特開 2023-155012 デバイス、および、コンピュータプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023155012

(43)【公開日】2023-10-20

(54)【発明の名称】デバイス、および、コンピュータプログラム

(51)【国際特許分類】

   G06F 21/44 20130101AFI20231013BHJP

   H04L 67/562 20220101ALI20231013BHJP

   H04N 1/00 20060101ALI20231013BHJP

   B41J 29/00 20060101ALI20231013BHJP

   B41J 29/38 20060101ALI20231013BHJP

【ＦＩ】

G06F21/44

H04L67/562

H04N1/00 127A

H04N1/00 838

B41J29/00 Z

B41J29/38 401

【審査請求】未請求

【請求項の数】10

【出願形態】ＯＬ

(21)【出願番号】P 2022064709

(22)【出願日】2022-04-08

(71)【出願人】

【識別番号】000005267

【氏名又は名称】ブラザー工業株式会社

(74)【代理人】

【識別番号】110001058

【氏名又は名称】鳳国際弁理士法人

(72)【発明者】

【氏名】森 匡平

【テーマコード（参考）】

2C061

5C062

【Ｆターム（参考）】

2C061AP01

2C061AQ05

2C061AQ06

2C061CL10

2C061HJ08

2C061HK05

2C061HK11

2C061HN15

2C061HQ17

5C062AA05

5C062AB38

5C062AC38

5C062AF02

5C062AF12

5C062AF14

(57)【要約】

【課題】デバイスを含むシステムのセキュリティと利便性とを両立する。
【解決手段】デバイスは、識別情報と接続情報とを対応付けて記憶する仲介サーバから、自身を示すデバイス識別情報と対応付けられた接続情報を受信する情報受信部と、接続情報を用いて対象サーバに接続する接続部と、対象サーバと接続後に処理を実行する通信処理部と、を備える。通信処理部は、対象サーバから認証情報を受信し、認証情報が真正であるか否かを検証し、認証情報が真正であり、かつ、特定条件が満たされる場合に、認証情報の更新処理を実行せずに、認証後処理を実行し、認証情報が真正であり、かつ、特定条件が満たされない場合に、認証情報の更新処理と、認証後処理と、を実行する。
【選択図】 図６

【特許請求の範囲】

【請求項1】

デバイスであって、
前記デバイスを示すデバイス識別情報と、接続情報と、を対応付けて記憶する仲介サーバから、自身を示す前記デバイス識別情報と対応付けられた前記接続情報を受信する情報受信部であって、前記接続情報は、前記デバイス識別情報と対応付けられた認証情報を記憶する対象サーバに接続するための情報である、前記情報受信部と、
前記接続情報を用いて、前記対象サーバに接続する接続部と、
前記対象サーバと接続後に、前記対象サーバとの通信を含む処理を実行する通信処理部と、
を備え、
前記通信処理部は、
前記対象サーバから前記認証情報を受信し、
前記認証情報が真正であるか否かを検証し、
前記認証情報が真正であり、かつ、特定条件が満たされる場合に、前記認証情報の更新処理を実行せずに、認証後処理を実行し、
前記認証情報が真正であり、かつ、特定条件が満たされない場合に、前記認証情報の更新処理と、前記認証後処理と、を実行する、デバイス。

【請求項2】

請求項１に記載のデバイスであって、
前記特定条件は、前記対象サーバが特定のサーバであることである、デバイス。

【請求項3】

請求項２に記載のデバイスであって、
前記接続情報は、前記対象サーバの所在を示す所在情報を含み、
前記特定条件は、前記所在情報が、前記特定の対象サーバの所在を示す特定所在情報であることを含む、デバイス。

【請求項4】

請求項３に記載のデバイスであって、
前記対象サーバは、第１の対象サーバと第２の対象サーバとを含み、
前記通信処理部は、
前記第１の対象サーバとの接続時に、前記第１の対象サーバから前記第２の対象サーバの所在情報を前記特定所在情報として受信し、
前記第２の対象サーバとの接続時に、前記特定所在情報に基づいて、前記特定条件が満たされるか否かを判断する、デバイス。

【請求項5】

請求項１に記載のデバイスであって、
前記認証情報は、前記デバイスの所有者の変更に応じて増加する１以上の特定情報を含み、
前記特定条件は、前記認証情報に含まれる前記特定情報の個数が所定数以下であることを含む、デバイス。

【請求項6】

請求項１に記載のデバイスであって、
前記通信処理部は、前記特定条件が満たされない場合に、前記認証情報を更新すべきことを示す情報を前記対象サーバに送信する、デバイス。

【請求項7】

請求項６に記載のデバイスであって、
前記通信処理部は、
前記特定条件が満たされる場合に、前記対象サーバから前記認証情報を更新しないことを示す情報を受信することに応じて、前記認証情報を更新しないことを認める情報を前記対象サーバに送信し、
前記特定条件が満たされない場合に、前記対象サーバから前記認証情報を更新しないことを示す情報を受信することに応じて、前記認証情報を更新すべきことを示す情報を前記対象サーバに送信する、デバイス。

【請求項8】

請求項７に記載のデバイスであって、さらに、
前記認証情報を更新しないことを認める情報は、ｎｕｌｌを示す値であり、
前記認証情報を更新すべきことを示す情報は、特定のエラーを示す情報である、デバイス。

【請求項9】

請求項７または８に記載のデバイスであって、
前記通信処理部は、前記特定条件が満たされない場合に、前記認証情報を更新すべきことを示す情報を前記対象サーバに送信した後に、前記対象サーバから前記認証情報の一部を構成すべき第１情報を受信することに応じて、前記第１情報を用いて生成される第２情報を前記対象サーバに送信することによって、更新前の前記認証情報を、前記第１情報と前記第２情報とを含む前記認証情報に更新する、デバイス。

【請求項10】

デバイスを制御するためのコンピュータプログラムであって、
前記デバイスを示すデバイス識別情報と、接続情報と、を対応付けて記憶する仲介サーバから、自身を示す前記デバイス識別情報と対応付けられた前記接続情報を受信する情報受信機能であって、前記接続情報は、前記デバイス識別情報と対応付けられた認証情報を記憶する対象サーバに接続するための情報である、前記情報受信機能と、
前記接続情報を用いて、前記対象サーバに接続する接続機能と、
前記対象サーバと接続後に、前記対象サーバとの通信を含む処理を実行する通信処理機能と、
をコンピュータに実現させ、
前記通信処理機能は、
前記対象サーバから前記認証情報を受信し、
前記認証情報が真正であるか否かを検証し、
前記認証情報が真正であり、かつ、特定条件が満たされる場合に、前記認証情報の更新処理を実行せずに、認証後処理を実行し、
前記認証情報が真正であり、かつ、特定条件が満たされない場合に、前記認証情報の更新処理と、前記認証後処理と、を実行する、コンピュータプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本明細書は、サーバに接続されるデバイス、および、コンピュータプログラムに関する。

【背景技術】

【0002】

特許文献１に開示されたシステムでは、複合機（ＭＦＰ）は、接続先提供サーバにアクセスして、アプリケーションを記憶するサーバのＵＲＬを受信する。複合機は、受信したＵＲＬを用いて、サーバにアクセスして、アプリケーションをダウンロードする。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】国際公開第２０１７／１５０４７２号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、上記技術では、複合機とサーバとの間で行われる認証の仕組みについて十分な工夫がなされているとは言えなかった。この結果、複合機を含むシステムのセキュリティや利便性について問題が生じる可能性があった。

【0005】

本明細書は、デバイスを含むシステムのセキュリティと利便性とを両立し得る技術を開示する。

【課題を解決するための手段】

【0006】

本明細書に開示された技術は、以下の適用例として実現することが可能である。

【0007】

［適用例１］デバイスであって、
前記デバイスを示すデバイス識別情報と、接続情報と、を対応付けて記憶する仲介サーバから、自身を示す前記デバイス識別情報と対応付けられた前記接続情報を受信する情報受信部であって、前記接続情報は、前記デバイス識別情報と対応付けられた認証情報を記憶する対象サーバに接続するための情報である、前記情報受信部と、前記接続情報を用いて、前記対象サーバに接続する接続部と、前記対象サーバと接続後に、前記対象サーバとの通信を含む処理を実行する通信処理部と、を備え、前記通信処理部は、前記対象サーバから前記認証情報を受信し、前記認証情報が真正であるか否かを検証し、前記認証情報が真正であり、かつ、特定条件が満たされる場合に、前記認証情報の更新処理を実行せずに、認証後処理を実行し、前記認証情報が真正であり、かつ、特定条件が満たされない場合に、前記認証情報の更新処理と、前記認証後処理と、を実行する、デバイス。

【0008】

認証情報の更新処理が実行されない場合には、その後に、同一の認証情報を他の対象サーバが使用できる。このために、認証情報の更新処理を常に実行しない場合には、デバイスを含むシステムのセキュリティが低下する場合がある。認証情報の更新処理が実行される場合には、その後に、同一の認証情報を他の対象サーバが使用できない。このために、認証情報の更新処理を常に実行する場合には、システムの利便性が低下する場合がある。本実施例では、特定条件が満たされる場合に、認証情報の更新処理が実行されず、特定条件が満たされない場合に、認証情報の更新処理が実行される。この結果、デバイスを含むシステムのセキュリティと利便性とを両立し得る。

【0009】

なお、本明細書に開示された技術は、種々の形態で実現可能であり、例えば、対象サーバとデバイスとを含むシステム、デバイスまたはシステムにおける方法、これらの装置および方法の機能を実現するためのコンピュータプログラム、そのコンピュータプログラムを記録した記録媒体、等の形態で実現することができる。

