(57)【要約】【課題】  セキュリティ基準に準拠しないプログラムへの更新を回避する。【解決手段】  ＭＦＰ１００のＣＰＵ１は、ネットワーク２５上の外部機器２６等から更新プログラムを取得し、その更新プログラムおよび当該ＭＦＰ１００にインストールされている更新対象プログラムがそれぞれ規定のセキュリティ基準に準拠しているか否かを判断し、その判断結果が、更新対象プログラムがセキュリティ基準に準拠し、且つ更新プログラムがセキュリティ基準に準拠していない場合には、プログラム更新を禁止する。そして、その場合に、その旨を外部へ通知する。あるいは、プログラム更新を続行するか否かの問い合わせ情報を外部へ通知する。そして、その通知に対して、プログラム更新を続行する指示がなされた場合にはプログラム更新を続行し、プログラム更新を中止する指示がなされた場合にはプログラム更新を中止する。【選択図】        図１
2008112297.tif 000002
【特許請求の範囲】
【請求項１】
更新プログラムを取得する更新プログラム取得手段と、該更新プログラム取得手段によって取得した更新プログラムへのプログラム更新を行うプログラム更新手段とを有する電子機器において、
前記更新プログラム取得手段によって取得した更新プログラムおよび当該電子機器にインストールされている更新対象プログラムがそれぞれ規定のセキュリティ基準に準拠しているか否かを判断するセキュリティ準拠判断手段と、
該セキュリティ準拠判断手段の判断結果が、前記更新対象プログラムが前記セキュリティ基準に準拠し、且つ前記更新プログラムが前記セキュリティ基準に準拠していない場合には、前記プログラム更新手段によるプログラム更新を禁止するプログラム更新禁止手段とを設けたことを特徴とする電子機器。
【請求項２】
請求項１記載の電子機器において、
前記プログラム更新禁止手段によってプログラム更新が禁止された場合に、その旨を外部へ通知するプログラム更新禁止通知手段を設けたことを特徴とする電子機器。
【請求項３】
請求項１又は２記載の電子機器において、
前記プログラム更新禁止手段によってプログラム更新が禁止された場合に、プログラム更新を続行するか否かの問い合わせ情報を外部へ通知する問い合わせ情報通知手段と、
外部からプログラム更新を続行する指示がなされた場合には、前記プログラム更新手段にプログラム更新を続行させ、プログラム更新を中止する指示がなされた場合には、前記プログラム更新手段にプログラム更新を中止させるプログラム更新制御手段とを設けたことを特徴とする電子機器。
【請求項４】
請求項１乃至３のいずれか一項に記載の電子機器において、
ネットワークと接続するための通信手段を設け、
前記更新プログラム取得手段は、前記通信手段により前記更新プログラムを取得することを特徴とする電子機器。
【請求項５】
請求項１乃至４のいずれか一項に記載の電子機器において、
前記更新プログラム取得手段は、前記プログラム更新手段によってプログラム更新が行われた後、未取得の更新プログラムの有無をチェックし、該更新プログラムがあれば、該更新プログラムを取得することを特徴とする電子機器。
【請求項６】
プログラムを実行して制御を行う電子機器を制御するコンピュータに、
更新プログラムを取得する更新プログラム取得機能と、
該更新プログラム取得機能手段によって取得した更新プログラムへのプログラム更新を行うプログラム更新機能と、
前記更新プログラム取得機能によって取得した更新プログラムおよび当該電子機器にインストールされている更新対象プログラムがそれぞれ規定のセキュリティ基準に準拠しているか否かを判断するセキュリティ準拠判断機能と、
該セキュリティ準拠判断機能の判断結果が、前記更新対象プログラムが前記セキュリティ基準に準拠し、且つ前記更新プログラムが前記セキュリティ基準に準拠していない場合には、前記プログラム更新機能によるプログラム更新を禁止するプログラム更新禁止機能とを実現させるためのプログラム。
【請求項７】
請求項６記載のプログラムにおいて、
前記コンピュータに、
前記プログラム更新禁止機能によってプログラム更新が禁止された場合に、その旨を外部へ通知するプログラム更新禁止通知機能をも実現させるためのプログラム。
【請求項８】
