(57)【特許請求の範囲】
【請求項１】
入出力装置に接続され、該入出力装置を含む機器を制御するためのプログラムを実行する第１のプロセッサと、
外部ネットワークに接続され、該外部ネットワークを介した通信を行うためのプログラムを実行する第２のプロセッサと、を備える情報処理装置であって、
前記第２のプロセッサは、該情報処理装置の起動時に前記第１のプロセッサが実行するプログラムの正当性検証を行い、前記第１のプロセッサが実行するプログラムの正当性が確認された場合に前記第１のプロセッサを起動させ、前記第１のプロセッサが実行するプログラムの正当性が確認されなかった場合に前記第１のプロセッサが備えるユーザーインターフェースとは異なる手段により異常通知を行うことを特徴とする、
情報処理装置。
【請求項２】
請求項１に記載の情報処理装置であって、
前記第２のプロセッサは、前記第１のプロセッサが実行するプログラムの正当性が確認されなかった場合に、前記外部ネットワークを介して前記第１のプロセッサが実行するプログラムに異常が生じた旨を外部装置に通知することを特徴とする、
情報処理装置。
【請求項３】
請求項１又は２に記載の情報処理装置であって、
前記第２のプロセッサは、該情報処理装置の起動時に、自己が実行するプログラムの正当性検証を行った後に、前記第１のプロセッサが実行するプログラムの正当性検証を行うことを特徴とする、
情報処理装置。
【請求項４】
請求項１ないし３のいずれか１項に記載の情報処理装置であって、
前記第２のプロセッサは、通知先を指定する通信先データを保持する記憶手段を備え、該通信先データにより指定された通知先に、前記第１のプロセッサが実行するプログラムに異常が生じた旨を通知することを特徴とする、
情報処理装置。
【請求項５】
請求項４に記載の情報処理装置であって、
前記通信先データは、ユーザによって登録可能であり、
前記第２のプロセッサは、前記通信先データにおいて通信先が登録されていない場合に、前記第１のプロセッサが実行するプログラムに異常が生じた旨をブロードキャスト送信の形式で行うことを特徴とする、
情報処理装置。
【請求項６】
請求項４又は５に記載の情報処理装置であって、
前記第２のプロセッサが有する記憶手段は、複数の通信先を含むデータを通信先データとして保持可能であり、
前記第２のプロセッサは、前記通信先データとして保持された全ての通知先に、前記第１のプロセッサが実行するプログラムに異常が生じた旨を通知することを特徴とする、
情報処理装置。
【請求項７】
請求項４又は５に記載の情報処理装置であって、
前記第２のプロセッサが有する記憶手段は、複数の通信先を含むデータを通信先データとして保持可能であり、
前記通信先データとして保持された通信先の有効又は無効をユーザにより設定可能であり、
前記第２のプロセッサは、前記通信先データとして保持された通信先のうち、ユーザにより有効と設定された通信先に、前記第１のプロセッサが実行するプログラムに異常が生じた旨を通知することを特徴とする、
情報処理装置。
【請求項８】
請求項１に記載の情報処理装置であって、
前記第２のプロセッサは、近接するＩＣデバイスにデータを書き込み可能な書込装置を備え、前記第１のプロセッサが実行するプログラムの正当性が確認されなかった場合に、前記第１のプロセッサが実行するプログラムに異常が生じた旨を前記ＩＣデバイスに書き込むことを特徴とする、
情報処理装置。
【請求項９】
請求項１に記載の情報処理装置であって、
前記第２のプロセッサは、近距離無線通信装置を備え、前記第１のプロセッサが実行するプログラムの正当性が確認されなかった場合に、前記第１のプロセッサが実行するプログラムに異常が生じた旨を前記近距離無線通信装置により送信することを特徴とする、
情報処理装置。
【請求項１０】
入出力装置に接続され、該入出力装置を含む機器を制御するためのプログラムを実行する第１のプロセッサと、外部ネットワークに接続され、該外部ネットワークを介した通信を行うためのプログラムを実行する第２のプロセッサと、を備える情報処理装置の制御方法であって、
該情報処理装置の起動時に前記第１のプロセッサが実行するプログラムの正当性検証を行う処理と、
前記正当性検証を行う処理において、前記第１のプロセッサが実行するプログラムの正当性が確認された場合に前記第１のプロセッサを起動させる処理と、
前記正当性検証を行う処理において、前記第１のプロセッサが実行するプログラムの正当性が確認されなかった場合に前記第１のプロセッサが備えるユーザーインターフェースとは異なる手段により異常通知を行う処理と、
を前記第２のプロセッサが実行することを特徴とする、情報処理装置の起動制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、及びその起動制御方法に関する。
【背景技術】
【０００２】
従来、電子装置に組み込まれた組込コンピュータ、パーソナルコンピュータ、サーバ装置等の情報処理装置の起動時において、動作させるプログラムが、悪意による改竄や破損等がなされていない正当なプログラムであるかどうかを検証する処理（正当性検証処理）が行われている。
【０００３】
特許文献１には、記録媒体から主記憶装置にプログラムを一部ずつ読み込むプログラム読み込み手段と、主記憶装置に読み込まれた一部ずつのプログラムの正当性の有無を判断するプログラム認証手段と、正当性有りと判断された一部ずつのプログラムを実行するプログラム実行手段とを備えた情報処理装置について記載されている。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記特許文献１に記載の装置では、プログラムの正当性が確認されなかった場合に、その旨を外部に通知することについて考慮がなされていない。
【０００５】
本発明は、一側面では、機器制御を行うプロセッサが実行するプログラムの正当性が確認されなかった場合に、その旨を確実に通知することが可能な情報処理装置を提供することを目的とする。
【課題を解決するための手段】
【０００６】
上記目的を達成するための本発明の一態様は、
入出力装置に接続され、該入出力装置を含む機器を制御するためのプログラムを実行する第１のプロセッサと、
外部ネットワークに接続され、該外部ネットワークを介した通信を行うためのプログラムを実行する第２のプロセッサと、を備える情報処理装置であって、
