JP5867448B2

JP5867448B2 - ネットワークシステム、アクセス支援サーバ、処理装置、通信代行装置、およびコンピュータプログラム

Info

Publication number: JP5867448B2
Application number: JP2013093239A
Authority: JP
Inventors: 慎哉里見; 将人藤井; 公一冨田; 慶中原
Original assignee: Konica Minolta Inc
Current assignee: Konica Minolta Inc
Priority date: 2013-04-26
Filing date: 2013-04-26
Publication date: 2016-02-24
Anticipated expiration: 2033-04-26
Also published as: CN104125211B; US20140324949A1; EP2797282A1; CN104125211A; JP2014215846A; US9438639B2

Description

本発明は、異なるネットワークに属する２台の装置間における通信の技術に関する。

近年、異なるネットワークに属する２台の装置同士が連携してサービスをユーザへ提供する技術が普及している。

例えば、企業のＬＡＮ（Local Area Network）に属するパーソナルコンピュータとＡＳＰ（Application Service Provider）のネットワークに属するウェブサーバとが連携してニュースなどの情報を、インターネットを介して配信する技術が、普及している。

一般に、ＬＡＮには、ファイアウォールが設けられている。このようなファイアウォールは、ＬＡＮの中の装置から外部の装置へのアクセスよりも外部の装置からＬＡＮの中の装置へのアクセスのほうが厳しく制限されるように、設定されている。

したがって、ユーザは、ウェブサーバから情報を取得するには、ＬＡＮの中のパーソナルコンピュータによってこのウェブサーバへアクセスしてセッションを確立させなければならない。ファイアウォールの一般的な設定によると、逆方向のアクセスが禁止されていることが多い。

そこで、次のような方法が提案されている。被管理装置と、被管理装置を管理する管理装置と、中継サーバとをインターネットに接続しておく。被管理装置は、中継サーバにアクセスして、被管理装置へ伝達する第１伝達情報をサーバから取得しまたは管理装置へ伝達する第２伝達情報を中継サーバへ第２伝達情報を送信する。管理装置は、中継サーバにアクセスして、第２伝達情報を中継サーバから取得しまたは第１伝達情報を中継サーバへ送信する（特許文献１）。つまり、被管理装置および管理装置の双方が、相手へ送りたい情報を中継サーバへ保存しておく。そして、中継サーバへアクセスし、自分宛の情報をダウンロードする。

特開２００２−８２７９２号公報

特許文献１に記載される方法によると、ファイアウォールに関わらず被管理装置と管理装置との間で通信を行うことができる。

しかし、被管理装置と管理装置との間でやり取りされるデータがすべて中継サーバを経由するので、通信が増えると中継サーバに掛かる負荷が増えてしまう。

本願発明は、このような問題点に鑑み、ファイアウォールを経由する通信を、中継サーバに掛かる負荷を従来よりも軽減しつつ行うことを、目的とする。

本発明の一形態に係るネットワークシステムは、特定の処理を実行する第一の装置と、前記特定の処理を前記第一の装置に実行させる第二の装置と、前記第二の装置が前記第一の装置へアクセスするための支援を行うアクセス支援サーバと、がネットワーク上に設けられているネットワークシステムであって、前記第一の装置は、前記アクセス支援サーバへアクセスし当該第一の装置と前記アクセス支援サーバとの間に第一のセッションを確立する第一のセッション確立手段、を備え、前記第二の装置は、当該第二の装置のアドレスを示すアドレス情報を前記アクセス支援サーバへ送信するアドレス情報送信手段、を備え、前記第一の装置はファイアウォールを介して前記ネットワークに接続され、前記アクセス支援サーバは、前記アドレス情報を前記第一の装置へ前記第一のセッションを介して転送するアドレス情報転送手段、を備え、前記第一の装置は、さらに、前記アドレス情報に基づいて前記第二の装置へアクセスし当該第一の装置と前記第二の装置との間に所定のプロトコルに応じてカプセル化したデータの通信を行うトンネリングのための第二のセッションを確立する第二のセッション確立手段、を備える。

本発明の他の一形態に係るネットワークシステムは、特定の処理を実行する第一の装置と、前記特定の処理を前記第一の装置に実行させる第二の装置と、前記第二の装置が前記第一の装置へアクセスするための支援を行うアクセス支援サーバと、が設けられているネットワークシステムであって、前記第一の装置は、前記アクセス支援サーバへアクセスし当該第一の装置と前記アクセス支援サーバとの間に第一のセッションを確立する第一のセッション確立手段、を備え、前記第二の装置は、当該第二の装置のアドレスを示すアドレス情報を前記アクセス支援サーバへ送信するアドレス情報送信手段、を備え、前記アクセス支援サーバは、前記アドレス情報を前記第一の装置へ前記第一のセッションを介して転送するアドレス情報転送手段、を備え、前記第一の装置は、さらに、前記アドレス情報に基づいて前記第二の装置へアクセスし当該第一の装置と前記第二の装置との間に第二のセッションを確立する第二のセッション確立手段、を備え、前記アドレス情報転送手段は、前記第一の装置が前記特定の処理を実行することができる場合に前記アドレス情報を転送し、そうでない場合は前記特定の処理を実行することができない旨のメッセージを前記第二の装置へ送信する。

または、前記第一の装置は、さらに、前記第二の装置へ当該第一の装置の証明書を送信する証明書送信手段、を備え、前記第二の装置は、さらに、前記証明書に基づいて前記第一の装置を認証する認証手段、を備え、前記第二のセッション確立手段は、前記第一の装置の認証に成功した場合に、前記第二のセッションを確立する。

本発明の他の一形態に係るネットワークシステムは、特定の処理を実行する第一の装置と、前記特定の処理を前記第一の装置に実行させる第二の装置と、前記第二の装置が前記第一の装置へアクセスするための支援を行うアクセス支援サーバと、が設けられているネットワークシステムであって、前記第一の装置は、前記アクセス支援サーバへアクセスし当該第一の装置と前記アクセス支援サーバとの間に第一のセッションを確立する第一のセッション確立手段、を備え、前記第二の装置は、当該第二の装置のアドレスを示すアドレス情報を前記アクセス支援サーバへ送信するアドレス情報送信手段、を備え、前記アクセス支援サーバは、前記アドレス情報を前記第一の装置へ前記第一のセッションを介して転送するアドレス情報転送手段、を備え、前記第一の装置は、さらに、前記アドレス情報に基づいて前記第二の装置へアクセスし当該第一の装置と前記第二の装置との間に第二のセッションを確立する第二のセッション確立手段、を備え、前記第二のセッション確立手段は、前記第二のセッションを複数確立することが可能であり、前記アドレス情報転送手段は、有効な前記第二のセッションの数である有効セッション数が所定の数未満である場合に前記アドレス情報を前記第一の装置へ転送する。

本願発明の他の一形態に係るネットワークシステムは、特定の処理を実行する複数台の第一の装置と、前記特定の処理を前記複数台の第一の装置のうちのいずれかに実行させる第二の装置と、前記第二の装置が前記複数台の第一の装置のうちのいずれかへアクセスするための支援を行うアクセス支援サーバと、が設けられているネットワークシステムであって、前記複数台の第一の装置は、それぞれに、前記アクセス支援サーバへアクセスし当該第一の装置と前記アクセス支援サーバとの間に第一のセッションを確立する第一のセッション確立手段、を備え、前記第二の装置は、当該第二の装置のアドレスを示すアドレス情報を前記アクセス支援サーバへ送信するアドレス情報送信手段、を備え、前記アクセス支援サーバは、前記アドレス情報を前記複数台の第一の装置のいずれかへ前記第一のセッションを介して転送するアドレス情報転送手段、を備え、前記複数台の第一の装置は、さらに、それぞれに、前記アドレス情報に基づいて前記第二の装置へアクセスし当該第一の装置と前記第二の装置との間に第二のセッションを確立する第二のセッション確立手段、
を備え、前記アクセス支援サーバは、さらに、前記複数台の第一の装置のそれぞれがサービスを提供可能なアクティブ状態であるか提供できない非アクティブ状態であるかを判別する判別手段、を備え、前記アドレス情報送信手段は、前記複数台の第一の装置のうちユーザにより指定された指定装置が前記アクティブ状態であった場合に、前記アドレス情報を、当該指定装置を識別する識別情報とともに前記アクセス支援サーバへ送信し、前記アドレス情報転送手段は、前記アドレス情報を前記指定装置へ転送する。

または、セッション有効装置として、前記複数台の第一の装置のうち前記特定の処理を実行することができるものを提示する提示手段、を備える。

本発明の他の一形態に係るネットワークシステムは、特定の処理を実行する第一の装置、前記特定の処理を前記第一の装置に実行させる第二の装置、前記第一の装置と同一のネットワークに属する第三の装置、および前記第二の装置が前記第一の装置へアクセスするための支援を行うアクセス支援サーバ、がネットワーク上に設けられているネットワークシステムであって、前記第三の装置は、前記アクセス支援サーバへアクセスし当該第三の装置と前記アクセス支援サーバとの間に第一のセッションを確立する第一のセッション確立手段、を備え、前記第二の装置は、当該第二の装置のアドレスを示すアドレス情報を前記アクセス支援サーバへ送信するアドレス情報送信手段、を備え、前記第一の装置および前記第三の装置はファイアウォールを介して前記ネットワークに接続され、前記アクセス支援サーバは、前記アドレス情報を前記第三の装置へ前記第一のセッションを介して転送するアドレス情報転送手段、を備え、前記第三の装置は、さらに、前記アドレス情報に基づいて前記第二の装置へアクセスし当該第三の装置と前記第二の装置との間に所定のプロトコルに応じてカプセル化したデータの通信を行うトンネリングのための第二のセッションを確立する第二のセッション確立手段と、前記第一の装置と前記第二の装置との間でやり取りされるデータを、前記第二のセッションを介して中継する、データ中継手段と、を備える。

本発明によると、ファイアウォールを経由する通信を、中継サーバに掛かる負荷を従来よりも軽減しつつ行うことができる。

アプリケーションシステムの全体的な構成の例を示す図である。ＬＡＮの全体的な構成の例を示す図である。画像形成装置のハードウェア構成の例を示す図である。デバイス管理サーバ、常時接続サーバのハードウェア構成の例を示す図である。アプリケーションシステムの各装置の機能的構成の例を示す図である。デバイス管理テーブルの例を示す図である。セットアップの際の情報の流れの例を示す図である。セットアップの処理の流れの例を説明するフローチャートである。アプリケーションサーバと画像形成装置とが連携する際の情報の流れの例を示す図である。アプリケーションサーバと画像形成装置とが連携する際の処理の流れの例を説明するフローチャートである。アプリケーションシステムの各装置の機能的構成の例を示す図である。セットアップの際の情報の流れの例を示す図である。アプリケーションサーバと画像形成装置とが連携する際の情報の流れの例を示す図である。デバイス管理テーブルの例を示す図である。アプリケーションサーバと画像形成装置とが連携する際の処理の流れの例を説明するフローチャートである。アプリケーションシステムの各装置の機能的構成の例を示す図である。セットアップの際の情報の流れの例を示す図である。アプリケーションサーバと画像形成装置とが連携する際の情報の流れの例を示す図である。アプリケーションサーバと画像形成装置とが連携する際の処理の流れの例を説明するフローチャートである。アプリケーションシステムの各装置の機能的構成の例を示す図である。セットアップの際の情報の流れの例を示す図である。通信セッションテーブルの例を示す図である。アプリケーションサーバと画像形成装置とが連携する際の情報の流れの例を示す図である。アプリケーションサーバと画像形成装置とが連携する際の処理の流れの例を説明するフローチャートである。アプリケーションサーバと画像形成装置とが連携する際の処理の流れの例を説明するフローチャートである。デバイス管理テーブルの例を示す図である。アプリケーションサーバと画像形成装置とが連携する際の情報の流れの例を示す図である。アプリケーションサーバと画像形成装置とが連携する際の情報の流れの例を示す図である。

