(57)【要約】【課題】入替後のアプリケーションに含まれる動作未検証機能について、不意に不具合が発生してユーザが混乱する状況を回避することが可能な技術を提供する。【解決手段】画像形成装置は、入替後のアプリケーションに関する機能別検証情報を取得する（ステップＳ５２）。機能別検証情報は、入替後のアプリケーションに設けられた各機能がアプリケーションの入替ユーザによる動作検証済み機能であるか否かを、機能ごとに示す情報である。画像形成装置は、アプリケーションの入替後において、入替ユーザ以外のユーザに対しては、入替後のアプリケーションにおいて実現され得る複数の機能のうち、動作検証済み機能の使用を許諾し（ステップＳ５６）、動作検証済み機能以外の機能である未検証機能の使用を許諾しない（ステップＳ５４，Ｓ５５）。【選択図】図８
2014204204.tif 000002
【特許請求の範囲】
【請求項１】
画像形成装置であって、
前記画像形成装置に予めインストールされていたアプリケーションに関する入替動作を検知する入替検知手段と、
前記入替後のアプリケーションに設けられた各機能が前記アプリケーションの入替ユーザによる動作検証済み機能であるか否かを機能ごとに示す情報である機能別検証情報を取得する手段と、
前記アプリケーションの動作を制御する動作制御手段と、
を備え、
前記動作制御手段は、前記アプリケーションの入替後において、前記入替ユーザ以外のユーザに対しては、前記入替後のアプリケーションにおいて実現され得る複数の機能のうち、前記動作検証済み機能の使用を許諾し、前記動作検証済み機能以外の機能である未検証機能の使用を許諾しないことを特徴とする画像形成装置。
【請求項２】
請求項１に記載の画像形成装置において、
前記アプリケーションの入替時において、前記入替前のアプリケーションをアンインストールせずに保持しておくインストール制御手段、
をさらに備え、
前記動作制御手段は、前記アプリケーションの入替後において、前記複数の機能のうち前記未検証機能の実行指示を前記入替ユーザ以外のユーザから受け付けたときには、前記入替後のアプリケーションではなく前記入替前のアプリケーションを用いて前記未検証機能を実行することを特徴とする画像形成装置。
【請求項３】
請求項２に記載の画像形成装置において、
前記インストール制御手段は、前記入替後のアプリケーションが信頼性付与済みアプリケーションではない場合は、前記入替前のアプリケーションをアンインストールせずに保持しておくことを特徴とする画像形成装置。
【請求項４】
請求項１ないし請求項３のいずれかに記載の画像形成装置において、
前記機能別検証情報は、複数の種類のアプリケーションごとの検証情報を有していることを特徴とする画像形成装置。
【請求項５】
請求項１ないし請求項４のいずれかに記載の画像形成装置において、
前記機能別検証情報を記憶する記憶手段、
をさらに備え、
前記記憶手段は、前記未検証機能に関して前記入替ユーザによる検証動作が終了すると、前記機能別検証情報において当該未検証機能を前記動作検証済み機能に変更して記憶することを特徴とする画像形成装置。
【請求項６】
請求項５に記載の画像形成装置において、
前記動作制御手段は、
現在のログインユーザが前記入替ユーザである場合には、前記入替後のアプリケーションの動作モードを入替モードに設定し、前記未検証機能の動作に関する前記入替ユーザによる前記検証動作を実行し、
前記ログインユーザが非入替ユーザである場合には、前記入替後のアプリケーションの動作モードを非入替モードに設定し、前記複数の機能のうち、実行指示機能が前記動作検証済み機能であるか否かに応じて、当該実行指示機能の使用の許否を決定することを特徴とする画像形成装置。
【請求項７】
請求項１ないし請求項６のいずれかに記載の画像形成装置において、
前記動作制御手段は、前記入替ユーザ以外のユーザに対しては、前記入替後のアプリケーションが信頼性付与済みアプリケーションではないことを条件として、前記ユーザによる実行指示機能が前記動作検証済み機能であるか否かに応じて使用の許否を変更することを特徴とする画像形成装置。
【請求項８】
画像形成装置に内蔵されたコンピュータに、
ａ）前記画像形成装置に予めインストールされていたアプリケーションに関する入替動作を検知するステップと、
ｂ）前記入替後のアプリケーションに設けられた各機能が前記アプリケーションの入替ユーザによる動作検証済み機能であるか否かを機能ごとに示す情報である機能別検証情報を取得するステップと、
ｃ）前記アプリケーションの入替後において、前記アプリケーションの動作を制御するステップと、
を実行させるためのプログラムであって、
前記ステップｃ）においては、前記入替ユーザ以外のユーザに対しては、前記入替後の前記アプリケーションにおいて実現され得る複数の機能のうち、前記動作検証済み機能の使用が許諾され、前記動作検証済み機能以外の機能である未検証機能の使用は許諾されないことを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＭＦＰ（マルチ・ファンクション・ペリフェラル（Multi-Functional Peripheral））などの画像形成装置およびそれに関連する技術に関する。
【背景技術】
【０００２】
