(57)【要約】【課題】      情報処理装置を第三者が遠隔操作する場合において、情報処理装置のユーザが望まない処理の実行を制限する。【解決手段】  情報処理装置１１を備える複合機１０において、制御部１は、カードリード部３を介してＩＣカード３ａからセキュリティ情報（秘密鍵）を読み取る。外部の制御装置から暗号化された遠隔操作の要求を受信したとき、制御部１は、セキュリティ情報を用いて暗号化された要求の復号を行う。要求を復号し、その内容が正当な者であると判断された場合には、制御部１は制御装置からの遠隔操作を許可する。【選択図】    図２
2007087026.tif 000002
【特許請求の範囲】
【請求項１】
遠隔操作を行う制御装置とデータの送受信を行うための通信手段と、
前記制御装置による遠隔操作を許可するためのセキュリティ情報を取得する取得手段と、
前記通信手段により前記制御装置からの遠隔操作の要求が受信されたときに、当該要求と前記取得手段により取得されたセキュリティ情報とに基づいて遠隔操作を許可または禁止する判断を行う判断手段と、
前記判断手段により前記遠隔操作が許可された場合に、前記通信手段を介して前記制御装置から送信される指示にしたがって処理を実行する実行手段と
を備えることを特徴とする情報処理装置。
【請求項２】
前記取得手段は、前記セキュリティ情報が記憶された記憶媒体を取り外し可能に装着する読取部を有し、
前記読取部に前記記憶媒体が装着されているときに、前記セキュリティ情報を取得する
ことを特徴とする請求項１に記載の情報処理装置。
【請求項３】
前記判断手段は、前記読取部から前記記憶媒体が取り外された場合に、前記制御装置による遠隔操作を禁止する
ことを特徴とする請求項２に記載の情報処理装置。
【請求項４】
前記要求は、公開鍵暗号方式における公開鍵により暗号化されており、
前記セキュリティ情報は、前記公開鍵暗号方式における秘密鍵を含み、
前記判断手段は、前記取得手段により取得されたセキュリティ情報に含まれる秘密鍵を用いて前記要求を復号する復号手段を備え、当該復号手段が前記要求を復号できた場合に、前記制御装置による遠隔操作を許可する
ことを特徴とする請求項１に記載の情報処理装置。
【請求項５】
前記取得手段により取得されたセキュリティ情報を記憶する記憶手段を備える
ことを特徴とする請求項１に記載の情報処理装置。
【請求項６】
前記制御装置からの指示にしたがって前記実行手段により実行される処理の内容を表示する表示手段を備える
ことを特徴とする請求項１に記載の情報処理装置。
【請求項７】
前記判断手段により前記遠隔操作が許可され、前記通信手段を介して所定の処理の実行が指示された場合に、当該処理の実行の許可または禁止のいずれかを情報処理装置のユーザに選択させる選択手段を備え、
前記実行手段は、前記選択手段を介して前記ユーザにより前記処理の実行の禁止が選択された場合に、当該処理を実行しない
ことを特徴とする請求項１に記載の情報処理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、遠隔操作、いわゆるリモートコンソールを安全に行うための技術に関する。
【背景技術】
【０００２】
コンピュータ等の情報処理装置を遠隔地から操作したいという要請がある。このような要請に応えるものとして、インターネット等のネットワークを介して情報処理装置を遠隔操作する技術が知られている。この場合、ネットワークには第三者がアクセスすることもあるため、通信の盗聴等により悪意ある第三者が不正に情報処理装置を操作してしまう危険性がある。それゆえ、この種の技術においては、遠隔操作の安全性を十分に確保する必要がある。例えば、特許文献１には、電子署名を生成できるＩＣカードと通信端末とを用いて外部から制御装置にアクセスし、制御装置が電子署名を検証することで家電機器（情報処理装置）の制御の可否を判断する技術が開示されている。この技術を用いれば、電子署名が不正なアクセスは拒否されるので、正当なユーザだけがパソコンやテレビ等の家電機器を制御することができる。
【０００３】
