特開 2023-178546 情報処理装置および情報処理装置の制御方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023178546

(43)【公開日】2023-12-18

(54)【発明の名称】情報処理装置および情報処理装置の制御方法

(51)【国際特許分類】

   H04L 9/10 20060101AFI20231211BHJP

   G06F 21/60 20130101ALI20231211BHJP

   G06F 11/14 20060101ALI20231211BHJP

【ＦＩ】

H04L9/10 A

G06F21/60 320

G06F11/14 602J

【審査請求】未請求

【請求項の数】17

【出願形態】ＯＬ

(21)【出願番号】P 2022091290

(22)【出願日】2022-06-06

(71)【出願人】

【識別番号】000001007

【氏名又は名称】キヤノン株式会社

(74)【代理人】

【識別番号】100126240

【弁理士】

【氏名又は名称】阿部 琢磨

(74)【代理人】

【識別番号】100124442

【弁理士】

【氏名又は名称】黒岩 創吾

(72)【発明者】

【氏名】佐々木 英史

(57)【要約】      （修正有）

【課題】ＲＡＭに記憶されたデータがストレージに記憶されていない状態で、書き込み専用レジスタにセットされた１つの暗号鍵が破損しても、暗号ＨＷが正常に書き込みデータを暗号化してストレージに反映する情報処理装置及び情報処理装置の制御方法を提供する。
【解決手段】画像形成装置において、ストレージ制御処理を実行するＳＯＣ（Ｓｙｓｔｅｍ ｏｎ Ｃｈｉｐ）１２０は、暗号化ＨＷにおいて複数のレジスタのうち第１レジスタに記憶された鍵情報に基づくエラーが生じることによって、暗号化ＨＷにおいてデータの暗号化に用いる鍵情報を複数のレジスタのうち第２レジスタに記憶された鍵情報に切り替える。
【選択図】図１

【特許請求の範囲】

【請求項1】

プロセッサと、
一時的にデータを保持する揮発性のメモリと、
鍵情報を用いて暗号化されたデータを記憶する不揮発性のメモリと、を有する情報処理装置であって、
同一の鍵情報を複数のレジスタに保持し、前記鍵情報を用いてデータを暗号化する暗号化装置と、
前記プロセッサから受け付けたデータを前記暗号化装置に送信し、前記暗号化装置から暗号化されたデータを受け付けて、前記暗号化されたデータを前記不揮発性のメモリに記憶させる制御装置と、を有し、
前記プロセッサは、前記暗号化装置において前記複数のレジスタのうち第１レジスタに記憶された前記鍵情報に基づくエラーが生じることによって、前記暗号化装置においてデータの暗号化に用いる鍵情報を前記複数のレジスタのうち第２レジスタに記憶された前記鍵情報に切り替えることを特徴とする情報処理装置。

【請求項2】

前記揮発性のメモリは、前記鍵情報のエラー情報を記憶し、
前記プロセッサは、前記第１レジスタに記憶された前記鍵情報に基づくエラーが生じたか否かを、前記揮発性のメモリに記憶されたエラー情報を確認する事で判断することを特徴とする請求項１に記載の情報処理装置。

【請求項3】

前記プロセッサは、前記第１レジスタに記憶された前記鍵情報に基づくエラーが生じたと判断すると、次に用いる前記鍵情報が記憶された前記第２レジスタを検出することを特徴とする請求項２に記載の情報処理装置。

【請求項4】

前記プロセッサは、前記第１の鍵情報を用いて、ダミーデータの書き込み処理を実行することによって、前記鍵情報に基づくエラーが生じたか否かを判断することを特徴とする請求項３に記載の情報処理装置。

【請求項5】

前記プロセッサは、次に用いる前記鍵情報が記憶された前記第２レジスタを検出した後、前記鍵情報が記憶された前記複数のレジスタのうち読み出しエラーが生じたレジスタの数を計算することを特徴とする請求項３に記載の情報処理装置。

【請求項6】

ユーザに通知を行う通知手段を有し、
前記プロセッサは、前記鍵情報に基づくエラーが生じたレジスタの数が、所定の数を超えることによって、前記通知手段に前記情報処理装置の再起動の要求を通知させることを特徴とする請求項１に記載の情報処理装置。

【請求項7】

前記情報処理装置の電力を制御する電力制御手段を有し、
前記プロセッサは、前記鍵情報に基づくエラーが生じたレジスタの数が、所定の数を超えることによって、前記電力制御に前記情報処理装置の再起動を実行させることを特徴とする請求項１に記載の情報処理装置。

【請求項8】

前記所定の数は、前記暗号化装置において前記鍵情報を記憶する全てのレジスタであることを特徴とする請求項６に記載の情報処理装置。

【請求項9】

前記暗号化装置は、前記情報処理装置の起動時に、前記暗号化装置の前記複数のレジスタに前記同一の鍵情報を記憶することを特徴とする請求項１に記載の情報処理装置。

【請求項10】

前記情報処理装置が第１電力状態から前記第１電力状態よりも消費電力の低い第２電力状態に移行する際に、前記プロセッサは、前記鍵情報が記憶された前記複数のレジスタのうち読み出しエラーが生じたレジスタの数を計算することを特徴とする請求項３に記載の情報処理装置。

【請求項11】

ユーザに通知を行う通知手段を有し、
前記プロセッサは、前記鍵情報に基づくエラーが生じたレジスタの数が、所定の数を超えることによって、前記通知手段に前記情報処理装置の再起動の要求を通知させることを特徴とする請求項１０に記載の情報処理装置。

【請求項12】

用紙に画像データを印刷するプリンタを有し、
前記データは、前記画像データであることを特徴とする請求項１に記載の情報処理装置。

【請求項13】

前記データは、ファクシミリデータであることを特徴とする請求項１に記載の情報処理装置。

【請求項14】

前記プロセッサと、前記暗号化装置と、前記制御装置は、１つのＳＯＣに含まれることを特徴とする請求項１に記載の情報処理装置。

【請求項15】

プロセッサと、一時的にデータを保持する揮発性のメモリと、鍵情報を用いて暗号化されたデータを記憶する不揮発性のメモリと、同一の鍵情報を複数のレジスタに保持し、前記鍵情報を用いてデータを暗号化する暗号化装置と、前記プロセッサから受け付けたデータを前記暗号化装置に送信し、前記暗号化装置から暗号化されたデータを受け付けて、前記暗号化されたデータを前記不揮発性のメモリに記憶させる制御装置と、を有する情報処理装置の制御方法であって、
前記暗号化装置において前記複数のレジスタのうち第１レジスタに記憶された前記鍵情報に基づくエラーを検出するステップと、
前記暗号化装置においてデータの暗号化に用いる鍵情報を前記複数のレジスタのうち前記鍵情報を記憶する第２レジスタを検出するステップと、
前記鍵情報の読み出し先の設定を前記第２レジスタに切り替えるステップと、を有することを特徴とする情報処理装置の制御方法。

【請求項16】

請求項１５に記載の制御方法を、コンピュータに実行させるためのプログラム。

【請求項17】

請求項１６に記載のプログラムを格納したコンピュータで読み取り可能な記憶媒体。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、情報処理装置および情報処理装置の制御方法に関する。

【背景技術】

【0002】

従来の情報処理装置では、ユーザデータを暗号化してデータファイルとして保存し、また、利用時にはデータファイルを復号してユーザデータを抽出するものが知られている。情報処理装置におけるユーザデータの暗号化・復号処理は、目的に応じた種々の改良・改善が行われてきた。

【0003】

例えば、特許文献１では、１つのユーザデータを複数の暗号鍵によって暗号化し、複数の暗号文を結合したデータファイルを生成している。データファイルからユーザデータを抽出する際、ユーザから指定された復号鍵でそれぞれの暗号文の復号を試みる。データファイルを形成する時に利用した暗号鍵と関連付けられた復号鍵があればユーザデータが抽出できる。これにより、復号鍵を複数人で共有する必要がなくなり、ユーザデータをよりセキュアに管理することができる。

【0004】

ユーザデータをよりセキュアに暗号化・復号するために、更なる工夫も考えられている。例えば、ユーザデータを格納するストレージとＣＰＵとが通信する時の電気信号を直接覗き見る事で、ユーザデータを盗み出す攻撃手法が広く知られている。これに対して、ユーザデータの暗号化／復号を行う暗号ＨＷをＣＰＵと共に１つの半導体チップ、すなわち、ＳＯＣ（Ｓｙｓｔｅｍ ｏｎ Ｃｈｉｐ）内に収める対策がある。これにより、ＳＯＣ内では平文のデータが、ＳＯＣ外には暗号化済みデータを送受信する構成となる。

【0005】

また、近年は、改ざんされたアプリケーションがＣＰＵに備えられた分岐予測機能や投機実行機能などを改ざんし、他のプログラムを動いている際のレジスタ情報やメモリ情報を覗き見る攻撃手法も知られている。改ざんされたアプリケーションによって復号に用いる復号鍵を漏洩すると、暗号化したユーザデータが復号され、外部へ流出するリスクが生じる。これに対して、アプリケーションが起動する前に暗号鍵や復号鍵を事前に暗号ＨＷ上のレジスタに完了させ、アプリケーション動作中には暗号ＨＷ上の暗号鍵や復号鍵を保持するレジスタに直接アクセスしない対策がある。特に、暗号ＨＷ上の暗号鍵や復号鍵を保持するレジスタをＣＰＵからは書き込み専用レジスタと設計する対策がある。具体的には、暗号鍵や復号鍵を管理する暗号ＨＷ上のレジスタを書き込み専用レジスタとし、かつ、アプリケーションが起動する前に暗号鍵や復号鍵を書き込み専用レジスタに１つセットする構成である。これにより、改ざんされたアプリケーションが暗号ＨＷ上のレジスタから暗号鍵や復号鍵を読み出すことを困難にできる。

【先行技術文献】

【特許文献】

【0006】

【特許文献1】特開２０００―２６９９５３号公報

【発明の概要】

【発明が解決しようとする課題】

【0007】

近年の情報処理装置において、ストレージへのデータ読み書きはＲＡＭへのデータ読み書きよりも遅い。そのため、ストレージへの読み書き要求があった場合には、一度ＲＡＭに記憶し、ＲＡＭに記憶したデータを読み出してストレージに記憶する。

【0008】

アプリケーションが起動する前に暗号鍵を書き込み専用レジスタに１つセットする構成では、ＲＡＭに記憶したデータを読みだして、セットされた暗号鍵を用いて読み出したデータを暗号化してストレージに記憶させる。

【0009】

ＲＡＭに記憶されたデータがストレージに記憶されていない状態で、書き込み専用レジスタに１つセットされた暗号鍵が破損してしまうと、暗号ＨＷは正常に書き込みデータを暗号化できない。このような場合には、ＲＡＭに記憶されたデータをストレージに反映できなくなってしまう。

【0010】

本発明は、ＲＡＭに記憶されたデータがストレージに記憶されていない状態で、書き込み専用レジスタにセットされた１つの暗号鍵が破損しても、暗号ＨＷが正常に書き込みデータを暗号化して、ストレージに反映することを提供することを目的とする。

【課題を解決するための手段】

【0011】

本発明は、プロセッサと、一時的にデータを保持する揮発性のメモリと、鍵情報を用いて暗号化されたデータを記憶する不揮発性のメモリと、を有する情報処理装置であって、同一の鍵情報を複数のレジスタに保持し、前記鍵情報を用いてデータを暗号化する暗号化装置と、前記プロセッサから受け付けたデータを前記暗号化装置に送信し、前記暗号化装置から暗号化されたデータを受け付けて、前記暗号化されたデータを前記不揮発性のメモリに記憶させる制御装置と、を有し、前記プロセッサは、前記暗号化装置において前記複数のレジスタのうち第１レジスタに記憶された前記鍵情報に基づくエラーが生じることによって、前記暗号化装置においてデータの暗号化に用いる鍵情報を前記複数のレジスタのうち第２レジスタに記憶された前記鍵情報に切り替えることを特徴とする。

