JP2022066084A - 情報処理装置 - Google Patents

Abstract

【課題】 復旧用プログラムが処理手段によって改変されるのを防止する。【解決手段】 画像形成装置は、ＣＰＵ３０１と、ＣＰＵ３０１が実行するプログラムを記憶するＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３と、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３に記憶されたプログラムの改変を検知するセキュアマイコン３１５と、セキュアマイコン３１５によって改変が検知されたプログラムを復旧するための復旧用プログラムを記憶するセキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６と、を備える。セキュアマイコン３１５から復旧用プログラムを記憶するセキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６へのアクセスが可能となるよう構成し、ＣＰＵ３０１から復旧用プログラムを記憶するセキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６へのアクセスができないように構成する。【選択図】 図５

Description

本発明は、処理手段が実行するプログラムの改変を検知し、改変されたプログラムを復旧することが可能な情報処理装置に関する。

情報処理装置は、ネットワークインターフェイスを有しており、ファイルサーバ機能やメール送受信機能をユーザに対して提供している。情報処理装置がネットワークに接続されることにより、不正なハッキングによる情報処理装置の不正使用が発生する可能性がある。近年、多様化するサイバー攻撃からすべてのリスクを排除することは不可能であるという前提で、サイバー攻撃にあったとしても、情報処理装置自身がサイバー攻撃される前の状態に復旧させるサイバーレジリエンスという考え方が重視されてきている。

特開２００９－３０１４２９号公報 特開２０１５－６９４０３号公報

特許文献１には、機器の起動時に、機器に搭載されているソフトウェアの改竄を検知する技術が開示されている。ソフトウェアの改竄を検知する手法としては、ソフトウェアのハッシュ値を計算し、マスターとなるハッシュ値との比較を行い、その比較結果に基づきソフトウェアの改竄を検知する。特許文献１では、ソフトウェアの改竄が検知された場合に、改竄されたソフトウェア及びそのソフトウェアを使用する他のソフトウェアを使用できなくする。

特許文献２に記載された装置は、第２記憶部に記憶されたプログラムの改竄が検知された場合に、第１記憶部に記憶された復旧用のプリインストールプログラムを起動する。特許文献２では、制御部１０２が、第２記憶部及び第１記憶部の両方にアクセスすることが可能であるから、制御部１０２によるアクセスによって、第１記憶部に記憶される復旧用のプリインストールプログラムも改竄される可能性がある。第１記憶部及び第２記憶部のプログラムが共に改竄されてしまうと、装置は復旧できなくなってしまう。

そこで、本発明は、復旧用プログラムを記憶する記憶部を処理手段からアクセスできないように構成し、復旧用プログラムが処理手段によって改変されるのを防止することを目的とする。

上記の目的を達成するために、本発明の情報処理装置は、処理手段と、処理手段が実行するプログラムを記憶する第１の記憶手段と、前記第１の記憶手段に記憶された前記プログラムの改変を検知する検知手段と、前記検知手段によって改変が検知されたプログラムを復旧するための復旧用プログラムを記憶する第２の記憶手段と、を備え、前記検知手段から前記復旧用プログラムを記憶する前記第２の記憶手段へのアクセスが可能となるよう構成し、前記処理手段から前記復旧用プログラムを記憶する前記第２の記憶手段へのアクセスができないように構成する。

本発明によれば、復旧用プログラムが処理手段によって改変されるのを防止することができる。

画像形成装置を含むシステムを示したブロック図である。 画像形成装置の斜視図である。 コントローラの詳細を示したブロック図である。 セキュアマイコン用Ｂｏｏｔ ＲＯＭの詳細を示した図である。 ＣＰＵ用Ｂｏｏｔ ＲＯＭの詳細を示した図である。 ＣＰＵ、セキュアマイコン、Ｂｏｏｔ ＲＯＭを接続するバスの構成を示した図である。 セキュアマイコンが実行するフローチャートである。 ＣＰＵが実行するフローチャートである。 第２実施形態のセキュアマイコン用Ｂｏｏｔ ＲＯＭの詳細を示した図である。 第２実施形態のＣＰＵ用Ｂｏｏｔ ＲＯＭの詳細を示した図である。 第２実施形態のセキュアマイコンが実行するフローチャートである。

