JP2023124088A - 情報処理装置および情報処理装置の制御方法 - Google Patents

Abstract

【課題】スタンバイ状態において改ざん検知を実行した際に、改ざん検知中であってもメインＣＰＵを用いた処理を実行可能となり、ユーザの操作性を担保する情報処理装置及び情報処理装置の制御方法を提供する。【解決手段】方法は、第２プロセッサによってブートプログラムの改ざんが検知された場合に、第１プロセッサをアクティブ状態から非アクティブ状態に遷移させ、第２プロセッサによってブートプログラムの改ざんが検知されなかった場合に、第１プロセッサをアクティブ状態に維持する。【選択図】図７

Description

本発明は、情報処理装置および情報処理装置の制御方法に関する。

従来の画像形成装置の起動時に実行されるプログラム（ブートプログラム）の改ざん検知では、まず、メインＣＰＵが起動する前に、サブＣＰＵがメインＣＰＵの実行するプログラムを読み出し、改ざんされていないか検知する方法がある。

従来、サブＣＰＵは、メインＣＰＵに入力するリセット信号を制御し、メインＣＰＵをリセット状態にしてブートプログラムの改ざん検知を実行していた。そして、ブートプログラムの改ざんを検知した場合の処理として、メインＣＰＵを起動させないために、サブＣＰＵがメインＣＰＵに入力するリセット信号を制御し、メインＣＰＵをリセット状態のままにする。その後、サブＣＰＵは、改ざんされているブートプログラムを復旧するために、バックアップ用の不揮発性メモリからブートプログラムを読み出して改ざんされたブートプログラムに上書きする。その後、再度改ざん検知を実行し、改ざんされていないことを確認できてからメインＣＰＵのリセット状態を解除し、画像形成装置を起動させる（例えば特許文献１参照）。

特開２０１０－２６６５０号公報

上記従来技術では、画像形成装置の電源をオンにしたまま（スリープ状態にも入らない設定）の使い方をする場合、ブートプログラムの改ざん検知が長期間、実施されない事になる。その間、ブートプログラムの改ざんがなされても改ざんを発見できず、セキュリティーの観点から、定期的にブートプログラムの正当性検知を実行することが望まれている。

さらに、従来の構成で装置のスタンバイ時に改ざん検知をする場合、サブＣＰＵのリセット処理によって、改ざんの有無に関わらずメインＣＰＵがリセット状態になってしまう。つまり、改ざん検知中は、メインＣＰＵが非アクティブ状態になるため、スタンバイ状態であるにも関わらずメインＣＰＵを用いた処理が実行できなくなる。

本発明は、ブートプログラムを記憶するメモリと、ブートプログラムを実行する第１プロセッサと、ブートプログラムの改ざん検知を実行する第２プロセッサと、第１プロセッサおよび第２プロセッサの動作状態を制御する制御手段と、を有する情報処理装置であって、情報処理装置がスタンバイ状態である場合に、第２プロセッサは、メモリに記憶されたブートプログラムの改ざん検知を行い、制御手段は、第２プロセッサによってブートプログラムの改ざんが検知された場合に第１プロセッサをアクティブ状態から非アクティブ状態に遷移させ、第２プロセッサによってブートプログラムの改ざんが検知されなかった場合に第１プロセッサをアクティブ状態に維持することを特徴とする。

本発明の構成によれば、スタンバイ状態において改ざん検知を実行した際に、改ざん検知中であってもメインＣＰＵを用いた処理を実行可能となり、ユーザの操作性を担保することが可能である。

画像形成装置の構成を示すブロック図 メインＣＰＵの構成を示すブロック図 サブＣＰＵの構成を示すブロック図 ＦＬＡＳＨ（登録商標） ＲＯＭのメモリマップを示す図 メインＣＰＵ・サブＣＰＵ・制御部を示すブロック図 スタンバイ状態で改ざん検知を行う際のタイミングチャート（改ざんなし） スタンバイ状態で改ざん検知を行う際のタイミングチャート（改ざんあり） スタンバイ状態で改ざん検知開始するトリガを時間とした場合のフローチャート ジョブ受信時のフローチャート スタンバイ状態で改ざん検知開始するトリガを時刻とした場合のフローチャート

