JP7456271B2 - 情報処理装置、情報処理方法及びプログラム - Google Patents

Description

本発明は、情報処理装置、情報処理方法及びプログラムに関する。

近年、情報処理装置において、システムを構成するファイル（ファームウェア、ソフトウェア）に対して不正な改竄を検知し、システム起動中に正当なファイルのみ実行できるようにして完全性・真正性を保証する技術（例えばＴｒｕｓｔｅｄ ＢｏｏｔやＬｉｎｕｘ（登録商標）‐ＩＭＡなど）が知られている。

システム起動中に正当なファイルのみ実行できるようにして完全性・真正性を保証する技術（例えばＴｒｕｓｔｅｄ ＢｏｏｔやＬｉｎｕｘ‐ＩＭＡなど）は、予め対象となるファイルに対してハッシュ値（計測値）の期待値や電子署名といった認証データを保管しておき、システム起動中に期待値や電子署名と比較検証することで、完全性・真正性の確認をファイル単位で行っていた。

特許文献１には、システム起動時に使用されるファイルの完全性を確認する目的で、ファイルの識別子をもとにしたデータと正解データとをファイルごとに照合し、データが一致しない場合にはシステムの起動を中断させる構成が開示されている。

しかし、システム起動時に正当なファイルのみ実行できるようにして完全性・真正性を保証する技術（例えばＴｒｕｓｔｅｄ ＢｏｏｔやＬｉｎｕｘ‐ＩＭＡなど）では、システム起動時に、利用するファイル全てに対してファイル単位で完全性・真正性を検証する必要がある。

ファイルの完全性・真正性を保証する従来の技術では、ファイル単位で完全性・真正性を検証するため、処理時間が余計に掛かるという問題があった。なお、特許文献１に開示されている構成であっても、ファイル単位で完全性・真正性を検証するため、処理時間が余計に掛かるという問題を解消できない。

本発明の実施の形態は、ファイルの完全性・真正性を検証するための処理時間を短縮できる情報処理装置を提供することを目的とする。

上記した課題を達成するために本願請求項１は、情報処理装置であって、完全性・真正性を検証する検証対象領域のパーティションと、完全性・真正性を検証しない検証対象外領域のパーティションと、を記憶領域に作成する作成手段と、圧縮したファイル、及び前記圧縮したファイルから作成した認証データを前記検証対象領域のパーティションに格納する格納処理手段と、前記検証対象領域のパーティションに格納されている前記圧縮したファイル及び前記認証データにより、前記情報処理装置の起動時に、前記圧縮したファイルの署名検証を行う署名検証手段と、署名検証に成功した前記圧縮したファイルを伸張し、伸張した前記ファイルを前記検証対象外領域のパーティションに展開する伸張展開手段と、を有することを特徴とする。

本発明の実施の形態によれば、ファイルの完全性・真正性を検証するための処理時間を短縮できる。

実施形態に係る情報処理装置のハードウェア構成図である。 実施形態に係る情報処理装置のソフトウェア構成図である。 システム起動時にファイルの完全性・真正性を検証する一般的な処理イメージを説明する図である。 システム起動時にファイルの完全性・真正性を検証する本実施形態の処理イメージを説明する図である。 ファイルシステムにより検証対象領域を設定するＩＭＡポリシーファイルの一例の構成図である。 本実施形態のシステム更新アプリのアクティビティ図である。 本実施形態のシステム更新用ファイル圧縮アプリのアクティビティ図である。 本実施形態のパーティション作成アプリのアクティビティ図である。 本実施形態のシステム起動時にファイルの完全性・真正性を確認する処理のアクティビティ図である。 ＵＵＩＤにより検証対象領域を設定するＩＭＡポリシーファイルの一例の構成図である。 システム起動時にファイルの完全性・真正性を検証する本実施形態の処理イメージを説明する図である。 ＰＣ（サーバ）のハードウェア構成図である。 ＭＦＰのハードウェア構成図である。

以下、添付図面を参照しながら実施形態について説明する。説明の理解を容易にするため、各図面において同一の構成要素に対しては可能な限り同一の符号を付して、重複する説明は省略する。

［第１の実施形態］
＜ハードウェア構成＞
図１は、実施形態に係る情報処理装置１のハードウェア構成図である。図１に示すように、情報処理装置１は、コントローラ２と、外部メモリ３と、システム起動用ストレージ４とを備える。情報処理装置１は、ネットワークサーバ５と例えばインターネットなどのネットワーク回線を介して通信可能に接続されている。

コントローラ２は、情報処理装置１の動作全体を制御する。コントローラ２は、システムを構成するファイル（ファームウェア、ソフトウェアなど）に対して不正な改竄を検知することで、ファイルの完全性・真正性を保証する。

