監視装置、監視方法および監視プログラム
【課題】サーバアプリケーションを入手しやすい状態としたままで、正しく運用されていないサーバアプリケーションを無効化することのできる監視装置、監視方法および監視プログラムを提供する。
【解決手段】監視装置の一例であるＣＡサーバ２０は、サーバアプリケーションの使用頻度を示す第１の条件を少なくとも含む判断条件を格納した条件判断テーブル２０７を保持している。証明書発行部２０２は、管理サーバから証明書発行依頼があると、試用版証明書を無条件に発行する。管理サーバからの本運用証明書の発行要求を受信すると、ログ収集部２０５は、画像処理装置との間の通信履歴（通信ログ）を取得する。判断部２０４は、条件判断テーブル２０７と通信履歴とに基づいて、管理サーバの使用実績を判断する。証明書発行部２０２は、使用実績があると判断されると、通信制限が緩和された本運用証明書を発行する。
【解決手段】監視装置の一例であるＣＡサーバ２０は、サーバアプリケーションの使用頻度を示す第１の条件を少なくとも含む判断条件を格納した条件判断テーブル２０７を保持している。証明書発行部２０２は、管理サーバから証明書発行依頼があると、試用版証明書を無条件に発行する。管理サーバからの本運用証明書の発行要求を受信すると、ログ収集部２０５は、画像処理装置との間の通信履歴（通信ログ）を取得する。判断部２０４は、条件判断テーブル２０７と通信履歴とに基づいて、管理サーバの使用実績を判断する。証明書発行部２０２は、使用実績があると判断されると、通信制限が緩和された本運用証明書を発行する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、監視装置、監視方法および監視プログラムに関し、特に、画像処理装置を管理するためのサーバアプリケーションの運用を監視することのできる監視装置、監視方法および監視プログラムに関する。
【背景技術】
【０００２】
通信装置に、ＭＦＰ（Multi Function Peripheral）などの画像処理装置を管理するためのサーバアプリケーションがインストールされ、かつ、画像処理装置側での認証に必要となる電子証明書が発行されると、当該通信装置は、画像処理装置の管理サーバとして機能することができる。
【０００３】
電子証明書の発行に関して、特許文献１には、クライアントが電子証明書の発行を申請すると、サーバが、クライアントからの申請情報とクライアント認証ＤＢの個人情報とを照合することで、証明書の発行条件を判別して、条件を満たす場合に認証局に電子証明書の発行を依頼することが記載されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００１−３６５２１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
サーバアプリケーションは、顧客の使用状況や課金情報等の重要な情報を扱うため、本来、無制限にインストールされるべきではない。一方で、たとえば、サードベンダにサーバアプリケーション対応のソフトウェアを開発させるためなどの理由により、サーバアプリケーションは、入手しやすい状態にする必要がある。
【０００６】
しかし入手しやすい状態にあると、インストールしたまま放置された管理サーバ、あるいは設定や管理が不十分な管理サーバが野放しにされる可能性がある。このような正しく運用されていない管理サーバに、顧客のデバイス（画像処理装置）が接続してしまうと、情報の漏洩等の問題が発生し、顧客の不利益につながる恐れがある。
【０００７】
上記特許文献１のように、電子証明書の発行時に管理サーバの正当性を判断することも考えられるが、そのような場合、予め管理サーバとなる得る通信装置の個人情報を格納しておかなければならないため、サーバアプリケーションを入手できる通信装置が限られてしまう。
【０００８】
本発明は、上記のような問題を解決するためになされたものであって、その目的は、サーバアプリケーションを入手しやすい状態としたままで、正しく運用されていないサーバアプリケーションを無効化することのできる監視装置、監視方法および監視プログラムを提供することである。
【課題を解決するための手段】
【０００９】
この発明のある局面に従う監視装置は、画像処理装置を管理するためのサーバアプリケーションの運用を監視するための監視装置であって、サーバアプリケーションの使用頻度を示す第１の条件を少なくとも含む判断条件を格納した記憶手段と、サーバアプリケーションをインストールし、第１の証明書が発行された管理サーバと、画像処理装置との間の通信履歴を取得するための取得手段と、判断条件と通信履歴とに基づいて、管理サーバの使用実績を判断することで、管理サーバに設定された通信制限を緩和するか否かを決定するための判断手段とを備える。
【００１０】
好ましくは、第１の証明書を発行するための発行手段をさらに備える。
好ましくは、第１の証明書は、試用版の証明書であり、発行手段は、判断手段により使用実績があると判断された場合に、通信制限が緩和された第２の証明書を発行する。
【００１１】
好ましくは、発行手段は、判断手段により使用実績がないと判断された場合には、第２の証明書の発行を拒絶する。
【００１２】
好ましくは、発行手段は、判断手段において管理サーバが満たしていると判断された判断条件に応じて、第２の証明書の通信制限のレベルを設定する。
【００１３】
好ましくは、通信制限とは、画像処理装置との通信可能期間を表わす。
好ましくは、通信可能期間とは、電子証明書の有効期間を表わす。
【００１４】
好ましくは、判断手段は、第１の証明書の残りの有効期間が閾値以下になった場合に、管理サーバの使用実績を判断する。
【００１５】
好ましくは、判断手段は、第１の証明書が発行されてから所定の期間が経過した場合に、管理サーバの使用実績を判断し、使用実績があると判断された場合に、第１の証明書の継続利用を許可し、使用実績がないと判断された場合に、第１の証明書を失効させるための手段をさらに備える。
【００１６】
好ましくは、判断手段は、通信履歴の累積数、通信データ総量、および、通信している画像処理装置の個数のうち少なくともいずれかが、規定値以上となった場合に、管理サーバの使用実績を判断する。
【００１７】
好ましくは、判断条件は、さらに、管理サーバの不正通信の有無を示す第２の条件を含み、判断手段は、管理サーバの通信制限を緩和するか否かの決定に、管理サーバの不正通信の有無の判断結果をさらに用いる。
【００１８】
好ましくは、監視装置は、管理サーバ内に含まれ、記憶手段、取得手段および判断手段を保護するための保護手段をさらに備える。
【００１９】
この発明の他の局面に従う監視方法は、画像処理装置を管理するためのサーバアプリケーションの運用を監視するための監視方法であって、サーバアプリケーションをインストールし、第１の証明書が発行された管理サーバと、画像処理装置との間の通信履歴を取得するステップと、サーバアプリケーションの使用頻度を示す第１の条件を少なくとも含む判断条件と通信履歴とに基づいて、管理サーバの使用実績を判断することで、管理サーバの通信制限を緩和するか否かを決定するステップとを備える。
【００２０】
この発明のさらに他の局面に従う監視プログラムは、画像処理装置を管理するためのサーバアプリケーションの運用を監視するための監視プログラムであって、サーバアプリケーションをインストールし、第１の証明書が発行された管理サーバと、画像処理装置との間の通信履歴を取得するステップと、サーバアプリケーションの使用頻度を示す第１の条件を少なくとも含む判断条件と通信履歴とに基づいて、管理サーバの使用実績を判断することで、管理サーバの通信制限を緩和するか否かを決定するステップとをコンピュータに実行させる。
【発明の効果】
【００２１】
本発明によると、監視装置は、管理サーバの使用実績を判断することで、管理サーバの通信制限を変更することができる。したがって、サーバアプリケーションを入手しやすい状態としたままで、正しく運用されていないサーバアプリケーションを無効化することができる。
【図面の簡単な説明】
【００２２】
【図１】本発明の実施の形態１における通信システムの構成例を示す図である。
【図２】本発明の実施の形態１に係るＣＡサーバ（認証装置）のハードウェア構成を模式的に示す図である。
【図３】本発明の実施の形態１に係るサーバアプリ（管理サーバ）のハードウェア構成を模式的に示す図である。
【図４】本発明の実施の形態１に係るＭＦＰ（画像処理装置）のハードウェア構成を模式的に示す図である。
【図５】本発明の実施の形態１に係るログ収集サーバのハードウェア構成を模式的に示す図である。
【図６】本発明の実施の形態１におけるＣＡサーバの機能構成を示すブロック図である。
【図７】本発明の実施の形態１における証明書管理テーブルのデータ構造例を示す図である。
【図８】本発明の実施の形態１における電子証明書の記載内容の一例を示す図である。
【図９】本発明の実施の形態１における条件判断テーブルの内容例を示す図である。
【図１０】本発明の実施の形態１におけるサーバアプリの機能構成を示すブロック図である。
【図１１】本発明の実施の形態１におけるＭＦＰの機能構成を示すブロック図である。
【図１２】本発明の実施の形態１における判断ポリシーテーブルの一例を示す図である。
【図１３】本発明の実施の形態１におけるログ収集サーバの機能構成を示すブロック図である。
【図１４】本発明の実施の形態１におけるＭＦＰ管理テーブルのデータ構造例を示す図である。
【図１５】本発明の実施の形態１においてログ保存部に格納される通信ログのデータ構造例を示す図である。
【図１６】本発明の実施の形態１において、ＣＡサーバが、試用版証明書を発行する際に実行される処理を示すフローチャートである。
【図１７】本発明の実施の形態１において、ＣＡサーバが、本運用証明書を発行する際に実行される処理を示すフローチャートである。
【図１８】本発明の実施の形態１において、サーバアプリが、試用版証明書を要求する際に実行される処理を示すフローチャートである。
【図１９】本発明の実施の形態１において、サーバアプリが、本運用証明書を発行要求する際に実行される処理を示すフローチャートである。
【図２０】本発明の実施の形態１において、ＭＦＰがサーバアプリと通信する際に実行する処理を示すフローチャートである。
【図２１】本発明の実施の形態１において、ログ収集サーバが通信ログを送信する処理を示すフローチャートである。
【図２２】本発明の実施の形態１における通信システムの処理の流れを示すシーケンス図である。
【図２３】本発明の実施の形態１における通信システムの処理の流れを示すシーケンス図である。
【図２４】本発明の実施の形態１の変形例１におけるＣＡサーバの機能構成を示すブロック図である。
【図２５】本発明の実施の形態１の変形例１における判断開始条件テーブルのデータ構造例を示す図である。
【図２６】本発明の実施の形態１の変形例２におけるＣＡサーバの機能構成を示すブロック図である。
【図２７】本発明の実施の形態１の変形例２における判断結果保存テーブルのデータ構造例を示す図である。
【図２８】本発明の実施の形態２におけるＣＡサーバの機能構成を示すブロック図である。
【図２９】本発明の実施の形態２において、ＣＡサーバが実行する証明書失効判断処理を示すフローチャートである。
【図３０】本発明の実施の形態３における通信システムの構成例を示す図である。
【図３１】本発明の実施の形態３におけるＣＡサーバの機能構成を示すブロック図である。
【図３２】本発明の実施の形態３におけるサーバアプリの機能構成を示すブロック図である。
【図３３】本発明の実施の形態３において、サーバアプリが本運用証明書の発行可否判断を行なう際に実行される処理を示すフローチャートである。
【発明を実施するための形態】
【００２３】
本発明の実施の形態について図面を参照しながら詳細に説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰返さない。
【００２４】
本発明の実施の形態において、サーバアプリケーションは、入手しやすい状態とされており、通信装置（たとえば一般的なパーソナルコンピュータ）は、サーバアプリケーションを自由にインストールすることができる。
【００２５】
サーバアプリケーションをインストールした通信装置（以下「管理サーバ」という）が、ＭＦＰなどの画像処理装置と通信するためには、認証用に電子証明書が必要となる。本実施の形態では、管理サーバから電子証明書の発行要求があると、認証局（認証装置）と呼ばれる証明書発行装置（以下「ＣＡ（Certificate Authority）サーバ」という）は、管理サーバの正当性を判断することなく無条件に電子証明書を発行する。したがって、管理サーバは、すぐに、電子証明書を用いた通信により画像処理装置の管理を開始することができる。ただし、サーバアプリケーションのインストール時に電子証明書が発行された直後の管理サーバは、所定の通信制限が設定されている。
【００２６】
本実施の形態の通信システムは、サーバアプリケーションの運用を監視する監視装置を含んでおり、当該監視装置は、管理サーバに対して電子証明書が発行された後の所定のタイミングで、少なくとも管理サーバの使用実績を判定することで管理サーバの正当性を判定する。そして、その判定結果に応じて、管理サーバの通信制限を変更（緩和または厳しく）することができる。したがって、本実施の形態の通信システムによれば、正しく運用されていない管理サーバを排除することができる。
【００２７】
以下に、具体的な実施の形態について説明する。なお、以下の説明では、サーバアプリケーションがインストールされた管理サーバを、便宜上「サーバアプリ」という。
【００２８】
［実施の形態１］
＜構成について＞
はじめに、本実施の形態における通信システムおよび各装置の構成例について説明する。
【００２９】
（通信システムの概略構成）
図１は、本発明の実施の形態１における通信システムの構成例を示す図である。
【００３０】
図１を参照して、本実施の形態における通信システムは、各ノードの正当性を証明するための電子証明書を発行するＣＡサーバ２０と、管理サーバであるサーバアプリ３０と、サーバアプリ３０と通信する１台以上のＭＦＰ４０と、ＭＦＰ４０と通信し、サーバアプリ３０とＭＦＰ４０間の通信ログ（通信履歴）を取得するログ収集サーバ５０とを含む。サーバアプリ３０とＭＦＰ４０とは、同一のイントラネット１２上に存在している。ＣＡサーバ２０とサーバアプリ３０、また、ＭＦＰ４０とログ収集サーバ５０は、インターネット１０を介して通信される。
【００３１】
本実施の形態において、ＣＡサーバ２０が、上述の監視装置として機能する。つまり、ＣＡサーバ２０は、サーバアプリ３０を監視する機能を有している。
【００３２】
なお、ログ収集サーバ５０は、イントラネット１２上にあってもよい。つまり、たとえば、ＭＦＰ４０を利用する顧客の会社内に、ログ収集サーバ５０が設置されてもよい。または、ログ収集サーバ５０は、監視装置としても機能するＣＡサーバ２０と、同一の装置であってもよい。つまり、ＣＡサーバ２０は、ＭＦＰ４０から直接、通信ログを収集してもよい。その場合、ログ収集サーバ５０は、通信システムに含まれなくてよい。
【００３３】
また、サーバアプリ３０は、インターネット１０上に存在してもよい。つまり、インターネット１０上のサービスとして、サーバアプリ３０の機能が提供されてもよい。または、サーバアプリ３０は、ＭＦＰ４０のうち１台と同一であってもよい。つまり、ＭＦＰ４０に、サーバアプリケーションがインストールされていてもよい。
【００３４】
なお、本実施の形態では、画像処理装置の全てがＭＦＰとして説明するが、限定的ではなく、これらの全てまたは一部は、たとえば複写機、ファクシミリ装置、スキャナ装置などであってもよい。
【００３５】
（各装置のハードウェア構成）
図２は、本発明の実施の形態１に係るＣＡサーバ２０のハードウェア構成を模式的に示す図である。図３は、本発明の実施の形態１に係るサーバアプリ３０のハードウェア構成を模式的に示す図である。図４は、本発明の実施の形態１に係るＭＦＰ４０のハードウェア構成を模式的に示す図である。図５は、本発明の実施の形態１に係るログ収集サーバ５０のハードウェア構成を模式的に示す図である。
【００３６】
図２を参照して、ＣＡサーバ２０は、当該ＣＡサーバ２０の動作を全体的に制御するＣＰＵ２１、ＣＰＵ２１のワークエリアとして機能するＲＡＭ（Random Access Memory）２２、プログラムやデータなどを記憶するＲＯＭ（Read Only Memory）２３、ユーザからの指示を受付けるためのキーボードなどの入力部２４、インターネット１０などのネットワークを介して他装置と通信するための通信インターフェイス２５、各種情報を表示するためのモニタ２６、プログラムやファイルを記憶するハードディスクを備えるハードディスク装置（ＨＤＤ）２７、および、着脱可能なＣＤ−ＲＯＭ等の記録媒体２８Ａにアクセスするメディアドライブ２８を備えている。
【００３７】
サーバアプリ３０およびログ収集サーバ５０のハードウェア構成も、ＣＡサーバ２０と同様であってよい。図３を参照して、サーバアプリ３０は、ＣＰＵ３１、ＲＡＭ３２、ＲＯＭ３３、入力部３４、通信インターフェイス３５、モニタ３６、ＨＤＤ３７、記録媒体３８Ａにアクセスするメディアドライブ３８を備えている。図５を参照して、ログ収集サーバ５０は、ＣＰＵ５１、ＲＡＭ５２、ＲＯＭ５３、入力部５４、通信インターフェイス５５、モニタ５６、ＨＤＤ５７、記録媒体５８Ａにアクセスするメディアドライブ５８を備えている。各デバイスの機能は、ＣＡサーバ２０において説明した機能と同様であるので説明は繰返さない。
【００３８】
図４を参照して、各ＭＦＰ４０は、制御部４１と、メモリ部４２と、画像読取部４３と、プリント部４４と、通信インターフェイス４５と、操作パネル部４６と、記憶部４７とを含む。
【００３９】
制御部４１は、代表的にＣＰＵなどの演算装置から構成され、プログラムを実行することで本実施の形態に従う監視処理を実現する。メモリ部４２は、代表的にＤＲＡＭ（Dynamic Random Access Memory）などの揮発性の記憶装置であり、制御部４１で実行されるプログラムやプログラムの実行に必要なデータなどを保持する。画像読取部４３は、原稿を読み取って画像を取得する。プリント部４４は、紙媒体などへの印刷処理を行なう。プリント部４４は、プリント処理に係るハードウェア構成に加えて、各部の作動を制御するための制御装置をも含む。
【００４０】
通信インターフェイス４５は、イントラネット１２内でサーバアプリ３０との間でデータを送受信したり、インターネット１０を介してログ収集サーバ５０との間でデータを送受信したりする。通信インターフェイス４５は、たとえば、ＬＡＮアダプタおよびそれを制御するドライバソフトなどを含む。操作パネル部４６は、たとえば、液晶表示装置やタッチパネルなどから構成される表示パネルと、複数の操作ボタンとを含む。記憶部４７は、代表的にハードディスク装置やフラッシュメモリなどの不揮発性の記憶装置であり、制御部４１の動作のためのプログラムや各種データを格納する。
【００４１】
各ＭＦＰ４０は、さらに、着脱可能なＣＤ−ＲＯＭ（Compact Disk Read Only Memory）等の記録媒体にアクセス可能なメディアドライブ（図示せず）を含んでもよい。
【００４２】
（ＣＡサーバ２０の機能構成）
図６は、本発明の実施の形態１におけるＣＡサーバ２０の機能構成を示すブロック図である。