添付図面を参照して本発明の各実施例を詳しく説明する。なお、以下の実施例は特許請求の範囲に係る発明を限定するものではなく、また各実施例で説明されている特徴の組み合わせのすべてが本発明の解決手段に必須のものとは限らない。本実施形態では、情報処理装置の一例として画像処理装置を用いて説明するがこれに限らない。

（実施例１）
本実施例に係るブートプログラムの改ざん検知時におけるＦＬＡＳＨ ＲＯＭの復旧方法の一実施例としての画像形成装置について説明する。なお、特に断らない限り、本実施例の機能が実行されるのであれば、単体の機器であっても、複数の機器からなるシステムであっても、本実施例を適用できる。

図１は画像形成装置１０の構成を示すブロック図である。メインＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１０１は、画像形成装置１０全体の制御を司る。ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１０２は、メインＣＰＵ１０１で実行されるプログラムを格納すると共に一時的なデータのワークエリアとして機能する。

操作部１０３は、メインＣＰＵ１０１にユーザによる操作を通知する。ネットワークＩ／Ｆ１０４は、ＬＡＮ１３０と接続して外部機器と通信を行う。プリンタ部１０５は、画像データを印刷媒体（例えば用紙）に印字する。スキャナ部１０６は、紙面上の画像を光学的に読み取り電気信号に変換してスキャン画像を生成する。

ＦＡＸ１０７は、公衆回線１１０と接続して外部機器とファクシミリ通信を行う。ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）１０８は、メインＣＰＵ１０１で実行されるプログラムを格納すると共にプリントジョブやスキャンジョブ等のスプール領域としても利用される。また、スキャン画像を保管し再利用するための領域としても利用される。信号バス１０９は、各モジュールを相互に接続して通信を行う。公衆回線１１０は、ＦＡＸ１０７と外部機器を相互接続する。

画像処理部１１１は、ネットワークＩ／Ｆ１０４で受信したプリントジョブをプリンタ部１０５で印刷するのに適した画像への変換処理や、スキャナ部１０６で読み取ったスキャン画像のノイズ除去や色空間変換、回転、圧縮等の処理を実行する。また、ＨＤＤ１０８に保管されたスキャン画像の画像処理を実行する。

第一ＦＬＡＳＨ ＲＯＭ（ＦＬＡＳＨ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１２０、ならびに、第二ＦＬＡＳＨ ＲＯＭ１２１は、メインＣＰＵ１０１で実行されるＦＷを含むプログラムを格納すると共に画像形成装置１０のデフォルト設定値を記憶する。ここで、第二ＦＬＡＳＨ ＲＯＭ１２１は、第一ＦＬＡＳＨ ＲＯＭ１２０のバックアップ用ＲＯＭである。例えば、第一ＦＬＡＳＨ ＲＯＭ１２０の正当性検知の実行結果、改ざんされていることが判明した場合、サブＣＰＵ１１５は、第二ＦＬＡＳＨ ＲＯＭ１２１からＦＷを読み出して、第一ＦＬＡＳＨ ＲＯＭ１２０へ上書きすることで復旧を行う。そのため、第二ＦＬＡＳＨ ＲＯＭ１２１は書き換えできないようにプロテクトされている。ＳＰＩバス１１４は、メインＣＰＵ１０１、第一ＦＬＡＳＨ ＲＯＭ１２０、第二ＦＬＡＳＨ ＲＯＭ１２１とサブＣＰＵ１１５を相互接続する。

サブＣＰＵ１１５は、画像形成装置１０の起動時に、メインＣＰＵ１０１が起動する前に第一ＦＬＡＳＨ ＲＯＭ１２０から後述のメインＣＰＵ ＦＷ４０１を読み出して改ざんがされていないか正当性検知を行う。正当性検知の方法として、例えばメインＣＰＵ ＦＷ４０１のデジタル署名の公開鍵情報（ハッシュ値を公開鍵暗号化した値）を製造時にサブＣＰＵ１１５内のＯＴＰ（Ｏｎｅ Ｔｉｍｅ Ｐｒｏｇｒａｍ）３０４領域に記憶させておく。そして、読み出したメインＣＰＵ ＦＷ４０１をこの公開鍵情報で復号化して検知を行う方法がある。公開鍵暗号の方法は、例えばＲＳＡ２０４８、ＥＣＤＳＡなどである。

