(57)【要約】【課題】  非純正の部材の不具合による装置への信用の低下を防止するとともに、純正の部材についても、供給側の意図しない装置での使用を防止できるようにする。【解決手段】  画像形成装置において使用するプロセスカートリッジに、そのカートリッジを使用する装置の識別情報を記載したデジタル証明書を記憶させておき、画像形成装置のコントローラが、起動時にそのデジタル証明書を用いてプロセスカートリッジを認証する（Ｓ２）。そして、その認証が失敗した場合には、プロセスカートリッジが純正のユニットではないと判断し、警告メッセージの表示等により警告を発する（Ｓ４）。また、デジタル証明書に画像形成装置自身の識別情報が記載されていなかった場合には、自身での使用が許可されていないカートリッジであるとしてやはり警告を発する（Ｓ６，Ｓ７）。【選択図】        図１２
2005251156.tif 000002
【特許請求の範囲】
【請求項１】
デジタル証明書を記憶している部材を使用する電子装置であって、
前記部材が記憶しているデジタル証明書を取得する取得手段と、
前記デジタル証明書を用いて前記部材を認証する認証手段と、
前記認証手段による認証結果に基づいて当該電子装置の動作を制御する手段とを設け、
前記デジタル証明書は、前記部材を使用する電子装置の識別情報が記載されているデジタル証明書であって、
前記認証手段に、前記デジタル証明書に記載されている電子装置の識別情報に基づいて認証結果を決定する手段を設けたことを特徴とする電子装置。
【請求項２】
請求項１記載の電子装置であって、
前記認証手段による認証結果を報知する手段を設けたことを特徴とする電子装置。
【請求項３】
請求項１又は２記載の電子装置であって、
前記デジタル証明書は、前記部材に関する情報であって書き換えの不要な情報が記載されているデジタル証明書であることを特徴とする電子装置。
【請求項４】
請求項３記載の電子装置であって、
前記書き換えの不要な情報は、前記部材の種別、シリアル番号、製造メーカー、またはリサイクル回数上限の情報であることを特徴とする電子装置。
【請求項５】
請求項１乃至４のいずれか一項記載の電子装置であって、
当該電子装置において使用中の前記部材と通信する通信手段を有し、
前記通信手段は、前記部材が記憶し又は前記部材に記憶させる情報のうち、書き換えの必要な情報は、前記デジタル証明書を利用して内容を暗号化した通信経路で送受信する手段であることを特徴とする電子装置。
【請求項６】
請求項５記載の電子装置であって、
前記暗号化した通信経路で前記部材から受信した制御情報に従って当該電子装置の動作を制御する制御手段を有することを特徴とする電子装置。
【請求項７】
請求項６記載の電子装置であって、
前記部材がトナー供給部材であり、
前記トナー供給部材から供給されるトナーを使用して用紙に画像を形成する画像形成手段と、
外部の管理装置と通信するための第２の通信手段とを有し、
前記制御手段に、前記制御情報として前記トナー供給部材からトナー残量の情報を取得し、トナー残量が所定値以下になった場合に、前記第２の通信手段によって前記管理装置に交換用トナー供給部材の発注を行う手段を設けたことを特徴とする画像形成装置。
【請求項８】
請求項１乃至６のいずれか一項記載の電子装置であって、
前記部材が記憶しているデジタル証明書が、部材認証専用の証明鍵を用いてその正当性を確認できる証明書であることを特徴とする電子装置。
【請求項９】
請求項１乃至６及び８のいずれか一項記載の電子装置であって、
前記部材に、演算手段と、当該電子装置の本体側と通信するための通信手段とを設け、
当該電子装置の本体側に、デジタル証明書を記憶する記憶手段を設け、
前記演算手段と前記認証手段とにより、前記部材と当該電子装置の本体側との間で、互いに相手が記憶しているデジタル証明書を用いて相互認証を行うようにしたことを特徴とする電子装置。
【請求項１０】
デジタル証明書を記憶している部材を使用する電子装置の制御方法であって、
前記デジタル証明書に前記部材を使用する電子装置の識別情報を記載しておき、
前記部材が記憶しているデジタル証明書を取得する取得手順と、
前記デジタル証明書を用いて前記部材を認証する認証手順とを前記電子装置に実行させ、
該認証手順に、前記デジタル証明書に記載されている電子装置の識別情報に基づいて認証結果を決定する手順を設け、
前記認証手順における認証結果に基づいて前記電子装置の動作を制御するようにしたことを特徴とする電子装置の制御方法。
【請求項１１】
請求項１０記載の電子装置の制御方法であって、
前記電子装置に、前記認証手順における認証結果を報知させるようにしたことを特徴とする電子装置の制御方法。
【請求項１２】
請求項１０又は１１記載の電子装置の制御方法であって、
前記デジタル証明書は、前記部材に関する情報であって書き換えの不要な情報が記載されているデジタル証明書であることを特徴とする電子装置の制御方法。
【請求項１３】
請求項１０乃至１２のいずれか一項記載の電子装置の制御方法であって、
前記電子装置において使用中の前記部材と通信する通信手順を前記電子装置に実行させ、
その通信手順において、前記部材が記憶し又は前記部材に記憶させる情報のうち、書き換えの必要な情報は、前記デジタル証明書を利用して内容を暗号化した通信経路で送受信させるようにしたことを特徴とする電子装置の制御方法。
【請求項１４】
請求項１３記載の電子装置の制御方法であって、
前記電子装置に、前記暗号化した通信経路で前記部材から受信した制御情報に従って自身の動作を制御させるようにしたことを特徴とする電子装置の制御方法。
【請求項１５】
請求項１０乃至１４のいずれか一項記載の電子装置の制御方法であって、
前記電子装置の本体側にもデジタル証明書を記憶させておき、
前記認証手順において、前記部材と前記電子装置の本体側との間で、互いに相手が記憶しているデジタル証明書を用いた相互認証を行わせるようにしたことを特徴とする電子装置の制御方法。
【請求項１６】
デジタル証明書を記憶している部材を使用する電子装置を制御するコンピュータに、
前記部材が記憶しているデジタル証明書を取得する取得手順と、
前記デジタル証明書を用いて前記部材を認証する認証手順とを実行させると共に、
前記認証手順における認証結果に基づいて前記電子装置の動作を制御する機能を実現させるためのプログラムであって、
前記デジタル証明書は、前記部材を使用する電子装置の識別情報が記載されているデジタル証明書であり、
前記認証手順に、前記デジタル証明書に記載されている電子装置の識別情報に基づいて認証結果を決定する手順を設けたことを特徴とするプログラム。
【請求項１７】
請求項１６記載のプログラムであって、
前記コンピュータに、前記認証手順における認証結果を報知する手順を実行させるためのプログラムを含むことを特徴とするプログラム。
【請求項１８】
請求項１６又は１７記載のプログラムであって、
前記デジタル証明書は、前記部材に関する情報であって書き換えの不要な情報が記載されているデジタル証明書であることを特徴とするプログラム。
【請求項１９】
請求項１６乃至１８のいずれか一項記載のプログラムであって、
前記コンピュータに、さらに前記電子装置において使用中の前記部材と通信する通信手順を実行させるためのプログラムを含み、
その通信手順において、前記部材が記憶し又は前記部材に記憶させる情報のうち、書き換えの必要な情報は、前記デジタル証明書を利用して内容を暗号化した通信経路で送受信させるようにしたことを特徴とするプログラム。
【請求項２０】
請求項１９記載のプログラムであって、
前記コンピュータに、前記暗号化した通信経路で前記部材から受信した制御情報に従って前記電子装置の動作を制御させるようにしたことを特徴とするプログラム。
【請求項２１】
請求項１６乃至２０のいずれか一項記載のプログラムであって、
前記コンピュータは、デジタル証明書を記憶する記憶手段を備えたコンピュータであり、
該コンピュータに、前記認証手順において、前記部材との間で互いに相手が記憶しているデジタル証明書を用いた相互認証を行わせるようにしたことを特徴とするプログラム。
【請求項２２】
請求項１６乃至２１のいずれか一項記載のプログラムを記録したコンピュータ読み取り可能な記録媒体。
【請求項２３】
請求項７記載の画像形成装置と、該画像形成装置と通信可能であって該画像形成装置を管理する管理装置とを備え、
前記管理装置に、前記画像形成装置からの前記交換用トナー供給部材の発注を受け付ける手段を設けたことを特徴とする画像形成装置管理システム。
【請求項２４】
当該部材を使用する電子装置に記憶している証明鍵を用いて正当性を確認可能であり、当該部材を使用する電子装置の識別情報が記載されているデジタル証明書を記憶していることを特徴とする、デジタル証明書を記憶した部材。
【請求項２５】
請求項２４記載のデジタル証明書を記憶した部材であって、
前記デジタル証明書は、当該部材に関する情報であって書き換えの不要な情報が記載されているデジタル証明書であることを特徴とするデジタル証明書を記憶した部材。
【請求項２６】
請求項２５記載のデジタル証明書を記憶した部材であって、
前記書き換えの不要な情報は、当該部材の種別、シリアル番号、製造メーカー、またはリサイクル回数上限の情報であることを特徴とするデジタル証明書を記憶した部材。
【請求項２７】
請求項２４乃至２６のいずれか一項記載のデジタル証明書を記憶した部材であって、
当該部材を使用している電子装置と通信する通信手段を有し、
前記通信手段は、当該部材が記憶する情報のうち、書き換えの必要な情報は、前記デジタル証明書を利用して内容を暗号化した通信経路で送受信する手段であることを特徴とするデジタル証明書を記憶した部材。
【請求項２８】
請求項２４乃至２７のいずれか一項記載のデジタル証明書を記憶した部材であって、
当該部材が記憶しているデジタル証明書が、部材認証専用の証明鍵を用いてその正当性を確認できる証明書であることを特徴とするデジタル証明書を記憶した部材。
【請求項２９】
請求項２４乃至２８のいずれか一項記載のデジタル証明書を記憶した部材であって、
当該部材を使用している電子装置と通信する通信手段と、
該電子装置からデジタル証明書を取得し、そのデジタル証明書を用いて該電子装置を認証する認証手段を設けたことを特徴とするデジタル証明書を記憶した部材。
【請求項３０】
電子装置において使用する部材に記憶させるデジタル証明書を取得するデジタル証明書取得方法であって、
所定の端末装置によって、前記部材を使用する電子装置の識別情報の入力を受け付けると共に、証明書発行装置に対して、証明書発行要求と共にその入力された識別情報を送信し、
前記証明書発行装置が、前記証明書発行要求に応じて、受信した識別情報をもとに、前記部材を使用する電子装置に記憶している証明鍵を用いて正当性を確認可能であり、前記部材を使用する電子装置の識別情報が記載されているデジタル証明書を発行して前記端末装置に送信し、
前記端末装置がそのデジタル証明書を取得することを特徴とするデジタル証明書取得方法。
【請求項３１】
電子装置において使用する部材に記憶させるデジタル証明書を設定するデジタル証明書設定システムであって、
端末装置と、前記デジタル証明書を発行する証明書発行装置とを有し、
前記端末装置に、
前記部材を使用する電子装置の識別情報の入力を受け付ける手段と、
前記証明書発行装置に対して、証明書発行要求と共にその入力された識別情報を送信する手段と、
該要求に応じて前記証明書発行装置が発行するデジタル証明書を取得し、前記部材にそのデジタル証明書を設定する手段とを設け、
前記証明書発行装置に、
前記証明書発行要求に応じて、受信した識別情報をもとに、前記部材を使用する電子装置に記憶している証明鍵を用いて正当性を確認可能であり、前記部材を使用する電子装置の識別情報が記載されているデジタル証明書を発行して前記端末装置に送信する手段を設けたことを特徴とするデジタル証明書設定システム。
【請求項３２】
請求項３１記載のデジタル証明書設定システムであって、
さらに前記部材を使用する電子装置を含み、
前記電子装置に、前記部材の発注に関する情報を、当該電子装置の識別情報と共に前記端末装置に対して送信する手段を設けたことを特徴とするデジタル証明書設定システム。
【請求項３３】
電子装置において使用する部材にデジタル証明書を設定するデジタル証明書設定システムであって、
前記部材の発注を受け付ける管理装置と、前記部材を顧客先に発送するサービス拠点に設置される端末装置と、前記デジタル証明書を発行する証明書発行装置とを有し、
前記管理装置に、
前記部材の発注に関する情報を、該部材を使用する電子装置の識別情報と共に受け付ける手段と、
その受け付けた情報を、発注された部材を顧客先に発送するサービス拠点に設置された端末装置に送信する手段とを設け、
前記端末装置に、
前記管理装置から前記部材の発注に関する情報を受け付けた場合に、前記証明書発行装置に対して、該情報と共に受け付けた電子装置の識別情報を証明書発行要求と共に送信する手段と、
該要求に応じて前記証明書発行装置が発行するデジタル証明書を取得し、前記発注に係る部材にそのデジタル証明書を設定する手段とを設け、
前記証明書発行装置に、
前記証明書発行要求に応じて、受信した識別情報をもとに、前記部材を使用する電子装置に記憶している証明鍵を用いて正当性を確認可能であり、前記部材を使用する電子装置の識別情報が記載されているデジタル証明書を発行して前記端末装置に送信する手段を設けたことを特徴とするデジタル証明書設定システム。
【請求項３４】
請求項３３記載のデジタル証明書設定システムであって、
さらに前記部材を使用する電子装置を含み、
前記電子装置に、前記部材の発注に関する情報を、当該電子装置の識別情報と共に前記管理装置に対して送信する手段を設けたことを特徴とする証明書設定システム。
【請求項３５】
請求項３３記載のデジタル証明書設定システムであって、
前記管理装置に、受け付けた電子装置の識別情報が部材の発注を仲介してよい装置のものであるか否かを確認する手段を設けたことを特徴とする証明書設定システム。
【請求項３６】
請求項３３記載のデジタル証明書設定システムであって、
前記管理装置が、前記部材を使用する電子装置から前記部材の発注に関する情報を受け付け、前記電子装置の識別情報として、通信の際に該電子装置から受信したデジタル証明書に記載されている識別情報を受け付けるようにしたことを特徴とする証明書設定システム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、デジタル証明書を記憶している部材を使用する電子装置、このような電子装置の一例である画像形成装置、上記の電子装置の制御方法、コンピュータにこのような電子装置を制御させるためのプログラム、このようなプログラムを記録したコンピュータ読み取り可能な記録媒体、上記画像形成装置とその画像形成装置を管理する管理装置とを備えた画像形成装置管理システム、および上記の電子装置において使用するデジタル証明書を記憶した部材、そのような部材に記憶させるデジタル証明書を証明書発行装置から取得するデジタル証明書取得方法、およびそのようなデジタル証明書を上記の部材に設定するデジタル証明書設定システムに関する。
【背景技術】
【０００２】
従来から、種々の装置において、一部の部品を本体から着脱自在なユニットとして構成することにより、そのユニットが故障したり、摩耗あるいは消耗したり、ユニットとしての寿命が経過したりして使用不能になったりしても、ユーザやサービスマンによって容易に交換し、装置全体としての動作を維持できるようにすることが行われている。
そして、このような構成を取ることは、装置の他の部分と比べて耐久性の低い部品や、装置の動作に従って消費される消耗品のような、装置を動作させるに当たって適宜交換して使用する部材を使用する装置においては特に重要である。
【０００３】
このようなユニットの具体例としては、例えば、電子写真方式のプリンタ、デジタル複写機、デジタル複合機等の画像形成装置において使用される、画像形成のためのプロセスカートリッジが挙げられる。また、このような画像形成装置においては、感光体ドラム、帯電ユニット、現像ユニット、トナーボトル、クリーニングユニット、光学ユニット、転写ユニット、給紙ユニット、定着ユニット等の単位でユニット構成とし、交換可能にすることも行われている。
【０００４】
ところで、これらの消耗品は、交換用のユニットとして流通させる必要があることから、必ずしも装置本体と同じように流通するとは限らない。また、近年では、装置本体を生産するメーカーの他、装置本体を供給するメーカーとは無関係のメーカーが非純正の交換用のユニットを製造して供給することも行われている。
しかしながら、非純正のユニット（ユニットを使用する装置のメーカーと全く無関係なメーカーが生産する等、ユニットを使用する装置のメーカーが品質を十分に管理できない状態で生産されたユニット）については、装置本体を供給するメーカーが品質を管理することができない場合が多い。従って、このような非純正のユニットを使用した場合、必ずしも装置の動作を保証することができず、また一見正常に動作しているように見えたとしても、細部に不具合が生じたり、異常が発生しやすくなったりすることも考えられる。例えば、上記の画像形成装置の場合には、画像形成品質が低下する等である。そして、このような事態が発生すると、装置自体への信用の低下につながる恐れもある。
【０００５】
そこで、装置本体を供給するメーカーとしては、できるだけ純正のユニット（ユニットを使用する装置のメーカー自身が生産したか、またはそのメーカーが十分に品質を管理できる状態で生産されたユニット）を使用して欲しいという要求がある。
このような要求を実現するための技術としては、例えば特許文献１あるいは特許文献２に記載の技術が考えられる。
特許文献１には、消耗品に予め識別情報を記録しておき、その消耗品を用いる画像形成装置が、その識別情報を予め登録してある識別情報と一致するか否かに従って画像形成可否を決定することが記載されている。そこで、この技術を利用して、消耗品に記録してある識別情報が、純正ユニットの識別情報と一致する場合のみ画像形成を可能にすることにより、純正ユニット以外の使用を排除できるようにすることが考えられる。
【０００６】
また、特許文献２には、トナーカートリッジに、カートリッジＩＤＮｏ．情報と共に再生処理の履歴情報等を所定の鍵情報により暗号化して記憶させておき、トナーカートリッジがプリンタに接続された場合に、その情報を管理センターに送信することが記載されている。また、管理センターでは、受信した情報を、カートリッジＩＤＮｏ．情報をキーに管理している鍵情報を用いて復号化し、復号化できた場合にはその鍵情報をプリンタに送信し、プリンタがその鍵情報を受信した場合にトナーカートリッジのメモリから情報を読み出し、デコードしてＥＥＰＲＯＭに書き込むことにより稼動可能な状態になるようにすることが記載されている。
【特許文献１】特開２００２−３３３８００号公報
