特許 7218418 情報処理装置、及び耐タンパ方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B1)

(11)【特許番号】

(24)【登録日】2023-01-27

(45)【発行日】2023-02-06

(54)【発明の名称】情報処理装置、及び耐タンパ方法

(51)【国際特許分類】

   G06F 9/4401 20180101AFI20230130BHJP

   G06F 13/38 20060101ALI20230130BHJP

   G06F 13/10 20060101ALI20230130BHJP

【ＦＩ】

G06F9/4401

G06F13/38 350

G06F13/10 330B

【請求項の数】 7

(21)【出願番号】P 2021194808

(22)【出願日】2021-11-30

【審査請求日】2021-11-30

(73)【特許権者】

【識別番号】505205731

【氏名又は名称】レノボ・シンガポール・プライベート・リミテッド

(74)【代理人】

【識別番号】100161207

【弁理士】

【氏名又は名称】西澤 和純

(74)【代理人】

【識別番号】100169764

【弁理士】

【氏名又は名称】清水 雄一郎

(74)【代理人】

【識別番号】100175824

【弁理士】

【氏名又は名称】小林 淳一

(74)【代理人】

【識別番号】100206081

【弁理士】

【氏名又は名称】片岡 央

(72)【発明者】

【氏名】▲片▼山 洋祐

(72)【発明者】

【氏名】徳野 真弘

(72)【発明者】

【氏名】馬 克

(72)【発明者】

【氏名】▲高▼瀬 允博

【審査官】福西 章人

(56)【参考文献】

【文献】特開２０１１－１８０８１９（ＪＰ，Ａ）

【文献】米国特許出願公開第２００６／００９２０４９（ＵＳ，Ａ１）

【文献】米国特許出願公開第２００３／０１２６５１１（ＵＳ，Ａ１）

【文献】米国特許出願公開第２００９／０２８２２６５（ＵＳ，Ａ１）

【文献】中国特許出願公開第１０７７６６１０２（ＣＮ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ９／４４－９／４４５

Ｇ０６Ｆ １３／１０

Ｇ０６Ｆ １３／３８

(57)【特許請求の範囲】

【請求項1】

メイン基板に実装され、システムを起動するためのブートプログラムを記憶する第１メモリと、
前記第１メモリとは異なる前記メイン基板上の場所に実装され、前記ブートプログラムのバックアップを記憶する第２メモリと、
前記ブートプログラムによりシステムを起動し、前記システムに基づく情報処理を実行するメインプロセッサと、
前記第１メモリの周辺に配置され、前記第１メモリを実装する半田に、融解する温度が与えられた場合に、導通が切断されるヒューズと、
前記ヒューズが導通している場合に、前記メインプロセッサと前記第１メモリとの間を、前記メインプロセッサが前記第１メモリから前記ブートプログラムを取得可能な接続にし、前記ヒューズの導通が切断された場合に、前記メインプロセッサと前記第２メモリとの間を、前記メインプロセッサが前記第２メモリから前記ブートプログラムを取得可能な接続に切り替える接続切替部と
を備え、
前記メインプロセッサは、前記ヒューズの導通が切断された場合に、前記第２メモリが記憶するバックアップの前記ブートプログラムから前記システムを起動する
情報処理装置。

【請求項2】

前記メインプロセッサと、前記第１メモリ及び前記第２メモリとは、前記接続切替部を経由して、ＳＰＩ（Serial Peripheral Interface）バスにより接続され、
前記接続切替部は、前記ヒューズの導通の状態に応じて、チップセレクト信号線を、前記第１メモリと、前記第２メモリとの間で切り替える
請求項１に記載の情報処理装置。

【請求項3】

前記メインプロセッサと異なるプロセッサであって、周辺機器を管理するサブプロセッサを備え、
前記サブプロセッサは、前記ヒューズの導通が切断されたことを検出し、前記ヒューズの導通が切断された場合に、外部に警告を通知する
請求項１又は請求項２に記載の情報処理装置。

【請求項4】

前記サブプロセッサは、前記ヒューズの導通が切断された場合に、前記ヒューズの導通が切断されたことを示す情報を、表示部に表示させる
請求項３に記載の情報処理装置。

【請求項5】

前記サブプロセッサと前記第１メモリ及び前記第２メモリとが、前記接続切替部を経由して接続され、
前記メインプロセッサは、前記サブプロセッサを経由して、前記ブートプログラムを取得する
請求項３又は請求項４に記載の情報処理装置。

【請求項6】

前記ヒューズは、サーマルヒューズである
請求項１から請求項５のいずれか一項に記載の情報処理装置。

【請求項7】

メイン基板に実装され、システムを起動するためのブートプログラムを記憶する第１メモリと、前記第１メモリとは異なる前記メイン基板上の場所に実装され、前記ブートプログラムのバックアップを記憶する第２メモリと、前記ブートプログラムによりシステムを起動し、前記システムに基づく情報処理を実行するメインプロセッサと、前記第１メモリの周辺に配置され、前記第１メモリを実装する半田に、融解する温度が与えられた場合に、導通が切断されるヒューズと、前記ヒューズが導通している場合に、前記メインプロセッサと前記第１メモリとの間を、前記メインプロセッサが前記第１メモリから前記ブートプログラムを取得可能な接続にし、前記ヒューズの導通が切断された場合に、前記メインプロセッサと前記第２メモリとの間を、前記メインプロセッサが前記第２メモリから前記ブートプログラムを取得可能な接続に切り替える接続切替部とを備える情報処理装置の耐タンパ方法であって、
前記接続切替部が、前記ヒューズの導通が切断された場合に、前記メインプロセッサと前記第２メモリとの間を接続する接続に切り替えるステップと、
前記メインプロセッサが、前記ヒューズの導通が切断された場合に、前記第２メモリが記憶するバックアップの前記ブートプログラムから前記システムを起動するステップと
を含む耐タンパ方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、情報処理装置、及び耐タンパ方法に関する。

