特開 2022-187302 情報処理装置とその制御方法、及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2022187302

(43)【公開日】2022-12-19

(54)【発明の名称】情報処理装置とその制御方法、及びプログラム

(51)【国際特許分類】

   G06F 8/65 20180101AFI20221212BHJP

   G06F 21/57 20130101ALI20221212BHJP

【ＦＩ】

G06F8/65

G06F21/57 350

【審査請求】未請求

【請求項の数】14

【出願形態】ＯＬ

(21)【出願番号】P 2021095272

(22)【出願日】2021-06-07

(71)【出願人】

【識別番号】000001007

【氏名又は名称】キヤノン株式会社

(74)【代理人】

【識別番号】110003281

【氏名又は名称】弁理士法人大塚国際特許事務所

(72)【発明者】

【氏名】徳元 曜子

【テーマコード（参考）】

5B376

【Ｆターム（参考）】

5B376CA23

5B376CA25

5B376CA31

5B376CA42

5B376EA13

(57)【要約】      （修正有）

【課題】セキュアブート機能を備える情報処理装置において、セキュアブートを無効にしている場合、ファームウェアの更新に伴うダウンタイムを最小限に抑えることができる情報処理装置とその制御方法及びプログラムを提供する。
【解決手段】複数のファームウェアを有し、改竄を検知しながらファームウェアを順次起動するセキュアブートを実行できる情報処理装置であって、セキュアブートが有効かどうかを示す情報を記憶する。そして、ファームウェアの更新が指示されると、セキュアブートが有効を示す情報が記憶されている場合、前記ファームウェアの更新と、記憶されている前記バックアップ用ファームウェアの更新とを実行し、前記セキュアブートが無効を示す情報が記憶されている場合、前記ファームウェアの更新と異なるタイミングで、記憶されている前記バックアップ用ファームウェアの更新を実行する。
【選択図】図４

【特許請求の範囲】

【請求項1】

複数のファームウェアを有し、改竄を検知しながらファームウェアを順次起動するセキュアブートを実行できる情報処理装置であって、
ファームウェアを自動復旧させるためのバックアップ用ファームウェアを記憶する第１記憶手段と、
前記セキュアブートが有効かどうかを示す情報を記憶する第２記憶手段と、
前記ファームウェアの更新が指示されると、前記第２記憶手段に前記セキュアブートが有効を示す情報が記憶されている場合、前記ファームウェアの更新と、前記第１記憶手段に記憶されている前記バックアップ用ファームウェアの更新とを実行し、
前記第２記憶手段に前記セキュアブートが無効を示す情報が記憶されている場合、前記ファームウェアの更新と異なるタイミングで、前記第１記憶手段に記憶されている前記バックアップ用ファームウェアの更新を実行する制御手段と、
とを有することを特徴とする情報処理装置。

【請求項2】

前記ファームウェアの更新が指示されると、外部装置からファームウェアをダウンロードする手段と、
前記ダウンロードしたファームウェアを展開して記憶する第３記憶手段と、を更に有し、
前記制御手段は、前記第３記憶手段に記憶された前記ファームウェアを用いて前記ファームウェアの更新、或いは前記バックアップ用ファームウェアの更新を行うことを特徴とする請求項１に記載の情報処理装置。

【請求項3】

前記制御手段は、指定された日時なった場合に、前記第３記憶手段に記憶された前記ファームウェアを用いて前記ファームウェアの更新、或いは前記バックアップ用ファームウェアの更新を行うことを特徴とする請求項２に記載の情報処理装置。

【請求項4】

前記制御手段は、前記第１記憶手段の前記バックアップ用ファームウェアの更新をバックグラウンドで行うことを特徴とする請求項１乃至３のいずれか１項に記載の情報処理装置。

【請求項5】

前記複数のファームウェアは、アップデート起動用のファームウェアと通常起動用ファームウェアとを含み、
前記制御手段は、前記ファームウェアを更新する場合、前記アップデート起動用のファームウェアを起動して前記通常起動用ファームウェアを更新し、更新された前記通常起動用ファームウェアによって通常起動した後、前記アップデート起動用のファームウェアの更新をバックグラウンドで行うことを特徴とする請求項１乃至４のいずれか１項に記載の情報処理装置。

【請求項6】

前記制御手段は、前記ファームウェアを更新する際、前記第２記憶手段に前記セキュアブートが有効を示す情報が記憶されている場合でも、前記複数のファームウェアの内のローダとカーネルのバックアップデータを更新することを特徴とする請求項１乃至５のいずれか１項に記載の情報処理装置。

【請求項7】

前記セキュアブートにおいて前記制御手段は、前記ファームウェアの改竄が検知されると、前記第１記憶手段に記憶されている前記バックアップ用ファームウェアを用いて、改竄された前記ファームウェアを更新することを特徴とする請求項１乃至６のいずれか１項に記載の情報処理装置。

【請求項8】

前記異なるタイミングは、前記情報処理装置がシャットダウンするときであることを特徴とする請求項１乃至７のいずれか１項に記載の情報処理装置。

【請求項9】

前記異なるタイミングは、前記情報処理装置がジョブを処理していないときであることを特徴とする請求項１乃至７のいずれか１項に記載の情報処理装置。

【請求項10】

前記異なるタイミングは、前記情報処理装置がスリープ状態に突入するとき、あるいはスリープ状態から復帰するときであることを特徴とする請求項１乃至７のいずれか１項に記載の情報処理装置。

【請求項11】

前記ファームウェアの更新の指示は、外部装置、或いはユーザの指示によるものであることを特徴とする請求項１乃至１０のいずれか１項に記載の情報処理装置。

【請求項12】

前記制御手段は、前記第２記憶手段に前記セキュアブートが無効を示す情報が記憶されている場合、前記ファームウェアの更新の際に前記バックアップ用ファームウェアの更新が必要であることを示すフラグをセットし、前記シャットダウンの処理において前記フラグを参照して前記第１記憶手段に記憶されている前記バックアップ用ファームウェアの更新を実行することを特徴とする請求項８に記載の情報処理装置。

【請求項13】

複数のファームウェアと、ファームウェアを自動復旧させるためのバックアップ用ファームウェアを記憶する第１記憶手段と、セキュアブートが有効かどうかを示す情報を記憶する第２記憶手段とを有し、改竄を検知しながらファームウェアを順次起動する前記セキュアブートを実行できる情報処理装置を制御する制御方法であって、
前記ファームウェアの更新が指示されると、前記第２記憶手段に前記セキュアブートが有効を示す情報が記憶されている場合、前記ファームウェアの更新と、前記第１記憶手段に記憶されている前記バックアップ用ファームウェアの更新とを実行する工程と、
前記ファームウェアの更新が指示されると、前記第２記憶手段に前記セキュアブートが無効を示す情報が記憶されている場合、前記ファームウェアの更新と異なるタイミングで、前記第１記憶手段に記憶されている前記バックアップ用ファームウェアの更新を実行する工程と、
とを有することを特徴とする制御方法。

【請求項14】

コンピュータに、請求項１３に記載の制御方法の各工程のすべてを実行させることを特徴とするプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、情報処理装置とその制御方法、及びプログラムに関する。

