JP7249968B2

JP7249968B2 - 情報処理装置およびストレージ

Info

Publication number: JP7249968B2
Application number: JP2020040206A
Authority: JP
Inventors: 康人荒牧; 進安田; 達明岩田
Original assignee: Toshiba Corp; Toshiba Electronic Devices and Storage Corp
Current assignee: Toshiba Corp; Toshiba Electronic Devices and Storage Corp
Priority date: 2020-03-09
Filing date: 2020-03-09
Publication date: 2023-03-31
Anticipated expiration: 2040-03-09
Also published as: JP2021140678A; US20210281423A1; US11888990B2

Description

本実施形態は、情報処理装置に関する。

従来、コンピュータプログラム（以降、プログラムと表記する）に従って動作する情報処理装置において、プログラムが、例えば暴走状態や無限ループ状態などの、正規の動作の実現が困難な状態になる場合がある。この状態を障害状態と表記する。障害状態は、プログラムのバグなどの内的要因によっても起こり得るし、プログラムが格納されたメモリの部分破壊またはハードウェアの障害などの外的要因によっても起こり得る。

情報処理装置の主たる動作を司るプログラムが障害状態になった場合、情報処理装置は、専用の解析プログラムを、割り込みに応じて起動する技術がある。情報処理装置は、解析プログラムに従って、情報処理装置の内部に蓄積されたログを収集したり、情報処理装置が具備するメモリの内容を収集したりすることができる。

しかしながら、解析プログラムは、改竄されたり、壊れたりしている場合があり得る。また、解析プログラムの位置を指すベクタテーブルの改竄により、解析プログラムの替わりに不正なプログラム（例えば情報処理装置を乗っ取るためのプログラム）が起動されることがあり得る。これらの場合、解析プログラムに期待された本来の動作を実現することは困難である。換言すると、セキュアにプログラムを解析することが困難である。

特開２００９－９３７２号公報特許第５０４９２８８号公報

一つの実施形態は、可及的にセキュアにプログラムの解析を行うことができる情報処理装置を提供することを目的とする。

一つの実施形態によれば、情報処理装置は、揮発性の第１メモリと、書き換え不可能な不揮発性の第２メモリと、プロセッサと、を備える。第１メモリには、第１プログラムと、第２プログラムと、第２プログラムのデジタル署名と、がロードされる。第２メモリには、第３プログラムおよび公開鍵が格納されている。プロセッサは、第１プログラムの実行中に特定の条件が成立した場合に、デジタル署名と公開鍵とに基づく第２プログラムの検証を第２メモリに格納された第３プログラムに従って実行する。検証結果が合格である場合に、プロセッサは、第１プログラムの解析を第２プログラムに従って実行する。検証結果が不合格である場合に、プロセッサは、第１プログラムの解析を実行しない。情報処理装置は、磁気ディスクをさらに備える。第１プログラムは、ホストからの要求に応じた磁気ディスクへのアクセス制御をプロセッサに実行させるファームウェアである。

実施形態にかかる情報処理装置が適用された磁気ディスク装置のハードウェア構成の一例を示す模式的な図。実施形態にかかる情報処理装置が適用された磁気ディスク装置のいくつかの特徴を説明するための模式的な図。実施形態にかかる情報処理装置が適用された磁気ディスク装置を製造する際の製造者による処理の一例を示すフローチャート。実施形態にかかる情報処理装置が適用された磁気ディスク装置のパワーオン時の動作の一例を示すフローチャート。実施形態にかかる情報処理装置が適用された磁気ディスク装置が割り込み要求を生成する動作の一例を示すフローチャート。実施形態にかかる情報処理装置が適用された磁気ディスク装置の、割り込み要求が生成された際の動作の一例を示すフローチャート。実施形態の変形例１にかかるマスクＲＯＭの構成を示す模式的な図。実施形態の変形例２にかかる起動方法を示すフローチャート。実施形態の変形例２にかかる別の起動方法を示すフローチャート。

以下では、一例として、実施形態にかかる情報処理装置が適用された磁気ディスク装置について説明する。なお、実施形態にかかる情報処理装置を適用できる装置は磁気ディスク装置だけに限定されない。実施形態にかかる情報処理装置は、コンピュータプログラムが格納されるメモリと、当該コンピュータプログラムを実行するプロセッサと、を備えた任意の装置に適用され得る。以下に添付図面を参照して、実施形態にかかる情報処理装置が適用された磁気ディスク装置を詳細に説明する。なお、この実施形態により本発明が限定されるものではない。

（実施形態）
図１は、実施形態にかかる情報処理装置が適用された磁気ディスク装置のハードウェア構成の一例を示す模式的な図である。磁気ディスク装置１は、例えばサーバであるホスト２と接続されている。磁気ディスク装置１は、ホスト２から送られてくるデータを記憶するストレージとして機能する。なお、ホスト２は、サーバだけに限定されない。

ホスト２と磁気ディスク装置１とは、所定の規格のインタフェースによって接続されている。インタフェースは例えば、ＳＡＳ（Serial Attached Small Computer System Interface）またはＳＡＴＡ（Serial Advanced Technology Attachment）である。接続するインタフェースが準拠する規格はこれらに限定されない。

