JP2021111112A

JP2021111112A - 画像形成装置、及びその制御方法

Info

Publication number: JP2021111112A
Application number: JP2020002433A
Authority: JP
Inventors: 孝明宮田; Takaaki Miyata
Original assignee: Canon Inc
Current assignee: Canon Inc
Priority date: 2020-01-09
Filing date: 2020-01-09
Publication date: 2021-08-02
Also published as: US11822985B2; US20210216835A1

Abstract

【課題】不揮発性メモリのライトプロテクトに関する設定項目をＯＳで参照可能としつつ、当該不揮発性メモリに格納された情報の改ざんリスクを好適に確認する仕組みを提供する。【解決手段】画像形成装置８は、ＢＩＯＳを起動するＳ２５４。ＢＩＯＳは、ＢＩＯＳが有する設定項目のうち、不揮発性メモリをライトプロテクトする設定項目の設定値をＢＩＯＳと画像形成装置のＯＳが共通して利用可能な揮発性メモリ上のＯＥＭｘテーブルににコピーするＳ２６６。画像形成装置のＯＳは、ＯＥＭｘテーブルを参照しＳ２８２、不揮発性メモリをライトプロテクトする設定値を取得し、確認するＳ２８６。【選択図】図２

Description

本発明は、画像形成装置、及びその制御方法に関する。

近年、ネットワークへ接続可能な機器において、不正なアクセスや、不正なプログラムの実行により、当該機器にプリインストールされている起動ファームウェアが改ざんされる事案が多く報告されている。このような改ざんへの対策として、起動ファームウェアを格納している不揮発性メモリをライトプロテクトするよう設定する方法がある。即ち、起動ファームウェアの設定項目の設定値の一つとして、不揮発性メモリの全ブロックをライトプロテクトするための設定項目があり、これを有効に設定することで、起動ファームウェアの改ざんを防止することができる。

例えば、上記起動ファームウェアがＢＩＯＳである場合、当該ＢＩＯＳにおいてセットアップメニューと呼ばれる設定ツールが用意されており、ユーザがセットアップメニューを実行することで、各設定項目の設定値を確認し、更には修正することもできる。しかし、パソコンとは異なり、画像形成装置などの組み込み機器の場合は、セットアップメニューで起動ファームウェアの設定値の設定項目を修正できることが、セキュリティ面の懸念となり得る。つまり、セットアップメニューを実行することで、不揮発性メモリの全ブロックをライトプロテクトするための設定を無効にすることが可能なため、そのような設定を行うことで、製品出荷後において起動ファームウェアの改ざんリスクが高まってしまうことになる。一方、セットアップメニューを実行不可にすることで、起動ファームウェアの各設定項目の設定値を修正することを不可能に制御することはできるが、設定値についても確認できなくなってしまう。このため、起動ファームウェアを格納している不揮発性メモリがライトプロテクトとなっているか否かの確認方法が無く、起動ファームウェアの改ざんリスクがあるのかについても確認することができない。

特許文献１には、ＨＤＤを交換する際に、ＢＩＯＳが生成したＩＰアドレスを、オペレーティングシステムがアクセス可能なＲＡＭ領域にｗｒｉｔｅし、オペレーティングシステムによって当該ＩＰアドレスを利用することについて提案されている。一般的には、多くのサーバは固定ＩＰアドレスで運用されており、そのＩＰアドレスが通常、ハードディスクに格納されている。従って、サーバのＨＤＤを交換して運用した場合であっても、上記発明ではＢＩＯＳがＨＤＤ交換前のＩＰアドレスを生成することができる。この情報をオペレーティングシステムが参照、設定することで、ハードディスク交換前後でも同じＩＰアドレスでの運用が可能となる。

特開２０１７−３３３１０号公報

しかしながら、上記従来技術には以下に記載する課題がある。例えば、上記従来技術では、ＢＩＯＳで生成したＩＰアドレスをオペレーティングシステムが参照することが可能であるものの、不揮発性メモリの全ブロックをライトプロテクトするための設定情報を、オペレーティングシステムが参照できるわけではない。即ち、ＢＩＯＳセットアップニューを実行不可にした場合、不揮発性メモリの全ブロックをライトプロテクトするための設定情報も参照することができなくなってしまう。

