CN210804374U - 一种图像形成装置及图像形成装置用安全控制系统 - Google Patents

Abstract

本实用新型涉及一种图像形成装置及图像形成装置用安全控制系统，图像形成装置包括图像控制器，图像控制器被配置为控制图像形成装置执行成像操作；安全芯片，与图像控制器连接，被配置为对图像控制器进行安全监控；及电源模块，与图像控制器连接，被配置为向图像控制器供电；其中，安全芯片还被配置为当监控到图像控制器不符合预设安全条件时，断开电源模块与图像控制器之间的连接。上述方案能够很好的保证图像形成装置处理信息的安全性。

Description

一种图像形成装置及图像形成装置用安全控制系统

技术领域

本实用新型涉及图像形成技术领域，具体涉及一种图像形成装置及图像形成装置用安全控制系统。

背景技术

随着电子科学技术的进步，图像形成装置(Image forming apparatus)的发展也越来越成熟，但是作为一种计算机周边设备，图像形成装置容易受到不法分子(例如黑客)的攻击，以带有扫描和/或传真功能的激光打印机(图像形成装置多种类型中的一种)为例，扫描或者传真的数据都可能携带有用户的机密数据，甚至连激光成像中核心零部件感光鼓上，也可能携带有用户待打印的机密数据；这些数据一旦泄露，就会给用户带来很多不必要的麻烦；如果涉及公司或者政府机密部门的办公场合，如果图像形成装置携带的机密数据被泄露，还可能危及公司或者政府安全。目前，现有技术通常设置安全芯片对图像形成装置的控制器(成像控制模块)运行进行监控，但目前并未出现可靠的方案能够很好的保证图像形成装置处理信息的安全性。

实用新型内容

本实用新型实施例提供一种图像形成装置、图像形成装置用安全控制系统，能够解决目前未出现可靠的方案能够很好的保证图像形成装置处理信息的安全性。

第一方面，本实用新型提供一种图像形成装置，包括：

图像控制器，被配置为控制所述图像形成装置执行成像操作；

安全芯片，与所述图像控制器连接，被配置为对所述图像控制器进行安全监控；及

电源模块，与所述图像控制器连接，被配置为向所述图像控制器供电；

其中，所述安全芯片还被配置为当监控到所述图像控制器不符合预设安全条件时，断开所述电源模块与所述图像控制器之间的连接。

第二方面，本实用新型还提供一种图像形成装置用安全控制系统，所述图像形成装置包括被配置为控制所述图像形成装置执行成像操作的控制器，所述安全控制系统包括：

安全芯片，与所述图像控制器连接，被配置为对所述图像控制器进行安全监控；及

电源模块，与所述图像控制器连接，被配置为向所述图像控制器供电；

其中，所述安全芯片还被配置为当监控到所述图像控制器不符合预设安全条件时，断开所述电源模块与所述图像控制器之间的连接。

可以理解，本实用新型通过设置安全芯片对图像控制器进行监控，当监控到图像控制器不符合预设的安全条件时，断开电源模块与图像控制器之间的连接，使得所述图像形成装置全程受到安全芯片的监控，保证了所述图像控制器的安全性。

附图说明

下面结合附图和实施例对本实用新型进一步说明。

图1为本实用新型实施例提供的一种图像形成装置的示意性框图；

图2为图1所示的图像形成装置的一种更为具体的示意性框图；

图3为图1所示的图像形成装置的另一种更为具体的示意性框图；

图4至图9分别示出了本实用新型多个实施例提供的一种图像形成装置的电路图；

图10至图13分别示出了本实用新型多个实施例提供的第四开关电路的电路图；

图14至图18分别示出了本实用新型多个实施例提供的第三开关电路或第五开关电路的电路图。

具体实施方式

为了更好的理解本实用新型的技术方案，下面结合附图对本实用新型实施例进行详细描述。

应当明确，所描述的实施例仅仅是本实用新型一部分实施例，而不是全部的实施例。基于本实用新型中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其它实施例，都属于本实用新型保护的范围。

在本实用新型实施例中使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本实用新型。在本实用新型实施例和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其它含义。

应当理解，本文中使用的术语“和/或”仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在 A和B，单独存在B这三种情况。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系。

请参阅附图1，本实用新型实施例提供一种图像形成装置，包括：

图像控制器1，被配置为控制所述图像形成装置执行成像操作；

安全芯片2，与图像控制器1连接，被配置为对图像控制器1进行安全监控；及

电源模块3，与图像控制器1连接，被配置为向图像控制器1供电；

其中，安全芯片2还被配置为当监控到图像控制器1不符合预设安全条件时，断开电源模块3与图像控制器1之间的连接。

可以理解，本实用新型通过设置安全芯片2对图像控制器进行监控，当监控到图像控制器1不符合预设的安全条件时，断开电源模块3与图像控制器1 之间的连接，使得图像形成装置全程受到安全芯片2的监控，保证了图像控制器1的安全性。

