JP5831178B2 - 情報処理装置、情報処理装置の起動制御方法 - Google Patents

Description

本発明は、情報処理装置、及びその起動制御方法に関する。

従来、電子装置に組み込まれた組込コンピュータ、パーソナルコンピュータ、サーバ装置等の情報処理装置の起動時において、動作させるプログラムが、悪意による改竄や破損等がなされていない正当なプログラムであるかどうかを検証する処理（正当性検証処理）が行われている。

特許文献１には、記録媒体から主記憶装置にプログラムを一部ずつ読み込むプログラム読み込み手段と、主記憶装置に読み込まれた一部ずつのプログラムの正当性の有無を判断するプログラム認証手段と、正当性有りと判断された一部ずつのプログラムを実行するプログラム実行手段とを備えた情報処理装置について記載されている。

しかしながら、上記特許文献１に記載の装置では、プログラムの正当性が確認されなかった場合に、その旨を外部に通知することについて考慮がなされていない。

本発明は、一側面では、機器制御を行うプロセッサが実行するプログラムの正当性が確認されなかった場合に、その旨を確実に通知することが可能な情報処理装置を提供することを目的とする。

上記目的を達成するための本発明の一態様は、
入出力装置に接続され、該入出力装置を含む機器を制御するためのプログラムを実行する第１のプロセッサと、
外部ネットワークに接続され、該外部ネットワークを介した通信を行うためのプログラムを実行する第２のプロセッサと、を備える情報処理装置であって、
前記第２のプロセッサは、該情報処理装置の起動時に前記第１のプロセッサが実行するプログラムの正当性検証を行い、前記第１のプロセッサが実行するプログラムの正当性が確認された場合に前記第１のプロセッサを起動させ、前記第１のプロセッサが実行するプログラムの正当性が確認されなかった場合に前記第１のプロセッサが備えるユーザーインターフェースとは異なる手段により異常通知を行うことを特徴とする、
情報処理装置である。

本発明の一側面によれば、機器制御を行うプロセッサが実行するプログラムの正当性が確認されなかった場合に、その旨をより確実に通知することが可能な情報処理装置を提供することができる。

本発明の第１実施例に係る情報処理装置１のハードウエア構成例である。 第１実施例の情報処理装置１の起動時におけるサブプロセッサ３０の機能構成例である。 第１実施例の情報処理装置１の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。 第２実施例の情報処理装置２の起動時におけるサブプロセッサ３０の機能構成例である。 第２・第３実施例に係る通知先データ３０Ｅのデータ構成例である。 第２実施例の情報処理装置２の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。 第３実施例の情報処理装置３の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。 第４・５実施例に係る通知先データ３０Ｅのデータ構成例である。 第４実施例の情報処理装置４の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。 第５実施例の情報処理装置５の起動時におけるサブプロセッサ３０の機能構成例である。 通知先有効／無効テーブル３０Ｆのデータ構成例である。 第５実施例の情報処理装置５の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。 本発明の第６実施例に係る情報処理装置６のハードウエア構成例である。 第６実施例の情報処理装置６の起動時におけるサブプロセッサ３０の機能構成例である。 第６実施例の情報処理装置６の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。 本発明の第７実施例に係る情報処理装置７のハードウエア構成例である。 第７実施例の情報処理装置７の起動時におけるサブプロセッサ３０の機能構成例である。 第７実施例の情報処理装置７の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。 ＩＣ書込装置３８によるＩＣデバイス４４への書き込みや、近距離無線通信装置３９による端末４６への情報送信が通知先有効／無効テーブル３０Ｆに登録された様子を示す図である。

以下、本発明を実施するための形態について、添付図面を参照しながら実施例を挙げて説明する。

＜第１実施例＞
以下、図面を参照し、本発明の第１実施例に係る情報処理装置、及びその起動制御方法について説明する。

図１は、本発明の第１実施例に係る情報処理装置１のハードウエア構成例である。情報処理装置１は、主要な構成として、メインプロセッサ１０と、サブプロセッサ３０と、を備える。

メインプロセッサ１０は、例えば、ＣＰＵ１１と、ＲＯＭ（Read Only Memory）１２と、補助記憶装置１３と、メモリ装置１４と、インターフェース装置１５と、ＮＩＣ（Network Interface Card）１６と、を備える。

ＣＰＵ１１は、例えば、プログラムカウンタや命令デコーダ、各種演算器、ＬＳＵ（Load Store Unit）、汎用レジスタ、キャッシュメモリ等を有する。ＲＯＭ２０は、例えばマスクＲＯＭであり、ＢＩＯＳ（Basic Input/Output System）等を含む起動制御プログラムやデータが格納される。補助記憶装置１３は、例えばフラッシュメモリ、ＥＥＰＲＯＭ（Electrically Erasable and Programmable Read Only Memory）、ＨＤＤ等であり、ＣＰＵ１１が実行する各種プログラムやデータを格納している。メモリ装置１４は、例えばＲＡＭ（Random Access Memory）であり、ＣＰＵ１１により使用されるワーキングメモリとして機能する。

メインプロセッサ１０には、表示パネル、ＬＥＤ（Light Emitting Diode）、その他の入出力装置４２を含む制御対象機器４０が接続されている。制御対象機器４０は、入出力装置４２の他、種々の機器を含み得るが、例えばプロジェクタにおける投影装置等が該当する。

