JP2021089607A - Information processing apparatus - Google Patents
Information processing apparatus Download PDFInfo
- Publication number
- JP2021089607A JP2021089607A JP2019219857A JP2019219857A JP2021089607A JP 2021089607 A JP2021089607 A JP 2021089607A JP 2019219857 A JP2019219857 A JP 2019219857A JP 2019219857 A JP2019219857 A JP 2019219857A JP 2021089607 A JP2021089607 A JP 2021089607A
- Authority
- JP
- Japan
- Prior art keywords
- timer
- cpu
- time
- program
- reset
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Landscapes
- Debugging And Monitoring (AREA)
Abstract
Description
本発明は、情報処理装置に関するものである。 The present invention relates to an information processing device.
ソフトウェアのハングアップ等が原因でシステムの正常動作が難しくなった場合、システム全体のリセットを実行して自動復旧を試みることを目的として、ウォッチドッグタイマ（Watch Dog Timer：ＷＤＴ）が活用されてきた。ＷＤＴは、システムの動作中にカウンタ等によって計時を行い、そのカウンタに対するクリア制御が一定時間内に行われない場合、システムに異常が発生しているとみなし、強制的にシステムリセットを実行する。一般的に、カウンタに対するクリア制御は、システム制御を統括するメインＣＰＵにより行われる。ＷＤＴはカウント値のクリア制御を受けると、それまでの計時値をリセットして、初期値から計時を再開する。例えば、特許文献１には、複数のＣＰＵが同時に動作する場合に、各ＣＰＵが適切に動作していることを確認できるＷＤＴが記載されている。 The Watch Dog Timer (WDT) has been used for the purpose of resetting the entire system and attempting automatic recovery when the normal operation of the system becomes difficult due to software hang-up or the like. .. The WDT measures the time with a counter or the like during the operation of the system, and if the clear control for the counter is not performed within a certain period of time, the WDT considers that an abnormality has occurred in the system and forcibly executes a system reset. Generally, the clear control for the counter is performed by the main CPU that controls the system control. When the WDT receives the clear control of the count value, it resets the previous timekeeping value and restarts the timekeeping from the initial value. For example, Patent Document 1 describes a WDT that can confirm that each CPU is operating properly when a plurality of CPUs are operating at the same time.
一方で、起動プログラムが改竄されていないことを検証しながらシステムを起動するセキュアブートを導入したＭＦＰ（Multi-function peripheral）が近年導入されつつある。このようなＭＦＰは、ユーザによる電源スイッチのオン等によって行われるシステム起動の中で、最初にＢＩＯＳ（Basi Input/Output System）やファームウェアに対する改竄の有無を検証することで、システムの起動中に、ソフトウェアの安全性を担保する。ここで検証の結果ＮＧが発生すると、システムの起動の強制停止や、改竄されていると判定されたソフトウェアの復旧を実施する。ソフトウェアの復旧は、予め外部からの書き込みが不可能な領域にマスタデータを保持しておき、ソフトウェアの復旧が必要になった場合、そのＮＧと判定されたデータをマスタデータで上書きすることで、ソフトソフトウェアを復旧する。尚、上述したプログラムの改竄の有無の検証は、起動プログラムを実行するＣＰＵ自身は、その起動プログラムの改竄を検知できないため、起動プログラムを実行するＣＰＵとは異なるサブＣＰＵにより、その起動プログラムの改竄の有無を検証している。 On the other hand, in recent years, MFPs (Multi-function peripherals) that have introduced secure boot to boot the system while verifying that the boot program has not been tampered with have been introduced. Such an MFP first verifies whether or not the BIOS (Basi Input / Output System) and firmware have been tampered with during system startup performed by the user turning on the power switch, etc., so that during system startup, Ensure software safety. If NG occurs as a result of verification here, the system startup is forcibly stopped and the software determined to have been tampered with is restored. To recover the software, the master data is held in advance in an area that cannot be written from the outside, and when the software needs to be recovered, the data determined to be NG is overwritten with the master data. Recover software software. In the above-mentioned verification of whether or not the program has been tampered with, the CPU that executes the startup program itself cannot detect the alteration of the startup program, so that the startup program is tampered with by a sub CPU different from the CPU that executes the startup program. We are verifying the existence of.
上述したプログラムの改竄の有無を検証するシステムでは、サブＣＰＵがブートコードの改竄の有無を検証する間、ＷＤＴをクリアできるメインＣＰＵが動作できない。そのため、ブートコードの復旧が必要となった場合、メインＣＰＵの起動までに要する時間が更に長くなる。そのため、システムとしては正常に動作しているにも拘わらず、ＷＤＴのタイムアウト時間に到達してしまい、不必要なリセットが実行されてしまうおそれがあった。 In the system for verifying the presence or absence of falsification of the program described above, the main CPU capable of clearing the WDT cannot operate while the sub CPU verifies the presence or absence of falsification of the boot code. Therefore, when it is necessary to recover the boot code, the time required to start the main CPU becomes longer. Therefore, even though the system is operating normally, the WDT timeout time may be reached and an unnecessary reset may be executed.
本発明の目的は、上記従来技術の問題点の少なくとも一つを解決することにある。 An object of the present invention is to solve at least one of the problems of the prior art.
本発明の目的は、プログラムの検証により異常が検出され、そのプログラムの復旧処理を行った後、装置が起動するときにＷＤＴによるリセットが実行されるのを防止する技術を提供することにある。 An object of the present invention is to provide a technique for preventing an abnormality is detected by verification of a program, and after the recovery process of the program is performed, a reset by WDT is executed when the device is started.
上記目的を達成するために本発明の一態様に係る情報処理装置は以下のような構成を備える。即ち、
情報処理装置であって、
プログラムを実行して前記情報処理装置を制御する第１ＣＰＵと、
前記プログラムを検証する第２ＣＰＵと、
前記情報処理装置の動作中に計時を行い、当該計時のクリア制御が第１所定時間内に行われない場合にリセット信号を出力する第１タイマ手段と、
前記第２ＣＰＵが前記プログラムの検証で異常を検知したときに計時を行い、当該計時のクリア制御が第２所定時間内に行われない場合にリセット信号を出力する第２タイマ手段と、
前記第１タイマ手段及び前記第２タイマ手段からのリセット信号に基づいて前記第１ＣＰＵ及び前記第２ＣＰＵへのリセット信号を生成するリセット手段と、を有し、
前記第２ＣＰＵは、前記プログラムの検証で異常を検知すると前記第１タイマ手段による計時を停止させ、前記第２タイマ手段による計時を開始させて前記プログラムの復旧処理を行うことを特徴とする。
In order to achieve the above object, the information processing apparatus according to one aspect of the present invention has the following configuration. That is,
It is an information processing device
A first CPU that executes a program and controls the information processing device,
The second CPU that verifies the program and
A first timer means that measures time during the operation of the information processing device and outputs a reset signal when the clear control of the time is not performed within the first predetermined time.
A second timer means that measures the time when the second CPU detects an abnormality in the verification of the program and outputs a reset signal when the clear control of the time is not performed within the second predetermined time.
It has a reset means for generating a reset signal to the first CPU and the second CPU based on the reset signal from the first timer means and the second timer means.
The second CPU is characterized in that when an abnormality is detected in the verification of the program, the time counting by the first timer means is stopped, the time counting by the second timer means is started, and the recovery process of the program is performed.
本発明によれば、プログラムの改竄が検出されて、その復旧処理を実行する場合でも、ＷＤＴを適切に動作させることができるという効果がある。 According to the present invention, there is an effect that the WDT can be properly operated even when the falsification of the program is detected and the recovery process is executed.
