情報５２の更新要求に応じて、管理サーバ２０が保持する認証情報５２を更新する。

このように、管理サーバ２０は、主要機能部が有する各手段により、画像処理装置１０におけるプログラムのインストール及びインストールしたプログラムの動作を制御するために必要な認証及びデータを管理し、要求に応じて画像処理装置１０が必要な情報を提供することができる。

以上のように、本発明の第１の実施形態によれば、まず、画像処理装置１０から暗号化した情報を含む認証情報５２が管理サーバ２０に送信される。その後、管理サーバ２０において送信された認証情報５２が適正な認証情報５２であるか否かを判断され、適正な認証情報５２であると判断された場合、管理サーバ２０から画像処理装置１０へプログラムが提供される。

画像処理装置１０は、取得したプログラムを補助記憶部１３の所定の記憶領域に格納し、プログラムの証明書を基に、拡張機能プログラムを動作させることで、画像処理装置１０が該当するプログラムの動作を認証結果に従って制御することができる。

これによって、第１の実施形態では、暗号化した情報を含む認証情報５２に基づいて、画像処理装置内のプログラムを機能単位で認証し、適正なプログラムを効率よく管理する画像処理システムを実現することができる。

また、画像処理システムは、画像処理装置１０と管理サーバ２０との間で送受信される認証情報５２が暗号化されているため、悪意により認証情報５２を不正に改竄し、画像処理装置１０が有する機能を利用する等の不正使用を防ぐことができる。

［第２の実施形態］
第２の実施形態は、画像処理システムを構成するプログラム管理サーバから、プログラムのみを証明する機能（以下、「プログラム証明機能」という。）を分離し、分離したプログラム証明機能を別の管理サーバで行うことにより、適正なプログラムを効率よく管理し、「他の会社にプログラム開発を委託する」などのプログラムの開発環境の変化や「効率よくプログラム開発を行う」などのプログラムの開発効率に応じた管理サーバの仕様変更に柔軟に対応可能な画像処理システムを提供するものである。

第１の実施形態と第２の実施形態との違いは、第１の実施形態では、プログラム管理機能やプログラム証明機能などを同一の管理サーバ内（プログラム管理サーバ内）において実施するように構成していたのに対して、第２の実施形態では、プログラム管理機能を実施する第１の管理サーバ（プログラム管理サーバ）と、プログラム証明機能を実施する第２の管理サーバ（アクティベーションサーバ）とで構成し、それぞれの機能を異なる管理サーバで実施する点である。

以降に行う第２の実施形態の説明では、第１の実施形態と異なる点について、図２４〜２６を用いて説明する。そのため、第１の実施形態と同じ内容については、同一の図面及び図中の参照符号をもってその説明を省略する。

では、第２の実施形態に係る画像処理システムのシステム構成について、図２４を用いて説明する。

図２４は、本発明の第２の実施形態に係る画像処理システムにおけるシステム構成例（アクティベーションサーバ２０cを用いた例）を示す図である。

図２４に示すように、第２の実施形態に係る画像処理システムでは、拡張機能のプログラムをインストールする画像処理装置１０と、画像処理装置１０にインストールする拡張機能のプログラム管理機能を有するプログラム管理サーバ２０bと、拡張機能のプログラム証明機能を有するアクティベーションサーバ２０cとが、ネットワーク３０により接続されている。画像処理装置１０は、ネットワーク３０を介して、プログラム管理サーバ２０bが管理する拡張機能のプログラムをダウンロードすることができ、ダウンロードした拡張機能のプログラムをインストールし、機能拡張を行うことができる。また、画像処理装置１０は、ネットワーク３０を介して、アクティベーションサーバ２０cが発行するプログラムの証明書を取得することができ、取得したプログラムの証明書を基に、インストールしたプログラムを実行することができる。

次に、図２４において説明した画像処理システムにおけるプログラム管理サーバ２０bが有する「プログラム管理機能」及びアクティベーションサーバ２０cが有する「プログラム証明機能」を、どのような機能部により実現しているかについて、図２５を用いて説明する。

図２５は、本発明の第２の実施形態に係るプログラム管理サーバ２０b及びアクティベーションサーバ２０cにおける主要機能部の構成例を示しており、図２５（a）が、プログラム管理サーバ２０bの機能構成例を示すブロック図、図２５（b）が、アクティベーションサーバ２０cの機能構成例を示すブロック図である。

まず、プログラム管理サーバ２０bにおける主要機能部について、図２５（a）を用いて説明する。

図２５（a）に示す主要機能部は、認証要求受取部７１、認証部７２、利用者証明書発行部７３a、及びプログラム提供部７４から構成されている。第１の実施形態に係る管理サーバ２０における主要機能部（図６（b））と違いは、証明書発行部７３が利用者証明書発行部７３aという機能名に替わり利用契約者の証明書を発行する機能に限定されたことと、使用可能期限情報管理部７５が機能構成に含まれていないことである。以下に、利用者証明書発行部７３aについて説明する。

利用者証明書発行部７３aは、利用者証明書発行手段７３１aを有し、利用契約者を識別する情報（例えば「公開鍵５４」）と利用契約者の利用可能な拡張機能を示す情報（インストール可能なプログラムを示す情報を含む）とを暗号化した証明書を発行する。

画像処理装置１０では、新規のプログラムをインストールする際に、プログラム管理サーバ２０bから適正なプログラム（拡張機能）をインストールするため、インストール前にインストールを要求する利用契約者が正当な利用契約者か否かを判断するように、認証要求部６３よって、利用契約者を識別する情報（例えば「公開鍵５４」）をプログラム管理サーバ２０bへ送信し、利用契約者の認証を要求する。

また、プログラム管理サーバ２０bでは、管理者によって、登録された利用契約者が利用可能な拡張機能を示す情報（インストール可能なプログラムを示す情報を含む）が管理されている。

利用者証明書発行部７３aは、画像処理装置１０から受け取った利用契約者を識別する情報（例えば「公開鍵５４」）と、利用契約者が利用可能な拡張機能を示す情報（インストール可能なプログラムを示す情報を含む）とを基に、利用者証明書発行手段７３１aによって暗号化し証明書を発行する。