画像形成装置においては、各種のアプリケーションソフトウエアプログラム（以下、単にアプリケーションとも称する）がインストールされ、当該アプリケーションがユーザにより利用される（特許文献１参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００５−９４０７９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ところで、画像形成装置にインストールされているアプリケーションをユーザ（管理ユーザ等）が更新する（入れ替える）ことが考えられる。この場合、アプリケーションの更新後（特に更新直後）においては、更新後（入替後）のアプリケーションの複数の機能の中には、当該ユーザ（管理ユーザ等）による動作確認が未だなされていないものも存在する。新たなアプリケーションにおける動作未確認の機能に不具合が存在する場合、当該動作未確認の機能を別ユーザが使用しようとすると、当該別ユーザは、それまで問題なく使用できていた当該機能を不意に利用できなくなる、という問題が存在する。
【０００５】
例えば、画像形成装置にインストールされているコピーアプリケーション（旧アプリケーション）が地紋コピー機能を有しない場合、或るユーザーＵＡ（管理ユーザ等）が、地紋コピーを行うために、旧コピーアプリケーションを新コピーアプリケーション（地紋コピー機能をも備えた新たなコピーアプリケーション）に入れ替えることがある。
【０００６】
新たなコピーアプリケーションをインストールした後の或る時点においては、地紋コピー機能に不具合がないことが当該ユーザＵＡによって確認されている一方で、旧来から備えられていた他の機能（集約コピー機能等）に不具合がないことが当該ユーザＵＡによって未だ確認されていない状況が存在する。そのような状況において、別のユーザＵＢが、当該新たなコピーアプリケーションにて「集約コピー機能」を用いようとすると、動作未確認であった「集約コピー機能」の動作に不具合が発生することがある。この場合、ユーザＵＢは、それまで使用できていた集約コピー機能を突然に（不意に）利用できなくなる。不具合の内容によっては画像形成装置の再起動等を要することもある。ユーザは、このような不具合に不意に遭遇すると、混乱してしまう。
【０００７】
そこで、この発明は、入替後のアプリケーションに含まれる動作未検証機能について、不意に不具合が発生してユーザが混乱する状況を回避することが可能な技術を提供することを課題とする。
【課題を解決するための手段】
【０００８】
上記課題を解決すべく、請求項１の発明は、画像形成装置であって、前記画像形成装置に予めインストールされていたアプリケーションに関する入替動作を検知する入替検知手段と、前記入替後のアプリケーションに設けられた各機能が前記アプリケーションの入替ユーザによる動作検証済み機能であるか否かを機能ごとに示す情報である機能別検証情報を取得する手段と、前記アプリケーションの動作を制御する動作制御手段と、を備え、前記動作制御手段は、前記アプリケーションの入替後において、前記入替ユーザ以外のユーザに対しては、前記入替後のアプリケーションにおいて実現され得る複数の機能のうち、前記動作検証済み機能の使用を許諾し、前記動作検証済み機能以外の機能である未検証機能の使用を許諾しないことを特徴とする。
【０００９】
請求項２の発明は、請求項１の発明に係る画像形成装置において、前記アプリケーションの入替時において、前記入替前のアプリケーションをアンインストールせずに保持しておくインストール制御手段、をさらに備え、前記動作制御手段は、前記アプリケーションの入替後において、前記複数の機能のうち前記未検証機能の実行指示を前記入替ユーザ以外のユーザから受け付けたときには、前記入替後のアプリケーションではなく前記入替前のアプリケーションを用いて前記未検証機能を実行することを特徴とする。
【００１０】
請求項３の発明は、請求項２の発明に係る画像形成装置において、前記インストール制御手段は、前記入替後のアプリケーションが信頼性付与済みアプリケーションではない場合は、前記入替前のアプリケーションをアンインストールせずに保持しておくことを特徴とする。
【００１１】
請求項４の発明は、請求項１ないし請求項３のいずれかの発明に係る画像形成装置において、前記機能別検証情報は、複数の種類のアプリケーションごとの検証情報を有していることを特徴とする。
【００１２】
請求項５の発明は、請求項１ないし請求項４のいずれかの発明に係る画像形成装置において、前記機能別検証情報を記憶する記憶手段、をさらに備え、前記記憶手段は、前記未検証機能に関して前記入替ユーザによる検証動作が終了すると、前記機能別検証情報において当該未検証機能を前記動作検証済み機能に変更して記憶することを特徴とする。
【００１３】
請求項６の発明は、請求項５の発明に係る画像形成装置において、前記動作制御手段は、現在のログインユーザが前記入替ユーザである場合には、前記入替後のアプリケーションの動作モードを入替モードに設定し、前記未検証機能の動作に関する前記入替ユーザによる前記検証動作を実行し、前記ログインユーザが非入替ユーザである場合には、前記入替後のアプリケーションの動作モードを非入替モードに設定し、前記複数の機能のうち、実行指示機能が前記動作検証済み機能であるか否かに応じて、当該実行指示機能の使用の許否を決定することを特徴とする。
【００１４】
請求項７の発明は、請求項１ないし請求項６のいずれかの発明に係る画像形成装置において、前記動作制御手段は、前記入替ユーザ以外のユーザに対しては、前記入替後のアプリケーションが信頼性付与済みアプリケーションではないことを条件として、前記ユーザによる実行指示機能が前記動作検証済み機能であるか否かに応じて使用の許否を変更することを特徴とする。
【００１５】