【発明の効果】

【0012】

本発明によれば、ＲＡＭに記憶されたデータがストレージに記憶されていない状態で、書き込み専用レジスタにセットされた１つの暗号鍵が破損しても暗号ＨＷが正常に書き込みデータを暗号化可能な情報処理装置を提供することが可能である。

【図面の簡単な説明】

【0013】

【図1】ハードウェア構成図

【図2】ソフトウェア構成図

【図3】暗号ＨＷのレジスタ構成図

【図4】Ｂｏｏｔｒｏｍ起動時のフローチャート

【図5】暗号ＨＷ制御初期化処理（Ｂｏｏｔｒｏｍ）のフローチャート

【図6】暗号鍵レジスタ検証のフローチャート

【図7】最適ｃｒｙｐｔ＿ｋｅｙレジスタ算出のフローチャート

【図8】利用不可ｃｒｙｐｔ＿ｋｅｙレジスタ数算出のフローチャート

【図9】起動失敗時のエラー画面

【図10】Ｋｅｒｎｅｌ起動時のフローチャート

【図11】電力制御処理の一部のフローチャート

【図12】電力制御ＣＢ関数のフローチャート

【図13】手動再起動要求時の警告画面

【図14】ストレージ制御処理のフローチャート

【図15】暗号制御ＣＢ関数のフローチャート

【発明を実施するための形態】

【0014】

添付図面を参照して本発明の各実施例を詳しく説明する。なお、以下の実施例は特許請求の範囲に係る発明を限定するものではなく、また各実施例で説明されている特徴の組み合わせのすべてが本発明の解決手段に必須のものとは限らない。本実施形態では、情報処理装置の一例として画像処理装置を用いて説明するがこれに限らない。複合機やプリンタ等の画像形成装置以外の情報処理装置に対しても適用ができる。自動販売機や冷蔵庫、スマートフォンなど、他の情報処理装置に対しても好適できる。また、本実施形態では情報処理装置のＯＳの１例として、広く普及しているＬｉｎｕｘ（登録商標）を用いて説明する。一般的に「暗号鍵」は、広義と狭義で用いられる。共通鍵方式では、暗号化および復号で共通して用いられる鍵の意味で、広義の「暗号鍵」が用いられる。一方、公開鍵方式では、復号に用いる公開鍵とは別に存在する、暗号化に用いる秘密鍵の意味で、狭義の「暗号鍵」が用いられる。本実施例では、共通鍵による暗号化方式をベースに説明しているが、公開鍵方式等別の暗号化技術に対しても適用可能である。また、本発明は暗号化に用いるアルゴリズムを特定のアルゴリズムに限定するものではない。

【0015】

（実施例１）
図１は、ハードウェア構成図である。図１（Ａ）を用いてハードウェア構成全体について、図１（Ｂ）を用いてＳＯＣ１２０の詳細について、それぞれ説明する。

【0016】

図１（Ａ）を用いて、画像形成装置の構成について説明する。

【0017】

画像形成装置１０２は、ネットワークハブ１０３を介して、データ処理装置１０１やＤＨＣＰサーバ１０４と接続されている。

【0018】

ネットワークハブ１０３は、データ処理装置１０１、画像形成装置１０２、ＤＨＣＰサーバ１０４間のネットワーク通信を行うためのハブである。本実施例では、単一のネットワークハブに関連するデバイスを、ローカルネットワーク接続する形態で説明をしているが、そのほかのネットワーク構成を用いてもよい。

【0019】

データ処理装置１０１（例えばＰＣ）は、ＰＤＬ（Ｐｒｉｎｔ Ｄｅｓｃｒｉｐｔｉｏｎ Ｌａｎｇｕａｇｅ）データを生成し、当該ＰＤＬデータを画像形成装置１０２に送信する。ＤＨＣＰサーバ１０４は、ＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）に基づいてネットワーク設定情報の取得要求を受け取り、ネットワーク設定情報を応答するためのサーバである。

【0020】

画像形成装置１０２（例えばレーザープリンタ）は、データ処理装置１０１からＰＤＬデータを受信し、当該画像データに基づいて用紙に画像形成を行う装置である。なお、画像形成装置１０２は、スキャナ機能やＦＡＸ機能等を有する複合機であってもよい。

【0021】

画像形成装置１０２は、コントローラ１１０、ＵＩパネル１１１、プリントエンジン１１２、電源ユニット１１３、電源スイッチ１１４で構成される。

【0022】

コントローラ１１０は、データ処理装置１０１から送信されたＰＤＬデータを受信し、印刷用のビットマップデータを生成し、当該ビットマップデータをプリントエンジン１１２に送信するコントローラボードである。

【0023】

ＵＩパネル１１１は、ユーザインタフェイスであり、利用者に様々な情報を伝える表示部や、利用者から様々な操作を受け付ける操作部を有する。例えば、物理的なボタンの他にタッチパネル等を備えてもいてもよい。また、ＬＥＤ（Ｌｉｇｈｔ Ｅｍｉｔｔｉｎｇ Ｄｉｏｄｅ）によって、画像形成装置１０２内で発生したエラーや警告を、光の点灯・点滅によって利用者へ報知する機能を備えていてもよい。あるいは、ブザー等によって、画像形成装置１０２内で発生したエラーや警告を、音によって利用者へ報知する機能を備えていてもよい。

【0024】

プリントエンジン１１２は、コントローラ１１０から受信したビットマップデータに基づいて、電子写真方式でトナーを用いてシートに画像形成を行うプリントエンジンである。画像形成は、トナーを記録材として用いる電子写真方式以外に、例えばインクを記録材として用いるインクジェット方式等でもよい。また、プリントエンジン１１２は複数色の記録材を備え、ＰＤＬデータをカラー印刷ができても良い。あるいは、プリントエンジン１１２は複数の給紙段を備えて、ＰＤＬデータで指定された給紙段からシートを給紙できてもよい。

【0025】

電源ユニット１１３は、画像形成装置１０２を構成する各構成要素へ電力を供給するための電力ユニットである。各パーツを動作させるのに必要な電圧を生成し、供給する役割を担う。電源スイッチ１１４は、利用者からの電源投入・切断指示を受け付けるためのスイッチである。画像形成装置１０２がＯＦＦ状態において、利用者が電源スイッチ１１４を押下すると、当該電源スイッチ押下イベントが電源ユニット１１３へ通知され、電源ユニット１１３は画像形成装置１０２を構成する各パーツへ電力供給を開始する。

【0026】

コントローラ１１０は、ＳＯＣ１２０、ＦｌａｓｈＲＯＭ１２２、ＲＡＭ１２３、ＳＲＡＭ１３３、ＮＩＣ１２４、パネルＩ／Ｆ１２５を備える。コントローラ１１０は、更に、エンジンＩ／Ｆ１２６、ＲＩＰ部１２８、内蔵ストレージ部１３０も備える。加えて、コントローラ１１０は、ＲｅａｌＴｉｍｅＣｌｏｃｋ１３４とＷａｔｃｈＤｏｇＴｉｍｅｒ１３５も備える。コントローラ１１０は更に、これらの各要素を接続する、バス１３１を備える。

【0027】

ＳＯＣ１２０は、後述するＣＰＵ１２１や暗号ＨＷ１５１などを含む集積回路である。ＳＯＣ１２０の詳細については、図１（Ｂ）を用いて後述する。

【0028】

ＦｌａｓｈＲＯＭ（Ｆｌａｓｈ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１２２は、Ｂｏｏｔｒｏｍ１７１やＳＡＬＴ値１７２等を保持する不揮発メモリである。Ｂｏｏｔｒｏｍ１７１は、ＣＰＵ１２１がリセット解除されたことをトリガーに実行する初期プログラムである。ＳＡＬＴ値１７２は、暗号鍵を生成するのに利用する乱数である。

【0029】

ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１２３は、ＣＰＵ１２１が各種プログラムを動作する際に一時的な情報を格納するための揮発メモリである。ＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１３３は画像形成装置１０２に通電中、内容を保持する揮発メモリである。

【0030】

ＮＩＣ１２４は、画像形成装置１０２外のデバイスとネットワークによって相互接続し、双方間のデータ通信すなわちデータの送信や受信を中継するネットワークインタフェイスコントローラである。なお、有線接続をする通信手段のほかに、無線接続をする通信手段を用いてもよい。

【0031】

パネルＩ／Ｆ１２５は、ＵＩパネル１１１とコントローラ１１０とを相互に接続し、双方間のデータ通信すなわちデータの送信や受信を中継するためのインタフェイスである。エンジンＩ／Ｆ１２６は、プリントエンジン１１２とコントローラ１１０とを相互に接続し、双方間のデータ通信すなわちデータの送信や受信を中継するためのインタフェイスである。

【0032】

ＲＩＰ部１２８は、中間データをビットマップデータに変換し、ＲＡＭ１２３に展開（記憶）する。ＲＡＭ１２３に展開（記憶）されたビットマップデータはＲＡＭ１２３から読み出されて内臓ストレージ部１３０に記憶される。なお、ここでは、ＣＰＵ１２１とは独立した専用のＲＩＰ部１２８がビットマップに変換する形態で説明を行っているが、ＲＩＰ部１２８を設けなくてもよい。その場合には、ＣＰＵ１２１が、データ処理装置１０１から受信したＰＤＬデータをビットマップデータへの直接変換処理までを行う。

【0033】

内蔵ストレージ部１３０は、初期プログラムから起動するＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）を保持する不揮発性記憶領域である。例えば、ｅＭＭＣ（ｅｍｂｅｄｄｅｄ ＭＭＣ）やハードディスク、ソリッドステートドライブ等によっても実現できる。内蔵ストレージ部１３０は、大容量の記憶領域を比較的安価に確保できる。そこで、内蔵ストレージ部１３０に、ＯＳのプログラムとＯＳが使うデータを格納する。

【0034】

本実施例においては、内蔵ストレージ部１３０上にＬｉｎｕｘ Ｋｅｒｎｅｌ１６１を保持する。また、内蔵ストレージ部１３０上に、後述する暗号鍵の検証で用いるために、一時的なダミーデータを書き込み・読み込むための領域として、ダミーデータ１６２を割り当てる。その他、内蔵ストレージ部１３０上には、Ｌｉｎｕｘ Ｋｅｒｎｅｌ１６１上で動作する各種アプリケーションなども保持する。

【0035】

ＲｅａｌＴｉｍｅＣｌｏｃｋ１３４は、画像形成装置１０２内の時刻情報を不揮発に管理するためのハードチップである。電源ユニット１１３から独立した電源として、電池駆動することで、画像形成装置１０２の電源切断後であっても時刻情報を定期的に更新するなどの機能を有する。

【0036】

ＷａｔｃｈＤｏｇＴｉｍｅｒ１３５は、画像形成装置１０２が正常動作できているかを検証するためのハードチップである。ＣＰＵ１２１から定期的な要求を受け付け、当該要求が来なくなったタイミングで異常発生と判断する。例えば、ＣＰＵ１２１が異常状態に陥り、正常な処理が出来なくなったことを検出できる。異常発生と判断した場合、ＷａｔｃｈＤｏｇＴｉｍｅｒ１３５は、画像形成装置１０２全体を再起動させても良い。

