JP2008146179A - 認証システム、サーバ及び電子制御装置 - Google Patents

Abstract

【課題】秘密鍵が漏洩した場合であっても、不正に認証を行う被制御装置を排除する認証システムを提供する。
【解決手段】認証システムは、サーバと、サーバに接続された電子制御装置と、電子制御装置に着脱可能な被制御装置とを含む。サーバ又は電子制御装置は、被制御装置の認証に利用される秘密鍵、公開鍵及び被制御装置に割り当てられた固有ＩＤを保持し、かつ、秘密鍵が有効であるか否かを管理する管理部を含む。サーバ又は電子制御装置は、秘密鍵が漏洩しているか否かを監視する監視部と、秘密鍵が漏洩すると、対応する固有ＩＤを無効に設定する設定部とを含む。サーバ又は電子制御装置は、被制御装置から通知される固有ＩＤが有効であるか否かを管理部に問い合わせて情報を取得する取得部を含む。サーバ又は電子制御装置は、被制御装置から通知された固有ＩＤが有効であるときに、取得した公開鍵を用いて認証を行う認証部を含む。
【選択図】図１

Description

本発明は、被制御装置が正規のものであるか否かを認証する認証システム、サーバ、電子制御装置及び認証システムを制御する方法に関するものである。

プリント機能やコピー機能を有した複合機（ＭＦＰ）の消耗品や定期交換部品は、ユニット単位で交換される。例えば、定着装置は、高温環境で利用されるため、寿命がプリンタ本体に比べて短く、交換が容易なユニットとして設計されることが多い。また、オプションフィーダーやオプション排紙装置には、プリンタに取り付け可能となるような拡張機能が具備されていることが多い。

このようにプリンタ等に装着される被制御装置においては、不正な模倣品が市場に出回ることが多い。そのような模倣品がプリンタに装着されると、プリンタが動作しないのみならず、最悪の場合、プリンタ本体が破壊されることになりかねない。特に定着装置のような非常に信頼性を要求するユニットに関して、正規のユニットが利用されているか否かを識別することは重要である。そこで、正規でない被制御装置が装着されていると認識した場合、プリンタは、ユーザに注意を促す必要がある。被制御装置が正規のユニットであるか否かを判別するため、現在、暗号技術の一種である認証技術の利用がすでに行われている。

特許文献１は、消耗品の不正利用の防止を実現するものであり、消耗品にＲＦＩＤを設けてＩＣチップとアンテナを組み込み、無線通信で認証・情報管理を行うシステムを示している。
特開２００４−９３６９３号公報

しかしながら、上記従来例では被制御装置の共通鍵又は秘密鍵が漏えいしてしまうと、不正なユニットに対して当該漏えい鍵を付加して使用することで簡単に認証が成立してしまうという欠点があった。これは、プリンタ本体側にとって被制御装置が漏えい鍵を使用しているか否かを判断できないためである。

本発明は、上述の問題に鑑みて成されたものであり、秘密鍵が漏洩した場合であっても、不正に認証を行う被制御装置を排除する認証システムを提供することを目的とする。

本発明は、例えば、認証システムとして実現できる。認証システムは、サーバと、サーバに接続された電子制御装置と、電子制御装置に着脱可能な被制御装置とを含む。サーバ又は電子制御装置は、被制御装置の認証に利用される秘密鍵、公開鍵及び被制御装置に割り当てられた固有の識別子である固有ＩＤを保持し、かつ、秘密鍵が有効であるか否かを管理する管理部を含む。サーバ又は電子制御装置は、秘密鍵が漏洩しているか否かを監視する監視部と、秘密鍵が漏洩すると、管理部によって管理されている秘密鍵に対応する固有ＩＤを無効に設定する設定部とを含む。サーバ又は電子制御装置は、被制御装置からの固有ＩＤが通知されると、管理部に固有ＩＤが有効であるか否かを問い合わせることによって、固有ＩＤが有効である場合に対応する公開鍵を取得し、固有ＩＤが無効である場合に無効を示す情報を取得する取得部を含む。サーバ又は電子制御装置は、被制御装置から通知された固有ＩＤが有効であるときに、取得した公開鍵を用いて認証を行う認証部を含む。被制御装置は、自身の固有ＩＤ及び秘密鍵を保持する第１の保持部と、第１の保持部によって保持される固有ＩＤを通知する通知部とを含む。被制御装置は、公開鍵を用いて暗号化された暗号文を認証部から受信し、かつ、第１の保持部で保持されている秘密鍵で暗号文を復号化して返信する復号化部を含む。