コントローラ２は、ＣＰＵ(Central Processing Unit)２１、ＲＯＭ(Read Only Memory)２２、ＲＡＭ(Random Access Memory)２３を有する。ＣＰＵ２１は情報処理装置１全体の動作を制御する。ＲＯＭ２２にはＣＰＵ２１やＩＰＬ(Initial Program Loader)等のＣＰＵ２１の駆動に用いられるプログラムを記憶する。ＲＡＭ２３は、ＣＰＵ２１のワークエリアとして使用される。

システム起動用ストレージ４には、システムを構成するファイル（ファームウェア、ソフトウェア）が保存されている。ストレージの例としてはｅＭＭＣ(embedded Multi Media Card)等が挙げられる。

外部メモリ３には、ネットワークサーバ５に保存された新しいシステム更新（ＲＯＭ更新）ファイル（システム更新用ファイル）が保存されている。外部メモリ３の例としてはＳＤカード等が挙げられる。外部メモリ３に保存されたシステム更新用ファイルはシステム起動用ストレージ４に書き込まれる。また、ネットワークサーバ５には、新しくシステム更新（ＲＯＭ更新）を行うためのシステム更新用ファイルが保存されている。

＜ソフトウェア構成＞
図２は、実施形態に係る情報処理装置１のソフトウェア構成図である。図２に示すように、情報処理装置１は、ＯＳ１１、システム更新アプリ１２、システム更新用ファイル圧縮アプリ１３、及びパーティション作成アプリ１４を備える。また、情報処理装置１には認証データ１５、システム更新用ファイル１６、署名検証用公開鍵１７、及び署名検証用秘密鍵１８の各データが格納されている。

ＯＳ１１は、情報処理装置１の全体を制御する。また、ＯＳ１１はファームウェア改竄検知機能１１Ａ、署名作成・署名検証機能１１Ｂ、及びファイル伸張展開機能１１Ｃを有している。ファームウェア改竄検知機能１１Ａは、例えばＴｒｕｓｔｅｄ Ｂｏｏｔにより実現される。ファームウェア改竄検知機能１１Ａはシステム起動時に利用するファームウェア（例えば、ＢＩＯＳやブートローダ）に対する改竄検知を行う。

署名作成・署名検証機能１１Ｂは、例えばＬｉｎｕｘ－ＩＭＡにより実現される。署名作成・署名検証機能１１Ｂは、ファームウェアの起動後に実行される、後述の圧縮されたファイルの署名作成と署名検証（ファイルの完全性・真正性の検証）を行う。ファイル伸張展開機能１１Ｃは完全性・真正性の検証に成功した、圧縮されたファイルを伸張及び展開する処理を行う。

システム更新用ファイル圧縮アプリ１３は、外部メモリ３に保存されているシステム更新用ファイルを圧縮して１つのファイルにする。システム更新アプリ１２は、システム更新用ファイル圧縮アプリ１３により圧縮されたシステム更新用ファイルをシステム起動用ストレージ４の後述の検証対象領域のパーティションに保存する。

パーティション作成アプリ１４はシステム起動用ストレージ４の記憶領域に、ファイルの完全性・真正性を検証する検証対象領域のパーティションと、完全性・真正性を検証しない検証対象外領域のパーティションと、を作成する。

認証データ１５は、署名作成・署名検証機能１１Ｂが圧縮されたシステム更新用ファイル１６を署名検証するためのデータである。システム更新用ファイル１６は、システムを構成するためのファイル（ファームウェア、ソフトウェア）を格納する。署名検証用公開鍵１７は、圧縮されたシステム更新用ファイル１６の署名検証に利用する公開鍵データである。署名検証用秘密鍵１８は、圧縮されたシステム更新用ファイル１６の署名検証に利用する秘密鍵データである。

ネットワークサーバ５は、ＯＳ５１を備える。また、ネットワークサーバ５には、システム更新用ファイル１６のデータが格納されている。ＯＳ５１は、ネットワークサーバ５の全体の制御を行う。システム更新用ファイル１６は、システムを構成するためのファイル（ファームウェア、ソフトウェア）を格納する。

なお、図２のＯＳ１１、システム更新アプリ１２、システム更新用ファイル圧縮アプリ１３、及びパーティション作成アプリ１４の処理は、図１に示されているＣＰＵ２１がＲＡＭ２３をワークエリアとして使用して、プログラムに従った処理を実行することで実現する。

＜実施形態の処理または動作＞
以降、各実施形態の処理または動作について説明する。

図３は、システム起動時にファイルの完全性・真正性を検証する一般的な処理イメージを説明する図である。システム更新時には、情報処理装置１のシステム起動用ストレージ４にシステムを構成するファームウェア・ソフトウェア（例えば図３の「アプリ１」「アプリ２」「アプリ３」など）のファイルを保存する（ステップＳ１）。

システム起動用ストレージ４に保存したファイルごとに認証データを作成し、それぞれのファイルのメタデータ領域に認証データ（電子署名）を保存する。認証データは、例えばファイルにハッシュ演算を行い、生成された値を署名検証用秘密鍵１８で暗号化することで作成できる（ステップＳ２）。

