特開 2024-7617 プロセッサ回路、バージョン管理方法およびバージョン管理プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024007617

(43)【公開日】2024-01-19

(54)【発明の名称】プロセッサ回路、バージョン管理方法およびバージョン管理プログラム

(51)【国際特許分類】

   G06F 21/57 20130101AFI20240112BHJP

   G06F 9/445 20180101ALI20240112BHJP

   G06F 21/79 20130101ALI20240112BHJP

【ＦＩ】

G06F21/57

G06F9/445

G06F21/79

【審査請求】未請求

【請求項の数】9

【出願形態】ＯＬ

(21)【出願番号】P 2022108795

(22)【出願日】2022-07-06

(71)【出願人】

【識別番号】000005223

【氏名又は名称】富士通株式会社

(74)【代理人】

【識別番号】100107766

【弁理士】

【氏名又は名称】伊東 忠重

(74)【代理人】

【識別番号】100070150

【弁理士】

【氏名又は名称】伊東 忠彦

(74)【代理人】

【識別番号】100107515

【弁理士】

【氏名又は名称】廣田 浩一

(72)【発明者】

【氏名】吉川 昌男

【テーマコード（参考）】

5B376

【Ｆターム（参考）】

5B376AE51

5B376DA05

(57)【要約】

【課題】ソフトウェアのバージョンを管理するカウンタが設けられるメモリの容量を抑える。
【解決手段】プロセッサ回路は、起動するソフトウェアのバージョンを管理するプロセッサ回路であって、第１カウンタの第１カウンタ値と第２カウンタの第２カウンタ値とを保持する不揮発性メモリと、前記ソフトウェアのバージョンを上げるときに前記第１カウンタ値を更新して前記第２カウンタ値を維持し、前記ソフトウェアのバージョンを下げるときに前記第１カウンタ値を維持して前記第２カウンタ値を更新し、起動する前記ソフトウェアのバージョンが前記第１カウンタ値と前記第２カウンタ値との差で示されるバージョン確認用のチェック値と等しいときに前記ソフトウェアを起動する起動制御部と、を有する。
【選択図】図１

【特許請求の範囲】

【請求項1】

起動するソフトウェアのバージョンを管理するプロセッサ回路であって、
第１カウンタの第１カウンタ値と第２カウンタの第２カウンタ値とを保持する不揮発性メモリと、
前記ソフトウェアのバージョンを上げるときに前記第１カウンタ値を更新して前記第２カウンタ値を維持し、前記ソフトウェアのバージョンを下げるときに前記第１カウンタ値を維持して前記第２カウンタ値を更新し、起動する前記ソフトウェアのバージョンが前記第１カウンタ値と前記第２カウンタ値との差で示されるバージョン確認用のチェック値と等しいときに前記ソフトウェアを起動する起動制御部と、を有する
プロセッサ回路。

【請求項2】

前記第１カウンタ値および前記第２カウンタ値を保持する前記不揮発性メモリは、複数ビットの各々の値を一度のみ書き込み可能であり、
前記起動制御部は、前記ソフトウェアのバージョンを１つ上げるときに、前記第１カウンタの複数ビットの１つに値を書き込み、
前記チェック値は、前記第１カウンタにおいて値が書き込まれたビット数と前記第２カウンタにおいて値が書き込まれたビット数との差で示される
請求項１に記載のプロセッサ回路。

【請求項3】

前記起動制御部は、起動する前記ソフトウェアのバージョンが前記チェック値より大きいとき、前記チェック値と起動する前記ソフトウェアのバージョンとが等しくなるまで、前記第１カウンタ値を更新する
請求項１または請求項２に記載のプロセッサ回路。

【請求項4】

前記起動制御部は、起動する前記ソフトウェアのバージョンが、前記チェック値より小さいとき、前記ソフトウェアの起動を停止する
請求項１または請求項２に記載のプロセッサ回路。

【請求項5】

前記起動制御部は、前記第２カウンタのカウンタ値を、認証処理が成功したことに基づいて更新する
請求項１または請求項２に記載のプロセッサ回路。

【請求項6】

前記不揮発性メモリは、前記第１カウンタ値を保持する第１不揮発性メモリと前記第２カウンタ値を保持する第２不揮発性メモリとを含み、
前記第１不揮発性メモリは、複数のビットの各々の値を一度のみ書き込み可能であり、
前記第２不揮発性メモリは、複数のビットの各々の値を複数回書き換え可能である
請求項１に記載のプロセッサ回路。

