JP7408027B1 - 画像処理装置および通信システム - Google Patents

Abstract

画像処理装置において、制御部は、入力部に入力された第２の生体情報と、メモリに保存されている第１の生体情報とを比較する認証の結果に基づき画像処理部に関連する機能の制限解除を制御する。画像処理装置は、第１ユーザを特定する情報の入力に応じて他の画像処理装置からインポートした第１ユーザの第１の生体情報と第１ユーザの第２の生体情報とを比較する認証の結果に基づき画像処理部に関連する機能の制限解除を制御することもできる。および／または画像処理装置は、他の画像処理装置に第１ユーザの第２の生体情報をエクスポートし、他の画像処理装置から第１ユーザの第２の生体情報に基づく認証の結果を受信し、受信した認証の結果に基づき画像処理部に関連する機能の制限解除を制御することもできる。

Description

本開示は、プリンタおよびスキャナの少なくとも一方を有する画像処理装置、および当該画像処理装置を含む通信システムに関する。

生体認証を行い、その認証結果に応じてユーザが利用できる機能の制限および制限の解除を行う画像処理装置（または該画像処理装置を含む通信システム）が知られている（例えば下記特許文献１）。特許文献１では、概略、以下の２種の通信システムが開示されている。

特許文献１の一の通信システムでは、画像処理装置は、ユーザの生体情報を取得してサーバへ送信し、その生体情報を照合用生体情報としてサーバに登録させる。ユーザが画像処理装置を利用しようとしたときは、画像処理装置は、ユーザに生体情報を入力させ、入力された生体情報をサーバへ送信する。サーバは、受信した生体情報と、上記の照合用生体情報とを比較して認証を行い、認証結果を画像処理装置へ返信する。

特許文献１の他の通信システムでは、画像処理装置は、ユーザの生体情報を取得して、その生体情報を照合用生体情報として自らが保持するテーブルに登録する。ユーザが画像処理装置を利用しようとしたときは、画像処理装置は、ユーザに生体情報を入力させ、入力された生体情報と上記テーブルに登録されている照合用生体情報とを比較して認証を行う。画像処理装置は、定期的に、他の画像処理装置が保持しているテーブルの更新情報を取得して、自己のテーブルに反映させる。

特開２００８－２１２２２号公報

本開示の一態様に係る画像処理装置は、画像処理部と、入力部と、メモリと、制御部と、を備える。前記画像処理部は、プリンタおよびスキャナの少なくとも一方を含む。前記入力部は、ユーザの生体情報が入力される。前記メモリは、ユーザ毎の第１の生体情報を保存する。前記制御部は、前記入力部に入力された第２の生体情報と、前記メモリに保存されている前記第１の生体情報とを比較する認証の結果に基づき前記画像処理部に関連する機能の制限解除を制御する。

一例において、前記画像処理装置は、第１ユーザを特定する情報の入力に応じて他の画像処理装置からインポートした前記第１ユーザの第１の生体情報と前記第１ユーザの第２の生体情報とを比較する認証の結果に基づき前記画像処理部に関連する機能の制限解除を制御することもできる。

一例において、前記画像処理装置は、他の画像処理装置に第１ユーザの第２の生体情報をエクスポートし、前記他の画像処理装置から前記第１ユーザの第２の生体情報に基づく認証の結果を受信し、受信した認証の結果に基づき前記画像処理部に関連する機能の制限解除を制御することもできる。

本開示の一態様に係る通信システムは、前記画像処理装置と、前記他の画像処理装置とを有している。

実施形態の概要を説明するための模式図。 実施形態に係る画像処理装置およびネットワークの構成を説明するための模式図。 実施形態に係る画像処理装置の信号処理系に係るハードウェア構成を示す模式図。 第１実施形態に係る画像処理装置が実行する処理の手順の一例を示すフローチャート。 図５Ａ、図５Ｂおよび図５Ｃは第１実施形態に係る画像処理装置の画面に表示される画像の例を示す模式図。 図６Ａおよび図６Ｂは第１実施形態に係る画像処理装置の画面に表示される画像の他の例を示す模式図。 図４の一部の手順の詳細を示すフローチャート。 図７の一部の手順の詳細を示すフローチャート。 第２実施形態に係る画像処理装置が実行する処理の手順の一例を示すフローチャート。 図９の一部の手順の詳細を示すフローチャート。 第３実施形態に係る通信システムを説明するための機能ブロック図。 図１２Ａおよび図１２Ｂは認証結果に基づく制限解除の具体例を説明するための模式図。 ＶＰＮ接続に係る制限解除を説明するためのフローチャート。

以下、図面を参照して本実施形態に係る画像処理装置について説明する。相対的に後に説明される態様については、基本的に、相対的に先に説明される態様との相違点についてのみ述べる。特に言及が無い事項については、先に説明される態様と同様とされたり、先に説明される態様から類推されたりしてよい。

なお、以下のとおり、いくつかの用語は一般的に多義的である。実施形態の説明においても、文脈等に照らして適宜に用語の意味を解釈されたい。

「生体情報」の語は、例えば、現に人に表れている特徴の情報自体（別の観点では検出方法に依存しない情報）を指す場合と、上記特徴を検出した生の情報を指す場合と、生の情報から抽出した特徴量の情報を指す場合と、生の情報もしくは特徴量の情報を利用目的に応じて加工した情報を指す場合とがある。加工した情報としては、例えば、特徴量を暗号化した情報を挙げることができる。

「認証」の語は、対象の正当性を確認する行為を指す場合と、そのような行為によって、正当性が確認できたこと、もしくは確認ができていることを指す場合とがある。これに関連して、正当性が確認できたことは、認証に成功すると表現されることがあり、また、正当性が確認できないことを認証に失敗したと表現されることがある。実施形態の説明において、「認証状態」は、正当性が確認できている状態、またはそのように見做されている状態を指す。

「ネットワーク」の語は、通信網を指す場合と、通信網および通信網に接続された機器の組み合わせを指す場合とがある。ネットワークの下位概念の語についても同様である。ネットワークの下位概念の語は、例えば、インターネット、パブリックネットワーク、プライベートネットワーク、ＬＡＮ（Local Area Network）およびＶＰＮ（Virtual Private Network）である。

「ＶＰＮ」の語は、プライベートネットワークをパブリックネットワークに仮想的に拡張する技術を指す場合と、当該技術によるネットワークを指す場合とがある。なお、ＶＰＮに係る技術的事項に適宜にＶＰＮの語を付すことがある。例えば、ＶＰＮを利用した通信を行うように確立される接続をＶＰＮ接続ということがあり、また、そのような接続を行うことをＶＰＮ接続するということがある。

「接続」の語は、認証（例えばスリーウェイハンドシェイク）を経て確立される接続（狭義の接続）を指す場合と、単に通信可能であることを意味する接続（広義の接続）を指す場合とがある。前者とは異なり、かつ後者に含まれる接続としては、例えば、以下のものを挙げることができる。接続を確立する前の通信（例えばブロードキャストおよびこれに対する返信）は可能であるが、接続の確立は禁止されている接続。互いにケーブルによって電気的（別の観点では物理的）に接続されているが、ソフトウェア的（別の観点では論理的）には通信が一切禁止されているもの。

（実施形態の概要）
図１は、実施形態に係る通信システム１の概要を説明するための模式図である。

通信システム１は、ネットワーク１０を介して互いに通信可能に接続されている複数（図１では３つを例示）の画像処理装置３ＭＡ、３ＭＢおよび３ＭＣを有している。以下では、画像処理装置３ＭＡ～３ＭＣ（および図２の３Ａ～３Ｃ）を互いに区別せずに画像処理装置３（符号は図３等）と称することがある。画像処理装置３は、プリンタおよびスキャナの少なくとも一方を含む。

各画像処理装置３は、ユーザの認証を行い、その認証結果に基づいてユーザが利用可能な機能を制限し、またはその制限の解除を行う。例えば、認証が成功すると、画像処理装置３は、ユーザに所定の機能（例えば印刷）の利用を許可する（機能の制限を解除する。）。逆に言えば、認証が失敗した場合は、画像処理装置３は、ユーザに所定の機能の利用を許可しない（機能を制限する。）。

なお、機能を制限すること、および機能の制限を解除することの双方を含む概念について、「機能の制限解除の制御」のような語を用いることがある。同様に、認証に成功した認証状態を維持すること、および認証状態を解除することの双方を含む概念について、「認証状態の解除の制御」のような語を用いることがある。

画像処理装置３ＭＡ、３ＭＢおよび３ＭＣは、それぞれ、認証を実現するために、管理用テーブルＤＴ０Ａ、ＤＴ０ＢおよびＤＴ０Ｃを有している。以下では、これらを互いに区別せずに、管理用テーブルＤＴ０と称することがある。管理用テーブルＤＴ０は、例えば、ユーザ毎に種々の情報を関連付けて保持している。図１では、種々の情報として、「ＩＤ」、「パスワード」、「生体情報１」、「生体情報２」および「機能制限」が例示されている。

ＩＤ（identification）およびパスワードの組み合わせをアカウント情報ということがある。管理用テーブルＤＴ０は、個々のユーザに対して２種以上の生体情報を記憶可能であってよく、図１では、上記のとおり、「生体情報１」および「生体情報２」の２種（より詳細には指紋および顔）が例示されている。実施形態の説明では、便宜上、２種以上の生体情報を記憶可能であることを無視した説明（１種の生体情報のみが記憶されることを前提とした説明）を行うことがある。「機能制限」は、例えば、制限が解除される機能（別の観点では制限される機能）を直接的にまたは間接的に示す情報である。

画像処理装置３は、ユーザによる使用に際して、ユーザに生体情報の入力を要求する。そして、画像処理装置３は、生体情報（第２の生体情報）が入力されると、入力された生体情報に一致する生体情報（第１の生体情報）が、自己の管理用テーブルＤＴ０に登録されているか否か判定する。そして、登録されている場合には、認証に成功したものとして、機能の制限の解除を行う。

なお、このときの制限解除は、ユーザ間で相違があってもよいし、なくてもよい。前者の場合においては、例えば、入力された生体情報に一致する生体情報（第１の生体情報）に関連付けられている「機能制限」に係る情報が参照されてよい。後者の場合においては、管理用テーブルＤＴ０は、「機能制限」に係る情報をユーザ毎に有していなくてよい。

管理用テーブルＤＴ０Ａ、ＤＴ０ＢおよびＤＴ０Ｃは、例えば、少なくとも一部のユーザが互いに異なっている。例えば、図１の例では、「ＩＤ」の欄に例示された数字が全て互いに異なっていることから理解されるように、管理用テーブルＤＴ０Ａ、ＤＴ０ＢおよびＤＴ０Ｃは、互いに異なるユーザ（別の観点ではアカウント）について、アカウント情報および生体情報等の情報を保持している。

従って、例えば、画像処理装置３ＭＢ（管理用テーブルＤＴ０Ｂ）に登録されているユーザ（ユーザＢとする。）が、画像処理装置３ＭＢを使用する場合においては、上記のように、画像処理装置３ＭＢが自己の管理用テーブルＤＴ０Ｂを参照することによって、認証が成功する。その結果、ユーザＢは、制限が解除された所定の機能を使用することができる。

一方、例えば、ユーザＢが画像処理装置３ＭＡを使用しようとした場合においては、管理用テーブルＤＴ０ＡにはユーザＢは登録されていないことから、認証は失敗する。その結果、例えば、ユーザＢは、画像処理装置３ＭＡにおいて所定の機能を使用できない。

そこで、画像処理装置３ＭＡは、例えば、以下の２つの方法の一方を行うことによってユーザＢの認証を行う。これにより、ユーザＢは、画像処理装置３ＭＡにおいて所定の機能を使用可能となる。

第１の方法では、画像処理装置３ＭＡは、ユーザＢの生体情報（第１の生体情報）を画像処理装置３ＭＢからインポートする。そして、画像処理装置３ＭＢは、自己が検出したユーザＢの生体情報（第２の生体情報）と、インポートしたユーザＢの生体情報とを比較して認証を行う。

第２の方法では、画像処理装置３ＭＡは、自己が検出したユーザＢの生体情報（第２の生体情報）を画像処理装置３ＭＢへエクスポートする。そして、画像処理装置３ＭＢは、エクスポートされたユーザＢの生体情報と、自己が保存しているユーザＢの生体情報（第１の生体情報）とを比較して認証を行う。その後、画像処理装置３ＭＢは、認証結果を画像処理装置３ＭＡへ通知する。

上記のように認証がなされることによって、既述のとおり、ユーザＢは、自己の生体情報（第１の生体情報）が登録されている画像処理装置３ＭＢだけでなく、画像処理装置３ＭＡ（換言すれば他の画像処理装置３）においても、所定の機能の制限を解除することができる。その結果、例えば、ユーザＢの利便性が向上する。また、例えば、各画像処理装置３は、全てのユーザについて、生体情報を保持しなくてもよいから、各画像処理装置３の記憶容量が節約される。さらに、例えば、生体情報は、必要に応じてインポート（エクスポート）されればよいから、常にサーバに生体情報がエクスポートされる態様に比較して、ネットワーク１０の負担が軽減される。

画像処理装置３ＭＡの上記動作は、画像処理装置３ＭＡ以外の画像処理装置３において可能であってもよいし、可能でなくてもよい。同様に、画像処理装置３ＭＢの上記動作は、画像処理装置３ＭＢ以外の画像処理装置３において可能であってもよいし、可能でなくてもよい。また、画像処理装置３は、例えば、第１の方法および第２の方法の一方のみを実行可能に構成されていてもよいし、双方を選択的に実行可能に構成されていてもよい。

以上が実施形態の概要である。以下では、概略、下記の順に説明を行う。以下において、第１実施形態は、上記の第１の方法に対応し、第２実施形態は、上記の第２の方法に対応する。第３実施形態は、第１実施形態または第２実施形態の一部を変更した態様である。
１．通信システム１全般（図２）
１．１．通信システム１が利用する情報
１．１．１．生体情報
１．１．２．アカウント情報
１．１．３．認証用情報
１．２．通信システム１の全体の構成
１．３．各通信機器の概要
１．４．通信機器の接続態様
２．画像処理装置３の構成（図３）
２．１．画像処理装置３の全体の構成
２．２．プリンタ
２．３．スキャナ
２．４．ＵＩ（User Interface）部
２．４．１．操作部
２．４．２．表示部
２．５．生体情報が入力される入力部（検出部）
２．６．通信部
２．７．制御部
２．８．コネクタ
２．９．その他
３．保存される情報
３．１．管理用テーブルＤＴ０
３．２．生体情報の保存
４．第１実施形態
４．１．第１実施形態における動作の概要（図４）
４．２．第１実施形態における画面の例（図５Ａ～図６Ｂ）
４．３．第１実施形態における一部の動作の詳細
４．３．１．インポートされる生体情報に係る制限の例（図７）
４．３．２．インポートされた生体情報の再利用の例（図８）
５．第２実施形態
５．１．第２実施形態における動作の概要（図９）
５．２．第２実施形態における画面の例
５．３．第２実施形態における一部の動作の詳細
５．３．１．エクスポートされる生体情報に係る制限の例（図１０）
５．３．２．エクスポートされた生体情報の再利用の例
６．第３実施形態（図１１）
７．機能制限の解除に係る動作
７．１．機能制限の解除に係る動作全般
７．１．１．制限の解除が制御される機能
７．１．２．機能の制限の態様
７．１．３．認証状態の解除
７．２．機能の制限解除に関する具体例（図１および図１２Ａ）
７．３．機能制限に係るメニュー画面（図１２Ｂ）
７．４．ＶＰＮに関する制限解除（図１３）
８．実施形態のまとめ

なお、実施形態の説明では、特に断り無く、全ての画像処理装置３が、画像処理装置３ＭＡの動作および画像処理装置３ＭＢの動作の双方が可能である態様を例に取ることがある。また、便宜上、上述した説明と同様に、画像処理装置３ＭＢに登録されているユーザＢが画像処理装置３ＭＡを利用する状況を想定して、特に断り無く、画像処理装置３ＭＡおよび３ＭＢならびにユーザＢの符号を付すことがある。また、画像処理装置３ＭＡに登録されているユーザをユーザＡということがある（便宜上、ユーザＡのデータに符号を付す。）。

（１．通信システム全般）
（１．１．通信システムが利用する情報）
（１．１．１．生体情報）
画像処理装置３が認証に利用する生体情報は、種々のものとされてよく、例えば、公知の生体認証に利用されている情報とされてよい。例えば、生体情報は、ユーザの身体的特徴の情報であってもよいし、ユーザの行動的特徴の情報であってもよい。身体的特徴の具体例としては、指紋、掌形、網膜（その血管のパターン等）、虹彩（その濃淡値の分布等）、顔、血管（指等の特定の部位のパターン）、耳形、音声（声紋等）および体臭を挙げることができる。行動的特徴としては、例えば、筆跡を挙げることができる。

（１．１．２．アカウント情報）
アカウント情報は、例えば、ユーザを識別するための情報（以下、「ＩＤ」と略して呼称することがある。）を含む。また、アカウント情報は、パスワードを含んでもよい。実施形態の説明では、特に断り無く、アカウント情報がＩＤおよびパスワードを含む態様を例に取ることがある。ただし、矛盾等が生じない限り、アカウント情報の語は、ＩＤの語（パスワードを付帯しない）に置換されてもよいし、ＩＤおよびパスワードの語に置換されてもよい。

（１．１．３．認証用情報）
実施形態の説明では、ユーザの正当性を示すための情報を認証用情報と称することがある。生体情報およびアカウント情報は、認証用情報の一種である。実施形態に係る通信システム１では、生体情報およびアカウント情報に加えて、または代えて、他の認証用情報が利用されてもよい。なお、第３実施形態の説明では、認証用情報の語は、管理用テーブルＤＴ０に記憶される生体情報を除く、他の認証用情報を指すことがある。

認証用情報としては、生体情報およびアカウント情報の他、静的鍵、共通鍵、秘密鍵（もしくは公開鍵）および電子証明書が挙げられる。これらの例示から理解されるように、認証用情報は、認証を要求する通信機器（例えば画像処理装置３ＭＡ）から認証を行う通信機器（例えば画像処理装置３ＭＢ）へ送信される情報自体であってもよいし、認証を行う通信機器へ送信される情報を生成するときに利用されるものであってもよい。前者としては、アカウント情報、静的鍵、電子証明書、セキュリティートークンから得られる情報および生体情報を挙げることができる。後者としては、共通鍵ならびに秘密鍵（もしくは公開鍵）を挙げることができる。前者と後者の双方が認証用情報として利用されてもよい。

なお、送信される情報自体としての認証用情報と、認証用情報に基づいて生成されて送信される情報との上位概念として、「認証用情報に基づく情報」の語を用いることがある。

これまでの説明から理解されるように、認証を要求する通信機器が記憶している認証用情報と、認証を行う通信機器が記憶している認証用情報とは、同じ情報でなくて構わない。また、認証を要求する通信機器が記憶している認証用情報は、適宜に加工されて認証を行う通信機器へ送信されてもよい。そのような態様の一種として、チャレンジレスポンス認証が行われてもよい。

なお、実施形態の説明では、特に断りがない限り、また、矛盾等が生じない限り、加工前の認証用情報と加工後の認証用情報とは同じものとして表現される。換言すれば、情報の形式および／または精度の相違は無視し、ユーザの正当性を示す情報内容が同一であれば、同一の情報として表現する。従って、例えば、第１の通信機器が記憶している認証用情報と、第２の通信機器が記憶している認証用情報とが一致するという場合、実際には、第１の通信機器から第２の通信機器への送信の過程で認証用情報が加工され、第１の通信機器が記憶している認証用情報と、第２の通信機器が記憶している認証用情報とは、形式等において異なっていてもよい。

実施形態の説明では、認証用情報として、主として、アカウント情報を例にとる。また、特に断り無く、認証用情報がアカウント情報であることを前提とした説明を行うことがある。

（１．２．通信システムの全体の構成）
図１の説明から理解されるように、通信システム１は、少なくとも２つの画像処理装置３を有している。２つの画像処理装置３は、種々の構成とされてよく、また、２つの画像処理装置３を接続するネットワーク１０の構成も任意である。

図２は、各画像処理装置３およびネットワーク１０の構成の例を説明するための図である。

図２では、３つの画像処理装置３Ａ～３Ｃが例示されている。３つの画像処理装置３Ａ～３Ｃは、例えば、パブリックネットワーク１１ならびにプライベートネットワーク１３Ａおよび１３Ｂに対する位置付けが互いに異なっている。通信システム１が含む２つの画像処理装置３ＭＡおよび３ＭＢのそれぞれは、例えば、図２に示す画像処理装置３Ａ～３Ｃのいずれかの態様とされてよい。

例えば、２つの画像処理装置３Ｃが設けられ、この２つの画像処理装置３Ｃが画像処理装置３ＭＡおよび３ＭＢとされてよい。換言すれば、ネットワーク１０は、プライベートネットワーク１３Ａであってよい。また、例えば、画像処理装置３Ａおよび３Ｃが画像処理装置３ＭＡおよび３ＭＢとされてもよい。換言すれば、ネットワーク１０は、プライベートネットワーク１３Ａおよびパブリックネットワーク１１を含んでよい。画像処理装置３ＭＡおよび３ＭＢのネットワークとの関係における構成については、後に１．４節で補足する。

