JP2021089607A - 情報処理装置 - Google Patents

Abstract

【課題】検証により改竄が検出されたプログラムの復旧処理を行った後、装置が起動するときにＷＤＴによるリセットが実行されるのを防止する情報処理装置を提供する。【解決手段】情報処理装置ＭＦＰ１は、プログラムを実行して制御するメインＣＰＵと、プログラムを検証するサブＣＰＵと、装置の動作中に計時を行い、当該計時のクリア制御が第１所定時間内に行われない場合にリセット信号を出力する第１タイマとサブＣＰＵがプログラムの検証で異常を検知したときに計時を行い、計時のクリア制御が第２所定時間内に行われない場合にリセット信号を出力する第２タイマとを備えたＷＤＴ部と、ＷＤＴ部からのリセット信号に基づいてメインＣＰＵ及びサブＣＰＵへのリセット信号を生成するリセット回路とを有する。サブＣＰＵは、プログラムの検証で異常を検知すると第１タイマによる計時を停止させ、第２タイマによる計時を開始させてプログラムの復旧処理を行う。【選択図】図１

Description

本発明は、情報処理装置に関するものである。

ソフトウェアのハングアップ等が原因でシステムの正常動作が難しくなった場合、システム全体のリセットを実行して自動復旧を試みることを目的として、ウォッチドッグタイマ（Watch Dog Timer：ＷＤＴ）が活用されてきた。ＷＤＴは、システムの動作中にカウンタ等によって計時を行い、そのカウンタに対するクリア制御が一定時間内に行われない場合、システムに異常が発生しているとみなし、強制的にシステムリセットを実行する。一般的に、カウンタに対するクリア制御は、システム制御を統括するメインＣＰＵにより行われる。ＷＤＴはカウント値のクリア制御を受けると、それまでの計時値をリセットして、初期値から計時を再開する。例えば、特許文献１には、複数のＣＰＵが同時に動作する場合に、各ＣＰＵが適切に動作していることを確認できるＷＤＴが記載されている。

一方で、起動プログラムが改竄されていないことを検証しながらシステムを起動するセキュアブートを導入したＭＦＰ（Multi-function peripheral）が近年導入されつつある。このようなＭＦＰは、ユーザによる電源スイッチのオン等によって行われるシステム起動の中で、最初にＢＩＯＳ（Basi Input/Output System）やファームウェアに対する改竄の有無を検証することで、システムの起動中に、ソフトウェアの安全性を担保する。ここで検証の結果ＮＧが発生すると、システムの起動の強制停止や、改竄されていると判定されたソフトウェアの復旧を実施する。ソフトウェアの復旧は、予め外部からの書き込みが不可能な領域にマスタデータを保持しておき、ソフトウェアの復旧が必要になった場合、そのＮＧと判定されたデータをマスタデータで上書きすることで、ソフトソフトウェアを復旧する。尚、上述したプログラムの改竄の有無の検証は、起動プログラムを実行するＣＰＵ自身は、その起動プログラムの改竄を検知できないため、起動プログラムを実行するＣＰＵとは異なるサブＣＰＵにより、その起動プログラムの改竄の有無を検証している。

特開２００９−５３９５２号公報

上述したプログラムの改竄の有無を検証するシステムでは、サブＣＰＵがブートコードの改竄の有無を検証する間、ＷＤＴをクリアできるメインＣＰＵが動作できない。そのため、ブートコードの復旧が必要となった場合、メインＣＰＵの起動までに要する時間が更に長くなる。そのため、システムとしては正常に動作しているにも拘わらず、ＷＤＴのタイムアウト時間に到達してしまい、不必要なリセットが実行されてしまうおそれがあった。

本発明の目的は、上記従来技術の問題点の少なくとも一つを解決することにある。

本発明の目的は、プログラムの検証により異常が検出され、そのプログラムの復旧処理を行った後、装置が起動するときにＷＤＴによるリセットが実行されるのを防止する技術を提供することにある。

上記目的を達成するために本発明の一態様に係る情報処理装置は以下のような構成を備える。即ち、
情報処理装置であって、
プログラムを実行して前記情報処理装置を制御する第１ＣＰＵと、
前記プログラムを検証する第２ＣＰＵと、
前記情報処理装置の動作中に計時を行い、当該計時のクリア制御が第１所定時間内に行われない場合にリセット信号を出力する第１タイマ手段と、
前記第２ＣＰＵが前記プログラムの検証で異常を検知したときに計時を行い、当該計時のクリア制御が第２所定時間内に行われない場合にリセット信号を出力する第２タイマ手段と、
前記第１タイマ手段及び前記第２タイマ手段からのリセット信号に基づいて前記第１ＣＰＵ及び前記第２ＣＰＵへのリセット信号を生成するリセット手段と、を有し、
前記第２ＣＰＵは、前記プログラムの検証で異常を検知すると前記第１タイマ手段による計時を停止させ、前記第２タイマ手段による計時を開始させて前記プログラムの復旧処理を行うことを特徴とする。

本発明によれば、プログラムの改竄が検出されて、その復旧処理を実行する場合でも、ＷＤＴを適切に動作させることができるという効果がある。

本発明のその他の特徴及び利点は、添付図面を参照とした以下の説明により明らかになるであろう。なお、添付図面においては、同じ若しくは同様の構成には、同じ参照番号を付す。

添付図面は明細書に含まれ、その一部を構成し、本発明の実施形態を示し、その記述と共に本発明の原理を説明するために用いられる。
本発明の実施形態に係る複合機（ＭＦＰ）のハードウェアの構成を説明するブロック図。 実施形態に係るメインＣＰＵの構成を説明するブロック図。 実施形態に係るサブＣＰＵの構成を説明するブロック図。 実施形態に係るフラッシュＲＯＭのメモリマップを示す図。 実施形態に係るＷＤＴ部の内部構成を説明するブロック図。 実施形態において、サブＣＰＵによる改竄検証処理が実施されてメインＣＰＵが起動するまでのＭＦＰの起動処理を説明するシーケンス図。 実施形態において、サブＣＰＵによる改竄検証処理の結果、改竄されていると判定され、復旧処理が行われるときのＭＦＰの起動処理を説明するシーケンス図。 実施形態に係るサブＣＰＵの処理を説明するフローチャート。 実施形態に係るＭＦＰのメインＣＰＵの処理を説明するフローチャート。 実施形態に係るＷＤＴ部の処理を説明するフローチャート。 実施形態に係るリセット回路による処理を説明するフローチャート。

