JP7363515B2

JP7363515B2 - 画像形成装置、画像処理システム、およびプログラム

Info

Publication number: JP7363515B2
Application number: JP2020009079A
Authority: JP
Inventors: 篤冨田
Original assignee: Konica Minolta Inc
Current assignee: Konica Minolta Inc
Priority date: 2020-01-23
Filing date: 2020-01-23
Publication date: 2023-10-18
Anticipated expiration: 2040-01-23
Also published as: JP2021118392A

Description

本開示は、画像形成装置に対するアクセスを制限するユーザー認証機能において、ワンタイムパスワード機能を有する画像形成装置に関する。

従来、ＭＦＰ（Multi-Functional Peripheral）等の画像形成装置の多くは、装置に対するアクセスを制限するユーザー認証機能を搭載している。ユーザー認証機能の一例において、画像形成装置は、ユーザーがユーザー名およびパスワードを入力すると、入力されたユーザー名およびパスワードが登録されているそれらと一致する場合に、当該ユーザーに対して装置の利用を許可する。こうしたユーザー認証機能を搭載した画像形成装置について、特開２０１５－１７６５９１号公報（特許文献１）は、一定期間かつ一度だけ有効なパスワード（以下、ワンタイムパスワード、または、ＯＴＰ（One Time Password）とも称する）を生成してユーザー宛てに送信し、同パスワードを入力させることにより利用を許可する「ワンタイムパスワード機能」（ＯＴＰ機能）を搭載した画像形成装置を開示している。

特開２０１５－１７６５９１号公報

画像形成装置は、ＯＴＰ機能を含むユーザー認証機能を搭載した場合、第１のユーザーが当該第１のユーザーのユーザー名とパスワードまたはＯＴＰとの正しい組合せを入力したことに応じて第１のユーザーを認証する。第１のユーザーのユーザー名を取得した第２のユーザーは、第１のユーザーのユーザー名とともに、適当な文字列の入力によって偶然第１のユーザーのパスワードまたはＯＴＰを入力してしまう可能性がある。このような場合、画像形成装置は、第２のユーザーが第１のユーザーになりすまして利用することを許容してしまう可能性がある。この意味において、パスワードおよびＯＴＰだけでなく、認証に利用されるユーザー名についても、他人のなりすましを回避するためには秘密にされるべき情報であると言える。一方で、ＯＴＰを利用した認証の場合、ＯＴＰに有効期限が設定されていることため、ＯＴＰを発行されたユーザーは、ＯＴＰを早く確認して入力しなければならないという焦りから、注意力を欠いた状態になり得る。このため、ＯＴＰを発行されたユーザーが、ＯＴＰの確認のために、当該ユーザーのユーザー名を画像形成装置に入力したまま画像形成装置から離れ、これにより、他人に当該ユーザー名を知られてしまう事態の発生が想定される。

本開示は、係る実情に鑑み考え出されたものであり、その目的は、ワンタイムパスワード機能を有する画像形成装置において、ユーザー間のなりすましの攻撃を抑制するための技術を提供することである。

本開示のある局面に従うと、画像形成装置であって、メモリーと、画像形成装置の動作を制御するコントローラーと、ユーザーを特定する情報の入力を受け付ける入力インターフェースと、を備え、メモリーは、ユーザーを特定する情報を宛先と関連付けて格納し、コントローラーは、入力インターフェースが一時認証の要求を受け付けた場合に、入力インターフェースに入力されたユーザーを特定する情報に関連付けられた宛先に向けて、ワンタイムパスワードを送信し、ワンタイムパスワードの有効期限に関する一定時間を計測し、一定時間の計測完了前であれば、ワンタイムパスワードの入力に応じて、入力インターフェースに入力されたユーザーを特定する情報について画像形成装置の利用のためにユーザーを認証し、入力インターフェースが一時認証の要求を受け付けた後、ユーザーが画像形成装置から離れたことを検知した場合に、入力インターフェースに要求を入力したユーザーが画像形成装置に戻ったことを検知するまでは、画像形成装置をユーザーの認証を禁止された状態に制御する、画像形成装置が提供される。

好ましくは、ユーザーの認証を禁止された状態は、ワンタイムパスワードの入力を受け付けない状態を含む。

好ましくは、入力インターフェースは、ユーザーに予め定められたパスワードまたはワンタイムパスワードによる認証を要求するための認証要求キーを含み、コントローラーは、認証要求キーに対する操作に応じてユーザーの認証を開始し、ユーザーの認証を禁止された状態は、入力インターフェースが認証要求キーを含まない状態、または、認証要求キーが操作されてもコントローラーがユーザーの認証を開始しない状態を含む。

好ましくは、入力インターフェースは、ユーザーに予め定められたパスワードまたはワンタイムパスワードによる認証を要求するための認証要求キーを含み、コントローラーは、認証要求キーに対する操作に応じてユーザーの認証を開始し、ユーザーの認証を禁止された状態は、認証要求キーに対する操作に応じたユーザーの認証の結果として無条件で失敗を出力する状態を含む。

好ましくは、画像形成装置は、画像形成装置から一定距離内に物体が存在することを検知するためのセンサーをさらに備え、コントローラーは、センサーの検知出力に基づいて、ユーザーが画像形成装置から離れたことを検知する。

好ましくは、コントローラーは、画像形成装置の近傍の撮像画像が人物を含まないことに基づいて、ユーザーが画像形成装置から離れたことを検知する。

好ましくは、コントローラーは、一時認証の要求に関連して入力インターフェースに入力されたユーザーを特定する情報が再度入力インターフェースに入力されたことに基づいて、入力インターフェースに要求を入力したユーザーが画像形成装置に戻ったことを検知する。

好ましくは、コントローラーは、入力インターフェースが一時認証の要求を受け付けたときに画像形成装置の近傍の撮像画像において含まれる人物が、入力インターフェースが要求を受け付けた後の画像形成装置の近傍の撮像画像に含まれることを検知したことに基づいて、入力インターフェースに要求を入力したユーザーが画像形成装置に戻ったことを検知する。

本開示の他の局面に従うと、画像形成装置と、画像形成装置を利用するユーザーを認証する認証サーバーと、を備えた画像処理システムであって、画像形成装置は、画像形成装置の動作を制御する第１のコントローラーと、ユーザーを特定する情報の入力を受け付ける入力インターフェースと、を含み、第１のコントローラーは、入力インターフェースが一時認証の要求を受け付けた場合に、認証サーバーに、入力インターフェースに入力されたユーザーを特定する情報について一時認証の要求を送信し、認証サーバーは、ユーザーを特定する情報を宛先に関連付けて格納するメモリーと、画像形成装置から一時認証の要求を受信した場合に、入力インターフェースに入力されたユーザーを特定する情報に関連付けられた宛先に向けて、ワンタイムパスワードを送信する第２のコントローラーと、を含み、第２のコントローラーは、ワンタイムパスワードの有効期限に関する一定時間を計測し、第１のコントローラーは、入力インターフェースに入力されたワンタイムパスワードを、認証サーバーへ送信し、第２のコントローラーは、一定時間の計測が完了する前に画像形成装置からワンタイムパスワードが送信されれば、画像形成装置から受信したユーザーを特定する情報について画像形成装置の利用のためにユーザーを認証し、入力インターフェースが一時認証の要求を受け付けた後、ユーザーが画像形成装置から離れたことを検知した場合に、入力インターフェースに要求を入力したユーザーが画像形成装置に戻ったことを検知するまでは、画像処理システムをユーザーの認証を禁止された状態に制御する、画像処理システムが提供される。

好ましくは、ユーザーの認証を禁止された状態は、画像形成装置にワンタイムパスワードを受け付けないことを指示する状態を含む。

好ましくは、入力インターフェースは、ユーザーに予め定められたパスワードまたはワンタイムパスワードによる認証を要求するための認証要求キーを含み、第１のコントローラーは、認証要求キーに対する操作に応じて、認証サーバーにユーザーの認証の開始を要求し、ユーザーの認証を禁止された状態は、入力インターフェースに認証要求キーを含ませない状態、または、画像形成装置からユーザーの認証の開始を要求されてもユーザーの認証を開始しない状態を含む。

好ましくは、入力インターフェースは、ユーザーに予め定められたパスワードまたはワンタイムパスワードによる認証を要求するための認証要求キーを含み、第１のコントローラーは、認証要求キーに対する操作に応じて、認証サーバーにユーザーの認証の開始を要求し、ユーザーの認証を禁止された状態は、画像形成装置からユーザーの認証の開始を要求された場合に、ユーザーの認証の結果として無条件で失敗を出力する状態を含む。

好ましくは、画像処理システムは、画像形成装置から一定距離内に物体が存在することを検知するためのセンサーをさらに備え、第２のコントローラーは、センサーの検知出力に基づいて、ユーザーが画像形成装置から離れたことを検知する。

好ましくは、第２のコントローラーは、画像形成装置の近傍の撮像画像が人物を含まないことに基づいて、ユーザーが画像形成装置から離れたことを検知する。

好ましくは、第２のコントローラーは、一時認証の要求に関連して入力インターフェースに入力されたユーザーを特定する情報が再度入力インターフェースに入力されたことに基づいて、入力インターフェースに要求を入力したユーザーが画像形成装置に戻ったことを検知する。

好ましくは、第２のコントローラーは、入力インターフェースが一時認証の要求を受け付けたときに画像形成装置の近傍の撮像画像において含まれる人物が、入力インターフェースが要求を受け付けた後の画像形成装置の近傍の撮像画像に含まれることが検知されたことに基づいて、入力インターフェースに要求を入力したユーザーが画像形成装置に戻ったことを検知する。

本開示のさらに他の局面に従うと、画像形成装置のコンピューターによって実行されることにより、画像形成装置に、入力インターフェースが一時認証の要求を受け付けた場合に、入力インターフェースに入力されたユーザーを特定する情報に関連付けられた宛先に向けて、ワンタイムパスワードを送信するステップと、ワンタイムパスワードの有効期限に関する一定時間の計測完了前であれば、ワンタイムパスワードの入力に応じて、入力インターフェースに入力されたユーザーを特定する情報について画像形成装置の利用のためにユーザーを認証するステップと、入力インターフェースが一時認証の要求を受け付けた後、ユーザーが画像形成装置から離れたことを検知した場合に、入力インターフェースに要求を入力したユーザーが画像形成装置に戻ったことを検知するまでは、画像形成装置をユーザーの認証を禁止された状態に制御するステップと、を実行させる、プログラムが提供される。

本開示によれば、画像形成装置において入力インターフェースが一時認証の要求を受け付けられた後、ユーザーが画像形成装置から離れると、入力インターフェースに当該要求を入力したユーザーが画像形成装置に戻るまで、画像形成装置の利用のための認証が禁止される。これにより、第１のユーザーが、重要な情報を画像形成装置に入力したままの状態でワンタイムパスワードの確認のために画像形成装置から離れた場合、第２のユーザーが画像形成装置に残された上記重要な情報を利用して第１のユーザーになりすますために認証を要求しても、当該第２のユーザーが画像形成装置の利用のために認証される事態が回避され得る。

