JP2022062877A - 情報処理装置および情報処理方法 - Google Patents

Abstract

【課題】出荷後におけるファームウェアの更新を許容しながら、情報セキュリティを確保する。
【解決手段】コンピュータシステムで用いられるファームウェアと、有効化されたファームウェアに対する第１の認証情報と、無効化されたファームウェアに対する第２の認証情報とを含むデータセットを記憶する第１のメモリと、複製されたデータセットを記憶する第２のメモリと、コントローラと、を備え、コントローラは、ファームウェアの更新状態を示す更新状態情報を記憶し、更新状態情報がファームウェアの更新の未完了を示し、第１のメモリに記憶されたファームウェアに対する第１の認証情報を用いた認証に失敗し、かつ、当該ファームウェアに対する第２の認証情報を用いた認証に成功するとき、第１のメモリに記憶されたファームウェアを第２のメモリに複製し、更新状態情報を更新の完了を示す情報に更新する。
【選択図】図１

Description

本発明は、情報処理装置および情報処理方法に関する。

パーソナルコンピュータ（ＰＣ：Personal Computer）をはじめとする各種の情報処理装置は、コンピュータシステムを組み込んで構成される。コンピュータシステムは、ファームウェアを用いた処理を実行可能とする。ファームウェアには、例えば、ＢＩＯＳ（Basic Input Output System）など基礎的な処理に用いられるものがある。従来、ファームウェアは、コンピュータシステムのハードウェアに結び付き、ＲＯＭ（Read Only Memory）などの書き換えが不可能または困難な記憶媒体に記憶させておくことが通例であった。昨今では、ファームウェアはフラッシュメモリなど書き換え可能な記憶媒体に格納されることがある。出荷後の更新が容易になった反面、悪意の有無にかかわらずファームウェアが破損するリスクが生じる。

そのため、書き換え可能な記憶媒体に格納されるファームウェアを保護して情報セキュリティを確保する要請が高まっている。例えば、非特許文献１では、ファームウェアの破損に対する回復機能の必要性について規定されている。より具体的には、ファームウェアとその設定データをバックアップしておき、それらの破損を検出可能とし、破損が検出されるときバックアップしたファームウェア等を用いて回復することが指針として定められている。

他方、情報処理装置の製造過程では、ファームウェアを更新可能とする。ファームウェアを構成するコードや処理に用いられるパラメータなどを改変し、ファームウェアにより指示される動作やその態様を変化させるためである。そして、出荷直前にファームウェアに対してアクティベーションロック（activation lock、以下、単にロックと呼ぶことがある）をすることで機能を無効化し、出荷後におけるファームウェアの更新を制限している。

"Ｐｌａｔｆｏｒｍ Ｆｉｒｍｗａｒｅ Ｒｅｓｉｌｉｅｎｃｙ Ｇｕｉｄｅｌｉｎｅｓ"，ＮＩＳＴ（Ｎａｔｉｏｎａｌ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｓｔａｎｄａｒｄｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ） Ｓｐｅｃｉａｌ Ｐｕｂｌｉｃａｔｉｏｎ ８００－１９３，Ｍａｙ ２０１８，Ｕ．Ｓ． Ｄｅｐａｒｔｍｅｎｔ ｏｆ Ｃｏｍｍｅｒｃｅ，［令和２年９月１８日検索］，インターネット＜URL: https://doi.org/10.6028/NIST.SP.800-193＞

しかしながら、一律にファームウェアの更新を制限すると情報処理装置の維持管理、例えば、バグ改修、機能の追加、変更などに支障が生じかねない。また、ファームウェアが破損したとき、一切変更が認められなければ機能が回復できないことがある。コンピュータシステムとは別個のデバイスにより、ファームウェアの更新もしくは修復を実現することが考えられるが、デバイスにファームウェアの更新もしくは修復を通知する時期を誤ると、更新可能なファームウェアに対して、予期せずにバックアップや修復がなされるおそれが生ずる。

本発明は上記の課題を解決するためになされたものであり、本発明の一態様に係る情報処理装置は、ファームウェアを用いた処理を実行可能なコンピュータシステムを備える情報処理装置であって、前記ファームウェアと、有効化された前記ファームウェアに対する第１の認証情報と、無効化された前記ファームウェアに対する第２の認証情報とを含むデータセットを記憶する第１のメモリと、複製された前記データセットを記憶する第２のメモリと、コントローラと、を備え、前記コントローラは、前記ファームウェアの更新状態を示す更新状態情報を記憶し、前記更新状態情報が前記ファームウェアの更新の未完了を示し、前記第１のメモリに記憶されたファームウェアに対する前記第１の認証情報を用いた認証に失敗し、かつ、当該ファームウェアに対する前記第２の認証情報を用いた認証に成功するとき、前記第１のメモリに記憶されたファームウェアを前記第２のメモリに複製し、前記更新状態情報を前記更新の完了を示す情報に更新する。

上記の情報処理装置において、前記コントローラは、前記更新状態情報が前記更新の未完了を示し、前記第１のメモリに記憶されたファームウェアに対する前記第１の認証情報を用いた認証に失敗し、当該ファームウェアに対する前記第２の認証情報を用いた認証に失敗するとき、前記第２のメモリに記憶されたファームウェアを前記第１のメモリに複製してもよい。

上記の情報処理装置において、前記コントローラは、前記更新状態情報が前記更新の未完了を示し、前記第１のメモリに記憶されたファームウェアに対する前記第１の認証情報を用いた認証に成功するとき、前記第１のメモリに記憶されたファームウェアを用いた処理を前記コンピュータシステムに実行させてもよい。

上記の情報処理装置において、前記コントローラは、前記更新状態情報が前記更新の完了を示し、前記第１のメモリに記憶されたファームウェアに対する前記第２の認証情報を用いた認証に失敗するとき、前記第２のメモリに記憶されたファームウェアを前記第１のメモリに複製してもよい。

上記の情報処理装置において、前記コントローラは、前記更新状態情報が前記更新の完了を示すとき、前記第１のメモリに記憶されたファームウェアに対する前記第２の認証情報を用いた認証に成功するとき、前記第１のメモリに記憶されたファームウェアを用いた処理を前記コンピュータシステムに実行させてもよい。