【特許文献２】特開２００２−３１８５１１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、特許文献１に記載の構成とした場合、装置に予め登録してある識別情報を解析されてしまうと、それと同じ識別情報をユニットに記録することが容易である。従って、非純正のユニットの供給者がそのユニットに同じ識別情報を記録してしまえば、それを使用する装置の側では、純正のユニットと非純正のユニットとを区別できなくなってしまうという問題があった。
また、識別情報だけを取り出してコピーすることが困難な構成とした場合でも、メモリ中のデータをまるごとコピーされてしまう等した場合には、純正のユニットとコピーによる不正なユニットとを区別できなくなってしまうという問題があった。
【０００８】
また、非純正のユニットであっても、必ずしも品質に問題があるとは限らず、純正ユニットと同等な品質を有するユニットもあることが考えられる。そして、このようなユニットを使用した場合でも、非純正であるからという理由で一律に装置を動作不能にしてしまうのは、装置のユーザの選択肢を制限することになり、適当な対応とは言えないという問題もあった。
【０００９】
また、特許文献２に記載の技術を利用すれば、ユーザが純正のもの以外のトナーカートリッジを使用しようとした場合に警告を行う等の対応が可能である。
しかしながら、この技術においては、装着されたトナーカートリッジが純正のものであるか否かの判断は、管理センターで行うようになっている。従って、トナーカートリッジが装着された時点でプリンタが管理センターと通信できない状態である場合には、純正のトナーカートリッジを装着した場合でも稼動を許可できないという問題があった。また、トナーカートリッジを装着する度に管理センターに問い合わせを行う必要があるため、ダイヤルアップ環境等、接続に時間がかかったり、従量制の料金を要したりする環境では、ユーザに余計な負担を強いることになるという問題もあった。
【００１０】
さらに、上記の消耗品の他にも、電子装置を動作させるに当たって適宜交換して使用する部材としては、コンピュータを動作させるためのソフトウェアや鑑賞の対象となる音楽や映像を記録した記録媒体等が考えられる。そして、このような記録媒体に関しては、近年、違法コピーによるいわゆる海賊版の氾濫が問題となっている。また、１台のコンピュータでのみ使用を許可しているにも関わらず、複数のコンピュータで使用されてしまうようなケースも多い。
従って、このような部材に関しては、違法に複製されて製造された非純正品の使用を防止したり、純正品であっても供給者の意図しない使用を防止したりしたいという要求があった。
【００１１】
この発明は、このような問題を解決し、電子装置において使用する部材について、非純正の部材が流通する環境にあっても、非純正の部材の不具合による装置への信用の低下を防止するとともに、なるべく純正の部材を使用してもらえるようにすることを目的とする。また、純正の部材についても、供給側の意図しない装置での使用をコントロールできるようにすることを目的とする。
【課題を解決するための手段】
【００１２】
上記の目的を達成するため、この発明の電子装置は、デジタル証明書を記憶している部材を使用する電子装置において、上記部材が記憶しているデジタル証明書を取得する取得手段と、上記デジタル証明書を用いて上記部材を認証する認証手段と、上記認証手段による認証結果に基づいてその電子装置の動作を制御する手段とを設け、上記デジタル証明書を、上記部材を使用する電子装置の識別情報が記載されているデジタル証明書とし、上記認証手段に、上記デジタル証明書に記載されている電子装置の識別情報に基づいて認証結果を決定する手段を設けたものである。
【００１３】
このような電子装置において、上記認証手段による認証結果を報知する手段を設けるとい。
さらに、上記デジタル証明書を、上記部材に関する情報であって書き換えの不要な情報が記載されているデジタル証明書とするとよい。
さらに、上記書き換えの不要な情報を、上記部材の種別、シリアル番号、製造メーカー、又はリサイクル回数上限の情報とするとよい。
さらにまた、その電子装置において使用中の上記部材と通信する通信手段を設け、上記通信手段を、上記部材が記憶し又は上記部材に記憶させる情報のうち、書き換えの必要な情報は、上記デジタル証明書を利用して内容を暗号化した通信経路で送受信する手段とするとよい。
さらに、上記暗号化した通信経路で上記部材から受信した制御情報に従ってその電子装置の動作を制御する制御手段を設けるとよい。
【００１４】
さらに、このような電子装置において、上記部材をトナー供給部材とし、上記トナー供給部材から供給されるトナーを使用して用紙に画像を形成する画像形成手段と、外部の管理装置と通信するための第２の通信手段とを設け、上記制御手段に、上記制御情報として上記トナー供給部材からトナー残量の情報を取得し、トナー残量が所定値以下になった場合に、上記第２の通信手段によって上記管理装置に交換用トナー供給部材の発注を行う手段を設けた画像形成装置を構成するとよい。
【００１５】
また、上記の各電子装置において、上記部材が記憶しているデジタル証明書を、部材認証専用の証明鍵を用いてその正当性を確認できる証明書とするとよい。
さらに、上記部材に、演算手段と、その電子装置の本体側と通信するための通信手段とを設け、その電子装置の本体側に、デジタル証明書を記憶する記憶手段を設け、上記演算手段と上記認証手段とにより、上記部材とその電子装置の本体側との間で、互いに相手が記憶しているデジタル証明書を用いて相互認証を行うようにするとよい。
【００１６】
また、この発明の電子装置の制御方法は、デジタル証明書を記憶している部材を使用する電子装置の制御方法において、上記デジタル証明書に上記部材を使用する電子装置の識別情報を記載しておき、上記部材が記憶しているデジタル証明書を取得する取得手順と、上記デジタル証明書を用いて上記部材を認証する認証手順とを上記電子装置に実行させ、その認証手順に、上記デジタル証明書に記載されている電子装置の識別情報に基づいて認証結果を決定する手順を設け、上記認証手順における認証結果に基づいてその電子装置の動作を制御するようにしたものである。
【００１７】
このような電子装置の制御方法において、上記電子装置に、上記認証手順における認証結果を報知させるようにするとよい。
さらに、上記デジタル証明書を、上記部材に関する情報であって書き換えの不要な情報が記載されているデジタル証明書とするとよい。
さらにまた、上記電子装置において使用中の上記部材と通信する通信手順を上記電子装置に実行させ、その通信手順において、上記部材が記憶し又は上記部材に記憶させる情報のうち、書き換えの必要な情報は、上記デジタル証明書を利用して内容を暗号化した通信経路で送受信させるようにするとよい。
【００１８】
さらに、上記電子装置に、上記暗号化した通信経路で上記部材から受信した制御情報に従って自身の動作を制御させるようにするとよい。
さらに、上記電子装置の本体側にもデジタル証明書を記憶させておき、上記認証手順において、上記部材と上記電子装置の本体側との間で、互いに相手が記憶しているデジタル証明書を用いた相互認証を行わせるようにするとよい。
【００１９】
また、この発明のプログラムは、デジタル証明書を記憶している部材を使用する電子装置を制御するコンピュータに、上記部材が記憶しているデジタル証明書を取得する取得手順と、上記デジタル証明書を用いて上記部材を認証する認証手順とを実行させると共に、上記認証手順における認証結果に基づいて上記電子装置の動作を制御する機能を実現させるためのプログラムであって、上記デジタル証明書は、上記部材を使用する電子装置の識別情報が記載されているデジタル証明書であり、上記認証手順に、上記デジタル証明書に記載されている電子装置の識別情報に基づいて認証結果を決定する手順を設けたプログラムである。
【００２０】
このようなプログラムにおいて、上記コンピュータに、上記認証手順における認証結果を報知する手順を実行させるためのプログラムを含めるとよい。
さらに、上記デジタル証明書を、上記部材に関する情報であって書き換えの不要な情報が記載されているデジタル証明書とするとよい。
さらにまた、上記コンピュータに、さらに上記電子装置において使用中の上記部材と通信する通信手順を実行させるためのプログラムを含め、その通信手順において、上記部材が記憶し又は上記部材に記憶させる情報のうち、書き換えの必要な情報は、上記デジタル証明書を利用して内容を暗号化した通信経路で送受信させるようにするとよい。
【００２１】
さらに、上記コンピュータに、上記暗号化した通信経路で上記部材から受信した制御情報に従って上記電子装置の動作を制御させるようにするとよい。
さらに、上記コンピュータを、デジタル証明書を記憶する記憶手段を備えたコンピュータとし、そのコンピュータに、上記認証手順において、上記部材との間で互いに相手が記憶しているデジタル証明書を用いた相互認証を行わせるようにするとよい。
【００２２】
また、この発明の記録媒体は、上記のいずれかのプログラムを記録したコンピュータ読み取り可能な記録媒体である。
また、この発明の画像形成装置管理システムは、上述した画像形成装置と、その画像形成装置と通信可能であってその画像形成装置を管理する管理装置とを備え、上記管理装置に、上記画像形成装置からの上記交換用トナー供給部材の発注を受け付ける手段を設けたものである。
【００２３】
また、この発明のデジタル証明書を記憶した部材は、その部材を使用する電子装置に記憶している証明鍵を用いて正当性を確認可能であり、その部材を使用する電子装置の識別情報が記載されているデジタル証明書を記憶した部材である。
このようなデジタル証明書を記憶した部材において、上記デジタル証明書を、その部材に関する情報であって書き換えの不要な情報が記載されているデジタル証明書とするとよい。
さらに、上記書き換えの不要な情報を、その部材の種別、シリアル番号、製造メーカー、又はリサイクル回数上限の情報とするとよい。
【００２４】
さらにまた、その部材を使用している電子装置と通信する通信手段を設け、上記通信手段を、その部材が記憶する情報のうち、書き換えの必要な情報は、上記デジタル証明書を利用して内容を暗号化した通信経路で送受信する手段とするとよい。
さらに、その部材が記憶しているデジタル証明書を、部材認証専用の証明鍵を用いてその正当性を確認できる証明書とするとよい。
さらに、その部材を使用している電子装置と通信する通信手段と、その電子装置からデジタル証明書を取得し、そのデジタル証明書を用いてその電子装置を認証する認証手段を設けるとよい。
【００２５】
また、この発明のデジタル証明書取得方法は、電子装置において使用する部材に記憶させるデジタル証明書を取得するデジタル証明書取得方法において、所定の端末装置によって、上記部材を使用する電子装置の識別情報の入力を受け付けると共に、証明書発行装置に対して、証明書発行要求と共にその入力された識別情報を送信し、上記証明書発行装置が、上記証明書発行要求に応じて、受信した識別情報をもとに、上記部材を使用する電子装置に記憶している証明鍵を用いて正当性を確認可能であり、上記部材を使用する電子装置の識別情報が記載されているデジタル証明書を発行して上記端末装置に送信し、上記端末装置がそのデジタル証明書を取得するようにしたものである。
【００２６】
また、この発明のデジタル証明書設定システムは、電子装置において使用する部材に記憶させるデジタル証明書を設定するデジタル証明書設定システムにおいて、端末装置と、上記デジタル証明書を発行する証明書発行装置とを設け、上記端末装置に、上記部材を使用する電子装置の識別情報の入力を受け付ける手段と、上記証明書発行装置に対して、証明書発行要求と共にその入力された識別情報を送信する手段と、その要求に応じて上記証明書発行装置が発行するデジタル証明書を取得し、上記部材にそのデジタル証明書を設定する手段とを設け、上記証明書発行装置に、上記証明書発行要求に応じて、受信した識別情報をもとに、上記部材を使用する電子装置に記憶している証明鍵を用いて正当性を確認可能であり、上記部材を使用する電子装置の識別情報が記載されているデジタル証明書を発行して上記端末装置に送信する手段を設けたものである。
このようなデジタル証明書設定システムにおいて、さらに上記部材を使用する電子装置を含め、上記電子装置に、上記部材の発注に関する情報を、その電子装置の識別情報と共に上記端末装置に対して送信する手段を設けるとよい。
【００２７】
また、この発明は、電子装置において使用する部材にデジタル証明書を設定するデジタル証明書設定システムにおいて、上記部材の発注を受け付ける管理装置と、上記部材を顧客先に発送するサービス拠点に設置される端末装置と、上記デジタル証明書を発行する証明書発行装置とを設け、上記管理装置に、上記部材の発注に関する情報を、その部材を使用する電子装置の識別情報と共に受け付ける手段と、その受け付けた情報を、発注された部材を顧客先に発送するサービス拠点に設置された端末装置に送信する手段とを設け、上記端末装置に、上記管理装置から上記部材の発注に関する情報を受け付けた場合に、上記証明書発行装置に対して、その情報と共に受け付けた電子装置の識別情報を証明書発行要求と共に送信する手段と、その要求に応じて上記証明書発行装置が発行するデジタル証明書を取得し、上記発注に係る部材にそのデジタル証明書を設定する手段とを設け、上記証明書発行装置に、上記証明書発行要求に応じて、受信した識別情報をもとに、上記部材を使用する電子装置に記憶している証明鍵を用いて正当性を確認可能であり、上記部材を使用する電子装置の識別情報が記載されているデジタル証明書を発行して上記端末装置に送信する手段を設けたデジタル証明書設定システムも提供する。
【００２８】
このようなデジタル証明書設定システムにおいて、さらに上記部材を使用する電子装置を含め、上記電子装置に、上記部材の発注に関する情報を、その電子装置の識別情報と共に上記管理装置に対して送信する手段を設けるとよい。
あるいは、上記管理装置に、受け付けた電子装置の識別情報が部材の発注を仲介してよい装置のものであるか否かを確認する手段を設けるとよい。
また、上記管理装置が、上記部材を使用する電子装置から上記部材の発注に関する情報を受け付け、上記電子装置の識別情報として、通信の際にその電子装置から受信したデジタル証明書に記載されている識別情報を受け付けるようにするとよい。
【発明の効果】
【００２９】
以上のようなこの発明の電子装置、画像形成装置、電子装置の制御方法、画像形成装置管理システム、またはデジタル証明書を記憶した部材によれば、非純正の部材が流通する環境にあっても、非純正の部材の不具合による装置への信用の低下を防止するとともに、なるべく純正の部材を使用してもらえるようにすることができる。純正の部材についても、供給側の意図しない装置での使用をコントロールすることができる。
【００３０】
また、この発明のプログラムによれば、コンピュータに電子装置を制御させてその特徴を実現し、同様な効果を得ることができる。この発明の記録媒体によれば、上記のプログラムを記憶していないコンピュータにそのプログラムを読み出させて実行させ、上記の効果を得ることができる。
さらにまた、この発明のデジタル証明書取得方法及びデジタル証明書設定システムによれば、上記のデジタル証明書を記憶した部材を容易に供給できるようにすることにより、上記の効果を得ることができる。
【発明を実施するための最良の形態】
【００３１】
以下、この発明の好ましい実施の形態を図面を参照して説明する。
〔第１の実施形態：図１乃至図１５〕
まず、この発明の電子装置の第１の実施形態について、画像形成装置を例として説明する。なおこの例では、画像形成装置は、消耗品として、この発明のデジタル証明書を記憶した部材の第１の実施形態であるプロセスカートリッジを使用する。なお、プロセスカートリッジは、後述するように画像形成手段と画像形成手段にトナーを供給するトナー供給部材とを備えるユニットである。
図１は、その画像形成装置の全体構成を示す模式的な断面図である。
【００３２】
この図に示す画像形成装置１００は、コピー，ファクシミリ，スキャナ等の機能および外部装置と通信を行う機能を備えたデジタル複合機であり、それらの機能に係るサービスを提供するためのアプリケーションプログラムを実装しているものである。
そして、画像形成装置１００は、画像情報に基づいたレーザ光を発する光学部（光学ユニット）２、各色（イエロー、マゼンタ、シアン、ブラック）に対応した設置位置に交換可能に設置されるユニットであるプロセスカートリッジ５００Ｙ，５００Ｍ，５００Ｃ，５００ＢＫ（以下、符号「５００」にて総称する）、転写紙等の被転写材Ｐが収納される給紙部（給紙ユニット）６１、給紙ローラ６２，搬送ガイド６３，レジストローラ６４，吸着ローラ２７，転写ベルト３０等からなる用紙搬送手段、加熱ローラ６７，加圧ローラ６８及び排紙ローラ６９を備え、被転写材Ｐ上の未定着画像を定着する定着部（定着ユニット）６６、載置された原稿を光学的に読み取るスキャナ９０、装置本体の外装に一部が露呈するように設けられた操作部２０９、画像形成装置１００の動作を統括制御する制御手段であるコントローラ２００、エンジン部の動作を制御するエンジン制御部４００等を備えている。
なお、ここではカラーの画像形成装置を示しているが、モノクロの画像形成装置にもこの発明はもちろん適用可能である。そしてこの場合には、画像形成装置に備えるプロセスカートリッジは１つだけになる。
【００３３】
画像形成装置１００において、各色のプロセスカートリッジ５００には、像担持体である感光体ドラム２１、感光体ドラム２１上を帯電する帯電部２２、感光体ドラム２１上に形成される静電潜像を現像する現像部２３、感光体ドラム２１上の未転写トナーを回収するクリーニング部２５、現像部２３にトナーを供給するトナー供給手段であるトナー供給部３２、プロセスカートリッジ５００の識別に使用する制御チップ８０等を備え、これらが一体的に保持されている。また、感光体ドラム２１と対応する位置には、感光体ドラム２１上に形成されたトナー像を被転写材Ｐに転写する転写ローラ２４が配置されている。
そして、各プロセスカートリッジ５００の感光体ドラム２１上で、それぞれ対応した色の画像形成が行われる。このとき、各プロセスカートリッジ５００の現像部２３には、トナー供給部３２Ｙ，３２Ｍ，３２Ｃ，３２ＢＫから各色のトナーが供給される。
【００３４】
以下、この画像形成装置１００における、通常のカラー画像形成時の動作について説明する。
画像形成を行う場合、４つの感光体ドラム２１は、それぞれ、図１で時計回りに回転している。そして、まず、感光体ドラム２１の表面は、帯電部２２との対向位置で、一様に帯電される（帯電工程）。その後、帯電された感光体ドラム２１表面は、それぞれのレーザ光の照射位置に達する。
【００３５】
一方、光学部２には、形成すべき画像についての画像データが供給される。そして、光学部２において、ＬＤ光源から画像信号に対応したレーザ光が各色に対応して射出される。レーザ光は、ポリゴンミラー３に入射して反射した後に、レンズ４，５を透過する。レンズ４，５を透過した後のレーザ光は、イエロー、マゼンタ、シアン、ブラックの各色成分ごとに別の光路を通過することになる。