ところで、情報処理装置を遠隔操作する場合には、情報処理装置を遠隔操作するオペレータと遠隔操作される情報処理装置のユーザとが同一であるとは限らない。例えば、複数の情報処理装置の管理やメンテナンスを遠隔地から統括的に行うような場合、ユーザにとっては、オペレータは見知らぬ第三者であるのが普通である。情報処理装置にはユーザの個人的なデータが記憶されていることもあるし、ユーザの好みや使い勝手に合わせて設定された設定項目が存在することもあるから、このような個人的なデータにアクセスしたり、設定項目を変更したりする処理までをもオペレータに許可したのでは、ユーザにとっては著しく不都合であると言わざるを得ない。また、使用者のプライバシーを保護するという観点からも、使用者が望まない処理にまで操作者の遠隔操作を許容すべきではない。しかしながら、上述した特許文献１に記載の技術を用いたのでは、ユーザはオペレータが行っている処理の内容を知ることができないため、気付かないうちに不測の不利益を被るおそれがあった。
【特許文献１】特開２００３−１２５４６８号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
本発明は上述の事情に鑑みてなされたものであり、その目的は、情報処理装置を第三者が遠隔操作する場合において、情報処理装置のユーザが望まない処理の実行を制限することにある。
【課題を解決するための手段】
【０００５】
上述した目的を達成するために、本発明に係る情報処理装置は、遠隔操作を行う制御装置とデータの送受信を行うための通信手段と、前記制御装置による遠隔操作を許可するためのセキュリティ情報を取得する取得手段と、前記通信手段により前記制御装置からの遠隔操作の要求が受信されたときに、当該要求と前記取得手段により取得されたセキュリティ情報とに基づいて遠隔操作を許可または禁止する判断を行う判断手段と、前記判断手段により前記遠隔操作が許可された場合に、前記通信手段を介して前記制御装置から送信される指示にしたがって処理を実行する実行手段とを備える。
かかる情報処理装置においては、取得手段によりセキュリティ情報が取得されることで遠隔操作の実行の可否が判断される。換言すれば、この情報処理装置においては、ユーザがセキュリティ情報を取得させるための操作（ＩＣカードの挿入やパスワード入力）を行わなければ、遠隔操作の実行は許可されない。つまり、ユーザによる上述の操作が遠隔操作の実行の承認となり得るため、ユーザが望まない処理の実行を制限することが可能となる。
【０００６】
また、本発明に係る情報処理装置において、前記取得手段は、前記セキュリティ情報が記憶された記憶媒体を取り外し可能に装着する読取部を有し、前記読取部に前記記憶媒体が装着されているときに、前記セキュリティ情報を取得する構成であってもよい。取り外し可能な記憶媒体にセキュリティ情報を記憶させた場合、ユーザが遠隔操作の実行を望まないときには、これを取り外しておくことで確実に遠隔操作の実行を阻止することが可能となる。なお、この記憶媒体としては、例えばＩＣカードが用いるのが好適である。しかしながら、もちろん、フラッシュメモリやドングルなど、他の記憶媒体を用いることも可能である。
【０００７】
また、本発明に係る情報処理装置において、前記判断手段は、前記読取部から前記記憶媒体が取り外された場合に、前記制御装置による遠隔操作を禁止する構成であってもよい。このようにすれば、制御装置が遠隔操作による処理を実行中であっても、情報処理装置のユーザがその処理を強制的に中断ないし終了させることが可能となる。
【０００８】
また、本発明に係る情報処理装置において、前記要求は、公開鍵暗号方式における公開鍵により暗号化されており、前記セキュリティ情報は、前記公開鍵暗号方式における秘密鍵を含み、前記判断手段は、前記取得手段により取得されたセキュリティ情報に含まれる秘密鍵を用いて前記要求を復号する復号手段を備え、当該復号手段が前記要求を復号できた場合に、前記制御装置による遠隔操作を許可する構成であってもよい。このようにすれば、制御装置が送信する要求は決められた秘密鍵でしか復号することができないので、通信に係る安全性を向上させることが可能となる。
【０００９】
