(57)【要約】      （修正有）【課題】セキュアブート機能がＯＮからＯＦＦに設定された場合であっても、装置のセキュリティを好適に確保する仕組みを提供する。【解決手段】画像形成装置は、ブートＲＯＭに格納されているプログラムの改ざんを検知しつつ、プログラムを用いて装置を起動するセキュアブート機能による起動が可能である。画像形成装置は、セキュアブート機能による装置の起動が行われない設定である場合に、セキュアブート機能の設定が切り替えられた旨の警告メッセージを表示部に表示する。【選択図】図４
2020030599.tif 000002
【特許請求の範囲】
【請求項１】
ブートＲＯＭに格納されているプログラムの改ざんを検知しつつ、該プログラムを用いて装置を起動するセキュアブート機能による起動が可能な画像形成装置であって、
前記セキュアブート機能による装置の起動が行われる設定であるか否かを判定する判定手段と、
前記判定手段による判定の結果、前記セキュアブート機能による装置の起動が行われない設定である場合に、前記セキュアブート機能の設定が切り替えられた旨の警告メッセージを表示部に表示する警告手段と
を備えることを特徴とする画像形成装置。
【請求項２】
前記判定手段は、さらに、前回の起動時において前記セキュアブート機能による装置の起動が行われない設定であったか否かを判定し、
前記警告手段は、前記判定手段による判定の結果、前回の起動時において前記セキュアブート機能による装置の起動が行われない設定であり、かつ、今回の起動においても前記セキュアブート機能による装置の起動が行われない設定である場合には、連続してセキュアブート機能の設定が行われていない旨の警告メッセージを前記表示部に表示することを特徴とする請求項１に記載の画像形成装置。
【請求項３】
前記画像形成装置に設けられた記憶手段へのアクセスを受け付ける受付手段と、
前記判定手段による判定の結果、前記セキュアブート機能による装置の起動が行われない設定である場合に、前記受付手段によって受け付けたアクセスに対応する前記記憶手段へのデータの書き込み及び前記記憶手段からのデータの読み出しを制限する制限手段と
をさらに備えることを特徴とする請求項１又は２に記載の画像形成装置。
【請求項４】
前記制限手段は、前記判定手段による判定の結果、前記セキュアブート機能による装置の起動が行われない設定であっても、前記受付手段によって受け付けたアクセスが前記記憶手段の所定の領域へのアクセスであれば、該アクセスを許可することを特徴とする請求項３に記載の画像形成装置。
【請求項５】
外部との通信を制御するネットワークコントローラをさらに備え、
前記制限手段は、さらに、前記判定手段による判定の結果、前記セキュアブート機能による装置の起動が行われない設定である場合に、前記ネットワークコントローラを無効化することにより、前記外部との通信を制限することを特徴とする請求項３又は４に記載の画像形成装置。
【請求項６】
外部との通信を制御するネットワークコントローラをさらに備え、
前記制限手段は、さらに、前記判定手段による判定の結果、前記セキュアブート機能による装置の起動が行われない設定である場合に、前記ネットワークコントローラへの電源供給を遮断することにより、前記外部との通信を制限することを特徴とする請求項３又は４に記載の画像形成装置。
【請求項７】
外部との通信を制御するネットワークコントローラであって、ＵＳＢインタフェースを介して接続される拡張用のネットワークコントローラをさらに備え、
前記制限手段は、さらに、前記判定手段による判定の結果、前記セキュアブート機能による装置の起動が行われない設定である場合に、前記ＵＳＢインタフェースの接続を無効化して前記拡張用のネットワークコントローラへの電源供給を遮断することにより、前記外部との通信を制限することを特徴とする請求項３乃至６の何れか１項に記載の画像形成装置。
【請求項８】
前記制限手段は、前記受付手段によって受け付けたアクセスに係るポート番号が、前記ＵＳＢインタフェースに係る所定のポート番号であればアクセスを許可することを特徴とする請求項７に記載の画像形成装置。
【請求項９】
前記判定手段は、前記セキュアブート機能の設定が切り替えられたタイミングで判定を行うことを特徴とする請求項１乃至８の何れか１項に記載の画像形成装置。
【請求項１０】
ブートＲＯＭに格納されているプログラムの改ざんを検知しつつ、該プログラムを用いて装置を起動するセキュアブート機能による起動が可能な画像形成装置の制御方法であって、
判定手段が、前記セキュアブート機能による装置の起動が行われる設定であるか否かを判定する判定工程と、
警告手段が、前記判定工程による判定の結果、前記セキュアブート機能による装置の起動が行われない設定である場合に、前記セキュアブート機能の設定が切り替えられた旨の警告メッセージを表示部に表示する警告工程と
を含むことを特徴とする画像形成装置の制御方法。
【請求項１１】
ブートＲＯＭに格納されているプログラムの改ざんを検知しつつ、該プログラムを用いて装置を起動するセキュアブート機能による起動が可能な画像形成装置の制御方法における各工程をコンピュータに実行させるためのプログラムであって、前記制御方法は、
判定手段が、前記セキュアブート機能による装置の起動が行われる設定であるか否かを判定する判定工程と、
