特開 2024-109226 デバイス、コンピュータプログラム、方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024109226

(43)【公開日】2024-08-14

(54)【発明の名称】デバイス、コンピュータプログラム、方法

(51)【国際特許分類】

   G06F 21/44 20130101AFI20240806BHJP

   G06F 21/33 20130101ALI20240806BHJP

   G06F 21/32 20130101ALI20240806BHJP

【ＦＩ】

G06F21/44

G06F21/33

G06F21/32

【審査請求】未請求

【請求項の数】10

【出願形態】ＯＬ

(21)【出願番号】P 2023013918

(22)【出願日】2023-02-01

(71)【出願人】

【識別番号】000005267

【氏名又は名称】ブラザー工業株式会社

(74)【代理人】

【識別番号】110001058

【氏名又は名称】鳳国際弁理士法人

(72)【発明者】

【氏名】森 匡平

(57)【要約】

【課題】デバイスに情報が不正に格納される可能性を低減する。
【解決手段】
デバイスの状態が所定の状態である場合には対象処理を禁止せずに、デバイスの状態が所定の状態でない場合に対象処理を禁止する。対象処理は、特定情報の要求を外部装置に送信する要求送信処理と、特定情報を第１記憶領域に格納する格納処理と、の一方、または、両方を含む。第１記憶領域に格納される特定情報を使用して、アクセス情報を仲介サーバから取得する。アクセス情報を使用して、特定のサービスを使用するための設定情報を対象サーバから取得する。
【選択図】 図１

【特許請求の範囲】

【請求項1】

ネットワークに接続可能なデバイスであって、
第１記憶領域と、
デバイスの状態が所定の状態か否かを判断する判断部と、
特定情報の要求を外部装置に送信する要求送信処理と、前記特定情報を前記第１記憶領域に格納する格納処理と、の一方、または、両方を含む対象処理を、前記デバイスの状態が前記所定の状態である場合には禁止せずに、前記デバイスの前記状態が前記所定の状態でない場合に前記対象処理を禁止する、禁止処理部であって、前記特定情報は、ネットワークを介して前記デバイスと通信可能な仲介サーバの位置情報と、前記デバイスに割り当てられる識別情報と、を含む、前記禁止処理部と、
前記外部装置から前記デバイスに前記特定情報が送信される場合に、前記特定情報を受信する特定情報受信部と、
前記格納処理が禁止されない場合に、前記格納処理を実行する第１格納処理部と、
前記第１記憶領域に格納される前記特定情報を使用して、前記位置情報によって示される前記仲介サーバにアクセスして、前記識別情報に対応付けられるアクセス情報を前記仲介サーバから取得する第１取得部であって、前記アクセス情報は前記ネットワークを介して通信可能な対象サーバにアクセスするための情報であり、前記対象サーバは特定のサービスを提供するサーバである、前記第１取得部と、
取得されるアクセス情報を使用して、前記対象サーバにアクセスして、前記特定のサービスを使用するための設定情報を前記対象サーバから取得する第２取得部と、
を備える、デバイス。

【請求項2】

請求項１に記載のデバイスであって、
前記所定の状態は、秘密鍵と、前記秘密鍵に対応付けられるとともに前記対象サーバとの通信で使用すべき証明書と、を含む対象情報が前記第１記憶領域に格納されていない状態である、
デバイス。

【請求項3】

請求項１または２に記載のデバイスであって、
前記所定の状態は、前記特定情報を含む対象情報が前記第１記憶領域に格納されていない状態である、
デバイス。

【請求項4】

請求項１または２に記載のデバイスであって、さらに、
第２記憶領域と、
前記対象サーバから取得される設定情報を第２記憶領域に格納する第２格納処理部と、
前記対象サーバから新たな特定情報を取得する第３取得部と、
前記新たな特定情報を前記第１記憶領域に格納する第３格納処理部と、
前記外部装置から送信される前記特定情報、または、前記新たな特定情報である、前記第１記憶領域に格納される最新の特定情報を前記第１記憶領域から削除せずに、前記設定情報を前記第２記憶領域から削除するリセットを実行するリセット処理部と、
を備える、デバイス。

【請求項5】

請求項４に記載のデバイスであって、さらに、
前記リセットを実行すべき場合に、前記識別情報に対応付けられる前記アクセス情報を前記仲介サーバに登録する指示を、前記対象サーバに送信する登録処理部を備える、デバイス。

【請求項6】

請求項１または２に記載のデバイスであって、さらに、
前記特定情報の前記要求を前記外部装置に送信する要求送信部を備え、
前記特定情報は、前記特定情報の前記要求に応じて前記外部装置から送信され、
前記特定情報の前記要求の送信と前記特定情報の受信とは、FIDO Device Onboarding (FDO) のDevice Initialize Protocol (DI)に従って、行われる、
デバイス。

【請求項7】

請求項１または２に記載のデバイスであって、
前記仲介サーバからの前記アクセス情報の取得は、FIDO Device Onboarding (FDO) のTransfer Ownership Protocol 1 (TO1)に従って、行われる、
デバイス。

【請求項8】

請求項１または２に記載のデバイスであって、
前記対象サーバからの前記設定情報の取得は、FIDO Device Onboarding (FDO) のTransfer Ownership Protocol 2 (TO2) に従って、行われる、
デバイス。

【請求項9】

コンピュータプログラムであって、
デバイスの状態が所定の状態か否かを判断する判断機能と、
特定情報の要求を外部装置に送信する要求送信処理と、前記特定情報を第１記憶領域に格納する格納処理と、の一方、または、両方を含む対象処理を、前記デバイスの状態が前記所定の状態である場合には禁止せずに、前記デバイスの前記状態が前記所定の状態でない場合に前記対象処理を禁止する、禁止処理機能であって、前記特定情報は、ネットワークを介して前記デバイスと通信可能な仲介サーバの位置情報と、前記デバイスに割り当てられる識別情報と、を含む、前記禁止処理機能と、
前記外部装置から前記デバイスに前記特定情報が送信される場合に、前記特定情報を受信する特定情報受信機能と、
前記格納処理が禁止されない場合に、前記格納処理を実行する第１格納処理機能と、
前記第１記憶領域に格納される前記特定情報を使用して、前記位置情報によって示される前記仲介サーバにアクセスして、前記識別情報に対応付けられるアクセス情報を前記仲介サーバから取得する第１取得機能であって、前記アクセス情報は前記ネットワークを介して通信可能な対象サーバにアクセスするための情報であり、前記対象サーバは特定のサービスを提供するサーバである、前記第１取得機能と、
取得されるアクセス情報を使用して、前記対象サーバにアクセスして、前記特定のサービスを使用するための設定情報を前記対象サーバから取得する第２取得機能と、
をコンピュータに実現させる、コンピュータプログラム。

【請求項10】

ネットワークに接続可能なデバイスによって実行される方法であって、
デバイスの状態が所定の状態か否かを判断する判断工程と、
特定情報の要求を外部装置に送信する要求送信処理と、前記特定情報を第１記憶領域に格納する格納処理と、の一方、または、両方を含む対象処理を、前記デバイスの状態が前記所定の状態である場合には禁止せずに、前記デバイスの前記状態が前記所定の状態でない場合に前記対象処理を禁止する、禁止処理工程であって、前記特定情報は、ネットワークを介して前記デバイスと通信可能な仲介サーバの位置情報と、前記デバイスに割り当てられる識別情報と、を含む、前記禁止処理工程と、
前記外部装置から前記デバイスに前記特定情報が送信される場合に、前記特定情報を受信する特定情報受信工程と、
前記格納処理が禁止されない場合に、前記格納処理を実行する第１格納処理工程と、
前記第１記憶領域に格納される前記特定情報を使用して、前記位置情報によって示される前記仲介サーバにアクセスして、前記識別情報に対応付けられるアクセス情報を前記仲介サーバから取得する第１取得工程であって、前記アクセス情報は前記ネットワークを介して通信可能な対象サーバにアクセスするための情報であり、前記対象サーバは特定のサービスを提供するサーバである、前記第１取得工程と、
取得されるアクセス情報を使用して、前記対象サーバにアクセスして、前記特定のサービスを使用するための設定情報を前記対象サーバから取得する第２取得工程と、
を備える、方法。

【発明の詳細な説明】

【技術分野】

【0001】

本明細書は、デバイスがサーバと通信する技術に関する。

【背景技術】

【0002】

ネットワークを介してデバイスとサーバとを接続するための種々の仕組みが知られている。非特許文献１の技術では、デバイスの製造工程において、デバイス毎にユニークな情報を含むクレデンシャルがデバイスに格納される。デバイスの製造者は、クレデンシャルに対応付けられるバウチャーを発行する。サービスを提供するサーバと、デバイスとは、クレデンシャルとバウチャーを使用して、安全に接続される。

【先行技術文献】

【非特許文献】

【0003】

【非特許文献1】"FIDO Device Onboard Specification 1.1"，［online］，令和4年4月19日, FIDO Alliance， ［令和5年1月6日検索］，インターネット＜URL:https://fidoalliance.org/specs/FDO/FIDO-Device-Onboard-PS-v1.1-20220419/FIDO-Device-Onboard-PS-v1.1-20220419.html＞

【発明の概要】

【発明が解決しようとする課題】

【0004】

クレデンシャルのような特定情報がデバイスに不正に格納される場合には、デバイスとサーバとの安全な接続が実現できない可能性がある。

【0005】

本明細書は、デバイスに情報が不正に格納される可能性を低減する技術を開示する。

【課題を解決するための手段】

【0006】

本明細書に開示された技術は、以下の適用例として実現することが可能である。

【0007】

［適用例１］ネットワークに接続可能なデバイスであって、第１記憶領域と、デバイスの状態が所定の状態か否かを判断する判断部と、特定情報の要求を外部装置に送信する要求送信処理と、前記特定情報を前記第１記憶領域に格納する格納処理と、の一方、または、両方を含む対象処理を、前記デバイスの状態が前記所定の状態である場合には禁止せずに、前記デバイスの前記状態が前記所定の状態でない場合に前記対象処理を禁止する、禁止処理部であって、前記特定情報は、ネットワークを介して前記デバイスと通信可能な仲介サーバの位置情報と、前記デバイスに割り当てられる識別情報と、を含む、前記禁止処理部と、前記外部装置から前記デバイスに前記特定情報が送信される場合に、前記特定情報を受信する特定情報受信部と、前記格納処理が禁止されない場合に、前記格納処理を実行する第１格納処理部と、前記第１記憶領域に格納される前記特定情報を使用して、前記位置情報によって示される前記仲介サーバにアクセスして、前記識別情報に対応付けられるアクセス情報を前記仲介サーバから取得する第１取得部であって、前記アクセス情報は前記ネットワークを介して通信可能な対象サーバにアクセスするための情報であり、前記対象サーバは特定のサービスを提供するサーバである、前記第１取得部と、取得されるアクセス情報を使用して、前記対象サーバにアクセスして、前記特定のサービスを使用するための設定情報を前記対象サーバから取得する第２取得部と、を備える、デバイス。

【0008】

この構成によれば、特定情報の要求を外部装置に送信する要求送信処理と、特定情報を第１記憶領域に格納する格納処理と、の一方、または、両方を含む対象処理が、デバイスの状態が所定の状態でない場合に禁止されるので、デバイスに情報が不正に格納される可能性を低減できる。

