JP2023124500A - 情報処理装置、情報処理装置の制御方法およびプログラム - Google Patents

Abstract

【課題】ブートプログラムの正当性の検証が長期間にわたって実施されない状態となるのを防止する情報処理装置、その制御方法及びプログラムを提供する。【解決手段】情報処理装置である画像形成装置１は、プリントジョブやスキャンジョブが実行可能な、消費電力が比較的多い第１電力状態と、Ｄｅｅｐ Ｓｌｅｅｐ状態等、第１電力状態よりも消費電力が低い第２電力状態と、を取り得る。画像形成装置は、第１ブートプログラムＢＰ１を記憶する第１ＦＬＡＳＨ－ＲＯＭ１２０と、第２ブートプログラムＢＰ２を記憶する第２ＦＬＡＳＨ－ＲＯＭ１２１と、第１ブートプログラムの正当性を検証し、第１ブートプログラムの正当性が無いと判定した場合には、第１ブートプログラムを第２ブートプログラムに書き換えるサブＣＰＵ１１５と、を備える。サブＣＰＵは、第１電力状態から第２電力状態への電力制御が行われた場合に、第１ブートプログラムの正当性の検証を行う。【選択図】図１

Description

本発明は、情報処理装置、情報処理装置の制御方法およびプログラムに関する。

従来から、メインプロセッサおよびサブプロセッサの２つのプロセッサを有する情報処理装置が知られている。このような情報処理装置として、特許文献１には、情報処理装置の電源投入が行われたタイミングで、情報処理装置の起動時にメインプロセッサが実行するプログラム（ブートプログラム）の正当性をサブプロセッサが検証する情報処理装置が開示されている。そして、プログラムの正当性が確認された場合には、メインプロセッサを起動させ、プログラムの正当性が確認されなかった場合には、サブプロセッサが異常通知を行う。また、特許文献２には、情報処理装置の電源をオフするタイミングで、プロブラムの正当性を検証することが開示されている。

特開２０１３－１１４６２０号公報 特開２０２１－７２０６０号公報

しかしながら、特許文献１および特許文献２に記載の装置では、いずれも、当該装置の電源をオン状態からオフ状態に、または、オフ状態からオン状態にする操作が、例えば数日間以上の長期間にわたって行われない場合がある。この場合、プログラムの正当性の検証も同様の長期間実施されないことになる。そして、この期間にプログラムの改竄がなされたとしても、その改竄を容易に発見することは不可能である。改竄されたプログラムを、そのまま放置するのはセキュリティ上好ましくはない。

本発明は、ブートプログラムの正当性の検証が長期間にわたって実施されない状態となるのを防止することができる情報処理装置、情報処理装置の制御方法およびプログラムを提供することを目的とする。

上記目的を達成するために、本発明の情報処理装置は、第１電力状態と、第１電力状態よりも消費電力が低い第２電力状態とを取り得る情報処理装置であって、第１ブートプログラムを記憶する第１記憶手段と、第２ブートプログラムを記憶する第２記憶手段と、情報処理装置における第１ブートプログラムの正当性を検証する検証手段と、検証手段での検証の結果、正当性が無いと判定された場合に、第１ブートプログラムを第２ブートプログラムに書き換えて、第１記憶手段に記憶させる書換手段と、少なくとも第１電力状態から第２電力状態への電力制御を行う電力制御手段と、を備え、検証手段は、電力制御手段で第１電力状態から第２電力状態への電力制御が行われた場合に、正当性の検証を行うことを特徴とする。

本発明によれば、ブートプログラムの正当性の検証が長期間にわたって実施されない状態となるのを防止することができる。

本発明の情報処理装置を適用した画像形成装置のハードウェア構成を示すブロック図である。 図１に示す画像形成装置が有するメインＣＰＵの構成を示すブロック図である。 図１に示す画像形成装置が有するサブＣＰＵの構成を示すブロック図である。 図１に示す画像形成装置が有する第１ＦＬＡＳＨ(登録商標)－ＲＯＭおよび第２ＦＬＡＳＨ－ＲＯＭのメモリマップを示す図である。 図１に示す画像形成装置が第１電力状態から第２電力状態に移行したときの電源供給状態を示すブロック図である。 第２電力状態への移行後の、第１ブートプログラムの正当性検証開始指示と、正当性検証結果に基づくメインＣＰＵ再起動の処理とを示すフローチャートである。 メインＣＰＵの起動から第２電力状態への移行、第２電力状態からの復帰、並びに、第２電力状態へ移行後、正当性検証結果に基づくメインＣＰＵのリセット解除後の処理を示すフローチャートである。 起動要因レジスタの構成を示す図である。 操作部の構成を示す図である。 画像形成装置での電源制御部およびサブＣＰＵの動作を示すタイミングチャートである。

以下、本発明の実施形態について図面を参照しながら詳細に説明する。しかしながら、以下の実施形態に記載されている構成はあくまで例示に過ぎず、本発明の範囲は実施形態に記載されている構成によって限定されることはない。

図１は、本発明の情報処理装置を適用した画像形成装置のハードウェア構成を示すブロック図である。なお、画像形成装置１は、単体の機器で構成された装置であってもよいし、複数の機器で構成されたシステムであってもよい。図１に示すように、画像形成装置１は、メインＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１０１、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１０２、操作部１０３、ネットワークＩ／Ｆ１０４を有する。メインＣＰＵ１０１は、画像形成装置１全体の制御を司る。ＤＲＡＭ１０２は、メインＣＰＵ１０１で実行されるプログラムを格納するとともに、一時的なデータのワークエリアとして機能する。このプログラムとしては、例えば、画像形成装置１の各部や各手段等の各モジュールの作動（情報処理装置の制御方法）をメインＣＰＵ１０１（コンピュータ）に実行させるためのプログラム等がある。操作部１０３は、メインＣＰＵ１０１に、画像形成装置１を使用する（操作する）ユーザによる操作を通知する。ネットワークＩ／Ｆ１０４は、ＬＡＮ１３０を介して、例えばサーバ等の外部機器と通信可能に接続される。

