特開 2024-69147 プロセッサシステム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024069147

(43)【公開日】2024-05-21

(54)【発明の名称】プロセッサシステム

(51)【国際特許分類】

   G06F 21/57 20130101AFI20240514BHJP

   G06F 21/64 20130101ALI20240514BHJP

   G06F 9/54 20060101ALI20240514BHJP

【ＦＩ】

G06F21/57 320

G06F21/64

G06F9/54 A

【審査請求】未請求

【請求項の数】13

【出願形態】ＯＬ

(21)【出願番号】P 2023176455

(22)【出願日】2023-10-12

(31)【優先権主張番号】P 2022179526

(32)【優先日】2022-11-09

(33)【優先権主張国・地域又は機関】JP

(31)【優先権主張番号】P 2023046187

(32)【優先日】2023-03-23

(33)【優先権主張国・地域又は機関】JP

(71)【出願人】

【識別番号】000005234

【氏名又は名称】富士電機株式会社

(74)【代理人】

【識別番号】110004185

【氏名又は名称】インフォート弁理士法人

(72)【発明者】

【氏名】高務 健二

(72)【発明者】

【氏名】佐田 康文

(57)【要約】

【課題】複数のプロセッサを備えるプロセッサシステムにおいて、いずれかのプロセッサに不正なファームウェアが書き込まれたときに、その影響を回避または緩和する。
【解決手段】プロセッサシステムは、複数のプロセッサおよび複数のプロセッサの通信を制御するマスタプロセッサを備える。複数のプロセッサの通信がマスタプロセッサを介して行われる。マスタプロセッサは、同時に複数の通信セッションを設定しない単一セッション方式で複数のプロセッサの通信を制御する。複数のプロセッサの中の第１のプロセッサに係わる通信セッションが終了したときに、マスタプロセッサは、第１のプロセッサに係わる通信セッションが終了したことを、複数のプロセッサの中の第２のプロセッサに通知する。第２のプロセッサは、第１のプロセッサのファームウェアが正規のファームウェアであるか否かを検証する。
【選択図】図５

【特許請求の範囲】

【請求項1】

複数のプロセッサおよび前記複数のプロセッサの通信を制御するマスタプロセッサを備えるプロセッサシステムであって、
前記複数のプロセッサの通信が前記マスタプロセッサを介して行われる構成であり、
前記マスタプロセッサは、同時に複数の通信セッションを設定しない単一セッション方式で前記複数のプロセッサの通信を制御する構成であり、
前記複数のプロセッサの中の第１のプロセッサに係わる通信セッションが終了したときに、前記マスタプロセッサは、前記第１のプロセッサに係わる通信セッションが終了したことを、前記複数のプロセッサの中の第２のプロセッサに通知し、
前記第２のプロセッサは、前記第１のプロセッサのファームウェアが正規のファームウェアであるか否かを検証する
ことを特徴とするプロセッサシステム。

【請求項2】

前記第２のプロセッサが前記第１のプロセッサのファームウェアを検証するときは、前記マスタプロセッサは、前記第１のプロセッサと前記第２のプロセッサとの間に通信セッションを設定する
ことを特徴とする請求項１に記載のプロセッサシステム。

【請求項3】

前記第２のプロセッサは、前記第１のプロセッサのファームウェアが正規のファームウェアであると判定したときは、前記第１のプロセッサのファームウェアが正規のファームウェアであることを表す検証結果を前記第１のプロセッサに通知し、
前記第１のプロセッサは、前記検証結果に応じて、自分のファームウェアのバックアップを、前記複数のプロセッサにより共用されるストレージに保存する
ことを特徴とする請求項１に記載のプロセッサシステム。

【請求項4】

前記第２のプロセッサは、前記第１のプロセッサのファームウェアが正規のファームウェアであるか否かを表す検証結果を前記マスタプロセッサに通知する
ことを特徴とする請求項１に記載のプロセッサシステム。

【請求項5】

前記複数のプロセッサにそれぞれ実装されるファームウェアのバックアップが当該プロセッサシステム内に保存されており、
前記第１のプロセッサのファームウェアが正規のファームウェアでないと判定されたときに、前記第２のプロセッサまたは前記検証結果に応じて前記マスタプロセッサにより指定される第３のプロセッサは、当該プロセッサシステム内に保存されている前記第１のプロセッサのファームウェアのバックアップを、前記第１のプロセッサに実装されているファームウェアに対して上書きする
ことを特徴とする請求項４に記載のプロセッサシステム。

【請求項6】

前記マスタプロセッサは、前記第１のプロセッサのファームウェアが正規のファームウェアでないことを表す検証結果を前記第２のプロセッサから受信すると、前記第２のプロセッサまたは前記第３のプロセッサから前記第１のプロセッサに信号を送信するための通信セッションを設定する
ことを特徴とする請求項５に記載のプロセッサシステム。

【請求項7】

前記複数のプロセッサにそれぞれ実装されるファームウェアのバックアップが当該プロセッサシステム内に保存されており、
前記マスタプロセッサは、前記第１のプロセッサのファームウェアが正規のファームウェアでないことを表す検証結果を受け取ると、当該プロセッサシステム内に保存されている前記第１のプロセッサのファームウェアのバックアップを、前記第１のプロセッサに実装されているファームウェアに対して上書きする
ことを特徴とする請求項４に記載のプロセッサシステム。

【請求項8】

前記第１のプロセッサのファームウェアが正規のファームウェアでないと判定されたときに、前記第２のプロセッサまたは前記検証結果に応じて前記マスタプロセッサにより指定される第３のプロセッサは、正規のファームウェアでないと判定された前記ファームウェアを前記複数のプロセッサから隔離された状態で保存する
ことを特徴とする請求項４に記載のプロセッサシステム。

【請求項9】

前記マスタプロセッサは、前記第１のプロセッサのファームウェアが正規のファームウェアでないことを表す検証結果を受け取ると、正規のファームウェアでないと判定された前記ファームウェアを前記複数のプロセッサから隔離された状態で保存する
ことを特徴とする請求項４に記載のプロセッサシステム。

【請求項10】

複数のプロセッサおよび前記複数のプロセッサの通信を制御するマスタプロセッサを備えるプロセッサシステムであって、
当該プロセッサシステムの外部に設けられる情報処理装置により、前記複数のプロセッサの中の第１のプロセッサの内部データが変更されたときに、前記マスタプロセッサは、前記情報処理装置と前記複数のプロセッサの中の第２のプロセッサとの間に通信コネクションを確立し、
前記第２のプロセッサは、前記第１のプロセッサの内部データの変更内容を表す変更履歴および前記変更履歴に対する署名を前記情報処理装置から受信し、
前記第２のプロセッサは、前記署名を検証することで、前記第１のプロセッサの内部データが正規の変更要求者により変更されたか否かを判定する
ことを特徴とするプロセッサシステム。

【請求項11】

前記複数のプロセッサそれぞれの内部データのバックアップを保存する共通ストレージをさらに備え、
前記署名の検証が成功したときに、前記第２のプロセッサは、前記共通ストレージに保存されている前記第１のプロセッサの内部データのバックアップを前記変更履歴に基づいて更新する
ことを特徴とする請求項１０に記載のプロセッサシステム。

【請求項12】

前記署名の検証が成功したときに、前記第２のプロセッサは、前記第１のプロセッサの内部データと前記第１のプロセッサの内部データのバックアップとを比較する
ことを特徴とする請求項１１に記載のプロセッサシステム。

【請求項13】

前記第１のプロセッサの内部データと前記第１のプロセッサの内部データのバックアップとが異なるときは、前記第２のプロセッサは、前記第１のプロセッサの内部データのバックアップを、前記第１のプロセッサの内部データに対して上書きする
ことを特徴とする請求項１２に記載のプロセッサシステム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、各プロセッサにファームウェアが実装されるプロセッサシステムに係わる。

【背景技術】

【0002】

従来から、複数のプロセッサが連携して処理を実行するプロセッサシステムにおいて、各プロセッサにファームウェアを実装する構成が実用化されている。この場合、プロセッサシステムは、各プロセッサのファームウェアを更新できるように構成されていることが好ましい。

【0003】

ただし、各プロセッサのファームウェアを更新可能な構成においては、攻撃者により、１または複数のプロセッサに対して不正なファームウェアが書き込まれるおそれがある。このため、不正なファームウェアの書込みに対する対策が提案されている。