請求項６又は７記載のプログラムにおいて、
前記コンピュータに、
前記プログラム更新禁止機能によってプログラム更新が禁止された場合に、プログラム更新を続行するか否かの問い合わせ情報を外部へ通知する問い合わせ情報通知機能と、
外部からプログラム更新を続行する指示がなされた場合には、前記プログラム更新機能にプログラム更新を続行させ、プログラム更新を中止する指示がなされた場合には、前記プログラム更新機能にプログラム更新を中止させるプログラム更新制御機能をも実現させるためのプログラム。
【請求項９】
請求項６乃至８のいずれか一項に記載のプログラムにおいて、
前記コンピュータに、
ネットワークと接続するための通信機能をも実現させるためのプログラムであり、
前記更新プログラム取得機能は、前記通信機能により前記更新プログラムを取得することを特徴とするプログラム。
【請求項１０】
請求項６乃至９のいずれか一項に記載のプログラムにおいて、
前記更新プログラム取得機能は、前記プログラム更新機能によってプログラム更新が行われた後、未取得の更新プログラムの有無をチェックし、該更新プログラムがあれば、該更新プログラムを取得することを特徴とするプログラム。
【請求項１１】
請求項６乃至１０のいずれか一項に記載のプログラムを記録したコンピュータ読み取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、デジタル複写機，プリンタ（以下「ＬＰ」ともいう），ファクシミリ装置，デジタル複合機（以下「ＭＦＰ」ともいう）等の画像形成装置などの電子機器、それを制御するコンピュータ（ＣＰＵ）に実行させるプログラム、およびそのプログラムを記録したコンピュータ読み取り可能な記録媒体に関する。
【背景技術】
【０００２】
近年のセキュリティ志向に伴い、ＭＦＰ・ＬＰ等の画像形成装置市場でも一定のセキュリティ要件を各ベンダや複数ベンダで取りまとめたセキュリティ基準を策定し、製品の安全性を担保する動きが出始めている。
一方、画像形成装置は、市場に投入された後、ファームウェアやアプリケーションプログラム（以下単に「アプリケーション」又は「アプリ」ともいう）の更新ができるようになってきている。このようなプログラム（ソフトウェア）は、例えば複数のモジュールで構成されているものが多い（例えば特許文献１参照）。
【特許文献１】特開２００５−３０１９６８号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかしながら、このような画像形成装置では、セキュリティ基準に準拠しているプログラム（更新対象プログラム）がインストールされている画像形成装置に対して、非準拠の更新プログラム（新たなプログラム）がインストールされると、以下のような問題が生じる。
【０００４】
すなわち、今まで規定のセキュリティ基準（以下単に「セキュリティ基準」ともいう）に準拠して安全性が保証されていた画像形成装置においても、更新プログラムのインストールにより、プログラム単位もしくはモジュール単位で更新対象プログラムが更新プログラムに更新（変更）され、その更新プログラムが実行されると、セキュリティ基準に準拠しなくなり、安全性が保証されなくなるという問題がある。
この発明は上記の問題点に鑑みてなされたものであり、画像形成装置等の電子機器において、セキュリティ基準に準拠しないプログラムへの更新を回避することを目的とする。
【課題を解決するための手段】
【０００５】
この発明は、上記の目的を達成するため、電子機器、それを制御するコンピュータに実行させるプログラム、およびそのプログラムを記録したコンピュータ読み取り可能な記録媒体を提供する。
請求項１の発明による電子機器は、更新プログラムを取得する更新プログラム取得手段と、該更新プログラム取得手段によって取得した更新プログラムへのプログラム更新を行うプログラム更新手段とを有する電子機器において、以下のようにしたことを特徴とする。
【０００６】
