(57)【要約】【課題】画像形成装置の動作設定情報を管理するシステムであって、画像形成装置がデータを消去処理または退避処理した場合に、画像形成装置を管理する装置においても管理に関するデータを消去処理または退避処理する情報処理システムを提供する。【解決手段】画像形成装置１０１が、構成情報の変更時に、設定値管理サービス３１０に対してコンフィグデータ生成要求を行い、この要求に応じた設定値管理サービス３１０からコンフィグデータを取得する。画像形成装置１０１が、コンフィグデータを含む画像形成装置に関する情報を暗号化して退避する退避処理を実行し、インターネット１０４を介して、設定値管理サービス３１０に対して、設定値管理サービス３１０が保持する画像形成装置１０１の管理に関する情報の退避処理の実行を指示する。【選択図】図１
2013025375.tif 000002
【特許請求の範囲】
【請求項１】
少なくとも画像形成装置の動作を切り替える動作設定情報を管理する管理装置と、
予め設定された管理単位で前記管理装置によって管理される画像形成装置とを備え、
前記画像形成装置は、
前記画像形成装置が備える機器の構成情報の変更があった場合に、前記管理装置に対して、該変更があった構成情報を含む、該画像形成装置に対応する動作設定情報の生成要求を行う要求手段と、
前記動作設定情報の生成要求に応じて該動作設定情報を生成した前記管理装置から前記画像形成装置に対応する動作設定情報を取得する取得手段と、
少なくとも前記動作設定情報を含む、前記画像形成装置に関する情報を暗号化して退避する退避処理、または前記画像形成装置に関する情報を消去する消去処理を実行する第１の退避／消去処理手段とを備え、
前記第１の退避／消去処理手段は、前記画像形成装置に関する情報の退避処理を実行した場合に、ネットワークを介して、前記管理装置が備える第２の退避／消去処理手段に対して、該画像形成装置の管理に関する情報の退避処理の実行を指示し、前記動作設定情報の消去処理を実行した場合に、前記ネットワークを介して、前記管理装置が備える第２の退避／消去処理手段に対して、該画像形成装置の管理に関する情報の消去処理の実行を指示し、
前記管理装置は、
前記画像形成装置から該画像形成装置に対応する動作設定情報の生成要求を受け付ける要求受け付け手段と、
前記動作設定情報の生成要求が含む前記画像形成装置が備える機器の構成情報に基づいて、該画像形成装置に対応する動作設定情報を生成する生成手段と、
前記生成された動作設定情報を前記画像形成装置に対して送信する送信手段と、
少なくとも前記動作設定情報の管理に関する情報を含む、前記画像形成装置の管理に関する情報を暗号化して退避する退避処理、または前記画像形成装置の管理に関する情報を消去する消去処理を実行する第２の退避／消去処理手段とを備え、
前記第２の退避／消去処理手段は、前記画像形成装置の管理に関する情報の退避処理を実行した場合に、ネットワークを介して、前記画像形成装置が備える第１の退避／消去処理手段に対して、該画像形成装置に関する情報の退避処理の実行を指示し、前記画像形成装置の管理に関する情報の消去処理を実行した場合に、ネットワークを介して、前記画像形成装置が備える第１の退避／消去処理手段に対して、該画像形成装置に関する情報の消去処理を指示する
ことを特徴とする情報処理システム。
【請求項２】
前記画像形成装置が備える前記第１の退避／消去処理手段は、さらに、前記画像形成装置に関する情報の消去処理の実行時に、前記画像形成装置に関する情報の退避処理を一旦実行し、該退避処理を実行してから予め決められた期間が経過した後に、該退避処理した情報を消去し、
前記管理装置が備える前記第２の退避／消去処理手段は、さらに、前記画像形成装置の管理に関する情報の消去処理の実行時に、前記画像形成装置の管理に関する情報の退避処理を一旦実行し、該退避処理を実行してから予め決められた期間が経過した後に、該退避処理した情報を消去する
ことを特徴とする請求項１に記載の情報処理システム。
【請求項３】
前記管理装置は、さらに、
前記画像形成装置の契約に関する情報であって、少なくとも契約期限を含む契約情報を管理する契約管理手段と、
前記契約管理手段が管理する画像形成装置の契約情報を暗号化して退避する退避処理、または前記画像形成装置の契約情報を消去する消去処理を実行する第３の退避／消去処理手段と、
前記画像形成装置からの要求に応じて、該画像形成装置の契約情報を該画像形成装置に対して送信する契約送信手段とを備え、
前記第２の退避／消去処理手段は、前記画像形成装置の管理に関する情報の退避処理を実行した場合に、前記第３の退避／消去処理手段に対して、該画像形成装置の契約情報の退避処理の実行を指示し、前記画像形成装置の管理に関する情報の消去処理を実行した場合に、前記第３の退避／消去処理手段に対して、該画像形成装置の契約情報の消去処理の実行を指示し、
前記画像形成装置は、さらに、
前記管理装置に対して、前記画像形成装置の契約情報の送信を要求する契約送信要求手段と、
前記要求に応じた前記管理装置から契約情報を取得し、該契約情報が含む契約期限を参照して、前記画像形成装置の契約期限が切れているかを判断する判断手段と、
前記画像形成装置の契約期限が切れていると判断された場合に、前記第１の退避／消去処理手段に対して、該画像形成装置に関する情報の退避処理の実行、または該画像形成装置に関する情報の消去処理の実行を指示する指示手段とを備える
ことを特徴とする請求項１または請求項２に記載の情報処理システム。
【請求項４】
前記管理装置が備える前記第３の退避／消去処理手段は、さらに、前記画像形成装置の契約情報の消去処理の実行時に、前記画像形成装置の契約情報の退避処理を一旦実行し、該退避処理を実行してから予め決められた期間が経過した後に、該退避処理した契約情報を消去する
ことを特徴とする請求項３に記載の情報処理システム。
【請求項５】
管理装置によって管理される画像形成装置であって、
前記画像形成装置が備える機器の構成情報の変更があった場合に、前記管理装置に対して、該変更があった構成情報を含む、該画像形成装置に対応する動作設定情報の生成要求を行う要求手段と、
前記動作設定情報の生成要求に応じて該動作設定情報を生成した前記管理装置から前記画像形成装置に対応する動作設定情報を取得する取得手段と、
少なくとも前記動作設定情報を含む、前記画像形成装置に関する情報を暗号化して退避する退避処理、または前記画像形成装置に関する情報を消去する消去処理を実行する退避／消去処理手段とを備え、
前記退避／消去処理手段は、前記画像形成装置に関する情報の退避処理を実行した場合に、ネットワークを介して、前記管理装置に対して、該管理装置が保持する前記画像形成装置の管理に関する情報の退避処理の実行を指示し、前記動作設定情報の消去処理を実行した場合に、前記ネットワークを介して、前記管理装置に対して、該管理装置が保持する前記画像形成装置の管理に関する情報の消去処理の実行を指示する
ことを特徴とする画像形成装置。
【請求項６】
画像形成装置を管理する管理装置であって、
前記画像形成装置から該画像形成装置に対応する動作設定情報の生成要求を受け付ける要求受け付け手段と、
前記動作設定情報の生成要求が含む前記画像形成装置が備える機器の構成情報に基づいて、該画像形成装置に対応する動作設定情報を生成する生成手段と、
前記生成された動作設定情報を前記画像形成装置に対して送信する送信手段と、
少なくとも前記動作設定情報の管理に関する情報を含む、前記画像形成装置の管理に関する情報を暗号化して退避する退避処理、または前記画像形成装置の管理に関する情報を消去する消去処理を実行する退避／消去処理手段とを備え、
前記退避／消去処理手段は、前記画像形成装置の管理に関する情報の退避処理を実行した場合に、ネットワークを介して、前記画像形成装置に対して、該画像形成装置が保持する該画像形成装置に関する情報の退避処理の実行を指示し、前記画像形成装置の管理に関する情報の消去処理を実行した場合に、ネットワークを介して、前記画像形成装置に対して、該画像形成装置が保持する該画像形成装置に関する情報の消去処理を指示する
ことを特徴とする管理装置。
【請求項７】
少なくとも画像形成装置の動作を切り替える動作設定情報を管理する管理装置と、予め設定された管理単位で前記管理装置によって管理される画像形成装置とを備える情報処理システムにおける情報処理方法であって、
前記画像形成装置が、前記画像形成装置が備える機器の構成情報の変更があった場合に、前記管理装置に対して、該変更があった構成情報を含む、該画像形成装置に対応する動作設定情報の生成要求を行う工程と、
前記画像形成装置が、前記動作設定情報の生成要求に応じた前記管理装置から前記画像形成装置に対応する動作設定情報を取得する工程と、
前記画像形成装置が、少なくとも前記動作設定情報を含む、前記画像形成装置に関する情報を暗号化して退避する退避処理、または前記画像形成装置に関する情報を消去する消去処理を実行する工程とを有し、
前記退避処理を実行する工程は、前記画像形成装置が、前記画像形成装置に関する情報の退避処理を実行した場合に、ネットワークを介して、前記管理装置に対して、該管理装置が保持する該画像形成装置の管理に関する情報の退避処理の実行を指示する工程を有し、
前記消去処理を実行する工程は、前記画像形成装置が、前記動作設定情報の消去処理を実行した場合に、前記ネットワークを介して、前記管理装置に対して、該管理装置が保持する該画像形成装置の管理に関する情報の消去処理の実行を指示する工程を有する
ことを特徴とする情報処理方法。
【請求項８】
請求項７に記載の情報処理方法をコンピュータに実行させることを特徴とするコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理システム、画像形成装置、管理装置、情報処理方法およびコンピュータプログラムに関する。
【背景技術】
【０００２】
コンフィグデータを記憶手段に記憶する画像形成装置が提案されている。このコンフィグデータは、画像形成装置の動作を切り替える設定情報（動作設定情報）である。コンフィグデータは、各画像形成装置が備える記憶手段に記憶されているので、全ての画像形成装置のコンフィグデータを変更するためには、画像形成装置の台数分だけコンフィグデータの変更設定を行う必要がある。画像形成装置の台数分だけコンフィグデータの変更設定を行う手間を省くために、ある情報処理装置から複数の画像形成装置に対してコンフィグデータの一括設定を行う技術が提案されている。
【０００３】
特許文献１は、初期設定操作が行われた複数の画像形成装置が、サーバからシステム初期設定情報をダウンロードして、初期設定内容に反映する画像形成システムを開示している。この画像形成システムによれば、画像形成装置上の初期設定情報が失われた場合でも、サーバから画像形成装置に対して初期設定情報を再配信することができる。また、特許文献２は、外部装置と画像形成装置とでの連携処理時に異常が発生したことが検知された時に、連携処理のジョブに関するデータを廃棄する連携処理装置を開示している。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００７−１３０８３８号公報
【特許文献２】特願２００５−２４２０２２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１が開示する画像形成システムでは、画像形成装置の再生、廃棄等の事象が起きた場合、画像形成装置内やネットワーク上の外部装置内に、例えば個人データ等を含む可能性のある画像形成装置のデータが確実に消去されずに残ってしまうという課題がある。
【０００６】
例えば、画像形成装置と、画像形成装置の動作設定情報を管理して当該画像形成装置に対して動作設定情報を配信する管理装置とを備えるシステムを想定する。画像形成装置の廃棄時に、ユーザの操作に応じて画像形成装置が当該画像形成装置に関する情報を消去した場合には、管理装置において当該画像形成装置の管理に関する情報が消去されることが望ましい。また、このシステムにおいて、画像形成装置に関するデータ、当該画像形成装置の管理に関するデータを単純に自動的に消去すると、消去すべきでないデータを誤って消去してしまうという課題がある。従って、画像形成装置に生じた事象によっては、事象発生後にデータを直ちに消去するのではなく、データを一旦暗号化して退避する処理（以下、退避処理）を実行することが望ましい場合がある。
【０００７】
本発明は、上記の課題のうち少なくとも一つを解決するためになされたものである。本発明は、画像形成装置の動作設定情報を管理するシステムであって、画像形成装置がデータを消去処理または退避処理した場合に、画像形成装置を管理する装置においても管理に関するデータを消去処理または退避処理する情報処理システムの提供を目的とする。
【課題を解決するための手段】
【０００８】
本実施形態の情報処理システムは、少なくとも画像形成装置の動作を切り替える動作設定情報を管理する管理装置と、予め設定された管理単位で前記管理装置によって管理される画像形成装置とを備える。前記画像形成装置は、前記画像形成装置が備える機器の構成情報の変更があった場合に、前記管理装置に対して、該変更があった構成情報を含む、該画像形成装置に対応する動作設定情報の生成要求を行う要求手段と、前記動作設定情報の生成要求に応じて該動作設定情報を生成した前記管理装置から前記画像形成装置に対応する動作設定情報を取得する取得手段と、少なくとも前記動作設定情報を含む、前記画像形成装置に関する情報を暗号化して退避する退避処理、または前記画像形成装置に関する情報を消去する消去処理を実行する第１の退避／消去処理手段とを備える。前記第１の退避／消去処理手段は、前記画像形成装置に関する情報の退避処理を実行した場合に、ネットワークを介して、前記管理装置が備える第２の退避／消去処理手段に対して、該画像形成装置の管理に関する情報の退避処理の実行を指示し、前記動作設定情報の消去処理を実行した場合に、前記ネットワークを介して、前記管理装置が備える第２の退避／消去処理手段に対して、該画像形成装置の管理に関する情報の消去処理の実行を指示する。前記管理装置は、前記画像形成装置から該画像形成装置に対応する動作設定情報の生成要求を受け付ける要求受け付け手段と、前記動作設定情報の生成要求が含む前記画像形成装置が備える機器の構成情報に基づいて、該画像形成装置に対応する動作設定情報を生成して該画像形成装置に送信する動作設定送信手段と、少なくとも前記動作設定情報の管理に関する情報を含む、前記画像形成装置の管理に関する情報を暗号化して退避する退避処理、または前記画像形成装置の管理に関する情報を消去する消去処理を実行する第２の退避／消去処理手段とを備える。前記第２の退避／消去処理手段は、前記画像形成装置の管理に関する情報の退避処理を実行した場合に、ネットワークを介して、前記画像形成装置が備える第１の退避／消去処理手段に対して、該画像形成装置に関する情報の退避処理の実行を指示し、前記画像形成装置の管理に関する情報の消去処理を実行した場合に、ネットワークを介して、前記画像形成装置が備える第１の退避／消去処理手段に対して、該画像形成装置に関する情報の消去処理を指示する。
