JP2021051713A - 情報処理装置及びリセット制御方法 - Google Patents

Abstract

【課題】ＷＤＴとセキュアブート技術とを組合せるケースで、システムの正常な起動を担保する仕組みを提供すること。【解決手段】プログラムの正当性を検証する検証手段と、所定の期間外部からのアクセスが無い場合に、システムリセット信号を発行するリセット制御手段と、前記検証手段により正当であると判定された前記プログラムを実行する実行手段であって、前記プログラムの起動後に前記リセット制御手段へアクセス可能となる当該実行手段と、を備え、前記検証手段は、前記実行手段が前記リセット制御手段へアクセス可能となる前に、前記リセット制御手段へアクセスする、情報処理装置が提供される。対応する方法もまた提供される。【選択図】図２

Description

本開示は、情報処理装置及びリセット制御方法に関する。

ソフトウェアのハングアップ等に起因してシステムが正常に動作しなくなったことを検知して、システムの再起動といった復旧のための対策をとるために、ウォッチドッグタイマ（ＷＤＴ）と呼ばれる技術が活用されている（例えば、特許文献１参照）。ＷＤＴは、典型的には、システムの動作中にタイマで経過時間をカウントし、カウンタ値が閾値に達するとシステムに異常が発生したと見なして、強制的にシステムをリセットする。システムが正常に動作している間、システムを統括するプロセッサは、周期的にＷＤＴへ制御信号を出力してＷＤＴを初期化する（例えば、カウンタ値をゼロへクリアする）。それにより、正常動作中にはＷＤＴのカウンタ値は閾値に達することがなく、システムはリセットされない。

また、システム起動用のプログラムが正当である（例えば、改竄されていない）ことを検証した後にプログラムを実行してシステムを起動する、いわゆるセキュアブート技術が知られている。セキュアブート技術は、汎用コンピュータのみならず、複合機（Multi-Function Peripheral（ＭＦＰ））及びプリンタといった特定の用途に特化した装置においても採用されつつある。システムの起動時にＢＩＯＳ（Basic Input/Output System）に代表される主要なプログラムの正当性を検証することで、システムの安全な動作を担保することができる。万が一プログラムが正当ではないと判定されると、システムの起動は強制的に停止される。正当ではないと判定されたプログラムは、正当なプログラムで上書きするなどの手法で復旧され、その後システムは再起動され得る。こうしたプログラムの正当性の検証は、通常、当該プログラムの実行主体であるプロセッサではなく、補助的なプロセッサにより行われ得る。

特開２００９−０５３９５２号公報

ＷＤＴを有するシステムにセキュアブート技術を適用する場合、プログラムの検証が成功裏に完了するまで主たるプロセッサが動作を開始しないため、システムリセットを抑制するための制御がタイムアウトに間に合わなくなる可能性がある。例えば、検証又は検証失敗時の自動的な復旧に長時間を要した場合、最終的にシステムが正常に起動できる状況にも関わらず、ＷＤＴのタイムアウトに起因してシステムが強制的にリセットされ得る。そうした強制的なリセットは、システムの起動を阻害する。

そこで、本開示は、ＷＤＴとセキュアブート技術とを組合せるケースで、システムの正常な起動を担保する仕組みを提供することを目的とする。

ある観点によれば、プログラムの正当性を検証する検証手段と、所定の期間外部からのアクセスが無い場合に、システムリセット信号を発行するリセット制御手段と、前記検証手段により正当であると判定された前記プログラムを実行する実行手段であって、前記プログラムの起動後に前記リセット制御手段へアクセス可能となる当該実行手段と、を備え、前記検証手段は、前記実行手段が前記リセット制御手段へアクセス可能となる前に、前記リセット制御手段へアクセスする、情報処理装置が提供される。

本開示によれば、ＷＤＴとセキュアブート技術とを組合せるケースで、システムの正常な起動を担保することができる。

一実施形態に係る複合機の概略的な構成の一例を示すブロック図。 一実施形態に係るメインＣＰＵの具体的な構成の一例を示すブロック図。 一実施形態に係るサブＣＰＵの具体的な構成の一例を示すブロック図。 一実施形態に係るフラッシュＲＯＭのメモリマップの一例を示す説明図。 一実施形態に係るリセット制御部の具体的な構成の一例を示すブロック図。 一実施形態に係るシステム起動時の処理の概略的な流れの一例を示すシーケンス図。 一実施形態に係るサブＣＰＵにより実行される処理の流れの一例を示すフローチャート。 一実施形態に係るメインＣＰＵにより実行される処理の流れの一例を示すフローチャート。 一実施形態に係るＷＤＴにより実行される処理の流れの一例を示すフローチャート。 一実施形態に係るリセット回路により実行される処理の流れの一例を示すフローチャート。 一変形例に係るＷＤＴにより実行される処理の流れの一例を示すフローチャート。

以下、添付図面を参照して実施形態を詳しく説明する。なお、以下の実施形態は特許請求の範囲に係る発明を限定するものでない。実施形態には複数の特徴が記載されているが、これらの複数の特徴の全てが発明に必須のものとは限らず、また、複数の特徴は任意に組み合わせられてもよい。さらに、添付図面においては、同一の又は同様の構成に同一の参照番号を付し、重複した説明は省略される。

＜＜１．装置の構成例＞＞
＜１−１．全体的な構成＞
本節では、本開示に係る技術がＭＦＰに適用される例を説明する。しかしながら、本開示に係る技術は、ＭＦＰに限定されず、例えばプリンタ、スキャナ、ファクシミリ、ＰＣ（Personal Computer）、タブレットデバイス及びスマートフォンといった、いかなる種類の情報処理装置に適用されてもよい。特に説明の無い限り、以下に説明する装置、デバイス、モジュール及びチップといった構成要素の各々は、単一のエンティティで構成されてもよく、又は物理的に異なる複数のエンティティから構成されてもよい。

図１は、一実施形態に係る複合機１の概略的な構成の一例を示すブロック図である。図１を参照すると、複合機１は、メインＣＰＵ１０１、ＤＲＡＭ１０２、操作Ｉ／Ｆ１０３、ネットワークＩ／Ｆ１０４、プリンタ１０５、スキャナ１０６、ＦＡＸ１０７、ＨＤＤ１０８、及び画像処理部１０９を備える。複合機１のこれら構成要素は、信号バス１１０を介して相互に接続される。操作Ｉ／Ｆ１０３は、操作部１１１へ接続される。ネットワークＩ／Ｆ１０４は、ネットワークＩ／Ｆ用フラッシュＲＯＭ１１２へ接続される。

メインＣＰＵ（Central Processing Unit)１０１は、複合機１の機能の全般を制御するプロセッサである。ＤＲＡＭ（Dynamic Random Access Memory）１０２は、メインＣＰＵ１０１のための主記憶デバイスであり、メインＣＰＵ１０１により実行されるプログラム及び関連するデータを一時的に記憶する。操作インタフェース（Ｉ／Ｆ）１０３は、操作部１１１を信号バス１１０へ接続するためのインタフェースである。操作部１１１は、ユーザによる複合機１の操作のためのユーザインタフェースを提供するユニットである。操作部１１１は、例えば、ボタンの押下又はタッチパネルへのタッチといったユーザ操作を受け付けると、対応する操作信号を操作Ｉ／Ｆ１０３を介してメインＣＰＵ１０１へ送信する。また、操作部１１１は、例えば、操作のための情報をディスプレイ（図示せず）の画面上に表示させる。ネットワークＩ／Ｆ１０４は、複合機１による外部の装置との間の通信のためのインタフェースである。ネットワークＩ／Ｆ１０４は、例えばＬＡＮ（Local Area Network）インタフェースであってもよい。ネットワークＩ／Ｆ用フラッシュＲＯＭ（Read Only Memory）１１２は、ネットワークＩ／Ｆ１０４の動作のためのファームウェアを記憶する不揮発性メモリである。プリンタ１０５は、画像データにより表現される画像をシートへ印刷するユニットである。スキャナ１０６は、原稿の画像を光学的に読み取り、光信号を電気信号へ変換して、スキャン画像データを生成するユニットである。ファクシミリ（ＦＡＸ）１０７は、公衆回線へ接続され、外部のファクシミリ装置との間でファクシミリ通信を行うユニットである。ＨＤＤ（Hard Disk Drive）１０８は、いわゆる二次記憶デバイスである。ＨＤＤ１０８は、複合機１の様々な機能により利用されるデータと、メインＣＰＵ１０１により実行されるプログラムのうち正当性の検証を要しないプログラムとを記憶する。ＨＤＤ１０８は、プリントジョブ及びスキャンジョブをスプールするためのスプール領域、並びにスキャン画像データを再利用に向けて保存するための保存領域として利用されてもよい。画像処理部１０９は、ネットワークＩ／Ｆ１０４を介して受信されるプリントジョブの画像データを、プリンタ１０５による印刷に適した画像データへ変換する処理モジュールである。画像処理部１０９は、さらに、スキャナ１０６により読み取られたスキャン画像データについて、ノイズ除去、色空間の変換、回転及びデータ圧縮といった画像処理を実行し得る。さらに、画像処理部１０９は、ＨＤＤ１０８に記憶される画像データについて任意の種類の画像処理を実行してよい。