画像処理システムの第１の実施の形態の構成を示す図である。ＭＦＰ１００のハードウェア構成を示す図である。情報処理装置２００のハードウェア構成を示す図である。認証サーバー３００のハードウェア構成を示す図である。ユーザー情報データベースのデータ構造を示す図である。第１の実施の形態におけるユーザー認証の概要を示す図である。ログイン画面の一例を示す図である。ＯＴＰ送信要求画面の一例を示す図である。ＯＴＰの送信を報知するための画面（ＯＴＰ送信報知画面）の一例を示す図である。トップメニュー画面の一例を示す図である。ＭＦＰ１００がユーザーの認証を禁止された期間において表示されるログイン画面の一例を示す図である。ＯＴＰによるユーザー認証のためにＭＦＰ１００において実行される処理のフローチャートである。ＯＴＰによるユーザー認証のためにＭＦＰ１００において実行される処理のフローチャートである。図１３に示された部分の変形例を示す図である。第２の実施の形態におけるＯＴＰを利用したユーザー認証の概要を示す図である。第２の実施の形態においてＯＴＰによるユーザー認証のために実行される処理のフローチャートである。第２の実施の形態においてＯＴＰによるユーザー認証のために実行される処理のフローチャートである。第２の実施の形態においてＯＴＰによるユーザー認証のために実行される処理のフローチャートである。第２の実施の形態においてＯＴＰによるユーザー認証のために実行される処理のフローチャートである。第２の実施の形態においてＯＴＰによるユーザー認証のために実行される処理のフローチャートである。第２の実施の形態においてＯＴＰによるユーザー認証のために実行される処理のフローチャートである。図１９に示された部分の変形例を示す図である。

以下に、図面を参照しつつ、画像処理システムの実施の形態について説明する。以下の説明では、同一の部品および構成要素には同一の符号を付してある。それらの名称および機能も同じである。したがって、これらの説明は繰り返さない。

＜第１の実施の形態＞
［画像処理システムの構成］
図１は、画像処理システムの第１の実施の形態の構成を示す図である。図１に記載されるように、画像処理システムは、画像形成装置の一例であるＭＦＰ１００と、情報処理装置２００と、認証サーバー３００とを含む。ＭＦＰ１００は人感センサー１０６と操作パネル１２０とを含む。人感センサー１０６と操作パネル１２０の詳細は、図２を参照して後述される。

ＭＦＰ１００は、画像形成装置の一例であり、ＭＦＰ１００の利用には、ユーザー認証が必要とされる。画像処理システムでは、ＭＦＰ１００または認証サーバー３００がユーザーを認証し得る。ＭＦＰ１００は、各ユーザーについて予め登録されたパスワードを用いてユーザーを認証することもできるし、各ユーザーの要求に応じて発行されるＯＴＰを用いてユーザーを認証することもできる。すなわち、ＭＦＰ１００は、ＯＴＰを用いたユーザー認証によりＭＦＰ１００の利用を許可する機能（ＯＴＰ機能）を有する。

［ＭＦＰ１００のハードウェア構成］
図２は、ＭＦＰ１００のハードウェア構成を示す図である。図２に示されるように、ＭＦＰ１００は、主な構成要素として、制御部１１０、タイマー回路１０１、原稿読取部１０２、印刷出力部１０３、用紙搬送部１０４、ファクシミリ（ＦＡＸ）部１０５、人感センサー１０６、ネットワークインターフェース（Ｉ／Ｆ）１０７、Ｂｌｕｅｔｏｏｔｈ（登録商標）インターフェース（Ｉ／Ｆ）１０８、記憶装置１０９、および、操作パネル１２０を含む。図２に示された各要素は、内部バスによって互いに接続されている。

制御部１１０は、ＣＰＵ（Central Processing Unit）１１１、ＲＡＭ（Random Access Memory）１１２、および、ＲＯＭ（Read Only Memory）１１３を含む。ＣＰＵ１１１は、所与のプログラムを実行することにより、ＭＦＰ１００の動作を制御する。ＲＡＭ１１２は、ＣＰＵ１１１がプログラムを実行する際のワークエリアとして機能する。ＲＯＭ１１３は、ＣＰＵ１０１が実行するプログラムを含む各種のデータを格納する。

ＭＦＰ１００は、制御部１１０の代わりに、または、制御部１１０とともに、ＭＦＰ１００の制御に利用される専用の集積回路（たとえば、Field-Programmable Gate Array）を備えていてもよい。

タイマー回路１０１は、時間を計測するための電気回路である。制御部１１０は、タイマー回路１０１による時間の計測結果を取得することにより、ＯＴＰの有効期限が満了しているか否か等の種々の事象を判断し得る。

原稿読取部１０２は、いわゆるスキャナーによって実現され、ＭＦＰ１００においてセットされた原稿をスキャンすることにより当該原稿の画像データを生成する。

印刷出力部１０３は、画像データに基づく画像を記録用紙上に形成する。一実現例では、印刷出力部１０３は、感光体ドラムおよび転写ローラーを含む。印刷出力部１０３は、たとえば電子写真方式に従って画像を形成するが、画像形成の方式はこれに限定されない。

用紙搬送部１０４は、ＭＦＰ１００において、原稿および／または記録用紙を搬送するためのローラー、および、当該ローラーを回転されるためのモーターを含む。

ＦＡＸ部１０５は、ファクシミリ通信により画像データを送受信する。
人感センサー１０６は、図１に示されるようにＭＦＰ１００の正面に設置され、たとえば赤外線センサーを含む。制御部１１０は、人感センサー１０６から出力される信号に基づいて、ＭＦＰ１００（人感センサー１０６）から所与の距離の範囲にユーザーが存在するか否かを検知する。この意味において、人感センサー１０６は第１のセンサーの一例である。

ネットワークＩ／Ｆ１０７は、ＭＦＰ１００をネットワークを介して他の装置（認証サーバー３００および情報処理装置２００）と通信させ、たとえばＮＩＣ（Network Interface Card）によって実現される。

Ｂｌｕｅｔｏｏｔｈ＿Ｉ／Ｆ１０８は、ＭＦＰ１００をＢｌｕｅｔｏｏｔｈ規格に従って他の装置と無線通信させる。制御部１１０は、Ｂｌｕｅｔｏｏｔｈ＿Ｉ／Ｆ１０８がユーザーに関連付けられた端末と通信しているか否かに基づいて、ユーザーが端末を携行しているか否かを判断し得る。この意味において、Ｂｌｕｅｔｏｏｔｈ＿Ｉ／Ｆ１０８は、第２のセンサーの一例である。

記憶装置１０９は、たとえばハードディスクドライブ（ＨＤＤ）またはソリッドステートドライブ（ＳＳＤ）によって構成される不揮発性記憶装置であり、プログラムおよび／またはデータを格納する。記憶装置１０９は、ジョブデータを格納し得る。すなわち、制御部１１０は、ネットワークを介してパーソナルコンピューターから受信したジョブデータを記憶装置１０９に格納し、その後、当該ジョブデータを記憶装置１０９から読み出すことにより、当該ジョブデータに係るジョブを実行し得る。

操作パネル１２０は、ディスプレイ１２１、タッチセンサー１２２、および、操作キー１２３を含む。ディスプレイ１２１は、後述されるログイン画面などの種々の画面を表示する。タッチセンサー１２２は、ディスプレイ１２１の少なくとも一部を覆う。ディスプレイ１２１とタッチセンサー１２２によってタッチパネルが構成される。操作キー１２３は、電源キーなどのハードウェアキーとして実現される。制御部１１０は、ディスプレイ１２１における表示を制御し、また、タッチセンサー１２２および操作キー１２３に対する操作に従って出力される信号を受信する。

［情報処理装置２００のハードウェア構成］
図３は、情報処理装置２００のハードウェア構成を示す図である。情報処理装置２００は、スマートフォンなどの携帯端末であってもよいし、パーソナルコンピューターなどの備え付けの端末であってもよい。

図３に示されるように、情報処理装置２００は、主な構成要素として、ＣＰＵ２０１、ＲＡＭ２０２、ストレージ２０３、ディスプレイ２０４、入力装置２０５、ＮＩＣ２０６、および、ＢｌｕｅｔｏｏｔｈＩ／Ｆ２０７を含む。図３に示された各要素は、内部バスによって互いに接続されている。

ＣＰＵ２０１は、情報処理装置２００の動作を制御する。ＲＡＭ２０２は、ＣＰＵ２０１における処理実行時のワークエリアとして機能する。ストレージ２０３は、ＣＰＵ２０１が実行する各種のプログラムおよびプログラムの実行に利用されるデータを格納する不揮発性記憶装置である。ストレージ２０３は、たとえば、フラッシュＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）、フラッシュＲＯＭ、ＨＤＤ、および／または、ＳＳＤによって実現されるが、これらに限定されない。

ディスプレイ２０４は、ＣＰＵ２０１によって実行されるプログラムの処理結果を示す画像を表示するための表示装置である。

入力装置２０５は、一実現例では、キーボードや操作キー、および／または、タッチセンサーによって実現される。入力装置２０５は、情報の入力を受け付けると、当該情報をＣＰＵ２０１へ送る。

ＮＩＣ２０６は、情報処理装置２００をネットワークを介して他の装置（ＭＦＰ１００など）と通信させる通信インターフェースである。

ＢｌｕｅｔｏｏｔｈＩ／Ｆ２０７は、情報処理装置２００をＭＦＰ１００などの他の装置と近距離通信させるための通信インターフェースである。

［認証サーバー３００のハードウェア構成］
図４は、認証サーバー３００のハードウェア構成を示す図である。認証サーバー３００は、一実現例では、汎用のコンピューターによって実現され得る。

図４に示されるように、認証サーバー３００は、主な構成要素として、ＣＰＵ３０１、ＲＡＭ３０２、記憶装置３０３、ディスプレイ３０４、入力装置３０５、ＮＩＣ３０６、および、タイマー回路３０７を含む。図４に示された各要素は、内部バスによって互いに接続されている。

ＣＰＵ３０１は、認証サーバー３００の動作を制御する。ＲＡＭ３０２は、ＣＰＵ３０１における処理実行時のワークエリアとして機能する。記憶装置３０３は、ＣＰＵ３０１が実行する各種のプログラムおよびプログラムの実行に利用されるデータを格納する不揮発性記憶装置である。記憶装置３０３は、たとえばＨＤＤまたはＳＳＤによって実現されるが、これらに限定されない。

ディスプレイ３０４は、ＣＰＵ３０１によって実行されるプログラムの処理結果を示す画像を表示するための表示装置である。

入力装置３０５は、一実現例では、キーボードや操作キー、および／または、タッチセンサーによって実現される。入力装置３０５は、情報の入力を受け付けると、当該情報をＣＰＵ３０１へ送る。

ＮＩＣ３０６は、認証サーバー３００をネットワークを介して他の装置（ＭＦＰ１００など）と通信させる通信インターフェースである。

タイマー回路３０７は、時間を計測するための電気回路である。ＣＰＵ３０１は、タイマー回路３０７による時間の計測結果を取得する。

［ユーザー情報データベースのデータ構造］
図５は、ユーザー情報データベースのデータ構造を示す図である。ユーザー情報データベースは、ユーザーの認証に利用され、たとえばＭＦＰ１００の記憶装置１０９に格納され得る。

図５に示されるように、ユーザー情報データベースは、「ユーザー名」「パスワード」「ＯＴＰ送信宛先」「ＯＴＰ」「ＯＴＰ計時開始日時」および「有効期限」を互いに関連付けて格納する。

「ユーザー名」は、各ユーザーを識別する情報である。「パスワード」は、ユーザーごとに割り当てられ、各ユーザーの認証のために利用される情報である。「ＯＴＰ送信宛先」は、ユーザーごとの、ＯＴＰを送信される宛先（メールアドレスなど）を規定する情報である。「ＯＴＰ」は、各ユーザーに発行されたＯＴＰを規定する情報である。「ＯＴＰ計時開始日時」は、ＯＴＰの有効期限の計測が開始されたタイミングを規定する情報である。「有効期限」は、「ＯＴＰ計時開始日時」として特定されたタイミングからのＯＴＰの有効期限の時間の長さを規定する情報である。

