JP6532188B2

JP6532188B2 - 被操作装置、制御方法及びプログラム

Info

Publication number: JP6532188B2
Application number: JP2014055340A
Authority: JP
Inventors: 春樹佐藤
Original assignee: Canon Inc
Current assignee: Canon Inc
Priority date: 2014-03-18
Filing date: 2014-03-18
Publication date: 2019-06-19
Anticipated expiration: 2034-03-18
Also published as: JP2015179890A

Description

本発明は、遠隔操作における個人情報等の保護に関する。

現在、複合機では音声や動画通信、遠隔操作による遠隔保守サービスが提案されている（例えば特許文献１参照）。遠隔保守サービスでは、複合機でのトラブル発生時に保守のための人員が現地に赴くことがなく、コールセンターがユーザに直接トラブル解決方法を伝え解決することが可能となる。これにより、エラー解決までの時間を短縮することが可能となる。このような遠隔保守サービスでは、ユーザは、電話機やＰＣ等の複合機以外の装置を使うことなく、複合機の通信手段を利用してコールセンターとの接続を実現することが効果的である。このことを鑑みて、複合機にＳＩＰ通信手段を設け、インターネット上の他情報端末と、ＳＩＰ接続で確立したセッションで、動画や音声データを送受信する技術が提案されている（例えば特許文献２参照）。ＳＩＰは、ＳｅｓｓｉｏｎＩｎｉｔｉａｔｉｏｎＰｒｏｔｏｃｏｌの略である。ところが、一般的に、オフィスに導入されているファイアウォールでＳＩＰセッションを確立するには、ＳＩＰプロキシ等のインフラ整備が必要となる可能性が高い。この設備投資が必要となるため、ＳＩＰの導入が困難なオフィスもある。そこで、ファイアウォールとの親和性が高いＨＴＴＰを使用し、情報端末間でセッションを確立する技術が提案されている。一般的に、ファイアウォールに遮られた情報端末に対して、インターネット側からの接続は制限される。逆に、ファイアウォールの中にある情報端末側からインターネットへの接続は、ファイアウォールとの親和性が高いＨＴＴＰであれば許可される。よって、前記技術では、ファイアウォールに遮られた２つの情報端末が、ＨＴＴＰクライアントとして接続が可能なセッション管理サーバに、それぞれの情報端末側から接続をすることで、情報端末間のセッション確立を実現している。

遠隔保守サービスの一つとして遠隔操作がある。遠隔操作は、ＶＮＣ（登録商標）を用いて実現することができる。ＶＮＣは、ＶｉｒｔｕａｌＮｅｔｗｏｒｋＣｏｍｐｕｔｉｎｇの略である。ＶＮＣサーバ機能を持つ複合機に対しては、ＶＮＣビューアと呼ばれるアプリケーションを使用して、リモートの端末上に複合機のパネルの画面を表示させることが可能である。またリモートの端末上から複合機のパネルの画面を操作することが可能である。それにより、リモートの端末上から複合機の目の前にいるのと同じ感覚で、パネルの操作を行うことが可能である。ＶＮＣプロトコルをＨＴＴＰの要求データとしてインターネット上のＷｅｂサーバを介して、ＶＮＣビューアがファイアウォールの内側にあるＶＮＣサーバに接続する技術が公開されている。これにより、コールセンター側のＶＮＣビューアでユーザ先の画像形成装置のＶＮＣサーバに接続して状況の確認、遠隔操作を行うことで、遠隔地からトラブルを解決するような使い方ができる。

特開２００５−２０８９７４号公報特開２００７−２２１７０９号公報

従来のＶＮＣを用いた遠隔操作の構成では、遠隔操作を行う保守オペレータは、複合機のユーザと同じ権限で、パネルの操作を行うことが可能である。そのため、保守オペレータは、複合機のユーザが持つ個人情報等を含むアドレス帳画面や通信履歴画面を遠隔から参照することができる。つまり、複合機のユーザの許可なく、ユーザの持つ情報がコールセンター側の端末等に送信されてしまう課題がある。

