JP7826705B2 - 生成装置、生成方法、生成プログラム、および更新システム - Google Patents

Description

本発明は、生成装置、生成方法、生成プログラム、および更新システムに関する。

例えば、車両に搭載された機器を制御する電子制御ユニット（ＥＣＵ：Electronic Control Unit）などの組み込み機器のファームウェア（ＦＷ：firmware）が更新されることがある。こうした場合、ファームウェアには、配布前に事前に動作検証などの検査が行われており、更新対象の装置に導入した際に正常に動作することの確認が行われている。

これに関し、ファームウェアの更新に関連する技術が知られている（例えば、特許文献１から特許文献４）。

特開２０２０－１７３８３２号公報 特開２０１７－１７３８９３号公報 特開２０１５－９７０２２号公報 特開２０２１－１２１９６３号公報

しかしながら、ファームウェアの更新の際に、ファームウェアを提供する機器ベンダにおいて更新に用いるファームウェアにどのような検査がされたのかが、ファームウェアの提供を受ける顧客には分からないことがある。そのため、顧客は、更新を適用してよいのかの判断が難しいことがある。

本発明は係る点に鑑みてなされたものであり、更新に用いるファームウェアの検査結果を、真正性を保証して提供することを可能にする生成装置、生成方法、生成プログラム、および更新システムを提供することを目的とする。

本発明の一つの態様の生成装置は、検査ベンダの秘密鍵を備えた検査ソフトウェアの実行によりファームウェアを機器に適用して検査する検査部であって、検査対象としたファームウェアを示す検査対象情報と、ファームウェアを検査した検査結果とを生成し、検査対象情報および検査結果に基づくデータに検査ベンダの秘密鍵で電子署名した検査結果署名と、検査対象情報と、検査結果とを含む検査情報を生成する、検査部と、ファームウェアに関する情報と、検査情報とに基づくデータに機器を提供する機器ベンダの秘密鍵で電子署名したレポート署名と、検査情報とを含むレポート情報を生成する生成部と、を含む。

更新に用いるファームウェアの検査結果を、真正性を保証して提供することを可能にする。

実施形態に係る更新システムを例示する図である。 実施形態に係る生成装置の機能ブロック構成を例示する図である。 実施形態に係るローダの機能ブロック構成を例示する図である。 実施形態に係るレポート情報を例示する図である。 実施形態に係るレポート情報の生成処理の動作フローを例示する図である。 実施形態に係る検査ソフトウェアの実行により行うファームウェアの検査処理の動作フローを例示する図である。 実施形態に係る検査結果を例示する図である。 実施形態に係るファームウェアの更新処理の動作フローを例示する図である。 実施形態に係る表示画面を例示する図である。 実施形態に係るコンピュータのハードウェア構成を例示する図である。

以下、図面を参照しながら、本発明のいくつかの実施形態について詳細に説明する。なお、複数の図面において対応する要素には同一の符号を付す。

例えば、機器ベンダが、提供している機器に対する更新用のファームウェアを配布することがある。この場合に、更新用のファームウェアを配布する前に、そのファームウェアに動作検証などの検査を実行し、検査が正常に成功した場合に、ファームウェアが検査済みであることを示す情報を、ファームウェアとともに提供することが考えられる。それにより、例えば、顧客は更新用のファームウェアが検査済みであることを知ることができる。

しかしながら、ファームウェアが検査済みであることを示す情報だけでは、検査結果が含まれていないため、更新用のファームウェアに対して実行された検査内容までは分からない。そのため、例えば、機器ベンダが検査結果を隠して虚偽の検査済みの情報を提供していたとしても、顧客は気づくことができず、ファームウェアの更新を実行してしまうことあがる。そのため、例えば、ファームウェアの提供を受ける顧客が、ファームウェアの更新の際に、ファームウェアにどのような検査が実行されているのかを確認することのできる技術の提供が望まれている。

以下、実施形態を更に詳細に説明する。

図１は、実施形態に係る更新システム１００を例示する図である。図１において更新システム１００は、例えば、生成装置１０１、配布サーバ１０２、検査対象機器１０３、ローダ１０４、および更新対象機器１０５を含む。生成装置１０１、配布サーバ１０２、およびローダ１０４は、例えば、サーバ、パーソナルコンピュータ（ＰＣ）、モバイルＰＣ、タブレット端末などのコンピュータである。

