JP5224641B2 - 画像形成装置及びその制御方法、制御プログラム - Google Patents

Description

本発明は、画像形成装置及びその制御方法であって、例えば、デジタル署名やタイムスタンプ等によって保護されるデジタルデータの正当性を検証するための機能を有するデジタル複写機、あるいはプリンタなどの画像形成装置及びその制御方法に関する。

近年ＤＲＡＭやＨＤＤ等の記憶媒体の低価格化に伴い、大量の画像データを安価に画像形成装置内に蓄積できるようになってきている。これにより従来、用紙への印字出力や原稿から読み取った画像データの出力のみの機能だった画像形成装置に、蓄積（ファイリング）機能も加えることが出来るようになった。このような記憶装置を持った画像形成装置で大量の画像を保存できるという利便性が向上する反面、新たにセキュリティー上の問題が出てきている。すなわち記憶装置上の画像データを第三者に改竄（かいざん）される、あるいは消去される、さらには不正に出力されるなどの危険性が発生する可能性が指摘されている。 このような問題の発生を防止するため、従来の画像形成装置ではパスワードなどの個人認証によって、画像データへの不正なアクセスを保護していた（例えば、特許文献１）。また最近では、タイムビジネスの推進によりＲＦＣ３１６１準拠のタイムスタンプ方式が採用されるなど、インターネット上のタイムスタンプ局、認証局との通信によってデータの正当性を検証するなどの技術が開発され、実用化されている。
特開２００２-２１８２２０号公報

このように、インターネット上の認証局やタイムスタンプ局との通信によってデータの正当性を検証することによりデジタルデータの保護を行う場合において、
１）出力を目的とするデータが改竄されている等の理由で認証局に認証されない場合、
２）認証サーバのシステムが何らかの理由で稼動していない場合、
３）ネットワーク障害などの理由で認証サーバと通信できない場合
であっても、ユーザがその緊急度に応じてデータのコンテンツを出力したい場合が存在する。

しかしながら、上記１）〜３）の場合には、画像データを出力すると出力結果が改竄されていることで悪用される、もしくは、認証局やタイムスタンプ局によりデータの正当性が検証されていないものが不用意に配布される可能性があった。

本発明は、上記説明した従来技術の問題点を解決することを出発点としてなされたものである。その目的は、画像形成装置でデジタル署名つきの画像データから画像形成を行う際に、画像データが改竄されている場合において、ユーザが、この画像データから形成される画像を安全に管理できる画像形成装置およびその制御方法を提供することである。

上記目的を達成するための本発明に係る一実施形態の画像形成装置は、以下の構成を有する。すなわち、画像データにデジタル署名が付加されているか否かを識別する識別手段と、前記識別手段により前記デジタル署名が前記画像データに付加されていると識別された場合に、前記画像データの正当性をネットワークを介して通信可能な署名認証サーバに問い合わせる問合手段と、前記問い合わせに対する前記署名認証サーバからの情報または前記署名認証サーバからの応答の有無に基づいて、前記画像データが正当であるかを決定する決定手段と、前記画像データが正当であると前記決定手段が決定しなかった場合には、前記決定手段の決定に対応するデータを前記画像データに付加して得られる画像を形成し、前記画像データが正当であると前記決定手段が決定した場合には、前記決定手段の決定に対応するデータを付加することなく前記画像データに基づき画像を形成する画像形成手段と、を有し前記署名認証サーバからの応答が所定時間の間に無かった場合には、前記決定手段は、前記画像データの正当性を検証できなかったと決定し、前記画像形成手段は、画像の正当性が検証できなかったことを示すデータを前記画像データに付加して画像を形成する。

ここで例えば、前記デジタル署名はタイムスタンプを含むことが好ましい。

ここで例えば、前記署名認証サーバからの情報により前記決定手段が、前記画像データが正当でないと決定した場合、前記画像形成手段は、前記画像データが改竄されている可能性を示すデータを前記画像データに付加して画像を形成することが好ましい。

ここで例えば、前記決定手段が前記画像データは正当でないと決定した場合、あるいは、前記決定手段が前記画像データの正当性を検証できなかったと決定した場合であって、かつ、前記画像データがカラー画像データである場合、前記画像形成手段は、前記画像データをモノクロ画像データに変更し、該モノクロ画像データに前記決定に対応するデータを付加して画像を形成することが好ましい。

ここで例えば、前記決定手段が前記画像データは正当でないと決定した場合、あるいは、前記決定手段が前記画像データの正当性を検証できなかったと決定した場合、前記画像形成手段は、前記画像データの一部を取り出し、該取り出した画像データに前記決定に対応するデータを付加して画像を形成することが好ましい。

ここで例えば、前記決定手段が前記画像データは正当でないと決定した場合、あるいは、前記決定手段が前記画像データの正当性を検証できなかったと決定した場合、前記画像形成手段は、前記画像データを縮小し、該縮小した画像データに前記決定に対応するデータを付加して画像を形成することが好ましい。

ここで例えば、前記決定手段が前記画像データは正当でないと決定した場合、あるいは、前記決定手段が前記画像データの正当性を検証できなかったと決定した場合、前記画像形成手段は、前記画像データの濃度を変更し、該濃度を変更した画像データに前記決定に対応するデータを付加して画像を形成することが好ましい。

ここで例えば、前記決定手段が前記画像データは正当でないと決定した場合、あるいは、前記決定手段が前記画像データの正当性を検証できなかったと決定した場合、前記画像形成手段は、前記画像データを縮小し、該縮小された複数の画像データが１枚の記録媒体上に記録されるように処理した後、前記決定に対応するデータを付加して画像を形成することが好ましい。また、本発明に係る一実施形態の画像形成装置は、画像データにデジタル署名が付加されているか否かを識別する識別手段と、前記識別手段により前記デジタル署名が前記画像データに付加されていると識別された場合に、前記画像データの正当性をネットワークを介して通信可能な署名認証サーバに問い合わせる問合手段と、前記問い合わせに対する前記署名認証サーバからの情報または前記署名認証サーバからの応答の有無に基づくデータを前記画像データに付加して得られる画像を形成する画像形成手段と、を有し、前記問い合わせに対して前記署名認証サーバからの応答が所定時間の間に無かった場合には、前記画像形成手段は画像の正当性が検証できなかったことを示すデータを前記画像データに付加して得られる画像を形成することを特徴とする。