本発明は、遠隔操作において個人情報等を保護する技術を提供することを目的とする。

そこで、本発明の被操作装置は、情報処理装置からネットワークを介した遠隔操作を受ける被操作装置であって、前記被操作装置の表示部に表示される画面情報の識別情報と公開レベルとを関連付けて記憶する記憶手段と、前記遠隔操作に関する接続要求に応じて、画面情報へのアクセス承認をユーザに要求する要求手段と、前記遠隔操作が開始されると、送信対象の画面情報の前記公開レベルと前記アクセス承認の結果とに基づいて、前記表示部に表示された画面情報の送信制御を行う送信制御手段と、送信された前記画面情報に基づいて前記情報処理装置が表示した画面に対する前記情報処理装置での操作に応じた、前記被操作装置を遠隔操作するためのデータを受信する受信手段とを有し、前記公開レベルには、前記画面情報の公開を許可する第１の公開レベルと、前記画面情報を前記情報処理装置に公開するためにユーザの承認を必要とする第２の公開レベルと、が含まれ、前記送信制御手段は、前記画面情報に対応付けられた公開レベルが前記第１の公開レベルである場合、前記画面情報を前記情報処理装置に送信する制御を行い、前記アクセス承認の結果、前記第２の公開レベルが対応付けられた前記画面情報の公開が許可された場合、前記第２の公開レベルが対応付けられた前記画面情報を前記情報処理装置に送信する制御を行い、前記アクセス承認の結果、前記第２の公開レベルが対応付けられた前記画面情報の公開が許可されなかった場合には、前記第２の公開レベルが対応付けられた前記画面情報の内容が前記情報処理装置において閲覧できないように制御することを特徴とする。

本発明によれば、遠隔操作において、個人情報等を保護する技術を提供することができる。

遠隔保守システムのシステム構成の一例を示す図である。画像形成装置のハードウェア構成の一例を示す図である。画像形成装置のソフトウェア構成の一例を示す図である。接続指示部を操作パネルのボタンとして実現した場合の画面の一例を示す図である。ＨＤＤに格納されているコールセンター接続情報の一例を示す図である。画面の一例を示す図である。ＨＤＤに格納されている各画面の公開可否情報の一例を示す図である。処理シーケンスの一例を示す図（その１）である。処理シーケンスの一例を示す図（その２）である。デバイスコネクタ部の情報処理の一例を示すフローチャートである。ＶＮＣ接続要求の一例を示す図である。アクセス承認部の情報処理の一例を示すフローチャートである。ＶＮＣサーバ部の情報処理の一例を示したフローチャートである。アクセス制御部の情報処理の一例を示したフローチャートである。公開不可能な画面情報の代わりに送信する画面情報の一例を示す図である。

以下、本発明の実施形態について図面に基づいて説明する。

＜実施形態１＞
図１は、遠隔保守システムのシステム構成の一例を示す図である。画像形成装置１０１、コールセンター端末１０２、１０３は、音声や動画通信、ＶＮＣによる遠隔操作等の遠隔保守機能を持ち、遠隔保守時の通信相手として動作する。セッション管理サーバ１０４は、ＨＴＴＰサーバとしての通信機能を備える。セッション管理サーバ１０４は、画像形成装置１０１とコールセンター端末１０２、１０３との間のセッション管理を行う。画像形成装置１０１、コールセンター端末１０２、１０３は、ＨＴＴＰクライアントとしての通信機能を備えている。画像形成装置１０１は、ユーザ環境１０８の中に配置され、ネットワーク１０７を介してインターネット１０６上のセッション管理サーバ１０４とＨＴＴＰ接続する。ユーザ環境１０８は、複数あってもよく、更に多くの画像形成装置があってもよい。ユーザ環境１０８とインターネット１０６との間には、ファイアウォール１０５が設置される。ファイアウォール１０５は、ユーザ環境１０８の内側にある端末からインターネット１０６への接続は許可するが、インターネット１０６側からユーザ環境１０８の内側にある端末への接続は拒否するように構成されている。コールセンター端末１０２、１０３は、例えばスマートフォン、携帯電話、タブレット、ノート型又はデスクトップ型のＰＣであり、インターネット１０６上のセッション管理サーバ１０４とＨＴＴＰ接続する。画像形成装置１０１は、セッション管理サーバ１０４に対して、コールセンターの端末ＩＤを指定することにより、コールセンター端末を呼び出し、コールセンター端末とのセッションを確立する。確立したセッションにおいて、画像形成装置１０１は、セッション管理サーバ１０４を経由して、呼び出したコールセンター端末との間でＨＴＴＰプロトコルを用いてデータ送受信を行う。本実施形態では、コールセンター端末１０２は、画像形成装置１０１からの受付用として、コールセンターの受付オペレータが操作する端末である。コールセンター端末１０２は、画像形成装置１０１との間に最初に確立したセッションを、保守用のコールセンター端末に振り分ける役割として動作する。本実施形態では、コールセンター端末１０３は、画像形成装置の保守用として、コールセンターの保守オペレータが操作する端末である。コールセンター端末１０３は、コールセンター端末１０２から振り分けされた画像形成装置１０１との間のセッション上で、音声や動画データ、遠隔操作のためのＶＮＣデータを送受信することにより画像形成装置１０１を遠隔保守する役割として動作する。また、本実施形態では、画像形成装置１０１とセッション管理サーバ１０４との接続には、ＨＴＴＰプロトコルが用いられているが、ファイアウォールとの親和性が高い他の通信プロトコルであってもよい。尚、本実施形態では、コールセンター端末１０２、１０３と、セッション管理サーバ１０４との接続にも、ＨＴＴＰプロトコルが用いられているが、他の通信プロトコルであってもよい。尚、本実施形態では、画像形成装置１０１とコールセンター端末１０２、１０３との間のデータ送受信は、セッション管理サーバ１０４を経由してされているが、画像形成装置からコールセンター端末に直接接続した通信路を別途確立して実施してもよい。コールセンター端末は、情報処理装置の一例である。