メインＣＰＵリセット信号１１７は、制御部１１８から出力されてメインＣＰＵ１０１のリセット端子に信号を入力される。メインＣＰＵリセット信号１１７が、メインＣＰＵ１０１に供給されるとメインＣＰＵ１０１がリセットし、起動する。

制御部１１８は、サブＣＰＵ１１５、メインＣＰＵ１０１の動作状態を制御する。具体的には、サブＣＰＵ１１５、メインＣＰＵ１０１のリセット制御を行う。制御部１１８は、例えば、不図示のＣＰＵやＲＡＭが配されている。サブＣＰＵリセット信号１５２は、サブＣＰＵ１１５をリセットする信号であり、サブＣＰＵ１１５に供給される。検知終了信号１５０は、サブＣＰＵ１１５が第一ＦＬＡＳＨ ＲＯＭ１２０の正当性検知が終了したことを制御部１１８へ通知する信号であり、制御部１１８に供給される。リカバリ通知信号１５１は、第一ＦＬＡＳＨ ＲＯＭ１２０の正当性検知の結果、改ざんされていることが判明した場合、サブＣＰＵ１１５が第一ＦＬＡＳＨ ＲＯＭ１２０を復旧中であることを示す信号であり、制御部１１８に供給される。

スタンバイステータス信号１１９は、画像形成装置１０がスタンバイ状態であることを制御部１１８に通知する信号であり、制御部１１８に供給される。画像形成装置１０がスタンバイ状態とは、画像形成装置１０においてジョブを実行可能な状態である。例えば、ジョブは、スキャナ部１０６が原稿を読み取るスキャンジョブやプリンタ部１０５が印刷するプリントジョブを含む。つまり、スタンバイ状態は、メインＣＰＵ１０１に電力が供給され、且つアクティブな状態である。なお、スタンバイ状態において、サブＣＰＵ１１５は、非アクティブな状態とするが、アクティブな状態であってもよい。

時計部（タイマ）１７０は、画像形成装置１０の動作に応じて、実行したジョブに対して時刻情報を付与するなど、画像形成装置１０へ時刻の管理機能を提供する。なお、メインＣＰＵリセット信号１１７、スタンバイステータス信号１１９、検知終了信号１５０、リカバリ通知信号１５１、サブＣＰＵリセット信号１５２は、信号線によって各部材に供給される。

図２はメインＣＰＵ１０１の構成を示す図であって、同図において、ＣＰＵコア２０１は、ＣＰＵの基本機能を担っている。ＳＰＩ Ｉ／Ｆ２０２は、外部のＳＰＩデバイスと相互に接続してデータの読み書きを行う。信号バス２０９は、メインＣＰＵ１０１内の各モジュールを接続する。ＳＲＡＭ２１０は、ワークメモリとして使用される。メインＣＰＵリセット信号１１７が”Ｌｏｗ”レベルの場合、メインＣＰＵ１０１はリセット状態となる。メインＣＰＵリセット信号１１７が”Ｈｉｇｈ”レベルの場合、メインＣＰＵ１０１はリセット解除状態となる。メインＣＰＵリセット信号１１７がリセット状態からリセット解除状態に遷移すると、ＣＰＵコア２０１は、ＦＬＡＳＨ ＲＯＭ１２０内に記憶されているメインＣＰＵ ＦＷ４０１をＳＲＡＭ２１０に読み出して実行する。