すなわち、上記更新プログラム取得手段によって取得した更新プログラムおよび当該電子機器にインストールされている更新対象プログラムがそれぞれ規定のセキュリティ基準に準拠しているか否かを判断するセキュリティ準拠判断手段と、該セキュリティ準拠判断手段の判断結果が、上記更新対象プログラムが上記セキュリティ基準に準拠し、且つ上記更新プログラムが上記セキュリティ基準に準拠していない場合には、上記プログラム更新手段によるプログラム更新を禁止するプログラム更新禁止手段とを設けたものである。
請求項２の発明による電子機器は、請求項１の電子機器において、上記プログラム更新禁止手段によってプログラム更新が禁止された場合に、その旨を外部へ通知するプログラム更新禁止通知手段を設けたものである。
【０００７】
請求項３の発明による電子機器は、請求項１又は２の電子機器において、上記プログラム更新禁止手段によってプログラム更新が禁止された場合に、プログラム更新を続行するか否かの問い合わせ情報を外部へ通知する問い合わせ情報通知手段と、外部からプログラム更新を続行する指示がなされた場合には、上記プログラム更新手段にプログラム更新を続行させ、プログラム更新を中止する指示がなされた場合には、上記プログラム更新手段にプログラム更新を中止させるプログラム更新制御手段とを設けたものである。
【０００８】
請求項４の発明による電子機器は、請求項１〜３のいずれかの電子機器において、ネットワークと接続するための通信手段を設け、上記更新プログラム取得手段が、上記通信手段により上記更新プログラムを取得するものである。
請求項５の発明による電子機器は、請求項１〜４のいずれかの電子機器において、上記更新プログラム取得手段が、上記プログラム更新手段によってプログラム更新が行われた後、未取得の更新プログラムの有無をチェックし、該更新プログラムがあれば、該更新プログラムを取得するものである。
【０００９】
請求項６の発明によるプログラムは、プログラムを実行して制御を行う電子機器を制御するコンピュータに、更新プログラムを取得する更新プログラム取得機能と、該更新プログラム取得機能手段によって取得した更新プログラムへのプログラム更新を行うプログラム更新機能と、上記更新プログラム取得機能によって取得した更新プログラムおよび当該電子機器にインストールされている更新対象プログラムがそれぞれ規定のセキュリティ基準に準拠しているか否かを判断するセキュリティ準拠判断機能と、該セキュリティ準拠判断機能の判断結果が、上記更新対象プログラムが上記セキュリティ基準に準拠し、且つ上記更新プログラムが上記セキュリティ基準に準拠していない場合には、上記プログラム更新機能によるプログラム更新を禁止するプログラム更新禁止機能とを実現させるためのプログラムである。
【００１０】
請求項７の発明によるプログラムは、請求項６のプログラムにおいて、上記コンピュータに、上記プログラム更新禁止機能によってプログラム更新が禁止された場合に、その旨を外部へ通知するプログラム更新禁止通知機能をも実現させるためのプログラムである。
請求項８の発明によるプログラムは、請求項６又は７のプログラムにおいて、上記コンピュータに、上記プログラム更新禁止機能によってプログラム更新が禁止された場合に、プログラム更新を続行するか否かの問い合わせ情報を外部へ通知する問い合わせ情報通知機能と、外部からプログラム更新を続行する指示がなされた場合には、上記プログラム更新機能にプログラム更新を続行させ、プログラム更新を中止する指示がなされた場合には、上記プログラム更新機能にプログラム更新を中止させるプログラム更新制御機能をも実現させるためのプログラムである。
【００１１】
請求項９の発明によるプログラムは、請求項６〜８のいずれかのプログラムにおいて、上記コンピュータに、ネットワークと接続するための通信機能をも実現させるためのプログラムであり、上記更新プログラム取得機能が、上記通信機能により上記更新プログラムを取得するものである。
請求項１０の発明によるプログラムは、請求項６〜９のいずれかのプログラムにおいて、上記更新プログラム取得機能が、上記プログラム更新機能によってプログラム更新が行われた後、未取得の更新プログラムの有無をチェックし、該更新プログラムがあれば、該更新プログラムを取得するものである。
請求項１１の発明による記録媒体は、請求項６〜１０のいずれかのプログラムを記録したコンピュータ読み取り可能な記録媒体である。
【発明の効果】
【００１２】
