JP4815782B2

JP4815782B2 - Program update method, information processing apparatus, and program

Info

Publication number: JP4815782B2
Application number: JP2004308409A
Authority: JP
Inventors: 浩治尾崎
Original assignee: Sony Corp
Current assignee: Sony Corp
Priority date: 2004-10-22
Filing date: 2004-10-22
Publication date: 2011-11-16
Anticipated expiration: 2024-10-22
Also published as: JP2006119992A

Description

本発明は、プログラムを更新するためのプログラム更新方法、情報処理装置およびプログラムに関し、特に、ネットワークを通じた更新プログラムの取得時やその更新プログラムの導入時における安全性を向上させたプログラム更新方法、情報処理装置およびプログラムに関する。 The present invention relates to a program update method, an information processing apparatus, and a program for updating a program, and in particular, a program update method and information with improved safety when an update program is acquired through a network or when the update program is introduced. The present invention relates to a processing device and a program.

近年、インターネットやパーソナルコンピュータ（ＰＣ）に代表されるＩＴ（Information Technology）関連技術の進歩はめざましく、そのために多くの機器が高機能化、小型化、低価格化されている。特に最近では、ＰＣに限らず、ＡＶ（Audio Visual）機器や家電機器などの中で、ネットワーク機能を備える機器も増加しており、そのような機器が今後さらに増加するものと考えられている。 In recent years, advances in IT (Information Technology) -related technologies represented by the Internet and personal computers (PCs) have been remarkable, and for that reason, many devices have become highly functional, downsized and inexpensive. In particular, recently, not only PCs but also AV (Audio Visual) devices, home appliances, etc., devices with network functions are increasing, and such devices are considered to increase further in the future.

しかし、このような情報技術分野の進歩により機器の性能やユーザの利便性が向上した反面、高度化した機能を実現するためのプログラムはますます複雑になっており、それにともなってプログラムに不具合が生じてしまうことも多くなっている。そのため、プログラムを更新して不具合を解消するための更新プログラムが配布されているが、特にネットワーク機能を備えた機器の場合には、不具合をより手軽な作業で解消するために、ネットワークを通じて配布された更新プログラムを受信して、プログラムを更新するようにした機器もあった（たとえば、特許文献１参照。）。 However, while advances in information technology have improved device performance and user convenience, programs for realizing advanced functions are becoming more and more complex, and as a result, there are problems with programs. It often happens. Therefore, an update program for updating the program to solve the problem is distributed, but especially for devices with network functions, it is distributed over the network to solve the problem more easily. Some devices receive the updated program and update the program (for example, see Patent Document 1).

図９は、従来のネットワークを用いたプログラムの更新手順を表したフローチャートである。
たとえば、ネットワーク機能を有する機器の電源を投入するなどして機器プログラムを起動すると、以下のようなステップにしたがって処理が実行される。 FIG. 9 is a flowchart showing a program update procedure using a conventional network.
For example, when a device program is started by turning on the power of a device having a network function, the processing is executed according to the following steps.

〔ステップＳ１０１〕機器プログラムの起動にともなって、すべてのネットワーク機能が開始される。
〔ステップＳ１０２〕更新プログラムのダウンロードを開始する。 [Step S101] With the start of the device program, all network functions are started.
[Step S102] Download of the update program is started.

〔ステップＳ１０３〕更新プログラムのダウンロードが終了した後、そのダウンロードしたプログラムをインストールする。場合によっては、インストール後にシステムを再起動することで、更新された機能が有効になる。 [Step S103] After the download of the update program is completed, the downloaded program is installed. In some cases, the updated functionality is enabled by restarting the system after installation.

以上のような手順により、ネットワーク機能を有する機器に対して更新プログラムがダウンロードされ、さらにインストールされて、機器プログラムが更新される。
なお、ネットワークを利用した機器のプログラムの更新方法には、機器に２つのＯＳ（Operating System）を搭載させ、それらのＯＳを切り替えることで、機器全体の処理を止めることなくプログラムを更新できるように工夫されたものもあった（たとえば、特許文献２参照。）。
特開２０００−１８１７１９号公報（段落番号〔００２２〕〜〔００２４〕，図１）特開２００３−１１４８０６号公報（段落番号〔００１７〕〜〔００３７〕，図１） Through the procedure described above, the update program is downloaded to the device having the network function, installed, and the device program is updated.
It should be noted that in the method of updating the program of the device using the network, it is possible to update the program without stopping the processing of the entire device by mounting two OS (Operating System) on the device and switching between the OSs. Some have been devised (for example, see Patent Document 2).
JP 2000-181719 (paragraph numbers [0022] to [0024], FIG. 1) Japanese Unexamined Patent Publication No. 2003-114806 (paragraph numbers [0017] to [0037], FIG. 1)

ところで、さまざまな機器にネットワーク機能が設けられるのにともない、そのネットワーク機能の脆弱性を悪用して、プログラムのクラッキングや不正プログラムが記録されるといった問題が多くなりつつある。特に、高機能化によりプログラムが複雑になると、このような脆弱性を完全に解消することはますます困難になる。 By the way, as various devices are provided with a network function, problems such as program cracking and unauthorized program recording are being exploited by exploiting the vulnerability of the network function. In particular, as the program becomes more complex due to higher functionality, it becomes increasingly difficult to completely eliminate such vulnerabilities.

たとえば、上記図９のフローチャートで示したプログラムの更新手順において、機器プログラム起動後にすべてのネットワーク機能が開始されてから（ステップＳ１０１）、更新プログラムが正常にインストールされてその機能が有効になるまで（ステップＳ１０３）の期間は、ネットワーク機能の脆弱性が解消されていない状態であるため、その脆弱性を利用した攻撃や不正侵入を防止することができない。このため、更新プログラムの正常なダウンロードやインストールができない場合があり、またインストールできたとしても、上記期間に記録された別の不正なプログラムがその後に実行されてしまう場合があることが問題であった。 For example, in the program update procedure shown in the flowchart of FIG. 9, after all the network functions are started after the device program is started (step S101), until the update program is normally installed and the functions are enabled (step S101). During the period of step S103), since the vulnerability of the network function has not been eliminated, it is impossible to prevent an attack or unauthorized intrusion using the vulnerability. For this reason, there is a case where the update program cannot be normally downloaded or installed, and even if the update program can be installed, another malicious program recorded in the above period may be executed later. It was.

本発明はこのような点に鑑みてなされたものであり、ネットワークを通じた更新プログラムの取得時やその更新プログラムの導入時におけるネットワーク経由の攻撃リスクを低減することが可能なプログラム更新方法を提供することを目的とする。 The present invention has been made in view of these points, and provides a program update method capable of reducing the risk of attack via the network when an update program is acquired through the network or when the update program is introduced. For the purpose.

また、本発明の他の目的は、ネットワークを通じた更新プログラムの取得時やその更新プログラムの導入時におけるネットワーク経由の攻撃リスクが低減された情報処理装置を提供することである。 Another object of the present invention is to provide an information processing apparatus in which the risk of attack via a network is reduced when an update program is acquired through the network or when the update program is introduced.

さらに、本発明の他の目的は、ネットワークを通じた更新プログラムの取得時やその更新プログラムの導入時におけるネットワーク経由の攻撃リスクを低減することが可能なプログラムを提供することである。 Furthermore, another object of the present invention is to provide a program capable of reducing the risk of attack via the network when an update program is acquired through the network or when the update program is introduced.

本発明では上記問題を解決するために、ネットワークを通じた通信処理を含む所定の処理手順が記述された機器プログラムを、ネットワークを利用して更新するプログラム更新方法において、起動制御手段が、機器が起動されたとき、該機器の処理機能を実現する機器プログラムを更新するための更新プログラムを取得するか否かを所定の条件に基づいて判断し、更新プログラムを取得すると判断したときは、更新プログラムを取得する更新プログラム取得手段を起動し、更新プログラム取得手段が起動されたときは、起動された更新プログラム取得手段が、ネットワークを通じて更新プログラムを提供する特定のサーバに対し、更新プログラムの取得のために最小限必要であって、機器プログラムに基づく処理において用いられる通信プロトコルよりも少ない数に制限されている更新プログラム取得用の通信プロトコルを用いてアクセスして更新プログラムを受信し、予め不揮発性記憶媒体に用意された更新プログラム用の記憶領域に受信した更新プログラムを格納し、プログラム更新手段が、更新プログラム取得手段によって更新プログラム用の記憶領域に未導入の更新プログラムが格納されたときは、当該更新プログラムを導入して機器プログラムを更新し、起動制御手段が、機器プログラムに基づく処理を実行する機器制御処理手段を起動するプログラム更新方法が提供される。 In the present invention, in order to solve the above-mentioned problem, in a program update method for updating a device program in which a predetermined processing procedure including communication processing through a network is described using a network, the activation control unit activates the device. When it is determined whether to acquire an update program for updating the device program that realizes the processing function of the device based on a predetermined condition, and when it is determined to acquire the update program, the update program is start the update program acquisition means for acquiring, when the update program acquisition unit is activated, the activated updates acquiring means, against the specific server that provides updates through the network, for the acquisition of update A communication program that is minimally required and used in processing based on device programs. Access using the communication protocol of the update program acquisition is limited to fewer than Coll to receive updates, the update program received in the storage area for beforehand nonvolatile memory update program prepared in medium When the update program storage means stores an update program that has not been installed in the storage area for update programs by the update program acquisition means, the update program is introduced to update the device program, and the activation control means There is provided a program update method for activating device control processing means for executing processing based on a device program.

