JP5480715B2 - デバイス管理システム、拠点監視装置及び方法 - Google Patents

Description

本発明は、デバイス監視情報を自ら管理サーバへ送信できるデバイスのデバイス監視情報送信先を安全に拠点監視装置へ変更し、拠点監視装置と安全に通信を行う方法に関するものである。

従来、安全な通信環境を提供するための方法として、署名を施した証明書を利用するものがある（例えば、特許文献１参照）。この技術は、サーバとクライアントとの間でセキュアな通信を行う際に、ＳＳＬを利用することでセキュリティを確保する。ＳＳＬ通信を行うためには、クライアント機器は証明書を利用する必要があり、クライアント機器に証明書を安全に設定するために、サーバは証明書に対して署名したものを準備する。

サーバは署名の検証を行うことのできる公開鍵を外部メディアに記録してクライアント機器に配布する。一方、クライアント機器がネットワークを介してサーバへアクセスすると、クライアント機器は準備されていた署名付きの証明書をサーバから受信する。そして、クライアント機器は公開鍵を使って証明書を検証することでサーバが正当な通信相手であることを判断し、取得した検証済みの証明書を利用してＳＳＬ通信を開始する。

特開２００８−２２８００４号公報

しかしながら、上記従来技術では、サーバは公開鍵を外部メディアに記録して配布することで通信相手の機器を限定する。これにより、サーバとの通信可能なクライアント機器は、外部メディアの配布を行うことができる範囲に制限される、という問題があった。

また、デバイス監視システムでは、サーバはクライアントネットワークの中でサービスを行うので、送信先ＵＲＬ情報が最初から特定されていない。このため、クライアントはどこにデバイス監視情報を送信すればよいのか、サーバが設置されるまでわからない、という問題もあった。

本発明は、クライアントネットワークのどこに監視装置を設置しようとも、外部メディアにより公開鍵情報を配布することなく、安全な通信環境を提供することを目的とする。

本発明は、インターネットを介して管理サーバと通信する拠点監視装置と、前記拠点監視装置と接続される複数の監視対象デバイスとを含むデバイス管理システムであって、
前記拠点監視装置は、
各監視対象デバイスが保持する公開鍵とペアになる秘密鍵を保持する保持手段と、
各監視対象デバイスとセキュアな通信を行うためのサーバ証明書及びルート証明書を、前記拠点監視装置内で発行する発行手段と、
前記秘密鍵を利用して、前記拠点監視装置を通知先とする通信先情報、及び前記発行手段により発行されたルート証明書からデジタル署名を発行する署名手段と、
前記通信先情報、前記発行手段により発行されたルート証明書、及び前記署名手段により発行されたデジタル署名を各監視対象デバイスへ送信する送信手段とを有し、
各監視対象デバイスは、
前記拠点監視装置が保持する秘密鍵とペアになる公開鍵を保持する保持手段と、
前記拠点監視装置から前記通信先情報、前記ルート証明書、及び前記デジタル署名を受信する受信手段と、
前記公開鍵を利用して、前記受信手段により受信された前記デジタル署名の認証を行う認証手段と、
前記認証手段によって認証が成功したことに応じて、前記受信手段により受信された前記通信先情報及び前記ルート証明書を利用して、デバイス監視情報の通知先を前記管理サーバから前記拠点監視装置に変更し、前記拠点監視装置とセキュアな通信を行う通信手段とを有することを特徴とする。

本発明によれば、安全に通信先アドレスを変更し、安全な通信環でデバイス監視を行うことが可能になる。

本実施形態における複写機と拠点監視装置及び管理サーバとのネットワークにおける接続関係を示す図。 本実施形態におけるデバイスの構成を示す断面図。 デバイスにおける制御部のハードウェア構成を示すブロック図。 拠点監視装置のハードウェア構成を示すブロック図。 拠点監視装置における通信先情報の変更指示及び安全にデータ通信を行う設定アプリケーションプログラムの機能を示すブロック図。 デバイスにおけるデバイス監視情報の送信先変更とルート証明書を利用したＨＴＴＰＳ通信の設定を行うアプリケーションプログラムの機能を示すブロック図。 拠点監視装置が通信先情報の変更指示及び通信のためのルート証明書を送付するための通信データを模式的に表す図。 拠点監視装置が、監視デバイスリストの登録を受け、各デバイスからデバイス監視情報を受信するまでの処理を表すフローチャート。 デバイスが、機能確認のリクエストを受信し、デバイスのデバイス監視情報を送信するまでの処理を表すフローチャート。 拠点監視装置が通信先情報の変更指示及びルート証明書を送付してからデバイスが監視状態に入るまでの通信及び内部処理のシーケンスを模式的に表す図。

以下、図面を参照しながら発明を実施するための形態について詳細に説明する。

＜デバイス管理システムの構成例＞
図１は、本実施形態における複写機と拠点監視装置及び管理サーバとのネットワークにおける接続関係を示す図である。顧客の社内ネットワークであるイントラネット１０３には、管理対象となるデバイスとして、プリントや複写などの機能を持つ複合機（ＭＦＰ）や単機能周辺機器（ＳＦＰ）などの複数の画像形成装置などが接続されている。尚、以下の説明では、ネットワークなどで接続されている複数のデバイスを単に「デバイス１００」と呼ぶ。

また、このイントラネット１０３には、デバイス１００を監視するための拠点監視装置１０１が接続されている。更に、インターネット１０４との接続ポイントであるファイアウォール１０２が設置されている。このファイアウォール１０２により、イントラネット１０３への外部からの不正なネットワークアクセスを防止している。

また、デバイス１００は、自己を監視する機能を持っており、デバイスのカウンタ情報やアラームなどのデバイス監視情報を外部のネットワーク上の監視機器へ送信することができる。尚、デバイスの初期設定では、インターネット１０４上にある管理サーバ１０５のＷｅｂサービスへデバイス監視情報を送信するように設定されている。イントラネット１０３に設置されたとき、プロクシサーバなどのネットワーク環境情報を設定することにより、自らのデバイス監視情報を管理サーバ１０５へ送信可能となる。