一実現例では、ＭＦＰ１００の利用を許可されているユーザーには、「ユーザー名」「パスワード」および「ＯＴＰ送信宛先」が登録され、さらに、ユーザーに対してＯＴＰが生成されると、「ＯＴＰ」「ＯＴＰ計時開始日時」および「有効期限」が登録される。

次に、図５に示された値の意味の具体例を説明する。
図５の例では、「ユーザー名」の一例として「User0001」が、「パスワード」の一例として「Pass0001」が、「ＯＴＰ送信宛先」の一例として「u001@company.com」が、「ＯＴＰ」の一例として「728951」が、「ＯＴＰ計時開始日時」の一例として「2019/10/31_9:21:05」が、そして、「有効期限」の一例として「１０分」が、それぞれ登録されている。

上記の例は、「User0001」によって特定されるユーザーについて、「Pass0001」というパスワードが登録されていることを意味する。したがって、当該ユーザーは、ＭＦＰ１００に、ユーザー名として「User0001」を入力し、パスワードとして「Pass0001」を入力することにより、画像処理システムにおいて認証され、ＭＦＰ１００を利用し得る。

また、上記の例は、「User0001」によって特定されるユーザーに対してＯＴＰとして文字列「728951」が発行されたことを意味し、また、当該ＯＴＰは２０１９年１０月３１日の９時２１分０５秒（ＯＴＰ計時開始日時）から１０分間（有効期限）有効であることを意味する。したがって、当該ユーザーは、２０１９年１０月３１日の９時３１分０５秒までに、ユーザー名として「User0001」を入力し、パスワードとして「Pass0001」またはＯＴＰとして「728951」を入力することにより、画像処理システムにおいて認証され、ＭＦＰ１００を利用し得る。

また、上記の例は、ＯＴＰの通知が「u001@company.com」（ＯＴＰ送信宛先）を宛先としたＯＴＰの送信によって実現されたことを意味する。

図５の例では、「ユーザー名」の他の例として「User0002」が、「パスワード」の他の例として「Pass0002」が、「ＯＴＰ送信宛先」の他の例として「u002@company.com」が、それぞれ登録されている。図５の例では、「User0002」によって特定されるユーザーについては、「ＯＴＰ」「ＯＴＰ計時開始日時」および「有効期限」の値は登録されていない。「ＯＴＰ」「ＯＴＰ計時開始日時」および「有効期限」の値は、ＯＴＰが送信されたことに応じて登録される値である。すなわち、図５に示された状態では、「User0002」によって特定されるユーザーには、まだＯＴＰが送信されていない。

［ＯＴＰを利用したユーザー認証の概要］
図６は、第１の実施の形態におけるユーザー認証の概要を示す図である。図６の左側には、ＭＦＰ１００および情報処理装置２００に加えて、認証の対象となるユーザーが「ユーザー４００」として示されている。図６の右側には、ＯＴＰを利用したユーザー４００の認証において、ＭＦＰ１００と情報処理装置２００のそれぞれが実行する処理の概略的な流れが示されている。

まず、ＭＦＰ１００は、ステップＳＡ１として示されるようにログイン画面を表示し、ユーザーからの認証用の情報の入力を待つ。

図７は、ログイン画面の一例を示す図である。一実現例では、図７に示されたログイン画面５００は、ＭＦＰ１００のディスプレイ１２１に表示される。ログイン画面５００は、入力欄５０１，５０２、キー５０３、および、リンク５０４を含む。入力欄５０１は、ユーザー名の入力を受け付ける。入力欄５０２は、パスワードまたはＯＴＰの入力を受け付ける。キー５０３は、ユーザー名（入力欄５０１に入力される）およびパスワードまたはＯＴＰ（入力欄５０２に入力される）を用いた認証（ログイン）の要求を受け付ける。リンク５０４は、ＯＴＰの送信の要求を受け付ける。

図６に戻って、ステップＳＢ１として示されるように、情報処理装置２００を利用しているユーザー４００が、ＭＦＰ１００を利用するためにＭＦＰ１００に近づく。

ステップＳＢ２として示されるように、ＭＦＰ１００に近づいたユーザー４００は、ＭＦＰ１００にユーザー名を入力する。ユーザー４００は、パスワードを失念した等の理由から、ステップＳＢ３として示されるように、ＭＦＰ１００にＯＴＰの送信の要求を入力する。ＯＴＰの送信の要求は、一時認証の要求の一例である。

一実現例では、ユーザー名はログイン画面５００の入力欄５０１に入力され、ＯＴＰの送信の要求の入力はリンク５０４に対する操作によって完了する。他の例では、ＯＴＰの送信の要求の入力は、リンク５０４が操作された場合に、当該操作によって表示される画面（ＯＴＰ送信要求画面）に対する操作によって完了する。

図８は、ＯＴＰ送信要求画面の一例を示す図である。一実現例では、図８に示されたＯＴＰ送信要求画面５１０は、ＭＦＰ１００のディスプレイ１２１に表示されてる。ＯＴＰ送信要求画面５１０は、入力欄５１１およびキー５１２，５１３を含む。入力欄５１１は、ユーザー名の入力を受け付ける。キー５１２は、ＯＴＰの送信の要求を受け付ける。キー５１３は、ディスプレイの表示をログイン画面５００に戻す要求を受け付ける。

ＭＦＰ１００は、ＯＴＰの送信の要求に応じて、ＯＴＰを生成し、生成されたＯＴＰを入力欄５１１に入力されたユーザー名に関連付けられた宛先に向けて送信する。この宛先は、たとえば、ユーザー情報データベースにおいてユーザー名に関連付けられたＯＴＰ送信宛先である。なお、ＭＦＰ１００は、入力欄５１１（図７）に、入力欄５０１（図６）に入力されたユーザー名を表示してもよい。これにより、ユーザーは、入力欄５０１に入力したユーザー名を再度入力欄５１１に入力する必要がない。

図６に戻って、ステップＳＡ２として示されるように、ＭＦＰ１００は、ＯＴＰの送信の要求を受け付けると、入力欄５０１または入力欄５１１に入力されたユーザー名によって特定されるユーザー４００のＯＴＰを生成し、生成されたＯＴＰを当該ユーザー４００に関連付けられた宛先に向けて送信する。ＭＦＰ１００は、ＯＴＰの送信を報知してもよい。

図９は、ＯＴＰの送信を報知するための画面（ＯＴＰ送信報知画面）の一例を示す図である。一実現例では、図９に示されたＯＴＰ送信報知画面５２０は、タイトル「ＯＴＰ送信」と、メッセージ「あなたの登録アドレス宛にワンタイムパスワードを送信しました。送信したワンタイムパスワードでログインしてください。」とを含む。ＯＴＰ送信報知画面５２０は、さらにキー５２１を含む。ＭＦＰ１００は、キー５２１に対して操作されることに応じて、ディスプレイ１２１の表示をログイン画面５００に戻す。

なお、ＭＦＰ１００は、ＯＴＰの送信に失敗した場合、当該失敗を報知してもよい。この場合、ＭＦＰ１００は、たとえば、タイトル「ＯＴＰの送信失敗」と、メッセージ「あなたの登録アドレス宛にはワンタイムパスワードを送信できませんでした。他のアドレスを登録してください。」とを含む画面（ＯＴＰ送信失敗画面）を表示してもよい。ユーザー４００は、ＯＴＰ送信失敗画面が表示されたことに応じて、ユーザー情報データベースに、ＯＴＰ送信宛先として別の宛先を送信し得る。

図６に戻って、ステップＳＣ１として示されるように、情報処理装置２００は、たとえばメーラーを利用して、送信されたＯＴＰを受信する。情報処理装置２００によるＯＴＰの受信は、ユーザーの操作に基づくプル型であってもよいし、ネットワークサーバーなどの外部機器からの能動的な送信に基づくプッシュ型であってもよいし、ポーリングによる擬似的なプッシュ型であってもよい。

一方、ステップＳＢ４として示されるように、ユーザー４００は、ＯＴＰの送信を要求（ステップＳＢ３）した後、自席に戻る。そして、ユーザー４００は、ステップＳＢ５として示されるように、自席の情報処理装置２００に対してＯＴＰの表示を指示する。たとえば、ユーザー４００は、情報処理装置２００のメーラーを利用して、ＯＴＰを含むメール文をディスプレイ２０４に表示することを指示する。ユーザー４００の指示に応じて、情報処理装置２００は、ステップＳＣ２として示されるように、ＯＴＰをディスプレイ２０４に表示する。

ステップＳＢ６として示されるように、ユーザー４００は、情報処理装置２００に表示されたＯＴＰを確認する。このとき、ユーザー４００は、ＭＦＰ１００まで戻る間にＯＴＰを忘れないように、ＯＴＰをメモ用紙に書き写してもよい。

その後、ユーザー４００は、ステップＳＢ７として示されるように、ＭＦＰ１００に戻り、そして、ステップＳＢ８として示されるように、ユーザー名とＯＴＰとをＭＦＰ１００に入力する。ＭＦＰ１００に既にユーザー名が入力されている場合には、ステップＳＢ８におけるユーザー名の入力は省略され得る。

図６では、ユーザー４００がＯＴＰの送信の要求をＭＦＰ１００に入力してから、ユーザー４００が情報処理装置２００でＯＴＰを確認してＭＦＰ１００に戻るまでの時間が、時間ＴＡとして示されている。ＯＴＰの有効期限は、少なくとも時間ＴＡより長くされることが好ましい。

ＭＦＰ１００は、ステップＳＡ３として示されるように、入力されたユーザー名およびＯＴＰを利用してユーザー認証を実行する。ＭＦＰ１００は、ユーザー認証に成功すると、ステップＳＡ４として示されるように、ＭＦＰ１００のディスプレイ１２１にトップメニュー画面を表示する。これにより、ＭＦＰ１００は利用可能な状態になる。

ユーザー認証の成功は、ユーザーが入力したユーザー名とパスワード（またはＯＴＰ）の組合せが、ユーザー情報データベースにおいて登録されたユーザー名とパスワード（または（ＯＴＰ）の組合せと一致したことを意味する。ユーザー認証が成功すると、ユーザーは、ＭＦＰ１００にログインでき、ＭＦＰ１００を利用できる。

ユーザー認証の失敗は、ユーザーが入力したユーザー名とパスワード（またはＯＴＰ）の組合せが、ユーザー情報データベースにおいて登録されたユーザー名とパスワード（または（ＯＴＰ）の組合せと一致しなかったことを意味する。この場合、ユーザーは、ＭＦＰ１００にログインできず、ＭＦＰ１００を利用できない。

図１０は、トップメニュー画面の一例を示す図である。図１０に示されるトップメニュー画面５３０は、ＭＦＰ１００にコピージョブなどのジョブを指示するための種々の設定項目（カラー、用紙、倍率、など）を含む。

トップメニュー画面５３０は、コピージョブにおけるコピー部数を示す欄５３１を含む。ＭＦＰ１００におけるコピー部数の初期値は「１」である。ＭＦＰ１００は、ユーザーからコピー部数の設定を受け付けると、設定された値を記憶装置１０９等のメモリーに格納し、また、設定された値を欄５３１に表示する。たとえば、コピー部数の設定値として「３」が入力されると、ＭＦＰ１００は、記憶装置１０９にコピー部数の設定値として「３」を格納し、また、欄５３１に表示される数字を「１」から「３」に変更する。

