JP2023167825A - 情報処理装置、情報処理装置の制御方法 - Google Patents

Abstract

【課題】画像形成装置のスリープ時のブートプログラムの改竄の検証を行うための回路の待機電力を低減するという課題があった。【解決手段】プログラムを格納する第一の記憶手段(120)とバックアップ用の第二の記憶手段(121)を有する情報処理装置であって、割り込み時（S709）、スリープ状態の情報処理装置の検証回路を起動させ、前記プログラムを実行する制御手段を有し、前記第一の記憶手段に記憶するプログラムの改竄を検証する検証手段（S710）と、前記プログラムが改竄されていた場合に、前記第二の記憶手段に記憶する前記プログラムを第一の記憶手段に記憶するプログラムに上書きすることにより復旧する復旧手段(S713)と、割り込み処理を実行する割り込み処理実行手段(S716)と、プログラムの改竄の検証と前記割り込み処理後、スリープ状態に移行させる(S714,718)ことを特徴とする。【選択図】 図７B

Description

本発明は情報処理装置が備えるファームウェアの改竄検知を行う回路の電力制御を行う情報処理装置、情報処理装置の制御方法に関するものである。

従来の情報処理装置においては、セキュリティ対策のため、画像形成装置内の制御部に使用されているメインＣＰＵのＢＩＯＳに対して改竄検知を行う回路が搭載されている。
情報処理装置の起動時にメインＣＰＵが実行するプログラムの正当性検証を行い、正当性が確認されなかった場合にメインＣＰＵとは異なる手段により異常通知を行うものが知られている（特許文献１）。まだ、情報処理装置の電源オフ時にプログラムの正当性検証を行い、起動時間を短縮することも知られている（特許文献２）。

特開2013-114620号 特開2021-72060号

前記改竄検証回路の電力状態はメインＣＰＵの動作と同期しており、前記装置の電源投入後のスタンバイモード、アクティブ状態、スリープモードでも通電されたままになっている。また、近年のＴＥＣ（標準的な消費電力）基準の改定に伴い画像形成装置の消費電力の中でスリープ時における待機電力が占める割合が増加していることにより、待機電力の削減が求められている。

上記課題を解決するために、本発明は、プログラムを格納する第一の記憶手段と前記プログラムのバックアップ用の第二の記憶手段を有する情報処理装置であって、割り込み信号を検知した場合、前記情報処理装置を第一の電力状態より低い電力状態である第二の電力状態から第一の電力状態に移行させ、前記第一の記憶手段に記憶する前記プログラムを実行する制御手段と、前記第一の記憶手段に記憶するプログラムの改竄を検証する検証手段と、前記検証手段による検証の結果、前記プログラムが改竄されていた場合に、前記第二の記憶手段に記憶する前記プログラムを第一の記憶手段に記憶するプログラムに上書きすることにより復旧する復旧手段と、前記割り込み信号に基づいて、割り込み処理を実行する割り込み処理手段とを有し、プログラムの改竄の検証と前記割り込み処理とが終了したら、前記第二の電力状態に移行させることを特徴とする。

改竄回路について、改竄検知の処理を行うときのみ通電することにより、改竄検知処理以外のタイミング、例えば画像形成装置の待機時の電力を削減することが可能となる。

画像形成装置の構成を示す図 スリープ時の画像形成装置の構成を示す図 メインＣＰＵの構成を示す図 サブＣＰＵの構成を示す図 FLASH（登録商標）ＲＯＭのメモリマップを示す図 電源構成を示す図 電源構成を示す図 プリンタ部の構成を示す図 プリンタエンジンのメンテナンス処理を示すフローチャート プリンタエンジンのメンテナンス処理を示すフローチャート プリンタエンジンのメンテナンス処理中の電源制御を示す図 ネットワークＩ/Ｆの構成を示す図 ネットワークＩ/ＦによるＷＯＬパケット処理を示すフローチャート ネットワークＩ/ＦによるＷＯＬパケット処理を示すフローチャート ネットワークＩ/ＦのＷＯＬパケット処理中の電源制御を示す図

