JP4429966B2 - 画像形成ジョブ認証システムおよび画像形成ジョブ認証方法 - Google Patents

Description

本発明は、概して、デジタル画像処理に関するものである。特に、本発明は、画像形成ジョブ情報を画像形成クライアントと画像形成装置との間で伝送する際に、画像形成ジョブ情報を保護しつつ、画像形成装置へのアクセスを制御するシステムおよび方法に関するものである。

図１２は、従来のセキュアな（安全な）画像形成ジョブ伝送方法を示す図である。従来の安全に印刷を行う方法では、画像形成ジョブが、画像形成クライアント１０１、ネットワークサーバ（図示せず）および画像形成装置１０２（例えば、複合機（ＭＦＰ；multifunctional peripheral））間を伝送する際における、画像形成ジョブに含まれる情報への未認証のアクセスを防止するために暗号化が使用されている。この暗号化の方式としては、一般的には公開鍵／秘密鍵を暗号化する方式が使用されている。このような方式の１つとして、例えばＲＳＡアルゴリズムを使用して、画像形成装置が単一の公開暗号鍵／秘密暗号鍵を生成するものがある。このアルゴリズムを使用すれば、公開鍵を使用して情報を暗号化できる。そして、復号は秘密鍵を使用して行われる。つまり、ユーザは、受信者の秘密鍵を知らなくても、受信者の公開鍵を使用すれば、受信者へのデータを暗号化できる。

この方法では、画像形成装置１０２は、その公開鍵を公表することになっている。一般に、画像形成クライアント１０１は、例えば、ＳＮＭＰといったデバイス管理プロトコルを使用して画像形成装置１０２自体から直接、公表された公開鍵を取得するか、または、公開鍵が登録されている公開鍵サーバから公表された公開鍵を取得する。後者の場合、画像形成装置１０２は、デバイスを独自に識別する情報を用いて、画像形成装置１０２自身を公開鍵サーバに登録すると共に、その公開鍵を公開鍵サーバに登録する。画像形成クライアント１０１は、画像形成装置１０２を識別するクエリを使用して公開鍵を取得する。上記公開鍵サーバは、画像形成装置１０２に関連付けられている公開鍵を、画像形成クライアント１０１へ伝送する。

画像形成クライアント１０１は、公開鍵を受信すると、画像形成ジョブを画像形成装置１０２に適合させるように（例えば、互換性フォーマットレイアウトで）暗号化し、画像形成装置１０２へ伝送する。画像形成装置１０２は、画像形成ジョブを受信すると、この画像形成ジョブを復号し、要求されたタスクを実施する。

画像形成装置１０２は、逆に、画像形成ジョブまたはジョブの結果を、安全な方法で画像形成クライアント１０１へ伝送してもよい。この場合、画像形成クライアント１０１は、公開暗号鍵／秘密暗号鍵を生成し、画像形成クライアント１０１自身および公開鍵を鍵サーバに登録する。画像形成装置１０２は、画像形成ジョブまたはジョブ結果を、画像形成クライアント１０１に適合させるように、画像形成クライアント１０１の公開鍵を使用して暗号化する。

この方法は、画像形成装置１０２への画像形成ジョブの伝送を安全には行っているものの、アクセス制御は行っていない。すなわち、何時、誰でも画像形成装置１０２への画像形成ジョブの送信や、画像形成装置１０２からの画像形成ジョブの送信を行うことが可能になっている。

図１３は、従来の、アクセス制御と、安全な画像形成ジョブ伝送と組み合わせた方法を示す図である。この方法では、暗号化が、アクセス制御を行うアクセスサーバ１０３およびＩＰアドレスフィルタリング部１０４を使用することにより行われている。すなわち、この画像形成装置１０５は、ＩＰアドレスフィルタリングに対応しており、画像形成装置１０５へのアクセスが、例えばＩＰアドレスといったネットワークアドレスの指定されたリストに限定される。また、実施の一形態では、画像形成装置が、単一の画像形成サーバ（アクセスサーバ）からの画像形成ジョブだけを受信するように構成されている。その結果、この画像形成サーバは、アクセス制御と、画像形成装置への画像形成ジョブのデスプールおよび／または画像形成装置からの画像形成ジョブのデスプールとの双方を実施することとなる。この工程は、一般に以下の順序で行われる：
１．画像形成クライアントは、画像形成装置への画像形成ジョブのデスプールおよび／または画像形成装置からの画像形成ジョブのデスプールを行うよう、画像形成サーバ（アクセスサーバ）に対して要求する。
２．画像形成サーバは、要求が認証されているか否かを判断する。認証されていない場合には、処理はここで終了する。
３．要求が認証されている場合には、画像形成サーバは、画像形成ジョブのデスプールを認証し、画像形成装置の公開鍵を画像形成クライアントへ送信する。
４．画像形成クライアントは、公開鍵を使用して画像形成ジョブを暗号化し、この画像形成ジョブを画像形成サーバへデスプールする。
５．画像形成サーバは、直ちにまたは後に、画像形成ジョブを画像形成装置へのデスプールを行う。
６．画像形成装置は、画像形成ジョブをデスプールする要求を受信すると、送信者のネットワークアドレスをネットワークフィルターを介して確認する。これは、ＩＰアドレスフィルタリングの一例である。ネットワークアドレスからのアクセスが認証されていない場合には、要求は拒否される。
７．ネットワークアドレスからのアクセスが認証されている場合には、画像形成装置は接続を認可し、画像形成ジョブが画像形成装置へデスプールされる。
８．次に、画像形成装置は、秘密鍵を使用して画像形成ジョブを復号し、要求された動作を実行する。

画像形成装置は、逆に、画像形成ジョブまたはジョブ結果を、アクセスサーバ又は画像形成サーバを介して画像形成装置へ送信することができる。
特開平９−１３４２６４号公報（平成９年(1997)５月２０日公開） 米国特許第２００２／００４２８８４号明細書（２００２年４月１１日公開） 米国特許第２００２／００１６９２１号明細書（２００２年２月７日公開） 国際公開第００／２９９２８号パンフレット（２０００年５月２５日公開）

上記図１３にて示す方法は、図１２にて示す方法を改良したものであるが、依然として以下のような問題がある：
１．上記ＩＰアドレスフィルタリングのメカニズムは、画像形成サーバ上にある他の印刷サブシステムを介した画像形成装置への未認証アクセスを抑制することができない。例えば、印刷サーバへアクセスできる管理者は、アクセスを制御する部材を介すことなく、画像形成サーバに画像形成ジョブを発信できる。この場合、発信元のネットワークアドレスが有効であるため、画像形成装置は、この画像形成ジョブを受信してしまう。

２．上記認証方法および公開鍵の暗号化は、認証されたジョブが画像形成装置へ送信された実際のジョブであるということを保証していない。例えば、画像形成サーバは、画像形成ジョブを認証し、公開鍵を送信した後に、認証した画像形成ジョブを他の画像形成ジョブに置換してしまう可能性がある。この置換された画像形成ジョブは、公開鍵によって暗号化されており、認証されないはずの画像形成ジョブがデスプールされてしまう。

３．このため、上記方法は、画像形成の多様な環境には対応できないものである。このような画像形成の多様な環境の例としては、ピアツーピアデスプール、遠隔地から画像形成装置へ直接または無線（例えば、無線周波数（ＲＦ）または赤外線）でのアドホック発信、または、直接デスプールが挙げられる。

４．全ての画像形成ジョブが、画像形成サーバを通して伝送されることにより、各画像形成ジョブは、ネットワーク上で２回デスプールされる。これにより、ネットワーク通信量が増大する。帯域幅および処理能力によっては画像形成サーバがボトルネック（隘路）となる可能性がある。

本発明は、上記の問題点に鑑みてなされたものであり、その目的は、サーバを中継して暗号化された通信を行うことなく、認証サーバを用いた１つのネットワークでアクセス制御と安全な通信とを可能にする画像形成ジョブ認証システムおよび画像形成ジョブ認証方法を実現することにある。

本発明は、様々な手段によって画像形成ジョブの内容を認証し信頼できるものにするために、上記方法をさらに改善するものである。ダイナミックＩＰアドレスフィルタリングを使用することにより、ネットワークアドレスに基づいた画像形成装置へのアクセスが、認証サーバにて１ジョブ当たり１回行われる。認証サーバは、画像形成装置のＩＰアドレスへのアクセス制御を設定する権限を有している。この画像形成装置では、あるＩＰアドレスへのアクセスに使用できる画像形成ジョブは１つだけである。その後、このＩＰアドレスへのアクセスは解除される。他のジョブを開始するためには、画像形成装置にＩＰアドレスを再ロードする必要がある。