【0037】

次に、図１（Ｂ）を用いて、ＳＯＣ１２０の詳細について説明する。

【0038】

ＳＯＣ１２０は、バス１３１と接続するバス１４１を有する。ＳＯＣ１２０を構成する各部品は、バス１３１とバス１４１を介して、ＳＯＣ内外の構成部品と相互通信できる。

【0039】

ＣＰＵ１２１は、種々のプログラムを実行するための中央処理演算装置である。ＦｌａｓｈＲＯＭ１２２に含まれるＢｏｏｔｒｏｍ１７１の内容や、Ｂｏｏｔｒｏｍ１７１やＬｉｎｕｘ Ｋｅｒｎｅｌ１６１の内容をＲＡＭ１２３上にコピーした内容に含まれるプログラムを実行する。

【0040】

内蔵ストレージコントローラ１４２は、内蔵ストレージ部１３０を制御するためのコントローラチップである。内蔵ストレージコントローラ１４２は、ＣＰＵ１２１からのデータの読み込み要求に応じて、内蔵ストレージ部１３０に対してデータの読み込みを要求する。内蔵ストレージコントローラ１４２は、読み込んだデータに対して、暗号ＨＷ１５１にデータの復号処理を要求する。内蔵ストレージコントローラ１４２は、復号したデータをＣＰＵ１２１へ通知する。また、内蔵ストレージコントローラ１４２は、ＣＰＵ１２１からのデータの書き込みの要求に応じて、暗号ＨＷ１５１に対しデータの暗号化を要求する。内蔵ストレージコントローラ１４２は、暗号化したデータを、内蔵ストレージ部１３０に対してデータ書き込みを要求する。

【0041】

個体識別情報レジスタ１４３は、それぞれの製品個体毎に割り付けられる個体を識別する事のできる個体識別情報を保持するレジスタである。個体識別情報は、工場生産時点で割り振られるものであり、変更不可能な値である。

【0042】

暗号ＨＷ１５１は、内蔵ストレージコントローラ１４２と協調動作し、ＣＰＵ１２１からの要求に基づいてデータの暗号化や復号を行うためのチップである。データの暗号化・復号を演算する暗号化・復号演算部１５２や、暗号ＨＷレジスタ１５３等で構成される。

【0043】

暗号化・復号演算部１５２は、暗号ＨＷレジスタ１５３の内容に基づいて、内蔵ストレージ部１３０から要求されたデータの暗号化・復号のための種々の計算を行う演算部である。暗号ＨＷレジスタ１５３は、データの暗号化・復号に必要となる各種パラメータを保持するためのレジスタである。暗号ＨＷレジスタ１５３の詳細については、図３で後述する。なお、暗号ＨＷ１５１への鍵情報の設定は、画像形成装置１０２の起動時に行い、それ以外のタイミングでは行わない。鍵情報の設定の仕方の具体例も図３で後述する。

【0044】

図２は、ソフトウェア構成図である。

【0045】

本実施例では、ソフトウェアは大きく分けてＢｏｏｔｒｏｍ１７１と、Ｌｉｎｕｘ Ｋｅｒｎｅｌ １６１とに分かれる。Ｂｏｏｔｒｏｍ１７１は更に、ＲＯＭ実行部２００と、ＲＡＭ実行部２１０とに分かれる。

【0046】

ＲＯＭ実行部２００には、ＣＰＵ初期化部２０１，リソース初期化部２０２、プログラムロード部２０３が含まれる。

【0047】

ＲＡＭ実行部２１０には、ＣＰＵ初期化部２１１，リソース初期化部２１２、Ｂｏｏｔｒｏｍ起動シーケンス制御部２１３、Ｌｉｎｕｘ起動制御部２１４が含まれる。Ｂｏｏｔｒｏｍ起動シーケンス制御部２１３は、電源ユニット制御部２２１，ＵＩパネル制御部２２２、内蔵ストレージ制御部２２３、暗号ＨＷ制御部２２４を制御する。

【0048】

Ｌｉｎｕｘ Ｋｅｒｎｅｌ１６１には、ＣＰＵ初期化部２４１，リソース管理部２４２，ドライバ制御部２４３、サービス制御部２４４が含まれる。ドライバ制御部２４３には、電源ユニット制御部２５１，ＵＩパネル制御部２５２、内蔵ストレージ制御部２５３，暗号ＨＷ制御部２５４が含まれる。ドライバ制御部２４３には更に、プリントエンジン制御部２５５，ＲＩＰ制御部２５６，ＲｅａｌＴｉｍｅＣｌｏｃｋ制御部２５７，ＷａｔｃｈＤｏｇＴｉｍｅｒ制御部２５８、ＮＩＣ制御部２５９が含まれる。サービス制御部２４４には、ユーザインタフェイスサービス２６１，ストレージ管理サービス２６２，ＰＤＬ印刷サービス２６３、時刻制御サービス２６４、電力制御サービス２６５、ネットワークサービス２６６が含まれる。それぞれの初期化部、制御部の詳細については、図４、図５で後述する。

【0049】

図３は、暗号ＨＷレジスタ１５３の構成図である。暗号ＨＷレジスタ１５３が有するレジスタ群の構成について図３（Ａ）に示す。ａｖａｉｌａｂｌｅ＿ｋｅｙレジスタ３１０の構成について図３（Ｂ）に示す。

【0050】

ｓｔａｔｕｓレジスタ３０１は、暗号ＨＷ１５１が設定する、エラーが発生しているかなどの、暗号ＨＷ１５１の状態が記録するステータス情報を示すレジスタである。ｓｔａｔｕｓレジスタ３０１は、ＣＰＵ１２１からは読み出しのみが許可されている。

【0051】

ｋｅｙｒｅｇレジスタ３０２は、暗号ＨＷ１５１が暗号化・復号に利用する暗号鍵のレジスタ番号を指定するためのレジスタである。本実施例においては、０～７の値が指定できる。ｋｅｙｒｅｇレジスタ３０２は、ＣＰＵ１２１からは読み出しも書き出しも許可されている。

【0052】

ｅｎｃｄｅｃレジスタ３０３は、暗号ＨＷ１５１が暗号化・復号処理で動作するモードを指定するための動作モード指定をするレジスタである。０が指定された場合、暗号ＨＷ１５１はｅｎｃｏｄｅ、つまり、暗号化するモードとして動作する。１が指定された場合、暗号ＨＷ１５１はｄｅｃｏｄｅ、つまり、復号するモードとして動作する。ｅｎｃｄｅｃレジスタ３０３は、ＣＰＵ１２１からは読み出しも書き出しも許可されている。

【0053】

ｔｗｅａｋレジスタ３０４は、暗号化あるいは復号する際に用いられる、各要素に特徴をつけるための調整値（Ｔｗｅａｋ値）を格納するレジスタである。本実施例においては、ストレージ上で先頭からのアドレス（Ｏｆｆｓｅｔ値）をセクタ番号で表した値で指定するものとする。これにより、同一のデータを別セクタで暗号化をした場合、異なる暗号化結果が得られる。ｔｗｅａｋレジスタ３０４は、ＣＰＵ１２１からは書き込みのみが許可されている。

【0054】

ａｖａｉｌａｂｌｅ＿ｋｅｙレジスタ３１０は、各暗号鍵が暗号化・復号に利用可能であるか否かを示すための、利用可否フラグの２次元配列（テーブル）を示すレジスタである。ａｖａｉｌａｂｌｅ＿ｋｅｙレジスタ３１０は、ＣＰＵ１２１からは読み出しも書き出しも許可されている。

【0055】

説明を簡略にするために、本実施例では、暗号化で利用した暗号鍵と、復号で利用した暗号鍵を組み合わせた６４通りについて、利用可能であるかを示すフラグを２次元配列で表現する。

【0056】

図３（Ｂ）に、それぞれの組み合わせ（要素）が、レジスタ上でどのように配置・表現されるのかを示す。例えば、ａｖａｉｌａｂｌｅ＿ｋｅｙ［３］［４］に保持される要素は、（＋１８ｈ＋４ｈ＝）＋１Ｃｈのオフセット位置に配置される。ａｖａｉｌａｂｌｅ＿ｋｅｙ［３］［４］は、ｃｒｙｐｔ＿ｋｅｙ３レジスタ３２３を使って暗号化したデータを、ｃｒｙｐｔ＿ｋｅｙ４レジスタ３２４で復号できたか否かを意味する。ａｖａｉｌａｂｌｅ＿ｋｅｙレジスタ３１０に含まれる他要素についても同様である。

【0057】

ａｖａｉｌａｂｌｅ＿ｋｅｙレジスタ３１０上で０として記憶されている要素は「ＯＫ」、つまり、利用可能な暗号鍵の組み合わせを示す。ａｖａｉｌａｂｌｅ＿ｋｅｙレジスタ３１０上で１として記憶されている要素は「ＮＧ（エラー情報）」、つまり、利用不可能な暗号鍵の組み合わせを示す。

【0058】

なお、説明を簡略化するために、本実施例では各暗号鍵が利用可能であるかを示すための利用可否フラグの２次元配列（テーブル）を、暗号ＨＷレジスタ１５３上のレジスタへ備える構成を用いて説明している。なお、別の形態として、ＲＡＭ１２３やＳＲＡＭ１３３上に当該利用可否フラグを示す情報を保持する形でもよい。

【0059】

暗号鍵を保持するｃｒｙｐｔ＿ｋｅｙ０～７レジスタ３２０～３２７は、暗号ＨＷ１５１が利用する暗号鍵を保持するためのレジスタである。ｃｒｙｐｔ＿ｋｅｙ０～７レジスタ３２０～３２７は、ＣＰＵ１２１からは書き込みのみが許可されている。なお、暗号ＨＷ１５１が複数の暗号化方式に対応させ、どの暗号化アルゴリズムや鍵長に用いて、データの暗号化／復号をするのかを示すレジスタを別に設けていても良い。

【0060】

以下、内蔵ストレージ部１３０に含まれるデータの暗号化／復号をするための初期化処理を含めたシステム起動シーケンスについて図４以後を使って説明する。

【0061】

また、本実施例では以後、「エラー報知要求ｃｒｙｐｔ＿ｋｅｙレジスタ数閾値」「許容利用不可組合せ数閾値」という閾値を用いて、判断・分岐する箇所がある。これらの閾値は、プログラム内部で予め決められた静的な閾値でもよいし、ユーザ設定やシステム内外の状況に基づいて決定する動的な閾値等でもよい。これらの閾値の意味や扱いについての詳細は後述する。

【0062】

（Ｂｏｏｔｒｏｍ処理）
図４は、Ｂｏｏｔｒｏｍ起動時のフローチャートである。

【0063】

最初に、ＲＯＭ実行部２００として実行される初期化処理について説明する。当該処理は、ＦｌａｓｈＲＯＭ１２２に含まれるＢｏｏｔｒｏｍ１７１内の、特にＲＡＭ実行部２１０部分をＲＡＭ１２３上に読み出してＣＰＵ１２１が実行する処理である。

【0064】

ＣＰＵ初期化部２０１は、割り込みなどＣＰＵ１２１に関連する初期化処理を実行する（Ｓ４０１）。リソース初期化部２０２は、ＦｌａｓｈＲＯＭ１２２やＲＡＭ１２３などのリソースへアクセスするための初期化処理を実行する（Ｓ４０２）。

【0065】

プログラムロード部２０３は、リソース初期化部２０２によってアクセス可能となったＲＡＭ１２３上に、ＦｌａｓｈＲＯＭ１２２からＢｏｏｔｒｏｍ１７１の内容を読み出し、当該読み出したＢｏｏｔｒｏｍ１７１を起動する（Ｓ４０３）。

