JP7393226B2

JP7393226B2 - 情報処理装置とその起動方法

Info

Publication number: JP7393226B2
Application number: JP2020012890A
Authority: JP
Inventors: 賀久野村
Original assignee: Canon Inc
Current assignee: Canon Inc
Priority date: 2020-01-29
Filing date: 2020-01-29
Publication date: 2023-12-06
Anticipated expiration: 2040-01-29
Also published as: JP2021117928A; US11914714B2; CN113190879A; US20210232690A1

Description

本発明は、情報処理装置とその起動方法に関するものである。

ソフトウェアの脆弱性をついて、ソフトウェアを改ざんし、コンピュータを悪用する攻撃が問題となっている。

特許文献１は、第１ＣＰＵ、第２ＣＰＵ、第２ＣＰＵが実行するプログラムを記憶する不揮発メモリを有する情報処理装置を記載している。この情報処理装置では、第１ＣＰＵが、第２ＣＰＵが実行するプログラムを不揮発メモリから読み出して、そのプログラムの改ざんの有無を検証し、その検証の結果に応じて、そのプログラムを第２ＣＰＵに出力する。こうして第２ＣＰＵは、改ざんがなされていないプログラムを実行することにより、セキュリティを向上させることができる。

国際公開第２００９／０１３８２５号

プログラムを外部メモリから読み出して改ざんの有無を検証するシステムにおいて、プログラム自体の改ざんが無いことを検証することが行われている。しかしながら、改ざんの検知設定がなされていない状態で外部メモリの内容が改ざんされてしまうと、改ざんされたプログラムを実行できてしまうという課題が生じる。そのためセキュリティの起点となる起動プログラム、及びそのプログラムが使用する暗号化用の公開鍵や暗号方式などのセキュリティ設定は、堅牢性を備えた記憶装置に格納する必要がある。なぜなら起点となる起動プログラムのセキュリティに脆弱性があると、システム全体のセキュリティが担保されないためである。従って、これらは一般的に書き換えができないＲＯＭなどの記憶装置に格納される。

一方で、公開鍵や暗号方式などのセキュリティ設定は、製品の仕向けや用途に応じて変更できる構成が望ましい。そのため、その設定はＯＴＰ－ＲＯＭ（One Time Programmable ROM）と呼ばれる一度だけ書き換え可能な記憶装置に格納されることがある。その場合、ＯＴＰ－ＲＯＭに公開鍵や暗号化方式などのセキュリティ設定を書きこむ必要がある。このため例えば、ＯＴＰ－ＲＯＭの初期状態でブートプログラムが読み込んで動作するプログラムを、そのＯＴＰ－ＲＯＭに用意する必要があった。このようなＯＴＰ－ＲＯＭへのプログラムの書き込みには多くの時間を要し、製造コストの点でも問題となっていた。

本発明の目的は、上記従来技術の問題点の少なくとも一つを解決することにある。

本発明の目的は、装置が新規部品の場合に、プログラムの検証の設定を行うプログラムを起動させることにより、ブートプログラムを記憶する不揮発メモリに記憶するプログラムの容量を少なくする技術を提供することにある。

上記目的を達成するために本発明の一態様に係る情報処理装置は以下のような構成を備える。即ち、
情報処理装置であって、
第１ＣＰＵと、
第２ＣＰＵと、
起動時に、前記第１ＣＰＵが実行するブートプログラムを記憶する第１不揮発メモリと、
第１ブートプログラム、及びプログラムを検証する第２ブートプログラムを記憶する第２不揮発メモリと、を有し、
前記第１ＣＰＵは、プログラムの改ざんを検証するための設定として暗号化を示す検証方式が前記第１不揮発メモリに設定されているか否かを判定し、前記検証方式が設定されていない場合に、前記第１ブートプログラムを実行して前記検証方式の設定を前記第１不揮発メモリに書き込み、
前記検証方式が設定されている場合に、当該設定に従って前記第２ブートプログラムを実行し、前記第２ブートプログラムによる処理が正常に終了すると前記第２ＣＰＵが前記情報処理装置を起動することを特徴とする。

本発明によれば、ブートプログラムを記憶する不揮発メモリに記憶するプログラムの容量を少なくしながら、セキュリティを向上させることができるという効果がある。

本発明のその他の特徴及び利点は、添付図面を参照とした以下の説明により明らかになるであろう。なお、添付図面においては、同じ若しくは同様の構成には、同じ参照番号を付す。

添付図面は明細書に含まれ、その一部を構成し、本発明の実施形態を示し、その記述と共に本発明の原理を説明するために用いられる。
本発明の実施形態に係る複合機のハードウェア構成を説明するブロック図。実施形態に係る複合機が有するソフトウェアモジュールを説明するブロック図。実施形態に係る複合機における起動シーケンスを説明する図。実施形態に係る複合機におけるフラッシュメモリのサブブートプログラム２１７及びその署名、ＢＩＯＳ、リセットベクタ及びその署名の構成図（Ａ）と、それにサブブートプログラム２１８及びそのハッシュ値が追加された構成図（Ｂ）。実施形態に係る複合機のＣＰＵ１１１が実行する起動シーケンス処理を説明するフローチャート。図５のＳ５１２においてサブブートプログラム２１７を実行するときの処理を説明するフローチャート（Ａ）と、図５のＳ５１６においてサブブートプログラム２１８を実行するときの処理を説明するフローチャート（Ｂ）。実施形態に係る複合機のＣＰＵ１０１による起動シーケンスを説明するフローチャート。

以下、添付図面を参照して本発明の実施形態を詳しく説明する。尚、以下の実施形態は特許請求の範囲に係る発明を限定するものでない。実施形態には複数の特徴が記載されているが、これら複数の特徴の全てが発明に必須のものとは限らず、また、複数の特徴は任意に組み合わせられてもよい。さらに、添付図面においては、同一もしくは同様の構成に同一の参照番号を付し、重複した説明は省略する。尚、実施形態に係る情報処理装置として複合機（デジタル複合機／ＭＦＰ／ＭｕｌｔｉＦｕｎｃｔｉｏｎＰｅｒｉｐｈｅｒａｌ）を例に説明する。しかしながら適用範囲は複合機に限定はせず、情報処理装置であればよい。以下の実施形態では、起動シーケンスにおいて、改ざん検知設定処理と改ざん検知処理とを切り分けて実行させる方法について説明する。

図１は、本発明の実施形態に係る複合機１００のハードウェア構成を説明するブロック図である。

コントローラ１１０は、複合機１００の制御を行うためのハードウェアモジュールを有する。実施形態では、コントローラ１１０は半導体チップとして構成されているものとして説明する。クロック生成部１０３は、クロック信号を生成して複合機１００の各モジュールに適した周波数のクロック信号（外部クロック）を供給する。実施形態では、クロック生成部１０３は、クロック信号１０５をコントローラ１１０内のＰＬＬ（ＰｈａｓｅＬｏｃｋｅｄＬｏｏｐ）１２３に供給する。尚、このクロック信号１０５の周波数はクロック制御信号１０７によって変更可能である。