ダイナミック公開鍵／秘密鍵生成を行うことにより、一連の固有の公開暗号鍵／秘密暗号鍵が生成される（１ジョブ毎に１対）。この公開暗号鍵／秘密暗号鍵は、ＩＰアドレスアクセスフィルターの１回毎の使用に対応付けられている（使い捨てである）。認証されたＩＰアドレスから発信された画像形成ジョブを受信すると、公開鍵／秘密鍵の対とＩＰアドレスアクセスとが消去される。認証サーバは、公開鍵を通過させるだけで、例えばデスプールサブシステムの末端（例えば、印刷スプーラ、印刷処理機またはポートモニタ（管理））へのアクセスを許可する。

本発明は、ユーザが、認証された画像形成ジョブが他の画像形成ジョブに置換されてしまうことを防止するものである。本発明は、例えばデジタル署名によって、安全なデスプール処理のための公開鍵の通過を確認するものである。多様な印刷環境（ピアツーピアやアドホック）にも対応し、ネットワーク通信量やボトルネック（隘路）を低減させることが可能になる。

すなわち、本発明は、画像形成ジョブを認証するための方法を提供するものである。この方法は、認証サーバが、画像形成ジョブを通信するための要求を、第１ノード装置の印刷サブシステムから受信する工程と、認証サーバが、画像形成ジョブ情報の分析結果に応じて、アクセス照会を第２ノード装置へ送信する工程と、認証サーバが、１回だけ使用する公開暗号鍵を含む認証データを、第２ノード装置から受信する工程と、公開鍵を含む確認データを、第１ノード装置の印刷サブシステムへ送信する工程と、第１ノード装置が、公開鍵を使用して画像形成ジョブを暗号化する工程と、暗号化した画像形成ジョブを、第１ノード装置から第２ノード装置へ送信する工程と、第２ノード装置が、公開鍵に対応付けられた秘密鍵を使用して画像形成ジョブを復号する工程とを含んでいる。

第１ノード装置の印刷サブシステムは、クライアントソースでもよいし、プリンタソースでもよい。第２ノード装置は、クライアントソースとの通信先でもよいし、プリンタソースとの通信先でもよい。アクセス制御に用いられる分析された画像形成ジョブ情報は、ユーザＩＤ、ジョブコンテンツ、第１ノード装置ＩＤ、第１ノード装置通信アドレス、画像形成ジョブアクセス制御、時間／日付、画像形成ジョブサイズ、デジタル署名、生物測定データまたは画像形成ジョブオプションを含んでいてもよい。画像形成ジョブは、印刷ジョブ、スキャンジョブ、ファックスジョブまたは文書／画像管理ジョブでもよい。

また、本発明の方法は、第２ノード装置がジョブ識別子と秘密鍵とを関連付ける工程を含んでいてもよい。公開鍵に対応する秘密鍵を使用して画像形成ジョブを復号する工程は、ジョブ識別子を有する暗号化された画像形成ジョブを受信する工程と、ジョブ識別子を第２ノード装置に記録された秘密鍵と相互に参照する工程とを含んでいる。さらに、本発明の方法は、画像形成ジョブを復号した後に、記録から秘密鍵とジョブ識別子とを消去する工程を含んでいてもよい。ジョブ識別子としては、例えば、ネットワーク（ＩＰ）アドレス、ネットワーク（ＤＮＳ）名、ネットワークユーザ名、文書名、デジタル署名、生物測定データまたはチェックサムを用いることができる。

本発明に係る画像形成ジョブ認証方法は、以上のように、認証サーバにて、画像形成ジョブを通信するための要求を、第１ノード装置の印刷サブシステムから受信する工程と、画像形成ジョブ情報の分析結果に応じて、アクセス照会を第２ノード装置へ送信する工程と、認証サーバにて、１回だけ使用する公開暗号鍵を含む認証データを、第２ノード装置から受信する工程と、公開鍵を含む確認データを、第１ノード装置の印刷サブシステムへ送信する工程と、第１ノード装置にて、公開鍵を使用して画像形成ジョブを暗号化する工程と、暗号化した画像形成ジョブを、第１ノード装置から第２ノード装置へ送信する工程とを含んでいる。

また、本発明に係る画像形成ジョブ認証システムは、以上のように、画像形成ジョブを通信するための要求を送信するインターフェースを有する印刷サブシステムを含む第１ノード装置と、上記第１ノード装置の印刷サブシステムからの要求を受信するインターフェース、および、画像形成ジョブ情報の分析結果に応じたアクセス照会を送信するインターフェースを有する認証サーバと、上記認証サーバからアクセス照会を受信し、１回だけ使用する公開暗号鍵を含む認証データを認証サーバへ送信するインターフェースを有する第２ノード装置とを備え、上記認証サーバが、公開鍵を含む確認データを、第１ノード装置の印刷サブシステムへ送信し、上記第１ノード装置の印刷サブシステムが、公開鍵を使用して画像形成ジョブを暗号化し、暗号化した画像形成ジョブを第２ノード装置へ送信する構成である。

すなわち、認証サーバは、第１ノード装置から受け取った画像形成ジョブ情報に応じて、第２ノード装置から公開鍵を受け取り、第１ノード装置に送信する。第１ノード装置は、受信した公開鍵で画像形成ジョブを暗号化して、画像形成ジョブ情報と共に第２ノード装置に送信する。第２ノード装置は、対応する秘密鍵で画像形成ジョブを復号化して所定の印刷を行う。

このように、画像形成ジョブ情報（ユーザＩＤやジョブコンテンツ等）に応じて公開鍵を発行し、公開鍵に基づいて画像形成ジョブを暗号化すると共に、暗号化された画像形成ジョブを画像形成ジョブ情報に応じて復号化することによって、特定のジョブやユーザに対して公開鍵を発行した後に、異なるジョブやユーザが、この公開鍵を用いて印刷してしまうことを防止することができる。従って、アクセスを制御すると共に、安全な通信を行うことができるという効果を奏する。

本発明に係る画像形成ジョブ認証システムおよび画像形成ジョブ認証方法の実施形態について図１ないし図１１に基づいて説明すると以下の通りである。

図１は、本発明の画像形成ジョブ認証システムの概略的な構成を示すブロック図である。画像形成ジョブ認証システム２００は、印刷サブシステム２０４を有する第１ノード装置２０２を備え、印刷サブシステム２０４は、画像形成ジョブを通信するための要求を送信する線２０６に接続されたインターフェース（図示せず）を有している。印刷サブシステム２０４は、印刷ドライバ、印刷スプーラ（デスプーラ）、印刷処理機またはポート管理機（モニタ）といった部材を備えていてもよい。画像形成ジョブの種類としては、例えば、印刷ジョブ、スキャンジョブ、ファックスジョブまたは文書／画像管理ジョブが挙げられる。最近のＭＦＰといった画像形成装置は、文書／画像サーバの機能を含んでいる。すなわち、ＭＦＰは、文書または画像を、ＭＦＰへ保存する操作や、ＭＦＰから検索する操作を行うことができる。また、ＭＦＰは、文書／画像フォーマットを、電子メールを介して送信／受信された文書／画像フォーマット、または、ホスト／公開ウエブページといった他のフォーマットに変換することもできる。このように、文書／画像管理ジョブは、上記文書／画像サーバ機能の１つを実施するＭＦＰとして定義されている。

認証サーバ２０８は、線２０６に接続され、第１ノード装置２０２の印刷サブシステム２０４からの要求を受信するためのインターフェース（図示せず）を備えている。また、認証サーバ２０８は、線２１０に接続され、画像形成ジョブ情報の分析結果に応じたアクセス照会を送信するためのインターフェース（図示せず）を備えている。

また、第２ノード装置２１２は、線２１０に接続され、認証サーバ２０８からのアクセス照会を受信し、認証サーバ２０８へ認証データ（アクセス権限）を送信するためのインターフェース（図示せず）を備えている。この認証データは、１回だけ使用される（使い捨ての）公開暗号鍵を含んでいる。認証サーバ２０８は、上記認証データを受信すると、公開鍵と共に確認データ（承認データ）を第１ノード装置２０２の印刷サブシステム２０４へ送信する。第１ノード装置２０２の印刷サブシステム２０４は、受信した公開鍵を使用して画像形成ジョブを暗号化し、暗号化した画像形成ジョブを、線２１４を介して第２ノード装置２１２へ送信する。すなわち、暗号化された画像形成ジョブは、認証サーバ２０８を迂回する（認証サーバ２０８を中継しない）。そして、第２ノード装置２１２は、公開鍵に対応付けられた秘密鍵を使用して画像形成ジョブを復号する。なお、線２０６・２１０・２１４は、別々に示されているが、これらは全てローカルエリアネットワーク（ＬＡＮ）やＩＰネットワークといった同じ物理資源によって構成されていてもよい。