【背景技術】

【0002】

パーソナルコンピュータ（ＰＣ：Personal Computer）などの情報処理装置では、ＣＰＵ（Central Processing Unit）に、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを実行させることで、コンピュータシステムを起動する。従来の情報処理装置では、ＢＩＯＳ等のブートプログラムは、例えば、ＣＰＵとＳＰＩバス（Serial Peripheral Interface Bus）により接続されるメモリ（例えば、フラッシュメモリ）に記憶されている（例えば、特許文献１を参照）。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２０２１－１５７４８８号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、上述した従来の情報処理装置では、例えば、悪意を持った攻撃者により、情報収集のために、ブートプログラムが記憶されているメモリが取り外された場合に、システムを正常に起動できなくなる可能性があった。

【0005】

本発明は、上記問題を解決すべくなされたもので、その目的は、攻撃者によって、ブートプログラムが記憶されているメモリが取り外された場合であっても、システムを正常に起動することができる情報処理装置、及び耐タンパ方法を提供することにある。

【課題を解決するための手段】

【0006】

上記問題を解決するために、本発明の一態様は、メイン基板に実装され、システムを起動するためのブートプログラムを記憶する第１メモリと、前記第１メモリとは異なる前記メイン基板上の場所に実装され、前記ブートプログラムのバックアップを記憶する第２メモリと、前記ブートプログラムによりシステムを起動し、前記システムに基づく情報処理を実行するメインプロセッサと、前記第１メモリの周辺に配置され、前記第１メモリを実装する半田に、融解する温度が与えられた場合に、導通が切断されるヒューズと、前記ヒューズが導通している場合に、前記メインプロセッサと前記第１メモリとの間を、前記メインプロセッサが前記第１メモリから前記ブートプログラムを取得可能な接続にし、前記ヒューズの導通が切断された場合に、前記メインプロセッサと前記第２メモリとの間を、前記メインプロセッサが前記第２メモリから前記ブートプログラムを取得可能な接続に切り替える接続切替部とを備え、前記メインプロセッサは、前記ヒューズの導通が切断された場合に、前記第２メモリが記憶するバックアップの前記ブートプログラムから前記システムを起動する情報処理装置である。

【0007】

また、本発明の一態様は、上記の情報処理装置において、前記メインプロセッサと、前記第１メモリ及び前記第２メモリとは、前記接続切替部を経由して、ＳＰＩ（Serial Peripheral Interface）バスにより接続され、前記接続切替部は、前記ヒューズの導通の状態に応じて、チップセレクト信号線を、前記第１メモリと、前記第２メモリとの間で切り替えるようにしてもよい。

【0008】

また、本発明の一態様は、上記の情報処理装置において、前記メインプロセッサと異なるプロセッサであって、周辺機器を管理するサブプロセッサを備え、前記サブプロセッサは、前記ヒューズの導通が切断されたことを検出し、前記ヒューズの導通が切断された場合に、外部に警告を通知するようにしてもよい。

【0009】

また、本発明の一態様は、上記の情報処理装置において、前記サブプロセッサは、前記ヒューズの導通が切断された場合に、前記ヒューズの導通が切断されたことを示す情報を、表示部に表示させるようにしてもよい。

【0010】

また、本発明の一態様は、上記の情報処理装置において、前記ヒューズは、サーマルヒューズであってもよい。

【0011】

また、本発明の一態様は、上記の情報処理装置において、前記サブプロセッサと前記第１メモリ及び前記第２メモリとが、前記接続切替部を経由して接続され、前記メインプロセッサは、前記サブプロセッサを経由して、前記ブートプログラムを取得するようにしてもよい。

【0012】

また、本発明の一態様は、メイン基板に実装され、システムを起動するためのブートプログラムを記憶する第１メモリと、前記第１メモリとは異なる前記メイン基板上の場所に実装され、前記ブートプログラムのバックアップを記憶する第２メモリと、前記ブートプログラムによりシステムを起動し、前記システムに基づく情報処理を実行するメインプロセッサと、前記第１メモリの周辺に配置され、前記第１メモリを実装する半田に、融解する温度が与えられた場合に、導通が切断されるヒューズと、前記ヒューズが導通している場合に、前記メインプロセッサと前記第１メモリとの間を、前記メインプロセッサが前記第１メモリから前記ブートプログラムを取得可能な接続にし、前記ヒューズの導通が切断された場合に、前記メインプロセッサと前記第２メモリとの間を、前記メインプロセッサが前記第２メモリから前記ブートプログラムを取得可能な接続に切り替える接続切替部とを備える情報処理装置の耐タンパ方法であって、前記接続切替部が、前記ヒューズの導通が切断された場合に、前記メインプロセッサと前記第２メモリとの間を接続する接続に切り替えるステップと、前記メインプロセッサが、前記ヒューズの導通が切断された場合に、前記第２メモリが記憶するバックアップの前記ブートプログラムから前記システムを起動するステップとを含む耐タンパ方法である。

【発明の効果】

【0013】

本発明の上記態様によれば、攻撃者によって、ブートプログラムが記憶されているメモリが取り外された場合であっても、システムを正常に起動することができる。

【図面の簡単な説明】

【0014】

【図1】第１の実施形態によるノートＰＣの主要なハードウェア構成の一例を示す図である。

【図2】第１の実施形態によるノートＰＣのＢＩＯＳメモリの切り替え構成の一例を示す図である。

【図3】第１の実施形態におけるヒューズが導通状態である場合のＳＰＩバスの切り替え動作を示す図である。

【図4】第１の実施形態におけるヒューズが切断状態である場合のＳＰＩバスの切り替え動作を示す図である。

【図5】第１の実施形態によるノートＰＣの起動処理の一例を示すフローチャートである。

【図6】第２の実施形態によるノートＰＣの主要なハードウェア構成の一例を示す図である。

【図7】第２の実施形態によるノートＰＣのＢＩＯＳメモリの切り替え構成の一例を示す図である。

【発明を実施するための形態】

【0015】

以下、本発明の一実施形態による情報処理装置、及び耐タンパ方法について、図面を参照して説明する。

【0016】

［第１の実施形態］
図１は、第１の実施形態によるノートＰＣ１の主要なハードウェア構成の一例を示す図である。
図１に示すように、ノートＰＣ１（ノートブック型パーソナルコンピュータ）は、ＣＰＵ１１と、メインメモリ１２と、ビデオサブシステム１３と、表示部１４と、チップセット２１と、ＢＩＯＳメモリ２２と、ＨＤＤ２３と、オーディオシステム２４と、ＷＬＡＮカード２５と、ＵＳＢコネクタ２６と、バックアップメモリ２７と、ヒューズ２８と、接続切替部２９と、エンベデッドコントローラ３１と、入力部３２と、電源回路３３とを備える。