請求項８の発明は、画像形成装置に内蔵されたコンピュータに、ａ）前記画像形成装置に予めインストールされていたアプリケーションに関する入替動作を検知するステップと、ｂ）前記入替後のアプリケーションに設けられた各機能が前記アプリケーションの入替ユーザによる動作検証済み機能であるか否かを機能ごとに示す情報である機能別検証情報を取得するステップと、ｃ）前記アプリケーションの入替後において、前記アプリケーションの動作を制御するステップと、を実行させるためのプログラムであって、前記ステップｃ）においては、前記入替ユーザ以外のユーザに対しては、前記入替後の前記アプリケーションにおいて実現され得る複数の機能のうち、前記動作検証済み機能の使用が許諾され、前記動作検証済み機能以外の機能である未検証機能の使用は許諾されないことを特徴とする。
【発明の効果】
【００１６】
請求項１ないし請求項８に記載の発明によれば、アプリケーションの入替後において、入替ユーザ以外のユーザに対しては、入替後のアプリケーションに含まれる未検証機能の使用は許諾されないので、入替後のアプリケーションの未検証機能の使用に伴い不意に不具合が発生してユーザが混乱する状況を回避することが可能である。
【００１７】
特に、請求項２に記載の発明によれば、入替後のアプリケーションの未検証機能に関しては、入替前のアプリケーションを用いて当該未検証機能が実現されるので、ユーザによって未検証機能の実行指示が受け付けられる場合であっても、当該未検証機能を確実に実行することが可能である。
【図面の簡単な説明】
【００１８】
【図１】画像形成装置を示す外観図である。
【図２】画像形成装置の機能ブロックを示す図である。
【図３】画像形成装置におけるソフトウエア構成を示す図である。
【図４】アプリケーションの入替動作を示すフローチャートである。
【図５】入替後のアプリケーションが起動される動作を示すフローチャートである。
【図６】ユーザオペレーションが開始された後の動作を示すフローチャートである。
【図７】入替ユーザモードにおける動作を示す図である。
【図８】非入替ユーザモードにおける動作を示す図である。
【図９】メニュー画面を示す図である。
【図１０】設定画面を示す図である。
【図１１】機能別検証情報（動作確認済みリスト）を示す図である。
【発明を実施するための形態】
【００１９】
以下、本発明の実施形態を図面に基づいて説明する。
【００２０】
＜１．構成概要＞
図１は、本発明の実施形態に係る画像形成装置１０を示す図であり、図２は、画像形成装置１０の機能ブロックを示す図である。ここでは、画像形成装置１０として、ＭＦＰ（マルチ・ファンクション・ペリフェラル（Multi-Functional Peripheral））を例示する。
【００２１】
ＭＦＰ１０は、スキャン機能、コピー機能、ファクシミリ機能およびボックス格納機能などを備える装置（複合機とも称する）である。具体的には、ＭＦＰ１０は、図２の機能ブロック図に示すように、画像読取部２、印刷出力部３、通信部４、格納部５、操作部６およびコントローラ９等を備えており、これらの各部を複合的に動作させることによって、各種の機能を実現する。
【００２２】
画像読取部２は、ＭＦＰ１０の所定の位置に載置された原稿を光学的に読み取って（すなわちスキャンして）、当該原稿の画像データ（原稿画像なしいスキャン画像とも称する）を生成する処理部である。この画像読取部２は、スキャン部であるとも称される。
【００２３】
印刷出力部３は、印刷対象に関するデータに基づいて紙などの各種の媒体に画像を印刷出力する出力部である。
【００２４】
通信部４は、公衆回線等を介したファクシミリ通信を行うことが可能な処理部である。通信部４は、ネットワークを介したネットワーク通信を行うことも可能である。このネットワーク通信では、たとえば、ＴＣＰ／ＩＰ（Transmission Control Protocol / Internet Protocol）等の各種のプロトコルが利用される。当該ネットワーク通信を利用することによって、ＭＦＰ１０は、所望の相手先との間で各種のデータを授受することが可能である。
【００２５】
格納部５は、ハードディスクドライブ（ＨＤＤ）等の記憶装置で構成される。格納部５は、印刷ジョブに係るデータ等を記憶する。また、格納部５は、機能別検証情報ＭＡを記憶する機能別検証情報記憶部５ｂ等を有する。機能別検証情報ＭＡは、入替後のアプリケーションに設けられた各機能がアプリケーションの入替ユーザにより動作検証された機能（動作検証済み機能）であるか否かを機能ごとに示す情報である。機能別検証情報ＭＡにおいては、複数の種類のアプリケーション（コピーアプリケーション、スキャナアプリケーション等）ごと且つ機能ごとの検証情報が個別に記憶される。具体的には、コピーアプリケーションに関して、複数の機能（地紋機能、集約機能、ステープル機能等）のそれぞれに対する検証情報（検証済みか否かを示す情報）が個別に記憶される。同様に、スキャナアプリケーションに関して、複数の機能（住所録機能、原稿設定機能等）のそれぞれに対する検証情報が個別に記憶される。他のアプリケーションについても同様に、当該アプリケーションの複数の機能のそれぞれに対する検証情報が個別に記憶される。
【００２６】
操作部６は、ＭＦＰ１０に対する入力を受け付ける操作入力部６ａと、各種情報の表示出力を行う表示部６ｂとを備えている。このＭＦＰ１０においては、略板状の操作パネル部６ｃ（図１参照）が設けられている。また、操作パネル部６ｃは、その正面側にタッチパネル２５（図１参照）を有している。タッチパネル２５は、液晶表示パネルに圧電センサ等が埋め込まれて構成され、各種情報を表示するとともに操作者からの操作入力を受け付けることが可能である。たとえば、タッチパネル２５においては、メニュー画像（ボタン画像等を含む）が表示される。操作者は、タッチパネル２５内に仮想的に配置されるボタン（ボタン画像で表現されるボタン）を押下することによって、画像形成装置１０の各種動作内容を設定することなどが可能である。タッチパネル２５は、操作入力部６ａの一部としても機能するとともに、表示部６ｂの一部としても機能する。