磁気ディスク装置１は、外部Ｉ／Ｆ（Interface）コントローラ１１、ＣＰＵ（Central Processing Unit）１２、ＲＳＡ（Rivest-Shamir-Adleman cryptosystem）回路１３、ＵＡＲＴ（Universal Asynchronous Receiver/Transmitter）１４、割り込みコントローラ１５、ＲＡＭ（Random Access memory）１６、マスクＲＯＭ１７、ＯＴＰ（One Time Programmable）１８、デバイスコントローラ１９、ＦＲＯＭ（Flash Read Only Memory）２０、ＳＰＩ（Serial Peripheral Interface）２１、第１バス２２、第２バス２３、および磁気ディスク２４を備えている。

磁気ディスク２４は、データを記憶することができる磁性体を表面に有しているディスクである。例えば、磁気ディスク２４の径方向には同心円の形状の複数のトラックが所定のピッチで設けられている。各トラックの周上には多数のセクタが連続的に形成されている。各セクタは、データの書き換えが自在に構成されている。それぞれ多数のセクタを有する複数のトラックによって、データの記録が可能な記録面が構成される。つまり、磁気ディスク２４は、大容量を有する、書き換え可能な不揮発性メモリである。

なお、図１では、磁気ディスク２４に対するデータの書き込み／読み出しを行う磁気ヘッド、磁気ヘッドを支持するアクチュエータアーム、アクチュエータアームを駆動するヴォイスコイルモータ、磁気ディスク２４を回転させるスピンドルモータ、などの図示が省略されている。

外部Ｉ／Ｆコントローラ１１、ＣＰＵ１２、ＲＳＡ回路１３、ＵＡＲＴ１４、割り込みコントローラ１５、ＲＡＭ１６、マスクＲＯＭ１７、ＯＴＰ１８、デバイスコントローラ１９、およびＳＰＩ２１は、例えば、コントローラ基板１０に実装されている。なお、コントローラ基板１０に実装される要素はこれらに限定されない。

第１バス２２は、ホスト２から送られてきたデータ（即ちユーザデータ）の転送に利用される。第２バス２３は、ホスト２からの要求に応じた磁気ディスク２４へのアクセス制御のためのコマンド、信号、情報、などの転送に利用される。

外部Ｉ／Ｆコントローラ１１、ＲＡＭ１６、および磁気ディスク２４は、第１バス２２に接続されている。また、ＣＰＵ１２、ＵＡＲＴ１４、ＯＴＰ１８、ＲＳＡ回路１３、ＲＡＭ１６、マスクＲＯＭ１７、ＳＰＩ２１、およびデバイスコントローラ１９は、第２バス２３に接続されている。

外部Ｉ／Ｆコントローラ１１は、ホスト２との通信を行うインタフェース装置である。外部Ｉ／Ｆコントローラ１１は、ホスト２から受信した要求をＣＰＵ１２に転送することができる。外部Ｉ／Ｆコントローラ１１は、ホスト２から送られてきたユーザデータを、ＲＡＭ１６にバッファすることができる。外部Ｉ／Ｆコントローラ１１は、磁気ディスク２４からＲＡＭ１６に読み出されたユーザデータをホスト２に転送することができる。なお、外部Ｉ／Ｆコントローラ１１は、実施形態にかかる第１インタフェースに相当する。

ＣＰＵ１２は、種々のプログラムを実行することができるプロセッサである。ＣＰＵ１２は、プログラムに応じた機能を実現する。
ＲＳＡ回路１３は、公開鍵暗号の１つであるＲＳＡによって暗号化されたデータを復号化する。実施形態では、ＲＳＡ回路１３は、デジタル署名を用いた検証に使用される。
ＵＡＲＴ１４は、外部のコンピュータが接続され得るインタフェース装置である。なお、ＵＡＲＴ１４は、実施形態にかかる第２インタフェースに相当する。

割り込みコントローラ１５は、特定の事象が発生したときに割り込み要求を生成する。割り込みコントローラ１５は、割り込み要求をＣＰＵ１２に通知する。

実施形態では、割り込みコントローラ１５は、ＵＡＲＴ１４に調査ＰＣ（Personal Computer）３が接続されたことを検知すると、割り込み要求を生成する。調査ＰＣ３は、プログラムを解析するためのコンピュータである。

ＵＡＲＴ１４に調査ＰＣ３が接続されたことを割り込みコントローラ１５が検知する仕組みは、任意に構成され得る。一例では、割り込みコントローラ１５は、調査ＰＣ３とＵＡＲＴ１４とが通電されたことで接続を検知する。別の例では、割り込みコントローラ１５は、調査ＰＣ３とＵＡＲＴ１４との間でコマンドの送受信が開始されたことで、接続を検知する。

ＲＡＭ１６は、揮発性メモリである。ＲＡＭ１６は、各種プログラムがロードされる領域をＣＰＵ１２に提供する。その他、ＲＡＭ１６は、ホスト２と磁気ディスク２４との間で転送されるユーザデータのバッファとして機能する。なお、ＲＡＭ１６は、ＤＲＡＭ（Dynamic Random Access Memory）、ＳＲＡＭ（Static Random Access Memory）、またはこれらの組み合わせによって構成され得る。ＲＡＭ１６を構成するメモリはこれらに限定されない。

マスクＲＯＭ１７は、書き換え不可能な不揮発性メモリである。マスクＲＯＭ１７の内容は、工場において磁気ディスク装置１のハードウェアを製造する際に固定される。

ＯＴＰ１８は、一度だけデータを書き込むことができ、その後は、データの更新ができない不揮発性メモリである。ＯＴＰ１８の内容は、磁気ディスク装置１のハードウェアが製造された後に固定され得る。

