JP5305999B2 - 情報処理装置、その制御方法、及びプログラム - Google Patents

Description

本発明は、ネットワークを介して接続された外部装置から遠隔操作することが可能な情報処理装置、その制御方法、およびプログラムに関する。

従来、情報処理装置（例えば、画像形成装置）がネットワークを介して外部装置と通信可能に接続され、外部装置から情報処理装置を遠隔操作することが知られている。

例えば特許文献１に記載の技術によれば、画像形成装置がＷｅｂサーバ機能を備え、ネットワークを介して接続された外部装置からの要求に応じて、ＨＴＭＬを用いて記述された画面情報を画像形成装置が送信する。そして、外部装置は、Ｗｅｂブラウザ機能を用いて、受信した画面情報に基づく操作画面を表示し、この操作画面を介したユーザからの指示を画像形成装置に伝達する。

特に、特許文献１では、画像形成装置が実行しているジョブに関する情報を表示するための画面情報を外部装置に送信することにより、画像形成装置から離れた場所にいるユーザがジョブに関する情報を閲覧することが可能となっている。また、外部装置においてユーザがジョブの実行やジョブの消去などの指示を行うことができ、画像形成装置を遠隔操作することが可能となっている。

特開２００２−００７０９５号公報

上述したように、情報処理装置がネットワークに接続され、ネットワーク上の外部装置から情報処理装置を遠隔操作することが知られているが、情報処理装置のネットワークへの接続形態によっては、問題が生じる場合がある。

即ち、情報処理装置の接続形態としては、図１８の画像形成装置１８０５のようにローカルネットワーク１８０４に接続される場合と、図１９の画像形成装置１８０５のようにグローバルネットワーク１８０２に接続される場合がある。

一般に、ローカルネットワーク１８０４は、ファイアーウォール１８０３によってグローバルネットワーク１８０２と論理的に切り離すことにより、ローカルネットワーク１８０４に接続された装置の安全性を確保している。一方、グローバルネットワーク１８０２は、不特定多数の装置が接続するインターネット１８０１等の広大なネットワークであるため、グローバルネットワーク１８０２に接続された装置は、以下の様な問題が発生し得る。

即ち、グローバルネットワーク１８０２に画像形成装置１８０５を接続（図１９の接続形態）した場合、次のような問題が発生し得る。
１．デバイス設定の変更
２．印刷キューに保持された印刷ジョブの操作
３．イタズラ印刷
４．個人情報（アドレス帳、個人認証情報など）の操作（閲覧、ダウンロード、削除等）
５．ウィルス感染
６．ＤｏＳ攻撃などの踏み台として利用
画像形成装置１８０５の利用者がこのような問題発生の可能性を認識した上でグローバルネットワーク１８０２に接続する場合は、不要なサービスの無効化、管理者パスワードの頻繁な変更等の危険回避策を施すことができる。しかし、危険回避策を施さないで画像形成装置１８０５をグローバルネットワーク１８０２に接続した場合は、上記のような問題が発生し得る。

本発明は、このような技術的な背景の下になされたもので、その目的は、外部装置から遠隔操作することが可能な情報処理装置がグローバルネットワークに接続されている可能性がある場合においても、安全を確保する仕組みを提供することにある。

上記目的を達成するため、本発明の情報処理装置は、ネットワークに接続するためのインターフェース手段を有し、当該ネットワークを介して接続された外部装置から遠隔操作することが可能な情報処理装置であって、前記インターフェース手段が接続しているネットワークがローカルネットワークであるか否かを判定する判定手段と、前記判定手段が、前記インターフェース手段が接続しているネットワークが前記ローカルネットワークでないと判定した場合に、前記外部装置からの遠隔操作を制限する制限手段と、を備えることを特徴とする。また、本発明の情報処理装置は、ネットワークに接続するためのインターフェース手段を有し、当該ネットワークを介して接続された外部装置から遠隔操作することが可能な情報処理装置であって、前記インターフェース手段が接続しているネットワークがグローバルネットワークであるか否かを判定する判定手段と、前記判定手段が、前記インターフェース手段が接続しているネットワークが前記グローバルネットワークであると判定した場合に、前記外部装置からの遠隔操作を制限する制限手段と、を備えることを特徴とする。

本発明によれば、外部装置から遠隔操作することが可能な情報処理装置がグローバルネットワークに接続されている可能性がある場合においても、安全を確保する仕組みを提供することができる。

本発明の第１，第２の実施の形態に係る画像形成装置の概略構成を示すブロック図である。 図１に示したＭＦＣ部１０６の構成を示すブロック図である。 リモートＵＩに係る設定変更画面を示す図である。 リモートＵＩに係る状態表示画面を示す図である。 リモートＵＩに係るジョブ制御画面を示す図である。 リモートＵＩに係るアドレス帳操作画面を示す図である。 リモートＵＩ機能の利用制限処理の概要を示すフローチャートである。 リモートＵＩ機能の利用制限処理の詳細を示すフローチャートである。 ローカルＵＩに係る印刷枚数上限値設定画面を示す図である。 図８のステップＳ８０５でのアドレス帳に対する遠隔操作の制限処理の詳細を示すフローチャートである。 リモートＵＩに係るアドレス帳操作確認画面を示す図である。 図８のステップＳ８０４でのジョブ制御に対する遠隔操作の制限処理の詳細を示すフローチャートである。 第２の実施の形態におけるリモートＵＩに係る画像形成装置の安全性のチェック処理を示すフローチャートである。 ローカルＵＩに係る警告表示画面を示す図である。 ローカルＵＩに係る切断通知画面を示す図である。 ローカルＵＩに係る情報表示画面を示す図である。 ローカルＵＩに係るリスク説明画面を示す図である。 サービス提供機能を有する画像形成装置の一般的な接続形態を示す図である。 サービス提供機能を有する画像形成装置をグローバルネットワークに接続した形態を示す図である。

以下、本発明を実施するための形態について図面を用いて説明する。なお、以下の実施の形態では、本発明の情報処理装置の一例として画像形成装置について説明する。

［第１の実施の形態］
図１は本発明の第１，第２の実施の形態に係る画像形成装置の概略構成を示すブロック図である。図１に示した画像形成装置は、ネットワークを介してクライアント端末に接続され、クライアント端末から遠隔操作するための機能、すなわち、リモートＵＩ機能を有している。

