JP7352183B2 - 画像形成装置、画像処理システム、およびプログラム - Google Patents

Description

本開示は、画像形成装置に対するアクセスを制限するユーザー認証機能において、ワンタイムパスワード機能を有する画像形成装置に関する。

従来、ＭＦＰ（Multi-Functional Peripheral）等の画像形成装置の多くは、装置に対するアクセスを制限するユーザー認証機能を搭載している。ユーザー認証機能の一例において、画像形成装置は、ユーザーがユーザー名およびパスワードを入力すると、入力されたユーザー名およびパスワードが登録されているそれらと一致する場合に、当該ユーザーに対して装置の利用を許可する。こうしたユーザー認証機能を搭載した画像形成装置について、特開２０１５－１７６５９１号公報（特許文献１）は、一定期間かつ一度だけ有効なパスワード（以下、ワンタイムパスワード、または、ＯＴＰ（One Time Password）とも称する）を生成してユーザー宛てに送信し、同パスワードを入力させることにより利用を許可する「ワンタイムパスワード機能」（ＯＴＰ機能）を搭載した画像形成装置を開示している。

特開２０１５－１７６５９１号公報

ＯＴＰの送信後、ユーザーが送信されたＯＴＰを画像形成装置から離間した場所で確認する場合には不都合が生じ得る。たとえば、第１のユーザーは、画像形成装置での操作を継続する意思を持ちながら、ＯＴＰの確認のために画像形成装置から離れる。このような場合、第１のユーザーは、画像形成装置での操作を継続する意思があるため、他のユーザー（第２のユーザー）に視認されることを意図しない情報を入力したまま、画像形成装置から離れる場合があり得る。しかしながら、従来、ＯＴＰの送信を要求したユーザーがＯＴＰの確認のために画像形成装置を離れることを想定して、当該ユーザーによって入力された情報に関するセキュリティー保護については検討がなされていなかった。

本開示は、係る実情に鑑み考え出されたものであり、その目的は、ワンタイムパスワードの確認のために画像形成装置から離れる可能性のあるユーザーによって画像形成装置に入力された情報のセキュリティーを保護するための技術を提供することである。

本開示のある局面に従うと、画像形成装置であって、メモリーと、画像形成装置の動作を制御するコントローラーと、画像形成装置の近傍におけるユーザーの存在を検知するためのセンサーと、ユーザーを特定する情報の入力を受け付ける入力インターフェースと、を備え、メモリーは、ユーザーを特定する情報を宛先と関連付けて格納し、コントローラーは、入力インターフェースに、入力されたユーザーを特定する情報を表示し、入力インターフェースが一時認証の要求を受け付けた場合に、入力インターフェースに入力されたユーザーを特定する情報に関連付けられた宛先に向けて、ワンタイムパスワードを送信し、画像形成装置の近傍からユーザーが離れた場合に、入力インターフェースにおけるユーザーを特定する情報の表示を抑制し、ワンタイムパスワードの有効期限に関する一定時間を計測し、一定時間の計測完了前であれば、ワンタイムパスワードの入力に応じて、入力インターフェースに入力されたユーザーを特定する情報について画像形成装置の利用のためにユーザーを認証する、画像形成装置が提供される。

好ましくは、コントローラーは、入力インターフェースにおけるユーザーを特定する情報の表示を抑制した後、画像形成装置の近傍にユーザーを特定する情報に対応するユーザーが存在することが検知されたことに応じて、抑制を解除する。

好ましくは、コントローラーは、画像形成装置の近傍からユーザーが離れたことが検知されたことに応じて、ユーザーを特定する情報の表示を抑制する。

好ましくは、コントローラーは、画像形成装置の近傍からユーザーが離れたことが検知された後、ユーザーを特定する情報に対応するユーザーとは別のユーザーの画像形成装置の近傍における存在が検知されたことに応じて、ユーザーを特定する情報の表示を抑制する。

好ましくは、コントローラーは、画像形成装置の近傍からユーザーが離れたことが検知された後、用紙の出力を伴うデータを受信したことに応じて、ユーザーを特定する情報の表示を抑制する。

好ましくは、用紙の出力を伴うデータは、プリントジョブの実行指示またはファクシミリデータを含む。

好ましくは、画像形成装置は、通信インターフェースをさらに備え、コントローラーは、通信インターフェースを介してネットワークに接続し、画像形成装置の近傍からユーザーが離れたことが検知された後、ネットワーク上の他の画像形成装置においてトラブルが発生したことに応じて、ユーザーを特定する情報の表示を抑制する。

好ましくは、画像形成装置は、通信インターフェースをさらに備え、コントローラーは、通信インターフェースを介してネットワークに接続し、画像形成装置の近傍からユーザーが離れたことが検知された後、ネットワーク上の他の画像形成装置において消耗品のエンプティーが発生したことに応じて、ユーザーを特定する情報の表示を抑制する。

好ましくは、抑制は、ユーザーを特定する情報の少なくとも一部の消去を含む。

好ましくは、抑制は、ユーザーを特定する情報の少なくとも一部を別の情報で置換することを含む。

好ましくは、抑制は、入力インターフェースにスクリーンセーバーを表示することを含む。

好ましくは、コントローラーは、スクリーンセーバーの解除の要求に伴って入力された情報がユーザーを特定する情報と一致すれば、入力インターフェースにおけるユーザーを特定する情報の表示を復活させた状態でスクリーンセーバーを解除し、スクリーンセーバーの解除の要求に伴って入力された情報がユーザーを特定する情報と一致しなければ、入力インターフェースにおけるユーザーを特定する情報の表示を復活させることなくスクリーンセーバーを解除する。

好ましくは、コントローラーは、スクリーンセーバーの解除の要求に伴って入力された情報がユーザーを特定する情報と一致すれば、入力インターフェースにおけるユーザーを特定する情報の表示を復活させた状態でスクリーンセーバーを解除し、スクリーンセーバーの解除の要求に伴って入力された情報がユーザーを特定する情報と一致しなければ、入力インターフェースにおけるユーザーを特定する情報の表示を別の情報で置換させた状態でスクリーンセーバーを解除する。

本開示の他の局面に従うと、画像形成装置と、画像形成装置を利用するユーザーを認証する認証サーバーと、を備え、画像形成装置は、画像形成装置の動作を制御する第１のコントローラーと、画像形成装置の近傍におけるユーザーの存在を検知するためのセンサーと、ユーザーを特定する情報の入力を受け付ける入力インターフェースと、を含み、第１のコントローラーは、入力インターフェースに、入力されたユーザーを特定する情報を表示し、入力インターフェースが一時認証の要求を受け付けた場合に、認証サーバーに、入力インターフェースに入力されたユーザーを特定する情報について一時認証の要求を送信し、画像形成装置の近傍からユーザーが離れた場合に、入力インターフェースにおけるユーザーを特定する情報の表示を抑制し、認証サーバーは、ユーザーを特定する情報を宛先に関連付けて格納するメモリーと、画像形成装置から一時認証の要求を受信した場合に、入力インターフェースに入力されたユーザーを特定する情報に関連付けられた宛先に向けて、ワンタイムパスワードを送信する第２のコントローラーと、を含み、第１のコントローラーは、入力インターフェースに入力されたワンタイムパスワードを、認証サーバーへ送信し、第２のコントローラーは、ワンタイムパスワードの有効期限に関する一定時間を計測し、一定時間の計測が完了する前に画像形成装置からワンタイムパスワードが送信されれば、画像形成装置から受信したユーザーを特定する情報について画像形成装置の利用のためにユーザーを認証する、画像処理システムが提供される。

好ましくは、第１のコントローラーは、入力インターフェースにおけるユーザーを特定する情報の表示を抑制した後、画像形成装置の近傍にユーザーを特定する情報に対応するユーザーが存在することが検知されたことに応じて、抑制を解除する。

好ましくは、第１のコントローラーは、画像形成装置の近傍からユーザーが離れたことが検知されたことに応じて、ユーザーを特定する情報の表示を抑制する。

好ましくは、第１のコントローラーは、画像形成装置の近傍からユーザーが離れたことが検知された後、ユーザーを特定する情報に対応するユーザーとは別のユーザーの画像形成装置の近傍における存在が検知されたことに応じて、ユーザーを特定する情報の表示を抑制する。

好ましくは、第１のコントローラーは、画像形成装置の近傍からユーザーが離れたことが検知された後、用紙の出力を伴うデータを受信したことに応じて、ユーザーを特定する情報の表示を抑制する。

好ましくは、用紙の出力を伴うデータは、プリントジョブの実行指示またはファクシミリデータを含む。

好ましくは、画像形成装置は、通信インターフェースをさらに含み、第１のコントローラーは、通信インターフェースを介してネットワークに接続し、画像形成装置の近傍からユーザーが離れたことが検知された後、ネットワーク上の他の画像形成装置においてトラブルが発生したことに応じて、ユーザーを特定する情報の表示を抑制する。

好ましくは、画像形成装置は、通信インターフェースをさらに含み、第１のコントローラーは、通信インターフェースを介してネットワークに接続し、画像形成装置の近傍からユーザーが離れたことが検知された後、ネットワーク上の他の画像形成装置において消耗品のエンプティーが発生したことに応じて、ユーザーを特定する情報の表示を抑制する。

好ましくは、抑制は、ユーザーを特定する情報の少なくとも一部の消去を含む。

好ましくは、抑制は、ユーザーを特定する情報の少なくとも一部を別の情報で置換することを含む。

好ましくは、抑制は、入力インターフェースにスクリーンセーバーを表示することを含む。

好ましくは、第１のコントローラーは、スクリーンセーバーの解除の要求に伴って入力された情報がユーザーを特定する情報と一致すれば、入力インターフェースにおけるユーザーを特定する情報の表示を復活させた状態でスクリーンセーバーを解除し、スクリーンセーバーの解除の要求に伴って入力された情報がユーザーを特定する情報と一致しなければ、入力インターフェースにおけるユーザーを特定する情報の表示を復活させることなくスクリーンセーバーを解除する。

好ましくは、第１のコントローラーは、スクリーンセーバーの解除の要求に伴って入力された情報がユーザーを特定する情報と一致すれば、入力インターフェースにおけるユーザーを特定する情報の表示を復活させた状態でスクリーンセーバーを解除し、スクリーンセーバーの解除の要求に伴って入力された情報がユーザーを特定する情報と一致しなければ、入力インターフェースにおけるユーザーを特定する情報の表示を別の情報で置換させた状態でスクリーンセーバーを解除する。

本開示のさらに他の局面に従うと、画像形成装置のコンピューターによって実行されることにより、画像形成装置に、入力インターフェースが一時認証の要求を受け付けたか否かを判断するステップと、入力インターフェースが一時認証の要求を受け付けた場合に、入力インターフェースに入力されたユーザーを特定する情報に関連付けられた宛先に向けて、ワンタイムパスワードを送信するステップと、一時認証の要求が受け付けられた後、画像形成装置の近傍からユーザーが離れたか否かを判断するステップと、一時認証の要求が受け付けられた後、画像形成装置の近傍からユーザーが離れた場合に、入力インターフェースにおけるユーザーを特定する情報の表示を抑制するステップと、ワンタイムパスワードの有効期限に関する一定時間の計測完了前であれば、ワンタイムパスワードの入力に応じて、入力インターフェースに入力されたユーザーを特定する情報について画像形成装置の利用のためにユーザーを認証するステップと、を実行させる、プログラムが提供される。

本開示によれば、画像形成装置において、当該画像形成装置の近傍からユーザーが離れた場合に、入力インターフェースに入力された、ユーザーを特定する情報の表示が抑制される。これにより、第１のユーザーによって入力された当該第１のユーザーを特定する情報が第２のユーザーによって利用される機会が回避され得る。