デバイスコントローラ１９は、磁気ディスク２４に対して磁気ヘッドを介したアクセス、即ちデータの書き込みおよび読み出しができるコントローラである。デバイスコントローラ１９は、リードライトチャネルとも称され得る。デバイスコントローラ１９は、ＲＡＭ１６にバッファされたユーザデータを磁気ディスク２４に書き込むことができる。また、デバイスコントローラ１９は、磁気ディスク２４から読み出されたユーザデータをＲＡＭ１６に送ることができる。

ＦＲＯＭ２０は、書き換え可能な不揮発性メモリである。
ＳＰＩ２１は、ＦＲＯＭ２０に対してシリアル通信でアクセスするためのインタフェース装置である。

ここで、ＣＰＵ１２およびＲＳＡ回路１３は、実施形態にかかるプロセッサに相当する。しかしながら、ＲＳＡ回路１３は必ずしもプロセッサに含まれなくてもよい。
また、ＲＡＭ１６は、実施形態にかかる第１メモリに相当する。マスクＲＯＭ１７およびＯＴＰ１８は、実施形態にかかる第２メモリに相当する。
また、ＦＲＯＭ２０または磁気ディスク２４は、実施形態にかかる第３メモリに相当する。
また、第２メモリのうちのマスクＲＯＭ１７は、実施形態にかかる第４メモリに相当する。第２メモリのうちのＯＴＰ１８は、実施形態にかかる第５メモリに相当する。

図２は、実施形態にかかる情報処理装置が適用された磁気ディスク装置１のいくつかの特徴を説明するための模式的な図である。揮発性メモリ３０は、ＲＡＭ１６に相当する。不揮発性メモリ４０は、ＦＲＯＭ２０または磁気ディスク２４に相当する。
不揮発性メモリ４０には、メインプログラム１００と、解析プログラム２００と、解析プログラム２００のデジタル署名２０１と、が予め格納されている。

メインプログラム１００は、磁気ディスク装置１の主たる動作を司るプログラムである。つまり、メインプログラム１００は、ホスト２からの要求に応じた磁気ディスク２４へのアクセス制御をＣＰＵ１２に実行させるファームウェアである。
解析プログラム２００は、メインプログラム１００の解析をＣＰＵ１２に実行させるプログラムである。
デジタル署名２０１は、解析プログラム２００に対して秘密鍵を用いて符号化（暗号化）することで生成されたデータである。暗号化は、ＲＳＡ方式による。

なお、メインプログラム１００、解析プログラム２００、およびデジタル署名２０１は、揮発性メモリ３０にロードされる。以下、揮発性メモリ３０にロードされた各プログラムおよびデジタル署名を、メインプログラム１００ａ、解析プログラム２００ａ、およびデジタル署名２０１ａと表記する。ＣＰＵ１２は、メインプログラム１００ａに従ってホスト２からの要求に応じた磁気ディスク２４へのアクセス制御を実現する。また、ＣＰＵ１２は、解析プログラム２００ａに従って、メインプログラム１００ａの解析を行う。

マスクＲＯＭ１７には、ＩＰＬ（Initial Program Loader）５００と、署名チェックプログラム３００と、が予め書き込まれている。
ＩＰＬ５００は、磁気ディスク装置１のパワーオン時にメインプログラム１００を不揮発性メモリ４０から揮発性メモリ３０にロードするためのプログラムである。

署名チェックプログラム３００は、主に２つの処理をＣＰＵ１２に実行させる。
１つ目の処理は、解析プログラム２００とデジタル署名２０１とを不揮発性メモリ４０から揮発性メモリ３０にロードする。
２つ目の処理は、解析プログラム２００ａの真正性（authenticity）を、デジタル署名２０１ａと、公開鍵２０２とに基づいて検証する。

ＯＴＰ１８には、公開鍵２０２と、署名チェックプログラム３００の位置を示すアドレス値４００と、が予め書き込まれている。

ＣＰＵ１２は、磁気ディスク装置１のパワーオン時にはＩＰＬ５００に従って、メインプログラム１００を不揮発性メモリ４０から揮発性メモリ３０にロードして、メインプログラム１００ａを起動する（Ｓ１）。

なお、ＣＰＵ１２は、メインプログラム１００ａの実行中に、動作状態を示す情報を適時、ログ６００として不揮発性メモリ４０に記録することができる。動作状態を示す情報は、例えば、環境温度、磁気ディスク装置１が受けた振動、パワーオン回数、パワーオン時間、エラー発生回数、などを含み得る。

ＣＰＵ１２がメインプログラム１００ａの実行中に、内的要因または外的要因によってメインプログラム１００ａが障害状態になる場合がある。ユーザは、メインプログラム１００ａが障害状態になった可能性を認識すると、メインプログラム１００ａの解析のために、磁気ディスク装置１に調査ＰＣ３を接続することができる。調査ＰＣ３は、磁気ディスク装置１がホスト２に接続され、かつ通電された状態で、ＵＳＡＲＴ１４に接続され得る。

割り込みコントローラ１５は、ＵＡＲＴ１４に調査ＰＣ３が接続されたことを検知すると、割り込み要求を生成してＣＰＵ１２に送る（Ｓ２）。割り込み要求を受信したＣＰＵ１２は、アドレス値４００を参照することによって署名チェックプログラム３００の位置を特定する（Ｓ３）。そして、ＣＰＵ１２は、署名チェックプログラム３００を起動する（Ｓ４）。

