以下、添付図面を参照して本発明の実施形態を詳しく説明する。尚、以下の実施形態は特許請求の範囲に係る発明を限定するものでない。実施形態には複数の特徴が記載されているが、これら複数の特徴の全てが発明に必須のものとは限らず、また、複数の特徴は任意に組み合わせられてもよい。さらに、添付図面においては、同一もしくは同様の構成に同一の参照番号を付し、重複した説明は省略する。
BEST MODE FOR CARRYING OUT THE INVENTION Hereinafter, embodiments of the present invention will be described in detail with reference to the accompanying drawings. It should be noted that the following embodiments do not limit the invention according to the scope of claims. Although multiple features are described in the embodiments, not all of these multiple features are essential to the invention, and multiple features may be combined arbitrarily. Furthermore, in the accompanying drawings, the same or similar configurations are denoted by the same reference numerals, and redundant description is omitted.
［実施形態１］
図１は、本発明の実施形態１に係る情報処理システムの構成を説明すするブロック図である。このシステムでは、ホストコンピュータ４０，５０及び画像形成装置１０，２０，３０がＬＡＮ６０に接続されているが、本発明に係るシステムにおいては、これらの接続数に限られることはない。また実施形態では、接続方法としてＬＡＮを適用しているが、本発明はこれに限られることはない。例えばＷＡＮ（公衆回線）などの任意のネットワークなども適用可能である。
[Embodiment 1]
FIG. 1 is a block diagram illustrating the configuration of an information processing system according to Embodiment 1 of the present invention. In this system, host computers 40, 50 and image forming apparatuses 10, 20, 30 are connected to LAN 60, but the number of these connections is not limited in the system according to the present invention. Also, in the embodiments, LAN is applied as a connection method, but the present invention is not limited to this. For example, any network such as WAN (public network) is also applicable.
ホストコンピュータ（以下、ＰＣ）４０，５０は、一般的なパーソナルコンピュータの機能を有しており、このシステムでは、これらＰＣ４０，５０は同様の機能を実現するため、ここではＰＣ４０を例に説明する。ＰＣ４０は、ＬＡＮ６０やＷＡＮを介してＦＴＰやＳＭＢプロトコルを用いファイルや電子メールを送受信することができる。またＰＣ４０から画像形成装置１０，２０，３０に対して、プリンタドライバを介した印刷命令を発行することができる。更にＰＣ４０は、定期的に画像形成装置１０，２０，３０に対して、装置の状態を問い合わせることができ、ＰＣ４０からの要求によって、画像形成装置１０，２０，３０は印刷可能であるか否かなどの情報を返信することができる。
Host computers (hereinafter referred to as PCs) 40 and 50 have general personal computer functions, and in this system, these PCs 40 and 50 realize similar functions, so the PC 40 will be described here as an example. . The PC 40 can send and receive files and e-mails using FTP and SMB protocols via the LAN 60 and WAN. Also, a print command can be issued from the PC 40 to the image forming apparatuses 10, 20, 30 via the printer driver. Furthermore, the PC 40 can periodically inquire of the image forming apparatuses 10, 20, and 30 about the status of the apparatuses, and can determine whether the image forming apparatuses 10, 20, and 30 are capable of printing in response to a request from the PC 40. You can reply with information such as
画像形成装置１０，２０は同じ構成を有する装置である。一方、画像形成装置３０はプリント機能のみを有する画像形成装置であり、画像形成装置１０，２０が有するスキャナ１３を有していない。以下では、説明を簡単にするために、画像形成装置１０，２０のうちの画像形成装置１０に注目して、その構成を詳細に説明する。
The image forming apparatuses 10 and 20 are apparatuses having the same configuration. On the other hand, the image forming apparatus 30 is an image forming apparatus having only a print function and does not have the scanner 13 that the image forming apparatuses 10 and 20 have. To simplify the explanation, the image forming apparatus 10 out of the image forming apparatuses 10 and 20 will be focused on and the configuration thereof will be explained in detail.
画像形成装置１０は、画像入力デバイスであるスキャナ１３、画像出力デバイスであるプリンタ１４、画像形成装置１０全体の動作制御を司るコントローラ１１、ユーザインターフェース（ＵＩ）を提供する操作部１２を有している。
The image forming apparatus 10 includes a scanner 13 that is an image input device, a printer 14 that is an image output device, a controller 11 that controls the operation of the entire image forming apparatus 10, and an operation unit 12 that provides a user interface (UI). there is
図２は、実施形態１に係る画像形成装置１０の外観図である。スキャナ１３は、複数のＣＣＤを有している。この各ＣＣＤの感度が夫々異なっていると、例え原稿上の各画素の濃度が同じであったとしても、各画素が夫々異なる濃度であると認識されてしまう。そのため、スキャナ１３では、最初に基準白色板（一様に白い板）を露光走査し、露光走査して得られた反射光の量を電気信号に変換してコントローラ１１に出力している。続いて、この原稿上の画像をスキャンする構成について説明する。
FIG. 2 is an external view of the image forming apparatus 10 according to the first embodiment. Scanner 13 has a plurality of CCDs. If the sensitivities of the respective CCDs are different, even if the densities of the pixels on the document are the same, the pixels are recognized as having different densities. Therefore, the scanner 13 first exposes and scans a reference white plate (uniformly white plate), converts the amount of reflected light obtained by exposure and scanning into an electric signal, and outputs the electric signal to the controller 11 . Next, a configuration for scanning the image on the document will be described.
スキャナ１３は、原稿上の画像を露光走査して得られた反射光をＣＣＤに入力することで画像の情報を電気信号に変換する。更に、その電気信号をＲ，Ｇ，Ｂの各色からなる輝度信号に変換し、その輝度信号を画像データとしてコントローラ１１に出力する。尚、原稿は原稿フィーダ２０１のトレイ２０２にセットされる。ユーザが操作部１２から原稿の読み取り開始を指示すると、コントローラ１１からスキャナ１３に原稿の読み取り指示が与えられる。スキャナ１３は、この指示を受けると原稿フィーダ２０１のトレイ２０２から原稿を１枚ずつ給送（フィード）して、原稿の読み取りを行う。尚、原稿の読み取り方法は、原稿フィーダ２０１による自動送り方式ではなく、原稿を不図示のガラス面上に載置し露光部を移動させることで原稿の走査を行う方法であってもよい。
The scanner 13 converts image information into electrical signals by inputting reflected light obtained by exposing and scanning an image on a document to a CCD. Further, the electrical signal is converted into a luminance signal of each color of R, G, and B, and the luminance signal is output to the controller 11 as image data. Documents are set on the tray 202 of the document feeder 201 . When the user gives an instruction to start reading the document from the operation unit 12 , the controller 11 gives the scanner 13 an instruction to read the document. Upon receiving this instruction, the scanner 13 feeds the documents one by one from the tray 202 of the document feeder 201 to read the documents. The document reading method may be a method of scanning the document by placing the document on a glass surface (not shown) and moving the exposure unit instead of the automatic feeding method by the document feeder 201 .
プリンタ１４は、コントローラ１１から受取った画像データに基づいて用紙に画像を形成する画像形成デバイスである。尚、実施形態１ではプリンタ１４の画像形成方式は、感光体ドラムや感光体ベルトを用いた電子写真方式であるが、本発明はこれに限られることはない。例えば、微少ノズルアレイからインクを吐出して用紙上に画像を印刷するインクジェット方式等でも適用可能である。またプリンタ１４には、異なる用紙サイズ又は異なる用紙向きを選択可能とする複数の用紙カセット２０３，２０４，２０５が設けられている。排紙トレイ２０６には、印刷された用紙が排出される。
The printer 14 is an image forming device that forms an image on paper based on image data received from the controller 11 . In the first embodiment, the image forming method of the printer 14 is an electrophotographic method using a photosensitive drum or a photosensitive belt, but the present invention is not limited to this. For example, an inkjet method or the like that prints an image on paper by ejecting ink from a minute nozzle array can also be applied. The printer 14 is also provided with a plurality of paper cassettes 203, 204, 205 that allow selection of different paper sizes or different paper orientations. Printed paper is discharged to the paper discharge tray 206 .
図３は、実施形態１に係る画像形成装置１０のコントローラ１１の構成をより詳しく説明するブロック図である。
FIG. 3 is a block diagram illustrating in more detail the configuration of the controller 11 of the image forming apparatus 10 according to the first embodiment.
コントローラ１１は、スキャナ１３やプリンタ１４と電気的に接続されており、一方ではＬＡＮ６０などを介してＰＣ４０，５０や外部の装置等と接続されている。これにより画像データやデバイス情報の入出力が可能となっている。ＣＰＵ用の不揮発メモリ３０３は、ＣＰＵ３０１により実行されるファームウェアや制御プログラム等を記憶するＣＰＵ３０１用の不揮発メモリである。ＣＰＵ３０１は、不揮発メモリ３０３に記憶されたファームウェアや制御プログラム等に基づいて、接続中の各種デバイスとのアクセスを統括的に制御すると共に、コントローラ１１で行われる各種処理についても統括的に制御する。ＲＡＭ３０２は、ＣＰＵ３０１が動作するためのシステムワークメモリであり、かつ画像データを一時記憶するためのメモリである。このＲＡＭ３０２は、例えばＳＲＡＭ及びＤＲＡＭにより構成されるＣＰＵ３０１用のＲＡＭである。また不揮発メモリ３０３には、ＣＰＵ３０１を起動させるためのファームウェアや制御プログラムが格納されている。また不揮発メモリ３０３は、ＣＰＵ３０１からもセキュアマイコン３２１からもアクセス可能な構成になっている。不揮発メモリ３０３にＣＰＵ３０１とセキュアマイコン３２１の両方からアクセスするための接続バス構成に関しては後述する。
The controller 11 is electrically connected to the scanner 13 and the printer 14, and is connected to the PCs 40 and 50, external devices and the like via the LAN 60 and the like. This enables input/output of image data and device information. A non-volatile memory 303 for the CPU is a non-volatile memory for the CPU 301 that stores firmware, control programs, and the like executed by the CPU 301 . The CPU 301 comprehensively controls access to various connected devices based on firmware, control programs, and the like stored in the nonvolatile memory 303 , and also comprehensively controls various processes performed by the controller 11 . A RAM 302 is a system work memory for the operation of the CPU 301 and a memory for temporarily storing image data. This RAM 302 is a RAM for the CPU 301, which is composed of SRAM and DRAM, for example. The non-volatile memory 303 also stores firmware and control programs for activating the CPU 301 . The non-volatile memory 303 is configured to be accessible from both the CPU 301 and the secure microcomputer 321 . A connection bus configuration for accessing the nonvolatile memory 303 from both the CPU 301 and the secure microcomputer 321 will be described later.
ＨＤＤ３０４はハードディスクドライブであり、システムソフトウェアや画像データ等を格納することが可能となっている。操作部Ｉ／Ｆ３０５は、システムバス３０７と操作部１２とを接続するためのインターフェースである。この操作部Ｉ／Ｆ３０５は、操作部１２に表示するための画像データをシステムバス３０７から受取って操作部１２に出力すると共に、操作部１２から入力された情報をシステムバス３０７へ出力する。ＬＡＮコントローラ３０６は、ＬＡＮ６０及びシステムバス３０７に接続して情報の入出力を行うことにより、画像形成装置１０とネットワークとの通信を制御する。ＬＡＮコントローラ３０６には、ＬＡＮコントローラ用の不揮発メモリ３１５が接続されており、ＬＡＮコントローラ３０６は、この不揮発メモリ３１５に格納されているプログラムに従って動作する。この不揮発メモリ３１５には、ＬＡＮコントローラ３０６を起動させるためのファームウェアや制御プログラムが格納されている。実施形態１では、不揮発メモリ３１５は、ＬＡＮコントローラ３０６とのみ接続されていて、セキュアマイコン３２１には接続されておらず、セキュアマイコン３２１からはアクセスできない構成で説明する。
The HDD 304 is a hard disk drive and can store system software, image data, and the like. An operation unit I/F 305 is an interface for connecting the system bus 307 and the operation unit 12 . The operation unit I/F 305 receives image data to be displayed on the operation unit 12 from the system bus 307 and outputs the image data to the operation unit 12 , and outputs information input from the operation unit 12 to the system bus 307 . The LAN controller 306 controls communication between the image forming apparatus 10 and the network by connecting to the LAN 60 and the system bus 307 and inputting/outputting information. A LAN controller nonvolatile memory 315 is connected to the LAN controller 306 , and the LAN controller 306 operates according to a program stored in this nonvolatile memory 315 . Firmware and control programs for starting the LAN controller 306 are stored in the nonvolatile memory 315 . In the first embodiment, the non-volatile memory 315 is connected only to the LAN controller 306 and is not connected to the secure microcomputer 321 and cannot be accessed from the secure microcomputer 321 .
画像バス３０８は、画像データをやり取りするための伝送路であり、ＰＣＩバス又はＩＥＥＥ１３９４で構成されている。画像処理部３０９は画像処理を実行する。画像処理部３０９は、ＲＡＭ３０２に記憶された画像データを読み出し、ＪＰＥＧ、ＪＢＩＧなどの拡大又は縮小、及び、色調整などの画像処理を行うことが可能である。ここで画像処理されたデータはＲＡＭ３０２やＨＤＤ３０４に格納される。
An image bus 308 is a transmission line for exchanging image data, and is configured by a PCI bus or IEEE1394. An image processing unit 309 executes image processing. An image processing unit 309 can read image data stored in the RAM 302 and perform image processing such as enlargement or reduction such as JPEG or JBIG, and color adjustment. The image-processed data is stored in the RAM 302 or HDD 304 .
スキャナ画像処理部３１０は、スキャナ１３からスキャナＩ／Ｆ３１１を介して受取った画像データに対して、補正、加工及び編集等を行う。尚、スキャナ画像処理部３１０は、受取った画像データがカラー原稿の画像データか白黒原稿の画像データか、また文字原稿の画像データか写真原稿の画像データか等を判定する。そして、その判定結果を画像データに付随させる。この付随する情報を属性データと称する。プリンタ画像処理部３１２は、画像データに付随されている属性データを参照しながら画像データに画像処理を施す。画像処理後の画像データは、プリンタＩ／Ｆ３１３を介してプリンタ１４に出力される。
A scanner image processing unit 310 corrects, processes, and edits image data received from the scanner 13 via the scanner I/F 311 . The scanner image processing unit 310 determines whether the received image data is color original image data or monochrome original image data, or whether it is character original image data or photographic original image data. Then, the determination result is attached to the image data. This accompanying information is called attribute data. The printer image processing unit 312 applies image processing to the image data while referring to attribute data attached to the image data. Image data after image processing is output to the printer 14 via the printer I/F 313 .
電源制御部３１４は、起動時や電源オフ時の電源制御や、省電力状態への移行及び復帰といった画像形成装置１０の電源状態の変更を制御する。電源制御部３１４は、省電力状態から復帰する場合の復帰要因（例えばＦＡＸ受信やスイッチ押下等）を検知する部分でもあり、各復帰要因に応じてスタンバイ状態へ移行した際の電源制御も実施する。
The power control unit 314 controls power supply control at startup and power-off, and changes in the power state of the image forming apparatus 10 such as shifting to and returning from the power saving state. The power control unit 314 is also a part that detects return factors (for example, fax reception, switch presses, etc.) when returning from the power saving state, and also performs power control when transitioning to the standby state according to each return factor. .