画像処理システムの第１の実施の形態の構成を示す図である。 ＭＦＰ１００のハードウェア構成を示す図である。 情報処理装置２００のハードウェア構成を示す図である。 認証サーバー３００のハードウェア構成を示す図である。 ユーザー情報データベースのデータ構造を示す図である。 第１の実施の形態におけるユーザー認証の概要を示す図である。 ログイン画面の一例を示す図である。 ＯＴＰ送信要求画面の一例を示す図である。 ＯＴＰの送信を報知するための画面（ＯＴＰ送信報知画面）の一例を示す図である。 トップメニュー画面の一例を示す図である。 ログイン画面における入力欄５０１の表示の一例を示す図である。 ログイン画面における入力欄５０１の表示の他の例を示す図である。 ディスプレイ１２１に表示されるスクリーンセーバー画面の一例を示す図である。 ＯＴＰによるユーザー認証のためにＭＦＰ１００において実行される処理のフローチャートである。 ＯＴＰによるユーザー認証のためにＭＦＰ１００において実行される処理のフローチャートである。 ＯＴＰによるユーザー認証のためにＭＦＰ１００において実行される処理のフローチャートである。 第２の実施の形態におけるＯＴＰを利用したユーザー認証の概要を示す図である。 第２の実施の形態においてＯＴＰによるユーザー認証のために実行される処理のフローチャートである。 第２の実施の形態においてＯＴＰによるユーザー認証のために実行される処理のフローチャートである。 第２の実施の形態においてＯＴＰによるユーザー認証のために実行される処理のフローチャートである。 第２の実施の形態においてＯＴＰによるユーザー認証のために実行される処理のフローチャートである。 第２の実施の形態においてＯＴＰによるユーザー認証のために実行される処理のフローチャートである。 第２の実施の形態においてＯＴＰによるユーザー認証のために実行される処理のフローチャートである。

以下に、図面を参照しつつ、画像処理システムの実施の形態について説明する。以下の説明では、同一の部品および構成要素には同一の符号を付してある。それらの名称および機能も同じである。したがって、これらの説明は繰り返さない。

＜第１の実施の形態＞
［画像処理システムの構成］
図１は、画像処理システムの第１の実施の形態の構成を示す図である。図１に記載されるように、画像処理システムは、画像形成装置の一例であるＭＦＰ１００と、情報処理装置２００と、認証サーバー３００とを含む。ＭＦＰ１００は、人感センサー１０６と操作パネル１２０とカメラ１５０とを含む。操作パネル１２０は、ディスプレイ１２１を含む。人感センサー１０６および操作パネル１２０を含むＭＦＰ１００の構成の詳細は、図２を参照して後述される。

ＭＦＰ１００は、画像形成装置の一例であり、ＭＦＰ１００の利用には、ユーザー認証が必要とされる。画像処理システムでは、ＭＦＰ１００または認証サーバー３００がユーザーを認証し得る。ＭＦＰ１００は、各ユーザーについて予め登録されたパスワードを用いてユーザーを認証することもできるし、各ユーザーの要求に応じて発行されるＯＴＰを用いてユーザーを認証することもできる。すなわち、ＭＦＰ１００は、ＯＴＰを用いたユーザー認証によりＭＦＰ１００の利用を許可する機能（ＯＴＰ機能）を有する。

［ＭＦＰ１００のハードウェア構成］
図２は、ＭＦＰ１００のハードウェア構成を示す図である。図２に示されるように、ＭＦＰ１００は、主な構成要素として、制御部１１０、タイマー回路１０１、原稿読取部１０２、印刷出力部１０３、用紙搬送部１０４、ファクシミリ（ＦＡＸ）部１０５、人感センサー１０６、ネットワークインターフェース（Ｉ／Ｆ）１０７、Ｂｌｕｅｔｏｏｔｈ（登録商標）インターフェース（Ｉ／Ｆ）１０８、記憶装置１０９、操作パネル１２０、および、カメラ１５０を含む。図２に示された各要素は、内部バスによって互いに接続されている。

制御部１１０は、ＣＰＵ（Central Processing Unit）１１１、ＲＡＭ（Random Access Memory）１１２、および、ＲＯＭ（Read Only Memory）１１３を含む。ＣＰＵ１１１は、所与のプログラムを実行することにより、ＭＦＰ１００の動作を制御する。ＲＡＭ１１２は、ＣＰＵ１１１がプログラムを実行する際のワークエリアとして機能する。ＲＯＭ１１３は、ＣＰＵ１０１が実行するプログラムを含む各種のデータを格納する。

ＭＦＰ１００は、制御部１１０の代わりに、または、制御部１１０とともに、ＭＦＰ１００の制御に利用される専用の集積回路（たとえば、Field-Programmable Gate Array）を備えていてもよい。

タイマー回路１０１は、時間を計測するための電気回路である。制御部１１０は、タイマー回路１０１による時間の計測結果を取得することにより、ＯＴＰの有効期限が満了しているか否か等の種々の事象を判断し得る。

原稿読取部１０２は、いわゆるスキャナーによって実現され、ＭＦＰ１００においてセットされた原稿をスキャンすることにより当該原稿の画像データを生成する。

印刷出力部１０３は、画像データに基づく画像を記録用紙上に形成する。一実現例では、印刷出力部１０３は、感光体ドラムおよび転写ローラーを含む。印刷出力部１０３は、たとえば電子写真方式に従って画像を形成するが、画像形成の方式はこれに限定されない。

用紙搬送部１０４は、ＭＦＰ１００において、原稿および／または記録用紙を搬送するためのローラー、および、当該ローラーを回転されるためのモーターを含む。

ＦＡＸ部１０５は、ファクシミリ通信により画像データを送受信する。

人感センサー１０６は、図１に示されるようにＭＦＰ１００の正面に設置され、たとえば赤外線センサーを含む。制御部１１０は、人感センサー１０６から出力される信号に基づいて、ＭＦＰ１００（人感センサー１０６）から所与の距離の範囲にユーザーが存在するか否かを検知する。この意味において、人感センサー１０６は第１のセンサーの一例である。

ネットワークＩ／Ｆ１０７は、ＭＦＰ１００をネットワークを介して他の装置（認証サーバー３００および情報処理装置２００）と通信させ、たとえばＮＩＣ（Network Interface Card）によって実現される。

Ｂｌｕｅｔｏｏｔｈ＿Ｉ／Ｆ１０８は、ＭＦＰ１００をＢｌｕｅｔｏｏｔｈ規格に従って他の装置と無線通信させる。制御部１１０は、Ｂｌｕｅｔｏｏｔｈ＿Ｉ／Ｆ１０８がユーザーに関連付けられた端末と通信しているか否かに基づいて、ユーザーが端末を携行しているか否かを判断し得る。この意味において、Ｂｌｕｅｔｏｏｔｈ＿Ｉ／Ｆ１０８は、第２のセンサーの一例である。

記憶装置１０９は、たとえばハードディスクドライブ（ＨＤＤ）またはソリッドステートドライブ（ＳＳＤ）によって構成される不揮発性記憶装置であり、プログラムおよび／またはデータを格納する。記憶装置１０９は、ジョブデータを格納し得る。すなわち、制御部１１０は、ネットワークを介してパーソナルコンピューターから受信したジョブデータを記憶装置１０９に格納し、その後、当該ジョブデータを記憶装置１０９から読み出すことにより、当該ジョブデータに係るジョブを実行し得る。

操作パネル１２０は、ディスプレイ１２１、タッチセンサー１２２、および、操作キー１２３を含む。ディスプレイ１２１は、後述されるログイン画面などの種々の画面を表示する。タッチセンサー１２２は、ディスプレイ１２１の少なくとも一部を覆う。ディスプレイ１２１とタッチセンサー１２２によってタッチパネルが構成される。操作キー１２３は、電源キーなどのハードウェアキーとして実現される。制御部１１０は、ディスプレイ１２１における表示を制御し、また、タッチセンサー１２２および操作キー１２３に対する操作に従って出力される信号を受信する。この意味において、操作パネル１２０は、ユーザーからの入力を受け付ける入力インターフェースの一例である。

カメラ１５０は、一実現例では、図１に示されるように、操作パネル１２０に設置される。これにより、カメラ１５０は、操作パネル１２０を視認するユーザーの顔面を含む領域の画像を撮影し得る。なお、カメラ１５０の設置位置はこれに限定されない。また、画像処理システムにおいて、カメラ１５０は、ＭＦＰ１００とは別の装置として設けられても良い。すなわち、カメラ１５０は、ＭＦＰ１００に含まれていなくても良い。

［情報処理装置２００のハードウェア構成］
図３は、情報処理装置２００のハードウェア構成を示す図である。情報処理装置２００は、スマートフォンなどの携帯端末であってもよいし、パーソナルコンピューターなどの備え付けの端末であってもよい。

図３に示されるように、情報処理装置２００は、主な構成要素として、ＣＰＵ２０１、ＲＡＭ２０２、ストレージ２０３、ディスプレイ２０４、入力装置２０５、ＮＩＣ２０６、および、Ｂｌｕｅｔｏｏｔｈ Ｉ／Ｆ２０７を含む。図３に示された各要素は、内部バスによって互いに接続されている。

ＣＰＵ２０１は、情報処理装置２００の動作を制御する。ＲＡＭ２０２は、ＣＰＵ２０１における処理実行時のワークエリアとして機能する。ストレージ２０３は、ＣＰＵ２０１が実行する各種のプログラムおよびプログラムの実行に利用されるデータを格納する不揮発性記憶装置である。ストレージ２０３は、たとえば、フラッシュＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）、フラッシュＲＯＭ、ＨＤＤ、および／または、ＳＳＤによって実現されるが、これらに限定されない。

ディスプレイ２０４は、ＣＰＵ２０１によって実行されるプログラムの処理結果を示す画像を表示するための表示装置である。

入力装置２０５は、一実現例では、キーボードや操作キー、および／または、タッチセンサーによって実現される。入力装置２０５は、情報の入力を受け付けると、当該情報をＣＰＵ２０１へ送る。

ＮＩＣ２０６は、情報処理装置２００をネットワークを介して他の装置（ＭＦＰ１００など）と通信させる通信インターフェースである。

Ｂｌｕｅｔｏｏｔｈ Ｉ／Ｆ２０７は、情報処理装置２００をＭＦＰ１００などの他の装置と近距離通信させるための通信インターフェースである。

［認証サーバー３００のハードウェア構成］
図４は、認証サーバー３００のハードウェア構成を示す図である。認証サーバー３００は、一実現例では、汎用のコンピューターによって実現され得る。

図４に示されるように、認証サーバー３００は、主な構成要素として、ＣＰＵ３０１、ＲＡＭ３０２、記憶装置３０３、ディスプレイ３０４、入力装置３０５、ＮＩＣ３０６、および、タイマー回路３０７を含む。図４に示された各要素は、内部バスによって互いに接続されている。

ＣＰＵ３０１は、認証サーバー３００の動作を制御する。ＲＡＭ３０２は、ＣＰＵ３０１における処理実行時のワークエリアとして機能する。記憶装置３０３は、ＣＰＵ３０１が実行する各種のプログラムおよびプログラムの実行に利用されるデータを格納する不揮発性記憶装置である。記憶装置３０３は、たとえばＨＤＤまたはＳＳＤによって実現されるが、これらに限定されない。

ディスプレイ３０４は、ＣＰＵ３０１によって実行されるプログラムの処理結果を示す画像を表示するための表示装置である。

入力装置３０５は、一実現例では、キーボードや操作キー、および／または、タッチセンサーによって実現される。入力装置３０５は、情報の入力を受け付けると、当該情報をＣＰＵ３０１へ送る。

ＮＩＣ３０６は、認証サーバー３００をネットワークを介して他の装置（ＭＦＰ１００など）と通信させる通信インターフェースである。

タイマー回路３０７は、時間を計測するための電気回路である。ＣＰＵ３０１は、タイマー回路３０７による時間の計測結果を取得する。

［ユーザー情報データベースのデータ構造］
図５は、ユーザー情報データベースのデータ構造を示す図である。ユーザー情報データベースは、ユーザーの認証に利用され、たとえばＭＦＰ１００の記憶装置１０９に格納され得る。

図５に示されるように、ユーザー情報データベースは、「ユーザー名」「パスワード」「ＯＴＰ送信宛先」「ＯＴＰ」「ＯＴＰ計時開始日時」および「有効期限」を互いに関連付けて格納する。