本発明は、秘密鍵が漏洩した場合であっても、不正に認証を行う被制御装置を排除する認証システムを提供することができる。

以下、本発明に係る実施形態について図面を用いて説明する。なお、以下の実施の形態は特許請求の範囲に記載された発明を限定するものでなく、また本実施形態で説明されている特徴の組み合わせの全てが本発明の解決手段に必須のものとは限らない。

［第１の実施形態］
以下では、図１乃至図５を参照して、第１の実施形態について説明する。図１は、第１の実施形態に対応する認証システムの構成例を示す図である。ここでは、認証システムに含まれる制御装置１００及び被制御装置１０８について説明する。ここで、制御装置１００は、サーバ及び電子制御装置を含む。これは、図１に示す制御装置１００内の各構成要素がサーバ及び電子制御装置に分散して配置されてもよいことを示している。すなわち、本発明における認証システムにおいては、これらの構成要素を使用用途又はコスト面を考慮して様々な形態でサーバ又は電子制御装置に実装可能である。また、電子制御装置とは、被制御装置が着脱される装置を示す。例えば、被制御装置を定着装置やカートリッジと想定すると、電子制御装置は画像形成装置に対応する。

制御装置１００は、認証部１０１、取得部１０２、不揮発性メモリ１０３、管理部１０４、監視部１０５、設定部１０６及び後処理部１０７を含む。被制御装置１０８は、メモリ１２３及び復号化部１２７を含む。

認証部１０１は、公開鍵を用いて認証を行うため、生成部１１１、暗号化部１１２、送信部１１３、判定部１１４及び受信部１１５を含む。生成部１１１は、暗号化の対象となるデータを生成する。具体的に、生成部１１１は、暗号文を作成するためのデータ、例えば、乱数を生成する。暗号化部１１２は、公開鍵と、生成部１１１によって生成されたデータを用いて暗号文を作成する。送信部１１３は、作成された暗号文を被制御装置へ送信する。受信部１１５は、被制御装置１０８から返信される復号化されたデータ（以下、復号文と称す。）を受信する。判定部１１４は、生成部１１１によって生成されたデータと、被制御装置１０８から返信された復号文とが対応しているか否かを判定する。ここで、判定部１１４は、２つのデータが対応している場合に被制御装置１０８が正規の装置であると判定し、２つのデータが対応していない場合に被制御装置１０８が正規の装置でないと判定する。

取得部１０２には、被制御装置１０８に電力が供給された段階で、被制御装置１０８から固有ＩＤ１２４が通知される。ここで、固有ＩＤとは、被制御装置１０８に割り当てられた固有の識別子を示す。取得部１０２は、被制御装置１０８から通知された固有ＩＤ１２４が有効であるか否かを管理部１０４に問い合わせる。これにより、取得部１０２は、固有ＩＤ１２４が有効である場合に、固有ＩＤ１２４に対応する公開鍵１２０を取得し、固有ＩＤ１２４が無効である場合に無効を示す情報を取得する。さらに、取得部１０２は、固有ＩＤ１２４が有効である場合に取得した公開鍵１２０を認証部１０１へ出力する。

不揮発性メモリ１０３は、第２の保持部として、認証に成功した固有ＩＤ１１６及び公開鍵１１７を保持する。これにより、取得部１０２は、被制御装置１０８から通知された固有ＩＤ１２４が有効であるか否かを電子制御装置の起動の度に管理部１０４へ問い合わせる必要がなくなる。具体的に、取得部１０２は、被制御装置１０８から通知された固有ＩＤ１２４と、不揮発性メモリ１０３に保持されている固有ＩＤ１１６とが一致しているか否かを判定する。さらに、取得部１０２は、固有ＩＤ１２４と固有ＩＤ１１６とが一致している場合に、不揮発性メモリ１０３に保持されている公開鍵１１７を認証に使用する公開鍵として取得する。すなわち、取得部１０２は、管理部１０４へ問い合わせることなく、固有ＩＤ１２４が有効であると判断し、不揮発性メモリ１０３に保持している公開鍵１１７を取得する。一方、固有ＩＤ１２４と固有ＩＤ１１６とが一致していない場合、取得部１０２は、管理部１０４に固有ＩＤ１２４が有効であるか否かを問い合わせる。また、取得部１０２は、固有ＩＤ１２４と固有ＩＤ１１６とが一致している場合であっても、管理部１０４に固有ＩＤ１２４が有効であるか否かを問い合わせてもよい。これは、有効と判断された固有ＩＤ１１６が事後的に無効になった場合を想定している。