警告手段が、前記判定工程による判定の結果、前記セキュアブート機能による装置の起動が行われない設定である場合に、前記セキュアブート機能の設定が切り替えられた旨の警告メッセージを表示部に表示する警告工程と
を含むことを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、画像形成装置、その制御方法、及びプログラムに関する。
【背景技術】
【０００２】
コピー、プリント、スキャン、ファクシミリ、及びネットワークインタフェースなどの機能を有する複合機などの画像形成装置が知られている。それらは、複数の種々のネットワークに接続でき、インターネットやイントラネットに接続して、ファイルの送受信やダウンロードファイルの印刷などの機能を実現している。オフィス環境においては、それら複合機のデータのセキュリティ対策のために、例えば、データアクセス先、ユーザアクセスを管理することでデータのセキュリティ管理を行っている。また、近年の複合機は、搭載されるファームウェアやアプリケーションなどの改ざん検知を検出するセキュアブート起動機能を有している。特許文献１では、セキュリティ状態を確保するコンピュータシステムにおいて、システムの起動時に、プログラムをチェックし、必要なプログラムがないと、起動を中断するセキュアブートが提案されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００６−３１８４３５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記従来技術には以下に記載する課題がある。例えば、セキュアブート機能については、当該機能をＯＮ及びＯＦＦに設定することが可能である。通常、画像形成装置では、その内部のデータの情報漏洩を防止するセキュリティ確保の観点から、セキュアブート機能をＯＮに設定して使用している。しかし、種々のユーザのいるオフィス環境においては、ユーザの都合で、セキュアブート機能をＯＦＦに設定する可能性がある。この、セキュアブート機能がＯＮからＯＦＦに変更された場合、次に画像形成装置を立ち上げると、セキュアブート機能がＯＦＦのまま起動することになり、オフィス環境において、他のユーザはそれに気づくことができない。セキュアブート機能がＯＦＦに設定されると、画像形成装置としても、本体のプログラムの改ざん等を判断できない状態となる。このとき、例えばセキュリティレベルが低いネットワークに接続されている画像形成装置は、不正にＨＤＤ内部を閲覧されたり、ネットワーク上に不正にデータを送出されたり、或いはＨＤＤ内部のデータが破壊されたりなどの危険性がある。つまり、画像形成装置が保持するデータがセキュリティ的に懸念のある状態に置かれることになる。
【０００５】
本発明は、上述の問題の少なくとも一つに鑑みて成されたものであり、セキュアブート機能がＯＮからＯＦＦに設定された場合であっても、装置のセキュリティを好適に確保する仕組みを提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明は、例えば、ブートＲＯＭに格納されているプログラムの改ざんを検知しつつ、該プログラムを用いて装置を起動するセキュアブート機能による起動が可能な画像形成装置であって、前記セキュアブート機能による装置の起動が行われる設定であるか否かを判定する判定手段と、前記判定手段による判定の結果、前記セキュアブート機能による装置の起動が行われない設定である場合に、前記セキュアブート機能の設定が切り替えられた旨の警告メッセージを表示部に表示する警告手段とを備えることを特徴とする。
【発明の効果】
【０００７】
本発明によれば、セキュアブート機能がＯＮからＯＦＦに設定された場合であっても、装置のセキュリティを好適に確保することができる。
【図面の簡単な説明】
【０００８】
【図１】一実施形態に係る画像形成装置の接続を示す図。
【図２】一実施形態に係る画像形成装置の構成を示す図。
【図３】一実施形態に係る画像形成装置のコントローラ部の周辺の詳細を示す図。
【図４】一実施形態に係る画像形成装置のフローチャート。
【図５】一実施形態に係る画像形成装置の他のフローチャート。
【図６】一実施形態に係る画像形成装置の他のフローチャート。
【図７】一実施形態に係る画像形成装置の他のコントローラ部の周辺の詳細を示す図。
【図８】一実施形態に係る画像形成装置の他のフローチャート。
【図９】一実施形態に係る画像形成装置の他のフローチャート。
【図１０】一実施形態に係る画像形成装置の他のコントローラ部の周辺の詳細を示す図。
【図１１】一実施形態に係る画像形成装置の他のフローチャート。
【図１２】一実施形態に係る画像形成装置の他のコントローラ部の周辺の詳細を示す図。
【図１３】一実施形態に係る画像形成装置の他のフローチャート。
【発明を実施するための形態】
【０００９】
以下に本発明の一実施形態を示す。以下で説明される個別の実施形態は、本発明の上位概念、中位概念及び下位概念など種々の概念を理解するために役立つであろう。また、本発明の技術的範囲は、特許請求の範囲によって確立されるのであって、以下の個別の実施形態によって限定されるわけではない。なお、実施形態に係る画像形成装置として複合機（デジタル複合機／ＭＦＰ／Ｍｕｌｔｉ  Ｆｕｎｃｔｉｏｎ  Ｐｅｒｉｐｈｅｒａｌ）を例に説明する。しかしながら適用範囲は複合機に限定はせず、画像処理機能を有する装置であればよい。