Ｓ３およびＳ４では、メインプログラム１００ａに属する現在実行中の命令の次に実行される命令が格納された位置を示すアドレス値が、スタックポインタが示す位置に退避される。このとき、汎用レジスタの値も退避される。その後、プログラムカウンタにアドレス値４００がセットされることで、メインプログラム１００ａから署名チェックプログラム３００に制御が移る。メインプログラム１００ａは、一時停止された状態のまま維持される。

続いて、ＣＰＵ１２は、署名チェックプログラム３００に従って、解析プログラム２００およびデジタル署名２０１を不揮発性メモリ４０から揮発性メモリ３０にロードする（Ｓ５）。続いて、ＣＰＵ１２は、署名チェックプログラム３００に従って、公開鍵２０２と、デジタル署名２０１ａと、に基づいて、解析プログラム２００ａの真正性を検証する（Ｓ６）。

Ｓ６の処理では、ＣＰＵ１２は、ＲＳＡ回路１３に、解析プログラム２００ａの検証を指示し、ＲＳＡ回路１３は検証を実施する。または、ＣＰＵ１２がＳ６の処理を全て実行してもよい。

デジタル署名２０１は、解析プログラム２００のハッシュ値を秘密鍵を用いて符号化することによって生成されている。Ｓ６では、プロセッサ（ＣＰＵ１２またはＲＳＡ回路１３）は、デジタル署名２０１ａを公開鍵２０２を用いて復号化することによってハッシュ値を復元するとともに、解析プログラム２００ａのハッシュ値を演算する。

公開鍵２０２が符号化に用いた秘密鍵と対応し、かつ、解析プログラム２００ａおよびデジタル署名２０１ａの何れも正常であれば、復号化によって得られたハッシュ値と、解析プログラム２００ａから得られたハッシュ値と、が一致する。よって、解析プログラム２００ａは真正であると判断される。つまり、検証結果は合格（pass）とされる。

なお、解析プログラム２００ａが正常とは、解析プログラム２００ａが改竄も破壊もされていないことをいう。解析プログラム２００ａが異常とは、解析プログラム２００ａが改竄または破壊されていることをいう。

公開鍵２０２が当該秘密鍵と対応しないか、解析プログラム２００ａまたはデジタル署名２０１ａが異常である場合、双方のハッシュ値は互いに異なる。よって、解析プログラム２００ａは真正ではないと判断される。つまり、検証結果は不合格（fail）とされる。

検証結果が合格である場合、ＣＰＵ１２は、解析プログラム２００ａによる制御の下で解析のための動作を実現する。具体的には、ＣＰＵ１２は、調査ＰＣ３からのコマンドに応じて、不揮発性メモリ４０からログ６００を収集したり、揮発性メモリ３０の内容（具体的にはメインプログラム１００ａの一部または全部）を収集したりすることができる（Ｓ７）。

解析中、メインプログラム１００ａは、割り込み発生時から一時停止状態で維持されている。よって、メインプログラム１００ａに改竄や破壊があれば、ＣＰＵ１２は、そのような箇所の情報を収集することができる。

ＣＰＵ１２は、収集した情報を調査ＰＣ３からのコマンドに応じて調査ＰＣ３に送信したりすることができる。ＣＰＵ１２は、調査ＰＣ３からＵＡＲＴ１４を介して終了コマンドを受信すると、解析プログラム２００ａに基づいた解析を終了する。

解析終了後の処理は、任意に構成され得る。一例では、解析プログラム２００ａからメインプログラム１００ａに制御が復帰してもよい。具体的には、先に退避されていたアドレス値が、プログラムカウンタにセットされる。また、退避されていた汎用レジスタの値も復帰される。これによって、解析プログラム２００ａからメインプログラム１００ａに制御が復帰する。
別の例では、ユーザは、磁気ディスク装置１への電力の供給を遮断することで、磁気ディスク装置１をパワーオフしてもよい。

検証結果が不合格である場合、ＣＰＵ１２は、解析プログラム２００ａに従った動作を実行しない。一例では、制御が署名チェックプログラム３００からメインプログラム１００ａに復帰する。または、ＣＰＵ１２は、署名チェックプログラム３００に従って、調査ＰＣ３に解析プログラム２００ａが異常である旨を通知してもよい。ユーザは、当該通知を認識すると、磁気ディスク装置１への電力の供給を遮断することで、磁気ディスク装置１をパワーオフしてもよい。

このように、実施形態によれば、割り込みが発生した場合に、解析プログラム２００ａに対し、デジタル署名２０１ａを用いた真正性の検証が実施される。検証結果が合格である場合、解析プログラム２００ａが実行される。検証結果が不合格である場合、解析プログラム２００ａは実行されない。よって、解析プログラム２００ａが正常である場合にのみ、メインプログラム１００ａの解析を進めることが可能となる。

さらに、検証を行うための署名チェックプログラム３００および公開鍵２０２は、書き換え不可能なマスクＲＯＭ１７またはＯＴＰ１８に格納されている。従って、署名チェックプログラム３００や公開鍵２０２の改竄は不可能である。よって、解析プログラム２００ａの検証をセキュアに実行することが可能である。

上記の２つの理由により、実施形態によれば、セキュアにメインプログラム１００ａの解析を行うことが可能となる。

なお、メインプログラム１００、１０１ａは、実施形態にかかる第１プログラムに相当する。解析プログラム２００、２００ａは、実施形態にかかる第２プログラムに相当する。署名チェックプログラム３００は、実施形態にかかる第３プログラムに相当する。