本発明のその他の特徴及び利点は、添付図面を参照とした以下の説明により明らかになるであろう。なお、添付図面においては、同じ若しくは同様の構成には、同じ参照番号を付す。 Other features and advantages of the present invention will become apparent in the following description with reference to the accompanying drawings. In the attached drawings, the same or similar configurations are designated by the same reference numbers.
添付図面は明細書に含まれ、その一部を構成し、本発明の実施形態を示し、その記述と共に本発明の原理を説明するために用いられる。
以下、添付図面を参照して本発明の実施形態を詳しく説明する。尚、以下の実施形態は特許請求の範囲に係る発明を限定するものでない。実施形態には複数の特徴が記載されているが、これら複数の特徴の全てが発明に必須のものとは限らず、また、複数の特徴は任意に組み合わせられてもよい。さらに、添付図面においては、同一もしくは同様の構成に同一の参照番号を付し、重複した説明は省略する。なお、実施形態では、ブートコードの改竄検知時における改竄検知方法の一実施形態として、複合機（ＭＦＰ）を例に本発明に係る情報処理装置の一例を説明する。尚、特に断らない限り、本発明の機能が実行されるのであれば、単体の機器であっても、複数の機器からなるシステムであっても、本発明を適用できることは言うまでもない。 Hereinafter, embodiments of the present invention will be described in detail with reference to the accompanying drawings. The following embodiments do not limit the invention according to the claims. Although a plurality of features are described in the embodiment, not all of the plurality of features are essential to the invention, and the plurality of features may be arbitrarily combined. Further, in the attached drawings, the same or similar configurations are designated by the same reference numbers, and duplicate explanations are omitted. In the embodiment, as an embodiment of the falsification detection method at the time of falsification detection of the boot code, an example of the information processing apparatus according to the present invention will be described by taking a multifunction device (MFP) as an example. It goes without saying that the present invention can be applied to a single device or a system composed of a plurality of devices as long as the functions of the present invention are executed unless otherwise specified.
図１は、本発明の実施形態に係る複合機（ＭＦＰ）１のハードウェアの構成を説明するブロック図である。 FIG. 1 is a block diagram illustrating a hardware configuration of a multifunction device (MFP) 1 according to an embodiment of the present invention.
メインＣＰＵ（Central Processing Unit）１０１は、ＭＦＰ１全体の制御を司る。ＤＲＡＭ（Dynamic Random Access Memory）１０２は、メインＣＰＵ１０１で実行されるプログラムを格納すると共に、一時的に各種データを保存するワークエリアとして機能する。操作部１０３は、操作部Ｉ／Ｆ１１３を介してメインＣＰＵ１０１にユーザによる操作を通知する。ネットワークＩ／Ｆ１０４は、ＬＡＮ１３０と接続して外部機器と通信を行う。プリンタ部１０５は、画像データを紙面上に印刷する。スキャナ部１０６は、紙面上の画像を光学的に読み取り電気信号に変換してスキャン画像データを生成する。ＦＡＸ部１０７は、公衆回線１１０と接続して外部機器とファクシミリ通信を行う。ＨＤＤ（ハードデスクドライブ）１０８は、メインＣＰＵ１０１で実行されるプログラムを格納すると共に、プリントジョブやスキャンジョブ等のスプール領域としても利用される。また、スキャン画像を保管し再利用するための領域としても利用される。信号バス１０９は、各モジュールを相互に接続して通信を行う。公衆回線１１０は、ＦＡＸ部１０７と外部機器を相互接続する。画像処理部１１１は、ネットワークＩ／Ｆ１０４を介して受信したプリントジョブをプリンタ部１０５で印刷するのに適した画像データに変換したり、スキャナ部１０６で読み取ったスキャン画像のノイズ除去や色空間変換、回転、圧縮等の処理を実行する。更に画像処理部１１１は、ＨＤＤ１０８に保管されたスキャン画像の画像処理を実行する。フラッシュＲＯＭ１１２は、メインＣＰＵ１０１で実行されるブートコードを含むプログラムを格納すると共に、ＭＦＰ１のデフォルト設定値等を記憶する。操作部Ｉ／Ｆ１１３は、操作部１０３と信号バス１０９を相互接続する。ＳＰＩバス１１４は、メインＣＰＵ１０１、フラッシュＲＯＭ１１２、サブＣＰＵ１１５を相互接続する。
The main CPU (Central Processing Unit) 101 controls the entire MFP1. The DRAM (Dynamic Random Access Memory) 102 stores a program executed by the
サブＣＰＵ１１５は、ＭＦＰ１の起動時に、メインＣＰＵ１０１が起動する前にフラッシュＲＯＭ１１２からブートコードを読み出して、ブートコードが改竄されていないか検証を行う。改竄の検知方法としては、例えばブートコードのデジタル署名の公開鍵情報（ハッシュ値を公開鍵暗号化した値）を、製造時にサブＣＰＵ１１５のＯＴＰ（One Time Programable）３０４領域（図３）に記憶させておき、読み出したブートコードをこの公開鍵情報で復号化して検証を行う。公開鍵暗号の方法としてはＲＳＡ２０４８、ＥＣＤＳＡなどがある。
The
メインＣＰＵのリセット信号１１７は、電源制御部１１８のＧＰＩＯポートから出力されて、メインＣＰＵ１０１のリセット端子に接続される。リセット信号１１７は、後に図７で詳細に説明する改竄検証が完了し、改竄無しとサブＣＰＵ１１５が判定した場合に、ロウレベルからハイレベルに遷移する。ここで、ロウレベルとは「０」を示す電気信号の状態を示す。またハイレベルとは「１」を示す電気信号の状態を表す。リセット信号１１７がハイレベルになると、メインＣＰＵ１０１はリセットが解除されて起動を開始する。
The
電源制御部１１８は、ＭＦＰ１内の各モジュールの電力供給を制御するとともに、その内部に、後述するＷＤＴ部１４０及びリセット回路１２２を有している。また電源制御部１１８は信号バス１０９に接続されており、メインＣＰＵ１０１で動作するソフトウェアによる各種制御レジスタへのアクセスが可能な構成になっている。電源線１１９は、各モジュールに電力を供給する。電源供給線１２０は、商業用ＡＣ電源を供給している。
The power