クロック制御部１２１は、ＰＬＬ１２３を内部クロック制御信号１０８で制御する。これによりＰＬＬ１２３は、クロック信号１０５の周波数を逓倍し、周波数が逓倍されたクロック信号をコントローラ１１０の各モジュールに供給する。クロック制御部１２１は、コントローラ１１０の起動時や動作時に、ＰＬＬ１２３に対して逓倍の設定を変更することで、ＰＬＬ１２３が各モジュールに最適な周波数のクロック（内部クロック）を供給するように制御を行う。またクロック制御部１２１は、各モジュールに、クロックをゲートして、クロック信号の供給を停止させることができる。

リセット生成部１０４は、リセット信号１０６を生成して出力することにより、複合機１００の各モジュールへリセットを掛けたり解除したりする半導体チップである。図１ではコントローラ１１０へ供給するリセット信号１０６しか図示していないが、フラッシュメモリ１４５、ＬＥＤ１４７、スキャナ１４１やプリンタ１４２などのモジュールにも接続されているものとする。

複合機１００の電源がオンされると、一定時間（例えば、供給電源電圧が安定するまで）リセット信号１０６のリセット状態を保持した後、リセット信号１０６を解除状態にしてコントローラ１１０のリセットを解除する。リセット信号１０６がアサートされている状態がリセット状態であり、リセット信号１０６がデアサートされている状態がリセット信号１０６の解除状態である。コントローラ１１０のリセットが解除されると、リセット制御部１２２は、コントローラ１１０内部の各モジュールのリセット制御を行う。このリセット制御は、コントローラ１１０の起動時や動作時に、各モジュールをリセット状態にしたり、リセット解除状態にしたりする制御を指す。

ＣＰＵ１０１は、複合機１００のソフトウェアプログラムを実行し、機器全体の制御を行う。ＲＡＭ１０２は、ＣＰＵ１０１が複合機１００を制御する際に、プログラムや、データの一時的な格納などに使用される揮発性のランダムアクセスメモリである。ＨＤＤ１４４はハードディスクドライブであり、一部のアプリケーションや各種データを格納する。このＨＤＤ１４４は、ＣＰＵ１０１が実行するＪａｖａ（登録商標）プログラム２１４（図２）を格納している。尚、Ｊａｖａプログラム２１４については後述する（以下、ＢＩＯＳ２１０などについても同様）。フラッシュメモリ１４５は、複合機１００の固定パラメータ等を格納している。またフラッシュメモリ１４５は、ＣＰＵ１０１が実行するＢＩＯＳ２１０（図２）を格納している。更にフラッシュメモリ１４５は、ＣＰＵ１０１が実行するローダ２１１、カーネル２１２、Ｎａｔｉｖｅプログラム２１３（いずれも図２）を格納する。尚、ＨＤＤ１４４とフラッシュメモリ１４５は同一のストレージモジュールであっても良い。

ＣＰＵ１１１は、ＣＰＵ１０１が実行するソフトウェアプログラムの改ざんを検知する改ざん検知ソフトウェアプログラムを実行する他、ＣＰＵ１０１と分担して複合機１００の一部の制御を行う。ＲＯＭ１１２は、不揮発性のリードオンリーメモリであり、ＣＰＵ１１１により実行される改ざん検知ソフトウェアプログラムや後述の公開鍵などを格納している。またＲＯＭ１１２は、ＣＰＵ１１１が実行するブートプログラム２０９を格納している。ここでＲＯＭ１１２は、外部からのＩ／Ｆから書き換えられないように論理回路で構成されたマスクＲＯＭ、もしくは製造時に一度だけ書き込みが可能なＯＴＰ－ＲＯＭ（One Time Programmable ROM）で構成されている。ＲＡＭ１１３は、揮発性のランダムアクセスメモリであり、ＣＰＵ１１１が複合機１００を制御する際に、プログラムや一時的なデータの格納などに使用される。尚、ＲＡＭ１０２とＲＡＭ１１３は同一のモジュールであっても良い。

電源制御部１２０は、コントローラ１１０の各モジュールに対する電力供給を制御するＩＣ（ＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔ）である。コントローラ１１０（複合機１００）の起動時や動作時に、各モジュール部に対して所定の電力を供給したり停止したりすることができる。スキャナＩ／Ｆ制御部１３１は、スキャナ１４１による原稿の読み取り制御する。プリンタＩ／Ｆ制御部１３２は、プリンタ１４２による印刷処理などを制御する。パネル制御部１３３は、タッチパネル式の操作部１４３を制御し、各種情報の表示、ユーザからの指示の入力を受け付ける。ＨＤＤ制御部１３４は、ＨＤＤ１４４に対してデータを読み書きする制御を行う。例えば、ＲＡＭ１０２に格納されている画像データをシステムバス１０９経由でＨＤＤ１４４に格納することができる。フラッシュメモリ制御部１３５は、フラッシュメモリ１４５に対してデータを読み書きする制御を行う。フラッシュメモリ制御部１３５は、フラッシュメモリ１４５に格納されているプログラムを読み出してシステムバス１０９経由でＲＡＭ１１３へ展開する。ネットワークＩ／Ｆ制御部１３６は、ネットワーク１４６上の他のデバイスやサーバとのデータの送受信を制御する。外部ポート制御部１３７は、コントローラ１１０の入出力ポート制御部である。例えば出力ポートを制御することにより、ＬＥＤ１４７を必要に応じて点灯し、ソフトウェアやハードウェアの異常を外部に伝えることができる。画像処理部１３８は、スキャナ１４１で原稿を読み取って得られた画像データをシェーディング補正したり、プリンタ１４２に出力するためにハーフトーン処理やスムージング処理したりする処理部である。システムバス１０９は、各モジュールを相互に接続する。このシステムバス１０９を介して、ＣＰＵ１０１やＣＰＵ１１１からの制御信号や各装置間のデータ信号が送受信される。

図２は、実施形態に係る複合機１００が有するソフトウェアモジュールを説明するブロック図である。これらのソフトウェアはＣＰＵ１０１又はＣＰＵ１１１が実行するものとして説明する。

通信管理部２０７は、ネットワーク１４６に接続されるネットワークＩ／Ｆ制御部１３６を制御して、ネットワーク１４６を介して外部とデータの送受信を行う。ＵＩ制御部２１６は、パネル制御部１３３を介して操作部１４３からの入力を受け取り、その入力に応じた処理や操作部１４３への画面出力を行う。

ブートプログラム２０９はＲＯＭ１１２に記憶されており、複合機１００の電源がオンされることによりＣＰＵ１１１で実行されるプログラムであり、起動に関わる処理としてコントローラ１１０の起動シーケンスを実行する。この起動シーケンスは、図５、図６を参照して後述する。このブートプログラム２０９は、サブブートプログラム２１７，２１８の改ざん検知を行うサブブートプログラム改ざん検知部２００を有する。尚、図２において、ブートプログラム２０９以外のプログラムは、全てフラッシュメモリ１４５に格納されている。