【背景技術】

【0002】

デジタル複合機のファームウェアは、不具合の修正や機能を追加するために、市場にリリースした後のユーザ先でもしばしばアップデートされる。このようなファームウェアのアップデートは、顧客にとっては機器のダウンタイムとなるため、できる限りそれに要する時間を短縮することでダウンタイムを削減することが望まれている。そのために、通常起動中に、バックグラウンドで予めアップデートに必要なファームウェアをダウンロードして一時展開しておき、再起動時に、その一時展開した新ファームウェアを適用する方法が考えられている。これにより、最小限のダウンタイムでファームウェアをアップデートできる。またダウンタイムとなるファームウェアの適用を、ユーザがデジタル複合機を使用しない時間帯（例えば、深夜）等に実施することも行われている。

【0003】

一方、ファームウェアのアップデートの場面に限らず、ソフトウェアの脆弱性をついてソフトウェアを改竄し、コンピュータを悪用する攻撃が問題となっている。そのような攻撃に対する対策として、耐タンパ性を有するモジュールを用いてプログラムのハッシュ値を計算して保存しておき、起動する度に、そのプログラムのハッシュ値を再計算して検証することでプログラムの改竄を検知する方法が提唱されている。また、特別なハードウェアを必要とする耐タンパ性を有するモジュールを使用せず、起動時に順次プログラムを起動する際、次のプログラムの正解値を保持しておき、正解値が一致するかどうかで各プログラムの改竄を検知する方法も考えられる。このように起動時に順次プログラムを起動しながら各プログラムの改竄を検知する方法では、基本的には、そのときに起動するプログラムの改竄の有無を検証して起動する。以下、このような起動時の改竄検知の仕組みをセキュアブートと呼ぶ。このセキュアブートの仕組みは、近年のセキュリティ機能の需要の高まりにより、デジタル複合機のファームウェアにも適用されつつある。いずれにしても、起動中にプログラムの改竄が検知されると、その装置は改竄状態が解消されるまで使用不可能な状態になる。

【0004】

デジタル複合機のようなサービスマンによるメンテナンス契約を行う装置の場合は、装置が使用不可能な状態に陥ると、サービスマンの出動によって問題を解消し、ユーザがその装置を使用できるように復旧させる必要がある。このように問題が生じる度にサービスマンが出動していると、ユーザの利便性が損なわれ、サービスマンの出動コストもかかる。

【0005】

そこで、装置の起動中にソフトウェアの改竄が検知された場合に、改竄状態から自動復旧することができる仕組みを提供することが考えられている。その手法として、装置のプログラムのバックアップデータを保持しておき、改竄されたプログラムを、改竄されていないバックアップデータで差し替えることで自動復旧を行うことが考えられる。自動復旧するためのバックアップデータは、動作させているプログラムと基本的には同じものでなければならない。例えば、特許文献１には、元々、複数の起動用ファームウェアがあった場合の共通のＯＳ部分（ｋｅｒｎｅｌ）の改竄が検知されたときに、起動対象でない他のファームウェアの共通のＯＳ部分を使用して自動復旧を行う方法が記載されている。

【先行技術文献】

【特許文献】

【0006】

【特許文献1】特開２０２０－４９７４４号公報

【発明の概要】

【発明が解決しようとする課題】

【0007】

しかしながら上記従来技術では、元々、複数あった共通のＯＳ部分を利用しているため、複数保持しているプログラムの自動復旧のためには、そのプログラムのバックアップデータを用意する必要がある。更に、そのバックアップデータは、動作しているプログラムと同じものでなければならないので、ファームウェアのアップデートがあった場合は、そのバックアップデータもアップデートする必要がある。この場合、アップデートする対象がバックアップデータの分増加するため、自動復旧に対応したデバイスでは、ファームウェアのアップデート時間が、より長くなってしまう。特に、セキュアブートを有効にしていないユーザのデバイスで、自動復旧に対応したデバイスでは、ファームウェアのアップデート時間が従来よりも長くなる。このため、ユーザにとってはダウンタイムがより長くなり、利便性が損なわれてしまう。またサービスマンのメンテナンス作業により復旧させる場合も、ファームウェアのアップデート時間が長くなると、ユーザ先での滞在時間が長くなる。このため、サービスマンの出動コストも大きくなり、メンテナンス費用のアップにつながるという課題があった。

【0008】

本発明の目的は、上記従来技術の課題の少なくとも一つを解決することにある。

【0009】

本発明の目的は、自動復旧可能なセキュアブート機能を備える情報処理装置において、セキュアブートを無効にしている場合、ファームウェアの更新に伴うダウンタイムを最小限に抑える技術を提供することにある。

【課題を解決するための手段】

【0010】

上記目的を達成するために本発明の一態様に係る情報処理装置は以下のような構成を備える。即ち、
複数のファームウェアを有し、改竄を検知しながらファームウェアを順次起動するセキュアブートを実行できる情報処理装置であって、
ファームウェアを自動復旧させるためのバックアップ用ファームウェアを記憶する第１記憶手段と、
前記セキュアブートが有効かどうかを示す情報を記憶する第２記憶手段と、
前記ファームウェアの更新が指示されると、前記第２記憶手段に前記セキュアブートが有効を示す情報が記憶されている場合、前記ファームウェアの更新と、前記第１記憶手段に記憶されている前記バックアップ用ファームウェアの更新とを実行し、
前記第２記憶手段に前記セキュアブートが無効を示す情報が記憶されている場合、前記ファームウェアの更新と異なるタイミングで、前記第１記憶手段に記憶されている前記バックアップ用ファームウェアの更新を実行する制御手段と、とを有することを特徴とする。

【発明の効果】

【0011】

本発明によれば、セキュアブート機能を備える情報処理装置において、セキュアブートを無効にしている場合、ファームウェアの更新に伴うダウンタイムを最小限に抑えることができる。

【0012】

本発明のその他の特徴及び利点は、添付図面を参照とした以下の説明により明らかになるであろう。なお、添付図面においては、同じ若しくは同様の構成には、同じ参照番号を付す。

【図面の簡単な説明】

【0013】

添付図面は明細書に含まれ、その一部を構成し、本発明の実施形態を示し、その記述と共に本発明の原理を説明するために用いられる。

【図1】本発明の実施形態に係る情報処理装置のハードウェア構成を説明するブロック図。

【図2】実施形態に係る情報処理装置が有するファームウェアモジュールを説明するブロック図。

【図3】実施形態に係る情報処理装置におけるセキュアブートの処理を説明するフローチャート。

【図4】実施形態に係る情報処理装置によるファームウェアをアップデートする処理手順を示すフローチャート。

【図5】実施形態に係る情報処理装置によるバックグラウンドでバックアップデータをアップデートする処理を説明するフローチャート。

【図6】実施形態に係る情報処理装置において、シャットダウンするときのバックアップデータのアップデート処理を説明するフローチャート。

【図7】実施形態に係る情報処理装置における改竄検知によるエラー表示の一例を示す図。

【発明を実施するための形態】

【0014】

以下、添付図面を参照して本発明の実施形態を詳しく説明する。尚、以下の実施形態は特許請求の範囲に係る発明を限定するものでない。実施形態には複数の特徴が記載されているが、これら複数の特徴の全てが発明に必須のものとは限らず、また、複数の特徴は任意に組み合わせられてもよい。さらに、添付図面においては、同一もしくは同様の構成に同一の参照番号を付し、重複した説明は省略する。尚、実施形態では、本発明に係る情報処理装置の一例として複合機（デジタル複合機：ＭＦＰ（Ｍｕｌｔｉ Ｆｕｎｃｔｉｏｎ Ｐｅｒｉｐｈｅｒａｌ）を例に説明する。しかしながら本発明の適用範囲は複合機に限定されない。