〔第一の実施形態〕
図１は、アプリケーションシステム５の全体的な構成の例を示す図である。図２は、ＬＡＮ５０の全体的な構成の例を示す図である。図３は、画像形成装置１Ａのハードウェア構成の例を示す図である。図４は、デバイス管理サーバ２Ａ、常時接続サーバ２Ｂのハードウェア構成の例を示す図である。図５は、アプリケーションシステム５の各装置の機能的構成の例を示す図である。

図１に示すように、アプリケーションシステム５は、１つまたは複数のＬＡＮ（Local Area Network）５０、デバイス管理サーバ２Ａ、常時接続サーバ２Ｂ、１台または複数台のアプリケーションサーバ３Ａ、１台または複数台の端末装置３Ｂ、および通信回線４などによって構成される。アプリケーションシステム５は、複数台の装置が連携して種々の応用的な処理を行う。

以下、各ＬＡＮ５０をそれぞれ「ＬＡＮ５０ａ」、「ＬＡＮ５０ｂ」、…と区別して記載することがある。同様に、各アプリケーションサーバ３Ａを「アプリケーションサーバ３Ａａ」、「アプリケーションサーバ３Ａｂ」、…と区別して記載することがある。各端末装置３Ｂを「端末装置３Ｂａ」、「端末装置３Ｂｂ」、…と区別して記載することがある。

ＬＡＮ５０を構成する装置、デバイス管理サーバ２Ａ、常時接続サーバ２Ｂ、アプリケーションサーバ３Ａ、および端末装置３Ｂは、通信回線４を介して通信を行うことができる。通信回線４として、インターネット、専用線、または公衆回線などが用いられる。

ＬＡＮ５０は、図２に示すように、１台または複数台の画像形成装置１Ａ、１台または複数台の端末装置１Ｂ、ハブ１Ｃ、ファイアウォール１Ｄ、およびルータ１Ｅなどによって構成される。

画像形成装置１Ａは、一般に複合機またはＭＦＰ（Multi Function Peripherals）などと呼ばれる画像処理装置であって、コピー、ＰＣプリント、ファックス、スキャナ、およびボックスなどの機能を集約した装置である。

ＰＣプリントは、端末装置１Ｂから受信した画像データに基づいて画像を用紙に印刷する機能である。

ボックス機能は、ユーザごとに「ボックス」または「パーソナルボックス」などと呼ばれる記憶領域を与えておき、各ユーザが自分の記憶領域によって画像データなどを保存し管理するための機能である。ボックスは、パーソナルコンピュータにおける「フォルダ」または「ディレクトリ」に相当する。

画像形成装置１Ａは、図３に示すように、ＣＰＵ（Central Processing Unit）１０ａ、ＲＡＭ（Random Access Memory）１０ｂ、ＲＯＭ（Read Only Memory）１０ｃ、大容量記憶装置１０ｄ、タッチパネルディスプレイ１０ｅ、操作キーパネル１０ｆ、ＮＩＣ（Network Interface Card）１０ｇ、モデム１０ｈ、スキャンユニット１０ｉ、およびプリントユニット１０ｊなどによって構成される。

タッチパネルディスプレイ１０ｅは、ユーザに対するメッセージを示す画面、ユーザがコマンドまたは情報を入力するための画面、およびＣＰＵ１０ａなどが実行した処理の結果を示す画面などを表示する。また、タッチパネルディスプレイ１０ｅは、タッチされた位置を示す信号をＣＰＵ１０ａへ送る。

操作キーパネル１０ｆは、いわゆるハードウェアキーボードであって、テンキー、スタートキー、ストップキー、およびファンクションキーなどによって構成される。

ＮＩＣ１０ｇは、ＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）またはその上位のプロトコルで他の装置との通信を行う。上位のプロトコルとして、ＨＴＴＰ（Hypertext Transfer Protocol）、ＨＴＴＰＳ（HTTP over transport layer Security）、ＸＭＰＰ（eXtensible Messaging and Presence Protocol）、またはＳＮＭＰ（Simple Network Management Protocol）などが用いられる。

モデム１０ｈは、ファクシミリ端末との間でＧ３などのプロトコルで画像データをやり取りする。

スキャンユニット１０ｉは、プラテンガラスの上にセットされたシートに記されている画像を読み取って画像データを生成する。

プリントユニット１０ｊは、スキャンユニット１０ｉによって読み取られた画像のほか、他の装置から受信した画像を用紙に印刷する。

ＲＯＭ１０ｃまたは大容量記憶装置１０ｄには、上述のコピーなどの機能を実現するためのソフトウェアが記憶されている。さらに、少なくともＬＡＮ５０Ａのすべての画像形成装置１Ａには、ゲートウェイプログラム１ＡＰ１（図５参照）が記憶されている。ゲートウェイプログラム１ＡＰ１は、ＬＡＮ５０の外部の装置から画像形成装置１Ａへのアクセスを可能にするためのプログラムであり、ゲートウェイ部を実現するためのプログラムである。この仕組みについては、後述する。ゲートウェイプログラム１ＡＰ１は、ＲＡＭ１０ｂにロードされ、ＣＰＵ１０ａによって実行される。大容量記憶装置１０ｄとして、ハードディスクまたはＳＳＤ（Solid State Drive）などが用いられる。

以下、各画像形成装置１Ａを図１の通り「画像形成装置１Ａａ１」、「画像形成装置１Ａａ２」、「画像形成装置１Ａｂ１」、「画像形成装置１Ａｂ２」、…と区別して記載することがある。

端末装置１Ｂ（図２参照）は、画像形成装置１Ａの上記の機能をユーザが離れた場所から使用するための装置である。つまり、画像形成装置１Ａのクライアントである。また、ユーザは、ＬＡＮ５０の外部の装置によって画像形成装置１Ａの機能を使用することもできる。この仕組みについては、後述する。端末装置１Ｂとして、パーソナルコンピュータ、タブレットコンピュータ、またはスマートフォンなどが用いられる。

ルータ１Ｅは、ＬＡＮ５０をインターネットなどの他のネットワークと接続するための装置である。

ファイアウォール１Ｄは、ハブ１Ｃとルータ１Ｅとの間に設けられており、ＬＡＮ５０の各装置が行う通信を監視し、ＬＡＮ５０の外部からの攻撃および不正なアクセスを防止するための装置である。特に、本実施形態では、ファイアウォール１Ｄは、ＬＡＮ５０の外部からのアクセスを厳しく制限している。なお、ファイアウォール１Ｄの機能がルータ１Ｅに備わっている場合もある。

画像形成装置１Ａ、端末装置１Ｂ、およびファイアウォール１Ｄは、ハブ１Ｃに繋がれている。

以上の構成よって、ＬＡＮ５０の中の装置同士が通信を行い、さらに、ＬＡＮ５０の中の装置と外部の装置とが一定の制限の下で通信を行うことができる。ＬＡＮ５０は、ＶＰＮ（Virtual Private Network）であってもよい。

図１に戻って、デバイス管理サーバ２Ａおよび常時接続サーバ２Ｂは、ともに、ＬＡＮ５０の外部の装置から画像形成装置１Ａへのアクセスの仲介を行う。

特に、デバイス管理サーバ２Ａは、各ＬＡＮ５０の各画像形成装置１Ａの情報を管理する。常時接続サーバ２Ｂは、画像形成装置１Ａとの接続を持続することが可能である。

デバイス管理サーバ２Ａおよび常時接続サーバ２Ｂは、ともに、図４に示すように、ＣＰＵ２０ａ、ＲＯＭ２０ｂ、ＲＯＭ２０ｃ、大容量記憶装置２０ｄ、ＵＳＢインタフェースボード２０ｅ、グラフィックボード２０ｆ、およびＮＩＣ２０ｇなどによって構成される。

ＵＳＢインタフェースボード２０ｅは、キーボードまたはポインティングデバイスなどの入力装置を繋げるためのユーザインタフェースである。

グラフィックボード２０ｆは、画像の信号を生成しディスプレイへ出力する。これにより、ディスプレイに画像が表示される。

ＮＩＣ２０ｇは、ＴＣＰ／ＩＰなどのプロトコルで他の装置と通信を行うための装置である。

ＲＯＭ２０ｃまたは大容量記憶装置２０ｄには、上述の機能のためのプログラムが記憶されている。プログラムは、ＲＯＭ２０ｂにロードされ、ＣＰＵ２０ａによって実行される。特に、デバイス管理サーバ２ＡのＲＯＭ２０ｃまたは大容量記憶装置２０ｄには、デバイス管理用プログラム２ＡＰ１（図５参照）が記憶されている。また、常時接続サーバ２ＢのＲＯＭ２０ｃまたは大容量記憶装置２０ｄには、常時接続用プログラム２ＢＰ１が記憶されている。

図１に戻って、アプリケーションサーバ３Ａは、画像形成装置１Ａの機能を応用し種々のサービスを提供する。例えば、ユーザが作成したドキュメントを画像形成装置１Ａに印刷させることができる。または、画像形成装置１Ａに登録されている住所録（アドレス帳）を端末装置３Ｂに表示させることができる。

アプリケーションサーバ３Ａのハードウェアの構成は、基本的にデバイス管理サーバ２Ａおよび常時接続サーバ２Ｂのハードウェアの構成と同様である。ただし、ＲＯＭまたは大容量記憶装置には、これらのサービスのためのアプリケーションソフトウェア３ＰＳ（図５参照）が記憶されている。さらに、ＲＯＭまたは大容量記憶装置には、画像形成装置１Ａへアクセスするためのアクセス用プログラム３ＡＰ１が記憶されている。これらのプログラムは、ＲＡＭにロードされ、ＣＰＵによって実行される。

端末装置３Ｂは、アプリケーションサーバ３Ａおよび画像形成装置１Ａによる上述のサービスをユーザが受けるための装置である。つまり、アプリケーションサーバ３Ａおよび画像形成装置１Ａのクライアントである。端末装置３Ｂとして、パーソナルコンピュータ、タブレットコンピュータ、またはスマートフォンなどが用いられる。