なお、画像処理装置３Ａおよび３Ｃが画像処理装置３ＭＡおよび３ＭＢであってよいことから理解されるように、図２は、通信システム１を示す図として捉えられても構わない。以下では、便宜上、図２に示された構成を通信システム１と称することがある。

通信システム１は、適宜に画像処理装置３以外の通信機器を有してよい。図１では、サーバ５および７、ならびに端末９Ａ、９Ｂおよび９Ｃが例示されている。以下では、端末９Ａ～９Ｃを区別せずに端末９（代表して端末９Ａに符号を付す。）と称することがある。

なお、通信システム１は、既述のとおり、少なくとも２つの画像処理装置３（３ＭＡおよび３ＭＢ）のみによって定義されてよい。また、通信システム１は、画像処理装置３ＭＡと通信可能な画像処理装置３ＭＢ以外の通信機器（例えばサーバ５および７ならびに端末９）を含んで定義されてもよい。さらに、通信システム１は、２つの画像処理装置３ＭＡおよび３ＭＢを含むプライベートネットワーク（１３Ａまたは１３Ｂ）を含んで定義されてもよい。ただし、いずれにせよ、通信システム１は、パブリックネットワーク１１を除いて定義されてよい。

（１．３．各通信機器の概要）
画像処理装置３は、既述のように、プリンタおよびスキャナの少なくとも一方を含む。以下の説明では、主として、画像処理装置３がプリンタおよびスキャナの双方を含む態様を例に取る。画像処理装置３は、複合機（ＭＦＰ：multi-function product/printer/peripheral）であってもよいし、複合機でなくてもよい。なお、図面においては、便宜上、画像処理装置３を「ＭＦＰ」と表記することがある。画像処理装置３は、例えば、印刷、スキャン、コピー、ＦＡＸ送信およびＦＡＸ受信の１つ以上（ただし、これらは必ずしも分離できる概念ではない。）を実行可能であってよい。

画像処理装置３の運用方法（別の観点では社会的位置付け）は任意である。例えば、画像処理装置３Ａは、コンビニエンスストア等の店舗に設置されて不特定多数のユーザに利用されてよい。画像処理装置３Ｂは、個人宅に設置されて特定かつ少数（例えば１人）のユーザに利用されてよい。画像処理装置３Ｃは、会社に設置されて特定かつ複数のユーザに利用されてよい。

サーバ５は、例えば、第３実施形態（６節）で説明するように、画像処理装置３を利用するユーザの認証に寄与してよい。また、例えば、サーバ５は、ＶＰＮサーバとして機能してよい（７．４節）。また、例えば、サーバ５は、プライベートネットワーク１３Ａに関してＥＣＭ（Enterprise Content Management）を行ってもよい。また、サーバ５は、図１の例とは異なり、ユーザ毎の機能の制限に関する情報を保持して、画像処理装置３における機能の制限の制御を補助してもよい。

サーバ７は、種々のサービスを行うものであってよい。例えば、サーバ７は、ファイルサーバ、メールサーバおよび／またはウェブサーバであってよい。画像処理装置３に係る動作に着目した場合、ファイルサーバは、例えば、画像処理装置３によって印刷される画像のデータ、または画像処理装置３によってスキャンされたデータを記憶してよい。メールサーバは、画像処理装置３によって印刷されるメール、または画像処理装置３によってスキャンされた画像を含むメールを配送してよい。ウェブサーバは、画像処理装置３との通信を通じて行われるウェブサービスを実行してよい。

図２では、サーバ５および７それぞれは、１台のコンピュータによって表現されている。ただし、１つのサーバは、分散されて配置された複数のコンピュータによって実現されて構わない。１つのサーバを構成する複数のコンピュータは、直接に接続されたり、１つのＬＡＮに含まれたり、互いに異なるＬＡＮに含まれたりしてよい。なお、サーバ５および７は、１台のコンピュータによって構成されてもよい。また、サーバ５および７は、１台のコンピュータによって構成されているか否かに関わらず、１つのサーバとして捉えられてもよい。

端末９は、適宜な種類のものとされてよい。図２では、端末９Ａおよび９Ｂは、ラップトップ型のＰＣ（パーソナルコンピュータ）として描かれている。端末９Ｃは、スマートフォンとして描かれている。この他、端末９は、例えば、デスクトップ型ＰＣまたはタブレット型ＰＣであってよい。端末９の運用方法は任意である。例えば、端末９は、会社所有の端末または個人所有の端末のように、特定かつ１人以上のユーザに利用されるものであってもよいし、インターネットカフェの端末のように、不特定かつ多数のユーザに利用されるものであってもよい。

（１．４．通信機器の接続態様）
パブリックネットワーク１１は、外部（例えば不特定多数の通信機器）へ公開されているネットワークである。その具体的な態様は、適宜なものとされてよい。例えば、パブリックネットワーク１１は、インターネット、通信業者等が提供する閉域ネットワーク、および／または公衆電話網を含んでよい。

プライベートネットワーク１３Ａおよび１３Ｂは、外部へ非公開のネットワークである。プライベートネットワーク１３Ａおよび／または１３Ｂは、例えば、ＬＡＮであってよい。ＬＡＮは、例えば、同一建築物内におけるネットワークであってよい。ＬＡＮとしては、例えば、イーサネット（登録商標）およびＷｉ－Ｆｉ（登録商標）を利用したものを挙げることができる。また、プライベートネットワーク１３Ａおよび／または１３Ｂは、イントラネットであってよい。

通信機器（例えば画像処理装置３）による信号の送信および／または受信は、有線を介したものであってもよいし、無線で行われるものであってもよい。また、通信機器（例えば画像処理装置３）は、プライベートネットワークに含まれずに、パブリックネットワーク１１と通信を行ってもよいし、プライベートネットワークに含まれてもよい。プライベートネットワークに含まれる通信機器（例えば画像処理装置３）は、プライベートネットワーク内の通信のみを行ってもよいし、プライベートネットワークを介してパブリックネットワーク１１と通信を行ってもよい。

上記のように、複数の通信機器は、種々の態様で互いに接続されてよい。図２の例では、以下のとおりである。

画像処理装置３Ａは、プライベートネットワークを構築していない。画像処理装置３Ａは、不図示のルータ等を含むことによって、またはルータ等と接続されることによって、プライベートネットワークを介さずにパブリックネットワーク１１と通信可能となっている。画像処理装置３Ａは、当該画像処理装置３Ａに直接的に有線で接続された端末９（図１では不図示）と通信可能であってよい。また、画像処理装置３Ａは、当該画像処理装置３Ａの近傍に配置された端末９（図２では不図示）と近距離無線通信が可能であってよい。

画像処理装置３Ｂおよび端末９Ｂは、プライベートネットワーク１３Ｂによって互いに接続されている。より詳細には、両者は、ルータ１５（そのハブ）を介して接続されている。画像処理装置３Ｂおよび端末９Ｂは、ルータ１５等を介してパブリックネットワーク１１と通信可能である。

画像処理装置３Ｃ、サーバ５、サーバ７および端末９Ａは、プライベートネットワーク１３Ａによって互いに接続されている。画像処理装置３Ｃ、サーバ７および端末９Ａは、例えば、サーバ５を介してパブリックネットワーク１１と通信可能である。サーバ５は、ルータ等を含んでいてもよいし、サーバ５とパブリックネットワーク１１との間に不図示のルータ等が設けられていてもよい。

端末９Ｃは、例えば、無線による公衆電話網との通信を行う。ひいては、端末９Ｃは、公衆電話網を含むパブリックネットワーク１１と通信を行う。

実施形態に係る認証を行う２つの画像処理装置３ＭＡおよび３ＭＢは、例えば、同一のプライベートネットワーク１３Ａに含まれる２つの画像処理装置３Ｃとされてよい。また、画像処理装置３ＭＡおよび３ＭＢは、同一のＶＰＮに含まれる２つの画像処理装置３とされてよい。この場合、画像処理装置３ＭＡおよび３ＭＢのそれぞれは、画像処理装置３Ａ～３Ｃのいずれであってもよい。また、画像処理装置３ＭＡおよび３ＭＢは、パブリックネットワーク１１（ＶＰＮではない）を介して接続される２つの画像処理装置３とされてもよい。この場合も、画像処理装置３ＭＡおよび３ＭＢのそれぞれは、画像処理装置３Ａ～３Ｃのいずれであってもよい。

なお、２つの画像処理装置３ＭＡおよび３ＭＢが同一のＶＰＮに含まれる態様では、例えば、実施形態に係る生体認証の前（生体情報のインポートまたはエクスポートの前）に、上記生体情報とは別の認証用情報を用いた認証が成功した場合に画像処理装置３ＭＡおよび３ＭＢのＶＰＮ接続がなされてよい。ＶＰＮ接続のための認証では、個々のユーザの認証用情報または画像処理装置３に割り当てられた認証用情報が用いられてよい。上記とは異なり、実施形態に係る生体認証によって、または当該生体認証の後に別の認証によって、パブリックネットワーク１１を介して接続されている画像処理装置３ＭＡおよび３ＭＢがＶＰＮ接続される態様は、画像処理装置３ＭＡおよび３ＭＢがパブリックネットワーク１１（ＶＰＮではない）を介して接続されている態様と捉えられてよい。

これまでの説明から理解されるように、画像処理装置３ＭＡおよび３ＭＢが相互に通信（例えば生体情報のインポートおよびエクスポート）を行うとき、サーバ５等の他の通信機器が介在してもよいし、介在しなくてもよい。実施形態の説明では、便宜上、サーバ５等の他の通信機器が介在する場合であっても、画像処理装置３ＭＡおよび３ＭＢが互いに直接的に通信を行っているような表現を用いることがある。

通信機器の接続態様と、通信機器の運用方法（別の観点では社会的な位置付け）との関係は任意である。例えば、プライベートネットワークに含まれていない画像処理装置３Ａは、既述の説明のように店舗に設置されて不特定多数のユーザに利用されてもよいし、既述の説明とは異なり、会社に設置されて特定のユーザに利用されてもよい。また、例えば、プライベートネットワーク１３Ｂに含まれている画像処理装置３Ｂは、既述の説明のように個人宅に設置されて特定かつ少数のユーザに利用されてもよいし、既述の説明とは異なり、インターネットカフェに設置されて不特定多数のユーザに利用されてもよい。

ただし、実施形態の説明（例えば図４～図６Ｂの説明）では、便宜上、画像処理装置３ＭＡおよび３ＭＢが同一の会社の互いに異なる部署に配置されている状況を想定した表現をすることがある。この場合、画像処理装置３ＭＡおよび３ＭＢは、例えば、同一のプライベートネットワーク１３Ａに含まれたり、同一のＶＰＮに含まれたりしていてよく、また、パブリックネットワーク１１（ＶＰＮではない）を介して接続されていても構わない。

（２．画像処理装置の構成）
（２．１．画像処理装置の全体の構成）
図３は、画像処理装置３の信号処理系に係るハードウェア構成を示す模式図である。

図２および図３に示すように、画像処理装置３は、例えば、以下の構成要素を有している。画像処理装置３の外形を構成している筐体１７（図２）。印刷を行うプリンタ１９。スキャンを行うスキャナ２１（イメージスキャナ）。ユーザの操作の受け付ける、および／またはユーザへの情報の提示を行うＵＩ部２３。ユーザの生体情報を検出する検出部２５。通信を行う通信部２７（図３）。各部（１９、２１、２３、２５および２７）の制御を行う制御部２９（図３）。画像処理装置３に適宜なデバイスを接続するためのコネクタ３７（図３）。なお、以下では、プリンタ１９および／またはスキャナ２１を画像処理部３１（符号は図３）ということがある。

上記の構成要素は、図示の例のように、一部または全部が互いに共有されていてもよい（または、そのように捉えられてよい。）。例えば、筐体１７は、プリンタ１９またはスキャナ２１の一部として捉えられて構わない。本実施形態の説明において、制御部２９は、画像処理装置３の全ての動作（例えば印刷およびスキャンを含む）の制御を行う概念的に１つの制御部である（ハードウェア的には複数に分散されていてよい。）。この場合において、制御部２９によって制御される対象（１９、２１、２３、２５および２７）は、制御部を含まない機構的な部分のみによって概念されてもよいし、制御部（制御部２９の一部）を含んで概念されてもよい。

筐体１７以外の構成要素（１９、２１、２３、２５、２７および２９。以下、本２．１節において、構成要素の語は、このような筐体１７以外の構成要素を指す。）は、筐体１７に設けられている。別の表現または別の観点では、筐体１７は、複数の構成要素を保持している、もしくは支持している、または、複数の構成要素に機械的に接続されている、もしくは結合されている、ということができる。また、複数の構成要素は、筐体１７に設けられていることによって、互いに一体的に設けられているということができる。なお、既述の説明から理解されるように、構成要素が筐体１７に設けられている等というとき、筐体１７は、構成要素の一部として捉えられる態様であってもよい。

画像処理装置３が構成要素を有しているというとき、例えば、典型的には、構成要素および筐体１７は、互いに固定されている（もちろん可動部分は除く。）。ひいては、構成要素同士も互いに固定されている。また、例えば、ねじを外すことなどによって画像処理装置３を分解しない限りは、構成要素および筐体１７は互いに分離して異なる場所に配置することはできない。ひいては、構成要素同士も互いに分離して異なる場所に配置することはできない。ただし、上記の例とは異なり、画像処理装置３が構成要素を有しているというとき、構成要素は、筐体１７に対して着脱可能であってもよい。図３では、筐体１７に設けられている検出部２５が示されている一方で、当該検出部２５とは別の例に係る検出部２５Ａとして、コネクタ３７に着脱されるものが点線で示されている。

構成要素が筐体１７に設けられているというときの具体的な位置関係は任意である。例えば、構成要素は、筐体１７内に収容されていてもよいし、筐体１７の壁面に一体的に設けられていてもよいし、筐体１７の壁面から突出していてもよいし、筐体１７に対する向きおよび／または位置が可変となっていてもよい。図示の例では、プリンタ１９、スキャナ２１、通信部２７および制御部２９は、筐体１７に収容されていると捉えられてよい。また、ＵＩ部２３および検出部２５は、筐体１７の壁面に一体的に設けられていると捉えられてよい。

画像処理装置３（別の観点では筐体１７）の大きさおよび形状は任意である。例えば、画像処理装置３は、家庭用の複合機またはプリンタのように１人の人間が運搬可能な大きさ（質量）を有していてもよいし（画像処理装置３Ｂのイラスト参照）、業務用の複合機またはプリンタのように１人の人間が運搬不可能な大きさ（質量）を有していてもよい（画像処理装置３Ａおよび３Ｃのイラスト参照）。

図示の例とは異なり、画像処理装置３は、会社（オフィス）または個人宅に配置される一般的な複合機またはプリンタとは概念が大きく異なるものであってもよい。例えば、プリンタ１９は、ロール紙に印刷を行うものであってもよい。画像処理装置３は、ロボットを含んで構成され、インクジェットヘッドによって車体等に塗装を行うものであってもよい。画像処理装置３は、片手で持つことができる大きさとされ、画像処理装置３自体が媒体に対して走査されて印刷および／またはスキャンを行うものであってもよい。

（２．２．プリンタ）
プリンタ１９は、例えば、筐体１７内または筐体１７から外部へ突出するトレイに配置された枚葉紙に印刷を行い、印刷後の枚葉紙を排出するように構成されている。プリンタ１９の具体的な構成は、種々の構成とされてよく、例えば、公知の構成と同様とされても構わない。

例えば、プリンタ１９は、インクを吐出して印刷を行うインクジェットプリンタであってもよいし、感熱紙またはインクリボンを加熱して印刷を行うサーマルプリンタであってもよいし、光が照射された感光体に付着したトナーを転写する電子写真式プリンタ（例えばレーザープリンタ）であってもよい。インクジェットプリンタは、圧電体によってインクに圧力を付与するピエゾ式であってもよいし、熱が付与されたインクに生じる気泡によってインクに圧力を付与するサーマル式であってもよい。

また、例えば、プリンタ１９は、ヘッドが枚葉紙の幅（枚葉紙の搬送方向に交差する方向）に亘る長さを有するラインプリンタであってもよいし、ヘッドが枚葉紙の幅方向に移動するシリアルプリンタであってもよい。プリンタ１９は、カラープリンタであってもよいし、モノクロプリンタであってもよい。プリンタ１９は、任意の画像を形成できるものであってもよいし、文字のみを印刷できるものであってもよい。

（２．３．スキャナ）
スキャナ２１は、例えば、筐体１７の上面から露出する原稿ガラス（図２では蓋に隠れている）下にて原稿ガラスに沿って移動する複数の撮像素子（不図示）によって原稿ガラス上に配置された原稿を撮像してスキャンを行う。スキャナ２１の構成も種々の構成とされてよく、例えば、公知の構成と同様とされても構わない。

（２．４．ＵＩ部）
ＵＩ部２３の構成は任意である。例えば、ＵＩ部２３は、ユーザの操作を受け付ける操作部３３（符号は図３）と、ユーザに視覚的に情報を提示する表示部３５（符号は図３）とを有している。なお、ＵＩ部２３は設けられなくてもよいし、操作部３３および表示部３５のうち一方のみを有していてもよい。また、ＵＩ部２３は、音響によってユーザに情報を提示する音響部を有していてもよい。ＵＩ部２３は、実施形態の説明とは異なり、コネクタ３７を含んで定義されてもよい。コネクタ３７にデバイスを接続することが画像処理装置３への指示の入力の一種となることがあるからである。

（２．４．１．操作部）
操作部３３の構成は任意である。操作部３３は、例えば、ユーザの接触による操作を受け付ける。このような操作部３３としては、例えば、タッチパネルおよび／または１以上のボタンを含むものを挙げることができる。図２では、画像処理装置３Ａおよび３Ｃの操作部３３の少なくとも一部としてタッチパネル（符号省略）を例示している。また、画像処理装置３Ｂの操作部３３の少なくとも一部としてボタン３３ａを例示している。ボタン３３ａは、押しボタンであってもよいし、タッチボタンであってもよいし、その他のボタンであってもよい。タッチボタンは、静電容量式のタッチボタンであってもよいし、その他のタッチボタンであってもよい。もちろん、画像処理装置３Ａおよび３Ｃがボタンを有していてもよいし、画像処理装置３Ｂがタッチパネルを有していてもよい。なお、操作部３３は、音声操作などの他の方式の操作を受け付けるものであってもよい。

操作部３３は、種々の目的で利用されてよい。典型的には、操作部３３は、画像処理部３１に係る処理の実行を画像処理装置３に指示するために利用される。例えば、操作部３３に対する操作によって、印刷、スキャンおよびコピーが行われたり、これらの動作に係る設定（例えば用紙選択、倍率、濃度および／または色などの設定）が行われたりする。この他、例えば、操作部３３に対する操作によって、データへのアクセス、データの送受信、および認証用情報の入力がなされてよい。

（２．４．２．表示部）
表示部３５の構成は任意である。例えば、表示部３５は、任意の画像を表示可能なディスプレイ、任意の文字のみを表示可能なディスプレイ、特定の文字および／または特定の図形のみを表示可能なディスプレイ、ならびに表示灯の少なくともいずれか１つを含んでよい。ここでの画像は、文字を含む概念である。任意の画像または任意の文字を表示するディスプレイとしては、例えば、規則的に配列された比較的多数の画素を有する液晶ディスプレイまたは有機ＥＬ（Electro Luminescence）ディスプレイを挙げることができる。また、特定の文字および／または特定の図形を表示するディスプレイとしては、画素の数および／または形状が限定的な液晶ディスプレイ、または７セグメントディスプレイのようなセグメントディスプレイを挙げることができる。セグメントディスプレイは、液晶ディスプレイを含む種々の態様とされてよい。表示灯としては、例えば、ＬＥＤ（Light Emitting Diode）を含むものを挙げることができる。表示灯は、適宜な数で設けられてよい。なお、以下の説明では、便宜上、表示部３５が任意の画像を表示可能であることを前提とした表現をすることがある。

（２．５．生体情報が入力される入力部（検出部））
画像処理装置３は、既述のとおり、生体情報を検出する検出部２５を有している。ただし、画像処理装置３は、検出部２５を有していなくてもよい。例えば、画像処理装置３と端末９との間の近距離無線通信においてセキュアな接続を確立する。この状態で、端末９によって生体情報を検出し、検出した生体情報を画像処理装置３に送信してよい。これにより、生体情報は、端末９と通信を行っている通信部２７に入力されてよい。このような通信部２７および検出部２５の上位概念として、生体情報が入力される「入力部」という用語を用いることがある。入力部は、生体情報が直接的に入力されるもの（検出部２５）、または生体情報が間接的に入力されるもの（通信部２７）であってよい。

実施形態の説明では、基本的に、入力部が検出部２５である態様を例に取る。検出部２５の構成等は、例えば、以下のとおりである。

上述したように、認証に利用される生体情報は、種々のものとされてよい。従って、検出部２５の構成も種々のものとされてよい。また、同一種類の生体情報に関しても、種々の検出部２５が利用されてよい。検出部２５の基本的構成は、公知のものと同様とされて構わない。

