(57)【要約】【課題】鍵の同期外れが生じた場合でもユーザにとって使い勝手のよい画像形成装置を提供する。【解決手段】画像形成装置は、現行の復号鍵を用いて暗号化プリントジョブ実行命令を復号し（ステップＳ２０１）、暗号化プリントジョブ実行命令が適正に復号されれば（ステップＳ２０２：ＹＥＳ）、プリントジョブ実行命令に含まれるプリント対象のデータに基づいてプリントを実行し（ステップＳ２０３、Ｓ２０４）、暗号化プリントジョブ実行命令が適正に復号されなければ（ステップＳ２０２：ＮＯ）、所定の制限の範囲内で（ステップＳ２０５、Ｓ２０６）、前回の復号鍵を用いて暗号化プリントジョブ実行命令を復号する（ステップＳ２０７）。【選択図】図４
2008284720.tif 000002
【特許請求の範囲】
【請求項１】
プリント対象のデータを含むプリントジョブ実行命令が暗号化された暗号化プリントジョブ実行命令をユーザ端末から受け付ける受付手段と、
現行の復号鍵を用いて、受け付けられた暗号化プリントジョブ実行命令の復号処理を実行する主復号手段と、
前記現行の復号鍵に更新される前の復号鍵を用いて、受け付けられた暗号化プリントジョブ実行命令の復号処理を実行する補助復号手段と、
前記受付手段により暗号化プリントジョブ命令が受け付けられたとき、受け付けられた暗号化プリントジョブ実行命令の復号処理を前記主復号手段に実行させ、前記主復号手段により暗号化プリントジョブ実行命令が適正に復号されなければ、所定の制限の範囲内で前記暗号化プリントジョブ実行命令の復号処理を前記補助復号手段に実行させる復号制御手段と
を備えることを特徴とする画像形成装置。
【請求項２】
前記画像形成装置は、さらに、パスワードを記憶しているパスワード記憶手段を備え、
前記プリントジョブ実行命令は、さらに、パスワードを含み、
前記復号制御手段は、前記主復号手段により復号されて得られたプリントジョブ実行命令に含まれているパスワードと前記パスワード記憶手段に記憶されているパスワードとが一致しなければ、前記主復号手段により暗号化プリントジョブ実行命令が適正に復号されていないと判定すること
を特徴とする請求項１に記載の画像形成装置。
【請求項３】
前記プリント対象のデータは、所定のプリンタ記述言語を用いて作成されており、
前記復号制御手段は、前記主復号手段により復号されて得られたプリントジョブ実行命令に含まれているプリント対象のデータを、前記所定のプリンタ記述言語を用いて解釈することができなければ、前記主復号手段により暗号化プリントジョブ実行命令が適正に復号されないと判定すること
を特徴とする請求項１に記載の画像形成装置。
【請求項４】
前記画像形成装置は、さらに、暗号化プリントジョブ実行命令が前記主復号手段及び前記補助復号手段のいずれかにより適正に復号されれば、復号されて得られたプリントジョブ実行命令に含まれるプリント対象のデータに基づいてプリントを実行するプリント手段を備えること
を特徴とする請求項１に記載の画像形成装置。
【請求項５】
前記復号制御手段は、前記現行の復号鍵に更新される前の復号鍵の使用回数が所定回数以内であれば、前記所定の制限の範囲内であると判定すること
を特徴とする請求項１に記載の画像形成装置。
【請求項６】
前記復号制御手段は、前記現行の復号鍵に更新された時点からの経過期間が所定期間内であれば、前記所定の制限の範囲内であると判定すること
を特徴とする請求項１に記載の画像形成装置。
【請求項７】
前記復号制御手段は、前記現行の復号鍵に更新される前の復号鍵の使用回数が所定回数以内であり、かつ、前記現行の復号鍵に更新された時点からの経過期間が所定期間内であれば、前記所定の制限の範囲内であると判定すること
を特徴とする請求項１に記載の画像形成装置。
【請求項８】
前記所定の制限は、ユーザ毎に定められていること
を特徴とする請求項１に記載の画像形成装置。
【請求項９】
前記所定の制限は、ユーザ操作に基づいて変更可能であること