次に、アプリケーションサーバ３Ａが画像形成装置１Ａへアクセスし、アプリケーションサーバ３Ａおよび画像形成装置１Ａが連携してユーザにサービスを提供する仕組みを、説明する。

各装置の上述のプログラムによると、図５に示す各機能が実現される。ゲートウェイプログラム１ＡＰ１によると、デバイス管理部１０１、常時接続部１０２、デバイス接続リクエスト受信部１０３、通信セッション部１０４、および対デバイスインタフェース１０５が実現される。

デバイス管理用プログラム２ＡＰ１によると、デバイス情報管理部２０１およびデバイス接続リクエスト送受信部２０２が実現される。

常時接続用プログラム２ＢＰ１によると、常時接続部２５１およびデバイス接続リクエスト送受信部２５２が実現される。

アクセス用プログラム３ＡＰ１によると、対アプリケーションインタフェース３０１、デバイス接続リクエスト部３０２、および通信セッション部３０３が実現される。

以下、各部の処理を、セットアップの処理と外部のユーザへサービスを提供する際の処理とに大別して説明する。

〔セットアップの処理〕
図６は、デバイス管理テーブル２ＴＬ１の例を示す図である。図７は、セットアップの際の情報の流れの例を示す図である。図８は、セットアップの処理の流れの例を説明するフローチャートである。

デバイス管理サーバ２Ａのデバイス情報管理部２０１は、図６のように、常時接続サーバ２Ｂに接続されている画像形成装置１Ａごとの、デバイス識別子６Ａ、アカウントコード６Ｂ、およびデバイス名称６Ｃを示すデバイス管理テーブル２ＴＬ１を記憶し管理する。デバイス識別子６Ａは、画像形成装置１Ａを識別するためのＩＤ（identification）である。デバイス名称６Ｃは、画像形成装置１Ａの製品名または型番である。アカウントコード６Ｂについては、後述する。

画像形成装置１Ａのデバイス管理部１０１は、画像形成装置１Ａ自身のデバイス識別子６Ａおよびデバイス名称６Ｃを記憶し管理する。

ＬＡＮ５０の外部の装置から画像形成装置１Ａへアクセスさせるためには、この画像形成装置１Ａを常時接続サーバ２Ｂに接続させ、この画像形成装置１Ａをデバイス管理テーブル２ＴＬ１に登録しておかなければならない。

ここで、接続および登録の処理を、画像形成装置１Ａａ１について行う場合を例に、図７および図８などを参照しながら説明する。

画像形成装置１Ａａ１の常時接続部１０２は、所定のタイミングで、例えば、電源がオンになってオペレーティングシステムを起動した際に、常時接続リクエスト６Ｄを常時接続サーバ２Ｂへ送信する（図７の丸数字１、図８の＃７０１）。これにより、常時接続サーバ２Ｂに対する接続の要求がなされる。

常時接続サーバ２Ｂの常時接続部２５１は、常時接続リクエスト６Ｄを受信すると（＃７１１）、常時接続リクエスト６Ｄを初めて画像形成装置１Ａａ１から受信した場合は（＃７１２でＹｅｓ）、画像形成装置１Ａａ１に対して、画像形成装置１Ａａ１が常時接続サーバ２Ｂと常時接続しておくためのアカウントを新たに発行する（＃７１３）。以下、このアカウントを「常時接続アカウント」と記載する。常時接続アカウントには、それを他の常時接続アカウントと区別するためのアカウントコード６Ｂおよび認証用のパスワード６Ｅが与えられる。そして、常時接続部２５１は、アカウントコード６Ｂおよびパスワード６Ｅを画像形成装置１Ａａ１へ送信する（丸数字２、＃７１４）。

なお、常時接続部１０２は、既に常時接続アカウントを有している場合は、ステップ＃７０１において、常時接続リクエスト６Ｄとともにアカウントコード６Ｂおよびパスワード６Ｅを常時接続サーバ２Ｂへ送信する。

また、常時接続アカウントは、厳密には、ゲートウェイ部ごとに発行される。ゲートウェイ部は、ゲートウェイプログラム１ＡＰ１がインストールされている画像形成装置１Ａに備わる。したがって、画像形成装置１Ａａ１には、ゲートウェイ部が備わる。ゲートウェイプログラム１ＡＰ１がインストールされていない画像形成装置１Ａについては、後述する。

常時接続部２５１は、画像形成装置１Ａａ１から受信しまたは画像形成装置１Ａａ１に対して新たに発行したアカウントコード６Ｂとパスワード６Ｅとを用いて、画像形成装置１Ａａ１との間のセッション（接続）を確立する（丸数字３、＃７１５、＃７０４）。これにより、トンネリングが完了する。セッションは、公知の方法によって確立すればよい。パスワード６Ｅは、画像形成装置１Ａａ１の認証のために用いてもよい。接続は、原則として、維持される。つまり、この接続は、いわゆる常時接続である。

なお、常時接続部１０２は、初めて常時接続サーバ２Ｂへ接続した場合は（＃７０２でＹｅｓ）、常時接続サーバ２Ｂから受信したアカウントコード６Ｂおよびパスワード６Ｅをデバイス管理部１０１に記憶させる（丸数字４、＃７０３）。

そして、常時接続部１０２は、デバイス識別子６Ａ、アカウントコード６Ｂ、およびデバイス名称６Ｃをデバイス情報としてデバイス管理サーバ２Ａへ送信する（丸数字５、＃７０５）。これらは、トンネルを経由して、つまり、トンネルのプロトコルに応じてカプセル化して、やり取りされる。

デバイス管理サーバ２Ａのデバイス情報管理部２０１は、画像形成装置１Ａａ１からデバイス識別子６Ａ、アカウントコード６Ｂ、およびデバイス名称６Ｃを受信すると（＃７２１）、これらを１つのレコードとしてデバイス管理テーブル２ＴＬ１（図６参照）へ登録する（＃７２２）。

画像形成装置１Ａａ１と常時接続サーバ２Ｂとのセッションが切れたら、その旨を常時接続サーバ２Ｂがデバイス管理サーバ２Ａへ通知し、デバイス情報管理部２０１が画像形成装置１Ａａ１のレコードをデバイス管理テーブル２ＴＬ１から削除してもよい。

なお、対デバイスインタフェース１０５は、画像形成装置１Ａのオペレーティングシステムまたはアプリケーションソフトウェア３ＰＳのインタフェースである。常時接続部１０２は、デバイス識別子６Ａおよびデバイス名称６Ｃを、対デバイスインタフェース１０５を介してオペレーティングシステムから取得してもよい。

〔外部のユーザへサービスを提供する際の処理〕
図９は、アプリケーションサーバ３Ａと画像形成装置１Ａとが連携する際の情報の流れの例を示す図である。図１０は、アプリケーションサーバ３Ａと画像形成装置１Ａとが連携する際の処理の流れの例を説明するフローチャートである。

ユーザは、自分の端末装置３Ｂを操作して、画像形成装置１Ａおよびアプリケーションサーバ３Ａからサービスを受けることができる。

アプリケーションサーバ３Ａの対アプリケーションインタフェース３０１は、アプリケーションソフトウェア３ＰＳとデバイス接続リクエスト部３０２および通信セッション部３０３との間のインタフェースである。後述するように、デバイス接続リクエスト部３０２は、デバイス管理サーバ２Ａとの通信を制御し、通信セッション部３０３は、画像形成装置１Ａとの通信を制御する。したがって、対アプリケーションインタフェース３０１は、アプリケーションソフトウェア３ＰＳとデバイス管理サーバ２Ａおよび画像形成装置１Ａとの間のインタフェースであるとも言える。対アプリケーションインタフェース３０１の具体的な役割は、順次、説明する。

以下、ユーザが端末装置３Ｂａを操作してアプリケーションサーバ３Ａａのアプリケーションソフトウェア３ＰＳ１で作成したドキュメントを画像形成装置１Ａａに印刷させる場合を例に、図９および図１０を参照しながら説明する。なお、アプリケーションソフトウェア３ＰＳ１は、ウェブブラウザを介して文書または図表などを作成するためのアプリケーションソフトウェアである。このようにウェブブラウザを介してサーバに処理を行わせるソフトウェアは、一般に、「ウェブアプリケーション」または「クラウドアプリ」などと呼ばれている。

ユーザは、例えば出張先で端末装置３Ｂａのウェブブラウザを起動し、アプリケーションサーバ３Ａａのアプリケーションソフトウェア３ＰＳ１にアクセスする。

そして、ユーザは、ドキュメントを作成し、これを印刷させる画像形成装置１Ａを一覧の中から指定する。本例では、自分のオフィスに設置されている画像形成装置１Ａａ１を指定する。なお、アプリケーションソフトウェア３ＰＳ１は、この一覧を、対アプリケーションインタフェース３０１から取得しユーザに提示すればよい（図９の丸数字１、２）。また、この一覧のためのデータとして、各画像形成装置１Ａのデバイス識別子６Ａおよびデバイス名称６Ｃを定期的にデバイス管理サーバ２Ａから定期的に取得し対アプリケーションインタフェース３０１に登録しておいてもよい。

対アプリケーションインタフェース３０１が指定を受け付けると（丸数字３、図１０の＃７３１）、デバイス接続リクエスト部３０２は、デバイス接続リクエスト６Ｇをデバイス管理サーバ２Ａへ送信することによって、画像形成装置１Ａａ１への接続を要求する（丸数字４、５、＃７３２）。この際に、アドレス情報６Ｆおよび指定された画像形成装置１Ａ（本例では、画像形成装置１Ａａ１）のデバイス識別子６Ａも、デバイス管理サーバ２Ａへ送信する。アドレス情報６Ｆは、アプリケーションソフトウェア３ＰＳ１へ画像形成装置１Ａａ１からアクセスするためのＵＲＬ（Uniform Resource Locator）である。ＵＲＬには、例えば「https://www.example.com/print＿service?job＿id=j00123:60001」のように、アプリケーションサーバ３Ａａのアドレス（ドメイン名）、ウェブページの識別子、アプリケーションサーバ３Ａａと画像形成装置１Ａａ１とが実行するジョブの識別子（ジョブＩＤ）、および待ち受けポートのポート番号などが含まれる。待ち受けポートとして、所定の範囲のポートのうち未使用のものが用いられる。また、ジョブＩＤとして、ユニークなＩＤが発行される。

デバイス管理サーバ２Ａにおいて、デバイス接続リクエスト送受信部２０２は、デバイス識別子６Ａ、アドレス情報６Ｆ、およびデバイス接続リクエスト６Ｇを受信すると（＃７４１）、このデバイス識別子６Ａに対応するアカウントコード６Ｂをデバイス管理テーブル２ＴＬ１（図６参照）から呼び出す（丸数字６、＃７４２）。そして、これらのデバイス識別子６Ａ、アカウントコード６Ｂ、アドレス情報６Ｆ、およびデバイス接続リクエスト６Ｇを常時接続サーバ２Ｂへ送信する（丸数字７、＃７４３）。