また、画像形成装置１は、プリンタ部１０５、スキャナ部１０６、ＦＡＸ１０７、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）１０８、信号バス１０９、画像処理部１１１を有する。プリンタ部１０５は、画像データを紙面上に印字する。スキャナ部１０６は、紙面上の画像を光学的に読み取って、当該読取結果を電気信号に変換することにより、スキャン画像を生成する。ＦＡＸ１０７は、公衆回線１１０を介して、例えば他のファックス機器等の外部機器とファクシミリ通信可能に接続される。ＨＤＤ１０８は、メインＣＰＵ１０１で実行されるプログラムを格納するとともに、プリンタ部１０５によるプリントジョブや、スキャナ部１０６によるスキャンジョブ等のスプール領域としても利用される。また、ＨＤＤ１０８は、スキャン画像を保管し再利用するための領域としても利用される。信号バス１０９は、各モジュールを相互に通信可能に接続する。画像処理部１１１は、ネットワークＩ／Ｆ１０４で受信したプリントジョブを、プリンタ部１０５での印刷に適した画像に変換する変換処理、スキャナ部１０６で読み取ったスキャン画像に対するノイズ除去、色空間変換、回転、圧縮等の処理を実行する。また、画像処理部１１１は、ＨＤＤ１０８に保管されたスキャン画像の画像処理も実行する。

また、画像形成装置１は、第１ＦＬＡＳＨ－ＲＯＭ（ＦＬＡＳＨ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１２０、第２ＦＬＡＳＨ－ＲＯＭ１２１、ＳＰＩバス１１４、サブＣＰＵ１１５を有する。メインＣＰＵ１０１、第１ＦＬＡＳＨ－ＲＯＭ１２０、第２ＦＬＡＳＨ－ＲＯＭ１２１およびサブＣＰＵ１１５は、ＳＰＩバス１１４を介して、相互に通信可能に接続される。画像形成装置１では、そのシステム起動時にプログラム（以下「ブートプログラム」と言う）が実行される。そして、第１ＦＬＡＳＨ－ＲＯＭ（第１記憶手段）１２０には、第１ブートプログラムＢＰ１が予め記憶されている（第１記憶工程）。第２ＦＬＡＳＨ－ＲＯＭ（第２記憶手段）１２１には、第２ブートプログラムＢＰ２が予め記憶されている（第２記憶工程）。なお、第２ブートプログラムＢＰ２は、画像形成装置１における正当なブートプログラムである。ここで、第２ＦＬＡＳＨ－ＲＯＭ１２１は、バックアップ用ＲＯＭである。後述するように、第１ブートプログラムＢＰ１の正当性検証の結果、第１ブートプログラムＢＰ１が改竄されていることが判明した場合には、サブＣＰＵ１１５は、第２ＦＬＡＳＨ－ＲＯＭ１２１から第２ブートプログラムＢＰ２を読み出す。その後、サブＣＰＵ１１５は、第１ブートプログラムＢＰ１に第２ブートプログラムＢＰ２を上書きする。これにより、第１ブートプログラムＢＰ１は、画像形成装置１における正当なブートプログラムとして復旧される。そのため、第２ＦＬＡＳＨ－ＲＯＭ１２１では、第２ブートプログラムＢＰ２の書き換えが禁止されるよう、第２ブートプログラムＢＰ２が保護されている。また、第１ＦＬＡＳＨ－ＲＯＭ１２０および第２ＦＬＡＳＨ－ＲＯＭ１２１には、メインＣＰＵ１０１で実行されるその他のファームウェア（ＦＷ）を含むプログラムと、画像形成装置１のデフォルト設定値とがそれぞれ記憶されている。

サブＣＰＵ１１５は、第１ＦＬＡＳＨ－ＲＯＭ１２０からメインＣＰＵ－ＦＷ４０１を読み出して、第１ブートプログラムＢＰ１の改竄がされているか否かの正当性検証を行う（検証工程）。このように本実施形態では、サブＣＰＵ１１５は、画像形成装置１における第１ブートプログラムＢＰ１の正当性を検証する検証手段としての機能を有する。正当性検証の方法としては、特に限定されず、例えば、以下の方法を用いることができる。メインＣＰＵ－ＦＷ４０１のデジタル署名の公開鍵情報（ハッシュ値を公開鍵暗号化した値）を、製造時にサブＣＰＵ１１５内のＯＴＰ（Ｏｎｅ Ｔｉｍｅ Ｐｒｏｇｒａｍ）３０４に記憶させておく。そして、第１ＦＬＡＳＨ－ＲＯＭ１２０から読み出したメインＣＰＵ－ＦＷ４０１を、この公開鍵情報で復号化して検証を行う。公開鍵暗号の方法としては、例えば、ＲＳＡ２０４８、ＥＣＤＳＡ等が挙げられる。

また、画像形成装置１は、電源制御部（電力制御手段）１１８、第１電源部１８０、第２電源部１８１、時計部１７０を有する。電源制御部１１８は、メインＣＰＵリセット信号１１７を出力する。このメインＣＰＵリセット信号１１７は、メインＣＰＵ１０１のリセット端子に入力される。また、電源制御部１１８は、第１電源部１８０、第２電源部１８１の制御を行うことの他に、サブＣＰＵ１１５、メインＣＰＵ１０１のリセット制御も行う。電源制御部１１８は、サブＣＰＵリセット信号１５２を出力する。サブＣＰＵリセット信号１５２は、サブＣＰＵ１１５をリセットする信号であり、サブＣＰＵ１１５に入力される。サブＣＰＵ１１５は、検証終了信号１５０、リカバリー通知信号１５１をそれぞれ出力する。検証終了信号１５０は、サブＣＰＵ１１５で第１ブートプログラムＢＰ１（第１ＦＬＡＳＨ－ＲＯＭ１２０）の正当性検証が終了したことを通知する信号であり、電源制御部１１８に入力される。リカバリー通知信号１５１は、第１ブートプログラムＢＰ１の正当性検証の結果、第１ブートプログラムＢＰ１が改竄されていると判明した場合に、第１ブートプログラムＢＰ１が復旧中であることを示す信号であり、電源制御部１１８に入力される。時計部１７０は、計時機能を有し、例えば、画像形成装置１の動作に応じて、実行したジョブに対して時刻情報を付与したりすることができる。