上記目的を達成するための本発明に係る一実施形態の画像形成装置の制御方法は、以下の構成を有する。すなわち、ネットワークを介して署名認証サーバと通信可能な画像形成装置の制御方法であって、画像データにデジタル署名が付加されているか否かを識別する識別工程と、前記識別工程により前記デジタル署名が前記画像データに付加されていると識別された場合に、前記画像データの正当性を前記署名認証サーバに問い合わせる問合工程と、前記問い合わせに対する前記署名認証サーバからの情報または前記署名認証サーバからの応答の有無に基づいて、前記画像データが正当であるかを決定する決定工程と、前記決定工程において前記画像データが正当であると決定されなかった場合には、前記決定工程における決定に対応するデータを前記画像データに付加して得られる画像を形成し、前記決定工程において前記画像データが正当であると決定された場合には、前記決定工程における決定に対応するデータを付加することなく前記画像データに基づき画像を形成する画像形成工程と、を有し前記署名認証サーバからの応答が所定時間の間に無かった場合には、前記決定工程は、前記画像データの正当性を検証できなかったと決定し、前記画像形成工程は、画像の正当性が検証できなかったことを示すデータを前記画像データに付加して画像を形成する。

上記目的を達成するための本発明に係る一実施形態の画像形成装置を制御する制御プログラムは、以下の構成を有する。すなわち、ネットワークを介して署名認証サーバと通信可能な画像形成装置を制御する制御プログラムであって、画像データにデジタル署名が付加されているか否かを識別手段が識別する識別工程と、前記識別工程により前記デジタル署名が前記画像データに付加されていると識別された場合に、前記画像データの正当性を前記署名認証サーバに問合手段が問い合わせる問合工程と、前記問い合わせに対する前記署名認証サーバからの情報または前記署名認証サーバからの応答の有無に基づいて、前記画像データが正当であるかを決定手段が決定する決定工程と、前記決定工程において前記画像データが正当であると決定されなかった場合には、画像形成手段が前記決定工程における決定に対応するデータを前記画像データに付加して得られる画像を形成し、前記決定工程において前記画像データが正当であると決定された場合には、前記画像形成手段が前記決定工程における決定に対応するデータを付加することなく前記画像データに基づき画像を形成する画像形成工程と、を有し、前記署名認証サーバからの応答が所定時間の間に無かった場合には、前記決定工程は、前記画像データの正当性を検証できなかったと決定し、前記画像形成工程は、画像の正当性が検証できなかったことを示すデータを前記画像データに付加して画像を形成する画像形成装置の制御方法をコンピュータに実行させる。

本発明によれば、画像形成装置でデジタル署名つきの画像データから画像形成を行う際に、この画像データが改竄されている場合、出力画像にその旨を示す情報を付加することができるので、ユーザは、この画像データから形成される画像を安全に管理できる。そのため、本発明の画像形成装置及びその制御方法によれば、出力画像の不用意な配布を防止したり、出力画像は原画像が改竄された可能性があることを認識してその取り扱いに注意することができる。

以下、添付図面を参照して本発明の好適な実施形態について詳細に説明する。なお、以下の説明では、画像形成装置として、ネットワークに接続可能であり、ハードディスクなどの記憶装置を備える画像入出力装置を一例として説明する。また、以下の説明では、ネットワーク上に、上記説明した画像入出力装置のほか、パーソナルコンピュータ、デジタル署名発行認証サーバなどが接続されるシステムの例を用いて説明する。

＜第１の実施形態＞
［画像入出力装置の構成：図１］
図１は、本発明に係る電子部品としてのコントローラ部が搭載された画像入出力装置の構成の一例を示すブロック構成図である。画像入出力装置１は、イーサネット（登録商標）等のＬＡＮ（Local Area Network）４００にてホストコンピュータ（本実施形態では第一、第二のホストコンピュータ３,４）に接続されている。また、ＬＡＮ４００上には、デジタル署名発行認証サーバ５０１も接続されているが、ネットワーク構成の詳細な説明は、図５を用いて後述する。

即ち、画像入出力装置１は、リーダ部２、プリンタ部６、操作部７、コントローラ部１１０とから構成されている。リーダ部２は、画像データの読取処理を行い、プリンタ部６は、画像データの出力処理を行い、操作部７は、画像データの入出力操作を行うキーボード、及び画像データや各種機能の表示などを行う液晶パネルを備えている。コントローラ部１１０には、制御プログラムや画像データ等が予め書き込まれたハードディスク８が装着され、コントローラ部１１０は、上記の各構成要素に接続されて該構成要素を制御する単一の電子部品から構成されている。

さらにリーダ部２は、原稿用紙を搬送する原稿給紙ユニット（部）１０と、原稿画像を光学的に読み取って電気信号としての画像データに変換するスキャナ部１１とを有する。また、プリンタ部６は、記録用紙を収容する複数段の給紙カセットを備えた給紙ユニット（部）１２と画像データを記録用紙に転写、定着するマーキングユニット(部)１３と排紙ユニット（部）１４とを有している。排紙ユニット（部）１４は、印字された記録用紙にソート処理やステイプル処理を施して、外部に排出するものである。

［画像入出力装置の詳細：図２］
図２は、画像入出力装置１のリーダ部２及びプリンタ部６の詳細を示す内部構造であって、リーダ部５はプリンタ部６に載置されている。リーダ部２では、原稿給送ユニット１０に積層された原稿用紙がその積層順にしたがって、先頭から順次１枚ずつプラテンガラス１５上に給送される。次に、原稿用紙は、スキャナユニット１１で所定の読取動作が終了した後、該読み取られた原稿用紙はプラテンガラス１５上から原稿給送ユニット１０に排出される。

また、上記スキャナユニット１１では、原稿用紙がプラテンガラス１５上に搬送されてくるとランプ１６が点灯し、次いで光学ユニット１７の移動を開始させ、原稿用紙を下方から照射し、走査する。そして、原稿用紙からの反射光は、複数のミラー１８−２０、及びレンズ２１を介してＣＣＤイメージセンサー（以下、単に「ＣＣＤ」と記す）２２へと導かれ、走査された原稿画像はＣＣＤ２２によって読み取られる。

そして、ＣＣＤ２２で読み取られた画像データは、所定の処理が施された後、コントローラユニット１１０（図２では不図示、図１参照）に転送される。あるいは、原稿プラテン上に載置された原稿を同様にランプ１６を点灯し、次いで光学ユニット１７の移動を開始させ、原稿用紙を下方から照射し、走査することで、走査された原稿画像をＣＣＤ２２によって読み取ることが可能である。以上の手順で送出されたリーダ部２からの画像データは、コネクタ５６（図２では不図示、図３参照）を介してコントローラ部１１０に送出される。

次いで、プリント部６では、コントローラ部１１０から出力された画像データに対応するレーザ光が、レーザドライバ２３により駆動されるレーザ発光部２４から発光される。該レーザ光はマーキング部１３の感光ドラム２５にはレーザ光に応じた静電潜像が形成され、現像器２６により前記静電潜像の部分に現像剤が付着する。

