ホーム > 特許ランキング > ブラザー工業株式会社
知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024108388
(43)【公開日】2024-08-13
(54)【発明の名称】デバイス、コンピュータプログラム、方法
(51)【国際特許分類】
G06F 21/44 20130101AFI20240805BHJP
【ＦＩ】
G06F21/44
【審査請求】未請求
【請求項の数】12
【出願形態】ＯＬ
(21)【出願番号】P 2023012727
(22)【出願日】2023-01-31
(71)【出願人】
【識別番号】000005267
【氏名又は名称】ブラザー工業株式会社
(74)【代理人】
【識別番号】110001058
【氏名又は名称】鳳国際弁理士法人
(72)【発明者】
【氏名】吉田 聖也
(57)【要約】
【課題】新たな認証情報を使用してデバイスとサーバとを接続する。
【解決手段】
管理サーバによって提供される特定情報を使用して、新たな第１種認証情報を取得する。第１仲介サーバから、新たな第１種認証情報を使用することによって、サービスサーバとの接続のための第１接続情報を取得する。第１接続情報に従ってサービスサーバにアクセスすることによってサービスサーバから第２種認証情報を取得するとともに、新たな第１種認証情報と第２種認証情報とを使用する検証を行うことによってサービスサーバとの接続を確立する。
【選択図】 図１
【解決手段】
管理サーバによって提供される特定情報を使用して、新たな第１種認証情報を取得する。第１仲介サーバから、新たな第１種認証情報を使用することによって、サービスサーバとの接続のための第１接続情報を取得する。第１接続情報に従ってサービスサーバにアクセスすることによってサービスサーバから第２種認証情報を取得するとともに、新たな第１種認証情報と第２種認証情報とを使用する検証を行うことによってサービスサーバとの接続を確立する。
【選択図】 図１
【特許請求の範囲】
【請求項1】
デバイスであって、
第１種認証情報を格納するように構成された記憶装置と、
管理サーバとの接続のための管理接続情報に従って前記管理サーバにアクセスすることによって前記管理サーバによって提供される特定情報を使用して、新たな第１種認証情報を取得する第１取得部と、
第１位置情報によって示される第１仲介サーバから、前記新たな第１種認証情報を使用することによって、サービスサーバとの接続のための第１接続情報を取得する第２取得部であって、前記第１仲介サーバは、前記特定情報に対応付けられる第２種認証情報であって前記管理サーバによって生成された前記第２種認証情報に対応付けられる前記第１接続情報を有する、前記第２取得部と、
前記第１接続情報に従って前記サービスサーバにアクセスすることによって前記サービスサーバから前記第２種認証情報を取得するとともに、前記新たな第１種認証情報と前記第２種認証情報とを使用する検証を行うことによって前記サービスサーバとの接続を確立する接続部と、
を備えるデバイス。
第１種認証情報を格納するように構成された記憶装置と、
管理サーバとの接続のための管理接続情報に従って前記管理サーバにアクセスすることによって前記管理サーバによって提供される特定情報を使用して、新たな第１種認証情報を取得する第１取得部と、
第１位置情報によって示される第１仲介サーバから、前記新たな第１種認証情報を使用することによって、サービスサーバとの接続のための第１接続情報を取得する第２取得部であって、前記第１仲介サーバは、前記特定情報に対応付けられる第２種認証情報であって前記管理サーバによって生成された前記第２種認証情報に対応付けられる前記第１接続情報を有する、前記第２取得部と、
前記第１接続情報に従って前記サービスサーバにアクセスすることによって前記サービスサーバから前記第２種認証情報を取得するとともに、前記新たな第１種認証情報と前記第２種認証情報とを使用する検証を行うことによって前記サービスサーバとの接続を確立する接続部と、
を備えるデバイス。
【請求項2】
請求項１に記載のデバイスであって、さらに、
前記管理サーバとの通信の前に、第２仲介サーバから前記管理サーバとの接続のための前記管理接続情報を取得する第３取得部を備える、
デバイス。
前記管理サーバとの通信の前に、第２仲介サーバから前記管理サーバとの接続のための前記管理接続情報を取得する第３取得部を備える、
デバイス。
【請求項3】
請求項２に記載のデバイスであって、
前記第２仲介サーバからの前記管理接続情報の取得は、FIDO Device Onboarding (FDO) のTransfer Ownership Protocol 1 (TO1)に従って、行われる、
デバイス。
前記第２仲介サーバからの前記管理接続情報の取得は、FIDO Device Onboarding (FDO) のTransfer Ownership Protocol 1 (TO1)に従って、行われる、
デバイス。
【請求項4】
請求項１から３のいずれかに記載のデバイスであって、さらに、
前記第１仲介サーバとの通信の前に、前記管理サーバから前記第１仲介サーバの前記第１位置情報を取得する第４取得部を備える、
デバイス。
前記第１仲介サーバとの通信の前に、前記管理サーバから前記第１仲介サーバの前記第１位置情報を取得する第４取得部を備える、
デバイス。
【請求項5】
請求項４に記載のデバイスであって、
前記デバイスは、さらに、前記記憶装置に格納された第１種認証情報の更新が必要であるか否かを確認する確認部を備え、
前記記憶装置に格納された前記第１種認証情報の前記更新が必要であると確認される場合に、
前記第１取得部は、前記管理接続情報に従って前記管理サーバにアクセスすることによって前記管理サーバによって提供される前記特定情報を使用して、前記新たな第１種認証情報を取得し、
前記第２取得部は、前記新たな第１種認証情報の取得の後に、前記管理サーバから取得された前記第１位置情報によって示される前記第１仲介サーバから前記第１接続情報を取得し、
前記デバイスは、さらに、
前記記憶装置に格納された前記第１種認証情報の前記更新が不要であると確認される場合に、前記管理サーバにアクセスせずに、前記第１位置情報によって示される前記第１仲介サーバから、前記記憶装置に格納された前記第１種認証情報に対応付けられるサービスサーバとの接続のための第２接続情報を取得する第５取得部を備える、
デバイス。
前記デバイスは、さらに、前記記憶装置に格納された第１種認証情報の更新が必要であるか否かを確認する確認部を備え、
前記記憶装置に格納された前記第１種認証情報の前記更新が必要であると確認される場合に、
前記第１取得部は、前記管理接続情報に従って前記管理サーバにアクセスすることによって前記管理サーバによって提供される前記特定情報を使用して、前記新たな第１種認証情報を取得し、
前記第２取得部は、前記新たな第１種認証情報の取得の後に、前記管理サーバから取得された前記第１位置情報によって示される前記第１仲介サーバから前記第１接続情報を取得し、
前記デバイスは、さらに、
前記記憶装置に格納された前記第１種認証情報の前記更新が不要であると確認される場合に、前記管理サーバにアクセスせずに、前記第１位置情報によって示される前記第１仲介サーバから、前記記憶装置に格納された前記第１種認証情報に対応付けられるサービスサーバとの接続のための第２接続情報を取得する第５取得部を備える、
デバイス。
【請求項6】
請求項４に記載のデバイスであって、
前記第１取得部は、前記管理接続情報に従って前記管理サーバにアクセスすることによって前記管理サーバによって提供される前記特定情報を使用して、前記新たな第１種認証情報を取得し、
前記第２取得部は、前記新たな第１種認証情報の取得の後に、前記管理サーバから取得された前記第１位置情報によって示される前記第１仲介サーバから前記第１接続情報を取得する、
デバイス。
前記第１取得部は、前記管理接続情報に従って前記管理サーバにアクセスすることによって前記管理サーバによって提供される前記特定情報を使用して、前記新たな第１種認証情報を取得し、
前記第２取得部は、前記新たな第１種認証情報の取得の後に、前記管理サーバから取得された前記第１位置情報によって示される前記第１仲介サーバから前記第１接続情報を取得する、
デバイス。
【請求項7】
請求項２または３に記載のデバイスであって、
前記記憶装置は、前記第１仲介サーバの前記第１位置情報と、前記第２仲介サーバの第２位置情報と、を格納し、
前記デバイスは、さらに、前記記憶装置に格納された第１種認証情報の更新が必要であるか否かを確認する確認部を備え、
前記記憶装置に格納された前記第１種認証情報の前記更新が必要であると確認される場合に、
前記第３取得部は、前記第２位置情報によって示される前記第２仲介サーバから前記管理接続情報を取得し、
前記第１取得部は、前記管理接続情報の取得の後に、前記管理接続情報に従って前記管理サーバにアクセスすることによって前記管理サーバによって提供される前記特定情報を使用して、前記新たな第１種認証情報を取得し、
前記第２取得部は、前記新たな第１種認証情報の取得の後に、前記第１位置情報によって示される前記第１仲介サーバから前記第１接続情報を取得し、
前記デバイスは、さらに、
前記記憶装置に格納された前記第１種認証情報の前記更新が不要であると確認される場合に、前記第２仲介サーバと前記管理サーバとにアクセスせずに、前記第１位置情報によって示される前記第１仲介サーバから、前記記憶装置に格納された前記第１種認証情報に対応付けられるサービスサーバとの接続のための第２接続情報を取得する第５取得部を備える、
デバイス。
前記記憶装置は、前記第１仲介サーバの前記第１位置情報と、前記第２仲介サーバの第２位置情報と、を格納し、
前記デバイスは、さらに、前記記憶装置に格納された第１種認証情報の更新が必要であるか否かを確認する確認部を備え、
前記記憶装置に格納された前記第１種認証情報の前記更新が必要であると確認される場合に、
前記第３取得部は、前記第２位置情報によって示される前記第２仲介サーバから前記管理接続情報を取得し、
前記第１取得部は、前記管理接続情報の取得の後に、前記管理接続情報に従って前記管理サーバにアクセスすることによって前記管理サーバによって提供される前記特定情報を使用して、前記新たな第１種認証情報を取得し、
前記第２取得部は、前記新たな第１種認証情報の取得の後に、前記第１位置情報によって示される前記第１仲介サーバから前記第１接続情報を取得し、
前記デバイスは、さらに、
前記記憶装置に格納された前記第１種認証情報の前記更新が不要であると確認される場合に、前記第２仲介サーバと前記管理サーバとにアクセスせずに、前記第１位置情報によって示される前記第１仲介サーバから、前記記憶装置に格納された前記第１種認証情報に対応付けられるサービスサーバとの接続のための第２接続情報を取得する第５取得部を備える、
デバイス。
【請求項8】
請求項２または３に記載のデバイスであって、
前記記憶装置は、前記第１仲介サーバの前記第１位置情報と、前記第２仲介サーバの第２位置情報と、を格納し、
前記第３取得部は、前記第２位置情報によって示される前記第２仲介サーバから前記管理接続情報を取得し、
前記第１取得部は、前記管理接続情報の取得の後に、前記管理接続情報に従って前記管理サーバにアクセスすることによって前記管理サーバによって提供される前記特定情報を使用して、前記新たな第１種認証情報を取得し、
前記第２取得部は、前記新たな第１種認証情報の取得の後に、前記第１位置情報によって示される前記第１仲介サーバから前記第１接続情報を取得する、
デバイス。
前記記憶装置は、前記第１仲介サーバの前記第１位置情報と、前記第２仲介サーバの第２位置情報と、を格納し、
前記第３取得部は、前記第２位置情報によって示される前記第２仲介サーバから前記管理接続情報を取得し、
前記第１取得部は、前記管理接続情報の取得の後に、前記管理接続情報に従って前記管理サーバにアクセスすることによって前記管理サーバによって提供される前記特定情報を使用して、前記新たな第１種認証情報を取得し、
前記第２取得部は、前記新たな第１種認証情報の取得の後に、前記第１位置情報によって示される前記第１仲介サーバから前記第１接続情報を取得する、
デバイス。
【請求項9】
請求項１から３のいずれかに記載のデバイスであって、
前記管理サーバによる前記特定情報の提供は、FIDO Device Onboarding (FDO) のTransfer Ownership Protocol 2 (TO2)に従って、行われる、
デバイス。
前記管理サーバによる前記特定情報の提供は、FIDO Device Onboarding (FDO) のTransfer Ownership Protocol 2 (TO2)に従って、行われる、
デバイス。
【請求項10】
請求項１から３のいずれかに記載のデバイスであって、
前記サービスサーバとは異なる他のサービスサーバとの接続のための第１種認証情報が前記記憶装置に格納された後に、前記第１取得部は、前記新たな第１種認証情報を前記記憶装置に、格納する、
デバイス。
前記サービスサーバとは異なる他のサービスサーバとの接続のための第１種認証情報が前記記憶装置に格納された後に、前記第１取得部は、前記新たな第１種認証情報を前記記憶装置に、格納する、
デバイス。
【請求項11】
コンピュータプログラムであって、
管理サーバとの接続のための管理接続情報に従って前記管理サーバにアクセスすることによって前記管理サーバによって提供される特定情報を使用して、新たな第１種認証情報を取得する第１取得機能と、
第１位置情報によって示される第１仲介サーバから、前記新たな第１種認証情報を使用することによって、サービスサーバとの接続のための第１接続情報を取得する第２取得機能であって、前記第１仲介サーバは、前記特定情報に対応付けられる第２種認証情報であって前記管理サーバによって生成された前記第２種認証情報に対応付けられる前記第１接続情報を有する、前記第２取得機能と、
前記第１接続情報に従って前記サービスサーバにアクセスすることによって前記サービスサーバから前記第２種認証情報を取得するとともに、前記新たな第１種認証情報と前記第２種認証情報とを使用する検証を行うことによって前記サービスサーバとの接続を確立する接続機能と、
をコンピュータに実現させるコンピュータプログラム。
管理サーバとの接続のための管理接続情報に従って前記管理サーバにアクセスすることによって前記管理サーバによって提供される特定情報を使用して、新たな第１種認証情報を取得する第１取得機能と、
第１位置情報によって示される第１仲介サーバから、前記新たな第１種認証情報を使用することによって、サービスサーバとの接続のための第１接続情報を取得する第２取得機能であって、前記第１仲介サーバは、前記特定情報に対応付けられる第２種認証情報であって前記管理サーバによって生成された前記第２種認証情報に対応付けられる前記第１接続情報を有する、前記第２取得機能と、
前記第１接続情報に従って前記サービスサーバにアクセスすることによって前記サービスサーバから前記第２種認証情報を取得するとともに、前記新たな第１種認証情報と前記第２種認証情報とを使用する検証を行うことによって前記サービスサーバとの接続を確立する接続機能と、
をコンピュータに実現させるコンピュータプログラム。
【請求項12】
デバイスをサービスサーバに接続する方法であって、
管理サーバとの接続のための管理接続情報に従って前記管理サーバにアクセスすることによって前記管理サーバによって提供される特定情報を使用して、新たな第１種認証情報を取得する第１取得工程と、
