特開 2025-6749 制御装置，制御方法および制御プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2025006749

(43)【公開日】2025-01-17

(54)【発明の名称】制御装置，制御方法および制御プログラム

(51)【国際特許分類】

   G06F 21/62 20130101AFI20250109BHJP

【ＦＩ】

G06F21/62 318

【審査請求】未請求

【請求項の数】6

【出願形態】ＯＬ

(21)【出願番号】P 2023107731

(22)【出願日】2023-06-30

(71)【出願人】

【識別番号】598057291

【氏名又は名称】エフサステクノロジーズ株式会社

(74)【代理人】

【識別番号】110003649

【氏名又は名称】弁理士法人真田特許事務所

(74)【代理人】

【識別番号】100189201

【弁理士】

【氏名又は名称】横田 功

(72)【発明者】

【氏名】山田 英弘

(57)【要約】      （修正有）

【課題】記憶部に対する不正規なアクセスを抑制する制御装置，制御方法および制御プログラムを提供する。
【解決手段】サーバコンピュータ等においてシステムボード上に搭載され、記憶部とバスによって直結される制御装置１０（ＢＭＣ（Baseboard Management Controller））であって、記憶部に所定の情報が書き込まれているかを判断するアクセス判断部２１と、所定の情報が書き込まれている場合には、記憶部へのアクセスを許可し、所定の情報が書き込まれていない場合には、不正規のアクセスと判断して前記記憶部へのアクセスを阻害するアクセス制御部２２と、を備える。
【選択図】図２

【特許請求の範囲】

【請求項1】

記憶部とバスによって直結される制御装置であって、
前記記憶部に所定の情報が書き込まれているかを判断するアクセス判断部と、
前記所定の情報が書き込まれている場合は前記記憶部へのアクセスを許可し、前記所定の情報が書き込まれていない場合には不正規のアクセスと判断して前記記憶部へのアクセスを阻害するアクセス制御部と
を備えることを特徴とする、制御装置。

【請求項2】

前記バスに、デバイスが前記記憶部にアクセスするためのデータアクセスピンが形成され、
前記アクセス判断部は、正規のデバイスが前記記憶部に前記所定の情報の書き込みを完了するために要する時間以上となるように決定された間隔をおいて定期的に、前記所定の情報が書き込まれているかの判断を行なう
ことを特徴とする、請求項１に記載の制御装置。

【請求項3】

前記アクセス判断部は、前記記憶部へのアクセスが検出されると、前記記憶部に所定の情報が書き込まれているかの判断を行なう
ことを特徴とする、請求項１または２に記載の制御装置。

【請求項4】

前記バスが、ＳＰＩ（Serial Peripheral Interface）に基づく通信を行なう
ことを特徴とする、請求項１に記載の制御装置。

【請求項5】

記憶部とバスによって直結される制御装置において、
前記記憶部に所定の情報が書き込まれているかを判断し、
前記所定の情報が書き込まれている場合は前記記憶部へのアクセスを許可し、前記所定の情報が書き込まれていない場合には不正規のアクセスと判断して前記記憶部へのアクセスを阻害する
処理を制御部が実行することを特徴とする、制御方法。

【請求項6】

記憶部とバスによって直結され、プロセッサを有する制御装置において、
前記記憶部に所定の情報が書き込まれているかを判断し、
前記所定の情報が書き込まれている場合は前記記憶部へのアクセスを許可し、前記所定の情報が書き込まれていない場合には不正規のアクセスと判断して前記記憶部へのアクセスを阻害する
処理を前記プロセッサに実行させることを特徴とする、制御プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、制御装置，制御方法および制御プログラムに関する。

【背景技術】

【0002】

サーバコンピュータ等において、マザーボード上にＢＭＣ（Baseboard Management Controller）を搭載し、このＢＭＣによってサーバコンピュータを監視することが行なわれている。以下、サーバコンピュータを単にサーバという場合がある。

【0003】

サーバ内部のデバイス間の通信手段として、ＳＰＩ（Serial Peripheral Interface）が知られている。また、サーバにおいて、ＢＭＣと、当該ＢＭＣが実行するファームウェアを格納するＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）との接続にもＳＰＩが用いられている。

【0004】

図５はサーバの基盤上におけるＢＭＣとＥＥＰＲＯＭとの接続を例示する図である。

【0005】

この図５において、サーバのマザーボード５００上に、ＢＭＣ５０１とＥＥＰＲＯＭ５０２とが搭載されている。これらのＢＭＣ５０１とＥＥＰＲＯＭ５０２とはＳＰＩ規格のバス５０３を介して接続されている。