〔実施形態１〕
本発明に係る改竄検知回路の電力を削減する方法について説明する。この実施の形態に記載されている構成要素はあくまで例示であり、この発明の範囲をそれらのみに限定する趣旨のものではない。なお、特に断らない限り、本発明の機能が実行されるのであれば、単体の機器であっても、複数の機器からなるシステムであっても、本発明を適用できることは言うまでもない。
また、本発明は、画像形成装置に限らずファームウェアを実行することにより動作する情報処理装置であれば何れのものでもよく、特にネットワークに繋がる機器としてスマートフォン、カメラ、スマートウォッチ等にも適用可能である。

・画像形成装置のハードウェア構成
図１Ａは情報処理装置である画像形成装置1の構成を表す図である。
メインＣＰＵ（Central Processing Unit）101は、画像形成装置1全体の制御を司る。
ＤＲＡＭ（Dynamic Random Access Memory）102は、メインＣＰＵ101で実行されるプログラムを格納すると共に一時的なデータのワークエリアとして機能する。
操作部103は、メインＣＰＵ101にユーザによる操作を通知する。
ネットワークＩ/Ｆ104は、ＬＡＮ130と接続して外部機器と通信を行う。
プリンタ部105は、画像データを紙面上に印字する。
スキャナ部106は、紙面上の画像を光学的に読み取り電気信号に変換してスキャン画像を生成する。
ＦＡＸ107は、公衆回線110と接続して外部機器とファクシミリ通信を行う。
ＨＤＤ（Hard Disk Drive）108は、メインＣＰＵ101で実行されるプログラムを格納すると共にプリントジョブやスキャンジョブ等のスプール領域としても利用される。また、スキャン画像を保管し再利用するための領域としても利用される。
信号バス109は、各モジュールを相互に接続して通信を行う。
公衆回線110は、ＦＡＸ107と外部機器を相互接続する。

画像処理部111は、ネットワークＩ/Ｆ104で受信したプリントジョブをプリンタ部105で印刷するのに適した画像への変換処理や、スキャナ部106で読み取ったスキャン画像のノイズ除去や色空間変換、回転、圧縮等の処理を実行する。また、ＨＤＤ108に保管されたスキャン画像の画像処理を実行する。
第一FLASHＲＯＭ（FLASH Read Only Memory）120、ならびに、第二FLASHＲＯＭ121は、メインＣＰＵ101で実行されるＦＷ（ファームウェア）を含むプログラムを格納する。またそれらは画像形成装置1のデフォルト設定値を記憶する。ここで、第二FLASHＲＯＭ121はバックアップ用である。第一FLASHＲＯＭ120が改竄されている場合に、サブＣＰＵ115が第二FLASHＲＯＭ121からＦＷ（ファームウェア）を読み出して、第一FLASHＲＯＭ120へ上書きすることで復旧を行う。そのため、第二FLASHＲＯＭ121は書き換えできないようにプロテクトされている。
ＳＰＩバス114はメインＣＰＵ101、第一FLASHＲＯＭ120、第二FLASHＲＯＭ121とサブＣＰＵ115を相互接続する。
サブＣＰＵ115は、画像形成装置1の起動時に、メインＣＰＵ101が起動する前に第一FLASHＲＯＭ120からメインＣＰＵ ＦＷ（ファームウェア）401を読み出して改竄がされていないか検証を行う。改竄の検知方法としては、例えばメインＣＰＵ ＦＷ401のデジタル署名の公開鍵情報（ハッシュ値を公開鍵暗号化した値）を製造時にサブＣＰＵ115内のＯＴＰ（One Time Program）304領域に記憶させておく。読み出したメインＣＰＵ ＦＷ401をこの公開鍵情報で復号化して検証を行う。公開鍵暗号の方法としては例えばＲＳＡ2048、ＥＣＤＳＡ（楕円曲線デジタル署名アルゴリズム）などがあげられる。