ここで、画像形成装置１０１とセッション管理サーバ１０４、及びコールセンター端末１０２、１０３との間で行われるＨＴＴＰ通信について説明する。ＨＴＴＰはＲＦＣ２６２６で定義されるクライアント／サーバ型のプロトコルであり、複数のメソッドがある。一般に、クライアントがサーバから情報を受信する場合はＧＥＴメソッド、クライアントからサーバに情報を送信する場合はＰＯＳＴメソッドを使用される。本実施形態においては、画像形成装置１０１からセッション管理サーバ１０４へのデータ送信、コールセンター端末１０２、１０３からセッション管理サーバ１０４へのデータ送信の際はＰＯＳＴメソッドが使用される。また、画像形成装置１０１がセッション管理サーバ１０４からデータ受信する際、コールセンター端末１０２、１０３がセッション管理サーバ１０４からデータ受信する際はＧＥＴメソッドが使用される。更に、送信用と受信用とで別々の接続が使用されるものとする。また、ＲＦＣ２６１６で定義されるチャンク通信が使用されることにより、一回のメソッドでサイズの制限なくデータの送受信が行われるものとする。但し、本実施形態はこれらに限定されるものではなく、データ送受信に使用するメソッドはＧＥＴ／ＰＯＳＴの何れか、又はＨＴＴＰプロトコルで規定されるその他のメソッドでもよい。またデータの送受信に同一の接続を共用してもよい。また、例えばリアルタイム性が必要でない場合等は、１回のメソッドで継続的にデータの送受信を行うのではなく、ＨＴＴＰ要求／応答を定期的に行うような構成でもよい。

図２は、画像形成装置１０１のハードウェア構成の一例を示す図である。ここでは複写機を例にして説明する。図２の画像形成装置１０１において、ＣＰＵ２０１は、ＲＯＭ２０３又は外部記憶装置２１１に記憶された制御プログラムに基づいてシステムバス２０４に接続される各種のデバイスとのアクセスを総括的に制御する。またＣＰＵ２０１は、印刷インターフェース２０７を介して接続される印刷部（プリンタエンジン）２１０に出力情報としての画像信号を出力する。またＣＰＵ２０１は、読取インターフェース２１２を介して接続される読取部（スキャナ）２１３から入力される画像信号を制御する。ＣＰＵ２０１は、ＬＡＮコントローラ２０６又は無線ＬＡＮコントローラ２１８を介してネットワーク上の端末や画像形成装置との通信処理が可能となっている。ＲＡＭ２０２は、主としてＣＰＵ２０１の主メモリ、ワークエリア等として機能する。ハードディスク（ＨＤＤ）、ＩＣカード等の外部記憶装置２１１は、ディスクコントローラ（ＤＫＣ）２０８によりアクセスが制御される。ハードディスクは、アプリケーションプログラム、フォントデータ、フォームデータ等を記憶したり、プリントジョブを一時的にスプールし、スプールされたジョブを外部から制御するためのジョブ格納領域として使用されたりする。また更に、ハードディスクは、スキャナ２１３から読み取った画像データやプリントジョブの画像データをＢＯＸデータとして保持し、ネットワークから参照したり、印刷を行うＢＯＸデータ格納領域としても使用されたりする。本実施形態においては、外部記憶装置としてはＨＤＤを使用するものとし、ＨＤＤには、ジョブログ、画像ログ等、各種ログが保持される。操作パネル２０５は、ユーザがソフトウェアキー又はハードウェアキーから各種情報を入力することが可能である。不揮発性メモリ２０９は、操作パネル２０５やネットワークを介して端末から設定される各種設定情報を記憶している。画像入力インターフェース２１４は、カメラ等の画像入力装置２１５からの画像入力を制御する。音声入出力インターフェース２１６は、ヘッドセット等の音声入出力装置２１７との音声入出力を制御する。

