JP7522547B2 - Information processing device and reset control method - Google Patents
Information processing device and reset control method Download PDFInfo
- Publication number
- JP7522547B2 JP7522547B2 JP2019221449A JP2019221449A JP7522547B2 JP 7522547 B2 JP7522547 B2 JP 7522547B2 JP 2019221449 A JP2019221449 A JP 2019221449A JP 2019221449 A JP2019221449 A JP 2019221449A JP 7522547 B2 JP7522547 B2 JP 7522547B2
- Authority
- JP
- Japan
- Prior art keywords
- program
- verification
- reset control
- cpu
- reset
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000000034 method Methods 0.000 title claims description 35
- 230000010365 information processing Effects 0.000 title claims description 22
- 238000012795 verification Methods 0.000 claims description 84
- 230000004044 response Effects 0.000 claims description 34
- 238000011084 recovery Methods 0.000 claims description 9
- 238000012544 monitoring process Methods 0.000 claims description 6
- 230000000737 periodic effect Effects 0.000 claims description 6
- 238000005259 measurement Methods 0.000 claims description 3
- 238000012545 processing Methods 0.000 description 43
- 230000008569 process Effects 0.000 description 23
- 101000896027 Rattus norvegicus 3-hydroxyacyl-CoA dehydrogenase Proteins 0.000 description 16
- 230000005856 abnormality Effects 0.000 description 15
- 238000010586 diagram Methods 0.000 description 12
- 238000005516 engineering process Methods 0.000 description 9
- 230000006870 function Effects 0.000 description 9
- 238000003860 storage Methods 0.000 description 8
- 238000004891 communication Methods 0.000 description 7
- 230000004048 modification Effects 0.000 description 6
- 238000012986 modification Methods 0.000 description 6
- 238000004364 calculation method Methods 0.000 description 4
- 230000006866 deterioration Effects 0.000 description 4
- 230000007704 transition Effects 0.000 description 4
- 230000002093 peripheral effect Effects 0.000 description 3
- 230000003111 delayed effect Effects 0.000 description 2
- 230000007257 malfunction Effects 0.000 description 2
- 230000002159 abnormal effect Effects 0.000 description 1
- 230000005540 biological transmission Effects 0.000 description 1
- 230000008859 change Effects 0.000 description 1
- 238000006243 chemical reaction Methods 0.000 description 1
- 238000013144 data compression Methods 0.000 description 1
- 238000004519 manufacturing process Methods 0.000 description 1
- 230000007246 mechanism Effects 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 238000002360 preparation method Methods 0.000 description 1
- 238000003825 pressing Methods 0.000 description 1
- 238000007639 printing Methods 0.000 description 1
- 230000002035 prolonged effect Effects 0.000 description 1
- 230000001960 triggered effect Effects 0.000 description 1
Images
Landscapes
- Debugging And Monitoring (AREA)
Description
本開示は、情報処理装置及びリセット制御方法に関する。 This disclosure relates to an information processing device and a reset control method.
ソフトウェアのハングアップ等に起因してシステムが正常に動作しなくなったことを検知して、システムの再起動といった復旧のための対策をとるために、ウォッチドッグタイマ（ＷＤＴ）と呼ばれる技術が活用されている（例えば、特許文献１参照）。ＷＤＴは、典型的には、システムの動作中にタイマで経過時間をカウントし、カウンタ値が閾値に達するとシステムに異常が発生したと見なして、強制的にシステムをリセットする。システムが正常に動作している間、システムを統括するプロセッサは、周期的にＷＤＴへ制御信号を出力してＷＤＴを初期化する（例えば、カウンタ値をゼロへクリアする）。それにより、正常動作中にはＷＤＴのカウンタ値は閾値に達することがなく、システムはリセットされない。 A technology called a watchdog timer (WDT) is used to detect when the system is no longer operating normally due to a software hang-up or the like, and to take measures to recover, such as restarting the system (see, for example, Patent Document 1). A WDT typically uses a timer to count the elapsed time while the system is operating, and when the counter value reaches a threshold, it assumes that an abnormality has occurred in the system and forcibly resets the system. While the system is operating normally, the processor that manages the system periodically outputs a control signal to the WDT to initialize the WDT (for example, clearing the counter value to zero). As a result, the counter value of the WDT will never reach the threshold during normal operation, and the system will not be reset.
また、システム起動用のプログラムが正当である（例えば、改竄されていない）ことを検証した後にプログラムを実行してシステムを起動する、いわゆるセキュアブート技術が知られている。セキュアブート技術は、汎用コンピュータのみならず、複合機（Multi-Function Peripheral（ＭＦＰ））及びプリンタといった特定の用途に特化した装置においても採用されつつある。システムの起動時にＢＩＯＳ（Basic Input/Output System）に代表される主要なプログラムの正当性を検証することで、システムの安全な動作を担保することができる。万が一プログラムが正当ではないと判定されると、システムの起動は強制的に停止される。正当ではないと判定されたプログラムは、正当なプログラムで上書きするなどの手法で復旧され、その後システムは再起動され得る。こうしたプログラムの正当性の検証は、通常、当該プログラムの実行主体であるプロセッサではなく、補助的なプロセッサにより行われ得る。 Also, a so-called secure boot technology is known in which a program for starting the system is verified to be legitimate (e.g., not tampered with) before the program is executed to start the system. Secure boot technology is being adopted not only in general-purpose computers but also in devices specialized for specific purposes such as multi-function peripherals (MFPs) and printers. By verifying the legitimacy of major programs such as the Basic Input/Output System (BIOS) at the time of system startup, the safe operation of the system can be guaranteed. If the program is determined to be invalid, the system startup is forcibly stopped. The program determined to be invalid can be restored by a method such as overwriting it with a valid program, and the system can then be restarted. Such verification of the legitimacy of the program is usually performed by an auxiliary processor, not by the processor that executes the program.
ＷＤＴを有するシステムにセキュアブート技術を適用する場合、プログラムの検証が成功裏に完了するまで主たるプロセッサが動作を開始しないため、システムリセットを抑制するための制御がタイムアウトに間に合わなくなる可能性がある。例えば、検証又は検証失敗時の自動的な復旧に長時間を要した場合、最終的にシステムが正常に起動できる状況にも関わらず、ＷＤＴのタイムアウトに起因してシステムが強制的にリセットされ得る。そうした強制的なリセットは、システムの起動を阻害する。 When applying secure boot technology to a system with a WDT, the main processor does not start operating until program verification is successfully completed, so there is a possibility that the control to suppress a system reset will not be able to time out in time. For example, if verification or automatic recovery in the event of a verification failure takes a long time, the system may be forcibly reset due to a WDT timeout, even if the system is ultimately able to start up normally. Such a forced reset will prevent the system from starting up.
そこで、本開示は、ＷＤＴとセキュアブート技術とを組合せるケースで、システムの正常な起動を担保する仕組みを提供することを目的とする。 Therefore, the purpose of this disclosure is to provide a mechanism for ensuring normal system startup when WDT and secure boot technology are combined.
ある観点によれば、プログラムの正当性を検証する検証手段と、タイマに基づく所定の期間にわたって外部からのアクセスが無い場合に、システムリセット信号を発行するリセット制御手段と、前記検証手段により正当であると判定された前記プログラムを実行する実行手段であって、前記プログラムの起動後に前記リセット制御手段へアクセス可能となる当該実行手段と、を備え、前記検証手段は、前記実行手段が前記リセット制御手段へアクセス可能となる前に、前記リセット制御手段へ、前記タイマの値をクリアするためのクリア信号を出力する、情報処理装置が提供される。 According to one aspect, there is provided an information processing device comprising: a verification means for verifying the validity of a program; a reset control means for issuing a system reset signal when there is no external access for a predetermined period based on a timer ; and an execution means for executing the program determined to be valid by the verification means, the execution means becoming accessible to the reset control means after the program is started, wherein the verification means outputs a clear signal to the reset control means for clearing the value of the timer before the execution means becomes accessible to the reset control means.
本開示によれば、ＷＤＴとセキュアブート技術とを組合せるケースで、システムの正常な起動を担保することができる。 According to this disclosure, when WDT and secure boot technology are combined, it is possible to ensure that the system boots normally.
以下、添付図面を参照して実施形態を詳しく説明する。なお、以下の実施形態は特許請求の範囲に係る発明を限定するものでない。実施形態には複数の特徴が記載されているが、これらの複数の特徴の全てが発明に必須のものとは限らず、また、複数の特徴は任意に組み合わせられてもよい。さらに、添付図面においては、同一の又は同様の構成に同一の参照番号を付し、重複した説明は省略される。 The following embodiments are described in detail with reference to the attached drawings. Note that the following embodiments do not limit the invention according to the claims. Although the embodiments describe multiple features, not all of these multiple features are necessarily essential to the invention, and multiple features may be combined in any manner. Furthermore, in the attached drawings, the same reference numbers are used for the same or similar configurations, and duplicate explanations are omitted.
＜＜１．装置の構成例＞＞
＜１－１．全体的な構成＞
本節では、本開示に係る技術がＭＦＰに適用される例を説明する。しかしながら、本開示に係る技術は、ＭＦＰに限定されず、例えばプリンタ、スキャナ、ファクシミリ、ＰＣ（Personal Computer）、タブレットデバイス及びスマートフォンといった、いかなる種類の情報処理装置に適用されてもよい。特に説明の無い限り、以下に説明する装置、デバイス、モジュール及びチップといった構成要素の各々は、単一のエンティティで構成されてもよく、又は物理的に異なる複数のエンティティから構成されてもよい。
<<1. Example of device configuration>>
<1-1. Overall structure>
In this section, an example in which the technology according to the present disclosure is applied to an MFP will be described. However, the technology according to the present disclosure is not limited to an MFP, and may be applied to any type of information processing device, such as a printer, a scanner, a facsimile, a PC (Personal Computer), a tablet device, and a smartphone. Unless otherwise specified, each of the components such as an apparatus, a device, a module, and a chip described below may be composed of a single entity, or may be composed of multiple physically different entities.