【0004】

例えば、特許文献１に記載される機器は、複数の制御部と、外部の管理装置から複数の制御部にファームウェアをダウンロードするための通信部を備える。複数の制御部のうちの第１の制御部は、他の制御部に対して所定の通信を行うことにより、所定の通信に対する応答の有無によって他の制御部の異常を判定する異常判定部を備える。そして、この異常判定部は、他の制御部がファームウェアを更新しているファームウェア更新期間において、他の制御部に対する異常判定を無効とする。この構成により、適切な異常判定が可能になる。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】特開２０２０－１３３９５８号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

上述したように、複数のプロセッサにそれぞれファームウェアが実装される構成において、不正なファームウェアの書込みを監視する方法が提案されている。ただし、従来技術では、不正なファームウェアが書き込まれてしまうと、相互監視による異常判定を行う時点で不正なファームウェアが動作してしまうことがある。そして、この場合、相互監視による異常判定が機能しないことがある。

【0007】

本発明の１つの側面に係わる目的は、複数のプロセッサを備えるプロセッサシステムにおいて、いずれかのプロセッサに不正なファームウェアが書き込まれたときに、その影響を回避または緩和することである。

【課題を解決するための手段】

【0008】

本発明の１つの態様のプロセッサシステムは、複数のプロセッサおよび前記複数のプロセッサの通信を制御するマスタプロセッサを備える。このプロセッサシステムは、前記複数のプロセッサの通信が前記マスタプロセッサを介して行われる構成であり、また、前記マスタプロセッサは、同時に複数の通信セッションを設定しない単一セッション方式で前記複数のプロセッサの通信を制御する構成である。前記複数のプロセッサの中の第１のプロセッサに係わる通信セッションが終了したときに、前記マスタプロセッサは、前記第１のプロセッサに係わる通信セッションが終了したことを、前記複数のプロセッサの中の第２のプロセッサに通知する。前記第２のプロセッサは、前記第１のプロセッサのファームウェアが正規のファームウェアであるか否かを検証する。

【0009】

また、本発明の他の態様のプロセッサシステムは、複数のプロセッサおよび前記複数のプロセッサの通信を制御するマスタプロセッサを備える。このプロセッサシステムは、当該プロセッサシステムの外部に設けられる情報処理装置により、前記複数のプロセッサの中の第１のプロセッサの内部データが変更されたときに、前記マスタプロセッサは、前記情報処理装置と前記複数のプロセッサの中の第２のプロセッサとの間に通信コネクションを確立し、前記第２のプロセッサは、前記第１のプロセッサの内部データの変更内容を表す変更履歴および前記変更履歴に対する署名を前記情報処理装置から受信し、前記第２のプロセッサは、前記署名を検証することで、前記第１のプロセッサの内部データが正規の変更要求者により変更されたか否かを判定する。

【発明の効果】

【0010】

上述の態様によれば、複数のプロセッサを備えるプロセッサシステムにおいて、いずれかのプロセッサに不正なファームウェアが書き込まれたときに、その影響を回避または緩和できる。

【図面の簡単な説明】

【0011】

【図1】本発明の実施形態に係わるプロセッサシステムの一例を示す図である。

【図2】ＣＰＵに実装されているファームウェアの更新の一例を示す図である。

【図3】ファームウェアを更新するシーケンスの一例を示す図である。

【図4】不正なファームウェアが書き込まれるケースの一例を示す図である。

【図5】不正なファームウェアを検出するシーケンスの一例を示す図である。

【図6】不正なファームウェアの検出時に行われるロールバック処理の一例を示す図である。

【図7】図６に示すロールバック処理に対応するシーケンスを示す図である。

【図8】不正なファームウェアの検出時に行われるロールバック処理の他の例を示す図である。

【図9】図８に示すロールバック処理に対応するシーケンスを示す図である。

【図10】検疫機能を提供するプロセッサシステムの一例を示す図である。

【図11】不正なファームウェアの検出時に行われる検疫処理の一例を示す図である。

【図12】図１１に示す検疫処理に対応するシーケンスを示す図である。

【図13】不正なファームウェアの検出時に行われる検疫処理の他の例を示す図である。

【図14】図１３に示す検疫処理に対応するシーケンスを示す図である。

【図15】本発明の実施形態のバリエーションに係わるプロセッサシステムの一例を示す図である。

【図16】正規の変更要求者がＣＰＵの内部データを変更するときのプロセッサシステムのシーケンスの一例を示す図である。

【図17】ＣＰＵの内部データの変更を検証する手順の一例を示す図である。

【図18】変更履歴の作成後に内部データがさらに変更されるケースでのプロセッサシステムのシーケンスの一例を示す図である。

【図19】検証ＣＰＵが変更履歴の署名および変更された内部データを検証しているときに内部データがさらに変更されるケースでのプロセッサシステムのシーケンスの一例を示す図である。

【図20】不正な変更要求者がＣＰＵの内部データを変更するときのプロセッサシステムのシーケンスの一例を示す図である。

【図21】攻撃者によりＣＰＵの内部データが不正に変更されるケースの一例を示す図である。

【発明を実施するための形態】

【0012】

図１は、本発明の実施形態に係わるプロセッサシステムの一例を示す。本発明の実施形態に係わるプロセッサシステム１０は、複数のＣＰＵ１（１ａ～１ｎ）、マスタＣＰＵ２、および共通ストレージ３を備える。ただし、プロセッサシステム１０は、図１に示していない他の機能、回路、またはデバイスを備えてもよい。なお、複数のＣＰＵ１ａ～１ｎは、プロセッサシステム１０を構成する「複数のプロセッサ」に相当する。また、マスタＣＰＵ２は、複数のプロセッサの通信を制御する「マスタプロセッサ」に相当する。

【0013】

各ＣＰＵ１は、プロセッサ素子およびメモリを備える。メモリには、ファームウェアが実装される。この実施例では、ＣＰＵ１ａ～１ｎに対してそれぞれファームウェアＦＷａ～ＦＷｎが実装されている。そして、各ＣＰＵ１は、実装されているファームウェアを実行することで対応する機能を提供する。なお、ＣＰＵ１ａ～１ｎは、同一の装置内に設けられてもよいし、異なる装置に設けられてもよい。

【0014】

マスタＣＰＵ２は、ＣＰＵ１ａ～１ｎの通信を制御する。具体的には、マスタＣＰＵ２は、プロセッサシステム１０内でＣＰＵ１ａ～１ｎ間の通信を制御する。このとき、ＣＰＵ１ａ～１ｎの通信は、マスタＣＰＵ２を介して行われる。なお、図１に示す例では、マスタＣＰＵ２と各ＣＰＵ１ａ～１ｎとが直接的に接続されているが、本発明の実施形態はこの構成に限定されるものではない。例えば、マスタＣＰＵ２および各ＣＰＵ１ａ～１ｎがバスまたはネットワークに接続される構成であってもよい。ただし、このような構成であっても、ＣＰＵ１から送信されるパケットは、マスタＣＰＵ２によって宛先に転送される。

【0015】

また、マスタＣＰＵ２は、プロセッサシステム１０の外部に設けられる通信機器とＣＰＵ１ａ～１ｎとの間の通信を制御する。すなわち、マスタＣＰＵ２は、ネットワーク２０に接続するためのインタフェースを備える。

【0016】

さらに、マスタＣＰＵ２は、同時に複数の通信セッションを設定しない単一セッション方式で、ＣＰＵ１ａ～１ｎの通信を制御する。すなわち、プロセッサシステム１０においては、同時に複数の通信セッションが設定されることはない。したがって、例えば、外部の通信機器とＣＰＵ１ｎとの間で通信が行われているときは、マスタＣＰＵ２は、他のＣＰＵ（即ち、ＣＰＵ１ａ、１ｂ等）の通信を許可しない。或いは、ＣＰＵ１ａ、１ｂ間で通信が行われているときは、マスタＣＰＵ２は、他のＣＰＵ（即ち、ＣＰＵ１ｎ等）の通信を許可しない。

【0017】

なお、「通信セッション」は、この実施例では、通信ノード間で信号を伝送可能な状態を表す。すなわち、「ノードＸとノードＹとの間に通信セッションを設定する」は、ノードＸとノードＹとの間で信号を伝送できる状態を構成することを意味し、この場合、ノードＸ、Ｙ間でネゴシエーション等が行われる必要はない。例えば、「ＣＰＵ１ａとＣＰＵ１ｎとの間に通信セッションを設定する」は、マスタＣＰＵ２が、ＣＰＵ１ａとＣＰＵ１ｎとの間で信号を伝送できる状態を構成することを意味する。