ＣＰＵ２０１が、ＲＯＭ２０３又はＨＤＤに記憶されているプログラムに基づき処理を実行することによって後述する画像形成装置１０１のソフトウェア構成及びフローチャートの処理が実現される。セッション管理サーバ１０４やコールセンター端末１０２、１０３も少なくともＣＰＵやＲＯＭやＲＡＭ等のメモリを有する。そして、ＣＰＵがメモリに記憶されているプログラムに基づき処理を実行することによって各装置の機能が実現される。

図３は、画像形成装置１０１のソフトウェア構成の一例を示す図である。
デバイスコネクタ部３０１は、接続指示部３０２からの指示を受信すると、ＨＤＤに記憶されているコールセンター接続情報５００の設定に従い、セッション管理サーバ１０４への接続を行う。また、デバイスコネクタ部３０１は、セッション管理サーバ１０４との接続を確立した後、セッション管理サーバ１０４と音声・動画処理部３０３、ＶＮＣサーバ部３０５との間の通信を仲介する。更に、デバイスコネクタ部３０１は、ＶＮＣ接続を確立する際、ＶＮＣサーバ部３０５とのデータの送受信を始める前にＶＮＣ接続開始イベントをアクセス承認部３０４に通知する。接続指示部３０２は、ユーザがボタン押下等の操作を行うことにより、デバイスコネクタ部３０１に接続指示を送信する。音声・動画処理部３０３は、必要に応じて画像入力インターフェース２１４、音声入出力インターフェース２１６を制御して、デバイスコネクタ部３０１を介して、セッション管理サーバ１０４と音声・動画データの送受信を行う。アクセス承認部３０４は、デバイスコネクタ部３０１からＶＮＣ接続開始イベントを受信すると、アクセス承認画面６００を操作パネル２０５に表示し、遠隔保守サービスへ機密性の高い画面情報を送信することを許可するか否かのユーザによる承認を求める。ＶＮＣサーバ部３０５は、ＶＮＣのサーバ機能を提供しており、新たな接続要求を受信するとそれを受け付け、ＶＮＣプロトコルに従い画面情報を、デバイスコネクタ部３０１を介してセッション管理サーバ１０４へ送信する。なお、ＶＮＣサーバ部３０５は、画面情報の送信を開始する前に、アクセス制御部３０６で、画面情報をそのまま送信するか、内容を閲覧できないようにマスクした画面情報を送信するかを判別し、判別結果に応じた画面情報を送信する。アクセス制御部３０６は、ＨＤＤに記憶されている各画面情報の公開可否情報７００と、アクセス承認部３０４でユーザに求めたアクセス承認結果と、を基に、ＶＮＣサーバ部３０５が画面情報をそのまま送信してよいか否かを判別する。画面情報は、公開情報の一例である。

図４は、接続指示部３０２を操作パネル２０５のボタンとして実現した場合の画面の一例を示す図である。図４において、操作パネル上にボタン４０１が表示されており、ユーザがボタン４０１を押下することにより、デバイスコネクタ部３０１に接続指示が送信される。
図５は、ＨＤＤに格納されているコールセンター接続情報の一例を示す図である。コールセンター接続情報５００は、セッション管理サーバＵＲＬ５０１と、初回接続先端末ＩＤ５０２と、を含む。
図６は、アクセス承認部３０４が操作パネル２０５に表示する、遠隔保守サービスに対して機密性の高い画面情報を送信してよいか画像形成装置１０１のユーザに対して許可を求める画面の一例を示す図である。図６において、操作パネル上にアクセス承認画面６００が表示されており、ユーザは拒否ボタン６０１か、許可ボタン６０２のどちらかを押下する。ユーザの選択操作に応じて、アクセス承認結果が決定され、決定されたアクセス承認結果がＲＡＭ２０２で保持される。

図７は、ＨＤＤに格納されている各画面情報の公開可否情報の一例を示す図である。図７において、各画面情報の公開可否情報７００は、画像形成装置１０１が操作パネル２０５に表示し得る画面情報にそれぞれに１対１で紐づく画面ＩＤ７０１と、各画面情報の公開レベル７０２と、から構成される。本実施形態では、各画面情報の公開レベル７０２は、「公開」と「承認が必要」との２種類としているが、「非公開」や「閲覧のみ」といったレベルを他に設けてもよい。例えば、アクセス承認部３０４は、操作パネル２０５等を介したユーザ操作に応じて、選択された画面情報に紐付く画面ＩＤ７０１に対して選択された公開レベル（「公開」か「承認が必要」等）を設定することができる。公開レベルは、公開レベル情報の一例である。