【請求項7】

前記第１カウンタは、セキュリティ機能を含むセキュリティチップに搭載される
請求項１または請求項２に記載のプロセッサ回路。

【請求項8】

第１カウンタの第１カウンタ値と第２カウンタの第２カウンタ値とを保持する不揮発性メモリを有し、起動するソフトウェアのバージョンを管理するプロセッサ回路によるバージョン管理方法であって、
前記ソフトウェアのバージョンを上げるときに前記第１カウンタ値を更新して前記第２カウンタ値を維持し、
前記ソフトウェアのバージョンを下げるときに前記第１カウンタ値を維持して前記第２カウンタ値を更新し、
起動する前記ソフトウェアのバージョンが前記第１カウンタ値と前記第２カウンタ値との差で示されるバージョン確認用のチェック値と等しいときに前記ソフトウェアを起動する
バージョン管理方法。

【請求項9】

第１カウンタの第１カウンタ値と第２カウンタの第２カウンタ値とを保持する不揮発性メモリを有し、起動するソフトウェアのバージョンを管理するプロセッサ回路が実行するバージョン管理プログラムであって、
前記ソフトウェアのバージョンを上げるときに前記第１カウンタ値を更新して前記第２カウンタ値を維持し、
前記ソフトウェアのバージョンを下げるときに前記第１カウンタ値を維持して前記第２カウンタ値を更新し、
起動する前記ソフトウェアのバージョンが前記第１カウンタ値と前記第２カウンタ値との差で示されるバージョン確認用のチェック値と等しいときに前記ソフトウェアを起動する
処理を前記プロセッサ回路に実行させるバージョン管理プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、プロセッサ回路、バージョン管理方法およびバージョン管理プログラムに関する。

【背景技術】

【0002】

ファームウェアをロールバック攻撃から保護するために、ファームウェアのバージョンをＯＴＰ（One Time Programmable）メモリに格納し、バージョンを増加方向のみ更新可能にする手法が知られている。例えば、ファームウェアのバージョンは、ＯＴＰメモリにメジャーバージョンとして保持され、不揮発性メモリにマイナーバージョンとして保持される（例えば、特許文献１参照）。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２０２１－１７９９８２号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、ＯＴＰメモリを使用してファームウェアのバージョンを管理することで、ファームウェアをロールバック攻撃から保護する場合、ファームウェアを古いバージョンに戻すことは容易でない。このため、例えば、ファームウェアに問題が発生したときにバージョンを切り替えながら試験を実施することは容易でなく、ファームウェアのデバッグ効率が低下してしまう。

【0005】

例えば、ＯＴＰメモリにバージョンを管理する複数のカウンタを設け、バージョンの管理に使用するカウンタを切り替えることで、ファームウェアを古いバージョンに容易に戻すことが可能になる。しかしながら、この場合、想定される切替え回数以上のカウンタを設けなくてはならず、ＯＴＰメモリの容量が増加してしまう。

【0006】

１つの側面では、本発明は、ソフトウェアのバージョンを管理するカウンタが設けられるメモリの容量を抑えることを目的とする。

【課題を解決するための手段】

【0007】

一つの観点によれば、プロセッサ回路は、起動するソフトウェアのバージョンを管理するプロセッサ回路であって、第１カウンタの第１カウンタ値と第２カウンタの第２カウンタ値とを保持する不揮発性メモリと、前記ソフトウェアのバージョンを上げるときに前記第１カウンタ値を更新して前記第２カウンタ値を維持し、前記ソフトウェアのバージョンを下げるときに前記第１カウンタ値を維持して前記第２カウンタ値を更新し、起動する前記ソフトウェアのバージョンが前記第１カウンタ値と前記第２カウンタ値との差で示されるバージョン確認用のチェック値と等しいときに前記ソフトウェアを起動する起動制御部と、を有する。

【発明の効果】

【0008】

ソフトウェアのバージョンを管理するカウンタが設けられるメモリの容量を抑えることができる。

【図面の簡単な説明】

【0009】

【図1】一実施形態におけるプロセッサ回路が搭載されるマザーボートの一例を示すブロック図である。

【図2】図１のカウンタを使用してファームウェアのバージョンの更新を管理する例を示す説明図である。

【図3】図１のプロセッサ回路によるファームウェアの更新動作の一例を示すフロー図である。

【図4】別の実施形態におけるプロセッサ回路が搭載されるマザーボートの一例を示すブロック図である。

【図5】図４のカウンタを使用してファームウェアのバージョンの更新を管理する例を示す説明図である。

【図6】上述した実施形態におけるカウンタの別の例を示す構成図である。

【図7】別の一実施形態におけるプロセッサ回路が搭載されるマザーボートの一例を示すブロック図である。

【発明を実施するための形態】

【0010】

以下、図面を参照して、実施形態が説明される。

【0011】

図１は、一実施形態におけるプロセッサ回路が搭載されるマザーボートの一例を示す。図１に示すプロセッサ回路１０は、例えば、ＣＰＵ（Central Processing Unit）等である。プロセッサ回路１０は、ファームウェア２２が格納されるファームウェア格納領域２０とともにマザーボード１００に搭載される。ファームウェア２２は、ソフトウェアの一例である。

