特開 2024-151397 プロセッサシステム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024151397

(43)【公開日】2024-10-25

(54)【発明の名称】プロセッサシステム

(51)【国際特許分類】

   G06F 8/65 20180101AFI20241018BHJP

【ＦＩ】

G06F8/65

【審査請求】未請求

【請求項の数】5

【出願形態】ＯＬ

(21)【出願番号】P 2023064612

(22)【出願日】2023-04-12

(71)【出願人】

【識別番号】000005234

【氏名又は名称】富士電機株式会社

(74)【代理人】

【識別番号】110004185

【氏名又は名称】インフォート弁理士法人

(74)【代理人】

【識別番号】100121083

【弁理士】

【氏名又は名称】青木 宏義

(74)【代理人】

【識別番号】100138391

【弁理士】

【氏名又は名称】天田 昌行

(74)【代理人】

【識別番号】100132067

【弁理士】

【氏名又は名称】岡田 喜雅

(74)【代理人】

【識別番号】100131521

【弁理士】

【氏名又は名称】堀口 忍

(72)【発明者】

【氏名】高務 健二

【テーマコード（参考）】

5B376

【Ｆターム（参考）】

5B376CA40

5B376FA11

(57)【要約】      （修正有）

【課題】複数のプロセッサを備えるプロセッサシステムにおいて、ファームウェアの検証に際して、検証対象プロセッサ以外のプロセッサの演算リソースの消費を削減する。
【解決手段】複数のプロセッサおよびそれら複数のプロセッサの通信を制御するマスタプロセッサを備えるプロセッサシステムは、疑似データ書込み部および検証部をさらに備える。疑似データ書込み部は、複数のプロセッサのうちの第１のプロセッサのファームウェア格納領域にファームウェアを書き込む際、または、ファームウェア格納領域に格納されているファームウェアを更新する際に、ファームウェア格納領域の空き領域に疑似データを書き込む。検証部は、第１のプロセッサにおいてファームウェア格納領域全体に対する所定の演算により検証用チェックコードが算出されたときに、検証用チェックコードに基づいて、ファームウェア格納領域に書き込まれているファームウェアを検証する。
【選択図】図７

【特許請求の範囲】

【請求項1】

複数のプロセッサおよび前記複数のプロセッサの通信を制御するマスタプロセッサを備えるプロセッサシステムであって、
前記複数のプロセッサのうちの第１のプロセッサのファームウェア格納領域にファームウェアを書き込む際、または、前記ファームウェア格納領域に格納されているファームウェアを更新する際に、前記ファームウェア格納領域の空き領域に疑似データを書き込む疑似データ書込み部と、
前記第１のプロセッサにおいて前記ファームウェア格納領域全体に対する所定の演算により検証用チェックコードが算出されたときに、前記検証用チェックコードに基づいて、前記ファームウェア格納領域に書き込まれているファームウェアを検証する検証部と、
を備えるプロセッサシステム。

【請求項2】

前記第１のプロセッサのファームウェア格納領域にファームウェアを書き込む際、または、前記ファームウェア格納領域に格納されているファームウェアを更新する際に、
前記検証部は、前記第１のプロセッサに検証用データを与えると共に、前記第１のプロセッサに対して設けられている所定の保存領域に前記検証用データを保存し、
前記検証部は、前記第１のプロセッサにおいて前記検証用データを利用して前記ファームウェア格納領域全体に対する前記所定の演算を実行することで算出される参照用チェックコードを、前記保存領域に保存し、
前記第１のプロセッサのファームウェア格納領域に書き込まれているファームウェアを検証する際に、
前記検証部は、前記保存領域から前記検証用データを取得して前記第１のプロセッサに与え、
前記第１のプロセッサにおいて前記検証用データを利用して前記ファームウェア格納領域全体に対する前記所定の演算を実行することで前記検証用チェックコードが算出されたときに、前記検証部は、前記保存領域に保存されている前記参照用チェックコードと前記検証用チェックコードとを比較することで、前記第１のプロセッサのファームウェア格納領域に書き込まれているファームウェアを検証する
ことを特徴とする請求項１に記載のプロセッサシステム。

【請求項3】

前記マスタプロセッサは、前記第１のプロセッサから前記保存領域へのアクセスを禁止する
ことを特徴とする請求項２に記載のプロセッサシステム。

【請求項4】

前記疑似データ書込み部および前記検証部は、前記マスタプロセッサに実装される
ことを特徴とする請求項１に記載のプロセッサシステム。

【請求項5】

前記疑似データ書込み部および前記検証部は、前記複数のプロセッサのうちの前記第１のプロセッサとは異なる第２のプロセッサに実装される
ことを特徴とする請求項１に記載のプロセッサシステム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、各プロセッサにファームウェアが実装されるプロセッサシステムに係わる。

【背景技術】

【0002】

複数のプロセッサが連携して処理を実行するプロセッサシステムにおいて、各プロセッサにファームウェアを実装する構成が実用化されている。この場合、プロセッサシステムは、各プロセッサのファームウェアを更新できるように構成されていることが好ましい。ただし、各プロセッサのファームウェアを更新可能な構成においては、攻撃者により、１または複数のプロセッサに対して不正なファームウェアが書き込まれるおそれがある。このため、不正なファームウェアの書込みに対する対策が提案されている（例えば、特許文献１）。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２０２０－１３３９５８号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