また、生成装置１０１、配布サーバ１０２、検査対象機器１０３は、例えば、更新用のファームウェアを配布する機器ベンダが利用する装置である。生成装置１０１は、例えば、有線、無線、またはネットワークを介して配布サーバ１０２および検査対象機器１０３と通信可能に接続されている。

ローダ１０４および更新対象機器１０５は、例えば、顧客が利用する装置である。ローダ１０４は、例えば、配布サーバ１０２および更新対象機器１０５と、有線、無線、またはネットワークを介して通信可能に接続されている。

生成装置１０１は、例えば、更新用のファームウェアの検査を実行し、検査についてのレポート情報４００を生成する装置である。なお、レポート情報４００の詳細については後述する。生成装置１０１は、例えば、更新用のファームウェアを検査するための検査ソフトウェア１１０を備える。

検査ソフトウェア１１０は、例えば、ファームウェアが導入されている機器の性能などを検査するサービスを行う検査ベンダが、ファームウェアの検査のために提供しているソフトウェアである。検査ソフトウェア１１０は、例えば、内部に検査ベンダの秘密鍵を備えている。そのため、検査ソフトウェア１１０は、例えば、ファームウェアの検査を実行した後、検査結果に検査ベンダの秘密鍵で電子署名を行うことができる。なお、検査ソフトウェア１１０の内部の検査ベンダの秘密鍵は、例えば、機器ベンダが取り出すことができないように構成されていてよい。また、検査ソフトウェア１１０は、例えば、機器ベンダが改造できないように構成されていてよい。検査ソフトウェア１１０が、検査結果に検査ベンダの秘密鍵で電子署名を行うことで、検査結果に示される検査を検査ソフトウェア１１０が実行したことの真正性を証明することができる。

また、生成装置１０１は、例えば、レポート情報４００を生成するためのソフトウェアと、機器ベンダの秘密鍵とを備えている。

生成装置１０１は、例えば、更新用のファームウェアの入力を受けると、検査ソフトウェア１１０を実行してファームウェアを検査し、その検査結果を含むレポート情報４００を生成する。そして、生成装置１０１は、生成したレポート情報４００を配布サーバ１０２に格納する。

配布サーバ１０２は、例えば、顧客のローダ１０４などの外部の装置からアクセスできるコンピュータであり、クラウドなどに設置されている。配布サーバ１０２は、例えば、生成装置１０１が生成したレポート情報４００と、更新用のファームウェアとを記憶しており、アクセスしてきた外部の装置に提供する。

検査対象機器１０３は、例えば、機器ベンダの開発現場などで更新用のファームウェアの検査を行うために、更新用のファームウェアを動作させる機器である。検査対象機器１０３は、例えば、電子制御ユニット、インバータ、およびコントローラなどのファームウェアが動作する様々な組み込み機器を含む。

ローダ１０４は、例えば、機器ベンダの公開鍵と、検査ベンダの公開鍵、更新対象機器１０５のファームウェアを更新させるための更新ソフトウェアとを導入したコンピュータである。

ローダ１０４は、例えば、配布サーバ１０２から更新用のファームウェアと、レポート情報４００とを取得する。そして、ローダ１０４は、レポート情報４００の真正性の検査を実行する。また、ローダ１０４は、例えば、表示装置の表示画面に検査結果を表示したり、更新ソフトウェアを実行してファームウェアを更新対象機器１０５に書き込み、ファームウェアの更新を実行したりする。

更新対象機器１０５は、例えば、ファームウェアが動作する顧客が利用している機器である。更新対象機器１０５は、ファームウェアの更新時にはローダ１０４に接続される。更新対象機器１０５は、例えば、検査対象機器１０３と同じファームウェアが動作する機器であり、一例では同じ種別の機器である。更新対象機器１０５は、例えば、電子制御ユニット、インバータ、およびコントローラなどのファームウェアが動作する様々な組み込み機器を含む。