第１ノード装置２０２の印刷サブシステム２０４は、クライアントソースまたはプリンタソースなどの装置に組み込まれているものである。クライアントソースは、例えば、パーソナルコンピュータ（ＰＣ）でもよく、携帯情報端末（ＰＤＡ）または携帯電話といった携帯型デバイスでもよい。プリンタソースは、例えば、ＭＦＰ、コピー機、プリンタ、ファックスまたはスキャナなどでもよい。同様に、第２ノード装置２１２は、上記のようなクライアントソースの通信先でもよく、プリンタソースの通信先でもよい。例えば、第１ノード装置２０２としてのＰＣが、第２ノード装置２１２としての印刷を行うＭＦＰへ印刷ジョブを送信する構成としてもよい。あるいは、第１ノード装置２０２としてのスキャナが、スキャンした画像を格納する第２ノード装置２１２としてのＰＣへ送信する構成としてもよい。一般的に、第１ノード装置２０２がクライアントソースであれば、第２ノード装置２１２がプリンタソースであり、第１ノード装置２０２がプリンタソースであれば、第２ノード装置２１２がクライアントソースである。

第２ノード装置２１２の自由な使用を制限するために、認証サーバ２０８は、画像形成ジョブ情報の分析（検査）結果に応じて、第２ノード装置２１２へのアクセスを認証している。このような分析（検査）は、例えば、ユーザＩＤ、第１ノード装置ＩＤ、文書名または第１ノード装置通信アドレスといった種類の画像形成ジョブ情報を検査することによって行ってもよい。あるいは、認証サーバ２０８は、ジョブコンテンツを分析してもよい。この場合、例えば、あるクラスのファイル（例えば、ＴＩＦＦファイル）や、特別なキーワードが含まれた文書だけを除外することもできる。さらに、他の種類の画像形成ジョブのアクセス制御も可能である。この場合、時間／日付をアクセス制御に使用することができる。例えば、午前８時から午後５時までの間は印刷ジョブを出さないとするといったことである。あるいは、画像形成ジョブのサイズをアクセス制御のために使用してもよい。さらに、デジタル署名または生物測定データをアクセス制御のために使用してもよい。また、他の観点として、画像形成ジョブオプションを分析してもよい。この場合、例えば、ホッチキス留めを行う必要のあるジョブまたは穴開けを行う必要のあるジョブが、第２ノード装置２１２へアクセスできないようにするといった制御を行うことができる。

上記第２ノード装置２１２は、ジョブ識別子と秘密鍵とを関連付けるものである。また、第２ノード装置２１２は、画像形成ジョブを受信すると、受信したジョブ識別子と秘密鍵とを相互に参照して画像形成ジョブを復号する。すなわち、第２ノード装置２１２は、ジョブ識別子とこれに対応する秘密鍵とを格納するためのメモリー（記憶装置）２２０を備えている。そして、第２ノード装置２１２は、画像形成ジョブを復号した後、メモリー２２０から複合に用いた秘密鍵とジョブ識別子とを消去するようになっている。

一般的に、第２ノード装置２１２は、ジョブ識別子を生成し、このジョブ識別子を公開鍵と共に、認証データに含めて認証サーバ２０８へ送信する。あるいは、認証サーバ２０８は、ジョブ識別子を選択する構成であってもよい。ジョブ識別子としては、例えば、ネットワーク（ＩＰ）アドレス、ネットワーク（ＤＮＳ）名、ネットワークユーザ名、文書名、デジタル署名、生物測定データまたはチェックサムを用いることができる。ただし、上記ジョブ識別子は、異なるレベルの安全性に関連付けられる。例えば、ジョブ識別子が、第１ノード装置２０２のＩＰアドレスだけを含んでいる場合には、第１ノード装置２０２が認証用のジョブを送信しても、実際には別のジョブが暗号化されて送信される可能性がある。一方、例えば、チェックサムが含まれている場合には、より強い安全性のために、ジョブを置換することが困難になる。なお、１つ以上のジョブ識別子を使用してもよく、例えば、ＩＰアドレスおよび文書サイズを、ジョブ識別子として使用してもよい。

本発明の一つの特徴として、第１ノード装置２０２の印刷サブシステム２０４は、異なる画像形成ジョブ暗号化方法を使用することができる。例えば、ジョブ全体を暗号化することの他に、画像形成ジョブ制御命令だけを暗号化すること、画像形成ジョブデータだけを暗号化すること、および／または、画像形成ジョブの一部を暗号化することも可能である。このように、安全性に応じて処理内容を変えることができる。

本発明の他の特徴としては、第２ノード装置２１２は、さらに、アクセス制御モジュール２２４を備えている。アクセス制御モジュール２２４は、アクセス照会と共に画像形成ジョブ情報を認証サーバ２０８から受信するために、線２１０に接続されたインターフェースを有している。また、アクセス制御モジュール２２４は、画像形成ジョブ情報の分析結果に応じた鍵認証データを送信するために、線２２６に接続されたインターフェースを有している。すなわち、認証サーバ２０８によって行われる第１レベルのアクセス制御のほかに、第２ノード装置２１２には第２レベルのアクセス制御が行われる。

本発明のさらに異なる特徴として、第２ノード装置２１２は、１回だけ使用する（使い捨ての）公開鍵／秘密鍵の対を生成するための鍵生成モジュール２３０を備えている。鍵生成モジュール２３０は、線２１０を介して認証サーバ２０８と接続されているインターフェースを有しており、このインターフェースを介して認証データと共に公開鍵を送信するようになっている。他のバリエーションとして、鍵生成モジュール２３０が、１回だけ使用する公開鍵／秘密鍵対を複数生成するものがある。これら複数の公開鍵／秘密鍵対は、認証データと共に認証サーバ２０８へ送信される。複数の鍵は、確認データと共に第１ノード装置２０２へ中継される。これにより、第１ノード装置２０２の印刷サブシステム２０４は、複数の公開鍵を使用して画像形成ジョブを暗号化することができる。また、例えば、第１ノード装置２０２の印刷サブシステム２０４は、複数の公開鍵を使用して、複数の画像形成ジョブの一部分を暗号化してもよい。

〔機能について〕
本発明の画像形成ジョブの認証および暗号化／復号化方法は、画像形成ジョブを開始するために使用する手段、暗号化用の公開鍵／秘密鍵アルゴリズム、公開鍵／秘密鍵を使用して画像形成ジョブを暗号化／復号化するために使用される方法、および、公開鍵／秘密鍵を生成するために使用する方法からは独立している。例えば、画像形成ジョブは、プリンタドライバを用いてアプリケーションから生成することができる。このアプリケーションは、文書を印刷指示に変換する。この印刷指示としては、例えば、オペレーティングシステムのＭＳファミリーにおけるＧＤＩ（Graphics Device Interface）が挙げられる。印刷指示は、クライアントにインストールされたプリンタドライバ、および／または、印刷装置に対応したサーバにインストールされたプリンタドライバへ送られる。プリンタドライバは、印刷指示を、プリンタ依存型フォーマット（例えば、ラスタ画像またはページ記述言語（ＰＤＬ；page description language））に変換する。他の場合（例えば、直接印刷）では、プリンタが文書のフォーマットを直接変換するため、文書フォーマットをプリンタ依存型フォーマットへ予め変換しておくことはない。

また、本発明は、例えば、画像形成ジョブを、産／官標準（例えば、ＲＳＡ３ＤＥＳ暗号化またはＡＥＳ（Advanced Encryption System））を使用して暗号化させてもよい。この場合、画像形成ジョブ全体を暗号化してもよく、または、画像形成ジョブの一部分を暗号化してもよい。

本発明は、画像形成ジョブ認証の判断に用いられる方法からは独立している。例えば、本発明の認証方法は、特定の文書／画像に対するアクセス制御に基づいていてもよい。また、本発明は、画像形成ジョブの種類からは独立している。画像形成ジョブは、例えば、印刷、スキャン、ファックスまたは文書管理ジョブでもよい。

本発明のように、画像形成ジョブを受信または伝送する装置（例えば、ＭＦＰまたは演算装置）としては、画像形成装置が挙げられる。画像形成装置または画像形成サーバに画像形成ジョブを作成やデスプールする演算装置、画像形成装置または画像形成サーバから画像形成ジョブを受信する演算装置を、画像形成クライアント、クライアント演算装置またはクライアントと呼ぶ。また、画像形成装置を管理し、画像形成ジョブを受信し、画像形成ジョブを画像形成装置へ／画像形成装置から再スプールする演算装置を、サーバ演算装置または認証サーバと呼ぶ。

