JP2023064046A

JP2023064046A - 情報処理装置、及びその起動方法

Info

Publication number: JP2023064046A
Application number: JP2022122015A
Authority: JP
Inventors: 曜子徳元; Yoko Tokumoto
Original assignee: Canon Inc
Current assignee: Canon Inc
Priority date: 2021-10-25
Filing date: 2022-07-29
Publication date: 2023-05-10

Abstract

【課題】バックアップデータを保持するためのメモリ資源の使用量を削減しつつ、プログラムの異常を検知した際の自動復旧機能を実現する情報処理装置及びその起動方法を提供する。【解決手段】情報処理装置は、複数のモジュールのうち一部のモジュールのバックアップデータを記憶し、ブートプログラムに続いて複数のモジュールを順次起動する際に、次に起動するモジュールのプログラムの正当性を検証する。また、情報処理装置は、プログラムの異常が検知されると、検証対象が一部のモジュールに含まれるモジュールである場合は情報処理装置に記憶された対応するバックアップデータを取得し、一方、検証対象が一部のモジュールに含まれないモジュールである場合は外部から対応するバックアップデータを取得し、取得したバックアップデータを用いて異常が検知されたプログラムを復旧し、正当性が検証されたプログラムを用いて対応するモジュールを起動する。【選択図】図５

Description

本発明は、情報処理装置、及びその起動方法に関するものである。

ソフトウェアの脆弱性をついて、ソフトウェアを改ざんし、コンピュータを悪用する攻撃が問題となっている。また、メモリ等の経年劣化により保持されているプログラムデータが変化してしまう可能性もある。これらの対策として、耐タンパーモジュールを用いてプログラムのハッシュ値を計算、保存しておき、起動するたびにプログラムのハッシュ値を再計算して検証を行うことでプログラムデータの異常検知を行う方法が考えられている。また、特別なハードウェアを必要とする耐タンパーモジュールを使用せず、起動時に順次プログラムを起動していく際に、次のプログラムの正解値を保持しておき正解値が一致することで各プログラムの異常検知を行う方法も考えられる。起動時において順次プログラムを起動していく際に各プログラムの異常を検知する方法では、基本的にはそのときに起動するプログラムのみ順次異常検知を行って起動する。以下、説明の簡略化のために、このような起動時の異常検知の仕組みをセキュアブートと称する。セキュアブートの仕組みは近年のセキュリティ機能の需要の高まりからデジタル複合機のファームウェアにも適用されつつある。

いずれにしても、起動中にプログラムの異常が検知されるとその装置は異常状態が解消されるまで使用不可能な状態になる。デジタル複合機のようなサービスマンによるメンテナンス契約を行うような装置の場合は、装置が使用不可能な状態に陥るとサービスマンの出動によって問題を解消し、ユーザが再び装置を使用可能になるように復旧させる必要がある。問題が生じるたびにサービスマンが出動していると、ユーザの利便性が損なわれ、サービスマンの出動コストも必要となる。

そこで、情報処理装置の起動中にソフトウェアの異常が検知されると、異常状態から自動復旧する仕組みを提供することが考えられている。例えば情報処理装置のプログラムのバックアップデータを保持しておき、異常が検知されたときに正常なバックアップデータに異常が検知されたプログラムを差し替えることで自動復旧を行うことが考えられる。特許文献１には、互いに修復機能を有する第１のファームウェア及び第２のファームウェアについて、両方をデバイス内部か又は外部サーバにバックアップしておいて自動復旧を行う技術が提案されている。当該提案においては、正常に起動できなかった場合に起動を切り替え、どちらかがもう片方のバックアップデータを焼き込んで自動復旧を実現している。

特願２００２－２１１４６０号公報

しかしながら、上記従来技術には以下に記載する課題がある。上記従来技術では、自動復旧するソフトウェアのバックアップデータを情報処理装置内に保持しており、バックアップデータ用の大容量の記憶領域が必要となってしまう。一方、バックアップデータをクラウドなどの情報処理装置の外部から取得する場合は、異常が検知された際に情報処理装置自体を外部のバックアップデータを取得できる状態まで最低限起動することができなければならない。しかし、上記従来技術では、そのような検討は行われておらず、外部からバックアップデータを取得すること自体ができない場合は自動復旧することができない。

本発明は、上述の課題の少なくとも一つに鑑みて成されたものであり、バックアップデータを保持するためのメモリ資源の使用量を削減しつつ、プログラムの異常を検知した際の自動復旧機能を実現する仕組みを提供する。

本発明は、例えば、ブートプログラムに続いて複数のモジュールを順次起動する情報処理装置であって、前記複数のモジュールのうち一部のモジュールのバックアップデータを記憶する記憶手段と、次に起動するモジュールのプログラムの正当性を検証する検証手段と、前記検証手段によってプログラムの異常が検知されると、検証対象が前記一部のモジュールに含まれるモジュールである場合は前記記憶手段に記憶された対応するバックアップデータを取得し、検証対象が前記一部のモジュールに含まれないモジュールである場合は外部から対応するバックアップデータを取得する取得手段と、前記取得手段によって取得した前記バックアップデータを用いて異常が検知されたプログラムを復旧する自動復旧手段と、前記検証手段によって正当性が検証されたプログラムを用いて対応するモジュールを起動する起動手段とを備えることを特徴とする。

本発明によれば、バックアップデータを保持するためのメモリ資源の使用量を削減しつつ、プログラムの異常を検知した際の自動復旧機能を実現することができる。

一実施形態に係る情報処理装置１００の構成を示すブロック図。一実施形態に係る情報処理装置１００のファームウェア構成図。一実施形態に係るアップデート用起動のセキュアブートと自動復旧のフローチャート。一実施形態に係る通常起動のセキュアアブートと自動復旧のフローチャート。一実施形態に係る通常起動用ファームの自動復旧処理のフローチャート。一実施形態に係るエラー表示の一例を示す図。一実施形態に係るＰＣ２６０による復旧用ファームウェアセット取得処理のフローチャート。一実施形態に係る一般公開用ファームウェアセット取得サイト画面の一例を示す図。一実施形態に係る外部サーバ２５０が有効でない場合の復旧処理のフローチャート。

以下、添付図面を参照して実施形態を詳しく説明する。なお、以下の実施形態は特許請求の範囲に係る発明を限定するものではない。実施形態には複数の特徴が記載されているが、これらの複数の特徴の全てが発明に必須のものとは限らず、また、複数の特徴は任意に組み合わせられてもよい。さらに、添付図面においては、同一若しくは同様の構成に同一の参照番号を付し、重複した説明は省略する。

