JP4690918B2 - ネットワーク機器 - Google Patents

Description

本発明は、ＩＰｓｅｃ（Security Architecture for Internet Protocol）等の設定を簡易に行うことのできるネットワーク機器に関する。

セキュリティへの要求が高まる中、ネットワークに接続可能なプリンタ、スキャナ、ファクス、もしくはそれらの機能を有する複合機（ＭＦＰ：Multi Function Printer）等のネットワーク機器に対してもさまざまなセキュリティが要求されている。

ＩＰｓｅｃはＩＰレイヤで暗号化が行われる。Ｗｅｂなどで頻繁に用いられているＳＳＬ（Secure Sockets Layer）とは異なり、ＩＰｓｅｃに対応すれば、セキュリティ対応するためにアプリケーションレイヤのプログラムを修正する必要はない。
特開２００５−１８４５９４号公報「ネットワークシステムおよびネットワークシステム管理方法およびプログラムおよび記録媒体」

上述したように、ＩＰｓｅｃに対応することの利点は多いが、ＩＰｓｅｃの設定項目は多岐にわたり、一般ユーザにとっては複雑である。さらに、ＩＰｓｅｃ通信するものどうしが、同じ内容で設定を行わないと通信を行うことができず、誤った設定を行うと通信自体が行えなくなる。

一方、特許文献１には、大規模ネットワークでの管理を容易にするためのアドレス生成方法が開示されているが、ＩＰｓｅｃを考慮したものではない。

本発明は上記の従来の問題点に鑑み提案されたものであり、その目的とするところは、ＩＰｓｅｃ等の設定を簡易に行うことのできるネットワーク機器を提供することにある。

上記の課題を解決するため、本発明にあっては、請求項１に記載されるように、暗号化手段を有し、ネットワークに接続されるネットワーク機器であって、割り当てられるアドレス範囲と暗号化設定パラメータとを対応付けて管理する手段と、ユーザによるアドレス範囲の選択に応じ、当該アドレス範囲内のアドレスを生成するとともに、対応する暗号化設定パラメータによる暗号化設定を行う手段とを備えるネットワーク機器を要旨としている。

また、請求項２に記載されるように、請求項１に記載のネットワーク機器において、暗号化方式としてＩＰｓｅｃを用いることができる。

また、請求項３に記載されるように、請求項１に記載のネットワーク機器において、生成されるアドレスはＩＰｖ６アドレスもしくはＩＰｖ４アドレスであるものとすることができる。

また、請求項４に記載されるように、請求項１に記載のネットワーク機器において、ユーザはアドレス範囲を直接に選択することができる。

また、請求項５に記載されるように、請求項１に記載のネットワーク機器において、ユーザは暗号化設定パラメータの組み合わせからアドレス範囲を選択することができる。

また、請求項６に記載されるように、請求項１に記載のネットワーク機器において、ユーザは暗号化設定パラメータの組み合わせとユーザ入力情報とからアドレス範囲を選択することができる。

また、請求項７に記載されるように、請求項１に記載のネットワーク機器において、ユーザは暗号化設定パラメータの組み合わせとローカルアドレスもしくはグローバルアドレスであるかによりアドレス範囲を選択することができる。

また、請求項８に記載されるように、請求項１に記載のネットワーク機器において、ユーザはセキュリティレベルによりアドレス範囲を選択することができる。

また、請求項９に記載されるように、請求項８に記載のネットワーク機器において、セキュリティレベルはプロトコルに依存したものではなく、高・中・低などの簡易レベルであるものとすることができる。

また、請求項１０に記載されるように、請求項１に記載のネットワーク機器において、アドレスを生成するデータ情報やアルゴリズムは、当該機器に装着可能な外部デバイスに格納されるものとすることができる。

また、請求項１１〜１６に記載されるように、ネットワーク機器のＩＰｓｅｃ設定方法として構成することができる。

また、請求項１７に記載されるように、ネットワーク機器の制御プログラムとして構成することができる。

本発明のネットワーク機器にあっては、ＩＰｓｅｃ等の設定を簡易に行うことができる。

以下、本発明の好適な実施形態につき説明する。

＜構成＞
図１は本発明のネットワーク機器を適用したネットワークシステムの一実施形態を示す全体構成図である。

図１において、２つのネットワークＳｕｂ Ｎｅｔｗｏｒｋ−Ｙ、Ｓｕｂ Ｎｅｔｗｏｒｋ−Ｚがルータ２Ａ、２Ｂによりネットワーク８を介して接続されている。Ｓｕｂ Ｎｅｔｗｏｒｋ−Ｙには、本発明を適用したネットワーク機器１Ａ、１ＢおよびＰＣ（Personal Computer）３Ａ、３Ｂがネットワーク６上に存在する。Ｓｕｂ Ｎｅｔｗｏｒｋ−Ｚには、本発明を適用したネットワーク機器１Ｃ、１ＤおよびＰＣ３Ｃがネットワーク７上に存在する。それぞれのネットワーク内でＩＰｓｅｃ通信することもあれば、ネットワークを越えてＩＰｓｅｃ通信することもある。

