JP2021117523A - 情報処理装置、情報処理装置の処理方法およびプログラム - Google Patents

Abstract

【課題】プログラムの不良の状態からより確実に復旧することができるようにする。【解決手段】情報処理装置は、複数のプログラムの不良の検知の有無を判定する第１の判定手段と、前記第１の判定手段により少なくとも１個のプログラムの不良を検知したと判定された場合には、プログラムの更新に関するプログラムの不良が検知されたか否かを判定する第２の判定手段と、前記第２の判定手段により前記プログラムの更新に関するプログラムの不良が検知されていないと判定された場合には、前記複数のプログラムに対応する複数の更新プログラムを受信し、前記複数の更新プログラムを用いて前記複数のプログラムを更新する第１の更新手段とを有する。【選択図】図６

Description

本発明は、情報処理装置、情報処理装置の処理方法およびプログラムに関する。

ソフトウェアの脆弱性をついてソフトウェアを改ざんし、コンピュータを悪用する攻撃が問題となっている。そういった攻撃の対策として、プログラムに署名を施して保存しておき、起動するたびにプログラムの署名を検証することで、改ざんの有無を検知する方法が知られている。また、プログラムを部分的に交換可能にするためにモジュール化し、各モジュールに対して署名を検証する処理や検証するのに必要な鍵情報を内包して格納する方法や、起動時に各プログラムの正解値が一致するか検証する方法が知られている（特許文献１参照）。

さらに、画像形成装置の稼働中にランタイムで改ざん検知を行うための方法として、ホワイトリスト方式を用いた改ざん検知手法が知られている。ホワイトリスト方式は、使用可能なファームウェアの個々のファイルの検証データを予め保管し、ファームウェアの使用時に検証データを用いて当該ファームウェアの改ざんを検証し、正しいファームウェアだけを使用可能とする方法である。ここでいう検証データとは、ファームウェアの一意性を確認するために、ファームウェアが格納された個々のファイルのバイナリデータから、ハッシュ関数を用いて作成されたハッシュ値を用いるのが一般的である。ハッシュ関数を用いることは、ある値からハッシュ値を作成した際に、ハッシュ値を変更せずに元の値を改変することが不可能であるという特徴があり、正しいファームウェアであるかどうかの改ざん検証に使用することが可能である。

近年、ネットワーク経由でプログラム配信サーバに接続される画像形成装置が増加し、ファームウェアのアップデートの際には、サーバ側に登録された多数のファームウェアの中から、適用可能なファームウェアを自動的に選択して受信することが可能になっている。また、定期的に最新のファームウェアをサーバに問い合わせて、自動的にアップデート処理を実行する方法が知られている（特許文献２参照）。

特開２０１９−７５０００号公報 特開２０１３−２４０９４６号公報

起動時にプログラムの改ざんを検知した場合、悪意のある動作を防ぐために、各プログラムの動作を停止させる。操作部には、改ざんが検知されたことをユーザに知らせるため、エラーコードなどを表示する。しかし、この場合、プログラムが動作しないため、ユーザには復旧の術がなく、サービスマン等の専門スタッフを呼んで、修理を行う必要がある。それには、部品交換や出動に関わる物理的なコストもかかってしまうことに加え、復旧までの間に装置が利用できないダウンタイムが多く発生してしまう。同様の問題が、プログラムの改ざんだけではなく、記憶装置内のプログラムの破損の際にも発生する可能性がある。

本発明の目的は、プログラムの不良の状態からより確実に復旧することができるようにすることである。

本発明の情報処理装置は、複数のプログラムの不良の検知の有無を判定する第１の判定手段と、前記第１の判定手段により少なくとも１個のプログラムの不良を検知したと判定された場合には、プログラムの更新に関するプログラムの不良が検知されたか否かを判定する第２の判定手段と、前記第２の判定手段により前記プログラムの更新に関するプログラムの不良が検知されていないと判定された場合には、前記複数のプログラムに対応する複数の更新プログラムを受信し、前記複数の更新プログラムを用いて前記複数のプログラムを更新する第１の更新手段とを有する。

本発明によれば、プログラムの不良の状態からより確実に復旧することができる。

画像形成装置のハードウェア構成例を示す図である。 画像形成装置の機能構成例を示す図である。 画像形成装置の機能構成例を示す図である。 改ざん検知処理を示す図である。 ファームウェアのアップデート処理を示すフローチャートである。 改ざん検知時の復旧処理を示すフローチャートである。 表示画面の一例を示す図である。

以下、本発明を実施するための形態について図面を用いて説明する。なお、以下の実施形態は特許請求の範囲に係る発明を限定するものでなく、また実施形態で説明されている特徴の組み合わせの全てが発明の解決手段に必須のものとは限らない。

図１は、本実施形態による画像形成装置１００のハードウェア構成例を示すブロック図である。画像形成装置１００は、情報処理装置の一例である。画像形成装置１００は、メインコントローラ１１０と、操作部ユニット１３０と、プリンタユニット１４０と、スキャナユニット１５０を有する。メインコントローラ１１０は、ＣＰＵ１１１と、ＲＯＭ１１２と、ＲＡＭ１１３と、フラッシュメモリ１１４と、ＨＤＤ１１５と、埋め込みコントローラ１１６を有する。さらに、メインコントローラ１１０は、操作部Ｉ／Ｆ１１９と、プリンタＩ／Ｆ１２１と、ＵＳＢ−ＨｏｓｔＩ／Ｆ１２２と、ネットワークＩ／Ｆ１２３を有する。