＜第１の実施形態＞
＜情報処理装置の構成＞
まず図１を参照して、本実施形態に係る情報処理装置１００のハードウェア構成例を説明する。なお、本実施形態に係る情報処理装置として複合機（デジタル複合機／ＭＦＰ／ＭｕｌｔｉＦｕｎｃｔｉｏｎＰｅｒｉｐｈｅｒａｌ）を例に説明する。しかしながら、本発明を複合機に限定することを意図するのではなく、情報処理装置であれば適用可能である。

情報処理装置１００は、制御部２００、操作部２２０、プリンタエンジン２２１、スキャナエンジン２２２、及び外部電源２４０を備える。ＣＰＵ２１０を含む制御部２００は、情報処理装置１００全体の動作を制御する。ＣＰＵ２１０は、半導体記憶装置（ｅＭＭＣ）２１９に記憶された制御プログラムを読み出して読取制御や印刷制御、ファームアップデート制御などの各種制御処理を実行する。また、ｅＭＭＣ２１９は、ワークエリアやユーザデータ領域としても用いられる。ＳＰＩ－Ｆｌａｓｈ２９１は、情報処理装置１００のＢＩＯＳ、固定パラメータ、後述するＥｍｂｅｄｄｅｄＣｏｎｔｒｏｌｌｅｒ２８０で実行されるブートプログラム等を格納している。ＢＩＯＳは、ＢａｓｉｃＩｎｐｕｔ/ＯｕｔｐｕｔＳｙｓｔｅｍの略記である。本実施形態の構成では、ＳＰＩ－Ｆｌａｓｈ２９１に格納されるＢＩＯＳ、ブートプログラム等のバックアップデータを格納する別のＳＰＩ－Ｆｌａｓｈ（ＢＫ）２９２を備えている。ＲＡＭ２１２は、ＣＰＵ２１０の主メモリ、ワークエリア等の一時記憶領域として用いられる。ＳＲＡＭ２１３は不揮発メモリであり、情報処理装置１００で必要となる設定値や画像調整値などを記憶しており、電源を再投入してもデータが消えないようになっている。ＨＤＤ２１８は、ファームアップデート用のファイル格納領域を備え、画像データやユーザデータ等も記憶する。ＨＤＤ２１８は搭載されない場合もあり、その場合は、ファームアップデート用のファイル格納領域や画像データ、ユーザデータ等はすべてｅＭＭＣ２１９に格納される。

操作部Ｉ／Ｆ２１５は、操作部２２０と制御部２００とを接続する。操作部２２０には、タッチパネル機能を有する液晶表示部やキーボードなどが備えられている。プリンタＩ／Ｆ２１６は、プリンタエンジン２２１と制御部２００とを接続する。プリンタエンジン２２１内に設けられる不図示のＲＯＭにはプリンタエンジンファーム２３１が格納されている。プリンタエンジン２２１で印刷すべき画像データはプリンタＩ／Ｆ２１６を介して制御部２００からプリンタエンジン２２１に転送され、プリンタエンジン２２１において記録媒体上に印刷される。スキャナＩ／Ｆ２１７は、スキャナエンジン２２２と制御部２００とを接続する。スキャナエンジン２２２に設けられた不図示のＲＯＭにはスキャナエンジンファーム２３２が格納されている。スキャナエンジン２２２は、原稿上の画像を読み取って画像データを生成し、スキャナＩ／Ｆ２１７を介して制御部２００に入力する。

ネットワークＩ／Ｆカード（ＮＩＣ）２１４は、制御部２００（情報処理装置１００）をＬＡＮ１１０に接続する。ＮＩＣ２１４は、ＬＡＮ１１０上の外部装置（例えば、外部サーバ２５０やＰＣ２６０）に画像データや情報を送信したり、逆にアップデートファームや各種情報を受信したりする。外部サーバ２５０はインターネット上に存在するケースもありうる。ＰＣ２６０上に存在する不図示のＷｅｂブラウザから情報処理装置１００の操作を行うこともある。

Ｃｈｉｐｓｅｔ２１１はある一連の関連のある複数の集積回路を示す。ＲＴＣ２７０はＲｅａｌＴｉｍｅＣｌｏｃｋ（リアルタイムクロック）であり、計時専用のチップである。外部電源２４０はｅＭＭＣ２１９に格納される制御プログラムからの指示により電源の供給を断つが、外部電源２４０が接続されていなくとも、不図示の内蔵電池から電源供給を受けるため、スリープ時も動作することができる。これにより、Ｃｈｉｐｓｅｔ２１１に対して一部の電源供給が行われる状態では、スリープからの復帰を実現することができる。一方、Ｃｈｉｐｓｅｔ２１１に電源供給がまったく行われないシャットダウン状態の場合には、ＲＴＣ２７０は動作することができない。ＬＥＤ２９０は必要に応じて点灯し、ソフトウェアやハードウェアの異常を外部に伝えるために利用される。

ＥｍｂｅｄｄｅｄＣｏｎｔｒｏｌｌｅｒ（以下、組み込みコントローラと称する。）２８０は、ＣＰＵ２８１、ＲＯＭ２８２、及びＲＡＭ２８３を備える。組み込みコントローラ２８０内のＣＰＵ２８１は、通電されたタイミングでＲＯＭ２８２に格納されるソフトウェアプログラムを実行する。さらに、ＣＰＵ２８１は、ＳＰＩ－Ｆｌａｓｈ２９１に格納されるブートプログラムをランダムアクセスメモリであるＲＡＭ２８３に展開し、ブートプログラムを実行する。

＜ファームウェア構成＞
次に、図２を参照して、本実施形態に係る情報処理装置１００が有するファームウェアモジュールの構成例について説明する。

通信管理部３０１は、ＬＡＮ（ネットワーク）１１０に接続されるＮＩＣ２１４を制御して、ＬＡＮ１１０を介して外部とデータの送受信を行う。ＵＩ制御部３０２は、操作部Ｉ／Ｆ２１５を介して操作部２２０への入力を受け取り、入力に応じた処理や画面出力を行う。

ブートプログラム異常検知処理部３０３は組み込みコントローラ２８０内のＲＯＭ２８２に格納される。ブートプログラム異常検知処理部３０３は、情報処理装置１００の電源が投入され、通電されたタイミングでＳＰＩ－Ｆｌａｓｈ２９１に格納されるブートプログラム３０４がＲＡＭ２８３に展開されると、ブートプログラムの異常検知処理を行う。

ブートプログラム３０４はＳＰＩ－Ｆｌａｓｈ２９１に格納され、組み込みコントローラ２８０のＣＰＵ２８１で実行されるプログラムであり、起動に関わる処理を行うほかにＢＩＯＳの異常検知を行うＢＩＯＳ異常検知処理部３０５を有する。ＢＩＯＳ３０６はＳＰＩ－Ｆｌａｓｈ２９１に格納され、ブートプログラム３０４実行後にＣＰＵ２１０で実行されるプログラムで、起動に関わる処理を行うほかにローダーの異常検知を行うローダー異常検知処理部３０７を有する。