ここで、本発明において、デバイス１００は、デバイス監視情報の送信先を他の機器へ変更することが可能となる。信頼された機器からＵＲＩの変更情報を受信することで、デバイス監視情報の送信先を変更することができる。この機能により、デバイス１００は拠点監視装置１０１に対して、デバイス監視情報を送信することが可能となる。

また、通信先ＵＲＩの変更指示と同様に、デバイス１００にルート証明書の設定を指示することで、拠点監視装置１０１とＨＴＴＰＳを利用したセキュアな通信を行うことができる。

尚、拠点監視装置１０１は、一般的なパーソナルコンピュータ（ＰＣ）として図示しているが、監視プログラムが実行可能な機器であれば良い。従って、監視プログラムをＰＣの他に専用のハードウェアやデバイスなどにインストールして実行させる形態でも良い。ここでは、拠点監視装置１０１の形態に制限はない。

拠点監視装置１０１は、イントラネット１０３を介してデバイス１００の各種動作モード設定、カウンタ値、稼働ログなどの稼働情報、及びハード障害やジャム多発などの障害情報といったデバイス監視情報を要求して取得する。また、拠点監視装置１０１は、Ｗｅｂサービスや独自のプロトコルを用いてサービスを提供し、デバイスから自発的に送信されるデバイス監視情報を受信することで情報収集を行うことも可能である。

一方、管理サーバ１０５は、インターネット１０４を介してイントラネット１０３上に設置されている拠点監視装置１０１と通信を行うことによってデバイスの情報を収集し、管理する。拠点監視装置１０１は、定期的に、収集したデバイス監視情報をインターネット１０４上にある管理サーバ１０５へまとめて送信する。また、障害情報の一部に関しては、定期通信とは非同期に送信される場合もある。この管理サーバ１０５は、収集した情報に基づく、課金カウンタのレポート表示、デバイスの保守を行うサービスマンのための障害イベント通知、デバイスの部品消耗度の算出、トナー在庫の管理・配送、などのサービスのための機能を備える。

そして、インターネット１０４には、イントラネット１０３に類似した別顧客のネットワークが無数に接続されている。

＜本実施形態のデバイスの構成例＞
図２は、本実施形態におけるデバイスの構成を示す断面図である。図２に示すように、デバイス１００は、自動原稿送り装置（ＤＦ）２５０、スキャナ２０２を含み、スキャナ２０２は原稿照明ランプ２０３や走査ミラー２０４などで構成されている。自動原稿送り装置２５０は、原稿を最終頁から順にｌ枚ずつプラテンガラス２０１上へ搬送し、原稿の読み取り動作終了後に原稿を排出するものである。プラテンガラス２０１上に搬送された原稿は、不図示のモータによって駆動されるスキャナ２０２で往復走査され、その反射光が走査ミラー２０４〜２０６を介してレンズ２０７を透過し、イメージセンサ部２０８の内部のＣＣＤセンサに結像する。レーザやポリゴンスキャナなどで構成される露光制御部２０９は、イメージセンサ部２０８で電気信号に変換され、所定の画像処理が行われた画像信号に基づいて変調されたレーザ光２１９を感光体ドラム２１１に照射する。

感光体ドラム２１１の周りには、１次帯電器２１２、現像器２１３、転写帯電器２１６、前露光ランプ２１４、クリーニング装置２１５が装備されている。画像形成部２１０においては、感光体ドラム２１１は、不図示のモータにより矢印方向に回転しており、１次帯電器２１２により所望の電位に帯電された後、露光制御部２０９からのレーザ光２１９が照射され、その上に静電潜像が形成される。ここで感光体ドラム２１１上に形成された静電潜像は、現像器２１３により現像され、トナー像として可視化される。

一方、カセットデッキ２２１、２２２、上下段カセット２２３、２２４からピックアップローラ２２５〜２２８により給紙された転写紙は、給紙ローラ２２９〜２３２、レジストローラ２３３により転写ベルト２３４へ給送される。その過程において、可視化されたトナー像が転写帯電器２１６により転写紙に転写される。また、１００枚の転写紙を収容し得るマルチ手差し２５１も装備されている。

トナー像転写後の感光体ドラム２１１では、クリーニング装置２１５により残留トナーが清掃され、前露光ランプ２１４により残留電荷が消去される。転写後の転写紙は、分離帯電器２１７によって感光体ドラム２１１から分離され、転写ベルト２３４によって定着器２３５へ搬送される。定着器２３５では加圧、加熱によってトナー像が定着され、排紙ローラ２３６によりデバイス１００の機外へ排出される。

排紙フラッパ２３７は、搬送パス２３８側と排出パス２４３側との経路を切り替える。下搬送パス２４０は、排紙ローラ２３６から送り出された転写紙を反転パス２３９により裏返し再給紙パス２４１に導く。また、左カセットデッキ２２２から給紙ローラ２３０と転写紙を画像形成部２１０に再給紙する再給紙ローラ２４２によって給紙した転写紙も、再給紙パス２４１に導く。排紙フラッパ２３７の近傍に配置された排出ローラ２４４は、排紙フラッパ２３７により排出パス２４３側に切り替えられた転写紙を機外に排出する。

両面記録（両面複写）時には、排紙フラッパ２３７を上方に上げて、複写済みの転写紙を搬送パス２３８、反転パス２３９、下搬送パス２４０を介して再給紙パス２４１に導く。このとき、転写紙は、その後端が反転ローラ２４５によって搬送パス２３８から全て抜け出し、反転ローラ２４５に転写紙が噛まれた状態の位置まで反転パス２３９に引き込まれ、反転ローラ２４５を逆転させることで下搬送パス２４０に送り出される。

デバイス１００から転写紙を反転させて排出する時には、排紙フラッパ２３７を上方へ上げ、転写紙の後端が搬送パス２３８に残った状態の位置まで反転ローラ２４５によって反転パス２３９に引き込む。更に、反転ローラ２４５を逆転させることで、転写紙は裏返しにされて排出ローラ２４４側に送り出される。