を特徴とする請求項１に記載の画像形成装置。
【請求項１０】
前記画像形成装置は、さらに、
前記主復号手段により暗号化プリントジョブ実行命令が適正に復号されず、かつ、前記補助復号手段により暗号化プリントジョブ実行命令が適正に復号されたとき、暗号鍵が更新されていないことを通知する通知手段を備えること
を特徴とする請求項１に記載の画像形成装置。
【請求項１１】
前記通知手段は、暗号鍵が更新されていないことを示すメッセージをディスプレイに表示すること
を特徴とする請求項１０に記載の画像形成装置。
【請求項１２】
前記通知手段は、暗号鍵が更新されていないことを示すメッセージを、前記プリント対象のデータがプリントされる用紙の表面にプリントすること
を特徴とする請求項１０に記載の画像形成装置。
【請求項１３】
前記通知手段は、暗号鍵が更新されていないことを示すメッセージを、前記プリント対象のデータがプリントされる用紙の裏面にプリントすること
を特徴とする請求項１０に記載の画像形成装置。
【請求項１４】
前記通知手段は、暗号鍵が更新されていないことを示すメッセージを、プリント対象のデータがプリントされる用紙と異なる用紙にプリントすること
を特徴とする請求項１０に記載の画像形成装置。
【請求項１５】
前記通知手段は、暗号鍵が更新されていないことを示すメッセージを前記ユーザ端末に送信すること
を特徴とする請求項１０に記載の画像形成装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、MFP(Multi Functional Peripheral)等に用いられる画像形成装置に関する。
【背景技術】
【０００２】
画像形成システムでは、ユーザ端末から画像形成装置にプリントジョブ実行命令を送信するときに、プリントジョブ実行命令の少なくとも一部が暗号化されるようなものがある。このようにすることで、プリントジョブ実行命令にパスワードや機密文書のような秘匿性の高いデータが含まれていても、第三者の盗み見から防御することができる。上記画像形成システムを実現するため、ユーザ端末は暗号鍵を記憶しており、画像形成装置は当該暗号鍵に対応する復号鍵を記憶している。暗号鍵及び復号鍵は、一般にセキュリティ向上の観点から、逐次更新されることが多い。なお暗号鍵及び復号鍵の一方だけが更新された状態（以下、「鍵の同期外れ」という。）では、暗号化されたプリントジョブ実行命令が適正に復号されないため、プリントジョブが適正に実行されないという問題が生じる。したがって、更新をする場合には、暗号鍵及び復号鍵の両方を更新する必要がある。
【０００３】
暗号鍵及び復号鍵を更新する技術としては、これまで種々の手法が提案されている。例えば、特許文献１は、暦に関するデータに基づいて所定期間ごとに暗号鍵及び復号鍵を更新する技術を開示している。また、特許文献２は、前回の暗号通信で用いた暗号鍵及び復号鍵にカウンタ値を加算して得られる結果を次回の暗号通信で用いる暗号鍵及び復号鍵とする技術を開示している。これらの技術では、暗号鍵及び復号鍵は略同時に自動更新されるので、鍵の同期外れが生じることは想定しにくい。
【特許文献１】特開平６−３３９０３６号公報
【特許文献２】特開平７−２８８５２０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
一方、画像形成システムを導入しようとするユーザによっては、暗号鍵及び復号鍵を自動更新するのではなく、管理者に手動で更新させたいという要望もある。このような場合、管理者が同時に複数のユーザ端末の暗号鍵を更新することができないという事情や、管理者があるユーザ端末だけ暗号鍵の更新を失念してしまうといった事情により、鍵の同期外れが生じるおそれがある。鍵の同期外れが生じれば、ユーザは管理者に暗号鍵を更新してもらうまでプリントジョブの実行を待たなければならず、ユーザにとって使い勝手が悪いという問題がある。