このような構成の画像形成装置１は、消費電力の大小に応じて、複数の電力状態を取ることができる。本実施形態では、画像形成装置１は、例えばプリントジョブやスキャンジョブ等の実行が可能となる消費電力が比較的多い第１電力状態と、第１電力状態よりも消費電力が低い第２電力状態とを取り得る。第２電力状態は、例えば、Ｄｅｅｐ Ｓｌｅｅｐ状態である。これにより、第２電力状態は、第１電力状態よりも消費電力が過不足なく低い状態となり、「第１電力状態での消費電力＞第２電力状態での消費電力」となる関係を十分に満足する。なお、第２電力状態は、本実施形態ではＤｅｅｐ Ｓｌｅｅｐ状態であるが、これに限定されない。電源制御部１１８は、第１電力状態から第２電力状態への電力制御と、第２電力状態から第１電力状態への電力制御とが可能である（電力制御工程）。第１電源部１８０は、第１電力状態および第２電力状態の両方の電力状態で、画像形成装置１の特定モジュールに電力を供給する電源である。第２電源部１８１は、第１電力状態でのみ、特定モジュールに電力を供給する電源である。第２電源部１８１は、第２電力状態では、特定モジュールへの電源の供給が規制される。

図２は、図１に示す画像形成装置が有するメインＣＰＵの構成を示すブロック図である。図２に示すように、メインＣＰＵ１０１は、ＣＰＵコア２０１、ＳＰＩ－Ｉ／Ｆ２０２、バスＩ／Ｆ２０３、信号バス２０９、ＳＲＡＭ２１０を有する。ＣＰＵコア２０１は、ＣＰＵ（中央演算処理装置）としての中心的な基本機能を担っている。ＳＰＩ－Ｉ／Ｆ２０２は、ＳＰＩバス１１４と通信可能に接続されて、データの読み書きを行う。信号バス２０９は、メインＣＰＵ１０１内で、ＣＰＵコア２０１等の各モジュール同士を通信可能に接続する。ＳＲＡＭ２１０は、ワークメモリとして使用される。メインＣＰＵリセット信号１１７が「Ｌｏｗ」レベルの場合、メインＣＰＵ１０１はリセット状態となる。メインＣＰＵリセット信号１１７が「Ｈｉｇｈ」レベルの場合、メインＣＰＵ１０１はリセット解除状態となる。メインＣＰＵリセット信号１１７がリセット状態からリセット解除状態に遷移すると、ＣＰＵコア２０１は、第１ＦＬＡＳＨ－ＲＯＭ１２０内に記憶されているメインＣＰＵ－ＦＷ４０１（図４参照）をＳＲＡＭ２１０に読み出して実行する。バスＩ／Ｆ２０３は、信号バス１０９を介して、メインＣＰＵ１０１と、電源制御部１１８等の他のモジュールとの間の通信を行うためのインタフェースであり、電源制御部１１８等の作動を制御する。

図３は、図１に示す画像形成装置が有するサブＣＰＵの構成を示すブロック図である。図３に示すように、サブＣＰＵ１１５は、ＣＰＵコア３０１、ＳＰＩ－Ｉ／Ｆ３０２、ＧＰＩＯ（Ｇｅｎｅｒａｌ－ｐｕｒｐｏｓｅ ｉｎｐｕｔ／ｏｕｔｐｕｔ）３０３、ＯＴＰ３０４、ＳＲＡＭ３０５を有する。ＣＰＵコア３０１は、ＣＰＵコア２０１と同様に、ＣＰＵとしての中心的な基本機能を担っている。ＳＰＩ－Ｉ／Ｆ３０２は、ＳＰＩバス１１４と通信可能に接続されて、データの読み書きを行う。ＧＰＩＯ３０３は、検証終了信号１５０、リカバリー通知信号１５１をそれぞれ出力する。ＯＴＰ３０４は、メモリ領域であり、画像形成装置１の製造時にサブＣＰＵ－ＦＷ４０４（図４参照）のハッシュ値に、公開鍵暗号化した値およびＴａｇのアドレスが書き込まれる。ＯＴＰ３０４では、データが一旦書き込まれると、再度の書き換えはできない。ＳＲＡＭ３０５は、サブＣＰＵ１１５内のワークメモリとして使用される。

また、サブＣＰＵ１１５は、暗号処理部３０８、信号バス３０９、Ｂｏｏｔ－ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）３１０、Ｃｒｙｐｔｏ－ＲＡＭ３１１を有する。暗号処理部３０８は、公開鍵暗号化した値からサブＣＰＵ－ＦＷ４０４のハッシュ値を復号する他、公開鍵暗号化したメインＣＰＵ－ＦＷの４０１ハッシュ値を復号する。信号バス３０９は、サブＣＰＵ１１５内で、ＣＰＵコア３０１等の各モジュール同士を通信可能に接続する。Ｂｏｏｔ－ＲＯＭ３１０は、サブＣＰＵ１１５のブートコードを記憶する。サブＣＰＵリセット信号１５２が「Ｌｏｗ」レベルの場合、サブＣＰＵ１１５はリセット状態となる。サブＣＰＵリセット信号１５２が「Ｈｉｇｈ」レベルの場合、サブＣＰＵ１１５はリセット解除状態となる。サブＣＰＵリセット信号１５２がリセット状態からリセット解除状態に遷移すると、ＣＰＵコア３０１は、自身のブートコードをＢｏｏｔ－ＲＯＭ３１０から読み出して実行する。Ｃｒｙｐｔｏ－ＲＡＭ３１１は、暗号処理部３０８で利用する機密性の高いデータ等を記憶する。

