JP7465107B2

JP7465107B2 - 情報処理装置及び方法

Info

Publication number: JP7465107B2
Application number: JP2020026472A
Authority: JP
Inventors: 保広小塚
Original assignee: Canon Inc
Current assignee: Canon Inc
Priority date: 2020-02-19
Filing date: 2020-02-19
Publication date: 2024-04-10
Anticipated expiration: 2040-02-19
Also published as: US11803220B2; JP2021131709A; US20210255683A1

Description

本開示は、情報処理装置及び方法に関する。

装置に組み込まれるソフトウェア又はファームウェアといったプログラムが改竄されるリスクへの対策として、装置の起動に先立ってプログラムの正当性を検証する手法（セキュアブートともいう）が知られている。プログラムの正当性を検証することは、改竄のみならずプログラムの劣化から装置を保護する観点でも有益である。

概して、装置の様々な機能を制御するＣＰＵは、当該ＣＰＵを起動させるためのプログラムの正当性を完全には検証できない。そこで、プログラムの正当性を検証するための補助的なプロセッサを、主たるＣＰＵとは別に設ける構成が採用され得る。この場合、まず補助的なプロセッサがＣＰＵにより実行されるべきプログラムの正当性を検証し、正当であると判定されたプログラムをＣＰＵが実行する。

特許文献１は、補助的なプロセッサを用いたセキュアブートの手法を取り入れた複合機を開示している。特許文献１によれば、複合機を構成するデバイス群を制御する主たるＣＰＵとは別のマイコンが、ＣＰＵにより実行されるべきプログラムの正当性を検証する。ＣＰＵは、正当であると判定されたプログラムを実行して、電源制御部からスキャナ及びプリンタといったデバイスへの電力の供給及びデバイスのセットアップを開始する。このセットアップが終了した後、複合機はユーザにより使用可能な状態となる。

特開２０１９―１２８７９２号公報

しかしながら、特許文献１により開示された手法では、プログラムの正当性の検証が成功裏に完了してＣＰＵがプログラムを実行するまで、デバイスへの電力の供給もセットアップも始まらない。そのため、ユーザは、複合機の電源をオンしてから実際に複合機を使えるようになるまで、長い時間待機することになる。待機時間は、例えば、プログラムの検証が一旦失敗し、システムが自動的にプログラムを復旧するような場合には、より一層長くなる。

そこで、本開示は、不正な動作のリスクに対する安全性を維持しつつ、装置の起動に要する時間を短縮することを目的とする。

ある観点によれば、情報処理装置であって、少なくとも１つのデバイスと、前記少なくとも１つのデバイスを制御する第１のプロセッサ、前記少なくとも１つのデバイスへの電力の供給を制御する電力制御部、及び第１演算部を含むコントローラと、前記第１のプロセッサにより実行されるべきプログラムの正当性を検証して、前記プログラムが正当であると判定された場合に前記第１のプロセッサによる前記プログラムの実行を可能にする第２のプロセッサと、を備え、前記第２のプロセッサは、前記情報処理装置の電源がオンされたことに応じて前記プログラムの検証を開始し、前記第１演算部は、前記第２のプロセッサにより前記プログラムが正当であると判定されたことを示す第１制御信号と前記電力制御部のリセット状態を解除するための第２制御信号との論理積を示す第３制御信号を、前記第１のプロセッサへ出力し、前記第１のプロセッサは、前記第３制御信号を受け付けたことに応じて、前記プログラムの実行を開始し、前記電力制御部は、前記プログラムが正当であるという前記判定の前に、前記少なくとも１つのデバイスへの電力の供給を開始する、ことを特徴とする情報処理装置が提供される。対応する方法もまた提供される。

本開示によれば、不正な動作のリスクに対する安全性を維持しつつ、情報処理装置の起動に要する時間を短縮することができる。

一実施形態に係る情報処理装置の構成の一例を示すブロック図。図１に示したフラッシュメモリのメモリマップの一例について説明するための説明図。初回のプログラムの検証に成功するシナリオにおける情報処理装置の各部の動作タイミングを示すタイミングチャート。初回のプログラムの検証に失敗してプログラムが復旧されるシナリオにおける情報処理装置の各部の動作タイミングを示すタイミングチャート。一実施形態において情報処理装置の起動時に行われる処理の流れの一例を示すシーケンス図。一変形例に係る情報処理装置の構成の一例を示すブロック図。一変形例において情報処理装置の起動時に行われる処理の流れの一例を示すシーケンス図。

以下、添付図面を参照して実施形態を詳しく説明する。なお、以下の実施形態は特許請求の範囲に係る発明を限定するものではない。実施形態には複数の特徴が記載されているが、これらの複数の特徴の全てが発明に必須のものとは限らず、また、複数の特徴は任意に組み合わせられてもよい。さらに、添付図面においては、同一若しくは同様の構成に同一の参照番号を付し、重複した説明は省略する。

＜＜１．装置の構成＞＞
本節では、本開示に係る技術が情報処理装置に適用される例を説明する。本明細書において、情報処理装置との用語は、プロセッサ又は処理回路がコンピュータプログラムを実行することにより動作する様々な装置を広く含むものとする。情報処理装置は、例えば、コンピュータ、電子装置、サーバ装置、端末装置、記憶装置、表示装置、通信装置、画像処理装置、又は音声処理装置であってもよい。

