JP2020187649A - Information processing system, control method, and program - Google Patents
Information processing system, control method, and program Download PDFInfo
- Publication number
- JP2020187649A JP2020187649A JP2019093134A JP2019093134A JP2020187649A JP 2020187649 A JP2020187649 A JP 2020187649A JP 2019093134 A JP2019093134 A JP 2019093134A JP 2019093134 A JP2019093134 A JP 2019093134A JP 2020187649 A JP2020187649 A JP 2020187649A
- Authority
- JP
- Japan
- Prior art keywords
- memory
- programs
- information processing
- program
- sub cpu
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Landscapes
- Accessory Devices And Overall Control Thereof (AREA)
- Facsimiles In General (AREA)
Abstract
Description
本発明は、プロセッサが実行するプログラムの正当性を検証する情報処理装置、制御方法、およびプログラムに関する。 The present invention relates to an information processing device, a control method, and a program for verifying the validity of a program executed by a processor.
従来の画像処理装置（ＭＦＰ）におけるブートコードの改竄検知方法において、メインＣＰＵが実行するブートコードをメインＣＰＵが起動する前にコントローラが読み出し、コントローラは読み出したブートコードが改竄されていないかを検証する。また、コントローラは読み出したブートコードの改竄を検知した場合、リカバリ用のブートコードをコピーして復旧する、あるいは、メインＣＰＵの動作を停止する方法がある。 In the conventional boot code tampering detection method in an image processing device (MFP), the controller reads the boot code executed by the main CPU before the main CPU starts, and the controller verifies whether the read boot code has been tampered with. To do. Further, when the controller detects that the read boot code has been tampered with, there is a method of copying the boot code for recovery to recover or stopping the operation of the main CPU.
例えば、特許文献１には、第一のブートイメージを検証し、改竄を検知した場合、第二のブートイメージを使用し、使用不可能な場合、第三のブートイメージを実行する制御例が示されている。 For example, Patent Document 1 shows a control example in which the first boot image is verified, the second boot image is used when tampering is detected, and the third boot image is executed when it cannot be used. Has been done.
画像処理装置などの情報処理装置は、メインＣＰＵの他に、別の機能手段を備える場合があり、前記機能手段は、メインＣＰＵとは別のＣＰＵで動作する場合がある。このような場合、それぞれのブートコードの改竄検知処理を行う必要がある。すなわち、メインＣＰＵまたは別のＣＰＵのブートコードが改竄または故障している場合、別のＦＬＡＳＨ ＲＯＭから起動する、またはリカバリ用のＦＬＡＳＨ ＲＯＭからデータをコピーする。このため、メインＣＰＵおよび別のＣＰＵのそれぞれにデフォルトのＦＬＡＳＨ ＲＯＭと、リカバリ用のＦＬＡＳＨ ＲＯＭとが必要となるため、ＦＬＡＳＨ ＲＯＭが各所に２重に必要となりコストがかさむ課題があった。 An information processing device such as an image processing device may include another functional means in addition to the main CPU, and the functional means may operate on a CPU different from the main CPU. In such a case, it is necessary to perform tampering detection processing of each boot code. That is, if the boot code of the main CPU or another CPU is tampered with or has failed, it boots from another FLASH ROM or copies data from the FLASH ROM for recovery. For this reason, a default FLASH ROM and a FLASH ROM for recovery are required for each of the main CPU and another CPU, so that there is a problem that the FLASH ROM is required twice in various places, which increases the cost.
本発明は、上述の問題に鑑みて成されたものであり、複数のブートコードの改竄検知を行う情報処理装置のコストを低減することを目的とする。 The present invention has been made in view of the above problems, and an object of the present invention is to reduce the cost of an information processing device that detects falsification of a plurality of boot codes.
本発明は、例えば情報処理装置であって、少なくとも１つのコントローラと、複数のプロセッサと、前記複数のプロセッサが実行する複数のプログラムを格納する少なくとも１つの第１のメモリと、前記複数のプログラムのリカバリを行うためのデータを格納する１つの第２のメモリと、を備え、前記少なくとも１つのコントローラは、前記少なくとも１つの第１のメモリから前記複数のプログラムを読み出す読出手段と、前記読出手段で読み出した前記複数のプログラムの正当性を検証する検証手段と、前記検証手段が前記複数のプログラムの少なくともいずれかの正当性が確認できなかった場合に、前記第２のメモリに格納された前記データに基づいて、前記少なくとも１つの第１のメモリに格納された、正当性が確認できなかったプログラムをリカバリするリカバリ手段と、を備えることを特徴とする。 The present invention is, for example, an information processing apparatus, wherein at least one controller, a plurality of processors, at least one first memory for storing a plurality of programs executed by the plurality of processors, and the plurality of programs. A second memory for storing data for performing recovery is provided, and the at least one controller has a read means for reading the plurality of programs from the at least one first memory, and the read means. The verification means for verifying the validity of the plurality of programs read out, and the data stored in the second memory when the verification means cannot confirm the validity of at least one of the plurality of programs. Based on the above, the program is characterized by comprising a recovery means for recovering a program whose validity has not been confirmed, which is stored in at least one first memory.
本発明によれば、複数のブートコードの改竄検知を行う情報処理装置のコストを低減することができる。 According to the present invention, it is possible to reduce the cost of an information processing device that detects falsification of a plurality of boot codes.
以下、添付図面を参照して本発明の実施形態を詳しく説明する。尚、以下の実施形態は特許請求の範囲に係る本発明を限定するものではなく、また本実施形態で説明されている特徴の組み合わせの全てが本発明の解決手段に必須のものとは限らない。 Hereinafter, embodiments of the present invention will be described in detail with reference to the accompanying drawings. It should be noted that the following embodiments do not limit the present invention according to the claims, and not all combinations of features described in the present embodiment are essential for the means for solving the present invention. ..
＜第１の実施形態＞
以下、本実施形態に係るブートコードの改竄検知処理を実行する情報処理装置（ＭＦＰ）について説明する。なお、特に断らない限り、本実施形態に係る機能が実行されるのであれば、単体の機器であっても、複数の機器からなるシステムであっても、本発明を適用できることは言うまでもない。
<First Embodiment>
Hereinafter, an information processing device (MFP) that executes falsification detection processing of the boot code according to the present embodiment will be described. It goes without saying that the present invention can be applied to a single device or a system composed of a plurality of devices as long as the functions according to the present embodiment are executed unless otherwise specified.