本発明は、上述の問題の少なくとも一つに鑑みて成されたものであり、不揮発性メモリのライトプロテクトに関する設定項目をＯＳで参照可能としつつ、当該不揮発性メモリに格納された情報の改ざんリスクを好適に確認する仕組みを提供する。

本発明は、例えば、画像形成装置であって、起動ファームウェアを格納した不揮発性メモリと、前記起動ファームウェアと前記画像形成装置のオペレーティングシステムとが共通して利用可能なメモリ空間を有する揮発性メモリと、前記起動ファームウェアが有する設定項目のうち、前記不揮発性メモリをライトプロテクトする設定項目の設定値を、前記メモリ空間にコピーする制御手段とを備え、前記オペレーティングシステムは、前記メモリ空間にコピーされた前記設定値を取得して確認することを特徴とする。

本発明によれば、不揮発性メモリのライトプロテクトに関する設定項目をＯＳで参照可能としつつ、当該不揮発性メモリに格納された情報の改ざんリスクを好適に確認することができる。

一実施形態に係るコントローラの構成を示すブロック図。一実施形態に係るＡＣＰＩテーブルの構成図。一実施形態に係る制御端末３９と画像形成装置８の起動処理を示すフローチャート。

以下、添付図面を参照して実施形態を詳しく説明する。なお、以下の実施形態は特許請求の範囲に係る発明を限定するものでない。実施形態には複数の特徴が記載されているが、これらの複数の特徴の全てが発明に必須のものとは限らず、また、複数の特徴は任意に組み合わせられてもよい。さらに、添付図面においては、同一若しくは同様の構成に同一の参照番号を付し、重複した説明は省略する。

なお、実施形態に係る画像形成装置として複合機（デジタル複合機／ＭＦＰ／ＭｕｌｔｉＦｕｎｃｔｉｏｎＰｅｒｉｐｈｅｒａｌ）を例に説明する。しかしながら適用範囲は複合機に限定はせず、画像形成装置であればよい。

＜画像形成装置の構成＞
以下では、本発明の一実施形態について説明する。まず、図１Ａを参照して、本実施形態に係る画像形成装置８の構成例を説明する。

画像形成装置８は、コントローラ部１、スキャナ部２、プリンタ部３、操作部４、ユーザ認証入力装置６、節電ボタン１２、及び電源制御部１８を備える。ユーザ認証入力装置６は、ユーザ認証部９を備え、認証プリントのためにユーザの認証を行う機能を有する。電源制御部１８は、スイッチ１９〜２２を備える。各スイッチ１９〜２２は各負荷への電力供給について供給と停止を切り替えるスイッチである。スイッチ１９はプリンタ部３への電力供給を切り替える。スイッチ２０はスキャナ部２への電力供給を切り替えるスイッチである。スイッチ２１はユーザ認証入力装置６への電力供給について供給と停止を切り替えるスイッチである。

操作部４は、ＬＣＤ／タッチパネル１０、及び操作キー１１を備える。ＬＣＤ／タッチパネル１０は、ユーザへの情報の表示や、ボタン画像を表示した後、ボタンを指等で押すことでインタラクティブな操作を可能としている。操作キー１１は、印刷部数等の数字やコピーボタン、ストップ等の頻繁に使用するためのボタンを物理的なボタンスイッチ等で構成している。

節電ボタン１２は操作部４の近傍、又は同一ユニット上に物理的に配置されているものの、節電モードから復帰するためのスイッチである。つまり、節電ボタン１２はスイッチ２２により操作部４の電源が落とされている場合であってもボタン押下を検出することが可能なように、電気的に分離された構成になっている。図１Ａに示すように、節電ボタン１２は、操作部４とは別に設けられ、独立してＣＰＵ１６と接続している。この節電ボタン１２をユーザが押下することで、画像形成装置８を節電モードに入れることや、スタンバイモードにトグル遷移させることが可能である。