また、本発明に係る情報処理装置は、前記制御装置からの指示にしたがって前記実行手段により実行される処理の内容を表示する表示手段をさらに備える構成であってもよい。このようにすれば、情報処理装置のユーザは、制御装置が実行している処理の内容を視認することができるので、望まない処理が行われていないかを容易に確認することが可能となる。
【００１０】
また、本発明に係る情報処理装置は、前記判断手段により前記遠隔操作が許可され、前記通信手段を介して所定の処理の実行が指示された場合に、当該処理の実行の許可または禁止のいずれかを情報処理装置のユーザに選択させる選択手段をさらに備え、前記実行手段は、前記選択手段を介して前記ユーザにより前記処理の実行の禁止が選択された場合に、当該処理を実行しない構成であってもよい。このようにすれば、制御装置が遠隔操作による処理を実行中であっても、情報処理装置のユーザがその処理を強制的に終了させることが可能となる。
【発明を実施するための最良の形態】
【００１１】
以下においては、本発明の実施の形態について図面を参照しつつ説明する。ここでは、一の好適な実施形態として、本発明に係る情報処理装置を備えた複合機を例に挙げる。なお、ここにおいて、複合機とはスキャナの機能を備えたプリンタ（画像形成装置）のことである。
【００１２】
［１．実施形態の構成］
図１は、本発明の一実施形態である遠隔操作システム１００の全体構成を示した図である。同図に示すように、遠隔操作システム１００は、複数の複合機１０と、コンピュータ２０と、ネットワーク３０とを備えている。
【００１３】
コンピュータ２０は一般的な周知の構成のコンピュータであり、ネットワーク３０を介して複数の複合機１０を遠隔操作できるように構成されている。このコンピュータ２０は、システムの管理者であるオペレータによって操作される。ネットワーク３０は例えばインターネットであり、複合機１０とコンピュータ２０とに接続されてデータ通信を実現する。なお、本システムが企業内に構築されるような場合であれば、ネットワーク３０はＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）であってもよい。
【００１４】
続いて、図２を参照しながら複合機１０の構成を説明する。複合機１０の構成は、情報処理装置１１と、画像読取装置１２と、画像形成装置１３とに大別される。画像読取装置１２はいわゆるスキャナであり、レンズ等の光学系部材や撮像素子を備える。画像読取装置１２は文書等の原稿を読み取り、読み取った原稿に応じた画像データを生成して情報処理装置１１に出力する。画像形成装置１３は電子写真方式のプリンタであり、感光体ドラム、帯電器、露光器、現像器等の画像形成に必要な構成を備えている。画像形成装置１３は、情報処理装置１１から供給される画像データに基づいた画像をトナーを用いて形成し、シート状の記録材（以下「用紙」という。）に転写して定着させる。
【００１５】
続いて、データ処理装置１１の構成を説明する。データ処理装置１１は、制御部１と、記憶部２と、カードリード部３と、操作部４と、通信部５と、入力部６と、出力部７とを備える。記憶部２はハードディスク等の記憶装置であり、制御部１が演算処理に用いるデータや画像データを記憶する。画像データは後述する親展ボックス機能を用いて記憶される。また、記憶部２が記憶するデータには、オペレータの正当性を判断するためのデータ（ＩＤとパスワードの対）が含まれている。
【００１６】
カードリード部３は、ＩＣカード３ａに記憶された情報を読み取る接触式のＩＣカード読取装置である。カードリード部３はＩＣカード３ａを着脱可能に構成されており、望ましくは、ＩＣカード３ａを把持するホルダを備えている。カードリード部３は、装着されたＩＣカード３ａからセキュリティ情報を読み出し、これを制御部１に供給する。ＩＣカード３ａは内部に半導体集積回路（ＩＣ）を備えたカード状の記憶媒体であり、複合機１０のユーザ毎に付与されている固有のセキュリティ情報を記憶している。
【００１７】
本実施形態において、セキュリティ情報とは、公開鍵暗号方式における秘密鍵のことである。この秘密鍵には対になる公開鍵が存在し、公開鍵はあらかじめ生成されてコンピュータ２０に記憶されている。秘密鍵と公開鍵の対（鍵ペア）はユーザ毎に異なっており、あるユーザの公開鍵を用いて暗号化されたデータはそのユーザの秘密鍵を用いなければ復号できないようになっている。秘密鍵はあらかじめＩＣカード３ａに記憶されており、公開鍵はあらかじめコンピュータ２０の記憶部に記憶されている。なお、公開鍵暗号方式には、ＲＳＡ暗号や楕円曲線暗号といった種々の方式（アルゴリズム）があるが、本実施形態では具体的なアルゴリズムについては特に限定されない。