【０００５】
そこで本発明は、鍵の同期外れが生じた場合でもユーザにとって使い勝手のよい画像形成装置を提供することを目的とする。
【課題を解決するための手段】
【０００６】
上記課題を解決するために、本発明に係る画像形成装置は、プリント対象のデータを含むプリントジョブ実行命令が暗号化された暗号化プリントジョブ実行命令をユーザ端末から受け付ける受付手段と、現行の復号鍵を用いて、受け付けられた暗号化プリントジョブ実行命令の復号処理を実行する主復号手段と、前記現行の復号鍵に更新される前の復号鍵を用いて、受け付けられた暗号化プリントジョブ実行命令の復号処理を実行する補助復号手段と、前記受付手段により暗号化プリントジョブ命令が受け付けられたとき、受け付けられた暗号化プリントジョブ実行命令の復号処理を前記主復号手段に実行させ、前記主復号手段により暗号化プリントジョブ実行命令が適正に復号されなければ、所定の制限の範囲内で前記暗号化プリントジョブ実行命令の復号処理を前記補助復号手段に実行させる復号制御手段とを備える。
【０００７】
なお本明細書では、「プリントジョブ実行命令の暗号化」とは、プリントジョブ実行命令の全部を暗号化することだけでなく、プリントジョブ実行命令の所定の一部分を暗号化することも含むものとする。また「現行の復号鍵に更新される前の復号鍵」とは、前回の復号鍵だけでなく、前々回やその前の復号鍵など前回以前の復号鍵を含むものとする。
【発明の効果】
【０００８】
上記構成によれば、プリントジョブ実行命令が現行の暗号鍵よりも前の暗号鍵で暗号化されていたとしても、暗号化プリントジョブ実行命令は適正に復号される。したがってユーザは管理者に暗号鍵を更新してもらうまで待つ必要がなく、ユーザの使い勝手を向上させることができる。また現行の復号鍵よりも前の復号鍵を無制限に使用させることとすると、暗号鍵及び復号鍵を逐次更新することでセキュリティを向上させるという効果を減殺させてしまう。上記構成によれば、所定の制限の範囲内で現行の復号鍵よりも前の復号鍵を使用するので、ある程度のセキュリティを確保することができる。
【０００９】
また、前記画像形成装置は、さらに、パスワードを記憶しているパスワード記憶手段を備え、前記プリントジョブ実行命令は、さらに、パスワードを含み、前記復号制御手段は、前記主復号手段により復号されて得られたプリントジョブ実行命令に含まれているパスワードと前記パスワード記憶手段に記憶されているパスワードとが一致しなければ、前記主復号手段により暗号化プリントジョブ実行命令が適正に復号されていないと判定することとしてもよい。
【００１０】
このようにパスワードを用いて暗号化プリントジョブ実行命令が適正に復号されたか否かを判定することにより、パスワードの第三者の盗み見を防御するとともに、鍵の同期外れが生じているか否かを判定することができる。
また、前記プリント対象のデータは、所定のプリンタ記述言語を用いて作成されており、前記復号制御手段は、前記主復号手段により復号されて得られたプリントジョブ実行命令に含まれているプリント対象のデータを、前記所定のプリンタ記述言語を用いて解釈することができなければ、前記主復号手段により暗号化プリントジョブ実行命令が適正に復号されないと判定することとしてもよい。
【００１１】
このように所定のプリンタ記述言語で解釈できるか否かにより暗号化プリントジョブ実行命令が適正に復号されたか否かを判定することにより、パスワードのような照合用データを用意することなく、鍵の同期外れが生じているか否かを判定することができる。
また、前記画像形成装置は、さらに、暗号化プリントジョブ実行命令が前記主復号手段及び前記補助復号手段のいずれかにより適正に復号されれば、復号されて得られたプリントジョブ実行命令に含まれるプリント対象のデータに基づいてプリントを実行するプリント手段を備えることとしてもよい。
【００１２】