図４は、図１に示す画像形成装置が有する第１ＦＬＡＳＨ－ＲＯＭおよび第２ＦＬＡＳＨ－ＲＯＭのメモリマップを示す図である。第１ＦＬＡＳＨ－ＲＯＭ１２０と第２ＦＬＡＳＨ－ＲＯＭ１２１とは、同じメモリマップとなっており、一方のＲＯＭのメモリマップについて説明する。図４に示すように、ＲＯＭは、メインＣＰＵ－ＦＷ４０１、メインＣＰＵ－ＦＷ署名４０２、Ｔａｇ４０３、サブＣＰＵ－ＦＷ４０４、サブＣＰＵ－ＦＷ署名４０５、ＲＯＭ－ＩＤ４０６にマッピングされている。メインＣＰＵ－ＦＷ４０１は、メインＣＰＵ１０１で実行されるコードが記憶されている。メインＣＰＵ－ＦＷ署名４０２は、メインＣＰＵ－ＦＷ４０１のハッシュ値に対するＲＳＡ署名値が記憶されている。Ｔａｇ４０３は、サブＣＰＵ－ＦＷ４０４の先頭アドレスが記憶されている。Ｔａｇ４０３自体のアドレスは、ＯＴＰ３０４に記憶されている。サブＣＰＵ－ＦＷ４０４は、サブＣＰＵ１１５で実行されるコードが記憶されている。サブＣＰＵ－ＦＷ署名で４０５は、サブＣＰＵ－ＦＷ４０４またはサブＣＰＵ－ＦＷ４０４の先頭の特定部分のＥＣＤＳＡ署名値が記憶されている。ＲＯＭ－ＩＤ４０６は、メインＣＰＵ－ＦＷ４０１の先頭アドレス、サイズおよびＦＷ署名のアドレスが記憶されている。第１ＦＬＡＳＨ－ＲＯＭ１２０、第２ＦＬＡＳＨ－ＲＯＭ１２１は、データの容易な書き換えを規制するライトプロテクト機能が備わっている。そして、ＯＴＰ３０４のレジスタ領域にライトプロテクトの設定をすることにより、レジスタで指定したアドレス以降のデータをプロテクトすることが可能である。

図５は、図１に示す画像形成装置が第１電力状態から第２電力状態に移行したときの電源供給状態を示すブロック図である。図５に示す第２電力状態では、第１電源部１８０が給電状態であり、第２電源部１８１は給電停止状態になる。これにより、サブＣＰＵ１１５、第１ＦＬＡＳＨ－ＲＯＭ１２０、第２ＦＬＡＳＨ－ＲＯＭ１２１、メインＣＰＵ１０１、時計部１７０、ＤＲＡＭ１０２、ネットワークＩ／Ｆ部１０４、ＦＡＸ１０７へは、第１電源部１８０から電力が供給される。一方、第２電源部１８１が電力供給源であるプリンタ部１０５、スキャナ部１０６、操作部１０３、画像処理部１１１、ＨＤＤ１０８へは、電力供給が停止した状態となる。なお、図５では、このような停止状態を示すために、第２電源部１８１、プリンタ部１０５、スキャナ部１０６、操作部１０３、画像処理部１１１、ＨＤＤ１０８の各モジュールは、「網掛け」が施されている。

前述したように、画像形成装置１では、そのシステム起動時にブートプログラムが実行される。このブートプログラムには、第１ＦＬＡＳＨ－ＲＯＭ１２０に記憶されている第１ブートプログラムＢＰ１が用いられる。なお、第２ＦＬＡＳＨ－ＲＯＭ１２１に記憶されている第２ブートプログラムＢＰ２は、バックアップ用であり、書き換えが禁止されるよう保護されている。そして、第１ブートプログラムＢＰ１および第２ブートプログラムＢＰ２は、いずれも、画像形成装置１における正当なブートプログラムである。上記課題でも述べたように、従来、装置の電源をオン状態からオフ状態にする操作が例えば数日間以上の長期間にわたって行われない場合、第１ブートプログラムＢＰ１の正当性の検証も同様の長期間実施されないことになる。そして、この期間に第１ブートプログラムＢＰ１の改竄がなされたとしても、その改竄を容易に発見することは不可能である。改竄された第１ブートプログラムＢＰ１を、そのまま放置したり、使用したりするのは、例えばセキュリティ上好ましくはない。

そこで、画像形成装置１では、このような改竄に関する不具合を低減可能に構成されている。以下、この構成および作用について説明する。図６は、第２電力状態への移行後の、第１ブートプログラムの正当性検証開始指示と、正当性検証結果に基づくメインＣＰＵ再起動の処理とを示すフローチャートである。

ステップＳ６０１では、電源制御部１１８は、メインＣＰＵ１０１が発行する第２電力状態移行命令の受信処理を行う。ステップＳ６０２では、電源制御部１１８は、ステップＳ６０１で受信した第２電力状態移行命令に基づいて、第２電源部１８１をオフ状態（第２電力状態）とする処理を行う。ステップＳ６０３では、電源制御部１１８は、起動要因レジスタ１１８１（図８参照）のリカバリー復帰ビットが「１」か否かの判断を行う。なお、「起動要因レジスタ１１８１」とは、電源制御部１１８が有するレジスタことである。そして、ステップＳ６０３での判断の結果、電源制御部１１８が、リカバリー復帰ビットが「１」であると判断した場合には、処理はステップＳ６１５に進む。一方、ステップＳ６０３での判断の結果、電源制御部１１８が、リカバリー復帰ビットが「１」ではないと判断した場合には、処理はステップＳ６０４に進む。

ステップＳ６０４では、電源制御部１１８は、サブＣＰＵ１１５をリセットする処理を行う。この処理として、電源制御部１１８は、サブＣＰＵリセット信号１５２を「Ｌｏｗ」レベルにして、サブＣＰＵ１１５をリセットする。ステップＳ６０５では、電源制御部１１８は、サブＣＰＵ１１５のリセット状態を解除する処理を行う。この処理として、電源制御部１１８は、サブＣＰＵリセット信号１５２を「Ｈｉｇｈ」レベルにして、サブＣＰＵ１１５のリセット状態を解除する。サブＣＰＵ１１５は、リセット状態が解除されると、第１ブートプログラムＢＰ１の正当性検証を開始する。