【0018】

共通ストレージ３には、ＣＰＵ１ａ～１ｎに実装されるファームウェアのバックアップが保存される。よって、この実施例では、共通ストレージ３にファームウェアＦＷａ～ＦＷｎのバックアップが保存されている。なお、各ＣＰＵ１ａ～１ｎは、マスタＣＰＵ２を介して共通ストレージ３にアクセスできる。すなわち、各ＣＰＵ１ａ～１ｎは、マスタＣＰＵ２により許可されたときは、共通ストレージ３から所望のファームウェアＦＷａ～ＦＷｎのバックアップを取得できる。

【0019】

このように、プロセッサシステム１０は、ＣＰＵ１ａ～１ｎおよびマスタＣＰＵ２を備え、ＣＰＵ１ａ～１ｎがそれぞれ対応するファームウェアＦＷａ～ＦＷｎを実行する。このとき、マスタＣＰＵ２がＣＰＵ１ａ～１ｎの通信を制御する。

【0020】

＜不正なファームウェアの検出＞
図２は、ＣＰＵ１に実装されているファームウェアの更新の一例を示す。この実施例では、情報処理装置３０が、ＣＰＵ１ｎに実装されているファームウェアＦＷｎをファームウェアＦＷｎ２に更新する。このとき、マスタＣＰＵ２は、情報処理装置３０からの要求に応じて、情報処理装置３０とＣＰＵ１ｎとの間に通信セッションを設定する。即ち、マスタＣＰＵ２は、情報処理装置３０からＣＰＵ１ｎへのファームウェアの書込みを許可する。また、情報処理装置３０とＣＰＵ１ｎとの間に通信セッションが設定されている期間は、マスタＣＰＵ２は、ＣＰＵ１ｎ以外のＣＰＵ１（１ａ、１ｂ、・・・）の通信を禁止する。即ち、情報処理装置３０は、ＣＰＵ１ｎにファームウェアを書き込むときに、ＣＰＵ１ｎ以外のＣＰＵ１（１ａ、１ｂ、・・・）にファームウェアを書き込むことはできない。

【0021】

なお、ＣＰＵ１ａ～１ｎに実装されているファームウェアは、更新可能に構成されている。すなわち、各ＣＰＵ１ａ～１ｎにおいて、ファームウェアを保存するメモリ領域は、常時、書込み可能な状態になっている。よって、各ＣＰＵ１ａ～１ｎに実装されているファームウェアは、外部装置（図２では、情報処理装置３０）または他のＣＰＵ１からの書込みにより更新されることになる。

【0022】

図３は、ファームウェアを更新するシーケンスの一例を示す。尚、このシーケンスは、図２に示す実施例に対応する。また、情報処理装置３０からの要求に応じて、マスタＣＰＵ２により、情報処理装置３０とＣＰＵ１ｎとの間に通信セッションが設定されるものとする。

【0023】

情報処理装置３０は、ＣＰＵ１ｎに実装すべき新たなファームウェア（ここでは、ファームウェアＦＷｎ２）をＣＰＵ１ｎに送信する。このとき、情報処理装置３０は、ファームウェアＦＷｎ２と共に書込み命令または更新命令を送信してもよい。そうすると、ＣＰＵ１ｎのファームウェアは、ファームウェアＦＷｎからファームウェアＦＷｎ２に更新される。この後、マスタＣＰＵ２は、情報処理装置３０とＣＰＵ１ｎとの間の通信セッションを終了させる。

【0024】

マスタＣＰＵ２は、情報処理装置３０とＣＰＵ１ｎとの間の通信セッションを終了させると、検証部４を備えるＣＰＵ１に検証依頼を送信する。この実施例では、図２に示すように、ＣＰＵ１ａが検証部４を備えている。よって、マスタＣＰＵ２は、ＣＰＵ１ａに検証依頼を送信する。

【0025】

検証依頼は、検証部４に対して、完了した通信セッションに係わるＣＰＵ１に実装されているファームウェアが正規のファームウェアであるか否かを判定する検証処理を依頼する。よって、検証依頼は、完了した通信セッションに係わるＣＰＵ１を識別する情報を含む。図２～図３に示す例では、検証依頼は、ＣＰＵ１ｎを識別する情報を含む。

【0026】

検証部４は、検証依頼により指定されたＣＰＵ１に実装されているファームウェアが正規のファームウェアであるか否かを判定する。このとき、検証部４は、例えば、ファームウェアに付与されている署名を利用して検証を行ってもよい。そして、検証が成功したときには、検証部４は、検証対象のファームウェアが正規のファームウェアであると判定する。一方、検証が失敗したときには、検証部４は、検証対象のファームウェアが不正なファームウェア（または、改ざんされたファームウェア）であると判定する。

【0027】

なお、署名を利用してファームウェアの検証を行う場合には、情報処理装置３０は署名鍵および検証鍵のペアを生成し、検証部４はこのペアの検証鍵を取得して保持する。そして、情報処理装置３０は、署名鍵を用いてファームウェアに署名を付与し、検証部４は、検証鍵を用いて検証を行う。

【0028】

ＣＰＵ１ａは、マスタＣＰＵ２から、ＣＰＵ１ｎを識別する情報を含む検証依頼を受信する。そうすると、ＣＰＵ１ａは、ＣＰＵ１ｎに実装されているファームウェアが正規のファームウェアであるか否かを検証する。この実施例では、ＣＰＵ１ｎのファームウェアは情報処理装置３０によりファームウェアＦＷｎ２に更新されている。したがって、検証部４は、ファームウェアＦＷｎ２が正規のファームウェアであるか否かを判定する。このとき、マスタＣＰＵ２は、検証処理を行うＣＰＵ１と完了した通信セッションに係わるＣＰＵ１との間に通信セッションを設定する。すなわち、検証部４を備えるＣＰＵ１ａとファームウェアがＦＷｎからＦＷｎ２に更新されたＣＰＵ１ｎとの間に通信セッションが設定される。

【0029】

ＣＰＵ１ａは、ＣＰＵ１ｎにファームウェアの提供を要求する。これにより、ＣＰＵ１ａは、ＣＰＵ１ｎからファームウェアＦＷｎ２およびファームウェアＦＷｎ２に付与されている署名を取得する。そして、ＣＰＵ１ａは、検証部４を用いて、ファームウェアＦＷｎ２が正規のファームウェアであるか不正なファームウェアであるかを検証する。この実施例では、署名の検証が成功し、ファームウェアＦＷｎ２が正規のファームウェアであると判定されるものとする。この場合、ＣＰＵ１ａは、ファームウェアＦＷｎ２が正規のファームウェアであることを表すＯＫメッセージを、マスタＣＰＵ２およびＣＰＵ１ｎに送信する。そして、マスタＣＰＵ２は、ＣＰＵ１ａとＣＰＵ１ｎとの間の通信セッションを終了させる。なお、マスタＣＰＵ２は、検証部４に検証依頼を送信したときから検証部４が検証結果を出力するまでの期間、他の通信セッションを設定することはない。

【0030】

ＣＰＵ１ｎは、ＣＰＵ１ａから上述のＯＫメッセージを受信すると、更新後のファームウェア（即ち、ファームウェアＦＷｎ２）が正規のファームウェアであると認識する。そうすると、ＣＰＵ１ｎは、更新後のファームウェアを共通ストレージ３に書き込む。これにより、共通ストレージ３において、ＣＰＵ１ｎファームウェアのバックアップも更新される。

【0031】

このように、本発明の実施形態に係わるプロセッサシステム１０においては、ＣＰＵ１のファームウェアが更新されると、その直後に、新たなファームウェアが正規のファームウェアであるか検証される。そして、検証が成功したときは、プロセッサシステム１０の安全な動作が保証される。また、検証が成功したときに限って、新たなファームウェアのバックアップが共通ストレージ３に保存される。

【0032】

図４は、不正なファームウェアが書き込まれるケースの一例を示す。この例では、攻撃者は、情報処理装置３０Ｘを用いてプロセッサシステム１０を攻撃する。具体的には、情報処理装置３０Ｘは、ＣＰＵ１ｎにファームウェアＦＷｎが実装されているときに、不正なファームウェアＦＷｎ３で上書きする。これにより、ＣＰＵ１ｎにおいて、ファームウェアＦＷｎが不正なファームウェアＦＷｎ３に更新されてしまう。