前記第２のプロセッサは、該情報処理装置の起動時に前記第１のプロセッサが実行するプログラムの正当性検証を行い、前記第１のプロセッサが実行するプログラムの正当性が確認された場合に前記第１のプロセッサを起動させ、前記第１のプロセッサが実行するプログラムの正当性が確認されなかった場合に前記第１のプロセッサが備えるユーザーインターフェースとは異なる手段により異常通知を行うことを特徴とする、
情報処理装置である。
【発明の効果】
【０００７】
本発明の一側面によれば、機器制御を行うプロセッサが実行するプログラムの正当性が確認されなかった場合に、その旨をより確実に通知することが可能な情報処理装置を提供することができる。
【図面の簡単な説明】
【０００８】
【図１】本発明の第１実施例に係る情報処理装置１のハードウエア構成例である。
【図２】第１実施例の情報処理装置１の起動時におけるサブプロセッサ３０の機能構成例である。
【図３】第１実施例の情報処理装置１の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。
【図４】第２実施例の情報処理装置２の起動時におけるサブプロセッサ３０の機能構成例である。
【図５】第２・第３実施例に係る通知先データ３０Ｅのデータ構成例である。
【図６】第２実施例の情報処理装置２の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。
【図７】第３実施例の情報処理装置３の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。
【図８】第４・５実施例に係る通知先データ３０Ｅのデータ構成例である。
【図９】第４実施例の情報処理装置４の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。
【図１０】第５実施例の情報処理装置５の起動時におけるサブプロセッサ３０の機能構成例である。
【図１１】通知先有効／無効テーブル３０Ｆのデータ構成例である。
【図１２】第５実施例の情報処理装置５の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。
【図１３】本発明の第６実施例に係る情報処理装置６のハードウエア構成例である。
【図１４】第６実施例の情報処理装置６の起動時におけるサブプロセッサ３０の機能構成例である。
【図１５】第６実施例の情報処理装置６の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。
【図１６】本発明の第７実施例に係る情報処理装置７のハードウエア構成例である。
【図１７】第７実施例の情報処理装置７の起動時におけるサブプロセッサ３０の機能構成例である。
【図１８】第７実施例の情報処理装置７の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。
【図１９】ＩＣ書込装置３８によるＩＣデバイス４４への書き込みや、近距離無線通信装置３９による端末４６への情報送信が通知先有効／無効テーブル３０Ｆに登録された様子を示す図である。
【発明を実施するための形態】
【０００９】
以下、本発明を実施するための形態について、添付図面を参照しながら実施例を挙げて説明する。
【実施例】
【００１０】
＜第１実施例＞
以下、図面を参照し、本発明の第１実施例に係る情報処理装置、及びその起動制御方法について説明する。
【００１１】
図１は、本発明の第１実施例に係る情報処理装置１のハードウエア構成例である。情報処理装置１は、主要な構成として、メインプロセッサ１０と、サブプロセッサ３０と、を備える。
【００１２】
メインプロセッサ１０は、例えば、ＣＰＵ１１と、ＲＯＭ（Read  Only  Memory）１２と、補助記憶装置１３と、メモリ装置１４と、インターフェース装置１５と、ＮＩＣ（Network  Interface  Card）１６と、を備える。
【００１３】
ＣＰＵ１１は、例えば、プログラムカウンタや命令デコーダ、各種演算器、ＬＳＵ（Load  Store  Unit）、汎用レジスタ、キャッシュメモリ等を有する。ＲＯＭ２０は、例えばマスクＲＯＭであり、ＢＩＯＳ（Basic  Input/Output  System）等を含む起動制御プログラムやデータが格納される。補助記憶装置１３は、例えばフラッシュメモリ、ＥＥＰＲＯＭ（Electrically  Erasable  and  Programmable  Read  Only  Memory）、ＨＤＤ等であり、ＣＰＵ１１が実行する各種プログラムやデータを格納している。メモリ装置１４は、例えばＲＡＭ（Random  Access  Memory）であり、ＣＰＵ１１により使用されるワーキングメモリとして機能する。
【００１４】
メインプロセッサ１０には、表示パネル、ＬＥＤ（Light  Emitting  Diode）、その他の入出力装置４２を含む制御対象機器４０が接続されている。制御対象機器４０は、入出力装置４２の他、種々の機器を含み得るが、例えばプロジェクタにおける投影装置等が該当する。
【００１５】
ＮＩＣ１６は、内部バス５０を介してサブプロセッサ３０の内部通信用ＮＩＣ３６との間で情報を送受信し、プロセッサ間通信を実現する。係るプロセッサ間通信では、例えばＵＳＢ（Universal  Serial  Bus）が通信方式として採用される。
【００１６】
サブプロセッサ３０は、例えば、ＣＰＵ３１と、ＲＯＭ３２と、補助記憶装置３３と、メモリ装置３４と、暗号計算エンジン３５と、内部通信用ＮＩＣ３６と、外部通信用ＮＩＣ３７と、を備える。ＣＰＵ３１、ＲＯＭ３２、メモリ装置３４についてはメインプロセッサ１０と同様であるため、説明を省略する。補助記憶装置３３のうち少なくとも一部は、チップ内に埋め込むことにより配線の変更を不能にしたり、書き込み線を遮断したりすることにより、改竄不能な構成となっていると好適である。
【００１７】
暗号計算エンジン３５は、ＣＰＵ３１の指示によって、外部装置６０との通信におけるＳＳＬ（Secure  Socket  Layer）等に基づく暗号化／復号処理を行ったり、後述する正当性検証のための処理を行ったりする。
【００１８】