以下、添付図面を参照して本発明の実施形態を詳しく説明する。尚、以下の実施形態は特許請求の範囲に係る発明を限定するものでない。実施形態には複数の特徴が記載されているが、これら複数の特徴の全てが発明に必須のものとは限らず、また、複数の特徴は任意に組み合わせられてもよい。さらに、添付図面においては、同一もしくは同様の構成に同一の参照番号を付し、重複した説明は省略する。なお、実施形態では、ブートコードの改竄検知時における改竄検知方法の一実施形態として、複合機（ＭＦＰ）を例に本発明に係る情報処理装置の一例を説明する。尚、特に断らない限り、本発明の機能が実行されるのであれば、単体の機器であっても、複数の機器からなるシステムであっても、本発明を適用できることは言うまでもない。

図１は、本発明の実施形態に係る複合機（ＭＦＰ）１のハードウェアの構成を説明するブロック図である。

メインＣＰＵ（Central Processing Unit）１０１は、ＭＦＰ１全体の制御を司る。ＤＲＡＭ（Dynamic Random Access Memory）１０２は、メインＣＰＵ１０１で実行されるプログラムを格納すると共に、一時的に各種データを保存するワークエリアとして機能する。操作部１０３は、操作部Ｉ／Ｆ１１３を介してメインＣＰＵ１０１にユーザによる操作を通知する。ネットワークＩ／Ｆ１０４は、ＬＡＮ１３０と接続して外部機器と通信を行う。プリンタ部１０５は、画像データを紙面上に印刷する。スキャナ部１０６は、紙面上の画像を光学的に読み取り電気信号に変換してスキャン画像データを生成する。ＦＡＸ部１０７は、公衆回線１１０と接続して外部機器とファクシミリ通信を行う。ＨＤＤ（ハードデスクドライブ）１０８は、メインＣＰＵ１０１で実行されるプログラムを格納すると共に、プリントジョブやスキャンジョブ等のスプール領域としても利用される。また、スキャン画像を保管し再利用するための領域としても利用される。信号バス１０９は、各モジュールを相互に接続して通信を行う。公衆回線１１０は、ＦＡＸ部１０７と外部機器を相互接続する。画像処理部１１１は、ネットワークＩ／Ｆ１０４を介して受信したプリントジョブをプリンタ部１０５で印刷するのに適した画像データに変換したり、スキャナ部１０６で読み取ったスキャン画像のノイズ除去や色空間変換、回転、圧縮等の処理を実行する。更に画像処理部１１１は、ＨＤＤ１０８に保管されたスキャン画像の画像処理を実行する。フラッシュＲＯＭ１１２は、メインＣＰＵ１０１で実行されるブートコードを含むプログラムを格納すると共に、ＭＦＰ１のデフォルト設定値等を記憶する。操作部Ｉ／Ｆ１１３は、操作部１０３と信号バス１０９を相互接続する。ＳＰＩバス１１４は、メインＣＰＵ１０１、フラッシュＲＯＭ１１２、サブＣＰＵ１１５を相互接続する。

サブＣＰＵ１１５は、ＭＦＰ１の起動時に、メインＣＰＵ１０１が起動する前にフラッシュＲＯＭ１１２からブートコードを読み出して、ブートコードが改竄されていないか検証を行う。改竄の検知方法としては、例えばブートコードのデジタル署名の公開鍵情報（ハッシュ値を公開鍵暗号化した値）を、製造時にサブＣＰＵ１１５のＯＴＰ（One Time Programable）３０４領域（図３）に記憶させておき、読み出したブートコードをこの公開鍵情報で復号化して検証を行う。公開鍵暗号の方法としてはＲＳＡ２０４８、ＥＣＤＳＡなどがある。

メインＣＰＵのリセット信号１１７は、電源制御部１１８のＧＰＩＯポートから出力されて、メインＣＰＵ１０１のリセット端子に接続される。リセット信号１１７は、後に図７で詳細に説明する改竄検証が完了し、改竄無しとサブＣＰＵ１１５が判定した場合に、ロウレベルからハイレベルに遷移する。ここで、ロウレベルとは「０」を示す電気信号の状態を示す。またハイレベルとは「１」を示す電気信号の状態を表す。リセット信号１１７がハイレベルになると、メインＣＰＵ１０１はリセットが解除されて起動を開始する。

電源制御部１１８は、ＭＦＰ１内の各モジュールの電力供給を制御するとともに、その内部に、後述するＷＤＴ部１４０及びリセット回路１２２を有している。また電源制御部１１８は信号バス１０９に接続されており、メインＣＰＵ１０１で動作するソフトウェアによる各種制御レジスタへのアクセスが可能な構成になっている。電源線１１９は、各モジュールに電力を供給する。電源供給線１２０は、商業用ＡＣ電源を供給している。

リセット回路１２２は、サブＣＰＵ１１５、及びメインＣＰＵ１０１に対するリセット信号の制御を行う。リセット回路１２２は、システムの電源がオンされると、サブＣＰＵのリセット信号１２３をロウレベルからハイレベルに遷移する。サブＣＰＵ１１５のリセット信号１２３は、リセット回路１２２から出力されてサブＣＰＵ１１５のリセット端子に接続される。サブＣＰＵ１１５のリセット信号１２３がハイレベルになると、サブＣＰＵ１１５はリセットが解除されて起動を開始する。またリセット回路１２２は、後述する改竄検証完了通知信号１３１がサブＣＰＵ１１５から入力されると、メインＣＰＵ１０１のリセット信号１１７をハイレベルにしてリセットを解除する。更に、リセット回路１２２は、後述するＷＤＴ部１４０からの制御によりメインＣＰＵ１０１、及びサブＣＰＵ１１５をリセットする。

改竄検証完了通知信号１３１は、サブＣＰＵ１１５がブートコードに改竄がないことを確認し、正常に検証が完了したことを通知するための信号である。改竄検証完了通知信号１３１は、サブＣＰＵ１１５のＧＰＩＯポートから出力されて、電源制御部１１８に備えられるリセット回路１２２に接続される。実施形態において、改竄検証完了通知信号１３１の初期値はロウレベルであり、通知を行う場合はハイレベルとする。リセット回路１２２は、改竄検証完了通知信号１３１がハイレベルになると、メインＣＰＵ１０１のリセット信号１１７をハイレベルとすることでメインＣＰＵ１０１のリセット解除する。