例えば、検出部２５は、生体情報に係る画像を取得するものであってよい。画像の取得により得られる生体情報としては、例えば、指紋、掌形、網膜、虹彩、顔、血管および耳形が挙げられる。画像を取得する検出部２５の典型例として、光学式のものを挙げることができる。光学式の検出部２５は、光を検出する撮像素子を含む。撮像素子が検出対象とする光（換言すれば波長域）は、可視光または可視光以外（例えば赤外光）であってよい。検出部２５は、撮像素子によって検出される波長域の光を生体に照射する照明部を有していてもよいし、有していなくてもよい。画像は、２値画像、グレースケール画像またはカラー画像であってよい。

また、画像を取得する検出部２５は、超音波式のものであってもよい。超音波式の検出部２５は、超音波の送信および受信を行う超音波素子を含む。医療用の超音波診断装置から理解されるように、超音波素子を含む検出部２５によって、生体の表面および／または内部の形状に係る画像を取得することができる。より詳細には、検出部２５は、超音波を生体に向けて送信し、その反射波を受信する。送信から受信までの時間に基づいて超音波素子からの距離（すなわち生体の形状）を反映した画像が取得される。

また、画像を取得する検出部２５は、静電容量式のものであってもよい。静電容量式の検出部２５は、生体が接触するパネルと、パネルの背後にパネルに沿って配置された複数の電極とを有する。生体の一部（例えば指）がパネル上に配置されたとき、接触している位置（体表の凸部の位置）の電極において生じる電荷と、生体が接触していない位置（体表の凹部の位置）における電極において生じる電荷とは相違する。この相違に基づいて、体表の凹凸（例えば指紋）の画像が取得される。

画像を取得する検出部２５は、ライン状の画像の取得を該ライン状の画像の短手方向に順次行う（すなわち走査を行う）ことによって２次元画像を取得するものであってもよいし、そのような走査を行わずに、実質的に１回で２次元画像を取得するものであってもよい。走査は、検出部２５の動作によって実現されてもよいし、生体が検出部２５に対して移動されることによって実現されてもよい。前者としては、例えば、撮像素子または超音波素子を含むキャリッジが移動する態様を挙げることができる。また、複数の超音波素子は、機械的に移動しない電子式の走査を行うこともできる。

画像を取得する構成以外の検出部２５としては、例えば、音声を取得するマイクロフォンを含むものを挙げることができる。これにより、生体情報としての音声（例えば声紋）の情報が取得される。また、例えば、他の検出部２５としては、タッチペンによる筆記を受け付けるタッチパネルを挙げることができる。これにより、生体情報としての筆跡の情報が取得される。

検出部２５は、生体情報の取得以外の用途に利用されて構わない。別の観点では、検出部２５は、画像処理装置３において生体情報の取得以外の目的で設けられた構成要素によって実現されても構わない。あるいは、検出部２５は、他の構成要素と構造的に一体不可分に組み合わされていてもよい。

例えば、画像を取得する検出部２５は、図示の例とは異なり、スキャナ２１によって実現されても構わない。すなわち、画像処理装置がスキャナおよび検出部を有するというとき、両者は同一の構成要素であっても構わない。検出部２５（画像を取得するものに限定されない。）と共用される構成要素が他のものである場合も同様である。

また、例えば、検出部２５は、操作部３３に含まれるボタンに指を置くと指紋が検出されるようにボタンと共用されていてもよい。このようなボタンおよび検出部２５としては、例えば、上述した静電容量式の検出部２５を挙げることができる。ボタンの操作は、上述した複数の電極を含むセンサによって検出される。また、例えば、筆記の受け付けは、操作部３３が含むタッチパネルによって実現されても構わない。

検出部２５が指紋を読み取るものである場合において、指が置かれる検出面は、抗ウィルス処理が施されていてもよい。例えば、検出面は、板状の部材によって構成されており、この板状の部材の材料は、抗ウィルスの作用を生じる成分を含んでよい。また、例えば、上記の板状の部材等を覆う膜によって検出面が構成され、当該膜は、抗ウィルスの作用を生じる成分を含んでよい。抗ウィルスの作用を生じる成分としては、例えば、一価銅化合物および銀が挙げられる。対象となるウィルスの種類は任意である。検出面の抗ウィルス性は、例えば、ＩＳＯ（International Organization for Standardization）２１７０２に従う試験において、抗ウィルス活性値が２．０以上となるものであってよい。検出面は、抗ウィルス作用に加えて、または代えて、抗菌作用を生じてもよい。

検出部２５の位置および向き等は任意である。例えば、既述の２．１節の説明から理解されるように、検出部２５は、筐体１７に対して固定的であってもよいし、位置および／または向きを変更可能に連結されていてもよいし、筐体１７に対して着脱可能であってもよい。また、例えば、検出部２５（より厳密には、生体情報の読み取りに直接に関わる部分。例えば、指紋を検出するときに指が置かれる検出面。本段落において、以下、同様。）は、ＵＩ部２３に隣接して配置されていてもよいし、ＵＩ部２３から離れていてもよい。

（２．６．通信部）
通信部２７は、例えば、画像処理装置３が他の通信機器と通信を行うためのインターフェースのうち、制御部２９に含まれない部分である。通信部２７は、ハードウェア的な構成要素のみを含んでいてもよいし、ハードウェア的な構成要素に加えて、ソフトウェアによって実現される部分を含んでいてもよい。後者の場合、通信部２７は、制御部２９と明瞭に区別できなくてもよい。

具体的には、例えば、画像処理装置３が有線で外部と接続される場合においては、通信部２７は、ケーブルが接続されるコネクタまたはポートを有してよい。ここでのポートは、コネクタに加えてソフトウェア的な要素を含む概念である。また、例えば、画像処理装置３が無線（例えば電波）で外部と接続される場合においては、通信部２７は、ベースバンドの信号を高周波信号に変換するＲＦ（Radio Frequency）回路と、高周波信号を無線信号に変換するアンテナとを有してよい。また、有線および無線のいずれにおいても、通信部２７は、例えば、増幅器および／またはフィルタを含んでよい。

（２．７．制御部）
制御部２９は、例えば、コンピュータと同様の構成を有している。具体的には、例えば、制御部２９は、ＣＰＵ（Central Processing Unit）３９、ＲＯＭ（Read Only Memory）４１、ＲＡＭ（Random Access Memory）４３および補助記憶装置４５を有している。ＣＰＵ３９がＲＯＭ４１および／または補助記憶装置４５に記憶されているプログラムを実行することによって制御部２９が構築される。なお、制御部２９は、上記のように構築される部分の他、一定の動作のみを行うように構成された論理回路を含んでいてもよい。

（２．８．コネクタ）
コネクタ３７は、例えば、画像処理装置３に周辺機器を接続するためのものである。コネクタ３７の規格は種々のものとされてよいが、例えば、ＵＳＢ（Universal Serial Bus）を挙げることができる。図３では、コネクタ３７に接続される周辺機器として、既述のように、別の例に係る検出部２５Ａが例示されている。この他、コネクタ３７に接続される周辺機器としては、ＵＳＢメモリおよびカードリーダを挙げることができる。

（２．９．その他）
上述した種々の構成要素（１９、２１、２５、２７、３３、３５、３７、３９、４１、４３および４５）は、例えば、バス４７（図３）によって接続されている。図３では、模式的に１本のバス４７に全ての構成要素が接続されている。実際の製品においては、複数のバスが適宜な形式で接続されていてよい。例えば、アドレスバス、データバスおよびコントロールバスが設けられてよい。また、クロスバースイッチおよび／またはリンクバスが適用されてもよい。

図３は、あくまで模式図である。従って、例えば、実際には、各種のデバイス（例えばＣＰＵ）は、分散して複数設けられていてよい。図示のＣＰＵ３９は、プリンタ１９またはスキャナ２１に含まれるＣＰＵを含む概念であってよい。バス４７と各種のデバイス（例えばプリンタ１９またはスキャナ２１）との間には不図示のインターフェースが介在してよい。

図３のブロック図は、画像処理装置３の構成を示すものとして説明された。ただし、図３は、適宜に、サーバ５および７、ならびに端末９の構成を示すブロック図として援用可能である。また、図３に示した構成要素の説明も、矛盾等が生じない限り、サーバ５および７、ならびに端末９の構成要素に援用されてよい。例えば、サーバ５および７、ならびに端末９の構成を示すブロック図は、図３からプリンタ１９およびスキャナ２１を省略したものとされてよい。また、サーバ５および７の構成を示すブロック図は、図３からさらに検出部２５、操作部３３および／または表示部３５を省略したものとされてもよい。

（３．保存される情報）
（３．１．管理用テーブル）
管理用テーブルＤＴ０は、不揮発性メモリ（例えば補助記憶装置４５）に記憶されている。管理用テーブルＤＴ０は、複数のユーザについて、アカウント情報および生体情報等を保持している。ただし、管理用テーブルＤＴ０は、１人のユーザについてのみ、アカウント情報および生体情報等を保持可能であってもよい。このような態様であっても、便宜上、「ユーザ毎」にアカウント情報と生体情報とが対応付けられて保存されていると表現することがある。実施形態の説明では、基本的に、管理用テーブルＤＴ０が複数のユーザの情報を保存可能な態様を例に取り、特に断り無く、そのような態様を前提とした説明を行うことがある。

管理用テーブルＤＴ０が１人のユーザのみの情報を保存する態様の利用態様としては、例えば、画像処理装置３が家庭用のもの（図３の画像処理装置３Ｂのイラスト参照）である態様が挙げられる。この画像処理装置３は、基本的に、１人のユーザのみに利用されることが想定されてよい。そして、例外的に他のユーザが利用するときに、他の画像処理装置３から他のユーザの生体情報（第１の生体情報）がインポートされたり、他の画像処理装置３へ他のユーザの生体情報（第２の生体情報）がエクスポートされたりしてよい。

管理用テーブルＤＴ０は、１つのアカウント情報に対して、２以上の生体情報を対応付けて記憶可能であってよい。ただし、実施形態の説明では、便宜上、特に断り無く、１つのアカウント情報に対して１つの生体情報が対応付けられる態様を例に取ることがある。

２以上の生体情報は、例えば、１人のユーザの互いに異なる生体情報であってよい。そのような生体情報としては、例えば、互いに異なる指の指紋、または同一の指の互いに異なる時期に取得された指紋が挙げられる。前者の場合においては、例えば、怪我または加齢等に起因して１つの指での認証が失敗したときに他の指で認証を行うことができる。後者の場合においては加齢等に起因して生体情報が変化したときに認証が失敗する蓋然性が低減される。

また、２以上の生体情報は、図１に例示したように、２種以上の生体情報であってよい。２種以上の生体情報としては、種々の生体情報（１．１．１節を参照）のうちの２以上のものが適宜に選択されてよい。２種以上の生体情報が登録可能である場合、例えば、上記と同様に、不正行為以外の何らかの事情で１種類の生体情報で認証に失敗したときに、他の生体情報によって認証を行うことができ、ユーザの利便性が向上する。

なお、互いに異なる指の指紋も互いに種類が異なる生体情報と捉えることが可能である。ただし、互いに異なる指の指紋に関しては、検出部２５の構成および検出した生の情報の処理方法が互いに同じである。従って、実施形態の説明では、互いに異なる指の指紋は、同一の種類の生体情報として捉える。換言すれば、互いに種類が異なる生体情報は、例えば、検出部２５の構成および検出した情報の処理方法の少なくとも一方が異なるものである。

２種以上の生体情報は、上記のとおり、例えば、選択的に利用されてよい。すなわち、２種以上の生体情報のうち１種についてのみ認証が行われてよい。この態様では、２種以上の生体情報の全ての生体情報が登録されている必要はない。ただし、２種以上の生体情報は、全ておよび／または少なくとも２種が登録されることが要求されてもよい。さらには、２種以上の生体情報は、認証のときに、その全ておよび／または少なくとも２種が入力されることが要求されてもよい。この場合には、セキュリティが向上する。

２種以上（または２以上）の生体情報の登録が任意であるか、必須であるか、および／または認証のときに２種以上（または２以上）の生体情報が選択的に利用されるか、必須とされるかは、全てのユーザに共通であってもよいし、ユーザによって、および／または権限（制限が解除される機能）によって異なっていてもよい。例えば、一般のユーザに対しては選択的に利用され、管理者に対しては２種（または２以上）以上の生体情報が要求されてよい。

また、１つのアカウント情報に対応付けられる２以上の生体情報は、互いに異なる人物のものであってもよい。すなわち、「ユーザ」は、「人物」に限定されず、「アカウント」（別の観点ではユーザグループ）を含む概念であってよい。

（３．２．生体情報の保存）
画像処理装置３ＭＡにおいて、使用に際して検出部２５によって検出される生体情報（第２の生体情報）は、例えば、揮発性メモリ（例えばＲＡＭ４３）に記憶されてよい。ただし、第２の生体情報は、不揮発性メモリ（例えば補助記憶装置４５）に記憶されても構わない。この第２の生体情報は、適宜な時期（例えば認証完了時）に消去されてよい。

使用に際して画像処理装置３ＭＡが画像処理装置３ＭＢからインポートする生体情報（第１の生体情報）は、例えば、画像処理装置３ＭＡの揮発性メモリ（例えばＲＡＭ４３）に記憶されてよい。ただし、第１の生体情報は、画像処理装置３ＭＡの不揮発性メモリ（例えば補助記憶装置４５）に記憶されても構わない。この第１の生体情報は、適宜な時期（例えば認証完了時）に消去されてよい。

使用に際して画像処理装置３ＭＡが画像処理装置３ＭＢへエクスポートする生体情報（第２の生体情報）は、例えば、画像処理装置３ＭＢの揮発性メモリ（例えばＲＡＭ４３）に記憶されてよい。ただし、第２の生体情報は、画像処理装置３ＭＢの不揮発性メモリ（例えば補助記憶装置４５）に記憶されても構わない。この第２の生体情報は、適宜な時期（例えば認証完了時）に消去されてよい。

生体情報の消去は、生体情報が記憶されていた記憶領域に別の情報を上書きしたり、上記記憶領域を初期化したりするものであってよい。すなわち、生体情報の消去は、生体情報を復元不可能にするものであってよい。また、生体情報の消去は、生体情報が記憶されている記憶領域のアドレスの情報を消去するものであってもよい。すなわち、生体情報は、画像処理装置３における通常の処理によるアクセスが不可能とされ、一方で、専門の業者による生体情報の復元の余地が残されてもよい。

（４．第１実施形態）
第１実施形態は、既述のとおり、画像処理装置３ＭＡがユーザＢの第１の生体情報（登録された生体情報）を画像処理装置３ＭＢからインポートする第１の方法を実行する態様である。具体的には、例えば、以下のとおりである。

（４．１．第１実施形態における動作の概要）
図４は、画像処理装置３ＭＡ（別の観点では制御部２９）が実行する認証に係る手順の概要の一例を示すフローチャートである。なお、図４を含め、種々のフローチャートは、理解が容易になるように動作の手順を概念的に示すものであって、必ずしも実際の手順とは一致していないし、また、正確性を欠いていることもある。

図４の処理によって、画像処理装置３を使用しようとするユーザの認証が行われ、その認証結果に応じて、所定の機能の制限が解除され（ステップＳＴ６またはＳＴ１３）、または所定の機能が制限される（ステップＳＴ７またはＳＴ１４）。ステップＳＴ２～ＳＴ７は、画像処理装置３ＭＡに登録されているユーザＡが画像処理装置３ＭＡを利用する場合の処理の手順を例示している。ステップＳＴ８～ＳＴ１４は、画像処理装置３ＭＡ以外の画像処理装置３（ここでは３ＭＢ）に登録されているユーザＢが画像処理装置３ＭＡを利用する場合の処理の手順を例示している。

図４の処理は、適宜な時期に開始されてよい。例えば、図４の処理は、画像処理装置３ＭＡにおいて、電源が投入されたり、スリープモードから起動モードへの移行がなされたりしたときに開始されてよい。あるいは、図４の処理は、利用が制限されている所定の機能（例えば印刷）をユーザが実行しようとしたときに開始されてよい。なお、実施形態の説明では、特に断り無く、前者を例に取ることがある。

ステップＳＴ１では、画像処理装置３ＭＡは、ユーザに自己の部署（および／または自己が登録されている画像処理装置３）を特定する情報の入力（例えば操作部３３に対する操作）を促す画像を表示部３５に表示する。また、画像処理装置３ＭＡは、上記の入力を受け付ける。

ステップＳＴ２では、画像処理装置３ＭＡは、ステップＳＴ１で入力された情報に基づいて、画像処理装置３ＭＡを利用しようとしているユーザが、他部署のユーザ（別の観点では他の画像処理装置３に登録されているユーザ）か否か判定する。そして、画像処理装置３ＭＡは、否定判定のときはステップＳＴ３に進み、肯定判定のときはステップＳＴ８に進む。

ステップＳＴ３では、画像処理装置３ＭＡは、ユーザに生体情報の入力を促す画像を表示部３５に表示する。ステップＳＴ４では、画像処理装置３ＭＡは、検出部２５によってユーザの生体情報を検出する。

ステップＳＴ５では、画像処理装置３ＭＡは、ステップＳＴ４で検出した生体情報（第２の生体情報）に基づいて生体認証を行う。具体的には、画像処理装置３ＭＡは、第２の生体情報と一致する生体情報（第１の生体情報）が、自己が有している管理用テーブルＤＴ０に登録されているか否か判定する。そして、画像処理装置３ＭＡは、肯定判定のときはステップＳＴ６に進み、否定判定のときはステップＳＴ７に進む。

ステップＳＴ６では、画像処理装置３ＭＡは、所定の機能の制限を解除する。一方、ステップＳＴ７では、画像処理装置３ＭＡは、所定の機能の制限を維持する。ステップＳＴ７で制限される機能は、画像処理装置３ＭＡの種々の機能の一部であってもよいし、全てであってもよい。後者は、換言すれば、画像処理装置３ＭＡの利用自体が禁止される態様である。図４では、前者を想定して、ステップＳＴ７は、「制限付動作」と表記されている。

ステップＳＴ８では、画像処理装置３ＭＡは、ステップＳＴ１でユーザが特定した部署の画像処理装置３ＭＢにアクセスする。別の観点では、画像処理装置３ＭＡは、画像処理装置３ＭＢに対して、画像処理装置３ＭＢに登録されているユーザＢの生体情報（第１の生体情報）のエクスポートを要求する。そして、ステップＳＴ９では、画像処理装置３ＭＢは、ユーザＢの第１の生体情報を受信する（インポートする。）。

ステップＳＴ１０～ＳＴ１４は、ステップＳＴ３～ＳＴ７と同様である。ただし、第１の生体情報（検出された第２の生体情報と比較される登録された生体情報）としては、画像処理装置３ＭＡの管理用テーブルＤＴ０に登録されているものではなく、ステップＳＴ９でインポートしたものが利用される。また、図４では、便宜上、ステップＳＴ１０の前において、ステップＳＴ３に相当するステップの図示は省略されている。また、認証（比較）が画像処理装置３ＭＡで行われることを明記したステップＳＴ１１（ステップＳＴ５の前では図示省略）が図示されている。

画像処理装置３ＭＡにおいて、認証が必要な機能は、１種のみであってもよいし、２種以上であってもよい。また、１回の認証によって、１種の機能を繰り返し実行したり、２種以上の機能を実行したりすることが可能であってよい。ただし、１回の機能の実行ごとに認証が要求されたり、１種の機能ごとに認証が要求されたり、セキュリティレベルが高い機能を実行するときに再度認証が要求されたりしてもよい。

使用に際して取得された生体情報（ステップＳＴ４またはＳＴ１０の生体情報）は、登録されている生体情報との比較が行われた直後に画像処理装置３ＭＡから消去されてよい。ただし、使用に際して取得された生体情報は、その後の適宜な時期（例えば認証状態が解除される時期）まで画像処理装置３ＭＡに記憶されて適宜に利用されても構わない。また、使用に際して取得された生体情報は、登録されている生体情報の更新に利用されてもよい。

ステップＳＴ６とステップＳＴ１３とは互いに同じであるものとして説明した。ただし、両者には、相違があっても構わない。例えば、ステップＳＴ１３では、ステップＳＴ６で制限が解除される特定の機能の制限が解除されなくてもよい。同様に、ステップＳＴ７とステップＳＴ１４は互いに同じであるものとして説明したが、両者に相違があっても構わない。例えば、ステップＳＴ１４では、ステップＳＴ７では制限されない特定の機能の利用が制限されてもよい。

画像処理装置３ＭＡおよび３ＭＢを接続するネットワーク１０の構成が種々の構成でよい旨の既述の説明から理解されるように、ステップＳＴ８およびＳＴ９の通信は適宜なものとされてよい。

例えば、ユーザＢの生体情報のインポート（ステップＳＴ９）は、プライベートネットワーク１３Ａ内のものであってもよいし、パブリックネットワーク１１を介したものであってもよい。後者の場合において、ＶＰＮ接続が利用されてもよいし、利用されなくてもよい。また、ユーザＢの生体情報をインポートするための接続の確立は、ステップＳＴ８またはＳＴ９の段階でなされてもよいし、その以前からなされていてもよい。

また、例えば、画像処理装置３ＭＡおよび３ＭＢが同一のＬＡＮ内に含まれる態様（あるいは他の態様）では、上記の説明とは異なり、画像処理装置３ＭＡは、画像処理装置３ＭＢを特定せずに、ＬＡＮ内の全ての通信機器にユーザＢの第１の生体情報のエクスポートを要求してよい。そして、該当する通信機器（ユーザＢの生体情報を登録している画像処理装置３ＭＢ）が、その要求に応じてよい。