【発明の効果】
【０００９】
本発明の情報処理システムにおいては、画像形成装置が、データを消去処理または退避処理した場合に、画像形成装置を管理する装置に対して、管理に関するデータを消去処理または退避処理するように指示する。従って、本発明の情報処理システムによれば、画像形成装置が廃棄等された場合に、画像形成装置が保持する画像形成装置に関するデータと、画像形成装置を管理する装置が保持する当該画像形成装置の管理にするデータを確実に消去または退避することができる。
【図面の簡単な説明】
【００１０】
【図１】本実施形態の全体構成例を示す図である。
【図２】本実施形態の情報処理システムのハードウェア構成の一例である。
【図３】本実施形態の情報処理システムの機能ブロック図の一例である。
【図４】実コンフィグデータの一例を示す図である。
【図５】実機器構成データの一例を示す図である。
【図６】仮想デバイスの一例を示す図である。
【図７】機種別設定値スキーマの一例を示す図である。
【図８】テナント用コンフィグデータの一例を示す図である。
【図９】テナント用コンフィグデータの更新処理を説明する図である。
【図１０】仮想コンフィグデータを取得する処理を説明する図である。
【図１１】データの退避処理に関する情報処理システムの機能ブロック図の一例である。
【図１２】契約データの一例を示す図である。
【図１３】画像形成装置と契約管理サービスとの間で送受信されるリクエストと応答の一例である。
【図１４】画像形成装置と契約管理サービスとの間で送受信されるリクエストと応答の一例である。
【図１５】デバイス内データ暗号化退避処理を説明する図である。
【図１６】管理データ暗号化退避処理を説明するフローチャートの一例である。
【図１７】契約データ暗号化退避処理を説明するフローチャートの一例である。
【図１８】データ暗号化退避処理を説明するフローチャートの一例である。
【図１９】データの消去処理に関する情報処理システムの機能ブロック図の一例である。
【図２０】デバイス内データ消去処理を説明するフローチャートの一例である。
【図２１】設定値データ消去処理を説明するフローチャートの一例である。
【図２２】契約データ消去処理を説明するフローチャートの一例である。
【図２３】データ消去処理を説明するフローチャートの一例である。
【図２４】他の実施形態の情報処理システムの動作処理の一部を説明するフローチャートの一例である。
【発明を実施するための形態】
【００１１】
以下に、本実施形態の情報処理システムについて説明する。まず、本実施形態において用いる用語の定義を行う。コンフィグデータとは、画像形成装置の動作を切り替えるデータ（動作設定情報）である。例えば、コピージョブの面付けのデフォルト値などが該当する。コピージョブの面付けのデフォルト値が「１  ｉｎ  １」に設定されていれば、コピーを行った結果、用紙一枚に１ページが印刷される。コピージョブの面付けのデフォルト値が「２  ｉｎ  １」に設定されていれば、コピーを行った結果、用紙一枚に２ページが印刷される。
【００１２】
機器構成データとは、画像形成装置が備える機器の構成を示すデータである。機器構成データは、例えば、画像形成装置がファクスユニットを装着しているかを示す。機器構成データは、画像形成装置の機種を一意に識別するための機種コード、動作しているファームウェアバージョンなどを含む。
【００１３】
機種別設定値スキーマとは、画像形成装置が特定の機種で保持するコンフィグデータのスキーマを定義するデータである。スキーマとは、コンフィグデータについての規約や位置づけを定義するデータである。機種別設定値スキーマは、例えば、コンフィグデータ各々の設定値識別子、デフォルト値、値域、データが有効になるための条件を含む。本実施形態においては、機種によって保持するコンフィグデータには差分があり、設定値スキーマを機種別に用意する運用であることを前提とする。
【００１４】
仮想デバイスとは、サーバコンピュータ群が保持する実デバイスのデータ群である。具体的には、仮想デバイスは、少なくとも機器構成データ、コンフィグデータを含む。テナントとは、ユーザが画像形成装置の管理を委託する委託者の単位である。テナント識別子とは、テナントを一意に識別するための識別子である。例えば、ある会社が後述する図１に示すユーザ環境１００にある画像形成装置１０１Ａ、１０１Ｂ、１０１Ｃの管理を委託した場合を想定する。その場合、ユーザ環境１００に対応するテナント識別子が１つ割り当てられ、画像形成装置１０１Ａ、１０１Ｂ、１０１Ｃは、そのテナントに属する画像形成装置であると認識され、管理される。
【００１５】
仮想デバイスに含まれるデータと、実デバイスが保持するデータと、テナント専用のデータとを区別するために、以下のように定義する。仮想デバイスに含まれる機器構成データを仮想機器構成データ、コンフィグデータを仮想コンフィグデータと呼ぶ。実デバイスが保持する機器構成データを実機器構成データ、コンフィグデータを実コンフィグデータと呼ぶ。テナント内で共通に利用されるコンフィグデータをテナント用コンフィグデータと呼ぶ。
【００１６】
契約データとは、画像形成装置に対する使用契約期限、デバイスライフサイクル、契約状態等に関するデータ群である。契約データは、画像形成装置各々に対して存在する。具体的には、契約データは、少なくとも、デバイス識別子、テナント識別子、契約期限、デバイスのライフサイクル情報を含む。現在契約中状態にない画像形成装置に対応する契約データが存在していてもよい。
【００１７】
暗号化退避データとは、仮想機器または実機器が暗号化し、適切な退避領域にコピーして退避したデータを示す。データの暗号化には、デバイス識別子、管理者パスワードなどのパラメータが用いられる。データの暗号化、退避は、所定の条件が満たされた場合に、仮想機器、実機器によって実行される。所定の条件は、例えば、契約期間の経過や、予め定められた一定期間にデータアクセスがない等の条件を指す。以下の説明では、暗号化して退避する処理を、退避処理と記述する。退避処理対象のデータは、例えば、仮想機器の仮想機器構成データ、仮想コンフィグデータ、実機器の実機器構成データ、実機器コンフィグデータである。
【００１８】
図１は、本実施形態の全体構成例を示す図である。図１に示すシステムは、ユーザ環境１００、サーバコンピュータ群１０５、サービスマン環境１１０、画像形成装置のベンダ環境１２０を備える。ユーザ環境１００乃至画像形成装置のベンダ環境１２０は、インターネット１０４を介して互いに通信する。インターネット１０４は、公衆回線上のデジタル通信が可能なネットワークである。
【００１９】
ユーザ環境１００は、画像形成装置のユーザが当該画像形成装置の操作を実行する環境である。ユーザ環境１００は、画像形成装置１０１Ａ、１０１Ｂ、１０１Ｃ、端末装置１０２Ａを備える。画像形成装置１０１Ａ、１０１Ｂ、１０１Ｃは、本実施形態の画像形成装置である。ネットワーク１０６は、ユーザ環境１００においてデジタル通信が可能なネットワークである。画像形成装置１０１Ａ乃至１０１Ｃは、ネットワーク１０６を介してインターネット１０４にアクセス可能である。端末装置１０２Ａは、ユーザ環境１００のユーザが操作可能なコンピュータである。端末装置１０２Ａも、ネットワーク１０６を介してインターネット１０４にアクセス可能である。
【００２０】
サーバコンピュータ群１０５は、インターネット１０４を介してサービスを提供するサーバ群である。本実施形態において、サーバコンピュータ群１０５は、少なくとも、画像形成装置に対して提供するコンフィグデータを管理する管理装置として機能する。サーバコンピュータ群１０５は、予め設定された管理単位であるテナントに対応付けて、画像形成装置を管理する。また、サーバコンピュータ群１０５は、画像形成装置の契約に関する契約情報を管理する管理装置としても機能する。
【００２１】
サービスマン環境１１０は、サービスマンが端末装置１０２Ｂを使って画像形成装置の管理を行う環境である。サービスマン環境１１０は、端末装置１０２Ｂを備える。端末装置１０２Ｂは、画像形成装置１０１Ａ、１０１Ｂ、１０１Ｃを管理するサービスマンが操作するコンピュータである。端末装置１０２Ｂは、インターネット１０４にアクセス可能である。
【００２２】
画像形成装置のベンダ環境１２０は、画像形成装置を生産するベンダの管理担当者が、画像形成装置の管理に必要なデータのメンテナンスを行う環境である。画像形成装置のベンダ環境１２０は、端末装置１０２Ｃを備える。端末装置１０２Ｃは、画像形成装置のベンダに所属する管理担当者が操作するコンピュータである。端末装置１０２Ｃは、インターネット１０４にアクセス可能である。なお、以下の説明では、画像形成装置１０１Ａ、１０１Ｂ、１０１Ｃを画像形成装置１０１とも記述する。また、端末装置１０２Ｂ、１０２Ｃを端末装置１０２とも記述する。
【００２３】
図２は、本実施形態の情報処理システムのハードウェア構成の一例を示す図である。サーバコンピュータ群１０５は、サーバコンピュータ２１０Ａとサーバコンピュータ２１０Ｂとを備える。サーバコンピュータ２１０Ｂは、サーバコンピュータ２１０Ａと同様の構成を備える。サーバコンピュータ２１０Ａとサーバコンピュータ２１０Ｂとは、ネットワーク２２０を通じて通信する。
【００２４】
サーバコンピュータ２１０Ａは、内部バス２１６に接続されたＣＰＵ２０１Ｃ乃至ネットワーク通信装置２０７Ｃを備える。また、画像形成装置１０１は、内部バス２１１Ａに接続されたＣＰＵ２０１Ａ乃至２０９を備える。また、端末装置１０２は、内部バス２１１Ｂに接続されたＣＰＵ２０１Ｂ乃至ネットワーク通信装置２０７Ｂを備える。
【００２５】
以下の説明では、ＣＰＵ２０１Ａ、２０１Ｂ、２０１ＣをＣＰＵ２０１とも記述する。また、不揮発性メモリ２０２Ａ、２０２Ｂ、２０２Ｃを不揮発性メモリ２０２とも記述する。また、揮発性メモリ２０３Ａ、２０３Ｂ、２０３Ｃを揮発性メモリ２０３とも記述する。また、補助記憶装置２０４Ａ、２０４Ｂ、２０４Ｃを補助記憶装置２０４とも記述する。また、ディスプレイ２０５Ａ、２０５Ｂをディスプレイ２０５とも記述する。また、入力装置２０６Ａ、２０６Ｂを入力装置２０６とも記述する。また、ネットワーク通信装置２０７Ａ、２０７Ｂをネットワーク通信装置２０７とも記述する。また、内部バス２１１Ａ、２１１Ｂを内部バス２１１とも記述する。
【００２６】
ＣＰＵ（Central Processing Unit）２０１は、プログラムの実行や、様々な処理の制御を行う。不揮発性メモリ２０２は、ＲＯＭ（Read Only Memory）を備える。機器の起動処理において初期段階に必要なプログラムやデータが格納されている。揮発性メモリ２０３は、ＲＡＭ（Random Access Memory）を備える。揮発性メモリ２０３は、プログラム、データの一時的な格納場所として利用される。
【００２７】
補助記憶装置２０４は、ハードディスクやＲＡＭドライブ等の大容量記憶装置である。補助記憶装置２０４は、大容量データの保管、プログラムの実行コードの保持を行う。補助記憶装置２０４は、揮発性メモリ２０３よりも長時間保持する必要があるデータを記憶する。ディスプレイ２０５は、情報の表示処理を行って、情報を利用者に通知する。なお、本実施形態において、利用者とは、ユーザとサービスマンである。
【００２８】
入力装置２０６は、利用者の選択指示を受け付け、内部バス２１１を介してプログラムに伝達する。ネットワーク通信装置２０７は、外部装置とネットワークを介して通信する装置である。ファクスユニット２０８は、画像形成装置１０１が形成した画像データか、または補助記憶装置２０４Ａに記憶された画像データを、ネットワーク１０６を介して外部装置に送信するハードウェアユニットである。ファクスユニット２０８は、オプションであり、画像形成装置１０１がファクスユニット２０８を備えていなくてもよい。プリンタエンジン２０９は、画像形成装置１０１が形成した画像データか、または補助記憶装置１０１に記憶された画像データを紙媒体に印刷する。
【００２９】
図３は、本実施形態の情報処理システムの機能ブロック図の一例である。図３に示す情報処理システムは、画像形成装置１０１と、設定値管理サービス３１０と、契約管理サービス１１０１とを備える。画像形成装置１０１と、設定値管理サービス３１０と、契約管理サービス１１０１とは、インターネット１０４を介して通信する。設定値管理サービス３１０および契約管理サービス１１０１が、本実施形態の管理装置として機能する。また、本実施形態の情報処理方法およびコンピュータプログラムは、図３に示す情報処理システムの機能によって実現される。
【００３０】
画像形成装置１０１は、実コンフィグデータ保持部３０１、実コンフィグデータ更新部３０２、仮想コンフィグデータ受信部３０３、実機器構成データ収集部３０４、テナント識別子保持部３０５、実機器構成データ通知部３０６を備える。また、画像形成装置１０１は、データ消去部３９１、データ暗号化退避部３９２を備える。