【0006】

また、当該バス５０３にはデバッグピン５０４が接続されており、このデバッグピン５０４にデバッグツール５０５が接続される。デバッグツール５０５は、デバッグピン５０４およびバス５０３を介してＥＥＰＲＯＭ５０２にアクセスして、データの読み出し等を行なう。

【0007】

ＥＥＰＲＯＭ５０２にはＢＭＣ５０１が実行するファームウェアと当該ファームウェアが用いる設定情報とが格納されている。ファームウェアのセキュリティは、サーバのブート時にファームウェアをＥＥＰＲＯＭ５０２からＢＭＣ５０１に読み出す際にハッシュを用いた暗号化を行なうことにより実現されている。

【0008】

なお、設定情報はファームウェアからの読み出しに際して暗号化されていないため、読み出しが可能な部分ができてしまう。

【0009】

デバイス間におけるＳＰＩ通信においては、マスタ（ＳＰＩマスタ）のデバイスが主体となって、スレーブ（ＳＰＩスレーブ）のデバイスへデータ読み込み書きを要求する。

【0010】

ＳＰＩに準拠するデバイスは、クロック（ＣＬＫ），チップセレクト（ＣＳ），マスタ出力／スレーブ入力（ＭＯＳＩ）およびマスタ入力／スレーブ出力（ＭＩＳＯ）の各信号端子を備える。

【0011】

ここで、ＣＳは、複数のデバイス（マイコン）を接続した場合にモード・フォルト検出を有効にすることで、同時に複数のデバイスがマスタになる事を防止する。マスタは対象スレーブのＣＳをＬ（Ｌｏｗ）の状態にすることで当該スレーブと通信ができるようになる。また、複数のマスタがある場合において、ＣＳがＨ（Ｈｉｇｈ）の状態では通信を行なうことができない。

【0012】

例えば、図５に示す例において、デバッグツール５０５がＥＥＰＲＯＭ５０２にアクセスしてデータの読み書きを行なう場合に、デバッグツール５０５はマスタとしてＣＳをＬにした後に、ＥＥＰＲＯＭ５０２に対してアクセスを行なう。

【0013】

また、ＢＭＣ５０１は、ＳＰＩの既知の機能によりＣＳがＬとなったことを検知することで、自身以外（例えば、デバッグツール５０５）によるＥＥＰＲＯＭ５０２へのアクセスを検知することができる。

【先行技術文献】

【特許文献】

【0014】

【特許文献1】特開２００７－１８４４２号公報

【特許文献2】特開平６－６７９８５号公報

【発明の概要】

【発明が解決しようとする課題】

【0015】

上述したＳＰＩ通信においては、ＢＭＣ５０１は、ＳＰＩの機能によりＣＳがＬとなったことを検知し、自身以外によるＥＥＰＲＯＭ５０２へのアクセスを検知することができるが、ＥＥＰＲＯＭ５０２へのアクセスが、正規のデバッカによるものなのか、不正規なデバイスによるハッキングによるものなのか判定することができないという課題がある。

【0016】

１つの側面では、本発明は、記憶部に対する不正規なアクセスを抑制することを目的とする。

【課題を解決するための手段】

【0017】

このため、この制御装置は、記憶部とバスによって直結される制御装置であって、前記記憶部に所定の情報が書き込まれているかを判断するアクセス判断部と、前記所定の情報が書き込まれている場合は前記記憶部へのアクセスを許可し、前記所定の情報が書き込まれていない場合には不正規のアクセスと判断して前記記憶部へのアクセスを阻害するアクセス制御部とを備える。

【発明の効果】

【0018】

一実施形態によれば、記憶部に対する不正規なアクセスを抑制することができる。

【図面の簡単な説明】

【0019】

【図1】一実施形態に係るＢＭＣを搭載するシステムボードのハードウェア構成を例示する図である。

【図2】一実施形態に係るＢＭＣの機能構成を示す図である。

【図3】一実施形態に係るＢＭＣによる、正規デバッカからの正規アクセスが行なわれた場合の処理を説明するためのタイミングチャートである。

【図4】一実施形態に係るＢＭＣによる、不正規デバッカからの正規アクセスが行なわれた場合の処理を説明するためのタイミングチャートである。

【図5】サーバの基盤上におけるＢＭＣとＥＥＰＲＯＭとの接続を例示する図である。

【発明を実施するための形態】

【0020】

以下、図面を参照して本制御装置，制御方法および制御プログラムに係る実施の形態を説明する。ただし、以下に示す実施形態はあくまでも例示に過ぎず、実施形態で明示しない種々の変形例や技術の適用を排除する意図はない。すなわち、本実施形態を、その趣旨を逸脱しない範囲で種々変形して実施することができる。また、各図は、図中に示す構成要素のみを備えるという趣旨ではなく、他の機能等を含むことができる。