図１は、本実施形態に係るＭＦＰ１の構成を表す図である。図１において、ＭＦＰ１はメインＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１０１、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１０２、およびネットワークＩ／Ｆ（インタフェース）１０４を備える。また、ＭＦＰ１は操作部１０３、プリンタ部１０５、スキャナ部１０６、ＦＡＸ１０７、画像処理部１１１、および電源処理部１１８を備える。
FIG. 1 is a diagram showing a configuration of the MFP 1 according to the present embodiment. In FIG. 1, the MFP 1 includes a main CPU (Central Processing Unit) 101, a DRAM (Dynamic Random Access Memory) 102, and a network I / F (interface) 104. Further, the MFP 1 includes an
メインＣＰＵ１０１は、ＭＦＰ１全体の制御を司るプロセッサである。ＤＲＡＭ１０２は、メインＣＰＵ１０１で実行されるプログラムを格納すると共に一時的なデータのワークエリアとして機能する。操作部１０３は、ユーザ操作を受付け、操作部Ｉ／Ｆ１１３を介してメインＣＰＵ１０１に受け付けたユーザ操作を通知する。ネットワークＩ／Ｆ１０４は、有線接続または無線接続を介してＬＡＮ１３０と接続して外部機器と通信を行う。プリンタ部１０５は、画像データを紙面上に印字する。スキャナ部１０６は、紙面上の画像を光学的に読み取り電気信号に変換してスキャン画像を生成する。ＦＡＸ１０７は、公衆回線１１０と接続して外部機器とファクシミリ通信を行う。信号バス１０９は、各モジュールを相互に接続し、通信を可能にする。
The
公衆回線１１０は、ＦＡＸ１０７と外部機器を相互接続する。画像処理部１１１は、ネットワークＩ／Ｆ１０４で受信したプリントジョブをプリンタ部１０５で印刷するのに適した画像への変換処理、スキャナ部１０６で読み取ったスキャン画像のノイズ除去や色空間変換、回転、圧縮等の処理を実行する。また、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）１２５に保管されたスキャン画像の画像処理を実行する。
The
電源制御部１１８は、ＭＦＰ１内の各モジュールの電力供給を制御する。電源線１１９は、電源制御部１１８から各モジュールに電力を供給する。電源供給線１２０は、電源制御部１１８から商業用ＡＣ電源が供給される。
The
また、図１で、ＭＦＰ１は、リセット回路１２２、ＨＤＤ制御部１２４、ＨＤＤ１２５、サブＣＰＵ１１５、サブＣＰＵ２ １２６、ＦＬＡＳＨ ＲＯＭ（ＦＬＡＳＨ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１１２、およびＦＬＡＳＨ ＲＯＭ２ １２７を備える。
Further, in FIG. 1, the MFP 1 includes a
リセット回路１２２は、システムの電源がＯＮされると所定の遅延時間後にサブＣＰＵへのリセット信号１２３を「Ｌｏ」レベルから「Ｈｉ」レベルに遷移する。サブＣＰＵリセット信号１２３は、リセット回路１２２から出力されてサブＣＰＵ１１５のリセット端子に接続される。サブＣＰＵリセット信号１２３が「Ｈｉ」レベルになると、サブＣＰＵ１１５はリセットが解除されて起動を開始する。すなわち、リセット回路１２２は、起動時に後述する改竄検知処理を実行させるトリガとなるリセット信号１２３をサブＣＰＵ１１５およびサブＣＰＵ２ １２６に送信する。サブＣＰＵ１１５はメインＣＰＵ１０１が実行するブートコード（プログラム）の正当性を検証するためのコントローラである。サブＣＰＵ２ １２６は、ＨＤＤ制御部１２４が実行するブートコード（プログラム）の正当性を検証するためのコントローラである。すなわち、サブＣＰＵは、複数のＣＰＵのそれぞれに対して個別に設けられる。
When the power of the system is turned on, the
ＨＤＤ１２５は、ＨＤＤ制御部１２４を介してメインＣＰＵ１０１で実行されるプログラムを格納すると共にプリントジョブやスキャンジョブ等のスプール領域としても利用される。また、スキャン画像を保管し再利用するための領域としても利用される。ＨＤＤ制御部１２４は、ＨＤＤ１２５のデータ入出力を制御する。
The HDD 125 stores a program executed by the
ＦＬＡＳＨ ＲＯＭ１１２は、メインＣＰＵ１０１で実行されるブートコードを含むプログラムを格納すると共にＭＦＰ１のデフォルト設定値を記憶するための記憶部（メモリ）である。ＦＬＡＳＨ ＲＯＭ１２７は、ＨＤＤ制御部１２４で実行されるブートコードを含むプログラムを格納するための記憶部（メモリ）である。すなわち、ＦＬＡＳＨ ＲＯＭは、複数のＣＰＵのそれぞれに対して個別に設けられる。一例では、ＦＬＡＳＨ ＲＯＭ１１２に格納されたデータは、暗号化されている。操作部Ｉ／Ｆ１１３は、操作部１０３と信号バス１０９を相互接続する。Ｓｅｒｉａｌ Ｐｅｒｉｐｈｅｒａｌ Ｉｎｔｅｒｆａｃｅ（ＳＰＩ）バス１１４は、メインＣＰＵ１０１、ＦＬＡＳＨ ＲＯＭ１１２、サブＣＰＵ１１５を相互接続する。
The
サブＣＰＵ１１５は、ＭＦＰ１の起動時に、メインＣＰＵ１０１が起動する前にＦＬＡＳＨ ＲＯＭ１１２からブートコードを読み出して、正当性を検証する。すなわち、改竄がされていないか、ＦＬＡＳＨ ＲＯＭ１１２の故障などによりデータの変化が発生していないかを検証する。改竄の検知方法としては、例えばブートコードのデジタル署名の公開鍵情報（ハッシュ値を公開鍵暗号化した値）を製造時にサブＣＰＵ１１５内のＯＴＰ（Ｏｎｅ Ｔｉｍｅ Ｐｒｏｇｒａｍ）３０４領域に記憶させておく。そして、読み出したブートコードをこの公開鍵情報で復号化して検証を行う。公開鍵暗号の方法としてはＲＳＡ２０４８、ＥＣＤＳＡ（Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅ Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ａｌｇｏｒｉｔｈｍ）などを含む。リセット信号１１７は、サブＣＰＵ１１５のＧＰＩＯポートから出力されてメインＣＰＵ１０１のリセット端子に接続される。
When the MFP1 is started, the