第１ブートプログラムＢＰ１の正当性検証を行う方法には、例えば、前述した公開鍵情報を用いる方法が挙げられる。そして、第１ブートプログラムＢＰ１は、正当性が無いと判定された場合に、改竄されているとする。このような正当性検証の結果、第１ブートプログラムＢＰ１に正当性が無いと判定された場合には、第１ブートプログラムＢＰ１を第２ブートプログラムＢＰ２に書き換える。そして、当該書き換えられた第１ブートプログラムＢＰ１は、第１ＦＬＡＳＨ－ＲＯＭ１２０に記憶させることとなる。これに対し、第１ブートプログラムＢＰ１に正当性が有ると判定された場合には、第１ブートプログラムＢＰ１の書き換えを省略する。これにより、無駄な書き換えを防止することができる。なお、第１ブートプログラムＢＰ１の正当性検証を行う方法については、本実施形態では前記公開鍵情報に基づく方法を用いるのに限定されない。

ステップＳ６０５実行後、ステップＳ６０６では、電源制御部１１８は、復帰要因を受信したか否かの判断を行う。なお、電源制御部１１８が受信する復帰要因には、例えば、操作部１０３にある復帰ボタン１０３５（図９参照）の押下、ネットワークＩ／Ｆ１０４を介したＬＡＮ１３０経由によるジョブ受信等がある。ステップＳ６０６での判断の結果、電源制御部１１８が、復帰要因を受信したと判断した場合には、処理はステップＳ６１９に進む。一方、ステップＳ６０６での判断の結果、電源制御部１１８が、復帰要因を受信していないと判断した場合には、処理はステップＳ６０７に進む。

ステップＳ６０７では、電源制御部１１８は、リカバリー通知信号１５１が「Ｌｏｗ」レベルか否かの判断を行う。ステップＳ６０７での判断の結果、電源制御部１１８が、リカバリー通知信号１５１が「Ｌｏｗ」レベルであると判断した場合には、処理はステップＳ６０８に進む。一方、ステップＳ６０７での判断の結果、電源制御部１１８が、リカバリー通知信号１５１が「Ｌｏｗ」レベルではないと判断した場合には、処理はステップＳ６０９に進む。ステップＳ６０８では、電源制御部１１８は、検証終了信号１５０が「Ｈｉｇｈ」レベルか否かの判断を行う。ステップＳ６０８での判断の結果、電源制御部１１８が、検証終了信号１５０が「Ｈｉｇｈ」レベルであると判断した場合には、処理はステップＳ６１５に進む。ステップＳ６０８での判断の結果、電源制御部１１８が、検証終了信号１５０が「Ｈｉｇｈ」レベルではない判断した場合には、処理はステップＳ６０６に戻り、それ以降のステップが順次実行される。ステップＳ６０６～ステップＳ６０８では、電源制御部１１８は、サブＣＰＵ１１５による第１ブートプログラムＢＰ１の正当性検証処理の終了を待つ。

ステップＳ６０９では、電源制御部１１８は、復帰要因を受信したか否かの判断を行う。ステップＳ６０９での判断の結果、電源制御部１１８が、復帰要因を受信したと判断した場合には、処理はステップＳ６１９に進む。ステップＳ６０９での判断の結果、電源制御部１１８が、復帰要因を受信していないと判断した場合には、処理はステップＳ６１０に進む。ステップＳ６１０では、電源制御部１１８は、検証終了信号１５０が「Ｈｉｇｈ」レベルか否かの判断を行う。ステップＳ６１０での判断の結果、電源制御部１１８が、検証終了信号１５０が「Ｈｉｇｈ」レベルであると判断した場合には、処理はステップＳ６１１に進む。一方、ステップＳ６１０での判断の結果、電源制御部１１８が、検証終了信号１５０が「Ｈｉｇｈ」レベルではないと判断した場合には、処理はステップＳ６０９に戻り、それ以降のステップが順次実行される。また、電源制御部１１８がステップＳ６０９からステップＳ６１０の処理を行っている間、サブＣＰＵ１１５は、第１ブートプログラムＢＰ１を第２ブートプログラムＢＰ２に書き換える（書換工程）。そして、サブＣＰＵ１１５は、当該書き換えられた第１ブートプログラムＢＰ１を第１ＦＬＡＳＨ－ＲＯＭ１２０に記憶させる。このように本実施形態では、サブＣＰＵ１１５は、第１ブートプログラムＢＰ１を第２ブートプログラムＢＰ２に書き換える書換手段としても機能する。

ステップＳ６１１では、電源制御部１１８は、起動要因レジスタ１１８１のリカバリー復帰ビットを「１」にする処理を行う。ステップＳ６１２では、電源制御部１１８は、メインＣＰＵ１０１をリセットする処理を行う。この処理として、電源制御部１１８は、メインＣＰＵリセット信号１１７を「Ｌｏｗ」レベルにして、メインＣＰＵ１０１をリセットする。ステップＳ６１３では、電源制御部１１８は、メインＣＰＵ１０１のリセット状態を解除する処理を行う。この処理として、電源制御部１１８は、メインＣＰＵリセット信号１１７を「Ｈｉｇｈ」レベルにして、メインＣＰＵ１０１のリセット状態を解除する。

メインＣＰＵ１０１は、リセット状態が解除されると、第１ＦＬＡＳＨ－ＲＯＭ１２０から第１ブートプログラムＢＰ１の読み込みを開始して、当該第１ブートプログラムＢＰ１を実行する（実行工程）。このように本実施形態では、メインＣＰＵ１０１は、第１ブートプログラムＢＰ１を実行する実行手段としても機能する。また、メインＣＰＵ１０１で実行される第１ブートプログラムＢＰ１としては、改竄されていない第１ブートプログラムＢＰ１はもちろんのこと、第２ブートプログラムＢＰ２に書き換えられた第１ブートプログラムＢＰ１であってもよい。これにより、画像形成装置１でのシステム起動が正常に実施される。