【0012】

プロセッサ回路１０およびファームウェア格納領域２０は、それぞれがチップの形態でマザーボード１００に搭載されてもよく、１チップに集積された形態でマザーボード１００に搭載されてもよい。例えば、マザーボード１００は、サーバ、スーパーコンピュータまたはＰＣ（Personal Computer）等の情報処理装置に搭載され、情報処理装置の機能を実現する。

【0013】

ファームウェア格納領域２０に保持されるファームウェア２２は、プロセッサ回路１０に搭載されるＣＰＵコア等により実行される。特に限定されないが、例えば、ファームウェア格納領域２０は、フラッシュメモリ等の電気的に書き換え可能なメモリ内に割り当てられ、更新するファームウェアを上書き可能である。なお、ファームウェア格納領域２０は、プロセッサ回路１０が実行するＯＳ（Operating System）およびアプリケーションプログラムの一方または両方が格納されるメモリ内に割り当てられてもよい。

【0014】

プロセッサ回路１０は、バージョン格納部１２、バージョン検証部１４および書き込み制御部１６を有する。バージョン検証部１４および書き込み制御部１６は、起動制御部の一例である。バージョン格納部１２は、ファームウェア２２のバージョンの管理に使用されるカウンタ１２ａ、１２ｂを有する。例えば、バージョン格納部１２は、オンチップのＯＴＰ（One Time Programmable）メモリ内に設けられる。バージョン格納部１２は、不揮発性メモリの一例である。カウンタ１２ａは、第１カウンタの一例であり、カウンタ１２ｂは、第２カウンタの一例である。

【0015】

例えば、ＯＴＰメモリは、複数のＥ－ｆｕｓｅの各々にビット情報を記憶するため、ＯＴＰメモリの各ビット（Ｅ－ｆｕｓｅ）に書き込んだ情報を書き換えることができない。すなわち、ＯＴＰメモリは、複数ビットの各々の値を一度のみ書き込み可能である。この実施形態のＯＴＰメモリは、"１"が書き込まれたビットの値を"０"に戻すことができない。このため、例えば、カウンタ１２ａでは、バージョンが増加される毎に、"１"を保持するビットの数が増加される。

【0016】

そして、カウンタ１２ａのカウンタ値ＣＮＴａおよびカウンタ１２ｂのカウンタ値ＣＮＴｂは、"１"にセットされているビットの数により示される。また、バージョン確認用のチェック値は、カウンタ値ＣＮＴａ、ＣＮＴｂの差（ＣＮＴａ－ＣＮＴｂ）により示される。チェック値は、起動可能なファームウェア２２のバージョンを示す。カウンタ１２ａ、１２ｂの使用例については、図２で説明される。カウンタ値ＣＮＴａは、第１カウンタ値の一例であり、カウンタ値ＣＮＴｂは、第２カウンタ値の一例である。

【0017】

バージョン検証部１４は、ファームウェア格納領域２０に保持されているファームウェア２２の起動時に、起動するファームウェア２２のバージョンとバージョン格納部１２に保持されているバージョンのチェック値とを比較する。そして、バージョン検証部１４は、ファームウェア２２のバージョンとカウンタ値ＣＮＴａ、ＣＮＴｂの差との比較に基づいて、ファームウェアの通常の起動処理、バージョンアップ処理、またはエラー処理（起動の停止）のいずれを実施するかを判定する。

【0018】

バージョン検証部１４は、起動するファームウェア２２のバージョンがカウンタ値ＣＮＴａ、ＣＮＴｂの差より大きい場合、カウンタ１２ａのカウンタ値ＣＮＴａを増加させる指示を書き込み制御部１６に発行する。バージョン検証部１４は、起動するファームウェア２２のバージョンがカウンタ値ＣＮＴａ、ＣＮＴｂの差に等しい場合、ファームウェア２２の起動処理をプロセッサ回路１０に実施させる。バージョン検証部１４は、起動するファームウェア２２のバージョンがカウンタ値ＣＮＴａ、ＣＮＴｂの差より小さい場合、エラーの発生をプロセッサ回路１０のエラー処理部等に通知する。

【0019】

書き込み制御部１６は、カウンタ１２ａ、１２ｂの書き込み動作を制御する。書き込み制御部１６は、バージョン検証部１４からの指示に基づいて、カウンタ１２ａのカウンタ値ＣＮＴａを更新する書き込み動作を実施する。また、書き込み制御部１６は、ファームウェア２２のバージョンを下げるロールバック処理を実施する場合、カウンタ１２ｂの書き込み用の専用の手順に基づいて、カウンタ１２ｂの書き込み動作を実施し、カウンタ値ＣＮＴａを更新する。例えば、カウンタ１２ｂの書き込み用の専用の手順は、パスワード認証または公開鍵認証等である。なお、カウンタ１２ｂの書き込み用の専用の手順は、パスワード認証または公開鍵認証等に限定されず、生体認証等でもよい。カウンタ１２ｂの書き込み用の専用の手順を採用することで、ファームウェア２２のロールバックに対するセキュリティを担保することができる。