なお、図１に示した画像形成装置は、前述の図１８、又は図１９のような形態でネットワークに接続されている。そこで、以後の説明において、画像形成装置、ネットワーク等の符号は、図１８，１９と同一の符号を用いることとする。ただし、図１８、１９に示したネットワーク接続装置１８０６は、ネットワークへの接続サービスを行っている装置を指すのではなく、ネットワークに接続されている装置、すなわちサービスを利用するクライアント端末を指している。そこで、以後の説明では、上記の「ネットワーク接続装置」のことを「クライアント端末」と称することとする。

図１において、１０１は画像読取りを行うスキャナ部、１０３は電話回線を利用して画像の送受信を行うＦＡＸ部、１０４は画像形成装置１８０５をＬＡＮ等のネットワークへ接続するためのＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）部である。１０５はクライアント端末１８０６等から送られてきたページ記述言語（ＰＤＬ）を画像信号に展開するＰＤＬ部、１１０はＰＤＬ部１０５、ＮＩＣ部１０４、ＦＡＸ部１０３の拡張ブロックを本装置に接続するための拡張Ｉ／Ｆ部である。

１１１はＬＣＤやスイッチ群から成る操作パネル部である。この操作部１１１のＬＣＤには、後述する、図９，１４〜１７の各ＵＩ画面が表示される。

１１２は画像データの一時保存領域や実行プログラムのキャッシュ領域等で利用されるＨＤＤ部、１１３は画像形成装置１８０５とオプション装置とのインターフェースを司るオプションコントローラ部である。１０７は印刷データの画像処理を行うための出力処理部、１０８は画像データに基づいてレーザ光を変調するための信号を生成するＰＷＭ部、１０９は紙に印刷を行うためのプリンタ部である。１０６は本装置内の各デバイスの制御と画像データの流れの制御を司るＭＦＣ（Ｍｕｌｔｉ Ｆｕｎｃｔｉｏｎ Ｃｏｎｔｒｏｌｌｅｒ）部である。

また、１１４，１１５，１１６は本装置に接続されたオプション装置であり、１１４はドキュメントを連続的にスキャナ部１０１に給送するＤＦ（Ｄｏｃｕｍｅｎｔ Ｆｅｅｄｅｒ）部である。１１５は一度に大量の記録用紙をスタックし給紙するペーパーデッキ部、１１６は印刷出力された記録用紙に対してフィニッシング処理を行うフィニッシャ部である。

図２は、図１に示したＭＦＣ部１０６の構成を示すブロック図である。ＭＦＣ部１０６のバスセレクタ部２０７は、バスの選択切替により画像信号（画像データ）の転送ルートを管理する。すなわち、バスセレクタ部２０７は、複写機能、ネットワークスキャン、ネットワークプリント、ファクシミリ送信／受信など、画像形成装置１８０５の各種機能を実行する際の画像データの転送ルートをバス切替えにより制御している。

その画像データの転送ルートとしては、以下のようなルートが考えられる。
・複写機：スキャナ１０１→バスセレクタ２０７→プリンタ部１０９
・ネットワークスキャン：スキャナ部１０１→バスセレクタ２０７→ＮＩＣ部１０４
・ネットワークプリント：ＮＩＣ部１０４→バスセレクタ２０７→プリンタ部１０９
・ファクシミリ送信機能：スキャナ部１０１→バスセレクタ２０７→ＦＡＸ部１０３
・ファクシミリ受信機能：ＦＡＸ部１０３→バスセレクタ２０７→プリンタ部１０９
また、バスセレクタ２０７を通過した画像データは、必要に応じてＨＤＤ部１１２へ送られ、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）に保存される。この場合、画像データは、ＨＤＤ部１１２に内蔵された圧縮部（図示省略）により圧縮した圧縮データとしてＨＤＤ部１２２に保存することも可能である。この圧縮方式としては、ＪＰＥＧ、ＪＢＩＧ、ＺＩＰ，ＬＺＨ、ＭＨ、ＭＲ、ＭＭＲなどの一般的な圧縮方式を用いることができる。圧縮された画像データは、ジョブ毎に管理され、ファイル名、作成者、作成日時、ファイルサイズなどの付加データと共にＨＤＤ部１２２に格納される。

ＭＦＣ部１０６は、上述した画像データの転送ルートを制御するだけでなく、画像形成装置１８０５が行う各種の処理を全体的に制御している。ＣＰＵ２０１は、それらの処理を実行する際に、ＣＰＵバス２０２を介してＲＯＭ２０３、ＦＬＡＳＨ ＲＯＭ２０５からプログラムやデータを１ステップずつ読出して実行する。ＲＡＭ２０４は、プログラムの実行時にデータを一時的に保存するワークエリアとして用いられる。漢字ＲＯＭ２０６は、文字コードを漢字パターンデータに変換する。これにより、操作パネル部１１１上のＬＣＤに漢字を表示させることが可能となる。

ＨＤＤコントローラ２０８は、ＣＰＵ２０１の制御の下に、ＨＤＤ部１１２に対するデータの読み書きを制御する。ＬＣＤコントローラ２０９は、操作パネル部１１１上のＬＣＤにメッセージや画像を表示する、ＬＣＤ上に一体形成されたタッチパネルの操作信号をＣＰＵ２０１に伝達する等の制御を行う。ＰＩＯ２１０は、操作パネル部１１１の各キースイッチ群と接続されており、キースイッチの操作信号をＣＰＵ２０１に伝達する。

バイセントロニクスＩ／Ｆ２１１は、バイセントロニクスコネクタ（図示省略）を介して接続された外部のコンピュータと双方向通信を行うことで、プログラムやデータを画像形成装置１８０５に取込むことができる。取込んだプログラムやデータは、ＣＰＵ２０１の制御の下に、ＦＬＡＳＨ ＲＯＭ２０５に書込まれる。このようなデータ転送処理により、制御プログラムのバージョンアップやバグ修正などを、ハード的なＲＯＭ交換無しで行えるようになる。ＤＰ−ＲＡＭ２１２は、オプションコントローラ部１１３との通信に用いられ、ＣＰＵ２０１とオプションコントローラ部１１３の双方からアクセス可能となっている。