上記の情報処理装置において、前記第２のメモリは、前記コントローラからアクセス可能とし、前記コンピュータシステムからのアクセスが制限されていてもよい。

本発明の第２態様に係る情報処理方法は、ファームウェアを用いた処理を実行可能なコンピュータシステムと、前記ファームウェアと、有効化された前記ファームウェアに対する第１の認証情報と、無効化された前記ファームウェアに対する第２の認証情報とを含むデータセットを記憶する第１のメモリと、複製された前記データセットを記憶する第２のメモリと、コントローラと、を備える情報処理装置における情報処理方法であって、前記コントローラに記憶され、前記ファームウェアの更新状態を示す更新状態情報が前記前記ファームウェアの更新の未完了を示し、前記第１のメモリに記憶されたファームウェアに対する前記第１の認証情報を用いた認証に失敗し、かつ、当該ファームウェアに対する前記第２の認証情報を用いた認証に成功するとき、前記第１のメモリに記憶されたファームウェアを前記第２のメモリに複製する第１のステップと、前記更新状態情報を前記更新の完了を示す情報に更新する第２のステップと、を有する情報処理方法である。

本発明の実施形態によれば、出荷後におけるファームウェアの更新を許容しながら、情報セキュリティを確保することができる。

本実施形態に係る情報処理装置の概要を示す説明図である。 本実施形態に係る情報処理装置のハードウェア構成例を示すブロック図である。 ファームウェアに対する処理例を示す説明図である。 ファームウェアを含むデータセットの例を示す図である。 データセットに対する処理例を示す説明図である。 本実施形態に係るファームウェアの更新状態を示す更新状態情報の例を示す図である。 本実施形態に係るファームウェアのメンテナンス処理の例を示すフローチャートである。

以下、本発明の実施形態の概要について、図面を参照して説明する。
図１は、本実施形態に係る情報処理装置１０の概要を示す説明図である。
本実施形態に係る情報処理装置１０は、ＰＣＨ１１、ＲＯＭ１２、ＥＣ１４、バススイッチ１６およびＲＯＭ１７を備える。

ＲＯＭ（Read Only Memory）１２には、後述するように、情報処理装置１０の主たるコンピュータシステム（以下、ホストシステム）のファームウェアと、そのファームウェアの有効化された当該ファームウェアに対する第１の認証情報と、無効化された当該ファームウェアに対する第２の認証情報を含むデータセットが記憶される。
ＥＣ（Embedded Controller）１４は、ファームウェアの更新状態を示す更新状態情報を記憶し、記憶された更新状態情報がファームウェアの更新（アップデート（update））が未完了であることを示し、ＲＯＭ１２に記憶されたファームウェアに対して第１の認証情報を用いた認証処理に失敗し、かつ、当該ファームウェアに対する第２の認証情報を用いた認証に成功するとき、ＲＯＭ１２に記憶されたファームウェアをＲＯＭ１７に複製して記憶する（バックアップ（backup））。その後、ＥＣ１４は、その時点における更新状態情報を、ファームウェアの更新の完了であることを示すものに更新する。

本願では、有効化とは、アクティベーションロック（activation lock）が解除され、その対象物となるファームウェアを用いた処理が可能な状態にすることを意味する。無効化とは、アクティベーションロックを行い、その対象物となるファームウェアを用いた処理ができない状態にすることを意味する。以下の説明では、無効化することをロック（lock）と呼び、有効化することをロック解除（unlock）と呼ぶことがある。ロックされた状態ではファームウェアの内容が固定され更新できない状態となる。ロック解除された状態ではファームウェアの内容が固定されずに、少なくともその一部が更新できる状態となる。

ＰＣＨ１１（Platform Controller Hub）は、ＲＯＭ１２およびＥＣ１４とそれぞれｅＳＰＩバス（extended Serial Peripheral Bus）を用いて接続され、各種のデータを入出力可能とする。ＰＣＨ１１とＲＯＭ１２との間ではｅＳＰＩパス（path）が形成されている。ＰＣＨ１１は、ＲＯＭ１２に予め記憶されたファームウェアを読み取り、読み取ったファームウェアを用いた処理を実行する。本願では、ファームウェアなどの各種のプログラムを用いた処理、すなわち、プログラムに記述された命令で指示される処理を実行することを、プログラムの実行、またはプログラムを実行する、と呼ぶことがある。
ＥＣ１４は、ＰＣＨ１１およびＲＯＭ１７とそれぞれｅＳＰＩバスを用いて接続され、各種のデータを入出力可能とする。ＥＣ１４とＲＯＭ１７との間ではプライベートＳＰＩパス（PVT SPI path）が形成されている。

ＲＯＭ１２、ＲＯＭ１７にそれぞれ各種のファームウェアを含むデータセットＳＰＩ＿ＭＡＩＮ、ＳＰＩ＿ＢＡＫが記憶されている。データセットＳＰＩ＿ＭＡＩＮ、ＳＰＩ＿ＢＡＫには、それぞれホストシステムのファームウェアが含まれる。ホストシステムのファームウェアには、ＢＩＯＳ（Basic Input-Output System）、各種デバイスのファームウェアが含まれる。各種デバイスのファームウェアには、個々のデバイスのファームウェアもしくは、その要素となるプログラムやデータが記述される。図１に示す例では、ファームウェアＦＷ１、ＦＷ２がデータセットＳＰＩ＿ＭＡＩＮに含めて記憶されている。
データセットＳＰＩ＿ＢＡＫにおいて、＊印は、複製によりバックアップされたプログラムまたはデータであることを示す。
また、データセットＳＰＩ＿ＢＡＫには、ＥＣ１４の処理に用いられるファームウェア（ＦＷ３）と、その複製（ＦＷ３^＊）も含まれる。なお、以下の説明では、ＥＣ１４の処理に用いられるファームウェアをＥＣＦＷと呼ぶこともある。

バススイッチ（bus switch）１６は、その一端がＥＣ１４とＲＯＭ１７にｅＳＰＩバスを経由して接続され、他端がｅＳＰＩバスを経由してＲＯＭ１２に接続される。バススイッチ１６は、ＥＣ１４の制御により、一端と他端との間の接続と非接続を切り替え可能とする。バススイッチ１６は、一端と他端からなる両端を接続することで、ＥＣ１４とＲＯＭ１２との間で各種のデータを入出力可能に接続することで、シェアドＳＰＩパス（shared SPI path）を形成する。バススイッチ１６は、両端を断絶することでシェアドＳＰＩパスを解消する。但し、バススイッチ１６は、ＰＣＨ１１およびＲＯＭ１２に各種のデータを伝送可能に接続されない。

バススイッチ１６は、ＥＣ１４からＲＯＭ１２へのアクセスの可否を制御可能とし、ＰＣＨ１１またはＰＣＨ１１に接続される各種デバイスからＲＯＭ１７へのアクセスが防止される。そのため、ＲＯＭ１７は主システムのファームウェアのバックアップ先として用いられる。本実施形態では、セキュリティを確保しながら、ＥＣ１４がＲＯＭ１２に記憶されたホストシステムのファームウェアの更新を検出することができるので、ＲＯＭ１７へのバックアップもしくはバックアップされたファームウェアにより保護を図ることができる。