メインＣＰＵリセット信号117は、電源制御部118から出力されてメインＣＰＵ101のリセット端子に接続される。
電源制御部118は、第一電源部180、第二電源部181を制御する。更に、サブＣＰＵ115、メインＣＰＵ101のリセット制御も行う。
サブＣＰＵリセット信号152は、サブＣＰＵ115をリセットする信号である。
検証終了信号150は、サブＣＰＵ115が第一FLASHＲＯＭ120の改竄検証（正当性検証）が終了したことを電源制御部118へ通知する信号で、電源制御部118に接続される。
リカバリー通知信号151は、第一FLASHＲＯＭ120が改竄されている場合、サブＣＰＵ115が第一FLASHＲＯＭ120を復旧中であることを示す。リカバリー信号151は電源制御部118に接続される。

時計部170は、情報処理装置である画像形成装置1の動作に応じて、実行したジョブに対して時刻情報を付与するなど、画像形成装置1へ時刻機能を提供する。
画像形成装置1は消費電力が多い第一電力状態、消費電力が第一電力状態よりも低いスリープ状態の複数の電力状態をとることができる。
第一電源部180は、画像形成装置1が第一電力状態、スリープ状態の両方の電力状態で画像形成装置1の特定モジュールに電力を供給する電源である。
第二電源部181は、画像形成装置1が第一電力状態の場合のみ、特定モジュールに電力を供給する電源である。第二電源部181は、画像形成装置1がスリープ状態の場合、特定モジュールへ電源を供給しない。
スリープ時の画像形成装置1の状態を図１Ｂに示す。同図において、グレーアウトしているモジュールが電源Off状態となっている箇所を示している。電源Off状態のモジュールは、サブＣＰＵ115、第二FLASHＲＯＭ121、第二電源部181、操作部103、画像処理部111，プリンタ部105、スキャナ部106，ＨＤＤ108である。

（メインＣＰＵの構成）
図２はメインＣＰＵ101の構成を示す図である。
ＣＰＵコア201はであって、ＣＰＵの基本機能を担っている。
ＳＰＩＩ/Ｆ202は、外部のＳＰＩデバイスと相互に接続してデータの読み書きを行う。
信号バス209はメインＣＰＵ101内の各モジュールを接続する。
ＳＲＡＭ210は、ワークメモリとして使用される。
メインＣＰＵリセット信号117が“Low”レベルの場合、メインＣＰＵ101はリセット状態となる。メインＣＰＵリセット信号117が“High”レベルの場合、メインＣＰＵ101はリセット解除状態となる。メインＣＰＵリセット信号117がリセット状態からリセット解除状態に遷移すると、ＣＰＵコア201は先ず、第一FLASHＲＯＭ120内に記憶されているメインＣＰＵ ＦＷ401をＳＲＡＭ210に読み出して実行する。
バスＩ/Ｆ203は、信号バス109を介してメインＣＰＵ101と他のモジュールとの間の通信のためのインターフェースである。

（サブＣＰＵの構成）
図３はサブＣＰＵ115の構成を示す図である。
ＣＰＵコア301は、ＣＰＵの基本機能を担っている。
ＳＰＩＩ/Ｆ302はであって、外部のＳＰＩデバイスと相互に接続してデータの読み書きを行う。
ＧＰＩＯ（General-purpose input/output）303は、外部のデバイスと相互に接続してデータの送受信を行う。
ＯＴＰ（One Time Programmable）メモリ領域304は、製造時にサブＣＰＵ ＦＷのハッシュ値を公開鍵暗号化した値およびＴａｇのアドレスが書き込まれる。この領域に書き込まれたデータは一度書き込まれると二度と書換えることはできない。
ＳＲＡＭ305は、サブＣＰＵ115内のワークメモリとして使用される。
暗号処理部308は、公開鍵暗号化した値からサブＣＰＵ ＦＷのハッシュ値を復号するほか、公開鍵暗号化したメインＣＰＵＦＷのハッシュ値を復号する。
信号バス309は、サブＣＰＵ内の各モジュールを接続する。
BootＲＯＭ（Read Only Memory）310は、サブＣＰＵ115のブートプログラムを記憶する。
サブＣＰＵリセット信号152が“Low”レベルの場合、サブＣＰＵ115はリセット状態となる。サブＣＰＵリセット信号152が“High”レベルの場合、サブＣＰＵ115はリセット解除状態となる。サブＣＰＵリセット信号152がリセット状態からリセット解除状態に遷移すると、ＣＰＵコア301は先ず、BootＲＯＭ310から自身のブートプログラムを読み出し実行する。
CryptoＲＡＭ311は、暗号処理部308で利用する機密性の高いデータ等を記憶する。