図２はネットワーク機器１を画像処理装置とした場合のハードウェア構成例を示す図である。

図２において、ネットワーク機器１は、コントローラ１０１と、オペレーションパネル１２１と、ＦＣＵ（Facsimile Control Unit）１２２と、エンジン部１２３とを含んでいる。

コントローラ１０１は、ＣＰＵ（Central Processing Unit）１０２、システムメモリ１０３、ＮＢ（North Bridge）１０４、ＳＢ（South Bridge）１０５、ＡＳＩＣ（Application Specific Integrated Circuit）１０６、ローカルメモリ１０７、ＨＤＤ（Hard Disk Drive）１０８、Ｆｌａｓｈ ＲＯＭ（Flash Read Only Memory）１０９、ＮＶＲＡＭ（Non Volatile RAM）１１０、ＳＤＲＡＭ（Synchronous Dynamic Random Access Memory）１１１、セキュアデバイス１１２、Ｅｔｈｅｒｎｅｔ（登録商標） Ｉ／Ｆ（Ethernet（登録商標） Interface）１１３、ＵＳＢ Ｉ／Ｆ（Universal Serial Bus Interface）１１４、ＩＥＥＥ １３９４ Ｉ／Ｆ（the Institute of Electrical and Electronic Engineers 1394 Interface）１１５、セントロニクスＩ／Ｆ１１６、無線Ｉ／Ｆ１１７、外部記憶媒体用Ｉ／Ｆ１１８を含む。

オペレーションパネル１２１は、コントローラ１０１のＡＳＩＣ１０６に接続されている。また、ＦＣＵ１２２およびエンジン部１２３は、コントローラ１０１のＡＳＩＣ１０６にバス１２４で接続されている。

コントローラ１０１は、ＡＳＩＣ１０６にローカルメモリ１０７、ＨＤＤ１０８、Ｆｌａｓｈ ＲＯＭ１０９、ＮＶＲＡＭ１１０、ＳＤＲＡＭ１１１、セキュアデバイス１１２などが接続されるとともに、ＣＰＵ１０２とＡＳＩＣ１０６とがＣＰＵチップセットのＮＢ１０４を介して接続されている。コントローラ１０１は、ＮＢ１０４を介してＣＰＵ１０２とＡＳＩＣ１０６とを接続することにより、ＣＰＵ１０２のインターフェースが公開されていない場合に対応する。

ＡＳＩＣ１０６とＮＢ１０４とは、ＡＧＰ（Accelerated Graphics Port）１１９を介して接続されている。後述するソフトウェア構成において、アプリケーションやプラットフォームを形成する一つ以上のプロセスを実行制御するため、ＡＳＩＣ１０６とＮＢ１０４とを低速のバスでなくＡＧＰ１１９を介して接続することで、パフォーマンスの低下を防いでいる。

ＣＰＵ１０２は、ソフトウェアにより全体の制御を行うものである。

ＮＢ１０４は、ＣＰＵ１０２、システムメモリ１０３、ＳＢ１０５、ＡＳＩＣ１０６、Ｅｔｈｅｒｎｅｔ（登録商標） Ｉ／Ｆ１１３、ＵＳＢ Ｉ／Ｆ１１４、ＩＥＥＥ １３９４ Ｉ／Ｆ１１５、セントロニクスＩ／Ｆ１１６、無線Ｉ／Ｆ１１７、外部記憶媒体用Ｉ／Ｆ１１８を接続するためのブリッジである。

ＳＢ１０５、Ｅｔｈｅｒｎｅｔ（登録商標） Ｉ／Ｆ１１３、ＵＳＢ Ｉ／Ｆ１１４、ＩＥＥＥ １３９４ Ｉ／Ｆ１１５、セントロニクスＩ／Ｆ１１６、無線Ｉ／Ｆ１１７、外部記憶媒体用Ｉ／Ｆ１１８は、バス１２０を介してＮＢ１０４に接続されている。なお、ＳＢ１０５は、バス１２０とＲＯＭや周辺デバイス等とを接続するためのブリッジである。

システムメモリ１０３は、画像処理装置の描画用メモリなどとして用いるメモリである。ローカルメモリ１０７は画像バッファ、符号バッファとして用いるメモリである。

ＡＳＩＣ１０６は、画像処理用のハードウェア要素を有する画像処理用途向けのＩＣである。ＨＤＤ１０８は、画像データの蓄積、文書データの蓄積、プログラムの蓄積、フォントデータの蓄積、フォームの蓄積などを行うストレージ（補助記憶装置）の一例である。

Ｅｔｈｅｒｎｅｔ（登録商標） Ｉ／Ｆ１１３は、画像処理装置をネットワークに接続するインターフェース機器である。ＵＳＢ Ｉ／Ｆ１１４、ＩＥＥＥ １３９４ Ｉ／Ｆ１１５、セントロニクスＩ／Ｆ１１６および無線Ｉ／Ｆ１１７、は、それぞれの規格に準じたインターフェースであり、ネットワークに接続されることもある。