管理部１０４は、被制御装置１０８の認証に利用される秘密鍵１１９、公開鍵１２０及び固有ＩＤ１１８を保持し、かつ、秘密鍵１１９が有効であるか否かを管理する。さらに、管理部１０４は、固有ＩＤ１２４が通知されると、固有ＩＤ１２４に対応する秘密鍵１１９が有効であるか否かを判断し、有効である場合に公開鍵１２０を取得部１０２へ通知する。一方、管理部１０４は、秘密鍵１１９が無効である場合、すなわち、秘密鍵１１９が漏洩してしまっている場合に固有ＩＤ１２４が無効であることを示す情報を取得部１０２へ通知する。

監視部１０５は、秘密鍵１１９が漏洩しているか否かを監視する。具体的に、秘密鍵１１９が漏洩しているか否かは、例えば、ある固有ＩＤの秘密鍵が別の固有ＩＤの秘密鍵と同様な場合は、その秘密鍵が漏洩した可能性があると判断する。その場合は、電子制御装置に接続されるサーバに漏洩した秘密鍵の履歴情報を蓄積しておく。その履歴情報に基づいて漏洩した秘密鍵が使用されたかどうかを判断することができる。

設定部１０６は、監視部１０５からの情報に基づいて管理部１０４に管理されている秘密鍵１１９の中で漏洩した秘密鍵に対応する固有ＩＤ１１８を無効に設定する。

後処理部１０７は、認証後の処理を実行するために、決定部１２１、書き込み部１２６及び報知部１２８を含む。決定部１２１は、認証が成功した場合に、被制御装置１０８を制御するための制御情報を決定する。また、不揮発性メモリ１０３は、各被制御装置１０８に対応する制御情報を保持するようにしてもよい。この場合、決定部１２１は、不揮発性メモリ１０３に保持される被制御装置１０８の固有ＩＤ１２４に対応する制御情報を選択する選択部１２２を含むことが望ましい。これにより、電子制御装置は、各被制御装置１０８に対応した制御を行うことができ、より高品質な制御を実現しうる。書き込み部１２６は、認証が成功した固有ＩＤ１２４及び公開鍵１２０を不揮発性メモリ１０３に書き込む。報知部１２８は、認証が失敗した場合に、操作者に被制御装置１０８が正規な装置でないことを報知する。例えば、報知部１２８は、電子制御装置に含まれる操作パネル等に異常を知らせる表示を行ったり、エラー音を出力したりするようにしてもよい。

被制御装置１０８は、例えば、電子制御装置が画像を形成する画像形成装置である場合、定着装置、排紙オプション装置及びカートリッジ等の画像形成装置に着脱可能な装置である。メモリ１２３は、第１の保持部として、各被制御装置１０８ごとに割り当てられた固有ＩＤ１２４と、秘密鍵１２５との情報を保持している。復号化部１２７は、認証部１０１によって実行される認証処理の中で公開鍵を用いて暗号化された暗号文を認証部１０１から受信し、かつ、秘密鍵１２５で復号化して認証部１０１へ返信する。また、被制御装置１０８は、不図示の通知部を含み、保持している固有ＩＤ１２４を制御装置１００へ通知する。

図２は、第１の実施形態に対応する認証システムの一例を示す図である。ここでは、電子制御装置２０１及びサーバ２０２における構成要素の実装例について説明する。なお、図１の説明と重複する技術についての説明は、省略される。

電子制御装置２０１は、認証部１０１、取得部１０２、不揮発性メモリ１０３及び後処理部１０７を含む。また、サーバ２０２は、管理部１０４、監視部１０５及び設定部１０６を含む。図２に示すような構成において、サーバ２０２は、電子制御装置２０１から通知される固有ＩＤが有効であるか否かの判定を管理部１０４によって行う。電子制御装置２０１は、被制御装置１０８から通知された固有ＩＤが有効であるか否かをサーバ２０２に問い合わせる。さらに、電子制御装置２０１は、固有ＩＤが有効である場合に認証部１０１によって認証処理を実行する。

図３は、第１の実施形態に対応する認証システムの認証の流れを示すシーケンス図である。ここでは、図２に示す被制御装置１０８、電子制御装置２０１及びサーバ２０２での認証の流れについて説明する。

３０１において、電子制御装置２０１は、電源投入されると、電源供給を行うことにより被制御装置１０８を起動させる。３０２において、被制御装置１０８は、起動されると、自身が保持している固有ＩＤ１２４を電子制御装置２０１へ通知する。