【図面の簡単な説明】

【0010】

【図1】システム１０００の構成を示すブロック図。

【図2】データベースおよびデータベースに格納される情報の説明図。

【図3】プリンタ１００が販売会社に納品されるまでのシーケンス図。

【図4】プリンタ１００がサーバ３００Ａ、３００Ｂとサービス処理を実行可能に接続されるまでの第２のシーケンス図。

【図5】プリンタ１００がサーバ３００Ａ、３００Ｂとサービス処理を実行可能に接続されるまでの第１のシーケンス図。

【図6】更新関連処理のうち、プリンタ１００が実行する処理のフローチャート。

【図7】プリンタ１００がサーバ３００Ｃとサービス処理を実行可能に接続されるまでの第１のシーケンス図。

【図8】プリンタ１００がサーバ３００Ｃとサービス処理を実行可能に接続されるまでの第２のシーケンス図。

【図9】実施例のバウチャーＶＣの更新と再利用について説明する図。

【図10】比較例１の説明図。

【図11】比較例２の説明図。

【発明を実施するための形態】

【0011】

Ａ．第１実施例
Ａ－１．システム１０００の構成
図１は、システム１０００の構成を示すブロック図である。システム１０００は、プリンタ１００と、プリンタ１００の販売会社が所有する端末装置２００と、プリンタを用いるサービスを提供するサーバ３００Ａ～３００Ｄと、仲介サーバ４００と、を備える。

【0012】

プリンタ１００は、プリンタ１００のコントローラとして、ＣＰＵ１１０と、ＤＲＡＭなどの揮発性記憶装置１２０と、ハードディスクやフラッシュメモリなどの不揮発性記憶装置１３０と、を備えている。また、プリンタ１００は、画像を表示する液晶ディスプレイなどの表示部１４０と、ユーザによる操作を取得するためのボタンやタッチパネルなどの操作部１５０と、印刷機構１７０と、通信インタフェース（ＩＦ）１８０と、を備えている。

【0013】

通信ＩＦ１８０は、インターネットＩＴに接続するためのインタフェース、例えば、イーサネット（登録商標）に準拠した有線のインタフェースや、Ｗｉ－Ｆｉ規格に準拠した無線のインタフェースである。

【0014】

ＣＰＵ１１０は、データ処理を行う演算装置（プロセッサ）である。揮発性記憶装置１２０は、ＣＰＵ１１０が処理を行う際に生成される種々の中間データを一時的に格納するバッファ領域を提供する。不揮発性記憶装置１３０には、プリンタ１００を制御するためのコンピュータプログラムＰＧｐと、後述するバウチャーヘッダＶＨと、特定所在情報ＳＩと、が格納されている。

【0015】

コンピュータプログラムＰＧｐは、本実施例では、プリンタ１００の製造時に不揮発性記憶装置１３０に予め格納されて提供される。これに代えて、コンピュータプログラムＰＧｐは、例えば、インターネットＩＴを介して接続されたサーバからダウンロードされる形態、あるいは、ＣＤ－ＲＯＭなどに記録された形態で提供され得る。

【0016】

ＣＰＵ１１０は、コンピュータプログラムＰＧｐを実行することによって、プリンタ１００の制御を実行する。例えば、後述するように、ＣＰＵ１１０は、サーバ３００Ａ～３００Ｄのいずれかと協働して、ユーザに対して所定のサービス（例えば、後述するセットアップサービスや消耗材管理サービスや印刷サービス）を提供する処理（以下、サービス処理とも呼ぶ）を実行する。また、後述するように、ＣＰＵ１１０は、サービス処理に先立って、端末装置２００や対象サーバや仲介サーバ４００と協働して、後述する事前準備を実行する。

【0017】

特定所在情報ＳＩは、後述する事前準備において用いられる情報である。特定所在情報ＳＩは、対象サーバ（サーバ３００Ａ～３００Ｄ）のうちの特定のサーバの所在情報（ＩＰアドレスやＵＲＬ）であり、本実施例では、サーバ３００Ａ、３００Ｂの所在情報である。特定所在情報ＳＩは、プリンタ１００の製造時に工場にて不揮発性記憶装置１３０に格納される。

【0018】

印刷機構１７０は、ＣＰＵ１１０の制御に従って、印刷を実行する。本実施例の印刷機構１７０は、複数種類のインク（例えば、シアンとマゼンタとイエロとブラックとの４種類のインク）を色材として用いて、画像を記録媒体に印刷するインクジェット方式の印刷機構である。これに代えて、印刷機構１７０は、トナーを色材として用いて、画像を記録媒体に印刷する電子写真方式の印刷機構であっても良い。

【0019】

端末装置２００は、計算機であり、例えば、パーソナルコンピュータである。変形例では、端末装置２００は、スマートフォンやタブレットコンピュータであっても良い。端末装置２００は、例えば、プリンタ１００をユーザに販売する販売会社Ｂ（後述）が所有する計算機である。

【0020】

端末装置２００は、コントローラとして、ＣＰＵ２１０と、ＤＲＡＭなどの揮発性記憶装置２２０と、ハードディスクやフラッシュメモリなどの不揮発性記憶装置２３０と、を備えている。また、端末装置２００は、画像を表示する液晶ディスプレイなどの表示部２４０と、ユーザによる操作を取得するためのボタンやタッチパネルなどの操作部２５０と、通信ＩＦ２８０と、を備えている。通信ＩＦは、インターネットＩＴに接続するためのインタフェース、例えば、イーサネット（登録商標）に準拠した有線のインタフェースや、Ｗｉ－Ｆｉ規格に準拠した無線のインタフェースである。

【0021】

揮発性記憶装置２２０は、ＣＰＵ２１０が処理を行う際に生成される種々の中間データを一時的に格納するバッファ領域を提供する。不揮発性記憶装置２３０には、ブラウザプログラムＢＰが格納されている。

【0022】

ＣＰＵ２１０は、ブラウザプログラムＢＰを実行することによって、ＷＥＢブラウザとして機能する。ＷＥＢブラウザとして機能するＣＰＵ２１０は、後述するバウチャーＶＣをサーバ３００Ａ、３００Ｂに登録する処理を実行する。

【0023】

サーバ３００Ａ～３００Ｅは、例えば、サービスを提供する事業者が運用する計算機、例えば、クラウドサーバである。例えば、サーバ３００Ａ～３００Ｅを運用する事業者は、プリンタ１００を製造する事業者や、該事業者とは異なるサードパーティである。サーバ３００Ａ～３００Ｅは、それぞれ、互いに異なる２以上の事業者によって運用される２以上のサーバを含み得る。サーバ３００Ａ～３００Ｅによって提供されるサービスを、それぞれ、サービスＡ～サービスＤとする。サービスＡ～サービスＤは、例えば、セットアップサービスや消耗材管理サービスや印刷サービスを含む。セットアップサービスは、例えば、ドライバやアプリケーションなどのプログラムをプリンタ１００にインストールすることや所定の設定を行うサービスである。消耗材管理サービスは、例えば、インクなどのプリンタ１００の消耗材の残量を管理し、消耗材の消耗に応じて該消耗材をユーザに配送するサービスである。印刷サービスは、例えば、ユーザの端末から送信される画像ファイルを用いて印刷ジョブを生成してプリンタ１００に送信することによって、プリンタ１００に印刷を行わせるサービスである。

【0024】

サーバ３００Ａは、コントローラとしてのＣＰＵ３１０と、ＤＲＡＭなどの揮発性記憶装置３２０と、ハードディスクやフラッシュメモリなどの不揮発性記憶装置３３０と、通信インタフェース（ＩＦ）３８０と、を備えている。通信ＩＦ３８０は、例えば、イーサネット（登録商標）に準拠した有線のインタフェースである。

【0025】

ＣＰＵ３１０は、データ処理を行う演算装置（プロセッサ）である。揮発性記憶装置３２０は、ＣＰＵ３１０が処理を行う際に生成される種々の中間データを一時的に格納するバッファ領域を提供する。不揮発性記憶装置３３０には、コンピュータプログラムＰＧａと、後述するバウチャーデータベースＶＤＢと、が格納されている。

【0026】

コンピュータプログラムＰＧａは、例えば、サーバ３００Ａを運用する事業者によってアップロードされる形態で提供される。サーバ３００ＡのＣＰＵ３１０は、コンピュータプログラムＰＧａを実行することによって、プリンタ１００と協働して、提供すべきサービスを実現するためのサービス処理を実行する。また、ＣＰＵ３１０は、サービス処理に先立って、端末装置２００やサーバ３００Ａや仲介サーバ４００と協働して、後述する事前準備を実行する。

【0027】

サーバ３００Ｂ～３００Ｄは、上述したサーバ３００Ａと同様の構成３１０～３８０（図示省略）を備えている。サーバ３００Ｂ～３００Ｄの構成の説明は省略する。

【0028】

仲介サーバ４００は、例えば、所定の事業者（例えば、サービスを提供する事業者やプリンタ１００を製造する事業者）が運用する計算機、例えば、クラウドサーバである。仲介サーバ４００は、サーバ３００Ａと同様に、コントローラとしてのＣＰＵ４１０と、揮発性記憶装置４２０と、通信ＩＦ４８０と、を備えている。揮発性記憶装置４２０は、ＣＰＵ４１０が処理を行う際に生成される種々の中間データを一時的に格納するバッファ領域を提供する。不揮発性記憶装置４３０には、コンピュータプログラムＰＧｂと、後述する接続情報データベースＣＤＢと、が格納されている。

【0029】

コンピュータプログラムＰＧｂは、例えば、仲介サーバ４００を運用する事業者によってアップロードされる形態で提供される。仲介サーバ４００のＣＰＵ４１０は、コンピュータプログラムＰＧｂを実行することによって、プリンタ１００や端末装置２００やサーバ３００Ａ～３００Ｄや仲介サーバ４００と協働して、後述する事前準備を実行する。

【0030】

プリンタ１００と、端末装置２００と、サーバ３００Ａ～３００Ｄと、仲介サーバ４００とは、それぞれ、インターネットＩＴに接続されている。このために、これらの装置１００～４００は、互いに、インターネットＩＴを介して、通信可能である。

【0031】

図２は、データベースおよび該データベースに格納される情報の説明図である。図２（Ａ）には、サーバ３００Ａ～３００Ｄの不揮発性記憶装置３３０に格納されるバウチャーデータベースＶＤＢの一例が示されている。バウチャーデータベースＶＤＢには、１以上のバウチャーＶＣ（例えば、図２（Ａ）のＶＣ１、ＶＣ２）が格納されている。

【0032】

図２（Ｂ）には、バウチャーＶＣの一例が図示されている。バウチャーＶＣは、デバイス（本実施例では、プリンタ１００）の所有権を証明するデータである。バウチャーＶＣは、バウチャーヘッダＶＨと、１以上のエントリＥＴ（例えば、図２（Ｂ）のＥＴ１、ＥＴ２）と、を含む。

