(57)【要約】      （修正有）【課題】簡易な構成、かつ短時間で必要なセキュアブートを実施することができるプロセッサ、制御装置、及びプロセッサの起動プログラムを提供する。【解決手段】内視鏡装置の制御装置において、入力される信号に応じて制御を行うプロセッサは、ブート後に、暗号化された暗号化認証ファイルと、プロセッサが実行する実行プログラムとを含むファームウェア情報を読み出し、読み出した暗号化認証ファイルと、暗号化認証ファイルを復号するキー情報とを参照して暗号化認証ファイルの復号処理を実施し、暗号化認証ファイルが復号された場合に、プロセッサにおける実行プログラムを実行し、暗号化認証ファイルが復号されなかった場合に、実行プログラムの実行を中止する。【選択図】図３
2020135459.tif 000002
【特許請求の範囲】
【請求項１】
入力される信号に応じて制御を行うプロセッサであって、
当該プロセッサのブート後に、暗号化された暗号化認証ファイルと、前記プロセッサが実行する実行プログラムとを含むファームウェア情報を読み出し、
読み出した暗号化認証ファイルと、前記暗号化認証ファイルを復号するキー情報とを参照して前記暗号化認証ファイルの復号処理を実施し、
前記暗号化認証ファイルが復号された場合に、当該プロセッサにおける実行プログラムを実行し、前記暗号化認証ファイルが復号されなかった場合に、前記実行プログラムの実行を中止する
ことを特徴とするプロセッサ。
【請求項２】
当該プロセッサは、
前記暗号化認証ファイルが復号された場合に、当該プロセッサに接続する機器を制御するアプリケーションを実行し、
前記暗号化認証ファイルが復号されなかった場合に、前記機器を制御するアプリケーションの実行を中止する
ことを特徴とする請求項１に記載のプロセッサ。
【請求項３】
当該プロセッサは、
前記暗号化認証ファイルが復号された場合に、オペレーティングシステムを立ち上げるプログラムを実行し、
前記暗号化認証ファイルが復号されなかった場合に、前記オペレーティングシステムを立ち上げるプログラムの実行を中止する
ことを特徴とする請求項１又は２に記載のプロセッサ。
【請求項４】
当該プロセッサは医療機器を制御し、
前記暗号化認証ファイルが復号された場合に、前記医療機器を制御するアプリケーションを実行する
ことを特徴とする請求項１〜３のいずれか一つに記載のプロセッサ。
【請求項５】
入力される信号に応じて制御を行うプロセッサと、不揮発性メモリと、揮発性メモリとを備え、
前記不揮発性メモリは、暗号化された暗号化認証ファイルと、前記プロセッサが実行する実行プログラムとを含むファームウェア情報、前記暗号化認証ファイルを復号するキー情報を記憶し、
前記揮発性メモリは、前記プロセッサが実行する起動処理に関する情報を記憶し、
前記プロセッサは、当該プロセッサのブート後に、前記ファームウェア情報を読み出して前記揮発性メモリに展開し、該展開した前記暗号化認証ファイルと、前記キー情報とを参照して前記暗号化認証ファイルの復号処理を実施し、前記暗号化認証ファイルが復号された場合に、当該プロセッサにおける実行プログラムを実行し、前記暗号化認証ファイルが復号されなかった場合に、前記実行プログラムの実行を中止する
ことを特徴とする制御装置。
【請求項６】
入力される信号に応じて制御を行うプロセッサに、
当該プロセッサのブート後に、暗号化された暗号化認証ファイルと、前記プロセッサが実行する実行プログラムとを含むファームウェア情報を、メモリを参照して読み出させ、
読み出した暗号化認証ファイルと、前記暗号化認証ファイルを復号するキー情報とを参照して前記暗号化認証ファイルの復号処理を実施させ、
前記暗号化認証ファイルが復号された場合に、当該プロセッサにおける実行プログラムを実行させ、
前記暗号化認証ファイルが復号されなかった場合に、前記実行プログラムの実行を中止させる
ことを特徴とするプロセッサの起動プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、プロセッサ、制御装置、及びプロセッサの起動プログラムに関する。
【背景技術】
