ファームウェアの更新機能を有する画像処理装置であって、ファームウェアが格納されるファームウェア格納部と、前記ファームウェア格納部に格納されたファームウェアを使用して画像処理を実行する動作制御部と、更新用ファームウェアを取得する更新データ取得部と、前記更新データ取得部により取得された更新用ファームウェアを、前記ファームウェア格納部に格納されたファームウェアと置換することにより、前記ファームウェア格納部のファームウェアを更新するファームウェア更新部と、前記ファームウェア更新部によるファームウェアの更新中に、更新異常の有無を検知する異常検知部と、を備え、前記異常検知部が更新異常を検知した場合、前記ファームウェア更新部は、更新後のファームウェアが使用される前に、前記更新データ取得部により取得された更新用ファームウェアを、再度、前記ファームウェア格納部に格納されたファームウェアと置換する、画像処理装置。前記異常検知部が更新異常を検知した場合、前記更新データ取得部は、更新用ファームウェアを再取得するとともに、前記ファームウェア更新部は、当該再取得された更新用ファームウェアを、前記ファームウェア格納部に格納されたファームウェアと置換する、請求項1記載の画像処理装置。特許文献1のように、サブCPUを搭載する等により、起動システムを二重化することで、複合機の障害耐性を容易に向上させることができる。しかしながら、この構成では、サブCPUを搭載するためのコストを要するため、比較的安価な画像処理装置に適用することは困難である。安価な画像処理装置であっても、システム起動が不可能になることは極力回避すべきであり、低コストで障害耐性を向上させる技術が必要である。本発明は、このような従来技術の課題を鑑みてなされたものであり、ファームウェア更新時の障害耐性を低コストで向上させることができる画像処理装置を提供することを目的とする。上述の目的を達成するために、本発明に係る画像処理装置は以下の技術的手段を採用している。まず、本発明は、ファームウェアの更新機能を有する画像処理装置を前提としている。そして、本発明に係る画像処理装置は、ファームウェア格納部、動作制御部、更新データ取得部、ファームウェア更新部および異常検知部を備える。ファームウェア格納部には、ファームウェアが格納されている。動作制御部は、ファームウェア格納部に格納されたファームウェアを使用して画像処理を実行する。更新データ取得部は、更新用ファームウェアを取得する。当該更新用ファームウェアは、例えば、ネットワーク等を通じて外部装置から取得することができる。ファームウェア更新部は、更新データ取得部により取得された更新用ファームウェアを、ファームウェア格納部に格納されたファームウェアと置換することにより、ファームウェア格納部のファームウェアを更新する。異常検知部は、ファームウェア更新部によるファームウェアの更新中に、更新異常の有無を検知する。この構成において、異常検知部が更新異常を検知した場合、ファームウェア更新部は、更新後のファームウェアが使用される前に、更新データ取得部により取得された更新用ファームウェアを、再度、ファームウェア格納部に格納されたファームウェアと置換する。この画像処理装置によれば、ファームウェアの更新異常があった場合、更新されたファームウェアが使用される前に、再度、ファームウェアの更新が実行される。更新されたファームウェアが使用される前に再更新が実行されるため、更新前のファームウェアにより動作する単一のプロセッサCPU:CentralProcessingUnitでの実現が可能であり、ファームウェア更新時の障害耐性を低コストで向上させることができる。上記画像処理装置において、異常検知部が更新異常を検知した場合、更新データ取得部は、更新用ファームウェアを再取得するとともに、ファームウェア更新部は、当該再取得された更新用ファームウェアを、ファームウェア格納部に格納されたファームウェアと置換する構成を採用することもできる。本発明によれば、画像処理装置におけるファームウェア更新時の障害耐性を、低コストで向上させることができる。以下、本発明の一実施形態について、図面を参照しながらより詳細に説明する。以下では、デジタル複合機として本発明を具体化する。図1は本実施形態におけるデジタル複合機の全体構成の一例を示す概略構成図である。図1に示すように、複合機100は、画像読取部120および画像形成部140を含む本体101と、本体101の上方に取り付けられたプラテンカバー102とを備える。本体101の上面には原稿台103が設けられており、原稿台103はプラテンカバー102によって開閉されるようになっている。また、プラテンカバー102は、原稿搬送装置110を備えている。