【0017】

なお、本実施形態において、ＣＰＵ１１と、チップセット２１とは、メインプロセッサ１０に対応する。
また、本実施形態において、情報処理装置の一例として、ノートＰＣ１について説明する。

【0018】

また、本実施形態において、例えば、ＣＰＵ１１と、メインメモリ１２と、ビデオサブシステム１３と、チップセット２１と、ＢＩＯＳメモリ２２と、オーディオシステム２４と、ＷＬＡＮカード２５と、ＵＳＢコネクタ２６と、バックアップメモリ２７と、ヒューズ２８と、接続切替部２９と、エンベデッドコントローラ３１と、電源回路３３とは、マザーボード（不図示）と呼ばれるメイン基板に実装されている。また、少なくとも、ＣＰＵ１１及びチップセット２１（メインプロセッサ１０）と、ＢＩＯＳメモリ２２と、バックアップメモリ２７と、接続切替部２９と、エンベデッドコントローラ３１と、電源回路３３とは、メイン基板に直接半田付けされており、メイン基板に脱着不可能に実装されているものとする。

【0019】

ＣＰＵ（Central Processing Unit）１１は、プログラム制御により種々の演算処理を実行し、ノートＰＣ１全体を制御している。
メインメモリ１２は、ＣＰＵ１１の実行プログラムの読み込み領域として、又は、実行プログラムの処理データを書き込む作業領域として利用される書き込み可能メモリである。メインメモリ１２は、例えば、複数個のＤＲＡＭ（Dynamic Random Access Memory）チップで構成される。この実行プログラムには、ＢＩＯＳ（Basic Input Output System）、ＯＳ（Operating System）、周辺機器類をハードウェア操作するための各種ドライバ、各種サービス／ユーティリティ、アプリケーションプログラム等が含まれる。

【0020】

ビデオサブシステム１３は、画像表示に関連する機能を実現するためのサブシステムであり、ビデオコントローラを含んでいる。このビデオコントローラは、ＣＰＵ１１からの描画命令を処理し、処理した描画情報をビデオメモリに書き込むとともに、ビデオメモリからこの描画情報を読み出して、表示部１４に描画データ（表示データ）として出力する。

【0021】

表示部１４は、例えば、液晶ディスプレイであり、ビデオサブシステム１３から出力された描画データ（表示データ）に基づく表示画面を表示する。

【0022】

チップセット２１は、ＵＳＢ（Universal Serial Bus）、シリアルＡＴＡ（AT Attachment）、ＳＰＩ（Serial Peripheral Interface）バス、ＰＣＩ（Peripheral Component Interconnect）バス、ＰＣＩ－Ｅｘｐｒｅｓｓバス、及びＬＰＣ（Low Pin Count）バスなどのコントローラを備えており複数のデバイスが接続される。図１では、デバイスの例示として、ＢＩＯＳメモリ２２と、ＨＤＤ２３と、オーディオシステム２４と、ＷＬＡＮカード２５と、ＵＳＢコネクタ２６と、バックアップメモリ２７と、接続切替部２９とが、チップセット２１に接続されている。なお、ＢＩＯＳメモリ２２及びバックアップメモリ２７は、接続切替部２９を介して、チップセット２１に接続されている。

【0023】

ＢＩＯＳメモリ２２（第１メモリの一例）は、例えば、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）やフラッシュＲＯＭなどの電気的に書き換え可能な不揮発性メモリで構成される。ＢＩＯＳメモリ２２は、ＢＩＯＳ、及びエンベデッドコントローラ３１などを制御するためのシステムファームウェアなどを記憶する。ＢＩＯＳメモリ２２は、ＢＩＯＳなどのノートＰＣ１のシステム（例えば、ＯＳなど）を起動するためのブートプログラム（起動プログラム）を記憶する。

【0024】

また、ＢＩＯＳメモリ２２は、マザーボード上に、半田付けされて実行されている。ＢＩＯＳメモリ２２は、例えば、ＳＰＩバスを用いて、メインプロセッサ１０に接続されている。

【0025】

ＨＤＤ（Hard Disk Drive）２３（不揮発性記憶装置の一例）は、ＯＳ、各種ドライバ、各種サービス／ユーティリティ、アプリケーションプログラム、及び各種データを記憶する。
オーディオシステム２４は、音データの記録、再生、出力を行う。

【0026】

ＷＬＡＮ（Wireless Local Area Network）カード２５は、ワイヤレス（無線）ＬＡＮにより、ネットワークに接続して、データ通信を行う。
ＵＳＢコネクタ２６は、ＵＳＢを利用した周辺機器類を接続するためのコネクタである。

【0027】

エンベデッドコントローラ３１（サブプロセッサの一例）は、ノートＰＣ１のシステム状態に関わらず、各種デバイス（周辺装置やセンサ等）を監視し制御するワンチップマイコン（One-Chip Microcomputer）である。また、エンベデッドコントローラ３１は、電源回路３３を制御する電源管理機能を有している。なお、エンベデッドコントローラ３１は、不図示のＣＰＵ、ＲＯＭ、ＲＡＭなどで構成されるとともに、複数チャネルのＡ／Ｄ入力端子、Ｄ／Ａ出力端子、タイマ、及びデジタル入出力端子を備えている。エンベデッドコントローラ３１には、それらの入出力端子を介して、例えば、入力部３２、及び電源回路３３などが接続されており、エンベデッドコントローラ３１は、これらの動作を制御する。また、エンベデッドコントローラ３１は、後述するヒューズ２８の導通状態を検出することが可能であり、検出したヒューズ２８の導通状態に応じて、各種処理を実行する。