一方、レーザ光の照射開始と同期したタイミングで、給紙部１２（給紙カセット１２a,１２b）から記録用紙が給紙されて転写部２７に搬送され、感光ドラム２５に付着している現像剤を記録用紙に転写する。画像データが転写された記録用紙は定着部２８に搬送され、定着部２８における加熱・加圧処理により画像データが記録紙に定着される。

そして、画像データを記録用紙に片面記録する場合は、定着部２８を通過した記録用紙が排出ローラ２９によってそのまま排紙ユニット１４に排出される。排紙ユニット１４は排出された記録用紙を束ねて記録用紙の仕分けを行い、また、仕分けされた記録用紙のステイプル処理を行う。

また、画像データを記録用紙に両面記録する場合は、排出ローラ２９まで記録用紙を搬送した後、該排出ローラ２９の回転方向を逆転させるフラッパ３０によって再給紙搬送路３１へと導かれる。該再給紙搬送路３１に導かれた記録用紙は上述と同様にして転写部２７に搬送される。

コントローラ部１１０は、上述したように単一の電子部品で構成され、リーダ部２読み取った画像データをコードに変換し、ＬＡＮ４００を介して第一及び第二のホストコンピュータ３、４に送信するスキャナ機能を有している。また、コントローラ部１１０は、ホストコンピュータ３、４からＬＡＮ２を介して受信したコードデータを画像データに変換し、プリンタ部６に出力するプリンタ機能、その他の機能ブロックを有している。

［コントローラ部の詳細：図３］
図３はコントローラ部１１０の詳細を示すブロック図である。すなわち、メインコントローラ３２は、ＣＰＵ３３とバスコントローラ３４と後述する各種コントローラ回路を含む機能ブロックとを内蔵する。さらに、メインコントローラ３２は、ＲＯＭＩ／Ｆ３５を介してＲＯＭ３６と接続され、ＤＲＡＭＩ／Ｆ３７を介してＤＲＡＭ３８と接続され、コーデックＩ／Ｆ３９を介してコーデック４０と接続されている。また、メインコントローラ３２は、ネットワークＩ／Ｆ４１を介してネットワークコントローラ４２と接続されている。

ＲＯＭ３６には、メインコントローラ３２のＣＰＵ３３で実行される各種制御プログラムや演算データが格納されている。ＤＲＡＭ３８は、ＣＰＵ３３が動作するための作業領域や画像データを蓄積するための領域として使用される。コーデック４０はＤＲＡＭ３８に蓄積されたラスターイメージデータをＭＨ／ＭＲ／ＭＭＲ／ＪＢＩＧなどの周知の圧縮方式で圧縮し、また圧縮されたデータをラスターイメージに伸長する。また、コーデック４０にはＳＲＡＭ４３が接続されており、該ＳＲＡＭ４３は前記コーデック４０の一時的な作業領域として使用される。

ネットワークコントローラ４２は、ネットワーク４４を介してＬＡＮ４００との間で所定の制御動作を行う。また、メインコントローラ３２はスキャナバス４５を介してスキャナＩ／Ｆ４６に接続され、プリンタバス４７を介してプリンタＩ／Ｆ４８に接続されている。メインコントローラ３２はさらにＰＣＩバス等の汎用高速バス４９を介して拡張ボードを接続するための拡張コネクタ５０及び入出力制御部（Ｉ／Ｏ制御部）５１に接続されている。

Ｉ／Ｏ制御部５１はリーダ部２やプリンタ部６との間で制御コマンドを送受信するための調歩同期式のシリアル通信コントローラ５２が２チャンネル装備されている。該シリアル通信コントローラ５２はＩ／Ｏバス５３を介してスキャナＩ／Ｆ４６及びプリンタＩ／Ｆ４８に接続されている。

スキャナＩ／Ｆ４６は、第一の調歩同期シリアルＩ／Ｆ５４及び第一のビデオＩ／Ｆ５５を介してスキャナコネクタ５６に接続され、さらに該スキャナコネクタ５６はリーダ部２（図１）のスキャナユニット１１に接続されている。そして、スキャナＩ／Ｆ４６はスキャナ部１１から受信した画像データに対し所望の２値化処理や、主走査方向及び／又は副走査方向の変倍処理を行う。またスキャナＩ／Ｆ４６はスキャナ部１１から送られてきたビデオ信号に基づいて制御信号を生成し、スキャナバス４５を介してメインコントローラ３２に転送する。

また、プリンタＩ／Ｆ４８は、第２の調歩同期シリアルＩ／Ｆ５７及び第２のビデオＩ／Ｆ５８を介してプリンタコネクタ５９に接続され、さらに該プリンタコネクタ５９はプリンタ部６のマーキングユニット１３に接続されている。そして、プリンタI/F４８はメインコントローラ３２から出力された画像データにスムージング処理を施して該画像データをマーキングユニット１３に出力する。さらにプリンタI/F４８はマーキングユニット１３から送られたビデオ信号に基づいて、生成された制御信号をプリンタバス４７に出力する。

そして、ＣＰＵ３３は、ＲＯＭ３６からＲＯＭＩ／Ｆ３５を介して読み込まれた制御プログラムに基づいて動作する。例えば、第１及び第２のホストコンピュータ３、４から受信したＰＤＬ（ページ記述言語）データを解釈し、ラスターイメージデータに展開処理を行う。

また、バスコントローラ３４は、スキャナＩ／Ｆ４６プリンタＩ／Ｆ４８、その他拡張コネクタ５０等に接続された外部機器から入出力されるデータ転送を制御するものであり、バス競合時のアービトレーション（調停）やＤＭＡデータ転送の制御を行う。即ち、例えば、上述したＤＲＡＭ３８とコーデック４０との間のデータ転送や、スキャナ部５からＤＲＡＭ３８へのデータ転送、ＤＲＡＭ３８からマーキングユニット１３へのデータ転送等は、バスコントローラ３４によって制御され、ＤＭＡ転送される。

また、Ｉ／Ｏ制御部５１は、ＬＣＤコントローラ６０及びキー入力Ｉ／Ｆ７６１を介してパネルＩ／Ｆ６２は操作部７に接続されている。また、Ｉ／Ｏ制御部５１は不揮発性メモリとしてのＥＥＰＲＯＭ６６に接続され、またＥ−ＩＤＥコネクタ６３を介してハードディスクドライブ８に接続されている。さらに、Ｉ／Ｏ制御部５１は、機器内で管理する日付と時刻を更新／保存するリアルタイムクロックモジュール６４に接続されている。尚、リアルタイムクロックモジュール６４はバックアップ用電池６５に接続されて該バックアップ用電池６５によりバックアップされている。

