JP2021018594A - 情報処理装置、その制御方法、及びプログラム - Google Patents

Abstract

【課題】ファームウェアのバックアップメモリを設けることなく、不正なファームウェアを正当なファームウェアに復旧することができる情報処理装置を提供する。【解決手段】画像形成装置は、ＳＳＤから読み出した正当なサブファームウェアを実行した後の所定のタイミングでＳＳＤに格納されたサブファームウェアが不正なファームウェアであるか否かを判別する。画像形成装置は、ＳＳＤに格納されたサブファームウェアが不正なファームウェアである場合、ＳＳＤに格納された不正なサブファームウェアを、サブＣＰＵメモリで実行された正当なサブファームウェアに更新する。【選択図】図８

Description

本発明は、情報処理装置、その制御方法、及びプログラムに関する。

ＳＳＤ等の記憶デバイスにファームウェアを格納する情報処理装置としての画像形成装置が知られている。画像形成装置は、所定のタイミング、例えば、通常動作状態から省電力状態に移行する際に、記憶デバイスに格納されたファームウェアが改ざんされていない正当なファームウェアであるか否かを判別する。上記ファームウェアが改ざんされた不正なファームウェアである場合、画像形成装置は、その旨を示す警告通知を表示する（例えば、特許文献１参照）。警告通知が表示された画像形成装置では、格納された不正なファームウェアを改竄される前の元の状態に戻す処置が施される。このような事態に備え、例えば、画像形成装置にファームウェアのバックアップメモリを設け、改ざんを検知した際にバックアップメモリに格納されたファームウェアを使ってファームウェアを元の状態に復旧させることが考えられる。

特開２０１９−１８４５９号公報

しかしながら、上述した方法では、画像形成装置にファームウェアのバックアップメモリを設ける必要があり、部品点数が増えてしまう。

本発明の目的は、ファームウェアのバックアップメモリを設けることなく、不正なファームウェアを正当なファームウェアに復旧することができる情報処理装置、その制御方法、及びプログラムを提供することにある。

上記目的を達成するために、本発明の情報処理装置は、ファームウェアを格納する記憶デバイスを備える情報処理装置であって、前記記憶デバイスから読み出したファームウェアが正当なファームウェアである場合、当該ファームウェアの実行を制御する制御手段と、前記記憶デバイスから読み出したファームウェアを実行した後の所定のタイミングで前記記憶デバイスに格納されたファームウェアが不正なファームウェアであるか否かを判別する判別手段と、前記記憶デバイスに格納されたファームウェアが不正なファームウェアである場合、前記記憶デバイスに格納された不正なファームウェアを前記制御手段によって実行された正当なファームウェアに更新する更新手段とを備えることを特徴とする。

本発明によれば、ファームウェアのバックアップメモリを設けることなく、不正なファームウェアを正当なファームウェアに復旧することができる。

本発明の実施の形態に係る情報処理装置としての画像形成装置の構成を概略的に示すブロック図である。 図１のコントローラの構成を概略的に示すブロック図である。 図２のメインＣＰＵメモリ及びサブＣＰＵメモリの構成を概略的に示すブロック図である。 ＲＯＭ及びＳＳＤに格納されたデータの一例を示す図である。 図１のメインＣＰＵによって実行される起動制御処理の手順を示すフローチャートである。 図１の操作部に表示されたエラー画面の一例を示す図である。 図１のサブＣＰＵによって実行される制御処理の手順を示すフローチャートである。 図１のメインＣＰＵによって実行されるファームウェア検証処理の手順を示すフローチャートである。

以下、本発明の実施の形態について図面を参照しながら詳述する。なお、本実施の形態では、情報処理装置としての画像形成装置に本発明を適用した場合について説明するが、本発明は画像形成装置に限られない。例えば、スマートフォン、タブレット端末、ＰＣといった情報処理装置に本発明を適用してもよい。

図１は、本発明の実施の形態に係る情報処理装置としての画像形成装置１０１の構成を概略的に示すブロック図である。図１において、画像形成装置１０１は、コントローラ１０３、スキャナ１０４、プリンタ１０７、操作部１１１、ＨＤＤ１１２、及びＳＳＤ１１３を備える。コントローラ１０３は、スキャナ１０４、プリンタ１０７、操作部１１１、ＨＤＤ１１２、及びＳＳＤ１１３と接続されている。