ネットワークＩ／Ｆ用フラッシュＲＯＭ１３３は、ネットワークＩ／Ｆ１０４が動作するために必要なファームウェアを記憶している。ＷＤＴ部１４０は、システムの電源がオンされると、所定の遅延時間後にＷＤＴ部１４０の内部に備えられるタイマ回路によるカウントを開始する。ＷＤＴ部１４０は、予め設定されたタイムアウト値にカウント値が到達すると、強制システムリセット信号１３２をハイレベルにすることで、リセット回路１２２にシステムリセットを実行するよう指示する。ＷＤＴ部１４０は、後述するタイマ切り替え信号１４１（図５）の信号レベルによって、内部に保有する２つのタイマの内の一つを選択してカウントを行う。タイマ切り替え信号１４１の信号レベルは、サブＣＰＵ１１５による改竄検証処理の結果、改竄の形跡が有り、復旧が必要と判断された場合の復旧処理の前後でサブＣＰＵ１１５によってハイレベル又はロウレベルに変更される。実施形態において、通常時に用いられるタイマは、タイマ切り替え信号１４１の信号レベルがロウレベルの場合に選択される。

また実施形態において、サブＣＰＵ１１５が処理完了までに時間を要する処理を実行する際に選択する、タイムアウトまでの時間が長いタイマはタイマ切り替え信号１４１の信号レベルがハイレベルの場合に選択されるものとする。実施形態におけるタイマ切り替え信号１４１の初期値はロウレベルであるものとする。

ＷＤＴ部１４０は、ＣＰＵ１０１からのタイマ５０２（図５）のクリア制御レジスタへの書き込み、もしくはタイマ切り替え信号１４１の信号レベルが変化してカウントに使用されるタイマが切り替わることをトリガとして、カウント値を初期値へ戻して再度カウントを行うように構成される。

リセット回路１２２は、強制システムリセット信号１３２がハイレベルになると、リセット信号１１７、リセット信号１２３をロウレベルに変更することで、メインＣＰＵ１０１、及びサブＣＰＵ１１５をリセットする。リセット回路１２２は更に不図示のリセット信号を通じて、ＭＦＰ１を構成する各モジュールをリセットできるようにすることもできる。ＷＤＴクリア信号１４１は、ＷＤＴ部１４０に設定されているタイムアウト時間間隔よりも短い間隔でサブＣＰＵ１１５からＷＤＴ部１４０に出力される。

図２は、実施形態に係るメインＣＰＵ１０１の構成を説明するブロック図である。

ＣＰＵコア２０１は、ＣＰＵの基本機能を担っている。実施形態では、ＣＰＵ１０１が起動すると、信号バス１０９を通じてＷＤＴ部１４０にタイマ５０２（図５）のクリア制御を行うことで、ＷＤＴ部１４０によるリセット制御を抑制する。ＳＰＩマスタ２０２は、ＳＰＩマスタ２０２と外部ＳＰＩデバイスとを電気的に接続するＳＰＩバス１１４を介し、外部のＳＰＩデバイスとのデータの読み書きを行う。信号バスインターフェース２０３は、信号バス１０９とメインＣＰＵ１０１内の信号バス２０９とを接続する。信号バス２０９は、メインＣＰＵ１０１内の各モジュールを接続する。リセット信号１１７がロウレベルのときはメインＣＰＵ１０１はリセット状態となり、リセット信号１１７がハイレベルのとき、メインＣＰＵ１０１はリセット解除状態となる。

実施形態では、サブＣＰＵ１１５によって、サブＣＰＵファームウェア（ＦＷ）４０４（図４）及び、メインＣＰＵ ＢＩＯＳ４０１（図４）が改竄されてないことが確認されると、サブＣＰＵ１１５と電源制御部１１８とによってリセット信号１１７が制御されてメインＣＰＵ１０１のリセットが解除される。これによりメインＣＰＵ１０１は、自身の起動プログラムに一切の改竄がないことを保証された状態で起動を開始することができる。リセット信号１１７がリセット状態（ロウレベル）からリセット解除状態（ハイレベル）に遷移すると、ＣＰＵコア２０１は先ず、フラッシュＲＯＭ１１２に記憶されているメインＣＰＵ ＢＩＯＳ４０４をＤＲＡＭ１０２にロードして実行する。

図３は、実施形態に係るサブＣＰＵ１１５の構成を説明するブロック図である。

ＣＰＵコア３０１は、ＣＰＵの基本機能を担っている。ＳＰＩマスタ３０２は、ＳＰＩマスタ３０２と外部ＳＰＩデバイスとを電気的に接続するＳＰＩバス１１４を介し、外部のＳＰＩデバイスとのデータの読み書きを行う。ＧＰＩＯ（General-purpose Input/Output）３０３は、外部のデバイスと相互に接続してデータの送信を行う。ＧＰＩＯ３０３には２本の信号が接続されていて、一つ目はサブＣＰＵ１１５がブートコードの検証が正常に完了したことを示す、改竄検証完了通知信号１３１である。２つ目はＷＤＴ部１４０が持つタイマを切り替えるためのタイマ切り替え信号１４１である。

ＯＴＰメモリ領域３０４には、製造時にサブＣＰＵファームウェア４０４（図４）のハッシュ値を公開鍵で暗号化した値、及びＴａｇのアドレスが書き込まれる。この領域に書き込まれたデータは一度書き込まれると二度と書換えることはできない。ＳＲＡＭ３０５は、サブＣＰＵ１１５のワークメモリとして使用される。暗号／復号処理部３０８は、公開鍵で暗号化した値からサブＣＰＵファームウェア４０４のハッシュ値を復号するほか、公開鍵で暗号化したメインＣＰＵ ＢＩＯＳのハッシュ値を復号する。信号バス３０９は、サブＣＰＵ１１５の各モジュールを接続する。ブートＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）３１０は、サブＣＰＵ１１５のブートコードを記憶する。

サブＣＰＵ１１５には、図１で説明したリセット信号１２３が入力される。サブＣＰＵ１１５のＣＰＵコア３０１は、リセット信号１２３がロウレベルのときリセット状態となり、リセット信号１２３がハイレベルのときにリセット解除状態となる。リセット信号１２３がリセット状態からリセット解除状態に遷移すると、ＣＰＵコア３０１は先ず、ブートＲＯＭ３１０から自身のブートコードを読み出し実行する。Ｃｒｙｐｔｏ ＲＡＭ３１１は、暗号／復号処理部３０８で利用する機密性の高いデータ等の一時記憶が可能なワーク領域として用いられる。