図３はサブＣＰＵ１１５の構成を示す図であって、同図において、ＣＰＵコア３０１はＣＰＵの基本機能を担っている。ＳＰＩ Ｉ／Ｆ３０２は、外部のＳＰＩデバイスと相互に接続してデータの読み書きを行う。ＧＰＩＯ（Ｇｅｎｅｒａｌ－ｐｕｒｐｏｓｅ ｉｎｐｕｔ／ｏｕｔｐｕｔ）３０３は、外部のデバイスと相互に接続してデータの送受信を行う。ＯＴＰ３０４（Ｏｎｅ Ｔｉｍｅ Ｐｒｏｇｒａｍｍａｂｌｅ）は、製造時にサブＣＰＵ ＦＷのハッシュ値を公開鍵暗号化した値およびＴａｇのアドレスが書き込まれるメモリ領域である。この領域に書き込まれたデータは一度書き込まれると二度と書換えることはできない。ＳＲＡＭ３０５は、サブＣＰＵ１１５内のワークメモリとして使用される。

暗号処理部３０８は、公開鍵暗号化した値からサブＣＰＵ ＦＷのハッシュ値を復号するほか、公開鍵暗号化したメインＣＰＵ ＦＷのハッシュ値を復号する。信号バス３０９は、サブＣＰＵ内の各モジュールを接続する。Ｂｏｏｔ ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）３１０は、サブＣＰＵ１１５のブートコードを記憶する。サブＣＰＵリセット信号１２３が”Ｌｏｗ”レベルの場合、サブＣＰＵ１１５は、リセット状態となる。サブＣＰＵリセット信号１２３が”Ｈｉｇｈ”レベルの場合、サブＣＰＵ１１５は、リセット解除状態となる。サブＣＰＵリセット信号１２３がリセット状態からリセット解除状態に遷移すると、ＣＰＵコア３０１は先ず、Ｂｏｏｔ ＲＯＭ３１０から自身のブートコードを読み出し実行する。３１１はＣｒｙｐｔｏ ＲＡＭであって、暗号処理部３０８で利用する機密性の高いデータ等を記憶する。

図４はＦＬＡＳＨ ＲＯＭ１２０のメモリマップを示す図であって、同図において、メインＣＰＵ ＦＷ４０１は、メインＣＰＵ１０１で実行されるコードが記憶されている。ＦＷ署名４０２は、メインＣＰＵ ＦＷのハッシュ値に対するＲＳＡ署名値が記憶されている。Ｔａｇ４０３は、サブＣＰＵ ＦＷ４０４の先頭アドレスが記憶されている。Ｔａｇ４０３自体のアドレスはＯＴＰ３０４に記憶されている。

サブＣＰＵ ＦＷ４０４は、サブＣＰＵ１１５で実行されるコードが記憶されている。ＦＷ署名４０５は、サブＣＰＵ ＦＷ４０４、またはサブＣＰＵ ＦＷ４０４の先頭の特定部分のＥＣＤＳＡ署名値が記憶されている。ＲＯＭ－ＩＤ４０６は、メインＣＰＵ ＦＷ４０１の先頭アドレス、サイズおよびＦＷ署名のアドレスが記憶されている。ＦＬＡＳＨ ＲＯＭ１２０、１２１は、データの書き換えができないようにライトプロテクトする機能が備わっており、ＯＴＰのレジスタ領域にライトプロテクトの設定をすることで、レジスタで指定したアドレス以降のデータをプロテクトすることが可能である。

なお、ＦＬＡＳＨ ＲＯＭ１２１は、ＦＬＡＳＨ ＲＯＭ１２０と同様のメモリマップで同様のプログラムをバックアッププログラムとして記憶する。

図５はメインＣＰＵ１０１・サブＣＰＵ１１５・制御部１１８のブロック図である。制御素子５０１は、サブＣＰＵ１１５の検知終了信号１５０とメインＣＰＵ１０１のスタンバイステータス信号１１９の論理和を制御素子５０２に出力する。制御素子５０２は、サブＣＰＵ１１５からのリカバリ通知信号１５１の否定論理と制御素子５０１の論理積をメインＣＰＵリセット信号１１７として、メインＣＰＵ１０１に出力する。

図６はスタンバイ状態の画像形成装置１０で改ざん検知を行う際のタイミングチャート（改ざんなし）である。スタンバイ状態において、メインＣＰＵ１０１はアクティブ状態、サブＣＰＵ１１５は非アクティブ状態である。はじめに、改ざん検知を開始するために、制御部１１８がサブＣＰＵリセット信号１５２をＬｏｗにしてサブＣＰＵ１１５をリセットする（Ｔ６０１）。