【0020】

例えば、バージョン検証部１４および書き込み制御部１６の動作は、プロセッサ回路１０が実行するバージョン管理プログラムにより実現される。そして、バージョン管理プログラムの実行によりバージョン管理方法が実現される。また、エラー処理部は、プロセッサ回路１０が実行するエラー処理プログラムにより実現されてもよい。なお、バージョン検証部１４、書き込み制御部１６およびエラー処理部の１つまたは複数は、ハードウェアにより実現されてもよい。

【0021】

図２は、図１のカウンタ１２ａ、１２ｂを使用してファームウェアのバージョンの更新を管理する例を示す。図２に示す動作は、バージョン検証部１４および書き込み制御部１６により実施されるバージョン管理方法の例を示す。また、図２に示す動作は、プロセッサ回路１０が実行するバージョン管理プログラムによる動作の例を示す。

【0022】

カウンタ１２ａ、１２ｂのカウンタ値ＣＮＴａ、ＣＮＴｂは、最下位ビットから上位ビットに向けてビット値が"１"ずつセットすることで増加される。ビット値の"１"から"０"への書き換えはできない。バージョン格納部１２に設定されたファームウェアのバージョンのチェック値は、カウンタ値ＣＮＴａ、ＣＮＴｂの差（ＣＮＴａ－ＣＮＴｂ）で示される。カウンタ値ＣＮＴａ、ＣＮＴｂの先頭に示す「４'ｂ」または「５'ｂ」は、２進数の４ビットまたは２進数の５ビットをそれぞれ示す。

【0023】

図２（Ａ）は、ファームウェアのバージョン（チェック値）を増加させる場合のカウンタ１２ａ、１２ｂの動作の例が示される。図２（Ａ）では、ファームウェア２２のバージョンは、状態Ａ０から状態Ａ４にかけて、"０"から"４"に順次更新される。カウンタ１２ｂのカウンタ値ＣＮＴｂが"０"に維持されるため、カウンタ値ＣＮＴａはチェック値を示す。そして、カウンタ値ＣＮＴａと、起動するファームウェア２２とが一致した場合、ファームウェア２２が起動される。

【0024】

図２（Ｂ）は、ファームウェア２２のバージョンのアップ後に問題が発生し、バージョン（チェック値）を１つ前にロールバックする場合のカウンタ１２ａ、１２ｂの動作の例が示される。バージョン（チェック値）を戻す場合、ファームウェア２２を起動する前に、現在のバージョンと戻した後のバージョンとの差の分の値だけカウンタ１２ｂのカウンタ値ＣＮＴｂが加算される。

【0025】

なお、図２（Ｂ）の初期状態Ｂ０では、カウンタ値ＣＮＴａは、「４'ｂ０１１１＝３」であるため、起動可能なファームウェア２２のバージョンは"３"である。この例では、バージョンを１つ前に戻すため、カウンタ値ＣＮＴｂは、状態Ｂ０の「４'ｂ００００」から状態Ｂ１の「４'ｂ０００１」に"１"増加される。カウンタ値ＣＮＴｂが"１"増加することにより、起動可能なファームウェア２２のバージョンは"２"になる。

【0026】

上述したように、カウンタ値ＣＮＴｂの更新は、セキュリティを担保するためにパスワード認証または公開鍵認証方式等を使用して、ロールバック専用の状態に遷移させて行われる。なお、セキュリティが担保された試験または装置のデバッグを目的とする専用の状態が用意されている場合、その手順に従ってカウンタ値ＣＮＴｂが更新されてもよい。

【0027】

この後、バージョン＝"３"のファームウェア２２を起動する場合、カウンタ値ＣＮＴａは、状態Ｂ１の「４'ｂ０１１１」から"１"増加され、状態Ｂ２の「４'ｂ１１１１」に更新される。これにより、バージョン格納部１２に保持されるチェック値は"３"に戻り、バージョン＝"３"のファームウェア２２が起動可能になる。

【0028】

図２（Ｃ）は、カウンタ１２ａ、１２ｂのビット数が図２（Ｂ）より１ビット多い場合のカウンタ１２ａ、１２ｂの動作の例が示される。図２（Ｃ）の状態Ｃ０～Ｃ２は、カウンタ１２ａ、１２ｂのビット数が異なることを除き、図２（Ｂ）の状態Ｂ０～Ｂ２と同様である。カウンタ１２ａ、１２ｂのビット数を１ビット増やすことで、バージョンを１つ前に戻す場合にも、起動可能なファームウェア２２のバージョンは、その後"４"まで更新可能になる。