図２は、実施形態に係る生成装置１０１の機能ブロック構成を例示する図である。生成装置１０１は、例えば、制御部２０１、記憶部２０２、および通信部２０３を含む。制御部２０１は、例えば検査部２１１、生成部２１２などを含み、またその他の機能部を含んでもよい。また、検査部２１１は、例えば、記憶部２０２に記憶されている検査ソフトウェア１１０のプログラムを実行して、検査ソフトウェア１１０を動作させる。生成装置１０１の記憶部２０２は、例えば、検査ソフトウェア１１０のプログラム、およびレポート情報４００、検査結果７００などの情報を記憶している。通信部２０３は、例えば、制御部２０１の指示に従って配布サーバ１０２および検査対象機器１０３などの他の装置と通信する。これらの各部の詳細および記憶部２０２に格納されている情報の詳細については後述する。

図３は、実施形態に係るローダ１０４の機能ブロック構成を例示する図である。ローダ１０４は、例えば、制御部３０１、記憶部３０２、および通信部３０３を含む。制御部３０１は、例えば、ローダ１０４の各部を制御する。ローダ１０４の記憶部３０２は、例えば、ファームウェア、レポート情報４００、検査ベンダの公開鍵、および機器ベンダ公開鍵などの情報を記憶している。通信部３０３は、例えば、制御部３０１の指示に従って配布サーバ１０２および更新対象機器１０５などの他の装置と通信する。これらの各部の詳細および記憶部３０２に格納されている情報の詳細については後述する。

続いて、実施形態に係る顧客に通知されるレポート情報４００の例を説明する。図４は、実施形態に係るレポート情報４００を例示する図である。レポート情報４００は、例えば、ファームウェア情報（ＦＷ情報）、検査情報、およびレポート署名を含む。

ファームウェア情報には、例えば、検査対象のファームウェアに関する情報が登録されている。図４の例ではファームウェア情報は、ファームウェアのバージョンと、ファームウェアのハッシュ値と、ファームウェアのファイルサイズとを含む。ファームウェアのハッシュ値は、例えば、ファームウェアのデータの全体から生成したハッシュ値である。ファームウェア情報は、例えば、レポート情報４００と検査対象のファームウェアとを対応づけて、確認するために用いられる。なお、ハッシュ値は、例えば、一般的なハッシュの生成技術を用いて生成されてよい。一例では、制御部２０１は、データを所定のハッシュ関数に入力することで、ハッシュ値を生成する。

検査情報は、例えば、検査対象情報、検査結果、および検査結果署名を含む。検査対象情報は、例えば、検査対象としたファームウェアを示す情報である。検査対象情報は、例えば、ファームウェアの一部分のデータを指定する指定情報と、指定情報で指定される一部分のデータのハッシュ値とを含む。図４の例では指定情報として、検査対象となったファームウェアのデータの所定領域を指定するハッシュ取得範囲が示されている。ハッシュ取得範囲は、例えば、ハッシュを取得した部分の領域を示す開始オフセットおよび終了オフセットなどの情報である。

なお、指定情報は、例えば、ファームウェアのデータの任意の領域を指定する。一例では、ハッシュ指定情報が指定するファームウェアのデータの領域は、ランダムに決定される。検査ソフトウェア１１０が、指定情報を随時決定することで、レポート情報４００の検査情報を偽装することを難しくすることができる。

検査結果は、例えば、検査ソフトウェア１１０が実行したファームウェアの検査の結果を示す情報である。検査結果は、例えば、テキストおよびＨＴＭＬ（HyperText Markup Language）のデータまたはファイルとして埋め込まれる。検査結果署名は、例えば、検査ソフトウェア１１０が検査対象情報および検査結果が改ざんされていないことを、検査ソフトウェア１１０を提供する検査ベンダが証明するための署名データである。例えば、検査結果署名は、検査ソフトウェア１１０の内部に備えられている検査ベンダの秘密鍵で、検査対象情報および検査結果を結合して得たデータのハッシュ値に署名したデータである。

レポート署名は、例えば、ファームウェア情報および検査情報に改ざんが行われていないことを機器ベンダが証明するための署名データである。レポート署名は、例えば、生成装置１０１が備えている機器ベンダの秘密鍵で、ファームウェア情報および検査情報を結合して得たデータのハッシュ値に署名したデータである。