［メインコントローラの内部詳細：図４］
図４はメインコントローラ３２の内部詳細を示すブロック構成図である。バスコントローラ３４は、４×４の６４ビットクロスバススイッチで構成され、６４ビットのプロセッサバス（Pバス）６７を介してＣＰＵ３３に接続されている。またバスコントローラ３４は、メモリ専用のローカルバス（Mバス）６８を介してキャッシュメモリ６９aを備えたメモリコントローラ６９に接続されている。尚、メモリコントローラ６９はＲＯＭ３６やＤＲＡＭ３８などのメモリ類と接続され、これらのメモリ類の動作を制御する。

さらに、該バスコントローラ３４はグラフィックスバス（Ｇバス、１００ＭＨｚ，６４ｂｉｔ，８００ＭＢｙｔｅ／ｓｅｃ）７０を介してＧバスアービタ７１及びスキャン・プリンタコントローラ７２と接続されている。またバスコントローラ３４は入出力バス（Ｂバス、５０ＭＨｚ，３２ｂｉｔ，２００ＭＢｙｔｅ／ｓｅｃ）７３を介して、Ｂバスアービター７４、Ｇバスアービタ７１、インタラプトコントローラ、及び各種機能ブロックと接続されている。各種機能ブロックとは、例えば、電力管理ユニット７６、UARTなどのシリアルI/Fコントローラ７７、ＵＳＢコントローラ７８、IEEE１２８４等のパラレルI/Fコントローラ７９、ＬＡＮコントローラ８０汎用入出力コントローラ８１である。また、Ｂバス７３と外部バスであるＰＣIバスとの間でI/F動作を司るＰＣIバスI/F８２、スキャナ・プリンタコントローラ７２なども機能ブロックに含まれる。

Ｂバスアービタ７４はＢバス７３を協調制御するアービトレーションであり、Ｂバス７３のバス使用要求を受け付け、調停の後、使用許可が選択された一つのマスタに与えられ、これにより同時に２つ以上のマスタがバスアクセスを行うのを禁止している。尚、アービトレーション方式は３段階の優先権を有し、それぞれの優先権に複数のマスタが割り当てられる。

インタラプトコントローラ７５は、上述した各機能ブロック及びコントローラユニット１１０の外部からインタラプトを集積し、ＣＰＵ３３がサポートするコントローラ類７２、７７−８２及びノンマスカブルインタラプト（ＮＭＩ）に再配分する。

電力管理ユニット７６は機能ブロック毎に電力を管理し、さらに１チップで構成されている電子部品としてコントローラユニット１１０の消費電力量の監視を行う。すなわち、コントローラユニット１１０は、ＣＰＵ３３を内蔵した大規模なASIC（特定用途向けIC）で構成されており、このため全ての機能ブロックが同時に動作すると大量の熱を発生して、コントローラ部１１０自体が破壊されてしまう虞がある。

そこで、このような事態を防止するために各に機能ブロック毎に消費電力を管理し、各機能ブロックの消費電力量はパワーマネージメントレベルとして電力管理ユニット７６に集積される。そして、該電力管理ユニット７６では各機能ブロックの消費電力量を合計し、該消費電力量が限界消費電力を超えないように各機能ブロックの消費電力量を一括して、監視する。

Ｇバスアービタ７１は中央アービトレーション方式によりＧバス７０を協調制御しており、各バスマスタに対して専用の要求信号と許可信号とを有する。尚、バスマスタへの優先権の付与方式は、例えば、以下の通りである。すなわち、全てのバスマスタを同じ優先権として、公平にバス権を付与する公平アービトレーションモードと、いずれか一つのバスマスタに対して優先的にバスを使用させる優先アービトレーションモードのいずれかを指定することができる。

［ネットワーク構成：図５］
上述のような構成の画像入出力装置１を一例に挙げ、本発明の具体的な実施形態を図５、図６、図７を用いて具体的に説明する。図５は本発明の実施形態における画像入出力装置１を含む具体的なネットワーク構成を図示したものである。

ネットワーク上には画像入出力装置１、デジタル署名発行認証サーバ５０１が接続される他、デジタル署名、および認証サービスを利用するユーザの利用するＰＣ３、及び４が接続されている。

ここで、デジタル署名とは、デジタル文書の正当性を保証するためにつけられる暗号化された署名情報であり、タイムスタンプが付与された時刻以降、そのデータが改竄されていないことを第三者に証明する暗号化されたデジタルデータを指す。

図５について説明する。
（１）デジタル署名取得依頼（図５の(1)）
ＰＣ３ではユーザは、パーソナルコンピュータ上のアプリケーションで任意にドキュメント作成を行うことが可能である。ユーザがＰＣ３上で作成した文書を保護するためには、デジタル署名サービスを備えるデジタル署名発行認証サーバ５０１に対してデジタル署名取得依頼を、作成したドキュメントとのハッシュ値とともに暗号化し、送信する。
（２）生成した署名情報を送信（図５の(2)）
デジタル署名発行認証サーバ５０１は、ユーザが要求する署名情報をドキュメントのハッシュ値に対して生成し、生成した署名情報をＰＣ３へ送信する。本実施の形態では、デジタル署名発行認証サーバ５０１が生成した署名情報には、ＰＣ３から受信したハッシュ値が埋め込まれているが、ドキュメントに対するハッシュ値の生成はデジタル署名発行認証サーバ５０１が行なっても良い。この場合、ＰＣ３で作成されたドキュメントのハッシュ値の代わりに当該ドキュメント自体がデジタル署名取得依頼とともにデジタル署名発行認証サーバ５０１へ送信される。
（３）署名情報付画像データのプリント依頼（図５の(3)）
ユーザはＰＣ３にて、デジタル署名発行認証サーバ５０１から取得した署名情報を作成した文書に付加する。このようなサービスはＰＣ３上のアプリケーションとともにデジタル署名あるいはタイムスタンプサービスとして公知の技術として公開、提供されている。次に、ユーザはＰＣ３から、デジタル署名サービスを用いて作成されたデジタル署名つきのドキュメント（画像データ）を画像入出力装置１に送信し、その画像形成（プリント）を要求する。
（４）ドキュメントの検証依頼（図５の(4)）
画像入出力装置１は、デジタル署名発行認証サーバ５０１に対して、受信したデジタル署名つきのドキュメントを送信し、ドキュメントの真贋の検証を要求する。
（５）ドキュメントの真贋の検証結果報告（図５の(5)）
デジタル署名発行認証サーバ５０１は、受信したドキュメントから生成したハッシュ値と、デジタル署名内に埋め込まれているハッシュ値とを比較して、画像入出力装置１に対して、ドキュメントの真贋の検証結果を報告する。
（６）プリント実行（デジタル署名の検証付画像形成）（図５の(6)）
画像入出力装置１は、ドキュメントの真贋の検証結果に基づいて画像データに付加した合成画像データを作成し、合成画像を出力する。出力例５−１は改竄されていると判断された場合であり、出力例５−２は検証できなかったと判断された場合である。また、改ざんされていないと判断された場合は、合成画像データを生成することなく、元の画像データに基づいて画像を出力する。