具体地，图像形成装置表示在例如打印纸的记录介质上打印例如由计算机产生的打印数据的装置。图像形成装置的例子包括但不限于复印机、打印机、传真机、扫描仪以及在单个设备中执行以上功能的多功能外设。

具体地，在本实用新型一个或者多个实施例中，图像控制器1为SoC(System onChip，片上系统)，被配置为控制图像形成装置的成像处理操作，SoC用于执行数据收发、命令收发、引擎控制相关的处理操作，例如，如何通过应用程序调用接口单元(包括但不限于USB端口、有线网络端口、无线网络端口等)来收发数据、命令、状态等，还可以通过应用程序获得接收的打印参数，并解析为控制引擎机构执行特定功能的命令，例如，LSU曝光参数、拾纸辊转动参数等；另外，对于有用户权限认证或者加密/解密处理功能的图像形成装置，SoC还设置成能够执行用户权限认证或者加密/解密处理功能，而图像形成装置中的接口单元还能够接收来自驱动装置的打印作业数据和打印、扫描、传真命令，或者发送扫描、传真数据、打印、扫描、传真状态信息等，以及安全芯片2与外部安全监控服务器交换预定安全规则、日志等信息。

具体地，在本实用新型一个或多个实施例中，安全芯片2包括可信计算监管模块，用于监控图像形成装置中图像控制器1(SoC)对应的运行活动；安全芯片2中的可信计算(Trusted Computing)，是为行为安全而生，广泛使用在计算机和通信系统中，以提高系统整体的安全性。信息安全包含四个方面：设备安全、数据安全、内容安全与行为安全；为进一步提升图像形成装置的行为安全特性，本实施例引入了可信计算功能；本实施例提及的安全芯片2对应的功能模块包括四种功能：程序(或模块)启动/运行监控功能(例如白名单策略)、注册功能、审计功能、升级监控功能，具体地，安全芯片2负责监管图像形成装置操作系统(例如Linux系统)的驱动层模块以及负责监管图像形成装置的应用层程序，安全芯片2只允许运行白名单范围内的驱动和程序，非白名单范围内的驱动和程序不允许运行；安全芯片2会记录或上报图像形成装置上发生的安全事件行为，这样可以实现对图像形成装置的驱动层和应用层进行全面监管，可以有效阻止图像控制器1的应用程序和设备驱动的不安全行为。

具体地，电源模块3用于输出直流电，在本实用新型一个或多个实施例中，电源模块3可以为单个电源单元，也可以是由多个独立的电源单元组合而成。电源模块3不仅可以为成像控制器1供电，还可以为安全芯片2供电以及图像形成装置中的其它硬件模块供电。

请参阅附图2，进一步地，在本实用新型一个或者多个实施例中，图像形成装置还包括存储器4，存储器4与图像控制器1及安全芯片2连接，被配置为存储图像控制器1启动用的启动信息。其中，存储器4是一种非易失性存储器，例如NOR flash(闪存)、NAND flash(闪存)、EEPROM(可擦除的可编程只读存储器)、FRAM(铁电存储器)，MRAM(磁性RAM存储器)和NVSRAM (非易失性静态存储器)等。

需要知道的是，图像形成装置上电之后，安全芯片2及图像控制器1均需要从存储器4获取启动信息，其中，安全芯片2从存储器4中获取启动信息后对启动信息进行安全性校验，图像控制器1需要从存储器4中获取启动信息完成启动，因此，安全芯片2、图像控制器1及存储器4都需要挂接在同一条通讯总线上，而任意一条通讯总线最多只能挂接1个主设备。针对以上所述，本实用新型提供了以下两种实现方式，用以解决上述问题。

方式一：请继续参阅附图2，安全芯片2还包括第一隔离电路5及第二隔离电路6，其中，第一隔离电路5连接于安全芯片2与存储器4之间，第二隔离电路6连接于图像控制器1与存储器4之间，第一隔离电路5及第二隔离电路6 共用一总线接口与存储器4连接。

图像形成装置上电后，安全芯片2优先启动，安全芯片2先控制第一隔离电路5导通及第二隔离电路6断开，安全芯片2读取存储器4内存储的启动信息，并对启动信息进行安全性校验，当启动信息通过安全性校验后，安全芯片2 再控制第一隔离电路5断开及第二隔离电路6导通，图像控制器1读取存储器4 的启动信息以完成启动。