続いて、実施形態に係るレポート情報４００の生成について説明する。図５は、実施形態に係るレポート情報４００の生成処理の動作フローを例示する図である。例えば、生成装置１０１の制御部２０１は、ファームウェアの検査指示が入力されると、図５の動作フローを開始する。一例では、図５の動作フローは、更新するファームウェアを配布するために配布サーバ１０２に格納する際に実行される。

ステップ５０１（以降、ステップを“Ｓ”と記載し、例えば、Ｓ５０１と表記する）において制御部２０１は、検査対象として指定されたファームウェアを、検査ソフトウェア１１０に入力し、検査ソフトウェア１１０に検査対象のファームウェアの検査処理を指示する。

Ｓ５０２において制御部２０１は、検査ソフトウェア１１０を実行してファームウェアの検査処理を実行する。

図６は、制御部２０１が、検査ソフトウェア１１０の実行により行うファームウェアの検査処理の動作フローを例示する図である。制御部２０１により実行される検査ソフトウェア１１０は、例えば、検査対象のファームウェアの検査処理の実行指示が入力されると、図６の動作フローを開始する。なお、以下の図６の動作フローにおいて検査ソフトウェア１１０が実行する動作は、制御部２０１が検査ソフトウェア１１０を実行することで実行される。

Ｓ６０１において検査ソフトウェア１１０は、レポート情報４００の検査対象情報を生成する。例えば、検査ソフトウェア１１０は、検査対象のファームウェアの任意の一部分のハッシュ値を取得する。そして、検査ソフトウェア１１０は、例えば、ハッシュを取得した一部分の領域を示す指定情報（例えば、開始オフセットおよび終了オフセット）とそのハッシュ値とを組にした情報を検査対象情報として生成する。

Ｓ６０２において検査ソフトウェア１１０は、検査対象のファームウェアを検査対象機器１０３に送信し、検査対象機器１０３を検査して、検査結果を出力する。なお、検査は、例えば、ファームウェアの既存の検査ソフトウェアで実行する場合と同様に実行することができる。例えば、検査ソフトウェア１１０は、異常を引き起こす通信メッセージを検査対象のファームウェアが動作する検査対象機器１０３に送信し、検査対象機器１０３からの応答を確認することで検査を実施する。

Ｓ６０３において検査ソフトウェア１１０は、例えば、実施した検査の結果を、テキストまたはＨＴＭＬなどのファイル形式で検査結果として生成する。

Ｓ６０４において検査ソフトウェア１１０は、例えば、検査対象情報、検査結果、および検査結果署名を含む検査情報を生成して出力し、本動作フローは終了し、フローはＳ５０３に進む。なお、検査ソフトウェア１１０は、例えば、検査ベンダの秘密鍵により検査結果または検査結果のハッシュ値に電子署名を行って検査結果署名を取得する。検査結果署名は、例えば、検査結果が確かに検査ソフトウェア１１０の出力であることを証明する情報であり、検査対象情報、検査結果に検査ベンダの秘密鍵で署名を行い、得られたデータである。

Ｓ５０３において制御部２０１は、レポート情報４００のファームウェア情報を生成する。制御部２０１は、例えば、検査対象のファームウェアに格納されているバージョン情報と、ファームウェアのファイルサイズ、およびファームウェアのハッシュ値とを含む。なお、ファームウェアのハッシュ値は、例えば、ファームウェアの全体から生成したハッシュ値である。

Ｓ５０４において制御部２０１は、レポート署名を生成する。例えば、制御部２０１は、検査ソフトウェア１１０から受け取った検査情報と、Ｓ５０４で取得したファームウェア情報とを結合して得たデータのハッシュ値に、機器ベンダの秘密鍵で署名を行い、レポート署名を生成する。

Ｓ５０５において制御部２０１は、検査情報と、ファームウェア情報と、レポート署名とを含むレポート情報４００を生成する。

Ｓ５０６において制御部２０１は、更新用のファームウェアと、そのファームウェアに対して生成したレポート情報４００とを配布サーバ１０２に格納し、本動作フローは終了する。例えば、制御部２０１は、更新用のファームウェアと、そのファームウェアに対して生成したレポート情報４００を配布サーバ１０２に送信し、配布サーバ１０２の記憶装置に記憶させる。