第１位置情報によって示される第１仲介サーバから、前記新たな第１種認証情報を使用することによって、サービスサーバとの接続のための第１接続情報を取得する第２取得工程であって、前記第１仲介サーバは、前記特定情報に対応付けられる第２種認証情報であって前記管理サーバによって生成された前記第２種認証情報に対応付けられる前記第１接続情報を有する、前記第２取得工程と、
前記第１接続情報に従って前記サービスサーバにアクセスすることによって前記サービスサーバから前記第２種認証情報を取得するとともに、前記新たな第１種認証情報と前記第２種認証情報とを使用する検証を行うことによって前記サービスサーバとの接続を確立する接続工程と、
を備える方法。
管理サーバとの接続のための管理接続情報に従って前記管理サーバにアクセスすることによって前記管理サーバによって提供される特定情報を使用して、新たな第１種認証情報を取得する第１取得工程と、
第１位置情報によって示される第１仲介サーバから、前記新たな第１種認証情報を使用することによって、サービスサーバとの接続のための第１接続情報を取得する第２取得工程であって、前記第１仲介サーバは、前記特定情報に対応付けられる第２種認証情報であって前記管理サーバによって生成された前記第２種認証情報に対応付けられる前記第１接続情報を有する、前記第２取得工程と、
前記第１接続情報に従って前記サービスサーバにアクセスすることによって前記サービスサーバから前記第２種認証情報を取得するとともに、前記新たな第１種認証情報と前記第２種認証情報とを使用する検証を行うことによって前記サービスサーバとの接続を確立する接続工程と、
を備える方法。
【発明の詳細な説明】
【技術分野】
【0001】
本明細書は、デバイスをサーバに接続する技術に関する。
【背景技術】
【0002】
ネットワークを介してデバイスとサーバとを接続するための種々の仕組みが知られている。非特許文献１の技術では、デバイスに格納されたクレデンシャルと呼ばれる認証情報と、クレデンシャルに対応付けられたバウチャーと呼ばれる情報と、を使用して、デバイスとサーバとが接続される。
【先行技術文献】
【非特許文献】
【0003】
【非特許文献1】"FIDO Device Onboard Specification 1.1"，［online］，令和4年4月19日, FIDO Alliance， ［令和5年1月6日検索］，インターネット＜URL:https://fidoalliance.org/specs/FDO/FIDO-Device-Onboard-PS-v1.1-20220419/FIDO-Device-Onboard-PS-v1.1-20220419.html＞
【発明の概要】
【発明が解決しようとする課題】
【0004】
更新された新たな認証情報を使用してデバイスとサーバとを接続する点については、工夫の余地があった。
【0005】
本明細書は、新たな認証情報を使用してデバイスとサーバとを接続する技術を開示する。
【課題を解決するための手段】
【0006】
本明細書に開示された技術は、以下の適用例として実現することが可能である。
【0007】
［適用例１］デバイスであって、第１種認証情報を格納するように構成された記憶装置と、管理サーバとの接続のための管理接続情報に従って前記管理サーバにアクセスすることによって前記管理サーバによって提供される特定情報を使用して、新たな第１種認証情報を取得する第１取得部と、第１位置情報によって示される第１仲介サーバから、前記新たな第１種認証情報を使用することによって、サービスサーバとの接続のための第１接続情報を取得する第２取得部であって、前記第１仲介サーバは、前記特定情報に対応付けられる第２種認証情報であって前記管理サーバによって生成された前記第２種認証情報に対応付けられる前記第１接続情報を有する、前記第２取得部と、前記第１接続情報に従って前記サービスサーバにアクセスすることによって前記サービスサーバから前記第２種認証情報を取得するとともに、前記新たな第１種認証情報と前記第２種認証情報とを使用する検証を行うことによって前記サービスサーバとの接続を確立する接続部と、を備えるデバイス。
【0008】
この構成によれば、デバイスは、管理サーバによって提供される特定情報を使用して取得される新たな第１種認証情報を使用して、サービスサーバとの接続を確立できる。
【0009】
なお、本明細書に開示の技術は、種々の態様で実現することが可能であり、例えば、デバイス、デバイスをサービスサーバに接続する方法、デバイスの制御方法、デバイスによって実行される方法、管理サーバ、管理サーバによって実行される方法、それらの方法またはデバイスの機能を実現するためのコンピュータプログラム、そのコンピュータプログラムを記録した記録媒体（例えば、一時的ではない記録媒体）、等の形態で実現することができる。
【図面の簡単な説明】
【0010】
【図1】一実施例としてのシステムを示す説明図である。
【図2】（Ａ）－（Ｉ）は、サーバとの接続に使用される情報の例を示す説明図である。
【図3】（Ａ）－（Ｇ）は、サーバとの接続に使用される情報の例を示す説明図である。
【図4】設定処理の例を示すシーケンス図である。
【図5】設定処理の例を示すシーケンス図である。
【図6】設定処理の例を示すシーケンス図である。
【図7】設定処理の別の実施例を示すシーケンス図である。
【図8】設定処理の別の実施例を示すシーケンス図である。
【図9】設定処理の別の実施例を示すシーケンス図である。
【図10】設定処理の別の実施例を示すシーケンス図である。
【図11】設定処理の別の実施例を示すシーケンス図である。
【図12】設定処理の別の実施例を示すシーケンス図である。
【図13】設定処理の別の実施例を示すシーケンス図である。
【図14】バウチャーデータベースＤ４の変化を示す説明図である。
【発明を実施するための形態】
【0011】
Ａ．第１実施例：
Ａ１．システムの構成：
図１は、一実施例としてのシステムを示す説明図である。このシステム１０００は、プリンタ１００と、仲介サーバ２００Ａ、２００Ｂと、サービスサーバ３００Ａ、３００Ｂと、ベンダサーバ４００と、を含む。これらの装置は、ネットワークＩＴに接続されている。ネットワークＩＴは、いわゆるインターネットを含んでよい。また、ネットワークＩＴは、いわゆるローカルエリアネットワークを含んでよい。
Ａ１．システムの構成：
図１は、一実施例としてのシステムを示す説明図である。このシステム１０００は、プリンタ１００と、仲介サーバ２００Ａ、２００Ｂと、サービスサーバ３００Ａ、３００Ｂと、ベンダサーバ４００と、を含む。これらの装置は、ネットワークＩＴに接続されている。ネットワークＩＴは、いわゆるインターネットを含んでよい。また、ネットワークＩＴは、いわゆるローカルエリアネットワークを含んでよい。
【0012】
プリンタ１００は、プロセッサ１１０と、記憶装置１１５と、表示部１４０と、操作部１５０と、印刷実行部１６０と、通信インタフェース１８０とを、有している。これらの要素は、図示しないバスを介して互いに接続されている。
【0013】
表示部１４０は、液晶ディスプレイ、有機ＥＬディスプレイなどの、画像を表示するように構成された装置である。操作部１５０は、ボタン、レバー、表示部１４０上に重ねて配置されたタッチパネルなどの、ユーザによる操作を受け取るように構成された装置である。通信インタフェース１８０は、他の装置と通信するためのインタフェースである（例えば、有線ＬＡＮ、IEEE802.11の無線ＬＡＮ、のうちの１種以上のインタフェースを含む）。通信インタフェース１８０は、ネットワークＩＴに接続されている。
【0014】
印刷実行部１６０は、画像を印刷する装置である。本実施例では、印刷実行部１６０は、いわゆるインクジェットプリンタである。印刷実行部１６０は、１種類以上の印刷材（例えば、シアンとマゼンタとイエローとブラックの４色のインク）を使用して、画像を印刷するように構成されている。なお、印刷実行部１６０は、他の方式で画像を印刷する装置であってよい（例えば、レーザープリンタ）。
【0015】
プロセッサ１１０は、データを処理するように構成された装置である。プロセッサ１１０は、例えば、ＣＰＵ（Central Processing Unit）、または、ＳｏＣ（System on a chip）である。記憶装置１１５は、揮発性記憶装置１２０と、不揮発性記憶装置１３０と、を含む。揮発性記憶装置１２０は、例えば、ＤＲＡＭであり、不揮発性記憶装置１３０は、例えば、フラッシュメモリである。
【0016】
不揮発性記憶装置１３０は、プログラムＰＧ１と、シリアル番号ＳＩＤ０と、のそれぞれのデータを格納している。プログラムＰＧ１に従ってプロセッサ１１０によって実行される処理は、サービスサーバ（本実施例では、サービスサーバ３００Ａ、３００Ｂのいずれか）との接続のための設定処理（オンボーディングとも呼ばれる）と、オンボーディングの後のサービスを受けるための処理と、を含む。シリアル番号ＳＩＤ０は、プリンタ１００に固有な識別番号である。プログラムＰＧ１とシリアル番号ＳＩＤ０とのそれぞれのデータは、プリンタ１００の製造時に、不揮発性記憶装置１３０に格納される。なお、プログラムＰＧ１は、ネットワークＩＴを通じて図示しないサーバから、または、プリンタ１００に接続された図示しない携帯記憶装置（例えば、ＵＳＢフラッシュドライブ）から、プリンタ１００の不揮発性記憶装置１３０に格納されてよい。
【0017】
不揮発性記憶装置１３０は、更に、クレデンシャルＣＩと、接続情報ＩＸと、のそれぞれのデータを格納するように構成されている。これらの情報ＣＩ、ＩＸは、サーバとの接続のために使用される（詳細は、後述）。
【0018】
次に、サーバ２００Ａ、２００Ｂ、３００Ａ、３００Ｂ、４００のハードウェア構成について説明する。本実施例では、サーバ２００Ａ、２００Ｂ、３００Ａ、３００Ｂ、４００は、類似するハードウェア構成を有している。図示を省略するが、仲介サーバ２００Ａ、２００Ｂの間では、ハードウェア構成（構成２１０、２１５（２２０、２３０）、２８０を含む）は、同じである。サービスサーバ３００Ａ、３００Ｂの間では、ハードウェア構成（構成３１０、３１５（３２０、３３０）、３８０を含む）は、同じである。以下、仲介サーバ２００Ａとサービスサーバ３００Ａとベンダサーバ４００とを参照して、サーバのハードウェア構成を説明する。
【0019】
サーバ２００Ａ、３００Ａ、４００は、プロセッサ２１０、３１０、４１０と、記憶装置２１５、３１５、４１５と、通信インタフェース２８０、３８０、４８０とを、それぞれ有している。各サーバにおいて、これらの要素は、図示しないバスを介して互いに接続されている。通信インタフェース２８０、３８０、４８０は、他の装置と通信するためのインタフェースである。各通信インタフェース２８０、３８０、４８０は、例えば、有線ＬＡＮ、IEEE802.11の無線ＬＡＮ、のうちの１種以上のインタフェースを含む。各通信インタフェース２８０、３８０、４８０は、ネットワークＩＴに接続されている。プロセッサ２１０、３１０、４１０は、データを処理するように構成された装置である。各プロセッサ２１０、３１０、４１０は、例えば、ＣＰＵ、または、ＳｏＣである。記憶装置２１５、３１５、４１５は、揮発性記憶装置２２０、３２０、４２０と、不揮発性記憶装置２３０、３３０、４３０とを、それぞれ含む。揮発性記憶装置２２０、３２０、４２０は、例えば、ＤＲＡＭであり、不揮発性記憶装置２３０、３３０、４３０は、例えば、フラッシュメモリである。
【0020】
次に、各サーバ２００Ａ、２００Ｂ、３００Ａ、３００Ｂ、４００について、説明する。サービスサーバ３００Ａ、３００Ｂは、プリンタ１００を使用するサービスを提供するための処理を実行する。プリンタ１００を使用するサービスは、消耗品（インク、用紙など）の残量をネットワークを介して取得し、残量に応じて消耗品をユーザに配送する配送サービス、ネットワークＩＴを介してプリンタ１００に画像を印刷させるサービスなど、種々のサービスであってよい。本実施例では、第１サービスサーバ３００Ａが、第１サービスのための処理を実行し、第２サービスサーバ３００Ｂが、第２サービスのための処理を実行することとする。第１サービスサーバ３００Ａを運用する第１サービス事業者は、第２サービスサーバ３００Ｂを運用する第２サービス事業者と異なることとする。各サービス事業者は、プリンタ１００の製造事業者とは異なることとする。
【0021】
第１サービスサーバ３００Ａの不揮発性記憶装置３３０は、プログラムＰＧ３Ａと、サービステーブルＴ３Ａと、のそれぞれのデータを格納している。プロセッサ３１０は、プログラムＰＧ３Ａを実行することによって、第１サービスを提供するための種々の処理を実行する（詳細は、後述）。プログラムＰＧ３Ａは、第１サービス事業者によって、第１サービスサーバ３００Ａにアップロードされる。サービステーブルＴ３Ａには、プリンタ（例えば、プリンタ１００）のシリアル番号ＳＩＤとバウチャーＶＣとの対応関係が登録される。バウチャーＶＣは、プリンタとの接続のために使用される（詳細は、後述）。
【0022】
第２サービスサーバ３００Ｂの不揮発性記憶装置３３０には、プログラムＰＧ３Ｂと、サービステーブルＴ３Ｂと、のそれぞれのデータが格納されている。プログラムＰＧ３Ｂは、第２サービスを提供するための種々の処理の手順を示している。プログラムＰＧ３Ｂは、第２サービス事業者によって、第２サービスサーバ３００Ｂにアップロードされる。サービステーブルＴ３Ｂには、第１サービスサーバ３００ＡのサービステーブルＴ３Ａと同様に、シリアル番号ＳＩＤとバウチャーＶＣとの対応関係が登録される（詳細は、後述）。
【0023】
ベンダサーバ４００は、クレデンシャルＣＩとバウチャーＶＣとを更新するための処理を実行する。クレデンシャルＣＩとバウチャーＶＣとは、プリンタ１００を使用するサービス（対象サービスと呼ぶ）のために、使用される。対象サービスは、変更され得る。例えば、プリンタ１００のユーザが、対象サービスを変更し得る。また、プリンタ１００が譲渡される場合に、新たなユーザは、従前の対象サービスとは異なるサービスを選択し得る。ベンダサーバ４００は、新たな対象サービスのためのクレデンシャルＣＩとバウチャーＶＣとを準備する（詳細は、後述）。ベンダサーバ４００は、プリンタ１００を管理する管理事業者によって、運用される。本実施例では、管理事業者は、プリンタ１００の製造事業者と同じである。これに代えて、管理事業者は、製造事業者とは異なる事業者であってよい。
【0024】
ベンダサーバ４００の不揮発性記憶装置４３０は、プログラムＰＧ４と、バウチャーデータベースＤ４と、のそれぞれのデータを格納している。プロセッサ４１０は、プログラムＰＧ４を実行することによって、クレデンシャルＣＩとバウチャーＶＣとを準備するための種々の処理を実行する（詳細は後述）。プログラムＰＧ４は、管理事業者によって、ベンダサーバ４００にアップロードされる。バウチャーデータベースＤ４の詳細については、後述する。
【0025】
仲介サーバ２００Ａ、２００Ｂは、適切なサーバに接続するための接続情報（例えば、ＩＰアドレス、ＵＲＬ等）を、デバイス（例えば、プリンタ１００）に提供する。本実施例では、第１仲介サーバ２００Ａは、サービスサーバ（例えば、サービスサーバ３００Ａ）との接続のための情報を提供する。第１仲介サーバ２００Ａは、プリンタ１００の管理事業者とは異なる事業者によって、運用される。第２仲介サーバ２００Ｂは、ベンダサーバ４００との接続のための情報を提供する。第２仲介サーバ２００Ｂは、ベンダサーバ４００と同様に、管理事業者によって運用される。