ＭＦＰ１００は、無操作時間がオートリセット機能について設定された「一定時間」以上継続すると、ユーザーから入力された設定値を初期値に戻す。コピー部数の設定値として「３」が入力された後、無操作時間が上記一定時間以上継続すると、ＭＦＰ１００は、記憶装置１０９におけるコピー部数の設定値を初期値である「１」に戻すとともに、欄５３１に表示される数字を「３」から「１」に戻す。なお、「コピー部数」は、設定される項目の単なる一例である。

ＭＦＰ１００は、時間ＴＡとして示された期間の少なくとも一部において、ユーザーの認証を禁止される。一実現例では、ＭＦＰ１００は、ユーザー４００がＯＴＰの送信を要求した後、ユーザー４００がＭＦＰ１００に戻ったことを検知するまでは、ユーザーの認証を開始しない。これにより、ＯＴＰを確認するためにユーザー４００がＭＦＰ１００を離れている間に、他のユーザーがユーザー４００になりすましてＭＦＰ１００を使用することが回避され得る。

図１１は、ＭＦＰ１００がユーザーの認証を禁止された期間において表示されるログイン画面の一例を示す図である。図１１に示されたログイン画面５００Ｘは、図７に示されたログイン画面５００と比較して、キー５０３を含まない。すなわち、ＭＦＰ１００は、ログイン画面５００Ｘを表示することによって、ユーザーに対するログイン要求の入力手段の提供を回避し、これによって、ユーザーの認証の開始を回避する。

なお、ログイン画面５００Ｘは、キー５０３を表示しないのではなく、キー５０３をグレーアウトされた状態で表示してもよい。操作パネル１２０が、グレーアウトされたキー５０３に対する操作を受け付けないことによって、ＭＦＰ１００は、ユーザーの認証の開始を回避してもよい。

また、ＭＦＰ１００は、ログイン画面５００においてキー５０３を操作されてもユーザー認証を開始しないことによって、ユーザーの認証の開始を回避するように制御されてもよい。また、ＭＦＰ１００は、ログイン画面として入力欄５０２を含まない画面を表示することによって、ユーザーからのパスワードまたはＯＴＰの入力を受け付けを回避し、これにより、ユーザーの認証の開始を回避するように制御されてもよい。

［処理の流れ］
図１２および図１３は、ＯＴＰによるユーザー認証のためにＭＦＰ１００において実行される処理のフローチャートである。ＭＦＰ１００では、たとえば電源が投入されたことにより図１２および図１３に示された処理が開始される。ＭＦＰ１００は、たとえばＣＰＵ１１１が所与のプログラムを実行することによって、図１２および図１３に示された処理を実行する。

図１２を参照して、ＭＦＰ１００に電源が投入されると、ステップＳ４０１にて、ＭＦＰ１００は、ＭＦＰ１００の初期化処理を実行する。

ステップＳ４０３にて、ＭＦＰ１００は、ディスプレイ１２１にログイン画面（図７）を表示する。

ステップＳ４０５にて、ＭＦＰ１００は、ログアウトの要求を受け付けたか否かを判断する。一実現例では、ログアウトとは、ユーザーの認証を解消することを意味する。ＭＦＰ１００は、ログアウトの要求を受け付けたと判断すると（ステップＳ４０５にてＹＥＳ）、ステップＳ４０３へ制御を戻す。これにより、ディスプレイ１２１の表示がログイン画面に戻される。一方、ＭＦＰ１００は、ログアウトの要求を受け付けていないと判断すると（ステップＳ４０５にてＮＯ）、ステップＳ４０７へ制御を進める。

ステップＳ４０７にて、ＭＦＰ１００は、ＯＴＰの送信の要求を受け付けたか否かを判断する。ＭＦＰ１００は、ＯＴＰの送信の要求を受け付けたと判断すると（ステップＳ４０７にてＹＥＳ）、ステップＳ４２１へ制御を進め、そうでなければ（ステップＳ４０７にてＮＯ）、ステップＳ４０９（図１３）へ制御を進める。

ステップＳ４２１にて、ＭＦＰ１００は、ＯＴＰを送信する宛先が特定可能であるか否かを判断する。この判断は、たとえば、ユーザー情報データベースが、ＯＴＰの送信の要求に含まれるユーザー名に関連付けられた「ＯＴＰ送信宛先」として何らかの値を格納しているか否か、または、格納されている値が所与の形式に従った値（たとえば、メールアドレスの形式に従った値）であるか否かに基づいて実現される。

ＭＦＰ１００は、ＯＴＰを送信する宛先が特定可能であると判断すると（ステップＳ４２１にてＹＥＳ）、ステップＳ４２３へ制御を進め、そうでなければ（ステップＳ４２１にてＮＯ）、ステップＳ４３５へ制御を進める。

ステップＳ４３５にて、ＭＦＰ１００は、ＯＴＰの送信ができないことをディスプレイ１２１に表示する。当該表示は、たとえば、ＯＴＰ送信失敗画面の表示により実現される。その後、ＭＦＰ１００はステップＳ４０５へ制御を戻す。このとき、ディスプレイ１２１の表示はログイン画面に戻されてもよい。

なお、ＭＦＰ１００は、ステップＳ４２１にて、ＯＴＰの送信に必要な情報のすべてが入力および登録されているか否かを判断してもよい。そして、ＭＦＰ１００は、すべての情報が入力または登録されていると判断するとステップＳ４２３へ制御を進め、少なくとも一部の情報が入力または登録されていないと判断するとステップＳ４３５へ制御を進めてもよい。たとえば、ＯＴＰの送信要求の際にＭＦＰ１００にユーザー名が入力されていなければ、ＭＦＰ１００は、ステップＳ４３５にて、ユーザー名が入力されていないことを報知する画面をディスプレイ１２１に表示してもよい。

ステップＳ４２３にて、ＭＦＰ１００は、ＯＴＰの送信の要求の際に入力されたユーザー名について、ＯＴＰを生成する。

ステップＳ４２５にて、ＭＦＰ１００は、ステップＳ４２３にて生成されたＯＴＰをユーザー情報データベースに登録する。このとき、ＭＦＰ１００は、ユーザー情報データベースに、さらに、当該ＯＴＰに関連付けられた「有効期限」を登録してもよい。

一実現例では、ＭＦＰ１００は、有効期限として予め定められた値（たとえば、５分）を設定し、当該値を「有効期限」として設定してもよい。

他の実現例では、ＭＦＰ１００は、認証対象のユーザーが使用する端末の種類を特定する情報を取得し、特定された種類に関連付けられた「有効期限」の値を取得し、そして、取得された「有効期限」の値をユーザー情報データベースに「有効期限」として登録してもよい。端末の種類の一例は「個人ＰＣ」であり、他の例は「携帯端末」である。端末の種類が「個人ＰＣ」である場合は、「携帯端末」であるよりも、「有効期限」としてより長い時間が設定されてもよい。より具体的には、「携帯端末」である場合は、ユーザーは、携帯端末を携帯しながらＭＦＰ１００に対してＯＴＰの送信を要求し、そのまま、当該携帯端末でＯＴＰを確認する可能性がある。一方、「個人ＰＣ」である場合、ユーザーは、ＭＦＰ１００に対してＯＴＰの送信を要求した後、ＭＦＰ１００から当該個人ＰＣまで移動してＯＴＰを確認する可能性がある。すなわち、後者の場合は前者の場合よりもユーザーがＯＴＰの確認に要する時間が長くなる状況が想定される。端末の種類に応じて有効期限の時間の長さが設定されることにより、ＯＴＰの確認に要することが想定される必要最小限の時間が有効期限として設定され得る。

ステップＳ４２７にて、ＭＦＰ１００は、ステップＳ４２３にて生成されたＯＴＰを、ＯＴＰの送信の要求の際に入力されたユーザー名に関連付けられた宛先（ＯＴＰ送信宛先）に向けて送信する。

ステップＳ４２９にて、ＭＦＰ１００は、ＯＴＰの有効期限の計測を開始する。より具体的には、ＭＦＰ１００は、ユーザー情報データベースにおいて、現在の日時を、ステップＳ４２３にて生成されたＯＴＰの「ＯＴＰ計時開始日時」として登録する。ステップＳ４２９の制御によって、ＯＴＰが送信されたときが、ＯＴＰの有効期限の開始の起点となる。

ステップＳ４３１にて、ＭＦＰ１００は、ＯＴＰの送信を要求したユーザーの画像を記憶装置１０９に登録する。ＭＦＰ１００がＯＴＰの送信を要求したユーザーの画像を取得する一例には、操作パネル１２０近傍を撮影するカメラの画像が利用される。この場合、画像処理システムは、操作パネル１２０近傍を撮影するカメラをさらに含み、ＭＦＰ１００は、当該カメラと接続されている。ＭＦＰ１００は、ステップＳ４０７にてＯＴＰの送信の要求を受け付けたと判断したときに（ステップＳ４０７にてＹＥＳ）、カメラから撮像画像を取得し、当該撮像画像から人物の画像を抽出する。人物の画像の抽出は、たとえばパターン認識技術を用いて実現され得る。ＭＦＰ１００は、抽出された人物の画像を、ＯＴＰの送信を要求したユーザーの画像として登録する。

ステップＳ４３３にて、ＭＦＰ１００は、ＯＴＰ送信結果をディスプレイ１２１に表示する。ＯＴＰ送信報知画面５２０は、ＯＴＰ送信結果の一例である。その後、ＭＦＰ１００はステップＳ４０５へ制御を戻す。このとき、ＭＦＰ１００は、ディスプレイ１２１における表示をログイン画面に戻してもよい。

図１３を参照して、ステップＳ４０９にて、ＭＦＰ１００は、ステップＳ４２７のＯＴＰ送信の宛先に関連付けられたユーザーがＭＦＰ１００から離れたか否かを判断する。

一実現例では、ＭＦＰ１００は、ステップＳ４０７にてＯＴＰの送信の要求を受け付けた後、人感センサー１０６が赤外線を放射する物体を検知し続けている場合には、ＯＴＰ送信の宛先に関連付けられたユーザーがＭＦＰ１００から離れていないと判断し、人感センサー１０６が赤外線を放射する物体を検知しなくなった場合に、当該ユーザーがＭＦＰ１００から離れたと判断する。他の実現例では、ステップＳ４３１にて画像を登録されたユーザーの画像が、上記カメラの撮像画像に含まれている間は上記ユーザーがＭＦＰ１００を離れていないと判断し、上記カメラの撮像画像に含まれなくなったことを検知したときに上記ユーザーがＭＦＰ１００から離れたと判断する。さらに他の実現例では、ＭＦＰ１００は、上記カメラの撮像画像が人物を含まないことを検知したときに上記ユーザーがＭＦＰ１００から離れたと判断する。さらに他の実現例では、ＭＦＰ１００は、ユーザーからＭＦＰ１００を離れることを表す操作を受け付けるまでは上記ユーザーはＭＦＰ１００を離れていないと判断し、当該操作を受け付けた場合に上記ユーザーがＭＦＰ１００から離れたと判断する。ＭＦＰ１００は、ステップＳ４０７にてＯＴＰの送信の要求を受け付けた後、「離れることを表す操作」を受け付けるためのキーをディスプレイ１２１に表示してもよい。

ＭＦＰ１００は、上記ユーザーがＭＦＰ１００から離れたと判断すると（ステップＳ４０９にてＹＥＳ）、ステップＳ４４１へ制御を進め、そうでなければ（ステップＳ４０９にてＮＯ）、ステップＳ４１１へ制御を進める。