上記のブートプログラム３０４又はＢＩＯＳ３０６の異常が確認された場合に自動復旧処理を行うために、ＳＰＩ－Ｆｌａｓｈ（ＢＫ）２９２には、ブートプログラムバックアップ３０８とＢＩＯＳバックアップ３０９とが保持される。また、ローダー異常検知処理部３０７においてローダーの異常が確認された場合に自動復旧処理を行なうためにｅＭＭＣ２１９内にローダーバックアップ３１０が保持される。

ローダー３１１はＢＩＯＳ３０６の処理が終わった後にＣＰＵ２１０で実行されるプログラムであり、ｅＭＭＣ２１９内に格納され、起動に関わる処理を行うほかにカーネルの異常検知を行うカーネル異常検知処理部３１２を有する。カーネル３１３は通常起動用のプログラムであり、ローダー３１１の処理が終わった後にＣＰＵ２１０で実行されるプログラムであり、通常起動に関わる処理を行うほかに通常起動用ファームの異常検知を行うプログラム異常検知処理部３１４を有する。また、カーネルＢ３１５はローダー３１１の処理が終わった後にＣＰＵ２１０で実行されるプログラムであり、アップデート起動に関わる処理を行うほかにアップデート起動用ファームの異常検知を行うプログラム異常検知処理部Ｂ３１６を有する。ローダー３１１内のカーネル異常検知処理部３１２によってカーネルの異常が確認された際の自動復旧処理のためにカーネル３１３及びカーネルＢ３１５のそれぞれについて、カーネルバックアップ３１７及びカーネルＢバックアップ３１８が保持される。

通常起動用ファーム３１９はＣＰＵ２１０で実行されるプログラムであり、情報処理装置１００で各機能を提供する複数のプログラムからなる。例えば通常起動用ファーム３１９には、スキャナＩ／Ｆ２１７やプリンタＩ／Ｆ２１６を制御するプログラムや起動プログラムなどが含まれる。カーネル３１３によって通常起動用ファーム３１９の中から起動プログラムが呼び出され、起動処理が実行される。

アップデート起動用ファーム３２０は、アップデート用起動時にＣＰＵ２１０で実行されるプログラムであり、情報処理装置１００のファームウェアアップデートを実施するプログラム等、複数のプログラムからなる。アップデート起動用ファーム３２０は、通常起動用ファーム３１９と、図１で説明したプリンタエンジンファーム２３１とスキャナエンジンファーム２３２をアップデートする機能を有する。情報処理装置１００として例えば不図示のフィニッシャなどの、スキャナエンジンやプリンタエンジン以外の構成が接続された場合も同様に、対応するファームウェアをアップデートとすることができる。また、アップデート起動用ファーム３２０は、ファームウェアをアップデートするための更新用ファームを外部から取得する機能を有する。更新用ファームはＬＡＮ１１０上の外部装置（例えば、外部サーバ２５０やＰＣ２６０）から取得することができる。また、ＵＳＢメモリ等のリムーバブルメディア（外部メモリ）を情報処理装置１００に接続し、当該メディアから更新用ファームを取得することも可能である。前述のカーネルＢ３１５内のプログラム異常検知処理部Ｂ３１６によって、アップデート起動用ファーム３２０の異常が確認された場合に自動復旧処理を行うためにアップデート起動用ファームバックアップ３２１が保持されている。

起動に最低限必要なプログラムとして、情報処理装置１００内に自動復旧のためにバックアップデータを保持しているのは、ブートプログラム３０４、ＢＩＯＳ３０６、ローダー３１１、カーネル３１３、及びカーネルＢ３１５である。カーネル又はカーネルＢまで順次起動することで、情報処理装置１００はＯＳ（オペレーションシステム）まで起動した状態になる。しかし、ここまでの起動では、情報処理装置１００のＯＳ上で動作するアプリケーションソフトウェアで実現される機能はまだ起動されておらず利用できない。具体的には、これらの機能には、例えばｅＭＭＣ２１９やＨＤＤ２１８の必要な領域をマウントして使用できるようにする機能、外部と通信するネットワーク機能、ファームウェアアップデート機能、及びプリント、スキャン機能等が含まれる。即ち、カーネル又はカーネルＢまでのプログラムの起動では外部からデータを取得して復旧を行う処理は実施できないため、情報処理装置１００内にバックアップデータを保持しておかないと自動復旧を実施することができない。

そこで、本実施形態によれば、上記の、起動に最低限必要なプロブラムに加えて、アプリケーションソフトェアとして、アップデート起動用ファーム３２０のバックアップデータを情報処理装置１００内に保持する。アップデート起動用ファーム３２０は、ｅＭＭＣ２１９やＨＤＤ２１８のマウント機能、外部と通信するネットワーク機能、外部からファームウェアを取得してアップデートを行うファームウェアアップデート機能等を有している。情報処理装置１００上のアプリケーションソフトウェアの中では、アップデート起動用ファーム３２０のバックアップデータを情報処理装置１００内に保持しておけばよい。これにより、それ以外のアプリケーションソフトウェアのバックアップデータは外部（例えば、外部サーバ２５０やＰＣ２６０或いはＵＳＢメモリなどの外部メモリ）から取得することが可能になる。

このように、本実施形態に係る情報処理装置１００は、起動に最低限必要なプログラムとアップデート起動用ファーム３２０とを情報処理装置１００内にバックアップしておき、外部から取得することなく自動復旧可能にしておく。その上でその他の情報処理装置１００上の機能を実現するためのアプリケーションソフトウェア（本実施形態では通常起動用ファーム３１９）を外部から取得して自動復旧可能としている。

また、前述のカーネル３１３内のプログラム異常検知処理部３１４によって通常起動用ファーム３１９の異常が確認された場合に自動復旧処理を行うために、ｅＭＭＣ２１９内には、不揮発情報として通常起動用ファーム自動復旧情報３２２がある。ＨＤＤ２１８内には、ダウンロードしたファームウェアを一時的に配置するダウンロード領域３２３が設けられる。また、情報処理装置１００を起動するための前述の各モジュールの組み合わせをファームウェアセットとして扱い、ファームウェアセットに対するバージョンを付与し、ｅＭＭＣ２１９内に、ファームウェアセットバージョン情報３２４として保持している。本実施形態においては、情報処理装置１００の動作保証の観点で、ファームウェアセットとして各モジュールの組み合わせを含めて動作保証しているものとする。例えばユーザが一般公開用ファームウェア取得サイトからファームウェアを取得する際には、各モジュールの組み合わせも保証したファームウェアセットとして公開されたものを取得する。