ＣＰＵ１１１は、ＲＯＭ１１２やフラッシュメモリ１１４に記憶されたメインコントローラ１１０用のプログラムをＲＡＭ１１３に読み出して実行する。ＲＯＭ１１２は、リードオンリーメモリであり、メインコントローラ１１０のブートプログラム、ＢＩＯＳおよび固定パラメータ等を格納している。ＲＡＭ１１３は、ランダムアクセスメモリであり、ＣＰＵ１１１がメインコントローラ１１０を制御する際に、プログラムや一時的なデータなどを格納する。

フラッシュメモリ１１４は、ローダー、カーネルおよびアプリケーションを格納する。また、フラッシュメモリ１１４には、実行プログラムの他に、画像形成装置１００の機能を有効にするためのライセンス情報、プログラムの改ざん検知の検証のために使用する署名および公開鍵が記憶されている。ＨＤＤ１１５は、ハードディスクドライブであり、一部のアプリケーション、各種データ、および、ネットワークＩ／Ｆ１２３を介してＰＣ１９０から受信した印刷データを記憶する。

埋め込みコントローラ１１６は、ＣＰＵ１１７とＲＡＭ１１８を有する。ＣＰＵ１１７は、埋め込みコントローラ１１６のプログラムを実行し、メインコントローラ１１０の中の一部の制御を行う。ＲＡＭ１１８は、埋め込みコントローラ１１６内のランダムアクセスメモリであり、ＣＰＵ１１７がメインコントローラ１１０を制御する際に、プログラムや一時的なデータなどを格納する。

フラッシュメモリ１１４から読み出されＣＰＵ１１１により実行されるプログラムには、プリント用アプリケーションプログラムが含まれる。そして、このプリント用アプリケーションプログラムにより、ＨＤＤ１１５に記憶された印刷データは、プリンタユニット１４０によるプリントが可能な画像データに変換される。それらの画像データは、ＨＤＤ１１５に記憶される。

また、フラッシュメモリ１１４から読み出されＣＰＵ１１１により実行されるファームウェアには、スキャン用アプリケーションプログラムが含まれる。そして、このスキャン用アプリケーションプログラムにより、スキャナユニット１５０により画像データが読み取られるとともに、読み取られた画像データがＨＤＤ１１５に転送される。そして、ＨＤＤ１１５には、読み取られた画像データが記憶される。

操作部Ｉ／Ｆ１１９は、操作部ユニット１３０を介して画像形成装置１００の使用者により入力される指示をＣＰＵ１１１に伝達するためのインターフェースである。また、操作部Ｉ／Ｆ１１９は、操作部ユニット１３０に表示する内容を切り替えるための処理内容をＣＰＵ１１１から受信して操作部ユニット１３０に伝達する。なお、操作部ユニット１３０は、タッチパネル機能を有する液晶表示部やキーボードなどを有し、画像形成装置１００の状態や操作メニューを表示し、使用者の指示を受け付ける。

プリンタＩ／Ｆ１２０は、メインコントローラ１１０とプリンタユニット１４０を接続するためのインターフェースである。ここで、プリンタユニット１４０は、プリンタＩ／Ｆ１２０を介してＨＤＤ１１５から転送される画像データに基づいて記録媒体上にプリントを行う。

スキャナＩ／Ｆ１２１は、メインコントローラ１１０とスキャナユニット１５０を接続するためのインターフェースである。ここで、スキャナユニット１５０は、ＣＣＤ（ＣｈａｒｇｅＣｏｕｐｌｅｄＤｅｖｉｃｅ）等により構成されるラインセンサを用いて、原稿上の画像を画像データとして読み取る。そして、スキャナユニット１５０は、読み取った画像データをスキャナＩ／Ｆ１２１を介してＨＤＤ１１５へ転送する。ＨＤＤ１１５へ転送され、記憶された画像データは、前述したプリンタユニット１４０によりプリントすることが可能である。スキャナユニット１５０により読み取った画像データをプリンタユニット１４０によりプリントすることにより、複写（コピー）処理が可能となる。

ＵＳＢ−ＨｏｓｔＩ／Ｆ１２２は、メインコントローラ１１０と外部ＵＳＢデバイス１７０を接続するためのインターフェースである。ここで、外部ＵＳＢデバイス１７０の例としては、ファックス（ＦＡＸ）ユニットが挙げられる。ＦＡＸユニットは、ＵＳＢ−ＨｏｓｔＩ／Ｆ１２２を介してＨＤＤ１１５から転送される画像データに基づいてＦＡＸ送信を行う。また、ＦＡＸユニットは、受信するデータに基づいて画像データを生成し、ＵＳＢ−ＨｏｓｔＩ／Ｆ１２２を介してＨＤＤ１１５に画像データを転送する。なお、ＨＤＤ１１５に記憶された画像データは、前述したようにプリンタユニット１４０により記憶媒体へプリントされる。外部ＵＳＢデバイス１７０は、ＵＳＢメモリやＵＳＢキーボードなども例として挙げられる。ＵＳＢメモリは、ファームウェアアップデートに必要な更新ファイルの転送も可能である。

