JP2021111916A - 情報処理装置及びプログラム復旧方法 - Google Patents

Abstract

【課題】機器の動作の安全性と、プログラムの復旧時のユーザへの情報の提供とを両立する仕組みを実現すること。【解決手段】実行手段と、第１のプログラムを記憶する第１の記憶手段と、前記第１のプログラムの正当性を検証して、前記第１のプログラムが正当であると判定される場合に前記実行手段による前記第１のプログラムの実行を可能にする検証手段と、第２のプログラムを記憶する第２の記憶手段と、を備え、前記検証手段は、前記第１のプログラムが正当ではないと判定される場合に、前記第２のプログラムの正当性を検証して、前記第２のプログラムが正当であると判定されるときに、前記実行手段による前記第２のプログラムの実行を可能にし、且つ、前記第１の記憶手段の前記第１のプログラムを復旧し、前記実行手段は、前記第２のプログラムを実行することにより、復旧に関する情報をユーザへ提示する、情報処理装置が提供される。【選択図】図７

Description

本開示は、情報処理装置及びプログラム復旧方法に関する。

情報機器に組み込まれるファームウェアが改竄されるリスクへの対策として、機器の起動時にファームウェアの正当性を検証する手法が知られている。ファームウェアの正当性を検証することは、改竄のみならずファームウェアの劣化から機器を保護する観点でも有益である。

特許文献１は、システムの起動時に実行されるブートプログラムの正当性を、ブートプログラムについて誤り検出演算を行うことで検証する手法を開示している。特許文献１の手法では、通常起動用のメモリから読出されるブートプログラムの正当性が否定された場合、バックアップ用のメモリから読出されるプログラムを用いてシステムが起動される。特許文献１は、ブートプログラムの劣化への対策として、バックアップ用のメモリから読出されるプログラムで通常起動用のメモリ内のブートプログラムを上書きすることも提案している。

特許文献２は、プログラムを主として実行するＣＰＵとは別の補助的なＣＰＵが主たるＣＰＵにより実行されるプログラムの正当性を検証することで、機器による不正な動作のリスクを低減する手法を開示している。

特開２０１０−０２６６５０号公報 特開２０１４−０２１９５３号公報

通常起動用のブートプログラムの正当性が否定された場合に、バックアップ用のブートプログラムを用いて通常起動用のブートプログラムを復旧する処理は、ある程度の時間を要する。復旧処理の期間中、システムからユーザへ何も情報が提供されなければ、ユーザは、システムが起動しない原因を把握することができず、システムの電源をオフにしてしまうかもしれない。ユーザが一旦電源をオフにすると、ブートプログラムの復旧は一からやり直しとなる。とりわけ、補助的なＣＰＵを用いてプログラムの正当性を検証する手法を取り入れる場合、機器の不正な動作のリスクは低減されるものの、復旧処理中に補助的なＣＰＵがユーザへ情報を提供できないことが不都合となる。

そこで、本開示は、機器の動作の安全性と、プログラムの復旧時のユーザへの情報の提供とを両立することのできる仕組みを実現することを目的とする。

ある観点によれば、プログラムを実行する実行手段と、前記実行手段による実行のための第１のプログラムを記憶する第１の記憶手段と、前記第１のプログラムの正当性を検証して、前記第１のプログラムが正当であると判定される場合に前記実行手段による前記第１のプログラムの実行を可能にする検証手段と、前記実行手段による実行のための第２のプログラムを記憶する第２の記憶手段と、を備え、前記検証手段は、前記第１のプログラムが正当ではないと判定される場合に、前記第２のプログラムの正当性を検証して、前記第２のプログラムが正当であると判定されるときに、前記実行手段による前記第２のプログラムの実行を可能にし、且つ、前記第１の記憶手段の前記第１のプログラムを復旧し、前記実行手段は、前記第２のプログラムを実行することにより、前記第１のプログラムの復旧に関する情報をユーザへ提示する、情報処理装置が提供される。

本開示によれば、機器の動作の安全性と、プログラムの復旧時のユーザへの情報の提供とを両立することが可能となる。

一実施形態に係るＭＦＰの概略的な構成の一例を示すブロック図。 一実施形態に係るメインＣＰＵの具体的な構成の一例を示すブロック図。 一実施形態に係るサブＣＰＵの具体的な構成の一例を示すブロック図。 一実施形態に係るフラッシュＲＯＭのメモリマップの一例を示す説明図。 一実施形態に係るバススイッチと他のデバイスとの間の接続関係の一例を示すブロック図。 一実施形態において画面上に表示され得る復旧に関する情報の一例を示す模式図。 一実施形態に係るサブＣＰＵにより実行される処理の流れの一例を示すフローチャート。 一実施形態に係るメインＣＰＵにより実行される処理の流れの一例を示すフローチャート。

以下、添付図面を参照して実施形態を詳しく説明する。なお、以下の実施形態は特許請求の範囲に係る発明を限定するものではない。実施形態には複数の特徴が記載されているが、これらの複数の特徴の全てが発明に必須のものとは限らず、また、複数の特徴は任意に組み合わせられてもよい。さらに、添付図面においては、同一若しくは同様の構成に同一の参照番号を付し、重複した説明は省略する。

＜＜１．装置の概要＞＞
本節では、本開示に係る技術がＭＦＰ（Multi-Function Peripheral）に適用される例を説明する。しかしながら、本開示に係る技術は、ＭＦＰに限定されず、例えばプリンタ、スキャナ、ファクシミリ、ＰＣ（Personal Computer）、タブレットデバイス及びスマートフォンといった、いかなる種類の情報処理装置に適用されてもよい。特に説明の無い限り、以下に説明する装置、デバイス、モジュール及びチップといった構成要素の各々は、単一のエンティティで構成されてもよく、又は物理的に異なる複数のエンティティから構成されてもよい。

図１は、一実施形態に係るＭＦＰ１の概略的な構成の一例を示すブロック図である。図１を参照すると、ＭＦＰ１は、メインＣＰＵ１０１、ＤＲＡＭ１０２、操作Ｉ／Ｆ１０３、ネットワークＩ／Ｆ１０４、プリンタ１０５、スキャナ１０６、ＦＡＸ１０７、ＨＤＤ１０８、画像処理部１０９及び電源制御部１１２を備える。ＭＦＰ１のこれら構成要素は、信号バス１１０を介して相互に接続される。操作Ｉ／Ｆ１０３は、操作部１１１へ接続される。

メインＣＰＵ（Central Processing Unit)１０１は、ＭＦＰ１の機能の全般を制御するプロセッサである。ＤＲＡＭ（Dynamic Random Access Memory）１０２は、メインＣＰＵ１０１のための主記憶デバイスであり、メインＣＰＵ１０１により実行されるプログラム及び関連するデータを一時的に記憶する。操作インタフェース（Ｉ／Ｆ）１０３は、操作部１１１を信号バス１１０へ接続するためのインタフェースである。操作部１１１は、ユーザによるＭＦＰ１の操作のためのユーザインタフェースを提供するユニットである。操作部１１１は、例えば、ボタンの押下又はタッチパネルへのタッチといったユーザ操作を受け付けると、対応する操作信号を操作Ｉ／Ｆ１０３を介してメインＣＰＵ１０１へ送信する。また、操作部１１１は、例えば、操作のための情報をディスプレイ（図示せず）の画面上に表示させる。ネットワークＩ／Ｆ１０４は、ＭＦＰ１による外部の装置との間の通信のためのインタフェースである。ネットワークＩ／Ｆ１０４は、例えばＬＡＮ（Local Area Network）インタフェースであってもよい。プリンタ１０５は、画像データにより表現される画像をシートへ印刷するユニットである。スキャナ１０６は、原稿の画像を光学的に読み取り、光信号を電気信号へ変換して、スキャン画像データを生成するユニットである。ファクシミリ（ＦＡＸ）１０７は、公衆回線へ接続され、外部のファクシミリ装置との間でファクシミリ通信を行うユニットである。ＨＤＤ（Hard Disk Drive）１０８は、いわゆる二次記憶デバイスである。ＨＤＤ１０８は、ＭＦＰ１の様々な機能により利用されるデータと、メインＣＰＵ１０１により実行されるプログラムのうち正当性の検証を要しないプログラムとを記憶する。ＨＤＤ１０８は、プリントジョブ及びスキャンジョブをスプールするためのスプール領域、並びにスキャン画像データを再利用に向けて保存するための保存領域として利用されてもよい。画像処理部１０９は、ネットワークＩ／Ｆ１０４を介して受信されるプリントジョブの画像データを、プリンタ１０５による印刷に適した画像データへ変換する処理モジュールである。画像処理部１０９は、さらに、スキャナ１０６により読み取られたスキャン画像データについて、ノイズ除去、色空間の変換、回転及びデータ圧縮といった画像処理を実行し得る。さらに、画像処理部１０９は、ＨＤＤ１０８に記憶される画像データについて任意の種類の画像処理を実行してよい。電源制御部１１２は、ＭＦＰ１を構成するモジュールへの電力の供給を制御するユニットである。図中では、外部の商用ＡＣ電源からの電力の供給及びＭＦＰ１内の各モジュールへの電力の供給が太い破線の矢印で簡略的に示されている。