画像形成装置１８０５は、ネットワークに接続されたクライアント端末１８０６からの遠隔操作を受け付けるために、上述した通り、リモートＵＩ機能を実装している。

リモートＵＩを実現するために必要なＨＴＴＰサーバアプリケーション（プログラム）は、ＨＤＤ部１１２に格納されており、画像形成装置１８０５の起動時にＭＦＣ部１０６のＣＰＵ２０１によってＲＡＭ２０４に展開されて実行される。なお、上記のＨＴＴＰサーバアプリケーションには、後述する図７，８，１０，１２，１３のフローチャートに係るプログラムが含まれる。

また、ＨＴＴＰサーバ（Ｗｅｂサーバ）としてリモートＵＩ機能を実現するための制御プログラムも、ＨＤＤ部１１２に格納されている。この制御プログラムは、ＨＴＴＰサーバ起動時に、ＲＡＭ２０４上のＨＴＴＰサーバアプリケーションにより読出されて実行される。

ＭＦＣ部１０６で実行されるＨＴＴＰサーバアプリケーションは、拡張Ｉ／Ｆ部１１０、ＮＩＣ部１０４、ローカルネットワーク１８０４、グローバルネットワーク１８０２を介して、リモートＵＩのＵＲＬを外部に公開する機能を有している。従って、クライアント端末１８０６は、内蔵されたＷｅｂブラウザを起動して公開に係るリモートＵＩのＵＲＬを指定することで、画像形成装置１８０５を遠隔操作することができる。

ただし、本実施の形態では、画像形成装置１８０５がグローバルネットワーク１８０２に接続されている場合は、リモートＵＩ機能による画像形成装置１８０５の遠隔操作が制限される。この制限については、後で詳細に説明する。

画像形成装置１８０５は、以下のリモートＵＩ機能による遠隔操作をクライアント端末１８０６に許可している。
１．画像形成装置１８０５の設定変更（図３参照）
２．画像形成装置１８０５の状態表示（図４参照）
３．印刷ジョブの制御（削除、印刷順の入れ替え、画像形成装置１８０５に保持されたジョブのダウンロード：図５参照）
４．アドレス帳の操作（アドレスの追加、削除、編集、アドレス一覧のダウンロード：図６参照）。

図３は、リモートＵＩに係る設定変更画面（ＵＩ画面）を示している。図３に示した設定変更画面３０１は、画像形成装置１８０５のＭＡＣアドレス等の変更が禁止された情報を表示する共に、設定変更のための３つの入力ボックスを備えている。３０２はＩＰアドレスを入力するための入力ボックス、３０３はサブネットマスクを入力するための入力ボックス、３０４はデフォルトゲートウェイのアドレスを入力するための入力ボックスである。

３０５はＩＰアドレスフィルタ、ＭＡＣアドレスフィルタ等のセキュリティ機能の設定用のＵＩ画面を表示させるためのセキュリティ設定ボタンである。３０６は上記の入力ボックス３０２〜３０４に入力した設定値を確定するためのＯＫボタン、３０７は当該設定値をキャンセルするためのキャンセルボタンである。上記の設定値以外のセキュリティに係る設定値を変更できるようにしてもよい。

なお、リモートＵＩに係るＵＩ画面、すなわち、画面の左上に「リモートＵＩ」と表示されている画面は、クライアント端末１８０６に提供され、当該クライアント端末１８０６のＷｅｂブラウザ機能により表示部（図示省略）に表示される。また、ローカルＵＩに係るＵＩ画面、すなわち、画面の左上に「ローカルＵＩ」と表示されている画面は、画像形成装置１８０５の操作パネル部１１１のＬＣＤに表示される。

図４は、リモートＵＩに係る状態表示画面（ＵＩ画面）を示している。図４に示した状態表示画面４０１には、画像形成装置１８０５の状態に係る各種の情報、例えば、画像形成装置１８０５の動作状態、給紙段の用紙残量、トナーの残量等が表示される。４０２は画像形成装置１８０５に発生しているエラー情報を表示させるためのエラー情報ボタン、４０３は状態表示画面４０３をクローズするためのＯＫボタンである。

図５は、リモートＵＩに係るジョブ制御画面（ＵＩ画面）を示している。図５に示したジョブ制御画面５０１には、印刷キューに保持された印刷ジョブの一覧が表示される。この一覧表示においては、ジョブＩＤ、ファイル名、ジョブオーナー名、ジョブを受け付けた時間情報等が表示される。表示されたジョブＩＤをマウス操作でクリックすると、当該ＩＤに係るジョブの各情報が反転表示される。

５０３は選択したジョブを印刷キューから削除するための削除ボタン、５０４は選択したジョブを印刷キュー（待ち行列）の上位へ移動するためのＵｐボタン、５０５は選択したジョブを印刷キューの下位へ移動するためのＤｏｗｎボタンである。５０６は選択したジョブをクライアント端末１８０６へダウンロードするためのＪｏｂ Ｄｏｗｎ ｌｏａｄボタンである。

なお、本実施の形態では、印刷ジョブのダウンロードを印刷キューに保持された印刷ジョブに対して行っているが、印刷済キューやＨＤＤ部１１２に保持されたジョブをダウンロードすることも可能である。５０７はジョブ制御画面５０１を用いて行った操作を画像形成装置１８０５に反映させるためのＯＫボタン、５０８はジョブ制御画面５０１を用いて行った操作をキャンセルするためのキャンセルボタンである。

図６は、リモートＵＩに係るアドレス帳操作画面（ＵＩ画面）を示している。図６に示したアドレス帳操作画面６０１には、ＨＤＤ部１１２に保持されたアドレス帳が一覧表示される。アドレス帳の表示項目は、アドレス帳ＩＤ、名前、Ｅｍａｉｌ Ａｄｄｒｅｓｓ、グループ名となっている。表示されたアドレス帳ＩＤをマウス操作でクリックすると、当該ＩＤに係るアドレス帳情報が反転表示される。

６０３は選択したアドレス情報を削除するための削除ボタン、６０４はアドレス帳にアドレス情報を追加するための追加ボタン、６０５は選択したアドレス情報を編集するための編集画面を表示させるための編集ボタンである。６０６はアドレス帳の一覧をクライアント端末１８０６へダウンロードするためのＬｉｓｔ Ｄｏｗｎ ｌｏａｄボタン、６０７はアドレス帳操作画面６０１を用いて行った操作を画像形成装置１８０５に反映させるためのＯＫボタンである。６０８はアドレス帳操作画面６０１を用いて行った操作をキャンセルするためのキャンセルボタンである。

