JP2022108624A - 情報処理装置、その制御方法、及びプログラム - Google Patents

Abstract

【課題】本発明は、１つの不揮発メモリ上にコード領域と設定データ領域との両方を設ける不揮発メモリにおいて、不揮発メモリの更新処理中における強制中断に対する対故障性を高める仕組みを提供する。
【解決手段】本情報処理装置は、プログラムを保持するコード領域とデータを保持するデータ領域とを含む第１の部分を有する不揮発メモリを備える。また、本情報処理装置は、第１の部分の更新データを取得し、取得した更新データによって第１の部分を更新する。当該更新処理では、データ領域の内容を更新する前にコード領域に保持されているプログラムの少なくとも一部を消去し、データ領域の内容を更新した後に、コード領域への更新を完了させる。
【選択図】 図５

Description

本発明は、情報処理装置、その制御方法、及びプログラムに関するものである。

情報処理装置において電源が投入されると、情報処理装置に備えられたＣＰＵが不揮発メモリに記憶されたブートプログラムをＲＡＭ等の作業領域に読み出して実行することで、システムが起動される。特許文献１には、情報処理装置において、１つの不揮発メモリ上にプログラムを保持するコード領域だけではなく、データも保持するデータ領域を設けることが提案されている。具体的には、当該コード領域には、ブートプログラムを実行する際のＣＰＵが実行するべき命令列が記憶されている。また、当該データ領域には、ブートプログラムを実行する際にＣＰＵが参照する各種設定情報が記憶されている。

一方で、近年では個人情報や機密情報を取り扱う情報処理装置に対し、セキュリティの強化が強く求められている。セキュリティ強化の１つとして、意図せぬデータ破損や意図的なデータ改ざんから、情報処理装置を保護するために、自動復旧機能が求められている。自動復旧機能では以下のようにしてブートプログラムを保護する。まず、ブートプログラムが格納されている不揮発メモリ領域において、起動するためのブート部に加えて、バックアップデータを格納するためのバックアップ部が設けられる。そしてブートプログラムを実行する前に、当該ブートプログラムがデータ破損やデータ改ざんされていないかが検証される。データ破損又はデータ改ざんが検知された場合には、情報処理装置はブート部の一部データが破損している場合であっても、ブート部の内容をバックアップ部を用いて上書きすることで、継続利用な状況を維持することができる。

セキュリティ強化としては更に、市場へ製品リリースした後も、コンピュータ技術の発展によって危殆化対策も求められている。危殆化対策をするためには、ファームウェア更新機能が必要となる。ファームウェア更新機能とは、機器外からネットワーク等を介してブートプログラムを取得し、不揮発メモリ上のブートプログラムの内容を更新する処理である。これにより、ブートプログラムは最新のセキュリティ技術やバグ修正パッチを取り込むことができ、情報処理装置をよりセキュアな状態に保つことができる。

ここで、１つの不揮発メモリ上にコード領域と設定データ領域との両方を保持する情報処理装置における、ブートプログラムのデータ破損及びデータ改ざん検知について詳述する。コード領域は、ブートプログラムを実行する際にＣＰＵが実行するべき命令列であり、製品個体に非依存な静的情報である。ブートプログラムをコンパイル・リンクした時点でコード領域の内容は一意に定まる。デジタル署名技術を用いてコード領域に対して生成する署名データもまた製品個体に非依存である。そして、署名データを用いることでコード領域に対するデータ破損及びデータ改ざんを検知することができる。

一方、設定データ領域は、ブートプログラムを実行する際にＣＰＵが参照する各種設定情報を記憶したデータであり、製品個体に依存する情報である。情報処理装置の組み立て段階のみならず、利用中にも設定情報の一部が書き換わることも想定している。つまり、設定データ領域の内容は可変であり、事前に署名データを生成することは難しい。設定データ領域の検証の代替手法として、誤り検出符号技術を用いることができる。誤り検出符号技術の一例はチェックサムである。チェックサムは、各種設定情報に対して一意に定まる数値を算出するアルゴリズムである。設定情報が変更されるたびに再度計算を行い、設定データ領域へ格納する。これにより、設定情報の一部が意図的或いは意図せずに書き換わってもチェックサムが同時に更新されなければ、データ破損が発生したものとみなすことができる。

特開２００８－２２５５７６号公報

しかしながら、上記従来技術には以下に記載する課題がある。１つの不揮発メモリ上にコード領域と設定データ領域との両方を保持する情報処理装置における不揮発メモリの更新処理は、自動復旧処理の一部又はファームウェア更新処理の一部として実行される。不揮発メモリの更新処理では、正常系のユースケースとして、不揮発メモリ上のコード領域と設定データ領域とはともに完全に新しい内容へ更新されることを想定している。つまり、ファームウェア更新処理を実行すると、情報処理装置は、次回の電源投入の際に、更新済みコード領域と更新済み設定データ領域とに基づいてブートプログラムを起動する。

しかし、現実的な課題として、ファームウェア更新処理は必ずしも成功するわけではない。例えば、不揮発メモリの更新処理の途中に停電などの理由から情報処理装置の電源が切断される等の、例外ユースケースも発生し得る。情報処理装置の電源切断が発生すると、不揮発メモリ上の情報が不完全な状態となる。特に、設定データ領域については、設定情報が不正であっても（偶然又は意図的に）チェックサムが通るデータ破損となる可能性がある。その結果、不揮発メモリの更新処理に失敗した最悪のユースケースでは、自動復旧機能を有しているにもかかわらず、情報処理装置が正常起動できなくなる場合がある。つまり、コード領域はデジタル署名検証によって、データ破損や改変が発生したことを検出して自動復旧することも可能である。しかし、デジタル署名検証を利用できずチェックサムによる検証のみの設定データ領域では、データ破損や改変が発生するとその発生を見過ごすこともあり、装置に重大な影響を与えてしまう。例えば、当該情報処理装置をメーカへ送付するか、或いは、サービスマンが利用者先を訪問し情報処理装置の部品を交換する必要が生じてしまう。これらは、利用者に対して情報処理装置を一時的に利用できない不便を強いることになる。

上記従来技術では、例えば主電源ＯＮ時や省エネモードに移行するタイミングでコード領域の保持内容を他の領域へ移動することにより、各種データの書き換え回数を増やし、ウェアレベリングによって不揮発メモリの寿命を延ばす技術であった。しかし、本課題のように、更新処理中の電源切断によって、コード領域と設定データ領域との更新状態に不整合が起きる可能性への対応については言及されていない。

本発明は、上述の課題の少なくとも一つに鑑みて成されたものであり、１つの不揮発メモリ上にコード領域と設定データ領域との両方を設ける不揮発メモリにおいて、不揮発メモリの更新処理中における強制中断に対する対故障性を高める仕組みを提供する。