図４に示した手順は適宜に変更されてよい。

例えば、ユーザに自己の部署を特定する情報を入力させる前に、生体情報の入力が要求されてもよい。そして、入力された生体情報が画像処理装置３ＭＡの管理用テーブルＤＴ０に登録されているか否かが判定されてよい（別の観点では認証が行われてよい。）。この認証の成否によって、ユーザが自部署のユーザであるか、他部署のユーザであるかが判定されてよい。そして、認証に失敗した場合に、他部署のユーザに自己の部署を特定する情報を入力させ（もしくは入力させずに）、他の画像処理装置３ＭＢにユーザＢの生体情報のインポートを要求してよい。

（４．２．第１実施形態における画面の例）
図４の処理の実行に際しては、適宜な画像が表示部３５に表示されてよい。以下に例を示す。ここでは、表示部３５がタッチパネルを構成している態様を想定する。図５Ａ～図６Ｃは、表示部３５の画面３５ａに表示される画像の例を示す模式図である。

図５Ａに示す画像ＩＧ１は、例えば、ステップＳＴ１で表示される。画像ＩＧ１は、上段の「ＩＤ、パスワードを入力してください」という表示によってＩＤおよびパスワード（すなわちアカウント情報）の入力をユーザに促している。ユーザは、例えば、「ＩＤ」および「パスワード」に対応付けられた入力欄をタップ等の操作によって選択し、その後、メカニカルスイッチまたはソフトウェアキーボードに対する操作によって文字（数字および記号を含む広い概念であるものとする。）を入力することができる。

また、画像ＩＧ１は、下段に「他部署ユーザ」または「実行」と表示されたボタンを含んでいる。ユーザは、これらのボタンに対して所定の操作（例えばタップ）を行うことによって、次の操作（次の画面）に進むことができる。また、上記ボタンのいずれかの選択によって、ユーザが、画像処理装置３ＭＡが配置されている部署に所属しているのか（換言すれば画像処理装置３ＭＡに登録されているか）、他の部署に所属しているのかの情報が入力される。

そして、「他部署ユーザ」ボタンが選択された場合、ステップＳＴ２で肯定判定がなされることになり、処理は、ステップＳＴ８に進む。一方、「実行」ボタンが選択された場合、ステップＳＴ２で否定判定がなされることになり、処理は、ステップＳＴ３に進む。なお、画像ＩＧ１よりも先に表示される画像（画面）が存在する態様では、その画面に戻るためのボタンが画像ＩＧ１に表示されてもよい。後述する他の画面も同様に、１つ前の画面に戻るためのボタン（不図示）および／または特定の画面に戻るためのボタン（不図示）が配置されてよい。

図５Ｂに示す画像ＩＧ３は、例えば、画像ＩＧ１において「他部署ユーザ」ボタンが選択されたときに表示される。また、画像ＩＧ３は、例えば、ステップＳＴ２で肯定判定がなされた後、かつステップＳＴ８の前の適宜な時期に表示される。画像ＩＧ３では、上段の「他部署ユーザ」の表記によって、他部署ユーザのための画面が表示されていることが示されている。また、画像ＩＧ３では、画像ＩＧ１と同様に、ＩＤおよびパスワードの入力欄が表示されている。また、画像ＩＧ３では、下段に「自部署ＭＦＰ選択」ボタンが表示されている。ユーザは、「自部署ＭＦＰ選択」ボタンに対して所定の操作（例えばタップ）を行うことによって、次の操作（次の画面）に進むことができる。

図５Ｃに示す画像ＩＧ５は、例えば、画像ＩＧ３において「自部署ＭＦＰ選択」ボタンが操作されたときに表示される。また、画像ＩＧ５は、例えば、ステップＳＴ２で肯定判定がなされた後、かつステップＳＴ８の前の適宜な時期に表示される。画像ＩＧ５では、上段の「他部署ユーザ ＭＦＰ選択」および「自部署のＭＦＰを選択してください」の表記によって、他部署のユーザが、自己が所属する部署および／または自己が登録されている画像処理装置３を選択するための画面が表示されていることが示されている。また、画像ＩＧ５では、選択可能な画像処理装置３の一覧が示されている。ユーザは、一覧表示されている画像処理装置３のいずれかを選択する操作（例えばタップ）によって、自己が登録されている画像処理装置３を選択することができる。この選択は、上位概念でいえば、自己が登録されている画像処理装置３を特定する情報の入力である。そして、ユーザは、下段の「ＯＫ」ボタンに対して所定の操作（例えばタップ）を行うことによって、次の操作（次の画面）に進むことができる。

ステップＳＴ８においては、例えば、画像処理装置３ＭＡは、画像ＩＧ５において選択された画像処理装置３（３ＭＢ）に対してユーザの生体情報を要求する。このとき、画像処理装置３ＭＡは、画像ＩＧ１またはＩＧ３で入力されたアカウント情報を画像処理装置３ＭＢへ送信する。ここで送信される情報は、ＩＤのみであってもよいし、ＩＤおよびパスワードの組み合わせであってもよい。画像処理装置３ＭＢは、受信した要求に含まれるアカウント情報と一致するアカウント情報の生体情報を画像処理装置３ＭＡへエクスポートする。

図６Ａに示す画像ＩＧ７は、例えば、画像ＩＧ５において「ＯＫ」ボタンが操作されたときに表示される。また、画像ＩＧ７は、例えば、ステップＳＴ２で肯定判定がなされた後（例えばステップＳＴ９の後）、かつステップＳＴ１０の前の適宜な時期に表示される。画像ＩＧ７では、画像ＩＧ３の上半分と同様の画像に加えて、「生体情報が登録されたＭＦＰ」の欄によって画像ＩＧ５で選択された画像処理装置３（図示の例では「Ｂ部１課」のＭＦＰ「Ｂ０１」）が示されている。また、「指紋を読み取らせてください」の表記によって、生体情報の入力が促されている。なお、上記から理解されるように、ここでは、生体情報として指紋が利用される態様が想定されている。もちろん、生体情報は、指紋以外のものであってよい。ユーザは、指を検出部２５に置くことによって指紋を読み取らせることができる。このときの指は、当然に、登録のときに指紋を読み取らせた指である。なお、ステップＳＴ３では、画像ＩＧ７に類似した画像が表示されてよい。

図６Ｂに示す画像ＩＧ９は、例えば、画像ＩＧ７が表示されている状態で、検出部２５によって生体情報が検出され（ステップＳＴ１０）、認証に成功したとき（ステップＳＴ１２で肯定判定がなされたとき）に表示される。画像ＩＧ９では、画像ＩＧ７の上半分と同様の画像に加えて、「認証完了」の表記によって、認証に成功したことが示されている。ユーザは、「メニューに戻る」ボタンに対して所定の操作（例えばタップ）を行うことによって、画像処理装置３ＭＡの機能を使用するための画面（いわゆるメニュー画面および／またはホーム画面）に進む（または戻る）ことができる。

特に図示しないが、認証に失敗した場合（所定時間に亘って生体情報を検出できなかった場合を含む。）は、例えば、認証に失敗した旨の表示がなされた後に、１つ前の画面または特定の画面（例えば画像ＩＧ１）が表示されてよい。あるいは、認証に失敗した旨の表示とともに、生体情報の再入力（同じ認証方法の再試行）、および特定の画面への戻りなどの選択肢が示されてもよい。画像処理装置３ＭＡにおいて、複数種類の認証方法が可能な態様においては、上記の選択肢に他の認証方法（他の生体情報による認証を含む）への切換えが含まれてもよい。

図示の例では、ユーザの自己申告に基づいて、画像処理装置３ＭＡおよび３ＭＢのいずれに登録されている第１の生体情報が用いられるかが決定されている。また、既述のとおり、画像処理装置３ＭＡの管理用テーブルＤＴ０と、画像処理装置３ＭＢの管理用テーブルＤＴ０とは、一部のユーザが重複していてもよい。従って、例えば、ユーザＢの第１の生体情報が画像処理装置３ＭＡに登録されているにも関わらず、ユーザＢの第１の生体情報が画像処理装置３ＭＢから画像処理装置３ＭＡへインポートされるという状況が生じても構わない。また、画像処理装置３ＭＡは、ユーザＢが他部署ユーザであることを申告していても、インポートする前に、自己の管理用テーブルＤＴ０を参照して、ユーザＢの第１の生体情報の有無をチェックしてもよい。

上記の画面の例は、適宜に具体的な運用がなされたり、変更されたりしてよい。

例えば、画像ＩＧ１（図５Ａ）におけるアカウント情報の入力は、次の画面（図５Ｂ等）へ移るための前提条件とされてもよいし、されなくてもよい。後者の場合、例えば、次の画面（例えば画像ＩＧ３）等でアカウント情報が入力可能であってよい。また、前者の場合は、画像ＩＧ１で「他部署ユーザ」が選択されたときは、図５Ｂを飛ばして、図５Ｃへ移行してもよい。

画像ＩＧ１に関して、ユーザが画像処理装置３ＭＡに登録されているユーザＡである場合においては、アカウント情報の入力は、必須とされてもよいし、必須とされなくてもよい。後者に関連して、アカウント情報が入力されなくても、生体認証が行われるのであれば、画像処理装置３ＭＡは、自己の管理用テーブルＤＴ０を参照して、生体情報からアカウント情報を特定できる。また、図１に例示した管理用テーブルＤＴ０のように、生体情報と機能の制限に関する情報とが直接的に紐付けられているのであれば、ユーザＡのアカウント情報を特定する必要性もない。

上記のように、ユーザＡのアカウント情報が不要とされる態様においては、図５Ａの例とは異なり、アカウント情報の入力を促す情報を無くし、他部署ユーザか否かを申告させる表示のみがなされてもよい。そして、自部署ユーザ（ユーザＡ）であることが申告された場合においてはアカウント情報の入力を促す画像が表示されることなく、生体情報の入力を促す画像が表示されてもよい。また、他部署ユーザ（ユーザＢ）であることが申告された場合においては、アカウント情報の入力を促す画像（例えば図５Ｂの画像ＩＧ３と同様の画像）が表示されてよい。

ユーザが画像処理装置３ＭＡに登録されたユーザＡである場合に、アカウント情報が必須とされる態様においては、例えば、生体認証だけでなく、アカウント情報による認証が行われてもよい。この場合、セキュリティが向上する。

また、画像処理装置３ＭＡにおいて、複数種類の認証方法が可能である態様においては、適宜な時期（ステップＳＴ１よりも前および／または画像ＩＧ１の前）に、認証方法を選択する画像が表示されてもよい。また、図４の説明でも述べたように、先に生体情報の入力を促す画像を表示し、その後、必要に応じて（ユーザが他部署ユーザである場合に）、アカウント情報の入力を促したり、自己が登録されている画像処理装置３を特定する情報の入力を促したりしてよい。

他部署ユーザによる、自己が登録されている画像処理装置３を特定する情報の入力は、一覧からの選択（図５Ｃ）ではなく、画像処理装置３を特定する情報（例えばアドレス）を直接に入力するものであってもよい。

（４．３．第１実施形態における一部の動作の詳細）
（４．３．１．インポートされる生体情報に係る制限の例）
図７は、図４で説明した手順の一部の詳細の一例を示すフローチャートである。より詳細には、図７は、画像処理装置３ＭＡを使用するユーザが画像処理装置３ＭＢに登録されているユーザＢである場合の手順（ステップＳＴ８～ＳＴ１４）の詳細を示している。なお、図７は、図４の処理に類似する他の処理を示していると捉えられてもよい。

図７の処理では、画像処理装置３ＭＡから画像処理装置３ＭＢへユーザＢのアカウント情報が送信され、このアカウント情報による認証が成功した場合のみ、画像処理装置３ＭＡによる画像処理装置３ＭＢからのユーザＢの生体情報（第１の生体情報）のインポートが許容される。また、インポートされた第１の生体情報は、所定の条件が満たされたときに消去される。これらの動作によって、生体情報の意図されていない流出の可能性が低減される。具体的には、以下のとおりである。

図７において、「ＭＦＰ－Ａ」の手順は、画像処理装置３ＭＡ（その制御部２９）が実行する手順を示している。「ＭＦＰ－Ｂ」の手順は、画像処理装置３ＭＢ（その制御部２９）が実行する手順を示している。

ステップＳＴ４１では、画像処理装置３ＭＡは、ユーザＢのアカウント情報を取得する。ここでのアカウント情報は、パスワードを含むもの（認証に利用することができるもの）であるものとする。ステップＳＴ４２では、画像処理装置３ＭＡは、ステップＳＴ４１で取得したアカウント情報を画像処理装置３ＭＢへ送信する。なお、このアカウント情報の送信は、例えば、ステップＳＴ８の生体情報の要求またはその一部であってよい。

なお、これまでの説明から理解されるように、アカウント情報の取得（ステップＳＴ４１）、ユーザＢが登録されている画像処理装置３ＭＢの特定（画像ＩＧ５）、およびユーザＢの生体情報（第２の生体情報）の検出（ステップＳＴ１０）は、どのような順番で行われてもよい。ここでは、画像処理装置３ＭＢの特定は、アカウント情報の送信（ステップＳＴ４２）の前までの適宜な時期に行われているものとし、また、図示を省略する。また、生体情報の検出は、図４と同様に、ユーザＢの生体情報（第１の生体情報）のインポートの後に行われる態様を例に取る。

ステップＳＴ４３では、画像処理装置３ＭＢは、ステップＳＴ４２で受信したアカウント情報に一致するアカウント情報が自己の管理用テーブルＤＴ０に登録されているか否か判定する。すなわち、画像処理装置３ＭＢは、アカウント情報に基づく認証を行う。そして、画像処理装置３ＭＢは、認証に成功した場合は、その一致したアカウント情報に対応付けて記憶されている生体情報（すなわちユーザＢの第１の生体情報）を画像処理装置３ＭＡへエクスポートする（ステップＳＴ４５）。一方、認証に失敗した場合は、画像処理装置３ＭＢは、認証に失敗したことを示す通知を画像処理装置３ＭＡへ送信する（ステップＳＴ４４）。

なお、既述のとおり、実施形態で例示されるフローチャートは、概念的なものである。従って、例えば、ステップＳＴ４５において、実際の処理では、認証に成功したことを示す通知が画像処理装置３ＭＢから画像処理装置３ＭＡへ送信され、その後に生体情報が前者から後者へ送信されてもよい。

ステップＳＴ４６では、画像処理装置３ＭＡは、画像処理装置３ＭＢからの通知（ステップＳＴ４４およびＳＴ４５）に基づいて、画像処理装置３ＭＢにおける認証が成功したか否か判定する。そして、画像処理装置３ＭＡは、肯定判定のとき（換言すればユーザＢの生体情報をインポートできたとき）はステップＳＴ４７に進み、否定判定のときはステップＳＴ５０に進む。ステップＳＴ４７～ＳＴ５０は、図４のステップＳＴ１０～ＳＴ１４と同じものである（ただし、ステップＳＴ１１の図示は省略。）。

ステップＳＴ５１では、画像処理装置３ＭＡは、所定の消去条件が満たされたか否か判定する。そして、画像処理装置３ＭＡは、肯定判定の場合は、ステップＳＴ４５でインポートしたユーザＢの第１の生体情報を消去し（ステップＳＴ５２）、否定判定の場合は、ステップＳＴ５１を繰り返す（待機する。）。

なお、図７では、便宜上、ステップＳＴ５０からステップＳＴ５１に至るルートは、ステップＳＴ４６の否定判定の場合（インポートが行われていない場合）を含んでいる。実際には、インポートされていない場合は、ステップＳＴ５１およびＳＴ５２の処理は行われなくてよい。また、図示の例とは異なり、第１の生体情報は、認証が完了したとき（ステップＳＴ４８の直後）に消去されても構わない。

ステップＳＴ５１の消去条件は適宜なものとされてよい。

例えば、消去条件は、所定時間が経過したことを含んでよい。所定時間の計時開始時点は任意である。例えば、計時開始時点は、ユーザＢの第１の生体情報のインポートが完了した時点、ユーザＢの認証が完了した時点、ユーザＢの認証の結果に基づいて制限が解除された機能の実行の開始時点もしくは完了時点、認証状態が解除された時点、またはＵＩ部２３に対するユーザＢの最後の操作が行われた時点とされてよい。

所定時間および／または計時開始時点を設定する主体は、画像処理装置３ＭＡの製造者、画像処理装置３ＭＡの管理者およびユーザＢ（消去される生体情報を有するユーザ）のいずれとされてもよい。所定時間の具体的な長さは任意であり、例えば、１秒以上、１０秒以上、３０秒以上、１分以上、１０分以上、３０分以上、１時間以上、１日以上、１週間以上、１月以上とされてよく、１月以下、１週間以下、１日以下、１時間以下、３０分以下、１０分以下、１分以下、３０秒以下、１０秒以下または１秒以下とされてよく、上記の下限と上限とは、矛盾しないように、任意のもの同士が組み合わされてよい。

また、例えば、消去条件は、認証の結果に基づき制限が解除された機能の実行が完了したことを含んでよい。例えば、１回の機能（例えば印刷、スキャン、コピーまたはデータの送信もしくは受信）の実行ごとに認証が要求される態様において、当該機能の実行が完了したとき（例えば異常等による中断を含まない）にユーザＢの第１の生体情報が消去されてよい。

また、例えば、消去条件は、ＵＩ部２３に対してユーザＢ（もしくは他のユーザ）によって、インポートされたユーザＢの第１の生体情報を消去するための操作（換言すれば所定の操作）が行われたことを含んでよい。

所定時間の経過または機能の実行完了によって、画像処理装置３ＭＡがインポートしたユーザＢの第１の生体情報が消去される場合、自動消去条件が満たされたときに自動的に生体情報が消去されると捉えることができる。逆に言えば、前段落の所定の操作による消去は、自動的なものではなく、ユーザによる意図的なものである。なお、消去条件が所定時間の経過を含む態様は、自動的にユーザＢの第１の生体情報を消去することを意図した態様であり、特に断りがない限り、所定時間の計時開始時点とされ得る時点は、前段落で述べた第１の生体情報を消去する操作の時点を含まない。換言すれば、前段落で述べた所定の操作がなされたときは、基本的に即座に第１の生体情報が消去される。

図７に示した手順は、適宜に変更されてよい。例えば、ステップＳＴ４１～ＳＴ４３では、ユーザＢの正当性を示す認証用情報（および認証用情報に基づく情報。以下、同様。）として、アカウント情報が用いられている。ただし、認証用情報は、インポートの対象の生体情報とは異なる種々の認証用情報とされてよく、アカウント情報に限定されない。例えば、１．１．３節で例示した種々の認証用情報が用いられてよい。

また、図７では、ステップＳＴ５２において、インポートされた第１の生体情報が消去された。インポートされた第１の生体情報に加えて、または代えて、ステップＳＴ４７で検出されたユーザＢの第２の生体情報（および／またはステップＳＴ４で検出されたユーザＡの第２の生体情報）が消去されてもよい。

（４．３．２．インポートした生体情報の再利用の例）
画像処理装置３ＭＡが画像処理装置３ＭＢからインポートしたユーザＢの第１の生体情報は、ステップＳＴ５２で消去される前に、再利用されてもよいし、再利用されなくてもよい。再利用によって、例えば、インポートによるネットワーク１０の負担が軽減される。以下では、再利用される態様の一例を示す。

図８は、図７で説明した手順の一部の詳細の一例を示すフローチャートである。より詳細には、図８は、認証が成功した後の手順（ステップＳＴ４９～ＳＴ５２）の詳細を示している。なお、認証が失敗したとき（処理が、ステップＳＴ４９ではなく、ステップＳＴ５０に進むとき）は、例えば、後述するステップＳＴ５５およびＳＴ５６は行われない。なお、図８は、図７の処理に類似する他の処理を示していると捉えられてもよい。

ステップＳＴ４９については、図７の説明で述べたとおりである。画像処理装置３ＭＡは、認証（ステップＳＴ４８）が成功した後、再認証条件が満たされたか否か判定する（ステップＳＴ５５）。なお、最初に行われる再認証条件の判定は、ステップＳＴ４８の後かつステップＳＴ４９の前であってもよい。そして、画像処理装置３ＭＡは、肯定判定のときは、ステップＳＴ５６に進み、否定判定のときは、ステップＳＴ５６をスキップしてステップＳＴ５１に進む。

ステップＳＴ５６では、画像処理装置３ＭＡは、ステップＳＴ４７～ＳＴ５０と同様に、生体認証の再入力を促す表示をし、検出部２５によって生体情報（第２の生体情報）を再検出し、第２の生体情報と第１の生体情報とを比較して認証を行う。ただし、第１の生体情報は、新たにインポートするのではなく、ステップＳＴ４５でインポートして画像処理装置３ＭＡが保持しているものを用いる。そして、画像処理装置３は、認証結果に応じて、機能の制限の解除を維持し（認証状態を維持し）、または機能を制限する（認証状態を解除する）。認証状態が解除された場合は、例えば、実行中の機能（タスク）の完了後（あるいは完了を待たずに）、制限対象の機能の実行が禁止される。