【００４３】
図６を参照して、ＣＡサーバ２０は、通信部２０１と、証明書発行部２０２と、ＣＲＬ（Certificate Revocation List）発行部２０３と、判断部２０４と、ログ収集部２０５と、証明書管理テーブル２０６と、条件判断テーブル２０７とを含む。
【００４４】
通信部２０１は、ネットワーク上の他装置と通信する。具体的には、サーバアプリ３０およびログ収集サーバ５０との間でデータの送受信を行なう。通信部２０１は、図２に示した通信インターフェイス２５に相当する。
【００４５】
証明書発行部２０２は、電子証明書を発行する。典型的には、証明書発行部２０２は、公開鍵基盤（ＰＫＩ：Public Key Infrastructure）に基づくデジタル署名を付した証明書を発行する。電子証明書は、公開鍵基盤のうち、たとえば、ＩＴＵ−Ｔ（International Telecommunication Union Telecommunication Standardization Sector）によって定められているＸ．５０９勧告に従う構成をとるものとする。電子証明書のデータ構造例については、図８を参照して後述する。
【００４６】
本実施の形態において、証明書発行部２０２は、サーバアプリ３０に対し、２種類の電子証明書すなわち、試用版証明書および本運用証明書を、条件に応じて発行する。
【００４７】
ＣＲＬ発行部２０３は、ＣＲＬを生成し、生成したＣＲＬを発行する処理を行なう。ＣＲＬは、有効期間内に失効させられた電子証明書の一覧であり、電子証明書を受取った装置は、ＣＲＬと照合することにより、受取った電子証明書が現在も有効であるかどうかを確認することができる。
【００４８】
証明書管理テーブル２０６は、証明書発行部２０２により発行された電子証明書を管理する。証明書管理テーブル２０６は、たとえば、図２に示したハードディスク２７に含まれる。
【００４９】
図７は、証明書管理テーブル２０６のデータ構造例を示す図である。証明書管理テーブル２０６に格納される各管理データは、たとえば、シリアル番号、発行先、発行者、有効期間の開始日時、有効期間の終了日時、利用目的、試用期間であるか否かの情報、および、失効済みであるか否かの情報を含む。
【００５０】
試用期間の項目が「ＹＥＳ」の管理データは、管理対象の証明書の種類が試用版であることを示す。試用期間の項目が「ＮＯ」の管理データは、管理対象の証明書の種類が本運用の証明書であることを示す。
【００５１】
ここで、試用版証明書と本運用証明書との違いの１つは、試用版証明書のほうが、有効期間が短い点である。たとえば、図７の証明書管理テーブル２０６に示されるように、試用版証明書の有効期間は１週間であるのに対し、本運用の証明書は３年の有効期間が設定されている。このように、本実施の形態では、試用版証明書の有効期間が本運用証明書よりも短く設定されることで、サーバアプリ３０に対して通信制限が設定される。なお、通信制限の種類は、証明書の有効期間に限定されず、たとえば、試用期間の間の有効な通信回数や通信先を通信制限として設定してもよい。
【００５２】
また、本実施の形態では、試用版証明書と本運用証明書との違いの他の１つとして、利用目的の項目に示されるように、試用版証明書は使用用途が制限されてもよい。つまり、本運用証明書は、認証および暗号化（「認証／暗号化」）を目的として使用され得るが、試用版証明書は、認証用に限定されてもよい。
【００５３】
失効済みの項目が「ＹＥＳ」の管理データは、管理対象の証明書が失効されたことを示すものであり、失効のフラグを立てた状態で失効済みの電子証明書の管理データは、保存される。なお、有効期間の終了日時が過ぎた時点で当該管理データを消去するようにしても良い。
【００５４】
図８は、本発明の実施の形態１における電子証明書の記載内容の一例を示す図である。上記したように、本実施の形態における電子証明書は、Ｘ．５０９形式に従った複数の項目（シリアル番号、有効期間開始／終了日時、など）を含んでおり、各項目には、その証明書に特有のデータが格納される。
【００５５】
再び図６を参照して、ログ収集部２０５は、通信部２０１を介して、ログ収集サーバ５０が収集した通信ログを収集する。判断部２０４は、サーバアプリ３０の正当性を判断するために、サーバアプリ３０の使用実績および不正通信の有無を判断する。これにより、サーバアプリ３０に設定された通信制限を緩和するか否か、つまり、本運用証明書を発行するか否かが決定される。本実施の形態では、条件判断テーブル２０７と、ログ収集部２０５が収集した通信ログとに基づいて、サーバアプリ３０の正当性が判断される。判断部２０４による判断結果は、証明書発行部２０２に出力される。
【００５６】
図９は、本発明の実施の形態１における条件判断テーブル２０７の内容例を示す図である。条件判断テーブル２０７は、サーバアプリ３０が正しく運用されていることを示す複数の条件、すなわち、本運用証明書の発行を許可するのに必要な条件を予め格納する。条件判断テーブル２０７は、たとえば、図２に示したハードディスク２７に含まれる。
【００５７】
条件判断テーブル２０７には、本運用証明書の発行許可条件として、サーバアプリ３０の使用実績を判断するための使用頻度を示す条件、および、サーバアプリ３０の不正通信の有無を示す条件が含まれる。
【００５８】
本実施の形態では、条件Ｎｏ．１として、「サーバアプリの通信回数が１日に１０回以上、３００回未満」が設定されている。１０回以上との条件は、使用実績を判断するための条件であり、３００回未満との条件は、不正通信（不正利用）の有無を判断するための条件である。２０台のＭＦＰを管理するサーバアプリが各ＭＦＰと毎日４回通信すると設定されているとすると、１日の通信回数は平均８０回となるが、これを大きく超える回数の通信があった場合は、不正な通信である可能性が高いからである。
【００５９】
条件Ｎｏ．３として設定された「サーバアプリに接続するＭＦＰ数が５台以上」という条件は、使用実績を判断するための条件である。他の条件Ｎｏ．２，４〜８は、不正通信の有無を判断するための条件として設定されている。具体的には、「サーバアプリの通信データ量が１回１０ＭＢ未満」（条件Ｎｏ．２）、「証明書認証失敗回数０回」（条件Ｎｏ．４）、「証明書認証成功回数１０回以上」（条件Ｎｏ．５）、「所定の通信プロトコル（たとえばＨＴＴＰ（HyperText Transfer Protocol）／ＦＴＰ（File Transfer Protocol）／ＳＭＴＰ（Simple Mail Transfer Protocol））のみ」（条件Ｎｏ．６）、「所定の種類のリクエスト（たとえば、消耗品残量取得、使用量取得、故障情報取得）のみ」（条件Ｎｏ．７）、「リクエストエラー回数２０回未満」（条件Ｎｏ．８）が設定されている。
【００６０】
なお、条件判断テーブル２０７には、これらのうち一部のみが格納されてもよい。ただし、サーバアプリ３０の使用実績を判断するための条件は少なくとも１つ格納されることが望ましい。
【００６１】
上述の証明書発行部２０２、ＣＲＬ発行部２０３、判断部２０４およびログ収集部２０５の機能は、図２に示したＣＰＵ２１がソフトウェアを実行することで実現されてよい。たとえば、これらの機能部それぞれに対応するモジュールを含んだプログラムがハードディスク２７に格納されている。なお、これらのうちの少なくとも１つは、ハードウェアで実現されてもよい。
【００６２】
（サーバアプリ３０の機能構成）
図１０は、本発明の実施の形態１におけるサーバアプリ３０の機能構成を示すブロック図である。
【００６３】
図１０を参照して、サーバアプリ３０は、通信部３０１と、証明書保存部３０２と、証明書リクエスト部３０３とを含む。
【００６４】
通信部３０１は、ネットワーク上の他装置と通信する。具体的には、ＣＡサーバ２０およびＭＦＰ４０との間でデータの送受信を行なう。通信部３０１は、図３に示した通信インターフェイス３５に相当する。
【００６５】
証明書保存部３０２は、ＣＡサーバ２０より発行された電子証明書すなわち、試用版証明書または本運用証明書を保存する。証明書保存部３０２は、たとえば、図３に示したハードディスク３７に含まれてよい。
【００６６】
証明書リクエスト部３０３は、所定のタイミングで、試用版証明書および本運用証明書の発行要求を生成し、各証明書の発行要求を通信部３０１を介してＣＡサーバ２０に送信する。証明書リクエスト部３０３の機能は、図３に示したＣＰＵ３１がソフトウェアを実行することにより実現されてよい。たとえば、証明書リクエスト部３０３に対応するモジュールを含んだプログラムがハードディスク３７に格納されている。
【００６７】
（ＭＦＰ４０の機能構成）
図１１は、本発明の実施の形態１におけるＭＦＰ４０の機能構成を示すブロック図である。
【００６８】
図１１を参照して、ＭＦＰ４０は、通信部４０１と、証明書保存部４０２と、通信判断部４０３と、通信ログ保存部４０４と、通信ログ出力部４０５と、判断ポリシーテーブル４０６とを含む。
【００６９】
通信部４０１は、ネットワーク上の他装置と通信する。具体的には、サーバアプリ３０およびログ収集サーバ５０との間でデータの送受信を行なう。通信部４０１は、図４に示した通信インターフェイス４５に相当する。
【００７０】
証明書保存部４０２は、通信部４０１を介してサーバアプリ３０より受信した電子証明書を一時保存する。証明書保存部４０２は、たとえば、図４に示したメモリ部４２に含まれてよい。
【００７１】
通信判断部４０３は、判断ポリシーテーブル４０６に基づいて、証明書保存部４０２に一時保存したサーバアプリ３０の電子証明書（試用版証明書もしくは本運用証明書）、および、リクエストの種類の正当性を検証することで、サーバアプリ３０との通信の可否を判断する。
【００７２】
図１２は、判断ポリシーテーブル４０６の一例を示す図である。判断ポリシーテーブル４０６は、サーバアプリ３０との通信が可能と判断するための複数のポリシーを予め格納する。判断ポリシーテーブル４０６は、たとえば、サーバアプリ図４に示した記憶部４７に含まれる。
【００７３】
通信判断部４０３により通信可能と判断されると、リクエストの種類に応じた情報が、通信部４０１を介してサーバアプリ３０に送信される。
【００７４】
通信ログ保存部４０４は、サーバアプリ３０との通信が生じたときに、その内容を示す通信ログ（通信履歴）を保存する。通信ログ保存部４０４は、たとえば、図４に示した記憶部４７に含まれてよい。
【００７５】
通信ログ出力部４０５は、通信ログ保存部４０４に保存された通信ログを通信部４０１を介してログ収集サーバ５０に送信する。
【００７６】
上述の通信判断部４０３および通信ログ出力部４０５の機能は、制御部４１がソフトウェアを実行することにより実現されてもよい。たとえば、これらの機能部それぞれに対応するモジュールを含んだプログラムが記憶部４７に格納されている。なお、これらのうち少なくとも１つについてはハードウェアで実現されてもよい。
【００７７】
なお、ＭＦＰ４０も、自身の電子証明書を保持し、サーバアプリ３０と通信する際には、互いの電子証明書を利用したセキュア通信を行なってもよい。
【００７８】
（ログ収集サーバ５０の機能構成）
図１３は、本発明の実施の形態１におけるログ収集サーバ５０の機能構成を示すブロック図である。
【００７９】
図１３を参照して、ログ収集サーバ５０は、通信部５０１と、ログ収集部５０２と、ログ保存部５０３と、ログ出力部５０４と、ＭＦＰ管理テーブル５０５とを含む。
【００８０】
通信部５０１は、ネットワーク上の他装置と通信する。具体的には、ＣＡサーバ２０およびＭＦＰ４０との間でデータの送受信を行なう。通信部５０１は、図５に示した通信インターフェイス５５に相当する。
【００８１】
ログ収集部５０２は、ＭＦＰ管理テーブル５０５に登録されたＭＦＰ４０からの通信ログを収集する。
【００８２】
図１４は、ＭＦＰ管理テーブル５０５のデータ構造例を示す図である。ＭＦＰ管理テーブル５０５は、ログ収集対象のＭＦＰ４０の識別情報およびログ取得タイミングを管理する。具体的には、各管理データは、たとえば、シリアル番号、利用者名、機種名、登録日時、および、ログ取得時間を含む。なお、サーバアプリ３０とＭＦＰ４０間の通信がある度にＭＦＰ４０から自動的に通信ログが送信される場合には、ログ取得時間の項目は不要である。
【００８３】
ＭＦＰ管理テーブル５０５は、たとえば、図５に示したハードディスク５７に含まれる。なお、ＭＦＰ管理テーブル５０５への管理データの登録方法については特に問わない。
【００８４】
ログ保存部５０３は、ログ収集部５０２により収集された通信ログを保存する。
図１５は、本発明の実施の形態１においてログ保存部５０３に格納される通信ログのデータ構造例を示す図である。ここでは、通信システムに複数のサーバアプリが含まれる例が示されている。ログ保存部５０３もまた、ハードディスク５７に含まれてよい。
【００８５】
図１５を参照して、各通信ログは、インデックス（Index）により管理され、日時、通信元（サーバアプリ）のＩＰアドレス、通信先（ＭＦＰ）のＩＰアドレス、通信元のＭＡＣアドレス、通信元証明書の識別情報、通信プロトコル、リクエストの種類、正常終了の有無、エラーの種類、および、データ量を含む。
【００８６】
なお、本実施の形態では、通信元のサーバアプリを特定するために、ＩＰアドレスとＭＡＣアドレスとの両方を通信ログに含めることとしたが、これらのうちいずれか一方のみが含まれてもよい。ただし、ＩＰアドレスは固定でない場合があるため、両方のアドレスを通信ログに含めることが望ましい。また、通信元のサーバアプリは、通信元証明書だけでも特定可能であるため、通信ログに、通信元のアドレス自体が含まれない構成であってもよい。
【００８７】
ログ出力部５０４は、通信部５０１を介してＣＡサーバ２０から通信ログの要求を受信すると、ログ保存部５０３に保存された通信ログのうち、証明書発行の可否が判断されるサーバアプリ３０の通信ログを抽出する。抽出された通信ログは、通信部５０１を介してＣＡサーバ２０に送信される。
【００８８】
上述のログ収集部５０２およびログ出力部５０４の機能は、図５に示したＣＰＵ５１により実現されてよい。たとえば、これらの機能部それぞれに対応するモジュールを含んだプログラムがハードディスク５７に格納されている。なお、これらのうちの少なくとも１つについては、ハードウェアで実現されてもよい。
【００８９】
＜動作について＞
次に、本実施の形態における各装置の動作について説明する。
【００９０】
（ＣＡサーバ２０の動作）
図１６は、本発明の実施の形態１において、ＣＡサーバ２０が、試用版証明書を発行する際に実行される処理を示すフローチャートである。
【００９１】
図１６を参照して、通信部２０１は、サーバアプリ３０から、試用版証明書の発行要求を受信する（ステップＳ２）。サーバアプリ３０が、サーバアプリケーションをインストールした後初めて証明書の発行を要求する場合には、試用版証明書の発行要求が送信される。
【００９２】
試用版証明書の発行要求を受信すると、証明書発行部２０２は、試用版証明書の発行処理を実行する（ステップＳ４）。具体的には、証明書発行部２０２は、通信部２０１が受信した発行要求に基づいて、試用版証明書を生成する。試用版証明書の構成は、図８に示すようなものであってよい。証明書発行部２０２はまた、証明書管理テーブル２０６に、生成した試用版証明書の管理データを登録する。証明書発行部２０２は、生成した試用版証明書を、通信部２０１を介して、サーバアプリ３０に対して送信する。
【００９３】
図１７は、本発明の実施の形態１において、ＣＡサーバ２０が、本運用証明書を発行する際に実行される処理を示すフローチャートである。
【００９４】
図１７を参照して、通信部２０１は、サーバアプリ３０から、本運用証明書の発行要求を受信する（ステップＳ１２）。本運用証明書の発行要求を受信すると、まず、サーバアプリ３０の試用版証明書が証明書管理テーブル２０６に登録されているかが確認された後、ログ収集部２０５は、通信部２０１を介して、ログ収集サーバ５０からサーバアプリ３０とＭＦＰ４０間の通信ログを取得（収集）する（ステップＳ１４）。
【００９５】
判断部２０４は、図９に示したような条件判断テーブル２０７に記録された条件に基づいて、サーバアプリ３０とＭＦＰ４０間の通信ログから、サーバアプリ３０に対する本運用証明書発行の可否を判断する（ステップＳ１６）。つまり、サーバアプリ３０が正常に運用されているかどうかをチェックする。
【００９６】
具体的には、たとえば、条件判断テーブル２０７に記録された複数の条件のうち１つでも満たさないものがあれば、通信不能と判断してもよい。あるいは、全ての条件を満たしていないくても所定数以上の条件を満たしていれば、通信可能と判断してもよい。
【００９７】
ここで、条件判断テーブル２０７と通信ログとに基づいた、本運用証明書の発行可否判断の具体例について説明する。
【００９８】
たとえば、１日に１００回の通信がサーバアプリ３０から来ている場合は、条件Ｎｏ．１を満たすが、１日に２回の通信しかサーバアプリ３０から来ていない場合は、条件Ｎｏ．１を満たさないので、発行不可と判断する。また、サーバアプリ３０に接続するＭＦＰ４０の数が５台未満である場合（つまり、５台未満のＭＦＰ４０との通信ログしかない場合）には、条件Ｎｏ．３を満たさないので、発行不可と判断する。このような判断をすることにより、ほとんど利用されていないサーバアプリを排除することができる。
【００９９】
また、１日に１０００回の通信がサーバアプリ３０から来ている場合は、条件Ｎｏ．１を満たさないので、発行不可と判断する。これにより、不正な動作をしているサーバアプリを排除することができる。
【０１００】
また、サーバアプリ３０の通信データ量が１５ＭＢの通信ログがあれば、条件Ｎｏ．２を満たさないので、発行不可と判断する。サーバアプリ３０の１回当たりの通信データ量は毎回ほぼ同じ量と想定すると、これを大きく超える通信量の通信があった場合は、不正な通信である可能性が高いからである。これにより、サーバアプリ３０が不正なデータを送りつけるなどの不正な操作をした場合に、本運用証明書の発行を拒否することができる。
【０１０１】
また、証明書認証失敗回数が複数回ある場合や、証明書認証の成功回数が１０回未満である場合には、条件Ｎｏ．４，５を満たさないので、発行不可と判断する。サーバアプリ３０が、ＣＡサーバ２０から発行された証明書を使用しているのであれば、証明書の検証に成功するはずである。そのため、証明書の検証に失敗する場合は、不正なＣＡサーバから発行された証明書、あるいは改ざんされた証明書を利用した不正な通信である可能性が高いからである。これにより、不正な証明書を使用して通信しようと試みるサーバアプリを排除することができる。
【０１０２】
また、通信プロトコルが、条件Ｎｏ．６として予め定められているもの以外での通信要求の通信ログがあれば、発行不可と判断する。これにより、使用されるはずのないプロトコルを使用して不正アクセスしようとするサーバアプリ３０に対し、本運用証明書の発行を拒否することができる。
【０１０３】
また、リクエストの種類が、条件Ｎｏ．７として予め定められたもの以外の通信ログがあれば、発行不可と判断する。これにより、不正なリクエストを送信する悪質なサーバアプリを、本運用証明書の発行を拒否することで排除することができる。
【０１０４】