サブＣＰＵ２ １２６は、ＭＦＰ１の起動時に、ＨＤＤ制御部１２４が起動する前にＦＬＡＳＨ ＲＯＭ２ １２７からブートコードを読み出して、正当性を検証する。すなわち、改竄がされていないか、ＦＬＡＳＨ ＲＯＭ２ １２７の故障などによりデータの損失が発生していないかを検証する。改竄の検知方法としては、例えばブートコードのデジタル署名の公開鍵情報（ハッシュ値を公開鍵暗号化した値）を製造時にサブＣＰＵ１１５内のＯＴＰ（Ｏｎｅ Ｔｉｍｅ Ｐｒｏｇｒａｍ）領域に記憶させておく。そして、読み出したブートコードをこの公開鍵情報で復号化して検証を行う。公開鍵暗号の方法としてはＲＳＡ２０４８、ＥＣＤＳＡ（Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅ Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ａｌｇｏｒｉｔｈｍ）などを含む。リセット信号１２９は、サブＣＰＵ２ １２６のＧＰＩＯポートから出力されてＨＤＤ制御部１２４のリセット処理用に接続される。
The sub CPU 2 126 reads the boot code from the FLASH ROM 2 127 at the time of starting the MFP 1 before the
次に、図２を参照してメインＣＰＵ１０１の構成を説明する。図２において、メインＣＰＵ１０１は、ＣＰＵコア２０１、ＳＰＩ Ｍａｓｔｅｒ２０２を備える。ＣＰＵコア２０１は、ＣＰＵの基本機能を担っている。ＳＰＩ Ｍａｓｔｅｒ２０２は、外部のＳＰＩデバイスと相互に接続してデータの読み書きを行う。
Next, the configuration of the
また、メインＣＰＵ１０１は、外部のＳＰＩデバイスと電気的に接続するためにＳＰＩバス２０６を備える。信号バス２０９は、メインＣＰＵ１０１内の各モジュールを接続する。「Ｌｏ」レベルのリセット信号１１７が入力された場合、メインＣＰＵ１０１はリセット状態に遷移する。「Ｈｉ」レベルのリセット信号１１７が入力された場合、メインＣＰＵ１０１はリセット解除状態に遷移する。リセット信号１１７がリセット状態からリセット解除状態に遷移すると、ＣＰＵコア２０１は先ず、ＦＬＡＳＨ ＲＯＭ１１２内に記憶されているメインＣＰＵ ＢＩＯＳ５０１をＤＲＡＭ１０２にロードして実行する。
Further, the
次に、図３を参照してサブＣＰＵ１１５の構成を説明する。図３において、サブＣＰＵ１１５はＣＰＵコア３０１、ＳＰＩ Ｍａｓｔｅｒ３０２、ＧＰＩＯ（Ｇｅｎｅｒａｌ−ｐｕｒｐｏｓｅ ｉｎｐｕｔ／ｏｕｔｐｕｔ）３０３、およびＯＴＰ（Ｏｎｅ Ｔｉｍｅ Ｐｒｏｇｒａｍｍａｂｌｅ）を備える。また、サブＣＰＵ１１５はＳＲＡＭ３０５、暗号処理部３０８、Ｂｏｏｔ ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）３１０、およびＣｒｙｐｔｏ ＲＡＭ３１１を備える。サブＣＰＵ１１５内のモジュールは、信号バス３０９によって通信可能に接続される。
Next, the configuration of the
ＣＰＵコア３０１は、サブＣＰＵ１１５の基本機能を担っている。ＳＰＩ Ｍａｓｔｅｒ３０２は、外部のＳＰＩデバイスと相互に接続してデータの読み書きを行う。本実施形態において、サブＣＰＵ１１５のＳＰＩ Ｍａｓｔｅｒ３０２はバス１１４およびバス１２８に接続する。ＧＰＩＯ３０３は、外部のデバイスと相互に接続してデータの送受信を行う。サブＣＰＵ１１５のＧＰＩＯ３０３は、メインＣＰＵ１０１にリセット信号１１７を送信する。ＯＴＰメモリ領域３０４は、製造時にサブＣＰＵ ＦＷ（Ｆｉｒｍｗａｒｅ）のハッシュ値を公開鍵暗号化した値およびＴａｇのアドレスが書き込まれる。この領域に書き込まれたデータは一度書き込まれると二度と書換えることはできない。
The
ＳＲＡＭ３０５は、サブＣＰＵ１１５内のワークメモリとして使用される。暗号処理部３０８は、公開鍵暗号化した値からサブＣＰＵ ＦＷのハッシュ値を復号するほか、公開鍵暗号化したメインＣＰＵ ＢＩＯＳのハッシュ値を復号する。Ｂｏｏｔ ＲＯＭ３１０は、サブＣＰＵ１１５のブートコードを記憶する。
The
ＧＰＩＯ３０３が出力するリセット信号１１７が「Ｌｏ」レベルの場合、メインＣＰＵ１０１はリセット状態となり、リセット信号１１７が「Ｈｉ」レベルの場合、メインＣＰＵ１０１はリセット解除状態となる。リセット信号１１７がリセット状態からリセット解除状態に遷移すると、ＣＰＵコア３０１は先ず、Ｂｏｏｔ ＲＯＭ３１０から自身のブートコードを読み出し実行する。Ｃｒｙｐｔｏ ＲＡＭ３１１は、暗号処理部３０８で利用する機密性の高いデータ等を記憶する。
When the
なお、サブＣＰＵ２ １２６も、サブＣＰＵ１１５と同様の構成を備える。サブＣＰＵ２ １２６のＧＰＩＯは、ＨＤＤ制御部１２４にリセット信号１２９を送信する。また、サブＣＰＵ２ １２６のＳＰＩ Ｍａｓｔｅｒはバス１２８に接続する。
The sub CPU 2 126 also has the same configuration as the
次に、図４を参照してＨＤＤ制御部１２４およびＨＤＤ１２５の構成を説明する。図４において、ＨＤＤ制御部１２４はＣＰＵコア４０１、ＳＰＩ Ｍａｓｔｅｒ４０２、ＨＤＤ転送制御部１ ４０３、およびＨＤＤ転送制御部２ ４０４を備える。ＨＤＤ制御部１２４内のモジュールは、内部データバス４０７によって通信可能に接続される。
Next, the configurations of the
ＣＰＵコア４０１は、ＨＤＤ制御部１２４を制御するためのＣＰＵの基本機能を担っている。ＳＰＩ Ｍａｓｔｅｒ４０２は、外部のＳＰＩデバイスと相互に接続してデータの読み書きを行う。
The
ＨＤＤ転送制御部１ ４０３のおよびＨＤＤ転送制御部２ ４０４は、ＣＰＵコア４０１の命令により、ＨＤＤ１２５の読み書き処理の制御を行う。ＨＤＤ１２５の読み出し動作の場合、ＣＰＵコア４０１はＨＤＤ転送制御部２ ４０４にＨＤＤの読み出しを設定する。そして、設定されたデータをＨＤＤ転送制御部２ ４０４がＨＤＤから読み出し、ＳＡＴＡインタフェースバス４０８を経由してＣＰＵコア４０１に送信する。そして、ＨＤＤ転送制御部２ ４０４、ＨＤＤ制御部１２４の内部データバス４０７、およびＨＤＤ転送制御部１ ４０３を経由して、データバス４０５を介してＤＲＡＭ１０２に書き込む動作を行う。
The HDD transfer control unit 1 403 and the HDD transfer control unit 2 404 control the read / write process of the
また、ＨＤＤ１２５の書き込み動作の場合、ＣＰＵコア４０１はＨＤＤ転送制御部２ ４０４にＨＤＤ１２５の書き込みを設定する。その後、データバス４０５から転送されたデータをＨＤＤ転送制御部１ ４０３、ＨＤＤ制御部１２４の内部データバス４０７、ＨＤＤ転送制御部２ ４０４、およびＳＡＴＡインタフェースバス４０８を経由して、ＨＤＤ１２５へ書き込み動作を実行する。ＳＰＩバス４０６は、外部のＳＰＩデバイスと電気的に接続する。
Further, in the case of the writing operation of the
ＣＰＵコア４０１に入力されるリセット信号１２９が「Ｌｏ」レベルである場合、ＨＤＤ制御部１２４はリセット状態となり、リセット信号１２９が「Ｈｉ」レベルである場合、ＨＤＤ制御部１２４はリセット解除状態となる。リセット信号１２９がリセット状態からリセット解除状態に遷移すると、ＣＰＵコア４０１は先ず、ＦＬＡＳＨ ＲＯＭ２ １２７内に記憶されているＨＤＤ制御部ＣＰＵ ＢＩＯＳをＳＰＩ Ｍａｓｔｅｒ４０２にロードして実行する。
