JP7053700B2 - 暗号装置、及び、暗号装置のセルフテスト方法 - Google Patents

Description

本発明は、概して、暗号装置のセルフテストに関する。

暗号装置に関するセキュリティ要件が規定されており、セキュリティ要件を暗号装置が満たすことで当該暗号装置について認証が取得されることが知られている。取得され得る認証の一例として、ＦＩＰＳ（Federal Information Processing Standards）認証（例えば、ＦＩＰＳ １４０）がある。

ＦＩＰＳ１４０認証の取得のための一つのセキュリティ要件は、ＦＩＰＳ１４０認証要件となっているテストを暗号装置自らが行うこと、すなわち、ＦＩＰＳ１４０認証要件となっているセルフテスト（以下、ＦＩＰＳセルフテスト）を暗号装置が行うことである。

セルフテストに関する技術は、例えば特許文献１に開示されている。特許文献１に開示の半導体装置において、プログラマブルデバイスのテストを、プロセッシングデバイスが行い、メモリデバイスのテストを、プログラマブルデバイスに実現されたビルトインセルフテスト回路を用いてプロセッシングデバイスが行う。

特開2011-82566号公報

ＦＩＰＳ１４０認証要件となっているテストとして、暗号装置内で実行されるソフトウェア及びファームウェアのイメージデータを所定の要件に従って検証するためのテストがある。

また、ＦＩＰＳ１４０認証には、幾つかのレベルがある。レベルによって、暗号境界（セキュリティ要件を満たさなければいけない範囲）の大きさや、暗号境界内で満たさなければならない制約が異なる。ＦＩＰＳ１４０認証の取得のためには、ユーザ所望のレベルに対応した暗号境界に存在する各デバイスについて、ＦＩＰＳセルフテストが行われなければならない。

レベルが高くなると、暗号境界が大きくなり得る。例えば、ＦＩＰＳ１４０認証のレベルがレベル１であれば、暗号境界は、暗号装置の一部分でよいが、ＦＩＰＳ１４０認証のレベルがレベル２であれば、暗号境界は、暗号装置全体とされる。

暗号装置内の全てのデバイスが、ＦＩＰＳセルフテストを行う機能を有しているとは限らない。例えば、暗号装置ベンダとは異なるベンダにより提供され所定のソフトウェアを実行するデバイスが既に配置されている回路基板上に別のソフトウェアを実行する暗号モジュールを実現することで、暗号装置を実現する方法が考えられる。このような暗号装置において、回路基板における上述の既存デバイスが、当該既存デバイスが実行するソフトウェアの検証を含んだＦＩＰＳセルフテストを行う機能を有しているとは限らない。

特許文献１によれば、半導体装置において、プログラマブルデバイスのテスト及びメモリデバイスのテストをプロセッシングデバイスが行うが、特許文献１に開示の半導体装置は、別々のソフトウェアをそれぞれ実行する複数のデバイス（例えば、ソフトウェアＡを実行するデバイスＸと、ソフトウェアＡとは別のソフトウェアＢを実行するデバイスＹ）が混在する装置ではない。故に、特許文献１には、次の課題、すなわち、別々のソフトウェアをそれぞれ実行する複数のデバイスが装置に存在するがそのうちの一部のデバイスがＦＩＰＳセルフテスト機能（ソフトウェアのイメージデータを所定の要件に従って検証することを含んだＦＩＰＳセルフテストを行う機能）を有しない場合には当該装置を暗号境界とすることができない、という課題はない。従って、特許文献１を基に、当該課題を解決することはできない。

このような問題は、ＦＩＰＳ１４０認証以外の認証に関しても存在し得る。

暗号化対象のデータを受信し当該データを暗号化する暗号装置が、第１のソフトウェアのイメージデータが格納された第１の記憶領域と、第１のソフトウェアを実行することでデータを暗号化する暗号モジュールと、第２のソフトウェアのイメージデータが格納された第２の記憶領域と、第２のソフトウェアを実行することで所定の処理を実行するデバイスとを備える。暗号モジュールは、第１のソフトウェアのイメージデータについて、所定の認証要件を満たすための処理である第１の保証チェック処理を実行する。暗号モジュールは、第２のソフトウェアのイメージデータの少なくとも一部でありデバイスにより所定の要件を満たすための検証がされない検証対象について、所定の認証要件を満たすための処理である第２の保証チェック処理を実行する。

暗号モジュールが実行する第１のソフトウェアとは別の第２のソフトウェアを実行するデバイスが第２のソフトウェアのイメージデータの検証を含んだセルフテストを行う機能を有していなくても暗号装置全体を暗号境界とすることができる。

実施形態に係る暗号装置を有するストレージシステムを含んだシステム全体の構成を示す。 暗号装置の構成を示す。 ＰＣＩｅ－ＳＷのブートイメージ及びブートＣＲＣの構成を示す。 Ｐｏｗｅｒ－ｕｐテストの流れを示す。

以下、一実施形態を説明する。なお、以下の説明では、同種の要素を区別しないで説明する場合には、参照符号のうちの共通部分を使用し、同種の要素を区別する場合は、参照符号を使用することがある。例えば、ＰＣＩｅポートを区別しない場合には、「ＰＣＩｅポート４１１」と言い、ＰＣＩｅポートを区別する場合には、「ＰＣＩｅポート４１１Ａ」、「ＰＣＩｅポート４１１Ｂ」のように言うことがある。

図１は、実施形態に係る暗号装置を有するストレージシステムを含んだシステム全体の構成を示す。

ストレージシステム１１０が、複数（又は一つ）のＳＳＤ１１１と、ホストシステム１０１が接続されるＦＥ－ＩＦ（フロントエンドのインターフェース装置）１２１と、複数のＳＳＤ１１１が接続される暗号装置１２８と、ＦＥ－ＩＦ１２１及び暗号装置１２８に接続されたストレージコントローラ１１２とを有する。暗号装置１２８は、複数（又は一つ）のＳＳＤ１１１が接続されるＰＣＩｅ－ＳＷ１２２と、ＰＣＩｅ－ＳＷ１２２に接続された暗号モジュール１５０とを有する。ストレージコントローラ１１２は、主記憶メモリ１２３と、ＣＰＵ１２４とを有する。