利用者証明書発行部７３aが有する利用者証明書発行手段７３１aは、利用契約者を識別する情報（例えば「公開鍵５４」）と、利用契約者が利用可能な拡張機能を示す情報（インストール可能なプログラムを示す情報を含む）とを、保持する秘密鍵５３によって暗号化する。

利用者証明書発行手段７３１aは、利用契約者が新規プログラムをインストールする時や利用契約者の利用可能な拡張機能（インストール可能なプログラムを含む）が変更になった時等、利用契約者の最新の証明書が必要な場合、画像処理装置１０から利用契約者の認証要求とともに証明書の発行が要求され、認証された利用契約者に対してのみ利用契約者の証明書を発行し、発行した証明書を画像処理装置１０へ送信する。

よって、利用者証明書発行部７３aは、利用者証明書発行手段７３１aにより、利用契約者の最新の証明書が必要な場合、利用契約に従い管理された利用契約者の証明書を画像処理装置１０へ提供することができる。

このように、プログラム管理サーバ２０bは、認証要求受取部７１、認証部７２、利用者証明書発行部７３a、及びプログラム提供部７４の主要機能部により、画像処理装置１０におけるプログラムのインストール及びインストールしたプログラムの動作を制御するために必要な認証及びデータ管理を行っている。

次に、アクティベーションサーバ２０cにおける主要機能部について、図２５（b）を用いて説明する。

図２５（b）に示す主要機能部は、プログラム証明書発行部７３b、使用可能期限情報管理部７５、及び証明要求受取部７６から構成されている。

プログラム証明書発行部７３bは、プログラム証明書発行手段７３１bを有し、プログラム識別情報５２１と使用可能期限情報５２２を暗号化した証明書５２３を発行する。

画像処理装置１０では、新規のプログラムをインストールする際に、プログラム管理サーバ２０bからインストールするプログラム（拡張機能）を取得後、プログラム格納部６１が認証要求部６３を介して、プログラム識別情報５２１をアクティベーションサーバ２０cへ送信し、取得したプログラムが正当なプログラムであることを証明する証明書を発行するように要求する。

また、アクティベーションサーバ２０cでは、使用可能期限情報管理部７５によって、証明書を発行した各プログラムに使用可能期限情報５２２が対応付けられており、これによって、各プログラムの使用可能期限が管理されている。

プログラム証明書発行部７３bは、画像処理装置１０から受け取ったプログラム識別情報５２１と使用可能期限情報５２２とを基に、プログラム証明書発行手段７３１bによって暗号化し証明書を発行する。また、プログラム証明書発行部７３bは、利用契約者の利用形態に応じた証明書を発行する。利用契約者の利用形態には、例えば、プログラムを購入して利用する形態（以下、「購入」という。）や、プログラムをレンタル利用する形態（以下、「レンタル」という。）、またプログラムを試しに利用する形態（以下、「お試し利用」という。）などがある。

プログラム証明書発行部７３bは、例えば、利用契約者の利用形態が「購入」の場合、プログラムの購入金額が支払われたことが確認された時点で、プログラムを永久利用可能な証明書を発行する。すなわち、購入したプログラムのプログラム識別情報５２１と、使用可能期限が無制限である使用可能期限情報５２２とを基に証明書を発行する。

また、プログラム証明書発行部７３bは、例えば、利用契約者の利用形態が「レンタル」又は「お試し利用」の場合、プログラムをレンタル期間中又はお試し期間中利用可能な証明書を発行する。すなわち、レンタル契約又はお試し利用契約したプログラムのプログラム識別情報５２１と、使用可能期限がレンタル期間又はお試し期間である使用可能期限情報５２２とを基に証明書を発行する。

プログラム証明書発行部７３bが有するプログラム証明書発行手段７３１bは、プログラム識別情報５２１と使用可能期限情報５２２とを、保持する秘密鍵５３によって暗号化する。

プログラム証明書発行手段７３１bは、新規プログラムをインストールする時やプログラムの使用可能期限が変更になった時（利用契約者の利用形態が変更になった時）等、プログラムの最新の証明書が必要な場合、画像処理装置１０からプログラムの証明書の発行が要求され、要求時に送信されたプログラム識別情報５２１と利用形態に応じた使用可能期限情報５２２とを基に、該当するプログラムの証明書の証明書を発行し、発行した証明書を画像処理装置１０へ送信する。

よって、プログラム証明書発行部７３bは、プログラム証明書発行手段７３１bにより、プログラムの最新の証明書が必要な場合、利用契約に従い管理されたプログラムの証明書を画像処理装置１０へ提供することができる。

使用可能期限情報管理部７５は、認証情報更新手段７５１を有し、画像処理装置１０からの認証情報５２の更新要求に応じて、プログラム管理サーバ２０bが保持する認証情報５２を更新する。

証明要求受取部７６は、画像処理装置１０からプログラムの証明書の発行を要求された際に送信されるプログラム識別情報５２１を受け取り、受け取った情報をプログラム証明書発行部７３bへ渡し、プログラム発行部７３bにより発行された証明書を要求先の画像処理装置１０へ提供する。

このように、アクティベーションサーバ２０cは、プログラム証明書発行部７３b、使用可能期限情報管理部７５、及び証明要求受取部７６の主要機能部により、画像処理装置１０にインストールされる又は画像処理装置１０で起動されるプログラムの正当性や、利用契約者の利用形態に応じた使用可能期限管理を行っている。

次に、図２６に示す画像処理システムにおけるプログラムをインストールするまでの流れ（処理手順）を一例に、図２５を用いて説明を行ったプログラム管理サーバ２０b及びアクティベーションサーバ２０cと、画像処理装置１０との関係性について説明する。

図２６は、本発明の第２の実施形態に係るプログラムをインストールする流れを示すシーケンス図である。

まず、画像処理装置１０が有するプログラム格納部６１は、インストール指示を受け付けると（９−１）、認証要求部６３に利用契約者の認証を要求する（９−２）。

次に、認証要求部６３は、画像処理装置１０が保持している公開鍵５４をプログラム管理サーバ２０bへ送信することで、プログラム管理サーバ２０bへ利用契約者の認証を要求する（９―３）。