本発明は、情報処理装置であって、プログラムを保持するコード領域とデータを保持するデータ領域とを含む第１の部分を有する不揮発メモリと、前記第１の部分の更新データを取得する取得手段と、前記取得した更新データによって前記第１の部分を更新する更新手段とを備え、前記更新手段は、前記データ領域の内容を更新する前に前記コード領域に保持されているプログラムの少なくとも一部を消去し、前記データ領域の内容を更新した後に、前記コード領域への更新を完了させることを特徴とする。

本発明によれば、１つの不揮発メモリ上にコード領域と設定データ領域との両方を設ける不揮発メモリにおいて、不揮発メモリの更新処理中における強制中断に対する対故障性を高めることができる。

一実施形態に係る画像形成装置の構成を示すブロック図。 一実施形態に係るＲＯＭ１２２上に格納するデータの構成を示す図。 一実施形態に係る自動復旧処理全体の概要を示す図。 一実施形態に係る自動復旧処理のフローチャート。 一実施形態に係る不揮発メモリ更新処理のフローチャート。 一実施形態に係るファームウェア更新処理のフローチャート。

以下、添付図面を参照して実施形態を詳しく説明する。なお、以下の実施形態は特許請求の範囲に係る発明を限定するものではない。実施形態には複数の特徴が記載されているが、これらの複数の特徴の全てが発明に必須のものとは限らず、また、複数の特徴は任意に組み合わせられてもよい。さらに、添付図面においては、同一若しくは同様の構成に同一の参照番号を付し、重複した説明は省略する。

＜第１の実施形態＞
以下では、本発明の第１の実施形態について説明する。本実施形態では、情報処理装置の一実施形態として画像形成装置を例にして、その自動復旧処理について主に説明する。なお、本発明を複合機やプリンタ等の画像形成装置のみに限定する意図はなく、その他の情報処理装置に対しても適用は可能である。他の情報処理装置としては、例えばプロジェクタやスキャナ、カメラ又は自動販売機や冷蔵庫、スマートフォンなどを適用することができる。また、以下では、ブートプログラムを、「Ｂｏｏｔｒｏｍ」とも称して説明を行う。

まず図１を参照して、本実施形態に係る画像形成装置の構成例を説明する。以下で説明する構成は一例であり、本発明を限定する意図はなく、追加の構成や代替の構成が設けられてもよい。

画像形成装置１０２は、ＮＩＣ（ｎｅｔｗｏｒｋ ｉｎｔｅｒｆａｃｅ ｃａｒｄ）を介してネットワークハブ１０３と接続され、当該ネットワークハブ１０３を介してデータ処理装置１０１やＤＨＣＰサーバ１０４と接続されている。ネットワークハブ１０３は、データ処理装置１０１、画像形成装置１０２、及びＤＨＣＰサーバ１０４間のネットワーク通信を行うためのハブである。本実施形態では、単一のネットワークハブに関連するデバイスをローカルネットワーク接続する形態で説明する。しかしながら、その他のネットワーク構成を除外する意図はなく、本発明を適用することができる。

データ処理装置１０１（例えば、ＰＣ）は、ＰＤＬ（Ｐａｇｅ Ｄｅｓｃｒｉｐｔｉｏｎ Ｌａｎｇｕａｇｅ）データを生成し、当該ＰＤＬデータを画像形成装置１０２に送信する。また、後述するファームウェア更新処理では、データ処理装置１０１はファームウェアデータを画像形成装置１０２に送信する。ＤＨＣＰサーバ１０４は、ＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）に基づいてネットワーク設定情報の取得要求を受け取り、ネットワーク設定情報を応答するためのサーバである。

画像形成装置１０２（例えばレーザープリンタ）は、データ処理装置１０１からＰＤＬデータを受信し、当該画像データに基づいてシートに画像形成を行う装置である。なお、画像形成装置１０２は、スキャナ機能やＦＡＸ機能等を有する複合機であってもよい。画像形成装置１０２は、コントローラ１１０、ＵＩパネル１１１、プリントエンジン１１２、電源ユニット１１３、及び電源スイッチ１１４を備える。

コントローラ１１０は、データ処理装置１０１から送信されたＰＤＬデータに基づき、印刷用のビットマップデータを生成し、当該ビットマップデータをプリントエンジン１１２に送信するコントローラボードである。なお、画像形成装置１０２に関する設定や状態をレポートとして印字するために、コントローラ１１０自身がＰＤＬデータを生成し、印刷指示することもできる。

ＵＩパネル１１１は、ユーザインタフェースであり、利用者に様々な情報を伝える表示部や、利用者から様々な操作を受け付ける操作部を有する。ＵＩパネル１１１は、例えば、物理的なボタンの他にタッチパネル等を備えてもいてもよい。また、ＵＩパネル１１１は、ＬＥＤによって、画像形成装置１０２内で発生したエラーや警告を、光の点灯・点滅によって利用者へ報知する機能を備えてもよい。或いは、画像形成装置１０２は、ブザー等によって、画像形成装置１０２内で発生したエラーや警告を、音によって利用者へ報知する機能を備えてもよい。

プリントエンジン１１２は、コントローラ１１０から受信したビットマップデータに基づいて、電子写真方式でトナーを用いてシートに画像形成を行うプリントエンジンである。画像形成の方式は、トナーを記録材として用いる電子写真方式以外に、例えばインクを記録材として用いるインクジェット方式等でもよい。また、プリントエンジン１１２は複数色の記録材を備え、ＰＤＬデータに従ってカラー印刷を行うことができる。さらに、プリントエンジン１１２は複数の給紙段を備え、ＰＤＬデータで指定された給紙段からシートを給紙することもできる。

電源ユニット１１３は、画像形成装置１０２を構成する各構成要素へ電力を供給するための電力ユニットである。各パーツを動作させるのに必要な電圧を生成し、供給する役割を担う。電源スイッチ１１４は、利用者からの電源投入・切断指示を受け付けるためのスイッチである。画像形成装置１０２がＯＦＦ状態において、利用者が電源スイッチ１１４を押下すると、当該電源スイッチ押下イベントが電源ユニット１１３へ通知される。その後、電源ユニット１１３は画像形成装置１０２を構成する各パーツに電力供給を開始する。