ネットワークＩ／Ｆ１２３は、メインコントローラ１１０をＬＡＮ１６０に接続し、ＬＡＮ１６０上のＰＣ１９０との通信を行う。ＰＣ１９０は、パーソナルコンピュータであり、画像形成装置１００とＬＡＮ１６０で接続され、画像形成装置１００に対して、印刷データの送信、ＷＥＢブラウザ経由での機器の操作、ファームウェアファイルの転送等が可能である。

さらに、画像形成装置１００は、ＬＡＮ１６０を介して、サーバ装置１８０に接続され、ファームウェアアップデートに必要な更新ファイルをダウンロードすることができる。ここでの更新ファイルのダウンロードの手段は、ＨＴＴＰ、ＦＴＰの他、プロトコルは限定されない。

サーバ装置１８０は、出荷された製品に対してアップデートが必要な最新のファームウェアが常にアップロードされており、画像形成装置１００から問い合わせを行うことで、必要なファームウェアを取得することができる。ただし、画像形成装置１００の設置環境によっては、サーバ装置１８０には接続しないケースもある。

図２は、画像形成装置１００のプログラムの改ざん検知時の機能構成例を示す図である。メインコントローラ１１０は、ＲＯＭ１１２と、フラッシュメモリ１１４と、ＨＤＤ１１５を有する。ＲＯＭ１１２は、ブートプログラム２１０と、ＢＩＯＳ２２０を記憶する。フラッシュメモリ１１４は、ローダー２３０と、カーネル２４０と、Ｎａｔｉｖｅプログラム２５０を記憶する。ＨＤＤ１１５は、Ｊａｖａ（登録商標）プログラム２６０を記憶する。

ブートプログラム２１０は、画像形成装置１００の電源を入れると、埋め込みコントローラ１１６のＣＰＵ１１７により実行されるプログラムであり、起動に関わる処理を行う他に、ＢＩＯＳ２２０の改ざん検知を行うＢＩＯＳ改ざん検知処理部２１１を有する。

ＢＩＯＳ２２０は、ブートプログラム２１０の実行後にＣＰＵ１１１により実行されるプログラムであり、起動に関わる処理を行う他に、ローダー２３０の改ざん検知を行うローダー改ざん検知処理部２２１を有する。

ローダー２３０は、ＢＩＯＳ２２０の処理が終わった後にＣＰＵ１１１により実行されるプログラムであり、起動に関わる処理を行う他に、カーネル２４０の改ざん検知を行うカーネル改ざん検知処理部２３１を有する。

カーネル２４０は、ローダー２３０の処理が終わった後にＣＰＵ１１１により実行されるプログラムであり、起動に関わる処理を行う他に、Ｎａｔｉｖｅプログラム２５０の改ざん検知を行うＮａｔｉｖｅプログラム改ざん検知処理部２４１を有する。

Ｎａｔｉｖｅプログラム２５０は、ＣＰＵ１１１により実行されるプログラムであり、Ｊａｖａプログラム２６０と連携して各機能を提供する複数のプログラムからなる。例えば、Ｎａｔｉｖｅプログラム２５０は、プリンタＩ／Ｆ１２０やスキャナＩ／Ｆ１２１を制御するプログラム、およびメインコントローラ１１０の起動処理を実行するプログラムなどを含む。カーネル２４０によってＮａｔｉｖｅプログラム２５０の中から起動プログラムが呼び出され、その起動プログラムがメインコントローラ１１０の起動処理を行う。また、Ｎａｔｉｖｅプログラム２５０は、プログラムの中の一つとして、Ｊａｖａプログラム２６０の改ざん検知を行うＪａｖａプログラム改ざん検知処理部２５１を有する。

Ｊａｖａプログラム２６０は、ＣＰＵ１１１により実行されるプログラムであり、Ｎａｔｉｖｅプログラム２５０と連携して各機能を提供するプログラムである。例えば、Ｊａｖａプログラム２６０は、サーバ装置１８０やＰＣ１９０と通信して画像形成装置１００の機能を活用するアプリケーションプログラムである。

図３は、画像形成装置１００のファームウェアアップデート時の機能構成例を示す図である。フラッシュメモリ１１４は、Ｎａｔｉｖｅプログラム２５０を記憶する。ＨＤＤ１１５は、Ｊａｖａプログラム２６０を記憶する。

Ｎａｔｉｖｅプログラム２５０は、起動制御部３１１と、操作部制御部３１２と、プリンタ制御部３１３と、スキャナ制御部３１４と、ＵＳＢ制御部３１５と、通信制御部３１６を有する。さらに、Ｎａｔｉｖｅプログラム２５０は、エラー通知制御部３１７と、改ざん検知箇所特定部３１８を有する。Ｊａｖａプログラム２６０は、プログラム配信制御部３１９と、プログラム更新処理部３２０を有する。

起動制御部３１１は、画像形成装置１００の起動時の処理を制御するプログラムであり、メインコントローラ１１０のＯＳ（オペレーションシステム）を起動させ、各種プログラムを動作させるための基本システムの立ち上げを行う。

操作部制御部３１２は、操作部Ｉ／Ｆ１１９を介して、操作部ユニット１３０の制御を行うためのプログラムである。

プリンタ制御部３１３は、プリンタＩ／Ｆ１２０を介したプリンタユニット１４０の制御を行うためのプログラムである。スキャナ制御部３１４は、スキャナＩ／Ｆ１２１を介したスキャナユニット１５０の制御を行うためのプログラムである。

