JP4690247B2 - 認証装置、電子機器、認証用プログラム - Google Patents

Description

本発明は、認証技術に関し、特に、機器の管理者が保守実施者である保守員にメンテナンスを依頼する際に保守員に内部情報が流出したり、或いは内部情報を改竄されたりといった危険性が回避できる安全な認証技術に関する。

企業において、セキュリティを重要視する意識が浸透する中、インターネットやパーソナルコンピュータといったものに留まらず、コピー・ファクシミリ複合機等のデータを扱う電子機器についてもより高いセキュリティが求められるようになった。このような意識の高まりに呼応し、近年では、コピー・ファクシミリ複合機などの電子機器で管理者用パスワードを設定できるものも珍しくなくなった。このような機器では、管理者は専用のパスワードを入力して装置にアクセスするため、セキュリティを確保することができる。

ところが、このようなパスワードによる管理には１つの弱点があった。それは、機器の管理者が管理者自身のパスワードである管理者用パスワード（管理者パスワード）を失念してしまう事態が起こりうることである。すなわち、管理者が管理者パスワードを失念すると、装置の起動どころか、管理者の設定を解除することもできないという問題が生じ得る。このような場合、管理者パスワードの初期化を行うか、又は、パスワードの再設定が可能なように設定しなおす方法がとられてきた。

尚、管理者パスワードを忘れた管理者は一般ユーザと同等であり、管理者パスワードを忘れた管理者自身に管理者パスワードの初期化を許すことは一般利用者に管理者パスワードの初期化を許すに等しく、セキュリティ上問題がある。この為、機器の保守員に管理者パスワードの初期化を任せざるを得ない。この場合の保守員による対処の態様には以下のものがあった。

第１の対処として、保守員に連絡し、保守員メニューにより管理者パスワードを含む装置情報全体の初期化を行ってもらうという方法がある。ここで、保守員メニューとは、保守員がメンテナンスを行い易くし、保守員の作業を補助するためのメニューである。この方法では装置情報全体の初期化を行うのでセキュリティ上の問題はないが、すべての装置情報が消滅してしまう。従って、すでに装置に登録してあった電話帳情報や動作パラメータなどをすべて再登録しなおす必要があり、再登録などの作業ロスが大きいという問題があった。

第２の対処として、保守員に連絡して、保守員メニューによりに管理者パスワードだけを初期化してもらう方法がある。この場合、悪意のある保守員や、なりすまし保守員が、初期化された管理者パスワードを利用して管理者メニューに入り、装置内データの改竄や持ち出しを行うことが可能であり、問題が有る。

第３の対処として、保守員に連絡して、保守員メニューにより現在のパスワードを入力することなく、管理者パスワードを変更可能な状態にしてもらう方法もある。この場合、保守員が自身で管理者パスワードを変更して管理者メニューに入り、装置内データの改竄や持ち出しが行われる虞がある。

尚、管理者は、自身が管理者パスワードの変更を行っていないのにも関わらずパスワードが初期化さていることに気がつけば、保守員によってパスワードの初期化が行われた可能性がある点に気づくことはできる。しかしながら、パスワードが初期化された事に気づいた時には手遅れであり、ユーザ情報や電話帳情報といった内部情報が既に漏洩した可能性もあり、セキュリティ上の問題があった。

こうした背景から、パスワードの失念対策として、これまでもいくつかの方法が提案されてきている。

例えば、一つの管理者用ＩＤに複数のパスワードを設け、一つのパスワードを忘れても、二つ目のパスワードを使って該ＩＤの再発行等を可能とする技術がある（特許文献１）。

又、設定代行者を設けておき、認証情報（パスワード）を失念した場合には設定代行者に安全かつ迅速にパスワードの再発行処理を実行させる技術が提案されている（特許文献２）。

しかしながら、こうした方法には他の難点があった。

例えば、特許文献１に記載された発明において二つ目のパスワードを忘れてしまった場合は、どうしてもその機器の保守員をコールせざるを得ない状況となる。また、特許文献２に記載された発明のように、設定代行者により保守員を介さずに管理者用ＩＤによるログインを復旧できた場合であっても、コピー・ファクシミリ複合機などのような複雑な複合機になると、内部情報を適切に設定するためには、保守員の専門知識が必要となる局面が多々ある。このため、管理者用ＩＤのパスワード忘れ対策を例え十分に施したとしても、保守員によるメンテナンス作業を避けることが出来ない以上、情報漏洩のリスクはなくならない。例えば、管理者が扱う情報は、企業内の秘密情報や顧客情報なども含まれる為、部外者である保守員に対しては登録も参照も制限することが望ましい。ところが、障害早期解決のため、保守員に対して機密情報を含んだ情報の提供が必要になる場合も多く、現実的には難しい。また、保守員に対するセキュリティの意識が薄い利用者も少なくない。

そこで、上記問題を解決する技術として、下記に示される技術が提案された。すなわち、管理者が管理者メニューを使って保守員の操作を制限する設定を施すことでセキュリティの確保を行う技術である（特許文献３）。

