JP4449931B2 - 管理装置、および管理システム - Google Patents

Description

本発明は、証明書情報を管理する管理装置および管理システムに関する。

従来より、複数の装置間でネットワークを介して通信を行う際の通信技術として、電子証明書を用いて公開鍵を通知し暗号化通信に移行するＳＳＬ(Secure Socket Layer)等の
通信技術が知られている。この通信技術においては、セキュリティ性の高い通信を実現するために、通常、電子証明書には有効期限を設定している。このように、電子証明書に有効期限を設定するのは、現在、この暗号化通信技術を用いれば暗号解読ができない（若しくは暗号解読に非常に時間がかかる）としても、長時間同じ鍵（公開鍵暗号における秘密鍵）を使用していると、暗号解読されてしまうリスクが大きくなるためであり、とりあえず容易には暗号解読されないと思われる日時を有効期限として設定しているのである。

従って、この有効期限が切れた電子証明書における通信は、セキュリティが保証されているものではない。そこで、電子証明書の有効期限切れを防止するために、有効期限を管理する管理装置が、電子証明書の有効期限の所定期間前に予め設定した宛先に電子証明書の有効期限が間もなく切れる旨の警告メールを送信する技術が提案されている（例えば、特許文献１参照）。
特開２００５−２６９５５８号公報

しかしながら、特許文献１に記載のような技術では、管理装置は、常に電源が入っている状態にしておかなければならない。つまり、管理装置の電源が入っていないときに上記警告メールを送信するタイミングになると、管理装置はその警告メールを送信できないのである。このため、従来装置においては電子証明書の有効期限を充分には管理できなかった。

そして、管理装置が電子証明書の有効期限を確実に管理できないことにより、使用者は、電子証明書の有効期限が切れてしまったことに気づかずに、その電子証明書を用いて通信を行おうとした場合に、通信のセキュリティが保証されない問題が生じることとなった。

このような、管理装置の電源が入っていないことにより、警告メールを送信するタイミングになっても、その警告メールを送信できないような問題は、電子証明書の有効期限に限らず、デバイス情報（例えば、印刷装置のトナーエンプティなど）の管理の場合にも生じる。

そこで、このような問題点に鑑み、証明書情報を管理する管理装置および管理システムにおいて、その証明書情報の管理状態を確実に管理することを本発明の目的とする。

かかる目的を達成するために成された請求項１に記載の発明は、自装置が通信の際に使用する第一電子証明書を、その第一電子証明書が有する第一証明書情報とともに記憶する第一記憶手段と、ネットワークを介して自装置に対して接続された他の管理装置から、該他の管理装置が通信の際に使用する前記第一電子証明書とは異なる第二電子証明書の第二証明書情報を受信する受信手段と、前記受信手段により受信した前記第二証明書情報を第二記憶手段に記憶させる第二記憶制御手段と、前記ネットワークを介して自装置に対して接続された端末装置から、証明書情報の要求を受信する証明書情報要求受信手段と、前記証明書情報要求受信手段により証明書情報の要求を受信すると、前記第一記憶手段に記憶された第一証明書情報を取得する取得手段と、前記証明書情報要求受信手段により証明書情報の要求を受信すると、前記端末装置に対して、前記取得手段により取得した第一証明書情報および前記第二記憶手段に記憶された第二証明書情報を送信する第一送信手段と、を備えることを特徴としている。

このような管理装置によれば、第二証明書情報を管理する他の管理装置の電源が切れている場合であっても、第二証明書情報を端末装置に送信することができるので、端末装置側では、この証明書情報を確実に管理することができる。

ところで、請求項１に記載の管理装置においては、請求項２に記載のように、ネットワークを介して接続された他の管理装置に対して、前記取得手段により取得した第一証明書情報を送信する第二送信手段を備えているとよい。

このような管理装置によれば、他の管理装置においても、本発明の管理装置と同様の構成にしておけば、何れかの管理装置が１つでも起動していれば、端末装置では全ての管理装置が管理する証明書情報を管理することができる。

証明書情報としては、請求項３に記載のように、電子証明書の有効期限情報であってもよい。

請求項３に記載の管理装置は、請求項１または請求項２に記載の管理装置であって、前記第一証明書情報は、前記第一電子証明書の有効期限情報であり、前記第二証明書情報は、前記第二電子証明書の有効期限情報であり、前記第一記憶手段は、前記第一電子証明書を、この電子証明書の有効期限情報とともに記憶し、前記取得手段は、前記証明書情報要求受信手段により証明書情報の要求を受信すると、前記第一記憶手段に記憶された第一電子証明書の有効期限情報を取得することを特徴とする。

このような管理装置によれば、第二電子証明書を管理する他の管理装置の電源が切れている場合であっても、第二電子証明書の有効期限情報を端末装置に送信することができるので、端末装置側では、暗号化通信に使用する電子証明書の有効期限切れを確実に管理することができる。よって、このような管理装置を用いれば、通信のセキュリティ確保することができる。

また、請求項３に記載の管理装置においては、請求項４に記載のように、第一記憶手段に記憶された第一電子証明書を利用した暗号化通信の要求を受信する暗号化通信要求受信手段と、前記暗号化通信要求受信手段により暗号化通信の要求を受信すると、前記第一電子証明書が有効期限内であるか否かを判断する有効期限判断手段と、前記有効期限判断手段により前記第一電子証明書が有効期限内ではないと判断されると、前記暗号化通信要求受信手段により受信した暗号化通信の要求元との通信を禁止する通信禁止手段と、をさらに備えているとよい。

このような管理装置によれば、電子証明書の有効期限が切れたときにはこの電子証明書を利用した暗号化通信を禁止するので、セキュリティが保証されない通信を遮断することができる。