３０３において、電子制御装置２０１は、被制御装置１０８から通知された固有ＩＤ１２４が有効であるか否かを判断する固有ＩＤの確認処理を行う。また、３０４において、固有ＩＤの確認処理中に、電子制御装置２０１は、固有ＩＤ１２４が有効であるか否かの問い合わせをサーバ２０２に対して行う。ここで、サーバ２０２は、通知された固有ＩＤ１２４が有効に設定されているか、無効に設定されているかを確認する。図３に示すように、３０５において、サーバ２０２は、固有ＩＤ１２４が有効である場合に固有ＩＤ１２４に対応する公開鍵１２０を電子制御装置２０１へ送信する。一方、固有ＩＤ１２４が無効である場合、サーバ２０２は、無効を示す情報を電子制御装置２０１へ送信する。

固有ＩＤ１２４が無効でない場合、３０６において、電子制御装置２０１は、認証処理を実行する。認証処理の中で、３０７において、電子制御装置２０１は、被制御装置１０８へ公開鍵１２０を用いて作成した暗号文を送信する。さらに、３０８において、電子制御装置２０１は、復号化された復号文を被制御装置１０８から受信する。その後、電子制御装置２０１は、３０９において、認証処理の後処理を実行する。認証処理及び後処理についての詳細は、図５を用いて後述する。最後に、３１０において、電子制御装置２０１は、認証が成功した場合に被制御装置１０８の制御を開始する。

図４は、第１の実施形態に対応する電子制御装置における固有ＩＤの確認処理を示すフローチャートである。ここでは、被制御装置１０８から通知された固有ＩＤ１２４の確認処理３０３の詳細について説明する。

被制御装置１０８から固有ＩＤ１２４が通知されると、ステップＳ４０１において、取得部１０２は、不揮発性メモリ１０３に既に保持されている固有ＩＤ１１６であるか否かを判定する。具体的に、取得部１０２は、固有ＩＤ１２４と、不揮発性メモリ１０３に保持されている固有ＩＤ１１６とが一致しているか否かを判定する。一致している場合、取得部１０２は、処理をＳ４０５へ遷移させる。一方、一致していない場合、取得部１０２は、処理をＳ４０２へ遷移させる。

ステップＳ４０２において、取得部１０２は、固有ＩＤ１２４が有効であるか否かを問い合わせるためにサーバ２０２へ固有ＩＤ１２４を送信する。続いて、ステップＳ４０３において、取得部１０２は、Ｓ４０２の問い合わせに対するサーバ２０２からの応答を受信する。サーバ２０２からの応答を受信すると、ステップＳ４０４において、取得部１０２は、受信したデータに固有ＩＤ１２４が無効であることを示す情報が含まれているか否かを判定する。ここで、取得部１０２は、固有ＩＤ１２４が無効である場合、固有ＩＤの確認処理を終了する。

一方、固有ＩＤ１２４が有効である場合、ステップＳ４０５において、取得部１０２は、サーバ２０２から受信したデータの中から固有ＩＤ１２４に対応する公開鍵１２０を取得する。また、Ｓ４０１で固有ＩＤ１１６と固有ＩＤ１２４とが一致した場合、取得部１０２は、不揮発性メモリ１０３に保持されている公開鍵１１７を取得する。この場合、公開鍵１２０と公開鍵１１７とは同一である。最後に、ステップＳ４０６において、取得部１０２は、認証部１０１へ取得した公開鍵を送信することによって認証処理の実行を指示する。

このように制御することで、本認証システムは、前回電源投入時に装着されていた被制御装置１０８と同じである場合、再度、サーバ２０２へ固有ＩＤ１２４が有効であるか否かの問い合わせを省略することができる。これにより、本認証システムは、再起動時の認証処理における処理負荷を軽減しうる。

図５は、第１の実施形態に対応する電子制御装置における認証処理及び後処理を示すフローチャートである。ここでは、図３に示す認証処理３０６及び後処理３０９の詳細について説明する。認証処理は、被制御装置１０８から通知される固有ＩＤ１２４が有効である場合に実行される。なお、認証処理は認証部１０１によって統括的に実行され、後処理は後処理部１０７によって統括的に実行される。

取得部１０２から公開鍵が通知されると、ステップＳ５０１において、生成部１１１は、暗号化するためのデータを生成する。ここで、生成部１１１は、例えば、データとして乱数を生成する。続いて、ステップＳ５０２において、暗号化部１１２は、取得部１０２から通知された公開鍵を用いて、生成部１１１によって生成されたデータを暗号化して暗号文を作成する。