又、複合機の操作パネルからパスワードにより保守員の認証を行い、「認証処理が成功したこと」と「設定許可がされていること」の両条件を満たすことで設定画面にログインさせることで機密情報漏洩を防止する技術がある。すなわち、管理者側で保守員（ＣＥ）の作業制限を予め設定しておけば、例えば「制御データは許可、機密データは不許可」といったように、保守員の内部情報へのアクセスを制限することができる（特許文献４）。
特開２００２−０２４１８１号公報 特開２００５−０３１８８４号公報 特開２００４−３０３２１５号公報 特開２００５−２２２４６４号公報

しかしながら、上記提案の技術においても大きな問題があった。

すなわち、機器管理者が保守員に対して作業制限を施した状態で、機器管理者がパスワード忘れ等により認証手段を失った場合、作業制限を解除する手段が実行できなくなり、保守作業（メンテナンス）ができなくなる。

この問題に対処するため、作業制限をオンにした状態でも、管理者パスワードの初期化処理だけは操作可能にするという救済策も開示されてはいる。しかしながら、この技術は、保守員に対して操作制限を施すという本来の趣旨を損なう。保守員が管理者パスワードを自由に初期化することが可能となる以上は、やはりセキュリティ上の問題が生じる。

逆に、また、作業制限を施したつもりで実際は作業制限がされていなかったといった誤認も想定される。

従って、本発明が解決しようとする課題は、保守実施者によりメンテナンスが行われる際、保守員への情報漏洩を防止し、管理ＩＤに対応するパスワードを失念した場合でも安全にメンテナンスを続行できる認証技術を提供することである。

上記課題を解決するための第１の発明は、認証装置であって、保守員用パスワードの認証処理を行う第１の認証手段と、物理的な鍵を用いて認証処理を行う第２の認証手段と、前記第１の認証手段及び第２の認証手段による認証が成功した場合に所定の処理を許可する制御手段とを有することを特徴とする。

上記課題を解決するための第２の発明は、電子機器であって、保守員用パスワードの認証処理を行う第１の認証手段と、物理的な鍵によるスイッチのオンまたはオフの状態で認証処理を行う第２の認証手段と、前記第１の認証手段及び第２の認証手段による認証が成功した場合には、管理者パスワードの初期化処理を実行させる制御手段とを有することを特徴とする。

上記課題を解決するための第３の発明は、認証装置のプログラムであって、認証装置を、保守員用パスワードの認証処理を行う第１の認証手段と、物理的な鍵を用いて認証処理を行う第２の認証手段と、前記第１の認証手段及び第２の認証手段による認証が成功した場合に所定の処理を許可する制御手段として機能させることを特徴とする。

上記課題を解決するための第４の発明は、電子機器のプログラムであって、電子機器を、保守員用パスワードの認証処理を行う第１の認証手段と、物理的な鍵によるスイッチのオンまたはオフの状態で認証処理を行う第２の認証手段と、前記第１の認証手段及び第２の認証手段による認証が成功した場合には、管理者パスワードの初期化処理を実行させる制御手段として機能させることを特徴とする。

上記課題を解決するための第５の発明は、認証装置であって、物理的な鍵を用いて認証処理を行う認証手段と、前記物理的な鍵を用いた認証処理とは異なる認証処理を行う認証手段と、前記複数の認証手段による認証がすべて成功した場合に所定の処理を許可する制御手段とを有することを特徴とする。

上記のように構成させたことにより、保守員によるメンテナンスが行われる際、高いセキュリティを確保することが可能となる。

その理由は、本発明は二つの異なる認証手段を有しているので、それぞれの認証手段を異なる人物に割り当てることができるからである。

本発明の実施の形態について図を用いて説明する。

図１〜図２は本発明になる認証機能付き電子機器の実施の形態を説明する為のもので、図１は全体のブロック図、図２はフローチャートである。

図１を参照すると、ａ５は本発明になる認証機能付き電子機器であり、ここではコピー・ファクシミリ複合機である（以後、複合機ａ５と略記する場合がある）。また、複合機ａ５を操作する操作者は、大きく利用者と保守員とに分けられる。管理者ａ２は複合機ａ５を管理する管理者である。ａ３は複合機ａ５を使用する一般のユーザである。ここで、管理者ａ２と一般ユーザａ３はコピー・ファクシミリ複合機ａ５を購入した利用者側の立場の人間であり、利用者である。ａ４は、複合機ａ５を購入した顧客との間で保守契約を結び保守を請け負う会社に属するＣＥ（カスタマエンジニア）であり、複合機ａ５の保守を行う保守員である。

ａ１は管理者ａ２が保管している物理的な鍵であり、複合機ａ５のスイッチに差し入れて該スイッチをオンまたはオフするために用いる道具である。コピー・ファクシミリ複合機ａ５のメンテナンスを行う際に、管理者はこの鍵を用いて複合機ａ５のもつスイッチをオンにすることで保守員のメンテナンスの実施を許可する。

ここで、複合機ａ５の構成について、図１を用いて説明する。

複合機ａ５は、認証用スイッチａ５１と、認証用スイッチ状態レジスタａ５２と、保守員操作処理部ａ５３と、管理者操作処理部ａ５４と、装置情報格納域ａ５５と、コピーファクシミリ機能部ａ５６とを有する。

認証用スイッチａ５１は、保守員によってなされる管理者パスワードの初期化作業を許可する為のスイッチであり、管理者ａ２が保管する操作用鍵ａ１によってスイッチのオンまたはオフが可能となるものである。