次に、磁気ディスク装置１の実施形態にかかる情報処理装置としての動作を詳細に説明する。図３は、実施形態にかかる情報処理装置が適用された磁気ディスク装置１を製造する際の製造者による処理の一例を示すフローチャートである。

まず、製造者は、マスクＲＯＭ１７にＩＰＬ５００と署名チェックプログラム３００とを書き込む（Ｓ１０１）。続いて、製造者は、解析プログラム２００を不揮発性メモリ４０に書き込む（Ｓ１０２）。また、製造者は、デジタル署名２０１を所定の秘密鍵を用いて生成して、当該デジタル署名２０１を不揮発性メモリ４０に書き込む（Ｓ１０３）。

続いて、製造者は、署名チェックプログラム３００の位置を示すアドレス値４００と、所定の秘密鍵に対応した公開鍵２０２と、をＯＴＰ１８に書き込む（Ｓ１０４）。

なお、ＩＰＬ５００および署名チェックプログラム３００はマスクＲＯＭ１７に格納されることとしているので、Ｓ１０１の処理は、磁気ディスク装置１のハードウェアの製造時に実施される。

これに対して、アドレス値４００および公開鍵２０２は、ＯＴＰ１８に格納され、解析プログラム２００およびデジタル署名２０１は、不揮発性メモリ４０に格納されることとしている。よって、Ｓ１０２～Ｓ１０４の処理は、ハードウェアの製造が終わった後に実施される。

つまり、署名チェックプログラム３００はハードウェアの製造時に書き込まれ、公開鍵２０２、解析プログラム２００、およびデジタル署名２０１は、ハードウェアの製造後に書き込まれ得る。したがって、多数の磁気ディスク装置１が製造される場合、署名チェックプログラム３００を全ての磁気ディスク装置１で共通化する一方、公開鍵２０２とデジタル署名２０１との組み合わせを装置単位で異ならせるといったことが可能となる。なお、公開鍵２０２とデジタル署名２０１との組み合わせは、全ての磁気ディスク装置１で共通化され得ることは言うまでもない。

図４は、実施形態にかかる情報処理装置が適用された磁気ディスク装置１のパワーオン時の動作の一例を示すフローチャートである。
パワーオン時には、ＣＰＵ１２は、ＩＰＬ５００に従って、メインプログラム１００を不揮発性メモリ４０から揮発性メモリ３０にロードする（Ｓ２０１）。そして、ＣＰＵ１２は、メインプログラム１００ａに基づく磁気ディスク装置１の制御を開始する（Ｓ２０２）。つまり、ＣＰＵ１２は、ホスト２からの要求に応じた磁気ディスク２４へのアクセス制御を開始する。

図５は、実施形態にかかる情報処理装置が適用された磁気ディスク装置１が割り込み要求を生成する動作の一例を示すフローチャートである。
ユーザが、磁気ディスク装置１の挙動が通常と異なることを察知するなどによって、メインプログラム１００ａが障害状態になった可能性を認識すると（Ｓ３０１）、ユーザは、調査ＰＣ３をＵＡＲＴ１４に接続する（Ｓ３０２）。割り込みコントローラ１５は、調査ＰＣ３がＵＡＲＴ１４に接続されたことを検知するに応じて、割り込み要求を生成し、ＣＰＵ１２に送信する（Ｓ３０３）。

図６は、実施形態にかかる情報処理装置が適用された磁気ディスク装置１の、割り込み要求が生成された際の動作の一例を示すフローチャートである。
ＣＰＵ１２は、割り込み要求を受信すると、メインプログラム１００ａからアドレス値４００が示す位置に格納されている署名チェックプログラム３００の実行を開始する（Ｓ４０１）。

続いて、ＣＰＵ１２は、署名チェックプログラム３００に従って、解析プログラム２００とデジタル署名２０１とを不揮発性メモリ４０から揮発性メモリ３０にロードする（Ｓ４０２）。

続いて、ＣＰＵ１２は、公開鍵２０２と、デジタル署名２０１ａと、に基づいて、解析プログラム２００ａの真正性を検証する（Ｓ４０３）。Ｓ４０３では、ＣＰＵ１２が単独で検証してもよいし、ＣＰＵ１２がＲＳＡ回路１３に検証させてもよい。

検証結果が合格である場合（Ｓ４０４：Ｙｅｓ）、ＣＰＵ１２は、解析プログラム２００ａに従った動作を開始する（Ｓ４０５）。そして、解析プログラム２００ａに従った動作の一環として、ＣＰＵ１２は、調査ＰＣ３からのコマンドに応じて、揮発性メモリ３０内の内容（例えばメインプログラム１００ａの一部または全部）や不揮発性メモリ４０内のログを収集して、調査ＰＣ３に送信する（Ｓ４０６）。

ユーザは、必要な情報を調査ＰＣ３によって収集して、解析が終了すると、調査ＰＣ３から磁気ディスク装置１に終了コマンドを送信することができる。磁気ディスク装置１が当該終了コマンドを受信すると（Ｓ４０７）、制御が解析プログラム２００ａからメインプログラム１００ａに復帰し（Ｓ４０８）、動作が終了する。