【0033】

図５は、不正なファームウェアを検出するシーケンスの一例を示す。なお、このシーケンスは、図４に示す実施例に対応する。また、ＣＰＵ１ｎに新たなファームウェアが書き込まれたときからＣＰＵ１ａが検証依頼を受信するまでのシーケンスは、図３および図５において実質的に同じである。ただし、図５に示す例では、情報処理装置３０Ｘからの書込みにより、ＣＰＵ１ｎのファームウェアが不正なファームウェアＦＷｎ３に更新されている。

【0034】

マスタＣＰＵ２は、情報処理装置３０ＸとＣＰＵ１ｎとの間の通信セッションを終了させると、ＣＰＵ１ａに検証依頼を送信する。この検証依頼は、ＣＰＵ１ｎを識別する情報を含む。よって、ＣＰＵ１ａは、ＣＰＵ１ｎに新たに実装されたファームウェア（即ち、ファームウェアＦＷｎ３）を検証する。検証方法は、図３および図５において実質的に同じであり、例えば署名の検証が行われる。

【0035】

ここで、情報処理装置３０Ｘは、正規の署名鍵を有していないので、検証部４によるファームウェアＦＷｎ３の署名に対する検証は失敗する。この場合、ＣＰＵ１ａは、ＣＰＵ１ｎに新たに実装されたファームウェアＦＷｎ３が不正なファームウェアであることを表すＮＧメッセージをマスタＣＰＵ２に送信する。そうすると、マスタＣＰＵ２は、ＣＰＵ１ａとＣＰＵ１ｎとの間の通信セッションを終了させる。その後、マスタＣＰＵ２は、プロセッサシステム１０への攻撃に対応する処理を実行する。

【0036】

たとえば、マスタＣＰＵ２は、ＣＰＵ１ｎに不正なファームウェアが書き込まれたことを、プロセッサシステム１０を管理する不図示の上位システムに通知してもよい。この場合、上位システムは、ＣＰＵ１ｎに不正なファームウェアが書き込まれたことをプロセッサシステム１０のユーザまたは管理者に報告してもよいし、プロセッサシステム１０の動作を停止してもよい。また、マスタＣＰＵ２は、不正なファームウェアが書き込まれたＣＰＵ１（図４～図５に示す例では、ＣＰＵ１ｎ）の通信を遮断してもよい。この場合、プロセッサシステム１０内での不正なファームウェアによる影響が抑制される。さらに、攻撃者からの追加攻撃を防ぐために、マスタＣＰＵ２は、プロセッサシステム１０と外部の機器との通信を遮断してもよい。ただし、この場合であっても、プロセッサシステム１０から上位システムへの通知は許可されることが好ましい。

【0037】

このように、本発明の実施形態に係わるプロセッサシステム１０においては、ＣＰＵ１のファームウェアが更新されると、その直後に、その新たなファームウェアが正規のファームウェアであるか不正なファームウェアであるかが検証される。ここで、マスタＣＰＵ２は、１つの通信セッションのみを許可しながら、ＣＰＵ１ａ～１ｎの通信を制御する。このため、複数のＣＰＵ１に同時に不正なファームウェアが書き込まれることはない。また、不正なファームウェアが書き込まれたときには、新たな通信セッションが設定される前にその不正なファームウェアが検出される。したがって、いずれかのＣＰＵ１に不正なファームウェアが書き込まれたとしても、その不正なファームウェアによる被害の拡散は抑制される。

【0038】

なお、図１、図２、または図４に示す実施例では、ＣＰＵ１ａに検証部４が実装されているが、実際には、複数のＣＰＵ１に検証部４が実装される。すなわち、ＣＰＵ１ａ～１ｎのうちの１つのみに検証部４が実装される構成では、そのＣＰＵ１のファームウェアが更新されたときにそのファームウェアを検証できないので、２以上のＣＰＵ１に検証部４を実装する必要がある。よって、例えば、すべてのＣＰＵ１ａ～１ｎにそれぞれ検証部４を実装してもよい。ただし、プロセッサシステム１０の製造コストまたは管理コストを考慮すると、ＣＰＵ１ａ～１ｎのうちの一部のＣＰＵ１に検証部４を実装する構成が好ましい。また、検証処理を実行するＣＰＵ１は、例えば、マスタＣＰＵ２により指定される。

【0039】

＜ファームウェアのロールバック＞
上述のように、プロセッサシステム１０は、ＣＰＵ１ａ～１ｎのうちのいずれか１つに不正なファームウェアが書き込まれたときには、その不正なファームウェアを即座に検出することができる。これに加えて、プロセッサシステム１０は、不正なファームウェアに更新されたＣＰＵ１を、更新前の状態に戻す機能を備える。すなわち、プロセッサシステム１０は、ファームウェアのロールバック機能を備える。

【0040】

以下の記載では、図１に示すように、ＣＰＵ１ａ～１ｎにそれぞれファームウェアＦＷａ～ＦＷｎが実装されており、共通ストレージ３にファームウェアＦＷａ～ＦＷｎのバックアップが保存されているものとする。また、この状態において、図４に示すように、攻撃者によりＣＰＵ１ｎに不正なファームウェアＷＦｎ３が書き込まれるものとする。このとき、共通ストレージ３には、ＣＰＵ１ｎのファームウェアのバックアップとして、ファームウェアＦＷｎが保存されているものとする。

【0041】

図６は、不正なファームウェアの検出時に行われるロールバック処理の一例を示す。なお、ＣＰＵ１ｎに不正なファームウェアＦＷｎ３が書き込まれ、ＣＰＵ１ａに実装されている検証部４がその不正なファームウェアを検出するものとする。すなわち、図４～図５に示す手順により、不正なファームウェアが検出されている。

【0042】

図６において、ＣＰＵ１ａは、上述した検証部４に加えて、ロールバック処理部５を備える。ロールバック処理部５は、検証部４が不正なファームウェアを検出したときに、その不正なファームウェアに更新されてしまったＣＰＵ１を更新前の状態に戻す。この実施例では、ＣＰＵ１ｎにファームウェアＦＷｎ３が書き込まれる前は、図１に示すように、ファームウェアＦＷｎが実装されていた。よって、この場合、ロールバック処理部５は、図６に示すように、共通ストレージ３からファームウェアＦＷｎを取得する。そして、ロールバック処理部５は、取得したファームウェアＦＷｎをＣＰＵ１ｎに送信する。これにより、ＣＰＵ１ｎにおいて、ファームウェアＦＷｎ３がファームウェアＦＷｎにより上書きされる。すなわち、ＣＰＵ１ｎのファームウェアは、ファームウェアＦＷｎ３からファームウェアＦＷｎに更新される。このように、不正なファームウェアから正規のファームウェアへのロールバックが実現される。

【0043】

なお、上述したように、各ＣＰＵ１ａ～１ｎにおいて、ファームウェアを保存するメモリ領域は、常時、読み書き可能なハードウェア構成となっている。したがって、各ＣＰＵ１ａ～１ｎに実装されているファームウェアは、他のＣＰＵ１からの書込みにより更新されることになる。ただし、マスタＣＰＵ２のファームウェアは、更新できないように構成されていることが好ましい。

【0044】

図７は、図６に示すロールバック処理に対応するシーケンスを示す。すなわち、このシーケンスは、ＣＰＵ１ａがＣＰＵ１ｎに不正なファームウェアが書き込まれたことを検出した後の手順を表す。よって、ＣＰＵ１ａは、ＣＰＵ１ｎに不正なファームウェアが書き込まれたことを表すＮＧメッセージをマスタＣＰＵ２に送信する。

【0045】

マスタＣＰＵ２は、上述のＮＧメッセージを受信すると、ＮＧメッセージの送信元であるＣＰＵ１ａが共通ストレージ３にアクセスできるようにポートを制御する。このとき、マスタＣＰＵ２は、ＣＰＵ１ａと共通ストレージ３との間に通信セッションを設定してもよい。

【0046】

ＣＰＵ１ａは、不正なファームウェアが書き込まれたＣＰＵ１ｎに対応するファームウェアを共通ストレージ３から読み出す。ここで、共通ストレージ３には、各ＣＰＵ１ａ～１ｎが使用しているファームウェアのバックアップが保存されている。また、ＣＰＵ１ｎのファームウェアが攻撃者によって更新された後、共通ストレージ３は更新されてない。よって、共通ストレージ３には、ＣＰＵ１ｎに対応するファームウェアとして、ＣＰＵ１ｎのファームウェアが攻撃者により更新される直前にＣＰＵ１ｎに実装されていたファームウェア（即ち、ファームウェアＦＷｎ）が保存されている。そして、ＣＰＵ１ａは、共通ストレージ３からファームウェアＦＷｎを取得する。