このようなプログラム更新方法によれば、更新プログラムを取得するとき、機器プログラムを起動させることなく更新プログラムを取得することにより、取得時におけるネットワークを通じた攻撃リスクが低減される。 According to the program update method, such as this, when acquiring the update by obtaining the no updates activating the device program, attack risk over the network at the time of acquisition is reduced.

また、本発明では、ネットワークを通じた通信処理を含む所定の処理手順が記述された機器プログラムを、ネットワークを利用して更新する情報処理装置において、ネットワークを通じて自装置の処理機能を実現する機器プログラムを更新するための更新プログラムを提供する特定のサーバに対し、更新プログラムの取得のために最小限必要であって、機器プログラムに基づく処理において用いられる通信プロトコルよりも少ない数に制限されている更新プログラム取得用の通信プロトコルを用いてアクセスして更新プログラムを受信し、予め不揮発性記憶媒体に用意された更新プログラム用の記憶領域に受信した更新プログラムを格納する更新プログラム取得手段と、更新プログラム取得手段によって更新プログラム用の記憶領域に未導入の更新プログラムが格納されたときは、当該更新プログラムを導入して機器プログラムを更新するプログラム更新手段と、自装置が起動されたとき、更新プログラムを取得するか否かを所定の条件に基づいて判断し、更新プログラムを取得する判断をしたときは、更新プログラムを取得する更新プログラム取得手段を起動し、機器プログラムが更新された後、または所定の条件に基づいて更新プログラムを取得しなかったときに、機器プログラムに基づく処理を実行する機器制御処理手段を起動する起動制御手段と、を有する情報処理装置が提供される。 In the present invention, in an information processing apparatus that updates a device program in which a predetermined processing procedure including communication processing through a network is described using the network, the device program that realizes the processing function of the own device through the network is provided. against a specific server that provides an update for updating, a minimum required for the acquisition of update, the update that is limited to fewer than the communication protocol used in the processing based on the device program receives the update program to access using a communication protocol for acquiring and updating program acquisition means for storing the update program received in the storage area for-prepared update in advance the non-volatile storage medium, updates obtain Not installed in the storage area for update programs by means When an update program is stored, program update means for introducing the update program to update the device program and whether or not to acquire the update program when the own apparatus is activated are determined based on a predetermined condition When the update program acquisition means for acquiring the update program is activated and the device program is updated or when the update program is not acquired based on a predetermined condition There is provided an information processing apparatus having start control means for starting equipment control processing means for executing processing based on the equipment program.

このような情報処理装置によれば、起動制御手段によって、機器プログラムを起動させることなく更新プログラム取得手段が更新プログラムを取得するように制御されることにより、更新プログラムの取得時におけるネットワークを通じた攻撃リスクが低減される。
According to an information processing apparatus such as this, the activation control means, without updating the program acquisition unit activating the device program by being controlled to obtain updates, through the network at the time of acquisition of the update Attack risk is reduced.

本発明のプログラム更新方法によれば、更新プログラムの取得実行時に、機器プログラムの実行時と比較してネットワーク機能の脆弱性が発生しにくい。したがって、機器プログラムのネットワーク機能に脆弱性がある場合であっても、その機器プログラムを起動させることなく更新プログラムを取得することにより、取得時におけるネットワークを通じた攻撃リスクが低減され、より確実に機器プログラムを更新して脆弱性を解消できるようになる。 According to the program update method of the present invention, when Tokumi row preparative updates the vulnerability of the network function is less likely to occur compared to when executing the device program. Therefore, even if there is a vulnerable network device functions program, by acquiring without updates be activated the equipment program, attack risk over the network at the time of acquisition is reduced, more reliable equipment The program can be updated to eliminate the vulnerability.

また、本発明の情報処理装置によれば、ネットワーク機能の脆弱性が発生しにくくされた更新プログラム取得手段が設けられ、機器プログラムを起動させることなく、その更新プログラム取得手段によって更新プログラムが取得される。したがって、機器プログラムのネットワーク機能に脆弱性がある場合であっても、更新プログラムの取得時におけるネットワークを通じた攻撃リスクが低減され、より確実に機器プログラムを更新して脆弱性を解消できるようになる。
Further, according to the information processing apparatus of the present invention, Ne update program acquisition means vulnerability is unlikely to occur in Ttowaku function is provided, without activating the device program, the update is obtained by the update program acquisition means Is done. Therefore, even if there is a vulnerability in the network function of the device program, the risk of attack through the network when acquiring the update program is reduced, and the vulnerability can be resolved by updating the device program more reliably. .

以下、本発明の実施の形態を図面を参照して詳細に説明する。
図１は、実施の形態に係るプログラム更新システムのシステム構成を示す図である。
図１に示すように、プログラム更新システムは、情報処理機器１と、この情報処理機器１で実行されるプログラムの更新（修正）プログラムを提供するサーバ２とが、ネットワーク３を通じて接続された構成を有している。なお、情報処理機器１は、ネットワーク３上に複数接続されていてもよい。また、ネットワーク３上には、実際には他の複数のコンピュータなどが接続されている。 Hereinafter, embodiments of the present invention will be described in detail with reference to the drawings.
FIG. 1 is a diagram illustrating a system configuration of a program update system according to an embodiment.
As shown in FIG. 1, the program update system has a configuration in which an information processing device 1 and a server 2 that provides an update (correction) program for a program executed on the information processing device 1 are connected through a network 3. Have. Note that a plurality of information processing devices 1 may be connected on the network 3. In addition, a plurality of other computers are actually connected on the network 3.

情報処理機器１は、図１に示すハードウェアを備えたコンピュータ、携帯電話機、ＰＤＡ（Personal Digital Assistance）、デジタルカメラなどの機器であり、ネットワーク３に接続して他のコンピュータなどと通信する機能を備えている。また、情報処理機器１がサーバ２にアクセスして更新プログラムを要求すると、サーバ２は、要求された更新プログラムを情報処理機器１に対して送信する。このとき、後述するように、更新プログラムの送信中での改ざんを防止するための照合情報が、更新プログラムとともに送信されてもよい。 The information processing device 1 is a device such as a computer, a mobile phone, a PDA (Personal Digital Assistance), a digital camera, or the like equipped with the hardware shown in FIG. 1, and has a function of communicating with other computers by connecting to the network 3. I have. When the information processing device 1 accesses the server 2 and requests an update program, the server 2 transmits the requested update program to the information processing device 1. At this time, as described later, collation information for preventing falsification during transmission of the update program may be transmitted together with the update program.

次に、各装置のハードウェア構成について説明する。
情報処理機器１は、ＣＰＵ（Central Processing Unit）１１、ＲＡＭ（Random Access Memory）１２、通信インタフェース（Ｉ／Ｆ）１３、表示部１４、入力部１５、２つのＥＥＰＲＯＭ（Electronically Erasable and Programmable Read Only Memory）１６および１７、および更新許可部１８を備えており、これらはＣＰＵバス１９を介して相互に接続されている。 Next, the hardware configuration of each device will be described.
The information processing device 1 includes a central processing unit (CPU) 11, a random access memory (RAM) 12, a communication interface (I / F) 13, a display unit 14, an input unit 15, and two EEPROMs (Electronically Erasable and Programmable Read Only Memory). ) 16 and 17 and an update permission unit 18, which are connected to each other via a CPU bus 19.

ＣＰＵ１１は、情報処理機器１の全体の制御をつかさどる。ＲＡＭ１２は、ＣＰＵ１１に実行させるプログラムの少なくとも一部や、このプログラムによる処理に必要な各種データを一時的に記憶する。 The CPU 11 controls the entire information processing device 1. The RAM 12 temporarily stores at least part of a program to be executed by the CPU 11 and various data necessary for processing by the program.

通信Ｉ／Ｆ１３は、ネットワーク３に接続されて、このネットワーク３を通じてサーバ２を含む他のコンピュータなどとの間でデータの送受信を行う。表示部１４は、グラフィックＩ／Ｆや、ＬＣＤ（Liquid Crystal Display）などのモニタからなり、ＣＰＵ１１からの命令に従ってモニタの画面上に画像を表示する。入力部１５は、入力キーなどを備えてユーザからの入力操作を受け付け、その入力操作に応じた信号をＣＰＵ１１に送信する。 The communication I / F 13 is connected to the network 3 and transmits / receives data to / from other computers including the server 2 through the network 3. The display unit 14 includes a monitor such as a graphic I / F or an LCD (Liquid Crystal Display), and displays an image on the monitor screen according to a command from the CPU 11. The input unit 15 includes an input key and the like, receives an input operation from the user, and transmits a signal corresponding to the input operation to the CPU 11.