コントローラ１１０は、ＣＰＵ１２１、ＲＯＭ１２２、ＲＡＭ１２３、ＮＩＣ１２４、パネルＩ／Ｆ１２５、エンジンＩ／Ｆ１２６、ＲＩＰ部１２８、内蔵ストレージ部１３０、リアルタイムクロック１３４、及び自動復旧マイコン１３５を備える。各構成要素は、バス１３１を介して相互に信号を送受することができる。ＣＰＵ１２１は、種々のプログラムを実行するための中央処理演算装置である。種々のプログラムは、データ処理装置１０１から送信されたＰＤＬデータを解析し、中間データへ変換するＰＤＬインタプリタ処理を備えてもよい。ＲＯＭ１２２は、ＣＰＵ１２１がリセット解除されたことをトリガに実行するＢｏｏｔｒｏｍを保持する不揮発メモリである。この詳細については図２を用いて後述する。ＲＡＭ１２３は、ＣＰＵ１２１が各種プログラムを動作する際に一時的な情報を格納するための揮発メモリである。

ＮＩＣ１２４は、画像形成装置１０２外のデバイスとネットワークによって相互接続し、双方間のデータ通信すなわちデータの送信や受信を中継するネットワークインタフェースコントローラである。なお、本発明を適用する上で、有線接続をする通信形態のほかに、無線接続をする通信形態を用いてもよい。パネルＩ／Ｆ１２５は、ＵＩパネル１１１とコントローラ１１０とを相互に接続し、双方間のデータ通信、即ちデータの送信や受信を中継するためのインタフェースである。エンジンＩ／Ｆ１２６は、プリントエンジン１１２とコントローラ１１０とを相互に接続し、双方間のデータ通信、即ちデータの送信や受信を中継するためのインタフェースである。

ＲＩＰ部１２８は、中間データをビットマップデータに変換し、ＲＡＭ１２３に展開する。なお、本発明では、ＣＰＵ１２１とは独立した専用のＲＩＰ部１２８が中間データをビットマップに変換する形態で説明を行っている。本発明はこれに限定されず、例えばＲＩＰ部１２８を設けずに、ＣＰＵ１２１が、データ処理装置１０１から受信したＰＤＬデータをビットマップデータへ直接変換するようにしてもよい。

内蔵ストレージ部１３０は、Ｂｏｏｔｒｏｍから起動するＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）を保持する不揮発性記憶領域である。例えば、ｅＭＭＣ（ｅｍｂｅｄｄｅｄ ＭＭＣ）やハードディスクドライブ、ソリッドステートドライブ等によっても実現できる。内蔵ストレージ部１３０は、大容量の記憶領域を比較的安価に確保できる。そこで、内蔵ストレージ部１３０に、ＯＳのプログラムとＯＳが使うデータとを格納してもよい。

リアルタイムクロック１３４は、画像形成装置１０２内の時刻情報を不揮発に管理するためのハードチップである。電源ユニット１１３から独立した電源として、電池駆動することで、画像形成装置１０２の電源切断後であっても時刻情報を定期的に更新するなどの機能を有する。

自動復旧マイコン１３５は、ＣＰＵ１２１がＲＯＭ１２２に含まれるプログラムを実行する前に、ＲＯＭ１２２の内容の正当性を検証して復旧する自動復旧処理のためのマイコンである。自動復旧マイコン１３５は、ＣＰＵ１２１のリセット状態を解除し、ＣＰＵ１２１がＢｏｏｔｒｏｍを開始するトリガとなる役割も担う。自動復旧処理の詳細については、図３を用いて後述する。

＜ＲＯＭのデータ構成＞
次に、図２を参照して、本実施形態に係るＲＯＭ１２２上に格納するデータの構成例を説明する。ＲＯＭ１２２は、ブート部２０１とバックアップ領域であるバックアップ部２０２とを含んで構成される。本実施形態では、６４Ｍｂｉｔ／８ＭＢのＮＡＮＤ ＦＬＡＳＨを採用する前提でストレージ割当を例示する。なお、容量の異なる不揮発メモリを採用しても、本発明を適用できる。また、ブート部２０１とバックアップ部２０２とがそれぞれ異なる不揮発メモリに設けられてもよく、また様々な容量の物理不揮発メモリとしても、本発明を適用できる。或いは、バックアップ部２０２をそれ以外の不揮発メモリによって実現しても、本発明を適用できる。また、ＲＯＭ１２２は、全体をいくつかのセクタに分け、それぞれのセクタの中にはいくつかのページが含まれる構成とする。ＲＯＭ１２２上にデータを書き込む場合には、セクタ単位で古いデータの消去を行った後に、ページ単位で新たなデータの書き込みを行うものとする。

ブート部２０１は、画像形成装置１０２が起動する際に利用するためのＢｏｏｔｒｏｍが格納されているデータ部分である。ブート部２０１は、例えば０ｘ００００＿００００～０ｘ００３Ｆ＿ＥＦＦＦに割り当てられた領域であり、コード領域２１１と設定データ領域２１２とを含んで構成される。

バックアップ部２０２は、画像形成装置１０２が起動する際に、自動復旧マイコン１３５が検証・復旧処理を実行する際に用いるデータである。当該バックアップ部２０２の内容はブート部２０１の内容と同一である。例えば、ブート部２０１の設定データ領域２１２が更新された場合には、バックアップ部２０２内で相当する部分領域についても同じ内容で更新される。

ここで、ブート部２０１を構成するコード領域２１１について詳細に説明する。コード領域２１１には、電源投入直後にＣＰＵ１２１が実行を開始するプログラムを構成する命令群が含まれる。コード領域２１１は０ｘ００００＿００００～０ｘ００３Ｆ＿ＥＦＦＦに割り当てられた領域である。ＣＰＵ１２１は、ＣＰＵリセット状態が解除されるとＲＯＭ１２２上の先頭領域に書かれたプログラムを実行する。また、コード領域２１１には、自動復旧マイコン１３５がコード領域２１１のデータ破損・改ざんを検知する際に参照する、製品個体共通の署名データ２１３も含まれる。

署名データ２１３は、コード領域２１１内において署名データ２１３以外のデータから算出されたダイジェストに対して、鍵生成アルゴリズムで生成した秘密鍵を用いて、公開鍵暗号アルゴリズムによって暗号化したデータである。ダイジェストの生成については、例えば、ＳＨＡ１アルゴリズムなどを採用することができる。ここで、ダイジェスト生成において署名データ２１３を除外する理由は、当該署名データ２１３を生成する時点では、署名データ２１３は確定していないためである。そこで、署名データ２１３を生成する時点ではゼロ又は全ＦＦといった予測可能なデータをダミーとして埋め込んで、ダイジェストが算出される。事前に種々の公開鍵暗号技術の鍵生成アルゴリズムによって生成した秘密鍵を用いて、当該ダイジェストから公開鍵暗号技術の暗号化アルゴリズムを適用して生成した署名データが、署名データ２１３として記憶される。なお、署名データ２１３がコード領域２１１上で保持されるデータのアドレスは、自動復旧マイコン１３５が記憶・取得でき、かつ、当該内容が予測可能なアドレスであればどこでもよい。例えば、コード領域２１１の先頭部であってもよいし、コード領域２１１の末端部であってもよい。署名データ２１３の位置については、上記条件を満たせば、コード領域２１１上のどこに配置しても、本発明は適用可能である。