リセット回路１２２は、サブＣＰＵ１１５、及びメインＣＰＵ１０１に対するリセット信号の制御を行う。リセット回路１２２は、システムの電源がオンされると、サブＣＰＵのリセット信号１２３をロウレベルからハイレベルに遷移する。サブＣＰＵ１１５のリセット信号１２３は、リセット回路１２２から出力されてサブＣＰＵ１１５のリセット端子に接続される。サブＣＰＵ１１５のリセット信号１２３がハイレベルになると、サブＣＰＵ１１５はリセットが解除されて起動を開始する。またリセット回路１２２は、後述する改竄検証完了通知信号１３１がサブＣＰＵ１１５から入力されると、メインＣＰＵ１０１のリセット信号１１７をハイレベルにしてリセットを解除する。更に、リセット回路１２２は、後述するＷＤＴ部１４０からの制御によりメインＣＰＵ１０１、及びサブＣＰＵ１１５をリセットする。
The
改竄検証完了通知信号１３１は、サブＣＰＵ１１５がブートコードに改竄がないことを確認し、正常に検証が完了したことを通知するための信号である。改竄検証完了通知信号１３１は、サブＣＰＵ１１５のＧＰＩＯポートから出力されて、電源制御部１１８に備えられるリセット回路１２２に接続される。実施形態において、改竄検証完了通知信号１３１の初期値はロウレベルであり、通知を行う場合はハイレベルとする。リセット回路１２２は、改竄検証完了通知信号１３１がハイレベルになると、メインＣＰＵ１０１のリセット信号１１７をハイレベルとすることでメインＣＰＵ１０１のリセット解除する。
The falsification verification
ネットワークＩ／Ｆ用フラッシュＲＯＭ１３３は、ネットワークＩ／Ｆ１０４が動作するために必要なファームウェアを記憶している。ＷＤＴ部１４０は、システムの電源がオンされると、所定の遅延時間後にＷＤＴ部１４０の内部に備えられるタイマ回路によるカウントを開始する。ＷＤＴ部１４０は、予め設定されたタイムアウト値にカウント値が到達すると、強制システムリセット信号１３２をハイレベルにすることで、リセット回路１２２にシステムリセットを実行するよう指示する。ＷＤＴ部１４０は、後述するタイマ切り替え信号１４１（図５）の信号レベルによって、内部に保有する２つのタイマの内の一つを選択してカウントを行う。タイマ切り替え信号１４１の信号レベルは、サブＣＰＵ１１５による改竄検証処理の結果、改竄の形跡が有り、復旧が必要と判断された場合の復旧処理の前後でサブＣＰＵ１１５によってハイレベル又はロウレベルに変更される。実施形態において、通常時に用いられるタイマは、タイマ切り替え信号１４１の信号レベルがロウレベルの場合に選択される。
The network I /
また実施形態において、サブＣＰＵ１１５が処理完了までに時間を要する処理を実行する際に選択する、タイムアウトまでの時間が長いタイマはタイマ切り替え信号１４１の信号レベルがハイレベルの場合に選択されるものとする。実施形態におけるタイマ切り替え信号１４１の初期値はロウレベルであるものとする。
Further, in the embodiment, the timer with a long time-out time selected when the
ＷＤＴ部１４０は、ＣＰＵ１０１からのタイマ５０２（図５）のクリア制御レジスタへの書き込み、もしくはタイマ切り替え信号１４１の信号レベルが変化してカウントに使用されるタイマが切り替わることをトリガとして、カウント値を初期値へ戻して再度カウントを行うように構成される。
The
リセット回路１２２は、強制システムリセット信号１３２がハイレベルになると、リセット信号１１７、リセット信号１２３をロウレベルに変更することで、メインＣＰＵ１０１、及びサブＣＰＵ１１５をリセットする。リセット回路１２２は更に不図示のリセット信号を通じて、ＭＦＰ１を構成する各モジュールをリセットできるようにすることもできる。ＷＤＴクリア信号１４１は、ＷＤＴ部１４０に設定されているタイムアウト時間間隔よりも短い間隔でサブＣＰＵ１１５からＷＤＴ部１４０に出力される。
When the forced system reset
図２は、実施形態に係るメインＣＰＵ１０１の構成を説明するブロック図である。
FIG. 2 is a block diagram illustrating a configuration of the
ＣＰＵコア２０１は、ＣＰＵの基本機能を担っている。実施形態では、ＣＰＵ１０１が起動すると、信号バス１０９を通じてＷＤＴ部１４０にタイマ５０２（図５）のクリア制御を行うことで、ＷＤＴ部１４０によるリセット制御を抑制する。ＳＰＩマスタ２０２は、ＳＰＩマスタ２０２と外部ＳＰＩデバイスとを電気的に接続するＳＰＩバス１１４を介し、外部のＳＰＩデバイスとのデータの読み書きを行う。信号バスインターフェース２０３は、信号バス１０９とメインＣＰＵ１０１内の信号バス２０９とを接続する。信号バス２０９は、メインＣＰＵ１０１内の各モジュールを接続する。リセット信号１１７がロウレベルのときはメインＣＰＵ１０１はリセット状態となり、リセット信号１１７がハイレベルのとき、メインＣＰＵ１０１はリセット解除状態となる。
The
実施形態では、サブＣＰＵ１１５によって、サブＣＰＵファームウェア（ＦＷ）４０４（図４）及び、メインＣＰＵ ＢＩＯＳ４０１（図４）が改竄されてないことが確認されると、サブＣＰＵ１１５と電源制御部１１８とによってリセット信号１１７が制御されてメインＣＰＵ１０１のリセットが解除される。これによりメインＣＰＵ１０１は、自身の起動プログラムに一切の改竄がないことを保証された状態で起動を開始することができる。リセット信号１１７がリセット状態（ロウレベル）からリセット解除状態（ハイレベル）に遷移すると、ＣＰＵコア２０１は先ず、フラッシュＲＯＭ１１２に記憶されているメインＣＰＵ ＢＩＯＳ４０４をＤＲＡＭ１０２にロードして実行する。
In the embodiment, when it is confirmed that the sub CPU firmware (FW) 404 (FIG. 4) and the main CPU BIOS401 (FIG. 4) have not been tampered with by the
図３は、実施形態に係るサブＣＰＵ１１５の構成を説明するブロック図である。
FIG. 3 is a block diagram illustrating the configuration of the
ＣＰＵコア３０１は、ＣＰＵの基本機能を担っている。ＳＰＩマスタ３０２は、ＳＰＩマスタ３０２と外部ＳＰＩデバイスとを電気的に接続するＳＰＩバス１１４を介し、外部のＳＰＩデバイスとのデータの読み書きを行う。ＧＰＩＯ（General-purpose Input/Output）３０３は、外部のデバイスと相互に接続してデータの送信を行う。ＧＰＩＯ３０３には２本の信号が接続されていて、一つ目はサブＣＰＵ１１５がブートコードの検証が正常に完了したことを示す、改竄検証完了通知信号１３１である。２つ目はＷＤＴ部１４０が持つタイマを切り替えるためのタイマ切り替え信号１４１である。
The
ＯＴＰメモリ領域３０４には、製造時にサブＣＰＵファームウェア４０４（図４）のハッシュ値を公開鍵で暗号化した値、及びＴａｇのアドレスが書き込まれる。この領域に書き込まれたデータは一度書き込まれると二度と書換えることはできない。ＳＲＡＭ３０５は、サブＣＰＵ１１５のワークメモリとして使用される。暗号／復号処理部３０８は、公開鍵で暗号化した値からサブＣＰＵファームウェア４０４のハッシュ値を復号するほか、公開鍵で暗号化したメインＣＰＵ ＢＩＯＳのハッシュ値を復号する。信号バス３０９は、サブＣＰＵ１１５の各モジュールを接続する。ブートＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）３１０は、サブＣＰＵ１１５のブートコードを記憶する。
At the time of manufacture, the hash value of the sub CPU firmware 404 (FIG. 4) encrypted with the public key and the Tag address are written in the
サブＣＰＵ１１５には、図１で説明したリセット信号１２３が入力される。サブＣＰＵ１１５のＣＰＵコア３０１は、リセット信号１２３がロウレベルのときリセット状態となり、リセット信号１２３がハイレベルのときにリセット解除状態となる。リセット信号１２３がリセット状態からリセット解除状態に遷移すると、ＣＰＵコア３０１は先ず、ブートＲＯＭ３１０から自身のブートコードを読み出し実行する。Ｃｒｙｐｔｏ ＲＡＭ３１１は、暗号／復号処理部３０８で利用する機密性の高いデータ等の一時記憶が可能なワーク領域として用いられる。