以下、本発明を実施するための形態について図面を用いて説明する。なお、以下の実施形態は、特許請求の範囲に係る発明を限定するものでない。

［第１実施形態］
＜システムの構成＞
図１は、第１実施形態の画像形成装置を含むシステムを示したブロック図である。図１のシステムは、ホストコンピュータ４０及び５０と、画像形成装置１０、２０及び３０と、を有している。ホストコンピュータ４０及び５０と、画像形成装置１０、２０及び３０との各々は、ＬＡＮ６０に接続されている。本実施形態の画像形成装置１０、２０及び３０は、ＷＡＮ（公衆回線）などのＬＡＮとは異なるネットワークに接続されていても良い。

ホストコンピュータ（以下、ＰＣと称する）４０及び５０は、パーソナルコンピュータの機能を有している。ＰＣ４０は、ＬＡＮ６０を介してＦＴＰやＳＭＢプロトコルを用いて、ファイルを送受信したり電子メールを送受信したりすることができる。また、ＰＣ４０は、画像形成装置１０、２０、３０に対して、プリンタドライバを介した印字命令を行うことが可能である。さらに、ＰＣ４０は、定期的に、画像形成装置１０、２０、３０に対して、画像形成装置の状態を問い合わせることができる。画像形成装置１０、２０、３０は、ＰＣ４０からの要求に応じて、印刷可能であるか否かなどの画像形成装置の状態を示すステータス情報、画像形成装置の構成を示す構成情報、画像形成装置で使用される消耗品（トナー残量、紙残量）の情報等を返信する。

画像形成装置１０及び２０は、プリント機能（印刷機能）及びスキャナ機能（読取機能）を有する装置であって、画像形成装置３０は、スキャナ機能を有せず、プリント機能を有する装置である。画像形成装置１０は、画像入力デバイスであるスキャナ部１３、画像出力デバイスであるプリンタ部１４、画像形成装置１０全体の動作制御を司るコントローラ１１、及び、ユーザインターフェース（ＵＩ）である操作部１２を備える。また、画像形成装置２０も、スキャナ部２３、プリンタ部２４、コントローラ２１、及び、操作部２２を備える。画像形成装置３０は、プリンタ部３４、コントローラ３１、及び、操作部３２を備える。

以下、画像形成装置１０の詳細について説明し、画像形成装置２０及び３０の説明は画像形成装置１０と同様であるので、その説明を割愛する。画像形成装置１０は、本発明の情報処理装置の一例である。

＜画像形成装置の構成＞
図２は、画像形成装置の斜視図である。

図２に示すように、画像形成装置１０は、ユーザインターフェース（ＵＩ）である操作部１２と、画像入力デバイスであるスキャナ部１３と、画像出力デバイスであるプリンタ部１４と、を備えている。

操作部１２は、ハードキー１２１と、情報を表示する表示部１２２と、を有する。ハードキー１２１は、画像形成装置１０を省電力状態に移行する、又は、省電力状態から復帰させる節電／復帰ボタン１２１ｃ、印刷の開始を指示するスタートキー１２１ｂ、１０キー１２１ｃなどを有する。

スキャナ部１３は、原稿上に形成された画像を読み取って画像データを取得するデバイスである。原稿上に形成された画像に照射された光の反射光をＣＣＤに入力することによって、当該画像の情報を電気信号に変換する。この電気信号は、Ｒ，Ｇ，Ｂ各色からなる輝度信号に変換され、後述するコントローラ１１に対して出力される。

スキャナ部１３によって読み取られる原稿は、原稿フィーダ２０１のトレイ２０２にセットされる。ユーザが、操作部１２を用いて読み取り開始の指示を入力すると、スキャナ部１３は、原稿フィーダ２０１のトレイ２０２から原稿を１枚ずつフィードして、原稿の読み取り動作を行う。なお、原稿の読み取り方法は、原稿フィーダ２０１による自動送り方式ではなく、不図示のガラス面に載置された原稿に対して、光源やＣＣＤが搭載されたキャリッジを走査する方法であってもよい。

プリンタ部１４は、入力された画像データを用いて用紙に画像を形成するデバイスである。なお、本実施形態のプリンタ部１４の画像形成方式は、感光体ドラムや感光体ベルトを用いた電子写真方式であるが、本発明はこれに限定されない。例えば、プリンタ部１４は、微少ノズルアレイからインクを吐出して用紙上に印字するインクジェット方式であっても良い。

また、画像形成装置１０は、プリンタ部１４によって画像が形成される用紙を収納する複数の用紙カセット２０３、２０４、および２０５を有している。また、画像形成装置１０は、プリンタ部１４によって画像が形成された用紙が排出される複数の用紙カセット排紙トレイ２０６を有している。