【０００２】
従来、医療分野や工業分野において、人や機械構造物等の被検体内を観察する観察システムが知られている。この観察システムは、被検体内に挿入されるとともに当該被検体内を撮像して画像信号を出力する内視鏡と、当該画像信号を処理して表示用の映像信号を生成する制御装置（プロセッサ）と、当該映像信号に基づく画像を表示する表示装置とを備える。
【０００３】
ところで、制御装置に接続する内視鏡や表示装置の改竄防止のため、正当性が担保されていないソフトウェアを起動させないようにする技術が知られている（例えば、特許文献１を参照）。このような技術は、一般にセキュアブートと呼ばれ、オペレーティングシステム（ＯＳ）が起動する前に、動作する起動プログラムの書き換えを検出して、改竄されていないことが確認された後、ＯＳが起動される。
特許文献１では、セキュリティモジュールを設けることによって、セキュアブートを実施している。
【０００４】
図４は、セキュアブートを実施する従来の構成を示すブロック図である。従来、セキュアブートを実施する装置は、メインＣＰＵ（Central  Processing  Unit）１０１と、セキュリティモジュール１０２と、ＤＤＲ−ＳＤＲＡＭ（Double-Data-Rate  Synchronous  Dynamic  Random  Access  Memory）１０３と、プログラム情報記憶部１０４と、キー情報記憶部１０５とを備える。メインＣＰＵ１０１、セキュリティモジュール１０２、ＤＤＲ−ＳＤＲＡＭ１０３、プログラム情報記憶部１０４、及びキー情報記憶部１０５は、バスによって電気的に接続される。
【０００５】
図５は、従来のセキュアブート処理を示すフローチャートである。従来のセキュアボート処理では、まず、セキュリティモジュール１０２が、プログラム情報記憶部１０４からファームウェアを読み出す（ステップＳ２０１）。ここで読み出されるファームウェアは、暗号化された認証ファイル（以下、暗号化認証ファイルという）となっている。
セキュリティモジュール１０２は、読み出したファームウェアと、キー情報記憶部１０３に記憶されている認証キーとを参照して暗号化認証ファイルを復号し、復号の成否によってファームウェアの正当性を検証する。セキュリティモジュール１０２は、検証の結果、暗号化認証ファイルが正当、すなわち暗号化認証ファイルが復号されれば（ステップＳ２０２：Ｙｅｓ）、ステップＳ２０３に移行する。これに対し、セキュリティモジュール１０２は、暗号化認証ファイルが正当でなければ（ステップＳ２０２：Ｎｏ）、ステップＳ２０６に移行する。
【０００６】
ステップＳ２０３において、読み出されたファームウェアが、ＤＤＲ−ＳＤＲＡＭ１０３に展開される。
その後、メインＣＰＵ１０１が起動され、読み出されたファームウェアを用いてＯＳの初期化が実行される（ステップＳ２０４）。そして、メインＣＰＵ１０１は、各種アプリケーションを初期化する（ステップＳ２０５）。このようにして、正当性が担保されたソフトウェアによって装置がブートされる。
一方、ステップＳ２０６において、セキュリティモジュール１０２は、ファームウェアの正当性が担保されていないと判断し、装置のブート処理を中止する。
【０００７】
このセキュアブートを上述した観察システムに適用すれば、正当性が担保されていないソフトウェアを起動させないようにして、内視鏡や表示装置の改竄を防止できる。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２０１４−２３５３２６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
特許文献１では、セキュアブート専用のハードウェアとしてセキュリティモジュールを必要する。また、従来のセキュアブートは、すべてのソフトウェア（ファームウェア）について、符号処理を実施しており、ＯＳの起動までに時間を要していた。
【００１０】
本発明は、上記に鑑みてなされたものであって、簡易な構成、かつ短時間で必要なセキュアブートを実施することができるプロセッサ、制御装置、及びプロセッサの起動プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１１】