ＥＥＰＲＯＭ１６は、この情報処理機器１の各種機能を実現するためのプログラムやデータを記憶する。なお、そのプログラムとしては、起動プログラムやＯＳ、アプリケーションプログラム、ファームウェアなどが含まれる。ＥＥＰＲＯＭ１７は、更新プログラムなどのサーバ２からの受信データを記憶する。なお、これらのＥＥＰＲＯＭ１６および１７の代わりに、たとえばＨＤＤ（Hard Disk Drive）などの他の不揮発性記憶媒体が設けられてもよい。ただし、サーバ２からの受信データは、その他のプログラムやデータとは物理的あるいは論理的に異なる記憶領域に記憶されることが望ましい。 The EEPROM 16 stores programs and data for realizing various functions of the information processing device 1. The program includes a startup program, OS, application program, firmware, and the like. The EEPROM 17 stores data received from the server 2 such as an update program. Instead of these EEPROMs 16 and 17, other nonvolatile storage media such as an HDD (Hard Disk Drive) may be provided. However, the data received from the server 2 is preferably stored in a storage area physically or logically different from other programs and data.

更新許可部１８は、ユーザからの入力操作を受け付ける独自の、あるいは入力部１５と共用される入力手段を備え、その入力操作に応じて、ＥＥＰＲＯＭ１６内のプログラムの更新に対する許可／不許可を示す信号をＣＰＵ１１に対して出力するハードウェアである。 The update permission unit 18 includes an input unit that accepts an input operation from the user, or an input unit that is shared with the input unit 15, and indicates a signal indicating permission / non-permission for updating the program in the EEPROM 16 according to the input operation. Is output to the CPU 11.

一方、サーバ２は、ＣＰＵ２１、ＲＡＭ２２、ＨＤＤ２３、および通信Ｉ／Ｆ２４を備えており、これらはＣＰＵバス２５を介して相互に接続されている。
ＣＰＵ２１は、サーバ２の全体の制御をつかさどる。ＲＡＭ２２は、ＣＰＵ２１に実行されるプログラムの少なくとも一部や、このプログラムによる処理に必要な各種データを一時的に記憶する。 On the other hand, the server 2 includes a CPU 21, a RAM 22, an HDD 23, and a communication I / F 24, which are connected to each other via a CPU bus 25.
The CPU 21 controls the entire server 2. The RAM 22 temporarily stores at least part of a program executed by the CPU 21 and various data necessary for processing by the program.

ＨＤＤ２３は、情報処理機器１の更新プログラムが記憶されている。通信Ｉ／Ｆ２４は、ネットワーク３に接続されて、このネットワーク３を通じて情報処理機器１を含む他のコンピュータなどとの間でデータの送受信を行う。 The HDD 23 stores an update program for the information processing device 1. The communication I / F 24 is connected to the network 3 and transmits / receives data to / from other computers including the information processing apparatus 1 through the network 3.

本実施の形態では特に、情報処理機器１で実行されるプログラムを更新するための更新プログラムの提供処理手順が記述されたプログラムが、ＨＤＤ２３に記憶される。すなわち、ＣＰＵ２１によりこのプログラムがＲＡＭ２２にロードされて実行されることで、更新プログラムが情報処理機器１に対して提供される。 In the present embodiment, in particular, a program in which an update program providing process procedure for updating a program executed in the information processing device 1 is described is stored in the HDD 23. That is, the CPU 21 loads this program into the RAM 22 and executes it, so that an update program is provided to the information processing device 1.

なお、ネットワーク３は、たとえばインターネットなどのＩＰ（Internet Protocol）ネットワークである。この場合、たとえば、情報処理機器１の通信Ｉ／Ｆ１３はＬＡＮに接続し、モデムなどの接続装置やインターネットプロバイダなどを介してインターネットに接続する。また、通信Ｉ／Ｆ１３は、ネットワーク３に対して有線あるいは無線のどちらにより接続されてもよい。 The network 3 is an IP (Internet Protocol) network such as the Internet. In this case, for example, the communication I / F 13 of the information processing device 1 is connected to the LAN and connected to the Internet via a connection device such as a modem or an Internet provider. Further, the communication I / F 13 may be connected to the network 3 by either wired or wireless.

図２は、情報処理機器の処理機能を示すブロック図である。
図２に示すように、情報処理機器１は、この機器の起動時の動作を制御する起動制御部１１０と、更新プログラムを取得する処理を行うプログラム取得部１２０と、情報処理機器１の通常の処理を行う機器制御処理部１３０とを具備する。 FIG. 2 is a block diagram illustrating processing functions of the information processing device.
As illustrated in FIG. 2, the information processing device 1 includes a start control unit 110 that controls operations at the time of start-up of the device, a program acquisition unit 120 that performs processing for acquiring an update program, and a normal information processing device 1. And a device control processing unit 130 that performs processing.

起動制御部１１０の処理機能は、ＥＥＰＲＯＭ１６に記憶された起動プログラム１６１あるいはその一部が、ＣＰＵ１１に実行されることで実現される。起動プログラム１６１は、情報処理機器１の起動時に最初に実行されるものである。起動制御部１１０は、所定の条件に従って、ＥＥＰＲＯＭ１６内のダウンロードプログラム１６２または機器プログラム１６３のどちらかを起動させる。たとえば、ダウンロードプログラム１６２を前回起動してから一定の時間が経過していた場合に、あるいはシステム起動時におけるユーザの入力操作に応じて、ダウンロードプログラム１６２を起動させる。 The processing function of the activation control unit 110 is realized by the CPU 11 executing the activation program 161 stored in the EEPROM 16 or a part thereof. The activation program 161 is executed first when the information processing device 1 is activated. The activation control unit 110 activates either the download program 162 or the device program 163 in the EEPROM 16 according to a predetermined condition. For example, the download program 162 is activated when a certain time has elapsed since the download program 162 was activated last time or in response to a user input operation at the time of system activation.

プログラム取得部１２０の処理機能は、ＥＥＰＲＯＭ１６に記憶されたダウンロードプログラム１６２がＣＰＵ１１に実行されることで実現される。このプログラム取得部１２０は、通信処理部１２１およびプログラム格納処理部１２２を備えている。 The processing function of the program acquisition unit 120 is realized by the CPU 11 executing the download program 162 stored in the EEPROM 16. The program acquisition unit 120 includes a communication processing unit 121 and a program storage processing unit 122.

通信処理部１２１は、通信Ｉ／Ｆ１３を通じてサーバ２にアクセスし、更新プログラム１７１を受信する処理を実行する。通信処理部１２１は、たとえば、限られた少数の通信プロトコルのみサポートし、また、アクセス先のアドレスとしてサーバ２を示すただ１つのアドレスが指定されている。さらに、受信したパケットをフィルタリングする機能を具備していてもよい。 The communication processing unit 121 executes processing for accessing the server 2 through the communication I / F 13 and receiving the update program 171. For example, the communication processing unit 121 supports only a limited number of communication protocols, and only one address indicating the server 2 is designated as an access destination address. Furthermore, a function of filtering received packets may be provided.

なお、本実施の形態では、サーバ２からは更新プログラム１７１とともに照合情報１７２も送信される。照合情報１７２はたとえば、更新プログラム１７１に基づくハッシュ値を暗号化した情報や、この情報を復号するための公開鍵などを含む。 In this embodiment, collation information 172 is transmitted from server 2 together with update program 171. The collation information 172 includes, for example, information obtained by encrypting a hash value based on the update program 171 and a public key for decrypting this information.

プログラム格納処理部１２２は、通信処理部１２１によって受信された更新プログラム１７１および照合情報１７２を、ＥＥＰＲＯＭ１７に格納する。なお、プログラム格納処理部１２２は、データの格納が完了すると、システムのリセットを要求する。 The program storage processing unit 122 stores the update program 171 and the collation information 172 received by the communication processing unit 121 in the EEPROM 17. The program storage processing unit 122 requests a system reset when the data storage is completed.

このプログラム取得部１２０は、サーバ２にアクセスして更新プログラム１７１および照合情報１７２を受信し、ＥＥＰＲＯＭ１７に格納するための最低限の機能のみ備えるようにしたことで、ネットワーク３を通じた不正侵入に対する脆弱性の発生を防止している。プログラム取得部１２０は、このような処理を実行するために必要な最小限のＢＩＯＳ（Basic Input/Output System）プログラムを使用する。また、ダウンロードプログラム１６２は、ＯＳ上で実行されてもよいし、あるいはＯＳの介在なしに実行されるようにしてもよい。 The program acquisition unit 120 has access to the server 2 to receive the update program 171 and the collation information 172, and has only a minimum function for storing it in the EEPROM 17, so that it is vulnerable to unauthorized intrusion through the network 3. It prevents the occurrence of sex. The program acquisition unit 120 uses a minimum basic input / output system (BIOS) program necessary for executing such processing. Further, the download program 162 may be executed on the OS, or may be executed without the intervention of the OS.