＜コントローラ１１の詳細説明＞
図３は、画像形成装置の全体を制御するコントローラを示したブロック図である。コントローラ１１は、スキャナ部１３やプリンタ部１４と電気的に接続されている。また、コントローラ１１は、ＬＡＮ６０などを介して、ＰＣ４０、５０や外部の装置などと通信可能に接続されている。

ＣＰＵ３０１は、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３に記憶されたプログラムを実行し、ＣＰＵ３０１に接続される周辺デバイスにアクセスする。ＲＡＭ３０２は、ＣＰＵ３０１が動作するためのシステムワークメモリであり、かつ画像データを一時記憶するためのメモリでもある。このＲＡＭ３０２は、ＳＲＡＭ及びＤＲＡＭである。ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３は、ＣＰＵ３０１を起動させるプログラムを記憶する。そのプログラムがＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３にメモリマップされているイメージは、図４（Ｂ）の通りである。またＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３は、ＣＰＵ３０１からもセキュアマイコン３１５からもアクセスできるように構成されている。ＣＰＵ３０１及びセキュアマイコン３１５の両方からアクセスするための接続バス構成に関しては後述する。

ＨＤＤ３０４は、ハードディスクドライブであり、システムソフトウェアや画像データを格納することが可能となっている。操作部Ｉ／Ｆ３０５は、システムバス３０７と操作部１２とを接続するためのインターフェース部である。この操作部Ｉ／Ｆ３０５は、操作部１２に表示するための画像データをシステムバス３０７から受け取り、操作部１２に出力する。また、操作部Ｉ／Ｆ３０５は、操作部１２から入力された情報をシステムバス３０７へと出力する。

ＬＡＮコントローラ３０６は、ＬＡＮ６０及びシステムバス３０７に接続され、情報の入出力を行い、画像形成装置とネットワークとの通信を制御する。画像バス３０８は、画像データをやり取りするための伝送路であり、ＰＣＩバス又はＩＥＥＥ１３９４で構成されている。画像処理部３０９は、画像処理を行うためのものであり、ＲＡＭ３０２に記憶された画像データを読み出し、ＪＰＥＧ、ＪＢＩＧなどの拡大または縮小および、色調整などの画像処理を行うことが可能である。ここで画像処理されたデータは、ＲＡＭ３０２やＨＤＤ３０４に格納される。

スキャナ画像処理部３１０は、スキャナ部１３からスキャナＩ／Ｆ３１１を介して受け取った画像データに対して、補正、加工、及び編集を行う。なお、スキャナ画像処理部３１０は、受け取った画像データがカラー原稿か白黒原稿か、文字原稿か写真原稿かなどを判断する。そして、その判断結果を画像データに付随させる。こうした付随情報を属性データと称する。プリンタ画像処理部３１２は、この画像データに付随させられている属性データを参照しながら画像データに画像処理を施す。画像処理後の画像データは、プリンタＩ／Ｆ３１３を介してプリンタ部１４に出力される。

電源制御部３１４は、起動時や電源オフ時の電源制御や省電力状態への移行／復帰といった画像形成装置１０の内部電源状態の変更を制御する。電源制御部３１４は、省電力状態から復帰する場合の復帰要因（例えばＦＡＸ受信やスイッチ押下等）を検知する部分でもあり、各復帰要因に応じてスタンバイ状態へ移行した際の電源制御も実施する。

セキュアマイコン３１５は、トラステッドブートの基点となるハードウェアデバイスである。セキュアマイコン３１５は、デバイス内部に鍵情報を記憶するヒューズを備えている。セキュアマイコン３１５は、その鍵情報を使用して、セキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６内に記憶されたセキュアマイコン用プログラム４０２の改変を検知する。そして、セキュアマイコン３１５は、セキュアマイコン用プログラム４０２が改ざんされていないと判断すると、当該セキュアマイコン用プログラム４０２を実行する。また、セキュアマイコン３１５は、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３に格納されているＣＰＵ用プログラム４０３を検証し、当該プログラムの改変を検知する。ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３に格納されているＣＰＵ用プログラム４０３が改変されていないと判断すると、ＣＰＵ３０１のリセットが解除される。