情報処理装置１００は起動モードを切り替えながらアップデートを実現する。起動モードには、カーネル３１３と通常起動用ファーム３１９が動作する通常起動（通常モード）と、カーネルＢ３１５とアップデート起動用ファーム３２０が動作するアップデート用起動（アップデートモード）とが含まれる。またそれぞれ、起動モードの切り替えを行う機能を有し、ローダー３１１がＳＲＡＭ２１３に保存される起動モードの情報に応じて通常起動とアップデート用起動を行う。

＜セキュアブートと自動復旧処理＞
ここで、本実施形態に係るセキュアブートと自動復旧処理について説明する。本実施形態に係るセキュアブートの方法では、ブートプログラム３０４、ＢＩＯＳ３０６、ローダー３１１、及び通常起動であればカーネル３１３と通常起動用ファーム３１９が順次、異常検知を行いながら起動される。即ち、次に起動するモジュールを検証対象としながらそのプログラムの異常検知を実施し、正常と判断されたプログラムを用いて起動処理を行うものである。アップデート用起動であればローダー３１１以降はカーネルＢ３１５とアップデート起動用ファーム３２０が順次、異常検知を行いながら起動される。異常が検知されると、情報処理装置１００内に用意されたバックアップデータが存在する場合は、バックアップデータによって異常が検知されたプログラムを修復し、次のプログラムの起動を継続する。情報処理装置１００内の各プログラムのバックアップデータは、ブートプログラムバックアップ３０８、ＢＩＯＳバックアップ３０９、ローダーバックアップ３１０、カーネルバックアップ３１７、及びカーネルＢバックアップ３１８が保持される。さらに、バックアップデータとして、アップデート起動用ファームバックアップ３２１が情報処理装置１００内に保持される。

通常起動用ファーム３１９については、情報処理装置１００内にバックアップデータを保持していない。したがって、前述の情報処理装置１００内のバックアップデータによって自動復旧可能なプログラムを使用して、外部から同等のプログラムを取得してアップデートによる修復を行うことで自動復旧が行われる。一方でアップデート起動用ファーム３２０は、上述したように、アップデート起動用ファームバックアップ３２１として予めバックアップされている。このアップデート起動用ファーム３２０で起動を行うと、外部との通信を行う機能が含まれており、通常起動用ファーム３１９のバックアップデータを外部から取得することができる。したがって、本実施形態によれば、通常起動用ファーム３１９に異常が検知されると、アップデート起動用ファーム３２０で再起動を行い、通常起動用ファーム３１９のバックアップデータを外部から取得する。

ブートプログラム３０４にはＢＩＯＳ署名検証用の公開鍵、ＢＩＯＳ３０６にはＢＩＯＳ署名とローダー検証用公開鍵、ローダー３１１にはローダー署名とカーネル検証用公開鍵、カーネルＢ検証用公開鍵が含まれているものとする。また、カーネル３１３にはカーネル署名と通常起動用ファーム検証用公開鍵、通常起動用ファーム３１９には通常起動用ファーム署名が含まれているものとする。さらにカーネルＢ３１５にはカーネルＢ署名とアップデート起動用ファーム検証用公開鍵が、アップデート起動用ファーム３２０にはアップデート起動用ファーム用署名が含まれているものとする。これらの公開鍵と署名は予め情報処理装置１００の出荷前にプログラムに対して付与されたものとする。３０３、３０５、３０７、３１２、３１４、３１６の検証部が各プログラムを検証し、問題がなければ次のプログラムを起動することで異常検知を行う情報処理装置１００の起動（セキュアブート）が行われる。

＜アップデート起動時のセキュアブート＞
次に、図３を参照して、本実施形態に係る情報処理装置１００のアップデート起動時のセキュアブートの処理手順を説明する。情報処理装置１００に電源を投入すると、組み込みコントローラ２８０内のＣＰＵ２８１は、通電されるとＲＯＭ２８２に格納されるブートプログラム異常検知処理部３０３を実行する。

Ｓ３０１でＣＰＵ２８１は、ＳＰＩ－Ｆｌａｓｈ２９１に格納されるブートプログラム３０４をＲＡＭ２８３に展開し、ブートプログラム３０４の正当性を検証する。異常が検知された場合はＳ３０２に進み、そうでない場合はＳ３０５に進む。Ｓ３０２でＣＰＵ２８１は、ＳＰＩ－Ｆｌａｓｈ（ＢＫ）２９２に格納されているブートプログラムバックアップ３０８を、異常が検知されたＳＰＩ－Ｆｌａｓｈ２９１のブートプログラム３０４に上書きコピーする。続いて、Ｓ３０３でＣＰＵ２８１は、ブートプログラム異常検知処理部３０３により再度バックアップからコピーされたブートプログラム３０４を検証する。バックアップからコピーされたブートプログラム３０４の検証に失敗した場合はＳ３０４に進み、ＣＰＵ２８１は、ＬＥＤ２９０を点灯させ、本処理を終了する。一方、Ｓ３０３で検証に成功した場合は処理をＳ３０５に進める。

Ｓ３０５でＣＰＵ２８１は、ブートプログラム３０４を起動して実行する。ここで、ブートプログラム３０４に含まれるＢＩＯＳ異常検知処理部３０５は、ＳＰＩ－Ｆｌａｓｈ２９１から、ＢＩＯＳ３０６、ローダー検証用公開鍵、及びＢＩＯＳ署名をＲＡＭ２８３に読み込む。続いて、Ｓ３０６でＢＩＯＳ異常検知処理部３０５は、ＢＩＯＳ検証用公開鍵を用いてＢＩＯＳ署名の検証を行い、検証に成功したか否かを判定する。署名の検証に失敗した場合Ｓ３０７に進み、ＢＩＯＳ異常検知処理部３０５は、ＳＰＩ－Ｆｌａｓｈ（ＢＫ）２９２に格納されているＢＩＯＳバックアップ３０９をコピーし、異常が検知されたＢＩＯＳ３０６を書き替える。その後、Ｓ３０８でＢＩＯＳ異常検知処理部３０５は再度バックアップからコピーされたＢＩＯＳ３０６を検証する。バックアップからコピーされたＢＩＯＳ３０６の署名の検証に失敗した場合はＳ３０４に進み、ＢＩＯＳ異常検知処理部３０５はＬＥＤ２９０を点灯させ、本処理を終了する。一方、署名の検証に成功した場合、ＢＩＯＳ異常検知処理部３０５はＣＰＵ２１０に通電し、ブートプログラムの処理を終了し、処理をＳ３０９に進める。ここまでの処理は組み込みコントローラ２８０のＣＰＵ２８１によって実行される。