The
図４は、実施形態に係るフラッシュＲＯＭ１１２のメモリマップを示す図である。
FIG. 4 is a diagram showing a memory map of the
メインＣＰＵ ＢＩＯＳ４０１は、メインＣＰＵ１０１で実行されるコードを記憶している。ＢＩＯＳ署名４０２は、メインＣＰＵ ＢＩＯＳ４０１のハッシュ値に対するＲＳＡ署名値を記憶している。Ｔａｇ４０３は、サブＣＰＵファームウェア４０４の先頭アドレスを記憶している。Ｔａｇ４０３自体のアドレスは、ＯＴＰ３０４に記憶されている。サブＣＰＵファームウェア４０４は、サブＣＰＵ１１５で実行されるコードを記憶している。ファームウェア（ＦＷ）署名４０５は、サブＣＰＵファームウェア４０４、またはサブＣＰＵファームウェア４０４の先頭の特定部分のＥＣＤＳＡ署名値を記憶している。ＲＯＭ−ＩＤ４０６は、メインＣＰＵ ＢＩＯＳ４０１の先頭アドレス、サイズ及びＢＩＯＳ署名のアドレスを記憶している。４０７〜４１１は、これまでに説明したメインＣＰＵ ＢＩＯＳ４０１からＲＯＭ−ＩＤ４０６までの各データの復旧用ＧｏｌｄｅｎＭａｓｔｅｒデータで、ＷｒｉｔｅＰｒｏｔｅｃｔ等の外部からの書き換えが不可能な記憶領域に保持されている。実施形態では、一続きのアドレスの一部に対して、ＷｒｉｔｅＰｒｏｔｅｃｔ設定ができるデバイスを使用することを想定した図として記載している。
The
図５は、実施形態に係るＷＤＴ部１４０の内部構成を説明するブロック図である。
FIG. 5 is a block diagram illustrating an internal configuration of the
ＷＤＴ制御部５０１は、次に説明するタイマ５０２、及びタイマ５０３のクリア制御と、これら２つのタイマの中から、タイムアウト判定に使うタイマを選択するタイマ切り替え信号１４１の信号レベルに応じて選択する。
The
タイマ５０２は、タイマ切り替え信号１４１の信号レベルがロウレベルの場合にＷＤＴ制御部５０１によって選択される。タイマ５０２は、自身に予め設定されたタイムアウト値とタイマ回路によるカウント値を比較しながら、タイムアウト値とカウント値が等しくなった場合に、ＷＤＴ制御部５０１へタイムアウトが発生したことを通知する。またＷＤＴ制御部５０１からカウント値のクリア制御によって、カウント値を初期値に戻して再度カウントを開始する。
The
タイマ５０３は、タイマ切り替え信号１４１の信号レベルがハイレベルの場合にＷＤＴ制御部５０１によって選択される。タイマ５０３は、自身に予め設定されたタイムアウト値とタイマ回路によるカウント値を比較しながら、タイムアウト値とカウント値が等しくなった場合に、ＷＤＴ制御部５０１へタイムアウトが発生したことを通知する。またＷＤＴ制御部５０１からカウント値のクリア制御によって、カウント値を初期値に戻して再度カウントを開始する。
The
実施形態では、タイマ５０２は、通常用いられるタイマとし、タイムアウト値はサブＣＰＵ１１５が改竄検証処理を実施するのに必要な時間に、ＣＰＵ１０１が起動してからシステムバス１０９を介したカウントクリア制御が実施可能になるまでの時間を加算し、更に、マージン時間を追加して設定される。一方タイマ５０３は、サブＣＰＵ１１５が改竄検証を行った結果、改竄されていると判定した場合の復旧処理に要する時間にマージン時間を加算した時間に設定される。タイマ５０２及びタイマ５０３がタイマ切り替え信号１４１によって切り替えられるタイミングについては図１で説明した通りである。
In the embodiment, the
ＷＤＴ制御部５０１は、タイマ５０２とタイマ５０３の内、入力されるタイマ切り替え信号１４１の信号レベルに応じて選択しているタイマからのタイムアウト発生を検出すると、強制システムリセット信号１３２をリセット回路１２２へ出力する。更に、システムバス１０９を介してメインＣＰＵ１０１から行われるカウントクリア設定をトリガとして、ＷＤＴ制御部５０１が選択しているタイマのタイマ値のクリアを実行する。
When the
実施形態においては、タイマ５０２とタイマ５０３は排他的に使用するため、不要なタイマの動作を停止する例で説明するが、ＷＤＴ制御部５０１が選択しているタイマからのタイムアウトのみを検出するように構成すれば、タイマを切り替える際にタイマの動作を停止する動作が必要なくなるため、より簡単な制御で実施可能となる。
In the embodiment, since the
また実施形態では、サブＣＰＵ１１５が改竄検証処理を実施中、メインＣＰＵ１０１がリセット状態であって動作できないため、サブＣＰＵ１１５が改竄検証処理中にメインＣＰＵ１０１によるクリア設定は行われない。これはサブＣＰＵ１１５が改竄検証を行った結果、改竄されていると判定すると、改竄が発見されたデータに対してＧｏｌｄｅｎＭａｓｔｅｒデータを上書きすることによる復旧処理中も同じこととなる。
Further, in the embodiment, since the
一方でサブＣＰＵ１１５による改竄検証が完了してメインＣＰＵ１０１による制御が開始されると、メインＣＰＵ１０１はシステムバス１０９を介して定期的にカウントクリア設定を行うことで、タイムアウトの発生を防ぎ、システムの動作を継続させることができる。
On the other hand, when the falsification verification by the
次に、実施形態におけるＭＦＰ１の起動処理の中で、これまでに説明してきた主要なコンポーネント間の処理関係を時系列に説明する。 Next, in the startup process of the MFP 1 in the embodiment, the processing relationship between the main components described so far will be described in chronological order.
図６Ａは、実施形態において、サブＣＰＵ１１５による改竄検証処理が実施されてメインＣＰＵ１０１が起動するまでのＭＦＰ１の起動処理を説明するシーケンス図である。
FIG. 6A is a sequence diagram illustrating the activation process of the MFP 1 from the falsification verification process performed by the
まずＳ６０１で、ＭＦＰ１はユーザによって起動操作がなされる。これによりＳ６０２で電源制御部１１８に電源が供給され、各モジュールへ電源が分配される。これにより、ＷＤＴ部１４０、リセット回路１２２、サブＣＰＵ１１５、メインＣＰＵ１０１へ電力の供給が開始される。この状態では、リセット回路１２２は、サブＣＰＵ１１５へ接続されるサブＣＰＵリセット信号１２３と、メインＣＰＵ１０１へ接続されるメインＣＰＵ１０１のリセット信号１１７をともにロウレベルにキープし、リセット継続する。
First, in S601, the MFP1 is started by the user. As a result, power is supplied to the power
こうして電源が供給されると、ＷＤＴ部１４０はＳ６０３でタイマ切り替え信号１４１の信号レベルを確認してタイマを選択し、ここではタイマ５０２を選択してタイマ５０２によるによるカウントを開始する。ここでタイマ５０２が選択されているのは、タイマ切り替え信号１４１の初期値がロウレベルであるためである。これと並列して、リセット回路１２２はＳ６０４で、サブＣＰＵ１１５へ接続されるサブＣＰＵリセット信号１２３をハイレベルに変更することで、サブＣＰＵ１１５のリセットを解除する。
When the power is supplied in this way, the
これによりＳ６０５でサブＣＰＵ１１５は、サブＣＰＵファームウェア４０４の検証を開始する。これと同時に、サブＣＰＵ１１５はリセットが解除されると、Ｓ６０６でメインＣＰＵ ＢＩＯＳ４０１の改竄検証を開始する。そして、改竄が検知されなかった場合はＳ６０７で、サブＣＰＵ１１５は改竄検証終了信号１３１をハイレベルに変更する。こうして、改竄の事実が無く起動可能なことをリセット回路１２２に通知し、Ｓ６０８で省電力状態へ移行する。
As a result, in S605, the
