JP2022182837A - 情報処理装置、及びその制御方法 - Google Patents

Abstract

【課題】複数の制御部のそれぞれで用いられる情報について起動前に正当性の検証を行うとともに、異常が検知された場合であってもそれらの情報を用いない他の制御部を遅延させることなく起動させる情報処理装置及びその制御方法を提供する。【解決手段】情報処理装置は、各ＣＰＵで実行されるプログラムの正当性を検証するセキュアマイコン、各ＣＰＵで実行される第２プログラムを記憶する夫々のブートＲＯＭ及びセキュアマイコンによって実行される第１プログラムと各ＣＰＵで実行される個々の第２プログラムのバックアップを記憶するセキュアマイコン用ブートＲＯＭを備える。セキュアマイコンは、第１プログラムを実行して、各第２プログラムの正当性を検証する。何れかの第２プログラムの異常を検知すると、その第２プログラムに対応するＣＰＵをリセット解除して起動するとともに、第２プログラムの復旧処理を実行する。【選択図】図４

Description

本発明は、情報処理装置、及びその制御方法に関するものである。

画像形成装置はネットワークインタフェースを有しており、ファイル・サーバ機能やメール送受信機能をユーザに提供している。このように画像形成装置がネットワークに接続されることにより、ＰＣやサーバと同様に不正なハッキングによる画像形成装置の不正使用の発生が考えられる。また、近年、多様化し続けるサイバー攻撃から全てのリスクを排除することは不可能であるという前提で、攻撃にあったとしても装置自身で攻撃される前の状態に復元させるサイバーレジリエンスという考え方が重視されてきている。したがって、装置を起動する際に、装置に保持された情報の改竄や経年劣化による保持された情報の変化について検証が必要になってきている。以下では、保持されている情報に対して改竄や経年劣化による変化が生じていないかの検証を「正当性の検証」と称する。

また、複数のＣＰＵ（制御部）を有する画像形成装置においては、メインＣＰＵを起動するファームウェアについての正当性の検証のみならず、各々のＣＰＵを起動する各々のファームウェアについて正当性の検証を行う必要がある。特許文献１には、複数のＣＰＵが各々のブートプログラムを用いて起動処理を実行し、各々のＣＰＵに対応したファームウェアを起動する装置において、対象のファームウェアの異常を検知した際に、別のＣＰＵがファームウェアを修復する方法が提案されている。

特開２０１４－１７９０４７号公報

しかしながら、上記従来技術には以下に記載する課題がある。上記従来技術のように、検証対象となる複数のＣＰＵが起動した後に、各々のＣＰＵで使用されるファームウェアをＣＰＵ自身が検証する構成では、各ＣＰＵで使用するブートＲＯＭに対してＣＰＵ起動前の正当性の検証は行われていない。

そのため、起動前のブートＲＯＭ内のデータに対しても正当性の検証を行うためには、正当性の検証専用のセキュアマイコンを搭載する構成が考えられる。この構成では、例えばセキュアマイコンにより各ブートＲＯＭ内のデータの正当性を検証した後に、検証済のＣＰＵの起動を許可する。しかし、正当性の検証により少なくとも１つ以上のブートＲＯＭについて異常を検知して修復する必要がある場合には、その修復の時間分だけ修復を必要としないＣＰＵの起動を遅延させてしまうこととなる。

本発明は、上述の課題の少なくとも一つに鑑みて成されたものであり、複数の制御部のそれぞれで用いられる情報について起動前に正当性の検証を行うとともに、異常が検知された場合であってもそれらの情報を用いない他の制御部を遅延させることなく起動させる仕組みを提供する。

本発明は、情報処理装置であって、他の制御手段で実行されるプログラムの正当性を検証する第１制御手段と、前記第１制御手段によってリセットが解除されると起動を行う複数の第２制御手段と、前記第１制御手段によって実行される第１プログラムと、前記複数の第２制御手段のそれぞれで実行されるそれぞれの第２プログラムのバックアップとを記憶する第１記憶手段と、前記複数の第２制御手段のそれぞれに対応し、対応する第２制御手段で実行される第２プログラムを記憶する複数の第２記憶手段とを備え、前記第１制御手段は、前記第１記憶手段に記憶された前記第１プログラムを実行して、前記複数の第２制御手段のそれぞれの第２プログラムの正当性を順次検証し、前記複数の第２制御手段のうち何れかの第２制御手段に対応する第２プログラムの異常を検知した場合に、それまでに正常と判断した第２プログラムに対応する１以上の第２制御手段のリセットを解除するとともに、異常を検知した第２プログラムを、前記第１記憶手段に記憶された対応するバックアップのデータを用いて修復する復旧処理を実行することを特徴とする。

また、本発明は、情報処理装置であって、他の制御手段で実行されるプログラムの正当性を検証する第１制御手段と、前記第１制御手段によってリセットが解除されると起動を行う複数の第２制御手段と、前記第１制御手段によって実行される第１プログラムと、前記複数の第２制御手段のそれぞれで実行されるそれぞれの第２プログラムのバックアップとを記憶する第１記憶手段と、前記複数の第２制御手段のそれぞれに対応し、対応する第２制御手段で実行される第２プログラムを記憶する複数の第２記憶手段とを備え、前記第１制御手段は、前記第１記憶手段に記憶された前記第１プログラムを実行して、前記複数の第２制御手段の全ての第２プログラムの正当性を検証し、前記複数の第２制御手段のうち何れかの第２制御手段に対応する第２プログラムの異常を検知した場合に、正常と判断した第２プログラムに対応する１以上の第２制御手段のリセットを解除するとともに、異常を検知した第２プログラムを、前記第１記憶手段に記憶された対応するバックアップのデータを用いて修復する復旧処理を実行することを特徴とする。

本発明によれば、複数の制御部のそれぞれで用いられる情報について起動前に正当性の検証を行うとともに、異常が検知された場合であってもそれらの情報を用いない他の制御部を遅延させることなく起動させることができる。

一実施形態に係るシステム構成を示すブロック図。 一実施形態に係るコントローラ構成図。 一実施形態に係るメモリマップイメージ図。 一実施形態に係るＲＯＭに対する接続構成図。 一実施形態に係るセキュアマイコンの動作フロー。 一実施形態に係る正当性の検証と各ＣＰＵの起動タイミングを示す図。 一実施形態に係るＣＰＵの動作フロー。

以下、添付図面を参照して実施形態を詳しく説明する。なお、以下の実施形態は特許請求の範囲に係る発明を限定するものではない。実施形態には複数の特徴が記載されているが、これらの複数の特徴の全てが発明に必須のものとは限らず、また、複数の特徴は任意に組み合わせられてもよい。さらに、添付図面においては、同一若しくは同様の構成に同一の参照番号を付し、重複した説明は省略する。