【0026】
第１仲介サーバ２００Ａの不揮発性記憶装置２３０は、プログラムＰＧ２Ａと、接続情報テーブルＴ２Ａと、のそれぞれのデータを格納している。プロセッサ２１０は、プログラムＰＧ２Ａを実行することによって、接続情報を提供するための種々の処理を実行する（詳細は、後述）。プログラムＰＧ２Ａは、第１仲介サーバ２００Ａを運用する事業者によって、第１仲介サーバ２００Ａにアップロードされる。接続情報テーブルＴ２Ａの詳細については、後述する。
【0027】
第２仲介サーバ２００Ｂの不揮発性記憶装置２３０には、プログラムＰＧ２Ｂと、接続情報テーブルＴ２Ｂと、のそれぞれのデータが格納されている。プログラムＰＧ２Ｂは、接続情報を提供するための種々の処理の手順を示している。プログラムＰＧ２Ｂは、第２仲介サーバ２００Ｂを運用する事業者（本実施例では、管理事業者）によって、第２仲介サーバ２００Ｂにアップロードされる。接続情報テーブルＴ２Ｂの詳細については、後述する。
【0028】
Ａ２．サーバとの接続に使用される情報と、初期化処理：
図２（Ａ）－図２（Ｉ）、図３（Ａ）－図３（Ｇ）は、サーバとの接続に使用される情報の例を示す説明図である。本実施例では、プリンタ１００（図１）は、「FIDO Device Onboard (FDO) protocols」（以下、「ＦＤＯプロトコル」と呼ぶ）を使用して、サービスサーバとの接続のための設定処理（オンボーディングとも呼ばれる）を実行する。ＦＤＯプロトコルは、例えば、上記の「FIDO Device Onboard Specification」（以下、「ＦＤＯ仕様書」と呼ぶ）によって、規定されている。オンボーディングの処理において、プリンタ１００は、「デバイス」の処理を実行し、仲介サーバ２００Ａ、２００Ｂは、「ランデブーサーバ」の処理を実行し、サービスサーバ３００Ａ、３００Ｂは、「オーナー」の処理を実行する。
図２（Ａ）－図２（Ｉ）、図３（Ａ）－図３（Ｇ）は、サーバとの接続に使用される情報の例を示す説明図である。本実施例では、プリンタ１００（図１）は、「FIDO Device Onboard (FDO) protocols」（以下、「ＦＤＯプロトコル」と呼ぶ）を使用して、サービスサーバとの接続のための設定処理（オンボーディングとも呼ばれる）を実行する。ＦＤＯプロトコルは、例えば、上記の「FIDO Device Onboard Specification」（以下、「ＦＤＯ仕様書」と呼ぶ）によって、規定されている。オンボーディングの処理において、プリンタ１００は、「デバイス」の処理を実行し、仲介サーバ２００Ａ、２００Ｂは、「ランデブーサーバ」の処理を実行し、サービスサーバ３００Ａ、３００Ｂは、「オーナー」の処理を実行する。
【0029】
プリンタ１００の製造工程では、製造事業者は、プリンタ１００と図示しない製造設定装置（例えば、コンピュータ）とを使用して、ＦＤＯプロトコルの「Device Initialize Protocol (DI)」に従って、以下の初期化処理を行う。まず、製造設定装置は、クレデンシャルを生成し、生成したクレデンシャルをプリンタ１００に送信する（製造クレデンシャルと呼ぶ）。図２（Ａ）は、製造クレデンシャルの例を示している。製造クレデンシャルＣＩｍは、プロトコル情報ＰＩと、仲介サーバ情報ＲＳＩと、ＧＵＩＤと、デバイス情報ＤＩと、公開鍵ＰＫｍと、を含む。
【0030】
プロトコル情報ＰＩは、ＦＤＯプロトコルのバージョンを示している。仲介サーバ情報ＲＳＩは、ランデブーインフォとも呼ばれ、仲介サーバのネットワーク上の位置を示す位置情報（例えば、ＩＰアドレス）を含む。図６（Ｂ）は、仲介サーバ情報ＲＳＩの例を示している。図６（Ｂ）では、仲介サーバ情報ＲＳＩは、２個の位置情報ＲＳａ、ＲＳｂを含んでいる。第１位置情報ＲＳａは、第１仲介サーバ２００Ａを示し、第２位置情報ＲＳｂは、第２仲介サーバ２００Ｂを示している。仲介サーバ情報ＲＳＩに含まれる位置情報の総数は、１以上の種々の数であり得る。複数の位置情報が仲介サーバ情報ＲＳＩに含まれる場合、複数の位置情報は、優先順に並べられる。そして、複数の位置情報は、優先順に従って、１つずつ参照される。ＧＵＩＤ（図２（Ａ））は、プリンタ１００の識別子であり、ランダムな値に設定される。デバイス情報ＤＩは、プリンタ１００の製造事業者によって任意に記述されるプリンタ１００に関する情報である。公開鍵ＰＫｍは、プリンタ１００の製造事業者が有する秘密鍵（製造秘密鍵と呼ぶ）に対応付けられる公開鍵である。
【0031】
製造設定装置（図示せず）は、製造クレデンシャルＣＩｍのデータをプリンタ１００に送信する。プリンタ１００のプロセッサ１１０は、ランダムな値を使用してシークレットＳＣを生成し、シークレットＳＣと製造クレデンシャルＣＩｍとを使用して、最終的なクレデンシャルを生成する（デバイスクレデンシャルとも呼ぶ）。図２（Ｃ）は、デバイスクレデンシャルの例を示している。デバイスクレデンシャルＣＩ（単に、クレデンシャルＣＩとも呼ぶ）は、製造クレデンシャルＣＩｍ（図２（Ａ））に含まれる情報ＰＩ、ＲＳＩ、ＧＵＩＤ、ＤＩと同じ情報を含む。クレデンシャルＣＩは、更に、公開鍵ハッシュＰＫＨと、シークレットＳＣと、を含む。公開鍵ハッシュＰＫＨは、公開鍵ＰＫｍ（図２（Ａ））を所定のハッシュ関数を使用して変換することによって得られるハッシュ値である。プロセッサ１１０は、クレデンシャルＣＩのデータを、不揮発性記憶装置１３０に格納する。
【0032】
プリンタ１００のプロセッサ１１０は、更に、ＨＭＡＣ（Keyed-Hashing for Message Authentication Code）を生成する。本実施例では、プロセッサ１１０は、シークレットＳＣを秘密鍵として使用し、製造クレデンシャルＣＩｍをメッセージとして使用することによって、ＨＭＡＣを算出する。プロセッサ１１０は、生成したＨＭＡＣを製造設定装置に送信する。
【0033】
製造設定装置は、製造クレデンシャルＣＩｍとＨＭＡＣを使用して、バウチャーを生成する。図２（Ｄ）は、バウチャーの例を示している。バウチャーＶＣは、バウチャーヘッダＶＨを含んでいる。バウチャーヘッダＶＨは、上述した情報ＰＩ、ＲＳＩ、ＧＵＩＤ、ＤＩ、ＰＫｍ、ＨＭＡＣを含んでいる。バウチャーＶＣは、さらに、１以上のエントリ（例えば、第１エントリＥＴ１）を含み得る。エントリは、オーナーの変更（すなわち、所有権の移転）を示している。ただし、この段階では、バウチャーＶＣは、エントリを含んでいない。
【0034】
以上のように、ＦＤＯプロトコルのＤＩの処理によって、バウチャーＶＣ（図２（Ｄ））が生成され、プリンタ１００の不揮発性記憶装置１３０にクレデンシャルＣＩ（図２（Ｃ））が格納される。以下、製造工程で不揮発性記憶装置１３０に格納されるクレデンシャルを、初期クレデンシャルとも呼ぶ。初期クレデンシャルに対応するバウチャーヘッダを、初期ヘッダとも呼ぶ。
【0035】
図２（Ｅ）は、初期クレデンシャルの例を示している。本実施例では、仲介サーバ情報ＲＳＩは、第２仲介サーバ２００Ｂのための第２位置情報ＲＳｂのみを含むこととする。ＧＵＩＤは、ＧＵＩＤ０であることとする。公開鍵ハッシュＰＫＨの算出に使用される公開鍵は、ＰＫｍａであることとする。プリンタ１００の不揮発性記憶装置１３０には、初期クレデンシャルＣＩ１が格納される。
【0036】
製造事業者は、初期クレデンシャルＣＩ１に対応する初期ヘッダＶＨｉ１のデータと、製造秘密鍵ＳＫｍのデータとを、管理事業者に提供する。管理事業者は、初期ヘッダＶＨｉ１と製造秘密鍵ＳＫｍとを、バウチャーデータベースＤ４に登録する（詳細は、後述）。
【0037】
本実施例では、第１サービス事業者は、製造事業者に、プリンタ１００を発注することとする。第１サービス事業者は、第１サービス事業者の秘密鍵に対応付けられる公開鍵のデータを、製造事業者に提供する。製造事業者は、発注に応じて、図示しない発注処理装置（例えば、コンピュータ）を使用して、プリンタ１００の新しいオーナーが第１サービス事業者であることを示すエントリを、バウチャーＶＣ（ここでは、初期ヘッダＶＨｉ１）に追加する。図２（Ｄ）の第１エントリＥＴ１は、バウチャーＶＣに追加されるエントリの例を示している。第１エントリＥＴ１は、公開鍵ＰＫｓ１と、署名ＳＤ１と、を含んでいる。公開鍵ＰＫｓ１は、新オーナー（ここでは、第１サービス事業者）の秘密鍵に対応付けられる公開鍵である。署名ＳＤ１は、公開鍵ＰＫｓ１を含む情報を旧オーナー（ここでは、製造事業者）の秘密鍵を使用して暗号化することによって得られる。１個のエントリは、所有権の１回の移転を示している。所有権の移転がＮ回（Ｎは、ゼロ以上の整数）行われる場合、バウチャーＶＣは、Ｎ個のエントリを含む。最後のエントリの公開鍵に対応付けられるオーナーが、最新のオーナーである。後述するように、バウチャーは、最新のオーナーに対応付けられるサービスサーバとの通信に、使用される。すなわち、エントリは、サービスサーバに対応付けられている。
【0038】
製造事業者は、発注処理装置（図示せず）を使用して、バウチャーＶＣに第１サービス事業者を示すエントリを追加する。これにより生成されるバウチャーを、第１バウチャーと呼ぶ。図２（Ｆ）は、第１バウチャーの例を示している。第１バウチャーＶＣ１ａは、バウチャーヘッダＶＨ（初期ヘッダＶＨｉ１）と第１エントリＥＴ１とを含んでいる。第１バウチャーＶＣ１ａの情報ＰＩ、ＲＳＩ、ＧＵＩＤ、ＤＩは、初期クレデンシャルＣＩ１（図２（Ｅ））のものと同じである。公開鍵ＰＫｍは、ＰＫｍａである。また、ＨＭＡＣは、ＨＭＡＣａであることとする。第１エントリＥＴ１の公開鍵ＰＫｓ１（すなわち、第１サービス事業者の公開鍵）は、ＰＫｓａであることとする。
【0039】
ここで、クレデンシャルの符号とバウチャーの符号とを、以下のように設定することとする。クレデンシャルの符号は、文字列「ＣＩ」とそれに続く番号とを含むこととする。バウチャーの符号は、文字列「ＶＣ」とそれに続く番号とを含むこととする。互いに対応付けられるクレデンシャルとバウチャーとには、同じ番号を含む符号が付与される。例えば、同じ「１」を含む符号で参照されるクレデンシャルＣＩ１とバウチャーＶＣ１ａとは、互いに対応付けられている。本実施例では、クレデンシャルとバウチャーとは、公開鍵ＰＫｍによって、対応付けられる。また、バウチャーの符号の番号の後には、さらに、以下に示すエントリを示す文字が続くこととする。
「ａ」：第１サービス事業者（ここでは、第１サービスサーバ３００Ａ）
「ｂ」：第２サービス事業者（ここでは、第２サービスサーバ３００Ｂ）
「ｖ」と「ｗ」：管理事業者（ここでは、ベンダサーバ４００）
第１バウチャーＶＣ１ａは、第１サービスサーバ３００Ａのためのエントリを含んでいる。
「ａ」：第１サービス事業者（ここでは、第１サービスサーバ３００Ａ）
「ｂ」：第２サービス事業者（ここでは、第２サービスサーバ３００Ｂ）
「ｖ」と「ｗ」：管理事業者（ここでは、ベンダサーバ４００）
第１バウチャーＶＣ１ａは、第１サービスサーバ３００Ａのためのエントリを含んでいる。
【0040】
発注処理装置（図示省略）は、プリンタ１００のシリアル番号ＳＩＤ０と第１バウチャーＶＣ１ａとのそれぞれのデータを、第１サービス事業者に提供する。また、製造事業者は、プリンタ１００を、第１サービス事業者に納品する。
【0041】
第１サービス事業者は、シリアル番号ＳＩＤ０と第１バウチャーＶＣ１ａとのそれぞれのデータを、第１サービスサーバ３００ＡのサービステーブルＴ３Ａに登録する。図２（Ｇ）は、サービステーブルＴ３Ａの例を示している。サービステーブルＴ３Ａは、互いに対応付けられるシリアル番号ＳＩＤとバウチャーＶＣと格納する。図示するように、シリアル番号ＳＩＤ０と第１バウチャーＶＣ１ａとの組み合わせが登録されている。
【0042】
Ａ３．設定処理（オンボーディングの処理）：
図４－図６は、設定処理の例を示すシーケンス図である。本実施例では、第１ユーザが、第１サービス事業者と第１サービスの利用契約を結び、プリンタ１００の使用を開始することとする。図４－図６は、プリンタ１００の利用契約に応じて実行される処理の例を示している。図中には、装置１００、２００Ａ、２００Ｂ、３００Ａ、３００Ｂ、４００の種々のステップが示されている。これらのステップは、装置１００、２００Ａ、２００Ｂ、３００Ａ、３００Ｂ、４００のプロセッサ１１０、２１０、３１０、４１０によって、それぞれ実行される。以下、装置１００、２００Ａ、２００Ｂ、３００Ａ、３００Ｂ、４００のプロセッサ１１０、２１０、３１０、４１０が処理を実行することを、単に、装置１００、２００Ａ、２００Ｂ、３００Ａ、３００Ｂ、４００が処理を実行する、とも表現する。
図４－図６は、設定処理の例を示すシーケンス図である。本実施例では、第１ユーザが、第１サービス事業者と第１サービスの利用契約を結び、プリンタ１００の使用を開始することとする。図４－図６は、プリンタ１００の利用契約に応じて実行される処理の例を示している。図中には、装置１００、２００Ａ、２００Ｂ、３００Ａ、３００Ｂ、４００の種々のステップが示されている。これらのステップは、装置１００、２００Ａ、２００Ｂ、３００Ａ、３００Ｂ、４００のプロセッサ１１０、２１０、３１０、４１０によって、それぞれ実行される。以下、装置１００、２００Ａ、２００Ｂ、３００Ａ、３００Ｂ、４００のプロセッサ１１０、２１０、３１０、４１０が処理を実行することを、単に、装置１００、２００Ａ、２００Ｂ、３００Ａ、３００Ｂ、４００が処理を実行する、とも表現する。
【0043】
Ｓ１１０では、第１サービスサーバ３００Ａは、更新用バウチャーの登録指示を、ベンダサーバ４００に送信する。この指示は、プリンタ１００に対応付けられる第１バウチャーＶＣ１ａと、プリンタ１００のシリアル番号ＳＩＤ０と、のそれぞれのデータを含んでいる。
【0044】
Ｓ１１５では、第１サービス事業者は、プリンタ１００を第１ユーザに送付する。この段階では、プリンタ１００の不揮発性記憶装置１３０には、初期クレデンシャルＣＩ１（ＲＳＩ＝ＲＳｂ、ＧＵＩＤ０）が格納されている。
【0045】
Ｓ１２０では、ベンダサーバ４００は、第１バウチャーＶＣ１ａを検証する。ベンダサーバ４００は、この検証により、第１バウチャーＶＣ１ａが改ざんされていないことを確認する。検証方法は、種々の方法であってよい。例えば、ベンダサーバ４００は、以下に説明する簡易検証を行ってよい。ベンダサーバ４００の不揮発性記憶装置４３０には、製造事業者の公開鍵ＰＫｍａのデータが、予め格納される。ベンダサーバ４００は、第１バウチャーＶＣ１ａ（図２（Ｆ））のバウチャーヘッダＶＨに含まれる公開鍵ＰＫｍが製造事業者の公開鍵ＰＫｍａと同じである場合に、バウチャーヘッダＶＨの検証に成功したと判断する。ベンダサーバ４００は、バウチャーヘッダＶＨに含まれる公開鍵ＰＫｍを使用して、第１エントリＥＴ１の署名ＳＤ１を検証する。バウチャーに複数のエントリが含まれる場合、検証済のエントリに含まれる公開鍵を使用して次のエントリの署名を検証する処理が、繰り返される。以上により、全てのエントリが検証される。ヘッダＶＨと全てのエントリのそれぞれの検証が成功する場合、第１バウチャーＶＣ１ａの検証が成功する。なお、バウチャーの検証方法は、これに代えて、ＦＤＯ仕様書の「Transfer Ownership Protocol 2 (TO2)」の解説で説明されているＦＤＯデバイスによるバウチャーの検証方法と同じであってよい。
【0046】