なお、配布サーバ１０２は、更新用のファームウェアとレポート情報４００とを受信すると、更新用のファームウェアとレポート情報４００とを記憶装置における外部からアクセス可能な記憶領域に格納する。例えば、配布サーバ１０２は、レポート情報４００に格納されているファームウェア情報と同様のファームウェア情報を、ファームウェアと、レポート情報４００の格納先を示す情報と結合してファームウェアパッケージとして格納する。そして、制御部２０１は、例えば、ファームウェアパッケージを外部からアクセス可能な記憶領域に格納する。また、別の実施形態では制御部２０１は、例えば、更新用のファームウェアとレポート情報４００とをパッケージとして、外部からアクセス可能な記憶領域に格納する。

以上で述べたように、実施形態によれば、検査ソフトウェア１１０が備える検査ベンダの秘密鍵を用いて機器ベンダが改ざんできない検査結果を含むレポート情報４００を生成し、配布サーバ１０２から配布することができる。そのため、顧客はレポート情報４００を参照することで、配布サーバ１０２から入手したファームウェアに対してどのような検査が実行されているかを知ることができる。

なお、図７は、実施形態に係る検査結果７００を例示する図である。検査結果７００には、例えば、検査で実行されたそれぞれの検査についての結果が登録されている。例えば、検査ソフトウェア１１０が、通信メッセージの規定長を超過したか否かの検査を実施したとする。検査結果７００には、この場合の検査と対応づけて、検査の結果に問題がなかったことを示す「問題なし」の情報が登録されている。図７の例では、通信メッセージの書式異常、通信シーケンスの途中断絶、および通信タイムアウトについても、同様に「問題なし」の情報が登録されている。そのため、レポート情報４００の検査結果を参照することで、顧客は更新に用いるファームウェアに異常が生じていないことを確認することができる。また、検査を行った検査ベンダが保証している検査結果を参照することができるため、顧客は安心してファームウェアの更新などの処理を実行することができる。

続いて、顧客が所有するローダ１０４が実行するファームウェアの更新処理の例を説明する。図８は、実施形態に係るファームウェアの更新処理の動作フローを例示する図である。例えば、ローダ１０４の制御部３０１は、更新対象機器１０５のファームウェアの更新指示が入力されると、図８の動作フローを開始する。

Ｓ８０１においてローダ１０４の制御部３０１は、更新に用いるファームウェアを取得する。例えば、制御部３０１は、配布サーバ１０２から更新対象機器１０５の更新用のファームウェアを取得する。

Ｓ８０２においてローダ１０４の制御部３０１は、更新用のファームウェアと対応するレポート情報４００を、格納先から取得する。例えば、ローダ１０４の制御部３０１は、配布サーバ１０２の記憶装置の記憶領域から更新用のファームウェアと対応するレポート情報４００を取得する。なお、レポート情報４００の格納先は、例えば、ファームウェアに記述されている。また、別の実施形態では、レポート情報４００とファームウェアとがパッケージとして配布サーバ１０２から取得される。

Ｓ８０３において制御部３０１は、レポート情報４００のレポート署名を確認する。例えば、制御部３０１は、機器ベンダの公開鍵でレポート情報４００のレポート署名を検証し、レポート情報４００が改ざんされていないことを確認する。例えば、制御部３０１は、レポート情報４００のファームウェア情報および検査情報のデータのハッシュ値を取得し、レポート署名を機器ベンダの公開鍵で復号して得た値と一致するかを確認する。それにより、制御部３０１は、例えば、レポート情報４００が改ざんされていないことを確認する。レポート情報４００が改ざんされている場合、制御部３０１は、例えば、Ｓ８０３においてＮＯと判定し、この場合、本動作フローは終了する。一方、レポート情報４００が改ざんされていない場合、制御部３０１は、例えば、Ｓ８０３においてＹＥＳと判定し、この場合、フローはＳ８０４に進む。

Ｓ８０４において制御部３０１は、更新用のファームウェアの情報が正しいかを確認する。例えば、制御部３０１は、レポート情報４００のファームウェア情報に含まれるファームウェアのファイルサイズおよびファームウェアのハッシュ値と、更新用のファームウェアのファイルサイズおよびファームウェアのハッシュ値とが一致するかを確認する。情報が一致しない場合、制御部３０１は、例えば、Ｓ８０４においてＮＯと判定し、この場合、本動作フローは終了する。一方、情報が一致している場合、制御部３０１は、例えば、Ｓ８０４においてＹＥＳと判定し、この場合、フローはＳ８０５に進む。