図１は、一実施形態に係る情報処理装置１００の構成の一例を示すブロック図である。図１を参照すると、情報処理装置１００は、第１電源部１０１、ＳｏＣ１０２、サブＣＰＵ１０３、フラッシュメモリ１０４、セレクタ１０５、ＲＯＭ１０６、第１電力監視部１０７及びＡＮＤ回路１３４を備える。本実施形態において、ＳｏＣ（System on Chip）１０２は、メインＣＰＵ１１１、ＰＭＵ１１２、第１入力端子１３１、第２入力端子１３２及びＡＮＤ回路１３３を含む。即ち、少なくともメインＣＰＵ１１１及びＰＭＵ１１２は、共通のチップに設けられる。情報処理装置１００は、さらに、第２電源部１２１、Ｎ個（Ｎは１以上の整数）のデバイス１２２－１～１２２－Ｎ及び第２電力監視部１２３を備える。なお、以下の説明において、デバイス１２２－１～１２２－Ｎを互いに区別する必要の無い場合には、これらをデバイス１２２と総称する。

第１電源部１０１は、商用電源１０へ接続される。第１電源部１０１は、例えば、ユーザが電源スイッチ（図示せず）を操作したことに応じて情報処理装置１００の主電源がオンされると、ＳｏＣ１０２、サブＣＰＵ１０３、フラッシュメモリ１０４及びセレクタ１０５へ電力Ｐ１を供給する。

メインＣＰＵ（Central Processing Unit）１１１は、情報処理装置１００の各デバイス１２２を制御する処理手段である。メインＣＰＵ１１１は、セレクタ１０５を介してフラッシュメモリ１０４へ接続される。また、メインＣＰＵ１１１は、信号バス１１５を介して各デバイス１２２と接続される。メインＣＰＵ１１１は、例えばフラッシュメモリ１０４に予め記憶されているブートプログラムを実行することにより、情報処理装置１００の基本的なシステムを起動する。

ＰＭＵ（Power Management Unit）１１２は、各デバイス１２２への電力の供給を制御する電力制御手段である。ＰＭＵ１１２は、例えば、情報処理装置１００の主電源がオンされたことに応じて、第２電源部１２１に、各デバイス１２２への電力Ｐ２の供給を開始するように指示する。この指示は、制御信号Ｃ３を用いて行われ得る。

サブＣＰＵ１０３は、メインＣＰＵ１１１により実行されるべきプログラムの正当性を検証する検証手段である。サブＣＰＵ１０３は、ＲＯＭ１０６に予め記憶されているファームウェアを実行することにより動作する。サブＣＰＵ１０３は、その動作において、フラッシュメモリ１０４に記憶されているメインＣＰＵ１１１のブートプログラムが正当であるかを、メインＣＰＵ１１１による実行に先立って判定する。サブＣＰＵ１０３は、ブートプログラムが正当であると判定された場合、メインＣＰＵ１１１によるブートプログラムの実行を可能にする。ブートプログラムが正当ではないと判定された場合、サブＣＰＵ１０３は、ブートプログラムの復旧用バージョンでフラッシュメモリ１０４の当該ブートプログラムを上書きすることにより、ブートプログラムを復旧してもよい。サブＣＰＵ１０３は、復旧後にブートプログラムの正当性を再度検証し、検証に成功した場合に、メインＣＰＵ１１１による復旧後のブートプログラムの実行を可能にし得る。

フラッシュメモリ１０４は、メインＣＰＵ１１１により実行されるプログラムであって、サブＣＰＵ１０３による検証の対象とされるプログラムを記憶する記憶手段である。ここではメインＣＰＵ１１１のブートプログラムがサブＣＰＵ１０３による検証の対象とされる例を主に説明するが、本実施形態はかかる例には限定されない。例えば、ＢＩＯＳ（Basic Input / Output System）プログラム又はＯＳ（Operating System）プログラムといった他の種類のプログラムもサブＣＰＵ１０３による検証の対象とされてよい。フラッシュメモリ１０４は、サブＣＰＵ１０３と同様に、情報処理装置１００の電源がオンされたことに応じて、電力の供給を受ける。それにより、情報処理装置１００の起動の当初において、サブＣＰＵ１０３がフラッシュメモリ１０４からプログラムを読出して正当性の検証を行うことが可能となる。

セレクタ１０５は、フラッシュメモリ１０４へのアクセス元のＣＰＵをサブＣＰＵ１０３とメインＣＰＵ１１１との間で選択的に切替える切替手段である。セレクタ１０５は、情報処理装置１００の起動の当初において、フラッシュメモリ１０４への信号経路をサブＣＰＵ１０３に接続する。サブＣＰＵ１０３は、メインＣＰＵ１１１のブートプログラムを、セレクタ１０５を介してフラッシュメモリ１０４から読出し、読出したプログラムの正当性を検証する。その検証が成功すると、サブＣＰＵ１０３は、検証の成功を示す制御信号Ｃ１をセレクタ１０５へ出力する。セレクタ１０５は、サブＣＰＵ１０３からの制御信号Ｃ１の受信に応じて、フラッシュメモリ１０４への信号経路をメインＣＰＵ１１１に接続する。その結果、メインＣＰＵ１１１がフラッシュメモリ１０４からブートプログラム（及びその他の必要なプログラム）を読出すことが可能となる。なお、各ＣＰＵからフラッシュメモリ１０４への信号経路は、例えばＳＰＩ（Serial Peripheral Interface）バスとして実現されてもよい。