その後、画像処理装置３は、ステップＳＴ５１に進む。ステップＳＴ５１およびＳＴ５２については、図７の説明で述べたとおりである。ただし、ステップＳＴ５１で否定判定がなされた場合、画像処理装置３は、ステップＳＴ５１を繰り返すのではなく、例えば、ステップＳＴ５５に戻る。これにより、例えば、生体情報の再入力が繰り返し要求される。

なお、ステップＳＴ５６の再認証に失敗した場合は、上記のとおりであってもよいし、上記とは異なる処理が行われてもよい。例えば、画像処理装置３は、ステップＳＴ５１へ進むのではなく、認証の再試行を促してステップＳＴ５６を繰り返してもよい。あるいは、画像処理装置３は、ステップＳＴ５１に進みつつ、ステップＳＴ５１の否定判定でステップＳＴ５５に戻らずに、ステップＳＴ５１を繰り返してもよい。換言すれば、第１の生体情報を再利用する再認証が行われずに、第１の生体情報が消去されてもよい。

再認証条件は適宜に設定されてよい。例えば、再認証条件は、検出部２５による過去の直近のユーザＢの生体情報の検出（別の観点ではユーザＢの過去の直近の認証）から所定時間が経過したことを含んでよい。この場合、例えば、ユーザＢではない人物が不正にユーザＢの権限を利用する蓋然性が低減される。ここでの過去の直近の生体情報の検出（認証）は、例えば、ステップＳＴ４７の検出（最初の認証）、またはステップＳＴ５６の検出（再認証）である。所定時間は、例えば、画像処理装置３の製造者、画像処理装置３の管理者および個々のユーザ（ここではユーザＢ）のいずれによって設定されてもよい。

また、例えば、再認証条件は、所定の機能の実行を指示する操作がＵＩ部２３になされたことを含んでよい。この場合も、例えば、ユーザＢではない人物が不正にユーザＢの権限を利用する蓋然性が低減される。上記所定の機能は、例えば、画像処理部３１および通信部２７の少なくとも一方に係る機能であり、認証に成功して制限が解除された１以上の機能に含まれるものであってよい。所定の機能として、上記１以上の機能から全ての機能が選択されてもよいし、一部の機能（例えば相対的に高いセキュリティが要求される機能）が選択されてもよい。所定の機能は、例えば、画像処理装置３の製造者、画像処理装置３および個々のユーザ（ここではユーザＢ）のいずれによって選択されてもよい。

インポートされた第１の生体情報は、上記以外の態様で消去前に再利用されてもよい。例えば、画像処理装置３ＭＡは、ユーザＢの第１の生体情報の消去前において、ステップＳＴ４１で入力されたユーザＢのアカウント情報と、ユーザＢの第１の生体情報とを対応付けて保持してよい。ユーザＢが画像処理装置３ＭＡの利用を一旦終えた後、再度、ステップＳＴ４１を実行したときに、まだ、前回の第１の生体情報が消去されていなければ、再度入力されたアカウント情報と一致するアカウント情報と対応付けられて保存されている前回の第１の生体情報を用いて（すなわちインポートを行うことなく）、ステップＳＴ４７およびＳＴ４８の生体認証が行われてよい。

ステップＳＴ５５およびＳＴ５６は、ステップＳＴ６の後にも行われてよい。すなわち、再認証の要求は、画像処理装置３ＭＡに登録されたユーザＡに対しても行われてよい。ただし、この場合は、検出された第２の生体情報と比較される第１の生体情報は、画像処理装置３ＭＡが自己の管理用テーブルＤＴ０に保持しているものである。管理用テーブルＤＴ０に登録されているユーザＡの第１の生体情報は、ユーザＢの第１の生体情報と異なり、インポートされないし、自動的に消去されない。

再認証は、上記の説明とは異なり、ユーザＢの第１の生体情報がインポートされて行われてもよい。

また、再認証は、上記の説明とは異なり、ステップＳＴ４またはＳＴ１０（ＳＴ４７）で検出された第２の生体情報が、第１の生体情報（画像処理装置３ＭＡに登録されているもの、または画像処理装置３ＭＢからインポートされたもの）に代えて用いられてもよい。この場合、ステップＳＴ４またはＳＴ１０（ＳＴ４７）で検出された第２の生体情報の方が、第１の生体情報よりも、現在のユーザの体調等に応じたものとなっている蓋然性が高いから、体調等に起因して再認証が失敗する蓋然性が低減される。

（５．第２実施形態）
第２実施形態は、既述のとおり、画像処理装置３ＭＡがユーザＢの第２の生体情報（検出された生体情報）を画像処理装置３ＭＢへエクスポートする第２の方法を実行する態様である。具体的には、例えば、以下のとおりである。

（５．１．第２実施形態における動作の概要）
図９は、画像処理装置３ＭＡ（別の観点では制御部２９）が実行する認証に係る手順の概要の一例を示すフローチャートである。この図は、第１実施形態の図４に対応している。ステップＳＴ１～ＳＴ７およびＳＴ１２～ＳＴ１４は、図４のものと同様である。ステップＳＴ６１～ＳＴ６４およびＳＴ１２～ＳＴ１４は、図４のステップＳＴ８～ＳＴ１４と同様に、画像処理装置３ＭＡを使用するユーザが他部署のユーザ（ここではユーザＢ）である場合の処理である。

ステップＳＴ６１では、画像処理装置３ＭＡは、ステップＳＴ４と同様に、ユーザＢの生体情報（第２の生体情報）を検出する。ステップＳＴ６２では、画像処理装置３ＭＡは、画像処理装置３ＭＢにアクセスし、例えば、ユーザＢの認証の要求を行う。ステップＳＴ６３では、画像処理装置３ＭＡは、ステップＳＴ６１で検出したユーザＢの第２の生体情報を画像処理装置３ＭＢにエクスポートする。

ステップＳＴ６４では、画像処理装置３ＭＢは、ステップＳＴ６３でエクスポートされた第２の生体情報と一致する生体情報（第１の生体情報）が自己の管理用テーブルＤＴ０に存在するか否か判定する。すなわち、画像処理装置３ＭＢは、生体認証を行う。そして、その認証結果を画像処理装置３ＭＡに通知する。なお、ステップＳＴ６４は、画像処理装置３ＭＡの処理としては、画像処理装置３ＭＢから認証結果を受信するステップということができる。

ステップＳＴ１２～ＳＴ１４は、図４の説明で述べたとおりである。ただし、ステップＳＴ１２の判定は、図４とは異なり、画像処理装置３ＭＢからの通知に基づくものであって、自己による認証に基づくものではない。

画像処理装置３ＭＢにおいて、画像処理装置３ＭＡからエクスポートされた第２の生体情報（ステップＳＴ６３）は、登録されている生体情報との比較が行われた直後に画像処理装置３ＭＢから消去されてよい。ただし、エクスポートされた第２の生体情報は、その後の適宜な時期（例えば認証状態が解除される時期）まで画像処理装置３ＭＢに記憶されて適宜に利用されても構わない。また、エクスポートされた第２の生体情報は、登録されている第１の生体情報の更新に利用されてもよい。

図４のステップＳＴ８およびＳＴ９の通信の説明は、適宜にステップＳＴ６２およびＳＴ６３の通信に援用されてよい。念のために記載すると、例えば、エクスポートは、プライベートネットワーク１３Ａ内のものであってもよいし、パブリックネットワーク１１を介したものであってもよい。後者の場合において、ＶＰＮ接続が利用されてもよいし、利用されなくてもよい。また、エクスポートのための接続の確立は、ステップＳＴ６２またはＳＴ６３の段階でなされてもよいし、それよりも前からなされていてもよい。

また、例えば、画像処理装置３ＭＡおよび３ＭＢが同一のＬＡＮ内に含まれる態様（あるいは他の態様）では、上記の説明とは異なり、画像処理装置３ＭＡは、画像処理装置３ＭＢを特定せずに、ＬＡＮ内の全ての通信機器にユーザＢの第１の生体情報の有無を問い合わせてよい。該当する通信機器（ユーザＢの第１の生体情報を登録している画像処理装置３ＭＢ）は、その問い合わせに対して肯定的な返信をしてよい。そして、画像処理装置３ＭＡは、肯定的な返信の送信元へユーザＢの第２の生体情報（検出したもの）をエクスポートしてよい。

図９に示した手順は適宜に変更されてよい。例えば、ステップＳＴ６１とＳＴ６２とは順番が逆であってもよい。

（５．２．第２実施形態における画面の例）
図９の処理の実行に際しては、適宜な画像が表示部３５に表示されてよい。第１実施形態の説明（４．２節）で例示した画面（図５Ａ～図６Ｂ）は、第２実施形態に利用されてよい。例えば、図５Ａ～図６Ｂに示した画面は、第２実施形態にも、そのまま利用されてよい。換言すれば、ユーザにとっては、第１実施形態と第２実施形態との区別ができなくても構わない。図５Ａ～図６Ｂに関しての種々の説明も、矛盾等が生じない限り、具体的な用語等（例えばステップを示す記号）を置き換えて、適宜に第２実施形態に援用されてよい。

（５．３．第２実施形態における一部の動作の詳細）
（５．３．１．エクスポートされる生体情報に係る制限の例）
図１０は、図９で説明した手順の一部の詳細の一例を示すフローチャートである。より詳細には、図１０は、画像処理装置３ＭＡを使用するユーザが画像処理装置３ＭＢに登録されているユーザＢである場合の手順（ステップＳＴ６１～ＳＴ６４およびＳＴ１２～ＳＴ１４）の詳細を示している。なお、図１０は、図９の処理に類似する他の処理を示していると捉えられてもよい。

図１０の処理では、画像処理装置３ＭＡから画像処理装置３ＭＢへユーザＢのアカウント情報が送信され、このアカウント情報による認証が成功した場合のみ、画像処理装置３ＭＡによる画像処理装置３ＭＢへのユーザＢの生体情報（第２の生体情報）のエクスポートが許容される。また、エクスポートされた第２の生体情報、および検出された第１の生体情報は、それぞれ所定の条件が満たされたときに消去される。これらの動作によって、生体情報の意図されていない流出の可能性が低減される。具体的には、以下のとおりである。

ステップＳＴ４１～ＳＴ４４は、図７のものと同様であり、図７の説明が援用されてよい。また、図７と同様に、アカウント情報の取得（ステップＳＴ４１）、ユーザＢが登録されている画像処理装置３ＭＢの特定（画像ＩＧ５）、およびユーザＢの生体情報（第２の生体情報）の検出（ステップＳＴ６１）は、矛盾等が生じない限り、どのような順番で行われてもよい。画像処理装置３ＭＢの特定については、図７と同様に図示を省略する。また、生体情報の検出については、検出された生体情報のエクスポート（ステップＳＴ７３）の前までの適宜な時期に行われているものとし、また、図示を省略する。

ステップＳＴ４３において、ステップＳＴ４２で受信したアカウント情報に基づく認証が成功したとき、画像処理装置３ＭＢは、認証に成功したことを示す通知を画像処理装置３ＭＡへ送信する（ステップＳＴ７１）。ステップＳＴ７２では、画像処理装置３ＭＡは、画像処理装置３ＭＢからの通知（ステップＳＴ４４およびＳＴ７１）に基づいて、アカウント情報に基づく認証が成功したか否か判定する。

そして、画像処理装置３ＭＡは、肯定判定のときはステップＳＴ７３に進み、否定判定のときはステップＳＴ７８に進む。ステップＳＴ７３は、ステップＳＴ６３と同じものであり、画像処理装置３ＭＡは、自己が検出したユーザＢの生体情報（第２の生体情報）を画像処理装置３ＭＢへエクスポートする。ステップＳＴ７８は、ステップＳＴ１４と同じものであり、画像処理装置３ＭＡは、機能の制限解除を行わない。

ステップＳＴ７４およびＳＴ７５は、ステップＳＴ６４と同じものである。すなわち、画像処理装置３ＭＢは、画像処理装置３ＭＡからエクスポートされたユーザＢの第２の生体情報と、自己が保持しているユーザＢの第１の生体情報とが一致するか否か判定することによって認証を行い（ステップＳＴ７４）、その認証結果を画像処理装置３ＭＡへ送信する（ステップＳＴ７５）。

ステップＳＴ７６、ステップＳＴ７７およびＳＴ７８は、ステップＳＴ１２、ＳＴ１３およびＳＴ１４と同じものであり、説明を省略する。

画像処理装置３ＭＡは、エクスポート（ステップＳＴ７３）が完了した後（図示の例ではステップＳＴ７７の後）、所定の消去条件が満たされたか否か判定する（ステップＳＴ７９）。そして、画像処理装置３ＭＡは、肯定判定の場合は、ステップＳＴ６１で検出したユーザＢの第２の生体情報を消去し（ステップＳＴ８０）、否定判定の場合は、ステップＳＴ７９を繰り返す（待機する。）。なお、図示の例とは異なり、第２の生体情報は、エクスポートが完了したとき（エクスポートの直後）に消去されても構わない。図示の例では、生体認証が成功したとき（ステップＳＴ７６で肯定判定がなされたとき）に、消去条件が満たされるか否かの判定がなされている。生体認証が失敗したときは、例えば、ユーザＢの第２の生体情報は、直ちに消去されてもよいし、生体認証が成功したときと同様に、消去条件が満たされるか否かの判定がなされてもよい。

画像処理装置３ＭＢは、生体認証（ステップＳＴ７４）に成功した後（図示の例ではステップＳＴ７５の後）、所定の消去条件が満たされたか否か判定する（ステップＳＴ８１）。そして、画像処理装置３ＭＢは、肯定判定の場合は、ステップＳＴ７３で画像処理装置３ＭＡからエクスポートされたユーザＢの第２の生体情報を消去し（ステップＳＴ８１）、否定判定の場合は、ステップＳＴ８１を繰り返す（待機する。）。なお、図示の例とは異なり、第２の生体情報は、生体認証が完了したとき（生体認証の直後）に消去されても構わない。また、生体認証が失敗したときは、例えば、ユーザＢの第２の生体情報は、直ちに消去されてもよいし、生体認証が成功したときと同様に、消去条件が満たされるか否かの判定がなされてもよい。

ステップＳＴ７６およびＳＴ８１の消去条件は適宜なものとされてよい。

例えば、消去条件は、所定時間が経過したことを含んでよい。例えば、ステップＳＴ７６の消去条件に関しては、計時開始時点は、ユーザＢの第２の生体情報のエクスポート（ステップＳＴ７３）が完了した時点、生体認証の結果を画像処理装置３ＭＢから受信した時点（ステップＳＴ７５）、ユーザＢの認証の結果に基づいて制限が解除された機能の実行の開始時点もしくは完了時点、認証状態が解除された時点、またはＵＩ部２３に対してユーザＢの最後の操作が行われた時点とされてよい。また、例えば、ステップＳＴ８１の消去条件に関しては、計時開始時点は、生体認証（ステップＳＴ７４）が完了した時点、または生体認証の結果を画像処理装置３ＭＢへ送信した時点（ステップＳＴ７５）とされてよい。所定時間および／または計時開始時点を設定する主体は、画像処理装置３ＭＡまたは３ＭＢの製造者、画像処理装置３ＭＡまたは３ＭＢの管理者およびユーザＢ（消去される生体情報を有するユーザ）のいずれとされてもよい。

また、例えば、ステップＳＴ７９の消去条件は、認証の結果に基づき制限が解除された機能の実行が完了したことを含んでよい。例えば、１回の機能（例えば印刷、スキャン、コピーまたはデータの送信もしくは受信）の実行ごとに認証が要求される態様において、当該機能の実行が完了したとき（例えば異常等による中断を含まない）にユーザＢの第２の生体情報が消去されてよい。

また、例えば、ステップＳＴ７９の消去条件は、画像処理装置３ＭＡのＵＩ部２３に対してユーザＢ（もしくは他のユーザ）によってユーザＢの第２の生体情報を消去するための操作（換言すれば所定の操作）が行われた時点とされてよい。

また、例えば、ステップＳＴ８１の消去条件は、画像処理装置３ＭＢが、ユーザＢの第２の生体情報を消去する要請を画像処理装置３ＭＡから受信したこととされてよい。画像処理装置３ＭＡが上記の要請を画像処理装置３ＭＢへ送信する条件については、ステップＳＴ７９の消去条件の説明が援用されてよい。上記の要請を送信する条件と、ステップＳＴ７９の消去条件とは、互いに同じであってもよいし、互いに異なっていてもよい。

図１０に示した手順は、適宜に変更されてよい。例えば、図７の説明でも述べたように、ステップＳＴ４３で用いられるユーザＢの正当性を示す認証用情報（および認証用情報に基づく情報。以下、同様。）は、エクスポートの対象の生体情報とは異なる種々の認証用情報とされてよく、アカウント情報に限定されない。

（５．３．２．エクスポートされた生体情報の再利用の例）
ステップＳＴ８０またはＳＴ８２で消去されるユーザＢの第２の生体情報（検出されたもの）は、再利用されてもよいし、再利用されなくてもよい。

再利用される場合、例えば、図８に示した手順は、ステップＳＴ８０またはＳＴ８２で消去される第２の生体情報の再利用に援用されてよい。ステップＳＴ８０に関する援用では、例えば、図８のステップＳＴ４９、ＳＴ５１およびＳＴ５２は、それぞれ、ステップＳＴ７７、ＳＴ７９およびＳＴ８０に置換されてよい。ステップＳＴ８２に関する援用では、例えば、図８のステップＳＴ４９の制限解除はステップＳＴ７４の認証に置換されてよく、また、ステップＳＴ５１およびＳＴ５２は、それぞれ、ステップＳＴ８１およびＳＴ８２に置換されてよい。

図８のステップＳＴ５５およびＳＴ５６の具体的な内容は、第１実施形態と相違してよい。例えば、以下のとおりである。

例えば、ステップＳＴ８０で消去される第２の生体情報の再利用では、画像処理装置３ＭＡは、ステップＳＴ５６において、上記の第２の生体情報を画像処理装置３ＭＢにエクスポートして再認証を要求する。このような動作によって、例えば、ユーザＢに生体情報の再入力を要求することなく、画像処理装置３ＭＢによる再認証を実現できる。なお、再認証のために第２の生体情報をエクスポートするとき、最初の認証のためのエクスポート（ステップＳＴ７３）と同様に、アカウント情報による認証（ステップＳＴ４３）の成功が前提とされてもよいし、前提とされなくてもよい。

上記のようにステップＳＴ８０で消去される第２の生体情報の再利用に係る動作を行う場合における再認証条件（ステップＳＴ５５）は任意である。

例えば、最初の認証が行われて機能の制限が解除された後（ステップＳＴ７７の後）、画像処理装置３ＭＡから画像処理装置３ＭＢへ接続（例えばＶＰＮ接続）の確立を要求するときに、画像処理装置３ＭＢによる認証が必須とされてよい。このような態様において、再認証条件は、上記の接続の確立が必要になったことを含んでよい。なお、接続の確立は、それ自体が目的とされ、ユーザＢによって指示されるものであってもよいし、何らかの機能の利用（例えばデータの送信または受信）に付随して必要とされるものであってもよい。

また、例えば、ステップＳＴ７４の認証の成功によって、画像処理装置３ＭＡから画像処理装置３ＭＢへ接続（例えばＶＰＮ接続）が確立されたり、上記のように再認証によって接続が確立されたりする場合において、何らかの異常（例えば通信障害）によって接続が切断されることがある。この場合、再認証が必要になる。そこで、再認証条件は、意図されずに認証が必要な接続が遮断されたこととされてよい。

また、ステップＳＴ８２で消去される第２の生体情報の再利用では、例えば、ステップＳＴ５５の再認証条件は、画像処理装置３ＭＡから画像処理装置３ＭＢへユーザＢの認証が要求されたこととされてよい。そして、ステップＳＴ５６の再認証では、画像処理装置３ＭＢは、画像処理装置３ＭＡから新たにエクスポートされたユーザＢの第２の生体情報と、自己の管理用テーブルＤＴ０に登録されているユーザＢの第１の生体情報との比較に代えて、新たにエクスポートされたユーザＢの第２の生体情報と、以前に取得されてステップＳＴ８２で消去される前の第２の生体情報とを比較してよい。この場合、登録されている第１の生体情報よりも、以前に取得された第２の生体情報の方が、現在のユーザＢの体調等に応じた内容となっている蓋然性が高く、ひいては、認証の精度が向上することが期待される。

上記のようにステップＳＴ８２で消去される第２の生体情報が再利用される場合においては、ステップＳＴ７４で認証が成功して、上記第２の生体情報の正当性が確認されていることが前提である。画像処理装置３ＭＡからの認証の要求は、例えば、ユーザＢが画像処理装置３ＭＡに新たに認証を要求して機能の制限を解除する状況のものであってもよいし、機能の制限が解除された後に画像処理装置３ＭＡから画像処理装置３ＭＢへ接続（例えばＶＰＮ）の確立のために認証が要求される状況のものであってもよい。また、画像処理装置３ＭＡから新たにエクスポートされる第２の生体情報は、新たに検出されたものであってもよいし、ステップＳＴ８０で消去される前に再利用されたものであってもよい。