次に、情報処理装置１０のハードウェア構成例について説明する。
図２は、本実施形態に係る情報処理装置１０のハードウェア構成例を示すブロック図である。情報処理装置１０は、ＰＣＨ１１、ＲＯＭ１２、１７、バススイッチ１６、システムメモリ１３１、ＬＣＤ１３３、ＨＤＤ１３５、ＥＣ１４およびキーボード１５１を含んで構成される。
ＰＣＨ１１は、各種のデータの入出力を制御し、ＣＰＵ１１１の機能を支援するチップセットである。ＰＣＨ１１は、ＣＰＵ１１１、ＧＰＵ１１３、メモリコントローラ１１５およびＩ／Ｏコントローラ１１７を備える。
これらのデバイスのうち、ＣＰＵ１１１、ＧＰＵ１１３、メモリコントローラ１１５およびシステムメモリ１３１は、システムデバイスＳＤに相当する。システムデバイスＳＤは、情報処理装置１０としての機能の発揮に要するコンピュータシステム（つまり、ホストシステム）を構成する主たるデバイスである。

ＣＰＵ（Central Processing Unit）１１１は、所定のプログラムを実行し、情報処理装置１０の全体の機能を制御するプロセッサである。本願では、各種のプログラムに記述された指令で指示される種々の処理を実行することを、プログラムの実行、またはプログラムを実行する、などと呼ぶ。ＣＰＵ１１１は、ＲＯＭ１２に記憶されたファームウェアやＨＤＤ１３５に記憶されたＯＳ、デバイスドライバ、ユーティリティ、アプリケーションプログラムなどの各種のプログラムを読み出し、システムメモリ１３１にロードする。ＣＰＵ１１１は、システムメモリ１３１にロードしたプログラムを実行する。

ＣＰＵ１１１は、自部への電力の供給開始を検出するときブート処理を開始する。ブート処理は、各種のプログラムを実行可能な状態にするための一連の処理である。ブート処理に先立つ初期段階には、例えば、自部に接続される接続デバイスの検出、初期化、ホストシステムのファームウェアのＲＯＭ１２からの読み出し（ロード）、読み出したファームウェアの認証、および認証に成功したファームウェアのシステムメモリ１３１への記憶などの処理が含まれる。これらの初期段階の処理に用いられるブートローダ（boot loader）は、ＲＯＭ１２に記憶されていてもよいし、ＲＯＭ１２とは別個にＰＣＨ１１内に設けられた専用の不揮発性メモリ（non-volatile memory）に記憶されていてもよい。

ＣＰＵ１１１は、自部への電力の供給開始後、ブート処理の開始前にブートローダを読み出し、ブートローダの認証に成功した後、読み出したブートローダをシステムメモリ１３１に記憶する。これにより、ＣＰＵ１１１は、初期段階の処理を開始することができる。ＣＰＵ１１１は、初期段階の処理に成功した後、認証後のファームウェアを用いたブート処理を続行する。ＣＰＵ１１１は、ファームウェアの認証に失敗する場合には、後述するようにファームウェアを修復（リカバリ、recovery）する。本願では、実行を開始することを起動と呼ぶことがある。

なお、ＣＰＵ１１１に、ＥＣ１４から起動を指示する制御信号が入力される場合、ブート処理を開始する前に、実行中の動作を停止するための停止処理（シャットダウン、shutdown）を開始する。ＣＰＵ１１１は、停止処理において、その時点においてシステムメモリ１３１に記憶されている処理内容を示すデータ（システムコンテキスト）をＨＤＤ１３５に退避させ、データの退避が完了した後、自部の処理を停止する。その後、ＣＰＵ１１１は、ブート処理の実行を開始する。ＣＰＵ１１１は、ブート処理において、ＨＤＤ１３５に退避させていたシステムコンテキストをシステムメモリ１３１にロードする。

ＧＰＵ（Graphics Processing Unit）１１３は、画像表示に関連する処理を実行するプロセッサである。ＧＰＵ１１３は、ＣＰＵ１１１から入力された描画命令を処理し、処理した描画情報をビデオメモリに書き込むとともに、ビデオメモリからこの描画情報を読み出して、ＬＣＤ１３３に表示データとして出力する。
メモリコントローラ１１５は、自部に接続される各種のメモリとのインタフェースを備える。メモリコントローラ１１５は、例えば、ＲＯＭ１２、システムメモリ１３１およびＨＤＤ１３５のそれぞれとの間で各種のデータを入出力する。

Ｉ／Ｏコントローラ１１７は、自部に接続されるデバイスを用いて各種のデータを入出力するためのインタフェースを備える。Ｉ／Ｏコントローラ１１７は、ＰＣＩ（Peripheral Component Interconnect）バスをはじめとし、ＵＳＢ（Universal Serial Bus）、シリアルＡＴＡ（Advanced Technology Attachment）、ＰＣＩ－Ｅｘｐｒｅｓｓバス、およびＬＰＣ（Low Pin Count）バスなどのインタフェースを備え、複数のデバイスを接続可能とする。Ｉ／Ｏコントローラ１１７は、ＲＯＭ１２と接続するためのＳＰＩフラッシュコントローラと、ＥＣ１４と接続するためのｅＳＰＩマスタコントローラを備えてもよい。

ＲＯＭ１２は、主にファームウェアの記憶に用いられる記憶媒体である。ＲＯＭ１２は、フラッシュＲＯＭなどの電気的に書き換え可能な不揮発性メモリである。上記のように、ＲＯＭ１２には、システムデバイスが実行する処理に用いられるファームウェアやその処理に用いられるパラメータ群が記憶される。例えば、ＢＩＯＳは、システムデバイスへの電力供給中に実行され、システムデバイスに接続される他のデバイスとの低レベルの入出力を行うためのプログラムである。
なお、ＲＯＭ１２は、他のデバイスのファームウェアと共用されるシェアドフラッシュ（shared flash）として機能してもよい。つまり、ＲＯＭ１２には、ＰＣＨ１１に接続される他のデバイス、例えば、ＥＣ１４における処理に用いられるファームウェアが記憶されうる。