画像形成装置１０１は、例えば、プリント機能、スキャン機能、通信機能等の複数の機能を備えるＭＦＰである。画像形成装置１０１は、例えば、ＬＡＮ１０２を介して外部装置１１４と画像データ等を送受信する。また、画像形成装置１０１は、ＬＡＮ１０２を介して外部装置１１４からジョブの実行指示等を受け付ける。

コントローラ１０３は、画像形成装置１０１全体を統括的に制御する。スキャナ１０４は、原稿給紙ユニット１０５及びスキャナユニット１０６を備える。スキャナ１０４は、原稿を光学的に読み取り、読み取った原稿の画像データを生成し、生成した画像データをコントローラ１０３へ送信する。原稿給紙ユニット１０５は、載置された原稿束を自動的に逐次入れ替える。スキャナユニット１０６は、原稿を光学的に読み取り、読み取った原稿の画像をデジタルデータである画像データに変換する。

プリンタ１０７は、給紙ユニット１０８、マーキングユニット１０９、及び排紙ユニット１１０を備え、画像データを用紙に印刷する。給紙ユニット１０８は、収納された用紙を一枚ずつマーキングユニット１０９へ給紙する。マーキングユニット１０９は、給紙ユニット１０８によって給紙された用紙に画像データを印刷する。排紙ユニット１１０は、印刷済の用紙を排紙する。操作部１１１は、表示部（不図示）及び複数の操作ボタン（不図示）を備える。操作部１１１は、ジョブの実行指示や画像形成装置１０１の設定指示等をユーザから受け付け、また、設定画面やエラー画面等を表示部に表示する。

ＨＤＤ１１２及びＳＳＤ１１３は、電力が供給されているか否かに関わらずデータを保持可能な不揮発性の記憶デバイスである。ＨＤＤ１１２は、画像データや制御プログラム等を格納する。ＳＳＤ１１３は、例えば、後述する図４のメインファームウェア４０２、メイン電子署名４０３、サブファームウェア４０４、及びサブ電子署名４０５を格納する。

図２は、図１のコントローラ１０３の構成を概略的に示すブロック図である。図２において、コントローラ１０３は、メインコントローラ２０１及びサブコントローラ２１０を備える。

メインコントローラ２０１は、汎用的なＣＰＵシステムである。メインコントローラ２０１は、メインＣＰＵ２０２、メインＣＰＵメモリ２０３、ＲＯＭ２０４、ディスクコントローラ２０５、ネットワークＩ／Ｆ２０６、操作部Ｉ／Ｆ２０７、及びセキュリティチップ２０８を備える。メインＣＰＵ２０２、メインＣＰＵメモリ２０３、ＲＯＭ２０４、ディスクコントローラ２０５、ネットワークＩ／Ｆ２０６、操作部Ｉ／Ｆ２０７、及びセキュリティチップ２０８は、内部バス２０９を介して互いに接続されている。

メインＣＰＵ２０２は、画像形成装置１０１全体を制御する。メインＣＰＵメモリ２０３は、電力が供給されている場合のみデータを保持可能な揮発性のＤＲＡＭであり、メインＣＰＵ２０２の主記憶メモリとして用いられる。メインＣＰＵメモリ２０３は、図３（ａ）に示すように、メインファームウェア領域３０１及び画像メモリ領域３０２で構成される。メインファームウェア領域３０１は、ＳＳＤ１１３から読み出されたメインファームウェア４０２を書き込むための領域である。画像メモリ領域３０２は、ジョブの実行に基づいて生成された画像データを一時的に格納するための領域である。

ＲＯＭ２０４は、電力が供給されているか否かに関わらずデータを保持可能な読み取り専用の不揮発性の記憶デバイスである。ディスクコントローラ２０５は、ＨＤＤ１１２及びＳＳＤ１１３に対するデータの読み書き制御を行う。ネットワークＩ／Ｆ２０６は、ＬＡＮ１０２を介して接続された外部装置１１４と画像形成装置１０１のデータ通信を実現させる。操作部Ｉ／Ｆ２０７は、操作部１１１とコントローラ１０３を接続する。セキュリティチップ２０８は、画像形成装置１０１のファームウェアの電子署名を検証する電子署名検証機能を備え、電子署名を検証するための鍵情報を保持する。