Ｆｌａｓｈ ＲＯＭ１０９は、外部からプログラムやデータなどを書き込み可能なメモリである。ＮＶＲＡＭ１１０およびＳＤＲＡＭ１１１は、電源ＯＦＦ状態でも情報を保持するメモリである。

外部記憶媒体用Ｉ／Ｆ１１８は、外部記憶媒体を脱着可能なものであり、外部記憶媒体の規格に準じたインターフェースである。例えばＳＤ（Secure Digital）カード、コンパクトフラッシュ（登録商標）、ＲＯＭ−ＤＩＭＭ（Dual In-line Memory Module）等が外部記憶媒体として利用される。

セキュアデバイス１１２は、物理的に取り外すと二度と使えなくなるようなデバイスであり、鍵情報が格納されている。

また、オペレーションパネル１２１は、オペレータからの入力操作を受け付けるとともに、オペレータに向けた表示を行う操作部である。なお、ＦＣＵ１２２はメモリを有しており、電源がＯＦＦのときに受信したファクシミリデータを一時的に格納するために利用される。

なお、画像処理装置の構成により、Ｆｌａｓｈ ＲＯＭ１０９、ＳＤＲＡＭ１１１、セキュアデバイス１１２、ＵＳＢ Ｉ／Ｆ１１４、ＩＥＥＥ １３９４ Ｉ／Ｆ１１５、セントロニクスＩ／Ｆ１１６、無線Ｉ／Ｆ１１７、外部記憶媒体用Ｉ／Ｆ１１８、ＦＣＵ１２２は存在しないこともある。

図３はネットワーク機器１を画像処理装置とした場合のソフトウェア構成例を示す図である。

図３において、ソフトウェアは、大きく分けると、アプリケーション部１３１とプラットフォーム部１３８とから構成される。

アプリケーション部１３１は、コピー、ファクス、スキャナおよびプリンタなどの画像形成処理に関連するユーザサービスに固有の処理を行うものである。アプリケーション部１３１は、コピー用のアプリケーションであるコピーアプリ１３２と、ファクシミリ用アプリケーションであるファクスアプリ１３３と、スキャナ用アプリケーションであるスキャナアプリ１３４と、ネットワークファイル用アプリケーションであるネットファイルアプリ１３５と、ページ記述言語およびプリンタ用のアプリケーションであるプリンタアプリ１３６とを有している。

また、プラットフォーム部１３８は、ＯＳ／Ｋｅｒｎｅｌ１４７とともに、アプリケーション部１３１からの処理要求を解釈してハードウェアなどの各種資源の獲得要求を発生する各種制御部から構成される。プラットフォーム部１３８は、セキュリティ制御部１３９、オペレーション制御部１４０、メモリ制御部１４１、システム制御部１４２、ドキュメント制御部１４３、ネットワーク制御部１４４、ファクス制御部１４５、エンジン制御部１４６を備えている。ＯＳ／Ｋｅｒｎｅｌ１４７には、ＩＰやＩＰｓｅｃ処理部が存在している。プラットフォーム部１３８は予め定義されている関数によりアプリケーション部１３１からの処理要求を受信可能とするＡＰＩ（Application Program Interface）１３７を有するように構成されている。

システム制御部１４２は、アプリケーションの管理、操作部の制御、システム画面の表示、ＬＥＤの表示、ハードウェア資源の管理、割り込みアプリケーションの制御などの処理を行う。

メモリ制御部１４１は、メモリの取得および解放、画像データの圧縮および伸張などのメモリ制御を行う。

エンジン制御部１４６は、図示していないハードウェアリソースのエンジンの制御を行う。

ファクス制御部１４５は、ＧＳＴＮ（General Switched Telephone Network）Ｉ／Ｆ１５０と接続し、システムコントローラの各アプリケーション層からＰＳＴＮ（Public Switched Telephone Network）またはＩＳＤＮ（Integrated Services Digital Network）網を利用したファクシミリ送受信、バックアップ用のメモリで管理されている各種ファクシミリデータの登録／引用、ファクシミリ読み取りを行い、ファクシミリ受信印刷などを行うためのＡＰＩを提供する。

オペレーション制御部１４０は、オペレータと本体制御との間の情報伝達手段となるオペレーションパネルの制御を行う。

ドキュメント制御部１４３は、他機器との送受信のためのデータの管理やデータの加工などを行う。

ネットワーク制御部１４４は、Ｅｔｈｅｒｎｅｔ（登録商標）などのネットワークと接続され、ネットワークＩ／Ｏ（Input Output）を必要とするアプリケーションに対して共通に利用できるサービスを提供し、ネットワーク側から各プロトコルによって受信したデータを各アプリケーションに振り分け、各アプリケーションからのデータをネットワーク側に送信する際の仲介を行う。