上記構成によれば、鍵の同期外れが生じていてもプリントを実行することができ、ユーザの使い勝手を向上させることができる。
また、前記復号制御手段は、前記現行の復号鍵に更新される前の復号鍵の使用回数が所定回数以内であれば、前記所定の制限の範囲内であると判定することとしてもよい。
また、前記復号制御手段は、前記現行の復号鍵に更新された時点からの経過期間が所定期間内であれば、前記所定の制限の範囲内であると判定することとしてもよい。
【００１３】
また、前記復号制御手段は、前記現行の復号鍵に更新される前の復号鍵の使用回数が所定回数以内であり、かつ、前記現行の復号鍵に更新された時点からの経過期間が所定期間内であれば、前記所定の制限の範囲内であると判定することとしてもよい。
上記構成によれば、現行の復号鍵よりも前の復号鍵の使用回数や使用期間が制限される。したがってある程度のセキュリティを確保することができる。
【００１４】
また、前記所定の制限は、ユーザ毎に定められていることとしてもよい。
上記構成によれば、所定の制限はユーザ毎に定められるので、ユーザの使い勝手を向上させることができる。
また、前記所定の制限は、ユーザ操作に基づいて変更可能であることとしてもよい。
上記構成によれば、所定の制限は変更可能なので、ユーザの使い勝手を向上させることができる。
【００１５】
また、前記画像形成装置は、さらに、前記主復号手段により暗号化プリントジョブ実行命令が適正に復号されず、かつ、前記補助復号手段により暗号化プリントジョブ実行命令が適正に復号されたとき、暗号鍵が更新されていないことを通知する通知手段を備えることとしてもよい。
現行の復号鍵よりも前の復号鍵が使用されて適正に復号された場合、何ら通知がなければ、ユーザが鍵の同期外れが生じていることを認識できない場合がある。上記構成によれば、暗号鍵が更新されていないことが通知されるので、ユーザは鍵の同期外れが生じていることを認識することができ、管理者に暗号鍵の更新を依頼するなどの対処をすることができる。
【００１６】
また、前記通知手段は、暗号鍵が更新されていないことを示すメッセージをディスプレイに表示することとしてもよい。
また、前記通知手段は、暗号鍵が更新されていないことを示すメッセージを、前記プリント対象のデータがプリントされる用紙の表面にプリントすることとしてもよい。
また、前記通知手段は、暗号鍵が更新されていないことを示すメッセージを、前記プリント対象のデータがプリントされる用紙の裏面にプリントすることとしてもよい。
【００１７】
また、前記通知手段は、暗号鍵が更新されていないことを示すメッセージを、プリント対象のデータがプリントされる用紙と異なる用紙にプリントすることとしてもよい。
また、前記通知手段は、暗号鍵が更新されていないことを示すメッセージを前記ユーザ端末に送信することとしてもよい。
上記構成によれば、暗号鍵が更新されていないことを容易に通知することができる。
【発明を実施するための最良の形態】
【００１８】
本発明を実施するための最良の形態を、図面を参照して詳細に説明する。
（実施の形態１）
＜構成＞
図１は、本発明の実施の形態１に係る画像形成システムの構成を示す図である。
画像形成システムは、画像形成装置１０、ユーザ端末２１、２２、２３及びネットワーク３１を備える。画像形成装置１０、ユーザ端末２１、２２、２３は、ネットワーク３１を介して相互に通信可能である。
【００１９】
図２は、本発明の実施の形態１に係る画像形成装置１０の構成を示す図である。
画像形成装置１０は、スキャナ１１、HDD１２、プリンタ１３、操作パネル１４、ディスプレイ１５、ネットワークインターフェイス１６及び制御部１７を備える。スキャナ１１、HDD１２、プリンタ１３、操作パネル１４、ディスプレイ１５及びネットワークインターフェイス１６は、制御部１７により制御される。
【００２０】
図３は、本発明の実施の形態１に係る画像形成装置の動作を示す図である。