ステップＳ４４１にて、ＭＦＰ１００は、当該ＭＦＰ１００を、認証実行を禁止された状態に制御する。ステップＳ４４１の制御の一例は、ディスプレイ１２１に、ログイン画面としてログイン画面５００Ｘ（図１１）を表示することである。他の例は、ログイン画面として入力欄５０２を含まない画面を表示することである。その後、ＭＦＰ１００はステップＳ４０５へ制御を戻す。

ステップＳ４１１にて、ＭＦＰ１００は、ログイン画面で（入力欄５０１に）ユーザー名が入力されたか否かを判断する。ＭＦＰ１００は、ログイン画面でユーザー名が入力されたと判断すると（ステップＳ４１１にてＹＥＳ）、ステップＳ４４５へ制御を進め、そうでなければ（ステップＳ４１１にてＮＯ）、ステップＳ４１３へ制御を進める。

ステップＳ４１３にて、ＭＦＰ１００は、ＯＴＰの送信を要求したユーザーがＭＦＰ１００に戻ったか否かを判断する。一実現例では、ＭＦＰ１００は、上記カメラの撮像画像において、ステップＳ４３１にて登録された画像で特定されるユーザーが、一旦上記カメラの撮像画像から消失した後、再度上記カメラの撮像画像に含まれるようになったことを検知したときに、ＯＴＰの送信を要求したユーザーがＭＦＰ１００に戻ったと判断する。ＭＦＰ１００は、ＯＴＰの送信を要求したユーザーがＭＦＰ１００に戻ったと判断すると（ステップＳ４１３にてＹＥＳ）、ステップＳ４４７へ制御を進め、そうでなければ（ステップＳ４１３にてＮＯ）、ステップＳ４１５へ制御を進める。

ステップＳ４４５にて、ＭＦＰ１００は、ステップＳ４１１にて入力されたと判断したユーザー名が、ステップＳ４２７にてＯＴＰを送信した宛先に関連付けられたユーザー名、すなわち、ＯＴＰの送信の要求に含まれるユーザー名であるか否かを判断する。ＭＦＰ１００は、入力されたユーザー名がＯＴＰの送信の要求に含まれるユーザー名であると判断すると（ステップＳ４４５にてＹＥＳ）、ステップＳ４４７へ制御を進め、そうでなければ（ステップＳ４４５にてＮＯ）、ステップＳ４０５へ制御を戻す。

ステップＳ４４７にて、ＭＦＰ１００は、ステップＳ４４１における認証実行の禁止を解除する。これにより、ＭＦＰ１００は、認証実行を許可される。たとえば、ステップＳ４４１にてログイン画面５００Ｘ（図１１）が表示された場合、ステップＳ４４７では、当該表示がログイン画面５００（図７）に置き換えられる。ステップＳ４４１にてログイン画面から入力欄５０２が消去された場合、ステップＳ４４７では、ログイン画面において入力欄５０２が復活する。その後、ＭＦＰ１００はステップＳ４０５へ制御を戻す。

ステップＳ４１５にて、ＭＦＰ１００は、ログインの要求を受け付けたか否かを判断する。ＭＦＰ１００は、たとえばキー５０３（図７）を操作されることにより、ログインの要求を受け付ける。ＭＦＰ１００は、ログインの要求を受け付けたと判断すると（ステップＳ４１５にてＹＥＳ）、ステップＳ４５１へ制御を進め、そうでなければ（ステップＳ４１５にてＮＯ）、ステップＳ４１７へ制御を進める。

ステップＳ４５１にて、ＭＦＰ１００は、ログインの要求において入力された、ユーザー名とパスワードの組合せまたはユーザー名とＯＴＰの組合せが、ユーザー情報データベースにおいて登録されている組合せと一致するか否かを判断する。ＭＦＰ１００は、一致すると判断すると（ステップＳ４５１にてＹＥＳ）、ステップＳ４５３へ制御を進め、そうでなければ（ステップＳ４５１にてＮＯ）、ステップＳ４６１へ制御を進める。

ステップＳ４６１にて、ＭＦＰ１００は、ユーザー認証の失敗をディスプレイ１２１に表示し、その後、ステップＳ４０５へ制御を戻す。ＭＦＰ１００は、ユーザー認証の失敗の表示の後、ディスプレイ１２１における表示をログイン画面に戻してもよい。

ステップＳ４５３にて、ＭＦＰ１００は、ステップＳ４５１において認証に利用された情報がＯＴＰであったか否かを判断する。ＭＦＰ１００は、たとえば、ログインの要求においてユーザー名とともに入力された情報が、ユーザー情報データベースにおける「パスワード」ではなく「ＯＴＰ」と一致したと判断した場合、ステップＳ４５１において認証に利用された情報がＯＴＰであったと判断する。

ＭＦＰ１００は、ユーザー認証に利用された情報がＯＴＰであったと判断すると（ステップＳ４５３にてＹＥＳ）、ステップＳ４５５へ制御を進め、そうでなければ（ステップＳ４５３にてＮＯ）、ステップＳ４５７へ制御を進める。

ステップＳ４５５にて、ＭＦＰ１００は、ＯＴＰの有効期限満了前であるか否かを判断する。ＭＦＰ１００は、ＯＴＰの有効期限がまだ満了していなければ（ステップＳ４５５にてＹＥＳ）、ステップＳ４５７へ制御を進め、そうでなければ（ステップＳ４５５にてＮＯ）、ステップＳ４６１へ制御を進める。

ステップＳ４５７にて、ＭＦＰ１００は、ユーザー認証に利用されたＯＴＰをユーザー情報データベースから消去して、ステップＳ４５９へ制御を進める。これにより、一度認証に利用されたＯＴＰが、再度利用されることが回避される。なお、画像処理システムでは、ＯＴＰは、有効期限を設定されていれば、複数回の認証に利用されるパスワードであってもよい。

ステップＳ４５９にて、ＭＦＰ１００は、トップメニュー画面５３０をディスプレイ１２１に表示した後、ステップＳ４０５へ制御を戻す。

ステップＳ４５１～ステップＳ４６１の制御によって、ログインの要求において、ユーザー情報データベースに登録されたユーザー名とパスワードの組合せが入力されれば（ステップＳ４５１にてＹＥＳ、かつ、ステップＳ４５３にてＮＯ）、ステップＳ４５７にて当該ユーザー名に関連付けられて登録されたＯＴＰがクリアされた後、ステップＳ４５９にてトップメニュー画面５３０が表示される。これにより、ユーザーは、ＭＦＰ１００の利用を許可される。

ログインの要求において、ユーザー情報データベースに登録されたユーザー名とＯＴＰの組合せが入力されれば（ステップＳ４５１にてＹＥＳ、かつ、ステップＳ４５３にてＹＥＳ）、ＯＴＰの有効期限の満了前であることを条件として（ステップＳ４５５にてＹＥＳ）、ステップＳ４５９にてトップメニュー画面５３０が表示される。この場合、ステップＳ４５７にて、ユーザー認証に利用されたＯＴＰがユーザー情報データベースから削除される。これにより、一度ユーザー認証に利用されたＯＴＰがその後も利用されることが回避され得る。

ステップＳ４５９においてトップメニュー画面５３０が表示されることは、ユーザー認証が成功したことを意味する。ステップＳ４６１において認証失敗が表示されることは、ユーザー認証が失敗したことを意味する。

ステップＳ４１７にて、ＭＦＰ１００は、上述の要求（ステップＳ４０５のログアウト、ステップＳ４０７のＯＴＰの送信、および、ステップＳ４１５のログイン）以外の要求を受け付けたか否かを判断する。ステップＳ４１７において判断される要求（以下、「他の要求」ともいう）の一例は、トップメニュー画面５３０に対して入力される要求（コピー枚数の変更の要求など）であり、他の例は、キー操作によるコピージョブの実行開始の要求である。

ＭＦＰ１００は、上記他の要求を受け付けたと判断すると（ステップＳ４１７にてＹＥＳ）、ステップＳ４７１へ制御を進め、そうでなければ（ステップＳ４１７にてＮＯ）、ステップＳ４０５へ制御を戻す。

ステップＳ４７１にて、ＭＦＰ１００は、要求に応じた処理を実行した後、ステップＳ４０５へ制御を戻す。要求に応じた処理の一例は、コピー枚数の変更に応じた、トップメニュー画面５３０の更新およびコピージョブの設定更新である。すなわち、ＭＦＰ１００は、ユーザーがＭＦＰ１００にログインした後は、ステップＳ４７１にてユーザーからの要求に応じた処理を実行する。また、ＭＦＰ１００は、ログイン前のユーザー名の入力を、ステップＳ４７１にて受け付ける。

以上説明された本実施の形態では、ＯＴＰの送信を要求したユーザーがＭＦＰ１００から離れたことが検知されると（ステップＳ４０９にてＹＥＳ）、ＭＦＰ１００は、ユーザーの認証を禁止された状態に制御される（ステップＳ４４１）。一方、ＯＴＰの送信を要求したユーザーがＭＦＰ１００に戻ったことが検知されると（ステップＳ４１１およびステップＳ４４５にてＹＥＳ、または、ステップＳ４１３にてＹＥＳ）、上記禁止が解除される（ステップＳ４４７）。

一実現例では、ＭＦＰ１００は、ユーザーの認証を禁止された状態では、図１１のログイン画面５００Ｘを表示するなどして、ユーザーに対するログイン要求の手段の提供を回避する。他の実現例では、ＭＦＰ１００は、上記状態では、ログイン画面から入力欄５０２を消去することにより、ユーザーに対するパスワードおよびワンタイムパスワードの入力のための手段の提供を回避する。

［変形例］
本変形例では、ユーザーの認証を禁止されている間のＭＦＰ１００の動作が変更される。より具体的には、ＭＦＰ１００は、ステップＳ４４１（図１３）にてユーザーの認証を禁止されてからステップＳ４４７（図１３）にて当該禁止が解除されるまでに受け付けたログインの要求に対して、無条件に、ユーザー認証の結果として失敗を出力する。

図１４は、図１３に示された部分の変形例を示す図である。図１４に示された部分は、図１３に示された部分と比較して、ステップＳ４１６の制御をさらに含む。図１４に示された例では、ＭＦＰ１００は、ステップＳ４１５にてログインの要求を受け付けたと判断すると（ステップＳ４１５にてＹＥＳ）、ステップＳ４１６へ制御を進める。

ステップＳ４１６にて、ＭＦＰ１００は、ＭＦＰ１００が認証実行を禁止された状態にあるか否かを判断する。ＭＦＰ１００は、ステップＳ４４１にて認証実行を禁止されてからステップＳ４４７にて認証実行を許可されるまでは、ＭＦＰ１００が認証実行を禁止された状態にあると判断する。

ＭＦＰ１００は、ＭＦＰ１００が認証実行を禁止された状態にあると判断すると（ステップＳ４１６にてＹＥＳ）、ステップＳ４６１へ制御を進める。これにより、ログイン画面に入力されたパスワードまたはＯＴＰが正しいか否かが判断されることなく、ユーザー認証が失敗する。一方、ＭＦＰ１００は、ＭＦＰ１００が認証実行を禁止された状態には無いと判断すると（ステップＳ４１６にてＮＯ）、ステップＳ４５１へ制御を進める。