こうして改竄検証終了信号１３１がアサートされたリセット回路１２２はＳ６０９で、メインＣＰＵ１０１のリセット信号１１７をロウレベルからハイレベルに変更することにより、メインＣＰＵ１０１のリセットを解除する。そして、リセットが解除されたメインＣＰＵ１０１はＳ６１０で、自身が起動するのに必要なメインＣＰＵ ＢＩＯＳ４０１をフラッシュＲＯＭ１１２から読み出してメインＣＰＵ１０１の起動を開始する。そしてＳ６１１でメインＣＰＵ１０１は、メインＣＰＵ ＢＩＯＳ４０１の読み出しを行って、ＢＩＯＳ起動を行うと、その後はＯＳの起動を含むシステムの起動を開始する。
In S609, the
次に、メインＣＰＵ１０１はＷＤＴ制御ソフトウェアが起動するとＳ６１２で、システムバス１０９を介してＷＤＴ１４０のタイマ５０２のカウント値をクリアする。それとともにＳ６１４で、ＷＤＴ１４０が持つタイマのクリア制御を行う間隔を生成するためのタイマを起動する。このタイマはＣＰＵ１０１上で動作するソフトウェアで実現するとして説明を続けるが、メインＣＰＵ１０１０内部にカウンタ回路がある場合はそれを活用してもよいことは言うまでもない。またＷＤＴ１４０はＳ６１３で、メインＣＰＵ１０１からのタイマ５０２のカウント値のクリアに応じて、タイマ５０２，５０３のカウント値をクリアし、タイマ５０２によるカウントを開始する。
Next, when the WDT control software is started, the
そしてＳ６１５で、メインＣＰＵ１０１で動作するタイマがタイムアウトに到達するとＳ６１６で、ＷＤＴ部１４０へ信号バス１０９を介してアクセスし、図示しないＷＤＴクリアレジスタに「１」を書き込むことで、ＷＤＴ部１４０のタイマ５０２をクリアする。ＷＤＴ部１４０は、ＷＤＴクリアレジスタが「１」に変化するとＳ６１７で、タイマ５０２，５０３のカウント値のクリア制御を実施し、再度、タイマ５０２によるカウントを開始する。
Then, in S615, when the timer operating in the
このとき、Ｓ６０７までにサブＣＰＵ１１５による処理に異常が発生した場合、ＷＤＴ部１４０のタイマ５０２によるカウント値が予め定められたタイムアウト値を超過してしまうため、タイムアウトが発生する。また、メインＣＰＵ１０１で動作するソフトウェアがハングアップ等によりＷＤＴクリアレジスタの設定を行えなくなった場合も、ＷＤＴ部１４０のタイマ５０２によるカウント値が予め定められたタイムアウト値を超過してしまうため、タイムアウトが発生する。このようにして一度タイムアウトが発生すると、ＷＤＴ部１４０のＷＤＴ制御部５０１は、リセット回路１２２へ強制システムリセット信号１３２を出力し、メインＣＰＵ１０１とサブＣＰＵ１１５をリセットするように制御する。リセット回路１２２によるリセット処理は予め定められた時間継続し、リセット回路１２２によるリセットが解除されると、Ｓ６０３以降の動作を再度実施する。
At this time, if an abnormality occurs in the processing by the
次に図６Ｂを参照して、サブＣＰＵ１１５による改竄検証処理の結果、改竄されていると判定されて復旧処理が行われる場合で、ＣＰＵ１０１が起動するまでのＭＦＰ１の起動処理に関するシーケンスについて説明する。
Next, with reference to FIG. 6B, a sequence relating to the startup process of the MFP 1 until the
図６Ｂは、実施形態において、サブＣＰＵ１１５による改竄検証処理の結果、改竄されていると判定され、復旧処理が行われるときのＭＦＰ１の起動処理を説明するシーケンス図である。
FIG. 6B is a sequence diagram for explaining the activation process of the MFP 1 when it is determined that the
まず、Ｓ６０１からＳ６１７までは図６Ａと同様であるため、その説明を割愛し、差分となるＳ６１８以降の処理を説明する。 First, since S601 to S617 are the same as those in FIG. 6A, the description thereof will be omitted, and the processing after S618, which is the difference, will be described.
Ｓ６０６におけるサブＣＰＵ１１５によるメインＣＰＵ ＢＩＯＳ４０１の検証の結果、メインＣＰＵ ＢＩＯＳ４０１に何らかの改竄が発見されていた場合、サブＣＰＵ１１５はＳ６１８でメインＣＰＵ ＢＩＯＳ４０１の復旧処理を開始する。そしてＳ６１９で、タイマ切り替え信号１４１の信号レベルを初期値であるロウレベルからハイレベルに変更する。これにより、ＷＤＴ１４０内のＷＤＴ制御部５０１は、サブＣＰＵ１１５によってＣＰＵ ＢＩＯＳ４０１の復旧処理が開始されたことを認識し、Ｓ６２０で、タイマ５０３を使ってカウントを開始する。ここでタイマ５０３は既に説明した通り、サブＣＰＵ１１５によるメインＣＰＵ ＢＩＯＳ４０１の復旧処理が完了するのに必要な時間にマージン時間を加算した値をタイムアウト値として保持している。
As a result of verification of the main CPU BIOS401 by the
こうしてサブＣＰＵ１１５によるメインＣＰＵ ＢＩＯＳ４０１の復旧処理が滞りなく完了するとＳ６０７で、サブＣＰＵ１１５は既に説明した改竄検証終了信号１３１をリセット回路１２２へアサートする。更にサブＣＰＵ１１５はＳ６２１で、タイマ切り替え信号１４１をハイレベルからロウレベルへ変更する。これにより、ＷＤＴ１４０内のＷＤＴ制御部５０１は、サブＣＰＵ１１５によるＣＰＵ ＢＩＯＳ４０１の復旧処理が完了し、通常動作が開始されたことを認識し、Ｓ６２２で、タイマ５０２を使ってカウントを再開することができる。
When the restoration process of the
ここで仮にメインＣＰＵ ＢＩＯＳ４０１の復旧処理中に何等かの異常が発生して処理が停止してしまった場合、Ｓ６２０で開始したＷＤＴ部１４０のタイマ５０３によるカウント値が予め定められたタイムアウト値を超過してしまう。これによりタイムアウトが発生する。こうして一度タイムアウトが発生すると、ＷＤＴ部１４０のＷＤＴ制御部５０１は、リセット回路１２２へ強制システムリセット信号１３２を出力して、メインＣＰＵ１０１とサブＣＰＵ１１５をリセットするように制御する。リセット回路１２２によるリセット処理は、予め定められた時間継続し、リセット回路１２２によるリセットが解除されると、Ｓ６０３以降の動作を再度実施する。
Here, if some abnormality occurs during the recovery process of the main CPU BIOS401 and the process is stopped, the count value by the
次に、実施形態に係るサブＣＰＵ１１５の詳細な処理手順を図７のフローチャートを参照して説明する。
Next, a detailed processing procedure of the
図７は、実施形態に係るサブＣＰＵ１１５の処理を説明するフローチャートである。尚、このフローチャートで示す処理は、ＣＰＵコア３０１がフラッシュＲＯＭ１１２からＳＲＡＭ３０５に展開したプログラムを実行することにより実現される。
FIG. 7 is a flowchart illustrating the processing of the
まずＳ７０１でＣＰＵコア３０１は起動すると直ちにブートＲＯＭ３１０内のコードを実行し、ＳＰＩバス１１４を介してフラッシュＲＯＭ１１２からサブＣＰＵファームウェア４０４とＦＷ署名４０５をＳＲＡＭ３０５に読み込む。そして、ＧＰＩＯポートの初期化を行って改竄検証完了通知信号１３１とタイマ切り替え信号１４１を初期状態であるロウレベルにセットする。続いてＳ７０２に進みＣＰＵコア３０１は、暗号／復号処理部３０８によってＦＷ署名４０５をＯＴＰ３０４内の公開鍵で復号化して、正解となるハッシュ値を得る。そしてＳ７０３に進みＣＰＵコア３０１は、暗号／復号処理部３０８によってサブＣＰＵファームウェア４０４のハッシュ値を計算する。次にＳ７０４に進みＣＰＵコア３０１は、Ｓ７０２で得られたハッシュ値と、Ｓ７０３で計算したハッシュ値とを比較し、これらが不一致の場合は、後に説明するＳ７１８へ進む。
First, as soon as the