When the
次に、図５を参照してＦＬＡＳＨ ＲＯＭ１１２のメモリマップの一例を説明する。図５において、ＦＬＡＳＨ ＲＯＭ１１２のメモリマップは、メインＣＰＵ ＢＩＯＳ５０１、メインＣＰＵ ＢＩＯＳ署名５０２、Ｔａｇ５０３、サブＣＰＵ ＦＷ５０４、ＦＷ署名５０５、およびＲＯＭ−ＩＤ５０６を含む。また、ＦＬＡＳＨ ＲＯＭ１１２のメモリマップは、Ｔａｇ０ ５０７、Ｔａｇ１ ５０８、リカバリブートコード０ ５０９、およびリカバリブートコード１ ５１０を含む。
Next, an example of the memory map of the
メインＣＰＵ ＢＩＯＳ５０１には、メインＣＰＵ１０１で実行されるコードが記憶される。ＢＩＯＳ署名５０２には、メインＣＰＵ ＢＩＯＳのハッシュ値に対するＲＳＡ署名値が格納される。Ｔａｇ５０３は、サブＣＰＵ ＦＷ５０４の先頭アドレスが記憶されている。Ｔａｇ５０３自体のアドレスはＯＴＰ３０４に記憶されている。
The code executed by the
サブＣＰＵ ＦＷ５０４には、サブＣＰＵ１１５で実行されるコードが記憶されている。ＦＷ署名５０５には、サブＣＰＵ ＦＷ５０４、またはサブＣＰＵ ＦＷ５０４の先頭の特定部分のＥＣＤＳＡ署名値が記憶されている。ＲＯＭ−ＩＤ５０６は、メインＣＰＵ ＢＩＯＳ５０１の先頭アドレス、サイズおよびメインＣＰＵ ＢＩＯＳ署名５０２のアドレスが記憶されている。
The code executed by the
Ｔａｇ０ ５０７には、リカバリブートコード０ ５０９の先頭アドレスが記憶されている。Ｔａｇ０ ５０７自体のアドレスはＯＴＰ３０４に記憶されている。Ｔａｇ１ ５０８には、リカバリブートコード１ ５１０の先頭アドレスが記憶されている。Ｔａｇ１ ５０８自体のアドレスはＯＴＰ３０４に記憶されている。
The start address of the recovery boot code 0 509 is stored in
次に、図１３を参照してＦＬＡＳＨ ＲＯＭ２ １２７のメモリマップの一例を説明する。図１３において、ＦＬＡＳＨ ＲＯＭ２ １２７のメモリマップは、ＨＤＤ制御部ＣＰＵ ＢＩＯＳ１３０１、ＨＤＤ制御部ＣＰＵ署名１３０２、Ｔａｇ１３０３、サブＣＰＵ ＦＷ１３０４、ＦＷ署名１３０５、およびＲＯＭ−ＩＤ１３０６を含む。
Next, an example of the memory map of the
ＨＤＤ制御部ＣＰＵ ＢＩＯＳ１３０１は、ＨＤＤ制御部１２４のＣＰＵコア４０１によって実行されるコードが記憶される。ＨＤＤ制御部ＣＰＵ署名１３０２には、ＨＤＤ制御部ＣＰＵ ＢＩＯＳのハッシュ値に対するＲＳＡ署名値が格納される。Ｔａｇ１３０３には、サブＣＰＵ ＦＷ１３０４の先頭アドレスが記憶されている。
The HDD control
サブＣＰＵ ＦＷ１３０４には、サブＣＰＵ２ １２６によって実行されるコードが記憶されている。ＦＷ署名１３０５には、サブＣＰＵ ＦＷ１３０４の先頭の特定部分のＥＣＤＳＡ署名値が記憶されている。ＲＯＭ−ＩＤ１３０６は、ＨＤＤ制御部ＣＰＵ ＢＩＯＳ１３０１の先頭アドレス、サイズおよびＨＤＤ制御部ＣＰＵ署名１３０２のアドレスが記憶されている。
The code executed by the sub CPU 2 126 is stored in the
次に、本実施形態におけるサブＣＰＵ１１５の処理手順を図６のフローチャートを用いて説明する。図６の処理は、ＭＦＰ１の電源投入時にサブＣＰＵ１１５によって実行される。
Next, the processing procedure of the
まず、Ｓ６０１で、サブＣＰＵ１１５は起動すると直ちにＢｏｏｔ ＲＯＭ３１０内のコードを実行し、ＳＰＩバス１１４を介してＦＬＡＳＨ ＲＯＭ１１２からサブＣＰＵ ＦＷ５０４をＳＲＡＭ３０５に読み込む。続いて、サブＣＰＵ１１５は処理をＳ６０２に進め、暗号処理部３０８によってＦＷ署名５０５をＯＴＰ３０４内の公開鍵で復号化して、正解となるハッシュ値を得る。続いてサブＣＰＵ １１５は処理をＳ６０３に進め、暗号処理部３０８によってサブＣＰＵ ＦＷ５０４のハッシュ値を計算する。次にサブＣＰＵ１１５は処理をＳ６０４に進め、Ｓ６０２で取得したハッシュ値とＳ６０３で計算したハッシュ値を比較し、不一致の場合（Ｓ６０４でＮＯ）は処理を終了する。Ｓ６０２のハッシュ値とＳ６０３のハッシュ値とが一致した場合（Ｓ６０４でＹＥＳ）、サブＣＰＵ１１５は処理をＳ６０５に進め、サブＣＰＵ ＦＷ５０４をＳＲＡＭ３０５に読み込み、サブＣＰＵ１１５はサブＣＰＵ ＦＷ５０４を実行する。
First, in S601, as soon as the
次にサブＣＰＵ１１５は処理をＳ６０６に進め、ＲＯＭ−ＩＤ５０６をＦＬＡＳＨ ＲＯＭ１１２からＣｒｙｐｔｏ ＲＡＭ３１１に読み込む。続いてサブＣＰＵ１１５は処理をＳ６０７に進め、ＲＯＭ−ＩＤ５０６からメインＣＰＵ ＢＩＯＳ５０１のアドレスとメインＣＰＵ ＢＩＯＳ署名５０２のアドレスとを得る。次にサブＣＰＵ１１５は処理をＳ６０８に進め、メインＣＰＵ ＢＩＯＳ署名５０２をＳＲＡＭ３０５に読み込む。続いてサブＣＰＵ１１５は処理をＳ６０９に進め、暗号処理部３０８によってメインＣＰＵ ＢＩＯＳ署名５０２をサブＣＰＵ ＦＷ５０４に付属している公開鍵で復号化してハッシュ値を得る。
Next, the
次にサブＣＰＵ１１５は処理をＳ６１０に進め、メインＣＰＵ ＢＩＯＳ５０１をＳＲＡＭ３０５に読み込む。次にサブＣＰＵ１１５はＳ６１１に進め、暗号処理部３０８によってメインＣＰＵ ＢＩＯＳ５０１のハッシュ値を計算する。そして、サブＣＰＵ１１５はＳ６１２に処理を進め、Ｓ６０９のハッシュ値とＳ６１１のハッシュ値とを比較する。Ｓ６０９のハッシュ値とＳ６１１のハッシュ値とが一致する場合（Ｓ６１２でＹＥＳ）、サブＣＰＵ１１５は処理をＳ６１８に進める。また、Ｓ６０９のハッシュ値とＳ６１１のハッシュ値とが不一致の場合（Ｓ６１２でＮＯ）、サブＣＰＵ１１５は処理をＳ６１３に進め、ＯＴＰ３０４のリカバリ用Ｔａｇを取得する。すなわち、サブＣＰＵ１１５は、Ｓ６１３において、Ｓ６１１で計算したハッシュ値がＳ６０９のハッシュ値と一致しないため、メインＣＰＵ ＢＩＯＳ５０１に改竄またはデータの破損が発生したと判定し、リカバリ用Ｔａｇ０ ５０７を取得する。リカバリ用Ｔａｇ０ ５０７にはリカバリブートコード０ ５０９の先頭アドレスが記憶されている。
Next, the
続いて、サブＣＰＵ１１５は処理をＳ６１４に進め、再度、暗号処理部３０８によってメインＣＰＵ ＢＩＯＳ署名５０２をサブＣＰＵ ＦＷ５０４に付属している公開鍵で復号化してハッシュ値を得る。次にサブＣＰＵ１１５は処理をＳ６１５に進め、リカバリブートコード０ ５０９をＳＲＡＭ３０５に読み込む。なお、一例では、Ｓ６１５においてサブＣＰＵ１１５はリカバリブートコード０ ５０９でメインＣＰＵ ＢＩＯＳを上書きすることでメインＣＰＵ ＢＩＯＳのリカバリを行ってもよい。
Subsequently, the