サブコントローラ２１０は、メインコントローラ２０１より小規模な汎用ＣＰＵシステムである。サブコントローラ２１０は、サブＣＰＵ２１１、サブＣＰＵメモリ２１２、画像処理プロセッサ２１３、スキャナＩ／Ｆ２１４、及びプリンタＩ／Ｆ２１５を備える。サブＣＰＵ２１１、サブＣＰＵメモリ２１２、画像処理プロセッサ２１３、スキャナＩ／Ｆ２１４、及びプリンタＩ／Ｆ２１５は内部バス２１６を介して互いに接続されている。内部バス２１６は、バスブリッジ２１７を介してメインコントローラ２０１の内部バス２０９と接続されている。サブＣＰＵ２１１は、サブコントローラ２１０に関する各種制御を行う。サブＣＰＵメモリ２１２は、電力が供給されている場合のみデータを保持可能な揮発性のＤＲＡＭであり、サブＣＰＵ２１１の主記憶メモリとして用いられる。サブＣＰＵメモリ２１２は、図３（ｂ）に示すように、サブファームウェア領域３０３及び画像メモリ領域３０４で構成される。サブファームウェア領域３０３は、ＳＳＤ１１３から読み出されたサブファームウェア４０４を書き込むための領域である。画像メモリ領域３０４は、ジョブの実行に基づいて生成された画像データを一時的に格納するための領域である。画像処理プロセッサ２１３は、リアルタイムデジタル画像処理を行う。スキャナＩ／Ｆ２１４は、スキャナ１０４とコントローラ１０３を接続する。プリンタＩ／Ｆ２１５は、プリンタ１０７とコントローラ１０３を接続する。

画像形成装置１０１において、例えば、ネットワークＩ／Ｆ２０６が外部装置１１４からプリントジョブを実行するための画像データを受信すると、メインＣＰＵ２０２は、受信した画像データをメインＣＰＵメモリ２０３の画像メモリ領域３０２に格納する。メインＣＰＵ２０２は、画像メモリ領域３０２に画像データの一部又は全てが格納されると、格納された画像データをサブＣＰＵメモリ２１２の画像メモリ領域３０４へ転送する。次いで、メインＣＰＵ２０２は、サブＣＰＵ２１１に指示してプリンタ１０７によるプリント動作を開始する。サブＣＰＵ２１１は、プリンタＩ／Ｆ２１５を介してプリンタ１０７へ画像出力指示を出す。また、サブＣＰＵ２１１は、画像メモリ領域３０４に格納された画像データの格納場所を示すサブＣＰＵメモリ２１２上のアドレスを画像処理プロセッサ２１３へ通知する。さらに、サブＣＰＵ２１１は、プリンタ１０７から受信した同期信号に従って画像データを画像処理プロセッサ２１３とプリンタＩ／Ｆ２１５を介してプリンタ１０７へ送信する。プリンタ１０７は、受信した画像データを用紙に印刷する。

また、図２において、画像形成装置１０１は、電源制御回路２１８及び電源ユニット２１９を備える。電源制御回路２１８は、画像形成装置１０１の電力状態を制御するための電気回路である。電源ユニット２１９は、供給されたＡＣ電源２２０に基づいて画像形成装置１０１の各部へ電力を供給する。図２において、電源制御回路２１８から伸びる矢印線は信号ラインを表し、電源ユニット２１９から伸びる矢印線は電力ラインを表す。スキャナ／プリンタ電力２２１は、電源ユニット２１９からスキャナ１０４及びプリンタ１０７へ供給される電力である。通常状態用電力２２２は、画像形成装置１０１が通常動作状態及び省電力状態のうち通常動作状態である場合に、電源ユニット２１９が供給する電力である。通常状態用電力２２２は、例えば、画像形成装置１０１の通常動作状態時に動作するメインコントローラ２０１、サブコントローラ２１０、ＨＤＤ１１２、及びＳＳＤ１１３へ供給される。省電力状態用電力２２３は、画像形成装置１０１が通常動作状態及び省電力状態の何れであっても、電源ユニット２１９が供給する電力である。省電力状態用電力２２３は、例えば、通常動作状態及び省電力状態の何れでも動作するメインＣＰＵメモリ２０３、ネットワークＩ／Ｆ２０６、及び操作部１１１に供給される。画像形成装置１０１では、上述した各電力を供給するか否かについて電源制御回路２１８が個別に制御する。

電源オン信号２２４は、画像形成装置１０１を電源オフ状態から電源オン状態へ移行させることを電源制御回路２１８に対して指示するための信号である。電源オン信号２２４は、画像形成装置１０１の電源スイッチ（不図示）をユーザがオン操作した際に電源制御回路２１８へ出力される。

メインリセット信号２２５は、メインＣＰＵ２０２のリセット状態を制御する信号である。画像形成装置１０１が電源オン状態に移行すると、メインリセット信号２２５の出力が停止されてメインＣＰＵ２０２のリセット状態が解除され、メインＣＰＵ２０２が動作を開始する。メイン省電力解除信号２２６は、省電力状態のメインＣＰＵ２０２を通常動作状態に移行させるための信号である。