次に、上記目的を達成するために成された請求項５に記載の発明は、複数の管理装置と、前記複数の管理装置に対してネットワークを介して通信可能に接続された端末装置と、を備えた管理システムであって、前記管理装置は、自装置が通信の際に使用する第一電子証明書を、その第一電子証明書が有する第一証明書情報とともに記憶する第一記憶手段と、前記第一記憶手段に記憶された前記第一証明書情報を取得する取得手段と、ネットワークを介して自装置に対して接続された他の管理装置から、該他の管理装置が通信の際に使用する前記第一電子証明書とは異なる第二電子証明書の第二証明書情報を受信する受信手段と、前記受信手段により受信した前記第二証明書情報を第二記憶手段に記憶させる第二記憶制御手段と、前記端末装置から、証明書情報の要求を受信する証明書情報要求受信手段と、前記証明書情報要求受信手段により証明書情報の要求を受信すると、前記端末装置に対して、前記取得手段により取得した第一証明書情報および前記第二記憶手段に記憶された第二証明書情報を送信する第一送信手段と、を備え、前記端末装置は、ネットワーク上に接続された全ての管理装置に対して、その管理装置が記憶する証明書情報を要求する要求手段と、前記第一送信手段から証明書情報を受信する証明書情報受信手段と、を備えることを特徴としている。

即ち、本発明の管理システムは、請求項１に記載の管理装置と、この管理装置の通信相手となる端末装置とを備えたシステムとして構成している。
従って、このような管理システムによれば、請求項１の記載と同様の作用および効果が得られる。

また、請求項５に記載の管理システムにおいては、請求項６に記載のように、前記管理装置における前記取得手段は、前記証明書情報要求受信手段により、前記端末装置から証明書情報の要求を受信することを条件として、前記第一記憶手段に記憶された前記第一証明書情報を取得し、前記第一送信手段は、前記取得手段により第一証明書情報を取得した時点および前記第二記憶手段に第二証明書情報が記憶された時点の時間情報も送信し、前記端末装置は、前記証明書情報受信手段が、同じ証明書情報を複数受信した場合、受信した証明書情報のうち、前記第一送信手段により送信された時間情報に基づき、最新の証明書情報以外は削除する削除手段をさらに備えているとよい。

このような管理システムによれば、重複した証明書情報を削除し、最も有用と思われる最新の証明書情報のみを残すので、収集した証明書情報を容易に管理することができる。
本管理システムにおいても、証明書情報としては、請求項７に記載のように、電子証明書の有効期限情報であってもよい。

請求項７に記載の管理システムは、請求項５又は請求項６に記載の管理システムであって、前記第一証明書情報は、自装置が通信の際に使用する第一電子証明書の有効期限情報であり、前記第二証明書情報は、前記他の管理装置が記憶する前記第一電子証明書とは異なる第二電子証明書の有効期限情報であり、前記第一電子証明書を、この電子証明書の有効期限情報とともに記憶する第一記憶手段をさらに備え、前記取得手段は、前記第一記憶手段に記憶された電子証明書の有効期限情報を取得することを特徴とする。

このような管理システムによれば、請求項３の記載と同様の作用および効果が得られる。
さらに、請求項７に記載の管理システムにおいては、請求項８に記載のように、前記管理装置における第一送信手段は、前記有効期限情報のほかに、前記有効期限情報を送信した管理装置を特定するための送信元情報も送信し、前記端末装置における証明書情報受信手段は、前記送信元情報も受信し、前記端末装置は、前記証明書情報受信手段により受信した有効期限情報が、前記送信元情報により特定される管理装置が保持する電子証明書の有効期限情報であるか否かを判断する管理装置判断手段と、前記管理装置判断手段により判断された電子証明書が、前記有効期限情報を送信した管理装置の電子証明書である場合に、この電子証明書の有効期限情報に対応する有効期限満了までの日数が第一所定期間以内であるか否かを判断する第一判断手段と、前記管理装置判断手段により判断された電子証明書が、前記有効期限情報を送信した管理装置以外の電子証明書である場合に、この電子証明書の有効期限情報に対応する有効期限満了までの日数が前記第一所定期間よりも長い第二所定期間以内であるか否かを判断する第二判断手段と、前記第一判断手段により前記有効期限満了までの日数が前記第一所定期間内であると判断した場合、または前記第二判断手段により前記有効期限満了までの日数が前記第二所定期間内であると判断した場合、前記電子証明書の更新処理に移行する電子証明書更新制御手段と、をさらに備えているとよい。

このような管理システムによれば、受信した有効期限情報が、管理装置自身が保持する電子証明書（第一電子証明書）の有効期限情報なのか、他の管理装置が保持する電子証明書（第二電子証明書）の有効期限情報なのかを特定することができる。

また、本発明の通信システムにおいては、有効期限満了までの日数を監視し、管理装置自身が保持する電子証明書（第一電子証明書）の有効期限満了までの日数が第一所定期間内であると判断した場合、または他の管理装置が保持する電子証明書（第二電子証明書）の有効期限満了までの日数が第二所定期間内であると判断した場合に、電子証明書の更新処理に移行する。

よって、このような管理システムによれば、使用者が電子証明書の更新を忘れてしまうことを確実に防止することができる。
なお、本発明において、第二所定期間を第一所定期間よりも長く設定しているのは、第二電子証明書についての有効期限情報がこの電子証明書を管理する管理装置から直接取得できなかったことから、この電子証明書を管理する管理装置が通信不能状態になっていることが考えられ、早期に通信不能状態を脱して電子証明書を更新するよう促す必要があるからである。

以下に本発明の実施形態について、図面と共に説明する。
図１は、実施形態の通信システム１の構成を表す説明図である。図１に示すように、本実施形態の通信システム１は、ディジタル複合機（以下、単に「複合機」とする。）１０と、パーソナルコンピュータ（以下、単に「ＰＣ」とする。）３０と、がＴＣＰ／ＩＰネットワークに接続された構成にされている。特に、本実施形態のネットワークにおいては、同様の構成を有する複数の複合機１０（第１複合機，第２複合機）と複数のＰＣ３０（ＰＣ３０ｂ，管理ＰＣ３０ａ）とが互いに接続された構成にされている。なお、各複合機１０は本発明でいう管理装置に相当し、管理ＰＣ３０ａは端末装置に相当する。

各複合機１０は、ＣＰＵ１１と、作業用メモリとしてのＲＡＭ１２と、各種プログラムやデータを記憶するフラッシュメモリ１３（第一記憶手段および第二記憶手段）と、ＴＣＰ／ＩＰネットワークに接続された通信インタフェース１５と、レーザ方式またはインクジェット方式にて用紙に画像を形成する印刷部１７と、原稿載置台に載置された原稿を光学的に読み取り画像データを生成する読取部１９と、ユーザが操作可能な各種キーおよび表示部を備えるユーザインタフェースとしての表示操作部２１とを備え、ＣＰＵ１１にて各種プログラムを実行し、プリンタ機能、スキャナ機能、および、コピー機能等を実現する構成にされている。