リセット信号（サブＣＰＵリセット信号１５２がＬｏｗ）を受信したサブＣＰＵ１１５は、改ざん検知終了信号１５０をＬｏｗに初期化する。（Ｔ６０２）
次に、制御部１１８がサブＣＰＵリセット信号１５２をＨｉｇｈにしてサブＣＰＵ１１５をリセット解除する（Ｔ６０３）。リセット解除されたサブＣＰＵ１１５は、第一ＦＬＡＳＨ ＲＯＭ１２０にアクセスし、改ざん検知を開始する。

サブＣＰＵ１１５は、第一ＦＬＡＳＨ ＲＯＭ１２０が改ざんされていないことを検知し、検知終了信号１５０をＨｉｇｈにして制御部１１８に改ざん検知の終了を通知する（Ｔ６０４）。

Ｔ６０４以降、信号の論理は以下の通り不変である。改ざんがされていない場合復旧処理をしないため、リカバリ通知信号１５１はＬｏｗである。リカバリ通知信号１５１（Ｌｏｗ）と制御素子５０１の出力（Ｈｉｇｈ）から、制御素子５０２によってメインＣＰＵリセット信号１１７はＨｉｇｈを保つ。メインＣＰＵは既に起動しているスタンバイ状態であるため、同じくスタンバイステータス信号は、Ｈｉｇｈのままであり、第一ＦＬＡＳＨ ＲＯＭ１２０にアクセスすることはない。

なお、改ざんがない場合には、リカバリ通知信号１５１の状態も変更しない。さらに、改ざんがない場合には、メインＣＰＵ１０１をリセットしない。具体的には、メインＣＰＵリセット信号１１７の状態を変更しない。それにより、スタンバイステータス信号１１９の状態も変更しないし、メインＣＰＵ１０１による第一ＦＬＡＳＨ ＲＯＭへのアクセスも発生しない。

図７はスタンバイ状態の画像形成装置で改ざん検知を行う際のタイミングチャート（改ざんあり）である。スタンバイ状態において、メインＣＰＵ１０１はアクティブ状態、サブＣＰＵ１１５は非アクティブ状態である。

はじめに、改ざん検知を開始するために、制御部１１８がサブＣＰＵリセット信号１５２をＬｏｗにしてサブＣＰＵ１１５をリセットする（Ｔ７０１）。

リセット信号を受信したサブＣＰＵ１１５は、改ざん検知終了信号１５０をＬｏｗに初期化する（Ｔ７０２）。

次に、制御部１１８がサブＣＰＵリセット信号１５２をＨｉｇｈにしてサブＣＰＵ１１５をリセット解除する。リセット解除されたサブＣＰＵ１１５は第一ＦＬＡＳＨ ＲＯＭ１２０にアクセスし、改ざん検知を開始する。（Ｔ７０３）
改ざん検知が開始されて所定の時間が経過しても検知終了信号１５０がＨｉｇｈにならない場合、サブＣＰＵ１１５は第一ＦＬＡＳＨ ＲＯＭ１２０の改ざんを検知する（Ｔ７０４）。そして、サブＣＰＵ１１５は、第二ＦＬＡＳＨ ＲＯＭ１２１内のデータを第一ＦＬＡＳＨ ＲＯＭ１２０に上書きする復旧処理を行う。同時に、サブＣＰＵ１１５はリカバリ通知信号をＨｉｇｈにし、データの復旧中であることを制御部１１８に通知する（Ｔ７０５）。

Ｔ７０６においてリカバリ通知信号を受信した制御部１１８は、メインＣＰＵ１０１のリセット信号をＬｏｗにし、メインＣＰＵ１０１をリセットする。つまり、Ｔ７０６までは、メインＣＰＵ１０１は、リセットされない。さらにＴ７０６においてメインＣＰＵ１０１、はリセットされるとスタンバイ状態でなくなるため、スタンバイステータス信号はＬｏｗになる。スタンバイ状態でなくなるとは、例えば、前述のジョブを実行開始できない状態である。具体的には、メインＣＰＵ１０１を非アクティブ状態へ遷移させ、メインＣＰＵ１０１がアクティブ状態になるまで前述のジョブを受け付けても実行開始できない状態になることである。