ＳＳＤ１１１は、永続記憶デバイスの一例である。少なくとも一つのＳＳＤ１１１に代えて、他種の永続記憶デバイス（例えば、ＨＤＤ（Hard Disk Drive））が採用されてもよい。なお、「永続記憶デバイス」とは、典型的には、不揮発性の記憶デバイス（例えば補助記憶デバイス）でよい。

ＦＥ－ＩＦ１２１が、ホストシステム１０１からＩ／Ｏ要求（Input/Output）（例えば、ライト要求又はリード要求）を受信するいわゆるフロントエンドである。本実施形態では、ホストシステム１０１は、物理的な計算機システムであるが、ホストシステム１０１は、ストレージシステム１１０の中又は外の計算リソース群（複数種類の計算リソース）上で実現されるシステム（例えば、仮想マシン）でもよい。

暗号装置１２８は、本実施形態では、ＢＥ－ＩＦ（バックエンドのインターフェース装置）に相当する。暗号装置１２８は、複数（又は一つ）のＳＳＤ１１１が接続されるＰＣＩｅ－ＳＷ（ＰＣＩｅスイッチ）１２２と、ＰＣＩｅ－ＳＷ１２２に接続された暗号モジュール１５０とを有する。暗号モジュール１５０は、暗号モジュールメモリ１５１と、ＦＰＧＡ（Field-Programmable Gate Array）１５２とを有する。暗号モジュールメモリ１５１は、メモリの一例である。当該メモリは、揮発性メモリであっても不揮発性メモリであってもよい。ＦＰＧＡ１５２は、デバイスの一例である。ＦＰＧＡ１５２に代えて、ＡＳＩＣなどのプログラマブルでないデバイスが採用されてもよい。ＰＣＩｅ－ＳＷ１２２は、ＳＳＤ１１１と暗号モジュール１５０間のデータ転送と、暗号モジュール１５０とストレージコントローラ１１２間のデータ転送とを中継する。ＰＣＩｅ－ＳＷ１２２に代えて、他種のインターフェースデバイス、例えば、ＳＡＳ（Serial Attached SCSI）コントローラが採用されてもよい。

ストレージコントローラ１１２は、主記憶メモリ１２３と、ＣＰＵ１２４とを有する。主記憶メモリ１２３は、メモリの一例である。当該メモリは、揮発性メモリであっても不揮発性メモリであってもよい。ＣＰＵ１２４は、プロセッサの一例である。ＣＰＵ１２４には、ＦＥ－ＩＦ１２１、暗号装置１２８及び主記憶メモリ１２３が接続される。

ＣＰＵ１２４が、Ｉ／Ｏ要求に応答して、Ｉ／Ｏ対象のデータを、ＳＳＤ１１１に対して読み書きする。その際、ＣＰＵ１２４は、Ｉ／Ｏ対象のデータの暗号化又は復号を、暗号モジュール１５０に依頼する。暗号モジュール１５０が、当該依頼に応答して、Ｉ／Ｏ対象のデータを、暗号化又は復号する。

例えば、ＣＰＵ１２４が、暗号鍵を管理している。暗号鍵は、共通でもよいし、所定の単位毎に（例えば、ＣＰＵ１２４が提供する論理ボリューム毎に、論理ボリュームの論理アドレス範囲毎に、ＳＳＤ１１１毎に、又はＳＳＤ１１１の論理アドレス毎に）異なっていてもよい。暗号鍵は、主記憶メモリ１２３に格納されていてよい。Ｉ／Ｏ要求がライト要求の場合、例えば次のライト処理が行われる。すなわち、ＣＰＵ１２４が、ライト対象データ（平文）を主記憶メモリ１２３にキャッシュする。ＣＰＵ１２４が、暗号装置１２８に対し、主記憶メモリ１２３内のライト対象データ（平文）を暗号化して暗号モジュールメモリ１５１にライトすることを指定した暗号化指示を送信する。当該暗号化指示には、暗号化に用いられる暗号鍵がＣＰＵ１２４により関連付けられている。当該暗号化指示で指定されたライト対象データは、暗号装置１２８において、ＦＰＧＡ１５２が、当該暗号化指示に応答して、主記憶メモリ１２３から暗号モジュールメモリ１５１へ転送される過程で当該暗号化指示に関連付けられている暗号鍵を用いて暗号化され、暗号モジュールメモリ１５１にキャッシュされる。暗号化されたライト対象データ（暗号文）が、ＣＰＵ１２４、ＦＰＧＡ１５２及びライト先のＳＳＤ１１１のうちの少なくとも１つにより、ライト先のＳＳＤ１１１にライト（転送）される（例えば、当該暗号文が、ＣＰＵ１２４からのライト指示を受けたＳＳＤ１１１により、ライト先のＳＳＤ１１１にＤＭＡ転送される）。なお、ライト処理において、主記憶メモリ１２３から暗号モジュールメモリ１５１へのライト対象データ（平文）の転送と、暗号モジュールメモリ１５１からＳＳＤ１１１へのライト対象データ（暗号文）の転送とのうちの少なくとも一方は、ＤＭＡ（Direct Memory Access）転送でよい。ＦＰＧＡ１５２が、ＤＭＡコントローラとして機能してよい。例えば、ＣＰＵ１２４が、ライト指示において、暗号化の指定と、暗号化対象のデータがキャッシュされている領域のアドレスと、当該データの転送先のアドレス（暗号モジュールメモリ１５１のアドレス）とを指定してよい。主記憶メモリ１２３から暗号モジュールメモリ１５１へのデータ（平文）のＤＭＡ転送が、当該ライト指示に応答してＦＰＧＡ１５２により行われてよい。また、暗号モジュールメモリ１５１からＳＳＤ１１１へのデータ（暗号文）の転送が、ＦＰＧＡ１５２又はＳＳＤ１１１により行われてよい。