【００１０】
＜第１の実施形態＞
＜画像形成装置のネットワーク接続＞
以下では、添付図面を参照して、本発明の第１の実施形態について説明する。まず、図１を参照して、本実施形態に係る画像形成装置のネットワーク接続の一例について説明する。
【００１１】
画像形成装置１０１は、複数のネットワークインタフェース、及び記憶装置１１０を備え、ネットワークインタフェースはネットワ―クケーブルを介して、種々のネットワーク網と接続することが可能である。例えば、オフィス環境において、画像形成装置１０１は、１０２に示す社内ＬＡＮの環境への接続や、１０６に示すインターネット網への接続が考えられる。社内ＬＡＮ１０２の環境では、イントラネット１０３のように、閉じた環境であって、イントラネットサーバ１０４がネットワークの管理を行い、複数のＰＣ１０５、１１１と画像形成装置１０１とが接続された、閉鎖環境を構築している。また、１０６は画像形成装置１０１が外部のネットワークとの接続となるインターネット網との接続を示す。インターネット１０７に複数のネットワーク１０８、１１４が接続され、各ネットワーク１０８、１１４には、サーバ１０９、１１５、複数のＰＣ１１２、１１３、１１６、１１７が接続されるネットワーク網を構成している。画像形成装置１０１はイントラネット１０３に接続しながら、インターネット１０７と接続し、何れのネットワークとの間でもデータの送受信を行うことができる。
【００１２】
＜画像形成装置の構成＞
次に、図２を参照して、本実施形態に係る画像形成装置１０１の構成例を説明する。画像形成装置１０１は、コントローラ部２０１、ネットワーク部２０２、スキャナ部２０３、プリンタ部２０４、操作部２０５、記憶部２０６、ファクシミリ部２０７、及び電源部２０８を備える。各部は、内部バス２０９を介して、コントローラ部２０１からの制御信号や、各装置間のデータ信号を送受することができる。
【００１３】
コントローラ部２０１は、後述のＣＰＵが画像形成装置１０１全体の制御を司り、各種設定の制御やデータ処理を実行する。スキャナ部２０３は、スキャナで画像形成装置１０１の原稿台に載置された原稿から画像を読み取って画像データを生成し、生成した画像データをコントローラ部２０１に転送する処理などを実行する。プリンタ部２０４は、印刷を行うための画像データの処理などを実行する。
【００１４】
ネットワーク部２０２は、複数のネットワークインタフェースを備え、クライアントＰＣ等の外部装置とのデータの送受信の制御等を行う。ファクシミリ部２０７は、ファクシミリ回線により接続されたファクシミリ装置とのデータの送受信の制御等を行う。記憶部２０６は、ハードディスクドライブ等で構成されており、スキャナ部２０３で読み取った画像データや印刷データの格納など、様々なデータの格納に使用される。操作部２０５は、不図示のオペレーションパネルを制御し、各種情報の表示、使用者からの指示入力を受け付ける。電源部２０８は画像形成装置の電源を供給するため、コンセントからの交流電源を画像形成装置１０１内部で使用する直流電源等への変換を行う。
【００１５】
＜コントローラ部周辺の詳細構成＞
次に、図３を参照して、本実施形態に係る画像形成装置１０１のコントローラ部２０１周辺の詳細構成を説明する。コントローラ部２０１は、ＣＰＵ３０１、ブートＲＯＭ３０２、及びエンベデッドコントローラ３０３を備える。ネットワーク部２０２は、ＬＡＮコントローラ３１０、３１２、コネクタ３１１、３１３を備える。記憶部２０６は、ディスクコントローラ３０４、及びＨＤＤ３０７を備える。
【００１６】
ＣＰＵ３０１は、画像形成装置１０１において、コントローラ部２０１の制御を行うＣＰＵであり、画像形成装置１０１の制御を司る。ブートＲＯＭ３０２は、画像形成装置１０１の電源を起動したときに最初に読み出すプログラムが格納される。このブートＲＯＭ３０２の起動を行った後、記憶部２０６からファームウェアやＯＳプログラムを動作させるための設定が行われる。エンベデッドコントローラ３０３は、画像形成装置１０１の起動時にブートＲＯＭの内容（プログラム）が改ざんされているか否かをチェックしつつ起動を行うセキュアブート機能と、セキュアブート機能をＯＮ又はＯＦＦに設定する機能を備える。
【００１７】
ここで、セキュアブートがＯＮのときの動作について説明する。画像形成装置１０１を起動すると、エンベデッドコントローラ３０３はブートＲＯＭ３０２のデータを読み出す。エンベデッドコントローラ３０３では、ブートＲＯＭ３０２から読み出したデータの比較値として正しい値を内蔵メモリに記憶してある。この値を基準値とし、起動後にブートＲＯＭ３０２から読み出したデータから比較値を算出する。エンベデッドコントローラ３０３の基準値と一致した場合、ブートＲＯＭ３０２の内容は正常と判断し、エンベデッドコントローラ３０３はＣＰＵ３０１に電源イネーブル信号を通知し、その結果ＣＰＵ３０１の起動を行う。また、基準値と一致しない場合は、ブートＲＯＭ３０２の内容を不正（改ざんが行われている）と判断し、それ以降の起動は行わない。他のブートＲＯＭ内容のチェック方法として、データの代表値を算出するハッシュ関数を用いて、ブートＲＯＭから算出したハッシュ値を正解値として、エンベデッドコントローラ３０３の記憶部に記憶しておいてもよい。そして、画像形成装置１０１の起動時にブートＲＯＭ３０２のデータを読み出しながら、ハッシュ値の演算を行い、正解値と比較して、ＲＯＭデータ内容の正誤を判断する方法を用いてもよい。なお、セキュアブート機能がＯＦＦに設定されている際の動作については図４を用いて後述する。