Ｓ３０９で、ＣＰＵ２１０は通電されると、ＳＰＩ－Ｆｌａｓｈ２９１からＢＩＯＳ３０６及びローダー検証用公開鍵をＲＡＭ２１２に読み込み、ＢＩＯＳ３０６を起動する。以降の処理はすべてＣＰＵ２１０によって実行されるものとして説明する。ＢＩＯＳ３０６は起動されると、各種初期化処理を行い、ＢＩＯＳ３０６に含まれるローダー異常検知処理部３０７がｅＭＭＣ２１９からローダー３１１、カーネル検証用公開鍵、及びローダー署名をＲＡＭ２１２に読み込む。続いて、Ｓ３１０でローダー異常検知処理部３０７は、ローダー検証用公開鍵を用いてローダー署名の検証を行い成功したか否かを判定する。署名の検証に失敗した場合はＳ３１１に進み、成功した場合はＳ３１４に進む。Ｓ３１１でローダー異常検知処理部３０７は、ローダーバックアップ３１０をコピーし、改ざんされたと検知されたローダー３１１を書き替える。続いて、Ｓ３１２でローダー異常検知処理部３０７は再度バックアップからコピーされたローダー３１１を検証する。バックアップからコピーされたローダー３１１の署名の検証に失敗した場合はＳ３１３に進み、ローダー異常検知処理部３０７は操作部２２０に図６（Ａ）のエラーコードを表示して本処理を終了する。署名の検証に成功した場合、ローダー異常検知処理部３０７は処理を終了し、ＢＩＯＳ３０６がＲＡＭ２１２に読み込まれたローダー３１１を起動する。

Ｓ３１４でローダー３１１は起動されると、各種初期化処理を行い、ＳＲＡＭ２１３を参照して起動モード等のフラグの確認を行う。本実施形態ではアップデート用起動時の例で説明するため、ここではＳＲＡＭ２１３ではカーネルＢ３１５とアップデート起動用ファーム３２０を起動するアップデート起動の起動モードが選択されるフラグが立っていることを前提とする。したがって、ローダー３１１はアップデート起動用のカーネルＢ３１５の起動を開始する。ローダー３１１に含まれるカーネル異常検知処理部３１２はｅＭＭＣ２１９からカーネルＢ３１５とアップデート起動用ファーム検証用公開鍵とカーネルＢ署名とをＲＡＭ２１２に読み込む。さらに、Ｓ３１５でカーネル異常検知処理部３１２は、カーネルＢ検証用公開鍵を用いて、カーネルＢ署名の検証を行い成功したか判定する。署名の検証に失敗した場合はＳ３１６に進み、成功した場合はＳ３１８に進む。

Ｓ３１６でカーネル異常検知処理部３１２はカーネルＢバックアップ３１８をコピーし、異常が検知されたカーネルＢ３１５を書き替える。続いて、Ｓ３１７でカーネル異常検知処理部３１２は、再度バックアップからコピーされたカーネルＢ３１５を検証する。バックアップからコピーされたカーネルＢ３１５の署名の検証に失敗した場合はＳ３１３に進み、カーネル異常検知処理部３１２は操作部２２０に図６（Ａ）に示すエラーコードを表示して本処理を終了する。一方、署名の検証に成功した場合はカーネル異常検知処理部３１２は処理を終了し、Ｓ３１８に進んでローダー３１１がＲＡＭ２１２に読み込まれたカーネルＢ３１５を起動する。

カーネルＢ３１５は起動されると、各種初期化処理を行う。その後カーネルＢ３１５に含まれるプログラム異常検知処理部Ｂ３１６がｅＭＭＣ２１９からアップデート起動用ファーム３２０とアップデート起動用ファーム署名とをＲＡＭ２１２に読み込む。カーネルＢ３１５まで起動されると、情報処理装置１００としてはＯＳまで起動された状態になる。しかし、ＯＳ上で起動するアプリケーションソフトウェア（アップデート起動用ファーム３２０）はまだ起動前となる。したがって、この段階ではマウント処理、外部とのネットワーク通信処理、及びファームウェアアップデート処理等はまだ実施することができない。

次に、Ｓ３１９でプログラム異常検知処理部Ｂ３１６は、アップデート起動用ファーム検証用公開鍵を用いて、アップデート起動用ファーム署名の検証を行い成功したか判定する。署名の検証に失敗した場合はＳ３２０に進み、成功した場合はＳ３２２に進む。Ｓ３２０でプログラム異常検知処理部Ｂ３１６は、アップデート起動用ファームバックアップ３２１をコピーし、異常が検知されたアップデート起動用ファーム３２０を書き替える。続いて、Ｓ３２１でプログラム異常検知処理部Ｂ３１６は再度バックアップからコピーされたアップデート起動用ファーム３２０を検証する。バックアップからコピーされたアップデート起動用ファーム３２０の署名の検証に失敗した場合はＳ３１３に進み、プログラム異常検知処理部Ｂ３１６は操作部２２０に図６（Ａ）に示すエラーコードを表示して処理を終了する。一方、署名の検証に成功した場合は、プログラム異常検知処理部Ｂ３１６は処理を終了し、Ｓ３２２でアップデート起動用ファーム３２０を起動し、本処理を終了する。

＜通常起動時のセキュアブート＞
次に、図４を参照して、本実施形態に係る情報処理装置１００の通常起動時のセキュアブートの処理手順を説明する。バックアップデータが情報処理装置１００内に予め保持されているプログラムについては、前述の図３のアップデート起動時のセキュアブートと同様に異常を検知して自動復旧することが可能である。通常起動の処理時は、Ｓ４０１～Ｓ４１３までの処理は図３のＳ３０１～Ｓ３１３と同様であり、Ｓ４１４において、ＳＲＡＭ２１３にカーネル３１３と通常起動用ファーム３１９とを起動する通常起動の起動モードが選択されるフラグが立っている。ローダー３１１はフラグを確認後、Ｓ３１５～Ｓ３１８のアップデート起動用のカーネルＢ３１５と同様に、Ｓ４１５～Ｓ４１８で、カーネル異常検知処理部３１２によって通常起動用のカーネル３１３の異常検知処理と、異常が検知されれば自動復旧処理とを行う。検証に成功すると、通常起動用のカーネル３１３の起動が開始される。

カーネル３１３は起動されると、各種初期化処理を行う。続いてカーネル３１３に含まれるプログラム異常検知処理部３１４がｅＭＭＣ２１９から通常起動用ファーム３１９と通常起動用ファーム署名とをＲＡＭ２１２に読み込む。カーネル３１３まで起動すると、情報処理装置１００としてはＯＳまで起動された状態になる。しかし、ＯＳ上で起動するアプリケーションソフトウェア（通常起動用ファーム３１９）はまだ起動前となる。したがって、この段階ではマウント処理、外部とのネットワーク通信処理、及び情報処理装置１００に接続される各エンジンを制御するプリント、スキャン処理等はまだ実施することができない。

Ｓ４１９でプログラム異常検知処理部３１４は、通常起動用ファーム検証用公開鍵を用いて、通常起動用ファーム署名の検証を行い成功したか判定する。署名の検証に失敗した場合はＳ４２０に進み、プログラム異常検知処理部３１４は、後述する通常起動用ファームの自動復旧処理を行う。当該自動復旧処理については図５を用いて後述する。一方、署名の検証に成功した場合は、プログラム異常検知処理部３１４は処理を終了し、Ｓ４２１で通常起動用ファーム３１９を起動し、処理を終了する。