【００３１】
実コンフィグデータ保持部３０１は、画像形成装置のコンフィグデータを保持する。具体的には、実コンフィグデータ保持部３０１は、補助記憶装置２０４Ａにコンフィグデータを記憶して管理する。画像形成装置１０１は、実コンフィグデータ保持部３０１が保持する実コンフィグデータに基づいて、動作の振る舞いを切り替える。
【００３２】
実コンフィグデータ更新部３０２は、実コンフィグデータ保持部３０１が保持する実コンフィグデータを更新する。具体的には、実コンフィグデータ更新部３０２は、仮想コンフィグデータ受信部３０３が取得した仮想コンフィグデータで、実コンフィグデータを更新する。
【００３３】
仮想コンフィグデータ受信部３０３は、設定値管理サービス３１０が備える仮想コンフィグデータ取得部３２０に対して、仮想コンフィグデータの取得要求を行う。そして、仮想コンフィグデータ受信部３０３は、仮想コンフィグデータ取得部３２０が取得した仮想コンフィグデータを仮想コンフィグデータ取得部３２０から受信する。仮想コンフィグデータ受信部３０３は、実コンフィグデータ保持部３０１が保持する実コンフィグデータに設定されているアドレスを用いて、仮想コンフィグデータ取得部３２０を呼び出す。
【００３４】
図４は、実コンフィグデータの一例を示す図である。図４（Ａ）は、デバイス識別子が０１０００１である画像形成装置の実コンフィグデータである。図４（Ｂ）は、デバイス識別子が０１０００２である画像形成装置の実コンフィグデータである。図４（Ｃ）は、デバイス識別子が０２０００１である画像形成装置の実コンフィグデータである。デバイス識別子は、画像形成装置を一意に識別する識別情報である。
【００３５】
実コンフィグデータは、設定値識別子と値といったデータ項目を有する。設定値識別子７０２は、コンフィグデータが含む設定値を一意に識別する識別子である。値は、当該設定値を示す。
【００３６】
図４（Ａ）に示す例では、”ｄｅｖｉｃｅ＿ｓｅｔｔｉｎｇｓ．ｃｌｏｕｄ＿ａｄｄｒｅｓｓ”の値（アドレス）として、ｈｔｔｐ：／／ｄｄｄ．ｃｏｍ／ｃｏｎｆｉｇが設定されている。このアドレスは、画像形成装置１０１に対してコンフィグデータを配信する設定値管理サービスとして設定された設定値管理サービスのアドレスである。従って、上述した仮想コンフィグデータ受信部３０３は、このアドレスに対してアクセスする。なお、仮想コンフィグデータは、図４に示す実コンフィグデータと同様のデータ構成を有する。従って、図４に示す実コンフィグデータを、適宜、仮想コンフィグデータとして説明する。
【００３７】
図３に戻って、実機器構成データ収集部３０４は、画像形成装置１０１の機器構成データ（実機器構成データ）を収集する。
【００３８】
図５は、実機器構成データの一例を示す図である。図５（Ａ）、（Ｂ）、（Ｃ）は、それぞれ異なる画像形成装置の実機器構成データである。実機器構成データは、データ種別６０２と値６０３といったデータ項目を有する。データ種別６０２は、実機器構成データが含むデータの種別である。データ種別６０２には、機種を識別するための機種コードや、ファームウェアバージョン、デバイスを識別するためのデバイス識別子等が設定される。値６０３は、当該データの値である。値６０３には、データ種別に対応する値（例えば、デバイス識別子の値や、ファクスユニットの有無等）が設定される。なお、仮想機器構成データは、実機器構成データと同様のデータ構成を有する。従って、図５に示す実機器構成データを、適宜、仮想機器構成データとして説明する。
【００３９】
テナント識別子保持部３０５は、画像形成装置１０１が属するテナントの識別子であるテナント識別子を保持する。テナント識別子は、画像形成装置１０１の初期設置時に設定され、電源が切られても失われることがないように補助記憶装置２０４Ａに記憶される。
【００４０】
実機器構成データ通知部３０６は、実機器構成データ収集部３０４が収集した実機器構成データと、テナント識別子保持部３０５が保持するテナント識別子とを、設定値管理サービス３１０の実機器構成データ受信部３１８に対して通知する。具体的には、実機器構成データ通知部３０６は、実機器構成データとテナント識別子とを含むコンフィグデータ生成要求を実機器構成データ受信部３１８に送信する。コンフィグデータ生成要求は、画像形成装置１０１に対応する仮想コンフィグデータの生成を求める要求（動作設定生成要求）である。
【００４１】
データ消去部３９１は、画像形成装置１０１に関するデータの消去処理を実行する。例えば、データ消去部３９１は、画像形成装置１０１が廃棄等された場合に、ユーザの操作に従って、画像形成装置１０１が保持する実コンフィグデータ、テナント識別子を消去する。データ消去部３９１は、画像形成装置１０１に関するデータの消去処理を実行した後、以下の処理を実行する。データ消去部３９１は、インターネット１０４を介して、設定値管理サービス３１０が備えるデータ消去部３９３に対して、当該画像形成装置１０１の管理に関するデータの消去処理を実行するように指示する（データ消去指示を行う）。
【００４２】
また、データ消去部３９１は、設定値管理サービス３１０のデータ消去部３９３からデータ消去指示を受け、当該データ消去指示に従って、画像形成装置１０１に関するデータの消去処理を実行する。また、データ消去部３９１は、契約管理サービス１１０１のデータ消去部３９５からデータ消去指示を受け、当該データ消去指示に従って、画像形成装置１０１に関するデータの消去処理を実行する。
【００４３】
データ暗号化退避部３９２は、画像形成装置１０１に関するデータの退避処理を実行する。例えば、データ消去部３９１は、画像形成装置１０１が再生等される場合に、ユーザの操作に従って、画像形成装置１０１が保持する実コンフィグデータ、テナント識別子を暗号化して退避する。データ暗号化退避部３９２は、画像形成装置１０１に関するデータの退避処理を実行した後、以下の処理を実行する。データ暗号化退避部３９２は、インターネット１０４を介して、設定値管理サービス３１０が備えるデータ暗号化退避部３９４に対して、当該画像形成装置１０１の管理に関するデータの退避処理を実行するように指示する（データ退避指示を行う）。
【００４４】
また、データ暗号化退避部３９２は、設定値管理サービス３１０のデータ暗号化退避部３９４からデータ退避指示を受け、当該データ退避指示に従って、画像形成装置１０１に関するデータの退避処理を実行する。また、データ消去部３９１は、契約管理サービス１１０１のデータ暗号化退避部３９６からデータ退避指示を受け、当該データ退避指示に従って、画像形成装置１０１に関するデータの退避処理を実行する。
【００４５】
すなわち、データ消去部３９１およびデータ暗号化退避部３９２は、以下の処理を実行する第１の退避／消去処理手段として機能する。当該第１の退避／消去処理手段は、少なくともコンフィグデータを含む、画像形成装置１０１に関するデータを暗号化して退避する退避処理、または画像形成装置１０１に関するデータを消去する消去処理を実行する。
【００４６】
契約管理サービス１１０１は、画像形成装置１０１の契約に関する情報である契約情報（契約データ）を管理する管理装置として機能する。契約管理サービス１１０１は、少なくとも、データ消去部３９５とデータ暗号化退避部３９６とを備える。
【００４７】
データ消去部３９５は、契約管理サービス１１０１が保持する、画像形成装置１０１の契約データの消去処理を実行する。例えば、データ消去部３９５は、設定値管理サービス３１０のデータ消去部３９３からデータ消去指示を受け、当該データ消去指示に従って、画像形成装置１０１の契約データの消去処理を実行する。また、例えば、データ消去部３９５は、画像形成装置１０１が再生等された場合に、画像形成装置１０１の契約データの消去処理を実行する。
【００４８】
データ消去部３９５は、画像形成装置１０１の契約データの消去処理を実行した後、インターネット１０４を介して、以下の処理を実行する。データ消去部３９５は、画像形成装置１０１が備えるデータ消去部３９１に対して、当該画像形成装置１０１に関するデータの消去処理を実行するように指示する（データ消去指示を行う）。
【００４９】
データ暗号化退避部３９６は、画像形成装置１０１の契約データの退避処理を実行する。例えば、データ消去部３９５は、設定値管理サービス３１０のデータ暗号化退避部３９４からデータ退避指示を受け、当該データ退避指示に従って、画像形成装置１０１の契約データの退避処理を実行する。また、例えば、データ暗号化退避部３９６は、画像形成装置１０１が再生等された場合に、当該画像形成装置１０１の契約データの退避処理を実行する。
【００５０】
データ暗号化退避部３９６は、画像形成装置１０１の契約データの退避処理を実行した後、インターネット１０４を介して、以下の処理を実行する。データ暗号化退避部３９６は、画像形成装置１０１が備えるデータ暗号化退避部３９２に対して、当該画像形成装置１０１に関するデータの退避処理を実行するように指示する（データ退避指示を行う）。なお、図３では、契約管理サービス１１０１が備える処理部としてデータ消去部３９５とデータ暗号化退避部３９６を示したが、契約管理サービス１１０１は、さらに、契約情報を管理する所定の処理部（図１１の契約データ保持部１１０５）を備える。
【００５１】
すなわち、データ消去部３９５およびデータ暗号化退避部３９６は、画像形成装置１０１の契約情報を暗号化して退避する退避処理、または画像形成装置の契約情報を消去する消去処理を実行する第３の退避／消去処理手段として機能する。
【００５２】
設定値管理サービス３１０は、画像形成装置のコンフィグデータを管理する管理装置として機能する。設定値管理サービス３１０は、サーバコンピュータ群１０５上で提供される。
【００５３】
設定値管理サービス３１０は、仮想デバイス保持部３１１、機種別設定値スキーマ保持部３１２、機種別設定値スキーマ更新部３１３、テナント用コンフィグデータ保持部３１４、テナント用コンフィグデータ更新部３１５を備える。また、設定値管理サービス３１０は、仮想コンフィグデータ生成部３１６、仮想コンフィグデータ更新部３１７、実機器構成データ受信部３１８、仮想機器構成データ更新部３１９、仮想コンフィグデータ取得部３２０を備える。また、設定値管理サービス３１０は、仮想コンフィグデータ閲覧部３２１、仮想コンフィグデータ更新確認部３２２、データ消去部３９３、データ暗号化退避部３９４を備える。
【００５４】
仮想デバイス保持部３１１は、仮想デバイスを保持する。仮想デバイスは、少なくとも、仮想機器構成データと、仮想コンフィグデータと、仮想デバイスのデバイス識別子と、テナント識別子とを有する。仮想デバイス保持部３１１は、仮想デバイスを補助記憶装置２０４Ｃに記憶して管理する。
【００５５】
図６は、仮想デバイスの一例を示す図である。図６に示す仮想デバイスは、デバイス識別子８０２、テナント識別子８０３、仮想機器構成データ８０４、仮想コンフィグデータ８０５、通知フラグ８０６を有する。デバイス識別子８０２は、仮想デバイスを一意に識別する識別情報である。デバイス識別子８０２は、当該仮想デバイスに対応する画像形成装置１０１を一意に識別する識別情報に相当する。デバイス識別子８０２は、画像形成装置１０１が設定値管理サービス３１０に対して通知する機器構成データに含まれている。
【００５６】
テナント識別子８０３は、仮想デバイスに対応する画像形成装置１０１が属するテナントを一意に識別する識別情報である。仮想機器構成データ８０４は、仮想機器構成データを一意に識別する識別情報である。仮想機器構成データは、仮想デバイスに対応する画像形成装置１０１の機器構成データ（実機器構成データ）に対応する。仮想コンフィグデータ８０５は、仮想コンフィグデータを一意に識別する識別情報である。仮想コンフィグデータは、仮想デバイスに対応する画像形成装置１０１のコンフィグデータ（実コンフィグデータ）に対応する。
【００５７】
通知フラグ８０６は、画像形成装置に対して仮想コンフィグデータ８０５を通知済み、未通知のいずれであるかを示す。通知フラグ８０６に設定された「未」は、画像形成装置に対して仮想コンフィグデータ８０５を未通知であることを示す。通知フラグ８０６に設定された「済」は、画像形成装置に対して仮想コンフィグデータ８０５を通知済みであることを示す。
【００５８】
仮想コンフィグデータの更新が行われると、仮想コンフィグデータ取得部３２０が、当該仮想コンフィグデータを取得して、画像形成装置１０１に対して通知する。従って、仮想コンフィグデータ更新部３１７が、仮想コンフィグデータを更新すると、仮想コンフィグデータ更新部３１７は、当該仮想コンフィグデータに対応する通知フラグ８０６に「未」を設定する。また、仮想コンフィグデータ取得部３２０が、例えば当該仮想コンフィグデータを取得すると、仮想コンフィグデータ取得部３２０は、当該仮想コンフィグデータに対応する通知フラグ８０６に「済」を設定する。
【００５９】
図３に戻って、機種別設定値スキーマ保持部３１２は、機種別設定値スキーマを保持する。画像形成装置の各機種に対応して１つの機種別設定値スキーマが用意される。
【００６０】
図７は、機種別設定値スキーマの一例を示す図である。図７（Ａ）は、機種コードが０ｘ０１の機種に対応する機種別設定値スキーマである。図７（Ｂ）は、機種コードが０ｘ０２の機種に対応する機種別設定値スキーマである。機種別設定値スキーマは、設定値識別子４０２、デフォルト値４０３、値域４０４、条件４０５といったデータ項目を有する。
【００６１】
設定値識別子４０２は、設定項目を一意に識別する識別情報である。例えば、「ｃｏｐｙ＿ｓｅｔｔｉｎｇｓ．ｎｕｐ」は、コピー設定の面付けに関する設定項目を示す。設定値識別子４０２が同じであることは、違う機種であっても設定項目が同じであることを示す。デフォルト値４０３は、当該機種におけるデフォルト設定値である。値域４０４は、当該機種において設定し得る範囲の定義である。例えば、「ｃｏｐｙ＿ｓｅｔｔｉｎｇｓ．ｎｕｐ」の値域４０４を参照すると、当該機種において、コピー設定として「１  ｉｎ  １，２  ｉｎ  １，４  ｉｎ  １」の３種類から選択できることを示す。