【００１８】
記憶部２０６において、ディスクコントローラ３０４は、ＨＤＤ３０７へのアクセス制御を行う。ディスクコントローラ３０４は、ディスクコントローラ用ＣＰＵ３０５と制御部３０６とを含んで構成され、画像形成装置１０１のデータの読み出し、書き込み制御を行う。また、ＨＤＤ３０７には、記憶領域３０８と記憶領域３０９との領域が設けられ、データの書き込み制御を３０６で行うことができる。ＨＤＤ３０７のアクセス制御については図５及び図６を用いて後述する。
【００１９】
ネットワーク部２０２のＬＡＮコントローラ３１０、３１２は、複数のネットワークインタフェースのうちの１つのネットワークコントローラである。ＬＡＮコネクタ３１１は、ＬＡＮコントローラ３１０と外部機器とのネットワーク接続を行うコネクタ部である。ＬＡＮコネクタ３１１にネットワークケーブルを接続することにより、ＬＡＮコントローラ３１０を経由して外部ネットワークとの通信を行うことが可能となる。ＬＡＮコントローラ３１２の接続先となるのが、ＬＡＮコネクタ３１３である。ＬＡＮコネクタ３１３にネットワークケーブルを接続することにより、ＬＡＮコントローラ３１２を経由して通信を行うことが可能となる。
【００２０】
＜起動時の制御＞
次に、図４を参照して、本実施形態に係る画像形成装置１０１のコントローラ部２０１におけるエンベデッドコントローラ３０３の起動時の処理手順を説明する。以下では、エンベデッドコントローラをＥＣと略記する。以下の説明は、ネットワークインタフェースを備える本実施形態の画像形成装置１０１において、セキュアブート機能のＯＮ又はＯＦＦの設定において、画像形成装置１０１の起動時におけるＥＣ３０３の制御に関する説明である。
【００２１】
まず、電源ＳＷのＯＮ操作により、画像形成装置１０１が起動されると、電力がＥＣ３０３に供給される。Ｓ４０１で、ＥＣ３０３は、入力されるリセットＩＣからのリセット信号を受け付けると、リセット解除を行う。これにより、内部のマスクＲＯＭ３１４が起動する。続いて、Ｓ４０２で、ＥＣ３０３は、マスクＲＯＭ３１４に保持している、セキュアブート機能がＯＮかＯＦＦかの確認を行う。セキュアブート機能がＯＮに設定されている場合、Ｓ４０３へ進み、そうでない場合はＳ４０７に進む。
【００２２】
Ｓ４０３で、ＥＣ３０３は、ブートＲＯＭ３０２を読み出し、演算により、ＲＯＭの比較値を算出する。一方、ＥＣ３０３の記憶領域に格納してある比較値を読み出し、前述の演算値と比較を行う。このようにして、ブートＲＯＭ３０２に格納されたプログラム内容に関して、全領域の正誤チェックを行う。チェックの結果がＯＫの場合、Ｓ４０４へ進み、そうでない場合はＳ４０５に進む。Ｓ４０４で、ＥＣ３０３は、ＣＰＵ３０１のリセット解除を行う。これにより、ＥＣ３０３によるセキュアブート機能がＯＮに設定されている場合の起動処理が終了する。
【００２３】
一方、Ｓ４０３でブートＲＯＭ３０２のチェック結果がＮＧの場合、Ｓ４０５で、ＥＣ３０３は、起動処理の中止処理を実行する。続いて、Ｓ４０６で、ＥＣ３０３は、ブートＲＯＭ３０２のチェック結果がＮＧであるため、ＣＰＵ３０１のリセット解除は行わず、リセット状態を継続させる処理を実行する。この場合、画像形成装置１０１としては起動せず処理が終了する。
【００２４】
また、Ｓ４０２でセキュアブート機能がＯＦＦの場合、Ｓ４０７で、ＥＣ３０３は、前回起動したときのセキュアブート機能の設定のチェックを行う。具体的には、ＥＣ３０３は、マスクＲＯＭ３１４に保持されている、セキュアブート機能の履歴設定がＯＮかＯＦＦかの確認を行う。前回のセキュアブート機能がＯＮの場合、Ｓ４０８へ進み、そうでない場合はＳ４１０に進む。
【００２５】
Ｓ４０８で、ＥＣ３０３は、ＣＰＵ３０１のリセット解除を行う。続いて、Ｓ４０９で、ＥＣ３０３は、ＣＰＵ３０１に対して、ブート設定ＯＮからＯＦＦに切り替わったことの通知を行う。当該通知を受けると、ＣＰＵ３０１は、表示部に、セキュアブート機能がＯＮからＯＦＦに切り替わっている旨の表示を出力し、ユーザに対して、画像形成装置１０１のセキュリティの注意喚起を行う。セキュアブート機能がＯＮからＯＦＦに切り替えられた際におけるＥＣ３０３の起動制御が終了する。
【００２６】
一方、Ｓ４０７でセキュアブート機能の前回設定がＯＦＦの場合、即ち、今回の起動時においてセキュアブート機能が連続してＯＦＦとなっている場合、Ｓ４１０で、ＥＣ３０３は、ＣＰＵ３０１のリセット解除を行う。Ｓ４１１で、ＥＣ３０３は、ＣＰＵ３０１に対して、ブート設定連続ＯＦＦの通知を行う。当該通知を受けると、ＣＰＵ３０１は、表示部に、セキュアブート機能がＯＦＦのままになっている旨の表示を出力し、ユーザに対して、画像形成装置１０１のセキュリティの注意喚起を行う。この場合、ブート設定連続ＯＦＦのため、画像形成装置１０１の動作は継続される。以上よりセキュアブートの設定がＯＦＦの場合のＥＣ３０３の起動制御が終了する。
【００２７】
＜アクセス制御＞