【0066】

次に、ＲＡＭ実行部２１０として実行される初期化処理について説明する。内蔵ストレージ部１３０に含まれるＬｉｎｕｘ Ｋｅｒｎｅｌ１６１をＲＡＭ１２３上に読み出してＣＰＵ１２１が実行する処理である。

【0067】

ＣＰＵ初期化部２１１は、割り込みなどＣＰＵ１２１に関連する初期化処理を実行する（Ｓ４１１）。リソース初期化部２１２は、ＦｌａｓｈＲＯＭ１２２やＲＡＭ１２３などのリソースへアクセスするための初期化処理を実行する（Ｓ４１２）。なお、リソース初期化部２１２は、セマフォやミューテックスなどのより複雑なリソース資源を管理するための初期化処理を実行してもよい。

【0068】

Ｂｏｏｔｒｏｍ起動シーケンス制御部２１３は、各種ハードウェアの初期化をするための制御部の起動シーケンスを制御するための制御部である。電源ユニット制御部２２１は、電源ユニット１１３と電源スイッチ１１４を制御するための初期化処理を実行する（Ｓ４１３）。ＵＩパネル制御部２２２は、ＵＩパネル１１１を制御するための初期化処理を実行する（Ｓ４１４）。内蔵ストレージ制御部２２３は、内蔵ストレージ部１３０を制御するための初期化処理を実行する（Ｓ４１５）。暗号ＨＷ制御部２２４は、暗号ＨＷ１５１を制御するための初期化処理を実行する（Ｓ４１６）。当該暗号ＨＷ制御初期化処理に関しては、図５を用いて後述する。

【0069】

Ｌｉｎｕｘ起動制御部２１４は、内蔵ストレージ部１３０からＲＡＭ１２３にＬｉｎｕｘ Ｋｅｒｎｅｌ１６１を読み込み、起動する（Ｓ４１７）。

【0070】

図５は、暗号ＨＷ制御初期化処理（Ｂｏｏｔｒｏｍ）のフローチャートである。図５のフローチャートは、ＣＰＵ１２１によって実行される。なお、図５における変数は一例である。

【0071】

暗号ＨＷ制御部２２４は、ＦｌａｓｈＲＯＭ１２２からＳＡＬＴ値１７２を読み出す（Ｓ５０１）。ＳＡＬＴ値１７２は、デバイス固有の、不揮発的に記憶されている乱数値である。ＳＡＬＴ値１７２の生成方法については外部から提供された乱数値を用いる等、種々の方法を用いることができる。本実施例においてはＳＡＬＴ値１７２の生成処理に関する詳細は、割愛する。

【0072】

暗号ＨＷ制御部２２４は、ＳＯＣ１２０に含まれる個体識別情報レジスタ１４３から、個体識別情報を読み出す（Ｓ５０２）。個体識別情報は、ＳＯＣ１２０を生産するタイミングなどでそれぞれの個体毎にユニークに割り当てられる値である。

【0073】

暗号ＨＷ制御部２２４は、ＳＡＬＴ値１７２や個体識別情報レジスタ１４３の内容に基づき、暗号鍵を生成する（Ｓ５１１）。暗号鍵を生成するロジックについては種々の方法を適用する事ができる。本実施例においては暗号鍵の生成処理に関する詳細は、割愛する。なお、この暗号鍵は、起動毎に同じ値に基づき、同じ値が生成される。

【0074】

暗号ＨＷ制御部２２４は、変数Ｎを０で初期化する（Ｓ５１２）。暗号ＨＷ制御部２２４は、変数Ｎが暗号鍵を保持するｃｒｙｐｔ＿ｋｅｙ０～７のレジスタ数である８未満であるかを判定する（Ｓ５１３）。変数Ｎが８未満であれば、暗号ＨＷ制御部２２４は、当該暗号鍵を、ｃｒｙｐｔ＿ｋｅｙＮレジスタにセットする（Ｓ５１４）。すなわち、暗号ＨＷ制御部２２４は、変数Ｎ＝０であれば、ｃｒｙｐｔ＿ｋｅｙ０レジスタ３２０，変数Ｎ＝１であればｃｒｙｐｔ＿ｋｅｙレジスタ３２１に、生成した暗号鍵をセットする。暗号ＨＷ制御部２２４は、暗号ＨＷ制御部２２４は、変数Ｎに１を加算する（Ｓ５１５）。

【0075】

そして、再び変数Ｎが８未満であるかの判定を行う。一連の処理を繰り返す事で、暗号ＨＷ制御部２２４は、ｃｒｙｐｔ＿ｋｅｙ０～７レジスタに、同一の暗号鍵をセットする。

【0076】

次に、暗号ＨＷ制御部２２４は、ｃｒｙｐｔ＿ｋｅｙレジスタを検証する（Ｓ５２１）。すなわち、それぞれのｃｒｙｐｙ＿ｋｅｙが利用できるか否かの判定処理を行う。当該処理については、図６で後述する。なお暗号ＨＷ制御部２２４はｋｅｙｒｅｇレジスタ３０２に０をセットし、初期化しておく。（Ｓ５２２）
次に暗号ＨＷ制御部２２４は、最適ｃｒｙｐｙ＿ｋｅｙレジスタを検出する（Ｓ５２３）。すなわち、暗号化／復号に適用するのに最も適切であるｃｒｙｐｙ＿ｋｅｙレジスタを検出する。当該処理については、図７で後述する。

【0077】

次に暗号ＨＷ制御部２２４は、利用不可ｃｒｙｐｔ＿ｋｅｙレジスタ数を算出する（Ｓ５２４）。すなわち、利用できないｃｒｙｐｙ＿ｋｅｙレジスタの数を算出する。当該処理については、図８で後述する。

【0078】

暗号ＨＷ制御部２２４は、利用不可ｃｒｙｐｔ＿ｋｅｙレジスタ数が、エラー報知要求ｃｒｙｐｔ＿ｋｅｙレジスタ数閾値未満であるかを判断する（Ｓ５３２）。

【0079】

エラー報知要求ｃｒｙｐｔ＿ｋｅｙレジスタ数閾値以上である場合、暗号ＨＷ制御部２２４は、ＵＩパネル１１１を介して、暗号ＨＷ１５１に関する致命的なエラーが発生したことをユーザへ報知する（Ｓ５３３）。ユーザへの報知例を、図９に示す。図９に示すエラー画面は、起動失敗をユーザに報知する画面である。

【0080】

暗号ＨＷ制御部２２４は、電源スイッチ１１４が押下されたことを電源ユニット１１３と電源ユニット制御部２２１経由で確認する（Ｓ５３４）。電源スイッチ１１４が押下されていなければ、再び電源スイッチ１１４押下のイベントを待つ。電源スイッチ１１４が押下されたら、暗号ＨＷ制御部２２４は、システムを終了する（Ｓ５３５）。つまり、当該表示が行われた場合には、システム起動は途中で停止し、電源スイッチ１１４押下による電源切断を待つ。

【0081】

エラー報知要求ｃｒｙｐｔ＿ｋｅｙレジスタ数閾値未満である場合、暗号ＨＷ制御部２２４はｋｅｙｒｅｇレジスタ３０２に当該最適ｃｒｙｐｔ＿ｋｅｙレジスタをセットする（Ｓ５５１）。そして、当該処理を終了する。

【0082】

以上の処理により、暗号ＨＷ制御部２２４は、利用可能なｃｒｙｐｔ＿ｋｅｙレジスタ数が閾値未満であればエラー画面を表示して、システムを終了する。閾値以上である場合、暗号ＨＷ制御部２２４は、最も利用に適しているｃｒｙｐｔ＿ｋｅｙレジスタを算出し、ｋｅｙｒｅｇレジスタへセットする。当該処理で利用した個々の処理の詳細を、図６～８で説明する。

【0083】

図６は、ｃｒｙｐｔ＿ｋｅｙレジスタ検証のフローチャートである。図６は、ＣＰＵ１２１によって実行される。なお図６において変数は一例である。

【0084】

暗号ＨＷ制御部２２４は、ａｖａｉｌａｂｌｅ＿ｋｅｙレジスタ３１０の全要素に０（ＯＫ）をセットする（Ｓ６０１）。暗号ＨＷ制御部２２４は、変数ｉに０をセットする（Ｓ６１１）。暗号ＨＷ制御部２２４は、変数ｉがｃｒｙｐｔ＿ｋｅｙレジスタ数８未満であるかを判定する（Ｓ６１２）。変数ｉがｃｒｙｐｔ＿ｋｅｙレジスタ数８未満である場合、暗号ＨＷ制御部２２４は、ｋｅｙｒｅｇレジスタ３０２に変数ｉを設定する（Ｓ６２１）。暗号ＨＷ制御部２２４は、ｅｎｃｄｅｃレジスタ３０３に、０（ｅｎｃ）をセットする（Ｓ６２２）。暗号ＨＷ制御部２２４は、ｔｗｅａｋレジスタ３０４に、ダミーデータ１６２が内蔵ストレージ部１３０上に位置するオフセットをセクタ番号としてセットする（Ｓ６２３）。

【0085】

暗号ＨＷ制御部２２４は、内蔵ストレージ制御部２２３に対してダミーデータ１６２上にダミーデータの書き込みを要求する（Ｓ６２４）。これにより、内蔵ストレージ制御部２２３からの要求に基づいて、暗号ＨＷ１５１がダミーデータを暗号化し、暗号化したダミーデータを当該セクタ番号上のデータとして記録する。この際、暗号化に際して何らかの問題があれば、暗号ＨＷ１５１は、ｓｔａｔｕｓレジスタ３０１にエラーを記録する。暗号ＨＷ制御部２２４は、ｓｔａｔｕｓレジスタ３０１にエラーが記録されているかを判定する（Ｓ６２５）。

【0086】

ｓｔａｔｕｓレジスタ３０１にエラーが記録されている場合、暗号ＨＷ制御部２２４は、現在ｋｅｙｒｅｇレジスタにセットしている鍵レジスタを暗号化に使った組み合わせについて一律、１（ＮＧ）をセットする（Ｓ６３１）。

【0087】

つまり、Ｓ６２１から始まるダミーデータの読み込み・復号テストは行わずに、該当するｃｒｙｐｔ＿ｋｅｙレジスタを使って暗号化したダミーデータの結果は、全てを復号に失敗したものとして扱う。例えば、ダミーデータの暗号化にｃｒｙｐｔ＿ｋｅｙ５を使っている場合、ａｖａｉｌａｂｌｅ＿ｋｅｙレジスタ３１０の［５］［０］、［５］［１］…［５］［７］の全てに、１（ＮＧ）がセットされる。そして、暗号ＨＷ制御部２２４は、変数ｉに１を加算して（Ｓ６１８）、再び変数ｉがｃｒｙｐｔ＿ｋｅｙレジスタ数８未満であるかを判定する（Ｓ６１２）。

【0088】

ｓｔａｔｕｓレジスタ３０１にエラーが記録されていない場合、暗号ＨＷ制御部２２４は、変数ｊに０をセットする（Ｓ６５１）。暗号ＨＷ制御部２２４は、変数ｊがｃｒｙｐｔ＿ｋｅｙレジスタ数８未満であるかを判定する（Ｓ６５２）。