デバイス１００から排出した転写紙を揃えて閉じる排紙処理装置２６０は、一枚毎に排出される転写紙を処理トレイ２６４で積載して揃える。また、一部の画像形成が終了したら、転写紙束をステイプルして排紙トレイ２６２又は２６３に排出する。

排紙トレイ２６３は、その上下移動が不図示のモータで制御され、画像形成動作開始前には処理トレイ２６４の位置に移動し、外出された転写紙が積載されていくと紙面の高さが処理トレイ２６４の位置になるように移動する。排紙トレイ２６３の下限を検知するトレイ下限センサ２６８は、排紙トレイ２６３に約２０００枚の転写紙が積載された時に、これを検知するようになっている。

用紙トレイ２６１は、排紙された転写紙の間に挿入する区切り紙を積載する。Ｚ折り機２６５は、排出された転写紙をＺ折りにする。製本機２６６は、排出された転写紙の一部をまとめてセンター折りしてステイプルを行うことによって製本を行い、製本された紙束は排出トレイ２６７に排出される。

本断面図内の各所には不図示の各種センサが配置されており、トナー切れや原稿ジャム、転写紙残量、転写紙ジャム、現像関連の消耗部材残量、原稿照明ランプ切れ、その他、様々なメカニカルトラブルなどを検出する。これらトラブルのイベント情報の他に、プリント出力の枚数や内部で出力されるログなどのステータス情報を、拠点監視装置１０１がネットワークを介して収集することで、デバイス１００の監視を行っている。

＜デバイスの制御部構成例＞
図３は、デバイス１００における制御部のハードウェア構成を示すブロック図である。この制御部では、主としてプリントやスキャンなどプログラムの制御処理を行う。また、その他にデバイス監視プログラムなどの各アプリケーションが制御されている。デバイス１００は、拠点監視装置１０１のサービス提供を利用して、デバイス監視情報を送信する際に、制御部内でデバイス監視情報を所定の通信フォーマットでデータ生成し、拠点監視装置１０１に送信するなどの処理を行う。

制御部は、操作部３０１、ネットワークＩ／Ｆ部３０２、回線Ｉ／Ｆ部３０３、ＲＯＭ３０４、ＲＡＭ３０５、記憶装置３０６、ＣＰＵ３０７のシステム管理を行う部分の構成要素を含む。更に、制御部は、ＩＯ制御部３０８、画像処理部３０９、デジタルＩ／Ｆ部３１１、圧縮伸長部３１２、画素密度変換部３１３の画像処理管理を行う部分の構成要素を含む。そして、各構成要素は、システムバス３１６及び画像バス３１７に接続されている。

ＲＯＭ３０４には。デバイス１００の制御プログラムやデバイス監視プログラムが格納されており、ＣＰＵ３０７で実行される。ＲＡＭ３０５は、プログラムを実行するための作業領域を含み、デバイス監視プログラムが監視を行う上で必要なデバイスのステータス情報や画像データを一時記憶するための画像メモリでもある。記憶装置３０６は不揮発性の記憶装置であり、デバイス１００の再起動後も保持しておく必要のある各種動作モード設定やカウンタ値、稼働ログなどが記憶される。

ネットワークＩ／Ｆ部３０２はＬＡＮと接続するためのインタフェースであり、ＬＡＮを介して拠点監視装置１０１と通信を行う。回線Ｉ／Ｆ部３０３は、ＩＳＤＮや公衆電話網に接続され、ＲＯＭ３０４内の通信制御プログラムにより制御され、そのインタフェースやモデム、ＮＣＵ（Ｎｅｔｗｏｒｋ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）を介して遠隔の端末とデータの送受信を行う。ファクシミリの送受信もこの回線Ｉ／Ｆ部３０３を使用して行う。

操作部３０１には、表示部やキー入力部が内蔵されており、これらはＣＰＵ３０７にて制御される。操作者は、表示部及びキー入力部を通してスキャナ読み取りやプリント出力に関する各種設定指示や作動／停止指示を行う。

以上の各部がシステムバス３１６上に配置される。ＩＯ制御部３０８は、システムバス３１６と画像データを高速で転送する画像バス３１７とを接続するためのバスブリッジである。画像バス３１７は、ＰＣＩバス又はＩＥＥＥ１３９４で構成される。画像バス３１７上には以下の各部が配置される。デジタルＩ／Ｆ部３１１は、デバイスのリーダー部３１５やプリンタ部３１４と制御部とを接続し、画像データの同期系／非同期系の変換を行う。また、リーダー部３１５やプリンタ部３１４内の各所に配置した上述の各種センサが検出した情報は、このデジタルＩ／Ｆ部３１１及びＩＯ制御部３０８を介してシステムバス３１６へ流れる。

画像処理部３０９は、入力及び出力画像データに対して補正／加工／編集を行う。画像回転部３１０は、画像データの回転を行う。画像伸長部３１２は、多値画像データをＪＰＥＧで圧縮伸張処理し、２値画像データをＪＢＩＧ／ＭＭＲ／ＭＲ／ＭＨで圧縮伸張処理する。画素密度変換部３１３は、出力用画像データに対して解像度変換などを行う。

ＣＰＵ３０７が制御プログラムを実行することにより、記憶装置３０６内の稼動情報及び障害情報などを読み出して、拠点監視装置１０１へネットワークＩ／Ｆ部３０２を介して送信する。

＜拠点監視装置の制御部構成例＞
図４は、拠点監視装置１０１のハードウェア構成を示すブロック図である。拠点監視装置１０１では、デバイス監視用のプログラムが実行され、デバイス１００から稼動情報及び障害情報などを収集し、収集した情報をデバイス監視情報として管理して、管理サーバ１０５へ送信する。また、拠点監視装置１０１は、一般的な情報処理装置（コンピュータ）が有する構成を備えている。即ち、システムバス４０１、ＣＰＵ４０２、ＲＯＭ４０３、ＲＡＭ４０４に加え、ネットワークＩ／Ｆ４０５、表示制御部４０６、表示デバイス４０９、入力制御部４０７、入力デバイス４１０、４１１、記憶装置４０８を備えている。