【0009】

なお、本明細書に開示の技術は、種々の態様で実現することが可能であり、例えば、デバイス、デバイスに情報を格納する方法、デバイスによって実行される方法、デバイスをサーバに接続する方法、デバイスの制御方法、それらの方法または装置の機能を実現するためのコンピュータプログラム、そのコンピュータプログラムを記録した記録媒体（例えば、一時的ではない記録媒体）、等の形態で実現することができる。

【図面の簡単な説明】

【0010】

【図1】一実施例としてのシステムを示す説明図である。

【図2】初期設定処理の例を示すシーケンス図である。

【図3】（Ａ）－（Ｈ）は、処理に使用される情報の例を示す説明図である。

【図4】バウチャー登録処理の例を示すシーケンス図である。

【図5】接続設定処理の例を示すシーケンス図である。

【図6】リセット処理の例を示すシーケンス図である。

【図7】指示入力画面の例を示す図である。

【図8】（Ａ）、（Ｂ）は、初期設定処理とリセット処理との別の実施例を示すシーケンス図である。

【図9】初期設定処理の別の実施例を示すシーケンス図である。

【発明を実施するための形態】

【0011】

Ａ．第１実施例：
Ａ１．システムの構成：
図１は、一実施例としてのシステムを示す説明図である。このシステム１０００は、プリンタ１００と、設定装置５００と、仲介サーバ２００と、サービスサーバ３００と、を含む。設定装置５００は、第１ローカルエリアネットワークＬＮ１に接続されている。設定装置５００と第１ローカルエリアネットワークＬＮ１とは、プリンタ１００の製造事業者によって管理されている。プリンタ１００の製造時には、プリンタ１００は、初期化のために、第１ローカルエリアネットワークＬＮ１に接続される（詳細は、後述）。第１ローカルエリアネットワークＬＮ１は、図示しないルータを介して、インターネットＩＴに接続され得る。サーバ２００、３００は、それぞれ、インターネットＩＴに接続されている。また、ユーザによる使用時には、プリンタ１００は、第２ローカルエリアネットワークＬＮ２に接続される。第２ローカルエリアネットワークＬＮ２は、ユーザによって管理されている。第２ローカルエリアネットワークＬＮ２は、図示しないルータを介して、インターネットＩＴに接続されている。

【0012】

プリンタ１００は、プロセッサ１１０と、記憶装置１１５と、表示部１４０と、操作部１５０と、印刷実行部１６０と、通信インタフェース１８０とを、有している。これらの要素は、図示しないバスを介して互いに接続されている。

【0013】

表示部１４０は、液晶ディスプレイ、有機ＥＬディスプレイなどの、画像を表示するように構成された装置である。操作部１５０は、ボタン、レバー、表示部１４０上に重ねて配置されたタッチパネルなどの、ユーザによる操作を受け取るように構成された装置である。通信インタフェース１８０は、他の装置と通信するためのインタフェースである（例えば、有線ＬＡＮ、IEEE802.11の無線ＬＡＮ、のうちの１種以上のインタフェースを含む）。通信インタフェース１８０は、第１ローカルエリアネットワークＬＮ１、または、第２ローカルエリアネットワークＬＮ２に、接続される。

【0014】

印刷実行部１６０は、画像を印刷する装置である。本実施例では、印刷実行部１６０は、いわゆるインクジェットプリンタである。印刷実行部１６０は、１種類以上の印刷材（例えば、シアンとマゼンタとイエローとブラックの４色のインク）を使用して、画像を印刷するように構成されている。なお、印刷実行部１６０は、他の方式で画像を印刷する装置であってよい（例えば、レーザープリンタ）。

【0015】

プロセッサ１１０は、データを処理するように構成された装置である。プロセッサ１１０は、例えば、ＣＰＵ（Central Processing Unit）、または、ＳｏＣ（System on a chip）である。記憶装置１１５は、揮発性記憶装置１２０と、第１不揮発性記憶装置１３０と、第２不揮発性記憶装置１３５と、を含む。揮発性記憶装置１２０は、例えば、ＤＲＡＭであり、第１不揮発性記憶装置１３０は、例えば、フラッシュメモリであり、第２不揮発性記憶装置１３５は、例えば、セキュリティチップである。揮発性記憶装置１２０は、処理に使用されるデータ（例えば、設定装置５００などの外部装置から受信したデータ）を一時的に格納するバッファとして、使用される。セキュリティチップは、データを保護する機能を有する記憶装置である。セキュリティチップは、例えば、記憶領域に対する自由なデータの読み書きと削除とを禁止し得る。本実施例では、第２不揮発性記憶装置１３５とプログラムＰＧ１とは、プロセッサ１１０がプログラムＰＧ１に従って第２不揮発性記憶装置１３５にアクセスする場合に、第２不揮発性記憶装置１３５の記憶領域ＳＡｓに対するデータの読み書きと削除とが許容されるように、構成されている。セキュリティチップとしては、例えば、Trusted Computing Group (TCG)によって策定された規格に準拠したTrusted platform module (TPM)が採用されてよい。

【0016】

第１不揮発性記憶装置１３０の記憶領域ＳＡｎ（通常記憶領域ＳＡｎとも呼ぶ）は、プログラムＰＧ１と、サービス設定情報ＳＩと、のそれぞれのデータを格納している。プログラムＰＧ１に従ってプロセッサ１１０によって実行される処理は、サービスサーバ３００との接続のための設定処理（オンボーディングとも呼ばれる）と、設定処理の後のサービスのための処理と、を含む。サービス設定情報ＳＩは、サービスのための処理で使用される情報であり、設定処理によって、通常記憶領域ＳＡｎに格納される。プログラムＰＧ１のデータは、プリンタ１００の製造時に、通常記憶領域ＳＡｎに格納される。なお、プログラムＰＧ１は、ネットワークを通じて図示しないサーバから、または、プリンタ１００に接続された図示しない携帯記憶装置（例えば、ＵＳＢフラッシュドライブ）から、通常記憶領域ＳＡｎに格納されてよい。

【0017】

第２不揮発性記憶装置１３５の記憶領域ＳＡｓ（セキュア記憶領域ＳＡｓとも呼ぶ）は、クレデンシャルＣＩと、秘密鍵ＳＫと、証明書ＣＴと、のそれぞれのデータを格納している。これらの情報ＣＩ、ＳＫ、ＣＴのそれぞれのデータは、設定処理によって、セキュア記憶領域ＳＡｓに格納される。情報ＣＩ、ＳＫ、ＣＴの詳細については、後述する。なお、図中の完了フラグＦＬＧ、後述する第２実施例で使用される。本実施例では、完了フラグＦＬＧは、省略される。

【0018】

設定装置５００は、製造事業者の計算機であり、例えば、パーソナルコンピュータ、スマートフォン、または、タブレットコンピュータである。設定装置５００は、プロセッサ５１０と、記憶装置５１５と、表示部５４０と、操作部５５０と、通信インタフェース５８０とを、有している。これらの要素は、図示しないバスを介して互いに接続されている。

【0019】

表示部５４０は、液晶ディスプレイ、有機ＥＬディスプレイなどの、画像を表示するように構成された装置である。操作部５５０は、ボタン、レバー、表示部５４０上に重ねて配置されたタッチパネルなどの、ユーザによる操作を受け取るように構成された装置である。通信インタフェース５８０は、他の装置と通信するためのインタフェースである（例えば、有線ＬＡＮ、IEEE802.11の無線ＬＡＮ、のうちの１種以上のインタフェースを含む）。通信インタフェース５８０は、第１ローカルエリアネットワークＬＮ１に接続されている。

【0020】

プロセッサ５１０は、データを処理するように構成された装置である（例えば、ＣＰＵ、または、ＳｏＣ）。記憶装置５１５は、揮発性記憶装置５２０と、不揮発性記憶装置５３０と、を含む。揮発性記憶装置５２０は、例えば、ＤＲＡＭであり、不揮発性記憶装置５３０は、例えば、フラッシュメモリである。

【0021】

不揮発性記憶装置５３０は、プログラムＰＧ５のデータを格納している。プログラムＰＧ５に従ってプロセッサ５１０によって実行される処理は、後述する初期設定処理を含む。

【0022】

次に、サーバ２００、３００のハードウェア構成について説明する。本実施例では、サーバ２００、３００は、類似するハードウェア構成を有している。サーバ２００、３００は、プロセッサ２１０、３１０と、記憶装置２１５、３１５と、通信インタフェース２８０、３８０とを、それぞれ有している。各サーバにおいて、これらの要素は、図示しないバスを介して互いに接続されている。通信インタフェース２８０、３８０は、他の装置と通信するためのインタフェースである（例えば、有線ＬＡＮ、IEEE802.11の無線ＬＡＮ、のうちの１種以上のインタフェースを含む）。各通信インタフェース２８０、３８０は、インターネットＩＴに接続されている。プロセッサ２１０、３１０は、データを処理するように構成された装置である（例えば、ＣＰＵ、または、ＳｏＣ）。記憶装置２１５、３１５は、揮発性記憶装置２２０、３２０と、不揮発性記憶装置２３０、３３０とを、それぞれ含む。揮発性記憶装置２２０、３２０は、例えば、ＤＲＡＭであり、不揮発性記憶装置２３０、３３０は、例えば、フラッシュメモリである。

【0023】

次に、各サーバ２００、３００について、説明する。サービスサーバ３００は、プリンタ１００を使用するサービスを提供するための処理を実行する。プリンタ１００を使用するサービスは、消耗品（インク、用紙など）の残量をネットワークを介して取得し、残量に応じて消耗品をユーザに配送する配送サービス、ネットワークを介してプリンタ１００に画像を印刷させるサービスなど、種々のサービスであってよい。サービスサーバ３００は、サービスを提供するサービス事業者によって、運用される。

【0024】

サービスサーバ３００の不揮発性記憶装置３３０は、プログラムＰＧ３と、バウチャーＶＣ１ａと、のそれぞれのデータを格納している。プロセッサ３１０は、プログラムＰＧ３を実行することによって、サービスを提供するための種々の処理を実行する（詳細は、後述）。プログラムＰＧ３は、サービス事業者によって、サービスサーバ３００にアップロードされる。バウチャーＶＣ１ａは、プリンタ１００とのサービスのための接続の確立に、使用される（詳細は、後述）。

【0025】

仲介サーバ２００は、適切なサーバに接続するための接続情報（例えば、ＩＰアドレス、ＵＲＬ等）を、デバイス（例えば、プリンタ１００）に提供する。仲介サーバ２００を運用する事業者は、プリンタ１００の製造事業者である。これに代えて、仲介サーバ２００を運用する事業者は、製造事業者とは異なる事業者であってよい。

【0026】

仲介サーバ２００の不揮発性記憶装置２３０は、プログラムＰＧ２と、アクセス情報テーブルＴ２と、のそれぞれのデータを格納している。プロセッサ２１０は、プログラムＰＧ２を実行することによって、接続情報を提供するための種々の処理を実行する（詳細は、後述）。プログラムＰＧ２は、仲介サーバ２００を運用する事業者によって、仲介サーバ２００にアップロードされる。アクセス情報テーブルＴ２Ａの詳細については、後述する。

【0027】

Ａ２．初期設定処理：
図２は、初期設定処理の例を示すシーケンス図である。初期設定処理は、例えば、プリンタ１００（図１）の製造工程の最後に、行われる。後述するように、初期設定処理によって、プリンタ１００の第２不揮発性記憶装置１３５のセキュア記憶領域ＳＡｓに、情報ＣＩ、ＳＫ、ＣＴのデータが格納される。初期設定処理は、プリンタ１００と設定装置５００とが第１ローカルエリアネットワークＬＮ１を介して通信可能な状態で、行われる。なお、初期設定処理は、第１ローカルエリアネットワークＬＮ１がインターネットＩＴから切り離された状態で、行われてよい。