認証用スイッチ状態レジスタａ５２は、認証用スイッチａ５１の状態（オンかオフか）を記憶するための記憶素子である。管理者ａ２が操作用鍵ａ１を用いて認証用スイッチａ５１を切り替えると、切り替え後のスイッチの状態がこの認証用スイッチ状態レジスタａ５２に反映される。

保守員操作処理部ａ５３は、保守員が保守員メニューを介して行った指示を受けて実際に処理する処理部である。ここで、保守員メニューとは、保守員ａ４のメンテナンスを行い易くし、保守員の作業を補助するために複合機ａ５に設けられた保守員用のメニューであり、ここではタッチパネル形式で提供されるものである。保守員メニューは、保守員ａ４によってパスワード認証が正しくなされると起動する。保守員ａ４は、管理者によって操作の制限がされていない場合には、このメニューを使ってメンテナンスの内容を選び、作業を行うことができる。操作の制限がされている場合には、メニューの操作が禁止される。

管理者操作処理部ａ５４は、管理者が管理者メニューを介して行った指示を受けて実際に処理する処理部である。ここで、管理者メニューとは、複合機ａ５の管理者が、各種管理作業を行い易くし管理者の作業を補助するために複合機ａ５に設けられたメニューである。管理者ａ２は、パスワード認証を経た後で管理者メニューの操作が可能になり、このメニューを使って管理作業の内容を選び作業を行うことができる。尚、こうした操作用メニューに関する技術は既知のため、詳細の説明は省略する。

装置情報格納域ａ５５は、管理者用のパスワードである管理者パスワードと、保守員用のパスワードである保守員パスワードと、管理者が保守員の実行可能なメンテナンス作業範囲を制限する場合に設定する保守員操作制限情報と、その他の装置情報とを格納するための記憶領域である。

ここで、保守員操作制限情報とは、保守員に対して操作を制限する場合に管理者が管理者メニューを使って設定するものであり、オンかオフを示すフラグである。保守員操作制限情報は管理者メニューからのみ設定変更が可能であり、保守員ａ４や一般ユーザａ３は設定変更ができない。また、その他の装置情報とは、例えば保守員がアクセスする保守部品の使用状況チェック、スキャナ／プリンタ部の微調整データ、個別対応機能の利用許可設定情報、管理者がアクセスするネットワーク設定情報、コピーファクシミリ機能使用時の初期パラメータ情報、電話帳情報などといったものがある。認証ユーザにのみコピーファクシミリ装置の使用を許可している場合には、認証ユーザの情報なども格納される。

コピーファクシミリ機能部ａ５６は、コピー、スキャナ、ファクシミリの機能を実現させるための処理部であり、保守員メニュー・管理者メニューの表示や操作者からの操作を受け付け、機器を制御する。

更に、各処理部および機能部の構成について図１を用いて具体的に説明する。

保守員操作処理部ａ５３は、保守員認証部ａ５３１と、認証用スイッチ状態判定部ａ５３２と、保守員操作制限情報判定部ａ５３３と、管理者パスワード初期化部ａ５３４と、装置情報設定参照部ａ５３５とを有する。

保守員認証部ａ５３１は、保守員ａ４が正しい保守員であるかを検証する為の認証手段を提供する。具体的には、保守員ａ４により入力されたパスワードと、装置情報格納域ａ５５に記憶されている保守員パスワードとを比較し、一致している場合は正しいパスワード（正しい保守員）であるとして認証し、保守員メニューを立ち上げ保守員の操作を許可する。一致しないと判断されると、保守員メニューは立ち上げず保守員ａ４による操作は禁止される。

認証用スイッチ状態判定部ａ５３２は、認証用スイッチ状態レジスタを参照し認証用スイッチａ５１がオンなのかオフなのかその状態を判定する。

保守員操作制限情報判定部ａ５３３は、保守員に対する操作制限がされているのかどうかをチェックする。具体的には、装置情報格納域ａ５５内に格納された保守員操作制限情報をチェックし、保守員操作制限情報がオフを示す状態にあれば保守員メニューの操作を可能にすることで保守員の操作を許可する。一方、保守員操作制限情報がオンを示す状態にあれば、保守員操作制限情報判定部ａ５３３によって保守員ａ４による保守員メニューの操作が禁止される。

管理者パスワード初期化部ａ５３４は、装置情報格納域ａ５５内の管理者パスワードを初期化する。

装置情報設定参照部ａ５３５は、保守員ａ４が保守員メニューを使ってメンテナンスする際に、保守員メニューを介して保守員から要求された指示内容を受け、実際にメンテナンスの処理を行う部分である。具体的なメンテナンスの処理内容は、スキャナ／プリンタ機構のパラメータ微調整や画像パラメータ調整、保守部品の故障／寿命情報の参照、個別対応機能の利用許可設定、画像異常や装置動作不正発生時の障害情報採取、装置情報の全体初期化、ファームウェアのアップデートなどである。

次に、管理者操作処理部ａ５４は、管理者認証部ａ５４１と、保守員操作制限情報設定部ａ５４２と、管理者パスワード変更部ａ５４３と、装置情報設定参照部ａ５４４とを含む。