また、後述するように、バウチャーデータベースＤ４（図３（Ａ））には、検証済のバウチャーＶＣに含まれるエントリの数ＮＥが、登録される。ベンダサーバ４００は、処理対象のバウチャーＶＣ１ａに含まれるエントリの総数と、バウチャーデータベースＤ４中で処理対象のシリアル番号ＳＩＤ０に対応付けられるエントリ数ＮＥと、を比較する（エントリ数ＮＥが登録されていない場合、ＮＥ＝ゼロであることとする）。仮に２つのオーナーが同じシリアル番号ＳＩＤに対応付けられる場合、より大きいエントリ数に対応付けられるオーナーが、より新しいオーナーである。ベンダサーバ４００は、処理対象のバウチャーに含まれるエントリの総数が、バウチャーデータベースＤ４に登録済のエントリ数ＮＥ以下である場合には、バウチャーの検証に失敗したと判断してよい。これにより、旧オーナーのバウチャーＶＣを使用する不適切な処理の進行の可能性は、低減する。
【0047】
ベンダサーバ４００は、バウチャーの検証（図４：Ｓ１２０）に失敗する場合、設定処理を終了する（図示省略）。本実施例では、第１バウチャーＶＣ１ａの検証に成功することとする。
【0048】
第１バウチャーＶＣ１ａの検証に成功する場合、Ｓ１２５（図４）で、ベンダサーバ４００は、更新用バウチャーＶＣ１ｕを生成する。本実施例では、ベンダサーバ４００は、ランダムな値を使用して秘密鍵を生成し、秘密鍵に対応付けられる公開鍵を算出する。ベンダサーバ４００は、算出した公開鍵と、シリアル番号ＳＩＤ０に対応付けられる製造秘密鍵ＳＫｍ（図３（Ａ））とを使用して、ベンダサーバ４００を示すエントリを生成する。ベンダサーバ４００は、生成したエントリを、シリアル番号ＳＩＤ０に対応付けられる初期ヘッダＶＨｉ１（図３（Ａ））に追加することによって、更新用バウチャーＶＣ１ｕを生成する。上述したように、シリアル番号ＳＩＤ０に対応付けられる製造秘密鍵ＳＫｍと初期ヘッダＶＨｉ１とは、バウチャーデータベースＤ４（図３（Ａ））に登録済である。
【0049】
Ｓ１３０で、ベンダサーバ４００は、バウチャーデータベースＤ４を更新する。図３（Ａ）は、バウチャーデータベースＤ４の例を示している。バウチャーデータベースＤ４は、プリンタ名ＰＮと、シリアル番号ＳＩＤと、ＧＵＩＤと、バウチャーＶＣと、バウチャーヘッダＶＨの公開鍵ＰＫｍとＨＭＡＣと、初期ヘッダＶＨｉと製造秘密鍵ＳＫと、検証済のオーナーＯＷとそのエントリ数ＮＥと、オーナーの情報（公開鍵ＰＫｓと接続情報ＩＸ）と、の対応関係を示している。第１行Ｄ４１は、Ｓ１３０で更新済のプリンタ１００の情報を示している。
【0050】
情報ＰＮ、ＳＩＤ、ＧＵＩＤ、ＶＣ、ＶＨｉ、ＳＫは、製造事業者によってバウチャーＶＣが生成される場合に、予め登録される。上述したように、製造事業者は、サービス事業者からの発注に応じて、最新のオーナーがそのサービス事業者であることを示すバウチャーＶＣ（例えば、第１バウチャーＶＣ１ａ（図２（Ｆ）））を生成する。管理事業者は、製造事業者からそのバウチャーＶＣと他の情報ＰＮ、ＳＩＤ、ＶＨｉ、ＳＫを取得し、バウチャーデータベースＤ４に情報ＰＮ、ＳＩＤ、ＧＵＩＤ、ＶＣ、ＶＨｉ、ＳＫを登録する。第１行Ｄ４１の情報ＳＩＤ０、ＧＵＩＤ０、ＶＣ１ａ、ＶＨｉ１、ＳＫｍは、Ｓ１１０で取得されたシリアル番号ＳＩＤ０（すなわち、プリンタ１００）に対応付けられる情報を、それぞれ示している。Ｓ１３０では、ベンダサーバ４００は、第１行Ｄ４１の他の情報を、更新する。
【0051】
バウチャーヘッダＶＨの公開鍵ＰＫｍとＨＭＡＣとは、検証済のバウチャーＶＣから取得される。第１行Ｄ４１の情報ＰＫｍａとＨＭＡＣａは、第１バウチャーＶＣ１ａ（図２（Ｆ））から取得される。
【0052】
検証済のオーナーＯＷとエントリ数ＮＥとは、検証済のバウチャーＶＣによって示される最新のオーナーと、検証済のバウチャーＶＣのエントリの総数と、を示している。第１行Ｄ４１のオーナーＯＷは、第１サービス事業者に対応付けられる情報ＯＷａを示している。（エントリ数は、１である）。オーナーＯＷは、オーナーを示す種々の情報であってよい。例えば、オーナーの識別情報（例えば、名称、識別番号など）が、オーナーＯＷとして登録されてよい。オーナーの識別情報は、サービスサーバからの更新バウチャー登録指示（例えば、Ｓ１１０（図４））に含まれてよい。これに代えて、登録指示の送信装置（例えば、サービスサーバ３００Ａ）に予め対応付けられる情報が、オーナーの識別情報として使用されてよい。
【0053】
オーナー情報の公開鍵ＰＫｓは、最新のオーナーの公開鍵であり、検証済のバウチャーＶＣの最後のエントリに含まれる。第１行Ｄ４１（図３（Ａ））の公開鍵ＰＫｓａは、第１バウチャーＶＣ１ａ（図２（Ｆ））の第１エントリＥＴ１から取得される。
【0054】
オーナー情報の接続情報ＩＸは、オーナーのサービスサーバとの接続のための接続情報である。第１行Ｄ４１の接続情報ＩＸは、第１サービスサーバ３００Ａに対応付けられる接続情報ＩＸａを示している。図２（Ｈ）は、接続情報の例を示している。接続情報ＩＸは、位置情報（例えば、ＩＰアドレス、ＵＲＬなど）と、ポート番号と、プロトコルと、を含む。バウチャーデータベースＤ４に登録される接続情報ＩＸは、サービスサーバからの更新バウチャー登録指示（例えば、Ｓ１１０（図４））に含まれてよい。これに代えて、登録指示の送信装置（例えば、サービスサーバ３００Ａ）に予め対応付けられる情報が、接続情報ＩＸとして使用されてよい。
【0055】
以上のように、Ｓ１３０（図４）では、ベンダサーバ４００は、Ｓ１１０で取得されるバウチャーとシリアル番号ＳＩＤを使用して、情報ＰＫｍ、ＨＭＡＣ、ＯＷ、ＮＥ、ＰＫｓ、ＩＸを含む情報を、バウチャーデータベースＤ４に登録する。なお、ベンダサーバ４００は、更に、他の情報（例えば、情報ＧＵＩＤ、ＶＣ）を、検証済の第１バウチャーＶＣ１ａに含まれる情報に更新してよい。
【0056】
Ｓ１３５では、ベンダサーバ４００は、更新用バウチャーＶＣ１ｕと接続情報ＩＸｕ０との登録指示を、第２仲介サーバ２００Ｂに送信する。Ｓ１３５は、ＦＤＯプロトコルの「Transfer Ownership Protocol 0 (TO0)」に従って、行われる。接続情報ＩＸｕ０は、ベンダサーバ４００との接続のための接続情報である（図２（Ｈ））。以下、接続情報ＩＸｕ０を、ベンダ接続情報ＩＸｕ０とも呼ぶ。ベンダサーバ４００は、自身の現行の位置情報を使用して、ベンダ接続情報ＩＸｕ０を生成する。これに代えて、ベンダ接続情報ＩＸｕ０は、予め決められてよい。
【0057】
Ｓ１４０（図４）では、第２仲介サーバ２００Ｂは、更新用バウチャーＶＣ１ｕに含まれるＧＵＩＤ０と、ベンダ接続情報ＩＸｕ０とを、接続情報テーブルＴ２Ｂに登録する。図２（Ｉ）は、接続情報テーブルＴ２Ｂの例を示している。接続情報テーブルＴ２Ｂは、ＧＵＩＤと接続情報ＩＸとの対応関係を示している。第１行Ｄ２Ｂ１は、Ｓ１４０で登録されるＧＵＩＤ０と接続情報ＩＸｕ０を示している。
【0058】
第１ユーザは、第１サービス事業者からプリンタ１００を受け取る（図４：１１５）。その後、Ｓ１４５で、第１ユーザは、プリンタ１００の電源を投入する。本実施例では、プリンタ１００は、電源投入を、ネットワークＩＴへの接続指示として扱う。プリンタ１００は、接続指示に応じて、Ｓ１９０を実行する。
【0059】
Ｓ１９０（Ｓ１９３、Ｓ１９６を含む）では、プリンタ１００は、ＦＤＯプロトコルの「Transfer Ownership Protocol 1 (TO1)」に従って、第２仲介サーバ２００Ｂからベンダ接続情報ＩＸｕ０を取得する。Ｓ１９３では、プリンタ１００は、不揮発性記憶装置１３０から最新のクレデンシャルＣＩ１の仲介サーバ情報ＲＳＩ（ここでは、第２位置情報ＲＳｂ）とＧＵＩＤ０とを取得する。プリンタ１００は、ＧＵＩＤ０のデータを、第２位置情報ＲＳｂによって示される第２仲介サーバ２００Ｂに送信する。Ｓ１９６では、第２仲介サーバ２００Ｂは、接続情報テーブルＴ２Ｂ（図２（Ｉ））を参照し、そして、ＧＵＩＤ０に対応付けられるベンダ接続情報ＩＸｕ０のデータを、プリンタ１００に送信する。プリンタ１００は、取得したベンダ接続情報ＩＸｕ０のデータを、記憶装置１１５（例えば、不揮発性記憶装置１３０）に格納する。
【0060】
Ｓ２００では、プリンタ１００は、ＦＤＯプロトコルの「Transfer Ownership Protocol 2 (TO2)」に従って、ベンダ接続情報ＩＸｕ０によって示されるベンダサーバ４００との接続を行う。Ｓ２００は、Ｓ２０１、Ｓ２０２、Ｓ２０３、Ｓ２０４、Ｓ２０６を含んでいる。
【0061】
Ｓ２０１では、プリンタ１００は、不揮発性記憶装置１３０に格納されている最新のクレデンシャルＣＩ１に含まれるＧＵＩＤ０のデータを、ベンダサーバ４００に送信する。Ｓ２０２では、ベンダサーバ４００は、ＧＵＩＤ０に対応付けられる更新用バウチャーＶＣ１ｕのデータを、プリンタ１００に送信する。プリンタ１００は、更新用バウチャーＶＣ１ｕのデータを取得する。
【0062】
Ｓ２０３では、バウチャーの検証と、プリンタ１００とベンダサーバ４００との正当性の検証と、が行われる。本実施例では、ＦＤＯ仕様書のＴＯ２の解説で説明されている検証が行われる。Ｓ２０２では、ベンダサーバ４００は、更新用バウチャーＶＣ１ｕのデータに加えて、メッセージ署名のデータを、プリンタ１００に送信する。メッセージ署名は、更新用バウチャーＶＣ１ｕの一部を含む特定のメッセージを、秘密鍵を使用して暗号化することによって取得される。この秘密鍵は、更新用バウチャーＶＣ１ｕのエントリ（Ｓ１２５）に含まれる公開鍵に対応付けられる秘密鍵である。Ｓ２０３では、プリンタ１００は、最新のクレデンシャルＣＩ１（図２（Ｅ））の公開鍵ハッシュＰＫＨを使用して、更新用バウチャーＶＣ１ｕのバウチャーヘッダに含まれる公開鍵を検証する。プリンタ１００は、検証済のバウチャーヘッダに含まれる公開鍵を使用して、第１エントリの署名を検証する。バウチャーが複数のエントリを含む場合には、検証済のエントリの公開鍵を使用して次のエントリの署名を検証する処理が、繰り返される。プリンタ１００は、検証済の最後のエントリ（本実施例では、第１エントリ）に含まれる公開鍵を使用して、メッセージ署名を検証する。以上により、更新用バウチャーＶＣ１ｕが検証される。また、プリンタ１００とベンダサーバ４００とは、予め決められたフォーマットの情報（例えば、ＥＡＴ（Entity Attestation Token））を使用して、互いにの正当性を検証する。本実施例では、これらの検証に成功することとする。なお、Ｓ２００では、バウチャーの検証と、プリンタ１００とベンダサーバ４００との正当性の検証と、の一方、または、両方が、省略されてよい。
【0063】
Ｓ２０４では、ベンダサーバ４００は、クレデンシャルの更新のための新情報を、プリンタ１００に送信する。本実施例では、ベンダサーバ４００は、公開鍵ＰＫｍと仲介サーバ情報ＲＳＩとを新たに生成する。ベンダサーバ４００は、ランダムな値を使用して秘密鍵を生成し、秘密鍵に対応付けられる公開鍵ＰＫｍを算出する（以下、算出される公開鍵ＰＫｍがＰＫｍｂであることとする）。ベンダサーバ４００は、第１仲介サーバ２００Ａを示す第１位置情報ＲＳａのみを含む仲介サーバ情報ＲＳＩを生成する。ベンダサーバ４００は、新情報ＰＫｍｂ、ＲＳＩを示すデータを、プリンタ１００に送信する。プリンタ１００は、不揮発性記憶装置１３０に格納されている最新のクレデンシャルＣＩ１に新情報ＰＫｍｂ、ＲＳＩを適用することによって、更新済のクレデンシャルＣＩ２を生成する（第２クレデンシャルＣＩ２と呼ぶ）。プリンタ１００は、第２クレデンシャルＣＩ２を、不揮発性記憶装置１３０に格納する。図３（Ｂ）は、第２クレデンシャルＣＩ２の例を示している。公開鍵ハッシュＰＫＨは、新しい公開鍵ＰＫｍｂから算出される。なお、本実施例では、プリンタ１００は、初期クレデンシャルＣＩ１を削除せずに、維持する。
【0064】
Ｓ２０６（図４）では、プリンタ１００は、シークレットＳＣと第２クレデンシャルＣＩ２とを使用して、ＨＭＡＣを生成する。プロセッサ１１０は、生成したＨＭＡＣのデータを、ベンダサーバ４００に送信する。
【0065】
Ｓ２１０では、ベンダサーバ４００は、Ｓ２０４で生成された新情報と、Ｓ２０６で取得されるＨＭＡＣと、を使用して、新バウチャーヘッダを生成する。新バウチャーヘッダの複数の要素のうち、新情報と新たなＨＭＡＣと以外の要素（例えば、プロトコル情報ＰＩ）は、Ｓ２０１で取得されるＧＵＩＤ０（以下、第１現行ＧＵＩＤ０とも呼ぶ）に対応する検証済の第１バウチャーＶＣ１ａの対応する要素と同じ値に設定されてよい。
【0066】
Ｓ２１５では、ベンダサーバ４００は、バウチャーデータベースＤ４（図３（Ａ））を参照し、第１現行ＧＵＩＤ０に対応付けられるオーナーの公開鍵ＰＫｓａを取得する。ベンダサーバ４００は、取得した公開鍵ＰＫｓａと、Ｓ２０４で生成した秘密鍵と、を使用して、第１現行ＧＵＩＤ０に対応付けられる第１サービス事業者を示すエントリを生成する。ベンダサーバ４００は、生成したエントリを新バウチャーヘッダと組み合わせることによって、新バウチャーＶＣ２ａを生成する（第２バウチャーＶＣ２ａとも呼ぶ）。図３（Ｃ）は、第２バウチャーＶＣ２ａの例を示している。第１エントリＥＴ１は、第１サービスサーバ３００Ａのオーナーを示している。第２バウチャーＶＣ２ａは、Ｓ２００（図４）でプリンタ１００によって生成される第２クレデンシャルＣＩ２（図３（Ｂ））に、対応している。
【0067】
Ｓ２２０（図４）では、ベンダサーバ４００は、バウチャーデータベースＤ４（図３（Ａ））を、更新する。本実施例では、ベンダサーバ４００は、新たにバウチャーが生成される場合、第１現行ＧＵＩＤ０に対応付けられるオーナーに関連する情報ＯＷ、ＮＥ、ＰＫｓ、ＩＸを削除する。図３（Ｄ）は、バウチャーデータベースＤ４のシリアル番号ＳＩＤ０に対応付けられるオーナーに関連する情報ＯＷ、ＮＥ、ＰＫｓ、ＩＸの変化を示している。図中には、Ｓ１３０、Ｓ２２０、Ｓ３３０のそれぞれにおける更新済の情報が、示されている（Ｓ３３０については、後述）。図示するように、Ｓ２２０では、Ｓ１３０で設定された情報ＯＷａ（ＮＥ＝１）、ＰＫｓａ、ＩＸａが、削除される。なお、ベンダサーバ４００は、他の情報（例えば、情報ＧＵＩＤ、ＶＣ、ＰＫｍ、ＨＭＡＣ）を、Ｓ２００、Ｓ２１０、Ｓ２１５で取得される情報に更新してよい。
【0068】
Ｓ２２５では、ベンダサーバ４００は、第１現行ＧＵＩＤ０に対応付けられるオーナーＯＷａ（第１サービス事業者）の第１サービスサーバ３００Ａに、第２バウチャーＶＣ２ａのデータを送信する。第１サービスサーバ３００Ａは、取得した第２バウチャーＶＣ２ａのデータを、不揮発性記憶装置３３０に格納する。
【0069】
Ｓ２２５において、第１現行ＧＵＩＤ０に対応付けられるサービスサーバを特定する方法は、任意の方法であってよい。例えば、ベンダサーバ４００は、Ｓ２２０による更新前のバウチャーデータベースＤ４（図３（Ａ））から、第１現行ＧＵＩＤ０に対応付けられる接続情報ＩＸａを予め取得してよい。接続情報ＩＸａは、第１現行ＧＵＩＤ０に対応付けられる第１サービスサーバ３００Ａを示している。
【0070】
Ｓ２３０では、ベンダサーバ４００は、ＦＤＯプロトコルの「Transfer Ownership Protocol 0 (TO0)」に従って、第２バウチャーＶＣ２ａと接続情報ＩＸａとの登録指示を、第１仲介サーバ２００Ａに送信する。接続情報ＩＸａは、Ｓ２２０による更新前のバウチャーデータベースＤ４（図３（Ａ））から、予め取得可能である。
【0071】