セキュアマイコン３２１は、トラステッドブート（trusted boot）の基点となるハードウェアデバイスである。トラステッドブートは、コンピュータの起動時の安全性を確保するため、デジタル署名で起動するソフトウェアを検証する機能を指す。セキュアマイコン３２１は、デバイス内部に鍵となるヒューズを備えており、その鍵を使用して、セキュアマイコン用のＲＯＭ（リードオンリーメモリ）３２２のセキュアマイコン用のファームウェアの正当性を検証した上で起動する。セキュアマイコン３２１では、前述の不揮発メモリ３０３、スキャナＣＰＵ用の不揮発メモリ３３２、プリンタＣＰＵ用の不揮発メモリ３４２に格納されているプログラムが改竄されていないかどうかの検証も行う。そして、これら検証により問題ないと判断した場合にのみ、各不揮発性メモリを使用して動作するＣＰＵ３０１、スキャナＣＰＵ３３１、プリンタＣＰＵ３４１のリセットを解除する。更にセキュアマイコン３２１は、前述の各不揮発メモリに格納されているプログラムが改竄されていると判定した場合は、後述するセキュアマイコン用のＲＯＭ３２２に記憶されているプログラムを読み出し、改竄された不揮発メモリのデータを書き換える。実施形態１では、セキュアマイコン３２１がサイバー攻撃をうけないようにするために、ＣＰＵ３０１とは接続せずに、ＣＰＵ３０１からセキュアマイコン３２１に対してアクセスできない構成になっている。
The secure microcomputer 321 is a hardware device that serves as a base point for trusted boot. Trusted boot refers to the ability to verify software that runs with a digital signature to ensure security when the computer boots. The secure microcomputer 321 has a key fuse inside the device, and uses the key to verify the validity of the firmware for the secure microcomputer in the ROM (read only memory) 322 for the secure microcomputer before starting. do. The secure microcomputer 321 also verifies whether or not the programs stored in the nonvolatile memory 303, the nonvolatile memory 332 for the scanner CPU, and the nonvolatile memory 342 for the printer CPU have been tampered with. Then, only when it is determined that there is no problem by these verifications, resetting of the CPU 301, the scanner CPU 331, and the printer CPU 341 that operate using each nonvolatile memory is released. Furthermore, when the secure microcomputer 321 determines that the program stored in each nonvolatile memory described above has been tampered with, it reads the program stored in the ROM 322 for the secure microcomputer described later, and rewrite the data. In the first embodiment, the secure microcomputer 321 is not connected to the CPU 301 so that the secure microcomputer 321 cannot be accessed from the CPU 301 in order to prevent the secure microcomputer 321 from being subjected to a cyber attack.
セキュアマイコン用のＲＯＭ３２２には、セキュアマイコン３２１を起動させるためのファームウェアが格納されている。またこのＲＯＭ３２２は、ＣＰＵ３０１を起動させるためのファームウェア、スキャナＣＰＵ３３１で動作するファームウェア、プリンタＣＰＵ３４１で動作するファームウェアが改竄されると、それを復旧するために使用するリカバリ―用のファームウェアを格納している。このＲＯＭ３２２に、それぞれのファームウェアがメモリマップされているイメージは図４の通りである。このＲＯＭ３２２は、セキュアマイコン３２１からのみアクセス可能な構成になっている。
Firmware for starting the secure microcomputer 321 is stored in the ROM 322 for the secure microcomputer. The ROM 322 also stores firmware for activating the CPU 301, firmware operating in the scanner CPU 331, and firmware for recovery used to restore the firmware if the firmware operating in the printer CPU 341 is tampered with. . FIG. 4 shows an image in which each firmware is memory-mapped in the ROM 322 . This ROM 322 is configured to be accessible only from the secure microcomputer 321 .
スキャナＣＰＵ３３１は、スキャナ用の不揮発メモリ３３２に格納された制御プログラムを実行することでスキャナ１３の動作を制御したり、スキャナ画像処理部３１０との通信を行ったりする。この不揮発メモリ３３２には、スキャナＣＰＵ３３１で動作するプログラムが格納されており、スキャナＣＰＵ３３１とセキュアマイコン３２２の双方がアクセス可能に構成されている。スキャナＣＰＵ３３１とセキュアマイコン３２２の両方からアクセスするための接続バスの構成に関しては後述する。スキャナ用のＲＡＭ３３３は、スキャナＣＰＵ３３１がプログラム実行する際のシステムワークメモリとして用いられる。またこのＲＡＭ３３３には、スキャナ１３にある不図示のＣＣＤやＣＩＳにより読み取られた画像を表す画像データが蓄積される。
The scanner CPU 331 controls the operation of the scanner 13 and communicates with the scanner image processing unit 310 by executing a control program stored in the non-volatile memory 332 for the scanner. The nonvolatile memory 332 stores a program that operates on the scanner CPU 331 and is configured to be accessible by both the scanner CPU 331 and the secure microcomputer 322 . The configuration of the connection bus for accessing from both the scanner CPU 331 and the secure microcomputer 322 will be described later. A scanner RAM 333 is used as a system work memory when the scanner CPU 331 executes a program. The RAM 333 also stores image data representing images read by a CCD or CIS (not shown) in the scanner 13 .
プリンタＣＰＵ３４１は、プリンタ用の不揮発メモリ３４２に格納された制御プログラムを実行することでプリンタ１４の動作を制御したり、プリンタ画像処理部３１２との通信を行ったりする。この不揮発メモリ３４２には、プリンタＣＰＵ３４１で動作するプログラムが格納されており、プリンタＣＰＵ３４１とセキュアマイコン３２２の双方かアクセス可能なように構成されている。プリンタＣＰＵ３４１とセキュアマイコン３２２の両方からアクセスするための接続バス構成に関しては後述する。プリンタ用のＲＡＭ３４３は、プリンタＣＰＵ３４１がプログラムを実行する際のシステムワークメモリとして用いられる。
The printer CPU 341 controls the operation of the printer 14 and communicates with the printer image processing unit 312 by executing a control program stored in a printer non-volatile memory 342 . The non-volatile memory 342 stores a program that operates on the printer CPU 341 and is configured to be accessible from both the printer CPU 341 and the secure microcomputer 322 . A connection bus configuration for accessing from both the printer CPU 341 and the secure microcomputer 322 will be described later. A printer RAM 343 is used as a system work memory when the printer CPU 341 executes a program.
図４は、前述のセキュアマイコン用のＲＯＭ３２２，不揮発メモリ３０３，３３２，３４２にファームウェアがメモリマップされているイメージ図である。
FIG. 4 is an image diagram showing firmware mapped in the ROM 322 and the nonvolatile memories 303, 332, and 342 for the secure microcomputer described above.
図４（Ａ）は、セキュアマイコン用のＲＯＭ３２２のメモリマップを示す図である。このＲＯＭ３２２には、セキュアマイコン３２１用のファームウェア４０１、ＣＰＵ３０１用のファームウェア４０２、スキャナＣＰＵ３３１用のファームウェア４０３及びプリンタＣＰＵ３４１用のファームウェア４０４が格納されている。尚、これらＣＰＵ３０１用のファームウェア４０２、スキャナＣＰＵ３３１用のファームウェア４０３及びプリンタＣＰＵ３４１用のファームウェア４０４は、リカバリー時に使用するためのファームウェアである。
FIG. 4A is a diagram showing a memory map of the ROM 322 for the secure microcomputer. The ROM 322 stores firmware 401 for the secure microcomputer 321 , firmware 402 for the CPU 301 , firmware 403 for the scanner CPU 331 , and firmware 404 for the printer CPU 341 . Note that the firmware 402 for the CPU 301, the firmware 403 for the scanner CPU 331, and the firmware 404 for the printer CPU 341 are firmware for use during recovery.
図４（Ｂ）は、ＣＰＵ３０１用の不揮発メモリ３０３のメモリマップを示す図である。この不揮発メモリ３０３には、ＣＰＵ３０１用のファームウェア４１１が格納されている。
FIG. 4B is a diagram showing a memory map of the nonvolatile memory 303 for the CPU 301. As shown in FIG. Firmware 411 for the CPU 301 is stored in the nonvolatile memory 303 .
図４（Ｃ）は、スキャナＣＰＵ３１１用の不揮発メモリ３３２のメモリマップを示す図である。この不揮発メモリ３３２には、スキャナＣＰＵ３３１用のファームウェア４２１が格納されている。
FIG. 4C is a diagram showing a memory map of the nonvolatile memory 332 for the scanner CPU 311. As shown in FIG. Firmware 421 for the scanner CPU 331 is stored in the nonvolatile memory 332 .
図４（Ｄ）は、プリンタＣＰＵ３４１用の不揮発メモリ３４２のメモリマップを示す図である。この不揮発メモリ３４２には、プリンタＣＰＵ３４１用のファームウェア４３１が格納されている。
FIG. 4D shows a memory map of the non-volatile memory 342 for the printer CPU 341. As shown in FIG. Firmware 431 for the printer CPU 341 is stored in the nonvolatile memory 342 .
図５は、実施形態１に係るＣＰＵ３０１、スキャナＣＰＵ３２１、プリンタＣＰＵ３４１及びセキュアマイコン３２１とＲＯＭ３２２及び各不揮発メモリとを接続するバス構成を説明する図である。尚、ここでは、ＳＰＩバスを例にして説明をするが、本発明はＳＰＩバスに限定されるものではない。
FIG. 5 is a diagram illustrating a bus configuration for connecting the CPU 301, scanner CPU 321, printer CPU 341, secure microcomputer 321, ROM 322, and non-volatile memories according to the first embodiment. Although the SPI bus will be described as an example here, the present invention is not limited to the SPI bus.
バス５０１は、セキュアマイコン３２１とＲＯＭ３２２とを接続するためのＳＰＩバスである。バス５０１は、チップセレクト信号（ＣＳ＃）、クロック信号（ＣＬＫ）、データバス信号（ＩＯ）を備えており、セキュアマイコン３２１が動作するためのファームウェアの読み出すのに使用される。図４に示すように、このＲＯＭ３２２は、各ＣＰＵ上で動作するファームウェアが改竄された場合に、改竄されていない状態にリカバリするためのファームウェアを格納している。そのため、セキュアマイコン３２１は、各ＣＰＵに対応する不揮発メモリに記憶されているファームウェアが改竄されていることを検知すると、バス５０１を介して、ＲＯＭ３２２からリカバリ用のファームウェアの読み出しを行う。
A bus 501 is an SPI bus for connecting the secure microcomputer 321 and the ROM 322 . A bus 501 has a chip select signal (CS#), a clock signal (CLK), and a data bus signal (IO), and is used to read firmware for operating the secure microcomputer 321 . As shown in FIG. 4, the ROM 322 stores firmware for recovering to an unaltered state when the firmware operating on each CPU is tampered with. Therefore, when the secure microcomputer 321 detects that the firmware stored in the non-volatile memory corresponding to each CPU has been tampered with, it reads recovery firmware from the ROM 322 via the bus 501 .
バス５０２は、セキュアマイコン３２１と不揮発メモリ３０３とを接続し、またＣＰＵ３０１と不揮発メモリ３０３とを接続するためのＳＰＩバスである。バス５０２は、チップセレクト信号（ＣＳ＃）、クロック信号（ＣＬＫ）、データバス信号（ＩＯ）を備えている。セキュアマイコン３２１は、不揮発メモリ３０３に格納されているＣＰＵ３０１用のファームウェアが改竄されていないことを検証するために、バス５０１を介して、そのファームウェアを読み出す。またバス５０２は、ＣＰＵ３０１が不揮発メモリ３０３に格納されているファームウェアの読み出しを行うのにも使用される。ＣＰＵ３０１は、不揮発メモリ３０３に格納されているファームウェアで起動処理を実施するために読み出しを行う。バス５０２は、セキュアマイコン３２１とＣＰＵ３０１の両方から不揮発メモリ３０３に対してアクセスできる構成になっているが、実際のアクセスが同時に発生することはない。即ち、セキュアマイコン３２１が不揮発メモリ３０３にアクセスしている際は、ＣＰＵ３０１はリセット状態で不揮発メモリ３０３にアクセスすることはない。そしてＣＰＵ３０１のリセットが解除された後は、セキュアマイコン３２１が不揮発メモリ３０３にアクセスしないようにしている。更にバス５０２は、各信号が分岐されている構成であるため、セキュアマイコン３２１とＣＰＵ３０１から出力される信号がぶつかってしまうことが考えられる。しなしながら、アクセスしないときは、各信号出力をハイインピーダンスにするように制御することで、信号がぶつかることはない。また信号出力をハイインピーダンスにできない場合は、セレクタ回路を追加することで、セキュアマイコン３２１とＣＰＵ３０１からのアクセスを切り替えるようにしても良い。
A bus 502 is an SPI bus for connecting the secure microcomputer 321 and the nonvolatile memory 303 and connecting the CPU 301 and the nonvolatile memory 303 . Bus 502 includes a chip select signal (CS#), a clock signal (CLK), and a data bus signal (IO). The secure microcomputer 321 reads the firmware for the CPU 301 stored in the nonvolatile memory 303 via the bus 501 in order to verify that it has not been tampered with. Bus 502 is also used by CPU 301 to read firmware stored in non-volatile memory 303 . The CPU 301 reads the firmware stored in the non-volatile memory 303 in order to perform boot processing. The bus 502 is configured so that both the secure microcomputer 321 and the CPU 301 can access the nonvolatile memory 303, but actual accesses do not occur simultaneously. That is, when the secure microcomputer 321 accesses the nonvolatile memory 303, the CPU 301 does not access the nonvolatile memory 303 in the reset state. After the reset of the CPU 301 is released, the secure microcomputer 321 is prevented from accessing the nonvolatile memory 303 . Furthermore, since the bus 502 has a configuration in which each signal is branched, it is conceivable that the signals output from the secure microcomputer 321 and the CPU 301 will collide. However, when there is no access, the signals do not collide by controlling each signal output to be in high impedance. If the signal output cannot be set to high impedance, access from the secure microcomputer 321 and the access from the CPU 301 may be switched by adding a selector circuit.
バス５０３は、セキュアマイコン３２１とスキャナ用の不揮発メモリ３３２とを接続し、またスキャナＣＰＵ３３１とスキャナ用の不揮発メモリ３３２とを接続するためのＳＰＩバスである。バス５０３は、チップセレクト信号（ＣＳ＃）、クロック信号（ＣＬＫ）、データバス信号（ＩＯ）を備えている。セキュアマイコン３２１は、不揮発メモリ３３２に格納されているスキャナ用のファームウェアが改竄されていないことを検証するためにファームウェアの読み出しを行う。またバス５０３は、スキャナＣＰＵ３３１が不揮発メモリ３３２に格納されているスキャナ用のファームウェアの読み出しを行うのに使用される。スキャナＣＰＵ３３１は、不揮発メモリ３３２に格納されているファームウェアを読み出して実行することでスキャナ１３を制御する。バス５０３は、セキュアマイコン３２１とスキャナＣＰＵ３３１の両方から不揮発メモリ３３２に対してアクセスできる構成になっているが、実際のアクセスが同時に発生することはない。即ち、セキュアマイコン３２１が不揮発メモリ３３２にアクセスしている際には、スキャナＣＰＵ３３１はリセット状態でアクセスすることはない。またスキャナＣＰＵ３３１がリセット解除された後は、セキュアマイコン３２１は不揮発メモリ３３２にアクセスしないようにしている。更にバス５０３は、各信号が分岐されている構成になっていてセキュアマイコン３２１とスキャナＣＰＵ３３１から出力される信号がぶつかってしまうことが考えられる。しかし、アクセスしない際に、各信号出力をハイインピーダンスにするように制御することで、信号がぶつかることはなくなる。また信号出力をハイインピーダンスにできない場合には、セレクタ回路を追加することで、セキュアマイコン３２１とスキャナＣＰＵ３３１からのアクセスを切り替えるようにしても良い。
A bus 503 is an SPI bus for connecting the secure microcomputer 321 and the nonvolatile memory 332 for the scanner, and for connecting the scanner CPU 331 and the nonvolatile memory 332 for the scanner. Bus 503 includes a chip select signal (CS#), a clock signal (CLK), and a data bus signal (IO). The secure microcomputer 321 reads the firmware to verify that the scanner firmware stored in the nonvolatile memory 332 has not been tampered with. The bus 503 is also used by the scanner CPU 331 to read scanner firmware stored in the nonvolatile memory 332 . The scanner CPU 331 controls the scanner 13 by reading and executing firmware stored in the nonvolatile memory 332 . The bus 503 is configured so that both the secure microcomputer 321 and the scanner CPU 331 can access the nonvolatile memory 332, but actual accesses do not occur simultaneously. That is, when the secure microcomputer 321 accesses the nonvolatile memory 332, the scanner CPU 331 does not access in the reset state. The secure microcomputer 321 does not access the non-volatile memory 332 after the reset of the scanner CPU 331 is released. Furthermore, the bus 503 is configured such that each signal is branched, and it is conceivable that the signals output from the secure microcomputer 321 and the scanner CPU 331 collide. However, by controlling each signal output to be in high impedance when not accessing, the signals do not collide. If the signal output cannot be set to high impedance, a selector circuit may be added to switch accesses from the secure microcomputer 321 and the scanner CPU 331 .