セキュリティ制御部１３９は、アプリケーション部１３１や各制御部に対してセキュリティサービスを行う。例えば、暗号化や復号化などを行う。

ＣＰＵ１０２（図２）は画像処理装置全体の制御を行い、プラットフォーム部１３８の各制御部を実行し、それらを使用するアプリケーション部１３１の各アプリを実行する。

なお、本画像処理装置の構成により、アプリケーション部のいくつかのアプリケーション、プラットフォーム部のいくつかの制御部は存在しないこともある。

図４はネットワーク制御部１４４の構成例を示す図である。

図４において、ネットワーク制御部１４４は、全体を統括する全体制御部１５１、ＮＶＲＡＭなどから初期設定情報を読み書きする初期設定制御部１５２、他のアプリケーションや他の制御部のとのメッセージやデータのやり取りを行う他アプリ／他制御部通信部１５５、各種プロトコル（ＨＴＴＰ（HyperText Transfer Protocol）、ＦＴＰ（File Transfer Protocol）、Ｐｏｒｔ９１００、ＬＰＲ（Line PRinter daemon protocol）など）を処理するプロトコル制御部１５６（複数存在する）、ＩＰｖ４（Internet Protocol version 4）アドレスやＩＰｖ６（Internet Protocol version 6）アドレスを生成するＩＰアドレス生成部１５４、ＩＰｓｅｃに関する制御を行うＩＰｓｅｃ／ＩＫＥ通信・設定制御部１５３などから構成される。

ＩＰｓｅｃ化は、ネットワーク制御部１４４、セキュリティ制御部１３９（図３）、ＯＳ／Ｋｅｒｎｅｌ１４７（図３）が連携して行われる。

図５はＩＰアドレス範囲テーブルＴ１の例を示す図であり、割り当てられるＩＰアドレス範囲を登録したものであり、予め管理者等によって登録が行われる。

そして、ユーザがいずれかを選択することにより、この範囲内からＩＰアドレスが生成され、同時に、この範囲のＩＰアドレスに対応したＩＰｓｅｃ設定が行われることでＩＰｓｅｃ通信可能となる。

このテーブルは、ＮＶＲＡＭ１１０（図３）やＨＤＤ１０８（図３）に格納されたり、外部デバイスＩ／Ｆ１４８（図３）を通じて、外部デバイスに格納されたりする。以降のテーブルの格納場所も同様である。

図６は暗号化設定パラメータ組み合わせテーブルＴ２の例を示す図であり、ＩＰｓｅｃにおいて用いられる暗号化設定パラメータの組み合わせを登録したものである。この例では、設定パラメータは、ハッシュアルゴリズム、認証アルゴリズム、暗号アルゴリズムだけ記載されているが、他のＩＰｓｅｃパラメータも含まれることもある。

図７はＩＰアドレス範囲テーブルＴ３の例を示す図であり、暗号化設定パラメータの組み合わせにより割り当てられるＩＰアドレス範囲を登録したものである。

そして、ユーザがいずれかを選択することにより、この範囲内からＩＰアドレスが生成され、同時に、この範囲のＩＰアドレスに対応したＩＰｓｅｃ設定が行われることでＩＰｓｅｃ通信可能となる。

ここで、パラメータ組み合わせは、図６に示した暗号化設定パラメータ組み合わせテーブルＴ２を使用している。

本発明を適用したネットワーク機器どうしが、同じ項目を選択することで、同じ範囲内のＩＰアドレスが割り振られるとともに、同じ内容のＩＰｓｅｃ設定が行われ、ＩＰｓｅｃ通信が自動的に可能となる。以降のテーブルも同様である。

図８はＩＰアドレス範囲テーブルＴ４の例を示す図であり、暗号化設定パラメータの組み合わせとユーザ入力情報とにより割り当てられるＩＰアドレス範囲を登録したものである。

そして、ユーザがいずれかを選択することにより、この範囲内からＩＰアドレスが生成され、同時に、この範囲のＩＰアドレスに対応したＩＰｓｅｃ設定が行われることでＩＰｓｅｃ通信可能となる。

ここで、パラメータ組み合わせは、図６に示した暗号化設定パラメータ組み合わせテーブルＴ２を使用している。逆にユーザ入力情報を先に入力し、それにより暗号化パラメータの組み合わせが決まり、割り当てられるＩＰアドレス範囲が決まるという方式としてもよい。

図９はＩＰアドレス範囲テーブルＴ５の例を示す図であり、暗号化設定パラメータの組み合わせとグローバルアドレスがローカルアドレスかの選択により割り当てられるＩＰアドレス範囲を登録したものである。

そして、ユーザがいずれかを選択することにより、この範囲内からＩＰアドレスが生成され、同時に、この範囲のＩＰアドレスに対応したＩＰｓｅｃ設定が行われることでＩＰｓｅｃ通信可能となる。