暗号文を作成すると、ステップＳ５０３において、送信部１１３は、暗号文を被制御装置１０８の復号化部１２７へ送信する。ここで、暗号文は、復号化部１２７によって秘密鍵１２５によって復号化される。その後、ステップＳ５０４において、受信部１１５は、復号化部１２７によって復号化された復号文を受信する。最後に、ステップＳ５０５で、判定部１１４は、受信した復号文と、生成部１１１によって生成されたデータとが対応しているか否かを判定する。これにより、２つのデータが対応していれば、認証部１０１は、認証が成功したと判断し、２つのデータが対応していなければ、認証が失敗したと判断する。ここまでが認証処理となる。以下、続けて後処理について説明する。

認証が成功した場合、ステップＳ５０６において、書き込み部１２６は、認証に成功した固有ＩＤ１２４と、公開鍵とを不揮発性メモリ１０３に書き込む。これにより、次回起動された場合に、電子制御装置２０１は、前回起動したときの固有ＩＤ１１６と、公開鍵１１７とを保持しており、管理部１０４への問い合わせを省略することができる。次に、ステップＳ５０７において、後処理部１０７は、決定部１２１により被制御装置１０８を制御するための制御情報を決定し、被制御装置１０８の制御を開始して後処理を終了する。具体的に、決定部１２１は、選択部１２２によって不揮発性メモリ１０３に保持されている固有ＩＤ１２４に対応する制御情報を選択するようにしてもよい。一方、認証が失敗した場合、ステップＳ５０８において、報知部１２８は、操作者に被制御装置１０８が正規のものでないことを報知して後処理を終了する。

以上説明したように、本実施形態による認証システムは、被制御装置から通知される固有ＩＤが有効であるか否か確認を行う。さらに、本認証システムは、固有ＩＤが有効である場合に、被制御装置の認証を行う。これにより、本認証システムは、秘密鍵が漏洩した場合であっても、秘密鍵を不正に利用した被制御装置を判定することができ、不正に認証を行う被制御装置を排除しうる。なお、不正な模倣品を排除することで、模倣品が原因で発生していた故障や不具合の発生を抑制できよう。また、本認証システムは、固有ＩＤと、当該固有ＩＤに対応する秘密鍵及び公開鍵をサーバで管理するようにしてもよい。これにより、本認証システムは、電子制御装置において、秘密の情報を扱わないことから、電子制御装置からの情報流出を抑制しうる。さらに、情報流出の対策をサーバ側で一括して行うことができる。

なお、本発明は、上記実施形態に限らず様々な変形が可能となる。本認証システムは、固有ＩＤが有効であった場合に公開鍵を用いて認証を行う認証部を含むようにしてもよい。認証部は、公開鍵を用いて作成した暗号文を被制御装置へ送信し、返信として復号文を受信して、暗号文を作成する際に用いたデータと復号文とを比較することによって認証を行うようにしてもよい。これにより、被制御装置が正規なものであるか否かを正確に確認しうる。

また、本認証システムは、認証の判定結果に基づいて認証の後処理を行う後処理部を含むようにしてもよい。後処理部は、認証が成功した場合に、当該被制御装置の制御情報を利用して制御を開始する。一方、後処理部は、認証が失敗した場合に。当該被制御装置が正規の装置でないことを操作者に報知するようにしてもよい。これにより、本認証システムは、不正な被制御装置が接続されたことを操作者に報知することができ、不正な被制御装置の駆動による電子制御装置の破壊を抑制しうる。さらに、本認証システムは、正規な各被制御装置において流動的な制御を実行することができ、より高品質な制御が可能となる。また、本認証システムは、操作者に報知することに加えて、電子制御装置の破壊を抑制するため、被制御装置を使用する動作、例えば、画像形成などの動作を禁止するようにしてもよい。このような動作を禁止することで、本認証システムは、より確実に電子制御装置が破壊されることを抑制しうる。

また、本認証システムは、認証の成功した固有ＩＤ及び公開鍵を電子制御装置内の不揮発性メモリへ格納するようにしてもよい。これにより、本認証システムは、同じ被制御装置が装着されたまま再起動された場合に、固有ＩＤの有効性をサーバへ問い合わせることなく、認証を行う処理を短縮化しうる。

さらに、本認証システムは、電子制御装置の不揮発性メモリに各固有ＩＤに対応する制御情報を保持するようにしてもよい。この場合、電子制御装置は、認証が成功した場合に、不揮発性メモリから固有ＩＤに対応した制御情報を選択して制御を開始することができる。これにより、本認証システムは、認証が成功した場合に、容易に対応する制御情報を取得することができる。よって、本認証システムは、各被制御装置において流動的な制御を実行することができ、より高品質な制御が可能となる。