サブリセット信号２２７は、サブＣＰＵ２１１のリセット状態を制御する信号である。サブリセット信号２２７の出力が停止されてサブＣＰＵ２１１のリセット状態が解除されると、サブＣＰＵ２１１が動作を開始する。電源制御回路２１８は、メインコントローラ２０１の内部バス２０９に接続されている。メインＣＰＵ２０２は、電源制御回路２１８に指示してサブリセット信号２２７を制御する。

省電力解除信号２２８は、画像形成装置１０１を省電力状態から通常動作状態へ移行させるための信号である。電源制御回路２１８が省電力解除信号２２８を受信すると、コントローラ１０３は、省電力状態からの復帰動作を開始する。省電力解除信号２２８は、操作部１１１の操作又はパケットの受信に従って電源制御回路２１８に出力される。具体的には、ユーザによる操作部１１１のスイッチ（不図示）の操作を検知した際に操作部１１１が省電力解除信号２２８を電源制御回路２１８へ出力する。また、ネットワークＩ／Ｆ２０６がＬＡＮ１０２からネットワークパケットを受信した際にネットワークＩ／Ｆ２０６が省電力解除信号２２８を電源制御回路２１８へ出力する。

次に、ＲＯＭ２０４及びＳＳＤ１１３に格納されたデータについて説明する。ＲＯＭ２０４には、図４（ａ）に示すように、ＢＩＯＳ４０１が格納されている。ＢＩＯＳ４０１は、画像形成装置１０１の電源がオンされた直後にメインＣＰＵ２０２が最初に実行する初期プログラムである。なお、ＲＯＭ２０４は、読み取り専用の記憶デバイスであるので、ＢＩＯＳ４０１が悪意あるユーザによって改竄されることは無い。

ＳＳＤ１１３には、図４（ｂ）に示すように、メインファームウェア４０２、メイン電子署名４０３、サブファームウェア４０４、及びサブ電子署名４０５が格納されている。メインファームウェア４０２は、メインコントローラ２０１を動作させるためのソフトウェアモジュールである。メインファームウェア４０２は、例えば、画像形成装置１０１が起動する際にＳＳＤ１１３からメインＣＰＵメモリ２０３に読み出される。メインＣＰＵ２０２は、メインＣＰＵメモリ２０３内のメインファームウェア４０２を実行する。メイン電子署名４０３は、メインファームウェア４０２に対応する電子署名であり、メインファームウェア４０２の正当性を検証する際に使用される。サブファームウェア４０４は、サブコントローラ２１０を動作させるためのソフトウェアモジュールである。サブファームウェア４０４は、例えば、画像形成装置１０１が起動する際にサブＣＰＵメモリ２１２に読み出される。サブＣＰＵ２１１は、サブＣＰＵメモリ２１２内のサブファームウェア４０４を実行する。サブ電子署名４０５は、サブファームウェア４０４に対応する電子署名であり、サブファームウェア４０４の正当性を検証する際に使用される。本実施の形態では、ファームウェアのバージョンアップ等を容易に実施可能なように、メインファームウェア４０２及びサブファームウェア４０４は、書き込み可能な記憶デバイスであるＳＳＤ１１３に格納されている。このため、ＳＳＤ１１３に格納されたメインファームウェア４０２及びサブファームウェア４０４が悪意あるユーザに改ざんされる懸念がある。これに対し、本実施の形態では、画像形成装置１０１が起動する際に、メインファームウェア４０２及びサブファームウェア４０４の改ざんを検知する図５の起動制御処理を実行する。

図５は、図１のメインＣＰＵ２０２によって実行される起動制御処理の手順を示すフローチャートである。図５の処理は、画像形成装置１０１を電源オフ状態から電源オン状態へ移行させるためのユーザ操作、例えば、操作部１１１におけるユーザによる画像形成装置１０１の電源スイッチのオン操作を検知した際に実行される。ユーザによる画像形成装置１０１の電源スイッチのオン操作が検知されると、操作部１１１は、電源オン信号２２４を電源制御回路２１８へ出力する。電源オン信号２２４を受信した電源制御回路２１８は、画像形成装置１０１の各部へ電力の供給を開始する。次いで、電源制御回路２１８がメインリセット信号２２５を制御してメインＣＰＵ２０２のリセット状態を解除すると、メインＣＰＵ２０２が動作を開始し、メインＣＰＵ２０２が図５のステップＳ５０１の処理を実行する。なお、この時点では、電源制御回路２１８は、サブＣＰＵ２１１のリセット状態を解除せず、サブＣＰＵ２１１が動作を開始しないように制御する。