管理者認証部ａ５４１は、管理者ａ２が正しい管理者であるか確認するための認証手段を提供する。具体的には、管理者ａ２により入力されたパスワードと、装置情報格納域ａ５５に記憶されている管理者パスワードとを比較し、一致している場合は正しいパスワード（正しい管理者）であるとして認証し、管理者メニューを立ち上げ管理者ａ２の操作を許可する。一致しないと判断すると、管理者メニューは立ち上げずに管理者ａ２による操作は禁止される。

保守員操作制限情報設定部ａ５４２は、装置情報格納域ａ５５内の保守員操作制限情報をオフからオンまたはオンからオフに書き替える。具体的には、コピーファクシミリ機能部ａ５６から保守員に対する操作制限をする旨の要求を受けると、装置情報格納域ａ５５内の保守員操作制限情報をオンに書き替え、保守員に対して操作制限をする。逆にコピーファクシミリ機能部ａ５６から保守員に対する操作制限を解除する旨の要求を受けると、装置情報格納域ａ５５内の保守員操作制限情報をオフに書き替えて、保守員に対する操作制限を解除する。

管理者パスワード変更部ａ５４３は、管理者パスワードの変更要求を受けて、装置情報格納域ａ５５内の管理者パスワードを書き替える。

装置情報設定参照部ａ５４４は、管理者ａ２が管理者メニューを使って管理作業をする際に、管理者メニューを介して管理者から要求された指示の要求を受けて、実際に管理作業の処理を行う部分である。具体的な管理作業の処理内容は、ネットワーク設定、コピーファクシミリ機能使用時の初期パラメータ設定、短縮ダイヤルや電話帳情報の登録／参照、
装置が認証ユーザにのみコピーファクシミリ装置の使用を許可している場合の認証ユーザ情報の登録／参照などである。

コピーファクシミリ機能部ａ５６は、スキャナ／プリンタ部ａ５６１と、通信制御部ａ５６２と、ネットワーク制御部ａ５６３と、表示部ａ５６４と、ユーザ操作制御部ａ５６５とを有する。

スキャナ／プリンタ部ａ５６１は、スキャニング処理や印刷処理を行う。

通信制御部ａ５６２は、公衆網やＩＳＤＮ網といったＷＡＮ回線を介しＦＡＸ機との通信を制御する。

ネットワーク制御部ａ５６３は、ＬＡＮに接続し、ＩＰアドレスＦＡＸやパーソナルコンピュータといったＩＰデバイスと通信をするための制御部である。

表示部ａ５６４は、タッチパネル形式の表示装置であり、管理者メニューや保守員メニュー、操作者に対する各種メッセージ等が表示される。

ユーザ操作制御部ａ５６５は、認証の結果に応じて、管理者パスワードの初期化処理の実行を管理者パスワード初期化部ａ５３４に指示する。具体的には、保守員による認証が成功し、認証用スイッチａ５１がオンの状態にあるとき、管理者パスワードの初期化処理の実行を管理者パスワード初期化部ａ５３４に指示する。又、認証の結果に応じて、保守員メニューを起動／停止確認メッセージ等の各種メッセージを表示部ａ５６４に表示させ、操作者と機器本体とのインターフェースを提供する。例えば、ユーザ操作制御部ａ５６５は、装置情報格納部ａ５５の保守員操作制限情報を参照し、保守員操作制限情報がオフの状態の場合には保守員メニューを起動させ保守員による操作を可能にする。一方、保守員操作制限がオンの状態であれば、コピーファクシミリ機能部ａ５６の表示部ａ５６４に「保守の操作が禁止されています」等の所定のメッセージを表示する。この場合、保守員は操作をすることができない。

尚、操作用鍵a1によってオン・オフがされる認証用スイッチａ５１は、保守員ａ４によって容易に改変されないよう、装置分解などが行いにくい構造にしておくことが望ましい。また認証用スイッチ状態レジスタａ５２を保守員ａ４によって操作されないよう、レジスタ情報は非公開とし保守員メニューなどからの該当レジスタ操作を行えないように制限しておくことが望ましい。更には、書き込み禁止レジスタを用意し、該当レジスタ操作を行う際にはまず書き込み禁止レジスタの設定を書き込み許可に変更してから書き込む必要があるような構成にすることで、保守員ａ４に単純なレジスタ操作によって認証用スイッチ状態レジスタａ５２を変更されないようにしておくことが望ましい。

上記のように構成させた認証機能付き電子機器の動作について図２を用いて説明する。

尚、ここでは、本発明の認証技術の適用対象処理として、「管理者パスワードの初期化」を例にとって説明するが、これに限る必要はない。例えば、重要なデータを含む記憶媒体のフォーマット（初期化）の実行に際して本発明の認証技術を適用の対象としてもよいし、シャットダウン（機器停止）コマンドの実行に際して本発明の認証技術を適用の対象としてもよい。又、ここでは、本発明の認証技術の適用対象となる電子機器として「コピー・ファクシミリ複合機」を例にとって説明するが、これに限る必要はない。例えば、操作上の安全性が求められる医療機器を適用対象の電子機器としてもよいし、ミッションクリティカルな基幹業務システムにおいて動作する汎用コンピュータ等を適用対象の電子機器としてもよい。