【００２７】
また、コントローラ９は、ＭＦＰ１０に内蔵され、ＭＦＰ１０を統括的に制御する制御装置である。コントローラ９は、ＣＰＵおよび各種の半導体メモリ（ＲＡＭおよびＲＯＭ）等を備えるコンピュータシステムとして構成される。コントローラ９は、ＣＰＵにおいて、ＲＯＭ（例えば、ＥＥＰＲＯＭ）内に格納されている所定のソフトウエアプログラム（以下、単にプログラムとも称する）を実行することによって、各種の処理部を実現する。なお、当該プログラム（詳細にはプログラムモジュール群）は、ＵＳＢメモリなどの可搬性の記録媒体、あるいは通信ネットワーク等を介してＭＦＰ１０にインストールされてもよい。
【００２８】
具体的には、図２に示すように、コントローラ９は、プログラムの実行により（特に、ＯＳ（オペレーションシステム）上でファームウエアを実行することによって）、インストール制御部１１と入替検知部１３と動作判定部１４と情報取得部１５と動作制御部１７とログイン制御部１９とを含む各種の処理部（後述）を実現する。
【００２９】
この画像形成装置１０においては、複数のアプリケーションソフトウエアＡＰ（以下、単にアプリケーションとも称する）が予めインストールされている。たとえば、コピーアプリケーションＡＰ１、スキャンアプリケーションＡＰ３、ファクシミリ通信アプリケーションＡＰ５などのデフォルトアプリケーションが予めインストールされている（図３参照）。
【００３０】
各ユーザ（一般ユーザ）は、タッチパネル２５に表示されるメニュー画面ＭＳ（図９参照）を用いて各アプリケーションを起動することが可能である。具体的には、図９においてメニュー画面ＭＳ内に設けられたボタン（ソフトウエアボタン）ＢＴ１〜ＢＴ６のいずれかを押下することによって、押下されたボタンに予め割り付けられたアプリケーションＡＰが起動される。たとえば、コピーボタンＢＴ１を押下すると、コピーボタンＢＴ１に予め割り付けられたコピーアプリケーションＡＰ１が起動される。また、コピーアプリケーションＡＰ１が起動すると、（メニュー画面ＭＳに代えて）設定画面ＳＧ（図１０）がタッチパネル２５に表示される。そして、当該設定画面ＳＧ内に含まれる各ボタンＢＴ１１〜ＢＴ１６を用いた設定操作が行われる。さらに、集約機能ボタンＢＴ１４がユーザによって押下されると、「（ページ）集約機能」に関する詳細設定画面（不図示）がタッチパネル２５に表示され、当該詳細設定に関する設定操作（「２ｉｎ１」、「４ｉｎ１」等を設定する操作）が行われる。
【００３１】
また、特定のユーザ（管理ユーザ等）ＵＡは、これらの複数の種類のアプリケーションＡＰのうちの１または２以上の種類のアプリケーションを既存のもの（デフォルトアプリケーション）からカスタマイズされたもの（カスタマイズアプリケーション）へと置き換える（入れ替える）ことが可能である。より詳細には、或る部署の管理ユーザは、良く使用する機能を付加して当該部署の各ユーザ向けにカスタマイズしたアプリケーションを導入することが可能である。
【００３２】
たとえば、ユーザＵＡは、コピーアプリケーションＡＰ１に関して、元のコピーアプリケーションＡＰ１ａを新たなコピーアプリケーションＡＰ１ｂに入れ替えることができる。ここで、入替後の新たなアプリケーションＡＰ１ｂには、入替前の元のアプリケーションＡＰ１ａでは利用できなかった機能が追加されている。より詳細には、新たなアプリケーションＡＰ１ｂでは、元のアプリケーションＡＰ１ａで利用されていた複数の機能（ここでは、カラー設定機能、倍率設定機能、濃度設定機能、集約機能、ステープル機能）に加えて、新たな機能（ここでは、地紋機能）をも利用することが可能である。新たなアプリケーションＡＰ１ｂは、ユーザ（具体的には、管理ユーザ等）によってカスタマイズされることなどによって生成される。あるいは、当該アプリケーションＡＰ１ｂは、サードパーティからの購入によって取得されるようにしてもよい。
【００３３】
インストール制御部１１は、入替ユーザ（管理ユーザ等）ＵＡによる入替対象のアプリケーションＡＰに関するインストール動作を制御する処理部である。また、インストール制御部１１は、アプリケーションの入替時において、入替前のアプリケーションをアンインストールするか否かを決定する。たとえば、アプリケーション（コピーアプリケーション）ＡＰ１の入替に関して、入替後のアプリケーションＡＰ１ｂが信頼性付与済みアプリケーション（信頼性情報ＲＭが付与されたアプリケーション（次述））ではないと判定される場合には、インストール制御部１１は、入替前のアプリケーションＡＰ１ａをアンインストールせずに保持しておく。
【００３４】
ここにおいて、全ての機能に関する動作検証が完了したアプリケーションに対しては、信頼性情報ＲＭが管理ユーザ等によって付与され、当該アプリケーション内に信頼性情報ＲＭが埋め込まれるものとする。信頼性情報ＲＭは、新たなアプリケーションＡＰ１ｂが信頼性付与済みアプリケーションであることを示す情報（換言すれば、新たなアプリケーションＡＰ１ｂに含まれる全ての機能に関する検証が完了していることを示す情報）である。信頼性情報ＲＭが埋め込まれた（付与された）アプリケーションは、信頼性付与済みアプリケーションであると判定される。
【００３５】
入替検知部１３は、画像形成装置１０に予めインストールされていたアプリケーション（例えばコピーアプリケーション）に関する入替ユーザ（具体的には、管理ユーザ等）ＵＡによる入替動作を検知する処理部である。
【００３６】
動作判定部１４は、不適正な動作が入替後のアプリケーションに存在するか否かを判定する処理部である。
【００３７】
情報取得部１５は、入替後のアプリケーションに設けられた各機能が「動作検証済み機能」であるか否か、を示す情報（機能別検証情報）ＭＡを取得する処理部である。