また、検証結果が不合格である場合（Ｓ４０４：Ｎｏ）、Ｓ４０８の処理が実行される。なお、検証結果が不合格である場合の動作、および終了コマンドを受信した後の動作は、図６に説明された例に限定されない。例えば、ＣＰＵ１２は、署名チェックプログラム３００に従って、調査ＰＣ３に解析プログラム２００ａが異常である旨を通知してもよい。ユーザは、当該通知を認識すると、磁気ディスク装置１への電力の供給を遮断することで、磁気ディスク装置１をパワーオフしてもよい。

磁気ディスク装置１のパワーオフによって、メインプログラム１００ａ、解析プログラム２００ａ、およびデジタル署名２０１ａは、揮発性メモリ３０から失われる。そして、次に磁気ディスク装置１がパワーオンされた際には、図４に示された動作が実行される。これにより、不揮発性メモリ４０から揮発性メモリ３０に再度、メインプログラム１００がロードされることになる。

また、終了コマンドを調査ＰＣ３によって磁気ディスク装置１に送信した後においても、ユーザは、磁気ディスク装置１への電力の供給を遮断することで、磁気ディスク装置１をパワーオフしてもよい。

以上述べたように、実施形態によれば、第１メモリである揮発性メモリ３０（ＲＡＭ１６）には、メインプログラム１００ａ、解析プログラム２００ａ、およびデジタル署名２０１ａがロードされる。第２メモリであるマスクＲＯＭ１７またはＯＴＰ１８には、署名チェックプログラム３００と、公開鍵２０２と、が格納されている。ＣＰＵ１２は、メインプログラム１００ａの実行中に特定の割り込みが発生した場合に、デジタル署名２０１ａと公開鍵２０２とに基づいて解析プログラム２００ａの検証を署名チェックプログラム３００に従って実行する。検証結果が合格である場合に、ＣＰＵ１２は、メインプログラム１００ａを解析プログラム２００ａに従って解析する。検証結果が不合格である場合に、ＣＰＵ１２は、解析しない。したがって、解析プログラム２００ａの検証かつメインプログラム１００ａの解析をセキュアに実行することが可能である。

この技術と比較される技術（比較例１と称する）として、磁気ディスク装置のパワーオン時に解析プログラムおよびデジタル署名が揮発性メモリにロードされる技術がある。例えば、解析プログラムは、メインプログラムに含まれ、デジタル署名は、解析プログラムを含むメインプログラムから生成され得る。比較例１によれば、解析プログラムおよびデジタル署名が揮発性メモリにロードされてから実際に使用されるまでの期間が長い。したがって、当該期間に、揮発性メモリ内の解析プログラムが改竄されたり、メインプログラムの暴走によって解析プログラムが破壊されたりする可能性がある。

これに対し、実施形態によれば、メインプログラム１００ａの解析が必要となったときに解析プログラム２００が第３のメモリである不揮発性メモリ４０から揮発性メモリ３０にロードされる。よって、比較例１に比べ、よりセキュアな状態で解析プログラム２００ａを使用することが可能である。

さらに、解析プログラム２００およびデジタル署名２０１が書き換え可能な不揮発性メモリ４０に格納されている。例えば、磁気ディスク装置１の出荷後、製造者は、新しい解析プログラム２００とデジタル署名２０１との対を作成する。ユーザは、不揮発性メモリ４０に格納されている解析プログラム２００とデジタル署名２０１との対を新しく更新させることができる。製造者は、解析プログラム２００とデジタル署名２０１を新しく作成する際、以前に使用された秘密鍵と同じ秘密鍵を使用する。これによって、新しく更新された場合であっても、検証の際に、ＯＴＰ１８内の公開鍵２０２を用いることが可能である。

また、実施形態によれば、ＣＰＵ１２は、第５のメモリであるＯＴＰ１８に格納されたアドレス値を参照することによって、第４のメモリであるマスクＲＯＭに格納された署名チェックプログラム３００の位置を特定するように構成されている。

書き換え不可能な不揮発性メモリに格納されたアドレス値４００に基づいて署名チェックプログラム３００の位置が特定されることから、署名チェックプログラム３００をセキュアに起動することが可能である。よって、例えば、割り込み要求に応じて不正なプログラムを起動させるなどによって磁気ディスク装置１を乗っ取ることが、非常に困難になる。

なお、ＣＰＵ１２は、割り込み要求を受信したとき、ＯＴＰ１８から必ずしも直接にアドレス値４００を取得しなくてもよい。例えば、ＣＰＵ１２は、ＯＴＰ１８に格納されたアドレス値４００を、所定のタイミングでベクタテーブルとして揮発性メモリ３０にロードする。そして、ＣＰＵ１２は、割り込み要求を受信したとき、揮発性メモリ３０内のベクタテーブルを参照することで、署名チェックプログラム３００の位置を特定してもよい。

また、実施形態によれば、署名チェックプログラム３００は、マスクＲＯＭ１７に格納される。公開鍵２０２は、磁気ディスク装置１のハードウェアの製造後にＯＴＰ１８に格納されている。デジタル署名２０１は、不揮発性メモリ４０に格納されることから、公開鍵２０２とデジタル署名２０１との組み合わせを装置単位で異ならせるといったことが容易となる。

なお、署名チェックプログラム３００および公開鍵２０２の位置は、上記した例に限定されない。例えば、署名チェックプログラム３００および公開鍵２０２は、ともにマスクＲＯＭ１７に格納されてもよい。