図１を参照すると、ＭＦＰ１は、さらに、フラッシュＲＯＭ１２０、フラッシュＲＯＭ１２１、サブＣＰＵ１２２及びリセット回路１２３を含む。メインＣＰＵ１０１、フラッシュＲＯＭ１２０、フラッシュＲＯＭ１２１及びサブＣＰＵ１２２は、ＳＰＩ（Serial Peripheral Interface）バス１１５を介して相互に接続される。

フラッシュＲＯＭ１２０は、メインＣＰＵ１０１による実行のためのプログラム（例えば、第１のプログラム）と、ＭＦＰ１の基本的な設定のための既定の設定値とを記憶する記憶手段である。フラッシュＲＯＭ１２０は、例えば、メインＣＰＵ１０１の起動時に実行されるブートコードを記述したブートプログラムを記憶する。フラッシュＲＯＭ１２０は、ＭＦＰ１のＢＩＯＳ（Basic Input Output System）プログラムをさらに記憶してもよい。フラッシュＲＯＭ１２０に記憶されるプログラムは、サブＣＰＵ１２２による正当性の検証の対象とされる。

フラッシュＲＯＭ１２１もまた、メインＣＰＵ１０１による実行のためのプログラム（例えば、第２のプログラム）を記憶する記憶手段である。フラッシュＲＯＭ１２１に記憶されるプログラムは、例えば、フラッシュＲＯＭ１２０に記憶されるブートプログラムと同様にメインＣＰＵ１０１を起動することができ、但し後述する復旧関連情報のユーザへの提供を可能にするブートプログラムであり得る。フラッシュＲＯＭ１２１内のブートプログラムは、典型的には、フラッシュＲＯＭ１２０内のブートプログラムが正当ではないと判定された場合に、バックアップとして実行される。フラッシュＲＯＭ１２１に記憶されるプログラムもまた、サブＣＰＵ１２２による正当性の検証の対象とされる。

サブＣＰＵ１２２は、フラッシュＲＯＭ１２０に記憶されているプログラムの正当性をメインＣＰＵ１０１による実行の前に検証する、補助的なプロセッサである。即ち、メインＣＰＵ１０１は実行手段の一例であり、サブＣＰＵ１２２は検証手段の一例である。プログラムが正当な開発者の意図に反して変化している場合には、検証の結果として、プログラムは正当ではないと判定され得る。一方で、そうした変化が無い場合には、プログラムは正当であると判定され得る。例えば、ＭＦＰ１に不正にアクセスした第三者がプログラムを改竄した場合に、プログラムは正当性を失う。また、装置の経年劣化に起因してプログラムデータのビットが書き換わった場合にも、プログラムは正当性を失う。サブＣＰＵ１２２による正当性検証の手法について、後にさらに説明する。サブＣＰＵ１２２は、フラッシュＲＯＭ１２０に記憶されている第１のプログラム（例えば、ブートプログラム）が検証の結果として正当であると判定される場合に、メインＣＰＵ１０１による第１のプログラムの実行を可能にする。また、サブＣＰＵ１２２は、第１のプログラムが正当ではないと判定される場合に、第１のプログラムの復旧用バージョンを用いて、正当性を否定された第１のプログラムを復旧する。第１のプログラムの復旧用バージョンは、例えば、フラッシュＲＯＭ１２０に設けられる保護された（例えば、書換不能な）記憶領域に予め記憶され得る。

リセット回路１２３は、リセット信号線１３１を介してサブＣＰＵ１２２へ接続され、サブＣＰＵ１２２へリセット制御信号を出力する。一方、サブＣＰＵ１２２は、リセット信号線１３２を介してメインＣＰＵ１０１へ接続され、メインＣＰＵ１０１へリセット制御信号を出力する。これらリセット制御信号は、例えば、“Ｌｏ”又は“Ｈｉ”という２通りの信号レベルを有する信号である（例えば、“Ｌｏ”はゼロに相当する電気信号レベル、“Ｈｉ”は１に相当する電気信号レベルであり得る）。リセット制御信号の“Ｌｏ”レベルは信号の出力先のＣＰＵがリセット状態（無効化状態）に維持されるべきことを、“Ｈｉ”レベルは当該ＣＰＵが通常の動作を行うべきことを意味する。

リセット回路１２３は、例えば、ＭＦＰ１の電源が投入されると、サブＣＰＵ１２２へ出力されるリセット制御信号の信号レベルを“Ｌｏ”から“Ｈｉ”へ切替える。この切替えは、リセット解除の指示を意味し、それによりサブＣＰＵ１２２の動作が可能とされる。サブＣＰＵ１２２は、リセット解除の指示に応じて動作を開始し、フラッシュＲＯＭ１２０から第１のプログラムを読出して、第１のプログラムの正当性を検証する。この間、サブＣＰＵ１２２からメインＣＰＵ１０１へ出力されるリセット制御信号の信号レベルは、“Ｌｏ”に維持される。サブＣＰＵ１２２は、第１のプログラムの検証に成功すると、メインＣＰＵ１０１へのリセット制御信号の信号レベルを“Ｌｏ”から“Ｈｉ”へ切替える。この切替えは、リセット解除の指示を意味し、それによりメインＣＰＵ１０１の動作が可能とされる。メインＣＰＵ１０１は、リセット解除の指示に応じて動作を開始し、第１のプログラムを実行する。

このように、メインＣＰＵ１０１がＭＦＰ１の主要なプログラムである第１のプログラムを実行する前に当該プログラムの正当性をサブＣＰＵ１２２が検証することで、プログラムの改竄及び劣化といったリスクからＭＦＰ１が保護される。加えて、サブＣＰＵ１２２が検証失敗時にプログラムを復旧する機能を有することで、ＭＦＰ１のダウンタイムが短縮され、可用性が向上する。しかしながら、図１からも理解されるように、サブＣＰＵ１２２は、操作部１１１及びネットワークＩ／Ｆ１０４といった情報提供手段から分離されている。これは、サブＣＰＵ１２２がメインＣＰＵ１０１により実行されるべきプログラムを復旧している期間中、サブＣＰＵ１２２によりユーザへ復旧に関する情報を提供できないことを意味する。復旧処理の期間中、ユーザへの情報提供がなされなければ、ユーザは、ＭＦＰ１が起動しない原因を把握することができず、ＭＦＰ１の電源をオフにしてしまうかもしれない。ユーザが一旦電源をオフにすると、プログラムの復旧は一からやり直しとなる。

こうした不都合を解消するために、本実施形態では、上述したように、フラッシュＲＯＭ１２０とは別のフラッシュＲＯＭ１２１に、メインＣＰＵ１０１により実行可能なプログラムが予め記憶される。サブＣＰＵ１２２は、フラッシュＲＯＭ１２０に記憶されている第１のプログラムが正当ではないと判定される場合に、フラッシュＲＯＭ１２１に記憶されている第２のプログラム（例えば、バックアップ用のブートプログラム）の正当性を検証する。そして、サブＣＰＵ１２２は、第２のプログラムが正当であると判定される場合に、メインＣＰＵ１０１による第２のプログラムの実行を可能にし、フラッシュＲＯＭ１２０の第１のプログラムの復旧を開始する。メインＣＰＵ１０１は、第２のプログラムを実行することにより、第１のプログラムの復旧に関する情報を、ユーザへ提示する。このように、復旧処理の期間中に、サブＣＰＵ１２２の代わりにメインＣＰＵ１０１が復旧に関する情報をユーザへ提示することで、ＭＦＰ１が通常通り起動しない原因をユーザに知らせることができる。それにより、ユーザがむやみに電源をオフにすることが無くなり、プログラムの安全な復旧が担保される。次節より、動作の安全性とプログラム復旧時のユーザへの情報提供とを両立する上述した仕組みを備えたＭＦＰ１の各部の構成について、詳細に説明する。