＜システム構成＞
以下では、本発明の一実施形態について説明する。まず、図１を参照して、本実施形態に係るシステム構成の一例を説明する。

図１に示すように、本実施形態に係るシステムでは、ホストコンピュータ１０３、１０４及び画像形成装置（情報処理装置）１００、１０１、１０２がＬＡＮ１０５に接続されている。しかし、本発明におけるシステムにおいて、これらの接続数に限られることはない。また、本実施形態では接続方法としてＬＡＮ１０５を適用しているが、これに限ることはない。例えば、ＷＡＮ（公衆回線）などの任意のネットワークなども適用可能である。

ホストコンピュータ（以下、ＰＣと称する）１０３、１０４はパーソナルコンピュータの機能を有している。ＰＣ１０３は、ＬＡＮ１０５やＷＡＮを介してファイルを送受信したり、電子メールを送受信したりすることが可能である。ＰＣ１０４に関しても、ＰＣ１０３と同様であるため、詳細な説明は省略する。

また、ＰＣ１０３、１０４から画像形成装置１００、１０１、１０２に対して、プリンタドライバを介した印字命令が可能となっている。さらに、ＰＣ１０３、１０４は、定期的に画像形成装置１００、１０１、１０２に対して、画像形成装置の状態を問い合わせることができる。一方、ＰＣ１０３、１０４からの要求によって、画像形成装置１００、１０１、１０２は印刷可能か否かなどの情報を返信することができる。

画像形成装置１００は、情報処理装置の一例であり、画像入力デバイスであるスキャナ部、画像出力デバイスであるプリンタ部、画像形成装置全体の動作を司るコントローラ、ユーザからの操作受付・表示を行うユーザインタフェース（ＵＩ）を有する構成である。以下では画像形成装置１００の詳細構成について説明する。なお、画像形成装置１０１、１０２に関しては、画像形成装置１００と同様の構成であるため詳細な説明は省略する。

＜コントローラ構成＞
次に、図２を参照して、本実施形態に係る画像形成装置１００の制御構成を説明する。画像形成装置１００は、メインＣＰＵ２０１、メインＣＰＵ用ブートＲＯＭ２０２、ＲＡＭ２０３、ＨＤＤ２０４、操作部Ｉ／Ｆ２０５、ＬＡＮコントローラ２０６、画像処理部２０７、スキャナ画像処理部２０８、及びスキャナＣＰＵ２０９を備える。また、画像形成装置１００は、スキャナＣＰＵ用ブートＲＯＭ２１０、スキャナ画像読取部２１１、プリンタ画像処理部２１２、プリンタＣＰＵ２１３、プリンタＣＰＵ用ブートＲＯＭ２１４、及びプリンタ画像書込部２１５を備える。また、画像形成装置１００は、組込コントローラであるセキュアマイコン２１８及びセキュアマイコン用ブートＲＯＭ２１９を備える。

メインＣＰＵ２０１は、メインＣＰＵ用ブートＲＯＭ２０２に記憶されたファームウェア及び制御プログラム等に基づいて、接続中の各種デバイスとのアクセスを統括的に制御すると共に、コントローラ内部で行われる各種処理についても統括的に制御する。メインＣＰＵ用ブートＲＯＭ２０２は、メインＣＰＵ２０１を起動させるためのファームウェア及び制御プログラムが格納されている。そのファームウェアがメインＣＰＵ用ブートＲＯＭ２０２にメモリマップされているイメージは図３（Ｂ）の通りである。また、メインＣＰＵ用ブートＲＯＭ２０２は、メインＣＰＵ２０１からもセキュアマイコン２１８からもアクセス可能な構成となっている。両方からアクセスするための接続バス構成に関しては後述する。ＲＡＭ２０３は、ＣＰＵ２０１が動作するためのシステムワークメモリであり、かつ画像データを一時記憶するためのメモリでもある。このＲＡＭ２０３は、ＳＲＡＭ及びＤＲＡＭにより構成される。ＨＤＤ２０４は、ハードディスクドライブであり、システムソフトウェアや画像データを格納することが可能となっている。

操作部Ｉ／Ｆ２０５は、システムバス２２１と操作部２２０とを接続するためのインタフェース部である。この操作部Ｉ／Ｆ２０５は、操作部２２０に表示するための画像データをシステムバス２２１から受け取り、操作部２２０に出力すると共に、操作部２２０から入力された情報をシステムバス２２１へと出力する。ＬＡＮコントローラ２０６は、ＬＡＮ１０５及びシステムバス２２１に接続し、情報の入出力を行うことにより、画像形成装置１００とネットワークとの通信を制御する。

画像処理部２０７は、画像処理を行うためのものであり、ＲＡＭ２０３に記憶された画像データを読み出し、ＪＰＥＧ、ＪＢＩＧなどの拡大又は縮小や、色調整などの画像処理を行うことが可能である。ここで画像処理されたデータはＲＡＭ２０３やＨＤＤ２０４に格納される。

スキャナ画像処理部２０８は、スキャナＣＰＵ２０９、スキャナＣＰＵ用ブートＲＯＭ２１０、スキャナ画像読取部２１１を含むスキャナ部から受け取った画像データに対して、補正、加工及び編集を行う。なお、スキャナ画像処理部２０８は、受け取った画像データがカラー原稿か白黒原稿か、文字原稿か写真原稿かなどを判定する。そして、その判定結果を画像データに属性データとして付随させる。

スキャナＣＰＵ２０９は、スキャナＣＰＵ用ブートＲＯＭ２１０に記憶されたファームウェア及び制御プログラムに基づいて、スキャナ用システムバス２１６を介して接続されている各モジュールを制御する。スキャナＣＰＵ用ブートＲＯＭ２１０には、スキャナＣＰＵ２０９を起動させるためのファームウェア及び制御プログラムが格納されている。そのファームウェアがスキャナＣＰＵ用ブートＲＯＭ２１０にメモリマップされているイメージ図は図３（Ｃ）の通りである。

スキャナ画像読取部２１１は、原稿上の画像を読取ユニットにより、画像情報を電気信号に変換し、さらに電気信号をＲ／Ｇ／Ｂ各色からなる輝度信号に変換して、スキャナ画像処理部２０８に送信する。プリンタ画像処理部２１２は、画像データに付随されている属性データを参照しながら画像データに画像処理を施す。画像処理後の画像データは、プリンタＣＰＵ２１３、プリンタＣＰＵ用ブートＲＯＭ２１４、及びプリンタ画像書込部２１５を含むプリンタ部に出力される。