常時接続サーバ２Ｂにおいて、デバイス接続リクエスト送受信部２５２は、デバイス識別子６Ａ、アカウントコード６Ｂ、アドレス情報６Ｆ、およびデバイス接続リクエスト６Ｇを受信すると（＃７５１）、アカウントコード６Ｂに基づいて、リクエスト先に対応するゲートウェイ部を有する画像形成装置１Ａを特定する（＃７５２）。なお、本実施形態では、リクエスト先つまり画像形成装置１Ａａ１が、ゲートウェイ部を有する画像形成装置１Ａである。

そして、デバイス接続リクエスト送受信部２５２は、これらのデバイス識別子６Ａ、アドレス情報６Ｆ、およびデバイス接続リクエスト６Ｇを、特定した画像形成装置１Ａ、つまり、画像形成装置１Ａａ１へ、既に確立されているセッションのトンネル（図８の＃７０４、＃７１５参照）を介して送信する（丸数字８、＃７５３）。つまり、トンネルのプロトコルに応じてカプセル化して送信する。

画像形成装置１Ａａ１において、デバイス接続リクエスト受信部１０３がデバイス識別子６Ａ、アドレス情報６Ｆ、およびデバイス接続リクエスト６Ｇを受信すると（＃７６１）、通信セッション部１０４はこのアドレス情報６Ｆに基づいてアプリケーションサーバ３Ａへアクセスし、通信セッション部１０４およびアプリケーションサーバ３Ａの通信セッション部３０３は、両装置間のセッションを確立させる（丸数字９、＃７３３、＃７６２）。これにより、トンネリングが完了する。

そして、このトンネル、対デバイスインタフェース１０５、通信セッション部１０４、対アプリケーションインタフェース３０１、および通信セッション部３０３を介して、アプリケーションサーバ３Ａａのアプリケーションソフトウェア３ＰＳ１および画像形成装置１Ａａ１のオペレーティングシステムまたはアプリケーションソフトウェアとの間で双方向にデータのやり取りがなされる（丸数字１０、＃７３４、＃７６３）。例えば、ドキュメントのデータおよび印刷の結果のデータなどがやり取りされる。

アプリケーションサーバ３Ａａへのデータの送信は、アドレス情報６Ｆに示されるポート番号のポートに対して行われる。データは、サービスに応じたプロトコル（ＴＣＰ、ＵＤＰ（User Datagram Protocol）、ＳＮＭＰ、ＬＰＲ（Line Printer daemon Protocol）、ＨＴＴＰなど）に準拠している。また、データは、ＨＴＴＰまたはＨＴＴＰＳのＢＯＤＹ部に格納されて、アプリケーションサーバ３Ａａおよび画像形成装置１Ａａ１の間でやり取りされる。

データの必要なやり取りがすべて完了したら、通信セッション部１０４および通信セッション部３０３は、接続を切断する（＃７３５、＃７６４）。

なお、送信されてきたデバイス識別子６Ａが画像形成装置１Ａａ１自身のものでない場合については、後述する。

第一の実施形態によると、画像形成装置１Ａとアプリケーションサーバ３Ａとのセッションの確立後は、デバイス管理サーバ２Ａおよび常時接続サーバ２Ｂによる処理が不要である。よって、ファイアウォール１Ｄを経由するアプリケーションサーバ３Ａと画像形成装置１Ａとの通信を、デバイス管理サーバ２Ａおよび常時接続サーバ２Ｂの負荷を従来よりも軽減して行うことができる。

〔第二の実施形態〕
図１１は、アプリケーションシステム５の各装置の機能的構成の例を示す図である。図１２は、セットアップの際の情報の流れの例を示す図である。図１３は、アプリケーションサーバ３Ａと画像形成装置１Ａとが連携する際の情報の流れの例を示す図である。図１４は、デバイス管理テーブル２ＴＬ２の例を示す図である。図１５は、アプリケーションサーバ３Ａと画像形成装置１Ａとが連携する際の処理の流れの例を説明するフローチャートである。

デバイス管理サーバ２Ａは、第一の実施形態では、画像形成装置１Ａの状況（ステータス）に関わらず、デバイス接続リクエスト６Ｇを画像形成装置１Ａへ送信した。しかし、第二の実施形態では、画像形成装置１Ａのステータスに応じてデバイス接続リクエスト６Ｇを送信する。

第二の実施形態におけるアプリケーションシステム５の全体的な構成は、第一の実施形態と同様であり、図１に示した通りである。ＬＡＮ５０の全体的な構成も、第一の実施形態と同様であり、図２に示した通りである。

画像形成装置１Ａ、デバイス管理サーバ２Ａ、常時接続サーバ２Ｂ、およびアプリケーションサーバ３Ａのハードウェアの構成も、第一の実施形態と同様であり、図３および図４に示した通りである。

ただし、画像形成装置１ＡのＲＯＭ１０ｃまたは大容量記憶装置１０ｄには、ゲートウェイプログラム１ＡＰ１の代わりにゲートウェイプログラム１ＡＰ２が記憶されている。また、デバイス管理サーバ２ＡのＲＯＭ２０ｃまたは大容量記憶装置２０ｄには、デバイス管理用プログラム２ＡＰ１の代わりにデバイス管理用プログラム２ＡＰ２が記憶されている。

ゲートウェイプログラム１ＡＰ２によると、図１１に示すデバイス管理部１２１、常時接続部１２２、デバイス接続リクエスト受信部１２３、通信セッション部１２４、対デバイスインタフェース１２５、およびデバイスステータス管理部１２６の機能が実現される。デバイス管理用プログラム２ＡＰ２によると、デバイス情報管理部２２１およびデバイス接続リクエスト送受信部２２２の機能が実現される。

以下、図１１に示す各部の処理を説明する。第一の実施形態と重複する点は、説明を省略する。

セットアップの処理は、基本的に第一の実施形態と同様である。すなわち、画像形成装置１Ａのデバイス管理部１２１ないし対デバイスインタフェース１２５は、図１２に示すように、第一の実施形態のデバイス管理部１０１ないし対デバイスインタフェース１０５（図７参照）と同様に処理を行う。

デバイスステータス管理部１２６は、画像形成装置１Ａ自身の現在のステータスに関するステータス情報６Ｊを、対デバイスインタフェース１２５を介して取得し（図１３の丸数字１）、デバイス管理サーバ２Ａへ送信する（丸数字２）。本実施形態では、画像形成装置１Ａ自身がＬＡＮ５０の外部へ所定のサービスを提供することができる場合は、「アクティブ」であることを示すアクティブステータス情報６Ｊ１をステータス情報６Ｊとして送信する。一方、提供することができない場合は、「非アクティブ」であることを示す非アクティブステータス情報６Ｊ２をステータス情報６Ｊとして送信する。

例えば、デバイスステータス管理部１２６は、画像形成装置１Ａ自身がインターネットに接続し、このサービスのアプリケーションソフトウェア３ＰＳが起動し、かつこのサービスのために一定のリソースが確保できたら、アクティブステータス情報６Ｊ１を送信する。また、通信が不能になり、このアプリケーションソフトウェア３ＰＳが落ち、または画像形成装置１Ａ自身への負荷が所定以上になったら、非アクティブステータス情報６Ｊ２を送信する。

デバイス管理サーバ２Ａのデバイス情報管理部２２１は、図１４のように、常時接続サーバ２Ｂに接続されている画像形成装置１Ａごとの、デバイス識別子６Ａ、アカウントコード６Ｂ、デバイス名称６Ｃ、およびステータス情報６Ｊを示すデバイス管理テーブル２ＴＬ２を記憶し管理する。

デバイス情報管理部２２１は、デバイス識別子６Ａ、アカウントコード６Ｂ、およびデバイス名称６Ｃを、第一の実施形態と同様、図７および図８で説明した通りの手順でデバイス管理テーブル２ＴＬ２に登録する。

さらに、デバイス情報管理部２２１は、ステータス情報６Ｊを、画像形成装置１Ａから送信されてくるごとに、その画像形成装置１Ａと対応付けてデバイス管理テーブル２ＴＬ２に登録する。ただし、既にその画像形成装置１Ａのステータス情報６Ｊが登録されている場合は、このステータス情報６Ｊを削除し、新たに送信されてきたステータス情報６Ｊを登録する。

これにより、デバイス管理テーブル２ＴＬ２においてステータス情報６Ｊが更新される。例えば画像形成装置１Ａａ１からアクティブステータス情報６Ｊ１が送信されてきたら、デバイス管理テーブル２ＴＬ２において、画像形成装置１Ａａ１のステータス情報６Ｊが「アクティブ」に更新され、非アクティブステータス情報６Ｊ２が送信されてきたら「非アクティブ」に更新される。

次に、ユーザが端末装置３Ｂａを操作してアプリケーションサーバ３Ａａのアプリケーションソフトウェア３ＰＳ１で作成したドキュメントを画像形成装置１Ａａに印刷させる場合を例に、図１１の各部の処理の流れを、図１３および図１５を参照しながら説明する。なお、図１３の上述の丸数字１〜２の処理は、丸数字３〜１６の処理とは独立して実行される。

ユーザによる操作は、第一の実施形態と同様である。つまり、ユーザは、端末装置３Ｂａのウェブブラウザでアプリケーションサーバ３Ａａのアプリケーションソフトウェア３ＰＳ１にアクセスし、ドキュメントを作成し、接続先として画像形成装置１Ａａ１を指定する。

すると、アプリケーションサーバ３Ａａの対アプリケーションインタフェース３０１およびデバイス接続リクエスト部３０２は、デバイス管理サーバ２Ａへリクエストを送信するための処理を行う（図１３の丸数字３〜７、図１５の＃７７１〜＃７７２）。この処理は、図９の丸数字１〜５および図１０の＃７３１〜＃７３２と同様である。これにより、画像形成装置１Ａａ１のデバイス識別子６Ａ、アドレス情報６Ｆ、およびデバイス接続リクエスト６Ｇがデバイス管理サーバ２Ａへ送信される。

デバイス管理サーバ２Ａにおいて、デバイス接続リクエスト送受信部２２２は、デバイス識別子６Ａ、アドレス情報６Ｆ、およびデバイス接続リクエスト６Ｇを受信すると（＃７８１）、このデバイス識別子６Ａに対応するアカウントコード６Ｂおよびステータス情報６Ｊをデバイス管理テーブル２ＴＬ２（図１４参照）から呼び出す（丸数字８、＃７８２）。

そして、ステータス情報６Ｊが「非アクティブ」である場合は（＃７８３でＮｏ）、デバイス接続リクエスト送受信部２２２は、画像形成装置１Ａａ１への接続が不能である旨のメッセージである不可メッセージ６Ｋをアプリケーションサーバ３Ａａへ送信する（丸数字９、＃７８３）。アプリケーションサーバ３Ａａにおいて、不可メッセージ６Ｋがデバイス接続リクエスト部３０２によって受信されると（丸数字１０、＃７７３でＹｅｓ）、対アプリケーションインタフェース３０１を介してアプリケーションソフトウェア３ＰＳ１へ与えられ（丸数字１１）、端末装置３Ｂａへ転送される（丸数字１２、＃７７４）。