上述したように、複数のプロセッサにそれぞれファームウェアが実装される構成において、不正なファームウェアの書込みを監視する方法が提案されている。ただし、複数のプロセッサのうちの１つのプロセッサに書き込まれたファームウェアの検証は、基本的に、他のプロセッサにより行われる。このため、他のプロセッサの演算リソースがファームウェアの検証のために消費されてしまい、本来の処理に影響が及ぶことがある。

【0005】

本発明の１つの側面に係わる目的は、複数のプロセッサを備えるプロセッサシステムにおいて、ファームウェアの検証に際して、検証対象プロセッサ以外のプロセッサの演算リソースの消費を削減することである。

【課題を解決するための手段】

【0006】

本発明の１つの態様のプロセッサシステムは、複数のプロセッサおよび前記複数のプロセッサの通信を制御するマスタプロセッサを備える。このプロセッサシステムは、前記複数のプロセッサのうちの第１のプロセッサのファームウェア格納領域にファームウェアを書き込む際、または、前記ファームウェア格納領域に格納されているファームウェアを更新する際に、前記ファームウェア格納領域の空き領域に疑似データを書き込む疑似データ書込み部と、前記第１のプロセッサにおいて前記ファームウェア格納領域全体に対する所定の演算により検証用チェックコードが算出されたときに、前記検証用チェックコードに基づいて、前記ファームウェア格納領域に書き込まれているファームウェアを検証する検証部と、を備える。

【発明の効果】

【0007】

上述の態様によれば、複数のプロセッサを備えるプロセッサシステムにおいて、ファームウェアの検証に際して、検証対象プロセッサ以外のプロセッサの演算リソースの消費が削減される。

【図面の簡単な説明】

【0008】

【図1】本発明の実施形態に係わるプロセッサシステムの一例を示す図である。

【図2】ファームウェアを更新する手順の一例を示す図（その１）である。

【図3】ファームウェアを更新する手順の一例を示す図（その２）である。

【図4】ファームウェアを更新する手順の一例を示す図（その３）である。

【図5】ファームウェアを更新する手順の一例を示す図（その４）である。

【図6】ファームウェアを検証する手順の一例を示す図（その１）である。

【図7】ファームウェアを検証する手順の一例を示す図（その２）である。

【図8】ファームウェアを更新する処理の一例を示すフローチャートである。

【図9】ファームウェアを検証する処理の一例を示すフローチャートである。

【図10】他の実施形態においてファームウェアを更新する手順を示す図である。

【図11】他の実施形態においてファームウェアを検証する手順を示す図である。

【発明を実施するための形態】

【0009】

図１は、本発明の実施形態に係わるプロセッサシステムの一例を示す。本発明の実施形態に係わるプロセッサシステム１００は、複数のＣＰＵ１（１ａ～１ｎ）、マスタＣＰＵ２、および共通ストレージ３を備える。ただし、プロセッサシステム１００は、図１に示していない他の機能、回路、またはデバイスを備えてもよい。なお、複数のＣＰＵ１ａ～１ｎは、プロセッサシステム１００を構成する「複数のプロセッサ」に相当する。マスタＣＰＵ２は、複数のプロセッサの通信を制御する「マスタプロセッサ」に相当する。

【0010】

各ＣＰＵ１は、プロセッサ素子およびメモリを備える。メモリは、ファームウェアを実装するためのファームウェア格納領域を含む。すなわち、各ＣＰＵ１のメモリには、ファームウェアが実装され得る。この実施例では、ＣＰＵ１ａ～１ｎに対してそれぞれファームウェアＦＷａ～ＦＷｎが実装される。そして、各ＣＰＵ１は、実装されているファームウェアを実行することで対応する機能を提供する。なお、ＣＰＵ１ａ～１ｎは、同一の装置内に設けられてもよいし、異なる装置に設けられてもよい。

【0011】

マスタＣＰＵ２は、ＣＰＵ１ａ～１ｎの通信を制御する。具体的には、マスタＣＰＵ２は、プロセッサシステム１００内でＣＰＵ１ａ～１ｎ間の通信を制御する。このとき、ＣＰＵ１ａ～１ｎの通信は、マスタＣＰＵ２を介して行われる。なお、図１に示す例では、マスタＣＰＵ２と各ＣＰＵ１ａ～１ｎとが直接的に接続されているが、本発明の実施形態はこの構成に限定されるものではない。例えば、マスタＣＰＵ２および各ＣＰＵ１ａ～１ｎがバスまたはネットワークに接続される構成であってもよい。ただし、このような構成であっても、ＣＰＵ１から送信されるパケットは、マスタＣＰＵ２によって宛先に転送される。

【0012】

また、マスタＣＰＵ２は、プロセッサシステム１００の外部に設けられる通信機器とＣＰＵ１ａ～１ｎとの間の通信を制御する。すなわち、マスタＣＰＵ２は、ネットワーク２００に接続するためのインタフェースを備える。