プリンタＣＰＵ２１３は、プリンタＣＰＵ用ブートＲＯＭ２１４に記憶されたファームウェア及び制御プログラムに基づいて、プリンタ用システムバス２１７を介して接続されている各モジュールを制御する。プリンタＣＰＵ用ブートＲＯＭ２１４には、プリンタＣＰＵ２１３を起動させるためのファームウェア及び制御プログラムが格納されている。そのファームウェアがプリンタＣＰＵ用ブートＲＯＭ２１４にメモリマップされているイメージ図は図３（Ｄ）の通りである。プリンタ画像書込部２１５は、プリンタ画像処理部２１２からプリンタ用システムバス２１７を介して送信されてきた画像データに基づき、印刷媒体に画像を形成する。

セキュアマイコン２１８は、トラステッドブートの基点となるハードウェア・デバイスである。セキュアマイコン２１８は、デバイス内部に鍵となるヒューズを備えており、そのカギを使用して、セキュアマイコン用ブートＲＯＭ２１９内のセキュアマイコン用ファームの正当性の検証を実施した上で起動する。また、セキュアマイコン２１８は、各種ブートＲＯＭ２０２、２１０、２１４に格納されたファームウェアの異常が検知されていないか又は経年劣化により変化していないかどうかの正当性の検証も行う。ここでの正当性の検証方法については、任意の手法を採用することができる。例えば、検証対象のファームウェアを用いて生成された署名データが各領域に格納されており、当該署名データを公開鍵によって復号し、ダイジェストを算出する。さらに、他のデータについてハッシュ関数を用いてダイジェスト値を算出して比較することにより検証を行ってもよい。ここで、署名データとは、検証対象の領域における署名データ以外のデータから算出されたダイジェストに対して、鍵生成アルゴリズムで生成した秘密鍵を用いて、公開鍵暗号アルゴリズムによって暗号化したデータである。ダイジェストの生成については、例えば、ＳＨＡ１アルゴリズムなどを採用することができる。また、公開鍵情報は、事前にセキュアマイコン２１８内で保持してもよい。或いは、検証対象の領域内に保持する形態でもあってもよい。公開鍵による復号処理について本発明を限定する意図はなく、例えば楕円暗号やＲＳＡ暗号など、種々の公開鍵暗号技術の復号アルゴリズムを適用できる。

セキュアマイコン２１８は、正当性の検証により問題ないと判断した場合のみ各種ＣＰＵ２０１、２０９、２１３のリセットを順次解除する。さらに、セキュアマイコン２１８は、各種ＣＰＵ用ブートＲＯＭに格納されているファームウェアの異常を検知した場合、後述するセキュアマイコン用ブートＲＯＭ２１９内の該当するファームウェアを読み出し、異常が検知されたデータを書き直して修復する。本発明では、セキュアマイコン用ブートＲＯＭ２１９がサイバー攻撃を受けないようにするために、各種ＣＰＵ２０１、２０９、２１３とは接続しておらず、各種ＣＰＵからセキュアマイコン用ブートＲＯＭ２１９に対してアクセスできない構成となっている。即ち、各種ＣＰＵを介してセキュアマイコン用ブートＲＯＭ２１９の内容を書き換えることはできない。

セキュアマイコン用ブートＲＯＭ２１９には、セキュアマイコン２１８を起動させるためのファームウェア／制御プログラムが格納されている。さらに、各種ＣＰＵ用ブートＲＯＭ２０２、２１０、２１４に格納されている各種ＣＰＵ２０１、２０９、２１３を起動させるためのファームウェア／制御プログラムが格納されている。各々のファームウェアがセキュアマイコン用ブートＲＯＭ２１９にメモリマップされているイメージ図は図３（Ａ）の通りである。セキュアマイコン用ブートＲＯＭ２１９は、セキュアマイコン２１８からのみアクセス可能な構成になっている。これは例えば、セキュアマイコン用ブートＲＯＭ２１９が、セキュアマイコン２１８へのみバスを介して接続され、他のＣＰＵ２０１、２０９、２１３に対してはバスを介して接続されないことにより実現される。

＜メモリマップイメージ＞
次に、図３を参照して、本実施形態に係る各ＲＯＭのメモリマップイメージについて説明する。図３（Ａ）はセキュアマイコン用ブートＲＯＭ２１９を示す。図３（Ｂ）はメインＣＰＵ用ブートＲＯＭ２０２を示す。図３（Ｃ）はスキャナＣＰＵ用ブートＲＯＭ２１０を示す。図３（Ｄ）はプリンタＣＰＵ用ブートＲＯＭ２１４を示す。

図３（Ａ）に示すように、セキュアマイコン用ブートＲＯＭ２１９には、セキュアマイコン用ファームウェア３０１、及びリカバリ時に使用するための各種ＣＰＵ用ブートＲＯＭ３０２、３０３、３０４のバックアップのデータが格納されている。セキュアマイコン用ファームウェア３０１は、セキュアマイコン２１８が動作するためのファームウェアである。

リカバリ用メインＣＰＵファームウェア３０２は、図３（Ｂ）に示すメインＣＰＵ用ブートＲＯＭ２０２内のメインＣＰＵ用ファームウェア３０５の異常が検知された場合に、復旧用のデータとして用いられる。リカバリ用スキャナＣＰＵファームウェア３０３は、図３（Ｃ）に示すスキャナＣＰＵ用ブートＲＯＭ２１０内のスキャナＣＰＵ用ファームウェア３０６の異常が検知された場合に、復旧用のデータとして用いられる。リカバリ用プリンタＣＰＵファームウェア３０４は、図３（Ｄ）に示すプリンタＣＰＵ用ブートＲＯＭ２１４内のプリンタＣＰＵ用ファームウェア３０７の異常が検知された場合に、復旧用のデータとして用いられる。

メインＣＰＵ用ファームウェア３０５は、メインＣＰＵ用ブートＲＯＭ２０２に格納されており、メインＣＰＵ２０１が動作するためのファームウェアである。また、セキュアマイコン２１８により正当性の検証が行われる領域となっており、異常が検知された場合には、リカバリ用メインＣＰＵファームウェア３０２を用いて書き直しが行われる。スキャナＣＰＵ用ファームウェア３０６は、スキャナＣＰＵ用ブートＲＯＭ２１０に格納されており、スキャナＣＰＵ２０９が動作するためのファームウェアである。また、セキュアマイコン２１８により正当性の検証が行われる領域となっており、異常が検知された場合には、リカバリ用スキャナＣＰＵファームウェア３０３を用いて書き直しが行われる。プリンタＣＰＵ用ファームウェア３０７は、プリンタＣＰＵ用ブートＲＯＭ２１４に格納されており、プリンタＣＰＵ２１３が動作するためのファームウェアである。また、セキュアマイコン２１８により正当性の検証が行われる領域となっており、異常が検知された場合には、リカバリ用プリンタＣＰＵファームウェア３０４を用いて書き直しが行われる。