システムバス４０１は、拠点監視装置１０１を構成する部品間のデータを受け渡す共通信号路である。ＲＡＭ４０４は書き換え可能なメモリであり、デバイス１００から取得した監視データや送信するデータを制御するプログラムを実行するための作業領域となる。また、ＲＡＭ４０４にはデバイス１００から取得した情報が展開され、所定のフォーマットにデータ変換される。記憶装置４０８は、不揮発性の記憶装置であり、ハードウェアの制御を行うＯＳの他に拠点監視装置１０１が監視を行う監視対象となるデバイス１００のリストやデバイス１００から情報を取得するためのアクセスプログラムなどが記憶される。また、デバイス１００からの情報を受信するための常駐プログラム、取得したデバイス監視情報を管理サーバ１０５へ送信するための送信プログラムなども同様に記憶される。

ネットワークＩ／Ｆ４０５は、ＬＡＮと接続するためのインタフェースであり、ＬＡＮを介してデバイス１００や管理サーバ１０５と通信を行う。ＣＰＵ４０２は、各構成部品４０３〜４１１を個別に又は統合的に制御するものであり、記憶装置４０８に格納されたプログラムとスケジュールに基づき、ネットワークＩ／Ｆ４０５を介してデバイス１００のデバイス監視情報を収集する。

拠点監視装置１０１は、ＣＰＵ４０２がプログラムを実行し、ネットワークサービスを提供することにより、デバイス１００から送信されるデバイス監視情報を受信する。また、拠点監視装置１０１は、受信されたデバイス監視情報を送信プログラムの処理によってネットワークＩ／Ｆ４０５を介して管理サーバ１０５へ送信する。

＜拠点監視装置のソフトウェア構成例＞
図５は、拠点監視装置１０１における通信先情報の変更指示及び安全にデータ通信を行う設定アプリケーションプログラムの機能を示すブロック図である。アプリケーションプログラムは、ユーザから監視デバイスの登録を受け付けるための監視デバイスリストを入力する入力部５０１を有する。ユーザは、入力部５０１にて１台又は複数台の監視デバイスに関する情報を入力する。ここでは、入力部５０１にて監視デバイスを識別するための識別子や製品情報などデバイスを監視する上で必要な各種設定情報を入力することが可能である。デバイスリスト保管部５０２は、入力部５０１にて入力された監視デバイスの各種情報を保管する。また、指示送信部５０３は、デバイスリスト保管部５０２に登録されている監視デバイスに対し、サポートする機能の問い合わせ指示や通信先情報の変更指示の発行を行う。この問い合わせ指示の結果、デバイスがサポートしている機能やその他、デバイスへの指示結果を受信すると、デバイスリスト保管部５０２にて管理する。

拠点監視装置１０１は、デバイスからデバイス監視情報を受信するためにＷｅｂサービスＩ／Ｆ５０４を提供する。ＷｅｂサービスＩ／Ｆ５０４は、拠点監視装置１０１のネットワーク情報（ＩＰアドレスなど）とポート番号及びデバイス監視情報の送信先のプログラム情報を設定することができる。アプリケーションプログラムは、これらの設定情報からデバイス１００がデバイス監視情報を送信するための通信先情報（ＵＲＬ情報など）を決定する。この通信先情報は、通信先管理部５０５に記憶される。

デバイス１００から送信されるデバイス監視情報は、拠点監視装置１０１が提供するＷｅｂサービスＩ／Ｆ５０４で受信されるが、安全な通信を行うためにＨＴＴＰＳ通信が利用される。アプリケーションプログラムは、ＨＴＴＰＳ通信を行うために、ＷｅｂサービスＩ／Ｆ５０４にサーバ証明書の設定を行う。しかし、拠点監視装置のような顧客のネットワーク内でＷｅｂサービスＩ／Ｆ５０４を提供する機器は、ネットワーク上のアドレスを最初から固定することができない。このため、一般的な商用の電子認証局サービスを利用することは手続きが煩雑になるため難しい。そこで、拠点監視装置は、自装置内で認証局サービス部５０６を持ち、拠点監視装置１０１のＩＰアドレスが特定できたときに、サーバ証明書を発行する。発行したサーバ証明書は、サーバ証明書記憶部５０７に記憶され、ＷｅｂサービスＩ／Ｆ５０４に設定される。認証局サービス部５０６は、更にサーバ証明書の検証を行うことのできるルート証明書を発行する。そして、アプリケーションプログラムは、ルート証明書記憶部５０８にルート証明書を記憶する。

デバイス１００から安全にデバイス監視情報を受信するためには、信頼のおける機器がデバイス１００の通信先情報（ＵＲＬ情報）を変更する必要がある。また、デバイス１００は、デバイス監視情報を送信する際に通信相手の認証が取れることが必要である。このため、拠点監視装置１０１は、信頼のおける機器であることを証明するために、署名情報を発行できる秘密鍵を有しており、秘密鍵記憶部５０９に記憶する。署名情報作成部５１０は、通信先管理部５０５からＷｅｂサービスＩ／Ｆ５０４の通信先情報（ＵＲＬ）を取得し、更に認証局サービス部５０６を通してルート証明書記憶部５０８からルート証明書を取得する。この通信先情報とルート証明書情報から、秘密鍵記憶部５０９に記憶されている秘密鍵を利用して署名情報作成部５１０が署名情報の作成を行う。

本発明の目的は、データ送信者が正しく認証できるコードを付加することである。従って、メッセージ認証コードのように、秘密鍵を利用したデジタル署名でなくても、認証を行うことのできる情報であれば、認証を行う情報は限定しない。

アプリケーションプログラムは、監視デバイスリスト内のデバイスに、デバイス監視情報の送信指示を発行する際に、デバイスリスト保管部５０２から対象となるデバイスを選択する。そして、署名情報作成部５１０が生成した署名情報、通信先情報、及びルート証明書情報を、指示送信部５０３を介して送信する。