【0033】

バウチャーヘッダＶＨは、ＧＵＩＤと、仲介サーバ情報ＲＳＩと、公開鍵ＰＫｍと、ＨＭＡＣと、を含んでいる。ＧＵＩＤは、プリンタ１００を識別する識別子である。仲介サーバ情報ＲＳＩは、仲介サーバ４００と通信の接続を行うための情報である。仲介サーバ情報ＲＳＩは、例えば、仲介サーバ４００の所在を示す情報（例えば、ＩＰアドレスやＵＲＬ（Uniform Resource Locator））と、ポート番号と、接続に用いるプロトコルの情報と、を含む。公開鍵Ｐｋｍは、プリンタ１００の製造事業者が保有する秘密鍵と対応する公開鍵である。ＨＭＡＣ（hash message authentication code）は、メッセージ認証符号であり、例えば、プリンタ１００が保有する秘密鍵（図示省略）とハッシュ関数とデータ（例えば、バウチャーヘッダＶＨとプリンタ１００が保有するシークレット）を用いて計算される。

【0034】

バウチャーヘッダＶＨは、図１に示すように、プリンタ１００の不揮発性記憶装置１３０にも格納されている。

【0035】

エントリＥＴは、公開鍵Ｐｋｓと、署名データＳＤと、を含む。エントリＥＴは、バウチャーＶＣの受け渡し、すなわち、バウチャーＶＣの所有者の変更が行われる度に、１つずつ追加される情報である。公開鍵Ｐｋｓは、受け渡し先が保有する秘密鍵に対応する公開鍵であり、署名データＳＤは、受け渡し元が保有する秘密鍵を用いて公開鍵Ｐｋｓを暗号化して得られるデータである。図２（Ｂ）のバウチャーＶＣは、２個のエントリＥＴ１、ＥＴ２を含んでいる。したがって、図２（Ｂ）のバウチャーＶＣは、２回の受け渡しが行われたことが解る。バウチャーＶＣに含まれるエントリＥＴとＨＭＡＣは、後述するオンボーディング処理における認証処理に用いられる。

【0036】

図２（Ｃ）には、接続情報データベースＣＤＢの一例が図示されている。接続情報データベースＣＤＢは、１以上の接続情報ＣＩが、ＧＵＩＤと対応付けて記録されている。図２（Ｃ）の例では、接続情報ＣＩ１は、ＧＵＩＤ「ＩＤ１」と対応付けて記録され、接続情報ＣＩ２は、ＧＵＩＤ「ＩＤ２」と対応付けて記録される。各接続情報ＣＩは、対応付けられたＧＵＩＤによって識別されるデバイス（例えば、プリンタ１００）に送信されるべき情報である。

【0037】

図２（Ｄ）は、接続情報ＣＩの一例が図示されている。接続情報ＣＩは、デバイス（例えば、プリンタ１００）と協働してサービス処理を実行すべきサーバ（例えば、サーバ３００Ａ）と通信の接続を行うための情報である。接続情報ＣＩは、例えば、仲介サーバ４００の所在を示す情報（例えば、ＩＰアドレスやＵＲＬ（Uniform Resource Locator））と、ポート番号と、接続に用いるプロトコルの情報と、を含む。

【0038】

Ａ－２．プリンタ１００の製造からサービスの事前準備までの工程
以下では、プリンタ１００の製造からサービスの事前準備までの工程について説明する。本実施例では、プリンタ１００は、製造事業者によって製造され、販売会社Ａを経由して、販売会社Ｂに納品される。その後、プリンタ１００は、販売会社ＢからユーザＡに納品され、サービスＡ、Ｂを提供するサーバ３００Ａ、３００Ｂとサービス処理を実行可能に接続される。

【0039】

図３は、プリンタ１００が製造事業者から販売会社Ａを経由して、販売会社Ｂに納品されるまでのシーケンス図である。

【0040】

Ｓ２では、プリンタ１００の製造工程において、プリンタ１００にバウチャーヘッダＶＨが格納される。バウチャーヘッダＶＨの格納は、例えば、FIDO Allianceによって公開されている標準仕様である「FIDO Device Onboarding (FDO) Specification」（以下、ＦＤＯ仕様書とも呼ぶ）に規定されたＤＩ（Device Initialize Protocol）に従って実行される。これによって、図２（Ｂ）のバウチャーＶＣのうちのバウチャーヘッダＶＨが生成されて、プリンタ１００の不揮発性記憶装置１３０に格納される。

【0041】

Ｓ４～Ｓ１０では、製造事業者から販売会社ＡにバウチャーＶＣａとプリンタ１００とが受け渡される。Ｓ４では、製造事業者は、販売会社Ａから公開鍵ＰＫｓ１を受け取る。例えば、販売会社Ａは、秘密鍵と公開鍵ＰＫｓ１とのキーペアを準備し、プリンタ１００を発注する際に、販売会社Ａの計算機（図示省略）から製造事業者の計算機（図示省略）に公開鍵ＰＫｓ１を送信する。Ｓ６では、製造事業者は、計算機を用いてバウチャー延長処理を実行する。例えば、製造事業者の計算機は、販売会社Ａから受け取った公開鍵ＰＫｓ１と、該公開鍵ＰＫｓ１を製造事業者の秘密鍵を用いて暗号化して得られる署名データＳＤ１と、を含むエントリＥＴ１（図２（Ｂ））を生成する。製造事業者の秘密鍵は、Ｓ２にて生成されるバウチャーヘッダＶＨに含まれる公開鍵ＰＫｍ（図２（Ｂ））に対応する秘密鍵である。Ｓ８では、製造事業者の計算機は、バウチャーヘッダＶＨと、１個のエントリＥＴ１と、を含むバウチャーＶＣａを、販売会社Ａの計算機に送信する。Ｓ１０では、製造事業者から販売会社Ａにプリンタ１００が納品される。

【0042】

Ｓ１２～Ｓ２０では、販売会社Ａから販売会社ＢにバウチャーＶＣａとプリンタ１００とが受け渡される。Ｓ１２では、販売会社Ａは、販売会社Ｂから公開鍵ＰＫｓ２を受け取る。例えば、販売会社Ｂは、秘密鍵と公開鍵ＰＫｓ２とのキーペアを準備し、プリンタ１００を発注する際に、販売会社Ｂの端末装置２００から販売会社Ａの計算機に公開鍵ＰＫｓ２を送信する。Ｓ１４では、販売会社Ａは、計算機を用いてバウチャー延長処理を実行する。例えば、販売会社Ａの計算機は、販売会社Ｂから受け取った公開鍵ＰＫｓ２と、該公開鍵ＰＫｓ２を販売会社Ａの秘密鍵を用いて暗号化して得られる署名データＳＤ２と、を含むエントリＥＴ２（図２（Ｂ））を生成する。製造事業者の秘密鍵は、Ｓ４にて製造事業者に送信された販売会社Ａの公開鍵ＰＫｓ１に対応する秘密鍵である。Ｓ１８では、販売会社Ａの計算機は、製造事業者から受け取ったバウチャーＶＣａにエントリＥＴ２を追加したバウチャーＶＣａを、販売会社Ｂの端末装置２００に送信する。Ｓ２０では、販売会社Ａから販売会社Ｂにプリンタ１００が納品される。

【0043】

このように、販売会社Ａが製造事業者から受け取るバウチャーＶＣａに含まれるエントリＥＴの個数（エントリ数とも呼ぶ）ｅｎは、１である。販売会社Ｂが販売会社Ａから受け取るバウチャーＶＣａのエントリ数ｅｎは、２である。

【0044】

図４、図５は、プリンタ１００が販売会社ＢからユーザＡに納品され、サーバ３００Ａ、３００Ｂとサービス処理を実行可能に接続されるまでのシーケンス図である。

【0045】

Ｓ２２にて、ユーザＡがプリンタ１００を注文すると、Ｓ２４にて、販売会社Ｂは、注文されたプリンタ１００を発送する。プリンタ１００の注文時には、販売会社ＢとユーザＡとの間にて、サービスＡとサービスＢの利用契約が結ばれたものとする。

【0046】

販売会社Ｂは、プリンタ１００を発送すると、プリンタ１００がユーザＡに到着するよりも前に、Ｓ２６とＳ３０を実行する。

【0047】

Ｓ２６では、販売会社Ｂは、利用するサービスＡを提供するサーバ３００ＡにバウチャーＶＣａを登録する。具体的には、販売会社の担当者は、端末装置２００を操作して、サーバ３００Ａが提供するＷＥＢページにアクセスして、所定の操作を行う。これによって、端末装置２００は、サーバ３００ＡにバウチャーＶＣａを送信する。サーバ３００Ａは、受信したバウチャーＶＣａをバウチャーデータベースＶＤＢに格納する（図２）。

【0048】

Ｓ３０では、販売会社Ｂは、利用するサービスＢを提供するサーバ３００ＢにバウチャーＶＣａを登録する。例えば、Ｓ２６と同様に、端末装置２００は、サーバ３００ＢにバウチャーＶＣａを送信し、サーバ３００Ｂは、受信したバウチャーＶＣａをバウチャーデータベースＶＤＢに格納する（図２）。ここで、利用するサービスを提供するサーバを対象サーバとも呼ぶ。図４の例では、サービスＡ、Ｂを提供するサーバ３００Ａ、３００Ｂ（図１）が対象サーバである。

【0049】

なお、本実施例では、バウチャーＶＣａが対象サーバに登録される際に、バウチャーＶＣａの延長処理は実行されないので、バウチャーＶＣａのエントリ数ｅｎは増加しない。変形例では、バウチャーＶＣａが対象サーバに登録される際に、バウチャーＶＣａの延長処理が実行されても良い。例えば、サーバ３００Ａは、秘密鍵と公開鍵とのキーペアを保有しており、端末装置２００に公開鍵を送信する。端末装置２００は、該公開鍵と、該公開鍵を販売会社の秘密鍵（公開鍵ＰＫｓ２に対応する秘密鍵）を用いて暗号化して得られる署名データと、を含むエントリを生成する。端末装置２００は、販売会社Ａから受信したバウチャーＶＣａにエントリを１つ追加したバウチャーＶＣａをサーバ３００Ａに送信する。この場合には、サーバ３００Ａに登録されるバウチャーＶＣａのエントリ数ｅｎは３である。