また、許可されたリクエストの種類であっても、リクエストがエラーとなっている回数が２０回以上であれば、条件Ｎｏ．８を満たさないので、発行不可と判断する。数回のエラーであれば、通信によるデータの欠損や、一時的な設定ミス等が考えられるが、数十回のエラーとなると、不正な利用である可能性が高いからである（たとえば、サーバアプリ３０から送信されるデータ形式が異なる、等）。これにより、不正な利用を試みるサーバアプリを、本運用証明書の発行を拒否することで排除することができる。
【０１０５】
ステップＳ１６において本運用証明書の発行が可能と判断された場合（ステップＳ１６において「ＯＫ」）、証明書発行部２０２は、本運用証明書の発行処理を実行する（ステップＳ１８）。具体的には、まず、証明書管理テーブル２０６に記録されたサーバアプリ３０の試用版証明書または本運用証明書要求の情報に基づき、サーバアプリ３０の本運用証明書を新たに生成する。本運用証明書では、試用版証明書で設定されていた通信制限（短い有効期限，通信回数など）が解除される。そして、生成した本運用証明書の情報を証明書管理テーブル２０６に記録し、通信部２０１を介してサーバアプリ３０に対して発行許可通知とともに本運用証明書を送信する。これにより、信頼度が高い（信用できる）サーバアプリ３０に対しては、自動的に本運用証明書を発行することができる。
【０１０６】
これに対し、ステップＳ１６において本運用証明書の発行が不可能と判断された場合には（ステップＳ１６において「ＮＧ」）、証明書発行部２０２は、通信部２０１を介して、サーバアプリ３０に対して本運用証明書の発行拒否通知を送信する（ステップＳ２０）。ここで、ＣＲＬ発行部２０３は、サーバアプリ３０が現在有している試用版証明書を失効させるため、ＣＲＬを生成してもよい。この場合、証明書発行部２０２は、証明書管理テーブル２０６に管理されている、サーバ３０の試用版証明書の管理データにおける「失効済み」の項目を「Ｎｏ」から「Ｙｅｓ」に書き換える。ＣＲＬ発行部２０３は、通信部２０１を介して、サーバアプリ３０およびＭＦＰ４０に対し、生成したＣＲＬを送信する。これにより、信頼度が低い（信用できない）サーバアプリ３０に対しては、試用期間を自動的に終了させることができる。
【０１０７】
なお、本実施の形態では、本運用証明書の発行が不可と判断された場合、試用期間を終了させることとしたが、試用期間を継続し、経過を観察することとしてもよい。具体的には、証明書発行部２０２は、元の試用版証明書の情報に基づいて、新たな試用版証明書を生成し、その証明書の管理データを、証明書管理テーブル２０６に登録してもよい。このようにして生成された新たな試用版証明書は、通信部２０１を介してサーバアプリ３０に送信される。なお、このような処理を行なう場合、ＣＡサーバ２０は、たとえば、試用版証明書の発行回数を保持しておき、規定の発行回数に到達した場合に、本運用証明書の発行は不可と判断することとしてもよい。
【０１０８】
また、本実施の形態では、サーバアプリ３０からの本運用証明書の発行要求によって、本運用証明書の発行可否判断を行なうこととしたが、限定的ではない。たとえば、ＣＡサーバ２０が、証明書管理テーブル２０６における試用版証明書の有効期限をチェックし、残りの有効期間が一定値以下（たとえば残り１日）になった場合に、通信ログを取得して、本運用証明書の発行可否判断を行なってもよい。他の変形例については、後の「変形例１」において図２４および図２５を参照して詳細に説明する。
【０１０９】
また、本実施の形態では、判断部２０４において本運用証明書の発行可否判断のみを行なったが、サーバアプリ３０の信頼度をさらに判定することとしてもよい。具体的には、たとえば、条件判断テーブル２０７の条件Ｎｏごとに、サーバアプリの信頼度を示すポイント数も記録されており、サーバアプリ３０が満たしていると判断された条件Ｎｏに対応するポイント数を加算し、その合計ポイントを信頼度として出力してもよい。
【０１１０】
このような場合、証明書発行部２０２は、判断部２０４による信頼度の判定結果に応じて、本運用証明書の有効期間を設定することができる。つまり、信頼度に応じて、試用版証明書で設定されていた通信制限を緩和する度合いを変えてもよい。
【０１１１】
たとえば、サーバアプリ３０の信頼度が第１の閾値（たとえば１００を最大とした場合９０ポイント）以上と判断された場合には、本運用証明書の有効期間を、最長の期間（たとえば５年）に設定する。信頼度が、第１の閾値よりも低い第２の閾値（たとえば８０ポイント）以下と判断された場合には、最大の有効期間よりも短い期間（たとえば４年間）に有効期限を設定してもよい。
【０１１２】
（サーバアプリ３０の動作）
図１８は、サーバアプリ３０が、試用版証明書を要求する際に実行される処理を示すフローチャートである。
【０１１３】
図１８を参照して、証明書リクエスト部３０３は、試用版証明書の発行要求を生成し、通信部３０１を介してＣＡサーバ２０に生成した発行要求を送信する（ステップＳ３２）。試用版証明書の発行要求は、たとえば、ユーザからの指示があった場合に実行されてよい。あるいは、サーバアプリケーションをインストールした後の初回起動時に自動的に生成されてもよい。
【０１１４】
試用版証明書の発行要求を送信すると、ＣＡサーバ２０において無条件に試用版証明書が発行されるため、通信部３０１を介して試用版証明書が取得（受信）される（ステップＳ３４）。取得された試用版証明書は、証明書保存部３０２に保存される。
【０１１５】
図１９は、サーバアプリ３０が、本運用証明書を発行要求する際に実行される処理を示すフローチャートである。
【０１１６】
図１９を参照して、証明書リクエスト部３０３は、証明書保存部３０２に保存されている試用版証明書の有効期限をチェックし、証明書の更新が必要か否かを判断する（ステップＳ４２）。具体的には、試用版証明書の残りの有効期間が閾値以下であるか否かが判断される。このように、有効期間終了以前に証明書リクエストのタイミングが判断されるのは、サーバアプリケーションを使用できない期間を発生させないようにするためである。残りの有効期間が閾値以下と判断された場合（ステップＳ４２においてＮＯ）、ステップＳ４４に進む。それ以外の場合には（ステップＳ４２においてＹＥＳ）、定期的に証明書の有効期間がチェックされる。
【０１１７】
ステップＳ４４において、証明書リクエスト部３０３は、本運用証明書の発行要求を生成する。生成された発行要求が、通信部３０１を介してＣＡサーバ２０に送信される。
【０１１８】
次に、ＣＡサーバ２０から本運用証明書の発行可否通知を受信する。この通知内容が発行許可である場合（ステップＳ４６において「ＯＫ」）、通信部３０１はＣＡサーバ２０から本運用証明書を受信し、証明書保存部３０２に本運用証明書を保存する（ステップＳ４８）。
【０１１９】
これに対し、通知内容が発行拒否である場合（ステップＳ４６において「ＮＧ」）、本運用証明書の発行が拒絶されたと判断する（ステップＳ５０）。ＣＡサーバ２０からＣＲＬが送信された場合には、それを受信し保存する。本運用証明書の発行が拒絶された場合、証明書保存部３０２に保存された試用版証明書の有効期限が来るまで、サーバアプリ３０は動作し続ける。あるいは、サーバアプリとしての機能を直ちに無効化することとしてもよい。具体的には、サーバアプリ３０とＭＦＰ４０との通信を遮断することとしてもよい。または、サーバアプリ３０のデータベースへのアクセスを制限することとしてもよい。
【０１２０】
（ＭＦＰ４０の動作）
図２０は、ＭＦＰ４０がサーバアプリ３０と通信する際に実行する処理を示すフローチャートである。
【０１２１】
図２０を参照して、通信部４０１がサーバアプリ３０から証明書および通信要求を受信すると（ステップＳ６２）、通信判断部４０３は、サーバアプリ３０との通信可否を判断する（ステップＳ６４）。具体的には、サーバアプリ３０から証明書および通信要求が送信されるたびに、通信判断部４０３は、判断ポリシーテーブル４０６に基づいて、サーバアプリ３０の証明書（試用版証明書または本運用証明書）を検証する。正当な証明書と判断された場合（ステップＳ６４において「ＯＫ」）、サーバアプリ３０と通信が行なわれる（ステップＳ６６）。このとき、通信ログ保存部４０４には、今回の通信ログが保存される（ステップＳ６８）。
【０１２２】
そして、次に、通信ログ出力部４０５は、所定個以上の通信ログが保存されたかどうかを判断する（ステップＳ６９）。所定個以上の通信ログが保存されたと判断した場合（ステップＳ６９において「ＯＫ」）には、通信ログ出力部４０５は、通信ログ保存部４０４に保存された所定個以上の通信ログを、ログ収集サーバ５０に対して送信する（ステップＳ７０）。この処理が終わると、ステップＳ６２に戻る。一方、通信ログ出力部４０５は、所定個以上の通信ログが保存されていないと判断した場合（ステップＳ６９において「ＮＧ」）には、通信ログ出力部４０５は、通信ログを送信することなくステップＳ６２に戻り、通信ログが所定個以上貯まった場合にまとめて通信ログをログ収集サーバ５０に対して送信する。当該処理により効率的なデータ通信を実行することが可能となる。
【０１２３】
ステップＳ６４において、通信不可と判断された場合には（ステップＳ６４において「ＮＧ」）、サーバアプリ３０との通信を行なうことなく通信ログが保存される（ステップＳ６８）。この場合にも、保存された通信ログは、ログ収集サーバ５０に対して随時送信される（ステップ７０）。
【０１２４】
（ログ収集サーバ５０の動作）
ログ収集サーバ５０のログ収集部５０２は、通信部５０１を介してSyslogなどの通信プロトコルでＭＦＰ４０より随時送信される通信ログを取得すると、取得した通信ログを、ログ保存部５０３に保存しているものとする。
【０１２５】
図２１は、ログ収集サーバ５０が通信ログを送信する処理を示すフローチャートである。
【０１２６】
図２１を参照して、通信部５０１は、ＣＡサーバ２０から、サーバアプリ３０とＭＦＰ４０との間の通信ログの要求を受信する（ステップＳ８２）。この際、判断対象のサーバアプリ３０を特定するための情報（たとえば、サーバアプリ３０の証明書、ＩＰアドレスまたはＭＡＣアドレス）も受信している。
【０１２７】
通信ログ要求を受信すると、ログ出力部５０４は、ログ保存部５０３から、判断対象のサーバアプリ３０とＭＦＰ４０間の通信ログを抽出し、抽出した通信ログを、要求してきたＣＡサーバ２０に送信する（ステップＳ８４）。なお、ＣＡサーバ２０に送信する通信ログは、ＭＦＰ４０から取得したログそのままではなく、本運用証明書の発行可否判断に必要なデータのみに整理して送信してもよい。
【０１２８】
（通信システムにおける処理の流れ）
図２２および図２３は、本発明の実施の形態１における通信システムの処理の流れを示すシーケンス図である。図２２には、試用版証明書に関する処理の流れが示されており、図２３には、本運用証明書に関する処理の流れが示されている。
【０１２９】
図２２を参照して、サーバアプリ３０から、試用版証明書の発行要求がＣＡサーバ２０に対し送信されると（ＯＰ１）、ＣＡサーバ２０は試用版証明書を生成する（ＯＰ２）。生成された試用版証明書は、発行要求を送信してきたサーバアプリ３０に対し送信される（ＯＰ３）。サーバアプリ３０は、受信した試用版証明書を保存する（ＯＰ４）。
【０１３０】
サーバアプリ３０とＭＦＰ４０との間の通信では、ＭＦＰ４０はサーバアプリ３０に対し証明書を要求する（ＯＰ１１）。サーバアプリ３０は、このとき、試用版証明書を送信する（ＯＰ１２）。ＭＦＰ４０は、送信されてきた試用版証明書の検証を行なう（ＯＰ１３）。そして、証明書の検証結果をサーバアプリ３０に対し送信する（ＯＰ１４）。証明書の検証結果が通信可能との結果であった場合、サーバアプリ３０は、ＭＦＰ４０に対し故障情報、使用量の情報などのリクエストを送信する（ＯＰ１５）。ＭＦＰ４０は、受信したリクエストの内容に基づいて、リクエスト結果をサーバアプリ３０に送信する（ＯＰ１６）。また、ＭＦＰ４０は、今回の通信ログをログ収集サーバ５０に送信する（ＯＰ１７）。ログ収集サーバ５０は、受信した通信ログを保存する（ＯＰ１８）。
【０１３１】
図２３を参照して、サーバアプリ３０は、試用版証明書の有効期限をチェックする（ＯＰ２１）。有効期限のチェック結果に応じて、本運用証明書の発行要求をＣＡサーバ２０に対し送信する（ＯＰ２２）。本運用証明書の発行要求を受信したＣＡサーバ２０は、ログ収集サーバ５０に対し、通信ログを要求する（ＯＰ２３）。ログ収集サーバ５０は、通信ログをＣＡサーバ２０に送信する（ＯＰ２４）。ＣＡサーバ２０は、受信した通信ログおよび条件判断テーブル２０７に基づいて、本運用証明書発行の可否を判断する（ＯＰ２５）。証明書発行が可能と判断された場合には、本運用証明書が生成される（ＯＰ２６）。生成された本運用証明書は、サーバアプリ３０に送信される（ＯＰ２７）。サーバアプリ３０は、ＣＡサーバ２０より送信されてきた本運用証明書を保存する（ＯＰ２８）。
【０１３２】
以上説明したように、本実施の形態によると、サーバアプリ３０のユーザは、サーバアプリケーションのインストール時に煩雑な手続をしなくても、すぐに試用版証明書を利用して、ＭＦＰ４０の管理サーバとしての機能を開始することができる。また、試用版証明書が発行されたサーバアプリ３０の実際の通信ログに基づいて、サーバアプリ３０がサーバアプリケーションの機能を使っているか、また、不正通信していないかを判断するため、正しく運用されていないサーバアプリを確実に排除することができる。つまり、正しく運用されていないサーバアプリケーションを無効化することができる。
【０１３３】
なお、サーバアプリに対して、ＣＡサーバから機能の有効化のための、有効期限の短い証明書(キー、チケット)を発行しておくという手法を採用すれば、悪用された場合であってもすぐに有効期限が切れるため証明書を失効する手間が省ける。しかし、このような場合は、サーバアプリケーションの管理者が証明書を何度も更新する手間が発生するという不都合がある。これに対し、本実施の形態のような手法を採用すれば、シームレスに試用版証明書から本運用証明書に更新されるので、サーバアプリ３０の管理者の手間が必要なくなるというメリットも生じる。
【０１３４】
＜変形例１＞
上記実施の形態１では、サーバアプリからの本運用証明書の発行要求があった場合に、ＣＡサーバにおいて本運用証明書の発行可否を判断したが、試用版証明書の有効期限内のサーバアプリの通信ログより得られる情報に基づき、本運用証明書の発行可否を判断してもよい。
【０１３５】
図２４は、本発明の実施の形態１の変形例１におけるＣＡサーバ２０Ａの機能構成を示すブロック図である。
【０１３６】
図２４を参照して、ＣＡサーバ２０Ａは、図６に示した構成に加えて、判断開始条件テーブル２０８をさらに含む。また、判断部２０４およびログ収集部２０５それぞれに代えて、判断部２０４Ａおよびログ収集部２０５Ａを含む。
【０１３７】
図２５は、本発明の実施の形態１の変形例１における判断開始条件テーブル２０８のデータ構造例を示す図である。判断開始条件テーブル２０８は、本運用証明書の発行可否判断を開始する条件を予め格納する。具体的には、たとえば、サーバアプリ３０の累積通信回数が１００回以上（条件Ｎｏ．１）、サーバアプリ３０の通信データ総量が５０ＭＢ以上（条件Ｎｏ．２）、サーバアプリ３０と接続しているＭＦＰ４０の数が１０台以上（条件Ｎｏ．３）という条件が格納される。
【０１３８】
判断開始条件テーブル２０８は、図２に示したハードディスク２７に含まれてよい。
本変形例においては、ログ収集部２０５Ａは、一定期間（たとえば１日）ごとに、ログ収集サーバ５０から、試用版証明書の有効期限内のサーバアプリ３０とＭＦＰ４０間の通信ログを取得する。サーバアプリ３０が試用版証明書の有効期限内かどうかは、証明書管理テーブル２０６より判断できる。
【０１３９】
判断部２０４Ａは、取得した通信ログと、判断開始条件テーブル２０８に基づいて、本運用証明書の発行可否判断を開始すべきかを判断する。判断開始条件を満たしている場合には、条件判断テーブル２０７と取得した通信ログとに基づいて、上記実施の形態１で示したように本運用証明書の発行の可否判断を行なう。
【０１４０】
なお、本変形例においても、判断部２０４Ａは、実施の形態１での処理と同様に、試用期間の有効期限が切れる直前までに判断開始条件テーブル２０８の条件を満たさなかった場合にも、条件判断テーブル２０７と取得した通信ログとに基づいて、本運用証明書の発行の可否を判断することが望ましい。この場合、サーバアプリ３０側からの要求を契機として判断を開始してもよいし、ＣＡサーバ２０Ａにおいて、証明書管理テーブル２０６の試用版証明書の有効期限を検出することで判断を開始してもよい。
【０１４１】
このように、本変形例によれば、サーバアプリ３０の通信ログより得られる情報が、使用実績があると推定できるような条件を満たしていれば、本運用証明書の発行可否判断を開始する。したがって、正しく運用されているサーバアプリ３０に対しては、設定されていた試用期間を短縮して本運用を開始させることができる。
【０１４２】
＜変形例２＞
ＣＡサーバは、サーバアプリケーションが再インストールされた場合や、本運用証明書の有効期限切れにより証明書の再発行が必要になった場合などに、過去の本運用証明書の発行可否の判断結果をさらに利用して本運用証明書の発行可否を判断してもよい。
【０１４３】
図２６は、本発明の実施の形態１の変形例２におけるＣＡサーバ２０Ｂの機能構成を示すブロック図である。
【０１４４】
図２６を参照して、ＣＡサーバ２０Ｂは、図６に示した構成に加えて、判断結果保存テーブル２０９をさらに含む。また、判断部２０４に代えて、判断部２０４Ｂを含む。
【０１４５】
図２７は、判断結果保存テーブル２０９のデータ構造例を示す図である。判断結果保存テーブル２０９は、判断部２０４Ｂでの判断結果を保存する。判断結果保存テーブル２０９では、各判断結果データは、シリアル番号が付与され、発行先、発行者、判断日時、判断結果、および、理由の項目を含む。
【０１４６】
判断結果保存テーブル２０９は、図２に示したハードディスク２７に含まれてよい。
本変形例において、判断部２０４Ｂは、本運用証明書の発行可否を判断するときに、条件判断テーブル２０７と通信ログとに基づいた判断に加え、判断結果保存テーブル２０９に保存された過去の判断結果から、証明書発行の可否を判断する。
【０１４７】
たとえば、判断対象のサーバアプリ３０に対し、過去に３回以上発行ＯＫと判断されていた場合には、通信ログによる判断を行なうことなく本運用証明書の発行を可能と判断する。または、シリアル番号５に示されるように、判断結果ＮＧの理由として通信データ量が多すぎるという結果が記録されていれば、通信ログを判断することなく本運用証明書の発行を不可と判断してもよい。
【０１４８】
このように、本変形例では、過去の判断結果を利用することで、定期的に本運用証明書の発行可否を判断するような場合であっても、毎回、通信ログによる判断を行なう必要がないので、通信量の削減ならびに、ＣＰＵ２１の処理負荷を軽減することができる。
【０１４９】
なお、本変形例においては、証明書発行可否の判断時に、判断結果保存テーブル２０９より読みだした過去の判断結果に応じて、条件判断テーブル２０７の判断条件を変更することもできる。
【０１５０】
一例として、サーバアプリケーションが再インストールされた場合や、本運用証明書の有効期限切れにより証明書の再発行が必要になった場合に、前回に発行可能と判断された場合は、判断条件を緩くする。具体的には、たとえば、通常（デフォルト）の判断条件が「サーバアプリの通信回数が１日１０回以上」のとき、前回は発行許可と判断されていれば、「サーバアプリの通信回数が１日５回以上」に条件を変更する。