なお、ＭＦＰ１００は、ＭＦＰ１００が認証実行を禁止された状態にあるときに、認証結果を出力しないように制御されてもよい。より具体的には、ＭＦＰ１００は、ＭＦＰ１００が認証実行を禁止された状態にあると判断すると（ステップＳ４１６にてＹＥＳ）、ステップＳ４６１を実行することなくステップＳ４０５へ制御を戻しても良い。

＜第２の実施の形態＞
第２の実施の形態の画像処理システムは、図１と同様に、ＭＦＰ１００、情報処理装置２００、および、認証サーバー３００を含む。第２の実施の形態では、認証サーバー３００がユーザー認証の少なくとも一部を実行する。ＭＦＰ１００の制御部１１０は、第１のコントローラーの一例であり、認証サーバー３００のＣＰＵ３０１は第２のコントローラーの一例である。ユーザー情報データベース（図５）は、認証サーバー３００の記憶装置３０３に格納される。

［ＯＴＰを利用したユーザー認証の概要］
図１５は、第２の実施の形態におけるＯＴＰを利用したユーザー認証の概要を示す図である。図１５は、図６と同様に、ＭＦＰ１００、情報処理装置２００、およびユーザー４００が示す。なお、図１５には、ＭＦＰ１００および情報処理装置２００のそれぞれにおける処理に加えて、認証サーバー３００における処理が示される。

図１５を参照して、ＭＦＰ１００は、ステップＳＡ１として示されるようにログイン画面を表示し、ユーザーからの認証用の情報の入力を待つ。

情報処理装置２００を利用しているユーザー４００は、ステップＳＢ１として示されるように、ＭＦＰ１００を利用するためにＭＦＰ１００に近づく。

ステップＳＢ２として示されるように、ＭＦＰ１００に近づいたユーザー４００は、ＭＦＰ１００にユーザー名を入力する。ユーザー４００は、パスワードを失念した等の理由から、ステップＳＢ３として示されるように、ＯＴＰの送信を要求する。

ＭＦＰ１００は、ステップＳＡ１１として示されるように、ユーザー４００からのＯＴＰの送信の要求に応じて、認証サーバー３００にユーザー４００のＯＴＰの送信を要求する。このとき、ＭＦＰ１００は、ユーザー４００のユーザー名を認証サーバー３００に通知する。

認証サーバー３００は、ステップＳＣ１において、ＭＦＰ１００からの要求に応じて、ユーザー４００のＯＴＰを生成し、生成されたＯＴＰをユーザー４００のユーザー名に関連付けられた宛先に向けて送信する。この宛先は、たとえば、ユーザー情報データベースにおいてユーザー名に関連付けられたＯＴＰ送信宛先である。

認証サーバー３００は、ステップＳＡ１２において、ＯＴＰの送信の完了をＭＦＰ１００に通知する。この通知に応じて、ＭＦＰ１００は、ＯＴＰ送信報知画面（図９）をディスプレイ１２１に表示してもよい。

情報処理装置２００は、ステップＳＣ１として示されるように、たとえばメーラーを利用して、送信されたＯＴＰを受信する。

一方、ユーザー４００は、ステップＳＢ４として示されるように、ＯＴＰの送信を要求（ステップＳＢ３）した後、自席に戻る。そして、ユーザー４００は、ステップＳＢ５として示されるように、自席の情報処理装置２００に対してＯＴＰの表示を指示する。

情報処理装置２００は、ステップＳＣ２として示されるように、ユーザー４００の指示に応じて、ディスプレイ２０４にＯＴＰを表示する。

ユーザー４００は、ステップＳＢ６として示されるように、情報処理装置２００に表示されたＯＴＰを確認する。

ＭＦＰ１００は、ステップＳＡ１３として示されるように、入力されたユーザー名およびＯＴＰを利用して、認証サーバー３００に対してユーザー認証を要求する。

認証サーバー３００は、ステップＳＤ２として示されるように、ＭＦＰ１００からの要求に応じてユーザー認証を実行し、ステップＳＤ３として示されるように、ユーザー認証の結果をＭＦＰ１００に通知する。

ＭＦＰ１００は、認証結果に応じた画面をディスプレイ１２１に表示する。たとえば、認証結果が認証の成功を示す場合、ＭＦＰ１００は、ステップＳＡ４として示されるように、ディスプレイ１２１にトップメニュー画面を表示する。これにより、ＭＦＰ１００は利用可能な状態になる。

認証サーバー３００は、時間ＴＡとして示された期間の少なくとも一部において、ユーザーの認証を禁止される。一実現例では、認証サーバー３００は、ＭＦＰ１００においてユーザー４００がＯＴＰの送信を要求した後、ユーザー４００がＭＦＰ１００に戻ったことが検知されるまでは、ユーザーの認証を開始しない。これにより、ＯＴＰを確認するためにユーザー４００がＭＦＰ１００を離れている間に、他のユーザーがユーザー４００になりすましてＭＦＰ１００を使用することが回避され得る。

認証サーバー３００は、当該認証サーバー３００がユーザーの認証を禁止された期間において、ＭＦＰ１００に、図７に示されたログイン画面５００の代わりに、図１１に示されたログイン画面５００Ｘを表示させてもよい。すなわち、ＭＦＰ１００は、ログイン画面５００Ｘを表示することによって、ユーザーにＭＦＰ１００に対するログイン要求の入力手段の提供を回避し、これによって、認証サーバー３００は、ユーザーの認証の開始を回避する。

なお、認証サーバー３００は、ＭＦＰ１００から認証の要求を受け付けてもユーザー認証を開始しないことによって、ユーザー認証を回避してもよい。また、認証サーバー３００は、ＭＦＰ１００にログイン画面として入力欄５０２を含まない画面を表示させることによって、ユーザーからのパスワードまたはＯＴＰの入力の受け付けを回避し、これにより、ユーザー認証の開始を回避してもよい。

［処理の流れ］
図１６～図２１は、第２の実施の形態においてＯＴＰによるユーザー認証のために実行される処理のフローチャートである。図１６～図２１では、図１２～図１４において説明された制御に対応する制御には、図１２～図１４において付されたのと同じ符号（「Ｓ４０１」など）が付されている。図１６～図２０のそれぞれでは、左側にＭＦＰ１００における処理が示され、右側に認証サーバー３００における処理が示される。図２１では、ＭＦＰ１００における処理が示される。

ＭＦＰ１００に電源が投入されると、ステップＳ４０１にて、ＭＦＰ１００は、ＭＦＰ１００の初期化処理を実行する。

ステップＳ４０５にて、ＭＦＰ１００は、ログアウトの要求を受け付けたか否かを判断する。ＭＦＰ１００は、ログアウトの要求を受け付けたと判断すると（ステップＳ４０５にてＹＥＳ）、ステップＳ４０３へ制御を戻す。これにより、ディスプレイ１２１の表示がログイン画面に戻される。一方、ＭＦＰ１００は、ログアウトの要求を受け付けていないと判断すると（ステップＳ４０５にてＮＯ）、ステップＳ４０７へ制御を進める。

ステップＳ４０７にて、ＭＦＰ１００は、ＯＴＰの送信の要求を受け付けたか否かを判断する。ＭＦＰ１００は、ＯＴＰの送信の要求を受け付けたと判断すると（ステップＳ４０７にてＹＥＳ）、ステップＳ４３１へ制御を進め、そうでなければ（ステップＳ４０７にてＮＯ）、ステップＳ４３２へ制御を進める。

ステップＳ４３１にて、ＭＦＰ１００は、ＯＴＰの送信を要求したユーザーの画像を記憶装置１０９に登録する。

ステップＳ４０７Ａにて、ＭＦＰ１００は、認証サーバー３００に対してＯＴＰの送信を要求する。当該要求は、たとえば、ユーザーから入力されたユーザー名を含むメッセージの送信によって実現される。その後、ＭＦＰ１００はステップＳ４０５へ制御を戻す。

認証サーバー３００は、ステップＳ４２０にて、ＭＦＰ１００からＯＴＰの送信の要求（ステップＳ４０７Ａ）を受けたか否かを判断する。認証サーバー３００は、ＯＴＰの送信の要求を受けたと判断すると（ステップＳ４２０にてＹＥＳ）、ステップＳ４２１へ制御を進め、そうでなければ（ステップＳ４２０にてＮＯ）、ステップＳ４４０（図１７）へ制御を進める。

ステップＳ４２１にて、認証サーバー３００は、ＯＴＰを送信する宛先が特定可能であるか否かを判断する。認証サーバー３００は、ＯＴＰを送信する宛先が特定可能であると判断すると（ステップＳ４２１にてＹＥＳ）、ステップＳ４２３へ制御を進め、そうでなければ（ステップＳ４２１にてＮＯ）、ステップＳ４２４（図１８）へ制御を進める。

ステップＳ４２３にて、認証サーバー３００は、ＯＴＰの送信の要求の際に入力されたユーザー名について、ＯＴＰを生成する。

ステップＳ４２５にて、認証サーバー３００は、ステップＳ４２３にて生成されたＯＴＰをユーザー情報データベースに登録する。このとき、認証サーバー３００は、ユーザー情報データベースに、さらに、当該ＯＴＰに関連付けられた「有効期限」を登録してもよい。一実現例では、認証サーバー３００は、一定の値（たとえば、３分）を「有効期限」として登録する。他の実現例では、認証サーバー３００は、ユーザーがＯＴＰの確認に利用する情報処理装置２００の種類（たとえば、第１の種類または第２の種類）に従って、「有効期限」として登録する値を設定する。

ステップＳ４２７にて、認証サーバー３００は、ステップＳ４２３にて生成されたＯＴＰを、ＯＴＰの送信の要求の際に入力されたユーザー名に関連付けられた宛先（「ＯＴＰ送信宛先」）に向けて送信する。

ステップＳ４２８にて、認証サーバー３００は、ＭＦＰ１００に、ＯＴＰの送信を通知する。

ＭＦＰ１００は、ステップＳ４３２にて、ＯＴＰの送信の通知を受信したか否かを判断する。ＭＦＰ１００は、ＯＴＰの送信の通知を受信したと判断すると（ステップＳ４３２にてＹＥＳ）、ステップＳ４３３にて、ディスプレイ１２１にＯＴＰ送信報知画面（図９）を表示した後、ステップＳ４０５へ制御を戻す。このとき、ディスプレイ１２１の表示はログイン画面に戻されてもよい。ＭＦＰ１００は、ＯＴＰの送信の通知を受信していないと判断すると（ステップＳ４３２にてＮＯ）、ステップＳ４０９（図１７）へ制御を進める。

認証サーバー３００は、ステップＳ４２９にて、ＯＴＰの有効期限の計測を開始する。ステップＳ４２９の制御によって、認証サーバー３００では、ＯＴＰが送信されたときが、ＯＴＰの有効期限の開始の起点となる。その後、認証サーバー３００はステップＳ４２０へ制御を戻す。

図１７を参照して、ステップＳ４０９にて、ＭＦＰ１００は、ステップＳ４２７のＯＴＰ送信の宛先に関連付けられたユーザーがＭＦＰ１００から離れたか否かを判断する。

ＭＦＰ１００は、上記ユーザーがＭＦＰ１００から離れたと判断すると（ステップＳ４０９にてＹＥＳ）、ステップＳ４０９Ａへ制御を進め、そうでなければ（ステップＳ４０９にてＮＯ）、ステップＳ４１１へ制御を進める。

ステップＳ４０９Ａにて、ＭＦＰ１００は、認証サーバー３００に対して、認証禁止を通知する。このとき、ＭＦＰ１００は、ディスプレイ１２１に、ログイン画面としてログイン画面５００Ｘ（図１１）、または、ログイン画面として入力欄５０２を含まない画面を表示してもよい。その後、ＭＦＰ１００はステップＳ４０５へ制御を戻す。