図１０はセキュリティレベル設定テーブルＴ６の例を示す図であり、ユーザに詳細な暗号化設定パラメータを設定させずに、セキュリティレベルだけを入力して行う時のセキュリティレベルと暗号化設定パラメータの組み合わせを登録したものである。他の暗号化パラメータも含まれることも当然ありうる。

図１１はＩＰアドレス範囲テーブルＴ７の例を示す図であり、セキュリティレベルにより割り当てられるＩＰアドレス範囲を登録したものである。

そして、ユーザがいずれかを選択することにより、この範囲内からＩＰアドレスが生成され、同時に、この範囲のＩＰアドレスに対応したＩＰｓｅｃ設定が行われることでＩＰｓｅｃ通信可能となる。

ここで、セキュリティレベルは、図１０に示したセキュリティレベル設定テーブルＴ６を使用している。

＜管理者による事前設定＞
図１２は管理者による事前設定の処理例を示すフローチャートである。すなわち、割り当てるＩＰアドレス範囲（ＩＰｓｅｃ対象となるアドレス）を、ＩＰアドレス範囲テーブルＴ１〜Ｔ７（図５〜１１）として、ネットワーク制御部１４４（図４）やＯＳ／Ｋｅｒｎｅｌ１４７（図３）に設定するフロー例であり、事前に行う設定である。

図１２において、処理を開始し（ステップＳ１０１）、ＩＰｓｅｃ設定および対象アドレス範囲を入力すると（ステップＳ１０２）、ネットワーク制御部１４４での設定（ステップＳ１０３）、ＯＳ／Ｋｅｒｎｅｌ１４７での設定（ステップＳ１０４）を順次行い、ＮＶＲＡＭ１１０やＨＤＤ１０８、外部デバイスなどにその情報を保存し（ステップＳ１０５）、処理を終了する（ステップＳ１０６）。

単にデータを保存することもあり、このときは、ネットワーク制御部１４４やＯＳ／Ｋｅｒｎｅｌ１４７への設定は行われないこともある。また、ＮＶＲＡＭ１１０、ＨＤＤ１０８、外部デバイスに保存せず、ＩＰアドレス生成部１５４（図４）でデータを持ち続けるようにしてもよい。ＮＶＲＡＭ１１０もしくはＨＤＤ１０８と外部デバイスの両方にデータを保存する場合もある。

図１３は管理者による事前設定時のネットワーク制御部１４４内の動作例を示す図である。

図１３において、他アプリ／他制御部通信部１５５によりオペレーション制御部１４０（図３）からＩＰｓｅｃ設定および対象アドレス範囲を受け取ると（ステップＳ１１１、Ｓ１１２）、ＩＰｓｅｃ／ＩＫＥ通信・設定制御部１５３はＩＰアドレス生成部１５４、ＯＳ／Ｋｅｒｎｅｌ１４７に設定を行うとともに（ステップＳ１１３、Ｓ１１４）、ＮＶＲＡＭ／ＨＤＤ／外部デバイスに設定を行う（ステップＳ１１５〜Ｓ１１７）。

＜ユーザによるＩＰｓｅｃ設定＞
図１４はユーザによるＩＰｓｅｃ設定の処理例を示すフローチャートであり、暗号化パラメータやキーワード（ユーザ入力情報）を入力してＩＰアドレスが生成および決定されるまでのフロー例である。

図１４において、処理を開始すると（ステップＳ１２１）、ユーザから入力を受け付ける（ステップＳ１２２）。入力としては、図５のＩＰアドレス範囲テーブルＴ１から選択されるＩＰアドレス範囲、図７のＩＰアドレス範囲テーブルＴ３から選択されるパラメータ組み合わせ、図８のＩＰアドレス範囲テーブルＴ４から選択されるパラメータ組み合わせおよびユーザ入力情報、図９のＩＰアドレス範囲テーブルＴ５から選択されるパラメータ組み合わせおよびＧｌｏｂａｌ／Ｌｏｃａｌのいずれかである。

次いで、格納されているＩＰアドレス範囲情報からＩＰアドレスを生成する（ステップＳ１２３）。例えば、ＩＰアドレス範囲からランダムにＩＰアドレスを抽出することによりＩＰアドレスを生成する。

次いで、生成したＩＰアドレスに対してＩＰアドレスの重複検知を行い（ステップＳ１２４）、重複する場合にはＩＰアドレスの生成（ステップＳ１２３）に戻り、同じ範囲内から異なるＩＰアドレスを選びリトライする。

重複がない場合、カーネルなどにＩＰｓｅｃおよびＩＰアドレスの設定を行い（ステップＳ１２５）、ＮＶＲＡＭ１１０などにＩＰアドレス情報の保存を行い（ステップＳ１２６）、処理を終了する（ステップＳ１２７）。

図１５はユーザによるＩＰｓｅｃ設定の処理例を示すフローチャートであり、暗号化パラメータなどではなく、セキュリティレベルを入力してＩＰアドレスが生成および決定されるまでのフロー例である。