【００６２】
条件４０５は、当該機種において設定値を利用するために必要な条件の定義である。「ｆａｘ＿ｓｅｔｔｉｎｇｓ．ｒｅｃｅｉｖｅｄ＿ｐｒｉｎｔ」という設定項目に対応する条件４０５には、「ファクスユニット」が設定されている。従って、この設定項目の設定値は、ファクスユニットの装着が確認できた場合のみ有効となる。
【００６３】
図３に戻って、機種別設定値スキーマ更新部３１３は、機種別設定値スキーマ保持部３１２が保持する機種別設定値スキーマを更新する。例えば、新しい機種を画像形成装置のベンダが発表した場合には、ベンダの管理責任者の指示によって、新しい機種に対応する機種別設定値スキーマが登録される。また、設定項目に変更があった場合に、機種別設定値スキーマ更新部３１３は、機種別設定値スキーマを更新する。
【００６４】
テナント用コンフィグデータ保持部３１４は、テナントが画像形成装置に対して設定したいコンフィグデータを保持する。
【００６５】
図８は、テナント用コンフィグデータの一例を示す図である。テナント用コンフィグデータは、設定値識別子５０２と値５０３といったデータ項目を有する。設定値識別子５０２は、図７に示す機種別設定値スキーマが含む設定値識別子４０２と同様である。値５０３は、テナントが所望する共通設定の値である。「ｃｏｐｙ＿ｓｅｔｔｉｎｇｓ．ｎｕｐ」には、「２  ｉｎ  １」が設定されている。これは、テナントが保持する画像形成装置全てに「２  ｉｎ  １」が設定されることを所望していることを示す。
【００６６】
図３に戻って、テナント用コンフィグデータ更新部３１５は、テナント用コンフィグデータ保持部３１４が保持するテナント用コンフィグデータを更新する。テナントが保持する画像形成装置の管理を行うサービスマンの操作に従って、サービスマン環境１１０にある端末装置１０２Ｂが、テナント用コンフィグデータの更新指示を行う。テナント用コンフィグデータ更新部３１５は、この更新指示に従って、テナント用コンフィグデータを更新する。なお、サービスマンは、端末装置１０２Ｂ内で動作するウェブブラウザに表示される設定画面上で操作する。
【００６７】
仮想コンフィグデータ生成部３１６は、機種別設定値スキーマと、テナント用コンフィグデータと、仮想機器構成データとに基づいて、仮想コンフィグデータを生成する。まず、仮想コンフィグデータ生成部３１６は、仮想デバイス保持部３１１から、図５（Ａ）に示す仮想機器構成データを取得する。
【００６８】
次に、仮想コンフィグデータ生成部３１６は、取得した仮想機器構成データが含む機種コードを参照し、画像形成装置の機種を特定する。図５（Ａ）に示す仮想機器構成データを例にとると、機種コードに対応する値として０ｘ０１が設定されている。従って、仮想コンフィグデータ生成部３１６は、画像形成装置の機種として、機種コードが０ｘ０１の機種を特定する。
【００６９】
次に、仮想コンフィグデータ生成部３１６は、特定した機種コードに対応する機種別設定値スキーマを、機種別設定値スキーマ保持部３１２から取得する。仮想コンフィグデータ生成部３１６は、例えば、機種コードが０ｘ０１に合致する、図７（Ａ）に示す機種別設定値スキーマを取得する。
【００７０】
次に、仮想コンフィグデータ生成部３１６は、取得した機種別設定値スキーマに定義された設定値を、仮想コンフィグデータのベースとする。図７（Ａ）に示す機種別設定値スキーマを例にとると、仮想コンフィグデータ生成部３１６は、「ｃｏｐｙ＿ｓｅｔｔｉｎｇｓ．ｎｕｐ」乃至「ｂｏｘ＿ｓｅｔｔｉｎｇｓ．ｓｅｒｖｅｒ＿ａｄｄｒｅｓｓ」の５つの設定項目に対応する設定値をベースとする。
【００７１】
次に、仮想コンフィグデータ生成部３１６は、テナント用コンフィグデータ保持部３１４から、図８に示すテナント用コンフィグデータを取得する。仮想コンフィグデータ生成部３１６は、テナント用コンフィグデータが含む設定値が、機種別設定値スキーマに定義された値域に収まるかを判断する。
【００７２】
図８に示すテナント用コンフィグデータと図７（Ａ）に示す機種別設定値スキーマとを例にとって説明する。テナント用コンフィグデータが含む「ｃｏｐｙ＿ｓｅｔｔｉｎｇｓ．ｎｕｐ」という設定項目の値（設定値）は「２  ｉｎ  １」である。一方、機種別設定値スキーマに定義された、当該設定項目に対応する値域は、「１  ｉｎ  １，２  ｉｎ
１，４  ｉｎ  １」である。従って、テナント用コンフィグデータが含む設定値が、機種別設定値スキーマに定義された値域に収まっている。
【００７３】
テナント用コンフィグデータが含む「ｄｅｖｉｃｅ＿ｓｅｔｔｉｎｇｓ．ｓｌｅｅｐ＿ｔｉｍｅ」という設定項目の値（設定値）は「１０秒」である。一方、機種別設定値スキーマに定義された、当該設定項目に対応する値域は、「１分、１０分、１時間」である。従って、テナント用コンフィグデータが含む設定値が、機種別設定値スキーマに定義された値域に収まらない。
【００７４】
テナント用コンフィグデータが含む設定値が、機種別設定値スキーマに定義された値域に収まらない場合、仮想コンフィグデータ生成部３１６は、機種別設定値スキーマに定義されたデフォルト値を取得する。この例では、「１０分」というデフォルト値を取得する。仮想コンフィグデータ生成部３１６は、取得したデフォルト値を、仮想コンフィグデータにおける、当該設定項目の設定値として用いる。
【００７５】
テナント用コンフィグデータが含む設定値が、機種別設定値スキーマに定義された値域に収まっている場合、仮想コンフィグデータ生成部３１６は、テナント用コンフィグデータが含む設定値を、仮想コンフィグデータの当該設定項目に対応する設定値とする。
【００７６】
次に、仮想コンフィグデータ生成部３１６は、仮想機器構成データが、機種別設定値スキーマに定義された条件を満たすかを判断する。図７（Ａ）に示す機種別設定値スキーマを参照すると、「ｃｏｐｙ＿ｓｅｔｔｉｎｇｓ．ｎｕｐ」に対応する条件は特にない。従って、図５（Ａ）に示す仮想機器構成データは、「ｃｏｐｙ＿ｓｅｔｔｉｎｇｓ．ｎｕｐ」に対応する条件を満たす。
【００７７】
しかし、「ｆａｘ＿ｓｅｔｔｉｎｇｓ．ｒｅｃｅｉｖｅｄ＿ｐｒｉｎｔ」に対応する条件は「ファクスユニット」であるのに対し、機器構成データが含む「ファクスユニット」の値として「なし」が設定されている。従って、仮想機器構成データは、当該設定項目に対応する条件を満たさない。
【００７８】
仮想機器構成データが機種別設定値スキーマに定義された条件を満たさない場合、仮想コンフィグデータ生成部３１６は、機種別設定値スキーマに定義されたデフォルト値４０３を取得する。この例では、仮想コンフィグデータ生成部３１６は、「ｆａｘ＿ｓｅｔｔｉｎｇｓ．ｒｅｃｅｉｖｅｄ＿ｐｒｉｎｔ」に対応するデフォルト値である「ＯＦＦ」を取得する。仮想コンフィグデータ生成部３１６は、取得したデフォルト値を、仮想コンフィグデータにおける、当該設定項目の設定値として用いる。
【００７９】
図３に戻って、仮想コンフィグデータ更新部３１７は、仮想コンフィグデータ生成部３１６が生成した仮想コンフィグデータで、仮想デバイス保持部３１１が保持する仮想デバイスが有する仮想コンフィグデータを更新する。
【００８０】
具体的には、仮想コンフィグデータ更新部３１７は、仮想デバイス保持部３１１が保持する仮想デバイスの中から、生成した仮想コンフィグデータに対応するデバイス識別子を持つ仮想デバイスを取得する。そして、仮想コンフィグデータ更新部３１７は、取得した仮想デバイスが有する仮想コンフィグデータを、生成した仮想コンフィグデータで更新する。仮想コンフィグデータ更新部３１７は、さらに、仮想デバイスの通知フラグ８０６が「済」である場合、「未」に設定する。通知フラグ８０６が「済」に設定されていることは、画像形成装置に対応する仮想コンフィグデータの変更があり、画像形成装置は新しい仮想コンフィグデータを参照する必要があることを意味する。
【００８１】
実機器構成データ受信部３１８は、画像形成装置１０１が備える実機器構成データ通知部３０６から、機器構成データ（図５）と、テナント識別子とを受信する。仮想機器構成データ更新部３１９は、実機器構成データ受信部３１８が受信した機器構成データで、仮想デバイス保持部３１１が保持する仮想デバイスが有する仮想機器構成データを更新する。具体的には、仮想機器構成データ更新部３１９は、仮想デバイス保持部３１１が保持する仮想デバイスの中から、実機器構成データ受信部３１８が受信した機器構成データに設定されたデバイス識別子を持つ仮想デバイスを取得する。そして、仮想機器構成データ更新部３１９は、取得した仮想デバイスが有する仮想機器構成データを、実機器構成データ受信部３１８が受信した機器構成データで更新する。
【００８２】
仮想コンフィグデータ取得部３２０は、インターネット１０４を介して、画像形成装置１０１が備える仮想コンフィグデータ受信部３０３から仮想コンフィグデータの取得要求を受け取り、仮想デバイス保持部３１１から仮想コンフィグデータを取得する。
【００８３】
仮想コンフィグデータの取得要求は、少なくとも仮想デバイスを特定するデバイス識別子を含んでいる。従って、仮想コンフィグデータ取得部３２０は、仮想コンフィグデータの取得要求が含むデバイス識別子を持つ仮想デバイスを探索する。仮想コンフィグデータ取得部３２０は、探索された仮想デバイスが有する仮想コンフィグデータを取得する。そして、仮想コンフィグデータ取得部３２０は、インターネット１０４を介して、取得した仮想コンフィグデータを要求元すなわち仮想コンフィグデータ受信部３０３に渡す。
【００８４】
仮想コンフィグデータ閲覧部３２１は、インターネット１０４を介して、外部装置からコンフィグデータの閲覧要求を受ける。コンフィグデータの閲覧要求は、ＨＴＴＰプロトコル上の要求である。仮想コンフィグデータ閲覧部３２１は、閲覧要求に対応する仮想コンフィグデータを取得し、取得した仮想コンフィグデータの閲覧用のＨＴＭＬページを生成して要求元に返す。
【００８５】
仮想コンフィグデータ更新確認部３２２は、仮想コンフィグデータが更新されているかを確認する。具体的には、画像形成装置１０１が備える仮想コンフィグデータ受信部３０３が、インターネット１０４を介して、仮想コンフィグデータ更新確認部３２２に対して該画像形成装置１０１のデバイス識別子を送信する。仮想コンフィグデータ更新確認部３２２は、仮想デバイス保持部３１１が保持する仮想デバイスの中から、受信したデバイス識別子に一致する仮想デバイスを探索する。
【００８６】
仮想コンフィグデータ更新確認部３２２は、探索された仮想デバイスの通知フラグ８０６を参照する。通知フラグ８０６が「未」である場合、仮想コンフィグデータ更新確認部３２２は、仮想コンフィグデータの更新があったと判断する。通知フラグ８０６が「済」である場合、仮想コンフィグデータ更新確認部３２２は、仮想コンフィグデータの更新はないと判断する。仮想コンフィグデータ更新確認部３２２は、仮想コンフィグデータが更新されているか否かを仮想コンフィグデータ受信部３０３に返す。そして、仮想コンフィグデータが更新されていることを確認した仮想コンフィグデータ受信部３０３が、設定値管理サービス３１０の仮想コンフィグデータ取得部３２０に対して、コンフィグデータの取得要求を行う。
【００８７】
仮想コンフィグデータ更新確認部３２２が、仮想コンフィグデータ更新部３１７によって仮想コンフィグデータが更新されたことを契機として、仮想コンフィグデータが更新されているかを確認するようにしてもよい。そして、仮想コンフィグデータ更新確認部３２２が仮想コンフィグデータが更新されていることを確認した場合に、仮想コンフィグデータ取得部３２０が、コンフィグデータを取得し、画像形成装置１０１の仮想コンフィグデータに送信するようにしてもよい。
【００８８】
データ消去部３９３は、画像形成装置１０１のデータ消去部３９１からデータ消去指示を受け、この指示に従って、画像形成装置１０１の管理に関するデータの消去処理を実行する。画像形成装置１０１の管理に関するデータは、少なくとも画像形成装置１０１のコンフィグデータの管理に関するデータを含む。データ消去部３９３は、画像形成装置１０１の管理に関するデータの消去処理を実行した後、以下の処理を実行する。データ消去部３９３は、インターネット１０４を介して、契約管理サービス１１０１が備えるデータ消去部３９５に対して、当該画像形成装置１０１の契約データの消去処理を実行するように指示する（データ消去指示を行う）。
【００８９】
データ暗号化退避部３９４は、画像形成装置１０１のデータ暗号化退避部３９２からデータ退避指示を受け、この指示に従って、画像形成装置１０１の管理に関するデータの退避処理を実行する。データ暗号化退避部３９４は、画像形成装置１０１の管理に関するデータの退避処理を実行した後、以下の処理を実行する。データ暗号化退避部３９４は、インターネット１０４を介して、契約管理サービス１１０１が備えるデータ暗号化退避部３９６に対して、当該画像形成装置１０１の契約データの退避処理を実行するように指示する（データ退避指示を行う）。
【００９０】
すなわち、データ消去部３９３およびデータ暗号化退避部３９４は、以下の処理を実行する第２の退避／消去処理手段として機能する。当該第２の退避／消去処理手段は、少なくとも動作設定情報の管理に関するデータを含む、画像形成装置の管理に関するデータを暗号化して退避する退避処理、または画像形成装置の管理に関するデータを消去する消去処理を実行する。
【００９１】
図９は、テナント用コンフィグデータの更新処理を説明するフローチャートの一例である。この例では、管理者ユーザが、端末装置１０２Ａを用いて、テナント用コンフィグデータを更新する。フローチャートの各ステップの処理を実現するプログラムは、不揮発性メモリ２０２Ｃ、揮発性メモリ２０３Ｃ、補助記憶装置２０４Ｃのいずれかの記憶部に記憶され、ＣＰＵ２０１Ｃにより実行される。
【００９２】