【0028】

入力部３２は、例えば、キーボードなどの、ポインティング・デバイス、タッチパッドなどの入力デバイスである。
電源回路３３は、例えば、ＤＣ／ＤＣコンバータ、充放電ユニット、電池ユニット、ＡＣ／ＤＣアダプタなどを含んでおり、ＡＣ／ＤＣアダプタ、又は電池ユニットから供給される直流電圧を、ノートＰＣ１を動作させるために必要な複数の電圧に変換する。また、電源回路３３は、エンベデッドコントローラ３１からの制御に基づいて、ノートＰＣ１の各部に電力を供給する。

【0029】

バックアップメモリ２７（第２メモリの一例）は、例えば、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）やフラッシュＲＯＭなどの電気的に書き換え可能な不揮発性メモリで構成される。バックアップメモリ２７は、ＢＩＯＳメモリ２２とは異なるメイン基板上の場所に実装され、ＢＩＯＳメモリ２２が記憶するブートプログラムのバックアップを記憶する。すなわち、バックアップメモリ２７は、ＢＩＯＳメモリ２２と同様の、ＢＩＯＳ、及びエンベデッドコントローラ３１などを制御するためのシステムファームウェアなどを記憶する。

【0030】

また、バックアップメモリ２７は、ＢＩＯＳメモリ２２と同様に、メイン基板上に、半田付けされて実行されている。なお、バックアップメモリ２７は、メイン基板上のＢＩＯＳメモリ２２から離れた位置に実装されることが好ましい。
また、バックアップメモリ２７は、例えば、ＳＰＩバスを用いて、メインプロセッサ１０に接続されている。

【0031】

ヒューズ２８は、例えば、サーマルヒューズであり、ＢＩＯＳメモリ２２の周辺に配置される。ヒューズ２８は、閾値温度以上になると内部の導通接続が切断（Ｂｒｅａｋ）される。ヒューズ２８は、例えば、ＢＩＯＳメモリ２２を実装する半田に、融解する温度が与えられた場合に、導通が切断される。なお、ヒューズ２８は、メイン基板上に半田で実装されたソケットに、装着することで実装される。

【0032】

接続切替部２９は、チップセット２１（メインプロセッサ１０）と、ＢＩＯＳメモリ２２及びバックアップメモリ２７との間の接続を切り替えるセレクタ部である。接続切替部２９は、ヒューズ２８が導通している場合に、メインプロセッサ１０とＢＩＯＳメモリ２２とを接続し、ヒューズ２８の導通が切断された場合に、メインプロセッサ１０とバックアップメモリ２７との接続に切り替える。すなわち、接続切替部２９は、ヒューズ２８が導通している場合に、メインプロセッサ１０とＢＩＯＳメモリ２２との間を、メインプロセッサ１０がＢＩＯＳメモリ２２からブートプログラムを取得可能な接続にする。また、接続切替部２９は、ヒューズ２８の導通が切断された場合に、メインプロセッサ１０とバックアップメモリ２７との間を、メインプロセッサ１０がバックアップメモリ２７からブートプログラムを取得可能な接続に切り替える。なお、接続切替部２９の詳細については、後述する。

【0033】

次に、図２を参照して、本実施形態によるノートＰＣ１のＢＩＯＳメモリ２２の切り替え構成について詳細に説明する。
図２は、本実施形態によるノートＰＣ１のＢＩＯＳメモリ２２の切り替え構成の一例を示す図である。ここでは、本発明に関連する構成のみを記載する。

【0034】

図２に示すように、メインプロセッサ１０と、ＢＩＯＳメモリ２２及びバックアップメモリ２７とは、接続切替部２９を経由して、ＳＰＩバスにより接続される。ここでは、メインプロセッサ１０が、マスタであり、ＢＩＯＳメモリ２２及びバックアップメモリ２７がスレーブである。

【0035】

ＳＰＩバスにおいて、ＢＩＯＳメモリ２２とバックアップメモリ２７とは、ＳＩ（データ入力信号）、ＳＯ（データ出力信号）、及びＳＣＫ（シリアルクロック信号）の信号線が共通に接続されている。また、ＣＳ＃０及びＣＳ＃１のＣＳ（チップセレクト信号）の信号線が、接続切替部２９により切り替えられて、ＢＩＯＳメモリ２２とバックアップメモリ２７に接続される。
なお、メインプロセッサ１０は、チップセレクト信号（ＣＳ＃０）により出力されるブートプログラムにより、システムを起動する。

【0036】

ヒューズ２８は、第１端がグランド線に接続され、第２端がノードＮ１に接続され、ノードＮ１は、接続切替部２９に接続される。
接続切替部２９は、セレクタ２９１及びセレクタ２９２と、プルアップ抵抗２９３とを備える。

【0037】

プルアップ抵抗２９３は、ノードＮ１（ヒューズ２８の第２端）に接続される。ノードＮ１は、ヒューズ２８が導通状態である場合に、Ｌｏｗ（ロウ）状態になる。また、ノードＮ１は、ヒューズ２８が切断された場合に、プルアップ抵抗２９３によって、Ｈｉｇｈ（ハイ）状態になる。

【0038】

セレクタ２９１は、チップセレクト信号（ＣＳ＃０）の信号線の接続（チップセレクト信号線）を、ＢＩＯＳメモリ２２とバックアップメモリ２７との間で切り替える。セレクタ２９１は、ヒューズ２８が導通状態である場合に、チップセレクト信号（ＣＳ＃０）の信号線をＢＩＯＳメモリ２２に接続し、ヒューズ２８が切断された場合に、チップセレクト信号（ＣＳ＃０）の信号線をバックアップメモリ２７に接続する。

【0039】

セレクタ２９２は、チップセレクト信号（ＣＳ＃１）の信号線の接続を、ＢＩＯＳメモリ２２とバックアップメモリ２７との間で切り替える。セレクタ２９２は、ヒューズ２８が導通状態である場合に、チップセレクト信号（ＣＳ＃１）の信号線をバックアップメモリ２７に接続し、ヒューズ２８が切断された場合に、チップセレクト信号（ＣＳ＃１）の信号線をＢＩＯＳメモリ２２に接続する。
このように、接続切替部２９は、ヒューズ２８の導通の状態に応じて、チップセレクト信号線を、ＢＩＯＳメモリ２２と、バックアップメモリ２７との間で切り替える。