【0028】

図中には、装置１００、５００の種々のステップが示されている。これらのステップは、装置１００、５００のプロセッサ１１０、５１０によって、それぞれ実行される。以下、装置１００、５００のプロセッサ１１０、５１０が処理を実行することを、単に、装置１００、５００が処理を実行する、とも表現する。

【0029】

Ｓ１１０では、プリンタ１００に、初期設定処理の開始指示が入力される。例えば、作業者は、プリンタ１００の操作部１５０を操作することによって、開始指示を入力する。開始指示に応じて、プリンタ１００は、初期設定処理を開始する。

【0030】

Ｓ１２０では、プリンタ１００は、プリンタ１００の状態が、初期化を許容する所定の状態であるか否かを判断する。本実施例では、所定の状態は、クレデンシャルＣＩと秘密鍵ＳＫと証明書ＣＴとのいずれもがセキュア記憶領域ＳＡｓに格納されていない第１状態ＳＴ１である（クレデンシャルＣＩは、後述する初期クレデンシャルＣＩ１と、更新されたクレデンシャル（例えば、第２クレデンシャルＣＩ２）と、を含む）。後述するように、情報ＣＩ、ＳＫ、ＣＴのデータは、初期設定処理によって、セキュア記憶領域ＳＡｓに格納される。従って、初期設定処理が実行される前には、プリンタ１００の状態は、第１状態ＳＴ１である。初期設定処理の完了後には、プリンタ１００の状態は、第１状態ＳＴ１とは異なる。

【0031】

プリンタ１００の状態が所定の状態でない場合（Ｓ１２０：Ｎｏ）、プリンタ１００は、Ｓ１３０で、後述するＳ２０５の処理を禁止して実行せずに、初期化処理を終了する。以上により、初期設定処理の完了後に、プリンタ１００に、初期設定処理の開始指示が誤って入力される場合に、情報ＣＩ、ＳＫ、ＣＴの意図しない更新は、回避可能である。なお、Ｓ１３０では、プリンタ１００は、表示部１４０にエラーメッセージを表示することが好ましい。

【0032】

プリンタ１００の状態が所定の状態である場合（Ｓ１２０：Ｙｅｓ）、プリンタ１００は、デバイス初期化処理Ｓ２００を開始する（単に、初期化処理Ｓ２００とも呼ぶ）。本実施例では、プリンタ１００と設定装置５００とは、「FIDO Device Onboard (FDO) protocols」（以下、「ＦＤＯプロトコル」と呼ぶ）の「Device Initialize Protocol (DI)」に従って、初期化処理Ｓ２００を実行する。ＦＤＯプロトコルは、例えば、上記の「FIDO Device Onboard Specification」（以下、「ＦＤＯ仕様書」と呼ぶ）によって、規定されている。

【0033】

初期化処理Ｓ２００は、Ｓ２０５－Ｓ２５０を含んでいる。Ｓ２０５では、プリンタ１００は、クレデンシャルの要求を、設定装置５００に送信する。Ｓ２１０では、設定装置５００は、要求に応じて、クレデンシャルを生成する（製造クレデンシャルと呼ぶ）。図３（Ａ）－図３（Ｈ）は、処理に使用される情報の例を示す説明図である。図３（Ａ）は、製造クレデンシャルの例を示している。製造クレデンシャルＣＩｍは、プロトコル情報ＰＩと、仲介サーバ情報ＲＳＩと、ＧＵＩＤと、デバイス情報ＤＩと、公開鍵ＰＫｍと、を含む。

【0034】

プロトコル情報ＰＩは、ＦＤＯプロトコルのバージョンを示している。仲介サーバ情報ＲＳＩは、ランデブーインフォとも呼ばれ、仲介サーバのネットワーク上の位置を示す位置情報（例えば、ＩＰアドレス、ＵＲＬ等）を含む。本実施例では、仲介サーバ情報ＲＳＩは、仲介サーバ２００（図１）を示している。ＧＵＩＤ（図２（Ａ））は、プリンタ１００の識別子であり、ランダムな値に設定される。以下、Ｓ２１０で生成されるＧＵＩＤが、ＧＵＩＤ１であることとする。デバイス情報ＤＩは、プリンタ１００の製造事業者によって任意に記述されるプリンタ１００に関する情報である。公開鍵ＰＫｍは、プリンタ１００の製造事業者が有する秘密鍵（製造秘密鍵と呼ぶ）に対応付けられる公開鍵である。以下、Ｓ２１０で生成される公開鍵ＰＫｍが、ＰＫｍ１であることとする。

【0035】

Ｓ２１５（図２）では、設定装置５００は、製造クレデンシャルＣＩｍのデータをプリンタ１００に送信する。Ｓ２２０では、プリンタ１００は、ランダムな値を使用してシークレットＳＣを生成する。

【0036】

Ｓ２２５では、プリンタ１００は、シークレットＳＣと製造クレデンシャルＣＩｍとを使用して、最終的なクレデンシャルＣＩを生成する（デバイスクレデンシャルＣＩとも呼ぶ）。図３（Ｂ）は、デバイスクレデンシャルの例を示している。デバイスクレデンシャルＣＩ１（単に、クレデンシャルＣＩ１とも呼ぶ）は、製造クレデンシャルＣＩｍ（図２（Ａ））に含まれる情報ＰＩ、ＲＳＩ、ＧＵＩＤ、ＤＩと同じ情報を含む。クレデンシャルＣＩ１は、更に、公開鍵ハッシュＰＫＨと、シークレットＳＣと、を含む。公開鍵ハッシュＰＫＨは、公開鍵ＰＫｍ（図２（Ａ））を所定のハッシュ関数を使用して変換することによって得られるハッシュ値である。以下、公開鍵ハッシュＰＫＨが、ＰＫＨ１であることとする。Ｓ２２５では、プリンタ１００は、生成したクレデンシャルＣＩ１のデータを、セキュア記憶領域ＳＡｓに格納する。以下、クレデンシャルＣＩ１を、初期クレデンシャルＣＩ１と呼ぶ。

【0037】

Ｓ２３０では、プリンタ１００は、ＨＭＡＣ（Keyed-Hashing for Message Authentication Code）を生成する。本実施例では、プリンタ１００は、シークレットＳＣを秘密鍵として使用し、製造クレデンシャルＣＩｍをメッセージとして使用することによって、ＨＭＡＣを算出する。以下、生成されるＨＭＡＣが、ＨＭＡＣ１であることとする。Ｓ２３５では、プリンタ１００は、生成したＨＭＡＣ１のデータを、設定装置５００に送信する。

【0038】

Ｓ２４０では、設定装置５００は、製造クレデンシャルＣＩｍとＨＭＡＣ（ここでは、ＨＭＡＣ１）とを使用して、バウチャーを生成する。図３（Ｃ）は、バウチャーの例を示している。バウチャーＶＣ１は、バウチャーヘッダＶＨを含んでいる。バウチャーヘッダＶＨ１は、上述した情報ＰＩ、ＲＳＩ、ＧＵＩＤ、ＤＩ、ＰＫｍ、ＨＭＡＣを含んでいる。以下、バウチャーＶＣ１を、初期バウチャーＶＣ１とも呼ぶ。

【0039】

Ｓ２４５では、設定装置５００は、生成した初期バウチャーＶＣ１のデータを、不揮発性記憶装置５３０に格納する。Ｓ２５０では、設定装置５００は、完了通知を、プリンタ１００に送信する。

【0040】

初期化処理Ｓ２００の後、証明書準備処理Ｓ２６０が行われる。証明書準備処理Ｓ２６０は、Ｓ２６２、Ｓ２６４、Ｓ２６６を含んでいる。Ｓ２６２では、設定装置５００は、秘密鍵ＳＫと、秘密鍵ＳＫに対応付けられる証明書ＣＴと、を取得する。秘密鍵ＳＫと証明書ＣＴとは、プリンタ１００とサービスサーバ３００との通信の安全性を向上するために、使用される。本実施例では、証明書ＣＴは、クライアント認証のためのクライアント証明書として使用される。

【0041】

本実施例では、設定装置５００は、ランダムな値を使用して秘密鍵ＳＫを生成する。設定装置５００は、秘密鍵ＳＫを使用して、証明書ＣＴを生成する。証明書ＣＴの構成は、秘密鍵ＳＫと証明書ＣＴとを使用することによって通信の安全性を向上可能な、任意の構成であってよい。本実施例では、証明書ＣＴは、秘密鍵ＳＫに対応する公開鍵ＰＫｃと、署名Ｓｃと、を含んでいる。署名Ｓｃは、公開鍵ＰＫｃを含む特定の情報と、認証局の秘密鍵とを使用して、生成される。本実施例では、設定装置５００が、認証局として、署名Ｓｃ（ひいては、証明書ＣＴ）を生成する（すなわち、設定装置５００の不揮発性記憶装置５３０には、認証局の秘密鍵のデータが、予め格納される）。

【0042】

これに代えて、設定装置５００は、外部の認証局サーバ（図示せず）に、秘密鍵ＳＫと証明書ＣＴとの生成を要求してよい。そして、設定装置５００は、認証局サーバから、秘密鍵ＳＫと証明書ＣＴとのそれぞれのデータを取得してよい。また、設定装置５００は、自分で秘密鍵ＳＫと公開鍵ＰＫｃとを生成し、公開鍵ＰＫｃを含む特定情報を認証局サーバに送信してよい。そして、設定装置５００は、認証局サーバによって生成された証明書ＣＴを認証局サーバから取得してよい。

【0043】

Ｓ２６４では、設定装置５００は、秘密鍵ＳＫと証明書ＣＴとのそれぞれのデータを、プリンタ１００に送信する。Ｓ２６６では、プリンタ１００は、秘密鍵ＳＫと証明書ＣＴとのそれぞれのデータを、セキュア記憶領域ＳＡｓに格納する。そして、図２の初期設定処理は、終了する。初期設定処理の後、プリンタ１００は、第１ローカルエリアネットワークＬＮ１から切り離され、そして、出荷される。

【0044】

Ａ３．バウチャー登録処理：
図４は、バウチャー登録処理の例を示すシーケンス図である。本実施例では、プリンタ１００は、サービスサーバ３００を運用するサービス事業者によって提供されるサービスに、使用されることとする。例えば、サービス事業者は、製造事業者からプリンタ１００を取得し、取得したプリンタ１００をユーザに提供する。製造事業者は、プリンタ１００の使用が開始される前に、バウチャー登録処理を開始する。バウチャー登録処理は、第１ローカルエリアネットワークＬＮ１（図１）がインターネットＩＴに接続された状態で、行われる。

【0045】

図中には、装置２００、３００、５００の種々のステップが示されている。これらのステップは、装置２００、３００、５００のプロセッサ２１０、３１０、５１０によって、それぞれ実行される。以下、装置２００、３００、５００のプロセッサ２１０、３１０、５１０が処理を実行することを、単に、装置２００、３００、５００が処理を実行する、とも表現する。

【0046】

Ｓ３１０では、設定装置５００は、プリンタ１００の新しいオーナーがサービス事業者であることを示すエントリを、Ｓ２４０（図２）で生成された初期バウチャーＶＣ１に追加する。図３（Ｄ）は、エントリの追加によって得られるバウチャーＶＣ１ａの例を示している。バウチャーＶＣ１ａは、初期バウチャーＶＣ１（図３（Ｃ））と第１エントリＥＴ１とを含んでいる。以下、バウチャーＶＣ１ａを、第１バウチャーＶＣ１ａと呼ぶ。