【００３６】
イエロー成分のレーザ光は、ミラー６〜８で反射された後に、紙面右側から１番目のプロセスカートリッジ５００Ｙの感光体ドラム２１表面に照射される。このとき、イエロー成分のレーザ光は、高速回転するポリゴンミラー３により、感光体ドラム２１の回転軸方向（主走査方向）に走査される。こうして、帯電部２２にて帯電された後の感光体ドラム２１上には、イエロー成分の静電潜像が形成される。
【００３７】
同様に、マゼンタ成分のレーザ光は、ミラー９〜１１で反射された後に、紙面右から２番目のプロセスカートリッジ５００Ｍの感光体ドラム２１表面に照射されて、マゼンタ成分の静電潜像が形成される。シアン成分のレーザ光は、ミラー１２〜１４で反射された後に、紙面右から３番目のプロセスカートリッジ５００Ｃの感光体ドラム２１表面に照射されて、シアン成分の静電潜像が形成される。ブラック成分のレーザ光は、ミラー１５で反射された後に、紙面右から４番目のプロセスカートリッジ５００ＢＫの感光体ドラム２１表面に照射されて、ブラック成分の静電潜像が形成される（露光工程）。
【００３８】
その後、各色の静電潜像が形成された感光体ドラム２１表面は、さらに回転して、現像部２３との対向位置に達する。そして、現像部２３から感光体ドラム２１上に各色のトナーが供給されて、感光体ドラム２１上の潜像が現像される（現像工程）。
その後、現像工程後の感光体ドラム２１表面は、それぞれ、転写ベルト３０との対向位置に達する。ここで、それぞれの対向位置には、転写ベルト３０の内周面に当接するように転写ローラ２４が設置されている。そして、転写ローラ２４の位置で、転写ベルト３０によって搬送された被転写材Ｐ上に、感光体ドラム２１上に形成された各色のトナー像が、順次転写される（転写工程）。
【００３９】
なお、転写ベルトユニット（転写部）において、転写ベルト３０は駆動ローラと３つの従動ローラとによって張架・支持されている。そして、駆動ローラによって、転写ベルト３０は図中の矢印方向に走行する。この転写ベルトユニットは、上述の転写ローラ２４や転写ベルト３０等の部材が一体的に構成されていて、装置本体に対して交換可能な装置ユニットとして構成されている。
【００４０】
そして、転写工程後の感光体ドラム２１表面は、それぞれ、クリーニング部２５との対向位置に達する。そして、クリーニング部２５で、感光体ドラム２１上に残存する未転写トナーが回収される（クリーニング工程）。
その後、感光体ドラム２１表面は、不図示の除電部を通過して、一連の作像プロセスが終了する。
【００４１】
一方、給紙部６１（給紙ユニット）からは、給紙ローラ６２により給送された被転写材Ｐが、搬送ガイド６３を通過した後に、レジストローラ６４の位置に導かれる。レジストローラ６４に導かれた被転写材Ｐは、搬送タイミングを制御されながら、転写ベルト３０と吸着ローラ２７との当接部に向けて搬送される。
その後、被転写材Ｐは、図中矢印方向に走行する転写ベルト３０に搬送されながら、４つの感光体ドラム２１の対向位置を順次通過する。こうして、被転写材Ｐ上には各色のトナー像が重ねて転写されて、カラー画像が形成される。
【００４２】
その後、カラー画像が形成された被転写材Ｐは、転写ベルトユニットの転写ベルト３０から離脱して、定着部６６に導かれる。定着部６６では、加熱ローラ６７と加圧ローラ６８とのニップ部にて、カラー画像が被転写材Ｐ上に定着される。
そして、定着工程後の被転写材Ｐは、排紙ローラ６９によって、装置本体外に排出されて、一連の画像形成動作が完了する。
【００４３】
次に、画像形成装置１００に交換自在に設置されるプロセスカートリッジについて詳述する。
図２は、新品状態（非リサイクル品又はリサイクル品が、製造後又は再生処理後に一度も装置本体にて使用されていない状態）のプロセスカートリッジ５００を示す断面図である。
【００４４】
同図に示すように、プロセスカートリッジ５００には、主として、像担持体としての感光体ドラム２１と、帯電部２２と、現像部２３と、クリーニング部２５とが、ケース２６内に一体的に収納され、さらにトナー供給部３２とも一体的に構成されている。そしてこのことから、プロセスカートリッジ５００はトナーカートリッジとも呼ばれる。
また、現像部２３は、現像ローラ２３ａ、撹拌ローラ２３ｂ，２３ｃ、ドクターブレード２３ｄ、Ｔセンサ２９（トナー濃度センサ）等で構成され、その内部にはキャリアＣとトナーＴとからなる現像剤が収納されている。そして、トナー供給部３２に備えるトナーボトル３３内のトナーＴは、現像部２３内のトナーＴの消費にともない、現像部２３内に適宜に供給される。また、クリーニング部２５は、クリーニングブレード２５ａ、クリーニングローラ２５ｂ等で構成されている。
【００４５】
また、プロセスカートリッジ５００のケース２６上には、制御チップ８０が固着されている。詳細は後述するが、制御チップ８０は、ＣＰＵやＮＶＲＡＭ（不揮発ＲＡＭ）等を備えたマイクロコンピュータであり、外部端子を備えたパッケージ化されたＩＣである。そして、制御チップ８０の外部端子が、ケース２６に固設されたソケット８１の接続端子に接続される。なお、制御チップ８０の形態に特に制限はなく、大きさが数ｍｍ角前後のＩＣチップとすることもできるし、外部端子を備えたＰＣＢ（プリント基板）上にＩＣチップを搭載したものとすることもできる。
【００４６】
ところで、このプロセスカートリッジ５００は、画像形成装置１００の本体よりも寿命が短く、感光体ドラム２１やクリーニング部２５等が摩耗した場合、あるいはトナーボトル３３内のトナーがなくなった場合に交換すべき消耗品である。そして、交換を行う場合には、このプロセスカートリッジ５００の単位で、作業者によって装置本体への交換作業がおこなわれる。この際、作業者は、装置本体のドア（不図示である。）を開放し、不図示のレールに沿ってプロセスカートリッジ５００を装置本体に挿入することにより、プロセスカートリッジ５００を装置本体内に設置することができる。
【００４７】
図３は、プロセスカートリッジが画像形成装置の設置部に設置された場合のその周辺の状態を模式的に示す断面図である。
この状態では、プロセスカートリッジ５００のソケット８１はエンジン制御部４００のＣＰＵ４０１とシリアルバス２３０を介して接続され、制御チップ８０は、このエンジン制御部４００及びＰＣＩバス２１８を介してコントローラ２００とも通信可能な状態となる。
また、プロセスカートリッジ５００は、この状態で、トナーボトル３３から供給されるトナーを使用して画像形成動作を行う。
【００４８】
すなわち、現像ローラ２３ａは、図中の矢印方向に回転し、現像部２３内のトナーＴは、図中の反時計回りに回転する撹拌ローラ２３ｂ、２３ｃによって、トナー供給部３２から供給されたトナーＴとともに、キャリアＣと混合される。そして、摩擦帯電したトナーＴは、一方の撹拌ローラ２３ｂによって、キャリアＣとともに現像ローラ２３ａ上に供給される。
【００４９】
現像部２３内のトナーＴの消費は、感光体ドラム２１に対向する光学センサとしてのトナー濃度センサ（Ｐセンサ）２８と、現像部２３内に設けられた透磁率センサとしてのトナー濃度センサ（Ｔセンサ）２９とによって検出され、制御チップ８０上のＣＰＵに通知される。
また、現像ローラ２３ａに担持されたトナーＴは、ドクターブレード２３ｄの位置を通過した後に、感光体ドラム２１との対向位置に達する。そして、その対向位置で、トナーＴは、感光体ドラム２１表面に形成された静電潜像に付着する。具体的には、レーザ光Ｌが照射された領域の表面電位と、現像ローラ２３ａに印加された現像バイアスとの、電位差によって形成される電界によって、トナーＴが感光体ドラム２１表面に付着する。
【００５０】
そして、感光体ドラム２１に付着したトナーＴは、そのほとんどが被転写材Ｐ上に転写される。そして、感光体ドラム２１上に残存したトナーＴが、クリーニングブレード２５ａ及びクリーニングローラ２５ｂによってクリーニング部２５内に回収される。
なお、ここではプロセスカートリッジ５００とトナー供給部３２を一体として１つの消耗品として構成しているが、トナー供給部３２を独立して交換可能なユニットとして構成することもできる。そして、このような場合には、トナーボトル３３中のトナーがなくなった場合には、トナーボトルあるいはトナー供給部の単位で新たなユニットに交換することになる。
【００５１】
次に、画像形成装置１００の構成について、制御及び通信に関連するハードウェアを中心にさらに説明する。図４は、その画像形成装置の構成を、制御及び通信に関連するハードウェアを中心に示したブロック図である。
この画像形成装置１００は、図４に示すように、ＣＰＵ２０１，ＡＳＩＣ（Application Specific Integrated Circuit）２０２，ＳＤＲＡＭ２０３，ＮＶＲＡＭ（不揮発性メモリ）２０４，ＮＲＳ用メモリ２０５，ＰＨＹ（物理メディアインタフェース）２０６，操作部２０９，ＨＤＤ（ハードディスクドライブ）２１０，モデム２１１，ＰＩ（パーソナルインタフェース）２１２，ＦＣＵ（ファックスコントロールユニット）２１３，ＵＳＢ（Universal Serial Bus）２１４，ＩＥＥＥ１３９４＿２１５，エンジン制御部４００，エンジン部４１０，およびプロセスカートリッジ５００を備えている。
そして、ＣＰＵ２０１，ＡＳＩＣ２０２，ＳＤＲＡＭ２０３，ＮＶＲＡＭ２０４，ＮＲＳ用メモリ２０５，ＨＤＤ２１０が画像形成装置１００の全体の動作を制御する制御手段であるコントローラ２００を構成する。
【００５２】
また、ＣＰＵ２０１は、ＡＳＩＣ２０２を介してデータ処理（各機能の制御）を行う演算処理手段である。
ＡＳＩＣ２０２は、ＣＰＵインタフェース，ＳＤＲＡＭインタフェース，ローカルバスインタフェース，ＰＣＩインタフェース，ＭＡＣ（Media Access Controller）、ＨＤＤインタフェースなどからなる多機能デバイスボードであり、ＣＰＵ２０１の制御対象となるデバイスの共有化を図り、アーキテクチャの面からアプリ（アプリケーションソフト）や共通システムサービスの開発の高効率化を支援するものである。
ＳＤＲＡＭ２０３は、ＯＳを含む各種プログラムを記憶するプログラムメモリや、ＣＰＵ２０１がデータ処理を行う際に使用するワークメモリ等として使用するメインメモリである。なお、このＳＤＲＡＭ２０３の代わりに、ＤＲＡＭやＳＲＡＭを使用してもよい。
【００５３】
ＮＶＲＡＭ２０４は、不揮発性のメモリ（記憶手段）であり、電源がオフになっても記憶内容を保持するようになっている。そして、このＮＶ−ＲＡＭ２０４の用途としては、この画像形成装置１００を起動させるブートローダ（ブートプログラム）やＯＳのファイルであるＯＳイメージを記憶するプログラムメモリ、外部の通信相手との通信時のＳＳＬ（Secure Socket Layer）による相互認証や、プロセスカートリッジ５００のような消耗品との間のＰＫＩ（Public Key Infrastructure）を利用した相互認証に用いるデジタル証明書を記憶する証明書メモリ、プリンタ機能の初期値やスキャナ機能の初期値のような、ほとんど値を変更しない種々の固定パラメータを記憶する固定パラメータメモリ、この画像形成装置１００の識別情報である機種機番を記憶する機種機番メモリ、操作部２０９による操作上の初期値を記憶するメモリ、各アプリ（ＡＰＬ）の初期値を記憶するメモリ、各カウンタ情報（課金カウンタのデータ等）を記憶するメモリ等が挙げられる。
なお、ＮＶＲＡＭ２０４は、複数のメモリユニットによって構成したり、装置の各部に分散して設けたりしてももちろん構わない。また、それらのメモリユニットとしては、例えばＲＡＭと電池を利用したバックアップ回路を集積した不揮発性ＲＡＭや、ＥＥＰＲＯＭ、あるいはフラッシュメモリ等の不揮発性メモリを使用することができる。
【００５４】
ＮＲＳ用メモリ２０５は、後述するＮＲＳアプリを記憶する不揮発性メモリであり、オプションでＮＲＳ機能を追加することができる。
ＰＨＹ２０６は、ＬＡＮを介して外部装置と通信を行うためのインタフェースであり、ＣＰＵ２０１と併せて第２の通信手段として機能する。
操作部２０９は、操作表示手段（操作手段および表示手段）である。
ＨＤＤ２１０は、電源のオン・オフに関係なくデータを記憶保存する記憶手段（記録媒体）である。このＨＤＤ２１０に、上述したＮＶＲＡＭ２０４内のプログラムやそれ以外のデータを記憶しておくこともできる。
【００５５】
モデム２１１は、変復調手段であり、外部装置へ公衆回線経由でデータを送信する場合、そのデータを公衆回線に流せる形に変調する。また、外部装置から送られてくる変調されたデータを受信した場合、そのデータを復調する。
ＰＩ２１２は、ＲＳ４８５規格に準拠したインタフェースを備え、図示しないラインアダプタを介して公衆回線に接続している。これらのモデム２１１やＰＩ２１２が第２の通信手段として機能する場合もある。
【００５６】
ＦＣＵ２１３は、ＦＡＸ装置又はモデム機能（ＦＡＸ通信機能）を有するデジタル複写機やデジタル複合機等の画像形成装置および管理装置等の外部装置との通信を公衆回線経由で制御する。
ＵＳＢ２１４及びＩＥＥＥ１３９４＿２１５はそれぞれ、周辺機器と通信を行うための、ＵＳＢ規格及びＩＥＥＥ１３９４規格のインタフェースである。
【００５７】
エンジン制御部４００は、コントローラ２００からの指示に従ってエンジン部４１０の動作を制御する制御手段であり、また、エンジン部４１０をＰＣＩバス２１８に接続するためのインタフェースである。さらに、プロセスカートリッジ５００のＣＰＵとコントローラ２００のＣＰＵ２０１との間の通信を仲介する機能も有する。
エンジン部４１０は、図１に示した画像読み取り／形成用のエンジンや、プロッタエンジンによって画像を形成した用紙に、ソート、穴開け、ステープル処理等の後処理を行う後処理ユニット等が該当する。
プロセスカートリッジ５００については、上述した通りであり、エンジン制御部４００とシリアルバス２３０によって接続される。
【００５８】
ここで、電源投入（電源オン）時には、ＣＰＵ２０１は、ＡＳＩＣ２０２経由でＮＶＲＡＭ２０４内のブートローダを起動させ、そのブートローダに従い、ＮＶＲＡＭ２０４内のＯＳイメージを読み出し、それをＳＤＲＡＭ２０３にロードして使用可能なＯＳに展開する。そして、ＯＳの展開が完了すると、そのＯＳを起動させる。その後、必要に応じてＮＶＲＡＭ２０４内のアプリ等のプログラムあるいはＮＲＳ用メモリ２０５内のＮＲＳアプリを読み出し、それをＳＤＲＡＭ２０３にロードして展開し、起動させることにより、各種機能を実現することができる。
【００５９】
次に、画像形成装置１００におけるソフトウェア構成を図５を用いて説明する。
図５は、画像形成装置１００のソフトウェア構成の一例を示すブロック図である。この画像形成装置１００のソフトウェア構成は、最上位のアプリケーションモジュール層、およびその下位のサービスモジュール層からなる。そして、これらのソフトウェアを構成するプログラムはＮＶＲＡＭ２０４やＮＲＳ用メモリ２０５に記憶され、必要に応じて読み出されてＣＰＵ２０１によって実行される。
【００６０】
アプリケーションモジュール層のソフトウェアは、ＣＰＵ２０１を、ハードウェア資源を動作させて所定の機能を実現させる複数のアプリケーション制御手段（処理実行手段）として機能させるためのプログラムによって構成され、サービスモジュール層のソフトウェアは、ＣＰＵ２０１を、ハードウェア資源と各アプリケーション制御手段との間に介在し、複数のアプリケーション制御手段からのハードウェア資源に対する動作要求の受付，その動作要求の調停，およびその動作要求に基づく動作の実行制御を行うサービス制御手段（処理実行手段）として機能させるためのプログラムによって構成される。
ＯＳ３１９はＵＮＩＸ（登録商標）などのオペレーティングシステムであり、サービスモジュール層及びアプリケーションモジュール層の各プログラムをそれぞれプロセスとして並列実行する。
【００６１】
サービスモジュール層には、オペレーションコントロールサービス（ＯＣＳ）３００、エンジンコントロールサービス（ＥＣＳ）３０１、メモリコントロールサービス（ＭＣＳ）３０２、ネットワークコントロールサービス（ＮＣＳ）３０３、ファクスコントロールサービス（ＦＣＳ）３０４、カスタマーサポートシステム（ＣＳＳ）３０５、システムコントロールサービス（ＳＣＳ）３０６、システムリソースマネージャ（ＳＲＭ）３０７、イメージメモリハンドラ（ＩＭＨ）３０８、デリバリーコントロールサービス（ＤＣＳ）３１６、ユーザコントロールサービス（ＵＣＳ）３１７、データエンクリプションセキュリティサービス（ＤＥＳＳ）３１８を実装している。更に、アプリケーションモジュール層には、コピーアプリ３０９、ファクスアプリ３１０、プリンタアプリ３１１、スキャナアプリ３１２、ネットファイルアプリ３１３、ウェブアプリ３１４、ＮＲＳ（ニューリモートサービス）アプリ３１５を実装している。
【００６２】
これらを更に詳述する。
ＯＣＳ３００は、操作部２０９を制御するモジュールである。
ＥＣＳ３０１は、ハードウェアリソース等のエンジンを制御するモジュールである。
ＭＣＳ３０２は、メモリ制御をするモジュールであり、例えば、画像メモリの取得及び開放、ＨＤＤ２１０の利用等を行う。
ＮＣＳ３０３は、ネットワークとアプリケーションモジュール層の各アプリケーションプログラムとの仲介処理を行わせるモジュールである。
ＦＣＳ３０４は、ファクシミリ送受信、ファクシミリ読み取り、ファクシミリ受信印刷等を行うモジュールである。
【００６３】
ＣＳＳ３０５は、公衆回線を介してデータを送受信する際のデータの変換等をするモジュールであり、また公衆回線を介した遠隔管理に関する機能をまとめたモジュールである。
ＳＣＳ３０６は、コマンドの内容に応じたアプリケーションモジュール層の各アプリケーションプログラムの起動管理及び終了管理を行うモジュールである。
ＳＲＭ３０７は、システムの制御及びリソースの管理を行うモジュールである。
ＩＭＨ３０８は、一時的に画像データを入れておくメモリを管理するモジュールである。
【００６４】
ＤＣＳ３１６は、ＨＤＤ２１０やＳＤＲＡＭ２０３に記憶している（する）画像ファイル等をＳＭＴＰ（Simple Mail Transfer Protocol）やＦＴＰ（File Transfer Protocol）を用いて送受信するモジュールである。
ＵＣＳ３１７は、ユーザが登録した宛先情報や宛名情報等のユーザ情報を管理するモジュールである。
ＤＥＳＳ３１８は、ＰＫＩやＳＳＬを利用した各ユニットあるいは外部装置の認証や、通信の暗号化を行うモジュールである。
【００６５】
コピーアプリ３０９は、コピーサービスを実現するためのアプリケーションプログラムである。
ファクスアプリ３１０は、ファクスサービスを実現するためのアプリケーションプログラムである。
プリンタアプリ３１１は、プリンタサービスを実現するためのアプリケーションプログラムである。
【００６６】
スキャナアプリ３１２は、スキャナサービスを実現するためのアプリケーションプログラムである。