バス５０４は、セキュアマイコン３２１とプリンタ用の不揮発メモリ３４２とを接続し、またプリンタＣＰＵ３４１とプリンタ用の不揮発メモリ３４２とを接続するためのＳＰＩバスである。バス５０４は、チップセレクト信号（ＣＳ＃）、クロック信号（ＣＬＫ）、データバス信号（ＩＯ）を備えている。セキュアマイコン３２１は、不揮発メモリ３４２に格納されているプリンタＣＰＵ３４１用のファームウェアが改竄されていないことを検証するためにファームウェアの読み出しを行う。またバス５０４は、プリンタＣＰＵ３４１が不揮発メモリ３４２に格納されているプリンタＣＰＵ３４１用のファームウェアの読み出しを行うのに使用される。プリンタＣＰＵ３４１は、不揮発メモリ３４２に格納されているファームウェアを読み出して実行することで、プリンタ１４を制御する。バス５０４は、セキュアマイコン３２１とプリンタＣＰＵ３４１の両方から不揮発メモリ３４２に対してアクセスできる構成になっているが、実際のアクセスが同時に発生することはない。即ち、セキュアマイコン３２１がアクセスしている際には、プリンタＣＰＵ３４１はリセット状態で不揮発メモリ３４２にアクセスすることはない。またプリンタＣＰＵ３４１がリセット解除された後は、セキュアマイコン３２１が不揮発メモリ３４２にアクセスしないようにしている。更にバス５０４は、各信号が分岐されている構成になっていて、セキュアマイコン３２１とプリンタＣＰＵ３４１から出力される信号がぶつかってしまうことが考えられる。しかし、アクセスしない際に、各信号出力をハイインピーダンスにすることで、信号がぶつかることはなくなる。また信号出力をハイインピーダンスにできない場合には、セレクタ回路を追加することで、セキュアマイコン３２１とプリンタＣＰＵ３４１からのアクセスを切り替えるようにしても良い。
A bus 504 is an SPI bus for connecting the secure microcomputer 321 and the nonvolatile memory 342 for the printer, and for connecting the printer CPU 341 and the nonvolatile memory 342 for the printer. Bus 504 includes a chip select signal (CS#), a clock signal (CLK), and a data bus signal (IO). The secure microcomputer 321 reads the firmware to verify that the firmware for the printer CPU 341 stored in the nonvolatile memory 342 has not been tampered with. The bus 504 is also used by the printer CPU 341 to read firmware for the printer CPU 341 stored in the non-volatile memory 342 . The printer CPU 341 controls the printer 14 by reading and executing firmware stored in the nonvolatile memory 342 . The bus 504 is configured so that both the secure microcomputer 321 and the printer CPU 341 can access the nonvolatile memory 342, but actual access does not occur simultaneously. That is, when the secure microcomputer 321 is accessing, the printer CPU 341 does not access the nonvolatile memory 342 in the reset state. Also, after the reset of the printer CPU 341 is released, the secure microcomputer 321 is prevented from accessing the nonvolatile memory 342 . Furthermore, the bus 504 has a configuration in which each signal is branched, and it is conceivable that the signals output from the secure microcomputer 321 and the printer CPU 341 collide. However, by setting each signal output to high impedance when not accessing, the signals do not collide. If the signal output cannot be set to high impedance, access from the secure microcomputer 321 and printer CPU 341 may be switched by adding a selector circuit.
セキュアマイコン３２１は、リセット信号５１２を用いてＣＰＵ３０１のリセットを制御する。ＣＰＵ３０１をリセット状態にするときはリセット信号５１２をロウレベルに、リセット解除状態（動作状態）にするときはハイレベルになるように制御する。この画像形成装置１０の電源投入時には、セキュアマイコン３２１は、リセット信号５１２でＣＰＵ３０１をリセット状態にしておく。その後、セキュアマイコン３２１が不揮発メモリ３０３に格納されているＣＰＵ３０１用のファームウェアの改竄検証を実施して、検証結果が問題ない場合にリセット信号５１２をハイレベルにしてＣＰＵ３０１のリセットを解除状態にする。一方、セキュアマイコン３２１が不揮発メモリ３０３に格納されているファームウェアに改竄があったと判定しても、不揮発メモリ３０３に格納されているファームウェアを正常な状態にリカバリした場合は、リセット信号５１２をハイレベルにしてＣＰＵ３０１のリセットを解除する。このようにリセット信号５１２を使用してＣＰＵ３０１のリセット制御を実施することにより、ＣＰＵ３０１が不揮発メモリ３０３から読み出すＣＰＵ３０１用のファームウェアが、常に正しいものであるようにすることができる。
The secure microcomputer 321 controls resetting of the CPU 301 using the reset signal 512 . The reset signal 512 is controlled to be at low level when the CPU 301 is put into the reset state, and at high level when it is put into the reset release state (operating state). When the image forming apparatus 10 is powered on, the secure microcomputer 321 resets the CPU 301 with the reset signal 512 . After that, the secure microcomputer 321 verifies falsification of the firmware for the CPU 301 stored in the nonvolatile memory 303, and if the verification result is satisfactory, the reset signal 512 is set to high level to release the reset of the CPU 301. On the other hand, even if the secure microcomputer 321 determines that the firmware stored in the nonvolatile memory 303 has been tampered with, if the firmware stored in the nonvolatile memory 303 is recovered to a normal state, the reset signal 512 is raised to a high level. to release the reset of the CPU 301. By resetting the CPU 301 using the reset signal 512 in this manner, the firmware for the CPU 301 read from the nonvolatile memory 303 by the CPU 301 can always be correct.
またセキュアマイコン３２１は、リセット信号５１３を用いてスキャナＣＰＵ３３１のリセット制御を行う。スキャナＣＰＵ３３１をリセット状態にするときにはリセット信号５１３をロウレベルに、リセット解除状態（動作状態）にするときはハイレベルになるように制御する。画像形成装置１０の電源投入時には、セキュアマイコン３２１はリセット信号５１３をロウレベルにしてスキャナＣＰＵ３３１をリセット状態にしておく。その後に、セキュアマイコン３２１が不揮発メモリ３３２に格納されているスキャナＣＰＵ用のファームウェアの改竄検証を実施して、検証結果が問題ない場合は、リセット信号５１３をハイレベルにしてスキャナＣＰＵ３３１をリセット解除状態にする。またセキュアマイコン３２１が不揮発メモリ３３２に格納されているファームウェアに改竄があったと判定しても、不揮発メモリ３３２に格納されているファームウェアを正常な状態にリカバリした場合は、リセット信号５１３をハイレベルにしてスキャナＣＰＵ３３１をリセット解除状態にする。このようにセキュアマイコン３２１が、リセット信号５１３を使用してスキャナＣＰＵ３３１のリセット制御を実施することで、スキャナＣＰＵ３３１が不揮発メモリ３３２から読み出すスキャナＣＰＵ用のファームウェアが、常に正しいものであるようにすることができる。
Also, the secure microcomputer 321 performs reset control of the scanner CPU 331 using the reset signal 513 . The reset signal 513 is controlled to be at a low level when the scanner CPU 331 is reset, and at a high level when the reset is canceled (operating state). When the power of the image forming apparatus 10 is turned on, the secure microcomputer 321 sets the reset signal 513 to low level to keep the scanner CPU 331 in a reset state. After that, the secure microcomputer 321 verifies falsification of the firmware for the scanner CPU stored in the nonvolatile memory 332. If the verification result indicates no problem, the reset signal 513 is set to a high level to put the scanner CPU 331 into a reset release state. to Even if the secure microcomputer 321 determines that the firmware stored in the nonvolatile memory 332 has been tampered with, if the firmware stored in the nonvolatile memory 332 is recovered to a normal state, the reset signal 513 is set to high level. to bring the scanner CPU 331 into the reset release state. In this way, the secure microcomputer 321 performs reset control of the scanner CPU 331 using the reset signal 513 so that the scanner CPU firmware read by the scanner CPU 331 from the nonvolatile memory 332 is always correct. can be done.
またセキュアマイコン３２１は、リセット信号５１４を用いてプリンタＣＰＵ３４１のリセット制御を行う。プリンタＣＰＵ３４１をリセット状態にするときにはリセット信号５１４をロウレベルに、リセット解除状態（動作状態）にするときはリセット信号５１４をハイレベルにする。画像形成装置１０の電源投入時に、セキュアマイコン３２１は、リセット信号５１４をロウレベルにしてプリンタＣＰＵ３４１をリセット状態にしておく。その後に、セキュアマイコン３２１が不揮発メモリ３４２に格納されているプリンタＣＰＵ用のファームウェアの改竄検証を実施して、検証結果が問題ない場合は、リセット信号５１４をハイレベルにしてプリンタＣＰＵ３４１をリセット解除状態にする。またセキュアマイコン３２１が不揮発メモリ３４２に格納されているファームウェアに改竄があったと判定しても、不揮発メモリ３４２に格納されているファームウェアを正常な状態にリカバリした場合は、リセット信号５１４をハイレベルにしてプリンタＣＰＵ３４１をリセット解除状態にする。このようにリセット信号５１４を使用してプリンタＣＰＵ３４１のリセット制御を実施することで、プリンタＣＰＵ３４１が不揮発メモリ３４２から読み出すプリンタＣＰＵ用のファームウェアが、常に正しいものであるようにすることができる。 またセキュアマイコン３２１は、アラート信号５１５を用いてＣＰＵ３０１に対して、ＣＰＵ３０１用の不揮発メモリ３０３に格納されているファームウェア４１１の改竄があったことを通知する。アラート信号５１５は、セキュアマイコン３２１が不揮発メモリ３０３に格納されているファームウェア４１１のリカバリを行ってＣＰＵ３０１が正常に起動できるようになった場合に、ファームウェア４１１が改竄されていたことをＣＰＵ３０１に通知するための信号である。この通知を受けたＣＰＵ３０１は、正常に起動された後に、アラート信号５１５を確認して、ＣＰＵ３０１用のファームウェア４１１の改竄が発生していたことを監査ログに残す。またアラート信号５１５は、通常は、セキュアマイコン３２１がロウレベルで出力しており、不揮発メモリ３０３に格納されているファームウェア４１１が改竄されていると判定した場合に、セキュアマイコン３２１がアラート信号５１５をハイレベルで出力する。
The secure microcomputer 321 also uses the reset signal 514 to reset the printer CPU 341 . When resetting the printer CPU 341, the reset signal 514 is set to low level, and when resetting the printer CPU 341, the reset signal 514 is set to high level. When the power of the image forming apparatus 10 is turned on, the secure microcomputer 321 sets the reset signal 514 to low level to keep the printer CPU 341 in a reset state. After that, the secure microcomputer 321 verifies falsification of the firmware for the printer CPU stored in the nonvolatile memory 342, and if there is no problem in the verification result, the reset signal 514 is set to high level to put the printer CPU 341 into the reset release state. to Even if the secure microcomputer 321 determines that the firmware stored in the nonvolatile memory 342 has been tampered with, if the firmware stored in the nonvolatile memory 342 is recovered to a normal state, the reset signal 514 is set to high level. to bring the printer CPU 341 into the reset release state. By executing the reset control of the printer CPU 341 using the reset signal 514 in this way, the firmware for the printer CPU read out from the nonvolatile memory 342 by the printer CPU 341 can always be correct. In addition, the secure microcomputer 321 uses an alert signal 515 to notify the CPU 301 that the firmware 411 stored in the nonvolatile memory 303 for the CPU 301 has been tampered with. The alert signal 515 notifies the CPU 301 that the firmware 411 has been tampered with when the secure microcomputer 321 recovers the firmware 411 stored in the nonvolatile memory 303 and the CPU 301 can be started normally. It is a signal for After receiving this notification, the CPU 301 confirms the alert signal 515 after being normally started, and records in the audit log that the firmware 411 for the CPU 301 has been tampered with. The alert signal 515 is normally output at a low level by the secure microcomputer 321, and when it is determined that the firmware 411 stored in the nonvolatile memory 303 has been tampered with, the secure microcomputer 321 raises the alert signal 515 to a high level. output in levels.
またセキュアマイコン３２１は、アラート信号５１６を用いてＣＰＵ３０１に対して、スキャナ用の不揮発メモリ３３２に格納されているファームウェアの改竄があったことを通知する。アラート信号５１６は、セキュアマイコン３２１が不揮発メモリ３３２に格納されているファームウェアのリカバリを行ってスキャナＣＰＵ３３１が正常に起動するようになった場合に、スキャナ用のファームウェア４２１が改竄されていたことをＣＰＵ３０１に通知するための信号である。この通知を受けたＣＰＵ３０１は、正常に起動された後に、アラート信号５１６を確認して、スキャナ用不揮発メモリ３３２のファームウェア４２１が改竄されていたことを監査ログに残す。またセキュアマイコン３２１は、通常は、アラート信号５１６をロウレベルで出力しており、スキャナ用の不揮発メモリ３３２に格納されているファームウェア４２１が改竄されていると判定した場合は、アラート信号５１６をハイレベルで出力する。
The secure microcomputer 321 also uses an alert signal 516 to notify the CPU 301 that the firmware stored in the scanner non-volatile memory 332 has been tampered with. When the secure microcomputer 321 recovers the firmware stored in the nonvolatile memory 332 and the scanner CPU 331 starts up normally, the alert signal 516 notifies the CPU 301 that the scanner firmware 421 has been tampered with. is a signal to notify After receiving this notification, the CPU 301 confirms the alert signal 516 after being normally started, and records in the audit log that the firmware 421 of the scanner non-volatile memory 332 has been tampered with. The secure microcomputer 321 normally outputs the alert signal 516 at low level, and when it determines that the firmware 421 stored in the non-volatile memory 332 for the scanner has been tampered with, it outputs the alert signal 516 at high level. to output.
またセキュアマイコン３２１は、アラート信号５１７を用いてＣＰＵ３０１に対して、プリンタ用の不揮発メモリ３４２に格納されるファームウェア４３１が改竄されたことを通知する。このアラート信号５１７は、セキュアマイコン３２１が不揮発メモリ３４２に格納されているプリンタＣＰＵ用のファームウェア４３１のリカバリを行って、プリンタＣＰＵ３３１が正常に起動するようになった場合に、プリンタＣＰＵ用のファームウェア４３１が改竄されていたことをＣＰＵ３０１に通知するための信号である。この通知を受けたＣＰＵ３０１は、正常に起動された後に、アラート信号５１７を確認して、プリンタ用の不揮発メモリ３４２のファームウェア４３１に改竄が発生していたことを監査ログに残す。またセキュアマイコン３２１は、通常、アラート信号５１７をロウレベルで出力しており、不揮発メモリ３４２格納されているファームウェア４３１が改竄されていると判定した場合にはアラート信号５１７をハイレベルで出力する。
The secure microcomputer 321 also uses an alert signal 517 to notify the CPU 301 that the firmware 431 stored in the printer non-volatile memory 342 has been tampered with. This alert signal 517 is issued when the secure microcomputer 321 recovers the firmware 431 for the printer CPU stored in the non-volatile memory 342 and the printer CPU 331 starts normally. This is a signal for notifying the CPU 301 that the data has been tampered with. After receiving this notification, the CPU 301 confirms the alert signal 517 after normal startup, and records in the audit log that the firmware 431 of the non-volatile memory 342 for the printer has been tampered with. The secure microcomputer 321 normally outputs the alert signal 517 at low level, and outputs the alert signal 517 at high level when it determines that the firmware 431 stored in the nonvolatile memory 342 has been tampered with.
図６は、実施形態１に係るセキュアマイコン３２１の動作を説明するフローチャートである。尚、このフローチャートで示す処理は、セキュアマイコン３２１がＲＯＭ３２２に格納されているプログラムを実行することにより達成される。
FIG. 6 is a flowchart for explaining the operation of the secure microcomputer 321 according to the first embodiment. Note that the processing shown in this flowchart is achieved by the secure microcomputer 321 executing a program stored in the ROM 322 .
この処理は、セキュアマイコン３２１に電源が投入されていない状態で開始され、Ｓ６０１で電源が投入されるとＳ６０２に遷移する。Ｓ６０２でセキュアマイコン３２１は、起動処理を実行する。このときセキュアマイコン３２１は、セキュアマイコン用のＲＯＭ３２２からセキュアマイコン用のファームウェア４０１を読み出す。そしてセキュアマイコン３２１内部にあるヒューズ設定されている鍵情報を用いてファームウェア４０１の検証を行い、検証が問題なければファームウェア４０１での起動処理を行う。こうしてセキュアマイコン３２１が正常に起動するとＳ６０３に遷移する。
This process starts when the secure microcomputer 321 is not powered on, and transitions to S602 when the power is switched on in S601. In S602, the secure microcomputer 321 executes activation processing. At this time, the secure microcomputer 321 reads the firmware 401 for the secure microcomputer from the ROM 322 for the secure microcomputer. Then, the firmware 401 is verified using the fuse-set key information inside the secure microcomputer 321, and if there is no problem with the verification, the firmware 401 is activated. When the secure microcomputer 321 starts up normally in this way, the process transitions to S603.