（６．第３実施形態）
第１および第２実施形態では、生体認証が成功すると、機能の制限が解除された。ただし、生体認証が成功したことを条件として、サーバ５に認証用情報を送信し、その認証用情報に基づく認証が成功したことを条件として、機能の制限が解除されてもよい。この場合、画像処理装置３における認証（生体認証）と、サーバ５における認証との２段階の認証が必要になることから、セキュリティが向上する。なお、このような態様も、生体認証の後に他の認証がさらに行われているとはいえ、生体認証に基づいて機能の制限が解除されている態様であるといえる。

図１１は、第３実施形態に係る通信システム１の構成を示すブロック図である。

画像処理装置３は、例えば、図１～図３を参照して説明した構成を有しており、図１１では、検出部２５、制御部２９、画像処理部３１および補助記憶装置４５が抽出されて示されている。補助記憶装置４５は、既述のとおり、管理用テーブルＤＴ０を有しており、図１１では、その一部が比較用テーブルＤＴ１として示されている。比較用テーブルＤＴ１は、ユーザ毎に、アカウント情報（ＩＤおよびパスワード）と１以上の生体情報とを対応付けて保持している。

サーバ５は、例えば、検証部５ａと、不揮発性メモリ５ｂとを有している。検証部５ａは、例えば、画像処理装置３の制御部２９と同様に、ＣＰＵがＲＯＭおよび／または補助記憶装置に記憶されているプログラムを実行することによって構築される。不揮発性メモリ５ｂは、例えば、補助記憶装置によって構成されており、検証用テーブルＤＴ２を記憶している。検証用テーブルＤＴ２は、ユーザ毎のアカウント情報（ＩＤおよびパスワード）を保持している。

画像処理装置３（３ＭＡ）は、第１および第２実施形態と同様に、ユーザの生体認証を行う。画像処理装置３は、生体認証が成功すると（図４または図９のステップＳＴ５またはＳＴ１２で肯定判定がなされると）、直ちに機能の制限を解除するのではなく、サーバ５に認証を要求する。

具体的には、例えば、画像処理装置３ＭＡは、ステップＳＴ５で肯定判定がなされた場合は、自己が保持している比較用テーブルＤＴ１において認証に成功したユーザＡの生体情報と対応付けられているアカウント情報をサーバ５に送信する。また、画像処理装置３ＭＡは、ステップＳＴ１２で肯定判定がなされた場合は、図７または図９のステップＳＴ４１で入力されたユーザＢのアカウント情報をサーバ５に送信する。

アカウント情報を受信したサーバ５は、受信したアカウント情報と一致するアカウント情報が検証用テーブルＤＴ２に登録されているか否かを判定する。これにより、認証が行われる。すなわち、受信したアカウント情報と一致するアカウント情報が登録されていれば、認証成功であり、そうでなければ認証失敗である。そして、サーバ５は、認証結果（認証の成否）をアカウント情報の送信元の画像処理装置３（３ＭＡ）へ送信する。

認証結果を受信した画像処理装置３ＭＡは、認証結果が認証の成功を示すものであれば、機能の制限を解除する（ステップＳＴ６またはＳＴ１３）。また、そうでない場合は、画像処理装置３ＭＡは、機能を制限する（ステップＳＴ７またはＳＴ１４）。なお、ステップＳＴ５またはステップＳＴ１２で、生体認証に失敗した場合は、当然ながら、サーバ５へのアカウント情報の送信が行われることなく、機能を制限する（ステップＳＴ７またはＳＴ１４）。

第３実施形態は適宜に変更されてよい。例えば、サーバ５による認証に用いられる認証用情報（および認証用情報に基づく情報。以下、同様。）は、アカウント情報に限定されない。認証用情報は、インポートまたはエクスポートの対象の生体情報とは異なる種々の認証用情報とされてよい。例えば、１．１．３節で例示した種々の認証用情報が用いられてよい。もっとも、認証用情報は、インポートまたはエクスポートの対象の生体情報であっても構わない。

上記に関連して、画像処理装置３ＭＡを使用するユーザがユーザＢである場合においては、ＵＩ部２３から入力された情報（例えばアカウント情報）でなくてもよいし、ユーザＢの第１の生体情報のインポートのためにユーザＢを特定する情報として入力された情報（例えばアカウント情報）でなくてもよい。例えば、画像処理装置３ＭＡが画像処理装置３ＭＢからユーザＢの第１の生体情報をインポートするときに、この第１の生体情報に対応付けられて記憶されている認証用情報を共にインポートし、このインポートした認証用情報をサーバ５へ送信してもよい。

（７．機能制限の解除に係る動作）
認証結果に基づく機能の制限の解除は、種々の態様で行われてよい。以下に例を示す。

（７．１．機能制限の解除に係る動作全般）
（７．１．１．制限の解除が制御される機能の種類）
認証結果に基づいて制限の解除が制御される機能は、例えば、画像処理部３１（プリンタ１９および／またはスキャナ２１）および通信部２７の少なくとも一方に関連する機能であってよい。制限対象とされる機能としては、例えば、以下のものを挙げることができる。以下に挙げる複数の機能の１以上が適宜に選択されて制限対象とされてよい。なお、以下に挙げる複数の機能は、互いに重複していたり、一体不可分であったりすることがある。

まず、制限対象となる機能としては、プリンタ１９による印刷が挙げられる。印刷は、細分化して捉えられた機能毎に制限されてよい。例えば、印刷は、スキャナ２１によるスキャンに基づく印刷、通信部２７によって受信したデータに基づく印刷、画像処理装置３（補助記憶装置４５）またはコネクタ３７に接続されたデバイス（例えば不揮発性メモリ）に記憶されているデータに基づく印刷に細分化されてよい。

通信部２７によって受信したデータに基づく印刷の制限は、送信元の通信機器（例えば他の画像処理装置３、サーバ５もしくは７または端末９）に応じてさらに細分化されてもよい。なお、通信先の制限によって、このような印刷の制限が実質的に実現されてもよい。また、通信部２７によって受信したデータに基づく印刷の制限は、通信の態様（通常のデータ通信、メール受信もしくはＦＡＸ受信）に応じてさらに細分化されてもよい。

画像処理装置３に保存されているデータに基づく印刷の制限は、データが保存されているボックス（別の表現ではフォルダまたはディレクトリ）の種類に応じてさらに細分化されてよい。なお、機密性が高いファイル（文書ファイルおよび／または画像ファイル）が保存されることが想定されているボックスへのアクセスの制限によって、このような印刷の制限が実質的に実現されてもよい。

コネクタ３７に接続されたメモリに記憶されているデータに基づく印刷の制限は、接続されるデバイスの種類または個体に応じてさらに細分化されてよい。なお、コネクタ３７に接続可能なデイバスの制限（いわゆるデバイスコントロール）によって、このような印刷の制限が実質的に実現されてもよい。

また、制限対象となる機能としては、スキャナ２１によるスキャンが挙げられる。印刷と同様に、スキャンは、細分化して捉えられた機能毎に制限されてよい。例えば、スキャンは、コピー（印刷）のためのものと、データ（例えば画像データ）の送信のためのものと、画像処理装置３（補助記憶装置４５）またはコネクタ３７に接続されたデバイスへのデータの保存のためのものとに細分化されてよい。

データの送信のためのスキャンは、送信先の通信機器（例えば他の画像処理装置３、サーバ５もしくは７または端末９）に応じてさらに細分化されてもよい。なお、送信先の制限によって、このようなスキャンの制限が実質的に実現されてもよい。また、データの送信のためのスキャンは、通信の態様（通常のデータ通信、メール送信もしくはＦＡＸ送信）に応じてさらに細分化されてもよい。

画像処理装置３への保存のためのスキャンは、保存先のボックスの種類に応じてさらに細分化されてよい。なお、機密性が高いファイルが保存されることが想定されているボックスへのアクセスの制限によって、このようなスキャンの制限が実質的に実現されてもよい。

コネクタ３７に接続されたデバイスへの保存のためのスキャンは、接続されるデバイスの種類または個体に応じてさらに細分化されてよい。なお、コネクタ３７に接続可能なデイバスの制限によって、このようなスキャンの制限が実質的に実現されてもよい。

また、制限対象となる機能は、印刷またはスキャンのような主要な機能でなくてもよい。例えば、制限対象となる機能は、印刷される用紙の余白の大きさを設定するような、主要な機能に関する設定を行う機能であってもよい。ただし、このような機能は、余白を任意に設定して印刷を行う機能として捉えられてよく、ひいては、主要な機能の一種として捉えられて構わない。

また、制限対象となる機能は、画像処理装置３の管理者が利用する機能であってもよい。例えば、画像処理装置３は、一律に（ユーザの認証結果によらずに）、上述した主要な機能の一部を禁止したり、画像処理装置３に対する所定のデバイスの接続を禁止したりする設定を受け付け可能であってよい。そして、そのような設定の制限が、特定のユーザ（画像処理装置３の管理者）に対して解除されてよい。

（７．１．２．機能の制限の態様）
上記のとおり、画像処理装置３は、種々の機能を有している。制限対象とされる機能は、認証のための機能を除く種々の機能のうち、全てであってもよいし、一部であってもよい。別の観点では、生体認証を経た認証に失敗したユーザは、実質的に画像処理装置３を利用できないようにされてもよいし、一部の機能を利用可能であってもよい。

認証に成功した場合の機能の制限解除の態様は、全てのユーザに共通であってもよいし、ユーザ毎に個別に設定可能であってもよい。前者を別の観点でいうと、認証がなされずに機能の制限解除がなされないユーザと、認証がなされて機能の制限解除がなされるユーザとの２種のみが存在してよい。そして、機能の制限解除がなされるユーザ同士において、利用できる機能に差異がなくてよい。

また、複数種類の認証方法が可能である態様において、認証方法によって、認証されたユーザに対して制限が解除される機能に差異があってもよいし、差異が無くてもよい。前者の例を挙げる。例えば、画像処理装置３は、第１～第３実施形態のいずれかにおいて、生体認証を行わずに、入力されたアカウント情報と、自己、他の画像処理装置３および／またはサーバ５に登録されているアカウント情報との比較によって認証を行い、機能の制限解除を制御することが可能であってよい。このような態様において、同一ユーザまたは全てのユーザに着目した場合、アカウント情報による認証が成功したときは、第１の数の機能の制限が解除され、生体情報による認証が成功したときは、第１の数の機能の制限を含み、第１の数よりも多い第２の数の機能の制限が解除されてよい。

認証に成功した場合の機能の制限解除が、ユーザ毎に個別に設定可能である場合の例を挙げる。認証がなされないユーザが第１の機能および第２の機能の双方を利用できない場合を想定する。このとき、認証がなされたユーザとして、第１の機能のみを利用できるユーザ、第２の機能のみを利用できるユーザ、第１の機能および第２の機能の双方を利用できるユーザ、および認証がなされても、認証がなされないユーザと同様に機能の制限がなされるユーザのうちの２種以上が存在してよい。

（７．１．３．認証状態の解除）
認証状態（機能の制限が解除された状態）は、当然ながら、いずれ解除される。認証状態の解除は、例えば、認証がなされていない状態（機能の制限が解除される前の状態）に戻ることと言い換えることができる。認証状態の解除は、認証を前提とした機能（例えば後述するＶＰＮ接続）の終了および／または認証を前提として取得した情報（例えば後述するｋ）の無効化（例えばメモリからの消去）を伴ってよい。従って、認証状態の解除は、これらの動作の終了および／または情報の無効化によって把握されてよい。また、例えば、認証が成功したときにその旨を示すフラグが立てられる態様において、当該フラグを倒す動作によって把握されてもよい。この場合、認証を前提とした動作の終了および／または認証を前提として取得した情報の無効化は必ずしも伴わなくてもよい。

認証状態の解除は、種々の事象をトリガとして行われてよい。そのような事象としては、例えば、以下のものを挙げることができる。ユーザが操作部３３に対して所定の操作を行ったこと。認証を必要とする機能（例えば所定の画像データをダウンロードして印刷する機能）に係る処理が終了したこと。所定時点（例えば操作部３３に対する最後の操作が行われた時点）から所定の時間が経過したこと。人感センサによってユーザが画像処理装置３から離れたことが検知されたこと。

（７．２．機能の制限解除に関する具体例）
機能の制限解除の制御を実現するための具体的な構成は、種々可能である。以下では、主として、認証が成功したときに、ユーザ間で制限解除される機能に相違がある態様の具体例を示す。

図１２Ａは、機能の制限解除の制御に利用される権限テーブルＤＴ３を示す模式図である。

権限テーブルＤＴ３は、ＩＤと権限情報Ｄ３とを紐付けて保持している。すなわち、権限情報Ｄ３は、機能毎に制限解除の可否を特定する情報であり、図１２Ａでは、印刷およびスキャンが例示されている。

権限テーブルＤＴ３は、例えば、画像処理装置３によって保持されてよい。画像処理装置３は、自己の管理用テーブルＤＴ０（図１）の一部として、権限テーブルＤＴ３を有してよい。図１では、管理用テーブルＤＴ０の「機能制限」として、権限レベル（後述）が例示されているが、「機能制限」に保持される情報は、図１の例とは異なり、権限情報Ｄ３であってよい。画像処理装置３は、自己の管理用テーブルＤＴ０に登録されているユーザの権限情報Ｄ３を保持している。

そして、画像処理装置３ＭＡは、認証に成功したユーザが自己の管理用テーブルＤＴ０に登録されているユーザＡである場合においては、ユーザＡのＩＤに紐付けられている権限情報Ｄ３を参照して、機能の制限解除の制御を行う。また、画像処理装置３ＭＡは、認証に成功したユーザが画像処理装置３ＭＢの管理用テーブルＤＴ０に登録されているユーザＢである場合おいては、画像処理装置３ＭＢからユーザＢのＩＤに紐付けられている権限情報Ｄ３をインポートして、機能の制限解除の制御を行う。このインポートは、例えば、認証の成功前または後の適宜な時期に行われてよい。例えば、第１実施形態では、図７のＳＴ４５またはＳＴ４９（ＳＴ１４）で行われてよく、第２実施形態では、図１０のステップＳＴ７５またはＳＴ７７（ＳＴ１４）で行われてよい。

上記とは異なり、図１に例示したように、管理用テーブルＤＴ０は、ＩＤに紐付けられた権限レベルの情報を保持してよい。この場合、例えば、画像処理装置３は、権限レベルと機能毎の制限の情報（権限情報Ｄ３を参照）とを紐付けたテーブルを有している。そして、画像処理装置３ＭＡは、認証に成功したユーザＡの権限レベルを自己の管理用テーブルＤＴ０を参照して特定する。または画像処理装置３ＭＡは、認証に成功したユーザＢの権限レベルの情報を画像処理装置３ＭＢからインポートする。インポートの時期は、上記の権限情報Ｄ３のインポートの時期と同様に任意である。そして、画像処理装置３ＭＡは、特定された権限レベルに紐付けられている権限情報Ｄ３を参照して、機能の制限解除の制御を行う。なお、この態様は、権限テーブルＤＴ３が、ＩＤと権限レベルとを紐付けるテーブルと、権限レベルと権限情報Ｄ３とを紐付けるテーブルとに分割されている態様と捉えることができる。

権限テーブルＤＴ３は、画像処理装置３に加えて、または代えて、サーバ５に保存されていてもよい。そして、画像処理装置３ＭＡは、認証に成功したユーザがユーザＢである場合（またはユーザＡおよびＢのいずれの場合であっても）、権限情報Ｄ３をサーバ５から取得してよい。

また、権限テーブルＤＴ３が、ＩＤと権限レベルとを紐付けるテーブルと、権限レベルと権限情報Ｄ３とを紐付けるテーブルとに分割されている態様においては、例えば、画像処理装置３に加えて、または代えて、双方のテーブルがサーバ５に保存されていてよい。この場合の動作は、上記と同様である。また、権限レベルと権限情報Ｄ３とを紐付けるテーブルは、画像処理装置３に記憶されていてもよい。そして、画像処理装置３ＭＡは、認証に成功したユーザがユーザＢである場合（またはユーザＡおよびＢのいずれの場合であっても）、権限レベルをサーバ５から取得し、取得した権限レベルに紐付けられている権限情報Ｄ３を参照して、機能の制限解除の制御を行う。

これまでの説明から理解されるように、種々のテーブルは、適宜に分割されたり、適宜に統合されたりして構わない。別の観点では、テーブルの実際の構成は、概念上の構成と異なっていて構わない。従って、例えば、ＩＤと機能制限の情報とを関連付けて保持しているテーブルは、両者の情報を保持している１つのテーブルであってもよいし、権限レベルを介して分割した２つのテーブルであってもよい。

既述のとおり、認証用情報および／または認証方法の種類によって、制限が解除される機能が異なってよい。この場合、例えば、認証用情報および／または認証方法の種類によって、権限情報Ｄ３の内容（または権限レベル）が異なっていてよい。また、画像処理装置３ＭＡは、認証用情報および／または認証方法の種類を特定可能であるから、上記とは異なり、認証用情報および／または認証方法の種類によらずに、同じ権限情報Ｄ３（または権限レベル）を取得し、画像処理装置３ＭＡにおいて、その権限情報Ｄ３で制限が解除されている機能のうち、特定のものに対して、制限を解除しないようにしてもよい。あるいは、画像処理装置３ＭＢおよび／またはサーバ５が、認証用情報および／または認証方法の種類に応じて権限情報Ｄ３を改変してもよい。

処理の手順は、例えば、以下のとおりである。画像処理装置３（制御部２９）は、ＵＩ部２３に対する操作等によって所定の機能の実行が指示されると、現在のユーザが上記所定の機能を実行する権限を有しているか否か判定する。この判定においては、上記のとおり、画像処理装置３は、自己が保持している、または予め外部（他の画像処理装置３もしくはサーバ５）から取得した権限の情報を参照する。そして、画像処理装置３は、ユーザが権限を有していると判定したときは、上記所定の機能を実行し、そうでない場合は、上記所定の機能を実行しない。後者の場合においては、権限を有していないこと（あるいは認証がなされていないこと）が表示部３５に表示されてもよい。

以上に説明した動作において、ユーザが認証に成功することによって、画像処理装置３がユーザの権限情報に応じて所定の機能を実行可能な状態になるとき、機能の制限を解除する動作の一例が行われたと捉えられてよい。また、画像処理装置３がユーザの権限情報に応じて所定の機能を実行可能な状態になるとき、通常、画像処理装置３の内部的には、所定のフラグが立てられる。このフラグが立てられることも、機能の制限が解除される動作の一例と捉えられてよい。また、外部（他の画像処理装置３またはサーバ５）から権限の情報を取得する動作も、機能の制限を解除する動作の一例と捉えられてよい。さらに、実行が指示された所定の機能の権限をユーザが有しているか否か判定して、ユーザが権限を有している場合に上記所定の機能を実行する動作も、機能の制限を解除する動作の一例として捉えられてよい。

（７．３．機能制限に係るメニュー画面）
認証結果に基づいて機能の制限解除を制御するとき、表示部３５に表示されるメニュー画面の設定が共に行われてもよい。この設定は、ユーザ毎に行われてもよい。具体的には、以下のとおりである。

メニュー画面は、例えば、ＧＵＩにおける１以上の選択肢を含む画面（画像）である。ポインティングデバイスによって選択肢が選択されると、その選択肢に対応する処理が実行される。例えば、操作部３３および表示部３５がタッチパネルによって構成されている態様においては、指またはタッチペンによって、表示部３５に表示された１以上の選択肢のいずれかが押されると、対応する処理が実行される。

画像処理装置３のメニュー画面において示される選択肢に対応する処理は、種々の処理とされてよい。例えば、選択肢は、印刷、スキャン、コピー、ＦＡＸ送信およびＦＡＸ受信（ただし、これらは必ずしも分離できる概念ではない。）等の主要な機能に係る動作を実行させる処理であってよい。および／または、選択肢は、上記動作に係る設定を行う処理であってよい。そのような設定としては、例えば、紙の大きさの選択、印刷倍率の設定および印刷の濃さを挙げることができる。先の説明において、主要な機能は適宜に細分化されて権限が設定されてよいことを述べたが、この細分化の説明は、選択肢の細分化に適宜に援用されてよい。

ユーザ毎のメニュー画面は、例えば、ユーザ毎の好みを反映したものであってもよいし、および／またはユーザ毎の権限を反映したものであってもよい。前者としては、例えば、特定の選択肢の画面３５ａ内における位置、大きさ、色および形状等をユーザの好みに合わせたものを挙げることができる。後者としては、例えば、ユーザが所定の機能について権限を有しているか否かによって、その機能に係る選択肢の表示態様を異ならせた画面を挙げることができる。より詳細には、例えば、権限の有無によって選択肢の色が異なっている画面、および権限が有る選択肢のみが表示される（権限が無い選択肢が表示されない）画面が挙げられる。

なお、権限が有る選択肢のみが表示されるメニュー画面が表示される態様においては、ユーザは、権限が有る選択肢に対応する処理のみを指示できる。従って、この場合のメニュー画面の表示の制御は、機能の制限解除の制御の一例として捉えられてよい。

認証結果に基づくユーザ毎のメニュー画面の設定は、認証に成功したユーザに対するメニュー画面と、それ以外のユーザに対するメニュー画面との２種のみの設定であってよい。また、例えば、認証に成功した互いに異なるユーザに互いに異なるメニュー画面を設定可能であってもよい。認証が成功しないユーザにはメニュー画面が表示されないようにしてもよい。複数種類の認証方法を選択可能な態様においては、認証方法によってメニュー画面が異なっていてもよいし、異なっていなくてもよい。