＜＜２．各部の詳細＞＞
＜２−１．メインＣＰＵの構成例＞
図２は、本実施形態に係るメインＣＰＵ１０１の具体的な構成の一例を示すブロック図である。メインＣＰＵ１０１は、ＣＰＵコア２０１、ＳＰＩ Ｉ／Ｆ２０２、バスＩ／Ｆ２０３、リセット端子２０４、ＳＲＡＭ２０５及び信号バス２０９を含む。

ＣＰＵコア２０１は、メインＣＰＵ１０１の機能を遂行するための演算を実行するプロセッサコアである。ＳＰＩ Ｉ／Ｆ２０２は、ＳＰＩバス１１５を介するメインＣＰＵ１０１と他のＳＰＩデバイスとの間の通信のためのインタフェース（ＳＰＩマスタともいう）である。バスＩ／Ｆ２０３は、信号バス１１０を介するメインＣＰＵ１０１と他のモジュールとの間の通信のためのインタフェースである。リセット端子２０４は、サブＣＰＵ１２２からリセット信号線１３２を介して入力されるリセット制御信号を受け付ける端子である。ＳＲＡＭ２０５は、メインＣＰＵ１０１のいわゆるキャッシュメモリであり、ＣＰＵコア２０１により演算用のワークメモリとして使用され得る。信号バス２０９は、ＣＰＵコア２０１、ＳＰＩ Ｉ／Ｆ２０２、バスＩ／Ｆ２０３及びＳＲＡＭ２０５を相互に接続する。

本実施形態において、ＭＦＰ１の電源が投入された直後に、リセット端子２０４が受け付けるリセット制御信号のレベルは“Ｌｏ”であり、メインＣＰＵ１０１はリセット状態（無効化状態）に維持される。その間、サブＣＰＵ１２２によりプログラムの正当性の検証が行われる。サブＣＰＵ１２２により第１のプログラムが正当であると判定された場合、リセット制御信号のレベルが“Ｈｉ”へ切替わり、ＣＰＵコア２０１は動作を開始する。その動作の冒頭において、ＣＰＵコア２０１は、フラッシュＲＯＭ１２０の所定のアドレスに記憶されている第１のプログラムをＳＰＩバス１１５を介して読出し、読出した第１のプログラムを実行する。上述したように、第１のプログラムは、少なくともブートコードを記述したブートプログラムを含み得る。例えば、メインＣＰＵ１０１は、ブートプログラムを実行してメインＣＰＵ１０１の入出力機能を初期化した後、さらにＯＳ、各モジュールのドライバ及びその他のアプリケーションといったプログラムを実行してＭＦＰ１の通常の動作を開始する。サブＣＰＵ１２２により第１のプログラムが正当ではないと判定されたものの、第２のプログラムが正当であると判定された場合にも、リセット端子２０４へ入力されるリセット制御信号のレベルは“Ｈｉ”へ切替わり、ＣＰＵコア２０１は動作を開始する。その動作の冒頭において、ＣＰＵコア２０１は、フラッシュＲＯＭ１２１の所定のアドレスに記憶されている第２のプログラムをＳＰＩバス１１５を介して読出し、読出した第２のプログラムを実行する。上述したように、第２のプログラムは、少なくとも第１のプログラムの復旧に関する情報をユーザへ提示するためのプログラムコードを含み得る。

本実施形態において、ＳＰＩバス１１５は、メインＣＰＵ１０１からの信号経路の接続先を、フラッシュＲＯＭ１２０及びフラッシュＲＯＭ１２１の間で切替可能な切替手段としてのバススイッチ（図１には示していない）をさらに備える。バススイッチによる信号経路の切替えは、後述するように、サブＣＰＵ１２２により制御される。サブＣＰＵ１２２による制御の下で、ＳＰＩバス１１５のバススイッチが信号経路を切替えることで、どこからプログラムを読出すべきかをメインＣＰＵ１０１が認識する必要性が排除される。それにより、メインＣＰＵ１０１の実装への影響を最小化しつつ、本実施形態の仕組みをＭＦＰ１に取り入れることが可能とされる。ＳＰＩバス１１５のバススイッチの具体的な構成の一例について、後にさらに説明する。

＜２−２．サブＣＰＵの構成例＞
図３は、本実施形態に係るサブＣＰＵ１２２の具体的な構成の一例を示すブロック図である。サブＣＰＵ１２２は、ＣＰＵコア３０１、ＳＰＩ Ｉ／Ｆ３０２、ＧＰＩＯ３０３及び３０４、ＯＴＰ３０５、ＳＲＡＭ３０６、リセット端子３０７、暗号処理部３０８、信号バス３０９、ブートＲＯＭ３１０及び暗号ＲＡＭ３１１を含む。

ＣＰＵコア３０１は、サブＣＰＵ１２２の機能を遂行するための演算を実行するプロセッサコアである。ＳＰＩ Ｉ／Ｆ３０２は、ＳＰＩバス１１５を介するサブＣＰＵ１２２と他のＳＰＩデバイスとの間の通信のためのインタフェース（ＳＰＩマスタともいう）である。汎用入出力端子（ＧＰＩＯ）３０３は、リセット信号線１３２を介してメインＣＰＵ１０１へ接続される端子であり、メインＣＰＵ１０１へのリセット制御信号の出力のために使用される。ＧＰＩＯ３０４は、切替信号線１３３を介してＳＰＩバス１１５のバススイッチ５０１へ接続される端子であり、バススイッチ５０１への切替信号の出力のために使用される。ＯＴＰ（One Time Programmable）３０５は、製造時に一度だけ書込みが可能であって、書換えが不能なメモリ領域である。本実施形態では、サブＣＰＵ１２２のファームウェアのハッシュ値を公開鍵暗号方式の秘密鍵で暗号化した暗号化済みハッシュ値（即ち、署名）及び後述するＴａｇのアドレスが、予めＯＴＰ３０５に書込まれ得る。ＳＲＡＭ３０６は、サブＣＰＵ１２２のいわゆるキャッシュメモリであり、ＣＰＵコア３０１により演算用のワークメモリとして使用され得る。リセット端子３０７は、リセット回路１２３からリセット信号線１３１を介して入力されるリセット制御信号を受け付ける端子である。暗号処理部３０８は、サブＣＰＵ１２２による署名検証を支援する、暗号関連処理に専用のプロセッサである。例えば、暗号処理部３０８は、サブＣＰＵ１２２のファームウェア及びメインＣＰＵ１０１のプログラムの署名を復号することにより、それぞれの正当なハッシュ値を復元する。暗号処理部３０８は、プログラムデータからハッシュ値を導出するためのハッシュ計算を行ってもよい。信号バス３０９は、ＣＰＵコア３０１、ＳＰＩ Ｉ／Ｆ３０２、ＧＰＩＯ３０３、ＧＰＩＯ３０４、ＯＴＰ３０５、ＳＲＡＭ３０６、暗号処理部３０８、ブートＲＯＭ３１０及び暗号ＲＡＭ３１１を相互に接続する。ブートＲＯＭ３１０は、サブＣＰＵ１２２のブートコードを記述したブートプログラムを予め記憶する記憶デバイスである。暗号ＲＡＭ３１１は、暗号処理部３０８により処理される高い機密性の求められるデータを一時的に記憶する、暗号関連処理に専用のメモリである。

本実施形態において、ＭＦＰ１の電源が投入されると、リセット端子３０７が受付けるリセット制御信号のレベルは“Ｌｏ”から“Ｈｉ”へ切替わり、ＣＰＵコア３０１は動作を開始する。その動作の冒頭において、ＣＰＵコア３０１は、ブートＲＯＭ３１０から自身のブートプログラムをＳＲＡＭ３０６へ読出し、読出したブートプログラムを実行する。そして、ＣＰＵコア３０１は、ブートプログラムに従って、上述したようにメインＣＰＵ１０１により実行されるべきプログラムの正当性の検証を開始する。