【００１８】
操作部４はタッチパネルやボタン等を備えており、操作者であるユーザが入力する指示を受け付ける。通信部５は、ネットワーク３０を介して複合機１０をコンピュータ２０に接続するためのインタフェース部である。入力部６は、データ入力装置である画像読取装置１２とのインタフェース部であり、出力部７は、データ出力装置である画像形成装置１３とのインタフェース部である。
【００１９】
制御部１は、ＣＰＵ（Central Processing Unit）やＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）等を備えた演算装置である。制御部１は、ＲＯＭに記憶されたプログラムを実行して各種の演算処理を行い、ユーザあるいはオペレータからの指示に応じて上述した各部の動作を制御する。本実施形態の制御部１は、制御プログラムＣＰと、認証プログラムＡＰとを記憶している。
【００２０】
制御プログラムＣＰは、複合機１０全体の動作を制御するための基本的なプログラムであり、制御部１によって複合機１０の起動時に実行される。認証プログラムＡＰは、コンピュータ２０から送信される遠隔操作の要求の正当性を判断するためのプログラムであり、後述する認証処理を行うときに制御プログラムＣＰから呼び出されて実行される。
【００２１】
［２．実施形態の動作］
以上の構成のもと、複合機１０は原稿を画像読取装置１２で読み取って画像データを生成し、この画像データに基づいた画像を用紙に形成したり、あるいは画像データを親展ボックス機能を用いて記憶する。ここで、親展ボックス機能とは、各ユーザが読み取らせた原稿の画像データをユーザ毎に区別して記憶する機能である。ユーザは、ネットワーク３０を介して自身の画像データを取得することができるが、他のユーザが読み取った画像データを取得することはできないように制限されている。
【００２２】
また、複合機１０は、必要に応じてコンピュータ２０からの遠隔操作を受け付ける。具体的には、複合機１０のユーザでは解決できない不具合が発生した場合や、管理者であるオペレータが複合機１０のメンテナンスを行う場合などに遠隔操作が行われる。遠隔操作を受け付けるときには、ユーザは自身のＩＣカード３ａをカードリード部３にあらかじめ装着しておく。
【００２３】
また、コンピュータ２０のオペレータは、遠隔操作を開始するときにはその要求を示すコマンド（以下「要求」という。）を複合機１０に送信する。この要求は、コンピュータ２０の認証に用いるＩＤとパスワードとを含んでおり、上述した公開鍵を用いて暗号化されている。
【００２４】
コンピュータ２０からの遠隔操作を受け付けるに際して、複合機１０は以下に示す処理を実行する。なお、以下においては、はじめに複合機１０が行う基本的な動作の一例を説明し、その後、この基本的な動作の応用例を説明する。
【００２５】
［２．１．基本動作］
図３は、複合機１０がコンピュータ２０からの遠隔操作を受け付ける場合の処理を示したフローチャートである。同図に沿って説明すると、はじめに複合機１０の制御部１は、コンピュータ２０から遠隔操作を行うための要求を送信されているか否かを通信部５を介して判断する（Ｓ１）。制御部１は、コンピュータ２０からの要求を検知するまでこの処理を繰り返す。
【００２６】
コンピュータ２０から要求が送信されていると判断したら（Ｓ１；ＹＥＳ）、制御部１はこの要求を受信する（Ｓ２）。続いて制御部１は、カードリード部３にＩＣカード３ａが装着されているか否かを判断する（Ｓ３）。カードリード部３にＩＣカード３ａが装着されていない場合には（Ｓ３；ＮＯ）、複合機１０のユーザが遠隔操作を許可していないことを意味しているので、制御部１は通信部５を介して、遠隔操作を許可しない旨の通知をコンピュータ２０に行う（Ｓ９）。
【００２７】