【０１５１】
あるいは、前回に発行拒否と判断された場合には、判断条件を厳しくする。例えば、通常の判断条件が、「サーバアプリの接続ＭＦＰ数が５台以上」のとき、前回は発行拒否と判断されていれば、「サーバアプリの接続ＭＦＰ数が１０台以上」に条件を変更する。
【０１５２】
このような変更を実現するためには、たとえば、サーバアプリ３０ごとに、条件判断テーブル２０７が設けられる。
【０１５３】
なお、試用版証明書の残りの有効期間が一定値以下となってから試用版証明書の有効期間が終わるまでの間、定期的に発行可否を判断し続けるような場合に、本変形例を適用してもよい。このような場合、試用期間の有効期限まで、本運用証明書の発行可否判断をし続けるため、有効期限切れ間際に不正通信を行なったサーバアプリをも排除することができる。
【０１５４】
または、上述したように、一度、本運用証明書の発行が不可と判断されたとしても、新たな試用版証明書を発行して経過を観察するような形態の場合に、本変形例が適用されてもよい。
【０１５５】
［実施の形態２］
次に、本発明の実施の形態２について説明する。
【０１５６】
上記実施の形態１およびその変形例１，２では、サーバアプリに対して、試用版証明書と本運用証明書との２種類の証明書を発行することで、ＭＦＰとの通信制限を変更するものであった。これに対し、本実施の形態では、本運用証明書に相当する１種類の証明書のみサーバアプリに発行され、後に、証明書の失効判断が行なわれる。
【０１５７】
以下に、上記実施の形態１との相違点について説明する。
図２８は、本発明の実施の形態２におけるＣＡサーバ２０Ｃの機能構成を示すブロック図である。
【０１５８】
図２８を参照して、ＣＡサーバ２０Ｃは、図６に示した構成に加え、定期チェック部２１０をさらに含む。また、証明書発行部２０２および判断部２０４それぞれに代えて、証明書発行部２０２Ｃおよび判断部２０４Ｃを含む。定期チェック部２１０の機能は、図２に示したＣＰＵ２１により実現されてよい。
【０１５９】
証明書発行部２０２Ｃは、サーバアプリ３０からはじめに（サーバアプリケーションのインストール時に）証明書発行要求がくると、通信制限が設定されていない通常の電子証明書を無条件で発行する。
【０１６０】
定期チェック部２１０および判断部２０４Ｃの処理については、図２９のフローチャートを参照して説明する。
【０１６１】
図２９は、本発明の実施の形態２において、ＣＡサーバ２０Ｂが実行する証明書失効判断処理を示すフローチャートである。
【０１６２】
図２９を参照して、定期チェック部２１０は、証明書発行日からの経過日数をチェックし、証明書発行日から所定の期間（たとえば１週間）経過しているか否かを判断する（ステップＳ１０２）。規定日数が経過していれば（ステップＳ１０２においてＹＥＳ）、定期チェック部２１０は判断部２０４Ｃに失効可否判断を行なうよう指示する。
【０１６３】
判断部２０４Ｃが、ログ収集部２０５にログ収集を要求すると、ログ収集部２０５は、通信部２０１を介して、ログ収集サーバ５０からサーバアプリ３０とＭＦＰ４０との間の通信ログを取得（収集）する（ステップＳ１０４）。
【０１６４】
判断部２０４Ｃは、条件判断テーブル２０７に記録された条件および取得した通信ログに基づいて、サーバアプリ３０の証明書の失効の可否を判断する（ステップＳ１０６）。これにより、サーバアプリ３０に設定された通信制限を緩和するか否か、つまり、証明書の継続利用を許可するか否かが決定される。なお、ここでの判断方法も、実施の形態１における、本運用証明書の発行可否判断と同様であってよい。
【０１６５】
判断部２０４Ｃにより証明書の利用拒否と判断された場合には（ステップＳ１０６において「ＮＧ」）、ＣＲＬ発行部２０３が、証明書管理テーブル２０６に失効情報を記録し、ＣＲＬを生成する（ステップＳ１１０）。そして、生成したＣＲＬを、通信部２０１を介してサーバアプリ３０およびＭＦＰ４０に対し送信する（ステップＳ１１２）。
【０１６６】
これに対し、判断部２０４Ｃにより証明書の利用許可と判断された場合には（ステップＳ１０６において「ＯＫ」）、判断部２０４Ｃは、通信部２０１を介して、証明書の利用許可通知をサーバアプリ３０に対し送信する（ステップＳ１０８）。
【０１６７】
このように、本実施の形態によると、ＣＡサーバ２０は、試用版証明書と本運用証明書の２種類の証明書を生成する必要はないので、処理負担を軽減しつつ、実施の形態１と同様の効果を奏することができる。
【０１６８】
［実施の形態３］
次に、本発明の実施の形態３について説明する。
【０１６９】
上記各実施の形態では、電子証明書を発行するＣＡサーバにおいて、サーバアプリケーションの不正な運用を排除するための処理を実行した。これに対し、本実施の形態では、サーバアプリ自身において、サーバアプリケーションの不正な運用を排除するための処理を実行する。つまり、本実施の形態では、サーバアプリ自身が監視装置として機能する。
【０１７０】
以下に、上記実施の形態１との相違点について説明する。
（構成について）
図３０は、本発明の実施の形態３における通信システムの構成例を示す図である。
【０１７１】
図３０を参照して、本実施の形態における通信システムは、上記実施の形態１で示したようなログ収集サーバ５０を含まない。また、ＣＡサーバ２０およびサーバアプリ３０それぞれに代えて、ＣＡサーバ２０♯およびサーバアプリ３０♯を含む。
【０１７２】
図３１は、本発明の実施の形態３におけるＣＡサーバ２０♯の機能構成を示すブロック図である。
【０１７３】
ＣＡサーバ２０♯は、図６に示したＣＡサーバ２０の構成のうち、判断部２０４、ログ収集部２０５および条件判断テーブル２０７を含まない。したがって、ＣＡサーバ２０♯は、通信部２０１、証明書発行部２０２、ＣＲＬ発行部２０３および証明書管理テーブル２０６を含む。
【０１７４】
図３２は、本発明の実施の形態３におけるサーバアプリ３０♯の機能構成を示すブロック図である。
【０１７５】
サーバアプリ３０♯は、図１０に示したサーバアプリ３０の構成に加え、通信ログ取得部３０５、通信ログ保存部３０６、証明書発行判断部３０７および条件判断テーブル３０８をさらに含む。通信ログ取得部３０５の機能は、実施の形態１におけるログ収集サーバ５０のログ収集部５０２の機能に相当する。通信ログ保存部３０６の機能は、ログ収集サーバ５０のログ保存部５０３の機能に相当する。証明書発行判断部３０７の機能は、ＣＡサーバ２０の判断部２０４の機能に相当する。条件判断テーブル３０８は、ＣＡサーバ２０の条件判断テーブル２０７に相当する。したがって、これらの機能部の詳細な説明は繰返さない。
【０１７６】
通信ログ保存部３０６および条件判断テーブル３０８は、ともに、図３に示したハードディスク３７に含まれてよい。また、通信ログ取得部３０５および証明書発行判断部３０７の機能は、ＣＰＵ３１により実現されてよい。
【０１７７】
なお、本実施の形態では、サーバアプリ３０＃自身において、サーバアプリケーションの不正な運用を排除するための処理を実行するため、通信ログ取得部３０５、通信ログ保存部３０６、証明書発行判断部３０７および条件判断テーブル３０８は、保護部３０４によって保護されていることが望ましい。つまり、保護部３０４外から保護部３０４内へのアクセスおよび保護部３０４内の改変はできないようにすることが望ましい。保護の方法としてはたとえば次のようなものが考えられる。第１の例として、保護している部分のメモリイメージをハッシュ値として保存する。第２の例として、保護部は、保護している部分用に仮想環境を設ける。保護部３０４は、保護している部分用に別ハードウェアを設ける。また、判断の内容が通信部３０１で加工されないように、通信パケットにもハッシュ値を付与したり、判断の内容を暗号化したりして、パケット自体を改ざんできないようにすることも望ましい。
【０１７８】
本実施の形態では、図３に示したＣＰＵ３１がソフトウェアプログラムを実行することにより実現されてよい。たとえば、図１０で説明したように、証明書保存部３０２，３０３と同様に、保護部３０４内の各機能部に対応するモジュールを含んだプログラムがハードディスク３７に格納されていても良く、当該プログラムを実行することにより各機能が実現されるようにすることが可能である。ハードディスク３７への格納は、例えば、記録媒体３８Ａに格納されたソフトウェアをメディアドライブ３８を用いてアクセスすることにより格納しても良いし、あるいは、通信インターフェース３５を用いて外部からインターネット１０を介してインストールしても良い。
【０１７９】
また、サーバアプリ３０＃を形成するために保護部３０４内の各機能部に対応するモジュールを耐タンパー性の専用デバイスとして予め組み込むようにすることも可能であるし、あるいは、ＵＳＢ（Universal Serial Bus）端子等を用いて当該専用デバイスを外付けで接続するようにしても良い。
【０１８０】
（動作について）
本発明の実施の形態３においても、まず、サーバアプリ３０♯は、試用版証明書を要求して、当該試用版証明書を取得するが、当該処理は、図１８で説明したのと同様であるのでその詳細な説明は繰り返さない。
【０１８１】
図３３は、本発明の実施の形態３において、サーバアプリ３０♯が本運用証明書の発行可否判断を行なう際に実行される処理を示すフローチャートである。
【０１８２】
図３３を参照して、証明書発行判断部３０７は、自装置の証明書保存部３０２に保存された試用版証明書の有効期限をチェックし、証明書の更新が必要か否かを判断する（ステップＳ２０２）。ここでの処理は、図１９に示したステップＳ４２の処理と同様であってよい。
【０１８３】
試用版証明書の残りの有効期間が閾値以下と判断された場合（ステップＳ２０２においてＮＯ）、証明書発行判断部３０７は、通信ログ保存部３０６から自装置とＭＦＰ４０間の通信ログを読出す（ステップＳ２０４）。本実施の形態においては、通信ログ取得部３０５は、ＭＦＰ４０と通信する度に通信ログを取得し、通信ログ保存部３０６に保存しているものとする。
【０１８４】
証明書発行判断部３０７は、通信ログと、条件判断テーブル３０８に基づいて、本運用証明書発行の可否を判断する（ステップＳ２０６）。ここでの可否判断は、図１７のステップＳ１６に示した処理と同様であってよい。本運用証明書発行可能と判断された場合（ステップＳ２０６において「ＯＫ」）、証明書発行判断部３０７は、通信部３０１を介して、ＣＡサーバ２０に対し本運用証明書発行を要求する（ステップＳ２０８）。その後、通信部３０１は、ＣＡサーバ２０♯より、本運用証明書の発行通知を受信し、発行された本運用証明書を証明書保存部３０２に保存する（ステップＳ２１０）。
【０１８５】
これに対し、本運用証明書の発行が不可能と判断された場合には（ステップＳ２０６において「ＮＧ」）、証明書発行判断部３０７は、通信部３０１を介して、ＣＡサーバ２０♯に対して、試用版証明書の失効を要求する（ステップＳ２１２）。その後、通信部３０１は、ＣＡサーバ２０♯より試用版証明書の失効通知を受信し、発行されたＣＲＬを受信する（ステップＳ２１４）。
【０１８６】
なお、本実施の形態において、ＣＡサーバ２０♯は、本運用証明書の発行要求を受信すると、証明書発行部２０２は、（発行可否の判断を行なうことなく、）証明書管理テーブル２０６に記録されたサーバアプリ３０の試用版証明書の情報に基づいて、サーバアプリ３０の本運用証明書を新たに生成し、生成した本運用証明書の情報を証明書管理テーブル２０６に記録する。証明書発行部２０２は、通信部２０１を介して、サーバアプリ３０♯に対し証明書発行通知とともに本運用証明書を送信する。
【０１８７】
また、通信部２０１が、サーバアプリ３０♯から、試用版証明書の失効要求を受信すると、ＣＲＬ発行部２０３が、サーバアプリ３０の試用版証明書を失効し、ＣＲＬを生成する。そして、通信部２０１を介し、サーバアプリ３０♯に対して、ＣＲＬ発行通知とともにＣＲＬを送信する。
【０１８８】
このように、本実施の形態によると、サーバアプリ自身で不正運用の有無を判断できる。したがって、複数のサーバアプリが存在する場合、実施の形態１の通信システムであれば、サーバアプリごとに本運用証明書の発行可否判断をする必要があるため、ＣＡサーバの処理負担が大きくなるが、本実施の形態によれば、ＣＡサーバの処理負担を軽減することができる。
【０１８９】
なお、上記各実施の形態および各変形例を組合わせてもよい。
また、本実施の形態の監視装置（ＣＡサーバまたは管理サーバ）が行なう、サーバアプリケーションの不正な運用を排除するための方法を、プログラムとして提供することもできる。このようなプログラムは、当該プログラムをコンピュータが読取可能な一時的でない（non-transitory）記録媒体に記録される。このような「コンピュータ読取可能な記録媒体」は、たとえば、ＣＤ−ＲＯＭ（Compact Disc-ROM）などの光学媒体や、メモリカードなどの磁気記録媒体などを含む。また、このようなプログラムをコンピュータ読み取り可能な記録媒体に記録させて、プログラム製品として提供することもできる。また、ネットワークを介したダウンロードによって、プログラムを提供することもできる。
【０１９０】
なお、本実施の形態に係るプログラムは、コンピュータのオペレーティングシステム（ＯＳ）の一部として提供されるプログラムモジュールのうち、必要なモジュールを所定の配列で所定のタイミングで呼出して処理を実行させるものであってもよい。その場合、プログラム自体には上記モジュールが含まれずＯＳと協働して処理が実行される。このようなモジュールを含まないプログラムも、本実施の形態に係るプログラムに含まれ得る。
【０１９１】
また、本実施の形態に係るプログラムは他のプログラムの一部に組込まれて提供されるものであってもよい。その場合にも、プログラム自体には上記他のプログラムに含まれるモジュールが含まれず、他のプログラムと協働して処理が実行される。このような他のプログラムに組込まれたプログラムも、本実施の形態に係るプログラムに含まれ得る。なお、プログラム製品は、プログラム自体と、プログラムが記憶された記憶媒体とを含む。
【０１９２】
今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
【符号の説明】
【０１９３】
１０ インターネット、１２ イントラネット、２０，２０Ａ，２０Ｂ，２０Ｃ ＣＡサーバ、２１，３１，５１ ＣＰＵ、２２，３２，５２ ＲＡＭ、２３，３３，５３ ＲＯＭ、２４，３４，５４ 入力部、２５，３５，４５，５５ 通信インターフェイス、２６，３６，５６ モニタ、２７，３７，５７ ハードディスク、２８，３８，５８ メディアドライブ、２８Ａ，３８Ａ，５８Ａ 記録媒体、３０ サーバアプリ、４０ ＭＦＰ、４１ 制御部、４２ メモリ部、４３ 画像読取部、４４ プリント部、４６ 操作パネル部、４７ 記憶部、５０ ログ収集サーバ、２０１，３０１，４０１，５０１ 通信部、２０２，２０２Ｃ 証明書発行部、２０３ ＣＲＬ発行部、２０４，２０４Ａ，２０４Ｂ，２０４Ｃ 判断部、２０５，２０５Ａ，５０２ ログ収集部、２０６ 証明書管理テーブル、２０７ 条件判断テーブル、２０８ 判断開始条件テーブル、２０９ 判断結果保存テーブル、２１０ 定期チェック部、３０２，４０２ 証明書保存部、３０３ 証明書リクエスト部、３０４ 保護部、３０５ 通信ログ取得部、３０６，４０４ 通信ログ保存部、３０７ 証明書発行判断部、３０８ 条件判断テーブル、４０３ 通信判断部、４０５ 通信ログ出力部、４０６ 判断ポリシーテーブル、５０３ ログ保存部、５０４ ログ出力部、５０５ 管理テーブル。
【技術分野】
【０００１】
本発明は、監視装置、監視方法および監視プログラムに関し、特に、画像処理装置を管理するためのサーバアプリケーションの運用を監視することのできる監視装置、監視方法および監視プログラムに関する。
【背景技術】
【０００２】
通信装置に、ＭＦＰ（Multi Function Peripheral）などの画像処理装置を管理するためのサーバアプリケーションがインストールされ、かつ、画像処理装置側での認証に必要となる電子証明書が発行されると、当該通信装置は、画像処理装置の管理サーバとして機能することができる。
【０００３】
電子証明書の発行に関して、特許文献１には、クライアントが電子証明書の発行を申請すると、サーバが、クライアントからの申請情報とクライアント認証ＤＢの個人情報とを照合することで、証明書の発行条件を判別して、条件を満たす場合に認証局に電子証明書の発行を依頼することが記載されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００１−３６５２１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
サーバアプリケーションは、顧客の使用状況や課金情報等の重要な情報を扱うため、本来、無制限にインストールされるべきではない。一方で、たとえば、サードベンダにサーバアプリケーション対応のソフトウェアを開発させるためなどの理由により、サーバアプリケーションは、入手しやすい状態にする必要がある。
【０００６】
しかし入手しやすい状態にあると、インストールしたまま放置された管理サーバ、あるいは設定や管理が不十分な管理サーバが野放しにされる可能性がある。このような正しく運用されていない管理サーバに、顧客のデバイス（画像処理装置）が接続してしまうと、情報の漏洩等の問題が発生し、顧客の不利益につながる恐れがある。
【０００７】
上記特許文献１のように、電子証明書の発行時に管理サーバの正当性を判断することも考えられるが、そのような場合、予め管理サーバとなる得る通信装置の個人情報を格納しておかなければならないため、サーバアプリケーションを入手できる通信装置が限られてしまう。
【０００８】
本発明は、上記のような問題を解決するためになされたものであって、その目的は、サーバアプリケーションを入手しやすい状態としたままで、正しく運用されていないサーバアプリケーションを無効化することのできる監視装置、監視方法および監視プログラムを提供することである。
【課題を解決するための手段】
【０００９】
この発明のある局面に従う監視装置は、画像処理装置を管理するためのサーバアプリケーションの運用を監視するための監視装置であって、サーバアプリケーションの使用頻度を示す第１の条件を少なくとも含む判断条件を格納した記憶手段と、サーバアプリケーションをインストールし、第１の証明書が発行された管理サーバと、画像処理装置との間の通信履歴を取得するための取得手段と、判断条件と通信履歴とに基づいて、管理サーバの使用実績を判断することで、管理サーバに設定された通信制限を緩和するか否かを決定するための判断手段とを備える。
【００１０】
好ましくは、第１の証明書を発行するための発行手段をさらに備える。
好ましくは、第１の証明書は、試用版の証明書であり、発行手段は、判断手段により使用実績があると判断された場合に、通信制限が緩和された第２の証明書を発行する。
【００１１】
好ましくは、発行手段は、判断手段により使用実績がないと判断された場合には、第２の証明書の発行を拒絶する。
【００１２】
好ましくは、発行手段は、判断手段において管理サーバが満たしていると判断された判断条件に応じて、第２の証明書の通信制限のレベルを設定する。
【００１３】
好ましくは、通信制限とは、画像処理装置との通信可能期間を表わす。
好ましくは、通信可能期間とは、電子証明書の有効期間を表わす。
【００１４】