Ｓ２３５では、第１仲介サーバ２００Ａは、第２バウチャーＶＣ２ａに含まれるＧＵＩＤ０と、接続情報ＩＸａとを、接続情報テーブルＴ２Ａに登録する。図３（Ｅ）は、接続情報テーブルＴ２Ａの例を示している。接続情報テーブルＴ２Ａは、接続情報テーブルＴ２Ｂ（図２（Ｉ））と同様に、ＧＵＩＤと接続情報ＩＸとの対応関係を示している。第１行Ｄ２Ａ１は、Ｓ２３５で登録されるＧＵＩＤ０と接続情報ＩＸａを示している。
【0072】
プリンタ１００は、図４のＳ２００（ＴＯ２の処理）の後、Ｓ２４０（図５）で、再び、ＴＯ１の処理を実行する。本実施例では、前回のＴＯ２の処理（ここでは、図４のＳ２００）の後、新たなサービスのための設定が行われていない場合（例えば、新たなサービスに使用されるサービス情報が不揮発性記憶装置１３０に格納されていない場合）、プリンタ１００は、自発的に、ＴＯ１の処理を実行する。これに代えて、ベンダサーバ４００は、Ｓ２００で、プリンタ１００に、ＴＯ１の処理の実行を指示してよい。
【0073】
Ｓ２４０（Ｓ２４３、Ｓ２４６を含む）では、Ｓ１９０（図４）とは異なり、初期クレデンシャルＣＩ１の代わりに最新の第２クレデンシャルＣＩ２が参照される。第２クレデンシャルＣＩ２の仲介サーバ情報ＲＳＩ（ここでは、第１位置情報ＲＳａ）は、第１仲介サーバ２００Ａを示している。Ｓ２４３では、プリンタ１００は、第２クレデンシャルＣＩ２に含まれるＧＵＩＤ０のデータを、第１仲介サーバ２００Ａに送信する。Ｓ２４６では、第１仲介サーバ２００Ａは、接続情報テーブルＴ２Ａ（図３（Ｅ））を参照して、ＧＵＩＤ０に対応付けられる接続情報ＩＸａのデータを、プリンタ１００に送信する。
【0074】
Ｓ２５０（Ｓ２５１、Ｓ２５２、Ｓ２５３を含む）では、プリンタ１００は、接続情報ＩＸａによって示される第１サービスサーバ３００Ａとの接続のためのＴＯ２の処理を実行する。Ｓ２５０では、Ｓ２００（図４）とは異なり、初期クレデンシャルＣＩ１の代わりに最新の第２クレデンシャルＣＩ２が参照され、第１バウチャーＶＣ１ａの代わりに第２バウチャーＶＣ２ａが参照され、接続情報ＩＸａによって示されるサーバは、第１サービスサーバ３００Ａである。
【0075】
Ｓ２５１では、プリンタ１００は、第２クレデンシャルＣＩ２に含まれるＧＵＩＤ０のデータを、第１サービスサーバ３００Ａに送信する。Ｓ２５２では、第１サービスサーバ３００Ａは、ＧＵＩＤ０を示す第２バウチャーＶＣ２ａのデータと、メッセージ署名のデータとを、プリンタ１００に送信する。メッセージ署名は、第２バウチャーＶＣ２ａのエントリＥＴ１（図４：Ｓ２１５）に含まれる公開鍵ＰＫｓａに対応付けられる秘密鍵を使用して、生成される。プリンタ１００は、第２バウチャーＶＣ２ａとメッセージ署名のデータを取得する。
【0076】
Ｓ２５３では、プリンタ１００は、第２クレデンシャルＣＩ２と第２バウチャーＶＣ２ａとを使用する検証を行う。本実施例では、Ｓ２５３でのバウチャーの検証方法は、ＦＤＯ仕様書のＴＯ２の解説で説明されているＦＤＯデバイスによるバウチャーの検証方法と同じである。この検証では、第２クレデンシャルＣＩ２（図３（Ｂ）））の公開鍵ハッシュＰＫＨを使用して、第２バウチャーＶＣ２ａ（図３（Ｃ））のヘッダＶＨの公開鍵ＰＫｍが検証される。検証済の公開鍵ＰＫｍを使用して、第２バウチャーＶＣ２ａのエントリＥＴ１の署名ＳＤ１が検証される。検証済のエントリＥＴ１の公開鍵ＰＫｓ１を使用して、メッセージ署名が検証される。図４のＳ２１５で説明したように、第２バウチャーＶＣ２ａは、第２クレデンシャルＣＩ２に対応している。従って、バウチャーＶＣ２ａの検証は成功する。また、プリンタ１００と第１サービスサーバ３００Ａとの正当性の検証も成功することとする。これらの検証の成功により、プリンタ１００は、第１サービスサーバ３００Ａとのサービスのための接続を確立する。そして、プリンタ１００と第１サービスサーバ３００Ａとは、第１サービスのための処理を開始する。
【0077】
第１サービスのための処理は、種々の処理を含み得る。例えば、プリンタ１００と第１サービスサーバ３００Ａとは、サービスに使用されるサービス情報を交換する。プリンタ１００は、第１サービスサーバ３００Ａから取得した第１サービス情報を、不揮発性記憶装置１３０に格納する。第１サービスサーバ３００Ａは、プリンタ１００から取得した第２サービス情報を、不揮発性記憶装置３３０に格納する。第１サービス情報と第２サービス情報とは、サービスに使用される任意の情報であってよい（例えば、通信用のトークン、通信プロトコル、サービス用の識別番号、など）。
【0078】
Ｓ２５０の後、Ｓ２５５で、プリンタ１００を使用するサービスを第１サービスから第２サービスへ変更するための手続きが行われることとする。例えば、第１ユーザは、プリンタ１００を、第２サービスを希望する第２ユーザに譲渡する。第１ユーザ、または、第２ユーザは、第１サービスから第２サービスへの変更を、第１サービス事業者と第２サービス事業者とに通知する。
【0079】
Ｓ２６０では、第１ユーザは、プリンタ１００の操作部１５０を操作することにより、ファクトリリセットの指示を入力する。Ｓ２６５では、プリンタ１００は、指示に応じて、リセット処理を実行する。本実施例では、プリンタ１００は、サービスのための第１サービス情報を、不揮発性記憶装置１３０から削除する。また、プリンタ１００は、クレデンシャルを初期化する。具体的には、プリンタ１００は、初期クレデンシャルＣＩ１以外のクレデンシャル（ここでは、第２クレデンシャルＣＩ２）を、不揮発性記憶装置１３０から削除する。これにより、最新のクレデンシャルは、初期クレデンシャルＣＩ１になる。
【0080】
Ｓ２７０では、第１ユーザは、プリンタ１００を第１サービス事業者に返却する。第１サービス事業者は、プリンタ１００を、第２サービス事業者に送付する。第２サービス事業者は、プリンタ１００を、第２ユーザに送付する。なお、第１サービス事業者と第２サービス事業者とのそれぞれによるプリンタ１００の送付は、種々のタイミングで行われてよい。例えば、第１サービス事業者から第２サービス事業者へのプリンタ１００の送付は、後述するＳ２８０よりも後に行われてよい。第２サービス事業者から第２ユーザへのプリンタ１００の送付は、後述するＳ３１０よりも後に行われてよい。なお、第１ユーザは、プリンタ１００を、直接に第２ユーザに送付してよい。
【0081】
Ｓ２７５では、第１サービスサーバ３００Ａは、第２バウチャーＶＣ２ａに、第２サービス事業者を示すエントリを追加する。これにより生成されるバウチャーを、第３バウチャーＶＣ２ａｂと呼ぶ。本実施例では、Ｓ２５５の手続きにおいて、第２サービス事業者は、第２サービス事業者の秘密鍵に対応付けられる公開鍵ＰＫｓｂのデータを、第１サービス事業者に提供する。第１サービスサーバ３００Ａは、この公開鍵ＰＫｓｂを使用して、エントリを生成する。図３（Ｆ）は、第３バウチャーＶＣ２ａｂの例を示している。第３バウチャーＶＣ２ａｂは、第２バウチャーＶＣ２ａ（図３（Ｃ））に第２エントリＥＴ２を追加したものである。第２エントリＥＴ２の公開鍵ＰＫｓ２は、第２サービス事業者の公開鍵ＰＫｓｂである。第２エントリＥＴ２の署名ＳＤ２は、旧オーナーである第１サービス事業者の秘密鍵を使用して、算出される。
【0082】
Ｓ２８０（図５）では、第１サービスサーバ３００Ａは、第３バウチャーＶＣ２ａｂと、プリンタ１００のシリアル番号ＳＩＤ０と、のそれぞれのデータを、第２サービスサーバ３００Ｂに送信する。
【0083】
続くＳ３１０、Ｓ３２０、Ｓ３２５、Ｓ３３０、Ｓ３３５、Ｓ３４０は、図４のＳ１１０、Ｓ１２０、Ｓ１２５、Ｓ１３０、Ｓ１３５、Ｓ１４０と、それぞれ同じ手続きを示している。ただし、使用される情報は、異なり得る。また、第１サービスサーバ３００Ａは、第２サービスサーバ３００Ｂに置換される。
【0084】
Ｓ３１０では、第２サービスサーバ３００Ｂは、更新用バウチャーの登録指示を、ベンダサーバ４００に送信する。この指示は、第３バウチャーＶＣ２ａｂと、プリンタ１００のシリアル番号ＳＩＤ０と、のそれぞれのデータを含んでいる。
【0085】
Ｓ３２０では、ベンダサーバ４００は、第３バウチャーＶＣ２ａｂを検証する。検証方法は、Ｓ１２０（図４）での検証方法と、同じである。ベンダサーバ４００は、第３バウチャーＶＣ２ａｂ（図３（Ｆ））のバウチャーヘッダＶＨとエントリＥＴ１、ＥＴ２を、順に検証する。
【0086】
【0087】
Ｓ３３０では、ベンダサーバ４００は、バウチャーデータベースＤ４（図３（Ａ））を更新する。本実施例では、ベンダサーバ４００は、シリアル番号ＳＩＤ０に対応付けられるオーナーに関連する情報ＯＷ、ＮＥ、ＰＫｓ、ＩＸを、検証済の第３バウチャーＶＣ２ａｂによって示される最新のオーナーに関連する情報に更新する。図３（Ｄ）に示すように、Ｓ３３０による更新後には、オーナーＯＷは、第２サービス事業者を示すオーナーＯＷｂである（エントリ数ＮＥは、２である）。公開鍵ＰＫｓは、第２サービス事業者の公開鍵ＰＫｓｂである。この公開鍵ＰＫｓｂは、検証済のバウチャーＶＣ２ａｂ（図３（Ｆ））の最後のエントリＥＴ２から取得される。接続情報ＩＸは、第２サービス事業者の第２サービスサーバ３００Ｂを示す接続情報ＩＸｂである。この接続情報ＩＸｂは、サービスサーバからの更新バウチャー登録指示（例えば、Ｓ３１０（図５））に含まれてよい。これに代えて、接続情報ＩＸｂは、更新バウチャー登録指示の送信装置（ここでは、第２サービスサーバ３００Ｂ）に予め対応付けられる情報であってい。なお、ベンダサーバ４００は、更に、他の情報（例えば、情報ＧＵＩＤ、ＶＣ、ＰＫｍ、ＨＭＡＣ）を、検証済の第３バウチャーＶＣ２ａｂに含まれる情報に更新してよい。
【0088】
Ｓ３３５（図５）では、ベンダサーバ４００は、ＦＤＯプロトコルのＴＯ０に従って、更新用バウチャーＶＣ１ｗとベンダ接続情報ＩＸｕ０との登録指示を、第２仲介サーバ２００Ｂに送信する。Ｓ３４０では、第２仲介サーバ２００Ｂは、更新用バウチャーＶＣ１ｗに含まれるＧＵＩＤ０と、接続情報ＩＸｕ０とを、接続情報テーブルＴ２Ｂに登録する（図２（Ｉ））。
【0089】
【0090】
続くＳ３９０、Ｓ４００、Ｓ４１０、Ｓ４１５、Ｓ４２０、Ｓ４２５、Ｓ４３０、Ｓ４３５、Ｓ４４０、Ｓ４５０は、図４、図５のＳ１９０、Ｓ２００、Ｓ２１０、Ｓ２１５、Ｓ２２０、Ｓ２２５、Ｓ２３０、Ｓ２３５、Ｓ２４０、Ｓ２５０と、それぞれ同じ手続きを示している。ただし、使用される情報は、異なり得る。また、第１サービスサーバ３００Ａは、第２サービスサーバ３００Ｂに置換される。
【0091】
図６のＳ３９０（Ｓ３９３、Ｓ３９６を含む）では、プリンタ１００は、ＦＤＯプロトコルのＴＯ１の処理を実行する。最新のクレデンシャルＣＩ１は、ＧＵＩＤ０と、第２仲介サーバ２００Ｂを示す第２位置情報ＲＳｂと、を示している。Ｓ３９３では、プリンタ１００は、ＧＵＩＤ０のデータを、第２仲介サーバ２００Ｂに送信する。Ｓ３９６では、第２仲介サーバ２００Ｂは、ＧＵＩＤ０に対応付けられるベンダ接続情報ＩＸｕ０のデータを、プリンタ１００に送信する。
【0092】
Ｓ４００（Ｓ４０１、Ｓ４０２、Ｓ４０３、Ｓ４０４、Ｓ４０６を含む）では、プリンタ１００は、ベンダ接続情報ＩＸｕ０によって示されるベンダサーバ４００との接続を、ＦＤＯプロトコルのＴＯ２に従って行う。Ｓ４０１、Ｓ４０２、Ｓ４０３は、図４のＳ２０１、Ｓ２０２、Ｓ２０３と、それぞれ同じ手続きを示している（図４の更新用バウチャーＶＣ１ｕに代えて、更新用バウチャーＶＣ１ｗが使用される）。Ｓ４０４、Ｓ４０６は、図４のＳ２０４、Ｓ２０６と、それぞれ同じ手続きを示している。Ｓ４０４では、プリンタ１００は、ベンダサーバ４００からの新情報ＰＫｍ、ＲＳＩ（＝ＲＳａ）を最新のクレデンシャルＣＩ１に適用することによって、更新済のクレデンシャルＣＩ３を生成する（第３クレデンシャルＣＩ３と呼ぶ）。プリンタ１００は、第３クレデンシャルＣＩ３を、不揮発性記憶装置１３０に格納する。Ｓ４０６では、プリンタ１００は、シークレットＳＣと第３クレデンシャルＣＩ３とを使用して得られるＨＭＡＣのデータを、ベンダサーバ４００に送信する。
【0093】
Ｓ４１０では、ベンダサーバ４００は、Ｓ４０４で生成された新情報ＰＫｍ、ＲＳＩと、Ｓ４０６で取得されるＨＭＡＣと、を使用して、新バウチャーヘッダを生成する。
【0094】
Ｓ４１５（図６）では、ベンダサーバ４００は、バウチャーデータベースＤ４（図３（Ａ）、図３（Ｄ））を参照し、Ｓ４０１で取得されるＧＵＩＤ０（第２現行ＧＵＩＤ０と呼ぶ）に対応付けられるオーナー（第２サービス事業者）の公開鍵ＰＫｓｂを取得する。ベンダサーバ４００は、取得した公開鍵ＰＫｓｂと、Ｓ４０４で生成した秘密鍵と、を使用して、第２サービス事業者を示すエントリを生成する。ベンダサーバ４００は、生成したエントリを新バウチャーヘッダと組み合わせることによって、新バウチャーＶＣ３ｂを生成する（第４バウチャーＶＣ３ｂとも呼ぶ）。図３（Ｇ）は、第４バウチャーＶＣ３ｂの例を示している。図示するように、第４バウチャーＶＣ３ｂは、第２サービスサーバ３００Ｂのオーナーを示す１個のエントリＥＴ１を含んでいる（第１サービスサーバ３００Ａのためのエントリは、第４バウチャーＶＣ３ｂには含まれない）。また、第４バウチャーＶＣ３ｂは、Ｓ４００（図６）でプリンタ１００によって生成される第３クレデンシャルＣＩ３に、対応している。
【0095】
Ｓ４２０では、ベンダサーバ４００は、バウチャーデータベースＤ４（図３（Ａ））のうち、第２現行ＧＵＩＤ０に対応付けられる情報を、更新する（本実施例では、オーナーに関連する情報ＯＷ、ＮＥ、ＰＫｓ、ＩＸが、削除される）。
【0096】
Ｓ４２５では、ベンダサーバ４００は、第２現行ＧＵＩＤ０に対応付けられる第２サービスサーバ３００Ｂに、第４バウチャーＶＣ３ｂのデータを送信する。第２サービスサーバ３００Ｂは、取得した第４バウチャーＶＣ３ｂのデータを、不揮発性記憶装置３３０に格納する。
【0097】
Ｓ４３０では、ベンダサーバ４００は、ＦＤＯプロトコルのＴＯ０に従って、第４バウチャーＶＣ３ｂと接続情報ＩＸｂとの登録指示を、第１仲介サーバ２００Ａに送信する。接続情報ＩＸｂは、第２現行ＧＵＩＤ０に対応付けられる第２サービスサーバ３００Ｂを示している。接続情報ＩＸｂは、例えば、Ｓ４２０による更新前のバウチャーデータベースＤ４（図３（Ｄ）のＳ３３０の情報）から、予め取得される。Ｓ４３５では、第１仲介サーバ２００Ａは、第４バウチャーＶＣ３ｂに含まれるＧＵＩＤ０と、接続情報ＩＸｂとを、接続情報テーブルＴ２Ａに登録する。
【0098】
続くＳ４４０、Ｓ４５０は、図５のＳ２４０、Ｓ２５０と、それぞれ同じ手続きを示している。ここで、第１サービスサーバ３００Ａは、第２サービスサーバ３００Ｂに置換される。
【0099】
Ｓ４４０（Ｓ４４３、Ｓ４４６を含む）では、プリンタ１００は、接続情報を取得するためのＴＯ１の処理を実行する。最新の第３クレデンシャルＣＩ３は、ＧＵＩＤ０と、第１仲介サーバ２００Ａを示す第１位置情報ＲＳａと、を示している。Ｓ４４３では、プリンタ１００は、ＧＵＩＤ０のデータを、第１仲介サーバ２００Ａに送信する。Ｓ４４６では、第１仲介サーバ２００Ａは、ＧＵＩＤ０に対応付けられる接続情報ＩＸｂのデータを、プリンタ１００に送信する。
【0100】