【0040】

メインプロセッサ１０は、ブートプログラムによりシステムを起動し、システムに基づく情報処理を実行する。メインプロセッサ１０は、ヒューズ２８が導通状態である場合に、ＢＩＯＳメモリ２２が記憶するブートプログラムからシステムを起動する。また、メインプロセッサ１０は、ヒューズ２８の導通が切断された場合に、バックアップメモリ２７が記憶するバックアップのブートプログラムからシステムを起動する。

【0041】

なお、メインプロセッサ１０は、ＢＩＯＳメモリ２２又はバックアップメモリ２７からＳＰＩバスを介して読み出したブートプログラムを、メインメモリ１２に記憶させ、メインメモリ１２が記憶するブートプログラムをＣＰＵ１１に実行させることで、システムを起動する。

【0042】

エンベデッドコントローラ３１は、メインプロセッサ１０と異なるプロセッサであって、周辺機器を管理する。エンベデッドコントローラ３１は、例えば、ヒューズ検出処理部３１１を備える。

【0043】

ヒューズ検出処理部３１１は、ヒューズ２８の導通が切断されたことを検出し、ヒューズ２８の導通が切断された場合に、外部に警告を通知する。ヒューズ検出処理部３１１は、例えば、ヒューズ２８の導通が切断された場合に、ヒューズ２８の導通が切断されたことを示す情報を、表示部１４に表示させる。

【0044】

すなわち、ヒューズ検出処理部３１１は、ノードＮ１の電圧レベル（論理レベル）を検出して、ノードＮ１が、Ｌｏｗ状態である場合に、ヒューズ２８が導通状態であると検出する。また、ヒューズ検出処理部３１１は、ノードＮ１が、Ｈｉｇｈ状態である場合に、ヒューズ２８が切断状態（Ｂｒｅａｋ状態）であると検出する。ヒューズ検出処理部３１１は、ヒューズ２８が切断状態（Ｂｒｅａｋ状態）であると検出した場合に、メインプロセッサ１０に、警告として、ヒューズ２８の導通が切断されたことを示す情報を表示させる。すなわち、メインプロセッサ１０は、ビデオサブシステム１３を介してヒューズ２８の導通が切断されたことを示す情報を表示部１４に表示させる。

【0045】

次に、図面を参照して、本実施形態によるノートＰＣ１の動作について説明する。
まず、図３を参照して、ヒューズ２８が導通状態である場合のＳＰＩバスの切り替え動作について説明する。

【0046】

図３は、本実施形態におけるヒューズ２８が導通状態である場合のＳＰＩバスの切り替え動作を示す図である。ここでは、悪意を持った攻撃者によって、ＢＩＯＳメモリ２２の半田を融かす熱がかけられていない状態を示している。

【0047】

図３に示すように、ヒューズ２８が導通状態である場合には、ノードＮ１が、Ｌｏｗ状態になるため、接続切替部２９は、チップセレクト信号（ＣＳ＃０）の信号線をＢＩＯＳメモリ２２に接続するとともに、チップセレクト信号（ＣＳ＃１）の信号線をバックアップメモリ２７に接続する。

【0048】

この状態で、ノートＰＣ１を起動すると、メインプロセッサ１０は、チップセレクト信号（ＣＳ＃０）の信号線に接続されているＢＩＯＳメモリ２２からブートプログラムを読み出して、当該ブートプログラムにより、システムを起動する。

【0049】

次に、図４を参照して、ヒューズ２８が切断状態である場合のＳＰＩバスの切り替え動作について説明する。
図４は、本実施形態におけるヒューズ２８が切断状態である場合のＳＰＩバスの切り替え動作を示す図である。ここでは、悪意を持った攻撃者によって、ＢＩＯＳメモリ２２の半田を融かす熱がかけられて、ＢＩＯＳメモリ２２が持ち去られた状態を示している。

【0050】

図４に示すように、攻撃者によって、ＢＩＯＳメモリ２２を実装する半田に、融解する温度が与えられた場合に、ヒューズ２８は、内部の導通が切断される。この場合には、プルアップ抵抗２９３によって、ノードＮ１が、Ｈｉｇｈ状態になるため、接続切替部２９は、チップセレクト信号（ＣＳ＃０）の信号線をバックアップメモリ２７に接続する。

【0051】

この状態で、ノートＰＣ１を起動すると、メインプロセッサ１０は、チップセレクト信号（ＣＳ＃０）の信号線に接続されているバックアップメモリ２７からブートプログラムを読み出して、当該ブートプログラムにより、システムを起動する。なお、ＢＩＯＳメモリ２２が実装されている場合には、接続切替部２９は、チップセレクト信号（ＣＳ＃１）の信号線をＢＩＯＳメモリ２２に接続する。

【0052】

このように、メインプロセッサ１０は、ヒューズ２８の導通が切断された場合に、バックアップメモリ２７が記憶するバックアップのブートプログラムからシステムを起動する。

【0053】

次に、図５を参照して、本実施形態によるノートＰＣ１の起動処理について説明する。
図５は、本実施形態によるノートＰＣ１の起動処理の一例を示すフローチャートである。

【0054】

図５に示すように、ノートＰＣ１のエンベデッドコントローラ３１は、まず、ヒューズ２８が切断状態であるか否かを判定する（ステップＳ１０１）。エンベデッドコントローラ３１は、ノードＮ１の電圧レベルを検出してヒューズ２８が切断状態であるか否かを判定する。エンベデッドコントローラ３１は、ヒューズ２８が切断状態（ノードＮ１がＨｉｇｈ状態）である場合（ステップＳ１０１：ＹＥＳ）に、処理をステップＳ１０２に進める。また、エンベデッドコントローラ３１は、ヒューズ２８が導通状態（ノードＮ１がＬｏｗ状態）である場合（ステップＳ１０１：ＮＯ）に、処理をステップＳ１０４に進める。