図１は、一実施形態に係る複合機１の概略的な構成の一例を示すブロック図である。図１を参照すると、複合機１は、メインＣＰＵ１０１、ＤＲＡＭ１０２、操作Ｉ／Ｆ１０３、ネットワークＩ／Ｆ１０４、プリンタ１０５、スキャナ１０６、ＦＡＸ１０７、ＨＤＤ１０８、及び画像処理部１０９を備える。複合機１のこれら構成要素は、信号バス１１０を介して相互に接続される。操作Ｉ／Ｆ１０３は、操作部１１１へ接続される。ネットワークＩ／Ｆ１０４は、ネットワークＩ／Ｆ用フラッシュＲＯＭ１１２へ接続される。
FIG. 1 is a block diagram showing an example of a schematic configuration of a
メインＣＰＵ（Central Processing Unit)１０１は、複合機１の機能の全般を制御するプロセッサである。ＤＲＡＭ（Dynamic Random Access Memory）１０２は、メインＣＰＵ１０１のための主記憶デバイスであり、メインＣＰＵ１０１により実行されるプログラム及び関連するデータを一時的に記憶する。操作インタフェース（Ｉ／Ｆ）１０３は、操作部１１１を信号バス１１０へ接続するためのインタフェースである。操作部１１１は、ユーザによる複合機１の操作のためのユーザインタフェースを提供するユニットである。操作部１１１は、例えば、ボタンの押下又はタッチパネルへのタッチといったユーザ操作を受け付けると、対応する操作信号を操作Ｉ／Ｆ１０３を介してメインＣＰＵ１０１へ送信する。また、操作部１１１は、例えば、操作のための情報をディスプレイ（図示せず）の画面上に表示させる。ネットワークＩ／Ｆ１０４は、複合機１による外部の装置との間の通信のためのインタフェースである。ネットワークＩ／Ｆ１０４は、例えばＬＡＮ（Local Area Network）インタフェースであってもよい。ネットワークＩ／Ｆ用フラッシュＲＯＭ（Read Only Memory）１１２は、ネットワークＩ／Ｆ１０４の動作のためのファームウェアを記憶する不揮発性メモリである。プリンタ１０５は、画像データにより表現される画像をシートへ印刷するユニットである。スキャナ１０６は、原稿の画像を光学的に読み取り、光信号を電気信号へ変換して、スキャン画像データを生成するユニットである。ファクシミリ（ＦＡＸ）１０７は、公衆回線へ接続され、外部のファクシミリ装置との間でファクシミリ通信を行うユニットである。ＨＤＤ（Hard Disk Drive）１０８は、いわゆる二次記憶デバイスである。ＨＤＤ１０８は、複合機１の様々な機能により利用されるデータと、メインＣＰＵ１０１により実行されるプログラムのうち正当性の検証を要しないプログラムとを記憶する。ＨＤＤ１０８は、プリントジョブ及びスキャンジョブをスプールするためのスプール領域、並びにスキャン画像データを再利用に向けて保存するための保存領域として利用されてもよい。画像処理部１０９は、ネットワークＩ／Ｆ１０４を介して受信されるプリントジョブの画像データを、プリンタ１０５による印刷に適した画像データへ変換する処理モジュールである。画像処理部１０９は、さらに、スキャナ１０６により読み取られたスキャン画像データについて、ノイズ除去、色空間の変換、回転及びデータ圧縮といった画像処理を実行し得る。さらに、画像処理部１０９は、ＨＤＤ１０８に記憶される画像データについて任意の種類の画像処理を実行してよい。
The main CPU (Central Processing Unit) 101 is a processor that controls the overall functions of the
図１を参照すると、複合機１は、さらに、フラッシュＲＯＭ１２１、サブＣＰＵ１２２及び電源制御部１３０を含む。メインＣＰＵ１０１、フラッシュＲＯＭ１２１及びサブＣＰＵ１２２は、ＳＰＩ（Serial Peripheral Interface）バス１２０を介して相互に接続される。
Referring to FIG. 1, the
フラッシュＲＯＭ１２１は、メインＣＰＵ１０１により実行される１つ以上のプログラムと、複合機１の基本的な設定のための既定の設定値とを記憶する記憶デバイスである。フラッシュＲＯＭ１２１に記憶されるプログラムは、例えば、メインＣＰＵ１０１の起動時に実行されるＢＩＯＳプログラムを含む。メインＣＰＵ１０１により実行されるいくつかのプログラム（例えば、オペレーティングシステム（ＯＳ）及び様々なアプリケーションのためのプログラム）は、フラッシュＲＯＭ１２１とは異なる記憶デバイス（例えば、上述したＨＤＤ１０８）に記憶され得る。
The
サブＣＰＵ１２２は、フラッシュＲＯＭ１２１に記憶されているプログラムの正当性をメインＣＰＵ１０１による実行の前に検証する補助的なプロセッサである。プログラムが正当な開発者の意図に反して変化している場合には、検証の結果として、プログラムは正当ではないと判定され得る。一方で、そうした変化が無い場合には、プログラムは正当であると判定され得る。例えば、ＭＦＰ１に不正にアクセスした第三者がプログラムを改竄した場合に、プログラムは正当性を失う。また、装置の経年劣化に起因してプログラムデータのビットが書き換わった場合にも、プログラムは正当性を失う。サブＣＰＵ１２２による正当性検証の手法について、後にさらに説明する。サブＣＰＵ１２２は、検証の結果としてプログラムが正当であると判定すると、後述する電源制御部１３０のリセット制御部１３１へ、検証の完了を通知する。
The
電源制御部１３０は、ＭＦＰ１を構成するモジュールへの電力の供給を制御するユニットである。図中では、外部の商用ＡＣ電源からの電力の供給が太線の矢印で示されており、ＭＦＰ１内の各モジュールへの電力の供給が破線の矢印で簡略的に示されている。電源制御部１３０は、信号バス１１０にも接続され、メインＣＰＵ１０１で動作するプログラムから電源制御部１３０の制御レジスタへのアクセスが可能とされる。
The power
電源制御部１３０は、さらに、メインＣＰＵ１０１及びサブＣＰＵ１２２のリセットを制御するリセット制御部１３１を含む。本実施形態において、リセット制御部１３１は、少なくともリセット回路１３２及びウォッチドッグタイマ（ＷＤＴ）１３３を含み、所定の期間外部からのアクセスが無い場合に、システムリセット信号を発行する。リセット回路１３２は、リセット信号線１３４及び１つ以上の追加的な制御信号線１３５を介してサブＣＰＵ１２２へ接続され、リセット信号線１３６を介してメインＣＰＵ１０１へ接続される。
The power
リセット信号線１３４は、リセット回路１３２からサブＣＰＵ１２２へ出力されるリセット制御信号を搬送する。リセット信号線１３６は、リセット回路１３２からメインＣＰＵ１０１へ出力されるリセット制御信号を搬送する。一例として、リセット制御信号は、“Ｌｏ”又は“Ｈｉ”という２通りの信号レベルを有する（例えば、“Ｌｏ”はゼロに相当する電気信号レベル、“Ｈｉ”は１に相当する電気信号レベルであり得る）。リセット制御信号の“Ｌｏ”レベルは信号の出力先のＣＰＵがリセット（無効化）されるべきことを、“Ｈｉ”レベルは当該ＣＰＵが通常の動作を行うべきことを意味する。
The
リセット回路１３２は、例えば、ＭＦＰ１の電源が投入されると、サブＣＰＵ１２２へ出力されるリセット制御信号の信号レベルを“Ｌｏ”から“Ｈｉ”へ切替える。サブＣＰＵ１２２は、この切替えをリセット解除の指示であると解釈する。サブＣＰＵ１２２は、リセット解除の指示に応じて動作を開始し、メインＣＰＵ１０１により実行されるべきプログラムの正当性を検証する。この間、リセット回路１３２は、メインＣＰＵ１０１へ出力されるリセット制御信号の信号レベルを“Ｌｏ”に維持する。リセット回路１３２は、サブＣＰＵ１２２によるプログラムの検証が完了すると、メインＣＰＵ１０１へ出力されるリセット制御信号の信号レベルを“Ｌｏ”から“Ｈｉ”へ切替える。メインＣＰＵ１０１は、この切替えをリセット解除の指示であると解釈する。メインＣＰＵ１０１は、リセット解除の指示に応じて動作を開始し、サブＣＰＵ１２２により正当であると判定されたプログラムを実行する。
For example, when the power of the MFP1 is turned on, the
ＷＤＴ１３３は、ＭＦＰ１が稼働している間、継続的に時間をカウントする（即ち、計時を行う）。ＷＤＴ１３３は、予め設定されるタイムアウト閾値にカウンタ値が達すると、リセット回路１３２にシステムリセットを指示する。リセット回路１３２は、システムリセットの指示に応じて、サブＣＰＵ１２２及びメインＣＰＵ１０１へ、信号レベルを“Ｌｏ”へ設定したリセット制御信号を出力する。それにより、サブＣＰＵ１２２及びメインＣＰＵ１０１がリセットされる。サブＣＰＵ１２２及びメインＣＰＵ１０１のリセット状態（無効化状態）は予め設定される期間維持され、その後にサブＣＰＵ１２２のリセット状態が解除される。こうしたシステムリセットをトリガするリセット制御信号を、本明細書では、システムリセット信号ともいう。リセット回路１３２は、ＭＦＰ１を構成する他のモジュールにも、それぞれのモジュールをリセットさせるためのリセット制御信号を出力してもよい。
The
メインＣＰＵ１０１は、サブＣＰＵ１２２により検証された正当なプログラムの起動後に、ＷＤＴ１３３へアクセス可能となる。例えば、メインＣＰＵ１０１は、正当なプログラムを実行することにより動作している間、周期的にリセット制御部１３１へクリア信号１３７を出力して、ＷＤＴ１３３のカウンタ値をクリアさせる。クリア信号１３７の出力周期は、上述したシステムリセットの判定のためのタイムアウト閾値よりも短い。それにより、メインＣＰＵ１０１が正常に動作している間、システムリセットの実行が抑制される。メインＣＰＵ１０１に異常が発生すると、このクリア信号１３７がリセット制御部１３１へ出力されなくなる結果、リセット制御部１３１がタイムアウトに応じてシステムリセットをトリガする。言い換えると、リセット制御部１３１は、メインＣＰＵ１０１が所定の期間にわたり動作していない場合に、ＷＤＴ１３３による計時に基づいて、サブＣＰＵ１２２及びメインＣＰＵ１０１をリセットする。クリア信号１３７は、例えば、リセット制御部１３１の所定の制御レジスタへの書込みを行う書込み信号であってもよく、又はパルスによってカウンタ値がクリアされるべきことを示すパルス信号であってもよい。ＷＤＴ１３３は、クリア信号１３７の入力に応じて（例えば、所定の制御レジスタへの書込みを検知することに応じて）、カウンタ値をゼロへクリアして、再度ゼロからの計時を行う。
After the start of a legitimate program verified by the
＜１－２．基本的な原理＞
