(57)【要約】      （修正有）【課題】不正なハッキング等によるソフトウェアの改竄を検知した場合のユーザに対する脅威を低減することができる改竄検知装置、その制御方法、並びにプログラムを提供する。【解決手段】画像形成装置は、コントローラ１１の起動用ＲＯＭ３０３に格納されるソフトウェアに基づき制御されるスキャナ部１３、プリンタ部１４、ＬＡＮコントローラ３０６からなる周辺デバイス、自装置の全体への電源供給を開始する起動の毎にソフトウェアの改竄があったか否かの検知を行う改竄検知用マイコン３２１及び自装置の全体の電源制御を行う電源制御部３２０を備える。改竄検知用マイコン３２１は、改竄があったと検知した場合、改竄検知信号を電源制御部３２０に送信し、電源制御部３２０は、改竄検知用マイコン３２１から改竄検知信号を受信した場合、周辺デバイスへの電源供給を停止する。【選択図】図３
2018197991.tif 000002
【特許請求の範囲】
【請求項１】
ソフトウェアを格納する不揮発性メモリ、前記ソフトウェアに基づき制御される、ネットワークとの接続デバイスを含む周辺デバイス、自装置の全体への電源供給を開始する起動の毎に前記ソフトウェアの改竄があったか否かの検知を行う検知部、及び前記自装置の全体の電源制御を行う電源制御部を備える改竄検知装置において、
前記検知部は、前記改竄があったと検知した場合、その旨の第１の通知を前記電源制御部に行い、
前記電源制御部は、前記検知部から前記第１の通知があった場合、前記周辺デバイスへの電源供給を停止することを特徴とする改竄検知装置。
【請求項２】
ユーザによって前記自装置の電源のオン／オフを操作するためのスイッチを更に備え、
前記電源制御部は、
前記自装置の電源がオフの状態で、前記スイッチの操作があったときに前記自装置の全体への電源供給を開始する第１の起動を行い、
前記第１の起動の際に前記検知部から前記第１の通知があった場合、前記自装置の全体への電源供給を停止した後、前記自装置の前記周辺デバイス以外への電源供給を開始する第２の起動を行うことを特徴とする請求項１記載の改竄検知装置。
【請求項３】
前記電源制御部は、
前記第２の起動の後、前記検知部から前記第１の通知があった場合、前記自装置の前記周辺デバイス以外への電源供給は維持したまま、前記周辺デバイスへの電源供給を停止することを特徴とする請求項２記載の改竄検知装置。
【請求項４】
前記ソフトウェアを格納する他の不揮発性メモリを更に備え、
前記電源制御部は、前記第２の起動の間に、前記不揮発性メモリから前記他の不揮発性メモリに前記検知部のアクセス先を変更することを特徴とする請求項３記載の改竄検知装置。
【請求項５】
前記検知部は、前記第２の起動があった場合、前記他の不揮発性メモリを用いて前記改竄のあったソフトウェアのリカバリ処理を行なうことを特徴とする請求項４記載の改竄検知装置。
【請求項６】
前記検知部は、前記リカバリ処理が完了した場合、その旨の第２の通知を前記電源制御部に行い、
前記電源制御部は、前記検知部から前記第２の通知があった場合、前記自装置の全体への電源供給を停止した後、前記自装置の全体への電源供給を開始する第３の起動を行うことを特徴とする請求項５記載の改竄検知装置。
【請求項７】
前記電源制御部は、前記第３の起動の間に前記他の不揮発性メモリから前記不揮発性メモリに前記検知部のアクセス先を変更することを特徴とする請求項６記載の改竄検知装置。
【請求項８】
前記検知部は、前記改竄がなかったと検知した場合、その旨の第３の通知を前記電源制御部に行い
前記電源制御部は、前記検知部から前記第３の通知があった場合、前記検知部及び前記他の不揮発性メモリへの電源供給を停止することを特徴とする請求項４記載の改竄検知装置。
【請求項９】
前記ソフトウェアに基づき前記周辺デバイスを制御する制御部を更に備え、
前記検知部は、前記改竄がなかったと検知した場合、前記制御部をリセット状態からリセット解除状態に切り替えることを特徴とする請求項８記載の改竄検知装置。
【請求項１０】
前記検知部は、前記改竄がなかったと検知した場合、前記不揮発性メモリのアクセス先を前記検知部から前記制御部に切り替えることを特徴とする請求項９記載の改竄検知装置。
【請求項１１】
画像形成装置であることを特徴とする請求項１乃至１０のいずれか１項に記載の改竄検知装置。
【請求項１２】
前記周辺デバイスは、プリンタ部を含むことを特徴とする請求項１１記載の改竄検知装置。
【請求項１３】
前記周辺デバイスは、スキャナ部を含むことを特徴とする請求項１１又は１２記載の改竄検知装置。
【請求項１４】
ソフトウェアを格納する不揮発性メモリ、前記ソフトウェアに基づき制御される、ネットワークとの接続デバイスを含む周辺デバイス、自装置の全体への電源供給を開始する起動の毎に前記ソフトウェアの改竄があったか否かの検知を行う検知部、及び前記自装置の全体の電源制御を行う電源制御部を備える改竄検知装置の制御方法において、
前記改竄があったと検知された場合、その旨の第１の通知を前記検知部から前記電源制御部に行う通知ステップと、
前記第１の通知があった場合、前記電源制御部による前記周辺デバイスへの電源供給を停止する停止ステップとを有することを特徴とする制御方法。
【請求項１５】
請求項１４記載の制御方法を実行することを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、改竄検知装置、その制御方法、並びにプログラムに関し、特に、起動プログラムの改竄を検知する改竄検知装置、その制御方法、並びにプログラムに関する。
【背景技術】
【０００２】
近年、ネットワークインターフェイスを有し、ファイルサーバ機能やメール送受信機能をユーザに対して提供する画像形成装置が広く使用されている。このような画像形成装置では、ネットワークを介して、ＰＣやサーバと同様に外部からの不正なハッキングによる不正使用が発生することが想定される。
【０００３】
特許文献１には、かかる不正使用を防ぐ手段として、装置の起動時にソフトウェアの改竄を検知する技術が開示されている。具体的には、ソフトウェアのハッシュ値を計算し、マスターとなるハッシュ値との比較を行い、その比較結果に基づき改竄を検知する。
【０００４】