一方、ステータス情報６Ｊが「アクティブ」である場合は（＃７８３でＹｅｓ）、デバイス接続リクエスト送受信部２２２は、これらのデバイス識別子６Ａ、アカウントコード６Ｂ、アドレス情報６Ｆ、およびデバイス接続リクエスト６Ｇを常時接続サーバ２Ｂへ送信する（丸数字１３、＃７８５）。

常時接続サーバ２Ｂ、画像形成装置１Ａａ１、およびアプリケーションサーバ３Ａａの各部のその後の処理は、第一の実施形態と同様であり、図９の丸数字８〜１０および図１０のステップ＃７５１〜＃７５３、＃７６１〜＃７６４、＃７３３〜＃７３５で説明した通りである（丸数字１４〜１６、＃７９１〜＃７９３、＃８０１〜＃８０４、＃７７５〜＃７７７）。これらの処理によって、画像形成装置１Ａａ１とアプリケーションサーバ３Ａａとの間でトンネルを介した通信が可能になる。

第二の実施形態によると、アクティブでない画像形成装置１Ａへのリクエストを中止することができるので、無駄なトラフィックおよび常時接続サーバ２Ｂによる無駄な処理を減らすことができる。

なお、上の例によると、画像形成装置１Ａへのリクエストを行うか否かをデバイス管理サーバ２Ａが判別したが、アプリケーションサーバ３Ａが判別してもよい。この場合は、デバイス管理サーバ２Ａは、画像形成装置１Ａごとのステータス情報６Ｊをアプリケーションサーバ３Ａへ提供する。そして、アプリケーションサーバ３Ａにおいて、デバイス接続リクエスト部３０２は、ユーザが指定したアプリケーションサーバ３Ａのステータス情報６Ｊが「アクティブ」であれば、デバイス識別子６Ａ、アドレス情報６Ｆ、およびデバイス接続リクエスト６Ｇをデバイス管理サーバ２Ａへ送信すればよい。一方、「非アクティブ」であれば送信を中止し、不可メッセージ６Ｋを端末装置３Ｂへ送信すればよい。

〔第三の実施形態〕
図１６は、アプリケーションシステム５の各装置の機能的構成の例を示す図である。図１７は、セットアップの際の情報の流れの例を示す図である。図１８は、アプリケーションサーバ３Ａと画像形成装置１Ａとが連携する際の情報の流れの例を示す図である。図１９は、アプリケーションサーバ３Ａと画像形成装置１Ａとが連携する際の処理の流れの例を説明するフローチャートである。

第一の実施形態および第二の実施形態では、アプリケーションサーバ３Ａは、画像形成装置１Ａを認証することなく画像形成装置１Ａとのセッションを確立した。しかし、第三の実施形態では、画像形成装置１Ａを認証しセッションを確立する。

第三の実施形態におけるアプリケーションシステム５の全体的な構成は、第一の実施形態および第二の実施形態と同様であり、図１に示した通りである。ＬＡＮ５０の全体的な構成も、第一の実施形態および第二の実施形態と同様であり、図２に示した通りである。

ただし、画像形成装置１ＡのＲＯＭ１０ｃまたは大容量記憶装置１０ｄには、ゲートウェイプログラム１ＡＰ１、１ＡＰ２の代わりにゲートウェイプログラム１ＡＰ３が記憶されている。また、アプリケーションサーバ３ＡのＲＯＭまたは大容量記憶装置には、アクセス用プログラム３ＡＰ１の代わりにアクセス用プログラム３ＡＰ３が記憶されている。

ゲートウェイプログラム１ＡＰ３によると、図１６に示すデバイス管理部１３１、常時接続部１３２、デバイス接続リクエスト受信部１３３、通信セッション部１３４、対デバイスインタフェース１３５、および証明書要求部１３６の機能が実現される。アクセス用プログラム３ＡＰ３によると、対アプリケーションインタフェース３３１、デバイス接続リクエスト部３３２、通信セッション部３３３、および証明書是非判断部３３４の機能が実現される。

以下、図１６に示す各部の処理を説明する。第一の実施形態または第二の実施形態と重複する点は、説明を省略する。

セットアップの処理は、基本的に第一の実施形態および第二の実施形態と同様である。すなわち、画像形成装置１Ａのデバイス管理部１３１ないし対デバイスインタフェース１３５は、デバイス管理部１０１ないし対デバイスインタフェース１０５など（図７、図１２参照）と同様に、図１７に示す手順で処理を行う。

次に、ユーザが端末装置３Ｂａを操作してアプリケーションサーバ３Ａａのアプリケーションソフトウェア３ＰＳ１で作成したドキュメントを画像形成装置１Ａａに印刷させる場合を例に、図１６の各部の処理の流れを、図１８および図１９を参照しながら説明する。

ユーザによる操作は、第一の実施形態および第二の実施形態と同様である。つまり、ユーザは、端末装置３Ｂａのウェブブラウザでアプリケーションサーバ３Ａａのアプリケーションソフトウェア３ＰＳ１にアクセスし、ドキュメントを作成し、接続先として画像形成装置１Ａａ１を指定する。

すると、アプリケーションサーバ３Ａａの対アプリケーションインタフェース３３１およびデバイス接続リクエスト部３３２は、デバイス管理サーバ２Ａへリクエストを送信するための処理を行う（図１８の丸数字１〜５、図１９の＃８１１〜＃８１２）。この処理は、図９の丸数字１〜５および図１０の＃７３１〜＃７３２と同様である。これにより、画像形成装置１Ａａ１のデバイス識別子６Ａ、アドレス情報６Ｆ、およびデバイス接続リクエスト６Ｇがデバイス管理サーバ２Ａへ送信される。

デバイス管理サーバ２Ａおよび常時接続サーバ２Ｂにおける処理は、デバイス識別子６Ａ、アカウントコード６Ｂ、アドレス情報６Ｆ、およびデバイス接続リクエスト６Ｇを画像形成装置１Ａａ１へ送信するための処理を行う（丸数字６〜８、＃８２１〜＃８２３、＃８３１〜＃８３３）。この処理は、図９の丸数字６〜８および図１０のステップ＃７４１〜＃７４３、＃７５１〜＃７５３と同様である。

画像形成装置１Ａａ１において、デバイス接続リクエスト受信部１３３がデバイス識別子６Ａ、アドレス情報６Ｆ、およびデバイス接続リクエスト６Ｇを受信すると（＃８４１）、証明書要求部１３６は、対デバイスインタフェース１３５に対して電子証明書６Ｌを要求し（丸数字９）、これを取得する（丸数字１０、１１、＃８４２）。なお、対デバイスインタフェース１３５は、電子証明書６Ｌをオペレーティングシステムから取得すればよい。

通信セッション部１３４は、アドレス情報６Ｆに基づいてアプリケーションサーバ３Ａａへアクセスし、電子証明書６Ｌをアプリケーションサーバ３Ａａへ送信する（丸数字１２、１３、＃８４３）。

アプリケーションサーバ３Ａａにおいて、通信セッション部３３３が電子証明書６Ｌを受信すると（＃８１３）、証明書是非判断部３３４は、電子証明書６Ｌが有効なものであるか否かを判別することによって、画像形成装置１Ａａ１の正当性を認証する（丸数字１４、＃８１４）。そして、認証の結果を判断結果６Ｍとして通信セッション部３３３へ返す（丸数字１５）。

すると、通信セッション部３３３は、判断結果６Ｍに応じて、次の処理を実行する。画像形成装置１Ａａ１が正当でないことが判断結果６Ｍに示される場合は（＃８１４でＮｏ）、不可メッセージ６Ｎを、対アプリケーションインタフェース３３１を介してアプリケーションソフトウェア３ＰＳへ与える（丸数字１３）。その後、不可メッセージ６Ｎは、端末装置３Ｂａへ転送される（丸数字１６〜１８、＃８１８）。

一方、画像形成装置１Ａａ１が正当であることが判断結果６Ｍに示される場合は（＃８１５でＹｅｓ）、通信セッション部３３３は、通信セッション部１３４と連携し、両装置間のセッションを確立させる（丸数字１９、＃８１５、＃８４４）。これにより、トンネリングが完了する。

以上の処理によって、画像形成装置１Ａａ１とアプリケーションサーバ３Ａａとの間でトンネルを介した通信が可能になる。そして、両装置の間でデータのやり取りがなされる（丸数字２０、＃８１６、＃８４５）。必要な通信の完了後、通信セッション部１３４および通信セッション部３３３は、セッションを切断する（＃８１７、＃８４６）。

第三の実施形態によると、画像形成装置１Ａになりすました他の装置とのセッションの確立の防止を図り、セキュリティを強化することができる。

第二の実施形態の、画像形成装置１Ａのステータスに応じてデバイス接続リクエスト６Ｇなどを転送する仕組みを、第三の実施形態のデバイス管理サーバ２Ａまたはアプリケーションサーバ３Ａに適用してもよい。

〔第四の実施形態〕
図２０は、アプリケーションシステム５の各装置の機能的構成の例を示す図である。図２１は、セットアップの際の情報の流れの例を示す図である。図２２は、通信セッションテーブル２ＴＳ４の例を示す図である。図２３は、アプリケーションサーバ３Ａと画像形成装置１Ａとが連携する際の情報の流れの例を示す図である。図２４および図２５は、アプリケーションサーバ３Ａと画像形成装置１Ａとが連携する際の処理の流れの例を説明するフローチャートである。

デバイス管理サーバ２Ａは、第一の実施形態および第三の実施形態では、画像形成装置１Ａの状況（ステータス）に関わらず、デバイス接続リクエスト６Ｇを画像形成装置１Ａへ送信した。第二の実施形態では、デバイス管理サーバ２Ａがアクティブであれば、デバイス接続リクエスト６Ｇを送信した。しかし、第四の実施形態では、デバイス管理サーバ２Ａのセッション数に応じてデバイス接続リクエスト６Ｇを送信する。

第四の実施形態におけるアプリケーションシステム５の全体的な構成は、第一の実施形態ないし第三の実施形態と同様であり、図１に示した通りである。ＬＡＮ５０の全体的な構成も、第一の実施形態ないし第三の実施形態と同様であり、図２に示した通りである。

画像形成装置１Ａ、デバイス管理サーバ２Ａ、常時接続サーバ２Ｂ、およびアプリケーションサーバ３Ａのハードウェアの構成も、第一の実施形態ないし第三の実施形態と同様であり、図３および図４に示した通りである。

ただし、デバイス管理サーバ２ＡのＲＯＭ２０ｃまたは大容量記憶装置２０ｄには、デバイス管理用プログラム２ＡＰ１、２ＡＰ２の代わりにデバイス管理用プログラム２ＡＰ４が記憶されている。また、アプリケーションサーバ３ＡのＲＯＭまたは大容量記憶装置には、アクセス用プログラム３ＡＰ１、３ＡＰ３の代わりにアクセス用プログラム３ＡＰ４が記憶されている。