ステップＳ４１３にて、ＭＦＰ１００は、ＯＴＰの送信を要求したユーザーがＭＦＰ１００に戻ったか否かを判断する。一実現例では、ＭＦＰ１００は、上記カメラの撮像画像において、ステップＳ４３１にて登録された画像で特定されるユーザーが、一旦上記カメラの撮像画像から消失した後、再度上記カメラの撮像画像に含まれるようになったことを検知したときに、ＯＴＰの送信を要求したユーザーがＭＦＰ１００に戻ったと判断する。ＭＦＰ１００は、ＯＴＰの送信を要求したユーザーがＭＦＰ１００に戻ったと判断すると（ステップＳ４１３にてＹＥＳ）、ステップＳ４１３Ａへ制御を進め、そうでなければ（ステップＳ４１３にてＮＯ）、ステップＳ４３４（図１８）へ制御を進める。

ステップＳ４４５にて、ＭＦＰ１００は、ステップＳ４１１にて入力されたと判断したユーザー名が、ステップＳ４２７にてＯＴＰを送信した宛先に関連付けられたユーザー名、すなわち、ＯＴＰの送信の要求に含まれるユーザー名であるか否かを判断する。ＭＦＰ１００は、入力されたユーザー名がＯＴＰの送信の要求に含まれるユーザー名であると判断すると（ステップＳ４４５にてＹＥＳ）、ステップＳ４１３Ａへ制御を進め、そうでなければ（ステップＳ４４５にてＮＯ）、ステップＳ４０５へ制御を戻す。

ステップＳ４１３Ａにて、ＭＦＰ１００は、認証サーバー３００に対して、認証許可を通知する。その後、ＭＦＰ１００はステップＳ４０５へ制御を戻す。

一方、認証サーバー３００は、ステップＳ４４０にて、ＭＦＰ１００からの認証禁止の通知（ステップＳ４０９Ａ）を受信したか否かを判断する。認証サーバー３００は、認証禁止の通知を受信したと判断すると（ステップＳ４４０にてＹＥＳ）、ステップＳ４４１へ制御を進め、そうでなければ（ステップＳ４４０にてＮＯ）、ステップＳ４４６へ制御を進める。

ステップＳ４４１にて、認証サーバー３００は、当該認証サーバー３００を、認証実行を禁止された状態に制御する。ステップＳ４４１の制御の一例は、ＭＦＰ１００に、ログイン画面としてログイン画面５００Ｘ（図１１）、または、ログイン画面として入力欄５０２を含まない画面の表示を指示することである。ＭＦＰ１００は、当該指示に応じて、ディスプレイ１２１における表示を更新する。その後、認証サーバー３００はステップＳ４２０へ制御を戻す。

ステップＳ４４６にて、認証サーバー３００は、ＭＦＰ１００から認証許可の通知（ステップＳ４１３Ａ）を受信したか否かを判断する。認証サーバー３００は、認証許可の通知を受信したと判断すると（ステップＳ４４６にてＹＥＳ）、ステップＳ４４７へ制御を進め、そうでなければ（ステップＳ４４６にてＮＯ）、ステップＳ４５０（図１９）へ制御を進める。

ステップＳ４４７にて、ＭＦＰ１００は、ステップＳ４４１における認証実行の禁止を解除する。これにより、認証サーバー３００は、認証実行を許可される。たとえば、ステップＳ４４１にてＭＦＰ１００にログイン画面５００Ｘ（図１１）の表示を指示した場合、認証サーバー３００は、ステップＳ４４７では、当該表示をログイン画面５００（図７）に置き換えることを指示する。ステップＳ４４１にてＭＦＰ１００にログイン画面から入力欄５０２を消去することを指示した場合、認証サーバー３００は、ステップＳ４４７では、ＭＦＰ１００に、ログイン画面において入力欄５０２を復活させることを指示する。ＭＦＰ１００は、当該指示に応じて、ディスプレイ１２１における表示を更新する。その後、認証サーバー３００はステップＳ４２０へ制御を戻す。

図１８を参照して、認証サーバー３００は、ステップＳ４２４にて、ＭＦＰ１００に、ＯＴＰを送信する宛先が特定不能であることを通知する。

ＭＦＰ１００は、ステップＳ４３４にて、ＯＴＰを送信する宛先が特定不能であることを表す通知を受信したか否かを判断し、当該通知を受信したと判断すると（ステップＳ４３４にてＹＥＳ）、ステップＳ４３５へ制御を進め、そうでなければ（ステップＳ４３４にてＮＯ）、ステップＳ４１５（図１９）へ制御を進める。

ステップＳ４３５にて、ＭＦＰ１００は、ＯＴＰの送信ができないことをディスプレイ１２１に表示する。当該表示は、たとえば、ＯＴＰ送信失敗画面の表示により実現される。その後、ＭＦＰ１００は、ステップＳ４０５へ制御を戻す。このとき、ディスプレイ１２１の表示はログイン画面に戻されてもよい。

図１９を参照して、ステップＳ４１５にて、ＭＦＰ１００は、ログインの要求を受け付けたか否かを判断する。ＭＦＰ１００は、ログインの要求を受け付けたと判断すると（ステップＳ４１５にてＹＥＳ）、ステップＳ４１５Ａへ制御を進め、そうでなければ（ステップＳ４１５にてＮＯ）、ステップＳ４５８（図２０）へ制御を進める。

ステップＳ４１５Ａにて、ＭＦＰ１００は、認証サーバー３００にログインの要求を送信する。当該要求は、ユーザーから入力された、ユーザーと、パスワードまたはＯＴＰを含む。その後、ＭＦＰ１００は、ステップＳ４０５（図１６）へ制御を戻す。

認証サーバー３００は、ステップＳ４５０にて、ログインの要求を受信したか否かを判断する。認証サーバー３００は、ログインの要求を受信したと判断すると（ステップＳ４５０にてＹＥＳ）、ステップＳ４５１（図２０）へ制御を進め、そうでなければ（ステップＳ４５０にてＮＯ）、ステップＳ４２０（図１６）へ制御を戻す。

図２０を参照して、認証サーバー３００は、ステップＳ４５１にて、ログインの要求として受信した、ユーザー名とパスワードの組合せまたはユーザー名とＯＴＰの組合せが、ユーザー情報データベースにおいて登録されている組合せと一致するか否かを判断する。認証サーバー３００は、一致すると判断すると（ステップＳ４５１にてＹＥＳ）、ステップＳ４５３へ制御を進め、そうでなければ（ステップＳ４５１にてＮＯ）、ステップＳ４５２へ制御を進める。

ステップＳ４５２にて、認証サーバー３００は、ＭＦＰ１００にユーザー認証の失敗を通知した後、ステップＳ４２０（図１６）へ制御を戻す。

ステップＳ４５３にて、認証サーバー３００は、ステップＳ４５１において認証に利用された情報がＯＴＰであったか否かを判断する。認証サーバー３００は、ユーザー認証に利用された情報がＯＴＰであったと判断すると（ステップＳ４５３にてＹＥＳ）、ステップＳ４５５へ制御を進め、そうでなければ（ステップＳ４５３にてＮＯ）、ステップＳ４５６Ａへ制御を進める。

ステップＳ４５５にて、認証サーバー３００は、ＯＴＰの有効期限満了前であるか否かを判断する。認証サーバー３００は、ＯＴＰの有効期限がまだ満了していなければ（ステップＳ４５５にてＹＥＳ）、ステップＳ４５６Ａへ制御を進め、そうでなければ（ステップＳ４５５にてＮＯ）、ステップＳ４５６Ｂへ制御を進める。

ステップＳ４５６Ａにて、認証サーバー３００は、ＭＦＰ１００にユーザー認証の成功を通知した後、ステップＳ４５７へ制御を進める。一方、ステップＳ４５６Ｂにて、認証サーバー３００は、ＭＦＰ１００にユーザー認証の失敗を通知した後、ステップＳ４２０（図１６）へ制御を戻す。

ステップＳ４５７にて、ＭＦＰ１００は、ユーザー認証に利用されたＯＴＰをユーザー情報データベースから消去して、ステップＳ４２０（図１６）へ制御を戻す。

一方、ＭＦＰ１００は、ステップＳ４５８にて、ユーザー認証の成功の通知を受信したか否かを判断する。ＭＦＰ１００は、成功の通知を受信したと判断すると（ステップＳ４５８にてＹＥＳ）、ステップＳ４５９へ制御を進め、そうでなければ（ステップＳ４５８にてＮＯ）、ステップＳ４６０へ制御を進める。

ステップＳ４５９にて、ＭＦＰ１００は、トップメニュー画面５３０をディスプレイ１２１に表示した後、ステップＳ４０５へ制御を戻す。これにより、ユーザーは、ＭＦＰ１００の利用を許可される。その後、ＭＦＰ１００はステップＳ４０５（図１６）へ制御を戻す。

ステップＳ４６０にて、ＭＦＰ１００は、ユーザー認証の失敗の通知を受信したか否かを判断する。ＭＦＰ１００は、失敗の通知を受信したと判断すると（ステップＳ４６０にてＹＥＳ）、ステップＳ４６１へ制御を進め、そうでなければ（ステップＳ４６０にてＮＯ）、ステップＳ４１７（図２１）へ制御を進める。

ステップＳ４６１にて、ＭＦＰ１００は、ユーザー認証が失敗したことをディスプレイ１２１に表示し、その後、ステップＳ４０５（図１６）へ制御を戻す。ＭＦＰ１００は、ユーザー認証の失敗の表示の後、ディスプレイ１２１における表示をログイン画面に戻してもよい。

図２１を参照して、ステップＳ４１７にて、ＭＦＰ１００は、上述の要求（ステップＳ４０５のログアウト、ステップＳ４０７のＯＴＰの送信、および、ステップＳ４１５のログイン）以外の要求（以下、「他の要求」という）を受け付けたか否かを判断する。ＭＦＰ１００は、上記他の要求を受け付けたと判断すると（ステップＳ４１７にてＹＥＳ）、ステップＳ４７１へ制御を進め、そうでなければ（ステップＳ４１７にてＮＯ）、ステップＳ４０５へ制御を戻す。

以上説明された第２の実施の形態では、ＭＦＰ１００においてＯＴＰの送信を要求したユーザーがＭＦＰ１００から離れたことが検知されると（ステップＳ４０９にてＹＥＳ）、ＭＦＰ１００は、認証サーバー３００に対して認証禁止を通知し（ステップＳ４０９Ａ）、これにより、認証サーバー３００は、ユーザーの認証を禁止された状態に制御される（ステップＳ４４１）。一方、ＭＦＰ１００においてＯＴＰの送信を要求したユーザーがＭＦＰ１００に戻ったことが検知されると（ステップＳ４１１およびステップＳ４４５にてＹＥＳ、または、ステップＳ４１３にてＹＥＳ）、ＭＦＰ１００は、認証サーバー３００に対して認証許可を通知し（ステップＳ４１３Ａ）、これにより、認証サーバー３００は、上記禁止が解除された状態に制御される（ステップＳ４４７）。

一実現例では、認証サーバー３００は、ユーザーの認証を禁止された状態では、ＭＦＰ１００に図１１のログイン画面５００Ｘの表示を指示するなどして、ユーザーに対するログイン要求の入力手段の提供を回避する。他の実現例では、認証サーバー３００は、上記状態では、ＭＦＰ１００に対してログイン画面から入力欄５０２を消去することを指示することにより、ユーザーに対するパスワードおよびワンタイムパスワードの入力手段の提供を回避する。