ＵＳＢ制御部３１５は、ＵＳＢ−ＨｏｓｔＩ／Ｆ１２２を介して、外部ＵＳＢデバイス１７０の制御を行うためのプログラムである。外部ＵＳＢデバイス１７０がＵＳＢメモリである場合、ＵＳＢメモリからファームウェアアップデートに必要な更新ファイルおよび更新情報の転送処理に関する制御を行う。転送されたファイルは、ＨＤＤ１１５に保存される。

通信制御部３１６は、ネットワークＩ／Ｆ１２３を介して、ＰＣ１９０やサーバ装置１８０との通信を行い、ＬＡＮ１６０を介して、ファームウェアアップデートに必要な更新ファイルおよび更新情報の転送処理を行う。転送されたファイルは、ＨＤＤ１１５に保存される。

エラー通知制御部３１７は、後に図４で説明する改ざん検知処理によりプログラムの改ざんが検知された際に、操作部ユニット１３０や、ＬＡＮ１６０で接続された外部機器に対して通知するエラーの内容の制御を行う。

改ざん検知箇所特定部３１８は、後に図４で説明する改ざん検知処理によりプログラムの改ざんが検知された際に、改ざん検知箇所を特定し、検知された箇所がファームウェアアップデートにより復旧可能か否かを判定する。例えば、改ざん検知箇所特定部３１８は、改ざんされた箇所が外部記憶装置との通信制御部３１６や、プログラムの更新に関連する部分である場合は、その後のアップデート処理の動作が保証できないため、復旧できないと判定する。一方、改ざん検知箇所特定部３１８は、改ざんされた箇所がアップデート処理に影響しないプログラムであった場合は、正しいプログラムの更新により復旧が可能な場合があるので、ファームウェアアップデートによる復旧可能であると判定する。

プログラム配信制御部３１９は、ＵＳＢ制御部３１５や通信制御部３１６と連携して、外部記憶装置からの更新データの転送の制御を行う。ファームウェアアップデート時の更新データの転送処理は、メインコントローラ１１０内の各プログラムのバージョンと、アップデート対象のプログラムのバージョンを比較し、差異のあるものだけを配信することで、転送時間を削減することが可能になる。そのため、プログラム配信制御部３１９は、バージョンの差異のあるプログラムを特定して、差異のあるプログラムのみに対して外部記憶装置からの転送処理を実行する。ただし、改ざん検知時の復旧の際には、既存のプログラムの書き換えの他にも、マルウェアと呼ばれるような不正なプログラムが追加されているケースも想定されるため、差異のあるプログラムのアップデートだけでは復旧できない可能性がある。そのため、プログラム配信制御部３１９は、改ざん検知からの復旧のアップデートの際は、メインコントローラ１１０のプログラムをすべて上書きできるように、更新に必要なデータをすべて転送するように制御する。

プログラム更新処理部３２０は、操作部ユニット１３０を介してユーザからファームウェアのアップデートの実行の指示があった際や、画像形成装置１００の時刻が予め設定された時刻に到達した際に、プログラムの更新処理を行う。具体的には、プログラム更新処理部３２０は、プログラム配信制御部３１９により転送されたデータを用いて、メインコントローラ１１０内の各プログラムの更新処理を行う。

プログラム配信制御部３１９およびプログラム更新処理部３２０によるファームウェアのアップデート処理は、具体的には下記の３つの処理に分けられる。
（１）外部ＵＳＢデバイス１７０やサーバ装置１８０からのプログラムの転送処理
（２）フラッシュメモリ１１４に記憶された旧プログラムのバックアップ処理
（３）フラッシュメモリ１１４に記憶されたプログラムの更新処理

旧プログラムのバックアップ処理を実行するのは、プログラムの更新処理の間に電源の不良や記憶領域の書き込みエラー等により更新処理が正常に実行できなかった場合に、アップデート前の旧プログラムへロールバックするためのものである。改ざん検知からの復旧時の更新処理の際は、不正なプログラムがバックアップされてしまうため、旧プログラムのバックアップは実行しない。

また、プログラム配信制御部３１９およびプログラム更新処理部３２０は、Ｊａｖａプログラム２６０の一部として構成されている例を示しているが、Ｎａｔｉｖｅプログラム２５０の一部として構成されていてもよい。

図４（ａ）は、画像形成装置１００が改ざん検知を行わずに起動する手順を示す図である。ブートプログラム２１０がＢＩＯＳ２２０を起動し、ＢＩＯＳ２２０がローダー２３０を起動し、ローダー２３０がカーネル２４０を起動し、カーネル２４０がＮａｔｉｖｅプログラム２５０の中の起動プログラムを起動する。その起動プログラムがＪａｖａプログラム２６０を起動し、以降はＮａｔｉｖｅプログラム２５０とＪａｖａプログラム２６０が連携して画像形成装置１００の機能を提供する。

図４（ｂ）は、画像形成装置１００が改ざん検知を行いながら起動する手順を示す図である。ＲＯＭ１１２は、ブートプログラム２１０と、ＢＩＯＳ２２０を記憶する。フラッシュメモリ１１４は、ローダー２３０と、カーネル２４０と、Ｎａｔｉｖｅプログラム２５０を記憶する。ＨＤＤ１１５は、Ｊａｖａプログラム２６０を記憶する。以下、デジタル署名を署名という。