画像形成装置１０は、電源が投入されれば初期化処理を実行し（ステップＳ１０１）、操作パネル１４を介してユーザから処理要求があるか、あるいはネットワークインターフェイス１６を介してユーザ端末から処理要求を受信するまで、待機状態となる（ステップＳ１０２：ＮＯ、ステップＳ１０３：ＮＯ）。
【００２１】
画像形成装置１０は、待機状態において操作パネル１４を介してユーザから「復号鍵の更新処理」の要求を受け付ければ（ステップＳ１０２：ＹＥＳ、ステップＳ１０４：ＹＥＳ）、新たな復号鍵を取得してこれを現行の復号鍵とする（ステップＳ１０５）。新たな復号鍵の取得は、例えば、操作パネル１４からユーザの手入力を受け付けることや、新たな復号鍵が記憶されたＵＳＢメモリ等の記憶媒体から受け付けることにより実現される。
【００２２】
画像形成装置１０は、待機状態において操作パネル１４を介してユーザから「復号鍵の更新処理以外の処理」の要求を受け付ければ（ステップＳ１０２：ＹＥＳ、ステップＳ１０４：ＮＯ）、要求された処理を実行する（ステップＳ１０６）。復号鍵の更新処理以外の処理とは、例えば、スキャンジョブ、プリントジョブ、ＢＯＸ保存ジョブ、電子メール送信ジョブなどのジョブ実行処理や、各種設定処理などである。
【００２３】
画像形成装置１０は、待機状態においてネットワークインターフェイス１６を介してユーザ端末から「プリント処理」の要求を受信すれば（ステップＳ１０３：ＹＥＳ、ステップＳ１０７：ＹＥＳ）、プリント処理を実行する（ステップＳ１０８）。
画像形成装置１０は、待機状態においてネットワークインターフェイス１６を介してユーザ端末から「プリント処理以外の処理」の要求を受信すれば（ステップＳ１０３：ＹＥＳ、ステップＳ１０７：ＮＯ）、要求された処理を実行する（ステップＳ１０９）。プリント処理以外の処理とは、例えば、ＢＯＸ保存ジョブ、電子メール送信ジョブなどのジョブ実行処理や、各種設定処理などである。
【００２４】
図４は、図３のプリント処理（ステップＳ１０８）の詳細を示す図である。
画像形成装置１０は、ユーザ端末から受信した暗号化プリントジョブ実行命令を、現行の復号鍵を用いて復号する（ステップＳ２０１）。暗号化プリントジョブ実行命令は、プリントジョブ実行命令の全部又は所定の一部分が暗号化されたものである。プリントジョブ実行命令の暗号化は、ユーザ端末により実行される。
【００２５】
暗号化プリントジョブ実行命令の一例を以下に示す。
%-12345X@PJL
@PJL USERNAME="Kazushi Ito"
@PJL PASSWORD=xxxxxx
@PJL ENTER LANGUAGE=PCL
{プリント対象のデータ}
%-12345X
プリントジョブ実行命令は、プリントジョブを制御するための言語であるPJL(Print Job Language)でプリント対象のデータを覆う形式になっている。「Kazushi Ito」がユーザ認証に用いられるユーザ名である。「xxxxxx」がユーザ認証に用いられるパスワードである。プリント対象のデータは、PCLやPostScriptなどの所定のPDL(Printer Description Language)を用いて記述されている。
【００２６】
実施の形態１では、プリントジョブ実行命令の所定の一部分として、パスワードが暗号化されているものとする。
画像形成装置１０は、現行の復号鍵を用いて復号されたパスワードと予め記憶しているパスワードとが一致すれば（ステップＳ２０２：ＹＥＳ）、暗号化プリントジョブ実行命令が適正に復号されたと判定し、PDLを用いて記述されたプリント対象のデータをビットマップイメージに展開して（ステップＳ２０３）、プリントする（ステップＳ２０４）。パスワードの照合は、画像形成装置１０に記憶されている図５に示すユーザ管理テーブルを用いて実行される。図５のユーザ管理テーブルには、ユーザ名４１、パスワード４２、前回の復号鍵の使用可能期間４３、前回の復号鍵の使用回数上限４４及び前回の復号鍵の使用回数４５が登録されている。なおプリント対象のデータをプリントするとき、即時プリントすることとしてもよいし、一旦プリント対象のデータを保存しておいてユーザの指示を待ってプリントすることとしてもよい。いずれにしてもプリント対象のデータはHDD１２に保存される。