例えば、ＣＰＵ１１は、通信インタフェース１５を通じて外部のＰＣ３０から印刷データを受信すると、印刷部１７を制御して、この印刷データに基づく印刷画像を用紙に形成する（プリンタ機能）。また、表示操作部２１に対するユーザの操作により、表示操作部２１から読取指令が入力されると、ＣＰＵ１１は、読取部１９を制御して、原稿載置台に載置された原稿についての読取画像を表す画像データを生成し、これを通信インタフェース１５を通じて、所定のＰＣ３０に送信する（スキャナ機能）。

その他、複合機１０は、ウェブサーバ機能、ＳＳＬ（Secure Socket Layer）通信機能
、および、認証局（ＣＡ）としての機能を有し、フラッシュメモリ１３においては、自装置で発行した自己署名型のサーバ証明書（電子証明書）、サーバ秘密鍵、およびサーバ証明書情報記憶領域の記憶領域を備えている。なお、サーバ証明書情報記憶領域は、他の複合機が管理するサーバ証明書の有効期限を表す有効期限情報の記憶領域として機能する。

また、複合機１０は、自装置のデバイスデバイス管理情報の最終送信時刻（タイムスタンプ）を、フラッシュメモリ１３に格納する（詳細後述）。
ここで、図２は、複合機１０がフラッシュメモリ１３に記憶するサーバ証明書の構成を表す説明図である。

本実施形態の通信システム１がＳＳＬ通信で取扱うサーバ証明書は、図２に示すように、証明書のバージョンを表すバージョン情報と、証明書のシリアル番号と、アルゴリズム識別子と、ディジタル署名した証明書発行者を表す署名者情報と、証明書の有効期間を表す有効期間情報と、証明書の所有者を表す所有者情報と、所有者の公開鍵を表す公開鍵情報と、ディジタル署名値を表すディジタル署名情報と、を有する。また、このサーバ証明書が有する所有者情報は、複合機１０のＦＱＤＮ（Ｆｕｌｌ Ｑｕａｌｉｆｉｅｄ Ｄｏｍａｉｎ Ｎａｍｅ）を有し、有効期間情報は、証明書有効期間の開始日時および終了日時（有効期限）を表す構成にされている。

その他、複合機１０が有するサーバ証明書は、ＳＳＬ通信のハンドシェイクプロトコルにおいて相手先のＰＣ３０に送信される。
なお、本実施形態のＰＣ３０は、周知のパーソナルコンピュータと同様の構成にされ、ＣＰＵ３１にて各種プログラムを実行することにより、ＳＳＬ通信等を実現する。具体的に、ＰＣ３０は、図１に示すように、ＣＰＵ３１と、作業用メモリとしてのＲＡＭ３２と、ブートプログラム等を記憶するＲＯＭ３３と、ハードディスク装置（ＨＤＤ）３４と、ＴＣＰ／ＩＰネットワークに接続された通信インタフェース３５と、キーボードやポインティングデバイス等からなる操作部３７と、液晶モニタ等からなる表示部３９と、を備える。

このＰＣ３０は、ハードディスク装置３４に、サーバ証明書検証用のＣＡ証明書と、複合機１０より発行された自己のクライアント証明書およびクライアント秘密鍵と、クライアント認証時に複合機１０に提示するパスワードと、を記憶しており、ＳＳＬ通信の際には、ハードディスク装置３４に記憶されたＣＡ証明書を用いてサーバ証明書を検証すると共に、自己のクライアント証明書を、必要に応じて複合機１０に送信する。また、ＰＣ３０は、ＳＳＬハンドシェイクが行われた場合、ハードディスク装置３４が記憶するパスワードを複合機１０に送信して、クライアント認証の手続きを受ける。

ここで、複数のＰＣ３０のうち、管理ＰＣ３０ａには、ハードディスク装置３４に、後述する管理ＰＣ処理を実行するための管理ツール（管理プログラム）がインストールされており、各複合機１０のデバイス管理情報（サーバ証明書情報および各複合機のデバイス情報）を良好に取得可能に構成されている。ただし、管理ＰＣ３０ａ以外の通常のＰＣ３０ｂには、上記管理ツールはインストールされていない。つまり、管理ＰＣ３０ａと通常のＰＣ３０ｂとは、上記管理ツールがインストールされているか否かのみが異なる。なお、本実施形態においては、ネットワーク上において管理ＰＣ３０ａが１つだけ配置されているが、複数の管理ＰＣ３０ａが配置されていてもよい。

次に、管理ＰＣ３０ａがデバイス管理情報を取得するまでの概要について図３を用いて説明する。図３は、管理ＰＣ３０ａが各複合機１０のデバイス管理情報を取得するまで手順を示すラダーチャートである。

各複合機１０は、定期的にサーバ証明書情報およびデバイス情報をネットワークに接続された各装置に対してブロードキャストするよう構成されている（詳細は図４にて説明する）。

ここで、図３においては、まず、第１複合機１０によるサーバ証明書情報およびデバイス情報のブロードキャストが実行される（Ａ）。
このとき、管理ＰＣ３０ａ等のＰＣ３０では何もしない。一方、第２複合機（つまり、サーバ証明書情報およびデバイス情報をブロードキャストした第１複合機１０以外の複合機）は、ネットワークを介して第１複合機１０から受信したサーバ証明書情報およびデバイス情報をフラッシュメモリ１３内のデバイス管理情報記憶領域に格納する。

次に、第２複合機１０によるサーバ証明書情報およびデバイス情報のブロードキャストが実行される（Ｂ）。
このとき、管理ＰＣ３０ａ等のＰＣ３０では第１複合機１０からのサーバ証明書情報およびデバイス情報を受信したときと同様に何もしない。一方、第１複合機１０は、ネットワークを介して第２複合機１０から受信したサーバ証明書情報およびデバイス情報をフラッシュメモリ１３内のデバイス管理情報記憶領域に格納する。