＜通常起動用ファームの自動復旧＞
次に、図５を参照して、図４のＳ４２０の通常起動用ファーム３１９の自動復旧処理の詳細な処理手順を説明する。なお、以下で説明する処理は図４のＳ４１９で通常起動用ファーム３１９の異常が検知された場合に行われる。

まずＳ５０１でプログラム異常検知処理部３１４は、ＳＲＡＭ２１３にアップデート用起動フラグを立て、通常起動用ファーム自動復旧情報３２２に自動復旧フラグを立て、リブート処理を指示する。情報処理装置１００はリブートを開始し、Ｓ５０２でアップデート起動を開始する。ここでは図３のＳ３０１～Ｓ３２１のアップデート起動処理を行い、Ｓ５０３で、プログラム異常検知処理部Ｂ３１６はアップデート起動用ファーム３２０を起動する。Ｓ５０２、Ｓ５０３のアップデート起動処理については、前述の通り、異常があっても情報処理装置１００内のバックアップデータによって自動復旧して起動が進む。アップデート起動時のカーネルＢ３１５までの起動ではまだ外部との通信ができないが、Ｓ５０３のアップデート起動用ファーム３２０の起動まで完了することで、外部とのネットワーク通信が可能となる。したがって、これ以降においては通常起動用ファーム３１９と同等のデータを外部から取得可能になる。Ｓ５０４以降の処理において、アップデート起動用ファーム３２０の処理にて通常起動用ファーム３１９と同等のデータを外部から取得してアップデートすることによって、異常が検知された通常起動用ファーム３１９の自動復旧を行う。

Ｓ５０４でアップデート起動用ファーム３２０は、通常起動用ファーム自動復旧情報３２２に自動復旧フラグが立っているかどうか確認する。自動復旧フラグが立っていなければそのまま本処理を終了する。一方、自動復旧フラグが立っていればＳ５０５に進み、アップデート起動用ファーム３２０は、外部サーバ２５０が有効であるかどうかを確認する。ここでいう外部サーバ２５０が有効とは、情報処理装置１００がＬＡＮ１１０上又はインターネット上の外部サーバ２５０と通信でき、かつ、外部サーバ２５０からファームをダウンロードしアップデート可能な設定になっているかどうかである。外部サーバ２５０が有効でない場合はＳ５０６に進み、ファームのアップデートによって復旧可能であることを示す図６（Ａ）とは異なる図６（Ｂ）のエラーコード表示を行い、本処理を終了する。これにより、外部サーバ２５０が有効でないためにアップデートによって異常状態からの復旧の見込みがあるのに実施できないことを、ユーザから出動を要請されたサービスマンへエラーコードとして表示することができる。したがって、サービスマンは復旧方法の判断材料としてエラーコードを確認することができる。この場合サービスマンは、例えば外部サーバ２５０との通信を有効にするように、復旧処理を手動で行い、その後、後述するＳ５０５の処理から再開させることで容易に復旧処理を行うことができる。復旧処理の詳細については後述する。

また、上記エラーコードに加えて、バックアップデータを取得するためのＵＲＬなどの接続先の情報を出力してもよい。これにより、より容易に復旧処理を行うことができる。例えば、デバイスは通常起動用ファームの異常を検知した段階でアップデート起動用ファームでリブートし、ユーザが更新用のファームをインストールできる状態で待機する。また、ユーザは表示されたＵＲＬからファームを取得し、リモートＵＩやＵＳＢメモリ経由で通常起動用ファームの更新を行う。これにより外部サーバ２５０との通信が有効でない場合であっても、通常起動用ファームを更新することができる。

一方、Ｓ５０５で外部サーバ２５０が有効であると判断するとＳ５０７に進み、アップデート起動用ファーム３２０は、外部サーバ２５０から現状異常が検知された通常起動用ファーム３１９と同じバージョンのファームをダウンロードする。Ｓ５０８でアップデート起動用ファーム３２０は、外部サーバ２５０からファームのダウンロード中にエラーが発生したかどうかを判断する。エラーが発生した場合はＳ５０９に進み、アップデート起動用ファーム３２０は、操作部２２０に図６（Ａ）のエラーコードを表示し処理を終了する。

ファームのダウンロードが無事完了するとＳ５１０に進み、アップデート起動用ファーム３２０は、異常が検知されている通常起動用ファーム３１９を外部サーバ２５０からダウンロードした同一バージョンのファームにアップデートする。続いてＳ５１１でアップデート起動用ファーム３２０は、アップデート中にエラーが発生したかどうかを判断する。エラーが発生した場合はＳ５０９に進み、アップデート起動用ファーム３２０は操作部２２０に図６（Ａ）のエラーコードを表示し処理を終了する。一方、通常起動用ファーム３１９のアップデートに成功するとＳ５１２に進み、アップデート起動用ファーム３２０はリブートして通常起動する。

以上の処理により、情報処理装置１００内にバックアップデータを保持していない通常起動用ファーム３１９に異常があった場合は、アップデート用起動に切り替え、外部サーバ２５０から同一バージョンの通常起動用ファームを取得する。これにより、取得した通常起動用ファームを用いてアップデートすることができ、異常状態から自動復旧することができる。

＜別デバイスによりファームウェアを取得した場合の復旧方法＞
次に、上記Ｓ５０６の外部サーバ２５０が有効でない場合に、ユーザの別デバイスによるファームウェア取得による復旧の処理手順について説明する。前述の通り、外部サーバ２５０が有効でない場合は情報処理装置１００が外部サーバ２５０からファームウェアをダウンロードしてアップデートすることができない。このように異常状態からの復旧が実施できない場合には、図６（Ｂ）に示すエラーコード表示でバックアップデータを取得するためのＵＲＬなどの接続先の情報を出力することが可能である。その際、表示されたＵＲＬ（例えば、契約を必要としない一般公開用のファームウェア取得サイト等）からバックアップデータ相当のファームウェアをユーザが別のデバイスを介して取得することできる。ここで、別のデバイスとは、ダブレット端末、スマートフォン、パーソナルコンピュータ等を含むブラウザを利用できるユーザのＰＣ２６０を想定している。

図７を参照して、ユーザのＰＣ２６０において、復旧用のファームウェアを取得する処理手順について説明する。以下で説明する処理は、例えばＰＣ２６０の不図示のＣＰＵがＲＯＭ等のメモリに格納されているプログラムをＲＡＭに読み出して実行することにより実現される。