画像処理装置３は、最初に表示されるメインメニュー画面と、メインメニューの画面の選択肢を選択することによって表示される１以上のサブメニュー画面とを表示可能であってよい。この場合において、ユーザ毎に設定されるメニュー画面は、メインメニュー画面であってもよいし、１以上のサブメニューの画面のうちの少なくとも１つであってもよいし、前記２種の双方であってもよい。また、ユーザ毎のメニュー画面の設定によって、サブメニュー画面の表示の可否が設定されてもよいし、複数のサブメニュー画面のうちの表示可能なサブメニュー画面の数が設定されてもよい。

上述したメニュー画面の設定は、より具体的な種々の態様で実現されてよい。以下に例を示す。

図１２Ｂは、メニュー画面の設定に利用されるメニューテーブルＤＴ７の構成を示す模式図である。

メニューテーブルＤＴ７は、ＩＤと、メニュー画面の態様（換言すればメニュー画面の設定）を特定するメニュー情報Ｄ７と、を紐付けて記憶している。図１２Ｂでは、メニュー情報Ｄ７は、表示部３５（タッチパネル）の画面３５ａの模式図によって表現されている。画面３５ａには、例えば、複数のボタンＩＧＦが表示されており、複数のボタンＩＧＦに対して選択的に操作（例えばタップ）がなされることによって、そのボタンに対応する機能に係る処理が行われる。

画像処理装置３は、認証に成功したユーザに対応付けられているメニュー情報Ｄ７を参照して、表示部３５に表示するメニュー画面を制御する。なお、権限テーブルＤＴ３（権限情報Ｄ３）の説明は、適宜にメニューテーブルＤＴ７（メニュー情報Ｄ７）に援用されてよい。例えば、メニューテーブルＤＴ７は、画像処理装置３が保持してもよいし、サーバ５が保持していてもよい。メニューテーブルＤＴ７は、管理用テーブルＤＴ０（および／または比較用テーブルＤＴ１）と統合されていてもよいし、統合されていなくてもよい。

（７．４．ＶＰＮに関する制限解除）
認証結果に基づいて制限が解除される機能はＶＰＮ接続であってよい。具体的には、以下のとおりである。

ＶＰＮは、例えば、プライベートネットワークをパブリックネットワーク１１に仮想的に拡張する。別の観点では、ＶＰＮは、パブリックネットワーク１１を含んで構成される物理的に１つのネットワークを論理的に分割する。これにより、例えば、パブリックネットワーク１１を介した通信がセキュアな環境下で行われる。

このような仮想的な拡張または論理的な分割は、例えば、認証、トンネリングおよび暗号化によって実現される。ただし、ＶＰＮを利用した通信は、暗号化が行われずに、認証およびトンネリングが行われるものであってもよい。なお、トンネリングは、暗号化の一種と捉えることもできる。

認証では、接続を確立する対象としての正当性の確認が行われる。認証の方法としては、例えば、アカウント情報（ＩＤおよびパスワード）を用いるもの、静的鍵を用いるもの、共通鍵（共有鍵）を用いるもの、秘密鍵および公開鍵の組み合わせを用いるもの、電子署名を用いるもの、電子証明書を用いるもの、セキュリティートークンを用いるもの、および上記の２以上を組み合わせたもの（例えば多要素認証）を挙げることができる。

トンネリングでは、ネットワークを介して物理的または論理的に離れた２点間が同一点であるかのように扱うための動作が行われる。トンネリングは、例えば、カプセル化によって実現される。カプセル化では、例えば、通信に際して、パケット全体が、別のプロトコルのペイロード、別のレイヤのペイロードまたは同一のレイヤのペイロードに埋め込まれる。トンネリングは、適宜なレイヤで行われてよく、例えば、レイヤ３（ネットワーク層）またはレイヤ２（データリンク層）において行われてよい。

暗号化では、送受信される情報が第三者から解読不能な形式の情報に変換される。暗号化は、ペイロードのみに対して行われてもよいし、ヘッダおよびペイロードの双方に対して行われてもよい。別の観点では、暗号化は、適宜なレイヤで行われてよく、例えば、ネットワーク層、トランスポート層および／またはセッション層で行われてよい。暗号化の方式は適宜なものとされてよい。例えば、暗号化の方式としては、共通鍵を用いるもの、ならびに、秘密鍵および公開鍵の組み合わせを用いるものを挙げることができる。

ＶＰＮの種類は、適宜なものとされてよい。例えば、通信システム１のＶＰＮには、リモートアクセス型ＶＰＮ、および／またはＬＡＮ型（サイト間）ＶＰＮが適用されてよい。リモートアクセス型ＶＰＮでは、例えば、画像処理装置３等の通信機器にＶＰＮのクライアントソフトがインストールされて、通信機器が直接的にＶＰＮサーバとしてのサーバ５に対してＶＰＮ接続を行う。ＬＡＮ型ＶＰＮでは、例えば、ＶＰＮゲートウェイがＬＡＮ（拠点）同士をＶＰＮ接続する。

ただし、実施形態では、リモートアクセス型ＶＰＮのクライアントとして機能する画像処理装置３の動作を例に取る。

既述のように、パブリックネットワーク１１は、種々の態様とされてよい。ＶＰＮの種類の観点からは、以下のとおりである。ＶＰＮは、パブリックネットワーク１１にインターネットを含むインターネットＶＰＮであってよい。また、ＶＰＮは、パブリックネットワーク１１に通信業者等が提供する閉域ネットワークを含む、ＩＰ（Internet Protocol）－ＶＰＮ、エントリーＶＰＮまたは広域イーサネットであってよい。

ＶＰＮのためのプロトコルは、公知のものであってもよいし、新規なものであってもよく、サーバ５の管理者が独自に規定したものであってもよい。リモートアクセス型ＶＰＮの公知のプロトコルとしては、例えば、Ｌ２ＴＰ（Layer 2 Tunneling Protocol）およびＩＰｓｅｃ（Security Architecture for Internet Protocol）の組み合わせ、ならびにＰＰＴＰ（Point to Point Tunneling Protocol）を挙げることができる。

図１３は、上記のような動作の具体例を説明するフローチャートである。

図１３において、画像処理装置３は、既に触れたように、リモートアクセス型ＶＰＮのクライアントとして、ＶＰＮサーバとしてのサーバ５と通信を行うもの（例えば図１の画像処理装置３Ａまたは３Ｂ）である。データ処理装置４９は、画像処理装置３とＶＰＮ（別の観点ではＶＰＮサーバとしてのサーバ５）を介して通信を行う装置である。データ処理装置４９としては、例えば、他の画像処理装置３、サーバ７および端末９を挙げることができる。データ処理装置４９は、サーバ５であってもよいが、図１３では、両者が別個である態様を例にとっている。サーバ５ではないデータ処理装置４９は、サーバ５を含むプライベートネットワーク１３Ａに含まれるもの（３Ｃ、７または９Ａ）であってもよいし、含まれないもの（３Ａ、３Ｂまたは９Ｂ）であってもよい。図１３では、後者を例にとっている。

図１３に示す処理は、例えば、画像処理装置３においてＶＰＮ接続の開始条件が満たされたときに開始される。開始条件は、例えば、ＶＰＮ接続を指示する所定の操作が操作部３３に対してなされたこととされてよい。また、開始条件は、ＶＰＮ接続を必要とするタスク（例えばデータ処理装置４９から画像データをダウンロードして印刷する動作）の実行が操作部３３に対してなされたこととされてもよい。このようなタスクが指示されたときに、ＶＰＮ接続を行うか否かをユーザに問い合わせ、その結果、ＶＰＮ接続を指示する所定の操作がなされたときに開始条件が満たされてもよい。また、開始条件は、外部の通信機器（例えば端末９）からの所定の信号が入力されたこととされてもよい。

ＶＰＮ接続の開始条件が満たされると、第１～第３実施形態のいずれかで説明した認証のための処理が実行される。すなわち、図４の処理、図９の処理または図１１の処理が実行される。図１３では、ユーザＡのためのステップＳＴ５が例示されているが、ステップＳＴ５として示されたステップは、ユーザＢのためのステップＳＴ１２であってもよい。あるいは、その後に行われる第３実施形態のサーバ５による認証であってもよい。

認証に成功すると、画像処理装置３は、サーバ５に対してＶＰＮ接続のための認証を要求する。図示の例では、画像処理装置３は、認証に成功したユーザのアカウント情報をサーバ５に送信している（ステップＳＴ２９）。そして、サーバ５は、受信したアカウント情報が、自己が保持しているテーブル（図１１の検証用テーブルＤＴ２を参照）に登録されているか否かを判定する。これにより、認証が行われる。そして、サーバ５は、認証結果（認証の成否）をアカウント情報の送信元の画像処理装置３へ送信する（ステップＳＴ３０）。

ステップＳＴ２９においては、図１１のアカウント情報の送信と同様に、ステップＳＴ５で肯定判定がなされた場合は、画像処理装置３ＭＡは、自己が保持している比較用テーブルＤＴ１において認証に成功したユーザＡの生体情報と対応付けられているアカウント情報をサーバ５に送信する。また、画像処理装置３ＭＡは、ステップＳＴ１２で肯定判定がなされた場合は、図７または図１０のステップＳＴ４１で入力されたユーザＢのアカウント情報をサーバ５に送信する。第３実施形態においては、ステップＳＴ２９およびＳＴ３０の認証は、生体認証が成功した後、機能の制限を解除する前にサーバ５で行われる認証であってもよい。

なお、ステップＳＴ２９およびＳＴ３０においては、図１１のサーバ５による認証と同様に、アカウント情報以外の認証用情報に基づく認証が行われてもよいし、画像処理装置３ＭＢからインポートされた認証用情報が用いられてもよい。

上記の説明とは異なり、第１～第３実施形態で説明した認証が成功して機能の制限が解除されている状態で、ＶＰＮ接続の開始条件が満たされたときに、ステップＳＴ２９から処理が開始されてもよい。あるいは、第１～第３実施形態で説明した認証が成功したときに、自動的にＶＰＮ接続が行われてもよい。換言すれば、認証が成功したことがＶＰＮ接続の開始条件とされてもよい。

あるいは、第１～第３実施形態で説明した認証が行われる前に、画像処理装置３とサーバ５との間でＶＰＮ接続がなされてもよい。別の観点では、個別のユーザによって入力された認証用情報をサーバ５へ送信してＶＰＮ接続に係る認証を行うのではなく、画像処理装置３が保持している認証用情報をサーバ５へ送信してＶＰＮ接続に係る認証が行われてもよい。この場合であっても、ＶＰＮ接続を利用した機能の実行に対して、第１～第３実施形態で説明した認証を要求することによって、第三者が不正にＶＰＮ接続を利用する蓋然性は低減される。

認証が成功し、ＶＰＮ接続が確立されると、画像処理装置３は、ＶＰＮを利用した通信を行う。図１３では、データ処理装置４９から画像データをダウンロードして印刷する動作が例示されている。具体的には、以下のとおりである。

ステップＳＴ３１では、画像処理装置３は、ＶＰＮを介して画像データのダウンロードを要求する信号をサーバ５へ送信する。なお、ここでの画像データは、一般的な画像データの他、印刷ジョブとしての画像データであっても構わない。

ステップＳＴ３２では、サーバ５は、受信した信号に含まれる情報によって特定される送信先（ここではデータ処理装置４９）へ、画像データを要求する信号を送信（転送）する。このとき、データ処理装置４９がサーバ５を含むプライベートネットワーク１３Ａの外部の通信装置である場合においては、当該送信はＶＰＮを介して行われてよい（図示の例）。この場合、ステップＳＴ３２の前に予めデータ処理装置４９がサーバ５へＶＰＮ接続されている。データ処理装置４９がプライベートネットワーク１３Ａに含まれる通信装置である場合においては、通常のプライベートネットワーク１３Ａ内における通信が行われてよい。

ステップＳＴ３３では、データ処理装置４９は、要求された画像データをサーバ５へ送信する。このとき、ステップＳＴ３２と同様に、データ処理装置４９がプライベートネットワーク１３Ａの外部に位置する場合はＶＰＮが利用されてよく（図示の例）、データ処理装置４９がプライベートネットワーク１３Ａの内部に位置する場合は通常のプライベートネットワーク１３Ａ内における通信が行われてよい。

ステップＳＴ３４では、サーバ５は、受信した画像データを画像処理装置３へ送信（転送）する。このときの送信は、ＶＰＮを介してなされる。

ステップＳＴ３５では、画像処理装置３は、受信した画像データに基づく印刷を実行する。

画像処理装置３がＶＰＮ接続を行うＶＰＮサーバは、画像処理装置３を使用しているユーザが選択可能であってもよいし、選択不可能であってもよい。前者の場合、画像処理装置３は、１つのＶＰＮを構成する２以上のＶＰＮサーバからのみ接続先を選択可能であってもよいし、互いに異なる２以上のＶＰＮを構成する２以上のＶＰＮサーバから接続先を選択可能であってもよい。

ＶＰＮ接続は、適宜な切断条件が満たされたときに切断されてよい。例えば、切断条件は、切断を指示する所定の操作が操作部３３に対してなされたとこととされてよい。ＶＰＮ接続が、ＶＰＮ接続を必要とするタスクの実行の指示に基づいてなされる態様においては、切断条件は、上記タスクが終了したこととされてよい。また、例えば、切断条件は、認証状態が解除されたこととされてよい。なお、認証状態が解除される条件の例について既に述べた。

上記の説明では、画像処理装置３がデータ処理装置４９から画像データを受信して印刷を行う動作を例に取った。ただし、ＶＰＮを利用する動作は、これ以外にも種々可能である。例えば、スキャナ２１によって取得した情報（例えば画像データ）がＶＰＮを介してデータ処理装置４９へ送信されてよい。

（８．実施形態のまとめ）
以上のとおり、第１実施形態（または第３実施形態）に係る画像処理装置３は、画像処理部３１と、入力部（検出部２５）と、メモリ（補助記憶装置４５）と、制御部２９と、を有している。画像処理部３１は、プリンタ１９およびスキャナ２１の少なくとも一方を含。検出部２５は、ユーザの生体情報が入力される。補助記憶装置４５は、ユーザ毎の第１の生体情報を保存する。制御部２９は、検出部２５に入力された第２の生体情報と、補助記憶装置４５に保存されている第１の生体情報とを比較する認証の結果に基づき画像処理部３１に関連する機能の制限解除を制御する（ステップＳＴ１～ＳＴ７）。画像処理装置３ＭＡは、第１ユーザ（ユーザＢ）を特定する情報の入力（例えばステップＳＴ４１のアカウント情報の入力）に応じて他の画像処理装置３ＭＢからインポートしたユーザＢの第１の生体情報とユーザＢの第２の生体情報とを比較する認証の結果に基づき画像処理部３１に関連する機能の制限解除を制御することもできる（ステップＳＴ８～ＳＴ１４）。

従って、例えば、実施形態の概要の説明で述べた効果が奏される。例えば、ユーザＢの利便性の向上、画像処理装置３ＭＡの記憶容量の節約、および／またはネットワーク１０の負担軽減が図られる。また、画像処理装置３は、ユーザＢを特定する情報（例えばＩＤ）が画像処理装置３ＭＡに入力されることに応じて第１の生体情報をインポートするから、そのとき必要な第１の生体情報（すなわちユーザＢの第１の生体情報）だけを他の画像処理装置３（例えば３ＭＢ）に対して要求できる。別の観点では、画像処理装置３は、ユーザＢの第１の生体情報を使用した後、当該情報を消去できる。従って、例えば、定期的に他の画像処理装置の管理用テーブルＤＴ０に基づいて自己の管理用テーブルを更新する画像処理装置に比較して、記憶容量を節約できる。なお、上記のユーザＢを特定する情報は、ＩＤ（またはアカウント情報）に限定されず、例えば、他の認証用情報（第２の生体情報を除く）であっても構わない。

第１実施形態（または第３実施形態）に係る画像処理装置３は、アカウント情報が入力されるＵＩ部２３をさらに有していてよい。アカウント情報は、ＩＤとパスワードとを含んでよい。画像処理装置３ＭＡは、他の画像処理装置３ＭＢに前記第１ユーザ（ユーザＢ）の第１の生体情報を要求する際に、ＵＩ部２３に入力されたユーザＢのアカウント情報を画像処理装置３ＭＢに送信してよい（図７のステップＳＴ４２）。

この場合、例えば、画像処理装置３ＭＢは、画像処理装置３Ａから送信されたアカウント情報に基づく認証を行って、認証に成功したときだけ、ユーザＢの第１の生体情報をエクスポートすることができる。その結果、例えば、ユーザＢの第１の生体情報の意図されていない流出が生じる蓋然性が低減される。また、アカウント情報を用いることから、他の認証用情報を用いる態様に比較して、ユーザＢの手続きが簡単である。

第１実施形態（または第３実施形態）に係る画像処理装置３ＭＡは、所定時間が経過したことを含む消去条件が満たされたときに、他の画像処理装置３ＭＢからインポートした第１ユーザ（ユーザＢ）の第１の生体情報を消去してよい（図７のステップＳＴ５２）。

この場合、例えば、インポートされた生体情報が自動的に消去され、生体情報の意図されていない流出が生じる蓋然性が低減される。また、所定時間を適宜に設定することによって、インポートされた生体情報の再利用による利便性の向上と、インポートされた生体情報の消去によるセキュリティ向上とをバランスさせることができる。

第１実施形態（または第３実施形態）に係る画像処理装置３ＭＡは、認証の結果に基づき制限が解除された画像処理部３１に関連する機能の実行が完了したことを含む消去条件が満たされたときに、他の画像処理装置３ＭＢからインポートした第１ユーザ（ユーザＢ）の第１の生体情報を消去してよい（図７のステップＳＴ５２）。

この場合、例えば、制限が解除された機能の実行が完了するごとにインポートされた生体情報が消去されることから、セキュリティが向上する。

第１実施形態（または第３実施形態）に係る画像処理装置３は、ユーザの操作を受け付けるＵＩ部２３をさらに有していてよい。画像処理装置３ＭＡは、ＵＩ部２３に所定の操作がなされたことを含む消去条件が満たされたときに、他の画像処理装置３ＭＡからインポートした第１ユーザ（ユーザＢ）の第１の生体情報を消去してよい（図７のステップＳＴ５２）。

この場合、例えば、ユーザＢは、インポートされた生体情報を自ら消去することができる。これにより、例えば、ユーザＢは、消去条件に含まれる他の条件（例えば所定時間の経過による消去）の有無および／または設定によらずに、自己の生体情報の意図されていない流出の蓋然性を低減することができる。

第１実施形態（または第３実施形態）に係る画像処理装置３ＭＡは、所定の自動消去条件が満たされたときに他の画像処理装置３ＭＢからインポートしたユーザＢの第１の生体情報を自動的に（第１の生体情報を消去するための操作を受け付けずに）消去してよい（図７のステップＳＴ５２）。画像処理装置３ＭＡは、ユーザＢの第２の生体情報と、画像処理装置３ＭＢからインポートしたユーザＢの第１の生体情報とを比較して認証に成功した後（ステップＳＴ４８の肯定判定の後）、かつ自動消去条件が満たされる前（ステップＳＴ５１の肯定判定の前）に、入力部（検出部２５）に再入力されたユーザＢの第２の生体情報と、画像処理装置３ＭＢからインポートしたユーザＢの第１の生体情報とを比較して再認証を行ってよい（図８のステップＳＴ５６）。

この場合、例えば、図８の説明で述べたように、ユーザＢの第１の生体情報がインポートされる頻度が低減され、ネットワーク１０の負担が軽減される。一方で、インポートされた第１の生体情報は、自動的に消去されるから、第１の生体情報の意図されていない流出が生じる蓋然性が低減される。

第１実施形態（または第３実施形態）に係る画像処理装置３ＭＡは、所定の消去条件が満たされるまで第２の生体情報を保持し、新たに検出された第２の生体情報と、保持している第２の生体情報とを比較する再認証を行い、再認証の結果に応じて機能の制限解除を制御してよい（図８のステップＳＴ５６）。

この場合、図８の説明で述べたように、現在のユーザの体調等に応じた第２の生体情報が第１の生体情報の代わりに用いられるから、体調等に応じて再認証が失敗する蓋然性が低減される。また、第２の生体情報は、いずれ消去されるから、画像処理装置３ＭＡの記憶容量が節約される。

第２実施形態（または第３実施形態）に係る画像処理装置３は、画像処理部３１と、入力部（検出部２５）と、メモリ（補助記憶装置４５）と、制御部２９と、を有している。画像処理部３１は、プリンタ１９およびスキャナ２１の少なくとも一方を含。検出部２５は、ユーザの生体情報が入力される。補助記憶装置４５は、ユーザ毎の第１の生体情報を保存する。制御部２９は、検出部２５に入力された第２の生体情報と、補助記憶装置４５に保存されている第１の生体情報とを比較する認証の結果に基づき画像処理部３１に関連する機能の制限解除を制御する（ステップＳＴ１～ＳＴ７）。画像処理装置３ＭＡは、他の画像処理装置３ＭＢに第１ユーザ（ユーザＢ）の第２の生体情報をエクスポートし（図９のステップＳＴ６３）、画像処理装置３ＭＢから受信した認証の結果に基づき画像処理部３１に関連する機能の制限解除を制御することもできる（ステップＳＴ１３）。