【0013】

さらに、マスタＣＰＵ２は、同時に複数の通信セッションを設定しない単一セッション方式で、ＣＰＵ１ａ～１ｎの通信を制御する。すなわち、プロセッサシステム１００においては、同時に複数の通信セッションが設定されることはない。したがって、例えば、外部の通信機器とＣＰＵ１ｎとの間で通信が行われているときは、マスタＣＰＵ２は、他のＣＰＵ（即ち、ＣＰＵ１ａ、１ｂ等）の通信を許可しない。或いは、ＣＰＵ１ａ、１ｂ間で通信が行われているときは、マスタＣＰＵ２は、他のＣＰＵ（即ち、ＣＰＵ１ｎ等）の通信を許可しない。

【0014】

なお、「通信セッション」は、この実施例では、通信ノード間で信号を伝送可能な状態を表す。すなわち、「ノードＸとノードＹとの間に通信セッションを設定する」は、ノードＸとノードＹとの間で信号を伝送できる状態を構成することを意味し、この場合、ノードＸ、Ｙ間でネゴシエーション等が行われる必要はない。例えば、「ＣＰＵ１ａとＣＰＵ１ｎとの間に通信セッションを設定する」は、マスタＣＰＵ２が、ＣＰＵ１ａとＣＰＵ１ｎとの間で信号を伝送できる状態を構成することを意味する。

【0015】

共通ストレージ３は、ＣＰＵ１ａ～１ｎに実装されるファームウェアＦＷａ～ＦＷｎを管理するために、更新データ保存領域３１および個別データ保存領域３２ａ～３２ｎを備える。各個別データ保存領域３２ａ～３２ｎには、対応するＣＰＵ１に実装されるファームウェアのバックアップおよびそのファームウェアの検証に係わるデータが保存される。例えば、個別データ保存領域３２ａには、ＣＰＵ１ａに実装されるファームウェアＦＷａのバックアップおよびＣＰＵ１ａに実装されているファームウェアの検証に係わるデータが保存される。なお、各個別データ保存領域３２ａ～３２ｎは、この実施例では、対応するＣＰＵ１からアクセスされないように構成されている。

【0016】

このように、プロセッサシステム１００は、ＣＰＵ１ａ～１ｎおよびマスタＣＰＵ２を備え、ＣＰＵ１ａ～１ｎがそれぞれ対応するファームウェアＦＷａ～ＦＷｎを実行する。このとき、マスタＣＰＵ２がＣＰＵ１ａ～１ｎの通信を制御する。

【0017】

＜ファームウェアの更新＞
図２～図５は、ＣＰＵ１に実装されるファームウェアを更新する手順の一例を示す。この例では、ＣＰＵ１ｎに実装されている不図示のファームウェアが更新される。なお、ＣＰＵ１に最初にファームウェアが書き込まれる際の手順も、図２～図５に示す更新手順と実質的に同じである。

【0018】

ＣＰＵ１（ここでは、ＣＰＵ１ｎ）は、メモリ１１およびチェックコード算出部１２を備える。メモリ１１は、ファームウェア格納領域１１Ｆを含む。ファームウェア格納領域１１Ｆは、ＣＰＵ１ｎに配布されるファームウェアＦＷｎを格納するための領域である。また、ファームウェア格納領域１１Ｆのサイズおよびメモリアドレスは予め決められている。チェックコード算出部１２は、後で詳しく説明するが、ファームウェア格納領域１１Ｆに格納されているファームウェアが正規のファームウェアであるか否かを検証するためのチェックコードを算出する。

【0019】

なお、図２～図５においては、ファームウェアから独立してチェックコード算出部１２が描かれているが、実際には、例えば、ファームウェアを構成する複数のセクションの中のいずれかにチェックコード算出部１２が実装される。この場合、ファームウェアが自身の正当性を証明する機能を含む。

【0020】

マスタＣＰＵ２は、乱数生成器２１、疑似データ書込み部２２、および検証部２３を備える。なお、マスタＣＰＵ２は、図２に示していない他の機能を備えてもよい。例えば、マスタＣＰＵ２は、ＣＰＵ１ａ～１ｎ間の通信セッションを生成および管理する機能を備える。

【0021】

乱数生成器２１は、疑似データ書込み部２２または検証部２３からの要求に応じて、所定長の乱数を生成する。疑似データ書込み部２２は、ＣＰＵ１ｎのファームウェア格納領域１１Ｆにファームウェアが書き込まれる際に、ファームウェア格納領域１１Ｆの空き領域に疑似データを書き込む。疑似データは、この実施例では、乱数生成器２１により生成される乱数である。検証部２３は、ＣＰＵ１ｎにおいて算出されるチェックコードに基づいて、ＣＰＵ１ｎのファームウェア格納領域１１Ｆに書き込まれているファームウェアを検証する。

【0022】

共通ストレージ３は、上述したように、更新データ保存領域３１および個別データ保存領域３２ａ～３２ｎを備える。なお、図２～図５においては、ＣＰＵ１ｎ以外のＣＰＵ１のための個別データ保存領域は省略されている。