次に、図５を参照して、本実施形態に係る画像形成装置１０１のコントローラ部２０１におけるＥＣ３０３及びディスクコントローラ３０４のアクセス制御の処理手順を説明する。以下の説明は、ネットワークインタフェースを備える本発明の画像形成装置において、セキュアブートＯＮ又はＯＦＦの設定において、ネットワークからのデータアクセスが発生した場合における記憶部へのアクセス制御に関する説明である。５１０のフローチャートはＥＣ３０３の制御を示し、５２０のフローチャートはディスクコントローラ３０４の制御を示す。以下の説明において、ＥＣ３０３は、受付手段として機能する。
【００２８】
まず、５１０のフローチャートについて説明する。コントローラ部２０１には、画像形成装置１０１のネットワーク部２０２のＬＡＮコントローラ３１０又はＬＡＮコントローラ３１２からネットワーク経由でデータが送られてくる。Ｓ５０１で、ＥＣ３０３は、画像形成装置１０１のセキュアブート機能が設定されている（ＯＮ）かどうかのチェックを行う。セキュアブート機能がＯＮの設定の場合はＳ５０２へ進み、そうでない場合はＳ５０３に進む。
【００２９】
Ｓ５０２で、ＥＣ３０３は、ディスクコントローラ用ＣＰＵ３０５に対して、通信ポートを介して、セキュアブート機能がＯＮの設定である旨を通知することにより、セキュアブート機能の設定をディスクコントローラ３０４に伝え、処理を終了する。一方、Ｓ５０３で、ＥＣ３０３は、ディスクコントローラ用ＣＰＵ３０５に対して、通信ポートを介して、セキュアブート機能がＯＦＦの設定である旨を通知し、セキュアブート設定をディスクコントローラ３０４に伝え、処理を終了する。以上により、ＥＣ３０３のセキュアブート設定の通知処理が終了となる。
【００３０】
次に、５２０のディスクコントローラ３０４のフローチャートについて説明する。Ｓ５０４で、ディスクコントローラ用ＣＰＵ３０５は、メインＣＰＵ３０１からのデータ転送があったか否かを定期的に判断する。データを受信すると、Ｓ５０５に進み、ディスクコントローラ用ＣＰＵ３０５は、セキュアブート設定の確認を行う。ここで、ディスクコントローラ用ＣＰＵ３０５は上記Ｓ５０２で、セキュアブート機能がＯＮに設定されている旨の通知を受けとっていれば、Ｓ５０６へ進む。セキュアブート機能の設定がＯＮ、即ち、ＨＤＤ３０７へのデータの書き込みが許可されていることを示す。Ｓ５０６で、ディスクコントローラ用ＣＰＵ３０５は、制御部３０６に対して、受信したデータの書き込み命令を発行する。制御部３０６は書き込み命令の指示に従って、ＨＤＤ３０７にデータ転送を行う。以上の処理により、データ書き込みが行われる。
【００３１】
一方、Ｓ５０５で、セキュアブート機能の設定がＯＦＦである旨の通知を受けていれば、Ｓ５０７へ進む。セキュアブート機能がＯＦＦの場合は、データセキュリティの確保のために、ＨＤＤ３０７へのアクセスを許可しない。よって、Ｓ５０７で、ディスクコントローラ用ＣＰＵ３０５は、制御部３０６に対して、データの書き込み命令を発行せず、処理を終了する。この場合、ＨＤＤ３０７にデータが転送されず、データ書き込みは行われない。ここで、ディスクコントローラ用ＣＰＵ３０５は、ＣＰＵ３０１に対し、セキュアブート機能がＯＦＦに設定されている場合の疑似的な書き込み終了コマンドを伝え、処理を終了する。これにより、画像形成装置１０１におけるデータセキュリティが確保される。
【００３２】
以上説明したように、本実施形態に係る画像形成装置１０１は、ブートＲＯＭに格納されているプログラムの改ざんを検知しつつ、当該プログラムを用いて装置を起動するセキュアブート機能による起動が可能な画像形成装置である。本画像形成装置は、セキュアブート機能による装置の起動が行われない設定である場合に、セキュアブート機能の設定が切り替えられた旨の警告メッセージを表示部に表示する。また、このような制御は、セキュアブート機能の設定が切り替えられたタイミングで行われることが望ましい。これにより、画像形成装置に保持されるプログラム（ソフトウェア）が不正に改ざんされていた場合、セキュアブートがＯＦＦであるため不正を判断できず、不正にネットワークからディスクにアクセスされる可能性をユーザへ好適に通知することができる。よって、そのような不正な改ざんによる情報漏洩を未然に防ぐことができる。また、本実施形態によれば、複数のネットワークを備える画像形成装置１０１において、セキュアブート機能がＯＦＦに設定されている場合は、ディスクコントローラ３０４が記憶部へのアクセスを行わない。これにより、画像形成装置１０１におけるデータセキュリティが好適に確保される。
【００３３】
＜変形例＞
次に、図６を参照して、本実施形態に係る画像形成装置１０１のコントローラ部２０１におけるディスクコントローラ３０４のアクセス制御の処理手順を説明する。本フローチャートは図５の５２０のフローチャートの変形例である。同一のステップ番号については同様の制御を行うため説明を省略する。
【００３４】
Ｓ５０５のセキュアブート機能の設定の確認において、Ｓ５０３においてセキュアブート機能の設定がＯＦＦである旨の通知を受けていれば、Ｓ６０１へ進む。
【００３５】