一方、これが一致した場合はＳ７０５に進みＣＰＵコア３０１は、サブＣＰＵファームウェア４０４をＳＲＡＭ３０５に読み込む。次にＳ７０６に進みＣＰＵコア３０１は、ＳＲＡＭ３０５に読み込んだサブＣＰＵファームウェア４０４を実行する。次にＳ７０７に進みＣＰＵコア３０１は、実行したサブＣＰＵファームウェア４０４の制御に基づき、ＲＯＭ−ＩＤ４０６をフラッシュＲＯＭ１１２からＣｒｙｐｔｏ ＲＡＭ３１１に読み込む。そしてＳ７０８に進みＣＰＵコア３０１は、ＲＯＭ−ＩＤ４０６からメインＣＰＵ ＢＩＯＳ４０１のアドレスとＢＩＯＳ署名４０２のアドレスを得る。そしてＳ７０９に進みＣＰＵコア３０１は、ＢＩＯＳ署名４０２をＳＲＡＭ３０５に読み込む。続いてＳ７１０に進みＣＰＵコア３０１は、暗号／復号処理部３０８によってＢＩＯＳ署名４０２をサブＣＰＵファームウェア４０４に付属している公開鍵で復号化してハッシュ値を得る。次にＳ７１１に進みＣＰＵコア３０１は、メインＣＰＵ ＢＩＯＳ４０１をＳＲＡＭ３０５に読み込む。そしてＳ７１２に進みＣＰＵコア３０１は、暗号／復号処理部３０８によってメインＣＰＵ ＢＩＯＳ４０１のハッシュ値を計算する。そしてＳ７１３に進みＣＰＵコア３０１は、Ｓ７１０で得たハッシュ値とＳ７１２で算出したハッシュ値とを比較し、これらが一致した場合はＳ７１４に進み、ＧＰＩＯ３０３を制御して改竄検証完了通知信号１３１をハイレベルにセットしてＳ７１５に進む。一方、これらが不一致の場合はＳ７１８へ進む。
On the other hand, if they match, the process proceeds to S705, and the
Ｓ７１５でＣＰＵコア３０１は、改竄検証完了通知信号１３１をハイレベルにセットすると、それからタイマ切り替え信号１４１をロウレベルにセットする。そしてＳ７１６でＧＰＩＯ３０３を制御してリセット信号をハイレベルで出力する。その後Ｓ７１７でＣＰＵコア３０１は、電力消費の最も少ないスリープ状態に移行し、その状態を維持する。尚、このスリープ状態では、ＧＰＩＯ３０３の出力状態を維持している。また、一度スリープ状態に入った後は通常状態に戻る必要はないが、サブＣＰＵ１１５を改竄検証以外の用途にも利用するのであれば、図示しない割り込み信号の受信を許可して通常状態へ復帰させることも可能である。
In S715, the
またＳ７０４、もしくはＳ７１３で不一致の場合はＳ７１８に進みＣＰＵコア３０１は、タイマ切り替え信号１４１をハイレベルにセットする。その後Ｓ７１９でＣＰＵコア３０１は、改竄が検出されたデータを、ＷｒｉｔｅＰｒｏｔｅｃｔ等が施されたセキュアな領域に保持されているＧｏｌｄｅｎＭａｓｔｅｒデータで上書きするデータの復旧処理を行う。こうしてサブＣＰＵ１１５によるＧｏｌｄｅｎＭａｓｔｅｒデータによる上書き処理が完了すると、Ｓ７１４へ進みサブＣＰＵ１１５による処理の終了シーケンスを実施する。
If there is a mismatch in S704 or S713, the process proceeds to S718, and the
尚、実施形態ではＧｏｌｄｅｎＭａｓｔｅｒデータによる上書き処理が完了すると、サブＣＰＵ１１５による改竄検証処理が完了するとして説明しているが、上書き処理が完了した後にＳ７０１から再度フローを進めることで、より時間を要するが、よりセキュアなブートシーケンスを組むことも可能である。
In the embodiment, it is explained that the falsification verification process by the
次に実施形態におけるメインＣＰＵ１０１の処理手順を図８のフローチャートを用いて説明する。
Next, the processing procedure of the
図８は、実施形態に係るＭＦＰ１のメインＣＰＵ１０１の処理を説明するフローチャートである。
FIG. 8 is a flowchart illustrating the processing of the
メインＣＰＵ１０１はリセットが解除されるとＳ８０１で、フラッシュＲＯＭ１１２に記憶されたメインＣＰＵ ＢＩＯＳ４０１をＤＲＡＭ１０２に読み込む。次にＳ８０２に進みメインＣＰＵ１０１は、ＤＲＡＭ１０２へ読み込んだメインＣＰＵ ＢＩＯＳ４０１を実行し、メインＣＰＵ１０１内の入出力の初期化を行う。次にＳ８０３に進みメインＣＰＵ１０１は、ＨＤＤ１０８からＯＳ（オペレーティングシステム）をＤＲＡＭ１０２に読み込む。読み取り後Ｓ８０４でメインＣＰＵ１０１は、ＯＳを起動する。続いてＳ８０５に進みメインＣＰＵ１０１は、プリンタ部１０５、スキャナ部１０６、ＦＡＸ部１０７、画像処理部１１１、ネットワークＩ／Ｆ１０４操作部１０３を初期化するとともに、ＷＤＴ１４０のタイマ５０２を定期的にクリア制御するソフトウェアを起動し、ＭＦＰ１として機能可能な状態にする。
When the reset is released, the
次に、実施形態におけるＷＤＴ部１４０の処理手順を図９のフローチャートを用いて説明する。
Next, the processing procedure of the
図９は、実施形態に係るＷＤＴ部１４０の処理を説明するフローチャートである。
FIG. 9 is a flowchart illustrating the processing of the
ＷＤＴ部１４０は、電源の供給が始まるとＳ９０１でタイマ５０２を起動し、カウントを開始する。次にＳ９０２に進みＷＤＴ部１４０は、改竄検証完了通知信号１３１を監視して、改竄検証が完了したか否かを判定する。ここで改竄検証が完了していた場合はＳ９０３に進み、タイマ５０２によるカウントを選択してタイマ５０２によるカウントを開始し、タイマ５０３の動作を停止してＳ９１０に進む。このときタイマ５０２は、メインＣＰＵ１０１が適切に動作していることを確認できる所定時間を計時し、その所定時間内にクリア制御が実行されないとＳ９１１でタイムアウトになることになる。
When the power supply starts, the
一方、で改竄検証が完了していなかった場合はＳ９０４に進み、サブＣＰＵ１１５からのタイマ切り替え信号１４１がハイレベルであるか否か判定する。ハイレベルであればＳ９０７に進んでタイマ５０３によるカウントを実施中であるか否かを判定する。ここでタイマ５０３によるカウントを実施していない場合はＳ９０８に進み、タイマ５０３によるカウントを開始するとともに、タイマ５０２による計時を止める。
On the other hand, if the falsification verification is not completed in, the process proceeds to S904, and it is determined whether or not the
一方、Ｓ９０４でタイマ切り替え信号１４１がロウレベルであった場合Ｓ９０５に進み、タイマ５０２がタイムアウトしたかどうか判定する。タイマ５０２がタイムアウトしたときはＳ９０６に進み、強制システムリセット信号１３２を出力して、この処理を終える。一方、Ｓ９０５でタイマ５０２がタイムアウトしていない場合はＳ９０２に進んでカウントを継続する。
On the other hand, if the
またＳ９０７でタイマ５０３によるカウント中であった場合はＳ９０９に進み、タイマ５０３がタイムアウトしたかどうか判定する。タイマ５０３がタタイムアウトした場合はＳ９０６に進み、強制システムリセット信号１３２を出力して、この処理を終える。またＳ９０９でタイマ５０３がタイムアウトしていない場合はＳ９０２に進んで、カウントを継続する。
If the
Ｓ９１０では、サブＣＰＵ１１５による改竄検証処理が完了し、タイマ５０２によるカウントが開始され、またメインＣＰＵ１０１の起動が開始されている。よってＷＤＴ部１４０は、ＷＤＴ制御部５０１に実装されるＷＤＴクリアレジスタに「１」が書き込まれた否かを判定する。ここでＷＤＴクリアレジスタが「１」に設定されていた場合はＳ９１２に進み、タイマ５０２のカウント値をクリアし、タイマ５０２によるカウントを再開する。一方、ＷＤＴクリアレジスタが「０」であった場合はＳ９１１に進み、タイマ５０２がタイムアウトしたかどうかを判定する。ここでタイムアウトしていた場合はＳ９０６に進み、強制システムリセット信号１３２を出力して、この処理を終える。一方Ｓ９１１で、タイマ５０２がタイムアウトしていない場合はＳ９１０に進み、タイマ５０２によるカウントを継続する。
In S910, the falsification verification process by the