図４は、実施形態に係るフラッシュＲＯＭ１１２のメモリマップを示す図である。

メインＣＰＵ ＢＩＯＳ４０１は、メインＣＰＵ１０１で実行されるコードを記憶している。ＢＩＯＳ署名４０２は、メインＣＰＵ ＢＩＯＳ４０１のハッシュ値に対するＲＳＡ署名値を記憶している。Ｔａｇ４０３は、サブＣＰＵファームウェア４０４の先頭アドレスを記憶している。Ｔａｇ４０３自体のアドレスは、ＯＴＰ３０４に記憶されている。サブＣＰＵファームウェア４０４は、サブＣＰＵ１１５で実行されるコードを記憶している。ファームウェア（ＦＷ）署名４０５は、サブＣＰＵファームウェア４０４、またはサブＣＰＵファームウェア４０４の先頭の特定部分のＥＣＤＳＡ署名値を記憶している。ＲＯＭ−ＩＤ４０６は、メインＣＰＵ ＢＩＯＳ４０１の先頭アドレス、サイズ及びＢＩＯＳ署名のアドレスを記憶している。４０７〜４１１は、これまでに説明したメインＣＰＵ ＢＩＯＳ４０１からＲＯＭ−ＩＤ４０６までの各データの復旧用ＧｏｌｄｅｎＭａｓｔｅｒデータで、ＷｒｉｔｅＰｒｏｔｅｃｔ等の外部からの書き換えが不可能な記憶領域に保持されている。実施形態では、一続きのアドレスの一部に対して、ＷｒｉｔｅＰｒｏｔｅｃｔ設定ができるデバイスを使用することを想定した図として記載している。

図５は、実施形態に係るＷＤＴ部１４０の内部構成を説明するブロック図である。

ＷＤＴ制御部５０１は、次に説明するタイマ５０２、及びタイマ５０３のクリア制御と、これら２つのタイマの中から、タイムアウト判定に使うタイマを選択するタイマ切り替え信号１４１の信号レベルに応じて選択する。

タイマ５０２は、タイマ切り替え信号１４１の信号レベルがロウレベルの場合にＷＤＴ制御部５０１によって選択される。タイマ５０２は、自身に予め設定されたタイムアウト値とタイマ回路によるカウント値を比較しながら、タイムアウト値とカウント値が等しくなった場合に、ＷＤＴ制御部５０１へタイムアウトが発生したことを通知する。またＷＤＴ制御部５０１からカウント値のクリア制御によって、カウント値を初期値に戻して再度カウントを開始する。

タイマ５０３は、タイマ切り替え信号１４１の信号レベルがハイレベルの場合にＷＤＴ制御部５０１によって選択される。タイマ５０３は、自身に予め設定されたタイムアウト値とタイマ回路によるカウント値を比較しながら、タイムアウト値とカウント値が等しくなった場合に、ＷＤＴ制御部５０１へタイムアウトが発生したことを通知する。またＷＤＴ制御部５０１からカウント値のクリア制御によって、カウント値を初期値に戻して再度カウントを開始する。

実施形態では、タイマ５０２は、通常用いられるタイマとし、タイムアウト値はサブＣＰＵ１１５が改竄検証処理を実施するのに必要な時間に、ＣＰＵ１０１が起動してからシステムバス１０９を介したカウントクリア制御が実施可能になるまでの時間を加算し、更に、マージン時間を追加して設定される。一方タイマ５０３は、サブＣＰＵ１１５が改竄検証を行った結果、改竄されていると判定した場合の復旧処理に要する時間にマージン時間を加算した時間に設定される。タイマ５０２及びタイマ５０３がタイマ切り替え信号１４１によって切り替えられるタイミングについては図１で説明した通りである。

ＷＤＴ制御部５０１は、タイマ５０２とタイマ５０３の内、入力されるタイマ切り替え信号１４１の信号レベルに応じて選択しているタイマからのタイムアウト発生を検出すると、強制システムリセット信号１３２をリセット回路１２２へ出力する。更に、システムバス１０９を介してメインＣＰＵ１０１から行われるカウントクリア設定をトリガとして、ＷＤＴ制御部５０１が選択しているタイマのタイマ値のクリアを実行する。

実施形態においては、タイマ５０２とタイマ５０３は排他的に使用するため、不要なタイマの動作を停止する例で説明するが、ＷＤＴ制御部５０１が選択しているタイマからのタイムアウトのみを検出するように構成すれば、タイマを切り替える際にタイマの動作を停止する動作が必要なくなるため、より簡単な制御で実施可能となる。

また実施形態では、サブＣＰＵ１１５が改竄検証処理を実施中、メインＣＰＵ１０１がリセット状態であって動作できないため、サブＣＰＵ１１５が改竄検証処理中にメインＣＰＵ１０１によるクリア設定は行われない。これはサブＣＰＵ１１５が改竄検証を行った結果、改竄されていると判定すると、改竄が発見されたデータに対してＧｏｌｄｅｎＭａｓｔｅｒデータを上書きすることによる復旧処理中も同じこととなる。

一方でサブＣＰＵ１１５による改竄検証が完了してメインＣＰＵ１０１による制御が開始されると、メインＣＰＵ１０１はシステムバス１０９を介して定期的にカウントクリア設定を行うことで、タイムアウトの発生を防ぎ、システムの動作を継続させることができる。

次に、実施形態におけるＭＦＰ１の起動処理の中で、これまでに説明してきた主要なコンポーネント間の処理関係を時系列に説明する。

図６Ａは、実施形態において、サブＣＰＵ１１５による改竄検証処理が実施されてメインＣＰＵ１０１が起動するまでのＭＦＰ１の起動処理を説明するシーケンス図である。

まずＳ６０１で、ＭＦＰ１はユーザによって起動操作がなされる。これによりＳ６０２で電源制御部１１８に電源が供給され、各モジュールへ電源が分配される。これにより、ＷＤＴ部１４０、リセット回路１２２、サブＣＰＵ１１５、メインＣＰＵ１０１へ電力の供給が開始される。この状態では、リセット回路１２２は、サブＣＰＵ１１５へ接続されるサブＣＰＵリセット信号１２３と、メインＣＰＵ１０１へ接続されるメインＣＰＵ１０１のリセット信号１１７をともにロウレベルにキープし、リセット継続する。

こうして電源が供給されると、ＷＤＴ部１４０はＳ６０３でタイマ切り替え信号１４１の信号レベルを確認してタイマを選択し、ここではタイマ５０２を選択してタイマ５０２によるによるカウントを開始する。ここでタイマ５０２が選択されているのは、タイマ切り替え信号１４１の初期値がロウレベルであるためである。これと並列して、リセット回路１２２はＳ６０４で、サブＣＰＵ１１５へ接続されるサブＣＰＵリセット信号１２３をハイレベルに変更することで、サブＣＰＵ１１５のリセットを解除する。