【0015】

図１は、本発明の実施形態に係る情報処理装置１００のハードウェア構成を説明するブロック図である。

【0016】

ＣＰＵ１０１を含む制御部１３０は、情報処理装置１００全体の動作を制御する。ＣＰＵ１０１は、半導体記憶装置（ｅＭＭＣ）１１２に記憶された制御プログラムを読み出して読取制御や印刷制御、ファームウェアのアップデート（更新）制御などの各種制御処理を実行する。またｅＭＭＣ１１２は、ワークエリア、またユーザデータ領域としても用いられる。フラッシュメモリ１０２は、情報処理装置１００のＢＩＯＳ、固定パラメータ等を格納している。ＲＡＭ１０４は、ＣＰＵ１０１の主メモリ、ワークエリア等の一時記憶領域として用いられる。ＳＲＡＭ１０５は不揮発メモリであり、情報処理装置１００で必要となる設定値や画像調整値などを記憶しており、電源を再投入してもデータが消えないようになっている。ＨＤＤ１１１は、ファームウェアのアップデート用のファイル格納領域を備え、画像データやユーザデータ等も記憶する。ＨＤＤ１１１は搭載されない場合もあり、その場合は、ファームウェアのアップデート用のファイル格納領域や画像データ、ユーザデータ等はすべてｅＭＭＣ１１２に格納される。操作部Ｉ／Ｆ１０８は、操作部１１４と制御部１３０とを接続する。操作部１１４には、タッチパネル機能を有する表示部やキーボードなどが備えられている。

【0017】

プリンタＩ／Ｆ１０９は、プリンタエンジン１１５と制御部１３０とを接続する。プリンタエンジン１１５内のＲＯＭ（不図示）にはプリンタエンジンファームウェア１１６が格納されている。プリンタエンジン１１５で印刷すべき画像データは、プリンタＩ／Ｆ１０９を介して制御部１３０からプリンタエンジン１１５に転送され、プリンタエンジン１１５により記録媒体（シート）上に印刷される。尚、以下の説明では、「ファームウェア」を単に「ファーム」と呼ぶことがある。

【0018】

スキャナＩ／Ｆ１１０は、スキャナエンジン１１７と制御部１３０とを接続する。スキャナエンジン１１７のＲＯＭ（不図示）には、スキャナエンジンファーム１１８が格納されている。スキャナエンジン１１７は、原稿上の画像を読み取って画像データを生成し、その画像データをスキャナＩ／Ｆ１１０を介して制御部１３０に入力する。

【0019】

ネットワークＩ／Ｆカード（ＮＩＣ）１０７は、制御部１３０（情報処理装置１００）をＬＡＮ１３１に接続する。ＮＩＣ１０７は、ＬＡＮ１３１上の外部装置（例えば、外部サーバ１２１やＰＣ１２０）に画像データや情報を送信したり、逆にアップデート用のファームウェアや各種情報を受信したりする。外部サーバ１２１はインターネット上に存在するケースもある。ＰＣ１２０上に存在する図示しないＷｅｂブラウザから情報処理装置１００の操作を行うこともある。

【0020】

集積回路１０３は、一連の関連する機能を実現する複数の集積回路を示す。ＲＴＣ１２２はＲｅａｌＴｉｍｅＣｌｏｃｋ（リアルタイムクロック）で、計時専用のチップ（集積回路）である。外部電源１１９は、ｅＭＭＣ１１２に格納される制御プログラムを実行するＣＰＵ１０１からの指示により電源の供給を制御する。尚、集積回路１０３は、外部電源１１９が接続されていなくとも、図示しない内蔵電池から電源供給を受けるため、スリープ時も動作することができる。これにより、集積回路１０３に対して一部の電源供給が行われる状態では、スリープからの復帰が実現できる。逆に、集積回路１０３に電源が全く供給されないシャットダウン状態の場合には、ＲＴＣ１２２は動作することができない。

【0021】

組み込みコントローラ１１３のＣＰＵ１２３は、コントローラ１１３のソフトウェアプログラムを実行し、情報処理装置１００の中で一部の制御を行う。ＲＡＭ１２４は、ＣＰＵ１２３が制御を行う場合に、プログラムや一時的なデータの格納などに使用される。ＬＥＤ（発光素子）１０６は、必要に応じて点灯され、ソフトウェアやハードウェア等の異常を外部に伝えるために利用される。

【0022】

図２は、実施形態に係る情報処理装置１００が有するファームウェアモジュールを説明するブロック図である。

【0023】

通信管理部２０１は、ネットワーク１３１に接続されるＮＩＣ１０７を制御して、ネットワーク１３１を介して外部とデータの送受信を行う。ＵＩ制御部２０２は、操作部Ｉ／Ｆ１０８を介して操作部１１４からの入力を受け取り、また入力に応じた処理や操作部１１４への画面出力を行う。

【0024】

ブートプログラム２０３は、情報処理装置１００の電源がオンされると組み込みコントローラ１１３のＣＰＵ１２３で実行されるプログラムである。このプログラム２０３は、情報処理装置１００の起動に関わる処理を行う他に、ＢＩＯＳ２０６の改竄検知を行うＢＩＯＳ改竄検知処理部２０４を有する。更にＢＩＯＳ２０６の改竄が検知されたときに自動復旧処理を行うために、フラッシュメモリ１０２にＢＩＯＳバックアップ２０５を保持している。ＢＩＯＳ２０６はフラッシュメモリ１０２に格納され、ブートプログラム２０３の実行後にＣＰＵ１０１で実行されるプログラムである。ＢＩＯＳ２０６は、情報処理装置１００の起動に関わる処理を行う他に、ローダ２０９の改竄検知を行うローダ改竄検知処理部２０７を有する。ローダ２０９の改竄が検知されたときに自動復旧処理を行なうために、ｅＭＭＣ１１２内にローダバックアップ２０８を保持している。

【0025】

ローダ２０９は、ＢＩＯＳ２０６の処理が終わった後にＣＰＵ１０１で実行されるプログラムで、ｅＭＭＣ１１２内に格納され、情報処理装置１００の起動に関わる処理を行う他に、カーネルの改竄検知を行うカーネル改竄検知処理部２１０を有する。

【0026】

領域２１７と２１８は、ｅＭＭＣ１１２内に構成されるパーティションを示す。通常起動用ファーム（通常起動用ファームウェア）の格納領域２１７は、通常起動用ファーム２１９を含む。アップデート起動用ファーム（アップデート起動用ファームウェア）の格納領域２１８は、アップデート起動用ファーム２２０を含む。カーネルも通常起動用ファーム２１９、アップデート起動用ファーム２２０のそれぞれに対応するカーネル２１１、カーネル２１３があり、それぞれｅＭＭＣ１１２に格納されている。ローダ２０９のカーネル改竄検知処理部２１０によってカーネルの改竄が確認されたときに自動復旧処理を行なうために、ｅＭＭＣ１１２にカーネルバックアップ２１５，２１６を保持している。