図１５において、処理を開始すると（ステップＳ１３１）、ユーザからセキュリティレベルを入力する（ステップＳ１３２）。この入力は図１１のＩＰアドレス範囲テーブルＴ７から選択されることで行われる。

次いで、格納されているＩＰアドレス範囲情報からＩＰアドレスを生成する（ステップＳ１３３）。例えば、ＩＰアドレス範囲からランダムにＩＰアドレスを抽出することによりＩＰアドレスを生成する。

次いで、生成したＩＰアドレスに対してＩＰアドレスの重複検知を行い（ステップＳ１３４）、重複する場合にはＩＰアドレスの生成（ステップＳ１３３）に戻り、同じ範囲内から異なるＩＰアドレスを選びリトライする。

重複がない場合、カーネルなどにＩＰｓｅｃおよびＩＰアドレスの設定を行い（ステップＳ１３５）、ＮＶＲＡＭ１１０などにＩＰアドレス情報の保存を行い（ステップＳ１３６）、処理を終了する（ステップＳ１３７）。

図１６はＩＰｓｅｃ設定時のネットワーク制御部１４４内の動作例を示す図であり、入力された設定によりＩＰアドレスが決定される場合のネットワーク制御部１４４内流れの例である。

図１６において、他アプリ／他制御部通信部１５５によりオペレーション制御部１４０（図３）からユーザ入力を受け取ると（ステップＳ１４１、Ｓ１４２）、ＩＰｓｅｃ／ＩＫＥ通信・設定制御部１５３はＩＰアドレス生成部１５４にそれを伝える（ステップＳ１４３）。ここではＩＰアドレス範囲情報がＮＶＲＡＭ／ＨＤＤに格納されているものとすると、ＩＰアドレス生成部１５４はＮＶＲＡＭ／ＨＤＤからＩＰアドレスを取得し（ステップＳ１４４）、その情報をもとにＩＰｓｅｃ／ＩＫＥ通信・設定制御部１５３はプロトコル制御部１５６を通してＩＰアドレスの重複検知を行う（ステップＳ１４５）。重複がなければ、ＯＳ／Ｋｅｒｎｅｌにアドレス情報を設定し（ステップＳ１４６）、初期設定制御部１５２を介してＮＶＲＡＭにＩＰアドレス情報の保存を行う（ステップＳ１４７、Ｓ１４８）。

図１７はＩＰｓｅｃ設定時のネットワーク制御部１４４内の動作例を示す図であり、外部デバイスにアクセスしてＩＰアドレスが決定される場合のネットワーク制御部１４４内流れの例である。

図１７において、他アプリ／他制御部通信部１５５によりオペレーション制御部１４０（図３）からユーザ入力を受け取ると（ステップＳ１５１、Ｓ１５２）、ＩＰｓｅｃ／ＩＫＥ通信・設定制御部１５３はＩＰアドレス生成部１５４にそれを伝える（ステップＳ１５３）。ここではＩＰアドレス範囲情報（アルゴリズム）が外部デバイスに格納されているものとすると、ＩＰアドレス生成部１５４は外部デバイスからＩＰアドレスを取得し（ステップＳ１５４）、その情報をもとにＩＰｓｅｃ／ＩＫＥ通信・設定制御部１５３はプロトコル制御部１５６を通してＩＰアドレスの重複検知を行う（ステップＳ１５５）。重複がなければ、ＯＳ／Ｋｅｒｎｅｌにアドレス情報を設定し（ステップＳ１５６）、初期設定制御部１５２を介してＮＶＲＡＭにＩＰアドレス情報の保存を行う（ステップＳ１５７、Ｓ１５８）。

＜ＩＫＥ／ＩＰｓｅｃ通信＞
図１８はＩＫＥ／ＩＰｓｅｃ通信の基本シーケンスを示す図であり、ＩＫＥのネゴシエーションフロー例とその後のＩＰｓｅｃのフローである。

ＩＫＥでは、最初のフェーズ１にてフェーズ２で使用される暗号方式の決定と暗号鍵生成が行われ、フェーズ２ではＩＰｓｅｃで使用される暗号方式と暗号鍵がネゴシエーションされる。

＜総括＞
本発明では、ＩＰｓｅｃの使い勝手を改善するため、ＩＰｓｅｃの設定を行うと自動的にＩＰｓｅｃ通信対象の特定アドレス範囲に属すようなＩＰアドレスを生成することにより、ＩＰｓｅｃを容易に使えるようにしている。

これにより、暗号化機能を持ち、インターネットやイントラネットなどのネットワークに接続され、ネットワークとのデータの送受信を行うことが可能なネットワーク機器において、ユーザが設定する暗号化設定パラメータによって装置のＩＰアドレスを自動的に生成することができ、ユーザはアドレスを意識することがなくなる。

また、生成されたＩＰアドレスはＩＰｓｅｃ通信対象のアドレスとなる特定の範囲内のアドレスに属することにより、同じ方式を持った機器同士のＩＰｓｅｃ通信の設定をユーザが行うことが不要になる。