システムメモリ１３１は、ＣＰＵ１１１が実行する実行プログラムを読み込むコード領域、実行プログラムの実行に要するパラメータなどの設定データや実行により取得されたデータを記録するためのデータ領域として用いられるメモリである。システムメモリ１３１は、例えば、１個または複数個のＤＲＡＭ（Dynamic Random Access Memory）チップを含んで構成される。
ＬＣＤ（Liquid Crystal Display；液晶ディスプレイ）１３３は、ＧＰＵ１１３から入力される表示データに基づく表示情報を表示する。表示情報は、画像、文字、記号、図形のいずれかまたはこれらの組み合わせを含む。
ＨＤＤ（Hard Disk Drive）１３５は、各種のプログラムやデータを保存する補助記憶装置である。保存されるプログラムには、ＯＳ、デバイスドライバ、サービス／ユーティリティ（以下、ユーティリティ）、アプリケーションプログラム（以下、アプリ）などが含まれる。ＨＤＤ１３５は、電気的に書き換え可能な不揮発性メモリである。

ＥＣ１４は、例えば、ホストシステムの動作状態に関わらず、自部に接続される各種のデバイスの動作状態の制御、情報処理装置１０を構成する各デバイスへの電力供給の制御などを行う。図２に示す例では、キーボード１５１とＲＯＭ１７がＥＣ１４に接続される。上記のように、ＥＣ１４は、バススイッチ１６を経由してＲＯＭ１２に接続される。ＥＣ１４は、キーボード１５１が受け付けた操作に基づく操作入力情報をシステムデバイスに出力する。ＥＣ１４は、ＣＰＵ１４１およびＳＲＡＭ１４３を含んで構成される。

ＣＰＵ１４１は、ＥＣＦＷを実行してその機能を発揮する。ＣＰＵ１４１は、自部への電力の供給開始を検出するときＣＰＵ１１１とは独立にブート処理を開始する。ＣＰＵ１４１は、ホストシステムの動作モードごとに各デバイスに必要とする電力の供給を制御する。例えば、ＣＰＵ１４１は、ホストシステムの動作停止中には、少なくともシステムデバイスとその制御下で動作するデバイス（例えば、ＣＰＵ１１１、ＧＰＵ１１３、メモリコントローラ１１５、システムメモリ１３１、ＬＣＤ１３３、およびＨＤＤ１３５）への電力の供給を停止する。その場合でも、ＣＰＵ１４１は、ＰＣＨ１１のＩ／Ｏコントローラ１１７、ＲＯＭ１２、１７、およびＥＣ１４への電力供給を維持してもよい。ホストシステムの動作停止中における情報処理装置１０の消費電力は、通例、動作中における消費電力よりも格段に少ない。

ＳＲＡＭ（Static Random Access memory）１４３は、データ領域とコード領域を有する。コード領域は、ＣＰＵ１４１が実行する実行プログラムを読み込む領域を含む。データ領域は、実行プログラムの実行に要するパラメータなどの設定データや実行により取得されたデータを記録するための領域を含む。ＳＲＡＭ１４３は、自部への電力の供給が停止されると記憶内容が失われる揮発性メモリ（volatile memory）である。

次に、ホストシステムのファームウェアに対する取り扱いについて説明する。ファームウェアは、各種の指令（コマンド、command）が記述されたコードや、その指令で指示される処理に用いられるパラメータなどのデータを含んで構成される。情報処理装置１０の製造段階（MFG: manufacturing/production phase）では、それらのコードとデータの一部が変更されることがある。コードまたはデータの変更により、情報処理装置１０の動作が変化されうる。そのため、ファームウェアは、工場などの製造現場では更新可能としなければならない。但し、製造現場からの出荷直前にファームウェアの内容を確定し、製造段階を終了し、出荷後における更新を禁止している。

図３は、製造段階においてファームウェアＦＷ１（ＦＷ１．ｂｉｎ）をロック解除状態、つまり、更新可能な状態としている場合を例示する。ファームウェアが更新されるとき、情報処理装置１０の製造業者は更新後のファームウェアを認証するための認証情報を所定の認証情報生成方式を用いて生成し、生成した認証情報を認証対象とするファームウェアと関連付けて保存する。図３に示す例では、ＥＣＤＳＡ（Elliptic Curve Digital Signature Algorithm、楕円曲線ディジタル署名）を用いてファームウェアの電子署名（signature）が生成される。ＥＣＤＳＡは、公開鍵暗号方式の一種である楕円曲線暗号（ＥＣＣ: Elliptic Curve Cryptography）を用いて電子署名を生成する方式である。

電子署名は、ファームウェアを構成するデータ全体に対して所定のハッシュ関数を用いた演算（ハッシュ化）を行ってハッシュ値を生成する過程と、生成されたハッシュ値に対して秘密鍵を用いて暗号化して電子署名を生成する過程とを実行して生成される。認証情報には、電子署名と、電子署名の生成に用いた秘密鍵に対応する公開鍵とが含まれる。電子署名と公開鍵の組は、いわゆる電子証明書に相当する。生成された認証情報は、認証対象とするファームウェアの同一性と製造業者の保証を認証するための認証処理に用いられる。認証処理は、認証情報に含まれる公開鍵を用いて電子署名をハッシュ値に復号する過程と、処理対象とするファームウェアを構成するデータ全体に対してハッシュ化してハッシュ値を生成する過程と、復号されたハッシュ値とハッシュ化により生成されたハッシュ値が同一であるか否かにより、ファームウェアの認証に成功したか否かを判定する過程が含まれる。

出荷直前において、製造業者は、ロック解除状態にあるファームウェアＦＷ１．ｂｉｎをロックし、ロック状態としたファームウェアＦＷ１＿ＬＫ．ｂｉｎに置き換えてＲＯＭ１２に保存する。ファームウェアをロックする場合には、例えば、ロック対象のファームウェアに対して所定の暗号化方式を用いて暗号化処理がなされる。暗号化処理に用いる暗号化方式は、処理対象とするデータ全体の完全性を検証できる形式に変換することができる方式であれば、電子署名の生成に用いる暗号化方式と同じであってもよいし、異なっていてもよい。
出荷後において、ＣＰＵ１４１は、ブート処理に先立ち、ロック状態としたファームウェアＦＷ１＿ＬＫ．ｂｉｎに対して、ロック解除状態のファームウェアＦＷ１．ｂｉｎの電子署名を用いて認証処理を行うと、ロック状態としたファームウェアＦＷ１＿ＬＫ．ｂｉｎが、たとえ真正であっても、認証に失敗してしまう。これは、ロック状態のファームウェアＦＷ１＿ＬＫ．ｂｉｎは、ロック解除状態のファームウェアＦＷ１．ｂｉｎとは異なるコードで表現されるためである。