セキュアマイコン３１５は、ＣＰＵ用プログラム４０３の改変を検知すると、後述するセキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６内にある復旧用プログラム４０１を使って、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３内のプログラムを書き直す。セキュアマイコン３１５がサイバー攻撃を受けないようにするために、本実施形態では、ＣＰＵ３０１は、セキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６にアクセスすることができない。

セキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６には、ＣＰＵ３０１を起動させるためのプログラム及びセキュアマイコン３１５を起動させるためのセキュアマイコン用プログラム４０２が格納されている。ＣＰＵ３０１を起動させるためのプログラム（以下、適宜、復旧用プログラムと呼ぶ）は、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３に記憶されたＣＰＵ用プログラム４０３を復旧するために使用される。セキュアマイコン用プログラム４０２及び復旧用プログラム４０１がセキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６にメモリマップされているイメージは、図４（Ａ）の通りである。セキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６は、セキュアマイコン３１５からのみアクセス可能な構成になっている。セキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６がサイバー攻撃を受けないようにするために、ＣＰＵ３０１は、セキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６にアクセスすることができない。

＜Ｂｏｏｔ ＲＯＭの詳細構成＞
図４（Ａ）は、セキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６が記憶するプログラムを示した図であり、図４（Ｂ）は、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３が記憶するプログラムを示した図である。

図４（Ａ）に示すように、セキュアマイコン用ＢｏｏｔＲＯＭ３１６は、セキュアマイコン３１５を起動させるためのセキュアマイコン用プログラム４０２を記憶する。また、セキュアマイコン用ＢｏｏｔＲＯＭ３１６は、ＣＰＵ用プログラム４０３を復旧するための復旧用プログラム４０１を記憶する。復旧用プログラム４０１は、ＣＰＵ用プログラム４０３を、出荷時などの復元ポイントの状態に戻すためのプログラム４０１である。例えば、復元用プログラム４０１は、復元ポイントでのＣＰＵ用プログラム４０３である。

また、図４（Ｂ）に示すように、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３は、ＣＰＵ３０１を起動させるためのＣＰＵ用プログラム４０３を記憶する。このＣＰＵ用プログラム４０３は、セキュアマイコン３１５によって検証される。そして、ＣＰＵ３０１は、セキュアマイコン３１５によって改変されていないと判断されたＣＰＵ用プログラム４０３を実行する。

＜ＳＰＩバスの構成＞
図５に、各ＲＯＭにアクセスするためのバス構成を示す。ここでは、ＳＰＩ（シリアル・ペリフェラル・インタフェース）バスを例にして説明をするが、本発明はＳＰＩバスに限定されるものではない。

信号５０１は、ＳＰＩのチップセレクト信号（ＣＳ１＃）である。チップセレクト信号は、読み出し対象及び書き込み対象のデバイスを選択するための信号である。チップセレクト信号５０１は、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３にアクセスするために使用する信号である。チップセレクト信号５０１は、ＣＰＵ３０１もセキュアマイコン３１５も使用可能な信号である。そのため、セキュアマイコン３１５がＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３にアクセスする際には、セキュアマイコン３１５がチップセレクト信号５０１を制御する。そして、ＣＰＵ３０１がＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３にアクセスする際には、ＣＰＵ３０１がチップセレクト信号５０１を制御する。

信号５０２は、ＳＰＩのクロック信号（ＣＬＫ）である。クロック信号５０２は、マスターであるＣＰＵ３０１からＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３及びセキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６に供給される。また、セキュアマイコン５１２もＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３及びセキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６にクロック信号５０２を供給することができる。そのため、セキュアマイコン３１５がＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３やセキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６にアクセスする際には、セキュアマイコン３１５がクロック信号５０２を制御する。また、ＣＰＵ３０１がＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３やセキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６にアクセスする際には、ＣＰＵ３０１がクロック信号５０２を制御する。

信号５０３は、ＳＰＩのデータバス信号（ＩＯ）である。データバス信号５０３は、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３及びセキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６にデータをライトしたり、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３及びセキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６からデータをリードしたりする信号である。データバス信号５０３は、ＣＰＵ３０１からもセキュアマイコン３１５からも使用可能な信号である。そのためセキュアマイコン３１５が、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３やセキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６にアクセスする際には、セキュアマイコン３１５がデータバス信号５０３を制御する。また、ＣＰＵ３０１がＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３やセキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６にアクセスする際には、ＣＰＵ３０１がデータバス信号５０３を制御する。