可以理解，由于一条通讯总线在任意时刻只能允许一个主设备接入，因此安全芯片2通过先控制第一隔离电路5导通及第二隔离电路6断开，当安全校验信息通过安全性校验后，安全芯片2再控制第一隔离电路5断开及第二隔离电路6导通，可以避免当安全芯片2读取存储器4的信息时，图像控制器1对通讯总线造成干扰，以及避免当图像控制器1读取存储器4的信息时，安全芯片2对通讯总线造成干扰，因此可以进一步提高图像形成装置的可靠性。

请继续参阅附图2，更具体地，第一隔离电路5包括第一开关电路，第一开关电路的第一端(Y)、使能端(EN)及第二端(Z)分别与安全芯片2的第一引脚(SPIM)、安全芯片2的第二引脚(GPIO0)及存储器4连接，安全芯片 2的第二引脚(GPIO0)通过发送预设电信号至第一开关电路的使能端(EN)，控制第一开关的第一端(Y)与第二端(Z)之间的导通或断开。

第二隔离电路6包括第二开关电路，第二开关电路的第一端(Y)、使能端 (EN)及第二端(Z)分别与图像控制器1的第一引脚(FCSPI)、安全芯片2 的第三引脚(GPIO1)及存储器4连接；安全芯片2的第三引脚(GPIO1)通过发送预设电信号至第二开关电路的使能端(EN)，控制第二开关电路的第一端 (Y)与第二端(Z)之间的导通或断开。

可选地，第一开关电路包括但不限于MOS(metal-oxide-semiconductor，金属-氧化物-半导体场效应晶体)管、三极管、IGBT(Insulated Gate Bipolar Transistor，绝缘栅双极型晶体管)等电子开关中的任意一种，第二开关包括但不限于MOS管、三极管、IGBT等电子开关中的任意一种。

在本实用新型一个或多个实施方式中，第一开关电路及第二开关电路中均以N型MOS管作为开关，当预设电信号为高电平信号时，第一开关电路及第二开关电路导通。

在本实用新型一个或多个实施方式中，通讯总线具体为SPI(Serial PeripheralInterface，串行外设接口)总线，对应地，总线接口具体为SPI总线接口，SPI总线是一种全双工同步串行接口标准，传输效率高，SPI总线只允许一个主设备与一个从设备的同步通讯，从而完成数据的交换。

方式二：

请参阅附图3，安全芯片2的第四引脚(SPIM)通过第一通讯总线与存储器4连接，安全芯片2的第五引脚(SPIS)通过第二通讯总线与图像控制器1 的第二引脚(FCSPI)连接，当图像形成装置上电后，安全芯片2通过第一通讯总线读取存储器4内存储的启动信息，对启动信息进行安全性校验以及将启动信息通过第二通讯总线发送给图像控制器1，以使得图像控制器1读取存储器4 的启动信息完成启动。

可以理解，本实用新型通过先将安全芯片2读取启动信息，再通过安全芯片2将启动信息发送给图像控制器1，无需设置方式一中的第一隔离电路5及第二隔离电路6，同时可以避免安全芯片2与图像控制器1相互之间的干扰问题，因此，可以进一步降低本实用新型提供的图像形成装置的硬件成本，同时保证图像形成装置的可靠性。

具体的，第一通讯总线及第二通讯总线具体为SPI总线，SPI总线上文已有说明，在此不再重复描述。

进一步地，安全芯片2读取启动信息后或者在读取启动信息的过程具体可以为：安全芯片2先对已读取的启动信息进行安全校验，确定出已读取的启动信息符合安全要求后，再将已读取的启动信息发送给图像控制器1执行。例如，安全芯片2先全部读取启动信息，然后对启动信息进行安全性校验，若启动信息通过校验，再将启动信息发送给图像控制器1执行。又例如，安全芯片2先读取部分启动信息(例如先读取boot文件)，先对读取的部分启动信息进行安全性校验，待该部分启动信息校验通过后，先将校验通过的该部分启动信息发送给图像控制器1执行，然后安全芯片2再依次进行启动信息其他部分的读取，直到全部的启动信息安全性校验完毕，若以上该过程中，若存在部分启动信息安全性校验未通过，则停止进行启动信息的读取及校验并生成启动信息未校验通过的信息，进而控制图像控制器1停止执行启动信息。又例如，安全芯片2 先读取全部启动信息，待全部启动信息读取完毕后，将启动信息分割为多个分割体，依次对各个分割体进行安全性校验，每当其中一个分割体校验通过后，将校验通过的该分割体发送给图像控制器1执行，若以上该过程中，若存在分割体安全性校验未通过，则停止进行启动信息的读取及校验，并生成启动信息未校验通过的信息，控制图像控制器1停止执行启动信息。