【００３８】
動作制御部１７は、アプリケーションの動作を制御する処理部である。動作制御部１７は、アプリケーションの入替後において、入替ユーザ以外のユーザに対しては、入替後のアプリケーションにおいて実現され得る複数の機能のうち、動作検証済み機能の使用を許諾し、動作検証済み機能以外の機能である未検証機能の使用を許諾しない。
【００３９】
ログイン制御部１９は、画像形成装置１０に対する各ユーザのログイン動作およびログイン情報の管理を行う処理部である。
【００４０】
図３は、画像形成装置１０におけるソフトウエア構成を示す図である。図３に示すように、この画像形成装置１０においては、ＯＳ（オペレーティングシステム）の上で実行されるファームウエアＦＷが実装されており、各種アプリケーションは、当該ファームウエアＦＷの上で動作する。換言すれば、ＭＦＰ１０におけるプログラム群は、三種類の階層に大別される。具体的には、当該プログラム群は、比較的下位の階層から順に、「オペレーティングシステム」（ＯＳ）、「ファームウエア」（ＦＷ）、「アプリケーション」（ＡＰＰ）の３つの階層に大別される。
【００４１】
さらに、この実施形態においては、「ファームウエア」（ＦＷ）が下位階層部分ＬＹ１と上位階層部分ＬＹ２とに分離されて設けられる（図３参照）。すなわち、ファームウエアＦＷは、階層化されて構成されている。
【００４２】
下位階層部分ＬＹ１は、ＯＳと協働して本装置（ＭＦＰ）１０における比較的下位の動作を制御する処理部であり、互いに異なる複数の種類のＭＦＰ（画像形成装置）のそれぞれに応じて個別に生成されて設けられる。下位階層部分ＬＹ１は、互いに異なる機種相互間における装置構成の相違を吸収する役割を有している。当該下位階層部分ＬＹ１は、ＭＦＰプラットフォーム（ＭＦＰ＿ＰＦ）とも称される。
【００４３】
一方、上位階層部分ＬＹ２は、アプリケーション（ＡＰＰ）階層とファームウエアＦＷの下位階層部分ＬＹ１との間で動作する処理部である。上位階層部分ＬＹ２は、互いに異なる種類の複数の画像形成装置（複数の機種）に対して共通に利用可能である。上位階層部分ＬＹ２は、各アプリケーションを管理する処理部であり、各アプリケーションにおけるジョブ要求等を、当該ＭＦＰ１０の装置構成に適合する内容に適宜修正して、下位階層部分ＬＹ１に対して送出する。当該上位階層部分ＬＹ２は、アプリケーションに関する動作を管理することから、アプリケーションプラットフォームとも称される。
【００４４】
上記の各処理部のうち、インストール制御部１１と入替検知部１３と情報取得部１５と動作制御部１７とは上位階層部分ＬＹ２に属し、ログイン制御部１９は下位階層部分ＬＹ１に属する。
【００４５】
＜２．動作＞
＜アプリケーション入替＞
つぎに、画像形成装置１０における動作について図４〜図８のフローチャート等を参照しながら説明する。図４は、アプリケーションの入替動作を示すフローチャートである。図５は、入替後のアプリケーションが起動される動作を示すフローチャートである。図６は、ユーザオペレーションが開始された後の動作を示すフローチャートである。図７および図８は、図６の一部の動作を示すフローチャートである。図７は、入替ユーザモードにおける動作を示す図であり、図８は、非入替ユーザモードにおける動作を示す図である。
【００４６】
まず、図４を参照しながら、入替ユーザ（管理ユーザ等）ＵＡによるアプリケーション入替操作が行われる際における画像形成装置１０の動作について説明する。ここでは、コピーアプリケーションＡＰ１に関する入れ替えが行われる状況を想定する。
【００４７】
図４に示すように、まずステップＳ１１において、入替ユーザＵＡによるアプリケーションＡＰ１の更新操作（入替操作）が行われる。具体的には、各種の記録媒体（ＵＳＢメモリ等）に記録されている新たなアプリケーションＡＰ１ｂが画像形成装置１０にインストールされる。なお、これに限定されず、新たなアプリケーションＡＰ１ｂは、通信ネットワークを介してダウンロードされ、画像形成装置１０にインストールされるようにしてもよい。
【００４８】
ステップＳ１２では、アプリケーションＡＰ１に関する入替動作が入替検知部１３によって検知される。詳細には、画像形成装置１０に予めインストールされていた元のアプリケーションＡＰ１ａを新たなアプリケーションＡＰ１ｂに入れ替える入替動作が行われつつあること（入替動作が進行中であること）が、入替検知部１３によって検知される。ステップＳ１２において、コピーアプリケーションＡＰ１に関する入替動作が検知されると、画像形成装置１０は、コピーアプリケーションＡＰ１に関する入替指示を行っているユーザ（入替ユーザ）ＵＡのユーザＩＤ（入替ユーザＩＤ）を取得し保持しておく（ステップＳ１３）。また、画像形成装置１０は、新たなアプリケーションＡＰ１ｂが信頼性情報ＲＭを有しているか否かを確認する（ステップＳ１４）。
【００４９】
信頼性情報ＲＭが新たなコピーアプリケーションＡＰ１ｂに含まれていることが検知されると、当該新たなコピーアプリケーションＡＰ１ｂは信頼性付与済みアプリケーションであると判定される。そして、不要になった元のコピーアプリケーションＡＰ１ａは、インストール制御部１１によって自動的にアンインストールされる（ステップＳ１６）。
【００５０】
一方、信頼性情報ＲＭが新たなコピーアプリケーションＡＰ１ｂから検出されない場合には、当該新たなコピーアプリケーションＡＰ１ｂは信頼性付与済みアプリケーションではないと判定される。そして、インストール制御部１１は、元のコピーアプリケーションＡＰ１ａをアンインストールすることなくインストールされた状態のまま保持しておく（ステップＳ１７）。ただし、コピーボタンＢＴ１に対応して起動するアプリケーションとしては、入替後のコピーアプリケーションＡＰ１ｂが新たに割り付けられる。このようにして、コピーアプリケーションが元のコピーアプリケーションＡＰ１ａから新たなコピーアプリケーションＡＰ１ｂへと入れ替えられる。なお、保持された旧アプリケーションＡＰ１ａは、後述するステップＳ５４（図８）で利用される。