【0047】

ＣＰＵ１ａがファームウェアＦＷｎを取得すると、マスタＣＰＵ２は、共通ストレージ３へのアクセスが制限されるようにポートを制御する。ＣＰＵ１ａと共通ストレージ３との間に通信セッションが設定されているときは、マスタＣＰＵ２は、その通信セッションを終了させる。

【0048】

続いて、マスタＣＰＵ２は、ＣＰＵ１ａによるＣＰＵ１ｎのファームウェアのロールバックを実現するために、ＣＰＵ１ａとＣＰＵ１ｎとの間に通信セッションを設定する。この通信セッションは、ＣＰＵ１ａからＣＰＵ１ｎへの信号の伝送のみを許可するセッションであることが好ましい。

【0049】

ＣＰＵ１ａは、上述の通信セッションを利用して、ＣＰＵ１ｎに実装されているファームウェアに対して、共通ストレージ３から取得したファームウェアＦＷｎを上書きする。すなわち、ＣＰＵ１ｎにおいて、ファームウェアＦＷｎ３からファームウェアＦＷｎへのロールバックが行われる。

【0050】

ただし、図６～図７に示す手順では、ロールバック処理部５を備えるＣＰＵ１ａがＣＰＵ１ｎのファームウェアを取得して一時的に自分のメモリ内に保存する必要がある。すなわち、ＣＰＵ１ａは、大きなメモリを備える必要がある。したがって、プロセッサシステム１０は、図８～図９に示す手順でロールバックを実現してもよい。

【0051】

図８～図９に示す手順では、ＣＰＵ１ａは、ＣＰＵ１ｎに不正なファームウェアが書き込まれたことを検出すると、ＮＧメッセージに続いて書込み要求をマスタＣＰＵ２に送信する。書込み要求は、ロールバック処理に係わるコピー元アドレスおよびコピー先アドレスを含む。コピー元アドレスは、ＣＰＵ１ｎのファームウェアのバックアップが保存されている共通ストレージ３内のアドレスを表す。コピー先アドレスは、ＣＰＵ１ｎにおいてファームウェアが保存される領域のアドレスを表す。なお、書込み要求は、コピーするデータのサイズを表す情報を含んでもよい。

【0052】

マスタＣＰＵ２は、ＮＧメッセージに続いて書込み要求を受信すると、指定されたコピー元アドレスからデータを取得してコピー先アドレスに書き込む。すなわち、マスタＣＰＵ２は、共通ストレージからＣＰＵ１ｎのファームウェアのバックアップを取得し、ＣＰＵ１ｎのメモリ内の指定された領域に書き込む。これにより、不正なファームウェアＦＷｎ３は、正規のファームウェアＦＷｎにより上書きされる。この手順によれば、各ＣＰＵ１のメモリのサイズをロールバック処理のために大きくする必要はない。

【0053】

このように、本発明の実施形態に係わるプロセッサシステム１０においては、いずれかのＣＰＵ１において不正なファームウェアが検出されると、その直後に、そのファームウェアのロールバックが実行される。ここで、マスタＣＰＵ２は、１つの通信セッションのみを許可しながら、ＣＰＵ１ａ～１ｎの通信を制御する。そして、マスタＣＰＵ２は、不正なファームウェアが検出されたことを表すＮＧメッセージを受信すると、他の通信セッションを設定することなく、ロールバックのための通信セッションを設定する。したがって、いずれかのＣＰＵ１に不正なファームウェアが書き込まれたときに、その不正なファームウェアが他のＣＰＵ１または共通ストレージ３に転送されることはない。また、いずれかのＣＰＵ１に不正なファームウェアが書き込まれたとしても、プロセッサシステム１０は、即座に、ロールバックにより、正常な動作状態を回復させることができる。

【0054】

なお、上述の実施例では、ＣＰＵ１ａが検証部４およびロールバック処理部５を備えており、ファームウェアを検証するＣＰＵ１およびロールバック処理を実行するＣＰＵ１が同じであるが、本発明の実施形態はこの構成に限定されるものではない。すなわち、ファームウェアを検証するＣＰＵ１とロールバック処理を実行するＣＰＵ１とが異なっていてもよい。

【0055】

また、図６に示す実施例では、ＣＰＵ１ａのみにロールバック処理部５が実装されているが、実際には、複数のＣＰＵ１にロールバック処理部５が実装される。例えば、すべてのＣＰＵ１ａ～１ｎにそれぞれロールバック処理部５を実装してもよい。ただし、プロセッサシステム１０の製造コストまたは管理コストを考慮すると、ＣＰＵ１ａ～１ｎのうちの一部のＣＰＵ１にロールバック処理部５を実装する構成が好ましい。

【0056】

ロールバック処理を実行するＣＰＵ１は、例えば、マスタＣＰＵ２が指定してもよい。すなわち、マスタＣＰＵ２は、ＮＧメッセージを受信したときに、ロールバック処理部５を備えるＣＰＵ１の中から、ロールバック処理を実行するＣＰＵ１を指定してもよい。この場合、マスタＣＰＵ２は、ロールバック処理を実行するＣＰＵ１から不正なファームウェアが実装されているＣＰＵ１に信号を送信するための通信セッションを設定する。

【0057】

さらに、図１、図２、図４、または図６に示す実施例では、ＣＰＵ１ａ～１ｎのファームウェアＦＷａ～ＦＷｎのバックアップが共通ストレージ３に保存されているが、本発明の実施形態はこの構成に限定されるものではない。すなわち、バックアップ用のファームウェアは、ＣＰＵ１ａ～１ｎのメモリに保存されてもよい。例えば、各ＣＰＵ１ａ～１ｎがそれぞれ他のＣＰＵ１のファームウェアのバックアップを保存してもよい。この構成によれば、ロールバック処理の際に共通ストレージ３にアクセスする手順が不要になる。ただし、各ＣＰＵ１のメモリ使用量が増加することになる。したがって、バックアップ用のファームウェアを保存するための構成は、各ファームウェアのサイズ、プロセッサシステム１０が備えるＣＰＵ１の個数、各ＣＰＵ１のメモリ容量などを考慮して決定することが好ましい。

【0058】

＜不正なファームウェアの隔離＞
上述のように、プロセッサシステム１０は、ＣＰＵ１ａ～１ｎのうちのいずれか１つに不正なファームウェアが書き込まれたときには、その不正なファームウェアを即座に検出できる。この場合、不正ファームウェアを隔離して解析できることが好ましい。そこで、プロセッサシステム１０は、検疫機能を備える。

【0059】

図１０は、検疫機能を提供するプロセッサシステムの一例を示す。この実施例では、プロセッサシステム１０は、ＣＰＵ１（１ａ～１ｎ）、マスタＣＰＵ２、共通ストレージ３、および検疫用ストレージ７を備える。ここで、ＣＰＵ１ａ～１ｎ、マスタＣＰＵ２、および共通ストレージ３は、図１および図１０において実質的に同じである。すなわち、ＣＰＵ１ａ～１ｎにそれぞれファームウェアＦＷａ～ＦＷｎが実装されており、共通ストレージ３にファームウェアＦＷａ～ＦＷｎのバックアップが保存されている。ただし、ＣＵＰ１ａは、検疫処理部６を備える。検疫処理部６は、検証部４が不正なファームウェアを検出したときに、その不正なファームウェアを検疫用ストレージ７に保存する。

【0060】

検疫用ストレージ７は、プロセッサシステム１０に対して着脱可能に構成されており、特に限定されるものではないが、例えば、半導体メモリにより実現される。検疫用ストレージ７には、ＣＰＵ１ａ～１ｎにおいて検出された不正なファームウェアが書き込まれる。ここで、各ＣＰＵ１ａ～１ｎは、マスタＣＰＵ２を介して検疫用ストレージ７に書込みアクセスを行うことができる。ただし、検疫用ストレージ７は、マスタＣＰＵ２を介してのアクセスとして、書込みアクセスのみを許可する。すなわち、検疫用ストレージ７は、プロセッサシステム１０において、読出しアクセスが禁止されている。よって、検疫用ストレージ７に書き込まれた不正なファームウェアは、プロセッサシステム１０内で隔離されることになる。そして、ユーザまたは管理者は、検疫用ストレージ７をプロセッサシステム１０から取り外してパソコン等に接続した後、検疫用ストレージ７に書き込まれた内容を確認できる。