信号５０４は、ＳＰＩのチップセレクト信号（ＣＳ０＃）である。チップセレクト信号５０４は、セキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６にアクセスするために使用する信号である。チップセレクト信号５０４は、セキュアマイコン３１５のみ使用可能な信号である。ＣＰＵ３０１は、チップセレクト信号５０４を制御することができないため、ＣＰＵ３０１がセキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６にアクセスすることはできない。

信号５０５は、セキュアマイコン３１５がＣＰＵ３０１のリセットを解除するための信号（Ｒｅｓｅｔ＃）である。セキュアマイコン３１５は、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３内のＣＰＵ用プログラム４０３を検証し、ＣＰＵ用プログラム４０３が改変されていないと判断すると、リセット信号５０５をＬｏｗからＨｉに変更する。ＣＰＵ３０１は、リセット信号５０５がＨｉになると（リセット解除されると）、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３のＣＰＵ用プログラム４０３を実行する。

＜セキュアマイコンの動作＞
図６は、セキュアマイコン３１５の動作フローを示したものである。

Ｓ６０１では、セキュアマイコン３１５に電源が投入されていない状態である。セキュアマイコン３１５に電源が投入されたら、Ｓ６０２に遷移する。Ｓ６０２では、セキュアマイコン３１５は、セキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６からセキュアマイコン用プログラム４０２を読み出す。そして、セキュアマイコン３１５は、セキュアマイコン３１５内部にあるヒューズに記憶されている鍵情報を用いて、セキュアマイコン用プログラム４０２を検証する。そして、セキュアマイコン用プログラム４０２が改変されていないと判断すると、セキュアマイコン３１５は、セキュアマイコン用プログラム４０２を実行する。

次に、Ｓ６０３では、セキュアマイコン用プログラム４０２を実行したセキュアマイコン３１５は、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３に記憶されたＣＰＵ用プログラム４０３を読み出す。Ｓ６０４では、セキュアマイコン３１５は、読み出したＣＰＵ用プログラム４０３の検証を行う。具体的には、セキュアマイコン３１５は、読み出したＣＰＵ用プログラム４０３のハッシュ値と正解値とに基づいて、ＣＰＵ用プログラム４０３の改変を検知する。セキュアマイコン３１５が、読み出したＣＰＵ用プログラム４０３が改変されていないと判断すると、Ｓ６０９に遷移し、読み出したＣＰＵ用プログラム４０３が改変されていると判断すると、Ｓ６０５に遷移する。

Ｓ６０５では、セキュアマイコン３１５がセキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６に記憶された復旧用プログラム４０１を読み出す。セキュアマイコン３１５は、改変されたと判断したＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３に記憶されたプログラムを復旧するために、当該復旧用プログラム４０１を読み出す。

Ｓ６０６では、セキュアマイコン３１５は、読み出した復旧用プログラム４０１を使って、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３に記憶されているＣＰＵ用プログラム４０３の書き直しを行う。具体的には、セキュアマイコン３１５は、Ｓ６０５でセキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６から読み出した復旧用プログラム４０１を、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３のＣＰＵ用プログラム４０３が記憶されていた領域に書き込む。これによって、改変されたＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３内のデータの復旧することができる。

さらに、Ｓ６０７では、セキュアマイコン３１５は、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３に記憶されたＣＰＵ用プログラム４０３を読み出す。そして、Ｓ６０８では、セキュアマイコン３１５は、読み出したＣＰＵ用プログラム４０３の検証を行う。セキュアマイコン３１５は、Ｓ６０７で読み出したＣＰＵ用プログラム４０３が改変されているかどうか判断し、読み出したＣＰＵ用プログラム４０３が改変されていないと判断するとＳ６０９に遷移する。また、読み出したＣＰＵ用プログラム４０３が改変されていると判断した場合、処理を停止する。画像形成装置１０をシャットダウンしても良い。なお、２回目のＣＰＵ用プログラム４０３の検証（Ｓ６０７、Ｓ６０８）は、必須ではない。

Ｓ６０９では、セキュアマイコン３１５は、ＣＰＵ３０１のリセット解除を行う。セキュアマイコン３１５は、ＣＰＵ３０１に対するリセット信号５０５を“Ｌｏｗ”から“Ｈｉ”に変化させて、ＣＰＵ３０１のリセット解除を行う。これによってＣＰＵ３０１が動作可能な状態になる。