（FLASHＲＯＭのメモリマップ）
図４はFLASHＲＯＭ120、121のメモリマップを示す図である。
同図において、メインＣＰＵ ＦＷ401は、メインＣＰＵ101で実行されるコードが記憶されている。
メインＣＰＵ ＦＷ署名領域402はＦＷ署名の値を格納する領域であり、メインＣＰＵ ＦＷのハッシュ値に対するＲＳＡ署名値が記憶されている。
Ｔａｇ403は、サブＣＰＵＦＷ404の先頭アドレスが記憶されている。Ｔａｇ403自体のアドレスはＯＴＰメモリ領域304に記憶されている。
サブＣＰＵ ＦＷ404は、サブＣＰＵ115で実行されるコードが記憶されている。
サブＣＰＵ ＦＷ署名405は、サブＣＰＵＦＷ404、又はサブＣＰＵＦＷ404の先頭の特定部分のＥＣＤＳＡ署名値が記憶されている。
ＲＯＭ-ＩＤ406は、メインＣＰＵ ＦＷ401の先頭アドレス、サイズおよびサブＣＰＵ ＦＷ署名405のアドレスが記憶されている。
第一FLASHＲＯＭ120、第二FLASHＲＯＭ121は、データの書き換えができないようにライトプロテクトする機能が備わっている。そしてＯＴＰのレジスタ領域にライトプロテクトの設定をすることで、レジスタで指定したアドレス以降のデータをプロテクトすることが可能である。

・画像形成装置の電源構成
図５Ａは情報処理装置である画像形成装置1の電源構成を示す図である。
商用電源入力501から第一電源部180、第二電源部181を介して画像形成装置の各モジュールに電源が供給される。電源制御部118から出力される信号502，503，504，505は、画像形成装置の各モジュールに供給される電源ライン上のFETＳＷをOff/Onすることにより電源供給を制御する。以下、信号502を例に説明する。信号502が“High”の時にはFETＳＷがOnとなり、サブＣＰＵ115、第二FLASHＲＯＭ121へ電源が供給される。信号502が“Low”の時には、FETＳＷがOffとなり、サブＣＰＵ115、第二FLASHＲＯＭ121へ電源が供給されない。前記の信号502は電源制御部118によって制御される。その他の信号503～505も同様である。
電源線511はプリンタ部105へ供給される電源である。通知信号140はプリンタ部105からの割り込み信号であり、電源制御部118に接続される。通知信号140の“High”又は“Low”に応じてプリンタ部105への電源供給を制御する。
wake信号141はネットワークＩ/Ｆ104から出力されるwake信号である。
スリープ時の画像形成装置1の状態を図５Ｂに示す。同図において、グレーアウトしているモジュールが電源Off状態となっている箇所を示している。具体的には、サブＣＰＵ115，第二FLASHＲＯＭ121、ＨＤＤ108、画像処理部111、操作部103プリンタ部105、スキャナ部106、第２電源部181が電源Off状態である。

（プリンタ部）
図６はプリンタ部105の構成を示す図である。
リアルタイムクロック（ＲＴＣ）601は、現在の時刻を計時するもので、プリンタ部105からのINT_PRN割り込みの通知信号140を電源制御部118に出力する。
電源制御部602は、プリンタ部の電源を管理する。
プリンタエンジン主制御部603は、プリンタエンジンを制御する。
メンテナンス制御部604はエンジンの画質を維持するためのメンテナンス処理を行う。