外部通信用ＮＩＣ３７は、外部ネットワーク５５を介して外部装置６０との間で通信を行う。外部ネットワーク５５においては、例えばＴＣＰ／ＩＰ（Transmission  Control  Protocol／Internet  Protocol）に従うパケット通信が行われる。
【００１９】
外部装置６０は、例えばパーソナルコンピュータ、サーバ装置等であり、通信機能を備えていれば、その他の構成について特段の制限は存在しない。また、外部装置６０は、単独であってもよいし、複数の機器の集合であってもよい。
【００２０】
また、外部装置６０は、制御対象機器４０に対する制御信号を、情報処理装置１に送信するものとしてよい。前述のように、制御対象機器にプロジェクタの投影装置が含まれる場合、外部装置６０から情報処理装置１に画像データを送信し、サブプロセッサ３０を介して画像データを取得したメインプロセッサ１０が画像データに基づく表示制御を行うといった用い方をすることができる。
【００２１】
なお、各プロセッサが有する構成のうち、ＣＰＵ、補助記憶装置、各ＮＩＣ等を除く構成は、必要に応じて削除又は置換されても構わない。
【００２２】
図２は、本実施例の情報処理装置１の起動時（電源投入時、再起動時等）におけるサブプロセッサ３０の機能構成例である。図示するように、サブプロセッサ３０上では、ＢＩＯＳ等を含む起動制御部３０Ａ、正当性検証部３０Ｂ、プロセッサ間通信制御部３０Ｃ、外部通信制御部３０Ｄ等が動作する。
【００２３】
以下、係る構成を有する情報処理装置１の起動時における処理の流れについて説明する。図３は、情報処理装置１の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。
【００２４】
まず、起動制御部３０Ａが起動することによりサブプロセッサ３０が起動し、起動制御部３０Ａは、サブプロセッサ３０自身が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ１００）。正当性検証部３０Ｂは、補助記憶装置３３に格納されたプログラム、及び必要に応じてデータについて正当性検証を行うように暗号計算エンジン３５に指示する。正当性検証の具体的手法については、既に種々の手法が公知となっているため、詳細な説明を省略するが、例えば電子署名を用いた署名検証を行うものとしてよい。
【００２５】
次に、起動制御部３０Ａは、補助記憶装置３３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ１０２）。
【００２６】
補助記憶装置３３に格納されたプログラム等について正当性が確認されなかった場合、起動制御部３０Ａは、本フローチャートの処理を終了する。
【００２７】
一方、補助記憶装置３３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ１０４）。正当性検証部３０Ｂは、プロセッサ間通信制御部３０Ｃに指示してメインプロセッサ１０の補助記憶装置１３に格納されたプログラム等を取得し、取得したプログラム等について正当性検証を行うように暗号計算エンジン３５に指示する。
【００２８】
次に、起動制御部３０Ａは、補助記憶装置１３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ１０６）。
【００２９】
補助記憶装置１３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０を起動するようにメインプロセッサ１０の図示しない起動制御部に通知する（Ｓ１０８）。これによって、メインプロセッサが通常動作状態に移行する。
【００３０】
一方、補助記憶装置１３に格納されたプログラム等について正当性が確認されなかった場合、外部通信制御部３０Ｄは、外部装置６０に対して、メインプロセッサ１０が実行するプログラム等に異常が生じた旨を通知する異常通知をブロードキャスト送信の形式で行う（Ｓ１１０）。
【００３１】
係る制御によって、機器制御を行うメインプロセッサ１０が実行するプログラムの正当性が確認されなかった場合に、その旨を外部装置６０に確実に通知することができる。
【００３２】
本実施例の情報処理装置１では、異常通知を行う際には、メインプロセッサ１０側に接続された機器を用いず、専らサブプロセッサ３０に接続された外部ネットワーク５５に対して情報を送信する。
【００３３】
このため、メインプロセッサ１０が異常通知を制御する場合に比して、外部装置６０に確実に異常通知を行うことができる。異常通知を行うためのプログラムに異常が生じた場合、異常通知自体が不能となる可能性があるからである。
【００３４】
また、サブプロセッサ３０側では、メインプロセッサ１０に接続された制御対象機器４０の構成やＩＰアドレス等を検知する必要がないため、サブプロセッサ３０は、多様な仕様のメインプロセッサ１０に対応することができる。この結果、装置の互換性を高めることが可能となる。
【００３５】
以上説明した本実施例の情報処理装置、及びその起動制御方法によれば、機器制御を行うプロセッサ１０が実行するプログラムの正当性が確認されなかった場合に、その旨をより確実に外部装置６０に通知することができる。
【００３６】
＜第２実施例＞
以下、図面を参照し、本発明の第２実施例に係る情報処理装置、及びその起動制御方法について説明する。
【００３７】
本発明の第２実施例に係る情報処理装置２は、ハードウエア構成については、第１実施例と共通するため、図１を援用すると共に各構成要素に対して同一の符号を付し、機能等についての説明を省略する。
【００３８】
図４は、本実施例の情報処理装置２の起動時（電源投入時、再起動時等）におけるサブプロセッサ３０の機能構成例である。図示するように、サブプロセッサ３０上では、ＢＩＯＳ等を含む起動制御部３０Ａ、正当性検証部３０Ｂ、プロセッサ間通信制御部３０Ｃ、外部通信制御部３０Ｄ等が動作する。また、外部通信制御部３０Ｄは、異常通知を行う際の通知先を指定した通知先データ３０Ｅを参照して異常通知を行う。
【００３９】
図５は、第２・第３実施例に係る通知先データ３０Ｅのデータ構成例である。通知先データ３０Ｅは、例えば異常通知を行う通知先のＩＰアドレスを指定する。通知先データ３０Ｅは、例えば補助記憶装置３３によって保持され、情報処理装置２のユーザによって設定・変更可能とされる。例えば、外部ネットワーク５５への外部装置６０の接続履歴等を外部通信用ＮＩＣ３７から取得し、これに基づき入出力装置４２に通知先候補の一覧を表示する。そして、一覧からユーザが選択した通知先を、通知先データ３０Ｅとして保持する。