【００５１】
＜新アプリケーション起動＞
つぎに、図５を参照しながら、入替後のアプリケーションＡＰ（ＡＰ１ｂ等）の起動動作について説明する。たとえば、コピーアプリケーションＡＰ１に関する入替動作（図４）が行われた後に、或るユーザ（入替ユーザＵＡあるいは別ユーザＵＢ等）によってコピーボタンＢＴ１が押下されコピーアプリケーションＡＰ１（ＡＰ１ｂ）の実行指示が画像形成装置１０に付与されると、図５の動作が実行される。これによって、実行指示の対象アプリケーションＡＰ１（ＡＰ１ｂ）は、「通常モード」、「入替ユーザモード」および「非入替ユーザモード」の３つの動作モードのうちのいずれかで起動される。
【００５２】
ステップＳ２１では、実行指示の対象アプリケーションＡＰが信頼性情報ＲＭを有するか否かが判定される。換言すれば、当該アプリケーションＡＰが信頼性付与済みアプリケーションであるか否かが判定される。
【００５３】
当該アプリケーションＡＰが信頼性情報ＲＭを有するものである場合には、ステップＳ２６に進み、アプリケーションＡＰの動作モードが通常モードに設定され、当該アプリケーションＡＰが起動される。端的に言えば、通常モードで当該アプリケーションＡＰが起動される。
【００５４】
一方、対象アプリケーションＡＰが信頼性情報ＲＭを有しないものである場合には、ステップＳ２３以降に進む。この場合には、当該対象アプリケーションＡＰに関する入替動作を行ったユーザ（入替ユーザ）ＵＡと現在ログイン中のユーザ（ログインユーザ）との異同に応じて決定されたモード（具体的には、入替ユーザモードと非入替ユーザモードとのいずれか）で当該対象アプリケーションＡＰが起動される。
【００５５】
具体的には、図４のステップＳ１３で取得されていた入替ユーザＩＤに基づいて、図４における入替操作を行ったユーザ（入替ユーザ）ＵＡが特定される（ステップＳ２３）とともに、現在ログイン中のユーザ（ログインユーザ）が特定される（ステップＳ２４）。そして、入替ユーザとログインユーザとの同一性が判定される（ステップＳ２５）。
【００５６】
ログインユーザが入替ユーザＵＡである場合には、実行対象のアプリケーションＡＰの動作モードが「入替ユーザモード」に設定され、当該アプリケーションＡＰが起動される（ステップＳ２７）。端的に言えば、「入替ユーザモード」で当該アプリケーションＡＰが起動される。
【００５７】
一方、ログインユーザが入替ユーザＵＡではない場合には、実行対象のアプリケーションＡＰの動作モードが「非入替ユーザモード」に設定され、当該アプリケーションＡＰが起動される（ステップＳ２８）。端的に言えば、「非入替ユーザモード」で当該アプリケーションＡＰが起動される。
【００５８】
＜新アプリケーションにおけるユーザ操作に応じた動作＞
次に、起動後のアプリケーションにおいて、ユーザオペレーション（ユーザ操作）が行われた際における動作について図６を参照しながら説明する。
【００５９】
ユーザオペレーションが検知される（ステップＳ３１）と、ステップＳ３２，Ｓ３３の分岐処理に進む。起動されたアプリケーション（実行中のアプリケーション）の動作モードが「非入替ユーザモード」である場合には、ステップＳ３６に進み、非入替ユーザモード処理（図８）が実行される。実行中のアプリケーションの動作モードが「入替ユーザモード」である場合には、ステップＳ３５に進み、入替ユーザモード処理（図７）が実行される。実行中のアプリケーションの動作モードが「通常モード」である場合には、ステップＳ３４に進み、通常モード処理が実行される。
【００６０】
通常モード処理においては、当該ユーザオペレーションに応じた通常の動作が画像形成装置１０によって実行される。具体的には、入替後のアプリケーションＡＰ１ｂを用いた通常動作が行われる。
【００６１】
一方、入替ユーザモード処理においては、図７のような動作が実行され、非入替ユーザモード処理においては図８のような動作が実行される。
【００６２】
入替ユーザモード処理について図７を参照しながら説明する。入替ユーザモード処理は、ログインユーザが入替ユーザＵＡと同じ人物である場合に実行される処理である。この入替ユーザモード処理（図７）においては、対象アプリケーションＡＰの各機能の動作が検証され、動作検証結果が機能別検証情報ＭＡとして機能別検証情報記憶部５ｂに記憶される。
【００６３】
具体的には、ログインユーザ（ここでは入替ユーザＵＡ）による被押下ボタンに応じて選択された機能（被選択機能）が実行される（ステップＳ４１）。たとえば、地紋機能に関する設定処理等が実行される。
【００６４】
そして、対象アプリケーションの動作が適正か否かが被選択機能について検証される（ステップＳ４２）。具体的には、被選択機能に関して、バグ（プログラムのバグ）等に起因する不適正な動作の有無等が検証される。詳細には、動作判定部１４による検証動作が実行される。
【００６５】