Ｉ／Ｏ要求がリード要求の場合、例えば次のリード処理が行われる。すなわち、ＣＰＵ１２４が、暗号装置１２８に対し、ＳＳＤ１１１からリード対象データ（暗号文）をリードすることを指定したリード指示を送信する。当該リード指示に応答して、ＣＰＵ１２４、ＦＰＧＡ１５２及びＳＳＤ１１１のうちのうちの少なくとも１つにより、ＳＳＤ１１１からリード対象データ（暗号文）が暗号モジュールメモリ１５１にリード（転送）される（例えば、当該暗号文が、ＣＰＵ１２４からのリード指示を受けたＳＳＤ１１１により、ライト先の暗号モジュールメモリ１５１にＤＭＡ転送される）。その後、ＣＰＵ１２４が暗号装置１２８に対し、暗号モジュールメモリ１５１に転送された暗号文の復号指示を送信する。当該復号指示には、復号に用いられる暗号鍵（すなわち、リード対象データの暗号化に用いられた暗号鍵）がＣＰＵ１２４により関連付けられている。ＦＰＧＡ１５２が、当該復号指示に関連付けられている暗号鍵を用いて、暗号モジュールメモリ１５１にキャッシュされたリード対象データ（暗号文）を復号する。ＦＰＧＡ１５２が、復号されたリード対象データ（平文）を、復号指示に対する応答として返す。返されたリード対象データ（平文）が、主記憶メモリ１２３にキャッシュされる。ＣＰＵ１２４が、主記憶メモリ１２３にキャッシュされたリード対象データ（平文）を、リード要求に対する応答として返す。このようなリード処理において、ＳＳＤ１１１から暗号モジュールメモリ１５１へのリード対象データ（暗号文）の転送と、暗号モジュールメモリ１５１から主記憶メモリ１２３へのリード対象データ（平文）の転送とのうちの少なくとも一方は、ＤＭＡ転送でよい。ＦＰＧＡ１５２が、ＤＭＡコントローラとして機能してよい。

このように、本実施形態では、ストレージシステム１１０は、Ｉ／Ｏ対象のデータを暗号化及び復号する暗号化機能を有している。

暗号化機能は、ＢＥ－ＩＦに相当する暗号装置１２８に代えて、ＳＳＤ１１１又はＣＰＵ１２４が持つことが考えられる。

しかし、ＳＳＤ１１１が暗号化機能を持つと、ＳＳＤ１１１内でデータの暗号化及び復号を行うため暗号鍵をＳＳＤ１１１が持つことになる。このため、ＳＳＤ１１１のみが暗号化機能を持つと、ＳＳＤ１１１が盗まれた場合、暗号鍵も一緒に盗まれてしまい、盗まれた暗号鍵を用いてデータの復号が可能となり、結果として、データの漏洩が懸念される。

また、ＣＰＵ１２４が暗号化機能を持つと、ＣＰＵ１２４の負荷が高くなり、結果として、Ｉ／Ｏ性能の低下が懸念される。

このような理由から、ＢＥ－ＩＦが暗号装置１２８であり暗号化機能を持つことに利点がある。

図２は、暗号装置１２８の構成を示す。

暗号装置１２８は、ＰＣＩｅ－ＳＷ１２２及び暗号モジュール１５０の他に、複数のＰＣＩｅポート４０１と、第１のフラッシュメモリ４０と、第２のフラッシュメモリ３０と、デバイスリセット線４５６とを有する。ＰＣＩｅ－ＳＷ１２２が、デバイスの一例である。ＰＣＩｅポート４０１が、装置ポートの一例である。第１のフラッシュメモリ４０が、第１の記憶領域の一例である。第２のフラッシュメモリ３０が、第２の記憶領域の一例である。第１の記憶領域及び第２の記憶領域は、同一のメモリ上にあってもよいし、別々のメモリ上にあってもよい。第１の記憶領域及び第２の記憶領域のいずれも、典型的には不揮発性の領域でよい。

ＰＣＩｅ－ＳＷ１２２は、複数のＰＣＩｅポート４１１（例えば、四つのＰＣＩｅポート４１１Ａ～４１１Ｄ）と、Ｉ２Ｃポート４１２（スレーブ）と、ブート制御部４３１と、ＰＳＷプロセッサ４２０とを有する。ＰＣＩｅポート４１１が、デバイスポートの一例である。ブート制御部４３１は、例えば、ハードウェア回路であってもよいしマイクロコンピュータであってもよい。ＰＳＷプロセッサ４２０は、ＰＣＩｅ－ＳＷ１２２が有するプロセッサ（例えば、ＣＰＵ（Central Processing Unit））である。

暗号モジュール１５０は、暗号モジュールメモリ１５１と、ＦＰＧＡ１５２とを有する。ＦＰＧＡ１５２は、ＰＣＩｅポート４９１と、Ｉ２Ｃポート４９２（マスタ）と、ブート制御部４７１と、ＦＰＧＡプロセッサ４５０と、リンク制御レジスタ４５５とを有する。ＰＣＩｅポート４９１が、モジュールポートの一例である。ブート制御部４７１は、例えば、ハードウェア回路であってもよいしマイクロコンピュータであってもよい。ＦＰＧＡプロセッサ４５０は、ＦＰＧＡ１５２が有するプロセッサ（例えば、ＣＰＵ）である。リンク制御レジスタ４５５は、ＰＣＩｅ－ＳＷ１２２と後述のアップストリームＰＣＩｅポート４０１Ｕ間をリンクアップの状態とするかリンクダウン（非リンクアップ）の状態とするかを表す値が設定されるレジスタである。

複数のＰＣＩｅポート４０１は、一つ以上（例えば一つ）のアップストリームＰＣＩｅポート４０１Ｕと、一つ以上（例えば二つ）のダウンストリームＰＣＩｅポート４０１Ｄとを含む。アップストリームＰＣＩｅポート４０１Ｕは、アップストリームの装置（本実施形態では、ストレージコントローラ１１２）に接続されるＰＣＩｅポート４０１である。ダウンストリームＰＣＩｅポート４０１Ｄは、ダウンストリームの装置（本実施形態では、ＳＳＤ１１１）に接続されるＰＣＩｅポート４０１である。

ＰＣＩｅ－ＳＷ１２２のＰＣＩｅポート４１１Ａ（ダウンストリームデバイスポートの一例）が、ダウンストリームＰＣＩｅポート４０１Ｄ１に接続されており、同様に、ＰＣＩｅ－ＳＷ１２２のＰＣＩｅポート４１１Ｂ（ダウンストリームデバイスポートの一例）が、ダウンストリームＰＣＩｅポート４０１Ｄ２に接続されている。ＰＣＩｅ－ＳＷ１２２のＰＣＩｅポート４１１Ｃ（アップストリームデバイスポートの一例）が、アップストリームＰＣＩｅポート４０１Ｕに接続されている。ＰＣＩｅ－ＳＷ１２２のＰＣＩｅポート４１１Ｄ（第１のデバイスポートの一例）が、ＦＰＧＡ１５２のＰＣＩｅポート４９１（第１のモジュールポートの一例）に接続されている。このような接続構成であるため、Ｉ／Ｏ対象のデータが、ＰＣＩｅ－ＳＷ１２２を経由して、ストレージコントローラ１１２の主記憶メモリ１２３と暗号モジュール１５０の暗号モジュールメモリ１５１間で転送されたり、暗号モジュール１５０の暗号モジュールメモリ１５１とＳＳＤ１１１間で転送されたりする。Ｉ／Ｏ対象のデータの暗号化又は復号が不要な場合は、Ｉ／Ｏ対象のデータが、ＰＣＩｅ－ＳＷ１２２を経由して（但し、暗号モジュール１５０を非経由で）、ストレージコントローラ１１２の主記憶メモリ１２３とＳＳＤ１１１間で転送されてよい。