【0047】

第１エントリＥＴ１は、公開鍵ＰＫｓと、署名ＳＤと、を含んでいる。公開鍵ＰＫｓは、新オーナー（ここでは、サービス事業者）の秘密鍵に対応付けられる公開鍵である。署名ＳＤは、公開鍵ＰＫｓを含む情報を旧オーナー（ここでは、製造事業者）の秘密鍵を使用して暗号化することによって得られる。１個のエントリは、所有権の１回の移転を示している。所有権の移転がＮ回（Ｎは、ゼロ以上の整数）行われる場合、バウチャーＶＣは、Ｎ個のエントリを含む。最後のエントリの公開鍵に対応付けられるオーナーが、最新のオーナーである。以下、第１バウチャーＶＣ１ａの第１エントリＥＴ１において、公開鍵ＰＫｓがＰＫｓ１であり、署名ＳＤがＳＤ１であることとする。

【0048】

Ｓ３２０（図４）では、設定装置５００は、第１バウチャーＶＣ１ａのデータを、サービスサーバ３００に送信する。Ｓ３３０では、サービスサーバ３００は、第１バウチャーＶＣ１ａのデータを、不揮発性記憶装置３３０に格納する。

【0049】

Ｓ３４０では、サービスサーバ３００は、第１バウチャーＶＣ１ａとアクセス情報ＩＸａとの登録指示を、仲介サーバ２００に送信する。この指示は、第１バウチャーＶＣ１ａのデータと、アクセス情報ＩＸａのデータと、を含む。アクセス情報ＩＸａは、サービスサーバ３００にアクセスするための情報である。図３（Ｅ）は、アクセス情報の例を示している。アクセス情報ＩＸは、ネットワーク上の位置情報（例えば、ＩＰアドレス、ＵＲＬなど）と、ポート番号と、プロトコルと、を含む。サービスサーバ３００は、自身の位置情報を使用して、サービスサーバ３００を示すアクセス情報ＩＸａを生成する。Ｓ３４０は、ＦＤＯプロトコルの「Transfer Ownership Protocol 0 (TO0)」に従って、行われる。

【0050】

Ｓ３５０では、仲介サーバ２００は、第１バウチャーＶＣ１ａに含まれるＧＵＩＤ１と、アクセス情報ＩＸａとを、アクセス情報テーブルＴ２に登録する。図３（Ｆ）は、アクセス情報テーブルＴ２の例を示している。アクセス情報テーブルＴ２は、ＧＵＩＤとアクセス情報ＩＸとの対応関係を示している。第１行は、Ｓ３５０で登録されるＧＵＩＤ１とアクセス情報ＩＸａとを示している。

【0051】

以上により、バウチャー登録処理は、終了する。なお、Ｓ３４０の処理は、サービスサーバ３００に代えて、設定装置５００によって、実行されてよい。

【0052】

Ａ４．接続設定処理（オンボーディングの処理）：
図５は、接続設定処理の例を示すシーケンス図である。本実施例では、ユーザによるプリンタ１００（図１）の使用の開始時に、接続設定処理が行われる。接続設定処理は、プリンタ１００が第２ローカルエリアネットワークＬＮ２に接続された状態で、行われる。

【0053】

図中には、装置１００、２００、３００の種々のステップが示されている。これらのステップは、装置１００、２００、３００のプロセッサ１１０、２１０、３１０によって、それぞれ実行される。以下、装置１００、２００、３００のプロセッサ１１０、２１０、３１０が処理を実行することを、単に、装置１００、２００、３００が処理を実行する、とも表現する。

【0054】

Ｓ４０５で、ユーザは、プリンタ１００の電源を投入する。本実施例では、プリンタ１００は、電源投入を、ネットワークへの接続指示として扱う。プリンタ１００は、接続指示に応じて、図５の処理を開始する。

【0055】

Ｓ４１０では、プリンタ１００は、接続設定処理が要るか否かを判断する。接続設定処理が要ると判断するための接続処理条件は、種々の条件であってよい。本実施例では、接続処理条件は、サービス設定情報ＳＩが通常記憶領域ＳＡｎに格納されていないことである。

【0056】

接続処理条件が満たされる場合（Ｓ４１０：Ｙｅｓ）、プリンタ１００は、Ｓ４２０で、仲介サーバ２００と通信する。Ｓ４２０（Ｓ４２２、Ｓ４２４を含む）では、プリンタ１００は、ＦＤＯプロトコルの「Transfer Ownership Protocol 1 (TO1)」に従って、仲介サーバ２００からアクセス情報ＩＸａを取得する。Ｓ４２２では、プリンタ１００は、セキュア記憶領域ＳＡｓから最新のクレデンシャルＣＩ１（図３（Ｂ））の仲介サーバ情報ＲＳＩとＧＵＩＤ１とを取得する。仲介サーバ情報ＲＳＩは、仲介サーバ２００を示している。プリンタ１００は、ＧＵＩＤ１のデータを、仲介サーバ２００に送信する。Ｓ４２４では、仲介サーバ２００は、アクセス情報テーブルＴ２（図３（Ｆ））を参照し、そして、ＧＵＩＤ１に対応付けられるアクセス情報ＩＸａのデータを、プリンタ１００に送信する。

【0057】

Ｓ４２０の後、Ｓ５００で、プリンタ１００は、アクセス情報ＩＸａによって示されるサービスサーバ３００と通信する。Ｓ５００では、プリンタ１００は、ＦＤＯプロトコルの「Transfer Ownership Protocol 2 (TO2)」に従って、サービスサーバ３００との接続を行う。

【0058】

Ｓ５０５では、プリンタ１００は、バウチャーを検証する。バウチャーの検証は、例えば、以下のように行われる。プリンタ１００は、最新のクレデンシャルＣＩ１（図３（Ｂ））に含まれるＧＵＩＤ１のデータを、サービスサーバ３００に送信する。サービスサーバ３００は、ＧＵＩＤ１を示す第１バウチャーＶＣ１ａ（図３（Ｄ））のデータと、メッセージ署名のデータとを、プリンタ１００に送信する。メッセージ署名は、サービス事業者の秘密鍵を使用して、生成される。サービス事業者の秘密鍵は、第１バウチャーＶＣ１ａのエントリＥＴ１に含まれる公開鍵ＰＫｓ１に対応付けられる秘密鍵である。プリンタ１００は、クレデンシャルＣＩ１と第１バウチャーＶＣ１ａとを使用する検証を行う。本実施例では、この検証の方法は、ＦＤＯ仕様書のＴＯ２の解説で説明されているＦＤＯデバイスによるバウチャーの検証方法と同じである。この検証では、クレデンシャルＣＩ１の公開鍵ハッシュＰＫＨを使用して、第１バウチャーＶＣ１ａのヘッダＶＨの公開鍵ＰＫｍが検証される。検証済の公開鍵ＰＫｍを使用して、第１エントリＥＴ１の署名ＳＤ１が検証される。バウチャーが複数のエントリを含む場合には、検証済のエントリの公開鍵を使用して次のエントリの署名を検証する処理が、繰り返される。プリンタ１００は、検証済の最後のエントリ（本実施例では、第１エントリＥＴ１）に含まれる公開鍵（ここでは、公開鍵ＰＫｓ１）を使用して、メッセージ署名を検証する。以上により、第１バウチャーＶＣ１ａが検証される。

【0059】

また、Ｓ５０５では、プリンタ１００とサービスサーバ３００とは、予め決められたフォーマットの情報（例えば、ＥＡＴ（Entity Attestation Token））を使用して、互いにの正当性を検証する。

【0060】

本実施例では、Ｓ５０５のバウチャーの検証と正当性の検証とが成功することとする。図示を省略するが、バウチャーの検証、または、正当性の検証が失敗する場合、プリンタ１００とサービスサーバ３００とは、処理を終了する。

【0061】

Ｓ５０５の後、Ｓ５１０では、設定装置５００は、クレデンシャルの更新のための新情報を生成する。新情報は、クレデンシャルに含まれる種々の要素の情報であってよい。本実施例では、サービスサーバ３００は、公開鍵ＰＫｍとＧＵＩＤと仲介サーバ情報ＲＳＩとを新たに生成する。サービスサーバ３００は、ランダムな値を使用して秘密鍵を生成し、秘密鍵に対応付けられる公開鍵ＰＫｍを算出する（以下、算出される公開鍵ＰＫｍがＰＫｍ２であることとする）。また、サービスサーバ３００は、ランダムな値を使用してＧＵＩＤを生成する（以下、生成されるＧＵＩＤが、ＧＵＩＤ２であることとする）。新たな仲介サーバ情報ＲＳＩは、第１バウチャーＶＣ１ａに含まれる仲介サーバ情報ＲＳＩと同じであってよい。

【0062】

Ｓ５１５では、サービスサーバ３００は、生成した新情報ＰＫｍ２、ＧＵＩＤ２、ＲＳＩのデータを、プリンタ１００に送信する。Ｓ５２０では、プリンタ１００は、セキュア記憶領域ＳＡｓに格納されている最新のクレデンシャルＣＩ１に新情報ＰＫｍ２、ＧＵＩＤ２、ＲＳＩを適用することによって、更新済のクレデンシャルＣＩ２を生成する（第２クレデンシャルＣＩ２と呼ぶ）。プリンタ１００は、生成した第２クレデンシャルＣＩ２のデータを、セキュア記憶領域ＳＡｓに格納する。図３（Ｇ）は、第２クレデンシャルＣＩ２の例を示している。ＧＵＩＤは、サービスサーバ３００から提供されたＧＵＩＤ２に設定される。公開鍵ハッシュＰＫＨは、新しい公開鍵ＰＫｍ２から算出されるハッシュ値ＰＫＨ２に設定される。仲介サーバ情報ＲＳＩは、サービスサーバ３００から提供された仲介サーバ情報ＲＳＩに設定される。他の要素（例えば、プロトコル情報ＰＩ）の値は、更新前のクレデンシャルＣＩ１の対応する要素の値と同じである。なお、プリンタ１００は、初期クレデンシャルＣＩ１のデータを削除せずに、維持する。

【0063】

Ｓ５２５では、プリンタ１００は、シークレットＳＣと第２クレデンシャルＣＩ２とを使用して、ＨＭＡＣを生成する（生成されるＨＭＡＣが、ＨＭＡＣ２であることとする）。Ｓ５３０では、プロセッサ１１０は、生成したＨＭＡＣ２のデータを、サービスサーバ３００に送信する。

【0064】

Ｓ５３５では、サービスサーバ３００は、Ｓ５１０で生成された新情報と、Ｓ５３０で取得されるＨＭＡＣ２と、を使用して、新たなバウチャーＶＣ２を生成する（第２バウチャーＶＣ２と呼ぶ）。図３（Ｈ）は、第２バウチャーＶＣ２の例を示している。第２バウチャーＶＣ２は、バウチャーヘッダＶＨ２を含んでいる。バウチャーヘッダＶＨ２は、新情報ＧＵＩＤ２、ＰＫｍ２、ＲＳＩと、新たなＨＭＡＣ２と、を示している。なお、第２バウチャーＶＣ２の複数の要素のうち、新情報と新たなＨＭＡＣと以外の要素（例えば、プロトコル情報ＰＩ）は、Ｓ５０５の検証に使用された第１バウチャーＶＣ１ａの対応する要素と同じ値に設定されてよい。また、本実施例では、サービスサーバ３００は、エントリの無い第２バウチャーＶＣ２を生成する。バウチャーヘッダＶＨ２の公開鍵ＰＫｍはサービス事業者の秘密鍵に対応しているので、第２バウチャーＶＣ２は、オーナーがサービス事業者であることを示している。なお、サービスサーバ３００は、サービスサーバ３００を示すエントリを第２バウチャーＶＣ２に追加してよい。