＜デバイスのソフトウェア構成例＞
図６は、デバイス１００におけるデバイス監視情報の送信先変更とルート証明書を利用したＨＴＴＰＳ通信の設定を行うアプリケーションプログラムの機能を示すブロック図である。アプリケーションプログラムは、拠点監視装置１０１から通信先情報の変更指示を受信する指示受信部６０１を有する。指示受信部６０１は、デバイスの製品情報の問い合わせ、サポートしている機能の問い合わせ、及び拠点監視装置１０１の通信先情報の変更指示などを受信する。

ここで、受信する通信先情報の変更指示には、通信先情報、ルート証明書及びデジタル署名情報が含まれている。本実施形態では、通信先情報とルート証明書を同じタイミングで送信しているが、通信先情報とルート証明書をそれぞれ検証することができれば、情報は別々のタイミングで送信されても良い。デバイスは、ネットワークを介して与えられる指示が、信頼のおける機器からの指示かを判断するために、公開鍵を公開鍵記憶部６０２に保管している。この公開鍵は、拠点監視装置１０１が保管している秘密鍵とペアの鍵であり、署名情報の検証を行うことができる。デバイスは、この公開鍵を利用して指示受信部６０１により受信した通信先情報の変更指示に含まれている署名情報を署名情報検証部６０３で検証する。通知先制御部６０４は、通信先情報の変更指示を受信後、デジタル署名の検証を終えると、一時的に新しい通信先情報を１次通知先格納部６０５に格納するための制御を行う。また、ルート証明書はルート証明書記憶部６０６に記憶される。

デバイスが取得したルート証明書は、拠点監視装置とＨＴＴＰＳ通信を行うためのものである。通知先の変更処理を終え、ルート証明書を設定すると、デバイス１００はＨＴＴＰＳクライアント部６０７を利用して１次通知先格納部６０５に格納した通信先情報を用いて、通信テストを実施する。通信テストが問題なく完了すると、通知先制御部６０４が１次通知先格納部６０５に格納した通信先情報を通知先格納部６０８へ移動させる。今後、デバイスの監視を行う上での正規通信先情報とする。また、通信テストが失敗したときには、１次通知先格納部６０５の情報を削除し、通信先情報の変更指示を受信する前の状態に復帰する。このようにして、以前の通信先情報を保管しておくことで、通信先情報の変更指示がうまく処理することができなかった場合にも、前回の通信先情報を再度採用することで、変更指示前と同じ監視を行う。

＜本実施形態の拠点監視装置の送信する通信データの例＞
図７は、拠点監視装置１０１が、通信先情報の変更指示及び通信のためのルート証明書を送付するための通信データを模式的に表す図である。この通信データ７０１は、データ構造を模式的に表したもので、実際はＸＭＬ形式で記された上で、更にＨＴＴＰＳ通信などの暗号化プロトコルを介してデバイス１００に送信される。また、通信データ７０１は通信先情報変更の指示を表している。メソッド名がデータ内に記されており、ｓｅｔＣｏｍＳｅｔｔｉｎｇでは、通信先情報の変更指示が示されている。ｓｅｒｉａｌＮｕｍｂｅｒ７０２は、監視デバイスの識別子を意味しており、デバイスのシリアル番号を示している。このデータは拠点監視装置１０１が通信変更指示を特定のデバイスに対して、行っていることを明示的に示している。ｗｅｂＳｅｒｖｉｃｅＵｒｌ７０３は、拠点監視装置１０１の提供するＷｅｂサービスの通信先情報（ＵＲＬ情報）である。デバイス１００は、初期設定時にはデバイス監視情報の送信先をインターネット上にある管理サーバに直接送信する設定になっている。ｗｅｂＳｅｒｖｉｃｅＵｒｌ７０３は、このデバイス監視情報の送信先ＵＲＬを管理サーバから、拠点監視装置へ変更するための送信先ＵＲＬを示している。ｐｒｏｃｅｓｓＴｙｐｅ７０４はデバイス１００に発行する処理の種類を示している。拠点監視装置１０１は、このｐｒｏｃｅｓｓＴｙｐｅ７０４を通して通信先情報の変更処理だけを行うのか、ルート証明書の設定を行うのか、通常のデバイス監視情報の送信を行うのか、など、最初から規定している処理のパタンを指定する。ｅｎａｂｌｅ７０５では、デバイス監視機能を有効化、又は、無効化するための指示を示している。ｃｅｒｔＩｎｆｏ７０６は、ルート証明書を符号化した情報を示す。拠点監視装置１０１は、ｂａｓｅ６４などのエンコード処理方式を利用して、符号化したルート証明書をデータとして出力する。ｓｉｇｎａｔｕｒｅ７０７は、正しい拠点監視装置１０１から発行されたデータであることを示すための署名情報を示す。

＜本実施形態の拠点監視装置の動作例＞
図８を用いて、本実施形態における拠点監視装置１０１の動作例を説明する。拠点監視装置１０１が監視デバイスリストの登録を受け、各デバイス１００からデバイス監視情報を受信するための処理を表すフローチャートである。このフローチャートでは、拠点監視装置１０１の通信先情報（ここではＵＲＬ情報）、及びルート証明書に署名情報を付加して送信するなど処理を含む。これらの処理は図４に示すＲＯＭ４０３、ＲＡＭ４０４、記憶装置４０８の何れかに記憶され、ＣＰＵ４０２により実行される。

まず、Ｓ８０１、Ｓ８０２において、１台又は複数の監視デバイスが登録され、未設定のものがあれば、Ｓ８０３へ処理を進め、拠点監視装置１０１の提供するＷｅｂサービスのＵＲＬが決定しているかを判定する。Ｗｅｂサービスが開始されていた場合、既にＵＲＬは決定している。
通信先情報が決定していなかった場合、Ｓ８０４へ処理を進め、ＷｅｂサービスのＵＲＬを決定する。ＵＲＬの決定処理の流れは、ユーザが拠点監視装置１０１のＷｅｂサービスの設定を行い、サービス提供を開始する。すると、ＣＰＵ４０２は、拠点監視装置１０１のネットワークアドレス情報、ポート情報、プログラムへのパス情報から、ＷｅｂサービスのＵＲＬ情報を決定する。
Ｓ８０４において、ＵＲＬを決定した後、又はＳ８０３で既にＵＲＬが決定している場合、ＣＰＵ４０２はＳ８０５へ処理を進め、Ｗｅｂサービスにサーバ証明書が設定されているか確認する。Ｓ８０５において、Ｗｅｂサービスにサーバ証明書が設定されていない場合、Ｓ８０６へ処理を進め、ＣＰＵ４０２は、ＣＳＲ（Ｃｅｒｔｉｆｉｃａｔｅ Ｓｉｇｎｉｎｇ Ｒｅｑｕｅｓｔ）を発行する。更に、ＣＳＲから認証局サービスを利用してサーバ証明書とルート証明書を発行する。次に、Ｓ８０７において、ＣＰＵ４０２はサーバ証明書をＷｅｂサービスに設定する。