好ましくは、判断手段は、第１の証明書の残りの有効期間が閾値以下になった場合に、管理サーバの使用実績を判断する。
【００１５】
好ましくは、判断手段は、第１の証明書が発行されてから所定の期間が経過した場合に、管理サーバの使用実績を判断し、使用実績があると判断された場合に、第１の証明書の継続利用を許可し、使用実績がないと判断された場合に、第１の証明書を失効させるための手段をさらに備える。
【００１６】
好ましくは、判断手段は、通信履歴の累積数、通信データ総量、および、通信している画像処理装置の個数のうち少なくともいずれかが、規定値以上となった場合に、管理サーバの使用実績を判断する。
【００１７】
好ましくは、判断条件は、さらに、管理サーバの不正通信の有無を示す第２の条件を含み、判断手段は、管理サーバの通信制限を緩和するか否かの決定に、管理サーバの不正通信の有無の判断結果をさらに用いる。
【００１８】
好ましくは、監視装置は、管理サーバ内に含まれ、記憶手段、取得手段および判断手段を保護するための保護手段をさらに備える。
【００１９】
この発明の他の局面に従う監視方法は、画像処理装置を管理するためのサーバアプリケーションの運用を監視するための監視方法であって、サーバアプリケーションをインストールし、第１の証明書が発行された管理サーバと、画像処理装置との間の通信履歴を取得するステップと、サーバアプリケーションの使用頻度を示す第１の条件を少なくとも含む判断条件と通信履歴とに基づいて、管理サーバの使用実績を判断することで、管理サーバの通信制限を緩和するか否かを決定するステップとを備える。
【００２０】
この発明のさらに他の局面に従う監視プログラムは、画像処理装置を管理するためのサーバアプリケーションの運用を監視するための監視プログラムであって、サーバアプリケーションをインストールし、第１の証明書が発行された管理サーバと、画像処理装置との間の通信履歴を取得するステップと、サーバアプリケーションの使用頻度を示す第１の条件を少なくとも含む判断条件と通信履歴とに基づいて、管理サーバの使用実績を判断することで、管理サーバの通信制限を緩和するか否かを決定するステップとをコンピュータに実行させる。
【発明の効果】
【００２１】
本発明によると、監視装置は、管理サーバの使用実績を判断することで、管理サーバの通信制限を変更することができる。したがって、サーバアプリケーションを入手しやすい状態としたままで、正しく運用されていないサーバアプリケーションを無効化することができる。
【図面の簡単な説明】
【００２２】
【図１】本発明の実施の形態１における通信システムの構成例を示す図である。
【図２】本発明の実施の形態１に係るＣＡサーバ（認証装置）のハードウェア構成を模式的に示す図である。
【図３】本発明の実施の形態１に係るサーバアプリ（管理サーバ）のハードウェア構成を模式的に示す図である。
【図４】本発明の実施の形態１に係るＭＦＰ（画像処理装置）のハードウェア構成を模式的に示す図である。
【図５】本発明の実施の形態１に係るログ収集サーバのハードウェア構成を模式的に示す図である。
【図６】本発明の実施の形態１におけるＣＡサーバの機能構成を示すブロック図である。
【図７】本発明の実施の形態１における証明書管理テーブルのデータ構造例を示す図である。
【図８】本発明の実施の形態１における電子証明書の記載内容の一例を示す図である。
【図９】本発明の実施の形態１における条件判断テーブルの内容例を示す図である。
【図１０】本発明の実施の形態１におけるサーバアプリの機能構成を示すブロック図である。
【図１１】本発明の実施の形態１におけるＭＦＰの機能構成を示すブロック図である。
【図１２】本発明の実施の形態１における判断ポリシーテーブルの一例を示す図である。
【図１３】本発明の実施の形態１におけるログ収集サーバの機能構成を示すブロック図である。
【図１４】本発明の実施の形態１におけるＭＦＰ管理テーブルのデータ構造例を示す図である。
【図１５】本発明の実施の形態１においてログ保存部に格納される通信ログのデータ構造例を示す図である。
【図１６】本発明の実施の形態１において、ＣＡサーバが、試用版証明書を発行する際に実行される処理を示すフローチャートである。
【図１７】本発明の実施の形態１において、ＣＡサーバが、本運用証明書を発行する際に実行される処理を示すフローチャートである。
【図１８】本発明の実施の形態１において、サーバアプリが、試用版証明書を要求する際に実行される処理を示すフローチャートである。
【図１９】本発明の実施の形態１において、サーバアプリが、本運用証明書を発行要求する際に実行される処理を示すフローチャートである。
【図２０】本発明の実施の形態１において、ＭＦＰがサーバアプリと通信する際に実行する処理を示すフローチャートである。
【図２１】本発明の実施の形態１において、ログ収集サーバが通信ログを送信する処理を示すフローチャートである。
【図２２】本発明の実施の形態１における通信システムの処理の流れを示すシーケンス図である。
【図２３】本発明の実施の形態１における通信システムの処理の流れを示すシーケンス図である。
【図２４】本発明の実施の形態１の変形例１におけるＣＡサーバの機能構成を示すブロック図である。
【図２５】本発明の実施の形態１の変形例１における判断開始条件テーブルのデータ構造例を示す図である。
【図２６】本発明の実施の形態１の変形例２におけるＣＡサーバの機能構成を示すブロック図である。
【図２７】本発明の実施の形態１の変形例２における判断結果保存テーブルのデータ構造例を示す図である。
【図２８】本発明の実施の形態２におけるＣＡサーバの機能構成を示すブロック図である。
【図２９】本発明の実施の形態２において、ＣＡサーバが実行する証明書失効判断処理を示すフローチャートである。
【図３０】本発明の実施の形態３における通信システムの構成例を示す図である。
【図３１】本発明の実施の形態３におけるＣＡサーバの機能構成を示すブロック図である。
【図３２】本発明の実施の形態３におけるサーバアプリの機能構成を示すブロック図である。
【図３３】本発明の実施の形態３において、サーバアプリが本運用証明書の発行可否判断を行なう際に実行される処理を示すフローチャートである。
【発明を実施するための形態】
【００２３】
本発明の実施の形態について図面を参照しながら詳細に説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰返さない。
【００２４】
本発明の実施の形態において、サーバアプリケーションは、入手しやすい状態とされており、通信装置（たとえば一般的なパーソナルコンピュータ）は、サーバアプリケーションを自由にインストールすることができる。
【００２５】
サーバアプリケーションをインストールした通信装置（以下「管理サーバ」という）が、ＭＦＰなどの画像処理装置と通信するためには、認証用に電子証明書が必要となる。本実施の形態では、管理サーバから電子証明書の発行要求があると、認証局（認証装置）と呼ばれる証明書発行装置（以下「ＣＡ（Certificate Authority）サーバ」という）は、管理サーバの正当性を判断することなく無条件に電子証明書を発行する。したがって、管理サーバは、すぐに、電子証明書を用いた通信により画像処理装置の管理を開始することができる。ただし、サーバアプリケーションのインストール時に電子証明書が発行された直後の管理サーバは、所定の通信制限が設定されている。
【００２６】
本実施の形態の通信システムは、サーバアプリケーションの運用を監視する監視装置を含んでおり、当該監視装置は、管理サーバに対して電子証明書が発行された後の所定のタイミングで、少なくとも管理サーバの使用実績を判定することで管理サーバの正当性を判定する。そして、その判定結果に応じて、管理サーバの通信制限を変更（緩和または厳しく）することができる。したがって、本実施の形態の通信システムによれば、正しく運用されていない管理サーバを排除することができる。
【００２７】
以下に、具体的な実施の形態について説明する。なお、以下の説明では、サーバアプリケーションがインストールされた管理サーバを、便宜上「サーバアプリ」という。
【００２８】
［実施の形態１］
＜構成について＞
はじめに、本実施の形態における通信システムおよび各装置の構成例について説明する。
【００２９】
（通信システムの概略構成）
図１は、本発明の実施の形態１における通信システムの構成例を示す図である。
【００３０】
図１を参照して、本実施の形態における通信システムは、各ノードの正当性を証明するための電子証明書を発行するＣＡサーバ２０と、管理サーバであるサーバアプリ３０と、サーバアプリ３０と通信する１台以上のＭＦＰ４０と、ＭＦＰ４０と通信し、サーバアプリ３０とＭＦＰ４０間の通信ログ（通信履歴）を取得するログ収集サーバ５０とを含む。サーバアプリ３０とＭＦＰ４０とは、同一のイントラネット１２上に存在している。ＣＡサーバ２０とサーバアプリ３０、また、ＭＦＰ４０とログ収集サーバ５０は、インターネット１０を介して通信される。
【００３１】
本実施の形態において、ＣＡサーバ２０が、上述の監視装置として機能する。つまり、ＣＡサーバ２０は、サーバアプリ３０を監視する機能を有している。
【００３２】
なお、ログ収集サーバ５０は、イントラネット１２上にあってもよい。つまり、たとえば、ＭＦＰ４０を利用する顧客の会社内に、ログ収集サーバ５０が設置されてもよい。または、ログ収集サーバ５０は、監視装置としても機能するＣＡサーバ２０と、同一の装置であってもよい。つまり、ＣＡサーバ２０は、ＭＦＰ４０から直接、通信ログを収集してもよい。その場合、ログ収集サーバ５０は、通信システムに含まれなくてよい。
【００３３】
また、サーバアプリ３０は、インターネット１０上に存在してもよい。つまり、インターネット１０上のサービスとして、サーバアプリ３０の機能が提供されてもよい。または、サーバアプリ３０は、ＭＦＰ４０のうち１台と同一であってもよい。つまり、ＭＦＰ４０に、サーバアプリケーションがインストールされていてもよい。
【００３４】
なお、本実施の形態では、画像処理装置の全てがＭＦＰとして説明するが、限定的ではなく、これらの全てまたは一部は、たとえば複写機、ファクシミリ装置、スキャナ装置などであってもよい。
【００３５】
（各装置のハードウェア構成）
図２は、本発明の実施の形態１に係るＣＡサーバ２０のハードウェア構成を模式的に示す図である。図３は、本発明の実施の形態１に係るサーバアプリ３０のハードウェア構成を模式的に示す図である。図４は、本発明の実施の形態１に係るＭＦＰ４０のハードウェア構成を模式的に示す図である。図５は、本発明の実施の形態１に係るログ収集サーバ５０のハードウェア構成を模式的に示す図である。
【００３６】
図２を参照して、ＣＡサーバ２０は、当該ＣＡサーバ２０の動作を全体的に制御するＣＰＵ２１、ＣＰＵ２１のワークエリアとして機能するＲＡＭ（Random Access Memory）２２、プログラムやデータなどを記憶するＲＯＭ（Read Only Memory）２３、ユーザからの指示を受付けるためのキーボードなどの入力部２４、インターネット１０などのネットワークを介して他装置と通信するための通信インターフェイス２５、各種情報を表示するためのモニタ２６、プログラムやファイルを記憶するハードディスクを備えるハードディスク装置（ＨＤＤ）２７、および、着脱可能なＣＤ−ＲＯＭ等の記録媒体２８Ａにアクセスするメディアドライブ２８を備えている。
【００３７】
サーバアプリ３０およびログ収集サーバ５０のハードウェア構成も、ＣＡサーバ２０と同様であってよい。図３を参照して、サーバアプリ３０は、ＣＰＵ３１、ＲＡＭ３２、ＲＯＭ３３、入力部３４、通信インターフェイス３５、モニタ３６、ＨＤＤ３７、記録媒体３８Ａにアクセスするメディアドライブ３８を備えている。図５を参照して、ログ収集サーバ５０は、ＣＰＵ５１、ＲＡＭ５２、ＲＯＭ５３、入力部５４、通信インターフェイス５５、モニタ５６、ＨＤＤ５７、記録媒体５８Ａにアクセスするメディアドライブ５８を備えている。各デバイスの機能は、ＣＡサーバ２０において説明した機能と同様であるので説明は繰返さない。
【００３８】
図４を参照して、各ＭＦＰ４０は、制御部４１と、メモリ部４２と、画像読取部４３と、プリント部４４と、通信インターフェイス４５と、操作パネル部４６と、記憶部４７とを含む。
【００３９】
制御部４１は、代表的にＣＰＵなどの演算装置から構成され、プログラムを実行することで本実施の形態に従う監視処理を実現する。メモリ部４２は、代表的にＤＲＡＭ（Dynamic Random Access Memory）などの揮発性の記憶装置であり、制御部４１で実行されるプログラムやプログラムの実行に必要なデータなどを保持する。画像読取部４３は、原稿を読み取って画像を取得する。プリント部４４は、紙媒体などへの印刷処理を行なう。プリント部４４は、プリント処理に係るハードウェア構成に加えて、各部の作動を制御するための制御装置をも含む。
【００４０】
通信インターフェイス４５は、イントラネット１２内でサーバアプリ３０との間でデータを送受信したり、インターネット１０を介してログ収集サーバ５０との間でデータを送受信したりする。通信インターフェイス４５は、たとえば、ＬＡＮアダプタおよびそれを制御するドライバソフトなどを含む。操作パネル部４６は、たとえば、液晶表示装置やタッチパネルなどから構成される表示パネルと、複数の操作ボタンとを含む。記憶部４７は、代表的にハードディスク装置やフラッシュメモリなどの不揮発性の記憶装置であり、制御部４１の動作のためのプログラムや各種データを格納する。
【００４１】
各ＭＦＰ４０は、さらに、着脱可能なＣＤ−ＲＯＭ（Compact Disk Read Only Memory）等の記録媒体にアクセス可能なメディアドライブ（図示せず）を含んでもよい。
【００４２】
（ＣＡサーバ２０の機能構成）
図６は、本発明の実施の形態１におけるＣＡサーバ２０の機能構成を示すブロック図である。
【００４３】
図６を参照して、ＣＡサーバ２０は、通信部２０１と、証明書発行部２０２と、ＣＲＬ（Certificate Revocation List）発行部２０３と、判断部２０４と、ログ収集部２０５と、証明書管理テーブル２０６と、条件判断テーブル２０７とを含む。
【００４４】
通信部２０１は、ネットワーク上の他装置と通信する。具体的には、サーバアプリ３０およびログ収集サーバ５０との間でデータの送受信を行なう。通信部２０１は、図２に示した通信インターフェイス２５に相当する。
【００４５】
証明書発行部２０２は、電子証明書を発行する。典型的には、証明書発行部２０２は、公開鍵基盤（ＰＫＩ：Public Key Infrastructure）に基づくデジタル署名を付した証明書を発行する。電子証明書は、公開鍵基盤のうち、たとえば、ＩＴＵ−Ｔ（International Telecommunication Union Telecommunication Standardization Sector）によって定められているＸ．５０９勧告に従う構成をとるものとする。電子証明書のデータ構造例については、図８を参照して後述する。
【００４６】
本実施の形態において、証明書発行部２０２は、サーバアプリ３０に対し、２種類の電子証明書すなわち、試用版証明書および本運用証明書を、条件に応じて発行する。
【００４７】
ＣＲＬ発行部２０３は、ＣＲＬを生成し、生成したＣＲＬを発行する処理を行なう。ＣＲＬは、有効期間内に失効させられた電子証明書の一覧であり、電子証明書を受取った装置は、ＣＲＬと照合することにより、受取った電子証明書が現在も有効であるかどうかを確認することができる。
【００４８】
証明書管理テーブル２０６は、証明書発行部２０２により発行された電子証明書を管理する。証明書管理テーブル２０６は、たとえば、図２に示したハードディスク２７に含まれる。
【００４９】
図７は、証明書管理テーブル２０６のデータ構造例を示す図である。証明書管理テーブル２０６に格納される各管理データは、たとえば、シリアル番号、発行先、発行者、有効期間の開始日時、有効期間の終了日時、利用目的、試用期間であるか否かの情報、および、失効済みであるか否かの情報を含む。
【００５０】
試用期間の項目が「ＹＥＳ」の管理データは、管理対象の証明書の種類が試用版であることを示す。試用期間の項目が「ＮＯ」の管理データは、管理対象の証明書の種類が本運用の証明書であることを示す。
【００５１】
ここで、試用版証明書と本運用証明書との違いの１つは、試用版証明書のほうが、有効期間が短い点である。たとえば、図７の証明書管理テーブル２０６に示されるように、試用版証明書の有効期間は１週間であるのに対し、本運用の証明書は３年の有効期間が設定されている。このように、本実施の形態では、試用版証明書の有効期間が本運用証明書よりも短く設定されることで、サーバアプリ３０に対して通信制限が設定される。なお、通信制限の種類は、証明書の有効期間に限定されず、たとえば、試用期間の間の有効な通信回数や通信先を通信制限として設定してもよい。
【００５２】
また、本実施の形態では、試用版証明書と本運用証明書との違いの他の１つとして、利用目的の項目に示されるように、試用版証明書は使用用途が制限されてもよい。つまり、本運用証明書は、認証および暗号化（「認証／暗号化」）を目的として使用され得るが、試用版証明書は、認証用に限定されてもよい。
【００５３】
失効済みの項目が「ＹＥＳ」の管理データは、管理対象の証明書が失効されたことを示すものであり、失効のフラグを立てた状態で失効済みの電子証明書の管理データは、保存される。なお、有効期間の終了日時が過ぎた時点で当該管理データを消去するようにしても良い。
【００５４】
図８は、本発明の実施の形態１における電子証明書の記載内容の一例を示す図である。上記したように、本実施の形態における電子証明書は、Ｘ．５０９形式に従った複数の項目（シリアル番号、有効期間開始／終了日時、など）を含んでおり、各項目には、その証明書に特有のデータが格納される。
【００５５】
再び図６を参照して、ログ収集部２０５は、通信部２０１を介して、ログ収集サーバ５０が収集した通信ログを収集する。判断部２０４は、サーバアプリ３０の正当性を判断するために、サーバアプリ３０の使用実績および不正通信の有無を判断する。これにより、サーバアプリ３０に設定された通信制限を緩和するか否か、つまり、本運用証明書を発行するか否かが決定される。本実施の形態では、条件判断テーブル２０７と、ログ収集部２０５が収集した通信ログとに基づいて、サーバアプリ３０の正当性が判断される。判断部２０４による判断結果は、証明書発行部２０２に出力される。
【００５６】
図９は、本発明の実施の形態１における条件判断テーブル２０７の内容例を示す図である。条件判断テーブル２０７は、サーバアプリ３０が正しく運用されていることを示す複数の条件、すなわち、本運用証明書の発行を許可するのに必要な条件を予め格納する。条件判断テーブル２０７は、たとえば、図２に示したハードディスク２７に含まれる。
【００５７】
条件判断テーブル２０７には、本運用証明書の発行許可条件として、サーバアプリ３０の使用実績を判断するための使用頻度を示す条件、および、サーバアプリ３０の不正通信の有無を示す条件が含まれる。
【００５８】
本実施の形態では、条件Ｎｏ．１として、「サーバアプリの通信回数が１日に１０回以上、３００回未満」が設定されている。１０回以上との条件は、使用実績を判断するための条件であり、３００回未満との条件は、不正通信（不正利用）の有無を判断するための条件である。２０台のＭＦＰを管理するサーバアプリが各ＭＦＰと毎日４回通信すると設定されているとすると、１日の通信回数は平均８０回となるが、これを大きく超える回数の通信があった場合は、不正な通信である可能性が高いからである。