上述した課題を解決し、目的を達成するために、本発明にかかるプロセッサは、入力される信号に応じて制御を行うプロセッサであって、当該プロセッサのブート後に、暗号化された暗号化認証ファイルと、前記プロセッサが実行する実行プログラムとを含むファームウェア情報を読み出し、読み出した暗号化認証ファイルと、前記暗号化認証ファイルを復号するキー情報とを参照して前記暗号化認証ファイルの復号処理を実施し、前記暗号化認証ファイルが復号された場合に、当該プロセッサにおける実行プログラムを実行し、前記暗号化認証ファイルが復号されなかった場合に、前記実行プログラムの実行を中止することを特徴とする。
【００１２】
また、本発明にかかるプロセッサは、上記発明において、当該プロセッサは、前記暗号化認証ファイルが復号された場合に、当該プロセッサに接続する機器を制御するアプリケーションを実行し、前記暗号化認証ファイルが復号されなかった場合に、前記機器を制御するアプリケーションの実行を中止することを特徴とする。
【００１３】
また、本発明にかかるプロセッサは、上記発明において、当該プロセッサは、前記暗号化認証ファイルが復号された場合に、オペレーティングシステムを立ち上げるプログラムを実行し、前記暗号化認証ファイルが復号されなかった場合に、前記オペレーティングシステムを立ち上げるプログラムの実行を中止することを特徴とする。
【００１４】
また、本発明にかかるプロセッサは、上記発明において、当該プロセッサは医療機器を制御し、前記暗号化認証ファイルが復号された場合に、前記医療機器を制御するアプリケーションを実行することを特徴とする。
【００１５】
また、本発明にかかる制御装置は、入力される信号に応じて制御を行うプロセッサと、不揮発性メモリと、揮発性メモリとを備え、前記不揮発性メモリは、暗号化された暗号化認証ファイルと、前記プロセッサが実行する実行プログラムとを含むファームウェア情報、前記暗号化認証ファイルを復号するキー情報を記憶し、前記揮発性メモリは、前記プロセッサが実行する起動処理に関する情報を記憶し、前記プロセッサは、当該プロセッサのブート後に、前記ファームウェア情報を読み出して前記揮発性メモリに展開し、該展開した前記暗号化認証ファイルと、前記キー情報とを参照して前記暗号化認証ファイルの復号処理を実施し、前記暗号化認証ファイルが復号された場合に、当該プロセッサにおける実行プログラムを実行し、前記暗号化認証ファイルが復号されなかった場合に、前記実行プログラムの実行を中止することを特徴とする。
【００１６】
また、本発明にかかるプロセッサの起動プログラムは、入力される信号に応じて制御を行うプロセッサに、当該プロセッサのブート後に、暗号化された暗号化認証ファイルと、前記プロセッサが実行する実行プログラムとを含むファームウェア情報を、メモリを参照して読み出させ、読み出した暗号化認証ファイルと、前記暗号化認証ファイルを復号するキー情報とを参照して前記暗号化認証ファイルの復号処理を実施させ、前記暗号化認証ファイルが復号された場合に、当該プロセッサにおける実行プログラムを実行させ、前記暗号化認証ファイルが復号されなかった場合に、前記実行プログラムの実行を中止させることを特徴とする。
【発明の効果】
【００１７】
本発明によれば、簡易な構成、かつ短時間で必要なセキュアブートを実施して、改ざんを防止することができるという効果を奏する。
【図面の簡単な説明】
【００１８】
【図１】図１は、本発明の一実施の形態にかかる内視鏡装置の概略構成を示す図である。
【図２】図２は、図１に示したカメラヘッド及び制御装置の構成を示すブロック図である。
【図３】図３は、本発明の一実施の形態にかかる制御装置が行う起動時の処理を示すフローチャートである。
【図４】図４は、セキュアブートを実施する従来の構成を示すブロック図である。
【図５】図５は、従来のセキュアブート処理を示すフローチャートである。
【発明を実施するための形態】
【００１９】