原稿台103の下方には、画像読取部120が設けられている。画像読取部120は、走査光学系121により原稿の画像を読み取りその画像のデジタルデータ画像データを生成する。原稿は、原稿台103や原稿搬送装置110に載置することができる。走査光学系121は、第1キャリッジ122や第2キャリッジ123、集光レンズ124を備える。第1キャリッジ122には線状の光源131およびミラー132が設けられ、第2キャリッジ123にはミラー133および134が設けられている。光源131は原稿を照明する。ミラー132、133、134は、原稿からの反射光を集光レンズ124に導き、集光レンズ124はその光像をラインイメージセンサ125の受光面に結像する。この走査光学系121において、第1キャリッジ122および第2キャリッジ123は、副走査方向135に往復動可能に設けられている。第1キャリッジ122および第2キャリッジ123を副走査方向135に移動することによって、原稿台103に載置された原稿の画像をイメージセンサ125で読み取ることができる。原稿搬送装置110にセットされた原稿の画像を読み取る場合、画像読取部120は、第1キャリッジ122および第2キャリッジ123を画像読取位置に合わせて一時的に固定し、画像読取位置を通過する原稿の画像をイメージセンサ125で読み取る。イメージセンサ125は、受光面に入射した光像から、例えば、Rレッド、Gグリーン、Bブルーの各色に対応する原稿の画像データを生成する。画像形成部140は、画像読取部120で得た画像データや、ネットワーク162に接続された他の機器例えば、外部装置170からネットワークアダプタ161を介して受信した画像データを用紙に印刷する。画像形成部140は、感光体ドラム141を備える。感光体ドラム141は一定速度で一方向に回転する。感光体ドラム141の周囲には、回転方向の上流側から順に、帯電器142、露光器143、現像器144、中間転写ベルト145が配置されている。帯電器142は、感光体ドラム141表面を一様に帯電させる。露光器143は、一様に帯電した感光体ドラム141の表面に、画像データに応じて光を照射し、感光体ドラム141上に静電潜像を形成する。現像器144は、その静電潜像にトナーを付着させ、感光体ドラム141上にトナー像を形成する。中間転写ベルト145は、感光体ドラム141上のトナー像を用紙に転写する。画像データがカラー画像である場合、中間転写ベルト145は、各色のトナー像を同一の用紙に転写する。なお、RGB形式のカラー画像は、Cシアン、Mマゼンタ、Yイエロー、Kブラック形式の画像データに変換され、各色の画像データが露光器143に入力される。画像形成部140は、手差しトレイ151、給紙カセット152、153、154等から、中間転写ベルト145と転写ローラ146との間の転写部に用紙を給送する。手差しトレイ151や各給紙カセット152、153、154には、様々なサイズの用紙を載置または収容することができる。画像形成部140は、ユーザの指定した用紙や、自動検知した原稿のサイズに応じた用紙を選択し、選択した用紙を給送ローラ155により手差しトレイ151やカセット152、153、154から引き出す。引き出した用紙は搬送ローラ156やレジストローラ157で転写部に送り込む。トナー像を転写した用紙は、搬送ベルト147により定着器148に搬送される。定着器148は、ヒータを内蔵した定着ローラ158および加圧ローラ159を有しており、熱と押圧力によってトナー像を用紙に定着する。画像形成部140は、定着器148を通過した用紙を排紙トレイ149へ排紙する。ユーザは、本体上部正面に設けられた操作パネル200を用いて、上述のような複合機100に複写開始やその他の指示を与えたり、複合機100の状態や設定を確認したりすることができる。図2は、複合機における制御系のハードウェア構成図である。本実施形態の複合機100は、CPUCentralProcessingUnit201、RAMRandomAccessMemory202、ROMReadOnlyMemory203、HDDHardDiskDrive204および原稿搬送装置110、画像読取部120、画像形成部140における各駆動部に対応するドライバ205が内部バス206を介して接続されている。ROM203やHDD204等はプログラムを格納しており、CPU201はその制御プログラムの指令にしたがって複合機100を制御する。例えば、CPU201はRAM202を作業領域として利用し、ドライバ205とデータや命令を授受することにより上記各駆動部の動作を制御する。