【００５９】
条件Ｎｏ．３として設定された「サーバアプリに接続するＭＦＰ数が５台以上」という条件は、使用実績を判断するための条件である。他の条件Ｎｏ．２，４〜８は、不正通信の有無を判断するための条件として設定されている。具体的には、「サーバアプリの通信データ量が１回１０ＭＢ未満」（条件Ｎｏ．２）、「証明書認証失敗回数０回」（条件Ｎｏ．４）、「証明書認証成功回数１０回以上」（条件Ｎｏ．５）、「所定の通信プロトコル（たとえばＨＴＴＰ（HyperText Transfer Protocol）／ＦＴＰ（File Transfer Protocol）／ＳＭＴＰ（Simple Mail Transfer Protocol））のみ」（条件Ｎｏ．６）、「所定の種類のリクエスト（たとえば、消耗品残量取得、使用量取得、故障情報取得）のみ」（条件Ｎｏ．７）、「リクエストエラー回数２０回未満」（条件Ｎｏ．８）が設定されている。
【００６０】
なお、条件判断テーブル２０７には、これらのうち一部のみが格納されてもよい。ただし、サーバアプリ３０の使用実績を判断するための条件は少なくとも１つ格納されることが望ましい。
【００６１】
上述の証明書発行部２０２、ＣＲＬ発行部２０３、判断部２０４およびログ収集部２０５の機能は、図２に示したＣＰＵ２１がソフトウェアを実行することで実現されてよい。たとえば、これらの機能部それぞれに対応するモジュールを含んだプログラムがハードディスク２７に格納されている。なお、これらのうちの少なくとも１つは、ハードウェアで実現されてもよい。
【００６２】
（サーバアプリ３０の機能構成）
図１０は、本発明の実施の形態１におけるサーバアプリ３０の機能構成を示すブロック図である。
【００６３】
図１０を参照して、サーバアプリ３０は、通信部３０１と、証明書保存部３０２と、証明書リクエスト部３０３とを含む。
【００６４】
通信部３０１は、ネットワーク上の他装置と通信する。具体的には、ＣＡサーバ２０およびＭＦＰ４０との間でデータの送受信を行なう。通信部３０１は、図３に示した通信インターフェイス３５に相当する。
【００６５】
証明書保存部３０２は、ＣＡサーバ２０より発行された電子証明書すなわち、試用版証明書または本運用証明書を保存する。証明書保存部３０２は、たとえば、図３に示したハードディスク３７に含まれてよい。
【００６６】
証明書リクエスト部３０３は、所定のタイミングで、試用版証明書および本運用証明書の発行要求を生成し、各証明書の発行要求を通信部３０１を介してＣＡサーバ２０に送信する。証明書リクエスト部３０３の機能は、図３に示したＣＰＵ３１がソフトウェアを実行することにより実現されてよい。たとえば、証明書リクエスト部３０３に対応するモジュールを含んだプログラムがハードディスク３７に格納されている。
【００６７】
（ＭＦＰ４０の機能構成）
図１１は、本発明の実施の形態１におけるＭＦＰ４０の機能構成を示すブロック図である。
【００６８】
図１１を参照して、ＭＦＰ４０は、通信部４０１と、証明書保存部４０２と、通信判断部４０３と、通信ログ保存部４０４と、通信ログ出力部４０５と、判断ポリシーテーブル４０６とを含む。
【００６９】
通信部４０１は、ネットワーク上の他装置と通信する。具体的には、サーバアプリ３０およびログ収集サーバ５０との間でデータの送受信を行なう。通信部４０１は、図４に示した通信インターフェイス４５に相当する。
【００７０】
証明書保存部４０２は、通信部４０１を介してサーバアプリ３０より受信した電子証明書を一時保存する。証明書保存部４０２は、たとえば、図４に示したメモリ部４２に含まれてよい。
【００７１】
通信判断部４０３は、判断ポリシーテーブル４０６に基づいて、証明書保存部４０２に一時保存したサーバアプリ３０の電子証明書（試用版証明書もしくは本運用証明書）、および、リクエストの種類の正当性を検証することで、サーバアプリ３０との通信の可否を判断する。
【００７２】
図１２は、判断ポリシーテーブル４０６の一例を示す図である。判断ポリシーテーブル４０６は、サーバアプリ３０との通信が可能と判断するための複数のポリシーを予め格納する。判断ポリシーテーブル４０６は、たとえば、サーバアプリ図４に示した記憶部４７に含まれる。
【００７３】
通信判断部４０３により通信可能と判断されると、リクエストの種類に応じた情報が、通信部４０１を介してサーバアプリ３０に送信される。
【００７４】
通信ログ保存部４０４は、サーバアプリ３０との通信が生じたときに、その内容を示す通信ログ（通信履歴）を保存する。通信ログ保存部４０４は、たとえば、図４に示した記憶部４７に含まれてよい。
【００７５】
通信ログ出力部４０５は、通信ログ保存部４０４に保存された通信ログを通信部４０１を介してログ収集サーバ５０に送信する。
【００７６】
上述の通信判断部４０３および通信ログ出力部４０５の機能は、制御部４１がソフトウェアを実行することにより実現されてもよい。たとえば、これらの機能部それぞれに対応するモジュールを含んだプログラムが記憶部４７に格納されている。なお、これらのうち少なくとも１つについてはハードウェアで実現されてもよい。
【００７７】
なお、ＭＦＰ４０も、自身の電子証明書を保持し、サーバアプリ３０と通信する際には、互いの電子証明書を利用したセキュア通信を行なってもよい。
【００７８】
（ログ収集サーバ５０の機能構成）
図１３は、本発明の実施の形態１におけるログ収集サーバ５０の機能構成を示すブロック図である。
【００７９】
図１３を参照して、ログ収集サーバ５０は、通信部５０１と、ログ収集部５０２と、ログ保存部５０３と、ログ出力部５０４と、ＭＦＰ管理テーブル５０５とを含む。
【００８０】
通信部５０１は、ネットワーク上の他装置と通信する。具体的には、ＣＡサーバ２０およびＭＦＰ４０との間でデータの送受信を行なう。通信部５０１は、図５に示した通信インターフェイス５５に相当する。
【００８１】
ログ収集部５０２は、ＭＦＰ管理テーブル５０５に登録されたＭＦＰ４０からの通信ログを収集する。
【００８２】
図１４は、ＭＦＰ管理テーブル５０５のデータ構造例を示す図である。ＭＦＰ管理テーブル５０５は、ログ収集対象のＭＦＰ４０の識別情報およびログ取得タイミングを管理する。具体的には、各管理データは、たとえば、シリアル番号、利用者名、機種名、登録日時、および、ログ取得時間を含む。なお、サーバアプリ３０とＭＦＰ４０間の通信がある度にＭＦＰ４０から自動的に通信ログが送信される場合には、ログ取得時間の項目は不要である。
【００８３】
ＭＦＰ管理テーブル５０５は、たとえば、図５に示したハードディスク５７に含まれる。なお、ＭＦＰ管理テーブル５０５への管理データの登録方法については特に問わない。
【００８４】
ログ保存部５０３は、ログ収集部５０２により収集された通信ログを保存する。
図１５は、本発明の実施の形態１においてログ保存部５０３に格納される通信ログのデータ構造例を示す図である。ここでは、通信システムに複数のサーバアプリが含まれる例が示されている。ログ保存部５０３もまた、ハードディスク５７に含まれてよい。
【００８５】
図１５を参照して、各通信ログは、インデックス（Index）により管理され、日時、通信元（サーバアプリ）のＩＰアドレス、通信先（ＭＦＰ）のＩＰアドレス、通信元のＭＡＣアドレス、通信元証明書の識別情報、通信プロトコル、リクエストの種類、正常終了の有無、エラーの種類、および、データ量を含む。
【００８６】
なお、本実施の形態では、通信元のサーバアプリを特定するために、ＩＰアドレスとＭＡＣアドレスとの両方を通信ログに含めることとしたが、これらのうちいずれか一方のみが含まれてもよい。ただし、ＩＰアドレスは固定でない場合があるため、両方のアドレスを通信ログに含めることが望ましい。また、通信元のサーバアプリは、通信元証明書だけでも特定可能であるため、通信ログに、通信元のアドレス自体が含まれない構成であってもよい。
【００８７】
ログ出力部５０４は、通信部５０１を介してＣＡサーバ２０から通信ログの要求を受信すると、ログ保存部５０３に保存された通信ログのうち、証明書発行の可否が判断されるサーバアプリ３０の通信ログを抽出する。抽出された通信ログは、通信部５０１を介してＣＡサーバ２０に送信される。
【００８８】
上述のログ収集部５０２およびログ出力部５０４の機能は、図５に示したＣＰＵ５１により実現されてよい。たとえば、これらの機能部それぞれに対応するモジュールを含んだプログラムがハードディスク５７に格納されている。なお、これらのうちの少なくとも１つについては、ハードウェアで実現されてもよい。
【００８９】
＜動作について＞
次に、本実施の形態における各装置の動作について説明する。
【００９０】
（ＣＡサーバ２０の動作）
図１６は、本発明の実施の形態１において、ＣＡサーバ２０が、試用版証明書を発行する際に実行される処理を示すフローチャートである。
【００９１】
図１６を参照して、通信部２０１は、サーバアプリ３０から、試用版証明書の発行要求を受信する（ステップＳ２）。サーバアプリ３０が、サーバアプリケーションをインストールした後初めて証明書の発行を要求する場合には、試用版証明書の発行要求が送信される。
【００９２】
試用版証明書の発行要求を受信すると、証明書発行部２０２は、試用版証明書の発行処理を実行する（ステップＳ４）。具体的には、証明書発行部２０２は、通信部２０１が受信した発行要求に基づいて、試用版証明書を生成する。試用版証明書の構成は、図８に示すようなものであってよい。証明書発行部２０２はまた、証明書管理テーブル２０６に、生成した試用版証明書の管理データを登録する。証明書発行部２０２は、生成した試用版証明書を、通信部２０１を介して、サーバアプリ３０に対して送信する。
【００９３】
図１７は、本発明の実施の形態１において、ＣＡサーバ２０が、本運用証明書を発行する際に実行される処理を示すフローチャートである。
【００９４】
図１７を参照して、通信部２０１は、サーバアプリ３０から、本運用証明書の発行要求を受信する（ステップＳ１２）。本運用証明書の発行要求を受信すると、まず、サーバアプリ３０の試用版証明書が証明書管理テーブル２０６に登録されているかが確認された後、ログ収集部２０５は、通信部２０１を介して、ログ収集サーバ５０からサーバアプリ３０とＭＦＰ４０間の通信ログを取得（収集）する（ステップＳ１４）。
【００９５】
判断部２０４は、図９に示したような条件判断テーブル２０７に記録された条件に基づいて、サーバアプリ３０とＭＦＰ４０間の通信ログから、サーバアプリ３０に対する本運用証明書発行の可否を判断する（ステップＳ１６）。つまり、サーバアプリ３０が正常に運用されているかどうかをチェックする。
【００９６】
具体的には、たとえば、条件判断テーブル２０７に記録された複数の条件のうち１つでも満たさないものがあれば、通信不能と判断してもよい。あるいは、全ての条件を満たしていないくても所定数以上の条件を満たしていれば、通信可能と判断してもよい。
【００９７】
ここで、条件判断テーブル２０７と通信ログとに基づいた、本運用証明書の発行可否判断の具体例について説明する。
【００９８】
たとえば、１日に１００回の通信がサーバアプリ３０から来ている場合は、条件Ｎｏ．１を満たすが、１日に２回の通信しかサーバアプリ３０から来ていない場合は、条件Ｎｏ．１を満たさないので、発行不可と判断する。また、サーバアプリ３０に接続するＭＦＰ４０の数が５台未満である場合（つまり、５台未満のＭＦＰ４０との通信ログしかない場合）には、条件Ｎｏ．３を満たさないので、発行不可と判断する。このような判断をすることにより、ほとんど利用されていないサーバアプリを排除することができる。
【００９９】
また、１日に１０００回の通信がサーバアプリ３０から来ている場合は、条件Ｎｏ．１を満たさないので、発行不可と判断する。これにより、不正な動作をしているサーバアプリを排除することができる。
【０１００】
また、サーバアプリ３０の通信データ量が１５ＭＢの通信ログがあれば、条件Ｎｏ．２を満たさないので、発行不可と判断する。サーバアプリ３０の１回当たりの通信データ量は毎回ほぼ同じ量と想定すると、これを大きく超える通信量の通信があった場合は、不正な通信である可能性が高いからである。これにより、サーバアプリ３０が不正なデータを送りつけるなどの不正な操作をした場合に、本運用証明書の発行を拒否することができる。
【０１０１】
また、証明書認証失敗回数が複数回ある場合や、証明書認証の成功回数が１０回未満である場合には、条件Ｎｏ．４，５を満たさないので、発行不可と判断する。サーバアプリ３０が、ＣＡサーバ２０から発行された証明書を使用しているのであれば、証明書の検証に成功するはずである。そのため、証明書の検証に失敗する場合は、不正なＣＡサーバから発行された証明書、あるいは改ざんされた証明書を利用した不正な通信である可能性が高いからである。これにより、不正な証明書を使用して通信しようと試みるサーバアプリを排除することができる。
【０１０２】
また、通信プロトコルが、条件Ｎｏ．６として予め定められているもの以外での通信要求の通信ログがあれば、発行不可と判断する。これにより、使用されるはずのないプロトコルを使用して不正アクセスしようとするサーバアプリ３０に対し、本運用証明書の発行を拒否することができる。
【０１０３】
また、リクエストの種類が、条件Ｎｏ．７として予め定められたもの以外の通信ログがあれば、発行不可と判断する。これにより、不正なリクエストを送信する悪質なサーバアプリを、本運用証明書の発行を拒否することで排除することができる。
【０１０４】
また、許可されたリクエストの種類であっても、リクエストがエラーとなっている回数が２０回以上であれば、条件Ｎｏ．８を満たさないので、発行不可と判断する。数回のエラーであれば、通信によるデータの欠損や、一時的な設定ミス等が考えられるが、数十回のエラーとなると、不正な利用である可能性が高いからである（たとえば、サーバアプリ３０から送信されるデータ形式が異なる、等）。これにより、不正な利用を試みるサーバアプリを、本運用証明書の発行を拒否することで排除することができる。
【０１０５】
ステップＳ１６において本運用証明書の発行が可能と判断された場合（ステップＳ１６において「ＯＫ」）、証明書発行部２０２は、本運用証明書の発行処理を実行する（ステップＳ１８）。具体的には、まず、証明書管理テーブル２０６に記録されたサーバアプリ３０の試用版証明書または本運用証明書要求の情報に基づき、サーバアプリ３０の本運用証明書を新たに生成する。本運用証明書では、試用版証明書で設定されていた通信制限（短い有効期限，通信回数など）が解除される。そして、生成した本運用証明書の情報を証明書管理テーブル２０６に記録し、通信部２０１を介してサーバアプリ３０に対して発行許可通知とともに本運用証明書を送信する。これにより、信頼度が高い（信用できる）サーバアプリ３０に対しては、自動的に本運用証明書を発行することができる。
【０１０６】
これに対し、ステップＳ１６において本運用証明書の発行が不可能と判断された場合には（ステップＳ１６において「ＮＧ」）、証明書発行部２０２は、通信部２０１を介して、サーバアプリ３０に対して本運用証明書の発行拒否通知を送信する（ステップＳ２０）。ここで、ＣＲＬ発行部２０３は、サーバアプリ３０が現在有している試用版証明書を失効させるため、ＣＲＬを生成してもよい。この場合、証明書発行部２０２は、証明書管理テーブル２０６に管理されている、サーバ３０の試用版証明書の管理データにおける「失効済み」の項目を「Ｎｏ」から「Ｙｅｓ」に書き換える。ＣＲＬ発行部２０３は、通信部２０１を介して、サーバアプリ３０およびＭＦＰ４０に対し、生成したＣＲＬを送信する。これにより、信頼度が低い（信用できない）サーバアプリ３０に対しては、試用期間を自動的に終了させることができる。
【０１０７】
なお、本実施の形態では、本運用証明書の発行が不可と判断された場合、試用期間を終了させることとしたが、試用期間を継続し、経過を観察することとしてもよい。具体的には、証明書発行部２０２は、元の試用版証明書の情報に基づいて、新たな試用版証明書を生成し、その証明書の管理データを、証明書管理テーブル２０６に登録してもよい。このようにして生成された新たな試用版証明書は、通信部２０１を介してサーバアプリ３０に送信される。なお、このような処理を行なう場合、ＣＡサーバ２０は、たとえば、試用版証明書の発行回数を保持しておき、規定の発行回数に到達した場合に、本運用証明書の発行は不可と判断することとしてもよい。
【０１０８】
また、本実施の形態では、サーバアプリ３０からの本運用証明書の発行要求によって、本運用証明書の発行可否判断を行なうこととしたが、限定的ではない。たとえば、ＣＡサーバ２０が、証明書管理テーブル２０６における試用版証明書の有効期限をチェックし、残りの有効期間が一定値以下（たとえば残り１日）になった場合に、通信ログを取得して、本運用証明書の発行可否判断を行なってもよい。他の変形例については、後の「変形例１」において図２４および図２５を参照して詳細に説明する。
【０１０９】
また、本実施の形態では、判断部２０４において本運用証明書の発行可否判断のみを行なったが、サーバアプリ３０の信頼度をさらに判定することとしてもよい。具体的には、たとえば、条件判断テーブル２０７の条件Ｎｏごとに、サーバアプリの信頼度を示すポイント数も記録されており、サーバアプリ３０が満たしていると判断された条件Ｎｏに対応するポイント数を加算し、その合計ポイントを信頼度として出力してもよい。
【０１１０】
このような場合、証明書発行部２０２は、判断部２０４による信頼度の判定結果に応じて、本運用証明書の有効期間を設定することができる。つまり、信頼度に応じて、試用版証明書で設定されていた通信制限を緩和する度合いを変えてもよい。
【０１１１】
たとえば、サーバアプリ３０の信頼度が第１の閾値（たとえば１００を最大とした場合９０ポイント）以上と判断された場合には、本運用証明書の有効期間を、最長の期間（たとえば５年）に設定する。信頼度が、第１の閾値よりも低い第２の閾値（たとえば８０ポイント）以下と判断された場合には、最大の有効期間よりも短い期間（たとえば４年間）に有効期限を設定してもよい。
【０１１２】
（サーバアプリ３０の動作）
図１８は、サーバアプリ３０が、試用版証明書を要求する際に実行される処理を示すフローチャートである。
【０１１３】
図１８を参照して、証明書リクエスト部３０３は、試用版証明書の発行要求を生成し、通信部３０１を介してＣＡサーバ２０に生成した発行要求を送信する（ステップＳ３２）。試用版証明書の発行要求は、たとえば、ユーザからの指示があった場合に実行されてよい。あるいは、サーバアプリケーションをインストールした後の初回起動時に自動的に生成されてもよい。
【０１１４】
試用版証明書の発行要求を送信すると、ＣＡサーバ２０において無条件に試用版証明書が発行されるため、通信部３０１を介して試用版証明書が取得（受信）される（ステップＳ３４）。取得された試用版証明書は、証明書保存部３０２に保存される。
【０１１５】
図１９は、サーバアプリ３０が、本運用証明書を発行要求する際に実行される処理を示すフローチャートである。
【０１１６】