機器制御処理部１３０の処理機能は、ＥＥＰＲＯＭ１６に記憶された機器プログラム１６３がＣＰＵ１１に実行されることで実現される。機器プログラム１６３はたとえば、ＯＳや、この情報処理機器１の通常の処理機能を実現するためにＯＳ上で動作する各種アプリケーションプログラムなどからなる。機器制御処理部１３０は、通信処理部１３１と、プログラム更新処理部１３２とを備えている。 The processing function of the device control processing unit 130 is realized by the CPU 11 executing the device program 163 stored in the EEPROM 16. The device program 163 includes, for example, an OS and various application programs that operate on the OS in order to realize a normal processing function of the information processing device 1. The device control processing unit 130 includes a communication processing unit 131 and a program update processing unit 132.

通信処理部１３１は、通信Ｉ／Ｆ１３を通じてネットワーク３上の他のコンピュータとの間でデータの送受信を行う。この通信処理部１３１は、機器制御処理部１３０で必要な通信機能をすべて満たすように、多数の通信プロトコルをサポートし、あらかじめ決められた多数の機器、あるいは任意の機器を通信対象とすることが可能となっている。 The communication processing unit 131 transmits and receives data to and from other computers on the network 3 through the communication I / F 13. The communication processing unit 131 supports a large number of communication protocols so that all the communication functions required by the device control processing unit 130 are satisfied, and may target a large number of predetermined devices or arbitrary devices as communication targets. It is possible.

プログラム更新処理部１３２は、ＥＥＰＲＯＭ１７に未導入の更新プログラム１７１が記憶されている場合に、この更新プログラム１７１を導入する処理を行う。このプログラム更新処理部１３２は、更新プログラム１７１の導入時の安全性を高めるために、以下のような機能を有している。 The program update processing unit 132 performs a process of installing the update program 171 when an uninstalled update program 171 is stored in the EEPROM 17. The program update processing unit 132 has the following functions in order to improve safety when the update program 171 is introduced.

プログラム更新処理部１３２は、ＥＥＰＲＯＭ１７内の照合情報１７２を利用して、更新プログラム１７１が改ざんされているか否かを判断する照合処理部１３２ａを具備している。プログラム更新処理部１３２は、照合処理部１３２ａにより更新プログラム１７１が改ざんされたと判断された場合には、更新プログラム１７１を導入しない。 The program update processing unit 132 includes a verification processing unit 132a that uses the verification information 172 in the EEPROM 17 to determine whether or not the update program 171 has been tampered with. The program update processing unit 132 does not introduce the update program 171 when the verification processing unit 132a determines that the update program 171 has been tampered with.

また、更新プログラム１７１が改ざんされていないと判断された場合には、更新プログラム１７１の導入の許可をユーザに求める画面を表示部１４に表示させる。そして、更新許可部１８を通じて導入許可を示すユーザの操作入力を受けると、更新プログラム１７１を導入して機器プログラム１６３を更新する。これらの機能により、不正なプログラムが実行されることを防止している。 When it is determined that the update program 171 has not been tampered with, the display unit 14 is caused to display a screen asking the user for permission to install the update program 171. Then, upon receiving an operation input from the user indicating introduction permission through the update permission unit 18, the update program 171 is introduced to update the device program 163. These functions prevent unauthorized programs from being executed.

さらに、プログラム更新処理部１３２は、通信処理部１３１の機能のＯＮ／ＯＦＦを制御することが可能となっている。プログラム更新処理部１３２は、未導入の更新プログラム１７１がＥＥＰＲＯＭ１７に記憶されていた場合には、この更新プログラム１７１の導入が完了するまで通信処理部１３１の機能を停止させることで、ネットワーク３からの不正なアクセスを防止している。 Furthermore, the program update processing unit 132 can control ON / OFF of the function of the communication processing unit 131. When the update program 171 that has not been installed is stored in the EEPROM 17, the program update processing unit 132 stops the function of the communication processing unit 131 until the installation of the update program 171 is completed. Unauthorized access is prevented.

図３は、各通信処理部がサポートする通信プロトコルを示す図である。また、図４は、各通信処理部の通信対象のネットワークアドレスを示す図である。
図３および図４に示すように、ダウンロードプログラム１６２は、通信処理をする際に使用する通信プロトコルが記録された通信プロトコルテーブル１２１ａと、通信対象とする機器のネットワークアドレスが記録されたネットワークアドレステーブル１２１ｂとを備えている。また、機器プログラム１６３は、通信処理をする際に使用する通信プロトコルが記録された通信プロトコルテーブル１３１ａと、ネットワークアドレスが記録されたネットワークアドレステーブル１３１ｂとを備えている。 FIG. 3 is a diagram illustrating a communication protocol supported by each communication processing unit. FIG. 4 is a diagram showing network addresses to be communicated by the respective communication processing units.
As shown in FIGS. 3 and 4, the download program 162 includes a communication protocol table 121a in which a communication protocol used for communication processing is recorded, and a network address table in which a network address of a device to be communicated is recorded. 121b. The device program 163 includes a communication protocol table 131a in which a communication protocol used for communication processing is recorded, and a network address table 131b in which a network address is recorded.

プログラム取得部１２０の通信処理部１２１が通信処理をする際には、ダウンロードプログラム１６２の備える通信プロトコルテーブル１２１ａに記録されている通信プロトコルのみを用い、ダウンロードプログラム１６２の備えるネットワークアドレステーブル１２１ｂに記録されている接続対象のみ（ここでは例としてサーバ２のみ）と通信することができる。また、機器制御処理部１３０の通信処理部１３１が通信処理をする際には、機器プログラム１６３の備える通信プロトコルテーブル１３１ａに記録されている通信プロトコルを用いることができ、ネットワークアドレステーブル１３１ｂにあらかじめ記録されている複数の接続対象と通信することができる。さらに、ユーザ操作に応じて入力されたネットワークアドレスに対応する任意の接続対象と通信できるようにしてもよい。 When the communication processing unit 121 of the program acquisition unit 120 performs communication processing, only the communication protocol recorded in the communication protocol table 121a included in the download program 162 is used, and is recorded in the network address table 121b included in the download program 162. It is possible to communicate with only the connection target (here, only the server 2 as an example). Further, when the communication processing unit 131 of the device control processing unit 130 performs communication processing, the communication protocol recorded in the communication protocol table 131a included in the device program 163 can be used, and recorded in advance in the network address table 131b. It is possible to communicate with a plurality of connected objects. Further, communication with any connection target corresponding to the network address input in response to a user operation may be performed.

以上のように、機器制御処理部１３０の通信処理部１３１は、機器制御処理部１３０で必要な通信機能をすべて満たすように、多数の通信プロトコルをサポートし、またあらかじめ決められた多数の機器、あるいは任意の機器を通信対象とすることが可能となっている。一方、プログラム取得部１２０の通信処理部１２１は、更新プログラム１７１や照合情報１７２を受信するためにサーバ２だけと通信できればいいので、ダウンロードプログラム１６２が備える通信プロトコルテーブル１２１ａおよびネットワークアドレステーブル１２１ｂには、このような処理を行うために必要な最小限の通信プロトコルやネットワークアドレスしか記録されていない。 As described above, the communication processing unit 131 of the device control processing unit 130 supports a large number of communication protocols so as to satisfy all the communication functions necessary for the device control processing unit 130, and also supports a number of predetermined devices, Alternatively, any device can be a communication target. On the other hand, the communication processing unit 121 of the program acquisition unit 120 only needs to be able to communicate with only the server 2 in order to receive the update program 171 and the collation information 172. Therefore, the communication protocol table 121a and the network address table 121b included in the download program 162 include Only the minimum communication protocol and network address necessary for performing such processing are recorded.

このように、更新プログラム１７１を取得するのに必要最小限の通信プロトコルで通信を行うことにより、通信時の攻撃リスクを低減することができ、通信先を制限することで、危険なサーバなどとの接続を防ぐことができる。また、使用可能な通信プロトコルや接続先を必要最小限に制限したことで、処理手順を示すダウンロードプログラム１６２を簡単な構造にすることができるので、通信機能の脆弱性が発生しにくくなる。 In this way, by performing communication with the minimum communication protocol necessary to acquire the update program 171, it is possible to reduce the risk of attack at the time of communication. Connection can be prevented. In addition, since the available communication protocols and connection destinations are limited to the necessary minimum, the download program 162 indicating the processing procedure can be made simple in structure, so that the vulnerability of the communication function is less likely to occur.

なお、通信処理部１２１はさらに、受信パケットをフィルタリングする機能を備えてもよい。これにより、意図しない接続先との接続をより確実に防止でき、通信の安全性がさらに向上する。 The communication processing unit 121 may further have a function of filtering received packets. Thereby, the connection with the unintended connection destination can be more reliably prevented, and the safety of communication is further improved.