また、生成されるＩＰアドレスは、サブネット内（ローカル）のみで使用できるアドレスやグローバルに使用できるアドレスとなることにより、ユーザが環境に合わせて使い分けることができる。

また、ＩＰアドレスを生成する際に、暗号化設定パラメータ以外のユーザが入力した情報（特定のフレーズなど）を用い、その情報によりアドレス範囲が決まる方式を用いることにより、入力情報によりＩＰｓｅｃ通信ができる機器どうしを管理することができ、自由度が高まる。

また、ユーザが入力する暗号化設定内容はプロトコルに依存したものではなく、高・中・低などの簡易な方式を用いることにより、ＩＰｓｅｃに精通していないユーザでもＩＰｓｅｃ通信設定を行うことができる。

また、ＩＰアドレスを生成するデータ情報やアルゴリズムは、機器に装着可能な外部デバイスに格納することにより、複数の対象機器にて同様の方法を取ることで、ＩＰｓｅｃ通信を行う機器どうしの管理が可能となり、また、外部デバイスをＰＣなどにも装着し、同じ設定を幅広い機器に適用することができる。

以上、本発明の好適な実施の形態により本発明を説明した。ここでは特定の具体例を示して本発明を説明したが、特許請求の範囲に定義された本発明の広範な趣旨および範囲から逸脱することなく、これら具体例に様々な修正および変更を加えることができることは明らかである。すなわち、具体例の詳細および添付の図面により本発明が限定されるものと解釈してはならない。

本発明のネットワーク機器を適用したネットワークシステムの一実施形態を示す全体構成図である。 ネットワーク機器を画像処理装置とした場合のハードウェア構成例を示す図である。 ネットワーク機器を画像処理装置とした場合のソフトウェア構成例を示す図である。 ネットワーク制御部の構成例を示す図である。 ＩＰアドレス範囲テーブルの例を示す図（その１）である。 暗号化設定パラメータ組み合わせテーブルの例を示す図である。 ＩＰアドレス範囲テーブルの例を示す図（その２）である。 ＩＰアドレス範囲テーブルの例を示す図（その３）である。 ＩＰアドレス範囲テーブルの例を示す図（その４）である。 セキュリティレベル設定テーブルの例を示す図である。 ＩＰアドレス範囲テーブルの例を示す図（その５）である。 管理者による事前設定の処理例を示すフローチャートである。 管理者による事前設定時のネットワーク制御部内の動作例を示す図である。 ユーザによるＩＰｓｅｃ設定の処理例を示すフローチャート（その１）である。 ユーザによるＩＰｓｅｃ設定の処理例を示すフローチャート（その２）である。 ＩＰｓｅｃ設定時のネットワーク制御部内の動作例を示す図（その１）である。 ＩＰｓｅｃ設定時のネットワーク制御部内の動作例を示す図（その２）である。 ＩＫＥ／ＩＰｓｅｃ通信の基本シーケンスを示す図である。

符号の説明

１、１Ａ〜１Ｄ ネットワーク機器
２Ａ、２Ｂ ルータ
３Ａ〜３Ｃ ＰＣ
６〜８ ネットワーク
１０１ コントローラ
１０２ ＣＰＵ
１０３ システムメモリ
１０４ ＮＢ
１０５ ＳＢ
１０６ ＡＳＩＣ
１０７ ローカルメモリ
１０８ ＨＤＤ
１０９ Ｆｌａｓｈ ＲＯＭ
１１０ ＮＶＲＡＭ
１１１ ＳＤＲＡＭ
１１２ セキュアデバイス
１１３ Ｅｔｈｅｒｎｅｔ（登録商標） Ｉ／Ｆ
１１４ ＵＳＢ Ｉ／Ｆ
１１５ ＩＥＥＥ １３９４ Ｉ／Ｆ
１１６ セントロニクスＩ／Ｆ
１１７ 無線Ｉ／Ｆ
１１８ 外部記憶媒体用Ｉ／Ｆ
１１９ ＡＧＰ
１２０ バス
１２１ オペレーションパネル
１２２ ＦＣＵ
１２３ エンジン部
１２４ バス
１３１ アプリケーション部
１３２ コピーアプリ
１３３ ファクスアプリ
１３４ スキャナアプリ
１３５ ネットファイルアプリ
１３６ プリンタアプリ
１３７ ＡＰＩ
１３８ プラットフォーム部
１３９ セキュリティ制御部
１４０ オペレーション制御部
１４１ メモリ制御部
１４２ システム制御部
１４３ ドキュメント制御部
１４４ ネットワーク制御部
１４５ ファクス制御部
１４６ エンジン制御部
１４７ ＯＳ／Ｋｅｒｎｅｌ
１４８ 外部デバイスＩ／Ｆ
１４９ Ｎｅｔｗｏｒｋ Ｉ／Ｆ
１５０ ＧＳＴＮ Ｉ／Ｆ
１５１ 全体制御部
１５２ 初期設定制御部
１５３ ＩＰｓｅｃ／ＩＫＥ通信・設定制御部
１５４ ＩＰアドレス生成部
１５５ 他アプリ／他制御部通信部
１５６ プロトコル制御部
Ｔ１、Ｔ３、Ｔ４、Ｔ５、Ｔ７ ＩＰアドレス範囲テーブル
Ｔ２ 暗号化設定パラメータ組み合わせテーブル
Ｔ６ セキュリティレベル設定テーブル