「ユーザー名」は、各ユーザーを識別する情報である。「パスワード」は、ユーザーごとに割り当てられ、各ユーザーの認証のために利用される情報である。「ＯＴＰ送信宛先」は、ユーザーごとの、ＯＴＰを送信される宛先（メールアドレスなど）を規定する情報である。「ＯＴＰ」は、各ユーザーに発行されたＯＴＰを規定する情報である。「ＯＴＰ計時開始日時」は、ＯＴＰの有効期限の計測が開始されたタイミングを規定する情報である。「有効期限」は、「ＯＴＰ計時開始日時」として特定されたタイミングからのＯＴＰの有効期限の時間の長さを規定する情報である。

一実現例では、ＭＦＰ１００の利用を許可されているユーザーには、「ユーザー名」「パスワード」および「ＯＴＰ送信宛先」が登録され、さらに、ユーザーに対してＯＴＰが生成されると、「ＯＴＰ」「ＯＴＰ計時開始日時」および「有効期限」が登録される。

ここで、図５に示された値の意味の具体例を説明する。

図５の例では、「ユーザー名」の一例として「User0001」が、「パスワード」の一例として「Pass0001」が、「ＯＴＰ送信宛先」の一例として「u001@company.com」が、「ＯＴＰ」の一例として「728951」が、「ＯＴＰ計時開始日時」の一例として「2019/10/31_9:21:05」が、そして、「有効期限」の一例として「１０分」が、それぞれ登録されている。

上記の例は、「User0001」によって特定されるユーザーについて、「Pass0001」というパスワードが登録されていることを意味する。したがって、当該ユーザーは、ＭＦＰ１００に、ユーザー名として「User0001」を入力し、パスワードとして「Pass0001」を入力することにより、画像処理システムにおいて認証され、ＭＦＰ１００を利用し得る。

また、上記の例は、「User0001」によって特定されるユーザーに対してＯＴＰとして文字列「728951」が発行されたことを意味し、また、当該ＯＴＰは２０１９年１０月３１日の９時２１分０５秒（ＯＴＰ計時開始日時）から１０分間（有効期限）有効であることを意味する。したがって、当該ユーザーは、２０１９年１０月３１日の９時３１分０５秒までに、ユーザー名として「User0001」を入力し、パスワードとして「Pass0001」またはＯＴＰとして「728951」を入力することにより、画像処理システムにおいて認証され、ＭＦＰ１００を利用し得る。

また、上記の例は、ＯＴＰの通知が「u001@company.com」（ＯＴＰ送信宛先）を宛先としたＯＴＰの送信によって実現されたことを意味する。

図５の例では、「ユーザー名」の他の例として「User0002」が、「パスワード」の他の例として「Pass0002」が、「ＯＴＰ送信宛先」の他の例として「u002@company.com」が、それぞれ登録されている。図５の例では、「User0002」によって特定されるユーザーについては、「ＯＴＰ」「ＯＴＰ計時開始日時」および「有効期限」の値は登録されていない。「ＯＴＰ」「ＯＴＰ計時開始日時」および「有効期限」の値は、ＯＴＰが送信されたことに応じて登録される値である。すなわち、図５に示された状態では、「User0002」によって特定されるユーザーには、まだＯＴＰが送信されていない。

［ＯＴＰを利用したユーザー認証の概要］
図６は、第１の実施の形態におけるユーザー認証の概要を示す図である。図６の左側には、ＭＦＰ１００および情報処理装置２００に加えて、認証の対象となるユーザーが「ユーザー４００」として示されている。図６の右側には、ＯＴＰを利用したユーザー４００の認証において、ＭＦＰ１００と情報処理装置２００のそれぞれが実行する処理の概略的な流れが示されている。

まず、ＭＦＰ１００は、ステップＳＡ１として示されるようにログイン画面を表示し、ユーザーからの認証用の情報の入力を待つ。

図７は、ログイン画面の一例を示す図である。一実現例では、図７に示されたログイン画面５００は、ＭＦＰ１００のディスプレイ１２１に表示される。ログイン画面５００は、入力欄５０１，５０２、キー５０３、および、リンク５０４を含む。入力欄５０１は、ユーザー名の入力を受け付ける。入力欄５０２は、パスワードまたはＯＴＰの入力を受け付ける。キー５０３は、ユーザー名（入力欄５０１に入力される）およびパスワードまたはＯＴＰ（入力欄５０２に入力される）を用いた認証（ログイン）の要求を受け付ける。リンク５０４は、ＯＴＰの送信の要求を受け付ける。

図６に戻って、ステップＳＢ１として示されるように、情報処理装置２００を利用しているユーザー４００が、ＭＦＰ１００を利用するためにＭＦＰ１００に近づく。

ステップＳＢ２として示されるように、ＭＦＰ１００に近づいたユーザー４００は、ＭＦＰ１００にユーザー名を入力する。ユーザー４００は、パスワードを失念した等の理由から、ステップＳＢ３として示されるように、ＭＦＰ１００にＯＴＰの送信の要求を入力する。ＯＴＰの送信の要求は、一時認証の要求の一例である。

一実現例では、ユーザー名はログイン画面５００の入力欄５０１に入力され、ＯＴＰの送信の要求の入力はリンク５０４に対する操作によって完了する。他の例では、ＯＴＰの送信の要求の入力は、リンク５０４が操作された場合に、当該操作によって表示される画面（ＯＴＰ送信要求画面）に対する操作によって完了する。

図８は、ＯＴＰ送信要求画面の一例を示す図である。一実現例では、図８に示されたＯＴＰ送信要求画面５１０は、ＭＦＰ１００のディスプレイ１２１に表示されてる。ＯＴＰ送信要求画面５１０は、入力欄５１１およびキー５１２，５１３を含む。入力欄５１１は、ユーザー名の入力を受け付ける。キー５１２は、ＯＴＰの送信の要求を受け付ける。キー５１３は、ディスプレイの表示をログイン画面５００に戻す要求を受け付ける。

ＭＦＰ１００は、ＯＴＰの送信の要求に応じて、ＯＴＰを生成し、生成されたＯＴＰを入力欄５１１に入力されたユーザー名に関連付けられた宛先に向けて送信する。この宛先は、たとえば、ユーザー情報データベースにおいてユーザー名に関連付けられたＯＴＰ送信宛先である。なお、ＭＦＰ１００は、入力欄５１１（図７）に、入力欄５０１（図６）に入力されたユーザー名を表示してもよい。これにより、ユーザーは、入力欄５０１に入力したユーザー名を再度入力欄５１１に入力する必要がない。

図６に戻って、ステップＳＡ２として示されるように、ＭＦＰ１００は、ＯＴＰの送信の要求を受け付けると、入力欄５０１または入力欄５１１に入力されたユーザー名によって特定されるユーザー４００のＯＴＰを生成し、生成されたＯＴＰを当該ユーザー４００に関連付けられた宛先に向けて送信する。ＭＦＰ１００は、ＯＴＰの送信を報知してもよい。

図９は、ＯＴＰの送信を報知するための画面（ＯＴＰ送信報知画面）の一例を示す図である。一実現例では、図９に示されたＯＴＰ送信報知画面５２０は、タイトル「ＯＴＰ送信」と、メッセージ「あなたの登録アドレス宛にワンタイムパスワードを送信しました。送信したワンタイムパスワードでログインしてください。」とを含む。ＯＴＰ送信報知画面５２０は、さらにキー５２１を含む。ＭＦＰ１００は、キー５２１に対して操作されることに応じて、ディスプレイ１２１の表示をログイン画面５００に戻す。

なお、ＭＦＰ１００は、ＯＴＰの送信に失敗した場合、当該失敗を報知してもよい。この場合、ＭＦＰ１００は、たとえば、タイトル「ＯＴＰの送信失敗」と、メッセージ「あなたの登録アドレス宛にはワンタイムパスワードを送信できませんでした。他のアドレスを登録してください。」とを含む画面（ＯＴＰ送信失敗画面）を表示してもよい。ユーザー４００は、ＯＴＰ送信失敗画面が表示されたことに応じて、ユーザー情報データベースに、ＯＴＰ送信宛先として別の宛先を送信し得る。

図６に戻って、ステップＳＣ１として示されるように、情報処理装置２００は、たとえばメーラーを利用して、送信されたＯＴＰを受信する。情報処理装置２００によるＯＴＰの受信は、ユーザーの操作に基づくプル型であってもよいし、ネットワークサーバーなどの外部機器からの能動的な送信に基づくプッシュ型であってもよいし、ポーリングによる擬似的なプッシュ型であってもよい。

一方、ステップＳＢ４として示されるように、ユーザー４００は、ＯＴＰの送信を要求（ステップＳＢ３）した後、自席に戻る。そして、ユーザー４００は、ステップＳＢ５として示されるように、自席の情報処理装置２００に対してＯＴＰの表示を指示する。たとえば、ユーザー４００は、情報処理装置２００のメーラーを利用して、ＯＴＰを含むメール文をディスプレイ２０４に表示することを指示する。ユーザー４００の指示に応じて、情報処理装置２００は、ステップＳＣ２として示されるように、ＯＴＰをディスプレイ２０４に表示する。

ステップＳＢ６として示されるように、ユーザー４００は、情報処理装置２００に表示されたＯＴＰを確認する。このとき、ユーザー４００は、ＭＦＰ１００まで戻る間にＯＴＰを忘れないように、ＯＴＰをメモ用紙に書き写してもよい。

その後、ユーザー４００は、ステップＳＢ７として示されるように、ＭＦＰ１００に戻り、そして、ステップＳＢ８として示されるように、ユーザー名とＯＴＰとをＭＦＰ１００に入力する。ＭＦＰ１００に既にユーザー名が入力されている場合には、ステップＳＢ８におけるユーザー名の入力は省略され得る。

図６では、ユーザー４００がＯＴＰの送信の要求をＭＦＰ１００に入力してから、ユーザー４００が情報処理装置２００でＯＴＰを確認してＭＦＰ１００に戻るまでの時間が、時間ＴＡとして示されている。ＯＴＰの有効期限は、少なくとも時間ＴＡより長くされることが好ましい。

ＭＦＰ１００は、ステップＳＡ３として示されるように、入力されたユーザー名およびＯＴＰを利用してユーザー認証を実行する。ＭＦＰ１００は、ユーザー認証に成功すると、ステップＳＡ４として示されるように、ＭＦＰ１００のディスプレイ１２１にトップメニュー画面を表示する。これにより、ＭＦＰ１００は利用可能な状態になる。

ユーザー認証の成功は、ユーザーが入力したユーザー名とパスワード（またはＯＴＰ）の組合せが、ユーザー情報データベースにおいて登録されたユーザー名とパスワード（または（ＯＴＰ）の組合せと一致したことを意味する。ユーザー認証が成功すると、ユーザーは、ＭＦＰ１００にログインでき、ＭＦＰ１００を利用できる。

ユーザー認証の失敗は、ユーザーが入力したユーザー名とパスワード（またはＯＴＰ）の組合せが、ユーザー情報データベースにおいて登録されたユーザー名とパスワード（または（ＯＴＰ）の組合せと一致しなかったことを意味する。この場合、ユーザーは、ＭＦＰ１００にログインできず、ＭＦＰ１００を利用できない。

図１０は、トップメニュー画面の一例を示す図である。図１０に示されるトップメニュー画面５３０は、ＭＦＰ１００にコピージョブなどのジョブを指示するための種々の設定項目（カラー、用紙、倍率、など）を含む。

トップメニュー画面５３０は、コピージョブにおけるコピー部数を示す欄５３１を含む。ＭＦＰ１００におけるコピー部数の初期値は「１」である。ＭＦＰ１００は、ユーザーからコピー部数の設定を受け付けると、設定された値を記憶装置１０９等のメモリーに格納し、また、設定された値を欄５３１に表示する。たとえば、コピー部数の設定値として「３」が入力されると、ＭＦＰ１００は、記憶装置１０９にコピー部数の設定値として「３」を格納し、また、欄５３１に表示される数字を「１」から「３」に変更する。

ＭＦＰ１００は、無操作時間がオートリセット機能について設定された「一定時間」以上継続すると、ユーザーから入力された設定値を初期値に戻す。コピー部数の設定値として「３」が入力された後、無操作時間が上記一定時間以上継続すると、ＭＦＰ１００は、記憶装置１０９におけるコピー部数の設定値を初期値である「１」に戻すとともに、欄５３１に表示される数字を「３」から「１」に戻す。なお、「コピー部数」は、設定される項目の単なる一例である。