第１のフラッシュメモリ４０は、コンフィグレーションデータ４２、ブートイメージ４３と、ブートＣＲＣ（Cyclic Redundancy Check）４４と、メインイメージ４５と、メインＣＲＣ４６とを格納する。コンフィグレーションデータ４２を基に、ＦＰＧＡ１５２が構成される。ブートイメージ４３は、ＦＰＧＡ１５２のブートＦＷ（ファームウェア）４５１のイメージデータである。ブートＣＲＣ４４は、ブートイメージ４３のＣＲＣコードである。ＦＰＧＡ１５２のメインイメージ４５は、メインＦＷ４５２のイメージデータである。メインＣＲＣ４６は、メインイメージ４５のＣＲＣコードである。ブートＦＷ４５１とメインＦＷ４５２の一方又は両方が、第１のソフトウェア（例えば、第１のＦＷ（ファームウェア））の一例である。ＣＲＣコードは、ＥＤＣ（Error Detection Code）の一例である。

ＦＰＧＡ１５２において、ブート制御部４７１が、コンフィグレーションデータ４２及びコンフィグレーションＣＲＣ（コンフィグレーションデータ４２のＣＲＣコード（図示せず））をロードし、コンフィグレーションＣＲＣを用いてコンフィグレーションデータ４２を検証する。コンフィグレーションデータ４２が正常であれば、コンフィグレーションデータ４２を基にＦＰＧＡ１５２が構築される。ブート制御部４７１が、ブートＣＲＣ４４及びブートイメージ４３をロードし、ブートＣＲＣ４４を用いてブートイメージ４３を検証する。ブートイメージ４３が正常であれば、ＦＰＧＡプロセッサ４５０が、ブートＦＷ４５１を実行する。ブートＦＷ４５１が、ＦＷロード部４６１を有する。ＦＷロード部４６１が、メインＣＲＣ４６及びメインイメージ４５をロードし、メインＣＲＣ４６を用いてメインイメージ４５を検証する。メインイメージ４５が正常であれば、ＦＰＧＡプロセッサ４５０が、メインＦＷ４５２を実行する。メインＦＷ４５２が、既知解テスト部４８１、ＥＤＣチェック部４８２及びリンク制御部４８３を有する。既知解テスト部４８１、ＥＤＣチェック部４８２及びリンク制御部４８３の各々については、後述する。

第２のフラッシュメモリ３０は、ブートイメージ３３と、ブートＣＲＣ３４と、メインイメージ３５と、メインＣＲＣ３６とを格納する。ブートイメージ３３は、ＰＣＩｅ－ＳＷ１２２のブートＦＷ４２１のイメージデータである。ブートＣＲＣ３４は、ブートイメージ３３のＣＲＣコードである。メインイメージ３５は、ＰＣＩｅ－ＳＷ１２２のメインＦＷ４２２のイメージデータである。メインＣＲＣ３６は、メインイメージ３５のＣＲＣコードである。ブートＦＷ４２１とメインＦＷ４２２の一方又は両方が、第２のソフトウェア（例えば、第２のＦＷ（ファームウェア））の一例である。本実施形態では、ブートＦＷ４２１が、第２のソフトウェアの一例である。

ＰＣＩｅ－ＳＷ１２２において、ブート制御部４３１が、ブートイメージ３３をＰＳＷプロセッサ４２０にロードする。これにより、ＰＳＷプロセッサ４２０が、ブートＦＷ４２１を実行する。ブートＦＷ４２１は、ＦＷロード部４４１を含む。ＦＷロード部４４１が、メインＣＲＣ３６及びメインイメージ３５をロードし、メインＣＲＣ３６を用いてメインイメージ３５を検証する。メインイメージ３５が正常であれば、ＰＳＷプロセッサ４２０が、メインＦＷ４２２を実行する。

ＰＣＩｅ－ＳＷ１２２の状態の一つとして、リセット状態がある。ＰＣＩｅ－ＳＷ１２２がリセット状態の場合、ＰＣＩｅポート４１１Ａ～４１１Ｃの少なくとも一つ、及び、ＰＣＩｅポート４１１Ｄの状態が、データ入出力が不可の状態である。具体的には、例えば、本実施形態では、ＰＣＩｅ－ＳＷ１２２がリセット状態であるとは、ＰＣＩｅポート４１１ＣとアップストリームＰＣＩｅポート４０１Ｕ間がリンクアップしていない状態を意味する。ＰＣＩｅポート４１１ＣとアップストリームＰＣＩｅポート４０１Ｕ間がリンクアップしていない状態では、ＰＣＩｅポート４１１Ａ、４１１Ｂ及び４１１Ｄのいずれについても通信が不可である。ＰＣＩｅポート４１１ＣとアップストリームＰＣＩｅポート４０１Ｕ間がリンクアップすると（すなわち、リセット状態が解除されると）、ＰＣＩｅポート４１１Ａ、４１１Ｂ及び４１１Ｄの各々についてデータ入出力が可能となる。なお、ＰＣＩｅポート４１１ＣとアップストリームＰＣＩｅポート４０１Ｕ間がリンクアップしていない状態では、ＰＣＩｅポート４１１Ｄについてデータ入出力は不可であるが、Ｉ２Ｃポート４１２についてデータ入出力は可である。

図２に例示の暗号装置１２８によれば、暗号装置１２８は以下のような構成となっている。

ＰＣＩｅ－ＳＷ１２２が搭載済みの既存の回路基板にＦＰＧＡ１５２を追加することで、暗号装置ベンダは、既存の回路基板を利用しないことに比べて、暗号装置１２８を容易に製造することができる。