セキュアブート設定ＯＦＦの場合、Ｓ６０１で、ディスクコントローラ用ＣＰＵ３０５は、記憶部へのアクセスアドレスが許可されている領域であるかどうかの判断を行う。そのため、ディスクコントローラ用ＣＰＵ３０５は、メインＣＰＵ３０１からの転送データのアドレスを確認する。データセキュリティ確保のために、制御部３０６は、ＨＤＤ３０７へのアクセス許可領域として設けられた記憶領域３０８と、アクセス不許可領域として設けられた記憶領域３０９との、それぞれのアクセスアドレス領域を、当該制御部３０６の内部に保持している。ディスクコントローラ用ＣＰＵ３０５は、受信データのアドレス値を参照して、アクセス許可領域であれば、Ｓ６０２へ進み、そうでない場合はＳ６０３へ進む。
【００３６】
Ｓ６０２で、ディスクコントローラ用ＣＰＵ３０５は、制限された許可領域へのデータの書き込み許可のため、制御部３０６に対して書き込み命令を発行し、処理を終了する。制御部３０６は書き込み命令の指示により、ＨＤＤ３０７にデータ転送を行う。以上の処理により、データ書き込みが行われる。一方、Ｓ６０３で、ディスクコントローラ用ＣＰＵ３０５は、ディスクコントローラへのアクセスを許可しないため、制御部３０６に対して、アクセスに対応する書き込み命令を発行せず、処理を終了する。そのため、ＨＤＤ３０７にデータが転送されず、データ書き込みは行われない。ここで、ディスクコントローラ用ＣＰＵ３０５は、ＣＰＵ３０１に対し、セキュアブートＯＦＦ設定での疑似的な書き込み終了コマンドを伝え、処理を終了する。これにより、画像形成装置１０１におけるデータセキュリティが好適に確保される。
【００３７】
このように、本変形例によれば、複数のネットワークを備える画像形成装置１０１において、セキュアブート機能がＯＦＦに設定されている場合、ディスクコントローラ３０４が記憶部の制限された領域へのアクセスを許可する。一方、許可されていない領域へのアクセスは制限する。これにより、画像形成装置におけるデータセキュリティを好適に確保することができる。
【００３８】
＜第２の実施形態＞
以下では、図７乃至図９を参照して、本発明の第２の実施形態について説明する。本実施形態では、セキュアブート機能がＯＦＦに設定されている場合に、ネットワークを無効化する制御について説明する。なお、本実施形態は、上記実施形態と組み合わせて適用することができる。
【００３９】
＜コントローラ部周辺の詳細構成＞
まず、図７を参照して、本実施形態に係る画像形成装置１０１のコントローラ部周辺の構成について説明する。上記第１の実施形態で説明した図３との差分について主に説明する。
【００４０】
ネットワーク部２０２に設けられたＬＡＮコントローラ（ネットワークコントローラ）７１２は内部にＣＰＵ７０１、リセット部７０２、及び電源部７０３を備える。ＣＰＵ７０１は、ＬＡＮコントローラ７１２の制御を司る。リセット部７０２はＬＡＮコントローラの設定の初期化を行う。リセット部７０２は、外部に端子があり、ＥＣ３０３と接続されている。電源部７０３はＬＡＮコントローラ７１２の電源制御を行う。ＬＡＮコントローラ７１２の外部にスイッチ７０４が設けられ、ＥＣ３０３と接続されている。ＬＡＮコントローラ７１３と同様の構成であり、ＣＰＵ７０５、リセット部７０６、及び電源部７０７を備える。電源部７０７はスイッチ７０８に接続される。
【００４１】
また、記憶部２０６は、ディスクコントローラ３０４に加えて、ＲＡＭ７１０及びＨＤＤ７１１を備える。
【００４２】
＜起動制御＞
次に、図８を参照して、本実施形態に係る画像形成装置１０１のコントローラ部２０１におけるＥＣ３０３の起動制御を説明する。
【００４３】
画像形成装置１０１の起動後、Ｓ８０１で、ＥＣ３０３は、画像形成装置１０１のセキュアブート機能の設定のチェックを行う。セキュアブート機能がＯＮに設定されている場合はＳ８０２へ進み、そうでない場合はＳ８０３に進む。
【００４４】
Ｓ８０２で、ＥＣ３０３は、ＬＡＮコントローラ７１２のリセット部７０２、ＬＡＮコントローラ７１３のリセット部７０６を解除し、ＬＡＮコントローラの機能を有効化し、画像形成装置１０１の起動処理を継続することにより、処理を終了する。この場合、画像形成装置１０１におけるＬＡＮコントローラの機能は有効となる。つまり、セキュアブート機能が有効である場合には、外部との通信を可能にすべくＬＡＮコントローラを有効にする。
【００４５】
一方、セキュアブート機能がＯＦＦに設定されている場合、Ｓ８０３で、ＥＣ３０３は、ＬＡＮコントローラ７１２のリセット部７０２、ＬＡＮコントローラ７１３のリセット部７０６のリセット解除を行わず、処理を終了する。これにより、ＬＡＮコントローラの機能が無効化され、接続が行われない。この処理により、画像形成装置におけるＬＡＮコントローラの機能は無効となる。つまり、セキュアブート機能が無効である場合には、外部との通信を制限するように、ＬＡＮコントローラを無効にする。これにより、画像形成装置１０１におけるデータセキュリティの向上が可能となる。
【００４６】
＜変形例＞
次に、図９を参照して、本発明の画像形成装置のコントローラ部２０１におけるＥＣ３０３の起動制御の変形例を説明する。
【００４７】
画像形成装置１０１の起動後、Ｓ９０１で、ＥＣ３０３は、画像形成装置１０１におけるセキュアブート機能の設定のチェックを行う。セキュアブート機能がＯＮに設定されている場合はＳ９０２へ進み、そうでない場合はＳ９０３に進む。
【００４８】
