時刻補正機能を備えるネットワーク機器
【課題】ネットワーク機器の時刻補正において、外部からのなりすまし等による時刻ずらし攻撃を、簡便に防止する。
【解決手段】デジタル複合機１０の時刻補正フラグ１４８は、時刻補正処理部１４が時刻サーバ３０を用いた時刻補正を行ったことがあるか否かを示す。時刻補正処理部１４は、所定の補正タイミングが来るごとに時刻サーバ３０から時刻情報を取得して内部時計１２の補正処理を行う。この補正処理では、取得した時刻情報と内部時計１２との時刻ずれが所定の許容ずれ量１４４以下か否かを判定し、以下であればその時刻情報に合わせて内部時計１２を補正する。時刻ずれが許容ずれ量１４４を超える場合は、時刻補正フラグ１４８を調べ、そのフラグが補正未済みを示している場合には、その時刻情報に従って内部時計１２を補正し、そうでない場合は、時刻補正を行わない。
【解決手段】デジタル複合機１０の時刻補正フラグ１４８は、時刻補正処理部１４が時刻サーバ３０を用いた時刻補正を行ったことがあるか否かを示す。時刻補正処理部１４は、所定の補正タイミングが来るごとに時刻サーバ３０から時刻情報を取得して内部時計１２の補正処理を行う。この補正処理では、取得した時刻情報と内部時計１２との時刻ずれが所定の許容ずれ量１４４以下か否かを判定し、以下であればその時刻情報に合わせて内部時計１２を補正する。時刻ずれが許容ずれ量１４４を超える場合は、時刻補正フラグ１４８を調べ、そのフラグが補正未済みを示している場合には、その時刻情報に従って内部時計１２を補正し、そうでない場合は、時刻補正を行わない。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークに接続されるネットワーク機器に関し、特に該ネットワーク機器が備える時計の時刻補正に関する。
【背景技術】
【０００２】
従来より、インターネットやＬＡＮ等のデータ通信ネットワークを介してコンピュータの内部時計を時刻合わせするために、従来よりＮＴＰ(Network Time Protocol)やこれを簡略化したＳＮＴＰ(Simple Network Time Protocol)などの時刻同期プロトコルが利用されている。
【０００３】
近年では、デジタル複合機（ネットワークプリンタ、ネットワークスキャナ、コピー機等の機能を兼ね備えた装置）もデータ通信ネットワークに接続されるようになってきており、ＰＫＩ（公開鍵基盤）機能やＫｅｒｂｅｒｏｓ（商標）認証機能など、ネットワーク上の装置と時刻同期が必要な処理機能を備えるものも開発されている。このため、デジタル複合機においても、ＳＮＴＰ等の時刻同期プロトコルにより、内部時計の表示する時刻を補正可能としたものが出てきている。
【０００４】
時刻同期プロトコルを用いた時刻補正（同期）の枠組みでは、一般に正確な時刻情報を提供する時刻サーバ（例えばＮＴＰサーバ）がネットワーク上に設けられ、各クライアント装置（例えば複合機）は、この時刻サーバに定期的にアクセスして時刻情報を取得し、この時刻情報を用いて内部時計の時刻を補正する。
【０００５】
ところが、時刻同期プロトコルによる時刻補正の枠組みにおいては、悪意ある者が時刻サーバになりすまし、誤った時刻情報をクライアント装置に提供してクライアント装置の内部時計を狂わせる攻撃を行う可能性が想定される。例えば、装置の内部時計の時刻を戻すことで、既に失効した公開鍵証明書を有効と装置に誤認させるなどの攻撃が考えられる。
【０００６】
このようななりすまし攻撃に対する対策として、例えば特許文献１には、時刻サーバが提供する時刻情報に対して自己の電子署名を付し、クライアント装置は受け取った時刻情報の電子署名を検証することでその時刻情報が信用できるものであるか否かを判定する方式が開示されている。
【０００７】
またＮＴＰでは、クライアントが３以上のＮＴＰサーバから時刻情報を取得することで、いずれかのＮＴＰサーバから悪意又は故障で不正確な時刻が提供されても、そのような不適切なサーバを特定してこれを利用しないようにすることが行われている。
【０００８】
【特許文献１】特開２０００−０６５９６６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
特許文献１の方式は確かになりすまし対策として有効なものであるが、既存のＮＴＰサーバの中に電子署名付与機能を持つものは少ないため、実際にその方式を利用することは難しい場合が多い。これは一つには、電子署名付与の処理にある程度の計算コストを要するため、多数のクライアントから時刻情報要求を受けるＮＴＰサーバにそのような高い計算負荷を課すことは好ましくないからである。また、電子署名の検証にはある程度の計算コストを要するため、パーソナルコンピュータよりも操作に対する応答のリアルタイム性を強く要求されるような機器では、電子署名の検証はできるだけ避けたい。特に計算リソースが比較的限られるような機器、たとえばデジタル複合機等においては、その要請は強い。
【００１０】
また、ＮＴＰのように３以上のサーバの時刻情報を取得して不適切なサーバがないかを判定することは、クライアントの処理負荷が大きく、デジタル複合機等の機器に適したものとは言い難い。
【００１１】
本発明は、時刻情報に電子署名を付与しない時刻サーバを用いた枠組みでも、なりすまし攻撃をある程度まで防ぐことができ、大きな処理負荷のない時刻補正の仕組みを提供する。
【課題を解決するための手段】
【００１２】
本発明は、ネットワークに接続され、処理を行う際に内蔵する内部時計の示す時刻を参照するネットワーク機器であって、所定のタイミングで、前記ネットワーク上に存在する所定の時刻サーバから時刻情報を取得し、取得した時刻情報に基づき前記内部時計の時刻補正処理を実行する時刻補正手段と、前記時刻補正手段による前記内部時計の時刻補正を実行したことがあるか否かを示す時刻補正フラグと、を備え、前記時刻補正処理では、前記時刻補正手段は、前記時刻サーバから取得した時刻情報と前記内部時計の示す時刻とを比較し、両者の差が所定時間以下である場合には該時刻情報を用いて前記内部時計を補正し、そうでない場合には、前記時刻補正フラグが前記時刻補正手段による前記内部時計の時刻補正を実行したことがない旨を示している場合にのみ前記時刻情報を用いて前記内部時計を補正する、ことを特徴とするネットワーク機器、を提供する。
【００１３】
ここで、時刻補正処理を実行する「所定のタイミング」としては、例えば、定期的なタイミング、機器の起動時、操作者や外部機器から時刻補正処理の指示を受けたタイミング、ジョブ開始時、ユーザが機器のコンソールパネルを操作したタイミングなどを挙げることができる。
【００１４】
また本発明の別の側面では、ネットワークに接続され、処理を行う際に内蔵する内部時計の示す時刻を参照するネットワーク機器であって、前記ネットワーク上に存在する時刻サーバから選ばれた主サーバと予備サーバのアクセス情報を記憶するアクセス情報記憶手段と、所定のタイミングで、前記時刻サーバから時刻情報を取得し、取得した時刻情報に基づき前記内部時計の時刻補正処理を実行する時刻補正手段と、を備え、前記時刻補正処理では、前記時刻補正手段は、前記アクセス情報記憶手段を参照して前記主サーバにアクセスして時刻情報を取得し、取得した時刻情報と前記内部時計の示す時刻との差が所定時間以下である場合には該時刻情報を用いて前記内部時計の時刻を補正し、そうでない場合には、前記アクセス情報記憶手段を参照して前記予備サーバにアクセスし、このアクセスにより取得した時刻情報と前記内部時計の示す時刻との差が前記所定時間以下である場合には該時刻情報を用いて前記内部時計の時刻を補正する時刻補正手段と、を備えるネットワーク機器、を提供する。