コントローラ部１は、制御部５、ＨＤＤ（データ記憶部）１５、及びネットワーク接続部１３を備える。ネットワーク接続部１３は、外部装置である制御端末３９からの例えばネットワーク４０等の依頼を受け付けるネットワークインタフェースである。記憶部１５は、受信した印刷データや、ファームウェアを検証するプログラムや、ファームウェアそのものを、蓄積するためのＨＤＤ（ハードディスクドライブ）である。制御部５は、これらのデバイスと相互に接続され、コントローラ部１の全体を制御する。制御部５は、ＣＰＵ１６、ＳＰＩＦｌａｓｈ２３、及びＲＡＭ２４を備える。ＣＰＵ１６は、外部インタフェース部から受信したデータを、印刷データか否かを判断するとともに、起動ファームウェアや、オペレーティングシステムを実行する。ＳＰＩＦｌａｓｈ２３は、ＣＰＵ１６の起動に必要な起動ファームウェアを格納する不揮発性メモリである。ＲＡＭ２４は、ＣＰＵ１６への命令を一時的に格納する作業領域と利用される揮発性メモリである。また、本実施形態では、ＳＰＩＦｌａｓｈ２３に格納されている制御用ファームウェア（起動ファームウェア）はＢＩＯＳである。

制御端末３９は、ＬＣＤ／タッチパネル１０に出力されるユーザ向けの情報と同等の情報を出力するためのものではなく、画像形成装置８に向けて管理用のコマンドの入力と、その結果を出力するための管理サーバである。なお、ネットワーク接続部１３は通信インタフェースの一例である。制御端末３９は、ネットワーク接続部１３を介して、画像形成装置８を制御することもできる。本実施形態によれば、ネットワーク４０は、Ｅｔｈｅｒｎｅｔ上でのＴＣＰ／ＩＰ通信、又は、ＲＣ−２３２規格のケーブル上でのシリアル転送通信として実現されうる。もちろん、本発明を限定する意図はなくその他の通信方式を適用してもよい。本実施形態に係る制御端末３９は、ネットワーク接続部１３を介して画像形成装置８から、不揮発性メモリの全ブロックをライトプロテクトする設定項目の設定値を取得し確認を行う。これにより、制御端末３９を使用する管理者等は、不揮発性メモリが正常にライトプロテクトされていれば、不揮発性メモリに格納されている起動ファームウェア等の改ざんの可能性がないことを確認することができる。或いは、管理者は、不揮発性メモリのライトプロテクトが設定されていなければ、改ざんの可能性があることを確認することができる。これらの設定値の取得方法（参照方法）の詳細については後述する。

また、ＲＡＭ２４には、ＢＩＯＳとオペレーティングシステムが共通してアクセス可能なメモリ空間が設けられてもよい。ＢＩＯＳは、図１Ｂに示すＡＣＰＩテーブル１００をＲＡＭ２４上の上記メモリ空間に構築することが可能である。ＡＣＰＩテーブル１００には、コンピュータシステム（画像形成装置）の起動に必要な情報や、ハードウェアの機能を制御するためのメソッドなどが格納されており、図１Ｂに示すように、ツリー構造で構成されうる。ＡＣＰＩテーブル１００は、まずＲＳＤＰ（Root System Description Pointer）１１０から始まっており、これがＸＳＤＴ１２０というテーブルを指している。ＸＳＤＴ（Extended System Description Pointer）１２０は、複数のＥｎｔｒｙを有し、それぞれ何らかのテーブルを指している。一例を挙げると、ＭＣＦＧ１３０というテーブルでは、ＰＣＩ−Ｅｘｐｒｅｓｓ上でのデバイスのメモリマップされた設定領域のベースアドレスを保持している。また、ＯＥＭｘテーブル１４０では、開発元が任意の情報を格納することが可能である。本実施形態では、ＯＥＭｘテーブル１４０にて、不揮発性メモリの全ブロックをライトプロテクトする（書き込みを禁止する）ための設定を格納する。もちろん、本発明を限定する意図はなく、不揮発性メモリの全ブロックをライトプロテクトするための設定を格納する先として、ＡＣＰＩテーブル１００以外で実現してもよい。

＜起動フロー＞
次に、図２を参照して、本実施形態に係る、制御端末３９と画像形成装置８における起動フローを説明する。具体的には、制御端末３９と画像形成装置８の起動フローと、制御端末３９から画像形成装置８に向けて、管理用コマンドの入出力を行う様子を示す。より詳細には、管理用コマンドにより画像形成装置８のＯＥＭｘテーブル１４０、即ち、不揮発性メモリの全ブロックをライトプロテクトするための設定値を取得する処理について説明する。以下で説明する画像形成装置８の処理は、例えばＣＰＵ１６がＳＰＩＦｌａｓｈ２３又はＨＤＤ１５に格納された制御プログラムをＲＡＭ２４に読み出して実行することにより実現される。また、以下で説明する制御端末３９の処理は、例えば制御端末のＣＰＵがＲＯＭやＨＤＤに格納された制御プログラムをＲＡＭに読み出して実行することにより実現される。