Ｔ７０７において復旧処理が終わると、サブＣＰＵ１１５はリカバリ通知信号をＬｏｗにし、復旧処理の終了を制御部１１８に通知する（Ｔ７０８）。

リカバリ通知信号を受信した制御部１１８はサブＣＰＵ１１５をリセットする（Ｔ７０９）。

再度改ざん検知を行うため、制御部１１８はサブＣＰＵリセット信号１５２をＨｉｇｈにして、サブＣＰＵ１１５のリセットを解除する。Ｔ７０２と同様に、リセット解除されたサブＣＰＵ１１５は第一ＦＬＡＳＨ ＲＯＭ１２０にアクセスし、改ざん検知を開始する（Ｔ７１０）。

Ｔ７１１においてサブＣＰＵ１１５は改ざんがされていないことを検知し、検知終了信号１５０をＨｉｇｈにして、制御部１１８に改ざん検知の終了を通知する。検知終了信号１５０を受信した制御部１１８はメインＣＰＵ１０１のリセット信号をＨｉｇｈにしてメインＣＰＵ１０１のリセットを解除する。（Ｔ７１２）
リセットを解除されたメインＣＰＵ１０１は第一ＦＬＡＳＨ ＲＯＭ１２０にアクセスし、起動する（Ｔ７１３）。メインＣＰＵ１０１はスタンバイ状態になると、スタンバイステータス信号をＨｉｇｈにしてスタンバイ状態になったことを制御部１１８に通知する（Ｔ７１４）。

図８はスタンバイ状態で改ざん検知をするタイミングのトリガを所定時間に設定した場合のフローチャートである。

ステップＳ８０１で、時計部１７０によって付与される時刻情報を含むジョブの実行履歴と現在時刻の情報を基に、メインＣＰＵ１０１は最後にジョブが実行されてからの経過時間を算出し、予め設定された所定時間が経過したか判定する。なお、Ｓ８０１において、ユーザによる操作部１０３の最後の操作（操作履歴）から所定時間経過後であってもよい。また、画像形成装置１０が、実行した最後のアクション（ジョブまたは操作の少なくとも１方）から所定時間経過であってもよい。

所定時間が経過していない場合、スタンバイ状態を保つ。所定時間が経過している場合、ステップＳ８０２に進み、制御部１１８を介してサブＣＰＵ１１５に改ざん検知を開始させる。Ｓ８０２の改ざん検知は、例えば、ブートプログラムに対して前述した署名検知などを行うことによって、ブートプログラムが改ざんされているか否かを検知する処理である。

なお、Ｓ８０２の改ざん検知を実行する際に、図６および図７に示したように、改ざん検知の結果が出るまで（改ざんが無い場合には、改ざん検知後も含む）は、メインＣＰＵ１０１をリセットしない。そのため、改ざん検知を実行中であっても、ジョブを受け付けることが可能である。

次に改ざん検知の実行中にジョブを受け付けた場合について説明する。

図９はジョブ受信時のフローチャートである。ジョブとは、ユーザによる操作部１０３の操作、ネットワークＩ／Ｆ１０４とＬＡＮ１３０を経由した外部機器からの印刷ジョブなどである。これらのジョブは、信号バス１０９を通じてメインＣＰＵ１０１が受信する。

ステップＳ９０１でメインＣＰＵ１０１は、Ｓ８０２または後述のＳ１００２によって改ざん検知を開始させていない場合には、Ｓ９０８に遷移する。

ステップＳ９０８において、メインＣＰＵ１０１がジョブを受け付ける場合には、Ｓ９０９に遷移する。そしてＳ９０９において、メインＣＰＵ１０１は、受け付けたジョブを実行する。Ｓ９０９を終える又はＳ９０８においてジョブを受け付けない場合には、メインＣＰＵ１０１は、スタンバイ状態を保つ。