なお、図５の(1)、(2)におけるＰＣ３とデジタル署名発行認証サーバ５０１との通信では、公知のＳＳＬ（Secured Socket Layer）等を用いた暗号化通信を行なうのが好ましい。同様に図５の(3)におけるPC３と画像入出力装置１との間の通信や図５の(4)、(5)における画像入出力装置と１デジタル署名発行認証サーバ５０１との間の通信も暗号化通信を用いるのが好ましい。

このように、本発明は、上述のようなデジタル署名サービスを用いて作成された署名つきのドキュメントをＰＣ３からユーザが画像入出力装置１に対しプリント要求した際の画像入出力装置１の処理に関するものである。この具体的例について図７のフローチャートを用いて詳細に説明する。

［画像形成処理：図７］
次に、画像入出力装置１内のコントローラ部１１０の処理について、図７を用いて説明する。この処理は、ＲＯＭ３６に格納されている制御プログラムに基づいて、ＣＰＵ３３が各部を制御しながら、ＤＲＡＭ３８を作業領域や画像データを蓄積するための領域として使用して実行するものである。なお、以下の処理の説明では、画像入出力装置１には、デジタル署名発行認証サーバ５０１によってドキュメントの内容が改竄されている場合の出力画像の形式が予め設定されている、あるいは、ユーザによって設定されているものとする。また、画像入出力装置１には、デジタル署名発行認証サーバ５０１によってデジタル署名発行認証サーバ５０１との接続が不可であった場合の出力画像の形式が予め設定されている、あるいは、ユーザによって設定されているものとする。

図７に示す処理は、コントローラ部１１０が内部のネットワークコントローラ４２を通じてＰＣ３からのドキュメント（画像データ）のプリント要求を受信したときに開始される（図５の(3)）。

まず、ステップＳ１００１にて、ＣＰＵ３３がＰＣ３からのドキュメントがデジタル署名つきのデータであるか否かを検証する。ステップＳ１００１にて、デジタル署名データがドキュメントに付加されていない場合には、ステップＳ１１００に進み、他の処理を行ってから一連の作業を終了する。なお、ステップＳ１１００の処理は、プリント要求に基づき画像出力処理（画像形成処理）を行なうものであるが、その詳細な説明を省略する。

一方、ステップＳ１００１にてドキュメントにデジタル署名データが付加されていると判断された場合には、ステップＳ１００２に進む。ステップＳ１００２では、後にデジタル署名発行認証サーバ５０１へ認証（或いは検証）を求める際にＣＰＵ３３が使用するカウンタ（retry counter）を０にリセットしてからステップＳ１００３に進む。

ステップＳ１００３ではＣＰＵ３３はネットワークコントローラ４２を通じて、デジタル署名発行認証サーバ５０１と通信を開始する。なお、本実施形態では、デジタル署名の発行、及び認証のサービスの両方をデジタル署名発行認証サーバ５０１にて実施するが、認証、発行は別々のサーバで行う構成としてもよい。

次に、ステップＳ１００４に進み、ＬＡＮ４００がネットワーク障害、あるいはデジタル署名発行認証サーバ５０１のシステムがダウン状態にある場合等の理由で、デジタル署名発行認証サーバ５０１のシステムと通信が行えない場合の処理をする。すなわち、このような場合には、カウンタ（retry counter）をカウントアップしてから、ステップＳ１００９へ移行する。デジタル署名発行認証サーバ５０１のシステムと通信が行えない他の原因としては、ネットワークのトラフィックが混雑しているために安定した通信が行なえない場合が考えられる。また、デジタル署名発行認証サーバ５０１が稼動はしているが、ビジー状態のために応答を返せないことも考えられる。

ステップＳ１００９では、リトライカウンタが画像入出力装置１内で予め決められた所定回数に到達したか否かをチェックする。所定回数とは、リトライの上限値であり、画像入出力装置１内でデフォルトとして定められる値か、もしくは、画像入出力装置１の管理者、あるいはユーザが操作部７より入力する値である。この値（所定回数）は、コントローラ部１１０内のハードディスク８等の不揮発性の記憶手段に保存されている。

ステップＳ１００９において、接続のリトライ回数が、所定回数に到達しない場合には、一定時間経過後に接続をリトライするために、ステップＳ１０１３に進み、ＣＰＵ３３の持つタイマーをリセットし、次に、ステップＳ１０１４にて所定時間経過を待つ。ステップＳ１０１４にて所定時間経過した場合にはステップＳ１００４に戻り、再びデジタル署名発行認証サーバ５０１との接続を試みる。

一方、ステップＳ１００９において、接続のリトライ回数が、所定回数に到達した場合には、ステップＳ１０１０に進み、デジタル署名発行認証５０１サーバとの接続が不可であった場合の処理を実行する。この処理は後述する。

一方、ステップＳ１００４において、デジタル署名発行認証サーバ５０１との接続が正常に行える場合、ステップＳ１００５に進む。ステップＳ１００５では、ＣＰＵ３３はネットワークコントローラ４２を通じて、デジタル署名発行認証サーバ５０１にデジタル署名の検証要求を発行し、その結果を受け取る（（図５の(4)、図５の(5)）。

次に、ステップＳ１００６ではステップＳ１００５の検証結果に従い処理を分岐する。まず、ステップＳ１００５でのデジタル署名発行認証サーバ５０１からの検証の結果、署名、ドキュメントの内容が改竄されていないと判断された場合にはステップＳ１００７へ進む。

ステップＳ１００７では、ドキュメント（画像データ）と署名の正当性が証明されたので、ＣＰＵ３３にて前述のようにドキュメント（画像データ）をプリント部６に転送するためのラスターイメージデータにドキュメントを展開（ビットマップ展開）する。既にドキュメント（画像データ）がラスタライズされたデータである場合はビットマップ展開処理をスキップしても良い。また、ドキュメント（画像データ）が圧縮或いは暗号化されたデータである場合は必要に応じて伸張処理、復号処理を行なう。ステップＳ１００８ではステップＳ１００７で展開されたラスターイメージデータをバスコントローラ３４によって、マーキングユニット１３へＤＭＡ転送される。マーキングユニット１３では前述のプリント部６の説明のとおり、記録紙上に可視像を形成し、処理を終了する。この結果、画像が出力される。