＜２−３．メモリマップ＞
図４は、本実施形態に係るフラッシュＲＯＭ１２０及び１２１のメモリマップの一例を示す説明図である。例えば、フラッシュＲＯＭ１２０は、メインＣＰＵ ＦＷ（例えば、ブートプログラム）４０１、署名４０２、Ｔａｇ４０３、サブＣＰＵ ＦＷ４０４、署名４０５、ＲＯＭ−ＩＤ４０６及び復旧用ＦＷ４０７を予め記憶する。メインＣＰＵファームウェア（ＦＷ）４０１は、例えば、メインＣＰＵ１０１のブートプログラムである。メインＣＰＵ ＦＷ４０１は、典型的には、フラッシュＲＯＭ１２０の先頭の記憶領域に記憶される。署名４０２は、メインＣＰＵ ＦＷ４０１の正当性検証用の署名（例えば、ＲＳＡ署名）である。署名４０２は、（正当な）メインＣＰＵ ＦＷ４０１のハッシュ値を暗号化することにより予め導出され、フラッシュＲＯＭ１２０に記憶され得る。Ｔａｇ４０３は、サブＣＰＵ ＦＷ４０４が記憶されている記憶領域の先頭のアドレスを示すデータである。Ｔａｇ４０３のアドレスは、上述したようにＯＴＰ３０５に記憶される。サブＣＰＵ ＦＷ４０４は、ＣＰＵコア３０１により実行されるプログラムコードを含むファームウェアである。署名４０５は、サブＣＰＵ ＦＷ４０４の正当性検証用の署名（例えば、ＥＣＤＳＡ署名）である。署名４０５は、（正当な）サブＣＰＵ ＦＷ４０４の全体又は先頭の特定部分に基づいて予め導出され、フラッシュＲＯＭ１２０に記憶され得る。ＲＯＭ−ＩＤ４０６は、メインＣＰＵ ＦＷ４０１が記憶されている記憶領域の先頭のアドレス、その記憶領域のサイズ及び署名４０２のアドレスを含むデータである。復旧用ＦＷ４０７は、メインＣＰＵ ＦＷ４０１の正当性が失われた場合にメインＣＰＵ ＦＷ４０１に上書きされる、同一ファームウェアの復旧用バージョンである。復旧用ＦＷ４０７と共に、署名４０２の復旧用バージョンがフラッシュＲＯＭ１２０にさらに記憶されてもよい。これら復旧用バージョンの記憶領域は、書換不能となるように保護される。例えば、書換えから保護されるべきＲＯＭの特定のアドレス範囲を指定する情報が、ＯＴＰのレジスタ領域において保持されてもよい。

図４には、フラッシュＲＯＭ１２１がフラッシュＲＯＭ１２０と同等のメモリマップで構成される例が示されている。しかしながら、本開示に係る技術は、これらＲＯＭのメモリマップが相違する例にも適用可能である。図４の例では、フラッシュＲＯＭ１２１は、メインＣＰＵ ＦＷ４１１、署名４１２、Ｔａｇ４０３、サブＣＰＵ ＦＷ４０４、署名４０５、ＲＯＭ−ＩＤ４０６及び復旧用ＦＷ４１７を予め記憶する。メインＣＰＵ ＦＷ４１１は、例えば、メインＣＰＵ１０１のブートプログラムであり、但し、メインＣＰＵ ＦＷ４０１の復旧に関する情報をユーザへ提示するためのプログラムコードを含む。メインＣＰＵ ＦＷ４１１は、典型的には、フラッシュＲＯＭ１２１の先頭の記憶領域に記憶される。署名４１２は、メインＣＰＵ ＦＷ４１１の正当性検証用の署名である。署名４１２は、（正当な）メインＣＰＵ ＦＷ４１１のハッシュ値を暗号化することにより予め導出され、フラッシュＲＯＭ１２１に記憶され得る。ＲＯＭ−ＩＤ４１６は、メインＣＰＵ ＦＷ４１１が記憶されている記憶領域の先頭のアドレス、その記憶領域のサイズ及び署名４１２のアドレスを含むデータである。復旧用ＦＷ４１７は、メインＣＰＵ ＦＷ４１１の正当性が失われた場合にメインＣＰＵ ＦＷ４１１に上書きされる、同一ファームウェアの復旧用バージョンである。復旧用ＦＷ４１７と共に、署名４１２の復旧用バージョンがフラッシュＲＯＭ１２１にさらに記憶されてもよい。これら復旧用バージョンの記憶領域は、書換不能となるように保護される。例えば、書換えから保護されるべきＲＯＭの特定のアドレス範囲を指定する情報が、ＯＴＰのレジスタ領域において保持されてもよい。

なお、ここでは一例として、署名４０２、４１２がＲＳＡ署名、署名４０５がＥＣＤＳＡ署名である例を説明したが、各署名は、ＲＳＡ署名、ＤＳＡ署名又はＥＣＤＳＡ署名といった、いかなる種類のデジタル署名方式に基づいていてもよい。

＜２−４．バススイッチの構成例＞
図５は、一実施形態においてＳＰＩバス１１５に設けられるバススイッチ５０１と他のデバイスとの間の接続関係の一例を示すブロック図である。

ＳＰＩは、集積回路間のシリアル通信のための同期的な通信方式の一種である。ＳＰＩバスの基本的なアーキテクチャは、マスタデバイスとスレーブデバイスとの間を接続する４本の信号線からなる。それら信号線のうちの２本は、それぞれクロック信号及びスレーブ選択信号（チップ選択（ＣＳ）信号ともいう）の伝送用である。他の２本は、マスタデバイスからスレーブデバイスへ（マスタ・アウト・スレーブ・イン（ＭＯＳＩ））のデータ信号の伝送用、及びスレーブデバイスからマスタデバイスへ（マスタ・イン・スレーブ・アウト（ＭＩＳＯ））のデータ信号の伝送用である。マスタデバイスは、スレーブ選択信号をアサートして通信相手のスレーブデバイスを選択することを示しつつ、クロック信号をスレーブデバイスへ供給する。すると、それらクロック信号及びスレーブ選択信号に従って、マスタデバイスから選択されたスレーブデバイスへ、又は選択されたスレーブデバイスからマスタデバイスへデータが送信される。

図５の例では、メインＣＰＵ１０１のＳＰＩ Ｉ／Ｆ２０２及びサブＣＰＵ１２２のＳＰＩ Ｉ／Ｆ３０２がマスタデバイスであり、フラッシュＲＯＭ１２０及びフラッシュＲＯＭ１２１がスレーブデバイスである。

サブＣＰＵ１２２のＳＰＩ Ｉ／Ｆ３０２は、スレーブ選択信号端子（ＣＳ）、クロック信号端子（ＣＬＫ）、データ出力端子（ＭＯＳＩ）及びデータ入力端子（ＭＩＳＯ）を有する。サブＣＰＵ１２２のスレーブ選択信号端子は、信号線５１１を介してバススイッチ５０１の第１選択入力端子（ＩＮ＿ＣＳ＿Ａ）へ接続される。サブＣＰＵ１２２のクロック信号端子は、信号線５１２を介してバススイッチ５０１の第１クロック入力端子（ＩＮ＿ＣＬＫ＿Ａ）へ接続される。サブＣＰＵ１２２のデータ出力端子は、信号線５１３を介してバススイッチ５０１の第１データ入力端子（ＩＮ＿ＭＯＳＩ＿Ａ）へ接続される。サブＣＰＵ１２２のデータ入力端子は、信号線５１４を介してバススイッチ５０１の第１データ出力端子（ＩＮ＿ＭＩＳＯ＿Ａ）へ接続される。サブＣＰＵ１２２の上述したＧＰＩＯ３０４は、バススイッチ５０１の切替制御端子（ＳＥＬＥＣＴ）へ接続される。

メインＣＰＵ１０１のＳＰＩ Ｉ／Ｆ２０２もまた、スレーブ選択信号端子（ＣＳ）、クロック信号端子（ＣＬＫ）、データ出力端子（ＭＯＳＩ）及びデータ入力端子（ＭＩＳＯ）を有する。メインＣＰＵ１０１のスレーブ選択信号端子は、信号線５２１を介してバススイッチ５０１の第２選択入力端子（ＩＮ＿ＣＳ＿Ｂ）へ接続される。メインＣＰＵ１０１のクロック信号端子は、信号線５２２を介してバススイッチ５０１の第２クロック入力端子（ＩＮ＿ＣＬＫ＿Ｂ）へ接続される。メインＣＰＵ１０１のデータ出力端子は、信号線５２３を介してバススイッチ５０１の第２データ入力端子（ＩＮ＿ＭＯＳＩ＿Ｂ）へ接続される。メインＣＰＵ１０１のデータ入力端子は、信号線５２４を介してバススイッチ５０１の第２データ出力端子（ＩＮ＿ＭＩＳＯ＿Ｂ）へ接続される。