次に、第１複合機１０が前回サーバ証明書情報およびデバイス情報を送信してから所定時間が経過すると、再び第１複合機１０によるサーバ証明書情報およびデバイス情報のブロードキャストが実行される（Ｃ）。

すると、第２複合機１０は、フラッシュメモリ１３内のサーバ証明書情報およびデバイス情報を、新たに第１複合機１０から受信したサーバ証明書情報およびデバイス情報に更新する。

このようにして各複合機１０は、他の複合機１０が管理するサーバ証明書情報およびデバイス情報を共有することができる。
ここで、第１複合機１０の電源が遮断され、ネットワーク上にて起動している複合機が第２複合機１０のみである場合を想定して以下の説明を行う。

第２複合機１０は、前回サーバ証明書情報およびデバイス情報を送信してから所定時間が経過すると、再びサーバ証明書情報およびデバイス情報のブロードキャストを実行する（Ｄ）。

そして、管理ＰＣ３０ａのユーザにより、管理ＰＣ３０ａの管理ツールが起動されると、管理ＰＣ３０ａは後述する管理ＰＣ処理にて、デバイス管理情報要求をブロードキャストする（Ｅ）。

このサーバ証明書要求情報を受信した複合機（ここでは第２複合機１０のみ）は、フラッシュメモリ１３内の現在のデバイス情報（トナー残量、用紙残量等）およびサーバ証明書と、デバイス管理情報記憶領域を読み取り、これらのデバイス管理情報をデバイス管理情報要求の要求元である管理ＰＣ３０ａに対して送信する（Ｆ）。なお、ここでは、第２複合機１０は、第１複合機１０のデバイス情報およびサーバ証明書情報と、第２複合機１０のデバイス情報およびサーバ証明書情報を送信することになる。

このようにして管理ＰＣ３０ａは、何れか１つの複合機１０が起動していれば、全ての複合機１０のデバイス管理情報を取得することができる。なお、本実施形態では、デバイス管理情報として、サーバ証明書情報とデバイス情報とを一緒にブロードキャストにて送信しているが、サーバ証明書情報とデバイス情報とを別々のタイミングでブロードキャストしてもよい。

次に、複合機１０および管理ＰＣ３０ａにおいて、図３に示すラダーチャートにおける作動を実行するための処理について、図４〜図８を用いて説明する。図４は各複合機１０のＣＰＵ１１が実行する複合機処理を示すフローチャート、図５は複合機処理のうちデバイス管理情報通知処理を示すフローチャートである。図６は複合機処理のうち暗号通信処理を示すフローチャート、図７は管理ＰＣ３０ａのＣＰＵ３１が実行する管理ＰＣ処理を示すフローチャートである。図８は管理ＰＣ処理のうち更新ページ表示処理を示すフローチャートである。

各複合機１０は、図４に示す複合機処理を実行することにより、送信される印刷データを受け付けると共に、他複合機からのデバイス管理情報およびデバイス管理情報要求を受け付ける。

この複合機処理は、各複合機１０が起動されたときにそれぞれ処理が開始され、複合機処理を開始すると、ＣＰＵ１１は、ＨＴＴＰＳポートへのアクセス（暗号ウェブアクセス）、ＨＴＴＰポートへのアクセス（非暗号ウェブアクセス）、暗号印刷用ポートへのアクセス、非暗号印刷用ポートへのアクセス、管理ＰＣ３０ａや他の複合機１０からのパケット受信等のイベントが発生したか否かを判断する（Ｓ１１０）。

イベントが発生したと判断すると（Ｓ１１０でＹｅｓ）、Ｓ１３０に移行し、イベントが発生していないと判断すると（Ｓ１１０でＮｏ）、Ｓ１２０にて図５に示すデバイス管理情報通知処理を実行する。

デバイス管理情報通知処理においては、ＣＰＵ１１がフラッシュメモリ１３に記録されたデバイス管理情報を定期的にブロードキャストする。具体的には、図５に示すように、前回デバイス管理情報を送信してから予め設定された所定時間Ｔ（例えば３０分）を経過したか否かを判定する（Ｓ３１０）。

そして、所定時間Ｔを経過していなければ（Ｓ３１０でＮｏ）、このままデバイス管理情報通知処理を終了する。一方、所定時間Ｔを経過していれば（Ｓ３１０でＹｅｓ）、Ｓ３２０に移行し、「サーバ証明書の有効期限」、「コモンネーム」、「自装置（複合機１０）のＩＰアドレス」、「トナー残量」、「用紙残量」をフラッシュメモリ１３からＲＡＭ３２等の一時メモリに読み込む（Ｓ３２０）。

続いて、先程の処理（Ｓ３２０）にて読み込んだ「サーバ証明書の有効期限」、「サーバ証明書のコモンネーム」、「自装置（複合機１０）のＩＰアドレス」、「トナー残量」、「用紙残量」に、「タイムスタンプ（現在時刻の情報）」を付加してなるデバイス管理情報を、ブロードキャストする（Ｓ３３０：第二送信手段）。

ここで、Ｓ３３０の処理にてブロードキャストされるデバイス管理情報は、例えば図９（ａ）に示すような形態で示される。即ち、このデバイス管理情報には、サーバ証明書の有効期限、この証明書を管理している管理ＰＣのＩＰアドレス、サーバ証明書の名称（コモンネーム）、管理ＰＣが証明書情報を送信した時刻、およびデバイス情報としてのトナー残量、用紙残量が含まれているので、このサーバ証明書情報を受信すれば、これらの事項を特定することができる。

また、Ｓ３３０等、デバイス管理情報を送信する処理では、送信データのヘッダにデバイス管理情報を送信した送信元装置を特定するための特定情報（具体的にはＩＰアドレス）が付加される。このため、デバイス管理情報を受信した装置では、デバイス管理情報を送信した送信元装置も特定することができるよう設定されている。

続いて、Ｓ３３０の処理が終了すると、デバイス管理情報を送信した送信時刻として現在時刻をフラッシュメモリ１３に書き込み（Ｓ３４５）、デバイス管理情報通知処理を終了する。