次に、リモートＵＩ機能を用いた遠隔操作を制限する処理の概要を図７のフローチャートに基づいて説明する。

ＣＵＰ２０１は、画像形成装置１８０５の起動時に、画像形成装置１８０５のネットワーク接続形態を調査する（Ｓ７０１）。次に、ＣＰＵ２０１は、その調査結果、画像形成装置１８０５がローカルネットワーク１８０４に接続されているか否かを判別する（Ｓ７０２）。つまり、ここではＮＩＣ部１０４が接続しているネットワークがローカルネットワークであるか否かを判別する。

そして、ローカルネットワーク１８０４に接続されている場合は、ＣＰＵ２０１は、リモートＵＩ機能を用いた遠隔操作を制限することなく、処理を終了する。

従って、画像形成装置１８０５がローカルネットワーク１８０４に接続されている場合では、クライアント端末１８０６は、画像形成装置１８０５がリモートＵＩ機能として提供する全てのサービスを利用することができる。

一方、ローカルネットワーク１８０４に接続されていいない場合（ローカルネットワーク１８０４に接続されていることが確定できない場合）は、ＣＰＵ２０１は、リモートＵＩ機能を用いた遠隔操作を制限する（Ｓ７０３）。すなわち、クライアント端末１８０６は、ローカルネットワーク１８０４に接続されていない画像形成装置１８０５に対しては、リモートＵＩ機能を用いた遠隔操作が制限されるため、一部のサービスしか受けられなくなる。

次に、リモートＵＩ機能を用いた遠隔操作を制限する処理の詳細を、図８のフローチャートに基づいて説明する。

ＣＵＰ２０１は、画像形成装置１８０５を起動する際に、当該画像形成装置１８０５のＩＰアドレスとして現在設定されているＩＰアドレスが、プライベートネットワークアドレスであるか否かを判別する（Ｓ８０１）。この判別処理は、次のようして、クライアント端末１８０６と協働することなく画像形成装置１８０５が単独で判別している。

すなわち、ＩＰアドレスにおいては、社内ＬＡＮなどのプライベートネットワークで使用するためのアドレス空間が次のように予約されている。
クラスＡ：１０．０．０．０〜１０．２５５．２５５．２５５
クラスＢ：１７２．１６，０．０〜１７２．３１．２５５．２５５
クラスＣ：１９２．１６８．０．０〜１９２．１６８．２５５．２５５
従って、画像形成装置１８０５の現在のＩＰアドレスが上記のアドレス空間に属する場合は、画像形成装置１８０５は、グローバルネットワーク１８０２ではなく、ローカルネットワーク１８０４に確実に接続されていると判別することができる。

従って、画像形成装置１８０５の現在の設定ＩＰアドレスが、プライベートＩＰアドレスである場合は、ＣＵＰ２０１は、リモートＵＩ機能を用いた遠隔操作を制限することなく、処理を終了する。

一方、画像形成装置１８０５の現在の設定ＩＰアドレスが、グローバルＩＰアドレスである場合は、ＣＰＵ２０１は、グローバルネットワーク上（インターネット１８０１上）のパブリックサーバにＰｉｎｇ（所定信号）を送信（送出）する。そして、ＣＰＵ２０１は、そのＰｉｎｇに対する応答信号の有無を判別する（Ｓ８０２）。この判別処理は、ローカルネットワーク１８０４内でも、グローバルＩＰアドレスを使用して運用する場合があるため、より安全を期して行うものである。

パブリックサーバとしては、例えば、ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ａｙｓｔｅｍ）サーバ、ＮＴＰ（Ｎｅｔｗｏｒｋ Ｔｉｍｅ Ｐｒｏｔｏｃｏｌ）サーバ等が挙げられる。また、Ｐｉｎｇとは、ＩＣＭＰ（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ）のＥｃｈｏＲｅｑｕｅｓｔを特定のＩＰアドレスに送信（送出）し、そのＩＰアドレスから返信されるＥｃｈｏＲｅｐｌｙ（応答信号）を受信する動作である。

このＰｉｎｇによって、インターネット上のパブリックサーバからＥｃｏｈＲｅｐｌｙを受信できなかった場合、画像形成装置１８０５がグローバルネットワーク１８０２に接続されている可能性の程度は中程度と推測できる。しかしながら、画像形成装置１８０５にグローバルＩＰアドレスが使用されるなど、ローカルネットワーク１８０４に接続されていると断定するには、不安な材料もある。

そこで、ＣＰＵ２０１は、インターネット上のパブリックサーバからＥｃｏｈＲｅｐｌｙを受信できなかった場合は、クライアント端末１８０６からの遠隔操作による画像形成装置１８０５の設定情報の変更を禁止する（Ｓ８０３）。

次に、ＣＰＵ２０１は、クライアント端末１８０６からの遠隔操作によるジョブ制御、すなわち、図５のジョブ制御画面５０１からのジョブ制御を、ジョブオーナーのみに制限する（Ｓ８０４）。そして、ＣＰＵ２０１は、クライアント端末１８０６からの遠隔操作によるアドレス帳の操作、すなわち、図６のアドレス帳操作画面６０１からの操作を、操作権を有する者のみに制限する（Ｓ８０５）。これらステップＳ８０４，Ｓ８０５の処理の詳細は、図１２、図１０のフローチャートに基づいて後で説明する。

Ｐｉｎｇ送信に対して、インターネット上のパブリックサーバからＥｃｏｈＲｅｐｌｙを受信した場合は、ＣＰＵ２０１は、ＥｃｏｈＲｅｐｌｙを返信したパブリックサーバまでのネットワーク経路（通信経路）を調査する（Ｓ８０６）。この経路調査は、ネットワーク経路調査コマンド（ｔｒａｃｅｒｏｕｔｅ等）を用いて行うことができる。

当該経路調査は、ファイアーウォール１８０３によりＩＣＭＰパケットの送受信が遮断されていない場合は、画像形成装置１８０５がローカルネットワーク１８０４に接続されていても、パブリックサーバからのＥｃｈｏＲｅｐｌｙを受信できるために行われる。