【0089】

変数ｊがｃｒｙｐｔ＿ｋｅｙレジスタ数８未満である場合、暗号ＨＷ制御部２２４は、ｋｅｙｒｅｇレジスタ３０２に変数ｊを設定する（Ｓ６６１）。暗号ＨＷ制御部２２４は、ｅｎｃｄｅｃレジスタ３０３に、１（ｄｅｃ）をセットする（Ｓ６６２）。暗号ＨＷ制御部２２４は、ｔｗｅａｋレジスタ３０４に、ダミーデータ１６２が内蔵ストレージ部１３０上に位置するオフセットをセクタ番号としてセットする（Ｓ６６３）。暗号ＨＷ制御部２２４は、内蔵ストレージ制御部２２３に対してダミーデータ１６２上にダミーデータの読み込みを要求する（Ｓ６６４）。

【0090】

これにより、内蔵ストレージ制御部２２３は当該セクタ番号上のデータを暗号化したダミーデータを読み取り、暗号ＨＷ１５１は暗号化されたデータを復号して元のダミーデータを抽出する。復号に際して何らかの問題があれば、暗号ＨＷ１５１は、ｓｔａｔｕｓレジスタ３０１にエラーを記録する。暗号ＨＷ制御部２２４は、ｓｔａｔｕｓレジスタ３０１にエラーが記録されているかを判定する（Ｓ６７１）。

【0091】

ｓｔａｔｕｓレジスタ３０１にエラーが記録されている場合、ａｖａｉｌａｂｌｅ＿ｋｅｙレジスタ３１０上の、該当する要素について、１（ＮＧ）をセットする（Ｓ６７３）。

【0092】

ｓｔａｔｕｓレジスタ３０１にエラーが記録されていない場合、暗号ＨＷ制御部２２４は、書き込んだダミーデータと読み込んだダミーデータの内容が一致するかを検証する（Ｓ６７２）。内容が一致しない場合、暗号ＨＷ制御部２２４は、ａｖａｉｌａｂｌｅ＿ｋｅｙレジスタ３１０上の、該当する要素について、１（ＮＧ）をセットする（Ｓ６７３）。

【0093】

そして、暗号ＨＷ制御部２２４は、変数ｊに１を加算して（Ｓ６７４）、再び変数ｊがｃｒｙｐｔ＿ｋｅｙレジスタ数８未満であるかを判定する（Ｓ６５２）。

【0094】

以上の処理によって、ｃｒｙｐｔ＿ｋｅｙ０レジスタ３２０からｃｒｙｐｔ＿ｋｅｙ７レジスタ３２７に記録された暗号鍵を用いてダミーデータを暗号化や復号できるかを検証する。そして、その検証結果がａｖａｉｌａｂｌｅ＿ｋｅｙレジスタ３１０の各要素にセットされる。

【0095】

図７は、最適ｃｒｙｐｔ＿ｋｅｙレジスタ算出のフローチャートである。本フローチャートは、ＣＰＵ１２１によって実行される。

【0096】

暗号ＨＷ制御部２２４は、最小利用不可回数をｃｒｙｐｔ＿ｋｅｙレジスタ数＋１（すなわち９）とする（Ｓ７０１）。暗号ＨＷ制御部２２４は、ｋｅｙｒｅｇレジスタの内容を読み出し、最適ｃｒｙｐｔ＿ｋｅｙの初期値とする（Ｓ７０２）。

【0097】

暗号ＨＷ制御部２２４は、変数ｉに０をセットする（Ｓ７１１）。暗号ＨＷ制御部２２４は、変数ｉがｃｒｙｐｔ＿ｋｅｙレジスタ数８未満であるかを判定する（Ｓ７１２）。

【0098】

変数ｉがｃｒｙｐｔ＿ｋｅｙレジスタ数８未満である場合、暗号ＨＷ制御部２２４は、利用不可回数を０とする（Ｓ７２１）。暗号ＨＷ制御部２２４は、変数ｊに０をセットする（Ｓ７３１）。暗号ＨＷ制御部２２４は、変数ｊがｃｒｙｐｔ＿ｋｅｙレジスタ数８未満であるかを判定する（Ｓ７１２）。

【0099】

変数ｊがｃｒｙｐｔ＿ｋｅｙレジスタ数８未満である場合、暗号ＨＷ制御部２２４は、ａｖａｉｌａｂｌｅ＿ｋｅｙレジスタ３１０の［ｉ］［ｊ］要素が１（ＮＧ）であるかを判定する（Ｓ７２２）。ａｖａｉｌａｂｌｅ＿ｋｅｙレジスタ３１０の［ｉ］［ｊ］要素が１（ＮＧ）である場合、暗号ＨＷ制御部２２４は、利用不可回数に１を加算する（Ｓ７４２）。

【0100】

そして、暗号ＨＷ制御部２２４は、変数ｊに１を加算して（Ｓ７４３）、再び変数ｊがｃｒｙｐｔ＿ｋｅｙレジスタ数８未満であるかを判定する（Ｓ７３２）。

【0101】

変数ｊがｃｒｙｐｔ＿ｋｅｙレジスタ数８以上である場合、暗号ＨＷ制御部２２４は、最小利用不可回数と利用不可回数を比較する（Ｓ７５１）。暗号ＨＷ制御部２２４は、最小利用不可回数よりも利用不可回数のほうが小さい場合、最小利用不可回数を最小利用不可回数で更新する（Ｓ７５２）。同時に、暗号ＨＷ制御部２２４は、最適ｃｒｙｐｔ＿ｋｅｙを当該鍵レジスタとする（Ｓ７５３）。

【0102】

そして、暗号ＨＷ制御部２２４は、変数ｉに１を加算して（Ｓ７５４）、再び変数ｉがｃｒｙｐｔ＿ｋｅｙレジスタ数８未満であるかを判定する（Ｓ７１２）。

【0103】

変数ｉがｃｒｙｐｔ＿ｋｅｙレジスタ数８以上である場合、暗号ＨＷ制御部２２４は最適ｃｒｙｐｔ＿ｋｅｙを本処理の戻り値とし、処理を終了する（Ｓ７６１）。

【0104】

以上の処理によって、暗号ＨＷ制御部２２４は、ａｖａｉｂｌｅ＿ｋｅｙレジスタ３１０の内容に基づき、最も利用できる可能性が高い暗号鍵が保持されているｃｒｙｐｔ＿ｋｅｙレジスタがどれかを検出する。ただし、全てのｃｒｙｐｔ＿ｋｅｙレジスタが利用できない場合には、当該処理を開始した時点の設定のままとなる。

【0105】

図８は、利用不可ｃｒｙｐｔ＿ｋｅｙレジスタ数算出のフローチャートである。本フローチャートは、ＣＰＵ１２１によって実行される。

【0106】

暗号ＨＷ制御部２２４は、利用不可ｃｒｙｐｔ＿ｋｅｙレジスタ数を０とする（Ｓ８０１）。暗号ＨＷ制御部２２４は、変数ｉに０をセットする（Ｓ８１１）。暗号ＨＷ制御部２２４は、変数ｉがｃｒｙｐｔ＿ｋｅｙレジスタ数８未満であるかを判定する（Ｓ８１２）。

【0107】

変数ｉがｃｒｙｐｔ＿ｋｅｙレジスタ数８未満である場合、暗号ＨＷ制御部２２４は、利用不可組合せ数を０回とする（Ｓ８１２）。利用不可組合せ数は、ｉ番目のｃｒｙｐｔ＿ｋｅｙで暗号化したデータが、いくつのｃｒｙｐｔ＿ｋｅｙで復号できない組み合わせの数を意味する。

【0108】

暗号ＨＷ制御部２２４は、変数ｊに０をセットする（Ｓ８２２）。暗号ＨＷ制御部２２４は、変数ｊがｃｒｙｐｔ＿ｋｅｙレジスタ数８未満であるかを判定する（Ｓ８２３）。変数ｊがｃｒｙｐｔ＿ｋｅｙレジスタ数８未満である場合、暗号ＨＷ制御部２２４は、ａｖａｉｌａｂｌｅ＿ｋｅｙレジスタ３１０の［ｉ］［ｊ］要素が１（ＮＧ）であるかを判定する（Ｓ８３１）。ａｖａｉｌａｂｌｅ＿ｋｅｙレジスタ３１０の［ｉ］［ｊ］要素が１（ＮＧ）である場合、暗号ＨＷ制御部２２４は、利用不可組合せ数に１を加算する（Ｓ８３２）。

【0109】

そして、暗号ＨＷ制御部２２４は、変数ｊに１を加算して（Ｓ８３３）、再び変数ｊがｃｒｙｐｔ＿ｋｅｙレジスタ数８未満であるかを判定する（Ｓ８２３）。

【0110】

変数ｊがｃｒｙｐｔ＿ｋｅｙレジスタ数８以上である場合、暗号ＨＷ制御部２２４は、利用不可組合せ数が許容利用不可組合せ数閾値以上であるか判定する（Ｓ８４１）。許容利用不可組合せ数閾値は、例えば全ｃｒｙｐｔ＿ｋｅｙレジスタ数８の５０％である４などを指定することができる。この場合、ｉ番目のｃｒｙｐｔ＿ｋｅｙレジスタを用いて書き込んだデータに対して、４つ以上のｃｒｙｐｔ＿ｋｅｙレジスタで読み込みに失敗した場合、当該ｉ番目のｃｒｙｐｔ＿ｋｅｙレジスタは利用不可であると判断される。利用不可組合せ数が許容利用不可組合せ数閾値以上の場合、暗号ＨＷ制御部２２４は、利用不可ｃｒｙｐｔ＿ｋｅｙレジスタ数に１を加算する（Ｓ８４２）。

【0111】

そして、暗号ＨＷ制御部２２４は、変数ｉに１を加算して（Ｓ８４３）、再び変数ｉがｃｒｙｐｔ＿ｋｅｙレジスタ数８未満であるかを判定する（Ｓ８２３）。

【0112】

変数ｉがｃｒｙｐｔ＿ｋｅｙレジスタ数８以上である場合、暗号ＨＷ制御部２２４は、利用不可ｃｒｙｐｔ＿ｋｅｙレジスタ数を本処理の戻り値とし、処理を終了する（Ｓ８５１）。

【0113】

（Ｋｅｒｎｅｌ処理）
図１０は、Ｋｅｒｎｅｌ起動時のフローチャートである。本フローチャートは、ＣＰＵ１２１によって実行される。

【0114】

Ｂｏｏｔｒｏｍ１７１のＬｉｎｕｘ起動制御部２１４からの要求に基づき、Ｌｉｎｕｘ起動シーケンス制御部２３１が起動し、更に種々の初期化部・制御部が起動される。

【0115】

Ｌｉｎｕｘ起動シーケンス制御部２３１は、ＣＰＵ初期化部２４１を起動する。ＣＰＵ初期化部２４１は、割り込みなどＣＰＵ１２１に関連する初期化処理を実行する（Ｓ１００１）。Ｌｉｎｕｘ起動シーケンス制御部２３１は、リソース管理部２４２を起動する。リソース管理部２４２は、ＦｌａｓｈＲＯＭ１２２やＲＡＭ１２３などのリソースへアクセスするための初期化処理を実行する（Ｓ１００２）。

【0116】

Ｌｉｎｕｘ起動シーケンス制御部２３１は、ドライバ制御部２４３を起動する。ドライバ制御部２４３は、各制御部を起動することでハードウェアの初期化を行う。具体的には、ＲｅａｌＴｉｍｅＣｌｏｃｋ制御部２５７を起動し、ＲｅａｌＴｉｍｅＣｌｏｃｋ１３４に関する制御を初期化する（Ｓ１００３）。ＷａｔｃｈＤｏｇＴｉｍｅｒ制御部２５８を起動し、ＷａｔｃｈＤｏｇＴｉｍｅｒ１３５に関する制御を初期化する（Ｓ１００４）。