図５において、メインＣＰＵ２０２は、ＲＯＭ２０４に格納されたＢＩＯＳ４０１を実行し（ステップＳ５０１）、ディスクコントローラ２０５を初期化する。次いで、メインＣＰＵ２０２は、ＳＳＤ１１３に格納されたメインファームウェア４０２を読み出す（ステップＳ５０２）。読み出したメインファームウェア４０２は、メインＣＰＵメモリ２０３のメインファームウェア領域３０１に格納される。次いで、メインＣＰＵ２０２は、メイン電子署名４０３を取得する（ステップＳ５０３）。次いで、メインＣＰＵ２０２は、セキュリティチップ２０８の電子署名検証機能により、メイン電子署名４０３を用いてメインファームウェア領域３０１に格納されたメインファームウェア４０２を検証する。メインＣＰＵ２０２は、検証した結果からメインファームウェア４０２が改ざんされていない正当なファームウェア及び改ざんされた不正なファームウェアの何れであるかを判別する（ステップＳ５０４）。

ステップＳ５０４の判別の結果、メインファームウェア４０２が不正なファームウェアであるとき、メインＣＰＵ２０２は、メインファームウェア４０２の異常を通知する（ステップＳ５０５）。具体的に、メインＣＰＵ２０２は、メインファームウェア４０２の異常を示す図６（ａ）のエラー画面６００を操作部１１１に表示する。次いで、メインＣＰＵ２０２は、画像形成装置１０１の起動を中断し、本処理を終了する。

ステップＳ５０４の判別の結果、メインファームウェア４０２が正当なファームウェアであるとき、メインＣＰＵ２０２は、メインファームウェア領域３０１に格納されたメインファームウェア４０２の実行を開始する（ステップＳ５０６）。次いで、メインＣＰＵ２０２は、メイン初期化処理を実行する（ステップＳ５０７）。メイン初期化処理では、ネットワークＩ／Ｆ２０６及び操作部Ｉ／Ｆ２０７が初期化される。次いで、メインＣＰＵ２０２は、ディスクコントローラ２０５を介してＳＳＤ１１３を制御し、サブファームウェア４０４をメインＣＰＵメモリ２０３に読み出す（ステップＳ５０８）。読み出されたサブファームウェア４０４は、メインＣＰＵメモリ２０３の画像メモリ領域３０２に格納される。画像形成装置１０１は、ジョブを実行中である場合を除いて画像メモリ領域３０２を使用しないので、画像メモリ領域３０２をサブファームウェア４０４の一時的な格納場所として使用する。次いで、メインＣＰＵ２０２は、サブ電子署名４０５を取得する（ステップＳ５０９）。次いで、メインＣＰＵ２０２は、セキュリティチップ２０８の電子署名検証機能により、サブ電子署名４０５を用いて画像メモリ領域３０２に格納されたサブファームウェア４０４を検証する。メインＣＰＵ２０２は、検証した結果からサブファームウェア４０４が正当なファームウェア及び不正なファームウェアの何れであるかを判別する（ステップＳ５１０）。

ステップＳ５１０の判別の結果、サブファームウェア４０４が正当なファームウェアであるとき、メインＣＰＵ２０２は、画像メモリ領域３０２に格納されたサブファームウェア４０４をサブＣＰＵメモリ２１２へ転送する（ステップＳ５１１）。転送されたサブファームウェア４０４は、サブＣＰＵメモリ２１２のサブファームウェア領域３０３に格納される。次いで、メインＣＰＵ２０２は、電源制御回路２１８を介してサブリセット信号２２７を制御し、サブＣＰＵ２１１のリセット状態を解除し（ステップＳ５１２）、本処理を終了する。リセット状態を解除されたサブＣＰＵ２１１は、動作を開始して、後述する図７の制御処理を実行する。

ステップＳ５１０の判別の結果、サブファームウェア４０４が不正なファームウェアであるとき、メインＣＰＵ２０２は、サブファームウェア４０４の異常を示す図６（ｂ）のエラー画面６０１を操作部１１１に表示する（ステップＳ５１３）。次いで、メインＣＰＵ２０２は、画像形成装置１０１の起動を中断し、本処理を終了する。