【００４０】
以下、係る構成を有する情報処理装置２の起動時における処理の流れについて説明する。図６は、情報処理装置２の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。
【００４１】
まず、起動制御部３０Ａが起床することによりサブプロセッサ３０が起動し、起動制御部３０Ａは、サブプロセッサ３０自身が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ２００）。正当性検証部３０Ｂは、補助記憶装置３３に格納されたプログラム、及び必要に応じてデータについて正当性検証を行うように暗号計算エンジン３５に指示する。正当性検証の具体的手法については、既に種々の手法が公知となっているため、詳細な説明を省略するが、例えば電子署名を用いた署名検証を行うものとしてよい。
【００４２】
次に、起動制御部３０Ａは、補助記憶装置３３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ２０２）。
【００４３】
補助記憶装置３３に格納されたプログラム等について正当性が確認されなかった場合、起動制御部３０Ａは、本フローチャートの処理を終了する。
【００４４】
一方、補助記憶装置３３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ２０４）。正当性検証部３０Ｂは、プロセッサ間通信制御部３０Ｃに指示してメインプロセッサ１０の補助記憶装置１３に格納されたプログラム等を取得し、取得したプログラム等について正当性検証を行うように暗号計算エンジン３５に指示する。
【００４５】
次に、起動制御部３０Ａは、補助記憶装置１３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ２０６）。
【００４６】
補助記憶装置１３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０を起動するようにメインプロセッサ１０の図示しない起動制御部に通知する（Ｓ２０８）。これによって、メインプロセッサが通常動作状態に移行する。
【００４７】
一方、補助記憶装置１３に格納されたプログラム等について正当性が確認されなかった場合、外部通信制御部３０Ｄは、通知先データ３０Ｅを読み込むと共に（Ｓ２１０）、読み込んだ通知先に対して、メインプロセッサ１０が実行するプログラム等に異常が生じた旨を通知する異常通知を行う（Ｓ２１２）。
【００４８】
以上説明した本実施例の情報処理装置、及びその起動制御方法によれば、第１実施例の情報処理装置１が奏するのと同様の効果を奏することができる。
【００４９】
また、本実施例の情報処理装置、及びその起動制御方法によれば、通知先を指定することにより、外部ネットワーク５５における通信負荷を低減することができる。
【００５０】
本実施例において、異常通知の通知先として指定される外部装置６０は、単なるコンピュータでは無く、情報処理装置２の製造メーカーが運営するコールセンターのオペレータ端末等であってもよい。
【００５１】
この場合、通知先データ３０Ｅは、情報処理装置２の出荷時に予めＲＯＭ３２に格納されているものとすればよい。こうすれば、コールセンターのサービススタッフが迅速に修理・交換を行うことが可能となり、情報処理装置２並びに制御対象機器４０の利用再開までの期間を短縮することができる。また、ユーザが外部装置６０に入力された異常通知を発見してから修理を依頼するといった手間を省略することができる。
【００５２】
なお、通知先データ３０Ｅは、ユーザによって指定される通知先と、予めＲＯＭ３２に格納されている通知先のいずれか一方のみを指すものである必要はなく、ユーザによって指定される通知先と、予めＲＯＭ３２に格納されている通知先の双方を指すものであってよい。
【００５３】
＜第３実施例＞
以下、図面を参照し、本発明の第３実施例に係る情報処理装置、及びその起動制御方法について説明する。
【００５４】
本発明の第３実施例に係る情報処理装置３は、ハードウエア構成については、第１実施例と共通するため、図１を援用すると共に各構成要素に対して同一の符号を付し、機能等についての説明を省略する。
【００５５】
本実施例の情報処理装置３の起動時（電源投入時、再起動時等）におけるサブプロセッサ３０の機能構成例については、第２実施例と共通するため、図４及び図５を援用することとする。通知先データ３０Ｅは、第２実施例と同様、ＲＯＭ３２及び／又は補助記憶装置３３によって保持され、補助記憶装置３３により保持されるものについては情報処理装置３のユーザによって設定・変更可能とされる。
【００５６】
以下、係る構成を有する情報処理装置３の起動時における処理の流れについて説明する。図７は、情報処理装置３の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。
【００５７】
まず、起動制御部３０Ａが起床することによりサブプロセッサ３０が起動し、起動制御部３０Ａは、サブプロセッサ３０自身が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ３００）。正当性検証部３０Ｂは、補助記憶装置３３に格納されたプログラム、及び必要に応じてデータについて正当性検証を行うように暗号計算エンジン３５に指示する。正当性検証の具体的手法については、既に種々の手法が公知となっているため、詳細な説明を省略するが、例えば電子署名を用いた署名検証を行うものとしてよい。
【００５８】
次に、起動制御部３０Ａは、補助記憶装置３３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ３０２）。
【００５９】
補助記憶装置３３に格納されたプログラム等について正当性が確認されなかった場合、起動制御部３０Ａは、本フローチャートの処理を終了する。
【００６０】
一方、補助記憶装置３３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ３０４）。正当性検証部３０Ｂは、プロセッサ間通信制御部３０Ｃに指示してメインプロセッサ１０の補助記憶装置１３に格納されたプログラム等を取得し、取得したプログラム等について正当性検証を行うように暗号計算エンジン３５に指示する。