〔画像形成ジョブ制御概要〕
図２は、本発明の認証システムの実施形態の１つを示す図である。図２に示す認証システム３０１は、画像形成クライアント３０２、画像形成装置３０３、認証サーバ３０４を備えている。画像形成ジョブは、画像形成クライアント３０２から画像形成装置３０３へデスプールされるか、または、その反対である。図２は前者の場合を示し、この場合、画像形成ジョブが、画像形成クライアント３０２にて始まる。画像形成ジョブの例としては、例えば、印刷ジョブ、スキャンジョブ、ファックスジョブまたは文書管理ジョブが挙げられるが、これに制限されない。画像形成ジョブは、ユーザによって手動で開始してもよいし、何らかの自動的な処理または他のバックグラウンド処理によって開始してもよい。画像形成ジョブは、プリンタドライバなどによって、画像形成装置レディフォーマットとなるように予め処理されていてもよく、または、既に画像形成装置レディフォーマット（例えば、直接印刷）になっていてもよい。

画像形成ジョブがいったん開始されると、画像形成ジョブは、画像形成クライアント３０２の画像形成スプーラ（図示せず）へスプールされる。画像形成ジョブをデスプールする前に、画像形成スプーラは、画像形成ジョブの画像形成装置３０３へのアクセスが認証されるように、認証サーバ３０４と通信を行う。画像形成スプーラしては、例えば、印刷スプーラ、印刷／ファックススプーラ、スキャンスプーラ、または、集積画像形成スプーラが挙げられるが、これに制限されない。

なお、画像形成ジョブをデスプールするための認証を要求する処理は、画像形成処理機またはポートモニタを使用して、後のデスプール処理のときに行われる。画像形成処理機の例としては、オペレーティングシステムのMircosoft（登録商標）Windows（登録商標）ファミリーの印刷処理機が挙げられる。ポートモニタの例としては、オペレーティングシステムのMircosoft（登録商標）Windows（登録商標）ファミリーのポートモニタが挙げられる。

画像形成スプーラまたは他のデスプールする部材（デスプーラ）は、認証サーバ３０４と通信する際に自身を証明する。証明は、例えばデジタル署名でもよいが、他の手段も可能である。証明すると、デスプーラは、画像形成ジョブに関する情報を認証サーバ３０４へ送信する。認証サーバ３０４は、画像形成ジョブ情報を検査し、アクセスを認証するかどうかを判断する。認証の判断は、例えば以下の要素またはこれらの任意の組み合わせに基づくものでもよいが、これに制限されない。
１．発信ソース、例えば、クライアント演算装置
２．発信ユーザ、例えば、ユーザ名
３．文書／画像へのアクセス制御
４．日付／時間
５．画像形成ジョブのサイズ
６．画像形成ジョブを特定するオプション
７．文書の内容
認証サーバ３０４がアクセスを認証しない場合には、認証拒否応答が、画像形成スプーラまたは他のデスプーラへ返送され、画像形成に係るジョブは終了する。アクセスが認証される場合には、認証サーバ３０４は、例えばＳＮＭＰなどの管理プロトコルを使用して画像形成装置３０３と通信を行い、ネットワークアドレスへのアクセスの認証を要求すると共に、画像形成クライアント３０２のネットワークアドレス（ＩＰアドレス）を送信する。これは、ＩＰアドレスフィルタリングを使用したアクセス制御の一例である。画像形成装置３０３の通信アドレスは、例えばパラレルポート、シリアルポート、または、ＵＳＢポートといったローカルアドレスでもよい。また、画像形成装置３０３は、通信アドレスの任意の組み合わせを用いて接続されていてもよく、この場合、例えば１つの通信アドレスが、認証要求のために使用され、他の通信アドレスが画像形成ジョブの送信／受信用に使用される。

画像形成装置３０３は、ネットワークアドレスへのアクセス要求を受信すると、独自の公開暗号鍵／秘密暗号鍵を生成し、ネットワークアドレスと秘密鍵とを記憶して、公開鍵を認証サーバ３０４へと送信する。認証サーバ３０４は、確認データおよび公開鍵を、画像形成クライアント３０２の画像形成スプーラまたは他のデスプーラへ送信する。次に、画像形成クライアント３０２は、公開鍵を使用して、画像形成装置３０３に適合するように画像形成ジョブを暗号化する。可能な暗号化方法の例としては、以下のものがあげられるが、これに制限されない。
１．画像形成ジョブ全体の暗号化
２．画像形成制御命令は暗号化せず、画像形成データを暗号化
３．内容情報を開示する命令または操作だけを暗号化する断片的な暗号化
次に、デスプーラは、暗号化された画像形成ジョブを、画像形成装置３０３へ直接デスプールする。

画像形成装置３０３は、画像形成ジョブを受信すると、画像形成ジョブの発信元のネットワークアドレス（画像形成クライアント３０２）を、蓄積されたネットワークフィルターアクセスの中から検索する。ネットワークアドレスが見つからない場合には、画像形成装置３０３へのデスプールは認証されない。ネットワークアドレスが見つかった場合には、画像形成装置３０３は、画像形成ジョブのデスプールを受付け、ネットワークアドレスと共に記憶されている秘密鍵を使用して、画像形成ジョブを復号する。画像形成ジョブが終了すると、画像形成装置３０３に記憶されていたネットワークアドレスアクセスおよび秘密鍵が消去される。

図３は、本発明の認証システムの他の実施形態を示す図である。図３に示す認証システム３０５においても、図２と同様に、画像形成クライアント３０６、画像形成装置３０７、認証サーバ３０８を備えている。図３に示す認証システム３０５においても、画像形成ジョブが開始されると、画像形成ジョブが画像形成クライアント３０６の画像形成スプーラ（図示せず）へスプールされる。そして、画像形成ジョブをデスプールする前に、画像形成スプーラは、画像形成ジョブの画像形成装置３０７へのアクセスが認証されるように、認証サーバ３０８と通信を行う。

この際、画像形成クライアント３０６は、認証サーバ３０８に対して、画像形成ジョブ情報と画像形成クライアント３０６のネットワークアドレス（ＩＰアドレス）とを送信する。認証サーバ３０８は、受信した画像形成ジョブ情報の分析（検査）結果に応じて、画像形成装置３０７へのアクセスを認証する。このような分析（検査）は、例えば、ユーザＩＤ、画像形成クライアントＩＤ（第１ノード装置ＩＤ）、文書名または画像形成クライアント通信アドレス（第１ノード装置通信アドレス）といった種類の画像形成ジョブ情報を検査することによって行うことができる。

認証サーバ３０８がアクセスを認証しない場合には、認証拒否応答が、画像形成すプールまたは他のデスプーラへ返送され、画像形成に係るジョブは終了する。アクセスが認証される場合には、認証サーバ３０８は、画像形成装置３０７と通信を行い、ネットワークアドレスへのアクセスを要求すると共に、画像形成クライアント３０６のネットワークアドレス（ＩＰアドレス）を送信する。すなわち、ＩＰアドレスフィルタリングを使用したアクセス制御を行う。

画像形成装置３０７は、ネットワークアドレスへのアクセス要求を受信すると、独自の公開暗号鍵／秘密暗号鍵を生成し、ネットワークアドレスと秘密鍵とを記憶して、公開鍵を認証サーバ３０８へと送信する。認証サーバ３０８は、確認データおよび公開鍵を、画像形成クライアント３０６の画像形成スプーラまたは他のデスプーラへ送信する。次に、画像形成クライアント３０６は、公開鍵を使用して、画像形成装置３０７に適合するように画像形成ジョブを暗号化する。

次に、デスプーラは、暗号化された画像形成ジョブを、画像形成装置３０７へ直接デスプールする。そして、画像形成装置３０７は、画像形成ジョブを受信すると、画像形成ジョブの発信元のネットワークアドレス（画像形成クライアント３０６）を、蓄積されたネットワークフィルターアクセスの中から検索する。ネットワークアドレスが見つからない場合には、画像形成装置３０７へのデスプールは認証されない。ネットワークアドレスが見つかった場合には、画像形成装置３０７は、画像形成ジョブのデスプールを受付け、ネットワークアドレスと共に記憶されている秘密鍵を使用して、画像形成ジョブを復号する。画像形成ジョブが終了すると、画像形成装置３０７に記憶されていたネットワークアドレスアクセスおよび秘密鍵が消去される。

また、上記と同様に、画像形成クライアント、画像形成装置および認証サーバを備えた認証システムであって、本発明のさらに他の実施形態を示す認証システム（図示せず）を挙げることができる。この場合の認証システムは、図２に示す認証システム３０１とは逆に、画像形成ジョブが、（例えば、ネットワークスキャンジョブのように）画像形成装置からも発信されているものである。すなわち、この認証システムの場合、画像形成装置は、ユーザの変わりに認証サーバにアクセスして認証を確認してもよい。認証された場合には、認証サーバは、通信先の画像形成クライアントの画像形成スプーラ（図示せず）と交信し、画像形成装置のネットワーク（ＩＰ）アドレスを送信する。通信先の画像形成スプーラでは、独自の公開鍵／秘密鍵対を生成し、画像形成装置のネットワーク（ＩＰ）アドレスおよび秘密鍵を記憶し、公開鍵を認証サーバへと送信する。認証サーバは、公開鍵を画像形成装置へ中継する。