上述したように、本実施形態では、サブＣＰＵ１２２がＭＦＰ１の主要なプログラムの正当性を検証することで、プログラムの改竄及び劣化といったリスクからＭＦＰ１が保護される。加えて、ＭＦＰ１は、ＷＤＴ１３３を有することで、システムに異常が発生した際にシステムリセットを実行して、自動的に正常な状態に復帰し得る。しかしながら、サブＣＰＵ１２２によるプログラムの検証が完了するまで、メインＣＰＵ１０１は、動作を開始せず、クリア信号１３７をリセット制御部１３１へ出力しない。そのため、サブＣＰＵ１２２によるプログラムの検証に長時間を要した場合に、最終的にシステムが正常に起動できる状況にも関わらず、ＷＤＴ１３３においてカウンタ値がタイムアウト閾値に達し、システムリセットが実行される可能性がある。この場合、プログラムの正当性検証はシステムリセット後に最初からやり直しとなるため、システムの起動が長期化する。そればかりか、再度の検証の途中でさらにシステムリセットが行われて、ＭＦＰ１がいつまでも起動できない事態に陥りかねない。また、サブＣＰＵ１２２が検証失敗時にプログラムの復旧用バージョンを用いて復旧を行う機能を有する場合、復旧用バージョンのフラッシュＲＯＭ１２１への書込みが途中で停止する結果として復旧用バージョンのコピーが破損するリスクもある。
<1-2. Basic principles>
As described above, in this embodiment, the
上述した不具合を回避を解消するために、一例として、サブＣＰＵ１２２によるプログラムの正当性の検証が完了するまでＷＤＴ１３３による計時を停止する手法が考えられる。しかし、そうした手法では、何らかの原因でサブＣＰＵ１２２に異常が発生した場合に、システムリセットが実行されず、ＭＦＰ１の正常な状態への復帰が妨げられる。他の例として、ＷＤＴ１３３のタイムアウト閾値を、プログラムの正当性検証（及び検証失敗時のプログラムの復旧）の処理時間を包含する程度に十分に大きい値に設定する手法も考えられる。しかし、画一的にタイムアウト閾値を引き延ばせば、メインＣＰＵ１０１の異常発生時のリセットが遅延してしまう。また、サブＣＰＵ１２２向けとメインＣＰＵ１０１向けとで別々のタイムアウト閾値を保持しようとすると、タイマの回路規模が増大し、発生の稀な事象への備えとしては装置のコストが割高となる。
To avoid or resolve the above-mentioned problem, one possible method is to stop the timekeeping by the
そこで、本実施形態では、サブＣＰＵ１２２が、メインＣＰＵ１０１がＷＤＴ１３３へアクセス可能となる前に、ＷＤＴ１３３へアクセスするものとする。より具体的には、サブＣＰＵ１２２は、例えば（メインＣＰＵ１０１により実行されるべき）プログラムの検証が成功裏に完了する前に、リセット制御部１３１へクリア信号１４０を出力して、ＷＤＴ１３３のカウンタ値をクリアさせる。クリア信号１４０の出力は周期的に行われてよく、その出力周期は上述したシステムリセットの判定のためのタイムアウト閾値よりも短い。クリア信号１４０は、例えば、一定の周期を持つパルス信号、所定の制御レジスタへの書込みを行う書込み信号、又は所定の制御コマンドを表すコマンド信号であってもよい。サブＣＰＵ１２２は、内部に有するカウンタ又はタイマを用いて、クリア信号１４０のパルスの送出を、上記タイムアウト閾値よりも短い出力周期に同期させ得る。こうした構成により、メインＣＰＵ１０１が動作を開始する前の、サブＣＰＵ１２２によるプログラムの正当性検証（及び、復旧）の最中の意図しないシステムリセットの実行を抑制することができる。次節より、ここで説明した原理を実現するための各部の構成について、詳細に説明する。
Therefore, in this embodiment, the sub-CPU 122 accesses the
＜＜２．各部の詳細＞＞
＜２－１．メインＣＰＵの構成例＞
図２は、本実施形態に係るメインＣＰＵ１０１の具体的な構成の一例を示すブロック図である。メインＣＰＵ１０１は、ＣＰＵコア２０１、ＳＰＩ Ｉ／Ｆ２０２、バスＩ／Ｆ２０３、リセット端子２０４、及び信号バス２０９を含む。
<<2. Details of each part>>
<2-1. Example of main CPU configuration>
2 is a block diagram showing an example of a specific configuration of the
ＣＰＵコア２０１は、メインＣＰＵ１０１の機能を遂行するための演算を実行するプロセッサコアである。ＳＰＩ Ｉ／Ｆ２０２は、ＳＰＩバス１２０を介するメインＣＰＵ１０１と他のＳＰＩデバイスとの間の通信のためのインタフェース（ＳＰＩマスタともいう）である。バスＩ／Ｆ２０３は、信号バス１１０を介するメインＣＰＵ１０１と他のモジュールとの間の通信のためのインタフェースである。リセット端子２０４は、リセット回路１３２からリセット信号線１３６を介して入力されるリセット制御信号を受け付ける端子である。信号バス２０９は、ＣＰＵコア２０１、ＳＰＩ Ｉ／Ｆ２０２、及びバスＩ／Ｆ２０３を相互に接続する。
The
本実施形態において、ＭＦＰ１の電源が投入された直後に、リセット端子２０４が受け付けるリセット制御信号のレベルは“Ｌｏ”であり、メインＣＰＵ１０１はリセット状態（無効化状態）に維持される。その間、サブＣＰＵ１２２によりプログラムの正当性の検証が行われる。サブＣＰＵ１２２によりプログラムが正当であると判定された場合、リセット制御信号のレベルが“Ｈｉ”へ切替わり、ＣＰＵコア２０１は動作を開始する。その動作の冒頭において、ＣＰＵコア２０１は、フラッシュＲＯＭ１２１の所定のアドレスに記憶されている（サブＣＰＵ１２２により正当であると判定された）プログラムをＳＰＩバス１２０を介してＤＲＡＭ１０２へ読出し、読出したプログラムを実行する。本実施形態において、メインＣＰＵ１０１により実行されるプログラムは、少なくともＭＦＰ１のＢＩＯＳプログラムを含み得る。例えば、メインＣＰＵ１０１は、ＢＩＯＳプログラムを実行してメインＣＰＵ１０１の入出力機能を初期化した後、さらにＯＳ、各モジュールのドライバ及びその他のアプリケーションといったプログラムを実行してＭＦＰ１の通常の動作を開始する。メインＣＰＵ１０１は、その動作中に、上述したタイムアウト閾値よりも短い出力周期で、信号バス１１０を介してクリア信号１３７をリセット制御部１３１へ出力して、ＷＤＴ１３３のカウンタ値をクリアさせる。それにより、ＭＦＰ１が正常に動作している間のシステムリセットが抑制される。
In this embodiment, immediately after the power supply of the MFP1 is turned on, the level of the reset control signal received by the
＜２－２．サブＣＰＵの構成例＞
図３は、本実施形態に係るサブＣＰＵ１２２の具体的な構成の一例を示すブロック図である。サブＣＰＵ１２２は、ＣＰＵコア３０１、ＳＰＩ Ｉ／Ｆ３０２、汎用入出力端子３０３、ＯＴＰ３０４、ＳＲＡＭ３０５、リセット端子３０６、暗号処理部３０８、信号バス３０９、ブートＲＯＭ３１０、暗号ＲＡＭ３１１及びタイマ回路３１２を含む。
<2-2. Example of sub-CPU configuration>
3 is a block diagram showing an example of a specific configuration of the sub-CPU 122 according to the present embodiment. The
ＣＰＵコア３０１は、サブＣＰＵ１２２の機能を遂行するための演算を実行するプロセッサコアである。ＳＰＩ Ｉ／Ｆ３０２は、ＳＰＩバス１２０を介するサブＣＰＵ１２２と他のＳＰＩデバイスとの間の通信のためのインタフェース（ＳＰＩマスタともいう）である。汎用入出力端子（ＧＰＩＯ）３０３は、サブＣＰＵ１２２によるリセット制御部１３１との通信に利用される制御信号線１３５が接続される端子である。図３の例では、２つの制御信号線１３５ａ、１３６ｂが示されている。例えば、第１制御信号線１３５ａは、プログラムの検証が成功裏に完了した場合にサブＣＰＵ１２２からリセット制御部１３１へ出力される検証完了通知信号を搬送する。第２制御信号線１３５ｂは、上述したクリア信号１４０を搬送する。なお、これら信号は、単一の共通的な信号線で搬送されてもよい。ＯＴＰ（One Time Programmable）３０４は、製造時に一度だけ書込みが可能であって、書換えが不能なメモリ領域である。本実施形態では、サブＣＰＵ１２２のファームウェアのハッシュ値を公開鍵暗号方式の秘密鍵で暗号化した暗号化済みハッシュ値（即ち、署名）及び後述するＴａｇのアドレスが、予めＯＴＰ３０４に書込まれ得る。ＳＲＡＭ３０５は、サブＣＰＵ１２２のいわゆるキャッシュメモリであり、ＣＰＵコア３０１により演算用のワークメモリとして使用され得る。リセット端子３０６は、リセット回路１３２からリセット信号線１３４を介して入力されるリセット制御信号を受け付ける端子である。暗号処理部３０８は、サブＣＰＵ１２２による署名検証を支援する、暗号関連処理に専用のプロセッサである。例えば、暗号処理部３０８は、サブＣＰＵ１２２のファームウェア及びメインＣＰＵ１０１のプログラムの署名を復号することにより、それぞれの正当なハッシュ値を復元する。暗号処理部３０８は、プログラムデータからハッシュ値を導出するためのハッシュ計算を行ってもよい。信号バス３０９は、ＣＰＵコア３０１、ＳＰＩ Ｉ／Ｆ３０２、ＧＰＩＯ３０３、ＯＴＰ３０４、ＳＲＡＭ３０５、暗号処理部３０８、ブートＲＯＭ３１０、暗号ＲＡＭ３１１及びタイマ回路３１２を相互に接続する。ブートＲＯＭ３１０は、サブＣＰＵ１２２のブートプログラム（ブートコードともいう）を予め記憶する記憶デバイスである。暗号ＲＡＭ３１１は、暗号処理部３０８により処理される高い機密性の求められるデータを一時的に記憶する、暗号関連処理に専用のメモリである。タイマ回路３１２は、サブＣＰＵ１２２が稼働している間に計時を行う回路である。
The
本実施形態において、ＭＦＰ１の電源が投入されると、リセット端子３０６が受け付けるリセット制御信号のレベルは“Ｌｏ”から“Ｈｉ”へ切替わり、ＣＰＵコア３０１は動作を開始する。その動作の冒頭において、ＣＰＵコア３０１は、ブートＲＯＭ３１０から自身のブートプログラムをＳＲＡＭ３０５へ読出し、読出したブートプログラムを実行する。ＣＰＵコア３０１は、さらに、正当性検証の対象の１つ以上のプログラムをフラッシュＲＯＭ１２１から読出し、読出したプログラムの正当性を検証する。本実施形態において、正当性検証の対象のプログラムは、少なくともＭＦＰ１のＢＩＯＳプログラムを含む。さらに、正当性検証の対象のプログラムは、サブＣＰＵ１２２の動作のためのファームウェアを含んでもよい。