【0050】

また、変形例では、販売会社ＢからユーザＡにバウチャーＶＣａが受け渡され、ユーザＡが、自身の端末装置からサーバ３００Ａ、３００ＢにバウチャーＶＣａを登録しても良い。

【0051】

サーバ３００Ａは、バウチャーＶＣａを受信すると、Ｓ２８にて、仲介サーバ４００に接続情報ＣＩａを登録する。接続情報ＣＩａは、サーバ３００Ａに接続するための接続情報ＣＩ（図２（Ｄ））である。接続情報ＣＩａの登録は、ＦＤＯ仕様書に規定されたＴＯ０（Transfer Ownership Protocol 0）に従って実行される。例えば、サーバ３００Ａから仲介サーバ４００に、接続情報ＣＩａと、受信したバウチャーＶＣａに含まれるプリンタ１００のＧＵＩＤと、が送信される。仲介サーバ４００は、受信した接続情報ＣＩａをプリンタ１００のＧＵＩＤと対応付けて接続情報データベースＣＤＢ（図１、図２（Ｃ））に格納する。これによって、接続情報ＣＩａがプリンタ１００のＧＵＩＤと対応付けて仲介サーバ４００に登録される。

【0052】

サーバ３００Ｂは、バウチャーＶＣａを受信すると、Ｓ３２にて、仲介サーバ４００に接続情報ＣＩｂを登録する。接続情報ＣＩｂは、サーバ３００Ｂに接続するための接続情報ＣＩである。接続情報ＣＩａの登録は、Ｓ２８と同様に行われる。これによって、接続情報ＣＩｂがプリンタ１００のＧＵＩＤと対応付けて仲介サーバ４００に登録される。

【0053】

ユーザＡにプリンタ１００が納品されると、ユーザＡは、納品されたプリンタ１００をインターネットＩＴに接続可能に設置して、Ｓ３３にて、プリンタ１００の電源を投入する。

【0054】

プリンタ１００の電源が投入されると、Ｓ３４にて、プリンタ１００と仲介サーバ４００との間で接続情報取得処理が実行される。例えば、プリンタ１００は、不揮発性記憶装置１３０に格納されたバウチャーヘッダＶＨ（図１）に含まれる仲介サーバ情報ＲＳＩを読み出す。プリンタ１００は、仲介サーバ情報ＲＳＩを用いて、仲介サーバ４００との通信の接続を確立し、接続情報取得処理を実行する。接続情報取得処理は、ＦＤＯ仕様書に規定されたＴＯ１（Transfer Ownership Protocol 1）に従って実行される。具体的には、プリンタ１００は、バウチャーヘッダＶＨに含まれるＧＵＩＤ、すなわち、自身を識別するＧＵＩＤを仲介サーバ４００に送信する。仲介サーバ４００は、接続情報データベースＣＤＢにおいて、受信したＧＵＩＤに対応付けられた接続情報ＣＩａ、ＣＩｂを１つずつ順次にプリンタ１００に送信する。これによって、初回の接続情報取得処理では、プリンタ１００は、サーバ３００Ａに接続するための接続情報ＣＩａを取得する。

【0055】

Ｓ３５～Ｓ４６では、プリンタ１００とサーバ３００Ａとの間でオンボーディング処理が実行される。オンボーディング処理は、ＦＤＯ仕様書に規定されたＴＯ２（Transfer Ownership Protocol 2）に従って実行される。

【0056】

Ｓ３５では、プリンタ１００とサーバ３００Ａとの間で接続確立処理が実行される。接続確立処理は、例えば、ＴＣＰ（Transmission Control Protocol）とＩＰ（Internet Protocol）に従って、プリンタ１００上で動作するアプリケーションと、サーバ３００Ａ上で動作するアプリケーションと、の間の接続を確立する処理である。例えば、プリンタ１００は、取得した接続情報ＣＩを不揮発性記憶装置１３０から読み出し、該接続情報ＣＩを用いて、サーバ３００Ａに接続要求を送信することによって、接続確立処理を実行する。

【0057】

Ｓ３６～Ｓ３８では、認証処理が実行される。例えば、Ｓ３６では、サーバ３００Ａは、バウチャーデータベースＶＤＢからプリンタ１００のＧＵＩＤを含むバウチャーＶＣａを取得し、プリンタ１００に送信する。Ｓ３７では、プリンタ１００は、バウチャーＶＣａを検証することで、サーバ３００Ａの正当性を確認する。

【0058】

例えば、プリンタ１００は、バウチャーＶＣａに含まれるエントリＥＴ１、ＥＴ２を順次に検証する。例えば、プリンタ１００は、バウチャーヘッダＶＨに含まれる公開鍵ＰＫｍを用いてエントリＥＴ１を検証する。プリンタ１００は、検証済みのエントリＥＴ１に含まれる公開鍵ＰＫｓ１を用いてエントリＥＴ２を検証する。最後にプリンタ１００は、検証済みのエントリＥＴ２に含まれる公開鍵ＰＫｓ２を用いて、サーバ３００Ａから送信された署名データ（図示省略）が真正であることを検証することで、サーバ３００Ａの正当性を確認する。

【0059】

プリンタ１００は、バウチャーＶｃが真正であることの検証に成功すると、Ｓ３８にて、検証に成功したことを示す検証成功通知をサーバ３００Ａに送信する。なお、プリンタ１００は、バウチャーＶｃの検証に失敗した場合には、オンボーディング処理を中断する（図示省略）。

【0060】

なお、オンボーディング処理の認証処理では、所定のフォーマット（例えば、ＥＡＴ（Entity Attestation Token）フォーマット）に従うトークンを用いて、サーバ３００Ａがプリンタ１００の正当性を確認する処理も行われるが、当該処理の図示および説明は省略する。サーバ３００Ａがプリンタ１００の正当性を確認できない場合にも、オンボーディング処理は中断される。

【0061】

Ｓ４０～Ｓ４４では、プリンタ１００とサーバ３００Ａとの間で、バウチャーＶＣの更新に関連する処理である更新関連処理が実行される。ここで、Ｓ４０～Ｓ４４の説明の前に、バウチャー更新処理について別のフローチャートを参照して説明する。

【0062】

図６は、更新関連処理のうち、プリンタ１００が実行する処理のフローチャートである。Ｓ１２０では、プリンタ１００は、対象サーバ（例えば、サーバ３００Ａ）からバウチャー情報を受信する。

【0063】

バウチャー情報は、バウチャーヘッダＶＨ（図２（Ｂ））のうち、ＨＭＡＣを除いた情報、例えば、ＧＵＩＤと仲介サーバ情報ＲＳＩと公開鍵等を含む。ここで、対象サーバから送信されるバウチャー情報は、更新無しのバウチャー情報と、更新されたバウチャー情報と、の２種類が存在する。更新無しのバウチャー情報は、現時点で有効なバウチャーＶＣに含まれるバウチャー情報である。すなわち、実行中のオンボーディング処理において認証処理に用いられるバウチャーＶＣに含まれるバウチャー情報である。更新されたバウチャー情報は、現時点で有効なバウチャーＶＣに含まれるバウチャー情報とは異なるバウチャー情報である。更新されたバウチャー情報は、例えば、対象サーバによって新たに生成されたＧＵＩＤや公開鍵を含む。

【0064】

更新無しのバウチャー情報は、バウチャーＶＣを更新しないこと、すなわち、現在のバウチャーＶＣを有効なまま維持することをプリンタ１００に要求する維持要求である、と言うことができる。更新されたバウチャー情報は、バウチャーＶＣを更新すること、すなわち、現在のバウチャーＶＣを無効にして新たなバウチャーＶＣを生成することをプリンタ１００に要求する更新要求である、と言うことができる。バウチャーＶＣが更新されると、現在のバウチャーＶＣは、次回以降のオンボーディング処理では、正当なバウチャーＶＣとは扱われない。バウチャーＶＣが更新されないと、現在のバウチャーＶＣは、次回以降のオンボーディング処理でも、正当なバウチャーＶＣとして扱われる。

【0065】

Ｓ１２５では、プリンタ１００は、受信したバウチャー情報が更新要求であるか維持要求であるかを判断する。例えば、プリンタ１００は、受信したバウチャー情報が更新されたバウチャー情報であるか更新無しのバウチャー情報であるかを、不揮発性記憶装置１３０に格納されたバウチャーヘッダＶＨとの比較に基づいて判断する。

【0066】

受信したバウチャー情報が更新されたバウチャー情報、すなわち、更新要求である場合には（Ｓ１２５：ＹＥＳ）、プリンタ１００は、Ｓ１３５にて、新たなＨＭＡＣを生成して、該ＨＭＡＣを対象サーバに送信する。例えば、新たなＨＭＡＣは、プリンタ１００が保有する秘密鍵（図示省略）と、ハッシュ関数と、受信したバウチャー情報と、プリンタ１００が新たに生成したシークレットと、を用いて、が生成される。

【0067】

Ｓ１５０では、プリンタ１００は、不揮発性記憶装置１３０に格納されたバウチャーヘッダＶＨを更新する。更新後のバウチャーヘッダＶＨは、Ｓ１２０にて受信されたバウチャー情報と、Ｓ１３５にて生成されたＨＭＡＣと、を含む。

【0068】

受信したバウチャー情報が更新無しのバウチャー情報、すなわち、維持要求である場合には（Ｓ１２５：ＮＯ）、プリンタ１００は、Ｓ１３０にて、再利用条件が満たされるか否かを判断する。再利用条件は、バウチャーＶＣを更新せずに、再利用することを認めるための条件である。第１実施例の再利用条件は、接続先の対象サーバの所在情報（例えば、ＩＰアドレス）が、特定所在情報ＳＩであることである。本実施例では、上述のように、サーバ３００Ａとサーバ３００Ｂとの所在情報が特定所在情報ＳＩとして、プリンタ１００の不揮発性記憶装置１３０に記録されている（図１）。このために、プリンタ１００は、サーバ３００Ａが対象サーバである場合とサーバ３００Ｂが対象サーバである場合とには、再利用条件が満たされると判断する。プリンタ１００は、サーバ３００Ａ、３００Ｂとは異なるサーバ（例えば、サーバ３００Ｃ、３００Ｄ）が対象サーバである場合には、再利用条件が満たされないと判断する。