【0021】

（Ａ）構成
（Ａ－１）ハードウェア構成
図１は一実施形態に係るＢＭＣ１０を搭載するシステムボード１のハードウェア構成を例示する図である。

【0022】

システムボード１は、図示しないサーバコンピュータ等に搭載される基板装置である。システムボードをマザーボードといってもよい。

【0023】

図１に例示するシステムボード１には、ＣＰＵ（Central Processing Unit）１４，ＤＩＭＭ（Dual Inline Memory Module）１５，ＦＡＮ１６，インタフェースカード１７，ＰＳＵ１８，ＢＭＣ１０およびファームウェアメモリ１３が搭載されている。

【0024】

また、図１に例示するシステムボード１においては、ＣＰＵ１４，ＤＩＭＭ１５，ＦＡＮ１６，インタフェースカード１７，ＰＳＵ１８のそれぞれを複数備えることで冗長化されている。

【0025】

ＢＭＣ１０は、システムボード１や、当該システムボード１が搭載されたサーバコンピュータに搭載された機器を監視する制御装置であり、これらのシステムボード１や各機器の情報を収集する。ＢＭＣ１０を管理装置といってよい。ＢＭＣ１０は、例えばＬＳＩ（Large Scale Integration）チップとして構成されてもよい。

【0026】

ＢＭＣ１０は、図１に示すように、プロセッサ１１およびメモリ１２を構成要素として有する。ＢＭＣ１０はコンピュータである。また、ＢＭＣ１０にはファームウェアメモリ１３がＳＰＩ規格のバス２３を介して接続されている。

【0027】

また、このバス２３にはデバッグピン２４が接続されており、このデバッグピン２４に図示しないデバイスが接続される。デバッグピン２４はデバイスがファームウェアメモリ１３（記憶部）にアクセスするためのデータアクセスピンに相当する。後述する正規デバッカおよび不正規デバッカは、このデバッグピン２４を介してファームウェアメモリ１３に接続される。これらの正規デバッカおよび不正規デバッカはデバイスの一例に相当する。

【0028】

ファームウェアメモリ１３は、プロセッサ１１によって実行されるファームウェア（プログラム）や当該ファームウェアが用いる設定情報を読み出し可能に記憶する記憶部である。

【0029】

ファームウェアには、ＢＭＣ１０によって本実施形態のセキュリティ機能を実現するためにプロセッサ１１によって実行される制御プログラムが含まれてもよい。

【0030】

ファームウェアメモリ１３は、例えば、ＲＯＭ（Read Only Memory）であってよい。本実施形態においては、ファームウェアメモリ１３がＥＥＰＲＯＭである例について示す。

【0031】

また、ファームウェアメモリ１３として、例えば、ストレージクラスメモリ（ＳＣＭ：Storage Class Memory）や、フラッシュメモリ等の半導体記憶装置（ＳＳＤ：Solid State Drive）を使用することもできる。

【0032】

プロセッサ１１は、ＢＭＣ１０全体を制御する制御部である。プロセッサ１１は、マルチプロセッサであってもよい。プロセッサ１１は、例えばＣＰＵ（Central Processing Unit），ＭＰＵ（Micro Processing Unit），ＤＳＰ（Digital Signal Processor），ＡＳＩＣ（Application Specific Integrated Circuit），ＰＬＤ（Programmable Logic Device），ＦＰＧＡ（Field Programmable Gate Array）のいずれか一つであってもよい。また、プロセッサ１１は、ＣＰＵ，ＭＰＵ，ＤＳＰ，ＡＳＩＣ，ＰＬＤ，ＦＰＧＡのうちの２種類以上の要素の組み合わせであってもよい。

【0033】

メモリ１２は、ＢＭＣ１０の主記憶装置として使用される。メモリ１２には、プロセッサ１１に実行させるファームウェア（プログラム）の少なくとも一部が一時的に格納される。また、メモリ１２には、プロセッサ１１による処理に必要な各種データが格納される。プロセッサ１１による処理に必要な各種データには、ファームウェアメモリ１３から読み出される設定情報が含まれてよい。

【0034】

ＢＭＣ１０は、例えばコンピュータ読み取り可能な非一時的な記録媒体に記録されたプログラム（制御プログラム等）を実行することにより、本実施形態のセキュリティ機能を実現する。ＢＭＣ１０に実行させる処理内容を記述したプログラム（ファームウェア）は、様々な記録媒体に記録しておくことができる。例えば、ＢＭＣ１０に実行させるプログラムをファームウェアメモリ１３に格納しておくことができる。プロセッサ１１は、ファームウェアメモリ１３内のプログラムの少なくとも一部をメモリ１２にロードし、ロードしたプログラムを実行する。