プログラム管理サーバ２０bが有する認証要求受取部７１は、受け取った公開鍵５４を認証部７２へ転送することで、利用契約者の認証を指示する（９―４）。

次に、認証部７２は、利用契約者に対して、受け取った公開鍵５４を基に認証を行い、認証結果に従って、認証判定がOKの場合、利用契約者の証明書の発行を利用者証明書発行部７３aに指示し（９−５）、認証結果（認証判定OK）を認証要求受取部７１に応答する（９−６）。その結果、認証要求受取部７１は、画像処理装置１０へ認証結果を送信する（９−７）。

次に、画像処理装置１０が有する認証要求部６３は、受け取った認証結果をプログラム格納部６１に応答する（９−８）。

また、プログラム管理サーバ２０bが有する利用者証明書発行部７３aは、発行した利用契約者の証明書を画像処理装置１０へ送信する（９−９）。

このように、画像処理装置１０は、プログラム管理サーバ２０bにおいて、正当な利用契約者であることを確認され、利用契約者に対応した証明書が発行される。

次に、画像処理装置１０が有するプログラム格納部６１は、受け取った利用契約者の証明書をプログラム管理サーバ２０bへ送信することで、利用契約に対応するプログラムリストの提供を要求する（９−１０）。

プログラム管理サーバ２０bが有するプログラム提供部７４は、受け取った利用契約者の証明書を基に、利用契約者が利用可能なプログラムを確認（利用契約者のプログラム利用権限を確認）し、利用契約に応じたプログラムリスト（利用可能なプログラムの一覧）を、画像処理装置１０へ提供する（９−１１）。

このように、画像処理装置１０は、プログラム管理サーバ２０bにおいて、利用可能なプログラムに関する情報を表すプログラムリストを取得する。

次に、画像処理装置１０が有するプログラム格納部６１は、受け取ったプログラムリストを基に選択指示された、画像処理装置１０にインストールする（追加する拡張機能）プログラムの提供を、プログラム管理サーバ２０bへ要求する（９−１２）。

プログラム管理サーバ２０bが有するプログラム提供部７４は、要求されたプログラムを画像処理装置１０へ提供する（９−１３）。

このように、画像処理装置１０は、プログラムリストを基に、インストールするプログラムをプログラム管理サーバ２０から取得する。

次に、画像処理装置１０が有するプログラム格納部６１は、受け取ったプログラムの最新の証明書を発行するように、認証要求部６３に要求する（９−１４）。

認証要求部６３は、受け取ったプログラムのプログラム識別情報５２１をアクティベーションサーバ２０cへ送信することで、プログラムの証明書の発行を要求する（９−１５）。

アクティベーションサーバ２０cが有する証明要求受取部７６は、プログラムの証明書の発行要求として受け取ったプログラム識別情報５２１を、プログラム証明書発行部７３bへ転送し、プログラムの証明書の発行を指示する（９−１６）。

プログラム証明書発行部７３bは、プログラム識別情報５２１と利用契約に応じた使用可能期限情報５２２とを基に証明書を発行し、発行した証明書を証明要求受取部７６へ渡す（９−１７）。

証明要求受取部７６は、発行されたプログラムの証明書を画像処理装置１０へ送信する（９−１８）。

画像処理装置１０が有する認証要求部６３は、受け取ったプログラムの証明書をプログラム格納部６１に応答する（９−１９）。

プログラム格納部６１は、これまでにプログラム管理サーバ２０b及びアクティベーションサーバ２０cから受け取ったプログラム及びそのプログラムの証明書を、補助記憶部１３の所定の記憶領域に格納する。

よって、画像処理システムでは、利用契約に基づいてプログラムをインストールすることができる。

以上のように、本発明の第２の実施形態によれば、まず、画像処理装置１０から利用契約者情報がプログラム管理サーバ２０bに送信される。その後、プログラム管理サーバ２０bにおいて適正な利用契約者か否かが判断され、適正な利用契約者であると判断された場合、プログラム管理サーバ２０bから画像処理装置１０へ利用契約者の証明書とプログラムが提供され、更に、アクティベーションサーバ２０cから画像処理装置１０へプログラムの証明書が発行される。

画像処理装置１０は、取得したプログラム及びそのプログラムの証明書を補助記憶部１３の所定の記憶領域に格納し、格納したプログラムの証明書を基に、拡張機能プログラムを動作させる。

これによって、第２の実施形態では、適正なプログラムを効率よく管理することができ、更に「他の会社にプログラム開発を委託する」などのプログラムの開発環境の変化や「効率よくプログラム開発を行う」などのプログラムの開発効率に応じた管理サーバ２０の仕様変更に柔軟に対応することができる。

［第３の実施形態］
第３の実施形態は、これまで画像処理装置が行っていた利用契約者の認証要求（以下、「利用認証要求機能」という。）やインストールプログラムの取得（以下、「プログラム取得機能」）などを、インストールプログラム作成用の情報処理装置（以下、「インストールプログラム作成用PC」という。）で行い、画像処理装置にインストールために必要な情報を、画像処理装置が読み取り可能な記憶メディア（例えば「メモリカード」等）に格納することにより、ネットワークに接続されていない画像処理装置（通信機器を備えていない画像処理装置を含む）に対して、利用契約に応じた適正なプログラムをインストール可能（適正な機能を拡張可能）な画像処理システムを提供するものである。

第１の実施形態及び第２の実施形態と第３の実施形態との違いは、第１の実施形態及び第２の実施形態では、プログラムをインストールして機能拡張する画像処理装置と管理サーバとがネットワークで接続されている構成であったのに対して、第３の実施形態では、画像処理装置の替わりに、インストールプログラム作成用PCと管理サーバとがネットワークで接続されている構成とし、利用認証要求機能やプログラム取得機能などを、インストールプログラム作成用の情報処理装置で実施する点である。

以降に行う第３の実施形態の説明では、第１の実施形態及び第２の実施形態と異なる点について、図２７〜２９を用いて説明する。そのため、第１の実施形態及び第２の実施形態と同じ内容については、同一の図面及び図中の参照符号をもってその説明を省略する。