＜ＲＯＭに対する接続図＞
次に、図４を参照して、本実施形態に係る各ＲＯＭにアクセスするためのバス構成を説明する。ここでは、ＳＰＩバスを例に説明するが、本発明はＳＰＩバスに限定されるものではない。

信号４０１は、ＳＰＩのチップセレクト信号（ＣＳ１＃）である。チップセレクト信号４０１は、メインＣＰＵ用ブートＲＯＭ２０２にアクセスするために使用する信号である。本チップセレクト信号４０１はメインＣＰＵ２０１からもセキュアマイコン２１８からも使用可能な信号である。そのため、セキュアマイコン２１８がメインＣＰＵ用ブートＲＯＭ２０２にアクセスする際には、セキュアマイコン２１８がチップセレクト信号４０１を制御する。一方で、メインＣＰＵ２０１がメインＣＰＵ用ブートＲＯＭ２０２にアクセスする際には、メインＣＰＵ２０１がチップセレクト信号４０１を制御することになる。

信号４０２は、ＳＰＩのチップセレクト信号（ＣＳ２＃）である。チップセレクト信号４０２は、スキャナＣＰＵ用ブートＲＯＭ２１０にアクセスするために使用する信号である。本チップセレクト信号４０２は、スキャナＣＰＵ２０９からもセキュアマイコン２１８からも使用可能な信号である。そのため、セキュアマイコン２１８がスキャナＣＰＵ用ブートＲＯＭ２１０にアクセスする際には、セキュアマイコン２１８がチップセレクト信号４０２を制御する。一方で、スキャナＣＰＵ２０９がスキャナＣＰＵ用ブートＲＯＭ２１０にアクセスする際には、スキャナＣＰＵ２０９がチップセレクト信号４０２を制御することになる。

信号４０３は、ＳＰＩのチップセレクト信号（ＣＳ３＃）である。チップセレクト信号４０３は、プリンタＣＰＵ用ブートＲＯＭ２１４にアクセスするために使用する信号である。本チップセレクト信号４０３は、プリンタＣＰＵ２１３からもセキュアマイコン２１８からも使用可能な信号である。そのため、セキュアマイコン２１８がプリンタＣＰＵ用ブートＲＯＭ２１４にアクセスする際には、セキュアマイコン２１８がチップセレクト信号４０３を制御する。一方で、プリンタＣＰＵ２１３がプリンタＣＰＵ用ブートＲＯＭ２１４にアクセスする際には、プリンタＣＰＵ２１３がチップセレクト信号４０３を制御することになる。

信号４０４は、ＳＰＩのクロック信号（ＣＬＫ）である。クロック信号４０４は、各種ＣＰＵ用ブートＲＯＭ２０２、２１０、２１４にアクセスするための信号である。また、本クロック信号４０４は、各種ＣＰＵ２０１、２０９、２１３からもセキュアマイコン２１８からも使用可能な信号である。そのため、セキュアマイコン２１８が各種ＣＰＵ用ブートＲＯＭ２０２、２１０、２１４にアクセスする際には、セキュアマイコン２１８がクロック信号４０４を制御する。一方で、メインＣＰＵ２０１がメインＣＰＵ用ブートＲＯＭ２０２にアクセスする際には、メインＣＰＵ２０１が、クロック信号４０４（４０５）を制御する。同様に、スキャナＣＰＵ２０９がスキャナＣＰＵ用ブートＲＯＭ２１０にアクセスする際には、スキャナＣＰＵ２０９が、クロック信号４０４（４０６）を制御する。プリンタＣＰＵがプリンタＣＰＵ用ブートＲＯＭ２１４にアクセスする際には、プリンタＣＰＵ２１３が、クロック信号４０４（４０７）を制御する。

信号４０８は、ＳＰＩのデータバス信号（ＩＯ）である。データバス信号４０８は、各種ＣＰＵ用ブートＲＯＭ２０２、２１０、２１４にアクセスするための信号である。また、本データバス信号４０８は、各種ＣＰＵ２０１、２０９、２１３からもセキュアマイコン２１８からも使用可能な信号である。そのため、セキュアマイコン２１８が各種ＣＰＵ用ブートＲＯＭ２０２、２１０、２１４にアクセスする際には、セキュアマイコン２１８がデータバス信号４０８を制御する。一方で、メインＣＰＵ２０１がメインＣＰＵ用ブートＲＯＭ２０２にアクセスする際には、メインＣＰＵ２０１が、データバス信号４０８（４０９）を制御する。同様に、スキャナＣＰＵ２０９がスキャナＣＰＵ用ブートＲＯＭ２１０にアクセスする際には、スキャナＣＰＵ２０９が、データバス信号４０８（４１０）を制御する。プリンタＣＰＵ２１３がプリンタＣＰＵ用ブートＲＯＭ２１４にアクセスする際には、プリンタＣＰＵ２１３が、クロック信号４０８（４１１）を制御する。

信号４１２は、ＳＰＩのチップセレクト信号（ＣＳ０＃）である。チップセレクト信号４１２は、セキュアマイコン用ブートＲＯＭ２１９にアクセスするのに使用する信号で、本チップセレクト信号４１２は、セキュアマイコン２１８から使用可能な信号である。そのため、メインＣＰＵ２０１がセキュアマイコン用ブートＲＯＭ２１９にアクセスすることはできない構成になっている。信号４１３は、ＳＰＩのクロック信号（ＣＬＫ）である。クロック信号４１３は、セキュアマイコン用ブートＲＯＭ２１９にアクセスするための信号であり、セキュアマイコン２１８が制御を行う。信号４１４は、ＳＰＩのデータバス信号（ＩＯ）である。データバス信号４１４は、セキュアマイコン用ブートＲＯＭ２１９にアクセスするための信号であり、セキュアマイコン２１８が制御を行う。

信号４１５は、セキュアマイコン２１８がメインＣＰＵ２０１のリセットを解除するための信号（ＲＥＳＥＴ１＃）である。セキュアマイコン２１８は、メインＣＰＵ用のブートＲＯＭ２０２内のファームウェア３０５の正当性を検証し、検証結果が問題なかった場合に、リセット信号４１５をＬｏｗからＨｉｇｈに遷移させる。メインＣＰＵ２０１は、リセット信号４１５がＨｉｇｈになった（リセット解除された）のを検知すると起動を開始する。メインＣＰＵ２０１は、リセット解除されると、メインＣＰＵ用ブートＲＯＭ２０２からファームウェア３０５を読み出し、起動処理を実行する。