図７は、図１のサブＣＰＵ２１１によって実行される制御処理の手順を示すフローチャートである。図７の処理は、ステップＳ５１２にてサブＣＰＵ２１１のリセット状態が解除された際に実行される。

図７において、サブＣＰＵ２１１は、サブファームウェア領域３０３に格納されたサブファームウェア４０４の実行を開始する（ステップＳ７０１）。このサブファームウェア４０４は、図５の処理にてメインＣＰＵ２０２によって正当なファームウェアであると判別されている。次いで、サブＣＰＵ２１１は、サブ初期化処理を実行する（ステップＳ７０２）。サブ初期化処理では、スキャナＩ／Ｆ２１４、プリンタＩ／Ｆ２１５、及び画像処理プロセッサ２１３が初期化される。次いで、サブＣＰＵ２１１は、プリンタＩ／Ｆ２１５を介してプリンタ１０７とネゴシエーションを実行し（ステップＳ７０３）、スキャナＩ／Ｆ２１４を介してスキャナ１０４とネゴシエーションを実行する（ステップＳ７０４）。次いで、サブＣＰＵ２１１は、プリンタ１０７の準備が完了したか否かを判別する（ステップＳ７０５）。プリンタ１０７の準備は、プリンタ１０７がジョブを実行可能となるために行われるプリンタ１０７の各種調整動作である。プリンタ１０７の準備を完了すると（ステップＳ７０５でＹＥＳ）、サブＣＰＵ２１１は、スキャナ１０４の準備を完了したか否かを判別する（ステップＳ７０６）。スキャナ１０４の準備は、スキャナ１０４がジョブを実行可能となるために行われるスキャナ１０４の各種調整動作である。スキャナ１０４の準備を完了すると（ステップＳ７０６でＹＥＳ）、サブＣＰＵ２１１は、本処理を終了する。

このように、画像形成装置１０１は、起動時にメインファームウェア４０２及びサブファームウェア４０４の正当性を検証し、その何れもが正当である場合のみメインファームウェア４０２及びサブファームウェア４０４を実行する。これにより、画像形成装置１０１の起動時に不正なファームウェアが実行されるのを防止することができる。

なお、本実施の形態では、ファームウェアの正当性の検証に電子署名を用いる構成について説明したが、この構成に限られない。例えば、メインファームウェア４０２及びサブファームウェア４０４の各ハッシュ値を読み取り専用の不揮発性の記憶デバイスに保存し、このハッシュ値を用いて各ファームウェアの正当性を検証しても良い。具体的に、画像形成装置１０１は、上記ハッシュ値と起動時においてＳＳＤ１１３に格納されているメインファームウェア４０２及びサブファームウェア４０４の各ハッシュ値とを比較し、差分の有無に基づいてファームウェアの正当性を検証する。

ここで、例えば、上述した図５の起動制御処理及び図７の制御処理を実行した後に、ＳＳＤ１１３に格納されたメインファームウェア４０２及びサブファームウェア４０４が悪意あるユーザによって改ざんされることがある。このように改ざんされた不正なファームウェアを、ファームウェアのバックアップメモリ等を設けることなく、正当なファームウェアに復旧可能な仕組みが求められている。これに対し、本実施の形態では、図８のファームウェア検証処理を実行する。

図８は、図１のメインＣＰＵ２０２によって実行されるファームウェア検証処理の手順を示すフローチャートである。図８の処理は、ＳＳＤ１１３から読み出したメインファームウェア４０２及びサブファームウェア４０４を実行した後の所定のタイミング、例えば、画像形成装置１０１が通常動作状態から省電力状態へ移行する直前に実行される。画像形成装置１０１は、起動してから予め設定された所定の時間、操作部１１１のユーザ操作やジョブの実行指示を受け付けない場合に通常動作状態から省電力状態へ移行する。

図８において、メインＣＰＵ２０２は、ディスクコントローラ２０５を制御し、ＳＳＤ１１３に格納されたファームウェア、例えば、サブファームウェア４０４をメインＣＰＵメモリ２０３の画像メモリ領域３０２に読み出す（ステップＳ８０１）。このサブファームウェア４０４は、画像形成装置１０１を省電力状態から通常動作状態へ復帰させる際に用いられる。画像形成装置１０１は、省電力状態への移行時には、画像形成処理に関するジョブを実行しておらず、画像メモリ領域３０２を使用していないので、画像メモリ領域３０２をサブファームウェア４０４の一時的な格納場所として使用する。次いで、メインＣＰＵ２０２は、サブ電子署名４０５を取得する（ステップＳ８０２）。次いで、メインＣＰＵ２０２は、セキュリティチップ２０８の電子署名検証機能により、サブ電子署名４０５を用いて画像メモリ領域３０２に格納されたサブファームウェア４０４を検証する。メインＣＰＵ２０２は、検証した結果からサブファームウェア４０４が正当なファームウェア及び不正なファームウェアの何れであるかを判別する（ステップＳ８０３）。