設定データ領域２１２には、ＣＰＵ１２１のリセット解除状態が解除されるとＣＰＵ１２１がプログラムの実行を開始する際に参照する設定情報が含まれる。設定データ領域２１２は０ｘ００３Ｆ＿Ｆ０００～０ｘ００３Ｆ＿ＦＦＦＦに割り当てられた領域である。設定データ領域２１２は、マジックナンバー２２１、チェックサム情報２２２、２２３、ボード種別情報２２４、パネル種別情報２２５、ＭＡＣアドレス情報２２６、２２７、及び、パディング２２８を含む。

マジックナンバー２２１は、当該設定データ領域２１２が保持されていることを示すための識別情報である。チェックサム情報２２２、２２３は、当該設定データ領域２１２に含まれるデータから特定のアルゴリズムによって一意に設定される値であり、製品固体依存の値となる。なお、チェックサムは誤り検出符号アルゴリズムの１つであり、その他の任意の誤り検出符号アルゴリズムを適用してもよい。ボード種別情報２２４は、当該画像形成装置１０２を構成するハードウェア構成を表現するための情報である。本実施形態においては、レーザープリンタを例示している。これに対して、スキャナ機能などを備えた複合機を構成する場合に、ハードウェア構成毎にＢｏｏｔｒｏｍを用意するのは、開発・生産の両観点から煩雑である。そこで、設定データ領域２１２上にハードウェア構成を示すボード種別情報２２４を備え、工場での製品組み立て工程の中でボード種別情報２２４を書き込む工程を前提とする。これにより、同一のＢｏｏｔｒｏｍを異なるボードを備えた多機種間で使い回すことが可能となる。

パネル種別情報２２５は、ＵＩパネル１１１の種別を表現するための情報である。製品への要求仕様として、同じコントローラ１１０であっても画面サイズの異なるＵＩパネル１１１へ換装できる構成もサポートしている。そこで、設定データ領域２１２には、どのサイズのＵＩパネル１１１が装着されているかを示すための設定情報として、パネル種別情報２２５が含まれる。

ＭＡＣアドレス情報２２６、２２７は、当該画像形成装置１０２に割り当てた、ＮＩＣ１２４の識別情報である。なお、製品に割り当てられるＭＡＣアドレスは６桁であるため、未使用の領域については０が保持されているものとする。ＭＡＣアドレスは、工場での生産工程において、それぞれの画像形成装置１０２に対して重複が無いように個別に割り当てられる。パディング２２８は、設定データ領域２１２に割り当てられた残りの領域であって、ダミーの値として０ｘＦＦＦＦ＿ＦＦＦＦで埋められる。

＜自動復旧処理の概要＞
次に、図３を参照して、自動復旧処理全体の概要を説明する。３００は、画像形成装置１０２の利用者を示す。

Ｓ３１０で、利用者３００による電源スイッチ１１４の押下が検出される。続いて、Ｓ３１１で、電源スイッチ１１４は、利用者３００によって押下されたことを検出すると、電源ユニット１１３へ電源スイッチ押下イベントを通知する。なお、電源スイッチ１１４では、スイッチ押下時のチャタリングを無くすべく、信号制御を行う構成をとってもよい。当該チャタリング対策は、ＦＰＧＡを用いて実装してもよいし、小型のマイコンによって実装してもよい。

次に、Ｓ３２１で、電源ユニット１１３は、電源スイッチ１１４から電源スイッチ押下イベントを通知されると、ＣＰＵ１２１へ電力供給を行う。本実施形態では、電源投入時のＣＰＵ１２１のデフォルト状態は、リセット状態とする。また、Ｓ３２２で、電源ユニット１１３は、電源スイッチ１１４から電源スイッチ押下イベントを通知されると、自動復旧マイコン１３５へ電力供給を行う。本実施形態では、電源投入時の自動復旧マイコン１３５のデフォルト状態は、リセット解除状態とする。これらのＣＰＵのリセット制御は、当該ＣＰＵに備わっているリセット信号線に対して、ＨＩＧＨ又はＬＯＷの信号を伝達することで行う。

自動復旧マイコン１３５は、リセット解除を受け付けると、ＲＯＭ１２２からコード領域２１１に対して経年劣化によるデータ破損やデータ改ざんが発生したか否かについて検証する。つまり、自動復旧マイコン１３５は、ＲＯＭ１２２のコード領域２１１の内容の正当性を検証する。データ破損又はデータ改ざんを検知した場合、即ち正当性の検証に失敗した場合には、Ｓ３２３で、自動復旧マイコン１３５は、バックアップ部２０２の内容に基づき、コード領域２１１と設定データ領域２１２とを復旧する。自動復旧処理の詳細については、図４を用いて後述する。

次に、Ｓ３２４で、自動復旧マイコン１３５は、ＣＰＵ１２１のリセット解除を行う。また、Ｓ３２５で、自動復旧マイコン１３５は、自動復旧マイコン１３５の動作が停止するようにリセット状態へ移行する。なお、リセット状態への移行については、自動復旧マイコン１３５が自らのリセット状態を制御することで実現してもよいし、自動復旧マイコン１３５がＷＦＩ（Ｗａｋｅ ｕｐ ｆｒｏｍ Ｉｎｔｅｒｒｕｐｔ）状態で待機することで実現してもよい。

次に、Ｓ３３１で、ＣＰＵ１２１は自動復旧マイコン１３５からリセット解除されると、ＲＯＭ１２２に含まれるコード領域２１１と設定データ領域２１２を利用して、Ｂｏｏｔｒｏｍを実行する。なお、ＣＰＵ１２１が自動復旧マイコン１３５からリセット解除を受けた段階で、ＣＰＵ１２１が自動復旧マイコン１３５をリセット状態にする構成としてもよい。