システム起動時、情報処理装置１の署名作成・署名検証機能１１ＢはステップＳ１でシステム起動用ストレージ４に保存されたファイルを実行する際に、ファイル単位で署名検証を行う。ここでは、ステップＳ２で保存した認証データを署名検証用公開鍵１７により復号した値と、実行するファイルにハッシュ演算を行い、生成された値と、の比較により署名検証を行う（ステップＳ３）。

署名検証に成功した場合、実行するファイルはＲＡＭ２３に展開され、実行される（ステップＳ４）。署名検証に失敗した場合、実行しようとしていたファイルは不正ファイルとして検知され、ファイルの実行（システム）が停止される（ステップＳ５）。

なお、図３に示したファイルの完全性・真正性を検証する処理イメージはカーネルが起動した後のファイルの完全性・真正性を検証する仕組みである。Ｌｉｎｕｘ－ＩＭＡが有効になる前に起動するファームウェア（ＢＩＯＳやブートローダなど）の完全性・真正性の検証は、例えばＴｒｕｓｔｅｄ Ｂｏｏｔによるファームウェア改竄検知機能１１Ａの仕組みを利用する。

図３の処理イメージでは、システム起動時、利用するファイル全てに対してファイル単位で完全性・真正性を検証していたため、完全性・真正性を検証するファイルが多くなるほど、完全性・真正性を検証するための処理時間が長くなっていた。

そこで、本実施形態では図４に示すような処理イメージでシステム起動時にファイルの完全性・真正性を検証することで、完全性・真正性を検証するための処理時間（署名作成及び署名検証の処理時間）を短縮している。図４は、システム起動時にファイルの完全性・真正性を検証する本実施形態の処理イメージを説明する図である。

システム（ＲＯＭ）更新時には、ネットワークサーバ５から取得し、外部メモリ３に保存されたシステム更新用ファイル１６を、システム起動用ストレージ４に保存する処理が行われる。例えば情報処理装置１のシステム更新用ファイル圧縮アプリ１３は、システムを構成するファームウェア・ソフトウェア（例えば図４の「アプリ１」「アプリ２」「アプリ３」など）のファイル全体１００を圧縮することで、一つのシステム更新用ファイル１６を生成する（ステップＳ１１）。なお、ファイル全体１００を圧縮することで、一つのシステム更新用ファイル１６を生成する処理は、ネットワークサーバ５で行うようにしてもよい。以下ではファイル全体１００を圧縮することで生成したシステム更新用ファイル１６を圧縮したシステム更新用ファイル１６と呼ぶ。

情報処理装置１のパーティション作成アプリ１４は、システム起動用ストレージ４の記憶領域に、例えば「ファイルシステム１」でフォーマットされたパーティションを作成する（ステップＳ１２）。また、情報処理装置１のパーティション作成アプリ１４は、システム起動用ストレージ４の記憶領域に、例えば「ファイルシステム２」でフォーマットされたパーティションを作成する（ステップＳ１３）。

Ｌｉｎｕｘ－ＩＭＡでは、例えば図５のようなＩＭＡポリシーファイルに検証対象領域のファイルシステムを設定する。図５のようなＩＭＡポリシーファイルに検証対象領域として設定されたファイルシステムでフォーマットされたパーティションは、検証対象領域のパーティションとなる。また、図５のようなＩＭＡポリシーファイルに検証対象領域として設定されていないファイルシステムでフォーマットされたパーティションは、検証対象外領域のパーティションとなる。図５はファイルシステムにより検証対象領域を設定するＩＭＡポリシーファイルの一例の構成図である。

そこで、パーティション作成アプリ１４は図５のようなＩＭＡポリシーファイルに検証対象領域のファイルシステムとして「ファイルシステム１」を設定する。これにより、情報処理装置１のシステム起動用ストレージ４には検証対象領域のパーティションと検証対象外領域のパーティションとが作成される（ステップＳ１４）。

次に、情報処理装置１のシステム更新アプリ１２は、システム起動用ストレージ４に作成された検証対象領域のパーティションに、圧縮したシステム更新用ファイル１６を保存する（ステップＳ１５）。情報処理装置１の署名作成・署名検証機能１１Ｂは、圧縮したシステム更新用ファイル１６から認証データを作成し、圧縮したシステム更新用ファイル１６のメタデータ領域に認証データ（電子署名）を保存する。認証データは、圧縮したシステム更新用ファイル１６にハッシュ演算を行い、生成された値を署名検証用秘密鍵１８で暗号化することで作成される（ステップＳ１６）。