以下、本発明を実施するための形態（以下、「実施の形態」という）を説明する。実施の形態では、本発明にかかるプロセッサを有する制御装置を備えるシステムの一例として、患者等の被検体内の画像を撮像して表示する医療用の内視鏡装置について説明する。また、この実施の形態により、この発明が限定されるものではない。さらに、図面の記載において、同一部分には同一の符号を付して説明する。
【００２０】
（実施の形態）
図１は、本発明の一実施の形態にかかる内視鏡装置１の概略構成を示す図である。図２は、カメラヘッド９及び制御装置５の構成を示すブロック図である。内視鏡装置１は、医療分野において用いられ、人等の観察対象物の内部（生体内）の被写体を観察する装置である。この内視鏡装置１は、図１に示すように、内視鏡２と、撮像装置３と、表示装置４と、制御装置５と、光源装置６とを備え、撮像装置３と制御装置５とで、医療用観察システムを構成している。
【００２１】
光源装置６は、ライトガイド７の一端が接続され、当該ライトガイド７の一端に生体内を照明するための例えば白色光や、特殊観察用の近赤外光等の照明光を供給する光源部と、光源部による照明光の出射を制御する光源制御部とを有する（図示せず）。なお、光源装置６と制御装置５とは、図１に示すように別体とし相互に通信する構成としてもよいし、一体化した構成であってもよい。
【００２２】
ライトガイド７は、一端が光源装置６に着脱自在に接続されるとともに、他端が内視鏡２に着脱自在に接続される。そして、ライトガイド７は、光源装置６から供給された光を一端から他端に伝達し、内視鏡２に供給する。
【００２３】
撮像装置３は、内視鏡２からの被写体像を撮像して当該撮像結果を出力する。この撮像装置３は、図１に示すように、信号伝送部である伝送ケーブル８と、カメラヘッド９とを備える。本実施の形態１では、伝送ケーブル８とカメラヘッド９とにより医療用撮像装置が構成される。
【００２４】
内視鏡２は、硬質で細長形状を有し、生体内に挿入される。この内視鏡２の内部には、１または複数のレンズを用いて構成され、被写体像を集光する観察光学系が設けられている。内視鏡２は、ライトガイド７を介して供給された光を先端から出射し、生体内に照射する。そして、生体内に照射された光（被写体像）は、内視鏡２内の観察光学系により集光される。
【００２５】
カメラヘッド９は、内視鏡２の基端に着脱自在に接続される。そして、カメラヘッド９は、制御装置５による制御の下、内視鏡２にて集光された被写体像を撮像し、当該撮像による撮像信号を出力する。なお、カメラヘッド９の詳細な構成については、後述する。内視鏡２とカメラヘッド９とは、図１に示すように着脱自在に構成してもよいし、一体化した構成であってもよい。
【００２６】
伝送ケーブル８は、一端がコネクタを介して制御装置５に着脱自在に接続されるとともに、他端がコネクタを介してカメラヘッド９に着脱自在に接続される。具体的に、伝送ケーブル８は、最外層である外被の内側に複数の電気配線（図示略）が配設されたケーブルである。当該複数の電気配線は、カメラヘッド９から出力される撮像信号を制御装置５に、制御装置５から出力される制御信号、同期信号、クロック、及び電力をカメラヘッド９にそれぞれ伝送するための電気配線である。
【００２７】
表示装置４は、制御装置５による制御のもと、制御装置５により生成された画像を表示する。表示装置４は、観察時の没入感を得やすくするために、表示部が５５インチ以上を有するものが好ましいが、これに限らない。
【００２８】
制御装置５は、カメラヘッド９から伝送ケーブル８を経由して入力された撮像信号を処理し、表示装置４へ画像信号を出力するとともに、カメラヘッド９及び表示装置４の動作を統括的に制御する。なお、制御装置５の詳細な構成については、後述する。
【００２９】
次に、撮像装置３及び制御装置５の構成について説明する。なお、図２では、内視鏡２及び光源装置７同士を着脱可能とするコネクタや、カメラヘッド９及び伝送ケーブル８同士を着脱可能とするコネクタの図示を省略している。
【００３０】