信号４１６は、セキュアマイコン２１８がスキャナＣＰＵ２０９のリセットを解除するための信号（ＲＥＳＥＴ２＃）である。セキュアマイコン２１８は、スキャナＣＰＵ用のブートＲＯＭ２１０内のファームウェア３０６の正当性を検証し、検証結果が問題なかった場合に、リセット信号４１６をＬｏｗからＨｉｇｈに遷移させる。スキャナＣＰＵ２０９は、リセット信号４１６がＨｉｇｈになった（リセット解除された）のを検知すると起動を開始する。スキャナＣＰＵ２０９は、リセット解除されると、スキャナＣＰＵ用ブートＲＯＭ２１０からファームウェア３０６を読み出し、起動処理を実行する。

信号４１７は、セキュアマイコン２１８がプリンタＣＰＵ２１３のリセットを解除するための信号（ＲＥＳＥＴ３＃）である。セキュアマイコン２１８は、プリンタＣＰＵ用のブートＲＯＭ２１４内のファームウェア３０７の正当性を検証し、検証結果が問題なかった場合に、リセット信号４１７をＬｏｗからＨｉｇｈに遷移させる。プリンタＣＰＵ２１３は、リセット信号４１７がＨｉｇｈになった（リセット解除された）のを検知すると起動を開始する。プリンタＣＰＵ２１３は、リセット解除されると、プリンタＣＰＵ用ブートＲＯＭ２１４からファームウェア３０７を読み出し、起動処理を実行する。

＜セキュアマイコンの動作フロー＞
次に、図５を参照して、本実施形態に係るセキュアマイコン２１８の動作フローについて説明する。本実施形態では、メインＣＰＵ２０１、スキャナＣＰＵ２０９、及びプリンタＣＰＵ２１３を含む３つのＣＰＵのブートＲＯＭに対して正当性の検証を行っているが、一例であり対象が３つに制限されるものではない。以下で説明する処理は、セキュアマイコン２１８がセキュアマイコン用ブートＲＯＭ２１９からセキュアマイコン用ファームウェア３０１を読み出して実行することにより実現される。セキュアマイコン用ブートＲＯＭ２１９は、図４を用いて説明したように、他のＣＰＵからアクセスすることができないため、他のＣＰＵと比較して改竄される虞がない。したがって、本実施形態ではセキュアマイコン２１８が各ＣＰＵのブートＲＯＭの正当性を検証する。

Ｓ５０１でセキュアマイコン２１８に電源が投入されていない状態から、電源が投入されるとＳ５０２に遷移し、処理を開始する。Ｓ５０２で、セキュアマイコン２１８は起動処理を実行する。具体的には、セキュアマイコン２１８は、セキュアマイコン用ブートＲＯＭ２１９からセキュアマイコン用ファームウェア３０１を読み出し、セキュアマイコン２１８内部にあるヒューズ設定されている鍵情報を用いて検証を行う。当該検証において異常が検知されなければセキュアマイコン用ファームウェア３０１での起動処理を行う。セキュアマイコン２１８が起動を開始するとＳ５０３に遷移する。

Ｓ５０３で、セキュアマイコン２１８は、メインＣＰＵ用ファームウェア３０５の読み出しを行う。セキュアマイコン２１８は、ＲＯＭ内部のデータで正当性を検証するためにメインＣＰＵ用ブートＲＯＭ２０２からメインＣＰＵ用ファームウェア３０５を読み出す。メインＣＰＵ用ファームウェア３０５の読み出しが完了するとＳ５０４に遷移する。上記説明では、正当性の検証対象がメインＣＰＵ２０１、スキャナＣＰＵ２０９、プリンタＣＰＵ２１３の３か所あり、メインＣＰＵ２０１から正当性が順次検証されるものとする。そのため、後述するＳ５１０の処理後、２度目のＳ５０３の処理を実施する場合には、メインＣＰＵに対する処理がスキャナＣＰＵに置き換わり、３度目のＳ５０３の処理を実施する場合には、メインＣＰＵに対する処理がプリンタＣＰＵに置き換わる。

以下、Ｓ５０４～Ｓ５０９に関して、メインＣＰＵへの処理を代表して記載するものとする。Ｓ５０４で、セキュアマイコン２１８は、読み出したメインＣＰＵ用ファームウェア３０５の正当性を検証する。セキュアマイコン２１８は、Ｓ５０３で読み出したメインＣＰＵ用ファームウェア３０５がサイバー攻撃等により書き換えられてしまっていないか（改竄されているかどうか）又は経年劣化によりデータが変化していないかの検証を行う。検証方法については、上述した署名データを用いる方法や、他の任意の手法を用いることができる。セキュアマイコン２１８は、読み出したメインＣＰＵ用ファームウェア３０５の異常が検知されなければＳ５１０に遷移し、読み出したメインＣＰＵ用ファームウェア３０５の異常を検知するとＳ５０５に遷移する。

Ｓ５０５で、セキュアマイコン２１８は、異常が検知されたデータに対する復旧処理（書き直し処理）を行う前に、それまでに正当性の検証した結果で問題なしと判断したＣＰＵに対してリセット解除を行う。セキュアマイコン２１８は、各種ＣＰＵ２０１、２０９、２１３のうち正常と判断されているＣＰＵに対するリセット信号４１５、４１６、４１７をＬｏｗからＨｉｇｈに遷移させて各種ＣＰＵ２０１、２０９、２１３のリセット解除を行う。例えば、Ｓ５０４でのメインＣＰＵ２０１に対する処理にて異常が検知されたと判断されてＳ５０５に遷移してきた場合、それまでに正当性の検証で問題なしと判断したＣＰＵはないので、Ｓ５０５の処理はスキップされる。また、Ｓ５０４でのプリンタＣＰＵ２１３に対する処理にて異常が検知されたと判断されてＳ５０５に遷移してきた場合、それまでに正当性の検証で問題なしと判断したメインＣＰＵ２０１とスキャナＣＰＵ２０９に対してリセット処理を行う。正当性の検証で正常と判断したＣＰＵに対してリセット解除を行うことで、正常と判断したＣＰＵの起動処理を遅らせることなく、かつ後述するファームウェアの復旧を行うことができる。つまり、本実施形態に係る画像形成装置では、異常が検知されたＣＰＵの復旧処理を待つことなく、正常と判断された他のＣＰＵについては先行して起動を行うことにより、上記他のＣＰＵにおける起動遅延を回避することができる。