ステップＳ８０３の判別の結果、サブファームウェア４０４が正当なファームウェアであるとき、メインＣＰＵ２０２は、本処理を終了する。

ステップＳ８０３の判別の結果、サブファームウェア４０４が不正なファームウェアであるとき、メインＣＰＵ２０２は、サブＣＰＵメモリ２１２のサブファームウェア領域３０３に格納されたサブファームウェア４０４をメインＣＰＵメモリ２０３に読み出す（ステップＳ８０４）。読み出されたサブファームウェア４０４は、図５の起動制御処理にて正当なファームウェアであると判別されているファームウェアである。このサブファームウェア４０４は、メインＣＰＵメモリ２０３の画像メモリ領域３０２に格納される。次いで、メインＣＰＵ２０２は、ＳＳＤ１１３に格納された不正なサブファームウェア４０４を、メインＣＰＵメモリ２０３の画像メモリ領域３０２に保持された正当なサブファームウェア４０４に更新し（ステップＳ８０５）、本処理を終了する。その後、メインＣＰＵ２０２は、電源制御回路２１８を制御して画像形成装置１０１を省電力状態へ移行させる。電源制御回路２１８は、スキャナ／プリンタ電力２２１及び通常状態用電力２２２の通電を停止し、省電力状態用電力２２３の通電を維持する。画像形成装置１０１が省電力状態である間、メインＣＰＵメモリ２０３への通電が維持され、画像メモリ領域３０２に格納されたサブファームウェア４０４は保持される。

上述した実施の形態によれば、ＳＳＤ１１３から読み出した正当なサブファームウェア４０４を実行した後の所定のタイミングでＳＳＤ１１３に格納されたサブファームウェア４０４が不正なファームウェアであるか否かが判別される。ＳＳＤ１１３に格納されたサブファームウェア４０４が不正なファームウェアである場合、ＳＳＤ１１３に格納された不正なサブファームウェア４０４が、実行された正当なサブファームウェア４０４に更新される。これにより、ファームウェアのバックアップメモリを設けることなく、不正なファームウェアを正当なファームウェアに復旧することができる。

また、上述した実施の形態では、ＳＳＤ１１３から読み出した正当なサブファームウェア４０４は、メインＣＰＵメモリ２０３に保持される。これにより、ファームウェアのバックアップメモリを設けることなく、正当なサブファームウェア４０４を保持することができる。

さらに、上述した実施の形態では、所定のタイミングは、画像形成装置１０１が省電力状態に移行する直前である。これにより、画像形成装置１０１が省電力状態へ移行した際にメインＣＰＵメモリ２０３への電力の供給が停止される構成であっても、メインＣＰＵメモリ２０３に格納されたデータが消失する前に、ＳＳＤ１１３に格納された不正なサブファームウェア４０４を正当なサブファームウェア４０４に復旧することができる。

上述した実施の形態では、画像形成装置１０１が通常動作状態から省電力状態へ移行しても、メインＣＰＵメモリ２０３への電力の供給が維持される。これにより、画像形成装置１０１が省電力状態へ移行しても、正当なサブファームウェア４０４を保持することができる。

上述した実施の形態では、サブファームウェア４０４は、画像形成装置１０１が省電力状態から通常動作状態へ復帰する際に使用される。これにより、省電力状態から通常動作状態へ復帰する際に不正なサブファームウェア４０４が実行されるのを防止することができる。

以上、本発明について、上述した実施の形態を用いて説明したが、本発明は上述した実施の形態に限定されるものではない。例えば、画像形成装置１０１が起動した後に予め設定された間隔で図８のファームウェア検証処理が実行されても良い。これにより、不正なファームウェアを正当なファームウェアに復旧する処理を定期的に実施することができる。