ステップＳ６１３実行後、ステップＳ６１４では、電源制御部１１８は、第２電源部１８１をオン状態とする処理を行う。第２電源部１８１がオン状態となった場合、第２電源部１８１を電力供給源とする各モジュールに電源が供給されて、信号バス１０９を介したメインＣＰＵ１０１との通信が開始される。そして、画像形成装置１が一度起動状態となる。ステップＳ６１５では、電源制御部１１８は、起動要因レジスタ１１８１のレジスタ値のクリア処理を行う。ステップＳ６１６では、電源制御部１１８は、復帰要因を受信したか否かの判断を行う。ステップＳ６１６での判断の結果、電源制御部１１８が、復帰要因を受信したと判断した場合には、処理はステップＳ６１７に進む。一方、ステップＳ６１６での判断の結果、電源制御部１１８が、復帰要因を受信していないと判断した場合には、処理は、電源制御部１１８で復帰要因が受信されるまで、そのままステップＳ６１６で待機する。ステップＳ６１７では、電源制御部１１８は、起動要因レジスタ１１８１の起動要因対象ビットに１を立てる処理を行う。この処理として、例えば、起動要因が操作部１０３の復帰ボタン１０３５の押下である場合、電源制御部１１８は、起動要因レジスタ１１８１のｂｉｔ１に「１」を書き込む。ステップＳ６１８では、電源制御部１１８は、メインＣＰＵ１０１に復帰命令を発行する。ステップＳ６１９では、電源制御部１１８は、サブＣＰＵリセット信号１５２を「Ｌｏｗ」レベルにして、サブＣＰＵ１１５をリセットし続ける。

以上のように、画像形成装置１では、サブＣＰＵ１１５は、電源制御部１１８で第１電力状態から第２電力状態への電力制御が行われた場合に、第１ブートプログラムＢＰ１の正当性の検証を行う。これにより、正当性検証を従来よりも頻繁に行うことができ、よって、正当性検証が長期間にわたって実施されない状態となるのを防止することができる。従って、改竄された第１ブートプログラムＢＰ１を、そのまま放置したり、使用したりするのを防止することができ、画像形成装置１は、例えば、セキュリティ上好ましい状態となる。また、画像形成装置１では、正当性検証と改竄時の復旧との処理を行うよう構成されていることにより、これらの処理に伴う画像形成装置１の使用時の待ち時間の発生を抑制することができる。

なお、画像形成装置１は、正当性検証実施中を報知するよう構成されていてもよい。この報知方法としては、例えば、操作部１０３に搭載されたＬＥＤ（不図示）から光を発光することによる報知等が挙げられる。また、画像形成装置１は、第１ブートプログラムＢＰ１の書き換え中、または、書き換え完了も報知可能に構成されていてもよい。

図７は、メインＣＰＵの起動から第２電力状態への移行、第２電力状態からの復帰、並びに、第２電力状態へ移行後、正当性検証結果に基づくメインＣＰＵのリセット解除後の処理を示すフローチャートである。

ステップＳ７０１では、メインＣＰＵ１０１は、リセットが解除されると直ちに第１ＦＬＡＳＨ－ＲＯＭ１２０に記憶されたメインＣＰＵ－ＦＷ４０１をＤＲＡＭ１０２に読み込む。ステップＳ７０２では、メインＣＰＵ１０１は、メインＣＰＵ－ＦＷ４０１を実行し、メインＣＰＵ１０１内の入出力の初期化を行う。ステップＳ７０３では、メインＣＰＵ１０１は、ＨＤＤ１０８からＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）をＤＲＡＭ１０２に読み込む。ステップＳ７０４では、メインＣＰＵ１０１は、ＯＳを起動する。ステップＳ７０５では、メインＣＰＵ１０１は、電源制御部１１８の起動要因レジスタ１１８１から復帰要因を読み出す。

ステップＳ７０６では、メインＣＰＵ１０１は、起動要因が、主電源スイッチ（不図示）がオン状態とされたことによる起動か否かの判断を行う。ステップＳ７０６での判断の結果、メインＣＰＵ１０１が、起動要因が前記主電源スイッチのオン状態による起動であると判断した場合には、処理はステップＳ７０７に進む。一方、ステップＳ７０６での判断の結果、メインＣＰＵ１０１が、起動要因が主電源スイッチのオン状態による起動ではないと判断した場合には、処理はステップＳ７０９に進む。ステップＳ７０７では、メインＣＰＵ１０１は、前記主電源スイッチがオン状態とされたことに応じた処理を行う。この処理として、メインＣＰＵ１０１は、プリンタ部１０５、スキャナ部１０６、ＦＡＸ１０７、画像処理部１１１、ネットワークＩ／Ｆ１０４、操作部１０３を初期化する。これにより、画像形成装置１は、作動可能な状態となり、例えば、コピー処理やネットワークＩ／Ｆ１０４を介して受信したジョブの処理等を行うことができる。ステップＳ７０９では、メインＣＰＵ１０１は、前記主電源スイッチがオン状態とされたことによる起動以外の起動要因に応じた処理、すなわち、第１ブートプログラムＢＰ１の正当性検証による復帰に応じた処理を行う。この処理として、メインＣＰＵ１０１は、ＦＡＸ１０７、ネットワークＩ／Ｆ１０４を初期化して、第２電力状態でＦＡＸ１０７、ネットワークＩ／Ｆ１０４が機能を実行可能な状態にする。

ステップＳ７０８では、メインＣＰＵ１０１は、画像形成装置１を第２電力状態に移行するタイミングか否かの判断を行う。ステップＳ７０８での判断の結果、メインＣＰＵ１０１が、画像形成装置１を第２電力状態に移行するタイミングであると判断した場合には、処理はステップＳ７１０に進む。一方、ステップＳ７０８での判断の結果、メインＣＰＵ１０１が第２電力状態への移行タイミングではないと判断した場合には、処理は、第２電力状態への移行タイミングであると判断されるまで、そのままステップＳ７０８で待機する。そして、メインＣＰＵ１０１は、ステップＳ７０８での第２電力状態への移行タイミングを待っている間に、コピー指示やネットワークＩ／Ｆ１０４を介してジョブを受信した場合、当該ジョブに応じた処理を行う。