ＲＯＭ（Read Only Memory）１０６は、不揮発性の書換不能なメモリである。ＲＯＭ１０６は、サブＣＰＵ１０３によってのみアクセス可能であってよい。ＲＯＭ１０６は、例えば、サブＣＰＵ１０３の動作のためのファームウェアと、検証の対象のプログラムの署名を復号するための公開鍵とを記憶する。

第１電力監視部１０７は、第１電源部１０１からＳｏＣ１０２及びサブＣＰＵ１０３などへ供給される電力Ｐ１のレベルを監視し、電力Ｐ１の電力レベルに依存するリセット信号Ｒ１をサブＣＰＵ１０３及びＳｏＣ１０２へ出力する。例えば、電力Ｐ１の電力レベルが予め定義される閾値を下回る場合、リセット信号Ｒ１はアサートされる（例えば、信号値がゼロ又はＬｏｗに維持される）。リセット信号Ｒ１がアサートされている間、サブＣＰＵ１０３及びＳｏＣ１０２は、リセット状態に維持され、動作を抑制される。電力Ｐ１の電力レベルが閾値を上回ると、第１電力監視部１０７は、リセット信号Ｒ１をディアサートする（例えば、信号値を１又はＨｉｇｈに切替える）。サブＣＰＵ１０３のリセット状態は、リセット信号Ｒ１のディアサートに応じて解除される。サブＣＰＵ１０３は、リセット状態を解除されると動作を開始し、ＲＯＭ１０６から上述したファームウェアを読出して実行する。これは、サブＣＰＵ１０３が、情報処理装置１００の主電源がオンされたことに応じて、メインＣＰＵ１１１により実行されるべきプログラムの検証を開始することを意味する。

ＳｏＣ１０２のチップ全体としてのリセット状態もまた、リセット信号Ｒ１のディアサートに応じて解除される。ＳｏＣ１０２の第１入力端子１３１へ入力されたリセット信号Ｒ１は、ＰＭＵ１１２のリセット端子へそのまま入力される。したがって、ＰＭＵ１１２のリセット状態もリセット信号Ｒ１のディアサートに応じて解除される。これは、ＰＭＵ１１２が、サブＣＰＵ１０３と同様に、情報処理装置１００の主電源がオンされたことに応じて動作を開始することを意味する。

一方、メインＣＰＵ１１１の動作は、リセット信号Ｒ３により抑制される。ＡＮＤ回路１３３は、リセット信号Ｒ１及びリセット信号Ｒ２を受け付け、これらの信号値の論理積を示すリセット信号Ｒ３をメインＣＰＵ１１１のリセット端子へ出力する。したがって、メインＣＰＵ１１１のリセット状態は、リセット信号Ｒ１がディアサートされ（ＳｏＣ１０２全体及びＰＭＵ１１２のリセット状態が解除され）且つリセット信号Ｒ２がディアサートされて初めて解除される。ＡＮＤ回路１３４は、サブＣＰＵ１０３からの制御信号Ｃ１及び第２電力監視部１２３からの制御信号Ｃ２を受け付け、これらの信号値の論理積を示すリセット信号Ｒ２をＳｏＣ１０２の第２入力端子１３２へ出力する。リセット信号Ｒ２は、第２入力端子１３２により受け付けられた後、ＡＮＤ回路１３３の２つの入力端子の一方へ出力される。したがって、リセット信号Ｒ２は、制御信号Ｃ１がディアサートされ且つ制御信号Ｃ２がディアサートされた場合にディアサートされる。制御信号Ｃ１は、メインＣＰＵ１１１のプログラムが正当であるという判定に応じてサブＣＰＵ１０３によりディアサートされる。制御信号Ｃ２は、後に説明するように、第２電源部１２１から各デバイス１２２へ供給される電力Ｐ２のレベルが閾値を上回る場合に、第２電力監視部１２３によりディアサートされる。

リセット信号Ｒ１及びＲ２の双方がディアサートされ、それに応じてリセット信号Ｒ３がディアサートされると、メインＣＰＵ１１１は、フラッシュメモリ１０４からブートプログラムを読出して実行する。それにより、情報処理装置１００の基本的なシステムが起動される。メインＣＰＵ１１１は、さらに、フラッシュメモリ１０４又はいずれかのデバイス１２２に記憶されているさらなるプログラムを実行することにより、各デバイス１２２をセットアップする。このセットアップが終了すると、情報処理装置１００がユーザにより使用可能な状態となり、情報処理装置１００は通常の待機状態に入る。情報処理装置１００の通常の待機状態において、メインＣＰＵ１１１は、例えば、ユーザ入力に従って、ユーザにより指示された動作をデバイス１２２を用いて遂行する。