【0023】

ＣＰＵ１ｎのファームウェアを更新する際には、図２に示すように、ＣＰＵ１ｎに実装すべきファームウェア（例えば、図１に示すファームウェアＦＷｎ）が共通ストレージ３の更新データ保存領域３１に書き込まれる。ファームウェアＦＷｎは、例えば、プロセッサシステム１００の運用者または管理書により作成され、マスタＣＰＵ２を介して共通ストレージ３の更新データ保存領域３１に書き込まれる。また、ファームウェアＦＷｎは、複数のセクションから構成されているものとする。この実施例では、ファームウェアＦＷｎは、セクション１～セクションｍから構成されている。

【0024】

続いて、マスタＣＰＵ２は、図３に示すように、更新データ保存領域３１からファームウェアＦＷｎを読み出してＣＰＵ１ｎのファームウェア格納領域１１Ｆに書き込む。ここで、ファームウェア格納領域１１Ｆのサイズは、ファームウェアＦＷｎのサイズより大きいものとする。よって、ファームウェア格納領域１１ＦにファームウェアＦＷｎが書き込まれたときに、ファームウェア格納領域１１Ｆ内に空き領域が残ることになる。なお、ファームウェアＦＷｎが複数のセクションから構成される場合、それら複数のセクションは必ずしも連続して格納される必要はなく、図３に示すように、セクション１～セクションｍが離散的に格納されてもよい。

【0025】

マスタＣＰＵ２は、ファームウェア格納領域１１Ｆ内に空き領域に残らないように、疑似データを生成してファームウェア格納領域１１Ｆに書き込む。ここで、ファームウェア格納領域１１Ｆのサイズは既知であり、また、マスタＣＰＵ２はファームウェアＦＷｎのサイズを検出できるものとする。よって、マスタＣＰＵ２は、ファームウェア格納領域１１ＦにファームウェアＦＷｎが書き込まれたときのファームウェア格納領域１１Ｆ内の空き領域のサイズを計算することができる。

【0026】

疑似データ書込み部２２は、乱数生成器２１から、ファームウェア格納領域１１Ｆ内の空き領域のサイズに相当するデータ量の乱数を取得する。そして、疑似データ書込み部２２は、乱数生成器２１から取得した乱数を、疑似データとして、ファームウェア格納領域１１Ｆ内に空き領域に書き込む。なお、図３において、ファームウェア格納領域１１Ｆ内の斜線領域は、疑似データが書き込まれた領域を表している。

【0027】

マスタＣＰＵ２は、図４に示すように、ＣＰＵ１ｎに対して、ファームウェアを検証する際に使用するチェックコードの算出を指示する。このとき、検証部２３は、検証用チャレンジデータを用意する。検証用チャレンジデータは、乱数生成器２１が生成する乱数により実現される。また、検証用チャレンジデータの長さは、ＣＰＵ１ｎにおいてチェックコードを算出するための関数に応じて決められているものとする。すなわち、検証部２３は、乱数生成器２１に所定長の乱数を生成させることで検証用チャレンジデータを取得する。そして、検証部２３は、チェックコード算出指示および検証用チャレンジデータをＣＰＵ１ｎに送信する。また、検証部２３は、この検証用チャレンジデータを、共通ストレージ３内の個別データ保存領域３２ｎに保存する。なお、ＣＰＵ１ｎは、個別データ保存領域３２ｎに保存されている検証用チャレンジデータにアクセスできないものとする。例えば、マスタＣＰＵ２は、ＣＰＵ１ｎから個別データ保存領域３２ｎへのアクセスを許可しないものとする。

【0028】

ＣＰＵ１ｎがマスタＣＰＵ２からチェックコード算出指示を受信すると、チェックコード算出部１２は、ファームウェアＦＷｎに対するチェックコードを生成する。チェックコードは、この実施例では、メッセージ認証符号（ＭＡＣ）を利用して算出される。具体的には、チェックコードは、ＨＭＡＣ（Hash-based MAC）関数を利用してＭＡＣ値を計算することで得られる。なお、ＨＭＡＣ関数は、その内部で使用するハッシュ関数は特に限定されるものではないが、例えば、ＳＨＡ－２５６でもよい。また、ＨＭＡＣ関数に限定されるものではなく、鍵付きハッシュ値を計算可能なものを使用できる。ただし、これらは、セキュリティ上の観点で望ましいとされるものを使用することが好ましい。

【0029】

チェックコード算出部１２は、検証用チャレンジデータおよびファームウェア格納領域１１Ｆ内の全データに対してＭＡＣ値を計算する。このとき、ＨＭＡＣ関数には、検証用チャレンジデータが鍵データとして、ファームウェア格納領域１１Ｆに格納されているデータがメッセージとして入力される。そして、チェックコード算出部１２は、計算結果を、ファームウェアＦＷｎに対する参照用チェックコードとして出力する。なお、以下の記載では、マスタＣＰＵ２によりＣＰＵ１ｎに書き込まれた正規のファームウェアに対して算出された参照チェックコードを「チェックコードＣ１」と表記することがある。チェックコードＣ１は、ＣＰＵ１ｎのメモリ１１に書き込まれたファームウェアを検証する際に、参照データまたは基準データとして使用される。