一方、カードリード部３にＩＣカード３ａが装着されている場合には（Ｓ３；ＹＥＳ）、制御部１はＩＣカード３ａからセキュリティ情報を取得する（Ｓ４）。このとき制御部１は、セキュリティ情報をＲＡＭに一時的に記憶してもよい。コンピュータ２０から要求を受信し、ＩＣカード３ａからセキュリティ情報を取得したら、制御部１は認証プログラムＡＰを実行し、これらのデータに基づいて認証処理を行う（Ｓ５）。
【００２８】
認証処理の具体的な内容は次の通りである。すなわち、制御部１は、公開鍵を用いて暗号化された要求を、ＩＣカード３ａから取得した秘密鍵（セキュリティ情報）を用いて復号を試みる。上述したように、遠隔操作の要求が正当なコンピュータ２０から送信されている場合であれば、暗号化された要求は秘密鍵を用いて復号できるようになっている。暗号化された要求を復号したら、制御部１は要求に含まれているＩＤとパスワードとを記憶部２に記憶されたデータと照合し、この要求が正当なオペレータにより暗号化されているかを判断する。制御部１は、要求に含まれているＩＤとパスワードの対が記憶部２に記憶されたＩＤとパスワードの対に一致している場合に遠隔操作を許可し、それ以外の場合には遠隔操作を禁止する。
【００２９】
続いて制御部１は、上述の認証処理の結果に基づいて遠隔操作を許可するか否かを判断する（Ｓ６）。遠隔操作を許可する場合には（Ｓ６；ＹＥＳ）、制御部１は遠隔操作を許可する旨の通知をコンピュータ２０に行い（Ｓ７）、その後、コンピュータ２０から送信される指示にしたがった処理を複合機１０に実行させる（Ｓ８）。一方、遠隔操作を禁止する場合には（Ｓ６；ＮＯ）、制御部１は遠隔操作を許可しない旨の通知をコンピュータ２０に行う（Ｓ９）。
【００３０】
以上の処理を実行することで、本実施形態の複合機１０は、正当な要求のみを許可して遠隔操作を実行させることが可能となる。また、コンピュータ２０からの要求にはＩＤとパスワードを含み、これを公開鍵を用いてさらに暗号化しているので、通信の安全性を十分に保証することができる。また、このとき送信される要求は、正当な秘密鍵がなければ復号できないので、ネットワーク３０を介した通信においてＩＤやパスワードを不正に盗み見られる可能性は極めて少ない。
【００３１】
また、本実施形態の複合機１０が遠隔操作を実行するためには、ユーザが、ＩＣカード３ａを装着する行為によって遠隔操作の実行を明示的に同意する必要がある。換言すれば、ユーザがＩＣカード３ａを取り外しておけば、コンピュータ２０は遠隔操作を行うことができないようになっている。そのため、本実施形態の複合機１０によれば、ユーザが望むときにだけ遠隔操作が実行され、ユーザが望まないときには遠隔操作を禁止することができるので、ユーザの意図せぬ処理が行われることを防ぐことができる。
【００３２】
［２．２．基本動作の応用例］
続いて、上述した基本的な動作を応用した動作例を説明する。上述した例においては、ユーザがいったん遠隔操作を許可すると、コンピュータ２０からはいかなる処理も実行可能であり、その処理の実行に際してユーザが介入できないようになっている。そのため、オペレータが遠隔操作を実行している途中でユーザが望まない処理を実行しようとしていても、ユーザはこれを阻止することができない。
【００３３】
そこで、ここでは、このような場合にユーザが介入できるようにするための処理について、図４のフローチャートを用いて説明する。なお、本処理においても、その主たる動作は上述した基本動作と同様であるため、具体的な動作が同様であるステップの説明は省略する。図４においては、図３と同様の処理を行うステップには図３と同一の符号を付している。すなわち、本処理においては、ステップＳ１〜Ｓ９の動作は基本動作と同様であるということである。
【００３４】
制御部１は、ステップＳ７において遠隔操作を許可する旨の通知を行った後、コンピュータ２０から具体的な処理の指示を受信する。この処理を実行する前に、制御部１は指示された処理の内容を操作部４のタッチパネルに表示する（Ｓ１１）。タッチパネルに表示させる画面の内容は任意であり、指示された処理を文字表示してもよいし、コンピュータ２０に表示されている画面と同様の画面を表示してもよい。また、このとき制御部１は、処理の内容とともにその処理の実行を確認するための画面を表示し、ユーザに選択を促す。このときタッチパネルに表示される画面は、例えば図５のようになっている。