また特許文献２には、ソフトウェアの改竄が検知された場合に、リカバリ用のプリインストールプログラムを用いて装置を動作させることが開示されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００９−３０１４２９号公報
【特許文献２】特開２０１５−６９４０３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、特許文献１ではソフトウェアの改竄が検知された場合は、改竄されたソフトウェア及びそのソフトウェアを使用する他のソフトウェアが使用できなくなる。すなわち、改竄が検知された装置は、ユーザが使えなくなってしまうという問題があった。
【０００７】
一方、特許文献２では、リカバリ用のプリインストールプログラムも同様に、外部からの不正なハッキングにより改竄されている場合について考慮されていない。
【０００８】
このような改竄されたリカバリ用のプリインストールプログラムで装置を動作させてしまうと、例えば装置のＬＡＮコントローラがのっとられてユーザデータが流出したり、装置のプリンタ部がのっとられて定着機構が過剰に発熱したりするおそれがある。
【０００９】
そこで本発明では、不正なハッキング等によるソフトウェアの改竄を検知した場合のユーザに対する脅威を低減する改竄検知装置、その制御方法、並びにプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１０】
本発明の請求項１に係る改竄検知装置は、ソフトウェアを格納する不揮発性メモリ、前記ソフトウェアに基づき制御される、ネットワークとの接続デバイスを含む周辺デバイス、自装置の全体への電源供給を開始する起動の毎に前記ソフトウェアの改竄があったか否かの検知を行う検知部、及び前記自装置の全体の電源制御を行う電源制御部を備える改竄検知装置において、前記検知部は、前記改竄があったと検知した場合、その旨の第１の通知を前記電源制御部に行い、前記電源制御部は、前記検知部から前記第１の通知があった場合、前記周辺デバイスへの電源供給を停止することを特徴とする。
【発明の効果】
【００１１】
本発明によれば、不正なハッキング等によるソフトウェアの改竄を検知した場合のユーザに対する脅威を低減することができる。
【図面の簡単な説明】
【００１２】
【図１】本発明に係る改竄検知装置としての画像形成装置を含むシステムの構成を示すブロック図である。
【図２】画像形成装置の外観図である。
【図３】画像形成装置内のデバイスを示すブロック図である。
【図４】図３におけるコントローラ、スキャナ部、プリンタ部の電源制御に関するハードウェア構成を示すブロック図である。
【図５】図３におけるＣＰＵ、改竄検知用マイコン、起動用ＲＯＭ、及びリカバリ用ＲＯＭの接続切替方法を説明するブロック図である。
【図６】図３における電源制御部により実行される起動時の電源供給制御処理の手順を示すフローチャートである。
【図７】改竄検知用マイコンにより実行される起動時の改竄検証処理の手順を示すフローチャートである。
【図８】ＣＰＵ、改竄検知用マイコン、起動用ＲＯＭ、及びリカバリ用ＲＯＭの接続状態を示す図である。
【発明を実施するための形態】
【００１３】
以下、本発明を実施するための形態について図面を用いて説明する。
【００１４】
図１は、本発明に係る改竄検知装置としての画像形成装置を含むシステムの構成を示すブロック図である。図１では、ホストコンピュータ４０，５０および画像形成装置（１０，２０，３０）がＬＡＮ６０に接続されているシステムが図示されている。但し、本発明に係るシステムは、これらの接続数に限られることはない。また、本実施例では接続方法としてＬＡＮ６０を適用しているが、本発明はかかる接続方法に限られることはない。例えばＷＡＮ（公衆回線）などの任意のネットワークなども適用可能である。また、本実施例では、改竄検知装置として画像形成装置を例示しているが、これに限定されず、ＩｏＴ（Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）デバイス、例えば監視カメラであってもよい。
【００１５】
ホストコンピュータ（以下、ＰＣと称する）４０，５０はパーソナルコンピュータの機能を有している。このＰＣ４０はＬＡＮ６０や不図示のＷＡＮを介してＦＴＰやＳＭＢプロトコルを用いファイルを送受信したり電子メールを送受信したりすることができる。またＰＣ４０，５０から画像形成装置１０，２０，３０に対して、プリンタドライバを介した印字命令を行うことが可能となっている。さらにＰＣ４０，５０は、定期的に画像形成装置１０，２０，３０に対して、その状態の問い合わせ要求を行うことができる。また、ＰＣ４０，５０からのかかる要求に応じて、画像形成装置１０，２０，３０は印刷可能であるか否かなどの情報を返信することができる。
【００１６】
画像形成装置１０，２０は同じ構成を有する装置である。画像形成装置３０はプリント機能のみ有し、画像形成装置１０，２０と異なりスキャナ機能を有していない。以下では、説明を簡単にするために、画像形成装置１０，２０のうちの画像形成装置１０に注目して、その構成を詳細に説明する。
【００１７】
画像形成装置１０は、画像入力デバイスであるスキャナ部１３、画像出力デバイスであるプリンタ部１４、画像形成装置１０全体の動作制御を司るコントローラ１１、ユーザインターフェース（ＵＩ）である操作部１２から構成される。
【００１８】
図２は、画像形成装置１０の外観図である。
【００１９】
スキャナ部１３は、不図示の複数のＣＣＤ及び白板（一様に白い板）を有している。この各ＣＣＤの感度が夫々異なっていると、たとえ原稿上の各画素の濃度が同じであったとしても、各画素が夫々違う濃度であると認識され、画像ムラが生じてしまう。かかる画像ムラの補正（シェーディング補正）を行うため、原稿上の画像のスキャンを行う前に、スキャナ部１３は白板を露光走査する。その後、得られた反射光の量を各ＣＣＤで電気信号に変換してコントローラ１１に出力し、コントローラ１１はこの各ＣＣＤから出力された電気信号を補正用データとして保持する。続いて、この原稿上の画像をスキャンする構成について説明する。
【００２０】