まず、Ｓ７０１でＰＣ２６０のＣＰＵは、情報処理装置１００の操作部２２０に表示された図６（Ｂ）の接続先情報を取得する。当該接続情報はＰＣ２６０のユーザインタフェースを介してユーザ操作を受け付けることにより入力される。ここで操作部２２０に表示される接続先情報としては、一般公開用のファームウェア取得サイト上で適切なファームウェアセットを特定するための、情報処理装置１００の機種情報、現状のファームウェアバージョン情報などを含む。表示形式としてはＵＲＬのみならず、ＱＲコード（登録商標）形式で表示してもよい。ここでいうファームウェアセットとは、情報処理装置１００内に含まれるすべてのプログラムを含むものであり、ファームウェアセット全体に対してバージョンが付与されているものとする。もちろん本発明を限定する意図はなく、他の形態でバージョンが付与されてもよい。

次にＳ７０２でＰＣ２６０のＣＰＵは、ユーザ操作を介して入力された接続情報に基づいて、一般公開用のファームウェア取得サイトにアクセスし、Ｓ７０３でファームウェアセットの情報を取得して表示する。一般公開用のファームウェア取得サイトでは、送信された機種情報及びファームウェア情報に基づいて、復旧に適切なファームウェアセットを表示する。図８は、一般公開用のファームウェアサイトにアクセスした際のＰＣ２６０の画面のブラウザ上に表示される画面例を示す。図８に示すように、当該画面では、情報処理装置１００と同一バージョンのファームウェアセットだけでなく、最新のファームウェアセットもダウンロード可能なファームウェアセットとして表示することもできる。当該画面では、各バージョンに対してダウンロードを指示するボタンが選択可能に表示される。

外部サーバ２５０が有効になっていない情報処理装置１００は、サービスメンテナンス契約として、定期的な自動アップデートの契約がなされておらず、インストールされているファームウェアセットが最新でないことも考えられる。最新のファームウェアセットにはセキュリティ上の脆弱性対応が入っている可能性もあり、ユーザは最新のファームウェアセットを選択することで、よりセキュアなファームウェアセットに復旧することが可能になる。現在ユーザが使用しているファームウェアセットバージョンに明らかなセキュリティ上の脆弱性やその他のバグなどの障害がある場合も想定される。そのような場合には、一般公開用のファームウェアサイトでは、最初から、情報処理装置１００に現在インストールしてあるバージョンのファームウェアセットを表示しないようにすることもできる。

次にＳ７０４でＰＣ２６０のＣＰＵは、選択されたファームウェアセットをダウンロードし、Ｓ７０５でＰＣ２６０からネットワーク１１０を介して、情報処理装置１００にダウンロードしたファームウェアセットを送信する。或いは、一度ＵＳＢメモリ等のリムーバブルメディア（外部メモリ）にファームウェアセットを移し、情報処理装置１００に当該外部メモリを接続することによってファームウェアセットを提供してもよい。

次に図９を参照して、情報処理装置１００において、別デバイスであるＰＣ２６０を介して取得したファームウェアセットによって復旧する処理手順について説明する。Ｓ９０１～Ｓ９０５については、上記Ｓ５０１～Ｓ５０５と同様の制御となるため説明を省略する。

Ｓ９０５でアップデート起動用ファーム３２０は、外部サーバ２５０が有効であると判断するとＳ９０６に進み、外部サーバ２５０が有効である場合の自動復旧処理を開始し、Ｓ９０６、Ｓ９０７、Ｓ９０８を実施する。Ｓ９０６、Ｓ９０７、Ｓ９０８はＳ５０７、Ｓ５０８、Ｓ５１０と同様の処理であるため説明を省略する。

一方、外部サーバ２５０が有効でない場合はＳ９０９に進み、アップデート起動用ファーム３２０はファームウェア受付可能状態で待機を開始する。続いてＳ９１０でアップデート起動用ファーム３２０は、操作部２２０に図６（Ｂ）のエラー画面を表示する。上述したように、当該エラー画面には、エラーコードとともに、復旧方法を示すメッセージ、一般公開用のファームサイト、機種、及びファームウェアセットバージョンなどの情報が表示される。

次にＳ９１１でアップデート起動用ファーム３２０は、ＰＣ２６０等の別デバイスにおいてダウンロードした（Ｓ７０１～Ｓ７０５）ファームセットを取得する。続いてＳ９１２でアップデート起動用ファーム３２０は、現状のファームウェアセットバージョンと、復旧するために取得したファームウェアセットバージョンとを比較する。具体的には、ファームウェアセットバージョン情報３２４と取得したファームウェアセットが保持しているバージョン情報との比較を行う。ファームウェアセットバージョンが一致していた場合はＳ９１３に進み、アップデート起動用ファーム３２０は、取得したファームセットのうち、異常が検知されたプログラムのみアップデートを行う。本実施形態では、情報処理装置１００にバックアップデータとして保持していない通常起動用ファーム３１９に相当する。

一方、ファームウェアセットバージョンが不一致の場合はＳ９１４に進み、アップデート起動用ファーム３２０は、情報処理装置１００内のすべてのプログラムを、取得したファームウェアセットにアップデートする。これは、ファームウェアセットバージョンが現状と異なる場合、ユーザが一般公開用のウェブサイトにおいて最新のファームウェアセットを選択してダウンロードしたと考えられるためである。したがって、プログラムの異常の有無に関わらず、すべてのプログラムを、取得したファームウェアセットに含まれるプログラムにアップデートする。これにより、最新ファームウェアセットに情報処理装置１００のすべてのプログラムがアップデートされるため、情報処理装置１００をよりセキュアな状態に復旧することが可能になる。Ｓ９１５、Ｓ９１６、Ｓ９１７については、それぞれＳ５１１、Ｓ５０９、Ｓ５１２と同様の処理であるため説明を省略する。

以上説明したように、本実施形態に係る情報処理装置は、ブートプログラムに続いて複数のモジュールを順次起動するセキュアブートを行うものである。また、本情報処理装置は、複数のモジュールのうち一部のモジュールのバックアップデータを記憶し、次に起動するモジュールのプログラムの正当性を検証する。また、本情報処理装置は、プログラムの異常が検知されると、検証対象が一部のモジュールに含まれるモジュールである場合は情報処理装置に記憶された対応するバックアップデータを取得する。一方、検証対象が一部のモジュールに含まれないモジュールである場合は外部から対応するバックアップデータを取得する。さらに、本情報処理装置は、取得したバックアップデータを用いて異常が検知されたプログラムを復旧し、正当性が検証されたプログラムを用いて対応するモジュールを起動する。このように、本実施形態によれば、情報処理装置１００の起動の初期に関わるプログラム（ブートプログラム３０４、ＢＩＯＳ３０６、ローダー３１１、カーネル３１３、カーネルＢ３１５）のバックアップデータのみを情報処理装置１００に保持する。さらに、外部から必要なプログラムを取得しアップデートできるアップデート起動用ファーム３２０は、情報処理装置１００内にバックアップデータを保持する。これにより、情報処理装置１００内にバックアップデータを保持していない通常起動用ファーム３１９に異常があった場合は、アップデート用起動に切り替えて外部サーバ２５０から同一バージョンの通常起動用ファームを取得し、自動復旧することができる。このように本発明では、通信機能を実現する必要最低限のバックアップデータを装置に予め保持し、その他のバックアップデータは外部から取得することにより、バックアップデータによるメモリ資源の使用量を削減している。よって、本発明によれば、バックアップデータを保持するためのメモリ資源の使用量を削減しつつ、プログラムの異常を検知した際の自動復旧機能を実現することができる。