ネットファイルアプリ３１３は、ネットファイルサービスを実現するためのアプリケーションプログラムである。
ウェブアプリ３１４は、ウェブサービスを実現するためのアプリケーションプログラムである。
ＮＲＳアプリ３１５は、ネットワークを介してデータを送受信する際のデータの変換や、ネットワークを介した遠隔管理に関する機能（管理装置１０２との通信に係わる機能を含む）を実現するためのアプリケーションプログラムである。
【００６７】
次に、上述した画像形成装置１００のソフトウェアの構成に含まれるＮＲＳアプリ３１５の内部構成を図６を用いて更に説明する。
図６は、ＮＲＳアプリの構成の一例を示す機能ブロック図である。同図に示すように、ＮＲＳアプリ３１５は、ＳＣＳ３０６とＮＣＳ３０３との間で処理を行っている。ウェブサーバ機能部６００は、外部から受信した要求に関する応答処理を行う。ここでの要求は、例えば、構造化言語であるＸＭＬ（Extensible Markup Language）形式で記載された、ＳＯＡＰ（Simple Object Access Protocol）によるＳＯＡＰリクエストであることが考えられる。ウェブクライアント機能部６０１は、外部への要求を発行する処理を行う。ｌｉｂｓｏａｐ６０２は、ＳＯＡＰを処理するライブラリであり、ｌｉｂｘｍｌ６０３は、ＸＭＬ形式で記載されたデータを処理するライブラリである。また、ｌｉｂｇｗｗｗ６０４は、ＨＴＴＰを処理するライブラリであり、ｌｉｂｇｗ＿ｎｃｓ６０５は、ＮＣＳ３０３との間の処理をするライブラリである。
【００６８】
以上のような画像形成装置１００においては、電源ＯＮやリセット等により、装置が起動された場合、その初期化処理において、コントローラ２００と、交換可能な消耗品であるプロセスカートリッジ５００との間で、ＰＫＩを利用した認証処理を行い、認証が失敗した場合に警告を発するようにしている。また、認証失敗の内容に応じてその警告の内容を変化させるようにしている。次に、この認証処理及び警告に関連する各部の構成及び動作について説明する。図７に、この認証処理及び警告に関連する各部の構成を示す。なお、説明を簡単にするため、以下の説明（他の実施形態も含む）においては１つのプロセスカートリッジに関する構成及び処理のみについて説明するが、他のプロセスカートリッジについても同様な構成を有し、コントローラ２００やエンジン制御部４００との間で並列にあるいは順次に同様な処理を行うものとする。
【００６９】
まず、相互認証に関与するのは、実際にはコントローラ２００、エンジン制御部４００、プロセスカートリッジ５００である。
このうち、コントローラ２００の構成については上述した通りであるが、ここでは一部の構成のみを示している。ただし、Ｉ／Ｏポート２２０は、ＡＳＩＣ２０２に備えたＰＣＩバス２１８との接続ポートを示す。
また、エンジン制御部４００は、ＣＰＵ４０１、ＲＯＭ４０２、ＲＡＭ４０３、ＮＶＲＡＭ４０４、Ｉ／Ｏポート４０５を備え、これらが内部バス４０６によって接続されている。そして、ＣＰＵ４０１がＲＯＭ４０２やＮＶＲＡＭ４０４に記憶しているプログラムを実行することにより、エンジン部４１０の制御やコントローラ２００及びプロセスカートリッジ５００と間のデータ通信に関する処理を行う。
【００７０】
プロセスカートリッジ５００も、ＣＰＵ５０１、ＲＯＭ５０２、ＲＡＭ５０３、ＮＶＲＡＭ５０４、Ｉ／Ｏポート５０５を備え、これらが内部バス５０６によって接続されている。このうちＮＶＲＡＭ５０４には、上記の認証処理に使用するデジタル証明書及び鍵を記憶する。そして、ＣＰＵ５０１がＲＯＭ５０２やＮＶＲＡＭ５０４に記憶しているプログラムを実行することにより、プロセスカートリッジ５００の制御やデータ管理、エンジン制御部４００とのデータ通信及び認証処理に関する処理を行う。すなわち、ＣＰＵ５０１は、通信手段及び演算手段として機能する。なお、これらの各部は、制御チップ８０あるいはソケット８１上に設けられるものである。
【００７１】
ところで、図７に示した構成について、コントローラ２００とプロセスカートリッジ５００とが通信を行う場合、エンジン制御部４００は単にその間の通信を仲介する機能を果たすのみである。従って、コントローラ２００とプロセスカートリッジ５００とが相互認証を行う場合、これに関与する構成を簡単に表わすと、図８に示すようになる。
すなわち、コントローラ２００のＣＰＵ２０１が証明書メモリとして機能するＮＶＲＡＭ２０４から認証処理に必要なコントローラ２００側のデジタル証明書や鍵を読み出す。
【００７２】
また、プロセスカートリッジ５００のＣＰＵ５０１が証明書メモリとして機能するＮＶＲＡＭ５０４から認証処理に必要なプロセスカートリッジ５００側のデジタル証明書や鍵を読み出す。そして、ＣＰＵ２０１とＣＰＵ５０１との間で通信を行い、これらのデジタル証明書や鍵を用いて認証処理を行うという具合である。なお、この場合において、ＣＰＵ２０１とＣＰＵ５０１及びこれらの間のバスやインタフェースがそれぞれ通信手段に該当する。
図７等に示したその他の構成は、この認証処理に補助的に関与するのみであるので、以後は、図８に示した構成を前提として説明する。
【００７３】
次に、ＮＶＲＡＭ２０４及び５０４に記憶させる、認証処理に使用するための証明書及び鍵について説明する。図９に、それぞれのＮＶＲＡＭに記憶させる証明書及び鍵の種類を示す。
この画像形成装置１００においては、プロセスカートリッジ５００のＮＶＲＡＭ５０４には図９（ａ）に示すカートリッジ証明書セットを、コントローラ２００のＮＶＲＡＭ２０４には図９（ｂ）に示すコントローラ証明書セットを記憶している。
【００７４】
これらの証明書セットは、それぞれ公開鍵暗号に係る公開鍵証明書、私有鍵及びルート鍵証明書を含む。このうち私有鍵は、認証局（ＣＡ：certificate authority）が各装置（ここでは画像形成装置１００）あるいはその装置が使用する部材（ここではプロセスカートリッジ５００）に対して発行した私有鍵であり、公開鍵証明書は、その私有鍵と対応する公開鍵にＣＡがデジタル署名を付してデジタル証明書としたものである。また、ルート鍵証明書は、ＣＡがデジタル署名に用いたルート私有鍵と対応するルート鍵に、デジタル署名を付してデジタル証明書としたものである。
【００７５】
図１０にこれらの関係を示す。
図１０（ａ）に示すように、例えば公開鍵Ａは、これと対応する私有鍵Ａを用いて暗号化された文書を復号化するための鍵本体と、その公開鍵の発行者（ＣＡ）や有効期限等の情報を含む書誌情報とによって構成される。そして、ＣＡは、鍵本体や書誌情報が改竄されていないことを示すため、公開鍵Ａをハッシュ処理して得たハッシュ値を、ルート私有鍵を用いて暗号化し、デジタル署名として公開鍵Ａに付す。またこの際に、デジタル署名に用いるルート私有鍵の識別情報を署名鍵情報として公開鍵Ａの書誌情報に加える。そして、このデジタル署名を付した公開鍵証明書が、公開鍵証明書Ａである。
【００７６】
この公開鍵証明書Ａを認証処理に用いる場合には、ここに含まれるデジタル署名を、ルート私有鍵と対応する公開鍵であるルート鍵の鍵本体を用いて復号化する。この復号化が正常に行われれば、デジタル署名が確かにＣＡによって付されたことがわかる。また、公開鍵Ａの部分をハッシュ処理して得たハッシュ値と、復号して得たハッシュ値とが一致すれば、鍵自体も損傷や改竄を受けていないことがわかる。さらに、受信したデータをこの公開鍵Ａを用いて正常に復号化できれば、そのデータは、私有鍵Ａの持ち主から送信されたものであることがわかる。
以上のような公開鍵証明書は、例えばＸ．５０９と呼ばれるフォーマットに従って作成することができるが、これに限定されるものではない。
【００７７】
ここで、認証を行うためには、ルート鍵を予め記憶しておく必要があるが、このルート鍵も、図１０（ｂ）に示すように、ＣＡがデジタル署名を付したルート鍵証明書として記憶しておく。このルート鍵証明書は、自身に含まれる公開鍵でデジタル署名を復号化可能な、自己署名形式である。そして、ルート鍵を使用する際に、そのルート鍵証明書に含まれる鍵本体を用いてデジタル署名を復号化し、ルート鍵をハッシュ処理して得たハッシュ値と比較する。これが一致すれば、ルート鍵が破損等していないことを確認できるのである。
【００７８】
次に、図１１にカートリッジ公開鍵証明書及びコントローラ公開鍵証明書に記載する情報をより詳細に示す。
図１１（ａ）に示すように、カートリッジ公開鍵証明書には、書誌情報に、その公開鍵証明書の有効期限と共に、公開鍵の発行対象の部材（ここではプロセスカートリッジ）に関する情報として、その部材の種別、ロット番号、シリアル番号、製造メーカー、製造年月日、リサイクル回数上限、使用装置ＩＤ等の情報を記載している。これらの情報は、書き換えが不要な情報であるので、改竄を防止するため、公開鍵の内部に記載するようにしたものである。
【００７９】
なお、部材の種別は、「プロセスカートリッジ」のような大まかなカテゴリでもよいし、バージョン情報を加えたり、品番で記載したりして、より詳細に示すようにしてもよい。
また、「使用装置ＩＤ」は、公開鍵の発行対象の部材の使用を許可されている装置の識別情報、すなわち、この証明書を記憶している部材を使用できる装置の識別情報である。そして、この情報は装置のシリアル番号等により記載することができる。また、複数の装置の識別情報を記載してもよく、その場合には、記載されたどの装置もその証明書を記憶している部材を使用することができるという意味になる。
カートリッジ公開鍵証明書にこのような「使用装置ＩＤ」の情報を記載することにより、後述するように、プロセスカートリッジのように交換可能な部材を、同一機種中においても特定の装置においてのみ使用可能とすることができる。また、このことにより、仮に純正ユニットのメモリから証明書セット全体をダンプして他のユニットにコピーしたとしても、コピー先のユニットを他の装置で使用することができないため、証明書の不正使用防止に効果がある。なお、この「使用装置ＩＤ」については、書き換えが必要になるケースも考えられるが、改竄の防止を優先して公開鍵の内部に記載している。
【００８０】
この他にも、消耗品に関する情報であって書き換えの不要な情報があれば、書誌情報の部分に記載するようにするとよい。シリアル番号等、部材の個体を識別できるような識別情報を記載することも考えられる。また、露光量、帯電量、現像バイアスのような、プロセスカートリッジの製造時に定まる固定的な作像条件を記載しておき、コントローラ２００側でこれを取得して画像形成時の制御に使用するようにしてもよい。
そして、このような情報をカートリッジ公開鍵証明書に記載しておけば、上記のようなコピー証明書により認証処理をクリアしたとしても、作像条件を変更することができないため、コピー先のユニットを使用しても高い画像形成品質を得ることができない。従って、カートリッジ公開鍵証明書に作像条件等を記載することも、証明書の不正使用防止に効果がある。
【００８１】
また、コントローラ公開鍵証明書には、図１１（ｂ）に示すように、書誌情報に、その公開鍵証明書の有効期限と共に、公開鍵の発行対象の装置に関する情報として、その装置の識別情報であるＩＤ（シリアル番号等）の情報を記載している。従って、各装置毎に別々の公開鍵証明書を記憶させることになる。ただし、ＩＤ等、個体を識別するための情報を記載せず、例えば特定の機能（カラー画像形成装置等）の装置には全て同じ公開鍵証明書を記憶させるようにすることもできる。
【００８２】
次に、このような画像形成装置１００においてコントローラ２００のＣＰＵ２０１が起動時に行う処理について説明する。図１２は、その処理を示すフローチャートである。
画像形成装置１００において、ＣＰＵ２０１は、電源ＯＮやリセット等により装置の起動処理を行う場合、所要の制御プログラムを実行することにより、図１２のフローチャートに示す処理を開始する。
この処理においては、まずステップＳ１で各部の初期化や動作可能状態への移行等の、一般的な起動処理を行う。なお、プロセスカートリッジ５００が設置されていなかった場合等は、この時点でエラーとする。
【００８３】
そしてその後、ステップＳ２で、図９乃至図１１を用いて説明した証明書セットを使用してプロセスカートリッジ５００の認証処理を行う。この処理の具体的な内容については後に詳述するが、この認証は、プロセスカートリッジ５００が純正ユニットである場合に成功し、非純正ユニットである場合には失敗するような処理である。またこの処理において、カートリッジ公開鍵証明書に記載されている「使用装置ＩＤ」の情報を記憶しておく。そして、この処理が取得手順及び認証手順の処理であり、ここではＣＰＵ２０１が取得手段及び認証手段として機能する。
【００８４】
図１２の説明に戻ると、次に、ステップＳ３で、ステップＳ２の認証処理においてプロセスカートリッジ５００の認証が成功したか否か判断する。そして、成功していれば、プロセスカートリッジ５００は純正ユニットであることがわかるので、次のステップＳ６に進む。
【００８５】
一方、ステップＳ３で認証が失敗していれば、プロセスカートリッジ５００は非純正ユニットであり、品質に問題がある可能性があるので、ステップＳ４で操作部２０９のディスプレイに警告表示を行う。その表示画面としては、例えば図１３に示すものが考えられる。また、この処理が警告手順の処理であり、ここではＣＰＵ２０１及び操作部２０９が警告手段として機能する。
【００８６】
そして、ユーザがその表示画面中で確認キー２４０を押下するか、または所定時間経過すると、ステップＳ５で警告を解除するタイミングであると判断し、ステップＳ９に進んで以後は通常動作を許可する。このとき、操作部２０９における表示も通常のものに戻す。
すなわち、ステップＳ３乃至Ｓ５の処理により、認証処理における認証結果に基づいて画像形成装置１００の動作を変化させるように制御する。
【００８７】
また、ステップＳ３からステップＳ６に進んだ場合には、ステップＳ６で、ステップＳ２の認証処理において記憶した「使用装置ＩＤ」の情報に自身のＩＤが含まれているか否か判断し、このことにより認証結果を決定し、ここでは設置されているプロセスカートリッジ５００が画像形成装置１００において使用が許可されているものであるか否かを判断する。この処理もプロセスカートリッジを認証する認証手順の処理の一部であり、ここでもＣＰＵ２０１は認証手段として機能する。
そして、ＩＤが含まれていれば認証成功であり、プロセスカートリッジ５００は画像形成装置１００において使用が許可されているカートリッジであり、通常動作を許可してよいことがわかるので、そのままステップＳ９で画像形成装置１００の通常動作を許可し、以後は各部の通常動作を制御する通常動作処理に移行する。
【００８８】
一方、ステップＳ３でＩＤが含まれていなければ認証失敗であり、プロセスカートリッジ５００は画像形成装置１００での使用が許可されていないカートリッジであることがわかるので、ステップＳ７で操作部２０９のディスプレイに警告表示を行う。その表示画面としては、例えば図１４に示すものが考えられる。また、この処理も警告手順の処理であり、ここでもＣＰＵ２０１及び操作部２０９が警告手段として機能する。
【００８９】
ステップＳ７の状態になる場合、ユーザがプロセスカートリッジ５００を誤った装置に設置したか、あるいは他の純正カートリッジから証明書をコピーした不正なプロセスカートリッジを設置したかのどちらかである可能性が高いと考えられる。そこで、確認キーの押下により通常動作へ移行させることはせず、ユーザにプロセスカートリッジを交換させるようにしている。
そして、交換が完了するまでステップＳ８で待機し、その後ステップＳ２に戻って処理を繰り返すようにしている。
このように、これらのステップＳ６乃至Ｓ８の処理によっても、認証処理における認証結果に基づいて画像形成装置１００の動作を変化させるように制御している。
なお、ステップＳ７での警告表示を図１３に示したようなものにし、ステップＳ４及びＳ５の場合と同様に、所定の条件が満たされた場合に警告を解除して通常動作を許可するようにすることも考えられる。
【００９０】
以上のような処理を行うことにより、プロセスカートリッジ５００として非純正のカートリッジが設置されている場合には、画像形成装置１００が正常に動作しない可能性がある旨の警告を発することができる。そして、このときプロセスカートリッジ５００の認証にデジタル証明書を使用するので、カートリッジの種別やメーカー名等の情報が改竄された場合でもこれを見破ることができ、非純正のカートリッジを高い信頼性で識別することができる。
【００９１】
従って、ユーザが非純正のカートリッジを純正のカートリッジと思い込んで使用することはないので、非純正カートリッジの不具合によって画像形成品質の低下等装置の動作に悪影響が生じた場合には、カートリッジに原因があることを理解しやすく、装置本体の信用の低下を防止することができる。また、品質を重視するユーザには、純正のカートリッジの選択を促すことができるので、装置の供給者が品質を管理できる消耗品を使用してもらえるようにすることにもつながる。そして、純正の消耗品は、使用する装置に合わせてメーカー側で十分に特性を調整できることから、このような純正品の使用は、高い画像形成品質が得られるという点でユーザ側にもメリットがある。
【００９２】
また、上記の処理を行うことにより、画像形成装置１００での使用が許可されていないカートリッジが設置されている場合には、その旨及び交換を促す旨の警告を発することができる。そして、このときプロセスカートリッジ５００の識別にデジタル証明書を使用するので、カートリッジの使用装置ＩＤの情報が改竄された場合でもこれを見破ることができる。
【００９３】
従って、純正カートリッジのカートリッジ証明書セットをそっくりコピーした不正カートリッジが出回った場合でも、使用装置ＩＤの情報を書き換えることができないため、そのカートリッジを特定の装置でしか使用できないようにすることができ、被害を最小限に抑えることができる。そして、純正カートリッジについても、供給側が許可した装置においてのみ使用させることができるので、製品をユーザに渡して使用させる場合においても、供給側で使用目的の管理を容易に行うことができ、供給者の意図しない使用を防止することができる。
【００９４】
なお、上記の処理において、ステップＳ６の処理をステップＳ３の処理の後にしているのは、使用装置ＩＤの情報を含んでいなかったり、そもそも公開鍵証明書を記憶していなかったりする非純正のカートリッジに対し、一律に不正カートリッジあるいは誤った装置に装着されたカートリッジと同一な取扱いをしないようにするためである。このようにする必要がないのであれば、ステップＳ６の処理を先に行い、画像形成装置１００自身の使用装置ＩＤを含む証明書を有しないカートリッジを先に排除するようにしてもよい。あるいは、ステップＳ２の認証処理で、画像形成装置１００自身の使用装置ＩＤが記載されていない公開鍵証明書を正当な公開鍵証明書と認めないようにしてもよい。
【００９５】
また、上記の警告は、メッセージの表示に加えて、またはこれに代えて、警告音、音声による案内、光源の点灯や点滅等によって行ってもよいことはもちろんである。さらに、警告以外でも、認証処理の結果を報知できる内容の動作であれば、その手段は問わない。