コピー・ファクシミリ複合機ａ５の保守を行わない通常のサービス時は、セキュリティを重要視している管理者ａ２は、保守員ａ４に対する操作を制限する目的で保守員操作制限をオンにする。このときの認証の動作についてまずは説明する。

管理者ａ２によって、入力部ａ５７から管理者パスワードが入力されると、管理者認証部ａ５４１は、装置情報格納域ａ５５内にあらかじめ登録してある管理者パスワードと入力されたパスワードとを比較し認証行う。

パスワードが一致した場合（認証成功の場合）、管理者メニューが起動される。そして、管理者ａ２により管理者メニューを介して保守員操作制限情報がオンに設定されると、保守員操作制限情報設定手段ａ５４２が装置情報格納域ａ５５内の保守員操作制限情報をオンに書き換える。すると、これ以降、保守員ａ４は保守員メニュー内の操作が行えなくなる。障害調査や定期点検など保守員メニュー内での操作が必要になった場合には、管理者ａ２が管理者メニュー内の保守員操作制限情報を一時的にオフに切り替えることで、保守員ａ４の操作を許可する必要がある。

次に、定期点検等で保守員ａ４が複合機ａ５の保守を行う際の認証の動作について説明する。

保守員ａ４により入力部ａ５７から保守員のパスワードが入力されると（ステップＳ０）、保守員認証部ａ５３１は、装置情報格納域ａ５５内にあらかじめ登録してある保守員パスワードと入力されたパスワードを比較し認証行う（ステップＳ１）。

パスワードが一致すると（ステップＳ２：認証成功）、保守員メニューが立ち上がり、次に認証用スイッチ状態判定部ａ５３２が、認証用スイッチ状態レジスタａ５２を参照し認証用スイッチａ５１の状態（オンかオフか）を判定する（ステップＳ３）。

認証用スイッチがオフの状態にあると判定された場合は、さらに保守員操作制限情報判定手段ａ５３３が装置情報格納域ａ５５内の保守員操作制限情報をチェックし（ステップＳ４）、保守員操作制限もオフの状態にあれば保守員メニュー内の操作が可能となる（ステップＳ５）。一方、保守員操作制限がオンの状態にあれば、ユーザ操作制御部ａ５６５が「操作が許可されていません。管理者に連絡してください」等のメッセージを表示部ａ５６４に表示させる（ステップＳ１０）。また、このときユーザ操作制御部ａ５６５は、保守員メニューの終了指示を受けて保守員メニューを終了させる（ステップＳ６）。

ところで、管理者ａ２は管理者パスワードを忘れてしまう場合もあり得る。この場合の対処に伴う認証の動作は下記の通りである。

まず、管理者ａ２は、保守員ａ４に連絡をとり該当複合機ａ５の設置場所へ出向いてもらう。

保守員ａ４の到着後、管理者ａ２によって認証用スイッチ操作用鍵ａ１を使用して認証用スイッチａ５１がオンの状態へと変更される。この状態で、保守員ａ４により入力部ａ５７から保守員のパスワードが入力されると（ステップＳ０）、保守員認証部ａ５３１は、装置情報格納域ａ５５内にあらかじめ登録してある保守員パスワードと入力されたパスワードとを比較し認証を行う（ステップＳ１）。

パスワードが一致すると（認証成功）、認証用スイッチ状態判定部ａ５３２が、認証用スイッチ状態レジスタａ５２を参照し認証用スイッチａ５１の状態（オンかオフか）を判定する（ステップＳ３）。この場合、認証用スイッチ状態レジスタａ５２にはオンを示すスイッチの状態が記憶されているため、認証用スイッチａ５１の状態はオンであると判定されることになる。すると、ユーザ操作制御部ａ５６５は、コピーファクシミリ機能部ａ５６の表示部ａ５６４に確認のための確認メッセージを表示させる（ステップＳ７）。この確認メッセージは、例えば「管理者パスワードを初期化しますか？」等の管理者パスワードを初期化する旨を確認する内容を含んだメッセージである。

この確認メッセージに対しＹＥＳが選択されると（ステップＳ８）、ユーザ操作制御部ａ５６５は、管理者パスワード初期化部ａ５３４に管理者パスワードの初期化を要求し、管理者パスワード初期化部によって装置情報格納域ａ５５内の管理者パスワードが初期化される（ステップＳ９）。管理者パスワードの初期化が終了すると、ユーザ操作制御部ａ５６５は保守員から保守員メニューの終了指示を受けて保守員メニューを終了させる（ステップＳ６）。このとき、ユーザ操作制御部ａ５６５は保守員ａ４に対して保守員メニューの終了を促すメッセージを表示してもよい。

この確認メッセージに対してＮｏが選択された場合は（ステップＳ８：Ｎｏ）、管理者パスワード初期化手段ａ５３４によって装置情報格納域ａ５５内の管理者パスワードは初期化されず、ユーザ操作制御部ａ５６５は保守員ａ４から保守員メニューの終了指示を受けて保守員メニューを終了させる。

管理者パスワードの初期化が終了すると、次に管理者ａ２は、管理者パスワードを初期化したときの初期パスワードから保守員の知らない他のパスワードへと変更（再設定）する。

まず管理者ａ２は、認証用スイッチをオンの状態にしたまま、入力部ａ５７から管理者パスワードを入力する。すると、管理者認証部ａ５４１は、入力されたパスワードと装置情報格納域ａ５５内にあらかじめ登録してある管理者パスワードと入力されたパスワードとを比較し認証を行う。