Claims (17)

1. 暗号化手段を有し、ネットワークに接続されるネットワーク機器であって、
   割り当てられるアドレス範囲と暗号化設定パラメータとを対応付けて管理する手段と、
   ユーザによるアドレス範囲の選択に応じ、当該アドレス範囲内のアドレスを生成するとともに、対応する暗号化設定パラメータによる暗号化設定を行う手段とを備えたことを特徴とするネットワーク機器。
2. 請求項１に記載のネットワーク機器において、
   暗号化方式としてＩＰｓｅｃを用いることを特徴とするネットワーク機器。
3. 請求項１に記載のネットワーク機器において、
   生成されるアドレスはＩＰｖ６アドレスもしくはＩＰｖ４アドレスであることを特徴とするネットワーク機器。
4. 請求項１に記載のネットワーク機器において、
   ユーザはアドレス範囲を直接に選択することを特徴とするネットワーク機器。
5. 請求項１に記載のネットワーク機器において、
   ユーザは暗号化設定パラメータの組み合わせからアドレス範囲を選択することを特徴とするネットワーク機器。
6. 請求項１に記載のネットワーク機器において、
   ユーザは暗号化設定パラメータの組み合わせとユーザ入力情報とからアドレス範囲を選択することを特徴とするネットワーク機器。
7. 請求項１に記載のネットワーク機器において、
   ユーザは暗号化設定パラメータの組み合わせとローカルアドレスもしくはグローバルアドレスであるかによりアドレス範囲を選択することを特徴とするネットワーク機器。
8. 請求項１に記載のネットワーク機器において、
   ユーザはセキュリティレベルによりアドレス範囲を選択することを特徴とするネットワーク機器。
9. 請求項８に記載のネットワーク機器において、
   セキュリティレベルはプロトコルに依存したものではなく、高・中・低などの簡易レベルであることを特徴とするネットワーク機器。
10. 請求項１に記載のネットワーク機器において、
    アドレスを生成するデータ情報やアルゴリズムは、当該機器に装着可能な外部デバイスに格納されることを特徴とするネットワーク機器。
11. 暗号化手段を有し、ネットワークに接続されるネットワーク機器のＩＰｓｅｃ設定方法であって、
    割り当てられるアドレス範囲と暗号化設定パラメータとを対応付けて管理する工程と、
    ユーザによるアドレス範囲の選択に応じ、当該アドレス範囲内のアドレスを生成するとともに、対応する暗号化設定パラメータによる暗号化設定を行う工程とを備えたことを特徴とするネットワーク機器のＩＰｓｅｃ設定方法。
12. 請求項１１に記載のネットワーク機器のＩＰｓｅｃ設定方法において、
    ユーザはアドレス範囲を直接に選択することを特徴とするネットワーク機器のＩＰｓｅｃ設定方法。
13. 請求項１１に記載のネットワーク機器のＩＰｓｅｃ設定方法において、
    ユーザは暗号化設定パラメータの組み合わせからアドレス範囲を選択することを特徴とするネットワーク機器のＩＰｓｅｃ設定方法。
14. 請求項１１に記載のネットワーク機器のＩＰｓｅｃ設定方法において、
    ユーザは暗号化設定パラメータの組み合わせとユーザ入力情報とからアドレス範囲を選択することを特徴とするネットワーク機器のＩＰｓｅｃ設定方法。
15. 請求項１１に記載のネットワーク機器のＩＰｓｅｃ設定方法において、
    ユーザは暗号化設定パラメータの組み合わせとローカルアドレスもしくはグローバルアドレスであるかによりアドレス範囲を選択することを特徴とするネットワーク機器のＩＰｓｅｃ設定方法。
16. 請求項１１に記載のネットワーク機器のＩＰｓｅｃ設定方法において、
    ユーザはセキュリティレベルによりアドレス範囲を選択することを特徴とするネットワーク機器のＩＰｓｅｃ設定方法。
17. 暗号化手段を有し、ネットワークに接続されるネットワーク機器の制御プログラムであって、
    コンピュータを、
    割り当てられるアドレス範囲と暗号化設定パラメータとを対応付けて管理する手段、
    ユーザによるアドレス範囲の選択に応じ、当該アドレス範囲内のアドレスを生成するとともに、対応する暗号化設定パラメータによる暗号化設定を行う手段として動作させることを特徴とするネットワーク機器の制御プログラム。

Images