次にサブＣＰＵ１１５は処理をＳ６１６に進め、暗号処理部３０８によってリカバリブートコード０ ５０９のハッシュ値を計算する。そして、サブＣＰＵ１１５は処理をＳ６１７に進め、Ｓ６１４のハッシュ値とＳ６１６のハッシュ値とを比較する。Ｓ６１４のハッシュ値とＳ６１６のハッシュ値とが一致した場合（Ｓ６１７でＹＥＳ）は、サブＣＰＵ１１５は処理をＳ６１８に進めてＧＰＩＯ３０３を制御して「Ｈｉ」レベルのリセット信号１１７を出力する。Ｓ６１４のハッシュ値とＳ６１６のハッシュ値とが一致しない場合（Ｓ６１７でＮＯ）、サブＣＰＵ１１５は図６の処理を終了する。
Next, the
次に、サブＣＰＵ２ １２６の処理手順を図１２のフローチャートを用いて説明する。図１２の処理は、サブＣＰＵ２ １２６が「Ｈｉ」レベルのサブＣＰＵリセット信号１２３を入力された場合に実行される。
Next, the processing procedure of the sub CPU 2 126 will be described with reference to the flowchart of FIG. The process of FIG. 12 is executed when the sub CPU 2 126 receives a “Hi” level sub
まず、Ｓ１２０１において、サブＣＰＵ２ １２６はＨＤＤ制御部ＣＰＵ ＢＩＯＳ署名１３０２をＦＬＡＳＨ ＲＯＭ２ １２７から取得する。続いて、サブＣＰＵ２ １２６はＳ１２０２に処理を進め、ＨＤＤ制御部ＣＰＵ ＢＩＯＳ署名１３０２をＳＲＡＭ３０５に読み込む。続いてサブＣＰＵ２ １２６は処理をＳ１２０３に進め、暗号処理部３０８によってＨＤＤ制御部ＣＰＵ ＢＩＯＳ署名１３０２をサブＣＰＵ ＦＷ１３０４に付属している公開鍵で復号化してハッシュ値を得る。次にサブＣＰＵ２ １２６は処理をＳ１２０４に進め、ＨＤＤ制御部ＣＰＵ ＢＩＯＳ１３０１をＳＲＡＭ３０５に読み込む。
First, in S1201, the sub CPU 2 126 acquires the HDD control unit
次にサブＣＰＵ２ １２６は処理をＳ１２０５に進め、暗号処理部３０８によってＨＤＤ制御部ＣＰＵ ＢＩＯＳ１３０１のハッシュ値を計算する。そして、サブＣＰＵ２ １２６は処理をＳ１２０６に進め、Ｓ１２０３のハッシュ値とＳ１２０５のハッシュ値とを比較する。Ｓ１２０３のハッシュ値とＳ１２０５のハッシュ値とが不一致の場合（Ｓ１２０６でＮＯ）、サブＣＰＵ２ １２６は、処理をＳ１２０７に進めてＯＴＰ３０４のリカバリ用Ｔａｇ１を取得する。すなわち、Ｓ１２０３のハッシュ値とＳ１２０５のハッシュ値とが一致しないため、サブＣＰＵ２ １２６はＳ１２０７でＨＤＤ制御部ＣＰＵ ＢＩＯＳ１３０１に改竄または故障が発生したと判定し、リカバリ用Ｔａｇ１ ５０８を取得する。リカバリ用Ｔａｇ１ ５０８にはＨＤＤ制御部ＣＰＵ ＢＩＯＳ１３０１のリカバリ用のリカバリブートコード１ ５１０の先頭アドレスが記憶されている。
Next, the sub CPU 2 126 advances the processing to S1205, and the
ここで、サブＣＰＵ２ １２６は、ＨＤＤ制御部ＣＰＵ ＢＩＯＳ１３０１に対応するリカバリブートコード１ ５１０を、Ｉｎｔｅｒ−Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ（Ｉ２Ｃ）バス１２８を経由して、ＦＬＡＳＨ ＲＯＭ１１２から取得する。ここで、サブＣＰＵ２ １２６は、不図示のバスによってＦＬＡＳＨ ＲＯＭ１１２に接続されてもよいし、サブＣＰＵ１１５を介してＦＬＡＳＨ ＲＯＭ１１２にアクセスしてもよい。そして、サブＣＰＵ２ １２６はＳ１２０８に進め、ＦＬＡＳＨ ＲＯＭ２ １２７への上書きによる書き換えを行うことでＨＤＤ制御部ＣＰＵ ＢＩＯＳ１３０１のリカバリを行う。続いて、サブＣＰＵ２ １２６は処理をＳ１２０９に進め、書き換えの完了を確認する。書き換えが完了していない場合は（Ｓ１２０９でＮＯ）、処理をＳ１２０８に戻す。一方、書き換えが完了した場合（Ｓ１２０９でＹＥＳ）は、処理をＳ１２１０に進め、暗号処理部３０８によって署名をサブＣＰＵ ＦＷ１３０４に付属している公開鍵で復号化してハッシュ値を得る。
Here, the sub CPU 2 126 acquires the recovery boot code 1 510 corresponding to the HDD control
続いて、サブＣＰＵ２ １２６は処理をＳ１２１１に進め、ＦＬＡＳＨ ＲＯＭ２ １２７から書き換え後のＨＤＤ制御部ＣＰＵ ＢＩＯＳ１３０１をＳＲＡＭ３０５に読み込む。次にサブＣＰＵ２ １２６は処理をＳ１２１２に進め、暗号処理部３０８によって書き換え後の、ＨＤＤ制御部ＣＰＵ ＢＩＯＳ１３０１のハッシュ値を計算する。そして、サブＣＰＵ２ １２６は処理をＳ１２１３に進め、Ｓ１２１０のハッシュ値とＳ１２１２のハッシュ値とを比較する。Ｓ１２１０のハッシュ値とＳ１２１２のハッシュ値とが一致した場合（Ｓ１２１３でＹＥＳ）、サブＣＰＵ２ １２６は処理をＳ１２１４に進め、ＧＰＩＯ３０３を制御して「Ｈｉ」レベルのリセット信号１２９を出力する。Ｓ１２１０のハッシュ値とＳ１２１２のハッシュ値とが一致しない場合は図１２の処理を終了する。
Subsequently, the sub CPU 2 126 advances the process to S1211, and reads the rewritten HDD control
以上説明した様に、本実施形態に係るＭＦＰ１は、メインＣＰＵ１０１およびＨＤＤ制御部１２４の構成となるＣＰＵコア４０１において、起動時に各々のＲＯＭのブートコードおよびシステムファームウェアの改竄検知を行う。これによって、検証が不一致の場合、各々のＲＯＭのリカバリ用のデータを１つのＦＬＡＳＨ ＲＯＭ１１２に配置することが可能となる。これにより、１つのＦＬＡＳＨ ＲＯＭから各領域のリカバリを実行することが可能となり、コストを安価に製造し、かつ、システムのセキュリティを確保することが可能となる。
As described above, the MFP 1 according to the present embodiment detects falsification of the boot code and system firmware of each ROM at the time of booting in the
なお、本実施形態では、正当性が確認できなかった場合に、サブＣＰＵがリカバリブートコードで起動用のプログラムを上書きするものとして説明を行ったが、サブＣＰＵはリカバリブートコードに基づいて誤り訂正を行い、ブートコードの修復を行ってもよい。 In the present embodiment, when the validity cannot be confirmed, the sub CPU overwrites the boot program with the recovery boot code, but the sub CPU corrects the error based on the recovery boot code. And repair the boot code.