従って、第２実施形態においても、実施形態の概要で述べた効果が奏される。例えば、ユーザＢの利便性の向上、画像処理装置３ＭＡの記憶容量の節約、および／またはネットワーク１０の負担軽減が図られる。

第２実施形態に係る画像処理装置３は、アカウント情報が入力されるＵＩ部２３をさらに有していてよい。アカウント情報は、ＩＤとパスワードとを含んでよい。画像処理装置３ＭＡは、ＵＩ部２３に入力された第１ユーザ（ユーザＢ）のアカウント情報を他の画像処理装置３ＭＢに送信してよく（図１０のステップＳＴ４２）、画像処理装置３ＭＢからユーザＢのアカウント情報に基づく認証の成功が通知された場合に（ステップＳＴ７２で肯定判定がなされた場合に）、画像処理装置３ＭＢへユーザＢの第２の生体情報をエクスポートしてよい（ステップＳＴ７３）。

この場合、例えば、画像処理装置３ＭＡが誤った送信先にユーザＢの第２の生体情報をエクスポートする蓋然性が低減される。すなわち、第２の生体情報の意図されていない流出が生じる蓋然性が低減される。また、アカウント情報を用いることから、他の認証用情報を用いる態様に比較して、ユーザＢの手続きが簡単である。

第２実施形態に係る画像処理装置３ＭＡは、所定の消去条件（図１０のステップＳＴ７９）が満たされるまで第１ユーザ（ユーザＢ）の第２の生体情報を保持してよく、消去条件が満たされる前に所定の再認証条件が満たされたときに、ユーザＢの第２の生体情報を画像処理装置３ＭＢに再度エクスポートしてよい（図８のステップＳＴ５６）。

この場合、例えば、５．３．２節で述べたように、画像処理装置３ＭＢによる再認証が必要になったときに、ユーザＢに生体情報の再入力を要求する必要性が低減され、ユーザＢの利便性が向上する。なお、セキュリティの観点からは、上記の説明とは異なり、再認証の必要性が生じるたびに、ユーザＢに生体情報の再入力が要求されてよい。

第１～第３実施形態に係る画像処理装置３は、個々のユーザに対して複数種類の第１の生体情報をメモリ（補助記憶装置４５）に登録可能であってよい。

この場合、３．１節で述べたように、例えば、生体情報による認証に失敗したときに他の生体情報によって認証することができ利便性が向上する。および／または、ユーザまたは機能に応じて、２種以上の生体情報を要求することによってセキュリティを高くすることができる。

第１～第３実施形態に係る画像処理装置３ＭＡは、ユーザによる他の画像処理装置３ＭＢ（インポート元またはエクスポート先）の情報を特定する情報の入力を受け付けるＵＩ部２３をさらに有していてよい（図５Ｃ参照）。

この場合、画像処理装置３ＭＡは、複数の他の画像処理装置３に対して、ユーザＢの第１の生体情報を保持しているか否か問い合わせなくてよい。その結果、例えば、通信システム１の負担が軽減される。特に、通信システム１が含む画像処理装置３の数が多いときに画像処理装置３の負担およびネットワーク１０の負担が軽減される。

第１～第３実施形態に係る画像処理装置３ＭＡは、他の画像処理装置３ＭＢ（インポート元またはエクスポート先）の複数の候補を表示する表示部３５をさらに有していてよい（図５Ｃ参照）。

この場合、例えば、ユーザＢは、複数の候補から画像処理装置３ＭＢを選択すればよいから、ユーザＢの負担が軽減される。また、図５Ｃのように、複数の候補または複数の候補と対応付けられているボタン（ソフトウェアキーまたはハードウェアキー）に対する操作によって画像処理装置３ＭＢを選択可能な態様では、画像処理装置３ＭＢのアドレスを入力する態様に比較して、さらにユーザの負担が軽減される。

第３実施形態（図１１）において、メモリ（補助記憶装置４５）は、ユーザ毎に第１の生体情報と認証用情報（例えばアカウント情報）とを関連付けて保存していてよい。画像処理装置３ＭＡは、第２の生体情報と一致する第１の生体情報に関連付けて保存されている認証用情報に基づく情報を外部認証装置（サーバ５）に送信してよく、送信した情報に基づく認証結果をサーバ５から受信してよく、受信した認証結果に基づいて、画像処理部３１に関連する機能の制限解除を制御してよい。

なお、上記は、ユーザがユーザＡの場合の動作である。既述のとおり、ユーザがユーザＢの場合においては、画像処理装置３ＭＡに保存されている認証用情報に代えて、ユーザＢが入力した認証用情報、または画像処理装置３ＭＢからインポートされた認証用情報が用いられ、上記と同様の動作が行われてよい。

上記のような動作が行われる場合、例えば、第３実施形態の説明で述べたように、生体認証（ローカル認証）と、サーバ５における認証との２段階の認証によって、機能の制限が解除されるから、セキュリティが向上する。また、別の観点では、ユーザＡが画像処理装置３ＭＡを利用する場合、ユーザＡは、アカウント情報を入力せずに機能制限を解除できるから、利便性が向上する。

第１～第３実施形態において、メモリ（補助記憶装置４５）は、ユーザ毎に第１の生体情報と認証用情報（例えばアカウント情報）とを関連付けて保存していてよい。画像処理装置３ＭＡは、外部認証装置（サーバ５）とのＶＰＮ接続のための認証を行うときに、第２の生体情報と一致する第１の生体情報に関連付けて保存されている認証用情報に基づく情報をサーバ５へ送信してよい（図１３のステップＳＴ２９）。

なお、上記は、ユーザがユーザＡの場合の動作である。既述のとおり、ユーザがユーザＢの場合においては、画像処理装置３ＭＡに保存されている認証用情報に代えて、ユーザＢが入力した認証用情報、または画像処理装置３ＭＢからインポートされた認証用情報が用いられ、上記と同様の動作が行われてよい。

この場合、例えば、ＶＰＮ接続は、第３実施形態と同様に、２段階の認証を経ることになる。その結果、セキュリティが向上する。また、別の観点では、ユーザＡが画像処理装置３ＭＡを利用する場合、ユーザＡは、アカウント情報を入力せずにＶＰＮ接続を行うことができるから、利便性が向上する。

第１～第３実施形態に係る通信システム１は、上記のような画像処理装置３ＭＡと、他の画像処理装置３ＭＢとを有している。

これにより、上述した種々の効果が奏される。

第１実施形態（または第３実施形態）に係る通信システム１は、第１実施形態（または第３実施形態）画像処理装置３ＭＡと、他の画像処理装置３ＭＢと、を有していてよい。画像処理装置３ＭＡは、アカウント情報が入力されるＵＩ部２３をさらに有していてよく、ＵＩ部２３に入力された第１ユーザ（ユーザＢ）のアカウント情報を画像処理装置３ＭＢに送信してよい（図７のステップＳＴ４２）。アカウント情報は、ＩＤとパスワードとを含んでよい。画像処理装置３ＭＢは、ユーザ毎に第１の生体情報とアカウント情報とを関連付けて保存していてよく、画像処理装置３ＭＡから受信したアカウント情報と一致するアカウント情報に関連付けて保存されている第１の生体情報を画像処理装置３ＭＡにエクスポートしてよい（図７のステップＳＴ４５）。画像処理装置３ＭＡは、画像処理装置３ＭＢからエクスポートされたユーザＢの第１の生体情報とユーザＢの第２の生体情報とを比較して認証を行ってよい（ステップＳＴ４８）。

この場合、画像処理装置３ＭＢは、画像処理装置３Ａから送信されたアカウント情報に基づく認証を行って、認証に成功したときだけ、ユーザＢの第１の生体情報をエクスポートする。その結果、例えば、ユーザＢの第１の生体情報の意図されていない流出が生じる蓋然性が低減される。また、アカウント情報を用いることから、他の認証用情報を用いる態様に比較して、ユーザＢの手続きが簡単である。

第２実施形態（または第３実施形態）に係る通信システム１は、第２実施形態（または第３実施形態）に係る画像処理装置３ＭＡと、他の画像処理装置３ＭＢと、を有していてよい。画像処理装置３ＭＡは、アカウント情報が入力されるＵＩ部２３をさらに有していてよく、ＵＩ部２３に入力された第１ユーザ（ユーザＢ）のアカウント情報を画像処理装置３ＭＢに送信してよい（図１０のステップＳＴ４２）。アカウント情報は、ＩＤとパスワードとを含んでよい。画像処理装置３ＭＢは、ユーザ毎に第１の生体情報とアカウント情報とを関連付けて保存していてよく、画像処理装置３ＭＡから受信したアカウント情報と一致するアカウント情報が保存されている場合に、認証の成功を画像処理装置３ＭＡに通知してよい（図１０のステップＳＴ７１）。画像処理装置３ＭＡは、認証の成功が通知された場合に、画像処理装置３ＭＢへユーザＢの第２の生体情報をエクスポートしてよい（ステップＳＴ７３）。画像処理装置３ＭＢは、画像処理装置３ＭＡからエクスポートされたユーザＢの第２の生体情報と、ユーザＢの第１の生体情報とを比較して認証を行ってよく（ステップＳＴ７４）、該認証の結果を画像処理装置３ＭＡに送信してよい（ステップＳＴ７５）。

この場合、例えば、画像処理装置３ＭＡが誤った送信先にユーザＢの第２の生体情報をエクスポートする蓋然性が低減される。すなわち、第２の生体情報の意図されていない流出が生じる蓋然性が低減される。また、アカウント情報を用いることから、他の認証用情報を用いる態様に比較して、ユーザＢの手続きが簡単である。

第２実施形態（または第３実施形態）において、他の画像処理装置３ＭＢは、所定時間が経過したことを含む消去条件が満たされたときに、画像処理装置３ＭＡからエクスポートされた第２の生体情報を消去してよい（図１０のステップＳＴ８２）。

この場合、例えば、エクスポートされた第２の生体情報の意図されていない流出が生じる蓋然性が低減される。また、上記の所定時間を適宜に設定することによって、第２の生体情報の再利用による利便性の向上と、第２の生体情報の消去によるセキュリティ向上とをバランスさせることができる。

第２実施形態（または第３実施形態）において、他の画像処理装置３ＭＢは、画像処理装置３ＭＡから第１ユーザ（ユーザＢ）の第２の生体情報を消去する要請を受信したことを含む消去条件が満たされたときに、画像処理装置３ＭＡかエクスポートされた第２の生体情報を消去してよい（図１０のステップＳＴ８２）。

この場合、例えば、エクスポートされた第２の生体情報の意図されていない流出が生じる蓋然性が低減される。また、画像処理装置３ＭＡの状況に応じて画像処理装置３ＭＢが保持している第２の生体情報が消去される。その結果、例えば、ユーザＢは、画像処理装置３ＭＢから離れているにも関わらず、画像処理装置３ＭＢが保持している第２の生体情報の消去を制御することができる。これにより、例えば、利便性および／またはセキュリティを向上させることができる。

第２実施形態（または第３実施形態）において、他の画像処理装置３ＭＢは、所定の消去条件が満たされるまで第１ユーザ（ユーザＢ）の第２の生体情報を保持してよく、消去条件が満たされる前に、画像処理装置３ＭＡからユーザＢの第２の生体情報が再びエクスポートされたときに、再びエクスポートされたユーザＢの第２の生体情報と、保持しているユーザＢの第２の生体情報とを比較して認証を行ってよく、該認証の結果を画像処理装置３ＭＡに送信してよい（図５のステップＳＴ５６を参照）。

この場合、例えば、５．３．２節で述べたように、エクスポートされた第２の生体情報を登録されている第１の生体情報に代えて用い、再認証を行うことができる。これにより、再認証がユーザの体調等に起因して失敗する蓋然性が低減される。

なお、以上の実施形態において、画像処理装置３ＭＡは画像処理装置の一例であり、画像処理装置３ＭＢは他の画像処理装置の一例である。検出部２５は入力部の一例である。補助記憶装置４５はメモリの一例である。サーバ５は外部認証装置の一例である。アカウント情報は認証用情報の一例である。

本開示に係る技術は、以上の実施形態に限定されず、種々の態様で実施されてよい。

例えば、画像処理装置は、プリンタおよびスキャナを含む複合機ではなく、印刷機能のみを有するもの（すなわち狭義のプリンタ）、またはスキャナ機能のみを有するもの（すなわち狭義のスキャナ）であってもよい。なお、複合機は、（広義の）プリンタまたは（広義の）スキャナとして捉えられてよい。

本開示からは、第１の生体情報のインポート（第１実施形態）または第２の生体情報のエクスポート（第２実施形態）を要件としない概念を抽出可能である。例えば、複数種類の生体認証を登録可能な構成は、生体情報のインポートおよびエクスポートと切り離されて抽出されてもよい。

１…通信システム、３、３Ａ、３Ｂ、３Ｃ、３ＭＡおよび３ＭＢ…画像処理装置、５…サーバ（外部認証装置）、１９…プリンタ、２１…スキャナ、２３…ＵＩ部（入力部）、２５…検出部（入力部）、２７…通信部、２９…制御部、３１…画像処理部、３３…操作部（入力部）、３７…コネクタ（入力部）、４５…補助記憶装置（メモリ）。

Claims (19)

1. ネットワークに接続される画像処理装置であって、
   プリンタおよびスキャナの少なくとも一方を含む画像処理部と、
   ユーザの生体情報が入力される入力部と、
   ユーザ毎の第１の生体情報を保存するメモリと、
   前記入力部に入力された第２の生体情報と、前記メモリに保存されている前記第１の生体情報とを比較する認証の結果に基づく、前記画像処理部に関連する機能の制限解除の制御、および
   第１ユーザを特定する情報の入力に応じて前記ネットワークを介して他の画像処理装置からインポートした前記第１ユーザの第１の生体情報と、前記入力部に入力された前記第１ユーザの第２の生体情報とを比較する認証の結果に基づく、前記画像処理部に関連する機能の制限解除の制御、を行う制御部と、
   を備える画像処理装置。
2. アカウント情報が入力されるＵＩ部をさらに有しており、
   アカウント情報は、ＩＤとパスワードとを含み、
   前記他の画像処理装置に前記第１ユーザの第１の生体情報を要求する際に、前記ＵＩ部に入力された前記第１ユーザのアカウント情報を前記他の画像処理装置に送信する
   請求項１に記載の画像処理装置。
3. 所定時間が経過したことを含む消去条件が満たされたときに、前記他の画像処理装置からインポートした前記第１ユーザの第１の生体情報を消去する
   請求項１に記載の画像処理装置。
4. 認証の結果に基づき制限が解除された前記画像処理部に関連する機能の実行が完了したことを含む消去条件が満たされたときに、前記他の画像処理装置からインポートした前記第１ユーザの第１の生体情報を消去する
   請求項１に記載の画像処理装置。
5. ユーザの操作を受け付けるＵＩ部をさらに有しており、
   ＵＩ部に所定の操作がなされたことを含む消去条件が満たされたときに、前記他の画像処理装置からインポートした前記第１ユーザの第１の生体情報を消去する
   請求項１に記載の画像処理装置。
6. 所定の自動消去条件が満たされたときに前記他の画像処理装置からインポートした前記第１ユーザの第１の生体情報を自動的に消去し、
   前記第１ユーザの第２の生体情報と、前記他の画像処理装置からインポートした前記第１ユーザの第１の生体情報とを比較して認証に成功した後、かつ前記自動消去条件が満たされる前に、前記入力部に再入力された前記第１ユーザの第２の生体情報と、前記他の画像処理装置からインポートした前記第１ユーザの第１の生体情報とを比較して再認証を行うことができる
   請求項１に記載の画像処理装置。
7. 所定の消去条件が満たされるまで第２の生体情報を保持し、新たに検出された第２の生体情報と、保持している第２の生体情報とを比較する再認証を行い、再認証の結果に応じて機能の制限解除を制御する
   請求項１に記載の画像処理装置。
8. ネットワークに接続される画像処理装置であって、
   プリンタおよびスキャナの少なくとも一方を含む画像処理部と、
   ユーザの生体情報が入力される入力部と、
   ユーザ毎の第１の生体情報を保存するメモリと、
   前記入力部に入力された第２の生体情報と、前記メモリに保存された前記第１の生体情報とを比較する認証の結果に基づく、前記画像処理部に関連する機能の制限解除の制御、および
   前記入力部に入力された第１ユーザの第２の生体情報を前記ネットワークを介してエクスポートして他の画像処理装置から受信した前記第１ユーザの第２の生体情報に基づいた認証の結果に基づく、前記画像処理部に関連する機能の制限解除の制御、を行う制御部と、
   を備える画像処理装置。
9. アカウント情報が入力されるＵＩ部をさらに有しており、
   アカウント情報は、ＩＤとパスワードとを含み、
   前記ＵＩ部に入力された前記第１ユーザのアカウント情報を前記他の画像処理装置に送信し、前記他の画像処理装置から前記第１ユーザのアカウント情報に基づく認証の成功が通知された場合に、前記他の画像処理装置へ前記第１ユーザの第２の生体情報をエクスポートする
   請求項８に記載の画像処理装置。
10. 所定の消去条件が満たされるまで前記第１ユーザの第２の生体情報を保持し、前記消去条件が満たされる前に所定の再認証条件が満たされたときに、保持している前記第１ユーザの第２の生体情報を前記他の画像処理装置に再度エクスポートする
    請求項８に記載の画像処理装置。
11. 個々のユーザに対して複数種類の第１の生体情報を前記メモリに登録可能である
    請求項１に記載の画像処理装置。
12. ユーザによる前記他の画像処理装置を特定する情報の入力を受け付けるＵＩ部をさらに有している
    請求項１に記載の画像処理装置。
13. 前記他の画像処理装置となる複数の候補を表示する表示部をさらに有している
    請求項１に記載の画像処理装置。
14. 前記メモリは、ユーザ毎に第１の生体情報と認証用情報とを関連付けて保存しており、
    第２の生体情報と一致する第１の生体情報に関連付けて保存されている認証用情報に基づく情報を外部認証装置に送信し、送信した情報に基づく認証結果を前記外部認証装置から受信し、受信した認証結果に基づいて前記画像処理部に関連する機能の制限解除を制御する
    請求項１に記載の画像処理装置。
15. 前記メモリは、ユーザ毎に第１の生体情報と認証用情報とを関連付けて保存しており、
    外部認証装置とのＶＰＮ接続のための認証を行うときに、第２の生体情報と一致する第１の生体情報に関連付けて保存されている認証用情報に基づく情報を外部認証装置へ送信する
    請求項１に記載の画像処理装置。
16. 請求項１～１５のいずれか１項に記載の画像処理装置と、
    前記他の画像処理装置と、
    を有している通信システム。
17. 請求項１～７のいずれか１項に記載の画像処理装置と、
    前記他の画像処理装置と、
    を有しており、
    前記画像処理装置は、
    アカウント情報が入力されるＵＩ部をさらに有しており、
    前記ＵＩ部に入力された前記第１ユーザのアカウント情報を前記他の画像処理装置に送信し、
    アカウント情報は、ＩＤとパスワードとを含み、
    前記他の画像処理装置は、
    ユーザ毎に第１の生体情報とアカウント情報とを関連付けて保存しており、
    前記画像処理装置から受信したアカウント情報と一致するアカウント情報に関連付けて保存されている第１の生体情報を前記画像処理装置にエクスポートし、
    前記画像処理装置は、前記他の画像処理装置からエクスポートされた前記第１ユーザの第１の生体情報と前記第１ユーザの第２の生体情報とを比較して認証を行う
    通信システム。
18. 請求項７～９のいずれか１項に記載の画像処理装置と、
    前記他の画像処理装置と、
    を有しており、
    前記画像処理装置は、
    アカウント情報が入力されるＵＩ部をさらに有しており、
    前記ＵＩ部に入力された前記第１ユーザのアカウント情報を前記他の画像処理装置に送信し、
    アカウント情報は、ＩＤとパスワードとを含み、
    前記他の画像処理装置は、
    ユーザ毎に第１の生体情報とアカウント情報とを関連付けて保存しており、
    前記画像処理装置から受信したアカウント情報と一致するアカウント情報が保存されている場合に、認証の成功を前記画像処理装置に通知し、
    前記画像処理装置は、前記認証の成功が通知された場合に、前記他の画像処理装置へ前記第１ユーザの第２の生体情報をエクスポートし、
    前記他の画像処理装置は、前記画像処理装置からエクスポートされた前記第１ユーザの第２の生体情報と、前記第１ユーザの第１の生体情報とを比較して認証を行い、該認証の結果を前記画像処理装置に送信する
    通信システム。
19. 請求項７～９のいずれか１項に記載の画像処理装置と、
    前記他の画像処理装置と、
    を有しており、
    前記他の画像処理装置は、所定の消去条件が満たされるまで前記第１ユーザの第２の生体情報を保持し、前記消去条件が満たされる前に、前記画像処理装置から前記第１ユーザの第２の生体情報が再度エクスポートされたときに、再度エクスポートされた前記第１ユーザの第２の生体情報と、保持している前記第１ユーザの第２の生体情報とを比較して認証を行い、該認証の結果を前記画像処理装置に送信する
    通信システム。

Images