スキャナ部１３は、原稿上の画像を露光走査して得られた反射光を各ＣＣＤに入力することで画像の情報を電気信号に変換する。さらに電気信号をＲ，Ｇ，Ｂ各色からなる輝度信号に変換し、当該輝度信号を画像データとしてコントローラ１１に対して出力する。コントローラ１１は、出力された画像データに対し、上記保持する補正用データを用いてシェーディング補正を行った後、プリンタ部１４に送信する。
【００２１】
なお、原稿は原稿フィーダ２０１のトレイ２０２にセットされる。ユーザが操作部１２から読み取り開始を指示すると、コントローラ１１からスキャナ部１３に原稿読み取り指示が与えられる。スキャナ部１３は、この指示を受けると原稿フィーダ２０１のトレイ２０２から原稿を１枚ずつフィードして、原稿の読み取り動作を行う。なお、原稿の読み取り方法は原稿フィーダ２０１による自動送り方式ではなく、原稿を不図示のガラス面上に載置し露光部を移動させることで原稿の走査を行う方法であってもよい。
【００２２】
プリンタ部１４は、コントローラ１１から受取った画像データを用紙上に形成する画像形成デバイスである。なお、本実施例において画像形成方式は感光体ドラムや感光体ベルトを用いた電子写真方式となっているが、本発明はこれに限られることはない。例えば、微少ノズルアレイからインクを吐出して用紙上に印字するインクジェット方式などでも適用可能である。また、プリンタ部１４には、異なる用紙サイズ又は異なる用紙向きを選択可能とする複数の給紙カセット２０３，２０４，２０５が設けられている。排紙トレイ２０６には印字後の用紙が排出される。
【００２３】
図３は、画像形成装置１０内のデバイス（以下「装置内デバイス」と称す）を示すブロック図である。ここで、装置内デバイスとは具体的には図３で四角で囲まれる各種デバイスを指す。
【００２４】
コントローラ１１はスキャナ部１３やプリンタ部１４と電気的に接続される一方、ＬＡＮ６０などを介してＰＣ４０，５０や図１において不図示の外部の装置などのデバイスと接続されている。これにより画像形成装置１０における画像データやデバイス情報の入出力が可能となっている。
【００２５】
ＣＰＵ３０１は、起動用ＲＯＭ３０３に記憶された制御プログラム等に基づいて、プリンタ部１４／スキャナ部１３／ＬＡＮコントローラ３０６、すなわち周辺デバイスを制御する。また、ＣＰＵ３０１は、コントローラ１１内部で行われる各種処理についても統括的に制御する。ＲＡＭ３０２は、ＣＰＵ３０１が動作するためのシステムワークメモリであり、かつ画像データを一時記憶するためのメモリでもある。このＲＡＭ３０２は、記憶した内容を電源ｏｆｆ後も保持しておくＳＲＡＭ及び電源ｏｆｆ後には記憶した内容が消去されてしまうＤＲＡＭにより構成されている。起動用ＲＯＭ３０３には装置内デバイスの制御に用いられる制御プログラムや画像形成装置１０のブートプログラムなどからなるソフトウェアが格納されている。ＨＤＤ３０４はハードディスクドライブであり、システムソフトウェアや画像データを格納することが可能となっている。
【００２６】
操作部Ｉ／Ｆ３０５は、システムバス３０７と操作部１２とを接続するためのインターフェース部である。この操作部Ｉ／Ｆ３０５は、操作部１２に表示するための画像データをシステムバス３０７から受取り操作部１２に出力すると共に、操作部１２から入力された情報をシステムバス３０７へと出力する。
【００２７】
ＬＡＮコントローラ３０６は、ＬＡＮ６０及びシステムバス３０７に接続し、情報の入出力を行うことにより、画像形成装置１０とＬＡＮ６０上にある図３において不図示のデバイスとの通信を制御する。尚、上述の通り、図１のシステムでＷＡＮなどの他のネットワークが適用される場合は、ＷＡＮコントローラなどの他の接続デバイスがＬＡＮコントローラ３０６の代わりに用いられる。
【００２８】
画像バス３０８は、画像データをやり取りするための伝送路であり、ＰＣＩバス又はＩＥＥＥ１３９４で構成される。
【００２９】
画像処理部３０９は、画像処理を行うためのものであり、ＲＡＭ３０２に記憶されたＪＰＥＧ、ＪＢＩＧなどの画像データを読み出し、読み出した画像データの拡大または縮小および、色調整などの画像処理を行うことが可能である。
【００３０】
スキャナ画像処理部３１０は、スキャナ部１３からスキャナＩ／Ｆ３１１を介して受取った画像データに対して、上述したシェーディング補正等の補正の他、加工や編集を行う。なお、スキャナ画像処理部３１０は、受取った画像データがカラー原稿か白黒原稿か、文字原稿か写真原稿かなどを判定する。そして、その判定結果を画像データに付随する情報（以下、属性データと称する）として、画像データと共にプリンタ画像処理部３１２に送信する。
【００３１】
プリンタ画像処理部３１２は、スキャナ画像処理部３１０から画像データ及びこれに付随する属性データが送信されると、その属性データを参照し、画像データに対して印刷出力用の画像処理を施す。画像処理後の画像データは、プリンタＩ／Ｆ３１３を介してプリンタ部１４に出力される。
【００３２】
電源制御部３２０は、起動時や電源オフ時の電源制御や省電力状態への移行／復帰といった画像形成装置１０の全体の電源制御を行う。具体的には、電源制御部３２０は、省電力状態から復帰する際の復帰要因（例えばＦＡＸ受信やスイッチ押下等）を検知し、その検知した各復帰要因に応じてスタンバイ状態へ移行した際の電源制御を実施する。さらに電源制御部３２０は、改竄検知用マイコン３２１より起動用ＲＯＭ３０３が改竄されている旨を通知する改竄検知信号（第１の通知）を受信した場合、画像形成装置１０の再起動処理やスキャナ部１３及びプリンタ部１４に対する電源制御を実施する。また電源制御部３２０は、この改竄検知信号の受信に応じて、起動用ＲＯＭ３０３からリカバリ用ＲＯＭ３２２へと図５で後述するセレクタ５０２のバス５０２ａの接続先も切り替える。
【００３３】