【0117】

電源ユニット制御部２５１を起動し、電源ユニット１１３や電源スイッチ１１４に関する制御を初期化する（Ｓ１００５）。ＵＩパネル制御部２５２を起動し、ＵＩパネル１１１に関する制御を初期化する（Ｓ１００６）。暗号ＨＷ制御部２５４を起動し、暗号ＨＷ１５１に関する制御を初期化する（Ｓ１００７）。内蔵ストレージ制御部２５３を起動し、内蔵ストレージコントローラ１４２や内蔵ストレージ部１３０に関する制御を初期化する（Ｓ１００８）。プリントエンジン制御部２５５を起動し、プリントエンジン１１２に関する制御を初期化する（Ｓ１００９）。ＲＩＰ制御部２５６を起動し、ＲＩＰ部１２９に関する制御を初期化する（Ｓ１０１０）。ＮＩＣ制御部２５９を起動し、ＮＩＣ１２４に関する制御を初期化する（Ｓ１０１１）。

【0118】

Ｌｉｎｕｘ起動シーケンス制御部２３１は、サービス制御部２４４を起動する。サービス制御部２４４は、各サービスを起動し、ユーザに各種機能を提供する。具体的には、時刻制御サービスを起動し、ＲｅａｌＴｉｍｅＣｌｏｃｋ制御部２５７を介して、時刻情報を設定・管理する機能を提供する（Ｓ１０２１）。電力制御サービス２６５を起動し、電源ユニット制御部２５１を介して、システム全体の電力状態を管理する機能を提供する（Ｓ１０２２）。ストレージ管理サービスを起動し、内蔵ストレージ部１３０に含まれるデータをパーティションやファイルシステムを用いて管理する機能を提供する（Ｓ１０２３）。ユーザインタフェイスサービス２６１を起動し、ＵＩパネル制御部２５２を介して、ＵＩパネル１１１に各種情報を表示し、ユーザからの入力を受け付ける機能を提供する（Ｓ１０２４）。

【0119】

Ｌｉｎｕｘ起動シーケンス制御部２３１は、暗号ＨＷ制御部２５４に対して、電力制御サービス２６５に対するコールバック関数（ＣＢ関数）登録を要求する（Ｓ１０３１）。これにより、電力制御サービス２６５は他サービスや他制御部から電力制御に関する要求があった場合に、当該要求があった旨を暗号ＨＷ制御部２５４へ伝達できる。当該コールバック関数の詳細については、図１１で後述する。

【0120】

Ｌｉｎｕｘ起動シーケンス制御部２３１は、暗号ＨＷ制御部２５４に対して、ストレージ管理サービス２６２に対するコールバック関数（ＣＢ関数）登録を要求する（Ｓ１０３２）。これにより、ストレージ管理サービス２６２は他サービスや他制御部から内蔵ストレージ部１３０からの読み込み・書き込みあるいはエラー報知の要求があった場合に、当該要求があった旨を暗号ＨＷ制御部２５４へ伝達できる。当該コールバック関数の詳細については、図１２で後述する。

【0121】

なお、本実施例では電力制御サービス２６５やストレージ管理サービス２６２が暗号ＨＷ制御部２５４に対してコールバック実行要求を行い、これを受けて暗号ＨＷ制御部２５４が所定の動作を実行する形態で説明をした。これ以外に、電力制御サービス２６５やストレージ管理サービス２６２が、直接コールバック関数に含まれる所定の処理を実行することで実現することもできる。

【0122】

Ｌｉｎｕｘ起動シーケンス制御部２３１は、ＰＤＬ印刷サービス２６３を起動し、ＰＤＬデータの解釈やＲＩＰ制御部２５６での印刷画像形成、プリントエンジン制御部２５５での印字を行う機能を提供する（Ｓ１０４１）。Ｌｉｎｕｘ起動シーケンス制御部２３１は、ネットワークサービス２６６を起動し、ネットワークハブ１０３やＮＩＣ１２４を介して、データ処理装置１０１からのＰＤＬデータを受信したりする機能を提供する（Ｓ１０４２）。

【0123】

以下、図１１～１５を用いて、各種サービスからの要求に応じて暗号ＨＷ制御部２５４がコールバック関数を実行する処理について説明する。当該説明では、既に図６～図８で説明済みの内容と同じ処理を行う部分がある。説明が重複するため、当該処理を実行する主体を暗号ＨＷ制御部２２４から暗号ＨＷ制御部２５４へ置き換えることとして、説明は割愛する。

【0124】

以後、電力制御処理とストレージ制御処理について、詳細について述べる。

【0125】

（電力制御処理）
図１１は、電力制御処理の一部のフローチャートである。当該処理は、電力制御サービス２６５の機能として、ＣＰＵ１２１によって実行される。

【0126】

電力制御サービス２６５は、他サービスからのイベントを受け付ける（Ｓ１１０１）。本実施例においてイベントは、先入先出方式（ＦＩＦＯ）で管理されるイベントキューとして扱うものとする。他サービスから要求されたイベントは、該当するサービスがそれぞれもつイベントキューの最後尾に追加される。そして、各サービスはイベントキューの再先頭に登録されているイベントがあれば、イベント待ちを完了し、当該イベントに応じた処理を実行する。以後の説明でも同様とする。

【0127】

イベントを受け付けたら、電力制御サービス２６５は、各サービスに対して当該電源制御に関するイベントが発生したことの通知を行い、サービス停止要求をする（Ｓ１１０２）。当該サービス停止要求を受けて、ネットワークサービス２６６は、ネットワーク通信を停止する（Ｓ１１５１）。ＰＤＬ印刷サービス２６３は、新たな印刷ジョブの生成を停止する（Ｓ１１５２）。時刻制御サービス２６４は、時刻補正のための処理を停止する（Ｓ１１５３）。ユーザインタフェイスサービス２６１は、電源制御処理が開始したことをユーザへ報知するとともに、新たな操作の受付を停止する（Ｓ１１５４）。

【0128】

ストレージ管理サービス２６２は、ストレージへのアクセス要求の受付を停止する（Ｓ１１５５）。より具体的には、ストレージ管理サービス２６２は、外部からの新たな書き込み・読み込み要求の受付を停止する（Ｓ１１６１）。ストレージ管理サービス２６２は、キャッシュＤＢ１８１上の全キャッシュデータを内蔵ストレージ部１３０へ反映する（Ｓ１１６２）。より具体的には、ストレージ管理サービス２６２は、キャッシュＤＢ１８１上に保持しているキャッシュデータそれぞれに対するＦｌｕｓｈイベントを、ストレージ管理サービス２６２が管理するイベントキューへ追加する。ストレージ管理サービス２６２は、イベント待ちの中で、イベントキューに保持しているＦｌｕｓｈイベントを受領し処理する事で、キャッシュデータの内容を暗号化して内蔵ストレージ部１３０に記録する。Ｆｌｕｓｈイベントに対する具体的な処理の詳細は、図１４のフローチャートを用いて後述する。なお、キャッシュデータは、例えば、ＰＤＬデータや、ファクシミリデータ等である。

【0129】

本実施例を適用する事で（基本的に）Ｆｌｕｓｈ処理で必要な暗号鍵を少なくとも１つ以上は正常な状態で維持できる。これにより、システム電源切断・システム再起動あるいは通常電力モードより消費電力が低い省電力モード移行をする際に、キャッシュＤＢ１８１上のキャッシュデータの内容を暗号化した上で、内臓ストレージ部１３０に記録することを保証できる。

【0130】

電力制御サービス２６５は、各制御部に対して当該電源制御に関するイベントが発生したことの通知を行い、制御停止要求をする（Ｓ１１０３）。各制御部は、制御部と関連付けられるハードウェアを電力切断可能な状態へ移行したり、通電を停止したりする。

【0131】

電力制御サービス２６５は、他サービスからのイベント種別に応じて処理を分岐する（Ｓ１１１１）。システム電源切断イベントであれば、電力制御サービス２６５はコントローラボードの電源切断処理を実行する（Ｓ１１２１）。また、システム再起動イベントであれば、電力制御サービス２６５はコントローラボードの再起動処理を実行する（Ｓ１１２２）。当該処理の詳細については、電源ユニット１１３からコントローラ１１０に供給される電力を制御する一般的な画像形成装置の電力制御に関する処理と同等であるため、説明は省略する。なお、再起動処理に関しては、電力制御サービス２６５からＷａｔｃｈＤｏｇＴｉｍｅｒ１３５を制御する事で、システムを再起動してもよい。また、Ｓ１１２１、Ｓ１１２２が実行された後は、新たなイベントを検知する必要はないため、処理を終了する。

【0132】

電力制御サービス２６５が受信したイベント種別がシステム省電力モード移行であった場合、電力制御サービス２６５はコールバック理由を省電力モード突入に設定する（Ｓ１１３１）。そして、電力制御サービス２６５は暗号ＨＷ制御部２５４が提供する電源制御ＣＢ関数を呼び出し、後述の図１２のフローチャートを実行する（Ｓ１１３２）。電力制御サービス２６５は、復帰トリガーを検出するために省電力モード突入処理を実行する（Ｓ１１３３）。Ｓ１１３３において省電力モード突入処理が実行されると画像形成装置１０２は、省電力状態になる。省電力状態では、システム内外からの復帰トリガーを検出するまで待つ（Ｓ１１３４）。例えばユーザがＵＩパネル１１１を操作したことを復帰トリガーとして検知してもよい。あるいは、ＲｅａｌＴｉｍｅＣｌｏｃｋ１３４が所定の時刻となったことを復帰トリガーとして検知してもよい。ＮＩＣ１２４が外部からのデータを受信したことを復帰トリガーとして検知してもよい。プリントエンジン１１２に備えられた各種センサーによって、ユーザがトナー交換用ドアなどを操作したことを復帰トリガーとして検知してもよい。

【0133】

省電力状態において復帰トリガーを検出すると、電力制御サービス２６５は、通常の電力状態へ復帰するために省電力モード復帰処理を実行する（Ｓ１１４１）。電力制御サービス２６５は、各制御部に対して当該電源制御に関するイベントが発生したことの通知を行い、制御再開要求をする（Ｓ１１４４）。各制御部は制御対象となっているハードウェアへの通電を停止したり、電力切断可能な状態へ移行したりする。また、電力制御サービス２６５は、各サービスに対して当該電源制御に関するイベントが発生したことの通知を行い、サービス再開要求をする（Ｓ１１４５）。電力制御サービス２６５はコールバック理由を省電力モード復帰に設定した上で（Ｓ１１４２）、暗号ＨＷ制御部２５４が提供する電源制御ＣＢ関数を呼び出し、後述の図１２のフローチャートを実行する（Ｓ１１４３）。

【0134】

以上の処理により、電力制御サービス２６５が他サービスから電力制御に関するイベントを受信した場合に、暗号ＨＷ制御部２５４に対して当該イベントが発生したことを伝達できる。なお、本実施例では説明を割愛しているが、省電力状態を複数の段階に分ける構成としてもよい。

【0135】

図１２は、暗号ＨＷ制御部２５４が提供する電力制御ＣＢ関数のフローチャートである。また、図１３は、手動再起動要求時の警告画面である。当該処理は、暗号ＨＷ制御部２５４の機能として、ＣＰＵ１２１によって実行される。