［第２の実施形態］
図６及び図７を参照して、第２の実施形態について説明する。第２の実施形態による認証システムは、認証処理をサーバ側で行う。なお、以下では、第１の実施形態と重複する記載については省略する。図６は、第２の実施形態に対応する認証システムの一例を示す図である。

電子制御装置６０１は、取得部１０２、不揮発性メモリ１０３及び後処理部１０７を含む。サーバ６０２は、認証部１０１、管理部１０４、監視部１０５及び設定部１０６を含む。図６に示すような構成において、サーバ６０２は、電子制御装置６０１から通知された固有ＩＤ１２４が有効である場合に、認証処理を行い、認証結果を電制御装置へ通知する。電子制御装置６０１は、被制御装置１０８から通知された固有ＩＤ１２４をサーバ６０２へ通知し、認証結果を受信する。本実施形態では、認証処理がサーバ６０２側で行われるため、暗号文の送信及び復号文の受信に関して、サーバ６０２は、電子制御装置６０１を介して行うこととなる。具体的に、これらの送受信は、認証部１０１と、取得部１０２との間で行われる。

図７は、第２の実施形態に対応する認証システムの認証の流れを示すシーケンス図である。ここでは、図６に示す被制御装置１０８、電子制御装置６０１及びサーバ６０２での認証の流れについて説明する。

７０１において、電子制御装置６０１は、電源投入されると、電源供給を行うことにより被制御装置１０８を起動させる。７０２において、被制御装置１０８は、起動されると、自身が保持している固有ＩＤ１２４を電子制御装置６０１へ通知する。

７０３において、電子制御装置２０１は、被制御装置１０８から通知された固有ＩＤ１２４をそのままサーバ６０２へ通知する。その後、７０４において、サーバ６０２は、通知された固有ＩＤ１２４が有効であるか否かを判断する固有ＩＤの確認処理を行う。ここで、サーバ６０２は、管理部１０４によって通知された固有ＩＤ１２４が有効に設定されているか、無効に設定されているかを確認する。

さらに、７０５において、サーバ６０２は、固有ＩＤ１２４が有効である場合に自身が保持する固有ＩＤ１２４に対応する公開鍵１２０を用いて認証処理を実行する。一方、固有ＩＤ１２４が無効である場合、サーバ６０２は、認証処理が失敗したことを電子制御装置６０１へ通知する。

認証処理の中で７０６において、サーバ６０２は、公開鍵１２０を用いて暗号文を作成し、電子制御装置６０１へ暗号文を送信する。電子制御装置６０１は、受信した暗号文をそのまま被制御装置１０８へ送信する。続いて、７０８において、被制御装置１０８は、暗号文を復号化した復号文を電子制御装置６０１へ返信する。７０９において、電子制御装置６０１は、受信した復号文をサーバ６０２へ送信する。

７１０において、サーバ６０２は、復号文と、暗号文を作成するために用いたデータとが対応しているか否かを判定して、認証結果を電子制御装置６０１へ送信する。７１１において、電子制御装置６０１は、認証結果が通知されると認証の後処理を実行する。さらに、７１１において、電子制御装置６０１は、認証が成功している場合に、被制御装置１０８の制御を開始する。

以上説明したように、本実施形態による認証システムは、サーバ側で一括して認証を実行するようにしてもよい。これにより、本認証システムは、電子制御装置の処理負荷を軽減することができ、効率的な制御を行うことができる。また、第１及び第２の実施形態で示したように、本発明は、電子制御装置及びサーバにおける構成要素を使用用途又はコスト面を考慮して様々な形態で実装しうる。これにより、本認証システムは、汎用性の高いシステムといえよう。

［第３の実施形態］
次に図８を参照して、第３の実施形態について説明する。本実施形態は、複数種類の被制御装置１０８が装着される場合を想定している。図８は、第３の実施形態に対応する認証システムの一例を示す図である。なお、ここでは、制御装置１００が図２に示す電子制御装置２０１及びサーバ２０２によって構成される例を用いて説明する。

不揮発性メモリ１０３は、固有ＩＤ１１６及び公開鍵１１７に加えて、種別ＩＤ８０１を含む。種別ＩＤ８０１は、被制御装置１０８の種類を示す。例えば、種別ＩＤ８０１は、定着装置、カートリッジ及び排紙オプション装置などの種別を示す。さらに、被制御装置１０８は、メモリ１２３に固有ＩＤ１２４及び秘密鍵１２５に加えて自身の種別ＩＤ８０２を含む。