ＣＰＵ２０１は、上記のネットワーク経路調査コマンドにより、画像形成装置１８０５からパブリックサーバまでの経路でパケットを中継したホスト（中継機器）のＩＰアドレス情報を取得することができる。そこで、ＣＰＵ２０１は、ステップＳ８０６では、具体的には、取得した中継ホスト（中継機器）のＩＰアドレス情報の中から上述のプライベートネットワークアドレスを検索することで、プライベートネットワークアドレスを持つ中継ホストの存在を調査する。

この場合、プライベートネットワークアドレスを持つ中継ホストが存在する場合は、ＣＰＵ２０１は、画像形成装置１８０５がグローバルネットワーク１８０２に接続されている可能性の程度は小さいと推測できる。しかしながら、画像形成装置１８０５にグローバルＩＰアドレスが使用されるなど、ローカルネットワーク１８０４に接続されていると断定するには、不安な材料もある。

そこで、ＣＰＵ２０１は、プライベートネットワークアドレスを持つ中継ホストが存在する場合は、クライアント端末１８０６からの画像形成装置１８０５の遠隔操作を部分的に制限する。具体的には、クライアント端末１８０６からの遠隔操作によるジョブ制御を、対象ジョブのオーナーのみに制限する（Ｓ８０４）。更に、ＣＰＵ２０１は、クライアント端末１８０６からのアドレス帳、即ち情報処理装置内に保持しているアドレス情報の遠隔操作を、そのアドレス帳（アドレス情報）を操作する権限を有する者のみに制限する（Ｓ８０５）。

一方、プライベートネットワークアドレスを持つ中継ホストが存在しない場合は、画像形成装置１８０５がグローバルネットワーク１８０２に接続されている可能性の程度が大きいと推測できる。

そこで、プライベートネットワークアドレスを持つ中継ホストが存在しない場合は、ＣＰＵ２０１は、クライアント端末１８０６からの画像形成装置１８０５の遠隔操作を一切禁止する（Ｓ８０７）。この一切禁止により、クライアント端末１８０６は、リモートＵＩ機能により画像形成装置１８０５を遠隔操作することができなくなり、画像形成装置１８０５の操作は、操作パネル部１１１を用いたローカルＵＩ機能による操作だけが可能となる。

更に、ＣＰＵ２０１は、クライアント端末１８０６からの遠隔操作で指定可能な印刷枚数を制限する（Ｓ８０８）。具体的には、ＣＰＵ２０１は、所定の期間に印刷可能な印刷枚数の上限値を、クライアント端末１８０６からの遠隔操作に適用する。本実施の形態では、印刷枚数の上限値は、図９に示したローカルＵＩ機能に係る印刷枚数上限設定画面９０１により、画像形成装置１８０５の操作パネル部１１１の操によって予め設定され、画像形成装置１８０５のＦＬＡＳＨ ＲＯＭ２０５に記憶されている。

ただし、画像形成装置１８０５の操作者に対しても上記の印刷枚数を必要に応じて制限するように構成した場合には、上記の印刷枚数の上限値をリモートＵＩ機能に係るＵＩ画面を介して、遠隔操作により設定変更できないようにすることも可能である。

以上説明したように、第１の実施の形態では、画像形成装置１８０５がグローバルネットワーク１８０２に接続されている可能性がある場合は、その可能性の程度に応じて、画像形成装置１８０５に対する遠隔操作を段階的に制限している。

なお、遠隔操作の段階的な制限の態様は、図８の形態に限定されることはない。例えば、画像形成装置１８０５がグローバルネットワーク１８０２に接続されている可能性の程度を中程度と推測した場合、画像形成装置の設定変更を禁止するだけで、ジョブ制御やアドレス帳の操作権限は制限しないようにしてもよい。また、当該可能性が中程度の場合に、画像形成装置の設定変更を禁止すると共に、印刷枚数の上限値を適用することも可能である。

次に、グローバルネットワーク１８０２に接続されている可能性の程度に応じた段階的な遠隔操作の制限処理の詳細を説明する。

図９に示したローカルＵＩにおける印刷枚数上限値設定画面９０１には、クライアント端末１８０６からの遠隔操作で１日に印刷可能な印刷枚数の上限値を入力する入力ボックス９０２が設けられている。９０３は印刷可能な枚数を加算するプラスボタン、９０４は印刷可能な枚数を減算するマイナスボタンである。

９０５は入力ボックス９０２に入力した印刷枚数の上限値を確定するためのＯＫボタンである。ＣＰＵ２０１は、このＯＫボタン９０５の押下を検出すると、印刷枚数上限値設定画面９０１で設定された印刷枚数の上限値を、ＦＬＡＳＨ ＲＯＭ２０５に記憶する。９０６は入力ボックス９０２に入力した印刷枚数の上限値をキャンセルするためのキャンセルボタンである。

ＣＰＵ２０１は、ＦＬＡＳＨ ＲＯＭ２０５に記憶された印刷枚数以上の印刷を、１日の期間内で印刷できないように、画像形成装置１８０５を制御する。これにより、イタズラ等の目的で大量に記録用紙を消費するような印刷が実行されるのを、未然に防止することが可能となる。

図１０は、図８のステップＳ８０５における処理、すなわち、アドレス帳に対する遠隔操作の制限処理の詳細を示すフローチャートである。

ＣＰＵ２０１は、画像形成装置１８０５がグローバルネットワーク１８０２に接続されている可能性の程度が中程度以下であると判定した場合、クライアント端末１８０６からのアドレス帳に対する編集要求を待機する（Ｓ１００１）。この場合、ＣＰＵ２０１は、図６のアドレス帳操作画面６０１上のＯＫボタン７０７、又はＬｉｓｔ Ｄｏｗｎ Ｌｏａｄボタン６０６の押下信号を受信することにより、アドレス帳に対する編集要求があったものと認識する。そして、クライアント端末１８０６からアドレス帳に対する編集要求がなされた場合は、ＣＰＵ２０１は、図１１に示すアドレス帳操作認証画面１１０１を当該要求元のクライアント端末１８０６に送信して表示させる（Ｓ１００２）。