ＣＰＵ１２１はＢｏｏｔｒｏｍを介して、内蔵ストレージ部１３０に含まれるＫｅｒｎｅｌ／Ｉｎｉｔｒｄ３６１に対してデータ破損やデータ改ざんが発生したか否かについて検証する。Ｋｅｒｎｅｌ／Ｉｎｉｔｒｄ３６１は、ＯＳの１つであるＬｉｎｕｘ（登録商標）を起動するためのプログラムやデータである。Ｋｅｒｎｅｌ／Ｉｎｉｔｒｄ３６１においてデータ破損又はデータ改ざんを検知した場合には、Ｓ３３２で、ＣＰＵ１２１はＢｏｏｔｒｏｍを介して、Ｋｅｒｎｅｌ／Ｉｎｉｔｒｄバックアップ３６２を基に、Ｋｅｒｎｅｌ／Ｉｎｉｔｒｄ３６１を復旧する。その後、Ｓ３３３で、ＣＰＵ１２１はＢｏｏｔｒｏｍを介して、Ｋｅｒｎｅｌ／Ｉｎｉｔｒｄを利用してＬｉｎｕｘを起動する。

次に、ＣＰＵ１２１は起動したＬｉｎｕｘを介して、各種アプリケーション３７１がデータ破損又はデータ改ざんが発生したか否かについて検証する。データ破損又はデータ改ざんを検知した場合には、Ｓ３４１で、ＣＰＵ１２１は起動したＬｉｎｕｘを介して、データ破損を利用者３００へ報知する。その後、Ｓ３４２で、ＣＰＵ１２１は起動したＬｉｎｕｘを介して、各種アプリケーション３７１を起動する。各種アプリケーション３７１の中には、ファームウェア更新プログラム３７２が含まれてもよい。

なお、本実施形態では説明を簡略化するために省略しているが、各種アプリケーション３７１についてもバックアップを用意し、データ破損又はデータ改ざんを検知した場合に復旧する構成としてもよい。

＜自動復旧処理の詳細手順＞
次に、図４を参照して、本実施形態に係る自動復旧処理の処理手順について説明する。以下で説明する処理は、上記Ｓ３２３で行われる処理の詳細であり、自動復旧マイコン１３５によって実行される。

Ｓ４０１で、自動復旧マイコン１３５は、ＲＯＭ１２２のブート部２０１におけるコード領域２１１に格納されている署名データ２１３を公開鍵によって復号し、第１のダイジェストを算出する。公開鍵情報は、事前に自動復旧マイコン１３５内に保持してもよい。或いは、別の実施形態として、コード領域２１１内に保持する形態でもあってもよい。公開鍵による復号処理について本発明を限定する意図はなく、例えば楕円暗号やＲＳＡ暗号など、種々の公開鍵暗号技術の復号アルゴリズムを適用できる。続いて、Ｓ４０２で、自動復旧マイコン１３５は、署名データ２１３以外のコード領域２１１に対する、第２のダイジェストをハッシュ関数を用いて算出する。第２のダイジェストを生成するために用いられるアルゴリズムは、署名データ２１３を生成するときに用いたものと同じものを適用する。

次に、Ｓ４１０で、自動復旧マイコン１３５は、第１のダイジェストと第２のダイジェストが一致するか否かを判断する。ダイジェストが一致する場合は、自動復旧マイコン１３５は、署名データ２１３によって、コード領域２１１の内容はデータ破損もデータ改ざんもされていないと判断する。よって、自動復旧マイコン１３５は、ダイジェストが一致する場合、自動復旧処理を終了する。一方、ダイジェストが一致しない場合は、自動復旧マイコン１３５は、署名データ２１３を含むコード領域２１１の内容の少なくとも一部がデータ破損又はデータ改ざんがされていると判断し、処理をＳ４２１へ進める。

Ｓ４２１で、自動復旧マイコン１３５は、バックアップ部２０２の内容を、ブート部２０１に上書きコピーする。Ｓ４２１の処理詳細は、図５を用いて後述する。続いて、Ｓ４２２及びＳ４２３で、自動復旧マイコン１３５は、Ｓ４０１及びＳ４０２と同じ処理を実行する。これにより、バックアップ部２０２から上書きしたブート部２０１内のコード領域２１１に対して、自動復旧マイコン１３５は、署名検証処理を行う。

その後、Ｓ４３０で、自動復旧マイコン１３５は、第１のダイジェストと第２のダイジェストが一致するか否かを判断する。ダイジェストが一致する場合は、リカバリ後のコード領域２１１の内容はデータ破損もデータ改ざんもされていないと判断する。よって、自動復旧マイコン１３５は、ダイジェストが一致する場合、自動復旧処理を終了する。一方、ダイジェストが一致しない場合は、自動復旧マイコン１３５は、署名データ２１３を含むコード領域２１１の内容の少なくとも一部がデータ破損又はデータ改ざんがされていると判断し、Ｓ４３１へ処理を進める。この場合、ブート部２０１の内容も、バックアップ部２０２の内容も、異常状態であり、正常起動できない状態である。Ｓ４３１で、自動復旧マイコン１３５は、利用者に対してエラーを報知して、起動処理を中断する。具体的には、自動復旧マイコン１３５は、エラー報知処理として、ＵＩパネル１１１を介して、音や光などで起動処理が失敗したことを利用者へ報知する。

＜不揮発メモリの更新処理＞
次に、図５を参照して、本実施形態に係る不揮発メモリであるＲＯＭ１２２の更新処理の処理手順について説明する。以下で説明する処理は、上記Ｓ４２１で行われる処理の詳細であり、自動復旧マイコン１３５によって実行される。本実施形態においては、不揮発メモリの書き換え処理は４つのステップから構成される。また、不揮発メモリ上のデータ書き換えについては、セクタ単位で行われる消去と、ページ単位で行われる書き込みの２段階で行う場合を想定している。

Ｓ５０１で、自動復旧マイコン１３５は、コード領域２１１の各セクタに対応するセクタ変数ｉを０に初期化する。続いて、Ｓ５０２で、自動復旧マイコン１３５は、セクタ変数ｉとコード領域２１１のセクタ数とを比較して、コード領域２１１の全セクタに対して処理を終了したかを判断する。終了していない場合はＳ５０３に処理を進める。Ｓ５０３で、自動復旧マイコン１３５は、セクタ変数ｉが示す対象セクタの消去を行うコマンドを不揮発メモリ１２２に通知する。ここで、不揮発メモリ１２２は対象セクタの内容を消去し、新たなデータを書き換えることのできる状態にする。当該処理の開始によって、コード領域２１１はデータ破損状態となる。その後、Ｓ５０４で、自動復旧マイコン１３５は、セクタ変数ｉをインクリメントし、処理をＳ５０２に戻す。一方、Ｓ５０２でコード領域２１１の全セクタに対して処理を終了したと判断すると、自動復旧マイコン１３５はＳ５０５に処理を進める。ここで、コード領域２１１内のデータ消去が完了する。