サブプログラム２１７は、ＢＩＯＳ２１０の改ざんを検知するＢＩＯＳ・リセットベクタ改ざん検知部２０１を実行する。もしくは改ざん検知設定部２０２を実行し、後述のＲＯＭ１１２に対して行う改ざん検知設定プログラムを実行する。

ＢＩＯＳ２１０は、ブートプログラム２０９の実行後にＣＰＵ１０１で実行されるプログラムであり、起動に関わる処理を行う他に、ローダ２１１の改ざん検知を行うローダ改ざん検知部２０３を有する。更に、サブブートプログラム２１８は、ローダの改ざん検知を行うための設定を後述のＲＯＭ１１２に対して行う改ざん検知設定部２０２を有する。

ローダ２１１は、ＢＩＯＳ２１０の処理が終わった後にＣＰＵ１０１で実行されるプログラムであり、起動に関わる処理を行う他に、カーネル２１２の改ざん検知を行うカーネル改ざん検知部２０４を有する。

カーネル２１２は、ローダ２１１の処理が終わった後にＣＰＵ１０１で実行されるプログラムであり、起動に関わる処理を行う他に、Ｎａｔｉｖｅプログラム２１３の改ざん検知を行うＮａｔｉｖｅプログラム改ざん検知部２０５を有する。

リセットベクタ２１５は、ＣＰＵ１０１がリセット解除されると最初に実行する処理の情報が記載されたプログラムである。リセットベクタ２１５には、例外ハンドラとＩＳＲ（割り込みサービスルーチン）のアドレスが記載されている。飛び先アドレスを記述しておくとハンドラが自動的にそのアドレスに移行し、ＣＰＵ１０１が、そのアドレスのプログラムを実行できるようになっている。リセット解除時は例外ハンドラの一つであるリセットハンドラを参照して、リセットハンドラに記載された飛び先アドレスのプログラムを実行する。尚、ＣＰＵによっては命令を記述し、その命令を実行して指定のアドレスへ移行する方式もあるものとする。実施形態においては前者の方式で説明する。

Ｎａｔｉｖｅプログラム２１３は、ＣＰＵ１０１で実行されるプログラムであり、複合機１００のＪａｖａプログラム２１４と連携して各機能を提供する複数のプログラムで構成される。この複数のプログラムは、例えばスキャナＩＦ制御部１３１やプリンタＩＦ制御部１３２を制御するプログラムや起動プログラム、ＣＰＵ１１１の再起動プログラムなどを含む。この起動プログラム及びＣＰＵ１１１の再起動プログラムは、カーネル２１２によってＮａｔｉｖｅプログラムの中から呼び出され、起動処理を行う。ここでＣＰＵ１１１の再起動プログラムは、ＣＰＵ１１１がブートプログラムを実行しＢＩＯＳ・リセットベクタ改ざん検知処理を終えた後にＣＰＵ１１１を別用途として使うためのものである。例えば、省電力モード時に外部ポートの割り込みを監視プログラムとして使う。ここで省電力モードとは、ＣＰＵ１１１と外部ポート制御部、システムバス１０９、ネットワークＩ／Ｆ制御部１３６、操作部１４３以外の制御部、処理部を通常時の稼働状態から安全に電源遮断もしくはクロック停止させた状態を指すものとする。ＣＰＵ１１１は、例えばセンサなどの信号が入ることで外部ポート制御部１３７から外部ポートの割り込みを検知すると省電力モードから通常モードに復帰させる処理を行う。前述した電源遮断もしくはクロック信号が停止された制御部、処理部を安全に稼働状態に移行させるものとする。ＣＰＵ１１１が割り込み監視をすることで、ＣＰＵ１０１に対してＣＰＵ１１１が小規模で待機電力が小さい場合に通常動作時の処理を行うＣＰＵ１０１の電源遮断、もしくはクロック信号を停止させて省電力の効果を上げることが可能となる。またＮａｔｉｖｅプログラム２１３は、プログラムの中の一つとしてＪａｖａプログラムの改ざん検知を行うＪａｖａプログラム改ざん検知部２０６を有する。

Ｊａｖａプログラム２１４は、ＣＰＵ１０１で実行されるプログラムであり、複合機１００のＮａｔｉｖｅプログラム２１３と連携して各機能を提供するプログラム（例えば、操作部１４３に画面を表示するプログラム）である。

次に複合機１００の起動シーケンスについて図３を参照して説明する。

図３は、実施形態に係る複合機１００における起動シーケンスを説明する図である。

図３（Ａ）は、プログラムの改ざん検知を行わずに複合機１００が起動する順序を示す起動シーケンス模式図である。

ＣＰＵ１１１がブートプログラム２０９を実行してＣＰＵ１０１のリセットを解除する。これによりＣＰＵ１０１がＢＩＯＳ２１０を起動すると、ＢＩＯＳ２１０がローダ２１１を起動し、ローダ２１１がカーネル２１２を起動する。そして更に、カーネル２１２がＮａｔｉｖｅプログラム２１３の中から起動プログラムを起動する。こうして起動プログラムの中でＪａｖａプログラム２１４が起動され、これ以降は、Ｎａｔｉｖｅプログラム２１３とＪａｖａプログラム２１４が連携して複合機１００の有する各機能を提供することができる。

図３（Ｂ）（Ｃ）は、実施形態に係る起動シーケンスの模式図である。また、各プログラムの保存場所、デジタル署名（以下、署名と呼ぶ）と公開鍵の保存場所、検証方式、サブブートプログラムヘッダアドレスポインタ、ハッシュ値を表した模式図でもある。

ここで署名とは、例えば正規のプログラム（データ列）を所定のハッシュ関数によってハッシュ値に変換し、公開鍵に対応する秘密鍵でハッシュ値を暗号化したものである。この暗号化されたハッシュ値を公開鍵で復号することで正規のプログラムのハッシュ値を計算し、改ざんの有無の検証対象であるプログラムを前述のハッシュ関数によってハッシュ値に変換し、これら２つのハッシュ値を比較する。これら２つのハッシュ値が等しければ検証対象のプログラムは正規のプログラムから改ざんされていないと判定できる。またもし２つのハッシュ値が異なれば検証対象のプログラムは正規のプログラムから改ざんされていると判定できる。このように署名を用いて検証対象のプログラムの改ざん有無を調べる方法を、以降では、署名検証と呼ぶ。またプログラムが改ざんされていないことを署名検証に成功すると呼び、プログラムが改ざんされていることを署名検証に失敗すると呼ぶ。また、この署名検証では、プログラムのハッシュ値を暗号化しているが、プログラムのハッシュ値を暗号化しないでハッシュ値のみを比較して改ざんの有無を判定することも可能なものとする。このようにハッシュ値を用いて検証対象のプログラムの改ざん有無を調べる方法を、以降では、ハッシュ検証と呼ぶものとする。