図８は、画像形成装置１０１とコールセンター端末１０３とが接続を確立して、画像形成装置１０１のユーザとコールセンターの保守オペレータとの間で音声と動画による対話が開始されるまでの処理の一例を示すシーケンス図である。
ステップ８０１において、接続指示部３０２は、ＨＤＤから読み出したコールセンター接続情報５００と接続指示とをデバイスコネクタ部３０１に送信する。次にステップ８０２において、デバイスコネクタ部３０１は、セッション管理サーバ１０４に接続し、セッション確立要求として初回接続先端末ＩＤ５０２を含めたＰＯＳＴメソッドを送信する。次にステップ８０３において、コールセンター端末１０２は、セッション管理サーバ１０４に接続し、自機へのセッション確立要求を取得するためのＧＥＴメソッドを送信する。次にステップ８０４において、セッション管理サーバ１０４は、デバイスコネクタ部３０１に、ＰＯＳＴメソッドの応答として、コールセンター端末１０２とのセッション確立通知を送信する。ステップ８０５において、デバイスコネクタ部３０１は、セッション確立通知を受信すると、音声・動画処理部３０３へ接続する。以上により、音声・動画処理部３０３とコールセンター端末１０２との間で、セッションが確立され、このセッション上で音声動画データの送受信が開始される。これにより、画像形成装置１０１のユーザとコールセンター端末１０２の受付オペレータとの間で音声と動画による対話が開始される。受付オペレータは、ユーザからトラブル内容を聞き出し、適切な保守オペレータへセッションを振り分ける。Ｓ８０６において、コールセンター端末１０２は、セッションを適切な保守オペレータの端末へ振り分けるためのＰＯＳＴメソッドをセッション管理サーバ１０４へ送信する。次にＳ８０７において、コールセンター端末１０３は、自機へのセッション確立要求を取得するためのＧＥＴメソッドを送信する。セッション管理サーバ１０４は、画像形成装置１０１とコールセンター端末１０２との間のセッションを、画像形成装置１０１とコールセンター端末１０３との間のセッションに振り分ける。これにより、画像形成装置１０１のユーザとコールセンター端末１０３の保守オペレータとの間で音声と動画による対話が開始される。
なお、Ｓ８０３とＳ８０７とにおける、自機へのセッション確立要求の取得のためのＧＥＴメソッドはコールセンター端末１０２、１０３が定期的に送信を行う。
また、画像形成装置１０１とコールセンター端末１０２、１０３との間の音声、動画データの送受信は、セッション管理サーバ１０４を介して行われる。

図９は、トラブル解決のためにコールセンター端末１０３側の保守オペレータが画像形成装置１０１を遠隔操作する必要がある場合に、画像形成装置１０１とコールセンター端末１０３との間でＶＮＣ接続を確立するまでの処理の一例を示すシーケンス図である。
Ｓ９０１において、コールセンター端末１０３は、セッション管理サーバ１０４へ、ＶＮＣ接続要求をＰＯＳＴメソッドで送信する。Ｓ９０２において、デバイスコネクタ部３０１は、セッション管理サーバ１０４へ、ＶＮＣ接続要求取得のためのＧＥＴメソッドを送信する。次にＳ９０３において、セッション管理サーバ１０４は、デバイスコネクタ部３０１へ、Ｓ９０２のＧＥＴメソッドに対する応答としてＶＮＣ接続要求を送信する。デバイスコネクタ部３０１は、ＶＮＣ接続要求を受信すると、Ｓ９０４において、アクセス承認部３０４へＶＮＣ接続開始イベントを通知する。アクセス承認部３０４は、ＶＮＣ接続開始イベントを受信すると、操作パネル２０５へ、アクセス承認画面６００を表示する。アクセス承認部３０４は、アクセス承認結果が決定したら、Ｓ９０５においてアクセス承認結果が決定したことをデバイスコネクタ部３０１へ通知する。次にＳ９０６において、デバイスコネクタ部３０１は、ＶＮＣサーバ部３０５へ接続する。以上により、画像形成装置１０１とコールセンター端末１０３との間でＶＮＣ接続が確立され、保守オペレータによる画像形成装置１０１の遠隔操作が開始される。
なお、Ｓ９０２におけるＶＮＣ接続要求取得のためのＧＥＴメソッドは、画像形成装置１０１がコールセンターとのセッションを確立後、定期的に送信を行う。
また、画像形成装置１０１とコールセンター端末１０３との間の音声、動画、ＶＮＣデータの送受信は、セッション管理サーバ１０４を介して行われる。