ＮＩＣ１６は、内部バス５０を介してサブプロセッサ３０の内部通信用ＮＩＣ３６との間で情報を送受信し、プロセッサ間通信を実現する。係るプロセッサ間通信では、例えばＵＳＢ（Universal Serial Bus）が通信方式として採用される。

サブプロセッサ３０は、例えば、ＣＰＵ３１と、ＲＯＭ３２と、補助記憶装置３３と、メモリ装置３４と、暗号計算エンジン３５と、内部通信用ＮＩＣ３６と、外部通信用ＮＩＣ３７と、を備える。ＣＰＵ３１、ＲＯＭ３２、メモリ装置３４についてはメインプロセッサ１０と同様であるため、説明を省略する。補助記憶装置３３のうち少なくとも一部は、チップ内に埋め込むことにより配線の変更を不能にしたり、書き込み線を遮断したりすることにより、改竄不能な構成となっていると好適である。

暗号計算エンジン３５は、ＣＰＵ３１の指示によって、外部装置６０との通信におけるＳＳＬ（Secure Socket Layer）等に基づく暗号化／復号処理を行ったり、後述する正当性検証のための処理を行ったりする。

外部通信用ＮＩＣ３７は、外部ネットワーク５５を介して外部装置６０との間で通信を行う。外部ネットワーク５５においては、例えばＴＣＰ／ＩＰ（Transmission Control Protocol／Internet Protocol）に従うパケット通信が行われる。

外部装置６０は、例えばパーソナルコンピュータ、サーバ装置等であり、通信機能を備えていれば、その他の構成について特段の制限は存在しない。また、外部装置６０は、単独であってもよいし、複数の機器の集合であってもよい。

また、外部装置６０は、制御対象機器４０に対する制御信号を、情報処理装置１に送信するものとしてよい。前述のように、制御対象機器にプロジェクタの投影装置が含まれる場合、外部装置６０から情報処理装置１に画像データを送信し、サブプロセッサ３０を介して画像データを取得したメインプロセッサ１０が画像データに基づく表示制御を行うといった用い方をすることができる。

なお、各プロセッサが有する構成のうち、ＣＰＵ、補助記憶装置、各ＮＩＣ等を除く構成は、必要に応じて削除又は置換されても構わない。

図２は、本実施例の情報処理装置１の起動時（電源投入時、再起動時等）におけるサブプロセッサ３０の機能構成例である。図示するように、サブプロセッサ３０上では、ＢＩＯＳ等を含む起動制御部３０Ａ、正当性検証部３０Ｂ、プロセッサ間通信制御部３０Ｃ、外部通信制御部３０Ｄ等が動作する。

以下、係る構成を有する情報処理装置１の起動時における処理の流れについて説明する。図３は、情報処理装置１の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。

まず、起動制御部３０Ａが起動することによりサブプロセッサ３０が起動し、起動制御部３０Ａは、サブプロセッサ３０自身が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ１００）。正当性検証部３０Ｂは、補助記憶装置３３に格納されたプログラム、及び必要に応じてデータについて正当性検証を行うように暗号計算エンジン３５に指示する。正当性検証の具体的手法については、既に種々の手法が公知となっているため、詳細な説明を省略するが、例えば電子署名を用いた署名検証を行うものとしてよい。

次に、起動制御部３０Ａは、補助記憶装置３３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ１０２）。

補助記憶装置３３に格納されたプログラム等について正当性が確認されなかった場合、起動制御部３０Ａは、本フローチャートの処理を終了する。

一方、補助記憶装置３３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ１０４）。正当性検証部３０Ｂは、プロセッサ間通信制御部３０Ｃに指示してメインプロセッサ１０の補助記憶装置１３に格納されたプログラム等を取得し、取得したプログラム等について正当性検証を行うように暗号計算エンジン３５に指示する。

次に、起動制御部３０Ａは、補助記憶装置１３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ１０６）。

補助記憶装置１３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０を起動するようにメインプロセッサ１０の図示しない起動制御部に通知する（Ｓ１０８）。これによって、メインプロセッサが通常動作状態に移行する。

一方、補助記憶装置１３に格納されたプログラム等について正当性が確認されなかった場合、外部通信制御部３０Ｄは、外部装置６０に対して、メインプロセッサ１０が実行するプログラム等に異常が生じた旨を通知する異常通知をブロードキャスト送信の形式で行う（Ｓ１１０）。

係る制御によって、機器制御を行うメインプロセッサ１０が実行するプログラムの正当性が確認されなかった場合に、その旨を外部装置６０に確実に通知することができる。

本実施例の情報処理装置１では、異常通知を行う際には、メインプロセッサ１０側に接続された機器を用いず、専らサブプロセッサ３０に接続された外部ネットワーク５５に対して情報を送信する。

このため、メインプロセッサ１０が異常通知を制御する場合に比して、外部装置６０に確実に異常通知を行うことができる。異常通知を行うためのプログラムに異常が生じた場合、異常通知自体が不能となる可能性があるからである。

また、サブプロセッサ３０側では、メインプロセッサ１０に接続された制御対象機器４０の構成やＩＰアドレス等を検知する必要がないため、サブプロセッサ３０は、多様な仕様のメインプロセッサ１０に対応することができる。この結果、装置の互換性を高めることが可能となる。