これによりＳ６０５でサブＣＰＵ１１５は、サブＣＰＵファームウェア４０４の検証を開始する。これと同時に、サブＣＰＵ１１５はリセットが解除されると、Ｓ６０６でメインＣＰＵ ＢＩＯＳ４０１の改竄検証を開始する。そして、改竄が検知されなかった場合はＳ６０７で、サブＣＰＵ１１５は改竄検証終了信号１３１をハイレベルに変更する。こうして、改竄の事実が無く起動可能なことをリセット回路１２２に通知し、Ｓ６０８で省電力状態へ移行する。

こうして改竄検証終了信号１３１がアサートされたリセット回路１２２はＳ６０９で、メインＣＰＵ１０１のリセット信号１１７をロウレベルからハイレベルに変更することにより、メインＣＰＵ１０１のリセットを解除する。そして、リセットが解除されたメインＣＰＵ１０１はＳ６１０で、自身が起動するのに必要なメインＣＰＵ ＢＩＯＳ４０１をフラッシュＲＯＭ１１２から読み出してメインＣＰＵ１０１の起動を開始する。そしてＳ６１１でメインＣＰＵ１０１は、メインＣＰＵ ＢＩＯＳ４０１の読み出しを行って、ＢＩＯＳ起動を行うと、その後はＯＳの起動を含むシステムの起動を開始する。

次に、メインＣＰＵ１０１はＷＤＴ制御ソフトウェアが起動するとＳ６１２で、システムバス１０９を介してＷＤＴ１４０のタイマ５０２のカウント値をクリアする。それとともにＳ６１４で、ＷＤＴ１４０が持つタイマのクリア制御を行う間隔を生成するためのタイマを起動する。このタイマはＣＰＵ１０１上で動作するソフトウェアで実現するとして説明を続けるが、メインＣＰＵ１０１０内部にカウンタ回路がある場合はそれを活用してもよいことは言うまでもない。またＷＤＴ１４０はＳ６１３で、メインＣＰＵ１０１からのタイマ５０２のカウント値のクリアに応じて、タイマ５０２，５０３のカウント値をクリアし、タイマ５０２によるカウントを開始する。

そしてＳ６１５で、メインＣＰＵ１０１で動作するタイマがタイムアウトに到達するとＳ６１６で、ＷＤＴ部１４０へ信号バス１０９を介してアクセスし、図示しないＷＤＴクリアレジスタに「１」を書き込むことで、ＷＤＴ部１４０のタイマ５０２をクリアする。ＷＤＴ部１４０は、ＷＤＴクリアレジスタが「１」に変化するとＳ６１７で、タイマ５０２，５０３のカウント値のクリア制御を実施し、再度、タイマ５０２によるカウントを開始する。

このとき、Ｓ６０７までにサブＣＰＵ１１５による処理に異常が発生した場合、ＷＤＴ部１４０のタイマ５０２によるカウント値が予め定められたタイムアウト値を超過してしまうため、タイムアウトが発生する。また、メインＣＰＵ１０１で動作するソフトウェアがハングアップ等によりＷＤＴクリアレジスタの設定を行えなくなった場合も、ＷＤＴ部１４０のタイマ５０２によるカウント値が予め定められたタイムアウト値を超過してしまうため、タイムアウトが発生する。このようにして一度タイムアウトが発生すると、ＷＤＴ部１４０のＷＤＴ制御部５０１は、リセット回路１２２へ強制システムリセット信号１３２を出力し、メインＣＰＵ１０１とサブＣＰＵ１１５をリセットするように制御する。リセット回路１２２によるリセット処理は予め定められた時間継続し、リセット回路１２２によるリセットが解除されると、Ｓ６０３以降の動作を再度実施する。

次に図６Ｂを参照して、サブＣＰＵ１１５による改竄検証処理の結果、改竄されていると判定されて復旧処理が行われる場合で、ＣＰＵ１０１が起動するまでのＭＦＰ１の起動処理に関するシーケンスについて説明する。

図６Ｂは、実施形態において、サブＣＰＵ１１５による改竄検証処理の結果、改竄されていると判定され、復旧処理が行われるときのＭＦＰ１の起動処理を説明するシーケンス図である。

まず、Ｓ６０１からＳ６１７までは図６Ａと同様であるため、その説明を割愛し、差分となるＳ６１８以降の処理を説明する。

Ｓ６０６におけるサブＣＰＵ１１５によるメインＣＰＵ ＢＩＯＳ４０１の検証の結果、メインＣＰＵ ＢＩＯＳ４０１に何らかの改竄が発見されていた場合、サブＣＰＵ１１５はＳ６１８でメインＣＰＵ ＢＩＯＳ４０１の復旧処理を開始する。そしてＳ６１９で、タイマ切り替え信号１４１の信号レベルを初期値であるロウレベルからハイレベルに変更する。これにより、ＷＤＴ１４０内のＷＤＴ制御部５０１は、サブＣＰＵ１１５によってＣＰＵ ＢＩＯＳ４０１の復旧処理が開始されたことを認識し、Ｓ６２０で、タイマ５０３を使ってカウントを開始する。ここでタイマ５０３は既に説明した通り、サブＣＰＵ１１５によるメインＣＰＵ ＢＩＯＳ４０１の復旧処理が完了するのに必要な時間にマージン時間を加算した値をタイムアウト値として保持している。

こうしてサブＣＰＵ１１５によるメインＣＰＵ ＢＩＯＳ４０１の復旧処理が滞りなく完了するとＳ６０７で、サブＣＰＵ１１５は既に説明した改竄検証終了信号１３１をリセット回路１２２へアサートする。更にサブＣＰＵ１１５はＳ６２１で、タイマ切り替え信号１４１をハイレベルからロウレベルへ変更する。これにより、ＷＤＴ１４０内のＷＤＴ制御部５０１は、サブＣＰＵ１１５によるＣＰＵ ＢＩＯＳ４０１の復旧処理が完了し、通常動作が開始されたことを認識し、Ｓ６２２で、タイマ５０２を使ってカウントを再開することができる。