＜第２の実施形態＞
第２の実施形態では、複数のＣＰＵのための複数のブートコードのリカバリ用データを格納する１つのＦＬＡＳＨ ＲＯＭを、複数のＣＰＵのための複数のブートコードを格納するＦＬＡＳＨ ＲＯＭとは別個のＲＯＭとして備えるＭＦＰについて説明する。なお、特に断らない限り、本実施形態に係る機能が実行されるのであれば、単体の機器であっても、複数の機器からなるシステムであっても、本発明を適用できることは言うまでもない。また、第１の実施形態と同様の構成または処理には同一の参照符号を付し、説明は省略する。
<Second embodiment>
In the second embodiment, one FLASH ROM that stores recovery data of a plurality of boot codes for a plurality of CPUs is a ROM that is separate from the FLASH ROM that stores a plurality of boot codes for a plurality of CPUs. The MFP provided as is described. It goes without saying that the present invention can be applied to a single device or a system composed of a plurality of devices as long as the functions according to the present embodiment are executed unless otherwise specified. Further, the same reference numerals are given to the same configurations or processes as in the first embodiment, and the description thereof will be omitted.
図７は、本実施形態に係るＭＦＰ１００１の構成を表す図である。図７において、ＭＦＰ１００１は、ＳＰＩバス１１４に接続されたリカバリ用ＦＬＡＳＨ ＲＯＭ（ＦＬＡＳＨ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１３１を備える。ＦＬＡＳＨ ＲＯＭ１３１は、メインＣＰＵ１０１およびＨＤＤ制御部１２４の構成となるＣＰＵコア４０１で実行されるブートコードを含むプログラムのリカバリデータを格納すると共にＭＦＰ１のデフォルト設定値を記憶する。
FIG. 7 is a diagram showing the configuration of the
図８は、リカバリ用ＦＬＡＳＨ ＲＯＭ １３１のメモリマップを示す図である。図８において、リカバリ用ＦＬＡＳＨ ＲＯＭ １３１のメモリマップは、Ｔａｇ０ ８０１、Ｔａｇ１ ８０２、リカバリブートコード０ ８０３、およびリカバリブートコード１ ８０４を含む。
FIG. 8 is a diagram showing a memory map of the
Ｔａｇ０ ８０１には、リカバリブートコード０ ８０３の先頭アドレスが記憶されている。Ｔａｇ１ ８０２には、リカバリブートコード１ ８０４の先頭アドレスが記憶されている。リカバリブートコード０ ８０３には、メインＣＰＵ１０１で実行されるコードが記憶されている。リカバリブートコード１ ８０４には、ＨＤＤ制御部１２４におけるＣＰＵコア４０１で実行されるコードが記憶されている。
The start address of the recovery boot code 0 803 is stored in Tag 0 801. The start address of the recovery boot code 1 804 is stored in the Tag 1 802. The recovery boot code 0 803 stores the code executed by the
次に、本実施形態におけるサブＣＰＵ１１５およびサブＣＰＵ２ １２６の処理手順を図９のフローチャートを用いて説明する。図９のフローチャートは、ＭＦＰ１００１の電源投入時に、サブＣＰＵ２ １２６によって実行される。
Next, the processing procedure of the
まず、サブＣＰＵ２ １２６は起動するとＳ９０１でＢｏｏｔ ＲＯＭ３１０内のコードを実行し、ＳＰＩバス１２８を介してＦＬＡＳＨ ＲＯＭ２ １２７からサブＣＰＵ ＦＷ１１０４をＳＲＡＭ３０５に読み込む。次にサブＣＰＵ２ １２６は処理をＳ９０２に進め、暗号処理部３０８によってＦＷ署名１１０５をＯＴＰ３０４内の公開鍵で復号化して、ハッシュ値を得る。続いてサブＣＰＵ２ １２６は処理をＳ９０３に進め、暗号処理部３０８によってサブＣＰＵ ＦＷ１１０４のハッシュ値を計算する。次にサブＣＰＵ２ １２６は処理をＳ９０４に進め、Ｓ９０２において復号化で得られたハッシュ値と、Ｓ９０３において計算したハッシュ値を比較する。Ｓ９０２のハッシュ値とＳ９０３のハッシュ値とが一致する場合（Ｓ９０４でＹＥＳ）は処理をＳ９１０に進める。
First, when the sub CPU 2 126 is started, the code in the
Ｓ９０２のハッシュ値とＳ９０３のハッシュ値とが不一致の場合（Ｓ９０４でＮＯ）はＳ９０５に処理を進め、ＯＴＰ３０４のリカバリ用ＴＡＧを取得する。すなわち、Ｓ９０２のハッシュ値とＳ９０３のハッシュ値とが一致しないため、サブＣＰＵ２ １２６はサブＣＰＵ ＦＷに改竄または故障が発生したと判定し、リカバリ用Ｔａｇ１ ５０７を取得する。リカバリ用Ｔａｇ１ ５０８にはリカバリブートコード１ ５１０の先頭アドレスが記憶されている。 If the hash value of S902 and the hash value of S903 do not match (NO in S904), the process proceeds to S905 and the recovery TAG of OTP304 is acquired. That is, since the hash value of S902 and the hash value of S903 do not match, the sub CPU 2 126 determines that the sub CPU FW has been tampered with or has a failure, and acquires the recovery Tag 1 507. The recovery Tag 1 508 stores the start address of the recovery boot code 1 510.
続いて、サブＣＰＵ２ １２６は処理をＳ９０６に進め、再度、暗号処理部３０８によって署名をサブＣＰＵ ＦＷ５０４に付属している公開鍵で復号化してハッシュ値を得る。次にサブＣＰＵ２ １２６は処理をＳ９０７に進め、リカバリ用ＦＬＡＳＨ ＲＯＭ１３１からリカバリブートコード１ ５１０をＳＲＡＭ３０５に読み込む。次に、サブＣＰＵ２ １２６は処理をＳ９０８に進め、サブＣＰＵ２ １２６の暗号処理部３０８によってリカバリブートコード１ ５１０のハッシュ値を計算する。そして、サブＣＰＵ２ １２６は処理をＳ９０９に進め、Ｓ９０６のハッシュ値とＳ９０８のハッシュ値とを比較する。Ｓ９０６のハッシュ値とＳ９０８のハッシュ値とが一致しない場合（Ｓ９０９でＮＯ）は図９の処理を終了する。Ｓ９０６のハッシュ値とＳ９０８のハッシュ値とが一致する場合（Ｓ９０９でＹＥＳ）は、サブＣＰＵ２ １２６は処理をＳ９１０に進め、ＧＰＩＯ３０３を制御して「Ｈｉ」レベルのリセット信号１２９を出力する。
Subsequently, the sub CPU 2 126 advances the processing to S906, and the
以上説明した様に、本実施形態に係るＭＦＰ１００１は、メインＣＰＵ１０１およびＨＤＤ制御部１２４の構成となるＣＰＵコア４０１において、各々のＲＯＭのブートコードの改竄検知を行う。これによって、検証が不一致の場合、ブートコードのリカバリ処理を行うＲＯＭとして、ＦＬＡＳＨ ＲＯＭ１３１を構成することも可能となる。
As described above, the
＜第３の実施形態＞
第３の実施形態では、複数のＣＰＵのための複数のブートコードを格納するＦＬＡＳＨ ＲＯＭと、複数のブートコードの正当性を検証するコントローラとの間のインタフェースに応じてリカバリ用データのプロトコル変換を行うＭＦＰについて説明する。なお、特に断らない限り、本発明の機能が実行されるのであれば、単体の機器であっても、複数の機器からなるシステムであっても、本発明を適用できることは言うまでもない。また、第１または第２の実施形態と同様の構成または処理には同一の参照符号を付し、説明は省略する。
<Third embodiment>
In the third embodiment, the protocol conversion of the recovery data is performed according to the interface between the FLASH ROM that stores the plurality of boot codes for the plurality of CPUs and the controller that verifies the validity of the plurality of boot codes. The MFP to be performed will be described. It goes without saying that the present invention can be applied to a single device or a system composed of a plurality of devices as long as the functions of the present invention are executed unless otherwise specified. Further, the same reference numerals are given to the same configurations or processes as in the first or second embodiment, and the description thereof will be omitted.