ステップＳ９０１で改ざん検知する場合には、制御部１１８を介してサブＣＰＵ１１５のリセット指示を出してステップＳ９０２に進む。ステップＳ９０２において、サブＣＰＵ１１５のリセット解除によって開始された改ざん検知が完了していない場合、つまり改ざん検知を実行中である場合には、Ｓ９０６に進む。ステップＳ９０６において、メインＣＰＵ１０１がジョブを受け付ける場合には、Ｓ９０７に遷移する。Ｓ９０７において、メインＣＰＵ１０１は、受け付けたジョブを実行する。つまり、改ざん検知を実行している間、メインＣＰＵ１０１は、リセットされずに動作可能な状態を維持される。

ステップＳ９０２においてサブＣＰＵ１１５による改ざん検知が完了している場合には、Ｓ９０３に進む。なお、メインＣＰＵ１０１がリセットされていない又はメインＣＰＵ１０１に改ざんなしを示す信号が届いていない場合が、改ざん検知が完了していない状態である。

Ｓ９０３において、改ざん検知結果が改ざん無しであればＳ９０８に進む。一方、Ｓ９０３において、改ざん結果が改ざん有であれば、Ｓ９０４に進む。

Ｓ９０４において、サブＣＰＵ１１５は、図７に示したように、リカバリ通知信号１５１を制御部１１８に供給する。そして、サブＣＰＵ１１５は、第二ＦＬＡＳＨ ＲＯＭ１２１から第一ＦＬＡＳＨ ＲＯＭ１２０に復旧処理（上書き処理）を実行する。Ｓ９０４では、第二ＦＬＡＳＨ ＲＯＭ１２１に記憶しているブートプログラムの改ざん検知を実行し、改ざんが無い場合に上書き処理を実行する例を示す。なお、リカバリ通知信号１５１が供給された制御部１１８は、メインＣＰＵリセット信号１１７をアクティブ状態にし、メインＣＰＵ１０１をリセット解除する。

そして、Ｓ９０５において、サブＣＰＵ１１５は、上書き後の第一ＦＬＡＳＨ ＲＯＭ１２０に記憶したブートプログラムの改ざん検知を実行する。

なお、リカバリ通知信号１５１を受け付けた制御部１１８は、復帰処理および上書き後のブートプログラムの改ざん検知処理が完了する（改ざん無し）までメインＣＰＵ１０１を非アクティブ状態にする。これにより、正しいブートプログラムによって、画像形成装置１０を動作することが可能となる。

本実施例の構成によれば、ジョブを受け付け可能なスタンバイ状態で改ざん検知を実行中にジョブを受け付けても、ジョブを実行することが可能である。

（変形例）
本実施例の変形例を説明する。図１～７、図９については、実施例１と同様である。図１０はスタンバイ状態で改ざん検知をするタイミングのトリガを所定時刻に設定した場合のフローチャートである。なお、所定時間に設定とは、具体的には、改ざん検知の実行時刻の設定（予約）である。

ステップＳ１００１で、メインＣＰＵ１０１は時計部１７０によって付与される現在時刻が予め設定された所定時刻と一致しているか判定する。現在時刻が所定時刻と一致していない場合、スタンバイ状態を保つ。現在時刻が所定時刻と一致している場合、ステップＳ１００２に進む。ステップＳ１００２において、サブＣＰＵ１１５に改ざん検知を開始させる。

なお、Ｓ１００２の改ざん検知を実行する際に、図６および図７に示したように、改ざん検知の結果が出るまで（改ざんが無い場合には、改ざん検知後も含む）は、メインＣＰＵ１０１をリセットしない。そのため、改ざん検知を実行中であっても、ジョブを受け付けることが可能である。

なお、所定時間に設定は、例えば、画像形成装置１０の機器設定などで設定を受け付ける。

（その他の実施形態）
以上、本発明の様々な例を示して説明したが、本発明の趣旨と範囲は、本明細書内の特定の説明に限定されるものではない。

本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

１０ 画像処理装置
１０１ メインＣＰＵ
１１５ サブＣＰＵ
１２０ 第一ＦＬＡＳＨ ＲＯＭ
１２１ 第二ＦＬＡＳＨ ＲＯＭ

Claims (12)