【0065】

Ｓ５４０では、サービスサーバ３００は、第２バウチャーＶＣ２のデータを、不揮発性記憶装置３３０に格納する。

【0066】

プリンタ１００は、Ｓ５３０の後、Ｓ５６０で、証明書ＣＴを含む認証情報のデータを、サービスサーバ３００に送信する。Ｓ５６５では、サービスサーバ３００は、プリンタ１００との接続を確立するために、認証情報を使用してプリンタ１００を認証する。認証方法は、種々の方法であってよく、認証情報は、認証に使用される種々の情報を含んでよい。本実施例では、サービスサーバ３００の不揮発性記憶装置３３０には、Ｓ２６２（図２）で証明書ＣＴの生成に使用された認証局の秘密鍵に対応する公開鍵（第１公開鍵と呼ぶ）のデータが、信用済の鍵として、予め格納される。サービスサーバ３００は、第１公開鍵を使用して、証明書ＣＴに含まれる署名を検証する（本実施例では、この検証に成功することとする）。なお、サービスサーバ３００は、認証局の第１公開鍵を、認証局サーバ（図示せず）から取得してよい。

【0067】

なお、プリンタ１００とサービスサーバ３００との接続が許可されるための接続条件は、証明書ＣＴを使用するクライアント認証の成功に加えて、サーバ認証の成功を含んでよい。サーバ認証の方法は、クライアント認証の方法におけるサーバとクライアントとの立場を入れ替えたものと同じである。サービスサーバ３００は、サービスサーバ３００の証明書（サーバ証明書と呼ぶ）を、プリンタ１００に送信する。プリンタ１００は、サーバ証明書に署名した認証局の公開鍵（第２公開鍵と呼ぶ）を使用して、サーバ証明書を検証する。第２公開鍵のデータは、プリンタ１００のセキュア記憶領域ＳＡｓに、信用済の鍵として、予め格納されてよい。これに代えて、プリンタ１００は、サーバ証明書に対応付けられる認証局サーバ（図示せず）から、第２公開鍵のデータを取得してよい。なお、第２公開鍵に対応する認証局は、第１公開鍵に対応する認証局と、同じであってよく、異なってよい。

【0068】

接続条件が満たされる場合、サービスサーバ３００は、プリンタ１００とのサービスのための接続を確立する。具体的には、Ｓ５７０で、サービスサーバ３００は、プリンタ１００を使用するサービスに使用されるサービス設定情報ＳＩを生成し、サービス設定情報ＳＩのデータを、プリンタ１００に送信する。サービス設定情報ＳＩは、サービスに使用される任意の情報であってよい（例えば、通信用のトークン、通信プロトコル、サービス用の識別番号、など）。Ｓ５７５では、プリンタ１００は、サービス設定情報ＳＩのデータを、通常記憶領域ＳＡｎに格納する。

【0069】

図示を省略するが、接続条件が満たされない場合（例えば、証明書ＣＴの検証が失敗する場合）、サービスサーバ３００は、Ｓ５７０を実行せずに、接続設定処理を終了する。この場合、プリンタ１００は、セキュア記憶領域ＳＡｓの最新のクレデンシャルを、Ｓ５２０による更新の前のクレデンシャル（ここでは、初期クレデンシャルＣＩ１）に戻すことが好ましい。サービスサーバ３００は、プリンタ１００のためのバウチャーを、Ｓ５３５による更新の前のバウチャー（ここでは、第１バウチャーＶＣ１ａ）に戻すことが好ましい。

【0070】

Ｓ５００の後、Ｓ６５０で、プリンタ１００とサービスサーバ３００とは、サービス設定情報ＳＩを使用して、サービスのための通信を行う。

【0071】

以上により、接続設定処理が終了する。接続設定処理により、プリンタ１００のクレデンシャルは、第２クレデンシャルＣＩ２に更新される。サービスサーバ３００は、第２クレデンシャルＣＩ２に対応付けられる第２バウチャーＶＣ２を取得する。そして、プリンタ１００は、サービスのための処理で使用されるサービス設定情報ＳＩを取得する。

【0072】

なお、Ｓ４１０で、接続設定処理が不要と判断される場合（Ｓ４１０：Ｎｏ）、プリンタ１００は、Ｓ６５０へ移行する。本実施例では、Ｓ４１０の判断結果がＮｏである場合、通常記憶領域ＳＡｎに、サービス設定情報ＳＩが格納済である。プリンタ１００は、サービス設定情報ＳＩを使用して、サービスサーバ３００とサービスのための通信を行う。

【0073】

Ａ５．リセット処理：
本実施例では、プリンタ１００は、プリンタ１００の状態を工場出荷時の状態に戻すファクトリリセットを実行することができる。例えば、解消が困難なエラーがプリンタ１００に発生した場合や、第三者にプリンタ１００を譲渡する場合などに、ユーザは、プリンタ１００にファクトリリセットを実行させる。ファクトリリセットでは、プリンタ１００は、プリンタ１００がユーザに納品された後にプリンタ１００の記憶装置１１５に格納されたデータ（例えば、第２クレデンシャルＣＩ２、サービス設定情報ＳＩ）を、全て削除する。工場出荷時に記憶装置１１５に格納済のデータ（例えば、プログラムＰＧ１、初期クレデンシャルＣＩ１、秘密鍵ＳＫ、証明書ＣＴ）は、削除されない。

【0074】

ファクトリリセットによって第２クレデンシャルＣＩ２とサービス設定情報ＳＩとが削除されるので、ファクトリリセットの後には、プリンタ１００は、そのままでは、サービスサーバ３００とのサービスのための接続を確立することができない。ユーザが、サービスサーバ３００を使用するサービスを、リセット処理の後にも使用したい場合、再度、上述した接続設定処理（図５）が行われる。Ｓ５０５の検証処理では、プリンタ１００は、削除された第２クレデンシャルＣＩ２の代わりに、初期クレデンシャルＣＩ１を使用する。サービスサーバ３００は、更新済の第２バウチャーＶＣ２を、プリンタ１００に提供する。第２バウチャーＶＣ２は、初期クレデンシャルＣＩ１には対応していないので、初期クレデンシャルＣＩ１と第２バウチャーＶＣ２とを使用する検証は、失敗し得る。

【0075】

そこで、本実施例では、プリンタ１００は、ファクトリリセットとは異なる再使用リセットを実行することができる。再使用リセットは、再使用リセットの後に接続設定処理が適切に行われるように、構成されている。以下、再使用リセットを含むリセット処理について、説明する。

【0076】

図６は、リセット処理の例を示すシーケンス図である。図中には、装置１００、２００、３００の種々のステップが示されている。これらのステップは、装置１００、２００、３００のプロセッサ１１０、２１０、３１０によって、それぞれ実行される。以下、装置１００、２００、３００のプロセッサ１１０、２１０、３１０が処理を実行することを、単に、装置１００、２００、３００が処理を実行する、とも表現する。

【0077】

Ｓ７１０では、ユーザは、操作部１５０を操作することによって、リセット指示をプリンタ１００に入力する。リセット指示に応じて、プリンタ１００は、リセット処理を開始する。

【0078】

Ｓ７１５では、プリンタ１００は、使用中のサービスを特定する。本実施例では、プリンタ１００は、通常記憶領域ＳＡｎからサービス設定情報を検索し、見つかったサービス設定情報に対応付けられるサービスを、使用中のサービスとして特定する。以下、サービス設定情報ＳＩに対応付けられるサービスＡが、特定されることとする。

【0079】

Ｓ７２０では、プリンタ１００は、指示入力画面を表示部１４０に表示する。図７は、指示入力画面の例を示す図である。指示入力画面ＵＩは、メッセージＭＳと、ボタンＢ１、Ｂ２と、を含む。メッセージＭＳは、使用中のサービスの通知と、使用中のサービスをリセット後にも使用するか否かの問合せと、を表している。第１ボタンＢ１は、リセット後にサービスを使用する指示（再使用指示とも呼ぶ）を入力するためのボタンである。第２ボタンＢ２は、リセット後にサービスを使用しない指示を入力するためのボタンである。ユーザは、操作部１５０を操作することによって、これらの要素Ｂ１、Ｂ２を操作できる。

【0080】

第２ボタンＢ２が操作される場合、プリンタ１００は、ファクトリリセットを実行してプリンタ１００の状態を工場出荷時の状態に戻し、リセット処理を終了する（図示省略）。この場合、ユーザは、製造事業者、または、サービス事業者に、プリンタ１００の初期設定処理とバウチャー登録処理とを要求してよい。

【0081】

第１ボタンＢ１が操作される場合（Ｓ７２５）、Ｓ７３０で、プリンタ１００は、バウチャーとアクセス情報との登録指示を、使用中のサービスを提供するサービスサーバ３００に送信する。この指示は、最新のクレデンシャルＣＩ２に含まれるＧＵＩＤ２のデータを含んでいる。

【0082】

Ｓ７３５では、サービスサーバ３００は、Ｓ７３０の指示に応じて、バウチャーとアクセス情報との登録指示を、仲介サーバ２００に送信する。この指示は、Ｓ７３０で取得されるＧＵＩＤ２を示す第２バウチャーＶＣ２のデータと、自身の位置情報を含むアクセス情報ＩＸａのデータと、を含んでいる。第２バウチャーＶＣ２のデータは、図５のＳ５４０で、不揮発性記憶装置３３０に格納済である。Ｓ７３５は、ＦＤＯプロトコルのＴＯ０に従って、行われる。

【0083】

Ｓ７４０では、仲介サーバ２００は、第２バウチャーＶＣ２に含まれるＧＵＩＤ２と、アクセス情報ＩＸａとを、アクセス情報テーブルＴ２に登録する。

【0084】

プリンタ１００は、Ｓ７３０の後、Ｓ７４５で、再使用指示のためのリセットである再使用リセットを実行する。ファクトリリセットと異なる点は、再使用リセットでは、最新のクレデンシャル（ここでは、第２クレデンシャルＣＩ２）のデータは、削除されずに維持される点である。再使用リセットでは、プリンタ１００は、サービス設定情報ＳＩを、通常記憶領域ＳＡｎから削除し、第２クレデンシャルＣＩ２と秘密鍵ＳＫと証明書ＣＴとのそれぞれのデータを、セキュア記憶領域ＳＡｓから削除せずに、維持する。

【0085】

以上のように、リセット指示（Ｓ７１０）に応じて、Ｓ７１５－Ｓ７４５を含むリセット処理Ｓ７００が行われる。リセット処理Ｓ７００の後、Ｓ４０５で、ユーザは、接続指示をプリンタ１００に入力する（例えば、ユーザは、プリンタ１００の電源を入れ直す）。接続指示に応じて、設定処理Ｓ８００が行われる。この設定処理Ｓ８００の手続きは、図５の設定処理の手続きと、同じである。ただし、以下に説明するように、手続きに使用される情報の一部は、図５の設定処理で使用される情報と異なっている。