【0061】

図１１は、不正なファームウェアの検出時に行われる検疫処理の一例を示す。なお、ＣＰＵ１ｎに不正なファームウェアＦＷｎ３が書き込まれ、ＣＰＵ１ａに実装されている検証部４がその不正なファームウェアを検出するものとする。すなわち、図４～図５に示す手順により、不正なファームウェアが検出されている。

【0062】

図１１において、ＣＰＵ１ａは、検証部４に加えて検疫処理部６を備える。検疫処理部６は、検証部４が不正なファームウェアを検出したときに、その不正なファームウェアを検疫用ストレージ７に保存することで、ＣＰＵ１ａ～１ｎから不正なファームウェアを隔離する。この実施例では、検疫処理部６は、検疫用ストレージ７にファームウェアＦＷｎ３を保存する。なお、検疫用ストレージ７は、上述したように、マスタＣＰＵ２からの書込みアクセスのみを許可し、読出しアクセス等を禁止したハードウェア構成を有する。

【0063】

図１２は、図１１に示す検疫処理に対応するシーケンスを示す。このシーケンスは、ＣＰＵ１ａがＣＰＵ１ｎに不正なファームウェアＦＷｎ３が書き込まれたことを検出した後の手順を表す。よって、ＣＰＵ１ａは、ＣＰＵ１ｎに不正なファームウェアが書き込まれたことを表すＮＧメッセージをマスタＣＰＵ２に送信する。

【0064】

マスタＣＰＵ２は、上述のＮＧメッセージを受信すると、そのＮＧメッセージの送信元であるＣＰＵ１ａが検疫用ストレージ７にアクセスできるようにポートを制御する。このとき、マスタＣＰＵ２は、ＣＰＵ１ａと検疫用ストレージ７との間に通信セッションを設定してもよい。

【0065】

ＣＰＵ１ａは、不正なファームウェアＦＷｎ３を検疫用ストレージ７に書き込む。すなわち、ファームウェアＦＷｎ３が検疫用ストレージ７に保存される。なお、検疫用ストレージ７は、各ＣＰＵ１ａ～１ｎの不正ファームウェアを個々に隔離できるように、ＣＰＵごとに分かれた領域を有している。

【0066】

不正なファームウェアＦＷｎ３が保存および隔離されると、マスタＣＰＵ２は、検疫用ストレージ７へのアクセスが制限されるようにポートを制御する。ＣＰＵ１ａと検疫用ストレージ７との間に通信セッションが設定されているときは、マスタＣＰＵ２は、その通信セッションを終了させる。

【0067】

なお、マスタＣＰＵ２は、ＣＰＵ１ａが所持しているＣＰＵ１ｎの不正なファームウェアを検疫用ストレージ７にコピーする指示を出力するとも可能である。この場合、マスタＣＰＵ２は、不正なファームウェアと合わせて検出日時を表す情報をコピーすることが望ましい。

【0068】

図１１～図１２に示す手順においては、検疫処理部６を備えるＣＰＵ１ａがＣＰＵ１ｎのファームウェアを取得して一時的に自分のメモリ内に保存する必要がある。すなわち、ＣＰＵ１ａは、大きなメモリを備える必要がある。したがって、プロセッサシステム１０は、図１３～図１４に示す手順で検疫を実現してもよい。

【0069】

図１３～図１４に示す手順では、ＣＰＵ１ａは、ＣＰＵ１ｎに不正なファームウェアが書き込まれたことを検出すると、ＮＧメッセージおよび書込み要求をマスタＣＰＵ２に送信する。書込み要求は、検疫処理に係わるコピー元アドレスおよびコピー先アドレスを含む。コピー元アドレスは、ＣＰＵ１ｎのファームウェアが保存される領域のアドレスを表す。コピー先アドレスは、ＣＰＵ１ｎに書き込まれた不正ファームウェアＦＷｎ３を保存すべき検疫用ストレージ７内のアドレスを表す。なお、書込み要求は、コピーするデータのサイズを表す情報を含んでもよい。

【0070】

マスタＣＰＵ２は、ＮＧメッセージに続いて書込み要求を受信すると、指定されたコピー元アドレスからデータを取得してコピー先アドレスに書き込む。すなわち、マスタＣＰＵ２は、ＣＰＵ１ｎから不正ファームウェアＦＷｎ３を取得し、検疫用ストレージ７内の指定された領域に書き込む。これにより、不正なファームウェアＦＷｎ３は、検疫用ストレージ７にバックアップされる。この手順によれば、各ＣＰＵ１のメモリのサイズを検疫処理のために大きくする必要はない。

【0071】

このように、本発明の実施形態に係わるプロセッサシステム１０においては、いずれかのＣＰＵ１において不正なファームウェアが検出されると、その直後に、そのファームウェアの検疫が実行される。ここで、マスタＣＰＵ２は、１つの通信セッションのみを許可しながら、ＣＰＵ１ａ～１ｎの通信を制御する。そして、マスタＣＰＵ２は、不正なファームウェアが検出されたことを表すＮＧメッセージを受信すると、他の通信セッションを設定することなく、検疫のための通信セッションを設定する。したがって、いずれかのＣＰＵ１に不正なファームウェアが書き込まれたときに、その不正なファームウェアが他のＣＰＵ１または共通ストレージ３に転送されることはない。

【0072】

加えて、不正なファームウェアは、プロセッサシステム１０内で読出しアクセスが禁止されている検疫用ストレージ７に保存される。すなわち、不正なファームウェアは、ＣＰＵ１ａ～１ｎから隔離された状態で検疫用ストレージ７に保存される。よって、この構成によっても、不正なファームウェアが他のＣＰＵ１または共通ストレージ３に転送されることはない。

【0073】

なお、上述の実施例では、ＣＰＵ１ａが検証部４および検疫処理部６を備えており、ファームウェアを検証するＣＰＵ１および検疫処理を実行するＣＰＵ１が同じであるが、本発明の実施形態はこの構成に限定されるものではない。すなわち、ファームウェアを検証するＣＰＵ１と検疫処理を実行するＣＰＵ１とが異なっていてもよい。

【0074】

また、図１０に示す実施例では、ＣＰＵ１ａのみに検疫処理部６が実装されているが、実際には、複数のＣＰＵ１に検疫処理部６が実装される。例えば、すべてのＣＰＵ１ａ～１ｎにそれぞれ検疫処理部６を実装してもよい。ただし、プロセッサシステム１０の製造コストまたは管理コストを考慮すると、ＣＰＵ１ａ～１ｎのうちの一部のＣＰＵ１に検疫処理部６を実装する構成が好ましい。

【0075】

検疫処理を実行するＣＰＵ１は、例えば、マスタＣＰＵ２が指定してもよい。即ち、マスタＣＰＵ２は、ＮＧメッセージを受信したときに、検疫処理部６を備えるＣＰＵ１の中から、検疫処理を実行するＣＰＵ１を指定してもよい。この場合、マスタＣＰＵ２は、検疫処理を実行するＣＰＵ１から不正なファームウェアが実装されているＣＰＵ１に信号を送信するための通信セッションを設定する。

【0076】

上述した検疫処理は、図６～図９に示すロールバック処理と共に実行してもよい。すなわち、プロセッサシステム１０は、不正なファームウェアを検出すると、検疫処理によりその不正なファームウェアを隔離すると共に、ロールバック処理により、不正なファームウェアを正規のファームウェアに戻すことができる。

【0077】

検疫処理により不正なファームウェアが検疫用ストレージ７内に隔離された後、ユーザまたは管理者は、プロセッサシステム１０から検疫用ストレージ７を取り外してパソコン等の情報処理装置に接続する。これにより、プロセッサシステム１０の運用に影響を及ぼすことなく、不正なファームウェアを解析できる。なお、検疫用ストレージ７は、プロセッサシステム１０内では書込みアクセスのみが許可されているが、パソコン等の情報処理装置は、検疫用ストレージ７からデータを読み出すことができる。

【0078】

＜バリエーション＞
本発明の実施形態のバリエーションに係わるプロセッサシステムは、図２～図１４を参照して説明した機能に加えて、ＣＰＵ１の内部データが変更されたときに、その変更が正規の変更要求者により行われたものか否かを判定できる。なお、正規の変更要求者は、ＣＰＵ１の内部データを変更する権限を有する者を意味し、例えば、プロセッサシステムの運用管理者である。内部データは、ＣＰＵ１が使用する各種データを意味し、例えば、ＣＰＵ１がファームウェアを実行する際に使用するパラメータの値である。或いは、内部データは、ＣＰＵ１に実装されるファームウェア自体であってもよい。