パスワードが一致した場合（認証成功の場合）、管理者メニューが起動される。そして、管理者ａ２から管理者メニューを介して管理者パスワードの変更要求があると、管理者パスワード変更手段ａ５４３がこれに応答して、装置情報格納域ａ５５内の管理者パスワードを書き換える。

次に、保守員ａ４に対するセキュリティを重要視している管理者ａ２は、保守員操作制限がオンになっていることを確認する。そして、管理者ａ２の管理する認証用スイッチ操作用鍵ａ１によって認証用スイッチａ５１はオフの状態に戻される。これにより、保守員ａ４によってみだりに管理者パスワードが変更されるような危険性がなくなる。このとき、保守員操作制限がオフの状態の場合、保守員の認証が成功するとユーザ操作制御部ａ５６５が保守員メニューを起動させ、保守員による操作を可能にする。一方、保守員操作制限がオンの状態の場合には、保守員メニューを起動しようとして保守員用パスワードを入力して認証が成功しても、ユーザ操作制御部ａ５６５は保守員に対し保守員メニューの操作を許可せず、「操作が許可されていません。管理者に連絡してください」等のメッセージを表示部ａ５６４に表示させる。保守員ａ４は、保守員メニューを使った操作はできない。

上記第１の実施の形態では、コピー・ファクシミリ複合機が、保守実施者のパスワードを使用した第１の認証手段と物理的な鍵を用いた認証用スイッチによる第２の認証手段と複数の異なる認証手段を有しており、それぞれの認証が異なる人物によってなされるように構成させたため、管理者パスワードを初期化する際に高いセキュリティを確保することができる。また、高いセキュリティを確保したことで装置情報全体の初期化を行わずに管理者パスワードの初期化のみを実施することができるため、管理者が管理者パスワードを忘れた場合でも効率的な復旧が可能になる。

上記第１の実施の形態では、「物理的な鍵を用いた認証用スイッチによる認証」がされた後「パスワードを使用した保守員の認証」がされたときに、制御手段（ユーザ操作制御部）が管理者パスワードの初期化を許可するように構成させたが、認証の順番は逆にすることも可能である。すなわち、管理者パスワードの初期化の実行に際し、「パスワードを使用した保守員の認証」がされた後「物理的な鍵を用いた認証用スイッチによる認証」がされたことを条件としてもよい。又、本実施の形態では、複数の異なる認証手段のうち一つの認証手段にパスワード認証を用いているが、一つの認証手段に「物理的な鍵を用いた認証用スイッチによる認証」手段が用いられているのであれば、他方の認証手段はパスワード認証以外の認証手段であってもよい。例えば、パスワード認証の替わりに指紋認証を用いてもよい。

また、上記第１の実施の形態では、管理者操作処理部ａ５４と保守員操作処理部ａ５３とコピーファクシミリ機能部ａ５６とをハードウェアで構成した。しかし、上述した処理を行わせるプログラムで動作する情報処理装置により、上述した各部の一部または全部を構成することもできる。

また、上記実施の形態にあっては、管理者パスワードの初期化の実行に際し、「パスワードを使用した保守員の認証」及び「物理的な鍵を用いた認証用スイッチによる認証」を条件としたが、次のような実施の形態もある。すなわち、「物理的な鍵を用いた認証用スイッチによる認証」に加えて「保守メニューが表示されていること」を管理者パスワードの初期化の条件としてもよい。

次に、第２の実施の形態について図３、図４を用いて説明する。図３〜図４は本発明になる認証機能付き電子機器の第２の実施の形態を説明する為のもので、図３は全体のブロック図、図４はフローチャートである。

まず、第２の実施の形態における構成について、図３を用いて説明する。

図３を参照すると、本発明の第２の実施の形態における構成は、第１の実施の形態の構成に加えて、認証用スイッチ変化処理部ａ５８を有するほか、保守員操作処理部ａ５３には保守員メニュー表示状態設定手段ａ５３６をさらに有し、装置情報格納域ａ５５内には保守員メニュー表示状態情報をさらに有する。その他の構成部分は第１の実施の形態の構成と同じであるため、同一部分には同一符号を付して詳細な説明は省略する。

まず、認証用スイッチ変化処理部ａ５８の構成について、図３を用いて具体的に説明する。

認証スイッチ変化処理部ａ５８は、認証用スイッチａ５１のスイッチの状態の変化や、保守員メニューが表示されているかどうかを判断するもので、保守員メニュー表示状態判断部ａ５８１と、認証用スイッチ状態判定部ａ５８２と、管理者パスワード初期化部ａ５８３とを有する。

保守員メニュー表示状態判断部ａ５８１は、装置情報格納部ａ５５を参照して、表示部ａ５６４に保守員メニューが表示されているかどうかの判断をする。尚、管理者ａ４によって保守員操作制限がされている場合には、保守員メニューが表示されると同時に保守員に対して操作制限がされている旨のメッセージも表示される。そしてこの場合、保守員は保守員メニューを操作できないが、保守員メニュー表示状態判断部ａ５８１は、保守員メニューが起動されたものとして判断する。