Ｓ５０５で、自動復旧マイコン１３５は、再度、セクタ変数ｉを０に初期化する。続いて、Ｓ５０６で、自動復旧マイコン１３５は、セクタ変数ｉと設定データ領域２１２のセクタ数とを比較して、設定データ領域２１２の全セクタに対して処理を終了したかを判断する。終了していない場合はＳ５０７に処理を進める。Ｓ５０７で、自動復旧マイコン１３５は、セクタ変数ｉが示す対象セクタの消去を行うコマンドを不揮発メモリ１２２に通知する。ここで、不揮発メモリ１２２は対象セクタの内容を消去し、新たなデータを書き換えることのできる状態にする。当該処理の開始によって、設定データ領域２１２はデータ破損状態となる。その後、Ｓ５０８で、自動復旧マイコン１３５は、セクタ変数ｉをインクリメントし、処理をＳ５０６に戻す。一方、Ｓ５０６で設定データ領域２１２の全セクタに対して処理を終了したと判断すると、自動復旧マイコン１３５は、処理をＳ５０９に進める。ここで、設定データ領域２１２内のデータ消去が完了する。

次に、Ｓ５０９で、自動復旧マイコン１３５は、設定データ領域２１２の各ページに対応するページ変数ｊを０で初期化する。続いて、Ｓ５１０で、自動復旧マイコン１３５は、ページ変数ｊと設定データ領域２１２のページ数とを比較して、設定データ領域２１２の全ページに対して処理を終了したかを判断する。終了していない場合はＳ５１１に処理を進める。Ｓ５１１で、自動復旧マイコン１３５は、ページ変数ｊが示す対象ページのデータを読み込む。ここでは、自動復旧マイコン１３５はバックアップ部２０２のうち該当するページの内容を読み込むコマンドを不揮発メモリ１２２へ通知し、その応答を受信することにより、データを取得する。続いて、Ｓ５１２で、自動復旧マイコン１３５は、データを取得したページの書き込みを行うコマンドを当該データとともに不揮発メモリ１２２に通知する。不揮発メモリ１２２は対象ページの内容を当該データの内容で上書きする。その後、Ｓ５１３で、自動復旧マイコン１３５は、ページ変数ｊをインクリメントし、処理をＳ５１０に戻す。一方、Ｓ５１０で設定データ領域２１２の全ページに対して処理を終了したと判断すると、自動復旧マイコン１３５は、処理をＳ５１４に進める。ここで、設定データ領域２１２内のデータ書き込みが完了し、設定データ領域２１２のデータ破損状態が解除される。

Ｓ５１４で、自動復旧マイコン１３５は、コード領域２１１の各ページに対応するページ変数ｊを０で初期化する。続いて、Ｓ５１５で、自動復旧マイコン１３５は、ページ変数ｊとコード領域２１１のページ数とを比較して、コード領域２１１の全ページに対して処理を終了したかを判断する。終了していない場合はＳ５１６に処理を進める。Ｓ５１６で、自動復旧マイコン１３５は、ページ変数ｊが示す対象ページのデータを読み込む。ここでは、自動復旧マイコン１３５はバックアップ部２０２のうち該当するページの内容を読み込むコマンドを不揮発メモリ１２２へ通知し、その応答を受信することにより、データを取得する。続いて、Ｓ５１７で、自動復旧マイコン１３５は、データを取得したページの書き込みを行うコマンドを当該データとともに不揮発メモリ１２２に通知する。ここで、不揮発メモリ１２２は対象ページの内容を取得した当該データの内容で上書きする。その後、Ｓ５１８で、自動復旧マイコン１３５は、ページ変数ｊをインクリメントし、処理をＳ５１５に戻す。一方、Ｓ５１５でコード領域２１１の全ページに対して処理を終了したと判断すると、自動復旧マイコン１３５は、処理を終了する。ここで、コード領域２１１内のデータ書き込みが完了し、コード領域２１１のデータ破損状態が解除される。

以上説明したように、本実施形態に係る情報処理装置（画像形成装置）は、プログラムを保持するコード領域とデータを保持するデータ領域とを含む第１の部分を有する不揮発メモリを備える。また、本情報処理装置は、第１の部分の更新データを取得し、取得した更新データによって第１の部分を更新する。当該更新処理では、データ領域の内容を更新する前にコード領域に保持されているプログラムの少なくとも一部を消去し、データ領域の内容を更新した後に、コード領域への更新を完了させる。このように、本実施形態によれば、設定データ領域２１２の内容の少なくとも一部分を消去する前に、コード領域２１１の内容の少なくとも一部分を消去している。また、設定データ領域２１２の内容の全てを書き込み終わった後に、コード領域２１１の内容の全てを書き込み終えている。より具体的には、本実施形態によれば、設定データ領域２１２に対する消去処理と書き込み処理（Ｓ５０５～Ｓ５１３）を、コード領域２１１が破損状態中に行う。これにより、１つの不揮発メモリ上にコード領域と設定データ領域との両方を設ける不揮発メモリにおいて、不揮発メモリの更新処理中における強制中断に対する対故障性を高めることができる。

ここで、コード領域２１１内の全ページへの書き込みが完了するまでの間、任意のタイミングで電源切断が発生したとしても、コード領域２１１の内容は破損しており署名検証処理（Ｓ４０１～Ｓ４１０）は失敗する。署名検証処理が失敗すれば、設定データ領域２１２の内容もコード領域２１１と一緒にバックアップ部２０２から復旧される。これにより、設定データ領域２１２だけが更新されていないまま、再起動によって更新されたＣＰＵ１２１がコード領域２１１内の命令列を実行するのを未然に防ぐことができる。つまり、本実施形態によれば、設定データ領域の内容を消去しデータ破損状態である状態では、コード領域の内容もまた必ずデータ破損状態となる。設定データ領域の内容も更新が完了した状態で、コード領域の内容を全て書き込み終わることとなる。従って、本情報処理装置は、コード領域と設定データ領域が共に更新前である状態、少なくともコード領域は破損している状態、或いは、共に更新が完了した状態しかとらない。そしてコード領域が破損している状態であれば、情報処理装置は自動復旧機能によってコード領域と設定データ領域を共にバックアップ部から復旧する。よって、本情報処理装置は、コード領域は更新されているが、設定データ領域が更新されていない、或いは、データ破損している状態での起動を回避できる。

なお、本実施形態における不揮発メモリの更新処理のシーケンスは、本発明を適用した一例であり、種々の変形が可能である。例えば、本実施形態では、自動復旧マイコン１３５はコード領域２１１に対して一括で全てを消去処理した後に、一括で全てを書き込む処理を実行する形態で説明した。しかし、本発明はこれに限定されず、例えば、コード領域内の一部を保留領域と定義し、コード領域２１１内の保留領域とは異なる領域の消去と書き込み、設定データ領域２１２の消去と書き込み、そして、保留領域の消去と書き込み、とする形態でもよい。或いは、コード領域の全てを消去して、設定データ領域の全てを消去してコード領域の保留領域とは異なる領域に更新データを書き込み、その後に設定データ領域２１２に書き込んでコード領域の異なる領域に更新データを書き込むようにしてもよい。これらの場合であっても、本実施形態と同等の効果を得ることができる。