図１を参照すると、複合機１は、さらに、フラッシュＲＯＭ１２１、サブＣＰＵ１２２及び電源制御部１３０を含む。メインＣＰＵ１０１、フラッシュＲＯＭ１２１及びサブＣＰＵ１２２は、ＳＰＩ（Serial Peripheral Interface）バス１２０を介して相互に接続される。

フラッシュＲＯＭ１２１は、メインＣＰＵ１０１により実行される１つ以上のプログラムと、複合機１の基本的な設定のための既定の設定値とを記憶する記憶デバイスである。フラッシュＲＯＭ１２１に記憶されるプログラムは、例えば、メインＣＰＵ１０１の起動時に実行されるＢＩＯＳプログラムを含む。メインＣＰＵ１０１により実行されるいくつかのプログラム（例えば、オペレーティングシステム（ＯＳ）及び様々なアプリケーションのためのプログラム）は、フラッシュＲＯＭ１２１とは異なる記憶デバイス（例えば、上述したＨＤＤ１０８）に記憶され得る。

サブＣＰＵ１２２は、フラッシュＲＯＭ１２１に記憶されているプログラムの正当性をメインＣＰＵ１０１による実行の前に検証する補助的なプロセッサである。プログラムが正当な開発者の意図に反して変化している場合には、検証の結果として、プログラムは正当ではないと判定され得る。一方で、そうした変化が無い場合には、プログラムは正当であると判定され得る。例えば、ＭＦＰ１に不正にアクセスした第三者がプログラムを改竄した場合に、プログラムは正当性を失う。また、装置の経年劣化に起因してプログラムデータのビットが書き換わった場合にも、プログラムは正当性を失う。サブＣＰＵ１２２による正当性検証の手法について、後にさらに説明する。サブＣＰＵ１２２は、検証の結果としてプログラムが正当であると判定すると、後述する電源制御部１３０のリセット制御部１３１へ、検証の完了を通知する。

電源制御部１３０は、ＭＦＰ１を構成するモジュールへの電力の供給を制御するユニットである。図中では、外部の商用ＡＣ電源からの電力の供給が太線の矢印で示されており、ＭＦＰ１内の各モジュールへの電力の供給が破線の矢印で簡略的に示されている。電源制御部１３０は、信号バス１１０にも接続され、メインＣＰＵ１０１で動作するプログラムから電源制御部１３０の制御レジスタへのアクセスが可能とされる。

電源制御部１３０は、さらに、メインＣＰＵ１０１及びサブＣＰＵ１２２のリセットを制御するリセット制御部１３１を含む。本実施形態において、リセット制御部１３１は、少なくともリセット回路１３２及びウォッチドッグタイマ（ＷＤＴ）１３３を含み、所定の期間外部からのアクセスが無い場合に、システムリセット信号を発行する。リセット回路１３２は、リセット信号線１３４及び１つ以上の追加的な制御信号線１３５を介してサブＣＰＵ１２２へ接続され、リセット信号線１３６を介してメインＣＰＵ１０１へ接続される。

リセット信号線１３４は、リセット回路１３２からサブＣＰＵ１２２へ出力されるリセット制御信号を搬送する。リセット信号線１３６は、リセット回路１３２からメインＣＰＵ１０１へ出力されるリセット制御信号を搬送する。一例として、リセット制御信号は、“Ｌｏ”又は“Ｈｉ”という２通りの信号レベルを有する（例えば、“Ｌｏ”はゼロに相当する電気信号レベル、“Ｈｉ”は１に相当する電気信号レベルであり得る）。リセット制御信号の“Ｌｏ”レベルは信号の出力先のＣＰＵがリセット（無効化）されるべきことを、“Ｈｉ”レベルは当該ＣＰＵが通常の動作を行うべきことを意味する。

リセット回路１３２は、例えば、ＭＦＰ１の電源が投入されると、サブＣＰＵ１２２へ出力されるリセット制御信号の信号レベルを“Ｌｏ”から“Ｈｉ”へ切替える。サブＣＰＵ１２２は、この切替えをリセット解除の指示であると解釈する。サブＣＰＵ１２２は、リセット解除の指示に応じて動作を開始し、メインＣＰＵ１０１により実行されるべきプログラムの正当性を検証する。この間、リセット回路１３２は、メインＣＰＵ１０１へ出力されるリセット制御信号の信号レベルを“Ｌｏ”に維持する。リセット回路１３２は、サブＣＰＵ１２２によるプログラムの検証が完了すると、メインＣＰＵ１０１へ出力されるリセット制御信号の信号レベルを“Ｌｏ”から“Ｈｉ”へ切替える。メインＣＰＵ１０１は、この切替えをリセット解除の指示であると解釈する。メインＣＰＵ１０１は、リセット解除の指示に応じて動作を開始し、サブＣＰＵ１２２により正当であると判定されたプログラムを実行する。

ＷＤＴ１３３は、ＭＦＰ１が稼働している間、継続的に時間をカウントする（即ち、計時を行う）。ＷＤＴ１３３は、予め設定されるタイムアウト閾値にカウンタ値が達すると、リセット回路１３２にシステムリセットを指示する。リセット回路１３２は、システムリセットの指示に応じて、サブＣＰＵ１２２及びメインＣＰＵ１０１へ、信号レベルを“Ｌｏ”へ設定したリセット制御信号を出力する。それにより、サブＣＰＵ１２２及びメインＣＰＵ１０１がリセットされる。サブＣＰＵ１２２及びメインＣＰＵ１０１のリセット状態（無効化状態）は予め設定される期間維持され、その後にサブＣＰＵ１２２のリセット状態が解除される。こうしたシステムリセットをトリガするリセット制御信号を、本明細書では、システムリセット信号ともいう。リセット回路１３２は、ＭＦＰ１を構成する他のモジュールにも、それぞれのモジュールをリセットさせるためのリセット制御信号を出力してもよい。

メインＣＰＵ１０１は、サブＣＰＵ１２２により検証された正当なプログラムの起動後に、ＷＤＴ１３３へアクセス可能となる。例えば、メインＣＰＵ１０１は、正当なプログラムを実行することにより動作している間、周期的にリセット制御部１３１へクリア信号１３７を出力して、ＷＤＴ１３３のカウンタ値をクリアさせる。クリア信号１３７の出力周期は、上述したシステムリセットの判定のためのタイムアウト閾値よりも短い。それにより、メインＣＰＵ１０１が正常に動作している間、システムリセットの実行が抑制される。メインＣＰＵ１０１に異常が発生すると、このクリア信号１３７がリセット制御部１３１へ出力されなくなる結果、リセット制御部１３１がタイムアウトに応じてシステムリセットをトリガする。言い換えると、リセット制御部１３１は、メインＣＰＵ１０１が所定の期間にわたり動作していない場合に、ＷＤＴ１３３による計時に基づいて、サブＣＰＵ１２２及びメインＣＰＵ１０１をリセットする。クリア信号１３７は、例えば、リセット制御部１３１の所定の制御レジスタへの書込みを行う書込み信号であってもよく、又はパルスによってカウンタ値がクリアされるべきことを示すパルス信号であってもよい。ＷＤＴ１３３は、クリア信号１３７の入力に応じて（例えば、所定の制御レジスタへの書込みを検知することに応じて）、カウンタ値をゼロへクリアして、再度ゼロからの計時を行う。