【0069】

再利用条件が満たされる場合には（Ｓ１３０：ＹＥＳ）、プリンタ１００は、Ｓ１４０にて、バウチャーＶＣを更新せずに維持することを認めることを示す承認通知を、更新無しのバウチャー情報（維持要求）に対する応答として対象サーバに送信する。承認通知は、本実施例では、ｎｕｌｌを示す値である。

【0070】

バウチャーヘッダを更新した場合（Ｓ１５０）と、承認通知を送信した場合（Ｓ１４０）には、プリンタ１００は、オンボーディング処理を継続し、後述するサービス準備処理に処理を進める。

【0071】

再利用条件が満たされない場合には（Ｓ１３０：ＮＯ）、プリンタ１００は、Ｓ１４５にて、バウチャーＶＣを更新せずに維持することを認めないことを示す更新エラー通知を、更新無しのバウチャー情報（維持要求）に対する応答として対象サーバに送信する。更新エラー通知は、バウチャーＶＣを更新すべきことを示す情報である、とも言うことができる。

【0072】

更新エラー通知が送信される場合には、プリンタ１００は、オンボーディング処理を中断する。この場合には、この時点では、プリンタ１００は、サービス準備処理に処理を進めない。

【0073】

図４に戻って説明を続ける。図４のＳ４０では、サーバ３００Ａからプリンタ１００に、更新無しのバウチャー情報、すなわち、上述したバウチャーＶＣの維持要求が送信される（図６のＳ１２０）。本実施例の対象サーバ（サーバ３００Ａ～３００Ｄ）は、最初のオンボーディング処理では、認証処理の後、維持要求（更新無しのバウチャー情報）を送信する仕様になっている。そして、対象サーバは、後述するように、バウチャーＶＣを更新せずに維持することがプリンタ１００に認められない場合には、再度、オンボーディング処理を実行して、更新要求を送信する仕様になっている。

【0074】

プリンタ１００は、更新無しのバウチャー情報を受信すると（図６のＳ１２０、Ｓ１２５にてＹＥＳ）、再利用条件が満たされるか否かを判断する（図６のＳ１３０）。図４の例では、対象サーバはサーバ３００Ａであるので、対象サーバの所在情報（例えば、ＩＰアドレス）は、特定所在情報ＳＩに含まれる１つの所在情報と一致する。このために、図４の例では、プリンタ１００は、Ｓ４２にて、再利用条件が満たされると判断し（図６のＳ１３０にてＹＥＳ）、Ｓ４４にて、承認通知をサーバ３００Ａに送信する（図６のＳ１４０）。

【0075】

図４のＳ４６では、プリンタ１００とサーバ３００Ａとの間でサービス準備処理が実行される。サービス準備処理は、プリンタ１００とサーバ３００Ａとの間でサービス処理を実行するために必要なサービス情報を交換する処理である。サービス情報は、例えば、プリンタ１００とサーバ３００Ａとの間でサービス処理に関する通信を行う際に用いられるトークンや、フォーマット情報や、プロトコル情報を含む。サービス準備処理によって、プリンタ１００は、サーバ３００Ａにオンボードされる。ここで、「プリンタ１００が対象サーバにオンボードされる」とは、「プリンタ１００が対象サーバと協働してサービス処理を実行することができる状態になる」ことを意味する。

【0076】

プリンタ１００は、サーバ３００Ａとのオンボーディング処理が終了すると、図５のＳ４８にて、仲介サーバ４００との間で、再度、接続情報取得処理を実行する。この２回目の接続情報取得処理では、プリンタ１００は、サーバ３００Ｂに接続するための接続情報ＣＩｂを取得する。

【0077】

図５のＳ５０～６４では、プリンタ１００とサーバ３００Ｂとの間でオンボーディング処理が実行される。図５のＳ５０～６４の処理は、図４のＳ３５～４６の処理と同様に実行される。

【0078】

Ｓ５０では、プリンタ１００とサーバ３００Ｂとの間で接続確立処理が実行される。Ｓ５２では、サーバ３００Ｂは、バウチャーＶＣａをプリンタ１００に送信する。Ｓ５４では、プリンタ１００は、バウチャーＶＣａを検証することで、サーバ３００Ｂの正当性を確認する。プリンタ１００は、バウチャーＶｃの検証に成功すると、Ｓ５６にて、検証に成功したことを示す検証成功通知をサーバ３００Ｂに送信する。

【0079】

Ｓ５８～Ｓ６２では、プリンタ１００とサーバ３００Ｂとの間で更新関連処理が実行される。図５のＳ５８では、サーバ３００Ｂからプリンタ１００に、更新無しのバウチャー情報、すなわち、上述したバウチャーＶＣの維持要求が送信される。図５の例では、対象サーバはサーバ３００Ｂであるので、対象サーバの所在情報（例えば、ＩＰアドレス）は、特定所在情報ＳＩに含まれる所在情報と一致する。このために、図５の例では、プリンタ１００は、Ｓ６０にて、再利用条件が満たされると判断し（図６のＳ１３０にてＹＥＳ）、Ｓ６２にて、承認通知をサーバ３００Ｂに送信する（図６のＳ１４０）。

【0080】

図５のＳ６４では、プリンタ１００とサーバ３００Ｂとの間でサービス準備処理が実行される。サービス準備処理によって、プリンタ１００はサーバ３００Ｂにオンボードされる。

【0081】

図４、図５の処理が実行されることによって、ユーザは、プリンタ１００を用いて、サーバ３００Ａが提供するサービスＡと、サーバ３００Ｂが提供するサービスＢと、を利用できる。

【0082】

以上説明した手法を用いることによって、例えば、以下の利点がある。上記手法では、ユーザや販売会社は、ユーザが利用することを望むサービスを提供する対象サーバにバウチャーＶＣを登録する（図４のＳ２６、Ｓ３０）ことによってサービスの提供を受けることができる。このために、ユーザや販売会社は、ユーザが提供を受けるべきサービスを容易に選択できる。

【0083】

また、プリンタ１００は、対象サーバの接続情報ＣＩを仲介サーバ４００から取得できる（図４のＳ３４、図５のＳ４８）。このために、プリンタ１００の製造工程の段階では、仲介サーバ４００に接続するための仲介サーバ情報ＲＳＩがプリンタ１００（不揮発性記憶装置１３０）に記憶されていれば良く、対象サーバの接続情報ＣＩがプリンタ１００に記憶されている必要がない。また、プリンタ１００は、対象サーバと協働してサービス処理を実行するために必要なサービス情報を対象サーバから取得できる（図４のＳ４６、図５のＳ６４）。このために、プリンタ１００の製造工程の段階では、サービス情報がプリンタ１００に記憶されている必要がない。このために、プリンタ１００の製造工程の段階で、利用すべきサービスを想定しておく必要がなく、例えば、プリンタ１００の製造後に提供が開始されたサービスや、プリンタ１００の製造時には製造事業者に認識されていなかった第三者が提供するサービスであったとしても、ユーザはプリンタ１００を用いて該サービスを利用することができる。この結果、サービスの柔軟な提供と利用とを実現できる。例えば、サービスの提供者は、プリンタ１００の改造等を行うことなく、新たなサービスを事後的に追加することもできる。例えば、ユーザや販売会社は、利用するサービスの選択や変更を容易に行うことができる。また、プリンタ１００の製造事業者、販売業者、ユーザのいずれも、例えば、出荷時や使用時にユーザが希望するサービスに接続できるようにプリンタ１００をカスタマイズする必要がないため、プリンタ１００の製造事業者、販売業者、ユーザの負担を軽減できる。

【0084】

さらに、上記手法では、バウチャーＶＣの検証やトークンの検証を行うことによって、プリンタ１００と対象サーバとは、互いの正当性を確認することができる。そして、プリンタ１００や対象サーバは、相手の正当性を確認できない場合には、オンボーディング処理の実行を拒否できる。このために、プリンタ１００が意図しないサーバにオンボードされる、プリンタ１００とは異なる不正なデバイスが対象サーバにオンボードされるなどのセキュリティ上の問題が生じることを抑制できる。

【0085】

Ａ－３．プリンタ１００の再販後のサービスの事前準備
以下では、図４、図５の処理の後に、プリンタ１００が、ユーザＡからユーザＢに再販された場合において、再販後のプリンタ１００においてサービスの事前準備が行われるまでの工程について説明する。本実施例では、プリンタ１００は、ユーザＡからユーザＢに納品され、サービスＣを提供するサーバ３００Ｃとサービス処理を実行可能に接続される。

【0086】

図７、図８は、プリンタ１００がユーザＡからユーザＢに納品され、サーバ３００Ｃとサービス処理を実行可能に接続されるまでのシーケンス図である。

【0087】

Ｓ７２にて、ユーザＡは、プリンタ１００の注文と、ユーザＢの公開鍵と、をユーザＢから受け取る。例えば、ユーザＢの公開鍵は、ユーザＢの端末装置（図示省略）からユーザＡの端末装置（図示省略）に送信される。

【0088】

Ｓ７４では、ユーザＢは、プリンタ１００とバウチャーＶＣｃとを、ユーザＡから受け取る。例えば、ユーザＡは、プリンタ１００に対してオンボード状態の初期化指示を入力して、プリンタ１００のオンボード状態を初期化した後に、プリンタ１００をユーザＢに納品する。オンボード状態が初期化されることで、プリンタ１００はサーバ３００Ａ、３００Ｂにオンボードされていない状態に戻る。さらに、ユーザＡは、端末装置を用いてバウチャー延長処理を実行する。具体的には、ユーザＡの端末装置は、ユーザＢから受け取った公開鍵と、該公開鍵をユーザＡの秘密鍵を用いて暗号化して得られる署名データと、を含むエントリＥＴを生成する。ユーザＡの端末装置は、販売会社Ｂから受け取ったバウチャーＶＣａに、生成したエントリＥＴを追加することで、延長済みのバウチャーＶＣａを生成する。ユーザＡの端末装置は、延長済みのバウチャーＶＣａを、ユーザＢの端末装置に送信する。以上の説明から解るように、ユーザＢが受け取るバウチャーＶＣａのエントリ数ｅｎは、３である。