ブートプログラム２１０は、ＢＩＯＳ２２０の署名検証用の公開鍵４０１を含む。ＢＩＯＳ２２０は、ＢＩＯＳ２２０の署名４０２と、ローダー２３０の署名検証用の公開鍵４０３を含む。ローダー２３０は、ローダー２３０の署名４０４と、カーネル２４０の署名検証用の公開鍵４０５を含む。カーネル２４０は、カーネル２４０の署名４０６と、Ｎａｔｉｖｅプログラム２５０の署名検証用の公開鍵４０７を含む。Ｎａｔｉｖｅプログラム２５０は、Ｎａｔｉｖｅプログラム２５０の署名４０８と、Ｊａｖａプログラム２６０の署名検証用の公開鍵４０９を含む。Ｊａｖａプログラム２６０は、Ｊａｖａプログラム２６０の署名４１０を含む。これらの公開鍵と署名は、あらかじめ画像形成装置１００の出荷前にプログラムに対して付与されるものであるとともに、ファームウェアのアップデート時には適切に更新される。

ブートプログラム２１０内のＢＩＯＳ改ざん検知処理部２１１は、ＢＩＯＳ２２０の署名検証用の公開鍵４０１を用いて、ＢＩＯＳ２２０の署名４０２の検証を行うことにより、ＢＩＯＳ２２０の改ざんの検知を行う。ＣＰＵ１１１は、ＢＩＯＳ２２０の改ざんが検知されない場合には、ＢＩＯＳ２２０を起動する。

ＢＩＯＳ２２０内のローダー改ざん検知処理部２２１は、ローダー２３０の署名検証用の公開鍵４０３を用いて、ローダー２３０の署名４０４の検証を行うことにより、ローダー２３０の改ざんの検知を行う。ＣＰＵ１１１は、ローダー２３０の改ざんが検知されない場合には、ローダー２３０を起動する。

ローダー２３０内のカーネル改ざん検知処理部２３１は、カーネル２４０の署名検証用の公開鍵４０５を用いて、カーネル２４０の署名４０６の検証を行うことにより、カーネル２４０の改ざんの検知を行う。ＣＰＵ１１１は、カーネル２４０の改ざんが検知されない場合には、カーネル２４０を起動する。

カーネル２４０は、Ｎａｔｉｖｅプログラム改ざん検知処理部２４１を含む。Ｎａｔｉｖｅプログラム改ざん検知処理部２４１は、Ｎａｔｉｖｅプログラム２５０の署名検証用の公開鍵４０７を用いて、Ｎａｔｉｖｅプログラム２５０の署名４０８の検証を行うことにより、Ｎａｔｉｖｅプログラム２５０の改ざんの検知を行う。ＣＰＵ１１１は、Ｎａｔｉｖｅプログラム２５０の改ざんが検知されない場合には、Ｎａｔｉｖｅプログラム２５０を起動する。

Ｎａｔｉｖｅプログラム２５０は、Ｊａｖａプログラム改ざん検知処理部２５１を含む。Ｊａｖａプログラム改ざん検知処理部２５１は、Ｊａｖａプログラム２６０の署名検証用の公開鍵４０９を用いて、Ｊａｖａプログラム２６０の署名４１０の検証を行うことにより、Ｊａｖａプログラム２６０の改ざんの検知を行う。ＣＰＵ１１１は、Ｊａｖａプログラム２６０の改ざんが検知されない場合には、Ｊａｖａプログラム２６０を起動する。

以上のように、改ざん検知処理部２１１、２２１、２３１、２４１、２５１は、それぞれ、複数のプログラムの改ざんの検証を順に行う。

図５は、画像形成装置１００の処理方法を示すフローチャートであり、ファームウェアのバックアップ処理を示す。ＣＰＵ１１１は、フラッシュメモリ１１４に記憶されているプログラムを実行することにより、図５の処理を行う。

ステップＳ５０１では、ＣＰＵ１１１は、ファームウェア（プログラム）のアップデートの指示を入力する。ＣＰＵ１１１は、操作部ユニット１３０を介してユーザから入力する場合もあるし、ＰＣ１９０やサーバ装置１８０から通信により入力する場合もある。

次に、ステップＳ５０２では、ＣＰＵ１１１は、メインコントローラ１１０のファームフェアの差分アップデート設定がオンであるか否かを判定する。ファームウェアのアップデート処理の間は画像形成装置１００の機能が使用できなくなるため、ファームウェアのアップデートの処理時間をできるだけ短縮することで、ユーザの利便性が下がることを防止できる。そのため、ファームウェアの差分アップデート設定は、デフォルトでオンに設定され、操作部ユニット１３０を介したユーザからの入力や、ＰＣ１９０やサーバ装置１８０からの通信により、変更が可能である。ＣＰＵ１１１は、ファームウェアの差分アップデート設定がオンである場合には、ステップＳ５０３に進み、ファームウェアの差分アップデート設定がオフである場合には、ステップＳ５０６に進む。

ステップＳ５０３では、ＣＰＵ１０１は、外部記憶装置から更新プログラム情報を取得し、メインコントローラ１１０内の各プログラムのバージョンと各更新プログラムのバージョンを比較する。外部記憶装置は、ＵＳＢ−ＨｏｓｔＩ／Ｆ１２２を介した外部ＵＳＢデバイス１７０、ネットワークＩ／Ｆ１２３を介したサーバ装置１８０またはＰＣ１９０である。