検証方式３１３の値は、ＣＰＵ１１１がブートプログラム２０９を実行する際に、署名検証か、ハッシュ検証かを切り替えるために用いるもの設定値で、ＲＯＭ１１２に記憶されている。尚、実施形態では、ＲＯＭ１１２の検証方式の値が「０」のときはハッシュ検証を示し、「１」のときは署名検証を示すものとする。

サブブートプログラムヘッダアドレスポインタ３１４は、ブートプログラム２０９においてサブブートプログラムヘッダアドレスの場所を示すものである。実施形態では、ＣＰＵ１１１がＢＩＯＳ・リセットベクタ改ざん検知部２０１、或いは改ざん検知設定部２０２のいずれを動作させるかは、このアドレスポインタを参照したヘッダが示すサブブートプログラムによって決定される。尚、実施形態ではＲＯＭ１１２に、このサブブートプログラムヘッダアドレスポインタ３１４の設定がなされていない場合は、ＲＯＭ１１２のアドレスポインタの値が「０」である。その場合は。予め定めたフラッシュメモリ１４５上のアドレスを参照するものとする。一方、このサブプログラムヘッダアドレスポインタ３１４の設定がなされている場合は、そのアドレスを参照してプログラムを実行するものとする。参照する内容については図４を参照して後述する。

尚、実施形態では、プログラムの改ざんの有無を調べる方法として、このような署名及び公開鍵を用いる方法、及びハッシュを用いる方法を採用するが、改ざんの有無を調べる他の方法を用いても良い。

図３（Ｂ）は、ブートプログラム２０９からサブブートプログラム２１７、ＢＩＯＳ２１０及びリセットベクタ２１５、ローダ２１１、カーネル２１２、Ｎａｔｉｖｅプログラム２１３、Ｊａｖａプログラム２１４が改ざん検知を行いながら起動する起動シーケンスの模式図である。

ブートプログラム２０９には、サブブートプログラム署名及びＢＩＯＳ署名検証用の公開鍵３００が含まれている。サブブートプログラムには、その署名３０１が含まれている。ＢＩＯＳ２１０にはＢＩＯＳ・リセットベクタ署名３０２とローダ検証用公開鍵３０３が含まれている。またローダ２１１には、ローダ署名３０４とカーネル検証用公開鍵３０５が含まれている。またカーネル２１２には、カーネル署名３０６とＮａｔｉｖｅプログラム検証用公開鍵３０７が含まれている。またＮａｔｉｖｅプログラム２１３には、Ｎａｔｉｖｅプログラム署名３０８とＪａｖａプログラム検証用公開鍵３０９が含まれている。更にＪａｖａプログラム２１４には、Ｊａｖａプログラム署名３１０が含まれている。これらの公開鍵と署名は、複合機１００の出荷前にプログラムに対して付与されているものとする。

図３（Ｃ）は、ブートプログラム２０９からサブブートプログラムの改ざん検知設定処理を実行する流れを表した起動シーケンスの模式図である。ここでフラッシュメモリ１４５のサブブートプログラムには、そのハッシュ値３１５が追加されている。

図４（Ａ）は、フラッシュメモリ１４５上のサブブートプログラム２１７及びその署名３０１、ＢＩＯＳ２１０、リセットベクタ２１５及びその署名３０２の構成図である。

ここでは図３（Ｃ）におけるサブプログラムヘッダアドレスポインタ３１４が「0x0004_0000」に設定されている場合を示している。ここでサブブートプログラム２１７の署名の領域には、サブブートプログラム２１７のヘッダからサブブートプログラム２１７の終端までのデータ列を含めてハッシュ値に変換し、公開鍵に対応する秘密鍵で、そのハッシュ値を暗号化した値が記憶される。そして、このハッシュ値を公開鍵で復号し、正規のプログラムとリセットベクタ２１５のハッシュ値を計算し、改ざんの有無の検証対象であるプログラムを前述のハッシュ関数によってハッシュ値に変換し、これら２つのハッシュ値を比較する。ハッシュ計算対象範囲「0x0004_0000」～「0x0004_0010」に、サブブートプログラム１２７のヘッダとしてサブブートプログラム２１７のアドレス及びサイズを記憶する。そしてＣＰＵ１１１がブートプログラム２０９を実行して、そのアドレス及びサイズを読み込んで必要な領域のデータ列をハッシュ値に変換する。フラッシュメモリ１４５では、サブブートプログラム２１７に続いて署名もしくはハッシュ値が配置されているが、サブブートプログラム２１７のヘッダに署名もしくはハッシュ値のアドレス、サイズを追加しておき、ブートプログラム２０９が読み込んで参照しても良いものとする。

上述したＢＩＯＳ・リセットベクタ改ざん検知部２０１、ローダ改ざん検知部２０３、カーネル改ざん検知部２０４、Ｎａｔｉｖｅプログラム改ざん検知部２５及びＪａｖａプログラム改ざん検知部２０６がそれぞれ後続のプログラムが改ざんされているかどうかを検証する。そして、そのプログラムが改ざんされていなければ、そのプログラムを起動する。このようにプログラムの改ざんの検証と起動を順次実行する起動シーケンスに従って複合機１００は起動する。

図４（Ｂ）は、図４（Ａ）の構成に、フラッシュメモリ１４５上でサブブートプログラム２１８及びそのハッシュ値が追加された構成図である。

ここでサブブートプログラム２１８は、改ざん検知設定がなされていないため、署名ではなくハッシュ値検証を用いている。図３（Ｃ）で、サブブートプログラムヘッダアドレスポインタ３１４が設定されていない場合に、ブートプログラム２０９が「0x0005_0000」を読む構成を示している。ここでサブブートプログラム２１８のハッシュ値の領域には、サブブートプログラム２１８のヘッダからサブブートプログラム２１８の終端までのデータ列を含めてハッシュ値に変換した値が記憶される。また、改ざんの有無の検証対象であるプログラムを前述のハッシュ関数によってハッシュ値に変換し、これら２つのハッシュ値を比較する。ハッシュ計算対象範囲「0x0005_0000」～「0x0005_0010」にサブブートプログラム２１８のヘッダとしてサブブートプログラム２１８のアドレス及びサイズを記憶する。そしてＣＰＵ１１１がブートプログラム２０９を実行して、そのアドレス及びサイズを読み込んで必要な領域のデータ列をハッシュ値に変換する。フラッシュメモリ１４５ではサブブートプログラム２１８に続いてハッシュ値が配置されているが、サブブートプログラム２１８のヘッダにハッシュ値のアドレス、サイズを追加しておき、ブートプログラム２０９がそれを読み込んで参照しても良いものとする。

次に実施形態の特徴である起動シーケンスにおいて改ざん検知設定処理と改ざん検知処理が切り分けて実行させる方法を図５～図７のフローチャートを参照して説明する。

図５は、実施形態に係る複合機１００のＣＰＵ１１１が実行する起動シーケンス処理を説明するフローチャートである。尚、実施形態では、初期状態においては、以下に説明する設定で動作してから図５のフローチャートの処理が実行されるものとする。