また、ステップＳ４及びＳ５のように、ユーザに解除を許す警告と、ステップＳ７及びＳ８のように、ユーザに解除を許さない警告とを、任意に使い分けることができるようにすることも考えられる。また、コピー、プリンタ、ファクシミリといった、使用する機能毎に警告の内容を変えるようにしてもよい。
また、ここでは起動処理直後に認証処理を行う例について説明したが、認証処理を行うタイミングはこれに限られず、任意のタイミングで行うことができる。例えば、ユーザが画像形成装置１００において使用する機能を切り替えた時点で行うようにすることが考えられる。
【００９６】
ここで、図１２のステップＳ２で行う認証処理の詳細を図１５のフローチャートに示す。なお、この図において、２本のフローチャート間の矢印は、データの転送を示し、送信側は矢印の根元のステップで転送処理を行い、受信側はその情報を受信すると矢印の先端のステップの処理を行うものとする。また、各ステップの処理が正常に完了しなかった場合には、その時点で通信相手に認証失敗の応答を返して処理を中断し、図１２のステップＳ３に進むものとする。相手から認証失敗の応答を受けた場合、処理がタイムアウトした場合等も同様である。
【００９７】
図１２のステップＳ２の処理においては、コントローラ２００のＣＰＵ２０１は、図１５の左側に示すフローチャートの処理を行う。そして、まずステップＳ１０でコントローラ証明書セットをＮＶＲＡＭ２０４から読み込み、ステップＳ１１でプロセスカートリッジ５００に対して接続要求を送信する。
一方プロセスカートリッジ５００のＣＰＵ５０１は、この接続要求を受信すると、所要の制御プログラムを実行することにより、図１５の右側に示すフローチャートの処理を開始する。そして、ステップＳ２０でＮＶＲＡＭ５０４からカートリッジ証明書セットを読み込み、ステップＳ２１で第１の乱数を生成し、これをカートリッジ私有鍵を用いて暗号化する。そして、ステップＳ２２でその暗号化した第１の乱数とカートリッジ公開鍵証明書とをコントローラ２００に送信する。
【００９８】
コントローラ２００側では、これを受信すると、ステップＳ１２でルート鍵証明書を用いてカートリッジ公開鍵証明書の正当性を確認する。これには、上述のように損傷や改竄を受けていないことを確認するのみならず、書誌情報を参照して、コントローラ２００側で記憶している情報と比較し、プロセスカートリッジ５００が画像形成装置１００での使用に適したカートリッジであること、例えば純正のカートリッジであることや、適当な種別のカートリッジであることを確認する処理を含む。
プロセスカートリッジ５００が非純正のものであった場合には、適切な公開鍵証明書を記憶させておくことはできないはずであるので、認証処理はここで失敗すると考えられる。逆に、プロセスカートリッジ５００が純正のものである場合には、適切な公開鍵証明書を記憶させておくことができるので、ユーザが誤った種類のカートリッジを設置していなければ、この部分の処理を成功させることができると考えられる。
【００９９】
そしてステップＳ１２で確認ができると、ステップＳ１３で、カートリッジ公開鍵証明書内の「使用装置ＩＤ」の情報を記憶する。この情報は、図１２のステップＳ６の判断で使用するものである。
そして、ステップＳ１４で、受信したカートリッジ公開鍵証明書に含まれるカートリッジ公開鍵を用いて第１の乱数を復号化する。ここで復号化が成功すれば、第１の乱数は確かにカートリッジ公開鍵証明書の発行対象から受信したものだと確認できる。
その後、ステップＳ１５でこれとは別に第２の乱数及び第３の乱数を生成する。そして、ステップＳ１６で第２の乱数をコントローラ私有鍵を用いて暗号化し、第３の乱数をカートリッジ公開鍵を用いて暗号化し、ステップＳ１７でこれらをコントローラ公開鍵証明書と共にプロセスカートリッジ５００に送信する。第３の乱数の暗号化は、プロセスカートリッジ５００以外の対象に乱数を知られないようにするために行うものである。
【０１００】
プロセスカートリッジ５００側では、これを受信すると、ステップＳ２３でルート鍵証明書を用いてコントローラ公開鍵証明書の正当性を確認する。これにも、ステップＳ１２の場合と同様、画像形成装置１００がプロセスカートリッジ５００の使用に適した装置であることを確認する処理を含めるようにするとよい。
そして確認ができると、ステップＳ２４で、受信したコントローラ公開鍵証明書に含まれるコントローラ公開鍵を用いて第２の乱数を復号化する。ここで復号化が成功すれば、第２の乱数は確かにコントローラ公開鍵証明書の発行対象から受信したものだと確認できる。
【０１０１】
その後、ステップＳ２５でカートリッジ私有鍵を用いて第３の乱数を復号化する。ここまでの処理で、コントローラ２００側とプロセスカートリッジ５００側に共通の第１乃至第３の乱数が共有されたことになる。そして、少なくとも第３の乱数は、生成したコントローラ２００と、カートリッジ私有鍵を持つプロセスカートリッジ５００以外が知ることはない。ここまでの処理が成功すると、ステップＳ２６でコントローラ２００に対して認証成功の応答を返す。
【０１０２】
コントローラ２００側では、これを受信すると、ステップＳ１７で第１乃至第３の乱数から共通鍵を生成し、以後の通信の暗号化に用いるものとして認証処理を終了する。プロセスカートリッジ５００側でも、ステップＳ２７で同様の処理を行って図１２のステップＳ３の処理に進む。そして、以上の処理によって互いに通信を確立し、以後はステップＳ１８又はＳ２７で生成した共通鍵を用い、共通鍵暗号方式でデータを暗号化して通信を行う。
【０１０３】
このような処理を行うことにより、コントローラ２００とプロセスカートリッジ５００が安全に共通鍵を交換することができ、デジタル証明書を利用して通信を暗号化した、安全な通信経路を確立することができる。
なお、ここでは互いに相手が記憶しているデジタル証明書を用いて相互認証を行う例について説明したが、上述した処理において、第２の乱数をコントローラ公開鍵で暗号化し、コントローラ公開鍵証明書をプロセスカートリッジ５００に送信することは必須ではない。
【０１０４】
この場合、プロセスカートリッジ５００側のステップＳ２３及びＳ２４の処理は不要になり、処理は図１６に示すようになる。このようにすると、プロセスカートリッジ５００が画像形成装置１００を認証することはできないが、画像形成装置１００がプロセスカートリッジ５００を認証するだけでよい場合にはこの処理で十分である。そしてこの場合には、コントローラ２００に記憶させるのはルート鍵証明書のみでよく、コントローラ私有鍵及びコントローラ公開鍵証明書は不要である。また、プロセスカートリッジ５００にはルート鍵証明書を記憶させる必要はない。
【０１０５】
ところで、上述のような認証に使用するデジタル証明書は、図９及び図１１に示したものには限られない。
例えば、プロセスカートリッジに対する公開鍵を、部材用の専用のＣＡが発行するようにするとよい。このようにした場合、図１７に示すように、公開鍵に付すデジタル署名は、その専用のＣＡが付すことになるわけであるから、これの正当性を確認するためのルート鍵証明書も、それに対応して部材認証専用のルート鍵証明書を使用することになる。
【０１０６】
すなわち、図１８（ｂ）に示すように、コントローラ２００に、他の装置との通信に使用する通常ルート鍵証明書とは別に、部材を認証するための専用のルート鍵証明書として、部材認証用ルート鍵証明書を記憶させておくことになる。そして、図１５あるいは図１６に示したような認証処理を行う場合には、この部材認証用ルート鍵証明書を使用して行うことになる。
【０１０７】
このようにした場合、プロセスカートリッジ５００から受信した公開鍵証明書の正当性を、部材認証用ルート鍵証明書を用いて確認でき、また乱数の復号によりプロセスカートリッジ５００が確かにその公開鍵証明書の発行対象であることがわかれば、部材の種別等の情報を参照しなくても、対象が純正のカートリッジであることがわかる。部材用ＣＡによるデジタル証明書の発行対象は純正の部材のみであり、プロセスカートリッジ５００の設置箇所に正常に設置できていることで、認証対象の部材がプロセスカートリッジであることがわかるためである。
【０１０８】
従って、部材専用のＣＡを用いる場合には、図１９（ａ）に示すように、公開鍵証明書を部材の種別やメーカー等の情報を記載しない形式とすることもできる。ここで、「common」は、部材の種別によらず共通の内容であることを示す情報である。このような証明書を使用すれば、ＣＡに部材に対する公開鍵証明書の発行を要求する際に部材の識別情報を通知する必要がないため、証明書の取得に係る処理を単純化することができる。
また、最低限の認証を行えばよいのであれば、図１９（ｂ）に示すように、画像形成装置１００側の公開鍵証明書と共通のＣＡが発行する場合であっても、部材の種別やメーカー等の情報を記載しない形式の公開鍵証明書を使用してもよい。さらに、部材の情報が全く記載されていない公開鍵証明書を使用することも考えられる。
このようにした場合でも、ＣＡを画像形成装置１００のメーカー自身が管理するようにすれば、コントローラ２００が記憶しているルート鍵証明書で正当性を確認できる公開鍵証明書を記憶している部材は、同じメーカーの製品であると判断することができる。
【０１０９】
〔第２の実施形態：図２０，図２１〕
次に、この発明の電子装置の第２の実施形態である画像形成装置について説明する。
この画像形成装置（符号は１００′とする）は、プロセスカートリッジ（符号は５００′とする）にＣＰＵ５０１，ＲＯＭ５０２，ＲＡＭ５０３を設けていない点が第１の実施形態の場合と異なる。すなわち、第１の実施形態で図８に示した構成を、図２０に示すように変更している。しかし、その他のハードウェア構成は第１の実施形態の場合と全く同じであるので、相違点のみについて説明する。なお、この実施形態において、第１の実施形態の画像形成装置と対応する構成要素には、同様な符号を用いる。
【０１１０】
プロセスカートリッジ５００′が画像形成装置１００′内に設置された状態では、コントローラ２００とプロセスカートリッジ５００′は同じ装置内に存在し、バスで接続されているので、ＰＫＩによる認証処理を行う場合であっても、プロセスカートリッジ５００′とコントローラ２００との間の通信自体は認証と関係なく行うことができる。
【０１１１】
従って、プロセスカートリッジ５００′にＣＰＵを設けなくても、コントローラ２００のＣＰＵ２０１がプロセスカートリッジ５００′のＮＶＲＡＭ５０４から直接カートリッジ証明書セットを取得し、自身でコントローラ証明書セットとカートリッジ証明書セットの両方を使用して認証処理を行うことができる。そこで、この実施形態ではこのような構成を採用している。
【０１１２】
このようにした場合も、コントローラ２００のＣＰＵ２０１が画像形成装置１００′の起動時に行う処理は、第１の実施形態で図１２を用いて説明したものと同様なものでよい。しかし、ステップＳ２に示した認証処理は、図２１のフローチャートに示すような処理になる。
すなわち、まずステップＳ１０１でＮＶＲＡＭ２０４からコントローラ証明書セットを読み込み、ステップＳ１０２でプロセスカートリッジ５００′のＮＶＲＡＭ５０４からカートリッジ証明書セットを読み込む。
【０１１３】
そして、ステップＳ１０３で第１の乱数を生成し、これをカートリッジ私有鍵を用いて暗号化する。その後、ステップＳ１０４でルート鍵証明書を用いてカートリッジ公開鍵証明書の正当性を確認する。これには、図１５のステップＳ１２の場合と同様、書誌情報を参照してプロセスカートリッジ５００が画像形成装置１００での使用に適したカートリッジであることを確認する処理を含む。
そして確認ができると、ステップＳ１０５で、図１５のステップＳ１３の場合と同様に、カートリッジ公開鍵証明書内の「使用装置ＩＤ」の情報を記憶する。
その後、ステップＳ１０６で、カートリッジ公開鍵証明書に含まれるカートリッジ公開鍵を用いて第１の乱数を復号化する。ここで復号化が成功すれば、カートリッジ私有鍵とカートリッジ公開鍵証明書とは確かに対応したものであり、一方だけ入れ替えられたりはしていないことがわかる。
【０１１４】
以上の処理により、コントローラ２００がプロセスカートリッジ５００′を認証することができ、プロセスカートリッジ５００′を使用可能な装置のＩＤも取得することができる。そして、このことにより、第１の実施形態の場合と同様な効果を得ることができる。ただし、プロセスカートリッジ５００′側にはＣＰＵがないため、プロセスカートリッジ５００′がコントローラ２００を認証することはしないから、必然的に図１６を用いて説明した片方向認証となる。また、プロセスカートリッジ５００′側では復号化処理をしないので、プロセスカートリッジ５００′とコントローラ２００との間の通信を暗号化することもない。
なお、この実施形態においても、認証処理に図１７乃至図１９を用いて説明したようなデジタル証明書を使用することは可能である。
【０１１５】
〔第３の実施形態：図２２乃至図３８〕
次に、この発明の電子装置の第３の実施形態である画像形成装置及び、遠隔管理システムにおいてその画像形成装置を被管理装置とした、この発明の画像形成装置管理システムの実施形態について説明する。併せて、その画像形成装置において使用する部材であるプロセスカートリッジにデジタル証明書を設定するデジタル証明書設定システムの実施形態についても説明する。
図２２に、上記の画像形成装置管理システム及びデジタル証明書設定システムを構成する各装置の構成を示す。
【０１１６】
この図に示した画像形成装置管理システム１０００は、管理装置１０２によって被管理装置である複数の画像形成装置１００及び仲介機能付画像形成装置１１０を遠隔管理する遠隔管理システムである。
また、ここで説明するデジタル証明書設定システムは、画像形成装置管理システム１０００に、サービス拠点Ｅの各装置及び証明書発行装置（ＣＡ）１７０を加えたシステムであり、画像形成装置１００及び仲介機能付画像形成装置１１０において使用するプロセスカートリッジをユーザに供給する際に、そのプロセスカートリッジに、そのカートリッジを使用する装置の情報を記載したデジタル証明書を設定するシステムである。
そして、これらのシステムには、共通の構成要素となる装置が多く含まれるため、相互の関係をわかりやすくするために、同じ図面に示したものである。
【０１１７】
図２２に示すように、画像形成装置管理システム１０００は、管理装置１０２と、複数の画像形成装置１００と、これらの間の通信を仲介する仲介装置１０１を備える。そして、このうち仲介装置１０１及び画像形成装置１００をユーザ側の設置環境に配置し、これらと管理装置１０２とがインターネット１０３を介して通信可能な構成としている。そして、管理装置１０２が各画像形成装置１００と通信を行って各画像形成装置１００を集中的に遠隔管理する遠隔管理システムを構成している。
【０１１８】
ところで、このシステムにおいて、各設置環境内の仲介装置１０１と画像形成装置１００は、互いにＬＡＮ（ローカルエリアネットワーク）によって接続し、これを介して通信可能としている。そして、セキュリティ面を考慮し、ファイアウォール１０４を介してＬＡＮをインターネット１０３に接続している。
なお、仲介装置１０１と画像形成装置１００との接続は、ＬＡＮに限らず、ＲＳ−４８５規格等に準拠したシリアル接続や、ＳＣＳＩ（Small Computer System Interface）規格等に準拠したパラレル接続等によって行ってもよい。例えばＲＳ−４８５規格の場合には、仲介装置１０１に直列に５台までの画像形成装置１００を接続することができる。
【０１１９】
また、これらの仲介装置１０１及び画像形成装置１００は、その利用環境に応じて多様な階層構造を成す。
例えば、図２２に示す設置環境Ａでは、管理装置１０２とＨＴＴＰによる直接的なコネクションを確立できる仲介装置１０１ａが、画像形成装置１００ａ及び１００ｂを従える単純な階層構造になっているが、同図に示す設置環境Ｂでは、４台の画像形成装置１００を設置するため、１台の仲介装置１０１を設置しただけでは負荷が大きくなる。そのため、管理装置１０２とＨＴＴＰによる直接的なコネクションを確立できる仲介装置１０１ｂが、画像形成装置１００ｃ及び１００ｄだけでなく、他の仲介装置１０１ｃを従え、この仲介装置１０１ｃが画像形成装置１００ｅ及び１００ｆを更に従えるという階層構造を形成している。この場合、画像形成装置１００ｅ及び１００ｆを遠隔管理するために管理装置１０２から発せられた情報は、仲介装置１０１ｂとその下位のノードである仲介装置１０１ｃとを経由して、画像形成装置１００ｅ又は１００ｆに到達することになる。
【０１２０】
また、設置環境Ｃのように、画像形成装置１００に仲介装置１０１の機能を併せ持たせた仲介機能付画像形成装置（以下単に「画像形成装置」ともいう）１１０ａ，１１０ｂを、別途仲介装置を介さずにインターネット１０３によって管理装置１０２に接続するようにしてもよい。
図示はしていないが、仲介機能付画像形成装置１１０の下位に更に画像形成装置１００と同等の画像形成装置を接続することもできる。
【０１２１】
また、このような遠隔管理システムにおいて、仲介装置１０１は、これに接続された画像形成装置１００の制御管理のためのアプリケーションプログラムを実装している。管理装置１０２は、各仲介装置１０１の制御管理、更にはこの仲介装置１０１を介した画像形成装置１００及び他の仲介装置１０１の制御管理を行うためのアプリケーションプログラムを実装している。そして、画像形成装置１００も含め、この遠隔管理システムにおけるこれら各ノードは、ＲＰＣ（remote procedure call）により、相互の実装するアプリケーションプログラムのメソッドに対する処理の依頼である「動作要求」を送信し、この依頼された処理の結果である「動作応答」を取得することができるようになっている。
【０１２２】
即ち、管理装置１０２は、画像形成装置１００や仲介装置１０１への動作要求を生成してこれを画像形成装置１００や仲介装置１０１へ引き渡し、この動作要求に対する動作応答を取得できる一方で、画像形成装置１００は、管理装置１０２への動作要求を生成してこれを管理装置１０２へ引き渡し、この動作要求に対する動作応答を取得できるようになっている。また、仲介装置１０１も、管理装置１０２への動作要求を生成してこれを管理装置１０２へ引き渡し、この動作要求に対する動作応答を取得できるようになっている。ここで、動作要求による要求の内容には、意味のある実行結果を伴わない通知も含まれるものとする。
【０１２３】
また、このようなＲＰＣを実現するために、ＳＯＡＰ（Simple Object Access Protocol），ＨＴＴＰ，ＦＴＰ（File Transfer Protocol）,ＣＯＭ（Component Object Model），ＣＯＲＢＡ（Common Object Request Broker Architecture）等の既知のプロトコル（通信規格），技術，仕様などを利用することができる。
【０１２４】