【0055】

ステップＳ１０２において、エンベデッドコントローラ３１は、警告メッセージを表示部１４に表示させる。エンベデッドコントローラ３１は、例えば、ＢＩＯＳメモリ２２に半田が融解する温度が掛けられて、ＢＩＯＳメモリ２２がメイン基板から外された可能性があることを示すメッセージを、メインプロセッサ１０及びビデオサブシステム１３を介して、表示部１４に表示させる。

【0056】

次に、ノートＰＣ１のメインプロセッサ１０は、バックアップメモリ２７のブートプログラムにより起動する（ステップＳ１０３）。この場合、図４に示すように、接続切替部２９が、チップセレクト信号（ＣＳ＃０）の信号線をバックアップメモリ２７に接続し、メインプロセッサ１０は、バックアップメモリ２７から読み出したブートプログラムにより、システムを起動する。ステップＳ１０３の処理後に、ノートＰＣ１は、起動処理を終了する。

【0057】

また、ステップＳ１０４において、メインプロセッサ１０は、ＢＩＯＳメモリ２２のブートプログラムにより起動する。この場合、図３に示すように、接続切替部２９が、チップセレクト信号（ＣＳ＃０）の信号線をＢＩＯＳメモリ２２に接続し、メインプロセッサ１０は、ＢＩＯＳメモリ２２から読み出したブートプログラムにより、システムを起動する。ステップＳ１０４の処理後に、ノートＰＣ１は、起動処理を終了する。

【0058】

以上説明したように、本実施形態によるノートＰＣ１（情報処理装置）は、ＢＩＯＳメモリ２２（第１メモリ）と、バックアップメモリ２７（第２メモリ）と、メインプロセッサ１０と、ヒューズ２８と、接続切替部２９とを備える。ＢＩＯＳメモリ２２は、メイン基板（例えば、マザーボード）に実装され、システムを起動するためのブートプログラムを記憶する。バックアップメモリ２７は、ＢＩＯＳメモリ２２とは異なるメイン基板上の場所に実装され、ブートプログラムのバックアップを記憶する。メインプロセッサ１０は、ブートプログラムによりシステムを起動し、システムに基づく情報処理を実行する。ヒューズ２８は、ＢＩＯＳメモリ２２の周辺に配置され、ＢＩＯＳメモリ２２を実装する半田に、融解する温度が与えられた場合に、導通が切断される。接続切替部２９は、ヒューズ２８が導通している場合に、メインプロセッサ１０とＢＩＯＳメモリ２２とを接続し、ヒューズ２８の導通が切断された場合に、メインプロセッサ１０とバックアップメモリ２７との接続に切り替える。すなわち、接続切替部２９は、ヒューズ２８が導通している場合に、メインプロセッサ１０とＢＩＯＳメモリ２２との間を、メインプロセッサ１０がＢＩＯＳメモリ２２からブートプログラムを取得可能な接続にする。また、接続切替部２９は、ヒューズ２８の導通が切断された場合に、メインプロセッサ１０とバックアップメモリ２７との間を、メインプロセッサ１０がバックアップメモリ２７からブートプログラムを取得可能な接続に切り替える。メインプロセッサ１０は、ヒューズ２８の導通が切断された場合に、バックアップメモリ２７が記憶するバックアップのブートプログラムからシステムを起動する。

【0059】

これにより、本実施形態によるノートＰＣ１は、例えば、悪意を持った攻撃者により、情報収集のために、ブートプログラムが記憶されているＢＩＯＳメモリ２２が取り外された場合であっても、バックアップメモリ２７が記憶するバックアップのブートプログラムにより、システムを正常に起動することができる。また、本実施形態によるノートＰＣ１は、例えば、ＢＩＯＳメモリ２２が取り外された後に、プログラム及びデータを改ざんしたＢＩＯＳメモリ２２が載せ替えられた場合に、であっても、バックアップメモリ２７が記憶するバックアップのブートプログラムにより、システムを正常に起動することができる。よって、本実施形態によるノートＰＣ１は、攻撃者による攻撃を回避し、システムを正常に起動することができる。

【0060】

また、本実施形態では、メインプロセッサ１０と、ＢＩＯＳメモリ２２及びバックアップメモリ２７とは、接続切替部２９を経由して、ＳＰＩバスにより接続される。接続切替部２９は、ヒューズ２８の導通の状態に応じて、チップセレクト信号線（ＣＳ＃０）を、ＢＩＯＳメモリ２２と、バックアップメモリ２７との間で切り替える。

【0061】

これにより、本実施形態によるノートＰＣ１は、ＢＩＯＳメモリ２２が取り外された場合であっても、ＳＰＩバスを利用してバックアップメモリ２７が記憶するバックアップのブートプログラムにより、システムを正常に起動することができる。

【0062】

また、本実施形態によるノートＰＣ１は、メインプロセッサ１０と異なるプロセッサであって、周辺機器を管理するエンベデッドコントローラ３１（サブプロセッサ）を備える。エンベデッドコントローラ３１は、ヒューズ２８の導通が切断されたことを検出し、ヒューズ２８の導通が切断された場合に、外部に警告を通知する。

【0063】

これにより、本実施形態によるノートＰＣ１は、ヒューズ２８の導通が切断されて、例えば、攻撃者により何らかの攻撃を受けた可能性があることを、利用者に警告することができる。

【0064】

また、本実施形態では、エンベデッドコントローラ３１は、ヒューズ２８の導通が切断された場合に、ヒューズ２８の導通が切断されたことを示す情報を、表示部１４に表示させる。エンベデッドコントローラ３１は、例えば、システムの起動時に、ヒューズ２８の導通が切断されたことを示す情報を、表示部１４に表示させる。

【0065】

これにより、本実施形態によるノートＰＣ１は、ヒューズ２８の導通が切断されて、例えば、攻撃者により何らかの攻撃を受けた可能性があることを、表示部１４を介して、利用者に認知させｔることができる。