改竄検知用マイコン３２１（検知部）は、画像形成装置１０（自装置）全体への電源供給を開始する起動の毎に、起動用ＲＯＭ３０３に格納されているソフトウェアに対する改竄の有無の検知を行っている。改竄検知用マイコン３２１が、起動用ＲＯＭ３０３に格納されているソフトウェアに対する改竄がないことを確認すると、ＣＰＵ３０１をリセット状態からリセット解除状態に切り替える。これによりＣＰＵ３０１が動作を始める。また改竄検知用マイコン３２１は、起動用ＲＯＭ３０３に格納されているソフトウェアに対する改竄の有無の検知を行うと、その結果を電源制御部３２０に通知する。また改竄検知用マイコン３２１は、起動用ＲＯＭ３０３に格納されているソフトウェアに対する改竄があったことを検知した場合に、起動用ＲＯＭ３０３のリカバリ処理を行う。ここで、起動用ＲＯＭ３０３のリカバリ処理とは、改竄が検知された場合、リカバリ用ＲＯＭ３２２から、起動用ＲＯＭ３０３にある改竄が検知されたソフトウェアに対応するソフトウェアを読み取る処理を指す。その後、このリカバリ処理で読み取られたソフトウェアを起動用ＲＯＭ３０３に書き込むことにより、起動用ＲＯＭ３０３に格納しているソフトウェアが改竄された場合でもこれを正常に復旧させることが可能となる。
【００３４】
リカバリ用ＲＯＭ３２２は、改竄検知用マイコン３２１が起動用ＲＯＭ３０３に格納されているソフトウェアに対する改竄があったと検知したときに、起動用ＲＯＭ３０３の代わりに画像形成装置１０の起動に使用されるＲＯＭである。リカバリ用ＲＯＭ３２２は、起動用ＲＯＭ３０３と同様の制御プログラム及びブートプログラムなどからなるソフトウェアが格納されている。
【００３５】
尚、起動用ＲＯＭ３０３及びリカバリ用ＲＯＭ３２２は、装置内デバイスの全ての電源がオフとなった場合も、これらの内部に格納されるソフトウェアやブートプログラム等を保持することができる不揮発性メモリであれば、ＲＯＭに限定されるわけではない。
【００３６】
図４は、図３におけるコントローラ１１、スキャナ部１３、プリンタ部１４の電源制御に関するハードウェア構成を示すブロック図である。
【００３７】
第一電源供給部４０１は、ＡＣ電源をＤＣ電源に変換し、電源制御部３２０等に対して第一電源を供給する。第一電源供給部４０１から供給される第一電源は、画像形成装置１０を省電力状態にした場合でも電源制御部３２０等に対して電源供給を行うために備えられている電源である。第一電源は電源制御部３２０の他に省電力状態からの復帰を行うためにＬＡＮ６０からの画像形成装置１０宛てのパケットを検知するためのＬＡＮコントローラ３０６へも供給される。さらに第一電源は、ＣＰＵ３０１等に対して、省電力状態のときには電源供給を停止し、通常動作時には電源供給を実施する。
【００３８】
第二電源供給部４０２は、ＡＣ電源をＤＣ電源に変換し、スキャナ部１３及びプリンタ部１４に対して、第二電源を供給する。第二電源供給部４０２から供給される第二電源は、画像形成装置１０が省電力状態の時に電源供給を停止する電源である。すなわち、第二電源供給部４０２は、省電力状態の場合に電源供給が不要なプリンタ部１４やスキャナ部１３に対しての電源供給を行うために備えられている。
【００３９】
電源スイッチ４１０は、ユーザによって画像形成装置１０の電源のオン／オフを操作するためのスイッチである。ユーザが電源スイッチ４１０を押すと電源スイッチ状態を通知する信号４２０を通じて、電源制御部３２０に対して電源スイッチ４１０が押されたことが通知される。ここで画像形成装置１０の電源がオンの状態とは、スイッチ４１１〜４１６，４５０が全てオンの状態を指し、画像形成装置の電源がオフの状態とはスイッチ４１１〜４１６，４５０が全てオフの状態を指す。電源制御部３２０は、信号４２０が電源スイッチ４１０から送信されたとき、画像形成装置１０の電源のオン／オフの状態を検知する。
【００４０】
画像形成装置１０の電源がオフの状態で電源スイッチ４１０が押された場合には、電源制御部３２０は、スイッチ４１１，４１２，４１３，４５０，４１６，４１４，４１５をオンにして、装置内デバイスの全てに対する電源供給を開始する。画像形成装置１０の電源がオンの状態で電源スイッチ４１０が押された場合には、電源制御部３２０は、システムバス３０７を介してＣＰＵ３０１に対して電源スイッチ４１０が押されたことを示す割り込みを出す。この割り込みをＣＰＵ３０１が検知すると、ＣＰＵ３０１は画像形成装置１０のシャットダウン処理を実施する。
【００４１】
スイッチ４１１は、第二電源供給部４０２に対してＡＣ電源のオン／オフを切り替えるためのスイッチである。電源制御部３２０が出力する制御信号４２１によってオン／オフの制御を行う。画像形成装置１０が省電力状態においては制御信号４２１によりスイッチ４１１がオフされて、第二電源供給部４０２に対してＡＣ電源供給がオフされる。スイッチ４１１はＦＥＴやリレースイッチ等によって実現することができる。
【００４２】
スイッチ４１２は、ＬＡＮコントローラ３０６への電源オン／オフを切り替えるためのスイッチである。電源制御部３２０が出力する制御信号４２２によってオン／オフの制御を行う。画像形成装置１０がスタンバイ状態および省電力状態の場合には、制御信号４２２をオンしてスイッチ４１２がオンされることにより、ＬＡＮコントローラ３０６へ電源を供給する。画像形成装置１０がオフ状態の場合には、制御信号４２２をオフしてスイッチ４１２がオフされることにより、ＬＡＮコントローラ３０６への電源を停止する。また、画像形成装置１０の起動時に改竄検知用マイコン３２１が起動用ＲＯＭ３０３に格納されているソフトウェアに改竄があることを検知した際には、改竄検知用マイコン３２１が電源制御部３２０に対して改竄があったことを通知する。電源制御部３２０は改竄検知用マイコン３２１から改竄検知したという通知があった場合には、ＬＡＮコントローラ３０６への電源をオフするために制御信号４２２をオフする。このように改竄検知時にＬＡＮコントローラ３０６への電源をオフすることにより、不正なハッキング等により画像形成装置１０内のデータが外部に流出してしまうことを防ぐことが可能となる。さらにかかる改竄検知後、改竄検知用マイコン３２１が起動用ＲＯＭ３０３に格納されているソフトウェアのリカバリ処理を正常に終了した場合には、改竄検知用マイコン３２１が電源制御部３２０に対してのリカバリ処理が終了したことを通知する。電源制御部３２０は改竄検知用マイコン３２１からリカバリ処理が終了したという通知があった場合には、画像形成装置１０を再起動した後、ＬＡＮコントローラ３０６への電源をオンするために制御信号４２２をオンする。