本実施の形態では、ユーザー４００によるＯＴＰの送信要求後、ユーザー４００がＭＦＰ１００から離れた場合、ＭＦＰ１００においてユーザー４００から入力された情報の表示が抑制される。抑制の一例が図１１をさらに参照して説明される。

図１１は、ログイン画面における入力欄５０１の表示の一例を示す図である。図１１に示されたログイン画面５００Ａは、入力欄５０１に、（図７のステップＳＢ２においてユーザー４００が入力した）ユーザー名を表示する。その後、ＭＦＰ１００では、ユーザー４００がＭＦＰ１００から離れたことが検知された場合、入力欄５０１からユーザー名の表示が消去される。すなわち、ログイン画面の表示が、図１１のログイン画面５００Ａから図７のログイン画面５００に戻される。なお、ユーザー４００がＭＦＰ１００から離れたことが検知された場合、入力欄５０１に表示されていたユーザー名の少なくとも一部が消去されれば良い。たとえば、ユーザー名「User0001」のうち「User」は複数のユーザーに共通する文字列であり、「0001」がユーザー固有の文字列である場合、「0001」の表示のみが消去され、「User」の表示は入力欄５０１において維持されてもよい。

図１２は、ログイン画面における入力欄５０１の表示の他の例を示す図である。抑制の他の例が図１２をさらに参照して説明される。

図１２に示されたログイン画面５００Ｂは、入力欄５０１に、ユーザー名として想定される文字列（たとえば、単語「User」を含む文字列）とは異なる文字列（abcdefg）を表示する。「異なる文字列」は、予め定められていてもよいし、表示の時点でランダムに設定されてもよい。

一実現例では、ＭＦＰ１００は、ユーザー４００からのユーザー名の入力に応じて、図１１に示されたように、入力欄５０１に、入力されたユーザー名を表示する。その後、ユーザー４００がＭＦＰ１００から離れたことが検知されると、ＭＦＰ１００は、図１２に示されるように、入力欄５０１における表示を他の文字列によって置換する。

図１２に示されたように入力欄５０１に代わりの文字列が表示されることにより、ユーザー４００がＭＦＰ１００から離れている間に他のユーザー（ユーザー４００以外のユーザー）がユーザー４００によって入力された文字列を視認することが回避されることに加えて、他のユーザーに対していずれかのユーザーがＯＴＰの確認のためにＭＦＰ１００を離れている最中であることを認識させることができる。なお、ユーザー４００がＭＦＰ１００から離れたことが検知された場合、入力欄５０１に表示されていたユーザー名の少なくとも一部が他の文字列によって置換されれば良い。たとえば、上記の例において、文字列「User」の表示は維持され、文字列「0001」のみが他の文字列と置換されてもよい。

図１３は、ディスプレイ１２１に表示されるスクリーンセーバー画面の一例を示す図である。抑制のさらに他の例が図１３をさらに参照して説明される。

図１３のスクリーンセーバー画面５４０は、ユーザー名を特定する文字列を含まない。ＭＦＰ１００では、ユーザー４００がＭＦＰ１００から離れたことが検知された場合、ディスプレイ１２１の表示が図１１のログイン画面５００Ａから図１３のスクリーンセーバー画面５４０に変更され得る。

［処理の流れ］
図１４～図１６は、ＯＴＰによるユーザー認証のためにＭＦＰ１００において実行される処理のフローチャートである。ＭＦＰ１００では、たとえば電源が投入されたことにより図１４～図１６に示された処理が開始される。ＭＦＰ１００は、たとえばＣＰＵ１１１が所与のプログラムを実行することによって、図１４～図１６に示された処理を実行する。

図１４を参照して、ＭＦＰ１００に電源が投入されると、ステップＳ４０１にて、ＭＦＰ１００は、ＭＦＰ１００の初期化処理を実行する。

ステップＳ４０３にて、ＭＦＰ１００は、ディスプレイ１２１にログイン画面を表示する。

ステップＳ４０５にて、ＭＦＰ１００は、ログアウトの要求を受け付けたか否かを判断する。一実現例では、ログアウトとは、ユーザーの認証を解消することを意味する。ＭＦＰ１００は、ログアウトの要求を受け付けたと判断すると（ステップＳ４０５にてＹＥＳ）、ステップＳ４０３へ制御を戻す。これにより、ディスプレイ１２１の表示がログイン画面に戻される。一方、ＭＦＰ１００は、ログアウトの要求を受け付けていないと判断すると（ステップＳ４０５にてＮＯ）、ステップＳ４０７へ制御を進める。

ステップＳ４０７にて、ＭＦＰ１００は、ＯＴＰの送信の要求を受け付けたか否かを判断する。ＭＦＰ１００は、ＯＴＰの送信の要求を受け付けたと判断すると（ステップＳ４０７にてＹＥＳ）、ステップＳ４３１へ制御を進め、そうでなければ（ステップＳ４０７にてＮＯ）、ステップＳ４０９（図１５）へ制御を進める。

ステップＳ４３１にて、ＭＦＰ１００は、ＯＴＰを送信する宛先が特定可能であるか否かを判断する。この判断は、たとえば、ユーザー情報データベースが、ＯＴＰの送信の要求に含まれるユーザー名に関連付けられた「ＯＴＰ送信宛先」として何らかの値を格納しているか否か、または、格納されている値が所与の形式に従った値（たとえば、メールアドレスの形式に従った値）であるか否かに基づいて実現される。

ＭＦＰ１００は、ＯＴＰを送信する宛先が特定可能であると判断すると（ステップＳ４３１にてＹＥＳ）、ステップＳ４３３へ制御を進め、そうでなければ（ステップＳ４３１にてＮＯ）、ステップＳ４４５へ制御を進める。

ステップＳ４４５にて、ＭＦＰ１００は、ＯＴＰの送信ができないことをディスプレイ１２１に表示する。当該表示は、たとえば、ＯＴＰ送信失敗画面の表示により実現される。その後、ＭＦＰ１００はステップＳ４０５へ制御を戻す。このとき、ディスプレイ１２１の表示はログイン画面に戻されてもよい。

なお、ＭＦＰ１００は、ステップＳ４３１にて、ＯＴＰの送信に必要な情報のすべてが入力および登録されているか否かを判断してもよい。そして、ＭＦＰ１００は、すべての情報が入力または登録されていると判断するとステップＳ４３３へ制御を進め、少なくとも一部の情報が入力または登録されていないと判断するとステップＳ４４５へ制御を進めてもよい。たとえば、ＯＴＰの送信要求の際にＭＦＰ１００にユーザー名が入力されていなければ、ＭＦＰ１００は、ステップＳ４４５にて、ユーザー名が入力されていないことを報知する画面をディスプレイ１２１に表示してもよい。

ステップＳ４３３にて、ＭＦＰ１００は、ＯＴＰの送信の要求の際に入力されたユーザー名について、ＯＴＰを生成する。

ステップＳ４３５にて、ＭＦＰ１００は、ステップＳ４３３にて生成されたＯＴＰをユーザー情報データベースに登録する。このとき、ＭＦＰ１００は、ユーザー情報データベースに、さらに、当該ＯＴＰに関連付けられた「有効期限」を登録してもよい。

一実現例では、ＭＦＰ１００は、有効期限として予め定められた値（たとえば、５分）を設定し、当該値を「有効期限」として設定してもよい。

他の実現例では、ＭＦＰ１００は、認証対象のユーザーが使用する端末の種類を特定する情報を取得し、特定された種類に関連付けられた「有効期限」の値を取得し、そして、取得された「有効期限」の値をユーザー情報データベースに「有効期限」として登録してもよい。端末の種類の一例は「個人ＰＣ」であり、他の例は「携帯端末」である。端末の種類が「個人ＰＣ」である場合は、「携帯端末」であるよりも、「有効期限」としてより長い時間が設定されてもよい。より具体的には、「携帯端末」である場合は、ユーザーは、携帯端末を携帯しながらＭＦＰ１００に対してＯＴＰの送信を要求し、そのまま、当該携帯端末でＯＴＰを確認する可能性がある。一方、「個人ＰＣ」である場合、ユーザーは、ＭＦＰ１００に対してＯＴＰの送信を要求した後、ＭＦＰ１００から当該個人ＰＣまで移動してＯＴＰを確認する可能性がある。すなわち、後者の場合は前者の場合よりもユーザーがＯＴＰの確認に要する時間が長くなる状況が想定される。端末の種類に応じて有効期限の時間の長さが設定されることにより、ＯＴＰの確認に要することが想定される必要最小限の時間が有効期限として設定され得る。

ステップＳ４３７にて、ＭＦＰ１００は、ステップＳ４３３にて生成されたＯＴＰを、ＯＴＰの送信の要求の際に入力されたユーザー名に関連付けられた宛先（ＯＴＰ送信宛先）に向けて送信する。

ステップＳ４３９にて、ＭＦＰ１００は、ＯＴＰの有効期限の計測を開始する。より具体的には、ＭＦＰ１００は、ユーザー情報データベースにおいて、現在の日時を、ステップＳ４３３にて生成されたＯＴＰの「ＯＴＰ計時開始日時」として登録する。ステップＳ４３９の制御によって、ＯＴＰが送信されたときが、ＯＴＰの有効期限の開始の起点となる。

ステップＳ４４１にて、ＭＦＰ１００は、ＯＴＰの送信を要求したユーザーの画像を記憶装置１０９に登録する。ＭＦＰ１００がＯＴＰの送信を要求したユーザーの画像を取得する一例には、操作パネル１２０近傍を撮影するカメラの画像が利用される。この場合、画像処理システムは、操作パネル１２０近傍を撮影するカメラをさらに含み、ＭＦＰ１００は、当該カメラと接続されている。ＭＦＰ１００は、ステップＳ４０７にてＯＴＰの送信の要求を受け付けたと判断したときに（ステップＳ４０７にてＹＥＳ）、カメラから撮像画像を取得し、当該撮像画像から人物の画像を抽出する。人物の画像の抽出は、たとえばパターン認識技術を用いて実現され得る。ＭＦＰ１００は、抽出された人物の画像を、ＯＴＰの送信を要求したユーザーの画像として登録する。

ステップＳ４４３にて、ＭＦＰ１００は、ＯＴＰ送信結果をディスプレイ１２１に表示する。ＯＴＰ送信報知画面５２０は、ＯＴＰ送信結果の一例である。その後、ＭＦＰ１００はステップＳ４０５へ制御を戻す。このとき、ＭＦＰ１００は、ディスプレイ１２１における表示をログイン画面に戻してもよい。

図１５を参照して、ステップＳ４０９にて、ＭＦＰ１００は、ステップＳ４３７におけるＯＴＰの送信先に関連付けられたユーザーがＭＦＰ１００から離れたか否かを判断する。一実現例では、ＭＦＰ１００は、人感センサー１０６が当該人感センサー１０６の近傍に赤外線を出力する物体を検知しなくなったことに基づいて、ユーザーがＭＦＰ１００から離れたことを検知してもよい。一実現例では、ＭＦＰ１００は、カメラ１５０によって撮影される画像が、ステップＳ４４１において画像を登録されているユーザーを含まないことが検知されたことに基づいて、ユーザーがＭＦＰ１００から離れたことを検知してもよい。一実現例では、ＭＦＰ１００は、人感センサー１０６が近傍に赤外線を出力する物体を検知しなくなり、かつ、カメラ１５０の撮像画像が上記ユーザーを含まないことが検知されたことにより、ユーザーがＭＦＰ１００から離れたことを検知してもよい。

ＭＦＰ１００は、上記ユーザーがＭＦＰ１００から離れたと判断すると（ステップＳ４０９にてＹＥＳ）、ステップＳ４５１へ制御を進め、そうでなければ（ステップＳ４０９にてＮＯ）、ステップＳ４１１へ制御を進める。