【0029】

なお、バージョン（チェック値）を戻した場合、カウンタ値ＣＮＴａ、ＣＮＴｂで表現可能なチェック値の最大値は小さくなる。例えば、図２（Ｂ）に示す４ビットのカウンタ１２ａでは、バージョンを"４"に設定することはできない。図２（Ｃ）に示す４ビットのカウンタ１２ａでは、バージョンを"５"に設定することはできない。このため、カウンタ１２ａ、１２ｂのビット数は、想定されるファームウェアの運用状況を考慮して、最大のバージョン数および最大のロールバック数に合わせて設計される。図２では、カウンタ１２ａ、１２ｂのビット数を４ビットまたは５ビットとしているが、カウンタ１２ａ、１２ｂのビット数は、ファームウェア２２のバージョンの最大の更新数に応じた任意の値に設定することができる。

【0030】

図３は、図１のプロセッサ回路１０によるファームウェアの更新動作のフローの一例を示す。プロセッサ回路１０は、マザーボード１００が搭載される装置が起動されたことに基づいて、図３に示すファームウェアの起動処理を開始する。

【0031】

まず、ステップＳ１０において、書き込み制御部１６は、カウンタ１２ｂの書き込み用の専用の手順を受信したか否かを判定する。書き込み制御部１６は、専用の手順を受信した場合、処理をステップＳ１２に移行し、専用の手順を受信しない場合、通常のファームウェアの起動処理を実施するために、処理をステップＳ１４に移行する。

【0032】

ステップＳ１２において、書き込み制御部１６は、専用の手順により認証処理等を行い、認証処理が成功したことに基づいてカウンタ１２ｂのカウンタ値ＣＮＴｂを指示された値に更新し、図３に示す処理を終了する。なお、カウンタ１２ｂが更新された後、マザーボード１００が搭載される装置は再起動される。これにより、カウンタ１２ｂの更新後に図３に示す処理が再び、実施される。

【0033】

ステップＳ１４において、バージョン検証部１４は、起動するファームウェア２２のバージョンをファームウェア格納領域２０から読み出す。次に、ステップＳ１６において、バージョン検証部１４は、読み出したバージョンとカウンタ１２ａ、カウンタ１２ｂから読み出したカウンタ値ＣＮＴａ、ＣＮＴｂの差（ＣＮＴａ－ＣＮＴｂ；チェック値）とを比較する。

【0034】

次に、ステップＳ１８において、バージョン検証部１４は、読み出したバージョンが差（ＣＮＴａ－ＣＮＴｂ）より大きい場合、バージョン格納部１２に保持されるチェック値を起動するファームウェア２２のバージョンに合わせるため、処理をステップＳ２０に移行する。バージョン検証部１４は、読み出したバージョンが差（ＣＮＴａ－ＣＮＴｂ）と等しい場合、ファームウェア格納領域２０から読み出されるファームウェア２２が起動可能であるため、処理をステップＳ２２に移行する。バージョン検証部１４は、読み出したバージョンが差（ＣＮＴａ－ＣＮＴｂ）より小さい場合、ファームウェア２２の起動処理のエラーを検出し、ファームウェア２２の起動を停止させるために、処理をステップＳ２４に移行する。

【0035】

ステップＳ２０において、バージョン検証部１４は、起動するファームウェア２２のバージョンとチェック値（ＣＮＴａ－ＣＮＴｂ）との差を書き込み制御部１６に通知する。書き込み制御部１６は、受信した差に基づいて、チェック値（ＣＮＴａ－ＣＮＴｂ）がファームウェア２２のバージョンと等しくなるまでカウンタ１２ａのカウンタ値ＣＮＴａを増加させる。ステップＳ２０の後、処理はステップＳ２２に移行される。ステップＳ２２において、バージョン検証部１４は、バージョンの管理処理を完了し、ファームウェア２２の起動をプロセッサ回路１０に指示し、図３に示す処理を終了する。そして、ファームウェア２２が起動された後、例えば、ＯＳが起動される。

【0036】

ステップＳ２４において、バージョン検証部１４は、プロセッサ回路１０にファームウェア２２の起動を停止させる。また、バージョン検証部１４は、エラーの発生と、マザーボード１００が搭載される装置の起動を停止する指示とをプロセッサ回路１０のエラー処理部等に出力し、図３に示す処理が終了する（起動の失敗）。これにより、不正なバージョンのファームウェア２２が起動されることを抑止することができる。

【0037】

以上、この実施形態では、書き込み制御部１６は、不揮発性メモリであるバージョン格納部１２に設けられた２つのカウンタＣＮＴａ、ＣＮＴｂの一方をバージョンを上げるときに更新し、他方をバージョンを下げるときに更新する。これにより、２つのカウンタＣＮＴａ、ＣＮＴｂによりバージョンの上げ下げを複数回実施することができる。この結果、ファームウェア等のソフトウェアのバージョンを管理するメモリの容量を抑えることができる。