更为优选地，在本实用新型一个或多个实施方式中，安全芯片2在读取启动信息的过程中或者读取启动信息完毕后，对已读取的启动信息进行安全性校验，同时将已读取的启动信息发送给图像控制器1，若安全芯片2在对启动信息进行安全性校验的过程中，发现启动信息不符合安全条件，则控制图像控制器1 停止运行启动信息。

可以理解，通过在对启动信息进行安全性校验的同时，将启动信息发送给图像控制器1执行，若安全芯片2在对启动信息进行安全性校验的过程中，发现启动信息不符合安全条件，再控制图像控制器1停止运行启动信息，如此，可以大幅度的缩短图像控制器1的启动时间，解决安全性校验带来的图像控制器1启动慢的问题，因此，提高了图像形成装置的使用体验。

基于上述的方式一及方式二，还需要说明的是，启动信息包括启动引导文件(例如boot文件、uboot文件)和操作系统信息(例如初始化DDR、初始化缓存、初始化串口、初始化网卡等)等，一般情况下，存储器4还包括有安全校验信息，安全芯片2在读取启动信息时还会读取安全校验信息，安全校验信息包括但不限于一个预设的校验码。在其他实施方式中，安全校验信息也可以预先存储在安全芯片2内。

更具体地，对启动信息进行安全性校验的过程可以为：安全芯片2读取启动信息及安全校验信息，生成运算校验信息，通过比对运算校验信息和安全校验信息是否满足预定关系，输出启动信息的安全性校验是否通过的信息；例如安全芯片2通过自身的运算电路或者运算代码，对启动信息进行逻辑运算，得到运算校验信息，安全芯片2进一步通过逻辑比较电路或者逻辑比较代码，对运算校验信息和安全校验信息进行比较，判断运算校验信息和安全校验信息是否满足预定关系(例如相等)，如果满足，则输出启动信息的安全性校验通过的信息，如果不满足，输出启动信息的安全性校验不通过的信息。

本实用新型中的安全校验信息中预设的校验码可以是直接提前存入的，也可以是预先(例如，在出厂之前)对完整的启动信息以预设规则进行校验并将得到的校验结果作为安全校验信息，并将该安全校验信息储存。当需要进行安全性校验时(例如，销售后的使用过程需要启动时)，安全芯片2按照上述要求，读取启动信息和安全校验信息，并对启动信息进行逻辑运算，得到运算校验信息，然后将运算校验信息和安全校验信息进行比对，若一致，说明启动信息是完整的未被修改过，若不一致，说明启动信息已被修改，此时若图像控制器1读取及执行该启动信息会有安全隐患，因此安全芯片2不允许图像控制器1 启动，以保证图像控制器1的安全运行。

还需要知道的是，安全芯片2对启动信息进行安全性校验的过程为安全芯片2对图像控制器1进行静态度量的过程，当静态度量通过后，图像控制器1 启动，安全芯片2开始对图像控制器1进行动态度量，动态度量具体为在图像控制器1的固件执行过程中设置密码确认环节，当图像控制器1的固件运行到密码确认环节的时候，图像控制器1会向安全芯片2索要密码并与图像控制器1 的固件中的密码进行比对，二者相同图像控制器1才继续执行固件。

基于以上所述，本实用新型中需要设置对应的硬件控制电路，以满足安全芯片2在对图像控制器1进行静态度量及/或动态度量时，实现对图像控制器1 的安全监控，以进一步保证图像形成装置处理信息的安全性。

进一步地，本实用新型针对安全芯片2对图像控制器1进行安全监控包括但不限于以下几种硬件实现方案：

方案一：请参阅附图4，图像形成装置还包括第三开关电路7及第四开关电路8，安全芯片2的第六引脚(GPIOx)及图像控制器1的第三引脚(GPIOy) 分别与第三开关电路7的第一端(Z)及使能端(EN)连接，第三开关电路7 的第二端(Y)与第四开关电路8的使能端(EN)连接，第四开关电路8的第一端(Y)及第二端(Z)分别与电源模块3及图像控制器1的电源引脚(Power in)连接。

图像形成装置上电后(安全芯片2对启动信息进行安全性度量前)，第三开关电路7的使能端(EN)接收使能有效信号，第三开关电路7的第一端(Z) 与第二端(Y)之间导通，安全芯片2的第六引脚(GPIOx)生成使能无效信号通过第三开关电路7至第四开关电路8的使能端(EN)，第四开关电路8的第一端(Y)及第二端(Z)之间的通路断开，使得电源模块3无法为图像控制器 1供电。

当启动信息通过安全性校验后，安全芯片2的第六引脚(GPIOx)生成使能有效信号，并通过第三开关电路7发送使能有效信号至第四开关电路8的使能端(EN)，第四开关电路8的第一端(Y)及第二端(Z)导通，电源模块3为图像控制器1供电。