In this embodiment, when the power of the MFP1 is turned on, the level of the reset control signal received by the
図４は、本実施形態に係るフラッシュＲＯＭ１２１のメモリマップの一例を示す説明図である。図４に示したように、フラッシュＲＯＭ１２１は、メインＣＰＵプログラム４０１、署名４０２、Ｔａｇ４０３、サブＣＰＵファームウェア４０４、署名４０５及びＲＯＭ－ＩＤ４０６を予め記憶する。メインＣＰＵプログラム４０１は、例えば、メインＣＰＵ１０１のブートの際に実行されるＢＩＯＳプログラムである。署名４０２は、メインＣＰＵプログラム４０１の正当性検証用の署名（例えば、ＲＳＡ署名）である。署名４０２は、（正当な）メインＣＰＵプログラム４０１のハッシュ値を暗号化することにより予め導出され、フラッシュＲＯＭ１２１に記憶され得る。Ｔａｇ４０３は、サブＣＰＵファームウェア４０４が記憶されている記憶領域の先頭のアドレスを示すデータである。Ｔａｇ４０３のアドレスは、上述したようにＯＴＰ３０４に記憶される。サブＣＰＵファームウェア４０４は、ＣＰＵコア３０１により実行されるプログラムコードを含むファームウェアである。署名４０５は、サブＣＰＵファームウェア４０４の正当性検証用の署名（例えば、ＥＣＤＳＡ署名）である。署名４０５は、（正当な）サブＣＰＵファームウェア４０４の全体又は先頭の特定部分に基づいて予め導出され、フラッシュＲＯＭ１２１に記憶され得る。ＲＯＭ－ＩＤ４０６は、メインＣＰＵプログラム４０１が記憶されている記憶領域の先頭のアドレス、その記憶領域のサイズ及び署名４０２のアドレスを含むデータである。
Figure 4 is an explanatory diagram showing an example of a memory map of the
図４には、メインＣＰＵのためのプログラム及び署名のセットが１つだけフラッシュＲＯＭ１２１に記憶される例が示されている。しかしながら、フラッシュＲＯＭ１２１は、かかる例に限定されず、メインＣＰＵのためのプログラム及び署名の複数のセットを記憶してもよい。同様に、図４には、サブＣＰＵのためのファームウェア及び署名のセットが１つだけフラッシュＲＯＭ１２１に記憶される例が示されている。しかしながら、フラッシュＲＯＭ１２１は、かかる例に限定されず、サブＣＰＵのためのファームウェア及び署名の複数のセットを記憶してもよい。また、ここでは一例として、署名４０２がＲＳＡ署名、署名４０５がＥＣＤＳＡ署名である例を説明したが、各署名は、ＲＳＡ署名、ＤＳＡ署名又はＥＣＤＳＡ署名といった、いかなる種類のデジタル署名方式に基づいていてもよい。
FIG. 4 shows an example in which only one set of programs and signatures for the main CPU is stored in the
本実施形態において、サブＣＰＵ１２２のＣＰＵコア３０１は、プログラムの正当性を検証している間、上述したタイムアウト閾値よりも短い出力周期で、ＧＰＩＯ３０３を介してクリア信号１４０をリセット制御部１３１へ出力する。クリア信号１４０の出力周期は、例えばタイマ回路３１２による計時に従って制御され得る。それにより、システムリセットが抑制される。タイマ回路３１２は、フリーランタイマのように、停止することなく周期的にゼロから（クリア信号の出力周期に相当する）上限値までをカウントしてもよい。代替的に、タイマ回路３１２は、カウンタ値が上限値に達するとカウントを停止し、クリア信号１４０の出力後にカウントを再開してもよい。なお、タイマ回路３１２の代わりに、ＣＰＵコア３０１上で動作するソフトウェアタイマが利用されてもよい。
In this embodiment, while the
図４を用いて説明したようなデジタル署名方式に基づいて、検証対象の全てのプログラムが正当であると判定されると、ＣＰＵコア３０１は、クリア信号１４０の周期的な出力を停止する。同時に、ＣＰＵコア３０１は、ＧＰＩＯ３０３を介して検証完了通知信号をリセット制御部１３１へ出力する。それに応じて、上述したように、メインＣＰＵ１０１のリセットが解除され得る。
When it is determined that all programs to be verified are valid based on the digital signature method as described with reference to FIG. 4, the
＜２－３．リセット制御部の構成例＞
図５は、本実施形態に係るリセット制御部１３１の具体的な構成の一例を示すブロック図である。リセット制御部１３１は、リセット回路１３２、タイマ制御部５０１、タイマ回路５０２及びバスＩ／Ｆ５０３を含む。タイマ制御部５０１及びタイマ回路５０２は、図１に示したＷＤＴ１３３を構成する。
<2-3. Example of the configuration of the reset control unit>
5 is a block diagram showing an example of a specific configuration of the
タイマ制御部５０１は、タイマ回路５０２による計時に基づくタイムアウトの判定、及びタイマ回路５０２のカウンタ値のクリアを行うコントローラである。タイマ回路５０２は、時間の経過に沿ってカウンタ値をインクリメントする回路である。バスＩ／Ｆ５０３は、信号バス１１０を介するリセット制御部１３１と他のモジュールとの間の通信のためのインタフェースである。
The
タイマ回路５０２は、リセット制御部１３１への給電の開始又はリセット解除に応じて、カウンタ値をゼロへ初期化し、計時を開始する。タイマ制御部５０１は、タイマ回路５０２のカウンタ値を監視し、カウンタ値が予め設定されるタイムアウト閾値に達した場合に、タイムアウトが発生したと判定する。タイムアウトが発生したと判定すると、タイマ制御部５０１は、システムリセットを指示するためのタイムアウト信号をリセット回路１３２へ出力する。タイマ制御部５０１は、タイムアウト信号を出力した後、タイマ回路５０２のカウンタ値をゼロへクリアし、タイマ回路５０２に計時を再開させる。
The
また、タイマ制御部５０１は、メインＣＰＵ１０１又はサブＣＰＵ１２２からクリア信号が入力されると、タイマ回路５０２のカウンタ値をゼロへクリアする。各クリア信号は、上述したように、パルス信号のパルス、又は所定の制御アドレスへの制御値の書込みなど、いかなる手法で実現されてもよい。本実施形態では、サブＣＰＵ１２２によりプログラムの正当性が検証されている間、サブＣＰＵ１２２からタイマ制御部５０１へクリア信号１４０が周期的に入力され得る。サブＣＰＵ１２２によりプログラムが正当であると判定されると、リセット回路１３２が、検証完了通知信号の入力に応じて、メインＣＰＵ１０１のリセットを解除する。その後、サブＣＰＵ１２２からのクリア信号１４０の入力は停止し、代わりにメインＣＰＵ１０１からタイマ制御部５０１へクリア信号１３７が周期的に入力され得る。これらクリア信号が上述したタイムアウト閾値により表される期間にわたって入力されない場合には、カウンタ値は、クリアされることなくタイムアウト閾値に達する。すると、タイマ制御部５０１は、システムに何らかの異常が生じたものと見なし、タイムアウト信号をリセット回路１３２へ出力する。タイマ制御部５０１は、検証完了通知信号の入力をトリガとして、メインＣＰＵ１０１からの第２クリア信号の監視（例えば、所定の制御レジスタが示す値の監視）を開始してもよい。
In addition, when a clear signal is input from the
＜＜３．処理の流れ＞＞
＜３－１．システム起動時の処理＞
図６は、本実施形態に係るＭＦＰ１のシステム起動時の処理の概略的な流れの一例を示すシーケンス図である。図６に示した処理には、ＭＦＰ１を操作するユーザに加えて、ＭＦＰ１の電源制御部１３０、ＷＤＴ１３３、リセット回路１３２、サブＣＰＵ１２２及びメインＣＰＵ１０１が関与する。なお、以下の説明では、処理ステップをＳ（ステップ）と略記する。
<<3. Processing flow>>
<3-1. Processing at system startup>
Fig. 6 is a sequence diagram showing an example of a schematic flow of processing at system startup of the
まず、Ｓ６０１で、電源制御部１３０は、ＭＦＰ１を起動するためのユーザ操作を操作部１１１を介して受け付ける。このユーザ操作に応じて、Ｓ６０２で、電源制御部１３０は、商用ＡＣ電源から供給される電力の各モジュールへの分配を開始する。リセット回路１３２は、サブＣＰＵ１２２及びメインＣＰＵ１０１へ、“Ｌｏ”レベルを示すリセット制御信号を出力する。
First, in S601, the power
Ｓ６０３で、ＷＤＴ１３３は、給電の開始に応じて、タイマ回路５０２による計時を開始する。また、Ｓ６０４で、リセット回路１３２は、サブＣＰＵ１２２へ出力されるリセット制御信号の信号レベルを“Ｈｉ”へ切替えて、サブＣＰＵ１２２のリセットを解除する。
In S603, the
Ｓ６０５で、サブＣＰＵ１２２は、リセット解除に応じて、タイマ回路３１２による計時を開始する。並列的に、Ｓ６０６で、サブＣＰＵ１２２は、サブＣＰＵファームウェア４０４の正当性を検証する。ここでは、サブＣＰＵファームウェア４０４は正当であると判定されるものとする。次いで、Ｓ６１０で、サブＣＰＵ１２２は、メインＣＰＵプログラム４０１（例えば、ＢＩＯＳプログラム）の正当性を検証する。
In S605, the
サブＣＰＵ１２２がこのようにプログラムの正当性を検証している間、Ｓ６１１で、タイマ回路３１２のカウンタ値が第１クリア信号の出力周期を表す閾値に到達し得る。すると、Ｓ６１２で、サブＣＰＵ１２２は、第１クリア信号をＷＤＴ１３３へ出力する（タイマ回路３１２のカウンタ値はここでクリアされ得る）。Ｓ６１３で、ＷＤＴ１３３は、第１クリア信号の入力に応じて、タイマ回路５０２のカウンタ値をクリアした後に、タイマ回路５０２による計時を再開する。
While the
図６の例では、サブＣＰＵ１２２によるメインＣＰＵプログラム４０１の正当性の検証は、さらに続く。Ｓ６２１で、タイマ回路３１２のカウンタ値が第１クリア信号の出力周期を表す閾値に再び到達し得る。すると、Ｓ６２２で、サブＣＰＵ１２２は、第１クリア信号をＷＤＴ１３３へ出力する（タイマ回路３１２のカウンタ値はやはりここでクリアされ得る）。Ｓ６２３で、ＷＤＴ１３３は、第１クリア信号の入力に応じて、タイマ回路５０２のカウンタ値をクリアした後に、タイマ回路５０２による計時を再開する。