【００１５】
また本発明の好適な態様は、前記時刻補正手段による前記時刻補正処理において前記内部時計の時刻を補正しなかった回数を計数する計数手段と、前記計数手段の計数した回数が所定値に達した場合に、所定の警告を出力する警告手段と、を更に備える。
【００１６】
別の好適な態様は、前記ネットワーク機器の秘密鍵と自己署名公開鍵証明書とを生成する自己署名証明書生成手段と、前記内部時計の時刻補正を監視し、その時刻補正の量が前記所定時間を超えたことを検知した場合に、前記自己署名証明書生成手段に新たな秘密鍵及び自己署名証明書を生成させる証明書更新制御手段と、を更に備える。
【００１７】
更に別の好適な態様は、時刻指定ジョブの実行を管理する時刻指定ジョブ管理手段と、 前記内部時計の時刻補正を監視し、その時刻補正の量が前記所定時間を超えたことを検知した場合に、前記時刻指定ジョブ管理手段に管理された時刻指定ジョブの実行指定時刻をその時刻補正の量に応じて補正する指定時刻補正手段と、を更に備える。
【発明を実施するための最良の形態】
【００１８】
以下、図面を参照して、本発明を実施するための最良の形態（以下「実施形態」と呼ぶ）について説明する。
【００１９】
まず図１及び図２を参照して、本発明に係るネットワーク時刻補正方式を用いるシステムの第１の例を説明する。
【００２０】
このシステムは、インターネットやＬＡＮなどのデータ通信ネットワーク２０に接続されたデジタル複合機１０と時刻サーバ３０とから構成される。
【００２１】
時刻サーバ３０は、ＮＴＰサーバやＳＮＴＰサーバなどの既存の時刻同期プロトコルに準拠したサーバでよい。
【００２２】
デジタル複合機１０は、内部時計１２と、この内部時計１２の示す時刻を時刻サーバ３０に従って補正する時刻補正処理部１４を備える。
【００２３】
時刻補正処理部１４は、ＮＴＰより簡略化されたＳＮＴＰ等の比較的処理負荷の軽いプロトコルに準拠したものであり、時刻補正処理部１４は、典型的には、デジタル複合機１０が備える内蔵記憶装置にインストールされた制御プログラムを演算処理装置（プロセッサ）により実行することにより実現される。
【００２４】
時刻補正処理部１４は、時刻サーバ情報１４２、許容ずれ量１４４、見合わせ回数１４６、時刻補正フラグ１４８の各情報を保持する。時刻サーバ情報１４２は、時刻補正に利用する時刻サーバのアドレス情報（例えばＩＰアドレス）である。許容ずれ量１４４は、時刻サーバ３０から取得した時刻情報と内部時計１２の示す時刻のずれがどの程度までなら、その時刻情報による内部時計１２の時刻補正を認めるかを示す許容限度のずれ量である。これら時刻サーバ情報１４２及び許容ずれ量１４４は、デジタル複写機１０の製造業者或いは管理者などによりあらかじめ登録されている。見合わせ回数１４６は、繰り返し時刻補正を実行していく間に、許容ずれ量１４４を超える時刻ずれにより補正を見合わせた回数の値である。時刻補正フラグ１４８は、時刻補正処理部１４が時刻サーバ３０からの時刻情報に基づいて内部時計１２の補正を行ったことがあるか否かを示すフラグ情報である。時刻補正フラグ１４８は、デジタル複合機１０の工場出荷される時点ではオフ（すなわち時刻補正未済み）にセットされている。時刻補正処理部１４は、所定の補正タイミングが到来するごとに、これらの情報を用いて図２に示すような手順で時刻補正処理を実行する。補正タイミングの例としては、例えば、毎日正午や毎月曜日の正午などといった定期的なタイミング、機器の起動時、操作者や外部機器から時刻補正処理の指示を受けたタイミング、ジョブの開始時（すなわちジョブの開始に先立ち）、ユーザが機器のコンソールパネルを操作（例えばジョブスタートボタンを押下したり、モード切替操作を行ったりするなどの操作）したタイミングなどを挙げることができる。
【００２５】
すなわち、時刻補正処理では、まず時刻補正処理部１４は、時刻サーバ情報１４２を用いて時刻サーバ３０にアクセスして時刻情報を要求し、これに応じて時刻サーバ３０が提供する時刻情報を取得する（Ｓ１０）。そして、取得した時刻情報と内部時計１２の時刻との差（ずれ）が許容ずれ量１４４以下かどうかを判定し（Ｓ１２）、許容ずれ量１４４以下であれば、その時刻情報に従って内部時計１２の時刻を補正する（Ｓ１４）。
【００２６】
また、ステップＳ１２の判定で、取得した時刻情報と内部時計１２の時刻との差が許容ずれ量１４４を超えていると判定された場合は、時刻補正処理部１４は時刻補正フラグ１４８を調べる（Ｓ１６）。この判定で、時刻補正フラグ１４８がオフ（補正未済み）であれば、時刻補正フラグ１４８をオンにセットし（Ｓ１８）、その時刻情報に従って内部時計１２を補正する（Ｓ１４）。逆に、ステップＳ１６の判定で時刻補正フラグ１４８がオン（時刻補正経験済み）と判定された場合は、今回の時刻補正は見合わせる。
【００２７】
すなわち、この第１の例では、基本的には補正量が許容ずれ量１４４以下の時刻補正しか認めないが、デジタル複合機１０がユーザの許に設置されて最初の時刻補正だけは、許容ずれ量１４４を超える時刻補正を認めるのである。これは次のような考え方に基づくものである。すなわち、まず許容ずれ量１４４以下の時刻補正しか認めないのは、時刻サーバ３０の時刻情報と内部時計１２との時刻ずれが許容ずれ量を超える場合は、なりすまし等による時刻ずらし攻撃か、或いは時刻サーバ３０の障害などと判断してのことである。このような場合にその時刻情報に従って補正を行ったのでは、内部時計１２が大幅に狂って不具合が生ずる可能性がある。また、時刻補正フラグ１４８がオフの場合（すなわち最初の補正）に限って、許容ずれ量１４４を超える補正を認めるのは、ユーザの許に設置された時点での内部時計１２の時刻は往々にして大幅にずれている場合があるからである。また、装置の初期設置時に、作業員が間違った時刻を手動設定してしまうと言った人的エラーもあり得る。このような事情で内部時計１２が正しい時刻から大幅にずれていても、この第１の例では、最初の補正であれば、時刻サーバ３０を用いて自動的に内部時計１２を補正できるので、装置設置時の作業負担が軽減できる。このようにして一旦最初の時刻補正を済ませてしまえば、外部からの攻撃があるか内部時計１２又は時刻サーバ３０が故障するかといった異常な事態が起きない限り、繰り返し到来する補正タイミングでの時刻補正処理により内部時計１２は時刻サーバ３０の提供する時刻に合った状態となるので、許容ずれ量１４４との比較（Ｓ１２）という簡単な処理で、攻撃等の異常発生を判定できるのである。逆に言えば許容ずれ量１４４は、すべてが正常な状態でも時刻補正の時間間隔の間に内部時計１２がずれ得る時間の最大値（或いはそれに１より大きい適当な安全係数を掛けたもの）として設定されている。
【００２８】
なお、図２の手順では、ステップＳ１６で時刻補正フラグ１４８がオンであると判定された場合、時刻補正処理部１４は、時刻補正（Ｓ１４）を行わず、時刻補正を見合わせた回数を示す見合わせ回数１４６の値を１だけ増加させる（Ｓ２０）。そして、見合わせ回数１４６をあらかじめ設定されたしきい値と比較し（Ｓ２２）、見合わせ回数１４６がしきい値以下であれば単にこの処理を終了し、しきい値を超えていれば、所定の警告を出力する警告処理を行う（Ｓ２４）。警告出力は、好ましくは警告メッセージをデジタル複合機１０のユーザインタフェース画面に表示したり、あらかじめ登録された管理者のメールアドレスに電子メールで通知したりすることによってなされるが、イベントログ等にその旨を記録するようにしても良い。イベントログに記録する方式では、管理者がそのログを参照したときに異常に気づくことができる。またイベントログに記録した場合、所定の監視装置でこのログを監視し、監視装置が警告の旨のログを検出したときに管理者に通知するなどの処理を行うようにすることもできる。