1. ブートプログラムを記憶するメモリと、
   ブートプログラムを実行する第１プロセッサと、
   前記ブートプログラムの改ざん検知を実行する第２プロセッサと、
   前記第１プロセッサおよび前記第２プロセッサの動作状態を制御する制御手段と、
   を有する情報処理装置であって、
   前記情報処理装置がスタンバイ状態である場合に、
   前記第２プロセッサは、前記メモリに記憶されたブートプログラムの改ざん検知を行い、
   前記制御手段は、前記第２プロセッサによって前記ブートプログラムの改ざんが検知された場合に前記第１プロセッサをアクティブ状態から非アクティブ状態に遷移させ、前記第２プロセッサによって前記ブートプログラムの改ざんが検知されなかった場合に前記第１プロセッサをアクティブ状態に維持することを特徴とする情報処理装置。
2. 前記メモリは、ブートプログラムのバックアッププログラムを記憶し、
   前記第２プロセッサは、前記ブートプログラムの改ざんが検知された場合に前記バックアッププログラムを用いて前記ブートプログラムの上書き処理を実行し、上書きされたブートプログラムの改ざん検知を実行し、
   前記制御手段は、前記第２プロセッサによって前記上書きされたブートプログラムの改ざんが検知されなかった場合に前記第１プロセッサを非アクティブ状態からアクティブ状態に遷移させることを特徴とする請求項１に記載の情報処理装置。
3. 前記第２プロセッサは、前記情報処理装置の最後のアクションから所定時間経過後に前記ブートプログラムの改ざん検知を実行することを特徴とする請求項１又は２に記載の情報処理装置。
4. 印刷媒体に画像を印刷する印刷手段を有し、
   前記アクションは、前記印刷手段によって印刷を実行した実行履歴を含むことを特徴とする請求項３に記載の情報処理装置。
5. ユーザの操作を受け付ける操作手段を有し、
   前記アクションは、前記ユーザの操作を受け付けた操作履歴を含むことを特徴とする請求項３又は４に記載の情報処理装置。
6. 前記第１プロセッサは、前記情報処理装置の前記最後のアクションから所定時間経過後に、前記制御手段を介して前記第２プロセッサに前記ブートプログラムの改ざん検知を実行させることを特徴とする請求項３乃至５のいずれか１項に記載の情報処理装置。
7. 前記情報処理装置の時間を管理するタイマを有し、
   前記第１プロセッサは、前記第２プロセッサによる改ざん検知を実行する時間になることによって、前記制御手段を介して前記第２プロセッサに前記ブートプログラムの改ざん検知を実行させることを特徴とする請求項１又は２に記載の情報処理装置。
8. 前記スタンバイ状態は、前記情報処理装置がジョブを実行可能な状態であることを特徴とする請求項１乃至７のいずれか１項に記載の情報処理装置。
9. 前記スタンバイ状態は、前記第１プロセッサに電力が供給され且つ前記第１プロセッサがアクティブ状態であることを特徴とする請求項１乃至８のいずれか１項に記載の情報処理装置。
10. ブートプログラムを記憶するメモリと、ブートプログラムを実行する第１プロセッサと、前記ブートプログラムの改ざん検知を実行する第２プロセッサと、前記第１プロセッサおよび前記第２プロセッサの動作状態を制御する制御手段と、を有する情報処理装置の制御方法であって、
    前記情報処理装置がスタンバイ状態である場合に、
    前記第２プロセッサが前記メモリに記憶されたブートプログラムの改ざん検知を行う工程と、
    前記制御手段が前記第２プロセッサによって前記ブートプログラムの改ざんが検知された場合に前記第１プロセッサをアクティブ状態から非アクティブ状態に遷移させ、前記第２プロセッサによって前記ブートプログラムの改ざんが検知されなかった場合に前記第１プロセッサをアクティブ状態に維持する工程と、を有することを特徴とする情報処理装置の制御方法。
11. 請求項１０に記載の制御方法を、コンピュータに実行させるためのプログラム。
12. 請求項１１に記載のプログラムを格納したコンピュータで読み取り可能な記憶媒体。

Images