【0136】

暗号ＨＷ制御部２５４は、図６で前述したｃｒｙｐｔ＿ｋｅｙレジスタ検証処理を実行する（Ｓ１２０１）。暗号ＨＷ制御部２５４は、図８で前述した利用不可ｃｒｙｐｔ＿ｋｅｙレジスタ数の算出を行う（Ｓ１２０３）。暗号ＨＷ制御部２５４は、利用不可ｃｒｙｐｔ＿ｌｅｙレジスタ数に応じて処理を分岐する（Ｓ１２１１）。利用不可ｃｒｙｐｔ＿ｋｅｙレジスタ数が０である場合、暗号ＨＷ１５１上の暗号鍵を保持したレジスタは全て利用可能であることから、暗号ＨＷ制御部２５４は処理を終了する。利用不可ｃｒｙｐｔ＿ｋｅｙレジスタ数が０ではない場合、暗号ＨＷ制御部２５４はコールバック理由に応じて処理を分岐する（Ｓ１２３１）。

【0137】

コールバック理由が省電力モード復帰である場合、暗号ＨＷ制御部２５４は、利用不可ｃｒｙｐｔ＿ｌｅｙレジスタ数が、エラー報知要求レジスタ閾値未満であるかを判別する（Ｓ１２４１）。

【0138】

エラー報知要求鍵レジスタ閾値未満である場合、ｃｒｙｐｔ＿ｋｅｙ０レジスタ３２０からｃｒｙｐｔ＿ｋｅｙ７レジスタ３２７のうち少なくとも一部が正常ではない状況ではある。よって、ユーザが任意のタイミングでシステムを再起動することで暗号ＨＷ１５１をリカバリすることが望ましい状態である。暗号ＨＷ制御部２５４は、ユーザインタフェイスサービス２６１に対して、暗号ＨＷ警告報知（手動再起動要求）を通知する（Ｓ１２４２）。ユーザインタフェイスサービス２６１は当該通知に基づいて、ＵＩパネル１１１を介して、図１３（Ａ）に示す再起動を促す警告をユーザへ報知する。この場合、ステータスメッセージ１３０１のように、その他のユーザ操作の邪魔にならない部分へ情報を報知したり、再起動ボタン１３０２を表示したりする。

【0139】

エラー報知要求鍵レジスタ閾値未満以上である場合、ｃｒｙｐｔ＿ｋｅｙ０レジスタ３２０からｃｒｙｐｔ＿ｋｅｙ７レジスタ３２７のうち大部分が正常ではない状況ではある。よって、ユーザが即座にシステムを再起動することで暗号ＨＷ１５１をリカバリすることが望ましい状態である。暗号ＨＷ制御部２５４は、ユーザインタフェイスサービス２６１に対して、暗号ＨＷエラー報知（手動再起動要求）を通知する（Ｓ１２５２）。ユーザインタフェイスサービス２６１はＵＩパネル１１１を介して、当該通知に基づいて、図１３（Ｂ）に示す再起動を促すエラーをユーザへ報知する。この場合、ポップアップによってエラーを表示する事で、ユーザが再起動以外は操作できなくする。

【0140】

ユーザインタフェイスサービス２６１は、再起動ボタン１３０２や再起動ボタン１３１１が押下されたことを検知すると、電力制御サービス２６５に対して、システム再起動を要求するイベントを発行する。

【0141】

本実施例では、システムが省電力モードから復帰するタイミングにおいて、暗号ＨＷ制御部２５４は、ユーザに手動での再起動指示を要求しつつ、システムを継続動作する。システムが省電力モードから復帰するタイミングでは、ユーザが画像形成装置を何らかの目的で利用したいという意図がある可能性が高い。そのため、暗号ＨＷ制御部２５４は、制限付きであってもシステムの継続動作を試みる。ただし、ｃｒｙｐｔ＿ｋｅｙ０レジスタ３２０～ｃｒｙｐｔ＿ｋｅｙ７レジスタ３２７に含まれる暗号鍵が想定以上に破損している場合には、全ての暗号鍵が破損する前に復旧が必要となるため、ユーザに対しては、再起動を強く要請する画面を表示する。そのために、ユーザからの再起動指示以外の操作は受け付けないことが望ましい。

【0142】

コールバック理由が省電力モード突入である場合、暗号ＨＷ制御部２５４は、電力制御サービス２６５に対して、システム再起動を要求するイベントを発行する（Ｓ１２６１）。システムが省電力モードへ移行するタイミングでは、ユーザは画像形成装置を何らかの目的で利用する意図が無い可能性が高い。省電力突入タイミングでシステムを再起動する事で、ユーザの利便性を害する事なく、ｃｒｙｐｔ＿ｋｅｙ０レジスタ３２０～ｃｒｙｐｔ＿ｋｅｙ７レジスタ３２７に含まれる暗号鍵の復旧を試みる。再起動後、暗号ＨＷ１５１および暗号ＨＷレジスタ１５３が物理的・電気的に破損していなければ、当該レジスタには同一の正常な暗号鍵が再度セットされている。

【0143】

なお、本実施例では、画像形成装置１０２に組み込まれているＵＩパネル１１１を、ユーザに対するエラーや警告を報知する手段及びユーザからの再起動指示を受領する手段、つまり、ユーザインタフェイスとして用いた。しかしながら、例えば、ＵＩパネル１１１以外のユーザインタフェイスを備えた構成等であってもよい。

【0144】

例えば、画像形成装置１０２は、ＮＩＣ１２４を介してデータ処理装置１０１に対してエラーや警告要求を送信したり、再起動指示を受信したりする構成にも拡張できる。この際、エラーや警告要求を受信したデータ処理装置１０１は、データ処理装置１０１に備えられた出力手段によって、エラーや警告を報知する。また、データ処理装置１０１に備えられた入力手段によって再起動指示を受け付けたら、画像形成装置１０２に対して再起動要求を伝達することができる。このように、ユーザインタフェイスが画像形成装置１０２に物理的に組み込まれていなくても適用できる。ユーザインタフェイスの具体的な構成については、本構成に限定しない。

【0145】

（ストレージ制御処理）
図１４は、暗号ＨＷ制御部２５４が提供するストレージ制御処理のフローチャートの一部である。本フローチャートは、ＣＰＵ１２１によって実行される。

【0146】

当該処理は、ストレージ管理サービス２６２の機能として、ＣＰＵ１２１によって実行される。なお、ストレージ管理サービス２６２が行うべき機能は多岐にわたるため本実施例の説明に関連する部分を説明する。

【0147】

ストレージ管理サービス２６２は、他サービスからのイベントを受け付ける（Ｓ１４０１）。ストレージ管理サービス２６２は、他サービスからのイベント種別に応じて処理を分岐する（Ｓ１４０２）。

【0148】

イベント種別がＷｒｉｔｅイベントである場合、ストレージ管理サービス２６２は、書き込もうとしているデータが、キャッシュＤＢ１８１上にキャッシュデータとして記録されているのかを確認する（Ｓ１４１０）。キャッシュデータとして記録されていない場合、ストレージ管理サービス２６２はキャッシュＤＢ１８１にキャッシュデータを追加できる空き領域があるかを確認する（Ｓ１４６２）。

【0149】

キャッシュデータを追加できる空き領域が無ければ、ストレージ管理サービス２６２は、コールバック理由をＷｒｉｔｅ要求に設定する（Ｓ１４１１）。そして、暗号ＨＷ制御部２５４が提供する暗号制御ＣＢ関数を呼び出し、実行する（Ｓ１４１２）。ＣＰＵ１２１による暗号制御ＣＢ関数の実行は、後述の図１５で説明する。

【0150】

そして、ストレージ管理サービス２６２は内蔵ストレージ制御部２５３に対してデータの書き込み処理を要求する（Ｓ１４１３）。具体的には、ＣＰＵ１２１が内蔵ストレージコントローラ１４２に書き込み指示を出す。そして、内蔵ストレージコントローラ１４２が、暗号ＨＷ１５１に書き込みデータを暗号化させる。そして、内蔵ストレージコントローラ１４２が暗号化されたデータを内蔵ストレージ部１３０に書き込む。

【0151】

Ｓ１４１０においてキャッシュデータとして記録されている場合、ストレージ管理サービス２６２は、書き込もうとしてデータの内容で、当該キャッシュデータを更新する（Ｓ１４１４）。そして、ストレージ管理サービス２６２は、キャッシュＤＢ１８１の管理情報を更新する処理を実行する（Ｓ１４９１）。キャッシュＤＢ１８１の管理情報には、当該対象となっているデータが内蔵ストレージ部１３０上で存在するオフセット位置情報、最後にアクセスされた時刻情報、アクセス回数情報などを管理する。

【0152】

イベント種別がＦｌｕｓｈイベントである場合、ストレージ管理サービス２６２は、コールバック理由をＷｒｉｔｅ要求に設定した上で（Ｓ１４１１）、暗号ＨＷ制御部２５４が提供する暗号制御ＣＢ関数を呼び出す（Ｓ１４１２）。そして、ストレージ管理サービス２６２は内蔵ストレージ制御部２５３に対してデータの書き込み処理を要求する（Ｓ１４１３）。

【0153】

これにより、ストレージ管理サービス２６２は、キャッシュＤＢ１８１上の管理情報の状態にかかわらず、書き込もうとしているデータを内蔵ストレージ部１３０上に必ず反映する。

【0154】

イベント種別がＲｅａｄイベントである場合、ストレージ管理サービス２６２は、読み込もうとしているデータが、キャッシュＤＢ１８１上にキャッシュデータとして記録されているのかを確認する（Ｓ１４２０）。キャッシュＤＢ１８１上にキャッシュデータとして記録されていない場合、ストレージ管理サービス２６２は、コールバック理由をＲｅａｄ要求に設定した上で（Ｓ１４２１）、暗号ＨＷ制御部２５４が提供する暗号制御ＣＢ関数を呼び出す（Ｓ１４２２）。そして、ストレージ管理サービス２６２は内蔵ストレージ制御部２５３に対してデータの読み込み処理を要求する（Ｓ１４２３）。

【0155】

キャッシュＤＢ１８１上にキャッシュデータとして記録されている場合、ストレージ管理サービス２６２は、キャッシュＤＢ１８１上のキャッシュデータに記録している内容を、読込結果とする（Ｓ１４２４）。そして、ストレージ管理サービス２６２は、キャッシュＤＢ１８１の管理情報を更新する処理を実行する（Ｓ１４９１）。

【0156】

前述の通り、内蔵ストレージ制御部２５３に対してデータの読み書き処理を要求した場合、暗号ＨＷ１５１がデータの暗号化・復号処理を実行し、必要に応じてＳｔａｔｕｓレジスタ３０１にエラーを記録する。

【0157】

ストレージ管理サービス２６２は、コールバック理由をステータス確認に設定した上で（Ｓ１４３１）、暗号ＨＷ制御部２５４が提供する暗号制御ＣＢ関数を呼び出す（Ｓ１４３２）。ストレージ管理サービス２６２は、暗号制御ＣＢ関数の戻り値によって処理を分岐する（Ｓ１４３３）。

【0158】

暗号制御ＣＢ関数の戻り値が２（エラー発生中）であれば、ストレージ管理サービス２６２は、コールバック理由を代替暗号鍵セット要求に設定した上で（Ｓ１４４１）、暗号ＨＷ制御部２５４が提供する暗号制御ＣＢ関数を呼び出す（Ｓ１４４２）。ストレージ管理サービス２６２は、暗号制御ＣＢ関数の戻り値によって処理を分岐する（Ｓ１４４３）。

【0159】

暗号制御ＣＢ関数の戻り値が３（警告報知要求）であれば、ストレージ管理サービス２６２は、ユーザインタフェイスサービス２６１に対して、暗号ＨＷ警告報知（手動再起動要求）を通知する（Ｓ１４５１）。また、暗号制御ＣＢ関数の戻り値が４（エラー報知要求）であれば、ストレージ管理サービス２６２は、ユーザインタフェイスサービス２６１に対して、暗号ＨＷ警告報知（手動再起動要求）を通知する（Ｓ１４５２）。警告またはエラーを表示する一連の流れについてはすでに説明済みであるため、割愛する。