【0086】

Ｓ４１０（図６）では、サービス設定情報ＳＩが通常記憶領域ＳＡｎに格納されていないので、判断結果はＹｅｓである。この場合、Ｓ４２０Ａの処理（ＴＯ１の処理）と、Ｓ５００Ａの処理（ＴＯ２の処理）と、が行われる。

【0087】

Ｓ４２０Ａの処理は、ＧＵＩＤ１に代えてＧＵＩＤ２が使用される点を除いて、図５のＳ４２０の処理と同じである。プリンタ１００は、ＧＵＩＤ２に対応付けられるアクセス情報ＩＸａのデータを、仲介サーバ２００から取得する。

【0088】

Ｓ５００Ａの処理は、初期クレデンシャルＣＩ１と第１バウチャーＶＣ１ａとに代えて、第２クレデンシャルＣＩ２と第２バウチャーＶＣ２とが使用される点を除いて、図５のＳ５００の処理と同じである。

【0089】

図５のＳ５０５に相当するステップでは、第２クレデンシャルＣＩ２と第２バウチャーＶＣ２とを使用する検証が、行われる。図５のＳ５３５で説明したように、第２バウチャーＶＣ２は、第２クレデンシャルＣＩ２に対応している。従って、バウチャーの検証は、成功する（図５の処理と同様に、正当性の検証も成功することとする）。

【0090】

図５のＳ５１５－Ｓ５４０に相当するステップでは、クレデンシャルとバウチャーとが更新される。

【0091】

図５のＳ５６０－Ｓ５６５に相当するステップでは、証明書ＣＴが検証される。図５の処理と同様に、証明書ＣＴの検証は成功し、接続条件が満たされることとする。

【0092】

図５のＳ５７０－Ｓ５７５に相当するステップでは、サービスサーバ３００は、プリンタ１００とのサービスのための接続を確立する。具体的には、プリンタ１００は、サービスサーバ３００から、サービス設定情報ＳＩを取得する。なお、Ｓ５００Ａで取得されるサービス設定情報ＳＩの内容は、図５のＳ５００で取得されるサービス設定情報ＳＩの内容から、変更されてよい。

【0093】

Ｓ５００Ａの後のＳ６５０は、図５のＳ６５０と同じである。プリンタ１００とサービスサーバ３００とは、サービス設定情報ＳＩを使用して、サービスのための通信を行う。

【0094】

以上のように、本実施例では、プリンタ１００（図１）は、セキュア記憶領域ＳＡｓを備えている。プリンタ１００のプロセッサ１１０は、以下の処理を実行する。Ｓ１２０（図２）では、プロセッサ１１０は、プリンタ１００の状態が所定の状態か否かを判断する。プロセッサ１１０は、プリンタ１００の状態が所定の状態である場合には（Ｓ１２０：Ｙｅｓ）、Ｓ２０５の処理を禁止せずに、プリンタ１００の状態が所定の状態でない場合に（Ｓ１２０：Ｎｏ）、Ｓ１３０で、Ｓ２０５の処理を禁止する。Ｓ２０５の処理は、クレデンシャルの要求を、外部装置の例である設定装置５００に送信する処理である。要求されるクレデンシャルＣＩｍは、図３（Ａ）で説明したように、仲介サーバ情報ＲＳＩとＧＵＩＤとを含んでいる。仲介サーバ情報ＲＳＩは、ネットワークＩＴ、ＬＮ２を介してプリンタ１００と通信可能な仲介サーバ２００の位置情報（ＩＰアドレス、ＵＲＬなど）を表している。ＧＵＩＤは、プリンタ１００に割り当てられた識別情報の例である。このように、仲介サーバ情報ＲＳＩとＧＵＩＤとの全体は、仲介サーバ２００の位置情報とプリンタ１００に割り当てられる識別情報とを含む特定情報の例である（以下、仲介サーバ情報ＲＳＩとＧＵＩＤとの全体を、特定情報Ｉｋと呼ぶ）。Ｓ２０５のクレデンシャルの要求は、特定情報Ｉｋの要求を含んでいる。

【0095】

Ｓ２１５では、設定装置５００からプリンタ１００にクレデンシャルＣＩｍ（特定情報Ｉｋを含む）が送信される場合に、プロセッサ１１０は、クレデンシャルＣＩｍを受信する。Ｓ２２５では、プリンタ１００は、特定情報Ｉｋを含むクレデンシャル（ここでは、クレデンシャルＣＩ１）をセキュア記憶領域ＳＡｓに格納する格納処理を実行する。本実施例では、設定装置５００は、プリンタ１００からクレデンシャルの要求を受信しない場合には、クレデンシャルＣＩｍをプリンタ１００に送信しない。従って、特定情報Ｉｋを含むクレデンシャルの格納処理が禁止されるか否かの判断は、省略される（すなわち、格納処理は、禁止されずに、許容される）。

【0096】

Ｓ４２０（図５）では、プロセッサ１１０は、セキュア記憶領域ＳＡｓに格納されるクレデンシャルＣＩ１（図３（Ｂ））の特定情報Ｉｋを使用して、仲介サーバ情報ＲＳＩによって示される仲介サーバ２００にアクセスして、ＧＵＩＤ１に対応付けられるアクセス情報ＩＸａを仲介サーバ２００から取得する。アクセス情報ＩＸａは、図３（Ｅ）で説明したように、ネットワークＩＴ、ＬＮ２を介して通信可能なサービスサーバ３００にアクセスするための情報の例である。サービスサーバ３００は、特定のサービスを提供する対象サーバの例である。

【0097】

Ｓ５００（図５）では、プロセッサ１１０は、取得されるアクセス情報ＩＸａを使用して、サービスサーバ３００にアクセスして、特定のサービスを使用するためのサービス設定情報ＳＩをサービスサーバ３００から取得する。

【0098】

このように、プリンタ１００の状態が所定の状態でない場合に（図２：Ｓ１２０：Ｎｏ）、Ｓ１３０で、プロセッサ１１０は、特定情報Ｉｋの要求をプリンタ１００の外部にある設定装置５００に送信する処理（Ｓ２０５）を禁止する。従って、プリンタ１００に情報が不正に格納される可能性は、低減する。

【0099】

また、図２のＳ１２０で説明したように、所定の状態は、秘密鍵ＳＫと、秘密鍵ＳＫに対応付けられるとともにサービスサーバ３００との通信で使用すべき証明書ＣＴと、を含む情報（対象情報とよぶ）がセキュア記憶領域ＳＡｓに格納されていない状態である。従って、秘密鍵ＳＫと証明書ＣＴとがセキュア記憶領域ＳＡｓに格納されている場合に、秘密鍵ＳＫまたは証明書ＣＴが不適切な情報に更新される可能性は、低減する。

【0100】

また、図２のＳ１２０で説明したように、所定の状態は、クレデンシャルＣＩ（ひいては、特定情報Ｉｋ）を含む対象情報がセキュア記憶領域ＳＡｓに格納されていない状態である、従って、クレデンシャルＣＩ（例えば、初期クレデンシャルＣＩ１、または、第２クレデンシャルＣＩ２）がセキュア記憶領域ＳＡｓに格納されている場合に、クレデンシャルＣＩが不適切なクレデンシャルに更新される可能性は、低減する。

【0101】

また、プリンタ１００（図１）は、通常記憶領域ＳＡｎを備えている。プリンタ１００のプロセッサ１１０は、以下の処理を実行する。Ｓ５７５（図５）では、プロセッサ１１０は、サービスサーバ３００から取得されるサービス設定情報ＳＩを通常記憶領域ＳＡｎに格納する。Ｓ５１５では、プロセッサ１１０は、サービスサーバ３００から新たな特定情報Ｉｋ（例えば、ＧＵＩＤ２、ＲＳＩ）を取得する。Ｓ５２０では、プロセッサ１１０は、新たな特定情報Ｉｋをセキュア記憶領域ＳＡｓに格納する。Ｓ７４５（図６）では、プロセッサ１１０は、再使用リセットを実行する。再使用リセットでは、プロセッサ１１０は、セキュア記憶領域ＳＡｓに格納される最新の特定情報（ここでは、最新のクレデンシャルＣＩ２に含まれる特定情報Ｉｋ）をセキュア記憶領域ＳＡｓから削除せずに、サービス設定情報ＳＩを通常記憶領域ＳＡｎから削除する。最新のクレデンシャルＣＩ２の特定情報Ｉｋは、Ｓ５１５（図５）で取得された新たな特定情報Ｉｋである。

【0102】

このように、再使用リセットでは、最新の特定情報は削除されないので、プロセッサ１１０は、再使用リセットの後に、特定情報を使用して仲介サーバと通信できる。また、サービス設定情報ＳＩがエラーを含む場合に、プロセッサ１１０は、再使用リセットによって、エラーの原因であるサービス設定情報ＳＩを削除できる。

【0103】

また、Ｓ７３０（図６）では、プロセッサ１１０は、再使用リセットを実行すべき場合（Ｓ７２５）に、ＧＵＩＤ２に対応付けられるアクセス情報ＩＸａを仲介サーバ２００に登録する指示を、サービスサーバ３００に送信する。従って、再使用リセット（Ｓ７４５）の後に、プロセッサ１１０は、仲介サーバ２００にアクセスして、ＧＵＩＤ２に対応付けられるアクセス情報ＩＸａを仲介サーバ２００から取得できる（Ｓ４２０Ａ）。

【0104】

また、プロセッサ１１０は、Ｓ２０５（図２）で、クレデンシャル（特定情報Ｉｋを含む）の要求を設定装置５００に送信する。Ｓ２１５では、特定情報Ｉｋは、特定情報Ｉｋの要求に応じて設定装置５００から送信される。そして、プリンタ１００による特定情報Ｉｋの要求の送信と特定情報Ｉｋの受信とは、FIDO Device Onboarding (FDO) のDevice Initialize Protocol (DI)に従って、行われる。従って、特定情報Ｉｋの取得のためのプロトコルを新たに準備する場合と比べて、プリンタ１００と設定装置５００との接続のための設計の負担は、軽減可能である。

【0105】

また、仲介サーバ２００からのアクセス情報ＩＸａの取得（図５：Ｓ４２０、図６：Ｓ４２０Ａ）は、FIDO Device Onboarding (FDO) のTransfer Ownership Protocol 1 (TO1)に従って、行われる。すなわち、プリンタ１００のプロセッサ１１０は、オンボーディングの処理の一環として、アクセス情報ＩＸａを取得できる。従って、アクセス情報ＩＸａの取得のためのプロトコルを新たに準備する場合と比べて、プリンタ１００と仲介サーバ２００との安全な接続のための設計の負担は、軽減可能である。

【0106】

また、 サービスサーバ３００からのサービス設定情報ＳＩの取得（図５：Ｓ５７０）は、FIDO Device Onboarding (FDO) のTransfer Ownership Protocol 2 (TO2) に従って、行われる。すなわち、プリンタ１００のプロセッサ１１０は、オンボーディングの処理の一環として、サービス設定情報ＳＩを取得できる。従って、サービス設定情報ＳＩの取得のためのプロトコルを新たに準備する場合と比べて、プリンタ１００とサービスサーバ３００との安全な接続のための設計の負担は、軽減可能である。

【0107】

Ｂ．第２実施例：
図８（Ａ）、図８（Ｂ）は、初期設定処理とリセット処理との別の実施例を示すシーケンス図である。図８（Ａ）の初期設定処理は、図２の初期設定処理の代わりに、実行される。図８（Ｂ）のリセット処理は、図６のリセット処理Ｓ７００の代わりに、実行される。図２、図６の実施例との差異は、初期化を許容するか否かがフラグを使用して判断される点である。