【0066】

また、本実施形態では、ヒューズ２８は、サーマルヒューズである。
これにより、本実施形態によるノートＰＣ１は、サーマルヒューズという簡易な構成により、ＢＩＯＳメモリ２２が取り外されたことを適切に検出することができる。

【0067】

また、本実施形態による耐タンパ方法は、上述したＢＩＯＳメモリ２２と、バックアップメモリ２７と、メインプロセッサ１０と、ヒューズ２８と、接続切替部２９とを備えるノートＰＣ１の耐タンパ方法であって、切り替えステップと、起動ステップとを含む。切り替えステップにおいて、接続切替部２９が、ヒューズ２８の導通が切断された場合に、メインプロセッサ１０とバックアップメモリ２７との接続に切り替える。起動ステップにおいて、メインプロセッサ１０が、ヒューズ２８の導通が切断された場合に、バックアップメモリ２７が記憶するバックアップのブートプログラムからシステムを起動する。

【0068】

これにより、本実施形態による耐タンパ方法は、上述したノートＰＣ１と同様の効果を奏し、例えば、悪意を持った攻撃者により、ＢＩＯＳメモリ２２が取り外された場合であっても、バックアップメモリ２７が記憶するバックアップのブートプログラムにより、システムを正常に起動することができる。

【0069】

［第２の実施形態］
次に、図面を参照して、第２の実施形態によるノートＰＣ１ａについて説明する。
図６は、第２の実施形態によるノートＰＣ１ａの主要なハードウェア構成の一例を示す図である。

【0070】

図６に示すように、ノートＰＣ１ａ（ノートブック型パーソナルコンピュータ）は、ＣＰＵ１１と、メインメモリ１２と、ビデオサブシステム１３と、表示部１４と、チップセット２１と、ＢＩＯＳメモリ２２と、ＨＤＤ２３と、オーディオシステム２４と、ＷＬＡＮカード２５と、ＵＳＢコネクタ２６と、バックアップメモリ２７と、ヒューズ２８と、接続切替部２９と、エンベデッドコントローラ３１と、入力部３２と、電源回路３３とを備える。

【0071】

本実施形態によるノートＰＣ１ａは、ＢＩＯＳメモリ２２及びバックアップメモリ２７が、接続切替部２９を経由して、エンベデッドコントローラ３１に接続されている点が、第１の実施形態と異なる。

【0072】

エンベデッドコントローラ３１は、ＳＰＩを有しており、ＳＰＩを介してＢＩＯＳメモリ２２及びバックアップメモリ２７と接続されている。本実施形態では、例えば、Slave Attached Flash方式により、ＢＩＯＳメモリ２２及びバックアップメモリ２７がエンベデッドコントローラ３１に接続されており、メインプロセッサ１０は、ｅＳＰＩにより接続されたエンベデッドコントローラ３１を経由してＢＩＯＳメモリ２２及びバックアップメモリ２７にアクセス可能である。

【0073】

なお、Slave Attached Flash方式では、メインプロセッサ１０をマスター（Master）として、スレーブ（Slave）であるエンベデッドコントローラ３１が接続され、さらに、エンベデッドコントローラ３１には、スレーブとしてＢＩＯＳメモリ２２及びバックアップメモリ２７が接続されている。この接続により、エンベデッドコントローラ３１からＢＩＯＳメモリ２２へのアクセスが可能になるとともに、メインプロセッサ１０からエンベデッドコントローラ３１及び接続切替部２９を経由したＢＩＯＳメモリ２２及びバックアップメモリ２７へのアクセスが可能になる。

【0074】

次に、図７を参照して、本実施形態によるノートＰＣ１ａのＢＩＯＳメモリ２２の切り替え構成について詳細に説明する。
図７は、本実施形態によるノートＰＣ１ａのＢＩＯＳメモリ２２の切り替え構成の一例を示す図である。ここでは、本発明に関連する構成のみを記載する。

【0075】

図７に示すように、メインプロセッサ１０と、ＢＩＯＳメモリ２２及びバックアップメモリ２７とは、エンベデッドコントローラ３１及び接続切替部２９を経由して、ＳＰＩバス（ｅＳＰＩバス）により接続される。
すなわち、本実施形態では、エンベデッドコントローラ３１とＢＩＯＳメモリ２２及びバックアップメモリ２７とが、接続切替部２９を経由して接続されている。そして、メインプロセッサ１０は、エンベデッドコントローラ３１を経由して、ブートプログラムを取得する。

【0076】

その他の構成、及び接続切替部２９の切り替え処理については、上述した第１の実施形態と同様であるため、ここではその説明を省略する。

【0077】

以上説明したように、本実施形態では、エンベデッドコントローラ３１とＢＩＯＳメモリ２２及びバックアップメモリ２７とが、接続切替部２９を経由して接続されている。そして、メインプロセッサ１０は、エンベデッドコントローラ３１を経由して、ブートプログラムを取得する。

【0078】

これにより、本実施形態によるノートＰＣ１ａは、上述した第１の実施形態のノートＰＣ１と同様の効果を奏し、例えば、悪意を持った攻撃者により、ＢＩＯＳメモリ２２が取り外された場合であっても、バックアップメモリ２７が記憶するバックアップのブートプログラムにより、システムを正常に起動することができる。

【0079】

なお、本発明は、上記の各実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で変更可能である。
例えば、上記の各実施形態において、情報処理装置がノートＰＣ１（１ａ）である例を説明したが、これに限定されるものではなく、例えば、タブレット端末装置、デスクトップＰＣなどの他の情報処理装置であってもよい。

【0080】

また、上記の各実施形態において、ヒューズ２８が、サーマルヒューズである例を説明したが、これに限定されるものではない。ヒューズ２８には、例えば、半田の融解温度で内部の導通が切断した後に、電気的な制御により導通状態に回復可能な電子ヒューズなど、他の方式のヒューズを利用してもよい。

【0081】

また、ヒューズ２８に電子ヒューズを利用した場合には、ノートＰＣ１（１ａ）は、エンベデッドコントローラ３１の制御により、電子ヒューズの導通を切断された状態から回復させる処理を実行するようにしてもよい。また、この場合、エンベデッドコントローラ３１は、ＢＩＯＳのパスワード、等による利用者又は管理者の認証処理の結果に応じて、回復させる処理を実行するようにしてもよい。