以下、Ｓ６０３～Ｓ６０８でＣＰＵ３０１用のファームウェア４１１の検証とリカバリについて説明する。Ｓ６０３でセキュアマイコン３２１は、不揮発メモリ３０３に格納されているＣＰＵ３０１用のファームウェア４１１が改竄されているかどうかを検証するために不揮発メモリ３０３からＣＰＵ用ファームウェア４１１を読み出す。こうしてＣＰＵ用ファームウェア４１１の読み出しが完了するとＳ６０４に遷移する。Ｓ６０４でセキュアマイコン３２１は、読み出したＣＰＵ用ファームウェア４１１の改竄の有無を検証する。ここでセキュアマイコン３２１は、Ｓ６０３で読み出したＣＰＵ用ファームウェア４１１がサイバー攻撃等により書き換えられていないか（改竄されているかどうか）検証する。そしてセキュアマイコン３２１が、ファームウェア４１１が改竄されていないと判定するとＳ６０８に遷移し、ファームウェア４１１が改竄されていると判定するとＳ６０５に遷移する。
Verification and recovery of the firmware 411 for the CPU 301 in steps S603 to S608 will be described below. In S603, the secure microcomputer 321 reads out the CPU firmware 411 from the nonvolatile memory 303 in order to verify whether the firmware 411 for the CPU 301 stored in the nonvolatile memory 303 has been tampered with. When reading of the CPU firmware 411 is completed in this manner, the process transitions to S604. In S604, the secure microcomputer 321 verifies whether or not the read CPU firmware 411 has been tampered with. Here, the secure microcomputer 321 verifies whether the CPU firmware 411 read in S603 has been rewritten (falsified) due to a cyber attack or the like. If the secure microcomputer 321 determines that the firmware 411 has not been tampered with, the process transitions to S608, and if it determines that the firmware 411 has been tampered with, the process transitions to S605.
Ｓ６０５でセキュアマイコン３２１は、ＣＰＵ３０１に対してアラート信号５１５による通知を行う。即ち、セキュアマイコン３２１は、アラート信号５１５をロウレベルからハイレベルに変更して、ＣＰＵ３０１に対してＣＰＵ３０１用のファームウェア４１１が改竄されたことをアラートとして通知してＳ６０６に遷移する。Ｓ６０６でセキュアマイコン３２１は、不揮発メモリ３０３に格納しているＣＰＵ用ファームウェア４１１の復旧を行う。ここではセキュアマイコン３２１は、ＲＯＭ３２２に格納されているリカバリ時に使用するＣＰＵ用ファームウェア４０２を読み出し、その読み出したファームウェアを不揮発メモリ３０３のＣＰＵ用ファームウェア４１１の領域に書き込むことで復旧させる。こうして不揮発メモリ３０３へのファームウェアの書き込みが完了するとＳ６０７に遷移する。Ｓ６０７でセキュアマイコン３２１は、ＣＰＵ用ファームウェア４１１が正常に復旧されたかどうかを確認する。このときセキュアマイコン３２１は、ＲＯＭ３２２に格納されているリカバリ時に使用するＣＰＵ用ファームウェア４０２と、Ｓ６０６で不揮発メモリ３０３に格納したＣＰＵ用ファームウェア４１１とを比較する。そしてその比較結果に従って、正常に復旧できたかどうか判定する。ここでセキュアマイコン３２１が、ＣＰＵ用ファームウェア４１１を正常に復旧できたと判定するとＳ６０８に遷移し、正常に復旧できていないと判定すると、この処理を終了する。そしてＳ６０８でセキュアマイコン３２１は、ＣＰＵ３０１のリセットを解除する。即ち、セキュアマイコン３２１はリセット信号５１２をロウレベルからハイレベル変更することで、ＣＰＵ３０１のリセットを解除してＳ６０９に進む。
In S<b>605 , the secure microcomputer 321 notifies the CPU 301 with the alert signal 515 . That is, the secure microcomputer 321 changes the alert signal 515 from low level to high level, notifies the CPU 301 that the firmware 411 for the CPU 301 has been tampered with as an alert, and transitions to S606. In S<b>606 , the secure microcomputer 321 restores the CPU firmware 411 stored in the nonvolatile memory 303 . Here, the secure microcomputer 321 reads out the CPU firmware 402 to be used for recovery stored in the ROM 322 and writes the read firmware into the area of the CPU firmware 411 in the nonvolatile memory 303 for recovery. When the writing of the firmware to the nonvolatile memory 303 is completed in this manner, the process transitions to S607. In S607, the secure microcomputer 321 confirms whether the CPU firmware 411 has been successfully restored. At this time, the secure microcomputer 321 compares the CPU firmware 402 stored in the ROM 322 and used for recovery with the CPU firmware 411 stored in the nonvolatile memory 303 in S606. Then, according to the comparison result, it is determined whether or not the system has been successfully restored. Here, if the secure microcomputer 321 determines that the CPU firmware 411 has been successfully restored, the processing transitions to S608, and if it is determined that the restoration has not been performed normally, this processing ends. The secure microcomputer 321 releases the reset of the CPU 301 in S608. That is, the secure microcomputer 321 changes the reset signal 512 from low level to high level to release the reset of the CPU 301 and advances to S609.
次にＳ６０９～Ｓ６１４でスキャナＣＰＵ用のファームウェア４２１の検証とリカバリについて説明する。
Verification and recovery of the firmware 421 for the scanner CPU in steps S609 to S614 will now be described.
まずＳ６０９でセキュアマイコン３２１は、スキャナ用不揮発メモリ３３２に格納されているスキャナＣＰＵ３３１用のファームウェア４２１が改竄されているかどうか検証するために不揮発メモリ３３２からファームウェア４２１を読み出す。このファームウェア４２１の読み出しが完了するとＳ６１０に遷移する。Ｓ６１０でセキュアマイコン３２１は、読み出したファームウェア４２１の改竄の有無を検証する。即ち、セキュアマイコン３２１は、Ｓ６０９で読み出したファームウェア４２１がサイバー攻撃等により書き換えられていないか（改竄されているかどうか）を検証する。ここでセキュアマイコン３２１が、ファームウェア４２１が改竄されていないと判定するとＳ６１４に遷移し、ファームウェア４２１が改竄されていると判定するとＳ６１１に遷移する。
First, in S609, the secure microcomputer 321 reads the firmware 421 from the non-volatile memory 332 in order to verify whether the firmware 421 for the scanner CPU 331 stored in the non-volatile memory 332 for scanner has been tampered with. When reading of the firmware 421 is completed, the process transitions to S610. In S610, the secure microcomputer 321 verifies whether or not the read firmware 421 has been tampered with. That is, the secure microcomputer 321 verifies whether the firmware 421 read in S609 has been rewritten (falsified) by a cyber attack or the like. Here, if the secure microcomputer 321 determines that the firmware 421 has not been tampered with, the process transitions to S614, and if it determines that the firmware 421 has been tampered with, the process transitions to S611.
Ｓ６１１でセキュアマイコン３２１は、ＣＰＵ３０１に対してアラート信号５１６により通知する。このときセキュアマイコン３２１は、アラート信号５１６をロウレベルからハイレベルに変更することで、ＣＰＵ３０１に対してスキャナＣＰＵ用のファームウェア４２１が改竄されたことをアラートとして通知する。このアラートの通知を実施するとＳ６１２に遷移する。Ｓ６１２でセキュアマイコン３２１は、スキャナ用不揮発メモリ３３２に格納されているファームウェア４２１の復旧を行う。即ち、セキュアマイコン３２１は、ＲＯＭ３２２に格納されているリカバリ時に使用するスキャナＣＰＵ用のファームウェア４０３を読み出し、その読み出したファームウェアを不揮発メモリ３３２のファームウェア４２１の領域に書き込む。こうして不揮発メモリ３３２にファームウェアを書き込む処理が完了するとＳ６１３に遷移する。Ｓ６１３でセキュアマイコン３２１は、ファームウェア４２１が正常に復旧されたかどうか確認する。このときセキュアマイコン３２１は、ＲＯＭ３２２に格納されているリカバリ時に使用するスキャナＣＰＵ用ファームウェア４０３と、不揮発メモリ３３２に格納したファームウェア４２１とを比較する。そして、その比較結果に従って、ファームウェア４２１が正常に復旧できたかどうか判定する。ここでセキュアマイコン３２１が、ファームウェア４２１が正常に復旧できたと判定するとＳ６１４に遷移し、正常に復旧できていないと判定するとＳ６１５に遷移する。Ｓ６１４でセキュアマイコン３２１は、スキャナＣＰＵ３３１のリセットを解除する。即ち、セキュアマイコン３２１は、リセット信号５１３をロウレベルからハイレベルに変更して、スキャナＣＰＵ３３１のリセットを解除する。一方、スキャナＣＰＵ用のファームウェア４２１が正常に復旧できていないときは、スキャナＣＰＵ３３１のリセットを解除せずにＳ６１５に進む。
In S<b>611 , the secure microcomputer 321 notifies the CPU 301 with the alert signal 516 . At this time, the secure microcomputer 321 changes the alert signal 516 from low level to high level, thereby notifying the CPU 301 as an alert that the firmware 421 for the scanner CPU has been falsified. When notification of this alert is carried out, the process proceeds to S612. In S<b>612 , the secure microcomputer 321 restores the firmware 421 stored in the scanner nonvolatile memory 332 . That is, the secure microcomputer 321 reads the firmware 403 for the scanner CPU to be used for recovery stored in the ROM 322 and writes the read firmware to the firmware 421 area of the nonvolatile memory 332 . When the process of writing the firmware to the nonvolatile memory 332 is completed in this manner, the process transitions to S613. In S613, the secure microcomputer 321 confirms whether the firmware 421 has been successfully restored. At this time, the secure microcomputer 321 compares the scanner CPU firmware 403 stored in the ROM 322 and used for recovery with the firmware 421 stored in the nonvolatile memory 332 . Then, according to the comparison result, it is determined whether or not the firmware 421 has been successfully restored. Here, if the secure microcomputer 321 determines that the firmware 421 has been successfully restored, the process transitions to S614, and if it determines that the firmware 421 has not been successfully restored, the process transitions to S615. In S<b>614 , the secure microcomputer 321 cancels the reset of the scanner CPU 331 . That is, the secure microcomputer 321 changes the reset signal 513 from low level to high level to cancel the reset of the scanner CPU 331 . On the other hand, if the firmware 421 for the scanner CPU cannot be restored normally, the reset of the scanner CPU 331 is not canceled and the process proceeds to step S615.
次にＳ６１５～Ｓ６２０でプリンタＣＰＵ用のファームウェア４３１の検証とリカバリを行う。
Next, in steps S615 to S620, verification and recovery of the firmware 431 for the printer CPU are performed.
まずＳ６１５でセキュアマイコン３２１は、プリンタ用不揮発メモリ３４２に格納されているプリンタＣＰＵ３４１用のファームウェア４３１が改竄されているかどうか検証するためにプリンタ用不揮発メモリ３４２からファームウェア４３１を読み出す。そしてプリンタＣＰＵ用ファームウェア４３１の読み出しが完了するとＳ６１６に遷移する。Ｓ６１６でセキュアマイコン３２１は、Ｓ６１５で読み出したプリンタＣＰＵ用ファームウェア４３１がサイバー攻撃等により書き換えられていないか（改竄されているかどうか）検証する。ここでセキュアマイコン３２１が、ファームウェア４３１が改竄されていないと判定するとＳ６２０に遷移し、ファームウェア４３１が改竄されていると判定するとＳ６１７に遷移する。
First, in S615, the secure microcomputer 321 reads the firmware 431 from the printer non-volatile memory 342 in order to verify whether the firmware 431 for the printer CPU 341 stored in the printer non-volatile memory 342 has been tampered with. When the reading of the printer CPU firmware 431 is completed, the process proceeds to S616. In S616, the secure microcomputer 321 verifies whether the printer CPU firmware 431 read in S615 has been rewritten (falsified) by a cyber attack or the like. Here, if the secure microcomputer 321 determines that the firmware 431 has not been tampered with, the process transitions to S620, and if it determines that the firmware 431 has been tampered with, the process transitions to S617.
Ｓ６１７でセキュアマイコン３２１は、ＣＰＵ３０１に対してアラート信号を通知する。即ち、セキュアマイコン３２１は、アラート信号５１７をロウレベルからハイレベルに変更して、ＣＰＵ３０１にプリンタＣＰＵ用ファームウェア４３１が改竄されたことをアラートとして通知する。このアラートの通知を実施するとＳ６１８に遷移する。Ｓ６１８でセキュアマイコン３２１は、プリンタ用不揮発メモリ３４２に格納されているプラインタＣＰＵ用ファームウェア４３１の復旧を行う。即ち、セキュアマイコン３２１はＲＯＭ３２２に格納されているリカバリ時に使用するプリンタＣＰＵ用ファームウェア４０４を読み出してプリンタ用不揮発メモリ３４２のプリンタＣＰＵ用ファームウェア４３１の領域に書き込む。こうしてプリンタ用不揮発メモリ３４２のファームウェア４３１の書き込みが完了するとＳ６１９に遷移する。Ｓ６１９でセキュアマイコン３２１は、プリンタＣＰＵ用ファームウェア４３１が正常に復旧されたか確認する。ここではセキュアマイコン用ＲＯＭ３２２に格納しているプリンタＣＰＵ用ファームウェア４０４と、Ｓ６１８でプリンタ用不揮発メモリ３４２に格納したプリンタＣＰＵ用ファームウェア４３１とを比較する。そしてその比較結果に従って、プリンタＣＰＵ用ファームウェア４３１が正常に復旧できたかどうか判定し、正常に復旧できたと判定するとＳ６２０に遷移し、正常に復旧できていないと判定すると、この処理を終了する。Ｓ６２０でセキュアマイコン３２１は、プリンタ用ＣＰＵ３３１のリセットを解除する。ここではセキュアマイコン３２１は、アラート信号５１４をロウレベルからハイレベルに変更して、プリンタＣＰＵ３４１のリセットを解除する。
In S617, the secure microcomputer 321 notifies the CPU 301 of an alert signal. That is, the secure microcomputer 321 changes the alert signal 517 from low level to high level to notify the CPU 301 that the printer CPU firmware 431 has been tampered with as an alert. When this alert is notified, the process transitions to S618. In S<b>618 , the secure microcomputer 321 restores the printer CPU firmware 431 stored in the printer nonvolatile memory 342 . That is, the secure microcomputer 321 reads out the printer CPU firmware 404 stored in the ROM 322 and used for recovery, and writes it into the printer CPU firmware 431 area of the printer non-volatile memory 342 . When the writing of the firmware 431 to the printer non-volatile memory 342 is completed in this manner, the process transitions to S619. In S619, the secure microcomputer 321 confirms whether the printer CPU firmware 431 has been restored normally. Here, the printer CPU firmware 404 stored in the secure microcomputer ROM 322 is compared with the printer CPU firmware 431 stored in the printer non-volatile memory 342 in S618. Then, according to the comparison result, it is determined whether or not the printer CPU firmware 431 has been successfully restored. In S<b>620 , the secure microcomputer 321 cancels the reset of the printer CPU 331 . Here, the secure microcomputer 321 changes the alert signal 514 from low level to high level to release the reset of the printer CPU 341 .
以上説明した様に、この処理によれば、セキュアマイコン３２１が、ファームウェアの検証が完了したＣＰＵのリセットを順次解除することにより、各ＣＰＵが起動処理を行うのと並行して、セキュアマイコンによる各ＣＰＵのファームウェアを検証できる。これにより、画像形成装置としての起動時間を減少させることが可能となる。また各ＣＰＵの起動時間が長いものから順番にファームウェアを検証を行うことにより、より起動時間を削減できるという効果を得ることができる。
As described above, according to this process, the secure microcomputer 321 sequentially cancels the reset of the CPUs for which the firmware verification is completed. CPU firmware can be verified. This makes it possible to reduce the startup time of the image forming apparatus. Also, by verifying the firmware in order from the one with the longest startup time of each CPU, it is possible to obtain the effect of further reducing the startup time.
図７は、実施形態１に係る画像形成装置１０のＣＰＵ３０１の動作を説明するフローチャートである。尚、このフローチャートで示す処理は、ＣＰＵ３０１が不揮発メモリ３０３に格納されているプログラムを実行することにより達成される。
FIG. 7 is a flowchart for explaining the operation of the CPU 301 of the image forming apparatus 10 according to the first embodiment. Note that the processing shown in this flowchart is achieved by the CPU 301 executing a program stored in the nonvolatile memory 303 .