まず、テナント用コンフィグデータ更新部３１５が、端末装置１０２Ａから送信された、テナント用コンフィグデータの更新要求を検知する（ステップＳ９０１）。次に、テナント用コンフィグデータ更新部３１５が、テナント用コンフィグデータ保持部３１４に対して、テナント用コンフィグデータの更新要求に対応するテナント用コンフィグデータが登録済みであるか確認する（ステップＳ９０２）。テナント用コンフィグデータの更新要求に対応するテナント用コンフィグデータが登録済みである場合は、ステップＳ９０７に進む。テナント用コンフィグデータの更新要求に対応するテナント用コンフィグデータが登録済みでない場合は、ステップＳ９０４に進む。
【００９３】
ステップＳ９０３において、テナント用コンフィグデータ更新部３１５が、テナントが保持する仮想デバイスを仮想デバイス保持部３１１から取得する。テナント用コンフィグデータ更新部３１５が、取得した仮想デバイスが含む仮想機器構成データを取得する。そして、テナント用コンフィグデータ更新部３１５が、取得した仮想機器構成データが含む機種コードを取得する（ステップＳ９０３）。
【００９４】
次に、テナント用コンフィグデータ更新部３１５が、取得した機種コードに対応する機種別設定値スキーマを機種別設定値スキーマ保持部３１２から取得する（ステップＳ９０４）。続いて、テナント用コンフィグデータ更新部３１５が、ステップＳ９０４において取得した機種別設定値スキーマの少なくとも１つが持つ設定項目をリストアップする（ステップＳ９０５）。そして、テナント用コンフィグデータ更新部３１５が、ステップＳ９０５においてリストアップした設定項目を持つ、空のテナント用コンフィグデータを生成して（ステップＳ９０６）、ステップＳ９０７に進む。
【００９５】
ステップＳ９０７において、テナント用コンフィグデータ更新部３１５が、テナント用コンフィグデータの具体的な更新指示を検知する（ステップＳ９０７）。そして、テナント用コンフィグデータ更新部３１５が、ステップ９０７において検知した更新指示に基づいて、テナント用コンフィグデータを更新する（ステップＳ９０８）。テナント用コンフィグデータ保持部３１４は、更新されたテナント用コンフィグデータを記憶する。
【００９６】
次に、仮想コンフィグデータ生成部３１６が、テナント用コンフィグデータが更新されたことを検知する（ステップＳ９０９）。そして、仮想コンフィグデータ生成部３１６が、仮想デバイス保持部３１１が保持する仮想デバイスから、更新が検知されたテナント用コンフィグデータのテナント識別子に合致する仮想デバイスを探索する。探索された仮想デバイスに対して順次処理を行うため、仮想コンフィグデータ生成部３１６は、１つの仮想デバイスを取得する。
【００９７】
仮想コンフィグデータ生成部３１６は、仮想デバイスを取得できたかを判断する（ステップＳ９１０）。全ての仮想デバイスに対して順次処理が行われ、次の仮想デバイスを取得できない場合には、処理を終了する。仮想コンフィグデータ生成部３１６が、次の仮想デバイスを取得できた場合は、ステップＳ９１１に進む。
【００９８】
ステップＳ９１１において、仮想コンフィグデータ生成部３１６が、処理対象の仮想デバイスから仮想機器構成データを取得する（ステップＳ９１１）。続いて、仮想コンフィグデータ生成部３１６が、ステップＳ９１１において取得された仮想機器構成データから機種コードを取得する。そして、仮想コンフィグデータ生成部３１６が、取得した機種コードに対応する機種別設定値スキーマを機種別設定値スキーマ保持部３１２から取得する（ステップＳ９１２）。
【００９９】
次に、仮想コンフィグデータ生成部３１６が、仮想機器構成データと、機種別設定値スキーマと、テナント用コンフィグデータとに基づいて、仮想コンフィグデータを生成する（ステップＳ９１３）。そして、仮想コンフィグデータ更新部３１７が、生成された仮想コンフィグデータを仮想デバイスに登録して（ステップＳ９１４）、ステップＳ９１０に戻る。ステップＳ９１４の処理によって、更新されたテナント用コンフィグデータが仮想コンフィグデータに反映される。
【０１００】
図１０は、画像形成装置が仮想コンフィグデータを取得する処理を説明するフローチャートの一例である。図１０のステップＳ１００１乃至Ｓ１００７のステップは、画像形成装置において実行される。これらのステップを実行するためのプログラムは、不揮発性メモリ２０２Ａ、揮発性メモリ２０３Ａ、補助記憶装置２０４Ａのいずれかの記憶部に記憶され、ＣＰＵ２０１Ａにより実行される。また、ステップＳ１０５１乃至Ｓ１０５８は、サーバコンピュータ群１０５において実行される。これらのステップを実行するためのプログラムは、不揮発性メモリ２０２Ｃ、揮発性メモリ２０３Ｃ、補助記憶装置２０４Ｃのいずれかの記憶部に記憶され、ＣＰＵ２０１Ｃにより実行される。
【０１０１】
まず、画像形成装置１０１の実機器構成データ通知部３０６が、画像形成装置１０１の電源ＯＮを検知する（ステップＳ１００１）。続いて、実機器構成データ収集部３０４が、機器構成データを収集する（ステップＳ１００２）。
【０１０２】
次に、実機器構成データ通知部３０６が、画像形成装置１０１が備える機器の構成情報の変更があるかを判断する構成変更判断手段として機能する。具体的には、実機器構成データ通知部３０６が、ステップ１００２で収集した実機器構成データに基づいて、設定値管理サービス３１０に対して未通知である実機器構成データの変更があるかを判断する（ステップＳ１００３）。
【０１０３】
未通知である実機器構成データの変更があった場合は、ステップＳ１００５に進む。未通知である実機器構成データの変更がない場合は、ステップＳ１００４に進む。新規デバイス設置時は、ステップＳ１００５に進むことになる。
【０１０４】
ステップ１００４において、仮想コンフィグデータ受信部３０３が、デバイスが最新の仮想コンフィグデータを取得済みか、すなわち、仮想コンフィグデータが更新されているかを判断する（ステップＳ１００４）。具体的には、仮想コンフィグデータ受信部３０３は、インターネット１０４を介して、設定値管理サービス３１０の仮想コンフィグデータ更新確認部３２２に対して、仮想コンフィグデータが更新されているかを確認する。仮想コンフィグデータ受信部３０３は、上記確認結果に基づいて、仮想コンフィグデータが更新されているかを判断する。仮想コンフィグデータが更新されていない場合は、処理を終了する。仮想コンフィグデータが更新されている場合は、ステップＳ１００７に進む。
【０１０５】
ステップ１００５において、実機器構成データ通知部３０６が、実機器構成データとテナント識別子とを含むコンフィグデータ生成要求を設定値管理サービス３１０に通知する（ステップＳ１００５）。すなわち、実機器構成データ通知部３０６は、構成情報の変更があると判断した場合に、該変更があった構成情報と画像形成装置に対応する管理単位に関する情報（テナント識別子）とを含むコンフィグデータ生成要求を送信する要求手段として機能する。通知先のアドレスは、実コンフィグデータ保持部３０１が保持しているアドレスである。
【０１０６】
設定値管理サービス３１０は、ステップ１０５１において、上記通知を検知して処理を行う。設定値管理サービス３１０が実行する処理についての詳細は後述する。
【０１０７】
次に、仮想コンフィグデータ受信部３０３が、仮想コンフィグデータの更新が完了するまで処理の実行を待ち合わせる（ステップＳ１００６）。続いて、仮想コンフィグデータ受信部３０３が、設定値管理サービス３１０から仮想コンフィグデータを受信する。すなわち、仮想コンフィグデータ受信部３０３は、コンフィグデータ生成要求に応じて仮想コンフィグデータを生成（更新）した設定値管理サービス３１０から、画像形成装置１０１に対応する動作設定情報を取得する取得手段として機能する。そして、仮想コンフィグデータ更新部３１７が、受信された仮想コンフィグデータを実コンフィグデータとして更新する（ステップＳ１００７）。実コンフィグデータは、実コンフィグデータ保持部３０１によって記憶される。
【０１０８】
ステップ１０５１において、設定値管理サービス３１０の実機器構成データ受信部３１８が、画像形成装置１０１から実機器構成データとテナント識別子とを含むコンフィグデータ生成要求を受信する要求受け付け手段として機能する（ステップＳ１０５１）。
【０１０９】
次に、仮想機器構成データ更新部３１９が、仮想デバイス保持部３１１が保持する仮想デバイスの中から、Ｓ１０５１で受信したコンフィグデータ生成要求が含む実機器構成データとテナント識別子とに合致する仮想デバイスを検索する（ステップＳ１０５４）。合致する仮想デバイスが検索された場合は、ステップＳ１０５４に進む。合致する仮想デバイスが検索されなかった場合は、ステップ１０５３に進む。新規デバイス設置時など、画像形成装置が初めて設定値管理サービス３１０と通信を行った時には、仮想デバイスを検索できない場合がある。従って、この場合はステップＳ１０５３に進む。
【０１１０】
ステップＳ１０５３において、仮想機器構成データ更新部３１９が、空の仮想デバイスを生成して（ステップＳ１０５３）、ステップＳ１０５４に進む。続いて、仮想機器構成データ更新部３１９が、Ｓ１０５２において検索された仮想デバイスの仮想機器構成データを、ステップＳ１０５１において受信したコンフィグデータ生成要求が含む実機器構成データで更新する（ステップＳ１０５４）。また、仮想機器構成データ更新部３１９は、ステップＳ１０５３において生成された仮想デバイスの仮想機器構成データとして、ステップＳ１０５１において受信したコンフィグデータ生成要求が含む実機器構成データを設定する。これにより、画像形成装置１０１に対応する仮想デバイスが更新される。
【０１１１】
次に、仮想コンフィグデータ生成部３１６が、ステップＳ１０５６において更新された仮想機器構成データから機種コードを取得する。そして、仮想コンフィグデータ生成部３１６が、取得した機種コードに該当する機種別設定値スキーマを機種別設定値スキーマ保持部３１２から取得する（ステップＳ１０５５）。
【０１１２】
次に、仮想コンフィグデータ生成部３１６が、テナント用コンフィグデータを取得する（ステップＳ１０５６）。具体的には、仮想コンフィグデータ生成部３１６は、テナント用コンフィグデータ保持部３１４が保持するテナント用コンフィグデータから、ステップＳ１０５１において受信されたテナント識別子に対応するテナント用コンフィグデータを取得する。
【０１１３】
次に、仮想コンフィグデータ生成部３１６が、仮想機器構成データ、機種別設定値スキーマ、テナント用コンフィグデータに基づいて、仮想コンフィグデータを生成する（ステップＳ１０５７）。ステップ１０５７の処理は、図９のステップＳ９１３の処理と同様である。すなわち、仮想コンフィグデータ生成部３１６は、コンフィグデータ生成要求が含む構成情報（機器構成データ）に基づいて画像形成装置１０１に対応するコンフィグデータを生成する生成手段として機能する。
【０１１４】
次に、仮想コンフィグデータ更新部３１７が、生成された仮想コンフィグデータを、該当する仮想デバイスに登録、更新する（ステップＳ１０５８）。ステップＳ１０５８においては、さらに、仮想コンフィグデータ取得部３２０が、生成された仮想コンフィグデータを画像形成装置１０１の仮想コンフィグデータ受信部３０３に対して送信する送信手段として機能する。
【０１１５】
図１１は、データの退避処理に関する情報処理システムの機能ブロック図の一例である。情報処理システムが退避処理対象とするデータを退避対象データと記述する。画像形成装置１０１に対応する退避対象データは、例えば、ログインユーザ毎に保持するアドレス帳等のユーザデータ、実コンフィグデータ、テナント識別子である。
【０１１６】
設定値管理サービス３１０に対応する退避対象データは、例えば、ログインユーザ毎に保持するアドレス帳等のユーザデータ、仮想コンフィグデータ、テナント用コンフィグデータ、テナント識別子である。契約管理サービス１１０１に対応する退避対象データは、契約データである。契約管理サービス１１０１が備える契約データ保持部１１０５が、契約データを保持する。
【０１１７】
図１２は、契約データの一例を示す図である。契約データは、顧客のデバイス契約時、サービス担当者によりサービスマン環境１１０の端末装置１０２Ａから登録される。
【０１１８】
契約データは、デバイス識別子１５０２、テナント識別子１５０３、契約期限１５０４、デバイス設定値１５０５、デバイスアプリ１５０６、ライフサイクル１５０７、デバイス認証鍵１５０８、外部サービス１５０９、退避データ１５１０を有する。デバイス識別子１５０２は、画像形成装置１０１に対応する仮想デバイスを一意に識別する識別情報である。
【０１１９】
テナント識別子１５０３は、当該仮想デバイスに対応する画像形成装置１０１が属するテナントを一意に識別する識別情報である。契約期限１５０４は、当該画像形成措置１０１に対する契約期限である。本実施形態においては、画像形成装置１０１の契約者は、装置使用時に契約期限を定めた契約を結ぶ。契約期限を経過した画像形成装置１０１に関するデータは、退避対象データとして、契約管理サービス１１０１、画像形成装置１０１、および設定値管理サービス３１０において退避処理される。デバイス設定値は、当該画像形成装置１０１に対応するコンフィグデータである。
【０１２０】
デバイスアプリ１５０６は、当該画像形成装置１０１上で実行されるアプリケーション名を示す文字列である。画像形成装置１０１はライセンスを購入等することを通じて、様々なアプリケーションを実行することができる。実行可能なアプリケーションには一意のアプリケーション名が与えられており、画像形成装置の種類、能力、インストールするライセンスにより、各々の画像形成装置において実行可能なアプリケーション種類は異なる。
【０１２１】
ライフサイクル１５０７は、画像形成装置１０１のライフサイクルを示す文字列データである。「新規稼働中」は、リサイクル等が行われておらず、現在稼働中の状態を表す。また「リサイクル（１）稼働中」は、一度リサイクルが行われ、現在稼働中の状態を表す。「再生中」は、該画像形成装置に現在使用者がおらず、リサイクル中である状態を表す。「再生中」状態の場合、該画像形成装置に関する各種データは全て削除されており、再生終了時にデータが残っていないことを表す。