図１１に示したアドレス帳操作認証画面１１０１は、アドレス帳の操作者を認証するためのＵＩ画面である。図１１に示したアドレス帳操作認証画面１１０１では、認証情報の入力部として、ユーザ名入力ボックス１１０２、パスワード入力ボックス１１０３、メールアドレス入力ボックス１１０４が設けられている。さらに、上記のボックス１１０２〜１１０４に入力した認証情報を確定するＯＫボタン１１０５、キャンセルするキャンセルボタン１１０６が設けられている。

ＣＵＰ２０１は、アドレス帳操作認証画面１１０１に入力された認証情報が正しく、且つ認証情報に係る操作者（ユーザ）が、当該アドレス帳に記載されたユーザであるか否かを判別する（Ｓ１００３）。認証情報に係るユーザが、当該アドレス帳に記載されたユーザである場合は、ＣＰＵ２０１は、要求元のクライアント端末１８０６からの指示に従ってアドレス帳を編集する（Ｓ１００４）。

一方、認証情報に係るユーザが、当該アドレス帳に不記載のユーザである場合は、ＣＰＵ２０１は、アドレス帳を編集することなく処理を終了する。これにより、リモートＵＩ機能によりアドレス帳を遠隔操作で編集する場合は、そのユーザ自身のアドレス情報が記載されたアドレス帳に対してのみ遠隔操作が許可されることとなる。換言すれば、第３者によるアドレス帳の不正操作を抑制することが可能となる。

図１２は、図８のステップＳ８０４における処理、すなわち、遠隔操作によるジョブ制御の制限処理の詳細を示すフローチャートである。

ＣＰＵ２０１は、画像形成装置１８０５がグローバルネットワーク１８０２に接続されている可能性が中程度以下であると判定した場合、クライアント端末１８０６からのジョブ遠隔制御要求を待機する（Ｓ１２０１）。この場合、ＣＰＵ２０１は、図５のジョブ制御画面５０１上のＯＫボタン５０７、又はＪｏｂ Ｄｏｗｎ ｌｏａｄボタン５０６の押下信号を受信することにより、ジョブ遠隔制御要求があったものと認識する。

次に、ＣＰＵ２０１は、ジョブ遠隔制御要求を行った遠隔操作者を識別するための情報を取得する（Ｓ１２０２）。本実施の形態では、クライアント端末１８０６のソースＩＰアドレスを取得して、そのソースＩＰアドレスを遠隔操作者の識別情報として利用している。

ＣＰＵ２０１は、取得した遠隔操作者のソースＩＰアドレスと、ジョブ遠隔制御要求に係る印刷ジョブを送信したクライアント端末１８０６のソースＩＰアドレスが一致するか否かを判別する（Ｓ１２０３）。すなわち、ＣＰＵ２０１は、自分がオーナーとなっている印刷ジョブについて、当該ジョブオーナー自身が遠隔制御要求を行ったのか否かを判別する。なお、上記の印刷ジョブを送信したクライアント端末１８０６のソースＩＰアドレスは、ジョブ一覧５０２に表示された情報（印刷済キューに保持されていたものを含む）と共にＲＡＭ２０４に保持されている。

自分がオーナーとなっている印刷ジョブについて、当該ジョブオーナー自身が遠隔制御要求を行った場合は、ＣＰＵ２０１は、当該遠隔制御要求に係る印刷ジョブを実行する（Ｓ１２０４）。一方、自分がオーナーとなっていない印刷ジョブについて遠隔制御要求を行った場合は、ＣＰＵ２０１は、当該遠隔制御要求に係る処理を終了することで、当該遠隔制御要求を無視する。以上の処理により、第３者による印刷ジョブの不正制御を抑制することが可能となる。

なお、上記のように、クライアント端末１８０６のソースＩＰアドレスを取得し、そのソースＩＰアドレスを遠隔操作者の識別情報として利用するのではなく、予め個人認証を行い、遠隔操作要求に係る印刷ジョブのジョブオーナー名と比較することで、遠隔操作者を識別することも可能である。

［第２の実施の形態］
第１の実施の形態では、画像形成装置１８０５がグローバルネットワーク１８０２に接続されている可能性がある場合は、その可能性の程度に応じて、画像形成装置１８０５に対する遠隔操作の制限の度合いを変化させていた。

これに対し、第２の実施の形態では、画像形成装置１８０５がグローバルネットワーク１８０２に接続されている可能性がある場合は、画像形成装置１８０５が遠隔操作される場合の安全性を判定し、その安全性の程度に応じて通信切断、警告等を行っている。

以下、第２の実施の形態におけるリモートＵＩに係る画像形成装置１８０５の安全性のチェック処理を、図１３のフローチャートに基づいて説明する。

ＣＵＰ２０１は、画像形成装置１８０５の起動時に、画像形成装置１８０５のネットワーク接続形態を調査する（Ｓ１３０１）。この調査は、第１の実施の形態と同様に、画像形成装置１８０５のＩＰアドレスのアドレス空間に基づいて、画像形成装置１８０５がクライアント端末１８０６と協働することなく単独で判別することができる。

次に、ＣＰＵ２０１は、その調査結果、画像形成装置１８０５がローカルネットワーク１８０４に接続されているか否かを判別する（Ｓ１３０２）。そして、確実にローカルネットワーク１８０４に接続されている場合は、ＣＰＵ２０１は、リモートＵＩ機能を安全に利用できるので、処理を終了する。なお、この接続形態の場合は、安全に、リモートＵＩ機能を安全に利用できる旨をクライアント端末１８０６に表示するようにしてもよい。

従って、画像形成装置１８０５が確実にローカルネットワーク１８０４に接続されている状態では、クライアント端末１８０６は、リモートＵＩ機能によって画像形成装置１８０５が提供する全てのサービスを利用することができる。

一方、ローカルネットワーク１８０４に接続されていることが不確実な場合は、ＣＰＵ２０１は、画像形成装置１８０５に対する現在の設定値の安全性を判定する（Ｓ１３０４）。この設定値の安全性の判定処理は、例えば、次のような設定値を確認することにより行う。
１．リモートＵＩの管理者パスワードは初期値から変更されているか？
２．設定されている管理者パスワードは安全性の高いものか？
３．公知の脆弱性を持つサービスが有効になっていないか？
安全な設定状態である場合は、ＣＰＵ２０１は、画像形成装置１８０５が危険性のあるグローバルネットワークに接続されている可能性はあるが、安全な設定である（安全性の程度は高い）旨の警告を、操作パネル部１１１のＬＣＤに表示する（Ｓ１３０５）。図１４は、この場合の警告表示画面１４０１の表示例である。