・メンテナンス処理
図７Ａ，Ｂはスリープ時におけるプリンタ部105のメンテナンス処理を示すフローである。以下に図６で示したモジュールの動作をこのフローと併せて説明を行う。
まずＳ701で画像形成装置1の不図示の主電源スイッチがユーザによりOnされる。
Ｓ702でメインＣＰＵ101が第一FLASHＲＯＭ120のデータをロードする前にサブＣＰＵ115は、第一FLASHＲＯＭ120の改竄検証を行う。
Ｓ703で、サブＣＰＵ115は検証結果のＯＫ/ＮＧを判別する。検証結果がＯＫであった場合には（S703でYes）、Ｓ705に進み、Ｓ703で検証結果がＮＧとなった場合には（S703でNo）、Ｓ704に進む。
Ｓ704でサブＣＰＵ115はバックアップ用の第二FLASHＲＯＭ121からＦＷ（ファームウェア）を読み出して、第一FLASHＲＯＭ120へ上書きすることで復旧を行う。
Ｓ705で改竄検証を行うサブＣＰＵ115、第二FLASHＲＯＭ121の電源をOffとし省電力化を図る。
Ｓ706で、メインＣＰＵ101は、画像形成装置1をstandby状態とする。
Ｓ707でメインＣＰＵ101は、画像形成装置1のスリープ移行要因が発生したか判断する。スリープ要因が発生していない場合は、Ｓ707で待機し、スリープ要因が発生した場合は、S708に進む。
続くＳ708で、メインＣＰＵ101は、画像形成装置1をスリープモードへ移行する。
プリンタ部105はメンテナンス制御部604により、一定の時間間隔でエンジンの画質調整を行う必要がある。プリンタ部105内にあるリアルタイムクロック（ＲＴＣ）601はタイマー割込みが発生すると、電源制御部118に通知信号140を送信する。
Ｓ709で、プリンタ部より割り込みの通知信号140を受信するまで待機する。Ｓ709で、割り込みの通知信号140を受信すると、省電力なスリープモードから復帰して、Ｓ715～Ｓ718の処理とＳ710～Ｓ714の処理を並行して実行する。
（Ｓ715～Ｓ718）
Ｓ715では、電源制御部118はRMT_PRN信号504をOnにして、プリンタ部105へ通電をOnにする。
続くＳ716でプリンタ部105内のメンテナンス制御部604は、画像形成装置1内の図示していない用紙搬送等のメカユニット、画像の中間転写体ベルト、トナー定着装置などを一時的に駆動させて印字画像ムラが発生しないようにメンテナンス処理を行う。
Ｓ717でメンテナンス処理が終了したか判断し、処理が終了している場合は（S717でYes）、Ｓ718に進み、終了していない場合は（Ｓ717でNo）、S716に戻ることにより、終了するまで待機する。
Ｓ718で前記の処理が終了すると、電源制御部118は、RMT_PRN信号504をOffにして、プリンタ部105の通電をOffさせる。
（Ｓ711～Ｓ714）
Ｓ710～Ｓ713までサブＣＰＵ115は電源起動時に実施したのと同様の改竄検証処理（Ｓ702～Ｓ705）を行う。検証処理が終了するとＳ714でサブＣＰＵ115、第二FLASHＲＯＭ121の電源をOffさせる。
Ｓ714とＳ718の処理が完了すると、Ｓ719でＣＰＵ101は、画像形成装置1を再びスリープモードに移行する。