In the example of FIG. 6, the
ある時点で、サブＣＰＵ１２２によるメインＣＰＵプログラム４０１の正当性の検証は終了する。ここでは、メインＣＰＵプログラム４０１もまた正当であると判定されるものとする。すると、Ｓ６３１で、サブＣＰＵ１２２は、検証完了通知信号をリセット回路１３２へ出力する。そして、Ｓ６３２で、サブＣＰＵ１２２は、スリープ状態へ移行する。
At a certain point, the sub-CPU 122 finishes verifying the validity of the
Ｓ６３３で、リセット回路１３２は、検証完了通知信号のアサートに応じて、メインＣＰＵ１０１へ出力されるリセット制御信号の信号レベルを“Ｈｉ”へ切替えて、メインＣＰＵ１０１のリセットを解除する。
In S633, in response to assertion of the verification completion notification signal, the
Ｓ６４１で、メインＣＰＵ１０１は、リセット解除に応じて、フラッシュＲＯＭ１２１から読出されるメインＣＰＵプログラム４０１（例えば、ＢＩＯＳプログラム）を実行する。また、Ｓ６４２で、メインＣＰＵ１０１は、計時を開始する。ここでは、メインＣＰＵ１０１は、ソフトウェアタイマを利用するものとする。Ｓ６４３で、メインＣＰＵ１０１は、ＨＤＤ１０８から読出されるＯＳプログラムを実行することにより、ＯＳを起動する。図６には示していないものの、ＯＳの起動に応じて、各モジュールのドライバ及び他のアプリケーションもまた起動され得る。
In S641, the
メインＣＰＵ１０１がこのようにプログラムを実行している間、Ｓ６５１で、タイマのカウンタ値が第２クリア信号の出力周期を表す閾値に到達し得る。すると、Ｓ６５２で、メインＣＰＵ１０１は、第２クリア信号をＷＤＴ１３３へ出力する。Ｓ６５３で、ＷＤＴ１３３は、第２クリア信号の入力に応じて、タイマ回路５０２のカウンタ値をクリアした後に、タイマ回路５０２による計時を再開する。
While the
こうしたシーケンスにおいて、例えばＳ６３１までにサブＣＰＵ１２２に異常が発生し、第１クリア信号の周期的な出力が停止した場合、ＷＤＴ１３３のタイマ回路５０２は、カウンタ値がクリアされないためにタイムアウトし得る。また、Ｓ６４１の後にメインＣＰＵ１０１に異常が発生し、第２クリア信号の周期的な出力が停止した場合、ＷＤＴ１３３のタイマ回路５０２は、やはりカウンタ値がクリアされないためにタイムアウトし得る。一旦ＷＤＴ１３３においてタイムアウトが発生すると、ＷＤＴ１３３のタイマ制御部５０１は、リセット回路１３２へシステムリセットを指示し、リセット回路１３２は、それに応じてメインＣＰＵ１０１及びサブＣＰＵ１２２をリセットさせる。例えば、メインＣＰＵ１０１及びサブＣＰＵ１２２は、予め設定される期間にわたってリセット状態に維持され、その後、サブＣＰＵ１２２のリセットが解除されて、上述したＳ６０４以降の処理ステップが再実行される。
In such a sequence, for example, if an abnormality occurs in the sub-CPU 122 by S631 and the periodic output of the first clear signal stops, the
＜３－２．サブＣＰＵによる処理＞
図７は、本実施形態に係るサブＣＰＵ１２２により実行される処理の流れの一例を示すフローチャートである。
<3-2. Processing by sub-CPU>
FIG. 7 is a flowchart showing an example of the flow of processing executed by the sub-CPU 122 according to this embodiment.
まず、Ｓ７０１で、サブＣＰＵ１２２は、起動した直後にブートＲＯＭ３１０からブートプログラムを読出し、読出したブートプログラムを実行する。それにより、サブＣＰＵファームウェア４０４及び署名４０５が、ＳＰＩバス１２０を介してフラッシュＲＯＭ１２１からＳＲＡＭ３０５へ読出される。
First, in S701, the sub-CPU 122 reads the boot program from the
次いで、Ｓ７０２で、サブＣＰＵ１２２は、サブＣＰＵファームウェア４０４の正当性を検証する。例えば、暗号処理部３０８は、署名４０５をＯＴＰ３０４に予め記憶される公開鍵で復号して、正当なサブＣＰＵファームウェア４０４のハッシュ値を導出する。また、暗号処理部３０８は、サブＣＰＵファームウェア４０４のプログラムデータからハッシュ値を算出する。これらハッシュ値が互いに一致する場合には、サブＣＰＵファームウェア４０４は正当である（改竄されておらず、経年劣化により変化してもいない）と判定される。一方、ハッシュ値が一致しない場合には、サブＣＰＵファームウェア４０４は、開発者の意図に反して変化しているために、正当ではないと判定される。
Next, in S702, the
その後の処理は、Ｓ７０３で、サブＣＰＵファームウェア４０４の正当性検証の結果に依存して分岐する。サブＣＰＵファームウェア４０４が正当であると判定された場合、処理はＳ７０４へ進む。一方、サブＣＰＵファームウェア４０４が正当ではないと判定された場合、処理はＳ７０９へ進む。
Then, in S703, the process branches depending on the result of the verification of the validity of the
Ｓ７０４で、サブＣＰＵ１２２は、サブＣＰＵファームウェア４０４をＳＲＡＭ３０５へ読出して実行する。次いで、Ｓ７０５で、サブＣＰＵ１２２は、サブＣＰＵファームウェア４０４に従って動作し、ＲＯＭ－ＩＤ４０６から導出されるアドレスに基づいて、ＢＩＯＳプログラム４０１及び署名４０２をフラッシュＲＯＭ１２１からＳＲＡＭ３０５へ読出す。次いで、Ｓ７０６で、サブＣＰＵ１２２は、ＢＩＯＳプログラム４０１の正当性を検証する。例えば、暗号処理部３０８は、署名４０２を公開鍵で復号して、正当なＢＩＯＳプログラム４０１のハッシュ値を導出する。また、暗号処理部３０８は、ＢＩＯＳプログラム４０１のプログラムデータからハッシュ値を算出する。これらハッシュ値が互いに一致する場合には、ＢＩＯＳプログラム４０１は正当である（改竄されておらず、経年劣化により変化してもいない）と判定される。一方、ハッシュ値が一致しない場合には、ＢＩＯＳプログラム４０１は、開発者の意図に反して変化しているために、正当ではないと判定される。
At S704, the sub-CPU 122 reads the
その後の処理は、Ｓ７０７で、ＢＩＯＳプログラム４０１の正当性検証の結果に依存して分岐する。ＢＩＯＳプログラム４０１が正当であると判定された場合、処理はＳ７０８へ進む。Ｓ７０８で、サブＣＰＵ１２２は、ＧＰＩＯ３０３を制御して、検証完了通知信号をアサートすることにより、リセット制御部１３１へ検証の完了を通知する。そして、処理はＳ７０９へ進む。一方、ＢＩＯＳプログラム４０１が正当ではないと判定された場合、Ｓ７０８が実行されることなく、処理はＳ７０９へ進む。
The process thereafter branches depending on the result of the verification of the validity of the
上述したＳ７０２～Ｓ７０８を実行している間、サブＣＰＵ１２２は、リセット制御部１３１への周期的な第１クリア信号の出力を継続する。具体的には、まず、サブＣＰＵ１２２によりタイマ回路３１２が起動される。ＧＰＩＯ３０３のポートは初期化され、例えば検証完了通知信号の信号レベルは“Ｌｏ”に設定される。そして、タイマ回路３１２がカウンタ値をインクリメントすることにより、タイマが進行する。
While executing steps S702 to S708 described above, the
サブＣＰＵ１２２は、例えば、タイマ回路３１２からの割込みに応じて、第１クリア信号の出力周期が経過したかを判定する。第１クリア信号の出力周期が経過した場合、サブＣＰＵ１２２は、ＧＰＩＯ３０３を制御して第１クリア信号をリセット制御部１３１へ出力し、及び、タイマ回路３１２のカウンタ値をクリアする。
For example, in response to an interrupt from the
Ｓ７０９で、サブＣＰＵ１２２は、電力を節約するために、スリープ状態へ移行する。スリープ状態において、サブＣＰＵ１２２は、第１クリア信号を出力しない（又はアサートしない）。サブＣＰＵ１２２のスリープ状態は、ＭＦＰ１のシステムリセットが実行されるまで維持されてよい。但し、サブＣＰＵ１２２をプログラムの正当性の検証以外の用途に再利用するために、サブＣＰＵ１２２をスリープ状態へ移行させなくてもよく、又は一旦スリープ状態へ移行したサブＣＰＵ１２２が（例えば、割込み信号に応じて）通常状態へ戻ってもよい。
In S709, the sub-CPU 122 transitions to a sleep state to conserve power. In the sleep state, the
図７に示した例では、サブＣＰＵ１２２は、プログラムの正当性の検証に失敗した場合に、即座にＳ７０９でスリープ状態へ移行する。結果的に、リセット制御部１３１へクリア信号が入力されなくなり、ＷＤＴのタイムアウトが発生し、サブＣＰＵ１２２及びメインＣＰＵ１０１はリセットされる。こうした構成によれば、サブＣＰＵファームウェア４０４のプログラムコードを最小にすることができる。Ｓ７０８を経てＳ７０９でサブＣＰＵ１２２がスリープ状態へ移行した場合には、メインＣＰＵ１０１がリセット制御部１３１へ第２クリア信号を出力するため、メインＣＰＵ１０１に異常が発生しない限り、システムリセットは行われない。
In the example shown in FIG. 7, if the sub-CPU 122 fails to verify the validity of the program, it immediately transitions to a sleep state in S709. As a result, the clear signal is no longer input to the
＜３－３．メインＣＰＵによる処理＞
図８は、本実施形態に係るメインＣＰＵ１０１により実行される処理の流れの一例を示すフローチャートである。
<3-3. Processing by the main CPU>
FIG. 8 is a flowchart showing an example of the flow of processing executed by the