【００４３】
スイッチ４１３は、ＲＡＭ３０２への電源オン／オフを切り替えるためのスイッチである。電源制御部３２０が出力する制御信号４２３によってオン／オフの制御を行う。画像形成装置１０がスタンバイ状態や省電力状態で、ＲＡＭ３０２が動作している状態やセルフリフレッシュ状態の場合には、電源制御部３２０は制御信号４２３をオンすることでスイッチ４１３をオンし、ＲＡＭ３０２への電源供給を行う。また画像形成装置１０がオフ状態の場合には、電源制御部３２０は制御信号４２３をオフすることで、スイッチ４１３をオフし、ＲＡＭ３０２への電源供給を停止する。
【００４４】
スイッチ４１４は、プリンタ部１４への電源オン／オフを切り替えるためのスイッチである。電源制御部３２０が出力する制御信号４２４によってオン／オフの制御を行う。画像形成装置１０がスタンバイ状態の場合に、電源制御部３２０は制御信号４２４をオンすることでスイッチ４１４をオンし、プリンタ部１４への電源供給を行う。また画像形成装置１０がオフ状態の場合には、電源制御部３２０は制御信号４２４をオフすることで、スイッチ４１４をオフし、プリンタ部１４への電源供給を停止する。
【００４５】
スイッチ４１５は、スキャナ部１３への電源オン／オフを切り替えるためのスイッチである。電源制御部３２０が出力する制御信号４２５によってオン／オフの制御を行う。画像形成装置１０がスタンバイ状態の場合に、電源制御部３２０は制御信号４２５をオンすることでスイッチ４１５をオンし、スキャナ部１３への電源供給を行う。また画像形成装置１０がオフ状態の場合には、電源制御部３２０は制御信号４２５をオフすることで、スイッチ４１５をオフし、スキャナ部１３への電源供給を停止する。
【００４６】
スイッチ４１６は、ＣＰＵ３０１、起動用ＲＯＭ３０３、ＨＤＤ３０４、操作部Ｉ／Ｆ３０５、画像処理部３０９、プリンタ画像処理部３１２、スキャナ画像処理部３１０への電源オン／オフを切り替えるためのスイッチである。電源制御部３２０が出力する制御信号４２６によってオン／オフの制御を行う。画像形成装置１０がスタンバイ状態の場合に、電源制御部３２０は制御信号４２６をオンすることでスイッチ４１６をオンする。これによりＣＰＵ３０１、起動用ＲＯＭ３０３、ＨＤＤ３０４、操作部Ｉ／Ｆ３０５、画像処理部３０９、プリンタ画像処理部３１２、スキャナ画像処理部３１０への電源供給を行う。また画像形成装置１０がオフ状態の場合には、電源制御部３２０は制御信号４２６をオフすることで、スイッチ４１６をオフする。それによりＣＰＵ３０１、起動用ＲＯＭ３０３、ＨＤＤ３０４、操作部Ｉ／Ｆ３０５、画像処理部３０９、プリンタ画像処理部３１２、スキャナ画像処理部３１０への電源供給を停止する。
【００４７】
スイッチ４５０は、改竄検知用マイコン３２１、リカバリ用ＲＯＭ３２２への電源オン／オフを切り替えるためのスイッチである。電源制御部３２０が出力する制御信号４６０によってスイッチ４５０のオン／オフの制御を行う。画像形成装置１０が起動する時に電源制御部３２０が制御信号４６０をオンして、スイッチ４５０をオンすることにより、改竄検知用マイコン３２１、リカバリ用ＲＯＭ３２２に対して電源供給を行う。改竄検知用マイコン３２１は、起動用ＲＯＭ３０３に格納されているソフトウェアに改竄があるかどうかを検証し、改竄がない場合にはＣＰＵ３０１へのリセット信号５１０（図５）の解除を行う。図５に示すように、改竄検知用マイコン３２１からＣＰＵ３０１へのリセット信号５１０は電源制御部３２０にも接続されており、電源制御部３２０はＣＰＵ３０１へのリセット信号５１０が解除されたら、制御信号４６０をオフしてスイッチ４５０をオフする。これにより改竄検知用マイコン３２１及びリカバリ用ＲＯＭ３２２への電源供給を停止する。これにより通常動作しているときに必要のない装置内デバイスに対しての不要な電力を削減することが可能となる。
【００４８】
図５は、図３におけるＣＰＵ３０１、改竄検知用マイコン３２１、起動用ＲＯＭ３０３、及びリカバリ用ＲＯＭ３２２の接続切替方法を説明するブロック図である。
【００４９】
セレクタ５０１は、リセット信号５１０によってバス５０１ａの接続先を切り替えるセレクタである。リセット信号５１０が未解除であるときには、セレクタ５０１は改竄検知用マイコン３２１にバス５０１ａを接続する。一方、リセット信号５１０が解除されているときには、セレクタ５０１はＣＰＵ３０１にバス５０１ａを接続する。
【００５０】
セレクタ５０２は、制御信号５１１によってバス５０２ａの接続先を切り替えるセレクタである。制御信号５１１が通常動作状態を示しているときには、セレクタ５０２は起動用ＲＯＭ３０３にバス５０２ａを接続する。一方、制御信号５１１がリカバリ状態を示しているときには、セレクタ５０２はリカバリ用ＲＯＭ３２２にバス５０２ａを接続する。ここで、通常動作状態とは、起動用ＲＯＭ３０３に格納されているソフトウェアに改竄が無いことが改竄検知用マイコン３２１により確認された状態を指す。すなわち、改竄検知用マイコン３２１は、電源スイッチ４１０の押下により画像形成装置１０の電源がオフからオンに切り替わり、電源が供給が開始された時点では、リセット信号５１０の状態をリセット状態とする。
【００５１】
これにより起動直後の状態、すなわち、リセット信号５１０が未解除で、且つ制御信号５１１が通常動作状態である場合は、改竄検知用マイコン３２１が起動用ＲＯＭ３０３に接続できる。これにより、起動用ＲＯＭ３０３に格納されているソフトウェアの改竄検知を実施することが可能となる。また、改竄検知用マイコン３２１が改竄がないと検知してリセット信号５１０を解除したときに、ＣＰＵ３０１にバス５０１ａが接続されるため、改竄のないソフトウェアでＣＰＵ３０１を起動させることが可能となる。
【００５２】