【００２７】
画像形成装置１０は、現行の復号鍵を用いて復号されたパスワードと予め記憶しているパスワードとが一致しない場合に（ステップＳ２０２：ＮＯ）、前回の復号鍵の使用可能期間内であり（ステップＳ２０５：ＹＥＳ）、かつ、前回の復号鍵の使用回数制限内であれば（ステップＳ２０６：ＹＥＳ）、所定の制限の範囲内であると判定し、ユーザ端末から受信した暗号化プリントジョブ実行命令を、前回の復号鍵を用いて復号する（ステップＳ２０７）。前回の復号鍵の特定は、画像形成装置１０に記憶されている図６に示す復号鍵履歴テーブルを用いて実行される。図６の復号鍵履歴テーブルには、復号鍵ＩＤ５１、復号鍵情報５２及び更新日５３が登録されている。現行の復号鍵は、更新日が最新の復号鍵情報（図６の例では「69364655」）である。前回の復号鍵は、更新日が２番目に新しい復号鍵情報（図６の例では「35765348」）である。また前回の復号鍵の使用可能期間内であるか否かの判定は図５に示すテーブルを用いて実行される。例えば、ユーザ名「Kazushi Ito」に対しては使用可能期間が１４日と定められているので、現行の復号鍵に更新されてから１４日以内であれば前回の復号鍵の使用可能期間内であると判定される。さらに前回の復号鍵の使用回数制限内であるか否かの判定も図５に示すテーブルを用いて実行される。例えば、ユーザ名「Kazushi Ito」に対しては使用回数上限が３回と定められているので、前回の復号鍵の使用回数が３回に達しなければ前回の復号鍵の使用回数制限内であると判定される。なお、前回の復号鍵の使用可能期間４３及び前回の復号鍵の使用回数上限４４は、ユーザ毎に設定可能であり、また、ユーザの操作により変更可能であるものとする。
【００２８】
画像形成装置１０は、前回の復号鍵を用いて復号されたパスワードと予め記憶しているパスワードとが一致すれば（ステップＳ２０８：ＹＥＳ）、暗号化プリントジョブ実行命令が適正に復号されたと判定し、PDLを用いて記述されたプリント対象のデータをビットマップイメージに展開して（ステップＳ２０３）、プリントする（ステップＳ２０４）。このとき画像形成装置１０は、さらに、前回の復号鍵の使用回数４５をインクリメントし（ステップＳ２０９）、暗号鍵が更新されていないことをユーザに通知する（ステップＳ２１０）。ユーザへの通知は、例えば、暗号鍵が更新されていないことを示すメッセージを、ディスプレイ１５に表示する、用紙にプリントする、ユーザ端末に送信するなどにより実行される。また用紙にプリントする場合には、プリント対象のデータがプリントされる用紙の表面又は裏面にプリントする、あるいはプリント対象のデータがプリントされる用紙とは異なる用紙にプリントする。
【００２９】
画像形成装置１０は、前回の復号鍵の使用可能期間内でない（ステップＳ２０５：ＮＯ）、前回の復号鍵の使用回数制限内でない（ステップＳ２０６：ＮＯ）、または、前回の復号鍵を用いて復号されたパスワードと予め記憶しているパスワードとが一致しない（ステップＳ２０８：ＮＯ）場合に、受信したプリントジョブ実行命令を破棄する（ステップＳ２１１）。
【００３０】
図７は、本発明の実施の形態１に係るユーザ端末の動作を示す図である。
ユーザ端末は、電源が投入されれば初期化処理を実行し（ステップＳ３０１）、マウスあるいはキーボード等の入力装置からイベント通知があるか、あるいは画像形成装置１０から通知があるまで、待機状態となる（ステップＳ３０２：ＮＯ、ステップＳ３０３：ＮＯ）。
【００３１】