フラッシュＲＯＭ１２０のＳＰＩ Ｉ／Ｆは、スレーブ選択信号端子（ＣＳ）、クロック信号端子（ＣＬＫ）、データ入力端子（ＭＯＳＩ）及びデータ出力端子（ＭＩＳＯ）を有する。フラッシュＲＯＭ１２０のスレーブ選択信号端子は、信号線５３１を介してバススイッチ５０１の第１選択出力端子（ＯＵＴ＿ＣＳ＿Ｘ）へ接続される。フラッシュＲＯＭ１２０のクロック信号端子は、信号線５３２を介してバススイッチ５０１の第１クロック出力端子（ＯＵＴ＿ＣＬＫ＿Ｘ）へ接続される。フラッシュＲＯＭ１２０のデータ入力端子は、信号線５３３を介してバススイッチ５０１の第１データ出力端子（ＯＵＴ＿ＭＯＳＩ＿Ｘ）へ接続される。フラッシュＲＯＭ１２０のデータ出力端子は、信号線５３４を介してバススイッチ５０１の第１データ入力端子（ＯＵＴ＿ＭＩＳＯ＿Ｘ）へ接続される。

フラッシュＲＯＭ１２１のＳＰＩ Ｉ／Ｆは、スレーブ選択信号端子（ＣＳ）、クロック信号端子（ＣＬＫ）、データ入力端子（ＭＯＳＩ）及びデータ出力端子（ＭＩＳＯ）を有する。フラッシュＲＯＭ１２１のスレーブ選択信号端子は、信号線５４１を介してバススイッチ５０１の第２選択出力端子（ＯＵＴ＿ＣＳ＿Ｙ）へ接続される。フラッシュＲＯＭ１２１のクロック信号端子は、信号線５４２を介してバススイッチ５０１の第２クロック出力端子（ＯＵＴ＿ＣＬＫ＿Ｙ）へ接続される。フラッシュＲＯＭ１２１のデータ入力端子は、信号線５４３を介してバススイッチ５０１の第２データ出力端子（ＯＵＴ＿ＭＯＳＩ＿Ｙ）へ接続される。フラッシュＲＯＭ１２１のデータ出力端子は、信号線５４４を介してバススイッチ５０１の第２データ入力端子（ＯＵＴ＿ＭＩＳＯ＿Ｙ）へ接続される。

バススイッチ５０１は、サブＣＰＵ１２２から切替信号線１３３を介して切替制御端子へ入力される切替信号に基づいて、サブＣＰＵ１２２からのＳＰＩ信号経路の接続先を、フラッシュＲＯＭ１２０及びフラッシュＲＯＭ１２１の間で切替可能である。サブＣＰＵ１２２からのＳＰＩ信号経路は信号線５１１、５１２、５１３、５１４からなる。例えば、サブＣＰＵ１２２は、動作を開始すると、信号レベルを“Ｌｏ”へ設定した切替信号をバススイッチ５０１へ出力する。バススイッチ５０１は、切替信号が“Ｌｏ”を示すことに基づいて、サブＣＰＵ１２２からの信号経路をフラッシュＲＯＭ１２０へ接続する。具体的には、サブＣＰＵ１２２からの信号線５１１、５１２、５１３及び５１４が、フラッシュＲＯＭ１２０への信号線５３１、５３２、５３３及び５３４へそれぞれ接続される。それにより、サブＣＰＵ１２２がフラッシュＲＯＭ１２０へアクセス可能となり、サブＣＰＵ１２２がスレーブ選択信号をアサートしてクロック信号を出力すると、フラッシュＲＯＭ１２０からサブＣＰＵ１２２へのデータの読出しが可能となる。サブＣＰＵ１２２は、この状態で、第１のプログラム（例えばメインＣＰＵ ＦＷ４０１）をフラッシュＲＯＭ１２０から読出して、第１のプログラムの正当性を検証する。

加えて、バススイッチ５０１は、サブＣＰＵ１２２からの上記切替信号に基づいて、メインＣＰＵ１０１からの信号経路の接続先を、フラッシュＲＯＭ１２０及びフラッシュＲＯＭ１２１の間で切替可能である。メインＣＰＵ１０１からの信号経路は信号線５２１、５２２、５２３、５２４からなる。例えば、サブＣＰＵ１２２は、検証の結果として第１のプログラムが正当であると判定すると、信号レベルを“Ｈｉ”へ設定した切替信号をバススイッチ５０１へ出力する。バススイッチ５０１は、切替信号が“Ｈｉ”を示すことに基づいて、メインＣＰＵ１０１からの信号経路をフラッシュＲＯＭ１２０へ接続する。具体的には、メインＣＰＵ１０１からの信号線５２１、５２２、５２３及び５２４が、フラッシュＲＯＭ１２０への信号線５３１、５３２、５３３及び５３４へそれぞれ接続される。それにより、メインＣＰＵ１０１がフラッシュＲＯＭ１２０へアクセス可能となる。また、サブＣＰＵ１２２は、メインＣＰＵ１０１へのリセット制御信号の信号レベルを“Ｌｏ”から“Ｈｉ”へ切替える。それにより、メインＣＰＵ１０１が動作を開始する。メインＣＰＵ１０１は、この状態で、第１のプログラム（例えばメインＣＰＵ ＦＷ４０１）をフラッシュＲＯＭ１２０から読出して、第１のプログラムを実行する。

サブＣＰＵ１２２は、第１のプログラムが正当ではないと判定した場合にも、信号レベルを“Ｈｉ”へ設定した切替信号をバススイッチ５０１へ出力する。バススイッチ５０１は、切替信号が“Ｈｉ”を示すことに基づいて、サブＣＰＵ１２２からの信号経路をフラッシュＲＯＭ１２１へ接続する。具体的には、サブＣＰＵ１２２からの信号線５１１、５１２、５１３及び５１４が、フラッシュＲＯＭ１２１への信号線５４１、５４２、５４３及び５４４へそれぞれ接続される。それにより、サブＣＰＵ１２２がフラッシュＲＯＭ１２１へアクセス可能となる。サブＣＰＵ１２２は、この状態で、第２のプログラム（例えばメインＣＰＵ ＦＷ４１１）をフラッシュＲＯＭ１２１から読出して、第２のプログラムの正当性を検証する。サブＣＰＵ１２２は、メインＣＰＵ１０１へのリセット制御信号の信号レベルを“Ｌｏ”のまま維持し、よってメインＣＰＵ１０１のリセット状態は解除されないため、メインＣＰＵ１０１は動作しない。

サブＣＰＵ１２２は、検証の結果として第２のプログラムが正当であると判定すると、切替信号の信号レベルを再び“Ｌｏ”へ設定した切替信号をバススイッチ５０１へ出力する。バススイッチ５０１は、切替信号が“Ｌｏ”を示すことに基づいて、メインＣＰＵ１０１からの信号経路をフラッシュＲＯＭ１２１へ接続する。具体的には、メインＣＰＵ１０１からの信号線５２１、５２２、５２３及び５２４が、フラッシュＲＯＭ１２１への信号線５４１、５４２、５４３及び５４４へそれぞれ接続される。それにより、メインＣＰＵ１０１がフラッシュＲＯＭ１２１へアクセス可能となる。また、サブＣＰＵ１２２は、メインＣＰＵ１０１へのリセット制御信号の信号レベルを“Ｌｏ”から“Ｈｉ”へ切替える。それにより、メインＣＰＵ１０１が動作を開始する。メインＣＰＵ１０１は、この状態で、第２のプログラム（例えばメインＣＰＵ ＦＷ４１１）をフラッシュＲＯＭ１２０から読出して、第２のプログラムを実行する。

バススイッチ５０１は、切替信号が“Ｌｏ”を示すことに基づいて、上述したようにメインＣＰＵ１０１からの信号経路をフラッシュＲＯＭ１２１へ接続すると共に、サブＣＰＵ１２２からの信号経路をフラッシュＲＯＭ１２０へ接続する。サブＣＰＵ１２２は、このようにバススイッチ５０１により形成される接続を介して、フラッシュＲＯＭ１２０の第１のプログラムを、フラッシュＲＯＭ１２０の保護領域に記憶されている復旧用バージョンで上書きすることにより復旧する。この間、メインＣＰＵ１０１は、上述したように第２のプログラムを実行しており、第１のプログラムの復旧に関する情報がメインＣＰＵ１０１によりユーザへ提示される。