【０１２２】
契約終了、中断等により、サービスマン環境１１０の端末装置１０２Ａから画像形成装置１０１を再生中ステータスにした場合、契約管理サービス１１０１の契約データ暗号化退避部１１０３は、この画像形成装置１０１に関する契約データを退避処理する。
【０１２３】
また、契約管理サービス１１０１のデータ暗号化退避命令通知部１１０２は、画像形成装置１０１に対して、退避対象データを退避処理するよう指示する。そして、画像形成装置１０１は、退避対象データを退避処理した後、設定値管理サービス３１０に対して、退避対象データを退避処理するよう指示する。デバイス認証鍵１５０８は、契約管理サービス１１０１が画像形成装置１０１の認証に用いる認証鍵である。外部サービス１５０９は、当該画像形成装置１０１上でアプリケーションが動作するために連携が必要な外部サービスである。退避データ１５１０は、退避処理によって退避したデータ（暗号化退避データ）である。
【０１２４】
図１１に戻って、画像形成装置１０１は、ユーザデータ保持部３００、実コンフィグデータ保持部３０１、テナント識別子保持部３０５、暗号化退避データ保持部３２８を備える。また、画像形成装置１０１は、データ暗号化退避命令送信部３０７、デバイス内データ暗号化退避部３０８、データ暗号化退避命令受信部３０９を備える。例えば、退避命令送信部３０７、デバイス内データ暗号化退避部３０８、およびデータ暗号化退避命令受信部３０９が、図３に示すデータ暗号化退避部３９２の機能を有する。
【０１２５】
ユーザデータ保持部３００は、画像形成装置１０１のユーザに対応するユーザデータを保持する。暗号化退避データ保持部３２８は、画像形成装置１０１が実行した退避処理後の暗号化退避データを保持する。暗号化退避データ保持部３２８は、退避処理後のデータを画像形成装置１０１の補助記憶装置２０４Ａの暗号化退避データ格納領域に記憶して管理する。画像形成装置１０１においては、ユーザデータ保持部３００、実コンフィグデータ保持部３０１、テナント識別子保持部３０５が保持するデータを、退避対象データとする。
【０１２６】
デバイス内データ暗号化退避部３０８は、上記退避対象データを暗号化し、暗号化退避データ保持部３２８に渡して記憶させる。デバイス内データ暗号化退避部３０８は、画像形成装置１０１の不揮発性メモリ２０２Ａに格納されているデバイス識別子文字列と補助記憶装置２０４Ａに格納されている管理者パスワード文字列とに基づき、ＳＨＡ２５６方式で２５６ビットのハッシュ値を求める。デバイス内データ暗号化退避部３０８は、求めたハッシュ値を暗号化鍵とする。デバイス内データ暗号化退避部３０８は、この暗号化鍵を用いて、退避対象データを共通鍵暗号ＡＥＳ２５６暗号方式で暗号化し、データを圧縮した上で暗号化退避データ保持部３２８に渡して記憶させる。
【０１２７】
データ暗号化退避命令受信部３０９は、画像形成装置１０１の入力装置２０６Ａから入力されたデータ暗号化退避命令、または設定値管理サービス３１０のデータ暗号化退避命令送信部３２３からのデータ暗号化退避命令を受信する。データ暗号化退避命令は、前述したデータ退避指示に相当する。また、デバイス内データ暗号化退避部３０８は、契約データ確認部３４０からデータ暗号化退避命令を受信する。データ暗号化退避命令受信部３０９は、受信した命令をデバイス内データ暗号化退避部３０８に対して通知する。デバイス内データ暗号化退避部３０８は、通知された命令に従って、上述した退避対象データの退避処理を実行する。
【０１２８】
データ暗号化退避命令送信部３０７は、デバイス内データ暗号化退避部３０８の処理結果を受け、設定値管理サービス３１０のデータ暗号化退避命令受信部３２５に、画像形成装置１０１の管理に関するデータの退避処理を指示するデータ暗号化退避命令を送信する。
【０１２９】
契約データ確認部３４０は、以下の処理を実行する契約送信要求手段として機能する。契約データ確認部３４０は、契約管理サービス１１０１に対して、画像形成装置１０１に対応する契約データの送信を要求する（リクエストを送信する）。契約データ確認部３４０は、当該要求に応じた契約管理サービス１１０１の契約データ通知部１２００から、契約データを受信する。具体的には、契約データ確認部３４０は、ＲＳＳ／ＡＴＯＭアグリゲーター機能を持つ。そして、契約データ確認部３４０は、データ通信に、ＡＴＯＭ１．０  ｐｕｂｌｉｓｈｉｎｇ  ｐｒｏｔｏｃｏｌ，  ｓｙｎｄｉｃａｔｉｏｎ  ｆｏｒｍａｔを用いる。すなわち、画像形成装置１０１と契約管理サービス１１０１とは、ＡＴＯＭ通信を行う。
【０１３０】
図１３および図１４は、画像形成装置と契約管理サービスとの間で送受信されるリクエストと応答の例を示す図である。図１３（Ａ）は、画像形成装置１０１の契約データ確認部３４０のＡＴＯＭアグリゲーター機能が、契約サービス１０１１の契約データ通知部１２００のＡＴＯＭサーバ機能に対して送信するリクエストの例である。このリクエストは、サービス文書を取得するためのＡＴＯＭエンドポイントに対するＧＥＴリクエストである。サービス文書は、ＡＴＯＭプロトコル仕様で定義されている、入手可能なコレクションのリストを表す文書である。
【０１３１】
図１３（Ｂ）は、図１３（Ａ）に示すＧＥＴリクエストに対して、契約サービス１０１１の契約データ通知部１２００のＡＴＯＭサーバ機能が返すＡＴＯＭサービス文書の一例である。サービス文書中のコレクション要素は、アクセス可能なコンテンツを保存できるコンテナを表す。本実施形態では、コレクション要素として、デバイス識別子に対する契約データベースのレコードにあたるＡｔｏｍ  Ｅｎｔｉｔｙ  Ｄｏｃｕｍｅｎｔを受け付けるコレクションがある。
【０１３２】
図１４（Ａ）は、コレクションフィードの取得のためのＧＥＴリクエストの一例である。コレクションフィードは、デバイス識別子に対応する契約データのレコードのコレクションのエントリーをリストする。図１４（Ａ）に示すＧＥＴリクエストは、画像形成装置１０１の契約データ確認部３４０のＡＴＯＭアグリゲーター機能が、図１３（Ｂ）に示すサービス文書で取得したコレクションのＵＲＩに対して発行する。これにより、契約データ確認部３４０が、コレクションフィードを取得する。
【０１３３】
図１４（Ｂ）は、図１４（Ａ）に示すコレクションフィードの取得のためのＧＥＴリクエストに対するＡｔｏｍフィード文書である。このＡｔｏｍフィード文書においては、デバイス識別子に対するエンティティとして、契約データのレコードが列挙されている。画像形成装置１０１の契約データ確認部３４０は、このレコードを参照することによって、画像形成装置１０１の契約状態を判断する。
【０１３４】
契約データ確認部３４０は、上記契約データのレコードが含む契約期限を参照して、画像形成装置１０１の契約期限が切れているかを判断する判断手段として機能する。契約データ確認部３４０が、契約期限が切れていると判断した場合、契約データ確認部３４０は、以下の処理を実行する指示手段として機能する。契約データ確認部３４０は、デバイス内データ暗号化退避命令受信部３０９に対してデータ暗号化退避命令を発行する（画像形成装置に関するデータの退避処理の実行を指示する）。
【０１３５】
図１１に戻って、設定値管理サービス３１０は、ユーザデータ保持部３３５、テナント用コンフィグデータ保持部３１４、仮想デバイス保持部３１１、暗号化退避データ保持部３２６を備える。また、設定値管理サービス３１０は、データ暗号化退避命令送信部３２３、管理データ暗号化退避部３２４、データ暗号化退避命令受信部３２５を備える。例えば、データ暗号化退避命令送信部３２３、管理データ暗号化退避部３２４、およびデータ暗号化退避命令受信部３２５が、図３に示すデータ暗号化退避部３９４の機能を有する。
【０１３６】
ユーザデータ保持部３００は、画像形成装置１０１のユーザに対応するユーザデータを保持する。暗号化退避データ保持部３２６は、設定値管理サービス３１０が実行した退避処理後の暗号化退避データを保持する。暗号化退避データ保持部３２６は、暗号化退避データを、補助記憶装置２０４Ｃの暗号化退避データ格納領域に記憶して管理する。
【０１３７】
設定値管理サービス３１０においては、ユーザデータ保持部３３５、テナント用コンフィグデータ保持部３１４、仮想デバイス保持部３１１が保持するデータを、退避対象データとする。
【０１３８】
管理データ暗号化退避部３２４は、上記退避対象データを暗号化し、暗号化退避データ保持部３２６に渡して記憶させる。
【０１３９】
管理データ暗号化退避部３２４は、不揮発性メモリ２０２Ｃに格納されているデバイス識別子文字列と補助記憶装置２０４Ｃに格納されている管理者パスワード文字列とに基づき、ＳＨＡ２５６方式で２５６ビットのハッシュ値を求める。管理データ暗号化退避部３２４は、求めたハッシュ値を暗号化鍵とする。管理データ暗号化退避部３２４は、この暗号化鍵を用いて、退避対象データを共通鍵暗号ＡＥＳ２５６暗号方式で暗号化し、データを圧縮した上で暗号化退避データ保持部３２６に渡して記憶させる。
【０１４０】
データ暗号化退避命令受信部３２５は、画像形成装置１０１のデータ暗号化退避命令送信部３０７からデータ暗号化退避命令を受信する。そして、データ暗号化退避命令受信部３２５は、受信した命令を管理データ暗号化退避部３２４に対して通知する。管理データ暗号化退避部３２４は、通知された命令に従って、上述した退避対象データの退避処理を実行する。
【０１４１】
データ暗号化退避命令送信部３２３は、管理データ暗号化退避部３２４の処理結果を受け、契約管理サービス１１０１のデータ暗号化退避命令受信部１１０４に、画像形成装置１０１の契約データの退避処理を指示するデータ暗号化退避命令を送信する。
【０１４２】
契約管理サービス１１０１は、契約データ保持部１１０５、暗号化退避データ保持部１１０６、契約データ通知部１２００を備える。また、契約管理サービス１１０１は、データ暗号化退避命令受信部１１０４、契約データ暗号化退避部１１０３、データ暗号化退避命令通知部１１０２を備える。
【０１４３】
例えば、データ暗号化退避命令受信部１１０４、契約データ暗号化退避部１１０３およびデータ暗号化退避命令通知部１１０２が、図３に示すデータ暗号化退避部３９６の機能を有する。契約管理サービス１１０１においては、契約データ保持部１１０５が保持する契約データを、退避対象データとする。
【０１４４】
契約データ保持部１１０５は、契約データを保持する（契約管理手段として機能する）。契約データは、画像形成装置の契約に関するデータであって、少なくとも契約期限を含む契約情報として機能する。
【０１４５】
暗号化退避データ保持部１１０６は、契約管理サービス１１０１が実行した退避処理後の暗号化退避データを保持する。暗号化退避データ保持部１１０６は、暗号化退避データを、補助記憶装置２０４Ｃの暗号化退避データ格納領域に記憶して管理する。
【０１４６】
契約データ暗号化退避部１１０３は、不揮発性メモリ２０２Ｃに格納されているデバイス識別子文字列と補助記憶装置２０４Ｃに格納されている管理者パスワード文字列とに基づき、ＳＨＡ２５６方式で２５６ビットのハッシュ値を求める。契約データ暗号化退避部１１０３は、求めたハッシュ値を暗号化鍵とする。契約データ暗号化退避部１１０３は、この暗号化鍵を用いて、退避対象データを共通鍵暗号ＡＥＳ２５６暗号方式で暗号化し、データを圧縮した上で暗号化退避データ保持部１１０６に渡して記憶させる。
【０１４７】
データ暗号化退避命令受信部１１０４は、設定値管理サービス３１０のデータ暗号化退避命令送信部３２３から送信されたデータ暗号化退避命令、または、サービスマン環境１１０の端末装置１０２Ａから送信されたデータ暗号化退避命令を受信する。そして、データ暗号化退避命令受信部１１０４は、受信した命令を契約データ暗号化退避部１１０３に通知する。契約データ暗号化退避部１１０３は、通知された命令に従って、退避対象データすなわち契約データの退避処理を実行する。
【０１４８】
なお、契約データ暗号化退避部１１０３が、契約データ保持部１１０５から契約データを取得し、契約データに基づいて、契約データの退避処理を実行するかを判断し、契約データの退避処理を実行すると判断した場合に契約データを退避処理してもよい。例えば、画像形成装置１０１に対応する契約データが含むライフサイクルが再生中ステータスになった場合に、契約データ暗号化退避部１１０３が、当該契約データを退避処理する。また、例えば、画像形成装置１０１に対応する契約データが含む契約期限を経過している場合、契約データ暗号化退避部１１０３が、当該契約データを退避処理する。契約データ暗号化退避部１１０３が契約データを退避処理するとともに、契約データが含む外部サービス１５０９（図１２）に設定されている外部サービスに対し、当該退避処理された契約データに対応する画像形成装置へのサービスの停止を要求してもよい。
【０１４９】
契約データ通知部１２００は、画像形成装置１０１の契約データ確認部３４０からの要求を受けて、契約データ保持部１１０５が保持する契約データを取得する。契約データ通知部１２００は、取得した契約データを画像形成装置１０１に応答として返す。契約データ通知部１２００はＲＳＳ／ＡＴＯＭサーバ機能を持ち、データ通信に、ＡＴＯＭ１．０  ｐｕｂｌｉｓｈｉｎｇ  ｐｒｏｔｏｃｏｌ，ｓｙｎｄｉｃａｔｉｏｎ  ｆｏｒｍａｔを用いる。
【０１５０】
図１５は、デバイス内データ暗号化退避処理を説明するフローチャートの一例である。画像形成装置１０１のデバイス内データ暗号化退避部３０８が本処理を実行する。データ暗号化退避命令受信部３０９が、入力装置２０６Ａから入力されたデータ暗号化退避命令、契約管理サービス１１０１のデータ暗号化退避命令通知部１１０２からのデータ暗号化退避命令、または契約データ確認部３４０からのデータ暗号化退避命令を受信する。データ暗号化退避命令受信部３０９は、受信した命令をデバイス内データ暗号化退避部３０８に通知する。そして、デバイス内データ暗号化退避部３０８が、データ暗号化退避命令受信部３０９から渡された命令に従って、退避対象データの退避処理を実行する。