また、改竄検知用マイコン３２１は、改竄があると検知した場合、リカバリ処理を行うため、まず、制御信号５１１を切り替える命令として改竄検知信号を発行し、システムバス３０７経由で電源制御部３２０に送信する。電源制御部３２０は、改竄検知信号を受信すると、画像形成装置１０全体の電源をＯＦＦとし、その後、制御信号５１１をセレクタ５０２に送信する。これにより、リカバリ用ＲＯＭ３２２にバス５０２ａが接続される一方、改竄検知用マイコン３２１により改竄がないと検知されるまでは、リセット信号５１０はリセット状態であるため、バス５０１ａは改竄検知用マイコン３２１に接続される。かかる接続状態で後述のステップＳ６０７の再起動があると、改竄検知用マイコン３２１は、リカバリ用ＲＯＭ３２２に格納されるソフトウェアの読み込みを開始する。
【００５３】
この読み込みが終了すると、改竄検知用マイコン３２１は、制御信号５１１を再度切り替える命令としてリカバリ処理完了信号（第２の通知）を発行し、システムバス３０７経由で電源制御部３２０に送信する。電源制御部３２０は、リカバリ処理完了信号を受信すると、画像形成装置１０全体の電源をＯＦＦとし、その後、制御信号５１１をセレクタ５０２に送信する。これにより、バス５０１ａが改竄検知用マイコン３２１に接続された状態のまま、バス５０２ａの接続先のみが起動用ＲＯＭ３０３に変更される。かかる接続状態で後述のステップＳ６１１の再起動があると、改竄検知用マイコン３２１は、読み込んだソフトウェアで起動用ＲＯＭ３０３に格納されるソフトウェアの書き換えを開始する。
【００５４】
この書き換えが終了した後、改竄検知用マイコン３２１は、起動用ＲＯＭ３０３に格納されるソフトウェアに対する改竄がないことを確認した場合、リセット信号５１０を解除する。これにより、バス５０２ａが起動用ＲＯＭ３０３に接続された状態のまま、バス５０１ａの接続先のみがＣＰＵ３０１に変更される。
【００５５】
このように、リカバリ処理中は、バス５０１ａが改竄検知用マイコン３２１に接続された状態で、改竄検知用マイコン３２１から電源制御部３２０に発行する命令に従いバス５０２ａの接続先のみが変更される。
【００５６】
リセット信号５１０は、ＣＰＵ３０１に対するリセット信号である。改竄検知用マイコン３２１が起動用ＲＯＭ３０３に格納されているソフトウェアに改竄がないことの検証が終了したらリセット信号５１０を解除する。リセット信号５１０が解除されたらＣＰＵ３０１は動作を開始する。これによりＣＰＵ３０１は、改竄がないと判断された起動用ＲＯＭ３０３内のソフトウェアで起動することが可能になるため、装置として正常に機能することができる。またリセット信号５１０により、セレクタ５０１におけるバス５０１ａの接続先も決定される。具体的には、リセット信号５１０が未解除の場合セレクタ５０１によりバス５０１ａを改竄検知用マイコン３２１に接続し、解除中はセレクタ５０１によりバス５０１ａをＣＰＵ３０１に接続する。
【００５７】
これにより起動用ＲＯＭ３０３内のソフトウェアの改竄がないと改竄検知用マイコン３２１が検知するまでは、起動用ＲＯＭ３０３へのアクセス先をＣＰＵ３０１ではなく改竄検知用マイコン３２１としておくことができる。さらにリセット信号５１０は、電源制御部３２０に入力している。電源制御部３２０はリセット信号５１０に従って、制御信号４６０の制御を行う。リセット信号５１０が未解除中は制御信号４６０をオンして、解除中は制御信号４６０をオフする。制御信号４６０に従って、改竄検知用マイコン３２１及びリカバリ用ＲＯＭ３２２への電源供給／停止が決まるので、改竄検知用マイコン３２１により改竄なしと判断し、ＣＰＵ３０１の動作が開始したら不要な電力を削減することが可能となる。
【００５８】
制御信号５１１は、セレクタ５０２のバス５０２ａの接続先を切り替えるための制御信号で、電源制御部３２０が出力する。通常起動時は電源制御部３２０が制御信号５１１を制御してセレクタ５０２でのバス５０２ａの接続先が起動用ＲＯＭ３０３になるようにする。改竄検知用マイコン３２１は、起動中に起動用ＲＯＭ３０３に格納されているソフトウェアの改竄を検知すると、システムバス３０７経由で電源制御部３２０に対して改竄があった旨を通知する。電源制御部３２０は改竄検知用マイコン３２１から改竄検知通知を受けたら、制御信号５１１を制御してセレクタ５０２のバス５０２ａの接続先を起動用ＲＯＭ３０３からリカバリ用ＲＯＭ３２２に切り替える。また上述の通り、リカバリ用ＲＯＭ３２２でのリカバリ処理を含む起動が開始したら制御信号５１１は改竄検知用マイコン３２１からの命令に従う。
【００５９】
図６は、図３における電源制御部３２０により実行される起動時の電源供給制御処理の手順を示すフローチャートである。
【００６０】
ステップＳ６０１では、電源制御部３２０が、電源スイッチ４１０の状態を通知する信号４２０を通じて、ユーザにより電源スイッチ４１０を押す操作が行われたかどうかの判定を行っている。電源制御部３２０が、ユーザにより電源スイッチ４１０が押されたと判断したらステップＳ６０２に移行する。本処理は起動時の処理であるため、ユーザにより電源スイッチ４１０が押された時点においては、画像形成装置１０全体の電源はオフとなっている。またこのときのＣＰＵ３０１／改竄検知用マイコン３２１と起動用ＲＯＭ３０３／リカバリ用ＲＯＭ３２２の接続状態は図８（ａ）に示す状態である。
【００６１】
ステップＳ６０２では、電源制御部３２０が、画像形成装置１０全体の電源をオンする。すなわち、電源制御部３２０は、制御信号４２１〜４２６，４６０をオンすることで、装置内デバイスの全てに対して電源供給をする。すなわち、装置内デバイスの起動（第１の起動）が改竄検知用マイコン３２１により起動用ＲＯＭ３０３のブートプログラムを用いて行われる。電源制御部３２０が制御信号４２１〜４２６，４６０をオンしたらステップＳ６０３に移行する。
【００６２】
ステップＳ６０３では、電源制御部３２０が、改竄検知用マイコン３２１によりリセット信号５１０が解除されたかどうかで改竄検知処理が完了したかどうかの判定を行う。改竄検知用マイコン３２１は、ステップＳ６０２で電源の供給が始まると、起動用ＲＯＭ３０３に格納されているソフトウェアの改竄があるかどうかを検知する。この結果、改竄がなかったと検知された場合、改竄検知用マイコン３２１は、改竄検知処理が完了し、リセット信号５１０を解除する。すなわち、このリセット信号５１０の解除がされていない場合、電源制御部３２０は改竄検知処理が完了していないと判定し（ステップＳ６０３でＮＯ：第３の通知）、ステップＳ６０４に移行する。一方、このリセット信号５１０が解除された場合、電源制御部３２０は改竄検知処理が完了したと判定し（ステップＳ６０３でＹＥＳ）、ステップＳ６１５に移行する。