＜ＣＰＵの動作＞
図７は、ＣＰＵ３０１の動作フローを示したものである。

Ｓ７０１では、ＣＰＵ３０１に電源が投入されていない状態である。電源が投入されたらＳ７０２に遷移する。Ｓ７０２では、ＣＰＵ３０１がリセットされている状態である。リセットが解除されたらＳ９０３に遷移する。セキュアマイコン３１５による図６のＳ６０９の処理によって、ＣＰＵ３０１のリセットが解除されて、Ｓ７０３に遷移する。

Ｓ７０３では、ＣＰＵ３０１は、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３からＣＰＵ用プログラム４０３を読み出して、実行する。ＣＰＵ３０１は、セキュアマイコン３１５によって改変されていないと判断されたＣＰＵ用プログラム４０３を実行する。

以上の通り、セキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６にＣＰＵ３０１がアクセスできない構成にしておくことで、セキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６がサイバー攻撃を受けないようにすることができる。また、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３のＣＰＵ用プログラム４０３が改変されたとしても、セキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６の復旧用プログラム４０１を使ってＣＰＵ用プログラム４０３を確実に復旧させることができる。

［第２実施形態］
第１実施形態では、セキュアマイコン３１５がセキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６に記憶されるセキュアマイコン用プログラム４０２を実行する。しかし、セキュアマイコン用プログラム４０４を、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３１６に記憶しておき、セキュアマイコン３１５が、このＣＰＵ用Ｂｏｏｔ ＲＯＭ３１６に記憶されたセキュアマイコン用プログラム４０４を実行しても良い。

図８（Ａ）は、セキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６が記憶するプログラムを示した図であり、図８（Ｂ）は、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３が記憶するプログラムを示した図である。

図８（Ａ）に示すように、セキュアマイコン用ＢｏｏｔＲＯＭ３１６は、ＣＰＵ用プログラム４０３の復旧用プログラム４０１を記憶する。

また、図８（Ｂ）に示すように、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３は、ＣＰＵ３０１を起動させるためのＣＰＵ用プログラム４０３を記憶する。このＣＰＵ用プログラム４０３は、セキュアマイコン３１５によって検証される。そして、ＣＰＵ３０１は、セキュアマイコン３１５によって改変されていないと判断されたＣＰＵ用プログラム４０３を実行する。また、第２実施形態では、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０１は、セキュアマイコン３１５を起動させるためのセキュアマイコン用プログラム４０４を記憶する。

図９は、セキュアマイコン３１５の動作フローを示したものである。

Ｓ９０１では、セキュアマイコン３１５に電源が投入されていない状態である。セキュアマイコン３１５に電源が投入されたら、Ｓ９０２に遷移する。Ｓ９０２では、セキュアマイコン３１５は、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３からセキュアマイコン用プログラム４０４を読み出し、セキュアマイコン３１５内部にあるヒューズに記憶されている鍵情報を用いて検証を行う。そして、セキュアマイコン用プログラム４０４が改変されていないと判断すると、セキュアマイコン用プログラム４０４を実行する。

次に、Ｓ９０３では、セキュアマイコン用プログラム４０４を実行したセキュアマイコン３１５は、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３に記憶されたＣＰＵ用プログラム４０３を読み出す。Ｓ９０４では、セキュアマイコン３１５は、読み出したＣＰＵ用プログラム４０３の検証を行う。そして、セキュアマイコン３１５は、Ｓ９０３で読み出したＣＰＵ用プログラム４０３がサイバー攻撃等により改変されていないかどうかを判断する。セキュアマイコン３１５が、読み出したＣＰＵ用プログラム４０３が改変されていないと判断すると、Ｓ９０９に遷移し、読み出したＣＰＵ用プログラム４０３が改変されていると判断すると、Ｓ９０５に遷移する。

Ｓ９０５では、セキュアマイコン３１５がセキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６に記憶された復旧用プログラム４０１を読み出す。セキュアマイコン３１５は、改変されたと判断したＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３に記憶されたプログラムを復旧するために、当該復旧用プログラム４０１を読み出す。

Ｓ９０６では、セキュアマイコン３１５は、読み出した復旧用プログラム４０１を使って、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３に記憶されているＣＰＵ用プログラム４０３の書き直しを行う。具体的には、セキュアマイコン３１５は、Ｓ９０５でセキュアマイコン用Ｂｏｏｔ ＲＯＭ３１６から読み出した復旧用プログラム４０１を、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３のＣＰＵ用プログラム４０３が記憶されていた領域に書き込む。これによって、改変されたＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３内のデータの復旧することができる。