では、第３の実施形態に係る画像処理システムのシステム構成について、図２７を用いて説明する。

図２７は、本発明の第３の実施形態に係る画像処理システムにおけるシステム構成例（インストールプログラム作成用PC４０を用いた例）を示す図である。

図２７に示すように、第３の実施形態に係る画像処理システムでは、画像処理装置１０にインストールする拡張機能のプログラム管理機能を有するプログラム管理サーバ２０bと、拡張機能のプログラム証明機能を有するアクティベーションサーバ２０cと、利用認証要求機能やプログラム取得機能を有するインストールプログラム作成用PC４０とが、ネットワーク３０により接続されている。また、拡張機能のプログラムをインストールする画像処理装置１０は、プログラム管理サーバ２０b及びアクティベーションサーバ２０cとネットワーク３０と接続しない状態で利用する形態、すなわちスタンドアローンの状態となっている。

インストールプログラム作成用PC４０は、ネットワーク３０を介して、プログラム管理サーバ２０bが管理する画像処理装置１０にインストールするプログラムと、アクティベーションサーバ２０cが発行するプログラムの証明書とを取得することができ、取得したプログラムを外部の記憶メディア５０（例えば「メモリカード」等）に格納する。これによって、画像処理装置１０は、外部の記憶メディア５０（例えば「メモリカード」等）を介して、格納されたプログラムとそのプログラムの証明書を基にインストールを行い、ネットワーク３０接続時と同様の機能拡張を実施することができる。

次に、図２５において説明した画像処理システムにおける画像処理装置１０が有する「プログラムインストール機能」や「プログラム動作生後機能」、及びインストールプログラム作成用PC４０が有する「利用認証要求機能」や「プログラム取得機能」を、どのような機能部により実現しているかについて、図２８を用いて説明する。

図２８は、本発明の第３の実施形態に係る画像処理装置１０及びインストールプログラム作成用PC４０（情報処理装置）における主要機能部の構成例を示しており、図２８（a）が、画像処理装置１０の機能構成例を示すブロック図、図２８（b）が、インストールプログラム作成用PC４０の機能構成例を示すブロック図である。

図２８（a）に示す画像処理装置１０における主要機能部は、プログラム格納部６１、プログラム動作管理部６２、認証要求部６３、及び認証部７２から構成されている。

第１の実施形態及び第２の実施形態に係る画像処理装置１０における主要機能部（図６（a））と違いは、プログラム格納部６１がプログラムのインストール又はアンインストールを行う機能に限定されたことと、認証部７２が機能構成に含まれていることである。

このように、画像処理装置１０は、プログラム格納部６１、プログラム動作管理部６２、認証要求部６３、及び認証部７２の主要機能部により、画像処理装置１０におけるプログラムのインストール又はアンインストール、またインストールされたプログラムの動作制御を行っている。

一方、図２８（b）に示すインストールプログラム作成用PC４０における主要機能部は、プログラム格納部６１及び認証要求部６３から構成されている。

プログラム格納部６１は、画像処理装置１０及びインストールプログラム作成用PC４０のどちらの機能構成にも含まれているが、図２８（a）及び（b）に示すように、プログラム格納部６１により実施される機能は異なっている。

画像処理装置１０が有するプログラム格納部６１では、インストール手段６１６及びアンインストール手段６１７を有し、プログラム管理サーバ２０bから取得したプログラムのインストール又はアンインストールを行うのに対して、インストールプログラム作成用PC４０が有するプログラム格納部６１では、認証情報更新要求手段６１１、証明書取得手段６１２、プログラム情報要求手段６１３、プログラム情報取得手段６１４、及びプログラム取得手段６１５を有し、インストールするプログラムやそのプログラムの証明書をプログラム管理サーバ２０b及びアクティベーションサーバ２０cから取得する。

また、認証要求部６３も、画像処理装置１０及びインストールプログラム作成用PC４０のどちらの機能構成にも含まれているが、図２８（a）及び（b）に示すように、プログラム格納部６１により実施される機能は異なっている。

画像処理装置１０が有する認証要求部６３では、認証要求手段６３１のみを有し、インストールするプログラムに対し発行された証明書が適正か否かを判断するように、認証部７２へ要求するのに対して、インストールプログラム作成用PC４０が有する認証要求部６３では、認証要求手段６３１及び利用契約者認証要求手段６３２を有し、利用契約者及び利用契約者に対し発行された証明書が適正か否かを判断するようにプログラム管理サーバ２０bへ要求する。

このように、インストールプログラム作成用PC４０は、プログラム格納部６１及び認証要求部６３の主要機能部により、画像処理装置１０にインストールするプログラム及びインストールしたプログラムが正当なプログラムであることを証明する証明書の取得を行っている。

次に、図２９に示す画像処理システムにおけるプログラムをインストールするまでの流れ（処理手順）を一例に、図２８を用いて説明を行った画像処理装置１０及びインストールプログラム作成用PC４０と、プログラム管理サーバ２０b、アクティベーションサーバ２０cとの関係性について説明する。

図２９は、本発明の第３の実施形態に係るプログラムをインストールする流れを示すシーケンス図である。

まず、インストールプログラム作成用PC４０が有するプログラム格納部６１は、インストール指示を受け付けると（１０−１）、認証要求部６３に利用契約者の認証を要求する（１０−２）。

次に、認証要求部６３は、インストールプログラム作成用PC４０が保持している公開鍵５４をプログラム管理サーバ２０bへ送信することで、プログラム管理サーバ２０bへ利用契約者の認証を要求する（１０―３）。

プログラム管理サーバ２０bが有する認証要求受取部７１は、受け取った公開鍵５４を認証部７２へ転送することで、利用契約者の認証を指示する（１０―４）。

次に、認証部７２は、利用契約者に対して、取得した公開鍵５４を基に認証を行い、認証結果に従って、認証判定がOKの場合、利用契約者の証明書の発行を利用者証明書発行部７３aに指示し（１０−５）、認証結果（認証判定OK）を認証要求受取部７１に応答する（１０−６）。その結果、認証要求受取部７１は、インストールプログラム作成用PC４０へ認証結果を送信する（１０−７）。