Ｓ５０６で、セキュアマイコン２１８は、セキュアマイコン用のブートＲＯＭ２１９内のリカバリ用メインＣＰＵファームウェア３０２（バックアップデータ）の読み出しを行う。セキュアマイコン２１８は、異常が検知されたメインＣＰＵ用ブートＲＯＭ２０２内データを復旧するために、セキュアマイコン用ブートＲＯＭ２１９内に格納されているリカバリ用メインＣＰＵ用ファームウェア３０２の読み出しを行う。セキュアマイコン２１８は、セキュアマイコン用ブートＲＯＭ２１９からのリカバリ用メインＣＰＵファームウェア３０２の読み出しが完了するとＳ５０７に遷移する。

Ｓ５０７で、セキュアマイコン２１８は、異常が検知されたメインＣＰＵ用ブートＲＯＭ２０２内のメインＣＰＵ用ファームウェア３０５領域の書き直しを行う。セキュアマイコン２１８は、Ｓ５０６でセキュアマイコン用ブートＲＯＭ２１９から読み出したリカバリ用メインＣＰＵファームウェア３０２をメインＣＰＵ用ブートＲＯＭ２０２内のメインＣＰＵファームウェア３０５領域に対して書き込む。これによって、異常が検知されたメインＣＰＵ用ブートＲＯＭ２０２内のファームウェア・データの復旧を行うことができる。

次に、Ｓ５０８で、セキュアマイコン２１８は、復旧後のメインＣＰＵ用ファームウェア３０５の読み出しを行う。セキュアマイコン２１８は、ＲＯＭ内部のデータについて正当性の検証を行うためにメインＣＰＵ用ブートＲＯＭ２０２からメインＣＰＵ用ファームウェア３０５を読み出す。メインＣＰＵ用ファームウェア３０５の読み出しが完了するとＳ５０９に遷移する。

Ｓ５０９で、セキュアマイコン２１８は、読み出したメインＣＰＵ用ファームウェア３０５の正当性を検証する。セキュアマイコン２１８は、Ｓ５０８で読み出したメインＣＰＵ用ファームウェア３０５の正当性を検証する。ここでは、サイバー攻撃等により書き換えられてしまっていないか（改竄されているかどうか）、経年劣化によりデータが変化していないか、又は、書き直しの際に失敗していないかの検証が行われる。セキュアマイコン２１８は、読み出したメインＣＰＵ用ファームウェア３０５の異常が検知されていなければＳ５１０に遷移し、読み出したメインＣＰＵ用ファームウェア３０５の異常が検知された場合にはそこで起動処理を停止し、本処理を終了する。起動を停止する場合には、エラー通知を操作部２２０を介して行うとともに、履歴情報としてＨＤＤ２０４等に格納してもよい。また、起動可能なＣＰＵによって提供される機能の提供を継続して行ってもよいし、装置自体の処理を停止するようにしてもよい。

Ｓ５１０で、セキュアマイコン２１８は、正当性の検証対象のブートＲＯＭについて、すべて正当性の検証を完了したかどうかを判定する。すべて正当性の検証を完了すると、Ｓ５１１に遷移し、まだ完了していないＣＰＵがあればＳ５０３に遷移して次のブートＲＯＭの正当性の検証を行う。

Ｓ５１１で、セキュアマイコン２１８は、各種ＣＰＵ２０１、２０９、２１３のうち、まだリセット解除が行われていないＣＰＵのリセット解除を行い、処理を終了する。セキュアマイコン２１８は、各種ＣＰＵ２０１、２０９、２１３に対するリセット信号４１５、４１６、４１７をＬｏｗからＨｉｇｈに遷移させて各種ＣＰＵのリセット解除を行う。これによって、各種ＣＰＵ２０１、２０９、２１３が動作可能な状態になる。

＜正当性の検証と各ＣＰＵの起動タイミング＞
次に、図６を参照して、本実施形態に係るセキュアマイコン２１８による正当性の検証と各種ＣＰＵ２０１、２０９、２１３の起動タイミングとについて説明する。図６において横軸は時間の経過を示す。

まず正当性の検証６０１では、セキュアマイコン２１８がメインＣＰＵ用ブートＲＯＭ２０２の正当性の検証を行っている。ここでは、正当性を検証した結果、異常なしと判断している。続いて、正当性の検証６０２では、正当性の検証６０１の後にセキュアマイコン２１８がスキャナＣＰＵ用ブートＲＯＭ２１０の正当性の検証を行っている。ここでは、正当性を検証した結果問題なしと判断している。さらに、正当性の検証６０３では、正当性の検証６０２の後にセキュアマイコン２１８がプリンタＣＰＵ用ブートＲＯＭ２１４の正当性の検証を行っている。ここでは、正当性の検証の結果、プリンタＣＰＵ用ブートＲＯＭ２１４のデータにおいて異常が検知され、復旧が必要と判断している。

次に、Ｒｅｓｅｔ解除指示６０４では、対応するファームウェアが正常と判断されたＣＰＵに対してＲｅｓｅｔ解除指示を出している。ここでは、メインＣＰＵ用ブートＲＯＭ２０２とスキャナＣＰＵ用ブートＲＯＭ２１０に対して問題なしと判断しているので、セキュアマイコン２１８はＲｅｓｅｔ１＃（４１５）及びＲｅｓｅｔ２＃（４１６）を使用してＲｅｓｅｔ解除指示を出す。このＲｅｓｅｔ解除指示により、時刻Ｔ１（６１４）からメインＣＰＵ２０１及びスキャナＣＰＵ２０９は起動を開始する。一方で、プリンタＣＰＵ用ブートＲＯＭ２１４に対して異常ありと判断しているので、セキュアマイコン２１８はＲｅｓｅｔ解除指示を出さず、プリンタＣＰＵ用ブートＲＯＭ２１４のデータの復旧を開始する。

復旧処理６０５では、セキュアマイコン２１８はセキュアマイコン用ブートＲＯＭ２１９内のリカバリ用プリンタＣＰＵファームウェア３０４を用いて、プリンタＣＰＵ用ブートＲＯＭ２１４内のプリンタＣＰＵ用ファームウェア３０７の書き直しを行う。これにより、時刻Ｔ１（６１４）においてセキュアマイコン２１８が問題なしと判断したブートＲＯＭ（２０２、２１０）のＣＰＵは起動を開始し、異常と判断したブートＲＯＭ（２１４）には復旧処理が並行して行われる。

正当性の検証６０６では、復旧処理６０５の後にセキュアマイコン２１８が復旧後のプリンタＣＰＵ用ブートＲＯＭ２１４の正当性の検証を行っている。ここでは、正当性を検証した結果問題なしと判断している。Ｒｅｓｅｔ解除指示６０７では、ＣＰＵに対してＲｅｓｅｔ解除指示を出している。ここでは、プリンタＣＰＵ用ブートＲＯＭ２１４に対して、セキュアマイコン２１８はＲｅｓｅｔ３＃（４１７）を使用してＲｅｓｅｔ解除指示を出す。このＲｅｓｅｔ解除指示により、時刻Ｔ２（６１５）からプリンタＣＰＵ２１３は起動を開始する。