まず、Ｓ８０１で、メインＣＰＵ１０１は、リセット解除に応じて、ＢＩＯＳプログラムをフラッシュＲＯＭ１２１からＤＲＡＭ１０２へ読出す。次いで、Ｓ８０２で、メインＣＰＵ１０１は、読出したＢＩＯＳプログラムを実行する。それにより、メインＣＰＵ１０１の基本的な入出力機能が初期化される。
First, in S801, the
次いで、Ｓ８０３で、メインＣＰＵ１０１は、ＯＳを構成するプログラムをＨＤＤ１０８からＤＲＡＭ１０２へ読出す。次いで、Ｓ８０４で、メインＣＰＵ１０１は、読出したプログラムを実行することにより、ＭＦＰ１のＯＳを起動する。次いで、Ｓ８０５で、メインＣＰＵ１０１は、ＭＦＰ１のモジュール（例えば、操作Ｉ／Ｆ１０３、ネットワークＩ／Ｆ１０４、プリンタ１０５、スキャナ１０６、ＦＡＸ１０７及び画像処理部１０９）の各々を初期化して、ＭＦＰ１をセットアップする。その結果、Ｓ８０６で、ＭＦＰ１は、通常の動作を行うことが可能となる。ＭＦＰ１の動作は、例えばユーザ操作を通じてＭＦＰ１の動作終了が指示されるまで継続される（Ｓ８０７）。
Next, in S803, the
上述したＳ８０２～Ｓ８０６を実行している間、メインＣＰＵ１０１は、リセット制御部１３１への周期的な第２クリア信号の出力を継続する。具体的には、まず、メインＣＰＵ１０１によりソフトウェアタイマが起動される。ソフトウェアタイマは、内部変数であるカウンタ値をインクリメントすることにより進行する。メインＣＰＵ１０１は、第２クリア信号の出力周期が経過したと判定すると、第２クリア信号をリセット制御部１３１へ出力して、リセット制御部１３１の制御レジスタ（例えば、ＷＤＴクリアレジスタ）に所定の値（例えば、“１”）を書込む。同時に、メインＣＰＵ１０１は、ソフトウェアタイマのカウンタ値をクリアする。Ｓ８０８でＭＦＰ１の動作が終了する場合（又はメインＣＰＵ１０１に何らかの異常が発生した場合）、第２クリア信号の出力は停止する。
While executing the above-mentioned steps S802 to S806, the
＜３－４．ＷＤＴによる処理＞
図９は、本実施形態に係るＷＤＴ１３３により実行される処理の流れの一例を示すフローチャートである。
<3-4. WDT Processing>
FIG. 9 is a flowchart showing an example of the flow of processing executed by the
まず、Ｓ９０１で、ＷＤＴ１３３は、給電の開始に応じて、タイマ回路５０２を起動し、タイマ回路５０２による計時を開始させる。Ｓ９０２で、タイマは進行し、即ちタイマ回路５０２がカウンタ値をインクリメントする。ＷＤＴ１３３は、Ｓ９０３で、サブＣＰＵ１２２からの検証完了の通知を待ち受ける。
First, in S901, the
サブＣＰＵ１２２からの検証完了が通知されるまで、ＷＤＴ１３３は、Ｓ９０４で、サブＣＰＵ１２２からの第１クリア信号の入力を監視する。サブＣＰＵ１２２から第１クリア信号が入力された場合、ＷＤＴ１３３は、Ｓ９０５で、タイマ回路５０２のカウンタ値をクリアし、計時をゼロから再開させる。その後、処理はＳ９０２へ戻る。サブＣＰＵ１２２から第１クリア信号が入力されない場合、ＷＤＴ１３３は、Ｓ９０６で、タイマ回路５０２のカウンタ値がタイムアウト閾値に達したかを判定する。カウンタ値がタイムアウト閾値に達していない場合、処理はＳ９０２へ戻る。カウンタ値がタイムアウト閾値に達した場合、処理はＳ９２０へ進む。
Until the sub-CPU 122 notifies the
サブＣＰＵ１２２からの検証完了が通知されると、ＷＤＴ１３３は、Ｓ９１１で、メインＣＰＵ１０１によるクリア制御の監視を開始する。Ｓ９１２で、タイマは引き続き進行する。Ｓ９１３で、ＷＤＴ１３３は、メインＣＰＵ１０１からの第２クリア信号の入力（例えば、ＷＤＴクリアレジスタへの書込み）を監視する。メインＣＰＵ１０１から第２クリア信号が入力された場合、ＷＤＴ１３３は、Ｓ９１４で、タイマ回路５０２のカウンタ値をクリアし、計時をゼロから再開させる。その後、処理はＳ９１２へ戻る。メインＣＰＵ１０１から第２クリア信号が入力されない場合、ＷＤＴ１３３は、Ｓ９１５で、タイマ回路５０２のカウンタ値がタイムアウト閾値に達したかを判定する。カウンタ値がタイムアウト閾値に達していない場合、処理はＳ９１２へ戻る。カウンタ値がタイムアウト閾値に達した場合、処理はＳ９２０へ進む。
When the
Ｓ９２０で、ＷＤＴ１３３は、ＭＦＰ１（サブＣＰＵ１２２又はメインＣＰＵ１０１）に異常が発生したものと見なし、システムリセットをリセット回路１３２へ指示する。
At S920, the
＜３－５．リセット回路による処理＞
図１０は、本実施形態に係るリセット回路１３２により実行される処理の流れの一例を示すフローチャートである。
<3-5. Processing by the reset circuit>
FIG. 10 is a flowchart showing an example of the flow of processing executed by the
まず、Ｓ１００１で、リセット回路１３２は、給電の開始に応じて、サブＣＰＵ１２２のリセットを解除する。次いで、Ｓ１００２で、リセット回路１３２は、サブＣＰＵ１２２からの検証完了の通知を待ち受ける。サブＣＰＵ１２２から検証完了が通知されない場合、Ｓ１００３で、リセット回路１３２は、ＷＤＴ１３３からシステムリセットが指示されたかを判定する。システムリセットが指示された場合、処理はＳ１０２０へ進む。一方、システムリセットが指示されない場合、処理はＳ１００２へ戻る。
First, in S1001, the
サブＣＰＵ１２２から検証完了が通知された場合、Ｓ１０１１で、リセット回路１３２は、メインＣＰＵ１０１のリセットを解除する。次いで、Ｓ１０１２で、リセット回路１３２は、ＷＤＴ１３３からのシステムリセットの指示を待ち受ける。システムリセットが指示された場合、処理はＳ１０２０へ進む。
When the
Ｓ１０２０で、リセット回路１３２は、ＷＤＴ１３３からのシステムリセットが指示された（例えば、タイムアウト信号が入力された）ため、メインＣＰＵ１０１及びサブＣＰＵ１２２をリセットする（システムリセット信号を発行する）。
At S1020, the
図９及び図１０を用いて説明したようなリセット制御によれば、サブＣＰＵ１２２がプログラムの正当性を検証している間に、ＷＤＴのタイムアウトに起因して無用なシステムリセットが実行されることが防止される。また、正当性の検証が完了する前はサブＣＰＵ１２２が、検証完了後はメインＣＰＵ１０１がＷＤＴのカウンタ値を周期的にクリアすることで、ＷＤＴにおいてタイムアウト閾値を切替える必要性が無く、ＷＤＴの簡易な構成が維持される。
The reset control described using Figures 9 and 10 prevents unnecessary system resets from being performed due to a WDT timeout while the
＜＜４．変形例＞＞
本発明は上記実施形態に限定されず、様々な変形が可能である。例えば、上述した実施形態では、サブＣＰＵ１２２が第１クリア信号を周期的に出力し、ＷＤＴ１３３が第１クリア信号の入力の都度タイマ回路５０２のカウンタ値をクリアする例を説明した。これに対し、一変形例において、サブＣＰＵ１２２は第１クリア信号を一度だけ出力し、ＷＤＴ１３３が第１クリア信号の入力に応じてタイマ回路５０２による計時を停止してもよい。タイマ回路５０２による計時は、例えばプログラムの正当性の検証が成功した後に再開され得る。こうした変形例によれば、サブＣＰＵ１２２による周期的な信号出力を不要とし、サブＣＰＵファームウェア４０４のサイズを削減することができる。この変形例に係るＷＤＴ１３３により実行される処理の流れの一例を、図１１に示している。
<<4. Modifications>>
The present invention is not limited to the above embodiment, and various modifications are possible. For example, in the above embodiment, the
まず、Ｓ１１０１で、ＷＤＴ１３３は、給電の開始に応じて、タイマ回路５０２を起動し、タイマ回路５０２による計時を開始させる。Ｓ１１０２で、タイマは進行し、即ちタイマ回路５０２がカウンタ値をインクリメントする。ＷＤＴ１３３は、Ｓ１１０３で、サブＣＰＵ１２２からの検証完了の通知を待ち受ける。
First, in S1101, the
サブＣＰＵ１２２からの検証完了が通知されるまで、ＷＤＴ１３３は、Ｓ１１０４で、サブＣＰＵ１２２からの第１クリア信号の入力を監視する。サブＣＰＵ１２２から第１クリア信号が入力された場合、ＷＤＴ１３３は、Ｓ１１０５で、タイマ回路５０２のカウンタ値をクリアし、Ｓ１１０６で、計時を停止する。その後、ＷＤＴ１３３は、引き続きサブＣＰＵ１２２からの検証完了の通知を待ち受ける。
Until the sub-CPU 122 notifies the
サブＣＰＵ１２２から第１クリア信号が入力されない場合、ＷＤＴ１３３は、Ｓ１１０８で、タイマ回路５０２のカウンタ値がタイムアウト閾値に達したかを判定する。カウンタ値がタイムアウト閾値に達していない場合、処理はＳ１１０２へ戻る。カウンタ値がタイムアウト閾値に達した場合、処理はＳ１１２０へ進む。なお、Ｓ１１０８の判定は、Ｓ１１０６で計時が停止されている場合には行われなくてよい。
If the first clear signal is not input from the sub-CPU 122, the
サブＣＰＵ１２２からの検証完了が通知されると、ＷＤＴ１３３は、Ｓ１１１１で、メインＣＰＵ１０１によるクリア制御の監視を開始する。Ｓ１１０６で計時が停止されている場合には、ＷＤＴ１３３は、検証完了の通知に応じて計時を再開する。Ｓ１１１２で、タイマは進行する。Ｓ１１１３で、ＷＤＴ１３３は、メインＣＰＵ１０１からの第２クリア信号の入力（例えば、ＷＤＴクリアレジスタへの書込み）を監視する。メインＣＰＵ１０１から第２クリア信号が入力された場合、ＷＤＴ１３３は、Ｓ１１１４で、タイマ回路５０２のカウンタ値をクリアし、計時をゼロから再開させる。その後、処理はＳ１１１２へ戻る。メインＣＰＵ１０１から第２クリア信号が入力されない場合、ＷＤＴ１３３は、Ｓ１１１５で、タイマ回路５０２のカウンタ値がタイムアウト閾値に達したかを判定する。カウンタ値がタイムアウト閾値に達していない場合、処理はＳ１１１２へ戻る。カウンタ値がタイムアウト閾値に達した場合、処理はＳ１１２０へ進む。