また、他の変形例として、設定データ領域２１２がブート部２０１の末端にあるならば、各セクタの消去は昇順で、各ページの書き込みを降順に行うことでも、本発明を適用することができる。この場合、ブート領域の先頭のページは、最初のセクタ消去によって消去され、最後のページ書き込みによって更新される。

さらに、以下の２つの条件を満たすのであれば本発明を適用することができる。１つ目の条件は、設定データ領域２１２の内容の少なくとも一部分を消去する前に、コード領域２１１の内容の少なくとも一部分を消去することである。２つ目の条件は、設定データ領域２１２の内容の全てを書き込み終わった後に、コード領域２１１の内容の全ての書き込みを終えていることである。つまり、設定データ領域２１２の内容の消去から書き込みを終えるまでの間、コード領域２１１がデータ破損状態であることが条件となる。これにより、設定データ領域２１２へのデータ処理中において電源断が発生した場合には、コード領域２１１の内容もデータ破損状態となるため、次回起動時において自動復旧処理を行うことができる。

＜第２の実施形態＞
以下では、本発明の第２の実施形態について説明する。本実施形態では、画像形成装置におけるファームウェアの更新処理を中心に説明する。なお、上記第１の実施形態と同様の構成及び制御についてはその説明を省略する。

図６を参照して、本実施形態に係るファームウェア更新処理の処理手順について説明する。以下で説明する処理は、上記Ｓ３４２で起動したアプリケーション３７１の１つである、ファームウェア更新プログラム３７２をＣＰＵ１２１が実行することにより実現される。なお、本発明を限定する意図はなく、例えばＳ３３１で実行したｂｏｏｔａｂｌｅ（即ち、コード領域２１１に含まれるプログラム）の１機能として備えてもよい。ファームウェアの更新処理を開始するトリガも、種々のトリガを用いてもよい。利用者３００がＵＩパネル１１１から明示的に画像形成装置１０２へ指示を出してもよい。また、画像形成装置１０２が一定時間が経過する毎に、ＮＩＣ１２４経由で不図示の外部サーバに問い合わせてもよい。或いは、不図示の外部サーバからＮＩＣ１２４経由で、画像形成装置１０２に対してアップデート指示を出す形態であってもよい。ここでは、利用者３００がＵＩパネル１１１から明示的に画像形成装置１０２へ指示を出す場合を例に説明する。当該指示は、ファームウェア更新プログラム３７２を実行するＣＰＵ１２１が受け、以下の処理を実行する。

まず、Ｓ６０１で、ＣＰＵ１２１は、ＤＨＣＰサーバ１０４に対してＭＡＣアドレス情報を通知し、当該ＭＡＣアドレスに対応するネットワーク設定を取得する。ＭＡＣアドレス情報は、設定データ領域２１２に含まれるＭＡＣアドレス情報２２６、２２７を用いる。ＤＨＣＰによるネットワーク設定の取得に関しては、一般的な技術手法であるため、詳細を割愛する。

次に、Ｓ６０２で、ＣＰＵ１２１は、ＦＴＰデーモンを起動する。ＦＴＰデーモンとは、Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌに対応したサーバプログラムであり、ＦＴＰクライアントソフトからの要求に基づき、ファイルのアップロードやダウンロードを行う。ＣＰＵ１２１は、外部からのＦＴＰ接続要求を待つ。続いて、Ｓ６０３で、ＣＰＵ１２１は、データ処理装置１０１からＦＴＰ経由でファームウェアデータを受信し、受信したファームウェアデータをＲＡＭ１２３に記憶する。その後、Ｓ６０４で、ＣＰＵ１２１は、受信したファームウェアデータをＲＡＭ１２３に展開する。ファームウェアデータは、ファームウェアをネットワーク上で流通しやすい形態としたファイルである。例えば、事前にファームウェアデータを圧縮しておき、ＲＡＭ１２３に展開するタイミングで圧縮した内容を展開してもよい。或いは、事前にファームウェアデータを暗号化しておき、ＲＡＭ１２３に展開するタイミングで復号してもよい。これらについて、本発明を適用する上では種々の手法を適用することができる。

次に、Ｓ６１０で、ＣＰＵ１２１は、ファームウェアデータからファームウェアが正常に展開できたかを判断する。ファームウェを正常に展開できた場合はＳ６１１に進み、ＣＰＵ１２１は、ＲＡＭ１２３上に展開済みのファームウェアに含まれる、設定データ領域２１２に相当する領域を更新する。ＲＡＭ１２３へ展開した後は、当該領域には、製品個体に依存する情報は記録されていない。当該ステップでは、設定データ領域２１２の内容を、ＲＡＭ１２３上の展開済ファームウェアの該当領域へコピーする。これにより、ファームウェアを更新した後も、設定データ領域２１２の内容について更新前からのデータを引き継ぐことができる。

続いて、Ｓ６１２で、ＣＰＵ１２１は、更新済ファームウェアの内容に基づいて、ブート部２０１を上書きコピーする。当該処理については、図５に示した不揮発メモリの更新処理のフローチャートを、ファームウェア更新プログラム３７２（ＣＰＵ１２１）が行うことで実現する。その後、Ｓ６１３で、ＣＰＵ１２１は、ブート部２０１の内容に基づいて、バックアップ部２０２の内容を更新する。なお、ブート部２０１の内容と、更新済ファームウェアの内容は同一であるため、更新済みファームウェアの内容を用いてバックアップ部２０２の内容を更新してもよい。そしてファームウェアの更新処理を終了する。

一方、Ｓ６１０でファームウェアを正常に展開できなかった場合、Ｓ６２１に進み、ＣＰＵ１２１は、利用者に対して、エラーを報知して、ファームウェア更新処理を中断する。エラー報知は具体的には、ＵＩパネル１１１を介して、音や光などで起動処理が失敗したことを報知する。ここでは、Ｓ６２１でエラーを報知しファームウェア更新処理を中断する例について説明したが、本発明をこのようなエラー制御に限定する意図はない。例えば、再度、更新用のファームウェアを受信した際には当該ファームウェアを用いて更新処理を継続するようにしてもよい。