以上説明した本実施例の情報処理装置、及びその起動制御方法によれば、機器制御を行うプロセッサ１０が実行するプログラムの正当性が確認されなかった場合に、その旨をより確実に外部装置６０に通知することができる。

＜第２実施例＞
以下、図面を参照し、本発明の第２実施例に係る情報処理装置、及びその起動制御方法について説明する。

本発明の第２実施例に係る情報処理装置２は、ハードウエア構成については、第１実施例と共通するため、図１を援用すると共に各構成要素に対して同一の符号を付し、機能等についての説明を省略する。

図４は、本実施例の情報処理装置２の起動時（電源投入時、再起動時等）におけるサブプロセッサ３０の機能構成例である。図示するように、サブプロセッサ３０上では、ＢＩＯＳ等を含む起動制御部３０Ａ、正当性検証部３０Ｂ、プロセッサ間通信制御部３０Ｃ、外部通信制御部３０Ｄ等が動作する。また、外部通信制御部３０Ｄは、異常通知を行う際の通知先を指定した通知先データ３０Ｅを参照して異常通知を行う。

図５は、第２・第３実施例に係る通知先データ３０Ｅのデータ構成例である。通知先データ３０Ｅは、例えば異常通知を行う通知先のＩＰアドレスを指定する。通知先データ３０Ｅは、例えば補助記憶装置３３によって保持され、情報処理装置２のユーザによって設定・変更可能とされる。例えば、外部ネットワーク５５への外部装置６０の接続履歴等を外部通信用ＮＩＣ３７から取得し、これに基づき入出力装置４２に通知先候補の一覧を表示する。そして、一覧からユーザが選択した通知先を、通知先データ３０Ｅとして保持する。

以下、係る構成を有する情報処理装置２の起動時における処理の流れについて説明する。図６は、情報処理装置２の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。

まず、起動制御部３０Ａが起床することによりサブプロセッサ３０が起動し、起動制御部３０Ａは、サブプロセッサ３０自身が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ２００）。正当性検証部３０Ｂは、補助記憶装置３３に格納されたプログラム、及び必要に応じてデータについて正当性検証を行うように暗号計算エンジン３５に指示する。正当性検証の具体的手法については、既に種々の手法が公知となっているため、詳細な説明を省略するが、例えば電子署名を用いた署名検証を行うものとしてよい。

次に、起動制御部３０Ａは、補助記憶装置３３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ２０２）。

補助記憶装置３３に格納されたプログラム等について正当性が確認されなかった場合、起動制御部３０Ａは、本フローチャートの処理を終了する。

一方、補助記憶装置３３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ２０４）。正当性検証部３０Ｂは、プロセッサ間通信制御部３０Ｃに指示してメインプロセッサ１０の補助記憶装置１３に格納されたプログラム等を取得し、取得したプログラム等について正当性検証を行うように暗号計算エンジン３５に指示する。

次に、起動制御部３０Ａは、補助記憶装置１３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ２０６）。

補助記憶装置１３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０を起動するようにメインプロセッサ１０の図示しない起動制御部に通知する（Ｓ２０８）。これによって、メインプロセッサが通常動作状態に移行する。

一方、補助記憶装置１３に格納されたプログラム等について正当性が確認されなかった場合、外部通信制御部３０Ｄは、通知先データ３０Ｅを読み込むと共に（Ｓ２１０）、読み込んだ通知先に対して、メインプロセッサ１０が実行するプログラム等に異常が生じた旨を通知する異常通知を行う（Ｓ２１２）。

以上説明した本実施例の情報処理装置、及びその起動制御方法によれば、第１実施例の情報処理装置１が奏するのと同様の効果を奏することができる。

また、本実施例の情報処理装置、及びその起動制御方法によれば、通知先を指定することにより、外部ネットワーク５５における通信負荷を低減することができる。

本実施例において、異常通知の通知先として指定される外部装置６０は、単なるコンピュータでは無く、情報処理装置２の製造メーカーが運営するコールセンターのオペレータ端末等であってもよい。

この場合、通知先データ３０Ｅは、情報処理装置２の出荷時に予めＲＯＭ３２に格納されているものとすればよい。こうすれば、コールセンターのサービススタッフが迅速に修理・交換を行うことが可能となり、情報処理装置２並びに制御対象機器４０の利用再開までの期間を短縮することができる。また、ユーザが外部装置６０に入力された異常通知を発見してから修理を依頼するといった手間を省略することができる。

なお、通知先データ３０Ｅは、ユーザによって指定される通知先と、予めＲＯＭ３２に格納されている通知先のいずれか一方のみを指すものである必要はなく、ユーザによって指定される通知先と、予めＲＯＭ３２に格納されている通知先の双方を指すものであってよい。

＜第３実施例＞
以下、図面を参照し、本発明の第３実施例に係る情報処理装置、及びその起動制御方法について説明する。

本発明の第３実施例に係る情報処理装置３は、ハードウエア構成については、第１実施例と共通するため、図１を援用すると共に各構成要素に対して同一の符号を付し、機能等についての説明を省略する。