デバイス管理用プログラム２ＡＰ４によると、図２０に示すデバイス情報管理部２４１、デバイス接続リクエスト送受信部２４２、および通信セッション管理部２４３の機能が実現される。アクセス用プログラム３ＡＰ４によると、対アプリケーションインタフェース３４１、デバイス接続リクエスト部３４２、および通信セッション部３４３の機能が実現される。

以下、図２０に示す各部の処理を説明する。第一の実施形態、第二の実施形態、または第三の実施形態と重複する点は、説明を省略する。

セットアップの処理は、基本的に第一の実施形態ないし第三の実施形態と同様である。すなわち、画像形成装置１Ａのデバイス管理部１０１ないし対デバイスインタフェース１０５は、図２１に示す手順で処理を行う。また、デバイス情報管理部２４１は、第一の実施形態のデバイス情報管理部２０１（図７参照）と同様に、デバイス管理テーブル２ＴＬ１（図６参照）を記憶し管理する。

通信セッション部３４３は、第一の実施形態の通信セッション部３０３と同様、画像形成装置１Ａとのセッションを確立する処理を行う。しかし、通信セッション部３４３は、さらに、画像形成装置１Ａとのセッションの確立および切断をデバイス管理サーバ２Ａへ次のように通知する。

画像形成装置１Ａとのセッションを確立したら、通信セッション部３４３は、セッション開始情報６Ｐ１を、この画像形成装置１Ａのデバイス識別子６Ａとともにデバイス管理サーバ２Ａへ送信する（図２３の丸数字１５参照）。一方、画像形成装置１Ａとのセッションを切断したら、セッション終了情報６Ｐ２を、この画像形成装置１Ａのデバイス識別子６Ａとともにデバイス管理サーバ２Ａへ送信する（図２３の丸数字１７参照）。

デバイス管理サーバ２Ａにおいて、通信セッション管理部２４３は、図２２のような、画像形成装置１Ａごとのデバイス識別子６Ａおよびセッション数６Ｑを示す通信セッションテーブル２ＴＳ４を記憶し管理する。セッション数６Ｑは、アプリケーションサーバ３Ａとの間で現在有効なセッションの数である。セッション数６Ｑのデフォルト値は、「０」である。そして、セッション数６Ｑは、次のように更新される。

通信セッション管理部２４３は、アプリケーションサーバ３Ａからセッション開始情報６Ｐ１およびデバイス識別子６Ａを受信すると、このデバイス識別子６Ａに対応するセッション数６Ｑに「１」だけ加える。一方、セッション終了情報６Ｐ２およびデバイス識別子６Ａを受信すると、このデバイス識別子６Ａに対応するセッション数６Ｑを「１」だけ減らす。

次に、ユーザが端末装置３Ｂａを操作してアプリケーションサーバ３Ａａのアプリケーションソフトウェア３ＰＳ１で作成したドキュメントを画像形成装置１Ａａに印刷させる場合を例に、図２０の各部の処理の流れを、図２３、図２４、および図２５を参照しながら説明する。

ユーザによる操作は、第一の実施形態ないし第三の実施形態と同様である。つまり、ユーザは、端末装置３Ｂａのウェブブラウザでアプリケーションサーバ３Ａａのアプリケーションソフトウェア３ＰＳ１にアクセスし、ドキュメントを作成し、接続先として画像形成装置１Ａａ１を指定する。

すると、アプリケーションサーバ３Ａａの対アプリケーションインタフェース３４１およびデバイス接続リクエスト部３４２は、デバイス管理サーバ２Ａへリクエストを送信するための処理を行う（図２３の丸数字１〜５、図２４の＃８５１〜＃８５２）。この処理は、図９の丸数字１〜５および図１０の＃７３１〜＃７３２と同様である。これにより、画像形成装置１Ａａ１のデバイス識別子６Ａ、アドレス情報６Ｆ、およびデバイス接続リクエスト６Ｇがデバイス管理サーバ２Ａへ送信される。

デバイス管理サーバ２Ａにおいて、デバイス接続リクエスト送受信部２４２は、デバイス識別子６Ａ、アドレス情報６Ｆ、およびデバイス接続リクエスト６Ｇを受信すると（＃８６１）、このデバイス識別子６Ａに対応するアカウントコード６Ｂをデバイス管理テーブル２ＴＬ２（図１４参照）から呼び出とともに（丸数字６、＃８６２）、このデバイス識別子６Ａに対応するセッション数６Ｑを通信セッションテーブル２ＴＳ４から呼び出す（丸数字７、＃８６３）。

そして、セッション数６Ｑが閾値ＴＨ１以上である場合は（＃８６４でＹｅｓ）、デバイス接続リクエスト送受信部２４２は、画像形成装置１Ａａ１への接続を拒否する旨のメッセージである不可メッセージ６Ｒをアプリケーションサーバ３Ａａへ送信する（丸数字８、＃８６５）。アプリケーションサーバ３Ａａにおいて、不可メッセージ６Ｒがデバイス接続リクエスト部３４２によって受信されると（＃８５３でＹｅｓ）、対アプリケーションインタフェース３４１を介してアプリケーションソフトウェア３ＰＳ１へ与えられ（丸数字９、１０）、端末装置３Ｂａへ転送される（丸数字１１、＃８５４）。

一方、セッション数６Ｑが閾値ＴＨ１未満である場合は（＃８６４でＮｏ）、デバイス接続リクエスト送受信部２４２は、これらのデバイス識別子６Ａ、アカウントコード６Ｂ、アドレス情報６Ｆ、およびデバイス接続リクエスト６Ｇを常時接続サーバ２Ｂへ送信する（丸数字１２、＃８６６）。

常時接続サーバ２Ｂ、画像形成装置１Ａａ１、およびアプリケーションサーバ３Ａａの各部のその後の処理は、基本的に第一の実施形態と同様であり、図９の丸数字８〜１０および図１０のステップ＃７５１〜＃７５３、＃７６１〜＃７６４、＃７３３〜＃７３５で説明した通りである（丸数字１３、１４、１６、＃８８１〜＃８８３、＃８９１〜＃８９４、＃８５５、＃８５７、＃８５８）。これらの処理によって、画像形成装置１Ａａ１とアプリケーションサーバ３Ａａとの間でトンネルを介した通信が可能になる。

しかし、さらに、通信セッション部３４３は、セッションを確立した際に、セッション開始情報６Ｐ１および画像形成装置１Ａａ１のデバイス識別子６Ａをデバイス管理サーバ２Ａへ送信する（丸数字１５、＃８５６）。

すると、通信セッション管理部２４３は、通信セッションテーブル２ＴＳ４の、画像形成装置１Ａａ１のセッション数６Ｑに「１」を加える（＃８６７、＃８６８）。

また、通信セッション部３４３は、セッションを切断した際に、セッション開始情報６Ｐ１および画像形成装置１Ａａ１のデバイス識別子６Ａをデバイス管理サーバ２Ａへ送信する（丸数字１７、＃８５９）。

すると、通信セッション管理部２４３は、通信セッションテーブル２ＴＳ４の、画像形成装置１Ａａ１のセッション数６Ｑから「１」を引く（＃８６９、＃８７０）。

第四の実施形態によると、一定以上の負荷が掛かっている画像形成装置１Ａへのリクエストを中止することができる。

なお、上の例によると、画像形成装置１Ａへのリクエストを行うか否かをデバイス管理サーバ２Ａが判別したが、アプリケーションサーバ３Ａが判別してもよい。この場合は、画像形成装置１Ａごとのセッション数６Ｑをアプリケーションサーバ３Ａが記録すればよい。そして、アプリケーションサーバ３Ａにおいて、デバイス接続リクエスト部３４２は、ユーザが指定したアプリケーションサーバ３Ａのセッション数６Ｑが閾値ＴＨ１未満であれば、デバイス識別子６Ａ、アドレス情報６Ｆ、およびデバイス接続リクエスト６Ｇをデバイス管理サーバ２Ａへ送信すればよい。一方、閾値ＴＨ１以上であれば送信を中止し、不可メッセージ６Ｒを端末装置３Ｂへ送信すればよい。

第二の実施形態の、画像形成装置１Ａのステータスに応じてデバイス接続リクエスト６Ｇなどを転送する仕組みを、第四の実施形態のデバイス管理サーバ２Ａまたはアプリケーションサーバ３Ａに適用してもよい。

第三の実施形態の、電子証明書６Ｌに基づく認証の結果に応じてデバイス接続リクエスト６Ｇなどを転送する仕組みを、第四の実施形態の画像形成装置１Ａおよびアプリケーションサーバ３Ａに適用してもよい。

〔ゲートウェイ部を備えない画像形成装置１Ａへアクセスする第一の仕組み〕
図２６は、デバイス管理テーブル２ＴＬ１の例を示す図である。図２７は、アプリケーションサーバ３Ａと画像形成装置１Ａとが連携する際の情報の流れの例を示す図である。

第一の実施形態ないし第四の実施形態では、アプリケーションサーバ３Ａは、ゲートウェイ部を備える画像形成装置１Ａへアクセスした。以下、ゲートウェイ部を備えない画像形成装置１Ａへアクセスする仕組みを、第一の実施形態を例に説明する。

画像形成装置１Ａｂ１および画像形成装置１Ａｂ２は、ともに、ＬＡＮ５０ｂに所属する（図１参照）。ゲートウェイ部を、画像形成装置１Ａｂ１は有するが、画像形成装置１Ａｂ２は有しない。そこで、画像形成装置１Ａｂ２は、画像形成装置１Ａｂ１のゲートウェイ部を用いてアプリケーションサーバ３Ａとの通信を行う。

画像形成装置１Ａｂ１の常時接続部１０２は、前に述べた通り、画像形成装置１Ａｂ１自身のデバイス識別子６Ａ、アカウントコード６Ｂ、およびデバイス名称６Ｃを、画像形成装置１Ａｂ１自身のデバイス情報として送信する（図７の丸数字５参照）。さらに、画像形成装置１Ａｂ２のデバイス識別子６Ａおよびデバイス名称６Ｃと画像形成装置１Ａｂ１のアカウントコード６Ｂとを画像形成装置１Ａｂ２のデバイス情報として送信する。

デバイス管理サーバ２Ａのデバイス情報管理部２０１は、画像形成装置１Ａｂ１および画像形成装置１Ａｂ２それぞれのデバイス情報をデバイス管理テーブル２ＴＬ１に登録する。ゲートウェイ部を共用することによって、図２６に示すように、アカウントコード６Ｂが同一である複数のレコードがデバイス管理テーブル２ＴＬ１に登録される。なお、デバイス識別子６Ａとして、ＭＡＣ（Media Access Control）アドレスまたはＩＰアドレスを用いてもよい。