Ｓ４５０（Ｓ４５１、Ｓ４５２、Ｓ４５３を含む）では、プリンタ１００は、接続情報ＩＸｂによって示される第２サービスサーバ３００Ｂとの接続のためのＴＯ２の処理を実行する。Ｓ４５１では、プリンタ１００は、最新の第３クレデンシャルＣＩ３に含まれるＧＵＩＤ０のデータを、第２サービスサーバ３００Ｂに送信する。Ｓ４５２では、第２サービスサーバ３００Ｂは、ＧＵＩＤ０を示す第４バウチャーＶＣ３ｂとメッセージ署名とのデータを、プリンタ１００に送信する。プリンタ１００は、第４バウチャーＶＣ３ｂとメッセージ署名とのデータを取得する。Ｓ４５３では、プリンタ１００は、第３クレデンシャルＣＩ３と第４バウチャーＶＣ３ｂとを使用する検証を行う。図６のＳ４１５で説明したように、第４バウチャーＶＣ３ｂは、第３クレデンシャルＣＩ３に対応している。従って、この検証は、成功する。また、プリンタ１００と第２サービスサーバ３００Ｂとの正当性の検証も成功することとする。これにより、プリンタ１００は、第２サービスサーバ３００Ｂとのサービスのための接続を確立する。そして、プリンタ１００と第２サービスサーバ３００Ｂとは、第２サービスのための処理を開始する。
【0101】
以上のように、本実施例では、プリンタ１００（図１）は、不揮発性記憶装置１３０を備えている。不揮発性記憶装置１３０は、クレデンシャルＣＩ（例えば、クレデンシャルＣＩ１、ＣＩ２、ＣＩ３）を格納するように、構成されている。Ｓ２５３（図５）、Ｓ４５３（図６）で説明したように、プリンタ１００は、クレデンシャルＣＩとバウチャーＶＣとを使用する検証を行うことによって、サービスサーバとの接続を確立する。クレデンシャルＣＩとバウチャーＶＣとは、それぞれ、認証情報の例である。クレデンシャルＣＩは、プリンタ１００の記憶装置に格納される第１種認証情報の例である。バウチャーＶＣは、クレデンシャルとともに検証に使用される第２種認証情報の例である。
【0102】
プリンタ１００のプロセッサ１１０は、以下の処理を実行する。図６のＳ４００（具体的には、Ｓ４０１－Ｓ４０４）では、プリンタ１００は、ベンダサーバ４００との接続のためのベンダ接続情報ＩＸｕ０に従ってベンダサーバ４００にアクセスすることによって、ベンダサーバ４００によって提供される新情報（新たな公開鍵ＰＫｍを含む）を取得する。そして、プロセッサ１１０は、新情報ＰＫｍを使用して、新たなクレデンシャルＣＩ３を取得する（本実施例では、プロセッサ１１０は、新情報ＰＫｍを使用して、新たなクレデンシャルＣＩ３を生成する）。新情報ＰＫｍは、新たなクレデンシャルＣＩ３の取得に使用される特定情報の例である（特定情報ＰＫｍとも呼ぶ）。ベンダサーバ４００は、特定情報ＰＫｍをプリンタ１００に提供する管理サーバの例である。
【0103】
Ｓ４４０では、プロセッサ１１０は、第１位置情報ＲＳａによって示される第１仲介サーバ２００Ａから、新たなクレデンシャルＣＩ３（具体的には、クレデンシャルＣＩ３に含まれるＧＵＩＤ０）を使用することによって、第２サービスサーバ３００Ｂとの接続のための接続情報ＩＸｂを取得する。Ｓ４３０で説明したように、接続情報ＩＸｂは、第４バウチャーＶＣ３ｂに対応付けられている。Ｓ４１０、Ｓ４１５で説明したように、第４バウチャーＶＣ３ｂは、特定情報ＰＫｍを使用して、生成される。すなわち、第４バウチャーＶＣ３ｂは、特定情報ＰＫｍに対応付けられている。このように、接続情報ＩＸｂは、特定情報ＰＫｍに対応付けられる第４バウチャーＶＣ３ｂであってベンダサーバ４００によって生成された第４バウチャーＶＣ３ｂに対応付けられている。第１仲介サーバ２００Ａは、このような接続情報ＩＸｂを有している。
【0104】
Ｓ４５１、Ｓ４５２では、プロセッサ１１０は、接続情報ＩＸｂに従って第２サービスサーバ３００Ｂにアクセスすることによって第２サービスサーバ３００Ｂから第４バウチャーＶＣ３ｂを取得する。そして、Ｓ４５３では、プロセッサ１１０は、新たなクレデンシャルＣＩ３と第４バウチャーＶＣ３ｂとを使用する検証を行うことによって、第２サービスサーバ３００Ｂとの接続を確立する。
【0105】
このように、プリンタ１００は、新たなクレデンシャルＣＩ３を使用することによって、第２サービスサーバ３００Ｂとのサービスのための接続を安全に確立できる。また、プリンタ１００と不適切なサービスサーバとの接続の可能性は、低減する。例えば、図６のＳ４３５の後に、以下に説明するように、不適切な第１サービスサーバ３００Ａとの接続のためのＴＯ０、ＴＯ１、ＴＯ２の処理が行われると仮定する。すなわち、第１仲介サーバ２００Ａには、ＴＯ０の処理によって、第２バウチャーＶＣ２ａと接続情報ＩＸａとが登録される。続くＴＯ１の処理では、プリンタ１００は、第１仲介サーバ２００Ａから接続情報ＩＸａを取得する。続くＴＯ２の処理では、プリンタ１００は、第１サービスサーバ３００Ａから第２バウチャーＶＣ２ａを取得する。しかし、第２バウチャーＶＣ２ａのヘッダＶＨの公開鍵ＰＫｍは、新たな第３クレデンシャルＣＩ３の公開鍵ハッシュＰＫＨと整合しないので、バウチャーＶＣ２ａの検証は失敗する。このように、クレデンシャルの更新により、プリンタ１００と不適切な第１サービスサーバ３００Ａとのサービスのための接続の確立を防ぐことができる。
【0106】
また、Ｓ４００（図６）では、プリンタ１００は、ベンダサーバ４００によって提供される特定情報ＰＫｍを使用して新たなクレデンシャルＣＩ３を取得する。すなわち、クレデンシャルは、ベンダサーバ４００によって管理可能である。また、本実施例では、クレデンシャルは、製造事業者、または、管理事業者にプリンタ１００を送付せずに、ネットワークを介して更新可能である。
【0107】
また、図６のＳ３９０（具体的には、Ｓ３９６）では、プリンタ１００のプロセッサ１１０は、ベンダサーバ４００との通信（Ｓ４００）の前に、第２仲介サーバ２００Ｂからベンダサーバ４００との接続のためのベンダ接続情報ＩＸｕ０を取得する。従って、プロセッサ１１０は、ベンダサーバ４００に適切にアクセスできる。例えば、ベンダサーバ４００のＩＰアドレスは、変更され得る。ＩＰアドレスの変更に起因して、プリンタ１００がベンダサーバ４００にアクセスできない可能性がある。本実施例では、プリンタ１００は、新しいＩＰアドレスを示すベンダ接続情報ＩＸｕ０を、第２仲介サーバ２００Ｂから取得可能である。従って、上記の不具合の可能性は、低減する。
【0108】
また、第２仲介サーバ２００Ｂからのベンダ接続情報ＩＸｕ０の取得（Ｓ３９０）は、FIDO Device Onboarding (FDO) のTransfer Ownership Protocol 1 (TO1)に従って、行われる。すなわち、プリンタ１００のプロセッサ１１０は、オンボーディングの処理の一環として、ベンダ接続情報ＩＸｕ０を取得できる。従って、ベンダ接続情報ＩＸｕ０の取得のためのプロトコルを新たに準備する場合と比べて、プリンタ１００とベンダサーバ４００との安全な接続のための設計の負担は、軽減可能である。
【0109】
また、図６のＳ４００（具体的には、Ｓ４０４）では、プリンタ１００のプロセッサ１１０は、第１仲介サーバ２００Ａとの通信（Ｓ４４０）の前に、ベンダサーバ４００から第１仲介サーバ２００Ａの第１位置情報ＲＳａを取得する。従って、プロセッサ１１０は、第１仲介サーバ２００Ａと適切に通信できる。例えば、第１仲介サーバ２００ＡのＩＰアドレスは、変更され得る。ＩＰアドレスの変更に起因して、プリンタ１００が第１仲介サーバ２００Ａと通信できない可能性がある。本実施例では、プリンタ１００は、新しいＩＰアドレスを示す第１位置情報ＲＳａを、ベンダサーバ４００から取得可能である。従って、上記の不具合の可能性は、低減する。
【0110】
また、ベンダサーバ４００による特定情報ＰＫｍの提供（Ｓ４０４）は、FIDO Device Onboarding (FDO) のTransfer Ownership Protocol 2 (TO2)に従って、行われる。すなわち、プリンタ１００のプロセッサ１１０は、オンボーディングの処理の一環として、特定情報ＰＫｍを取得できる。従って、特定情報ＰＫｍの取得のためのプロトコルを新たに準備する場合と比べて、プリンタ１００とベンダサーバ４００との安全な接続のための設計の負担は、軽減可能である。
【0111】
また、プリンタ１００のプロセッサ１１０は、Ｓ２００（図４）で、第２サービスサーバ３００Ｂとは異なる他のサービスサーバ３００Ａとの接続のためのクレデンシャルＣＩ２を不揮発性記憶装置１３０に格納する。この後に、プロセッサ１１０は、Ｓ４００（図６）で、新たなクレデンシャルＣＩ３を不揮発性記憶装置１３０に、格納する。そして、Ｓ４５０（具体的には、Ｓ４５３）では、プロセッサ１１０は、新たなクレデンシャルＣＩ３を使用して、第２サービスサーバ３００Ｂとの接続を確立する。このように、通信すべきサービスサーバが変更される場合に、プロセッサ１１０は、新たなクレデンシャルＣＩ３を使用して、新たなサービスサーバ３００Ｂとの接続を、適切に、確立できる。
【0112】
また、図３（Ｇ）に示すように、新たなクレデンシャルＣＩ３に対応する第４バウチャーＶＣ３ｂは、第１サービスサーバ３００Ａのためのエントリを含まずに、第２サービスサーバ３００Ｂのための第１エントリＥＴ１を含んでいる。すなわち、図６のＳ４５０（具体的には、Ｓ４５２）では、プロセッサ１１０は、旧のサービスサーバ３００Ａとの接続のための情報を含まずに、新たなサービスサーバ３００Ｂとの接続のための情報を含む、第４バウチャーＶＣ３ｂを取得する。プリンタ１００とサービスサーバとの新たな接続のための検証（Ｓ４５３）では、プロセッサ１１０は、このような第４バウチャーＶＣ３ｂと、第４バウチャーＶＣ３ｂに対応するクレデンシャルＣＩ３とを、使用する。従って、旧のサービスサーバ３００Ａとの接続のための情報を含むバウチャー（例えば、バウチャーＶＣ２ａ（図３（Ｃ））を使用する不適切な接続の可能性は、低減する。
【0113】
Ｂ．第２実施例：
図７－図１０は、設定処理の別の実施例を示すシーケンス図である。図４－図６の設定処理との差異は、以下の４点である。
（１）ベンダ接続情報ＩＸｕ０が、予め、プリンタ１００の不揮発性記憶装置１３０に格納されている。
（２）プリンタ１００は、クレデンシャルの更新が必要か否かを判断する。
（３）クレデンシャルの更新が必要と判断される場合に、プリンタ１００は、第２仲介サーバ２００ＢとのＴＯ１の処理を実行せずに、ベンダサーバ４００とのＴＯ２の処理を実行する。
（４）クレデンシャルの更新が不要と判断される場合に、プリンタ１００は、クレデンシャルに従って、ＴＯ１の処理とＴＯ２の処理とを実行する。
図７－図１０において、図４－図６のステップと同じステップには、同じ符号を付して、説明を省略する。
図７－図１０は、設定処理の別の実施例を示すシーケンス図である。図４－図６の設定処理との差異は、以下の４点である。
（１）ベンダ接続情報ＩＸｕ０が、予め、プリンタ１００の不揮発性記憶装置１３０に格納されている。
（２）プリンタ１００は、クレデンシャルの更新が必要か否かを判断する。
（３）クレデンシャルの更新が必要と判断される場合に、プリンタ１００は、第２仲介サーバ２００ＢとのＴＯ１の処理を実行せずに、ベンダサーバ４００とのＴＯ２の処理を実行する。
（４）クレデンシャルの更新が不要と判断される場合に、プリンタ１００は、クレデンシャルに従って、ＴＯ１の処理とＴＯ２の処理とを実行する。
図７－図１０において、図４－図６のステップと同じステップには、同じ符号を付して、説明を省略する。
【0114】
【0115】
接続指示（Ｓ１４５）に応じて、プリンタ１００は、Ｓ１４８で、不揮発性記憶装置１３０に格納されたクレデンシャルＣＩの更新が必要か否かを判断する。クレデンシャルＣＩの更新が必要であると判断するための条件は、種々の条件であってよい。本実施例では、プリンタ１００は、今回の接続指示が、ファクトリリセット後の最初の接続指示である場合に、クレデンシャルＣＩの更新が必要であると判断する。プリンタ１００の出荷後の初めての起動は、ファクトリリセット後の最初の起動として、扱われる。今回の接続指示が、ファクトリリセット後の２回目以降の接続指示である場合、プリンタ１００は、クレデンシャルＣＩの更新が不要であると判断する。
【0116】
クレデンシャルＣＩの更新が必要であると判断される場合（Ｓ１４８：Ｙｅｓ）、プリンタ１００は、ＴＯ１の処理（例えば、図４のＳ１９０）を実行せずに、Ｓ２００で、ＴＯ２の処理を実行する。ここで、プリンタ１００は、不揮発性記憶装置１３０に格納されたベンダ接続情報ＩＸｕ０を使用する。
【0117】
【0118】
図７のＳ１４８で、クレデンシャルＣＩの更新が不要であると判断される場合（Ｓ１４８：Ｎｏ）、プリンタ１００は、図１０のＳ５４０、Ｓ５５０の処理を実行する。図７のＳ２００で説明したように、ファクトリリセット後の最初の接続指示に応じて、プリンタ１００は、サービスサーバとの接続のためのＦＤＯプロトコルのＴＯ１、ＴＯ２の処理に適するクレデンシャルＣＩ（例えば、クレデンシャルＣＩ２）を不揮発性記憶装置１３０に格納する。今回の接続指示が、ファクトリリセット後の２回目以降の接続指示である場合、プリンタ１００は、不揮発性記憶装置１３０に格納されているクレデンシャルＣＩを使用して、サービスサーバとの接続を、適切に、確立できる。
【0119】
Ｓ５４０（Ｓ５４３、Ｓ５４６を含む）では、プロセッサ１１０は、ＦＤＯプロトコルのＴＯ１の処理を実行する。不揮発性記憶装置１３０に格納済のクレデンシャルＣＩの仲介サーバ情報ＲＳＩは、第１位置情報ＲＳａ（すなわち、第１仲介サーバ２００Ａ）を示している。Ｓ５４３では、プリンタ１００は、クレデンシャルＣＩに含まれるＧＵＩＤのデータを、第１位置情報ＲＳａによって示される第１仲介サーバ２００Ａに送信する。Ｓ５４６では、第１仲介サーバ２００Ａは、ＧＵＩＤに対応付けられる接続情報ＩＸｚのデータを、プリンタ１００に送信する。接続情報ＩＸｚは、サービスサーバ（例えば、第１サービスサーバ３００Ａ、または、第２サービスサーバ３００Ｂ）を示している。
【0120】
Ｓ５５０では、プリンタ１００は、接続情報ＩＸｚによって示されるサービスサーバとの接続のためのＴＯ２の処理を実行する。そして、プリンタ１００とサービスサーバとは、サービスのための処理を開始する。
【0121】
Ｓ２５０（図８）の後、Ｓ２５５で、プリンタ１００を使用するサービスを第１サービスから第２サービスへ変更するための手続きが行われる。Ｓ２５５－Ｓ３４０は、図５のＳ２５５－Ｓ３４０と、それぞれ同じである。例えば、Ｓ２６５では、プリンタ１００は、サービスのための第１サービス情報を不揮発性記憶装置１３０から削除し、クレデンシャルを初期化する。なお、ベンダ接続情報ＩＸｕ０のデータは、削除されずに、維持される。
【0122】
第２ユーザは、プリンタ１００を受け取る（図８：Ｓ２７０）。その後のＳ３４５（図９）は、図７のＳ１４５と同じである。接続指示の入力（Ｓ３４５）に応じて、プリンタ１００は、Ｓ３４８で、クレデンシャルＣＩの更新が必要か否かを判断する。Ｓ３４８の判断条件は、Ｓ１４８（図７）の判断条件と同じである。クレデンシャルＣＩの更新が不要であると判断される場合（Ｓ３４８：Ｎｏ）、プリンタ１００は、図１０のＳ５４０、Ｓ５５０の処理を実行する。
【0123】
クレデンシャルＣＩの更新が必要であると判断される場合（Ｓ３４８：Ｙｅｓ）、プリンタ１００は、ＴＯ１の処理（例えば、図６のＳ３９０）を実行せずに、Ｓ４００で、ＴＯ２の処理を実行する。ここで、プリンタ１００は、不揮発性記憶装置１３０に格納されたベンダ接続情報ＩＸｕ０を使用する。
【0124】
【0125】
以上のように、本実施例の設定処理（図７－図１０）は、図４－図６の設定処理からＳ１９０（図４）とＳ３９０（図６）とを除いた残りのステップを、含んでいる。従って、本実施例は、図４－図６の実施例のものと同じ種々の利点を有する（Ｓ１９０、Ｓ３９０に起因する利点を除く）。
【0126】