また、実施形態によれば、第１プログラムであるメインプログラム１００、１００ａは、ホスト２からの要求に応じた磁気ディスク２４へのアクセス制御をＣＰＵ１２に実行させるファームウェアである。しかしながら、解析の対象はファームウェアに限定されない。任意のコンピュータプログラムが解析プログラム２００による解析の対象とされ得る。

（変形例１）
以上の説明では、ＣＰＵ１２は、ＯＴＰ１８に格納されたアドレス値４００を参照することによって署名チェックプログラム３００の位置を特定した。署名チェックプログラム３００の位置の特定方法はこれに限定されない。署名チェックプログラム３００の位置の特定方法の他の変形例によれば、バンク切り替えによって署名チェックプログラム３００の位置が特定される。

図７は、実施形態の変形例１にかかるマスクＲＯＭ１７の構成を示す模式的な図である。マスクＲＯＭ１７は、複数のバンク１７０に分割されている。なお、図７では、複数のバンク１７０のうちの、３つのバンク１７０－１、１７０－２、１７０－３が図示されている。バンク１７０の数は、２つであってもよいし、４以上であってもよい。
第１のバンク１７０－１の先頭位置には、ＩＰＬ５００が格納されており、第２のバンク１７０－２の先頭位置には、署名チェックプログラム３００が格納されている。

ＣＰＵ１２は、磁気ディスク装置１のパワーオン時には、第１のバンク１７０－１の先頭位置に制御を移すことで、格納されたＩＰＬ５００に従った動作を開始する。そして、ＣＰＵ１２は、割り込み要求を受信すると、マスクＲＯＭ１７のバンク切り替えを実施する。第２のバンク１７０－２の先頭位置に制御を移すことで、ＣＰＵ１２は、格納された署名チェックプログラム３００に従った動作を開始する。

このように、複数のバンクに分割されたマスクＲＯＭ１７のバンク切り替えによって、署名チェックプログラム３００を起動することが可能である。マスクＲＯＭ１７を用いる場合、ＯＴＰ１８に署名チェックプログラム３００の位置を示すアドレス値４００を書き込むことを不要とすることができる。

（変形例２）
以上の説明では、割り込みコントローラ１５は、調査ＰＣ３の接続に応じて割り込み要求を生成し、ＣＰＵ１２は、当該割り込み要求を契機として署名チェックプログラム３００の起動を行った。署名チェックプログラム３００の起動の契機はこれに限定されない。

図８は、実施形態の変形例２にかかる起動方法を示すフローチャートである。ＣＰＵ１２は、磁気ディスク装置１がパワーオンされてからの経過時間または前回に署名チェックプログラム３００が実行されてからの経過時間が所定のしきい値に達したか否かを判定する（Ｓ５０１）。経過時間が所定のしきい値に達していない場合（Ｓ５０１：Ｎｏ）、ＣＰＵ１２は、Ｓ５０１の処理を再び実行する。経過時間が所定のしきい値に達した場合（Ｓ５０１：Ｙｅｓ）、ＣＰＵ１２は、署名チェックプログラム３００を起動し（Ｓ５０２）、動作を終了する。

なお、調査ＰＣ３は、ＵＡＲＴ１４に接続されていてもよいし、ＵＡＲＴ１４に接続されていなくてもよい。調査ＰＣ３がＵＡＲＴ１４に接続されている場合には、Ｓ５０２では、図６に示された一連の動作が実行され得る。

調査ＰＣ３がＵＡＲＴ１４に接続されていない場合にも、Ｓ５０２では、図６に示された一連の動作が実行され得る。ただし、解析プログラム２００ａの検証結果が合格であった場合、ＣＰＵ１２は、Ｓ４０６において、調査ＰＣ３からのコマンドを要することなく解析する。例えば、ＣＰＵ１２は、解析プログラム２００ａに従って、揮発性メモリ３０内の内容や不揮発性メモリ４０内のログ６００を自動で収集して、収集したこれらの情報に基づいて解析し得る。ＣＰＵ１２は、収集したこれらの情報を調査ＰＣ３に送信しない。ＣＰＵ１２は、解析が終了すると、終了コマンドを要することなく、Ｓ４０８の処理を実行し得る。

図９は、実施形態の変形例２にかかる別の起動方法を示すフローチャートである。ＣＰＵ１２は、磁気ディスク装置１がパワーオンされてからの磁気ディスク２４へのアクセス量、前回に署名チェックプログラム３００が実行されてからの磁気ディスク２４へのアクセス量が、所定のしきい値に達したか否かを判定する（Ｓ６０１）。

アクセス量として、書き込み量だけがカウントされてもよいし、読み出し量だけがカウントされてもよい。あるいは、書き込み量と読み出し量との合計がカウントされてもよい。アクセス量は、データのサイズによって表されるものであってもよいし、コマンド数によって表されるものであってもよい。

アクセス量が所定のしきい値に達していない場合（Ｓ６０１：Ｎｏ）、ＣＰＵ１２は、Ｓ６０１の処理を再び実行する。アクセス量が所定のしきい値に達した場合（Ｓ６０１：Ｙｅｓ）、ＣＰＵ１２は、署名チェックプログラム３００を起動し（Ｓ６０２）、動作を終了する。Ｓ６０２の処理の具体例は、図８に係る説明におけるＳ５０２の処理と同様である。

このように、予め設定された時間周期が経過する毎に署名チェックプログラム３００が実行されてもよい。また、磁気ディスク２４へのアクセス量が予め設定された量に達する毎に署名チェックプログラム３００が実行されてもよい。