また、上述した実施の形態では、ステップＳ８０１にてＳＳＤ１１３からサブファームウェア４０４が読み出される場合について説明したが、メインファームウェア４０２が読み出されても良い。この場合、メインＣＰＵ２０２は、メイン電子署名４０３を取得し（ステップＳ８０２）、メイン電子署名４０３を用いて画像メモリ領域３０２に格納されたメインファームウェア４０２を検証する。メインＣＰＵ２０２は、検証した結果からメインファームウェア４０２が正当なファームウェア及び不正なファームウェアの何れであるかを判別する（ステップＳ８０３）。ステップＳ８０３の判別の結果、メインファームウェア４０２が正当なファームウェアであるとき、ファームウェア検証処理を終了する。ステップＳ８０３の判別の結果、メインファームウェア４０２が不正なファームウェアであるとき、メインＣＰＵ２０２は、ＳＳＤ１１３に格納された不正なメインファームウェア４０２を、メインＣＰＵメモリ２０３のメインファームウェア領域３０１に保持された正当なメインファームウェア４０２に更新し（ステップＳ８０５）、ファームウェア検証処理を終了する。このように処理することで、上述した実施の形態と同様の効果を奏することができる。

本発明は、上述の実施の形態の１以上の機能を実現するプログラムをネットワーク又は記憶媒体を介してシステム又は装置に供給し、該システム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読み出して実行する処理でも実現可能である。また、本発明は、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

１０１ 画像形成装置
１１３ ＳＳＤ
２０２ メインＣＰＵ
２０３ メインＣＰＵメモリ
４０２ メインファームウェア
４０４ サブファームウェア

Claims (8)

1. ファームウェアを格納する記憶デバイスを備える情報処理装置であって、
   前記記憶デバイスから読み出したファームウェアが正当なファームウェアである場合、当該ファームウェアの実行を制御する制御手段と、
   前記記憶デバイスから読み出したファームウェアを実行した後の所定のタイミングで前記記憶デバイスに格納されたファームウェアが不正なファームウェアであるか否かを判別する判別手段と、
   前記記憶デバイスに格納されたファームウェアが不正なファームウェアである場合、前記記憶デバイスに格納された不正なファームウェアを前記制御手段によって実行された正当なファームウェアに更新する更新手段とを備えることを特徴とする情報処理装置。
2. 前記記憶デバイスから読み出したファームウェアは、前記記憶デバイスと異なる他の記憶デバイスに保持され、
   前記更新手段は、前記記憶デバイスに格納された不正なファームウェアを前記他の記憶デバイスに保持された正当なファームウェアに更新することを特徴とする請求項１記載の情報処理装置。
3. 前記他の記憶デバイスは、揮発性の記憶デバイスであり、
   前記所定のタイミングは、前記情報処理装置が省電力状態に移行する直前であることを特徴とする請求項２記載の情報処理装置。
4. 前記情報処理装置が前記省電力状態へ移行しても、前記他の記憶デバイスへの電力の供給が維持されることを特徴とする請求項３記載の情報処理装置。
5. 前記ファームウェアは、前記情報処理装置を前記省電力状態から通常動作状態へ復帰させる際に使用されることを特徴とする請求項３又は４記載の情報処理装置。
6. 前記判別手段は、前記記憶デバイスから読み出したファームウェアを実行した後に予め設定された所定の間隔で前記記憶デバイスに格納されたファームウェアが不正なファームウェアであるか否かを判別することを特徴とする請求項１乃至５のいずれか１項に記載の情報処理装置。
7. ファームウェアを格納する記憶デバイスを備える情報処理装置の制御方法であって、
   前記記憶デバイスから読み出したファームウェアが正当なファームウェアである場合、当該ファームウェアの実行を制御する制御ステップと、
   前記記憶デバイスから読み出したファームウェアを実行した後の所定のタイミングで前記記憶デバイスに格納されたファームウェアが不正なファームウェアであるか否かを判別する判別ステップと、
   前記記憶デバイスに格納されたファームウェアが不正なファームウェアである場合、前記記憶デバイスに格納された不正なファームウェアを前記制御ステップにて実行された正当なファームウェアに更新する更新ステップとを有することを特徴とする情報処理装置の制御方法。
8. ファームウェアを格納する記憶デバイスを備える情報処理装置の制御方法をコンピュータに実行させるプログラムであって、
   前記情報処理装置の制御方法は、
   前記記憶デバイスから読み出したファームウェアが正当なファームウェアである場合、当該ファームウェアの実行を制御する制御ステップと、
   前記記憶デバイスから読み出したファームウェアを実行した後の所定のタイミングで前記記憶デバイスに格納されたファームウェアが不正なファームウェアであるか否かを判別する判別ステップと、
   前記記憶デバイスに格納されたファームウェアが不正なファームウェアである場合、前記記憶デバイスに格納された不正なファームウェアを前記制御ステップにて実行された正当なファームウェアに更新する更新ステップとを有することを特徴とするプログラム。

Images