複合機１００の電源がオンされると電源制御部１２０は、コントローラ１１０の各部に電力を供給するように制御する。クロック制御部１２１は、電力が供給されると、クロック制御信号１０７をクロック生成部１０３に出力することで、クロック生成部１０３の発振器もしくは振動子にクロック信号１０５を生成させるように制御する。またクロック制御部１２１は、内部クロック制御信号１０８をＰＬＬ１２３に出力することで、ＰＬＬ１２３に所望のコントローラ１１０の内部クロックを生成させるように制御する。

次にリセット生成部１０４は、リセット信号１０６を介してリセット制御部１２２に対するリセットを解除する。リセット制御部１２２に対するリセットが解除されると、まずリセット制御部１２２は、システムバス１０９、ＲＯＭ１１２、ＣＰＵ１１１、フラッシュメモリ制御部１３５、フラッシュメモリ１４５のリセットを解除する。但し、このときはまだ、ＣＰＵ１０１はリセット状態のままである。またＣＰＵ１１１のリセットベクタは、ＲＯＭ１１２のアドレスである。即ち、ＣＰＵ１１１のリセットが解除されるとＣＰＵ１１１は、ＲＯＭ１１２に記憶されているブートプログラム２０９を実行する。ＣＰＵ１０１のリセットベクタは、フラッシュメモリ１４５の所定のアドレス（実施形態では「0x0000_0000」）に記憶されており、ＣＰＵ１０１のリセットが解除されると、ＣＰＵ１０１は、このリセットベクタを読み込む。そしてＣＰＵ１０１は、そのリセットベクタに書かれたアドレスにジャンプし、フラッシュメモリ１４５に記憶されているＢＩＯＳ２１０を実行する。

以下、Ｓ５０１～Ｓ５１６はＣＰＵ１１１が実行する起動シーケンスを示す。即ち、ＣＰＵ１１１が実行する図２に示されるソフトウェアモジュールによって以下の処理が行われる。この起動シーケンスの特徴は、Ｓ５０８である。即ち、サブブートプログラムヘッダを読み込んでサブブートプログラムを切り替えて実行するようにする。

ＣＰＵ１１１のリセットが解除されることにより、このシーケンスが開始されるとまずＳ５０１でＣＰＵ１１１は、ＲＯＭ１１２に記憶されているブートプログラム２０９を起動して実行する。次にＳ５０２に進みＣＰＵ１１１は、そのブートプログラム２０９に従って電源制御を行う。ここでは改ざん検知もしくは改ざん検知設定を行うために必要なコントローラ１１０内の一部のモジュールのみに電源を供給するように制御を行う。尚、実施形態では、改ざん検知処理もしくは改ざん検知設定時に必要な次のモジュールには少なくとも電源を供給する。これらモジュールは、クロック制御部１２１、リセット制御部１２２、ＰＬＬ１２３、電源制御部１２０、ＣＰＵ１０１、フラッシュメモリ１４５、ＲＡＭ１０２、ＣＰＵ１１１、ＲＯＭ１１２、ＲＡＭ１１３、ＨＤＤ制御部１３４、フラッシュメモリ制御部１３５、外部ポート制御部１３７である。

次にＳ５０３に進みＣＰＵ１１１は、ブートプログラム２０９に従って以下のクロック制御を行う。コントローラ１１０の起動完了後にコントローラ１１０内の各モジュールの動作周波数は、複合機１００の製品仕様に応じて異なる。クロック制御部１２１は、クロック制御信号１０７によってクロック生成部１０３に対して、所望のクロック信号１０５を供給するように指示する。尚、クロック信号１０５の周波数を変更した場合は、水晶振動子や水晶発振器が安定するまで一定時間待つ必要がある。更にクロック制御部１２１は、内部クロック制御信号１０８によってＰＬＬ１２３に対して、コントローラ１１０内の必要なモジュールに対して供給される内部クロック信号の周波数を所望の周波数に設定する。こうすることでＣＰＵ１１１やシステムバス１０９、フラッシュメモリ制御部１３５の処理を行うことが可能となる。

尚、クロック制御部１２１は、内部クロック信号の周波数を変更するために、次の処理を行う。即ち、クロック制御部１２１は、ＰＬＬ１２３からのクロック信号を一旦ゲートして、ＰＬＬ１２３をバイパスした外部クロック信号に切り替える。そしてＰＬＬ１２３で生成される内部クロック信号が安定してから、所望の内部クロック信号を各モジュールに供給するよう制御する。ここで内部クロック信号を切り替える制御は、ＣＰＵ１１１へのクロック信号の供給も停止してしまうのでクロック制御部１２１の内部にハードシーケンサを設けて行うものとする。

クロック制御部１２１は、ＣＰＵ１０１、フラッシュメモリ１４５、ＲＡＭ１０２、ＣＰＵ１１１、ＲＯＭ１１２、ＲＡＭ１１３、システムバス１０９、ＨＤＤ制御部１３４、フラッシュメモリ制御部１３５に供給されるクロック信号の周波数が所望の周波数になるように設定を行う。尚、ここで供給されるクロック信号の周波数は、供給先のモジュールによって異ならせてよい。

次にＳ５０４に進みＣＰＵ１１１は、ブートプログラム２０９に従ってリセット解除を行う。即ち、ＣＰＵ１１１は、改ざん検知処理もしくは改ざん検知設定に必要なモジュールのリセットを解除する。具体的には、ＲＡＭ１１３、システムバス１０９、ＨＤＤ制御部１３４のリセットを解除する。次にＳ５０５に進みＣＰＵ１１１は、ブートプログラム２０９に従ってＲＯＭ１１２に設定されている改ざん検知設定値を読み込む。そしてＳ５０６に進みＣＰＵ１１１は、改ざん検知設定値のうち検証方式を確認する。ここで検証方式が署名検証方式であればＳ５０７へ進み、ハッシュ検証方式であればＳ５０８へ遷移する。実施形態では、改ざん検知処理時は署名検証方式、改ざん検知設定処理時はハッシュ検証方式が設定されているものとする。但し、ハッシュ検証方式は、ＲＯＭ１１２の検証方式３１３（図３（Ｃ））に何も書かれていない場合の値であるものとする。

署名検証方式のときはＳ５０７でＣＰＵ１１１は、ＲＯＭ１１２から公開鍵を読み込み、その公開鍵をＲＡＭ１１３に記憶してＳ５０８に進む。Ｓ５０８でＣＰＵ１１１は、サブブートプログラムのヘッダポインタの値を読み取る。次にＳ５０９に進みＣＰＵ１１１は、サブブートプログラムのヘッダポインタの値がサブブートプログラム２１７のヘッダか、サブブートプログラム２１８のヘッダであるか判定する。ここでサブブートプログラム２１７のヘッダであると判定するとＳ５１０に進み、そうでないときはサブブートプログラム２１８のヘッダであると判定してＳ５１４に進む。尚、実施形態では、ＲＯＭ１１２のサブブートプログラムのヘッダアドレスポインタに何も書かれていない初期値（例えば、全て「０」）の場合は、ＣＰＵ１１１はサブブートプログラム２１８のアドレス（図４（Ｂ）の0x0005_0000）が読まれたように処理するものとする。