本実施例の情報処理装置３の起動時（電源投入時、再起動時等）におけるサブプロセッサ３０の機能構成例については、第２実施例と共通するため、図４及び図５を援用することとする。通知先データ３０Ｅは、第２実施例と同様、ＲＯＭ３２及び／又は補助記憶装置３３によって保持され、補助記憶装置３３により保持されるものについては情報処理装置３のユーザによって設定・変更可能とされる。

以下、係る構成を有する情報処理装置３の起動時における処理の流れについて説明する。図７は、情報処理装置３の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。

まず、起動制御部３０Ａが起床することによりサブプロセッサ３０が起動し、起動制御部３０Ａは、サブプロセッサ３０自身が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ３００）。正当性検証部３０Ｂは、補助記憶装置３３に格納されたプログラム、及び必要に応じてデータについて正当性検証を行うように暗号計算エンジン３５に指示する。正当性検証の具体的手法については、既に種々の手法が公知となっているため、詳細な説明を省略するが、例えば電子署名を用いた署名検証を行うものとしてよい。

次に、起動制御部３０Ａは、補助記憶装置３３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ３０２）。

補助記憶装置３３に格納されたプログラム等について正当性が確認されなかった場合、起動制御部３０Ａは、本フローチャートの処理を終了する。

一方、補助記憶装置３３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ３０４）。正当性検証部３０Ｂは、プロセッサ間通信制御部３０Ｃに指示してメインプロセッサ１０の補助記憶装置１３に格納されたプログラム等を取得し、取得したプログラム等について正当性検証を行うように暗号計算エンジン３５に指示する。

次に、起動制御部３０Ａは、補助記憶装置１３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ３０６）。

補助記憶装置１３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０を起動するようにメインプロセッサ１０の図示しない起動制御部に通知する（Ｓ３０８）。これによって、メインプロセッサが通常動作状態に移行する。

一方、補助記憶装置１３に格納されたプログラム等について正当性が確認されなかった場合、外部通信制御部３０Ｄは、通知先データ３０Ｅを読み込み（Ｓ３１０）、通知先データ３０Ｅに通知先が登録されているか否かを判定する（Ｓ３１２）。

通知先データ３０Ｅに通知先が登録されている場合、外部通信制御部３０Ｄは、読み込んだ通知先に対して、メインプロセッサ１０が実行するプログラム等に異常が生じた旨を通知する異常通知を行う（Ｓ３１４）。

一方、通知先データ３０Ｅに通知先が登録されていない場合、外部通信制御部３０Ｄは、異常通知をブロードキャスト送信の形式で行う（Ｓ３１６）。

以上説明した本実施例の情報処理装置、及びその起動制御方法によれば、第１実施例の情報処理装置１や第２実施例の情報処理装置２が奏するのと同様の効果を奏することができる。

また、本実施例の情報処理装置、及びその起動制御方法によれば、通知先が未登録の状態でも、異常通知がブロードキャスト送信されるため、より確実に異常通知を行うことができる。

＜第４実施例＞
以下、図面を参照し、本発明の第４実施例に係る情報処理装置、及びその起動制御方法について説明する。

本発明の第４実施例に係る情報処理装置４は、ハードウエア構成については、第１実施例と共通するため、図１を援用すると共に各構成要素に対して同一の符号を付し、機能等についての説明を省略する。

本実施例の情報処理装置４の起動時（電源投入時、再起動時等）におけるサブプロセッサ３０の機能構成例については、第２実施例と共通するため、図４を援用することとする。通知先データ３０Ｅは、第２実施例と同様、ＲＯＭ３２及び／又は補助記憶装置３３によって保持され、補助記憶装置３３により保持されるものについては情報処理装置４のユーザによって設定・変更可能とされる。

また、本実施例における通知先データ３０Ｅは、複数の通知先を登録可能である。図８は、第４・第５実施例に係る通知先データ３０Ｅのデータ構成例である。図示するように、第４実施例に係る通知先データ３０Ｅは、複数の通知先を登録可能となっている。

以下、係る構成を有する情報処理装置４の起動時における処理の流れについて説明する。図９は、情報処理装置４の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。

まず、起動制御部３０Ａが起床することによりサブプロセッサ３０が起動し、起動制御部３０Ａは、サブプロセッサ３０自身が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ４００）。正当性検証部３０Ｂは、補助記憶装置３３に格納されたプログラム、及び必要に応じてデータについて正当性検証を行うように暗号計算エンジン３５に指示する。正当性検証の具体的手法については、既に種々の手法が公知となっているため、詳細な説明を省略するが、例えば電子署名を用いた署名検証を行うものとしてよい。

次に、起動制御部３０Ａは、補助記憶装置３３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ４０２）。

補助記憶装置３３に格納されたプログラム等について正当性が確認されなかった場合、起動制御部３０Ａは、本フローチャートの処理を終了する。

一方、補助記憶装置３３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ４０４）。正当性検証部３０Ｂは、プロセッサ間通信制御部３０Ｃに指示してメインプロセッサ１０の補助記憶装置１３に格納されたプログラム等を取得し、取得したプログラム等について正当性検証を行うように暗号計算エンジン３５に指示する。

次に、起動制御部３０Ａは、補助記憶装置１３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ４０６）。

補助記憶装置１３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０を起動するようにメインプロセッサ１０の図示しない起動制御部に通知する（Ｓ４０８）。これによって、メインプロセッサが通常動作状態に移行する。