When the
Ｓ１１２０で、ＷＤＴ１３３は、ＭＦＰ１（サブＣＰＵ１２２又はメインＣＰＵ１０１）に異常が発生したものと見なし、システムリセットをリセット回路１３２へ指示する。
At S1120, the
他の変形例において、サブＣＰＵ１２２は、正当性検証の対象のプログラムが正当ではないと判定した場合に、当該プログラムの復旧用バージョンを用いて、当該プログラムを復旧してもよい。こうしたプログラムの復旧用バージョンを、ゴールデンマスタともいう。ゴールデンマスタは、例えば、サブＣＰＵ１２２によりアクセス可能なＲＯＭの保護領域（書換え不能な領域）に予め記憶される。そして、サブＣＰＵ１２２は、プログラムの検証に失敗した場合に、スリープ状態へ移行する代わりに、ゴールデンマスタを検証に失敗したプログラムに上書きする。その後、システムリセットが行われることで、復旧したプログラムを用いてＭＦＰ１が正常に起動し得る。本変形例において、サブＣＰＵ１２２は、プログラムを復旧している間にも、周期的にリセット制御部１３１へ第１クリア信号を出力して、ＷＤＴのカウンタ値をクリアさせる。それにより、ゴールデンマスタを用いたプログラムの復旧の途中でシステムリセットが実行されることを回避し、システムリセットの無用な再実行及びプログラムの破損といった不具合を防止することができる。
In another modified example, when the sub-CPU 122 determines that the program to be verified is not valid, the sub-CPU 122 may use a recovery version of the program to recover the program. Such a recovery version of the program is also called a golden master. The golden master is stored in advance, for example, in a protected area (unrewritable area) of a ROM accessible by the
他の変形例において、リセット制御部１３１は、サブＣＰＵ１２２からの第１クリア信号の入力回数を計数し、当該入力回数が閾値を上回る場合に、第１クリア信号の入力に応じてＷＤＴのカウンタ値をクリアしなくてもよい。かかる構成によれば、サブＣＰＵ１２２において処理が無限ループに陥っているなどの原因で、第１クリア信号は出力されるものの検証が終了せずシステムが起動しない不具合が発生した場合に、システムリセットを強制的に実行してその不具合を解消できる。
In another modified example, the
また別の変形例において、リセット制御部１３１は、ＷＤＴがタイムアウトする前に、第１クリア信号の出力をサブＣＰＵ１２２へ要求してもよい。サブＣＰＵ１２２は、自らに異常が発生していない場合には、リセット制御部１３１からの当該要求に応じて、第１クリア信号をリセット制御部１３１へ出力し得る。かかる構成によれば、サブＣＰＵ１２２において何らかの原因で第１クリア信号の出力が遅延しているものの、プログラムの検証は成功裏に終了し得る見込みである場合に、システムリセットを回避してシステムの起動を助けることができる。
In yet another variation, the
なお、上で言及したいずれの信号についても、信号の形式は説明したものとは異なってよい。例えば、各信号の極性又は信号レベル（“Ｈｉ”又は“Ｌｏ”）は、説明した例とは逆であってもよい。また、リセット制御部１３１は、電源制御部１３０に含まれる代わりに、電源制御部１３０から独立したモジュールとして信号バス１１０へ接続されてもよい。また、ＭＦＰ１の構成要素の一部が、システムオンチップ（ＳｏＣ）へ集積されてもよい。
Note that the signal format of any of the signals mentioned above may be different from that described. For example, the polarity or signal level ("Hi" or "Lo") of each signal may be reversed from that of the described example. Also, instead of being included in the power
＜＜５．まとめ＞＞
ここまで、図１～図１０を用いて、本開示の実施形態について詳細に説明した。上述した実施形態では、検証手段により正当であると判定されたプログラムを実行手段が実行する情報処理装置において、実行手段がリセット制御用のタイマ（ＷＤＴ）へアクセス可能となる前に、検証手段がＷＤＴへアクセスしてカウンタ値をクリアする。ＷＤＴは、カウンタ値が所定のタイムアウト閾値に達した場合に、検証手段及び実行手段をリセットする。かかる構成によれば、主たるプロセッサ（実行手段）が動作する前の、補助的なプロセッサ（検証手段）によるプログラムの正当性検証が完了する前にＷＤＴがタイムアウトすることが回避される。それにより、検証が正常に進行している間にシステムリセットがトリガされないため、システムの正常な起動を担保することが可能となる。
<<5. Summary>>
Up to this point, the embodiment of the present disclosure has been described in detail with reference to Figures 1 to 10. In the above-described embodiment, in an information processing device in which an execution means executes a program determined to be valid by a verification means, before the execution means can access a timer (WDT) for reset control, the verification means accesses the WDT and clears the counter value. When the counter value reaches a predetermined timeout threshold, the WDT resets the verification means and the execution means. With this configuration, it is possible to prevent the WDT from timing out before the auxiliary processor (verification means) completes the verification of the validity of the program before the main processor (execution means) operates. As a result, a system reset is not triggered while the verification is proceeding normally, so that it is possible to ensure normal startup of the system.
上述した実施形態では、検証手段は、上記タイムアウト閾値よりも短い出力周期で、ＷＤＴのカウンタ値を周期的にクリアし得る。かかる構成によれば、単一のカウンタ値を参照する既存のＷＤＴの構成を大きく変更することなく、システムの起動を阻害しない形で、ＷＤＴを有するシステムにセキュアブート技術を組合せることができる。また、検証手段に異常が発生した場合には、その異常をＷＤＴのタイムアウトによって捕捉して、システムリセットを実行することができる。 In the above-described embodiment, the verification means may periodically clear the counter value of the WDT with an output period shorter than the timeout threshold. With this configuration, it is possible to combine secure boot technology with a system having a WDT without significantly changing the configuration of an existing WDT that references a single counter value, and without impeding system startup. Furthermore, if an abnormality occurs in the verification means, the abnormality can be captured by the WDT timeout, and a system reset can be performed.
また、上述した実施形態では、検証手段は、上記プログラムが正当であると判定した場合に、ＷＤＴのカウンタ値をクリアするためのクリア信号の周期的な出力を停止し得る。かかる構成によれば、実行手段が動作を開始した後に、検証手段によってＷＤＴのカウンタ値がクリアされないため、主たるプロセッサである実行手段の異常をも適切にＷＤＴによって捕捉することができる。 In addition, in the above-described embodiment, the verification means may stop the periodic output of a clear signal for clearing the counter value of the WDT when it is determined that the program is valid. With this configuration, the counter value of the WDT is not cleared by the verification means after the execution means starts operating, so that even an abnormality in the execution means, which is the main processor, can be properly captured by the WDT.