次に、ステップＳ５０４では、ＣＰＵ１１１は、メインコントローラ１１０内の複数のプログラムに対して、バージョンが異なる更新プログラムのみを外部記憶装置から受信する。

次に、ステップＳ５０５では、ＣＰＵ１１１は、ステップＳ５０４で受信した更新プログラムを用いて、メインコントローラ１１０内の各プログラムの更新処理を実行する。ファームウェアの差分アップデート設定がオンである場合、ステップＳ５０４における受信処理とステップＳ５０５における更新処理は、パージョンが異なる更新プログラムの分だけ行えばよいので、アップデート処理全体の所要時間が削減される。その後、ＣＰＵ１１１は、ステップＳ５０９に進む。

ステップＳ５０６では、ＣＰＵ１１１は、メインコントローラ１１０内の複数のプログラムに対応する複数の更新プログラムのすべてを外部記憶装置から受信する。

次に、ステップＳ５０７では、ＣＰＵ１１１は、メインコントローラ１１０内の旧プログラムをすべて削除する。

次に、ステップＳ５０８では、ＣＰＵ１１１は、ステップＳ５０６で受信した全更新プログラムを用いて、メインコントローラ１１０内の全プログラムの更新処理を実行する。その後、ＣＰＵ１１１は、ステップＳ５０９に進む。

ステップＳ５０９では、ＣＰＵ１１１は、画像形成装置１００の再起動処理を行う。次に、ステップＳ５１０では、ＣＰＵ１１１は、画像形成装置１００の通常起動処理を実行し、図５の処理を終了する。

図６は、画像形成装置１００の処理方法を示すフローチャートであり、改ざん検知時の復旧処理を示す。ＣＰＵ１１１は、フラッシュメモリ１１４に記憶されているプログラムを実行することにより、図６の処理を行う。

ステップＳ６０１では、改ざん検知処理部２１１、２２１、２３１、２４１および２５１は、ＢＩＯＳ２２０、ローダー２３０、カーネル２４０、Ｎａｔｉｖｅプログラム２５０およびＪａｖａプログラム２６０の改ざんの検知の有無を判定する。この際、改ざん検知処理部２１１、２２１、２３１、２４１および２５１は、判定部として機能する。ＢＩＯＳ２２０、ローダー２３０、カーネル２４０、Ｎａｔｉｖｅプログラム２５０およびＪａｖａプログラム２６０は、それぞれ、プログラムである。改ざん検知処理部２１１、２２１、２３１、２４１および２５１の少なくとも１個が改ざんを検知したと判定した場合には、ＣＰＵ１１１は、ステップＳ６０２に進む。

次に、ステップＳ６０２では、エラー通知制御部３１７は、改ざんを検知したことを示すエラー画面を操作部ユニット１３０に対して表示する。なお、エラー通知制御部３１７は、ＬＡＮ１６０で接続された外部機器に対して、エラー画面を表示してもよい。改ざん検知のタイミングによっては、ＢＩＯＳ改ざん検知処理部２１１、ローダー改ざん検知処理部２２１またはカーネル改ざん検知処理部２３１が、操作部ユニット１３０にエラー画面を表示する。

次に、ステップＳ６０３では、ＣＰＵ１１１は、プログラムの更新により復旧可能な改ざんであるか否かを判定する。改ざんが検知されたプログラムがローダー２３０やカーネル２４０のような、起動処理に関連するプログラムである場合は、起動処理がＮａｔｉｖｅプログラム２５０まで進まない場合があるので、プログラムの更新による復旧はできない。ＣＰＵ１１１は、プログラムの更新により復旧可能な改ざんである場合には、ステップＳ６０４に進み、プログラムの更新により復旧可能な改ざんでない場合には、エラーを表示し、図６の処理を終了する。

ステップＳ６０４では、改ざん検知箇所特定部３１８は、判定部として機能し、改ざんを検知した箇所の特定を行い、プログラムの更新に関するプログラムの改ざんが検知されたか否かを判定する。プログラムの更新に関するプログラムは、更新プログラムを受信する機能、更新プログラムを復号する機能、または更新プログラムを用いて更新する機能を有する。例えば、改ざんされた箇所が外部記憶装置との通信制御部３１６や、プログラムの更新に影響するプログラムである場合、その後のプログラムの更新処理の動作が保証できない。改ざん検知箇所特定部３１８は、プログラムの更新に関するプログラムの改ざんが検知されていないと判定した場合には、復旧可能であるので、ステップＳ６０５に進む。また、改ざん検知箇所特定部３１８は、プログラムの更新に関するプログラムの改ざんが検知されたと判定した場合には、復旧不可であるので、図６の処理を終了する。

ステップＳ６０５では、ＣＰＵ１１１は、画像形成装置１００が通信制御部３１６によりプログラムを受信するためのサーバ装置１８０に接続されているか否かを判定する。画像形成装置１００は、設置環境によってはサーバ装置１８０には接続されていない場合やＬＡＮ１６０に正しく接続されていない場合があるので、ＣＰＵ１１１は、サーバ装置１８０に接続されているか否かを判定する。ＣＰＵ１１１は、画像形成装置１００がサーバ装置１８０に接続されている場合には、ステップＳ６０７に進み、画像形成装置１００がサーバ装置１８０に接続されていない場合には、ステップＳ６０６に進む。