【0108】

まず、図８（Ａ）の初期設定処理について説明する。図２の初期設定処理と図８（Ａ）の初期設定処理との間の差異は、Ｓ１２０がＳ１２０Ｂに置換され、Ｓ２６０の後にＳ２７０Ｂが追加されている点だけである。図８（Ａ）において、図２のステップと同じステップには、同じ符号を付して、説明を省略する。

【0109】

開始指示の入力（Ｓ１１０）に応じて、プリンタ１００は、Ｓ１２０Ｂで、プリンタ１００の状態が、初期化を許容する所定の状態であるか否かを判断する。本実施例では、所定の状態は、「初期化完了」を示す完了フラグＦＬＧのデータがセキュア記憶領域ＳＡｓに格納されていない第２状態ＳＴ２である。後述するように、完了フラグＦＬＧのデータは、初期設定処理の最後に、セキュア記憶領域ＳＡｓに格納される。初期設定処理が完了する前には、完了フラグＦＬＧのデータは、セキュア記憶領域ＳＡｓには格納されていない。完了フラグＦＬＧのデータがセキュア記憶領域ＳＡｓに格納されていないことは、初期設定処理が未完了であることを示している。初めて初期設定処理が実行される場合、Ｓ１２０Ｂでは、プリンタ１００の状態は、第２状態ＳＴ２である。

【0110】

プリンタ１００の状態が所定の状態でない場合（Ｓ１２０Ｂ：Ｎｏ）、プリンタ１００は、Ｓ１３０で、Ｓ２０５の処理を禁止して実行せずに、初期化処理を終了する。Ｓ１３０は、図２のＳ１３０と同じである。プリンタ１００の状態が所定の状態である場合（Ｓ１２０Ｂ：Ｙｅｓ）、プリンタ１００は、デバイス初期化処理Ｓ２００を開始する。図８（Ａ）のＳ２００は、図２のＳ２００と同じである。Ｓ２００の後、Ｓ２６０の処理が実行される。図８（Ａ）のＳ２６０は、図２のＳ２６０と同じである。

【0111】

Ｓ２６０の後、Ｓ２７０Ｂで、プリンタ１００は、完了フラグＦＬＧのデータをセキュア記憶領域ＳＡｓに格納する。そして、初期設定処理は終了する。このように、プリンタ１００は、初期設定処理の最後に、完了フラグＦＬＧのデータをセキュア記憶領域ＳＡｓに格納する。

【0112】

次に、図８（Ｂ）のリセット処理Ｓ７００Ｂについて説明する。図６のリセット処理Ｓ７００と図８（Ｂ）のリセット処理Ｓ７００Ｂとの間の差異は、Ｓ７４５がＳ７４５Ｂに置換されている点だけである。図８（Ｂ）において、図６のステップと同じステップには、同じ符号を付して、説明を省略する。

【0113】

Ｓ７１０－Ｓ７４０は、図６のＳ７１０－Ｓ７４０と、それぞれ同じである。本実施例では、図６の実施例と同様に、再使用指示（Ｓ７２５）が入力されることとする。Ｓ７３０の後、プリンタ１００は、Ｓ７４５Ｂで、再使用リセットを実行する。図６の再使用リセット（Ｓ７４５）との差異は、完了フラグＦＬＧのデータが、削除されずに維持される点だけである。本実施例の再使用リセットでは、プリンタ１００は、サービス設定情報ＳＩを、通常記憶領域ＳＡｎから削除し、最新のクレデンシャルＣＩ２と秘密鍵ＳＫと証明書ＣＴと完了フラグＦＬＧとのそれぞれのデータを、セキュア記憶領域ＳＡｓから削除せずに、維持する。なお、初期クレデンシャルＣＩ１のデータも、削除されずに維持される。

【0114】

以上のように、本実施例では、プリンタ１００のプロセッサ１１０は、Ｓ１２０Ｂ（図８（Ａ））で、完了フラグＦＬＧを使用することによって、プリンタ１００の状態が未初期化の状態であるか否かを適切に判断できる。

【0115】

なお、初期設定処理とリセット処理と以外の処理（例えば、図４、図５の処理）は、上記の実施例と同じである。また、本実施例の初期設定処理（図８（Ａ））は、図２の初期設定処理からＳ１２０Ｂを除いた残りのステップを含んでいる。本実施例のリセット処理Ｓ７００Ｂ（図８（Ｂ））は、図６のリセット処理Ｓ７００からＳ７４５を除いた残りのステップを含んでいる。従って、本実施例は、図２、図４、図５、図６の実施例のものと同じ種々の利点を有する。

【0116】

Ｃ．第３実施例：
図９は、初期設定処理の別の実施例を示すシーケンス図である。本実施例では、プリンタ１００は、外部装置からのコマンドを待ち受ける待機モードで動作可能である。待機モードでは、プロセッサ１１０は、外部装置から提供されるコマンドに従って、処理を実行する。使用可能なコマンドは、例えば、ファクトリリセット、再使用リセット、クレデンシャル格納など、種々のコマンドを含んでよい。

【0117】

図中には、装置１００、５００の種々のステップが示されている。これらのステップは、装置１００、５００のプロセッサ１１０、５１０によって、それぞれ実行される。以下、装置１００、５００のプロセッサ１１０、５１０が処理を実行することを、単に、装置１００、５００が処理を実行する、とも表現する。

【0118】

Ｓ１１０Ｃでは、プリンタ１００に、待機モードでの動作の開始指示が入力される。例えば、作業者は、プリンタ１００の操作部１５０を操作することによって、開始指示を入力する。開始指示に応じて、プリンタ１００は、待機モードでの動作を開始する。また、本実施例では、Ｓ１１２Ｃで、設定装置５００に、初期設定処理の開始指示が入力される。例えば、作業者は、設定装置５００の操作部５５０を操作することによって、開始指示を入力する。開始指示に応じて、設定装置５００は、Ｓ２１０の処理を実行する。Ｓ２１０は、図２のＳ２１０と同じである。設定装置５００は、製造クレデンシャルＣＩｍを生成する。

【0119】

Ｓ２１５Ｃでは、設定装置５００は、クレデンシャルの格納指示を、プリンタ１００に送信する。この指示は、クレデンシャル格納を示すコマンドと、製造クレデンシャルＣＩｍと、のそれぞれのデータと、を含んでいる。プリンタ１００は、設定装置５００からのデータを受信する。プリンタ１００は、受信したデータを、セキュア記憶領域ＳＡｓ以外の記憶領域（例えば、揮発性記憶装置１２０、または、第１不揮発性記憶装置１３０）に格納する。

【0120】

プリンタ１００は、設定装置５００から受信したコマンドに対応付けられる処理を実行する。コマンドがクレデンシャル格納を示す場合（Ｓ２１５Ｃ）、Ｓ２１７Ｃで、プリンタ１００は、プリンタ１００の状態が、初期化を許容する所定の状態であるか否かを判断する。所定の状態は、例えば、図２で説明した第１状態ＳＴ１と、図８（Ａ）で説明した第２状態ＳＴ２と、から予め選択された状態であってよい。

【0121】

プリンタ１００の状態が所定の状態でない場合（Ｓ２１７Ｃ：Ｎｏ）、プリンタ１００は、Ｓ２１８Ｃで、後述するＳ２２５を禁止して実行せずに、処理を終了する。そして、プリンタ１００は、次のコマンドを待つ。これに代えて、プリンタ１００は、待機モードでの動作を終了してよい。なお、Ｓ２１８Ｃでは、プリンタ１００は、表示部１４０にエラーメッセージを表示することが好ましい。

【0122】

プリンタ１００の状態が所定の状態である場合（Ｓ２１７Ｃ：Ｙｅｓ）、プリンタ１００は、Ｓ２２０、Ｓ２２５の処理を実行する。Ｓ２２０、Ｓ２２５は、図２のＳ２２０、Ｓ２２５と、それぞれ同じである。Ｓ２２５の後、図２の実施例と同様に、Ｓ２３０、Ｓ２３５、Ｓ２４０、Ｓ２４５、Ｓ２５０の処理が、それぞれ実行される。

【0123】

以上のように、Ｓ２１０－Ｓ２５０を含むデバイス初期化処理Ｓ２００Ｃが実行される。デバイス初期化処理Ｓ２００Ｃでは、プリンタ１００は、セキュア記憶領域ＳＡｓに初期クレデンシャルＣＩ１を格納し（Ｓ２２５）、設定装置５００は、不揮発性記憶装置５３０に初期バウチャーＶＣ１を格納する（Ｓ２４５）。

【0124】

デバイス初期化処理Ｓ２００Ｃの後、証明書準備処理Ｓ２６０が行われる。Ｓ２６０は、図２のＳ２６０と同じである。証明書準備処理Ｓ２６０では、プリンタ１００は、秘密鍵ＳＫと証明書ＣＴとのそれぞれのデータを、セキュア記憶領域ＳＡｓに格納する。

【0125】

Ｓ２１７Ｃの判断に第２状態ＳＴ２が適用される場合、プリンタ１００は、Ｓ２６０の後、Ｓ２７０Ｂで、完了フラグＦＬＧのデータをセキュア記憶領域ＳＡｓに格納する（Ｓ２７０Ｂは、図８（Ａ）のＳ２７０Ｂと同じである）。そして、初期設定処理は終了する。Ｓ２１７Ｃの判断に第１状態ＳＴ１が適用される場合、Ｓ２７０Ｂは省略される。

【0126】

以上のように、本実施例では、プリンタ１００のプロセッサ１１０は、以下の処理を実行する。Ｓ２１７Ｃでは、プロセッサ１１０は、プリンタ１００の状態が所定の状態か否かを判断する。プロセッサ１１０は、プリンタ１００の状態が所定の状態である場合には（Ｓ２１７Ｃ：Ｙｅｓ）、Ｓ２２５の処理を禁止せずに、プリンタ１００の状態が所定の状態でない場合に（Ｓ２１７Ｃ：Ｎｏ）、Ｓ２１８Ｃで、Ｓ２２５の処理を禁止する。Ｓ２２５の処理は、特定情報Ｉｋを含むクレデンシャルをセキュア記憶領域ＳＡｓに格納する処理である。

【0127】

Ｓ２１５Ｃでは、設定装置５００からプリンタ１００にクレデンシャルＣＩｍ（特定情報Ｉｋを含む）が送信される場合に、プロセッサ１１０は、クレデンシャルＣＩｍを受信する。プリンタ１００は、Ｓ２２５の処理が禁止されない場合に（Ｓ２１７Ｃ：Ｙｅｓ）、Ｓ２２５で、特定情報Ｉｋを含むクレデンシャル（ここでは、クレデンシャルＣＩ１）をセキュア記憶領域ＳＡｓに格納する。

【0128】

このように、プロセッサ１１０は、プリンタ１００の状態が所定の状態でない場合に（Ｓ２１７Ｃ：Ｎｏ）、特定情報Ｉｋを含むクレデンシャルをセキュア記憶領域ＳＡｓに格納する格納処理（Ｓ２２５）を禁止する。従って、プリンタ１００に情報が不正に格納される可能性は、低減する。