【０１５１】
まず、デバイス内データ暗号化退避部３０８が、退避対象データの退避処理（データ暗号化退避処理）を実行する（ステップ１７０１）。デバイス内データ暗号化退避部３０８が、データが暗号化退避済みであるかを判断する（ステップＳ１７０２）。データが暗号化退避済みである場合は、処理を終了する。データが暗号化退避済みでない場合は、デバイス内データ暗号化退避部３０８が、データの退避処理が成功したかを判断する（ステップＳ１７０３）。
【０１５２】
データの退避処理が成功した場合、データ暗号化退避命令送信部３０７が、インターネット１０４を介して、設定値管理サービス３１０のデータ暗号化退避命令受信部３２５に対して、データ暗号化退避命令を通知する（ステップＳ１７０４）。データの退避処理が失敗した場合、画像形成装置１０１が備える所定の処理部が、失敗メッセージを表示する（ステップＳ１７０６）。失敗メッセージは、データの退避に関する処理が失敗したことを示す。ステップＳ１７０５においては、画像形成装置１０１が備える所定の処理部が、さらに、処理の失敗をログに記録する。
【０１５３】
次に、データ暗号化退避命令送信部３０７が、データ暗号化退避命令の通知に成功したかを判断する（ステップＳ１７０５）。データ暗号化退避命令の通知に成功した場合は、処理を終了する。データ暗号化退避命令の通知に失敗した場合は、ステップＳ１７０６に進む。
【０１５４】
図１６は、管理データ暗号化退避処理を説明するフローチャートの一例である。設定値管理サービス３１０の管理データ暗号化退避部３２４が本処理を実行する。データ暗号化退避命令受信部３２５が、サービスマン環境１１０の端末装置１０２Ａ、または画像形成装置１０１のデータ暗号化退避命令送信部３０７からデータ暗号化退避命令を受信する。データ暗号化退避命令受信部３２５が、受信した命令を管理データ暗号化退避部３２４に通知する。そして、管理データ暗号化退避部３２４は、通知された命令に従って、退避対象データの退避処理を実行する。
【０１５５】
ステップＳ１８０１乃至Ｓ１８０３は、図１５のステップＳ１７０１乃至Ｓ１７０３と同様である。また、ステップＳ１８０５、Ｓ１８０６は、図１５のステップＳ１７０５、Ｓ１７０６と同様である。ステップＳ１８０４において、データ暗号化退避命令送信部３２３が、契約サービス１１０１のデータ暗号化退避命令受信部１１０４に対して、画像形成装置１０１の契約データの退避処理を指示するデータ暗号化退避命令を通知する。
【０１５６】
図１７は、契約データ暗号化退避処理を説明するフローチャートの一例である。契約管理サービス１１０１の契約データ暗号化退避部１１０３が本処理を実行する。データ暗号化退避命令受信部１１０４が、サービスマン環境１１０の端末装置１０２Ａ、または設定値管理サービス３１０のデータ暗号化退避命令送信部３２３から、データ暗号化退避命令を受信する。
【０１５７】
データ暗号化退避命令受信部１１０４は、受信した命令を契約データ暗号化退避部１１０３に通知する。そして、契約データ暗号化退避部１１０３が、通知された命令に従って、退避対象データの退避処理を実行する。
【０１５８】
ステップＳ１９０１乃至Ｓ１９０３は、図１５のステップＳ１７０１乃至Ｓ１７０３と同様である。また、ステップＳ１９０５、Ｓ１９０６は、図１５のステップＳ１７０５、Ｓ１７０６と同様である。ステップＳ１９０４において、データ暗号化退避命令通知部１１０２が、画像形成装置１０１のデータ暗号化退避命令受信部３０９に対して、データ暗号化退避命令を通知する。
【０１５９】
図１８は、データ暗号化退避処理を説明するフローチャートの一例である。図１８では、画像形成装置１０１が実行するデータ暗号化退避処理（図１５のＳ１７０１）を例にとって説明する。設定値管理サービス３１０が実行するデータ暗号化退避処理（図１６のＳ１８０１）、契約管理サービス１１０１が実行するデータ暗号化退避処理（図１７のＳ１９０１）は、図１８を参照して説明するデータ暗号化退避処理と同様である。
【０１６０】
まず、画像形成装置１０１のデバイス内データ暗号化退避部３０８が、データ暗号化退避命令受信部３０９からデータ暗号化退避命令の通知を受け、退避対象データの退避処理を開始する（ステップ２００１）。続いて、デバイス内データ暗号化退避処理３０８が、暗号化退避データ保持部３２８を参照して、データが暗号化退避済みであるかを判断する（ステップＳ２００２）。データが暗号化退避済みである場合は、ステップＳ２００３に進む。そして、デバイス内データ暗号化退避部３０８が、データ暗号化退避命令の送信元に対してデータが暗号化退避済みであることを示す情報を返信して（ステップＳ２００３）、処理を終了する。
【０１６１】
データが暗号化退避済みでない場合は、ステップＳ２００４に進む。そして、デバイス内データ暗号化退避部３０８が、退避領域に空きがあるかを判断する（ステップＳ２００４）。退避領域に空きがある場合は、ステップＳ２００５に進む。退避領域に空きがない場合は、既存のデータの上書きが許されるかを判断する（ステップＳ２０１０）。既存のデータの上書きが許される場合は、ステップＳ２００５に進む。
【０１６２】
既存のデータの上書きが禁止される場合は、ステップＳ２０１３に進む。そして、デバイス内データ暗号化退避部３０８が、退避領域上書き禁止メッセージを作成する（ステップＳ２０１３）。退避領域上書き禁止メッセージは、退避領域に空きがなく、かつ、既存のデータの上書きが禁止されていることを示すメッセージである。続いて、デバイス内データ暗号化退避部３０８が、データの退避処理が失敗したことを示す退避処理失敗メッセージをデータ暗号化退避命令の送信元に返信して（ステップ２０１４）、処理を終了する。この退避処理失敗メッセージは、ステップＳ２０１３において作成された退避領域上書き禁止メッセージを含む。
【０１６３】
ステップＳ２００５において、デバイス内データ暗号化退避部３０８が、退避対象データを暗号化する（ステップＳ２００５）。そして、デバイス内データ暗号化退避部３０８が、退避対象データの暗号化に成功したかを判断する（ステップＳ２００６）。退避対象データの暗号化に成功した場合は、ステップＳ２００７に進む。退避対象データの暗号化に失敗した場合は、ステップＳ２０１１に進む。
【０１６４】
ステップＳ２０１１において、デバイス内データ暗号化退避部３０８が、データ暗号化失敗メッセージを作成する（ステップＳ２０１１）。データ暗号化失敗メッセージは、退避対象データの暗号化に失敗したことを示すメッセージである。そして、ステップＳ２０１４に進んで、デバイス内データ暗号化退避部３０８が、データ暗号化失敗メッセージを含む退避処理失敗メッセージを、データ暗号化退避命令の送信元に返信する。
【０１６５】
ステップＳ２００７において、デバイス内データ暗号化退避部３０８が、ステップＳ２００６において暗号化されたデータを退避領域に退避する（ステップＳ２００７）。続いて、デバイス内データ暗号化退避部３０８が、暗号化されたデータの退避に成功したかを判断する（ステップＳ２００８）。暗号化されたデータの退避に失敗した場合は、ステップＳ２０１２に進む。デバイス内データ暗号化退避部３０８が、退避失敗メッセージを作成する（ステップＳ２０１２）。そして、ステップＳ２０１４に進んで、デバイス内データ暗号化退避部３０８が、退避処理失敗メッセージをデータ暗号化退避命令の送信元に返信する。
【０１６６】
暗号化されたデータの退避に成功した場合は、ステップＳ２００９に進む。そして、デバイス内データ暗号化退避部３０８が、退避処理成功メッセージを、データ暗号化退避命令の送信元に返信して（ステップＳ２００９）、処理を終了する。退避処理成功メッセージは、データの退避処理が成功したことを示す。
【０１６７】
図１９は、データの消去処理に関する情報処理システムの機能ブロック図の一例である。情報処理システムが消去処理対象とするデータを消去対象データと記述する。画像形成装置１０１に対応する消去対象データは、例えば、ログインユーザ毎に保持するアドレス帳等のユーザデータ、実コンフィグデータ、テナント識別子である。設定値管理サービス３１０に対応する消去対象データは、例えば、ログインユーザ毎に保持するアドレス帳等のユーザデータ、仮想コンフィグデータ、テナント用コンフィグデータ、テナント識別子である。契約管理サービス１１０１に対応する消去対象データは、契約データである。
【０１６８】
画像形成装置１０１が備えるユーザデータ保持部３００、実コンフィグデータ保持部３０１、テナント識別子保持部３０５は、図１１に示すユーザデータ保持部３００、実コンフィグデータ保持部３０１、テナント識別子保持部３０５と同様である。また、画像形成装置１０１は、データ消去命令受信部３３１、デバイス内データ消去部３３０、データ消去命令送信部３２９、契約データ確認部３４０を備える。データ消去命令受信部３３１、デバイス内データ消去部３３０およびデータ消去命令送信部３２９が、図３に示すデータ消去部３９１の機能を有する。画像形成装置１０１においては、ユーザデータ保持部３００、実コンフィグデータ保持部３０１、テナント識別子保持部３０５が保持するデータを消去対象データとする。
【０１６９】
デバイス内データ消去部３３０は、消去対象データを消去する。データ消去命令受信部３３１は、画像形成装置１０１の入力装置２０６Ａから入力されたデータ消去命令、または設定値管理サービス３１０のデータ消去命令通知部１１０６からのデータ消去命令を受信する。また、データ消去命令受信部３３１は、契約データ確認部３４０からデータ消去命令を受信する。データ消去命令は、前述したデータ消去指示に相当する。データ消去命令受信部３３１は、受信した命令をデバイス内データ消去部３３０に対して通知する。デバイス内データ消去部３３０は、通知された命令に従って、消去対象データの消去処理を実行する。
【０１７０】
データ消去命令送信部３２９は、デバイス内データ消去部３３０の処理結果を受け、設定値管理サービス３１０のデータ消去命令受信部３３４に対して、画像形成装置１０１の管理に関するデータの消去を指示するデータ消去命令を送信する。
【０１７１】
契約データ確認部３４０は、契約管理サービス１１０１に対して、画像形成装置１０１に対応する契約データの送信を要求する（リクエストを送信する）。契約データ確認部３４０は、当該要求に応じた契約管理サービス１１０１の契約データ通知部１２００から、契約データを受信する。契約データ確認部３４０は、受信した契約データを参照することによって、画像形成装置１０１の契約状態を判断する。具体的には、契約データ確認部３４０は、契約データのレコードが含む契約期限を参照し、画像形成装置１０１の契約期限が切れているかを判断する。契約データ確認部３４０が、契約期限が切れていると判断した場合、契約データ確認部３４０は、データ消去命令受信部３３１に対してデータ消去命令を発行する（画像形成装置に関するデータの消去処理の実行を指示する）。
【０１７２】
なお、契約データ確認部３４０が、データ消去命令を発行するか、または図１１を参照して説明したようにデータ暗号化退避命令を発行するかは、予め決められているか、あるいはユーザの操作入力に従って決められるものとする。
【０１７３】
設定値管理サービス３１０が備えるユーザデータ保持部３３５、テナント用コンフィグデータ保持部３１４、仮想デバイス保持部３１１は、図１１のユーザデータ保持部３３５、テナント用コンフィグデータ保持部３１４、仮想デバイス保持部３１１と同様である。
【０１７４】
設定値管理サービス３１０は、データ消去命令送信部３３２、管理データ消去部３３３、データ消去命令受信部３３４を備える。データ消去命令送信部３３２、管理データ消去部３３３およびデータ消去命令受信部３３４が、図３に示すデータ消去部３９３の機能を有する。
【０１７５】
設定値管理サービス３１０においては、ユーザデータ保持部３３５、テナント用コンフィグデータ保持部３１４、仮想デバイス保持部３１１が保持するデータを、消去対象データとする。
【０１７６】
管理データ消去部３３３は、退避対象データを消去する。データ消去命令受信部３３４は、画像形成装置１０１のデータ消去命令送信部３２９からデータ消去命令を受信する。そして、データ消去命令受信部３３４は、受信した命令を管理データ消去部３３３に対して通知する。管理データ消去部３３３は、通知された命令に従って、消去対象データの消去処理を実行する。データ消去命令送信部３３２は、管理データ消去部３３３の処理結果を受け、契約管理サービス１１０１のデータ消去命令受信部１１０８に、画像形成装置１０１の契約データの消去を指示するデータ消去命令を送信する。
【０１７７】
契約管理サービス１１０１が備える契約データ保持部１１０５、契約データ通知部１２００は、図１１に示す契約データ保持部１１０５、契約データ通知部１２００と同様である。また、契約管理サービス１１０１は、データ消去命令通知部１１０６、契約データ消去部１１０７、データ消去命令受信部１１０８を備える。
【０１７８】
データ消去命令通知部１１０６、契約データ消去部１１０７およびデータ消去命令受信部１１０８が、図３に示すデータ消去部３９５の機能を有する。契約管理サービス１１０１においては、契約データ保持部１１０５が保持する契約データを消去対象データとする。
【０１７９】
契約データ消去部１１０７は、契約データ保持部１１０５が保持する契約データを消去する。データ消去命令受信部１１０８は、設定値管理サービス３１０のデータ消去命令送信部３３２から送信されたデータ消去命令、または、サービスマン環境１１０の端末装置１０２Ａから送信されたデータ消去命令を受信する。そして、データ消去命令受信部１１０８は、受信した命令を契約データ消去部１１０７に通知する。契約データ消去部１１０７は、通知された命令に従って、消去対象データすなわち契約データの消去処理を実行する。
【０１８０】
契約データ消去部１１０７が、契約データ保持部１１０５から契約データを取得し、契約データに基づいて、契約データの消去処理を実行するかを判断し、契約データの消去処理を実行すると判断した場合に契約データを消去処理してもよい。