【0027】

通常起動に対応するカーネル２１１は、ローダ２０９の処理が終わった後にＣＰＵ１０１で実行されるプログラムで、起動に関わる処理を行う他に通常起動用ファーム２１９の改竄検知を行うプログラム改竄検知処理部２１２を有する。またアップデート起動に対応するカーネル２１３は、ローダ２０９の処理が終わった後にＣＰＵ１０１で実行されるプログラムで、起動に関わる処理を行う他にアップデート起動用ファーム２２０の改竄検知を行うプログラム改竄検知処理部２１４を有する。

【0028】

通常起動用ファーム２１９は、ＣＰＵ１０１で実行されるプログラムで、情報処理装置１００の各機能を提供する複数のプログラムを有する。例えばスキャナＩ／Ｆ１１０やプリンタＩ／Ｆ１０９を制御するジョブ制御部２２１や起動プログラムなどである。ジョブ制御部２２１は、情報処理装置１００におけるコピーやプリントなどのジョブの実行を制御するソフトウェアである。またジョブ制御部２２１には、プリンタＩ／Ｆ１０９を制御するプリント制御部２２３や、スキャナＩ／Ｆ１１０を制御するスキャン制御部２２２等の制御アプリケーションが含まれる。ジョブ制御部２２１は、ＲＡＭ１０４上に保持されるジョブ状況テーブルにジョブ状況情報を通知する。

【0029】

通常起動時には、通常起動用ファーム２１９の中から起動プログラムが呼び出され、通常起動中に使用するｅＭＭＣ１１２やＨＤＤ１１１の各領域をマウントするなどの起動処理を行う。その後、順次前述の例で挙げたジョブ制御部２２１など、情報処理装置１００の各機能を提供する複数のプログラムが起動される。実施形態では、ジョブ制御部２２１以外のそれらを、説明上アプリケーションプログラム２２４とする。

【0030】

情報処理装置１００が、シーソースイッチ等のオフによるシャットダウン指示、ＰＣ１２０又は外部サーバ１２１からのネットワーク経由でのシャットダウン指示、或いは操作部１１４からのシャットダウン指示等を受ける。これによりシャットダウン用プログラム２２５がシャットダウン処理を開始する。そして各アプリケーションプログラム２２４に終了通知を行う。シャットダウン用プログラム２２５は、各アプリケーションの終了を確認すると、外部電源１１９に電源をオフするように要求し、最終的に情報処理装置１００の電源の供給が断たれるとシャットダウンが完了する。

【0031】

また通常起動用ファーム２１９は、アップデート起動用ファームのアップデート用プログラム２２６を含む。このアップデート用プログラム２２６は、アップデート起動用ファーム用のカーネル２１３、そのカーネル２１３のバックアップ２１６、アップデート起動用ファーム２２０、アップデート起動用ファームのバックアップ２３３をアップデートする機能を備える。また通常起動用ファーム２１９は、ファームウェアのダウンロードを行うファームウェアのダウンロード用プログラム２２７、バックグラウンドでのファームウェアの一時展開を行うバックグラウンドのアップデート用プログラム２２８も含む。更に通常起動用ファーム２１９は、本件の前提となるバックグラウンドでバックアップデータ（バックアップ用ファームウェア）をアップデートするバックグラウンドのアップデート用プログラム２２９を含む。

【0032】

アップデート起動用ファーム２２０は、アップデート用起動時にＣＰＵ１０１で実行されるプログラムで、情報処理装置１００のファームウェアアップデートを実施するプログラム等、複数のプログラムを含む。通常起動用ファームのアップデート用プログラム２３０は、ローダバックアップ２０８、ローダ２０９、カーネル２１１、カーネルバックアップ２１５、通常起動用ファーム２１９、通常起動用ファームバックアップ２３３をアップデートする機能を含む。更に、プリンタエンジンファーム１１６とスキャナエンジンファーム１１８をアップデートする機能を備える。情報処理装置１００として、例えば図示しないフィニッシャなどの、スキャナエンジンやプリンタエンジン以外の構成が接続された場合も同様になる。

【0033】

バックアップ格納領域２３１は、通常起動用ファームの格納領域２１７、アップデート起動用ファームの格納領域２１８と同様に、ｅＭＭＣ１１２内に構成されるパーティションを示す。バックアップ格納領域２３１は、通常起動用ファームのバックアップ２３２、アップデート起動用ファームのバックアップ２３３を含む。前述のカーネル２１１、カーネル２１３のプログラム改竄検知処理部２１２，２１４によって、通常起動用ファーム２１９、アップデート起動用ファーム２２０の改竄が確認された場合に、それらを自動復旧するために通常起動用ファームバックアップ２３２、アップデート起動用ファームバックアップ２３３をｅＭＭＣ１１２に保持している。更に、ｅＭＭＣ１１２内には、不揮発情報としてセキュアブート有効化情報２３４、バックアップデータのアップデート情報２３５が含まれる。

【0034】

またＨＤＤ１１１は、ダウンロードしたファームウェアを一時的に記憶するダウンロード領域２３６、ダウンロードしたファームウェアを一時的に展開する一時展開領域２３７を有する。

【0035】

情報処理装置１００は、起動モードを切り替えながらアップデートを実現するが、起動モードとは、カーネル２１１と通常起動用ファーム２１９が動作する通常起動と、カーネル２１３とアップデート起動用ファーム２２０が動作するアップデート用起動を含む。またそれぞれ、起動モードの切り替えを行う機能を備え、ローダ２０９がＳＲＡＭ１０５に保存される起動モードの情報に応じて、通常起動とアップデート用起動とを切り替えて実行する。

【0036】

図３は、実施形態に係る情報処理装置１００におけるセキュアブートの処理を説明するフローチャートである。このフローチャートで示すセキュアブートでは、ブートプログラム２０３、ＢＩＯＳ２０６、ローダ２０９が順次起動され、通常起動であればカーネル２１１と通常起動用ファーム２１９が改竄検知を行いながら起動される。またアップデート用起動であれば、ローダ２０９以降は、カーネル２１３とアップデート起動用ファーム２２０が改竄検知を行いながら順次起動される。そして改竄が検知された場合は、用意された各プログラムのバックアップデータ（ＢＩＯＳバックアップ２０５、ローダバックアップ２０８、カーネルバックアップ２１５、カーネルバックアップ２１６、通常起動用ファームのバックアップ２３２、アップデート起動用ファームのバックアップ２３３）によって、改竄されたプログラムを修復し、次のプログラムの起動を継続する。

【0037】

ブートプログラム２０３には、ＢＩＯＳ署名検証用の公開鍵、ＢＩＯＳ２０６にはＢＩＯＳ署名とローダ検証用公開鍵、ローダ２０９にはローダ署名とカーネル検証用公開鍵、カーネル２１３の検証用公開鍵が含まれているものとする。またカーネル２１１には、カーネル署名と通常起動用ファーム２１９の検証用公開鍵、通常起動用ファーム２１９には通常起動用ファーム署名が含まれているものとする。更にカーネル２１３には、カーネル署名とアップデート起動用ファーム２２０の検証用公開鍵が、アップデート起動用ファーム２２０にはアップデート起動用ファーム用署名が含まれているものとする。これらの公開鍵と署名は、予め情報処理装置１００の出荷前にプログラムに対して付与されているものとする。上述した検知処理部２０４，２０７，２１０，２１２，２１４が各プログラムを検証し、問題がなければ次のプログラムを起動する。こうして、各プログラムの改竄を検知しながら情報処理装置１００の起動が行われる。