以下、制御装置５の構成、及びカメラヘッド９の構成の順に説明する。なお、以下では、制御装置５の構成として、本発明の要部を主に説明する。制御装置５は、図２に示すように、メインＣＰＵ（Central  Processing  Unit）５１と、通信モジュール５２と、入力部５３と、出力部５４と、ＤＤＲ−ＳＤＲＡＭ（Double-Data-Rate  Synchronous  Dynamic  Random  Access  Memory）５５と、プログラム情報記憶部５６と、キー情報記憶部５７とを備える。メインＣＰＵ５１、通信モジュール５２、入力部５３、出力部５４、ＤＤＲ−ＳＤＲＡＭ５５、プログラム情報記憶部５６、及びキー情報記憶部５７は、バスによって電気的に接続される。制御装置５は、医療機器（ここでは内視鏡２）専用のハードウェアによって構成される組み込みＣＰＵ専用機器である。なお、制御装置５には、制御装置５及びカメラヘッド９を駆動するための電源電圧を生成し、制御装置５の各部にそれぞれ供給するとともに、伝送ケーブル８を介してカメラヘッド９に供給する電源部（図示略）などが設けられていてもよい。
【００３１】
メインＣＰＵ５１は、制御装置５及びカメラヘッド９を含む各構成部の駆動制御、及び各構成部に対する情報の入出力制御などを行うプロセッサである。メインＣＰＵ５１は、ＤＤＲ−ＳＤＲＡＭ５５に展開されたファームウェアを用いてセキュアブートを実施し、正当性が担保されている場合、このファームウェアを用いて制御装置５をブートする。
このほか、メインＣＰＵ５１は、通信情報データ（例えば、通信用フォーマット情報など）を参照して制御信号を生成し、該生成した制御信号を、通信モジュール５２を介して撮像装置３へ送信する。また、メインＣＰＵ５１は、伝送ケーブル８を介して、カメラヘッド９に対して制御信号を出力する。
【００３２】
上述した通信モジュール５２及びメインＣＰＵ５１は、ＣＰＵ等の汎用プロセッサを用いて実現される。また、ＡＳＩＣ（Application  Specific  Integrated  Circuit）等の特定の機能を実行する各種演算回路等の専用プロセッサや、プログラマブル集積回路の一種であるＦＰＧＡ(Field  Programmable  Gate  Array：図示略)を用いて構成するようにしてもよい。なお、ＦＰＧＡにより構成される場合は、コンフィグレーションデータを記憶するメモリを設け、メモリから読み出したコンフィグレーションデータにより、プログラマブル集積回路であるＦＰＧＡをコンフィグレーションしてもよい。
【００３３】
また、メインＣＰＵ５１は、カメラヘッド９が出力した撮像信号に対してノイズ除去や、必要に応じてＡ／Ｄ変換等の信号処理を行うことによって、デジタル化された撮像信号を生成し、表示装置４が表示する表示用の画像信号を生成する。画像処理部５２は、撮像信号に対して、所定の信号処理を実行して被写体画像を含む表示用の画像信号を生成する。ここで、画像処理部５２は、検波処理や、補間処理、色補正処理、色強調処理、及び輪郭強調処理等の各種画像処理等の公知の画像処理を行う。画像処理部５２は、生成した画像信号を表示装置４に出力する。
【００３４】
さらに、メインＣＰＵ５１は、撮像装置３及び制御装置５の同期信号、及びクロックを生成する。撮像装置３への同期信号（例えば、カメラヘッド９の撮像タイミングを指示する同期信号等）やクロック（例えばシリアル通信用のクロック）は、図示しないラインで撮像装置３に送られ、この同期信号やクロックを基に、撮像装置３は駆動する。
【００３５】
通信モジュール５２は、メインＣＰＵ５１から送信された後述する制御信号を含む制御装置５からの信号を撮像装置３に出力する。また、撮像装置３からの信号を制御装置５内の各部に出力する。つまり通信モジュール５２は、撮像装置３へ出力する制御装置５の各部からの信号を、例えばパラレルシリアル変換等によりまとめて出力し、また撮像装置３から入力される信号を、例えばシリアルパラレル変換等により振り分け制御装置５の各部に出力する、中継デバイスである。
【００３６】
入力部５３は、キーボード、マウス、タッチパネル等のユーザインタフェースを用いて実現され、各種情報の入力を受け付ける。
【００３７】