【００６３】
ステップＳ６０４では、電源制御部３２０が、改竄検知用マイコン３２１からシステムバス３０７経由で改竄検知信号を受信したかどうかの検知を行っている。改竄検知用マイコン３２１は、ステップＳ６０３で上述した改竄があったと検知した場合にはシステムバス３０７経由で電源制御部３２０に改竄があったことを通知する改竄検知信号を送信する。電源制御部３２０は改竄検知用マイコン３２１から改竄検知信号を受信した場合にはステップＳ６０５に移行し、改竄検知信号を受信しなかった場合はステップＳ６０３に移行する。
【００６４】
ステップＳ６０５では、電源制御部３２０が、画像形成装置１０全体の電源をオフする。電源制御部３２０が制御信号４２１〜４２６、４６０をオフすることで、装置内デバイスに対しての電源供給を停止する。電源制御部３２０が制御信号４２１〜４２６、４６０をオフしたらステップＳ６０６に移行する。
【００６５】
ステップＳ６０６では、電源制御部３２０が、制御信号５１１をセレクタ５０２に送信し、バス５０２ａの接続先を起動用ＲＯＭ３０３からリカバリ用ＲＯＭ３２２への切り替えを行う。これにより、後述のステップＳ６０７で再起動する際に、改竄検知用マイコン３２１からのアクセス先を、改竄が見つかった起動用ＲＯＭ３０３からリカバリ用ＲＯＭ３２２へ切替することが可能となる。アクセス先を切り替えたらステップＳ６０７に移行する。この切り替えにより、ＣＰＵ３０１／改竄検知用マイコン３２１と起動用ＲＯＭ３０３／リカバリ用ＲＯＭ３２２の接続状態は図８（ｂ）に示す状態となる。
【００６６】
ステップＳ６０７では、電源制御部３２０が、プリンタ部１４／スキャナ部１３／ＬＡＮコントローラ３０６、すなわち、周辺デバイス以外の装置内デバイスの電源をオンする。すなわち、電源制御部３２０が制御信号４２１，４２３，４２６，４６０をオンすることで、周辺デバイス以外の装置内デバイスに対しての電源供給をする。すなわち、周辺デバイス以外の装置内デバイスの再起動（第２の起動）が改竄検知用マイコン３２１によりリカバリ用ＲＯＭ３２２に格納されているブートプログラムを用いて行われる。電源制御部３２０が制御信号４２１，４２３，４２６，４６０をオンしたらステップＳ６０８に移行する。
【００６７】
ステップＳ６０８では、電源制御部３２０が、改竄検知用マイコン３２１からシステムバス３０７経由でリカバリ処理完了信号を受信したかどうかの検知を行っている。改竄検知用マイコン３２１は、リカバリ用ＲＯＭ３２２に格納されるソフトウェアの読み込みを終了した場合、システムバス３０７経由で電源制御部３２０にリカバリ処理が完了したことを通知するリカバリ処理完了信号を送信する。電源制御部３２０は改竄検知用マイコン３２１からリカバリ処理完了信号を受信した場合にはステップＳ６０９に移行し、リカバリ処理完了信号を受信していないと判断した場合にはステップＳ６０８に移行する。
【００６８】
ステップＳ６０９では、電源制御部３２０が、画像形成装置１０全体の電源をオフする。電源制御部３２０が制御信号４２１〜４２６，４６０をオフすることで、装置内デバイスに対しての電源供給を停止する。電源制御部３２０が制御信号４２１〜４２６、４６０をオフしたらステップＳ６１０に移行する。
【００６９】
ステップＳ６１０では、電源制御部３２０が、制御信号５１１をセレクタ５０２に送信し、バス５０２ａの接続先をリカバリ用ＲＯＭ３２２から起動用ＲＯＭ３０３への切り替えを行う。これにより後述のステップＳ６１１で再起動する際に、改竄検知用マイコン３２１からのアクセス先を、リカバリ用ＲＯＭ３２２から改竄内容を修復された起動用ＲＯＭ３０３へ切替することが可能となる。アクセス先を切り替えたらステップＳ６１１に移行する。この切り替えにより、ＣＰＵ３０１／改竄検知用マイコン３２１と起動用ＲＯＭ３０３／リカバリ用ＲＯＭ３２２の接続状態は図８（ａ）に示す状態となる。
【００７０】
ステップＳ６１１では、電源制御部３２０が、画像形成装置１０全体の電源をオンする。電源制御部３２０が制御信号４２１〜４２６，４６０をオンすることで、装置内デバイスに対して電源供給を行う。すなわち、装置内デバイスの再起動（第３の起動）が改竄検知用マイコン３２１により起動用ＲＯＭ３０３のブートプログラムを用いて行われる。電源制御部３２０が制御信号４２１〜４２６，４６０をオンしたらステップＳ６１２に移行する。
【００７１】
ステップＳ６１２では、電源制御部３２０が、リセット信号５１０が解除されたかどうかで改竄検知処理が完了したかどうかの判定を行う。改竄検知用マイコン３２１は、ステップＳ６１１で電源の供給が始まると、リカバリ用ＲＯＭ３２２から読み込まれたソフトウェアを起動用ＲＯＭ３０３に書き込み、その後、その書き込まれたソフトウェアに改竄があるかどうかを検知する。この結果、改竄がなかったと検知された場合、改竄検知用マイコン３２１は、改竄検知処理を完了し、リセット信号５１０を解除する。すなわち、このリセット信号５１０の解除がされていない場合、電源制御部３２０は改竄検知処理が完了していないと判定し（ステップＳ６１２でＮＯ）、ステップＳ６１３に移行する。一方、このリセット信号５１０が解除された場合、電源制御部３２０は改竄検知処理が完了したと判定し（ステップＳ６１２でＹＥＳ）、ステップＳ６１５に移行する。
【００７２】
ステップＳ６１３では、電源制御部３２０が、改竄検知用マイコン３２１からシステムバス３０７経由で改竄検知信号を受信したかどうかの検知を行っている。改竄検知用マイコン３２１は、ステップＳ６１２で上述した改竄があったと検知された場合にはシステムバス３０７経由で電源制御部３２０に改竄があったことを通知する改竄検知信号を送信する。電源制御部３２０は改竄検知用マイコン３２１から改竄検知信号を受信した場合にはステップＳ６１４に移行し、改竄検知信号を受信しなかった場合はステップＳ６１２に移行する。
【００７３】