この警告表示により、画像形成装置１８０５の操作者は、画像形成装置１８０５がグローバルネットワーク１８０２に接続されている可能性があり、一定の脅威に晒されていることを認識することができる。その警告表示の後、ＣＰＵ２０１は、安全性のチェック処理を終了する。

一方、画像形成装置１８０５が安全な設定状態ではない（安全性の程度が低い）場合は、ＣＰＵ２０１は、画像形成装置１８０５の安全性を確保すべく、グローバルネットワーク１８０２から画像形成装置１８０５を自動的に切断する（Ｓ１３０６）。次に、ＣＰＵ２０１は、グローバルネットワーク１８０２から画像形成装置１８０５を切断した旨を操作パネル部１１１のＬＣＤに表示する（Ｓ１３０７）。この場合の切断通知画面１５０１の表示例を図１５に示す。

図１５の切断通知画面１５０１上のＯＫボタンが押下されると、ＣＰＵ２０１は、画像形成装置１８０５を安全に利用するための確認事項や接続先の変更を促すメッセージを表示した情報表示画面を、操作パネル部１１１のＬＣＤに表示する（Ｓ１６０１）この情報表示画面の表示例を図１６に示す。図１６の情報表示画面１６０１上のＯＫボタンが押下されると、ＣＰＵ２０１は、安全性のチェック処理を終了する。

情報表示画面１６０１の表示により、画像形成装置１８０５の操作者は、画像形成装置１８０５がグローバルネットワーク１８０２に接続されている可能性があり、その設定がグローバルネットワーク１８０２に接続するには危険であったことを認識できる。また、画像形成装置１８０５をグローバルネットワーク１８０２に接続して安全に利用するための情報等を装置の設置場所で簡単に知ることができる。

画像形成装置１８０５の設定状態が要注意（安全性の程度が中程度）である場合は、ＣＰＵ２０１は、画像形成装置１８０５の設定状況に応じたリスクを説明するリスク説明画面を表示する（Ｓ１３０９：図１７参照）。ＣＰＵ２０１は、このリスク説明画面１７０１上に、そのリスクを承知した上でグローバルネットワーク１８０２に継続して接続するか否かを確認するメッセージを表示する（Ｓ１３１０）。

そして、ＣＰＵ２０１は、操作者の判断を確認し（Ｓ１３１１）、操作者の判断が「継続する」であった場合は、安全性のチェック処理を終了する。これにより、画像形成装置１８０５の操作者は、現在の画像形成装置１８０５の設定状態から考えられるリスクを承知した上で、グローバルネットワーク１８０２の接続を継続することができる。従って、たとえ被害を被ったとしても、その被害を最小限に抑えられる可能性が高くなる。

一方、操作者の判断が「継続しない」であった場合は、ＣＰＵ２０１は、ステップＳ１３０６に進み、画像形成装置１８０５をグローバルネットワーク１８０２から切断する。そのため、画像形成装置１８０５の操作者が、グローバルネットワーク１８０２に画像形成装置１８０５を接続する際のリスクを考慮せずに接続してしまった場合でも、画像形成装置１８０５の安全性を確保することができる。

なお、上記のようなユーザに対するリスク情報等の警告情報（報知情報）は、視覚による報知形態ではなく、音声等の聴覚による報知形態で報知することも可能である。

また、第２の実施の形態では、画像形成装置１８０５がグローバルネットワーク１８０２（実質的にはローカルネットワーク１８０４）に接続されている可能性があるか否かを、クライアント端末１８０６との協働無しに、画像形成装置１８０５が単独で判別する。

このため、画像形成装置１８０５とクライアント端末１８０６との間で通信を行わずに上記の可能性を判定できる。また、クライアント端末１８０６は、当該可能性の判定に係る機能を備えていない場合でも、画像形成装置１８０５から提供されるサービスが常に制限されることはない。従って、通信効率、及び利便性を向上させることが可能となる（第１の実施の形態も同様）。

なお、本発明は、上記の第１，２の実施の形態に限定されることなく、例えば、画像形成装置（ＭＦＰ装置）以外の単一の機能に係るプリンタ、スキャナ、又は複写機等の情報処理装置の周辺装置、或はパーソナルコンピュータ等の情報処理装置本体にも第１，２の実施の形態に係る技術思想を適用することも可能である。

また、本発明の目的は、以下の処理を実行することによっても達成される。即ち、上述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記憶媒体を、システム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ等）が記憶媒体に格納されたプログラムコードを読み出す処理である。

この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施の形態の機能を実現することになり、そのプログラムコード及び該プログラムコードを記憶した記憶媒体は本発明を構成することになる。

１０６…ＭＦＣ部
１０４…ＮＩＣ部
１１１…操作パネル部
１１２…ＨＤＤ部
２０１…ＣＰＵ
２０３…ＲＯＭ
２０５…ＦＬＡＳＨ ＲＯＭ

Claims (24)