また、HDD204は、画像読取部120により得られた画像データや、ネットワークアダプタ161を通じて受信した画像データの蓄積にも用いられる。内部バス206には、操作パネル200や各種のセンサ207も接続されている。操作パネル200は、ユーザの操作を受け付け、その操作に基づく信号をCPU201に供給する。また、センサ207は、プラテンカバー102の開閉検知センサや原稿台103上の原稿検知センサ、定着器148の温度センサ、搬送される用紙または原稿の検知センサ、電源電圧の変動を検知するセンサなど各種のセンサを含む。CPU201は、例えばROM203に格納されたプログラムを実行することで、複合機100の各機能を実現するとともに、これらセンサからの信号に応じて複合機100の動作を制御する。なお、本実施形態では、ファームウェアは、複合機100の起動時に、ROM203から読み出されてRAM202上に展開される。CPU201は、当該展開されたファームウェアを用いて各種動作を行う。そのため、ファームウェアが更新された場合であっても、複合機100が再起動されてRAM202上に展開されるまでは、更新後の新たなファームウェアはCPU201に使用されない。すなわち、複合機100が再起動されるまでは、CPU201は、RAM202上に展開された更新前の古いファームウェアを使用することになる。図3は、本実施形態の複合機の機能ブロック図である。図3に示すように、本実施形態の複合機100は、ファームウェア格納部301、動作制御部302、更新データ取得部303、ファームウェア更新部304および異常検知部305を備える。動作制御部302、更新データ取得部303、ファームウェア更新部304および異常検知部305は、例えば、上述のCPU201が、ROM203やHDD204に格納されたプログラムを実行することにより実現される。ファームウェア格納部301には、ファームウェアが格納されている。本実施形態では、上述のROM203が、ファームウェア格納部301として機能する。ROM203は、フラッシュROM等の書き換え可能な不揮発性記録媒体により構成される。動作制御部302は、ファームウェア格納部301に格納されたファームウェアを使用して画像処理を実行する。より具体的には、動作制御部302は、上述した画像読取部120および画像形成部140の制御のほか、文書ボックス管理部311および画像処理部312の動作を制御する。文書ボックス管理部311は、複合機100の文書管理機能であるボックス機能を実現する。ボックス機能は、HDD204に確保されたボックスと呼ばれる記憶領域に文書画像データ等を蓄積し、管理する機能である。文書ボックス管理部311を通じて文書ボックスへのアクセスが実施される。画像処理部312は、HDD204に格納されている画像データや画像読取部120が生成した画像データに回転、拡大縮小、トリミング、ソート、集約等の編集処理を実施する。文書ボックス管理部311および画像処理部312も、上述のCPU201が、ROM203やHDD204に格納されたプログラムを実行することにより実現される。更新データ取得部303は、更新用ファームウェアを取得する。本実施形態では、更新用ファームウェアは、ネットワーク162を介して複合機100に接続された、更新サーバとして機能する外部装置170に格納されている。特に限定されないが、本実施形態では、外部装置170に、ネットワーク162上で複合機100を特定するための情報IPアドレス等が予め登録されており、外部装置170に更新用ファームウェアが登録されると、その旨が複合機100に通知される構成になっている。ネットワークアダプタ161を通じて当該通知を受けた更新データ取得部303は外部装置170に登録された更新用ファームウェアを取得する。なお、更新用ファームウェアは、USBUniversalSerialBusメモリやメモリカード等の可搬記憶媒体に格納された状態で複合機100に提供されてもよい。ファームウェア更新部304は、更新データ取得部303により取得された更新用ファームウェアを、ファームウェア格納部301に格納されたファームウェアと置換することにより、ファームウェア格納部301のファームウェアを更新する。当該置換は、ROM203に格納されている更新前のファームウエアの消去およびROM203への更新用ファームウェアの書込により実行される。異常検知部305は、ファームウェア更新部304によるファームウェアの更新中に、更新異常の有無を検知する。本実施形態では、異常検知部305は、ファームウェアの更新が正常に完了していない可能性がある状態を更新異常として検出する。