この場合、被制御装置１０８は、電源が供給されると、固有ＩＤ１２４に加えて、種別ＩＤ８０２を取得部１０２へ通知する。取得部１０２は、通知された種別ＩＤ８０２を不揮発性メモリ１０３の種別ＩＤ８０１に上書きする。この種別ＩＤ８０１は、認証が成功した場合に、後処理の中で制御情報を決定する上で使用される。これにより、決定部１２１は、被制御装置１０８の種類に応じた制御情報を決定することができ、高品質な制御を実現しうる。また、本実施形態による認証システムは、第１の実施形態と同様の手順で認証が行われる。

第１の実施形態に対応する認証システムの構成例を示す図である。 第１の実施形態に対応する認証システムの一例を示す図である。 第１の実施形態に対応する認証システムの認証の流れを示すシーケンス図である。 第１の実施形態に対応する電子制御装置における固有ＩＤの確認処理を示すフローチャートである。 第１の実施形態に対応する電子制御装置における認証処理及び後処理を示すフローチャートである。 第２の実施形態に対応する認証システムの一例を示す図である。 第２の実施形態に対応する認証システムの認証の流れを示すシーケンス図である。 第３の実施形態に対応する認証システムの一例を示す図である。

符号の説明

１００：制御装置
１０１：認証部
１０２：取得部
１０３：不揮発性メモリ
１０４：管理部
１０５：監視部
１０６：設定部
１０７：後処理部
１０８：被制御装置
１１１：生成部
１１２：暗号化部
１１３：送信部
１１４：判定部
１１５：受信部
１１６：固有ＩＤ
１１７：公開鍵
１１８：固有ＩＤ
１１９：秘密鍵
１２０：公開鍵
１２１：決定部
１２２：選択部
１２３：メモリ
１２４：固有ＩＤ
１２５：秘密鍵
１２６：書き込み部
１２７：復号化部
１２８：報知部

Claims (11)