画像形成装置は、画像形成ジョブを暗号化し、画像形成ジョブを通信先の画像形成クライアントへデスプールする。通信先の画像形成クライアントは、画像形成ジョブを受信すると、画像形成ジョブの発信元（画像形成装置）のネットワーク（ＩＰ）アドレスを、格納されたネットワークフィルターアクセスから検索する。ネットワークアドレスが見つからない場合には、通信先に対するデスプールは許可されない。ネットワークアドレスが見つかった場合には、画像形成スプーラは、画像形成ジョブのデスプールを受付け、ネットワークアドレスと共に記憶されている秘密鍵を使用して画像形成ジョブを復号する。画像形成ジョブが終了したら、通信先に記憶されているネットワークアドレスアクセスと秘密鍵とが消去される。

図４は、本発明の認証システムのさらに他の実施形態を示す図である。図４に示す認証システム３０９は、画像形成クライアント３１０、画像形成装置３１１、認証サーバ３１２を備えている。図４に示す認証システム３０９の認証サーバ３１２は、画像形成サーバの構成を含むものであってもよい。この場合、画像形成ジョブは、画像形成装置３１１または画像形成クライアント３１０へデスプールされる前に、まず、画像形成サーバを兼ねた認証サーバ３１２へデスプールされる。そして、発信元に関する情報が、直接または画像形成ジョブに組み込まれた状態で画像形成装置３１１または画像形成クライアント３１０へ送信される。そして、上記と同様にして、公開鍵／秘密鍵対が生成され、発信元のネットワーク（ＩＰ）アドレスが見つかった場合には、受信側の装置は、画像形成ジョブのデスプールを受付け、画像形成ジョブを復号する。

〔ＭＦＰの内部−認証設定〕
図５は、第２ノード装置２１２としての画像形成装置の詳細を示す図である。図５に示す画像形成装置は、ネットワークインターフェース３２０、認証プロトコル部３２１、公開鍵／秘密鍵生成器３２２、および、ネットワークアドレスアクセスと対応する秘密鍵とを記録するための認証記録装置３２３を備えている。認証サーバ２０８は、認証プロトコル部３２１に格納された認証用のプロトコル（認証プロトコル）を使用するネットワークインターフェース３２０を介して画像形成装置と通信する。画像形成装置は、このネットワーク３２０を介して、通信先の情報である発信元情報を受信する。認証プロトコルに従って、画像形成サーバは、指定のネットワークアドレスに対してアクセスすることを要求できる。そして、画像形成装置の認証プロトコル部３２１は、公開鍵／秘密鍵生成器３２２から、独自の公開暗号鍵／秘密鍵暗号鍵を生成して取得する。なお、公開鍵／秘密鍵生成器３２２は、図１に示す鍵生成モジュール２３０に対応している。

認証プロトコル部３２１は、公開鍵／秘密鍵生成器３２２にて生成された公開鍵を受信する。そして、認証プロトコル部３２１は、ネットワークインターフェース３２０から発信元情報を受信し、この発信元情報（ネットワークアドレス）と、このネットワークアドレスに対応した秘密鍵とを認証記録装置３２３に格納する。さらに、認証プロトコル部３２１は、ネットワークインターフェース３２０に公開鍵を送信し、ネットワークインターフェース３２０は、認証データと共に公開鍵を認証サーバ２０８（画像形成サーバ）へ返信する。

図６は、認証記録表の例を示す図である。図６に示す例では、各記録が、アクセスするためのソース識別子（例えば、ネットワークアドレス）と、ソース識別子の種類とが記載されている。ソース識別子は、以下のものを含んでいてもよいが、これに限定されない。
１．ネットワークアドレス、例えばＩＰアドレス
２．ネットワーク名、例えばＤＮＳ名
３．ネットワークユーザ名
４．文書名
各記録には、発信元の決定に係る情報が、例えばネットワークアドレスといったトランスポート層や、画像形成ジョブに組み込まれているようなデータ層などに含まれている。さらに、各記録には、関連付けられた秘密鍵が含まれ、任意の記録には、２次的な証明方法（例えば、デジタル署名またはチェックサム）が含まれている。

〔認証サーバ〕
図７は、ピアツーピア認証システムを示す図である。図７に示すように、ピアツーピア認証システム３３０は、画像形成クライアント３３１と認証サーバ３３２とを備えている。画像形成クライアント３３１は、ネットワークインターフェース３３３およびポート管理部３３４を備えており、認証サーバ３３２は、クライアントインターフェース３３５、ジョブ情報抽出部３３６、認証部３３７および画像形成装置インターフェース３３８を備えている。なお、画像形成クライアント３３１は、画像形成ジョブをデスプールするよう、クライアントインターフェース３３５を介して認証サーバ３３２に要求する。デスプールの要求は、画像形成クライアント３３２を識別する画像形成ジョブ情報を含んでいる。１つの方法として、画像形成クライアント３３２を識別する情報は、トランスポート層（例えば、ネットワークアドレス）から得ることができる。また、他の方法として、上記情報は、要求データ（例えば、ホスト名）に組み込まれていてもよい。さらに他の方法として、上記情報は、トランスポート層にて得られた情報または要求データ（例えば、ＤＮＳサーバにおけるホスト名探索）から得ることもできる。

画像形成ジョブ情報は、画像形成装置にネットワークフィルターアクセスを記録することを要求する情報を少なくとも含み、認証要求に必要な他の情報をも含んでいる。これらの情報としては、以下のものを挙げることができるが、これに制限されない。
１．ユーザ名
２．文書名
３．画像形成ジョブ制御オプション
４．文書／画像へのアクセス制御
５．日付／時間
６．画像形成ジョブのサイズ
７．文書の内容
ジョブ情報抽出部３３６は、要求されたデータから、認証処理に関する情報と、画像形成装置に記録されたネットワークフィルターアクセスとを抽出し、これらの情報を対応するモジュールへ送信する。

認証部３３７は、画像形成ジョブが認証されているかどうかを判断する。この場合、任意の認証アルゴリズムを使用してもよい。このような認証アルゴリズムは、例えば以下のものを挙げることができるが、これに制限されない。
１．画像形成装置に対するユーザのアクセス権
２．画像形成ジョブが予定されている時間
３．文書／画像に対するユーザのアクセス権
４．ホッチキス留め等の画像形成ジョブの特性
５．文書中の内容に対するユーザのアクセス権
６．著作権または他の禁止されている内容のフィルタリング
画像形成ジョブが認証されている場合には、認証部３３７は、ネットワークフィルターアクセス記録に関する情報を含むアクセス設定要求を作成する。このアクセス設定要求は、画像形成装置インターフェース３３８を介して画像形成装置へ送信される。

次に、認証部３３７は、画像形成装置からのアクセス認証応答を待つ。アクセスが認証された場合（アクセス認証応答を受信した場合）には、認証部３３７は、アクセス認証応答から抽出された公開鍵を含む確認応答を、クライアントインターフェース３３５を介して画像形成クライアント３３２へ送信する。

図８は、画像形成サーバ認証システムを示す図である。図８に示す画像形成サーバ認証システム３４０は、画像形成クライアント３４１および認証サーバ３４２を備えている。画像形成クライアント３４１は、画像形成スプーラ３４３およびポート管理部３４４を備えている。また、認証サーバ３４２は、クライアントインターフェース３４５、ジョブ情報抽出部３４６、認証部３４７および画像形成装置インターフェース３４８を備えている。なお、認証サーバ３４２は、画像形成装置のための画像形成サーバとしても機能を果たしている。画像形成クライアント３４１は、画像形成ジョブを、認証サーバ３４２（画像形成サーバ）へ認証要求せずにデスプールする。画像形成スプーラ３４３または他の画像形成デスプールする部材は、画像形成クライアント３４１の代わりに、クライアントインターフェース３４５を介して認証要求を行う。なお、ジョブ情報抽出部３４６は、画像形成ジョブの構文解析や、画像形成ジョブに組み込まれている情報の抽出を行うものである。

この処理は、上記図７に示すピアツーピア認証システムが行う処理とは、以下の点が異なっている：
１．ジョブ情報は、画像形成ジョブから抽出されており、および／または、ジョブスケジュール情報は、画像形成スプーラから抽出されている。例えば、ユーザおよび文書名は、ジョブスケジュール情報から取得される。さらに、画像形成オプションは、画像形成ジョブの中の画像形成ジョブ制御命令から取得される。
２．発信元情報は、画像形成ジョブから抽出され、および／または、ジョブスケジュール情報は、画像形成スプーラから抽出される。例えば、画像形成クライアントについてのホスト情報は、ジョブスケジュール情報から取得してもよく、または、画像ジョブに組み込まれていてもよい。