この発明によれば、電子機器が、取得した更新プログラムおよび当該電子機器にインストールされている更新対象プログラムがそれぞれ規定のセキュリティ基準に準拠しているか否かを判断し、その判断結果が、更新対象プログラムがセキュリティ基準に準拠し、且つ更新プログラムがセキュリティ基準に準拠していない場合には、プログラム更新を禁止するので、セキュリティ基準に準拠しないプログラムへの更新を回避することができる。
【発明を実施するための最良の形態】
【００１３】
以下、この発明を実施するための最良の形態を図面に基づいて具体的に説明する。なお、この実施形態では電子機器として画像形成装置、特に複写機，スキャナ装置，プリンタ，およびファクシミリ装置等の複数の機能を備えたＭＦＰ（デジタル複合機）を用いた例について説明する。
【００１４】
〔ＭＦＰのハードウェア構成例〕
まず、この発明の一実施形態であるＭＦＰのハードウェア構成例について、図１を参照して具体的に説明する。
図１は、この発明の一実施形態であるＭＦＰのハードウェア構成例を示すブロック図である。
【００１５】
このＭＦＰ１００において、ＣＰＵ１はこのＭＦＰ１００全体の制御を司るものであり、その制御下にＲＯＭ２，ＲＡＭ３，ＮＶ−ＲＡＭ４，パネル制御部５，エンジン制御部６，ディスクドライバ７，モデム８，外部インタフェース（以下「インタフェース」を「Ｉ／Ｆ」と略称する）９，および通信制御部１０がデータバス１１を介して接続されている。
ＲＯＭ２は、ブートローダ（ブートプログラム）を含むプログラム，フォント，およびその他の静的なデータを格納している読み出し専用メモリである。
【００１６】
ＲＡＭ３は、一時的な記憶場所、つまりＣＰＵ１がデータ処理を行うワークメモリ、後述するアプリ（アプリケーションプログラム）を記憶するアプリメモリ、ファームウェアを記憶するファームメモリ等として使用する読み書き可能なメモリである。
ＮＶ−ＲＡＭ４は、種々のパラメータ等のデータを格納する不揮発性メモリである。
パネル制御部５は、操作パネル（操作部）２１とのインタフェースを制御するものである。このパネル制御部５と操作パネル２１が、ユーザとのインタフェースを司る。
エンジン制御部６は、スキャン／プリントエンジン２２と共にイメージデータの入出力ユニットを構成するものであり、スキャン／プリントエンジン２２を制御して、紙原稿の読み取りおよび用紙（転写紙）に対する印刷を実行する。
【００１７】
ディスクドライバ７は、ハードディスク等の記憶装置２３に対するデータの読み書きを制御するものであり、大量のイメージデータを記憶装置２３に書き込んで蓄積し、必要に応じて読み出すことができる。また、記憶装置２３をＯＳ（オペレーティングシステム），アプリケーション，ファームウェア，およびデータベース等の記憶場所として利用することもできる。この実施形態では、ＯＳ，アプリケーション，ファームウェアが記憶装置２３に蓄積されているものとする。これらのプログラム（ソフトウェア）には、セキュリティ基準準拠用鍵で暗号化した電子署名が付与されている。但し、１つのプログラムが複数のモジュールによって構成されている場合には、そのモジュール毎にセキュリティ基準準拠用鍵で暗号化した電子署名が付与される。
【００１８】
モデム８は、通信手段であり、公衆回線と接続され、図示しないモデムを有する外部機器との通信を行うことができる。
外部Ｉ／Ｆ９は、通信手段であり、ＵＳＢ，ＩＥＥＥ１３９４，セントロニクス，又はＲＳ−２３２Ｃ等のインタフェースを用いてＳＤカード等の外部記憶媒体やＰＣ（パーソナルコンピュータ）等の外部機器２４とのインタフェースを行うことができる。
通信制御部１０は、イーサネット（登録商標）等のネットワーク２５に接続され、ＰＣ等の外部機器２６との通信を行うことができる。
データバス１１は、各種デバイス間およびＣＰＵ１とデバイス間の通信を行うことができる。
【００１９】
ここで、ＣＰＵ１は、ＭＦＰ１００の電源投入時に、ＲＯＭ２内のブートローダに従い、記憶装置２３内のＯＳを読み出し、それをＲＡＭ３にロードして展開した後、そのＯＳを起動させる。更に、記憶装置２３内のアプリ，ファームウェア等の他のプログラムも必要に応じてＲＡＭ３にロードして展開する。そして、ＲＡＭ３内のプログラムを必要に応じて実行し、操作パネル２１を含む装置の制御を行うことにより、更新プログラム取得手段，プログラム更新手段，セキュリティ基準判断手段，プログラム更新禁止手段，プログラム更新禁止通知手段，問い合わせ情報通知手段，およびプログラム更新制御手段としての機能を実現することができる。