1. ネットワークに接続するためのインターフェース手段を有し、当該ネットワークを介して接続された外部装置から遠隔操作することが可能な情報処理装置であって、
   前記インターフェース手段が接続しているネットワークがローカルネットワークであるか否かを判定する判定手段と、
   前記判定手段が、前記インターフェース手段が接続しているネットワークが前記ローカルネットワークでないと判定した場合に、前記外部装置からの遠隔操作を制限する制限手段と、
   を備えることを特徴とする情報処理装置。
2. 前記判定手段は、前記情報処理装置に設定されているＩＰアドレスが属するアドレス空間に基づいて前記判定を行うことを特徴とする請求項１に記載の情報処理装置。
3. 前記判定手段が、前記インターフェース手段が接続しているネットワークがローカルネットワークでないと判定した場合に、前記インターフェース手段が接続しているネットワークがグローバルネットワークである可能性の程度を判断する判断手段を更に備え、
   前記制限手段は、前記判断手段が判断した前記可能性の程度に応じて、前記外部装置からの遠隔操作を段階的に制限することを特徴とする請求項１または２に記載の情報処理装置。
4. 前記判断手段は、前記インターフェース手段を介して所定の信号を送出し、当該送出した信号に対する応答の有無に基づいて前記判断を行うことを特徴とする請求項３に記載の情報処理装置。
5. 前記判断手段は、前記送出した信号に対する応答を受けた場合に、当該応答を行った外部装置までの通信経路を認識し、当該認識した通信経路に基づいて前記判断を行うことを特徴とする請求項４に記載の情報処理装置。
6. 前記制限手段は、前記外部装置からの遠隔操作による前記情報処理装置の設定情報の変更を制限することを特徴とする請求項１から５のいずれか１項に記載の情報処理装置。
7. 前記制限手段は、前記外部装置からの遠隔操作による前記情報処理装置内に保持しているアドレス情報の操作を制限することを特徴とする請求項１から６のいずれか１項に記載の情報処理装置。
8. 前記制限手段は、前記外部装置からの遠隔操作による前記情報処理装置が実行するジョブの操作を制限することを特徴とする請求項１から７のいずれか１項に記載の情報処理装置。
9. 前記制限手段は、前記インターフェース手段によるネットワークへの接続を自動的に切断することを特徴とする請求項１から８のいずれか１項に記載の情報処理装置。
10. 前記情報処理装置のユーザに対して、前記判定手段による判定の結果に応じた通知を行う通知手段を更に備えることを特徴とする請求項１から９のいずれか１項に記載の情報処理装置。
11. 前記判定手段は、前記情報処理装置に設定されているＩＰアドレスがプライベートＩＰアドレスまたはグローバルＩＰアドレスであるかを判定し、グローバルＩＰアドレスである場合、前記インターフェース手段が接続しているネットワークが前記ローカルネットワークでないと判定することを特徴とする請求項１から１０のいずれか１項に記載の情報処理装置。
12. 前記ローカルネットワークはファイヤーウォールを介してグローバルネットワークに接続していることを特徴とする請求項１から１１のいずれか１項に記載の情報処理装置。
13. ネットワークに接続するためのインターフェース手段を有し、当該ネットワークを介して接続された外部装置から遠隔操作することが可能な情報処理装置であって、
    前記インターフェース手段が接続しているネットワークがグローバルネットワークであるか否かを判定する判定手段と、
    前記判定手段が、前記インターフェース手段が接続しているネットワークが前記グローバルネットワークであると判定した場合に、前記外部装置からの遠隔操作を制限する制限手段と、
    を備えることを特徴とする情報処理装置。
14. 前記判定手段は、前記情報処理装置に設定されているＩＰアドレスが属するアドレス空間に基づいて前記判定を行うことを特徴とする請求項１３に記載の情報処理装置。
15. 前記判定手段は、前記情報処理装置に設定されているＩＰアドレスがプライベートＩＰアドレスまたはグローバルＩＰアドレスであるかを判定し、グローバルＩＰアドレスである場合、前記インターフェース手段が接続しているネットワークが前記グローバルネットワークであると判定することを特徴とする請求項１３または１４に記載の情報処理装置。
16. 前記判定手段は、前記インターフェース手段を介して所定の信号を送出し、当該送出した信号に対する応答の有無に基づいて前記判定を行うことを特徴とする請求項１３から１５のいずれか１項に記載の情報処理装置。
17. 前記判定手段は、前記送出した信号に対応する応答を受けなかった場合、前記インターフェース手段が接続しているネットワークが前記グローバルネットワークであると判定することを特徴とする請求項１６に記載の情報処理装置。
18. 前記判定手段は、前記送出した信号に対する応答を受けた場合に、当該応答を行った外部装置までの通信経路を認識し、当該認識した通信経路に基づいて前記判定を行うことを特徴とする請求項１６または１７に記載の情報処理装置。
19. 前記判定手段は、前記認識した通信経路にプライベートＩＰアドレスを持つ中継装置がない場合、前記インターフェース手段が接続しているネットワークが前記グローバルネットワークであると判定することを特徴とする請求項１８に記載の情報処理装置。
20. 前記グローバルネットワークはファイヤーウォールを介してローカルネットワークに接続していることを特徴とする請求項１３から１９のいずれか１項に記載の情報処理装置。
21. ネットワークに接続するためのインターフェース手段を有し、当該ネットワークを介して接続された外部装置から遠隔操作することが可能な情報処理装置の制御方法であって、
    前記インターフェース手段が接続しているネットワークがローカルネットワークであるか否かを判定する判定工程と、
    前記判定工程で、前記インターフェース手段が接続しているネットワークが前記ローカルネットワークでないと判定した場合に、前記外部装置からの遠隔操作を制限する制限工程と、
    を有することを特徴とする情報処理装置の制御方法。
22. ネットワークに接続するためのインターフェース手段を有し、当該ネットワークを介して接続された外部装置から遠隔操作することが可能な情報処理装置の制御方法であって、
    前記インターフェース手段が接続しているネットワークがグローバルネットワークであるか否かを判定する判定工程と、
    前記判定工程で、前記インターフェース手段が接続しているネットワークが前記グローバルネットワークであると判定した場合に、前記外部装置からの遠隔操作を制限する制限工程と、
    を有することを特徴とする情報処理装置の制御方法。
23. ネットワークに接続するためのインターフェース手段を有し、当該ネットワークを介して接続された外部装置から遠隔操作することが可能な情報処理装置の制御方法をコンピュータに実行させるためのプログラムであって、
    前記制御方法は、
    前記インターフェース手段が接続しているネットワークがローカルネットワークであるか否かを判定する判定工程と、
    前記判定工程で、前記インターフェース手段が接続しているネットワークが前記ローカルネットワークでないと判定した場合に、前記外部装置からの遠隔操作を制限する制限工程と、
    を有することを特徴とするプログラム。
24. ネットワークに接続するためのインターフェース手段を有し、当該ネットワークを介して接続された外部装置から遠隔操作することが可能な情報処理装置の制御方法をコンピュータに実行させるためのプログラムであって、
    前記制御方法は、
    前記インターフェース手段が接続しているネットワークがグローバルネットワークであるか否かを判定する判定工程と、
    前記判定工程で、前記インターフェース手段が接続しているネットワークが前記グローバルネットワークであると判定した場合に、前記外部装置からの遠隔操作を制限する制限工程と、
    を有することを特徴とするプログラム。