【0038】

以下、図３を参照して詳しく説明する。

【0039】

情報処理装置１００の電源がオンされると、組み込みコントローラ１１３からＲＡＭ１２４へブートプログラム２０３が読み込まれＣＰＵ１２３によって実行される。ブートプログラム２０３に含まれるＢＩＯＳ改竄検知処理部２０４は、フラッシュメモリ１０２からＢＩＯＳ２０６とローダ検証用公開鍵、ＢＩＯＳ署名をＲＡＭ１２４に読み込む。次にＢＩＯＳ改竄検知処理部２０４は、Ｓ３０１でＢＩＯＳ検証用公開鍵を用いてＢＩＯＳ署名の検証を行い、ＢＩＯＳが改竄されているかどうか判定する。ここで署名の検証に成功した場合（ＢＩＯＳが改竄されていない場合）はＳ３０５に進んで、ＣＰＵ１０１に通電しブートプログラムの処理を終了してＢＩＯＳを起動する。

【0040】

一方、ＢＩＯＳ署名の検証に失敗した場合はＳ３０２に進み、ＢＩＯＳ改竄検知処理部２０４はＢＩＯＳバックアップ２０５をコピーし、改竄されたＢＩＯＳ２０６を書き替える。次にＳ３０３に進みＢＩＯＳ改竄検知処理部２０４は、そのコピーされたＢＩＯＳ２０６を検証する。Ｓ３０３でバックアップからコピーされたＢＩＯＳ２０６の署名の検証に失敗した場合は復旧できないためＳ３０４に進み、ＬＥＤ１０６を点灯させてエラーを通知し、この処理を終了する。一方、Ｓ３０３で署名の検証に成功した場合、ＢＩＯＳ改竄検知処理部２０４はＣＰＵ１０１に通電し、ブートプログラムの処理を終了する。こうしてＢＩＯＳ２０６が改竄されて復旧できなかった場合は、ＣＰＵ１０１に通電することなくＬＥＤ１０６によりユーザに通知し、ＢＩＯＳ２０６が改竄されていないことが保証された状態でＣＰＵ１０１が起動されることになる。

【0041】

こうしてＣＰＵ１０１に通電されるとＳ３０５に進み、フラッシュメモリ１０２からＢＩＯＳ２０６とローダ検証用公開鍵をＲＡＭ１０４に読み込んでＢＩＯＳ２０６を起動する。以降の処理は全てＣＰＵ１０１によって処理されるものとして説明する。

【0042】

ＢＩＯＳ２０６が起動されると各種初期化処理を行い、ＢＩＯＳ２０６に含まれるローダ改竄検知処理部２０７がｅＭＭＣ１１２からローダ２０９とカーネル検証用公開鍵とローダ署名をＲＡＭ１０４に読み込む。次にＳ３０６でＣＰＵ１０１はローダ改竄検知処理部２０７として機能し、ローダ検証用公開鍵を用いてローダ署名の検証を行ってローダ２０９が改竄されているかどうか判定する。ローダ署名の検証に成功した場合（ローダが改竄されていない場合）はＳ３１０に進む。一方、ローダ署名の検証に失敗した場合はＳ３０７に進み、ローダ改竄検知処理部２０７は、ローダバックアップ２０８をコピーし、改竄されたローダ２０９を書き替える。そしてＳ３０８に進み、ローダ改竄検知処理部２０７は、そのコピーされたローダを検証する。ここでバックアップからコピーされたローダ署名の検証に失敗した場合はＳ３０９に進み、ローダ改竄検知処理部２０７は操作部１１４に図７に示すエラーコードを表示して処理を終了する。一方、Ｓ３０８で署名の検証に成功した場合、ローダ改竄検知処理部２０７は処理を終了してＳ３１０に進み、ＢＩＯＳ２０６がＲＡＭ１０４に読み込まれたローダ２０９を起動する。

【0043】

図７は、実施形態に係る情報処理装置１００における改竄検知によるエラー表示の一例を示す図である。

【0044】

このエラー表示は、操作部１１４の表示部に表示される。ここでは、メンテナンス担当者に連絡するエラーコードがを表示している。これにより、その担当者は、発生したエラーの種類を把握することができる。

【0045】

Ｓ３１０でローダ２０９が起動されると各種初期化処理を行い、ＳＲＡＭ１０５を参照して起動モード等のフラグを確認する。この実施形態では、通常起動時の例で説明するため、ここではＳＲＡＭ１０５では、カーネル２１１と通常起動用ファーム２１９を起動する通常起動の起動モードが選択されるフラグがオンであることを前提とする。

【0046】

こうしてローダ２０９は、通常起動用のカーネル２１１の起動を開始する。ここでローダ２０９に含まれるカーネル改竄検知処理部２１０が、ｅＭＭＣ１１２からカーネル２１１と通常起動用ファームの検証用公開鍵とカーネル署名とをＲＡＭ１０４に読み込む。そしてＳ３１１に進みＣＰＵ１０１はカーネル改竄検知処理部２１０として機能し、カーネル検証用公開鍵を用いて、カーネル署名の検証を行ってカーネル２１１が改竄されているかどうか判定する。カーネル署名の検証に成功した場合（改竄されていない場合）はＳ３１４に進んで、カーネル２１１を起動する。

【0047】

一方、カーネル署名の検証に失敗した場合はＳ３１２に進み、カーネル改竄検知処理部２１０は、カーネルバックアップ２１５をコピーし、改竄されたカーネル２１１を書き替える。次にＳ３１３に進みカーネル改竄検知処理部２１０は、カーネルバックアップ２１５からコピーされたカーネル２１１を検証する。ここでコピーされたカーネル２１１の署名の検証に失敗した場合は、上述のＳ３０９に進み、カーネル改竄検知処理部３１１は操作部１１４に図７のエラーコードを表示して処理を終了する。一方、カーネル署名の検証に成功した場合はカーネル改竄検知処理部２１０は処理を終了してＳ３１４に進み、ローダ２０９がＲＡＭ１０４に読み込まれたカーネル２１１を起動する。こうしてカーネル２１１が起動されると各種初期化処理を行う。

【0048】

次にＳ３１５に進み、カーネル２１１に含まれるプログラム改竄検知処理部２１２がｅＭＭＣ１１２から通常起動用ファーム２１９と通常起動用ファーム署名をＲＡＭ１０４に読み込む。そしてプログラム改竄検知処理部２１２は、通常起動用ファームの検証用公開鍵を用いて、通常起動用ファーム署名の検証を行って、通常起動用ファームが改竄されているかどうか判定する。通常起動用ファーム署名の検証に成功した場合（改竄されていない場合）はＳ３１８に進んで、通常起動用ファームを起動する。

【0049】

一方、通常起動用ファーム署名の検証に失敗した場合はＳ３１６に進み、プログラム改竄検知処理部２１２は通常起動用ファームのバックアップ２３２をコピーし、その改竄された通常起動用ファーム２１９を書き替える。次にＳ３１７に進み、プログラム改竄検知処理部２１２は、そのコピーされた通常起動用ファーム２１９を検証する。そして、その通常起動用ファーム２１９の署名の検証に失敗した場合はＳ３０９に進み、プログラム改竄検知処理部２１２は操作部１１４に図７のエラーコードを表示して処理を終了する。一方、通常起動用ファーム署名の検証に成功した場合、プログラム改竄検知処理部２１２は処理を終了してＳ３１８に進み、通常起動用ファーム２１９を起動して、この処理を終了する。