次に、インストールプログラム作成用PC４０が有する認証要求部６３は、受け取った認証結果をプログラム格納部６１に応答する（１０−８）。

また、プログラム管理サーバ２０bが有する利用者証明書発行部７３aは、発行した利用契約者の証明書をインストールプログラム作成用PC４０へ送信する（１０−９）。

このように、インストールプログラム作成用PC４０は、プログラム管理サーバ２０bにおいて、正当な利用契約者であることを確認され、利用契約者に対応した証明書が発行される。

次に、インストールプログラム作成用PC４０が有するプログラム格納部６１は、受け取った利用契約者の証明書をプログラム管理サーバ２０bへ送信することで、利用契約に対応するプログラムリストの提供を要求する（１０−１０）。

プログラム管理サーバ２０bが有するプログラム提供部７４は、受け取った利用契約者の証明書を基に、利用契約者が利用可能なプログラムを確認（利用契約者のプログラム利用権限を確認）し、利用契約に応じたプログラムリスト（利用可能なプログラムの一覧）を、インストールプログラム作成用PC４０へ提供する（１０−１１）。

このように、インストールプログラム作成用PC４０は、プログラム管理サーバ２０bにおいて、利用可能なプログラムに関する情報を表すプログラムリストを取得する。

次に、インストールプログラム作成用PC４０が有するプログラム格納部６１は、受け取ったプログラムリストを基に選択指示された、画像処理装置１０にインストールする（追加する拡張機能）プログラムの提供を、プログラム管理サーバ２０bへ要求する（１０−１２）。

プログラム管理サーバ２０bが有するプログラム提供部７４は、要求されたプログラムをインストールプログラム作成用PC４０へ提供する（１０−１３）。

このように、インストールプログラム作成用PC４０は、プログラムリストを基に、インストールするプログラムをプログラム管理サーバ２０から取得する。

次に、インストールプログラム作成用PC４０が有するプログラム格納部６１は、受け取ったプログラムの最新の証明書を発行するように、認証要求部６３に要求する（１０−１４）。

認証要求部６３は、受け取ったプログラムのプログラム識別情報５２１をアクティベーションサーバ２０cへ送信することで、プログラムの証明書の発行を要求する（１０−１５）。

アクティベーションサーバ２０cが有する証明要求受取部７６は、プログラムの証明書の発行要求として受け取ったプログラム識別情報５２１を、プログラム証明書発行部７３bへ転送し、プログラムの証明書の発行を指示する（１０−１６）。

プログラム証明書発行部７３bは、プログラム識別情報５２１と利用契約に応じた使用可能期限情報５２２とを基に証明書を発行し、発行した証明書を証明要求受取部７６へ渡す（１０−１７）。

証明要求受取部７６は、発行されたプログラムの証明書を画像処理装置１０へ送信する（１０−１８）。

画像処理装置１０が有する認証要求部６３は、プログラム格納部６１に受け取ったプログラムの証明書を応答する（１０−１９）。

プログラム格納部６１は、これまでにプログラム管理サーバ２０b及びアクティベーションサーバ２０cから受け取ったプログラム及びそのプログラムの証明書を、例えば、図２（b）に示すような外部記憶装置I/F１５を介して外部の記憶メディア５０（例えば「メモリカード」等）の所定の記憶領域に格納する。

次に、インストールするプログラム及びそのプログラムの証明書が格納された外部の記憶メディア５０（例えば「メモリカード」等）を、例えば、図２（a）に示すような外部記憶装置I/F１５を介して、画像処理装置１０に接続し読み取り可能な状態にする。

画像処理装置１０が有するプログラム格納部６１は、インストール指示を受け付けると（１０−２０）、外部の記憶メディア５０（例えば「メモリカード」等）から取得したプログラムの証明書を認証要求部６３に渡すことで、インストールするプログラムの認証を要求する（１０−２１）。

認証要求部６３は、受け取ったプログラムの証明書を認証部７２に転送する（１０−２２）。

認証部７２は、インストールするプログラムに対して、受け取った公開鍵５４を基に認証を行い、認証結果に従って、認証判定がOKの場合、認証結果（認証判定OK）を認証要求受取部７１に応答する（１０−２３）。その結果、認証要求受取部７１は、プログラム格納部６１へ認証結果を応答する（１０−２４）。

プログラム格納部６１は、外部の記憶メディア（例えな、メモリカードなど。）から取得したプログラム及びそのプログラムの証明書を、補助記憶部１３の所定の記憶領域に格納する。

よって、画像処理システムでは、スタンドアローンの状態となっている画像処理装置１０においても、利用契約に基づいてプログラムをインストールすることができる。

以上のように、本発明の第３の実施形態によれば、まず、インストールプログラム作成用PC４０から利用契約者情報がプログラム管理サーバ２０bに送信される。その後、プログラム管理サーバ２０bにおいて適正な利用契約者か否かが判断され、適正な利用契約者であると判断された場合、プログラム管理サーバ２０bからインストールプログラム作成用PC４０へ利用契約者の証明書とプログラムが提供され、更に、アクティベーションサーバ２０cからインストールプログラム作成用PC４０へプログラムの証明書が発行される。

その結果、インストールプログラム作成用PC４０は、取得したプログラム及びそのプログラムの証明書を外部の記憶メディア５０（例えば「メモリカード」等）に格納する。

これによって、第３の実施形態では、スタンドアローンの状態となっている画像処理装置１０に対しても、適正なプログラムをインストールすることができ、拡張機能プログラムを効率よく管理することができる。

上記第１の実施形態から第３の実施形態に基づき本発明の説明を行ってきたが、上記各実施形態に挙げた公開鍵暗号方式は、暗号化方式に一例であって、この要件に、本発明が限定されるものではない。

例えば、公開鍵暗号方式の代わりに、DES（Data Encryption Standard）に代表される秘密鍵暗号方式を用いても良い。但し、本発明において暗号化する際に、公開鍵暗号方式を採用した理由として、公開鍵暗号方式は、秘密鍵５３で暗号化されたデータは対応する公開鍵でしか復号できず、公開鍵５４で暗号化されたデータは対応する秘密鍵５３でしか復号できないため、暗号化と復号化を同じ鍵で行う秘密鍵暗号方式に比べ、鍵を安全な経路で輸送する必要がなく、鍵の管理が容易で安全性が高いためである。