【0030】

ＣＰＵ１ｎは、図５に示すように、チェックコード算出部１２が算出したチェックコードＣ１をマスタＣＰＵ２に送信する。そうすると、マスタＣＰＵ２は、ＣＰＵ１ｎから受信したチェックコードＣ１を、ＣＰＵ１ｎに対して設けられている個別データ保存領域３２ｎに保存する。さらに、マスタＣＰＵ２は、更新データ保存領域３１に保存されているファームウェアＦＷｎ（即ち、ＣＰＵ１ｎに実装されたファームウェアＦＷｎ）を、バックアップデータとして、個別データ保存領域３２ｎに保存する。この後、マスタＣＰＵ２は、更新データ保存領域３１をクリアしてもよい。

【0031】

このように、ＣＰＵ１ｎのメモリ１１に正規のファームウェアが書き込まれると（或いは、ＣＰＵ１ｎのファームウェアが正規の手順で更新されると）、そのファームウェアを検証する際に使用される参照用チェックコードが算出されて共通ストレージ３に保存される。このとき、参照用チェックコードを算出するために使用された検証用チャレンジデータも、共通ストレージ３に保存される。この後、ＣＰＵ１ｎは、実装されたファームウェアに従って動作する。

【0032】

＜ファームウェアの検証＞
上述したように、各ＣＰＵ１（１ａ～１ｎ）に実装されているファームウェアは、必要に応じて更新され得る。ただし、プロセッサシステム１００がネットワーク２００に接続する場合、悪意のある攻撃者によりＣＰＵ１ａ～１ｎのファームウェアが不正に更新されるリスクがある。このため、プロセッサシステム１００は、ＣＰＵ１ａ～１ｎに実装されているファームウェアが正規のファームウェアであるか否かを検証する機能を備える。

【0033】

プロセッサシステム１００は、例えば、プロセッサシステム１００の外部からあるＣＰＵ１にアクセスがあったときに、そのＣＰＵ１のファームウェアが不正に更新された可能性があると推定する。そこで、プロセッサシステム１００は、プロセッサシステム１００の外部からあるＣＰＵ１にアクセスがあったときに、そのＣＰＵ１のファームウェアを検証してもよい。なお、この実施例では、プロセッサシステム１００の外部からＣＰＵ１へのアクセスは、常に、マスタＣＰＵ２を経由する。したがって、マスタＣＰＵ２は、プロセッサシステム１００の外部からいずれかのＣＰＵ１へのアクセスがあったときに、そのＣＰＵ１のファームウェアの検証を開始してもよい。或いは、プロセッサシステム１００は、定期的に、各ＣＰＵ１のファームウェアを検証してもよい。以下の記載では、ファームウェアの検証が実行されるＣＰＵ１を「検証対象ＣＰＵ」と呼ぶことがある。

【0034】

図６および図７は、ＣＰＵ１に実装されているファームウェアを検証する手順の一例を示す。この実施例では、図２～図５に示す手順により、ＣＰＵ１ｎのファームウェアが更新され、対応するチェックコードＣ１および検証用チャレンジデータが共通ストレージ３内の個別データ保存領域３２ｎに保存されているものとする。そして、プロセッサシステム１００は、ＣＰＵ１ｎのファームウェアを検証する。すなわち、ＣＰＵ１ｎが検証対象ＣＰＵである。

【0035】

ＣＰＵ１ｎのファームウェアを検証するときは、マスタＣＰＵ２は、図６において、ＣＰＵ１ｎにチェックコードの算出を指示する。このとき、マスタＣＰＵ２は、共通ストレージ３から検証用チャレンジデータを取得する。この検証用チャレンジデータは、図４を参照して説明したように、ＣＰＵ１ｎのファームウェアが正規に更新されたときにチェックコードを算出するために使用された所定長の乱数である。そして、マスタＣＰＵ２は、チェックコードの算出指示と共に、チェックコードを算出するために使用するパラメータとして、共通ストレージ３から取得した検証用チャレンジデータを検証対象ＣＰＵ（すなわち、ＣＰＵ１ｎ）に送信する。

【0036】

ＣＰＵ１ｎは、チェックコードの算出指示を受け取ると、ＣＰＵ１ｎのメモリ１１に格納されているファームウェアのチェックコードを算出する。チェックコードの算出は、ファームウェアの更新時の手順と実質的に同じである。すなわち、ＣＰＵ１ｎにおいて、チェックコード算出部１２は、検証用チャレンジデータおよびファームウェア格納領域１１Ｆ内の全データをＨＭＡＣ関数に与えることによりＭＡＣ値を計算する。そして、チェックコード算出部１２は、計算結果を、ファームウェアＦＷｎに対する検証用チェックコードとして出力する。この後、ＣＰＵ１ｎは、図７に示すように、ＨＭＡＣ関数の計算結果を表す検証用チェックコードをマスタＣＰＵ２に送信する。なお、以下の記載では、ＣＰＵ１ｎのファームウェアを検証するために算出された検証用チェックコードを「チェックコードＣ２」と表記することがある。

【0037】

マスタＣＰＵ２は、検証対象ＣＰＵから検証用チェックコードを受け取ると、検証対象ＣＰＵのファームウェアが不正に更新されてないかを検証する。具体的には、検証部２３は、共通ストレージ３からチェックコードＣ１を取得する。チェックコードＣ１は、ＣＰＵ１ｎのファームウェアが正規に更新されたときに、ファームウェア格納領域１１Ｆ内の全データに対して計算されたＭＡＣ値である。つづいて、検証部２３は、共通ストレージ３から取得したチェックコードＣ１とＣＰＵ１ｎから新たに受け取ったチェックコードＣ２とを比較する。すなわち、参照用チェックコードと検証用チェックコードとが比較される。そして、チェックコードＣ１およびチェックコードＣ２が互いに一致していれば、検証部２３は、ＣＰＵ１ｎのメモリ１１に正規のファームウェアが格納されていると判定する。

【0038】

これに対して、チェックコードＣ１およびチェックコードＣ２が互いに一致していないときには、検証部２３は、ＣＰＵ１ｎのファームウェアが不正に更新された可能性があると判定する。この場合、マスタＣＰＵ２は、共通ストレージ３内の個別データ保存領域３２ｎに保存されているファームウェアＦＷｎを更新データ保存領域３１にコピーし、ＣＰＵ１ｎに対してファームウェア更新処理を実行する。これにより、ＣＰＵ１ｎのファームウェアが正規のファームウェアに再更新（すなわち、ロールバック）される。なお、検証対象ＣＰＵのファームウェアを再更新する際には、図２～図５に示す手順が実行されることが好ましい。この場合、新たな検証用チャレンジデータおよび新たな参照用チェックコードが共通ストレージ３に保存される。

【0039】

このように、本発明の実施形態に係わるプロセッサシステム１００においては、検証対象ＣＰＵのファームウェアの検証は、検証用チェックコードを算出する処理および算出した検証用チェックコードと参照用チェックコードとを比較する処理により実現される。ここで、チェックコードを算出する処理は、使用する関数にも依存するが、演算リソースの負荷が大きい。例えば、ＨＭＡＣ関数を利用してＭＡＣ値を計算する処理の演算量は大きい。ところが、チェックコードを算出する処理は、検証対象ＣＰＵ自身によって実行される。したがって、ファームウェアの検証に際して、検証対象ＣＰＵ以外のＣＰＵの演算リソースの使用量は小さい。よって、検証対象ＣＰＵ以外のＣＰＵは、本来の処理を遅延なく実行できる。

【0040】

なお、不正更新の可能性がある検証対象ＣＰＵは、自身の担う機能が遅延するリスクがあるが、そのリスクを検証対象ＣＰＵ内に限定させることができる。これにより、その対策をシステム設計に組み込むことが可能となる。対策としては、以下の例が挙げられる。
（１）検証対象ＣＰＵの処理を他のＣＰＵが肩代わりする。
（２）いずれのＣＰＵにおいても外部と通信した直後の一定時間、一時停止または縮退運転を行うなどのシステム設計（制約）を採用し、機器としての遅延を防止／緩和するよう各ＣＰＵに機能を割り振る（処理タイミングの制御やスケジューリング）。
（３）遅延が許されない機能はファームウェア更新の対象外とし、保守時のみ通信可能とするなどのシステム設計を採用する。

【0041】

また、本発明の実施形態では、各ＣＰＵ１のファームウェア格納領域１１Ｆにおいて、ファームウェアが格納されない領域には疑似データが書き込まれる。すなわち、ファームウェア格納領域１１Ｆ内に未使用領域が存在しない。このため、検知されないようにファームウェアを不正に書き換えることは困難である。

【0042】

例えば、メモリの未使用領域には、通常、既知の値（０ｘｆｆまたは０ｘ００など）が書き込まれている。この場合、未使用領域の一部に不正な情報を書き込むと共に、ファームウェアの検証時に上述した既知の値をＨＭＡＣ関数に与えるコマンドを設定すれば、攻撃者は、ファームウェアに不正な動作を行わせることができる。ところが、本発明の実施形態では、ファームウェア格納領域１１Ｆ内の空き領域には疑似データが書き込まれており、未使用領域は存在しない。そして、検知されないようにファームウェアを不正に書き換えるためには、攻撃者は、疑似データを再生する必要があるので、上述のような攻撃は困難である。

【0043】

なお、ファームウェア格納領域１１Ｆの空き領域に疑似データが書き込まれている場合であっても、ファームウェア格納領域１１Ｆ内の全てのデータを取得すれば、攻撃者は、検知されないようにファームウェアを不正に書き換えることは可能である。ただし、本発明の実施形態では、検証用チャレンジデータを利用してチェックコードが算出される。そして、この検証用チャレンジデータは、検証対象ＣＰＵからアクセスできない領域に保存されている。したがって、攻撃者は、検証用チャレンジデータを容易に取得することはできず、チェックコードを再現できないので、検知されないようにファームウェアを不正に書き換えることはできない。