これらの動作要求、動作応答の送受信のデータ送受モデルを図２３の概念図に示す。
（Ａ）は、画像形成装置１００で管理装置１０２に対する動作要求が発生したケースである。このケースでは、画像形成装置１００が被管理装置側要求ａを生成し、これを仲介装置１０１を経由して受け取った管理装置１０２がこの要求に対する応答ａを返すというモデルになる。同図に示す仲介装置１０１は複数であるケースも想定できる（上記図２２に示す設置環境Ｂ）。なお、（Ａ）では、応答ａだけでなく応答遅延通知ａ′を返信するケースが表記されている。これは、管理装置１０２を、仲介装置１０１を経由して被管理装置側要求を受け取って、当該要求に対する応答を即座に返せないと判断したときには、応答遅延通知を通知して一旦接続状態を切断し、次回の接続の際に上記要求に対する応答を改めて引き渡す構成としているためである。
【０１２５】
（Ｂ）は、管理装置１０２で画像形成装置１００に対する要求が発生したケースである。このケースでは、管理装置１０２が管理装置側要求ｂを生成し、これを仲介装置１０１を経由して受け取った画像形成装置１００が、当該要求に対する応答ｂを返すというモデルになっている。なお、（Ｂ）のケースでも、応答を即座に返せないときに応答遅延通知ｂ′を返すことは（Ａ）のケースと同様である。
【０１２６】
次に、図２４に、管理装置１０２の概略構成例を示す。
この管理装置１０２は、モデム６１１，通信端末６１２，外部接続Ｉ／Ｆ６１３，操作者端末６１４，制御装置６１５，ファイルサーバ６１６等からなる。
モデム６１１は、図示しない公衆回線を介して機器利用者側（例えば画像形成装置を利用しているユーザ先）の仲介装置１０１又は画像形成装置１１０と通信するものであり、送受信するデータを変復調する。また、通信端末６１２は、モデム６１１による通信を制御するものである。そして、これらのモデム６１１と通信端末６１２により通信手段としての機能を果たす。
【０１２７】
外部接続Ｉ／Ｆ６１３は、インターネット１０３あるいは専用線等によるネットワークを介した通信を行うためのインタフェースである。そして、ここを介して機器利用者側の仲介装置１０１又は画像形成装置１１０や、サービス拠点Ｅの通信端末１５０との通信を行う。また、セキュリティ管理のためのプロキシサーバ等を設けてもよい。
操作者端末６１４は、各種データの入力をオペレータによるキーボード等の入力装置上の操作により受け付ける。入力されるデータとしては、例えば、各機器利用者側の仲介装置１０１又は画像形成装置１１０と通信する際に使用するそれらのＩＰアドレスや電話番号（発呼先電話番号）等の顧客情報がある。
【０１２８】
制御装置６１５は、図示しないＣＰＵ，ＲＯＭ，ＲＡＭ等からなるマイクロコンピュータを備えており、管理装置１０２全体を統括的に制御する。
ファイルサーバ６１６は、図示しないハードディスク装置等の記憶装置を備え、そこに各機器利用者側の仲介装置１０１および画像形成装置１１０のＩＰアドレスや電話番号、それらの装置から受信したデータ、管理対象の画像形成装置の識別情報、操作者端末６１４から入力されたデータ等の各種データをそれぞれデータベース（ＤＢ）として記憶している。
【０１２９】
また、仲介装置１０１の物理的構成について説明すると、当該仲介装置１０１は、不図示のＣＰＵ，ＲＯＭ，ＲＡＭ，不揮発性メモリ，ネットワークインタフェースカード（ＮＩＣ）等によって構成されている。
仲介機能付画像形成装置１１０については、仲介装置１０１の機能を実現するためにこれらのユニットを単に画像形成装置１００に付加しても良いが、画像形成装置１００に備えるＣＰＵ，ＲＯＭ，ＲＡＭ等のハードウェア資源を利用し、ＣＰＵに適当なアプリケーションやプログラムモジュールを実行させることによって仲介装置１０１の機能を実現することもできる。
【０１３０】
次に、図２２に示した証明書設定システムを構成する、通信端末１５０、サービス拠点端末１６０及び証明書発行装置１７０について説明する。これらのうち、通信端末１５０とサービス拠点端末１６０とが、サービス拠点に設置される端末装置に該当する。
【０１３１】
図２５は、これらの装置及び管理装置１０２との関係を、より詳細に示す図である。
まず、通信端末１５０は、サービス拠点Ｅの外部と通信を行い、必要な情報を取得したり、要求を送信したりする装置である。この通信は、ここではインターネット１０３を用いて行い、図示は省略したが、ＳＳＬやＶＰＮ（Virtual Private Network）等の技術を利用したり、ファイアウォールを設けたりしてセキュリティを確保するようにしている。しかし、専用線によるネットワークや公衆回線等の他のネットワークを使用して通信を行うようにしてもよい。
【０１３２】
ここで、サービス拠点Ｅは、画像形成装置１００，１１０において使用するプロセスカートリッジ５００等の部材を販売あるいは配送する施設であり、例えば販売店や、カスタマーエンジニア（ＣＥ）の派遣拠点がこれに該当する。
そして、サービス拠点Ｅにおいて、セキュリティ面を考慮して管理者室Ｆに通信端末１５０を設置している。そして、その管理者室Ｆは、特定の管理者しか入れないように、ドアＧに鍵をかけるようにし、通信端末１５０は、特定のＩＤとパスワードが入力された場合にのみ操作できるようにするとよい。
【０１３３】
そして、通信端末１５０は、管理装置１０２から、プロセスカートリッジ５００等の部材の発注に関する情報を受け付ける機能と、証明書発行装置１７０に対して、その情報と共に受け付けた電子装置の識別情報を証明書発行要求と共に送信する機能と、その要求に応じて証明書発行装置１７０が発行するデジタル証明書を取得し、サービス拠点端末１６０及び証明書設定装置１６１を介して、発注に係る部材にそのデジタル証明書を設定する機能とを有する。
ハードウェア構成としては、ＣＰＵ，ＲＯＭ，ＲＡＭ，ＨＤＤ，通信Ｉ／Ｆ，入力装置（入力手段），表示装置（表示手段）を備え、これらがシステムバスよって接続された構成である。
【０１３４】
サービス拠点端末１６０は、サービス拠点Ｅにおいて、一般のＣＥ１６２が直接操作する端末であり、通信端末１５０とはＬＡＮを介して通信可能である。そして、通信端末１５０に、証明書発行装置１７０に対して証明書発行要求を送信させると共に、証明書発行装置１７０が発行したデジタル証明書を、通信端末１５０を介して取得する機能を有する。
また、ハードウェア構成としては、ＣＰＵ，ＲＯＭ，ＲＡＭ，ＨＤＤ，通信Ｉ／Ｆ，入力装置（入力手段），表示装置（表示手段）を備え、これらがシステムバスよって接続された構成である。公知のＰＣを使用してもよい。
また、サービス拠点端末１６０には、プロセスカートリッジ５００にデジタル証明書を記憶させて設定するための証明書設定装置１６１が接続されており、この証明書設定装置１６１を介してプロセスカートリッジ５００のＮＶＲＡＭ５０４にデジタル証明書を設定することができる。
【０１３５】
証明書設定装置１６１は、プロセスカートリッジ５００のソケット８１との接続Ｉ／Ｆを有する装置であり、プロセスカートリッジ５００を証明書設定装置１６１にはめ込むような構成でも、単なるＩ／Ｆ付のケーブルのような構成でも構わない。少なくとも、サービス拠点端末１６０が制御チップ８０上のＮＶＲＡＭ５０４にデータを書き込むことを可能にできるような構成であれば足りる。
なお、図２５では、サービス拠点端末１６０と証明書設定装置１６１とを、ａからｃまでの３組設けた例を示しているが、この数に限られることはない。１組だけ設けてもよい。また、１つのサービス拠点端末１６０に複数の証明書設定装置１６１を接続してもよいし、通信端末１５０とサービス拠点端末１６０や、サービス拠点端末１６０と証明書設定装置１６１を一体に構成してもよい。
【０１３６】
証明書発行装置１７０は、デジタル証明書や私有鍵の発行、署名、管理等を行う装置であり、外部装置からの要求に応じてデジタル証明書を発行し、送信することもできる。そして、通信端末１５０からの証明書発行要求に応じて、受信した識別情報をもとに、プロセスカートリッジ５００を使用する画像形成装置１００に記憶しているルート鍵証明書を用いて正当性を確認可能であり、その画像形成装置１００の識別情報が記載されているデジタル証明書を発行して通信端末１５０に送信する機能を有する。
【０１３７】
以上説明したようなシステムにおける画像形成装置１００（及び仲介機能付画像形成装置１１０）が、この発明の電子装置の実施形態である。そして、そのハードウェア構成は第１の実施形態の画像形成装置１００と概ね同様なものである。そして、第１の実施形態で説明したような、プロセスカートリッジ５００の認証処理やそれに伴う警告処理も行う。そして、この実施形態では、これ以外にも遠隔管理に対応した処理を行うようにしている。
【０１３８】
次に、上述した画像形成装置遠隔管理システム１０００及び証明書設定システムにおいて画像形成装置１００が行う、遠隔管理に特有な処理の例として、トナー残量が減少した場合の自動発注機能に関する処理について説明する。また、上述のように、プロセスカートリッジ５００に記憶させる公開鍵証明書は、そのカートリッジを使用する装置の情報を記載したものとする必要がある。そこで、画像形成装置１００からの発注に応じてこのような証明書を設定したプロセスカートリッジ５００を供給するための処理についても説明する。
【０１３９】
画像形成装置１００においては、プロセスカートリッジ５００のＮＶＲＡＭ５０４に、所定の記憶領域を確保し、図２６に示すような、プロセスカートリッジ５００に関する情報のうち書き換えの必要な情報をここに記録している。これらの情報の全部又は一部は、コントローラ２００が画像形成装置１００の動作を制御する際の制御情報として使用される。
【０１４０】
例えば、「コピー枚数」は、プロセスカートリッジ５００が画像形成装置１００に設置されてから画像形成が行われた枚数であり、これが所定枚数を越えた場合に、感光体ドラム２１が摩耗している可能性があると判断できる。「リサイクル回数」は使用済みのプロセスカートリッジ５００をリサイクルした回数であり、これがカートリッジ証明書中の「最大リサイクル回数」を越えている場合には、コントローラ２００の制御により、プロセスカートリッジ５００を用いた画像形成が行えないようにしている。
また、「トナー残量」は、トナーボトル３３中のトナー量であり、ここで説明する動作は、この値が所定値以下になった場合に自動的に管理装置１０２に対して交換用プロセスカートリッジの発注を行う動作である。
なお、上述の第１及び第２の実施形態において同様な情報をＮＶＲＡＭ５０４に記憶させて同様な制御に用いてよいことは、もちろんである。
【０１４１】
次に、上記のカートリッジ発注の動作に関連してプロセスカートリッジ５００のＣＰＵ５０１とコントローラ２００のＣＰＵ２０１が実行する処理を、図２７に示す。
まず、プロセスカートリッジ５００のＣＰＵ５０１は、所定タイミング毎あるいは画像形成が行われる毎等の適当なタイミングで、図２７の左側のフローチャートに示す処理を開始する。そして、まずステップＳ２０１で、前回この処理を実行してからのトナー使用量を検出する。この検出は、例えば図３に示したＰセンサ２８やＴセンサ２９を用いて物理的に行うことができる。また、使用量に代えて残量を直接検出してもよい。
そして、次のステップＳ２０２で、プロセスカートリッジ５００のＮＶＲＡＭ５０４に記憶しているトナー残量のパラメータを、ステップＳ２０１での検出結果に従って変更する。
【０１４２】
その後、ステップＳ２０３で変更後のトナー残量をコントローラ２００に通知する。この通知は、図１５に示したような認証処理において交換した共通鍵を用いて暗号化するとよい。このようにすれば、信号線をモニタリングしたとしても通知の内容を知ることができないため、通信内容の漏洩や、それに伴って図２６に示したようなデータを不正に改変されることを防止できる。
暗号化に用いる共通鍵は、画像形成装置起動時の認証処理の際に作成したものを以後再度認証処理が行われるまで使用してもよいし、コントローラ２００との間で通信を行う毎に図１５に示した処理を行って新たに作成するようにしてもよい。
プロセスカートリッジ５００側の処理は、トナー残量の通知後に終了する。
【０１４３】
一方、コントローラ２００側では、このトナー残量の通知を受信すると、図２７の右側のフローチャートに示す処理を開始する。この処理は、図５に示したＮＲＳアプリ３１５により実現されるものである。また、ステップＳ２０３での通知を暗号化するようにした場合、この処理は、ＣＰＵ２０１が、暗号化した通信経路でプロセスカートリッジ５００から受信した制御情報に従って画像形成装置１００の動作を制御する処理となる。
そして、まずステップＳ２１１でトナー残量が所定の閾値以下か否か判断し、閾値以下であればステップＳ２１２で管理装置１０２にトナーサプライコールを通知し、交換用のトナーカートリッジを発注して処理を終了する。このとき、ユーザに確認を求めるようにしてもよい。また、ステップＳ２１１で閾値以下でなければ、そのまま処理を終了する。なお、この閾値は、交換用トナーカートリッジの発注からユーザの手元に届くまでの期間を考慮して、トナーエンドあるいはニアエンドを示す閾値よりはいくぶん多い値とする。
【０１４４】
図２８に、図２７のフローチャートに示した処理を行う際の各部の処理シーケンスの例を示す。ここでは、トナー残量が閾値以下であった場合の例を示している。
この図に示すように、この処理においては、まずプロセスカートリッジ５００のＣＰＵ５０１が適当なタイミングでトナーの使用量を検出し（Ｓ３０１）、ＮＶＲＡＭ５０４にアクセスしてトナー残量を読み出し（Ｓ３０２）、ステップＳ３０１で検出したトナー使用量を差し引いた新たなトナー残量に書き換える（Ｓ３０３）。そして、その新たなトナー残量の情報を共通鍵で暗号化してコントローラ２００のＣＰＵ２０１に通知する（Ｓ３０４）。
【０１４５】
一方、ＣＰＵ２０１は、この通知を受けるとＮＶＲＡＭ２０４からトナー残量の閾値を読み出し、これを受信したトナー残量の値と比較する（Ｓ３０５）。そして、トナー残量が閾値以下と判定すると（Ｓ３０６）、交換用のプロセスカートリッジを発注するためのサプライコールの送信処理に入る。
この処理においては、まず操作部２０９に図２９に示すようなサプライコール画面を表示させる（Ｓ３０７）。そして、管理装置１０２にサプライコールを送信するのであるが、画像形成装置１００は管理装置１０２との通信は仲介装置１０１を介して行うため、まず仲介装置１０１にサプライコールを送信する（Ｓ３０８）。このとき、ＮＶＲＡＭ２０４に記憶している前述したコントローラ証明書セットを用いて仲介装置１０１との間でＳＳＬによる相互認証処理を行い、安全な通信経路を確保した上で送信を行う。この相互認証処理は、登場する装置は異なるが、図１４のフローチャートに示した処理と同様なものである。
【０１４６】
次に、これを受信した仲介装置１０１は、管理装置１０２との間で同様にＳＳＬによる安全な通信経路を確保した上でサプライコールを転送し（Ｓ３０９）、管理装置１０２はこれを受信するとコールに係る交換用プロセスカートリッジの発注を受け付け、この情報をファイルサーバ６１６に記憶する（Ｓ３１０）。
なお、ここで送信するサプライコールは、ＳＯＡＰリクエストとして記載したものであり、その形式は例えば図３０に示すものである。そして、このメッセージには図３１に示すような情報が含まれており、コールタイプ及びコール詳細から、このコールが交換用プロセスカートリッジの発注を示すコールであることがわかり、機番情報から、どの装置からの発注であるかがわかる。従って、これをファイルサーバ６１６中の顧客情報と照らし合わせることにより、装置の設置先の住所や電話番号がわかることから、最寄のサービス拠点に発注データを転送し、交換用のプロセスカートリッジを顧客先に速やかに届けるよう指示することができる。
【０１４７】
一方、サプライコールを受信した管理装置１０２は、そのコールに対する応答として、仲介装置１０１を介して画像形成装置１００にコールＯＫ通知を返す（Ｓ３１１，３１２）。このコールＯＫ通知は、詳細な図示は省略するが、ＳＯＡＰレスポンスとして記載したものである。
そして、この通知を受けることにより、ＣＰＵ２０１は、交換用プロセスカートリッジの発注が正常に完了したことがわかる。そこで、コール完了フラグをＯＮにする等により、以後プロセスカートリッジが交換されるまでは同じトナーサプライコールは行わないようにするとよい。
【０１４８】
次に、図３２に、図２８に示した処理シーケンスにおいて管理装置１０２がサプライコールを受信してから、適当な公開鍵証明書を設定した交換用のプロセスカートリッジ５００が用意されるまでの処理シーケンスを示す。交換用のプロセスカートリッジについても、画像形成装置１００に装着されているものと同じ符号を用いるが、当然ながらこれらは異なる個体である。また、図３２のステップＳ３２４乃至Ｓ３３２に示す処理が、この発明のデジタル証明書取得方法の実施形態に係る処理である。
【０１４９】
この処理においては、図３２に示すように、まず管理装置１０２が、受信したサプライコールに係る発注情報を記載した電子メールを、その顧客（又は顧客の所在地）を担当するＣＥに宛てて送信する（Ｓ３２１）。
ここで送信する電子メールの内容は、例えば図３３に示すようなものである。
そして、この電子メールに記載する情報のうち、「サプライ品名」は、発注に係る部材の種類を示す情報であり、ここではサプライコールによって発注されたプロセスカートリッジ５００の種類を記載している。
【０１５０】
また、「使用画像ＩＯ機番」には、サプライコールの送信元装置の識別情報を、発注に係るプロセスカートリッジを使用する装置の識別情報として記載している。なお、カートリッジを顧客先の複数の装置で使い回す場合等、注文時点ではどの装置に使用されるかが確定的でない場合には、管理装置１０２にその旨を登録しておき、管理装置１０２が、発注に係るカートリッジを使用する可能性のある装置全ての識別情報を、「使用画像ＩＯ機番」として記載するようにするとよい。
「お客様氏名」や「ＴＥＬ」は、サプライコールの送信元装置を使用している顧客の連絡先を示す情報であり、これらの項目は、管理装置１０２が、ファイルサーバ６０６に記憶している顧客情報を参照して作成する。
「ＩＤ」は、この電子メールによる発注通知のＩＤ番号である。
【０１５１】
管理装置１０２からのこのような電子メールは、図示しないメールサーバを介して、サービス拠点Ｅ内のメールサーバにおけるＣＥのメールボックス１５０ａに記憶される。通信端末１５０にこのメールサーバの機能を持たせるようにしてもよい。
一方、メールサーバは、電子メールのタイトルにフィルタ処理を行う等して発注情報を記載した電子メールを識別し、これを受信した場合、その電子メールを変換装置１５０ｂに転送する（Ｓ３２２）。すると、変換装置１５０ｂは、この電子メールから、少なくとも発注に係る部材の品名及びその部材を使用する装置の識別情報を含む、以後の処理に使用する情報を抽出し（Ｓ３２３）、そのデータと共に発注受付通知をサービス拠点端末１６０に送信する（Ｓ３２４）。サービス拠点端末１６０がサービス拠点Ｅ内に複数ある場合には、発注に係る電子メールの宛先であるＣＥが操作する端末に送信する。また、ハードウェア面では、通信端末１５０に変換装置１５０ｂの機能を担わせるようにするとよい。