【0035】

また、ＢＭＣ１０（プロセッサ１１）に実行させるプログラムを、図示しない光ディスク，メモリ装置，メモリカード等の非一時的な可搬型記録媒体に記録しておくこともできる。可搬型記録媒体に格納されたプログラムは、例えばプロセッサ１１からの制御により、ファームウェアメモリ１３にインストールされた後、実行可能になる。また、プロセッサ１１が、可搬型記録媒体から直接プログラムを読み出して実行することもできる。

【0036】

（Ａ－２）機能構成
図２は一実施形態に係るＢＭＣ１０の機能構成を示す図である。

【0037】

ＢＭＣ１０は、図２に示すように、少なくともアクセス判断部２１およびアクセス制御部２２としての機能を有している。

【0038】

ＢＭＣ１０のプロセッサ１１が、ファームウェアに含まれる制御プログラムを実行することにより、これらのアクセス判断部２１およびアクセス制御部２２として機能する。

【0039】

なお、これらのアクセス判断部２１およびアクセス制御部２２としての機能を実現するためのプログラム（制御プログラム）は、例えばフレキシブルディスク，ＣＤ（ＣＤ－ＲＯＭ，ＣＤ－Ｒ，ＣＤ－ＲＷ等），ＤＶＤ（ＤＶＤ－ＲＯＭ，ＤＶＤ－ＲＡＭ，ＤＶＤ－Ｒ，ＤＶＤ＋Ｒ，ＤＶＤ－ＲＷ，ＤＶＤ＋ＲＷ，ＨＤ ＤＶＤ等），ブルーレイディスク，磁気ディスク，光ディスク，光磁気ディスク等の、コンピュータ読取可能な記録媒体に記録された形態で提供される。そして、ＢＭＣ１０（コンピュータ）はその記録媒体からプログラムを読み取って内部記憶装置または外部記憶装置に転送し格納して用いる。また、そのプログラムを、例えば磁気ディスク，光ディスク，光磁気ディスク等の記憶装置（記録媒体）に記録しておき、その記憶装置から通信経路を介してコンピュータに提供するようにしてもよい。

【0040】

アクセス判断部２１およびアクセス制御部２２としての機能を実現する際には、内部記憶装置（本実施形態ではメモリ１２）に格納されたプログラムがコンピュータのマイクロプロセッサ（本実施形態ではプロセッサ１１）によって実行される。このとき、記録媒体に記録されたプログラムをコンピュータが読み取って実行するようにしてもよい。

【0041】

アクセス判断部２１は、ファームウェアメモリ１３に対するアクセスが行なわれた場合に、このアクセスが正規のアクセスであるか不正規のアクセスであるかを判断する。

【0042】

以下においては、ファームウェアメモリ１３に対して、正規のアクセスを行なうデバイス（正規デバイス）である正規デバッカ（図示省略）と、不正規のアクセスを行なうデバイス（不正規デバイス）である不正規デバッカ（図示省略）とのいずれかからアクセスが行なわれる例について示す。

【0043】

アクセス判断部２１は、ファームウェアメモリ１３に対するアクセスを監視する。具体的には、アクセス判断部２１は、ファームウェアメモリ１３における所定の記憶領域に、予め規定された識別情報が書き込まれているか否かを確認する。識別情報は所定の情報に相当する。

【0044】

この所定の記憶領域に識別情報が書き込まれている場合に、アクセス判断部２１は、ファームウェアメモリ１３に対して正規なアクセスが行なわれたと判断する。一方、この所定の記憶領域に識別情報が書き込まれていない場合に、アクセス判断部２１は、ファームウェアメモリ１３に対して不正規なアクセスが行なわれたと判断する。

【0045】

ここで、ファームウェアメモリ１３における所定の記憶領域は、例えば、ファームウェアメモリ１３の記憶領域の先頭の所定サイズ（例えば、３２バイト）の領域であってよい。ただし、所定の記憶領域は、ファームウェアメモリ１３の記憶領域の先頭領域に限定されるものではなく、他の領域であってもよく、種々変形して実施することができる。

【0046】

また、識別情報は、予め規定されたデータ列であってよく、例えば、所定長（例えば、３２バイト）を有する所定のデータ列であってよい。以下、識別情報を接続先識別子といってよい。

【0047】

以下、ファームウェアメモリ１３における、接続先識別子が格納される所定の記憶領域を識別領域といってよい。

【0048】

なお、ファームウェアメモリ１３の識別領域に接続先識別子が書き込まれているかを監視するためには、アクセス判断部２１がファームウェアメモリ１３にアクセスする必要がある。そのため、アクセス判断部２１は、ファームウェアメモリ１３のＣＳをＬにしてから、ファームウェアメモリ１３の識別領域のデータを読み出す。