一方、ステップＳ１００５でのデジタル署名発行認証サーバ５０１からの検証の結果、署名、ドキュメントの内容が改竄されていると判断された場合には、ステップＳ１０１０に移行する。また、デジタル署名の有効期限が切れている場合、デジタル署名発行認証サーバは、ドキュメントの正当性の検証ができないと判断し、この場合もステップＳ１０１０へ移行するようにしても良い。

ステップＳ１０１０以降の処理では、ステップＳ１００６にてデジタル署名発行認証サーバ５０１でドキュメントの正当性が検証できなかった場合の処理を実行する。また、ステップＳ１０１０以降の処理では、ステップＳ１００９でデジタル署名発行認証サーバ５０１との接続が不可であった場合の処理を実行する。すなわち、ステップＳ１０１０では付加用画像データを生成し、さらに、この生成した付加用画像データをビットマップ展開する。

［付加用画像：図８、９］
ここで、付加用画像データにより形成される付加用画像とは、図８の８−１または図９の９−１に一例を示すものであり、ＣＰＵ３３にて生成されるものである。図８の８−１は、デジタル署名発行認証サーバ５０１でドキュメントの正当性が検証できなかった場合に、ドキュメントが改竄されている可能性がある旨を示す付加画像である。また、図９の９−１は、デジタル署名発行認証サーバ５０１との接続が不可であった場合に、ドキュメントの真贋が検証出来なかったことを示す付加画像である。

ここで、これら付加画像を予め生成し、コントローラ部１１０のハードディスクドライブ８に格納しておき、必要に応じて読み出すようにしても良い。なお、図８は、デジタル署名発行認証サーバ５０１でドキュメントの正当性が検証できなかった場合に生成される付加用画像８−１のみを記録媒体に記録した例である。また、図９は、デジタル署名発行認証サーバ５０１との接続が不可であった場合に生成される付加用画像９−１のみを記録媒体に記録した例である。

なお、デジタル署名の有効期限が切れており、ドキュメントの正当性が検証できなかった場合にも付加画像９−１を記録するようにしても良い。あるいは「デジタル署名の有効期限が切れています」という旨のメッセージを付加画像として用いても良い。更に、ステップＳ１００１でデジタル署名付きデータでないと判断されたドキュメントを印刷する場合に「デジタル署名が付与されていません」という旨のメッセージを付加画像として用いても良い。

次に、ステップＳ１０１１では、ＣＰＵ３３にて前述のように受信したドキュメント（画像データ）をプリント部６に転送するためのラスターイメージデータに展開する。ステップＳ１００７での説明と同様、ドキュメント（画像データ）の種類に応じてラスタライズ処理をスキップしたり、必要に応じて伸張処理や復号処理を行なうようにしても良い。このドキュメント（画像データ）をラスターイメージデータに展開する際に、ユーザによって、デジタル署名発行認証サーバ５０１でドキュメントの正当性が検証できなかった場合の出力画像の指示がある場合には、その指示に従って以下のように処理する。すなわち、その指示に従って予めドキュメント（画像データ）の編集処理を行ってからラスターイメージデータに展開する。また、ユーザによって、ドキュメントが改竄されている可能性がある場合の出力画像の指示がある場合には、その指示に従って予めドキュメント（画像データ）の編集処理を行ってからラスターイメージデータに展開する。なお、本実施形態におけるステップＳ１０１１の処理は、予めユーザによって受信されたドキュメント（画像データ）を、そのままの色調で、そのままの大きさで出力する出力形式が選択されているものとする。

［画像の出力形式：図１７］
なお、ドキュメントの正当性が検証できない場合の出力形式について、図１７を用いて説明する。この操作は、ユーザによって予め本画像入出力装置１の立ち上げ時などに設定しておくことができる。

本画像入出力装置１では、図１７に示す出力画像形式の選択画面１７−０を操作部７の液晶パネルに表示し、ユーザにデジタル署名発行認証サーバ５０１によってドキュメントが改竄されている可能性があると指摘された場合の画像表示することができる。また、デジタル署名発行認証サーバ５０１との接続が不可であり、ドキュメントの正当性が検証できなかった場合（真贋を検証が出来なかった場合）の画像表示を設定することもできる。

すなわち、ドキュメントが改竄されている可能性がある場合において、受信したドキュメント（画像データ）と同じ色調で、同じ大きさのカラー画像を出力することをユーザが希望する場合には、ユーザは１７−１のボタンを押下することによって選択される。

同様に、ユーザが受信したドキュメント（画像データ）の濃度をユーザが変更したい場合には１７−２のボタンを押下することによって選択される。また、ユーザが受信したドキュメント（画像データ）の一部のみの出力を希望する場合には、１７−３のボタンを押下することによって選択される。

同様に、ユーザが受信したドキュメント（画像データ）を縮小したい場合には１７−４のボタンを押下することによって選択される。また、ユーザが受信したドキュメント（画像データ）をモノクロ画像として出力を希望する場合には、１７−５のボタンを押下することによって選択される。また、ユーザが受信したドキュメント（画像データ）を縮小し、更に１枚の記録媒体に複数枚の縮小された画像を出力したい場合には１７−６のボタンを押下することによって選択される。

［合成画像：図１０，１１］
次に、ステップＳ１０１２では、ステップＳ１０１０で生成した付加用画像データのラスターイメージデータと、ステップＳ１０１１で編集されたドキュメント（画像データ）のラスターイメージデータとを合成して合成画像データを形成する。
次に、ステップＳ１００８では、合成画像データのラスターイメージデータをプリンタ部６へ転送する。そして、ドキュメントが改竄されている可能性がある旨の情報が付加された合成画像あるいはドキュメントの正当性が検証できなかった旨の情報が付加された合成画像を出力する。この合成画像データにより形成される合成画像の一例を図１０，１１に示す。図１０は、図８のデジタル署名発行認証サーバ５０１でドキュメントの正当性が検証できなかった場合に生成される付加用画像データを画像データに付加して合成された合成画像データより画像形成される画像の一例である。図１１は、図９のデジタル署名発行認証サーバ５０１との接続が不可であった場合に生成される付加用画像を画像データに付加して合成される合成画像データより画像形成される画像の一例である。

［その他の合成画像：図１２〜１６］
なお、ステップＳ１０１１→ステップＳ１０１２→ステップＳ１００８の処理において、予め、ユーザによって、図１７に示すいずれかの出力画像の指示がある場合には、その指示に従って上記説明したような合成画像データより合成画像が形成される。図１２〜図１６にその一例を示す。すなわち、図１２は、デジタル署名発行認証サーバ５０１でドキュメントの正当性が検証できなかった場合に生成される付加用画像データを、濃度変更された画像データに付加して合成された合成画像の一例を示す図である。

同様に、図１３は、ドキュメントの正当性が検証できなかった場合に生成される付加用画像データを、カラー画像の一部のみ出力するように変更された画像データに付加して合成された画像の一例を示す図である。