在本实用新型一个或者多个实施方式中，电源模块3包括多个电源单元，多个电源单元包括至少一个第一电源单元及至少一个第二电源单元，其中，至少一个第一电源单元(在本实施方式中为多个，如附图4中的A1、A2、A3......An) 被配置为为安全芯片2供电，至少一个第二电源单元(在本实施方式中为多个，如附图4中的B1、B2、B3......Bn)被配置为为图像控制器1供电。

在本实用新型一个或者多个实施方式中，第三开关电路7及第四开关电路8 被配置为使能端接高电平信号时导通。

方案二：请参阅附图5，图像形成装置包括第五开关电路9，安全芯片2的第六引脚(GPIOx)及图像控制器1的第三引脚(GPIOy)分别与第五开关电路 9的第一端(Z)及使能端(EN)连接，第五开关电路9的第二端(Y)与电源模块3的使能端(EN)连接。

图像形成装置上电后，第五开关电路9的使能端(EN)接收使能有效信号，第五开关电路的第一端(Z)及第二端(Y)导通，安全芯片2的第六引脚(GPIOx) 生成使能无效信号至电源模块3的使能端(EN)。

当启动信息通过安全性校验后，安全芯片2的第六引脚(GPIOx)生成使能有效信号至电源模块3的使能端(EN)，电源模块3为图像控制器1供电。

在本实用新型一个或者多个实施方式中，电源模块3包括多个电源单元，多个电源单元可以包括至少一个第一电源单元及至少一个第二电源单元，其中，至少一个第一电源单元(在本实施方式中为多个，如附图5中的A1、A2、 A3......An)被配置为为安全芯片2供电，至少一个第二电源单元(在本实施方式中为多个，如附图5中的B1、B2、B3......Bn)被配置为为图像控制器1供电，第五开关电路9的第二端(Y)分别与多个第二电源单元中的每个第二电源模块的使能端(EN)连接。

方案三：

请参阅附图6，方案三与方案一基本相同，不同之处在于：方案一中的安全芯片2及图像控制器1分别单独由第一电源单元及第二电源单元供电，在方案三中，安全芯片2及图像控制器1共用部分电源(如附图6中的AB1、AB2、 AB3......ABn，为方便区分，下文称共用的电源为第三电源单元)供电，其中，第三电源单元的输出端既与安全芯片2的电源引脚连接，又通过第四开关电路8 与图像控制器1的电源引脚连接。

方案四：

请参阅附图7，方案四与方案三基本相同，不同之处在于：本方案中既给安全芯片2供电又给图像控制器1供电的第三电源单元(如附图7中的AB1、AB2、 AB3......ABn)的电能输出由开关电路(如附图7中的第四开关电路8)控制，而单独给图像控制器1供电的第二电源单元(如附图7中的B1、B2、B3......Bn) 的电能输出由其自身的使能端(EN)控制。

方案五：

请参阅附图8，方案五与方案一与基本相同，不同之处在于：本方案中给图像控制器1供电的第二电源单元中的部分第二电源单元的电能输出由第二电源单元自身的使能端(EN)控制，另一部分第二电源单元由开关电路(如附图8 中的第四开关电路8)控制。

方案六：

请参阅附图9，方案六与方案四与基本相同，不同之处在于：本方案中既给安全芯片2供电又给图像控制器1供电的第三电源单元(如附图9中的AB1、 AB2、AB3......ABn)的电能输出由开关电路(如附图9中的第四开关电路8)控制，而单独给图像控制器1供电的第二电源单元(如附图9中的B1、B2、B3......Bn) 中的一部分第二电源单元由其自身的使能端(EN)控制，另一部分第二电源单元由开关电路(如附图9中的第四开关电路8)控制。

需要说明的是，以上列举的方案仅为示例，本实用新型还包括其它多种实现方式，例如，安全芯片2及图像控制器1共用所有电源单元的方式等，在此不一一赘述。

请参阅附图10，进一步地，第四开关电路8可以是一路开关电路，也可以是多路开关电路，当然，第四开关电路8可以是集成电路，也可以由分立元件搭建。在本实施方式中，第四开关电路8为多路开关电路，其包括多个第一开关单元a，每个第一开关单元a连接在一个电源单元与图像控制器1的电源引脚 (Power in)之间，用于控制其对应的电源单元为图像控制器1供电，图像控制器1的电源引脚的数量为可以为1个或者多个。在本实施方式中，第一开关单元a被配置为使能端接高电平信号时有效，因此，第一开关单元a可以由PNP 三极管作为开关。