ここで仮にメインＣＰＵ ＢＩＯＳ４０１の復旧処理中に何等かの異常が発生して処理が停止してしまった場合、Ｓ６２０で開始したＷＤＴ部１４０のタイマ５０３によるカウント値が予め定められたタイムアウト値を超過してしまう。これによりタイムアウトが発生する。こうして一度タイムアウトが発生すると、ＷＤＴ部１４０のＷＤＴ制御部５０１は、リセット回路１２２へ強制システムリセット信号１３２を出力して、メインＣＰＵ１０１とサブＣＰＵ１１５をリセットするように制御する。リセット回路１２２によるリセット処理は、予め定められた時間継続し、リセット回路１２２によるリセットが解除されると、Ｓ６０３以降の動作を再度実施する。

次に、実施形態に係るサブＣＰＵ１１５の詳細な処理手順を図７のフローチャートを参照して説明する。

図７は、実施形態に係るサブＣＰＵ１１５の処理を説明するフローチャートである。尚、このフローチャートで示す処理は、ＣＰＵコア３０１がフラッシュＲＯＭ１１２からＳＲＡＭ３０５に展開したプログラムを実行することにより実現される。

まずＳ７０１でＣＰＵコア３０１は起動すると直ちにブートＲＯＭ３１０内のコードを実行し、ＳＰＩバス１１４を介してフラッシュＲＯＭ１１２からサブＣＰＵファームウェア４０４とＦＷ署名４０５をＳＲＡＭ３０５に読み込む。そして、ＧＰＩＯポートの初期化を行って改竄検証完了通知信号１３１とタイマ切り替え信号１４１を初期状態であるロウレベルにセットする。続いてＳ７０２に進みＣＰＵコア３０１は、暗号／復号処理部３０８によってＦＷ署名４０５をＯＴＰ３０４内の公開鍵で復号化して、正解となるハッシュ値を得る。そしてＳ７０３に進みＣＰＵコア３０１は、暗号／復号処理部３０８によってサブＣＰＵファームウェア４０４のハッシュ値を計算する。次にＳ７０４に進みＣＰＵコア３０１は、Ｓ７０２で得られたハッシュ値と、Ｓ７０３で計算したハッシュ値とを比較し、これらが不一致の場合は、後に説明するＳ７１８へ進む。

一方、これが一致した場合はＳ７０５に進みＣＰＵコア３０１は、サブＣＰＵファームウェア４０４をＳＲＡＭ３０５に読み込む。次にＳ７０６に進みＣＰＵコア３０１は、ＳＲＡＭ３０５に読み込んだサブＣＰＵファームウェア４０４を実行する。次にＳ７０７に進みＣＰＵコア３０１は、実行したサブＣＰＵファームウェア４０４の制御に基づき、ＲＯＭ−ＩＤ４０６をフラッシュＲＯＭ１１２からＣｒｙｐｔｏ ＲＡＭ３１１に読み込む。そしてＳ７０８に進みＣＰＵコア３０１は、ＲＯＭ−ＩＤ４０６からメインＣＰＵ ＢＩＯＳ４０１のアドレスとＢＩＯＳ署名４０２のアドレスを得る。そしてＳ７０９に進みＣＰＵコア３０１は、ＢＩＯＳ署名４０２をＳＲＡＭ３０５に読み込む。続いてＳ７１０に進みＣＰＵコア３０１は、暗号／復号処理部３０８によってＢＩＯＳ署名４０２をサブＣＰＵファームウェア４０４に付属している公開鍵で復号化してハッシュ値を得る。次にＳ７１１に進みＣＰＵコア３０１は、メインＣＰＵ ＢＩＯＳ４０１をＳＲＡＭ３０５に読み込む。そしてＳ７１２に進みＣＰＵコア３０１は、暗号／復号処理部３０８によってメインＣＰＵ ＢＩＯＳ４０１のハッシュ値を計算する。そしてＳ７１３に進みＣＰＵコア３０１は、Ｓ７１０で得たハッシュ値とＳ７１２で算出したハッシュ値とを比較し、これらが一致した場合はＳ７１４に進み、ＧＰＩＯ３０３を制御して改竄検証完了通知信号１３１をハイレベルにセットしてＳ７１５に進む。一方、これらが不一致の場合はＳ７１８へ進む。

Ｓ７１５でＣＰＵコア３０１は、改竄検証完了通知信号１３１をハイレベルにセットすると、それからタイマ切り替え信号１４１をロウレベルにセットする。そしてＳ７１６でＧＰＩＯ３０３を制御してリセット信号をハイレベルで出力する。その後Ｓ７１７でＣＰＵコア３０１は、電力消費の最も少ないスリープ状態に移行し、その状態を維持する。尚、このスリープ状態では、ＧＰＩＯ３０３の出力状態を維持している。また、一度スリープ状態に入った後は通常状態に戻る必要はないが、サブＣＰＵ１１５を改竄検証以外の用途にも利用するのであれば、図示しない割り込み信号の受信を許可して通常状態へ復帰させることも可能である。

またＳ７０４、もしくはＳ７１３で不一致の場合はＳ７１８に進みＣＰＵコア３０１は、タイマ切り替え信号１４１をハイレベルにセットする。その後Ｓ７１９でＣＰＵコア３０１は、改竄が検出されたデータを、ＷｒｉｔｅＰｒｏｔｅｃｔ等が施されたセキュアな領域に保持されているＧｏｌｄｅｎＭａｓｔｅｒデータで上書きするデータの復旧処理を行う。こうしてサブＣＰＵ１１５によるＧｏｌｄｅｎＭａｓｔｅｒデータによる上書き処理が完了すると、Ｓ７１４へ進みサブＣＰＵ１１５による処理の終了シーケンスを実施する。

尚、実施形態ではＧｏｌｄｅｎＭａｓｔｅｒデータによる上書き処理が完了すると、サブＣＰＵ１１５による改竄検証処理が完了するとして説明しているが、上書き処理が完了した後にＳ７０１から再度フローを進めることで、より時間を要するが、よりセキュアなブートシーケンスを組むことも可能である。

次に実施形態におけるメインＣＰＵ１０１の処理手順を図８のフローチャートを用いて説明する。

図８は、実施形態に係るＭＦＰ１のメインＣＰＵ１０１の処理を説明するフローチャートである。

メインＣＰＵ１０１はリセットが解除されるとＳ８０１で、フラッシュＲＯＭ１１２に記憶されたメインＣＰＵ ＢＩＯＳ４０１をＤＲＡＭ１０２に読み込む。次にＳ８０２に進みメインＣＰＵ１０１は、ＤＲＡＭ１０２へ読み込んだメインＣＰＵ ＢＩＯＳ４０１を実行し、メインＣＰＵ１０１内の入出力の初期化を行う。次にＳ８０３に進みメインＣＰＵ１０１は、ＨＤＤ１０８からＯＳ（オペレーティングシステム）をＤＲＡＭ１０２に読み込む。読み取り後Ｓ８０４でメインＣＰＵ１０１は、ＯＳを起動する。続いてＳ８０５に進みメインＣＰＵ１０１は、プリンタ部１０５、スキャナ部１０６、ＦＡＸ部１０７、画像処理部１１１、ネットワークＩ／Ｆ１０４操作部１０３を初期化するとともに、ＷＤＴ１４０のタイマ５０２を定期的にクリア制御するソフトウェアを起動し、ＭＦＰ１として機能可能な状態にする。