Ｓ５０９でＣＰＵ１１１は、サブブートプログラム２１７のヘッダであると判定するとＳ５１０に進む。Ｓ５１０でＣＰＵ１１１は、サブブートプログラム２１７のヘッダポインタからサブブートプログラム２１７のアドレス及びサイズ、署名のアドレスが書かれている場合は、その署名も読み取る。図４（Ｂ）の実施形態では、アドレス（0x0004_0000）に設定されている。読み取ったアドレス及びサイズからサブブートプログラム２１７のハッシュ値を算出する。また暗号化された署名を、Ｓ５０７で読んだ公開鍵を使ってハッシュ値に復号化する。そして、これら２つのハッシュ値を比較することにより、サブブートプログラム２１７の署名検証を行う。そしてＳ５１１に進みＣＰＵ１１１は、これらハッシュ値が一致した場合は、サブブートプログラム２１７が改ざんされていないと判定してＳ５１２に遷移する。一方、これらハッシュ値が一致しなかった場合はサブブートプログラム２１７が改ざんされていると判定してＳ５１３に遷移する。

Ｓ５１２でＣＰＵ１１１は、サブブートプログラム２１７をＲＡＭ１１３にロードして実行する。つまりＢＩＯＳ・リセットベクタの改ざん検知処理をすることになる。このときの処理内容は、図６（Ａ）のフローチャートを参照して後述する。一方、Ｓ５１３でＣＰＵ１１１は、サブブートプログラム２１７が改ざんされているため、エラー通知をするためにＬＥＤ１４７を点滅させて、この処理を終了する。

またＳ５１４でＣＰＵ１１１は、サブブートプログラム２１８のヘッダポインタからサブブートプログラム２１８のアドレス及びサイズを取得する。またハッシュ値の格納アドレスが書かれている場合は、そのハッシュ値も読み取る。図４（Ｂ）に示すように実施形態では、サブブートプログラム２１８のヘッダはアドレス（0x0005_0000）に設定されている。そしてＣＰＵ１１１は、読み取ったアドレス及びサイズからサブブートプログラム２１８のハッシュ値を算出する。記憶されているサブブートプログラム２１８のハッシュ値と比較する。そしてＳ５１５で、これらハッシュ値が一致した場合は、サブブートプログラム２１８が改ざんされていないと判定してＳ５１６に進むが、そうでないときはＳ５１３に進んでＬＥＤ１４７を点滅させる。Ｓ５１６でＣＰＵ１１１は、サブブートプログラム２１８をＲＡＭ１１３にロードして実行する。つまり改ざん検知設定処理を実行することになる。この時の処理内容は、図６（Ｂ）のフローチャートを参照して後述する。

尚、Ｓ５０６の検証方式の判定において、署名検証方式でなかった場合、つまり初期値のハッシュ検証の場合は、サブブートプログラム２１８のヘッダポインタを読み込んでＳ５１４へ遷移しても良い。同様に、Ｓ５０７で公開鍵の値が初期値の場合は、サブブートプログラム２１８のヘッダポインタを読み込んでＳ５１４へ遷移しても良い。

次に、図５のＳ５１２においてサブブートプログラム２１７を実行するときに、ＢＩＯＳ・リセットベクタの改ざん検知処理を実行する方法について図６（Ａ）のフローチャートを参照して説明する。

図６（Ａ）は、図５のＳ５１２においてサブブートプログラム２１７を実行するときの処理を説明するフローチャートである。

Ｓ６０１でＣＰＵ１１１は、ＢＩＯＳ・リセットベクタのヘッダポインタを読み込む。図４（Ｂ）に示す通り実施形態では、このヘッダポインタは、0x0000_8000に設定されている。実施形態ではＢＩＯＳ・リセットベクタのヘッダポインタは、サブブートプログラム２１７に記載されているものとする。尚、このヘッダポインタをサブブートプログラム２１７のヘッダに含めて、そのヘッダから読み込んでも良いものとする。

次にＳ６０２に進みＣＰＵ１１１は、ＢＩＯＳ及びリセットベクタの署名検証を行う。ここでＣＰＵ１１１は、サブブートプログラム２１７に含まれるＢＩＯＳ・リセットベクタ改ざん検知部２０１として機能し、フラッシュメモリ１４５からシステムバス１０９を介してＢＩＯＳ２１０及びリセットベクタ２１５をＲＡＭ１１３に読み込む。実施形態では図４（Ｂ）に記載したように固定アドレス0x0000_0000から0x0001_FFFFの固定領域（ハッシュ計算対象範囲）を読み込むものとする。そしてＢＩＯＳ・リセットベクタ改ざん検知部２０１は、サブブートプログラム署名及びＢＩＯＳ署名検証用公開鍵３００を用いてＢＩＯＳ・リセットベクタ署名３０２の検証を行う。尚、実施形態では、ＢＩＯＳとリセットベクタをひとまとまりで検証を行っているが、各々別に検証しても良いものとする。またリセットベクタ及びＢＩＯＳのアドレス及びサイズは固定でなくても良いものとする。その場合は前述した通りハッシュ計算対象範囲にリセットベクタ及びＢＩＯＳの各先頭アドレス及びサイズを格納しておき、それを読み出す。

次にＳ６０３に進みＣＰＵ１１１は、ＢＩＯＳ・リセットベクタの署名検証が成功したかを判定する。署名検証の結果、ＢＩＯＳ及びリセットベクタが改ざんされていない（ハッシュ値と署名の値とが一致する）と判定すると署名検証に成功したとしてＳ６０４に進む。一方、ＢＩＯＳもしくはリセットベクタが改ざんされている（ハッシュ値と署名の値とが一致しない）ときは署名検証に失敗したと判定してＳ６０５のエラー処理に進む。つまりリセットベクタが改ざんされた場合でも、それを検知してＳ６０５のエラー処理に進むことが可能となる。Ｓ６０４でＣＰＵ１１１は、リセット制御部１２２を制御してＣＰＵ１０１、フラッシュメモリ１４５、ＲＡＭ１０２のリセットを解除し、サブブートプログラム２１７の処理を終了する。そして起動シーケンスは後述のＳ７０１へ遷移する。即ちＣＰＵ１０１がＢＩＯＳ２１０を実行して起動する。一方、Ｓ６０５に進むとＣＰＵ１１１はＢＩＯＳ・リセットベクタ改ざん検知部２０１として機能し、署名検証に失敗したことを通知するために外部ポート制御部１３７を制御してＬＥＤ１４７を点灯させ、ブートプログラムの処理を終了する。