具体地，第一开关单元a包括第一PNP三极管Q1、第一NPN三极管Q2、第一电阻R1、第二电阻R2、第三电阻R3及第四电阻R4，其中，第一PNP三极管Q1的发射极及集电极分别对应第四开关电路8的第一端(Y)及第二端(Z)，第二电阻R2的一端对应第四开关电路8的使能端(EN)。

更具体地，第一PNP三极管Q1的发射极、集电极以及基极分别连接电源单元的输出端、图像控制器1的电源引脚以及第三电阻R3的一端与第四电阻 R4的一端之间，第三电阻R3的另一端与第一PNP三极管Q1的发射极连接，第四电阻R4的另一端连接第一NPN三极管Q2的集电极，第一NPN三极管Q2 的发射极接地，第一NPN三极管Q2的基极通过第一电阻R1接地以及依次通过第二电阻R2、第三开关电路7连接至安全芯片2的第六引脚(GPIOx)，由于第一NPN三极管Q2的基极通过第一电阻R1下拉，默认状态下，第一NPN三极管Q2及第一PNP三极管Q1为截止状态，因此，第一开关单元a默认处于截止状态。

可选地，请参阅附图10及附图11，当第一开关单元a为多个时，多个第一开关单元a可以由安全芯片2的多路使能信号中的每一路使能信号单独控制，也可以由安全芯片2的一路使能信号控制，因此，安全芯片2的第六引脚(例如附图10中的GPIOx)的数量可以为1个，也可以为多个(例如附图11中的 GPIO1、GPIO2......GPIOx等)。其中，附图10示出了多个第一开关单元a的导通与截止由安全芯片2的一路使能信号控制的情况，附图11示出了多个第一开关单元a导通与截止由安全芯片2的多路使能信号中的每一路使能信号单独控制的情况。

可选地，第一开关单元a还可以为低电平信号使能有效，若第一开关单元a 为低电平信号使能有效，则无需设置第一NPN三极管Q2、第一电阻R1及第二电阻R2，此时，第一PNP三极管Q1的基极通过第四电阻R4连接至安全芯片2 的第六引脚(GPIOx)。

可选地，第一NPN三极管用于反相，第一NPN三极管还可以由NMOS管代替，第一NPN三极管的基极、发射极及集电极分别对应NMOS管的栅极、源极及漏极。

进一步地，请参阅附图12及附图13，第一开关单元a还可以由PMOS管作为开关，即第一PNP三极管Q1可以由PMOS管(如附图12及附图13中的Q3) 代替，第一PNP三极管Q1的基极、发射极及集电极分别对应PMOS管的栅极、源极及漏极，以PNP三极管作为开关时，无需设置第四电阻R4。

其中，附图12示出了由PMOS管作为开关的情况下，多个第一开关单元a 导通与截止由安全芯片2的一路使能信号控制的情况，附图13示出了在由PMOS 管作为开关的情况下，多个第一开关单元a导通与截止由安全芯片2的多路使能信号中的每一路使能信号单独控制的情况。

进一步的，在本实用新型一个或者多个实施例中，第三开关电路7及第五开关电路9可以是一路开关电路，也可以是多路开关电路；对应的，第三开关电路7及第五开关电路9包括至少一个第二开关单元b，每个第二开关单元b连接在第四开关电路8的使能端(EN)与安全芯片2之间，或连接在电源模块3 的使能端(EN)与安全芯片2之间，在本实施方式中，第二开关单元b高电平信号使能有效，因此，第二开关单元b可以由PNP三极管作为开关。

还需要知道的是，第三开关电路7及第五开关电路9可以是集成电路，也可以由分立元件搭建。

具体地，请参阅附图14，第二开关单元b包括第二PNP三极管Q4、第二 NPN三极管Q5、第五电阻R5、第六电阻R6、第七电阻R7及第八电阻R8，第二PNP三极管Q4的发射极及集电极分别对应于第三开关电路7或第五开关电路9的第一端(Z)及第二端(Y)，具体地，第二PNP三极管Q4的发射极、集电极及基极分别连接安全芯片2的第六引脚(GPIOx)、第一开关单元a的使能端或者其对应的电源单元的使能端、第七电阻R7的一端与第八电阻R8的一端之间，第七电阻R7的另一端与第二PNP三极管Q4的发射极连接，第八电阻 R8的另一端连接至第二NPN三极管Q5的集电极，第二NPN三极管Q5的发射极接地，第二NPN三极管Q5的基极通过第六电阻R6连接至图像控制器1的第三引脚(GPIOy)，图像控制器1的第三引脚(GPIOy)通过第五电阻R5接电源(+Vcc)，由于第二NPN三极管Q5的基极通过第五电阻R5及第六电阻R6 上拉，默认状态下，第二NPN三极管Q5及第二PNP三极管Q4导通，因此，第二开关单元b默认处于导通状态。