この処理の開始時には画像形成装置１０の電源が投入されていない状態であり、Ｓ７０１で電源がオンされるとＳ７０２に遷移する。Ｓ７０２でセキュアマイコン３２１によりＣＰＵ３０１のリセット状態が解除されるとＳ７０３に遷移する。このＣＰＵ３０１のリセットの解除は、セキュアマイコン３２１が図６のＳ６０８でＣＰＵ３０１のリセットを解除することによりなされる。Ｓ７０３でＣＰＵ３０１は、ＣＰＵ３０１用の不揮発メモリ３０３からＣＰＵ用ファームウェア４１１を読み出して起動する。このとき、セキュアマイコン３２１によって、改竄されていないＣＰＵ用ファームウェア４１１が不揮発メモリ３０３に格納されていることが保証されているため、ＣＰＵ３０１は、確実に、改竄されていないＣＰＵ用ファームウェア４１１で起動できる。
At the start of this process, the power of the image forming apparatus 10 is not turned on, and when the power is turned on in S701, the process proceeds to S702. When the reset state of the CPU 301 is released by the secure microcomputer 321 in S702, the process proceeds to S703. The reset of the CPU 301 is canceled by the secure microcomputer 321 canceling the reset of the CPU 301 in S608 of FIG. In S703, the CPU 301 reads out the CPU firmware 411 from the non-volatile memory 303 for the CPU 301 and activates it. At this time, since the secure microcomputer 321 guarantees that the untampered CPU firmware 411 is stored in the non-volatile memory 303, the CPU 301 can be reliably booted with the untampered CPU firmware 411. .
Ｓ７０４でＣＰＵ３０１は、セキュアマイコン３２１から出力されるアラート信号５１５によりアラートを検知したかどうか判定する。この処理は、ＣＰＵ３０１がリセット解除されて動作を開始する前に、セキュアマイコン３２１によって不揮発メモリ３０３に格納されているＣＰＵ用ファームウェア４１１の復旧処理（Ｓ６０６）が発生したかどうかを知るための処理である。アラート信号が発生されたことを検知した場合はＳ７０５に進み、アラート信号が発生されたことを検知していない場合はＳ７０６に遷移する。Ｓ７０５でＣＰＵ３０１は、ＣＰＵ用ファームウェア４１１の復旧処理が発生していたことを監査ログに保存してＳ７０６に進む。このように監査ログに残すことで、ＣＰＵ用ファームウェア４１１の改竄が発生していたことを通知、或いはトレース可能になる。
In S<b>704 , the CPU 301 determines whether an alert has been detected from the alert signal 515 output from the secure microcomputer 321 . This process is for determining whether or not the secure microcomputer 321 has performed the recovery process (S606) of the CPU firmware 411 stored in the nonvolatile memory 303 before the CPU 301 is reset and starts operating. be. If the generation of the alert signal is detected, the process proceeds to S705, and if the generation of the alert signal is not detected, the process proceeds to S706. In S705, the CPU 301 saves in the audit log that the recovery process of the CPU firmware 411 has occurred, and proceeds to S706. By leaving the information in the audit log in this way, it becomes possible to notify or trace that the CPU firmware 411 has been tampered with.
Ｓ７０６でＣＰＵ３０１は、セキュアマイコン３２１から出力されるアラート信号５１６を検知したかどうか判定する。この処理により、スキャナＣＰＵ３３１のリセットが解除されて動作開始する前に、セキュアマイコン３２１によって、不揮発メモリ３３２に格納されているスキャナＣＰＵ用ファームウェア４２１の復旧処理（Ｓ６１２）が発生したかどうかをＣＰＵ３０１が知ることができる。アラート信号５１６を検知した場合はＳ７０８に遷移し、アラート信号５１６を検知していない場合はＳ７０７に遷移する。Ｓ７０７でＣＰＵ３０１は、スキャナＣＰＵ３３１との通信が可能かどうか判定する。この処理は、スキャナＣＰＵ３３１のリセットが解除されて正常に動作開始しているかどうか確認するものである。即ち、ＣＰＵ３０１がスキャナＣＰＵ３３１と正常に通信できることは、スキャナＣＰＵ３３１のリセットが解除されている状態であることをＣＰＵ３０１が知るための処理である。これによりスキャナＣＰＵ用ファームウェア４２１に対する改竄はなく、セキュアマイコン３２１が復旧処理（Ｓ６１２）を実施する必要がなかったということをＣＰＵ３０１が知ることができる。ＣＰＵ３０１がスキャナＣＰＵ３３１との通信ができていないと判定するとＳ７０６に遷移して、通信できていると判定するとＳ７１２に遷移する。
In S706, the CPU 301 determines whether the alert signal 516 output from the secure microcomputer 321 has been detected. As a result of this processing, the CPU 301 checks whether or not the secure microcomputer 321 has performed the recovery processing (S612) of the scanner CPU firmware 421 stored in the nonvolatile memory 332 before the scanner CPU 331 is reset and starts operating. can know. When the alert signal 516 is detected, the process proceeds to S708, and when the alert signal 516 is not detected, the process proceeds to S707. In S707, the CPU 301 determines whether communication with the scanner CPU 331 is possible. This process confirms whether the reset of the scanner CPU 331 has been released and normal operation has started. That is, the fact that the CPU 301 can communicate normally with the scanner CPU 331 is a process for the CPU 301 to know that the reset of the scanner CPU 331 has been released. This allows the CPU 301 to know that the scanner CPU firmware 421 has not been tampered with and that the secure microcomputer 321 did not need to perform recovery processing (S612). If the CPU 301 determines that communication with the scanner CPU 331 is not possible, the process shifts to S706, and if it determines that the communication is possible, the process shifts to S712.
Ｓ７０８でＣＰＵ３０１は、スキャナＣＰＵ用ファームウェア４２１の復旧処理が発生していたことを監査ログに保存してＳ７０９に進む。このように監査ログに残しておくことで、スキャナＣＰＵ用ファームウェア４２１の改竄が発生していたことを通知、或いはトレース可能になる。Ｓ７０９でＣＰＵ３０１は、スキャナＣＰＵ用ファームウェア４２１の復旧に要する経過時間を計時する。前述したように、セキュアマイコン３２１がアラート信号５１６でアラート通知を行った後にスキャナＣＰＵ用ファームウェア４２１の復旧を行う。このため、セキュアマイコン３２１が復旧に要する時間が経過した後にＣＰＵ３０１との通信確認を実施する必要がある。ＣＰＵ３０１が、復旧に要する時間が経過したと判定した場合にはＳ７１０に遷移し、そうでない場合にＳ７０９に留まる。Ｓ７１０でＣＰＵ３０１は、スキャナＣＰＵ３３１との通信が可能かどうか判定する。この処理は、スキャナＣＰＵ３３１へのリセットが解除されて正常に動作開始しているかどうか確認する処理である。ＣＰＵ３０１がスキャナＣＰＵ３３１と正常に通信できていることは、スキャナＣＰＵ用ファームウェアウェア４２１の改竄があった後に、セキュアマイコン３２１が復旧処理（Ｓ６１２）を実施して、正常に復旧できていることを示す。ＣＰＵ３０１がスキャナＣＰＵ３３１との通信ができていないと判定するとＳ７１１に遷移し、通信できていると判定するとＳ７１２に遷移する。Ｓ７１１でＣＰＵ３０１は、スキャナＣＰＵ３３１との通信エラーを通知してＳ７１２に進む。
In step S<b>708 , the CPU 301 saves in the audit log that recovery processing of the scanner CPU firmware 421 has occurred, and advances to step S<b>709 . By leaving the information in the audit log in this way, it becomes possible to notify or trace that the scanner CPU firmware 421 has been tampered with. In step S<b>709 , the CPU 301 counts the elapsed time required for restoring the scanner CPU firmware 421 . As described above, the scanner CPU firmware 421 is restored after the secure microcomputer 321 issues an alert notification using the alert signal 516 . Therefore, it is necessary to confirm communication with the CPU 301 after the time required for the secure microcomputer 321 to recover has elapsed. If the CPU 301 determines that the time required for restoration has elapsed, the process proceeds to S710, otherwise the process remains at S709. In S710, the CPU 301 determines whether communication with the scanner CPU 331 is possible. This process is for checking whether the reset of the scanner CPU 331 has been released and normal operation has started. The fact that the CPU 301 can communicate normally with the scanner CPU 331 indicates that the secure microcomputer 321 has performed recovery processing (S612) after the scanner CPU firmware 421 has been tampered with, and has been successfully recovered. . If the CPU 301 determines that communication with the scanner CPU 331 is not possible, the process shifts to S711, and if it determines that the communication is possible, the process shifts to S712. In S711, the CPU 301 notifies of a communication error with the scanner CPU 331, and advances to S712.
Ｓ７１２でＣＰＵ３０１は、セキュアマイコン３２１から出力されるアラート信号５１７を検知したかどうか判定する。これによりＣＰＵ３０１は、プリンタＣＰＵ３４１がリセットから解除されて動作開始する前に、セキュアマイコン３２１によってプリンタ不揮発メモリ３４２に格納されているプリンタＣＰＵ用ファームウェア４３１の復旧処理（Ｓ６１８）が発生したかどうかを知ることができる。アラート信号５１７の発生を検知していない場合はＳ７１３に遷移し、アラート信号５１７を検知した場合はＳ７１４に遷移する。Ｓ７１３でＣＰＵ３０１は、プリンタＣＰＵ３４１との通信が可能かどうか判定する。これは、プリンタＣＰＵ３４１へのリセットが解除されて正常に動作開始しているかどうかの確認するためである。ここでＣＰＵ３０１がプリンタＣＰＵ３４１と正常に通信できていると判定すると、プリンタＣＰＵ用ファームウェア４３１に対する改竄はなく、セキュアマイコン３２１が復旧処理（Ｓ６１８）を実施する必要がなかったことになる。Ｓ７１３でＣＰＵ３０１がプリンタＣＰＵ３４１との通信ができていないと判定するとＳ７１２に遷移し、通信できていると判定すると、この処理を終了する。
In S712, the CPU 301 determines whether or not the alert signal 517 output from the secure microcomputer 321 has been detected. This allows the CPU 301 to know whether or not the secure microcomputer 321 has performed the restoration process (S618) of the printer CPU firmware 431 stored in the printer non-volatile memory 342 before the printer CPU 341 is released from reset and starts operating. be able to. If the generation of the alert signal 517 is not detected, the process proceeds to S713, and if the alert signal 517 is detected, the process proceeds to S714. In S713, the CPU 301 determines whether communication with the printer CPU 341 is possible. This is to confirm whether the printer CPU 341 has been reset and has started operating normally. If it is determined here that the CPU 301 can communicate normally with the printer CPU 341, the printer CPU firmware 431 has not been tampered with, and the secure microcomputer 321 need not perform recovery processing (S618). If the CPU 301 determines in S713 that communication with the printer CPU 341 is not possible, the process proceeds to S712, and if it is determined that communication is possible, this process ends.
Ｓ７１４でＣＰＵ３０１は、プリンタＣＰＵ用ファームウェア４３１の復旧処理が発生していたことを監査ログに保存してＳ７１５に進む。こうして監査ログに残しておくことで、プリンタＣＰＵ用ファームウェア４３１の改竄が発生していたことを通知、或いはトレース可能になる。Ｓ７１５でＣＰＵ３０１は、プリンタＣＰＵ用ファームウェア４３１の復旧に要する時間経過を計時する。これはセキュアマイコン３２１がアラート信号５１７を通知した後にプリンタＣＰＵ用ファームウェア４３１を復旧するため、その復旧に要する時間が経過した後にＣＰＵ３０１との通信確認を実施する必要があるためである。Ｓ７１５でＣＰＵ３０１が、復旧に要する時間が経過したと判定した場合はＳ７１６に遷移し、そうでない場合にＳ７１５に留まる。Ｓ７１６でＣＰＵ３０１は、プリンタＣＰＵ３４１との通信が可能かどうか判定する。ここでは、プリンタＣＰＵ３４１へのリセットが解除されて、プリＣＰＵ３４１が正常に動作を開始しているかどうか確認している。ここでＣＰＵ３０１がプリンタＣＰＵ３４１と正常に通信できていることは、プリンタＣＰＵ用ファームウェアウェア４３１の改竄があった後に、セキュアマイコン３２１が復旧処理（Ｓ６１８）を実施して、正常に復旧できたことを知ることができる。ＣＰＵ３０１がプリンタＣＰＵ３４１と通信ができていないと判定するとＳ７１７に遷移し、通信できていると判定すると、この処理を終了する。Ｓ７１７でＣＰＵ３０１は、プリンタＣＰＵ３４１との通信エラーを通知して、この処理を終了する。
In S714, the CPU 301 saves in the audit log that the restoration process of the printer CPU firmware 431 has occurred, and proceeds to S715. By leaving this in the audit log, it becomes possible to notify or trace that the printer CPU firmware 431 has been tampered with. In step S<b>715 , the CPU 301 counts the elapsed time required for restoring the printer CPU firmware 431 . This is because the printer CPU firmware 431 is restored after the secure microcomputer 321 notifies the alert signal 517, so it is necessary to confirm communication with the CPU 301 after the time required for the restoration has elapsed. If the CPU 301 determines in S715 that the time required for restoration has elapsed, the process proceeds to S716, otherwise the process remains in S715. In S716, the CPU 301 determines whether communication with the printer CPU 341 is possible. Here, it is confirmed whether the reset to the printer CPU 341 has been released and the pre-CPU 341 has started operating normally. Here, the fact that the CPU 301 can communicate normally with the printer CPU 341 means that the secure microcomputer 321 has performed recovery processing (S618) after the firmware 431 for the printer CPU has been tampered with, and has been successfully recovered. can know. If the CPU 301 determines that communication with the printer CPU 341 is not possible, the process proceeds to step S717, and if it is determined that communication is possible, this process ends. In S717, the CPU 301 notifies of a communication error with the printer CPU 341, and terminates this process.
以上説明した様に実施形態１によれば、セキュアマイコンが、ファームウェアの検証が完了したＣＰＵのリセットを順次解除することにより、各ＣＰＵが起動処理を行うのと並行して、セキュアマイコンによる各ＣＰＵのファームウェアを検証できる。これにより、画像形成装置としての起動時間を減少させることが可能となる。また各ＣＰＵの起動時間が長いものから順番にファームウェアを検証を行うことにより、より起動時間を削減できるという効果を得ることができる。
As described above, according to the first embodiment, the secure microcomputer sequentially cancels the reset of the CPUs whose firmware has been verified. firmware can be verified. This makes it possible to reduce the startup time of the image forming apparatus. Also, by verifying the firmware in order from the one with the longest startup time of each CPU, it is possible to obtain the effect of further reducing the startup time.
またメインのＣＰＵが、セキュアマイコンからのアラートの通知や各ＣＰＵとの通信を確認することで、画像形成装置の起動時間を減少させることができる。
In addition, the main CPU can reduce the startup time of the image forming apparatus by checking alert notifications from the secure microcomputer and communication with each CPU.
［実施形態２］
実施形態２では、セキュアマイコン３２１が検証するＣＰＵが複数あり、複数あるＣＰＵの内の２つ以上がそれぞれの起動処理に関連性があるため、それらＣＰＵを同時にリセットから解除する例で記載する。尚、実施形態２に係る情報処理システムの構成及び画像形成装置１０のハードウェア構成などは前述の実施形態１と同様であるため、その説明を省略する。尚、実施形態２に係るセキュアマイコン用ＲＯＭ３２２では、図４に示すファームウェアに加えて、ＬＡンコントローラ用の不揮発メモリ３１５のファームウェアを復旧するためのＬＡＮコントローラ用のファームウェア（不図示）を格納している。
[Embodiment 2]
In the second embodiment, there are a plurality of CPUs to be verified by the secure microcomputer 321, and two or more of the plurality of CPUs are related to their activation processes. Since the configuration of the information processing system and the hardware configuration of the image forming apparatus 10 according to the second embodiment are the same as those of the first embodiment, the description thereof will be omitted. In addition to the firmware shown in FIG. 4, the secure microcomputer ROM 322 according to the second embodiment stores LAN controller firmware (not shown) for restoring the firmware of the nonvolatile memory 315 for the LAN controller. there is
図８は、実施形態２に係るＣＰＵ３０１、ＬＡＮコントローラ３０６、プリンタＣＰＵ３４１及びセキュアマイコン３２１と、ＲＯＭ及び各不揮発メモリとを接続するバス構成を説明する図である。尚、ここでは、ＳＰＩバスを例にして説明をするが、本発明はＳＰＩバスに限定されるものではない。
FIG. 8 is a diagram illustrating a bus configuration for connecting the CPU 301, LAN controller 306, printer CPU 341, secure microcomputer 321, ROM, and nonvolatile memories according to the second embodiment. Although the SPI bus will be described as an example here, the present invention is not limited to the SPI bus.