【0038】

カウンタ値ＣＮＴａを増加させることでバージョンを上げることができ、カウンタ値ＣＮＴｂを増加させることでバージョンを下げることができる。このため、例えば、ＯＴＰメモリに設けたカウンタ１２ａ、１２ｂのカウンタ値ＣＮＴａ、ＣＮＴｂの差であるチェック値を利用して、バージョンアップとバージョンダウンとを容易に管理することができる。例えば、起動するファームウェア２２のバージョンがチェック値より大きいとき、チェック値と起動するファームウェア２２のバージョンとが等しくなるまで、カウンタ値ＣＮＴａを更新することで、容易にバージョンアップすることができる。

【0039】

バージョン検証部１４は、起動するファームウェア２２のバージョンが差（ＣＮＴａ－ＣＮＴｂ）より小さい場合、ファームウェア２２の起動処理のエラーを検出し、ファームウェア２２の起動を停止させる。これにより、不正なバージョンのファームウェア２２が起動されることを抑止することができる。

【0040】

バージョンをロールバックするときに使用するカウンタ値ＣＮＴｂは、認証処理等のカウンタ１２ｂの書き込み用の専用の手順に基づいて更新されるため、ファームウェアのバージョン管理におけるセキュリティの担保と運用性とを両立することができる。ここで、運用性とは、例えば、ファームウェアに問題が発生したときに迅速にバージョンをロールバックして試験を実施できること、それにより、ファームウェアのデバッグ効率の低下が抑制できることなどを含む。これに対して、ファームウェアのロールバックを実施するために、装置の交換が発生する場合、迅速なロールバックは困難である。

【0041】

なお、マザーボード１００が搭載されるサーバ等の装置は、ネットワークに接続されることが多く、ネットワークを介してサイバー攻撃を受けるおそれがある。このような場合にも、ファームウェア２２の不正なロールバック等を抑止することができ、装置がコンピュータウイルスに感染するなどの不具合の発生の可能性を低減することができる。この結果、マザーボード１００が搭載されるサーバ等の装置の信頼性が低下することを抑制することができる。

【0042】

図４は、別の実施形態におけるプロセッサ回路が搭載されるマザーボートの一例を示す。図１と同様の要素については、同じ符号を付し、詳細な説明は省略する。図４に示すプロセッサ回路１０Ａは、例えば、ＣＰＵ等であり、ファームウェア２２が格納されるファームウェア格納領域２０とともにマザーボード１００Ａに搭載される。

【0043】

マザーボード１００Ａは、図１のプロセッサ回路１０の代わりにプロセッサ回路１０Ａが搭載されることを除き、図１のマザーボード１００の構成と同様である。プロセッサ回路１０Ａは、図１のバージョン格納部１２の代わりにバージョン格納部１２Ａを有することを除き、図１のプロセッサ回路１０の構成と同様である。

【0044】

バージョン格納部１２Ａは、図１のカウンタ１２ｂの代わりにカウンタ１２ｃが搭載されることを除き、図１のバージョン格納部１２と同様である。カウンタ１２ｃは、カウンタ値ＣＮＴｃを生成する。バージョン格納部１２Ａは、不揮発性メモリの一例である。カウンタ値ＣＮＴａを保持するカウンタ１２ａは、第１不揮発性メモリの一例である。カウンタ値ＣＮＴｃを保持するカウンタ１２ｃは、第２不揮発性メモリの一例である。

【0045】

例えば、カウンタ１２ｃは、複数のビットの各々の値を複数回書き換え可能なフラッシュメモリ等の不揮発性メモリを使用して設けられる。このため、カウンタ１２ｃは、通常の２進カウンタとして動作可能であり、カウンタ値ＣＮＴｃは２進数で示される。したがって、"１"にセットされているビットの数によりカウンタ値ＣＮＴｂが示される図１のカウンタ１２ｂに比べて、使用するビット数を節約することができる。すなわち、カウンタ１２ｃに使用するメモリ資源を、図１に比べてさらに低減することができる。例えば、"０"から"４"までをカウントする場合、図１のカウンタ１２ｂは４ビットを使用するが、カウンタ１２ｃは、３ビットの使用で済む。また、カウンタ１２ｃは、４ビットを有する場合、"０"から"１５"までカウント可能である。