システム起動時、情報処理装置１の署名作成・署名検証機能１１ＢはステップＳ１５で検証対象領域のパーティションに保存した、圧縮したシステム更新用ファイル１６と、その圧縮したシステム更新用ファイル１６のメタデータ領域に保存した認証データとで署名検証を行う（ステップＳ１７）。具体的に、署名作成・署名検証機能１１ＢはステップＳ１６で保存した認証データを署名検証用公開鍵１７により復号した値と、圧縮したシステム更新用ファイル１６にハッシュ演算を行い、生成された値と、の比較により署名検証を行う。

署名検証に成功した場合、情報処理装置１のファイル伸張展開機能１１Ｃは圧縮したシステム更新用ファイル１６を伸張することで、システムを構成するファイル全体１００を取得する。そして、ファイル伸張展開機能１１Ｃはシステムを構成するファイル全体１００を検証対象外領域のパーディションに展開する（ステップＳ１８）。そして、検証対象外領域のパーディションに展開されたシステムを構成するファイル全体１００は、実行が可能となる（ステップＳ１９）。

なお、署名検証に失敗した場合、情報処理装置１のファイル伸張展開機能１１Ｃは圧縮したシステム更新用ファイル１６を不正ファイルとして検知し、システムを停止する（ステップＳ２０）。

このように本実施形態ではシステム起動用ストレージ４に複数のパーティションを作成して、それぞれのパーティションのファイルシステムの種類によって、完全性・真正性を検証する検証対象領域のパーティションと完全性・真正性を検証しない検証対象外領域のパーティションとして利用する。

また、完全性・真正性を検証する検証対象領域のパーティションには、システムを構成するファームウェア・ソフトウェア（検証するファイル全体）を１つにまとめて圧縮したシステム更新用ファイル１６を保存する。これにより、本実施形態では完全性・真正性を検証するファイルの数（ファイル検証数）を少なくすることができる。また、本実施形態では完全性・真正性を検証するファイルのデータサイズを圧縮により小さくできる。本実施形態ではファイル検証数及びデータサイズの減少により、ファイルの完全性・真正性を検証するための処理時間を短縮できる。

図６は本実施形態のシステム更新アプリ１２のアクティビティ図である。システム更新時、システム更新アプリ１２は外部メモリ３に格納された（外部メモリ３の所定のディレクトリに保存された）システム更新用ファイルを読み出す。なお、外部メモリ３に格納されたシステム更新用ファイルは、システムを構成する複数のファイルであってもよいし、ネットワークサーバ５でファイル全体１００が圧縮された一つのシステム更新用ファイル１６であってもよい（ステップＳ３０）。

外部メモリ３に格納されたシステム更新用ファイルがシステムを構成する複数のファイルであれば、システム更新アプリ１２はシステム更新用ファイル圧縮アプリ１３を利用して、システムを構成するファイル全体１００を圧縮することで、一つのシステム更新用ファイル１６を生成する（ステップＳ３２）。なお、外部メモリ３に圧縮したシステム更新用ファイル１６が格納されていれば、システム更新アプリ１２はステップＳ３２の処理をスキップする。

システム更新アプリ１２はパーティション作成アプリ１４を利用して、システム起動用ストレージ４の記憶領域に、ファイルの完全性・真正性を確認する例えば「ファイルシステム１」でフォーマットされた検証対象領域のパーティションと、ファイルの完全性・真正性を確認しない例えば「ファイルシステム２」でフォーマットされた検証対象外領域のパーティションと、を作成する（ステップＳ３４）。

システム更新アプリ１２はＬｉｎｕｘ－ＩＭＡの制御により、例えば図５のようなＩＭＡポリシーファイルに検証対象領域のファイルシステムとして「ファイルシステム１」を設定することで、「ファイルシステム１」が管理するパーティションが完全性・真正性を確認する領域として設定される。また、システム更新アプリ１２はＬｉｎｕｘ－ＩＭＡの制御により、例えば図５のようなＩＭＡポリシーファイルに検証対象領域のファイルシステムとして「ファイルシステム２」を設定しないことで、「ファイルシステム２」が管理するパーティションが完全性・真正性を確認しない領域として設定される（ステップＳ３６）。

なお、ここではパーティションをフォーマットするファイルシステムの例を説明しているが、ＲＡＭ２３に直接圧縮・展開するｓｑｕａｓｈｆｓなどのファイルシステムを完全性・真正性を確認する検証対象領域のファイルシステムに設定する場合も同様の設定が可能である。

次に、システム更新アプリ１２は、システム起動用ストレージ４に作成された検証対象領域のパーティションに、圧縮したシステム更新用ファイル１６を保存する（ステップＳ３８）。システム更新アプリ１２はＬｉｎｕｘ－ＩＭＡの制御により、圧縮したシステム更新用ファイル１６から認証データを作成し、圧縮したシステム更新用ファイル１６のメタデータ領域に認証データ（電子署名）を格納する。認証データは、圧縮したシステム更新用ファイル１６にハッシュ演算を行い、生成された値を署名検証用秘密鍵１８で暗号化することで作成される（ステップＳ４０）。