【0044】

図８は、ファームウェアを更新する処理の一例を示すフローチャートである。このフローチャートの処理は、例えば、共通ストレージ３内の更新データ保存領域３１に新たなファームウェアが保存されたときに、マスタＣＰＵ２により実行される。なお、以下の記載では、ファームウェアが更新されるＣＰＵ１を「更新対象ＣＰＵ」と呼ぶことがある。また、ファームウェアの「更新」は、メモリにファームウェアを書き込むことを含むものとする。

【0045】

Ｓ１において、マスタＣＰＵ２は、更新対象ＣＰＵのファームウェアを更新する。Ｓ２において、疑似データ書込み部２２は、更新対象ＣＰＵのファームウェア格納領域１１Ｆの空き領域に疑似データを書き込む。

【0046】

Ｓ３において、検証部２３は、乱数生成器２１を用いて、検証用チャレンジデータを生成する。Ｓ４において、検証部２３は、更新対象ＣＰＵに対して、更新後のファームウェアに対応するチェックコードの算出を指示する。このとき、検証部２３は、チェックコードを算出するためのパラメータとして、Ｓ３で生成した検証用チャレンジデータを更新対象ＣＰＵに送信する。なお、更新対象ＣＰＵは、算出指示に応じて、検証用チャレンジデータを利用して更新後のファームウェアに対応する参照用チェックコード（即ち、チェックコードＣ１）を算出する。Ｓ５において、検証部２３は、Ｓ３で生成した検証用チャレンジデータを、共通ストレージ３内の更新対象ＣＰＵに対応する個別データ保存領域に保存する。

【0047】

Ｓ６において、マスタＣＰＵ２は、更新対象ＣＰＵにより算出された参照用チェックコードを取得する。そして、Ｓ７において、マスタＣＰＵ２は、更新対象ＣＰＵにより算出された参照用チェックコードを、共通ストレージ３内の更新対象ＣＰＵに対応する個別データ保存領域に保存する。

【0048】

図９は、ファームウェアを検証する処理の一例を示すフローチャートである。このフローチャートの処理は、例えば、プロセッサシステム１００の外部からあるＣＰＵ１にアクセスがあったときに、マスタＣＰＵ２により実行される。なお、共通ストレージ３には、図８に示す手順により、検証用チャレンジデータおよび正規のファームウェアに対応する参照用チェックコード（即ち、チェックコードＣ１）が保存されているものとする。

【0049】

Ｓ１１において、検証部２３は、共通ストレージ３から検証用チャレンジデータを取得する。Ｓ１２において、検証部２３は、検証対象ＣＰＵに対して、チェックコードの算出を指示する。ここで、Ｓ１２の処理は、図８を参照して説明したＳ４と実質的に同じである。すなわち、検証部２３は、チェックコードを算出するためのパラメータとして、Ｓ１１で取得した検証用チャレンジデータを検証対象ＣＰＵに送信する。なお、検証対象ＣＰＵは、算出指示を受け取ると、検証用チャレンジデータを利用して、ファームウェア格納領域１１Ｆの全データに対応する検証用チェックコード（即ち、チェックコードＣ２）を算出する。

【0050】

Ｓ１３において、検証部２３は、共通ストレージ３から、正規のファームウェアに対応する参照用チェックコードを取得する。Ｓ１４において、検証部２３は、検証対象ＣＰＵから、検証用チェックコードを取得する。そして、検証部２３は、Ｓ１５において、参照用チェックコードと検証用チェックコードとを比較する。

【0051】

この結果、参照用チェックコードと検証用チェックコードとが互いに同じであれば、検証部２３は、検証対象ＣＰＵに正規のファームウェアが実装されていると判定する。これに対して、参照用チェックコードと検証用チェックコードとが互いに同じでないときは、検証部２３は、検証対象ＣＰＵに不正なファームウェアが実装されている可能性があると判定する。この場合、マスタＣＰＵ２は、検証対象ＣＰＵのファームウェアをロールバックする。

【0052】

＜他の実施形態＞
図２～図９に示す実施形態では、検証対象ＣＰＵがチェックコードを算出し、マスタＣＰＵ２がそのチェックコードを利用して検証対象ＣＰＵに実装されているファームウェアを検証する。ところが、図１に示すシステム構成においては、マスタＣＰＵ２に障害が発生すると、プロセッサシステム１００全体の動作に影響が及ぶことになる。したがって、この問題を考慮すると、マスタＣＰＵ２は、ＣＰＵ１ａ～１ｎ間の通信を制御する機能等の基本的な機能のみを提供するように構成されていることが好ましい。そこで、本発明の他の実施形態では、ＣＰＵ１ａ～１ｎのうちのいずれかのＣＰＵ１がファームウェアを検証する。ただし、この場合であっても、演算量の大きいチェックコード算出処理は、検証対象ＣＰＵ自体が行う。

【0053】

他の実施形態においては、ＣＰＵ１ａ～１ｎのうちの２以上のＣＰＵに、図２～図７に示す疑似データ書込み部２２および検証部２３が実装される。以下の記載では、少なくともＣＰＵ１ａに疑似データ書込み部２２および検証部２３が実装されるものとする。ただし、乱数生成器２１は、マスタＣＰＵ２に実装される。

【0054】

図１０は、他の実施形態においてファームウェアを更新する手順を示す。この実施例では、ＣＰＵ１ａが、ファームウェアの更新処理を実行する作業ＣＰＵとして動作する。そして、ＣＰＵ１ｎ（すなわち、更新対象ＣＰＵ）のファームウェアが更新される。

【0055】

更新用ファームウェアとしてファームウェアＦＷｎが更新データ保存領域３１に保存されると、マスタＣＰＵ２は、更新対象ＣＰＵのファームウェア格納領域１１Ｆをクリアする。また、マスタＣＰＵ２は、更新対象ＣＰＵのファームウェアの更新に係わる権限を作業ＣＰＵに付与する。さらに、マスタＣＰＵ２は、疑似データとして使用される乱数を生成し、共通ストレージ３の所定の領域に保存する。

【0056】

作業ＣＰＵは、更新対象ＣＰＵのファームウェア格納領域１１Ｆに、ファームウェアＦＷｎおよび疑似データを書き込む。この後、マスタＣＰＵ２は、更新対象ＣＰＵを再起動する。

【0057】

マスタＣＰＵ２は、検証用チャレンジデータとして使用される乱数を生成する。検証用チャレンジデータは、マスタＣＰＵ２により、共通ストレージ３において更新対象ＣＰＵに対して設けられている個別データ保存領域に保存される。

【0058】

作業ＣＰＵは、共通ストレージ３から検証用チャレンジデータを取得する。そして、作業ＣＰＵは、チェックコード算出指示および検証用チャレンジデータを更新対象ＣＰＵに送信する。

【0059】

更新対象ＣＰＵは、チェックコード算出指示に応じて参照用チェックコード（即ち、チェックコードＣ１）を算出する。参照用チェックコードは、検証用チャレンジデータおよびファームウェア格納領域１１Ｆ内の全データに対して算出される。そして、更新対象ＣＰＵは、算出した参照用チェックコードをマスタＣＰＵ２に送信する。そうすると、マスタＣＰＵ２は、共通ストレージ３において更新対象ＣＰＵに対して設けられている個別データ保存領域に参照用チェックコードを保存する。

【0060】

図１１は、他の実施形態においてファームウェアを検証する手順を示す。なお、図１０に示す手順により、検証対象ＣＰＵに対して設けられている個別データ保存領域に、検証用チャレンジデータおよび参照用チェックコードが保存されているものとする。

【0061】

マスタＣＰＵ２は、検証対象ＣＰＵのファームウェアの検証に係わる権限を作業ＣＰＵに付与する。そうすると、作業ＣＰＵは、検証対象ＣＰＵに対して設けられている個別データ保存領域から検証用チャレンジデータを取得する。そして、作業ＣＰＵは、チェックコード算出指示および検証用チャレンジデータを検証対象ＣＰＵに送信する。

【0062】

検証対象ＣＰＵは、チェックコード算出指示に応じて検証用チェックコード（即ち、チェックコードＣ２）を算出する。検証用チェックコードは、参照用チェックコードと同様に、検証用チャレンジデータおよびファームウェア格納領域１１Ｆ内の全データに対して算出される。そして、検証対象ＣＰＵは、算出した検証用チェックコードを作業ＣＰＵに送信する。

【0063】

作業ＣＰＵは、検証対象ＣＰＵに対して設けられている個別データ保存領域から参照用チェックコードを取得する。そして、作業ＣＰＵは、参照用チェックコードと検証用チェックコードとを比較し、その比較結果をマスタＣＰＵ２に報告する。このとき、参照用チェックコードと検証用チェックコードとが互いに同じでなければ、作業ＣＰＵは、検証対象ＣＰＵのファームウェアをロールバックする。

【0064】

このように、他の実施形態においては、ＣＰＵ１ａ～１ｎのうちの検証対象ＣＰＵ以外のＣＰＵ１が、検証対象ＣＰＵに実装されているファームウェアを検証する。ただし、この構成においても、チェックコードの算出は、検証対象ＣＰＵ自身により実行される。したがって、他の実施形態においても、検証対象ＣＰＵ以外のＣＰＵ１は、本来の処理を遅延なく実行できる。なお、ファームウェア格納領域１１Ｆの空き領域に疑似データを書き込むことによる効果、及び、チェックコードの算出において検証用チャレンジデータを使用することの効果は、図２～図９に示す実施形態および図１０～図１１に示す他の実施形態において実質的に同じである。

【符号の説明】

【0065】

１（１ａ～１ｎ） ＣＰＵ
２ マスタＣＰＵ
３ 共通ストレージ
１１ メモリ
１１Ｆ ファームウェア格納領域
１２ チェックコード算出部
２１ 乱数生成器
２２ 疑似データ書込み部
２３ 検証部
３１ 更新データ保存領域
３２ａ～３２ｎ 個別データ保存領域
１００ プロセッサシステム

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】