＜１−２．基本的な原理＞
上述したように、本実施形態では、サブＣＰＵ１２２がＭＦＰ１の主要なプログラムの正当性を検証することで、プログラムの改竄及び劣化といったリスクからＭＦＰ１が保護される。加えて、ＭＦＰ１は、ＷＤＴ１３３を有することで、システムに異常が発生した際にシステムリセットを実行して、自動的に正常な状態に復帰し得る。しかしながら、サブＣＰＵ１２２によるプログラムの検証が完了するまで、メインＣＰＵ１０１は、動作を開始せず、クリア信号１３７をリセット制御部１３１へ出力しない。そのため、サブＣＰＵ１２２によるプログラムの検証に長時間を要した場合に、最終的にシステムが正常に起動できる状況にも関わらず、ＷＤＴ１３３においてカウンタ値がタイムアウト閾値に達し、システムリセットが実行される可能性がある。この場合、プログラムの正当性検証はシステムリセット後に最初からやり直しとなるため、システムの起動が長期化する。そればかりか、再度の検証の途中でさらにシステムリセットが行われて、ＭＦＰ１がいつまでも起動できない事態に陥りかねない。また、サブＣＰＵ１２２が検証失敗時にプログラムの復旧用バージョンを用いて復旧を行う機能を有する場合、復旧用バージョンのフラッシュＲＯＭ１２１への書込みが途中で停止する結果として復旧用バージョンのコピーが破損するリスクもある。

上述した不具合を回避を解消するために、一例として、サブＣＰＵ１２２によるプログラムの正当性の検証が完了するまでＷＤＴ１３３による計時を停止する手法が考えられる。しかし、そうした手法では、何らかの原因でサブＣＰＵ１２２に異常が発生した場合に、システムリセットが実行されず、ＭＦＰ１の正常な状態への復帰が妨げられる。他の例として、ＷＤＴ１３３のタイムアウト閾値を、プログラムの正当性検証（及び検証失敗時のプログラムの復旧）の処理時間を包含する程度に十分に大きい値に設定する手法も考えられる。しかし、画一的にタイムアウト閾値を引き延ばせば、メインＣＰＵ１０１の異常発生時のリセットが遅延してしまう。また、サブＣＰＵ１２２向けとメインＣＰＵ１０１向けとで別々のタイムアウト閾値を保持しようとすると、タイマの回路規模が増大し、発生の稀な事象への備えとしては装置のコストが割高となる。

そこで、本実施形態では、サブＣＰＵ１２２が、メインＣＰＵ１０１がＷＤＴ１３３へアクセス可能となる前に、ＷＤＴ１３３へアクセスするものとする。より具体的には、サブＣＰＵ１２２は、例えば（メインＣＰＵ１０１により実行されるべき）プログラムの検証が成功裏に完了する前に、リセット制御部１３１へクリア信号１４０を出力して、ＷＤＴ１３３のカウンタ値をクリアさせる。クリア信号１４０の出力は周期的に行われてよく、その出力周期は上述したシステムリセットの判定のためのタイムアウト閾値よりも短い。クリア信号１４０は、例えば、一定の周期を持つパルス信号、所定の制御レジスタへの書込みを行う書込み信号、又は所定の制御コマンドを表すコマンド信号であってもよい。サブＣＰＵ１２２は、内部に有するカウンタ又はタイマを用いて、クリア信号１４０のパルスの送出を、上記タイムアウト閾値よりも短い出力周期に同期させ得る。こうした構成により、メインＣＰＵ１０１が動作を開始する前の、サブＣＰＵ１２２によるプログラムの正当性検証（及び、復旧）の最中の意図しないシステムリセットの実行を抑制することができる。次節より、ここで説明した原理を実現するための各部の構成について、詳細に説明する。

＜＜２．各部の詳細＞＞
＜２−１．メインＣＰＵの構成例＞
図２は、本実施形態に係るメインＣＰＵ１０１の具体的な構成の一例を示すブロック図である。メインＣＰＵ１０１は、ＣＰＵコア２０１、ＳＰＩ Ｉ／Ｆ２０２、バスＩ／Ｆ２０３、リセット端子２０４、及び信号バス２０９を含む。

ＣＰＵコア２０１は、メインＣＰＵ１０１の機能を遂行するための演算を実行するプロセッサコアである。ＳＰＩ Ｉ／Ｆ２０２は、ＳＰＩバス１２０を介するメインＣＰＵ１０１と他のＳＰＩデバイスとの間の通信のためのインタフェース（ＳＰＩマスタともいう）である。バスＩ／Ｆ２０３は、信号バス１１０を介するメインＣＰＵ１０１と他のモジュールとの間の通信のためのインタフェースである。リセット端子２０４は、リセット回路１３２からリセット信号線１３６を介して入力されるリセット制御信号を受け付ける端子である。信号バス２０９は、ＣＰＵコア２０１、ＳＰＩ Ｉ／Ｆ２０２、及びバスＩ／Ｆ２０３を相互に接続する。

本実施形態において、ＭＦＰ１の電源が投入された直後に、リセット端子２０４が受け付けるリセット制御信号のレベルは“Ｌｏ”であり、メインＣＰＵ１０１はリセット状態（無効化状態）に維持される。その間、サブＣＰＵ１２２によりプログラムの正当性の検証が行われる。サブＣＰＵ１２２によりプログラムが正当であると判定された場合、リセット制御信号のレベルが“Ｈｉ”へ切替わり、ＣＰＵコア２０１は動作を開始する。その動作の冒頭において、ＣＰＵコア２０１は、フラッシュＲＯＭ１２１の所定のアドレスに記憶されている（サブＣＰＵ１２２により正当であると判定された）プログラムをＳＰＩバス１２０を介してＤＲＡＭ１０２へ読出し、読出したプログラムを実行する。本実施形態において、メインＣＰＵ１０１により実行されるプログラムは、少なくともＭＦＰ１のＢＩＯＳプログラムを含み得る。例えば、メインＣＰＵ１０１は、ＢＩＯＳプログラムを実行してメインＣＰＵ１０１の入出力機能を初期化した後、さらにＯＳ、各モジュールのドライバ及びその他のアプリケーションといったプログラムを実行してＭＦＰ１の通常の動作を開始する。メインＣＰＵ１０１は、その動作中に、上述したタイムアウト閾値よりも短い出力周期で、信号バス１１０を介してクリア信号１３７をリセット制御部１３１へ出力して、ＷＤＴ１３３のカウンタ値をクリアさせる。それにより、ＭＦＰ１が正常に動作している間のシステムリセットが抑制される。

＜２−２．サブＣＰＵの構成例＞
図３は、本実施形態に係るサブＣＰＵ１２２の具体的な構成の一例を示すブロック図である。サブＣＰＵ１２２は、ＣＰＵコア３０１、ＳＰＩ Ｉ／Ｆ３０２、汎用入出力端子３０３、ＯＴＰ３０４、ＳＲＡＭ３０５、リセット端子３０６、暗号処理部３０８、信号バス３０９、ブートＲＯＭ３１０、暗号ＲＡＭ３１１及びタイマ回路３１２を含む。