また、システム更新アプリ１２は認証データ（電子署名）の作成に利用した署名検証用秘密鍵１８に対応する署名検証用公開鍵１７をシステム起動用ストレージ４などに格納する（ステップＳ４２）。

図７は本実施形態のシステム更新用ファイル圧縮アプリ１３のアクティビティ図である。システム更新用ファイル圧縮アプリ１３はシステムを構成するファイル全体１００を圧縮することにより、一つの圧縮されたシステム更新用ファイル１６を生成する（ステップＳ５０）。

なお、圧縮したシステム更新用ファイル１６の生成をネットワークサーバ５で行う場合は情報処理装置１のシステム更新用ファイル圧縮アプリ１３がネットワークサーバ５に設けられる。

図８は本実施形態のパーティション作成アプリ１４のアクティビティ図である。情報処理装置１のパーティション作成アプリ１４はシステム更新時、システム起動用ストレージ４の記憶領域に、例えば「パーティション１」と「パーティション２」とを作成する（ステップＳ６０）。

「パーティション１」を完全性・真正性を確認する検証対象領域とする場合、パーティション作成アプリ１４は、例えば図５のＩＭＡポリシーファイルに検証対象領域のファイルシステムとして設定される例えばｅｘｔ４等の「ファイルシステム１」でフォーマットする（ステップＳ６２）。「パーティション２」を完全性・真正性を確認しない検証対象外領域とする場合、パーティション作成アプリ１４は例えば図５のＩＭＡポリシーファイルに検証対象領域のファイルシステムとして設定されていない例えばｘｆｓ等の「ファイルシステム２」でフォーマットする（ステップＳ６４）。

図９は本実施形態のシステム起動時にファイルの完全性・真正性を確認する処理のアクティビティ図である。システム起動時、情報処理装置１の署名作成・署名検証機能１１Ｂは認証データを復号するための署名検証用公開鍵１７をシステム起動用ストレージ４などから読み出し、登録する（ステップＳ７０）。また、署名作成・署名検証機能１１Ｂは図５のようなＩＭＡポリシーファイルを参照することで、検証対象領域のパーティションと検証対象外領域のパーティションとを確認する（ステップＳ７２）。

署名作成・署名検証機能１１Ｂは検証対象領域のパーティションに格納されている圧縮したシステム更新用ファイル１６に対して、ステップＳ７０で登録した署名検証用公開鍵１７をもとに署名検証を行う（ステップＳ７４）。

具体的に、署名作成・署名検証機能１１Ｂは圧縮したシステム更新用ファイル１６のメタデータ領域に保存されている認証データを署名検証用公開鍵１７により復号した値と、圧縮したシステム更新用ファイル１６にハッシュ演算を行い、生成された値と、の比較により署名検証を行う。

署名検証に成功した場合、署名作成・署名検証機能１１Ｂはファイル伸張展開機能１１Ｃを利用して、検証対象外領域のパーティションに、圧縮したシステム更新用ファイル１６を伸張・展開する（ステップＳ７６）。そして、検証対象外領域のパーティションに展開されたシステムを構成するファイル全体１００は、実行される（ステップＳ７８）。なお、署名検証に失敗した場合、署名作成・署名検証機能１１Ｂは圧縮したシステム更新用ファイル１６を不正ファイルとして検知し、システムを停止する（ステップＳ８０）。

本実施形態によれば、ファイルの完全性・真正性を検証するための処理時間を短縮することができる。

［他の実施形態］
図５のＩＭＡポリシーファイルは一例であって、例えば図１０のＩＭＡポリシーファイルのように、パーティション毎に割り振られる一意のＩＤ（例えばＵＵＩＤ）により検証対象領域のパーティションを設定してもよい。なお、図１０のＩＭＡポリシーファイルに検証対象領域のパーティションとして設定されていないパーティションは、検証対象外領域のパーティションとなる。

図１１はシステム起動時にファイルの完全性・真正性を検証する本実施形態の処理イメージを説明する図である。図４はファイルシステムの種類によって、完全性・真正性を検証する検証対象領域のパーティションと完全性・真正性を検証しない検証対象外領域のパーティションとを作成していた。

一方、図１１はパーティションのＵＵＩＤによって、完全性・真正性を検証する検証対象領域のパーティションと完全性・真正性を検証しない検証対象外領域のパーティションとを作成している。

例えばシステム更新アプリ１２は、Ｌｉｎｕｘ－ＩＭＡの制御により例えば図１０のようなＩＭＡポリシーファイルに検証対象領域としたい「パーティション１」の「ＵＵＩＤ１」を設定することで、「ＵＵＩＤ１」で識別されるパーティションが完全性・真正性を確認する領域として設定される。

また、システム更新アプリ１２は、Ｌｉｎｕｘ－ＩＭＡの制御により例えば図１０のようなＩＭＡポリシーファイルに検証対象領域としたくない「パーティション２」の「ＵＵＩＤ２」を設定しないことで、「ＵＵＩＤ２」で識別されるパーティションが完全性・真正性を確認しない領域として設定される。