＜その他の実施形態＞
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサーがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

発明は上記実施形態に制限されるものではなく、発明の精神及び範囲から離脱することなく、様々な変更及び変形が可能である。従って、発明の範囲を公にするために請求項を添付する。

１００：情報処理装置、１１０：ＬＡＮ、２００：制御部、２１０：ＣＰＵ、２１１：チップセット、２１２：ＲＡＭ、２１３：ＳＲＡＭ、２１４：ＮＩＣ、２１５：操作部Ｉ／Ｆ、２１６：プリンタＩ／Ｆ、２１７：スキャナＩ／Ｆ、２１８：ＨＤＤ、２１９：ｅＭＭＣ、２２０：操作部、２２１：プリンタエンジン、２２２：スキャナエンジン、２３１：プリンタエンジンファーム、２３２：スキャナエンジンファーム、２４０：外部電源、２５０：外部サーバ、２６０：ＰＣ、２８０：組み込みコントローラ、２８１：ＣＰＵ、２８２：ＲＯＭ、２８３：ＲＡＭ、２９０：ＬＥＤ、２９１：ＳＰＩ－Ｆｌａｓｈ、２９２：ＳＰＩ－Ｆｌａｓｈ（ＢＫ）

Claims

ブートプログラムに続いて複数のモジュールを順次起動する情報処理装置であって、
前記複数のモジュールのうち一部のモジュールのバックアップデータを記憶する記憶手段と、
次に起動するモジュールのプログラムの正当性を検証する検証手段と、
前記検証手段によってプログラムの異常が検知されると、検証対象が前記一部のモジュールに含まれるモジュールである場合は前記記憶手段に記憶された対応するバックアップデータを取得し、検証対象が前記一部のモジュールに含まれないモジュールである場合は外部から対応するバックアップデータを取得する取得手段と、
前記取得手段によって取得した前記バックアップデータを用いて異常が検知されたプログラムを復旧する自動復旧手段と、
前記検証手段によって正当性が検証されたプログラムを用いて対応するモジュールを起動する起動手段と
を備えることを特徴とする情報処理装置。
前記一部のモジュールには前記取得手段によって前記外部から対応するバックアップデータを取得する機能を実現するモジュールが含まれることを特徴とする請求項１に記載の情報処理装置。
前記取得手段は、前記外部から前記バックアップデータを取得できない場合に、その旨を示すエラーコードを出力することを特徴とする請求項１又は２に記載の情報処理装置。
前記取得手段は、前記エラーコードとともにさらに前記バックアップデータを取得するための接続先の情報を出力することを特徴とする請求項３に記載の情報処理装置。
前記一部のモジュールには、少なくとも、ＢＩＯＳ（ＢａｓｉｃＩｎｐｕｔ/ＯｕｔｐｕｔＳｙｓｔｅｍ）、ローダー、第１カーネル、及び第２カーネルが含まれ、
前記取得手段は、前記ＢＩＯＳ、前記ローダー、前記第１カーネル、及び前記第２カーネルの何れかに異常が検知された場合には、前記記憶手段に記憶された前記バックアップデータを取得することを特徴とする請求項１乃至４の何れか１項に記載の情報処理装置。
前記複数のモジュールには、通常モードで起動する通常起動用ファームと、アップデートモードで起動するアップデート起動用ファームとが含まれ、
前記取得手段は、前記アップデート起動用ファームに異常が検知された場合には、前記記憶手段に記憶されたバックアップデータを取得し、前記通常起動用ファームに異常が検知された場合には、前記通常モードによる起動からアップデートモードによる起動に切り替え、前記アップデート起動用ファームが前記外部から異常が検知された前記通常起動用ファームのバックアップデータを取得することを特徴とする請求項１乃至５の何れか１項に記載の情報処理装置。
前記ブートプログラムの正当性を検証し、異常が検知された場合には前記記憶手段に記憶された前記ブートプログラムのバックアップデータを用いて復旧し、ブートプログラムを起動する組み込みコントローラをさらに備えることを特徴とする請求項１乃至６の何れか１項に記載の情報処理装置。
前記取得手段は、前記外部から対応するバックアップデータを取得する場合に、ネットワークを介して外部装置から前記バックアップデータを取得することを特徴とする請求項１乃至７の何れか１項に記載の情報処理装置。
前記取得手段は、前記外部から対応するバックアップデータを取得する場合に、前記情報処理装置に接続される外部メモリから前記バックアップデータを取得することを特徴とする請求項１乃至７の何れか１項に記載の情報処理装置。
前記取得手段は、前記外部から対応するバックアップデータを取得する場合に、異常があったプログラムに該当するバックアップデータだけでなく、前記情報処理装置に含まれるすべてのプログラムをファームウェアセットとして取得することを特徴とする請求項１乃至９の何れか１項に記載の情報処理装置。
前記自動復旧手段は、前記取得手段によって取得されたファームウェアセットのバージョンと前記情報処理装置のファームウェアセットのバージョンとを比較し、バージョンが一致しているときは異常が検知されたプログラムを復旧し、バージョンが不一致の場合は前記情報処理装置に含まれるすべてのプログラムを取得されたファームウェアセットで更新することを特徴とする請求項１乃至１０の何れか１項に記載の情報処理装置。
複数のモジュールのうち一部のモジュールのバックアップデータを記憶する記憶手段を備え、ブートプログラムに続いて前記複数のモジュールを順次起動する情報処理装置の起動方法であって、
検証手段が、次に起動するモジュールのプログラムの正当性を検証する検証工程と、
取得手段が、前記検証工程でプログラムの異常が検知されると、検証対象が前記一部のモジュールに含まれるモジュールである場合は前記記憶手段に記憶された対応するバックアップデータを取得し、検証対象が前記一部のモジュールに含まれないモジュールである場合は外部から対応するバックアップデータを取得する取得工程と、
自動復旧手段が、前記取得工程で取得した前記バックアップデータを用いて異常が検知されたプログラムを復旧する自動復旧工程と、
起動手段が、前記検証工程で正当性が検証されたプログラムを用いて対応するモジュールを起動する起動工程と
を含むことを特徴とする情報処理装置の起動方法。