ステップＳ７１０では、メインＣＰＵ１０１は、画像形成装置１を第２電力状態に移行する処理を行う。この処理として、メインＣＰＵ１０１は、第２電力状態で保持しておくべきデータをＤＲＡＭ１０２へ書き込み、ＤＲＡＭ１０２をセルフリフレッシュモードに設定する。ステップＳ７１１では、メインＣＰＵ１０１は、電源制御部１１８に対し、第２電力状態移行命令を発行する処理を行う。ステップＳ７１２では、メインＣＰＵ１０１は、電源制御部１１８から復帰命令を受信したか否かの判断を行う。ステップＳ７１２での判断の結果、メインＣＰＵ１０１が復帰命令を受信したと判断した場合には、処理はステップＳ７１３に進む。一方、ステップＳ７１２での判断の結果、メインＣＰＵ１０１が復帰命令を受信していないと判断した場合には、処理は、復帰命令を受信したと判断されるまで、そのままステップＳ７１２で待機する。

ステップＳ７１３では、メインＣＰＵ１０１は、電源制御部１１８の起動要因レジスタ１１８１からレジスタ値を読み出す。ステップＳ７１４では、メインＣＰＵ１０１は、ステップＳ７１３で起動要因レジスタ１１８１から読みだしたレジスタ値に応じた処理を行う。この処理として、例えば、ネットワークＩ／Ｆ１０４を介したＬＡＮ１３０経由による印刷ジョブ受信が起動要因の場合、メインＣＰＵ１０１は印刷処理を行う。このとき、操作部１０３の表示部１０３１（図９参照）では、表示操作が規制されている。また、第２電力状態からの復帰ボタン１０３５の押下が起動要因の場合、メインＣＰＵ１０１は、操作部１０３の表示部１０３１に画像形成装置１を操作するためのメニューを表示するとともに、画像形成装置１を使用可能な状態にする。ステップＳ７１５では、メインＣＰＵ１０１は、画像形成装置１を第２電力状態に移行するタイミングか否かの判断を行う。ステップＳ７１５での判断の結果、メインＣＰＵ１０１が、画像形成装置１を第２電力状態に移行するタイミングであると判断した場合には、処理はステップＳ７１０に戻り、それ以降のステップが順次実行される。一方、ステップＳ７１５での判断の結果、メインＣＰＵ１０１が、画像形成装置１を第２電力状態に移行するタイミングではないと判断した場合には、処理は、第２電力状態への移行タイミングであると判断されるまで、そのままステップＳ７１５で待機する。メインＣＰＵ１０１は、ステップＳ７１５での第２電力状態への移行タイミングを待っている間に、コピー指示やネットワークＩ／Ｆ１０４を介してジョブを受信した場合、当該ジョブに応じた処理を行う。

図８は、起動要因レジスタの構成を示す図である。図８に示すように、起動要因レジスタ１１８１は、８ｂｉｔで構成される。各ｂｉｔには、起動要因が割り当てられる。例えば、起動要因レジスタ１１８１のｂｉｔ０には、前記主電源スイッチが割り当てられる。ｂｉｔ１には、操作部１０３の復帰ボタン１０３５が割り当てられる。ｂｉｔ２には、ＬＡＮ１３０経由によるジョブ受信ビットが割り当てられる。ｂｉｔ３には、リカバリー復帰ビットが割り当てられる。例えば、画像形成装置１が第２電力状態にある場合に復帰ボタン１０３５が押下された際には、電源制御部１１８は、復帰ボタン１０３５の押下を検出して、起動要因レジスタ１１８１のｂｉｔ１に「１」を書き込む。

図９は、操作部の構成を示す図である。図９に示すように、本実施形態では、操作部１０３は、表示部１０３１、テンキー部１０３２、リセットキー１０３３、スタートキー１０３４、復帰ボタン１０３５で構成される。なお、操作部１０３における表示部１０３１～復帰ボタン１０３５の配置態様については、図９での配置態様に限定されない。表示部１０３１は、例えば液晶パネルで構成され、画像形成装置１を操作するための各種アイコンや各種メッセージ等を表示する。テンキー部１０３２は、例えば複数の押下式のボタンで構成され、各ボタンが数字を入力するためのキーとして機能する。リセットキー１０３３は、例えば押下式のボタンで構成され、画像形成装置１の設定変更確定前に変更した設定を変更前の設定に戻すためのキーである。スタートキー１０３４は、例えば押下式のボタンで構成され、プリンタ部１０５等にコピー実行指示を行うためのキーである。復帰ボタン１０３５は、例えば押下式のボタンで構成され、画像形成装置１を第１電力状態に復帰させるためのボタンである。これにより、画像形成装置１は、第２電力状態のときに復帰ボタン１０３５が押下された場合に、第１電力状態になる。

図１０は、画像形成装置での電源制御部およびサブＣＰＵの動作を示すタイミングチャートである。図１０に示すように、画像形成装置１は、前記主電源スイッチがオフ状態からオン状態に操作されると、起動中になる（タイミングＴ１参照）。画像形成装置１の起動中、第１ブートプログラムＢＰ１（第１ＦＬＡＳＨ－ＲＯＭ１２０）の正当性検証がサブＣＰＵ１１５により実施される。そして、サブＣＰＵ１１５は、正当性検証の実施が完了した場合に、検証終了信号１５０を「Ｈｉｇｈ」レベルにする（タイミングＴ２参照）。また、これに伴って、電源制御部１１８は、メインＣＰＵリセット信号１１７を「Ｈｉｇｈ」レベルにする（タイミングＴ３参照）。メインＣＰＵ１０１は、リセット解除されると、第１ＦＬＡＳＨ－ＲＯＭ１２０から第１ブートプログラムＢＰ１を読み出すとともに、ＨＤＤ１０８からもプログラムを読み出す。そして、メインＣＰＵ１０１は、画像形成装置１をコピー等の機能が提供可能な状態にする（タイミングＴ４参照）。