次に、実施形態におけるＷＤＴ部１４０の処理手順を図９のフローチャートを用いて説明する。

図９は、実施形態に係るＷＤＴ部１４０の処理を説明するフローチャートである。

ＷＤＴ部１４０は、電源の供給が始まるとＳ９０１でタイマ５０２を起動し、カウントを開始する。次にＳ９０２に進みＷＤＴ部１４０は、改竄検証完了通知信号１３１を監視して、改竄検証が完了したか否かを判定する。ここで改竄検証が完了していた場合はＳ９０３に進み、タイマ５０２によるカウントを選択してタイマ５０２によるカウントを開始し、タイマ５０３の動作を停止してＳ９１０に進む。このときタイマ５０２は、メインＣＰＵ１０１が適切に動作していることを確認できる所定時間を計時し、その所定時間内にクリア制御が実行されないとＳ９１１でタイムアウトになることになる。

一方、で改竄検証が完了していなかった場合はＳ９０４に進み、サブＣＰＵ１１５からのタイマ切り替え信号１４１がハイレベルであるか否か判定する。ハイレベルであればＳ９０７に進んでタイマ５０３によるカウントを実施中であるか否かを判定する。ここでタイマ５０３によるカウントを実施していない場合はＳ９０８に進み、タイマ５０３によるカウントを開始するとともに、タイマ５０２による計時を止める。

一方、Ｓ９０４でタイマ切り替え信号１４１がロウレベルであった場合Ｓ９０５に進み、タイマ５０２がタイムアウトしたかどうか判定する。タイマ５０２がタイムアウトしたときはＳ９０６に進み、強制システムリセット信号１３２を出力して、この処理を終える。一方、Ｓ９０５でタイマ５０２がタイムアウトしていない場合はＳ９０２に進んでカウントを継続する。

またＳ９０７でタイマ５０３によるカウント中であった場合はＳ９０９に進み、タイマ５０３がタイムアウトしたかどうか判定する。タイマ５０３がタタイムアウトした場合はＳ９０６に進み、強制システムリセット信号１３２を出力して、この処理を終える。またＳ９０９でタイマ５０３がタイムアウトしていない場合はＳ９０２に進んで、カウントを継続する。

Ｓ９１０では、サブＣＰＵ１１５による改竄検証処理が完了し、タイマ５０２によるカウントが開始され、またメインＣＰＵ１０１の起動が開始されている。よってＷＤＴ部１４０は、ＷＤＴ制御部５０１に実装されるＷＤＴクリアレジスタに「１」が書き込まれた否かを判定する。ここでＷＤＴクリアレジスタが「１」に設定されていた場合はＳ９１２に進み、タイマ５０２のカウント値をクリアし、タイマ５０２によるカウントを再開する。一方、ＷＤＴクリアレジスタが「０」であった場合はＳ９１１に進み、タイマ５０２がタイムアウトしたかどうかを判定する。ここでタイムアウトしていた場合はＳ９０６に進み、強制システムリセット信号１３２を出力して、この処理を終える。一方Ｓ９１１で、タイマ５０２がタイムアウトしていない場合はＳ９１０に進み、タイマ５０２によるカウントを継続する。

以上のように制御することで、サブＣＰＵによるプログラムの改竄検証処理の結果、改竄が発生したと判定し、ＧｏｌｄｅｎＭａｓｔｅｒデータを使った復旧処理を行う間、ＷＤＴによる強制システムリセットの出力を防止できる。そして復旧処理後、メインＣＰＵが正常に起動すると、メインＣＰＵによってＷＤＴ（タイマ５０２）が制御されるためＭＦＰを適切に制御できるようになる。

またサブＣＰＵによるプログラムの改竄検証処理の結果、プログラムの改竄が発生していない、即ちプログラムの異常が検知されないときは、タイマ５０２によるウオッチドッグタイマ機能が実行され、メインＣＰＵが正常に動作している限り、タイマ５０２がタイムアウトすることによる強制システムリセット信号が出力されることはない。

次に、本実施形態におけるリセット回路１２２の処理手順を図１０のフローチャートを用いて説明する。

図１０は、実施形態に係るリセット回路１２２による処理を説明するフローチャートである。

リセット回路１２２は電源の供給が始まるとＳ１００１で、リセット信号１２３をハイレベルにしてサブＣＰＵ１１５のリセットを解除する。次にＳ１００２で、改竄検証完了通知信号１３１がハイレベルになったか否かを判定する。ここで改竄検証完了通知信号１３１がハイレベルになって改竄の検証が成功、即ち、正常に終了したと判定したときはＳ１００３に進む。Ｓ１００３でリセット回路１２２は、リセット信号１１７をハイレベルにしてメインＣＰＵ１０１のリセットを解除して、この処理を終了する。

一方、Ｓ１００２で改竄検証完了通知信号１３１がハイレベルにならず、改竄検証が継続中の場合はＳ１００４に進み、ＷＤＴ部１４０が強制システムリセット信号１３２が入力されて、強制システムリセットを実行するように制御されたか否かを判定する。リセット回路１２２は、強制システムリセット信号１３２が入力されると、何らかの異常が発生して処理が停止しているとみなして、メインＣＰＵ１０１とサブＣＰＵ１１５をリセットして処理を終える。一方、Ｓ１００４で強制システムリセット信号１３２が入力されていないときはＳ１００２へ戻り処理を継続する。

このように制御することにより、ＷＤＴ部１４０でタイムアウトが発生した場合、速やかにＣＰＵ１０１とサブＣＰＵ１１５をリセットすることができる。ここで、リセットするのはメインＣＰＵ１０１とサブＣＰＵ１１５と説明してきたが、関連する機能モジュール、もしくはＭＦＰ１全体をリセットしてしまっても問題無いことは言うまでもない。