〔画像ジョブデスプール〕
図９は、第１ノード装置の印刷サブシステムによる、暗号化された画像形成ジョブのデスプールを詳しく示す図である。図９に示すように、画像形成ジョブを印刷ドライバ等で生成し、画像形成クライアントの画像形成スプーラにスプールされる。その後、画像形成クライアントの画像形成スプーラまたは他のデスプールする部材は、認証サーバに認証要求を行う。画像形成クライアントが公開暗号鍵と共に認証確認を受信した後、認証要求を行うデスプールする部材（例えば、画像形成スプーラ、画像形成処理機またはポート管理機）が、以下の動作を行う：
１．画像形成装置に適合するように、公開暗号鍵を使用して画像形成ジョブを暗号化する。
２．ポート管理機を介して画像形成装置または画像形成スプーラへ接続することにより、暗号化された画像形成ジョブのデスプールの準備を開始する。
３．接続が受け付けられるのを待つ。
４．画像形成装置または画像形成サーバに関連付けられているポート管理機を介して暗号化された画像形成ジョブをデスプールする。

〔画像ジョブ実行〕
図１０は、画像形成ジョブの実行を詳しく示す図である。画像形成装置は、画像形成ジョブを画像形成装置へデスプールする要求を受信した後に以下の動作を行う。

すなわち、画像形成ジョブを、ネットワークインターフェースを介して受信すると、以下に示す１の処理を「画像形成構文解析」として行う。そして、以下に示す２の処理を「アクセス検索」として行う。このアクセス検索の際に用いるアクセスレコードとは、例えば図６に示す表を挙げることができる。その後、以下に示す３〜６の処理を行う。６の処理後は、「アクセスレコードへの記録のアップデート」を行うことによって、使用したエントリの削除を行う（公開暗号鍵は１回だけ使用する）。そして、以下に示す７〜８の処理を行う。：
１．トランスポート層または画像形成ジョブに組み込まれた情報から画像形成ジョブ発信元情報を抽出する。
２．発信元のアクセスエントリをネットワークフィルターアクセス記録（アクセスレコード）から検索する。
３．エントリがなかった場合には処理を終了し、デスプール要求を拒否する。
４．エントリがあった場合には発信元情報に関連付けられている秘密暗号鍵を検索する。
５．画像形成装置は、画像形成装置への画像形成ジョブのデスプールの受付けを認める。
６．画像形成装置は、秘密暗号鍵を使用して画像形成ジョブを復号する。
７．画像形成装置は、復号した画像形成ジョブを画像機へと送信する。
８．画像形成ジョブに関連付けられているネットワークアクセスフィルター記録（アクセスレコード）を消去する。

なお、発信元情報を画像形成ジョブ内部から取得する場合は、アクセスレコードを検索する前に、画像形成ジョブの一部または全てを、画像形成装置または画像形成装置によってアクセス可能な記憶装置へデスプールしておく必要がある。

図１１は、本発明の画像形成ジョブ認証方法を示すフローチャートである。図１１では、分かりやすいように番号付けされた一連の工程として示しているが、これらの番号に基づく順序に限定されるものではない。例えば、これらの工程の複数を省いてもよく、複数の工程を並行して実施してもよく、順序を入れ換えて実行してもよい。本方法では、ステップ８００から開始する。

ステップ８０２では、認証サーバが、画像形成ジョブを通信するようにとの要求を、第１ノード装置の印刷サブシステムから受信する。この場合、画像形成ジョブは、上記の通り例えば印刷ジョブ、スキャンジョブ、ファックスジョブまたは文書／画像管理ジョブでもよい。ステップ８０４では、画像形成ジョブ情報の分析結果に応じて、アクセス照会を第２ノード装置へ送信する。ステップ８０６では、認証サーバが、１回だけ使用される公開暗号鍵を含む認証データを、第２ノード装置から受信する。ステップ８０８では、公開鍵を含む確認データを、第１ノード装置の印刷サブシステムへ送信する。ステップ８１０では、第１ノード装置が、公開鍵を使用して画像形成ジョブを暗号化する。ステップ８１２では、暗号化された画像形成ジョブを、第１ノード装置から第２ノード装置へ送信する。ステップ８１４では、第２ノード装置が、公開鍵に対応付けられた秘密鍵を使用して画像形成ジョブを復号する。ステップ８１６では、公開鍵／秘密鍵対を消去する。

画像形成ジョブを通信するようにとの要求を、第１ノード装置の印刷サブシステムから受信する工程（ステップ８０２）は、クライアントソースまたはプリンタソースである第１ノード装置からの要求を受信する工程を含み、この場合、印刷サブシステムは、印刷ドライバ、印刷スプーラ、印刷処理機またはポート管理機（モニタ）などの構成を含んでいてもよい。暗号化された画像形成ジョブを第２ノード装置へ送信する工程（ステップ８１２）は、暗号化された画像形成ジョブを第２ノード装置へ送信する工程を含んでいる。なお、第２ノード装置は、クライアントの通信先またはプリンタの通信先でもよい。

図１１では、画像形成ジョブ情報の分析結果に応じて第２ノード装置へアクセス照会を送信する工程（ステップ８０４）が、画像形成ジョブ情報（例えば、ＩＤ、ジョブコンテンツ、文書名、第１ノード装置ＩＤ、第１ノード装置通信アドレス、画像形成ジョブアクセス制御、時間／日付、画像形成ジョブサイズ、デジタル署名、生物測定データまたは画像形成ジョブオプション）の分析結果に応じて第２ノード装置へのアクセスを認証する工程を含んでいる。

また、図１１では、第２ノード装置へアクセス照会を送信する工程（ステップ８０４）が、第２ノード装置へ画像形成ジョブ情報を送信する工程を含んでいる。さらに、ステップ８０５ａでは、第２ノード装置にて画像形成ジョブ情報を分析する。認証を受信する工程（ステップ８０６）は、第２ノード装置の画像形成ジョブ情報分析に応じた公開鍵を受信する工程を含んでいる。

他の方法としては、ステップ８０５ｂとして、１回だけ使用する公開鍵を認証サーバへ送信する前に、１回だけ使用する公開鍵と対応する秘密鍵とを、第２ノード装置で生成してもよい。さらに異なる方法としては、ステップ８０５ｃとして、第２ノード装置がジョブ識別子と秘密鍵とを関連付ける。例えば、ジョブ識別子は、ネットワーク（ＩＰ）アドレス、ネットワーク（ＤＮＳ）名、ネットワークユーザ名、文書名、デジタル署名、生物測定データまたはチェックサムでもよい。次に、公開鍵に対応付けられた秘密鍵を使用して画像形成ジョブを復号する工程（ステップ８１４）は、サブ工程を含んでいる。ステップ８１４ａでは、ジョブ識別子を有する暗号化された画像形成ジョブを受信する。ステップ８１４ｂでは、ジョブ識別子を、秘密鍵と相互参照する。

なお、ジョブ識別子と秘密鍵とを関連付ける工程（ステップ８０５ｃ）は、ジョブ識別子と対応する秘密鍵とを第２ノード装置のメモリーに格納する工程を含む。そして、ステップ８１６では、画像形成ジョブを復号した後、秘密鍵とジョブ識別子とを記録から消去する。

本発明の方法では、公開鍵を使用して画像形成ジョブを暗号化する工程（ステップ８１０）は、画像形成ジョブ全体を暗号化する工程、画像形成ジョブ制御命令だけを暗号化する工程、画像形成ジョブの一部を暗号化する工程、または、画像形成ジョブデータだけを暗号化する工程等を含んでいてもよい。

異なる方法として、認証データを認証サーバにて受信する工程（ステップ８０６）が、１回限りの公開暗号鍵を複数受信する工程を含み、第１ノード装置にて公開鍵を使用して画像形成ジョブを暗号化する工程（ステップ８１０）が、複数の公開鍵を使用して画像形成ジョブを暗号化する工程を含んでいてもよい。例えば、ステップ８１０は、複数の公開鍵を使用して複数の画像形成ジョブの一部分を暗号化してもよい。