ユーザ端末は、待機状態において入力装置を介してユーザから「プリント処理」の要求を受け付ければ（ステップＳ３０２：ＹＥＳ、ステップＳ３０４：ＹＥＳ）、プリント要求時の処理を実行する（ステップＳ３０５）。
ユーザ端末は、待機状態において入力装置を介してユーザから「暗号鍵の更新処理」の要求を受け付ければ（ステップＳ３０２：ＹＥＳ、ステップＳ３０４：ＮＯ、ステップＳ３０６：ＹＥＳ）、新たな暗号鍵を取得してこれを現行の暗号鍵とする（ステップＳ３０７）。新たな暗号鍵の取得は、例えば、入力装置からユーザの手入力を受け付けることや、新たな暗号鍵が記憶されたＵＳＢメモリ等の記憶媒体から受け付けることにより実現される。
【００３２】
ユーザ端末は、待機状態において入力装置を介してユーザから「プリント処理でもなく暗号鍵の更新処理でもない処理」の要求を受け付ければ（ステップＳ３０２：ＹＥＳ、ステップＳ３０４：ＮＯ、ステップＳ３０６：ＮＯ）、要求された処理を実行する（ステップＳ３０８）。
ユーザ端末は、待機状態において画像形成装置から通知を受ければ（ステップＳ３０３：ＹＥＳ）、通知内容をディスプレイに表示する（ステップＳ３０９）。画像形成装置からの通知とは、例えば、暗号鍵が更新されていないことを示す通知である。
【００３３】
図８は、図７のプリント要求時の処理（ステップＳ３０５）の詳細を示す図である。
ユーザ端末は、暗号鍵を用いてパスワードを暗号化し（ステップＳ４０１）、暗号化されたパスワードを含む暗号化プリントジョブ実行命令を生成し（ステップＳ４０２）、生成された暗号化プリントジョブ実行命令を画像形成装置１０に送信する（ステップＳ４０３）。
【００３４】
上述のようにパスワードを用いて暗号化プリントジョブ実行命令が適正に復号されたか否かを判定することにより、パスワードの第三者の盗み見を防御するとともに、鍵の同期外れが生じているか否かを判定することができる。
（実施の形態２）
実施の形態２では、暗号化プリントジョブ実行命令が適正に復号されたか否かの判定手法が実施の形態１と異なる。具体的には、実施の形態２では、復号されたプリントジョブ実行命令に含まれるプリント対象のデータが所定のPDLを用いて解釈可能か否かにより、暗号化プリントジョブ実行命令が適正に復号されたか否かを判定する。これ以外については実施の形態１と同様なので、説明を省略する。
【００３５】
図９は、図３のプリント処理（ステップＳ１０８）の詳細を示す図である。
実施の形態２では、プリントジョブ実行命令の所定の一部分として、プリント対象のデータが暗号化されているものとする。また画像形成装置１０は、プリントジョブ実行命令がどのようなPDLを用いて記述されているかを予め知っているものとする。
画像形成装置１０は、現行の復号鍵を用いて復号されたプリント対象のデータが所定のPDLを用いて解釈可能であれば（ステップＳ５０２：ＹＥＳ）、暗号化プリントジョブ実行命令が適正に復号されたと判定し、PDLを用いて記述されたプリント対象のデータをビットマップイメージに展開して（ステップＳ５０３）、プリントする（ステップＳ５０４）。
【００３６】
また、画像形成装置１０は、前回の復号鍵を用いて復号されたプリント対象のデータが所定のPDLを用いて解釈可能であれば（ステップＳ５０８：ＹＥＳ）、暗号化プリントジョブ実行命令が適正に復号されたと判定し、PDLを用いて記述されたプリント対象のデータをビットマップイメージに展開して（ステップＳ５０３）、プリントする（ステップＳ５０４）。
【００３７】
所定のPDLを用いて解釈可能か否かの判定例を図１０に示す。例えば、暗号化されたコマンド（Ｓ６１）を現行の復号鍵で復号すれば（Ｓ６２）、所定のPDLに規定されていない不明なコマンドが現れる場合がある（Ｓ６３）。このような場合、画像形成装置１０は、現行の復号鍵を用いて復号されたプリント対象のデータが所定のPDLを用いて解釈不能であると判定する。一方、暗号化されたコマンド（Ｓ６１）を前回の復号鍵で復号すれば（Ｓ６４）、所定のPDLに規定されているコマンドが現れる場合がある（Ｓ６５）。このような場合、画像形成装置１０は、前回の復号鍵を用いて復号されたプリント対象のデータが所定のPDLを用いて解釈可能であると判定する。