第２電源部１２１は、商用電源１０へ接続される。第２電源部１２１は、上述したように、ＰＭＵ１１２から電力供給開始の指示を受け付けると、デバイス１２２－１～１２２－Ｎへの電力Ｐ２の供給を開始する。デバイス１２２－１～１２２－Ｎは、例えばプリンタデバイス、スキャナデバイス、操作デバイス、表示デバイス、デバイスコントローラ、画像処理ユニット、及び通信インタフェースのうちの少なくとも１つを含み得る。第２電力監視部１２３は、デバイス１２２－１～１２２－Ｎへ供給される電力Ｐ２のレベルを監視し、電力Ｐ２の電力レベルに依存する制御信号Ｃ２を上述したＡＮＤ回路１３４へ出力する。例えば、電力Ｐ２の電力レベルが予め定義される閾値を下回る場合、制御信号Ｃ２はアサートされる（例えば、信号値がゼロ又はＬｏｗに維持される）。電力Ｐ２の電力レベルが閾値を上回ると、第２電力監視部１２３は、制御信号Ｃ２をディアサートする（例えば、信号値を１又はＨｉｇｈに切替える）。

なお、上で説明した信号の各々の性質は、信号の名称によっては限定されない。例えば、リセット信号及び制御信号という名称は互換可能である。後に説明する図３及び図４では、制御信号Ｃ１をCheckResult信号、制御信号Ｃ２を第２電源監視信号、制御信号Ｃ３をＰＭＵ出力信号として示している。また、リセット信号Ｒ１を第１電源監視信号、リセット信号Ｒ２をPowerGood信号、リセット信号Ｒ３をCPUEnabled信号と示している。

図２は、図１に示したフラッシュメモリ１０４のメモリマップの一例について説明するための説明図である。図２に示したように、フラッシュメモリ１０４は、メインＣＰＵプログラム（例えば、ブートプログラム）２０１、署名２０２、及びメインＣＰＵプログラムの復旧用バージョン２０３を予め記憶する。メインＣＰＵプログラム２０１は、典型的には、フラッシュメモリ１０４の先頭の記憶領域に記憶される。署名２０２は、メインＣＰＵプログラム２０１の正当性検証用の署名である。署名２０２は、（正当な）メインＣＰＵプログラム２０１のハッシュ値を公開鍵暗号方式の秘密鍵で暗号化することにより予め導出され、フラッシュメモリ１０４に記憶され得る。署名２０２は、例えばＲＳＡ署名、ＤＳＡ署名又はＥＣＤＳＡ署名といった、いかなる種類のデジタル署名方式に基づいていてもよい。メインＣＰＵプログラムの復旧用バージョン２０３は、フラッシュメモリ１０４内のサブＣＰＵ１０３にとって既知の記憶領域（図２の例では、アドレスｘｘＨから始まる領域）に記憶される。

サブＣＰＵ１０３は、メインＣＰＵプログラム２０１の正当性を検証する際、メインＣＰＵプログラム２０１のプログラムデータからハッシュ値を導出する。また、サブＣＰＵ１０３は、署名２０２をＲＯＭ１０６に記憶されている公開鍵で復号することにより、正当なプログラムデータのハッシュ値を生成する。そして、サブＣＰＵ１０３は、これら２つのハッシュ値が一致する場合に、フラッシュメモリ１０４から読出したメインＣＰＵプログラム２０１は正当であると判定する。一方、サブＣＰＵ１０３は、これら２つのハッシュ値が一致しない場合、メインＣＰＵプログラム２０１は正当ではない（例えば、改竄されており又は劣化している）と判定する。サブＣＰＵ１０３は、署名２０２の検証の結果、メインＣＰＵプログラム２０１が正当ではないと判定した場合、フラッシュメモリ１０４の先頭の記憶領域に、復旧用バージョン２０３を書込む。それにより、正当性を失った（例えば、改竄された）メインＣＰＵプログラム２０１が復旧用バージョン２０３で上書きされ、必要なプログラムが復旧し得る。なお、復旧用バージョン２０３は、サブＣＰＵ１０３からアクセス可能である限り、フラッシュメモリ１０４とは異なる記憶媒体に記憶されていてもよい。その記憶媒体は、情報処理装置１００の内部にあっても外部にあってもよい。

＜＜２．タイミングチャート＞＞
図３及び図４は、上で説明した情報処理装置１００の各部の動作タイミングを示すタイミングチャートである。各タイミングチャートにおいて、横軸は時間を表す。図３の第１のシナリオでは、サブＣＰＵ１０３によるメインＣＰＵプログラム２０１の検証は、初回の検証の際に成功する。一方、図４の第２のシナリオでは、サブＣＰＵ１０３によるメインＣＰＵプログラム２０１の検証は一旦失敗し、その後プログラムの復旧が行われる。