【００２０】
アプリケーションとしては、コピーアプリ，プリンタアプリ，ＦＡＸ（ファクス）アプリ，スキャナアプリ等がある。
コピーアプリは、コピー機能を実現するためのものである。コピー機能とは、スキャナエンジン（スキャン／プリントエンジン２２の一部）に原稿の画像を読み取らせ、その画像情報をスキャン／プリントエンジン２２のプリンタエンジン（スキャン／プリントエンジン２２の一部）に送り、用紙上に可視画像として印刷させる機能のことである。
プリンタアプリは、プリンタ機能を実現するためのものである。プリンタ機能とは、図示しないＰＣからの印刷情報をそのまま又は変換処理を行ってプリンタエンジンに送り、用紙上に可視画像として印刷させる機能のことである。
【００２１】
ＦＡＸアプリは、ＦＡＸ機能を実現するためのものである。ＦＡＸ機能とは、スキャナエンジンに原稿の画像を読み取らせ、その画像情報を予め設定された外部機器へＦＡＸ送信させたり、記憶装置２３に蓄積済みの画像情報を同様に予め設定された外部機器へＦＡＸ送信させたり、外部機器からＦＡＸ送信された画像情報をファクス受信して記憶装置２３に蓄積したり、プリンタエンジンに送って用紙上に可視画像として印刷させる機能のことである。
スキャナアプリは、スキャナ機能を実現するためのものである。スキャナ機能とは、スキャナエンジンに原稿の画像を読み取らせることは勿論、読み取った原稿の画像情報を予め設定された外部機器へ電子メールやファイル転送等により送信（配信）させる機能のことである。
【００２２】
〔ＭＦＰにおけるプログラム更新制御系の構成例〕
次に、図１に示したＭＦＰ１００におけるプログラム更新制御系の構成例について、図２を参照して具体的に説明する。
図２は、図１に示したＭＦＰ１００におけるプログラム更新制御系の構成例を示すブロック図である。なお、便宜上、プログラムそのものが処理を行うものとする。
【００２３】
このプログラム更新制御系は、プログラム更新モジュール３１，プログラム判断モジュール３２，プログラム格納領域３３，および更新プログラム３４によって構成される。
プログラム更新モジュール３１は、ネットワーク２５上の外部機器２４，２６，又はＳＤカード等の外部記憶媒体（外部機器２４）から更新プログラム（ＭＦＰ１００にインストールされる最新バージョン等のプログラム）を取得すると、その更新プログラムへのプログラム更新を行うためのプログラムである。
【００２４】
プログラム判断モジュール３２は、取得した更新プログラム３４および当該ＭＦＰ１００にインストールされている更新対象プログラム（現在稼動中の更新可能なプログラム）がそれぞれ規定のセキュリティ基準に準拠しているか否かを判断するためのプログラムである。
プログラム格納領域３３は、プログラムの格納先であり、記憶装置２３等に相当する。
更新プログラムおよび更新対象プログラムは、ＯＳ，アプリケーション，ファームウェア等の各種プログラムである。図示の都合上、ここでは、更新プログラムおよび更新対象プログラムを複数のアプリケーションであるコピーアプリ，プリンタアプリ，ＦＡＸアプリ，スキャナアプリとしている。
【００２５】
〔ＭＦＰの本実施形態での機能構成例〕
次に、図２のプログラム判断モジュール３２の構成例について、図３を参照して具体的に説明する。
図３は、図２のプログラム判断モジュール３２の構成例を示すブロック図である。
このプログラム判断モジュール３２は、プログラム読み出し部４１，署名復号鍵読み出し部４２，セキュリティ基準準拠判断部４３，および電子認証ライブラリ４４によって構成されている。
【００２６】
プログラム読み出し部４１は、ＭＦＰ１００の記憶装置２３もしくはＳＤカード等の外部記憶媒体（外部機器２４）に格納されているプログラムであるプログラムオブジェクトとその署名情報（電子署名）を読み出す責務を、署名復号鍵読み出し部４２は、署名復号鍵（電子署名を保持している鍵情報）であるセキュリティ基準準拠用鍵が保管されている記憶媒体からそれを読み出す責務をそれぞれ担っている。