【0050】

尚、上述の実施形態では、情報処理装置１００が通常起動を開始して各プログラムの改竄の有無を順次検知する例で説明したが、アップデート用起動を開始して改竄を検知した場合であっても同様に改竄を検知することができる。具体的には、アップデート用起動の処理の場合は、Ｓ３１０で、ＳＲＡＭ１０５にカーネル２１３とアップデート起動用ファーム２２０を起動するアップデート用起動の起動モードを選択するフラグがオンになっている。よってローダ２０９は、このフラグがオンであることを確認した後、アップデート起動用のカーネル２１３の起動を開始する。そしてカーネル２１１と通常起動用ファーム２１９の起動の場合と同様に、カーネル２１３、アップデート起動用ファーム２２０の起動を順次進め、改竄が検知された場合は、バックアップデータをコピーする復旧処理と、その復旧したプログラムの改竄検知を行う。そして復旧したプログラムの署名の検証に成功すると、そのプログラムを起動する。一方、復旧したプログラムの署名の検証に失敗した場合、即ち、復旧したプログラムの改竄を検知した場合はＳ３０９に進んで、操作部１１４に図７のエラーコードを表示し処理を終了する。

【0051】

上述のセキュアブートの際には、基本的にそのとき起動するプログラムのみの改竄検知を行うため、通常起動時は、カーネル２１１と通常起動用ファーム２１９のみの改竄検知を行う。一方、アップデート用起動の場合は、カーネル２１３とアップデート起動用ファーム２２０のみの改竄検知を行う。従って、通常起動時には、カーネル２１３とアップデート起動用ファーム２２０の改竄検知は行われず、またアップデート用起動の場合はカーネル２１１と通常起動用ファーム２１９の改竄検知は行われない。

【0052】

また情報処理装置１００は、セキュアブート機能が有効になっているかを示す情報をセキュアブート有効化情報２３４に保持している。前述の各改竄検知処理部は、セキュアブート有効化情報２３４を参照してセキュアブートが有効であるかどうか判定して、改竄検知処理を実行する。即ち、セキュアブート有効化情報２３４でセキュアブートが無効に設定されている場合は、各改竄検知処理部による改竄検知は行われずに情報処理装置１００が起動することになる。

【0053】

前述の自動復旧処理を含むセキュアブート機能を持つ情報処理装置１００において、ファームウェアアップデートを行うときの処理の流れを図４のフローチャートを参照して説明する。

【0054】

図４は、実施形態に係る情報処理装置１００によるファームウェアをアップデートする処理手順を示すフローチャートである。このフローチャートで示す処理は、ｅＭＭＣ１１２に格納されたプログラムをＣＰＵ１０１が実行することにより達成される。

【0055】

通常起動用ファームの格納領域２１７の通常起動用ファーム２１９が起動している通常起動状態で、ＣＰＵ２０１は、Ｓ４０１において、外部サーバ１２１或いはユーザによる操作部１１４からの指示により、ファームウェアのアップデート指示を受信する。このときＣＰＵ１０１は、ｅＭＭＣ１１２内の通常起動用ファーム２１９に含まれるファームウェアのダウンロード用プログラム２２７に対してアップデート指示を通知する。このアップデート指示時にアップデート対象となる新ファームウェアのファームウェア情報を取得し、ファームウェアのダウンロード用プログラム２２７がｅＭＭＣ１１２のファームウェア情報の格納領域に保存する。

【0056】

次にＳ４０２に進みＣＰＵ１０１は、操作部１１４に認証画面を表示する。次にＳ４０３に進み、ユーザの認証が確認されるとＳ４０４に進み、外部サーバ１２１から新しいファームウェアをＨＤＤ１１１のダウンロード領域２３６にバックグラウンドでダウンロードする。この新しいファームウェアとは、ｅＭＭＣ１１２に格納される各プログラム（ローダ２０９、カーネル２１１、カーネル２１３、通常起動用ファーム２１９、アップデート起動用ファーム２２０）の新しいバージョンのものである。Ｓ４０３でユーザの認証に失敗するとこの処理を終了する。尚、ユーザの認証が必要でないファームウェアの場合はＳ４０２，Ｓ４０３はスキップしてよい。

【0057】

このときダウンロードされたファームウェアは、改竄防止のために署名暗号化されている。よってダウンロードが完了した後、Ｓ４０５で、バックグラウンドでのアップデート用プログラム２２８は、ダウンロード領域２３６にダウンロードされた新ファームウェアを復号化し、ＨＤＤ１１１の一時展開領域２３７に一時展開する。ここで行うファームウェアの一時展開とは、最終的にｅＭＭＣ１１２に展開されるべきファームウェアの展開を、予めＨＤＤ１１１上で行うことである。後に実施する情報処理装置１００の再起動時に、予めＨＤＤ１１１の一時展開領域２３７に展開しておいた展開データをｅＭＭＣ１１２の領域へコピーして差し替える。これにより、アップデート起動用ファーム２２０の起動中に復号化、展開、適用を行うアップデートに比べてダウンタイムを短縮することができる。

【0058】

次にＳ４０６に進みＣＰＵ１０１は、ｅＭＭＣ１１２内の適用日時情報の格納領域を参照し、ファームウェアの適用日時が設定されているかどうか判定し、適用日時に達したかどうか判定する。この適用日時の設定は、予め定期的な実行時刻が設定されていてもよく、或いはファームウェアのアップデートを受信した際に外部サーバ１２１から設定したり、ユーザが操作部１１４から設定してもよい。

【0059】

ここで適用日時に達していた場合はＳ４０７に進みＣＰＵ１０１は、操作部１１４に認証画面を表示する。そしてＳ４０８でユーザの認証に成功するとＳ４０９に進んで、アップデート用起動による再起動を指示する。またＳ４０８でユーザの認証に失敗すると、この処理を終了する。尚、前述のＳ４０２、５０３と同様に、ユーザの認証が必要ないファームウェアの場合は、Ｓ４０７、Ｓ４０８はスキップしてよい。

【0060】

次にＳ４１０に進み、情報処理装置１００の前述の各改竄検知処理部はセキュアブート有効化情報２３４を確認し、セキュアブートが有効に設定されているかどうか判定する。ここで有効に設定されているとＳ４１１に進み、アップデート起動用のセキュアブートを実施する。この処理内容は、前述のセキュアブート処理において、アップデート用起動を行う際の処理である。こうしてＳ４１１のセキュアブートで問題なくアップデート起動が成功した場合はＳ４１２の処理に進む。またＳ４１０で、セキュアブートが無効に設定されているときもＳ４１２に進む。