【０１５２】
サービス拠点端末１６０は、ステップＳ３２４の通知を受け付けると、図３４に示すような確認画面を表示して、担当のＣＥに発注の可否を確認させる（Ｓ３２５）。この画面に表示する情報は、変換装置１５０ｂから受信した情報である。ＣＥは、この画面で発注内容を確認し、発注に係る部材を証明書設定装置１６１にセットして発注キー２４１を押下し、発注を確認する。すると、その行の表示が削除され、表示が更新される。
【０１５３】
また、サービス拠点端末１６０は、発注の確認があると、証明書設定装置１６１に対してプロセスカートリッジ５００の識別情報を読み出すよう指示する（Ｓ３２６）。そして、証明書設定装置１６１は、指示に応じて、プロセスカートリッジのＮＶＲＡＭ２０４からロット番号やシリアル番号等の、カートリッジ公開鍵証明書への記載が必要な識別情報を読み出し（Ｓ３２７）、サービス拠点端末１６０へ返す（Ｓ３２８）。
なおここでは、製造後、メーカーの手を離れる前の段階であるので、データが改竄や偽造されていることは考えにくく、ＩＤ自体をそのまま記憶させてあるような識別情報を使用しても、セキュリティは維持できる。しかし、このような記録態様の識別情報は、カートリッジがメーカーから外部に出てしまうと改竄されたり偽造されたりする恐れがあるため、図１２に示したような制御を行う際の判断には使用しない。
【０１５４】
サービス拠点端末１６０は、ステップＳ３２８でプロセスカートリッジ５００の識別情報を取得すると、通信端末１５０に対し、証明書発行要求の送信指示及び、その証明書発行要求に記載すべきデータ（例えばステップＳ３２７で読み出した識別情報）を送信する（Ｓ３２９）。すると、通信端末１５０はこの指示に応じて証明書発行要求を証明書発行装置１７０に送信する（Ｓ３３０）。また、証明書発行装置１７０はこの要求に応じてプロセスカートリッジ５００に対して公開鍵証明書と私有鍵を発行し、適当なルート鍵証明書とセットにして返してくるので、通信端末１５０はこれを取得する（Ｓ３３１）。
【０１５５】
ここで、上記の証明書発行要求及び、証明書発行装置１７０からの証明書の送信は、図３５に示すような形式のＳＯＡＰメッセージで行う。証明書発行要求はＳＯＡＰリクエスト、証明書はそのＳＯＡＰリクエストに対するＳＯＡＰレスポンスとして送信する。そして、これらのメッセージは構造化言語であるＸＭＬの形式で記載されており、具体例はそれぞれ図３６及び図３７に示すものとなる。
【０１５６】
この例において、図３６に示すＳＯＡＰリクエストでは、ＳＯＡＰボディに、証明書発行要求であることを示す「証明書発行要求」タグを設け、その下位のタグに、カートリッジ公開鍵証明書に記載すべき情報を列記している。また、図３７に示すＳＯＡＰレスポンスでは、ＳＯＡＰボディに、証明書発行要求に対する応答であることを示す「証明書発行要求response」タグを設け、その下位のタグに、証明書発行要求に記載されていた部材のシリアル番号と共に、その部材に対して発行した、ルート鍵証明書、公開鍵証明書、私有鍵の証明書セットを記載している。
この発行は、証明書発行要求と共に受信した識別情報をもとに行い、発行する公開鍵証明書は、発行対象の部材を使用する電子装置に記憶しているルート鍵を用いて正当性を確認可能であり、その部材を使用する電子装置の識別情報が記載されているものである。
【０１５７】
図３２の説明に戻る。通信端末１５０は、ステップＳ３３１で証明書セットを受信すると、ステップＳ３３２でその証明書セットをサービス拠点端末１６０に返す（Ｓ３３２）。すると、サービス拠点端末１６０は、証明書設定装置１６１にその証明書セットをプロセスカートリッジ５００に設定するよう指示し（Ｓ３３３）、証明書設定装置１６１がその証明書セットをプロセスカートリッジ５００のＮＶＲＡＭ２０４に書き込んで設定する（Ｓ３３４）。
【０１５８】
以上の図３２に示した処理により、使用装置ＩＤを記載した公開鍵証明書を、安全な通信経路で容易に証明書発行装置１７０から取得して交換用のプロセスカートリッジ５００に記憶させることができる。
すなわち、通信端末１５０が証明書発行要求と共に使用装置ＩＤを証明書発行装置１７０に送信し、これに応じて証明書発行装置１７０が送信する、証明書発行要求と共に送信した使用装置ＩＤを公開鍵証明書に含む証明書セットを、通信端末１５０が受信するようにしたことにより、各プロセスカートリッジ毎に使用装置ＩＤを含む公開鍵証明書を設定するようにし、プロセスカートリッジ毎に異なる証明書セットを記憶させる場合であっても、各プロセスカートリッジに設定すべき証明書セットを容易に取得して設定を行うことができる。
従って、その後このプロセスカートリッジ５００を、画像形成装置１００に設置する交換用のユニットとして顧客先に配送し、供給することができる。そして、このことにより、上述の第１及び第２の実施形態も含め、各実施形態で説明したようなプロセスカートリッジを容易に流通経路に乗せ、そのようなプロセスカートリッジを使用することによる効果を得ることができる。
【０１５９】
またユーザは、サプライコールの機能により、通常はトナーがなくなるかそれに近い状態になる前に交換用のプロセスカートリッジを受け取ることができ、そのような状態になった場合に速やかにプロセスカートリッジを交換することができる。画像形成装置１００のＣＰＵ２０１がこの交換を検出した場合に、コール完了フラグをＯＦＦにし、元通りの動作に戻るようにするとよい。
以上のような図２７，図２８及び図３２に示した各処理を行うことにより、画像形成装置１００のユーザは、特にトナーの残量を監視したり、電話等によって注文したりしなくても、トナーがなくなる前に交換用のプロセスカートリッジを受け取ることができるので、装置のメンテナンスにかかる労力を低減することができる。
また、メーカー側から見ると、交換用のカートリッジとしてほぼ自動的に自社の純正カートリッジを注文してもらうことができるので、いわゆる顧客の囲い込みを容易に行うことができる。プロセスカートリッジは、画像形成装置１００の中でも比較的頻繁に交換する必要がある一方で比較的高価な消耗品であり、またリサイクルを利用した非純正のカートリッジも出まわっているので、このような消耗品についてこの発明を適用すると、特に効果が大きい。
【０１６０】
なお、ここで説明した例では、認証処理以外でのプロセスカートリッジ５００とコントローラ２００との間の情報の送受信は、プロセスカートリッジ５００からコントローラ２００へ一方的にトナー残量を通知する場合のみであった。
しかし、例えばコピー枚数の情報は、コントローラ２００側で検出してプロセスカートリッジ５００に送信し、ＮＶＲＡＭ５０４に書き込ませる情報である。また、トナー使用量について、コントローラ２００側で画像形成に係る画像データの内容から計算によって求めるようにすることもできる。このようにした場合には、トナー使用量も、コントローラ２００側で検出してプロセスカートリッジ５００に送信し、ＮＶＲＡＭ５０４に書き込ませる情報となる。
【０１６１】
さらにまた、例えば、図２７に示した処理において、トナー残量が閾値以下であってもコピー枚数が所定枚数以下の場合にはサプライコールを行わないようにするといった対応が考えられるが、このような判断をしようとする場合には、コントローラ２００側からプロセスカートリッジ５００に要求して、ＮＶＲＡＭ５０４に記憶しているコピー枚数の情報を取得することになる。
また、ＮＶＲＡＭ５０４に記憶している有効期限の情報を利用することにより、トナーカートリッジ５００の有効期限が切れるか又はその所定期間前になった場合にサプライコールを行う対応も可能である。
【０１６２】
このように、コントローラ２００における制御の内容に応じて、コントローラ２００とプロセスカートリッジ５００との間で、ＮＶＲＡＭ５０４に記憶している又は記憶させる種々の制御情報を送受信することになるが、この通信を上述のトナー残量の場合と同様に暗号化して行うことにより、制御情報の漏洩や不正な改竄の危険を低減できる。特に、リサイクル回数のような情報は、プロセスカートリッジ５００の品質と密接に関連する情報であるので、このような情報の改竄を防止する効果は大きい。
【０１６３】
また、プロセスカートリッジ５００の特性に関連するような制御情報をプロセスカートリッジ５００側に記憶させておき、コントローラ２００がここから必要な情報を読み出して制御を行うことにより、プロセスカートリッジ５００が使用中に他の画像形成装置に移設された場合等でも、新たに設置された装置において、それまでの動作履歴を勘案した制御動作を容易に行うことができる。
【０１６４】
なお、第２の実施形態の場合のように、プロセスカートリッジにＣＰＵを設けない構成の装置であっても、上述したように画像形成装置管理システムの被管理装置とすることができることはもちろんである。
また、このような構成で図２５や図２６に示したような処理を行おうとする場合、プロセスカートリッジ５００のＮＶＲＡＭ５０４へのアクセスは、全てコントローラ２００側のＣＰＵ２０１から行うことになり、コントローラ２００とプロセスカートリッジ５００との間の通信を暗号化することはしない。しかし、それ以外の点では、ここまで説明した第３の実施形態の場合と同様な処理が可能であり、そのことによって同様な効果を得ることができる。
【０１６５】
〔第３の実施形態の変形例：図３８乃至図４１〕
次に、上述した第３の実施形態の種々の変形例について説明する。
まず、第３の実施形態においては、ＣＥのメールボックス１５０ａに発注情報を記載した電子メールが届いた場合、変換装置１５０ｂによって自動でサービス拠点端末１６０に発注があった旨を通知する例について説明したが、これをＣＥが手動で行うようにしてもよい。この場合、図３２に示した処理シーケンスは、図３８に示すようになる。この場合、変換装置１５０ｂは当然不要である。
【０１６６】
図３８に示した処理のうち、図３２に示した処理と同じステップ番号を付したものはこれと同じ処理である。従って、図３８に示した処理は、図３２に示した処理のステップＳ３２２乃至Ｓ３２５の部分を、ＣＥによる手作業（ＳＸ）に置き換えたものとなる。このステップＳＸの部分では、ＣＥは、サービス拠点端末１６０から自分のメールボックス１５０ａ内のメールを開き、発注情報があった場合には、発注に係る部材を証明書設定装置１６１にセットした上で、その種別やその部材を使用する装置の識別情報等の必要な情報をサービス拠点端末１６０に入力して証明書の取得及び設定を行わせる作業を行うことなる。
このようにしても、ユーザに対して適切な交換用のプロセスカートリッジを供給することができる点は、第３の実施形態の場合と変わらない。
【０１６７】
なお、管理装置１０２からサービス拠点Ｅまでの発注情報の伝達には、必ずしも電子メールを使用する必要はない。例えば、ＳＯＡＰメッセージに発注情報を記載し、ＨＴＴＰ等のプロトコルを用いて、通信端末１５０を介してサービス拠点端末１６０に送信できるようにしてもよい。
また、発注に係るメッセージの送信を、管理装置１０２が自動で行う必要はなく、オペレータの指示あるいはオペレータが入力した情報に従って送信するようにしてもよい。
さらにまた、画像形成装置１００が、サプライコールあるいは別の発注用メッセージを直接適当なサービス拠点Ｅ内の通信端末１５０やサービス拠点端末１６０に送信し、これらの装置に発注に係る処理を実行させることも考えられる。
【０１６８】
また、単に注文に応じて必要な部材を提供するだけでよいのであれば、販売や営業の担当者が顧客から直接あるいは電話で注文を受け、その情報をサービス拠点端末１６０に入力して図３２のステップＳ３２６以降と同様な処理を行わせることも可能である。もちろん、店舗で注文を受け、適切なデジタル証明書を取得して部材に記憶させ、これをその場で直接顧客に販売するような対応も可能である。
さらに、図１９に示したような、部材の識別情報を記載していない公開鍵証明書を使用する場合には、ステップＳ３２６乃至Ｓ３２８の処理を行う必要はない。
【０１６９】
また、サプライコールに応じて図３２に示したような処理を開始し、画像形成装置１００からサービス拠点Ｅに対するプロセスカートリッジ５００の発注を仲介するサプライコール仲介動作を行ってよいか否かを示す情報を、画像形成装置１００のＩＤ毎に管理装置１０２に記憶させ、図２８に示したようなサプライコールに関する処理において、画像形成装置１００からサプライコールを受信した場合に、その情報に基づいた動作を管理装置１０２に行わせるようにしてもよい。
【０１７０】
図３９に、この場合の処理シーケンスの例を示す。この処理シーケンスは、図２８のステップＳ３０６以降のシーケンスと対応するものであり、この部分では画像形成装置１００側の構成要素はコントローラ２００のＣＰＵ２０１しか登場しないので、図３９においてはコントローラ２００を代表で示している。
そして、このシーケンスにおいても、コントローラ２００のＣＰＵ２０１がプロセスカートリッジ５００中のトナー残量が閾値以下と判定すると（Ｓ３０６）、まず操作部２０９に図２９に示したようなサプライコール画面を表示させる（Ｓ３０７）。
【０１７１】
そしてその後、サプライコールの送信を行うのであるが、このサプライコールを生成する際に、ＮＶＲＡＭ２０４に記憶しているコントローラ公開鍵証明書から自身のＩＤを抽出し（Ｓ４０１）、抽出したＩＤを機番情報として記載したサプライコールを生成する（Ｓ４０２）。このとき、コントローラ公開鍵証明書が破損や改竄等されていないことを、ルート鍵証明書を用いて確認するようにするとよい。また、サプライコールに記載する情報については、図２８に示した処理の場合と同様、図３１に示したようなものでよい。
その後、ＳＳＬにより安全な通信経路を確保した上で、仲介装置１０１を介して管理装置１０２にサプライコールを送信する（Ｓ４０３，Ｓ４０４）。
一方管理装置１０２は、画像形成装置１００からのサプライコールを受信すると、そのサプライコールに記載されている機番情報が、プロセスカートリッジの発注を仲介してよい装置のものであることを確認する（Ｓ４０５）。
【０１７２】
図４０に、この確認に使用する情報の例を示す。
この例では、管理装置１０２にとって適切な通信相手（主として管理対象）となりうる各画像形成装置について、上述したサプライコール仲介の機能の有効／無効をテーブル形式で記憶するものを示している。このような情報は、例えば図２４に示したファイルサーバ６１６に記憶させておくことができる。
そして、ステップＳ４０５では、受信したサプライコール中の機番情報をキーにしてこのテーブルを検索し、その機番についてサプライコール仲介機能が「有効」であった場合に、プロセスカートリッジ５００の発注を仲介してよいことを確認できる。逆に、「無効」であったり、機番がテーブルに登録されていなかったりした場合には、発注を仲介すべきでないことがわかる。
【０１７３】
なお、図４０に示したような情報は、管理対象装置のユーザの情報や動作状態の情報を管理するためのテーブルの一項目として記憶するようにしてもよいが、あくまでもサプライコール仲介機能についての有効／無効の情報として扱い、特定の装置が管理対象であるか否かの情報とは異なるものとすることが好ましい。例えば、管理装置１０２の管理者が、プロセスカートリッジ５００の不正品が出回ったといった情報を得た場合に、それに応じて図４０に示したテーブルの情報を変更することにより、特定の画像形成装置からのプロセスカートリッジの自動注文を停止させる対応を行うことが考えられるが、このような場合でも、その画像形成装置を管理装置１０２による管理対象から外すか否かについて別途対応できることが好ましいためである。
【０１７４】
図３９の説明に戻ると、ステップＳ４０６以降の処理は、図２８のステップＳ３１０以降の処理と同様なものであり、ステップＳ４０５の確認ができると、管理装置１０２は、コールに係る交換用プロセスカートリッジの発注を受け付けると共に、仲介装置１０１を介して画像形成装置１００にコールＯＫ通知を返す（Ｓ４０６〜Ｓ４０８）。
また、サプライコールの受け付け後に管理装置１０２が図３２のシーケンス図に示す処理を行うことも、上述した実施形態の場合と同様である。
なお、図示は省略したが、ステップＳ４０５において発注を仲介すべきでないことが確認された場合には、ステップＳ４０６での受け付けは行わずに、ステップＳ４０７及びＳ４０８において、発注を受け付けられない旨の応答を返すようにするとよい。また、管理装置１０２のオペレータにその旨を通知して、オペレータやサービス担当者が対象の装置のユーザに連絡できるようにすることも考えられる。
【０１７５】
以上のような処理を行うことにより、管理装置１０２は、適切な画像形成装置１００からのサプライコールのみをサービス拠点Ｅに取り次ぐことができる。従って、全ての画像形成装置１００に自動発注機能を設けた場合でも、その運用を管理装置１０２側で容易に管理し、カートリッジ公開鍵証明書を画像形成装置１００のユーザに不正に取得されてしまう危険性を低減できる。
また、画像形成装置１００側で、機番情報をコントローラ公開鍵証明書から抽出して記載することは必須ではないが、このようにしておけば、不正に機番情報を変更してサプライコールを送信することができなくなるため、管理装置１０２における管理の確実性をより高めることができる。
【０１７６】
なお、画像形成装置１００が管理装置１０２と直接通信する場合には、サプライコールに記載する画像形成装置１００の識別情報を、管理装置１０２側で付加するようにすることも可能である。
図４１に、このようにする場合の処理シーケンスを示す。この処理シーケンスも、図２８のステップＳ３０６以降のシーケンスと対応するものである。だだし、仲介装置１０１が登場しない点は異なる。
そして、この処理においては、コントローラ２００のＣＰＵ２０１がプロセスカートリッジ５００中のトナー残量が閾値以下と判定し（Ｓ３０６）、操作部２０９にサプライコール画面を表示させた後（Ｓ３０７）、機番情報を記載しないサプライコールを生成する（Ｓ５０１）。
【０１７７】
そしてその後、ＳＳＬによる認証処理を行って安全な通信経路を確保した上で（Ｓ５０２）、管理装置１０２にサプライコールを送信する（Ｓ５０３）。ステップＳ５０２の処理は、図２８や図３９では図示を省略していたものであるが、この認証処理においては、相互認証を行う場合には、画像形成装置１００と管理装置１０２とが互いの公開鍵証明書を送受信する（図１５参照）。また、管理装置１０２が画像形成装置１００を認証するのみの場合でも、画像形成装置１００が自身の公開鍵証明書を管理装置１０２に送信するようにすることができる。そして、画像形成装置１００が認証処理に使用するコントローラ公開鍵証明書は、図１１（ｂ）に示したように、画像形成装置１００のＩＤを含むものである。
【０１７８】