ＣＰＵコア３０１は、サブＣＰＵ１２２の機能を遂行するための演算を実行するプロセッサコアである。ＳＰＩ Ｉ／Ｆ３０２は、ＳＰＩバス１２０を介するサブＣＰＵ１２２と他のＳＰＩデバイスとの間の通信のためのインタフェース（ＳＰＩマスタともいう）である。汎用入出力端子（ＧＰＩＯ）３０３は、サブＣＰＵ１２２によるリセット制御部１３１との通信に利用される制御信号線１３５が接続される端子である。図３の例では、２つの制御信号線１３５ａ、１３６ｂが示されている。例えば、第１制御信号線１３５ａは、プログラムの検証が成功裏に完了した場合にサブＣＰＵ１２２からリセット制御部１３１へ出力される検証完了通知信号を搬送する。第２制御信号線１３５ｂは、上述したクリア信号１４０を搬送する。なお、これら信号は、単一の共通的な信号線で搬送されてもよい。ＯＴＰ（One Time Programmable）３０４は、製造時に一度だけ書込みが可能であって、書換えが不能なメモリ領域である。本実施形態では、サブＣＰＵ１２２のファームウェアのハッシュ値を公開鍵暗号方式の秘密鍵で暗号化した暗号化済みハッシュ値（即ち、署名）及び後述するＴａｇのアドレスが、予めＯＴＰ３０４に書込まれ得る。ＳＲＡＭ３０５は、サブＣＰＵ１２２のいわゆるキャッシュメモリであり、ＣＰＵコア３０１により演算用のワークメモリとして使用され得る。リセット端子３０６は、リセット回路１３２からリセット信号線１３４を介して入力されるリセット制御信号を受け付ける端子である。暗号処理部３０８は、サブＣＰＵ１２２による署名検証を支援する、暗号関連処理に専用のプロセッサである。例えば、暗号処理部３０８は、サブＣＰＵ１２２のファームウェア及びメインＣＰＵ１０１のプログラムの署名を復号することにより、それぞれの正当なハッシュ値を復元する。暗号処理部３０８は、プログラムデータからハッシュ値を導出するためのハッシュ計算を行ってもよい。信号バス３０９は、ＣＰＵコア３０１、ＳＰＩ Ｉ／Ｆ３０２、ＧＰＩＯ３０３、ＯＴＰ３０４、ＳＲＡＭ３０５、暗号処理部３０８、ブートＲＯＭ３１０、暗号ＲＡＭ３１１及びタイマ回路３１２を相互に接続する。ブートＲＯＭ３１０は、サブＣＰＵ１２２のブートプログラム（ブートコードともいう）を予め記憶する記憶デバイスである。暗号ＲＡＭ３１１は、暗号処理部３０８により処理される高い機密性の求められるデータを一時的に記憶する、暗号関連処理に専用のメモリである。タイマ回路３１２は、サブＣＰＵ１２２が稼働している間に計時を行う回路である。

本実施形態において、ＭＦＰ１の電源が投入されると、リセット端子３０６が受け付けるリセット制御信号のレベルは“Ｌｏ”から“Ｈｉ”へ切替わり、ＣＰＵコア３０１は動作を開始する。その動作の冒頭において、ＣＰＵコア３０１は、ブートＲＯＭ３１０から自身のブートプログラムをＳＲＡＭ３０５へ読出し、読出したブートプログラムを実行する。ＣＰＵコア３０１は、さらに、正当性検証の対象の１つ以上のプログラムをフラッシュＲＯＭ１２１から読出し、読出したプログラムの正当性を検証する。本実施形態において、正当性検証の対象のプログラムは、少なくともＭＦＰ１のＢＩＯＳプログラムを含む。さらに、正当性検証の対象のプログラムは、サブＣＰＵ１２２の動作のためのファームウェアを含んでもよい。

図４は、本実施形態に係るフラッシュＲＯＭ１２１のメモリマップの一例を示す説明図である。図４に示したように、フラッシュＲＯＭ１２１は、メインＣＰＵプログラム４０１、署名４０２、Ｔａｇ４０３、サブＣＰＵファームウェア４０４、署名４０５及びＲＯＭ−ＩＤ４０６を予め記憶する。メインＣＰＵプログラム４０１は、例えば、メインＣＰＵ１０１のブートの際に実行されるＢＩＯＳプログラムである。署名４０２は、メインＣＰＵプログラム４０１の正当性検証用の署名（例えば、ＲＳＡ署名）である。署名４０２は、（正当な）メインＣＰＵプログラム４０１のハッシュ値を暗号化することにより予め導出され、フラッシュＲＯＭ１２１に記憶され得る。Ｔａｇ４０３は、サブＣＰＵファームウェア４０４が記憶されている記憶領域の先頭のアドレスを示すデータである。Ｔａｇ４０３のアドレスは、上述したようにＯＴＰ３０４に記憶される。サブＣＰＵファームウェア４０４は、ＣＰＵコア３０１により実行されるプログラムコードを含むファームウェアである。署名４０５は、サブＣＰＵファームウェア４０４の正当性検証用の署名（例えば、ＥＣＤＳＡ署名）である。署名４０５は、（正当な）サブＣＰＵファームウェア４０４の全体又は先頭の特定部分に基づいて予め導出され、フラッシュＲＯＭ１２１に記憶され得る。ＲＯＭ−ＩＤ４０６は、メインＣＰＵプログラム４０１が記憶されている記憶領域の先頭のアドレス、その記憶領域のサイズ及び署名４０２のアドレスを含むデータである。

図４には、メインＣＰＵのためのプログラム及び署名のセットが１つだけフラッシュＲＯＭ１２１に記憶される例が示されている。しかしながら、フラッシュＲＯＭ１２１は、かかる例に限定されず、メインＣＰＵのためのプログラム及び署名の複数のセットを記憶してもよい。同様に、図４には、サブＣＰＵのためのファームウェア及び署名のセットが１つだけフラッシュＲＯＭ１２１に記憶される例が示されている。しかしながら、フラッシュＲＯＭ１２１は、かかる例に限定されず、サブＣＰＵのためのファームウェア及び署名の複数のセットを記憶してもよい。また、ここでは一例として、署名４０２がＲＳＡ署名、署名４０５がＥＣＤＳＡ署名である例を説明したが、各署名は、ＲＳＡ署名、ＤＳＡ署名又はＥＣＤＳＡ署名といった、いかなる種類のデジタル署名方式に基づいていてもよい。

本実施形態において、サブＣＰＵ１２２のＣＰＵコア３０１は、プログラムの正当性を検証している間、上述したタイムアウト閾値よりも短い出力周期で、ＧＰＩＯ３０３を介してクリア信号１４０をリセット制御部１３１へ出力する。クリア信号１４０の出力周期は、例えばタイマ回路３１２による計時に従って制御され得る。それにより、システムリセットが抑制される。タイマ回路３１２は、フリーランタイマのように、停止することなく周期的にゼロから（クリア信号の出力周期に相当する）上限値までをカウントしてもよい。代替的に、タイマ回路３１２は、カウンタ値が上限値に達するとカウントを停止し、クリア信号１４０の出力後にカウントを再開してもよい。なお、タイマ回路３１２の代わりに、ＣＰＵコア３０１上で動作するソフトウェアタイマが利用されてもよい。

図４を用いて説明したようなデジタル署名方式に基づいて、検証対象の全てのプログラムが正当であると判定されると、ＣＰＵコア３０１は、クリア信号１４０の周期的な出力を停止する。同時に、ＣＰＵコア３０１は、ＧＰＩＯ３０３を介して検証完了通知信号をリセット制御部１３１へ出力する。それに応じて、上述したように、メインＣＰＵ１０１のリセットが解除され得る。

＜２−３．リセット制御部の構成例＞
図５は、本実施形態に係るリセット制御部１３１の具体的な構成の一例を示すブロック図である。リセット制御部１３１は、リセット回路１３２、タイマ制御部５０１、タイマ回路５０２及びバスＩ／Ｆ５０３を含む。タイマ制御部５０１及びタイマ回路５０２は、図１に示したＷＤＴ１３３を構成する。

タイマ制御部５０１は、タイマ回路５０２による計時に基づくタイムアウトの判定、及びタイマ回路５０２のカウンタ値のクリアを行うコントローラである。タイマ回路５０２は、時間の経過に沿ってカウンタ値をインクリメントする回路である。バスＩ／Ｆ５０３は、信号バス１１０を介するリセット制御部１３１と他のモジュールとの間の通信のためのインタフェースである。

タイマ回路５０２は、リセット制御部１３１への給電の開始又はリセット解除に応じて、カウンタ値をゼロへ初期化し、計時を開始する。タイマ制御部５０１は、タイマ回路５０２のカウンタ値を監視し、カウンタ値が予め設定されるタイムアウト閾値に達した場合に、タイムアウトが発生したと判定する。タイムアウトが発生したと判定すると、タイマ制御部５０１は、システムリセットを指示するためのタイムアウト信号をリセット回路１３２へ出力する。タイマ制御部５０１は、タイムアウト信号を出力した後、タイマ回路５０２のカウンタ値をゼロへクリアし、タイマ回路５０２に計時を再開させる。