【0061】

Ｓ４１２でＣＰＵ１０１は、通常起動用ファームのアップデート用プログラム２３０によって、一時展開領域２３７に展開されている新ファームウェアの内、通常起動用ファームの格納領域２１７の新通常起動用ファームに対応するファームウェアを、ｅＭＭＣ１１２にコピーして旧ファームウェアと差し替える。そしてＳ４１３に進みＣＰＵ１０１は、通常起動用ファームのアップデート用プログラム２３０がセキュアブート有効化情報２３４を参照して、セキュアブートが有効かどうか判定する。ここで有効であると判定するとＳ４１４に進み、通常起動用ファームのバックアップ２３２を前述の新しい通常起動用ファームに対応するファームウェアでアップデートしてＳ４１６に進む。一方、Ｓ４１３でセキュアブートが無効であると判定した場合はＳ４１５に進み、通常起動用ファームのアップデート用プログラム２３０は、バックアップデータのアップデート情報２３５に通常起動用ファームのバックアップのアップデートフラグをオンにセットしてＳ４１６に進む。

【0062】

Ｓ４１６でＣＰＵ１０１は、通常起動用ファームのアップデート用プログラム２３０を実行して、ローダ２０９とローダバックアップ２０８をアップデートする。続いてＳ４１７に進みＣＰＵ１０１は、通常起動用ファームのアップデート用プログラム２３０を実行して、通常起動用のカーネル２１１とカーネルバックアップ２１５をアップデートする。こうして通常起動用の各プログラムのアップデートが終了するとＳ４１８に進みＣＰＵ１０１は、通常起動による再起動を指示してＳ４１９に進む。

【0063】

Ｓ４１９でＣＰＵ１０１は、情報処理装置１００の前述の各改竄検知処理部として機能し、セキュアブート有効化情報２３４を確認し、セキュアブートが有効に設定されているかどうか判定する。ここで有効に設定されていると判定するとＳ４２０に進み、通常起動用のセキュアブートを実施する。この処理内容は前述のセキュアブート処理において、通常起動を行う際の処理である。そしてＳ４２０でのセキュアブートで問題なく通常起動が成功するとＳ４２１以降の処理に進む。一方、Ｓ４１９でセキュアブートが無効に設定されているとＳ４２０をスキップしてＳ４２１に進む。

【0064】

Ｓ４２１でＣＰＵ１０１は、アップデートされた新しい通常起動用ファーム２１９によって通常起動する。続いてＳ４２２に進みＣＰＵ１０１は、バックグラウンドでアップデート起動用ファームのアップデート用プログラム２２６を起動する。そしてＳ４２３に進みＣＰＵ１０１は、バックグラウンドで、アップデート起動用ファーム２２０を新しいバージョンの新アップデート起動用ファームにアップデートする。これは、通常起動用ファームの格納領域２１７の通常起動用ファーム２１９の起動時は、アップデート起動用ファームの格納領域２１８に格納されるアップデート起動用ファーム２２０は使用されていない。よって、情報処理装置１００の動作に影響を与えずにアップデート起動用ファーム２２０をアップデートを実行できるためである。アップデート起動用ファーム２２０のアップデートは、ＨＤＤ１１１の一時展開領域２３７の展開済データのコピーと差し替えで実施してもよいし、ダウンロードされた新ファームウェアの復号化、展開、適用を実施してもよい。

【0065】

次にＳ４２４に進み、アップデート起動用ファームのアップデート用プログラム２２６が、セキュアブート有効化情報２３４を参照してセキュアブートが有効かどうか判定する。ここで有効と判定するとＳ４２５に進み、アップデート起動用ファームのバックアップ２３３を前述の新アップデート起動用ファームにアップデートする。一方、Ｓ４２４でセキュアブートが無効であると判定した場合はＳ４２６に進み、アップデート起動用ファームのアップデート用プログラム２２６は、バックアップデータのアップデート情報２３５にアップデート起動用ファームのバックアップのアップデートフラグをオンにしてＳ４２７に進む。Ｓ４２７でアップデート起動用ファームのアップデート用プログラム２２６は、バックグラウンドで、アップデート起動用のカーネル２１３とカーネルバックアップ２１６のアップデートを行ってこの処理を終了する。

【0066】

尚、Ｓ４０１，Ｓ４０４において、外部サーバ１２１からファームウェアを取得する例を説明したが、新しいファームウェアの取得方法は他の方法であってもかまわない。例えば、ＵＳＢメモリやＰＣ１２０にファームウェアを格納し、そこからファームウェアを取得することにより、同様の処理を実施することができる。

【0067】

実施形態では、ＢＩＯＳ２０６はファームウェアのアップデート対象としておらず、また、ローダバックアップ２０８、カーネルバックアップ２１５、カーネルバックアップ２１６は、セキュアブートの設定に関わらずファームウェアのアップデート時にアップデートしている。これらはアップデートの頻度が低く、サイズも小さいプログラムであるためＢＩＯＳはアップデート対象から外し、ローダ、カーネルはファームウェアのアップデートと同時にバックアップデータもアップデーする構成で記載している。尚、これらプログラムは、ファームウェアのアップデート時間に影響が小さいプロブラムであるが、通常起動用ファーム２１９、アップデート起動用ファーム２２０と同じように、バックアップデータを同時にアップデートしない構成にしても良い。

【0068】

この処理により、セキュアブートが有効でなければ、通常起動用ファーム及びアップデート起動用ファームのバックアップデータのアップデートを、これらファームウェアの更新と異なるタイミングで実施できるように設定できる。これにより、ユーザの利便性を損なわないタイミングで、バックアップデータのアップデートを行うことができる。

【0069】

＜バックグラウンドでのバックアップデータのアップデート処理＞
前述の自動復旧処理を含むセキュアブート機能を持つ情報処理装置１００において、バックグラウンドによりバックアップデータをアップデートするときの処理の流れを図５のフローチャートを参照して説明する。

【0070】

図５は、実施形態に係る情報処理装置１００によるバックグラウンドでバックアップデータをアップデートする処理を説明するフローチャートである。このフローチャートで示す処理は、図１に示したｅＭＭＣ１１２に格納されたプログラムをＣＰＵ１０１が実行することにより達成される。

【0071】

Ｓ５０１でＣＰＵ１０１は、通常起動用ファームの格納領域２１７の通常起動用ファーム２１９が起動している通常起動状態でジョブ制御部２２１として機能し、ジョブ状況の監視を開始する。このときジョブ制御部２２１は、ＲＡＭ１０４上にジョブ状況情報を保持して、ジョブの発生、終了を管理し、ジョブの有無を確認する。次にＳ５０２に進みＣＰＵ１０１は、ジョブ状況の監視を開始したジョブ制御部２２１として機能し、バックアップデータのアップデート情報２３５を確認し、バックアップデータのアップデートフラグがオンかどうか判定する。このアップデートフラグは、通常はオフであるが、前述の図４のＳ４１５或いはＳ４２６でオンにセットされる。

【0072】

バックアップデータのアップデートフラグがオンであればＳ５０３に進み、ジョブ制御部２２１はジョブの有無を判定する。ここでジョブがなければ５０４に進み、バックグラウンドでのバックアップのアップデート用プログラム２２８を実行する。このとき通常起動用ファームのバックアップのアップデートフラグがオンであれば、通常起動用ファーム２１９をバックアップ格納領域２３１の通常起動用ファームのバックアップ２３２にコピーしてアップデートする。またアップデート起動用ファームのバックアップのアップデートフラグがオンであればアップデート起動用ファーム２２０をバックアップ格納領域２３１のアップデート起動用ファームのバックアップ２３３にコピーしてアップデートする。