図１９を参照して、証明書リクエスト部３０３は、証明書保存部３０２に保存されている試用版証明書の有効期限をチェックし、証明書の更新が必要か否かを判断する（ステップＳ４２）。具体的には、試用版証明書の残りの有効期間が閾値以下であるか否かが判断される。このように、有効期間終了以前に証明書リクエストのタイミングが判断されるのは、サーバアプリケーションを使用できない期間を発生させないようにするためである。残りの有効期間が閾値以下と判断された場合（ステップＳ４２においてＮＯ）、ステップＳ４４に進む。それ以外の場合には（ステップＳ４２においてＹＥＳ）、定期的に証明書の有効期間がチェックされる。
【０１１７】
ステップＳ４４において、証明書リクエスト部３０３は、本運用証明書の発行要求を生成する。生成された発行要求が、通信部３０１を介してＣＡサーバ２０に送信される。
【０１１８】
次に、ＣＡサーバ２０から本運用証明書の発行可否通知を受信する。この通知内容が発行許可である場合（ステップＳ４６において「ＯＫ」）、通信部３０１はＣＡサーバ２０から本運用証明書を受信し、証明書保存部３０２に本運用証明書を保存する（ステップＳ４８）。
【０１１９】
これに対し、通知内容が発行拒否である場合（ステップＳ４６において「ＮＧ」）、本運用証明書の発行が拒絶されたと判断する（ステップＳ５０）。ＣＡサーバ２０からＣＲＬが送信された場合には、それを受信し保存する。本運用証明書の発行が拒絶された場合、証明書保存部３０２に保存された試用版証明書の有効期限が来るまで、サーバアプリ３０は動作し続ける。あるいは、サーバアプリとしての機能を直ちに無効化することとしてもよい。具体的には、サーバアプリ３０とＭＦＰ４０との通信を遮断することとしてもよい。または、サーバアプリ３０のデータベースへのアクセスを制限することとしてもよい。
【０１２０】
（ＭＦＰ４０の動作）
図２０は、ＭＦＰ４０がサーバアプリ３０と通信する際に実行する処理を示すフローチャートである。
【０１２１】
図２０を参照して、通信部４０１がサーバアプリ３０から証明書および通信要求を受信すると（ステップＳ６２）、通信判断部４０３は、サーバアプリ３０との通信可否を判断する（ステップＳ６４）。具体的には、サーバアプリ３０から証明書および通信要求が送信されるたびに、通信判断部４０３は、判断ポリシーテーブル４０６に基づいて、サーバアプリ３０の証明書（試用版証明書または本運用証明書）を検証する。正当な証明書と判断された場合（ステップＳ６４において「ＯＫ」）、サーバアプリ３０と通信が行なわれる（ステップＳ６６）。このとき、通信ログ保存部４０４には、今回の通信ログが保存される（ステップＳ６８）。
【０１２２】
そして、次に、通信ログ出力部４０５は、所定個以上の通信ログが保存されたかどうかを判断する（ステップＳ６９）。所定個以上の通信ログが保存されたと判断した場合（ステップＳ６９において「ＯＫ」）には、通信ログ出力部４０５は、通信ログ保存部４０４に保存された所定個以上の通信ログを、ログ収集サーバ５０に対して送信する（ステップＳ７０）。この処理が終わると、ステップＳ６２に戻る。一方、通信ログ出力部４０５は、所定個以上の通信ログが保存されていないと判断した場合（ステップＳ６９において「ＮＧ」）には、通信ログ出力部４０５は、通信ログを送信することなくステップＳ６２に戻り、通信ログが所定個以上貯まった場合にまとめて通信ログをログ収集サーバ５０に対して送信する。当該処理により効率的なデータ通信を実行することが可能となる。
【０１２３】
ステップＳ６４において、通信不可と判断された場合には（ステップＳ６４において「ＮＧ」）、サーバアプリ３０との通信を行なうことなく通信ログが保存される（ステップＳ６８）。この場合にも、保存された通信ログは、ログ収集サーバ５０に対して随時送信される（ステップ７０）。
【０１２４】
（ログ収集サーバ５０の動作）
ログ収集サーバ５０のログ収集部５０２は、通信部５０１を介してSyslogなどの通信プロトコルでＭＦＰ４０より随時送信される通信ログを取得すると、取得した通信ログを、ログ保存部５０３に保存しているものとする。
【０１２５】
図２１は、ログ収集サーバ５０が通信ログを送信する処理を示すフローチャートである。
【０１２６】
図２１を参照して、通信部５０１は、ＣＡサーバ２０から、サーバアプリ３０とＭＦＰ４０との間の通信ログの要求を受信する（ステップＳ８２）。この際、判断対象のサーバアプリ３０を特定するための情報（たとえば、サーバアプリ３０の証明書、ＩＰアドレスまたはＭＡＣアドレス）も受信している。
【０１２７】
通信ログ要求を受信すると、ログ出力部５０４は、ログ保存部５０３から、判断対象のサーバアプリ３０とＭＦＰ４０間の通信ログを抽出し、抽出した通信ログを、要求してきたＣＡサーバ２０に送信する（ステップＳ８４）。なお、ＣＡサーバ２０に送信する通信ログは、ＭＦＰ４０から取得したログそのままではなく、本運用証明書の発行可否判断に必要なデータのみに整理して送信してもよい。
【０１２８】
（通信システムにおける処理の流れ）
図２２および図２３は、本発明の実施の形態１における通信システムの処理の流れを示すシーケンス図である。図２２には、試用版証明書に関する処理の流れが示されており、図２３には、本運用証明書に関する処理の流れが示されている。
【０１２９】
図２２を参照して、サーバアプリ３０から、試用版証明書の発行要求がＣＡサーバ２０に対し送信されると（ＯＰ１）、ＣＡサーバ２０は試用版証明書を生成する（ＯＰ２）。生成された試用版証明書は、発行要求を送信してきたサーバアプリ３０に対し送信される（ＯＰ３）。サーバアプリ３０は、受信した試用版証明書を保存する（ＯＰ４）。
【０１３０】
サーバアプリ３０とＭＦＰ４０との間の通信では、ＭＦＰ４０はサーバアプリ３０に対し証明書を要求する（ＯＰ１１）。サーバアプリ３０は、このとき、試用版証明書を送信する（ＯＰ１２）。ＭＦＰ４０は、送信されてきた試用版証明書の検証を行なう（ＯＰ１３）。そして、証明書の検証結果をサーバアプリ３０に対し送信する（ＯＰ１４）。証明書の検証結果が通信可能との結果であった場合、サーバアプリ３０は、ＭＦＰ４０に対し故障情報、使用量の情報などのリクエストを送信する（ＯＰ１５）。ＭＦＰ４０は、受信したリクエストの内容に基づいて、リクエスト結果をサーバアプリ３０に送信する（ＯＰ１６）。また、ＭＦＰ４０は、今回の通信ログをログ収集サーバ５０に送信する（ＯＰ１７）。ログ収集サーバ５０は、受信した通信ログを保存する（ＯＰ１８）。
【０１３１】
図２３を参照して、サーバアプリ３０は、試用版証明書の有効期限をチェックする（ＯＰ２１）。有効期限のチェック結果に応じて、本運用証明書の発行要求をＣＡサーバ２０に対し送信する（ＯＰ２２）。本運用証明書の発行要求を受信したＣＡサーバ２０は、ログ収集サーバ５０に対し、通信ログを要求する（ＯＰ２３）。ログ収集サーバ５０は、通信ログをＣＡサーバ２０に送信する（ＯＰ２４）。ＣＡサーバ２０は、受信した通信ログおよび条件判断テーブル２０７に基づいて、本運用証明書発行の可否を判断する（ＯＰ２５）。証明書発行が可能と判断された場合には、本運用証明書が生成される（ＯＰ２６）。生成された本運用証明書は、サーバアプリ３０に送信される（ＯＰ２７）。サーバアプリ３０は、ＣＡサーバ２０より送信されてきた本運用証明書を保存する（ＯＰ２８）。
【０１３２】
以上説明したように、本実施の形態によると、サーバアプリ３０のユーザは、サーバアプリケーションのインストール時に煩雑な手続をしなくても、すぐに試用版証明書を利用して、ＭＦＰ４０の管理サーバとしての機能を開始することができる。また、試用版証明書が発行されたサーバアプリ３０の実際の通信ログに基づいて、サーバアプリ３０がサーバアプリケーションの機能を使っているか、また、不正通信していないかを判断するため、正しく運用されていないサーバアプリを確実に排除することができる。つまり、正しく運用されていないサーバアプリケーションを無効化することができる。
【０１３３】
なお、サーバアプリに対して、ＣＡサーバから機能の有効化のための、有効期限の短い証明書(キー、チケット)を発行しておくという手法を採用すれば、悪用された場合であってもすぐに有効期限が切れるため証明書を失効する手間が省ける。しかし、このような場合は、サーバアプリケーションの管理者が証明書を何度も更新する手間が発生するという不都合がある。これに対し、本実施の形態のような手法を採用すれば、シームレスに試用版証明書から本運用証明書に更新されるので、サーバアプリ３０の管理者の手間が必要なくなるというメリットも生じる。
【０１３４】
＜変形例１＞
上記実施の形態１では、サーバアプリからの本運用証明書の発行要求があった場合に、ＣＡサーバにおいて本運用証明書の発行可否を判断したが、試用版証明書の有効期限内のサーバアプリの通信ログより得られる情報に基づき、本運用証明書の発行可否を判断してもよい。
【０１３５】
図２４は、本発明の実施の形態１の変形例１におけるＣＡサーバ２０Ａの機能構成を示すブロック図である。
【０１３６】
図２４を参照して、ＣＡサーバ２０Ａは、図６に示した構成に加えて、判断開始条件テーブル２０８をさらに含む。また、判断部２０４およびログ収集部２０５それぞれに代えて、判断部２０４Ａおよびログ収集部２０５Ａを含む。
【０１３７】
図２５は、本発明の実施の形態１の変形例１における判断開始条件テーブル２０８のデータ構造例を示す図である。判断開始条件テーブル２０８は、本運用証明書の発行可否判断を開始する条件を予め格納する。具体的には、たとえば、サーバアプリ３０の累積通信回数が１００回以上（条件Ｎｏ．１）、サーバアプリ３０の通信データ総量が５０ＭＢ以上（条件Ｎｏ．２）、サーバアプリ３０と接続しているＭＦＰ４０の数が１０台以上（条件Ｎｏ．３）という条件が格納される。
【０１３８】
判断開始条件テーブル２０８は、図２に示したハードディスク２７に含まれてよい。
本変形例においては、ログ収集部２０５Ａは、一定期間（たとえば１日）ごとに、ログ収集サーバ５０から、試用版証明書の有効期限内のサーバアプリ３０とＭＦＰ４０間の通信ログを取得する。サーバアプリ３０が試用版証明書の有効期限内かどうかは、証明書管理テーブル２０６より判断できる。
【０１３９】
判断部２０４Ａは、取得した通信ログと、判断開始条件テーブル２０８に基づいて、本運用証明書の発行可否判断を開始すべきかを判断する。判断開始条件を満たしている場合には、条件判断テーブル２０７と取得した通信ログとに基づいて、上記実施の形態１で示したように本運用証明書の発行の可否判断を行なう。
【０１４０】
なお、本変形例においても、判断部２０４Ａは、実施の形態１での処理と同様に、試用期間の有効期限が切れる直前までに判断開始条件テーブル２０８の条件を満たさなかった場合にも、条件判断テーブル２０７と取得した通信ログとに基づいて、本運用証明書の発行の可否を判断することが望ましい。この場合、サーバアプリ３０側からの要求を契機として判断を開始してもよいし、ＣＡサーバ２０Ａにおいて、証明書管理テーブル２０６の試用版証明書の有効期限を検出することで判断を開始してもよい。
【０１４１】
このように、本変形例によれば、サーバアプリ３０の通信ログより得られる情報が、使用実績があると推定できるような条件を満たしていれば、本運用証明書の発行可否判断を開始する。したがって、正しく運用されているサーバアプリ３０に対しては、設定されていた試用期間を短縮して本運用を開始させることができる。
【０１４２】
＜変形例２＞
ＣＡサーバは、サーバアプリケーションが再インストールされた場合や、本運用証明書の有効期限切れにより証明書の再発行が必要になった場合などに、過去の本運用証明書の発行可否の判断結果をさらに利用して本運用証明書の発行可否を判断してもよい。
【０１４３】
図２６は、本発明の実施の形態１の変形例２におけるＣＡサーバ２０Ｂの機能構成を示すブロック図である。
【０１４４】
図２６を参照して、ＣＡサーバ２０Ｂは、図６に示した構成に加えて、判断結果保存テーブル２０９をさらに含む。また、判断部２０４に代えて、判断部２０４Ｂを含む。
【０１４５】
図２７は、判断結果保存テーブル２０９のデータ構造例を示す図である。判断結果保存テーブル２０９は、判断部２０４Ｂでの判断結果を保存する。判断結果保存テーブル２０９では、各判断結果データは、シリアル番号が付与され、発行先、発行者、判断日時、判断結果、および、理由の項目を含む。
【０１４６】
判断結果保存テーブル２０９は、図２に示したハードディスク２７に含まれてよい。
本変形例において、判断部２０４Ｂは、本運用証明書の発行可否を判断するときに、条件判断テーブル２０７と通信ログとに基づいた判断に加え、判断結果保存テーブル２０９に保存された過去の判断結果から、証明書発行の可否を判断する。
【０１４７】
たとえば、判断対象のサーバアプリ３０に対し、過去に３回以上発行ＯＫと判断されていた場合には、通信ログによる判断を行なうことなく本運用証明書の発行を可能と判断する。または、シリアル番号５に示されるように、判断結果ＮＧの理由として通信データ量が多すぎるという結果が記録されていれば、通信ログを判断することなく本運用証明書の発行を不可と判断してもよい。
【０１４８】
このように、本変形例では、過去の判断結果を利用することで、定期的に本運用証明書の発行可否を判断するような場合であっても、毎回、通信ログによる判断を行なう必要がないので、通信量の削減ならびに、ＣＰＵ２１の処理負荷を軽減することができる。
【０１４９】
なお、本変形例においては、証明書発行可否の判断時に、判断結果保存テーブル２０９より読みだした過去の判断結果に応じて、条件判断テーブル２０７の判断条件を変更することもできる。
【０１５０】
一例として、サーバアプリケーションが再インストールされた場合や、本運用証明書の有効期限切れにより証明書の再発行が必要になった場合に、前回に発行可能と判断された場合は、判断条件を緩くする。具体的には、たとえば、通常（デフォルト）の判断条件が「サーバアプリの通信回数が１日１０回以上」のとき、前回は発行許可と判断されていれば、「サーバアプリの通信回数が１日５回以上」に条件を変更する。
【０１５１】
あるいは、前回に発行拒否と判断された場合には、判断条件を厳しくする。例えば、通常の判断条件が、「サーバアプリの接続ＭＦＰ数が５台以上」のとき、前回は発行拒否と判断されていれば、「サーバアプリの接続ＭＦＰ数が１０台以上」に条件を変更する。
【０１５２】
このような変更を実現するためには、たとえば、サーバアプリ３０ごとに、条件判断テーブル２０７が設けられる。
【０１５３】
なお、試用版証明書の残りの有効期間が一定値以下となってから試用版証明書の有効期間が終わるまでの間、定期的に発行可否を判断し続けるような場合に、本変形例を適用してもよい。このような場合、試用期間の有効期限まで、本運用証明書の発行可否判断をし続けるため、有効期限切れ間際に不正通信を行なったサーバアプリをも排除することができる。
【０１５４】
または、上述したように、一度、本運用証明書の発行が不可と判断されたとしても、新たな試用版証明書を発行して経過を観察するような形態の場合に、本変形例が適用されてもよい。
【０１５５】
［実施の形態２］
次に、本発明の実施の形態２について説明する。
【０１５６】
上記実施の形態１およびその変形例１，２では、サーバアプリに対して、試用版証明書と本運用証明書との２種類の証明書を発行することで、ＭＦＰとの通信制限を変更するものであった。これに対し、本実施の形態では、本運用証明書に相当する１種類の証明書のみサーバアプリに発行され、後に、証明書の失効判断が行なわれる。
【０１５７】
以下に、上記実施の形態１との相違点について説明する。
図２８は、本発明の実施の形態２におけるＣＡサーバ２０Ｃの機能構成を示すブロック図である。
【０１５８】
図２８を参照して、ＣＡサーバ２０Ｃは、図６に示した構成に加え、定期チェック部２１０をさらに含む。また、証明書発行部２０２および判断部２０４それぞれに代えて、証明書発行部２０２Ｃおよび判断部２０４Ｃを含む。定期チェック部２１０の機能は、図２に示したＣＰＵ２１により実現されてよい。
【０１５９】
証明書発行部２０２Ｃは、サーバアプリ３０からはじめに（サーバアプリケーションのインストール時に）証明書発行要求がくると、通信制限が設定されていない通常の電子証明書を無条件で発行する。
【０１６０】
定期チェック部２１０および判断部２０４Ｃの処理については、図２９のフローチャートを参照して説明する。
【０１６１】
図２９は、本発明の実施の形態２において、ＣＡサーバ２０Ｂが実行する証明書失効判断処理を示すフローチャートである。
【０１６２】
図２９を参照して、定期チェック部２１０は、証明書発行日からの経過日数をチェックし、証明書発行日から所定の期間（たとえば１週間）経過しているか否かを判断する（ステップＳ１０２）。規定日数が経過していれば（ステップＳ１０２においてＹＥＳ）、定期チェック部２１０は判断部２０４Ｃに失効可否判断を行なうよう指示する。
【０１６３】
判断部２０４Ｃが、ログ収集部２０５にログ収集を要求すると、ログ収集部２０５は、通信部２０１を介して、ログ収集サーバ５０からサーバアプリ３０とＭＦＰ４０との間の通信ログを取得（収集）する（ステップＳ１０４）。
【０１６４】
判断部２０４Ｃは、条件判断テーブル２０７に記録された条件および取得した通信ログに基づいて、サーバアプリ３０の証明書の失効の可否を判断する（ステップＳ１０６）。これにより、サーバアプリ３０に設定された通信制限を緩和するか否か、つまり、証明書の継続利用を許可するか否かが決定される。なお、ここでの判断方法も、実施の形態１における、本運用証明書の発行可否判断と同様であってよい。
【０１６５】
判断部２０４Ｃにより証明書の利用拒否と判断された場合には（ステップＳ１０６において「ＮＧ」）、ＣＲＬ発行部２０３が、証明書管理テーブル２０６に失効情報を記録し、ＣＲＬを生成する（ステップＳ１１０）。そして、生成したＣＲＬを、通信部２０１を介してサーバアプリ３０およびＭＦＰ４０に対し送信する（ステップＳ１１２）。
【０１６６】
これに対し、判断部２０４Ｃにより証明書の利用許可と判断された場合には（ステップＳ１０６において「ＯＫ」）、判断部２０４Ｃは、通信部２０１を介して、証明書の利用許可通知をサーバアプリ３０に対し送信する（ステップＳ１０８）。
【０１６７】
このように、本実施の形態によると、ＣＡサーバ２０は、試用版証明書と本運用証明書の２種類の証明書を生成する必要はないので、処理負担を軽減しつつ、実施の形態１と同様の効果を奏することができる。
【０１６８】
［実施の形態３］
次に、本発明の実施の形態３について説明する。
【０１６９】
上記各実施の形態では、電子証明書を発行するＣＡサーバにおいて、サーバアプリケーションの不正な運用を排除するための処理を実行した。これに対し、本実施の形態では、サーバアプリ自身において、サーバアプリケーションの不正な運用を排除するための処理を実行する。つまり、本実施の形態では、サーバアプリ自身が監視装置として機能する。
【０１７０】
以下に、上記実施の形態１との相違点について説明する。
（構成について）
図３０は、本発明の実施の形態３における通信システムの構成例を示す図である。
【０１７１】
図３０を参照して、本実施の形態における通信システムは、上記実施の形態１で示したようなログ収集サーバ５０を含まない。また、ＣＡサーバ２０およびサーバアプリ３０それぞれに代えて、ＣＡサーバ２０♯およびサーバアプリ３０♯を含む。
【０１７２】
図３１は、本発明の実施の形態３におけるＣＡサーバ２０♯の機能構成を示すブロック図である。
【０１７３】