次に、アプリケーションサーバ３Ａａが画像形成装置１Ａｂ２にアクセスする際の処理を、図２７を参照しながら説明する。

アプリケーションサーバ３Ａａにおいて、画像形成装置１Ａｂ２がユーザによって指定されると、デバイス接続リクエスト部３０２は、デバイス識別子６Ａ、アドレス情報６Ｆ、およびデバイス接続リクエスト６Ｇをデバイス管理サーバ２Ａへ送信する（丸数字１〜５）。ただし、デバイス識別子６Ａは、画像形成装置１Ａｂ２のデバイス識別子であり、アドレス情報６Ｆは、画像形成装置１Ａｂ２がアプリケーションソフトウェア３ＰＳへアクセスするためのＵＲＬである。

デバイス管理サーバ２Ａにおいて、デバイス接続リクエスト送受信部２０２は、デバイス識別子６Ａ、アドレス情報６Ｆ、およびデバイス接続リクエスト６Ｇを受信すると、このデバイス識別子６Ａに対応するアカウントコード６Ｂをデバイス管理テーブル２ＴＬ１（図２６参照）から呼び出す（丸数字６）。これにより、アカウントコード６Ｂとして、画像形成装置１Ａｂ１のアカウントコードが呼び出される。そして、これらのデバイス識別子６Ａ、アカウントコード６Ｂ、アドレス情報６Ｆ、およびデバイス接続リクエスト６Ｇを常時接続サーバ２Ｂへ送信する（丸数字７）。

常時接続サーバ２Ｂにおいて、デバイス接続リクエスト送受信部２５２は、デバイス識別子６Ａ、アカウントコード６Ｂ、アドレス情報６Ｆ、およびデバイス接続リクエスト６Ｇを受信すると、このアカウントコード６Ｂに基づいて、リクエスト先に対応するゲートウェイ部を有する画像形成装置１Ａを特定する。本例では、ゲートウェイ部を有する画像形成装置１Ａとして画像形成装置１Ａｂ１が特定される。

そして、デバイス接続リクエスト送受信部２５２は、これらのデバイス識別子６Ａ、アドレス情報６Ｆ、およびデバイス接続リクエスト６Ｇを、特定した画像形成装置１Ａ、つまり、画像形成装置１Ａｂ１へ、既に確立されているセッションのトンネルを介して送信する（丸数字８）。

画像形成装置１Ａｂ１において、デバイス接続リクエスト受信部１０３がデバイス識別子６Ａ、アドレス情報６Ｆ、およびデバイス接続リクエスト６Ｇを受信すると、通信セッション部１０４はこのアドレス情報６Ｆに基づいてアプリケーションサーバ３Ａへアクセスし、通信セッション部１０４およびアプリケーションサーバ３Ａの通信セッション部３０３は、両装置間のセッションを確立させる（丸数字９）。これにより、トンネリングが完了する。

受信したデバイス識別子６Ａが画像形成装置１Ａｂ１自身のものであれば、第一の実施形態ないし第四の実施形態で説明した通り、アプリケーションサーバ３Ａａのアプリケーションソフトウェア３ＰＳおよび画像形成装置１Ａｂ１のオペレーティングシステムまたはアプリケーションソフトウェアとの間で双方向にデータのやり取りがなされる。

しかし、このデバイス識別子６Ａは、画像形成装置１Ａｂ１自身のものではない。この場合は、対デバイスインタフェース１０５は、アプリケーションサーバ３Ａａとこのデバイス識別子６Ａを有する画像形成装置１Ａつまり画像形成装置１Ａｂ２との通信を中継する（丸数字１０）。つまり、アプリケーションサーバ３Ａａからのデータを画像形成装置１Ａｂ２へ転送し、かつ、画像形成装置１Ａｂ２からのデータをアプリケーションサーバ３Ａａへ転送する。

この仕組みによると、リソースが足りない、または、既に販売されており改造することができない、などの理由で、ゲートウェイ部を設けることができない画像形成装置１Ａも、アプリケーションサーバ３Ａと連携させることができる。

この仕組みは、第二の実施形態ないし第四の実施形態の画像形成装置１Ａにも適用することができる。

〔ゲートウェイ部を備えない画像形成装置１Ａとの接続の第二の変形例〕
図２８は、アプリケーションサーバ３Ａと画像形成装置１Ａとが連携する際の情報の流れの例を示す図である。

ゲートウェイ部を画像形成装置１Ａ以外の装置に設けてもよい。そして、このゲートウェイ部を介してアプリケーションサーバ３Ａと画像形成装置１Ａとの通信を行ってもよい。以下、この仕組みを、第一の実施形態を例に説明する。

画像形成装置１Ａｃ１、画像形成装置１Ａｃ２、および端末装置１Ｂｃは、ともに、ＬＡＮ５０ｃに所属する（図１参照）。画像形成装置１Ａｃ１も画像形成装置１Ａｃ２も、ゲートウェイ部を有しない。しかし、端末装置１Ｂｃがゲートウェイ部を有する。つまり、端末装置１Ｂｃが、図５に示したデバイス管理部１０１、常時接続部１０２、デバイス接続リクエスト受信部１０３、通信セッション部１０４、および対デバイスインタフェース１０５を有する。そこで、画像形成装置１Ａｃ１、１Ａｃ２は、端末装置１Ｂｃのゲートウェイ部を用いてアプリケーションサーバ３Ａとの通信を行う。

デバイス管理テーブル２ＴＬ１（図６、図２６参照）には、画像形成装置１Ａｃ１および画像形成装置１Ａｃ２それぞれのデバイス情報が登録される。ただし、両画像形成装置のアカウントコード６Ｂは、ともに、端末装置１Ｂｃのゲートウェイ部のアカウントコードである。

アプリケーションサーバ３Ａから画像形成装置１Ａｃ１または画像形成装置１Ａｃ２へアクセスする際の処理の手順は、図２８に示す通りであって、基本的に図２７で説明した手順と同様である。

この仕組みによると、ゲートウェイ部を有する画像形成装置１Ａが１台もＬＡＮ５０に備わっていない場合であっても、画像形成装置１Ａをアプリケーションサーバ３Ａと連携させることができる。

この仕組みは、第二の実施形態ないし第四の実施形態の画像形成装置１Ａにも適用することができる。端末装置１Ｂとして、ゲートウェイ専用の装置（いわゆるボックス）を用いてもよい。

上述の各実施形態および変形例では、画像形成装置１Ａとアプリケーションサーバ３Ａとを連携させる場合を例に説明したが、他の装置同士の組合せであってもよい。例えば、端末装置１Ｂとアプリケーションサーバ３Ａとを連携させる場合、端末装置１Ｂと端末装置３Ｂとを連携させる場合、および端末装置１Ｂとアプリケーションサーバ３Ａとを連携させる場合にも、本発明を適用することができる。

上述の各実施形態および変形例では、アプリケーションサーバ３Ａと画像形成装置１Ａとの中間の装置として、デバイス管理サーバ２Ａおよび常時接続サーバ２Ｂを用いたが、デバイス管理サーバ２Ａの機能および常時接続サーバ２Ｂの機能を備える１台の装置を用いてもよい。または、これらの機能を３台以上の装置に分散してもよい。または、これらの機能をいわゆるクラウドコンピュータ（クラウドサーバ）によって実現してもよい。

上述の各実施形態および変形例では、ユーザが作成したドキュメントを画像形成装置１Ａに印刷させる場合を例に説明したが、他のサービスを提供する際にも本発明を適用することができる。サービスの例として、画像形成装置１Ａの設定をリモートで行うサービス、画像形成装置１Ａのステータスを外部の装置へ提供するサービス、画像形成装置１Ａに記憶されている電話帳を端末装置３Ｂで参照するサービス、画像形成装置１Ａに記憶されている画像データをアプリケーションサーバ３Ａで編集するサービス、および同一のドキュメントを複数台の画像形成装置１Ａによって印刷するサービスなどが挙げられる。

その他、アプリケーションシステム５、画像形成装置１Ａ、デバイス管理サーバ２Ａ、常時接続サーバ２Ｂ、アプリケーションサーバ３Ａの全体または各部の構成、処理内容、処理順序、データの構成などは、本発明の趣旨に沿って適宜変更することができる。

５アプリケーションシステム（ネットワークシステム）
１Ａ画像形成装置（第一の装置、第三の装置）
１Ａｂ１画像形成装置（通信代行装置）
１Ａｂ２画像形成装置（処理装置）
１Ａｃ１画像形成装置（処理装置）
１Ｂ端末装置（第三の装置、通信代行装置）
１０２、１２２、１３２常時接続部（第一のセッション確立手段）
１０４、１２４、１３４通信セッション部（第二のセッション確立手段）
１０５、１２５、１３５対デバイスインタフェース（アドレス情報転送手段）
１３６証明書要求部
２Ａデバイス管理サーバ（アクセス支援サーバ）
２Ｂ常時接続サーバ（アクセス支援サーバ）
２０１、２２１、２４１デバイス情報管理部
２５２デバイス接続リクエスト送受信部（アドレス情報転送手段）
３Ａアプリケーションサーバ（第二の装置）
３０２、３３２、３４２デバイス接続リクエスト部（アドレス情報送信手段）
３３４証明書是非判断部（認証手段）
６Ｆアドレス情報