【００３８】
上述のように所定のPDLで解釈できるか否かにより暗号化プリントジョブ実行命令が適正に復号されたか否かを判定することにより、パスワードのような照合用データを用意することなく、鍵の同期外れが生じているか否かを判定することができる。また、プリント対象のデータが暗号化されているので、第三者の盗み見から防御することができる。
以上、本発明に係る画像形成装置について実施の形態に基づいて説明したが、本発明はこれらの実施の形態に限られない。例えば、以下のような変形例が考えられる。
（１）実施の形態では、前回の復号鍵を用いて適正に復号できなければプリントジョブ実行命令を破棄しているが、本発明はこの例に限らない。例えば、前回の復号鍵を用いて適正に復号できない場合に、前々回あるいはその前の復号鍵まで遡って適正に復号できるか否かを判定することとしてもよい。
【００３９】
またそのとき、より古い復号鍵の使用回数が多いユーザほど使用可能期間をより短くし、使用回数制限をより少なくするというように、古い復号鍵の使用実績に応じて使用可能期間及び使用回数制限を設定するようにしてもよい。
（２）実施の形態では、所定の制限として、前回の復号鍵の使用可能期限と、前回の復号鍵の使用回数制限との２つの条件を採用しているが、本発明はこの例に限らない。例えば、所定の制限として、上記２つの条件のいずれか一方のみを採用することとしてもよい。
（３）本発明は、共通鍵暗号方式及び公開鍵暗号方式のいずれも適用可能である。
【産業上の利用可能性】
【００４０】
本発明は、MFP等に利用可能である。
【図面の簡単な説明】
【００４１】
【図１】本発明の実施の形態１に係る画像形成システムの構成を示す図である。
【図２】本発明の実施の形態１に係る画像形成装置１０の構成を示す図である。
【図３】本発明の実施の形態１に係る画像形成装置の動作を示す図である。
【図４】図３のプリント処理（ステップＳ１０８）の詳細を示す図である。
【図５】ユーザ管理テーブルを示す図である。
【図６】復号鍵履歴テーブルを示す図である。
【図７】本発明の実施の形態１に係るユーザ端末の動作を示す図である。
【図８】図７のプリント要求時の処理（ステップＳ３０５）の詳細を示す図である。
【図９】図３のプリント処理（ステップＳ１０８）の詳細を示す図である。
【図１０】所定のPDLを用いて解釈可能か否かの判定例を示す図である。
【符号の説明】
【００４２】
１０    画像形成装置
１１    スキャナ
１２    HDD
１３    プリンタ
１４    操作パネル
１５    ディスプレイ
１６    ネットワークインターフェイス
１７    制御部
２１、２２、２３    ユーザ端末
３１    ネットワーク
４１    ユーザ名
４２    パスワード
４３    前回の復号鍵の使用可能期間
４４    前回の復号鍵の使用回数上限
４５    前回の復号鍵の使用回数
５１    復号鍵ＩＤ
５２    復号鍵情報
５３    更新日
【図１】
2008284720.tif 000003
【図２】
2008284720.tif 000004
【図３】
2008284720.tif 000005
【図４】
2008284720.tif 000006
【図５】
2008284720.tif 000007
【図６】
2008284720.tif 000008
【図７】
2008284720.tif 000009
【図８】
2008284720.tif 000010
【図９】
2008284720.tif 000011
【図１０】
2008284720.tif 000012