一方、Ｓ８０５において、Ｗｅｂサービスにサーバ証明書が設定されている場合、Ｓ８０８へ処理を進め、既にＷｅｂサービスに設定されているサーバ証明書と対応するルート証明書がアプリケーション内にあるか否かを判定する。もし、ルート証明書がない場合、Ｓ８０９へ処理を進め、ユーザからアプリケーションのＵＩなどを通してルート証明書を取得し、取得したルート証明書でサーバ証明書が検証できる否かを確認する。その後、Ｓ８１０へ処理を進める。また、Ｓ８０８において、ルート証明書が既にある場合、Ｓ８１０へ処理を進める。Ｓ８１０では、拠点監視装置内部で管理している秘密鍵を用いてＵＲＬ情報とルート証明書情報からデジタル署名（digital signature）情報を生成、発行する。

そして、Ｓ８１１において、登録された監視デバイスの機能判定が完了しているか確認する。この機能判定とは、監視対象デバイスがデバイス監視情報を送信する機能を有しているか否かを判定する処理である。まだ判定の完了していないデバイスがある場合、Ｓ８１２へ処理を進め、監視デバイスの機能判定処理を行う。
Ｓ８１３においては、全てのデバイスに対する機能判定（Ｓ８１２）処理の完了後、その判定結果に応じて、各デバイスの送信機能の有無を確認する。ここでは、監視デバイスの中に送信機能を持っているデバイスがあり、そのデバイスの設定が完了していない場合には、Ｓ８１４へ処理を進め、ＵＲＬ情報とルート証明書情報及びデジタル署名をデバイス１００に送信する。ここで送信するデータは図７に示す送信データである。そして、監視デバイスに情報を送信した後、Ｓ８１５において、監視対象であるデバイスからＷｅｂサービスに送信されるデータを受信する。これによって、そのデバイスの監視が開始される。また、Ｓ８１３において、監視デバイスに送信機能を持つデバイスがなかった場合、又は、全ての送信機能を持つデバイスに設定を完了した場合、設定処理を完了する。

また、Ｓ８１１において、デバイスの判定処理を行った後、送信機能を持ったデバイス１００に対してＵＲＬの変更指示を発行することも可能だが、拠点監視装置１０１は数千台のデバイスに設定を行う場合も考えられる。その場合に、１台の機能判定処理とＵＲＬ変更設定を連続的に処理させていくと、設定処理が長すぎるために、デバイス登録処理が成功しているのか、失敗しているのかを即座に確認することができない。そのため、ここでの処理は、機能判定の処理とＵＲＬ設定の処理を別々にする。これにより、ＵＩ上で操作を行っているサービスマンに比較的処理結果が速くわかる判定処理の結果を表示することにより、サービスマンのデバイス登録時における負担を取り除くことができる。

＜本実施形態のデバイスの動作例＞
図９を用いて、本実施形態における、デバイス１００が機能確認のリクエストを受信し、デバイス監視情報を送信するための処理を表すフローチャートである。このフローチャートでは、デバイス１００が通信先情報（ここでは、ＵＲＬ情報）、ルート証明書、及び署名情報を受信し、監視を開始するための通信を行う処理などを含む。これらの処理は、図３に示すＲＯＭ３０４、ＲＡＭ３０５、記憶装置３０６の何れかに記憶され、ＣＰＵ３０７により実行される。

まず、Ｓ９０１において、ＣＰＵ３０７は、拠点監視装置１０１から機能確認のリクエストを受ける。これは、Ｓ８１２（図８）に相当する処理であり、デバイス１００がデバイス監視情報を送信する機能があるか否かの問い合わせである。この問い合わせを受信した場合、Ｓ９０２へ処理を進め、ＣＰＵ３０７は機能確認の応答送信を行う。しかし、機能確認のリクエストを受信していない場合、Ｓ９０３へ処理を進め、ＣＰＵ３０７は拠点監視装置１０１からＵＲＬ情報、ルート証明書、及びデジタル署名の情報を受信したか判定する。ここで、受信していない場合はＳ９０１に戻り、受信した場合はＳ９０４へ処理を進める。

Ｓ９０４では、ＣＰＵ３０７はデバイス内で管理していた公開鍵を利用してデジタル署名情報の検証（認証処理）を行う。その検証の結果、Ｓ９０５でデジタル署名の認証に成功した場合は、Ｓ９０６へ処理を進める。また、ここで認証に失敗すると、Ｓ９１２へ処理を進めて受信データを破棄して、Ｓ９１３へ処理を進める。

Ｓ９０６では、取得したＵＲＬ情報を１次通知先格納部６０５に格納する。そして、Ｓ９０７において、１次通知先格納部６０５に格納したＵＲＬ情報を用いた通信テストを行う。ここでは、例えば、デバイス１００のデバイス監視データの通知先ＵＲＬを、もとのインターネット上の管理サーバのＵＲＬから、ここで指示された拠点監視装置１０１のＵＲＬに切り替える。そして、ルート証明書をＨＴＴＰＳ通信で利用可能な保存場所に保管し、そのルート証明書を用いてＨＴＴＰＳの通信テストを実行する。

次に、Ｓ９０８において、通信テストが成功したか否かを判定する。判定の結果、成功していなければ、Ｓ９１１へ処理を進める。Ｓ９１１では、１次通知先格納部６０５からＵＲＬ情報を削除し、そのルート証明書を破棄し、Ｓ９１３へ処理を進める。