【００３５】
続いて制御部１は、コンピュータ２０から指示された処理の実行の可否をユーザの操作に基づいて判断する（Ｓ１２）。具体的には、図５の例の場合であれば、ユーザが「許可する」と表示されたボタンを選択すれば処理の実行を許可し、ユーザが「許可しない」と表示されたボタンを選択すれば処理の実行を禁止する。制御部１は、指示された処理の実行を許可すると判断した場合には（Ｓ１２；ＹＥＳ）、コンピュータ２０からの指示にしたがった処理を複合機１０に実行させ（Ｓ８）、指示された処理の実行を禁止すると判断した場合には（Ｓ１２；ＮＯ）、遠隔操作を許可しない旨の通知をコンピュータ２０に行う（Ｓ９）。
【００３６】
以上の処理を実行することで、本実施形態の複合機１０は、遠隔操作の実行に同意した場合であっても、実行を望まない特定の処理については実行を禁止することができる。ゆえに、この複合機１０によれば、ユーザの利便性と遠隔操作の安全性とを向上させることが可能となる。加えて、この複合機１０によれば、オペレータが行う処理の内容が操作部４のタッチパネルに明示されるので、ユーザにどんな処理が行われているのかを認識させ
、安心感を与えることが可能となる。
【００３７】
［３．変形例］
なお、本発明は上述した実施形態のみによって実施されるものではなく、上述の実施形態に種々の変形を施して実施することも可能である。そこで、以下では上述した実施形態に適用可能な変形を例示する。
【００３８】
まず、上述の実施形態においては、本発明に係る情報処理装置の一例として複合機１０を挙げたが、情報処理装置は複合機１０に限定されない。例えば、本発明に係る情報処理装置は、複合機１０の構成に加えてファクシミリ装置の構成を備えるものであってもよいし、パーソナルコンピュータであってもよい。
【００３９】
また、上述の実施形態においては、カードリード部３は接触式のＩＣカード読取装置であると説明したが、もちろん非接触式のＩＣカードを読み取るものであってもよい。また、セキュリティ情報を保持する記憶媒体はＩＣカードに限定されず、例えば、フラッシュメモリやドングルであってもよい。このような場合において、カードリード部は記憶媒体の種類に応じた読取装置とすればよい。
【００４０】
また、上述の実施形態においては、コンピュータ２０からの要求が秘密鍵によって暗号化され、これを公開鍵を用いて復号する例を説明したが、要求を暗号化せずに送信することも可能である。この場合において、ＩＣカード３ａに記憶されるセキュリティ情報は、複合機１０のユーザのＩＤやパスワードであってもよい。
【００４１】
また、上述の実施形態においては、取得したセキュリティ情報をＲＡＭに一時的に記憶してもよいと説明したが、より安全性を重視する場合には、セキュリティ情報は内部に記憶させないほうが望ましい。このような場合においては、ＩＣカードがカードリード部から取り外されたときには、その時点で遠隔操作を行えないようにしてもよい。このようにすれば、複合機のユーザが遠隔操作を強制的に中断ないし終了させることが可能となる。
【図面の簡単な説明】
【００４２】
【図１】本発明の一実施形態である遠隔操作システムの全体構成を示した図である。
【図２】同実施形態の複合機を示したブロック図である。
【図３】同複合機がコンピュータからの遠隔操作を受け付ける場合の処理を示したフローチャートである。
【図４】同複合機がコンピュータからの遠隔操作を受け付ける場合の処理を示したフローチャートである。
【図５】同複合機のタッチパネルに表示される画面を例示した図である。
【符号の説明】
【００４３】
１００…遠隔操作システム、１０…複合機、１１…情報処理装置、１…制御部、２…記憶部、３…カードリード部、４…操作部、５…通信部、６…入力部、７…出力部、１２…画像読取装置、１３…画像形成装置、２０…コンピュータ、３０…ネットワーク
【図１】
2007087026.tif 000003
【図２】
2007087026.tif 000004
【図３】
2007087026.tif 000005
【図４】
2007087026.tif 000006
【図５】
2007087026.tif 000007