ここでは、ファームウェア更新部304によるROM203の認識エラー、ファームウェアの消去異常および書込異常のほか、電源電圧変動や電磁ノイズが更新中に発生した場合を更新異常として検出するようになっている。なお、電源電圧変動は、例えば、電源電圧をモニタするセンサ207の出力に基づいて、所定値以上の電圧降下として検知することができる。また、電磁ノイズは、直接の検出は困難であるが、ROM203近傍に印加されている電位の所定値以上の変動として検知することができる。より簡易的には、モータや帯電器142の動作の有無として検知することもできる。当該動作の有無は、動作制御部302の監視により検知可能である。以上の構成において、異常検知部305が更新異常を検知した場合、ファームウェア更新部304は、更新後のファームウェアが使用される前に、更新データ取得部303により取得された更新用ファームウェアを、再度、ファームウェア格納部301に格納されたファームウェアと置換する。なお、当該再更新では、更新データ取得部303が既に取得している更新用ファームウェアを使用してもよいが、更新データ取得部303が外部装置170から新たに取得した更新用ファームウェアを使用することがより好ましい。これにより、更新用ファームウェアの欠損等に起因する、ファームウェアの書込異常を回避できる可能性を高めることができる。図4は、上述した複合機100が実施するファームウェア更新手順の一例を示す図である。当該手順は、例えば、複合機100の起動中に、予め指定された周期等の任意のタイミングで開始する。当該手順が開始すると、まず、更新データ取得部303がファームウェア更新の有無を確認するステップS401。本実施形態では、上述のように、外部装置170への更新用ファームウェアの登録が通知される構成であるため、更新データ取得部303は当該通知の有無により、ファームウェア更新の有無を確認することができる。ファームウェアの更新がある場合、更新データ取得部303は、ネットワークアダプタ161を通じて外部装置170から更新用ファームウェアを取得するステップS401Yes、S402。ファームウェアの更新がない場合、手順は終了するステップS401No。更新用ファームウェアを取得した更新データ取得部303は、その旨をファームウェア更新部304へ通知する。当該通知を受けたファームウェア更新部304は、更新タイミングが到来するまで待機するステップS403No。当該更新タイミングは、操作パネル200等を通じて予めファームウェア更新部304に登録される。ファームウェア更新は、更新異常の発生を極力避けるため、複合機100が画像形成等の動作をしていない状態で実施することが好ましい。そのため、本実施形態では、複合機100の使用頻度が低い時間帯例えば、深夜帯が、ファームウェアの更新タイミングとしてファームウェア更新部304に登録されている。なお、複合機が複数台設置されている等により、代用機が存在する場合には、更新データ取得部303が更新用ファームウェアを取得した時点で複合機100が受け付けている全てのジョブを完了したときに、ファームウェア更新を実行してもよい。この場合、更新中の複合機100の使用は禁止される。更新タイミングが到来すると、ファームウェア更新部304は、ファームウェアの更新を開始するステップS403Yes、S404。このとき、ファームウェア更新部304は、ファームウェア更新の開始を異常検知部305に通知する。当該通知を受けた異常検知部305は、ファームウェア更新中の異常発生の有無を監視するステップS405No、S408。異常検知部305により更新異常が検知されない場合、ファームウェア更新部304はファームウェアの更新を継続するステップS408No、S405No。更新異常が異常検知部305に検知されることなくファームウェア更新が完了すると、ファームウェア更新部304は、ファームウェア更新の完了を異常検知部305に通知するステップS405Yes。当該通知を受けた異常検知部305は、ファームウェア更新が正常に完了したことを動作制御部302に通知する。当該通知を受けた動作制御部302は、再起動タイミングが到来するまで待機するステップS406No。当該再起動タイミングは、操作パネル200等を通じて予め動作制御部302に登録される。この再起動タイミングとしては、例えば、更新完了後直ちにを指定することもできる。しかしながら、本実施形態では、ユーザが、操作パネル200を通じて再起動の指示を入力したときを、再起動タイミングとして登録している。なお、本実施形態では、ファームウェア更新完了時に、動作制御部302が、操作パネル200が備えるディスプレイの一部にファームウェアが正常に更新されました等のメッセージを表示し、ユーザに通知する。