【００２９】
すなわち、この例では、許容ずれ量１４４以上の時刻ずれに起因する時刻補正の見合わせが頻発した場合、外部からの攻撃か内部時計１２の故障などの可能性が考えられるので、管理者等に注意を促すわけである。なお、見合わせ回数の計数は、単純な計数でもよいし、連続回数を計数してもよい（すなわち時刻補正を実行すると計数値はクリアする）。前者と後者では、Ｓ２２の判定でのしきい値は変わる。
【００３０】
以上説明したように、この第１の例によれば、内部時計１２に対し大幅にずれている時刻情報では補正をしないという簡単な処理により、なりすまし等による時間ずらし攻撃を回避することができる。また、装置設置後最初の時刻補正だけは、大幅な補正を認めることにより、初期設置作業の負担を減らすことができる。
【００３１】
次に図３及び図４を参照して、本発明に係るネットワーク時刻補正方式を用いるシステムの第２の例を説明する。図３及び図４において、図１及び図２に示した要素乃至ステップと同様の要素乃至ステップには同一符号を付して説明を省略する。
【００３２】
第２の例のシステムでは、デジタル複合機１０の時刻補正処理部１４は、時刻補正に当たって複数の時刻サーバ３０Ａ，３０Ｂ，・・・を利用する。ただし、複数利用すると言っても、ＮＴＰのように毎回複数の時刻サーバ３０からの時刻情報を受け取って補正処理を行うというのではなく、いつもは時刻サーバ情報１４２に登録された１つの時刻サーバ（仮に３０Ａとする）から時刻情報を取得し、この時刻情報が内部時計１２と許容ずれ量１４４以上ずれた場合にのみ、予備として残してあった時刻サーバの中の１つ（例えば３０Ｂ）にアクセスして時刻補正処理を行うのである。
【００３３】
以下では、時刻サーバ情報１４２に示される通常アクセスする時刻サーバ３０Ａを主サーバと呼び、主サーバ３０Ａと内部時計１２が大きくずれた場合にのみアクセスされる予備の時刻サーバ３０Ｂ等を予備サーバと呼ぶことにする。時刻補正処理部１４には、１以上の予備サーバのアドレス情報のリストが、予備サーバリスト１５０として登録されている。このほか時刻補正処理部１４は、許容ずれ量１４４，見合わせ回数１４６の情報を有している。時刻補正処理部１４は、所定の補正タイミングが到来するごとに、これらの情報を用いて図４に示すような手順で時刻補正処理を実行する。
【００３４】
この処理手順では、まず時刻補正処理部１４は、時刻サーバ情報１４２に登録されたアドレス情報を参照して、主サーバ３０Ａから時刻情報を取得する（Ｓ３０）。そして取得した時刻情報と内部時計１２とを比較し（Ｓ１２）、両者の差が許容ずれ量１４４以下であればその時刻情報に従って内部時計１２の時刻を補正する（Ｓ１４）。ステップＳ１２で、時刻情報と内部時計１２との差が許容ずれ量１４４を超えていた場合、時刻補正処理部１４は予備サーバリストの中から１つの予備サーバ（例えば３０Ｂ）のアクセス情報を取得し、これを用いて予備サーバから時刻情報を取得する（Ｓ３２）。そして取得した時刻情報と内部時計１２とを比較し（Ｓ３４）、両者の差が許容ずれ量１４４以下であればその時刻情報に従って内部時計１２の時刻を補正する（Ｓ１４）。逆に、ステップＳ３４の判定で代替サーバからの時刻情報も許容ずれ量１４４以上ずれていた場合は、今回の時刻補正は見合わせる。
【００３５】
すなわち、この第２の例では、通常は主サーバ３０Ａのみを用いて時刻補正を行い、主サーバ３０Ａからの時刻情報が許容ずれ量１４４以上ずれていた場合は、攻撃の可能性があるとして予備サーバ３０Ｂから時刻情報を取得して時刻補正を試みる。攻撃者が主サーバ３０Ａになりすまして時刻ずらしをしようとしても、時刻補正処理部１４が次にどの予備サーバ３０Ｂに問合せを行うのかを知らなければ、予備サーバ３０Ｂにまでなりすますことはできない。常に使っている主サーバ３０Ａはともかく、滅多に使われない予備サーバ３０Ｂも特定してなりすますことは非常に困難である。したがって、予備サーバ３０Ｂが偶然その時に故障していたり、内部時計１２自体が故障して正しい時刻から大きくずれていたりするような異常な場合を除き、予備サーバ３０Ｂからの時刻情報により内部時計１２を正しく補正することができる。
【００３６】
ここで、予備サーバリスト１５０に複数の予備サーバのアドレスを登録しておき、Ｓ３２で使用する予備サーバをその中からランダムに選ぶようにすれば、悪意の者が予備サーバを特定するのがより困難になるので好適である。
【００３７】
この手順では、予備サーバ３０Ｂから取得した時刻情報も内部時計１２から大きくずれていた場合は、内部時計１２の故障等の可能性があるとして、時刻補正を見合わせる。この場合、図４の例では、図２の手順と同様見合わせ回数１４６の値を１増加させ（Ｓ２０）、見合わせ回数１４６がしきい値以下であれば単にこの処理を終了し、しきい値を超えていれば所定の警告を出力する処理を行う（Ｓ２４）。管理者は、この警告により異常を認識し、必要な処置を行う。
【００３８】
図４の手順では１つの予備サーバ３０Ｂからの時刻情報が内部時計１２と大きくずれていた場合に（Ｓ３４）時刻補正を見合わせたが、この代わりに、そのような場合に更に別の予備サーバから時刻情報を取得し、時刻補正を試みるようにしてもよい。このようにすれば、主サーバ３０Ａになりすました攻撃を受けたときに、予備サーバ３０Ｂが偶然故障しているような場合でも、更に別の予備サーバを用いて時刻補正が実行できる。
【００３９】
このように第２の例では、攻撃や主サーバ３０Ａ、内部時計１２の故障などの異常がない場合には、主サーバ３０Ａのみを用いて時刻補正処理を行うので、時刻補正処理部１４の処理負荷が小さいという利点がある。
【００４０】
以上、本発明に係る時刻補正処理の第１及び第２の例を説明したが、これらの例において更に次のような追加処理を行うことも好適である。
【００４１】
まず第１の追加処理は、デジタル複合機１０が生成する自己署名による公開鍵証明書（自己署名証明書）の処置に関するものである。すなわち、最近のデジタル複合機１０の中には、ＳＳＬ(Secure Socket Layer)や電子署名などのために秘密鍵と自己署名証明書を生成する機能を備えるものがある。自己署名証明書も含め公開鍵証明書は、発行日時の情報を含んでいるが、この発行日時は内部時計１２から求められるので、内部時計１２が正しい時刻から大幅にずれていると、その証明書は正当性に問題があるため、ネットワーク上の他の装置に受け入れられない可能性が高い。例えば、デジタル複合機１０の初期設置時などで、まだ時刻補正が行われず内部時計１２が大幅に狂っている状態で秘密鍵及び自己署名証明書が生成された場合などにはこのような問題が生じ得る。
【００４２】
そこで、この第１の追加処理では、デジタル複合機１０の制御プログラムが内部時計１２の表示時刻の変化を監視し、時刻補正により内部時計１２の表示時刻が大きく変化したことを検知した場合に、秘密鍵と自己署名証明書を再生成する。なお、内部時計１２の時刻が大きく変化したか否かは、補正前後での時刻の変化量が所定のしきい値（このしきい値として許容ずれ量１４４を用いてもよい）を超えたかどうかで判定すればよい。このような追加処理を実行する機能をデジタル複合機１０に設けることで、例えば初期設置時点で狂っていた内部時計１２を時刻サーバ３０に合わせて補正した場合に、その補正後の内部時計１２の示す日時に従って秘密鍵と自己署名証明書とを自動生成できるので、それ以降は発行日時の正しい秘密鍵及び自己署名証明書を用いて通信を行うことができる。