ステップＳ６０６では、ＣＰＵ１１１は、サーバ装置１８０以外の外部記憶装置からプログラムを受信可能であるか否かを判定する。サーバ装置１８０以外の外部記憶装置は、例えば、ＰＣ１９０や外部ＵＳＢデバイス１７０のＵＳＢメモリである。ＣＰＵ１１１は、サーバ装置１８０以外の外部記憶装置からプログラムを受信可能である場合には、ステップＳ６０７に進み、サーバ装置１８０以外の外部記憶装置からプログラムを受信可能でない場合には、図６の処理を終了する。

ステップＳ６０７では、ＣＰＵ１１１は、改ざんされたプログラムを削除し、全プログラムの更新による復旧処理を実行する内容を操作部ユニット１３０に表示し、復旧処理の実行確認の入力を受け付ける。ＣＰＵ１１１は、自動的に復旧処理を実行するように制御してもよいし、操作部ユニット１３０を介してユーザからの実行確認の入力を受け付けてもよいし、ＰＣ１９０やサーバ装置１８０からの通信により実行確認の入力を受け付けてもよい。また、ＣＰＵ１１１は、予め設定された時刻に実行確認を入力してもよい。ＣＰＵ１１１が操作部ユニット１３０に表示する画面の例を図７で後述する。ＣＰＵ１１１は、復旧処理を実行する旨を入力した場合には、ステップＳ６０８に進み、復旧処理をキャンセルする旨を入力した場合には、図６の処理を終了する。

ステップＳ６０８では、プログラム配信制御部３１９は、ファームウェアの差分アップデート設定をオフにする。プログラムの改ざんが検知された場合には、既存のプログラムの書き換えの他に、不正なプログラムが追加されている場合が想定される。その場合、ファームウェアの差分アップデート設定がオンの場合には、プログラムを復旧できない可能性がある。改ざん検知から復旧するためには、メインコントローラ１１０のプログラムを削除して、再度全プログラムを上書きすることで、確実に復旧することができる。そのため、プログラム配信制御部３１９は、ファームウェアの差分アップデート設定をオフにする。

次に、ステップＳ６０９では、プログラム配信制御部３１９は、ＲＯＭ１１２、フラッシュメモリ１１４およびＨＤＤ１１５内の複数のプログラムに対応する複数の更新プログラムを外部記憶装置から受信し、その複数の更新プログラムをＨＤＤ１１５に保存する。外部記憶装置は、サーバ装置１８０（Ｓ６０５でＹＥＳの場合）、または、ＵＳＢ−ＨｏｓｔＩ／Ｆ１２２を介した外部ＵＳＢデバイス１７０やネットワークＩ／Ｆ１２３を介したＰＣ１９０（Ｓ６０６でＹＥＳの場合）である。

次に、ステップＳ６１０では、プログラム更新処理部３２０は、ＲＯＭ１１２、フラッシュメモリ１１４およびＨＤＤ１１５内の既存の複数のプログラムを削除する。プログラム更新処理部３２０は、更新部として機能し、ＨＤＤ１１５に保存されている複数の更新プログラムを用いて、ＲＯＭ１１２、フラッシュメモリ１１４およびＨＤＤ１１５内の複数のプログラムを更新する。なお、プログラム更新処理部３２０は、ＨＤＤ１１５に保存されている複数の更新プログラムを復号し、復号した複数の更新プログラムを用いて、ＲＯＭ１１２、フラッシュメモリ１１４およびＨＤＤ１１５内の複数のプログラムを更新してもよい。

次に、ステップＳ６１１では、改ざん検知処理部２１１、２２１、２３１、２４１および２５１は、更新されたプログラム群に対して、図４で説明した段階的なプログラムの検証処理を実行する。

ステップＳ６１２では、改ざん検知処理部２１１、２２１、２３１、２４１および２５１は、上記の検証処理により、正当なプログラムが格納されているいか否かを判定する。改ざん検知処理部２１１、２２１、２３１、２４１および２５１は、正当なプログラムが格納されている場合には、ステップＳ６１４に進み、正当なプログラムが格納されていない場合には、ステップＳ６１３に進む。

ステップＳ６１４では、ＣＰＵ１１１は、画像形成装置１００を通常起動し、図６の処理を正常終了する。

ステップＳ６１３では、ＣＰＵ１１１は、復旧不可能な改ざんであるため、改めて操作部ユニット１３０に対して改ざん検知エラーを表示し、図６の処理を終了する。

図７は、図６のステップＳ６０７で操作部ユニット１３０に表示させる画面の一例を示す図である。ＣＰＵ１１１は、プログラムの改ざんを検知した旨を表示し、適切なプログラムを上書きすることで復旧可能であることと、適切なプログラムをすべて取得して上書きするため一定の時間がかかることを表示する。ＯＫボタン７０１とキャンセルボタン７０２が選択可能となっている。ＯＫボタン７０１が選択された場合、ＣＰＵ１１１は、外部記憶装置から全更新プログラムを受信し、上書きによるプログラムの更新を行う。

以上のように、画像形成装置１００は、復旧処理により、プログラムの改ざんに伴う部品交換やサービス出動に関わる物理的なコストを削減し、復旧までの間のダウンタイムを削減することができる。また、画像形成装置１００は、バージョンが異なる更新プログラムのみではなく、すべての更新プログラムを上書きすることにより、プログラムが改ざんされた状態からより確実に復旧することができる。