図５は、情報処理機器におけるプログラム更新処理の流れを示すフローチャートである。以下、図５に示す処理をステップ番号に沿って説明する。
〔ステップＳ１１〕情報処理機器１を起動すると、ＥＥＰＲＯＭ１６に記憶されている起動プログラム１６１が実行され、ＥＥＰＲＯＭ１６に記憶されているダウンロードプログラム１６２を起動するか、あるいは機器プログラム１６３を起動するかを判断する起動制御部１１０の処理が実行される。起動制御部１１０はたとえば、情報処理機器１が前回の起動から所定の時間が経過したかどうかを判断し、経過していればステップＳ１２の処理を実行し、経過していないのであればステップＳ１６の処理を実行する。 FIG. 5 is a flowchart showing the flow of program update processing in the information processing device. Hereinafter, the process illustrated in FIG. 5 will be described in order of step number.
[Step S11] When the information processing device 1 is activated, the activation program 161 stored in the EEPROM 16 is executed, and it is determined whether the download program 162 stored in the EEPROM 16 is activated or the device program 163 is activated. The processing of the activation control unit 110 is executed. For example, the activation control unit 110 determines whether or not a predetermined time has elapsed since the previous activation of the information processing device 1, and executes the process of step S <b> 12 if it has elapsed, or step S <b> 16 if it has not elapsed. Execute the process.

なお、起動制御部１１０が判断基準とする条件は、時間でなく起動回数などでもよい。あるいは、起動プログラム１６１の起動時に、ダウンロードプログラム１６２を実行するか否かをユーザに問うための画面を表示部１４に表示し、ユーザの操作入力に応じて条件判断を行うようにしてもよい。 It should be noted that the condition used as a criterion by the activation control unit 110 may be the number of activations instead of time. Alternatively, when the activation program 161 is activated, a screen for asking the user whether to execute the download program 162 may be displayed on the display unit 14, and the condition may be determined according to the user's operation input.

〔ステップＳ１２〕起動制御部１１０は、ＥＥＰＲＯＭ１６に記憶されているダウンロードプログラム１６２を起動させる。これにより、プログラム取得部１２０の通信処理部１２１によるネットワーク機能が開始される。その際、ダウンロードプログラム１６２の通信プロトコルテーブル１２１ａおよびネットワークアドレステーブル１２１ｂにそれぞれ記録されている通信プロトコルとネットワークアドレスを参照する。 [Step S12] The activation control unit 110 activates the download program 162 stored in the EEPROM 16. Thereby, the network function by the communication processing part 121 of the program acquisition part 120 is started. At that time, the communication protocol and network address recorded in the communication protocol table 121a and the network address table 121b of the download program 162 are referred to.

〔ステップＳ１３〕通信処理部１２１は、通信Ｉ／Ｆ１３、ネットワーク３を通じてサーバ２にアクセスして、サーバ２から更新プログラム１７１をダウンロードする。このときたとえば、通信処理部１２１は、未導入の更新プログラム１７１がサーバ２にあるかどうかをサーバ２に問い合わせ、もし未導入の更新プログラム１７１がサーバ２にある場合には、その更新プログラム１７１をダウンロードするようにしてもよい。この場合、未導入の更新プログラム１７１がないのであれば、ダウンロードを行わずにステップＳ１５に進む。 [Step S13] The communication processing unit 121 accesses the server 2 through the communication I / F 13 and the network 3, and downloads the update program 171 from the server 2. At this time, for example, the communication processing unit 121 inquires of the server 2 whether or not the uninstalled update program 171 exists in the server 2, and if the uninstalled update program 171 exists in the server 2, the update program 171 is updated. You may make it download. In this case, if there is no update program 171 that has not been installed, the process proceeds to step S15 without downloading.

なお、本実施の形態では、更新プログラム１７１とともに、更新プログラム１７１のハッシュ値などを含む照合情報１７２をダウンロードする。この照合情報１７２は、後述の更新プログラムの改ざん確認の際に用いられる。 In this embodiment, collation information 172 including a hash value of update program 171 and the like is downloaded together with update program 171. This collation information 172 is used when confirming falsification of an update program described later.

〔ステップＳ１４〕プログラム格納処理部１２２は、ステップＳ１３でダウンロードした更新プログラム１７１と照合情報１７２をＥＥＰＲＯＭ１７に格納する。なお、格納処理を行っている際に外部からの攻撃を防ぐために、ステップＳ１３のダウンロードが終了すると同時に、通信処理部１２１のネットワーク機能を停止させてしまうことが望ましい。 [Step S14] The program storage processing unit 122 stores the update program 171 and collation information 172 downloaded in step S13 in the EEPROM 17. In order to prevent an attack from the outside during the storage process, it is desirable to stop the network function of the communication processing unit 121 at the same time as the download in step S13 is completed.

〔ステップＳ１５〕プログラム取得部１２０は、ＣＰＵ１１に対してシステムのリセットを要求し、これにより情報処理機器１が再起動して、ステップＳ１１の処理が再び実行される。 [Step S15] The program acquisition unit 120 requests the CPU 11 to reset the system, whereby the information processing apparatus 1 is restarted, and the process of step S11 is executed again.

ここで、ステップＳ１２〜Ｓ１５の処理が実行されて、更新プログラム１７１および照合情報１７２がＥＥＰＲＯＭ１７に格納された直後では、再起動後のステップＳ１１の条件分岐によりステップＳ１６以降の処理に移行することになる。 Here, immediately after the processing of steps S12 to S15 is executed and the update program 171 and the collation information 172 are stored in the EEPROM 17, the process proceeds to the processing after step S16 due to the conditional branch of step S11 after restart. Become.

〔ステップＳ１６〕起動制御部１１０の制御により機器プログラム１６３が起動される。このとき、機器制御処理部１３０の少なくともプログラム更新処理部１３２の処理機能が起動されるが、その際、通信処理部１３１のネットワーク機能は停止した状態とされる。 [Step S16] The device program 163 is activated under the control of the activation control unit 110. At this time, at least the processing function of the program update processing unit 132 of the device control processing unit 130 is activated. At this time, the network function of the communication processing unit 131 is stopped.

〔ステップＳ１７〕プログラム更新処理部１３２は、ＥＥＰＲＯＭ１７内に未導入の更新プログラム１７１が記憶されているか否かを確認する。更新プログラム１７１が記憶されている場合にはステップＳ１８に進み、記憶されていない場合はステップＳ２３に進む。 [Step S <b> 17] The program update processing unit 132 confirms whether an uninstalled update program 171 is stored in the EEPROM 17. If the update program 171 is stored, the process proceeds to step S18, and if not stored, the process proceeds to step S23.

〔ステップＳ１８〕ＥＥＰＲＯＭ１７に記憶された更新プログラム１７１が取得処理の過程で改ざんされていないかどうかを、照合処理部１３２ａなどの後述する処理によって確認する。このステップでは、照合処理部１３２ａにより改ざんされていないと判断された場合のみ、次のステップＳ１９に進められる。また、改ざんが確認された場合には更新処理を終了し、たとえば、ネットワーク機能は開始させずに機器制御処理部１３０を実行させて、少なくとも脆弱性が解消されない状態でネットワーク３には接続しないようにする。あるいは、情報処理機器１の動作をすべて停止させるようにしてもよい。 [Step S18] Whether or not the update program 171 stored in the EEPROM 17 has been falsified in the course of the acquisition process is checked by a process described later such as the collation processing unit 132a. In this step, only when it is determined by the verification processing unit 132a that it has not been tampered with, the process proceeds to the next step S19. If tampering is confirmed, the updating process is terminated. For example, the device control processing unit 130 is executed without starting the network function so as not to connect to the network 3 at least in a state where the vulnerability is not eliminated. To. Alternatively, all the operations of the information processing device 1 may be stopped.

〔ステップＳ１９〕プログラム更新処理部１３２は、更新プログラム１７１を機器プログラム１６３へインストールすることを許可するかをユーザに対して操作要求する。その際、プログラム更新処理部１３２は、ユーザが認知できるように表示部１４に操作要求画面を表示して、更新許可部１８に対する入力操作を待つ。 [Step S19] The program update processing unit 132 requests the user to permit the installation of the update program 171 into the device program 163. At that time, the program update processing unit 132 displays an operation request screen on the display unit 14 so that the user can recognize it, and waits for an input operation to the update permission unit 18.

〔ステップＳ２０〕ユーザは、操作要求画面を視認し、更新プログラム１７１のインストールを許可する場合には、更新許可部１８の備える入力キーを用いてインストールを許可するための操作入力を行う。プログラム更新処理部１３２は、更新許可部１８を通じて許可を示す操作入力に応じた許可信号を受信すると、ステップＳ２１の処理を実行する。また、更新プログラム１７１の更新がユーザ操作により許可されなかった場合、プログラム更新プロセスは停止し、たとえばネットワーク機能が無効状態のままで機器制御処理部１３０が動作するようにされる。 [Step S20] When the user visually recognizes the operation request screen and permits the installation of the update program 171, the user performs an operation input for permitting the installation using the input key of the update permission unit 18. When receiving the permission signal corresponding to the operation input indicating permission through the update permission unit 18, the program update processing unit 132 executes the process of step S21. When the update of the update program 171 is not permitted by a user operation, the program update process is stopped, and the device control processing unit 130 is operated with the network function disabled, for example.