出力部５４は、スピーカーやプリンタ、ディスプレイ等を用いて実現され、各種情報を出力する。出力部５４は、メインＣＰＵ５１の制御のもと、アラーム音声、アラーム光の出力や、画像表示を行う。例えば、メインＣＰＵ５１による検証結果から、ファームウェアの正当性が担保されていないと判断される場合に、出力部５４は、メインＣＰＵ５１の制御のもと、アラーム音、アラーム光を出力する。
【００３８】
ＤＤＲ−ＳＤＲＡＭ５５は、メインＣＰＵ５１によって読み出されたファームウェアが展開される。なお、ＤＤＲ−ＳＤＲＡＭ５５は、揮発性メモリを用いて構成されていればよく、例えば、ＳＤＲＡＭ（Synchronous  Dynamic  Random  Access  Memory）等のＲＡＭ（Random  Access  Memory）を用いて構成してもよい。
【００３９】
プログラム情報記憶部５６は、不揮発性メモリを用いて構成され、メインＣＰＵ５１が実行する各種プログラム（起動プログラムや、制御装置５に接続される各装置を制御するためのプログラム等）を含むファームウェアが記憶されている。不揮発性メモリとしては、フラッシュメモリ（例えばｅＭＭＣ（embedded  MultiMediaCard））や、不揮発性のＲＯＭ（Read  Only  Memory）等の半導体メモリが挙げられる。本実施の形態において、プログラム情報記憶部５６に記憶されているファームウェアは、内部に暗号化された認証ファイル（以下、暗号化認証ファイルという）が配置されている。具体的に、プログラム情報記憶部５６に記憶されている複数のファームウェア処理の先頭で実行される。なお、プログラム情報記憶部５６には、通信情報データ（例えば、通信用フォーマット情報など）等が記憶されていてもよい。
【００４０】
キー情報記憶部５７は、不揮発性メモリ、例えばフラッシュメモリや不揮発性のＲＯＭ等の半導体メモリを用いて構成され、プログラム情報記憶部５６が記憶するファームウェアのうち、暗号化認証ファイルを復号する際に用いる認証キーに関する情報が記憶されている。
なお、プログラム情報記憶部５６が記憶する情報と、キー情報記憶部５７が記憶する情報とを、共通の不揮発性メモリに記憶する構成としてもよい。
【００４１】
次に、カメラヘッド９の構成として、本発明の要部を主に説明する。カメラヘッド９は、図２に示すように、レンズ駆動ユニット９１と、撮像ユニット９２と、通信モジュール９３と、カメラヘッド制御部９４とを備える。
【００４２】
レンズ駆動ユニット９１は、１または複数のレンズと、少なくとも一つのレンズを移動させる駆動機構とを用いて構成され、レンズを通過した被写体像を、撮像ユニット９２を構成する撮像素子の撮像面に結像する。当該１または複数のレンズは、少なくとも一つが、光軸に沿って移動可能に構成されている。そして、レンズ駆動ユニット９１では、駆動機構によって、当該１または複数のレンズを移動させて、画角を変化させたり（光学ズーム）、焦点位置を変化させたり（フォーカス調整）する。なお、レンズ駆動ユニット９１が備えるレンズは、内視鏡２において設けられる光学系とともに、内視鏡２に入射した観察光を撮像ユニット９２に導光する観察光学系を形成する。
【００４３】
撮像ユニット９２は、カメラヘッド制御部９４による制御の下、被写体を撮像する。この撮像ユニット９２は、レンズユニット９１が結像した被写体像を受光して電気信号に変換する撮像素子を用いて構成されている。撮像素子は、ＣＣＤ（Charge  Coupled  Device）イメージセンサまたはＣＭＯＳ（Complementary  Metal  Oxide  Semiconductor）イメージセンサにより構成される。撮像素子がＣＣＤの場合は、例えば、当該撮像素子からの電気信号（アナログ信号）に対して信号処理（Ａ／Ｄ変換等）を行って撮像信号を出力する信号処理部（図示略）がセンサチップなどに実装される。撮像素子がＣＭＯＳの場合は、例えば、光から電気信号に変換された電気信号（アナログ信号）に対して信号処理（Ａ／Ｄ変換等）を行って撮像信号を出力する信号処理部（図示略）が撮像素子に含まれる。撮像ユニット９２は、生成した電気信号を通信モジュール９３に出力する。