また、プリンタ１００のプロセッサ１１０は、以下の処理を実行する。Ｓ３４８（図９）では、プロセッサ１１０は、不揮発性記憶装置１３０に格納されたクレデンシャルＣＩの更新が必要であるか否かを確認する。本実施例では、プロセッサ１１０は、外部装置に問い合わせずに、更新が必要であるか否かを判断する。そして、不揮発性記憶装置１３０に格納されたクレデンシャルＣＩの更新が必要であると確認される場合に（Ｓ３４８：Ｙｅｓ）、プロセッサ１１０は、Ｓ４００、Ｓ４４０の処理を実行する。Ｓ４００（具体的には、Ｓ４０１－Ｓ４０４）では、プロセッサ１１０は、ベンダ接続情報ＩＸｕ０に従ってベンダサーバ４００にアクセスすることによってベンダサーバ４００によって提供される特定情報ＰＫｍを取得する。そして、プロセッサ１１０は、特定情報ＰＫｍを使用して、新たなクレデンシャルＣＩ３を取得する。Ｓ４４０では、プロセッサ１１０は、新たなクレデンシャルＣＩ３の取得（Ｓ４００）の後に、ベンダサーバ４００から取得された第１位置情報ＲＳａによって示される第１仲介サーバ２００Ａから接続情報ＩＸｂを取得する。
【0127】
さらに、不揮発性記憶装置１３０に格納されたクレデンシャルＣＩの更新が不要であると確認される場合に（Ｓ３４８：Ｎｏ）、プロセッサ１１０は、ベンダサーバ４００にアクセスせずに、Ｓ５４０（図１０）の処理を実行する。Ｓ５４０では、プロセッサ１１０は、第１位置情報ＲＳａによって示される第１仲介サーバ２００Ａから、不揮発性記憶装置１３０に格納されたクレデンシャルＣＩに対応付けられるサービスサーバとの接続のための接続情報ＩＸｚを取得する。
【0128】
このように、プロセッサ１１０は、不揮発性記憶装置１３０に格納されたクレデンシャルＣＩの更新が必要であるか否かに応じて、サービスサーバとの接続のための適切な処理を実行できる。例えば、クレデンシャルＣＩの更新が不要と判断される場合には、プリンタ１００とベンダサーバ４００との通信（具体的には、クレデンシャルＣＩの更新のための通信）が省略されるので、プリンタ１００とベンダサーバ４００との通信負荷は、軽減可能である。
【0129】
なお、本実施例の設定処理は、第２仲介サーバ２００Ｂを使用せずに、進行可能である。従って、Ｓ１３５、Ｓ１４０（図７）、Ｓ３３５、Ｓ３４０（図８）は、省略されてよい。そして、第２仲介サーバ２００Ｂは、省略されてよい。また、クレデンシャルＣＩの更新が不要であると判断される場合に、プロセッサ１１０は、さらに、ＴＯ１の処理（図１０：Ｓ５４０）とＴＯ２の処理（Ｓ５５０）とのそれぞれが必要か否かを判断してよい。例えば、不揮発性記憶装置１３０に、サービスサーバとの通信のためのサービス情報が格納されている場合、プリンタ１００は、ＴＯ１の処理とＴＯ２の処理との両方を行わずに、サービスサーバとのサービスのための通信を開始してよい。なお、クレデンシャルＣＩの更新が必要であると判断するための更新条件は、上記の条件に代えて、他の種々の条件であってよい。例えば、更新条件は、サービスのためのサービス情報が不揮発性記憶装置１３０に格納されていないこと、を含んでよい。
【0130】
また、本実施例において、Ｓ１４８（図７）、Ｓ３４８（図９）は、省略されてよい。すなわち、プロセッサ１１０は、不揮発性記憶装置１３０に格納されたクレデンシャルＣＩの更新が必要であるか否かを確認せずに、Ｓ２００、Ｓ２４０（図７、図８）、Ｓ４００、Ｓ４４０（図９）の処理を実行してよい。この場合も、プロセッサ１１０は、ベンダサーバ４００にアクセスすることによってベンダサーバ４００によって提供される特定情報ＰＫｍを使用して、新たなクレデンシャルＣＩを取得する（Ｓ２００、Ｓ４００）。プリンタ１００は、新たなクレデンシャルＣＩを使用することによって、サービスサーバとの接続を安全に確立できる。なお、この場合、図８のＳ３３０でベンダサーバ４００がバウチャーデータベースＤ４にオーナーの公開鍵ＰＫｓｂを登録した後に、図９のＳ４１０、Ｓ４１５、Ｓ４２０の処理が、複数回、繰り返され得る。繰り返されるＳ４１５のそれぞれにおいてベンダサーバ４００がバウチャーデータベースＤ４からオーナーの公開鍵ＰＫｓを取得できるように、Ｓ４２０では、ベンダサーバ４００は、最新のオーナーに関連する情報ＯＷ、ＮＥ、ＰＫｓ、ＩＸを、バウチャーデータベースＤ４から削除せずに維持することが好ましい。Ｓ４２０では、プロセッサ１１０は、サービスサーバとの接続のためのバウチャーの生成（Ｓ４１５）に応じて、バウチャーデータベースＤ４を更新する。ここで、プロセッサ１１０は、新たに生成されたバウチャーの情報を、バウチャーデータベースＤ４に登録してよい。図７のＳ２２０についても、同じである。
【0131】
Ｃ．第３実施例：
図１１－図１３は、設定処理の別の実施例を示すシーケンス図である。図４－図６の設定処理との差異は、以下の５点である。
（１）ベンダ接続情報ＩＸｕ０が、予め、プリンタ１００の不揮発性記憶装置１３０に格納されている。
（２）クレデンシャルＣＩ（図２（Ｃ））の仲介サーバ情報ＲＳＩは、２個の位置情報ＲＳａ、ＲＳｂ（図２（Ｂ））を含んでいる（優先順は、ＲＳａ、ＲＳｂの順である）
（３）プリンタ１００は、ベンダサーバ４００に、クレデンシャルの更新が必要か否かを問い合わせる。
（４）クレデンシャルの更新が不要と判断される場合、プリンタ１００は、不揮発性記憶装置１３０に格納されているクレデンシャルＣＩを使用して、サービスサーバとの接続のためのＴＯ１、ＴＯ２の処理を実行する。
（５）クレデンシャルの更新が必要と判断される場合、プリンタ１００は、ベンダサーバ４００とのＴＯ２の処理によって、クレデンシャルを更新する。
図１１－図１３において、図４－図６のステップと同じ手続きを示すステップには、同じ符号を付して、説明を省略する。図４－図６と図１１－図１３との間では、同じ符号のステップで使用される情報は、異なり得る。
図１１－図１３は、設定処理の別の実施例を示すシーケンス図である。図４－図６の設定処理との差異は、以下の５点である。
（１）ベンダ接続情報ＩＸｕ０が、予め、プリンタ１００の不揮発性記憶装置１３０に格納されている。
（２）クレデンシャルＣＩ（図２（Ｃ））の仲介サーバ情報ＲＳＩは、２個の位置情報ＲＳａ、ＲＳｂ（図２（Ｂ））を含んでいる（優先順は、ＲＳａ、ＲＳｂの順である）
（３）プリンタ１００は、ベンダサーバ４００に、クレデンシャルの更新が必要か否かを問い合わせる。
（４）クレデンシャルの更新が不要と判断される場合、プリンタ１００は、不揮発性記憶装置１３０に格納されているクレデンシャルＣＩを使用して、サービスサーバとの接続のためのＴＯ１、ＴＯ２の処理を実行する。
（５）クレデンシャルの更新が必要と判断される場合、プリンタ１００は、ベンダサーバ４００とのＴＯ２の処理によって、クレデンシャルを更新する。
図１１－図１３において、図４－図６のステップと同じ手続きを示すステップには、同じ符号を付して、説明を省略する。図４－図６と図１１－図１３との間では、同じ符号のステップで使用される情報は、異なり得る。
【0132】
Ｓ１１５では、第１サービス事業者は、プリンタ１００を第１ユーザに送付する。この段階では、プリンタ１００の不揮発性記憶装置１３０には、初期クレデンシャルＣＩ４が格納されている。初期クレデンシャルＣＩ４の仲介サーバ情報ＲＳＩは、第１位置情報ＲＳａと第２位置情報ＲＳｂとを含んでいる。またＧＵＩＤは、ＧＵＩＤ０である。また、第１サービスサーバ３００ＡのサービステーブルＴ３Ａには、プリンタ１００のシリアル番号ＳＩＤ０と、初期クレデンシャルＣＩ４に対応する第５バウチャーＶＣ４ａとが、互いに対応付けて登録されている。第５バウチャーＶＣ４ａは、第１サービスサーバ３００Ａを示すエントリを含んでる。
【0133】
Ｓ１１７では、第１サービスサーバ３００Ａは、ＦＤＯプロトコルのＴＯ０に従って、第５バウチャーＶＣ４ａと接続情報ＩＸａとの登録指示を、第１仲介サーバ２００Ａに送信する。Ｓ１１８では、第１仲介サーバ２００Ａは、第５バウチャーＶＣ４ａに含まれるＧＵＩＤ０と、接続情報ＩＸａとを、接続情報テーブルＴ２Ａに登録する。
【0134】
Ｓ１４５は、図４のＳ１４５と同じである。接続指示の入力（Ｓ１４５）に応じて、プリンタ１００は、Ｓ１５０で、クレデンシャルＣＩの更新が必要か否かを、ベンダ接続情報ＩＸｕ０によって示されるベンダサーバ４００に問い合わせる。この問合せは、プリンタ１００のシリアル番号ＳＩＤ０のデータを含んでいる。
【0135】
Ｓ１５５では、ベンダサーバ４００は、バウチャーデータベースＤ４を参照して、クレデンシャルの更新が必要か否かを判断する。図１４は、バウチャーデータベースＤ４のシリアル番号ＳＩＤ０に対応付けられる情報ＯＷ、ＮＥ、ＰＫｓ、ＩＸの変化を示す説明図である。図中には、Ｓ１５５、Ｓ３３０、Ｓ３５５、Ｓ４２０のそれぞれにおける情報が、示されている。図示するように、Ｓ１５５では、情報ＯＷ、ＮＥ、ＰＫｓ、ＩＸは、未登録である（すなわち、シリアル番号ＳＩＤ０には、新オーナーの情報は、対応付けられていない）。この場合、ベンダサーバ４００は、クレデンシャルの更新は不要であると判断する。Ｓ１６０（図１１）では、ベンダサーバ４００は、更新不要を示す応答を、プリンタ１００に送信する。
【0136】
Ｓ１６５では、プリンタ１００は、ベンダサーバ４００からの応答が、更新必要を示すか否かを判断する。ここで、応答は、更新不要を示している（Ｓ１６５：Ｎｏ）。この場合、プリンタ１００は、図１２のＳ２４０（ＴＯ１の処理）とＳ２５０（ＴＯ２の処理）とを実行する。Ｓ２４０、Ｓ２５０の手続きは、図５のＳ２４０、Ｓ２５０の手続きと、それぞれ同じである。ただし、以下に説明するように、手続きに使用される情報の一部は、図５の実施例で参照される情報と異なっている。
【0137】
Ｓ２４０（Ｓ２４３、Ｓ２４６を含む）では、最新のクレデンシャルＣＩ４は、ＧＵＩＤ０と、位置情報ＲＳａ、ＲＳｂと、を示している。Ｓ２４３では、プリンタ１００は、位置情報ＲＳａ、ＲＳｂのうち、第１優先の第１位置情報ＲＳａによって示される第１仲介サーバ２００Ａに、ＧＵＩＤ０のデータを送信する。Ｓ２４６では、第１仲介サーバ２００Ａは、ＧＵＩＤ０に対応付けられる接続情報ＩＸａのデータを、プリンタ１００に送信する。
【0138】
Ｓ２５０のＳ２５２では、第１サービスサーバ３００Ａは、ＧＵＩＤ０に対応付けられる第５バウチャーＶＣ４ａのデータを、プリンタ１００に送信する。Ｓ２５３では、互いに対応付けられる初期クレデンシャルＣＩ４と第５バウチャーＶＣ４ａとが使用されるので、バウチャーの検証は、成功する。プリンタ１００は、第１サービスサーバ３００Ａとの接続を確立する。そして、プリンタ１００と第１サービスサーバ３００Ａとは、第１サービスのための処理を開始する。
【0139】
Ｓ２５０の後、Ｓ２５５で、プリンタ１００を使用するサービスを第１サービスから第２サービスへ変更するための手続きが行われる。Ｓ２５５－Ｓ３４０の手続きは、図５のＳ２５５－Ｓ３４０の手続きと、それぞれ同じである。ただし、以下に説明するように、手続きに使用される情報の一部は、図５の実施例で使用される情報と異なっている。
【0140】
例えば、Ｓ２６５では、プリンタ１００は、サービスのための第１サービス情報を不揮発性記憶装置１３０から削除し、クレデンシャルを初期化する。これにより、最新のクレデンシャルは、初期クレデンシャルＣＩ４になる。ベンダ接続情報ＩＸｕ０のデータは、削除されずに、維持される。
【0141】
Ｓ２７５では、第１サービスサーバ３００Ａは、第５バウチャーＶＣ４ａに、第２サービス事業者を示すエントリを追加することによって、第６バウチャーＶＣ４ａｂを生成する。Ｓ２８０、Ｓ３１０、Ｓ３２０、Ｓ３２５、Ｓ３３０では、図５の第３バウチャーＶＣ２ａｂに代えて、第６バウチャーＶＣ４ａｂが使用される。また、本実施例では、図５の更新用バウチャーＶＣ１ｗに代えて、初期クレデンシャルＣＩ４に対応する更新用バウチャーＶＣ４ｕが生成されることとする。Ｓ３２０では、検証に成功することとする。
【0142】
Ｓ３３０では、ベンダサーバ４００は、バウチャーデータベースＤ４（図１４）のシリアル番号ＳＩＤ０に対応付けられる情報ＯＷ、ＮＥ、ＰＫｓ、ＩＸを、第６バウチャーＶＣ４ａｂによって示される最新のオーナーに関連する情報に更新する。図１４に示すように、Ｓ３３０による更新後には、オーナーＯＷｂは、第２サービス事業者を示している（エントリ数ＮＥは、２である）。公開鍵ＰＫｓｂは、第２サービス事業者の公開鍵であり、接続情報ＩＸｂは、第２サービス事業者の第２サービスサーバ３００Ｂを示している。
【0143】
【0144】
接続指示の入力に応じて、プリンタ１００は、Ｓ３５０を実行する。Ｓ３５０の処理は、Ｓ１５０（図１１）の処理と同じである。
【0145】
Ｓ３５５では、ベンダサーバ４００は、バウチャーデータベースＤ４を参照して、クレデンシャルの更新が必要か否かを判断する。図１４に示すように、Ｓ３５５では、シリアル番号ＳＩＤ０に対応付けられる情報ＯＷ、ＮＥ、ＰＫｓ、ＩＸは、Ｓ３３０による更新済の情報（すなわち、新たなオーナーの情報）を示している。すなわち、シリアル番号ＳＩＤ０には、新オーナーの情報が対応付けられている。この場合、ベンダサーバ４００は、クレデンシャルの更新は必要であると判断する。Ｓ３６０（図１３）では、ベンダサーバ４００は、更新必要を示す応答を、プリンタ１００に送信する。
【0146】
Ｓ３６５では、プリンタ１００は、ベンダサーバ４００からの応答が、更新必要を示すか否かを判断する。ここで、応答は、更新必要を示している（Ｓ３６５：Ｙｅｓ）。この場合、Ｓ３７０で、プリンタ１００は、最新のクレデンシャルＣＩ４に含まれる位置情報ＲＳａ、ＲＳｂのうち、第２優先の第２位置情報ＲＳｂによって示される第２仲介サーバ２００Ｂに、バウチャーが登録済か否かを問い合わせる。この問合せは、クレデンシャルＣＩ４に含まれるＧＵＩＤ０のデータを含んでいる。
【0147】
Ｓ３７５では、第２仲介サーバ２００Ｂは、接続情報テーブルＴ２Ｂを参照し、ＧＵＩＤ０に関連する情報が登録済であるか否かを確認する。Ｓ３４０（図１２）で説明したように、接続情報テーブルＴ２Ｂには、ＧＵＩＤ０に対応付けられる接続情報ＩＸｕ０が登録されている。Ｓ３８０では、第２仲介サーバ２００Ｂは、登録済を示す応答を、プリンタ１００に送信する。仮に、第２仲介サーバ２００Ｂからの応答が「未登録」を示す場合、プリンタ１００は、設定処理を終了する（図示省略）。応答が「登録済」を示す場合、プリンタ１００は、Ｓ３９０へ移行する。
【0148】
【0149】
例えば、Ｓ３９０では、プリンタ１００は、最新のクレデンシャルＣＩ４に含まれる位置情報ＲＳａ、ＲＳｂのうち、第２優先の第２位置情報ＲＳｂによって示される第２仲介サーバ２００Ｂと、通信する。
【0150】
Ｓ４０４では、ベンダサーバ４００は、第１位置情報ＲＳａと第２位置情報ＲＳｂとを含む新たな仲介サーバ情報ＲＳＩを生成する（優先順は、ＲＳａ、ＲＳｂである）。プリンタ１００は、不揮発性記憶装置１３０に格納されているクレデンシャルＣＩ４に４００から取得された新情報（新たな公開鍵ＰＫｍと新たな仲介サーバ情報ＲＳＩとを含む）を適用することによって、更新済の第５クレデンシャルＣＩ５を生成する。
【0151】
Ｓ４１５では、ベンダサーバ４００は、バウチャーデータベースＤ４（図１４）に登録済のオーナーの公開鍵ＰＫｓｂを使用してエントリを生成し、生成したエントリを含む第７バウチャーＶＣ５ｂを生成する。
【0152】
Ｓ４２０では、ベンダサーバ４００は、バウチャーデータベースＤ４（図１４）のうち、Ｓ４０１で取得されるＧＵＩＤ０に対応付けられる情報を更新する（本実施例では、オーナーに関連する情報ＯＷ、ＮＥ、ＰＫｓ、ＩＸが、削除される）。
【0153】