以上のように制御することで、サブＣＰＵによるプログラムの改竄検証処理の結果、改竄が発生したと判定し、ＧｏｌｄｅｎＭａｓｔｅｒデータを使った復旧処理を行う間、ＷＤＴによる強制システムリセットの出力を防止できる。そして復旧処理後、メインＣＰＵが正常に起動すると、メインＣＰＵによってＷＤＴ（タイマ５０２）が制御されるためＭＦＰを適切に制御できるようになる。 By controlling as described above, it is possible to determine that falsification has occurred as a result of the falsification verification process of the program by the sub CPU, and prevent the output of the forced system reset by the WDT while performing the recovery process using the GoldenMaster data. Then, when the main CPU starts normally after the recovery process, the WDT (timer 502) is controlled by the main CPU, so that the MFP can be appropriately controlled.
またサブＣＰＵによるプログラムの改竄検証処理の結果、プログラムの改竄が発生していない、即ちプログラムの異常が検知されないときは、タイマ５０２によるウオッチドッグタイマ機能が実行され、メインＣＰＵが正常に動作している限り、タイマ５０２がタイムアウトすることによる強制システムリセット信号が出力されることはない。
Further, as a result of the program tampering verification processing by the sub CPU, when the program tampering has not occurred, that is, when the program abnormality is not detected, the watchdog timer function by the
次に、本実施形態におけるリセット回路１２２の処理手順を図１０のフローチャートを用いて説明する。
Next, the processing procedure of the
図１０は、実施形態に係るリセット回路１２２による処理を説明するフローチャートである。
FIG. 10 is a flowchart illustrating processing by the
リセット回路１２２は電源の供給が始まるとＳ１００１で、リセット信号１２３をハイレベルにしてサブＣＰＵ１１５のリセットを解除する。次にＳ１００２で、改竄検証完了通知信号１３１がハイレベルになったか否かを判定する。ここで改竄検証完了通知信号１３１がハイレベルになって改竄の検証が成功、即ち、正常に終了したと判定したときはＳ１００３に進む。Ｓ１００３でリセット回路１２２は、リセット信号１１７をハイレベルにしてメインＣＰＵ１０１のリセットを解除して、この処理を終了する。
When the supply of power is started, the
一方、Ｓ１００２で改竄検証完了通知信号１３１がハイレベルにならず、改竄検証が継続中の場合はＳ１００４に進み、ＷＤＴ部１４０が強制システムリセット信号１３２が入力されて、強制システムリセットを実行するように制御されたか否かを判定する。リセット回路１２２は、強制システムリセット信号１３２が入力されると、何らかの異常が発生して処理が停止しているとみなして、メインＣＰＵ１０１とサブＣＰＵ１１５をリセットして処理を終える。一方、Ｓ１００４で強制システムリセット信号１３２が入力されていないときはＳ１００２へ戻り処理を継続する。
On the other hand, if the falsification verification
このように制御することにより、ＷＤＴ部１４０でタイムアウトが発生した場合、速やかにＣＰＵ１０１とサブＣＰＵ１１５をリセットすることができる。ここで、リセットするのはメインＣＰＵ１０１とサブＣＰＵ１１５と説明してきたが、関連する機能モジュール、もしくはＭＦＰ１全体をリセットしてしまっても問題無いことは言うまでもない。
By controlling in this way, when a timeout occurs in the
以上説明したように実施形態によれば、サブＣＰＵが実行期間が長い復旧処理を実行する場合でも、不必要なリセット実行を回避することできるようになる。更に、プログラムの改竄を検証している間にサブＣＰＵに何らかの問題が発生して処理が停止してしまった場合でも、ＷＤＴによって適切にリカバリ動作を実行できるようになる。 As described above, according to the embodiment, even when the sub CPU executes the recovery process having a long execution period, it is possible to avoid unnecessary reset execution. Further, even if a problem occurs in the sub CPU and the process is stopped while verifying the falsification of the program, the WDT can appropriately execute the recovery operation.
また、サブＣＰＵが、メインＣＰＵをリセット状態に保ちながらプログラムの改竄を検証する際、その検証に要する時間が、所定時間よりも長くなるとＷＤＴからのタイムアウトによるリセット制御が実行される。これにより、検証中のサブＣＰＵの異常も検出できる。 Further, when the sub CPU verifies the falsification of the program while keeping the main CPU in the reset state, if the time required for the verification becomes longer than the predetermined time, the reset control due to the timeout from the WDT is executed. Thereby, the abnormality of the sub CPU under verification can be detected.
さらに、サブＣＰＵがプログラムの改竄を検証して異常（改竄）を検出すると、検証に要する時間を計時していた第１タイマに代わって、プログラムの復旧処理に要る時間を計時する第２タイマによる計時を行うことで、サブＣＰＵによるプログラムの復旧処理中に、ＷＤＴからのタイムアウトによるリセット制御の発生を防止できる。 Further, when the sub CPU verifies the tampering of the program and detects an abnormality (tampering), the second timer that clocks the time required for the program recovery process replaces the first timer that clocks the time required for verification. By performing the time counting according to the above, it is possible to prevent the occurrence of reset control due to a timeout from the WDT during the program recovery process by the sub CPU.
尚、実施形態で記載した信号の極性はシステムの定めに応じて変更してもよいことは言うまでもない。 Needless to say, the polarity of the signal described in the embodiment may be changed according to the system.