また、タイマ制御部５０１は、メインＣＰＵ１０１又はサブＣＰＵ１２２からクリア信号が入力されると、タイマ回路５０２のカウンタ値をゼロへクリアする。各クリア信号は、上述したように、パルス信号のパルス、又は所定の制御アドレスへの制御値の書込みなど、いかなる手法で実現されてもよい。本実施形態では、サブＣＰＵ１２２によりプログラムの正当性が検証されている間、サブＣＰＵ１２２からタイマ制御部５０１へクリア信号１４０が周期的に入力され得る。サブＣＰＵ１２２によりプログラムが正当であると判定されると、リセット回路１３２が、検証完了通知信号の入力に応じて、メインＣＰＵ１０１のリセットを解除する。その後、サブＣＰＵ１２２からのクリア信号１４０の入力は停止し、代わりにメインＣＰＵ１０１からタイマ制御部５０１へクリア信号１３７が周期的に入力され得る。これらクリア信号が上述したタイムアウト閾値により表される期間にわたって入力されない場合には、カウンタ値は、クリアされることなくタイムアウト閾値に達する。すると、タイマ制御部５０１は、システムに何らかの異常が生じたものと見なし、タイムアウト信号をリセット回路１３２へ出力する。タイマ制御部５０１は、検証完了通知信号の入力をトリガとして、メインＣＰＵ１０１からの第２クリア信号の監視（例えば、所定の制御レジスタが示す値の監視）を開始してもよい。

＜＜３．処理の流れ＞＞
＜３−１．システム起動時の処理＞
図６は、本実施形態に係るＭＦＰ１のシステム起動時の処理の概略的な流れの一例を示すシーケンス図である。図６に示した処理には、ＭＦＰ１を操作するユーザに加えて、ＭＦＰ１の電源制御部１３０、ＷＤＴ１３３、リセット回路１３２、サブＣＰＵ１２２及びメインＣＰＵ１０１が関与する。なお、以下の説明では、処理ステップをＳ（ステップ）と略記する。

まず、Ｓ６０１で、電源制御部１３０は、ＭＦＰ１を起動するためのユーザ操作を操作部１１１を介して受け付ける。このユーザ操作に応じて、Ｓ６０２で、電源制御部１３０は、商用ＡＣ電源から供給される電力の各モジュールへの分配を開始する。リセット回路１３２は、サブＣＰＵ１２２及びメインＣＰＵ１０１へ、“Ｌｏ”レベルを示すリセット制御信号を出力する。

Ｓ６０３で、ＷＤＴ１３３は、給電の開始に応じて、タイマ回路５０２による計時を開始する。また、Ｓ６０４で、リセット回路１３２は、サブＣＰＵ１２２へ出力されるリセット制御信号の信号レベルを“Ｈｉ”へ切替えて、サブＣＰＵ１２２のリセットを解除する。

Ｓ６０５で、サブＣＰＵ１２２は、リセット解除に応じて、タイマ回路３１２による計時を開始する。並列的に、Ｓ６０６で、サブＣＰＵ１２２は、サブＣＰＵファームウェア４０４の正当性を検証する。ここでは、サブＣＰＵファームウェア４０４は正当であると判定されるものとする。次いで、Ｓ６１０で、サブＣＰＵ１２２は、メインＣＰＵプログラム４０１（例えば、ＢＩＯＳプログラム）の正当性を検証する。

サブＣＰＵ１２２がこのようにプログラムの正当性を検証している間、Ｓ６１１で、タイマ回路３１２のカウンタ値が第１クリア信号の出力周期を表す閾値に到達し得る。すると、Ｓ６１２で、サブＣＰＵ１２２は、第１クリア信号をＷＤＴ１３３へ出力する（タイマ回路３１２のカウンタ値はここでクリアされ得る）。Ｓ６１３で、ＷＤＴ１３３は、第１クリア信号の入力に応じて、タイマ回路５０２のカウンタ値をクリアした後に、タイマ回路５０２による計時を再開する。

図６の例では、サブＣＰＵ１２２によるメインＣＰＵプログラム４０１の正当性の検証は、さらに続く。Ｓ６２１で、タイマ回路３１２のカウンタ値が第１クリア信号の出力周期を表す閾値に再び到達し得る。すると、Ｓ６２２で、サブＣＰＵ１２２は、第１クリア信号をＷＤＴ１３３へ出力する（タイマ回路３１２のカウンタ値はやはりここでクリアされ得る）。Ｓ６２３で、ＷＤＴ１３３は、第１クリア信号の入力に応じて、タイマ回路５０２のカウンタ値をクリアした後に、タイマ回路５０２による計時を再開する。

ある時点で、サブＣＰＵ１２２によるメインＣＰＵプログラム４０１の正当性の検証は終了する。ここでは、メインＣＰＵプログラム４０１もまた正当であると判定されるものとする。すると、Ｓ６３１で、サブＣＰＵ１２２は、検証完了通知信号をリセット回路１３２へ出力する。そして、Ｓ６３２で、サブＣＰＵ１２２は、スリープ状態へ移行する。

Ｓ６３３で、リセット回路１３２は、検証完了通知信号のアサートに応じて、メインＣＰＵ１０１へ出力されるリセット制御信号の信号レベルを“Ｈｉ”へ切替えて、メインＣＰＵ１０１のリセットを解除する。

Ｓ６４１で、メインＣＰＵ１０１は、リセット解除に応じて、フラッシュＲＯＭ１２１から読出されるメインＣＰＵプログラム４０１（例えば、ＢＩＯＳプログラム）を実行する。また、Ｓ６４２で、メインＣＰＵ１０１は、計時を開始する。ここでは、メインＣＰＵ１０１は、ソフトウェアタイマを利用するものとする。Ｓ６４３で、メインＣＰＵ１０１は、ＨＤＤ１０８から読出されるＯＳプログラムを実行することにより、ＯＳを起動する。図６には示していないものの、ＯＳの起動に応じて、各モジュールのドライバ及び他のアプリケーションもまた起動され得る。

メインＣＰＵ１０１がこのようにプログラムを実行している間、Ｓ６５１で、タイマのカウンタ値が第２クリア信号の出力周期を表す閾値に到達し得る。すると、Ｓ６５２で、メインＣＰＵ１０１は、第２クリア信号をＷＤＴ１３３へ出力する。Ｓ６５３で、ＷＤＴ１３３は、第２クリア信号の入力に応じて、タイマ回路５０２のカウンタ値をクリアした後に、タイマ回路５０２による計時を再開する。

こうしたシーケンスにおいて、例えばＳ６３１までにサブＣＰＵ１２２に異常が発生し、第１クリア信号の周期的な出力が停止した場合、ＷＤＴ１３３のタイマ回路５０２は、カウンタ値がクリアされないためにタイムアウトし得る。また、Ｓ６４１の後にメインＣＰＵ１０１に異常が発生し、第２クリア信号の周期的な出力が停止した場合、ＷＤＴ１３３のタイマ回路５０２は、やはりカウンタ値がクリアされないためにタイムアウトし得る。一旦ＷＤＴ１３３においてタイムアウトが発生すると、ＷＤＴ１３３のタイマ制御部５０１は、リセット回路１３２へシステムリセットを指示し、リセット回路１３２は、それに応じてメインＣＰＵ１０１及びサブＣＰＵ１２２をリセットさせる。例えば、メインＣＰＵ１０１及びサブＣＰＵ１２２は、予め設定される期間にわたってリセット状態に維持され、その後、サブＣＰＵ１２２のリセットが解除されて、上述したＳ６０４以降の処理ステップが再実行される。

＜３−２．サブＣＰＵによる処理＞
図７は、本実施形態に係るサブＣＰＵ１２２により実行される処理の流れの一例を示すフローチャートである。

まず、Ｓ７０１で、サブＣＰＵ１２２は、起動した直後にブートＲＯＭ３１０からブートプログラムを読出し、読出したブートプログラムを実行する。それにより、サブＣＰＵファームウェア４０４及び署名４０５が、ＳＰＩバス１２０を介してフラッシュＲＯＭ１２１からＳＲＡＭ３０５へ読出される。

次いで、Ｓ７０２で、サブＣＰＵ１２２は、サブＣＰＵファームウェア４０４の正当性を検証する。例えば、暗号処理部３０８は、署名４０５をＯＴＰ３０４に予め記憶される公開鍵で復号して、正当なサブＣＰＵファームウェア４０４のハッシュ値を導出する。また、暗号処理部３０８は、サブＣＰＵファームウェア４０４のプログラムデータからハッシュ値を算出する。これらハッシュ値が互いに一致する場合には、サブＣＰＵファームウェア４０４は正当である（改竄されておらず、経年劣化により変化してもいない）と判定される。一方、ハッシュ値が一致しない場合には、サブＣＰＵファームウェア４０４は、開発者の意図に反して変化しているために、正当ではないと判定される。