以上説明したように、本実施形態によれば、不揮発メモリの更新処理は、ファームウェアの自動復旧時のみならず、ファームウェアの更新処理時にも適用することができる。なお、本実施形態で用いたファームウェアデータを受信するネットワークプロトコルは一例に過ぎない。これ以外のネットワークプロトコルを用いて、本発明を適用することができる。例えば、ＤＨＣＰの代わりにＢＯＯＴＰ（Ｂｏｏｔｓｔｒａｐ Ｐｒｏｔｏｃｏｌ）を用いてネットワーク設定を取得してもよい。或いは、ファームウェア更新プログラム３７２がネットワーク設定を外部サーバから取得する代わりに、固定値を記憶しておいて、ファームウェアの更新を行う度に設定を行う構成としてもよい。

＜その他の実施形態＞
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサーがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

発明は上記実施形態に制限されるものではなく、発明の精神及び範囲から離脱することなく、様々な変更及び変形が可能である。従って、発明の範囲を公にするために請求項を添付する。

１０１：データ処理装置、１０２：画像形成装置、１０３：ネットワークハブ、１０４：ＤＨＣＰサーバ、１１０：コントローラ、１１１：ＵＩパネル、１１２：プリントエンジン、１１３：電源ユニット、１１４：電源スイッチ、１２１：ＣＰＵ、１２２：ＲＯＭ、１２３：ＲＡＭ、１２４：ＮＩＣ、１２５：パネルＩ／Ｆ

Claims (16)

1. 情報処理装置であって、
   プログラムを保持するコード領域とデータを保持するデータ領域とを含む第１の部分を有する不揮発メモリと、
   前記第１の部分の更新データを取得する取得手段と、
   前記取得した更新データによって前記第１の部分を更新する更新手段と
   を備え、
   前記更新手段は、
   前記データ領域の内容を更新する前に前記コード領域に保持されているプログラムの少なくとも一部を消去し、前記データ領域の内容を更新した後に、前記コード領域への更新を完了させることを特徴とする情報処理装置。
2. 前記更新手段は、
   前記コード領域に保持されているプログラムを全て消去し、その後に前記データ領域に保持されているデータを消去して該データ領域に更新データを書き込み、その後に前記コード領域に更新データを書き込むことを特徴とする請求項１に記載の情報処理装置。
3. 前記コード領域は保留領域を含み、
   前記更新手段は、
   前記コード領域に保持されているプログラムを全て消去し、その後に前記データ領域に保持されているデータを消去し、前記コード領域の前記保留領域とは異なる領域に更新データを書き込んで前記データ領域に更新データを書き込み、その後に前記コード領域の前記保留領域に更新データを書き込むことを特徴とする請求項１に記載の情報処理装置。
4. 前記コード領域は保留領域を含み、
   前記更新手段は、
   前記コード領域の保留領域とは異なる領域に保持されているプログラムを消去して更新データを書き込み、その後に前記データ領域に保持されているデータを消去して更新データを書き込み、その後に前記コード領域の前記保留領域に保持されているプログラムを消去して更新データを書き込むことを特徴とする請求項１に記載の情報処理装置。
5. 前記不揮発メモリは、前記第１の部分に保持されているデータのバックアップ領域である第２の部分をさらに含み、
   前記取得手段は、前記不揮発メモリの前記第２の部分から前記第１の部分の更新データを取得することを特徴とする請求項１に記載の情報処理装置。
6. 前記第１の部分に保持されているデータのバックアップ領域である第２の部分を有する他の不揮発メモリをさらに備え、
   前記取得手段は、前記他の不揮発メモリの前記第２の部分から前記第１の部分の更新データを取得することを特徴とする請求項１乃至５の何れか１項に記載の情報処理装置。
7. 前記取得手段は、外部装置から更新データとしてファームウェアを取得することを特徴とする請求項５又は６に記載の情報処理装置。
8. 前記更新手段は、前記ファームウェアを前記第１の部分に書き込んだ後に、前記ファームウェアを前記第２の部分へ書き込むことを特徴とする請求項７に記載の情報処理装置。
9. 前記第１の部分に保持されている内容の正当性を検証する検証手段をさらに備え、
   前記更新手段は、前記検証手段による検証が失敗した場合に、前記第１の部分を更新することを特徴とする請求項１乃至８の何れか１項に記載の情報処理装置。
10. 前記コード領域には、前記検証手段による検証を実行するための署名データが保持されていることを特徴とする請求項９に記載の情報処理装置。
11. 前記検証手段は、前記署名データを公開鍵で復号して第１のダイジェストを取得し、前記コード領域における前記署名データとは異なる他のデータに対してハッシュ関数を用いて第２のダイジェストを取得し、前記第１のダイジェスト及び前記第２のダイジェストを比較することにより、前記第１の部分に保持されている内容の正当性を検証することを特徴とする請求項１０に記載の情報処理装置。
12. 前記検証手段は、
    前記コード領域の内容の正当性を前記署名データを用いて検証し、
    前記データ領域の内容の正当性を誤り検出符号を用いて検証することを特徴とする請求項１０又は１１に記載の情報処理装置。
13. 前記検証手段によって前記コード領域及びデータ領域の少なくとも一方の検証が失敗した場合に利用者に対してエラーを報知する報知手段をさらに備えることを特徴とする請求項９乃至１２の何れか１項に記載の情報処理装置。
14. 前記コード領域には製品個体共通となるプログラムが格納され、前記データ領域には少なくとも１つ以上の製品固体依存の設定データが格納されることを特徴とする請求項１乃至１３の何れか１項に記載の情報処理装置。
15. プログラムを保持するコード領域とデータを保持するデータ領域とを含む第１の部分を有する不揮発メモリを備える情報処理装置の制御方法であって、
    取得手段が、前記第１の部分の更新データを取得する取得工程と、
    更新手段が、前記取得した更新データによって前記第１の部分を更新する更新工程と
    を含み、
    前記更新工程では、
    前記データ領域の内容を更新する前に前記コード領域に保持されているプログラムの少なくとも一部を消去し、前記データ領域の内容を更新した後に、前記コード領域への更新を完了させることを特徴とする情報処理装置の制御方法。
16. プログラムを保持するコード領域とデータを保持するデータ領域とを含む第１の部分を有する不揮発メモリを備える情報処理装置の制御方法における各工程をコンピュータに実行させるためのプログラムであって、前記制御方法は、
    取得手段が、前記第１の部分の更新データを取得する取得工程と、
    更新手段が、前記取得した更新データによって前記第１の部分を更新する更新工程と
    を含み、
    前記更新工程では、
    前記データ領域の内容を更新する前に前記コード領域に保持されているプログラムの少なくとも一部を消去し、前記データ領域の内容を更新した後に、前記コード領域への更新を完了させることを特徴とするプログラム。

Images