Ｓ９０２で、ＥＣ３０３は、ＬＡＮコントローラ７１２の電源部７０３、ＬＡＮコントローラ７１３の電源部７０７に接続するスイッチ７０４、７０８をＯＮに制御し、処理を終了する。これにより、ＬＡＮコントローラ７１２、ＬＡＮコントローラ７１３の電源が印加され、ＬＡＮコントローラの機能が有効化され、画像形成装置１０１の起動処理が継続される。この場合、画像形成装置１０１におけるＬＡＮコントローラの機能は有効となる。つまり、セキュアブート機能が有効である場合には、外部との通信を可能にすべくＬＡＮコントローラへの電源供給を行う。
【００４９】
一方、セキュアブート機能がＯＦＦに設定されている場合はＳ９０３で、ＥＣ３０３は、ＬＡＮコントローラ７１２の電源部７０３、ＬＡＮコントローラ７１３の電源部７０７に接続するスイッチ７０４、７０８をＯＦＦに制御し、処理を終了する。これにより、ＬＡＮコントローラ７１２、ＬＡＮコントローラ７１３への電源供給を遮断する。そのため、ＬＡＮコントローラの機能が無効化され、通信接続が行われない。この処理により、画像形成装置１０１におけるＬＡＮコントローラの機能は無効となる。つまり、セキュアブート機能が無効である場合には、外部との通信を制限すべくＬＡＮコントローラへの電源供給を遮断する。これにより、ＬＡＮコントローラの機能を無効化することにより、画像形成装置１０１におけるデータセキュリティの向上が可能となる。
【００５０】
＜第３の実施形態＞
以下では、図１０及び図１１を参照して、本発明の第３の実施形態について説明する。本実施形態では、セキュアブート機能がＯＦＦに設定されている場合に、ＬＡＮ変換モジュールを用いたネットワークを無効化する制御について説明する。なお、本実施形態は、上記実施形態と組み合わせて適用することができる。
【００５１】
＜コントローラ部周辺の詳細構成＞
まず、図１０を参照して、本実施形態に係る画像形成装置１０１のコントローラ部周辺の構成について説明する。上記第１及び第２の実施形態で説明した図３及び図７との差分について主に説明する。
【００５２】
コントローラ部２０１はＵＳＢインタフェース１００１を備えており、ＵＳＢインタフェースを用いた機能を接続することにより、外部拡張が可能となる。コントローラ部２０１は、外部拡張機能とＣＰＵ３０１を経由するデータのやり取り、及び、ＥＣ３０３からの制御を行う。ネットワーク部２０２には、ＬＡＮコントローラ７１２、７１３に加えて、拡張用のネットワークコントローラであるＬＡＮ変換モジュール１００２によるＬＡＮを構成する。ＬＡＮ変換モジュール１００２は、ＵＳＢインタフェース１００１と接続され、変換コントローラ１００７を経由して、ＬＡＮコントローラ用として、ＣＰＵ１００３を備え、ＬＡＮコントローラの制御を司る。リセット部１００４はＬＡＮ変換モジュールの設定の初期化を行う。電源部１００５はＬＡＮ変換モジュールの電源制御を行う。外部にスイッチ１００８を備え、ＵＳＢインタフェース１００１を介してＥＣ３０３と接続されている。コネクタ１００６を介して、データのやり取りを行う構成を備えている。
【００５３】
＜起動制御＞
次に、図１１を参照して、本実施形態に係る画像形成装置１０１のコントローラ部２０１におけるＥＣ３０３の起動時の処理手順を説明する。
【００５４】
画像形成装置１０１の起動後、Ｓ１１０１で、ＥＣ３０３は、画像形成装置１０１におけるセキュアブート機能の設定のチェックを行う。セキュアブート機能がＯＮに設定されている場合はＳ１１０２へ進み、そうでない場合はＳ１１０３に進む。
【００５５】
Ｓ１１０２で、ＥＣ３０３は、コントローラ部２０１のＵＳＢインタフェース１００１の接続を有効にし、ＬＡＮ変換モジュール１００２の機能を有効化し、画像形成装置１０１の起動処理を継続することにより、処理を終了する。この場合、画像形成装置１０１におけるＬＡＮコントローラの機能は有効となる。つまり、セキュアブート機能が有効である場合には、外部との通信を可能にすべくＵＳＢインタフェース１００１の接続を有効する。
【００５６】
一方、セキュアブート機能がＯＦＦに設定されている場合、Ｓ１１０３で、ＥＣ３０３は、コントローラ部２０１のＵＳＢインタフェース１００１の接続を切断し、ＬＡＮ変換モジュール１００２の機能を無効化し、接続を行わず、処理を終了する。これにより、画像形成装置１０１におけるＬＡＮコントローラの機能は無効となる。つまり、セキュアブート機能が無効である場合には、外部との通信を制限するように、ＵＳＢインタフェース１００１を切断し、ＬＡＮコントローラを無効にする。これにより、画像形成装置１０１におけるデータセキュリティの向上が可能となる。
【００５７】
＜第４の実施形態＞
以下では、図１２及び図１３を参照して、本発明の第４の実施形態について説明する。本実施形態では、セキュアブート機能がＯＦＦに設定されている場合における、ネットワークモジュールの動作について説明する。なお、本実施形態は、上記実施形態と組み合わせて適用することができる。
【００５８】
＜コントローラ部周辺の詳細構成＞
まず、図１２を参照して、本実施形態に係る画像形成装置１０１のコントローラ部周辺の構成について説明する。上記第１乃至第３の実施形態で説明した構成及び制御との差分、特に、図１０との差分について主に説明する。
【００５９】