そこで、本実施形態では、出荷前にファームウェアに対して２種類の認証情報を生成し、当該ファームウェアと２種類の認証情報を含んで構成されるデータセットをＲＯＭ１２に記憶させておく。
図４に例示されるように、遅くとも製造終了時において、製造業者は、ロック解除状態のファームウェアＦＷ１．ｂｉｎに対して上記の認証情報生成方式を用いて第１の認証情報Ｓｉｇ１を生成する。第１の認証情報には、ロック解除状態のファームウェアＦＷ１．ｂｉｎに対する第１の電子署名と、第１の電子署名の生成に用いられた秘密鍵に対応する公開鍵が含まれる。その後、製造業者は、ロック解除状態にあるファームウェアＦＷ１．ｂｉｎをロックする。第１の電子署名は、出荷後においてロック解除状態のファームウェアＦＷ１．ｂｉｎに対する認証処理に用いられる。

その後、製造業者は、出荷直前までにロック状態としたファームウェアＦＷ１＿ＬＫ．ｂｉｎに対して上記の認証情報生成方式を用いて第２の認証情報Ｓｉｇ２を生成する。第２の認証情報には、ロック状態のファームウェアＦＷ１＿ＬＫ．ｂｉｎに対する第２の電子署名と、第２の電子署名の生成に用いられた秘密鍵に対応する公開鍵が含まれる。
出荷後において、ＣＰＵ１４１は、ロック状態としたファームウェアＦＷ１＿ＬＫ．ｂｉｎに対して、第２の電子署名を用いて認証処理を行うことで、真正なファームウェアＦＷ１＿ＬＫ．ｂｉｎに対する認証を成功させることができる。

他方、ＲＯＭ１２に記憶されたファームウェアが更新されるとき、更新されたファームウェアに対してバックアップを行って保護を図る必要がある。
図５に示す例では、製造業者は、製造終了前にロック解除状態としたファームウェアＦＷ１．ｂｉｎを含むデータセットＳＰＩ＿ＭＡＩＮをＲＯＭ１２に記憶し、データセットＳＰＩ＿ＭＡＩＮを複製してデータセットＳＰＩ＿ＢＡＫとしてＲＯＭ１７に記憶する。そして、製造業者は、ファームウェアＦＷ１．ｂｉｎをロックし、ロック状態としたファームウェアＦＷ１＿ＬＫ．ｂｉｎに置き換えてＲＯＭ１２に記憶する。製造終了後において、データセットＳＰＩ＿ＢＡＫ内にはロック解除状態としたファームウェアＦＷ１．ｂｉｎが残される。

この状況のもとで情報処理装置１０が出荷されても、ＥＣ１４は、ファームウェアを更新されたイベントも、更新対象とするファームウェアがロックされたイベントも当然には知得することができない。ＲＯＭ１２に記憶されるファームウェアが更新される場合、それらのイベントをＥＣ１４に知得させるために、情報処理装置１０を製造工程に戻すことは煩雑である。また、ＥＣ１４がファームアップの更新を知得する時期を誤ると、ＥＣ１４は、ロック解除状態としたファームウェアに対して誤ってバックアップする可能性や修復（recovery/restore）する可能性がある。そのため、情報セキュリティのリスクが高くなるおそれが生ずる。

そこで、本実施形態に係るＥＣ１４は、ファームウェアの更新を検知し、更新されたファームウェアの保護を図るため、ファームウェアの更新が完了した状態であるか否かを示す更新状態情報を管理する。例えば、ＥＣ１４のＣＰＵ１４１は、図６に示されるように自部のレジスタに情報フラグＦＷ１＿ＭＦＧ＿ＤＯＮＥを保持する。情報フラグＦＷ１＿ＭＦＧ＿ＤＯＮＥは、データセットＳＰＩ＿ＭＡＩＮ、ＳＰＩ＿ＢＡＫのそれぞれに含まれるファームウェアの更新が完了した状態であるか否かを、その設定値をもって示す更新状態情報をなす。

設定値として、例えば、２通りの値ＴＲＵＥ（真）とＦＡＬＳＥ（偽）のうち、いずれか１通りをとりうる。ＴＲＵＥは、ＲＯＭ１２、１７に記憶されたファームウェアのバックアップがいずれも完了した状態を示し、ＦＡＬＳＥは、そのバックアップが未完了となる状態を示す。

より具体的には、製造終了前において、データセットＳＰＩ＿ＭＡＩＮ、ＳＰＩ＿ＢＡＫのそれぞれにロック解除状態のファームウェアＦＷ１．ｂｉｎと、そのファームウェアＦＷ１．ｂｉｎに対する第１の認証情報Ｓｉｇ１を含む場合には、情報フラグＦＷ１＿ＭＦＧ＿ＤＯＮＥは、値としてＦＡＬＳＥをとる。
製造終了後において、データセットＳＰＩ＿ＭＡＩＮにロック状態のファームウェアＦＷ１＿ＬＫ．ｂｉｎ、そのロック状態のファームウェアＦＷ１＿ＬＫ．ｂｉｎに対する第２の認証情報Ｓｉｇ２を含むが、データセットＳＰＩ＿ＢＡＫにロック解除状態のファームウェアＦＷ１．ｂｉｎとそのロック解除状態のファームウェアＦＷ１．ｂｉｎに対する第１の認証情報Ｓｉｇ１を含む場合には、情報フラグＦＷ１＿ＭＦＧ＿ＤＯＮＥは、値としてＦＡＬＳＥをとる。
バックアップ後において、データセットＳＰＩ＿ＭＡＩＮ、ＳＰＩ＿ＢＡＫのそれぞれにロック状態のファームウェアＦＷ１＿ＬＫ．ｂｉｎとロック状態のファームウェアＦＷ１＿ＬＫ．ｂｉｎに対する第２の認証情報Ｓｉｇ２を含む場合には、情報フラグＦＷ１＿ＭＦＧ＿ＤＯＮＥは、値としてＴＲＵＥをとる。

ＥＣ１４のＣＰＵ１４１は、更新状態情報とする情報フラグＦＷ１＿ＭＦＧ＿ＤＯＮＥを参照して、次の処理を実行する。
情報フラグＦＷ１＿ＭＦＧ＿ＤＯＮＥの設定値が、ＴＲＵＥをとる場合、ＣＰＵ１４１は、ＲＯＭ１２に記憶されたファームウェアのバックアップが完了したものであると判定できる。ＣＰＵ１４１は、ＲＯＭ１２に記憶された第２の認証情報Ｓｉｇ２を用いてファームウェアに対して認証処理を行う。ＣＰＵ１４１は、第２の認証情報Ｓｉｇ２を用いた認証に成功する場合には、ホストシステムのＣＰＵ１１１に対し認証後のファームウェアを用いたブート処理を可能とすることができる。ＣＰＵ１４１は、ＣＰＵ１１１に対してブート処理を開始させるとき、ブート処理の開始を示す制御信号をＣＰＵ１１１に出力する。

但し、第２の認証情報Ｓｉｇ２を用いた認証に失敗する場合には、ＣＰＵ１４１は、認証対象としたファームウェアが破損されたと判定し、ＲＯＭ１２に記憶されたファームウフェアの修復を開始する。このとき、ＣＰＵ１４１は、ＲＯＭ１７に記憶されたロック状態のファームウェアを読み出し、読み出したファームウェアに対してロック解除処理を行ってロック解除状態のファームウェアに変換する。ＣＰＵ１４１は、例えば、ロック解除処理において、ロックに用いた暗号化処理に対応する復号処理を行う。ＣＰＵ１４１は、ロック解除状態のファームウェアを転送してＲＯＭ１２に記憶させる。ＣＰＵ１４１は、転送が終了した後、ＣＰＵ１１１に対して認証後のファームウェアを用いたブート処理を可能とすることができる。

情報フラグＦＷ１＿ＭＦＧ＿ＤＯＮＥの設定値が、ＦＡＬＳＥをとる場合、ＣＰＵ１４１は、ＲＯＭ１２に記憶されたファームウェアのバックアップが完了しておらず、そのまま利用可能であるか否か確定することはできない。そこで、ＣＰＵ１４１は、第１の認証情報Ｓｉｇ１、第２の認証情報Ｓｉｇ２を用いた認証処理をその順序で試行する。
まず、ＣＰＵ１４１は、ＲＯＭ１２に記憶された第１の認証情報Ｓｉｇ１を用いてＲＯＭ１２に記憶されたファームウェアに対して認証処理を行う。ＣＰＵ１４１は、第１の認証情報Ｓｉｇ１を用いた認証に成功する場合には、ＲＯＭ１２に記憶されたロック解除状態のファームウェアが真正であると判定することができる。ＣＰＵ１１１は、ＣＰＵ１４１による認証後のファームウェアを用いたブート処理を可能とすることができる。

第１の認証情報Ｓｉｇ１を用いた認証に失敗する場合には、ＣＰＵ１４１は、ＲＯＭ１２に記憶された第２の認証情報Ｓｉｇ２を用いてＲＯＭ１２に記憶されたファームウェアに対して認証処理を行う。ＣＰＵ１４１は、第２の認証情報Ｓｉｇ２を用いた認証に成功する場合には、ＲＯＭ１２に記憶されたファームウェアが更新されたと判定することができる。その場合には、ＣＰＵ１４１は、ＲＯＭ１２に記憶されたファームウェアのバックアップを開始する。ここで、ＣＰＵ１４１は、ＲＯＭ１２からファームウェアを読み出し、読み出したファームウェアをロックし、ロックした状態のファームウェアを生成する。ＣＰＵ１４１は、生成したファームウェアに対して認証情報生成処理を行って第２の認証情報Ｓｉｇ２を生成する。ＣＰＵ１４１は生成したファームウェアと第２の認証情報Ｓｉｇ２を関連付けて転送することによりＲＯＭ１７に記憶させる。ＣＰＵ１４１は、ファームウェアの転送が終了した後、情報フラグＦＷ１＿ＭＦＧ＿ＤＯＮＥの設定値として、ＴＲＵＥに設定する。その後、ＣＰＵ１４１は、ＣＰＵ１１１に対して認証後のファームウェアを用いたブート処理を可能とすることができる。

ＣＰＵ１４１は、第２の認証情報Ｓｉｇ２を用いた認証に失敗する場合には、ＲＯＭ１２に記憶されたファームウェアが破損したと判定することができる。その場合には、ＣＰＵ１４１は、ＲＯＭ１２に記憶されたファームウェアの修復を開始する。ＣＰＵ１４１は、ファームウェアの修復後、ＣＰＵ１１１に対して認証後のファームウェアを用いたブート処理を可能とすることができる。

次に、本実施形態に係るファームウェアのメンテナンス処理の例について説明する。図７は、本実施形態に係るファームウェアのメンテナンス処理の例を示すフローチャートである。
（ステップＳ１０２）ＥＣ１４のＣＰＵ１４１は、情報フラグＦＷ１＿ＭＦＧ＿ＤＯＮＥの設定値が、ＴＲＵＥであるか否かを判定する。設定値がＴＲＵＥである場合（ステップＳ１０２ ＹＥＳ）、ステップＳ１０４の処理に進む。設定値がＦＡＬＳＥである場合（ステップＳ１０２ ＮＯ）、ステップＳ１１２の処理に進む。

（ステップＳ１０４）ＣＰＵ１４１は、ＲＯＭ１２に記憶された第２の認証情報Ｓｉｇ２を用いてファームウェアに対して認証処理を行う。その後、ステップＳ１０６の処理に進む。
(ステップＳ１０６)ＣＰＵ１４１は、認証処理に成功する場合（ステップＳ１０６ ＹＥＳ）、ステップＳ１１０の処理に進む。ＣＰＵ１４１は、認証処理に失敗する場合（ステップＳ１０６ ＮＯ）、ステップＳ１０８の処理に進む。
（ステップＳ１０８）ＣＰＵ１４１は、認証対象としたファームウェアが破損されたと判定し、ＲＯＭ１２に記憶されたファームウェアを修復する。その後、ステップＳ１１０の処理に進む。
（ステップＳ１１０）ＣＰＵ１４１は、ＲＯＭ１２に記憶されたファームウェアを用いてＰＣＨ１１のＣＰＵ１１１に対してブート処理を実行させる。その後、図７に示す処理を終了する。

（ステップＳ１１２）ＣＰＵ１４１は、ＲＯＭ１２に記憶された第１の認証情報Ｓｉｇ１を用いてＲＯＭ１２に記憶されたファームウェアに対して認証処理を行う。その後、ステップＳ１１４の処理に進む。
（ステップＳ１１４）ＣＰＵ１４１は、認証処理に成功する場合（ステップＳ１１４ ＹＥＳ）、ステップＳ１１０の処理に進む。ＣＰＵ１４１は、認証処理に失敗する場合（ステップＳ１１４ ＮＯ）、ステップＳ１１６の処理に進む。

（ステップＳ１１６）ＣＰＵ１４１は、ＲＯＭ１２に記憶された第２の認証情報Ｓｉｇ２を用いてＲＯＭ１２に記憶されたファームウェアに対して認証処理を行う。その後、ステップＳ１１８の処理に進む。
（ステップＳ１１８）ＣＰＵ１４１は、認証処理に成功する場合（ステップＳ１１８ ＹＥＳ）、ステップＳ１２０の処理に進む。ＣＰＵ１４１は、認証処理に失敗する場合（ステップＳ１１８ ＮＯ）、ステップＳ１２４の処理に進む。