ステップＳ４１１にて、ＭＦＰ１００は、ステップＳ４３７におけるＯＴＰの送信先に関連付けられたユーザーのＯＴＰ確認中に、当該ユーザーとは他のユーザーがＭＦＰ１００に操作しに来たか否かを判断する。一実現例では、人感センサー１０６が一度物体を検知しなくなった後で物体を検知し、かつ、カメラ１５０の撮像画像がステップＳ４４１において画像を登録されたユーザーとは異なるユーザーを含むことを検知したことに基づいて、上記他のユーザーがＭＦＰ１００に操作しに来たと判断する。

ＭＦＰ１００は、上記他のユーザーがＭＦＰ１００に操作しに来たと判断すると（ステップＳ４１１にてＹＥＳ）、ステップＳ４５１へ制御を進め、そうでなければ（ステップＳ４１１にてＮＯ）、ステップＳ４１３へ制御を進める。

ステップＳ４１３にて、ＭＦＰ１００は、ＯＴＰの送信先に関連付けられたユーザーのＯＴＰ確認中に、ＭＦＰ１００が接続しているネットワークを介して、プリントジョブまたはファクシミリ文書を受信したか否かを判断する。ＭＦＰ１００は、プリントジョブまたはファクシミリ文書を受信したと判断すると（ステップＳ４１３にてＹＥＳ）、ステップＳ４５１へ制御を進め、そうでなければ（ステップＳ４１３にてＮＯ）、ステップＳ４１５へ制御を進める。ここで、プリントジョブおよびファクシミリ文書のそれぞれは、用紙の出力を伴う（用紙の出力をＭＦＰ１００に指示する）データの一例として挙げられる。

ステップＳ４１５にて、ＭＦＰ１００は、ステップＳ４３７におけるＯＴＰの送信先に関連付けられたユーザーのＯＴＰ確認中に、ＭＦＰ１００が接続されているネットワーク上の他の画像形成装置においてトラブル（たとえば、通信異常、ペーパージャム、ペーパーエンプティー、または、トナー（もしくはインク）エンプティーなどによる動作停止）が発生しているか否かを判断する。ＭＦＰ１００は、たとえば既存の通信技術を利用することにより、ネットワーク上の他の画像形成装置の状態を検知することができる。

ＭＦＰ１００は、ネットワーク上の他の画像形成装置においてトラブルが発生していると判断すると（ステップＳ４１５にてＹＥＳ）、ステップＳ４５１へ制御を進め、そうでなければ（ステップＳ４１５にてＮＯ）、ステップＳ４１７へ制御を進める。

ステップＳ４５１にてＭＦＰ１００は、ディスプレイ１２１に表示されたユーザー名（たとえば、ログイン画面の入力欄５０１に表示されたユーザー名）の表示を、図７および図１１～図１３を参照して説明されたように抑制する（マスクする）。その後、ＭＦＰ１００はステップＳ４０５へ制御を戻す。

本実施の形態では、ステップＳ４０９～ステップＳ４１５およびステップＳ４５１により、ＭＦＰ１００は、ＯＴＰ送信後、ＯＴＰの送信先のユーザー以外のユーザーがＭＦＰ１００を操作する可能性を高くする事象が発生したことに応じて、ディスプレイ１２１におけるユーザー名の少なくとも一部の表示を抑制する。なお、ＭＦＰ１００は、ステップＳ４０９～ステップＳ４１５の少なくとも１つの事象が発生したことに応じてユーザー名の表示の少なくとも一部の表示を抑制する。したがって、ＭＦＰ１００において実行される処理は、ステップＳ４０９～ステップＳ４１５の中の少なくとも１つを含んでいれば、これらの全てを含む必要はない。

一方、ステップＳ４１７にて、ＭＦＰ１００は、ステップＳ４３７におけるＯＴＰの送信先のユーザーがＭＦＰ１００に戻ったか否かを判断する。一実現例では、ＭＦＰ１００は、ステップＳ４３７におけるＯＴＰの送信後、一旦人感センサー１０６が動体を検出しなくなった後、再度動体を検知したこと、および、カメラ１５０の撮像画像がステップＳ４４１において画像を登録されたユーザーを含むことを検知したことに基づき、上記ユーザーがＭＦＰ１００に戻ったと判断する。

ＭＦＰ１００は、上記ユーザーがＭＦＰ１００に戻ったと判断すると（ステップＳ４１７にてＹＥＳ）、ステップＳ４５５へ制御を進め、そうでなければ（ステップＳ４１７にてＮＯ）、ステップＳ４１９（図１６）へ制御を進める。

ステップＳ４５５にて、ＭＦＰ１００は、ステップＳ４５１におけるユーザー名のマスクを解除する。これにより、ログイン画面が表示される場合、図１１に示されたように、入力欄５０１における、ユーザーから入力されていたユーザー名の表示が再開される。その後、ＭＦＰ１００はステップＳ４０５へ制御を戻す。

図１６を参照して、ステップＳ４１９にて、ＭＦＰ１００は、ログインの要求を受け付けたか否かを判断する。ＭＦＰ１００は、たとえばキー５０３（図７）を操作されることにより、ログインの要求を受け付ける。ＭＦＰ１００は、ログインの要求を受け付けたと判断すると（ステップＳ４１９にてＹＥＳ）、ステップＳ４６１へ制御を進め、そうでなければ（ステップＳ４１９にてＮＯ）、ステップＳ４２１へ制御を進める。

ステップＳ４６１にて、ＭＦＰ１００は、ログインの要求において入力された、ユーザー名とパスワードの組合せまたはユーザー名とＯＴＰの組合せが、ユーザー情報データベースにおいて登録されている組合せと一致するか否かを判断する。ＭＦＰ１００は、一致すると判断すると（ステップＳ４６１にてＹＥＳ）、ステップＳ４６３へ制御を進め、そうでなければ（ステップＳ４６１にてＮＯ）、ステップＳ４７１へ制御を進める。

ステップＳ４７１にて、ＭＦＰ１００は、ユーザー認証の失敗をディスプレイ１２１に表示し、その後、ステップＳ４０５へ制御を戻す。ＭＦＰ１００は、ユーザー認証の失敗の表示の後、ディスプレイ１２１における表示をログイン画面に戻してもよい。

ステップＳ４６３にて、ＭＦＰ１００は、ステップＳ４６１において認証に利用された情報がＯＴＰであったか否かを判断する。ＭＦＰ１００は、たとえば、ログインの要求においてユーザー名とともに入力された情報が、ユーザー情報データベースにおける「パスワード」ではなく「ＯＴＰ」と一致したと判断した場合、ステップＳ４６１において認証に利用された情報がＯＴＰであったと判断する。

ＭＦＰ１００は、ユーザー認証に利用された情報がＯＴＰであったと判断すると（ステップＳ４６３にてＹＥＳ）、ステップＳ４６５へ制御を進め、そうでなければ（ステップＳ４６３にてＮＯ）、ステップＳ４６７へ制御を進める。

ステップＳ４６５にて、ＭＦＰ１００は、ＯＴＰの有効期限満了前であるか否かを判断する。ＭＦＰ１００は、ＯＴＰの有効期限がまだ満了していなければ（ステップＳ４６５にてＹＥＳ）、ステップＳ４６７へ制御を進め、そうでなければ（ステップＳ４６５にてＮＯ）、ステップＳ４７１へ制御を進める。

ステップＳ４６７にて、ＭＦＰ１００は、ユーザー認証に利用されたＯＴＰをユーザー情報データベースから消去して、ステップＳ４６９へ制御を進める。これにより、一度認証に利用されたＯＴＰが、再度利用されることが回避される。なお、画像処理システムでは、ＯＴＰは、有効期限を設定されていれば、複数回の認証に利用されるパスワードであってもよい。

ステップＳ４６９にて、ＭＦＰ１００は、トップメニュー画面５３０をディスプレイ１２１に表示した後、ステップＳ４０５へ制御を戻す。

ステップＳ４６１～ステップＳ４７１の制御によって、ログインの要求において、ユーザー情報データベースに登録されたユーザー名とパスワードの組合せが入力されれば（ステップＳ４６１にてＹＥＳ、かつ、ステップＳ４６３にてＮＯ）、ステップＳ４６７にて当該ユーザー名に関連付けられて登録されたＯＴＰがクリアされた後、ステップＳ４６９にてトップメニュー画面５３０が表示される。これにより、ユーザーは、ＭＦＰ１００の利用を許可される。

ログインの要求において、ユーザー情報データベースに登録されたユーザー名とＯＴＰの組合せが入力されれば（ステップＳ４６１にてＹＥＳ、かつ、ステップＳ４６３にてＹＥＳ）、ＯＴＰの有効期限の満了前であることを条件として（ステップＳ４６５にてＹＥＳ）、ステップＳ４６９にてトップメニュー画面５３０が表示される。この場合、ステップＳ４６７にて、ユーザー認証に利用されたＯＴＰがユーザー情報データベースから削除される。これにより、一度ユーザー認証に利用されたＯＴＰがその後も利用されることが回避され得る。

ステップＳ４６９においてトップメニュー画面５３０が表示されることは、ユーザー認証が成功したことを意味する。ステップＳ４７１において認証失敗が表示されることは、ユーザー認証が失敗したことを意味する。

ステップＳ４２１にて、ＭＦＰ１００は、上述の要求（ステップＳ４０５のログアウト、ステップＳ４０７のＯＴＰの送信、および、ステップＳ４１９のログイン）以外の要求を受け付けたか否かを判断する。ステップＳ４２１において判断される要求（以下、「他の要求」ともいう）の一例は、トップメニュー画面５３０に対して入力される要求（コピー枚数の変更の要求など）であり、他の例は、キー操作によるコピージョブの実行開始の要求である。

ＭＦＰ１００は、上記他の要求を受け付けたと判断すると（ステップＳ４２１にてＹＥＳ）、ステップＳ４８１へ制御を進め、そうでなければ（ステップＳ４２１にてＮＯ）、ステップＳ４０５へ制御を戻す。

ステップＳ４８１にて、ＭＦＰ１００は、要求に応じた処理を実行した後、ステップＳ４０５へ制御を戻す。要求に応じた処理の一例は、コピー枚数の変更に応じた、トップメニュー画面５３０の更新およびコピージョブの設定更新である。すなわち、ＭＦＰ１００は、ユーザーがＭＦＰ１００にログインした後は、ステップＳ４８１にてユーザーからの要求に応じた処理を実行する。また、ＭＦＰ１００は、ログイン前のユーザー名の入力を、ステップＳ４８１にて受け付ける。

以上説明された本実施の形態では、ＯＴＰの送信後、ＯＴＰの送信先のユーザー以外のユーザーがＭＦＰ１００を操作する可能性を高くする事象が発生したことに応じて、ＭＦＰ１００は、ディスプレイ１２１上のユーザー名の少なくとも一部の表示を抑制する。より具体的には、ＭＦＰ１００は、ユーザー４００（図６）からの要求に応じて、ユーザー４００に関連付けられた宛先に向けてＯＴＰを送信し、その後、ユーザー４００以外のユーザーがＭＦＰ１００を操作する可能性を高くする事象が発生したことに応じて、ディスプレイ１２１におけるユーザー４００のユーザー名の少なくとも一部の表示を抑制する。これにより、ＯＴＰ確認のためなどにＯＴＰの送信先のユーザーがＭＦＰ１００から離れている間に当該ユーザーのユーザー名を他のユーザーが見て、当該ユーザー名を用いた「なりすまし」によって不正にＭＦＰ１００（またはネットワーク上の他の機器）を利用する事態が回避され得る。

なお、ステップＳ４５５（図１５）において説明されたように、ＭＦＰ１００は、ユーザー名の表示を、ＯＴＰの送信先のユーザーがＭＦＰ１００に戻ったことに応じて復活させる。ここで、ユーザー名の表示の抑制として図１３を参照して説明されたようなスクリーンセーバーが表示される場合、ユーザー名の復帰方法に変更が加えられても良い。

たとえば、ステップＳ４１７において、ＭＦＰ１００は、ＯＴＰの送信先のユーザーがＭＦＰ１００に戻ったか否かを判断する代わりに、スクリーンセーバーの解除を解除する操作およびユーザー名を入力する操作があったか否かを判断してもよい。ＭＦＰ１００は、そのような２つの操作の双方または少なくとも一方がないと判断するとステップＳ４１９（図１６）へ制御を進める。