また、上述した実施形態では、検証手段は、上記プログラムが正当であると判定した場合に、上記プログラムの検証完了をリセット制御手段へ通知し、その通知に応じて、ＷＤＴにおける実行手段からのクリア信号の監視が開始され得る。かかる構成によれば、ＷＤＴは、検証完了の通知の前には検証手段からのクリア信号のみを、検証完了の通知の後には実行手段からのクリア信号のみを監視すればよいため、ＷＤＴの動作の負荷が増大することを回避することができる。 In addition, in the above-described embodiment, when the verification means determines that the program is valid, the verification means notifies the reset control means of the completion of verification of the program, and in response to the notification, monitoring of the clear signal from the execution means in the WDT can be started. With this configuration, the WDT only needs to monitor the clear signal from the verification means before the notification of the completion of verification, and only the clear signal from the execution means after the notification of the completion of verification, thereby making it possible to avoid an increase in the operational load of the WDT.
＜＜６．その他の実施形態＞＞
上記実施形態は、１つ以上の機能を実現するプログラムをネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読み出して実行する処理の形式でも実現可能である。また、１つ以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。
<<6. Other embodiments>>
The above-described embodiment can also be realized in the form of a process in which a program for realizing one or more functions is supplied to a system or device via a network or a storage medium, and one or more processors in a computer of the system or device read and execute the program. Also, the embodiment can be realized by a circuit (e.g., ASIC) for realizing one or more functions.
本発明は上述した実施形態に制限されるものではなく、発明の精神及び範囲から逸脱することなく、様々な変更及び変形が可能である。したがって、発明の範囲を公にするために請求項を添付する。 The present invention is not limited to the above-described embodiments, and various modifications and variations are possible without departing from the spirit and scope of the invention. Therefore, the following claims are appended to disclose the scope of the invention.
１：ＭＦＰ（情報処理装置）、１０１：メインＣＰＵ（実行手段）、１２２：サブＣＰＵ（検証手段）、１３１：リセット制御部、１３３：ＷＤＴ（タイマ）、１３７：第２クリア信号、１４０：第１クリア信号 1: MFP (information processing device), 101: main CPU (execution means), 122: sub CPU (verification means), 131: reset control unit, 133: WDT (timer), 137: second clear signal, 140: first clear signal
Claims (12)
タイマに基づく所定の期間にわたって外部からのアクセスが無い場合に、システムリセット信号を発行するリセット制御手段と、
前記検証手段により正当であると判定された前記プログラムを実行する実行手段であって、前記プログラムの起動後に前記リセット制御手段へアクセス可能となる当該実行手段と、
を備え、
前記検証手段は、前記実行手段が前記リセット制御手段へアクセス可能となる前に、前記リセット制御手段へ、前記タイマの値をクリアするためのクリア信号を出力する、
情報処理装置。 A verification means for verifying the correctness of the program;
a reset control means for issuing a system reset signal when there is no access from outside for a predetermined period based on a timer ;
an execution means for executing the program determined to be valid by the verification means, the execution means being able to access the reset control means after the program is started;
Equipped with
the verification means outputs a clear signal to the reset control means for clearing the value of the timer before the execution means becomes accessible to the reset control means.
Information processing device.
前記検証手段は、前記プログラムが正当であると判定した場合に、前記プログラムの検証完了を前記リセット制御手段へ通知し、
前記リセット制御手段は、前記検証手段からの前記検証完了の前記通知に応じて、前記検証手段からの前記クリア信号と異なるクリア信号であって前記実行手段から出力されるクリア信号の監視を開始する、
情報処理装置。 4. The information processing device according to claim 2,
when the verification means determines that the program is valid, the verification means notifies the reset control means of completion of the verification of the program;
the reset control means, in response to the notification of the completion of the verification from the verification means, starts monitoring a clear signal output from the execution means which is different from the clear signal from the verification means .
Information processing device.
前記検証手段は、前記プログラムが正当ではないと判定した場合に、前記プログラムの復旧用バージョンを用いて前記プログラムを復旧し、
前記検証手段は、前記プログラムを復旧している間に、前記リセット制御手段へ前記クリア信号を出力する、
情報処理装置。 8. An information processing apparatus according to claim 1,
When the verification means determines that the program is not authentic, the verification means recovers the program using a recovery version of the program;
the verification means outputs the clear signal to the reset control means while the program is being restored.
Information processing device.
前記検証手段は、前記プログラムが正当であると判定した場合に、前記プログラムの検証完了を前記リセット制御手段へ通知し、
前記リセット制御手段は、前記検証手段からの前記検証完了の前記通知に応じて、前記計時を再開する、
情報処理装置。 The information processing device according to claim 9,
when the verification means determines that the program is valid, the verification means notifies the reset control means of completion of the verification of the program;
the reset control means restarts the timekeeping in response to the notification of the completion of the verification from the verification means.
Information processing device.
タイマに基づく所定の期間にわたって外部からのアクセスが無い場合に、システムリセット信号を発行するリセット制御手段と、
前記検証手段により正当であると判定された前記プログラムを実行する実行手段であって、前記プログラムの起動後に前記リセット制御手段へアクセス可能となる当該実行手段と、
を備える情報処理装置において行われるリセット制御方法であって、
前記実行手段が前記リセット制御手段へアクセス可能となる前に、前記検証手段が前記リセット制御手段へ、前記タイマの値をクリアするためのクリア信号を出力すること、
を含むリセット制御方法。 A verification means for verifying the correctness of the program;
a reset control means for issuing a system reset signal when there is no access from outside for a predetermined period based on a timer ;
an execution means for executing the program determined to be valid by the verification means, the execution means being able to access the reset control means after the program is started;
A reset control method performed in an information processing device comprising:
said verifying means outputting a clear signal to said reset control means for clearing the value of said timer before said executing means becomes accessible to said reset control means;
A reset control method comprising:
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US17/021,451 US11657125B2 (en) | 2019-09-20 | 2020-09-15 | Information processing apparatus and reset control method |
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2019171853 | 2019-09-20 | ||
| JP2019171853 | 2019-09-20 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2021051713A JP2021051713A (en) | 2021-04-01 |
| JP7522547B2 true JP7522547B2 (en) | 2024-07-25 |
Family
ID=75158287
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2019221449A Active JP7522547B2 (en) | 2019-09-20 | 2019-12-06 | Information processing device and reset control method |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP7522547B2 (en) |
Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2008525892A (en) | 2004-12-23 | 2008-07-17 | マイクロソフト コーポレーション | Method and system for locking the TPM always "on" using a monitor |
| JP2010511934A (en) | 2006-12-04 | 2010-04-15 | サンディスク コーポレイション | Portable module interface that prevents time-out by dummy block |
| JP2012230637A (en) | 2011-04-27 | 2012-11-22 | Denso Corp | Program group |
| JP2013143093A (en) | 2012-01-12 | 2013-07-22 | Toyota Motor Corp | Information processing apparatus and information processing system |
| JP2018045392A (en) | 2016-09-13 | 2018-03-22 | 株式会社東芝 | Network monitoring device, network system and program |
| US20180157840A1 (en) | 2016-12-07 | 2018-06-07 | Google Inc. | Rollback resistant security |
-
2019
- 2019-12-06 JP JP2019221449A patent/JP7522547B2/en active Active
Patent Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2008525892A (en) | 2004-12-23 | 2008-07-17 | マイクロソフト コーポレーション | Method and system for locking the TPM always "on" using a monitor |
| JP2010511934A (en) | 2006-12-04 | 2010-04-15 | サンディスク コーポレイション | Portable module interface that prevents time-out by dummy block |
| JP2012230637A (en) | 2011-04-27 | 2012-11-22 | Denso Corp | Program group |
| JP2013143093A (en) | 2012-01-12 | 2013-07-22 | Toyota Motor Corp | Information processing apparatus and information processing system |
| JP2018045392A (en) | 2016-09-13 | 2018-03-22 | 株式会社東芝 | Network monitoring device, network system and program |
| US20180157840A1 (en) | 2016-12-07 | 2018-06-07 | Google Inc. | Rollback resistant security |
Also Published As
| Publication number | Publication date |
|---|---|
| JP2021051713A (en) | 2021-04-01 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11657125B2 (en) | Information processing apparatus and reset control method | |
| RU2517542C2 (en) | Image processing apparatus and method of controlling image processing apparatus | |
| JP2007068156A (en) | Image processing apparatus and its control method | |
| JP2014021953A (en) | Information processor, image processor, start-up control method and start-up control program | |
| KR102481686B1 (en) | Image processing apparatus, method of controlling the same, and storage medium | |
| JP7170482B2 (en) | Information processing device, its control method, and program | |
| JP6574558B2 (en) | Information processing apparatus, information processing apparatus control method, and program | |
| JP2021002081A (en) | Information processing apparatus, control method thereof and program | |
| JP2020160747A (en) | Information processing device, control method therefor, and program | |
| JP2021117928A (en) | Information processing device and starting method therefor | |
| JP7522547B2 (en) | Information processing device and reset control method | |
| JP7321795B2 (en) | Information processing device, information processing method and program | |
| JP2020057040A (en) | Information processing device, control method therefor, and program | |
| JP2017162177A (en) | Electronic apparatus, restoration method, and program | |
| JP5967945B2 (en) | Information processing apparatus, information processing apparatus control method, and program | |
| JP2021089607A (en) | Information processing apparatus | |
| JP5104137B2 (en) | Data management apparatus and program | |
| KR102467636B1 (en) | Information processing apparatus, method of controlling information processing apparatus, and storage medium | |
| JP7229672B2 (en) | IMAGE FORMING APPARATUS AND CONTROL METHOD FOR IMAGE FORMING APPARATUS | |
| JP2023167086A (en) | Information processing apparatus and control method of information processing apparatus | |
| JP2020086516A (en) | Information processing device, control method of information processing device, and program | |
| JP2021111916A (en) | Information processing device and program restoration method | |
| JP7322233B2 (en) | Information processing device and tampering detection method for detecting tampering of software executed at startup | |
| JP2023160058A (en) | Image forming apparatus, method for controlling image forming apparatus, and program | |
| US20230101600A1 (en) | Information processing apparatus and control method for information processing apparatus |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| RD01 | Notification of change of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7421 Effective date: 20210103 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20210113 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20221202 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20231213 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20240202 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20240329 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20240614 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20240712 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 7522547 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |