特開 2024-140999 ＩｏＴネットワークシステム、ＩｏＴデバイス、および、ＩｏＴデバイスのファームウェア更新方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024140999

(43)【公開日】2024-10-10

(54)【発明の名称】ＩｏＴネットワークシステム、ＩｏＴデバイス、および、ＩｏＴデバイスのファームウェア更新方法

(51)【国際特許分類】

   G06F 21/57 20130101AFI20241003BHJP

   H04L 9/32 20060101ALI20241003BHJP

   G06F 21/64 20130101ALI20241003BHJP

【ＦＩ】

G06F21/57

H04L9/32 200B

H04L9/32 200E

G06F21/64

【審査請求】未請求

【請求項の数】6

【出願形態】ＯＬ

(21)【出願番号】P 2023052415

(22)【出願日】2023-03-28

(71)【出願人】

【識別番号】000002897

【氏名又は名称】大日本印刷株式会社

(74)【代理人】

【識別番号】100122529

【弁理士】

【氏名又は名称】藤枡 裕実

(74)【代理人】

【識別番号】100135954

【弁理士】

【氏名又は名称】深町 圭子

(74)【代理人】

【識別番号】100119057

【弁理士】

【氏名又は名称】伊藤 英生

(74)【代理人】

【識別番号】100131369

【弁理士】

【氏名又は名称】後藤 直樹

(74)【代理人】

【識別番号】100171859

【弁理士】

【氏名又は名称】立石 英之

(72)【発明者】

【氏名】木下 靖夫

(72)【発明者】

【氏名】嘉瀬 悠太

(72)【発明者】

【氏名】高橋 憲介

(72)【発明者】

【氏名】高田 憲一

(72)【発明者】

【氏名】福永 正剛

(72)【発明者】

【氏名】平野 晋健

(57)【要約】

【課題】ＩｏＴデバイスに実装したファームウェアの更新に係るセキュリティを高める。
【解決手段】ＩｏＴネットワークシステム１は、ＩｏＴデバイス２とホストサーバ３を含む。ＩｏＴデバイス２に実装したファームウェア２００の更新に係るセキュリティを高めるために、ＩｏＴネットワークシステム１では、ファームウェア２００を最新バージョンに更新する更新ファイル３０を取得するホストサーバ３の正当性を検証する処理と、ホストサーバ３から取得した更新ファイル３０の正当性を検証する処理を、ＩｏＴデバイス２に実装したセキュアエレメント２１に行わせている。
【選択図】図２

【特許請求の範囲】

【請求項1】

ＩｏＴデバイスとホストサーバから少なくとも構成され、
前記ＩｏＴデバイスは、ファームウェアを格納するＭＣＵと、前記ファームウェアの更新を管理するファームウェア更新モジュールと、公開鍵を用いて電子署名を検証する機能を備えたセキュアエレメントを含み、
前記ホストサーバは、前記ファームウェアを最新バージョンに更新する更新ファイルと認証局が発行したサーバ証明書を記憶し、
前記ＩｏＴデバイスの前記ＭＣＵが、前記ホストサーバから前記サーバ証明書を取得し、前記セキュアエレメントが、前記認証局の公開鍵を用いて、前記サーバ証明書の電子署名を検証し、
前記ファームウェア更新モジュールが、前記ホストサーバから前記更新ファイルを取得し、前記セキュアエレメントが、前記サーバ証明書の公開鍵を用いて、前記ファームウェア更新モジュールが計算した前記更新ファイルのハッシュ値と前記更新ファイルの電子署名を検証する、
ことを特徴とするＩｏＴネットワークシステム。

【請求項2】

前記ファームウェア更新モジュールは、前記更新ファイルに加えて、前記更新ファイルを用いて更新した更新後の前記ファームウェアの電子署名を前記ホストサーバから取得し、前記ファームウェア更新モジュールが、前記ファームウェアを更新すると、前記セキュアエレメントが、前記サーバ証明書の公開鍵を用いて、前記ファームウェア更新モジュールが計算した更新後の前記ファームウェアのハッシュ値と更新後の前記ファームウェアの電子署名を検証する、
ことを特徴とする、請求項１に記載したＩｏＴネットワークシステム。

【請求項3】

ファームウェアを格納するＭＣＵと、前記ファームウェアの更新を管理するファームウェア更新モジュールと、公開鍵を用いて電子署名を検証する機能を備えたセキュアエレメントを含み、
前記ＭＣＵが、前記ファームウェアを最新バージョンに更新するための更新ファイルを記憶しているホストサーバからサーバ証明書を取得し、前記セキュアエレメントが、認証局の公開鍵を用いて、前記サーバ証明書の電子署名を検証し、
前記ファームウェア更新モジュールが、前記ホストサーバから前記更新ファイルを取得し、前記セキュアエレメントが、前記サーバ証明書の公開鍵を用いて、前記ファームウェア更新モジュールが計算した前記更新ファイルのハッシュ値と前記更新ファイルの電子署名を検証する、
ことを特徴とするＩｏＴデバイス。

【請求項4】

前記ファームウェア更新モジュールは、前記更新ファイルに加えて、前記更新ファイルを用いて更新した更新後の前記ファームウェアの電子署名を前記ホストサーバから取得し、前記ファームウェア更新モジュールが、前記ファームウェアを更新すると、前記セキュアエレメントが、前記サーバ証明書の公開鍵を用いて、前記ファームウェア更新モジュールが計算した更新後の前記ファームウェアのハッシュ値と更新後の前記ファームウェアの電子署名を検証する、
ことを特徴とする、請求項３に記載したＩｏＴデバイス。

【請求項5】

ＩｏＴデバイスとホストサーバで実行される方法であって、前記ＩｏＴデバイスは、ファームウェアを格納するＭＣＵと、前記ファームウェアの更新を管理するファームウェア更新モジュールと、公開鍵を用いて電子署名を検証する機能を備えたセキュアエレメントを含み、前記ホストサーバは、前記ファームウェアを最新バージョンに更新する更新ファイルと認証局が発行したサーバ証明書を記憶し、
前記方法は、
前記ＩｏＴデバイスの前記ＭＣＵが、前記ホストサーバから前記サーバ証明書を取得するステップ、
前記セキュアエレメントが、認証局の公開鍵を用いて、前記サーバ証明書の電子署名を検証するステップ、
前記ファームウェア更新モジュールが、前記ホストサーバから前記更新ファイルを取得するステップ、
前記セキュアエレメントが、前記サーバ証明書の公開鍵を用いて、前記ファームウェア更新モジュールが計算した前記更新ファイルのハッシュ値と前記更新ファイルの電子署名を検証するステップ、
を含むことを特徴とするＩｏＴデバイスのファームウェア更新方法。

【請求項6】

前記ファームウェア更新モジュールは、前記更新ファイルに加えて、前記更新ファイルを用いて更新した更新後の前記ファームウェアの電子署名を前記ホストサーバから取得し、
前記ファームウェア更新モジュールが、前記ファームウェアを更新すると、前記セキュアエレメントが、前記サーバ証明書の公開鍵を用いて、前記ファームウェア更新モジュールが計算した更新後の前記ファームウェアのハッシュ値と更新後の前記ファームウェアの電子署名を検証するステップ、
を含むことを特徴とする、請求項５に記載したＩｏＴデバイスのファームウェア更新方法。

【発明の詳細な説明】

【技術分野】

【0001】

本願で開示する発明は、ＩｏＴデバイスのファームウェアを更新する技術分野に関する。

【背景技術】

【0002】

物理的オブジェクトであるモノによりネットワークを構成するＩｏＴ（Internet of Things）が普及している。ＩｏＴを構成するモノとなるデバイスは、ＩｏＴデバイスと呼ばれている。ＩｏＴデバイスは、ＩｏＴネットワークを介して、サーバとネットワーク通信する。このため、ＩｏＴデバイスには適切なセキュリティ対策が求められる。

【0003】

ＩｏＴデバイスは、屋外に設置されることが多い。例えば、ＩｏＴデバイスの１つであるスマートメーターは、スマートメーターに表示される指示数を目視で確認し易い位置に設置される。このため、ＩｏＴデバイスでは、なりすましやデータの改ざんの発生リスクが高くなる。ＩｏＴデバイスのなりすましを防ぐためには、ＩｏＴデバイスが通信相手を認証するのが一般的で、データの改ざんを防ぐために、ＩｏＴデバイスと通信相手の間でやりとりされるデータを暗号化するのが一般的である（例えば、特許文献１）。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特開２０２２－０６４６８８号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

ＩｏＴデバイスには、ＩｏＴデバイスを制御するファームウェアが実装される。ファームウェアに脆弱性が見つかったＩｏＴデバイスのセキュリティは低くなる。よって、ＩｏＴデバイスに実装したファームウェアの脆弱性が見つかると、ＩｏＴデバイスに実装したファームウェアを更新することになる。

【0006】

しかし、ＩｏＴデバイスに実装したファームウェアの更新に係るセキュリティが低いと、マルウェアや不正に改造されたファームウェアがＩｏＴデバイスに書き込まれるリスクが高くなる。そこで、本願では、ＩｏＴデバイスに実装したファームウェアの更新に係るセキュリティを高めることを目的とする。

【課題を解決するための手段】

【0007】

上述した課題を解決する第１発明は、Ｉｏｔデバイスとホストサーバから少なくとも構成されるＩｏＴネットワークシステムである。
第１発明に係るＩｏＴネットワークシステムにおいて、前記Ｉｏｔデバイスは、ファームウェアを格納するＭＣＵと、前記ファームウェアの更新を管理するファームウェア更新モジュールと、公開鍵を用いて電子署名を検証する機能を備えたセキュアエレメントを含む。前記ホストサーバは、前記ファームウェアを最新バージョンに更新する更新ファイルと認証局が発行したサーバ証明書を記憶する。
第１発明に係るＩｏＴネットワークシステムでは、前記ＩｏＴデバイスの前記ＭＣＵが、前記ホストサーバから前記サーバ証明書を取得し、前記セキュアエレメントが、前記認証局の公開鍵を用いて、前記サーバ証明書の電子署名を検証することで、前記ホストサーバの正当性が検証される。
更に、第１発明に係るＩｏＴネットワークシステムでは、前記ファームウェア更新モジュールが、前記ホストサーバから前記更新ファイルを取得し、前記セキュアエレメントが、前記サーバ証明書の公開鍵を用いて、前記ファームウェア更新モジュールが計算した前記更新ファイルのハッシュ値と前記更新ファイルの電子署名を検証することで、前記更新ファイルの正当性が検証される。
更に、第１発明に係るＩｏＴネットワークシステムでは、前記更新ファイルを用いて更新した更新後の前記ファームウェアの正当性を検証できるように、前記ファームウェア更新モジュールは、前記更新ファイルに加えて、更新後の前記ファームウェアの電子署名を前記ホストサーバから取得し、前記セキュアエレメントが、前記サーバ証明書の公開鍵を用いて、前記ファームウェア更新モジュールが計算した更新後の前記ファームウェアのハッシュ値と更新後の前記ファームウェアの電子署名を検証することが望ましい。

【0008】

上述した課題を解決する第２発明は、ファームウェアを格納するＭＣＵと、前記ファームウェアの更新を管理するファームウェア更新モジュールと、公開鍵を用いて電子署名を検証する機能を備えたセキュアエレメントを含むＩｏＴデバイスである。
第２発明に係るＩｏＴデバイスでは、前記ＭＣＵが、前記ファームウェアを最新バージョンに更新するための更新ファイルを記憶しているホストサーバからサーバ証明書を取得し、前記セキュアエレメントが、認証局の公開鍵を用いて、前記サーバ証明書の電子署名を検証する。
更に、第２発明に係るＩｏＴデバイスでは、前記ファームウェア更新モジュールが、前記ホストサーバから前記更新ファイルを取得し、前記セキュアエレメントが、前記サーバ証明書の公開鍵を用いて、前記ファームウェア更新モジュールが計算した前記更新ファイルのハッシュ値と前記更新ファイルの電子署名を検証する。
更に、第２発明に係るＩｏＴデバイスでは、前記ファームウェア更新モジュールは、前記更新ファイルに加えて、前記更新ファイルを用いて更新した更新後の前記ファームウェアの電子署名を前記ホストサーバから取得し、前記セキュアエレメントが、前記サーバ証明書の公開鍵を用いて、前記ファームウェア更新モジュールが計算した更新後の前記ファームウェアのハッシュ値と更新後の前記ファームウェアの電子署名を検証することが望ましい。

【0009】

上述した課題を解決する第３発明は、Ｉｏｔデバイスとホストサーバで実行されるＩｏＴデバイスのファームウェア更新方法である。
第３発明に係る方法では、前記Ｉｏｔデバイスは、ファームウェアを格納するＭＣＵと、前記ファームウェアの更新を管理するファームウェア更新モジュールと、公開鍵を用いて電子署名を検証する機能を備えたセキュアエレメントを含む。ホストサーバは、前記ファームウェアを最新バージョンに更新する更新ファイルと認証局が発行したサーバ証明書を記憶する。
第３発明に係る方法は、
前記ＩｏＴデバイスの前記ＭＣＵが、前記ホストサーバから前記サーバ証明書を取得するステップ、前記セキュアエレメントが、認証局の公開鍵を用いて、前記サーバ証明書の電子署名を検証するステップ、前記ファームウェア更新モジュールが、前記ホストサーバから前記更新ファイルを取得するステップ、前記セキュアエレメントが、前記サーバ証明書の公開鍵を用いて、前記ファームウェア更新モジュールが計算した前記更新ファイルのハッシュ値と前記更新ファイルの電子署名を検証するステップ、前記更新ファイルの電子署名の検証に成功すると、前記ファームウェア更新モジュールが、前記更新ファイルを用いて前記ファームウェアを更新するステップ、
を含む。
更に、第３発明に係る方法では、前記ファームウェア更新モジュールは、前記更新ファイルに加えて、前記更新ファイルを用いて更新した更新後の前記ファームウェアの電子署名を前記ホストサーバから取得し、前記セキュアエレメントが、前記サーバ証明書の公開鍵を用いて、前記ファームウェア更新モジュールが計算した更新後の前記ファームウェアのハッシュ値と更新後の前記ファームウェアの電子署名を検証するステップを含むことが望ましい。

【発明の効果】

【0010】

本願で開示した発明では、ＩｏＴデバイスに実装したファームウェアの更新に係るセキュリティを高めるために、ファームウェアを最新バージョンに更新する更新ファイルを取得するホストサーバの正当性を検証する処理と、ホストサーバから取得した更新ファイルの正当性を検証する処理を、ＩｏＴデバイスに実装したセキュアエレメントに行わせている。

【図面の簡単な説明】

【0011】

【図1】ＩｏＴネットワークシステムを示した図。

【図2】ＩｏＴデバイスとホストサーバそれぞれのブロック図を示した図。

【図3】セキュアエレメントのブロック図。

【図4】ＩｏＴネットワークシステムで実行される処理を説明する第１図。

【図5】ＩｏＴネットワークシステムで実行される処理を説明する第２図。

【発明を実施するための形態】

【0012】

ここから，本発明に係る実施形態について記載する。本実施形態は，本発明の理解を容易にするためのものであり，本発明は，本実施形態に限定されるものではない。また，特に断りのない限り，図面は，本発明の理解を容易にするために描かれた模式的な図である。

【0013】

図１では、ＩｏＴネットワークシステム１を示している。図１で図示したＩｏＴネットワークシステム１は、収集対象となるデータをデジタルで計量する機能を備えたＩｏＴデバイス２と、ＩｏＴデバイス２を管理するホストサーバ３を含んでいる。ＩｏＴデバイス２は、ＩｏＴデバイス２のＩｏＴネットワーク４を介してホストサーバ３と接続している。

【0014】

本実施形態では、ＩｏＴデバイス２をスマートメーターとして示しているが、本願で開示する発明を適用可能なＩｏＴデバイス２はスマートメーターに限定されない。家庭用電化製品、各種センサ類など、スマートメーターを含む様々なＩｏＴデバイス２に本発明を適用できる。

【0015】

図１では、ＩｏＴネットワーク４の一例として、ＡＭＩネットワーク（AMI: Advanced Metering Infrastructure）を示している。図１で図示したＩｏＴネットワーク４は、ＦＡＮ４０（Field Area Network）、１：Ｎ通信ネットワーク４１およびＰＬＣネットワーク４２（PLC: Power Line Communications）を含んでいる。ＦＡＮ４０に含まれるＩｏＴデバイス２（スマートメーター）の通信方式は、無線マルチホップ方式になる。ＦＡＮ４０に含まれるＩｏＴデバイス２（スマートメーター）は、電柱に設置された集約装置（コンセントレーター）を介してホストサーバ３と接続する。１：Ｎ通信ネットワーク４１に含まれるＩｏＴデバイス２（スマートメーター）の通信方式は、移動体通信（例えば、５Ｇ）になる。ＰＬＣネットワーク４２に含まれるＩｏＴデバイス２（スマートメーター）の通信方式はＰＬＣになる。ＰＬＣネットワーク４２に含まれるＩｏＴデバイス２（スマートメーター）は、建物に設置された集約装置を介してホストサーバ３と接続する。

【0016】

ＩｏＴネットワークシステム１に含まれるＩｏＴデバイス２は、ＩｏＴデバイス２が収集するデータを計測するセンシング機能を備える。当然のことながら、ＩｏＴデバイス２が備えるセンシング機能は、ＩｏＴデバイス２が収集するデータによって異なる。ＩｏＴデバイス２をスマートメーターとする場合、ＩｏＴデバイス２が収集するデータは電力で、ＩｏＴデバイス２は、電力の計測に必要なセンシング機能を備える。

【0017】

ＩｏＴデバイス２には、ＩｏＴデバイス２を制御するソフトウェアであるファームウェア２００が実装される。ファームウェア２００に脆弱性が見つかったとき、ファームウェア２００に新たな機能を追加するとき、または、ＩｏＴデバイス２の性能を向上させるときなど、ＩｏＴデバイス２に実装したファームウェア２００の更新が必要になる。図１で示したＩｏＴネットワークシステム１において、ファームウェア２００の更新ファイル３０を記憶する装置はホストサーバ３になる。ＩｏＴデバイス２は、ホストサーバ３が最新バージョンにファームウェア２００を更新するための更新ファイル３０を記憶している場合、ホストサーバ３から更新ファイル３０を取得して、ＩｏＴデバイス２に実装されているファームウェア２００を更新する。

【0018】

ＩｏＴデバイス２に実装したファームウェア２００の更新ファイル３０は、公衆網となるＩｏＴネットワーク４を流れるデータになる。このため、ＩｏＴデバイス２に実装したファームウェア２００の更新に係るセキュリティを高めることが必要とされる。そこで、本願で開示する発明では、外部からの暗号解読攻撃に対して高い耐タンパー性を有する半導体製品であるセキュアエレメント２１をＩｏＴデバイス２に実装させ、ファームウェア２００の更新に係る処理にセキュアエレメント２１を利用することで、ＩｏＴデバイス２に実装したファームウェア２００の更新に係るセキュリティを高めている。

【0019】

ここから、図１で図示したＩｏＴネットワークシステム１を構成するＩｏＴデバイス２とホストサーバ３についてそれぞれ説明する。図２では、ＩｏＴデバイス２とホストサーバ３それぞれのブロック図を示している。図３では、セキュアエレメント２１のブロック図を示している。

【0020】

まず、ＩｏＴシステムを構成するＩｏＴデバイス２について説明する。図２で示した通り、ＩｏＴネットワークシステム１を構成するＩｏＴデバイス２は、ＭＣＵ２０（Micro Controller Unit）、通信モジュール２３、センシングモジュール２４、ファームウェア更新モジュール２２、および、セキュアエレメント２１を備えている。

【0021】

ＩｏＴデバイス２が備えるＭＣＵ２０は、ＣＰＵ２０ａ（Central Processing Unit）、各種のメモリおよび周辺機能２０ｅ（Peripherals）を１つのチップに集積した半導体回路である。ＩｏＴデバイス２が備えるＭＣＵ２０は、メモリとして、電気的に書き換えできない不揮発性メモリであるＲＯＭ２０ｂ（Read Only Memory），電気的に書き換えできる揮発性メモリであるＲＡＭ２０ｃ(Random Access Memory)、および、電気的に書き換えできる不揮発性メモリであるＮＶＭ２０ｄ（Non-Volatile Memory）を備える。ＭＣＵ２０が備えるＮＶＭ２０ｄが、ＩｏＴデバイス２のファームウェア２００を記憶するメモリになる。

【0022】

通信モジュールは、ＩｏＴネットワーク４に対応した通信方式を行うための回路である。センシングモジュール２４は、ＩｏＴデバイス２が収集するデータを計測する回路である。ＩｏＴデバイス２をスマートメーターとする場合、通信モジュール２３は、無線マルチホップ方式で通信を行う回路、移動体通信（例えば、５Ｇ）で通信を行う回路、ＰＬＣで通信を行う回路のいずれかになる。また、センシングモジュール２４は、電流センサおよび電力センサなどを備え、電力を計測する回路になる。

【0023】

ファームウェア更新モジュール２２は、ファームウェア２００の更新に係る処理を実施するように構成したハードウェアモジュール（ＩＣチップ）である。ファームウェア更新モジュール２２は、セキュアエレメント２１と連携して、ＩｏＴデバイス２に実装したファームウェア２００の更新に係る検証処理を実行する。ＭＣＵ２０を動作させるソフトウェアによりファームウェア更新モジュール２２を構成できるが、ファームウェア更新モジュール２２をＭＣＵ２０とは別のハードウェアで実現することが望ましい。

【0024】

セキュアエレメント２１は、外部からの暗号解読攻撃に対して高い耐タンパー性を有するＩＣチップである。セキュアエレメント２１は、ＩｏＴデバイス２の基板に組み込まれる。ＩＣチップの形態をなしたセキュアエレメント２１をＩｏＴデバイス２の基板に組み込むこともできる。図３では、セキュアエレメント２１の発行がし易いように、セキュアエレメント２１の形態をＳＩＭカードの形態にしている。ＳＩＭカードの形態になっているセキュアエレメント２１は、ＩＣカードの状態で発行できる。

【0025】

ＩｏＴデバイス２が備えるＭＣＵ２０と同様に、セキュアエレメント２１は、ＣＰＵ２１ａ、ＲＯＭ２１ｂ、ＲＡＭ２１ｃ、ＮＶＭ２１ｄ、コプロセッサ２１ｅ、および、周辺機能２１ｆを備えている。セキュアエレメント２１が備えるＮＶＭ２１ｄには、ファームウェア２００の更新に係る認証手続きで使用される秘密情報が記憶される。セキュアエレメント２１のＲＯＭ２１ｂには、ＩｏＴデバイス２のファームウェア２００の更新に係る認証手続きに係る処理を、セキュアエレメント２１のＣＰＵ２１ａを動作させるためのコンピュータプログラムが実装される。

【0026】

セキュアエレメント２１は、ＣＰＵ２１ａを動作させるためのコンピュータプログラムで実現される機能として、公開鍵を用いて電子署名を検証する機能を備える。公開鍵を用いて電子署名を検証する機能は、セキュアエレメント２１に実装するコマンドで実現するのが一般的である。

【0027】

ホストサーバ３は、汎用のサーバを用いて実現される装置で、ＩｏＴネットワーク４に接続するＩｏＴデバイス２に所定のサービスを提供する。本実施形態において、ホストサーバ３は、ＩｏＴデバイス２に実装されたファームウェア２００の更新に用いる情報として、認証局が発行したホストサーバ３のサーバ証明書３１を記憶する。ＩｏＴデバイス２に実装されたファームウェア２００の更新が必要な場合、ＩｏＴデバイス２に実装されたファームウェア２００を最新バージョンに更新するための更新ファイル３０を記憶する。

【0028】

ホストサーバ３は、ＩｏＴデバイス２からリクエストされた情報をＩｏＴデバイス２へ送信する。ＩｏＴデバイス２からリクエストされた情報がサーバ証明書３１の場合、ホストサーバ３は、サーバ証明書３１をＩｏＴデバイス２へ送信する。ＩｏＴデバイス２からリクエストされた情報が更新ファイル３０の場合、ホストサーバ３は、更新ファイル３０、更新ファイル３０の電子署名、および、更新ファイル３０を適用して更新した更新後のファームウェア２００の電子署名をＩｏＴデバイス２へ送信する。

【0029】

ここから、図１で示したＩｏＴネットワークシステム１で実行される処理を説明する。図４は、ＩｏＴネットワークシステム１で実行される処理を説明する第１図である。図５は、ＩｏＴネットワークシステム１で実行される処理を説明する第２図である。図４，５の説明は、本願で開示するＩｏＴデバイス２のファームウェア更新方法の説明も兼ねている。

【0030】

まず、図４で示した処理について説明する。ＩｏＴデバイス２のファームウェア２００を更新する最初の処理において、ＩｏＴデバイス２のＭＣＵ２０がホストサーバ３のサーバ証明書３１の送信をホストサーバ３にリクエストする（ステップＳ１）。サーバ証明書３１は、認証局が発行するデータである。サーバ証明書３１には、ホストサーバ３のアドレス、公開鍵暗号方式におけるホストサーバ３の公開鍵（以下、サーバ公開鍵と記す）と、認証局の秘密鍵を用いて生成されたサーバ公開鍵の電子署名が含まれる。ＩｏＴデバイス２に実装されたセキュアエレメント２１が、サーバ証明書３１の正当性を検証できるように、認証局の秘密鍵と対になる認証局の公開鍵が、セキュアエレメント２１の製造時にセキュアエレメント２１のＮＶＭ２１ｄに書き込まれる。

【0031】

ホストサーバ３は、ＩｏＴデバイス２からサーバ証明書３１のリクエストを受けると、サーバ証明書３１の送信をリクエストしたＩｏＴデバイス２に対して、ホストサーバ３が記憶しているサーバ証明書３１を送信する（ステップＳ２）。ＩｏＴデバイス２のＭＣＵ２０は、ホストサーバ３から受信したサーバ証明書３１をセキュアエレメント２１へ送信する（ステップＳ３）。

【0032】

ＩｏＴデバイス２のＭＣＵ２０からサーバ証明書３１を受信したセキュアエレメント２１は、セキュアエレメント２１が記憶している認証局の公開鍵を用いて、サーバ証明書３１に含まれるサーバ公開鍵の電子署名を検証することで、ＭＣＵ２０から受信したサーバ証明書３１を検証する（ステップＳ４）。セキュアエレメント２１は、ＭＣＵ２０から受信したサーバ証明書３１の検証結果をファームウェア更新モジュール２２へ送信する（ステップＳ５）。なお、セキュアエレメント２１は、サーバ証明書３１の検証に成功すると、サーバ証明書３１に含まれるサーバ公開鍵をセキュアエレメント２１のＮＶＭ２１ｄに格納する。

【0033】

ＩｏＴデバイス２のファームウェア更新モジュール２２は、サーバ証明書３１の検証結果を確認する（ステップＳ６）。ファームウェア更新モジュール２２は、セキュアエレメント２１がサーバ証明書３１の検証に失敗した場合、所定のエラー処理を実行する（ステップＳ７）。このエラー処理の内容は任意であるが、本実施形態では、処理をステップＳ１に戻して、サーバ証明書３１を再取得する処理にしている。

【0034】

ＩｏＴデバイス２のファームウェア更新モジュール２２は、セキュアエレメント２１がサーバ証明書３１の検証に成功した場合、ファームウェア２００の更新の有無をホストサーバ３へ問い合わせる（ステップＳ８）。ファームウェア２００の更新の有無をホストサーバ３へ問い合わせる際、ＭＣＵ２０のＮＶＭ２０ｄに格納されているファームウェア２００のバージョン番号をホストサーバ３へ送信するとよい。ホストサーバ３は、ファームウェア２００の更新の有無に係る回答をＩｏＴデバイス２のファームウェア更新モジュール２２へ通知する（ステップＳ９）。最新バージョンにアップするための更新ファイル３０がホストサーバ３に登録されていない場合、ファームウェア２００の更新の有無に係る回答として、ファームウェア２００の更新無しがＩｏＴデバイス２のファームウェア更新モジュール２２へ通知される。最新バージョンにグレードアップするための更新ファイル３０がホストサーバ３のデータベースに登録されている場合、ファームウェア２００の更新の有無に係る回答として、ファームウェア２００の更新有りがＩｏＴデバイス２のファームウェア更新モジュール２２へ通知される。

【0035】

ファームウェア更新モジュール２２は、ファームウェア２００の更新の有無に係る回答を確認する（ステップＳ１０）。ＩｏＴデバイス２のファームウェア更新モジュール２２は、ファームウェア２００の更新の有無に係る回答として、ファームウェア２００の更新無しが通知された場合、ファームウェア２００の更新に係る処理を終了する。ＩｏＴデバイス２のファームウェア更新モジュール２２は、ファームウェア２００の更新の有無に係る回答として、ファームウェア２００の更新有りが通知された場合、更新ファイル３０および更新ファイル３０の検証用データの送信をホストサーバ３へリクエストする（ステップＳ１１）。ホストサーバ３は、更新ファイル３０などをリクエストしたＩｏＴデバイス２のファームウェア更新モジュール２２に対して、最新バージョンにファームウェア２００を更新するための更新ファイル３０および更新ファイル３０の検証用データを送信する（ステップＳ１２）。更新ファイル３０の検証用データには、更新ファイル３０の検証に用いる情報が含まれる。本実施形態において、更新ファイル３０の検証に用いる情報は、サーバ公開鍵と対になるサーバ秘密鍵を用いて生成された更新ファイル３０の電子署名と、更新後のファームウェア２００の電子署名が含まれる。更新ファイル３０の電子署名は、更新ファイル３０のハッシュ値をサーバ秘密鍵で暗号化した情報で、更新ファイル３０の検証に用いる情報である。更新後のファームウェア２００の電子署名は、更新後のファームウェア２００のハッシュ値をサーバ秘密鍵で暗号化した情報で、更新後のファームウェア２００の検証に用いる情報である。

【0036】

ＩｏＴデバイス２のファームウェア更新モジュール２２は、更新ファイル３０および更新ファイル３０の検証用データをホストサーバ３から受信すると、まず、ホストサーバ３から受信した更新ファイル３０のハッシュ値を計算する（ステップＳ１３）。次に、ＩｏＴデバイス２のファームウェア更新モジュール２２は、ホストサーバ３から受信した更新ファイル３０のハッシュ値と、ホストサーバ３から受信した検証用データに含まれる更新ファイル３０の電子署名をセキュアエレメント２１に送信し、更新ファイル３０の電子署名をセキュアエレメント２１に検証させる（ステップＳ１４）。セキュアエレメント２１は、セキュアエレメント２１が記憶しているサーバ公開鍵を用いて、ファームウェア更新モジュール２２から受信した更新ファイル３０の電子署名を検証する（ステップＳ１５）。具体的に、セキュアエレメント２１は、サーバ公開鍵を用いて更新ファイル３０の電子署名を復号し、ファームウェア更新モジュール２２から受信した更新ファイル３０のハッシュ値と一致するか確認する。更新ファイル３０の電子署名を復号した値が、更新ファイル３０のハッシュ値と一致すれば、ファームウェア更新モジュール２２は、更新ファイル３０の電子署名の検証に成功したと判定する。

【0037】

セキュアエレメント２１は、更新ファイル３０の電子署名を検証する処理を実行すると、更新ファイル３０の電子署名の検証結果をファームウェア更新モジュール２２へ送信する（ステップＳ１６）。ＩｏＴデバイス２のファームウェア更新モジュール２２は、更新ファイル３０の電子署名の検証結果を確認する（ステップＳ１７）。ＩｏＴデバイス２のファームウェア更新モジュール２２は、更新ファイル３０の電子署名の検証結果によって検証失敗が示される場合、所定のエラー処理を実行する（ステップＳ１８）。このエラー処理の内容は任意であるが、本実施形態では、処理をステップＳ１に戻して、サーバ証明書３１を再取得する処理にしている。

【0038】

ここから、図５で示した処理について説明する。ＩｏＴデバイス２のファームウェア更新モジュール２２は、更新ファイル３０の電子署名の検証結果によって検証成功が示される場合、ホストサーバ３から受信した更新ファイル３０を用いて、ＭＣＵ２０のＮＶＭ２０ｄに格納されているファームウェア２００を更新する（ステップＳ１９）。

【0039】

ＩｏＴデバイス２のファームウェア更新モジュール２２は、ＭＣＵ２０のＮＶＭ２０ｄに格納されているファームウェア２００を更新すると、更新後のファームウェア２００のハッシュ値を計算する（ステップＳ２０）。次に、ＩｏＴデバイス２のファームウェア更新モジュール２２は、更新後のファームウェア２００のハッシュ値とホストサーバ３から受信した更新後のファームウェア２００の電子署名をセキュアエレメント２１へ送信し、更新後のファームウェア２００の電子署名をセキュアエレメント２１に検証させる（ステップＳ２１）。セキュアエレメント２１は、セキュアエレメント２１が記憶しているサーバ公開鍵を用いて、ファームウェア更新モジュール２２から受信した更新後のファームウェア２００の電子署名を検証する（ステップＳ２２）。具体的に、セキュアエレメント２１は、サーバ公開鍵を用いて更新後のファームウェア２００の電子署名を復号した値が、ファームウェア更新モジュール２２から受信した更新後のファームウェア２００のハッシュ値と一致するか確認する。更新後のファームウェア２００の電子署名を復号した値が、更新後のファームウェア２００のハッシュ値と一致する場合、更新ファイル３０の電子署名の検証に成功したと判定する。

【0040】

セキュアエレメント２１は、更新後のファームウェア２００を検証する処理を行うと、更新後のファームウェア２００の検証結果をファームウェア更新モジュール２２へ通知する（ステップＳ２３）。ファームウェア更新モジュール２２は、更新後のファームウェア２００の検証結果を確認する（ステップＳ２４）。ファームウェア更新モジュール２２は、更新後のファームウェア２００の検証結果により検証成功が示される場合、ファームウェア２００の更新に成功したことをホストサーバ３へ通知して（ステップＳ２５）、ファームウェア２００を更新する処理を終了する。ファームウェア更新モジュール２２は、更新後のファームウェア２００の検証結果により検証失敗が示される場合、ＭＣＵ２０を停止させた後（ステップＳ２６）、所定のエラー処理を実行して（ステップＳ２７）、ファームウェア２００を更新する処理を終了する。このエラー処理の内容は任意であるが、本実施形態では、処理をステップＳ１に戻して、サーバ証明書３１を再取得する処理にしている。

【符号の説明】

【0041】

１ ＩｏＴネットワークシステム
２ ＩｏＴデバイス
２０ ＭＣＵ
２１ セキュアエレメント
２２ ファームウェア更新モジュール
３ ホストサーバ
３０ 更新ファイル
３１ サーバ証明書
４ ＩｏＴネットワーク

【図1】

【図2】

【図3】

【図4】

【図5】