一方、ＭＦＰ１００は、上記２つの操作の双方があったと判断した場合、入力されたユーザー名が、ステップＳ４５１において表示を抑制したユーザー名と一致するか否かを判断する。

スクリーンセーバーの解除のための操作とともに入力されたユーザー名がステップＳ４５１において表示を抑制されたユーザー名と一致する場合には、ＭＦＰ１００は、ディスプレイ１２１において、抑制していたユーザー名の表示を復活させる。これにより、ログイン画面５００の入力欄５０１には、表示を抑制されていたユーザー名が再度表示される。その後、ＭＦＰ１００はステップＳ４０５へ制御を戻す。

一致しない場合には、ＭＦＰ１００は、ディスプレイ１２１に、表示を抑制されていたユーザー名ではなく、スクリーンセーバーの解除のための操作とともに入力されたユーザー名を表示する。これにより、ログイン画面の入力欄５０１には、新たに入力されたユーザー名が表示される。その後、ＭＦＰ１００はステップＳ４０５へ制御を戻す。これにより、第１のユーザーがＯＴＰの確認のためにＭＦＰ１００から離れた場合、ＭＦＰ１００は、第２のユーザーに第１のユーザーのユーザー名を見せることなく、ＭＦＰ１００を利用するための操作を許容し得る。

＜第２の実施の形態＞
第２の実施の形態の画像処理システムは、図１と同様に、ＭＦＰ１００、情報処理装置２００、および、認証サーバー３００を含む。第２の実施の形態では、認証サーバー３００がユーザー認証の少なくとも一部を実行する。ＭＦＰ１００の制御部１１０は、第１のコントローラーの一例であり、認証サーバー３００のＣＰＵ３０１は第２のコントローラーの一例である。ユーザー情報データベース（図５）は、認証サーバー３００の記憶装置３０３に格納される。

［ＯＴＰを利用したユーザー認証の概要］
図１７は、第２の実施の形態におけるＯＴＰを利用したユーザー認証の概要を示す図である。図１７は、図６と同様に、ＭＦＰ１００、情報処理装置２００、およびユーザー４００が示す。なお、図１７には、ＭＦＰ１００および情報処理装置２００のそれぞれにおける処理に加えて、認証サーバー３００における処理が示される。

図１７を参照して、ＭＦＰ１００は、ステップＳＡ１として示されるようにログイン画面を表示し、ユーザーからの認証用の情報の入力を待つ。

情報処理装置２００を利用しているユーザー４００は、ステップＳＢ１として示されるように、ＭＦＰ１００を利用するためにＭＦＰ１００に近づく。

ステップＳＢ２として示されるように、ＭＦＰ１００に近づいたユーザー４００は、ＭＦＰ１００にユーザー名を入力する。ユーザー４００は、パスワードを失念した等の理由から、ステップＳＢ３として示されるように、ＯＴＰの送信を要求する。

ＭＦＰ１００は、ステップＳＡ１１として示されるように、ユーザー４００からのＯＴＰの送信の要求に応じて、認証サーバー３００にユーザー４００のＯＴＰの送信を要求する。このとき、ＭＦＰ１００は、ユーザー４００のユーザー名を認証サーバー３００に通知する。

認証サーバー３００は、ステップＳＣ１において、ＭＦＰ１００からの要求に応じて、ユーザー４００のＯＴＰを生成し、生成されたＯＴＰをユーザー４００のユーザー名に関連付けられた宛先に向けて送信する。この宛先は、たとえば、ユーザー情報データベースにおいてユーザー名に関連付けられたＯＴＰ送信宛先である。

認証サーバー３００は、ステップＳＡ１２において、ＯＴＰの送信の完了をＭＦＰ１００に通知する。この通知に応じて、ＭＦＰ１００は、ＯＴＰ送信報知画面（図１０）をディスプレイ１２１に表示してもよい。

情報処理装置２００は、ステップＳＣ１として示されるように、たとえばメーラーを利用して、送信されたＯＴＰを受信する。

一方、ユーザー４００は、ステップＳＢ４として示されるように、ＯＴＰの送信を要求（ステップＳＢ３）した後、自席に戻る。そして、ユーザー４００は、ステップＳＢ５として示されるように、自席の情報処理装置２００に対してＯＴＰの表示を指示する。

情報処理装置２００は、ステップＳＣ２として示されるように、ユーザー４００の指示に応じて、ディスプレイ２０４にＯＴＰを表示する。

ユーザー４００は、ステップＳＢ６として示されるように、情報処理装置２００に表示されたＯＴＰを確認する。

その後、ユーザー４００は、ステップＳＢ７として示されるように、ＭＦＰ１００に戻り、そして、ステップＳＢ８として示されるように、ユーザー名とＯＴＰとをＭＦＰ１００に入力する。ＭＦＰ１００に既にユーザー名が入力されている場合には、ステップＳＢ８におけるユーザー名の入力は省略され得る。

ＭＦＰ１００は、ステップＳＡ１３として示されるように、入力されたユーザー名およびＯＴＰを利用して、認証サーバー３００に対してユーザー認証を要求する。

認証サーバー３００は、ステップＳＤ２として示されるように、ＭＦＰ１００からの要求に応じてユーザー認証を実行し、ステップＳＤ３として示されるように、ユーザー認証の結果をＭＦＰ１００に通知する。

画像処理システムの第２の実施の形態では、認証サーバー３００によるＯＴＰの送信後、ＭＦＰ１００は、第１の実施の形態と同様に、ＭＦＰ１００が他のユーザーによって利用される可能性を高める事象が発生すると、ディスプレイ１２１におけるユーザー名の表示を抑制する。

［処理の流れ］
図１８～図２３は、第２の実施の形態においてＯＴＰによるユーザー認証のために実行される処理のフローチャートである。図１８～図２３では、図１４～図１６において説明された制御に対応する制御には、図１４～図１６において付されたのと同じ符号（「Ｓ４０１」など）が付されている。図１８，図２０～図２２のそれぞれでは、左側にＭＦＰ１００における処理が示され、右側に認証サーバー３００における処理が示される。図２０および図２３では、ＭＦＰ１００における処理が示される。

図１８を参照して、ＭＦＰ１００に電源が投入されると、ステップＳ４０１にて、ＭＦＰ１００は、ＭＦＰ１００の初期化処理を実行する。

ステップＳ４０３にて、ＭＦＰ１００は、ディスプレイ１２１にログイン画面（図８）を表示する。

ステップＳ４０５にて、ＭＦＰ１００は、ログアウトの要求を受け付けたか否かを判断する。ＭＦＰ１００は、ログアウトの要求を受け付けたと判断すると（ステップＳ４０５にてＹＥＳ）、ステップＳ４０３へ制御を戻す。これにより、ディスプレイ１２１の表示がログイン画面に戻される。一方、ＭＦＰ１００は、ログアウトの要求を受け付けていないと判断すると（ステップＳ４０５にてＮＯ）、ステップＳ４０７へ制御を進める。

ステップＳ４０７にて、ＭＦＰ１００は、ＯＴＰの送信の要求を受け付けたか否かを判断する。ＭＦＰ１００は、ＯＴＰの送信の要求を受け付けたと判断すると（ステップＳ４０７にてＹＥＳ）、ステップＳ４４１へ制御を進め、そうでなければ（ステップＳ４０７にてＮＯ）、ステップＳ４４２へ制御を進める。

ステップＳ４４１にて、ＭＦＰ１００は、ＯＴＰの送信を要求したユーザーの画像を記憶装置１０９に登録する。

ステップＳ４０７Ａにて、ＭＦＰ１００は、認証サーバー３００に対してＯＴＰの送信を要求する。当該要求は、たとえば、ユーザーから入力されたユーザー名を含むメッセージの送信によって実現される。その後、ＭＦＰ１００はステップＳ４０５へ制御を戻す。

認証サーバー３００は、ステップＳ４２０にて、ＭＦＰ１００からＯＴＰの送信の要求（ステップＳ４０７Ａ）を受けたか否かを判断する。認証サーバー３００は、ＯＴＰの送信の要求を受けたと判断すると（ステップＳ４２０にてＹＥＳ）、ステップＳ４３１へ制御を進め、そうでなければ（ステップＳ４２０にてＮＯ）、ステップＳ４６０（図２１）へ制御を進める。

ステップＳ４３１にて、認証サーバー３００は、ＯＴＰを送信する宛先が特定可能であるか否かを判断する。認証サーバー３００は、ＯＴＰを送信する宛先が特定可能であると判断すると（ステップＳ４３１にてＹＥＳ）、ステップＳ４３３へ制御を進め、そうでなければ（ステップＳ４３１にてＮＯ）、ステップＳ４２４（図１９）へ制御を進める。

ステップＳ４３３にて、認証サーバー３００は、ＯＴＰの送信の要求の際に入力されたユーザー名について、ＯＴＰを生成する。

ステップＳ４３５にて、認証サーバー３００は、ステップＳ４３３にて生成されたＯＴＰをユーザー情報データベースに登録する。このとき、認証サーバー３００は、ユーザー情報データベースに、さらに、当該ＯＴＰに関連付けられた「有効期限」を登録してもよい。一実現例では、認証サーバー３００は、一定の値（たとえば、３分）を「有効期限」として登録する。他の実現例では、認証サーバー３００は、ユーザーがＯＴＰの確認に利用する情報処理装置２００の種類（たとえば、第１の種類または第２の種類）に従って、「有効期限」として登録する値を設定する。

ステップＳ４３７にて、認証サーバー３００は、ステップＳ４３３にて生成されたＯＴＰを、ＯＴＰの送信の要求の際に入力されたユーザー名に関連付けられた宛先（「ＯＴＰ送信宛先」）に向けて送信する。

ステップＳ４３８にて、認証サーバー３００は、ＭＦＰ１００に、ＯＴＰの送信を通知する。

ＭＦＰ１００は、ステップＳ４４２にて、ＯＴＰの送信の通知を受信したか否かを判断する。ＭＦＰ１００は、ＯＴＰの送信の通知を受信したと判断すると（ステップＳ４４２にてＹＥＳ）、ステップＳ４４３にて、ディスプレイ１２１にＯＴＰ送信報知画面（図９）を表示した後、ステップＳ４０５へ制御を戻す。このとき、ディスプレイ１２１の表示はログイン画面に戻されてもよい。ＭＦＰ１００は、ＯＴＰの送信の通知を受信していないと判断すると（ステップＳ４４２にてＮＯ）、ステップＳ４０９（図２０）へ制御を進める。

認証サーバー３００は、ステップＳ４３９にて、ＯＴＰの有効期限の計測を開始する。ステップＳ４３９の制御によって、認証サーバー３００では、ＯＴＰが送信されたときが、ＯＴＰの有効期限の開始の起点となる。その後、認証サーバー３００はステップＳ４２０へ制御を戻す。

図１９を参照して、認証サーバー３００は、ステップＳ４２４にて、ＭＦＰ１００に、ＯＴＰを送信する宛先が特定不能であることを通知する。

ＭＦＰ１００は、ステップＳ４３４にて、ＯＴＰを送信する宛先が特定不能であることを表す通知を受信したか否かを判断し、当該通知を受信したと判断すると（ステップＳ４３４にてＹＥＳ）、ステップＳ４３５へ制御を進め、そうでなければ（ステップＳ４３４にてＮＯ）、ステップＳ４１９（図２１）へ制御を進める。

ステップＳ４３５にて、ＭＦＰ１００は、ＯＴＰの送信ができないことをディスプレイ１２１に表示する。当該表示は、たとえば、ＯＴＰ送信失敗画面の表示により実現される。その後、ＭＦＰ１００は、ステップＳ４０５へ制御を戻す。このとき、ディスプレイ１２１の表示はログイン画面に戻されてもよい。

図２０を参照して、ステップＳ４０９にて、ＭＦＰ１００は、図１５を参照して説明されたのと同様に、ステップＳ４３７におけるＯＴＰの送信先に関連付けられたユーザーがＭＦＰ１００から離れたか否かを判断する。

ＭＦＰ１００は、上記ユーザーがＭＦＰ１００から離れたと判断すると（ステップＳ４０９にてＹＥＳ）、ステップＳ４５１へ制御を進め、そうでなければ（ステップＳ４０９にてＮＯ）、ステップＳ４１１へ制御を進める。