バス８０１は、セキュアマイコン３２１とセキュアマイコン用ＲＯＭ３２２を接続するためのＳＰＩバスである。バス８０１は、チップセレクト信号（ＣＳ＃）、クロック信号（ＣＬＫ）、データバス信号（ＩＯ）を備えており、セキュアマイコン３２１が動作するためのファームウェアを読み出すのに使用される。またセキュアマイコン用のＲＯＭ３２２は、各ＣＰＵで動作するファームウェアが改竄された場合に、改竄されていない状態に復旧させるためのファームウェアを格納している。そのため、セキュアマイコン３２１が、各ＣＰＵで動作するファームウェアが改竄されていることを検知した場合、バス８０１はリカバリ用のファームウェアの読み出しを行うのに使用される。
A bus 801 is an SPI bus for connecting the secure microcomputer 321 and the secure microcomputer ROM 322 . A bus 801 has a chip select signal (CS#), a clock signal (CLK), and a data bus signal (IO), and is used to read firmware for the secure microcomputer 321 to operate. Also, the ROM 322 for the secure microcomputer stores firmware for recovering to a non-tampered state when the firmware operating in each CPU is tampered with. Therefore, when the secure microcomputer 321 detects that the firmware operating in each CPU has been tampered with, the bus 801 is used to read the firmware for recovery.
バス８０２は、セキュアマイコン３２１とＣＰＵ３０１用の不揮発メモリ３０３とを接続し、またＣＰＵ３０１と不揮発メモリ３０３とを接続するためのＳＰＩバスである。バス８０２は、チップセレクト信号（ＣＳ＃）、クロック信号（ＣＬＫ）、データバス信号（ＩＯ）を備えている。セキュアマイコン３２１は、不揮発メモリ３０３に格納されているＣＰＵ用のファームウェア４１１が改竄されていないことを検証するために、バス８０２を介してファームウェア４１１を読み出す。またバス８０２は、ＣＰＵ３０１が不揮発メモリ３０３に格納されているＣＰＵ３０１用のファームウェア４１１を読み出すのに使用される。ＣＰＵ３０１は、不揮発メモリ３０３に格納されているファームウェアで起動処理を実施するためにファームウェアの読み出しを行う。バス８０２は、セキュアマイコン３２１とＣＰＵ３０１の両方から不揮発メモリ３０３に対してアクセスできる構成になっているが、実際のアクセスが同時に発生することはない。即ち、セキュアマイコン３２１がアクセスしている際は、ＣＰＵ３０１はリセット状態で不揮発メモリ３０３にアクセスすることはない。またＣＰＵ３０１のリセットが解除された後は、セキュアマイコン３２１から不揮発メモリ３０３にアクセスすることはない。更にバス８０２では、各信号が分岐された構成になっていて、セキュアマイコン３２１とＣＰＵ３０１から出力される信号がぶつかってしまうことが考えられる。しかしながら、アクセスしないときは、これら各信号出力がハイインピーダンスにするように制御することにより、信号がぶつかることはなくなる。また信号出力をハイインピーダンスにできない場合は、セレクタ回路を追加することで、セキュアマイコン３２１とＣＰＵ３０１からのアクセスを切り替えるようにしても良い。
A bus 802 is an SPI bus for connecting the secure microcomputer 321 and the nonvolatile memory 303 for the CPU 301 and for connecting the CPU 301 and the nonvolatile memory 303 . Bus 802 includes a chip select signal (CS#), a clock signal (CLK), and a data bus signal (IO). The secure microcomputer 321 reads the firmware 411 via the bus 802 in order to verify that the firmware 411 for the CPU stored in the nonvolatile memory 303 has not been tampered with. Bus 802 is also used by CPU 301 to read firmware 411 for CPU 301 stored in non-volatile memory 303 . The CPU 301 reads the firmware stored in the non-volatile memory 303 in order to perform boot processing. The bus 802 is configured so that both the secure microcomputer 321 and the CPU 301 can access the nonvolatile memory 303, but actual accesses do not occur at the same time. That is, when the secure microcomputer 321 is accessing, the CPU 301 does not access the nonvolatile memory 303 in the reset state. Also, after the reset of the CPU 301 is released, the secure microcomputer 321 does not access the nonvolatile memory 303 . Furthermore, the bus 802 has a configuration in which each signal is branched, and it is conceivable that the signals output from the secure microcomputer 321 and the CPU 301 may collide. However, when not accessing, by controlling each of these signal outputs to have high impedance, the signals do not collide. If the signal output cannot be set to high impedance, access from the secure microcomputer 321 and the access from the CPU 301 may be switched by adding a selector circuit.
バス８０３は、セキュアマイコン３２１とＬＡＮコントローラ用不揮発メモリ３１５とを接続し、またＬＡＮコントローラ３０６と不揮発メモリ３１５とを接続するためのＳＰＩバスである。バス８０３は、チップセレクト信号（ＣＳ＃）、クロック信号（ＣＬＫ）、データバス信号（ＩＯ）を備えている。セキュアマイコン３２１は、不揮発メモリ３１５に格納されているＬＡＮコントローラ用のファームウェアが改竄されていないことを検証するためにバス８０３を介してファームウェアを読み出す。またバス８０３は、ＬＡＮコントローラ３０６が不揮発メモリ３１５に格納されているファームウェアの読み出しを行うのに使用される。ＬＡＮコントロ－ラ３０６は、不揮発メモリ３１５に格納されているファームウェアでＬＡＮ６０の制御を実施するためにファームウェアの読み出しを行う。バス８０３は、セキュアマイコン３２１とＬＡＮコントローラ３０６の両方から不揮発メモリ３１５にアクセスできる構成になっているが、セキュアマイコン３２１とＬＡＮコントローラ３０６の両方からのアクセスが同時に発生することはない。即ち、セキュアマイコン３２１がアクセスしている際には、ＬＡＮコントローラ３０６はリセット状態で不揮発メモリ３１５にアクセスすることはない。またＬＡＮコントローラ３０６のリセットが解除された後は、セキュアマイコン３２１からバス８０３にアクセスしないようにしている。更にバス８０３は、各信号が分岐されている構成になっていてセキュアマイコン３２１とＬＡＮコントローラ３０６から出力される信号がぶつかってしまうことが考えられる。しかし、アクセスしない際ｈ、各信号出力をハイインピーダンスにするように制御することで、信号がぶつかることはなくなる。また信号出力をハイインピーダンスにできない場合は、セレクタ回路を追加することで、セキュアマイコン３２１とＬＡＮコントローラ３０６からのアクセスを切り替えるようにしても良い。
A bus 803 is an SPI bus for connecting the secure microcomputer 321 and the LAN controller non-volatile memory 315 and connecting the LAN controller 306 and the non-volatile memory 315 . Bus 803 includes a chip select signal (CS#), a clock signal (CLK), and a data bus signal (IO). The secure microcomputer 321 reads the firmware via the bus 803 to verify that the LAN controller firmware stored in the nonvolatile memory 315 has not been tampered with. Bus 803 is also used by LAN controller 306 to read firmware stored in non-volatile memory 315 . The LAN controller 306 reads the firmware stored in the non-volatile memory 315 to control the LAN 60 . The bus 803 is configured so that both the secure microcomputer 321 and the LAN controller 306 can access the nonvolatile memory 315, but access from both the secure microcomputer 321 and the LAN controller 306 does not occur at the same time. That is, when the secure microcomputer 321 is accessing, the LAN controller 306 does not access the nonvolatile memory 315 in the reset state. Also, after the reset of the LAN controller 306 is released, the secure microcomputer 321 is prevented from accessing the bus 803 . Furthermore, the bus 803 is configured such that each signal is branched, and it is conceivable that the signals output from the secure microcomputer 321 and the LAN controller 306 may collide. However, by controlling each signal output to be high impedance when not accessing, the signals do not collide. If the signal output cannot be set to high impedance, access from the secure microcomputer 321 and the LAN controller 306 may be switched by adding a selector circuit.
バス８０４は、セキュアマイコン３２１とプリンタ用不揮発メモリ３４２とを接続し、またプリンタＣＰＵ３４１とプリンタ用不揮発メモリ３４２とを接続するためのＳＰＩバスである。バス８０４は、チップセレクト信号（ＣＳ＃）、クロック信号（ＣＬＫ）、データバス信号（ＩＯ）を備えている。セキュアマイコン３２１は、不揮発メモリ３４２に格納されているファームウェア４３１が改竄されていないことを検証するために、バス８０４を介してプリンタＣＰＵ用のファームウェア４３１を読み出す。またバス８０４は、プリンタＣＰＵ３４１が不揮発メモリ３４２に格納されているファームウェアの読み出しを行うのに使用される。プリンタＣＰＵ３４１は、不揮発メモリ３４２に格納されているファームウェア３４２でプリンタ１４の制御を実施する。バス８０４は、セキュアマイコン３２１とプリンタＣＰＵ３４１の両方からプリンタ用不揮発メモリ３４２対してアクセスできる構成になっているが、両方からのアクセスが同時に発生することはない。即ち、セキュアマイコン３２１がアクセスしている際には、プリンタＣＰＵ３４１はリセット状態で不揮発メモリ３４２にアクセスすることはない。またプリンタＣＰＵ３４１がリセットから解除された後は、セキュアマイコン３２１からバス８０４へのアクセスは出さないようにしている。更にバス８０４は、各信号が分岐されている構成になっていてセキュアマイコン３２１とプリンタＣＰＵ３４１から出力される信号がぶつかってしまうことが考えられる。しかし、アクセスしない際に各信号出力をハイインピーダンスにするように制御することで、信号がぶつかることはなくなる。また信号出力をハイインピーダンスにできない場合はセレクタ回路を追加することで、セキュアマイコン３２１とプリンタＣＰＵ３４１からのアクセスを切り替えるようにしても良い。
A bus 804 is an SPI bus for connecting the secure microcomputer 321 and the printer nonvolatile memory 342 and for connecting the printer CPU 341 and the printer nonvolatile memory 342 . Bus 804 includes a chip select signal (CS#), a clock signal (CLK), and a data bus signal (IO). The secure microcomputer 321 reads the firmware 431 for the printer CPU via the bus 804 in order to verify that the firmware 431 stored in the nonvolatile memory 342 has not been tampered with. The bus 804 is also used by the printer CPU 341 to read the firmware stored in the non-volatile memory 342 . The printer CPU 341 controls the printer 14 using firmware 342 stored in the nonvolatile memory 342 . The bus 804 is configured so that both the secure microcomputer 321 and the printer CPU 341 can access the printer non-volatile memory 342, but access from both does not occur at the same time. That is, when the secure microcomputer 321 is accessing, the printer CPU 341 does not access the nonvolatile memory 342 in the reset state. Also, after the printer CPU 341 is released from reset, the secure microcomputer 321 is prevented from accessing the bus 804 . Furthermore, the bus 804 is configured such that each signal is branched, and it is conceivable that the signals output from the secure microcomputer 321 and the printer CPU 341 collide. However, by controlling each signal output to be high impedance when not accessing, the signals do not collide. If the signal output cannot be set to high impedance, a selector circuit may be added to switch accesses from the secure microcomputer 321 and the printer CPU 341 .
セキュアマイコン３２１は、リセット信号８１２を用いて、ＣＰＵ３０１及びＬＡＮコントローラ３０６のリセット制御を行う。即ち、ＣＰＵ３０１及びＬＡＮコントローラ３０６をリセット状態にするときはリセット信号８１２をロウレベルに、リセットから解除した状態（動作状態）にするときはリセット信号８１２をハイレベルにする。画像形成装置１０の電源投入時には、セキュアマイコン３２１は、リセット信号８１２でＣＰＵ３０１及びＬＡＮコントローラ３０６をリセット状態にしておく。その後に、セキュアマイコン３２１が不揮発メモリ３０３及び不揮発メモリ３１５に格納されているファームウェアの改竄検証を実施する。そして検証の結果、問題ない場合に、リセット信号８１２をハイレベルにしてＣＰＵ３０１及びＬＡＮコントローラ３０６のリセットを解除する。
The secure microcomputer 321 uses the reset signal 812 to reset the CPU 301 and the LAN controller 306 . That is, the reset signal 812 is set to low level when resetting the CPU 301 and LAN controller 306, and is set to high level when releasing the reset state (operating state). When the image forming apparatus 10 is powered on, the secure microcomputer 321 resets the CPU 301 and the LAN controller 306 with the reset signal 812 . After that, the secure microcomputer 321 verifies falsification of the firmware stored in the nonvolatile memory 303 and the nonvolatile memory 315 . As a result of the verification, if there is no problem, the reset signal 812 is set to high level to release the reset of the CPU 301 and the LAN controller 306 .
またセキュアマイコン３２１が不揮発メモリ３０３又は不揮発メモリ３１５に格納されているファームウェアに改竄があったと判定し、その改竄されたファームウェアを正常にリカバリした場合は、リセット信号８１２をハイレベルにしてＣＰＵ３０１及びＬＡＮコントローラ３０６のリセットを解除する。このようにリセット信号８１２を使用して、ＣＰＵ３０１及びＬＡＮコントローラ３０６のリセット制御を実施する。これにより、ＣＰＵ３０１が不揮発メモリ３０３からファームウェア４１１を読み出すとき、またＬＡＮコントローラ３０６が不揮発メモリ３１５からファームウェア読み出すときは、そのファームウェアが常に正しいものであるようにすることができる。
If the secure microcomputer 321 determines that the firmware stored in the nonvolatile memory 303 or the nonvolatile memory 315 has been tampered with and successfully recovers the tampered firmware, the reset signal 812 is set to a high level to Release the reset of the controller 306 . Using the reset signal 812 in this manner, reset control of the CPU 301 and the LAN controller 306 is performed. As a result, when the CPU 301 reads the firmware 411 from the nonvolatile memory 303 and when the LAN controller 306 reads the firmware from the nonvolatile memory 315, the firmware can always be correct.
セキュアマイコン３２１は、リセット信号８１４を用いてプリンタＣＰＵ３４１のリセット制御を行う。セキュアマイコン３２１は、プリンタＣＰＵ３４１をリセット状態にするときにはリセット信号８１４をロウレベルに、リセット解除状態（動作状態）にするときはリセット信号８１４をハイレベルにする。画像形成装置１０の電源投入時には、セキュアマイコン３２１は、リセット信号８１４でプリンタＣＰＵ３４１をリセット状態にしておく。その後に、セキュアマイコン３２１が不揮発メモリ３４２に格納されているファームウェア４３１の改竄検証を実施して、検証結果が問題ない場合にリセット信号８１４でプリンタＣＰＵ３４１をリセット解除状態にする。また、セキュアマイコン３２１が不揮発メモリ３４２に格納されているファームウェア４３１に改竄があったと判定しても、そのファームウェア４３１を正常にリカバリした場合は、リセット信号８１４でプリンタＣＰＵ３４１をリセット解除状態にする。このようにリセット信号８１４を使用してプリンタＣＰＵ３４１のリセット制御を実施することによって、プリンタＣＰＵ３４１が不揮発メモリ３４２からファームウェア４３１を読み出すときは、そのファームウェア４３１が、常に正しいものであるようにすることができる。
The secure microcomputer 321 performs reset control of the printer CPU 341 using the reset signal 814 . The secure microcomputer 321 sets the reset signal 814 to low level when resetting the printer CPU 341, and sets the reset signal 814 to high level when resetting the printer CPU 341 to the reset release state (operating state). When the power of the image forming apparatus 10 is turned on, the secure microcomputer 321 resets the printer CPU 341 with the reset signal 814 . After that, the secure microcomputer 321 verifies falsification of the firmware 431 stored in the nonvolatile memory 342, and if the verification result indicates no problem, the printer CPU 341 is put into a reset release state by a reset signal 814. FIG. Also, even if the secure microcomputer 321 determines that the firmware 431 stored in the nonvolatile memory 342 has been tampered with, if the firmware 431 is normally recovered, the printer CPU 341 is put into the reset release state by the reset signal 814 . By performing reset control of the printer CPU 341 using the reset signal 814 in this way, when the printer CPU 341 reads out the firmware 431 from the nonvolatile memory 342, the firmware 431 can always be correct. can.