本実施形態ではメインＣＰＵ１０１およびＨＤＤ制御部１２４のＣＰＵコア４０１において、各々のＲＯＭのブートコードを検証するサブＣＰＵ１１５とサブＣＰＵ２ １２６の接続インタフェースが異なる場合の処理について説明する。
In the present embodiment, in the
まず、図１０を参照して、本実施形態に係るＭＦＰ１１０１の構成例を説明する。ＭＦＰ１１０１は、ＳＰＩバス１１４に接続されたリカバリ用ＦＬＡＳＨ ＲＯＭ１３１を備える。また、サブＣＰＵ１１５は、ＳＰＩバスと異なるＩ２Ｃバス１３２に接続し、プロトコル変換を行う。Ｉ２Ｃバス１３２を介して、サブＣＰＵ２ １２６、ＦＬＡＳＨ ＲＯＭ２ １２７、ＨＤＤ制御部１２４の構成となるＣＰＵコア４０１を相互接続する構成を備える。
First, a configuration example of the
図１１は、電源投入時にサブＣＰＵ２ １２６によって実行される処理手順の一例を示す。 FIG. 11 shows an example of a processing procedure executed by the sub CPU 2 126 when the power is turned on.
まず、サブＣＰＵ２ １２６は起動するとＳ１１０１でＢｏｏｔ ＲＯＭ３１０内のコードを実行し、Ｉ２Ｃバス１３２を介してＦＬＡＳＨ ＲＯＭ２ １２７からサブＣＰＵ ＦＷ１１０４をＳＲＡＭ３０５に読み込む。次にサブＣＰＵ２ １２６は処理をＳ１１０２に進め暗号処理部３０８によってＦＷ署名１１０５をＯＴＰ３０４内の公開鍵で復号化して、正解となるハッシュ値を得る。続いてサブＣＰＵ２ １２６は処理をＳ１１０３に進め、暗号処理部３０８によってサブＣＰＵ ＦＷ１１０４のハッシュ値を計算する。次にサブＣＰＵ２ １２６は処理をＳ１１０４に進め、Ｓ１１０２において復号化で得られたハッシュ値とＳ１１０３において計算したハッシュ値とを比較する。Ｓ１１０２のハッシュ値とＳ１１０３のハッシュ値とが一致する場合（Ｓ１１０４でＹＥＳ）はサブＣＰＵ２ １２６は処理をＳ１１１１に進める。Ｓ１１０２のハッシュ値とＳ１１０３のハッシュ値とが不一致の場合（Ｓ１１０４でＮＯ）はＳ１１０５に処理を進め、ＯＴＰ３０４のリカバリ用ＴＡＧを取得する。リカバリ用Ｔａｇ１ ５０８にはリカバリブートコード１ ５１０の先頭アドレスが記憶されている。
First, when the sub CPU 2 126 is started, the code in the
続いて、サブＣＰＵ２ １２６は処理をＳ１１０６に処理を進め、再度、暗号処理部３０８によって署名をサブＣＰＵ ＦＷ５０４に付属している公開鍵で復号化してハッシュ値を得る。次にサブＣＰＵ１１５はＳ１１０７に処理を進め、リカバリブートコード１ ５１０のインタフェース変換を行い、ＳＰＩからＩ２Ｃのインタフェース変換を行い、サブＣＰＵ２ １２６にリカバリブートコード１ ５１０を送信する。次にサブＣＰＵ２ １２６は処理をＳ１１０８に進め、リカバリブートコード１ ５１０をＳＲＡＭ３０５に上書きする。次にサブＣＰＵ２ １２６は処理をＳ１１０９に進め、暗号処理部３０８によってリカバリブートコード１ ５１０のハッシュ値を計算する。そして、サブＣＰＵ２ １２６は処理をＳ１１１０に進め、Ｓ１１０６のハッシュ値とＳ１１０９のハッシュ値とを比較する。Ｓ１１０６のハッシュ値とＳ１１０９のハッシュ値とが一致した場合（Ｓ１１１０でＹＥＳ）はサブＣＰＵ２ １２６は処理をＳ１１１１に進め、ＧＰＩＯ３０３を制御して「Ｈｉ」レベルのリセット信号１２９を出力する。
Subsequently, the sub CPU 2 126 advances the processing to S1106, and the
以上説明した様に、本実施形態に係るＭＦＰ１１０１は、メインＣＰＵ１０１およびＨＤＤ制御部１２４のＣＰＵコア４０１において、各々のＲＯＭのブートコードの改竄検知を行う。また、検証が不一致におけるブートコードのリカバリ処理において、サブＣＰＵ１１５と各々のＦＬＡＳＨ ＲＯＭとの間の接続インタフェースにおいて、異なるプロトコルの場合もインタフェース変換を行う。これによって、異なるプロトコルを用いるＦＬＡＳＨ ＲＯＭを用いたリカバリ対応処理が可能となる。
As described above, the
＜その他の実施形態＞
上述の各実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読み出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。
<Other Embodiments>
Also in the process of supplying a program that realizes one or more functions of each of the above-described embodiments to a system or device via a network or storage medium, and reading and executing the program by one or more processors in the computer of the system or device. It is feasible. It can also be realized by a circuit (for example, ASIC) that realizes one or more functions.
１：ＭＦＰ、１０１：メインＣＰＵ、１１２：ＦＬＡＳＨ ＲＯＭ、１１５：サブＣＰＵ、１１７：リセット信号 1: MFP, 101: Main CPU, 112: FLASH ROM, 115: Sub CPU, 117: Reset signal
Claims (17)
少なくとも１つのコントローラと、複数のプロセッサと、前記複数のプロセッサが実行する複数のプログラムを格納する少なくとも１つの第１のメモリと、前記複数のプログラムのリカバリを行うためのデータを格納する１つの第２のメモリと、を備え、
前記少なくとも１つのコントローラは、
前記少なくとも１つの第１のメモリから前記複数のプログラムを読み出す読出手段と、
前記読出手段で読み出した前記複数のプログラムの正当性を検証する検証手段と、
前記検証手段が前記複数のプログラムの少なくともいずれかの正当性が確認できなかった場合に、前記第２のメモリに格納された前記データに基づいて、前記少なくとも１つの第１のメモリに格納された、正当性が確認できなかったプログラムをリカバリするリカバリ手段と、
を備えることを特徴とする情報処理装置。 It is an information processing device
At least one controller, a plurality of processors, at least one first memory for storing a plurality of programs executed by the plurality of processors, and one first memory for storing data for recovering the plurality of programs. With 2 memories,
The at least one controller
A reading means for reading the plurality of programs from the at least one first memory, and
A verification means for verifying the validity of the plurality of programs read by the reading means, and
When the verification means cannot confirm the validity of at least one of the plurality of programs, the verification means is stored in the at least one first memory based on the data stored in the second memory. , Recovery means to recover programs whose validity could not be confirmed,
An information processing device characterized by being equipped with.