〔ステップＳ２１〕更新許可部１８からの許可信号を受信すると、プログラム更新処理部１３２は、ＥＥＰＲＯＭ１７に格納されている更新プログラム１７１を、機器プログラム１６３に記述された処理手順、または更新プログラム１７１に記述された処理手順に従って、機器プログラム１６３にインストールする。 [Step S21] Upon receiving the permission signal from the update permission unit 18, the program update processing unit 132 describes the update program 171 stored in the EEPROM 17 in the processing procedure described in the device program 163 or the update program 171. The device program 163 is installed according to the processed procedure.

〔ステップＳ２２〕更新プログラム１７１のインストールが終了すると、プログラム更新処理部１３２は更新許可部１８に対して書き込み禁止信号を送り、更新を禁止する状態にする。なお、このとき、ＥＥＰＲＯＭ１７内の更新プログラム１７１および照合情報１７２を消去してもよい。 [Step S22] When the installation of the update program 171 is completed, the program update processing unit 132 sends a write prohibition signal to the update permission unit 18 so that the update is prohibited. At this time, the update program 171 and the collation information 172 in the EEPROM 17 may be deleted.

〔ステップＳ２３〕プログラム更新処理部１３２は、通信処理部１３１のネットワーク機能を有効にする。これにより、ネットワーク機能の脆弱性が解消された状態で、ネットワーク機能を含めた機器プログラム１６３による機器制御処理部１３０の全機能が使用可能になる。また、インストールした更新プログラム１７１を有効化するために、システムを自動的にリセットした後、ネットワーク機能を有効にしてもよい。 [Step S23] The program update processing unit 132 enables the network function of the communication processing unit 131. Thereby, all the functions of the device control processing unit 130 by the device program 163 including the network function can be used in a state where the vulnerability of the network function is eliminated. Further, in order to validate the installed update program 171, the network function may be validated after the system is automatically reset.

以上の処理において、更新プログラム１７１を取得する処理（ステップＳ１２〜Ｓ１５）では、サーバ２から更新プログラム１７１を受信してＥＥＰＲＯＭ１７に格納し、システムのリセットを要求する処理だけが行われる。また、上述したように、通信処理部１２１はサーバ２との通信のための必要最小限の処理機能を備えている。このため、これらの処理手順を示すダウンロードプログラム１６２は、機器プログラム１６３と比較して非常に簡単な構造を有しているので、ネットワーク機能の脆弱性が発生しにくい。 In the process described above, in the process of acquiring the update program 171 (steps S12 to S15), only the process of receiving the update program 171 from the server 2 and storing it in the EEPROM 17 and requesting a system reset is performed. In addition, as described above, the communication processing unit 121 has a minimum necessary processing function for communication with the server 2. For this reason, the download program 162 showing these processing procedures has a very simple structure as compared with the device program 163, so that the vulnerability of the network function hardly occurs.

したがって、機器プログラム１６３を起動せずに、ダウンロードプログラム１６２のみを起動して更新プログラム１７１を取得するようにしたことで、取得処理時におけるネットワーク３経由の攻撃リスクが低減される。これにより、更新プログラム１７１をより確実に受信し、記録することが可能となり、この際に不正なプログラムが情報処理機器１内に記録される可能性も低減される。 Therefore, by starting only the download program 162 and acquiring the update program 171 without starting the device program 163, the risk of attack via the network 3 during the acquisition process is reduced. As a result, the update program 171 can be received and recorded more reliably, and the possibility that an unauthorized program is recorded in the information processing device 1 at this time is also reduced.

なお、受信した更新プログラム１７１および照合情報１７２を、機器プログラム１６３の格納領域とは物理的に切り離された領域（ＥＥＰＲＯＭ１７）に格納することにより、受信処理時にネットワーク３経由の攻撃を受けた場合にも、機器プログラム１６３などに影響を与える可能性を低減することができる。 When the received update program 171 and verification information 172 are stored in an area (EEPROM 17) physically separated from the storage area of the device program 163, an attack via the network 3 is received during reception processing. In addition, the possibility of affecting the device program 163 and the like can be reduced.

さらに、受信データをＥＥＰＲＯＭ１７に格納した後にシステムを再起動する（ステップＳ１５）ことによって、仮に更新プログラム１７１を取得する処理の間（ステップＳ１１〜Ｓ１４）にウイルスプログラムなどが情報処理機器１に記録された場合でも、その実行を停止させることができ、揮発性記憶媒体であるＲＡＭ１２に記録された不正なプログラムを消去することができる。したがって、機器プログラム１６３への攻撃や機器プログラム１６３の支配下にある記憶媒体および記憶領域に記憶されているデータの改ざんや流出、破壊行為などが防止される。 Further, by storing the received data in the EEPROM 17 and restarting the system (step S15), a virus program or the like is recorded in the information processing device 1 during the process of acquiring the update program 171 (steps S11 to S14). Even if the program is executed, the execution can be stopped, and the illegal program recorded in the RAM 12 which is a volatile storage medium can be erased. Therefore, an attack on the device program 163 and alteration, leakage, destruction of data stored in the storage medium and storage area under the control of the device program 163 are prevented.

また、受信した更新プログラム１７１をインストールする処理では、インストールの前に、ＥＥＰＲＯＭ１７内の更新プログラム１７１の改ざんの有無を確認し（ステップＳ１８）、改ざんがない場合でも、さらにインストール許可のためのユーザによる入力操作があるまではインストールを行わない（ステップＳ１９，Ｓ２０）ことにより、不正なインストール処理の実行が防止され、安全性がさらに高められている。 Further, in the process of installing the received update program 171, before installation, the presence or absence of falsification of the update program 171 in the EEPROM 17 is confirmed (step S 18). By not performing installation until there is an input operation (steps S19 and S20), execution of unauthorized installation processing is prevented, and safety is further enhanced.

さらに、インストールが完了するまで通信処理部１３１のネットワーク機能が停止されるので、ネットワーク機能の脆弱性が解消されない状態でのネットワーク３との接続が不能となる。このため、インストール中に脆弱性を利用した攻撃を受けることが防止され、またたとえば、ネットワーク３を通じて不正に動作するプログラムが記録されていた場合には、このプログラムの実行を防止することができる。 Furthermore, since the network function of the communication processing unit 131 is stopped until the installation is completed, connection with the network 3 in a state where the vulnerability of the network function is not eliminated becomes impossible. For this reason, it is possible to prevent attacks using vulnerabilities during installation, and for example, when a program that operates illegally through the network 3 is recorded, execution of this program can be prevented.

図６は、更新プログラムの改ざん防止のための照合処理例（図５のステップＳ１７に対応）を説明するための図である。
送信側であるサーバ２は、更新プログラム１７１を送信する際に、この更新プログラム１７１から作成したハッシュ値１７１ａを秘密鍵１７２ａで暗号化した暗号化データ１７２ｂと、秘密鍵１７２ａに対応する公開鍵１７２ｃとをともに送信する。受信側である情報処理機器１は、更新プログラム１７１とともに暗号化データ１７２ｂおよび公開鍵１７２ｃを照合情報１７２として受信する。そして、照合処理部１３２ａの処理により、受信した更新プログラム１７１から作成したハッシュ値１７１ｂと、受信した暗号化データ１７２ｂを公開鍵１７２ｃで復号したハッシュ値１７２ｄとが同一であるかを確認する。これらが同一であれば、サーバ２から送信されてからの過程で更新プログラム１７１が改ざんされていないことが確認される。 FIG. 6 is a diagram for explaining a collation processing example (corresponding to step S17 in FIG. 5) for preventing falsification of the update program.
When transmitting the update program 171, the server 2 on the transmission side encrypts the hash value 171a created from the update program 171 with the private key 172a, and the public key 172c corresponding to the private key 172a. Are sent together. The information processing device 1 on the receiving side receives the encrypted data 172b and the public key 172c as the verification information 172 together with the update program 171. Then, through the processing of the verification processing unit 132a, it is confirmed whether the hash value 171b created from the received update program 171 and the hash value 172d obtained by decrypting the received encrypted data 172b with the public key 172c are the same. If they are the same, it is confirmed that the update program 171 has not been tampered with in the process of being transmitted from the server 2.

なお、たとえばさらに、情報処理機器１にＣＡ（Certificate Authority）からの公開鍵をあらかじめ記録しておき、ハッシュ値１７１ａの暗号化データ１７２ｂを復号するための公開鍵１７２ｃを、ＣＡによる電子署名を付加してサーバ２から送信するようにしてもよい。これにより、受信した公開鍵１７２ｃが接続先のサーバ２からのものであることの信頼性が増す。 In addition, for example, a public key from a CA (Certificate Authority) is recorded in advance in the information processing device 1, and a public key 172c for decrypting the encrypted data 172b of the hash value 171a is added with an electronic signature by the CA. Then, it may be transmitted from the server 2. This increases the reliability that the received public key 172c is from the connection destination server 2.