【0049】

アクセス判断部２１がファームウェアメモリ１３の識別領域に接続先識別子が書き込まれているかを確認することを、識別領域の監視といってよい。

【0050】

また、アクセス判断部２１は、ファームウェアメモリ１３の識別領域の監視を、所定期間ごとに繰り返し実行する。すなわち、アクセス判断部２１は、ファームウェアメモリ１３の識別領域に対して定期的な監視（定期監視）を行なう。

【0051】

なお、この定期監視の間隔は、正規デバッカ（正規デバイス、デバイス）がファームウェアメモリ１３の識別領域に接続先識別子を書き込むために要する時間以上となるように決定される。定期監視の間隔は、例えば、数10msであってよい。

【0052】

アクセス判断部２１は、ファームウェアメモリ１３における識別領域を監視し、接続先識別子の書き込みが行なわれているか否かを判断するのである。

【0053】

ここで、バス２３で行なわれるＳＰＩ通信において、ファームウェアメモリ１３の識別領域への接続先識別子の書き込みは、マスタとなった正規デバイスが行なう。

【0054】

正規デバイスには、アクセス対象のファームウェアメモリ１３のＣＳをＬにした後、識別領域への接続先識別子の書き込みを行なう機能が搭載されている。正規デバイスは、識別領域への接続先識別子の書き込みを行なった後に、ファームウェアメモリ１３に対するデータアクセス（データの読み出しや書き込み）を実行する。

【0055】

なお、アクセス判断部２１は、例えば、ＳＰＩの既知の機能によりファームウェアメモリ１３のＣＳがＬとなったことを検知することで、ファームウェアメモリ１３に対して行なわれるアクセスを検知してよい。

【0056】

そして、アクセス判断部２１は、ファームウェアメモリ１３に対して行なわれたアクセスを検知すると、ファームウェアメモリ１３における識別領域を監視し、接続先識別子の書き込みが行なわれているか否かを判断してよい。

【0057】

アクセス制御部２２は、アクセス判断部２１による判断結果に従って、ファームウェアメモリ１３に対してデバイスが行なうアクセスを制御する。

【0058】

アクセス判断部２１による判断結果において、ファームウェアメモリ１３に対して不正規なアクセスが行なわれたと判断された場合には、アクセス制御部２２は、デバイス（不正規デバイス）によるファームウェアメモリ１３へのアクセスを阻害する。

【0059】

具体的には、アクセス制御部２２は、ファームウェアメモリ１３のＣＳをＬにする。これにより、ＢＭＣ１０以外のデバイスがファームウェアメモリ１３のＣＳをＬにすることができなくなる。従って、不正規デバッカがファームウェアメモリ１３にアクセスすることができなくなる。

【0060】

アクセス制御部２２は、疑似的に、ＢＭＣ１０以外からのファームウェアメモリ１３に対するアクセス競合を生成することで、アクセス阻害を実現するのである。

【0061】

アクセス制御部２２は、不正規デバッカからのファームウェアメモリ１３への接続が無くなったことを検知すると、ファームウェアメモリ１３へのアクセス阻害を解除する。

【0062】

具体的には、アクセス制御部２２は、ファームウェアメモリ１３のＣＳをＬからＨにする。これにより、ＢＭＣ１０以外のデバイスがファームウェアメモリ１３のＣＳをＬにすることができるようになる。従って、ＢＭＣ１０以外のデバイスがファームウェアメモリ１３にアクセスすることができるようになる。

【0063】

アクセス制御部２２は、ファームウェアメモリ１３のＣＳがＬからＨとなったことを検知することで、不正規デバッカからのファームウェアメモリ１３に対する接続が無くなったことを検知してよい。

【0064】

アクセス判断部２１による判断結果において、ファームウェアメモリ１３に対して正規なアクセスが行なわれたと判断された場合には、アクセス制御部２２は、デバイス（正規デバイス）によるファームウェアメモリ１３へのアクセスの阻害を行なわない。アクセス判断部２１は、ＣＳをＨにすることでファームウェアメモリ１３をアクセス許可状態にする。

【0065】

これにより、正規デバッカが、ファームウェアメモリ１３のＣＳをＬにし、ファームウェアメモリ１３のデータを読み込むことが可能となる。

【0066】

また、アクセス制御部２２は、正規デバッカからのファームウェアメモリ１３への接続が無くなったことを検知すると、ファームウェアメモリ１３の識別領域の接続先識別子を消去する。例えば、アクセス制御部２２は、識別領域に0や乱数値を上書きすることで接続先識別子を消去してよい。