次に、図４に戻り、Ｓ１１０でイベントが発生したと判断すると（Ｓ１１０でＹｅｓ）、そのイベントが他の複合機１０から送信されたデバイス管理情報の受信であるか判定する（Ｓ１３０）。他の複合機１０から送信されたデバイス管理情報の受信であれば（Ｓ１３０でＹｅｓ：受信手段）、他の複合機１０より受信したデバイス管理情報をフラッシュメモリ１３のデバイス管理情報記憶領域に保存し（Ｓ１４０：第二記憶制御手段）、複合機処理を初めから繰り返す。

ここで、他の複合機１０より受信したデバイス管理情報とは、図９（ｂ）に示すように、他の複合機１０が送信したデバイス管理情報（図９（ａ）参照）と同様のものになり、このデバイス管理情報がフラッシュメモリ１３に記憶される。なお、本実施形態では、ネットワーク上に２台の複合機１０（第１複合機および第２複合機）が接続されている場合について説明しているが、これに限らない。ネットワーク上に３台以上の複合機が接続されていた場合には、各複合機１０が、それぞれ所定期間毎に自己のデバイス管理情報をブロードキャストし、本複合機１０は、その全ての複合機１０から送信されたデバイス管理情報をフラッシュメモリ１３に記憶する。このときの図９（ｂ）は、受信した全てのデバイス管理情報が追加登録されていくことになり、以前登録した複合機１０から、所定期間後に新たデバイス管理情報を再度受信した場合には、その複合機１０と同じＩＰアドレスを保有するレコードのデバイス管理情報（証明書有効期限、コモンネーム、デバイス情報、トナー残量、用紙残量およびタイムスタンプ）が上書き更新されることとなる。

一方、Ｓ１１０で発生したイベントが、他の複合機１０から送信されたデバイス管理情報の受信でなければ（Ｓ１３０でＮｏ）、管理ＰＣ３０ａからデバイス管理情報の要求を受信したか否かを判定する（Ｓ１５０）。デバイス管理情報の要求を受信していれば（Ｓ１５０でＹｅｓ：管理情報要求受信手段）、フラッシュメモリ１３に記憶されている自身のデバイス管理情報と、他の複合機から受信してデバイス管理情報記憶領域に記憶していた他の複合機のデバイス管理情報とをＲＡＭ３２等の一時メモリに読み込み、管理ＰＣ３０ａに対して送信する（Ｓ１６０：第一送信手段、取得手段）。そして、この送信が終了すると、複合機処理を初めから繰り返す。

ここで、Ｓ１６０の処理にて送信されるデバイス管理情報は、例えば図９（ｃ）に示すような形態で示される。即ち、このデバイス管理情報には、複数の複合機１０（ここでは第１複合機１０および第２複合機１０）のものが含まれているので、このデバイス管理情報を受信すれば、複数の複合機１０が管理するデバイス管理情報を同時に認識することができる。このとき、自装置におけるデバイス管理情報は、管理ＰＣ３０ａからデバイス管理情報の要求を受信してから、改めてフラッシュメモリ１３に記憶されているサーバ証明書の有効期限情報とデバイス情報とを取得する。これらの値と自装置のＩＰアドレスを、自装置におけるサーバ証明書情報として（現在時刻をタイムスタンプとして使用する）管理ＰＣ３０ａに送信する。

一方、Ｓ１１０で発生したイベントが、管理ＰＣ３０ａからデバイス管理情報の要求の受信でなければ（Ｓ１５０でＮｏ）、他の装置から暗号通信要求を受信したか否かを判定する（Ｓ１７０）。暗号通信要求を受信していれば（Ｓ１７０でＹｅｓ：暗号化通信要求受信手段）、暗号通信処理を実行し（Ｓ１８０）、暗号通信処理終了後に複合機処理を初めから繰り返す。

また、Ｓ１７０にて、暗号通信要求を受信していなければ（Ｓ１７０でＮｏ）、受信したイベントに対応するその他の処理を実行し（Ｓ１９０）、この処理が終了後に複合機処理を初めから繰り返す。

ところで、暗号通信処理（Ｓ１８０）は、サーバ証明書の有効期限が切れているか否かに基づいて、暗号化通信（ＳＳＬ通信）を実行するか否かを制御する処理である。具体的には、図６に示すように、まず、サーバ証明書の有効期限が切れているか否かを判定する（Ｓ４１０：有効期限判断手段）。そして、サーバ証明書の有効期限が切れていれば（Ｓ４１０でＹｅｓ）、暗号化通信を中断し（Ｓ４５０：通信禁止手段）、暗号通信処理を終了する。

また、Ｓ４１０にて、サーバ証明書の有効期限が切れていない場合には（Ｓ４１０でＮｏ）、ＳＳＬハンドシェイクを行う（Ｓ４２０）。ここで、ＳＳＬハンドシェイクとは、この暗号通信処理を実行する複合機１０と、他の装置（ＰＣ３０や他の複合機１０）との間で、サーバ証明書の送受信を行うことにより、ＳＳＬ通信を実現する処理である。

続いて、ＳＳＬハンドシェイクにおいて、エラーが発生したか否かを判定する（Ｓ４３０）。エラーが発生していれば（Ｓ４３０でＹｅｓ）、暗号化通信を中断し（Ｓ４５０）、暗号通信処理を終了する。

また、ＳＳＬハンドシェイクにおいてエラーが発生していないと判定されれば（Ｓ４３０でＮｏ）、ＳＳＬによる所定の暗号化通信を実行し（Ｓ４４０）、暗号化通信終了後に暗号通信処理を終了する。

次に、管理ＰＣ処理について、図７を用いて説明する。
管理ＰＣ処理は、管理ＰＣ３０ａが各複合機１０が管理するサーバ証明書に関する情報（デバイス管理情報）を収集する処理を含む各種処理を実行する処理である。

具体的には、図７に示すように、まずハードディスク装置３４にインストールされた管理ツールが起動されたか否かを判定する（Ｓ５１０）。管理ツールが起動されていなければ（Ｓ５１０でＮｏ）、起動されたその他のアプリケーションに対応する処理を実行し（Ｓ５２０）、Ｓ５１０に戻る。