上記では、認証サーバを使用して画像形成ジョブを認証するためのシステムおよび方法について説明してきた。上記説明では、本発明の使用方法や特定の通信メカニズムを例に挙げた。しかしながら、これらの例は、本発明を分かりやすくするために挙げた例であり、本発明はこれらの例だけに制限されない。また、本発明の説明を、一般的なMicrosoft（登録商標） Windows（登録商標）オペレーティングシステムを用いて説明してきたが、本発明はこれに限定されるものではない。本発明における他の可能性のある例を挙げるとApple（登録商標） Macintosh（登録商標）オペレーティングシステム、Linux（登録商標）オペレーティングシステム、System（登録商標） V Unix（登録商標）オペレーティングシステム、BSD（登録商標） Unix（登録商標）オペレーティングシステム、OSF Unix（登録商標）オペレーティングシステム、Sun（登録商標） Solaris（登録商標）オペレーティングシステム、HP（登録商標）／UX（登録商標）オペレーティングシステムまたはIBM（登録商標） Mainframe MVS（登録商標）およびAS／400（登録商標）オペレーティングシステムなどのサブシステムを用いることもできる。本発明の他のバリエーションや実施形態は、当業者によって実施されるであろう。

本発明は上述した各実施形態に限定されるものではなく、請求項に示した範囲で種々の変更が可能であり、異なる実施形態にそれぞれ開示された技術的手段を適宜組み合わせて得られる実施形態についても本発明の技術的範囲に含まれる。

最後に、画像形成ジョブ認証システムの各ブロックは、ハードウェアロジックによって構成してもよいし、次のようにＣＰＵを用いてソフトウェアによって実現してもよい。

すなわち、画像形成ジョブ認証システムは、各機能を実現する制御プログラムの命令を実行するＣＰＵ（central processing unit）、上記プログラムを格納したＲＯＭ（read only memory）、上記プログラムを展開するＲＡＭ（random access memory）、上記プログラムおよび各種データを格納するメモリ等の記憶装置（記録媒体）などを備えている。そして、本発明の目的は、上述した機能を実現するソフトウェアである画像形成ジョブ認証システムの制御プログラムのプログラムコード（実行形式プログラム、中間コードプログラム、ソースプログラム）をコンピュータで読み取り可能に記録した記録媒体を、上記画像形成ジョブ認証システムに供給し、そのコンピュータ（またはＣＰＵやＭＰＵ）が記録媒体に記録されているプログラムコードを読み出し実行することによっても、達成可能である。

上記記録媒体としては、例えば、磁気テープやカセットテープ等のテープ系、フロッピー（登録商標）ディスク／ハードディスク等の磁気ディスクやＣＤ−ＲＯＭ／ＭＯ／ＭＤ／ＤＶＤ／ＣＤ−Ｒ等の光ディスクを含むディスク系、ＩＣカード（メモリカードを含む）／光カード等のカード系、あるいはマスクＲＯＭ／ＥＰＲＯＭ／ＥＥＰＲＯＭ／フラッシュＲＯＭ等の半導体メモリ系などを用いることができる。

また、画像形成ジョブ認証システムを通信ネットワークと接続可能に構成し、上記プログラムコードを通信ネットワークを介して供給してもよい。この通信ネットワークとしては、特に限定されず、例えば、インターネット、イントラネット、エキストラネット、ＬＡＮ、ＩＳＤＮ、ＶＡＮ、ＣＡＴＶ通信網、仮想専用網（virtual private network）、電話回線網、移動体通信網、衛星通信網等が利用可能である。また、通信ネットワークを構成する伝送媒体としては、特に限定されず、例えば、ＩＥＥＥ１３９４、ＵＳＢ、電力線搬送、ケーブルＴＶ回線、電話線、ＡＤＳＬ回線等の有線でも、ＩｒＤＡやリモコンのような赤外線、Ｂｌｕｅｔｏｏｔｈ（登録商標）、８０２．１１無線、ＨＤＲ、携帯電話網、衛星回線、地上波デジタル網等の無線でも利用可能である。なお、本発明は、上記プログラムコードが電子的な伝送で具現化された、搬送波に埋め込まれたコンピュータデータ信号の形態でも実現され得る。

本発明の画像形成ジョブ認証方法は、クライアントおよびプリンタ等の第１ノード装置および第２ノード装置の間を、ネットワークを介して通信を行う際に、送受信するデータを保護しつつ安全な通信を可能とするものである。このため、通信可能な情報端末に適用可能であり、例えば、ＰＣ、プリンタ、携帯電話やＰＤＡ等に好適に用いることができる。

本発明の画像形成ジョブ認証システムの概略的な構成を示すブロック図である。 本発明の認証システムの実施形態の１つを示す図である。 本発明の認証システムの他の実施形態を示す図である。 本発明の認証システムのさらに他の実施形態を示す図である。 本発明の第２ノード装置としての画像形成装置の詳細を示す図である。 本発明の認証記録表の例を示す図である。 本発明のピアツーピア認証システムを示す図である。 本発明の画像形成サーバ認証システムを示す図である。 本発明の第１ノード装置の印刷サブシステムによる、暗号化された画像形成ジョブのデスプールを詳しく示す図である。 本発明の画像形成ジョブの実行を詳しく示す図である。 本発明の画像形成ジョブ認証方法を示すフローチャートである。 従来のセキュアな（安全な）画像形成ジョブ伝送方法を示す図である。 従来の、アクセス制御と、安全な画像形成ジョブ伝送と組み合わせた方法を示す図である。

符号の説明

２００・３０１・３０５・３０９ 画像形成ジョブ認証システム
２０２ 第１ノード装置
２０８・３０４・３０８・３１２ 認証サーバ
２１２ 第２ノード装置
２２０ メモリー（記憶装置）
２２４ アクセス制御モジュール
２３０ 鍵生成モジュール
３０２・３０６・３１０ 画像形成クライアント（第１ノード装置・第２ノード装置）
３０３・３０７・３１１ 画像形成装置（第１ノード装置・第２ノード装置）

Claims (28)