［変形例］
本変形例では、ユーザーの認証を禁止されている間の認証サーバー３００の動作が変更される。より具体的には、認証サーバー３００は、ステップＳ４４１（図１７）にてユーザーの認証を禁止されてからステップＳ４４７（図１７）にて当該禁止が解除されるまでに受け付けたログインの要求に対して、無条件に、ユーザー認証の結果として失敗を出力する。

図２２は、図１９に示された部分の変形例を示す図である。図２２に示された部分は、図１９に示された部分と比較して、ステップＳ４１６およびステップＳ４１６Ａの制御をさらに含む。図２２に示された例では、認証サーバー３００は、ステップＳ４５０にてログインの要求を受け付けたと判断すると（ステップＳ４５０にてＹＥＳ）、ステップＳ４１６へ制御を進める。

ステップＳ４１６にて、認証サーバー３００は、認証サーバー３００が認証実行を禁止された状態にあるか否かを判断する。認証サーバー３００は、ステップＳ４４１にて認証実行を禁止されてからステップＳ４４７にて認証実行を許可されるまでは、認証サーバー３００が認証実行を禁止された状態にあると判断する。

認証サーバー３００は、認証サーバー３００が認証実行を禁止された状態にあると判断すると（ステップＳ４１６にてＹＥＳ）、ステップＳ４１６Ａへ制御を進める。ステップＳ４１６Ａにて、認証サーバー３００は、ステップＳ４５２と同様にＭＦＰ１００にユーザー認証の失敗を通知した後、ステップＳ４２０（図１６）へ制御を戻す。これにより、ログイン画面に入力されたパスワードまたはＯＴＰが正しいか否かが判断されることなく、ユーザー認証が失敗する。一方、ＭＦＰ１００は、ＭＦＰ１００が認証実行を禁止された状態には無いと判断すると（ステップＳ４１６にてＮＯ）、ステップＳ４５１（図２０）へ制御を進める。

なお、認証サーバー３００は、認証サーバー３００が認証実行を禁止された状態にあるときに、認証結果を出力しないように制御されてもよい。より具体的には、認証サーバー３００は、認証サーバー３００が認証実行を禁止された状態にあると判断すると（ステップＳ４１６にてＹＥＳ）、ステップＳ４６１を実行することなくステップＳ４２０へ制御を戻しても良い。

今回開示された各実施の形態は全ての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内での全ての変更が含まれることが意図される。また、実施の形態および各変形例において説明された発明は、可能な限り、単独でも、組合わせても、実施することが意図される。

１００ＭＦＰ、１０６人感センサー、１２０操作パネル、２００情報処理装置、３００認証サーバー、４００ユーザー、５００ログイン画面、５１０送信要求画面、５２０送信報知画面、５３０トップメニュー画面。

Claims

画像形成装置であって、
メモリーと、
前記画像形成装置の動作を制御するコントローラーと、
ユーザーを特定する情報の入力を受け付ける入力インターフェースと、を備え、
前記メモリーは、ユーザーを特定する情報を宛先と関連付けて格納し、
前記コントローラーは、
前記入力インターフェースが一時認証の要求を受け付けた場合に、前記入力インターフェースに入力されたユーザーを特定する情報に関連付けられた宛先に向けて、ワンタイムパスワードを送信し、
前記ワンタイムパスワードの有効期限に関する一定時間を計測し、
前記一定時間の計測完了前であれば、前記ワンタイムパスワードの入力に応じて、前記入力インターフェースに入力されたユーザーを特定する情報について前記画像形成装置の利用のためにユーザーを認証し、
前記入力インターフェースが一時認証の前記要求を受け付けた後、ユーザーが前記画像形成装置から離れたことを検知した場合に、前記入力インターフェースに前記要求を入力したユーザーが前記画像形成装置に戻ったことを検知するまでは、前記画像形成装置をユーザーの認証を禁止された状態に制御する、画像形成装置。
前記ユーザーの認証を禁止された状態は、ワンタイムパスワードの入力を受け付けない状態を含む、請求項１に記載の画像形成装置。
前記入力インターフェースは、ユーザーに予め定められたパスワードまたはワンタイムパスワードによる認証を要求するための認証要求キーを含み、
前記コントローラーは、前記認証要求キーに対する操作に応じてユーザーの認証を開始し、
前記ユーザーの認証を禁止された状態は、前記入力インターフェースが前記認証要求キーを含まない状態、または、前記認証要求キーが操作されても前記コントローラーがユーザーの認証を開始しない状態を含む、請求項１に記載の画像形成装置。
前記入力インターフェースは、ユーザーに予め定められたパスワードまたはワンタイムパスワードによる認証を要求するための認証要求キーを含み、
前記コントローラーは、前記認証要求キーに対する操作に応じてユーザーの認証を開始し、
前記ユーザーの認証を禁止された状態は、前記認証要求キーに対する操作に応じたユーザーの認証の結果として無条件で失敗を出力する状態を含む、請求項１に記載の画像形成装置。
前記画像形成装置から一定距離内に物体が存在することを検知するためのセンサーをさらに備え、
前記コントローラーは、前記センサーの検知出力に基づいて、ユーザーが前記画像形成装置から離れたことを検知する、請求項１～請求項４のいずれか１項に記載の画像形成装置。
前記コントローラーは、前記画像形成装置の近傍の撮像画像が人物を含まないことに基づいて、ユーザーが前記画像形成装置から離れたことを検知する、請求項１～請求項５のいずれか１項に記載の画像形成装置。
前記コントローラーは、一時認証の前記要求に関連して前記入力インターフェースに入力されたユーザーを特定する情報が再度前記入力インターフェースに入力されたことに基づいて、前記入力インターフェースに前記要求を入力したユーザーが前記画像形成装置に戻ったことを検知する、請求項１～請求項６のいずれか１項に記載の画像形成装置。
前記コントローラーは、前記入力インターフェースが一時認証の前記要求を受け付けたときに前記画像形成装置の近傍の撮像画像において含まれる人物が、前記入力インターフェースが前記要求を受け付けた後の前記画像形成装置の近傍の撮像画像に含まれることを検知したことに基づいて、前記入力インターフェースに前記要求を入力したユーザーが前記画像形成装置に戻ったことを検知する、請求項１～請求項７のいずれか１項に記載の画像形成装置。
画像形成装置と、前記画像形成装置を利用するユーザーを認証する認証サーバーと、を備えた画像処理システムであって、
前記画像形成装置は、
前記画像形成装置の動作を制御する第１のコントローラーと、
ユーザーを特定する情報の入力を受け付ける入力インターフェースと、を含み、
前記第１のコントローラーは、
前記入力インターフェースが一時認証の要求を受け付けた場合に、前記認証サーバーに、前記入力インターフェースに入力されたユーザーを特定する情報について一時認証の要求を送信し、
前記認証サーバーは、
ユーザーを特定する情報を宛先に関連付けて格納するメモリーと、
前記画像形成装置から一時認証の前記要求を受信した場合に、前記入力インターフェースに入力されたユーザーを特定する情報に関連付けられた宛先に向けて、ワンタイムパスワードを送信する第２のコントローラーと、を含み、
前記第２のコントローラーは、
前記ワンタイムパスワードの有効期限に関する一定時間を計測し、
前記第１のコントローラーは、
前記入力インターフェースに入力されたワンタイムパスワードを、前記認証サーバーへ送信し、
前記第２のコントローラーは、
前記一定時間の計測が完了する前に前記画像形成装置から前記ワンタイムパスワードが送信されれば、前記画像形成装置から受信したユーザーを特定する情報について前記画像形成装置の利用のためにユーザーを認証し、
前記入力インターフェースが一時認証の前記要求を受け付けた後、ユーザーが前記画像形成装置から離れたことを検知した場合に、前記入力インターフェースに前記要求を入力したユーザーが前記画像形成装置に戻ったことを検知するまでは、前記画像処理システムをユーザーの認証を禁止された状態に制御する、画像処理システム。
前記ユーザーの認証を禁止された状態は、前記画像形成装置にワンタイムパスワードを受け付けないことを指示する状態を含む、請求項９に記載の画像処理システム。
前記入力インターフェースは、ユーザーに予め定められたパスワードまたはワンタイムパスワードによる認証を要求するための認証要求キーを含み、
前記第１のコントローラーは、前記認証要求キーに対する操作に応じて、前記認証サーバーにユーザーの認証の開始を要求し、
前記ユーザーの認証を禁止された状態は、前記入力インターフェースに前記認証要求キーを含ませない状態、または、前記画像形成装置からユーザーの認証の開始を要求されてもユーザーの認証を開始しない状態を含む、請求項９に記載の画像処理システム。
前記入力インターフェースは、ユーザーに予め定められたパスワードまたはワンタイムパスワードによる認証を要求するための認証要求キーを含み、
前記第１のコントローラーは、前記認証要求キーに対する操作に応じて、前記認証サーバーにユーザーの認証の開始を要求し、
前記ユーザーの認証を禁止された状態は、前記画像形成装置からユーザーの認証の開始を要求された場合に、ユーザーの認証の結果として無条件で失敗を出力する状態を含む、請求項９に記載の画像処理システム。
前記画像形成装置から一定距離内に物体が存在することを検知するためのセンサーをさらに備え、
前記第２のコントローラーは、前記センサーの検知出力に基づいて、ユーザーが前記画像形成装置から離れたことを検知する、請求項９～請求項１２のいずれか１項に記載の画像処理システム。
前記第２のコントローラーは、前記画像形成装置の近傍の撮像画像が人物を含まないことに基づいて、ユーザーが前記画像形成装置から離れたことを検知する、請求項９～請求項１３のいずれか１項に記載の画像処理システム。
前記第２のコントローラーは、一時認証の前記要求に関連して前記入力インターフェースに入力されたユーザーを特定する情報が再度前記入力インターフェースに入力されたことに基づいて、前記入力インターフェースに前記要求を入力したユーザーが前記画像形成装置に戻ったことを検知する、請求項９～請求項１４のいずれか１項に記載の画像処理システム。
前記第２のコントローラーは、前記入力インターフェースが一時認証の前記要求を受け付けたときに前記画像形成装置の近傍の撮像画像において含まれる人物が、前記入力インターフェースが前記要求を受け付けた後の前記画像形成装置の近傍の撮像画像に含まれることが検知されたことに基づいて、前記入力インターフェースに前記要求を入力したユーザーが前記画像形成装置に戻ったことを検知する、請求項９～請求項１５のいずれか１項に記載の画像処理システム。
画像形成装置のコンピューターによって実行されることにより、前記画像形成装置に、
前記画像形成装置の入力インターフェースが一時認証の要求を受け付けた場合に、前記入力インターフェースに入力されたユーザーを特定する情報に関連付けられた宛先に向けて、ワンタイムパスワードを送信するステップと、
前記ワンタイムパスワードの有効期限に関する一定時間の計測完了前であれば、前記ワンタイムパスワードの入力に応じて、前記入力インターフェースに入力されたユーザーを特定する情報について前記画像形成装置の利用のためにユーザーを認証するステップと、
前記入力インターフェースが一時認証の前記要求を受け付けた後、ユーザーが前記画像形成装置から離れたことを検知した場合に、前記入力インターフェースに前記要求を入力したユーザーが前記画像形成装置に戻ったことを検知するまでは、前記画像形成装置をユーザーの認証を禁止された状態に制御するステップと、
を実行させる、プログラム。