【0160】

暗号制御ＣＢ関数の戻り値が１（エラー未発生中）であれば、ストレージ管理サービス２６２は、イベント種別に応じて処理を分岐する（Ｓ１４６１）。

【0161】

イベント種別がＦｌｕｓｈイベント以外であれば、ストレージ管理サービス２６２はキャッシュＤＢ１８１にキャッシュデータを追加できる空き領域があるかを確認する（Ｓ１４６２）。キャッシュデータを追加できる空き領域が無ければ、ストレージ管理サービス２６２は、キャッシュＤＢ１８１に記憶されているキャッシュデータの中から、フラッシュしても良い対象を探索する（Ｓ１４６３）。例えば、最もアクセス頻度の低いキャッシュデータや、あるいは最後にアクセスしてから最も時間が経過したキャッシュデータなどを、最もフラッシュしても良いキャッシュデータと判断できる。

【0162】

ストレージ管理サービス２６２は、当該フラッシュ対象のキャッシュデータに対するＦｌｕｓｈ要求を行う（Ｓ１４６４）。この処理は、先に図１１においても説明した通り、ストレージ管理サービス２６２が管理しているイベントキューの最後尾に、該当するキャッシュデータのＦｌｕｓｈイベントを追加する事で行う。当該イベントは、当該ＣＢ関数の一連の処理が終わった後、Ｓ１４０１でのイベント待ちでイベントキューから受領され、イベント種別がＦｌｕｓｈイベントである一連の処理を開始するトリガーとなる。

【0163】

キャッシュデータを追加できる空き領域があれば、ストレージ管理サービス２６２は、読み込みもしくは書き込み対象となったデータを、キャッシュＤＢ上にキャッシュデータとして記録する（Ｓ１４８１）。ストレージ管理サービス２６２は、キャッシュＤＢに新たなキャッシュが登録できる空き領域があるかを検証する（Ｓ１４８２）。空き領域がなければ、ストレージ管理サービス２６２は、フラッシュ対象キャッシュデータの探索を行い（Ｓ１４８３）、当該キャッシュデータのＦｌｕｓｈ要求を行う（Ｓ１４８４）。

【0164】

イベント種別がＦｌｕｓｈイベントであれば、ストレージ管理サービス２６２はキャッシュＤＢ１８１から、フラッシュ対象となったキャッシュデータを削除する（Ｓ１４７１）。

【0165】

そして、ストレージ管理サービス２６２は、キャッシュＤＢ１８１の管理情報を更新する処理を実行する（Ｓ１４９１）。

【0166】

以上の実施例で示した通り、ストレージ管理サービス２６２はＲｅａｄイベントもしくはＷｒｉｔｅイベントを受け付けると、キャッシュＤＢ１８１上に該当するキャッシュデータが存在するかを確認する。キャッシュデータがあれば、ストレージ管理サービス２６２は、内蔵ストレージ部１３０へアクセスせずに、当該キャッシュデータを使って応答する。

【0167】

ＲＡＭ１２３に対するアクセスは、内蔵ストレージ部１３０に対するアクセスよりも十分高速である。そのため、本実施例のような構成をする事で、内蔵ストレージ部１３０部のアクセス性能を隠蔽することができる。

【0168】

しかし、その一方で、キャッシュＤＢ１８１上のキャッシュデータ内のデータと、内蔵ストレージ部１３０上に記憶している内容は、Ｆｌｕｓｈ処理が行われない限りは常に乖離し続けることになる。キャッシュＤＢ１８１を格納しているＲＡＭ１２３の内容は、システムの電源切断や再起動によって揮発する。もしくは、ＲＡＭ１２３の内容を保持したまま、システムが省電力状態に入った場合に、想定していない電源切断をしても揮発してしまう。そのため、ＲＡＭ１２３の内容、すなわち、キャッシュＤＢ１８１が揮発する前に、内蔵ストレージ部１３０に反映しなければならない。そして、キャッシュデータ内のデータを内蔵ストレージ部１３０に反映するには、暗号ＨＷ１５１が正常動作できることを保証しなければならない。

【0169】

以上の一連の処理によって、ストレージ管理サービス２６２は暗号ＨＷ１５１で発生しているエラーを検知し、必要に応じて、ユーザインタフェイスサービス２６１に警告もしくはエラー表示を要求する事ができる。これにより、暗号ＨＷレジスタ１５３内の全ての暗号に用いる情報が利用不可となる前に、一部でも破損したことを検知したら、速やかに再起動によって復旧するべく、ユーザへエラーや警告を報知できる。

【0170】

図１５は、暗号ＨＷ制御部２５４が提供する暗号制御ＣＢ関数のフローチャートである。当該処理は、暗号ＨＷ制御部２５４の機能として、ＣＰＵ１２１によって実行される。

【0171】

暗号ＨＷ制御部２５４は、コールバック理由に応じて処理を分岐する（Ｓ１５１１）。コールバック理由がｗｒｉｔｅ要求である場合、暗号ＨＷ制御部２５４はｅｎｃｄｅｃレジスタ３０３に０（ｅｎｃ）をセットする（Ｓ１５１２）。また、コールバック理由がｒｅａｄ要求である場合、暗号ＨＷ制御部２５４はｅｎｃｄｅｃレジスタ３０３に１（ｄｅｃ）をセットする。暗号ＨＷ制御部２５４は、コールバック理由がｒｅａｄ要求もしくはｗｒｉｔｅ要求であれば、データ格納一のオフセット情報をｔｗｅａｋレジスタ３０４に書き込む（Ｓ１５１３）。そして、暗号ＨＷ制御部２５４は、戻り値に０（設定完了）をセットし、処理を完了する。

【0172】

コールバック理由がステータス確認である場合、暗号ＨＷ制御部２５４は、ｓｔａｔｕｓレジスタ３０１にエラーが記録されたかに応じて処理を分岐する（Ｓ１５２１）。ｓｔａｔｕｓレジスタ３０１にエラーが記録されていない場合、暗号ＨＷ制御部２５４は、戻り値に１（エラー未発生中）をセットし、処理を完了する（Ｓ１５３２）。また、ｓｔａｔｕｓレジスタ３０１にエラーが記録されている場合、暗号ＨＷ制御部２５４は、戻り値に１（エラー発生中）をセットし、処理を完了する（Ｓ１５３３）。

【0173】

コールバック理由が代替鍵セットである場合、暗号ＨＷ制御部２５４は、ｋｅｙｒｅｇレジスタ３０２で指定されている鍵レジスタ番号を読み出し、変数ｔとする（Ｓ１５４１）。暗号ＨＷ制御部２５４は、ａｖａｉｌａｂｌｅ＿ｋｅｙレジスタ３１０のうち、添え字［変数ｔ］［０～７］に該当する箇所に対して、１（ＮＧ）をセットする（Ｓ１５４２）。すなわち、変数ｔ＝４であれば、ａｖａｉｌａｂｌｅ＿ｋｅｙレジスタ３１０の［４］［０］、［４］［１］、［４］［２］…［４］［７］に相当する要素に対して、１（ＮＧ）がセットする。同様に、暗号ＨＷ制御部２５４は、ａｖａｉｌａｂｌｅ＿ｋｅｙレジスタ３１０のうち、添え字［０～７］［変数ｔ］に該当する箇所に対して、１（ＮＧ）をセットする（Ｓ１５４３）。

【0174】

暗号ＨＷ制御部２５４は、図７に示すように最適ｃｒｙｐｙ＿ｋｅｙレジスタを検出する（Ｓ１５５１）。そして、その結果をｋｅｙｒｅｇレジスタ３０２にセットする（Ｓ１５５２）。

【0175】

次に図８に示すように暗号ＨＷ制御部２５４は、利用不可ｃｒｙｐｔ＿ｋｅｙレジスタ数を算出する（Ｓ１５６１）。暗号ＨＷ制御部２５４は、利用不可ｃｒｙｐｔ＿ｋｅｙレジスタ数が、エラー報知要求ｃｒｙｐｔ＿ｋｅｙレジスタ数閾値未満であるかを判定する（Ｓ１５６２）。利用不可ｃｒｙｐｔ＿ｋｅｙレジスタ数が、エラー報知要求ｃｒｙｐｔ＿ｋｅｙレジスタ数閾値未満であれば、暗号ＨＷ制御部２５４は、戻り値に３（警告報知要求）をセットし、処理を完了する（Ｓ１５６３）。また、エラー報知要求ｃｒｙｐｔ＿ｋｅｙレジスタ数閾値以上であれば、暗号ＨＷ制御部２５４は、戻り値に４（エラー報知要求）をセットし、処理を完了する（Ｓ１５６４）。

【0176】

以上の処理により、暗号ＨＷ制御部２５４はエラー時に利用していた暗号鍵を格納していたレジスタは除外し、それ以外の中から新たな暗号鍵が格納されているレジスタを代替の暗号鍵として検出し、ｋｅｙｒｅｇレジスタ３０２へセットすることができる。同時に、戻り値によって、ユーザインタフェイスサービス２６１に対して間接的に警告ないしエラー表示の要求を行う。

【0177】

ここで、本実施例においては、ｓｔａｔｕｓレジスタ３０１にエラーが記録されている時点で、ｋｅｙｒｅｇレジスタ３０２で指定されている鍵レジスタ番号は、一律利用不可であることを前提として説明をしたが本構成に限らない。

【0178】

例えば、暗号ＨＷ制御部２５４は、ｅｎｃｄｅｃレジスタ３０３を参照し、エラーが発生した原因が書き込み（暗号化）によるものか、読み込み（復号）によるものかを判断してもよい。当該判断に基づき、暗号ＨＷ制御部２５４は、ａｖａｉｌａｂｌｅ＿ｋｅｙレジスタ３１０の相当する要素に１（ＮＧ）をセットする構成としても良い。

【0179】

あるいは、ｓｔａｔｕｓレジスタ３０１にエラーが記録されていることを検知した都度、暗号ＨＷ制御部２５４は、それぞれの暗号鍵が保持されているレジスタが利用可能であるかを検証しなおす構成としても良い。当該検証処理は、図６に示すｃｒｙｐｔ＿ｋｅｙ検証のフローチャートを実行することによって実現できる。これらの変形については、本発明の趣旨を逸脱しない限りで適用可能である。

【0180】

本実施例に開示したとおり、暗号ＨＷ１５１上で暗号化・復号に利用する暗号鍵を保持するレジスタを多重化し、一部のレジスタが破損しても残りのレジスタで縮退動作できる。特に、データの暗号化・復号をするタイミング及びシステムが省電力状態に突入・復帰するタイミングで、利用可能な暗号鍵を保持するレジスタ数を判定し、ユーザへ再起動要求を報知したり、自動的に再起動したりできるようになる。

【0181】

以上により、ストレージ上のデータを暗号化・復号するための暗号ＨＷを備えた情報処理装置において、一定数以上の暗号鍵が常時利用可能な状態となり、システムの正常な動作が保証できる。

【0182】

（その他の実施形態）
以上、本発明の様々な例と実施形態を示して説明したが、本発明の趣旨と範囲は、本明細書内の特定の説明に限定されるものではない。

【0183】

本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

【符号の説明】

【0184】

１２１ ＣＰＵ
１２３ ＲＡＭ
１５１ 暗号ＨＷ
１５３ 暗号ＨＷレジスタ
１８１ キャッシュＤＢ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】