セキュリティ基準準拠判断部４３は、プログラム読み出し部４１と署名復号鍵読み出し部４２で得られた情報を受け取って、電子認証を行い、対象プログラムがセキュリティ基準に準拠したものなのか否かの判断を行う責務を担う。
電子認証ライブラリ４４は、実際に電子認証を行って結果を返すライブラリである。
【００２７】
〔ＭＦＰにおけるプログラム更新に関する処理〕
次に、図２に示したＭＦＰ１００におけるプログラム更新に関する処理について、図４を参照して具体的に説明する。
図４は、ＭＦＰ１００におけるプログラム更新に関する処理の一例を示すフローチャートである。
【００２８】
ＭＦＰ１００のプログラム更新モジュール３１は、まずステップＳ１で更新プログラムを取得し、ステップＳ２でプログラム判断モジュール３２を利用してプログラム格納領域３３上の更新対象プログラムがセキュリティ基準に準拠しているか否かを判断する。
そして、ステップＳ３で更新対象プログラムがセキュリティ基準に準拠していないと判断した場合には、更新プログラムがセキュリティ基準に準拠しているかどうかに関わらず、ステップＳ８で更新プログラムをプログラム格納領域３３にインストールしてプログラム更新（更新対象プログラム→更新プログラム）を実行する。それによって、更新プログラムがセキュリティ基準に準拠していた場合には、更新実行後のプログラムはセキュリティ基準を満たすようになる。更新プログラムがセキュリティ基準に非準拠であった場合には、更新実行後のプログラムのセキュリティ基準も非準拠のままで変わらない。
【００２９】
ステップＳ３で更新対象プログラムがセキュリティ基準に準拠していると判断した場合には、ステップＳ４でプログラム判断モジュール３２を利用して更新プログラムがセキュリティ基準に準拠しているか否かを判断する。
そして、ステップＳ５で更新プログラムがセキュリティ基準に準拠していると判断した場合には、ステップＳ８でプログラム更新を実行する。それによって、更新後のプログラムも、引き続きセキュリティ基準を満たすようになる。
ステップＳ５で更新プログラムがセキュリティ基準に準拠していないと判断した場合には、プログラム更新を実行せず（プログラム更新を中止し）、ステップＳ６で図６に示すようにプログラム更新不可（プログラム更新中止）を外部へ通知する。
【００３０】
その通知例は、更新プログラム（ＦＡＸアプリ）がセキュリティ基準に準拠していないため、プログラム更新ができない旨のメッセージと共に、「確認」キーを操作パネル２１上に表示したものである。
その表示は、ユーザによって上記メッセージの内容が確認され、「確認」キーが押下された時点で消去される。
プログラム更新を中止してプログラム更新不可を外部へ通知した後、あるいはプログラム更新を実行した後、ステップＳ７で未取得の更新プログラム（モジュール）の有無をチェックし、あればステップＳ１に戻ってその更新プログラムを取得し、以後上述と同様の処理を行う。全ての更新プログラム取得して、未取得の更新プログラムがなくなった場合には、図４の処理を終了する。
【００３１】
次に、図４におけるステップＳ２，Ｓ４の更新対象プログラム，更新プログラムがセキュリティ基準に準拠しているか否かの判断について、図５を参照して説明する。
図５は、図２のプログラム判断モジュール３２による処理（図４のステップＳ２，Ｓ４での更新対象プログラム，更新プログラムがセキュリティ基準に準拠しているか否かの判断に関する処理）の一例を示すフローチャートである。
【００３２】
ＭＦＰ１００のプログラム判断モジュール３２は、セキュリティ基準の準拠判断を行うために、まずステップＳ１１でその判断対象のプログラムを読み出す。その読み出し先は、プログラム更新モジュール３１より指示される。対象プログラムがＭＦＰ１００に既にインストールされている更新対象プログラムである場合は、それをプログラム格納領域３３から読み出す。対象プログラムが更新プログラムである場合は、それを読み出す。
【００３３】