【００４３】
第２の追加処理は、時刻指定ジョブに関するものである。すなわち、近年のデジタル複合機１０には、印刷出力やファクシミリ送信などといったジョブの実行日時を指定できるものがある。このように実行日時が指定されたジョブが時刻指定ジョブである。ここで、ジョブの実行日時の指定には、絶対的な年月日及び時刻を指定する絶対指定と、今から何時間後といった相対指定とがあり、後者すなわち相対指定で実行日時が指定されたジョブの場合、内部時計１２が大幅に補正されてしまうと、時刻指定したユーザの意図に合わない日時にジョブが実行されてしまう可能性がある。
【００４４】
そこで、第２の追加処理では、デジタル複合機１０の制御プログラムが内部時計１２の表示時刻の変化を監視し、時刻補正により内部時計１２の表示時刻が大きく変化したことを検知した場合に、管理している時刻指定ジョブの実行指定時刻をその補正に応じた分だけ修正する。このような追加処理を実行する機能をデジタル複合機１０に設けることで、例えば初期設置時点で狂っていた内部時計１２を時刻サーバ３０に合わせて補正した場合に、それ以前に登録された時刻指定ジョブの実行指定時刻を修正するので、ユーザが意図した時刻にジョブが実行されるようにすることができる。なお、絶対指定で時刻が指定されたジョブの場合、その指定時刻そのものがユーザの意図するものであり、大幅な時刻補正を行ってもその指定時刻をそれに合わせて変更することはしない方がよい。そこで、時刻指定ジョブを管理する制御プログラムは、各時刻指定ジョブの指定時刻が絶対指定か相対指定かも合わせて記憶しておき、相対指定のもののみ時刻補正に合わせて指定時刻を修正するようにすることも好適である。
【００４５】
また、以上に説明した第１の例と第２の例を組み合わせることも可能である。すなわちこの組合せ方式では、例えば、第２の方式において予備サーバから取得した時刻情報が内部時計１２と許容ずれ量１４４以上ずれていた場合（Ｓ３４）、第１の方式のように時刻補正フラグ１４８を調べ、これが時刻補正未済みを示す場合はその時刻情報による内部時計１２の補正を認める。
【００４６】
以上に説明した各例では、時刻補正の見合わせた回数が所定値に達して初めて警告を発するようにしたが、１回見合わせた段階で警告を発するようにしてもよい。
【００４７】
また、以上では、内部時計を備えた機器の例としてデジタル複合機１０を例示したが、本発明はこれに限らず、ネットワークプリンタやファクシミリ装置など、様々なネットワーク機器の内部時計の補正に適用できる。
【図面の簡単な説明】
【００４８】
【図１】本発明に係るネットワーク時刻補正方式を用いるシステムの第１の例を示す図である。
【図２】第１の例における時刻補正処理の手順を示すフローチャートである。
【図３】本発明に係るネットワーク時刻補正方式を用いるシステムの第２の例を示す図である。
【図４】第２の例における時刻補正処理の手順を示すフローチャートである。
【符号の説明】
【００４９】
１０ デジタル複合機、１２ 内部時計、１４ 時刻補正処理部、２０ データ通信ネットワーク、３０ 時刻サーバ。
【技術分野】
【０００１】
本発明は、ネットワークに接続されるネットワーク機器に関し、特に該ネットワーク機器が備える時計の時刻補正に関する。
【背景技術】
【０００２】
従来より、インターネットやＬＡＮ等のデータ通信ネットワークを介してコンピュータの内部時計を時刻合わせするために、従来よりＮＴＰ(Network Time Protocol)やこれを簡略化したＳＮＴＰ(Simple Network Time Protocol)などの時刻同期プロトコルが利用されている。
【０００３】
近年では、デジタル複合機（ネットワークプリンタ、ネットワークスキャナ、コピー機等の機能を兼ね備えた装置）もデータ通信ネットワークに接続されるようになってきており、ＰＫＩ（公開鍵基盤）機能やＫｅｒｂｅｒｏｓ（商標）認証機能など、ネットワーク上の装置と時刻同期が必要な処理機能を備えるものも開発されている。このため、デジタル複合機においても、ＳＮＴＰ等の時刻同期プロトコルにより、内部時計の表示する時刻を補正可能としたものが出てきている。
【０００４】
時刻同期プロトコルを用いた時刻補正（同期）の枠組みでは、一般に正確な時刻情報を提供する時刻サーバ（例えばＮＴＰサーバ）がネットワーク上に設けられ、各クライアント装置（例えば複合機）は、この時刻サーバに定期的にアクセスして時刻情報を取得し、この時刻情報を用いて内部時計の時刻を補正する。
【０００５】
ところが、時刻同期プロトコルによる時刻補正の枠組みにおいては、悪意ある者が時刻サーバになりすまし、誤った時刻情報をクライアント装置に提供してクライアント装置の内部時計を狂わせる攻撃を行う可能性が想定される。例えば、装置の内部時計の時刻を戻すことで、既に失効した公開鍵証明書を有効と装置に誤認させるなどの攻撃が考えられる。
【０００６】
このようななりすまし攻撃に対する対策として、例えば特許文献１には、時刻サーバが提供する時刻情報に対して自己の電子署名を付し、クライアント装置は受け取った時刻情報の電子署名を検証することでその時刻情報が信用できるものであるか否かを判定する方式が開示されている。
【０００７】
またＮＴＰでは、クライアントが３以上のＮＴＰサーバから時刻情報を取得することで、いずれかのＮＴＰサーバから悪意又は故障で不正確な時刻が提供されても、そのような不適切なサーバを特定してこれを利用しないようにすることが行われている。
【０００８】
【特許文献１】特開２０００−０６５９６６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
特許文献１の方式は確かになりすまし対策として有効なものであるが、既存のＮＴＰサーバの中に電子署名付与機能を持つものは少ないため、実際にその方式を利用することは難しい場合が多い。これは一つには、電子署名付与の処理にある程度の計算コストを要するため、多数のクライアントから時刻情報要求を受けるＮＴＰサーバにそのような高い計算負荷を課すことは好ましくないからである。また、電子署名の検証にはある程度の計算コストを要するため、パーソナルコンピュータよりも操作に対する応答のリアルタイム性を強く要求されるような機器では、電子署名の検証はできるだけ避けたい。特に計算リソースが比較的限られるような機器、たとえばデジタル複合機等においては、その要請は強い。
【００１０】
また、ＮＴＰのように３以上のサーバの時刻情報を取得して不適切なサーバがないかを判定することは、クライアントの処理負荷が大きく、デジタル複合機等の機器に適したものとは言い難い。
【００１１】
本発明は、時刻情報に電子署名を付与しない時刻サーバを用いた枠組みでも、なりすまし攻撃をある程度まで防ぐことができ、大きな処理負荷のない時刻補正の仕組みを提供する。
【課題を解決するための手段】
【００１２】
本発明は、ネットワークに接続され、処理を行う際に内蔵する内部時計の示す時刻を参照するネットワーク機器であって、所定のタイミングで、前記ネットワーク上に存在する所定の時刻サーバから時刻情報を取得し、取得した時刻情報に基づき前記内部時計の時刻補正処理を実行する時刻補正手段と、前記時刻補正手段による前記内部時計の時刻補正を実行したことがあるか否かを示す時刻補正フラグと、を備え、前記時刻補正処理では、前記時刻補正手段は、前記時刻サーバから取得した時刻情報と前記内部時計の示す時刻とを比較し、両者の差が所定時間以下である場合には該時刻情報を用いて前記内部時計を補正し、そうでない場合には、前記時刻補正フラグが前記時刻補正手段による前記内部時計の時刻補正を実行したことがない旨を示している場合にのみ前記時刻情報を用いて前記内部時計を補正する、ことを特徴とするネットワーク機器、を提供する。