［タイムチャート］
図８は図７のフロー処理をしているときの、画像形成装置1の電源状態を示したタイミングチャートである。各タイムスタンプと図７のフローとの対応関係は以下の通りである。Ｔ1は電源OnのＳ701、Ｔ2はＳ705，Ｓ706に対応する。Ｔ3はＳ708，Ｔ4はＳ709、Ｔ5はＳ710、Ｓ715、Ｔ6はＳ719のタイミングが各々に対応する。
まず、T１:Ｓ701で、ユーザが電源スイッチをOnにする。そうすると第一電源部180、第二電源部181が”High”になり、電源制御部118にも電源が供給され、信号502，504，505が“High”になる。
そして、S702～704改竄検証処理（及び自動復旧処理）が行われる。改竄検証処理が終了するとサブＣＰＵ115は、検証終了信号150を“High”として、電源制御部118に通知する。
Ｔ２:電源制御部118は、検証終了信号150が“High”となったことを検知して、信号502を“Low”にして、サブＣＰＵ115と第二FLASHＲＯＭ121の電源をOffにする。
Ｔ３:スリープの要因が発生すると、Ｓ708で、メインＣＰＵ101は、スリープモードへ移行するよう制御する。電源制御部118は、信号503，504，505を“Low”として、ＨＤＤ108、画像処理部111，操作部103，プリンタ部105及び第二電源部181をOffにする。
Ｔ４:Ｓ709で、電源制御部118はプリンタ部105より割り込みの通知信号140を受ける。
Ｔ５:Ｓ710，Ｓ715で、ＣＰＵ101は、改竄検証処理を行うサブＣＰＵ115、第二FLASHＲＯＭ121及びプリンタ部105の電源をOnにするよう電源制御部118に指示する。電源制御部118は、信号502，504，505を“High”とし、サブＣＰＵ115、第二FLASHＲＯＭ121、操作部103，プリンタ部105及び第二電源部181をOnにする。
Ｔ６:Ｓ719で、ＣＰＵ101は、検証終了信号150が“High”となったことを検知して、スリープモードに移行するよう電源制御部118に指示する。電源制御部118は、信号502，504，505を“Low”にして、サブＣＰＵ115、第二FLASHＲＯＭ121、操作部103，プリンタ部105及び第二電源部181をOffにする。

〔実施形態２〕
実施形態１では、画質調整などのメンテナンスの割り込みがプリンタ部105より発生した場合について、改竄検証処理を行う場合について説明した。実施形態２では、スリープ中にネットワークＩ/Ｆ104からの特定のパケットを受信し、改竄検証処理を行う場合の例を以下に説明する。

・ネットワークＩ/Ｆの構成
図９はネットワークＩ/Ｆ104の内部構成を示した図である。
主制御部901は、ネットワークＩ/Ｆ104を統括的に制御する。
代理応答パターン検出部902は図１で図示していないプリントサーバーからＬＡＮ130経由で送信されるパケットの中で、主制御部901がスリープ状態のときに代理応答が可能なパケットのパターンを認識する検出部である。
ＷＯＬパターン検出部903はＷＯＬ(Wake-On-LAN)パケットのデータパターンの検出部である。ＷＯＬパケットとは、ジョブパケットでは無く、かつ代理応答可能なパケットでも無いパケットを意味する。このパケットは、例えば画像形成装置1の状態の問い合わせなどである。
データ転送処理部904は、メインＣＰＵ101からの指示により、ＬＡＮ130から受信したデータをＤＲＡＭ102へ転送する、あるいは、ＤＲＡＭ102にあるデータをＬＡＮ130へ送信するための処理を行う。

・改竄検証の処理
図１０はスリープ時におけるネットワークＩ/Ｆ104がＷＯＬパケットを受信したときに、改竄検証を行う場合のフローを示したものである。以下に図９で示したモジュールの動作をこのフローと併せて説明を行う。
Ｓ1001のstandby状態からＳ1003のスリープモードへの移行に関しては、実施形態１で説明した内容と同様であるので省略する。
Ｓ1004で受信したパケットの内容がＷＯＬパターンと一致するか、ＷＯＬパターン検出部903が判定する。一致した場合には、ネットワークＩ/Ｆ104は、その旨を電源制御部118へwake信号141を“Low”から“High”に変化させることで通知する。
続くＳ1005～Ｓ1009の処理と、Ｓ1010～Ｓ1011の処理は並行して行われる。
（Ｓ1005～Ｓ1009）
電源制御部118はwake信号141が“High”になったことを検知する。すると、Ｓ1005で制御信号502を“Low”から“High”にしてFETＳＷをOnとし、改竄検証処理を行うサブＣＰＵ115、第二FLASHＲＯＭ121へ電源を供給する。
Ｓ1006以降の改竄検証処理については、実施例１の図７のフローで説明したＳ711からＳ714までの処理内容と同様である。
（Ｓ1010～Ｓ1011）
上記の処理と並行して、メインＣＰＵ101はＳ1010で画像形成装置1の状態を取得する。
Ｓ1011で図示していないプリントサーバーへステータス応答を行う。
Ｓ1009とＳ1011の処理が完了すると、Ｓ1012で画像形成装置1は再びスリープモードに移行する。