Ｓ４３５では、第１仲介サーバ２００Ａは、第７バウチャーＶＣ５ｂに含まれるＧＵＩＤ０と、接続情報ＩＸｂとを、接続情報テーブルＴ２Ａに登録する。
【0154】
Ｓ４４０では、プリンタ１００は、最新のクレデンシャルＣＩ５に含まれる位置情報ＲＳａ、ＲＳｂのうち、第１優先の第１位置情報ＲＳａによって示される第１仲介サーバ２００Ａと、通信する。Ｓ４５０では、プリンタ１００は、接続情報ＩＸｂによって示される第２サービスサーバ３００Ｂとの接続のためのＴＯ２の処理を実行する。ここで、互いに対応付けられる第５クレデンシャルＣＩ５と第７バウチャーＶＣ５ｂとが使用されるので（Ｓ４００、Ｓ４１５）、バウチャーの検証は、成功する。そして、プリンタ１００と第２サービスサーバ３００Ｂとは、サービスのための処理を開始する。
【0155】
【0156】
また、本実施例では、プリンタ１００の不揮発性記憶装置１３０に格納されるクレデンシャルＣＩ４、ＣＩ５は、いずれも、第１位置情報ＲＳａと第２位置情報ＲＳｂとを含んでいる。すなわち、不揮発性記憶装置１３０は、位置情報ＲＳａ、ＲＳｂを格納している。そして、プリンタ１００のプロセッサ１１０は、以下の処理を実行する。Ｓ１５０－Ｓ１６５（図１１）と、Ｓ３５０－Ｓ３６５（図１３）と、のそれぞれでは、プロセッサ１１０は、不揮発性記憶装置１３０に格納されたクレデンシャルＣＩの更新が必要であるか否かを確認する。本実施例では、プロセッサ１１０は、ベンダサーバ４００に問い合わせることによって、更新が必要であるか否かを確認する。
【0157】
不揮発性記憶装置１３０に格納されたクレデンシャルＣＩの更新が必要であると確認される場合に（図１３：Ｓ３６５：Ｙｅｓ）、プロセッサ１１０は、Ｓ３９０、Ｓ４００、Ｓ４４０（図１３）の処理を実行する。Ｓ３９０では、プロセッサ１１０は、第２位置情報ＲＳｂによって示される第２仲介サーバ２００Ｂからベンダ接続情報ＩＸｕ０を取得する。Ｓ４００（具体的には、Ｓ４０１－Ｓ４０４）では、プロセッサ１１０は、ベンダ接続情報ＩＸｕ０の取得の後に、ベンダ接続情報ＩＸｕ０に従ってベンダサーバ４００にアクセスすることによってベンダサーバ４００によって提供される特定情報ＰＫｍを取得する。そして、プロセッサ１１０は、特定情報ＰＫｍを使用して、新たなクレデンシャルＣＩ５を取得する。Ｓ４４０では、プロセッサ１１０は、新たなクレデンシャルＣＩ５の取得（Ｓ４００）の後に、第１位置情報ＲＳａによって示される第１仲介サーバ２００Ａから接続情報ＩＸｂを取得する。
【0158】
さらに、不揮発性記憶装置１３０に格納されたクレデンシャルＣＩの更新が不要であると確認される場合に（図１１：Ｓ１６５：Ｎｏ）、プロセッサ１１０は、第２仲介サーバ２００Ｂとベンダサーバ４００とにアクセスせずに、Ｓ２４０（図１２）の処理を実行する。Ｓ２４０では、プロセッサ１１０は、第１位置情報ＲＳａによって示される第１仲介サーバ２００Ａから、不揮発性記憶装置１３０に格納されたクレデンシャルＣＩ４に対応付けられる第１サービスサーバ３００Ａとの接続のための接続情報ＩＸａを取得する。
【0159】
このように、プロセッサ１１０は、不揮発性記憶装置１３０に格納されたクレデンシャルＣＩの更新が必要であるか否かに応じて、サービスサーバとの接続のための適切な処理を実行できる。例えば、クレデンシャルＣＩの更新が不要と判断される場合には、プリンタ１００とベンダサーバ４００との通信（具体的には、クレデンシャルＣＩの更新のための通信）が省略されるので、プリンタ１００とベンダサーバ４００との通信負荷は、軽減可能である。
【0160】
クレデンシャルＣＩの更新が必要であると判断するための条件は、上記の条件に代えて、他の種々の条件であってよい。例えば、ベンダサーバ４００は、フラグのデータを不揮発性記憶装置４３０に格納してよい。ベンダサーバ４００は、サービスサーバからの更新用バウチャーの登録指示（図１２：Ｓ３１０）に応じて、フラグを「更新必要」に設定する。ベンダサーバ４００は、プリンタ１００とのＴＯ２の処理（図１３：Ｓ４００）によって、フラグを「更新不要」に設定する。そして、ベンダサーバ４００は、問合せに応じてこのフラグを参照することによって、クレデンシャルＣＩの更新が必要であるか否かを判断してよい。
【0161】
また、本実施例において、Ｓ１５０－Ｓ１６５（図１１）と、Ｓ３５０－Ｓ３６５（図１３）とは、省略されてよい。すなわち、プロセッサ１１０は、不揮発性記憶装置１３０に格納されたクレデンシャルＣＩの更新が必要であるか否かを確認せずに、Ｓ３９０、Ｓ４００、Ｓ４４０（図１３）の処理を実行してよい。この場合も、プロセッサ１１０は、ベンダサーバ４００にアクセスすることによってベンダサーバ４００によって提供される特定情報ＰＫｍを使用して、新たなクレデンシャルＣＩを取得する（Ｓ４００）。プリンタ１００は、新たなクレデンシャルＣＩを使用することによって、サービスサーバとの接続を安全に確立できる。なお、この場合、図１２のＳ３３０でベンダサーバ４００がバウチャーデータベースＤ４にオーナーの公開鍵ＰＫｓｂを登録した後に、図１３のＳ４１０、Ｓ４１５、Ｓ４２０の処理が、複数回、繰り返され得る。繰り返されるＳ４１５のそれぞれにおいてベンダサーバ４００がバウチャーデータベースＤ４からオーナーの公開鍵ＰＫｓを取得できるように、Ｓ４２０では、ベンダサーバ４００は、最新のオーナーに関連する情報ＯＷ、ＮＥ、ＰＫｓ、ＩＸを、バウチャーデータベースＤ４から削除せずに維持することが好ましい。Ｓ４２０では、プロセッサ１１０は、サービスサーバとの接続のためのバウチャーの生成（Ｓ４１５）に応じて、バウチャーデータベースＤ４を更新する。ここで、プロセッサ１１０は、新たに生成されたバウチャーの情報を、バウチャーデータベースＤ４に登録してよい。
【0162】
Ｄ．変形例：
（１）設定処理は、上記の各実施例の設定処理に代えて、他の種々の処理であってよい。例えば、上記の各実施例において、プリンタ１００のプロセッサ１１０は、ユーザによるプリンタ１００の操作部１５０の操作によって入力された接続指示に応じて、設定処理を開始してよい。この場合、プロセッサ１１０は、電源投入を接続指示として扱わなくてよい。
（１）設定処理は、上記の各実施例の設定処理に代えて、他の種々の処理であってよい。例えば、上記の各実施例において、プリンタ１００のプロセッサ１１０は、ユーザによるプリンタ１００の操作部１５０の操作によって入力された接続指示に応じて、設定処理を開始してよい。この場合、プロセッサ１１０は、電源投入を接続指示として扱わなくてよい。
【0163】
また、更新用バウチャーは、製造事業者によって、予め生成されてよい。そして、ベンダサーバ４００は、予め決められた更新用バウチャーを、繰り返し、使用してよい。この場合、バウチャーデータベースＤ４（図３（Ａ））からは、初期ヘッダＶＨｉと製造秘密鍵ＳＫとは、省略されてよい。
【0164】
（２）設定処理は、１台のプリンタ１００に複数のサービスを対応付けることができるように、構成されてよい。例えば、プリンタ１００の出荷後の第１サービスのための設定処理は、図４、図５のＳ１１０－Ｓ２５０と同じであってよい。Ｓ２５０の後、第１ユーザは、第２サービスの追加を、第１サービス事業者と第２サービス事業者とに通知する。この通知に従って、サービスサーバ３００Ａ、３００Ｂとベンダサーバ４００とは、図８のＳ２７５－Ｓ３３０の処理を実行する。第１ユーザは、プリンタ１００の操作部１５０を操作することによって、サービスの追加のための接続指示をプリンタ１００に入力する。サービスの追加のための接続指示が入力される場合、プリンタ１００のプロセッサ１１０は、サービス情報を削除せずにクレデンシャルを初期化し、図９のＳ４００へ移行する。ここで、図７－図１０の実施例と同様に、プリンタ１００の不揮発性記憶装置１３０には、ベンダ接続情報ＩＸｕ０のデータが予め格納されていることとする。プリンタ１００と第１仲介サーバ２００Ａと第２サービスサーバ３００Ｂとベンダサーバ４００とは、図９のＳ４００－Ｓ４５０の処理を実行する。以上により、プリンタ１００は、第１サービスのための処理と、第２サービスのための処理とを、並行して実行できる。
【0165】
また、１台のプリンタ１００に複数のサービスを対応付けるために、図１１－図１３の実施例は、以下のように変更されてよい。プリンタ１００の出荷後の第１サービスのための設定処理は、図１１、図１２のＳ１１５－Ｓ２５０と同じである。Ｓ２５０の後、第１ユーザは、第２サービスの追加を、第１サービス事業者と第２サービス事業者とに通知する。この通知に従って、第２仲介サーバ２００Ｂとサービスサーバ３００Ａ、３００Ｂとベンダサーバ４００とは、図１２のＳ２７５－Ｓ３４０の処理を実行する。第１ユーザは、プリンタ１００の操作部１５０を操作することによって、サービスの追加のための接続指示をプリンタ１００に入力する。サービスの追加のための接続指示が入力される場合、プリンタ１００のプロセッサ１１０は、サービス情報を削除せずにクレデンシャルを初期化し、図１３のＳ３５０へ移行する。プリンタ１００と仲介サーバ２００Ａ、２００Ｂと第２サービスサーバ３００Ｂとベンダサーバ４００とは、図１３のＳ３５０－Ｓ４５０の処理を実行する。以上により、プリンタ１００は、第１サービスのための処理と、第２サービスのための処理とを、並行して実行できる。
【0166】
（３）上記の実施例と変形例とにおいて、第１仲介サーバ２００Ａに対する新バウチャーの登録指示、すなわち、ＴＯ０の処理（Ｓ２３０、Ｓ４３０（図４、図６、図７、図９、図１３）は、ベンダサーバ４００に代えて、新バウチャーを有するサービスサーバによって行われてよい。
【0167】
（４）図１１－図１３の実施例において、クレデンシャルＣＩの更新が必要か否かの問合せに応答するサーバは、更新用バウチャーとサービスのための新バウチャーとを処理するベンダサーバ４００とは異なる他のサーバ（確認サーバと呼ぶ）であってよい。この場合、プリンタ１００の不揮発性記憶装置１３０には、ベンダ接続情報ＩＸｕ０に代えて、確認サーバとの接続のための接続情報が、予め格納される。
【0168】
（５）上記の実施例と変形例とにおいて、設定処理で使用されるプロトコルは、ＦＤＯプロトコルに代えて、他の種々のプロトコルであってよい。例えば、認証情報の取得と、接続情報の取得と、第１種認証情報と第２種認証情報とを使用する検証と、サービスサーバとの接続の確立と、を含む設定処理は、プリンタ１００の製造事業者または管理事業者によって定められた他の手順に従って、行われてよい。
【0169】
また、プリンタ１００の不揮発性記憶装置１３０に格納される第１種認証情報は、第１種認証情報と第２種認証情報とを使用する検証で使用される種々の情報を含んでよい。第１種認証情報は、例えば、トークンを含んでよい。ベンダサーバ４００によって提供される特定情報（Ｓ２０４、Ｓ４０４（図４、図６、など））は、新たなトークンを含んでよい。特定情報に含まれる新たなトークンを含む認証情報が、新たな第１種認証情報として取得されてよい。第１種認証情報に対応付けられる第２種認証情報は、第１種認証情報に含まれるトークンと整合する情報（例えば、トークンのハッシュ値）を含んでよい。そして、第１種認証情報と第２種認証情報とを使用する検証が成功するための条件は、第２種認証情報が第１種認証情報のトークンと整合することを含んでよい。いずれの場合も、第１種認証情報は、デバイスの識別子（例えば、ＧＵＩＤ、シリアル番号、など）と、検証用の情報である検証情報（公開鍵ハッシュＰＫＨ、公開鍵、トークン、など）と、を含むことが好ましい。識別子は、プリンタ１００に適する接続情報の取得で使用されてよい。
【0170】
（６）プリンタ１００は、第１種認証情報を格納するための記憶装置として、プログラムＰＧ１を格納する不揮発性記憶装置１３０とは異なる別の記憶装置を備えてよい。プリンタ１００は、例えば、セキュリティチップを備えてよい。セキュリティチップは、セキュリティチップ内に格納されているデータを保護する機能を有する記憶装置である。セキュリティチップとしては、例えば、Trusted Computing Group (TCG)によって策定された規格に準拠したTrusted platform module (TPM)が採用されてよい。
【0171】
（７）各サーバの構成は、図１の構成に限らず、他の種々の構成であってよい。例えば、ベンダサーバ４００は、ネットワークを介して互いに通信可能な複数の装置（例えば、コンピュータ）が、ベンダサーバ４００によるデータ処理の機能を一部ずつ分担して、全体として、ベンダサーバ４００の機能を提供してもよい（これらの装置を備えるシステムがベンダサーバ４００に対応する）。他のサーバ２００Ａ、２００Ｂ、３００Ａ、３００Ｂについても、同様である。また、複数のサーバの間で、ハードウェア構成が異なってよい。
【0172】
（８）サービスのためにサービスサーバと通信するデバイスは、プリンタ１００に代えて、他の任意の種類のデバイスであってよい。例えば、複合機、スキャナ、ミシン、カッティングマシン、工作機械、スマートフォン、監視カメラ、のいずれかが、デバイスとして使用されてよい。サービスサーバを使用して提供されるサービスは、サービスサーバを介するデバイスの遠隔操作など、任意のサービスであってよい。
【0173】
上記各実施例において、ハードウェアによって実現されていた構成の一部をソフトウェアに置き換えるようにしてもよく、逆に、ソフトウェアによって実現されていた構成の一部あるいは全部をハードウェアに置き換えるようにしてもよい。例えば、Ｓ２０３（図４など）の検証の機能は、専用のハードウェア回路によって実現されてよい。
【0174】
また、本開示の機能の一部または全部がコンピュータプログラムで実現される場合には、そのプログラムは、コンピュータ読み取り可能な記録媒体（例えば、一時的ではない記録媒体）に格納された形で提供することができる。プログラムは、提供時と同一または異なる記録媒体（コンピュータ読み取り可能な記録媒体）に格納された状態で、使用され得る。「コンピュータ読み取り可能な記録媒体」は、メモリーカードやＣＤ－ＲＯＭのような携帯型の記録媒体に限らず、各種ＲＯＭ等のコンピュータ内の内部記憶装置や、ハードディスクドライブ等のコンピュータに接続されている外部記憶装置も含み得る。
【0175】
上記の実施例と変形例とは、適宜に組み合わせることができる。また、上記の実施例と変形例とは、本開示の理解を容易にするためのものであり、本発明を限定するものではない。本発明は、その趣旨を逸脱することなく、変更、改良され得ると共に、本発明にはその等価物が含まれる。
【符号の説明】
【0176】
１００…プリンタ、１１０…プロセッサ、１１５…記憶装置、１２０…揮発性記憶装置、１３０…不揮発性記憶装置、１４０…表示部、１５０…操作部、１６０…印刷実行部、１８０…通信インタフェース、２００Ａ…第１仲介サーバ、２００Ｂ…第２仲介サーバ、２１０…プロセッサ、２１５…記憶装置、２２０…揮発性記憶装置、２３０…不揮発性記憶装置、２８０…通信インタフェース、３００Ａ…第１サービスサーバ、３００Ｂ…第２サービスサーバ、３１０…プロセッサ、３１５…記憶装置、３２０…揮発性記憶装置、３３０…不揮発性記憶装置、３８０…通信インタフェース、４００…ベンダサーバ、４１０…プロセッサ、４１５…記憶装置、４２０…揮発性記憶装置、４３０…不揮発性記憶装置、４８０…通信インタフェース、１０００…システム、ＰＧ１、ＰＧ２Ａ、ＰＧ２Ｂ、ＰＧ３Ａ、ＰＧ３Ｂ、ＰＧ４…プログラム
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】