【０１８１】
例えば、画像形成装置１０１に対応する契約データが含むライフサイクルが再生中ステータスになった場合に、契約データ消去部１１０７が、当該契約データを消去処理する。また、例えば、画像形成装置１０１に対応する契約データが含む契約期限を経過している場合、契約データ消去部１１０７が、当該契約データを消去処理する。契約データ消去部１１０７が、ライフサイクルに基づいて契約データを消去処理するか、または図１１を参照して説明したように契約データを退避処理するかは、予め決められているか、あるいはユーザの操作入力に従って決められるものとする。契約データ消去部１１０７が契約データを消去処理するとともに、契約データが含む外部サービス１５０９（図１２）に設定されている外部サービスに対し、当該消去処理された契約データに対応する画像形成装置へのサービスの停止を要求してもよい。
【０１８２】
契約データ通知部１２００は、画像形成装置１０１の契約データ確認部３４０からの要求を受けて、契約データ保持部１１０５が保持する契約データを取得する。契約データ通知部１２００は、取得した契約データを画像形成装置１０１に応答として返す。
【０１８３】
図２０は、デバイス内データ消去処理を説明するフローチャートの一例である。画像形成装置１０１のデバイス内データ消去部３３０が本処理を実行する。データ消去命令受信部３３１が、画像形成装置１０１の入力装置２０６Ａから入力されたデータ消去命令、契約管理サービス１１０１のデータ消去命令通知部１１０６からのデータ消去命令、または契約データ確認部３４０からのデータ消去命令を受信する。データ消去命令受信部３３１は、受信した命令をデバイス内データ消去部３３０に通知する。そして、デバイス内データ消去部３３０が、データ消去命令受信部３３９から渡された命令に従って、消去対象データの消去処理を実行する。
【０１８４】
まず、デバイス内データ消去部３３０が、データ消去処理を実行する（ステップ２１０１）。デバイス内データ消去部３３０が、データが消去済みであるかを判断する（ステップＳ２１０２）。データが消去済みである場合は、処理を終了する。データが消去済みでない場合は、デバイス内データ消去部３３０が、データの消去処理が成功したかを判断する（ステップＳ２１０３）。
【０１８５】
データの消去処理が成功した場合、データ消去命令送信部３２９が、インターネット１０４を介して、設定値管理サービス３１０のデータ消去命令受信部３３４に対して、データ消去命令を通知する（ステップＳ２１０４）。データの消去処理が失敗した場合、画像形成装置１０１が備える所定の処理部が、失敗メッセージを表示する（ステップＳ２１０６）。失敗メッセージは、データの消去に関する処理が失敗したことを示す。ステップＳ２１０６においては、画像形成装置１０１が備える所定の処理部が、さらに、処理の失敗をログに記録する。
【０１８６】
次に、データ消去命令送信部３２９が、データ消去命令の通知に成功したかを判断する（ステップＳ２１０５）。データ消去命令の通知に成功した場合は、処理を終了する。データ消去命令の通知に失敗した場合は、ステップＳ２１０６に進む。
【０１８７】
図２１は、管理データ消去処理を説明するフローチャートの一例である。設定値管理サービス３１０の管理データ消去部３３３が本処理を実行する。データ消去命令受信部３３４が、サービスマン環境１１０の端末装置１０２Ａ、または画像形成装置１０１のデータ消去命令送信部３２９からデータ消去命令を受信する。データ消去命令受信部３３４が、受信した命令を管理データ消去部３３３に通知する。そして、管理データ消去部３３３は、通知された命令に従って、消去対象データの消去処理を実行する。
【０１８８】
ステップＳ２２０１乃至Ｓ２２０３は、図２０のステップＳ２１０１乃至Ｓ２１０３と同様である。また、ステップＳ２２０５、Ｓ２２０６は、図２０のステップＳ２１０５、Ｓ２１０６と同様である。ステップＳ２２０４において、データ消去命令送信部３３２が、契約サービス１１０１のデータ消去命令受信部１１０８に対して、画像形成装置１０１の契約データの消去を指示するデータ消去命令を通知する。
【０１８９】
図２２は、契約データ消去処理を説明するフローチャートの一例である。契約管理サービス１１０１の契約データ消去部１１０７が本処理を実行する。データ消去命令受信部１１０８が、サービスマン環境１１０の端末装置１０２Ａまたは設定値管理サービス３１０のデータ消去命令送信部３３２から、データ消去命令を受信する。
【０１９０】
データ消去命令受信部１１０８は、受信した命令を契約データ消去部１１０７に通知する。そして、契約データ消去部１１０７が、通知された命令に従って、消去対象データの消去処理を実行する。
【０１９１】
ステップＳ２３０１乃至Ｓ２３０３は、図２０のステップＳ２１０１乃至Ｓ２１０３と同様である。また、ステップＳ２３０５、Ｓ２３０６は、図２０のステップＳ２１０５、Ｓ２１０６と同様である。ステップＳ２３０４において、データ消去命令通知部１１０６が、画像形成装置１０１のデータ消去命令受信部３３１に対して、データ消去命令を通知する。
【０１９２】
図２３は、データ消去処理を説明するフローチャートの一例である。図２３では、画像形成装置１０１が実行するデータ消去処理（図２０のＳ２１０１）を例にとって説明する。設定値管理サービス３１０が実行するデータ消去処理（図２１のＳ２２０１）、契約管理サービス１１０１が実行するデータ消去処理（図２２のＳ２３０１）は、図２３を参照して説明するデータ消去処理と同様である。
【０１９３】
まず、画像形成装置１０１のデバイス内データ消去部３３０が、データ消去命令受信部３３１からデータ消去命令の通知を受け、消去対象データの消去処理を開始する（ステップ２４０１）。続いて、デバイス内データ消去部３３０が、データが消去済みであるかを判断する（ステップＳ２４０２）。データが消去済みである場合は、ステップＳ２４０３に進む。そして、デバイス内データ消去部３３０が、データ消去命令の送信元に対してデータが消去済みであることを示す情報を返信して（ステップＳ２４０３）、処理を終了する。
【０１９４】
データが消去済みでない場合は、ステップＳ２４０４に進む。そして、デバイス内データ消去部３３０が、データの消去が可能であるかを判断する（ステップＳ２４０４）。データの消去が可能である場合は、ステップＳ２４０５に進む。データの消去が可能でない場合は、ステップＳ２４１２に進む。そして、デバイス内データ消去部３３０が、消去失敗メッセージをデータ消去命令の送信元に返信して（ステップＳ２４１２）、処理を終了する。消去失敗メッセージは、データの消去処理に失敗したことを示すメッセージである。
【０１９５】
ステップＳ２４０５において、デバイス内データ消去部３３０が、消去対象データを消去する。そして、デバイス内データ消去部３３０が、消去対象データの消去に成功したかを判断する（ステップＳ２４０６）。消去対象データの消去に成功した場合は、ステップＳ２４０９に進み、デバイス内データ消去部３３０が、データ消去成功メッセージを、データ消去命令の送信元に返信して、処理を終了する。データ消去成功メッセージは、データの消去処理に成功したことを示すメッセージである。消去対象データの消去に失敗した場合は、ステップＳ２４１０に進む。ステップＳ２４１０において、デバイス内データ消去部３３０が、消去失敗メッセージを作成して、ステップＳ２４１２に進む。
【０１９６】
本実施形態の情報処理システムにおいては、画像形成装置が、データを消去処理または退避処理した場合に、画像形成装置を管理する装置に対して、管理に関するデータを消去処理または退避処理するように指示する。従って、本実施形態の情報処理システムによれば、画像形成装置が廃棄等された場合に、画像形成装置が保持する画像形成装置に関するデータと、画像形成装置を管理する装置が保持する当該画像形成装置の管理にするデータを確実に消去または退避することができる。
【０１９７】
図２４は、他の実施形態の情報処理システムの動作処理の一部を説明するフローチャートの一例である。他の実施形態の情報処理システムの基本的構成は、図３、図１１および図１９を参照して説明した構成と同様である。
【０１９８】
図２４に示す動作処理を、暗号化退避データ消去処理と記述する。画像形成装置１０１における暗号化退避データ消去処理は、以下のように実行される。データ消去部３９１（図３）が、画像形成装置に関するデータの消去処理の実行時に、データ暗号化退避部３９２に指示して、画像形成装置に関するデータの退避処理を一旦実行させる。そして、データ消去部３９１が、当該退避処理が実行されてから予め決められた期間が経過した後に、退避処理された暗号化退避データ消去する。
【０１９９】
設定値管理サービス３１０における暗号化退避データ消去処理は、以下のように実行される。データ消去部３９３（図３）が、画像形成装置の管理に関するデータの消去処理の実行時に、データ暗号化退避部３９４に指示して、画像形成装置の管理に関するデータの退避処理を一旦実行させる。そして、データ消去部３９３が、当該退避処理が実行されてから予め決められた期間が経過した後に、退避処理されたデータを消去する。
【０２００】
契約管理サービス１１０１における暗号化退避データ消去処理は、以下のように実行される。データ消去部３９５（図３）が、画像形成装置の契約データの消去処理の実行時に、データ暗号化退避部３９６に指示して、画像形成装置の契約データの退避処理を一旦実行させる。そして、データ消去部３９５が、当該退避処理が実行されてから予め決められた期間が経過した後に、退避処理された契約データを消去する。
【０２０１】
以下では、画像形成装置１０１における暗号化退避データ消去処理を例にとって説明する。設定値管理サービス３１０、契約管理サービス１１０１における暗号化退避データ消去処理は、画像形成装置１０１における暗号化退避データ消去処理と同様である。
【０２０２】
図１９に示すデバイス内デバイス内データ消去部３３０が、データ消去命令を受けた場合、図１１に示すデバイス内データ暗号化退避部３０８に指示して、画像形成装置１０１に関するデータを一旦退避処理させる。続いて、画像形成装置１０１のデバイス内データ消去部３３０（図１９）が、退避データ保持部３２８（図１１）が管理している、画像形成装置１０１の補助記憶装置２０４Ａの暗号化退避データ格納領域を確認する（ステップＳ２５０１）。続いて、デバイス内データ消去部３３０が、暗号化退避データ格納領域に暗号化退避データがあるかを判断する（ステップ２５０２）。暗号化退避データ格納領域に暗号化退避データがない場合は、処理を終了する。暗号化退避データ格納領域に暗号化退避データがある場合は、ステップＳ２５０３に進む。
【０２０３】
次に、デバイス内データ消去部３３０が、当該暗号化退避データが暗号化退避データ格納領域に退避処理された日時の情報（退避日時情報）を確認する（ステップＳ２５０３）。続いて、デバイス内データ消去部３３０が、ステップＳ２５０３において確認した退避時情報と現在の日時の情報に基づいて、当該データが退避処理された時から予め決められた期間が経過したかを判断する（ステップＳ２５０４）。デバイス内データ消去部３３０が、当該データが退避処理された時から予め決められた期間が経過していないと判断した場合は、処理を終了する。デバイス内データ消去部３３０が、当該データが退避処理された時から予め決められた期間が経過したと判断した場合は、デバイス内データ消去部３３０は、暗号化退避データ格納領域から暗号化退避データを消去する（ステップＳ２５０５）。
【０２０４】
図２４を参照して説明した他の実施形態の情報処理システムは、消去対象データを一旦退避処理して暗号化退避データとして保持した後、所定期間経過後に、当該暗号化退避データを消去する。従って、この情報処理システムによれば、誤った消去指示によるデータの消失を防ぐことが可能となる。
【０２０５】
（その他の実施例）
また、本発明は、以下の処理を実行することによっても実現される。即ち、上述した実施形態の機能を実現するソフトウェア（プログラム）を、ネットワーク又は各種記憶媒体を介してシステム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ等）がプログラムを読み出して実行する処理である。この場合、そのプログラム、及び該プログラムを記憶した記憶媒体は本発明を構成することになる。
【符号の説明】
【０２０６】
１０１  画像形成装置
１０２  端末装置
１０５  サーバコンピュータ群
【図１】
2013025375.tif 000003
【図２】
2013025375.tif 000004
【図３】
2013025375.tif 000005
【図４】
2013025375.tif 000006
【図５】
2013025375.tif 000007
【図６】
2013025375.tif 000008
【図７】
2013025375.tif 000009
【図８】
2013025375.tif 000010
【図９】
2013025375.tif 000011
【図１０】
2013025375.tif 000012
【図１１】
2013025375.tif 000013
【図１２】
2013025375.tif 000014
【図１３】
2013025375.tif 000015
【図１４】
2013025375.tif 000016
【図１５】
2013025375.tif 000017
【図１６】
2013025375.tif 000018
【図１７】
2013025375.tif 000019
【図１８】
2013025375.tif 000020
【図１９】
2013025375.tif 000021
【図２０】
2013025375.tif 000022
【図２１】
2013025375.tif 000023
【図２２】
2013025375.tif 000024
【図２３】
2013025375.tif 000025
【図２４】
2013025375.tif 000026