まず、制御端末３９の起動フローについて説明する。Ｓ２００で、制御端末３９は、画像形成装置８に対して、ネットワーク４０経由でログインを行う。これにより、制御端末３９より画像形成装置８の管理用コマンドが利用できるようになる。続いて、Ｓ２０４で、制御端末３９は、画像形成装置８のＯＥＭｘテーブル１４０を参照する。詳細については後述するが、ここでは、制御端末３９の要求に従って画像形成装置８のオペレーティングシステムがＯＥＭｘテーブル１４０を参照することになる。さらに、Ｓ２０８で、制御端末３９は、画像形成装置８の不揮発性メモリであるＳＰＩＦｌａｓｈ２３の全ブロックをライトプロテクトするための設定値を取得する。Ｓ２１２で、制御端末３９は、画像形成装置８からログアウトし、処理を終了する。

次に、画像形成装置８の起動フローについて説明する。Ｓ２５０で、画像形成装置８の電源が投入され、Ｓ２５４で画像形成装置８にてＢＩＯＳが起動される。

Ｓ２５８で、画像形成装置８上で動作するＢＩＯＳが、ＲＡＭ２４上にＡＣＰＩテーブル１００の作成を開始する。ＡＣＰＩテーブル１００の作成を開始すると、Ｓ２６２で、ＣＰＵ１６は、ＡＣＰＩテーブル１００のうち、ＯＥＭｘテーブル１４０の作成であるか否かを判断する。ＯＥＭｘテーブル１４０の作成である場合は、Ｓ２６６に進み、そうでない場合はＳ２７０に進む。

Ｓ２６６で、ＣＰＵ１６は、ＳＰＩＦｌａｓｈ２３の全ブロックをライトプロテクトするための設定値を、ＯＥＭｘテーブル１４０にコピーし、Ｓ２７０に進む。もちろん、ＡＣＰＩテーブル１００はオペレーティングシステム起動後も参照可能であるため、オペレーティングシステムが、ＳＰＩＦｌａｓｈ２３の全ブロックをライトプロテクトするための設定値を取得することが可能となる。即ち、ここでは、画像形成装置８の起動時であって、オペレーティングシステムが起動する前に当該コピー処理を行っている。

Ｓ２７０で、ＣＰＵ１６は、画像形成装置８にてＬｏａｄｅｒを起動し、Ｓ２７４Ｄｅ、オペレーティングシステムを起動する。続いて、Ｓ２７８で、ＣＰＵ１６は、ネットワーク接続部１３を起動し、ネットワーク４０を介して、制御端末３９との通信接続を確立する。即ち、これ以降、制御端末３９からのネットワーク４０経由でのログイン（Ｓ２００）を受け付けることが可能となる。

Ｓ２８２で、ＣＰＵ１６は、制御端末３９からのＳ２０４の動作を受け、ＲＡＭ２４上のＯＥＭｘテーブル１４０を参照する。続いて、Ｓ２８６で、ＣＰＵ１６は、参照したＯＥＭｘテーブル１４０に上記Ｓ２６６でコピーされた、ＳＰＩＦｌａｓｈ２３の全ブロックをライトプロテクトするための設定値を取得する。ここでは、制御端末３９からのＳ２０４の動作を受けての取得処理であるため、ＣＰＵ１６は、ＳＰＩＦｌａｓｈ２３の全ブロックをライトプロテクトするための設定値を、制御端末３９に対してネットワーク４０経由で送信し、処理を終了する。その後、制御端末３９でのＳ２０８の動作につながる。

以上説明したように、本実施形態に係る画像形成装置は、起動ファームウェアを格納した不揮発性メモリと、起動ファームウェアと画像形成装置のオペレーティングシステムとが共通して利用可能なメモリ空間を有する揮発性メモリと、を備える。また、本画像形成装置は、起動ファームウェアが有する設定項目のうち、不揮発性メモリをライトプロテクトする設定項目の設定値を、メモリ空間にコピーする。また、画像形成装置のオペレーティングシステムは、メモリ空間にコピーされた設定値を取得して確認する。これにより、外部装置である制御端末３９から画像形成装置８に向けて、管理用コマンドの入出力を行うことで、画像形成装置８での不揮発性メモリの全ブロックをライトプロテクトするための設定値を取得することが可能となる。また、本発明によれば、起動ファームウェアがＢＩＯＳである場合、セキュリティ面の懸念となり得るセットアップメニューを実行することなく、不揮発性メモリの全ブロックをライトプロテクトするための設定情報を参照できるようになる。このように、本発明によれば、不揮発性メモリのライトプロテクトに関する設定項目をＯＳで参照可能としつつ、当該不揮発性メモリに格納された情報の改ざんリスクを好適に確認することができる。これにより、工場担当者の操作ミスによる、ＢＩＯＳ設定値の変更も防止することが可能となる。