【0089】

Ｓ７６では、ユーザＢは、利用するサービスＣを提供するサーバ３００ＣにバウチャーＶＣａを登録する。具体的には、ユーザＢは、端末装置を操作して、端末装置２００からサーバ３００ＣにバウチャーＶＣａを送信する。サーバ３００Ｃは、受信したバウチャーＶＣａをバウチャーデータベースＶＤＢに格納する。

【0090】

サーバ３００Ｃは、バウチャーＶＣａを受信すると、Ｓ７８にて、仲介サーバ４００に接続情報ＣＩｃを登録する。接続情報ＣＩｃは、サーバ３００Ｃに接続するための接続情報ＣＩ（図２（Ｄ））である。接続情報ＣＩｃの登録は、上述した図４のＳ２８と同様に実行される。これによって、接続情報ＣＩｃがプリンタ１００のＧＵＩＤと対応付けて仲介サーバ４００に登録される。

【0091】

ユーザＢは、仲介サーバ４００に接続情報ＣＩｃを登録すると、プリンタ１００をインターネットＩＴに接続可能に設置して、Ｓ７９にて、プリンタ１００の電源を投入する。

【0092】

プリンタ１００の電源が投入されると、Ｓ８０にて、プリンタ１００と仲介サーバ４００との間で接続情報取得処理が実行される。接続情報取得処理は、上述した図４のＳ３４と同様に実行される。これによって、プリンタ１００は、サーバ３００Ｃに接続するための接続情報ＣＩｃを取得する。

【0093】

Ｓ８２～Ｓ９４では、プリンタ１００とサーバ３００Ｃとの間で１回目のオンボーディング処理が実行される。

【0094】

Ｓ８２では、プリンタ１００とサーバ３００Ｃとの間で接続確立処理が実行される。Ｓ８４では、サーバ３００Ｃは、バウチャーＶＣａをプリンタ１００に送信する。Ｓ８６では、プリンタ１００は、バウチャーＶＣａを検証することで、サーバ３００Ｃの正当性を確認する。プリンタ１００は、バウチャーＶｃの検証に成功すると、Ｓ８８にて、検証に成功したことを示す検証成功通知をサーバ３００Ｃに送信する。

【0095】

Ｓ９０～Ｓ９４では、プリンタ１００とサーバ３００Ｃとの間で更新関連処理が実行される。Ｓ９０では、サーバ３００Ｃからプリンタ１００に、更新無しのバウチャー情報、すなわち、上述したバウチャーＶＣの維持要求が送信される。図７の例では、対象サーバはサーバ３００Ｃであるので、対象サーバの所在情報（例えば、ＩＰアドレス）は、特定所在情報ＳＩに含まれるいずれの所在情報とも一致しない。このために、図７の例では、プリンタ１００は、Ｓ９２にて、再利用条件が満たされないと判断し（図６のＳ１３０にてＮＯ）、Ｓ９４にて、更新エラー通知をサーバ３００Ｃに送信する（図６のＳ１４５）。この場合には、図６にも示すように、プリンタ１００とサーバ３００Ｃとの間でサービス準備処理は実行されず、オンボーディング処理は中断される。

【0096】

オンボーディング処理が更新エラー通知を受信して中断された場合には、図８のＳ９６～Ｓ１１４に示すように、プリンタ１００とサーバ３００Ｃとの間で、再度、オンボーディング処理が実行される。図８のＳ９６～Ｓ１０２の処理は、図７のＳ８２～Ｓ８８の処理と同一である。

【0097】

Ｓ１０４～Ｓ１１２では、プリンタ１００とサーバ３００Ｃとの間で更新関連処理が実行される。２回目のオンボーディング処理では、Ｓ１０４にて、サーバ３００Ｃからプリンタ１００に、更新されたバウチャー情報、すなわち、上述したバウチャーＶＣの更新要求が送信される。プリンタ１００は、更新要求を受信すると、Ｓ１０６にて、更新されたバウチャー情報を用いてＨＭＡＣを生成し、Ｓ１０８にて、該ＨＭＡＣをサーバ３００Ｃに送信する（図６のＳ１２５にてＹＥＳ、Ｓ１３５）。Ｓ１１０では、プリンタ１００は、不揮発性記憶装置１３０に格納されたバウチャーヘッダＶＨを、Ｓ１０４にて受信されたバウチャー情報と、Ｓ１０６にて生成されたＨＭＡＣと、を含む新たなバウチャーヘッダＶＨに更新する。Ｓ１１５では、サーバ３００Ｃは、バウチャーデータベースＶＤＢに格納されたバウチャーＶＣａを、新たなバウチャーヘッダＶＨを含むバウチャーＶＣｂに更新する。この時点における新たなバウチャーＶＣｂのエントリ数ｅｎは０である。すなわち、新たなバウチャーＶＣｂはエントリＥＴを含んでいない。

【0098】

図８のＳ１１４では、プリンタ１００とサーバ３００Ｃとの間でサービス準備処理が実行される。サービス準備処理によって、プリンタ１００は、サーバ３００Ｃにオンボードされる。

【0099】

図９は、本実施例のバウチャーＶＣの更新と再利用について説明する図である。バウチャーＶＣの更新処理が実行されない場合には、その後に、同一のバウチャーＶＣを他の対象サーバが再利用できる。例えば、プリンタ１００とサーバ３００Ａの間のオンボーディング処理ＯＢａ（図９）において、上述したように更新処理が実行されない（図４のＳ４０～Ｓ４４）。このため、プリンタ１００とサーバ３００Ｂの間のオンボーディング処理ＯＢｂ（図９）においても、バウチャーＶＣａが真正なバウチャーＶＣとして扱われる。このために、オンボーディング処理ＯＢｂでは、バウチャーＶＣａを用いて、プリンタ１００がサーバ３００Ｂにオンボードされる。したがって、販売会社Ｂは、図９に矢印で示すサーバ３００Ａへの登録処理ＲＥａにてバウチャーＶＣａを登録し、サーバ３００Ｂへの登録処理ＲＥｂにおいても同一のバウチャーＶＣａを登録すれば良い。

【0100】

バウチャーＶＣの更新処理が実行される場合には、その後に、同一のバウチャーＶＣを他の対象サーバが再利用できない。例えば、プリンタ１００とサーバ３００Ｃの間のオンボーディング処理ＯＢｃ（図９）では、上述したように更新処理が実行される（図７のＳ９０～Ｓ９４、図８のＳ１０４～Ｓ１１２）。これによって、更新後のバウチャーＶＣｂが真正なバウチャーとなり、更新前のバウチャーＶＣａは無効な（真正でない）バウチャーとなる。同様に、プリンタ１００とサーバ３００Ｄの間のオンボーディング処理ＯＢｄでも、更新処理が実行される。

【0101】

例えば、図９に示すように、プリンタ１００がユーザＢからユーザＣに再販された後に、プリンタ１００をサーバ３００Ｄにオンボードする場合には、プリンタ１００とサーバ３００Ｄとの間のオンボーディング処理ＯＢｄに先だって行われる登録処理ＲＥｄでは、更新後のバウチャーＶＣｂがサーバ３００Ｄに登録される必要がある。このために、例えば、ユーザＢは、プリンタ１００をユーザＣに引き渡す際に、サーバ３００ＣからバウチャーＶＣｂを受け取り、ユーザＣに引き渡す。例えば、ユーザＢは、自身の端末装置からユーザＣから受け取った公開鍵をサーバ３００Ｃに送信する。サーバ３００Ｃは、受け取った公開鍵を用いてバウチャーＶＣｂの延長処理を行い、延長済みのバウチャーＶＣｂ（エントリ数ｅｎ＝１）をユーザＢの端末装置に送信する。ユーザＢは、自身の端末装置からユーザＣの端末装置にバウチャーＶＣｂを送信する。ユーザＣは、自身の端末装置を用いて、バウチャーＶＣｂをサーバ３００Ｄに登録する登録処理ＲＥｄを実行する。

【0102】

以上説明した本実施例によれば、プリンタ１００は、ＧＵＩＤと接続情報ＣＩとを対応付けて記憶する仲介サーバ４００から、自身を示すＧＵＩＤと対応付けられた接続情報ＣＩを受信する（図４のＳ３４、図５のＳ４８、図７のＳ８０）。接続情報ＣＩは、バウチャーＶＣを記憶する対象サーバ（サーバ３００Ａ～３００Ｄ）に接続するための情報である。プリンタ１００は、接続情報ＣＩを用いて対象サーバに接続し（図４のＳ３５、図５のＳ５０、図７のＳ８２、図８のＳ９６）、対象サーバと接続後に、対象サーバとの通信を含む処理（図４のＳ３６～Ｓ４６、図５のＳ５２～Ｓ６４、図７のＳ８４～Ｓ９４、図８のＳ９８～Ｓ１１４）を実行する。プリンタ１００は、対象サーバからバウチャーＶＣを受信し（図４のＳ３６、図５のＳ５２、図７のＳ８４）、バウチャーＶＣが真正であるか否かを検証する（図４のＳ３７、図５のＳ５４、図７のＳ８６）。プリンタ１００は、バウチャーＶＣが真正であり（図４のＳ３８、図５のＳ５６）、かつ、再利用条件が満たされる場合に（図４のＳ４２、図５のＳ６０）、バウチャーＶＣの更新処理を実行せずに、サービス準備処理を実行する（図４のＳ４６、図５のＳ６４）。プリンタ１００は、バウチャーＶＣが真正であり（図７のＳ８８）、かつ、再利用条件が満たされない場合に（図７のＳ９２）、バウチャーＶＣの更新処理（図８のＳ１４０～Ｓ１１０）と、サービス準備処理（図８のＳ１１４）と、を実行する。この結果、プリンタ１００を含むシステム１０００のセキュリティと利便性とを両立し得る。以下に比較例１、２と比較しつつ、さらに説明する。