【００１３】
ここで、時刻補正処理を実行する「所定のタイミング」としては、例えば、定期的なタイミング、機器の起動時、操作者や外部機器から時刻補正処理の指示を受けたタイミング、ジョブ開始時、ユーザが機器のコンソールパネルを操作したタイミングなどを挙げることができる。
【００１４】
また本発明の別の側面では、ネットワークに接続され、処理を行う際に内蔵する内部時計の示す時刻を参照するネットワーク機器であって、前記ネットワーク上に存在する時刻サーバから選ばれた主サーバと予備サーバのアクセス情報を記憶するアクセス情報記憶手段と、所定のタイミングで、前記時刻サーバから時刻情報を取得し、取得した時刻情報に基づき前記内部時計の時刻補正処理を実行する時刻補正手段と、を備え、前記時刻補正処理では、前記時刻補正手段は、前記アクセス情報記憶手段を参照して前記主サーバにアクセスして時刻情報を取得し、取得した時刻情報と前記内部時計の示す時刻との差が所定時間以下である場合には該時刻情報を用いて前記内部時計の時刻を補正し、そうでない場合には、前記アクセス情報記憶手段を参照して前記予備サーバにアクセスし、このアクセスにより取得した時刻情報と前記内部時計の示す時刻との差が前記所定時間以下である場合には該時刻情報を用いて前記内部時計の時刻を補正する時刻補正手段と、を備えるネットワーク機器、を提供する。
【００１５】
また本発明の好適な態様は、前記時刻補正手段による前記時刻補正処理において前記内部時計の時刻を補正しなかった回数を計数する計数手段と、前記計数手段の計数した回数が所定値に達した場合に、所定の警告を出力する警告手段と、を更に備える。
【００１６】
別の好適な態様は、前記ネットワーク機器の秘密鍵と自己署名公開鍵証明書とを生成する自己署名証明書生成手段と、前記内部時計の時刻補正を監視し、その時刻補正の量が前記所定時間を超えたことを検知した場合に、前記自己署名証明書生成手段に新たな秘密鍵及び自己署名証明書を生成させる証明書更新制御手段と、を更に備える。
【００１７】
更に別の好適な態様は、時刻指定ジョブの実行を管理する時刻指定ジョブ管理手段と、 前記内部時計の時刻補正を監視し、その時刻補正の量が前記所定時間を超えたことを検知した場合に、前記時刻指定ジョブ管理手段に管理された時刻指定ジョブの実行指定時刻をその時刻補正の量に応じて補正する指定時刻補正手段と、を更に備える。
【発明を実施するための最良の形態】
【００１８】
以下、図面を参照して、本発明を実施するための最良の形態（以下「実施形態」と呼ぶ）について説明する。
【００１９】
まず図１及び図２を参照して、本発明に係るネットワーク時刻補正方式を用いるシステムの第１の例を説明する。
【００２０】
このシステムは、インターネットやＬＡＮなどのデータ通信ネットワーク２０に接続されたデジタル複合機１０と時刻サーバ３０とから構成される。
【００２１】
時刻サーバ３０は、ＮＴＰサーバやＳＮＴＰサーバなどの既存の時刻同期プロトコルに準拠したサーバでよい。
【００２２】
デジタル複合機１０は、内部時計１２と、この内部時計１２の示す時刻を時刻サーバ３０に従って補正する時刻補正処理部１４を備える。
【００２３】
時刻補正処理部１４は、ＮＴＰより簡略化されたＳＮＴＰ等の比較的処理負荷の軽いプロトコルに準拠したものであり、時刻補正処理部１４は、典型的には、デジタル複合機１０が備える内蔵記憶装置にインストールされた制御プログラムを演算処理装置（プロセッサ）により実行することにより実現される。
【００２４】
時刻補正処理部１４は、時刻サーバ情報１４２、許容ずれ量１４４、見合わせ回数１４６、時刻補正フラグ１４８の各情報を保持する。時刻サーバ情報１４２は、時刻補正に利用する時刻サーバのアドレス情報（例えばＩＰアドレス）である。許容ずれ量１４４は、時刻サーバ３０から取得した時刻情報と内部時計１２の示す時刻のずれがどの程度までなら、その時刻情報による内部時計１２の時刻補正を認めるかを示す許容限度のずれ量である。これら時刻サーバ情報１４２及び許容ずれ量１４４は、デジタル複写機１０の製造業者或いは管理者などによりあらかじめ登録されている。見合わせ回数１４６は、繰り返し時刻補正を実行していく間に、許容ずれ量１４４を超える時刻ずれにより補正を見合わせた回数の値である。時刻補正フラグ１４８は、時刻補正処理部１４が時刻サーバ３０からの時刻情報に基づいて内部時計１２の補正を行ったことがあるか否かを示すフラグ情報である。時刻補正フラグ１４８は、デジタル複合機１０の工場出荷される時点ではオフ（すなわち時刻補正未済み）にセットされている。時刻補正処理部１４は、所定の補正タイミングが到来するごとに、これらの情報を用いて図２に示すような手順で時刻補正処理を実行する。補正タイミングの例としては、例えば、毎日正午や毎月曜日の正午などといった定期的なタイミング、機器の起動時、操作者や外部機器から時刻補正処理の指示を受けたタイミング、ジョブの開始時（すなわちジョブの開始に先立ち）、ユーザが機器のコンソールパネルを操作（例えばジョブスタートボタンを押下したり、モード切替操作を行ったりするなどの操作）したタイミングなどを挙げることができる。
【００２５】
すなわち、時刻補正処理では、まず時刻補正処理部１４は、時刻サーバ情報１４２を用いて時刻サーバ３０にアクセスして時刻情報を要求し、これに応じて時刻サーバ３０が提供する時刻情報を取得する（Ｓ１０）。そして、取得した時刻情報と内部時計１２の時刻との差（ずれ）が許容ずれ量１４４以下かどうかを判定し（Ｓ１２）、許容ずれ量１４４以下であれば、その時刻情報に従って内部時計１２の時刻を補正する（Ｓ１４）。
【００２６】
また、ステップＳ１２の判定で、取得した時刻情報と内部時計１２の時刻との差が許容ずれ量１４４を超えていると判定された場合は、時刻補正処理部１４は時刻補正フラグ１４８を調べる（Ｓ１６）。この判定で、時刻補正フラグ１４８がオフ（補正未済み）であれば、時刻補正フラグ１４８をオンにセットし（Ｓ１８）、その時刻情報に従って内部時計１２を補正する（Ｓ１４）。逆に、ステップＳ１６の判定で時刻補正フラグ１４８がオン（時刻補正経験済み）と判定された場合は、今回の時刻補正は見合わせる。
【００２７】
すなわち、この第１の例では、基本的には補正量が許容ずれ量１４４以下の時刻補正しか認めないが、デジタル複合機１０がユーザの許に設置されて最初の時刻補正だけは、許容ずれ量１４４を超える時刻補正を認めるのである。これは次のような考え方に基づくものである。すなわち、まず許容ずれ量１４４以下の時刻補正しか認めないのは、時刻サーバ３０の時刻情報と内部時計１２との時刻ずれが許容ずれ量を超える場合は、なりすまし等による時刻ずらし攻撃か、或いは時刻サーバ３０の障害などと判断してのことである。このような場合にその時刻情報に従って補正を行ったのでは、内部時計１２が大幅に狂って不具合が生ずる可能性がある。また、時刻補正フラグ１４８がオフの場合（すなわち最初の補正）に限って、許容ずれ量１４４を超える補正を認めるのは、ユーザの許に設置された時点での内部時計１２の時刻は往々にして大幅にずれている場合があるからである。また、装置の初期設置時に、作業員が間違った時刻を手動設定してしまうと言った人的エラーもあり得る。このような事情で内部時計１２が正しい時刻から大幅にずれていても、この第１の例では、最初の補正であれば、時刻サーバ３０を用いて自動的に内部時計１２を補正できるので、装置設置時の作業負担が軽減できる。このようにして一旦最初の時刻補正を済ませてしまえば、外部からの攻撃があるか内部時計１２又は時刻サーバ３０が故障するかといった異常な事態が起きない限り、繰り返し到来する補正タイミングでの時刻補正処理により内部時計１２は時刻サーバ３０の提供する時刻に合った状態となるので、許容ずれ量１４４との比較（Ｓ１２）という簡単な処理で、攻撃等の異常発生を判定できるのである。逆に言えば許容ずれ量１４４は、すべてが正常な状態でも時刻補正の時間間隔の間に内部時計１２がずれ得る時間の最大値（或いはそれに１より大きい適当な安全係数を掛けたもの）として設定されている。