また、画像形成装置１が第２電力状態へ移行すると、電源制御部１１８は、第２電源部１８１をオフ状態とする。そして、電源制御部１１８は、サブＣＰＵ１１５をリセットする（タイミングＴ５参照）。画像形成装置１が第２電力状態にあるとき、サブＣＰＵ１１５は、第１ブートプログラムＢＰ１の正当性検証を実施する。サブＣＰＵ１１５は、第１ブートプログラムＢＰ１の正当性検証で、第１ブートプログラムＢＰ１に対する改竄を検出した場合には、リカバリー通知信号１５１を「Ｈｉｇｈ」レベルにする（タイミングＴ６参照）。リカバリー通知信号１５１が「Ｈｉｇｈ」レベルの間、サブＣＰＵ１１５は、第１ブートプログラムＢＰ１に第２ブートプログラムＢＰ２を上書きする、すなわち、第１ブートプログラムＢＰ１を第２ブートプログラムＢＰ２に書き換える。そして、この上書きが完了した場合、サブＣＰＵ１１５は、リカバリー通知信号１５１を「Ｌｏｗ」レベルにするとともに、検証終了信号を「Ｈｉｇｈ」レベルにする。このとき、電源制御部１１８は、メインＣＰＵリセット信号１１７でメインＣＰＵ１０１をリセットするとともに、第２電源部１８１をオン状態にする（タイミングＴ７参照）。図１０に示すタイミングは、起動要因が、正当性検証で改竄が検出されたことによるリカバリー復帰のタイミングチャートである。このため、画像形成装置１が第２電力状態に移行した後、電源制御部１１８は、サブＣＰＵリセット信号１５２でサブＣＰＵ１１５をリセットしない（タイミングＴ８参照）。

なお、画像形成装置１は、本実施形態では第１電力状態から第２電力状態への電力制御が行われた場合に正当性検証が実行されるが、これに限定されず、例えば、画像形成装置１は、第１電力状態から第２電力状態への電力制御が行われた回数が所定回数に達した場合にも、正当性検証が実行されてもよい。この場合、電源制御部１１８で第１電力状態から第２電力状態への電力制御が行われた場合に正当性検証を行うか、または、前記回数が所定回数に達した場合に、正当性検証を行うかを切り替え可能であるのが好ましい。これにより、画像形成装置１の使用状態に応じて、正当性検証の実行態様を切り替えることができる。なお、第１電力状態から第２電力状態への電力制御が行われた回数を検出する回数検出手段としての機能は、例えば、電源制御部１１８が担うことができる。

以上、本発明の好ましい実施形態について説明したが、本発明は上述した実施形態に限定されず、その要旨の範囲内で種々の変形および変更が可能である。本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワークや記憶媒体を介してシステムや装置に供給し、そのシステムまたは装置のコンピュータの１つ以上のプロセッサがプログラムを読み出して実行する処理でも実現可能である。また、本発明は、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

１ 画像形成装置
１１５ サブＣＰＵ
１１８ 電源制御部
１２０ 第１ＦＬＡＳＨ－ＲＯＭ
１２１ 第２ＦＬＡＳＨ－ＲＯＭ
１７０ 時計部
ＢＰ１ 第１ブートプログラム
ＢＰ２ 第２ブートプログラム

Claims (10)

1. 第１電力状態と、該第１電力状態よりも消費電力が低い第２電力状態とを取り得る情報処理装置であって、
   第１ブートプログラムを記憶する第１記憶手段と、
   第２ブートプログラムを記憶する第２記憶手段と、
   前記情報処理装置における前記第１ブートプログラムの正当性を検証する検証手段と、
   前記検証手段での検証の結果、前記正当性が無いと判定された場合に、前記第１ブートプログラムを前記第２ブートプログラムに書き換えて、前記第１記憶手段に記憶させる書換手段と、
   少なくとも前記第１電力状態から前記第２電力状態への電力制御を行う電力制御手段と、を備え、
   前記検証手段は、前記電力制御手段で前記第１電力状態から前記第２電力状態への電力制御が行われた場合に、前記正当性の検証を行うことを特徴とする情報処理装置。
2. 前記第２ブートプログラムは、前記情報処理装置における正当なブートプログラムであり、
   前記第２記憶手段では、前記第２ブートプログラムの書き換えが禁止されていることを特徴とする請求項１に記載の情報処理装置。
3. 前記第１ブートプログラムは、前記正当性が無いと判定された場合に、改竄されているとすることを特徴とする請求項１または２に記載の情報処理装置。
4. 前記第１ブートプログラムを実行する実行手段を備え、
   前記実行手段は、前記第２ブートプログラムに書き換えられた前記第１ブートプログラムを実行可能であることを特徴とする請求項１乃至３のうちの何れか１項に記載の情報処理装置。
5. 前記検証手段での検証の結果、前記正当性があると判定された場合には、前記書換手段による前記第１ブートプログラムの書き換えを省略することを特徴とする請求項１乃至４のうちの何れか１項に記載の情報処理装置。
6. 前記電力制御手段で前記第１電力状態から前記第２電力状態への電力制御が行われた回数を検出する回数検出手段を備え、
   前記検証手段は、前記回数検出手段で検出された回数が所定回数に達した場合に、前記正当性の検証が可能であることを特徴とする請求項１乃至５のうちの何れか１項に記載の情報処理装置。
7. 前記検証手段は、前記電力制御手段で前記第１電力状態から前記第２電力状態への電力制御が行われた場合に前記正当性の検証を行うか、または、前記回数検出手段で検出された回数が所定回数に達した場合に、前記正当性の検証を行うかを切り替え可能であることを特徴とする請求項６に記載の情報処理装置。
8. 前記第２電力状態は、Ｄｅｅｐ Ｓｌｅｅｐ状態であることを特徴とする請求項１乃至７のうちの何れか１項に記載の情報処理装置。
9. 第１電力状態と、該第１電力状態よりも消費電力が低い第２電力状態とを取り得る情報処理装置を制御する方法であって、
   第１ブートプログラムを記憶する第１記憶工程と、
   第２ブートプログラムを記憶する第２記憶工程と、
   前記情報処理装置における前記第１ブートプログラムの正当性を検証する検証工程と、
   前記検証工程での検証の結果、前記正当性が無いと判定された場合に、前記第１ブートプログラムを前記第２ブートプログラムに書き換えて記憶させる書換工程と、
   少なくとも前記第１電力状態から前記第２電力状態への電力制御を行う電力制御工程と、を有し、
   前記検証工程では、前記電力制御工程で前記第１電力状態から前記第２電力状態への電力制御が行われた場合に、前記正当性の検証を行うことを特徴とする情報処理装置の制御方法。
10. 請求項１乃至８の何れか１項に記載の情報処理装置の各手段をコンピュータに実行させるためのプログラム。
    

Images