（ステップＳ１２０）ＣＰＵ１４１は、ＲＯＭ１２に記憶されたファームウェアが更新されたと判定し、ＲＯＭ１２に記憶されたファームウェアのバックアップを実行する。その後、ステップＳ１２２の処理に進む。
（ステップＳ１２２）ＣＰＵ１４１は、情報フラグＦＷ１＿ＭＦＧ＿ＤＯＮＥの設定値を、ＴＲＵＥに変更する。その後、ステップＳ１１０の処理に進む。
（ステップＳ１２４）ＣＰＵ１４１は、ＲＯＭ１２に記憶されたファームウェアが破損したと判定し、ＲＯＭ１２に記憶されたファームウェアを修復する。その後、ステップＳ１１０の処理に進む。

なお、ＰＣＨ１１のＣＰＵ１１１が動作中であって、ステップＳ１０６またはステップＳ１１４において認証処理に成功する場合には、ステップＳ１１０の処理は省略されてもよい。その場合には、ＣＰＵ１１１の動作がそのまま継続する。また、図３－図７は、処理対象とする部分がファームウェアＦＷ１である場合を例示したが、その他の部分、例えば、ＢＩＯＳの全部または一部が処理対象となってもよい。また、処理対象となる部分は、ホストシステムのファームウェアに限らず、ＰＣＨ１１に接続される、その他のデバイス、例えば、ＬＣＤ１３３、ＨＤＤ１３５、などのファームウェアに対して適用されてもよい。その場合、ＥＣ１４は、個々のデバイスなど、更新対象とする単位ごとに情報フラグを設定し、図７の処理を実行すればよい。

また、情報フラグＦＷ１＿ＭＦＧ＿ＤＯＮＥの設定値がＴＲＵＥである場合、または、ＴＲＵＥに変更した後で、ＲＯＭ１２に記憶されたファームウェアが変更される場合、ＣＰＵ１４１は、情報フラグＦＷ１＿ＭＦＧ＿ＤＯＮＥの設定値をＦＡＬＳＥに変更してもよい。設定値がＦＡＬＳＥに変更される場合には、変更されたファームウェアがバックアップされうる。ファームウェアの変更は、所定の限定された特定のユーザ（例えば、製造業者、スーパーユーザなど）によるメンテナンス時に行われることがある。例えば、ＣＰＵ１１１またはＣＰＵ１４１は、ユーザ認証を行って特定のユーザのデバイスからのアクセスを許可する。ＣＰＵ１１１またはＣＰＵ１４１は、ＲＯＭ１２に記憶されたファームウェアの一部または全部を、アクセスを許可したデバイスから直接または通信路を経由して入力されたファームウェアの対応する部分に更新される場合、そのデバイスからの操作に応じてＲＯＭ１２に記憶されたファームウェアの一部を削除する場合、それのデバイスから入力された新たなコードまたはデータをＲＯＭ１２に記憶されたファームウェアに追加する場合、などがある。ＣＰＵ１４１は、そのデバイスからの操作に応じて情報フラグＦＷ１＿ＭＦＧ＿ＤＯＮＥの設定値を変更可能としてもよい。

また、ＣＰＵ１４１は、ＲＯＭ１２に記憶され、第２の認証情報を用いた認証処理に成功したファームウェアと、ＲＯＭ１７に記憶され、第２の認証情報を用いた認証処理に成功したファームウェアとを照合し、両者が一致しないか否かによりＲＯＭ１２に記憶されたファームウェアが更新されたか否かを判定することができる。または、ＣＰＵ１４１は、ＲＯＭ１２に記憶され認証に成功した認証処理に用いられた第１の認証情報に含まれる第１の電子署名もしくはそのハッシュ値と、ＲＯＭ１７に記憶され認証に成功した第２の認証情報に含まれる第２の認証情報のハッシュ値とを照合し、両者が一致しないか否かによりＲＯＭ１２に記憶されたファームウェアが更新されたか否かを判定してもよい。

以上に説明したように、本実施形態に係る情報処理装置１０は、ファームウェアを用いた処理を実行可能なコンピュータシステム（例えば、ホストシステム）を備え、ファームウェアと、有効化された（即ち、ロック解除状態の）ファームウェアに対する第１の認証情報と、無効化された（即ち、ロック状態の）ファームウェアに対する第２の認証情報とを含むデータセットを記憶する第１のメモリ（例えば、ＲＯＭ１２）と、複製された当該データセットを記憶する第２のメモリ（例えば、ＲＯＭ１７）と、コントローラ（例えば、ＥＣ１４）と、を備える。コントローラは、ファームウェアの更新状態を示す更新状態情報（例えば、ＦＷ１＿ＭＦＧ＿ＤＯＮＥ）を記憶し、更新状態情報がファームウェアの更新の未完了を示し、第１のメモリに記憶されたファームウェアに対する第１の認証情報を用いた認証に失敗し、かつ、当該ファームウェアに対する第２の認証情報を用いた認証に成功するとき、第１のメモリに記憶されたファームウェアを第２のメモリに複製し、更新状態情報をファームウェアの更新の完了を示す情報に更新する。
この構成により、コントローラは、第１のメモリに記憶されたファームウェアが真正な状態で更新されたことを判定することができる。第１のメモリに記憶されたファームウェアを第２のメモリにバックアップすることで、出荷後におけるファームウェアの更新を許容しながら、情報セキュリティを確保することができる。

また、コントローラは、更新状態情報がファームウェアの更新の未完了を示し、第１のメモリに記憶されたファームウェアに対する第１の認証情報を用いた認証に失敗し、当該ファームウェアに対する第２の認証情報を用いた認証に失敗するとき、第２のメモリに記憶されたファームウェアを第１のメモリに複製させてもよい。
この構成により、コントローラは、第１のメモリに記憶されたファームウェアが破損したことを判定することができる。第２のメモリに記憶されたファームウェアを第１のメモリに複製することで、ファームウェアを用いた処理を回復させることができる。

また、コントローラは、更新状態情報がファームウェア更新の未完了を示し、第１のメモリに記憶されたファームウェアに対する第１の認証情報を用いた認証に成功するとき、第１のメモリに記憶されたファームウェアを用いた処理をコンピュータシステムに実行させてもよい。
この構成により、コントローラは、第１のメモリに記憶されたファームウェアが真正な状態で有効化されたことを判定することができる。第１のメモリに記憶されたファームウェアを用いた処理をコンピュータシステムに対して実行させることで、可用性を維持することができる。