【0079】

図１５は、本発明の実施形態のバリエーションに係わるプロセッサシステムの一例を示す。本発明の実施形態のバリエーションに係わるプロセッサシステム１０Ｂの構成は、図１に示すプロセッサシステム１０と実質的に同じである。すなわち、プロセッサシステム１０Ｂは、複数のＣＰＵ１（１ａ～１ｎ）、マスタＣＰＵ２、および共通ストレージ３を備える。

【0080】

ＣＰＵ１ａ～１ｎには、それぞれ対応する内部データＤａ～Ｄｎが設定されている。また、共通ストレージ３には、署名検証鍵、各ＣＰＵ１ａ～１ｎに設定されている内部データの変更履歴、および各ＣＰＵ１ａ～１ｎに設定されている内部データのバックアップが保存されている。

【0081】

署名検証鍵は、変更要求者がＣＰＵ１の内部データを変更したときに、その変更の内容を表す変更履歴を検証する際に使用される暗号鍵である。変更履歴は、変更要求者が情報処理装置４０を利用してＣＰＵ１の内部データを変更するときに、情報処理装置４０により作成される。このとき、情報処理装置４０は、署名作成鍵を利用して変更履歴に署名を付与する。なお、署名作成鍵は、署名検証鍵に対応する秘密鍵である。また、署名作成鍵を利用して作成された署名は、署名検証鍵により検証され得る。

【0082】

図１６は、正規の変更要求者がＣＰＵ１の内部データを変更するときのプロセッサシステム１０Ｂのシーケンスの一例を示す。この実施例では、変更要求者が情報処理装置４０を利用してＣＰＵ１ｂの内部データＤｂを変更する。なお、このシーケンスの開始時において、共通ストレージ３に保存されているバックアップＤａ～Ｄｎは、それぞれＣＰＵ１ａ～１ｎに設定されている内部データＤａ～Ｄｎと一致しているものとする。

【0083】

ＣＰＵ１ｂの内部データを変更する際には、まず、情報処理装置４０は、変更要求者からの指示に応じて、ＣＰＵ１ｂの内部データを変更するための接続をマスタＣＰＵ２に要求する。そうすると、マスタＣＰＵ２は、情報処理装置４０とＣＰＵ１ｂとの間に通信コネクション（または、通信セッション）を確立する。そして、情報処理装置４０は、ＣＰＵ１ｂに新データを送信することにより、ＣＰＵ１ｂの内部データを更新する。

【0084】

情報処理装置４０は、変更履歴を作成する。変更履歴は、ＣＰＵ１ｂの内部データをどのように変更したのかを表す。例えば、変更履歴は、温度パラメータを２０℃から２５℃に変更した旨を表す。また、変更履歴は、ＣＰＵ１ｂの内部データを変更した時刻を含んでもよい。

【0085】

情報処理装置４０は、署名作成鍵を用いて、変更履歴の署名を作成する。そして、情報処理装置４０は、署名付き変更履歴をＣＰＵ１ｂに送信する。ＣＰＵ１ｂは、この署名付き変更履歴をマスタＣＰＵ２に転送する。

【0086】

マスタＣＰＵ２は、ＣＰＵ１ａ～ＣＰＵ１ｎの中から、ＣＰＵ１ｂの内部データの変更を検証する検証ＣＰＵを選択する。この実施例では、検証ＣＰＵとして、ＣＰＵ１ａが選択されるものとする。

【0087】

マスタＣＰＵ２は、情報処理装置４０により作成された署名付き変更履歴を検証ＣＰＵに送信する。そうすると、検証ＣＰＵは、共通ストレージ３から署名検証鍵を取得する。そして、検証ＣＰＵは、この署名検証鍵を用いて、変更履歴に付与されている署名を検証する。この実施例では、署名の検証が成功するものとする。この場合、検証ＣＰＵは、ＣＰＵ１ｂの内部データが正規の変更要求者により変更されたと判定し、ＣＰＵ１ｂの内部データについての変更履歴を共通ストレージ３に追加する。加えて、検証ＣＰＵは、その変更履歴に従って、共通ストレージ３に保存されているＣＰＵ１ｂの内部データのバックアップを更新する。これにより、共通ストレージ３に保存されているＣＰＵ１ｂの内部データのバックアップは、ＣＰＵ１ｂにおいて実際に更新された内部データと一致することになる。

【0088】

続いて、マスタＣＰＵ２は、検証ＣＰＵに対して、ＣＰＵ１ｂにおいて更新された内部データの確認を依頼する。そうすると、検証ＣＰＵは、ＣＰＵ１ｂから内部データを取得し、共通ストレージ３に保存されているバックアップと比較する。この実施例では、ＣＰＵ１ｂから取得した内部データと共通ストレージ３に保存されているバックアップとが互いに一致する。そして、検証ＣＰＵは、この結果をマスタＣＰＵ２に通知する。そうすると、マスタＣＰＵ２は、情報処理装置４０とＣＰＵ１ｂとの間の通信コネクションを切断する。このとき、変更要求者に対して検証結果を通知した後に通信コネクションを切断することが好ましい。

【0089】

この後、マスタＣＰＵ２は、検証ＣＰＵに対して、ＣＰＵ１ｂの内部データの確認を依頼する。すなわち、情報処理装置４０とＣＰＵ１ｂとの間の通信コネクションが切断された後に、再度、ＣＰＵ１ｂが保持する内部データが検証される。具体的には、検証ＣＰＵは、ＣＰＵ１ｂから内部データを取得し、共通ストレージ３に保存されているバックアップと比較する。この実施例では、ＣＰＵ１ｂから取得した内部データと共通ストレージ３に保存されているバックアップとが互いに一致する。そして、検証ＣＰＵは、この結果をマスタＣＰＵ２に通知する。

【0090】

図１７は、ＣＰＵの内部データの変更を検証する手順の一例を示す。この例では、図１７（ａ）に示すように、ＣＰＵ１ｂの内部データが「ＡＢＣＤ」であり、共通ストレージ３にそのバックアップが保存されている。

【0091】

正規の変更要求者は、図１７（ｂ）に示すように、ＣＰＵ１ｂの内部データを「ＡＢＣＤ」から「ＡＢＣＥ」に変更する。このとき、署名付き変更履歴「Ｄ→Ｅ」が検証ＣＰＵに送信される。そうすると、検証ＣＰＵは、変更履歴に付与されている署名を検証する。この例では、署名の検証が成功するものとする。この場合、検証ＣＰＵは、ＣＰＵ１ｂの内部データが正規の変更要求者により変更されたと判定する。そして、署名ＣＰＵは、図１７（ｃ）に示すように、共通ストレージ３に保存されているバックアップを、受信した変更履歴に従って更新する。これにより、共通ストレージ３に保存されているバックアップが「ＡＢＣＤ」から「ＡＢＣＥ」に更新される。

【0092】

この後、検証ＣＰＵは、図１７（ｄ）に示すように、ＣＰＵ１ｂに設定されている内部データと、共通ストレージ３に保存されている更新後のバックアップとを比較する。この実施例では、内部データおよびバックアップがいずれも「ＡＢＣＥ」であり、互いに一致する。そして、この判定結果は、例えば、マスタＣＰＵ２を介して上位システムに通知される。

【0093】

図１８は、変更履歴の作成後に内部データがさらに変更されるケースでのプロセッサシステム１０Ｂのシーケンスの一例を示す。この実施例では、署名付き変更履歴が情報処理装置４０から検証ＣＰＵに送信された後に、ＣＰＵ１ｂの内部データがさらに変更されている。具体的には、ＣＰＵ１ｂの内部データが「新データ（１）」に変更され、共通ストレージに保存されているバックアップも「新データ（１）」に更新される。その後、ＣＰＵ１ｂの内部データがさらに「新データ（２）」に変更される。

【0094】

このケースでは、検証ＣＰＵがＣＰＵ１ｂから取得した内部データと共通ストレージ３に保存されているバックアップとを比較すると、それらは互いに一致しない。そして、検証ＣＰＵは、この結果をマスタＣＰＵ２に通知する。また、マスタＣＰＵ２は、情報処理装置４０とＣＰＵ１ｂとの間の通信コネクションを切断する。

【0095】

この場合、検証ＣＰＵは、ＣＰＵ１ｂの内部データのバックアップを共通ストレージ３から取得してＣＰＵ１ｂに送信する。そして、ＣＰＵ１ｂの内部データは、このバックアップデータによりロールバックされる。すなわち、ＣＰＵ１ｂの内部データは、「新データ（２）」から「新データ（１）」に戻ることになる。