図１０及び図１１に示した本実施形態によれば、同じ種類のファイルシステムを使ってパーティションを作成したい場合であっても、完全性・真正性を確認する検証対象領域のパーティションと完全性・真正性を確認しない検証対象外領域のパーティションとを作成できる。

なお、本実施形態に係る情報処理装置１は、システム起動時等にファイルの完全性・真正性を検証する機能を備えた装置であれば図１に例示した構成に限られない。例えば、ＰＪ（Projector：プロジェクタ）、ＩＷＢ（Interactive White Board：相互通信が可能な電子式の黒板機能を有する白板）、デジタルサイネージ等の出力装置、ＨＵＤ（Head Up Display）装置、産業機械、撮像装置、集音装置、医療機器、ネットワーク家電、自動車（Connected Car）、ノートＰＣ（Personal Computer）、携帯電話、スマートフォン、タブレット端末、ゲーム機、ＰＤＡ（Personal Digital Assistant）、デジタルカメラ、ウェアラブルＰＣまたはデスクトップＰＣ等であってもよい。

例えば、実施形態に係る情報処理装置１は、図１２、図１３に示すハードウェア構成を有する、ＰＣ（サーバ）６、またはＭＦＰ７のいずれかであってもよい。

図１２は、ＰＣ（サーバ）のハードウェア構成図である。ここではネットワークサーバ５のハードウェア構成について説明する。

図１２に示されているように、サーバ６は、コンピュータによって構築されており、図１２に示されているように、ＣＰＵ６０１、ＲＯＭ６０２、ＲＡＭ６０３、ＨＤ６０４、ＨＤＤ(Hard Disk Drive)コントローラ６０５、ディスプレイ６０６、外部機器接続Ｉ／Ｆ(Interface)６０８、ネットワークＩ／Ｆ６０９、データバス６１０、キーボード６１１、ポインティングデバイス６１２、ＤＶＤ－ＲＷ(Digital Versatile Disk Rewritable)ドライブ６１４、メディアＩ／Ｆ６１６を備えている。

これらのうち、ＣＰＵ６０１は、サーバ６全体の動作を制御する。ＲＯＭ６０２は、ＩＰＬ等のＣＰＵ６０１の駆動に用いられるプログラムを記憶する。ＲＡＭ６０３は、ＣＰＵ６０１のワークエリアとして使用される。ＨＤ６０４は、プログラム等の各種データを記憶する。ＨＤＤコントローラ６０５は、ＣＰＵ６０１の制御にしたがってＨＤ６０４に対する各種データの読み出し又は書き込みを制御する。ディスプレイ６０６は、カーソル、メニュー、ウィンドウ、文字、又は画像などの各種情報を表示する。外部機器接続Ｉ／Ｆ６０８は、各種の外部機器を接続するためのインターフェースである。この場合の外部機器は、例えば、ＵＳＢ(Universal Serial Bus)メモリやプリンタ等である。ネットワークＩ／Ｆ６０９は、通信ネットワークを利用してデータ通信をするためのインターフェースである。データバス６１０は、図１２に示されているＣＰＵ６０１等の各構成要素を電気的に接続するためのアドレスバスやデータバス等である。

また、キーボード６１１は、文字、数値、各種指示などの入力のための複数のキーを備えた入力手段の一種である。ポインティングデバイス６１２は、各種指示の選択や実行、処理対象の選択、カーソルの移動などを行う入力手段の一種である。ＤＶＤ－ＲＷドライブ６１４は、着脱可能な記録媒体の一例としてのＤＶＤ－ＲＷ６１３に対する各種データの読み出し又は書き込みを制御する。なお、ＤＶＤ－ＲＷに限らず、ＤＶＤ－Ｒ等であってもよい。メディアＩ／Ｆ６１６は、フラッシュメモリ等の記録メディア６１５に対するデータの読み出し又は書き込み（記憶）を制御する。

図１３は、ＭＦＰ９のハードウェア構成図である。図１３に示されているように、ＭＦＰ(Multifunction Peripheral/Product/Printer)９は、コントローラ９１０、近距離通信回路９２０、エンジン制御部９３０、操作パネル９４０、ネットワークＩ／Ｆ９５０を備えている。

これらのうち、コントローラ９１０は、コンピュータの主要部であるＣＰＵ９０１、システムメモリ（ＭＥＭ－Ｐ）９０２、ノースブリッジ（ＮＢ）９０３、サウスブリッジ（ＳＢ）９０４、ＡＳＩＣ(Application Specific Integrated Circuit)９０６、記憶部であるローカルメモリ（ＭＥＭ－Ｃ）９０７、ＨＤＤコントローラ９０８、及び、記憶部であるＨＤ９０９を有し、ＮＢ９０３とＡＳＩＣ９０６との間をＡＧＰ(Accelerated Graphics Port)バス９２１で接続した構成となっている。