1. 認証システムであって、
   サーバと、
   前記サーバに接続された電子制御装置と、
   前記電子制御装置に着脱可能な被制御装置と
   を含み、
   前記サーバ又は前記電子制御装置は、
   前記被制御装置の認証に利用される秘密鍵、公開鍵及び該被制御装置に割り当てられた固有の識別子である固有ＩＤを保持し、かつ、該秘密鍵が有効であるか否かを管理する管理部と、
   前記秘密鍵が漏洩しているか否かを監視する監視部と、
   前記秘密鍵が漏洩すると、前記管理部によって管理されている該秘密鍵に対応する固有ＩＤを無効に設定する設定部と、
   前記被制御装置からの固有ＩＤが通知されると、前記管理部に該固有ＩＤが有効であるか否かを問い合わせることによって、該固有ＩＤが有効である場合に対応する公開鍵を取得し、該固有ＩＤが無効である場合に無効を示す情報を取得する取得部と、
   前記被制御装置から通知された固有ＩＤが有効であるときに、前記取得した公開鍵を用いて認証を行う認証部と
   を前記サーバ又は前記電子制御装置との間で分散して含み、
   前記被制御装置は、
   自身の固有ＩＤ及び秘密鍵を保持する第１の保持部と、
   前記第１の保持部によって保持される固有ＩＤを通知する通知部と、
   前記公開鍵を用いて暗号化された暗号文を前記認証部から受信し、かつ、前記第１の保持部で保持されている秘密鍵で該暗号文を復号化して返信する復号化部と
   を含むことを特徴とする認証システム。
2. 前記認証部は、
   暗号化の対象となるデータを生成する生成部と、
   前記取得した公開鍵を用いて前記データを暗号化することにより前記暗号文を作成する暗号化部と、
   前記暗号文を前記被制御装置へ送信する送信部と、
   前記被制御装置から返信される復号化されたデータを受信する受信部と、
   前記復号化されたデータと、前記生成部によって生成されたデータとが対応するか否かを判定する判定部と
   を含むことを特徴とする請求項１に記載の認証システム。
3. 前記電子制御装置は、
   前記判定部の判定結果に基づいて認証の後処理を行う後処理部をさらに含み、
   前記後処理部は、
   前記認証が成功した場合に、前記被制御装置を制御するために使用される制御情報を決定する決定部と、
   前記認証が失敗した場合に、前記被制御装置が正規でないことを報知する報知部と
   を含むことを特徴とする請求項１又は２に記載の認証システム。
4. 前記電子制御装置は、
   前記認証に成功した前記固有ＩＤ及び前記公開鍵を保持するための第２の保持部をさらに含み、
   前記後処理部は、
   前記認証が成功した場合に、前記固有ＩＤ及び前記公開鍵を第２の保持部へ書き込む書き込み部をさらに含み、
   前記取得部は、
   前記被制御装置から通知された固有ＩＤと、前記第２の保持部に保持されている固有ＩＤとが対応する場合に、前記管理部に問い合わせることなく、前記第２の保持部から該固有ＩＤに対応する公開鍵を取得する
   ことを特徴とする請求項３に記載の認証システム。
5. 前記第２の保持部は、前記制御情報をさらに保持し、
   前記決定部は、
   前記固有ＩＤに基づいて対応する前記制御情報を前記第２の保持部から選択する選択部を
   含むことを特徴とする請求項３又は４に記載の認証システム。
6. 前記第１及び前記第２の保持部は、前記被制御装置の種別を識別する種別ＩＤをさらに保持し、
   前記通知部は、前記固有ＩＤの通知とともに、前記第１の保持部に保持されている前記種別ＩＤを前記取得部へ通知し、
   前記選択部は、前記固有ＩＤ及び前記種別ＩＤに基づいて対応する前記制御情報を前記第２の保持部から選択する
   ことを特徴とする請求項５に記載の認証システム。
7. 被制御装置を着脱可能な電子制御装置に接続されるサーバであって、
   前記被制御装置の認証に利用される秘密鍵、公開鍵及び該被制御装置に割り当てられた固有の識別子である固有ＩＤを保持し、かつ、該秘密鍵が有効であるか否かを管理する管理部と、
   前記秘密鍵が漏洩しているか否かを監視する監視部と、
   前記秘密鍵が漏洩すると、前記管理部によって管理されている該秘密鍵に対応する固有ＩＤを無効に設定する設定部と
   を含むことを特徴とするサーバ。
8. サーバに接続され、かつ、被制御装置を着脱可能な電子制御装置であって、
   前記被制御装置からの該被制御装置に割り当てられた固有の識別子である固有ＩＤが通知されると、前記サーバに該固有ＩＤが有効であるか否かを問い合わせることによって、該固有ＩＤが有効である場合に対応する公開鍵を取得し、該固有ＩＤが無効である場合に無効を示す情報を取得する取得部と、
   前記被制御装置から通知された固有ＩＤが有効であるときに、前記取得した公開鍵を用いて認証を行う認証部と
   を含むことを特徴とする電子制御装置。
9. 被制御装置を着脱可能な電子制御装置に接続されるサーバであって、
   前記被制御装置の認証に利用される秘密鍵、公開鍵及び被制御装置に割り当てられた固有の識別子である固有ＩＤを保持し、かつ、該秘密鍵が有効であるか否かを管理する管理部と、
   前記秘密鍵が漏洩しているか否かを監視する監視部と、
   前記秘密鍵が漏洩すると、前記管理部によって管理されている該秘密鍵に対応する固有ＩＤを無効に設定する設定部と
   前記電子制御装置から通知された固有ＩＤが有効であるときに、前記管理部から対応する公開鍵を取得して認証を行う認証部と
   を含むことを特徴とするサーバ。
10. サーバに接続され、かつ、被制御装置を着脱可能な電子制御装置であって、
    前記被制御装置からの固有ＩＤが通知されると、前記サーバへ該固有ＩＤを通知することによって、該被制御装置が正規であるか否かの情報を取得する取得部と
    を含むことを特徴とする電子制御装置。
11. サーバと、前記サーバに接続された電子制御装置と、前記電子制御装置に着脱可能な被制御装置とを含む認証システムを制御する方法であって、
    前記被制御装置の認証に利用される秘密鍵、公開鍵及び該被制御装置に割り当てられた固有の識別子である固有ＩＤを保持し、かつ、該秘密鍵が有効であるか否かを管理するステップと、
    前記秘密鍵が漏洩しているか否かを監視するステップと、
    前記秘密鍵が漏洩すると、管理されている該秘密鍵に対応する固有ＩＤを無効に設定するステップと、
    前記被制御装置からの固有ＩＤが通知されると、該固有ＩＤが有効であるか否かを問い合わせることによって、該固有ＩＤが有効である場合に対応する公開鍵を取得し、該固有ＩＤが無効である場合に無効を示す情報を取得するステップと、
    前記被制御装置から通知された固有ＩＤが有効であるときに、前記取得した公開鍵を用いて認証を行うステップと、
    前記被制御装置に該被制御装置の固有ＩＤ及び秘密鍵を保持するステップと、
    前記被制御装置に保持されている固有ＩＤを通知するステップと、
    前記公開鍵を用いて暗号化された暗号文を受信し、かつ、被制御装置に保持されている秘密鍵で該暗号文を復号化して返信するステップと
    を含むことを特徴とする方法。

Images