メインＣＰＵ２０１のＲｅｓｅｔ状態６０８は、メインＣＰＵ２０１に対してＲｅｓｅｔがかけられ、メインＣＰＵ２０１がＲｅｓｅｔ状態であることを示している。スキャナＣＰＵ２０９のＲｅｓｅｔ状態６０９は、スキャナＣＰＵ２０９に対してＲｅｓｅｔがかけられ、スキャナＣＰＵ２０９がＲｅｓｅｔ状態であることを示している。プリンタＣＰＵ２１３のＲｅｓｅｔ状態６１０は、プリンタＣＰＵ２１３に対してＲｅｓｅｔがかけられ、プリンタＣＰＵ２１３がＲｅｓｅｔ状態であることを示している。

メインＣＰＵ２０１の起動状態６１１は、メインＣＰＵ２０１に対するＲｅｓｅｔが解除され、メインＣＰＵ２０１が起動を開始した状態であることを示している。スキャナＣＰＵ２０９の起動状態６１２は、スキャナＣＰＵ２０９に対するＲｅｓｅｔが解除され、スキャナＣＰＵ２０９が起動を開始した状態であることを示している。プリンタＣＰＵ２１３の起動状態６１３は、プリンタＣＰＵ２１３に対するＲｅｓｅｔが解除され、プリンタＣＰＵ２１３が起動を開始した状態であることを示している。

＜各種ＣＰＵの動作フロー＞
次に、図７を参照して、本実施形態に係る各種ＣＰＵ２０１、２０９、２１３の動作フローを説明する。以下では、メインＣＰＵ２０１の処理を代表して記載するものとする。他のＣＰＵ２０９、２１３についても以下で説明する処理と同様の処理が行われる。

Ｓ７０１で、メインＣＰＵ２０１において電源が投入されたかどうかを判定し、電源が投入されるとＳ６０２に遷移する。続いて、Ｓ７０２で、メインＣＰＵ２０１においてリセット解除されているか否かを判定し、リセット解除されるとＳ７０３に遷移する。例えばセキュアマイコン２１８がメインＣＰＵ２０１のリセット解除を行うＳ５０５又はＳ５１１が実行されることによって、メインＣＰＵ２０１のリセットが解除されＳ７０３に遷移する。

Ｓ７０３で、メインＣＰＵ２０１は、メインＣＰＵ用ブートＲＯＭ２０２からメインＣＰＵ用ファームウェア３０５を読み出し、起動を行う。メインＣＰＵ２０１は、セキュアマイコン２１８によって正当性が検証されたメインＣＰＵ用ファームウェア３０５を、メインＣＰＵ用ブートＲＯＭ２０２内から読み出して実行する。これにより、異常が検知されていないメインＣＰＵ用ファームウェア３０５で起動することができる。

本実施形態では、セキュアマイコン２１８により異常が検知された場合に、そのタイミング（復旧処理を実行する前のタイミング）において既に正常と判定されているＣＰＵのブート起動と、異常が検知されたファームの復旧とを行う。しかし、本発明をこのような制御に限定するものではなく、セキュアマイコン２１８がすべての正当性の検証対象のＣＰＵを正当性の検証した後に、まとめて正常判定のＣＰＵブート起動と、異常が検知されたファームの復旧を随時行うものであってもよい。つまり、検証対象のＣＰＵの検証をすべて完了した後に、正常と判断されたＣＰＵを起動しつつ、異常と判断されたＣＰＵのファームウェアを復旧する処理を実行するようにしてもよい。

以上説明したように、本情報処理装置は、他の制御部で実行されるプログラムの正当性を検証する第１制御部（２１８）と、第１制御部によってリセットが解除されると起動を行う複数の第２制御部（２０２、２０９、２１３）と、を含む。また、本情報処理装置は、第１制御部によって実行される第１プログラムと、複数の第２制御部のそれぞれで実行されるそれぞれの第２プログラムのバックアップとを記憶する第１記憶部（２１９）を備える。さらに、本情報処理装置は、複数の第２制御部のそれぞれに対応し、対応する第２制御部で実行される第２プログラムを記憶する複数の第２記憶部（２０２、２１０、２１４）とを備える。また、第１制御部は、第１記憶部に記憶された第１プログラムを実行して、複数の第２制御部のそれぞれの第２プログラムの正当性を順次検証する。さらに、第１制御部は、複数の第２制御部のうち何れかの第２制御部に対応する第２プログラムの異常を検知した場合に、それまでに正常と判断した第２プログラムに対応する１以上の第２制御部のリセットを解除する。さらに、第１制御部は、異常を検知した第２プログラムを、対応するバックアップのデータを用いて修復する復旧処理を実行する。このように、本実施形態によれば、異常が検知された場合に復旧処理を行う際には、それまでに正当性の検証で正常と判断されたＣＰＵに対してリセット解除処理を行うことで起動開始しつつ、並行して異常が検知されたファームウェアの復旧を行う。これにより、正常判定のＣＰＵの起動開始遅延をなくすことが可能となり、ユーザへの利便性を向上させることができる。

また、本実施形態によれば、セキュアマイコン用ブートＲＯＭ２１９に対して各種ＣＰＵ２０１、２０９、２１３から直接アクセスできない構成にしておくことで、セキュアマイコン用ブートＲＯＭ２１９がサイバー攻撃を受けない構成となっている。これにより、各種ＣＰＵ用ブートＲＯＭ（２０２、２１０、２１４）が改竄されてしまったとしても、セキュアマイコン用ブートＲＯＭ２１９内のデータを使って確実に復旧させることが可能となっている。

また本発明は上記実施形態に限らず様々な変形が可能である。例えば、第１制御部は、第１記憶部に記憶された第１プログラムを実行して、複数の第２制御部の全ての第２プログラムの正当性を検証してもよい。さらに、第１制御部は、複数の第２制御部のうち何れかの第２制御部に対応する第２プログラムの異常を検知した場合に、正常と判断した第２プログラムに対応する１以上の第２制御部のリセットを解除し、異常を検知した第２プログラムを修復する。このように、まずは全ての第２制御部の検証を行い、正常と判断したＣＰＵについては起動させ、並行して異常と判断したＣＰＵのファームウェアの復旧を行ってもよい。

＜その他の実施形態＞
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサーがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

発明は上記実施形態に制限されるものではなく、発明の精神及び範囲から離脱することなく、様々な変更及び変形が可能である。従って、発明の範囲を公にするために請求項を添付する。