＜２－１．第１のシナリオ＞
図３の第１のシナリオでは、まず、時刻Ｔ_１において、例えばユーザが電源スイッチを操作したことに応じて、第１電源部１０１からの電力Ｐ１のレベルが定常電圧まで上昇する。第１電力監視部１０７は、電力Ｐ１のレベルが閾値を上回ると、リセット信号Ｒ１をディアサートする（信号値をＬｏｗからＨｉｇｈへ切り替える）。サブＣＰＵ１０３は、リセット信号Ｒ１のディアサートに応じて、ＲＯＭ１０６から読出されるファームウェアを実行することにより起動（ブート）する。ＰＭＵ１１２もまた、リセット信号Ｒ１のディアサートに応じて、サブＣＰＵ１０３の起動と並行して起動する。サブＣＰＵ１０３及びＰＭＵ１１２の起動は、例えば時刻Ｔ_２に終了する。サブＣＰＵ１０３は、起動後に、フラッシュメモリ１０４からのメインＣＰＵプログラム２０１の読出し及び検証を開始する。

ＰＭＵ１１２は、起動後に第２電源部１２１への制御信号Ｃ３をディアサートすることにより、第２電源部１２１に電力Ｐ２の供給開始を指示する。第２電源部１２１からの電力Ｐ２のレベルは、制御信号Ｃ３のディアサートに応じて定常電圧まで上昇する。第２電力監視部１２３は、電力Ｐ２のレベルが閾値を上回った時刻Ｔ_３において、制御信号Ｃ２をディアサートする。しかし、時刻Ｔ_３では、サブＣＰＵ１０３によるメインＣＰＵプログラム２０１の検証が終了していないため、制御信号Ｃ２のディアサートは直ちには何も引き起こさない。

時刻Ｔ_４で、サブＣＰＵ１０３によるメインＣＰＵプログラム２０１の検証が成功裏に終了する。すると、サブＣＰＵ１０３は、ＡＮＤ回路１３４へ出力される制御信号Ｃ１をディアサートする。制御信号Ｃ１のディアサートに応じて、制御信号Ｃ１と制御信号Ｃ２との論理積を示すリセット信号Ｒ２もまたディアサートされる。リセット信号Ｒ２のディアサートに応じて、リセット信号Ｒ２とリセット信号Ｒ１との論理積を示すリセット信号Ｒ３もまたディアサートされる。メインＣＰＵ１１１は、リセット信号Ｒ３のディアサートに応じてリセット状態を解除され、フラッシュメモリ１０４から（正当性を検証済みの）メインＣＰＵプログラム２０１を読み出して実行し、それにより起動（ブート）する。

＜２－２．第２のシナリオ＞
図４の第２のシナリオにおいて、時刻Ｔ_３までの各部の動作及び信号値の変化は、図３と同様である。時刻Ｔ_４で、サブＣＰＵ１０３によるメインＣＰＵプログラム２０１の検証は終了し、サブＣＰＵ１０３は、メインＣＰＵプログラム２０１が正当ではないと判定する。したがって、時刻Ｔ_４で、サブＣＰＵ１０３は、制御信号Ｃ１をアサートしたまま維持する。サブＣＰＵ１０３は、時刻Ｔ_４から時刻Ｔ_５までの間に、フラッシュメモリ１０４の先頭の記憶領域のメインＣＰＵプログラム２０１を復旧用バージョン２０３で上書きすることにより復旧する。サブＣＰＵ１０３は、復旧が終了すると、メインＣＰＵプログラム２０１の検証を再び行う。

時刻Ｔ_６で、復旧後のメインＣＰＵプログラム２０１の検証が成功裏に終了する。すると、サブＣＰＵ１０３は、ＡＮＤ回路１３４へ出力される制御信号Ｃ１をディアサートする。制御信号Ｃ１のディアサートに応じて、制御信号Ｃ１と制御信号Ｃ２との論理積を示すリセット信号Ｒ２もまたディアサートされる。リセット信号Ｒ２のディアサートに応じて、リセット信号Ｒ２とリセット信号Ｒ１との論理積を示すリセット信号Ｒ３もまたディアサートされる。メインＣＰＵ１１１は、リセット信号Ｒ３のディアサートに応じてリセット状態を解除され、フラッシュメモリ１０４からメインＣＰＵプログラム２０１を読み出して実行し、それにより起動（ブート）する。

第１のシナリオ及び第２のシナリオの双方において、ＰＭＵ１１２は、メインＣＰＵプログラム２０１が正当であるという判定がなされる前に、情報処理装置１００のデバイス１２２への電力Ｐ２の供給を既に開始している。したがって、プログラムの検証完了を条件としてデバイスへの電力の供給が開始されるケースと比較すると、電源オンから情報処理装置１００が使用可能となるまでの時間が、本実施形態においてより短くなっていることが分かる。

また、本実施形態では、メインＣＰＵ１１１は、メインＣＰＵプログラム２０１が正当であると判定されたことを制御信号Ｃ１が示すことに少なくとも基づいて、ブートプログラムを含み得るメインＣＰＵプログラム２０１の実行を開始する。言い換えると、電源オンに応じてＳｏＣ１０２へ電力が供給されたとしても、ＳｏＣ１０２上のメインＣＰＵ１１１は、サブＣＰＵ１０３により正当であると判定される前のプログラムを実行しない。このように、本実施形態では、プログラムの改竄又は劣化を原因とする情報処理装置１００の不正な動作のリスクに対する安全性も保たれる。