プログラムの読み出しが完了すれば、次にステップＳ１２で署名復号鍵の読み出しを行う。鍵情報は安全に管理された（ＭＦＰ１００の外部に取り出すことができない）ＭＦＰ１００内の記憶装置（図示省略）に格納しておく必要がある情報であるため、ＭＦＰ１００のセキュリティ強度を高めるための専用ＬＳＩであるセキュリティチップ（ＴＰＭ：Trusted Platform Module）等が適した記憶装置となる。そこに、セキュリティ基準準拠用の署名復号鍵（セキュリティ基準準拠用鍵）を事前に保管しておき，必要時に読み出しを行う。なお、署名復号鍵は、安全性が確保できる場所にあれば、ＭＦＰ１００の制御ボード上でなくとも、ネットワーク２５上の外部機器で保管されていても構わない。
【００３４】
次にステップＳ１３，Ｓ１４で、読み出した情報を入力パラメータとし、電子認証ライブラリ４４を利用して電子署名の電子認証を実行する。その電子認証は、セキュリティ基準準拠用の署名復号鍵を利用して行う。
すなわち、まずステップＳ１３でセキュリティ基準準拠用鍵（署名復号鍵）で電子認証を行い、ステップＳ１４でその電子認証が成功したか失敗したかを判定する。
【００３５】
そして、セキュリティ基準準拠用鍵で電子認証が成功した場合には、対象プログラムが規定のセキュリティ基準に準拠したプログラムであると判断できる。
セキュリティ基準準拠用鍵で電子認証が失敗した場合には、対象プログラムが規定のセキュリティ基準に準拠したプログラムでないと判断できる。
なお、セキュリティ基準準拠用鍵で電子認証を行う際には、そのセキュリティ基準準拠用鍵でプログラムに付与されている電子署名を復号化する処理を行う。
【００３６】
次に、図１に示したＭＦＰ１００におけるプログラム更新に関する処理の他の例について、図７を参照して具体的に説明する。
図７は、ＭＦＰ１００におけるプログラム更新に関する処理の一例を示すフローチャートである。
ＭＦＰ１００のプログラム更新モジュール３１は、ステップＳ２１〜Ｓ２５，Ｓ２８，Ｓ２９で図４に示したステップＳ１〜Ｓ５，Ｓ７，Ｓ８と同様の処理を行う。
【００３７】
ステップＳ２５で更新プログラムがセキュリティ基準に準拠していないと判断した場合には、ステップＳ２６で図８に示すようにプログラム更新を続行するか否かの問い合わせ情報を外部へ通知する。
その通知例は、更新プログラム（ＦＡＸアプリ）がセキュリティ基準に準拠していないが、プログラム更新を続行するか否かの問い合わせメッセージと共に、「続行」キーおよび「中止」キーを操作パネル２１上に表示したものである。
【００３８】
ＭＦＰ１００のプログラム更新モジュール３１は、ステップＳ２７で外部からプログラム更新を続行する指示がなされた場合（図８の例では「継続」キーが押下された場合）には、プログラム更新を続行し、ステップＳ２９で更新プログラムをプログラム格納領域３３にインストールしてプログラム更新（更新対象プログラム→更新プログラム）を実行する。それによって、更新プログラムがセキュリティ基準に非準拠であった場合には、更新実行前のプログラムのセキュリティ基準が準拠していても、更新実行後のプログラムのセキュリティ基準は非準拠となる。
ステップＳ２７で外部からプログラム更新を中止する指示がなされた場合（図８の例では「中止」キーが押下された場合）には、プログラム更新を実行しない（プログラム更新を中止する）。
【００３９】
この実施形態のＭＦＰによれば、以下の（１）〜（３）に示す作用効果を得ることができる。
（１）取得した更新プログラムおよび当該ＭＦＰにインストールされている更新対象プログラムがそれぞれ規定のセキュリティ基準に準拠しているか否かを判断し、その判断結果が、更新対象プログラムがセキュリティ基準に準拠し、且つ更新プログラムがセキュリティ基準に準拠していない場合には、プログラム更新を禁止することにより、セキュリティ基準に準拠しないプログラムへの更新を回避することができる。よって、セキュリティの低下を回避できる。
【００４０】
（２）プログラム更新を禁止した場合に、その旨を外部へ通知することにより、プログラム更新ができなかったことをユーザが知ることができる。
（３）プログラム更新を禁止した場合に、プログラム更新を続行するか否かの問い合わせ情報を外部へ通知し、それに対してプログラム更新を続行する指示がなされた場合にはプログラム更新を続行し、プログラム更新を中止する指示がなされた場合にはプログラム更新を中止することにより、ユーザの利便性が向上する。