そのため、秘密鍵暗号方式を採用する場合は、予め安全な経路を使って秘密鍵５３を画像処理装置１０と管理サーバ２０とで共有する必要がある点に注意しなければならない。

また、上記実施形態に挙げた利用契約者認証時に管理サーバ２０へ送信される公開鍵５４は、利用契約者を識別する情報の一例であって、この要件に、本発明が限定されるものではない。

例えば、利用契約者IDとパスワードでも良く、利用契約者を特定可能な情報であれば良い。

また、上記各実施形態に挙げたプログラム識別情報５２１と使用可能期限情報５２２のデータ形式は、その一例であって、この要件に、本発明が限定されるものではない。

プログラム識別情報５２１と使用可能期限情報５２２を構成する各項目情報を表すことのできるデータ形式であれば良い。

最後に、上記各実施形態に挙げた形状に、その他の要素との組み合わせ等、ここで示した要件に、本発明が限定されるものではない。これらの点に関しては、本発明の主旨をそこなわない範囲で変更することが可能であり、その応用形態に応じて適切に定めることができる。

本発明の第１の実施形態に係る画像処理システムにおけるシステム構成例を示す図である。 本発明の第１の実施形態に係る画像処理装置におけるハードウェア構成例を示す図である。 本発明の第１の実施形態に係る管理サーバにおけるハードウェア構成例を示す図である。 本発明の第１の実施形態に係る管理サーバから画像処理装置へ機能単位でプログラムをインストールする例を示す図である。 本発明の第１の実施形態に係るプログラムを起動する例を示す図である。 本発明の第１の実施形態に係る認証情報のデータ構成例を示す図である。 本発明の第１の実施形態に係る画像処理システムにおける認証情報の送受信の様子を示す図である。 本発明の第１の実施形態に係る画像処理装置における主要機能部の構成例を示すブロック図である。 本発明の第１の実施形態に係る管理サーバにおける主要機能部の構成例を示すブロック図である。 本発明の第１の実施形態に係る画像処理装置における主要機能部が有する手段の構成例を示すブロック図である。 本発明の第１の実施形態に係る管理サーバにおける主要機能部が有する手段の構成例を示すブロック図である。 本発明の第１の実施形態に係る画像処理装置におけるプログラム格納部に関する処理を示すフローチャートである。 本発明の第１の実施形態に係る画像処理装置における電源投入時のプログラム動作管理部に関する処理を示すフローチャートである。 本発明の第１の実施形態に係る画像処理装置における日付変化時のプログラム動作管理部に関する処理を示すフローチャートである。 本発明の第１の実施形態に係る画像処理装置における認証要求部に関する処理を示すフローチャートである。 本発明の第１の実施形態に係る管理サーバにおける認証要求受取部に関する処理を示すフローチャートである。 本発明の第１の実施形態に係る管理サーバにおける認証部に関する処理を示すフローチャートである。 本発明の第１の実施形態に係る管理サーバにおける証明書発行部に関する処理を示すフローチャートである。 本発明の第１の実施形態に係る管理サーバにおけるプログラム提供部に関する処理を示すフローチャートである。 本発明の第１の実施形態に係る管理サーバにおける使用可能期限情報管理部に関する処理を示すフローチャートである。 本発明の第１の実施形態に係るプログラムをインストールする流れを示すシーケンス図である。 本発明の第１の実施形態に係る電源投入時にプログラムを起動した際の認証結果がOKの場合の流れを示すシーケンス図である。 本発明の第１の実施形態に係る電源投入時にプログラムを起動した際の認証結果がNGの場合の流れを示すシーケンス図である。 本発明の第１の実施形態に係る日付変化時に使用可能期限を判定した際の判定結果が「期限内」の場合の流れを示すシーケンス図である。 本発明の第１の実施形態に係る日付変化時に使用可能期限を判定した際の判定結果が「期限切れ」の場合の流れを示すシーケンス図である。 本発明の第１の実施形態に係る日付変化時に使用可能期限を判定した際の判定結果が「期限切れ間近」の場合の流れを示すシーケンス図である。 本発明の第１の実施形態に係る認証情報を更新する流れを示すシーケンス図である。 本発明の第１の実施形態の変形例に係る画像処理システムにおけるシステム構成例（分散型管理サーバを用いた例）を示す図である。 本発明の第１の実施形態の変形例に係る画像処理システムにおけるシステム構成例（拡張型画像処理装置を用いた例）を示す図である。 本発明の第１の実施形態の変形例に係る拡張型画像処理装置のプログラムを起動した際の流れ示すシーケンス図である。 本発明の第１の実施形態の変形例に係る画像形成装置のハードウェア構成例を示すブロック図である。 本発明の第２の実施形態に係る画像処理システムにおけるシステム構成例（アクティベーションサーバを用いた例）を示す図である。 本発明の第２の実施形態に係るプログラム管理サーバにおける主要機能部の構成例を示すブロック図である。 本発明の第２の実施形態に係るアクティベーションサーバにおける主要機能部の構成例を示すブロック図である。 本発明の第２の実施形態に係るプログラムをインストールする流れを示すシーケンス図である。 本発明の第３の実施形態に係る画像処理システムにおけるシステム構成例（インストールプログラム作成用PCを用いた例）を示す図である。 本発明の第３の実施形態に係る画像処理装置における主要機能部の構成例を示すブロック図である。 本発明の第３の実施形態に係るインストールプログラム作成用PCにおける主要機能部の構成例を示すブロック図である。 本発明の第３の実施形態に係るプログラムをインストールする流れを示すシーケンス図である。