可选地，请参阅附图14至附图16，当第二开关单元b仅为一个时，第二开关单元b的导通与截止由图像控制器1的一路使能信号控制，当第二开关单元b 为多个时，多个第二开关单元b的导通与截止可以由图像控制器1的多路使能信号中的每一路使能信号单独控制，也可以由图像控制器1的一路使能信号控制，对应的，图像控制器1的第三引脚(如附图14及附图15中的GPIOy)的数量可以为1个，也可以为多个(如附图16中的GPIO1、GPIO2......GPIOy等)，其中，附图14示出了当第二开关单元b仅为一个时，第二开关单元b的导通与截止由图像控制器1的一路使能信号控制的情况，附图15示出了当第二开关单元b为多个时，多个第二开关单元b的导通与截止由图像控制器1的一路使能信号单独控制的情况，附图16示出了当第二开关单元b为多个时，多个第二开关单元b的导通与截止由图像控制器1的多路使能信号中的每一路使能信号单独控制的情况。

可选地，第二NPN三极管Q5用于反相，第二NPN三极管Q5还可以由 NMOS管代替，第二NPN三极管Q5的基极、发射极及集电极分别对应NMOS 管的栅极、源极及漏极。

进一步地，请参阅附图17及附图18，第二开关单元b还可以由PMOS管(如附图17及附图18中的Q6)作为开关，即第二PNP三极管可以由PMOS管代替，第二PNP三极管Q4的基极、发射极及集电极分别对应PMOS管的栅极、源极及漏极，以PMOS管作为开关时，可无需设置第八电阻R8。

进一步地，请再次参阅附图4及附图5，为了满足不同需求，往往还需要对安全芯片2进行固件升级，在本实用新型一个或者多个实施例中，安全芯片2 进行固件升级的过程为：图像控制器1接收电子设备(例如个人计算机)下发的固件升级包并将固件升级包发送给安全芯片2，以实现对安全芯片2运行固件的升级。由于安全芯片2只有在引导状态才能接收固件升级包(用于被安全芯片2所运行的固件升级包)来实现对其内嵌的存储器4的运行固件进行升级，而安全芯片2在引导状态时会控制图像控制器1复位或者断电，导致图像控制器1无法工作，又由于安全芯片2优先于图像控制器1启动，因此，当图像控制器1启动的时候安全芯片2已经由引导状态进入程序运行的状态，为了保证对安全芯片2固件进行升级时图像控制器1能正常工作，在对安全芯片2进行固件升级前，图像控制器1还被配置为通过其第四引脚(GPIOy)输出预设电平信号(例如低电平信号)使得第三开关电路7或者第五开关电路9断开，以解除安全芯片2对图像控制器1电源的控制，待固件升级完成之后，图像控制器1 再通过第四引脚(GPIOy)输出预设电平信号(例如高电平信号)使得第三开关电路7(或者第五开关电路9)导通，以恢复安全芯片2对图像控制器1电源的控制。

进一步地，在本实用新型一个或者多个实施例中，第三开关电路7或者第五开关电路9的使能端(EN)还可以通过手动开关或者跳线开关接地，使得操作人员可以通过手动的方式使得第三开关电路7或者第五开关电路断开，进而解除安全芯片2对图像控制器1电源的控制，待固件升级完成之后，再使手动开关或者跳线开关断开，以恢复安全芯片2对图像控制器1电源的控制。

本实施例还提供一种图像形成装置用安全控制系统，图像形成装置包括被配置为控制图像形成装置执行成像操作的图像控制器1，安全控制系统包括：安全芯片2，与图像控制器1连接，被配置为对图像控制器1进行安全监控；及电源模块3，与图像控制器1连接，被配置为向图像控制器1供电；其中，安全芯片2还被配置为当监控到图像控制器1不符合预设安全条件时，断开电源模块3 与图像控制器1之间的连接。

关于安全控制系统中各器件/模块与上述图像形成装置中的描述相同，而且也能实现相同的技术效果，在此不再赘述。

以上仅为本实用新型的较佳实施例而已，并不用以限制本实用新型，凡在本实用新型的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本实用新型保护的范围之内。

Claims (11)