次に、図５のＳ５１６においてサブブートプログラム２１８を実行する処理を図６（Ｂ）のフローチャートを参照して説明する。

図６（Ｂ）は、図５のＳ５１６においてサブブートプログラム２１８を実行するときの処理を説明するフローチャートである。

先ずＳ６１０でＣＰＵ１１１は、改ざん検知設定をＲＯＭ１１２の所定のアドレスに書き込む。この設定の内容は、前述の検証方式、公開鍵、サブブートプログラムのヘッダポインタであり、これらはサブブートプログラム２１８の内部に値を持っているものとする。次にＳ６１１に進みＣＰＵ１１１は、Ｓ６１０で書いた内容を正しく読めるかチェックをする。ここで正常に読み取れる場合はＳ６１２に進み、そうでないときはＳ６１３へ遷移する。Ｓ６１２でＣＰＵ１１１は、システムをリブートしてサブブートプログラム２１８の処理を終了する。実施形態では、不図示のウォッチドックタイマを起動させて、一定時間後にリセット制御部１２２のリセットを掛けるものとする。このリセットを掛ける方法は、これに限らない。Ｓ６１３でＣＰＵ１１１は、Ｓ６１１で改ざん検知設定に失敗したことを通知するために、外部ポート制御部１３７を制御してＬＥＤ１４７を点灯させてサブブートプログラム２１８の処理を終了する。

以上のシーケンスを実行することで、ＣＰＵ１１１は改ざん検知処理と改ざん検知設定処理とを切り分けて実行することが可能となる。

図７は、実施形態に係る複合機１００のＣＰＵ１０１による起動シーケンスを説明するフローチャートである。尚、以下で説明する処理においてプログラム（ローダ２１１、カーネル２１２、Ｎａｔｉｖｅプログラム２１３、Ｊａｖａプログラム２１４）の改ざん検知の有無の判定方法は一例であり、プログラムの改ざんを検知する方法であれば他の方法が実行されてもよい。尚、このフローチャートで示す処理は、ＣＰＵ１０１がＲＡＭ１０２に展開したプログラムを実行することにより達成される。

先ずＳ７０１でＣＰＵ１０１は、リセットが解除されるとリセットベクタ２１５を読むように構成されている。実施形態では、リセットベクタ２１５は、フラッシュメモリ１４５に格納されるように設計されているためシステムバス１０９を介してリセットベクタ２１５を読みに行く。そしてリセットベクタ２１５に書かれているＢＩＯＳの先頭番地へジャンプし、ＢＩＯＳ２１０をフラッシュメモリ１４５から読み込んで実行する。ＢＩＯＳ２１０が起動されると、各種初期化処理を行い、ＢＩＯＳ２１０に含まれるローダ改ざん検知部２０３が、フラッシュメモリ１４５から、ローダ２１１とカーネル検証用公開鍵３０５、ローダ署名３０４を、ＲＡＭ１０２に読み込む。ここでの初期化シーケンスは、例えばＨＤＤ制御部１３４の初期化を行ってＨＤＤ１４４へアクセスができるようにする。

次にＳ７０２に進みＣＰＵ１０１はローダ改ざん検知部２０３として機能し、ローダ検証用公開鍵３０３を用いてローダ署名３０４を検証し、署名検証に成功したか判定する。ここで署名検証に失敗したときはＳ７１０に進みローダ改ざん検知部２０３は、パネル制御部１３３の初期化を行って操作部１４３にエラーメッセージを表示して、この処理を終了する。一方、署名検証に成功した場合はＳ７０３に進みローダ改ざん検知部２０３は処理を終了し、ＢＩＯＳ２１０がＲＡＭ１０２に読み込まれたローダ２１１を起動する。

こうしてＳ７０３でＣＰＵ１０１はローダ２１１を起動して、各種初期化処理を行う。ここでの初期化は、例えばパネル制御部１３３の初期化を行って操作部１４３に起動画面を表示させたりする。またローダ２１１に含まれるカーネル改ざん検知部２０４が、フラッシュメモリ１４５から、カーネル２１２とカーネル検証用公開鍵３０５とカーネル署名３０６をＲＡＭ１０２に読み込む。

次にＳ７０４に進みＣＰＵ１０１はカーネル改ざん検知部２０４として機能し、カーネル検証用公開鍵３０５を用いてカーネル署名３０６を検証し、その署名検証に成功したか判定する。ここでカーネル署名の検証に失敗したときはＳ７１０に進み、カーネル改ざん検知部２０４は操作部１４３にエラーメッセージを表示して、この処理を終了する。一方、カーネル署名の検証に成功するとＳ７０５に進みカーネル改ざん検知部２０４は処理を終了し、ローダ２１１がＲＡＭ１０２に読み込まれたカーネル２１２を起動する。

こうしてＳ７０５でＣＰＵ１０１はカーネル２１２を起動すると各種初期化処理を行う。ここでの初期化は、例えばネットワークＩ／Ｆ制御部１３６の初期化を行ってネットワーク１４６との通信が行えるようにする。次にカーネル２１２に含まれるＮａｔｉｖｅプログラム改ざん検知部２０５が、フラッシュメモリ１４５から、Ｎａｔｉｖｅプログラム２１３の検証用公開鍵３０７と、Ｎａｔｉｖｅプログラム署名３０８を、ＲＡＭ１０２に読み込む。

そしてＳ７０６に進みＣＰＵ１０１はＮａｔｉｖｅプログラム改ざん検知部２０５として機能し、検証用公開鍵３０７を用いて、Ｎａｔｉｖｅプログラム署名３０８を検証し、Ｎａｔｉｖｅプログラム署名の検証に成功したか判定する。Ｎａｔｉｖｅプログラム署名の検証に失敗したときはＳ７１０に進みＮａｔｉｖｅプログラム改ざん検知部２０５は、操作部１４３にエラーメッセージを表示して、この処理を終了する。一方、Ｎａｔｉｖｅプログラム署名の検証に成功したときはＳ７０７に進み、Ｎａｔｉｖｅプログラム改ざん検知部２０５は処理を終了し、Ｎａｔｉｖｅプログラム２１３を起動する。

Ｓ７０７でＣＰＵ１０１は、Ｎａｔｉｖｅプログラム２１３のうち、改ざん検知の処理を行うＪａｖａプログラム改ざん検知部２０６を起動し、ＨＤＤ１４４から、Ｊａｖａプログラム２１４とＪａｖａプログラム署名３１０をＲＡＭ１０２に読み込む。また、スキャナ１４１、プリンタ１４２を起動させる起動プログラムを実行する。更に、Ｎａｔｉｖｅプログラム２１３は、ＣＰＵ１１１のプログラム起動部をＲＯＭ１１２からＲＡＭ１１３に変更し、ＲＡＭ１１３に再起動プログラムを書き込んでＣＰＵ１１１をリセットし、次のそのリセットを解除をすることで再起動させる。この再起動によってＣＰＵ１１１は、前述の省電力モード時に外部ポートの割り込みを監視するプログラムを実行することが可能となる。