【0082】

また、上記の各実施形態において、エンベデッドコントローラ３１は、利用者への警告として、ヒューズ２８の導通が切断されたことを示す情報を、表示部１４に表示させる例を説明したが、これに限定されるものではない。エンベデッドコントローラ３１は、表示部１４に表示させる代わりに、例えば、警告音や、メイン基板上の発光ダイオードなどの点灯、などにより外部に警告するようにしてもよい。また、エンベデッドコントローラ３１は、ＷＬＡＮカード２５を介して、ネットワークに接続し、ネットワークを介して、ノートＰＣ１（１ａ）を管理する管理サーバに、ヒューズ２８の導通が切断されたことを示す情報を通知するようにしてもよい。

【0083】

また、上記の各実施形態において、エンベデッドコントローラ３１が、ヒューズ２８の導通が切断されたことを検出し、警報を出力する処理を実行する例を説明したが、これに限定されるものではなく、メインプロセッサ１０が、これらの処理を実行するようにしてもよい。

【0084】

また、上記の各実施形態において、接続切替部２９は、プルアップ抵抗２９３を用いて、ヒューズ２８の導通状態を検出する例を説明したが、これに限定されるものではなく、例えば、プルダウン抵抗などの他の手段をもちいてもよい。プルダウン抵抗を用いる場合には、例えば、ヒューズ２８の第１端を電源供給線に接続し、第２端をプルダウン抵抗に接続する。

【0085】

また、接続切替部２９の構成は、上記の実施形態に限定されるものではなく、他の構成であってもよい。上記の実施形態において、接続切替部２９は、チップセレクト信号のみを切り替える構成である例を説明したが、これに限定されるものではなく、ＳＰＩバスの各信号を切り替える構成であってもよい。

【0086】

また、上記の実施形態において、ＢＩＯＳメモリ２２と、バックアップメモリ２７とがＳＰＩバスを用いて、メインプロセッサ１０に接続される例を説明したが、これに限定されるものではなく、他のインターフェースにより接続されるようにしてもよい。

【0087】

また、上記の実施形態において、ノートＰＣ１（１ａ）である情報処理装置が、エンベデッドコントローラ３１（サブプロセッサ）を備える例を説明したが、これに限定されるものではなく、エンベデッドコントローラ３１（サブプロセッサ）を備えない構成であってもよい。また、この場合、エンベデッドコントローラ３１の処理を、メインプロセッサ１０が実行してもよい。

【0088】

なお、上述したノートＰＣ１（１ａ）が備える各構成は、内部に、コンピュータシステムを有している。そして、上述したノートＰＣ１（１ａ）が備える各構成の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより上述したノートＰＣ１（１ａ）が備える各構成における処理を行ってもよい。ここで、「記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行する」とは、コンピュータシステムにプログラムをインストールすることを含む。ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。
また、「コンピュータシステム」は、インターネットやＷＡＮ、ＬＡＮ、専用回線等の通信回線を含むネットワークを介して接続された複数のコンピュータ装置を含んでもよい。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ－ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。このように、プログラムを記憶した記録媒体は、ＣＤ－ＲＯＭ等の非一過性の記録媒体であってもよい。

【0089】

また、記録媒体には、当該プログラムを配信するために配信サーバからアクセス可能な内部又は外部に設けられた記録媒体も含まれる。なお、プログラムを複数に分割し、それぞれ異なるタイミングでダウンロードした後にノートＰＣ１（１ａ）が備える各構成で合体される構成や、分割されたプログラムのそれぞれを配信する配信サーバが異なっていてもよい。さらに「コンピュータ読み取り可能な記録媒体」とは、ネットワークを介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。また、上記プログラムは、上述した機能の一部を実現するためのものであってもよい。さらに、上述した機能をコンピュータシステムに既に記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

【0090】

また、上述した機能の一部又は全部を、ＬＳＩ（Large Scale Integration）等の集積回路として実現してもよい。上述した各機能は個別にプロセッサ化してもよいし、一部、又は全部を集積してプロセッサ化してもよい。また、集積回路化の手法はＬＳＩに限らず専用回路、又は汎用プロセッサで実現してもよい。また、半導体技術の進歩によりＬＳＩに代替する集積回路化の技術が出現した場合、当該技術による集積回路を用いてもよい。

【符号の説明】

【0091】

１、１ａ ノートＰＣ
１０ メインプロセッサ
１１ ＣＰＵ
１２ メインメモリ
１３ ビデオサブシステム
１４ 表示部
２１ チップセット
２２ ＢＩＯＳメモリ
２３ ＨＤＤ
２４ オーディオシステム
２５ ＷＬＡＮカード
２６ ＵＳＢコネクタ
２７ バックアップメモリ
２８ ヒューズ
２９ 接続切替部
３１ エンベデッドコントローラ（ＥＣ）
３２ 入力部
３３ 電源回路
２９１、２９２ セレクタ
２９３ プルアップ抵抗
３１１ ヒューズ検出処理部

【要約】      （修正有）

【課題】攻撃者によって、ブートプログラムが記憶されているメモリが取り外された場合であっても、システムを正常に起動することが可能な情報処理装置及び耐タンパ方法を提供する。
【解決手段】情報処理装置１は、ブートプログラムを記憶する第１メモリ２２と、第１メモリとは異なる場所に実装され、ブートプログラムのバックアップを記憶する第２メモリ２７と、ブートプログラムによりシステムを起動するメインプロセッサ１０と、第１メモリを実装する半田に融解する温度が与えられた場合、導通が切断されるヒューズ２８と、ヒューズが導通している場合、メインプロセッサと第１メモリとの間を接続し、ヒューズの導通が切断された場合、メインプロセッサと第２メモリとの間の接続に切り替える接続切替部２９とを備える。メインプロセッサは、ヒューズの導通が切断された場合、第２メモリが記憶するバックアップのブートプログラムからシステムを起動する。
【選択図】図２

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】