たとえば、対象アプリケーションにおいて複数のＡＰＩ（アプリケーションプログラミングインターフェイス（Application Programming Interface））が呼び出される順序が適正であることを条件として、当該被選択機能が適正に動作することが動作判定部１４によって判定される。より具体的には、複数のＡＰＩ（用紙決定ＡＰＩ、画像配置決定ＡＰＩ、印刷処理ＡＰＩ等）が適切な順序で呼び出されていることを条件として、被選択機能に関する動作が適正である旨が判定される。ここで、用紙決定ＡＰＩは、ユーザによる指定用紙に対応して実際の印刷対象の用紙を決定する処理を実行するＡＰＩである。また、画像配置決定ＡＰＩは、印刷対象の各ページに印刷対象の画像を配置するＡＰＩであり、印刷処理ＡＰＩは、印刷対象の用紙に画像を印刷出力するＡＰＩである。たとえば、用紙決定ＡＰＩ、画像配置決定ＡＰＩ、印刷処理ＡＰＩがこの順序で呼び出されることが適正であると判定されるための条件である。用紙決定ＡＰＩが呼び出される前に画像配置決定ＡＰＩが呼び出される場合には、不適切な順序でのＡＰＩ呼出が行われたと判定され、プログラムバグが存在する旨が判定される。
【００６６】
あるいは、パラメータ異常（パラメータ値のオーバーフロー等）が発生しないことを条件として、被選択機能に関する動作が適正である旨が判定されるようにしてもよい。
【００６７】
被選択機能（たとえば「地紋機能」）が適正に動作することが確認されると、ステップＳ４３からステップＳ４４に進み、画像形成装置１０は、当該被選択機能に関する検証結果（「動作検証済み」）を「機能別検証情報」として機能別検証情報記憶部５ｂに記憶する。具体的には、被選択機能が動作確認済み機能として「機能別検証情報」に登録される。たとえば、未検証機能「地紋機能」に関して入替ユーザ（管理ユーザ等）ＵＡによる検証動作が終了すると、機能別検証情報記憶部５ｂは、機能別検証情報ＭＡにおいて当該未検証機能「地紋機能」を動作検証済み機能に変更して記憶する（ステップＳ４４）。その後、ステップＳ４５に進む。
【００６８】
一方、被選択機能が適正に動作しないことが確認されると、ステップＳ４４の処理は行われずにステップＳ４５に進む。すなわち、機能別検証情報ＭＡは更新されない。
【００６９】
以上のような図７の動作が適宜実行されることによって、最新の機能別検証情報ＭＡ（動作確認済みリストとも称される）（図１１参照）が機能別検証情報記憶部５ｂに記憶される。なお、図１１においては、丸印が付された機能は「動作検証済み機能」であることが示されており、「未」が付された機能は「未検証機能」（動作検証が未だなされていない機能）であることが示されている。
【００７０】
次に、非入替ユーザモード処理について図８を参照しながら説明する。非入替ユーザモード処理は、ログインユーザが入替ユーザＵＡとは異なる人物である場合（たとえばログインユーザが一般ユーザＵＢである場合）に実行される処理である。非入替ユーザモード処理（図８）においては、対象アプリケーションＡＰの複数の機能のうち、ログインユーザ（一般ユーザＵＢ等）による実行指示機能が「動作検証済み機能」であるか否かに応じて、当該実行指示機能の使用の許否が決定される。
【００７１】
具体的には、まず、ステップＳ５１において、被選択機能が特定される。たとえば、コピーアプリケーションＡＰ１（ＡＰ１ｂ）においてボタンＢＴ１４が押下されたときには、「集約機能」に関する実行指示がユーザにより付与されたこと（当該実行指示を受け付けたこと）が判定される。すなわち、被選択機能が「集約」である旨が判定される。
【００７２】
ステップＳ５２においては、機能別検証情報ＭＡ（動作確認済みリスト）（図１１参照）が取得される。上述のように、機能別検証情報ＭＡは、入替後のアプリケーション（例えばコピーアプリケーションＡＰ１ｂ）に設けられた各機能が当該アプリケーションの入替ユーザＵＡによる動作検証済み機能であるか否かを機能ごとに示す情報である。機能別検証情報ＭＡは、上述の入替ユーザモード処理（図７）において随時更新されており（ステップＳ４４）、このステップＳ５２においては最新の機能別検証情報ＭＡが取得される。
【００７３】
次のステップＳ５３〜Ｓ５６においては、被選択機能が動作検証済み機能であるか否かが最新の機能別検証情報ＭＡに基づいて判定され、その判定結果に応じて、入替前後のアプリケーションの一方が適宜に選択されて利用される。
【００７４】
具体的には、ステップＳ５３において被選択機能が動作検証済み機能である旨が判定されると、ステップＳ５６に進む。ステップＳ５６では、被選択機能（動作検証済み機能）の使用が許諾され、被選択機能に関する処理が入替後のアプリケーションＡＰ（たとえばコピーアプリケーションＡＰ１ｂ）を用いて実行される。
【００７５】
たとえば、コピーアプリケーションＡＰ１ｂの地紋機能に関して入替ユーザＵＡによる検証が既に終了している場合には、一般ユーザＵＢによる操作時において、新たなコピーアプリケーションＡＰ１ｂをそのまま用いて当該地紋機能に関する処理が実行される。これにより、一般ユーザＵＢも、新たなアプリケーションＡＰ１ｂにおける新機能「地紋機能」を使用することが可能になる。
【００７６】
一方、ステップＳ５３において被選択機能が動作検証済み機能以外の機能（未検証機能）である旨が判定されると、当該被選択機能（未検証機能）の使用は許諾されない。そして、入替前のアプリケーションＡＰ（たとえばコピーアプリケーションＡＰ１ａ）が起動され（ステップＳ５４）、当該入替前のアプリケーションＡＰ（たとえばＡＰ１ａ）を用いて、被選択機能に関する処理が実行される（ステップＳ５５）。
【００７７】
たとえば、入替後のコピーアプリケーションＡＰ１ｂの「集約機能（集約コピー機能）」に関して入替ユーザＵＡによる検証が未だ終了していない場合には、一般ユーザＵＢによる操作時において、入替後の（新たな）コピーアプリケーションＡＰ１ｂではなく入替前のコピーアプリケーションＡＰ１ａを用いて当該集約機能に関する処理が実行される。
【００７８】