Claims

特定の処理を実行する第一の装置と、前記特定の処理を前記第一の装置に実行させる第二の装置と、前記第二の装置が前記第一の装置へアクセスするための支援を行うアクセス支援サーバと、がネットワーク上に設けられているネットワークシステムであって、
前記第一の装置は、
前記アクセス支援サーバへアクセスし当該第一の装置と前記アクセス支援サーバとの間に第一のセッションを確立する第一のセッション確立手段、
を備え、
前記第二の装置は、
当該第二の装置のアドレスを示すアドレス情報を前記アクセス支援サーバへ送信するアドレス情報送信手段、
を備え、
前記第一の装置はファイアウォールを介して前記ネットワークに接続され、
前記アクセス支援サーバは、
前記アドレス情報を前記第一の装置へ前記第一のセッションを介して転送するアドレス情報転送手段、
を備え、
前記第一の装置は、さらに、
前記アドレス情報に基づいて前記第二の装置へアクセスし当該第一の装置と前記第二の装置との間に所定のプロトコルに応じてカプセル化したデータの通信を行うトンネリングのための第二のセッションを確立する第二のセッション確立手段、
を備える、
ことを特徴とするネットワークシステム。
特定の処理を実行する第一の装置と、前記特定の処理を前記第一の装置に実行させる第二の装置と、前記第二の装置が前記第一の装置へアクセスするための支援を行うアクセス支援サーバと、が設けられているネットワークシステムであって、
前記第一の装置は、
前記アクセス支援サーバへアクセスし当該第一の装置と前記アクセス支援サーバとの間に第一のセッションを確立する第一のセッション確立手段、
を備え、
前記第二の装置は、
当該第二の装置のアドレスを示すアドレス情報を前記アクセス支援サーバへ送信するアドレス情報送信手段、
を備え、
前記アクセス支援サーバは、
前記アドレス情報を前記第一の装置へ前記第一のセッションを介して転送するアドレス情報転送手段、
を備え、
前記第一の装置は、さらに、
前記アドレス情報に基づいて前記第二の装置へアクセスし当該第一の装置と前記第二の装置との間に第二のセッションを確立する第二のセッション確立手段、
を備え、
前記アドレス情報転送手段は、前記第一の装置が前記特定の処理を実行することができる場合に前記アドレス情報を転送し、そうでない場合は前記特定の処理を実行することができない旨のメッセージを前記第二の装置へ送信する、
ことを特徴とするネットワークシステム。
特定の処理を実行する第一の装置と、前記特定の処理を前記第一の装置に実行させる第二の装置と、前記第二の装置が前記第一の装置へアクセスするための支援を行うアクセス支援サーバと、が設けられているネットワークシステムであって、
前記第一の装置は、
前記アクセス支援サーバへアクセスし当該第一の装置と前記アクセス支援サーバとの間に第一のセッションを確立する第一のセッション確立手段、
を備え、
前記第二の装置は、
当該第二の装置のアドレスを示すアドレス情報を前記アクセス支援サーバへ送信するアドレス情報送信手段、
を備え、
前記アクセス支援サーバは、
前記アドレス情報を前記第一の装置へ前記第一のセッションを介して転送するアドレス情報転送手段、
を備え、
前記第一の装置は、さらに、
前記アドレス情報に基づいて前記第二の装置へアクセスし当該第一の装置と前記第二の装置との間に第二のセッションを確立する第二のセッション確立手段、
を備え、
前記第二のセッション確立手段は、前記第二のセッションを複数確立することが可能であり、
前記アドレス情報転送手段は、有効な前記第二のセッションの数である有効セッション数が所定の数未満である場合に前記アドレス情報を前記第一の装置へ転送する、
ことを特徴とするネットワークシステム。
前記第一の装置は、さらに、
前記第二の装置へ当該第一の装置の証明書を送信する証明書送信手段、
を備え、
前記第二の装置は、さらに、
前記証明書に基づいて前記第一の装置を認証する認証手段、
を備え、
前記第二のセッション確立手段は、前記第一の装置の認証に成功した場合に、前記第二のセッションを確立する、
請求項１ないし請求項３のいずれかに記載のネットワークシステム。
特定の処理を実行する複数台の第一の装置と、前記特定の処理を前記複数台の第一の装置のうちのいずれかに実行させる第二の装置と、前記第二の装置が前記複数台の第一の装置のうちのいずれかへアクセスするための支援を行うアクセス支援サーバと、が設けられているネットワークシステムであって、
前記複数台の第一の装置は、それぞれに、
前記アクセス支援サーバへアクセスし当該第一の装置と前記アクセス支援サーバとの間に第一のセッションを確立する第一のセッション確立手段、
を備え、
前記第二の装置は、
当該第二の装置のアドレスを示すアドレス情報を前記アクセス支援サーバへ送信するアドレス情報送信手段、
を備え、
前記アクセス支援サーバは、
前記アドレス情報を前記複数台の第一の装置のいずれかへ前記第一のセッションを介して転送するアドレス情報転送手段、
を備え、
前記複数台の第一の装置は、さらに、それぞれに、
前記アドレス情報に基づいて前記第二の装置へアクセスし当該第一の装置と前記第二の装置との間に第二のセッションを確立する第二のセッション確立手段、
を備え、
前記アクセス支援サーバは、さらに、
前記複数台の第一の装置のそれぞれがサービスを提供可能なアクティブ状態であるか提供できない非アクティブ状態であるかを判別する判別手段、を備え、
前記アドレス情報送信手段は、前記複数台の第一の装置のうちユーザにより指定された指定装置が前記アクティブ状態であった場合に、前記アドレス情報を、当該指定装置を識別する識別情報とともに前記アクセス支援サーバへ送信し、
前記アドレス情報転送手段は、前記アドレス情報を前記指定装置へ転送する、
ことを特徴とするネットワークシステム。
セッション有効装置として、前記複数台の第一の装置のうち前記特定の処理を実行することができるものを提示する提示手段、を備える、
請求項５に記載のネットワークシステム。
特定の処理を実行する第一の装置、前記特定の処理を前記第一の装置に実行させる第二の装置、前記第一の装置と同一のネットワークに属する第三の装置、および前記第二の装置が前記第一の装置へアクセスするための支援を行うアクセス支援サーバ、がネットワーク上に設けられているネットワークシステムであって、
前記第三の装置は、
前記アクセス支援サーバへアクセスし当該第三の装置と前記アクセス支援サーバとの間に第一のセッションを確立する第一のセッション確立手段、
を備え、
前記第二の装置は、
当該第二の装置のアドレスを示すアドレス情報を前記アクセス支援サーバへ送信するアドレス情報送信手段、
を備え、
前記第一の装置および前記第三の装置はファイアウォールを介して前記ネットワークに接続され、
前記アクセス支援サーバは、
前記アドレス情報を前記第三の装置へ前記第一のセッションを介して転送するアドレス情報転送手段、
を備え、
前記第三の装置は、さらに、
前記アドレス情報に基づいて前記第二の装置へアクセスし当該第三の装置と前記第二の装置との間に所定のプロトコルに応じてカプセル化したデータの通信を行うトンネリングのための第二のセッションを確立する第二のセッション確立手段と、
前記第一の装置と前記第二の装置との間でやり取りされるデータを、前記第二のセッションを介して中継する、データ中継手段と、
を備える、
ことを特徴とするネットワークシステム。
前記第二の装置は、アプリケーションサーバである、
請求項１ないし請求項７のいずれかに記載のネットワークシステム。
前記第一のセッションは、常時接続である、
請求項１ないし請求項８のいずれかに記載のネットワークシステム。
前記第一のセッションは、所定のプロトコルに応じてカプセル化したデータの通信を行うトンネリングのためのセッションである、
請求項１ないし請求項９のいずれかに記載のネットワークシステム。
特定の処理を実行する第一の装置へ第二の装置がアクセスするのを支援するためのアクセス支援サーバであって、
前記第一の装置からアクセスされた際に当該アクセス支援サーバと当該第一の装置との間にセッションを確立するセッション確立手段と、
前記第二の装置のアドレスを示すアドレス情報を当該第二の装置から前記第一の装置へ前記セッションを介して転送するアドレス情報転送手段と、
を有し、
前記アドレス情報転送手段は、前記第一の装置と当該アクセス支援サーバ以外との間に確立されている第二のセッションの数が所定の数未満である場合に前記アドレス情報を前記第一の装置へ転送する、
ことを特徴とするアクセス支援サーバ。
前記アドレス情報転送手段は、前記第一の装置が前記特定の処理を実行することができる場合に前記アドレス情報を転送し、そうでない場合は前記特定の処理を実行することができない旨のメッセージを前記第二の装置へ送信する、
請求項１１に記載のアクセス支援サーバ。
特定の処理を実行する複数台の第一の装置のうちのいずれかへ第二の装置がアクセスするのを支援するためのアクセス支援サーバであって、
前記複数台の第一の装置のいずれかからアクセスされた際に当該アクセス支援サーバと当該アクセスされた第一の装置との間にセッションを確立するセッション確立手段と、
前記第二の装置のアドレスを示すアドレス情報を当該第二の装置から前記アクセスされた第一の装置へ前記セッションを介して転送するアドレス情報転送手段と、
前記複数台の第一の装置のそれぞれがサービスを提供可能なアクティブ状態であるか提供できない非アクティブ状態であるかを判別する判別手段、
を有し、
前記アドレス情報転送手段は、前記複数台の第一の装置のうちユーザにより指定された指定装置が前記アクティブ状態であった場合に、前記アドレス情報を、当該指定装置を識別する識別情報とともに、前記指定装置へ転送する、
ことを特徴とするアクセス支援サーバ。
前記複数の第一の装置のうち前記特定の処理を実行することができるものを提示する提示手段、を有する、
請求項１３に記載のアクセス支援サーバ。
前記第二の装置は、アプリケーションサーバである、
請求項１１ないし請求項１４のいずれかに記載のアクセス支援サーバ。
前記セッションは、常時接続である、
請求項１１ないし請求項１５のいずれかに記載のアクセス支援サーバ。
前記セッションは、所定のプロトコルに応じてカプセル化したデータの通信を行うトンネリングのためのセッションである、
請求項１１ないし請求項１６のいずれかに記載のアクセス支援サーバ。
特定の処理を実行する処理装置であって、
当該処理装置の属するネットワークとは異なる外部のネットワークにファイアウォールを介して接続され、
前記外部のネットワークに属する外部装置が当該処理装置にアクセスするための支援を行うアクセス支援サーバへアクセスし、当該処理装置と当該アクセス支援サーバとの間に第一のセッションを確立する第一のセッション確立手段と、
前記外部装置のアドレスを示すアドレス情報を前記アクセス支援サーバから前記第一のセッションを介して受信するアドレス情報受信手段と、
前記アドレス情報に基づいて前記外部装置へアクセスし当該処理装置と当該外部装置との間に所定のプロトコルに応じてカプセル化したデータの通信を行うトンネリングのための第二のセッションを確立する第二のセッション確立手段と、
を有することを特徴とする処理装置。
前記外部装置は、アプリケーションサーバである、
請求項１８に記載の処理装置。
前記第一のセッションは、常時接続である、
請求項１８または請求項１９に記載の処理装置。
前記第一のセッションは、所定のプロトコルに応じてカプセル化したデータの通信を行うトンネリングのためのセッションである、
請求項１８ないし請求項２０のいずれかに記載の処理装置。
特定の処理を実行する処理装置とともに同一のネットワークに設けられかつ前記ネットワークとは異なる第二のネットワークにファイアウォールを介して接続されて使用される通信代行装置であって、
前記第二のネットワークに属する外部装置が前記ネットワークにアクセスするための支援を行うアクセス支援サーバへアクセスし、当該通信代行装置と当該アクセス支援サーバとの間に第一のセッションを確立する第一のセッション確立手段と、
前記外部装置のアドレスを示すアドレス情報を前記アクセス支援サーバから前記第一のセッションを介して受信するアドレス情報受信手段と、
前記アドレス情報に基づいて前記外部装置へアクセスし当該通信代行装置と当該外部装置との間に所定のプロトコルに応じてカプセル化したデータの通信を行うトンネリングのための第二のセッションを確立する第二のセッション確立手段と、
前記処理装置と前記外部装置との間でやり取りされるデータを、前記第二のセッションを介して中継する、データ中継手段と、
を有することを特徴とする通信代行装置。
前記外部装置は、アプリケーションサーバである、
請求項２２に記載の通信代行装置。
前記第一のセッションは、常時接続である、
請求項２２または請求項２３に記載の通信代行装置。
前記第一のセッションは、所定のプロトコルに応じてカプセル化したデータの通信を行うトンネリングのためのセッションである、
請求項２２ないし請求項２４のいずれかに記載の通信代行装置。