【0073】

こうしてバックアップデータのアップデートが完了するとＳ５０５に進みＣＰＵ１０１は、バックアップデータのアップデート情報２３５の通常起動用ファームのバックアップのアップデートフラグ、アップデート起動用ファームのバックアップのアップデートフラグをオフにして、バックアップデータのアップデート処理を終了する。またＳ５０２でバックアップデータのアップデートフラグがオフのとき、またＳ５０３でジョブがある場合は、バックアップデータのアップデートを行わずに、この処理を終了する。

【0074】

以上説明した様に実施形態によれば、ファームウェアのアップデート時、セキュアブートが有効でなければ、通常起動用ファームのバックアップデータ、アップデート起動用のファームのバックアップデータをアップデートせずにフラグをオンしておく。そしてバックグラウンドでのバックアップデータの更新時にそのフラグがオンかどうか判定し、オンで、かつジョブが無ければ、バックグラウンドで、そのバックアップデータをアップデートすることができる。

【0075】

前述の自動復旧処理を含むセキュアブート機能を持つ情報処理装置１００において、シャットダウン処理時のバックアップデータのアップデート処理の流れを図６のフローチャートを参照して説明する。

【0076】

図６は、実施形態に係る情報処理装置１００において、シャットダウンするときのバックアップデータのアップデート処理を説明するフローチャートである。このフローチャートで示す処理は、ｅＭＭＣ１１２に格納されたプログラムをＣＰＵ１０１が実行することにより達成される。

【0077】

シャットダウン処理を開始すると、情報処理装置１００はユーザの操作を受付けない状態となり、新規の印刷ジョブ、スキャンジョブ、ＦＡＸジョブ等のジョブも受付けない。通常起動用ファームの格納領域２１７の通常起動用ファーム２１９が起動している通常起動状態で、ＣＰＵ１０１はＳ６０１で、シーソースイッチのオフによるシャットダウン指示、ＰＣ１２０又は外部サーバ１２１からのネットワーク経由でのシャットダウン指示、或いは操作部１１４からのシャットダウン指示を受信する。このときＣＰＵ１０１がｅＭＭＣ１１２の通常起動用ファーム２１９に含まれるシャットダウン用プログラム２２５に対してシャットダウン指示を通知する。次にＳ６０２に進みＣＰＵ１０１は、操作部１１４にシャットダウン中を示す画面を表示する。このシャットダウン中を示す画面を表示することによって、ユーザが操作部１１４から情報処理装置１００の操作ができない状態になる。

【0078】

こうしてユーザからの操作部１１４からの操作を遮断した状態でＳ６０３に進み、通常起動中のジョブ制御部２２１やその他のアプリケーションプログラム２２４に対してシャットダウンを指示する。このシャットダウン指示を受けた各アプリケーションプログラムは、実行中のジョブのキャンセル、使用していたリソースの適切な保存、解放等の終了処理を行う。そして終了処理ができ次第、シャットダウン用プログラム２２５に通知する。シャットダウン用プログラム２２５は、各アプリケーションの終了の通知を待ちながらＳ６０４で、シャットダウン用プログラム２２５はバックアップデータのアップデート情報２３５を確認し、バックアップデータのアップデートフラグがオンかどうか判定する。ここでバックアップデータのアップデートフラグがオンと判定するとＳ６０５に進み、バックアップデータのアップデートを実行する。このときバックグラウンドでのバックアップデータのアップデート用プログラム２２８が、通常起動用ファームのバックアップのアップデートフラグがオンであれば通常起動用ファーム２１９を、アップデート起動用ファームのバックアップのアップデートフラグがオンであればアップデート起動用ファーム２２０を、バックアップ格納領域２３１にコピーする。こうして通常起動用ファームのバックアップ２３２、アップデート起動用ファームのバックアップ２３３を差し替えてアップデートする。尚、Ｓ６０４でバックアップデータのアップデートフラグがオフと判定したときはＳ６０５，Ｓ６０６をスキップしてＳ６０７に進む。

【0079】

Ｓ６０５でバックアップデータのアップデートが完了するとＳ６０６に進み、バックアップデータのアップデート情報２３５の通常起動用ファームのバックアップデータのアップデートフラグ、アップデート起動用ファームのバックアップデータのアップデートフラグをオフにしてＳ６０７に進む。

【0080】

Ｓ６０７でシャットダウン用プログラム２２５は、全てのアプリケーションプログラムが終了しているかどうか判定する。ここで全てのアプリケーションプログラムが終了していればＳ６０８に進み、終了していなければＳ６０７でアプリケーションの終了を待つ。Ｓ６０８でＣＰＵ１０１は、外部電源１１９に電源をオフする要求を行い、最終的に情報処理装置１００の電源の供給が断たれシャットダウンが完了する。

【0081】

この処理により、バックアップデータのアップデートフラグがオンの状態でシャットダウンが指示されると、通常起動用ファーム、アップデート起動用ファームのバックアップデータのアップデートを実行することができる。これにより、ユーザの利便性を損なわないタイミングで、バックアップデータのアップデートすることができる。

【0082】

実施形態では、セキュアブートの無効時は、バックアップデータの更新は、ファームウェアのアップデート時ではなく、通常起動中のバックグラウンドで行う。これにより、セキュアブート機能を無効にしている、ユーザのデバイスのファームウェアのアップデートに起因するダウンタイムを最小限に抑える事が可能になる。

【0083】

また実施形態では、ジョブの有無を監視し、デバイスがジョブ処理をしていない場合に、バックグラウンドでバックアップデータをアップデートしている。他にも、ユーザがデバイスの操作部を利用しているとき、スリープ状態突入時、スリープ状態からの復帰時、深夜等のユーザが使用しない時間帯にアップデートするように指定しても良い。これにより、ユーザの利便性を損なわないタイミングで、バックアップデータのアップデートすることができる。

【0084】

また、前述のバックグラウンドでのバックアップデータのアップデートが行われないままシャットダウンが要求された場合は、シャットダウン処理時にバックアップデータをアップデートする。これにより、もし次の起動時にセキュアブートが有効になった場合でも、今回、アップデートされたバックアップデータを利用することが可能になる。

【0085】

またセキュアブートを有効にしているデバイスに関しては、ファームウェアのアップデートと同時にバックアップデータのアップデートも行うことにより、バックアップデータを、使用中のプログラムと常に同じものにできる。これによりファームウェアのアップデートによるダウンタイムは大きくなるが、改竄に対して自動復旧できる可能性が上がるため、よりセキュアな状態を保つことができるという効果がある。

【0086】

（その他の実施形態）
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

【0087】

本発明は上記実施形態に制限されるものではなく、本発明の精神及び範囲から逸脱することなく、様々な変更及び変形が可能である。従って、本発明の範囲を公にするために、以下の請求項を添付する。

【符号の説明】

【0088】

１００…情報処理装置、１０１…ＣＰＵ、１０２…フラッシュメモリ、１０３…集積回路、１０４…ＲＡＭ、１０５…ＳＲＡＭ、１０６…ＬＥＤ，１１２…ｅＭＭＣ、１１３…組み込みコントローラ、１１４…操作部、１１９…外部電源、２０６…ＢＩＯＳ，２０９…ローダ、２１１，２１３…カーネル、２１７…通常起動用ファームの格納領域、２１８…アップデート起動用ファームの格納領域、２１９…通常起動用ファーム、２２０…アップデート起動用ファーム、２３１…バックアップ格納領域

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】