＜その他の実施形態＞
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサーがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

発明は上記実施形態に制限されるものではなく、発明の精神及び範囲から離脱することなく、様々な変更及び変形が可能である。従って、発明の範囲を公にするために請求項を添付する。

１：コントローラ部、２：スキャナ部、３：プリンタ部、４：操作部、５：制御部、６：ユーザ認証入力装置、１０：ＬＣＤ／タッチパネル、１１：操作キー、１２：節電ボタン、１３：ネットワーク接続部、１５：ＨＤＤ、１６：ＣＰＵ、１８：電源制御部、１９〜２２：スイッチ、２３：ＳＰＩＦｌａｓｈ、２４：ＲＡＭ、３９：制御端末、４０：ネットワーク

Claims

画像形成装置であって、
起動ファームウェアを格納した不揮発性メモリと、
前記起動ファームウェアと前記画像形成装置のオペレーティングシステムとが共通して利用可能なメモリ空間を有する揮発性メモリと、
前記起動ファームウェアが有する設定項目のうち、前記不揮発性メモリをライトプロテクトする設定項目の設定値を、前記メモリ空間にコピーする制御手段と
を備え、
前記オペレーティングシステムは、前記メモリ空間にコピーされた前記設定値を取得して確認することを特徴とする画像形成装置。
前記不揮発性メモリをライトプロテクトする設定項目は、前記不揮発性メモリの全ブロックへの書き込みを禁止する設定項目であることを特徴とする請求項１に記載の画像形成装置。
外部装置と通信を行う通信インタフェースをさらに備え、
前記通信インタフェースは、前記外部装置からの要求に従って、前記メモリ空間にコピーされた前記設定値を、前記外部装置に送信することを特徴とする請求項１又は２に記載の画像形成装置。
前記メモリ空間は、前記不揮発性メモリにおいて予め定められた領域に設けられることを特徴とする請求項１乃至３の何れか１項に記載の画像形成装置。
前記起動ファームウェアは、ＢＩＯＳであり、
前記不揮発性メモリをライトプロテクトする設定項目の設定値は、前記ＢＩＯＳの設定値であることを特徴とする請求項１乃至４の何れか１項に記載の画像形成装置。
前記制御手段は、前記画像形成装置の起動時において、前記不揮発性メモリをライトプロテクトする設定項目の設定値を、前記メモリ空間にコピーすることを特徴とする請求項１乃至５の何れか１項に記載の画像形成装置。
前記制御手段は、前記オペレーティングシステムを起動する前に、前記不揮発性メモリをライトプロテクトする設定項目の設定値を、前記メモリ空間にコピーすることを特徴とする請求項１乃至６の何れか１項に記載の画像形成装置。
前記メモリ空間は、ＡＣＰＩテーブルであることを特徴とする請求項１乃至７の何れか１項に記載の画像形成装置。
前記通信インタフェースは、ＲＳ−２３２規格のケーブル上でのシリアル転送通信で前記外部装置と通信を行うことを特徴とする請求項３に記載の画像形成装置。
前記通信インタフェースは、ＴＣＰ／ＩＰ通信で前記外部装置と通信を行うことを特徴とする請求項３に記載の画像形成装置。
起動ファームウェアを格納した不揮発性メモリと、前記起動ファームウェアと画像形成装置のオペレーティングシステムとが共通して利用可能なメモリ空間を有する揮発性メモリと、を備える画像形成装置の制御方法であって、
前記起動ファームウェアが有する設定項目のうち、前記不揮発性メモリをライトプロテクトする設定項目の設定値を、前記メモリ空間にコピーする工程と
前記オペレーティングシステムによって、前記メモリ空間にコピーされた前記設定値を取得して確認する工程と
を含むことを特徴とする画像形成装置の制御方法。