＜＜３．処理の流れ＞＞
図５は、上述した実施形態において情報処理装置１００の起動時に行われる処理の流れの一例を示すシーケンス図である。図５に示した処理には、第１電源部１０１、第１電力監視部１０７、サブＣＰＵ１０３、メインＣＰＵ１１１、ＰＭＵ１１２、第２電源部１２１及び第２電源監視部１２３が関与する。なお、以下の説明では、処理ステップをＳ（ステップ）と略記する。

まず、Ｓ５０１で、第１電源部１０１は、電源スイッチをオンするユーザ操作を受け付ける。第１電源部１０１は、このユーザ操作を検知したことに応じて、Ｓ５０２で、サブＣＰＵ１０３、メインＣＰＵ１１１及びＰＭＵ１１２への電力Ｐ１の供給を開始する。

次いで、第１電力監視部１０７は、電力Ｐ１の電力レベルが閾値を上回ったことに応じて、Ｓ５０３で、リセット信号Ｒ１をディアサートすることにより、サブＣＰＵ１０３及びＰＭＵ１１２のリセット状態を解除する。サブＣＰＵ１０３は、リセット状態の解除に応じて、Ｓ５０４で起動する。それと並行して、ＰＭＵ１１２もまたＳ５０５で起動する。

次いで、Ｓ５０６で、サブＣＰＵ１０３は、フラッシュメモリ１０４に記憶されているメインＣＰＵプログラム２０１の正当性を検証する。次いで、Ｓ５０７で、サブＣＰＵ１０３は、検証に成功したか否か、即ちメインＣＰＵプログラム２０１が正当であるか否かを判定する。検証に失敗した場合、サブＣＰＵ１０３は、Ｓ５０８で、メインＣＰＵプログラム２０１を復旧用バージョン２０３を用いて復旧する。その後、サブＣＰＵ１０３の処理はＳ５０６へ戻る。一方、サブＣＰＵ１０３は、Ｓ５０７でメインＣＰＵプログラム２０１が正当であると判定した場合、Ｓ５０９で、制御信号Ｃ１をディアサートする。

ＰＭＵ１１２は、Ｓ５０５で起動した後、Ｓ５１０で、第２電源部１２１に、各デバイス１２２への電力Ｐ２の供給を開始するように指示する。第２電源部１２１は、ＰＭＵ１１２からの上記指示に応じて、Ｓ５１１で、デバイス１２２への電力Ｐ２の供給を開始する。各デバイス１２２は、電力Ｐ２の供給が開始されると、固有のセットアップシーケンスを実行して、メインＣＰＵ１１１による制御を待ち受ける状態へ移行し得る。次いで、第２電力監視部１２３は、電力Ｐ２の電力レベルが閾値を上回ったことに応じて、Ｓ５１２で、制御信号Ｃ２をディアサートする。この制御信号Ｃ２のディアサートは、Ｓ５０９でのサブＣＰＵ１０３による制御信号Ｃ１のディアサートよりも早く行われ得る（但し、どちらが早くディアサートされるかは問題ではない）。

Ｓ５１３で、メインＣＰＵ１１１は、制御信号Ｃ１及びＣ２並びにリセット信号Ｒ１がディアサートされたことに応じて、メインＣＰＵプログラム２０１を実行することにより起動する。次いで、Ｓ５１４で、メインＣＰＵ１１１は、その他の必要なプログラムを実行することにより、情報処理装置１００のデバイス１２２の制御を開始する。

ここまでに説明した実施形態では、プログラムが正当であると判定されたことに加えて、デバイス１２２へ供給される電力Ｐ２のレベルが閾値を上回ったことを条件として、リセット信号Ｒ２がディアサートされる。こうした条件によれば、メインＣＰＵ１１１は、デバイス１２２が電力Ｐ２を用いて動作できる状態になってから起動して、デバイス１２２の制御を直ちに開始することができる。但し、メインＣＰＵ１１１は、必ずしも電力Ｐ２のレベルの上昇を待つことなく起動してもよい。次節では、そうした変形例について説明する。

＜＜４．変形例＞＞
図６は、一変形例に係る情報処理装置６００の構成の一例を示すブロック図である。図１に示した情報処理装置１００の構成と比較すると、情報処理装置６００は、ＡＮＤ回路１３４を含まない。メインＣＰＵ１１１のリセット状態を解除するためのリセット信号Ｒ２は、サブＣＰＵ１０３によりプログラムが正当であると判定されたか否かを示す制御信号Ｃ１と実質的に同一の信号である。第２電力監視部１２３により出力される制御信号Ｃ２は、例えば、デバイス１２２のうちの１つ以上をリセット状態に維持し又はそれらのリセット状態を解除するためのリセット信号として使用されてもよい。デバイス１２２のリセット状態の制御が不要である場合には、第２電力監視部１２３は、情報処理装置６００の構成から省略されてもよい。本変形例では、このように情報処理装置６００の構成がより簡略化されるため、装置の小型化及び製造コストの削減が可能である。