図１０は、デバイスコネクタ部３０１の情報処理の一例を示すフローチャートである。
Ｓ１００１において、デバイスコネクタ部３０１は、接続指示部３０２から接続指示を受信するまで待つ。接続指示を受けると、Ｓ１００２において、デバイスコネクタ部３０１は、セッション管理サーバ１０４へＨＴＴＰ接続する。次にＳ１００３において、デバイスコネクタ部３０１は、接続指示に含まれる初回接続先端末ＩＤ５０２をセッション管理サーバ１０４へ送信して、コールセンター端末１０２とのセッションを確立する。コールセンター端末１０２の受付オペレータは、ユーザからトラブル内容を聞き出し、適切な保守オペレータへセッションを振り分けることで、画像形成装置１０１のユーザとコールセンター端末１０３の保守オペレータとの間で音声と動画による対話が開始される。次に、Ｓ１００４において、デバイスコネクタ部３０１は、セッション管理サーバ１０４か、音声・動画処理部３０３からデータ受信又は、遠隔保守作業終了のイベントを待つ。イベントが発生すると、Ｓ１００５において、デバイスコネクタ部３０１は、遠隔保守終了イベントであったかを判断し、Ｙｅｓの場合、Ｓ１００１に戻り、Ｎｏの場合、Ｓ１００６に進む。Ｓ１００６において、デバイスコネクタ部３０１は、イベントが図１１に示すようなＶＮＣ接続要求受信であったか判断し、Ｙｅｓの場合、Ｓ１００７に進む。Ｓ１００７において、デバイスコネクタ部３０１は、アクセス承認部３０４へＶＮＣ接続開始イベントを通知し、アクセス承認処理を行う。次に、Ｓ１００９において、デバイスコネクタ部３０１は、ＶＮＣサーバ部３０５へ接続し、画像形成装置１０１とコールセンター端末１０３との間でＶＮＣ接続を確立する。Ｓ１００６の判断がＮｏだった場合、Ｓ１００８において、デバイスコネクタ部３０１は、音声・動画処理部３０３とセッション管理サーバ１０４との間の通信を仲介して音声、動画データの送受信を行い、Ｓ１００４へ戻る。Ｓ１０１０において、デバイスコネクタ部３０１は、セッション管理サーバ１０４か、音声・動画処理部３０３、ＶＮＣサーバ部３０５からデータ受信又は、遠隔保守作業終了のイベントを待つ。イベントが発生すると、Ｓ１０１１において、デバイスコネクタ部３０１は、遠隔保守終了イベントであったかを判断し、Ｙｅｓの場合、Ｓ１００１に戻り、Ｎｏの場合、Ｓ１０１２に進む。Ｓ１０１２において、デバイスコネクタ部３０１は、音声・動画処理部３０３、ＶＮＣサーバ部３０５とセッション管理サーバ１０４との通信を仲介し、音声、動画、ＶＮＣデータの送受信を行う。

図１１は、画像形成装置１０１が、セッション管理サーバ１０４から受信するＶＮＣ接続要求の一例を示す図である。
図１２は、アクセス承認部３０４の情報処理の一例を示すフローチャートである。
Ｓ１２０１において、アクセス承認部３０４は、ＶＮＣ接続開始イベントを待つ。図１０のＳ１００７でデバイスコネクタ部３０１からＶＮＣ接続開始イベントが通知されると、アクセス承認部３０４は、Ｓ１２０２へ進む。Ｓ１２０２において、アクセス承認部３０４は、操作パネル２０５にアクセス承認画面６００を表示する（問い合わせ）。次にＳ１２０３において、アクセス承認部３０４は、画像形成装置１０１のユーザが、アクセス承認画面６００の拒否ボタン６０１か、許可ボタン６０２を押下するのを待つ。次に、Ｓ１２０４において、アクセス承認部３０４は、押下されたボタンが許可ボタン６０２であるか判断する。Ｙｅｓである場合、Ｓ１２０５において、アクセス承認部３０４は、ユーザ承認結果を「許可」としてＲＡＭ２０２に記憶する。Ｓ１２０４の判断がＮｏの場合、Ｓ１２０６において、アクセス承認部３０４は、ユーザ承認結果を「拒否」としてＲＡＭ２０２に記憶する。