その後の処理は、Ｓ７０３で、サブＣＰＵファームウェア４０４の正当性検証の結果に依存して分岐する。サブＣＰＵファームウェア４０４が正当であると判定された場合、処理はＳ７０４へ進む。一方、サブＣＰＵファームウェア４０４が正当ではないと判定された場合、処理はＳ７０９へ進む。

Ｓ７０４で、サブＣＰＵ１２２は、サブＣＰＵファームウェア４０４をＳＲＡＭ３０５へ読出して実行する。次いで、Ｓ７０５で、サブＣＰＵ１２２は、サブＣＰＵファームウェア４０４に従って動作し、ＲＯＭ−ＩＤ４０６から導出されるアドレスに基づいて、ＢＩＯＳプログラム４０１及び署名４０２をフラッシュＲＯＭ１２１からＳＲＡＭ３０５へ読出す。次いで、Ｓ７０６で、サブＣＰＵ１２２は、ＢＩＯＳプログラム４０１の正当性を検証する。例えば、暗号処理部３０８は、署名４０２を公開鍵で復号して、正当なＢＩＯＳプログラム４０１のハッシュ値を導出する。また、暗号処理部３０８は、ＢＩＯＳプログラム４０１のプログラムデータからハッシュ値を算出する。これらハッシュ値が互いに一致する場合には、ＢＩＯＳプログラム４０１は正当である（改竄されておらず、経年劣化により変化してもいない）と判定される。一方、ハッシュ値が一致しない場合には、ＢＩＯＳプログラム４０１は、開発者の意図に反して変化しているために、正当ではないと判定される。

その後の処理は、Ｓ７０７で、ＢＩＯＳプログラム４０１の正当性検証の結果に依存して分岐する。ＢＩＯＳプログラム４０１が正当であると判定された場合、処理はＳ７０８へ進む。Ｓ７０８で、サブＣＰＵ１２２は、ＧＰＩＯ３０３を制御して、検証完了通知信号をアサートすることにより、リセット制御部１３１へ検証の完了を通知する。そして、処理はＳ７０９へ進む。一方、ＢＩＯＳプログラム４０１が正当ではないと判定された場合、Ｓ７０８が実行されることなく、処理はＳ７０９へ進む。

上述したＳ７０２〜Ｓ７０８を実行している間、サブＣＰＵ１２２は、リセット制御部１３１への周期的な第１クリア信号の出力を継続する。具体的には、まず、サブＣＰＵ１２２によりタイマ回路３１２が起動される。ＧＰＩＯ３０３のポートは初期化され、例えば検証完了通知信号の信号レベルは“Ｌｏ”に設定される。そして、タイマ回路３１２がカウンタ値をインクリメントすることにより、タイマが進行する。

サブＣＰＵ１２２は、例えば、タイマ回路３１２からの割込みに応じて、第１クリア信号の出力周期が経過したかを判定する。第１クリア信号の出力周期が経過した場合、サブＣＰＵ１２２は、ＧＰＩＯ３０３を制御して第１クリア信号をリセット制御部１３１へ出力し、及び、タイマ回路３１２のカウンタ値をクリアする。

Ｓ７０９で、サブＣＰＵ１２２は、電力を節約するために、スリープ状態へ移行する。スリープ状態において、サブＣＰＵ１２２は、第１クリア信号を出力しない（又はアサートしない）。サブＣＰＵ１２２のスリープ状態は、ＭＦＰ１のシステムリセットが実行されるまで維持されてよい。但し、サブＣＰＵ１２２をプログラムの正当性の検証以外の用途に再利用するために、サブＣＰＵ１２２をスリープ状態へ移行させなくてもよく、又は一旦スリープ状態へ移行したサブＣＰＵ１２２が（例えば、割込み信号に応じて）通常状態へ戻ってもよい。

図７に示した例では、サブＣＰＵ１２２は、プログラムの正当性の検証に失敗した場合に、即座にＳ７０９でスリープ状態へ移行する。結果的に、リセット制御部１３１へクリア信号が入力されなくなり、ＷＤＴのタイムアウトが発生し、サブＣＰＵ１２２及びメインＣＰＵ１０１はリセットされる。こうした構成によれば、サブＣＰＵファームウェア４０４のプログラムコードを最小にすることができる。Ｓ７０８を経てＳ７０９でサブＣＰＵ１２２がスリープ状態へ移行した場合には、メインＣＰＵ１０１がリセット制御部１３１へ第２クリア信号を出力するため、メインＣＰＵ１０１に異常が発生しない限り、システムリセットは行われない。

＜３−３．メインＣＰＵによる処理＞
図８は、本実施形態に係るメインＣＰＵ１０１により実行される処理の流れの一例を示すフローチャートである。

まず、Ｓ８０１で、メインＣＰＵ１０１は、リセット解除に応じて、ＢＩＯＳプログラムをフラッシュＲＯＭ１２１からＤＲＡＭ１０２へ読出す。次いで、Ｓ８０２で、メインＣＰＵ１０１は、読出したＢＩＯＳプログラムを実行する。それにより、メインＣＰＵ１０１の基本的な入出力機能が初期化される。

次いで、Ｓ８０３で、メインＣＰＵ１０１は、ＯＳを構成するプログラムをＨＤＤ１０８からＤＲＡＭ１０２へ読出す。次いで、Ｓ８０４で、メインＣＰＵ１０１は、読出したプログラムを実行することにより、ＭＦＰ１のＯＳを起動する。次いで、Ｓ８０５で、メインＣＰＵ１０１は、ＭＦＰ１のモジュール（例えば、操作Ｉ／Ｆ１０３、ネットワークＩ／Ｆ１０４、プリンタ１０５、スキャナ１０６、ＦＡＸ１０７及び画像処理部１０９）の各々を初期化して、ＭＦＰ１をセットアップする。その結果、Ｓ８０６で、ＭＦＰ１は、通常の動作を行うことが可能となる。ＭＦＰ１の動作は、例えばユーザ操作を通じてＭＦＰ１の動作終了が指示されるまで継続される（Ｓ８０７）。

上述したＳ８０２〜Ｓ８０６を実行している間、メインＣＰＵ１０１は、リセット制御部１３１への周期的な第２クリア信号の出力を継続する。具体的には、まず、メインＣＰＵ１０１によりソフトウェアタイマが起動される。ソフトウェアタイマは、内部変数であるカウンタ値をインクリメントすることにより進行する。メインＣＰＵ１０１は、第２クリア信号の出力周期が経過したと判定すると、第２クリア信号をリセット制御部１３１へ出力して、リセット制御部１３１の制御レジスタ（例えば、ＷＤＴクリアレジスタ）に所定の値（例えば、“１”）を書込む。同時に、メインＣＰＵ１０１は、ソフトウェアタイマのカウンタ値をクリアする。Ｓ８０８でＭＦＰ１の動作が終了する場合（又はメインＣＰＵ１０１に何らかの異常が発生した場合）、第２クリア信号の出力は停止する。

＜３−４．ＷＤＴによる処理＞
図９は、本実施形態に係るＷＤＴ１３３により実行される処理の流れの一例を示すフローチャートである。

まず、Ｓ９０１で、ＷＤＴ１３３は、給電の開始に応じて、タイマ回路５０２を起動し、タイマ回路５０２による計時を開始させる。Ｓ９０２で、タイマは進行し、即ちタイマ回路５０２がカウンタ値をインクリメントする。ＷＤＴ１３３は、Ｓ９０３で、サブＣＰＵ１２２からの検証完了の通知を待ち受ける。

サブＣＰＵ１２２からの検証完了が通知されるまで、ＷＤＴ１３３は、Ｓ９０４で、サブＣＰＵ１２２からの第１クリア信号の入力を監視する。サブＣＰＵ１２２から第１クリア信号が入力された場合、ＷＤＴ１３３は、Ｓ９０５で、タイマ回路５０２のカウンタ値をクリアし、計時をゼロから再開させる。その後、処理はＳ９０２へ戻る。サブＣＰＵ１２２から第１クリア信号が入力されない場合、ＷＤＴ１３３は、Ｓ９０６で、タイマ回路５０２のカウンタ値がタイムアウト閾値に達したかを判定する。カウンタ値がタイムアウト閾値に達していない場合、処理はＳ９０２へ戻る。カウンタ値がタイムアウト閾値に達した場合、処理はＳ９２０へ進む。