一方、補助記憶装置１３に格納されたプログラム等について正当性が確認されなかった場合、外部通信制御部３０Ｄは、通知先データ３０Ｅを順に一つ読み込み（Ｓ４１０）、読み込んだ通知先に対して、メインプロセッサ１０が実行するプログラム等に異常が生じた旨を通知する異常通知を行う（Ｓ４１２）。

次に、外部通信制御部３０Ｄは、全ての通知先に異常通知を通知済であるか否かを判定する（Ｓ４１４）。

全ての通知先に異常通知を通知済である場合、外部通信制御部３０Ｄは、本フローチャートを終了する。一方、全ての通知先に異常通知を通知済でない場合、外部通信制御部３０Ｄは、Ｓ４１０に戻り、処理を実行する。

以上説明した本実施例の情報処理装置、及びその起動制御方法によれば、第１実施例の情報処理装置１や第２実施例の情報処理装置２が奏するのと同様の効果を奏することができる。

また、本実施例の情報処理装置、及びその起動制御方法によれば、複数の通知先を通知先データ３０Ｅに登録可能とし、全ての通知先に異常通知を行うため、例えばユーザが複数の外部装置６０をネットワーク５５に接続して利用している場合に、どの外部装置６０においても情報処理装置４の異常を発見することができる。これによって、ネットワーク５５に接続された装置群の利便性を高めることができる。

なお、本実施例においても、通知先データ３０Ｅに通知先が未登録であれば、異常通知をブロードキャスト送信の形式で行うように処理の流れを変更してもよい。

＜第５実施例＞
以下、図面を参照し、本発明の第５実施例に係る情報処理装置、及びその起動制御方法について説明する。

本発明の第５実施例に係る情報処理装置５は、ハードウエア構成については、第１実施例と共通するため、図１を援用すると共に各構成要素に対して同一の符号を付し、機能等についての説明を省略する。

図１０は、本実施例の情報処理装置５の起動時（電源投入時、再起動時等）におけるサブプロセッサ３０の機能構成例である。図示するように、サブプロセッサ３０上では、ＢＩＯＳ等を含む起動制御部３０Ａ、正当性検証部３０Ｂ、プロセッサ間通信制御部３０Ｃ、外部通信制御部３０Ｄ等が動作する。また、外部通信制御部３０Ｄは、異常通知を行う際の通知先を指定した通知先データ３０Ｅ、及び通知先有効／無効テーブル３０Ｆを参照して異常通知を行う。通知先データ３０Ｅは、第２実施例と同様、ＲＯＭ３２及び／又は補助記憶装置３３によって保持され、補助記憶装置３３により保持されるものについては情報処理装置５のユーザによって設定・変更可能とされる（図８参照）。

図１１は、通知先有効／無効テーブル３０Ｆのデータ構成例である。通知先有効／無効テーブル３０Ｆは、補助記憶装置３３によって保持され、情報処理装置５のユーザによって設定・変更可能とされる。図において「ＹＥＳ」は当該通知先が有効となっていることを示し、「ＮＯ」は当該通知先が無効となっていることを示す。

また、本実施例における通知先データ３０Ｅは、第４実施例と同様、複数の通知先を登録可能である（図８参照）。

以下、係る構成を有する情報処理装置５の起動時における処理の流れについて説明する。図１２は、情報処理装置５の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。

まず、起動制御部３０Ａが起床することによりサブプロセッサ３０が起動し、起動制御部３０Ａは、サブプロセッサ３０自身が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ５００）。正当性検証部３０Ｂは、補助記憶装置３３に格納されたプログラム、及び必要に応じてデータについて正当性検証を行うように暗号計算エンジン３５に指示する。正当性検証の具体的手法については、既に種々の手法が公知となっているため、詳細な説明を省略するが、例えば電子署名を用いた署名検証を行うものとしてよい。

次に、起動制御部３０Ａは、補助記憶装置３３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ５０２）。

補助記憶装置３３に格納されたプログラム等について正当性が確認されなかった場合、起動制御部３０Ａは、本フローチャートの処理を終了する。

一方、補助記憶装置３３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ５０４）。正当性検証部３０Ｂは、プロセッサ間通信制御部３０Ｃに指示してメインプロセッサ１０の補助記憶装置１３に格納されたプログラム等を取得し、取得したプログラム等について正当性検証を行うように暗号計算エンジン３５に指示する。

次に、起動制御部３０Ａは、補助記憶装置１３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ５０６）。

補助記憶装置１３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０を起動するようにメインプロセッサ１０の図示しない起動制御部に通知する（Ｓ５０８）。これによって、メインプロセッサが通常動作状態に移行する。

一方、補助記憶装置１３に格納されたプログラム等について正当性が確認されなかった場合、外部通信制御部３０Ｄは、通知先データ３０Ｅを順に一つ読み込み（Ｓ５１０）、通知先有効／無効テーブル３０Ｆにおいて、読み込んだ通知先が有効になっているか否かを判定する（Ｓ５１２）。読み込んだ通知先が有効になっている場合は、読み込んだ通知先に対して、メインプロセッサ１０が実行するプログラム等に異常が生じた旨を通知する異常通知を行う（Ｓ５１４）。