【0103】

常にバウチャーＶＣの再利用を認めない場合を比較例１として説明する。図１０は、比較例１の説明図である。比較例１では、常にバウチャーＶＣの再利用が認められないので、オンボーディング処理ＯＢａ～ＯＢｄのいずれにおいてもバウチャーＶＣが更新される。このために、オンボーディング処理ＯＢａ～ＯＢｄのそれぞれで真正と認められるバウチャーＶＣは、それぞれ異なるバウチャーＶＣａ～ＶＣｄである（図１０）。したがって、オンボーディング処理ＯＢａ～ＯＢｄのそれぞれに先だって行われる登録処理ＲＥａ～ＲＥｄでは、それぞれ、異なるバウチャーＶＣａ～ＶＣｄが登録される必要がある。

【0104】

このために、比較例１では、例えば、販売会社Ｂは、オンボーディング処理ＯＢａが行われた後に、サーバ３００Ａから更新後のバウチャーＶＣｂを取得して、該バウチャーＶＣｂをサーバ３００Ｂに登録する登録処理ＲＥｂを行う必要がある。すなわち、販売会社Ｂは、実施例のように、プリンタ１００の発送時に、登録処理ＲＥｂを完了することができない。販売会社Ｂは、プリンタ１００がユーザＡに納品され、プリンタ１００に電源が投入されてオンボーディング処理ＯＢａが実行されたことが確認された後に、上述のように登録処理ＲＥｂを行う必要があり、販売会社Ｂの負担が増大する。あるいは、ユーザＡが自身で、オンボーディング処理ＯＢａが実行されたことが確認して、登録処理ＲＥｂを行っても良いが、この場合には、ユーザＡの負担が増大する。これに対して、本実施例によれば、オンボーディング処理ＯＢａ、ＯＢｂにてバウチャーＶＣが更新されない。この結果、オンボーディング処理ＯＢａ、ＯＢｂの一方が実行された後も、バウチャーＶＣａが真正なバウチャーＶＣである。このために、本実施例では、販売会社Ｂが、プリンタ１００の発送時に、バウチャーＶＣａを登録する登録処理ＲＥａ、ＲＥｂを実行しておけば、プリンタ１００の電源投入時に、オンボーディング処理ＯＢａ、ＯＢｂが実行されて、プリンタ１００はサーバ３００Ａ、３００Ｂの両方にオンボードされる。この結果、本実施例によれば、比較例１と比較して、システム１０００の利便性が向上する。

【0105】

次に、常にバウチャーＶＣの再利用を認める場合を比較例２として説明する。図１１は、比較例２の説明図である。比較例２では、常にバウチャーＶＣの再利用が認められるので、オンボーディング処理ＯＢａ～ＯＢｄのいずれにおいてもバウチャーＶＣが更新されない。このために、オンボーディング処理ＯＢａ～ＯＢｄのそれぞれで真正と認められるバウチャーＶＣは、同一のバウチャーＶＣａである（図１１）。したがって、オンボーディング処理ＯＢａ～ＯＢｄのそれぞれに先立って行われる登録処理ＲＥａ～ＲＥｄでは、それぞれ、同一のバウチャーＶＣａが登録される。

【0106】

このために、比較例２では、例えば、プリンタ１００が複数回に亘って再販され、プリンタ１００の所有者が変わる場合においても、現在の所有者よりも前の所有者や販売会社Ｂが所有するバウチャーＶＣａが常に真正なまま維持される。この結果、例えば、ユーザＣにプリンタ１００の所有者が変わった後に、ユーザＡや販売会社Ｂが誤ってバウチャーＶＣａを、サーバ３００Ａ、３００Ｂなどに登録すれば、ユーザＣの意図に反して、プリンタ１００がサーバ３００Ａ、３００Ｂにオンボードされる。また、プリンタ１００の所有者が変わる度に、真正なバウチャーＶＣａの所有者が増加するので、真正なバウチャーＶＣａが第三者に漏洩する可能性も高くなる。この結果、プリンタ１００が、ユーザＣが意図しないサーバ（例えば不正なサーバ）にオンボードされる可能性も高くなる。これに対して、本実施例によれば、例えば、予め定められた特定の所在情報を有するサーバ３００Ａ、３００Ｂとは異なるサーバ（例えば、サーバ３００Ｃ）にプリンタ１００がオンボードされた時点で、バウチャーＶＣの更新が行われる。このために、その後は、更新前のバウチャーＶＣａは真正なバウチャーＶＣとして使用できなくなる。したがって、本実施例によれば、ユーザの意図に反して、プリンタ１００がサーバにオンボードされる可能性が低減されて、比較例２と比較してシステム１０００のセキュリティが向上する。

【0107】

以上の説明から解るように、本実施例によれば、再利用条件が満たされる場合に、バウチャーＶＣの更新処理が実行されず、再利用条件が満たされない場合に、バウチャーＶＣの更新処理が実行されることで、システム１０００のセキュリティと利便性とが両立され得る。

【0108】

本実施例によれば、再利用条件は、オンボーディング処理にてプリンタ１００と接続される対象サーバが特定の対象サーバ（本実施例ではサーバ３００Ａ、３００Ｂ）であることである。この結果、バウチャーＶＣを更新することなく、プリンタ１００をオンボードできる対象サーバが限定されるので、システム１０００のセキュリティを向上できる。また、販売会社Ｂがプリンタ１００を直接販売したユーザが利用する可能性が高いサービスを提供するサーバ（本実施例ではサーバ３００Ａ、３００Ｂ）は、バウチャーＶＣの更新を行うことなく、プリンタ１００をオンボードできるので、例えば、販売会社Ｂおよび販売会社Ｂの顧客（例えば、ユーザＡ）の利便性を向上できる。

【0109】

さらに、本実施例によれば、接続情報ＣＩは、対象サーバの所在を示す所在情報（例えば、ＩＰアドレスやＵＲＬ）を含み（図２（Ｄ））、プリンタ１００は、該所在情報が、特定の対象サーバ（本実施例ではサーバ３００Ａ、３００Ｂ）の所在を示す特定所在情報ＳＩ（図１）である場合に、再利用条件が満たされると判断する（図６のＳ１３０）。この結果、プリンタ１００は、再利用条件が満たされるか否かを容易に判断することができる。

【0110】

さらに、本実施例によれば、プリンタ１００は、再利用条件が満たされない場合に（図６のＳ１３０にてＮＯ、図７のＳ９２）、更新エラー通知を対象サーバに送信する（図６のＳ１４５、図７のＳ９４）。更新エラー通知は、上述したように、バウチャーＶＣを更新すべきことを示す情報である。この結果、プリンタ１００は、更新エラー通知を送信することで、対象サーバにバウチャーＶＣを更新させることができる。

【0111】

具体的には、プリンタ１００は、再利用条件が満たされない場合に（図６のＳ１３０にてＮＯ、図７のＳ９２）、対象サーバからバウチャーＶＣを更新しないことを示す情報（具体的には、更新無しのバウチャー情報（維持要求））を受信することに応じて、更新エラー通知を対象サーバに送信する（図６のＳ１４５、図７のＳ９４）。プリンタ１００は、再利用条件が満たされる場合に（図６のＳ１３０にてＹＥＳ、図４のＳ４２、図５のＳ６０）、対象サーバからバウチャーＶＣを更新しないことを示す情報を受信することに応じて、バウチャーＶＣを更新しないことを認める情報（具体的には、承認通知）を対象サーバに送信する（図６のＳ１４０、図４のＳ４４、図５のＳ６２）。この結果、プリンタ１００は、バウチャーＶＣの更新を行うか否かを制御することができる。

【0112】

さらに、上述のように、バウチャーＶＣを更新しないことを認める情報（承認通知）は、ｎｕｌｌを示す値であり、バウチャーＶＣを更新すべきことを示す情報は、特定のエラーを示す情報（更新エラー通知）である。この結果、プリンタ１００は、ｎｕｌｌを示す値を対象サーバに送信することで、バウチャーＶＣを更新しないことを認めることを対象サーバに通知できる。また、プリンタ１００は、特定のエラーを送信することで、バウチャーＶＣを更新すべきことを対象サーバに通知できる。

【0113】

さらに、上記実施例では、再利用条件が満たされない場合に、更新エラー通知を対象サーバに送信した（図７のＳ９４）後に、更新されたバウチャー情報を受信（図８のＳ１０４）することに応じて、更新されたバウチャー情報を用いて生成されるＨＭＡＣを対象サーバに送信する（図８のＳ１０８、図６のＳ１３５）ことによって、更新前のバウチャーＶＣを、更新されたバウチャー情報とＨＭＡＣとを含むバウチャーＶＣに更新する（図８のＳ１１０、Ｓ１１２、図６のＳ１５０）。この結果、再利用条件が満たされない場合にバウチャーＶＣを更新することができる。

【0114】

以上の説明から解るように、上記実施例のＧＵＩＤは、デバイス識別情報の例であり、バウチャーＶＣは、認証情報の例である。更新されたバウチャー情報は、第１情報の例であり、ＨＭＡＣは、第２情報の例である。

【0115】

Ｂ．第２実施例
第２実施例は、第１実施例と再利用条件が異なる。第２実施例の再利用条件は、図６に示すように、バウチャーＶＣのエントリ数ｅｎが所定数Ｐｎ以下であること（第１条件とも呼ぶ）と、バウチャーＶＣが工場出荷時から更新されていないこと（第２条件とも呼ぶ）と、を含む。所定数Ｐｎは、例えば、２である。

【0116】

第２実施例の更新関連処理（図６）では、プリンタ１００は、Ｓ１３０にて、上記第１条件と第２条件との両方が満たされる場合に、再利用条件が満たされると判断し、上記第１条件と第２条件とのいずれか一方が満たされない場合に、再利用条件が満たされないと判断する。プリンタ１００は、対象サーバから受信されるバウチャーＶＣに含まれるエントリＥＴの個数をカウントすることで、バウチャーＶＣのエントリ数ｅｎを認識して、第１条件が満たされるか否かを判断する。また、例えば、プリンタ１００は、バウチャー更新フラグ（図示省略）を不揮発性記憶装置１３０に保持する。バウチャー更新フラグは、工場出荷時には、ＯＦＦに設定される。プリンタ１００は、Ｓ１５０にて、バウチャーＶＣ（バウチャーヘッダＶＨ）を更新する際に、バウチャー更新フラグをＯＮに設定する。プリンタ１００は、Ｓ１３０にて、バウチャー更新フラグがＯＦＦである場合に、第２条件が満たされると判断する。