【００６１】
次に、起動制御部３０Ａは、補助記憶装置１３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ３０６）。
【００６２】
補助記憶装置１３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０を起動するようにメインプロセッサ１０の図示しない起動制御部に通知する（Ｓ３０８）。これによって、メインプロセッサが通常動作状態に移行する。
【００６３】
一方、補助記憶装置１３に格納されたプログラム等について正当性が確認されなかった場合、外部通信制御部３０Ｄは、通知先データ３０Ｅを読み込み（Ｓ３１０）、通知先データ３０Ｅに通知先が登録されているか否かを判定する（Ｓ３１２）。
【００６４】
通知先データ３０Ｅに通知先が登録されている場合、外部通信制御部３０Ｄは、読み込んだ通知先に対して、メインプロセッサ１０が実行するプログラム等に異常が生じた旨を通知する異常通知を行う（Ｓ３１４）。
【００６５】
一方、通知先データ３０Ｅに通知先が登録されていない場合、外部通信制御部３０Ｄは、異常通知をブロードキャスト送信の形式で行う（Ｓ３１６）。
【００６６】
以上説明した本実施例の情報処理装置、及びその起動制御方法によれば、第１実施例の情報処理装置１や第２実施例の情報処理装置２が奏するのと同様の効果を奏することができる。
【００６７】
また、本実施例の情報処理装置、及びその起動制御方法によれば、通知先が未登録の状態でも、異常通知がブロードキャスト送信されるため、より確実に異常通知を行うことができる。
【００６８】
＜第４実施例＞
以下、図面を参照し、本発明の第４実施例に係る情報処理装置、及びその起動制御方法について説明する。
【００６９】
本発明の第４実施例に係る情報処理装置４は、ハードウエア構成については、第１実施例と共通するため、図１を援用すると共に各構成要素に対して同一の符号を付し、機能等についての説明を省略する。
【００７０】
本実施例の情報処理装置４の起動時（電源投入時、再起動時等）におけるサブプロセッサ３０の機能構成例については、第２実施例と共通するため、図４を援用することとする。通知先データ３０Ｅは、第２実施例と同様、ＲＯＭ３２及び／又は補助記憶装置３３によって保持され、補助記憶装置３３により保持されるものについては情報処理装置４のユーザによって設定・変更可能とされる。
【００７１】
また、本実施例における通知先データ３０Ｅは、複数の通知先を登録可能である。図８は、第４・第５実施例に係る通知先データ３０Ｅのデータ構成例である。図示するように、第４実施例に係る通知先データ３０Ｅは、複数の通知先を登録可能となっている。
【００７２】
以下、係る構成を有する情報処理装置４の起動時における処理の流れについて説明する。図９は、情報処理装置４の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。
【００７３】
まず、起動制御部３０Ａが起床することによりサブプロセッサ３０が起動し、起動制御部３０Ａは、サブプロセッサ３０自身が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ４００）。正当性検証部３０Ｂは、補助記憶装置３３に格納されたプログラム、及び必要に応じてデータについて正当性検証を行うように暗号計算エンジン３５に指示する。正当性検証の具体的手法については、既に種々の手法が公知となっているため、詳細な説明を省略するが、例えば電子署名を用いた署名検証を行うものとしてよい。
【００７４】
次に、起動制御部３０Ａは、補助記憶装置３３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ４０２）。
【００７５】
補助記憶装置３３に格納されたプログラム等について正当性が確認されなかった場合、起動制御部３０Ａは、本フローチャートの処理を終了する。
【００７６】
一方、補助記憶装置３３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ４０４）。正当性検証部３０Ｂは、プロセッサ間通信制御部３０Ｃに指示してメインプロセッサ１０の補助記憶装置１３に格納されたプログラム等を取得し、取得したプログラム等について正当性検証を行うように暗号計算エンジン３５に指示する。
【００７７】
次に、起動制御部３０Ａは、補助記憶装置１３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ４０６）。
【００７８】
補助記憶装置１３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０を起動するようにメインプロセッサ１０の図示しない起動制御部に通知する（Ｓ４０８）。これによって、メインプロセッサが通常動作状態に移行する。
【００７９】
一方、補助記憶装置１３に格納されたプログラム等について正当性が確認されなかった場合、外部通信制御部３０Ｄは、通知先データ３０Ｅを順に一つ読み込み（Ｓ４１０）、読み込んだ通知先に対して、メインプロセッサ１０が実行するプログラム等に異常が生じた旨を通知する異常通知を行う（Ｓ４１２）。
【００８０】
次に、外部通信制御部３０Ｄは、全ての通知先に異常通知を通知済であるか否かを判定する（Ｓ４１４）。
【００８１】
全ての通知先に異常通知を通知済である場合、外部通信制御部３０Ｄは、本フローチャートを終了する。一方、全ての通知先に異常通知を通知済でない場合、外部通信制御部３０Ｄは、Ｓ４１０に戻り、処理を実行する。
【００８２】
以上説明した本実施例の情報処理装置、及びその起動制御方法によれば、第１実施例の情報処理装置１や第２実施例の情報処理装置２が奏するのと同様の効果を奏することができる。
【００８３】
また、本実施例の情報処理装置、及びその起動制御方法によれば、複数の通知先を通知先データ３０Ｅに登録可能とし、全ての通知先に異常通知を行うため、例えばユーザが複数の外部装置６０をネットワーク５５に接続して利用している場合に、どの外部装置６０においても情報処理装置４の異常を発見することができる。これによって、ネットワーク５５に接続された装置群の利便性を高めることができる。