【0129】

なお、初期設定処理以外の処理は、上記の各実施例と同じであってよい。例えば、本実施例では、図５の接続設定処理が行われてよい。第１実施例と同様に、プリンタ１００のプロセッサ１１０は、Ｓ４２０で、クレデンシャルＣＩ１の特定情報Ｉｋを使用して、アクセス情報ＩＸａを仲介サーバ２００から取得する。Ｓ５００で、プロセッサ１１０は、アクセス情報ＩＸａを使用して、サービス設定情報ＳＩをサービスサーバ３００から取得する。

【0130】

初期設定処理以外の処理（例えば、図４、図５、図６、図８（Ｂ）の処理）は、上記の各実施例と同じである。従って、本実施例は、上記の各実施例のものと同じ種々の利点を有する。ここで、Ｓ２１７Ｃの所定の状態が第１状態ＳＴ１である場合、図６のリセット処理が採用されてよい。Ｓ２１７Ｃの所定の状態が第２状態ＳＴ２である場合、図８（Ｂ）のリセット処理が採用されてよい。

【0131】

Ｄ．変形例：
（１）図９の初期設定処理は、他の実施例の初期設定処理（例えば、図２、図８（Ａ））とともに、プリンタ１００に実装されてよい。初期設定処理の開始指示がプリンタ１００に入力される場合、プリンタ１００のプロセッサ１１０は、図２、または、図８（Ａ）の初期設定処理を開始してよい。待機モードでの動作の開始指示がプリンタ１００に入力され、そして、プリンタ１００がクレデンシャル格納のコマンドを受信する場合、プリンタ１００のプロセッサ１１０は、図９の初期設定処理を実行してよい。このように、プリンタ１００のプロセッサ１１０は、プリンタ１００の状態が所定の状態でない場合に（Ｓ１２０、Ｓ１２０Ｂ、Ｓ２１７Ｃ：Ｎｏ）、Ｓ１３０とＳ２１８Ｃとで、Ｓ２０５の処理（特定情報Ｉｋの要求の送信）と、Ｓ２２５の処理（特定情報Ｉｋの格納）と、の両方を含む対象処理を、禁止してよい。なお、Ｓ２１７Ｃ（図９）の所定の状態は、Ｓ１２０（図２）とＳ１２０Ｂ（図８（Ａ））との所定の状態と、同じであってよく、異なってよい。

【0132】

（２）初期設定処理は、図２、図８（Ａ）、図９の処理に代えて、プリンタ１００に特定情報（例えば、特定情報Ｉｋ）を格納する種々の処理であってよい。例えば、Ｓ１２０（図２）、Ｓ２１７Ｃ（図９）で使用される所定の状態は、Ｉｋ（例えば、仲介サーバ情報ＲＳＩとＧＵＩＤ）と、秘密鍵ＳＫと、証明書ＣＴとの４個の情報から予め任意に選択された１以上の情報を使用して定められてよい。例えば、所定の状態は、特定情報Ｉｋ、例えば、仲介サーバ情報ＲＳＩとＧＵＩＤの両方が、セキュア記憶領域ＳＡｓに格納されていない状態であってよい（すなわち、秘密鍵ＳＫと証明書ＣＴとは判断に使用されない）。また、所定の状態は、秘密鍵ＳＫと証明書ＣＴとが、セキュア記憶領域ＳＡｓに格納されていない状態であってよい（すなわち、仲介サーバ情報ＲＳＩとＧＵＩＤとは判断に使用されない）。

【0133】

（３）接続設定処理は、図５の処理に代えて、種々の処理であってよい。特定情報Ｉｋの更新は、省略されてよい。例えば、図５のＳ５１０で生成される新情報は、Ｓ５０５で検証済のバウチャーＶＣ１ａに含まれる情報と同じであってよい。また、特定情報Ｉｋを含むクレデンシャルの更新（すなわち、クレデンシャルと、クレデンシャルに対応するバウチャーと、の更新）は、省略されてよい。例えば、図５のＳ５１０－Ｓ５４０は、省略されてよい。この場合、初期クレデンシャルＣＩ１と第１バウチャーＶＣ１ａとは、再使用されてよい。再使用リセット（Ｓ７４５（図６）、Ｓ７４５Ｂ（図８（Ｂ）））では、プロセッサ１１０は、セキュア記憶領域ＳＡｓに格納される最新の特定情報（ここでは、初期クレデンシャルＣＩ１に含まれる特定情報Ｉｋ）をセキュア記憶領域ＳＡｓから削除せずに、サービス設定情報ＳＩを通常記憶領域ＳＡｎから削除する。初期クレデンシャルＣＩ１に含まれる特定情報Ｉｋは、初期設定処理（例えば、図２、図８（Ａ）、図９）で、設定装置５００から送信される特定情報である。

【0134】

また、図５のＳ５１０で、ＧＵＩＤは更新されずに維持されてよい（例えば、新ＧＵＩＤは、旧ＧＵＩＤと同じであってよい）。この場合、図６のＳ７３０、Ｓ７３５、Ｓ７４０は、省略されてよい。アクセス情報ＩＸａの有効期間が十分に長い値に設定される場合には、Ｓ４２０Ａ（図６）では、仲介サーバ２００は、図４のＳ３５０で登録された情報を参照して、ＧＵＩＤ１に対応付けられるＩＸａを提供できる。

【0135】

（４）上記の実施例と変形例とにおいて、初期設定処理（例えば、図２、図８（Ａ）、図９）と、仲介サーバ２００に対するアクセス情報の登録（例えば、図４）と、接続設定処理（例えば、図５）と、で使用されるプロトコルは、ＦＤＯプロトコルに代えて、他の種々のプロトコルであってよい。例えば、上記の処理は、プリンタ１００の製造事業者または管理事業者によって定められた他の手順に従って、行われてよい。

【0136】

例えば、特定情報Ｉｋに含まれる位置情報は、仲介サーバ情報ＲＳＩに限らず、仲介サーバ２００のネットワーク上の位置を示す種々の情報であってよい（例えば、ドメイン名など）。また、特定情報Ｉｋに含まれる識別情報は、ＧＵＩＤに限らず、プリンタ１００に割り当てられる種々の識別情報であってよい（例えば、シリアル番号など）。また、クレデンシャルとバウチャーとの代わりに、特定情報Ｉｋが使用されてよい。

【0137】

（５）証明書準備処理Ｓ２６０（図２、図６、図８（Ａ）、図９）では、設定装置５００は、証明書ＣＴに加えて、いわゆる中間証明書を、プリンタ１００に送信してよい。また、証明書ＣＴの構成は、公開鍵と、認証局に関連する情報と、を含む種々の構成であってよい。また、証明書ＣＴを使用する認証は、ＴＯ２の処理（例えば、図５）の中に代えて、ＴＯ２の処理の完了後に行われてよい。なお、証明書ＣＴは、省略されてよい。例えば、証明書準備処理Ｓ２６０（図２、図６、図８（Ａ）、図９）は省略され、そして、証明書ＣＴを使用する認証（Ｓ５６０、Ｓ５６５（図５））は省略されてよい。

【0138】

（６）特定情報Ｉｋを格納するための記憶領域である第１記憶領域は、セキュア記憶領域ＳＡｓ（図１）に代えて、他の種々の記憶領域であってよい。例えば、第１記憶領域は、第１不揮発性記憶装置１３０の記憶領域に含まれてよい。この場合、第１不揮発性記憶装置１３０は、サービス設定情報ＳＩを格納する記憶領域である第２記憶領域（例えば、通常記憶領域ＳＡｎ）と、第１記憶領域と、を含む。このように、第１記憶領域と第２記憶領域とは、同じ記憶装置によって形成される同じ記憶領域に含まれる互いに異なる部分であってよい。また、第１記憶領域と第２記憶領域とは、図１の実施例のように、互いに異なる記憶装置によって形成される互いに異なる記憶領域に設けられてよい。

【0139】

ここで、秘密鍵ＳＫと証明書ＣＴとは、第１記憶領域に格納されてよく、第１記憶領域とは異なる記憶領域に格納されてよい。例えば、特定情報Ｉｋは、第１不揮発性記憶装置１３０の記憶領域に格納され、秘密鍵ＳＫと証明書ＣＴとは、第２不揮発性記憶装置１３５の記憶領域に格納されてよい。また、第２不揮発性記憶装置１３５は、省略されてよい。いずれの場合も、プログラムＰＧ１は、特定情報Ｉｋと秘密鍵ＳＫと証明書ＣＴとを格納する記憶領域に対する自由なデータの読み書きと削除とを実行しないように、構成されることが好ましい。

【0140】

（７）仲介サーバ２００とサービスサーバ３００と通信可能なデバイスは、プリンタ１００に代えて、他の任意の種類のデバイスであってよい。例えば、複合機、スキャナ、ミシン、カッティングマシン、工作機械、スマートフォン、監視カメラ、のいずれかが、デバイスとして使用されてよい。サービスサーバを使用して提供されるサービスは、サービスサーバを介するデバイスの遠隔操作など、任意のサービスであってよい。

【0141】

（８）設定装置５００は、上記の初期設定処理を実行可能な任意の装置であってよい。設定装置５００は、例えば、インターネットＩＴに接続されたサーバであってよい。また、サーバ（例えば、仲介サーバ２００とサービスサーバ３００）は、１以上の処理モジュールを含んでよい。処理モジュールは、例えば、物理的なコンピュータ、または、仮想化されたコンピュータであってよい。

【0142】

上記各実施例において、ハードウェアによって実現されていた構成の一部をソフトウェアに置き換えるようにしてもよく、逆に、ソフトウェアによって実現されていた構成の一部あるいは全部をハードウェアに置き換えるようにしてもよい。

【0143】

また、本開示の機能の一部または全部がコンピュータプログラムで実現される場合には、そのプログラムは、コンピュータ読み取り可能な記録媒体（例えば、一時的ではない記録媒体）に格納された形で提供することができる。プログラムは、提供時と同一または異なる記録媒体（コンピュータ読み取り可能な記録媒体）に格納された状態で、使用され得る。「コンピュータ読み取り可能な記録媒体」は、メモリーカードやＣＤ－ＲＯＭのような携帯型の記録媒体に限らず、各種ＲＯＭ等のコンピュータ内の内部記憶装置や、ハードディスクドライブ等のコンピュータに接続されている外部記憶装置も含み得る。

【0144】

上記の実施例と変形例とは、適宜に組み合わせることができる。また、上記の実施例と変形例とは、本開示の理解を容易にするためのものであり、本発明を限定するものではない。本発明は、その趣旨を逸脱することなく、変更、改良され得ると共に、本発明にはその等価物が含まれる。

【符号の説明】

【0145】

１００…プリンタ、１１０…プロセッサ、１１５…記憶装置、１２０…揮発性記憶装置、１３０…第１不揮発性記憶装置、１３５…第２不揮発性記憶装置、１４０…表示部、１５０…操作部、１６０…印刷実行部、１８０…通信インタフェース、２００…仲介サーバ、２１０…プロセッサ、２１５…記憶装置、２２０…揮発性記憶装置、２３０…不揮発性記憶装置、２８０…通信インタフェース、３００…サービスサーバ、３１０…プロセッサ、３１５…記憶装置、３２０…揮発性記憶装置、３３０…不揮発性記憶装置、３８０…通信インタフェース、５００…設定装置、５１０…プロセッサ、５１５…記憶装置、５２０…揮発性記憶装置、５３０…不揮発性記憶装置、５４０…表示部、５５０…操作部、５８０…通信インタフェース、１０００…システム、ＩＴ…インターネット、ＬＮ１…第１ローカルエリアネットワーク、ＬＮ２…第２ローカルエリアネットワーク

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】