一方、Ｓ９０８において、通信テストが成功していれば、Ｓ９０９へ処理を進め、１次通知先格納部６０５から通知先格納部６０８へＵＲＬ情報を移動し、正規の通信先とする。次に、Ｓ９１０において、実際のデバイス監視データを拠点監視装置に送信し、この処理を終了する。また、Ｓ９１３では、通知先の変更指示の受信前の状態に復帰し、処理を終了する。

＜本実施形態の拠点監視装置とデバイス間の通信シーケンスの例＞
図１０は、拠点監視装置１０１が通信先情報の変更指示及びルート証明書を送付してからデバイス１００が監視状態に入るまでの通信及び内部処理のシーケンスを模式的に表す図である。まず、拠点監視装置１０１がデバイス１００に対してＵＲＬの変更指示及びルート証明書の送付を行う（１００１）。この送付の内容は、図７に示す通信データの情報である。デバイス１００が指示を受信すると、その応答（ＯＫ）を行う（１００２）。その後、指示を受けたデバイス１００がデジタル署名の検証を行う（１００３）。ここで、信頼のおける機器からの指示だということを検証し、次に通信ＵＲＬの変更を行う（１００４）。そして、ルート証明書の設定を行う（１００５）。

この設定処理が完了すると、デバイス１００は、通信先確認のメソッドを拠点監視装置１０１に発行する（１００６）。ここでは、受信したルート証明書を使って拠点監視装置１０１のサーバ証明書を検証すると同時に、通信先アドレスが信頼できるサーバであることを確認する。デバイス１００は拠点監視装置１０１が秘密鍵を所有していることで信頼できるサーバであることを確認する。そのため、デバイス１００は通信先確認のメソッドにて任意の乱数を発行し、拠点監視装置１０１へ送信する。乱数を受信した拠点監視装置１０１は、受信した乱数に対して秘密鍵でデジタル署名情報を発行し、デバイス１００へ返す（１００７）。デバイス１００は、発行した乱数と受信したデジタル署名情報から、公開鍵を使ってデジタル署名が正しいか否かを判定する（１００８）。

この判定により、デバイス１００は、拠点監視装置１０１が信頼できるサーバであると判定すると、デバイス監視に入る初期通信である通信テストを行う（１００９）。そして、デバイス１００は、拠点監視装置１０１からレスポンスを受信し（１０１０）、これら一連の処理が成功すると、ＨＴＴＰＳの安全な通信を行うことができるようになる。尚、ここまでの通信先情報変更工程の中で、デジタル署名に問題を発見したり、その他の問題が生じたりした場合、デバイス１００は、この通信先情報変更指示を受信する前の状態に復帰する。

また、上述の通信テストが完了すると、拠点監視装置１０１は、通常のデバイス監視に入る前に、デバイス１００の設定情報の調整を行う。デバイス１００が通信テストを完了すると、拠点監視装置１０１に対してコマンドの問い合わせを行う（１０１１）。一方、このコマンド問い合わせを受信した拠点監視装置１０１は、設定取得メソッドの発行依頼を行う（１０１２）。

次に、設定取得メソッド依頼を受信すると、デバイス１００は、設定取得のメソッドを発行する（１０１３）。一方、設定取得のメソッドを受信すると、拠点監視装置１０１は、拠点監視装置１０１に設定している監視用の設定情報の一部又は全体をデバイス１００へ送信する（１０１４）。このとき、拠点監視装置１０１はデバイス１００の種類や機能に応じて適切な設定情報を送信する。この送信により、拠点監視装置１０１から設定情報を受信したデバイス１００は、設定情報をデバイス内に保管し、デバイス監視を行うための設定情報とする（１０１５）。

＜本実施形態のデバイスの拠点監視装置確認タイミングの例＞
その後、デバイス１００は、拠点監視装置１０１に対して、デバイス監視情報を送信し続けるが、デバイス１００の移動などにより異なる環境に移されてしまった場合、信頼できないサーバへデータを送信してしまう可能性がある。また、悪意のある第三者が通信先サーバを他のサーバに置き換えてしまった場合、データを盗まれてしまう可能性がある。

このため、デバイス１００は通信先アドレスのサーバが信頼できるサーバであることを確認するために特定のタイミングで通信先確認のメソッドを発行する（１００６）。まず、第一のタイミングは、通信シーケンスの例に記載したように、デバイス１００が通信先アドレスの変更リクエストを受信した後に、通信先アドレスの通信確認を行う。次に、１日に２回程度、デバイス監視の邪魔にならないタイミングで定期的に通信先アドレスの通信確認を行う。最後に、デバイスの電源ＯＮを行った後に、通信先アドレスの通信確認を行う。

これらの通信確認を行うことにより、拠点監視装置１０１及びデバイス１００は安全で継続的にデバイス監視データを収集することができる。

上記のタイミングで、デジタル署名から通信先アドレスが信頼のおける通信先でないと判断した場合には、直ちに、デバイス監視情報の送信を停止し、データ漏洩を抑制する。また、一度、監視を始めたデバイスは、通信先アドレスが信頼のおける通信先でないと判断しても、特定のタイミングで通信先確認の処理を発行し続ける。これにより、デバイス１００の環境が元に戻った場合、自動的にデバイス監視の状態に戻すことができる。

本実施形態によれば、安全に通信先アドレスを変更し、安全な通信環でデバイス監視を行うことが可能になる。

［他の実施形態］
また、本発明は、以下の処理を実行することによっても実現される。即ち、上述した実施形態の機能を実現するソフトウェア（プログラム）を、ネットワーク又は各種記憶媒体を介してシステム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ等）がプログラムを読み出して実行する処理である。

Claims (8)