【００８４】
なお、本実施例においても、通知先データ３０Ｅに通知先が未登録であれば、異常通知をブロードキャスト送信の形式で行うように処理の流れを変更してもよい。
【００８５】
＜第５実施例＞
以下、図面を参照し、本発明の第５実施例に係る情報処理装置、及びその起動制御方法について説明する。
【００８６】
本発明の第５実施例に係る情報処理装置５は、ハードウエア構成については、第１実施例と共通するため、図１を援用すると共に各構成要素に対して同一の符号を付し、機能等についての説明を省略する。
【００８７】
図１０は、本実施例の情報処理装置５の起動時（電源投入時、再起動時等）におけるサブプロセッサ３０の機能構成例である。図示するように、サブプロセッサ３０上では、ＢＩＯＳ等を含む起動制御部３０Ａ、正当性検証部３０Ｂ、プロセッサ間通信制御部３０Ｃ、外部通信制御部３０Ｄ等が動作する。また、外部通信制御部３０Ｄは、異常通知を行う際の通知先を指定した通知先データ３０Ｅ、及び通知先有効／無効テーブル３０Ｆを参照して異常通知を行う。通知先データ３０Ｅは、第２実施例と同様、ＲＯＭ３２及び／又は補助記憶装置３３によって保持され、補助記憶装置３３により保持されるものについては情報処理装置５のユーザによって設定・変更可能とされる（図８参照）。
【００８８】
図１１は、通知先有効／無効テーブル３０Ｆのデータ構成例である。通知先有効／無効テーブル３０Ｆは、補助記憶装置３３によって保持され、情報処理装置５のユーザによって設定・変更可能とされる。図において「ＹＥＳ」は当該通知先が有効となっていることを示し、「ＮＯ」は当該通知先が無効となっていることを示す。
【００８９】
また、本実施例における通知先データ３０Ｅは、第４実施例と同様、複数の通知先を登録可能である（図８参照）。
【００９０】
以下、係る構成を有する情報処理装置５の起動時における処理の流れについて説明する。図１２は、情報処理装置５の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。
【００９１】
まず、起動制御部３０Ａが起床することによりサブプロセッサ３０が起動し、起動制御部３０Ａは、サブプロセッサ３０自身が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ５００）。正当性検証部３０Ｂは、補助記憶装置３３に格納されたプログラム、及び必要に応じてデータについて正当性検証を行うように暗号計算エンジン３５に指示する。正当性検証の具体的手法については、既に種々の手法が公知となっているため、詳細な説明を省略するが、例えば電子署名を用いた署名検証を行うものとしてよい。
【００９２】
次に、起動制御部３０Ａは、補助記憶装置３３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ５０２）。
【００９３】
補助記憶装置３３に格納されたプログラム等について正当性が確認されなかった場合、起動制御部３０Ａは、本フローチャートの処理を終了する。
【００９４】
一方、補助記憶装置３３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ５０４）。正当性検証部３０Ｂは、プロセッサ間通信制御部３０Ｃに指示してメインプロセッサ１０の補助記憶装置１３に格納されたプログラム等を取得し、取得したプログラム等について正当性検証を行うように暗号計算エンジン３５に指示する。
【００９５】
次に、起動制御部３０Ａは、補助記憶装置１３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ５０６）。
【００９６】
補助記憶装置１３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０を起動するようにメインプロセッサ１０の図示しない起動制御部に通知する（Ｓ５０８）。これによって、メインプロセッサが通常動作状態に移行する。
【００９７】
一方、補助記憶装置１３に格納されたプログラム等について正当性が確認されなかった場合、外部通信制御部３０Ｄは、通知先データ３０Ｅを順に一つ読み込み（Ｓ５１０）、通知先有効／無効テーブル３０Ｆにおいて、読み込んだ通知先が有効になっているか否かを判定する（Ｓ５１２）。読み込んだ通知先が有効になっている場合は、読み込んだ通知先に対して、メインプロセッサ１０が実行するプログラム等に異常が生じた旨を通知する異常通知を行う（Ｓ５１４）。
【００９８】
次に、外部通信制御部３０Ｄは、全ての通知先を読み込んだか否かを判定する（Ｓ５１６）。
【００９９】
全ての通知先を読み込んだ場合、外部通信制御部３０Ｄは、本フローチャートを終了する。一方、全ての通知先を読み込んでいない場合、外部通信制御部３０Ｄは、Ｓ５１０に戻り、処理を実行する。
【０１００】
以上説明した本実施例の情報処理装置、及びその起動制御方法によれば、第１実施例の情報処理装置１や第２実施例の情報処理装置２が奏するのと同様の効果を奏することができる。
【０１０１】
また、本実施例の情報処理装置、及びその起動制御方法によれば、複数の通知先を通知先データ３０Ｅに登録可能とし、各通知先について有効／無効を設定可能としたため、ユーザにおいて、複数の外部装置６０を設定したり、削除したりする手間が生じるのを防止することができる。これによって、ネットワーク５５に接続された装置群の利便性を高めることができる。
【０１０２】
なお、本実施例においても、通知先データ３０Ｅに通知先が未登録であれば（或いは、全ての登録された通知先が無効となっていれば）、異常通知をブロードキャスト送信の形式で行うように処理の流れを変更してもよい。
【０１０３】
＜第６実施例＞
以下、図面を参照し、本発明の第６実施例に係る情報処理装置、及びその起動制御方法について説明する。
【０１０４】
図１３は、本発明の第６実施例に係る情報処理装置６のハードウエア構成例である。情報処理装置６は、第１実施例の情報処理装置１等が有するハードウエア構成に加えて、ＩＣ（Integrated  Circuit）書込装置３８を備える。
【０１０５】