図１３は、ＶＮＣサーバ部３０５が画面情報をデバイスコネクタ部３０１へ送信する際の、ＶＮＣサーバ部３０５の情報処理の一例を示したフローチャートである。
Ｓ１３０１において、ＶＮＣサーバ部３０５は、デバイスコネクタ部３０１へ送信する画面情報の画面ＩＤをアクセス制御部３０６に渡して、該当する画面情報を遠隔保守サービスに公開してよいか否かを取得する。判別の結果が、Ｙｅｓの場合、Ｓ１３０３において、ＶＮＣサーバ部３０５は、デバイスコネクタ部３０１へ画面情報を送信して処理を終了する。Ｓ１３０１における判別がＮｏの場合、Ｓ１３０２において、ＶＮＣサーバ部３０５は、送信する画面情報を、図１５のような、内容が閲覧出来ない画面情報に差し替える。次に、Ｓ１３０３において、ＶＮＣサーバ部３０５は、Ｓ１３０２で差し替えた画面情報をデバイスコネクタ部３０１へ送信する。ここで、ＶＮＣサーバ部３０５は、Ｓ１３０１における判別がＮｏの場合、送信する画面情報に基づき、差し替え用の画面情報を生成し、生成した画面情報で差し替えを行うようにしてもよい。例えば、ＶＮＣサーバ部３０５は、画面情報の一番上のレイヤに画像をかぶせてマスクして、内容が閲覧出来ないようにした差し替え用の画面情報を生成する。

図１４は、図１３のＳ１３０１における、アクセス制御部３０６の情報処理の一例を示したフローチャートである。
Ｓ１４０１において、アクセス制御部３０６は、ＨＤＤから各画面情報の公開可否情報７００を読み出す。アクセス制御部３０６は、各画面情報の公開可否情報７００の中から、ＶＮＣサーバ部３０５から渡された画面ＩＤに紐づけられている公開レベル７０２を参照し、該当する画面情報がユーザの許可無しで遠隔保守サービスへ公開可能か判別する。判別の結果が、Ｙｅｓの場合、Ｓ１４０２において、アクセス制御部３０６は、ＶＮＣサーバ部３０５に該当する画面情報は公開可能であることを通知して、図１４に示す処理を終了する。Ｓ１４０１の判別の結果がＮｏの場合、アクセス制御部３０６は、Ｓ１４０３に進む。Ｓ１４０３において、アクセス制御部３０６は、ＲＡＭ２０２から、アクセス承認部３０４が行ったアクセス承認処理の結果を取得して、ユーザの許可があるかどうか判断する。判断結果がＹｅｓの場合、Ｓ１４０２において、アクセス制御部３０６は、ＶＮＣサーバ部３０５に該当する画面情報は公開可能であることを通知して、図１４に示す処理を終了する。Ｓ１４０３の判断結果がＮｏの場合、Ｓ１４０４において、アクセス制御部３０６は、ＶＮＣサーバ部３０５に該当する画面情報は公開不可能であることを通知して、図１４に示す処理を終了する。
図１５は、ＶＮＣサーバ部３０５が、遠隔保守サービスに公開不可能な画面情報の代わりに送信する画面情報の一例を示す図である。図１５において、ユーザの許可が無く、内容を閲覧できない旨を示したレイヤ１５０１で画面情報をマスクすることで、コールセンター端末側で内容を閲覧出来なくしている。

＜その他の実施形態＞
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサーがプログラムを読み出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

以上、上述した各実施形態によれば、遠隔操作サービスを受けるユーザが保持する機密性の高い情報がインターネット上に送信されることを防ぎつつ、遠隔操作による遠隔保守サービスを提供することができる。また、遠隔操作において、個人情報等を保護する技術を提供することができる。