【００２８】
なお、図２の手順では、ステップＳ１６で時刻補正フラグ１４８がオンであると判定された場合、時刻補正処理部１４は、時刻補正（Ｓ１４）を行わず、時刻補正を見合わせた回数を示す見合わせ回数１４６の値を１だけ増加させる（Ｓ２０）。そして、見合わせ回数１４６をあらかじめ設定されたしきい値と比較し（Ｓ２２）、見合わせ回数１４６がしきい値以下であれば単にこの処理を終了し、しきい値を超えていれば、所定の警告を出力する警告処理を行う（Ｓ２４）。警告出力は、好ましくは警告メッセージをデジタル複合機１０のユーザインタフェース画面に表示したり、あらかじめ登録された管理者のメールアドレスに電子メールで通知したりすることによってなされるが、イベントログ等にその旨を記録するようにしても良い。イベントログに記録する方式では、管理者がそのログを参照したときに異常に気づくことができる。またイベントログに記録した場合、所定の監視装置でこのログを監視し、監視装置が警告の旨のログを検出したときに管理者に通知するなどの処理を行うようにすることもできる。
【００２９】
すなわち、この例では、許容ずれ量１４４以上の時刻ずれに起因する時刻補正の見合わせが頻発した場合、外部からの攻撃か内部時計１２の故障などの可能性が考えられるので、管理者等に注意を促すわけである。なお、見合わせ回数の計数は、単純な計数でもよいし、連続回数を計数してもよい（すなわち時刻補正を実行すると計数値はクリアする）。前者と後者では、Ｓ２２の判定でのしきい値は変わる。
【００３０】
以上説明したように、この第１の例によれば、内部時計１２に対し大幅にずれている時刻情報では補正をしないという簡単な処理により、なりすまし等による時間ずらし攻撃を回避することができる。また、装置設置後最初の時刻補正だけは、大幅な補正を認めることにより、初期設置作業の負担を減らすことができる。
【００３１】
次に図３及び図４を参照して、本発明に係るネットワーク時刻補正方式を用いるシステムの第２の例を説明する。図３及び図４において、図１及び図２に示した要素乃至ステップと同様の要素乃至ステップには同一符号を付して説明を省略する。
【００３２】
第２の例のシステムでは、デジタル複合機１０の時刻補正処理部１４は、時刻補正に当たって複数の時刻サーバ３０Ａ，３０Ｂ，・・・を利用する。ただし、複数利用すると言っても、ＮＴＰのように毎回複数の時刻サーバ３０からの時刻情報を受け取って補正処理を行うというのではなく、いつもは時刻サーバ情報１４２に登録された１つの時刻サーバ（仮に３０Ａとする）から時刻情報を取得し、この時刻情報が内部時計１２と許容ずれ量１４４以上ずれた場合にのみ、予備として残してあった時刻サーバの中の１つ（例えば３０Ｂ）にアクセスして時刻補正処理を行うのである。
【００３３】
以下では、時刻サーバ情報１４２に示される通常アクセスする時刻サーバ３０Ａを主サーバと呼び、主サーバ３０Ａと内部時計１２が大きくずれた場合にのみアクセスされる予備の時刻サーバ３０Ｂ等を予備サーバと呼ぶことにする。時刻補正処理部１４には、１以上の予備サーバのアドレス情報のリストが、予備サーバリスト１５０として登録されている。このほか時刻補正処理部１４は、許容ずれ量１４４，見合わせ回数１４６の情報を有している。時刻補正処理部１４は、所定の補正タイミングが到来するごとに、これらの情報を用いて図４に示すような手順で時刻補正処理を実行する。
【００３４】
この処理手順では、まず時刻補正処理部１４は、時刻サーバ情報１４２に登録されたアドレス情報を参照して、主サーバ３０Ａから時刻情報を取得する（Ｓ３０）。そして取得した時刻情報と内部時計１２とを比較し（Ｓ１２）、両者の差が許容ずれ量１４４以下であればその時刻情報に従って内部時計１２の時刻を補正する（Ｓ１４）。ステップＳ１２で、時刻情報と内部時計１２との差が許容ずれ量１４４を超えていた場合、時刻補正処理部１４は予備サーバリストの中から１つの予備サーバ（例えば３０Ｂ）のアクセス情報を取得し、これを用いて予備サーバから時刻情報を取得する（Ｓ３２）。そして取得した時刻情報と内部時計１２とを比較し（Ｓ３４）、両者の差が許容ずれ量１４４以下であればその時刻情報に従って内部時計１２の時刻を補正する（Ｓ１４）。逆に、ステップＳ３４の判定で代替サーバからの時刻情報も許容ずれ量１４４以上ずれていた場合は、今回の時刻補正は見合わせる。
【００３５】
すなわち、この第２の例では、通常は主サーバ３０Ａのみを用いて時刻補正を行い、主サーバ３０Ａからの時刻情報が許容ずれ量１４４以上ずれていた場合は、攻撃の可能性があるとして予備サーバ３０Ｂから時刻情報を取得して時刻補正を試みる。攻撃者が主サーバ３０Ａになりすまして時刻ずらしをしようとしても、時刻補正処理部１４が次にどの予備サーバ３０Ｂに問合せを行うのかを知らなければ、予備サーバ３０Ｂにまでなりすますことはできない。常に使っている主サーバ３０Ａはともかく、滅多に使われない予備サーバ３０Ｂも特定してなりすますことは非常に困難である。したがって、予備サーバ３０Ｂが偶然その時に故障していたり、内部時計１２自体が故障して正しい時刻から大きくずれていたりするような異常な場合を除き、予備サーバ３０Ｂからの時刻情報により内部時計１２を正しく補正することができる。
【００３６】
ここで、予備サーバリスト１５０に複数の予備サーバのアドレスを登録しておき、Ｓ３２で使用する予備サーバをその中からランダムに選ぶようにすれば、悪意の者が予備サーバを特定するのがより困難になるので好適である。
【００３７】
この手順では、予備サーバ３０Ｂから取得した時刻情報も内部時計１２から大きくずれていた場合は、内部時計１２の故障等の可能性があるとして、時刻補正を見合わせる。この場合、図４の例では、図２の手順と同様見合わせ回数１４６の値を１増加させ（Ｓ２０）、見合わせ回数１４６がしきい値以下であれば単にこの処理を終了し、しきい値を超えていれば所定の警告を出力する処理を行う（Ｓ２４）。管理者は、この警告により異常を認識し、必要な処置を行う。
【００３８】
図４の手順では１つの予備サーバ３０Ｂからの時刻情報が内部時計１２と大きくずれていた場合に（Ｓ３４）時刻補正を見合わせたが、この代わりに、そのような場合に更に別の予備サーバから時刻情報を取得し、時刻補正を試みるようにしてもよい。このようにすれば、主サーバ３０Ａになりすました攻撃を受けたときに、予備サーバ３０Ｂが偶然故障しているような場合でも、更に別の予備サーバを用いて時刻補正が実行できる。
【００３９】
このように第２の例では、攻撃や主サーバ３０Ａ、内部時計１２の故障などの異常がない場合には、主サーバ３０Ａのみを用いて時刻補正処理を行うので、時刻補正処理部１４の処理負荷が小さいという利点がある。
【００４０】
以上、本発明に係る時刻補正処理の第１及び第２の例を説明したが、これらの例において更に次のような追加処理を行うことも好適である。
【００４１】