また、コントローラは、更新状態情報がファームウェア更新の完了を示し、第１のメモリに記憶されたファームウェアに対する第２の認証情報を用いた認証に失敗するとき、第２のメモリに記憶されたファームウェアを第１のメモリに複製してもよい。
この構成により、コントローラは、コントローラは、第１のメモリに記憶されたファームウェアが破損されたことを判定することができる。第２のメモリに記憶されたファームウェアを第１のメモリに複製することで、ファームウェアを用いた処理を回復させることができる。

また、コントローラは、更新状態情報がファームウェア更新の完了を示し、第１のメモリに記憶されたファームウェアに対する第２の認証情報を用いた認証に成功するとき、第１のメモリに記憶されたファームウェアを用いた処理をコンピュータシステムに実行させてもよい。
この構成により、コントローラは、第１のメモリに記憶されたファームウェアが真正な状態で有効化されたことを判定することができる。第１のメモリに記憶されたファームウェアを用いた処理をコンピュータシステムに対して実行させることで、可用性を維持することができる。

また、第２のメモリは、コントローラからアクセス可能とし、コンピュータシステムからのアクセスが制限されていてもよい。
この構成により、コンピュータシステムまたはコンピュータシステムに接続される各種デバイスから第２のメモリに記憶されたファームウェアに対する操作が回避される。そのため、第２のメモリに記憶されたファームウェアに対する保護が図られる。

以上、この発明の実施形態について図面を参照して詳述してきたが、具体的な構成は上記の実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。上記の実施形態において説明した各構成は、矛盾しない限り任意に組み合わせることができる。

例えば、上記の説明では、ファームウェアの認証、認証情報の生成においてＥＣＣ暗号に基づくＥＣＤＳＡを適用する場合を例にしたが、これには限られない。ファームウェアの認証、認証情報の生成において、その他の公開鍵暗号方式、例えば、ＲＳＡ暗号方式が適用されてもよい。
上記の説明では、情報処理装置１０が主にノートＰＣである場合を例にしたが、これには限られない。情報処理装置１０は、デスクトップＰＣ、タブレット端末、スマートフォン、などのいずれの形態で実現されてもよい。
ＰＣＨ１１にＩ／Ｏコントローラが含まれていれば、ＰＣＨ１１においてＣＰＵ１１１とメモリコントローラ１１５が省略され、それぞれＰＣＨ１１とは別体であってもよい。ＧＰＵ１１３も、ＰＣＨ１１とは別体であってもよい。

１０…情報処理装置、１１…ＰＣＨ、１２…ＲＯＭ、１４…ＥＣ、１１１…ＣＰＵ、１１３…ＧＰＵ、１１５…メモリコントローラ、１１７…Ｉ／Ｏコントローラ、１３１…システムメモリ、１３３…ＬＣＤ、１３５…ＨＤＤ、１４１…ＣＰＵ、１４３…ＳＲＡＭ、１４５…ブートＲＯＭ、１５１…キーボード

Claims (7)

1. ファームウェアを用いた処理を実行可能なコンピュータシステムを備える情報処理装置であって、
   前記ファームウェアと、有効化された前記ファームウェアに対する第１の認証情報と、無効化された前記ファームウェアに対する第２の認証情報とを含むデータセットを記憶する第１のメモリと、
   複製された前記データセットを記憶する第２のメモリと、
   コントローラと、を備え、
   前記コントローラは、
   前記ファームウェアの更新状態を示す更新状態情報を記憶し、
   前記更新状態情報が前記ファームウェアの更新の未完了を示し、
   前記第１のメモリに記憶されたファームウェアに対する前記第１の認証情報を用いた認証に失敗し、かつ、当該ファームウェアに対する前記第２の認証情報を用いた認証に成功するとき、前記第１のメモリに記憶されたファームウェアを前記第２のメモリに複製し、
   前記更新状態情報を前記更新の完了を示す情報に更新する
   情報処理装置。
2. 前記コントローラは、
   前記更新状態情報が前記更新の未完了を示し、
   前記第１のメモリに記憶されたファームウェアに対する前記第１の認証情報を用いた認証に失敗し、当該ファームウェアに対する前記第２の認証情報を用いた認証に失敗するとき、
   前記第２のメモリに記憶されたファームウェアを前記第１のメモリに複製する
   請求項１に記載の情報処理装置。
3. 前記コントローラは、
   前記更新状態情報が前記更新の未完了を示し、
   前記第１のメモリに記憶されたファームウェアに対する前記第１の認証情報を用いた認証に成功するとき、
   前記第１のメモリに記憶されたファームウェアを用いた処理を前記コンピュータシステムに実行させる
   請求項１または請求項２に記載の情報処理装置。
4. 前記コントローラは、
   前記更新状態情報が前記更新の完了を示し、
   前記第１のメモリに記憶されたファームウェアに対する前記第２の認証情報を用いた認証に失敗するとき、
   前記第２のメモリに記憶されたファームウェアを前記第１のメモリに複製する
   請求項１から請求項３のいずれか一項に記載の情報処理装置。
5. 前記コントローラは、
   前記更新状態情報が前記更新の完了を示すとき、
   前記第１のメモリに記憶されたファームウェアに対する前記第２の認証情報を用いた認証に成功するとき、
   前記第１のメモリに記憶されたファームウェアを用いた処理を前記コンピュータシステムに実行させる
   請求項１から請求項４のいずれか一項に記載の情報処理装置。
6. 前記第２のメモリは、前記コントローラからアクセス可能とし、前記コンピュータシステムからのアクセスが制限されている
   請求項１から請求項５のいずれか一項に記載の情報処理装置。
7. ファームウェアを用いた処理を実行可能なコンピュータシステムと、
   前記ファームウェアと、有効化された前記ファームウェアに対する第１の認証情報と、無効化された前記ファームウェアに対する第２の認証情報とを含むデータセットを記憶する第１のメモリと、
   複製された前記データセットを記憶する第２のメモリと、
   コントローラと、を備える情報処理装置における情報処理方法であって、
   前記コントローラに記憶され、前記ファームウェアの更新状態を示す更新状態情報が前記前記ファームウェアの更新の未完了を示し、前記第１のメモリに記憶されたファームウェアに対する前記第１の認証情報を用いた認証に失敗し、かつ、当該ファームウェアに対する前記第２の認証情報を用いた認証に成功するとき、前記第１のメモリに記憶されたファームウェアを前記第２のメモリに複製する第１のステップと、
   前記更新状態情報を前記更新の完了を示す情報に更新する第２のステップと、を有する
   情報処理方法。

Images