認証用スイッチ状態判定部ａ５８２は、認証用スイッチａ５１の状態が変化すると、認証用状態レジスタａ５２を参照してその状態の変化を検知する。

管理者パスワード初期化部ａ５８３は、保守員メニューが表示されており、認証用スイッチがオンの状態にあるとき、装置情報格納域ａ５５内の管理者パスワードを初期化する。

保守員操作部ａ５３における保守員メニュー表示状態設定手段ａ５３６は、保守員による認証が成功して保守員メニューが立ち上がると、装置情報格納部ａ５５にある保守員メニュー表示状態情報を書き換える。具体的には、保守員メニューが立ち上がると、保守員メニューが起動していることを示すフラグへと情報を書き換える。

装置情報格納部ａ５５における保守員メニュー表示状態情報は、保守員メニューが表示部ａ５６４に表示されているか否かを示す情報である。保守員メニュー表示状態判断部ａ５８１は、この情報を参照して、保守員メニュー表示部ａ５６４に保守員メニューが表示されているかどうかを判断する。

次に、第２の実施の形態における動作について図４のフローチャートを用いて説明する。

尚、ここでも、本発明の認証技術の適用対象処理として、「管理者パスワードの初期化」を例にとって説明するが、これに限る必要はない。例えば、重要なデータを含む記憶媒体のフォーマット（初期化）の実行に際して本発明の認証技術を適用の対象としてもよいし、シャットダウン（機器停止）コマンドの実行に際して本発明の認証技術を適用の対象としてもよい。又、本発明の認証技術の適用対象となる電子機器として「コピー・ファクシミリ複合機」を例にとって説明するが、これに限る必要はない。例えば、操作上の安全性が求められる医療機器を適用対象の電子機器としてもよいし、ミッションクリティカルな基幹業務システムにおいて動作する汎用コンピュータ等を適用対象の電子機器としてもよい。

管理者ａ２が管理者パスワードを忘れてしまった場合、保守員ａ４に連絡をとり、コピー・ファクシミリ複合機ａ５の設置場所へ出向いてもらう。到着した保守員ａ４は、保守員パスワードを入力する。そして、保守員認証部ａ５３１により正しいパスワードであるかの認証が行われる（ステップＴ１）。

ここで、保守員操作制限情報設定部ａ５４２により保守員操作制限情報がオンに設定されている場合（すなわち、保守員操作制限がされている場合）とオフに設定されている場合（保守員操作制限がされていない場合）との２通りが想定される。管理者ａ２によって保守員操作制限がオフに設定されている場合であって、認証が成功した場合には、ユーザ操作制御部ａ５６５は保守員メニューを正しく起動させる。そして、保守員は保守員メニュー内での操作が許される。一方、管理者ａ２によって保守員操作制限をオンに設定されている場合に認証が成功すると、「操作が許可されていません。管理者に連絡してください」等の保守員の操作を制限する旨を伝えるメッセージ（操作制限メッセージ）が表示部ａ５６４にポップアップウィンドウで表示される。このときも保守員メニュー自体は起動されるが、保守員による保守員メニューの操作は制限される。

保守員による認証処理（ステップＴ１）を経た後、認証用スイッチａ５１は管理者ａ２によってオンに変更される（ステップＴ３）。

次に、保守員による認証が成功すると、保守員メニュー表示状態設定部ａ５３６は装置情報格納部ａ５５にある保守員メニュー表示状態情報を、保守員メニューが起動していることを示すフラグ“１”へと書き換える。認証失敗の場合には保守員メニュー表示状態情報は書き替わらず、保守員メニューが起動していないことを示すフラグ“０”のままである。

次に、保守員メニュー表示状態判断部ａ５８１は、この装置情報格納部ａ５５内の保守員メニュー表示状態情報を参照して保守員メニューが表示されているか否かを判定する（ステップＴ４）。

保守員メニューが表示されている状態で、認証用スイッチａ５１がオフからオンに変更された場合（ステップＴ４：Ｙｅｓ）、ユーザ操作制御部ａ５６５は「管理者パスワードを初期化しますか」等のメッセージを表示部ａ５６４に表示する（ステップＴ５）。このときＹｅｓが選択されると（ステップＴ６）、管理者パスワード初期化部ａ５８３は装置情報格納部ａ５５内の管理者パスワードを初期化する（ステップＴ７）。管理者パスワードの初期化終了後は、認証用スイッチａ５１をオンに変更した時点の画面表示であるステップＴ３に戻る（ステップＴ８）。

尚、操作制限メッセージが表示されている状態で認証用スイッチａ５１がオンに変更された場合も、同様に、ユーザ操作制御部ａ５６５は「管理者パスワードを初期化しますか」等のメッセージを表示部ａ５６４に表示する（ステップＴ５）。Ｙｅｓが選択されると（ステップＴ６）、管理者パスワード初期化部ａ５８３は装置情報格納部ａ５５内の管理者パスワードを初期化する（ステップＴ７）。管理者パスワードの初期化終了後には、保守員メニューとあわせて「操作が許可されていません。管理者に連絡してください。」等の操作制限メッセージが表示されている表示画面に戻る（ステップＴ３）。