さらに、Ｓ９０７では、セキュアマイコン３１５は、ＣＰＵ用Ｂｏｏｔ ＲＯＭ３０３に記憶されたＣＰＵ用プログラム４０３を読み出す。そして、Ｓ９０８では、セキュアマイコン３１５は、読み出したＣＰＵ用プログラム４０３の検証を行う。セキュアマイコン３１５は、Ｓ９０７で読み出したＣＰＵ用プログラム４０３が改変されているかどうか判断する。そして、読み出したＣＰＵ用プログラム４０３が改変されていないと判断するとＳ９０９に遷移する。また、読み出したＣＰＵ用プログラム４０３が改変されていると判断した場合に、処理を停止する。なお、２回目のＣＰＵ用プログラム４０３の検証（Ｓ９０７、Ｓ９０８）は、必須ではない。

Ｓ９０９では、セキュアマイコン３１５は、ＣＰＵ３０１のリセット解除を行う。セキュアマイコン３１５は、ＣＰＵ３０１に対するリセット信号５０５を“Ｌｏｗ”から“Ｈｉ”に変化させて、ＣＰＵ３０１のリセット解除を行う。これによってＣＰＵ３０１が動作可能な状態になる。

［その他の実施形態］
上記実施形態は、１つ以上の機能を実現するプログラムをネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読み出して実行する処理の形式でも実現可能である。また、１つ以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

上記した第１及び第２実施形態の画像形成装置は、プリンタ、スキャナ、パソコン、サーバなどの情報処理装置であっても良い。

１０ 画像形成装置
３０１ ＣＰＵ
３０３ ＣＰＵ用Ｂｏｏｔ ＲＯＭ
３１５ セキュアマイコン
３１６ セキュアマイコン用Ｂｏｏｔ ＲＯＭ

Claims (9)

1. 処理手段と、
   処理手段が実行するプログラムを記憶する第１の記憶手段と、
   前記第１の記憶手段に記憶された前記プログラムの改変を検知する検知手段と、
   前記検知手段によって改変が検知されたプログラムを復旧するための復旧用プログラムを記憶する第２の記憶手段と、を備え、
   前記検知手段から前記復旧用プログラムを記憶する前記第２の記憶手段へのアクセスが可能となるよう構成し、前記処理手段から前記復旧用プログラムを記憶する前記第２の記憶手段へのアクセスができないように構成する、ことを特徴とする情報処理装置。
2. 前記第２の記憶手段は、前記検知手段が実行するプログラムをさらに記憶し、
   前記情報処理装置の起動時に、前記検知手段は、前記第２の記憶手段に記憶された前記プログラムを実行する、ことを特徴とする請求項１に記載の情報処理装置。
3. 前記第１の記憶手段は、前記検知手段が実行するプログラムをさらに記憶し、
   前記情報処理装置の起動時に、前記検知手段は、前記第１の記憶手段に記憶された前記プログラムを実行する、ことを特徴とする請求項１に記載の情報処理装置。
4. 前記検知手段は、鍵情報を記憶し、
   前記検知手段は、前記鍵情報を使用して改変がされていないと判断された前記プログラムを実行する、ことを特徴とする請求項２又は３に記載の情報処理装置。
5. 前記検知手段は、読み出し対象となる記憶手段として前記第２の記憶手段を選択することが可能であって、前記処理手段は、読み出し対象となる記憶手段として前記第２の選択手段を選択することができない、ことを特徴とする請求項１乃至４の何れか１項に記載の情報処理装置。
6. 前記検知手段は、前記第２の記憶手段を選択するチップセレクト信号に接続されるが、前記処理手段は、前記チップセレクト信号に接続されない、ことを特徴とする請求項５に記載の情報処理装置。
7. 前記検知手段は、前記第２の記憶手段を選択するチップセレクト信号、及び、前記チップセレクト信号とは異なる前記第１の記憶手段を選択するチップセレクト信号、に接続される、ことを特徴とする請求項６に記載の情報処理装置。
8. 記憶媒体に画像を印刷する印刷手段をさらに備える、ことを特徴とする請求項１乃至７の何れか１項に記載の情報処理装置。
9. 原稿の画像を読み取る読取手段をさらに備える、ことを特徴とする請求項１乃至８の何れか１項に記載の情報処理装置。

Images