サブＣＰＵ１２２からの検証完了が通知されると、ＷＤＴ１３３は、Ｓ９１１で、メインＣＰＵ１０１によるクリア制御の監視を開始する。Ｓ９１２で、タイマは引き続き進行する。Ｓ９１３で、ＷＤＴ１３３は、メインＣＰＵ１０１からの第２クリア信号の入力（例えば、ＷＤＴクリアレジスタへの書込み）を監視する。メインＣＰＵ１０１から第２クリア信号が入力された場合、ＷＤＴ１３３は、Ｓ９１４で、タイマ回路５０２のカウンタ値をクリアし、計時をゼロから再開させる。その後、処理はＳ９１２へ戻る。メインＣＰＵ１０１から第２クリア信号が入力されない場合、ＷＤＴ１３３は、Ｓ９１５で、タイマ回路５０２のカウンタ値がタイムアウト閾値に達したかを判定する。カウンタ値がタイムアウト閾値に達していない場合、処理はＳ９１２へ戻る。カウンタ値がタイムアウト閾値に達した場合、処理はＳ９２０へ進む。

Ｓ９２０で、ＷＤＴ１３３は、ＭＦＰ１（サブＣＰＵ１２２又はメインＣＰＵ１０１）に異常が発生したものと見なし、システムリセットをリセット回路１３２へ指示する。

＜３−５．リセット回路による処理＞
図１０は、本実施形態に係るリセット回路１３２により実行される処理の流れの一例を示すフローチャートである。

まず、Ｓ１００１で、リセット回路１３２は、給電の開始に応じて、サブＣＰＵ１２２のリセットを解除する。次いで、Ｓ１００２で、リセット回路１３２は、サブＣＰＵ１２２からの検証完了の通知を待ち受ける。サブＣＰＵ１２２から検証完了が通知されない場合、Ｓ１００３で、リセット回路１３２は、ＷＤＴ１３３からシステムリセットが指示されたかを判定する。システムリセットが指示された場合、処理はＳ１０２０へ進む。一方、システムリセットが指示されない場合、処理はＳ１００２へ戻る。

サブＣＰＵ１２２から検証完了が通知された場合、Ｓ１０１１で、リセット回路１３２は、メインＣＰＵ１０１のリセットを解除する。次いで、Ｓ１０１２で、リセット回路１３２は、ＷＤＴ１３３からのシステムリセットの指示を待ち受ける。システムリセットが指示された場合、処理はＳ１０２０へ進む。

Ｓ１０２０で、リセット回路１３２は、ＷＤＴ１３３からのシステムリセットが指示された（例えば、タイムアウト信号が入力された）ため、メインＣＰＵ１０１及びサブＣＰＵ１２２をリセットする（システムリセット信号を発行する）。

図９及び図１０を用いて説明したようなリセット制御によれば、サブＣＰＵ１２２がプログラムの正当性を検証している間に、ＷＤＴのタイムアウトに起因して無用なシステムリセットが実行されることが防止される。また、正当性の検証が完了する前はサブＣＰＵ１２２が、検証完了後はメインＣＰＵ１０１がＷＤＴのカウンタ値を周期的にクリアすることで、ＷＤＴにおいてタイムアウト閾値を切替える必要性が無く、ＷＤＴの簡易な構成が維持される。

＜＜４．変形例＞＞
本発明は上記実施形態に限定されず、様々な変形が可能である。例えば、上述した実施形態では、サブＣＰＵ１２２が第１クリア信号を周期的に出力し、ＷＤＴ１３３が第１クリア信号の入力の都度タイマ回路５０２のカウンタ値をクリアする例を説明した。これに対し、一変形例において、サブＣＰＵ１２２は第１クリア信号を一度だけ出力し、ＷＤＴ１３３が第１クリア信号の入力に応じてタイマ回路５０２による計時を停止してもよい。タイマ回路５０２による計時は、例えばプログラムの正当性の検証が成功した後に再開され得る。こうした変形例によれば、サブＣＰＵ１２２による周期的な信号出力を不要とし、サブＣＰＵファームウェア４０４のサイズを削減することができる。この変形例に係るＷＤＴ１３３により実行される処理の流れの一例を、図１１に示している。

まず、Ｓ１１０１で、ＷＤＴ１３３は、給電の開始に応じて、タイマ回路５０２を起動し、タイマ回路５０２による計時を開始させる。Ｓ１１０２で、タイマは進行し、即ちタイマ回路５０２がカウンタ値をインクリメントする。ＷＤＴ１３３は、Ｓ１１０３で、サブＣＰＵ１２２からの検証完了の通知を待ち受ける。

サブＣＰＵ１２２からの検証完了が通知されるまで、ＷＤＴ１３３は、Ｓ１１０４で、サブＣＰＵ１２２からの第１クリア信号の入力を監視する。サブＣＰＵ１２２から第１クリア信号が入力された場合、ＷＤＴ１３３は、Ｓ１１０５で、タイマ回路５０２のカウンタ値をクリアし、Ｓ１１０６で、計時を停止する。その後、ＷＤＴ１３３は、引き続きサブＣＰＵ１２２からの検証完了の通知を待ち受ける。

サブＣＰＵ１２２から第１クリア信号が入力されない場合、ＷＤＴ１３３は、Ｓ１１０８で、タイマ回路５０２のカウンタ値がタイムアウト閾値に達したかを判定する。カウンタ値がタイムアウト閾値に達していない場合、処理はＳ１１０２へ戻る。カウンタ値がタイムアウト閾値に達した場合、処理はＳ１１２０へ進む。なお、Ｓ１１０８の判定は、Ｓ１１０６で計時が停止されている場合には行われなくてよい。

サブＣＰＵ１２２からの検証完了が通知されると、ＷＤＴ１３３は、Ｓ１１１１で、メインＣＰＵ１０１によるクリア制御の監視を開始する。Ｓ１１０６で計時が停止されている場合には、ＷＤＴ１３３は、検証完了の通知に応じて計時を再開する。Ｓ１１１２で、タイマは進行する。Ｓ１１１３で、ＷＤＴ１３３は、メインＣＰＵ１０１からの第２クリア信号の入力（例えば、ＷＤＴクリアレジスタへの書込み）を監視する。メインＣＰＵ１０１から第２クリア信号が入力された場合、ＷＤＴ１３３は、Ｓ１１１４で、タイマ回路５０２のカウンタ値をクリアし、計時をゼロから再開させる。その後、処理はＳ１１１２へ戻る。メインＣＰＵ１０１から第２クリア信号が入力されない場合、ＷＤＴ１３３は、Ｓ１１１５で、タイマ回路５０２のカウンタ値がタイムアウト閾値に達したかを判定する。カウンタ値がタイムアウト閾値に達していない場合、処理はＳ１１１２へ戻る。カウンタ値がタイムアウト閾値に達した場合、処理はＳ１１２０へ進む。

Ｓ１１２０で、ＷＤＴ１３３は、ＭＦＰ１（サブＣＰＵ１２２又はメインＣＰＵ１０１）に異常が発生したものと見なし、システムリセットをリセット回路１３２へ指示する。

他の変形例において、サブＣＰＵ１２２は、正当性検証の対象のプログラムが正当ではないと判定した場合に、当該プログラムの復旧用バージョンを用いて、当該プログラムを復旧してもよい。こうしたプログラムの復旧用バージョンを、ゴールデンマスタともいう。ゴールデンマスタは、例えば、サブＣＰＵ１２２によりアクセス可能なＲＯＭの保護領域（書換え不能な領域）に予め記憶される。そして、サブＣＰＵ１２２は、プログラムの検証に失敗した場合に、スリープ状態へ移行する代わりに、ゴールデンマスタを検証に失敗したプログラムに上書きする。その後、システムリセットが行われることで、復旧したプログラムを用いてＭＦＰ１が正常に起動し得る。本変形例において、サブＣＰＵ１２２は、プログラムを復旧している間にも、周期的にリセット制御部１３１へ第１クリア信号を出力して、ＷＤＴのカウンタ値をクリアさせる。それにより、ゴールデンマスタを用いたプログラムの復旧の途中でシステムリセットが実行されることを回避し、システムリセットの無用な再実行及びプログラムの破損といった不具合を防止することができる。