Ｓ８０５において制御部３０１は、検査結果が正当な検査ソフトウェア１１０で生成されているかを確認する。例えば、制御部３０１は、レポート情報４００の検査結果署名を検査ベンダの公開鍵で検証し、検査結果が正当な検査ソフトウェア１１０で生成されていることの真正性を確認する。例えば、制御部３０１は、レポート情報４００に含まれる検査対象情報および検査結果に基づくデータのハッシュ値と、検査結果署名を検査ベンダの公開鍵で復号して得たハッシュ値とが一致する場合に、検査結果が正当な検査ソフトウェア１１０で生成されていると判定する。検査結果が正当な検査ソフトウェア１１０で生成されていない場合（Ｓ８０５がＮＯ）、本動作フローは終了する。一方、検査結果が正当な検査ソフトウェア１１０で生成されている場合（Ｓ８０５がＹＥＳ）、フローはＳ８０６に進む。

Ｓ８０６において制御部３０１は、レポート情報４００の検査結果が検査対象としているファームウェアと、更新用のファームウェアとが一致しているかを確認する。例えば、制御部３０１は、レポート情報４００の検査対象情報の指定情報で指定される更新用のファームウェアの一部分の領域のデータからハッシュ値を生成する。そして、制御部３０１は、更新用のファームウェアの一部分の領域のデータから得たハッシュ値と、検査対象情報のハッシュ値とが一致している場合に、検査結果が検査対象としているファームウェアと、更新用のファームウェアとが一致していると判定する。検査結果が検査対象としているファームウェアと、更新用のファームウェアとが一致していない場合（Ｓ８０６がＮＯ）、本動作フローは終了する。一方、検査結果が検査対象としているファームウェアと、更新用のファームウェアとが一致している場合（Ｓ８０６がＹＥＳ）、フローはＳ８０７に進む。

Ｓ８０７において制御部３０１は、レポート情報４００に基づいて検査結果の表示画面９００を表示する。

図９は、実施形態に係る表示画面９００を例示する図である。図９の例では、表示画面９００は、確認結果と検査結果とを含む。確認結果は、例えば、レポート情報の改ざんの確認結果と、検査されたＦＷと更新ＦＷとの一致の確認結果と、検査結果の真正性の確認結果とを含む。レポート情報の改ざんの確認結果には、例えば、Ｓ８０３の処理で実行されるレポート情報４００の改ざんの確認結果が登録されている。また、検査されたＦＷと更新ＦＷとの一致の確認結果には、例えば、Ｓ８０６の処理で実行される検査されたＦＷと更新ＦＷとの一致の確認結果が登録される。検査結果の真正性の確認結果には、例えば、Ｓ８０５の検査結果の真正性の確認結果が登録される。

また、表示画面９００の検査結果にはレポート情報４００に含まれる検査結果が登録される。図９の例では、図７の検査結果７００が表示画面９００に検査結果として表示されている。

Ｓ８０８において制御部３０１は、更新用のファームウェアを更新対象機器１０５に書き込んで更新対象機器１０５のファームウェアを更新用のファームウェアで更新し、本動作フローは終了する。

以上で述べたように、実施形態によれば、更新用のファームウェアが検査ソフトウェア１１０で検査されていることの真正性を保証して検査結果を顧客に提供することができる。それにより、顧客は、ファームウェアの更新の妥当性を判断することが可能である。例えば、顧客は検査結果の表示画面９００を確認することで、ファームウェアの更新後に機器が規定の数値を満たす性能を有していることを確認することができる。そのため、顧客は、例えば、更新を適用すべきか否かを判断することが可能である。

一例として、例えば、機器ベンダが検査で定められている規定を満たしていないファームウェアを配布した場合にも、その検査結果が顧客に提供される。そのため、顧客は、検査結果を見ることでファームウェアの更新が妥当ではないことを判断することができる。また、検査結果が顧客に提供されるため、例えば、機器ベンダも、不正なファームウェアを配布することを抑制される。一例として、ファームウェアの更新後に検査結果において、機器が規定の性能条件を満たさなかったとする。この場合にも、検査結果の内容を機器が規定の性能条件を満たすように改ざんしてファームウェアを配布するといった、検査結果の偽装を抑制することができる。