次に、外部通信制御部３０Ｄは、全ての通知先を読み込んだか否かを判定する（Ｓ５１６）。

全ての通知先を読み込んだ場合、外部通信制御部３０Ｄは、本フローチャートを終了する。一方、全ての通知先を読み込んでいない場合、外部通信制御部３０Ｄは、Ｓ５１０に戻り、処理を実行する。

以上説明した本実施例の情報処理装置、及びその起動制御方法によれば、第１実施例の情報処理装置１や第２実施例の情報処理装置２が奏するのと同様の効果を奏することができる。

また、本実施例の情報処理装置、及びその起動制御方法によれば、複数の通知先を通知先データ３０Ｅに登録可能とし、各通知先について有効／無効を設定可能としたため、ユーザにおいて、複数の外部装置６０を設定したり、削除したりする手間が生じるのを防止することができる。これによって、ネットワーク５５に接続された装置群の利便性を高めることができる。

なお、本実施例においても、通知先データ３０Ｅに通知先が未登録であれば（或いは、全ての登録された通知先が無効となっていれば）、異常通知をブロードキャスト送信の形式で行うように処理の流れを変更してもよい。

＜第６実施例＞
以下、図面を参照し、本発明の第６実施例に係る情報処理装置、及びその起動制御方法について説明する。

図１３は、本発明の第６実施例に係る情報処理装置６のハードウエア構成例である。情報処理装置６は、第１実施例の情報処理装置１等が有するハードウエア構成に加えて、ＩＣ（Integrated Circuit）書込装置３８を備える。

ＩＣ書込装置３８は、例えば送受信アンテナを備え、非接触で近接するＩＣデバイス４４に所定の情報を書き込む機能を有する。ＩＣデバイス４４には、ＩＣカードの他、近年普及しているＩＣ受信機能を有する携帯端末等が含まれ得る。

図１４は、本実施例の情報処理装置６の起動時（電源投入時、再起動時等）におけるサブプロセッサ３０の機能構成例である。図示するように、サブプロセッサ３０上では、ＢＩＯＳ等を含む起動制御部３０Ａ、正当性検証部３０Ｂ、プロセッサ間通信制御部３０Ｃ、ＩＣ書込制御部３０Ｇ等が動作する。

以下、係る構成を有する情報処理装置６の起動時における処理の流れについて説明する。図１５は、情報処理装置６の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。

まず、起動制御部３０Ａが起床することによりサブプロセッサ３０が起動し、起動制御部３０Ａは、サブプロセッサ３０自身が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ６００）。正当性検証部３０Ｂは、補助記憶装置３３に格納されたプログラム、及び必要に応じてデータについて正当性検証を行うように暗号計算エンジン３５に指示する。正当性検証の具体的手法については、既に種々の手法が公知となっているため、詳細な説明を省略するが、例えば電子署名を用いた署名検証を行うものとしてよい。

次に、起動制御部３０Ａは、補助記憶装置３３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ６０２）。

補助記憶装置３３に格納されたプログラム等について正当性が確認されなかった場合、起動制御部３０Ａは、本フローチャートの処理を終了する。

一方、補助記憶装置３３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ６０４）。正当性検証部３０Ｂは、プロセッサ間通信制御部３０Ｃに指示してメインプロセッサ１０の補助記憶装置１３に格納されたプログラム等を取得し、取得したプログラム等について正当性検証を行うように暗号計算エンジン３５に指示する。

次に、起動制御部３０Ａは、補助記憶装置１３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ６０６）。

補助記憶装置１３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０を起動するようにメインプロセッサ１０の図示しない起動制御部に通知する（Ｓ６０８）。これによって、メインプロセッサが通常動作状態に移行する。

一方、補助記憶装置１３に格納されたプログラム等について正当性が確認されなかった場合、ＩＣ書込制御部３０Ｇは、ＩＣ書込装置３８に対して、メインプロセッサ１０が実行するプログラム等に異常が生じた旨をＩＣデバイス４４に書き込むように指示する（Ｓ６１０）。

係る制御によって、機器制御を行うメインプロセッサ１０が実行するプログラムの正当性が確認されなかった場合に、その旨をＩＣデバイス４４に確実に書き込むことができる。

本実施例の情報処理装置６では、異常が生じた旨を出力する際には、メインプロセッサ１０側に接続された機器を用いず、専らＩＣ書込装置３８を用いて行う。

このため、メインプロセッサ１０が異常通知を制御する場合に比して、ＩＣデバイス４４に確実に書き込むことができる。異常通知を行うためのプログラムに異常が生じた場合、異常通知自体が不能となる可能性があるからである。

また、サブプロセッサ３０側では、メインプロセッサ１０に接続された制御対象機器４０の構成やＩＰアドレス等を検知する必要がないため、サブプロセッサ３０は、多様な仕様のメインプロセッサ１０に対応することができる。この結果、装置の互換性を高めることが可能となる。

また、ネットワーク５５等の通信環境が存在しない設置環境においても、異常通知を行うことができる。

以上説明した本実施例の情報処理装置、及びその起動制御方法によれば、機器制御を行うプロセッサ１０が実行するプログラムの正当性が確認されなかった場合に、その旨をより確実にＩＣデバイス４４に書き込むことができる。