さて、管理者ａ２が不注意な管理者であれば、保守員ａ４がなりすまし保守員で認証処理をしていない保守員であるにもかかわらず、認証用スイッチａ５１をオンにしてしまうようなケースが想定される。或いは、保守員ａ４が帰った後も認証用スイッチをオフに戻すのを忘れ、スイッチオンの状態のまま放置してしまうようなケースも想定に難くない。

この場合、保守員ａ４による認証処理が行われず保守員メニューが起動しないから（ステップＴ２）、装置情報格納部ａ５５にある保守員メニュー表示状態情報は書き替わらずオフを示すフラグのままである。

このような状態、すなわち、保守員の認証が成功しておらず保守員メニューも操作制限メッセージも表示されていない状態（ステップＴ２）で認証用スイッチをオンに変更すると（ステップＴ３）、認証用スイッチ変化処理部ａ５８の保守員メニュー表示状態判断部ａ５８１は、この保守員メニュー表示状態情報を参照し、保守員メニュー及び操作制限メッセージは画面に表示されていないと判断する（ステップＴ４：Ｎｏ）。そして、ユーザ操作制御部ａ５６５は、「認証用スイッチをオフにしてください」等のメッセージを表示する（ステップＴ９）。ここでは、報知する手段としてメッセージを表示する方法をとったが、認証用スイッチａ５１がオンになっていることを管理者に報知できるのであれば、他の方法を用いてもよい。電子メールで管理者にメッセージを送信してもよいし、スピーカーからの音声によりスイッチのオフを促してもよい。

管理者ａ２によって、認証用スイッチがオフに変更されると、認証用スイッチ状態判定部ａ５８２がこれを検知し、認証用スイッチａ５１をオンに変更した時点の画面表示であるステップＴ３に戻る（ステップＴ８）。

上記第２の実施の形態では、認証用スイッチａ５１の変化を検知する認証用スイッチ変化処理部ａ５８を設け、認証用スイッチａ５１をオンに変更した時点の画面状態により処理や表示するメッセージを変更することができるため、利用者の操作性が向上する。また、保守員が保守メニューを起動し、その状態で管理者が認証用スイッチをオフからオンへと変更することになるから、間違って認証用スイッチをオンの状態で放置してしまい、保守員メニューが起動されて知らないうちに管理者パスワードが初期化されてしまうといった事態も防ぐことができる。また、立場の違う保守員および管理者の双方が確実にその場に存在した状態で管理者パスワードの初期化を行うことになり、高いセキュリティが確保される。

本実施の形態における認証用スイッチａ５１のオフからオンへの状態の変化の検知は、認証用スイッチ変化処理部ａ５８に検知させるよう構成させたが、認証用スイッチ状態レジスタａ５２の定期的な監視によってオフからオンの状態変化を検出してもよいし、割り込み起動するようなハードウェア構成を設定し割り込み処理を行わせることで検知させてもよい。

また、上記第２の実施の形態では、管理者操作処理部ａ５４と保守員操作処理部ａ５３とコピーファクシミリ機能部ａ５６と認証用スイッチ変化処理部ａ５８とをハードウェアで構成した。しかし、上述した処理を行わせるプログラムで動作する情報処理装置により、上述した各部の一部または全部を構成することもできる。

本発明の第１の実施の形態を示すブロック図。 本発明の第１の実施の形態を示すフローチャート。 本発明の第２の実施の形態を示すブロック図。 本発明の第２の実施の形態を示すフローチャート。

符号の説明

ａ１ 認証用スイッチ操作用鍵
ａ２ 機器の管理者
ａ３ 機器を使用する一般ユーザ
ａ４ 機器の保守員
ａ５ コピー・ファクシミリ複合機
ａ６ ＦＡＸ
ａ７ ＩＰアドレスＦＡＸ
ａ８ パーソナルコンピュータ
ａ５１ 認証用スイッチ
ａ５２ 認証用スイッチ状態レジスタ
ａ５３ 保守員操作処理部
ａ５４ 管理者操作処理部
ａ５５ 装置情報格納部
ａ５６ コピーファクシミリ機能部
ａ５７ 入力部
ａ５８ 認証用スイッチ変化処理部
特許出願人 日本電気株式会社
代理人 宇高 克己

Claims (3)

1. 保守員用パスワードの認証処理を行う第１の認証手段と、
   物理的な鍵によるスイッチのオンまたはオフの状態で認証処理を行う第２の認証手段と、
   前記第１の認証手段及び第２の認証手段による認証が成功した場合には、管理者パスワードの初期化処理を実行させる制御手段と、
   前記第１の認証手段により認証が行われず、前記第２の認証手段のスイッチがオンの状態のとき、スイッチの解除を報知する報知手段
   とを有することを特徴とする電子機器。
2. 前記物理的な鍵は前記電子機器の管理者が保管している鍵である
   ことを特徴とする請求項１の電子機器。
3. 電子機器を
   保守員用パスワードの認証処理を行う第１の認証手段と、
   物理的な鍵によるスイッチのオンまたはオフの状態で認証処理を行う第２の認証手段と、
   前記第１の認証手段及び第２の認証手段による認証が成功した場合には、管理者パスワードの初期化処理を実行させる制御手段と、
   前記第１の認証手段により認証が行われず、前記第２の認証手段のスイッチがオンの状態のとき、スイッチの解除を報知する報知手段
   として機能させることを特徴とする電子機器のプログラム。

Images