同様に、図１４は、ドキュメントの正当性が検証できなかった場合に生成される付加用画像データを、カラー画像を縮小して出力するように変更された画像データに付加して合成された画像の一例を示す図である。

同様に、図１５は、ドキュメントの正当性が検証できなかった場合に生成される付加用画像データを、カラー画像をモノクロ画像にして出力するように変更された画像データに付加して合成された画像の一例を示す図である。

同様に、図１６は、ドキュメントの正当性が検証できなかった場合に生成される付加用画像データを、カラー画像を縮小し、かつ複数の画像を１枚の記録媒体に出力するように変更された画像データに付加して合成された画像の一例を示す図である。

［ＣＰＵの処理のブロック図：図６］
図７で説明したＣＰＵ３３の処理を機能ブロック図として図６に図示する。通常、デジタル署名発行認証サーバ５０１でデジタル署名の認証が正常に行われた場合には、６−１の画像データ生成手段でドキュメント（画像データ）ビットマップ展開しラスターイメージデータとして生成し、次に、６−２の画像出力手段で画像を形成する。この場合には、画像に何も付加されていないため、ユーザはデジタル署名の認証が正常に行われたことを確認することができる。

一方、デジタル署名発行認証サーバ５０１でデジタル署名の検証が実施されない場合、あるいは、デジタル署名の検証を実施したが、ドキュメントの改竄がなされていたことが検知された場合には、以下の処理を行う。すなわち、６−３の画像編集手段で画像データの編集処理（上記説明した、濃度変更、一部出力、縮小、モノクロ画像などへの変更処理をした後、ビットマップ展開）を行う。また、６−４の付加用画像生成手段での付加用画像データの生成およびビットマップ展開を行う。更に、ステップＳ６−５の合成画像生成手段で、編集された画像データと付加用画像データのラスターイメージデータとから合成画像データを形成し、画像出力手段６−２で合成画像を形成する。

このため、ユーザは、画像にドキュメントの正当性が検証できなかった、あるいはドキュメントの改竄がなされていたことを可視像として表示されているため、ユーザはデジタル署名の認証が正常に行われなかったことなどを確認することができる。また、このような正当性の検証を実施できなかった、或いは改竄がなされていたことが検知されたドキュメントをそのまま出力処理しないことで、その出力物（印刷物）を正当なドキュメントとして扱われてしまうという危険を回避することもできる。

ところで、本実施形態においてデジタル署名発行認証サーバ５０１は画像入出力装置の外部にあるサーバとして説明してきたが、画像入出力装置１の内部にデジタル署名発行認証機能を内蔵するようにしても良い。このような構成をとった場合において、デジタル署名が検証できないケースとしては、画像入出力装置１内部のデジタル署名発行認証機能が正しく稼動していないなどの理由でデジタル署名の検証動作が実行できない場合等が考えられる。

以上、説明したように、本実施形態の画像形成装置では、画像形成装置でデジタル署名つきの画像データから画像形成を行う際に、この画像データが改竄されている場合において、出力画像にその旨を示す情報を付加することができる。また、その画像データが改竄されている否か（真贋）が検証されない場合にも、出力画像にその旨を示す情報を付加することができる。従って、ユーザは、この情報に基づいてこの画像データから形成される画像を安全に管理できる。そのため、出力画像の不用意な配布を防止したり、出力画像は原画像を改竄したものであることを認識してその取り扱いに注意することができる。

なお、本発明は、複数の機器（例えばホストコンピュータ，インターフェース機器，リーダ，プリンタなど）から構成されるシステムに適用しても、一つの機器からなる装置（例えば、複写機，ファクシミリ装置など）に適用してもよい。

本発明の目的は、前述の実施形態の機能を実現するソフトウェアのプログラムコードを記録した記憶媒体を、システム等に供給し、そのシステム等のコンピュータ（ＣＰＵ）が記憶媒体に格納されたプログラムコードを読出し実行することによっても達成される。

この場合、記憶媒体から読出されたプログラムコード自体が前述した実施形態の機能を実現することになり、そのプログラムコードを記憶した記憶媒体およびプログラム自体が本発明を構成することになる。

プログラムコードを供給するための記憶媒体としては、例えば、フロッピディスク，ハードディスク，光ディスク，光磁気ディスク，ＣＤ−ＲＯＭ，ＣＤ−Ｒ，磁気テープ，不揮発性のメモリカード，ＲＯＭなどを用いることができる。

また、コンピュータが読出したプログラムコードを実行することにより、前述の実施形態の機能が実現される。また、そのプログラムコードの指示に基づき、コンピュータ上で稼働しているＯＳなどが実際の処理の一部または全部を行い、その処理によって前述の実施形態の機能が実現される場合も含まれる。

さらに、記憶媒体から読出されたプログラムコードは、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書込まれる。そこで、書込み後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。

本発明を上記記憶媒体に適用する場合、その記憶媒体には、先に説明した（図４及び図８に示す）フローチャートに対応するプログラムコードが格納されることになる。

本発明に係る画像形成装置の一実施形態の画像入出力装置の一例を示すブロック構成図である。 画像入出力装置の内部構成図の一例を示す図である。 本発明に係る電子部品としてのコントローラ部の詳細を示すブロック構成図である。 メインコントローラの詳細を示すブロック構成図である。 本発明に係る画像形成装置としての画像入出力装置、デジタル署名発行認証サーバ、とクライアントＰＣのＬＡＮ上の構成を示すブロック図である。 ドキュメントの正当性が検証された場合とされない場合の処理を説明するブロック図である。 画像入出力装置の処理を説明するフローチャートである。 ドキュメントが改竄されている可能性がある旨を示す付加画像の一例を示す図である。 ドキュメントの正当性が検証出来なかったことを示す付加画像の一例を示す図である。 ドキュメントが改竄されている可能性がある旨の情報が付加された合成画像の一例である。 ドキュメントの正当性が検証できなかった旨の情報が付加された合成画像の一例である。 ドキュメントが改竄されている可能性がある旨の情報が付加された合成画像（原画像が濃度変更されたもの）の一例を示す図である。 ドキュメントが改竄されている可能性がある旨の情報が付加された合成画像（原画像が一部出力されたもの）の一例を示す図である。 ドキュメントが改竄されている可能性がある旨の情報が付加された合成画像（原画像が縮小されたもの）の一例を示す図である。 ドキュメントが改竄されている可能性がある旨の情報が付加された合成画像（原画像がモノクロ画像に変更されたもの）の一例を示す図である。 ドキュメントが改竄されている可能性がある旨の情報が付加された合成画像（原画像が縮小され、１枚の記録媒体に複数枚出力されたもの）の一例を示す図である。 出力画像形式の選択画面の一例を示す図である。