＜第７実施例＞
以下、図面を参照し、本発明の第７実施例に係る情報処理装置、及びその起動制御方法について説明する。

図１６は、本発明の第７実施例に係る情報処理装置７のハードウエア構成例である。情報処理装置７は、第１実施例の情報処理装置１等が有するハードウエア構成に加えて、近距離無線通信装置３９を備える。

近距離無線通信装置３９は、例えば送受信アンテナを備え、近距離に存在する端末４６との間で情報の送受信を行う。近距離無線通信装置３９は、例えばＤＳＲＣ（Dedicated Short Range Communications）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、赤外線通信等の方式により、端末４６との間で情報の送受信を行う。端末４６は、例えば携帯電話やＰＤＡ（Personal Digital Assistant）であるが、パーソナルコンピュータその他の端末であってもよい。

図１７は、本実施例の情報処理装置７の起動時（電源投入時、再起動時等）におけるサブプロセッサ３０の機能構成例である。図示するように、サブプロセッサ３０上では、ＢＩＯＳ等を含む起動制御部３０Ａ、正当性検証部３０Ｂ、プロセッサ間通信制御部３０Ｃ、近距離通信制御部３０Ｈ等が動作する。

以下、係る構成を有する情報処理装置７の起動時における処理の流れについて説明する。図１８は、情報処理装置７の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。

まず、起動制御部３０Ａが起床することによりサブプロセッサ３０が起動し、起動制御部３０Ａは、サブプロセッサ３０自身が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ７００）。正当性検証部３０Ｂは、補助記憶装置３３に格納されたプログラム、及び必要に応じてデータについて正当性検証を行うように暗号計算エンジン３５に指示する。正当性検証の具体的手法については、既に種々の手法が公知となっているため、詳細な説明を省略するが、例えば電子署名を用いた署名検証を行うものとしてよい。

次に、起動制御部３０Ａは、補助記憶装置３３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ７０２）。

補助記憶装置３３に格納されたプログラム等について正当性が確認されなかった場合、起動制御部３０Ａは、本フローチャートの処理を終了する。

一方、補助記憶装置３３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ７０４）。正当性検証部３０Ｂは、プロセッサ間通信制御部３０Ｃに指示してメインプロセッサ１０の補助記憶装置１３に格納されたプログラム等を取得し、取得したプログラム等について正当性検証を行うように暗号計算エンジン３５に指示する。

次に、起動制御部３０Ａは、補助記憶装置１３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ７０６）。

補助記憶装置１３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０を起動するようにメインプロセッサ１０の図示しない起動制御部に通知する（Ｓ７０８）。これによって、メインプロセッサが通常動作状態に移行する。

一方、補助記憶装置１３に格納されたプログラム等について正当性が確認されなかった場合、近距離無線通信制御部３０Ｇは、近距離無線通信装置３９に対して、メインプロセッサ１０が実行するプログラム等に異常が生じた旨を端末４６に送信するように指示する（Ｓ７１０）。

係る制御によって、機器制御を行うメインプロセッサ１０が実行するプログラムの正当性が確認されなかった場合に、その旨を端末４６に確実に送信することができる。

本実施例の情報処理装置７では、異常が生じた旨を出力する際には、メインプロセッサ１０側に接続された機器を用いず、専ら近距離無線通信装置３９を用いて行う。

このため、メインプロセッサ１０が異常通知を制御する場合に比して、端末４６に確実に送信することができる。異常通知を行うためのプログラムに異常が生じた場合、異常通知自体が不能となる可能性があるからである。

また、サブプロセッサ３０側では、メインプロセッサ１０に接続された制御対象機器４０の構成やＩＰアドレス等を検知する必要がないため、サブプロセッサ３０は、多様な仕様のメインプロセッサ１０に対応することができる。この結果、装置の互換性を高めることが可能となる。

また、ネットワーク５５等の通信環境が存在しない設置環境においても、異常通知を行うことができる。

以上説明した本実施例の情報処理装置、及びその起動制御方法によれば、機器制御を行うプロセッサ１０が実行するプログラムの正当性が確認されなかった場合に、その旨をより確実に端末４６に送信することができる。

＜変形等＞
以上、本発明を実施するための最良の形態について実施例を用いて説明したが、本発明はこうした実施例に何等限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々の変形及び置換を加えることができる。

例えば、ＩＣ書込装置３８によるＩＣデバイス４４への書き込みや、近距離無線通信装置３９による端末４６への情報送信は、第４、第５実施例に係る通知先テーブル３０Ｅ、及び通知先有効／無効テーブル３０Ｆに、登録可能であってもよい。この場合、第４、第５実施例における「通信先」を、「通信先又は出力手段」と読み替える。図１９は、ＩＣ書込装置３８によるＩＣデバイス４４への書き込みや、近距離無線通信装置３９による端末４６への情報送信が通知先有効／無効テーブル３０Ｆに登録された様子を示す図である。