ステップＳ６１４では、電源制御部３２０が、プリンタ部１４／スキャナ部１３／ＬＡＮコントローラ３０６、すなわち周辺デバイスの電源をオフする。電源制御部３２０が制御信号４２２，４２４，４２５をオフすることで、装置内デバイスの周辺デバイス以外への電源供給は維持したまま、周辺デバイスへの電源供給を停止して本処理を終了する。改竄検知信号を起動後初めて受信した際に実行されるステップＳ６０５〜Ｓ６０７とは異なり、ステップＳ６１４では周辺デバイスに対しての電源供給を停止することのみを行う。これにより、以降は画像形成装置１０の再起動が発生しなくなり、その結果、リカバリ処理に失敗し続けた場合において画像形成装置１０が再起動を繰り返し続けるという事態を防ぐことが可能となる。
【００７４】
ステップＳ６１５では、電源制御部３２０が、改竄検知用マイコン３２１及びリカバリ用ＲＯＭ３２２の電源をオフする。すなわち、電源制御部３２０が制御信号４６０をオフすることでスイッチ４５０をオフして、改竄検知用マイコン３２１及びリカバリ用ＲＯＭ３２２への電源供給を停止して本処理を終了する。これにより、改竄検知処理やリカバリ処理を行う必要のない通常動作時における、改竄検知用マイコン３２１及びリカバリ用ＲＯＭ３２２で消費する電力を削減することが可能となる。
【００７５】
図７は、改竄検知用マイコン３２１により実行される起動時の改竄検知処理の手順を示すフローチャートである。
【００７６】
ステップＳ７０１では、改竄検知用マイコン３２１が、起動用ＲＯＭ３０３に格納されているソフトウェアが改竄されているかどうかの検知を開始する。この処理は、電源制御部３２０が、ステップＳ６０１での電源スイッチ４１０の押下の結果、ステップＳ６０２で画像形成装置１０全体への電源供給を開始され、改竄検知用マイコン３２１への電源が正常に投入されたときに行われる。
【００７７】
その後、改竄検知用マイコン３２１が、起動用ＲＯＭ３０３の全領域において起動用ＲＯＭ３０３に格納されているソフトウェアが改竄されていないと検知した場合（ステップＳ７０２でＹＥＳ）、ステップＳ７０５に移行する。一方、そうでないと判断した場合（ステップＳ７０２でＮＯ）、ステップＳ７０３に移行する。
【００７８】
ステップＳ７０３では、改竄検知用マイコン３２１が、起動用ＲＯＭ３０３のある領域に格納されているソフトウェアに対して、改竄があると判断した場合にはステップＳ７０４に移行し、改竄がないと判断した場合にはステップＳ７０２に移行する。
【００７９】
ステップＳ７０４では、改竄検知用マイコン３２１が、起動用ＲＯＭ３０３に格納しているソフトウェアに改竄があるという通知として改竄検知信号を電源制御部３２０に対して送信し、本処理を終了する。この改竄検知信号を受信した電源制御部３２０は、図６のステップＳ６０４以降の処理を行う。
【００８０】
ステップＳ７０５では、改竄検知用マイコン３２１が、ＣＰＵ３０１をリセット状態からリセット解除状態に切り替えて、本処理を終了する。すなわち、改竄検知用マイコン３２１は、起動用ＲＯＭ３０３の全領域においてソフトウェアが改竄されていないことを検知したときに、リセット信号５１０を解除してＣＰＵ３０１をリセット解除状態とする。改竄検知用マイコン３２１がリセット信号５１０を解除すると、ＣＰＵ３０１／改竄検知用マイコン３２１と起動用ＲＯＭ３０３／リカバリ用ＲＯＭ３２２の接続状態は起動時の図８（ａ）に示す状態から図８（ｃ）に示す状態となる。
【００８１】
以上のことから、起動用ＲＯＭ３０３に格納されているソフトウェアに対して改竄があった場合に、周辺デバイスであるプリンタ部１４、スキャナ部１３、ＬＡＮコントローラ３０６の電源をオフする。これにより、不正なハッキングによるユーザに対する脅威を最小限にとどめることができる。
【００８２】
（その他の実施例）
さらに本発明は、複数の機器（例えばコンピュータ、インターフェース機器、リーダー、プリンタなど）から構成されるシステムに適用することも、一つの機器からなる装置（複合機、プリンタ、ファクシミリ装置など）に適用することも可能である。
【００８３】
また本発明の目的は、上述した実施例で示したフローチャートの手順を実現するプログラムコードを記憶した記憶媒体から、システムあるいは装置のコンピュータ（またはＣＰＵやＭＰＵ）が、そのプログラムコードを読出し実行することによっても達成される。この場合、記憶媒体から読み出されたプログラムコード自体が上述した実施形態の機能を実現することになる。そのため、このプログラムコード及びプログラムコードを記憶した記憶媒体も本発明の一つを構成することになる。
【００８４】
プログラムコードを供給するための記憶媒体としては、例えば、フロッピー（登録商標）ディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、磁気テープ、不揮発性のメモリカード、ＲＯＭなどを用いることができる。
【００８５】
またコンピュータが読み出したプログラムコードを実行することにより、コンピュータ上で稼動しているＯＳ（オペレーティングシステム）などが実際の処理の一部または全部を行い、その処理によって上述した実施形態の機能が実現される場合も含まれる。
【００８６】
更に、記憶媒体から読出されたプログラムコードが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれる構成でもよい。この場合、かかる書き込みの後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行い、その処理によって上述した実施形態の機能が実現される。
【符号の説明】
【００８７】
１０  画像形成装置
１３  スキャナ部
１４  プリンタ部
３０１  ＣＰＵ
３０３  起動用ＲＯＭ
３０６  ＬＡＮコントローラ
３２０  電源制御部
３２１  改竄検知用マイコン
３２２  リカバリ用ＲＯＭ
【図１】
2018197991.tif 000003
【図２】
2018197991.tif 000004
【図３】
2018197991.tif 000005
【図４】
2018197991.tif 000006
【図５】
2018197991.tif 000007
【図６】
2018197991.tif 000008
【図７】
2018197991.tif 000009
【図８】
2018197991.tif 000010