ＩＣ書込装置３８は、例えば送受信アンテナを備え、非接触で近接するＩＣデバイス４４に所定の情報を書き込む機能を有する。ＩＣデバイス４４には、ＩＣカードの他、近年普及しているＩＣ受信機能を有する携帯端末等が含まれ得る。
【０１０６】
図１４は、本実施例の情報処理装置６の起動時（電源投入時、再起動時等）におけるサブプロセッサ３０の機能構成例である。図示するように、サブプロセッサ３０上では、ＢＩＯＳ等を含む起動制御部３０Ａ、正当性検証部３０Ｂ、プロセッサ間通信制御部３０Ｃ、ＩＣ書込制御部３０Ｇ等が動作する。
【０１０７】
以下、係る構成を有する情報処理装置６の起動時における処理の流れについて説明する。図１５は、情報処理装置６の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。
【０１０８】
まず、起動制御部３０Ａが起床することによりサブプロセッサ３０が起動し、起動制御部３０Ａは、サブプロセッサ３０自身が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ６００）。正当性検証部３０Ｂは、補助記憶装置３３に格納されたプログラム、及び必要に応じてデータについて正当性検証を行うように暗号計算エンジン３５に指示する。正当性検証の具体的手法については、既に種々の手法が公知となっているため、詳細な説明を省略するが、例えば電子署名を用いた署名検証を行うものとしてよい。
【０１０９】
次に、起動制御部３０Ａは、補助記憶装置３３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ６０２）。
【０１１０】
補助記憶装置３３に格納されたプログラム等について正当性が確認されなかった場合、起動制御部３０Ａは、本フローチャートの処理を終了する。
【０１１１】
一方、補助記憶装置３３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ６０４）。正当性検証部３０Ｂは、プロセッサ間通信制御部３０Ｃに指示してメインプロセッサ１０の補助記憶装置１３に格納されたプログラム等を取得し、取得したプログラム等について正当性検証を行うように暗号計算エンジン３５に指示する。
【０１１２】
次に、起動制御部３０Ａは、補助記憶装置１３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ６０６）。
【０１１３】
補助記憶装置１３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０を起動するようにメインプロセッサ１０の図示しない起動制御部に通知する（Ｓ６０８）。これによって、メインプロセッサが通常動作状態に移行する。
【０１１４】
一方、補助記憶装置１３に格納されたプログラム等について正当性が確認されなかった場合、ＩＣ書込制御部３０Ｇは、ＩＣ書込装置３８に対して、メインプロセッサ１０が実行するプログラム等に異常が生じた旨をＩＣデバイス４４に書き込むように指示する（Ｓ６１０）。
【０１１５】
係る制御によって、機器制御を行うメインプロセッサ１０が実行するプログラムの正当性が確認されなかった場合に、その旨をＩＣデバイス４４に確実に書き込むことができる。
【０１１６】
本実施例の情報処理装置６では、異常が生じた旨を出力する際には、メインプロセッサ１０側に接続された機器を用いず、専らＩＣ書込装置３８を用いて行う。
【０１１７】
このため、メインプロセッサ１０が異常通知を制御する場合に比して、ＩＣデバイス４４に確実に書き込むことができる。異常通知を行うためのプログラムに異常が生じた場合、異常通知自体が不能となる可能性があるからである。
【０１１８】
また、サブプロセッサ３０側では、メインプロセッサ１０に接続された制御対象機器４０の構成やＩＰアドレス等を検知する必要がないため、サブプロセッサ３０は、多様な仕様のメインプロセッサ１０に対応することができる。この結果、装置の互換性を高めることが可能となる。
【０１１９】
また、ネットワーク５５等の通信環境が存在しない設置環境においても、異常通知を行うことができる。
【０１２０】
以上説明した本実施例の情報処理装置、及びその起動制御方法によれば、機器制御を行うプロセッサ１０が実行するプログラムの正当性が確認されなかった場合に、その旨をより確実にＩＣデバイス４４に書き込むことができる。
【０１２１】
＜第７実施例＞
以下、図面を参照し、本発明の第７実施例に係る情報処理装置、及びその起動制御方法について説明する。
【０１２２】
図１６は、本発明の第７実施例に係る情報処理装置７のハードウエア構成例である。情報処理装置７は、第１実施例の情報処理装置１等が有するハードウエア構成に加えて、近距離無線通信装置３９を備える。
【０１２３】
近距離無線通信装置３９は、例えば送受信アンテナを備え、近距離に存在する端末４６との間で情報の送受信を行う。近距離無線通信装置３９は、例えばＤＳＲＣ（Dedicated  Short  Range  Communications）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、赤外線通信等の方式により、端末４６との間で情報の送受信を行う。端末４６は、例えば携帯電話やＰＤＡ（Personal  Digital  Assistant）であるが、パーソナルコンピュータその他の端末であってもよい。
【０１２４】
図１７は、本実施例の情報処理装置７の起動時（電源投入時、再起動時等）におけるサブプロセッサ３０の機能構成例である。図示するように、サブプロセッサ３０上では、ＢＩＯＳ等を含む起動制御部３０Ａ、正当性検証部３０Ｂ、プロセッサ間通信制御部３０Ｃ、近距離通信制御部３０Ｈ等が動作する。
【０１２５】
以下、係る構成を有する情報処理装置７の起動時における処理の流れについて説明する。図１８は、情報処理装置７の起動時にサブプロセッサ３０により実行される処理の流れを示すフローチャートである。
【０１２６】
まず、起動制御部３０Ａが起床することによりサブプロセッサ３０が起動し、起動制御部３０Ａは、サブプロセッサ３０自身が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ７００）。正当性検証部３０Ｂは、補助記憶装置３３に格納されたプログラム、及び必要に応じてデータについて正当性検証を行うように暗号計算エンジン３５に指示する。正当性検証の具体的手法については、既に種々の手法が公知となっているため、詳細な説明を省略するが、例えば電子署名を用いた署名検証を行うものとしてよい。