本変形例においても、ＰＭＵ１１２のリセット状態は、リセット信号Ｒ１のディアサートに応じて解除される。即ち、ＰＭＵ１１２は、サブＣＰＵ１０３と同様に、情報処理装置１００の主電源がオンされたことに応じて動作を開始し、第２電源部１２１に、各デバイス１２２への電力Ｐ２の供給を開始するように指示する。メインＣＰＵ１１１の動作は、リセット信号Ｒ３により抑制される。ＡＮＤ回路１３３は、リセット信号Ｒ１及びリセット信号Ｒ２を受け付け、これらの信号値の論理積を示すリセット信号Ｒ３をメインＣＰＵ１１１のリセット端子へ出力する。したがって、メインＣＰＵ１１１のリセット状態は、リセット信号Ｒ１がディアサートされ且つ制御信号Ｃ１（リセット信号Ｒ２）がディアサートされて初めて解除される。

図７は、本変形例において情報処理装置６００の起動時に行われる処理の流れの一例を示すシーケンス図である。図７に示した処理には、第１電源部１０１、第１電力監視部１０７、サブＣＰＵ１０３、メインＣＰＵ１１１、ＰＭＵ１１２、第２電源部１２１及び第２電源監視部１２３が関与する。

図７のＳ７０１～Ｓ７０８は、図５のＳ５０１～Ｓ５０８と同様の処理ステップであるため、ここでは重複する説明を行わない。サブＣＰＵ１０３は、Ｓ７０７でメインＣＰＵプログラム２０１が正当であると判定した場合、Ｓ７０９で、制御信号Ｃ１をディアサートする。この制御信号Ｃ１は、ＳｏＣ１０２の第２入力端子１３２へ出力される。第２入力端子１３２は、サブＣＰＵ１０３から受け付けた制御信号Ｃ１を、リセット信号Ｒ２としてＡＮＤ回路１３３へ出力する、

ＰＭＵ１１２は、Ｓ７０５で起動した後、Ｓ７１０で、第２電源部１２１に、各デバイス１２２への電力Ｐ２の供給を開始するように指示する。第２電源部１２１は、ＰＭＵ１１２からの上記指示に応じて、Ｓ７１１で、デバイス１２２への電力Ｐ２の供給を開始する。

Ｓ７１３で、メインＣＰＵ１１１は、リセット信号Ｒ１及びリセット信号Ｒ２がディアサートされたことに応じて、メインＣＰＵプログラム２０１を実行することにより起動する。次いで、Ｓ７１４で、メインＣＰＵ１１１は、その他の必要なプログラムを実行することにより、情報処理装置６００のデバイス１２２の制御を開始する。

＜＜５．まとめ＞＞
ここまで、図１～図７を用いて、本開示の実施形態について詳細に説明した。上述した実施形態では、サブＣＰＵにより、情報処理装置の電源がオンされたことに応じてプログラムの検証が開始され、上記プログラムが正当であると判定された場合に、サブＣＰＵにより第１制御信号が出力される。上記情報処理装置のメインＣＰＵは、上記第１制御信号に少なくとも基づいて、上記プログラムの実行を開始する。一方、上記情報処理装置のＰＭＵは、上記プログラムが正当であるという上記判定の前に、上記情報処理装置の少なくとも１つのデバイスへの電力の供給を開始する。かかる構成によれば、メインＣＰＵは、サブＣＰＵにより正当であると判定されたプログラムに基づいて動作するため、不正なプログラムの制御下で上記情報処理装置のデバイスが動作するというリスクに対する安全性が保たれる。また、各デバイスへの電力供給の開始に伴うシーケンスは、プログラムの正当性の検証の完了を待つことなく開始されるため、上記情報処理装置の起動に要する時間を短縮することができる。したがって、ユーザは、電源オンの後、より早期に上記情報処理装置を使用することができる。例えば、上記少なくとも１つのデバイスへの電力の供給は、上記情報処理装置の電源がオンされたことに応じて開始されてもよい。この場合、各デバイスを、サブＣＰＵによるプログラムの検証の状況に関わらず、迅速にメインＣＰＵの制御を待ち受ける状態にすることができる。

また、上述した実施形態では、メインＣＰＵ及びＰＭＵは、共通のチップに設けられる。この場合にも、プログラムの検証が成功してメインＣＰＵの起動が可能となる前にＰＭＵによる電力制御を開始して、上記情報処理装置の起動に要する時間を短縮することができる。例えば、ＰＭＵは、上記チップの第１端子により受け付けられる第１リセット信号によってリセット状態を解除され得る。一方、メインＣＰＵは、上記第１リセット信号と、上記チップの第２端子により受け付けられる第２リセット信号との論理積を示す第３リセット信号によってリセット状態を解除され得る。このような論理積のための演算回路を上記チップに取り入れることで、メインＣＰＵ及びＰＭＵの起動のタイミングを相違させ、安全性を維持しながらＰＭＵをメインＣＰＵよりも早く起動させることができる。

また、上述した実施形態では、サブＣＰＵは、上記プログラムが正当ではないと判定された場合に、上記プログラムの復旧用バージョンでメモリ内の上記プログラムを上書きすることにより、上記プログラムを復旧し得る。かかる構成によれば、上記プログラムが改竄又は劣化といった原因で正当ではなくなった場合にも、保守作業を要することなく自動的に上記情報処理装置を正常に動作可能な状態に戻すことができる。そして、その復旧後に上記情報処理装置の起動に要する時間を短縮することができる。

＜＜６．その他の実施形態＞＞
上記実施形態は、１つ以上の機能を実現するプログラムをネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読み出して実行する処理の形式でも実現可能である。また、１つ以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