1. 画像形成ジョブ認証方法であって、
   認証サーバが、画像形成ジョブを通信するための要求と、当該画像形成ジョブに関する情報である画像形成ジョブ情報とを、第１ノード装置の印刷サブシステムから受信する工程と、
   認証サーバが、上記画像形成ジョブ情報の分析結果に応じて、第１ノード装置へのアクセスを要求するアクセス照会を第２ノード装置へ送信する工程と、
   認証サーバが、１回だけ使用する公開暗号鍵を含む認証データを、第２ノード装置から受信する工程と、
   認証サーバが、第２ノード装置から受信した公開暗号鍵を含む確認データを、第１ノード装置の印刷サブシステムへ送信する工程と、
   第１ノード装置が、認証サーバから受信した公開暗号鍵を使用して画像形成ジョブを暗号化する工程と、
   暗号化した画像形成ジョブを、第１ノード装置から第２ノード装置へ送信する工程とを含む画像形成ジョブ認証方法。
2. 第２ノード装置にて、公開暗号鍵に対応付けられた秘密鍵を使用して画像形成ジョブを復号する工程をさらに含む請求項１に記載の画像形成ジョブ認証方法。
3. 上記画像形成ジョブを通信するための要求を、第１ノード装置の印刷サブシステムから受信する工程は、クライアントソースおよびプリンタソースを含むグループから選択される第１ノード装置からの要求を受信する工程を含む請求項２に記載の画像形成ジョブ認証方法。
4. 上記暗号化した画像形成ジョブを第２ノード装置へ送信する工程は、暗号化された画像形成ジョブを、クライアントソースとの通信先およびプリンタソースとの通信先を含むグループから選択される第２ノード装置へ送信する工程を含む請求項３に記載の画像形成ジョブ認証方法。
5. 上記画像形成ジョブ情報の分析結果に応じて、アクセス照会を第２ノード装置へ送信する工程は、文書名、ユーザＩＤ、ジョブコンテンツ、第１ノード装置ＩＤ、第１ノード装置通信アドレス、画像形成ジョブアクセス制御、時間／日付、画像形成ジョブサイズ、デジタル署名、生物測定データおよび画像形成ジョブオプションを含むグループから選択される画像形成ジョブ情報の分析結果に応じて、第２ノード装置へのアクセスを認証する工程を含む請求項２に記載の画像形成ジョブ認証方法。
6. 上記画像形成ジョブを通信するための要求を、第１ノード装置の印刷サブシステムから受信する工程は、印刷ジョブ、スキャンジョブ、ファックスジョブおよび文書／画像管理ジョブを含むグループから選択される画像形成ジョブを通信するための要求を受信する工程を含む請求項１に記載の画像形成ジョブ認証方法。
7. 第２ノード装置が、上記アクセス照会を受信したときに、当該アクセス照会にてアクセス先として要求されている第１ノード装置、または、上記画像形成ジョブを識別するためのジョブ識別子と秘密鍵とを関連付ける工程をさらに含み、
   上記認証サーバが公開暗号鍵を含む認証データを第２ノード装置から受信する工程において、認証サーバは、上記ジョブ識別子と関連付けられた秘密鍵に対応する公開暗号鍵を含む認証データを、第２ノード装置から受信し、
   上記暗号化した画像形成ジョブを、第１ノード装置から第２ノード装置へ送信する工程において、第１ノード装置は、当該第１ノード装置、または、当該画像形成ジョブを識別するためのジョブ識別子を有する、暗号化された画像形成ジョブを第２ノード装置へ送信し、
   上記公開暗号鍵に対応付けられた秘密鍵を使用して画像形成ジョブを復号する工程において、第２ノード装置は、受信した暗号化された画像形成ジョブが有するジョブ識別子に関連付けられた秘密鍵を使用して、当該画像形成ジョブを復号する請求項２に記載の画像形成ジョブ認証方法。
8. 上記ジョブ識別子と秘密鍵とを関連付ける工程が、ジョブ識別子と、該ジョブ識別子に関連する秘密鍵とを第２ノード装置の記録装置に格納する工程を含み、
   画像形成ジョブを復号した後に、秘密鍵およびジョブ識別子を記録装置から消去する工程をさらに含む請求項７に記載の画像形成ジョブ認証方法。
9. 上記ジョブ識別子と秘密鍵とを関連付ける工程が、ネットワーク（ＩＰ）アドレス、ネットワーク（ＤＮＳ）名、ネットワークユーザ名、文書名、デジタル署名、生物測定データおよびチェックサムを含むグループから選択されるジョブ識別子を使用する工程を含む請求項７に記載の画像形成ジョブ認証方法。
10. 上記公開暗号鍵を使用して画像形成ジョブを暗号化する工程は、画像形成ジョブ全体の暗号化、画像形成ジョブ制御命令だけの暗号化、画像形成ジョブデータだけの暗号化、および、画像形成ジョブの一部の暗号化を含むグループから選択される処理を用いた工程を含む請求項２に記載の画像形成ジョブ認証方法。
11. 上記１回だけ使用する公開暗号鍵を認証サーバへ送信する前に、第２ノード装置にて、１回だけ使用する公開暗号鍵と、該公開暗号鍵に対応付けられた秘密鍵とを生成する工程をさらに含む請求項２に記載の画像形成ジョブ認証方法。
12. 上記アクセス照会を第２ノード装置へ送信する工程が、画像形成ジョブ情報を第２ノード装置へ送信する工程を含み、
    第２ノード装置にて、画像形成ジョブ情報を分析する工程をさらに含み、
    上記認証サーバにて、１回だけ使用する公開暗号鍵を含む認証データを受信する工程が、上記第２ノード装置での画像形成ジョブ情報の分析結果に応じた公開暗号鍵を受信する工程を含む請求項２に記載の画像形成ジョブ認証方法。
13. 認証サーバにて、１回だけ使用する公開暗号鍵を含む認証データを受信する工程が、１回だけ使用する複数の公開暗号鍵を受信する工程を含み、
    第１ノード装置にて、公開暗号鍵を使用して画像形成ジョブを暗号化する工程が、上記複数の公開暗号鍵を使用して画像形成ジョブを暗号化する工程を含む請求項１に記載の画像形成ジョブ認証方法。
14. 上記複数の公開暗号鍵を使用して画像形成ジョブを暗号化する工程が、複数の公開暗号鍵を使用して複数の画像形成ジョブの一部分を暗号化する工程を含む請求項１３に記載の画像形成ジョブ認証方法。
15. 第１ノード装置と、認証サーバと、第２ノード装置とを含む画像形成ジョブ認証システムであって、
    上記第１ノード装置は、画像形成ジョブを通信するための要求と、当該画像形成ジョブに関する情報である画像形成ジョブ情報とを上記認証サーバに送信するインターフェースを有する印刷サブシステムを含み、
    上記認証サーバは、上記第１ノード装置の印刷サブシステムからの要求を受信するインターフェース、および、画像形成ジョブ情報の分析結果に応じて、第１ノード装置へのアクセスを要求するアクセス照会を上記第２ノード装置に送信するインターフェースを有しており、
    上記第２ノード装置は、上記認証サーバからアクセス照会を受信し、１回だけ使用する公開暗号鍵を含む認証データを認証サーバへ送信するインターフェースを有しており、
    上記認証サーバが、第２ノード装置から受信した公開暗号鍵を含む確認データを、第１ノード装置の印刷サブシステムへ送信し、
    上記第１ノード装置の印刷サブシステムが、認証サーバから受信した公開暗号鍵を使用して画像形成ジョブを暗号化し、暗号化した画像形成ジョブを第２ノード装置へ送信する画像形成ジョブ認証システム。
16. 上記第２ノード装置が、公開暗号鍵に対応付けられた秘密鍵を使用して画像形成ジョブを復号する請求項１５に記載の画像形成ジョブ認証システム。
17. 上記第１ノード装置の印刷サブシステムが、クライアントソースおよびプリンタソースを含むグループから選択される装置に組み込まれている請求項１６に記載の画像形成ジョ
    ブ認証システム。
18. 上記第２ノード装置が、クライアントソースとの通信先およびプリンタソースとの通信先を含むグループから選択される装置である請求項１７に記載の画像形成ジョブ認証システム。
19. 上記認証サーバが、文書名、ユーザＩＤ、ジョブコンテンツ、第１ノード装置ＩＤ、第１ノード装置通信アドレス、画像形成ジョブアクセス制御、時間／日付、画像形成ジョブサイズ、デジタル署名、生物測定データおよび画像形成ジョブオプションを含むグループから選択される画像形成ジョブ情報の分析に応じて第２ノード装置へのアクセスを認証する請求項１６に記載の画像形成ジョブ認証システム。
20. 上記第１ノード装置が、印刷ジョブ、スキャンジョブ、ファックスジョブおよび文書／画像管理ジョブを含むグループから選択される画像形成ジョブを通信するための要求を送信する請求項１６に記載の画像形成ジョブ認証システム。
21. 上記第２ノード装置は、上記アクセス照会を受信したときに、当該アクセス照会にてアクセス先として要求されている第１ノード装置、または、上記画像形成ジョブを識別するためのジョブ識別子と秘密鍵とを関連付けるようになっており、
    上記認証サーバは、上記ジョブ識別子と関連付けられた秘密鍵に対応する公開暗号鍵を含む認証データを、第２ノード装置から受信し、
    上記第１ノード装置は、当該第１ノード装置、または、画像形成ジョブを識別するためのジョブ識別子を有する、暗号化された画像形成ジョブを第２ノード装置へ送信し、
    上記第２ノード装置は、受信した暗号化された画像形成ジョブが有するジョブ識別子に関連付けられた秘密鍵を使用して、当該画像形成ジョブを復号する請求項１６に記載の画像形成ジョブ認証システム。
22. 上記第２ノード装置は、ジョブ識別子と、関連する秘密鍵とを格納するための記憶装置を含み、画像形成ジョブの復号後、秘密鍵とジョブ識別子とを記憶装置から消去する請求項２１に記載の画像形成ジョブ認証システム。
23. 上記第２ノード装置は、ネットワーク（ＩＰ）アドレス、ネットワーク（ＤＮＳ）名、ネットワークユーザ名、文書名、デジタル署名、生物測定データおよびチェックサムを含むグループから選択されるジョブ識別子を生成する請求項２１に記載の画像形成ジョブ認証システム。
24. 上記第１ノード装置の印刷サブシステムは、ジョブ全体の暗号化、画像形成ジョブ制御命令だけの暗号化、画像形成ジョブデータだけの暗号化、および、画像形成ジョブの一部の暗号化を含むグループから選択される処理を用いて画像形成ジョブを暗号化する請求項１６に記載の画像形成ジョブ認証システム。
25. 上記第２ノード装置は、１回だけ使用する公開暗号鍵／秘密鍵対を生成する鍵生成モジュールと、認証データと共に公開暗号鍵を供給する認証サーバに接続されているインターフェースとをさらに含む請求項１６に記載の画像形成ジョブ認証システム。
26. 上記第２ノード装置は、
    認証サーバから、アクセス照会と共に画像形成ジョブ情報を受信するためのインターフェースを有するアクセス制御モジュールと、
    画像形成ジョブ情報の分析結果に応じて鍵認証データを供給するためのインターフェースとをさらに含む請求項１６に記載の画像形成ジョブ認証システム。
27. 上記第２ノード装置は、
    １回だけ使用する公開暗号鍵／秘密鍵対を複数生成する鍵生成モジュールと、
    認証データと共に上記複数の公開暗号鍵を供給する認証サーバに接続されているインターフェースとをさらに含み、
    上記第１ノード装置の印刷サブシステムが、複数の公開暗号鍵を使用して画像形成ジョブを暗号化する請求項１６に記載の画像形成ジョブ認証システム。
28. 上記第１ノード装置の印刷サブシステムが、複数の公開暗号鍵を使用して複数の画像形成ジョブの一部分を暗号化する請求項２７に記載の画像形成ジョブ認証システム。

Images