【００４４】
通信モジュール９３は、制御装置５から送信された信号をカメラヘッド制御部９４等のカメラヘッド９内の各部に出力する。また、通信モジュール９３は、カメラヘッド９の現在の状態に関する情報などを予め決められた伝送方式に応じた信号形式に変換し、伝送ケーブル８を介して当該変換した信号を制御装置５に出力する。つまり通信モジュール９３は、制御装置５や伝送ケーブル８から入力される信号を、例えばシリアルパラレル変換等により振り分けカメラヘッド９の各部に出力し、また制御装置５や伝送ケーブル８へ出力するカメラヘッド９の各部からの信号を、例えばパラレルシリアル変換等によりまとめて出力する、中継デバイスである。
【００４５】
カメラヘッド制御部９４は、伝送ケーブル８を介して入力した駆動信号や、カメラヘッド９の外面に露出して設けられたスイッチ等の操作部へのユーザ操作により操作部から出力される指示信号等に応じて、カメラヘッド９全体の動作を制御する。また、カメラヘッド制御部９４は、伝送ケーブル８を介して、カメラヘッド９の現在の状態に関する情報を制御装置５に出力する。
【００４６】
なお、上述した通信モジュール９３及びカメラヘッド制御部９４は、プログラムが記憶された内部メモリ（図示略）を有するＣＰＵ等の汎用プロセッサやＡＳＩＣ等の特定の機能を実行する各種演算回路等の専用プロセッサを用いて実現される。また、プログラマブル集積回路の一種であるＦＰＧＡを用いて構成するようにしてもよい。ここで、ＦＰＧＡにより構成される場合は、コンフィグレーションデータを記憶するメモリを設け、メモリから読み出したコンフィグレーションデータにより、プログラマブル集積回路であるＦＰＧＡをコンフィグレーションしてもよい。
【００４７】
また、カメラヘッド９や伝送ケーブル８に、通信モジュール９３や撮像部９２により生成された撮像信号に対して信号処理を施す信号処理部を構成するようにしてもよい。さらに、カメラヘッド９内部に設けられた発振器（図示略）で生成された基準クロックに基づいて、撮像ユニット９２を駆動するための撮像用クロック、及びカメラヘッド制御部９４のための制御用クロックを生成し、撮像ユニット９２及びカメラヘッド制御部９４にそれぞれ出力するようにしてもよいし、伝送ケーブル８を介して制御装置５から入力した同期信号に基づいて、撮像ユニット９２及びカメラヘッド制御部９４における各種処理のタイミング信号を生成し、撮像ユニット９２及びカメラヘッド制御部９４にそれぞれ出力するようにしてもよい。また、カメラヘッド制御部９４をカメラヘッド９ではなく伝送ケーブル８や制御装置５に設けてもよい。
【００４８】
続いて、本実施の形態にかかるセキュアブート処理について、図３を参照して説明する。図３は、本発明の一実施の形態にかかる制御装置が行う起動時の処理を示すフローチャートである。本実施の形態にかかるセキュアブート処理では、メインＣＰＵ５１が、起動プログラムに従って処理を実行する。
【００４９】
まず、メインＣＰＵ５１が、自身のブート後に、プログラム情報記憶部５６からファームウェアを読み出す（ステップＳ１０１）。ここで読み出されるファームウェアには暗号化された認証ファイルが含まれている。
【００５０】
ステップＳ１０２において、メインＣＰＵ５１は、読み出したファームウェアをＤＤＲ−ＳＤＲＡＭ５５に展開する。これによって、メインＣＰＵ５１のブートが完了する。
【００５１】
その後、メインＣＰＵ５１は、ＤＤＲ−ＳＤＲＡＭ５５に展開したファームウェアを用いてＯＳを初期化する（ステップＳ１０３）。
【００５２】
ステップＳ１０３に続くステップＳ１０４において、メインＣＰＵ５１は、ＤＤＲ−ＳＤＲＡＭ５５に展開されたファームウェアの内部に配置される暗号化認証ファイルと、キー情報記憶部５７に記憶されている認証キーとを参照して、暗号化認証ファイルを復号し、復号の成否によってファームウェアの正当性を検証する。また、メインＣＰＵ５１は、復号された認証ファイル内の例えばプログラムのコード行数やオブジェクト数、チェックサム、実際のコード行数やオブジェクト数、チェックサム等を比較して、ファームウェアの正当性を検証してもよい。メインＣＰＵ５１はファームウェアが正当性を有しているか判断した結果によりその後の処理を分岐する。