他の変形例において、リセット制御部１３１は、サブＣＰＵ１２２からの第１クリア信号の入力回数を計数し、当該入力回数が閾値を上回る場合に、第１クリア信号の入力に応じてＷＤＴのカウンタ値をクリアしなくてもよい。かかる構成によれば、サブＣＰＵ１２２において処理が無限ループに陥っているなどの原因で、第１クリア信号は出力されるものの検証が終了せずシステムが起動しない不具合が発生した場合に、システムリセットを強制的に実行してその不具合を解消できる。

また別の変形例において、リセット制御部１３１は、ＷＤＴがタイムアウトする前に、第１クリア信号の出力をサブＣＰＵ１２２へ要求してもよい。サブＣＰＵ１２２は、自らに異常が発生していない場合には、リセット制御部１３１からの当該要求に応じて、第１クリア信号をリセット制御部１３１へ出力し得る。かかる構成によれば、サブＣＰＵ１２２において何らかの原因で第１クリア信号の出力が遅延しているものの、プログラムの検証は成功裏に終了し得る見込みである場合に、システムリセットを回避してシステムの起動を助けることができる。

なお、上で言及したいずれの信号についても、信号の形式は説明したものとは異なってよい。例えば、各信号の極性又は信号レベル（“Ｈｉ”又は“Ｌｏ”）は、説明した例とは逆であってもよい。また、リセット制御部１３１は、電源制御部１３０に含まれる代わりに、電源制御部１３０から独立したモジュールとして信号バス１１０へ接続されてもよい。また、ＭＦＰ１の構成要素の一部が、システムオンチップ（ＳｏＣ）へ集積されてもよい。

＜＜５．まとめ＞＞
ここまで、図１〜図１０を用いて、本開示の実施形態について詳細に説明した。上述した実施形態では、検証手段により正当であると判定されたプログラムを実行手段が実行する情報処理装置において、実行手段がリセット制御用のタイマ（ＷＤＴ）へアクセス可能となる前に、検証手段がＷＤＴへアクセスしてカウンタ値をクリアする。ＷＤＴは、カウンタ値が所定のタイムアウト閾値に達した場合に、検証手段及び実行手段をリセットする。かかる構成によれば、主たるプロセッサ（実行手段）が動作する前の、補助的なプロセッサ（検証手段）によるプログラムの正当性検証が完了する前にＷＤＴがタイムアウトすることが回避される。それにより、検証が正常に進行している間にシステムリセットがトリガされないため、システムの正常な起動を担保することが可能となる。

上述した実施形態では、検証手段は、上記タイムアウト閾値よりも短い出力周期で、ＷＤＴのカウンタ値を周期的にクリアし得る。かかる構成によれば、単一のカウンタ値を参照する既存のＷＤＴの構成を大きく変更することなく、システムの起動を阻害しない形で、ＷＤＴを有するシステムにセキュアブート技術を組合せることができる。また、検証手段に異常が発生した場合には、その異常をＷＤＴのタイムアウトによって捕捉して、システムリセットを実行することができる。

また、上述した実施形態では、検証手段は、上記プログラムが正当であると判定した場合に、ＷＤＴのカウンタ値をクリアするためのクリア信号の周期的な出力を停止し得る。かかる構成によれば、実行手段が動作を開始した後に、検証手段によってＷＤＴのカウンタ値がクリアされないため、主たるプロセッサである実行手段の異常をも適切にＷＤＴによって捕捉することができる。

また、上述した実施形態では、検証手段は、上記プログラムが正当であると判定した場合に、上記プログラムの検証完了をリセット制御手段へ通知し、その通知に応じて、ＷＤＴにおける実行手段からのクリア信号の監視が開始され得る。かかる構成によれば、ＷＤＴは、検証完了の通知の前には検証手段からのクリア信号のみを、検証完了の通知の後には実行手段からのクリア信号のみを監視すればよいため、ＷＤＴの動作の負荷が増大することを回避することができる。

＜＜６．その他の実施形態＞＞
上記実施形態は、１つ以上の機能を実現するプログラムをネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読み出して実行する処理の形式でも実現可能である。また、１つ以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

本発明は上述した実施形態に制限されるものではなく、発明の精神及び範囲から逸脱することなく、様々な変更及び変形が可能である。したがって、発明の範囲を公にするために請求項を添付する。

１：ＭＦＰ（情報処理装置）、１０１：メインＣＰＵ（実行手段）、１２２：サブＣＰＵ（検証手段）、１３１：リセット制御部、１３３：ＷＤＴ（タイマ）、１３７：第２クリア信号、１４０：第１クリア信号

Claims (12)

1. プログラムの正当性を検証する検証手段と、
   所定の期間外部からのアクセスが無い場合に、システムリセット信号を発行するリセット制御手段と、
   前記検証手段により正当であると判定された前記プログラムを実行する実行手段であって、前記プログラムの起動後に前記リセット制御手段へアクセス可能となる当該実行手段と、
   を備え、
   前記検証手段は、前記実行手段が前記リセット制御手段へアクセス可能となる前に、前記リセット制御手段へアクセスする、
   情報処理装置。
2. 請求項１に記載の情報処理装置であって、前記検証手段は、前記所定の期間よりも短い出力周期で、第１クリア信号を周期的に前記リセット制御手段へ出力して、前記リセット制御手段にタイマの値をクリアさせる、情報処理装置。
3. 請求項２に記載の情報処理装置であって、前記検証手段は、前記プログラムが正当であると判定した場合に、前記第１クリア信号の周期的な出力を停止する、情報処理装置。
4. 請求項２又は３に記載の情報処理装置であって、
   前記検証手段は、前記プログラムが正当であると判定した場合に、前記プログラムの検証完了を前記リセット制御手段へ通知し、
   前記リセット制御手段は、前記検証手段からの前記検証完了の前記通知に応じて、前記実行手段からの第２クリア信号の監視を開始する、
   情報処理装置。
5. 請求項４に記載の情報処理装置であって、前記実行手段は、動作中に、前記所定の期間よりも短い出力周期で前記リセット制御手段へ前記第２クリア信号を出力して、前記リセット制御手段に前記タイマの値をクリアさせる、情報処理装置。
6. 請求項２乃至５のいずれか１項に記載の情報処理装置であって、前記リセット制御手段は、前記検証手段からの前記第１クリア信号の入力回数を計数し、前記入力回数が閾値を上回る場合には前記第１クリア信号の入力に応じて前記タイマの値をクリアしない、情報処理装置。
7. 請求項２又は３に記載の情報処理装置であって、前記リセット制御手段は、前記第１クリア信号の出力を前記検証手段へ要求し、前記要求に応じて前記検証手段から前記第１クリア信号が入力されない場合に、前記システムリセット信号を発行する、情報処理装置。
8. 請求項１乃至７のいずれか１項に記載の情報処理装置であって、
   前記検証手段は、前記プログラムが正当ではないと判定した場合に、前記プログラムの復旧用バージョンを用いて前記プログラムを復旧し、
   前記検証手段は、前記プログラムを復旧している間に、前記リセット制御手段へアクセスする、
   情報処理装置。
9. 請求項１に記載の情報処理装置であって、
   前記検証手段は、前記実行手段が前記リセット制御手段へアクセス可能となる前に、前記リセット制御手段へクリア信号を出力し、
   前記リセット制御手段は、前記クリア信号の入力に応じて、タイマの値をクリアし且つ計時を停止する、
   情報処理装置。
10. 請求項９に記載の情報処理装置であって、
    前記検証手段は、前記プログラムが正当であると判定した場合に、前記プログラムの検証完了を前記リセット制御手段へ通知し、
    前記リセット制御手段は、前記検証手段からの前記検証完了の前記通知に応じて、前記計時を再開する、
    情報処理装置。
11. 請求項１乃至１０のいずれか１項に記載の情報処理装置であって、前記プログラムは、前記情報処理装置のＢＩＯＳ（Basic Input/Output System）プログラムを含む、情報処理装置。
12. プログラムの正当性を検証する検証手段と、
    所定の期間外部からのアクセスが無い場合に、システムリセット信号を発行するリセット制御手段と、
    前記検証手段により正当であると判定された前記プログラムを実行する実行手段であって、前記プログラムの起動後に前記リセット制御手段へアクセス可能となる当該実行手段と、
    を備える情報処理装置において行われるリセット制御方法であって、
    前記実行手段が前記リセット制御手段へアクセス可能となる前に、前記検証手段が前記リセット制御手段へアクセスすること、
    を含むリセット制御方法。

Images