次にＳ７０８に進みＣＰＵ１０１はＪａｖａプログラム改ざん検知部２０６として機能し、Ｓ７０５でＲＡＭ１０２に読み込まれたＪａｖａプログラム検証用公開鍵３０９を用いて、Ｊａｖａプログラム署名３１０を検証し、Ｊａｖａプログラム署名の検証に成功したか判定する。ここでＪａｖａプログラム署名の検証に失敗したときはＳ７１０に進みＪａｖａプログラム改ざん検知部２０６は操作部１４３にエラーメッセージを表示して、処理を終了する。一方、Ｊａｖａプログラム署名の検証に成功したときはＪａｖａプログラム改ざん検知部２０６は処理を終了し、Ｓ７０９に進んでＪａｖａプログラム２１４を起動する。

尚、Ｓ７１０の処理は、操作部１４３へエラーメッセージを表示するが、これに代えて、外部ポート制御部１３７を制御してＬＥＤ１４７を点滅させるようにしてもよい。また操作部１４３へのエラーメッセージの表示及びＬＥＤ１４７の点滅の両方が行われてもよい。

尚、実施形態では、公開鍵がすべて異なるものであるとして説明したが、同じものがあってもよい。またブートプログラム以外のプログラムの保存場所は限定されるものではなく、別の記憶媒体であってもよい。またプログラムの保存場所が説明した箇所になくてもよく、例えば、フラッシュメモリ１４５やＲＯＭ１１２上にローダ２２３を記憶する構成であってもよい。

以上説明したように実施形態によれば、改ざん検知設定がなされていない場合に、必ず改ざん検知設定処理を実行させることでセキュリティレベルを高めることができる。

（その他の実施形態）
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

本発明は上記実施形態に制限されるものではなく、本発明の精神及び範囲から逸脱することなく、様々な変更及び変形が可能である。従って、本発明の範囲を公にするために、以下の請求項を添付する。

１００…複合機、１０１，１１１…ＣＰＵ、１１２…ＲＯＭ、１０２，１１３…ＲＡＭ、１４４…ＨＤＤ，１４５…フラッシュメモリ、１４７…ＬＥＤ，２０９…ブートプログラム、２１７，２１８…サブブートプログラム、２１１…ローダ、２１２…カーネル、２１３…Ｎａｔｉｖｅプログラム

Claims

情報処理装置であって、
第１ＣＰＵと、
第２ＣＰＵと、
起動時に、前記第１ＣＰＵが実行するブートプログラムを記憶する第１不揮発メモリと、
第１ブートプログラム、及びプログラムを検証する第２ブートプログラムを記憶する第２不揮発メモリと、を有し、
前記第１ＣＰＵは、プログラムの改ざんを検証するための設定として暗号化を示す検証方式が前記第１不揮発メモリに設定されているか否かを判定し、前記検証方式が設定されていない場合に、前記第１ブートプログラムを実行して前記検証方式の設定を前記第１不揮発メモリに書き込み、
前記検証方式が設定されている場合に、当該設定に従って前記第２ブートプログラムを実行し、前記第２ブートプログラムによる処理が正常に終了すると前記第２ＣＰＵが前記情報処理装置を起動することを特徴とする情報処理装置。
前記設定は、前記検証方式の設定、前記第２ブートプログラムを検証するための公開鍵、前記第２ブートプログラムのヘッダポインタを含むことを特徴とする請求項１に記載の情報処理装置。
前記検証方式が設定されていない場合、前記第１ＣＰＵはハッシュ値による前記第１ブートプログラムの検証を行い、当該検証に成功すると前記第１ブートプログラムを実行することを特徴とする請求項１又は２に記載の情報処理装置。
前記検証方式が設定されている場合、前記第１ＣＰＵは、前記設定に含まれる前記公開鍵を使用して前記第２ブートプログラムの検証を行い、当該検証に成功すると前記第２ブートプログラムを実行することを特徴とする請求項２に記載の情報処理装置。
前記第２ブートプログラムは、前記第２ＣＰＵが実行するＢＩＯＳの署名検証を行い、当該署名検証に成功すると前記第２ＣＰＵのリセットを解除することで前記第２ＣＰＵが前記情報処理装置を起動することを特徴とする請求項１に記載の情報処理装置。
プログラムの改ざんを検証するための前記設定の初期値は、ハッシュ値による検証方式であることを特徴とする請求項１に記載の情報処理装置。
前記公開鍵の設定値が初期値の場合、前記第１ＣＰＵは、プログラムの改ざんを検証するための設定として暗号化を示す検証方式が設定されていないと判定することを特徴とする請求項２に記載の情報処理装置。
前記第１ＣＰＵが、前記第１ブートプログラムを実行して前記検証方式の設定を前記第１不揮発メモリに書き込んだ後、前記情報処理装置を再起動することを特徴とする請求項１乃至７のいずれか１項に記載の情報処理装置。
前記第１不揮発メモリは、ＯＴＰ－ＲＯＭ（One Time Programable ROM）であることを特徴とする請求項１乃至８のいずれか１項に記載の情報処理装置。
前記第２不揮発メモリは、フラッシュメモリであることを特徴とする請求項１乃至９のいずれか１項に記載の情報処理装置。
第１ＣＰＵと、第２ＣＰＵと、前記第１ＣＰＵが実行するブートプログラムを記憶する第１不揮発メモリと、第１ブートプログラム、及びプログラムを検証する第２ブートプログラムを記憶する第２の不揮発メモリとを有する情報処理装置の起動方法であって、
起動時に、前記第１不揮発メモリに記憶されている前記ブートプログラムを前記第１ＣＰＵにより実行し、
前記第１ＣＰＵは、プログラムの改ざんを検証するための設定として暗号化を示す検証方式が前記第１不揮発メモリに設定されているか否かを判定し、
前記検証方式が設定されていない場合に、前記第１ＣＰＵは前記第１ブートプログラムを実行して前記検証方式の設定を前記第１不揮発メモリに書き込み、
前記検証方式の設定を前記第１不揮発メモリに書き込むと前記情報処理装置を再起動し、
前記検証方式が設定されていると前記第１ＣＰＵは、当該設定に従って前記第２ブートプログラムを実行し、
前記第２ブートプログラムによる処理が正常に終了すると、前記第２ＣＰＵが前記情報処理装置を起動することを特徴とする起動方法。
前記検証方式が設定されていない場合、前記第１ＣＰＵはハッシュ値による前記第１ブートプログラムの検証を行い、当該検証に成功すると前記第１ブートプログラムを実行することを特徴とする請求項１１に記載の起動方法。
前記検証方式が設定されている場合、前記第１ＣＰＵは、前記設定に含まれる公開鍵を使用して前記第２ブートプログラムの検証を行い、当該検証に成功すると前記第２ブートプログラムを実行することを特徴とする請求項１１に記載の起動方法。