【0046】

カウンタ１２ｃにフラッシュメモリ等の不揮発性メモリを使用する場合、"１"が書き込まれたビットの値を"０"に戻すことができる。しかしながら、カウンタ１２ｃへの書き込みは、書き込み制御部１６により、パスワード認証または公開鍵認証等のカウンタ１２ｃの書き込み用の専用の手順を使用して実施される。このため、不正な値がカウンタ１２ｃに書き込まれることを抑止することができ、ファームウェアの不正なロールバックを抑止することができる。なお、カウンタ１２ｃの書き込み用の専用の手順は、パスワード認証または公開鍵認証等に限定されない。

【0047】

図５は、図４のカウンタ１２ａ、１２ｃを使用してファームウェアのバージョンの更新を管理する例を示す。図２と同様の動作については、詳細な説明は省略する。図５（Ａ）は、ファームウェア２２のバージョンのアップ後に問題が発生し、バージョンを２つ前にロールバックする場合のカウンタ１２ａ、１２ｃの動作の例が示される。図２（Ｂ）と同様に、バージョンを戻す場合、ファームウェア２２を起動する前に、現在のバージョンと戻すバージョンとの差の分の値だけカウンタ１２ｃのカウンタ値ＣＮＴｃが加算される。

【0048】

この例では、バージョンを２つ前に戻すため、カウンタ値ＣＮＴｃは、状態Ａ０の「４'ｂ００００」から状態Ａ１の「４'ｂ００１０」に"２"増加される。これにより、カウンタ値ＣＮＴａ、ＣＮＴｃの差は、"１"になり、バージョン＝"１"のファームウェア２２の起動が可能になる。なお、初期状態Ａ０では、カウンタ値ＣＮＴａは、「５'ｂ００１１１」＝"３"であるため、起動可能なファームウェア２２のバージョンは"３"である。

【0049】

図４のプロセッサ回路１０Ａによるファームウェアの更新動作のフローは、図３と同じである。このため、カウンタ１２ａのカウンタ値ＣＮＴａは、ファームウェア２２の通常の起動時において、ファームウェア２２のバージョンがカウンタ値ＣＮＴａ、ＣＮＴｃの差であるチェック値より大きい場合、更新される。また、カウンタ１２ａは、ＯＴＰメモリが使用されるため、増加方向のみしか更新されない。このため、例えば、悪意を持ってカウンタ１２ａが更新された場合にも、現在のバージョンより大きな値への更新のみであり、更新後に装置は起動できなくなる。さらに、カウンタ値ＣＮＴｃは、図３のステップＳ１２でのみ更新可能であるため、カウンタ１２ｃのカウンタ値ＣＮＴｃは、ファームウェア２２の通常の起動時にいかなる条件においても更新が禁止される。したがって、ファームウェアのバージョンに関する装置のセキュリティを担保することができる。

【0050】

この後、バージョン＝"２"のファームウェア２２を再度起動する場合、カウンタ値ＣＮＴａは、状態Ａ１の「５'ｂ００１１１」から状態Ａ２の「５'ｂ０１１１１」に更新される。これにより、バージョン格納部１２に保持されるバージョンは"２"に設定される。さらに、バージョン＝"３"のファームウェア２２を再度起動する場合、カウンタ値ＣＮＴａは、状態Ａ２の「５'ｂ０１１１１」から状態Ａ３の「５'ｂ１１１１１」に更新される。これにより、バージョン格納部１２に保持されるバージョンは"３"に設定される。図５においても、カウンタ１２ａ、１２ｃのビット数は、想定されるファームウェアの運用状況を考慮して、最大のバージョンおよび最大のロールバック数に合わせて設計される。

【0051】

図６は、上述した実施形態におけるカウンタの別の例を示す。図６（Ａ）は、図１のカウンタ１２ａ（ＯＴＰ）のビット数を９６ビットとし、図１のカウンタ１２ｂ（ＯＴＰ）のビット数を３２ビットとしている。これにより、ロールバック可能なバージョンを最大で"３２"にすることができる。また、最大数のロールバックを実施した場合にも、"６４"までのバージョンに対応させることができる。

【0052】

図６（Ｂ）は、図４のカウンタ１２ａ（ＯＴＰ）のビット数を９６ビットとし、図４のカウンタ１２ｃ（フラッシュメモリ）のビット数を６ビットとしている。カウンタ１２ｃは、カウンタ値ＣＮＴｃが２進数で表現されるため、カウンタ１２ｂで実現可能なロールバックと同等、あるいはそれ以上の"０"～"６３"まで設定することができる。このため、メモリ資源を削減することが可能になる。

【0053】

以上、この実施形態においても、上述した実施形態と同様の効果を得ることができる。例えば、２つのカウンタＣＮＴａ、ＣＮＴｃによりバージョンの上げ下げを複数回実施することができ、ファームウェア等のソフトウェアのバージョンを管理するメモリの容量を抑えることができる。カウンタ１２ａ、１２ｃのカウンタ値ＣＮＴａ、ＣＮＴｃの差であるチェック値を利用して、バージョンアップとバージョンダウンとを容易に管理することができる。