図５には示していないものの、サブＣＰＵ１２２は、追加的な割込信号線を介してメインＣＰＵ１０１へ接続され得る。サブＣＰＵ１２２は、フラッシュＲＯＭ１２０の第１のプログラムの復旧の完了に応じて、フラッシュＲＯＭ１２１の第２のプログラムを実行しているメインＣＰＵ１０１へ割込信号を出力してもよい。また、メインＣＰＵ１０１は、サブＣＰＵ１２２からの割込信号の検知に応じて、第２のプログラムの実行を終了し、ＭＦＰ１を再起動してもよい。それにより、復旧後の正当な第１のプログラムに基づくＭＦＰ１の通常の動作を開始することができる。ＭＦＰ１の再起動までの間、第１のプログラムを復旧中であるという情報がユーザへ提示されるため、ユーザは、状況を適切に把握することができる。また、第１のプログラムと同等の機能又は部分的に制限された機能を第２のプログラムによってユーザへ提供することも可能である。

サブＣＰＵ１２２は、検証の結果として第２のプログラムもまた正当ではないと判定すると、切替信号の信号レベルを“Ｌｏ”へ設定して第１のプログラムを復旧した後、切替信号の信号レベルを“Ｈｉ”へ設定して第２のプログラムを復旧し得る。この場合、少なくとも第１のプログラムの復旧が完了するまで、メインＣＰＵ１０１のリセット状態は解除されなくてよい。

表１は、バススイッチ５０１における、切替信号の状態に基づくスレーブ選択信号の切替制御の規則を示す真理値表である。ＳＰＩバスの他の種類の信号の切替制御の規則も、同様の真理値表で表され得る。

表１の例によれば、バススイッチ５０１は、切替信号が“Ｌｏ”を示す場合、サブＣＰＵ１２２からのスレーブ選択信号の信号経路をフラッシュＲＯＭ１２０へ、メインＣＰＵ１０１からのスレーブ選択信号の信号経路をフラッシュＲＯＭ１２１へ接続する。また、バススイッチ５０１は、切替信号が“Ｈｉ”を示す場合、サブＣＰＵ１２２からのスレーブ選択信号の信号経路をフラッシュＲＯＭ１２１へ、メインＣＰＵ１０１からのスレーブ選択信号の信号経路をフラッシュＲＯＭ１２０へ接続する。但し、表１に示した規則は一例に過ぎず、他の規則が使用されてもよい（例えば、切替信号の信号レベルを逆にした規則が使用されてもよい）。

＜２−５．ユーザへ提示される情報の例＞
メインＣＰＵ１０１によるユーザへの第１のプログラムの復旧に関する情報の提示は、画面上で視覚的に行われてもよい。図６は、一実施形態において画面上に表示され得る復旧に関する情報の一例を示す模式図である。図６には、例えば操作部１１１の画面上に表示され得る情報通知ウィンドウ６００が示されており、情報通知ウィンドウ６００は、ＭＦＰ１がシステムの起動に必要なプログラムを復旧中であるというメッセージを表示している。情報通知ウィンドウ６００は、復旧の完了までに要すると推定される残り時間を表示してもよい。図６の例では、情報通知ウィンドウ６００は、ＭＦＰ１の電源をオフにしないことをユーザへ求めるメッセージをさらに表示している。ユーザは、これらメッセージを見ることで、ある程度の時間待機すればＭＦＰ１の動作が正常化する見込みであることを把握し、むやみにＭＦＰ１の電源をオフにすることを控えることができる。なお、ユーザへのこうした情報の提示は、スピーカを介した音声出力又はユーザのアカウントへのメッセージの送信といった他の手段で行われてもよい。

＜＜３．処理の流れ＞＞
＜３−１．サブＣＰＵの処理＞
図７は、本実施形態に係るサブＣＰＵ１２２により実行される処理の流れの一例を示すフローチャートである。なお、以下の説明では、処理ステップをＳ（ステップ）と略記する。

まず、Ｓ７０１で、サブＣＰＵ１２２は、ブートＲＯＭ３１０内のブートプログラムを実行し、サブＣＰＵ ＦＷ４０４及び署名４０５をフラッシュＲＯＭ１２０からＳＲＡＭ３０６へ読出す。このとき、ＳＰＩバス１１５のバススイッチ５０１は、サブＣＰＵ１２２からの信号経路をフラッシュＲＯＭ１２０へ接続している。次いで、サブＣＰＵ１２２は、Ｓ７０２で、サブＣＰＵ ＦＷ４０４から導出されるハッシュ値と署名４０５との比較に基づいて、サブＣＰＵ ＦＷ４０４が正当であるかを判定する。その後の処理は、判定の結果に依存してＳ７０３で分岐し、サブＣＰＵ ＦＷ４０４が正当ではないと判定された場合には、図７の処理は終了する。サブＣＰＵ ＦＷ４０４が正当であると判定された場合、処理はＳ７０４へ進む。

Ｓ７０４で、サブＣＰＵ１２２は、正当であると判定したサブＣＰＵ ＦＷ４０４を実行し、メインＣＰＵ ＦＷの検証を開始する。Ｓ７０５で、サブＣＰＵ１２２は、メインＣＰＵ ＦＷ４０１及び署名４０２をフラッシュＲＯＭ１２０からＳＲＡＭ３０６へ読出す。ＳＰＩバス１１５のバススイッチ５０１は、サブＣＰＵ１２２からの信号経路をフラッシュＲＯＭ１２０へ接続したままである。次いで、サブＣＰＵ１２２は、Ｓ７０６で、メインＣＰＵ ＦＷ４０１から導出されるハッシュ値と署名４０２との比較に基づいて、メインＣＰＵ ＦＷ４０１が正当であるかを判定する。その後の処理は、判定の結果に依存してＳ７０７で分岐し、メインＣＰＵ ＦＷ４０１が正当ではないと判定された場合には、処理はＳ７１１へ進む。メインＣＰＵ ＦＷ４０１が正当であると判定された場合、処理はＳ７０８へ進む。

Ｓ７０８で、サブＣＰＵ１２２は、メインＣＰＵ ＦＷ４０１が正当であるという判定に応じて、バススイッチ５０１向けの切替信号の信号レベルを切替えて、バススイッチ５０１にメインＣＰＵ１０１からの信号経路をフラッシュＲＯＭ１２０へ接続させる。次いで、Ｓ７０９で、サブＣＰＵ１２２は、“Ｈｉ”に設定したリセット制御信号をメインＣＰＵ１０１へ出力して、メインＣＰＵ１０１のリセット状態を解除し、メインＣＰＵ１０１によるプログラムの実行を可能にする。その後、Ｓ７１０で、サブＣＰＵ１２２は、消費電力を低減するためにスリープ状態へ移行し得る。スリープ状態においても、サブＣＰＵ１２２は、“Ｈｉ”に設定したリセット制御信号のメインＣＰＵ１０１への出力を維持する。なお、サブＣＰＵ１２２がプログラムの正当性検証以外の用途に再利用される場合には、サブＣＰＵ１２２は、スリープ状態へ移行しなくてもよく、又は一旦スリープ状態へ移行したサブＣＰＵ１２２が（例えば、割込信号に応じて）通常状態へ戻ってもよい。

Ｓ７１１で、サブＣＰＵ１２２は、メインＣＰＵ ＦＷ４０１が正当ではないという判定に応じて、バススイッチ５０１向けの切替信号の信号レベルを切替えて、バススイッチ５０１にサブＣＰＵ１２２からの信号経路をフラッシュＲＯＭ１２１へ接続させる。メインＣＰＵ１０１はリセット状態のまま維持される。Ｓ７１２で、サブＣＰＵ１２２は、メインＣＰＵ ＦＷ４１１及び署名４１２をフラッシュＲＯＭ１２１からＳＲＡＭ３０６へ読出す。次いで、サブＣＰＵ１２２は、Ｓ７１３で、メインＣＰＵ ＦＷ４１１から導出されるハッシュ値と署名４１２との比較に基づいて、メインＣＰＵ ＦＷ４１１が正当であるかを判定する。その後の処理は、判定の結果に依存してＳ７１４で分岐し、メインＣＰＵ ＦＷ４１１が正当ではないと判定された場合には、処理はＳ７２１へ進む。メインＣＰＵ ＦＷ４１１が正当であると判定された場合、処理はＳ７１５へ進む。