また、暗号境界が小さい程（暗号境界に存在するコンポーネントの数が少ない程）、認証要件を満たすことが容易であると考えられる。

しかし、ＦＩＰＳ１４０認証のレベル２によれば、物理的な装置全体が、暗号境界となる。ＦＩＰＳ１４０認証のレベル２の要件に従う暗号境界を小さくするために暗号装置１２８を物理的に分離すること（具体的には、既存の回路基板を物理的に分離すること）は難しい。

そして、既存の回路基板におけるＰＣＩｅ－ＳＷ１２２は、ＰＣＩｅ－ＳＷ１２２にロードされるブートイメージ３３及びメインイメージ３５の少なくとも一部について、ＦＩＰＳ１４０認証のレベル２の要件を満たす検証を含んだＦＩＰＳセルフテストを行う機能を有していない。例えば、本実施形態では、ＰＣＩｅ－ＳＷ１２２は、ブートイメージ３３全体についてＦＩＰＳセルフテストを行う機能を有していない。

また、ＦＩＰＳ１４０認証のレベル２の要件によれば、ソフトウェアの検証を含んだＦＩＰＳセルフテストを行う主体は、当該ソフトウェアを実行するデバイスである必要はない。言い換えれば、当該ソフトウェアを実行するデバイス以外の要素が、当該ソフトウェアの検証を含んだＦＩＰＳセルフテストを行っても、ＦＩＰＳ１４０認証のレベル２の要件を満たすことができる。

そこで、本実施形態では、暗号モジュール１５０が、ブートイメージ３３の検証を実行する。ブートイメージ３３は、検証対象の一例、具体的には、例えば、ソフトウェアを実行するデバイスによって検証がされない、当該ソフトウェアのイメージデータ、の一例である。これにより、ＦＩＰＳセルフテストを行う機能を有していないＰＣＩｅ－ＳＷ１２２を備えた回路基板を含む暗号装置１２８全体を、暗号境界とすることができる。

具体的には、本実施形態では、ＰＣＩｅ－ＳＷ１２２が搭載済みの既存の回路基板に、コンフィグレーションデータ４２とメインイメージ４５とが追加されている。コンフィグレーションデータ４２がＦＰＧＡ１５２（プログラマブルデバイスの一例）にロードされることでＦＰＧＡ１５２が構築される。メインイメージ４５がＦＰＧＡ１５２に実行されることでメインＦＷ４５２が実現される。メインＦＷ４５２は、ブートイメージ３３の検証（第２の保証チェック処理の一例）を行う機能を有する。これにより、暗号モジュール１５０が、ブートイメージ３３の検証を実行でき、以って、ブートイメージ３３についてＦＩＰＳセルフテストを行う機能を有していないＰＣＩｅ－ＳＷ１２２を、暗号境界に含めることができる。なお、ＰＣＩｅ－ＳＷ１２２は、暗号装置１２８のベンダとは異なるベンダにより提供された製品の一例でよい。

本実施形態では、ブートイメージ３３の検証のために、ブートイメージ３３のＣＲＣコードであるブートＣＲＣ３４が、第２のフラッシュメモリ３０に追加される（ブートＣＲＣ３４は、第２のフラッシュメモリ３０以外の記憶領域（例えば、第１のフラッシュメモリ４０）に追加されてもよい）。ＥＤＣチェック部４８２が、ブートＣＲＣ３４及びブートイメージ３３を第２のフラッシュメモリ３０からリード（ロード）し、ブートＣＲＣ３４を用いてブートイメージ３３を検証する。具体的には、ＦＰＧＡ１５２において、ブートＦＷ４５１のＦＷロード部４６１が、メインＣＲＣ４６を用いてメインイメージ４５を検証すること（第１の保証チェック処理）を完了した後、メインＦＷ４５２のＥＤＣチェック部４８２が、ブートＣＲＣ３４を用いてブートイメージ３３を検証する。つまり、メインＦＷ４５２がＦＩＰＳセルフテストをパスした後、ＦＩＰＳセルフテストにパスしたメインＦＷ４５２が、ＰＣＩｅ－ＳＷ１２２のブートイメージ３３についてＦＩＰＳセルフテストを行う。このようにすることで、ＦＩＰＳ１４０認証のレベル２の要件を満たすための検証を効率的に行うことができる。なお、ブートＣＲＣ３４を用いてブートイメージ３３を検証すること（及び／又は、ＣＲＣを用いたその他の検証）は、暗号モジュール１５０のハードウェア回路により行われてもよい。

ＦＰＧＡ１５２について、ブートＣＲＣ４４は、ブートイメージ４３を基に算出されることが期待されるＣＲＣコードであり、メインＣＲＣ４６は、メインイメージ４５を基に算出されることが期待されるＣＲＣコードである。ブートイメージ４３の検証は、ブートイメージ４３を基に算出されたＣＲＣコードがブートＣＲＣ４４に適合するか否かのチェックを含む。メインイメージ４５の検証は、メインイメージ４５を基に算出されたＣＲＣコードがメインＣＲＣ４６に適合するか否かのチェックを含む。同様に、ＰＣＩｅ－ＳＷ１２２について、ブートＣＲＣ３４は、ブートイメージ３３を基に算出されることが期待されるＣＲＣコードである。ブートイメージ３３の検証は、ブートイメージ３３を基に算出されたＣＲＣコードがブートＣＲＣ３４に適合するか否かのチェックを含む。このようなブートＣＲＣ３４が、第２のフラッシュメモリ３０に追加される（第２のフラッシュメモリ３０に代えて第１のフラッシュメモリ４０に追加されてもよい）。このようにすることで、暗号モジュール１５０が、ＰＣＩｅ－ＳＷ１２２のブートイメージ３３の検証を行うことができる。

本実施形態では、図３に示すように、ブートイメージ３３が、複数のブートイメージ断片５０１で構成されている。そして、ブートＣＲＣ３４が、複数のブートイメージ断片５０１にそれぞれ対応した期待される複数のＣＲＣコード５０２で構成されている。すなわち、ブートイメージ断片５０１毎に、当該ブートイメージ断片５０１から算出されることが期待されるＣＲＣコード５０２が用意されている。ＣＲＣコード５０２は、第２の保証コードの一例である。ＦＰＧＡ１５２において、ＥＤＣチェック部４８２が、ブートイメージ断片５０１毎に、当該ブートイメージ断片５０１を基にＣＲＣコードを算出することと、当該ＣＲＣコードが当該ブートイメージ断片５０１に対応したＣＲＣコード５０２に適合するか否かをチェックすることとを実行する。このように、本実施形態では、ブートイメージ３３の検証において、ブートイメージ断片５０１毎に、検証が行われる。これにより、ブートイメージ３３の一部に異常がある場合、ブートイメージ３３全体について検証を行うこと無しに、当該異常を検出することができる。なお、複数のＣＲＣコード５０２の各々のサイズは、ＦＩＰＳ１４０認証のレベル２の要件で規定されているサイズ要件（１６ビット以上）を満たすサイズである。