また実施形態では、ＷＤＴ部１４０、及びリセット回路１２２を電源制御部１１８の内部に含む構成を代表例として説明したが、これに限らず、それぞれが信号バス１０９に接続された形態をとってもよい。
Further, in the embodiment, the configuration in which the
また実施形態で説明した構成要素の一部がＳＯＣ（System On Chip）に集積された場合でも、サブＣＰＵ１１５がメインＣＰＵ１０１の起動を制御しつつ、メインＣＰＵ ＢＩＯＳ４０１の改竄検証を行う場合に、実施形態が適用できることは言うまでもない。
Further, even when some of the components described in the embodiment are integrated in the SOC (System On Chip), when the
また実施形態は、タイマ５０３を省略し、サブＣＰＵ１１５による復旧処理中はタイマを動作させないという形態をとることで、より少ない回路規模で不要なリセット処理を回避できる。しかしながら、この場合、復旧処理中に何らかの異常が発生した場合の検知ができなくなるため、本実施形態に記載した構成のように２つのタイマを備えた構成とするのが望ましい。
Further, in the embodiment, the
（その他の実施形態）
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。
(Other embodiments)
The present invention supplies a program that realizes one or more functions of the above-described embodiment to a system or device via a network or storage medium, and one or more processors in the computer of the system or device reads and executes the program. It can also be realized by the processing to be performed. It can also be realized by a circuit (for example, ASIC) that realizes one or more functions.
本発明は上記実施形態に制限されるものではなく、本発明の精神及び範囲から逸脱することなく、様々な変更及び変形が可能である。従って、本発明の範囲を公にするために、以下の請求項を添付する。 The present invention is not limited to the above embodiments, and various modifications and modifications can be made without departing from the spirit and scope of the present invention. Therefore, in order to make the scope of the present invention public, the following claims are attached.
１…ＭＦＰ，１０１…メインＣＰＵ、１１２…フラッシュＲＯＭ、１１５…サブＣＰＵ、１１８…電源制御部、１２２…リセット回路、１４０…ＷＤＴ部、５０１…ＷＤＴ制御部、５０２，５０３…タイマ、１３１…改竄検証完了通知信号、１３２…強制システムリセット信号、１４１…タイマ切り替え信号 1 ... MFP, 101 ... Main CPU, 112 ... Flash ROM, 115 ... Sub CPU, 118 ... Power supply control unit, 122 ... Reset circuit, 140 ... WDT unit, 501 ... WDT control unit, 502, 503 ... Timer, 131 ... Tampering Verification completion notification signal, 132 ... forced system reset signal, 141 ... timer switching signal
Claims (11)
プログラムを実行して前記情報処理装置を制御する第１ＣＰＵと、
前記プログラムを検証する第２ＣＰＵと、
前記情報処理装置の動作中に計時を行い、当該計時のクリア制御が第１所定時間内に行われない場合にリセット信号を出力する第１タイマ手段と、
前記第２ＣＰＵが前記プログラムの検証で異常を検知したときに計時を行い、当該計時のクリア制御が第２所定時間内に行われない場合にリセット信号を出力する第２タイマ手段と、
前記第１タイマ手段及び前記第２タイマ手段からのリセット信号に基づいて前記第１ＣＰＵ及び前記第２ＣＰＵへのリセット信号を生成するリセット手段と、を有し、
前記第２ＣＰＵは、前記プログラムの検証で異常を検知すると前記第１タイマ手段による計時を停止させ、前記第２タイマ手段による計時を開始させて前記プログラムの復旧処理を行うことを特徴とする情報処理装置。 It is an information processing device
A first CPU that executes a program and controls the information processing device,
The second CPU that verifies the program and
A first timer means that measures time during the operation of the information processing device and outputs a reset signal when the clear control of the time is not performed within the first predetermined time.
A second timer means that measures the time when the second CPU detects an abnormality in the verification of the program and outputs a reset signal when the clear control of the time is not performed within the second predetermined time.
It has a reset means for generating a reset signal to the first CPU and the second CPU based on the reset signal from the first timer means and the second timer means.
Information processing characterized in that, when the second CPU detects an abnormality in the verification of the program, the time counting by the first timer means is stopped, the time counting by the second timer means is started, and the recovery process of the program is performed. apparatus.
前記第１ＣＰＵが実行するプログラムを検証する第２ＣＰＵと、
第１タイマと第２タイマとを有し、当該第１タイマ或いは前記第２タイマの計時に対するリセット制御が所定時間内に行われない場合に、前記第１ＣＰＵ及び前記第２ＣＰＵをリセットするリセット信号を出力するタイマ手段と、を有し、
前記タイマ手段は、前記第２ＣＰＵが前記プログラムの検証で異常を検知したときに前記第１タイマによる計時を停止させて前記第２タイマにより計時を行い、前記第２タイマが第１所定時間を計時してタイムアウトすると前記リセット信号を出力することを特徴とする情報処理装置。 With the first CPU
A second CPU that verifies the program executed by the first CPU,
A reset signal for resetting the first CPU and the second CPU when the first timer and the second timer are provided and the reset control for the timing of the first timer or the second timer is not performed within a predetermined time. Has a timer means to output,
When the second CPU detects an abnormality in the verification of the program, the timer means stops the time counting by the first timer and uses the second timer to measure the time, and the second timer measures the first predetermined time. An information processing device characterized in that the reset signal is output when the time-out occurs.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2019219857A JP2021089607A (en) | 2019-12-04 | 2019-12-04 | Information processing apparatus |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2019219857A JP2021089607A (en) | 2019-12-04 | 2019-12-04 | Information processing apparatus |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2021089607A true JP2021089607A (en) | 2021-06-10 |
Family
ID=76220177
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2019219857A Pending JP2021089607A (en) | 2019-12-04 | 2019-12-04 | Information processing apparatus |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2021089607A (en) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2022249820A1 (en) | 2021-05-27 | 2022-12-01 | 京セラ株式会社 | Communication control method, wireless terminal, base station, and ris device |
-
2019
- 2019-12-04 JP JP2019219857A patent/JP2021089607A/en active Pending
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2022249820A1 (en) | 2021-05-27 | 2022-12-01 | 京セラ株式会社 | Communication control method, wireless terminal, base station, and ris device |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11657125B2 (en) | Information processing apparatus and reset control method | |
| US11006013B2 (en) | Image processing apparatus, having second processor to verify boot program has been altered, method of controlling the same, and storage medium | |
| US20210011660A1 (en) | Information processing apparatus and control method | |
| JP2020177539A (en) | Information processing device and control method thereof | |
| US11418671B2 (en) | Information processing apparatus, and method of controlling the same | |
| JP2021089607A (en) | Information processing apparatus | |
| JP7321795B2 (en) | Information processing device, information processing method and program | |
| JP2013041458A (en) | Data processing apparatus and control method therefor | |
| US20220321724A1 (en) | Information processing apparatus and method of notifying verification result of program | |
| JP6590722B2 (en) | Electronic device, control method thereof, and program | |
| JP2008229977A (en) | Image processor, image processing method, program, and recording medium | |
| JP7210238B2 (en) | Information processing device, control method for information processing device, and program | |
| JP2020187649A (en) | Information processing system, control method, and program | |
| US20230273798A1 (en) | Information processing apparatus and method for controlling information processing apparatus | |
| JP2023167086A (en) | Information processing apparatus and control method of information processing apparatus | |
| JP7465107B2 (en) | Information processing device and method | |
| JP2021051713A (en) | Information processing apparatus and reset control method | |
| JP2022182838A (en) | Information processing device and control method thereof | |
| JP2021111916A (en) | Information processing device and program restoration method | |
| JP2023167825A (en) | Information processing device, and control method for information processing device | |
| JP2020102129A (en) | Information processing device, control method of information processing device, and program | |
| JP2023124500A (en) | Information processing apparatus, method for controlling information processing apparatus, and program | |
| JP2023124088A (en) | Information processor and control method thereof | |
| JP6291983B2 (en) | Recovery device and recovery method | |
| JP2022066083A (en) | Information processing apparatus |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| RD01 | Notification of change of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7421 Effective date: 20210103 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20210113 |