一方、管理ツールが起動されていれば（Ｓ５１０でＹｅｓ）、デバイス管理情報要求をブロードキャストする（Ｓ５３０：要求手段）。
続いて、デバイス管理情報要求に対応して各複合機１０から送信されたデバイス管理情報を受信する（Ｓ５４０：管理情報受信手段）。なお、この処理においては、何れかの複合機１０が起動していれば全ての複合機１０が管理するデバイス管理情報を受信することができるが、何らかの事情によりデバイス管理情報を受信できなかった場合には、エラー表示をして管理ＰＣ処理を初めから繰り返すようにしてもよい。

続いて、受信したデバイス管理情報をリストにする（Ｓ５５０）。そして、このリスト内において、コモンネームが重複しているか否かを判定し、コモンネームが重複しているものに関しては、タイムスタンプを参照し、更新時刻が最新のもの以外を削除する（Ｓ５６０：削除手段）。なお、このとき、タイムスタンプを参照して更新時刻が最新のもの以外を削除しているが、コモンネームが重複したデバイス管理情報の受信データのヘッダに含まれるＩＰアドレスと、受信したデバイス管理情報に含まれるＩＰアドレスとをそれぞれ比較し、同じＩＰアドレスがある場合には、そのデバイス管理情報以外で同じコモンネームのデバイス管理情報を削除するようにしても同様の効果が得られる。

Ｓ５６０にて、コモンネームが重複しているものについて削除した後のデバイス管理情報のリストを表示部３９に一覧表示する（Ｓ５６５）。
そして、各デバイス管理情報に対して、更新ページ表示処理を実行し（Ｓ５７０）、この更新ページ表示処理が終了すれば、管理ＰＣ処理を終了する。

ここで、更新ページ表示処理（Ｓ５７０）は、各複合機１０が管理するサーバ証明書の有効期限を調査し、有効期限まで所定の日数以内であれば、サーバ証明書の更新をユーザに促す処理である。

具体的には、図８に示すように、まずデバイス管理情報が実機から送信されたか否かを判定する（Ｓ６１０：管理装置判断手段）。なお、ここでは、複合機１０が自ら管理するデバイス管理情報についてのデバイス管理情報を受信した場合に、実機から送信されたものと判定する。この判定においては、受信データのヘッダに含まれる送信元のＩＰアドレスと、デバイス管理情報に含まれるＩＰアドレスとを比較し、一致していればこのデバイス管理情報が実機から送信されたものと判定し、一致しなければこのデバイス管理情報が実機以外の代理装置が送信されたものと判定する。

ここで、デバイス管理情報が実機から送信されていれば（Ｓ６１０でＹｅｓ）、このサーバ証明書に対応するサーバ証明書の有効期限が失効するまでの日数が予め設定されたＭ日（第一所定期間）以内であるか否かを判定する（Ｓ６２０：第一判断手段）。サーバ証明書の有効期限が失効するまでの日数がＭ日以内であれば（Ｓ６２０でＹｅｓ）、Ｓ６４０に移行する。また、サーバ証明書の有効期限が失効するまでの日数がＭ日以上であれば（Ｓ６２０でＮｏ）、このまま更新ページ表示処理を終了する。

一方、Ｓ６１０において、デバイス管理情報が実機から送信されていなければ（Ｓ６１０でＮｏ）、このサーバ証明書に対応するサーバ証明書の有効期限が失効するまでの日数が予め設定されたＮ日（第二所定期間）以内であるか否かを判定する（Ｓ６３０：第二判断手段）。サーバ証明書の有効期限が失効するまでの日数がＮ日以内であれば（Ｓ６３０でＹｅｓ）、Ｓ６４０に移行する。また、サーバ証明書の有効期限が失効するまでの日数がＮ日以上であれば（Ｓ６３０でＮｏ）、このまま更新ページ表示処理を終了する。

ここで、上記Ｓ６２０およびＳ６３０における判定に使用される日数は、Ｍ＜Ｎに設定されている。このようにＮ（第二所定期間）をＭ（第一所定期間）よりも長く設定しているのは、他の複合機１０が管理するサーバ証明書についての有効期限情報がこのサーバ証明書を管理する複合機１０から直接取得できなかったことから、このサーバ証明書を管理する複合機１０が通信不能状態になっていることが考えられ、早期に通信不能状態を脱してサーバ証明書を更新するよう促す必要があるからである。

続いて、Ｓ６４０では、サーバ証明書を更新するための更新ページを表示部３９にポップアップ表示させる（電子証明書更新制御手段）。ここで、サーバ証明書を更新するための更新ページの情報は、予め管理ツールの一部としてハードディスク装置３４に登録されている。なお、このハードディスク装置３４に更新ページの情報が登録されていないサーバ証明書について、更新ページを表示させるときには、このサーバ証明書の種別（コモンネーム等）からインターネット上を検索した上で表示させるようにしてもよい。

次に、ユーザの操作に基づいてサーバ証明書を更新する等の各種処理を実行し（Ｓ６５０）、この処理が終了すると更新ページ表示処理を終了する。
以上のように詳述した通信システム１は、有効期限が記された電子証明書（サーバ証明書）を管理する複数の複合機１０と、複数の複合機１０に対してネットワークを介して通信可能に接続された管理ＰＣ３０ａと、を備えたシステムである。複合機１０は、自装置が通信の際に使用する第一電子証明書を、この電子証明書の有効期限情報と共に記憶するフラッシュメモリ１３を備えている。

複合機１０は、複合機処理にて、第一電子証明書とは異なる第二電子証明書を管理する他の複合機１０から、第二電子証明書の有効期限情報を受信し（Ｓ１３０）、受信した第二電子証明書の有効期限情報をフラッシュメモリ１３に記憶させる（Ｓ１４０）。また、管理ＰＣ３０ａから、電子証明書の有効期限情報の要求を受信し（Ｓ１５０）、電子証明書の有効期限情報の要求を受信すると、管理ＰＣ３０ａに対して、フラッシュメモリ１３に記憶された第一電子証明書の有効期限情報およびフラッシュメモリ１３に記憶された第二電子証明書の有効期限情報を送信する（Ｓ１６０）。

一方、管理ＰＣ３０ａは、管理ＰＣ処理にて、ネットワーク上に接続された全ての複合機１０に対して、その複合機１０が管理する電子証明書の有効期限情報を要求し（Ｓ５３０）、電子証明書の有効期限情報を受信する（Ｓ５４０）。