1. インターネットを介して管理サーバと通信する拠点監視装置と、前記拠点監視装置と接続される複数の監視対象デバイスとを含むデバイス管理システムであって、
   前記拠点監視装置は、
   各監視対象デバイスが保持する公開鍵とペアになる秘密鍵を保持する保持手段と、
   各監視対象デバイスとセキュアな通信を行うためのサーバ証明書及びルート証明書を、前記拠点監視装置内で発行する発行手段と、
   前記秘密鍵を利用して、前記拠点監視装置を通知先とする通信先情報、及び前記発行手段により発行されたルート証明書からデジタル署名を発行する署名手段と、
   前記通信先情報、前記発行手段により発行されたルート証明書、及び前記署名手段により発行されたデジタル署名を各監視対象デバイスへ送信する送信手段とを有し、
   各監視対象デバイスは、
   前記拠点監視装置が保持する秘密鍵とペアになる公開鍵を保持する保持手段と、
   前記拠点監視装置から前記通信先情報、前記ルート証明書、及び前記デジタル署名を受信する受信手段と、
   前記公開鍵を利用して、前記受信手段により受信された前記デジタル署名の認証を行う認証手段と、
   前記認証手段によって認証が成功したことに応じて、前記受信手段により受信された前記通信先情報及び前記ルート証明書を利用して、デバイス監視情報の通知先を前記管理サーバから前記拠点監視装置に変更し、前記拠点監視装置とセキュアな通信を行う通信手段とを有することを特徴とするデバイス管理システム。
2. 前記監視対象デバイスは、
   前記認証手段による認証の失敗、及び前記通信手段による通信が失敗した場合に、前記受信手段により受信された前記通信先情報を破棄して、デバイス監視情報の通知先を前記管理サーバに戻す復帰手段を更に有することを特徴とする請求項１に記載のデバイス管理システム。
3. インターネットを介して管理サーバと通信する拠点監視装置と、前記拠点監視装置と接続される複数の監視対象デバイスとを含むデバイス管理システムの方法であって、
   前記拠点監視装置は、
   各監視対象デバイスが保持する公開鍵とペアになる秘密鍵を保持する保持工程と、
   各監視対象デバイスとセキュアな通信を行うためのサーバ証明書及びルート証明書を、前記拠点監視装置内で発行する発行工程と、
   前記秘密鍵を利用して、前記拠点監視装置を通知先とする通信先情報、及び前記発行工程において発行されたルート証明書からデジタル署名を発行する署名工程と、
   前記通信先情報、前記発行工程において発行されたルート証明書、及び前記署名工程において発行されたデジタル署名を各監視対象デバイスへ送信する送信工程とを実行し、
   各監視対象デバイスは、
   前記拠点監視装置が保持する秘密鍵とペアになる公開鍵を保持する保持工程と、
   前記拠点監視装置から前記通信先情報、前記ルート証明書、及び前記デジタル署名を受信する受信工程と、
   前記公開鍵を利用して、前記受信工程により受信された前記デジタル署名の認証を行う認証工程と、
   前記認証工程において認証が成功したことに応じて、前記受信工程において受信された前記通信先情報及び前記ルート証明書を利用して、デバイス監視情報の通知先を前記管理サーバから前記拠点監視装置に変更し、前記拠点監視装置とセキュアな通信を行う通信工程とを実行することを特徴とする方法。
4. インターネットを介して管理サーバと通信し、複数の監視対象デバイスと接続される拠点監視装置であって、
   各監視対象デバイスが保持する公開鍵とペアになる秘密鍵を保持する保持手段と、
   各監視対象デバイスとセキュアな通信を行うためのサーバ証明書及びルート証明書を、前記拠点監視装置内で発行する発行手段と、
   前記秘密鍵を利用して、前記拠点監視装置を通知先とする通信先情報、及び前記発行手段により発行されたルート証明書からデジタル署名を発行する署名手段と、
   前記通信先情報、前記発行手段により発行されたルート証明書、及び前記署名手段により発行されたデジタル署名を各監視対象デバイスへ送信する送信手段と、
   各監視対象デバイスからの、当該監視対象デバイスが保持する前記公開鍵を利用した前記デジタル署名の認証が成功したことに応じた、前記通信先情報及び前記ルート証明書を利用した通信テストに従い、当該監視対象デバイスとセキュアな通信を行う通信手段とを有し、
   前記通信手段による通信を利用して、監視対象デバイスからデバイス監視情報を取得することを特徴とする拠点監視装置。
5. 前記通信先情報はＵＲＬ情報であり、
   各監視対象デバイスがＵＲＬ情報を用いたＷｅｂサービスによりデバイス監視情報の送信を行う送信機能を有するかを問い合わせる確認手段を有し、
   前記送信手段は、前記確認手段による問い合わせにより確認された前記送信機能を有する監視対象デバイスに対して、前記通信先情報、前記ルート証明書、及び前記デジタル署名の送信を行うことを特徴とする請求項４に記載の拠点監視装置。
6. 前記監視対象デバイスは画像形成装置を含み、
   前記デバイス監視情報は画像形成装置の稼動情報及び障害情報を含むことを特徴とする請求項４又は５に記載の拠点監視装置。
7. インターネットを介して管理サーバと通信し、複数の監視対象デバイスと接続される拠点監視装置の方法であって、
   各監視対象デバイスが保持する公開鍵とペアになる秘密鍵を保持する保持工程と、
   各監視対象デバイスとセキュアな通信を行うためのサーバ証明書及びルート証明書を、前記拠点監視装置内で発行する発行工程と、
   前記秘密鍵を利用して、前記拠点監視装置を通知先とする通信先情報、及び前記発行工程において発行されたルート証明書からデジタル署名を発行する署名工程と、
   前記通信先情報、前記発行工程において発行されたルート証明書、及び前記署名工程において発行されたデジタル署名を各監視対象デバイスへ送信する送信工程と、
   各監視対象デバイスからの、当該監視対象デバイスが保持する前記公開鍵を利用した前記デジタル署名の認証が成功したことに応じた、前記通信先情報及び前記ルート証明書を利用した通信テストに従い、当該監視対象デバイスとセキュアな通信を行う通信工程とを有し、
   前記通信工程における通信を利用して、監視対象デバイスからデバイス監視情報を取得することを特徴とする方法。
8. 請求項３又は７に記載の方法の各工程をコンピュータに実行させるためのプログラム。

Images