１、２、３、４、５、６、７ 情報処理装置
１０ メインプロセッサ
１１ ＣＰＵ
１２ ＲＯＭ
１３ 補助記憶装置
１４ メモリ装置
１５ インターフェース装置
１６ ＮＩＣ
３０ サブプロセッサ
３０Ａ 起動制御部
３０Ｂ 正当性検証部
３０Ｃ プロセッサ間通信制御部
３０Ｄ 外部通信制御部
３０Ｅ 通知先データ
３０Ｆ 通知先有効／無効テーブル
３０Ｇ ＩＣ書込制御部
３０Ｈ 近距離通信制御部
３１ ＣＰＵ
３２ ＲＯＭ
３３ 補助記憶装置
３４ メモリ装置
３５ 暗号計算エンジン
３６ 内部通信用ＮＩＣ
３７ 外部通信用ＮＩＣ
３８ ＩＣ書込装置
３９ 近距離無線通信装置
４０ 制御対象機器
４２ 入出力装置
４４ ＩＣデバイス
４６ 端末
５０ 内部バス
５５ 外部ネットワーク
６０ 外部装置

特開２０１０−１４６１１０号公報

Claims (10)

1. 入出力装置に接続され、該入出力装置を含む機器を制御するためのプログラムを実行する第１のプロセッサと、
   外部ネットワークに接続され、該外部ネットワークを介した通信を行うためのプログラムを実行する第２のプロセッサと、を備える情報処理装置であって、
   前記第２のプロセッサは、該情報処理装置の起動時に前記第１のプロセッサが実行するプログラムの正当性検証を行い、前記第１のプロセッサが実行するプログラムの正当性が確認された場合に前記第１のプロセッサを起動させ、前記第１のプロセッサが実行するプログラムの正当性が確認されなかった場合に前記第１のプロセッサが備えるユーザーインターフェースとは異なる手段により異常通知を行うことを特徴とする、
   情報処理装置。
2. 請求項１に記載の情報処理装置であって、
   前記第２のプロセッサは、前記第１のプロセッサが実行するプログラムの正当性が確認されなかった場合に、前記外部ネットワークを介して前記第１のプロセッサが実行するプログラムに異常が生じた旨を外部装置に通知することを特徴とする、
   情報処理装置。
3. 請求項１又は２に記載の情報処理装置であって、
   前記第２のプロセッサは、該情報処理装置の起動時に、自己が実行するプログラムの正当性検証を行った後に、前記第１のプロセッサが実行するプログラムの正当性検証を行うことを特徴とする、
   情報処理装置。
4. 請求項１ないし３のいずれか１項に記載の情報処理装置であって、
   前記第２のプロセッサは、通知先を指定する通信先データを保持する記憶手段を備え、該通信先データにより指定された通知先に、前記第１のプロセッサが実行するプログラムに異常が生じた旨を通知することを特徴とする、
   情報処理装置。
5. 請求項４に記載の情報処理装置であって、
   前記通信先データは、ユーザによって登録可能であり、
   前記第２のプロセッサは、前記通信先データにおいて通信先が登録されていない場合に、前記第１のプロセッサが実行するプログラムに異常が生じた旨をブロードキャスト送信の形式で行うことを特徴とする、
   情報処理装置。
6. 請求項４又は５に記載の情報処理装置であって、
   前記第２のプロセッサが有する記憶手段は、複数の通信先を含むデータを通信先データとして保持可能であり、
   前記第２のプロセッサは、前記通信先データとして保持された全ての通知先に、前記第１のプロセッサが実行するプログラムに異常が生じた旨を通知することを特徴とする、
   情報処理装置。
7. 請求項４又は５に記載の情報処理装置であって、
   前記第２のプロセッサが有する記憶手段は、複数の通信先を含むデータを通信先データとして保持可能であり、
   前記通信先データとして保持された通信先の有効又は無効をユーザにより設定可能であり、
   前記第２のプロセッサは、前記通信先データとして保持された通信先のうち、ユーザにより有効と設定された通信先に、前記第１のプロセッサが実行するプログラムに異常が生じた旨を通知することを特徴とする、
   情報処理装置。
8. 請求項１に記載の情報処理装置であって、
   前記第２のプロセッサは、近接するＩＣデバイスにデータを書き込み可能な書込装置を備え、前記第１のプロセッサが実行するプログラムの正当性が確認されなかった場合に、前記第１のプロセッサが実行するプログラムに異常が生じた旨を前記ＩＣデバイスに書き込むことを特徴とする、
   情報処理装置。
9. 請求項１に記載の情報処理装置であって、
   前記第２のプロセッサは、近距離無線通信装置を備え、前記第１のプロセッサが実行するプログラムの正当性が確認されなかった場合に、前記第１のプロセッサが実行するプログラムに異常が生じた旨を前記近距離無線通信装置により送信することを特徴とする、
   情報処理装置。
10. 入出力装置に接続され、該入出力装置を含む機器を制御するためのプログラムを実行する第１のプロセッサと、外部ネットワークに接続され、該外部ネットワークを介した通信を行うためのプログラムを実行する第２のプロセッサと、を備える情報処理装置の制御方法であって、
    該情報処理装置の起動時に前記第１のプロセッサが実行するプログラムの正当性検証を行う処理と、
    前記正当性検証を行う処理において、前記第１のプロセッサが実行するプログラムの正当性が確認された場合に前記第１のプロセッサを起動させる処理と、
    前記正当性検証を行う処理において、前記第１のプロセッサが実行するプログラムの正当性が確認されなかった場合に前記第１のプロセッサが備えるユーザーインターフェースとは異なる手段により異常通知を行う処理と、
    を前記第２のプロセッサが実行することを特徴とする、情報処理装置の起動制御方法。
    

Images