従って、このような通信システム１によれば、複合機１０は、第二電子証明書を管理する他の複合機１０の電源が切れている場合であっても、第二電子証明書の有効期限情報を管理ＰＣ３０ａに送信することができるので、管理ＰＣ３０ａ側では、暗号化通信に使用する電子証明書の有効期限切れを確実に管理することができる。よって、このような複合機１０を用いれば、通信のセキュリティを確保することができる。

また、本実施形態の通信システム１において、複合機１０は、サーバ証明書有効期限通知処理にて、ネットワークを介して接続された他の複合機１０に対して、フラッシュメモリ１３に記憶された第一電子証明書の有効期限情報を送信する（Ｓ３３０）。

従って、このような通信システム１によれば、何れかの複合機１０が１つでも起動していれば、管理ＰＣ３０ａでは全ての複合機１０が管理する電子証明書の有効期限情報を管理することができるので、より確実に電子証明書の有効期限を管理することができる。

また、本実施形態の通信システム１において、複合機１０は、複合機処理にて、フラッシュメモリ１３に記憶された第一電子証明書を利用した暗号化通信の要求を受信し（Ｓ１７０）、暗号化通信の要求を受信すると、第一電子証明書が有効期限内であるか否かを判断する（Ｓ４１０）。そして、複合機１０は、暗号通信処理にて、第一電子証明書が有効期限内ではないと判断されると、受信した暗号化通信の要求元との通信を禁止する（Ｓ４５０）。

従って、このような通信システム１によれば、電子証明書の有効期限が切れたときにはこの電子証明書を利用した暗号化通信を禁止するので、セキュリティが保証されない通信を遮断することができる。

さらに、本実施形態の通信システム１において、複合機１０は、複合機処理にて、管理ＰＣ３０ａから電子証明書の有効期限情報の要求を受信することを条件として、フラッシュメモリ１３に記憶された第一電子証明書の有効期限情報を取得し、第一電子証明書の有効期限情報の取得した時点およびフラッシュメモリ１３に第二電子証明書の有効期限情報が記憶された時点の時間情報（タイムスタンプ）も送信する（Ｓ１６０）。そして、管理ＰＣ３０ａは、管理ＰＣ処理にて、同じ電子証明書の有効期限情報を複数受信した場合、受信した電子証明書の有効期限情報のうち、時間情報から最新の有効期限情報以外は削除する（Ｓ５６０）。

従って、このような通信システム１によれば、重複した電子証明書の有効期限情報を削除し、最も有用と思われる最新の有効期限情報のみを残すので、収集した証明書情報を容易に管理することができる。

しかも、電子証明書の有効期限情報とともに複合機１０のデバイス情報についても受信し、リストを一覧表示しているので、各複合機１０のデバイス情報についても、同時に管理できる。

さらに、本実施形態の通信システム１において、複合機１０は、複合機処理にて、有効期限情報のほかに、有効期限情報を送信した複合機１０を特定するための送信元情報も送信する（Ｓ１６０）。また、管理ＰＣ３０ａは、管理ＰＣ処理にて、送信元情報も受信し（Ｓ５４０）。

そして、管理ＰＣ３０ａは、更新ページ表示処理にて、受信した有効期限情報が、送信元情報により特定される複合機１０が保持する電子証明書の有効期限情報であるか否かを判断し（Ｓ６１０）、この電子証明書が有効期限情報を送信した複合機１０の電子証明書である場合に、この電子証明書の有効期限情報に対応する有効期限満了までの日数が第一所定期間以内であるか否かを判断する（Ｓ６２０）。

また、管理ＰＣ３０ａは、更新ページ表示処理にて、送信元情報により特定される複合機１０が保持する電子証明書が、有効期限情報を送信した複合機１０以外の電子証明書である場合に、この電子証明書の有効期限情報に対応する有効期限満了までの日数が第一所定期間よりも長い第二所定期間以内であるか否かを判断する（Ｓ６３０）。そして、管理ＰＣ３０ａは、有効期限満了までの日数が第一所定期間内であると判断した場合、または有効期限満了までの日数が第二所定期間内であると判断した場合、電子証明書の更新処理に移行する（Ｓ６４０）。

従って、このような通信システムによれば、受信した有効期限情報が、複合機１０自身が保持する電子証明書（第一電子証明書）の有効期限情報なのか、他の複合機１０が保持する電子証明書（第二電子証明書）の有効期限情報なのかを特定することができる。

また、このような通信システムによれば、電子証明書の更新が必要と思われる時期に電子証明書の更新処理に移行するので、ユーザが電子証明書の更新を忘れてしまうことを確実に防止することができる。この更新処理への移行は、一覧表示において有効期限満了が近づいていることを警告表示するだけでなく、更新ページを表示部３９にポップアップ表示しているため、ユーザの操作を軽減させつつも、確実に更新処理を行わせることができる。

なお、本発明の実施の形態は、上記の実施形態に何ら限定されることはなく、本発明の技術的範囲に属する限り種々の形態を採りうる。
例えば、本実施形態においては、暗号化通信としてＳＳＬを採用したが、電子証明書を用いる通信方式であれば、ＳＳＬ以外の通信方式を採用してもよい。

実施形態の通信システムの構成を表す説明図である。 実施形態の通信システムで用いられる電子証明書の構成を表す説明図である。 管理ＰＣが各複合機のデバイス管理情報を取得するまで手順を示すラダーチャートである。 複合機処理を示すフローチャートである。 複合機処理のうちデバイス管理情報通知処理を示すフローチャートである。 複合機処理のうち暗号通信処理を示すフローチャートである。 管理ＰＣのＣＰＵが実行する管理ＰＣ処理を示すフローチャートである。 管理ＰＣ処理のうち更新ページ表示処理を示すフローチャートである。 デバイス管理情報の具体例を示す説明図である。

１…通信システム、１０…複合機、１１，３１…ＣＰＵ、１２，３２…ＲＡＭ、１３…フラッシュメモリ、１５，３５…通信インタフェース、１７…印刷部、１９…読取部、２１…表示操作部、３０…ＰＣ、３３…ＲＯＭ、３４…ハードディスク装置、３７…操作部、３９…表示部。