符号の説明

１０ 画像処理装置
１１ 入力部（操作部）
１２ 表示部（ディスプレイ）
１３ 補助記憶部（HD）
１４ ネットワークI/F
１５ 外部記憶装置I/F
１６ 外部入力装置I/F
１７ 主記憶部（ROM,RAM）
１８ 制御部（CPU）
１９ 印刷部（プリンタエンジン）
２０ 管理サーバ（PC）
２０a 認証サーバ
２０b プログラム管理サーバ
２０c アクティベーションサーバ
２１ 入力デバイスI/F
２２ ディスプレイI/F
３０ ネットワーク
４０ インストールプログラム作成用PC（情報処理装置）
４１ 基本機能
４２ 拡張機能
５０ 記憶メディア
５１ インストールパッケージ
５２ 認証情報
５２１ プログラム識別情報
５２２ 使用可能期限情報
５２３ 証明書（暗号化情報）
５３ 秘密鍵（secret key）
５４ 公開鍵（public key）
６１ プログラム格納部
６１１ 認証情報更新要求手段
６１２ 証明書取得手段
６１３ プログラム情報要求手段
６１４ プログラム情報取得手段
６１５ プログラム取得手段
６１６ インストール手段
６１７ アンインストール手段
６２ プログラム動作管理部
６２１ 動作制御手段
６２２ 使用可能期限判定手段
６２３ 重要機能プログラム判定手段
６２４ 表示手段
６３ 認証要求部
６３１ 認証要求手段
６３２ 利用契約者認証要求手段
７１ 認証要求取得部
７２ 認証部
７２１ 認証手段
７２２ 利用契約者認証手段
７３ 証明書発行部
７３a 利用者証明書発行部
７３b プログラム証明書発行部
７３１ 証明書発行手段
７３１a 利用者証明書発行手段
７３１b プログラム証明書発行手段
７４ プログラム提供部
７４１ プログラム情報提供手段
７４２ プログラム提供手段
７５ 使用可能期限情報管理部
７５１ 認証情報更新手段
７６ 証明要求受取部
９０ 画像形成装置

Claims (17)