ネットワーク部２０２には、ＬＡＮコントローラ７１２、７１３に加えて、ＬＡＮ変換モジュール１００２によるＬＡＮの構成が設けられる。ＬＡＮ変換モジュール１００２は、コネクタ１００６を介して、ＰＣ１２０１、１２０３、１２０４と接続される。ＰＣ１２０１、１２０３、１２０４はネットワーク網１２０２と接続され、ＬＡＮを介してデータのやり取りを行うことができる。
【００６０】
＜印刷制御＞
次に、図１３を参照して、本実施形態に係る画像形成装置１０１のコントローラ部２０１におけるＥＣ３０３及びＬＡＮ変換モジュール１００２における印刷制御の処理手順を説明する。
【００６１】
画像形成装置１０１の起動後、Ｓ１３０１で、ＥＣ３０３は、画像形成装置１０１におけるセキュアブート機能の設定のチェックを行う。セキュアブート機能がＯＮに設定されている場合はＳ１３０２へ進み、そうでない場合はＳ１３０４に進む。Ｓ１３０２で、ＬＡＮ変換モジュール１００２のＣＰＵ１００３は、ＰＣ１２０１の指示により、データ転送が行われたか否かを判断する。データ転送が行われた場合、Ｓ１３０３へ進み、ＥＣ３０３は、ジョブをコントローラ部２０１へ送り、画像形成装置１０１でプリント処理を実行し、処理を終了する。なお、Ｓ１３０２でデータ転送待ちの場合は、Ｓ１３０２の判定が定期的に繰り返される。
【００６２】
一方、Ｓ１３０１で画像形成装置１０１におけるセキュアブート機能がＯＦＦに設定されている場合、Ｓ１３０４で、ＬＡＮ変換モジュール１００２のＣＰＵ１００３は、プリントポートの設定を行い、例えばポート９００１を介するデータ転送のみを許可する。続いて、Ｓ１３０５で、ＣＰＵ１００３は、ＰＣ１２０１の指示により、データ転送が行われたか否かを判断する。データ転送が行われた場合、Ｓ１３０６へ進み、ＣＰＵ１００３は、送信データのヘッダを解析し、データのポート番号が９００１かどうかを確認する。ポート番号が一致すると、ＣＰＵ１００３は、プリントデータであると判断し、Ｓ１３０７へ進む。その後、ＥＣ３０３は、ジョブをコントローラ部２０１へ送り、画像形成装置１０１でプリント処理実行し、処理を終了する。一方、データがプリントデータでない場合は、Ｓ１３０８へ進み、ＥＣ３０３は、プリント処理を行わず、処理を終了する。
【００６３】
ここで、セキュアブート機能がＯＦＦに設定されている場合に、ネットワーク網１２０２にあるＰＣ１２０１からＬＡＮ変換モジュール１００２を介して、画像形成装置１０１へのＨＤＤデータの読み出しアクセスされた場合の処理について詳細に説明する。
【００６４】
Ｓ１３０５で、ＣＰＵ１００３は、データ転送が行われたか否かを判断する。ＰＣ１２０１から画像形成装置１０１へのＨＤＤデータの読み出しアクセスが行われると、データ転送が行われ、Ｓ１３０６へ進む。Ｓ１３０６で、ＣＰＵ１００３は、送信データのヘッダを解析し、データのポート番号が９００１かどうかを確認する。ポート番号が一致しないため、ＣＰＵ１００３はプリントデータでないと判断し、Ｓ１３０８へ進み、読み出しアクセスの処理を行わず、処理を終了する。
【００６５】
このように、本実施形態によれば、セキュアブート機能がＯＦＦに設定されている場合、画像形成装置１０１へのＨＤＤデータの読み出しアクセスに対して、ＨＤＤ３０７からデータを送信することは行わず、ジョブ処理を中止する。さらに、本画像形成装置のジョブ処理におけるポート番号の設定において、受信パケットの内容に応じて、その後のジョブ処理を継続するか否かをプログラミング可能となる。
【００６６】
以上説明したように、複数のネットワークを備える画像形成装置１０１において、セキュアブート機能がＯＦＦに設定されている場合、ＬＡＮ変換モジュールにより、所定のポート番号のデータのみを受信許可と判断し、印刷のみを許可することができる。また、画像形成装置１０１へのＨＤＤデータの読み出しアクセスや、他のジョブには応答しないことにより、画像形成装置１０１におけるデータセキュリティの向上が可能となる。
【００６７】
＜その他の実施形態＞
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサーがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。
【符号の説明】
【００６８】
１０１：画像形成装置、１０２：社内ＬＡＮ、１０３：イントラ―ネット、１０４：イントラネットサーバ、１０５、１１１〜１１３、１１６、１１７：ＰＣ、１０６：インターネット網、１０７：インターネット、１０８、１１４：ネットワーク、１０９、１１５：サーバ、１１０：記憶装置
【図１】
2020030599.tif 000003
【図２】
2020030599.tif 000004
【図３】
2020030599.tif 000005
【図４】
2020030599.tif 000006
【図５】
2020030599.tif 000007
【図６】
2020030599.tif 000008
【図７】
2020030599.tif 000009
【図８】
2020030599.tif 000010
【図９】
2020030599.tif 000011
【図１０】
2020030599.tif 000012
【図１１】
2020030599.tif 000013
【図１２】
2020030599.tif 000014
【図１３】
2020030599.tif 000015