【0067】

アクセス制御部２２は、ファームウェアメモリ１３のＣＳがＬからＨとなったことを検知することで、正規デバッカからのファームウェアメモリ１３に対する接続が無くなったことを検知してよい。

【0068】

（Ｂ）動作
上述の如く構成された一実施形態に係るＢＭＣ１０による、正規デバッカからの正規アクセスが行なわれた場合の処理を、図３に示すタイミングチャートを用いて説明する。

【0069】

本例においては、デバッグピン２４に正規デバッカが接続され、ファームウェアメモリ１３の所定の記憶領域のデータを読み出す例を示す。

【0070】

この図３においては、ＣＳ信号と、ＢＭＣ１０のマスタ出力／スレーブ入力信号（ＭＯＳＩ１）と、正規デバッカのマスタ出力／スレーブ入力信号（ＭＯＳＩ２）とを示す。

【0071】

ＢＭＣ１０（アクセス判断部２１）はファームウェアメモリ１３に対して定期的に監視アクセスを行なう。

【0072】

アクセス判断部２１は、ファームウェアメモリ１３の監視領域の定期監視を行なうべく、先ず、ＣＳをＬにする（図３の符号Ｐ１参照）。アクセス判断部２１は、ファームウェアメモリ１３の監視領域の監視を行ない、接続先識別子が書き込まれているかを確認する（図３の符号Ｐ２参照）。このタイミングでは、まだ、監視領域に接続先識別子は書き込まれていない。確認後、アクセス判断部２１は、ＣＳをＨにする（図３の符号Ｐ３参照）。

【0073】

ここで、正規デバッカが、ファームウェアメモリ１３にアクセスするために、ファームウェアメモリ１３の監視領域に接続先識別子を書き込むべくＣＳをＬにする（図３の符号Ｐ４参照）。その後、正規デバッカは、ファームウェアメモリ１３の監視領域に接続先識別子を書き込む（図３の符号Ｐ５参照）。接続先識別子の書き込みが完了すると、正規デバッカはＣＳをＨにする（図３の符号Ｐ６参照）。

【0074】

ファームウェアメモリ１３の監視領域に対する定期監視の次のタイミングに到達すると、アクセス判断部２１は、ＣＳがＨになるまで待機し、正規デバッカがＣＳをＨにしたことを検知すると（図３の符号Ｐ６参照）、ＣＳをＬにする（図３の符号Ｐ７参照）。アクセス判断部２１は、ファームウェアメモリ１３の監視領域の監視を行ない、接続先識別子が書き込まれていることを確認する（図３の符号Ｐ８参照）。

【0075】

監視領域に接続先識別子が記憶されているので、アクセス判断部２１は、ファームウェアメモリ１３に対して正規なアクセスが行なわれたと判断する。アクセス制御部２２は、デバイス（正規デバイス）によるファームウェアメモリ１３へのアクセスの阻害を行なわない。アクセス判断部２１は、ＣＳをＨにすることでファームウェアメモリ１３をアクセス許可状態にする（図３の符号Ｐ９参照）。

【0076】

アクセス制御部２２は、ファームウェアメモリ１３の監視領域に対する定期監視の次のタイミングに到達した後において、正規デバッカによりＣＳがＨにされるまで待機する。アクセス制御部２２は、正規デバッカによるファームウェアメモリ１３への接続が無くなり、ＣＳがＨになったことを検知すると（図３の符号Ｐ１０参照）、ＣＳをＬにした後に（図３の符号Ｐ１１参照）、ファームウェアメモリ１３の識別領域の接続先識別子を消去する。その後、アクセス制御部２２は、ＣＳをＨにする（図３の符号Ｐ１２参照）。

【0077】

正規デバッカはファームウェアメモリ１３に接続するためにＣＳをＬにする（図３の符号Ｐ１３参照）。正規デバッカは、ファームウェアメモリ１３におけるアクセス対象の記憶領域に対して有効なアクセスを行ない、データの読み出しを実行する（図３の符号Ｐ１４参照）。正規デバッカは、ファームウェアメモリ１３からのデータの読み出しを完了すると、ＣＳをＨにする（図３の符号Ｐ１５参照）。