1.一种图像形成装置，其特征在于，包括：

图像控制器，被配置为控制所述图像形成装置执行成像操作；

安全芯片，与所述图像控制器连接，被配置为对所述图像控制器进行安全监控；及

电源模块，与所述图像控制器连接，被配置为向所述图像控制器供电；

其中，所述安全芯片还被配置为当监控到所述图像控制器不符合预设安全条件时，断开所述电源模块与所述图像控制器之间的连接。

2.如权利要求1所述的图像形成装置，其特征在于，还包括：

存储器，与所述图像控制器及所述安全芯片连接，被配置为存储所述图像控制器启动用的启动信息。

3.如权利要求2所述的图像形成装置，其特征在于，还包括：

第一隔离电路，所述第一隔离电路连接于所述安全芯片与所述存储器之间；及

第二隔离电路，所述第二隔离电路连接于所述图像控制器与所述存储器之间，所述第一隔离电路及所述第二隔离电路共用一总线接口与所述存储器连接；

其中，所述图像形成装置上电后，所述安全芯片优先启动，所述安全芯片先控制所述第一隔离电路导通及第二隔离电路断开，所述安全芯片读取所述存储器内存储的所述启动信息，并对所述启动信息进行安全性校验，当所述启动信息通过安全性校验后，所述安全芯片再控制所述第一隔离电路断开及第二隔离电路导通，所述图像控制器读取所述存储器的启动信息以完成启动。

4.根据权利要求3所述的图像形成装置，其特征在于，所述第一隔离电路包括第一开关电路，所述第一开关电路的第一端、使能端及第二端分别与所述安全芯片的第一引脚、所述安全芯片的第二引脚及所述存储器连接，所述安全芯片的第二引脚通过发送预设电信号至所述第一开关电路的使能端，控制所述第一开关电路的第一端与所述第二端之间的导通或断开。

5.根据权利要求3所述的图像形成装置，其特征在于，所述第二隔离电路包括第二开关电路，所述第二开关电路的第一端、使能端及第二端分别与所述图像控制器的第一引脚、所述安全芯片的第三引脚及所述存储器连接；所述安全芯片的第三引脚通过发送预设电信号至所述第二开关电路的使能端，控制所述第二开关电路的第一端与所述第二端之间的导通或断开。

6.如权利要求2所述的图像形成装置，其特征在于，所述安全芯片的第四引脚通过第一通讯总线与所述存储器连接，所述安全芯片的第五引脚通过第二通讯总线与所述图像控制器的第二引脚连接，当所述图像形成装置上电后，所述安全芯片通过所述第一通讯总线读取所述存储器内存储的所述启动信息，对所述启动信息进行安全性校验以及将所述启动信息通过第二通讯总线发送给所述图像控制器，以使得所述图像控制器读取所述存储器的启动信息完成启动。

7.如权利要求2至6任一项所述的图像形成装置，其特征在于，还包括第三开关电路及第四开关电路，所述安全芯片的第六引脚及所述图像控制器的第三引脚分别与所述第三开关电路的第一端及使能端连接，所述第三开关电路的第二端与所述第四开关电路的使能端连接，所述第四开关电路的第一端及第二端分别与所述电源模块及所述图像控制器的电源引脚连接。

8.如权利要求7所述的图像形成装置，其特征在于，所述图像形成装置上电后，所述第三开关电路的使能端接收使能有效信号，所述第三开关电路的第一端与第二端导通，所述安全芯片的第六引脚生成使能无效信号至所述第四开关电路的使能端，所述第四开关电路的第一端及第二端之间的通路断开；

当所述启动信息通过安全性校验后，所述安全芯片的第六引脚生成使能有效信号，并通过所述第三开关电路发送所述使能有效信号至所述第四开关电路的使能端，所述第四开关电路的第一端与第二端导通，所述电源模块为所述图像控制器供电。

9.如权利要求2至6任一项所述的图像形成装置，其特征在于，还包括第五开关电路，所述安全芯片的第六引脚及所述图像控制器的第三引脚分别与所述第五开关电路的第一端及使能端连接，所述第五开关电路的第二端与所述电源模块的使能端连接。

10.如权利要求9所述的图像形成装置，其特征在于，所述图像形成装置上电后，所述第五开关电路的使能端接收使能有效信号，所述第五开关电路的第一端与第二端导通，所述安全芯片的第六引脚生成使能无效信号至所述电源模块的使能端；

当所述启动信息通过安全性校验后，所述安全芯片的第六引脚生成使能有效信号至所述电源模块的使能端，所述电源模块为所述图像控制器供电。

11.一种图像形成装置用安全控制系统，所述图像形成装置包括被配置为控制所述图像形成装置执行成像操作的图像控制器，其特征在于，所述安全控制系统包括：

安全芯片，与所述图像控制器连接，被配置为对所述图像控制器进行安全监控；及

电源模块，与所述图像控制器连接，被配置为向所述图像控制器供电；

其中，所述安全芯片还被配置为当监控到所述图像控制器不符合预设安全条件时，断开所述电源模块与所述图像控制器之间的连接。

Images