実施形態およびその変形例によれば、プロセッサは、第１プログラムの実行中に特定の条件が成立した場合に、第１メモリ内のデジタル署名と第２メモリ内の公開鍵とに基づく第１メモリ内の第２プログラムの検証を第３プログラムに従って実行する。検証結果が合格である場合に、プロセッサは、第１メモリ内の第１プログラムの解析を第１メモリ内の第２プログラムに従って実行する。検証結果が不合格である場合に、プロセッサは、第１メモリ内の第２プログラムに従った解析を実行しない。これによって、セキュアに第１プログラムの解析を行うことが可能となる。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１磁気ディスク装置、２ホスト、３調査ＰＣ、１０コントローラ基板、１１外部Ｉ／Ｆコントローラ、１２ＣＰＵ、１３ＲＳＡ回路、１４ＵＡＲＴ、１５割り込みコントローラ、１６ＲＡＭ、１７マスクＲＯＭ、１８ＯＴＰ、１９デバイスコントローラ、２０ＦＲＯＭ、２１ＳＰＩ、２２第１バス、２３第２バス、２４磁気ディスク、３０揮発性メモリ、４０不揮発性メモリ、１００，１００ａメインプログラム、１７０，１７０－１，１７０－２，１７０－３バンク、２００，２００ａ解析プログラム、２０１，２０１ａデジタル署名、２０２公開鍵、３００署名チェックプログラム、４００アドレス値、５００ＩＰＬ、６００ログ。

Claims

第１プログラムと、第２プログラムと、前記第２プログラムのデジタル署名と、がロードされる揮発性の第１メモリと、
第３プログラムおよび公開鍵が格納された書き換え不可能な不揮発性の第２メモリと、
前記第１プログラムの実行中に特定の条件が成立した場合に、前記デジタル署名と前記公開鍵とに基づく前記第２プログラムの検証を前記第２メモリに格納された前記第３プログラムに従って実行し、検証結果が合格である場合に、前記第１プログラムの解析を前記第２プログラムに従って実行し、前記検証結果が不合格である場合に、前記第１プログラムの解析を実行しない、プロセッサと、
を備え、
磁気ディスクをさらに備え、
前記第１プログラムは、ホストからの要求に応じた前記磁気ディスクへのアクセス制御を前記プロセッサに実行させるファームウェアである、
情報処理装置。
前記第２プログラムと、前記デジタル署名と、が格納された書き換え可能な不揮発性の第３メモリをさらに備え、
前記プロセッサは、前記特定の条件が成立した場合に、前記第２プログラムと、前記デジタル署名と、を前記第３プログラムに従って前記第３メモリから前記第１メモリにロードする、
請求項１に記載の情報処理装置。
第１プログラムと、第２プログラムと、前記第２プログラムのデジタル署名と、がロードされる揮発性の第１メモリと、
第３プログラムおよび公開鍵が格納された書き換え不可能な不揮発性の第２メモリと、
前記第１プログラムの実行中に特定の条件が成立した場合に、前記デジタル署名と前記公開鍵とに基づく前記第２プログラムの検証を前記第２メモリに格納された前記第３プログラムに従って実行し、検証結果が合格である場合に、前記第１プログラムの解析を前記第２プログラムに従って実行し、前記検証結果が不合格である場合に、前記第１プログラムの解析を実行しない、プロセッサと、
を備え、
ホストが接続される第１インタフェースと、
調査コンピュータが接続される第２インタフェースと、
割り込みコントローラと、
をさらに備え、
前記割り込みコントローラは、前記調査コンピュータが前記第２インタフェースに接続されるに応じて割り込み要求を生成し、
前記特定の条件が成立することは、前記割り込み要求が生成されたことである、
情報処理装置。
前記第２プログラムと、前記デジタル署名と、が格納された書き換え可能な不揮発性の第３メモリをさらに備え、
前記プロセッサは、前記特定の条件が成立した場合に、前記第２プログラムと、前記デジタル署名と、を前記第３プログラムに従って前記第３メモリから前記第１メモリにロードする、
請求項３に記載の情報処理装置。
磁気ディスクをさらに備え、
前記第１プログラムは、ホストからの要求に応じた前記磁気ディスクへのアクセス制御を前記プロセッサに実行させるファームウェアである、
請求項３または４に記載の情報処理装置。
前記特定の条件は、予め設定された時間周期が経過することである、
請求項１または２に記載の情報処理装置。
前記特定の条件は、前記磁気ディスクへのアクセス量に関する条件である、
請求項１または２に記載の情報処理装置。
前記第２メモリには、前記第２メモリ内の前記第３プログラムの位置を示すアドレス値が格納され、
前記プロセッサは、前記特定の条件が成立した場合に、前記第２メモリに格納された前記アドレス値を参照することによって前記第３プログラムの位置を特定する、
請求項１から７の何れか一項に記載の情報処理装置。
前記第２メモリは、ＩＰＬ（Initial Program Loader）が先頭位置に格納された第１のバンクと、前記第３プログラムが先頭位置に格納された第２のバンクと、を備え、
前記プロセッサは、前記情報処理装置のパワーオン時には前記第１のバンクの先頭位置に格納された前記ＩＰＬに従って前記第１プログラムのロードを実行し、前記特定の条件が成立した場合には前記第２のバンクの先頭位置に格納された前記第３プログラムを実行するように構成されている、
請求項１から７の何れか一項に記載の情報処理装置。
請求項１から９の何れか一項に記載の情報処理装置を備えたストレージ。