【0078】

アクセス判断部２１は、ファームウェアメモリ１３の監視領域の定期監視を再開し、符号Ｐ１以降の処理を繰り返し実行する。

【0079】

次に、一実施形態に係るＢＭＣ１０による、不正規デバッカからの不正規アクセスが行なわれた場合の処理を、図４に示すタイミングチャートを用いて説明する。

【0080】

本例においては、デバッグピン２４に不正規デバッカが接続され、ファームウェアメモリ１３の所定の記憶領域のデータを不正に読み出そうとする例を示す。

【0081】

この図４においては、ＣＳ信号と、ＢＭＣ１０のマスタ出力／スレーブ入力信号（ＭＯＳＩ１）と、不正規デバッカのマスタ出力／スレーブ入力信号（ＭＯＳＩ２）とを示す。

【0082】

ＢＭＣ１０はファームウェアメモリ１３に対して定期的に監視アクセスを行なう。

【0083】

アクセス判断部２１は、ファームウェアメモリ１３の監視領域の定期監視を行なうべく、先ず、ＣＳをＬにする（図４の符号Ｐ１参照）。アクセス判断部２１は、ファームウェアメモリ１３の監視領域の監視を行ない、接続先識別子が書き込まれているかを確認する（図４の符号Ｐ２参照）。確認後、アクセス判断部２１は、ＣＳをＨにする（図４の符号Ｐ３参照）。

【0084】

ここで、不正規デバッカが、ファームウェアメモリ１３に対してハッキング等の目的でアクセスするために、ＣＳをＬにする（図４の符号Ｐ４参照）。この際、不正規デバッカは、ファームウェアメモリ１３の監視領域に接続先識別子の書き込みを行なわずに、ファームウェアメモリ１３に対するアクセスを行なう（図４の符号Ｐ５参照）。不正規デバッカは、ファームウェアメモリ１３をアクセス許可状態にするためにＣＳをＨにする（図４の符号Ｐ６参照）。

【0085】

ファームウェアメモリ１３の監視領域に対する定期監視の次のタイミングに到達すると、アクセス判断部２１は、ＣＳがＨになるまで待機し、不正規デバッカがＣＳをＨにしたことを検知すると（図３の符号Ｐ６参照）、ＣＳをＬにする（図４の符号Ｐ７参照）。アクセス判断部２１は、ファームウェアメモリ１３の監視領域の監視を行ない、接続先識別子が書き込まれていないことを確認する（図４の符号Ｐ８参照）。

【0086】

監視領域に接続先識別子が記憶されていないので、アクセス判断部２１は、ファームウェアメモリ１３に対して不正規なアクセスが行なわれたと判断する。アクセス制御部２２は、デバイス（不正規デバイス）によるファームウェアメモリ１３へのアクセスの阻害を行なう。具体的には、アクセス判断部２１は、ＣＳをＬの状態で維持することでファームウェアメモリ１３をアクセス禁止状態にする（図４の符号Ｐ９参照）。

【0087】

不正規デバッカは、自身でファームウェアメモリ１３のＣＳをＬにすることができないので、ファームウェアメモリ１３への接続を阻害された状態で維持される。

【0088】

なお、アクセス判断部２１は、ファームウェアメモリ１３に対して行なわれたアクセスを検知したタイミングでも、ファームウェアメモリ１３における識別領域に接続先識別子の書き込みが行なわれているか否かを判断してよい。

【0089】

（Ｃ）効果
このように、一実施形態に係るＢＭＣ１０によれば、アクセス判断部２１が、ファームウェアメモリ１３の識別領域に接続先識別子の書き込みが行なわれたかを判断する。接続先識別子の書き込みが行なわれた場合は、アクセス制御部２２は、ファームウェアメモリ１３へのアクセスを許可する。一方で、識別領域に接続先識別子の書き込みが行なわれなかった場合には、アクセス制御部２２は、不正規のアクセスと判断してファームウェアメモリ１３へのアクセスを阻害する。

【0090】

ファームウェアメモリ１３の識別領域に接続先識別子の書き込みが行なわれたかを判断することで、正規デバイスによるアクセスであるか不正規デバイスによるアクセスであるかを判定することができる。従って、ファームウェアメモリ１３とデバッカが直結している状態においても、正規デバッカによるアクセスと不正規デバッカによる不正規なアクセス（ハッキング）とを区別することができる。

【0091】

ファームウェアメモリ１３とデバッカとの間にセキュリティ用の回路部品等を備えることなく、低コストでファームウェアメモリ１３のデータの保護を実現できる。

【0092】

また、アクセス制御部２２が、不正規デバッカからファームウェアメモリ１３に対して不正規なアクセス（ハッキング）が行なわれた場合に、ファームウェアメモリ１３へのアクセスをブロックすることで、ファームウェアメモリ１３に対する不正規なアクセスを阻止することができ、セキュリティを向上させることができる。