また、ブートイメージ断片５０１毎の検証は、暗号モジュール１５０のリセットであるモジュールリセットから処理再開を短時間で行うことに貢献する。具体的には、例えば、ブートイメージ３３全体について検証が完了した後にモジュールリセットが実行された場合、ＦＩＰＳ１４０認証の要件によれば、ブートイメージ３３に関し再度検証が必要とされる。しかし、ブートイメージ３３の全体について検証は必要とされていない。そこで、本実施形態では、上述したように、ブートイメージ３３もブートＣＲＣ３４も断片化されている。モジュールリセットが実行された場合には、ＥＤＣチェック部４８２は、複数のブートイメージ断片５０１のうちの一部のブートイメージ断片５０１（例えば、先頭のブートイメージ断片５０１）について、ＣＲＣコードを算出することと、当該ＣＲＣコードが当該ブートイメージ断片５０１に対応したＣＲＣコード５０２に適合するか否かをチェックすることとを実行する。これにより、モジュールリセットから処理再開を短時間で行うことができる。

また、ブートイメージ断片５０１毎の検証は、ブートイメージ３３の検証の低速化を回避することに貢献する。具体的には、ＥＤＣチェック部４８２は、ブートイメージ３３及びブートＣＲＣ３４をＰＣＩｅ－ＳＷ１２２経由でリードするが、そのブートイメージ３３及びブートＣＲＣ３４をＰＣＩｅポート４９１経由でリードすることができない。なぜなら、ＦＩＰＳ１４０認証のレベル２の要件を考慮すると、ブートイメージ３３の検証が完了していない間は、ダウンストリームＰＣＩｅポート４０１Ｄ１及び４０１Ｄ２の状態をデータ入出力が不可の状態にする必要があり、そのために、本実施形態では、ブートイメージ３３の検証を含むＰｏｗｅｒ－ｕｐテスト（一連のテストの一例）が完了していない間は、アップストリームＰＣＩｅポート４０１ＵとＰＣＩｅポート４１１Ｃとの間がリンクアップしていない状態に維持され、結果として、ＰＣＩｅポート４１１Ｄの状態が、データ入出力が不可の状態となるからである。従って、ブートイメージ３３及びブートＣＲＣ３４のリードのために、ＰＣＩｅポート４９１とＰＣＩｅポート４１１Ｄ間のバスよりも低速のバス、具体的には、Ｉ２Ｃポート４９２及び４１２間のバスを使用しなければならない。そこで、本実施形態では、上述したように、ブートイメージ３３もブートＣＲＣ３４も断片化されている。ＥＤＣチェック部４８２は、ブートイメージ断片５０１毎に、ブートイメージ断片５０１及びＣＲＣコード５０２を、Ｉ２Ｃポート４９２及び４１２間のバス経由でリードする。これにより、ブートイメージ３３の検証の低速化を回避することができる。なお、「Ｐｏｗｅｒ－ｕｐテスト」とは、ＦＩＰＳ１４０認証の要件となっているテストのうちの一つである。暗号装置１２８は、Ｐｏｗｅｒ－ｕｐ時に本テストを自動実行しなければならない。

本実施形態では、ブートイメージ３３の検証が完了していない間はアップストリームＰＣＩｅポート４０１ＵとＰＣＩｅポート４１１Ｃとの間をリンクアップしていない状態に維持することを、暗号モジュール１５０が制御する。これにより、ブートイメージ３３の検証が完了していない間はダウンストリームＰＣＩｅポート４０１Ｄ１及び４０１Ｄ２の状態をデータ入出力が不可の状態に維持することができ、以って、ＦＩＰＳ１４０認証のレベル２の要件を満たすことに貢献できる。

具体的には、本実施形態では、リンク制御レジスタ４５５とデバイスリセット線４５６とが設けられる。リンク制御レジスタ４５５は、ＦＰＧＡ１５２に設けられる。リンク制御レジスタ４５５は、上述したように、リンクアップ値（リンクアップを意味する値）とリンクダウン値（リンクダウンを意味する値）のいずれかが設定されるレジスタである。デバイスリセット線４５６は、リンク制御レジスタ４５５から延びた信号線であり、アップストリームＰＣＩｅポート４０１Ｕが接続されるＰＣＩｅポート４１１Ｃに接続されている。デバイスリセット線４５６は、リンク制御レジスタ４５５に設定された値を意味する信号（ＰＣＩｅ－ＳＷ１２２のリセット状態が維持であるか解除であるかを表す信号の一例）が流れる信号線である。ＰＣＩｅ－ＳＷ１２２は、リンクダウン値を意味する信号がＰＣＩｅポート４１１Ｃに入力されている間、ＰＣＩｅポート４１１ＣとアップストリームＰＣＩｅポート４０１Ｕと間をリンクアップしないように構成されている。ＰＣＩｅ－ＳＷ１２２は、リンクアップ値を意味する信号がＰＣＩｅポート４１１Ｃに入力された場合に、ＰＣＩｅポート４１１ＣとアップストリームＰＣＩｅポート４０１Ｕと間をリンクアップするように構成されている。初期的には（例えば、ＦＰＧＡ１５２の起動時にＦＰＧＡ１５２（例えばブート制御部４７１）により）、リンク制御レジスタ４５５に、リンクダウン値が設定される。このため、ＰＣＩｅ－ＳＷ１２２のメインＦＷ４２２が開始可能な状態になっても、リンクダウン値を意味する信号がＰＣＩｅポート４１１Ｃに入力されている間、ＰＣＩｅポート４１１ＣとアップストリームＰＣＩｅポート４０１Ｕと間はリンクアップしない。別の言い方をすれば、暗号モジュール１５０が、Ｐｏｗｅｒ－ｕｐテストが完了するまで、デバイスリセット線４５６を介して、ＰＣＩｅポート４１１ＣとアップストリームＰＣＩｅポート４０１Ｕ間がリンクアップしない状態を維持する。具体的には、リンク制御部４８３が、Ｐｏｗｅｒ－ｕｐテストが完了するまで、リンク制御レジスタ４５５の値をリンクダウン値に維持する。このようにして、Ｐｏｗｅｒ－ｕｐテストが完了するまで、暗号モジュール１５０がＰＣＩｅポート４１１ＣとアップストリームＰＣＩｅポート４０１Ｕ間がリンクアップしない状態を維持でき、以って、ＦＩＰＳ１４０認証のレベル２の要件を満たすことに貢献できる。Ｐｏｗｅｒ－ｕｐテストが完了した場合、リンク制御部４８３が、リンク制御レジスタ４５５の値をリンクアップ値に変更する。