ステップＳ４１１にて、ＭＦＰ１００は、図１５を参照して説明されたのと同様に、ステップＳ４３７におけるＯＴＰの送信先に関連付けられたユーザーのＯＴＰ確認中に、当該ユーザーとは他のユーザーがＭＦＰ１００に操作しに来たか否かを判断する。

ＭＦＰ１００は、上記他のユーザーがＭＦＰ１００に操作しに来たと判断すると（ステップＳ４１１にてＹＥＳ）、ステップＳ４５１へ制御を進め、そうでなければ（ステップＳ４１１にてＮＯ）、ステップＳ４１３へ制御を進める。

ステップＳ４１３にて、ＭＦＰ１００は、図１５を参照して説明されたのと同様に、ＯＴＰの送信先に関連付けられたユーザーのＯＴＰ確認中に、ＭＦＰ１００が接続しているネットワークを介して、プリントジョブまたはファクシミリ文書を受信したか否かを判断する。ＭＦＰ１００は、プリントジョブまたはファクシミリ文書を受信したと判断すると（ステップＳ４１３にてＹＥＳ）、ステップＳ４５１へ制御を進め、そうでなければ（ステップＳ４１３にてＮＯ）、ステップＳ４１５へ制御を進める。

ステップＳ４１５にて、ＭＦＰ１００は、図１５を参照して説明されたのと同様に、ステップＳ４３７におけるＯＴＰの送信先に関連付けられたユーザーのＯＴＰ確認中に、ＭＦＰ１００が接続されているネットワーク上の他の画像形成装置においてトラブル（たとえば、通信異常、ペーパージャム、ペーパーエンプティー、または、トナー（もしくはインク）エンプティーなどによる動作停止）が発生しているか否かを判断する。

ＭＦＰ１００は、ネットワーク上の他の画像形成装置においてトラブルが発生していると判断すると（ステップＳ４１５にてＹＥＳ）、ステップＳ４５１へ制御を進め、そうでなければ（ステップＳ４１５にてＮＯ）、ステップＳ４１７へ制御を進める。

ステップＳ４５１にてＭＦＰ１００は、図１５を参照して説明されたのと同様に、ディスプレイ１２１に表示されたユーザー名（たとえば、ログイン画面の入力欄５０１に表示されたユーザー名）の表示を抑制する（マスクする）。これにより、ディスプレイ１２１において、ログイン画面５００Ａ（図１１）の表示がログイン画面５００Ｂ（図１２）またはログイン画面５００（図７）へと変更され、または、スクリーンセーバー（図１３）が表示される。その後、ＭＦＰ１００はステップＳ４０５へ制御を戻す。

第２の実施の形態では、ＯＴＰの送信後、ＭＦＰ１００は、第１の実施の形態と同様に、ステップＳ４０９～ステップＳ４１５およびステップＳ４５１により、ＯＴＰの送信先のユーザー以外のユーザーがＭＦＰ１００を操作する可能性を高くする事象が発生したことに応じて、ディスプレイ１２１におけるユーザー名の少なくとも一部の表示を抑制する。なお、ＭＦＰ１００は、ステップＳ４０９～ステップＳ４１５の少なくとも１つの事象が発生したことに応じてユーザー名の表示の少なくとも一部の表示を抑制する。したがって、ＭＦＰ１００において実行される処理は、ステップＳ４０９～ステップＳ４１５の中の少なくとも１つを含んでいれば、これらの全てを含む必要はない。

一方、ステップＳ４１７にて、ＭＦＰ１００は、図１５を参照して説明されたのと同様に、ステップＳ４３７におけるＯＴＰの送信先のユーザーがＭＦＰ１００に戻ったか否かを判断する。

ＭＦＰ１００は、上記ユーザーがＭＦＰ１００に戻ったと判断すると（ステップＳ４１７にてＹＥＳ）、ステップＳ４５５へ制御を進め、そうでなければ（ステップＳ４１７にてＮＯ）、ステップＳ４１９（図２１）へ制御を進める。

ステップＳ４５５にて、ＭＦＰ１００は、図１５を参照して説明されたのと同様に、ステップＳ４５１におけるユーザー名のマスクを解除する。これにより、ログイン画面が表示される場合、図１１に示されたように、入力欄５０１における、ユーザーから入力されていたユーザー名の表示が再開される。その後、ＭＦＰ１００はステップＳ４０５へ制御を戻す。

図２１を参照して、ステップＳ４１９にて、ＭＦＰ１００は、ログインの要求を受け付けたか否かを判断する。ＭＦＰ１００は、ログインの要求を受け付けたと判断すると（ステップＳ４１９にてＹＥＳ）、ステップＳ４１９Ａへ制御を進め、そうでなければ（ステップＳ４１９にてＮＯ）、ステップＳ４６８（図２２）へ制御を進める。

ステップＳ４１９Ａにて、ＭＦＰ１００は、認証サーバー３００にログインの要求を送信する。当該要求は、ユーザーから入力された、ユーザーと、パスワードまたはＯＴＰを含む。その後、ＭＦＰ１００は、ステップＳ４０５（図１８）へ制御を戻す。

認証サーバー３００は、ステップＳ４６０にて、ログインの要求を受信したか否かを判断する。認証サーバー３００は、ログインの要求を受信したと判断すると（ステップＳ４６０にてＹＥＳ）、ステップＳ４６１（図２２）へ制御を進め、そうでなければ（ステップＳ４６０にてＮＯ）、ステップＳ４２０（図１８）へ制御を戻す。

図２２を参照して、認証サーバー３００は、ステップＳ４６１にて、ログインの要求として受信した、ユーザー名とパスワードの組合せまたはユーザー名とＯＴＰの組合せが、ユーザー情報データベースにおいて登録されている組合せと一致するか否かを判断する。認証サーバー３００は、一致すると判断すると（ステップＳ４６１にてＹＥＳ）、ステップＳ４６３へ制御を進め、そうでなければ（ステップＳ４６１にてＮＯ）、ステップＳ４６２へ制御を進める。

ステップＳ４６２にて、認証サーバー３００は、ＭＦＰ１００にユーザー認証の失敗を通知した後、ステップＳ４２０（図１８）へ制御を戻す。

ステップＳ４６３にて、認証サーバー３００は、ステップＳ４６１において認証に利用された情報がＯＴＰであったか否かを判断する。認証サーバー３００は、ユーザー認証に利用された情報がＯＴＰであったと判断すると（ステップＳ４６３にてＹＥＳ）、ステップＳ４６５へ制御を進め、そうでなければ（ステップＳ４６３にてＮＯ）、ステップＳ４６６Ａへ制御を進める。

ステップＳ４６５にて、認証サーバー３００は、ＯＴＰの有効期限満了前であるか否かを判断する。認証サーバー３００は、ＯＴＰの有効期限がまだ満了していなければ（ステップＳ４６５にてＹＥＳ）、ステップＳ４６６Ａへ制御を進め、そうでなければ（ステップＳ４６５にてＮＯ）、ステップＳ４６６Ｂへ制御を進める。

ステップＳ４６６Ａにて、認証サーバー３００は、ＭＦＰ１００にユーザー認証の成功を通知した後、ステップＳ４６７へ制御を進める。一方、ステップＳ４６６Ｂにて、認証サーバー３００は、ＭＦＰ１００にユーザー認証の失敗を通知した後、ステップＳ４２０（図１８）へ制御を戻す。

ステップＳ４６７にて、認証サーバー３００は、ユーザー認証に利用されたＯＴＰをユーザー情報データベースから消去して、ステップＳ４２０（図１８）へ制御を戻す。

一方、ＭＦＰ１００は、ステップＳ４６８にて、ユーザー認証の成功の通知を受信したか否かを判断する。ＭＦＰ１００は、成功の通知を受信したと判断すると（ステップＳ４６８にてＹＥＳ）、ステップＳ４６９へ制御を進め、そうでなければ（ステップＳ４６８にてＮＯ）、ステップＳ４７０へ制御を進める。

ステップＳ４６９にて、ＭＦＰ１００は、トップメニュー画面５３０をディスプレイ１２１に表示した後、ステップＳ４０５へ制御を戻す。これにより、ユーザーは、ＭＦＰ１００の利用を許可される。その後、ＭＦＰ１００はステップＳ４０５（図１８）へ制御を戻す。

ステップＳ４７０にて、ＭＦＰ１００は、ユーザー認証の失敗の通知を受信したか否かを判断する。ＭＦＰ１００は、失敗の通知を受信したと判断すると（ステップＳ４７０にてＹＥＳ）、ステップＳ４７１へ制御を進め、そうでなければ（ステップＳ４７０にてＮＯ）、ステップＳ４１７（図２３）へ制御を進める。

ステップＳ４７１にて、ＭＦＰ１００は、ユーザー認証が失敗したことをディスプレイ１２１に表示し、その後、ステップＳ４０５（図１８）へ制御を戻す。ＭＦＰ１００は、ユーザー認証の失敗の表示の後、ディスプレイ１２１における表示をログイン画面に戻してもよい。

図２３を参照して、ステップＳ４１７にて、ＭＦＰ１００は、上述の要求（ステップＳ４０５のログアウト、ステップＳ４０７のＯＴＰの送信、および、ステップＳ４１９のログイン）以外の要求（以下、「他の要求」という）を受け付けたか否かを判断する。ＭＦＰ１００は、上記他の要求を受け付けたと判断すると（ステップＳ４１７にてＹＥＳ）、ステップＳ４８１へ制御を進め、そうでなければ（ステップＳ４１７にてＮＯ）、ステップＳ４０５へ制御を戻す。

ステップＳ４８１にて、ＭＦＰ１００は、要求に応じた処理を実行した後、ステップＳ４０５へ制御を戻す。要求に応じた処理の一例は、コピー枚数の変更に応じた、トップメニュー画面５３０の更新およびコピージョブの設定更新である。すなわち、ＭＦＰ１００は、ユーザーがＭＦＰ１００にログインした後は、ステップＳ４８１にてユーザーからの要求に応じた処理を実行する。また、ＭＦＰ１００は、ログイン前のユーザー名の入力を、ステップＳ４８１にて受け付ける。

以上説明された第２の実施の形態では、ＯＴＰの送信の後、ＯＴＰの送信先のユーザー以外のユーザーがＭＦＰ１００を利用する可能性を高める事象が発生したことにより、ＭＦＰ１００は、ディスプレイ１２１におけるユーザー名の表示を抑制する。

なお、ユーザー名の表示の抑制としてスクリーンセーバーが表示される場合、第１の実施の形態と同様に、第２の実施の形態においても、ＭＦＰ１００は、ユーザー名の復帰方法に変更を加えても良い。

たとえば、ステップＳ４１７において、ＭＦＰ１００は、ＯＴＰの送信先のユーザーがＭＦＰ１００に戻ったか否かを判断する代わりに、スクリーンセーバーの解除を解除する操作およびユーザー名を入力する操作があったか否かを判断してもよい。ＭＦＰ１００は、そのような２つの操作がなかったと判断するとステップＳ４１９（図２１）へ制御を進める。

一方、ＭＦＰ１００は、上記２つの操作があったと判断した場合、入力されたユーザー名が、ステップＳ４５１において表示を抑制したユーザー名と一致するか否かを判断する。

スクリーンセーバーの解除のための操作とともに入力されたユーザー名がステップＳ４５１において表示を抑制されたユーザー名と一致する場合には、ＭＦＰ１００は、ディスプレイ１２１において、抑制していたユーザー名の表示を復活させる。これにより、ログイン画面５００の入力欄５０１には、表示を抑制されていたユーザー名が再度表示される。その後、ＭＦＰ１００はステップＳ４０５へ制御を戻す。

一致しない場合には、ＭＦＰ１００は、ディスプレイ１２１に、表示を抑制されていたユーザー名ではなく、スクリーンセーバーの解除のための操作とともに入力されたユーザー名を表示する。これにより、ログイン画面の入力欄５０１には、新たに入力されたユーザー名が表示される。その後、ＭＦＰ１００はステップＳ４０５へ制御を戻す。これにより、第１のユーザーがＯＴＰの確認のためにＭＦＰ１００から離れた場合、ＭＦＰ１００は、第２のユーザーに第１のユーザーのユーザー名を見せることなく、ＭＦＰ１００を利用するための操作を許容し得る。