上述のように、複合機100では、再起動されるまでは更新後のファームウェアは使用されず、更新前のファームウェアが使用される。したがって、再起動がなされるまでは、更新されたファームウェアが正常に動作するか否かに関わらず複合機100を使用することができる。また、本実施形態では、複合機100の使用頻度が低い時間帯にファームウェアの更新を実行しているため、ファームウェア更新後に自動的に再起動がなされると、仮に、複合機100が起動しなかった場合等の不測の事態に対応することができず、オフィス業務に支障きたす可能性もある。上述の構成によれば、オフィス業務に支障きたす可能性が少ないタイミングをユーザが選択して複合機100を再起動することが可能になる。なお、複合機100が起動しなかった等、再起動により使用された更新後のファームウェアに異常があった場合、パーソナルコンピュータ等の他の機器を介したファームウェアの再書込や、マザーボード上のROM交換等の従来の手法による復旧が必要になる。再起動タイミングが到来すると、動作制御部302は、複合機100を再起動するステップS406Yes、S407。この再起動により、更新後のファームウェアは、ファームウェア格納部301ROM203から読み出されてRAM202上に展開される。したがって、動作制御部302は、当該展開されたファームウェアを用いて各種動作を行うことになる。一方、ファームウェア更新の過程で異常検知部305が異常を検知した場合、異常検知部305はファームウェア更新部304にファームウェア更新の中止を指示する。また、異常検知部305は、異常の検知回数が予め指定された回数に到達したか否かを確認するステップS408Yes、409。特に限定されないが、ここでは、指定回数して2回が異常検知部305に登録されている。異常の検知回数が指定回数より小さい場合、異常検知部305は、更新用ファームウェアの再取得を更新データ取得部303に指示するステップS409No、S402。当該指示を受けた更新データ取得部303が更新用ファームウェアの取得を完了すると、上述の手順ステップS403以降が実施される。なお、当該ファームウェアの再更新において異常検知部305により異常が検知されなかった場合、異常検知部305は、ファームウェア更新部304からの更新完了の通知を受けた際に、異常の検知回数をリセットする。また、異常検知部305による異常の検知回数が指定回数に到達した場合、異常検知部305は、その旨を動作制御部302に通知する。当該通知を受けた動作制御部302は、操作パネル200が備えるディスプレイの一部にファームウェアの更新に失敗しました等のメッセージを表示し、異常の発生をユーザに通知するステップS409Yes、S410。なお、ユーザに対する通知は、表示に限らず、音声等、ユーザが異常の内容を認識可能な任意の方法を採用することができる。当該通知を確認したユーザは、例えば、USBメモリやメモリカード等の可搬記憶媒体に格納されたファームウェアにより、ファームウェア格納部301のファームウェアを更新する。これにより、ファームウェア格納部301のファームウェアが破損している状態から正常な状態に復旧することができる。なお、異常検知部305による異常の検知回数が指定回数に到達した場合、複合機100の再起動はなされないため、複合機100は使用可能な状態にある。したがって、パーソナルコンピュータ等の他の機器を使用することなく、復旧作業を実施することができる。以上説明したように、この複合機100では、ファームウェアの更新異常があった場合、更新されたファームウェアが複合機100において使用される前に、自動的にファームウェアの再更新が実行される。更新されたファームウェアが複合機100において使用される前、すなわち、複合機100が更新前のファームウェアにより動作している状態で再更新が実行されるため、サブCPU等を設ける必要がなく単一のプロセッサCPUでの実現が可能である。その結果、ファームウェア更新時の障害耐性を低コストで向上させることができる。また、仮に、異常が発生した場合でも、パーソナルコンピュータ等の他の機器を利用することなく、復旧作業を実施することができる。なお、上述した実施形態は本発明の技術的範囲を制限するものではなく、既に記載したもの以外でも、本発明の範囲内で種々の変形や応用が可能である。例えば、図3に示したフローチャートは、等価な作用を奏する範囲において、各ステップの順序を適宜変更可能である。また、上述の実施形態では、デジタル複合機として本発明を具体化したが、デジタル複合機に限らず、ファームウェア更新機能を有するプリンタ、複写機等の、任意の画像処理装置に本発明を適用することもできる。