前記検証手段が前記複数のプログラムの少なくともいずれかの正当性が確認できた場合に、正当性が確認できたプログラムに対応するプロセッサに、前記正当性が確認できたプログラムのロードを促すリセット信号を送信するリセット手段を有することを特徴とする請求項１から５のいずれか１項に記載の情報処理装置。 The at least one controller
When the verification means can confirm the validity of at least one of the plurality of programs, a reset signal prompting the processor corresponding to the program whose validity has been confirmed to load the program whose validity has been confirmed is sent. The information processing apparatus according to any one of claims 1 to 5, further comprising a reset means for transmitting.
前記情報処理装置の全体を制御する第１のプロセッサと、
前記第１のプロセッサが実行する第１のプログラムを格納する第１のメモリと、
記憶部のデータ入出力を制御する第２のプロセッサと、
前記第２のプロセッサが実行する第２のプログラムを格納する第２のメモリと、
コントローラと、
前記第１および第２のプログラムのリカバリを行うためのデータを格納する第３のメモリと、
を備え、
前記コントローラは、
前記第１および第２のメモリから前記第１および第２のプログラムを読み出す読出手段と、
前記読出手段で読み出した前記第１および第２のプログラムの正当性を検証する検証手段と、
前記検証手段が前記第１および第２のプログラムの少なくともいずれかの正当性が確認できなかった場合に、前記第３のメモリに格納された前記データに基づいて、前記第１および第２のプログラムの少なくともいずれかに格納された、正当性が確認できなかったプログラムをリカバリするリカバリ手段と、
を有することを特徴とする情報処理装置。 It is an information processing device
A first processor that controls the entire information processing device,
A first memory for storing a first program executed by the first processor, and
A second processor that controls the data input / output of the storage unit,
A second memory for storing a second program executed by the second processor, and
With the controller
A third memory for storing data for recovering the first and second programs, and
With
The controller
A reading means for reading the first and second programs from the first and second memories, and
Verification means for verifying the validity of the first and second programs read by the reading means, and
When the verification means cannot confirm the validity of at least one of the first and second programs, the first and second programs are based on the data stored in the third memory. A recovery method for recovering unvalidated programs stored in at least one of
An information processing device characterized by having.
複数のプロセッサが実行する複数のプログラムを格納する少なくとも１つの第１のメモリから前記複数のプログラムをロードするロード工程と、
前記ロード工程において読み出した前記複数のプログラムの正当性を検証する検証工程と、
前記検証工程において前記複数のプログラムの少なくともいずれかの正当性が確認できなかった場合に、前記複数のプログラムのリカバリを行うためのデータを格納する１つの第２のメモリに格納された前記データに基づいて、前記少なくとも１つの第１のメモリに格納された、正当性が確認できなかったプログラムをリカバリするリカバリ工程と、
を含むことを特徴とする制御方法。 It is a control method for information processing equipment.
A loading process of loading the plurality of programs from at least one first memory for storing a plurality of programs executed by a plurality of processors.
A verification step for verifying the validity of the plurality of programs read in the loading step, and a verification step.
When the legitimacy of at least one of the plurality of programs cannot be confirmed in the verification step, the data stored in one second memory for storing the data for recovering the plurality of programs Based on this, a recovery step of recovering an unvalidated program stored in at least one first memory,
A control method characterized by including.
前記第１のプロセッサが実行する第１のプログラムを格納する第１のメモリと、
記憶部のデータ入出力を制御する第２のプロセッサと、
前記第２のプロセッサが実行する第２のプログラムを格納する第２のメモリと、
コントローラと、
前記第１および第２のプログラムのリカバリを行うためのデータを格納する第３のメモリと、
を備える情報処理装置の制御方法であって、
前記第１および第２のメモリから前記第１および第２のプログラムを読み出す読出工程と、
前記読出工程において読み出した前記第１および第２のプログラムの正当性を検証する検証工程と、
前記検証工程において前記第１および第２のプログラムの少なくともいずれかの正当性が確認できなかった場合に、前記第３のメモリに格納された前記データに基づいて、前記第１および第２のプログラムの少なくともいずれかに格納された、正当性が確認できなかったプログラムをリカバリするリカバリ工程と、
を含むことを特徴とする制御方法。 The first processor that controls the entire information processing device,
A first memory for storing a first program executed by the first processor, and
A second processor that controls the data input / output of the storage unit,
A second memory for storing a second program executed by the second processor, and
With the controller
A third memory for storing data for recovering the first and second programs, and
It is a control method of an information processing device provided with
A read step of reading the first and second programs from the first and second memories, and
A verification step for verifying the validity of the first and second programs read in the reading step, and
When the validity of at least one of the first and second programs cannot be confirmed in the verification step, the first and second programs are based on the data stored in the third memory. A recovery process that recovers unvalidated programs stored in at least one of
A control method characterized by including.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2019093134A JP2020187649A (en) | 2019-05-16 | 2019-05-16 | Information processing system, control method, and program |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2019093134A JP2020187649A (en) | 2019-05-16 | 2019-05-16 | Information processing system, control method, and program |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2020187649A true JP2020187649A (en) | 2020-11-19 |
Family
ID=73221836
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2019093134A Pending JP2020187649A (en) | 2019-05-16 | 2019-05-16 | Information processing system, control method, and program |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2020187649A (en) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US11893397B2 (en) | 2021-10-01 | 2024-02-06 | Fujitsu Limited | Non-transitory computer-readable recording medium, control method, and information processing device |
-
2019
- 2019-05-16 JP JP2019093134A patent/JP2020187649A/en active Pending
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US11893397B2 (en) | 2021-10-01 | 2024-02-06 | Fujitsu Limited | Non-transitory computer-readable recording medium, control method, and information processing device |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP6226709B2 (en) | Image forming apparatus, control method therefor, and program | |
| JP2020177539A (en) | Information processing device and control method thereof | |
| US8290159B2 (en) | Data recovery method, image processing apparatus, controller board, and data recovery program | |
| JP6362483B2 (en) | Information processing apparatus, information processing method, and program | |
| JP7100502B2 (en) | Information processing equipment, its control method, and programs | |
| JP7170482B2 (en) | Information processing device, its control method, and program | |
| JP2018022985A (en) | Information processing apparatus, control method of the same, and program | |
| JP4511264B2 (en) | Image forming apparatus and information output method of the image forming apparatus | |
| JP2020187649A (en) | Information processing system, control method, and program | |
| JP2009160832A (en) | Printer, multifunctional machine, and printing control method | |
| JP7286381B2 (en) | Information processing device and its control method | |
| JP7321795B2 (en) | Information processing device, information processing method and program | |
| US20230103698A1 (en) | Information processing apparatus and control method therefor | |
| JP5000346B2 (en) | Image processing apparatus, image processing method, program, and recording medium | |
| JP2009033539A (en) | Image forming apparatus | |
| KR102467636B1 (en) | Information processing apparatus, method of controlling information processing apparatus, and storage medium | |
| JP2008171041A (en) | Image forming device, start up method of image forming device, control device, and start up method of extension unit | |
| JP7289641B2 (en) | Information processing device and its control method | |
| JP2021089607A (en) | Information processing apparatus | |
| JP2006293833A (en) | Image processing apparatus, image processing method, and program | |
| JP2021111916A (en) | Information processing device and program restoration method | |
| US12099851B2 (en) | Information processing apparatus and method for controlling information processing apparatus | |
| JP5223493B2 (en) | Information communication system and its authentication program | |
| US20230273798A1 (en) | Information processing apparatus and method for controlling information processing apparatus | |
| JP2020154601A (en) | Information processing device and its control method, and program |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| RD01 | Notification of change of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7421 Effective date: 20210103 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20210113 |