今回開示された各実施の形態は全ての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内での全ての変更が含まれることが意図される。また、実施の形態および各変形例において説明された発明は、可能な限り、単独でも、組合わせても、実施することが意図される。

１００ ＭＦＰ、１０６ 人感センサー、１２０ 操作パネル、２００ 情報処理装置、３００ 認証サーバー、４００ ユーザー、５００，５００Ａ，５００Ｂ ログイン画面、５１０ 送信要求画面、５２０ 送信報知画面、５３０ トップメニュー画面、５４０ スクリーンセーバー画面。

Claims (27)

1. 画像形成装置であって、
   メモリーと、
   前記画像形成装置の動作を制御するコントローラーと、
   前記画像形成装置の近傍におけるユーザーの存在を検知するためのセンサーと、
   ユーザーを特定する情報の入力を受け付ける入力インターフェースと、を備え、
   前記メモリーは、ユーザーを特定する情報を宛先と関連付けて格納し、
   前記コントローラーは、
   前記入力インターフェースに、入力された前記ユーザーを特定する情報を表示し、
   前記入力インターフェースが一時認証の要求を受け付けた場合に、前記入力インターフェースに入力されたユーザーを特定する情報に関連付けられた宛先に向けて、ワンタイムパスワードを送信し、
   前記画像形成装置の近傍からユーザーが離れた場合に、前記入力インターフェースにおける前記ユーザーを特定する情報の表示を抑制し、
   前記ワンタイムパスワードの有効期限に関する一定時間を計測し、
   前記一定時間の計測完了前であれば、前記ワンタイムパスワードの入力に応じて、前記入力インターフェースに入力されたユーザーを特定する情報について前記画像形成装置の利用のためにユーザーを認証する、画像形成装置。
2. 前記コントローラーは、前記入力インターフェースにおける前記ユーザーを特定する情報の表示を抑制した後、前記画像形成装置の近傍に前記ユーザーを特定する情報に対応するユーザーが存在することが検知されたことに応じて、前記抑制を解除する、請求項１に記載の画像形成装置。
3. 前記コントローラーは、前記画像形成装置の近傍からユーザーが離れたことが検知されたことに応じて、前記ユーザーを特定する情報の表示を抑制する、請求項１または請求項２に記載の画像形成装置。
4. 前記コントローラーは、前記画像形成装置の近傍からユーザーが離れたことが検知された後、前記ユーザーを特定する情報に対応するユーザーとは別のユーザーの前記画像形成装置の近傍における存在が検知されたことに応じて、前記ユーザーを特定する情報の表示を抑制する、請求項１または請求項２に記載の画像形成装置。
5. 前記コントローラーは、前記画像形成装置の近傍からユーザーが離れたことが検知された後、用紙の出力を伴うデータを受信したことに応じて、前記ユーザーを特定する情報の表示を抑制する、請求項１または請求項２に記載の画像形成装置。
6. 前記用紙の出力を伴うデータは、プリントジョブの実行指示またはファクシミリデータを含む、請求項５に記載の画像形成装置。
7. 通信インターフェースをさらに備え、
   前記コントローラーは、
   前記通信インターフェースを介してネットワークに接続し、
   前記画像形成装置の近傍からユーザーが離れたことが検知された後、前記ネットワーク上の他の画像形成装置においてトラブルが発生したことに応じて、前記ユーザーを特定する情報の表示を抑制する、請求項１または請求項２に記載の画像形成装置。
8. 通信インターフェースをさらに備え、
   前記コントローラーは、
   前記通信インターフェースを介してネットワークに接続し、
   前記画像形成装置の近傍からユーザーが離れたことが検知された後、前記ネットワーク上の他の画像形成装置において消耗品のエンプティーが発生したことに応じて、前記ユーザーを特定する情報の表示を抑制する、請求項１または請求項２に記載の画像形成装置。
9. 前記抑制は、前記ユーザーを特定する情報の少なくとも一部の消去を含む、請求項１～請求項８のいずれか１項に記載の画像形成装置。
10. 前記抑制は、前記ユーザーを特定する情報の少なくとも一部を別の情報で置換することを含む、請求項１～請求項９のいずれか１項に記載の画像形成装置。
11. 前記抑制は、前記入力インターフェースにスクリーンセーバーを表示することを含む、請求項１～請求項８のいずれか１項に記載の画像形成装置。
12. 前記コントローラーは、
    前記スクリーンセーバーの解除の要求に伴って入力された情報が前記ユーザーを特定する情報と一致すれば、前記入力インターフェースにおける前記ユーザーを特定する情報の表示を復活させた状態で前記スクリーンセーバーを解除し、
    前記スクリーンセーバーの解除の要求に伴って入力された情報が前記ユーザーを特定する情報と一致しなければ、前記入力インターフェースにおける前記ユーザーを特定する情報の表示を復活させることなく前記スクリーンセーバーを解除する、請求項１１に記載の画像形成装置。
13. 前記コントローラーは、
    前記スクリーンセーバーの解除の要求に伴って入力された情報が前記ユーザーを特定する情報と一致すれば、前記入力インターフェースにおける前記ユーザーを特定する情報の表示を復活させた状態で前記スクリーンセーバーを解除し、
    前記スクリーンセーバーの解除の要求に伴って入力された情報が前記ユーザーを特定する情報と一致しなければ、前記入力インターフェースにおける前記ユーザーを特定する情報の表示を別の情報で置換させた状態で前記スクリーンセーバーを解除する、請求項１１に記載の画像形成装置。
14. 画像形成装置と、前記画像形成装置を利用するユーザーを認証する認証サーバーと、を備え、
    前記画像形成装置は、
    前記画像形成装置の動作を制御する第１のコントローラーと、
    前記画像形成装置の近傍におけるユーザーの存在を検知するためのセンサーと、
    ユーザーを特定する情報の入力を受け付ける入力インターフェースと、を含み、
    前記第１のコントローラーは、
    前記入力インターフェースに、入力された前記ユーザーを特定する情報を表示し、
    前記入力インターフェースが一時認証の要求を受け付けた場合に、前記認証サーバーに、前記入力インターフェースに入力されたユーザーを特定する情報について一時認証の要求を送信し、
    前記画像形成装置の近傍からユーザーが離れた場合に、前記入力インターフェースにおける前記ユーザーを特定する情報の表示を抑制し、
    前記認証サーバーは、
    ユーザーを特定する情報を宛先に関連付けて格納するメモリーと、
    前記画像形成装置から一時認証の前記要求を受信した場合に、前記入力インターフェースに入力されたユーザーを特定する情報に関連付けられた宛先に向けて、ワンタイムパスワードを送信する第２のコントローラーと、を含み、
    前記第１のコントローラーは、
    前記入力インターフェースに入力されたワンタイムパスワードを、前記認証サーバーへ送信し、
    前記第２のコントローラーは、
    ワンタイムパスワードの有効期限に関する一定時間を計測し、
    前記一定時間の計測が完了する前に前記画像形成装置から前記ワンタイムパスワードが送信されれば、前記画像形成装置から受信したユーザーを特定する情報について前記画像形成装置の利用のためにユーザーを認証する、画像処理システム。
15. 前記第１のコントローラーは、前記入力インターフェースにおける前記ユーザーを特定する情報の表示を抑制した後、前記画像形成装置の近傍に前記ユーザーを特定する情報に対応するユーザーが存在することが検知されたことに応じて、前記抑制を解除する、請求項１４に記載の画像処理システム。
16. 前記第１のコントローラーは、前記画像形成装置の近傍からユーザーが離れたことが検知されたことに応じて、前記ユーザーを特定する情報の表示を抑制する、請求項１４または請求項１５に記載の画像処理システム。
17. 前記第１のコントローラーは、前記画像形成装置の近傍からユーザーが離れたことが検知された後、前記ユーザーを特定する情報に対応するユーザーとは別のユーザーの前記画像形成装置の近傍における存在が検知されたことに応じて、前記ユーザーを特定する情報の表示を抑制する、請求項１４または請求項１５に記載の画像処理システム。
18. 前記第１のコントローラーは、前記画像形成装置の近傍からユーザーが離れたことが検知された後、用紙の出力を伴うデータを受信したことに応じて、前記ユーザーを特定する情報の表示を抑制する、請求項１４または請求項１５に記載の画像処理システム。
19. 前記用紙の出力を伴うデータは、プリントジョブの実行指示またはファクシミリデータを含む、請求項１８に記載の画像処理システム。
20. 前記画像形成装置は、通信インターフェースをさらに含み、
    前記第１のコントローラーは、
    前記通信インターフェースを介してネットワークに接続し、
    前記画像形成装置の近傍からユーザーが離れたことが検知された後、前記ネットワーク上の他の画像形成装置においてトラブルが発生したことに応じて、前記ユーザーを特定する情報の表示を抑制する、請求項１４または請求項１５に記載の画像処理システム。
21. 前記画像形成装置は、通信インターフェースをさらに含み、
    前記第１のコントローラーは、
    前記通信インターフェースを介してネットワークに接続し、
    前記画像形成装置の近傍からユーザーが離れたことが検知された後、前記ネットワーク上の他の画像形成装置において消耗品のエンプティーが発生したことに応じて、前記ユーザーを特定する情報の表示を抑制する、請求項１４または請求項１５に記載の画像処理システム。
22. 前記抑制は、前記ユーザーを特定する情報の少なくとも一部の消去を含む、請求項１４～請求項２１のいずれか１項に記載の画像処理システム。
23. 前記抑制は、前記ユーザーを特定する情報の少なくとも一部を別の情報で置換することを含む、請求項１４～請求項２２のいずれか１項に記載の画像処理システム。
24. 前記抑制は、前記入力インターフェースにスクリーンセーバーを表示することを含む、請求項１４～請求項２１のいずれか１項に記載の画像処理システム。
25. 前記第１のコントローラーは、
    前記スクリーンセーバーの解除の要求に伴って入力された情報が前記ユーザーを特定する情報と一致すれば、前記入力インターフェースにおける前記ユーザーを特定する情報の表示を復活させた状態で前記スクリーンセーバーを解除し、
    前記スクリーンセーバーの解除の要求に伴って入力された情報が前記ユーザーを特定する情報と一致しなければ、前記入力インターフェースにおける前記ユーザーを特定する情報の表示を復活させることなく前記スクリーンセーバーを解除する、請求項２４に記載の画像処理システム。
26. 前記第１のコントローラーは、
    前記スクリーンセーバーの解除の要求に伴って入力された情報が前記ユーザーを特定する情報と一致すれば、前記入力インターフェースにおける前記ユーザーを特定する情報の表示を復活させた状態で前記スクリーンセーバーを解除し、
    前記スクリーンセーバーの解除の要求に伴って入力された情報が前記ユーザーを特定する情報と一致しなければ、前記入力インターフェースにおける前記ユーザーを特定する情報の表示を別の情報で置換させた状態で前記スクリーンセーバーを解除する、請求項２４に記載の画像処理システム。
27. 画像形成装置のコンピューターによって実行されることにより、前記画像形成装置に、
    入力インターフェースが一時認証の要求を受け付けたか否かを判断するステップと、
    前記入力インターフェースが一時認証の要求を受け付けた場合に、前記入力インターフェースに入力されたユーザーを特定する情報に関連付けられた宛先に向けて、ワンタイムパスワードを送信するステップと、
    前記一時認証の要求が受け付けられた後、前記画像形成装置の近傍からユーザーが離れたか否かを判断するステップと、
    前記一時認証の要求が受け付けられた後、前記画像形成装置の近傍からユーザーが離れた場合に、前記入力インターフェースにおける前記ユーザーを特定する情報の表示を抑制するステップと、
    前記ワンタイムパスワードの有効期限に関する一定時間の計測完了前であれば、前記ワンタイムパスワードの入力に応じて、前記入力インターフェースに入力されたユーザーを特定する情報について前記画像形成装置の利用のためにユーザーを認証するステップと、を実行させる、プログラム。

Images