Ｓ７１５で、サブＣＰＵ１２２は、メインＣＰＵ ＦＷ４１１が正当であるという判定に応じて、バススイッチ５０１向けの切替信号の信号レベルを切替えて、バススイッチ５０１にメインＣＰＵ１０１からの信号経路をフラッシュＲＯＭ１２１へ接続させる。バススイッチ５０１は、この切替信号に基づいて、メインＣＰＵ１０１からの信号経路をフラッシュＲＯＭ１２１へ接続すると共に、サブＣＰＵ１２２からの信号経路をフラッシュＲＯＭ１２０へ接続する。次いで、Ｓ７１６で、サブＣＰＵ１２２は、“Ｈｉ”に設定したリセット制御信号をメインＣＰＵ１０１へ出力して、メインＣＰＵ１０１のリセット状態を解除し、メインＣＰＵ１０１によるプログラムの実行を可能にする。次いで、Ｓ７１７で、サブＣＰＵ１２２は、フラッシュＲＯＭ１２０の先頭の記憶領域に記憶されているメインＣＰＵ ＦＷ４０１を、書換不能な保護領域に記憶されている復旧用バージョン４０７で上書きすることにより復旧する。メインＣＰＵ ＦＷ４０１の署名４０２も同様に復旧され得る。ここでのサブＣＰＵ１２２によるメインＣＰＵ ＦＷ４０１の復旧と並行して、メインＣＰＵ１０１は、メインＣＰＵ ＦＷ４１１を実行して、メインＣＰＵ ＦＷ４０１の復旧に関する情報をユーザへ提示し得る。サブＣＰＵ１２２は、メインＣＰＵ ＦＷ４０１の復旧を完了すると、Ｓ７１８で、メインＣＰＵ ＦＷ４１１を実行しているメインＣＰＵ１０１へ割込信号を出力して、メインＣＰＵ１０１にＭＦＰ１の再起動をトリガさせる。

Ｓ７２１で、サブＣＰＵ１２２は、メインＣＰＵ ＦＷ４１１も正当ではないという判定に応じて、バススイッチ５０１向けの切替信号の信号レベルを切替えて、バススイッチ５０１にサブＣＰＵ１２２からの信号経路をフラッシュＲＯＭ１２０へ接続させる。メインＣＰＵ１０１はリセット状態のまま維持される。次いで、Ｓ７２２で、サブＣＰＵ１２２は、フラッシュＲＯＭ１２０のメインＣＰＵ ＦＷ４０１を、復旧用バージョン４０７で上書きすることにより復旧する。メインＣＰＵ ＦＷ４０１の署名４０２も同様に復旧され得る。次いで、Ｓ７２３で、サブＣＰＵ１２２は、バススイッチ５０１向けの切替信号の信号レベルを切替えて、バススイッチ５０１にサブＣＰＵ１２２からの信号経路をフラッシュＲＯＭ１２１へ接続させる。メインＣＰＵ１０１はリセット状態のまま維持される。次いで、Ｓ７２４で、サブＣＰＵ１２２は、フラッシュＲＯＭ１２１のメインＣＰＵ ＦＷ４１１を、復旧用バージョン４１７で上書きすることにより復旧する。メインＣＰＵ ＦＷ４１１の署名４１２も同様に復旧され得る。次いで、Ｓ７２５で、サブＣＰＵ１２２は、例えばリセット回路１２３を制御して、ＭＦＰ１の再起動をトリガする。

＜３−２．メインＣＰＵの処理＞
図８は、本実施形態に係るメインＣＰＵ１０１により実行される処理の流れの一例を示すフローチャートである。

メインＣＰＵ１０１は、例えば図７のＳ７０９又はＳ７１６においてリセット状態を解除されると、Ｓ８０１で、メインＣＰＵ ＦＷをフラッシュＲＯＭ１２０又はフラッシュＲＯＭ１２１から読出す。このとき、メインＣＰＵ ＦＷ４０１は、同じスレーブ選択信号端子においてスレーブ選択信号をアサートして、同じクロック信号端子からクロック信号を出力するだけであり、どちらのフラッシュＲＯＭへアクセスするかを認識しなくてよい。どちらのフラッシュＲＯＭからメインＣＰＵ ＦＷが読出されるかは、サブＣＰＵ１２２の制御下にあるバススイッチ５０１の接続状態によって決まる。次いで、Ｓ８０２で、メインＣＰＵ１０１は、読出したメインＣＰＵ ＦＷを実行する。ここで実行されるファームウェアは、例えばブートプログラムを含み得る。次いで、Ｓ８０３で、メインＣＰＵ１０１は、ＨＤＤ１０８からオペレーティングシステム（ＯＳ）ソフトウェアを読出す。次いで、Ｓ８０４で、メインＣＰＵ１０１は、読出したＯＳソフトウェアを実行して、ＭＦＰ１のＯＳを起動する。次いで、Ｓ８０５で、メインＣＰＵ１０１は、操作Ｉ／Ｆ１０３、ネットワークＩ／Ｆ１０４、プリンタ１０５、スキャナ１０６、ＦＡＸ１０７、画像処理部１０９及び操作部１１１を初期化して、ＭＦＰ１をユーザにより使用可能な状態へセットアップする。

図８に示した処理は、Ｓ８０６で、メインＣＰＵ１０１がメインＣＰＵ ＦＷ４１１を実行しているのか否かに依存して分岐する。メインＣＰＵ１０１がメインＣＰＵ ＦＷ４１１を実行している場合、メインＣＰＵ１０１は、Ｓ８０７で、メインＣＰＵ ＦＷ４０１の復旧に関する（例えば、ＭＦＰ１の電源をオフにしないことをユーザへ求める内容を含む）情報をユーザへ提示する。また、Ｓ８０８で、メインＣＰＵ１０１は、サブＣＰＵ１２２からの割込信号の入力を監視する。メインＣＰＵ１０１は、メインＣＰＵ ＦＷ４０１の復旧を完了したサブＣＰＵ１２２からの割込信号を検知すると、Ｓ８０９で、ＭＦＰ１を再起動する。メインＣＰＵ１０１がメインＣＰＵ ＦＷ４０１を実行している場合には、Ｓ８０７〜Ｓ８０９は行われず、ＭＦＰ１の通常の動作が提供される。

＜＜４．まとめ＞＞
ここまで、図１〜図８を用いて、本開示の実施形態について詳細に説明した。上述した実施形態では、情報処理装置のメインＣＰＵによる実行のための第１のプログラムが第１の記憶手段に記憶され、第２のプログラムが第２の記憶手段に記憶される。そして、サブＣＰＵにより、第１のプログラムの正当性が検証され、第１のプログラムが正当であると判定された場合に、メインＣＰＵによる第１のプログラムの実行が可能とされる。一方、
第１のプログラムが正当ではないと判定された場合、サブＣＰＵにより、第２のプログラムの正当性が検証され、第２のプログラムが正当であると判定された場合に、メインＣＰＵによる第２のプログラムの実行が可能とされる。この場合、メインＣＰＵが正当であると判定された第２のプログラムを実行し、その実行と並行して、サブＣＰＵが第１の記憶手段の第１のプログラムを復旧する。そして、第２のプログラムを実行するメインＣＰＵにより、第１のプログラムの復旧に関する情報がユーザへ提示される。かかる構成によれば、サブＣＰＵにより正当であると判定されたプログラムのみがメインＣＰＵにより実行されることで装置の動作の安全性が確保され、且つプログラムの復旧の期間中にユーザへ情報を提供することができる。このようにして、復旧処理中にユーザへ情報が提供されない不都合が解消される。また、復旧処理を行うサブＣＰＵに代わってメインＣＰＵが情報を提供するため、サブＣＰＵが情報提供手段を扱う必要性が排除され、実装の複雑化が回避される。

また、上述した実施形態では、上記情報処理装置は、メインＣＰＵからの信号経路の接続先を第１及び第２の記憶手段の間で切替可能な切替手段、をさらに備える。上記切替手段は、第２のプログラムが正当であるという判定に応じて、メインＣＰＵからの信号経路を第２の記憶手段へ接続し得る。かかる構成によれば、メインＣＰＵは、２つの記憶手段のうちのどちらのプログラムを読出して実行すべきかを認識することなく、単に接続先の記憶手段の所定のアドレスからプログラムを読出して実行すればよい。したがって、メインＣＰＵの実装への影響を極力抑えつつ、本実施形態の仕組みを情報処理装置に取り入れることが可能である。