1. 画像処理装置にインストールするプログラムを管理する管理サーバと、前記管理サーバからダウンロードしたプログラムがインストールされる画像処理装置とが接続される画像処理システムであって、
   画像処理装置は、
   所定のタイミングで、前記管理サーバからダウンロードしたプログラムを機能単位で識別する情報を表すプログラム識別情報と、前記管理サーバからダウンロードしたプログラムの使用可能期限を表す使用可能期限情報と、前記プログラム識別情報と前記使用可能期限情報とを暗号化した証明書とを有する認証情報の内、前記証明書を、前記管理サーバへ送信し、認証を要求する認証要求手段と、
   前記認証要求手段により送信された前記認証情報が、前記管理サーバが有する前記認証手段により認証された場合、前記認証情報の使用可能期限情報に基づいて、前記プログラムの使用可能期限が切れたか否かを判定する使用可能期限判定手段と、
   前記使用可能期限判定手段によって前記プログラムの使用可能期限が切れたと判定された場合、継続使用可能な期間を表す継続使用可能期限情報に基づいて、前記継続使用可能な期間、前記プログラムを使用可能とするように制御する動作制御手段とを有することを特徴とする画像処理システム。
2. 管理サーバと接続される画像処理装置であって、
   所定のタイミングで、前記管理サーバからダウンロードしたプログラムを機能単位で識別する情報を表すプログラム識別情報と、前記管理サーバからダウンロードしたプログラムの使用可能期限を表す使用可能期限情報と、前記プログラム識別情報と前記使用可能期限情報とを暗号化した証明書とを有する認証情報の内、前記証明書を、前記管理サーバへ送信し、認証を要求する認証要求手段と、
   前記認証要求手段により送信された前記認証情報が、前記管理サーバが有する前記認証手段により認証された場合、前記認証情報の使用可能期限情報に基づいて、前記プログラムの使用可能期限が切れたか否かを判定する使用可能期限判定手段と、
   前記使用可能期限判定手段によって前記プログラムの使用可能期限が切れたと判定された場合、使用可能期限が切れた場合に継続使用可能な期間を表す継続使用可能期限情報に基づいて、前記継続使用可能な期間、前記プログラムを使用可能とするように制御する動作制御手段とを有することを特徴とする画像処理装置。
3. 前記管理サーバから送信された前記証明書を取得する証明書取得手段と、
   前記証明書取得手段により取得した前記証明書を前記管理サーバに送信し、前記プログラムリストの取得を要求するプログラム情報要求手段と、
   前記管理サーバから、前記プログラムリストを取得するプログラム情報取得手段と、
   前記管理サーバから、前記プログラムリストに基づいて当該画像処理装置に対しインストールするプログラムを取得するプログラム取得手段と、
   前記プログラム取得手段により取得したプログラムをインストールするインストール手段とを有することを特徴とする請求項２に記載の画像処理装置。
4. 前記画像処理装置における利用契約者の認証を要求する利用契約者認証要求手段を有し、
   前記利用契約者認証要求手段は、
   前記管理サーバに利用契約者を識別する情報を送信し、利用契約者の認証を要求することを特徴とする請求項２又は３に記載の画像処理装置。
5. 前記管理サーバに前記認証情報の更新を要求する認証情報更新要求手段を有することを特徴とする請求項２ないし４のいずれか一項に記載の画像処理装置。
6. 前記使用可能期限情報に基づいてインストールしたプログラムの使用可能期限が過ぎたか否かを判断する使用可能期限判定手段を有し、
   前記使用可能期限判定手段は、
   前記使用可能期限情報の有効期限の日付及び時間と使用可能期限判定時の日付及び時間とを比較し、インストールしたプログラムの使用可能期限が過ぎたか否かの判断することを特徴とする請求項２ないし５のいずれか一項に記載の画像処理装置。
7. 前記動作制御手段は、
   前記使用可能期限判定手段により、インストールしたプログラムの使用可能期限が過ぎたと判断された場合、該当するプログラムを終了又は起動しないことを特徴とする請求項２ないし６のいずれか一項に記載の画像処理装置。
8. 当該画像処理装置にインストールしたプログラムをアンインストールするアンインストール手段を有し、
   前記アンインストール手段は、
   前記使用可能期限判定手段により、インストールしたプログラムの使用可能期限が過ぎたと判断された場合、
   該当するプログラムをアンインストールすることを特徴とする請求項２ないし７のいずれか一項に記載の画像処理装置。
9. 前記プログラム識別情報に基づいて、当該プログラムをアンインストールすると当該画像処理装置が使用不可能となるプログラムか否かを判断する重要機能プログラム判定手段を有することを特徴とする請求項２ないし８のいずれか一項に記載の画像処理装置。
10. 前記使用可能期限情報は、
    使用可能期限の延長期間を表す継続使用可能期限情報を有し、
    前記アンインストール手段は、
    前記重要機能プログラム判定手段により、当該プログラムをアンインストールすると当該画像処理装置が使用不可能となるプログラムと判断された場合、
    前記継続使用可能期限情報が示す延長期間を経て、該当するプログラムをアンインストールすることを特徴とする請求項２ないし９のいずれか一項に記載の画像処理装置。
11. 前記動作制御手段は、
    前記使用可能期限判定手段により、インストールしたプログラムの使用可能期限が過ぎたと判断され、且つ、前記重要機能プログラム判定手段により、当該プログラムをアンインストールすると当該画像処理装置が使用不可能となるプログラムと判断された場合、
    前記継続使用可能期限情報が示す延長期間の間、該当するプログラムを動作又は起動することを特徴とする請求項２ないし１０のいずれか一項に記載の画像処理装置。
12. 前記管理サーバからダウンロードしたプログラムに関する情報を表示画面に表示する表示手段を有し、
    前記表示手段は、
    前記使用可能期限判定手段により、インストールしたプログラムの使用可能期限が過ぎたと判断され、且つ、前記重要機能プログラム判定手段により、当該プログラムをアンインストールすると当該画像処理装置が使用できなくなるプログラムと判断された場合、
    前記継続使用可能期限情報が示す延長期間の間、使用可能期限を更新することを促すような内容を表示画面に表示することを特徴とする請求項２ないし１１のいずれか一項に記載の画像処理装置。
13. 前記使用可能期限情報は、
    使用可能期限までの残り日数を表す警告発生条件情報を有し、
    前記表示手段は、
    前記使用可能期限判定手段により、前記警告発生条件情報に基づいて、インストールしたプログラムの使用可能期限間近と判断された場合、
    該当するプログラムの使用可能期限が間近であることを表示画面へ表示することを特徴とする請求項２ないし１２のいずれか一項に記載の画像処理装置。
14. 前記表示手段は、
    前記動作制御手段により、インストールしたプログラムが動作又は起動した際に、
    該当するプログラムが実行する機能名を表示画面に表示することを特徴とする請求項２ないし１３のいずれか一項に記載の画像処理装置。
15. 画像処理装置にインストールするプログラムを管理する管理サーバと、前記管理サーバからダウンロードしたプログラムがインストールされる画像処理装置とが接続される画像処理システムにおけるプログラムを管理するプログラム管理方法であって、
    画像処理装置が、
    所定のタイミングで、前記管理サーバからダウンロードしたプログラムを機能単位で識別する情報を表すプログラム識別情報と、前記管理サーバからダウンロードしたプログラムの使用可能期限を表す使用可能期限情報と、前記プログラム識別情報と前記使用可能期限情報とを暗号化した証明書とを有する認証情報の内、前記証明書を、前記管理サーバへ送信し、認証を要求する認証要求手順と、
    前記認証要求手段により送信された前記認証情報が、前記管理サーバが有する前記認証手段により認証された場合、前記認証情報の使用可能期限情報に基づいて、前記プログラムの使用可能期限が切れたか否かを判定する使用可能期限判定手順と、
    前記使用可能期限判定手順によって前記プログラムの使用可能期限が切れたと判定された場合、継続使用可能な期間を表す継続使用可能期限情報に基づいて、前記継続使用可能な期間、前記プログラムを使用可能とするように制御する動作制御手順とを有することを特徴とする画像処理システムにおけるプログラム管理方法。
16. 管理サーバと接続される画像処理装置におけるプログラム管理方法であって、
    所定のタイミングで、前記管理サーバからダウンロードしたプログラムを機能単位で識別する情報を表すプログラム識別情報と、前記管理サーバからダウンロードしたプログラムの使用可能期限を表す使用可能期限情報と、前記プログラム識別情報と前記使用可能期限情報とを暗号化した証明書とを有する認証情報の内、前記証明書を、前記管理サーバへ送信し、認証を要求する認証要求手順と、
    前記認証要求手段により送信された前記認証情報が、前記管理サーバが有する前記認証手段により認証された場合、前記認証情報の使用可能期限情報に基づいて、前記プログラムの使用可能期限が切れたか否かを判定する使用可能期限判定手順と、
    前記使用可能期限判定手順によって前記プログラムの使用可能期限が切れたと判定された場合、継続使用可能な期間を表す継続使用可能期限情報に基づいて、前記継続使用可能な期間、前記プログラムを使用可能とするように制御する動作制御手順とを有することを特徴とする画像処理装置におけるプログラム管理方法。
17. 当該画像処理装置にインストールするプログラムを管理する管理サーバと接続される、前記管理サーバからダウンロードしたプログラムがインストールされる画像処理装置におけるプログラムを管理する管理プログラムであって、
    コンピュータを、
    所定のタイミングで、前記管理サーバからダウンロードしたプログラムを機能単位で識別する情報を表すプログラム識別情報と、前記管理サーバからダウンロードしたプログラムの使用可能期限を表す使用可能期限情報と、前記プログラム識別情報と前記使用可能期限情報とを暗号化した証明書とを有する認証情報の内、前記証明書を、前記管理サーバへ送信し、認証を要求する認証要求手段と、
    前記認証要求手段により送信された前記認証情報が、前記管理サーバが有する前記認証手段により認証された場合、前記認証情報の使用可能期限情報に基づいて、前記プログラムの使用可能期限が切れたか否かを判定する使用可能期限判定手段と、
    前記使用可能期限判定手段によって前記プログラムの使用可能期限が切れたと判定された場合、継続使用可能な期間を表す継続使用可能期限情報に基づいて、前記継続使用可能な期間、前記プログラムを使用可能とするように制御する動作制御手段として機能させる画像処理装置における管理プログラム。

Images