また、実施形態では、レポート情報４００に検査対象としたファームウェアの一部分の領域のハッシュ値と、その領域を指定する指定情報とが含まれている。そのため、検査結果が、更新用のファームウェアに対する検査の内容であることを顧客側で確認することが可能になる。従って、例えば、別のファームウェアで得た検査結果を、更新用のファームウェアの検査結果として偽装したりすることを抑制することができる。

なお、上述の実施形態において図６の処理では制御部２０１は、例えば、検査部２１１として動作する。Ｓ５０５の処理では制御部２０１は、例えば、生成部２１２として動作する。

図１０は、実施形態に係る生成装置１０１、配布サーバ１０２、およびローダ１０４など装置を実現するためのコンピュータ１０００のハードウェア構成を例示する図である。図１０のコンピュータのハードウェア構成は、例えば、プロセッサ１００１、メモリ１００２、記憶装置１００３、読取装置１００４、通信インタフェース１００６、および入出力インタフェース１００７を備える。なお、プロセッサ１００１、メモリ１００２、記憶装置１００３、読取装置１００４、通信インタフェース１００６、入出力インタフェース１００７は、例えば、バス１００８を介して互いに接続されている。

プロセッサ１００１は、例えば、シングルプロセッサであっても、マルチプロセッサやマルチコアであってもよい。プロセッサ１００１は、メモリ１００２を利用して例えば上述の動作フローの手順を記述したプログラムを実行することにより、上述した各部の一部または全部の機能を提供する。例えば、生成装置１０１のプロセッサ１００１は、記憶装置１００３に格納されているプログラムを読み出して実行することで、制御部２０１、検査部２１１、および生成部２１２として動作する。また、例えば、ローダ１０４のプロセッサ１００１は、記憶装置１００３に格納されているプログラムを読み出して実行することで、制御部３０１として動作する。

メモリ１００２は、例えば半導体メモリであり、ＲＡＭ領域およびＲＯＭ領域を含んでいる。記憶装置１００３は、例えばハードディスク、フラッシュメモリ等の半導体メモリ、または外部記憶装置である。なお、ＲＡＭは、Random Access Memoryの略称である。また、ＲＯＭは、Read Only Memoryの略称である。

読取装置１００４は、プロセッサ１００１の指示に従って着脱可能記憶媒体１００５にアクセスする。着脱可能記憶媒体１００５は、例えば、半導体デバイス、磁気的作用により情報が入出力される媒体、光学的作用により情報が入出力される媒体などにより実現される。なお、半導体デバイスは、例えば、ＵＳＢ（Universal Serial Bus）メモリである。また、磁気的作用により情報が入出力される媒体は、例えば、磁気ディスクである。光学的作用により情報が入出力される媒体は、例えば、ＣＤ－ＲＯＭ、ＤＶＤ、Blu-ray Disc等（Blu-rayは登録商標）である。ＣＤは、Compact Discの略称である。ＤＶＤは、Digital Versatile Diskの略称である。

生成装置１０１の記憶部２０２は、例えば、メモリ１００２、記憶装置１００３、着脱可能記憶媒体１００５などを含む。例えば、生成装置１０１の記憶装置１００３は、ファームウェア、レポート情報４００、内部に検査ベンダの秘密鍵を含む検査ソフトウェア１１０、検査ベンダの公開鍵、並びに機器ベンダの秘密鍵および公開鍵を記憶している。

配布サーバ１０２の記憶装置は、例えば、ファームウェア、およびファームウェアと対応するレポート情報４００を記憶している。

ローダ１０４の記憶部３０２は、例えば、メモリ１００２、記憶装置１００３、着脱可能記憶媒体１００５などを含む。例えば、ローダ１０４の記憶装置１００３は、ファームウェア、レポート情報４００、検査ベンダの公開鍵、および機器ベンダ公開鍵を記憶している。

通信インタフェース１００６は、例えば、プロセッサ１００１の指示に従って、他の装置と通信する。一例では、通信インタフェース１００６は、例えば、有線通信、無線通信、およびネットワークを介した通信などを用いて他の装置とデータを送受信する。