セキュアマイコン３２１はアラート信号８１５を用いてＣＰＵ３０１に対して、不揮発メモリ３０３に格納されるファームウェア４１１の改竄があったかどうかを通知する。アラート信号８１５は、セキュアマイコン３２１が、不揮発メモリ３０３に格納されているファームウェア４１１のリカバリを行ってＣＰＵ３０１が正常に起動するようになった場合に、ファームウェア４１１が改竄されていたことをＣＰＵ３０１に通知する信号である。この通知を受けたＣＰＵ３０１は、正常に起動した後に、アラート信号８１５を確認してファームウェア４１１が改竄されていたことを監査ログに残す。また、アラート号８１５は、通常はセキュアマイコン３２１がロウレベルで出力しており、不揮発メモリ３０３に格納されているＣＰＵ３０１用のファームウェア４１１が改竄されていると判定した場合はハイレベルで出力する。
The secure microcomputer 321 uses an alert signal 815 to notify the CPU 301 whether or not the firmware 411 stored in the nonvolatile memory 303 has been tampered with. The alert signal 815 notifies the CPU 301 that the firmware 411 has been tampered with when the secure microcomputer 321 recovers the firmware 411 stored in the nonvolatile memory 303 and the CPU 301 starts normally. It is a signal to After receiving this notification, the CPU 301 confirms the alert signal 815 and records in the audit log that the firmware 411 has been tampered with. The alert signal 815 is normally output at a low level by the secure microcomputer 321, and is output at a high level when it is determined that the firmware 411 for the CPU 301 stored in the nonvolatile memory 303 has been tampered with.
セキュアマイコン３２１は、アラート信号８１６を用いてがＣＰＵ３０１に対して、不揮発メモリ３１５に格納されるＬＡＮコントローラ用のファームウェアが改竄されたかどうかを通知する。アラート信号８１６は、セキュアマイコン３２１が不揮発メモリ３１５に格納されているファームウェアのリカバリを行って、ＬＡＮコントローラ３０６が正常に起動できるようになった場合に、ファームウェアが改竄されていたことをＣＰＵ３０１に通知する信号である。この通知を受けたＣＰＵ３０１は、正常に起動された後に、アラート信号８１６を確認して、ＬＡＮコントローラ用のファームウェアの改竄が発生していたことを監査ログに残す。またセキュアマイコン３２１は、通常、アラート信号８１６をロウレベルで出力しており、不揮発メモリ３１５格納されているＬＡＮコントローラ用のファームウェアが改竄されていると判定した場合はハイレベルで出力する。
The secure microcomputer 321 uses an alert signal 816 to notify the CPU 301 whether or not the LAN controller firmware stored in the nonvolatile memory 315 has been tampered with. The alert signal 816 notifies the CPU 301 that the firmware has been tampered with when the secure microcomputer 321 recovers the firmware stored in the nonvolatile memory 315 and the LAN controller 306 can be started normally. It is a signal to After receiving this notification, the CPU 301 confirms the alert signal 816 after being normally started, and records in the audit log that the firmware for the LAN controller has been tampered with. The secure microcomputer 321 normally outputs the alert signal 816 at low level, and outputs it at high level when it determines that the LAN controller firmware stored in the nonvolatile memory 315 has been tampered with.
セキュアマイコン３１２は、アラート信号８１７を用いてＣＰＵ３０１に対して、不揮発メモリ３４２に格納されているプリンタ用のファームウェア４３１が改竄されたかどうか通知する。アラート信号８１７は、セキュアマイコン３２１が不揮発メモリ３４２に格納されているファームウェア４３１のリカバリを行ってプリンタ用ＣＰＵ３３１が正常に起動するようになると、ファームウェア４３１が改竄されていたことをＣＰＵ３０１に通知するための信号である。この通知を受けたＣＰＵ３０１は、正常に起動した後に、アラート信号８１７を確認して、ファームウェア４３１が改竄されていたことを監査ログに残す。またセキュアマイコン３２１は通常、アラート信号８１７をロウレベルで出力しており、不揮発メモリ３４２格納されているファームウェア４３１が改竄されていると判定した場合はハイレベルで出力する。
The secure microcomputer 312 uses an alert signal 817 to notify the CPU 301 whether or not the printer firmware 431 stored in the nonvolatile memory 342 has been tampered with. When the secure microcomputer 321 recovers the firmware 431 stored in the nonvolatile memory 342 and the printer CPU 331 starts normally, the alert signal 817 notifies the CPU 301 that the firmware 431 has been tampered with. is a signal of After receiving this notification, the CPU 301 confirms the alert signal 817 after normal startup, and records in the audit log that the firmware 431 has been tampered with. The secure microcomputer 321 normally outputs the alert signal 817 at low level, and outputs it at high level when it determines that the firmware 431 stored in the nonvolatile memory 342 has been tampered with.
図９は、実施形態２に係るセキュアマイコン３２１の動作を説明するフローチャートである。尚、このフローチャートで示す処理は、セキュアマイコン３２１がＲＯＭ３２２に格納されているプログラムを実行することにより達成される。
FIG. 9 is a flowchart for explaining the operation of the secure microcomputer 321 according to the second embodiment. Note that the processing shown in this flowchart is achieved by the secure microcomputer 321 executing a program stored in the ROM 322 .
この処理の開始時には画像形成装置１０の電源が投入されていない状態であり、Ｓ９０１で電源がオンされるとＳ９０２に遷移する。Ｓ９０２でセキュアマイコン３２１は起動処理を行う。この起動処理では、セキュアマイコン３２１は、セキュアマイコン用ＲＯＭ３２２からセキュアマイコン用ファームウェア４０１を読み出し、セキュアマイコン３２１内部にあるヒューズ設定されている鍵情報を用いて検証を行う。そして、この検証が問題なければセキュアマイコン用ファームウェア４０１による起動処理を行う。こうしてセキュアマイコン３２１が起動するとＳ９０３に遷移する。Ｓ９０３でセキュアマイコン３２１は、不揮発メモリ３０３に格納されているＣＰＵ用のファームウェア４１１が改竄されているかどうか検証するために不揮発メモリ３０３からＣＰＵ用ファームウェア４１１を読み出す。ＣＰＵ用ファームウェア４１１の読み出しが完了するとＳ９０４に遷移する。
At the start of this process, the power of the image forming apparatus 10 is not turned on, and when the power is turned on in S901, the process proceeds to S902. In S902, the secure microcomputer 321 performs activation processing. In this activation process, the secure microcomputer 321 reads the secure microcomputer firmware 401 from the secure microcomputer ROM 322 and performs verification using the key information set in the fuse inside the secure microcomputer 321 . Then, if there is no problem in this verification, the secure microcomputer firmware 401 performs startup processing. When the secure microcomputer 321 is activated in this manner, the process transitions to S903. In S903, the secure microcomputer 321 reads the CPU firmware 411 from the nonvolatile memory 303 to verify whether the CPU firmware 411 stored in the nonvolatile memory 303 has been tampered with. When reading of the CPU firmware 411 is completed, the process transitions to S904.
Ｓ９０４でセキュアマイコン３２１は、ＣＰＵ用ファームウェア４１１の改竄検証を行う。セキュアマイコン３２１は、Ｓ９０３で読み出したＣＰＵ用ファームウェア４１１がサイバー攻撃等により書き換えられていないか（改竄されているかどうか）の検証を行う。Ｓ９０４でセキュアマイコン３２１が、ＣＰＵ用ファームウェア４１１が改竄されていないと判定するとＳ９０８に遷移し、ＣＰＵ用ファームウェア４１１が改竄されていると判定するとＳ９０５に遷移する。
In S<b>904 , the secure microcomputer 321 verifies falsification of the CPU firmware 411 . The secure microcomputer 321 verifies whether the CPU firmware 411 read in S903 has been rewritten (falsified) due to a cyber attack or the like. If the secure microcomputer 321 determines in S904 that the CPU firmware 411 has not been tampered with, the process proceeds to S908, and if it determines that the CPU firmware 411 has been tampered with, the process proceeds to S905.
Ｓ９０５でセキュアマイコン３２１は、ＣＰＵ３０１に対してアラート信号８１５による通知を行う。即ち、セキュアマイコン３２１は、アラート信号８１５をロウレベルからハイレベルに変更して、ＣＰＵ３０１にＣＰＵ用ファームウェア４１１が改竄されたことを通知する。こうしてアラートを通知するとＳ９０６に遷移する。Ｓ９０６でセキュアマイコン３２１は、不揮発メモリ３０３に格納しているＣＰＵ用ファームウェア４１１の復旧を行う。即ち、セキュアマイコン３２１は、ＲＯＭ３２２に格納されているＣＰＵ用ファームウェア４０２を読み出し、それを不揮発メモリ３０３のＣＰＵ用ファームウェア４１１の領域に書き込んで復旧させる。こうして不揮発メモリ３０３ＣＰＵ用ファームウェア４１１の復旧が完了するとＳ９０７に遷移する。Ｓ９０７でセキュアマイコン３２１は、ＣＰＵ用ファームウェア４１１が正常に復旧されたかどうか判定する。このときセキュアマイコン３２１は、セキュアマイコン用ＲＯＭ３２２に格納されているリカバリ時に使用するＣＰＵ用ファームウェア４０２と、Ｓ９０５で不揮発メモリ３０３に格納したＣＰＵ用ファームウェア４１１とを比較する。そして、その比較結果に従って、ＣＰＵ用ファームウェア４１１が正常に復旧できたかどうか判定する。そしてセキュアマイコン３２１が、ＣＰＵ用ファームウェア４１１を正常に復旧できたと判定するとＳ９０８に遷移し、正常に復旧できていないと判定すると、この処理を終了する。
In S<b>905 , the secure microcomputer 321 notifies the CPU 301 with the alert signal 815 . That is, the secure microcomputer 321 changes the alert signal 815 from low level to high level to notify the CPU 301 that the CPU firmware 411 has been tampered with. When the alert is notified in this manner, the process transitions to S906. In S<b>906 , the secure microcomputer 321 restores the CPU firmware 411 stored in the nonvolatile memory 303 . That is, the secure microcomputer 321 reads out the CPU firmware 402 stored in the ROM 322 and writes it into the area of the CPU firmware 411 in the non-volatile memory 303 for restoration. When the recovery of the firmware 411 for the non-volatile memory 303 CPU is completed in this manner, the process transitions to S907. In S907, the secure microcomputer 321 determines whether the CPU firmware 411 has been successfully restored. At this time, the secure microcomputer 321 compares the CPU firmware 402 used for recovery stored in the secure microcomputer ROM 322 with the CPU firmware 411 stored in the nonvolatile memory 303 in S905. Then, according to the comparison result, it is determined whether or not the CPU firmware 411 has been successfully restored. When the secure microcomputer 321 determines that the CPU firmware 411 has been successfully restored, the process proceeds to S908.
Ｓ９０８でセキュアマイコン３２１は、ＬＡＮコントローラ用不揮発メモリ３１５に格納されているファームウェアが改竄されているかどうか検証するために、不揮発メモリ３１５からＬＡＮコントローラ用のファームウェアを読み出す。ＬＡＮコントローラ用ファームウェアの読み出しが完了するとＳ９０９に遷移する。Ｓ９０９でセキュアマイコン３２１は、その読み出したＬＡＮコントローラ用ファームウェアがサイバー攻撃等により書き換えられてしまっていないか（改竄されているかどうか）検証する。ここでセキュアマイコン３２１が、ＬＡＮコントローラ用ファームウェアが改竄されていないと判定するとＳ９１３に遷移し、改竄されていると判定するとＳ９１０に遷移する。Ｓ９１０でセキュアマイコン３２１は、アラート信号８１６をロウレベルからハイレベルに変更して、ＣＰＵ３０１にＬＡＮコントローラ用ファームウェアが改竄されたことをアラートとして通知する。このアラートを通知するとＳ９１１に遷移する。Ｓ９１１でセキュアマイコン３２１は、セキュアマイコン用ＲＯＭ３２２に格納されているリカバリ時に使用するＬＡＮコントローラ用ファームウェア（不図示）を読み出す。そして、その読み出したファームウェアを不揮発メモリ３１５のＬＡＮコントローラ用ファームウェア（不図示）の領域に書き込んで復旧させると９１２に遷移する。Ｓ９１２でセキュアマイコン３２１は、不揮発メモリ３１５のＬＡＮコントローラ用ファームウェアが正常に復旧されたかどうか判定する。ここでセキュアマイコン３２１は、ＲＯＭ３２２に格納されているリカバリ時に使用するＬＡＮコントローラ用ファームウェアと、Ｓ９１１でＬＡＮコントローラ用不揮発メモリ３１５に格納したＬＡＮコントローラ用ファームウェアとを比較する。そして、その比較結果に従って、ＬＡＮコントローラ用ファームウェアが正常に復旧できたかどうか判定している。ここでＬＡＮコントローラ用ファームウェアを正常に復旧できたと判定するとＳ９１３に遷移し、正常に復旧できていないと判定するとこの処理を終了する。Ｓ９１３でセキュアマイコン３２１は、アラート信号８１２をロウレベルからハイレベルに変更して、ＣＰＵ３０１及びＬＡＮコントローラ３０６のリセットを解除してＳ９１４に進む。この点が、上述の実施形態１と相違する点である。
In S908, the secure microcomputer 321 reads the LAN controller firmware from the non-volatile memory 315 in order to verify whether the firmware stored in the LAN controller non-volatile memory 315 has been tampered with. When the reading of the LAN controller firmware is completed, the process transitions to S909. In S909, the secure microcomputer 321 verifies whether the read LAN controller firmware has been rewritten (falsified) due to a cyber attack or the like. Here, if the secure microcomputer 321 determines that the LAN controller firmware has not been tampered with, the process transitions to S913, and if it determines that the LAN controller firmware has been tampered with, the process transitions to S910. In S910, the secure microcomputer 321 changes the alert signal 816 from low level to high level, and notifies the CPU 301 as an alert that the LAN controller firmware has been tampered with. When this alert is notified, the process transitions to S911. In S<b>911 , the secure microcomputer 321 reads the LAN controller firmware (not shown) to be used for recovery stored in the secure microcomputer ROM 322 . Then, the read firmware is written in the area of the LAN controller firmware (not shown) of the nonvolatile memory 315 to restore the state, and the process transitions to 912 . In S912, the secure microcomputer 321 determines whether the LAN controller firmware in the nonvolatile memory 315 has been successfully restored. Here, the secure microcomputer 321 compares the LAN controller firmware stored in the ROM 322 and used for recovery with the LAN controller firmware stored in the LAN controller non-volatile memory 315 in S911. Then, according to the comparison result, it is determined whether or not the LAN controller firmware has been successfully restored. If it is determined that the LAN controller firmware has been successfully restored, the process proceeds to S913, and if it is determined that the LAN controller firmware has not been successfully restored, this process ends. In S913, the secure microcomputer 321 changes the alert signal 812 from low level to high level, cancels the reset of the CPU 301 and LAN controller 306, and proceeds to S914. This point is different from the first embodiment described above.
以下、Ｓ９１４～Ｓ９１９の処理は、前述の図６のＳ６１５～Ｓ６２０の処理と同じであるため、その説明を省略する。
Since the processing of S914 to S919 is the same as the processing of S615 to S620 in FIG. 6, the description thereof will be omitted.
図１０は、実施形態２に係る画像形成装置１０のＣＰＵ３０１の動作を説明するフローチャートである。尚、このフローチャートで示す処理は、ＣＰＵ３０１が不揮発メモリ３０３に格納されているプログラムを実行することにより達成される。
FIG. 10 is a flowchart for explaining the operation of the CPU 301 of the image forming apparatus 10 according to the second embodiment. Note that the processing shown in this flowchart is achieved by the CPU 301 executing a program stored in the nonvolatile memory 303 .
この処理の開始時には画像形成装置１０の電源が投入されていない状態であり、Ｓ１００１で電源がオンされるとＳ１００２に遷移する。Ｓ１００２ではＣＰＵ３０１がリセットされている状態で、リセットが解除されるとＳ１００３に遷移する。これはセキュアマイコン３２１がＣＰＵ３０１のリセット解除を行っている図９のＳ９０８によってＣＰＵ３０１のリセットが解除されることによる。Ｓ１００３でＣＰＵ３０１は、不揮発メモリ３０３からＣＰＵ用ファームウェア４１１を読み出して起動する。このとき、セキュアマイコン３２１によって改竄検証済みのＣＰＵ用ファームウェア４１１が不揮発メモリ３０３に格納されているため、ＣＰＵ３０１は、改竄されていないＣＰＵ用ファームウェア４１１で起動できる。
At the start of this process, the power of the image forming apparatus 10 is not turned on, and when the power is turned on in S1001, the process proceeds to S1002. In S1002, the CPU 301 is reset, and when the reset is released, the process proceeds to S1003. This is because the reset of the CPU 301 is canceled by S908 in FIG. In S1003, the CPU 301 reads out the CPU firmware 411 from the nonvolatile memory 303 and starts up. At this time, since the secure microcomputer 321 has stored the CPU firmware 411 whose tampering has been verified in the non-volatile memory 303, the CPU 301 can be booted with the CPU firmware 411 that has not been tampered with.