以上のように、入替後のアプリケーションにおいて入替ユーザＵＡ以外のユーザＵＢによる操作が受け付けられたときには、当該ユーザ操作に係る被選択機能が動作検証済み機能であるか否かが判定され、その判定結果に応じて、入替前後のアプリケーションＡＰが使い分けられる。具体的には、入替後のアプリケーションにおいて実現され得る複数の機能のうち、動作検証済み機能の使用は許諾され、入替後のアプリケーションＡＰを用いて、動作検証済み機能に関する処理が実行される（ステップＳ５６）。一方、入替後のアプリケーションにおいて実現され得る複数の機能のうち、未検証機能の使用は許諾されず、入替前のアプリケーションＡＰを用いて、未検証機能に関する処理が実行される（ステップＳ５５）。
【００７９】
このような動作によれば、入替後のアプリケーションに含まれる未検証機能の使用は許諾されないので、入替後のアプリケーションの未検証機能の使用に伴い不意に不具合が発生してユーザＵＢが混乱する状況を回避することが可能である。
【００８０】
たとえば、コピーアプリケーションＡＰ１ｂの「集約機能（集約コピー機能）」に関して入替ユーザＵＡによる検証が未だ終了していない場合には、一般ユーザＵＢが新たなコピーアプリケーションＡＰ１ｂにおける「集約機能」の実行指示を付与したときであっても、新たなコピーアプリケーションＡＰ１ｂにおける動作未確認の「集約機能」は直ちには実行されない。したがって、新たなコピーアプリケーションＡＰ１ｂの「集約機能」に不具合が存在する場合であっても、当該「集約機能」が直ちに実行されて不意に不具合が発生することを回避できる。これによれば、ユーザＵＢが混乱する状況を回避することが可能である。
【００８１】
また、特に、入替後のアプリケーション（ＡＰ１ｂ）の未検証機能（たとえば「集約機能」）に関しては、入替前のアプリケーション（ＡＰ１ａ）を用いて当該未検証機能が実現される（ステップＳ５５）ので、ユーザＵＢによる実行指定機能が未検証機能である場合であっても、当該実行指定機能を確実に実行することが可能である。
【００８２】
なお、上記のような動作（詳細には、ユーザＵＢによる実行指示機能が動作検証済み機能であるか否かに応じて使用の許否を変更する動作）は、画像形成装置にインストールされていた入替前のアプリケーションを、信頼性情報ＲＭが付与されていない（十分な検証がなされていない）アプリケーションに入れ替える場合に、特に有用である。すなわち、入替後のアプリケーションが信頼性情報ＲＭを有していない（信頼性付与済みアプリケーションではない）場合に、特に有用である。
【００８３】
＜３．変形例等＞
以上、この発明の実施の形態について説明したが、この発明は上記説明した内容のものに限定されるものではない。
【００８４】
たとえば、上記実施形態においては、被選択機能が適正に動作するか否かが自動的に判定される態様が例示されている（図７のステップＳ４２）が、これに限定されない。具体的には、ステップＳ４２において、被選択機能が適正に動作するか否かがユーザＵＡによって判定されるようにしてもよい。そして、その検証結果がユーザＵＡによって所定の入力画面を用いて画像形成装置１０に入力され、当該入力に基づいて、被選択機能が適正に動作するか否かが「機能別検証情報」に記録されるようにしてもよい。
【００８５】
また、上記実施形態においては、入替後のアプリケーションの未検証機能に関して実行指示が付与された場合、直ちに旧アプリケーション（入替前のアプリケーション）を用いて当該未検証機能が実現される態様が例示されているが、これに限定されない。
【００８６】
たとえば、一般ユーザＵＢによる実行指定機能が（管理ユーザＵＡによる）未検証機能である場合、画像形成装置は、まず、入替後のアプリケーションに含まれる未検証機能の使用を（直ちには）許諾しないようにするとともに、当該使用不許諾の旨を操作画面に表示して一般ユーザＵＢに通知するようにしてもよい。これによれば、少なくとも、未検証機能が入替後のアプリケーションによって（無条件で）直ちに実行されてしまうことを回避できる。したがって、入替後のアプリケーションによる未検証機能の実行により不意に不具合が生じユーザＵＢが混乱する事態を回避することができる。
【００８７】
また、その後、一般ユーザＵＢによる実行指定機能が管理ユーザＵＡによる未検証機能であることを当該一般ユーザＵＢが認識した上で、当該一般ユーザＵＢが当該未検証機能の実行指示を画像形成装置に対して再度付与した場合には、画像形成装置は、当該未検証機能を入替後のアプリケーション（あるいは入替前のアプリケーション）を用いて実行するようにしてもよい。
【００８８】
また、上記実施形態においては、入替対象アプリケーションＡＰとしてコピーアプリケーションを例示したが、これに限定されず、入替対象アプリケーションＡＰは、他の種類のアプリケーション（ファクシミリ通信アプリケーション等）であってもよい。
【符号の説明】
【００８９】
１０  画像形成装置
１１  インストール制御部
１３  入替検知部
１５  情報取得部
１７  動作制御部
ＡＰ  アプリケーション
ＭＡ  機能別検証情報
ＲＭ  信頼性情報
ＵＡ  入替ユーザ（管理ユーザ）
ＵＢ  別ユーザ（一般ユーザ）
【図１】
2014204204.tif 000003
【図２】
2014204204.tif 000004
【図３】
2014204204.tif 000005
【図４】
2014204204.tif 000006
【図５】
2014204204.tif 000007
【図６】
2014204204.tif 000008
【図７】
2014204204.tif 000009
【図８】
2014204204.tif 000010
【図９】
2014204204.tif 000011
【図１０】
2014204204.tif 000012
【図１１】
2014204204.tif 000013