まず第１の追加処理は、デジタル複合機１０が生成する自己署名による公開鍵証明書（自己署名証明書）の処置に関するものである。すなわち、最近のデジタル複合機１０の中には、ＳＳＬ(Secure Socket Layer)や電子署名などのために秘密鍵と自己署名証明書を生成する機能を備えるものがある。自己署名証明書も含め公開鍵証明書は、発行日時の情報を含んでいるが、この発行日時は内部時計１２から求められるので、内部時計１２が正しい時刻から大幅にずれていると、その証明書は正当性に問題があるため、ネットワーク上の他の装置に受け入れられない可能性が高い。例えば、デジタル複合機１０の初期設置時などで、まだ時刻補正が行われず内部時計１２が大幅に狂っている状態で秘密鍵及び自己署名証明書が生成された場合などにはこのような問題が生じ得る。
【００４２】
そこで、この第１の追加処理では、デジタル複合機１０の制御プログラムが内部時計１２の表示時刻の変化を監視し、時刻補正により内部時計１２の表示時刻が大きく変化したことを検知した場合に、秘密鍵と自己署名証明書を再生成する。なお、内部時計１２の時刻が大きく変化したか否かは、補正前後での時刻の変化量が所定のしきい値（このしきい値として許容ずれ量１４４を用いてもよい）を超えたかどうかで判定すればよい。このような追加処理を実行する機能をデジタル複合機１０に設けることで、例えば初期設置時点で狂っていた内部時計１２を時刻サーバ３０に合わせて補正した場合に、その補正後の内部時計１２の示す日時に従って秘密鍵と自己署名証明書とを自動生成できるので、それ以降は発行日時の正しい秘密鍵及び自己署名証明書を用いて通信を行うことができる。
【００４３】
第２の追加処理は、時刻指定ジョブに関するものである。すなわち、近年のデジタル複合機１０には、印刷出力やファクシミリ送信などといったジョブの実行日時を指定できるものがある。このように実行日時が指定されたジョブが時刻指定ジョブである。ここで、ジョブの実行日時の指定には、絶対的な年月日及び時刻を指定する絶対指定と、今から何時間後といった相対指定とがあり、後者すなわち相対指定で実行日時が指定されたジョブの場合、内部時計１２が大幅に補正されてしまうと、時刻指定したユーザの意図に合わない日時にジョブが実行されてしまう可能性がある。
【００４４】
そこで、第２の追加処理では、デジタル複合機１０の制御プログラムが内部時計１２の表示時刻の変化を監視し、時刻補正により内部時計１２の表示時刻が大きく変化したことを検知した場合に、管理している時刻指定ジョブの実行指定時刻をその補正に応じた分だけ修正する。このような追加処理を実行する機能をデジタル複合機１０に設けることで、例えば初期設置時点で狂っていた内部時計１２を時刻サーバ３０に合わせて補正した場合に、それ以前に登録された時刻指定ジョブの実行指定時刻を修正するので、ユーザが意図した時刻にジョブが実行されるようにすることができる。なお、絶対指定で時刻が指定されたジョブの場合、その指定時刻そのものがユーザの意図するものであり、大幅な時刻補正を行ってもその指定時刻をそれに合わせて変更することはしない方がよい。そこで、時刻指定ジョブを管理する制御プログラムは、各時刻指定ジョブの指定時刻が絶対指定か相対指定かも合わせて記憶しておき、相対指定のもののみ時刻補正に合わせて指定時刻を修正するようにすることも好適である。
【００４５】
また、以上に説明した第１の例と第２の例を組み合わせることも可能である。すなわちこの組合せ方式では、例えば、第２の方式において予備サーバから取得した時刻情報が内部時計１２と許容ずれ量１４４以上ずれていた場合（Ｓ３４）、第１の方式のように時刻補正フラグ１４８を調べ、これが時刻補正未済みを示す場合はその時刻情報による内部時計１２の補正を認める。
【００４６】
以上に説明した各例では、時刻補正の見合わせた回数が所定値に達して初めて警告を発するようにしたが、１回見合わせた段階で警告を発するようにしてもよい。
【００４７】
また、以上では、内部時計を備えた機器の例としてデジタル複合機１０を例示したが、本発明はこれに限らず、ネットワークプリンタやファクシミリ装置など、様々なネットワーク機器の内部時計の補正に適用できる。
【図面の簡単な説明】
【００４８】
【図１】本発明に係るネットワーク時刻補正方式を用いるシステムの第１の例を示す図である。
【図２】第１の例における時刻補正処理の手順を示すフローチャートである。
【図３】本発明に係るネットワーク時刻補正方式を用いるシステムの第２の例を示す図である。
【図４】第２の例における時刻補正処理の手順を示すフローチャートである。
【符号の説明】
【００４９】
１０ デジタル複合機、１２ 内部時計、１４ 時刻補正処理部、２０ データ通信ネットワーク、３０ 時刻サーバ。
【特許請求の範囲】
【請求項１】
ネットワークに接続され、処理を行う際に内蔵する内部時計の示す時刻を参照するネットワーク機器であって、
所定のタイミングで、前記ネットワーク上に存在する所定の時刻サーバから時刻情報を取得し、取得した時刻情報に基づき前記内部時計の時刻補正処理を実行する時刻補正手段と、
前記時刻補正手段による前記内部時計の時刻補正を実行したことがあるか否かを示す時刻補正フラグと、
を備え、前記時刻補正処理では、前記時刻補正手段は、前記時刻サーバから取得した時刻情報と前記内部時計の示す時刻とを比較し、両者の差が所定時間以下である場合には該時刻情報を用いて前記内部時計を補正し、そうでない場合には、前記時刻補正フラグが前記時刻補正手段による前記内部時計の時刻補正を実行したことがない旨を示している場合にのみ前記時刻情報を用いて前記内部時計を補正する、ことを特徴とするネットワーク機器。
【請求項２】
ネットワークに接続され、処理を行う際に内蔵する内部時計の示す時刻を参照するネットワーク機器であって、
前記ネットワーク上に存在する時刻サーバから選ばれた主サーバと予備サーバのアクセス情報を記憶するアクセス情報記憶手段と、
所定のタイミングで、前記時刻サーバから時刻情報を取得し、取得した時刻情報に基づき前記内部時計の時刻補正処理を実行する時刻補正手段と、
を備え、前記時刻補正処理では、前記時刻補正手段は、前記アクセス情報記憶手段を参照して前記主サーバにアクセスして時刻情報を取得し、取得した時刻情報と前記内部時計の示す時刻との差が所定時間以下である場合には該時刻情報を用いて前記内部時計の時刻を補正し、そうでない場合には、前記アクセス情報記憶手段を参照して前記予備サーバにアクセスし、このアクセスにより取得した時刻情報と前記内部時計の示す時刻との差が前記所定時間以下である場合には該時刻情報を用いて前記内部時計の時刻を補正する時刻補正手段と、
を備えるネットワーク機器。
【請求項３】
前記時刻補正手段による前記時刻補正処理において前記内部時計の時刻を補正しなかった回数を計数する計数手段と、
前記計数手段の計数した回数が所定値に達した場合に、所定の警告を出力する警告手段と、
を更に備える請求項１又は２に記載のネットワーク機器。
【請求項４】
前記ネットワーク機器の秘密鍵と自己署名公開鍵証明書とを生成する自己署名証明書生成手段と、
前記内部時計の時刻補正を監視し、その時刻補正の量が前記所定時間を超えたことを検知した場合に、前記自己署名証明書生成手段に新たな秘密鍵及び自己署名証明書を生成させる証明書更新制御手段と、
を更に備える請求項１〜３のいずれか１項に記載のネットワーク機器。
【請求項５】
時刻指定ジョブの実行を管理する時刻指定ジョブ管理手段と、
前記内部時計の時刻補正を監視し、その時刻補正の量が前記所定時間を超えたことを検知した場合に、前記時刻指定ジョブ管理手段に管理された時刻指定ジョブの実行指定時刻をその時刻補正の量に応じて補正する指定時刻補正手段と、