【0117】

例えば、図９の例では、オンボーディング処理ＯＢａ、ＯＢｂで用いられるバウチャーＶＣａのエントリ数ｅｎは２である。また、バウチャーＶＣａは、工場出荷時に作成されたバウチャーＶＣであるので、工場出荷時からバウチャーＶＣの更新は行われていない。このために、オンボーディング処理ＯＢａ、ＯＢｂでは、再利用条件が満たされると判断されて、バウチャーＶＣの更新は行われない。

【0118】

一方、図９の例では、オンボーディング処理ＯＢｃが行われる時点では、プリンタ１００がユーザＡからユーザＢに再販されているので、オンボーディング処理ＯＢｃにて用いられるバウチャーＶＣａのエントリ数ｅｎは３である。このために、オンボーディング処理ＯＢｃでは、第１条件が満たされないために再利用条件が満たされないと判断されて、バウチャーＶＣの更新が行われる。

【0119】

図９の例では、オンボーディング処理ＯＢｄにて用いられるバウチャーＶＣｂは、工場出荷時に生成されるバウチャーＶＣａとは異なる。すなわち、オンボーディング処理ＯＢｄが行われる時点は、バウチャーＶＣの更新が行われた後である。このために、オンボーディング処理ＯＢｄでは、第２条件が満たされないために再利用条件が満たされないと判断されて、バウチャーＶＣの更新が行われる。この結果、第２実施例においても、第１実施例と同様に、システム１０００のセキュリティと利便性とを両立し得る。

【0120】

以上説明した第２実施例によれば、バウチャーＶＣは、プリンタ１００の所有者の変更に応じて増加する１以上のエントリＥＴを含む（図２（Ｂ））。再利用条件は、上述のように、バウチャーＶＣに含まれるエントリＥＴの個数（エントリ数ｅｎ）が所定数Ｐｎ以下であることである第１条件を含む。プリンタ１００の所有者の変更があった場合には、セキュリティの観点からバウチャーＶＣの更新が行われることが好ましい場合がある。例えば、上述のように、プリンタ１００の過去の所有者が真正なバウチャーＶＣを所有していると、現在のプリンタ１００のユーザの意図に反して、プリンタ１００が対象サーバにオンボードされる可能性が高くなり得るためである。本実施例によれば、プリンタ１００の所有者の変更に応じて増加するエントリＥＴの個数を用いてバウチャーＶＣの更新処理を行うか否かを適切に切り替えることができる。したがって、システム１０００のセキュリティと利便性とを両立し得る。

【0121】

Ｃ．変形例
（１）上記第１実施例では、図１の特定所在情報ＳＩは、サーバ３００Ａとサーバ３００Ｂとの所在情報を含んでおり、特定所在情報ＳＩは工場にて不揮発性記憶装置１３０に格納されている。これに代えて、例えば、工場にて格納される特定所在情報ＳＩは、例えば、セットアップサービスを提供する対象サーバ、例えば、サーバ３００Ａの所在情報だけとし、他の特定所在情報（例えば、サーバ３００Ｂの所在情報）は、サーバ３００Ａから取得されても良い。例えば、プリンタ１００がサーバ３００Ａにオンボードされた後（図４のＳ４６のサービス準備処理の後）に、図４にて破線で囲まれたＳ４７に示すように、サーバ３００Ａからプリンタ１００に、サーバ３００Ｂの所在情報が特定所在情報としてプリンタ１００に送信されても良い。

【0122】

本変形例によれば、プリンタ１００は、サーバ３００Ａとの接続時に、サーバ３００Ａからサーバ３００Ｂの所在情報を特定所在情報として受信し（図４のＳ４７）、サーバ３００Ｂとの接続時に、該特定所在情報に基づいて、再利用条件が満たされるか否かを判断する（図５のＳ６０）。この結果、例えば、プリンタ１００の製造時に、サーバ３００Ｂの特定所在情報をプリンタ１００に格納することなく、事後的に、プリンタ１００に特定所在情報を取得させることができる。この結果、例えば、プリンタ１００の製造後に、新たにサービスを開始した対象サーバであっても、該対象サーバとのオンボーディング処理においてバウチャーＶＣが更新されないように、事後的に設定することができる。プリンタ１００の製造後に、特定所在情報にて指定すべき対象サーバの追加や削除を容易に行うことができる。

【0123】

（２）上記各実施例の再利用条件は、一例であり、これに限られない。例えば、再利用条件は、プリンタ１００が製造された後に実行されたオンボーディング処理の回数が、所定回数（例えば、２回）以下であることであっても良い。また、再利用条件は、プリンタ１００が工場から出荷された後の初回の電源投入時から所定期間（例えば、１時間や１週間）内であることであっても良い。また、再利用条件は、例えば、上記各実施例の再利用条件と、本変形例で例示した再利用条件と、を適宜に組み合わせた条件であっても良い。例えば、再利用条件は、バウチャーＶＣのエントリ数ｅｎが所定個数以下であり、かつ、初回の電源投入時から所定期間内であることであっても良いし、バウチャーＶＣのエントリ数ｅｎが所定個数以下であり、かつ、対象サーバの所在情報が特定所在情報であることであっても良い。

【0124】

（３）上記第１実施例では、プリンタ１００は、再利用条件を判断する際に、対象サーバの所在情報（例えば、ＩＰアドレス）が、特定所在情報であるか否かに基づいて、対象サーバが特定のサーバであるか否かを判断している。これに代えて、例えば、オンボーディング処理の過程（例えば、認証処理の過程）で対象サーバからプリンタ１００に所定の情報（例えば、提供サービスの名称）を送信し、プリンタ１００は該所定の情報に基づいて、対象サーバが特定のサーバであるか否かを判断しても良い。

【0125】

（４）上記各実施例では、オンボーディング処理では、プリンタ１００は、ＦＤＯ仕様書に規定されたＴＯ２に従って、認証情報であるバウチャーＶＣの更新やバウチャーＶＣの維持を実行している。対象サーバが対応していれば、プリンタ１００は、例えば、プリンタ１００の製造事業者が定めた仕様などの別の手法を用いて、認証情報の更新や維持を行っても良い。

【0126】

この場合には、例えば、プリンタ１００から対象サーバに送信される承認通知は、ｎｕｌｌとは異なる情報が用いられ得る。また、プリンタ１００から対象サーバに送信される認証情報を更新すべきことを示す情報は、更新エラー通知とは異なる情報が用いられ得る。

【0127】

また、この場合には、例えば、プリンタ１００は、再利用条件が満たされない場合には、プリンタ１００が更新後の認証情報を生成して対象サーバに送信し、再利用条件が満たされる場合には、プリンタ１００が更新前と同一の認証情報を対象サーバに送信しても良い。そして、対象サーバは、プリンタ１００から送信される認証情報を有効な認証情報として自身の記憶装置に格納しても良い。

【0128】

（５）上記各実施例では、プリンタ１００および対象サーバは、ＦＤＯ仕様書に従って動作するので、認証情報として、ＧＵＩＤを含むバウチャーＶＣが用いられている。このために、バウチャーＶＣがＧＵＩＤを含むことによって、バウチャーＶＣは、当該ＧＵＩＤ、ひいては、当該ＧＵＩＤが割り当てられたデバイス（本実施例ではプリンタ１００）と対応付けられている。これに代えて、例えば、プリンタ１００の製造事業者が定めた仕様などの別の手法が用いられる場合には、認証情報はバウチャーＶＣとは異なる情報であっても良い。この場合には、例えば、対象サーバは、所定のデバイス識別情報（例えば、シリアル番号）と、該デバイス識別情報を含まない所定の認証情報と、を対応付けて、テーブルに記録しても良い。そして、オンボーディング処理では、対象サーバは、所定の認証情報をプリンタ１００に送信し、プリンタ１００は該所定の認証情報を真正であるか否かを検証しても良い。

【0129】

（６）上記各実施例では、デバイスとしてプリンタ１００が採用されている。これに限らず、対象サーバと協働してユーザに対してサービスを提供する他のデバイスが採用されても良い。他のデバイスを用いるサービスには、例えば、自宅やオフィスなどに設定された他のデバイス（例えば、監視カメラ、調理器具等の電化製品）を、端末装置（端末アプリケーション）から対象サーバを介して遠隔操作するサービスが含まれ得る。

【0130】

（７）上記実施例において、ハードウェアによって実現されていた構成の一部をソフトウェアに置き換えるようにしてもよく、逆に、ソフトウェアによって実現されていた構成の一部あるいは全部をハードウェアに置き換えるようにしてもよい。

【0131】

以上、実施例、変形例に基づき本発明について説明してきたが、上記した発明の実施の形態は、本発明の理解を容易にするためのものであり、本発明を限定するものではない。本発明は、その趣旨並びに特許請求の範囲を逸脱することなく、変更、改良され得ると共に、本発明にはその等価物が含まれる。

【符号の説明】

【0132】

１０００…システム,１００…プリンタ,１１０…ＣＰＵ,１２０…揮発性記憶装置,１３０…不揮発性記憶装置,１４０…表示部,１５０…操作部,１７０…印刷機構,１８０…通信ＩＦ,２００…端末装置,２１０…ＣＰＵ,２２０…揮発性記憶装置,２３０…不揮発性記憶装置,２４０…表示部,２５０…操作部,２８０…通信ＩＦ,３００Ａ～３００Ｄ…サーバ,３１０…ＣＰＵ,３２０…揮発性記憶装置,３３０…不揮発性記憶装置,３８０…通信ＩＦ,４００…仲介サーバ,４１０…ＣＰＵ,４２０…揮発性記憶装置,４３０…不揮発性記憶装置,４８０…通信ＩＦ,ＢＰ…ブラウザプログラム,ＣＤＢ…接続情報データベース,ＣＩ…接続情報,ＥＴ…エントリ,ＩＴ…インターネット,ＰＧａ,ＰＧｂ,ＰＧｐ…コンピュータプログラム,ＲＳＩ…仲介サーバ情報,ＳＩ…特定所在情報,ＶＣ…バウチャー,ＶＤＢ…バウチャーデータベース,ＶＨ…バウチャーヘッダ,ｅｎ…エントリ数

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】