以上説明したように実施形態によれば、サブＣＰＵが実行期間が長い復旧処理を実行する場合でも、不必要なリセット実行を回避することできるようになる。更に、プログラムの改竄を検証している間にサブＣＰＵに何らかの問題が発生して処理が停止してしまった場合でも、ＷＤＴによって適切にリカバリ動作を実行できるようになる。

また、サブＣＰＵが、メインＣＰＵをリセット状態に保ちながらプログラムの改竄を検証する際、その検証に要する時間が、所定時間よりも長くなるとＷＤＴからのタイムアウトによるリセット制御が実行される。これにより、検証中のサブＣＰＵの異常も検出できる。

さらに、サブＣＰＵがプログラムの改竄を検証して異常（改竄）を検出すると、検証に要する時間を計時していた第１タイマに代わって、プログラムの復旧処理に要る時間を計時する第２タイマによる計時を行うことで、サブＣＰＵによるプログラムの復旧処理中に、ＷＤＴからのタイムアウトによるリセット制御の発生を防止できる。

尚、実施形態で記載した信号の極性はシステムの定めに応じて変更してもよいことは言うまでもない。

また実施形態では、ＷＤＴ部１４０、及びリセット回路１２２を電源制御部１１８の内部に含む構成を代表例として説明したが、これに限らず、それぞれが信号バス１０９に接続された形態をとってもよい。

また実施形態で説明した構成要素の一部がＳＯＣ（System On Chip）に集積された場合でも、サブＣＰＵ１１５がメインＣＰＵ１０１の起動を制御しつつ、メインＣＰＵ ＢＩＯＳ４０１の改竄検証を行う場合に、実施形態が適用できることは言うまでもない。

また実施形態は、タイマ５０３を省略し、サブＣＰＵ１１５による復旧処理中はタイマを動作させないという形態をとることで、より少ない回路規模で不要なリセット処理を回避できる。しかしながら、この場合、復旧処理中に何らかの異常が発生した場合の検知ができなくなるため、本実施形態に記載した構成のように２つのタイマを備えた構成とするのが望ましい。

（その他の実施形態）
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

本発明は上記実施形態に制限されるものではなく、本発明の精神及び範囲から逸脱することなく、様々な変更及び変形が可能である。従って、本発明の範囲を公にするために、以下の請求項を添付する。

１…ＭＦＰ，１０１…メインＣＰＵ、１１２…フラッシュＲＯＭ、１１５…サブＣＰＵ、１１８…電源制御部、１２２…リセット回路、１４０…ＷＤＴ部、５０１…ＷＤＴ制御部、５０２，５０３…タイマ、１３１…改竄検証完了通知信号、１３２…強制システムリセット信号、１４１…タイマ切り替え信号

Claims (11)

1. 情報処理装置であって、
   プログラムを実行して前記情報処理装置を制御する第１ＣＰＵと、
   前記プログラムを検証する第２ＣＰＵと、
   前記情報処理装置の動作中に計時を行い、当該計時のクリア制御が第１所定時間内に行われない場合にリセット信号を出力する第１タイマ手段と、
   前記第２ＣＰＵが前記プログラムの検証で異常を検知したときに計時を行い、当該計時のクリア制御が第２所定時間内に行われない場合にリセット信号を出力する第２タイマ手段と、
   前記第１タイマ手段及び前記第２タイマ手段からのリセット信号に基づいて前記第１ＣＰＵ及び前記第２ＣＰＵへのリセット信号を生成するリセット手段と、を有し、
   前記第２ＣＰＵは、前記プログラムの検証で異常を検知すると前記第１タイマ手段による計時を停止させ、前記第２タイマ手段による計時を開始させて前記プログラムの復旧処理を行うことを特徴とする情報処理装置。
2. 前記第１所定時間は、前記第２ＣＰＵが前記プログラムの検証に要する時間に、前記第１ＣＰＵが起動してから前記第１タイマ手段のクリア制御が実施可能になるまでの時間を加算し、更に、マージン時間を追加した時間であることを特徴とする請求項１に記載の情報処理装置。
3. 前記第２所定時間は、前記復旧処理が完了するのに必要な時間にマージン時間を加算した時間であることを特徴とする請求項１又は２に記載の情報処理装置。
4. 前記リセット信号は、少なくとも前記第１ＣＰＵと前記第２ＣＰＵをリセットする信号であることを特徴とする請求項１に記載の情報処理装置。
5. 前記リセット手段は、前記第２ＣＰＵが前記プログラムの検証を実行している間、前記第１ＣＰＵをリセットし、前記第２ＣＰＵが前記プログラムの検証で異常を検知しないときは前記第１ＣＰＵのリセットを解除することを特徴とする請求項１乃至４のいずれか１項に記載の情報処理装置。
6. 前記第２ＣＰＵは、前記プログラムのハッシュ値に基づいて前記プログラムを検証することを特徴とする請求項１乃至５のいずれか１項に記載の情報処理装置。
7. 第１ＣＰＵと、
   前記第１ＣＰＵが実行するプログラムを検証する第２ＣＰＵと、
   第１タイマと第２タイマとを有し、当該第１タイマ或いは前記第２タイマの計時に対するリセット制御が所定時間内に行われない場合に、前記第１ＣＰＵ及び前記第２ＣＰＵをリセットするリセット信号を出力するタイマ手段と、を有し、
   前記タイマ手段は、前記第２ＣＰＵが前記プログラムの検証で異常を検知したときに前記第１タイマによる計時を停止させて前記第２タイマにより計時を行い、前記第２タイマが第１所定時間を計時してタイムアウトすると前記リセット信号を出力することを特徴とする情報処理装置。
8. 前記タイマ手段は、前記第２ＣＰＵによる前記プログラムの検証に要する時間を前記第１タイマにより計時させ、前記第１タイマの計時が第２所定時間を超えてタイムアウトすると前記リセット信号を出力することを特徴とする請求項７に記載の情報処理装置。
9. 前記タイマ手段は、前記第２ＣＰＵが前記プログラムの検証に成功したときは、前記第２タイマによる計時を停止させて、前記第１タイマによる前記第１ＣＰＵの動作を検証するための計時を開始させることを特徴とする請求項７又は８に記載の情報処理装置。
10. 前記第１タイマによる前記第１ＣＰＵの動作を検証するための計時では、前記第１ＣＰＵは所定時間ごとに前記第１タイマのリセット制御を行うことを特徴とする請求項９に記載の情報処理装置。
11. 前記第１所定時間は、前記プログラムの復旧処理が完了するのに必要な時間にマージン時間を加算した時間であることを特徴とする請求項７乃至１０のいずれか１項に記載の情報処理装置。

Images