これらのうち、ＣＰＵ９０１は、ＭＦＰ９の全体制御を行う制御部である。ＮＢ９０３は、ＣＰＵ９０１と、ＭＥＭ－Ｐ９０２、ＳＢ９０４、及びＡＧＰバス９２１とを接続するためのブリッジであり、ＭＥＭ－Ｐ９０２に対する読み書きなどを制御するメモリコントローラと、ＰＣＩ(Peripheral Component Interconnect)マスタ及びＡＧＰターゲットとを有する。

ＭＥＭ－Ｐ９０２は、コントローラ９１０の各機能を実現させるプログラムやデータの格納用メモリであるＲＯＭ９０２ａ、プログラムやデータの展開、及びメモリ印刷時の描画用メモリなどとして用いるＲＡＭ９０２ｂとからなる。なお、ＲＡＭ９０２ｂに記憶されているプログラムは、インストール可能な形式又は実行可能な形式のファイルでＣＤ－ＲＯＭ、ＣＤ－Ｒ、ＤＶＤ等のコンピュータで読み取り可能な記録媒体に記録して提供するように構成してもよい。

ＳＢ９０４は、ＮＢ９０３とＰＣＩデバイス、周辺デバイスとを接続するためのブリッジである。ＡＳＩＣ９０６は、画像処理用のハードウェア要素を有する画像処理用途向けのＩＣ(Integrated Circuit)であり、ＡＧＰバス９２１、ＰＣＩバス９２２、ＨＤＤ９０８およびＭＥＭ－Ｃ９０７をそれぞれ接続するブリッジの役割を有する。このＡＳＩＣ９０６は、ＰＣＩターゲットおよびＡＧＰマスタ、ＡＳＩＣ９０６の中核をなすアービタ（ＡＲＢ）、ＭＥＭ－Ｃ９０７を制御するメモリコントローラ、ハードウェアロジックなどにより画像データの回転などを行う複数のＤＭＡＣ(Direct Memory Access Controller)、並びに、スキャナ部９３１及びプリンタ部９３２との間でＰＣＩバス９２２を介したデータ転送を行うＰＣＩユニットとからなる。なお、ＡＳＩＣ９０６には、ＵＳＢ(Universal Serial Bus)のインターフェースや、ＩＥＥＥ１３９４(Institute of Electrical and Electronics Engineers 1394）のインターフェースを接続するようにしてもよい。

ＭＥＭ－Ｃ９０７は、コピー用画像バッファ及び符号バッファとして用いるローカルメモリである。ＨＤ９０９は、画像データの蓄積、印刷時に用いるフォントデータの蓄積、フォームの蓄積を行うためのストレージである。ＨＤ９０９は、ＣＰＵ９０１の制御にしたがってＨＤ９０９に対するデータの読出又は書込を制御する。ＡＧＰバス９２１は、グラフィック処理を高速化するために提案されたグラフィックスアクセラレータカード用のバスインタフェースであり、ＭＥＭ－Ｐ９０２に高スループットで直接アクセスすることにより、グラフィックスアクセラレータカードを高速にすることができる。

また、近距離通信回路９２０には、近距離通信回路９２０ａが備わっている。近距離通信回路９２０は、ＮＦＣ、Ｂｌｕｅｔｏｏｔｈ（登録商標）等の通信回路である。

更に、エンジン制御部９３０は、スキャナ部９３１及びプリンタ部９３２によって構成されている。また、操作パネル９４０は、現在の設定値や選択画面等を表示させ、操作者からの入力を受け付けるタッチパネル等のパネル表示部９４０ａ、並びに、濃度の設定条件などの画像形成に関する条件の設定値を受け付けるテンキー及びコピー開始指示を受け付けるスタートキー等からなる操作パネル９４０ｂを備えている。コントローラ９１０は、ＭＦＰ９全体の制御を行い、例えば、描画、通信、操作パネル９４０からの入力等を制御する。スキャナ部９３１又はプリンタ部９３２には、誤差拡散やガンマ変換などの画像処理部分が含まれている。

なお、ＭＦＰ９は、操作パネル９４０のアプリケーション切り替えキーにより、ドキュメントボックス機能、コピー機能、プリンタ機能、およびファクシミリ機能を順次に切り替えて選択することが可能となる。ドキュメントボックス機能の選択時にはドキュメントボックスモードとなり、コピー機能の選択時にはコピーモードとなり、プリンタ機能の選択時にはプリンタモードとなり、ファクシミリモードの選択時にはファクシミリモードとなる。

また、ネットワークＩ／Ｆ９５０は、通信ネットワークを利用してデータ通信をするためのインターフェースである。近距離通信回路９２０及びネットワークＩ／Ｆ９５０は、ＰＣＩバス９２２を介して、ＡＳＩＣ９０６に電気的に接続されている。