また、上述した実施形態では、上記切替手段は、サブＣＰＵからの信号経路の接続先をも第１及び第２の記憶手段の間で切替可能であり、第１のプログラムが正当ではないという判定に応じて、サブＣＰＵからの信号経路が第２の記憶手段へ接続され得る。かかる構成によれば、サブＣＰＵは、２つの記憶手段への接続のための端子を別々に持たなくてよく、サブＣＰＵの実装のコストが低減される。

また、上述した実施形態では、上記切替手段は、第２のプログラムが正当であるという上記判定に応じてサブＣＰＵからの信号経路を第１の記憶手段へ接続し、当該接続を介して、サブＣＰＵが第１の記憶手段の第１のプログラムを復旧し得る。かかる構成によれば、第２のプログラムが正当であると判定したサブＣＰＵから上記切替手段へ単一の切替信号を出力するだけで、メインＣＰＵによる第２のプログラムの実行とサブＣＰＵによる第１のプログラムの復旧とを可能とすることができる。したがって、デバイス間の接続関係は複雑化せず、切替制御に要する信号線の数の増加を回避することができる。

また、上述した実施形態では、サブＣＰＵは、第１の記憶手段の第１のプログラムの復旧の完了に応じて、第２のプログラムを実行しているメインＣＰＵへ割込信号を出力し、メインＣＰＵは、上記割込信号の検知に応じて上記情報処理装置を再起動し得る。かかる構成によれば、第１のプログラムの復旧の完了まで長い時間を要する場合であっても、上記情報処理装置がその復旧の期間中に第２のプログラムの実行に基づいてユーザに所要の機能を提供することができる。また、上記情報処理装置の再起動の後で、第１のプログラムが復旧していることから、上記情報処理装置の通常の動作を迅速にユーザへ提供することができる。

また、上述した実施形態では、第１のプログラムの復旧は、第１の記憶手段の保護された記憶領域に記憶されている復旧用バージョンを用いて行われ得る。かかる構成によれば、メインＣＰＵが第２の記憶手段へアクセスして第２のプログラムを実行している最中に、サブＣＰＵによりアクセスの競合無く第１のプログラムを復旧することができる。

また、上述した実施形態では、第１のプログラム及び第２のプログラムは、ブートプログラムを含む。これらブートプログラムの正当性がサブＣＰＵにより保証されることで、上記情報処理装置の動作の安全性が確実化される。

＜＜５．変形例＞＞
本発明は上記実施形態に限定されず、様々な変形が可能である。例えば、上でＣＰＵとフラッシュＲＯＭとの間の信号経路の切替えのためにＳＰＩバスにバススイッチを設ける例を説明した。しかしながら、信号経路の切替えは、バススイッチの代わりに、ＦＥＴ（Field-Effect Transistor）などのトランジスタ又はロジック回路を用いて実現されてもよい。また、プログラムを記憶する記憶手段として、フラッシュＲＯＭの代わりに他の種類のメモリデバイスが使用されてもよい。

＜＜６．その他の実施形態＞＞
上記実施形態は、１つ以上の機能を実現するプログラムをネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読み出して実行する処理の形式でも実現可能である。また、１つ以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

発明は上記実施形態に制限されるものではなく、発明の精神及び範囲から離脱することなく、様々な変更及び変形が可能である。従って、発明の範囲を公にするために請求項を添付する。

１：ＭＦＰ（情報処理装置）、１０１：メインＣＰＵ（実行手段）、１２０：フラッシュＲＯＭ（第１の記憶手段）、１２１：フラッシュＲＯＭ（第２の記憶手段）、１２２：サブＣＰＵ（検証手段）、４０１：メインＣＰＵ ＦＷ（第１のプログラム）、４１１：メインＣＰＵ ＦＷ（第２のプログラム）

Claims (10)

1. プログラムを実行する実行手段と、
   前記実行手段による実行のための第１のプログラムを記憶する第１の記憶手段と、
   前記第１のプログラムの正当性を検証して、前記第１のプログラムが正当であると判定される場合に前記実行手段による前記第１のプログラムの実行を可能にする検証手段と、
   前記実行手段による実行のための第２のプログラムを記憶する第２の記憶手段と、
   を備え、
   前記検証手段は、前記第１のプログラムが正当ではないと判定される場合に、前記第２のプログラムの正当性を検証して、前記第２のプログラムが正当であると判定されるときに、前記実行手段による前記第２のプログラムの実行を可能にし、且つ、前記第１の記憶手段の前記第１のプログラムを復旧し、
   前記実行手段は、前記第２のプログラムを実行することにより、前記第１のプログラムの復旧に関する情報をユーザへ提示する、
   情報処理装置。
2. 請求項１に記載の情報処理装置であって、
   前記実行手段からの信号経路の接続先を、前記第１の記憶手段及び前記第２の記憶手段の間で切替可能な切替手段、をさらに備え、
   前記切替手段は、前記第２のプログラムが正当であるという前記判定に応じて前記検証手段から入力される切替信号に基づいて、前記実行手段からの前記信号経路を前記第２の記憶手段へ接続する、
   情報処理装置。
3. 請求項２に記載の情報処理装置であって、
   前記切替手段は、前記検証手段からの信号経路の接続先を、前記第１の記憶手段及び前記第２の記憶手段の間でさらに切替可能であり、
   前記切替手段は、前記第１のプログラムが正当ではないという前記判定に応じて前記検証手段から入力される切替信号に基づいて、前記検証手段からの前記信号経路を前記第２の記憶手段へ接続する、
   情報処理装置。
4. 請求項３に記載の情報処理装置であって、前記切替手段は、前記第２のプログラムが正当であるという前記判定に応じて前記検証手段から入力される前記切替信号に基づいて、前記検証手段からの前記信号経路を前記第１の記憶手段へ接続し、前記検証手段と前記第１の記憶手段との間の当該接続を介して、前記検証手段が前記第１の記憶手段の前記第１のプログラムを復旧する、情報処理装置。
5. 請求項４に記載の情報処理装置であって、
   前記検証手段は、前記第１の記憶手段の前記第１のプログラムの前記復旧の完了に応じて、前記第２のプログラムを実行している前記実行手段へ割込信号を出力し、
   前記実行手段は、前記割込信号の検知に応じて、前記情報処理装置を再起動する、
   情報処理装置。
6. 請求項１乃至５のいずれか１項に記載の情報処理装置であって、前記第１のプログラムの復旧に関する前記情報は、前記情報処理装置の電源をオフにしないことを前記ユーザへ求める内容を含む、情報処理装置。
7. 請求項１乃至６のいずれか１項に記載の情報処理装置であって、前記実行手段は、前記第２のプログラムを実行することにより、前記第１のプログラムの復旧に関する前記情報を画面上に表示させる、情報処理装置。
8. 請求項１乃至７のいずれか１項に記載の情報処理装置であって、
   前記第１の記憶手段は、前記第１のプログラムを記憶する第１の記憶領域及び前記第１のプログラムの復旧用バージョンを記憶する第２の記憶領域を含み、
   前記検証手段は、前記第１の記憶手段の前記第１の記憶領域に記憶されている前記第１のプログラムを、前記第１の記憶手段の前記第２の記憶領域に記憶されている前記復旧用バージョンを用いて復旧する、
   情報処理装置。
9. 請求項１乃至８のいずれか１項に記載の情報処理装置であって、前記第１のプログラム及び前記第２のプログラムは、ブートプログラムを含む、情報処理装置。
10. 第１の記憶手段、第２の記憶手段、実行手段及び検証手段を備える情報処理装置により実行されるプログラム復旧方法であって、
    前記検証手段により、前記第１の記憶手段に記憶されている第１のプログラムの正当性を検証することと、
    前記検証手段により、前記第１のプログラムが正当であると判定された場合に、前記実行手段による前記第１のプログラムの実行を可能にすることと、
    前記検証手段により、前記第１のプログラムが正当ではないと判定された場合に、前記第２の記憶手段に記憶されている第２のプログラムの正当性を検証することと、
    前記検証手段により、前記第２のプログラムが正当であると判定された場合に、前記実行手段による前記第２のプログラムの実行を可能にすることと、
    前記実行手段により、正当であると判定された前記第２のプログラムを実行することと、
    前記実行手段による前記第２のプログラムの実行と並行して、前記検証手段により、前記第１の記憶手段の前記第１のプログラムを復旧することと、
    前記第２のプログラムを実行する前記実行手段により、前記第１のプログラムの復旧に関する情報をユーザへ提示することと、
    を含むプログラム復旧方法。

Images