図４は、Ｐｏｗｅｒ－ｕｐテストの流れを示す。

Ｐｏｗｅｒ－ｕｐテストが開始されると、ＰＣＩｅ－ＳＷ１２２とＦＰＧＡ１５２が並行して起動する。

ＰＣＩｅ－ＳＷ１２２の起動については、次の通りである。すなわち、ブート制御部４３１が、ブートイメージ３３をＰＳＷプロセッサ４２０にロードする（Ｓ６０１）。これにより、ＰＳＷプロセッサ４２０がブートＦＷ４２１を開始する。ブートＦＷ４２１のＦＷロード部４４１が、メインＣＲＣ３６及びメインイメージ３５を第２のフラッシュメモリ３０からロードし、メインＣＲＣ３６を用いてメインイメージ３５を検証する。メインイメージ３５が正常であれば、ＰＳＷプロセッサ４２０において、ブートＦＷ４２１が終了し、メインＦＷ４２２が開始する。メインＦＷ４２２が開始の状態となっても、ＰＣＩｅポート４１１ＣとアップストリームＰＣＩｅポート４０１Ｕ間はリンクアップしない。ＰＣＩｅ－ＳＷ１２２と並行して起動したＦＰＧＡ１５２によりリンク制御レジスタ４５５にリンクダウン値が設定される（ＰＣＩｅ－ＳＷ１２２のリセット状態が維持される）からである。

ＦＰＧＡ１５２の起動については、以下の通りである。

すなわち、リンク制御レジスタ４５５の初期値をリンクダウン値に設定することでＰＣＩｅ－ＳＷ１２２をリセット状態に維持する。ブート制御部４７１が、コンフィグレーションデータ４２及び上述のコンフィグレーションＣＲＣをロードし、コンフィグレーションＣＲＣを用いてコンフィグレーションデータ４２を検証する（Ｓ６１１）。コンフィグレーションデータ４２が正常であれば、コンフィグレーションデータ４２を基にＦＰＧＡ１５２が構築される。ブート制御部４７１が、ブートＣＲＣ４４及びブートイメージ４３をロードし、ブートＣＲＣ４４を用いてブートイメージ４３を検証する（Ｓ６１２）。ブートイメージ４３が正常であれば、ＦＰＧＡプロセッサ４５０において、ブートＦＷ４５１が開始する。ブートＦＷ４５１のＦＷロード部４６１が、メインＣＲＣ４６及びメインイメージ４５をロードし、メインＣＲＣ４６を用いてメインイメージ４５を検証する（Ｓ６１３）。メインイメージ４５が正常であれば、ＦＰＧＡプロセッサ４５０において、ブートＦＷ４５１が終了し、メインＦＷ４５２が開始する。

メインＦＷ４５２の既知解テスト部４８１が、既知解テスト（例えば、暗号アルゴリズムに対し或る入力がされると期待通りの出力が得られるか否かのテスト）を行う。なお、上述したモジュールリセットがされ処理が再開される場合、既知解テストから開始されてよい。

既知解テストが完了すると、ＥＤＣチェック部４８２が、ブートイメージ断片５０１毎に、当該ブートイメージ断片５０１を基にＣＲＣコードを算出することと、当該ＣＲＣコードが当該ブートイメージ断片５０１に対応したＣＲＣコード５０２に適合するか否かをチェックすることとを実行する。具体的には、例えば、以下の通りである。
（Ｓ６２１）ＥＤＣチェック部４８２が、未リードのＣＲＣコード５０２のうちのいずれかのＣＲＣコード５０２（例えば、先頭のＣＲＣコード５０２）のリード要求を第２のフラッシュメモリ３０に送信する。
（Ｓ６２２）Ｓ６２１で送信されたリード要求に応答して、ＥＤＣチェック部４８２が、当該リード要求に従うＣＲＣコード５０２を受信する。
（Ｓ６２３）ＥＤＣチェック部４８２が、未リードのブートイメージ断片５０１のうちのいずれかのブートイメージ断片５０１（例えば、先頭のブートイメージ断片５０１）のリード要求を第２のフラッシュメモリ３０に送信する。
（Ｓ６２４）Ｓ６２３で送信されたリード要求に応答して、ＥＤＣチェック部４８２が、当該リード要求に従うブートイメージ断片５０１を受信する。
（Ｓ６２５）ＥＤＣチェック部４８２が、Ｓ６２４で受信したブートイメージ断片５０１を基にＣＲＣコードを算出し、当該ＣＲＣコードがＳ６２２で受信したＣＲＣコード５０２に適合するか否かをチェックする。

Ｓ６２５のチェックの結果が否定の場合、Ｐｏｗｅｒ－ｕｐテストが中止する（異常終了する）。ブートイメージ３３の検証に限らず、Ｐｏｗｅｒ－ｕｐテストにおけるいずれの検証（メインイメージ３５の検証、ブートイメージ４３の検証、又は、メインイメージ４５の検証）において否定的な結果が得られても、Ｐｏｗｅｒ－ｕｐテストが中止する。

Ｓ６２５のチェックの結果が肯定であり、且つ、未リードのＣＲＣコード５０２が有れば、Ｓ６２１に処理が戻る。

Ｓ６２５のチェックの結果が肯定であり、且つ、未リードのＣＲＣコード５０２が無ければ、Ｐｏｗｅｒ－ｕｐテストが終了する（正常終了する）。

その後、リンク制御部４８３が、ＰＣＩｅ－ＳＷ１２２のリセット状態を解除する（Ｓ６２６）。具体的には、リンク制御部４８３が、リンク制御レジスタ４５５に設定されている値を、リンクアップ値に変更する。