【０１２７】
次に、起動制御部３０Ａは、補助記憶装置３３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ７０２）。
【０１２８】
補助記憶装置３３に格納されたプログラム等について正当性が確認されなかった場合、起動制御部３０Ａは、本フローチャートの処理を終了する。
【０１２９】
一方、補助記憶装置３３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０が実行するプログラム等の正当性検証を行うように正当性検証部３０Ｂに指示する（Ｓ７０４）。正当性検証部３０Ｂは、プロセッサ間通信制御部３０Ｃに指示してメインプロセッサ１０の補助記憶装置１３に格納されたプログラム等を取得し、取得したプログラム等について正当性検証を行うように暗号計算エンジン３５に指示する。
【０１３０】
次に、起動制御部３０Ａは、補助記憶装置１３に格納されたプログラム等について正当性が確認されたか否かを判定する（Ｓ７０６）。
【０１３１】
補助記憶装置１３に格納されたプログラム等について正当性が確認された場合、起動制御部３０Ａは、メインプロセッサ１０を起動するようにメインプロセッサ１０の図示しない起動制御部に通知する（Ｓ７０８）。これによって、メインプロセッサが通常動作状態に移行する。
【０１３２】
一方、補助記憶装置１３に格納されたプログラム等について正当性が確認されなかった場合、近距離無線通信制御部３０Ｇは、近距離無線通信装置３９に対して、メインプロセッサ１０が実行するプログラム等に異常が生じた旨を端末４６に送信するように指示する（Ｓ７１０）。
【０１３３】
係る制御によって、機器制御を行うメインプロセッサ１０が実行するプログラムの正当性が確認されなかった場合に、その旨を端末４６に確実に送信することができる。
【０１３４】
本実施例の情報処理装置７では、異常が生じた旨を出力する際には、メインプロセッサ１０側に接続された機器を用いず、専ら近距離無線通信装置３９を用いて行う。
【０１３５】
このため、メインプロセッサ１０が異常通知を制御する場合に比して、端末４６に確実に送信することができる。異常通知を行うためのプログラムに異常が生じた場合、異常通知自体が不能となる可能性があるからである。
【０１３６】
また、サブプロセッサ３０側では、メインプロセッサ１０に接続された制御対象機器４０の構成やＩＰアドレス等を検知する必要がないため、サブプロセッサ３０は、多様な仕様のメインプロセッサ１０に対応することができる。この結果、装置の互換性を高めることが可能となる。
【０１３７】
また、ネットワーク５５等の通信環境が存在しない設置環境においても、異常通知を行うことができる。
【０１３８】
以上説明した本実施例の情報処理装置、及びその起動制御方法によれば、機器制御を行うプロセッサ１０が実行するプログラムの正当性が確認されなかった場合に、その旨をより確実に端末４６に送信することができる。
【０１３９】
＜変形等＞
以上、本発明を実施するための最良の形態について実施例を用いて説明したが、本発明はこうした実施例に何等限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々の変形及び置換を加えることができる。
【０１４０】
例えば、ＩＣ書込装置３８によるＩＣデバイス４４への書き込みや、近距離無線通信装置３９による端末４６への情報送信は、第４、第５実施例に係る通知先テーブル３０Ｅ、及び通知先有効／無効テーブル３０Ｆに、登録可能であってもよい。この場合、第４、第５実施例における「通信先」を、「通信先又は出力手段」と読み替える。図１９は、ＩＣ書込装置３８によるＩＣデバイス４４への書き込みや、近距離無線通信装置３９による端末４６への情報送信が通知先有効／無効テーブル３０Ｆに登録された様子を示す図である。
【符号の説明】
【０１４１】
１、２、３、４、５、６、７  情報処理装置
１０    メインプロセッサ
１１    ＣＰＵ
１２    ＲＯＭ
１３    補助記憶装置
１４    メモリ装置
１５    インターフェース装置
１６    ＮＩＣ
３０    サブプロセッサ
３０Ａ  起動制御部
３０Ｂ  正当性検証部
３０Ｃ  プロセッサ間通信制御部
３０Ｄ  外部通信制御部
３０Ｅ  通知先データ
３０Ｆ  通知先有効／無効テーブル
３０Ｇ  ＩＣ書込制御部
３０Ｈ  近距離通信制御部
３１    ＣＰＵ
３２    ＲＯＭ
３３    補助記憶装置
３４    メモリ装置
３５    暗号計算エンジン
３６    内部通信用ＮＩＣ
３７    外部通信用ＮＩＣ
３８    ＩＣ書込装置
３９    近距離無線通信装置
４０    制御対象機器
４２    入出力装置
４４    ＩＣデバイス
４６    端末
５０    内部バス
５５    外部ネットワーク
６０    外部装置
【先行技術文献】
【特許文献】
【０１４２】
【特許文献１】特開２０１０−１４６１１０号公報
【図１】
0005831178.tif 000002
【図２】
0005831178.tif 000003
【図３】
0005831178.tif 000004
【図４】
0005831178.tif 000005
【図５】
0005831178.tif 000006
【図６】
0005831178.tif 000007
【図７】
0005831178.tif 000008
【図８】
0005831178.tif 000009
【図９】
0005831178.tif 000010
【図１０】
0005831178.tif 000011
【図１１】
0005831178.tif 000012
【図１２】
0005831178.tif 000013
【図１３】
0005831178.tif 000014
【図１４】
0005831178.tif 000015
【図１５】
0005831178.tif 000016
【図１６】
0005831178.tif 000017
【図１７】
0005831178.tif 000018
【図１８】
0005831178.tif 000019
【図１９】
0005831178.tif 000020