Claims (8)

1. 自装置が通信の際に使用する第一電子証明書を、その第一電子証明書が有する第一証明書情報とともに記憶する第一記憶手段と、
   ネットワークを介して自装置に対して接続された他の管理装置から、該他の管理装置が通信の際に使用する前記第一電子証明書とは異なる第二電子証明書の第二証明書情報を受信する受信手段と、
   前記受信手段により受信した前記第二証明書情報を第二記憶手段に記憶させる第二記憶制御手段と、
   前記ネットワークを介して自装置に対して接続された端末装置から、証明書情報の要求を受信する証明書情報要求受信手段と、
   前記証明書情報要求受信手段により証明書情報の要求を受信すると、前記第一記憶手段に記憶された第一証明書情報を取得する取得手段と、
   前記証明書情報要求受信手段により証明書情報の要求を受信すると、前記端末装置に対して、前記取得手段により取得した第一証明書情報および前記第二記憶手段に記憶された第二証明書情報を送信する第一送信手段と、
   を備えることを特徴とする管理装置。
2. 前記ネットワークを介して接続された他の管理装置に対して、前記取得手段により取得した第一証明書情報を送信する第二送信手段
   をさらに備えることを特徴とする請求項１に記載の管理装置。
3. 前記第一証明書情報は、前記第一電子証明書の有効期限情報であり、前記第二証明書情報は、前記第二電子証明書の有効期限情報であり、
   前記第一記憶手段は、前記第一電子証明書を、この電子証明書の有効期限情報とともに記憶し、
   前記取得手段は、前記証明書情報要求受信手段により証明書情報の要求を受信すると、前記第一記憶手段に記憶された第一電子証明書の有効期限情報を取得することを特徴とする請求項１または請求項２に記載の管理装置。
4. 前記第一記憶手段に記憶された第一電子証明書を利用した暗号化通信の要求を受信する暗号化通信要求受信手段と、
   前記暗号化通信要求受信手段により暗号化通信の要求を受信すると、前記第一電子証明書が有効期限内であるか否かを判断する有効期限判断手段と、
   前記有効期限判断手段により前記第一電子証明書が有効期限内ではないと判断されると、前記暗号化通信要求受信手段により受信した暗号化通信の要求元との通信を禁止する通信禁止手段と、
   をさらに備えることを特徴とする請求項３に記載の管理装置。
5. 複数の管理装置と、前記複数の管理装置に対してネットワークを介して通信可能に接続された端末装置と、を備えた管理システムであって、
   前記管理装置は、
   自装置が通信の際に使用する第一電子証明書を、その第一電子証明書が有する第一証明書情報とともに記憶する第一記憶手段と、
   前記第一記憶手段に記憶された前記第一証明書情報を取得する取得手段と、
   ネットワークを介して自装置に対して接続された他の管理装置から、該他の管理装置が通信の際に使用する前記第一電子証明書とは異なる第二電子証明書の第二証明書情報を受信する受信手段と、
   前記受信手段により受信した前記第二証明書情報を第二記憶手段に記憶させる第二記憶制御手段と、
   前記端末装置から、証明書情報の要求を受信する証明書情報要求受信手段と、
   前記証明書情報要求受信手段により証明書情報の要求を受信すると、前記端末装置に対して、前記取得手段により取得した第一証明書情報および前記第二記憶手段に記憶された第二証明書情報を送信する第一送信手段と、
   を備え、
   前記端末装置は、
   ネットワーク上に接続された全ての管理装置に対して、その管理装置が記憶する証明書情報を要求する要求手段と、
   前記第一送信手段から証明書情報を受信する証明書情報受信手段と、
   を備えることを特徴とする管理システム。
6. 前記管理装置における
   前記取得手段は、前記証明書情報要求受信手段により、前記端末装置から証明書情報の要求を受信することを条件として、前記第一記憶手段に記憶された前記第一証明書情報を取得し、
   前記第一送信手段は、前記取得手段により第一証明書情報を取得した時点および前記第二記憶手段に第二証明書情報が記憶された時点の時間情報も送信し、
   前記端末装置は、
   前記証明書情報受信手段が、同じ証明書情報を複数受信した場合、受信した証明書情報のうち、前記第一送信手段により送信された時間情報に基づき、最新の証明書情報以外は削除する削除手段
   をさらに備えることを特徴とする請求項５に記載の管理システム。
7. 前記第一証明書情報は、前記第一電子証明書の有効期限情報であり、前記第二証明書情報は、前記第二電子証明書の有効期限情報であり、
   前記第一記憶手段は、前記第一電子証明書を、この電子証明書の有効期限情報とともに記憶し、
   前記取得手段は、前記第一記憶手段に記憶された電子証明書の有効期限情報を取得することを特徴とする請求項５又は請求項６に記載の管理システム。
8. 前記管理装置における第一送信手段は、前記有効期限情報のほかに、前記有効期限情報を前記第一送信手段により送信した管理装置を特定するための送信元情報も送信し、
   前記端末装置における証明書情報受信手段は、前記送信元情報も受信し、
   前記端末装置は、
   前記証明書情報受信手段により受信した有効期限情報が、前記送信元情報により特定される管理装置が保持する電子証明書の有効期限情報であるか否かを判断する管理装置判断手段と、
   前記管理装置判断手段により判断された電子証明書が、前記有効期限情報を送信した管理装置の電子証明書である場合に、この電子証明書の有効期限情報に対応する有効期限満了までの日数が第一所定期間以内であるか否かを判断する第一判断手段と、
   前記管理装置判断手段により判断された電子証明書が、前記有効期限情報を送信した管理装置以外の電子証明書である場合に、この電子証明書の有効期限情報に対応する有効期限満了までの日数が前記第一所定期間よりも長い第二所定期間以内であるか否かを判断する第二判断手段と、
   前記第一判断手段により前記有効期限満了までの日数が前記第一所定期間内であると判断した場合、または前記第二判断手段により前記有効期限満了までの日数が前記第二所定期間内であると判断した場合、前記電子証明書の更新処理に移行する電子証明書更新制御手段と、
   をさらに備えることを特徴とする請求項７に記載の管理システム。

Images