［タイミングチャート］
図１１は図１０のフロー処理をしているときの、画像形成装置1の電源状態を示したタイミングチャートである。各タイムスタンプと図１０のフローとの対応を以下は以下の通りである。Ｔ2はＳ1001、Ｔ3はＳ1003，Ｔ4はＳ1004、Ｔ5はＳ1005、Ｓ1010、Ｔ6はＳ1012のタイミングが各々に対応する。
Ｔ１～Ｔ３までは、図８と同様であるので、省略する。
Ｔ４:Ｓ1004で、電源制御部118はネットワークＩ/Ｆ104よりＷＯＬパケットを受信したことの割り込みのwake信号141を受ける。
Ｔ５:Ｓ1005で、ＣＰＵ101は、改竄検証処理を行うサブＣＰＵ115、第二FLASHＲＯＭ121の電源をOnにするよう電源制御部118に指示する。電源制御部118は、信号502を“High”とし、サブＣＰＵ115、第二FLASHＲＯＭ121をOnにする。
Ｔ６:Ｓ719で、ＣＰＵ101は、検証終了信号150が“High”となったことを検知して、スリープモードに移行するよう電源制御部118に指示する。電源制御部118は、信号502を“Low”にして、サブＣＰＵ115、第二FLASHＲＯＭ121をOffにする。

(その他の実施例)
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサーがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路(例えば、ＡＳＩＣ)によっても実現可能である。

101 メインＣＰＵ
115 サブＣＰＵ
118 電源制御部
120 第一FRASHＲＯＭ
121 第二FRASHＲＯＭ

Claims (6)

1. プログラムを格納する第一の記憶手段と前記プログラムのバックアップ用の第二の記憶手段を有する情報処理装置であって、
   割り込み信号を検知した場合、前記情報処理装置を第一の電力状態より低い電力状態である第二の電力状態から第一の電力状態に移行させ、前記第一の記憶手段に記憶する前記プログラムを実行する制御手段と、
   前記第一の記憶手段に記憶するプログラムの改竄を検証する検証手段と、
   前記検証手段による検証の結果、前記プログラムが改竄されていた場合に、前記第二の記憶手段に記憶する前記プログラムを第一の記憶手段に記憶するプログラムに上書きすることにより復旧する復旧手段と、
   前記割り込み信号に基づいて、割り込み処理を実行する割り込み処理実行手段とを有し、
   プログラムの改竄の検証と前記割り込み処理とが終了したら、前記第二の電力状態に移行させることを特徴とする情報処理装置。
2. 前記プログラムは、ブートプログラムであることを特徴とする請求項１に記載の画像形成装置。
3. 前記割り込み処理は、前記検証手段による前記プログラムの正当性の検証と並行に処理されることを特徴とする請求項１に記載の情報処理装置。
4. 前記割り込み処理は、タイマーによる一定の時間間隔の割り込み信号に基づくメンテナンス処理であることを特徴とする請求項３に記載の情報処理装置。
5. 前記割り込み処理は、ネットワークで接続されたサーバーから受信した特定のパケットに対して、前記情報処理装置の状態を前記サーバーへ通知する処理であることを特徴とする請求項３に記載の情報処理装置。
6. プログラムを格納する第一の記憶手段と前記プログラムのバックアップ用の第二の記憶手段を有する情報処理装置の制御方法であって、
   割り込み信号を検知した場合、前記情報処理装置を第一の電力状態より低い電力状態である第二の電力状態から第一の電力状態に移行させ、前記第一の記憶手段に記憶する前記プログラムを実行する制御工程と、
   前記第一の記憶手段に記憶するプログラムの改竄を検証する検証工程と、
   前記検証工程における検証の結果、前記プログラムが改竄されていた場合に、前記第二の記憶手段に記憶する前記プログラムを第一の記憶手段に記憶するプログラムに上書きすることで復旧する復旧工程と、
   前記割り込み信号に基づいて、割り込み処理を実行する割り込み処理実行工程とを有し、
   プログラムの改竄の検証と前記割り込み処理とが終了したら、前記第二の電力状態に移行させることを特徴とする情報処理装置の制御方法。

Images