符号の説明

１ 画像入出力装置
３ クライアントＰＣ
４ クライアントＰＣ
５０１ デジタル署名発行認証サーバ

Claims (11)

1. 画像データにデジタル署名が付加されているか否かを識別する識別手段と、
   前記識別手段により前記デジタル署名が前記画像データに付加されていると識別された場合に、前記画像データの正当性をネットワークを介して通信可能な署名認証サーバに問い合わせる問合手段と、
   前記問い合わせに対する前記署名認証サーバからの情報または前記署名認証サーバからの応答の有無に基づいて、前記画像データが正当であるかを決定する決定手段と、
   前記画像データが正当であると前記決定手段が決定しなかった場合には、前記決定手段の決定に対応するデータを前記画像データに付加して得られる画像を形成し、前記画像データが正当であると前記決定手段が決定した場合には、前記決定手段の決定に対応するデータを付加することなく前記画像データに基づき画像を形成する画像形成手段と、を有し、
   前記署名認証サーバからの応答が所定時間の間に無かった場合には、前記決定手段は、前記画像データの正当性を検証できなかったと決定し、前記画像形成手段は、画像の正当性が検証できなかったことを示すデータを前記画像データに付加して画像を形成することを特徴とする画像形成装置。
2. 前記デジタル署名はタイムスタンプを含むことを特徴とする請求項１に記載の画像形成装置。
3. 前記署名認証サーバからの情報により前記決定手段が、前記画像データが正当でないと決定した場合、前記画像形成手段は、前記画像データが改竄されている可能性を示すデータを前記画像データに付加して画像を形成することを特徴とする請求項１に記載の画像形成装置。
4. 前記決定手段が前記画像データは正当でないと決定した場合、あるいは、前記決定手段が前記画像データの正当性を検証できなかったと決定した場合であって、かつ、前記画像データがカラー画像データである場合、前記画像形成手段は、前記画像データをモノクロ画像データに変更し、該モノクロ画像データに前記決定に対応するデータを付加して画像を形成することを特徴とする請求項１乃至３の何れか１項に記載の画像形成装置。
5. 前記決定手段が前記画像データは正当でないと決定した場合、あるいは、前記決定手段が前記画像データの正当性を検証できなかったと決定した場合、前記画像形成手段は、前記画像データの一部を取り出し、該取り出した画像データに前記決定に対応するデータを付加して画像を形成することを特徴とする請求項１乃至３の何れか１項に記載の画像形成装置。
6. 前記決定手段が前記画像データは正当でないと決定した場合、あるいは、前記決定手段が前記画像データの正当性を検証できなかったと決定した場合、前記画像形成手段は、前記画像データを縮小し、該縮小した画像データに前記決定に対応するデータを付加して画像を形成することを特徴とする請求項１乃至３の何れか１項に記載の画像形成装置。
7. 前記決定手段が前記画像データは正当でないと決定した場合、あるいは、前記決定手段が前記画像データの正当性を検証できなかったと決定した場合、前記画像形成手段は、前記画像データの濃度を変更し、該濃度を変更した画像データに前記決定に対応するデータを付加して画像を形成することを特徴とする請求項１乃至３の何れか１項に記載の画像形成装置。
8. 前記決定手段が前記画像データは正当でないと決定した場合、あるいは、前記決定手段が前記画像データの正当性を検証できなかったと決定した場合、前記画像形成手段は、前記画像データを縮小し、該縮小された複数の画像データが１枚の記録媒体上に記録されるように処理した後、前記決定に対応するデータを付加して画像を形成することを特徴とする請求項１乃至３の何れか１項に記載の画像形成装置。
9. 画像データにデジタル署名が付加されているか否かを識別する識別手段と、
   前記識別手段により前記デジタル署名が前記画像データに付加されていると識別された場合に、前記画像データの正当性をネットワークを介して通信可能な署名認証サーバに問い合わせる問合手段と、
   前記問い合わせに対する前記署名認証サーバからの情報または前記署名認証サーバからの応答の有無に基づくデータを前記画像データに付加して得られる画像を形成する画像形成手段と、を有し、
   前記問い合わせに対して前記署名認証サーバからの応答が所定時間の間に無かった場合には、前記画像形成手段は画像の正当性が検証できなかったことを示すデータを前記画像データに付加して得られる画像を形成することを特徴とする画像形成装置。
10. ネットワークを介して署名認証サーバと通信可能な画像形成装置の制御方法であって、画像データにデジタル署名が付加されているか否かを識別する識別工程と、
    前記識別工程により前記デジタル署名が前記画像データに付加されていると識別された場合に、前記画像データの正当性を前記署名認証サーバに問い合わせる問合工程と、
    前記問い合わせに対する前記署名認証サーバからの情報または前記署名認証サーバからの応答の有無に基づいて、前記画像データが正当であるかを決定する決定工程と、
    前記決定工程において前記画像データが正当であると決定されなかった場合には、前記決定工程における決定に対応するデータを前記画像データに付加して得られる画像を形成し、前記決定工程において前記画像データが正当であると決定された場合には、前記決定工程における決定に対応するデータを付加することなく前記画像データに基づき画像を形成する画像形成工程と、を有し、
    前記署名認証サーバからの応答が所定時間の間に無かった場合には、前記決定工程は、前記画像データの正当性を検証できなかったと決定し、前記画像形成工程は、画像の正当性が検証できなかったことを示すデータを前記画像データに付加して画像を形成することを特徴とする画像形成装置の制御方法。
11. ネットワークを介して署名認証サーバと通信可能な画像形成装置を制御する制御プログラムであって、
    画像データにデジタル署名が付加されているか否かを識別手段が識別する識別工程と、
    前記識別工程により前記デジタル署名が前記画像データに付加されていると識別された場合に、前記画像データの正当性を前記署名認証サーバに問合手段が問い合わせる問合工程と、
    前記問い合わせに対する前記署名認証サーバからの情報または前記署名認証サーバからの応答の有無に基づいて、前記画像データが正当であるかを決定手段が決定する決定工程と、
    前記決定工程において前記画像データが正当であると決定されなかった場合には、画像形成手段が前記決定工程における決定に対応するデータを前記画像データに付加して得られる画像を形成し、前記決定工程において前記画像データが正当であると決定された場合には、前記画像形成手段が前記決定工程における決定に対応するデータを付加することなく前記画像データに基づき画像を形成する画像形成工程と、を有し、
    前記署名認証サーバからの応答が所定時間の間に無かった場合には、前記決定工程は、前記画像データの正当性を検証できなかったと決定し、前記画像形成工程は、画像の正当性が検証できなかったことを示すデータを前記画像データに付加して画像を形成する画像形成装置の制御方法をコンピュータに実行させることを特徴とする制御プログラム。

Images