図７は、更新許可部の構成例を示す図である。
更新許可部１８は、スイッチ部１８１と、チャタリング除去・同期化回路１８２と、２つのＡＮＤ回路１８３ａおよび１８３ｂと、ＪＫフリップフロップ回路１８４とを備えている。 FIG. 7 is a diagram illustrating a configuration example of the update permission unit.
The update permission unit 18 includes a switch unit 181, a chattering removal / synchronization circuit 182, two AND circuits 183 a and 183 b, and a JK flip-flop circuit 184.

スイッチ部１８１は、インストールの許可を与えるためのユーザの操作入力を受け付けるハードウェアであり、更新許可部１８に固有に、あるいは入力部１５と共用されて設けられる。スイッチ部１８１において入力操作が行われると、その出力信号は、チャタリング除去・同期化回路１８２においてチャタリング成分が除去され、さらにクロックＣＬＫによって同期化された後、書き込み許可信号としてＡＮＤ回路１８３ａの一方の入力端子に入力される。 The switch unit 181 is hardware that accepts a user's operation input for granting installation permission, and is provided in the update permission unit 18 or shared with the input unit 15. When an input operation is performed in the switch unit 181, the chattering removal / synchronization circuit 182 removes chattering components from the output signal, and after further synchronization with the clock CLK, one of the AND circuits 183 a is used as a write permission signal. Input to the input terminal.

また、プログラム更新処理部１３２（すなわちＣＰＵ１１）のソフトウェア制御出力ポートからは書き込み禁止信号が出力され、この信号はＪＫフリップフロップ回路１８４のＫ端子に入力されるとともに、その反転信号がＡＮＤ回路１８３ａの他方の入力端子に入力される。 In addition, a write prohibition signal is output from the software control output port of the program update processing unit 132 (that is, the CPU 11). This signal is input to the K terminal of the JK flip-flop circuit 184, and its inverted signal is input to the AND circuit 183a. Input to the other input terminal.

ＡＮＤ回路１８３ｂの一方の端子には、更新プログラム１７１のインストール時にＲＡＭ１２への書き込みを許可するためのライトイネーブル信号が入力され、他方の入力端子には、ＪＫフリップフロップ回路１８４のＱ端子からの出力信号が入力される。したがって、ＪＫフリップフロップ回路１８４のＱ出力がＨレベルのとき、更新プログラム１７１のインストールが可能な状態になる。 A write enable signal for permitting writing to the RAM 12 when the update program 171 is installed is input to one terminal of the AND circuit 183b, and an output from the Q terminal of the JK flip-flop circuit 184 is input to the other input terminal. A signal is input. Therefore, when the Q output of the JK flip-flop circuit 184 is at the H level, the update program 171 can be installed.

プログラム更新処理部１３２がユーザに対してインストール許可の操作要求をする前においては、プログラム更新処理部１３２からの書き込み禁止信号は更新禁止を表すＨレベルになっているので、この信号を反転したＨレベルの信号がＡＮＤ回路１８３ａの入力端子に入力されて、ＪＫフリップフロップ回路１８４のＪ端子は常にＬレベルとなる。したがって、この状態ではスイッチ部１８１の動作にかかわらず、ＪＫフリップフロップ回路１８４のＱ出力がＬレベルとなって、更新プログラム１７１のインストールは許可されない。 Before the program update processing unit 132 issues an installation permission operation request to the user, the write prohibition signal from the program update processing unit 132 is at the H level indicating update prohibition. A level signal is input to the input terminal of the AND circuit 183a, and the J terminal of the JK flip-flop circuit 184 is always at the L level. Therefore, in this state, regardless of the operation of the switch unit 181, the Q output of the JK flip-flop circuit 184 becomes L level and installation of the update program 171 is not permitted.

プログラム更新処理部１３２がインストール許可の操作要求をする際には、プログラム更新処理部１３２からの書き込み禁止信号が無効を表すＬレベルとなって、ＡＮＤ回路１８３ａの一方の入力端子の入力がＨレベルとなる。この場合にまだユーザがインストールを許可していないときは、書き込み許可信号は無効を表すＬレベルのままであり、この信号がＡＮＤ回路１８３ａに入力されるので、ＡＮＤ回路１８３ａの出力はＬレベルのままとなり、依然としてインストールは実行されない。 When the program update processing unit 132 makes an installation permission operation request, the write prohibition signal from the program update processing unit 132 becomes L level indicating invalidity, and the input of one input terminal of the AND circuit 183a is at H level. It becomes. In this case, when the user has not permitted installation yet, the write permission signal remains at the L level indicating invalidity, and this signal is input to the AND circuit 183a, so that the output of the AND circuit 183a is at the L level. Will remain and the installation will not be performed.

この状態から、ユーザが更新プログラム１７１のインストールを許可するためにスイッチ部１８１を操作すると、書き込み許可信号は許可を表すＨレベルとなってＡＮＤ回路１８３ａに入力される。すると、ＡＮＤ回路１８３ａの出力がＨレベルとなってＪＫフリップフロップ回路１８４のＪ端子に入力され、ＪＫフリップフロップ回路１８４のＱ出力がＨレベルとなって、更新プログラム１７１のインストールが許可され、開始される。また、このときＪＫフリップフロップ回路１８４は、プログラム更新処理部１３２のソフトウェア制御によって書き込み禁止信号がＨレベルに変化するまで、Ｑ出力をＨレベルのまま保持する。 From this state, when the user operates the switch unit 181 to permit installation of the update program 171, the write permission signal becomes H level indicating permission and is input to the AND circuit 183a. Then, the output of the AND circuit 183a becomes H level and is input to the J terminal of the JK flip-flop circuit 184, the Q output of the JK flip-flop circuit 184 becomes H level, installation of the update program 171 is permitted, and start Is done. At this time, the JK flip-flop circuit 184 holds the Q output at the H level until the write inhibit signal changes to the H level by software control of the program update processing unit 132.

以上のように、プログラム更新処理部１３２のソフトウェア制御により、更新プログラム１７１のインストールは禁止されるが、インストールを許可する場合には、プログラム更新処理部１３２が書き込み禁止信号を用いて許可を与えても、更新許可部１８のハードウェアを用いてユーザが操作入力を行わない限り、インストールを実行することはできない。したがって、不正なインストール動作やプログラムの改ざん動作が実行される危険性が低くなる。 As described above, the installation of the update program 171 is prohibited by the software control of the program update processing unit 132. However, when the installation is permitted, the program update processing unit 132 gives permission by using the write prohibition signal. However, the installation cannot be executed unless the user performs an operation input using the hardware of the update permission unit 18. Therefore, the risk of performing an illegal installation operation or a program tampering operation is reduced.

図８は、更新許可部においてユーザの入力操作を受け付けるスイッチ部の構成例を示す図である。ここでは、デジタルカメラなどに一般的に設けられている十字方向の操作キーを、更新許可部１８の操作キーと共用した場合の例を示している。 FIG. 8 is a diagram illustrating a configuration example of a switch unit that receives a user input operation in the update permission unit. Here, an example is shown in which an operation key in a cross direction generally provided in a digital camera or the like is shared with an operation key of the update permission unit 18.

図８のスイッチ部１８１は、上下左右の方向をそれぞれ示す矢印キー１８５ａ〜１８５ｄと、ＡＮＤ回路１８６からなる。矢印キー１８５ａ〜１８５ｄのいずれもが押されていない場合では、ＡＮＤ回路１８６の入力はすべてＨレベルとなり、出力はＬレベルとなる。つまり、書き込み許可信号は無効を表していることになる。また、ユーザがインストールを許可する場合、矢印キー１８５ａ〜１８５ｄのいずれか１つを押すことによりＡＮＤ回路１８６の少なくとも１つの入力がＬレベルになり、ＡＮＤ回路１８６の出力がＨレベルとなって、書き込み許可信号はインストールを許可した状態となる。このように、既存の入力キーを用いて、ハードウェア制御によりインストールを許可するようにすることも可能である。 The switch unit 181 in FIG. 8 includes arrow keys 185 a to 185 d indicating the vertical and horizontal directions, and an AND circuit 186. When none of the arrow keys 185a to 185d is pressed, the inputs of the AND circuit 186 are all at the H level, and the outputs are at the L level. That is, the write permission signal indicates invalidity. When the user permits installation, by pressing any one of the arrow keys 185a to 185d, at least one input of the AND circuit 186 becomes L level, and the output of the AND circuit 186 becomes H level. The write permission signal is in a state where installation is permitted. In this way, it is possible to permit installation by hardware control using an existing input key.