ＣＡサーバ２０♯は、図６に示したＣＡサーバ２０の構成のうち、判断部２０４、ログ収集部２０５および条件判断テーブル２０７を含まない。したがって、ＣＡサーバ２０♯は、通信部２０１、証明書発行部２０２、ＣＲＬ発行部２０３および証明書管理テーブル２０６を含む。
【０１７４】
図３２は、本発明の実施の形態３におけるサーバアプリ３０♯の機能構成を示すブロック図である。
【０１７５】
サーバアプリ３０♯は、図１０に示したサーバアプリ３０の構成に加え、通信ログ取得部３０５、通信ログ保存部３０６、証明書発行判断部３０７および条件判断テーブル３０８をさらに含む。通信ログ取得部３０５の機能は、実施の形態１におけるログ収集サーバ５０のログ収集部５０２の機能に相当する。通信ログ保存部３０６の機能は、ログ収集サーバ５０のログ保存部５０３の機能に相当する。証明書発行判断部３０７の機能は、ＣＡサーバ２０の判断部２０４の機能に相当する。条件判断テーブル３０８は、ＣＡサーバ２０の条件判断テーブル２０７に相当する。したがって、これらの機能部の詳細な説明は繰返さない。
【０１７６】
通信ログ保存部３０６および条件判断テーブル３０８は、ともに、図３に示したハードディスク３７に含まれてよい。また、通信ログ取得部３０５および証明書発行判断部３０７の機能は、ＣＰＵ３１により実現されてよい。
【０１７７】
なお、本実施の形態では、サーバアプリ３０＃自身において、サーバアプリケーションの不正な運用を排除するための処理を実行するため、通信ログ取得部３０５、通信ログ保存部３０６、証明書発行判断部３０７および条件判断テーブル３０８は、保護部３０４によって保護されていることが望ましい。つまり、保護部３０４外から保護部３０４内へのアクセスおよび保護部３０４内の改変はできないようにすることが望ましい。保護の方法としてはたとえば次のようなものが考えられる。第１の例として、保護している部分のメモリイメージをハッシュ値として保存する。第２の例として、保護部は、保護している部分用に仮想環境を設ける。保護部３０４は、保護している部分用に別ハードウェアを設ける。また、判断の内容が通信部３０１で加工されないように、通信パケットにもハッシュ値を付与したり、判断の内容を暗号化したりして、パケット自体を改ざんできないようにすることも望ましい。
【０１７８】
本実施の形態では、図３に示したＣＰＵ３１がソフトウェアプログラムを実行することにより実現されてよい。たとえば、図１０で説明したように、証明書保存部３０２，３０３と同様に、保護部３０４内の各機能部に対応するモジュールを含んだプログラムがハードディスク３７に格納されていても良く、当該プログラムを実行することにより各機能が実現されるようにすることが可能である。ハードディスク３７への格納は、例えば、記録媒体３８Ａに格納されたソフトウェアをメディアドライブ３８を用いてアクセスすることにより格納しても良いし、あるいは、通信インターフェース３５を用いて外部からインターネット１０を介してインストールしても良い。
【０１７９】
また、サーバアプリ３０＃を形成するために保護部３０４内の各機能部に対応するモジュールを耐タンパー性の専用デバイスとして予め組み込むようにすることも可能であるし、あるいは、ＵＳＢ（Universal Serial Bus）端子等を用いて当該専用デバイスを外付けで接続するようにしても良い。
【０１８０】
（動作について）
本発明の実施の形態３においても、まず、サーバアプリ３０♯は、試用版証明書を要求して、当該試用版証明書を取得するが、当該処理は、図１８で説明したのと同様であるのでその詳細な説明は繰り返さない。
【０１８１】
図３３は、本発明の実施の形態３において、サーバアプリ３０♯が本運用証明書の発行可否判断を行なう際に実行される処理を示すフローチャートである。
【０１８２】
図３３を参照して、証明書発行判断部３０７は、自装置の証明書保存部３０２に保存された試用版証明書の有効期限をチェックし、証明書の更新が必要か否かを判断する（ステップＳ２０２）。ここでの処理は、図１９に示したステップＳ４２の処理と同様であってよい。
【０１８３】
試用版証明書の残りの有効期間が閾値以下と判断された場合（ステップＳ２０２においてＮＯ）、証明書発行判断部３０７は、通信ログ保存部３０６から自装置とＭＦＰ４０間の通信ログを読出す（ステップＳ２０４）。本実施の形態においては、通信ログ取得部３０５は、ＭＦＰ４０と通信する度に通信ログを取得し、通信ログ保存部３０６に保存しているものとする。
【０１８４】
証明書発行判断部３０７は、通信ログと、条件判断テーブル３０８に基づいて、本運用証明書発行の可否を判断する（ステップＳ２０６）。ここでの可否判断は、図１７のステップＳ１６に示した処理と同様であってよい。本運用証明書発行可能と判断された場合（ステップＳ２０６において「ＯＫ」）、証明書発行判断部３０７は、通信部３０１を介して、ＣＡサーバ２０に対し本運用証明書発行を要求する（ステップＳ２０８）。その後、通信部３０１は、ＣＡサーバ２０♯より、本運用証明書の発行通知を受信し、発行された本運用証明書を証明書保存部３０２に保存する（ステップＳ２１０）。
【０１８５】
これに対し、本運用証明書の発行が不可能と判断された場合には（ステップＳ２０６において「ＮＧ」）、証明書発行判断部３０７は、通信部３０１を介して、ＣＡサーバ２０♯に対して、試用版証明書の失効を要求する（ステップＳ２１２）。その後、通信部３０１は、ＣＡサーバ２０♯より試用版証明書の失効通知を受信し、発行されたＣＲＬを受信する（ステップＳ２１４）。
【０１８６】
なお、本実施の形態において、ＣＡサーバ２０♯は、本運用証明書の発行要求を受信すると、証明書発行部２０２は、（発行可否の判断を行なうことなく、）証明書管理テーブル２０６に記録されたサーバアプリ３０の試用版証明書の情報に基づいて、サーバアプリ３０の本運用証明書を新たに生成し、生成した本運用証明書の情報を証明書管理テーブル２０６に記録する。証明書発行部２０２は、通信部２０１を介して、サーバアプリ３０♯に対し証明書発行通知とともに本運用証明書を送信する。
【０１８７】
また、通信部２０１が、サーバアプリ３０♯から、試用版証明書の失効要求を受信すると、ＣＲＬ発行部２０３が、サーバアプリ３０の試用版証明書を失効し、ＣＲＬを生成する。そして、通信部２０１を介し、サーバアプリ３０♯に対して、ＣＲＬ発行通知とともにＣＲＬを送信する。
【０１８８】
このように、本実施の形態によると、サーバアプリ自身で不正運用の有無を判断できる。したがって、複数のサーバアプリが存在する場合、実施の形態１の通信システムであれば、サーバアプリごとに本運用証明書の発行可否判断をする必要があるため、ＣＡサーバの処理負担が大きくなるが、本実施の形態によれば、ＣＡサーバの処理負担を軽減することができる。
【０１８９】
なお、上記各実施の形態および各変形例を組合わせてもよい。
また、本実施の形態の監視装置（ＣＡサーバまたは管理サーバ）が行なう、サーバアプリケーションの不正な運用を排除するための方法を、プログラムとして提供することもできる。このようなプログラムは、当該プログラムをコンピュータが読取可能な一時的でない（non-transitory）記録媒体に記録される。このような「コンピュータ読取可能な記録媒体」は、たとえば、ＣＤ−ＲＯＭ（Compact Disc-ROM）などの光学媒体や、メモリカードなどの磁気記録媒体などを含む。また、このようなプログラムをコンピュータ読み取り可能な記録媒体に記録させて、プログラム製品として提供することもできる。また、ネットワークを介したダウンロードによって、プログラムを提供することもできる。
【０１９０】
なお、本実施の形態に係るプログラムは、コンピュータのオペレーティングシステム（ＯＳ）の一部として提供されるプログラムモジュールのうち、必要なモジュールを所定の配列で所定のタイミングで呼出して処理を実行させるものであってもよい。その場合、プログラム自体には上記モジュールが含まれずＯＳと協働して処理が実行される。このようなモジュールを含まないプログラムも、本実施の形態に係るプログラムに含まれ得る。
【０１９１】
また、本実施の形態に係るプログラムは他のプログラムの一部に組込まれて提供されるものであってもよい。その場合にも、プログラム自体には上記他のプログラムに含まれるモジュールが含まれず、他のプログラムと協働して処理が実行される。このような他のプログラムに組込まれたプログラムも、本実施の形態に係るプログラムに含まれ得る。なお、プログラム製品は、プログラム自体と、プログラムが記憶された記憶媒体とを含む。
【０１９２】
今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
【符号の説明】
【０１９３】
１０ インターネット、１２ イントラネット、２０，２０Ａ，２０Ｂ，２０Ｃ ＣＡサーバ、２１，３１，５１ ＣＰＵ、２２，３２，５２ ＲＡＭ、２３，３３，５３ ＲＯＭ、２４，３４，５４ 入力部、２５，３５，４５，５５ 通信インターフェイス、２６，３６，５６ モニタ、２７，３７，５７ ハードディスク、２８，３８，５８ メディアドライブ、２８Ａ，３８Ａ，５８Ａ 記録媒体、３０ サーバアプリ、４０ ＭＦＰ、４１ 制御部、４２ メモリ部、４３ 画像読取部、４４ プリント部、４６ 操作パネル部、４７ 記憶部、５０ ログ収集サーバ、２０１，３０１，４０１，５０１ 通信部、２０２，２０２Ｃ 証明書発行部、２０３ ＣＲＬ発行部、２０４，２０４Ａ，２０４Ｂ，２０４Ｃ 判断部、２０５，２０５Ａ，５０２ ログ収集部、２０６ 証明書管理テーブル、２０７ 条件判断テーブル、２０８ 判断開始条件テーブル、２０９ 判断結果保存テーブル、２１０ 定期チェック部、３０２，４０２ 証明書保存部、３０３ 証明書リクエスト部、３０４ 保護部、３０５ 通信ログ取得部、３０６，４０４ 通信ログ保存部、３０７ 証明書発行判断部、３０８ 条件判断テーブル、４０３ 通信判断部、４０５ 通信ログ出力部、４０６ 判断ポリシーテーブル、５０３ ログ保存部、５０４ ログ出力部、５０５ 管理テーブル。
【特許請求の範囲】
【請求項１】
画像処理装置を管理するためのサーバアプリケーションの運用を監視するための監視装置であって、
前記サーバアプリケーションの使用頻度を示す第１の条件を少なくとも含む判断条件を格納した記憶手段と、
前記サーバアプリケーションをインストールし、第１の証明書が発行された管理サーバと、前記画像処理装置との間の通信履歴を取得するための取得手段と、
前記判断条件と前記通信履歴とに基づいて、前記管理サーバの使用実績を判断することで、前記管理サーバに設定された通信制限を緩和するか否かを決定するための判断手段とを備えた、監視装置。
【請求項２】
前記第１の証明書を発行するための発行手段をさらに備えた、請求項１に記載の監視装置。
【請求項３】
前記第１の証明書は、試用版の証明書であり、
前記発行手段は、前記判断手段により使用実績があると判断された場合に、前記通信制限が緩和された第２の証明書を発行する、請求項２に記載の監視装置。
【請求項４】
前記発行手段は、前記判断手段により使用実績がないと判断された場合には、前記第２の証明書の発行を拒絶する、請求項３に記載の監視装置。
【請求項５】
前記発行手段は、前記判断手段において前記管理サーバが満たしていると判断された前記判断条件に応じて、前記第２の証明書の前記通信制限のレベルを設定する、請求項３に記載の監視装置。
【請求項６】
前記通信制限とは、前記画像処理装置との通信可能期間を表わす、請求項１に記載の監視装置。
【請求項７】
前記通信可能期間とは、電子証明書の有効期間を表わす、請求項６に記載の監視装置。
【請求項８】
前記判断手段は、前記第１の証明書の残りの前記有効期間が閾値以下になった場合に、前記管理サーバの使用実績を判断する、請求項７に記載の監視装置。
【請求項９】
前記判断手段は、前記第１の証明書が発行されてから所定の期間が経過した場合に、前記管理サーバの使用実績を判断し、
使用実績があると判断された場合に、前記第１の証明書の継続利用を許可し、使用実績がないと判断された場合に、前記第１の証明書を失効させるための手段をさらに備えた、請求項６に記載の監視装置。
【請求項１０】
前記判断手段は、前記通信履歴の累積数、通信データ総量、および、通信している前記画像処理装置の個数のうち少なくともいずれかが、規定値以上となった場合に、前記管理サーバの使用実績を判断する、請求項１に記載の監視装置。
【請求項１１】
前記判断条件は、さらに、前記管理サーバの不正通信の有無を示す第２の条件を含み、
前記判断手段は、前記管理サーバの前記通信制限を緩和するか否かの決定に、前記管理サーバの不正通信の有無の判断結果をさらに用いる、請求項１に記載の監視装置。
【請求項１２】
前記記憶手段は、さらに、前記判断手段による過去の判断結果を記憶し、
前記判断手段は、前記過去の判断結果を利用して、前記管理サーバに設定された通信制限を緩和するか否かを決定する、請求項１に記載の監視装置。
【請求項１３】
前記監視装置は、前記管理サーバ内に含まれ、
前記記憶手段、前記取得手段および前記判断手段を保護するための保護手段をさらに備えた、請求項１に記載の監視装置。
【請求項１４】
画像処理装置を管理するためのサーバアプリケーションの運用を監視するための監視方法であって、
前記サーバアプリケーションをインストールし、第１の証明書が発行された管理サーバと、前記画像処理装置との間の通信履歴を取得するステップと、
前記サーバアプリケーションの使用頻度を示す第１の条件を少なくとも含む判断条件と前記通信履歴とに基づいて、前記管理サーバの使用実績を判断することで、前記管理サーバの通信制限を緩和するか否かを決定するステップとを備えた、監視方法。
【請求項１５】
画像処理装置を管理するためのサーバアプリケーションの運用を監視するための監視プログラムであって、
前記サーバアプリケーションをインストールし、第１の証明書が発行された管理サーバと、前記画像処理装置との間の通信履歴を取得するステップと、
前記サーバアプリケーションの使用頻度を示す第１の条件を少なくとも含む判断条件と前記通信履歴とに基づいて、前記管理サーバの使用実績を判断することで、前記管理サーバの通信制限を緩和するか否かを決定するステップとをコンピュータに実行させる、監視プログラム。
【請求項１】
画像処理装置を管理するためのサーバアプリケーションの運用を監視するための監視装置であって、
前記サーバアプリケーションの使用頻度を示す第１の条件を少なくとも含む判断条件を格納した記憶手段と、
前記サーバアプリケーションをインストールし、第１の証明書が発行された管理サーバと、前記画像処理装置との間の通信履歴を取得するための取得手段と、
前記判断条件と前記通信履歴とに基づいて、前記管理サーバの使用実績を判断することで、前記管理サーバに設定された通信制限を緩和するか否かを決定するための判断手段とを備えた、監視装置。
【請求項２】
前記第１の証明書を発行するための発行手段をさらに備えた、請求項１に記載の監視装置。
【請求項３】
前記第１の証明書は、試用版の証明書であり、
前記発行手段は、前記判断手段により使用実績があると判断された場合に、前記通信制限が緩和された第２の証明書を発行する、請求項２に記載の監視装置。
【請求項４】
前記発行手段は、前記判断手段により使用実績がないと判断された場合には、前記第２の証明書の発行を拒絶する、請求項３に記載の監視装置。
【請求項５】
前記発行手段は、前記判断手段において前記管理サーバが満たしていると判断された前記判断条件に応じて、前記第２の証明書の前記通信制限のレベルを設定する、請求項３に記載の監視装置。
【請求項６】
前記通信制限とは、前記画像処理装置との通信可能期間を表わす、請求項１に記載の監視装置。
【請求項７】
前記通信可能期間とは、電子証明書の有効期間を表わす、請求項６に記載の監視装置。
【請求項８】
前記判断手段は、前記第１の証明書の残りの前記有効期間が閾値以下になった場合に、前記管理サーバの使用実績を判断する、請求項７に記載の監視装置。
【請求項９】
前記判断手段は、前記第１の証明書が発行されてから所定の期間が経過した場合に、前記管理サーバの使用実績を判断し、
使用実績があると判断された場合に、前記第１の証明書の継続利用を許可し、使用実績がないと判断された場合に、前記第１の証明書を失効させるための手段をさらに備えた、請求項６に記載の監視装置。
【請求項１０】
前記判断手段は、前記通信履歴の累積数、通信データ総量、および、通信している前記画像処理装置の個数のうち少なくともいずれかが、規定値以上となった場合に、前記管理サーバの使用実績を判断する、請求項１に記載の監視装置。
【請求項１１】
前記判断条件は、さらに、前記管理サーバの不正通信の有無を示す第２の条件を含み、
前記判断手段は、前記管理サーバの前記通信制限を緩和するか否かの決定に、前記管理サーバの不正通信の有無の判断結果をさらに用いる、請求項１に記載の監視装置。
【請求項１２】
前記記憶手段は、さらに、前記判断手段による過去の判断結果を記憶し、
前記判断手段は、前記過去の判断結果を利用して、前記管理サーバに設定された通信制限を緩和するか否かを決定する、請求項１に記載の監視装置。
【請求項１３】
前記監視装置は、前記管理サーバ内に含まれ、
前記記憶手段、前記取得手段および前記判断手段を保護するための保護手段をさらに備えた、請求項１に記載の監視装置。
【請求項１４】
画像処理装置を管理するためのサーバアプリケーションの運用を監視するための監視方法であって、
前記サーバアプリケーションをインストールし、第１の証明書が発行された管理サーバと、前記画像処理装置との間の通信履歴を取得するステップと、
前記サーバアプリケーションの使用頻度を示す第１の条件を少なくとも含む判断条件と前記通信履歴とに基づいて、前記管理サーバの使用実績を判断することで、前記管理サーバの通信制限を緩和するか否かを決定するステップとを備えた、監視方法。
【請求項１５】
画像処理装置を管理するためのサーバアプリケーションの運用を監視するための監視プログラムであって、
前記サーバアプリケーションをインストールし、第１の証明書が発行された管理サーバと、前記画像処理装置との間の通信履歴を取得するステップと、
前記サーバアプリケーションの使用頻度を示す第１の条件を少なくとも含む判断条件と前記通信履歴とに基づいて、前記管理サーバの使用実績を判断することで、前記管理サーバの通信制限を緩和するか否かを決定するステップとをコンピュータに実行させる、監視プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２９】
【図３０】
【図３１】
【図３２】
【図３３】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２９】
【図３０】
【図３１】
【図３２】
【図３３】
【公開番号】特開２０１１−１６０３８３（Ｐ２０１１−１６０３８３Ａ）
【公開日】平成２３年８月１８日（２０１１．８．１８）
【国際特許分類】
【出願番号】特願２０１０−２２９２２（Ｐ２０１０−２２９２２）
【出願日】平成２２年２月４日（２０１０．２．４）
【出願人】（３０３０００３７２）コニカミノルタビジネステクノロジーズ株式会社 (12,802)
【Ｆターム（参考）】
【公開日】平成２３年８月１８日（２０１１．８．１８）
【国際特許分類】
【出願日】平成２２年２月４日（２０１０．２．４）
【出願人】（３０３０００３７２）コニカミノルタビジネステクノロジーズ株式会社 (12,802)
【Ｆターム（参考）】
[ Back to top ]