発明は上記実施形態に制限されるものではなく、発明の精神及び範囲から離脱することなく、様々な変更及び変形が可能である。従って、発明の範囲を公にするために請求項を添付する。

１００：情報処理装置、１０２：ＳｏＣ、１０３：サブＣＰＵ（検証手段）、１０４：フラッシュメモリ（記憶手段）、１０７：第１電力監視部、１１１：メインＣＰＵ（処理手段）、１１２：ＰＭＵ（電力制御手段）、１２２：デバイス、１２３：第２電力監視部、１３１：第１入力端子、１３２：第２入力端子、１３３：ＡＮＤ回路（第１演算手段）、１３４：ＡＮＤ回路（第２演算手段）、２０１：メインＣＰＵプログラム、２０３：復旧用バージョン、Ｒ１：第１リセット信号、Ｒ２：第２リセット信号、Ｒ３：第３リセット信号、Ｃ１：第１制御信号、Ｃ２：第２制御信号

Claims

情報処理装置であって、
少なくとも１つのデバイスと、
前記少なくとも１つのデバイスを制御する第１のプロセッサ、前記少なくとも１つのデバイスへの電力の供給を制御する電力制御部、及び第１演算部を含むコントローラと、
前記第１のプロセッサにより実行されるべきプログラムの正当性を検証して、前記プログラムが正当であると判定された場合に前記第１のプロセッサによる前記プログラムの実行を可能にする第２のプロセッサと、
を備え、
前記第２のプロセッサは、前記情報処理装置の電源がオンされたことに応じて前記プログラムの検証を開始し、
前記第１演算部は、前記第２のプロセッサにより前記プログラムが正当であると判定されたことを示す第１制御信号と前記電力制御部のリセット状態を解除するための第２制御信号との論理積を示す第３制御信号を、前記第１のプロセッサへ出力し、
前記第１のプロセッサは、前記第３制御信号を受け付けたことに応じて、前記プログラムの実行を開始し、
前記電力制御部は、前記プログラムが正当であるという前記判定の前に、前記少なくとも１つのデバイスへの電力の供給を開始する、
ことを特徴とする情報処理装置。
前記電力制御部は、前記情報処理装置の前記電源がオンされたことに応じて、前記少なくとも１つのデバイスへの前記電力の供給を開始する、ことを特徴とする請求項１に記載の情報処理装置。
前記コントローラは、前記第２制御信号を受け付ける第１端子を含む、ことを特徴とする請求項１又は２に記載の情報処理装置。
前記少なくとも１つのデバイスへ供給される前記電力のレベルが閾値を上回るか否かを示す第４制御信号を出力する電力監視手段、
をさらに備え、
前記第１制御信号は、前記プログラムが正当であると判定されたかを示す第５制御信号及び前記第４制御信号の論理積を示す信号であり、前記プログラムが正当であると判定されたことを前記第５制御信号が示し、且つ前記少なくとも１つのデバイスへ供給される前記電力のレベルが前記閾値を上回ることを前記第４制御信号が示す場合に、前記第１のプロセッサの前記リセット状態の解除を指示する値を示す、
ことを特徴とする請求項１に記載の情報処理装置。
前記プログラムを記憶する記憶手段、
をさらに備え、
前記記憶手段は、前記情報処理装置の前記電源がオンされたことに応じて、電力の供給を受ける、
ことを特徴とする請求項１乃至４のいずれか１項に記載の情報処理装置。
前記第２のプロセッサは、前記プログラムが正当ではないと判定された場合に、前記プログラムの復旧用バージョンで前記記憶手段の前記プログラムを上書きすることにより、前記プログラムを復旧する、ことを特徴とする請求項５に記載の情報処理装置。
前記少なくとも１つのデバイスは、プリンタデバイス、スキャナデバイス、操作デバイス、表示デバイス、デバイスコントローラ、画像処理ユニット、及び通信インタフェースのうちの少なくとも１つを含む、ことを特徴とする請求項１乃至６のいずれか１項に記載の情報処理装置。
少なくとも１つのデバイスと、前記少なくとも１つのデバイスを制御する第１のプロセッサ、前記少なくとも１つのデバイスへの電力の供給を制御する電力制御部、及び第１演算部を含むコントローラと、前記第１のプロセッサにより実行されるべきプログラムの正当性を検証する第２のプロセッサと、を備える情報処理装置において行われる方法であって、
前記第２のプロセッサにより、前記情報処理装置の電源がオンされたことに応じて前記プログラムの検証を開始することと、
前記プログラムが正当であると判定された場合に、前記第２のプロセッサにより、前記プログラムが正当であると判定されたことを示す第１制御信号を出力することと、
前記第１演算部により、前記第１制御信号と前記電力制御部のリセット状態を解除するための第２制御信号との論理積を示す第３制御信号を、前記第１のプロセッサへ出力することと、
前記第１のプロセッサにより、前記第３制御信号を受け付けたことに応じて、前記プログラムの実行を開始することと、
前記電力制御部により、前記プログラムが正当であるという前記判定の前に、前記少なくとも１つのデバイスへの電力の供給を開始することと、
を含むことを特徴とする方法。