を更に備える請求項１〜４のいずれか１項に記載のネットワーク機器。
【請求項６】
ネットワークに接続され、処理を行う際に内蔵する内部時計の示す時刻を参照するネットワーク機器において、所定のタイミングで、前記ネットワーク上に存在する所定の時刻サーバから時刻情報を取得し、取得した時刻情報に基づき前記内部時計の時刻補正処理を実行する時刻補正方法であって、
前記内部時計の時刻補正を実行したことがあるか否かを示す時刻補正フラグのフラグ値をセットするステップと、
前記時刻サーバから取得した時刻情報と前記内部時計の示す時刻とを比較するステップと、
前記時刻情報と前記内部時計が示す時刻との差が所定時間以下である場合には該時刻情報を用いて前記内部時計を補正し、そうでない場合には、前記時刻補正フラグが前記時刻補正手段による前記内部時計の時刻補正を実行したことがない旨を示している場合にのみ前記時刻情報を用いて前記内部時計を補正するステップと、
を有する時刻補正方法。
【請求項７】
ネットワークに接続され、処理を行う際に内蔵する内部時計の示す時刻を参照するネットワーク機器であって、所定のタイミングで、前記ネットワーク上に存在する所定の時刻サーバから時刻情報を取得し、取得した時刻情報に基づき前記内部時計の時刻補正処理を実行する時刻補正方法であって、
所定の主サーバにアクセスして時刻情報を取得するステップと、
前記主サーバから取得した時刻情報と前記内部時計の示す時刻との差が所定時間以下である場合には該時刻情報を用いて前記内部時計の時刻を補正するステップと、
前記主サーバから取得した時刻情報と前記内部時計の示す時刻との差が所定時間以下でない場合に、所定の予備サーバにアクセスして時刻情報を取得するステップと、
前記予備サーバから取得した時刻情報と前記内部時計の示す時刻との差が前記所定時間以下である場合に該時刻情報を用いて前記内部時計の時刻を補正するステップと、
を有する時刻補正方法。
【請求項１】
ネットワークに接続され、処理を行う際に内蔵する内部時計の示す時刻を参照するネットワーク機器であって、
所定のタイミングで、前記ネットワーク上に存在する所定の時刻サーバから時刻情報を取得し、取得した時刻情報に基づき前記内部時計の時刻補正処理を実行する時刻補正手段と、
前記時刻補正手段による前記内部時計の時刻補正を実行したことがあるか否かを示す時刻補正フラグと、
を備え、前記時刻補正処理では、前記時刻補正手段は、前記時刻サーバから取得した時刻情報と前記内部時計の示す時刻とを比較し、両者の差が所定時間以下である場合には該時刻情報を用いて前記内部時計を補正し、そうでない場合には、前記時刻補正フラグが前記時刻補正手段による前記内部時計の時刻補正を実行したことがない旨を示している場合にのみ前記時刻情報を用いて前記内部時計を補正する、ことを特徴とするネットワーク機器。
【請求項２】
ネットワークに接続され、処理を行う際に内蔵する内部時計の示す時刻を参照するネットワーク機器であって、
前記ネットワーク上に存在する時刻サーバから選ばれた主サーバと予備サーバのアクセス情報を記憶するアクセス情報記憶手段と、
所定のタイミングで、前記時刻サーバから時刻情報を取得し、取得した時刻情報に基づき前記内部時計の時刻補正処理を実行する時刻補正手段と、
を備え、前記時刻補正処理では、前記時刻補正手段は、前記アクセス情報記憶手段を参照して前記主サーバにアクセスして時刻情報を取得し、取得した時刻情報と前記内部時計の示す時刻との差が所定時間以下である場合には該時刻情報を用いて前記内部時計の時刻を補正し、そうでない場合には、前記アクセス情報記憶手段を参照して前記予備サーバにアクセスし、このアクセスにより取得した時刻情報と前記内部時計の示す時刻との差が前記所定時間以下である場合には該時刻情報を用いて前記内部時計の時刻を補正する時刻補正手段と、
を備えるネットワーク機器。
【請求項３】
前記時刻補正手段による前記時刻補正処理において前記内部時計の時刻を補正しなかった回数を計数する計数手段と、
前記計数手段の計数した回数が所定値に達した場合に、所定の警告を出力する警告手段と、
を更に備える請求項１又は２に記載のネットワーク機器。
【請求項４】
前記ネットワーク機器の秘密鍵と自己署名公開鍵証明書とを生成する自己署名証明書生成手段と、
前記内部時計の時刻補正を監視し、その時刻補正の量が前記所定時間を超えたことを検知した場合に、前記自己署名証明書生成手段に新たな秘密鍵及び自己署名証明書を生成させる証明書更新制御手段と、
を更に備える請求項１〜３のいずれか１項に記載のネットワーク機器。
【請求項５】
時刻指定ジョブの実行を管理する時刻指定ジョブ管理手段と、
前記内部時計の時刻補正を監視し、その時刻補正の量が前記所定時間を超えたことを検知した場合に、前記時刻指定ジョブ管理手段に管理された時刻指定ジョブの実行指定時刻をその時刻補正の量に応じて補正する指定時刻補正手段と、
を更に備える請求項１〜４のいずれか１項に記載のネットワーク機器。
【請求項６】
ネットワークに接続され、処理を行う際に内蔵する内部時計の示す時刻を参照するネットワーク機器において、所定のタイミングで、前記ネットワーク上に存在する所定の時刻サーバから時刻情報を取得し、取得した時刻情報に基づき前記内部時計の時刻補正処理を実行する時刻補正方法であって、
前記内部時計の時刻補正を実行したことがあるか否かを示す時刻補正フラグのフラグ値をセットするステップと、
前記時刻サーバから取得した時刻情報と前記内部時計の示す時刻とを比較するステップと、
前記時刻情報と前記内部時計が示す時刻との差が所定時間以下である場合には該時刻情報を用いて前記内部時計を補正し、そうでない場合には、前記時刻補正フラグが前記時刻補正手段による前記内部時計の時刻補正を実行したことがない旨を示している場合にのみ前記時刻情報を用いて前記内部時計を補正するステップと、
を有する時刻補正方法。
【請求項７】
ネットワークに接続され、処理を行う際に内蔵する内部時計の示す時刻を参照するネットワーク機器であって、所定のタイミングで、前記ネットワーク上に存在する所定の時刻サーバから時刻情報を取得し、取得した時刻情報に基づき前記内部時計の時刻補正処理を実行する時刻補正方法であって、
所定の主サーバにアクセスして時刻情報を取得するステップと、
前記主サーバから取得した時刻情報と前記内部時計の示す時刻との差が所定時間以下である場合には該時刻情報を用いて前記内部時計の時刻を補正するステップと、
前記主サーバから取得した時刻情報と前記内部時計の示す時刻との差が所定時間以下でない場合に、所定の予備サーバにアクセスして時刻情報を取得するステップと、
前記予備サーバから取得した時刻情報と前記内部時計の示す時刻との差が前記所定時間以下である場合に該時刻情報を用いて前記内部時計の時刻を補正するステップと、
を有する時刻補正方法。
【図１】
【図２】
【図３】
【図４】
【図２】
【図３】
【図４】
【公開番号】特開２００６−１９５７５２（Ｐ２００６−１９５７５２Ａ）
【公開日】平成１８年７月２７日（２００６．７．２７）
【国際特許分類】
【出願番号】特願２００５−６８３９（Ｐ２００５−６８３９）
【出願日】平成１７年１月１３日（２００５．１．１３）
【出願人】（０００００５４９６）富士ゼロックス株式会社 (21,908)
【Ｆターム（参考）】
【公開日】平成１８年７月２７日（２００６．７．２７）
【国際特許分類】
【出願日】平成１７年１月１３日（２００５．１．１３）
【出願人】（０００００５４９６）富士ゼロックス株式会社 (21,908)
【Ｆターム（参考）】
[ Back to top ]