本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。なお、本実施形態で説明した情報処理装置１は一例であって、用途や目的に応じて様々な構成例があることは言うまでもない。

上記で説明した実施形態の各機能は、一又は複数の処理回路によって実現することが可能である。ここで、本明細書における「処理回路」とは、電子回路により実装されるプロセッサのようにソフトウェアによって各機能を実行するようプログラミングされたプロセッサや、上記で説明した各機能を実行するよう設計されたASIC（Application Specific Integrated Circuit）、DSP（digital signal processor）、FPGA（field programmable gate array）や従来の回路モジュール等のデバイスを含むものとする。

実施例に記載された装置群は、本明細書に開示された実施形態を実施するための複数のコンピューティング環境のうちの1つを示すものにすぎない。

パーティション作成アプリ１４は特許請求の範囲に記載した作成手段の一例である。システム更新アプリ１２は格納処理手段の一例である。署名作成・署名検証機能１１Ｂは署名検証手段の一例である。ファイル伸張展開機能１１Ｃは伸張展開手段の一例である。システム更新用ファイル圧縮アプリ１３は圧縮手段の一例である。ＵＵＩＤは識別情報の一例である。

１ 情報処理装置
２ コントローラ
３ 外部メモリ
４ システム起動用ストレージ
５ ネットワークサーバ
１１ ＯＳ
１２ システム更新アプリ
１３ システム更新用ファイル圧縮アプリ
１４ パーティション作成アプリ
１５ 認証データ
１６ システム更新用ファイル
１７ 署名検証用公開鍵
１８ 署名検証用秘密鍵
２１ ＣＰＵ(Central Processing Unit)
２２ ＲＯＭ(Read Only Memory)
２３ ＲＡＭ(Random Access Memory)
５１ ＯＳ

特開２０１９－３２７５号公報

Claims (7)

1. 情報処理装置であって、
   完全性・真正性を検証する検証対象領域のパーティションと、完全性・真正性を検証しない検証対象外領域のパーティションと、を記憶領域に作成する作成手段と、
   圧縮したファイル、及び前記圧縮したファイルから作成した認証データを前記検証対象領域のパーティションに格納する格納処理手段と、
   前記検証対象領域のパーティションに格納されている前記圧縮したファイル及び前記認証データにより、前記情報処理装置の起動時に、前記圧縮したファイルの署名検証を行う署名検証手段と、
   署名検証に成功した前記圧縮したファイルを伸張し、伸張した前記ファイルを前記検証対象外領域のパーティションに展開する伸張展開手段と、
   を有する情報処理装置。
2. 前記作成手段は、前記検証対象領域のファイルシステムとして設定された前記ファイルシステムでフォーマットすることにより前記検証対象領域のパーティションを作成すること
   を特徴とする請求項１記載の情報処理装置。
3. 前記作成手段は、前記パーティションごとに割り振られた識別情報によって前記検証対象領域としたいパーティションの前記識別情報を設定することで、前記識別情報によって識別される前記パーティションを前記検証対象領域として作成すること
   を特徴とする請求項１記載の情報処理装置。
4. 複数のファイル全体を圧縮して一つの前記圧縮したファイルを生成する圧縮手段、
   を更に有する請求項１乃至３の何れか一項に記載の情報処理装置。
5. 前記伸張展開手段は、署名検証に失敗した場合、前記圧縮したファイルの前記伸張及び前記展開を中止すること
   を特徴とする請求項１乃至４の何れか一項に記載の情報処理装置。
6. 情報処理装置に、
   完全性・真正性を検証する検証対象領域のパーティションと、完全性・真正性を検証しない検証対象外領域のパーティションと、を記憶領域に作成する作成ステップと、
   圧縮したファイル、及び前記圧縮したファイルから作成した認証データを前記検証対象領域のパーティションに格納する格納処理ステップと、
   前記検証対象領域のパーティションに格納されている前記圧縮したファイル及び前記認証データにより、前記情報処理装置の起動時に、前記圧縮したファイルの署名検証を行う署名検証ステップと、
   署名検証に成功した前記圧縮したファイルを伸張し、伸張した前記ファイルを前記検証対象外領域のパーティションに展開する伸張展開ステップと、
   を実行させる情報処理方法。
7. 情報処理装置を、
   完全性・真正性を検証する検証対象領域のパーティションと、完全性・真正性を検証しない検証対象外領域のパーティションと、を記憶領域に作成する作成手段、
   圧縮したファイル、及び前記圧縮したファイルから作成した認証データを前記検証対象領域のパーティションに格納する格納処理手段、
   前記検証対象領域のパーティションに格納されている前記圧縮したファイル及び前記認証データにより、前記情報処理装置の起動時に、前記圧縮したファイルの署名検証を行う署名検証手段、
   署名検証に成功した前記圧縮したファイルを伸張し、伸張した前記ファイルを前記検証対象外領域のパーティションに展開する伸張展開手段、
   として機能させるためのプログラム。

Images