【0054】

さらに、この実施形態では、カウンタ１２ｃが、通常の２進カウンタとして動作可能なフラッシュメモリ等の不揮発性メモリを使用して設けられるため、図１のカウンタ１２ｂに比べて、使用するビット数を節約することができる。この結果、カウンタ１２ｃに使用するメモリ資源を、図１に比べてさらに低減することができる。

【0055】

図７は、別の一実施形態におけるプロセッサ回路が搭載されるマザーボートの一例を示す。図１と同様の要素については、同じ符号を付し、詳細な説明は省略する。図７に示すマザーボード１００Ｂは、ＣＰＵ１０Ｂと、ファームウェア格納領域２０と、セキュリティに関する各種機能を含むＴＰＭ（Trusted Platform Module）３０とを有する。マザーボード１００Ａは、図１のプロセッサ回路１０の代わりにＣＰＵ１０Ｂが搭載され、新たにＴＰＭ３０が搭載されることを除き、図１のマザーボード１００と同様である。なお、この実施形態では、マザーボード１００Ｂは、プロセッサ回路として動作する。以下では、マザーボード１００Ｂは、プロセッサ回路１００Ｂとも称される。

【0056】

ＣＰＵ１０Ｂは、図１のバージョン格納部１２の代わりにバージョン格納部１２Ｂを有することを除き、図１のプロセッサ回路１０と同様である。バージョン格納部１２Ｂは、カウンタ値ＣＮＴｂを生成するカウンタ１２ｂ（オンチップのＯＴＰメモリ）のみが搭載される。バージョン格納部１２Ｂは、不揮発性メモリの一例である。

【0057】

この実施形態では、カウンタ１２ａは、セキュリティ機能を含むセキュリティチップであるＴＰＭ３０に搭載される。このため、バージョン検証部１４は、ファームウェア格納領域２０に保持されているファームウェア２２の起動時に、ＴＭＰ３０内のカウンタ１２ａに保持されたカウンタ値ＣＮＴａとバージョン格納部１２のカウンタ１２ｂに保持されたカウンタ値ＣＮＴｂとを読み出して比較する。図７のＣＰＵ１０Ｂによるファームウェアの更新動作は、図２および図３と同じである。

【0058】

図７に示すように、例えば、ＴＰＭ３０がマザーボード１００Ｂに搭載済みの場合、ＴＰＭ３０を利用してカウンタ１２ａを実現できるため、カウンタ１２ａを設ける資源を削減することができる。このように、カウンタ１２ａ（ＯＴＰ）をバージョン検証部１４からアクセス可能な任意の場所に搭載することができるため、ファームウェア２２のバージョンの検証方法をマザーボード１００Ｂに組み込む障壁を低くすることができる。

【0059】

以上、この実施形態においても、上述した実施形態と同様の効果を得ることができる。例えば、２つのカウンタＣＮＴａ、ＣＮＴｂによりバージョンの上げ下げを複数回実施することができ、ファームウェア等のソフトウェアのバージョンを管理するメモリの容量を抑えることができる。カウンタ１２ａ、１２ｂのカウンタ値ＣＮＴａ、ＣＮＴｂの差であるチェック値を利用して、バージョンアップとバージョンダウンとを容易に管理することができる。

【0060】

さらに、この実施形態では、ＴＰＭ３０がマザーボード１００Ｂに搭載済みの場合、ＴＰＭ３０を利用してカウンタ１２ａを実現でき、カウンタ１２ａを設ける資源を削減することができる。カウンタ１２ａ（ＯＴＰ）をバージョン検証部１４からアクセス可能な任意の場所に搭載することができるため、ファームウェア２２のバージョンの検証方法をマザーボード１００Ｂに組み込む障壁を低くすることができる。

【0061】

以上の詳細な説明により、実施形態の特徴点および利点は明らかになるであろう。これは、特許請求の範囲がその精神および権利範囲を逸脱しない範囲で前述のような実施形態の特徴点および利点にまで及ぶことを意図するものである。また、当該技術分野において通常の知識を有する者であれば、あらゆる改良および変更に容易に想到できるはずである。したがって、発明性を有する実施形態の範囲を前述したものに限定する意図はなく、実施形態に開示された範囲に含まれる適当な改良物および均等物に拠ることも可能である。

【符号の説明】

【0062】

１０、１０Ａ、１０Ｂ プロセッサ回路
１２、１２Ａ、１２Ｂ バージョン格納部
１２ａ、１２ｂ、１２ｃ カウンタ
１４ バージョン検証部
１６ 書き込み制御部
２０ ファームウェア格納領域
２２ ファームウェア
３０ ＴＰＭ
１００、１００Ａ、１００Ｂ マザーボード
ＣＮＴａ、ＣＮＴｂ、ＣＮＴｃ カウンタ値

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】