（４）プログラム更新を行った後、未取得の更新プログラムの有無をチェックし、その更新プログラムがあれば、その更新プログラムを取得することにより、全ての更新プログラムを確実に取得してプログラム更新を完了させることができる。
【００４１】
以上、この発明をＭＦＰに適用した実施形態について説明したが、この発明の実施形態はこれに限らず、単体のデジタル複写機，プリンタ，ファクシミリ装置等の他の画像形成装置には勿論、スキャナ装置，パーソナルコンピュータ等の各種電子機器に適用可能である。
〔この実施形態におけるプログラム〕
このプログラムは、ＭＦＰ等の電子機器を制御するＣＰＵ（コンピュータ）に、更新プログラム取得手段，プログラム更新手段，セキュリティ基準判断手段，プログラム更新禁止手段，プログラム更新禁止通知手段，問い合わせ情報通知手段，およびプログラム更新制御手段を実現させるためのプログラムであり、このようなプログラムをＣＰＵに実行させることにより、上述したような効果を得ることができる。
【００４２】
このようなプログラムは、はじめからＲＯＭあるいはハードディスク等の記憶手段に格納しておいてもよいが、記録媒体であるＣＤ−ＲＯＭあるいはフレキシブルディスク、ＳＲＡＭ、ＥＥＰＲＯＭ、メモリカード等の不揮発性記録媒体（メモリ）に記録して提供することもできる。その不揮発性記録媒体に記録されたプログラムをＭＦＰにインストールしてＣＰＵに実行させるか、ＣＰＵにその不揮発性記録媒体からこのプログラムを読み出して実行させることにより、上述した各手順を実行させることができる。
さらに、ネットワークに接続され、プログラムを記録した記録媒体を備える外部機器あるいはプログラムを記憶手段に記憶した外部機器からダウンロードして実行させることも可能である。
【産業上の利用可能性】
【００４３】
以上の説明から明らかなように、この発明によれば、電子機器におけるセキュリティ基準に準拠しないプログラムへの更新を回避することができる。したがって、この発明を利用すれば、より信頼性のある電子機器を提供することができる。
【図面の簡単な説明】
【００４４】
【図１】この発明の一実施形態であるＭＦＰのハードウェア構成例を示すブロック図である。
【図２】図１に示したＭＦＰ１００におけるプログラム更新制御系の構成例を示すブロック図である。
【図３】図２のプログラム判断モジュール３２の構成例を示すブロック図である。
【図４】図１に示したＭＦＰ１００におけるプログラム更新に関する処理の一例を示すフロー図である。
【００４５】
【図５】図２のプログラム判断モジュール３２による処理の一例を示すフロー図である。
【図６】プログラム更新不可の通知例を示す図である。
【図７】図１に示したＭＦＰ１００におけるプログラム更新に関する処理の他の例を示すフロー図である。
【図８】プログラム更新を続行するか否かの問い合わせ情報の通知例を示す図である。
【符号の説明】
【００４６】
１：ＣＰＵ    ２：ＲＯＭ    ３：ＲＡＭ    ４：ＮＶ−ＲＡＭ    ５：パネル制御部
６：エンジン制御部    ７：ディスクドライバ    ８：モデム    ９：外部Ｉ／Ｆ
１０：通信制御部    １１：データバス    ２１：操作パネル
２２：スキャン／プリントエンジン    ２３：記憶装置    ２４，２６：外部機器
２５：ネットワーク    ３１：プログラム更新モジュール
３２：プログラム判断モジュール    ３３：プログラム格納領域
３４：更新プログラム    ４１：プログラム読み出し部    ４２：署名復号鍵読み出し部
４３：セキュリティ基準準拠判断部    ４４：電子認証ライブラリ    １００：ＭＦＰ
【図１】
2008112297.tif 000003
【図２】
2008112297.tif 000004
【図３】
2008112297.tif 000005
【図４】
2008112297.tif 000006
【図５】
2008112297.tif 000007
【図６】
2008112297.tif 000008
【図７】
2008112297.tif 000009
【図８】
2008112297.tif 000010