なお、検知処理部２１１、２２１、２３１、２４１および２１は、プログラムの改ざんの検知に代わりに、プログラムの破損または読み込み不良の検知を行ってもよい。

ステップＳ６０１では、検知処理部２１１、２２１、２３１、２４１および２５１は、複数のプログラムの不良（破損または読み込み不良）の検知の有無を判定する。検知処理部２１１、２２１、２３１、２４１および２５１は、少なくとも１個のプログラムの不良（破損または読み込み不良）を検知したと判定した場合には、ステップＳ６０２に進む。

ステップＳ６０４では、改ざん検知箇所特定部３１８は、プログラムの更新に関するプログラムの不良（破損または読み込み不良）が検知されたか否かを判定する。改ざん検知箇所特定部３１８は、プログラムの更新に関するプログラムの不良（破損または読み込み不良）が検知されたと判定した場合には、図６の処理を終了する。また、改ざん検知箇所特定部３１８は、プログラムの更新に関するプログラムの不良（破損または読み込み不良）が検知されていないと判定した場合には、ステップＳ６０５に進む。

（その他の実施形態）
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読み出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

以上、本発明の実施形態について詳述したが、本発明は係る特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

１００ 画像形成装置、２１１ ＢＩＯＳ改ざん検知処理部、２３１ カーネル改ざん検知処理部、２４１ Ｎａｔｉｖｅプログラム改ざん検知処理部、２５１ Ｊａｖａプログラム改ざん検知処理部、３１８ 改ざん検知箇所特定部、３１９ プログラム配信制御部、３２０ プログラム更新処理部

Claims (8)

1. 複数のプログラムの不良の検知の有無を判定する第１の判定手段と、
   前記第１の判定手段により少なくとも１個のプログラムの不良を検知したと判定された場合には、プログラムの更新に関するプログラムの不良が検知されたか否かを判定する第２の判定手段と、
   前記第２の判定手段により前記プログラムの更新に関するプログラムの不良が検知されていないと判定された場合には、前記複数のプログラムに対応する複数の更新プログラムを受信し、前記複数の更新プログラムを用いて前記複数のプログラムを更新する第１の更新手段と
   を有することを特徴とする情報処理装置。
2. 前記第１の判定手段は、前記複数のプログラムの改ざんの検知の有無を判定し、
   前記第２の判定手段は、前記第１の判定手段により少なくとも１個のプログラムの改ざんを検知したと判定された場合には、プログラムの更新に関するプログラムの改ざんが検知されたか否かを判定し、
   前記第１の更新手段は、前記第２の判定手段により前記プログラムの更新に関するプログラムの改ざんが検知されていないと判定された場合には、前記複数のプログラムに対応する複数の更新プログラムを受信し、前記複数の更新プログラムを用いて前記複数のプログラムを更新することを特徴とする請求項１に記載の情報処理装置。
3. 前記第１の判定手段は、前記複数のプログラムの改ざんの検証を順に行うことを特徴とする請求項１または２に記載の情報処理装置。
4. 前記第１の判定手段は、前記複数のプログラムの破損または読み込み不良の検知の有無を判定し、
   前記第２の判定手段は、前記第１の判定手段により少なくとも１個のプログラムの破損または読み込み不良を検知したと判定された場合には、プログラムの更新に関するプログラムの破損または読み込み不良が検知されたか否かを判定し、
   前記第１の更新手段は、前記第２の判定手段により前記プログラムの更新に関するプログラムの破損または読み込み不良が検知されていないと判定された場合には、前記複数のプログラムに対応する複数の更新プログラムを受信し、前記複数の更新プログラムを用いて前記複数のプログラムを更新することを特徴とする請求項１に記載の情報処理装置。
5. 前記プログラムの更新に関するプログラムは、更新プログラムを受信する機能、更新プログラムを復号する機能、または更新プログラムを用いて更新する機能を有することを特徴とする請求項１〜４のいずれか１項に記載の情報処理装置。
6. プログラムのアップデートの指示を入力した場合、第１の設定では、前記複数のプログラムに対してバージョンが異なる更新プログラムのみを受信し、前記受信した更新プログラムを用いてプログラムを更新し、第２の設定では、前記複数のプログラムに対応する複数の更新プログラムを受信し、前記複数の更新プログラムを用いて前記複数のプログラムを更新する第２の更新手段をさらに有することを特徴とする請求項１〜５のいずれか１項に記載の情報処理装置。
7. 複数のプログラムの不良の検知の有無を判定する第１の判定ステップと、
   前記第１の判定ステップにより少なくとも１個のプログラムの不良を検知したと判定された場合には、プログラムの更新に関するプログラムの不良が検知されたか否かを判定する第２の判定ステップと、
   前記第２の判定ステップにより前記プログラムの更新に関するプログラムの不良が検知されていないと判定された場合には、前記複数のプログラムに対応する複数の更新プログラムを受信し、前記複数の更新プログラムを用いて前記複数のプログラムを更新する第１の更新ステップと
   を有することを特徴とする情報処理装置の処理方法。
8. コンピュータを、請求項１〜６のいずれか１項に記載された情報処理装置の各手段として機能させるためのプログラム。

Images