なお、上記の情報処理機器１としては、たとえば、パーソナルコンピュータ、ＰＤＡ、携帯電話機、デジタルカメラ、デジタルビデオレコーダなど、そのすべてあるいは一部の機能が上記図１のハードウェア構成により実現されるあらゆる機器を適用することが可能である。ただし、ＰＤＡやデジタルカメラなどの携帯型機器や、デジタルビデオレコーダなどの据え置き型の家庭用電化製品など、通常の動作時にはネットワーク３に常時接続することのない機器に対して、本発明を適用することが特に好適である。そのような機器では、更新プログラム１７１のリリースを常時把握することが難しく、脆弱性を抱えたままネットワーク３に接続してしまい、外部機器からの悪意の攻撃を受ける状況が起こりやすいからである。 As the information processing device 1, for example, a personal computer, a PDA, a mobile phone, a digital camera, a digital video recorder, etc., all devices in which all or part of the functions are realized by the hardware configuration of FIG. It is possible to apply. However, the present invention is applied to devices that are not always connected to the network 3 during normal operation, such as portable devices such as PDAs and digital cameras, and stationary household appliances such as digital video recorders. It is particularly preferred. This is because it is difficult for such a device to keep track of the release of the update program 171 at all times, and it is likely that the device is connected to the network 3 while having a vulnerability and is subject to a malicious attack from an external device.

また、上記の情報処理機器１の処理機能は、コンピュータによって実現することができる。その場合、情報処理機器１が有すべき機能の処理内容を記述したプログラムが提供される。そのプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリなどがある。 In addition, the processing function of the information processing device 1 can be realized by a computer. In that case, a program describing the processing contents of the functions that the information processing device 1 should have is provided. By executing the program on a computer, the above processing functions are realized on the computer. The program describing the processing contents can be recorded on a computer-readable recording medium. Examples of the computer-readable recording medium include a magnetic recording device, an optical disk, a magneto-optical recording medium, and a semiconductor memory.

プログラムを流通させる場合には、たとえば、そのプログラムが記録された光ディスクなどの可搬型記録媒体が販売される。また、プログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することもできる。 When distributing the program, for example, a portable recording medium such as an optical disk on which the program is recorded is sold. It is also possible to store the program in a storage device of a server computer and transfer the program from the server computer to another computer via a network.

プログラムを実行するコンピュータは、たとえば、可搬型記録媒体に記録されたプログラムまたはサーバコンピュータから転送されたプログラムを、自己の記憶装置に格納する。そして、コンピュータは、自己の記憶装置からプログラムを読み取り、プログラムに従った処理を実行する。なお、コンピュータは、可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することもできる。また、コンピュータは、サーバコンピュータからプログラムが転送される毎に、逐次、受け取ったプログラムに従った処理を実行することもできる。 The computer that executes the program stores, for example, the program recorded on the portable recording medium or the program transferred from the server computer in its own storage device. Then, the computer reads the program from its own storage device and executes processing according to the program. The computer can also read the program directly from the portable recording medium and execute processing according to the program. In addition, each time the program is transferred from the server computer, the computer can sequentially execute processing according to the received program.

実施の形態に係るプログラム更新システムのシステム構成を示す図である。It is a figure which shows the system configuration | structure of the program update system which concerns on embodiment. 情報処理機器の処理機能を示すブロック図である。It is a block diagram which shows the processing function of information processing equipment. 各通信処理部がサポートする通信プロトコルを示す図である。It is a figure which shows the communication protocol which each communication process part supports. 各通信処理部の通信対象のネットワークアドレスを示す図である。It is a figure which shows the network address of the communication object of each communication process part. 情報処理機器におけるプログラム更新処理の流れを示すフローチャートである。It is a flowchart which shows the flow of the program update process in information processing equipment. 更新プログラムの改ざん防止のための照合処理例を説明するための図である。It is a figure for demonstrating the collation processing example for falsification prevention of an update program. 更新許可部の構成例を示す図である。It is a figure which shows the structural example of an update permission part. 更新許可部においてユーザの入力操作を受け付けるスイッチ部の構成例を示す図である。It is a figure which shows the structural example of the switch part which receives a user's input operation in an update permission part. 従来のネットワークを用いたプログラムの更新手順を表したフローチャートである。It is a flowchart showing the update procedure of the program using the conventional network.

Explanation of symbols

１……情報処理機器、２……サーバ、３……ネットワーク、１１，２１……ＣＰＵ、１２……ＲＡＭ、１３，２４……通信Ｉ／Ｆ、１４……表示部、１５……入力部、１６，１７……ＥＥＰＲＯＭ、１８……更新許可部、１９，２５……ＣＰＵバス、２２……ＲＡＭ、２３……ＨＤＤ、１１０……起動制御部、１２０……プログラム取得部、１２１，１３１……通信処理部、１２２……プログラム格納処理部、１３０……機器制御処理部、１３２……プログラム更新処理部、１３２ａ……照合処理部、１６１……起動プログラム、１６２……ダウンロードプログラム、１６３……機器プログラム、１７１……更新プログラム、１７２……照合情報 DESCRIPTION OF SYMBOLS 1 ... Information processing apparatus, 2 ... Server, 3 ... Network, 11, 21 ... CPU, 12 ... RAM, 13, 24 ... Communication I / F, 14 ... Display part, 15 ... Input part , 16, 17... EEPROM, 18... Update permission unit, 19, 25... CPU bus, 22... RAM, 23... HDD, 110. ...... Communication processing unit, 122... Program storage processing unit, 130... Device control processing unit, 132... Program update processing unit, 132 a. ... Equipment program, 171 ... Update program, 172 ... Verification information

Claims

In a program update method for updating a device program in which a predetermined processing procedure including communication processing via a network is described using the network,
Activation control means, when the device is started, it is judged based on whether or not to get the update program for updating the equipment program for realizing the processing functions of the instrument to a predetermined condition, the update When it is determined to acquire, the update program acquisition means for acquiring the update program is activated,
Wherein when the update program acquisition unit is activated, the activated the update program acquisition means, against a specific server providing the update via the network, a minimum required for the acquisition of the update The update program is accessed using a communication protocol for obtaining an update program, which is limited to a smaller number than the communication protocol used in the processing based on the device program, and is prepared in a nonvolatile storage medium in advance. The received update program is stored in the update program storage area, and the program update means stores the update program not yet installed in the update program storage area by the update program acquisition means. The device program is introduced by introducing the update program Updated,
The activation control means activates device control processing means for executing processing based on the device program;
Program update method.

Before updating the device program, the tampering confirmation means confirms whether or not the uninstalled update program stored in the nonvolatile storage medium has been tampered with,
The program update method according to claim 1, wherein the update of the device program is executed only when it is determined that the update program has not been tampered with.

The tampering confirmation means includes a first hash value generated from the update program stored in the storage area for the update program, and a second hash value of the update program received separately from the update program. The program update method according to claim 2, wherein tampering confirmation of the update program is performed by comparison.

The program update method according to claim 3, wherein the update program acquisition unit receives the second hash value from the specific server together with the update program.

The program update method according to claim 1, wherein the program update unit stops a communication function through the network and prevents access through the network from the start to the end of the update of the device program.

The program update method according to claim 1, wherein the program update unit starts updating the device program when the update permission unit determines that the update is permitted in response to an input operation from a user.

When the update permission unit receives a request signal for requesting update permission from the program update unit, the update permission unit includes hardware for transmitting a permission signal for permitting update to the program update unit according to an input operation from a user. The program update method according to claim 6.

2. The program update method according to claim 1, wherein when the device is activated, the activation control unit activates the update program acquisition unit when the update program acquisition unit has not been activated for a predetermined time or longer.

  In an information processing apparatus for updating a device program in which a predetermined processing procedure including communication processing via a network is described using the network,
  For a specific server that provides an update program for updating the device program that realizes the processing function of its own device through the network, it is the minimum necessary for obtaining the update program and is based on the device program A storage for the update program prepared in advance in a nonvolatile storage medium by accessing the update program by using a communication protocol for obtaining an update program that is limited to a smaller number than the communication protocol used in the processing. Update program acquisition means for storing the update program received in the area;
  When the update program not yet installed is stored in the storage area for the update program by the update program acquisition unit, a program update unit that introduces the update program and updates the device program;
  An update program acquisition means for determining whether or not to acquire the update program is determined based on a predetermined condition when the own apparatus is activated, and acquiring the update program when it is determined to acquire the update program. Start-up control means for starting up device control processing means for starting processing and executing processing based on the device program when the device program is updated or when the update program is not acquired based on the predetermined condition When,
  An information processing apparatus.

  In a program for causing a computer to execute a process of updating a device program in which a predetermined processing procedure including a communication process through a network is described using the network,
  In the computer,
  When the device is activated, the activation control unit determines whether or not to acquire an update program for updating the device program that realizes the processing function of the device based on a predetermined condition. When it is determined to acquire, the update program acquisition means for acquiring the update program is activated,
  When the update program acquisition unit is activated, the activated update program acquisition unit is at least necessary for acquiring the update program for a specific server that provides the update program through the network. The update program is accessed using a communication protocol for obtaining an update program, which is limited to a smaller number than the communication protocol used in the processing based on the device program, and is prepared in a nonvolatile storage medium in advance. The received update program is stored in the update program storage area, and the program update means stores the update program not yet installed in the update program storage area by the update program acquisition means. The device program is introduced by introducing the update program Updated,
  The activation control means activates device control processing means for executing processing based on the device program;
  A program that executes a procedure.