２０１：メインＣＰＵ、２０２：メインＣＰＵ用ブートＲＯＭ、２０３：ＲＡＭ、２０４：ＨＤＤ、２０５：操作部Ｉ／Ｆ、２０６：ＬＡＮコントローラ、２０７：画像処理部、２０８：スキャナ画像処理部、２０９：スキャナＣＰＵ、２１０：スキャナ用ブートＲＯＭ、２１１：スキャナ画像読取部、２１２：プリンタ画像処理部、２１３：プリンタＣＰＵ、２１４：プリンタ用ブートＲＯＭ、２１５：プリンタ画像書込部、２１６：スキャナ用システムバス、２１７：プリンタ用システムバス、２１８：セキュアマイコン、２１９：セキュアマイコン用ブートＲＯＭ

Claims (9)

1. 情報処理装置であって、
   他の制御手段で実行されるプログラムの正当性を検証する第１制御手段と、
   前記第１制御手段によってリセットが解除されると起動を行う複数の第２制御手段と、
   前記第１制御手段によって実行される第１プログラムと、前記複数の第２制御手段のそれぞれで実行されるそれぞれの第２プログラムのバックアップとを記憶する第１記憶手段と、
   前記複数の第２制御手段のそれぞれに対応し、対応する第２制御手段で実行される第２プログラムを記憶する複数の第２記憶手段と
   を備え、
   前記第１制御手段は、前記第１記憶手段に記憶された前記第１プログラムを実行して、前記複数の第２制御手段のそれぞれの第２プログラムの正当性を順次検証し、前記複数の第２制御手段のうち何れかの第２制御手段に対応する第２プログラムの異常を検知した場合に、それまでに正常と判断した第２プログラムに対応する１以上の第２制御手段のリセットを解除するとともに、異常を検知した第２プログラムを、前記第１記憶手段に記憶された対応するバックアップのデータを用いて修復する復旧処理を実行することを特徴とする情報処理装置。
2. 情報処理装置であって、
   他の制御手段で実行されるプログラムの正当性を検証する第１制御手段と、
   前記第１制御手段によってリセットが解除されると起動を行う複数の第２制御手段と、
   前記第１制御手段によって実行される第１プログラムと、前記複数の第２制御手段のそれぞれで実行されるそれぞれの第２プログラムのバックアップとを記憶する第１記憶手段と、
   前記複数の第２制御手段のそれぞれに対応し、対応する第２制御手段で実行される第２プログラムを記憶する複数の第２記憶手段と
   を備え、
   前記第１制御手段は、前記第１記憶手段に記憶された前記第１プログラムを実行して、前記複数の第２制御手段の全ての第２プログラムの正当性を検証し、前記複数の第２制御手段のうち何れかの第２制御手段に対応する第２プログラムの異常を検知した場合に、正常と判断した第２プログラムに対応する１以上の第２制御手段のリセットを解除するとともに、異常を検知した第２プログラムを、前記第１記憶手段に記憶された対応するバックアップのデータを用いて修復する復旧処理を実行することを特徴とする情報処理装置。
3. 前記第１記憶手段は、前記第１制御手段へバスを介して接続され、前記複数の第２制御手段にはバスを介して接続されないことを特徴とする請求項１又は２に記載の情報処理装置。
4. 前記複数の第２記憶手段は、前記第１制御手段及び対応する第２制御手段へバスを介して接続されることを特徴とする請求項３に記載の情報処理装置。
5. 前記第１制御手段は、前記復旧処理として、異常が検知された第２プログラムに対応する、前記第１記憶手段に記憶されたバックアップのデータで前記第２記憶手段に記憶された該第２プログラムを書き直すことを特徴とする請求項１乃至４の何れか１項に記載の情報処理装置。
6. 前記第１制御手段は、前記復旧処理を実行すると、対応する第２記憶手段の復旧された第２プログラムの正当性を検証し、異常が検知されなければ、前記復旧された第２プログラムに対応する第２制御手段のリセットを解除し、異常が検知されると前記第１プログラムによる起動処理を停止することを特徴とする請求項１乃至５の何れか１項に記載の情報処理装置。
7. 前記第１制御手段はセキュアマイコンであり、
   前記複数の第２制御手段には、前記情報処理装置のメインＣＰＵ、スキャナＣＰＵ、及びプリンタＣＰＵの少なくとも１つが含まれることを特徴とする請求項１乃至６の何れか１項に記載の情報処理装置。
8. 他の制御手段で実行されるプログラムの正当性を検証する第１制御手段と、前記第１制御手段によってリセットが解除されると起動を行う複数の第２制御手段と、前記第１制御手段によって実行される第１プログラムと、前記複数の第２制御手段のそれぞれで実行されるそれぞれの第２プログラムのバックアップとを記憶する第１記憶手段と、前記複数の第２制御手段のそれぞれに対応し、対応する第２制御手段で実行される第２プログラムを記憶する複数の第２記憶手段とを備える、情報処理装置の制御方法であって、
   前記第１制御手段が、前記第１記憶手段に記憶された前記第１プログラムを実行して、前記複数の第２制御手段のそれぞれの第２プログラムの正当性を順次検証する工程と、
   前記第１制御手段が、前記複数の第２制御手段のうち何れかの第２制御手段に対応する第２プログラムの異常を検知した場合に、それまでに正常と判断した第２プログラムに対応する１以上の第２制御手段のリセットを解除するとともに、異常を検知した第２プログラムを、前記第１記憶手段に記憶された対応するバックアップのデータを用いて修復する復旧処理を実行する工程と
   を含むことを特徴とする情報処理装置の制御方法。
9. 他の制御手段で実行されるプログラムの正当性を検証する第１制御手段と、前記第１制御手段によってリセットが解除されると起動を行う複数の第２制御手段と、前記第１制御手段によって実行される第１プログラムと、前記複数の第２制御手段のそれぞれで実行されるそれぞれの第２プログラムのバックアップとを記憶する第１記憶手段と、前記複数の第２制御手段のそれぞれに対応し、対応する第２制御手段で実行される第２プログラムを記憶する複数の第２記憶手段とを備える、情報処理装置の制御方法であって、
   前記第１制御手段が、前記第１記憶手段に記憶された前記第１プログラムを実行して、前記複数の第２制御手段の全ての第２プログラムの正当性を検証する工程と、
   前記第１制御手段が、前記複数の第２制御手段のうち何れかの第２制御手段に対応する第２プログラムの異常を検知した場合に、正常と判断した第２プログラムに対応する１以上の第２制御手段のリセットを解除するとともに、異常を検知した第２プログラムを、前記第１記憶手段に記憶された対応するバックアップのデータを用いて修復する復旧処理を実行する工程と
   を含むことを特徴とする情報処理装置の制御方法。

Images