【００５３】
メインＣＰＵ５１は、検証の結果、正当性を有していると判断されれば（ステップＳ１０４：Ｙｅｓ）、ステップＳ１０５に移行する。これに対し、メインＣＰＵ５１は、正当性を有していると判断されなければ（ステップＳ１０４：Ｎｏ）、ステップＳ１０６に移行する。
【００５４】
ステップＳ１０５において、メインＣＰＵ５１は、プログラム情報記憶部５６に記憶されている各種実行プログラムを初期化する。このようにして、正当性が担保されたソフトウェアによって制御装置５がブートされる。
【００５５】
一方、ステップＳ１０６において、メインＣＰＵ５１は、ファームウェアの正当性が担保されていないと判断し、装置のブート処理を中止する。
【００５６】
以上説明した実施の形態では、メインＣＰＵ５１によって、暗号化認証ファイル化された一部のファームウェアの正当性を検証し、検証の結果、正当性が担保されている場合に制御装置５をブートする。本実施の形態は、メインＣＰＵ５１によって、一部のファームウェアに対して簡易的なセキュアブート処理を実行するため、従来のように別途セキュリティモジュールを必要とせず、短時間で検証処理が完了する。本実施の形態によれば、簡易な構成、かつ短時間で必要なセキュアブートを実施することができる。また、本実施の形態によれば、セキュリティモジュール等の設計が不要であるため、従来と比して、ソフトウェアの開発工数を削減することができる。
【００５７】
ここまで、本発明を実施するための形態を説明してきたが、本発明は上述した実施の形態によってのみ限定されるべきものではない。上述した実施の形態では、医療機器である内視鏡２として、硬性鏡を用いた内視鏡装置１を説明したが、これに限らず、軟性の内視鏡を用いた内視鏡装置としてもよいし、所定の視野領域を拡大して撮像し、撮像した画像を表示する機能を有する手術用顕微鏡システムの制御装置に適用してもよい。このほか、内視鏡２の画像を表示する表示装置４や、生体内を処置する処置具（図示せず）も医療機器に相当する。
【００５８】
また、上述した実施の形態では、制御装置５の内部に設けられる記憶部にファームウェアが記憶されている例を説明したが、外部の記憶装置（例えばＭＭＣ（MultiMediaCard）やＳＤ規格メモリカード）からファームウェアを読み出すようにしてもよい。
【００５９】
また、上述した実施の形態では、メインＣＰＵ５１が、ＯＳを初期化した後に、暗号化認証ファイルの正当性を検証する例を説明したが、ＯＳの初期化前に暗号化認証ファイルの正当性を検証するフローとしてもよい。
また、上述した実施の形態にかかるセキュアブートは、ＯＳの初期化が不要な構成にも適用可能である。この場合、ステップＳ１０３の処理は省略される。
【００６０】
また、上述した実施の形態において、セキュリティモジュールを設けて、必要に応じてメインＣＰＵ５１による簡易的なセキュアブートを実施するか、従来のセキュリティモジュールを実施するかを選択できる構成としてもよい。
【００６１】
以上のように、本発明にかかるプロセッサ、制御装置、及びプロセッサの起動プログラムは、簡易な構成、かつ短時間で必要なセキュアブートを実施するのに有用である。
【符号の説明】
【００６２】
１  内視鏡装置
２  内視鏡
３  撮像装置
４  表示装置
５  制御装置
６  光源装置
７  ライトガイド
８  伝送ケーブル
９  カメラヘッド
５１  メインＣＰＵ
５２  通信モジュール
５３  入力部
５４  出力部
５５  ＤＤＲ−ＳＤＲＡＭ
５６  プログラム情報記憶部
５７  キー情報記憶部
９１  レンズ駆動ユニット
９２  撮像ユニット
９３  通信モジュール
９４  カメラヘッド制御部
【図１】
2020135459.tif 000003
【図２】
2020135459.tif 000004
【図３】
2020135459.tif 000005
【図４】
2020135459.tif 000006
【図５】
2020135459.tif 000007