そこで、管理装置１０２は、通信経路を確保する際のステップＳ５０２での認証処理時に画像形成装置１００から受信した公開鍵証明書から、画像形成装置１００のＩＤを識別情報として抽出し（Ｓ５０４）、図３９のステップＳ４０５の場合と同様に、画像形成装置１００がプロセスカートリッジ５００の発注を仲介してよい装置であることを確認する（Ｓ５０５）。
そしてこれが確認できると、ステップＳ５０４で抽出したＩＤと、ステップＳ５０３で受信したサプライコールとをセットにしてコールに係る発注を受け付ける。このとき、サプライコールの送信元装置の識別情報として、抽出したＩＤをサプライコール中に書き加えるようにしてもよい。
【０１７９】
そしてその後、画像形成装置１００にコールＯＫ通知を返す（Ｓ５０７）。また、ステップＳ５０５において発注を仲介すべきでないことが確認された場合には、ステップＳ５０６での受け付けは行わずに、ステップＳ５０７において、発注を受け付けられない旨の応答を返すようにするとよい。
また、サプライコールの受け付け後に管理装置１０２が図３２のシーケンス図に示す処理を行うことは、上述した実施形態の場合と同様であり、図３２のステップＳ３２１で送信する電子メールに画像形成装置１００の識別情報を含む発注情報を記載してしまえば、以後の処理において、その識別情報をどこから取得したかは全く関係ない。
このような処理によっても、図３９のような処理を行う場合と同様、管理装置１０２は、適切な画像形成装置１００からのサプライコールのみをサービス拠点Ｅに取り次ぐことができる。また、画像形成装置１００側での処理を簡略化し、設計や開発を容易にすることができる。
【０１８０】
〔各実施形態の変形例：図４２,図４３〕
以下、上述した各実施形態及び変形例に適用できる更なる変形例について説明する。
以上説明した各実施形態においては、電子装置が画像形成装置であり、部材がプロセスカートリッジである例について説明したが、この発明がこれに限定されないことは言うまでもない。例えば、感光体ドラム、帯電ユニット、現像ユニット、トナーボトル、クリーニングユニット、光学ユニット、転写ユニット、給紙ユニット、定着ユニット等を単独で交換可能とし、１単位の部材として取り扱うこともできる。各装置あるいはユニットの具体的な形状や配置等も、上述のものに限定されることはない。
【０１８１】
また、複数種類の部材について、それぞれその部材を使用する画像形成装置に記憶しているルート鍵証明書を用いて正当性を確認可能であり、かつその部材を使用する電子装置の識別情報が記載されている公開鍵証明書を記憶させ、部材の種類あるいは設置箇所毎に上述の各実施形態で説明したような処理を行うようにしてもよい。このようにすれば、その部材の各々について、上述した各実施形態の場合と同様な効果を得ることができる。
この場合において、例えば部材が純正のものであることを確認するのみでよいのであれば、部材の種類毎に別々の公開鍵証明書を記憶させることは必須ではない。例えば、全ての部材に図１９に示したような証明書を共通に記憶させることも考えられる。
また、この場合において、部材の種類毎に、図１２に示したステップＳ４，Ｓ５やステップＳ７，Ｓ８のような処理で行う警告の内容を異なるものにすることも考えられる。
【０１８２】
また、この発明の電子装置も、上述したような画像形成装置に限られないことはもちろんである。そして、プリンタ，ＦＡＸ装置，デジタル複写機，スキャナ装置，デジタル複合機等の画像処理装置を始め、ネットワーク家電，自動販売機，医療機器，電源装置，空調システム，ガス・水道・電気等の計量システム，汎用コンピュータ，自動車，航空機等の種々の電子装置にこの発明を適用することができる。
【０１８３】
例えば、図２２に示した遠隔管理システムにおいて、これらの各装置を被管理装置とし、図４２に示すような遠隔管理システム及び証明書設定システムを構成することが考えられる。この図においては、仲介装置１０１を別途設ける被管理装置の例としてテレビ受像機１２ａや冷蔵庫１２ｂのようなネットワーク家電、医療機器１２ｃ，自動販売機１２ｄ，計量システム１２ｅ，空調システム１２ｆを挙げている。そして、仲介装置１０１の機能を併せ持つ被管理装置の例として、自動車１３ａや航空機１３ｂを挙げている。また、自動車１３ａや航空機１３ｂのように広範囲を移動する装置においては、ファイアウォール（ＦＷ）１０４の機能も併せ持つようにすることが好ましい。
このような遠隔管理システムにおいて被管理装置となる各装置やその装置において使用する部材等にも、この発明はもちろん適用可能である。
【０１８４】
また、この場合において、図１２に示したステップＳ４，Ｓ５やステップＳ７，Ｓ８のような処理で行う警告の内容は、適用する装置や部材の用途や特性に応じて適当なものを定めればよい。例えば、ステップＳ４及びＳ５のように、ユーザに解除を許す警告と、ステップＳ７及びＳ８のように、ユーザに解除を許さない警告とを、適用する装置や部材の用途や特性と、認証処理における認証結果とに応じて使い分けるようにすることが考えられる。また、装置において有効になっている機能に応じて警告の内容を変化させることも考えられる。
【０１８５】
さらに、コンピュータや家庭用ゲーム機、ＣＤプレイヤやＤＶＤプレイヤのような情報再生装置及び、このような装置において使用し、コンピュータを動作させるためのソフトウェアや、鑑賞の対象となる音楽や映像、あるいはその他の有用なデータを記録した記録媒体等の部材にも、この発明を適用することができる。
このような記録媒体に関しては、メーカー側には、顧客の手に渡した場合でも特定の装置以外で使用させたくないという要求がある。そして、この発明を適用することにより、予め証明書に記載してある装置以外で使用した場合に警告を行ったりそのような使用自体を禁止したりすることも可能となり、容易にこのような要求を満たすことができる。
例えばＣＤあるはＤＶＤのような記録媒体に適用する場合を考えると、上述した第２の実施形態と同様な、部材側にＣＰＵを設けない構成を採用するとよい。この場合の第２の実施形態の図２０に対応する構成を図４３に示すが、記録媒体７１０側に証明書記憶領域７１１を設けて使用装置ＩＤを記載した記録媒体用の公開鍵証明書を含む証明書セットを記憶させておくようにするとよい。そして、記録媒体読取装置７００のＣＰＵ７０１に、記録媒体７１０の内容を読み取ろうとする際に、証明書記憶領域７１１から証明書セットを読み出して第２の実施形態で説明したような認証処理を行わせるようにするとよい。
【０１８６】
そして、第３の実施形態のような遠隔管理システムを考慮しない場合には、外部装置と通信するための通信手段は必須ではない。逆に、上記のような電子装置に管理装置や仲介装置のような外部装置と通信するための通信手段を設けて通信装置とすれば、その通信装置は第３の実施形態で説明したような遠隔管理システムにおける被管理装置となりうる。
この場合において、被管理装置が特定の種類あるいは機能の装置で統一されている必要はない。また、このような遠隔管理システムを構成する各ノード間の通信は、有線、無線を問わず、ネットワークを構築可能な種々の通信経路を用いて行うことができる。
【０１８７】
さらにまた、消耗品と電子装置本体の制御手段との間の通信も、有線に限られることはなく、無線で行うようにしてもよい。また、小型でかつ非接触の情報授受が可能な素子にデジタル証明書を記憶させるようにすれば、非常に広汎な使用態様の部材にデジタル証明書を記憶させることができ、その部材及びその部材を使用する電子装置にこの発明を適用できる。
また、必ずしも定期的な交換を前提としない部品にもこの発明を適用し、部品の出所や使用履歴を管理するために使用することも当然可能である。
なお、上述の各実施形態及び変形例で説明した技術を相互に組み合わせて用いることも当然可能である。
【０１８８】
また、この発明によるプログラムは、コンピュータに電子装置を制御させ、上述の各実施形態や変形例で説明したような処理を行わせるためのプログラムであり、このようなプログラムをコンピュータに実行させることにより、上述したような効果を得ることができる。
【０１８９】
このようなプログラムは、はじめからコンピュータに備えるＲＯＭあるいはＨＤＤ等の記憶手段に格納しておいてもよいが、記録媒体であるＣＤ−ＲＯＭあるいはフレキシブルディスク，ＳＲＡＭ，ＥＥＰＲＯＭ，メモリカード等の不揮発性記録媒体（メモリ）に記録して提供することもできる。そのメモリに記録されたプログラムをコンピュータにインストールしてＣＰＵに実行させるか、ＣＰＵにそのメモリからこのプログラムを読み出して実行させることにより、上述した各手順を実行させることができる。
さらに、ネットワークに接続され、プログラムを記録した記録媒体を備える外部機器あるいはプログラムを記憶手段に記憶した外部機器からダウンロードして実行させることも可能である。
【産業上の利用可能性】
【０１９０】
以上説明してきたように、この発明の電子装置、画像形成装置、電子装置の制御方法、画像形成装置管理システム、デジタル証明書を記憶した部材、プログラム、記録媒体によれば、非純正の部材が流通する環境にあっても、非純正の部材の不具合による装置への信用の低下を防止するとともに、なるべく純正の部材を使用してもらえるようにすることができる。純正の部材についても、供給側の意図しない装置での使用をコントロールすることができる。
また、この発明のデジタル証明書取得方法及びデジタル証明書設定システムによれば、上記のデジタル証明書を記憶した部材を容易に供給できるようにすることができる。
従って、この発明を適用することにより、供給者が品質を管理しやすい電子装置や、供給者が用途を管理しやすい部材を提供することができる。
【図面の簡単な説明】
【０１９１】
【図１】この発明の電子装置の第１の実施形態である画像形成装置の全体構成を示す模式的な断面図である。
【図２】図１に示した画像形成装置に設置する、プロセスカートリッジの新品状態の時の構成を示す断面図である。
【図３】そのプロセスカートリッジが画像形成装置に設置された場合のその周辺の状態を示す模式的な断面図である。
【図４】図１に示した画像形成装置の構成を、制御及び通信に関連するハードウェアを中心に示したブロック図である。
【図５】その画像形成装置のソフトウェア構成の一例を示すブロック図である。
【図６】図５に示したＮＲＳアプリの構成例を示す機能ブロック図である。
【図７】図１に示した画像形成装置において、コントローラとプロセスカートリッジとの間で行う認証処理、および警告処理に関連する各部の構成を示すブロック図である。
【図８】図７に示した構成を簡単に表わしたブロック図である。
【図９】図８に示した各ＮＶＲＡＭに記憶させる証明書及び鍵の種類を示す図である。
【図１０】認証処理に用いる公開鍵証明書と私有鍵とルート鍵証明書との関係について説明するための図である。
【０１９２】
【図１１】図９に示したカートリッジ公開鍵証明書及びコントローラ公開鍵証明書に記載する情報をより詳細に示す図である。
【図１２】図１に示した画像形成装置においてコントローラのＣＰＵが起動時に行う処理を示すフローチャートである。
【図１３】図１２のステップＳ４で行う警告表示の例を示す図である。
【図１４】図１２のステップＳ７で行う警告表示の例を示す図である。
【図１５】図１２のステップＳ２で行う認証処理の詳細を示すフローチャートである。
【図１６】図１５に示した認証処理の変形例を示すフローチャートである。
【図１７】カートリッジ公開鍵証明書の変形例を示す図である。
【図１８】図１７に示したカートリッジ公開鍵証明書を使用して認証処理を行う場合に、図８に示した各ＮＶＲＡＭに記憶させる証明書及び鍵の種類を示す図である。
【図１９】カートリッジ公開鍵証明書のさらに別の変形例を示す図である。
【図２０】この発明の電子装置の第２の実施形態である画像形成装置における構成を示す、図８と対応するブロック図である。
【０１９３】
【図２１】その画像形成装置において図１２のステップＳ２に相当する処理で行う認証処理の詳細を示すフローチャートである。
【図２２】この発明の電子装置の第３の実施形態である画像形成装置を被管理装置とした、この発明の画像形成装置管理システムの実施形態の構成を示すブロック図である。
【図２３】図２２に示した画像形成装置管理システムにおける動作要求、動作応答の送受信のデータ送受モデルを示す図である。
【図２４】図２２に示した管理装置の概略構成例を示す図である。
【図２５】図２２に示した管理装置、通信端末、サービス拠点端末、および証明書発行装置の関係をより詳細に示す図である。
【図２６】図２２に示した画像形成装置においてプロセスカートリッジのＮＶＲＡＭに記憶させるデータの種類及び形式の一部を示す図である。
【図２７】図２２に示した画像形成装置において、交換用トナーカートリッジの自動発注に関連してプロセスカートリッジのＣＰＵとコントローラのＣＰＵとが実行する処理を示すフローチャートである。
【図２８】図２７のフローチャートに示した処理を行う際の各部の処理シーケンスの例を示すシーケンス図である。
【図２９】図２７のステップＳ３０７で表示するサプライコール画面の表示例を示す図である。
【図３０】同じくステップＳ３０８で送信するサプライコールに係るＳＯＡＰリクエストの記載例を示す図である。
【０１９４】
【図３１】図３０に示したＳＯＡＰリクエストのボディ部に含まれるデータの構成を示す図である。
【図３２】管理装置がサプライコールを受信してから適当な公開鍵証明書を設定した交換用のプロセスカートリッジが用意されるまでの処理シーケンスを示すシーケンス図である。
【図３３】図３２のステップＳ３２１において管理装置が送信する電子メールの例を示す図である。
【図３４】同じくサービス拠点端末がステップＳ３２４の通知を受信した場合に表示する確認画面の例を示す図である。
【図３５】同じくステップＳ３３０及びＳ３３１での証明書発行要求及び証明書セットの送信に係るメッセージのフォーマット例を示す図である。
【図３６】図３５に示した証明書発行要求に係るＳＯＡＰリクエストの具体例を示す図である。
【図３７】同じく証明書セットの送信に係るＳＯＡＰレスポンスの具体例を示す図である。
【図３８】図３２に示した処理シーケンスの変形例を示す図である。
【図３９】図２８のステップＳ３０６以降の処理シーケンスの変形例を示す図である。
【図４０】図３９のステップＳ４０５における確認に使用する情報の例を示す図である。
【図４１】図２８のステップＳ３０６以降の処理シーケンスの別の変形例を示す図である。
【図４２】図２２に示した遠隔管理システムの別の構成例を示す図である。
【図４３】この発明の第２の実施形態の変形例の構成を示す、図２０と対応するブロック図である。
【符号の説明】
【０１９５】
２：光学部              ３：ポリゴンミラー
４，５：レンズ          ６〜１５：ミラー
２１：感光体ドラム      ２２：帯電部
２３：現像部            ２４：転写ローラ
２５：クリーニング部    ２６：ケース
２８：Ｐセンサ          ２９：Ｔセンサ
３２：トナー供給部      ３３：トナーボトル
８０：制御チップ        ８１：ソケット
１００：画像形成装置      １０１：仲介装置
１０２：管理装置          １０３：インターネット
１０４：ファイアウォール
１１０：仲介機能付画像形成装置
１５０：通信端末        １６０：サービス拠点端末
１６１：証明書設定装置  １７０：証明書発行装置
２００：コントローラ
２０１，４０１，５０１：ＣＰＵ
２０２：ＡＳＩＣ        ２０３：ＳＤＲＡＭ
２０４，４０４，５０４：ＮＶＲＡＭ
２０５：ＮＲＳ用メモリ  ２０６：ＰＨＹ
２０９：操作部          ２１１：モデム
２１２：ＰＩ            ２１８：ＰＣＩバス
２２０，４０５，５０５：Ｉ／Ｏポート
２３０：シリアルバス    ３００：ＯＣＳ
３０１：ＥＣＳ          ３０２：ＭＣＳ
３０３：ＮＣＳ          ３０４：ＦＣＳ
３０５：ＣＳＳ          ３０６：ＳＣＳ
３０７：ＳＲＭ          ３０８：ＩＭＨ
３０９：コピーアプリ    ３１０：ファクスアプリ
３１１：プリンタアプリ  ３１２：スキャナアプリ
３１３：ネットファイルアプリ  ３１４：ウェブアプリ
３１５：ＮＲＳアプリ    ４００：エンジン制御部
４０２，５０２：ＲＯＭ  ４０３，５０３：ＲＡＭ
４０６，５０６：内部バス  ４１０：エンジン部
５００：プロセスカートリッジ
【図１】
2005251156.tif 000003
【図２】
2005251156.tif 000004
【図３】
2005251156.tif 000005
【図４】
2005251156.tif 000006
【図５】
2005251156.tif 000007
【図６】
2005251156.tif 000008
【図７】
2005251156.tif 000009
【図８】
2005251156.tif 000010
【図９】
2005251156.tif 000011
【図１０】
2005251156.tif 000012
【図１１】
2005251156.tif 000013
【図１２】
2005251156.tif 000014
【図１３】
2005251156.tif 000015
【図１４】
2005251156.tif 000016
【図１５】
2005251156.tif 000017
【図１６】
2005251156.tif 000018
【図１７】
2005251156.tif 000019
【図１８】
2005251156.tif 000020
【図１９】
2005251156.tif 000021
【図２０】
2005251156.tif 000022
【図２１】
2005251156.tif 000023
【図２２】
2005251156.tif 000024
【図２３】
2005251156.tif 000025
【図２４】
2005251156.tif 000026
【図２５】
2005251156.tif 000027
【図２６】
2005251156.tif 000028
【図２７】
2005251156.tif 000029
【図２８】
2005251156.tif 000030
【図２９】
2005251156.tif 000031
【図３０】
2005251156.tif 000032
【図３１】
2005251156.tif 000033
【図３２】
2005251156.tif 000034
【図３３】
2005251156.tif 000035
【図３４】
2005251156.tif 000036
【図３５】
2005251156.tif 000037
【図３６】
2005251156.tif 000038
【図３７】
2005251156.tif 000039
【図３８】
2005251156.tif 000040
【図３９】
2005251156.tif 000041
【図４０】
2005251156.tif 000042
【図４１】
2005251156.tif 000043
【図４２】
2005251156.tif 000044
【図４３】
2005251156.tif 000045