Claims

情報処理装置からネットワークを介した遠隔操作を受ける被操作装置であって、
前記被操作装置の表示部に表示される画面情報の識別情報と公開レベルとを関連付けて記憶する記憶手段と、
前記遠隔操作に関する接続要求に応じて、画面情報へのアクセス承認をユーザに要求する要求手段と、
前記遠隔操作が開始されると、送信対象の画面情報の前記公開レベルと前記アクセス承認の結果とに基づいて、前記表示部に表示された画面情報の送信制御を行う送信制御手段と、
送信された前記画面情報に基づいて前記情報処理装置が表示した画面に対する前記情報処理装置での操作に応じた、前記被操作装置を遠隔操作するためのデータを受信する受信手段とを有し、
前記公開レベルには、前記画面情報の公開を許可する第１の公開レベルと、前記画面情報を前記情報処理装置に公開するためにユーザの承認を必要とする第２の公開レベルと、が含まれ、
前記送信制御手段は、前記画面情報に対応付けられた公開レベルが前記第１の公開レベルである場合、前記画面情報を前記情報処理装置に送信する制御を行い、前記アクセス承認の結果、前記第２の公開レベルが対応付けられた前記画面情報の公開が許可された場合、前記第２の公開レベルが対応付けられた前記画面情報を前記情報処理装置に送信する制御を行い、前記アクセス承認の結果、前記第２の公開レベルが対応付けられた前記画面情報の公開が許可されなかった場合には、前記第２の公開レベルが対応付けられた前記画面情報の内容が前記情報処理装置において閲覧できないように制御することを特徴とする被操作装置。
前記送信制御手段は、前記情報処理装置に送信する画面情報を、前記表示部に表示された画面情報の内容が閲覧できない差し替え画面情報とすることにより、前記第２の公開レベルが対応付けられた前記画面情報の内容が前記情報処理装置において閲覧できないように制御することを特徴とする請求項１に記載の被操作装置。
前記差し替え画面情報は、前記表示部に表示された画面情報に画像をマスクして内容が閲覧できないようにした画面情報であることを特徴とする請求項２に記載の被操作装置。
ユーザ操作に応じて、画面情報の識別情報に対する公開レベルを設定する設定手段を有することを特徴とする請求項１に記載の被操作装置。
前記被操作装置は、印刷部を備える画像形成装置であることを特徴とする請求項１に記載の被操作装置。
情報処理装置からネットワークを介した遠隔操作を受ける被操作装置であって、前記被操作装置の表示部に表示される画面情報の識別情報と公開レベルとを関連付けて記憶する記憶手段を有する前記被操作装置の制御方法であって、
前記遠隔操作に関する接続要求に応じて、画面情報へのアクセス承認をユーザに要求する要求ステップと、
前記遠隔操作が開始されると、送信対象の画面情報の前記公開レベルと前記アクセス承認の結果とに基づいて、前記表示部に表示された画面情報の送信制御を行う送信制御ステップと、
送信された前記画面情報に基づいて前記情報処理装置が表示した画面に対する前記情報処理装置での操作に応じた、前記被操作装置を遠隔操作するためのデータを受信する受信ステップとを有し、
前記公開レベルには、前記画面情報の公開を許可する第１の公開レベルと、前記画面情報を前記情報処理装置に公開するためにユーザの承認を必要とする第２の公開レベルと、が含まれ、
前記送信制御ステップでは、前記画面情報に対応付けられた公開レベルが前記第１の公開レベルである場合、前記画面情報を前記情報処理装置に送信する制御を行い、前記アクセス承認の結果、前記第２の公開レベルが対応付けられた前記画面情報の公開が許可された場合、前記第２の公開レベルが対応付けられた前記画面情報を前記情報処理装置に送信する制御を行い、前記アクセス承認の結果、前記第２の公開レベルが対応付けられた前記画面情報の公開が許可されなかった場合には、前記第２の公開レベルが対応付けられた前記画面情報の内容が前記情報処理装置において閲覧できないように制御することを特徴とする制御方法。
情報処理装置からネットワークを介した遠隔操作を受ける被操作装置であって、前記被操作装置の表示部に表示される画面情報の識別情報と公開レベルとを関連付けて記憶する記憶手段を有する前記被操作装置に含まれるコンピュータに、
前記遠隔操作に関する接続要求に応じて、画面情報へのアクセス承認をユーザに要求する要求手順と、
前記遠隔操作が開始されると、送信対象の画面情報の前記公開レベルと前記アクセス承認の結果とに基づいて、前記表示部に表示された画面情報の送信制御を行う送信制御手順と、
送信された前記画面情報に基づいて前記情報処理装置が表示した画面に対する前記情報処理装置での操作に応じた、前記被操作装置を遠隔操作するためのデータを受信する受信手順とを実行させるためのプログラムであって、
前記公開レベルには、前記画面情報の公開を許可する第１の公開レベルと、前記画面情報を前記情報処理装置に公開するためにユーザの承認を必要とする第２の公開レベルと、が含まれ、
前記送信制御手順では、前記画面情報に対応付けられた公開レベルが前記第１の公開レベルである場合、前記画面情報を前記情報処理装置に送信する制御を行い、前記アクセス承認の結果、前記第２の公開レベルが対応付けられた前記画面情報の公開が許可された場合、前記第２の公開レベルが対応付けられた前記画面情報を前記情報処理装置に送信する制御を行い、前記アクセス承認の結果、前記第２の公開レベルが対応付けられた前記画面情報の公開が許可されなかった場合には、前記第２の公開レベルが対応付けられた前記画面情報の内容が前記情報処理装置において閲覧できないように制御することを特徴とするプログラム。