以上、一実施形態を説明したが、これは本発明の説明のための例示であって、本発明の範囲をこの実施形態にのみ限定する趣旨ではない。本発明は、他の種々の形態でも実行することが可能である。例えば、本発明は、ＦＩＰＳ１４０認証以外の認証の取得についても適用できる。

１２８：暗号装置、１２２：ＰＣＩｅ－ＳＷ、１５０：暗号モジュール

Claims (10)

1. 暗号化対象のデータを受信し当該データを暗号化する暗号装置であって、
   第１のソフトウェアのイメージデータが格納された第１の記憶領域と、
   前記第１のソフトウェアを実行することでデータを暗号化する暗号モジュールと、
   第２のソフトウェアのイメージデータが格納された第２の記憶領域と、
   前記第２のソフトウェアを実行することで所定の処理を実行するデバイスと
   を備え、
   前記暗号モジュールは、前記第１のソフトウェアのイメージデータについて、所定の認証要件を満たすための処理である第１の保証チェック処理を実行し、
   前記暗号モジュールは、前記第２のソフトウェアのイメージデータの少なくとも一部であり前記デバイスにより前記所定の認証要件を満たすための検証がされない検証対象について、前記所定の認証要件を満たすための処理である第２の保証チェック処理を実行する、
   暗号装置。
2. 前記第１の保証チェック処理の実行が完了した後、前記暗号モジュールが、前記第２の保証チェック処理を実行する、
   請求項１に記載の暗号装置。
3. 前記第１の記憶領域が、前記第１のソフトウェアのイメージデータを基に算出されることが期待される第１の保証データを格納しており、
   前記第１の保証チェック処理は、前記第１のソフトウェアのイメージデータを基に保証データを算出することと、当該保証データが前記第１の保証データに適合するか否かをチェックすることとを含み、
   前記第２の保証チェック処理は、前記検証対象を基に保証データを算出することと、当該保証データが前記検証対象を基に算出されることが期待される第２の保証データに適合するか否かをチェックすることとを含み、
   前記第１の記憶領域又は前記第２の記憶領域に、前記第２の保証データが格納される、
   請求項１に記載の暗号装置。
4. 前記検証対象が、複数の検証対象断片で構成されており、
   前記第２の保証データが、前記複数の検証対象断片にそれぞれ対応した期待される複数の第２の保証コードで構成されており、
   前記暗号モジュールが、前記第２の保証チェック処理において、検証対象断片毎に、当該検証対象断片を基に保証コードを算出することと、当該保証コードが当該検証対象断片に対応した第２の保証コードに適合するか否かをチェックすることとを実行し、
   前記複数の第２の保証コードの各々のサイズは、前記所定の認証要件で規定されているサイズ要件を満たすサイズである、
   請求項３に記載の暗号装置。
5. 前記検証対象の全体について前記第２の保証チェック処理の実行が完了した後、前記暗号モジュールのリセットであるモジュールリセットが実行された場合、前記認証要件を満たすための処理として、前記暗号モジュールは、前記複数の検証対象断片のうちの一部の検証対象断片について、保証コードを算出することと、当該保証コードが当該検証対象断片に対応した第２の保証コードに適合するか否かをチェックすることとを実行する、
   請求項４に記載の暗号装置。
6. 前記デバイスが、第１のバスに接続されたポートである第１のデバイスポートと、前記第１のバスよりも低速の第２のバスに接続されたポートである第２のデバイスポートとを有し、
   前記暗号モジュールが、前記第１のバスに接続されたポートである第１のモジュールポートと、前記第２のバスに接続されたポートである第２のモジュールポートとを有し、
   前記第２の保証チェック処理の実行が完了していない場合、前記第１のデバイスポートの状態は、データ入出力が不可の状態であるが、前記第２のデバイスポートの状態は、データ入出力が可の状態であり、
   前記暗号モジュールは、前記第２の保証チェック処理において、検証対象断片毎に、検証対象断片及び第２の保証コードを前記第２のバス経由でリードする、
   請求項４に記載の暗号装置。
7. アップストリームのポートであるアップストリーム装置ポートと、
   ダウンストリームのポートであるダウンストリーム装置ポートと
   を有し、
   前記デバイスが、前記アップストリーム装置ポートが接続されているバスに接続されるポートであるアップストリームデバイスポートと、前記ダウンストリーム装置ポートが接続されているバスに接続されるポートであるダウンストリームデバイスポートとを有し、
   前記デバイスがリセット状態の場合、前記アップストリームデバイスポートと前記ダウンストリームデバイスポートとの少なくとも一方の状態が、データ入出力が不可の状態であり、
   前記デバイスのリセット状態が解除されている場合、前記アップストリームデバイスポートと前記ダウンストリームデバイスポートとの両方の状態が、データ入出力が可の状態に遷移可能であり、
   前記暗号モジュールが、前記第２の保証チェック処理を含む一連のテストが完了するまで、前記デバイスのリセット状態を維持する、
   請求項１に記載の暗号装置。
8. 前記デバイスのリセット状態が維持であるか解除であるかを表す信号が流れる信号線であり前記暗号モジュールと前記デバイス間を結ぶ信号線であるデバイスリセット線を有し、
   前記暗号モジュールが、前記一連のテストが完了するまで、前記デバイスリセット線を介して前記デバイスのリセット状態を維持する、
   請求項７に記載の暗号装置。
9. 所定の認証要件は、ＦＩＰＳ１４０認証のレベル２の要件であり、
   前記デバイスが搭載済みの既存の回路基板に、プログラマブルデバイスにロードされるコンフィグレーションデータと、当該コンフィグレーションデータがロードされたプログラマブルデバイスに実行されることで前記第２の保証チェック処理を行う前記第１のソフトウェアのイメージデータとが追加されている、
   請求項１に記載の暗号装置。
10. 永続記憶デバイスと、
    ストレージコントローラと、
    前記永続記憶デバイスと前記ストレージコントローラとに接続された請求項１に記載の暗号装置と
    を備え、
    前記ストレージコントローラが、前記永続記憶デバイスへのライト対象のデータと、当該データの暗号鍵とを送信し、
    前記暗号装置が、前記データと前記暗号鍵とを受信し、当該暗号鍵を用いて当該データを暗号化し、
    当該暗号化されたデータが、前記永続記憶デバイスに転送される、
    ストレージシステム。

Images