【0093】

アクセス制御部２２が、ファームウェアメモリ１３のＣＳをＬにすることで、不正規デバッカによるファームウェアメモリ１３へのアクセスを容易に阻止することをできる。

【0094】

（Ｄ）その他
本実施形態の各構成および各処理は、必要に応じて取捨選択することができ、あるいは適宜組み合わせてもよい。

【0095】

そして、開示の技術は上述した実施形態に限定されるものではなく、本実施形態の趣旨を逸脱しない範囲で種々変形して実施することができる。

【0096】

また、上述した開示により本実施形態を当業者によって実施・製造することが可能である。

【0097】

（Ｅ）付記
以上の実施形態に関し、さらに以下の付記を開示する。

【0098】

（付記１）
記憶部とバスによって直結される制御装置であって、
前記記憶部に所定の情報が書き込まれているかを判断するアクセス判断部と、
前記所定の情報が書き込まれている場合は前記記憶部へのアクセスを許可し、前記所定の情報が書き込まれていない場合には不正規のアクセスと判断して前記記憶部へのアクセスを阻害するアクセス制御部と
を備えることを特徴とする、制御装置。

【0099】

（付記２）
前記バスに、デバイスが前記記憶部にアクセスするためのデータアクセスピンが形成され、
前記アクセス判断部は、正規のデバイスが前記記憶部に前記所定の情報の書き込みを完了するために要する時間以上となるように決定された間隔をおいて定期的に、前記所定の情報が書き込まれているかの判断を行なう
ことを特徴とする、付記１に記載の制御装置。

【0100】

（付記３）
前記アクセス判断部は、前記記憶部へのアクセスが検出されると、前記記憶部に所定の情報が書き込まれているかの判断を行なう
ことを特徴とする、付記１または２に記載の制御装置。

【0101】

（付記４）
前記バスが、ＳＰＩ（Serial Peripheral Interface）に基づく通信を行なう
ことを特徴とする、付記１に記載の制御装置。

【0102】

（付記５）
記憶部とバスによって直結される制御装置において、
前記記憶部に所定の情報が書き込まれているかを判断し、
前記所定の情報が書き込まれている場合は前記記憶部へのアクセスを許可し、前記所定の情報が書き込まれていない場合には不正規のアクセスと判断して前記記憶部へのアクセスを阻害する
処理を制御部が実行することを特徴とする、制御方法。

【0103】

（付記６）
前記バスに、デバイスが前記記憶部にアクセスするためのデータアクセスピンが形成され、
前記制御部が、
正規のデバイスが前記記憶部に前記所定の情報の書き込みを完了するために要する時間以上となるように決定された間隔をおいて定期的に、前記所定の情報が書き込まれているかを判断する
処理を実行することを特徴とする、付記５に記載の制御方法。

【0104】

（付記７）
前記制御部が、
前記記憶部へのアクセスが検出されると、前記記憶部に所定の情報が書き込まれているかを判断する
処理を実行することを特徴とする、付記５または６に記載の制御方法。

【0105】

（付記８）
前記バスが、ＳＰＩ（Serial Peripheral Interface）に基づく通信を行なう
ことを特徴とする、付記５に記載の制御方法。

【0106】

（付記９）
記憶部とバスによって直結され、プロセッサを有する制御装置において、
前記記憶部に所定の情報が書き込まれているかを判断し、
前記所定の情報が書き込まれている場合は前記記憶部へのアクセスを許可し、前記所定の情報が書き込まれていない場合には不正規のアクセスと判断して前記記憶部へのアクセスを阻害する
処理を前記プロセッサに実行させることを特徴とする、制御プログラム。

【0107】

（付記１０）
前記バスに、デバイスが前記記憶部にアクセスするためのデータアクセスピンが形成され、
正規のデバイスが前記記憶部に前記所定の情報の書き込みを完了するために要する時間以上となるように決定された間隔をおいて定期的に、前記所定の情報が書き込まれているかを判断する
処理を前記プロセッサに実行させることを特徴とする、付記９に記載の制御プログラム。

【0108】

（付記１１）
前記記憶部へのアクセスが検出されると、前記記憶部に所定の情報が書き込まれているかを判断する
処理を前記プロセッサに実行させることを特徴とする、付記９または１０に記載の制御プログラム。

【0109】

（付記１２）
前記バスが、ＳＰＩ（Serial Peripheral Interface）に基づく通信を行なう
ことを特徴とする、付記９に記載の制御プログラム。

【符号の説明】

【0110】

１ システムボード
１０ ＢＭＣ
１１ プロセッサ
１２ メモリ
１３ ファームウェアメモリ
１４ ＣＰＵ
１５ ＤＩＭＭ
１６ ＦＡＮ
１７ ＨＤＤ
１８ ＰＣＩｅカード
１９ ＰＳＵ
２０ マルチプレクサ
２１ アクセス判断部
２２ アクセス制御部
２３ バス
２４ デバッグピン

【図1】

【図2】

【図3】

【図4】

【図5】