【0096】

続いて、検証ＣＰＵは、マスタＣＰＵ２からの確認指示に応じて、ＣＰＵ１ｂの内部データと共通ストレージ３に保存されているバックアップとを比較する。この場合、これらのデータは互いに一致することになる。すなわち、変更履歴の作成後にさらに内部データが更新されると、ＣＰＵ１ｂの内部データは、変更履歴が作成された直前の状態に戻される。したがって、共通ストレージ３に保存されるバックアップは、ＣＰＵ１ｂの内部データと一致する。

【0097】

図１９は、検証ＣＰＵが変更履歴の署名および変更された内部データを検証しているときに内部データがさらに変更されるケースでのプロセッサシステム１０Ｂのシーケンスの一例を示す。この実施例では、検証ＣＰＵがＣＰＵ１ｂから内部データを取得した後に、ＣＰＵ１ｂの内部データがさらに変更される。このため、検証ＣＰＵがＣＰＵ１ｂから取得した内部データと共通ストレージ３に保存されているバックアップとを比較すると、それらのデータは互いに一致する。ところが、情報処理装置４０とＣＰＵ１ｂとの間の通信コネクションが切断される前に、ＣＰＵ１ｂの内部データが「新データ（１）」から「新データ（２）」にさらに変更される。この結果、ＣＰＵ１ｂの内部データと共通ストレージ３に保存されているバックアップとが互いに異なる状態となっている。

【0098】

このような状況を検知するために、検証ＣＰＵは、通信コネクションの切断後に、マスタＣＰＵ２からの確認指示に応じて、再度、ＣＰＵ１ｂの内部データと共通ストレージ３に保存されているバックアップとを比較する。そうすると、これらのデータが互いに一致しないことが検知される。よって、検証ＣＰＵは、共通ストレージ３に保存されているバックアップをＣＰＵ１ｂに送信し、ＣＰＵ１ｂの内部データがロールバックされる。この結果、共通ストレージ３に保存されるバックアップは、ＣＰＵ１ｂが保持する内部データと一致するようになる。

【0099】

図２０は、不正な変更要求者（即ち、攻撃者）がＣＰＵ１の内部データを変更するときのプロセッサシステム１０Ｂのシーケンスの一例を示す。この実施例では、攻撃者が情報処理装置４０Ｘを利用してＣＰＵ１ｂの内部データＤｂを変更する。なお、このシーケンスの開始時において、共通ストレージ３に保存されているバックアップＤａ～Ｄｎは、それぞれＣＰＵ１ａ～１ｎに設定されている内部データＤａ～Ｄｎと一致しているものとする。

【0100】

情報処理装置４０Ｘは、攻撃者からの指示に応じて、ＣＰＵ１ｂに不正データを送信する。これにより、ＣＰＵ１ｂの内部データが不正なデータに更新される。ただし、攻撃者は署名作成鍵を有していないので、情報処理装置４０Ｘは、変更履歴を作成したとしてもその変更履歴に署名を付与できない。或いは、変更履歴に不正な署名が付与される。よって、署名が付与されてない変更履歴（署名なし変更履歴）または不正な署名が付与された変更履歴（不正署名付き変更履歴）が情報処理装置４０ＸからマスタＣＰＵ２を経由して検証ＣＰＵに送られる。

【0101】

検証ＣＰＵは、図１６に示すケースと同様に、署名を検証する。しかし、このケースでは、変更履歴に署名が付与されてない、或いは、変更履歴に不正な署名が付与されているので、検証が失敗する。この場合、検証ＣＰＵは、共通ストレージ３に変更履歴を追加しない。また、検証ＣＰＵは、共通ストレージ３に保存されているＣＰＵ１ｂの内部データのバックアップを更新しない。この結果、共通ストレージ３に保存されているＣＰＵ１ｂの内部データのバックアップは、ＣＰＵ１ｂにおいて攻撃者により変更された内部データと異なることになる。この後、検証結果がマスタＣＰＵ２に通知される。そして、情報処理装置４０ＸとＣＰＵ１ｃとの間の通信コネクションが切断される。

【0102】

署名の検証が失敗しているので、検証ＣＰＵは、ＣＰＵ１ｂの内部データが攻撃者により不正なデータに変更された可能性があると判定する。そうすると、検証ＣＰＵは、共通ストレージ３に保存されているバックアップでＣＰＵ１ｂの内部データを上書きする。すなわち、ＣＰＵ１ｂの内部データは、検証ＣＰＵによりロールバックされる。この後、検証ＣＰＵは、マスタＣＰＵ２からの指示に応じて、ＣＰＵ１ｂが保持する内部データと共通ストレージ３に保存されているバックアップとを比較する。この場合、ＣＰＵ１ｂの内部データはロールバックされているので、検証が成功する。

【0103】

図２１は、攻撃者によりＣＰＵの内部データが不正に変更されるケースの一例を示す。この実施例でも、図２１（ａ）に示すように、ＣＰＵ１ｂの内部データが「ＡＢＣＤ」であり、共通ストレージ３にそのバックアップが保存されている。

【0104】

攻撃者は、図２１（ｂ）に示すように、ＣＰＵ１ｂの内部データを「ＡＢＣＤ」から「ＡＢＣＦ」に変更する。このとき、変更履歴「Ｄ→Ｆ」が検証ＣＰＵに送信される。ただし、攻撃者は、図１５に示す署名作成鍵を有していないので、署名を作成できない。すなわち、この変更履歴には署名が付与されていない。或いは、不正な署名が付与された変更履歴が送信される。この結果、検証ＣＰＵにおいて、署名の検証が失敗する。この場合、検証ＣＰＵは、ＣＰＵ１ｂの内部データが攻撃者により不正に変更されたと判定する。したがって、検証ＣＰＵは、図２１（ｃ）に示すように、共通ストレージ３に保存されているバックアップを更新しない。すなわち、共通ストレージ３に保存されているバックアップは「ＡＢＣＤ」のまま維持される。

【0105】

この後、検証ＣＰＵは、図２１（ｄ）に示すように、共通ストレージ３に保存されているバックアップを利用してＣＰＵ１ｂの内部データをロールバックする。この結果、ＣＰＵ１ｂの内部データは、攻撃を受ける前に状態に復帰する。

【0106】

このように、本発明の実施形態のバリエーションによれば、正規の変更要求者がＣＰＵの内部データを変更するときには、変更内容を表す変更履歴が作成されて署名が付与される。ここで、署名を作成するために使用される署名作成鍵はプロセッサシステム１０Ｂが提供する秘密鍵なので、攻撃者は、ＣＰＵの内部データを変更できたとしても、署名付き変更履歴を作成できない。よって、プロセッサシステム１０Ｂは、変更履歴の署名を検証することで、ＣＰＵの内部データの変更が、正規の変更要求者により行われたのか、攻撃者により行われたのかを判定できる。したがって、プロセッサシステム１０Ｂの安全性を維持できる。

【0107】

なお、図２０～図２１に示すケースでは、攻撃者が署名なし変更履歴または不正署名付き変更履歴を作成するが、本発明の実施形態のバリエーションはこの手順に限定されるものではない。例えば、攻撃者が変更履歴を作成しない場合も、検証ＣＰＵにおいて署名の検証が失敗するので、プロセッサシステム１０Ｂは、ＣＰＵの内部データの変更が、正規の変更要求者により行われたのか、攻撃者により行われたのかを判定できる。

【0108】

また、図１５～図２１に示す実施形態において、変更要求者（または、攻撃者）により変更される「内部データ」は、ＣＰＵ１ａ～１ｎが使用するパラメータ等に限定されるものではなく、ＣＰＵ１ａ～１ｎに実装されるファームウェアを含むものとする。即ち、ＣＰＵ１ａ～１ｎに実装されるファームウェアが更新されるケースにおいても、図１６および図２０に示すシーケンスを適用することで、プロセッサシステム１０Ｂは、ファームウェアの更新が、正規の変更要求者により行われたのか、攻撃者により行われたのかを判定できる。

【符号の説明】

【0109】

１（１ａ～１ｎ） ＣＰＵ
２ マスタＣＰＵ
３ 共通ストレージ
４ 検証部
５ ロールバック処理部
６ 検疫処理部
７ 検疫用ストレージ
１０ プロセッサシステム
３０、４０ 情報処理装置
３０Ｘ、４０Ｘ 情報処理装置（攻撃者）

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】

【図21】