次にＳ１００４に進みＣＰＵ３０１は、セキュアマイコン３２１から出力されるアラート信号８１５によりアラートが通知されたかどうか判定する。これは、ＣＰＵ３０１のリセットが解除されて動作を開始する前に、セキュアマイコン３２１によって不揮発メモリ３０３に格納されているＣＰＵ用ファームウェア４１１の復旧処理（Ｓ９０６）がなされたかどうかを判定する処理である。ここでアラートを通知されたと判定された場合はＳ１００５に遷移し、アラートが通知されていないと判定された場合はＳ１００６に遷移する。Ｓ１００５でＣＰＵ３０１は、ＣＰＵ用ファームウェア４１１の復旧が発生していたことを監査ログとして記録してＳ１００６に進む。このように監査ログに残しておくことで、ＣＰＵ用ファームウェア４１１が改竄されたことを通知、或いはトレース可能になる。
Next, proceeding to S<b>1004 , the CPU 301 determines whether an alert has been notified by the alert signal 815 output from the secure microcomputer 321 . This is the process of determining whether or not the secure microcomputer 321 has restored the CPU firmware 411 stored in the nonvolatile memory 303 (S906) before the reset of the CPU 301 is released and the CPU 301 starts operating. If it is determined that an alert has been notified, the process proceeds to S1005, and if it is determined that an alert has not been notified, the process proceeds to S1006. In S<b>1005 , the CPU 301 records in an audit log that the CPU firmware 411 has been restored, and proceeds to S<b>1006 . By leaving the information in the audit log in this way, it becomes possible to notify or trace that the CPU firmware 411 has been falsified.
Ｓ１００６でＣＰＵ３０１は、セキュアマイコン３２１からアラート信号８１６によりアラートが通知されたかどうか判定する。これは、ＣＰＵ３０１のリセットが解除されて動作を開始する前に、セキュアマイコン３２１によってＬＡＮコントローラ用不揮発メモリ３１５に格納されているＬＡＮコントローラ用ファームウェアの復旧処理（Ｓ９１１）が発生したかどうかを知るためである。ここでアラートが通知されたと判定した場合はＳ１００７に遷移し、アラートが通知されていないと判定した場合はＳ１００８に遷移する。Ｓ１００７でＣＰＵ３０１は、ＬＡＮコントローラ用ファームウェアの復旧が発生していたことを監査ログとして記録してＳ１００８に進む。このように監査ログに残しておくことで、ＬＡＮコントローラ用ファームウェアが改竄されたことを通知、或いはトレース可能になる。
In S<b>1006 , the CPU 301 determines whether an alert has been notified by the alert signal 816 from the secure microcomputer 321 . This is to know whether or not the LAN controller firmware stored in the LAN controller non-volatile memory 315 has been restored by the secure microcomputer 321 (S911) before the reset of the CPU 301 is released and the operation is started. is. If it is determined that the alert has been notified, the process proceeds to S1007, and if it is determined that the alert has not been notified, the process proceeds to S1008. In S1007, the CPU 301 records in an audit log that the LAN controller firmware has been restored, and proceeds to S1008. By leaving the information in the audit log in this way, it becomes possible to notify or trace that the LAN controller firmware has been falsified.
Ｓ１００８でＣＰＵ３０１は、セキュアマイコン３２１からアラート信号８１４によりアラートが通知されたたかどうか判定する。これはプリンタＣＰＵ３４１のリセットが解除されて動作を開始する前に、セキュアマイコン３２１によって不揮発メモリ３４２に格納されているプリンタＣＰＵ用ファームウェア４３１の復旧処理（Ｓ９１７）が発生したかどうかをＣＰＵ３０１が知るためである。アラートが通知されたと判定した場合はＳ１０１０に遷移し、アラートが通知されていないと判定した場合はＳ１００９に遷移する。Ｓ１００９でＣＰＵ３０１は、プリンタＣＰＵ３４１との通信が可能かどうか判定する。これはプリンタＣＰＵ３４１へのリセットが解除されて正常に動作開始しているかどうかを確認するためである。ここでＣＰＵ３０１がプリンタＣＰＵ３４１と正常に通信できていれば、プリンタＣＰＵ用ファームウェア４３１の改竄はなく、セキュアマイコン３２１が復旧処理（Ｓ９１７）を実施する必要がなかったことをＣＰＵ３０１が知ることができる。Ｓ１００９でＣＰＵ３０１が、プリンタＣＰＵ３４１と通信ができていないと判定するとＳ１００８に遷移し、通信できていると判定すると、この処理を終了する。
In S<b>1008 , the CPU 301 determines whether an alert has been notified by the alert signal 814 from the secure microcomputer 321 . This is because the CPU 301 knows whether or not the printer CPU firmware 431 stored in the non-volatile memory 342 has been restored by the secure microcomputer 321 (S917) before the reset of the printer CPU 341 is released and the operation is started. is. If it is determined that the alert has been notified, the process proceeds to S1010, and if it is determined that the alert has not been notified, the process proceeds to S1009. In S1009, the CPU 301 determines whether communication with the printer CPU 341 is possible. This is to confirm whether the reset to the printer CPU 341 has been released and the operation has started normally. Here, if the CPU 301 can communicate normally with the printer CPU 341, the CPU 301 can know that the printer CPU firmware 431 has not been tampered with and the secure microcomputer 321 did not need to perform recovery processing (S917). If the CPU 301 determines in S1009 that communication with the printer CPU 341 is not possible, the process proceeds to S1008, and if it is determined that communication is possible, this process ends.
Ｓ１０１０でＣＰＵ３０１は、プリンタＣＰＵ用ファームウェア４３１の復旧が発生していたことを監査ログとして記録してＳ１０１１に進む。このように監査ログとして記録することで、プリンタＣＰＵ用ファームウェア４３１が改竄されたことを通知、或いはトレース可能になる。Ｓ１０１１でＣＰＵ３０１は、プリンタＣＰＵ用ファームウェア４３１の復旧に要する時間経過を計時している。セキュアマイコン３２１がアラート信号８１７でアラートを通知した後、プリンタＣＰＵ用ファームウェア４３１を復旧するため、セキュアマイコン３２１が復旧に要する時間が経過した後にＣＰＵ３０１との通信確認を実施する必要がある。Ｓ１０１１でＰＵ３０１が、復旧に要する時間が経過したと判定した場合はＳ１０１２に遷移し、そうでない場合にＳ１０１１に留まる。Ｓ１０１２でＣＰＵ３０１は、プリンタＣＰＵ３４１と通信が可能かどうか判定する。この処理は、プリンタＣＰＵ３４１のリセットが解除されて、プリンタＣＰＵ３４１が正常に動作しているかどうか確認する。ここでＣＰＵ３０１がプリンタＣＰＵ３４１と正常に通信できていると、プリンタＣＰＵ用ファームウェアウェア４３１が改竄された後に、セキュアマイコン３２１が復旧処理（Ｓ９１７）を実施して、正常に復旧できたことになる。ここでＣＰＵ３０１が、プリンタＣＰＵ３４１と通信ができていないと判定するとＳ１０１３に遷移し、通信できていると判定すると、この処理を終了する。Ｓ１０１３でＣＰＵ３０１は、プリンタＣＰＵ３４１との通信エラーが発生したことを通知して、この処理を終了する。
In S1010, the CPU 301 records, as an audit log, that the printer CPU firmware 431 has been restored, and proceeds to S1011. By recording as an audit log in this way, it becomes possible to notify or trace that the printer CPU firmware 431 has been falsified. In step S<b>1011 , the CPU 301 counts the elapsed time required for restoring the printer CPU firmware 431 . After the secure microcomputer 321 notifies the alert with the alert signal 817, the printer CPU firmware 431 is restored, so the secure microcomputer 321 needs to confirm communication with the CPU 301 after the time required for restoration has elapsed. If the PU 301 determines in S1011 that the time required for restoration has elapsed, the process proceeds to S1012, otherwise the process remains in S1011. In S1012, the CPU 301 determines whether communication with the printer CPU 341 is possible. This process confirms whether the reset of the printer CPU 341 has been released and the printer CPU 341 is operating normally. If the CPU 301 can communicate normally with the printer CPU 341, the secure microcomputer 321 performs the recovery process (S917) after the printer CPU firmware 431 has been tampered with, and has successfully recovered. Here, if the CPU 301 determines that communication with the printer CPU 341 is not possible, the process transitions to S1013, and if it is determined that communication is possible, this process ends. In S1013, the CPU 301 notifies that a communication error has occurred with the printer CPU 341, and terminates this process.
以上説明した様に実施形態２によれば、上述の実施形態１の効果に加えて、セキュアマイコンによるファームウェアの検証が完了したＣＰＵとＬＡＮコントローラのリセットを同時に解除することにより、画像形成装置の起動時間をより短くできる。このように各々のＣＰＵにおいて同時に起動させる必要があるものに関しては、同時にリセットを解除することにより、起動処理の不整合を発生させずに起動時間を、より短くできるという効果がある。
As described above, according to the second embodiment, in addition to the effects of the first embodiment described above, by simultaneously canceling the reset of the CPU and the LAN controller whose firmware has been verified by the secure microcomputer, the image forming apparatus can be started up. You can save time. As for the CPUs that need to be activated at the same time, the simultaneous release of the reset has the effect of shortening the activation time without causing inconsistency in the activation process.
尚、実施形態２に関して、複数のプロセッサやマイコンが起動処理の中で相互に関連する必要がある場合には、リセット解除を同じタイミングで実施する場合、起動処理に関連するそれぞれのファームウェアの検証がすべて完了するまではリセットを解除しない。そして、各プロセッサのうち、トータルの起動時間が長いＣＰＵのファームウェアから順次検証して、順次、リセットを解除するようにしても良い。
Regarding the second embodiment, when a plurality of processors and microcomputers need to be associated with each other in the boot process, and when the reset release is performed at the same timing, verification of each firmware related to the boot process is required. Do not release the reset until all are complete. Then, among the processors, the firmware of the CPU with the longest total startup time may be sequentially verified, and the reset may be released sequentially.
また、ユーザに通知可能なＣＰＵのファームウェアから検証を行い、そのＣＰＵのファームウェアの検証と復旧で問題があった場合は、他のＣＰＵのファームウェアの検証を実施しないようにしても良い。
Also, verification may be performed from the firmware of a CPU that can be notified to the user, and if there is a problem in verification and recovery of the firmware of that CPU, verification of firmware of other CPUs may not be performed.
図１１は、実施形態に係る画像形成装置１０の起動時間を削減するという効果を説明する図である。
FIG. 11 is a diagram for explaining the effect of reducing the startup time of the image forming apparatus 10 according to the embodiment.
まずは図１１（Ａ）に記載している従来の起動処理から説明する。
First, the conventional activation process shown in FIG. 11A will be described.
セキュアマイコンの動作１１０１は、電源投入からセキュアマイコンが各ＣＰＵ用のファームウェアの検証を行うフローを記載している。ここでは電源が投入されるとセキュアマイコンは、ＣＰＵ用ファームウェアの検証、スキャナ用ファームウェアの検証、プリンタ用ファームウェアの検証を順次実行する。こうして全てのＣＰＵのファームウェアの検証が完了すると、これらＣＰＵのリセットを解除する。
An operation 1101 of the secure microcomputer describes a flow in which the secure microcomputer verifies firmware for each CPU from power-on. Here, when the power is turned on, the secure microcomputer sequentially verifies CPU firmware, scanner firmware, and printer firmware. When the verification of the firmware of all CPUs is completed in this way, the reset of these CPUs is released.
リセット信号１１０２は、セキュアマイコンが全てのＣＰＵのファームウェアの検証を完了すると、これらＣＰＵのリセットを解除する信号を示す。リセット信号レベルがロウレベルからハイレベルになると、各ＣＰＵが起動処理を開始する。
A reset signal 1102 indicates a signal for canceling the reset of these CPUs when the secure microcomputer has completed verifying the firmware of all CPUs. When the reset signal level changes from low level to high level, each CPU starts activation processing.
次に図１１（Ｂ）を参照して、実施形態に係る画像形成装置の起動処理について説明する。
Next, startup processing of the image forming apparatus according to the embodiment will be described with reference to FIG.
セキュアマイコン動作１１１１は、電源投入からセキュアマイコン３２１が各ＣＰＵ用のファームウェアの検証を行うフローを記載している。電源が投入されるとセキュアマイコン３２１はまずＣＰＵ用ファームウェア４１１を検証する。ＣＰＵファームウェア４１１の検証が完了して異常がなければ、セキュアマイコン３２１がＣＰＵリセット信号５１２をロウレベルからハイレベルにしてＣＰＵ３０１のリセットを解除する。これによりＣＰＵ３０１が起動処理を開始する。このＣＰＵ３０１の起動状態を示しているのがＣＰＵ状態１１１３である。
A secure microcomputer operation 1111 describes a flow in which the secure microcomputer 321 verifies firmware for each CPU from power-on. When the power is turned on, the secure microcomputer 321 first verifies the CPU firmware 411 . If the verification of the CPU firmware 411 is completed and there is no abnormality, the secure microcomputer 321 changes the CPU reset signal 512 from low level to high level to release the reset of the CPU 301 . As a result, the CPU 301 starts activation processing. A CPU status 1113 indicates the activation status of the CPU 301 .
続いてセキュアマイコン３２１は、スキャナＣＰＵ用ファームウェア４２１を検証する。スキャナＣＰＵファームウェア４２１の検証が完了して異常が無ければ、セキュアマイコン３２１は、スキャナＣＰＵ３３１のリセット信号５１３をロウレベルからハイレベルにしてスキャナＣＰＵ３３１のリセットを解除する。これによりスキャナＣＰＵ３３１は起動処理を開始する。そのスキャナＣＰＵ３３１の状態を示しているのがスキャナＣＰＵ状態１１１４である。
The secure microcomputer 321 then verifies the scanner CPU firmware 421 . If the verification of the scanner CPU firmware 421 is completed and there is no abnormality, the secure microcomputer 321 changes the reset signal 513 of the scanner CPU 331 from low level to high level to release the reset of the scanner CPU 331 . As a result, the scanner CPU 331 starts activation processing. A scanner CPU state 1114 indicates the state of the scanner CPU 331 .
このようにすることで、ＣＰＵ３０１が起動処理を実施しているのと並行してスキャナＣＰＵ用ファームウェア４２１の検証をセキュアマイコン３２１が実施することが可能となり、画像形成装置の起動時間を削減することが可能となる。
By doing so, the secure microcomputer 321 can verify the scanner CPU firmware 421 in parallel with the CPU 301 executing the startup process, thereby reducing the startup time of the image forming apparatus. becomes possible.
更にセキュアマイコン３２１は、プリンタＣＰＵ用ファームウェア４３１の検証を行う。プリンタＣＰＵファームウェア４３１の検証が完了して異常がなければセキュアマイコン３２１は、プリンタＣＰＵ３４１のリセット信号５１４をロウレベルからハイレベルにする。こうしてプリンタＣＰＵ３４１のリセットを解除し、プリンタＣＰＵ３４１が起動処理を開始する。そのプリンタＣＰＵ３４１の状態を示しているのがプリンタＣＰＵ状態１１１５である。
Furthermore, the secure microcomputer 321 verifies the printer CPU firmware 431 . If the verification of the printer CPU firmware 431 is completed and there is no abnormality, the secure microcomputer 321 changes the reset signal 514 of the printer CPU 341 from low level to high level. Thus, the reset of the printer CPU 341 is released, and the printer CPU 341 starts activation processing. A printer CPU state 1115 indicates the state of the printer CPU 341 .
このようにすることで、ＣＰＵ３０１の起動処理とスキャナＣＰＵ３２１の起動処理とに並行して、セキュアマイコン３２１がプリンタＣＰＵ用ファームウェア４２１の検証を実施できるため、画像形成装置の起動時間を削減することが可能となる。
By doing so, the secure microcomputer 321 can verify the printer CPU firmware 421 in parallel with the startup processing of the CPU 301 and the startup processing of the scanner CPU 321, so that the startup time of the image forming apparatus can be reduced. It becomes possible.
（その他の実施形態）
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。
(Other embodiments)
The present invention supplies a program that implements one or more functions of the above-described embodiments to a system or apparatus via a network or a storage medium, and one or more processors in the computer of the system or apparatus reads and executes the program. It can also be realized by processing to It can also be implemented by a circuit (for example, ASIC) that implements one or more functions.
本発明は上記実施形態に制限されるものではなく、本発明の精神及び範囲から逸脱することなく、様々な変更及び変形が可能である。従って、本発明の範囲を公にするために、以下の請求項を添付する。
The invention is not limited to the embodiments described above, and various modifications and variations are possible without departing from the spirit and scope of the invention. Accordingly, to publicize the scope of the invention, the following claims are included.