通信インタフェース１００６は、例えば、生成装置１０１の通信部２０３の一例である。生成装置１０１の通信インタフェース１００６は、例えば、プロセッサ１００１の指示に従って、配布サーバ１０２および検査対象機器１０３と通信する。

配布サーバの通信インタフェース１００６は、例えば、プロセッサ１００１の指示に従って、生成装置１０１およびローダ１０４と通信する。

また、通信インタフェース１００６は、例えば、ローダ１０４の通信部３０３の一例である。ローダ１０４の通信インタフェース１００６は、例えば、プロセッサ１００１の指示に従って、配布サーバ１０２および更新対象機器１０５と通信する。

入出力インタフェース１００７は、例えば、入力装置および出力装置との間のインタフェースである。入力装置は、例えばユーザからの指示を受け付けるキーボード、マウス、タッチパネルなどのデバイスである。出力装置は、例えばディスプレーなどの表示装置、およびスピーカなどの音声装置である。

例えば、生成装置１０１の入出力インタフェース１００７は、検査対象機器１０３と接続するためのインタフェースを含む。また、ローダ１０４の入出力インタフェース１００７は、例えば、更新対象機器１０５と接続するためのインタフェースを含む。また、ローダ１０４の入出力インタフェース１００７は、表示装置と接続されていてよく、ローダ１０４のプロセッサ１００１は、例えば、入出力インタフェース１００７を介して接続された表示装置に表示画面９００を表示させる。

実施形態に係る各プログラムは、例えば、下記の形態で生成装置１０１、配布サーバ１０２、およびローダ１０４に提供される。
（１）記憶装置１００３に予めインストールされている。
（２）着脱可能記憶媒体１００５により提供される。
（３）プログラムサーバなどのサーバから提供される。

なお、図１０を参照して述べたコンピュータ１０００のハードウェア構成は、例示であり、実施形態はこれに限定されるものではない。例えば、上述の構成の一部が、削除されてもよく、また、新たな構成が追加されてもよい。また、別の実施形態では、例えば、上述の一部または全部の機能がＦＰＧＡ、ＳｏＣ、ＡＳＩＣ、およびＰＬＤなどによるハードウェアとして実装されてもよい。なお、ＦＰＧＡは、Field Programmable Gate Arrayの略称である。ＳｏＣは、System-on-a-chipの略称である。ＡＳＩＣは、Application Specific Integrated Circuitの略称である。ＰＬＤは、Programmable Logic Deviceの略称である。

以上において、いくつかの実施形態が説明される。しかしながら、実施形態は上記の実施形態に限定されるものではなく、上述の実施形態の各種変形形態および代替形態を包含するものとして理解されるべきである。例えば、各種実施形態は、その趣旨および範囲を逸脱しない範囲で構成要素を変形して具体化できることが理解されよう。また、前述した実施形態に開示されている複数の構成要素を適宜組み合わせることにより、種々の実施形態が実施され得ることが理解されよう。更には、実施形態に示される全構成要素からいくつかの構成要素を削除して、または実施形態に示される構成要素にいくつかの構成要素を追加して種々の実施形態が実施され得ることが当業者には理解されよう。

１００ ：更新システム
１０１ ：生成装置
１０２ ：配布サーバ
１０３ ：検査対象機器
１０４ ：ローダ
１０５ ：更新対象機器
１１０ ：検査ソフトウェア
２０１ ：制御部
２０２ ：記憶部
２０３ ：通信部
２１１ ：検査部
２１２ ：生成部
３０１ ：制御部
３０２ ：記憶部
３０３ ：通信部
４００ ：レポート情報
７００ ：検査結果
９００ ：表示画面
１０００ ：コンピュータ
１００１ ：プロセッサ
１００２ ：メモリ
１００３ ：記憶装置
１００４ ：読取装置
１００５ ：着脱可能記憶媒体
１００６ ：通信インタフェース
１００７ ：入出力インタフェース
１００８ ：バス

Claims (7)

1. 検査ベンダの秘密鍵を備えた検査ソフトウェアの実行によりファームウェアを機器に適用して検査する検査部であって、検査対象とした前記ファームウェアを示す検査対象情報と、前記ファームウェアを検査した検査結果とを生成し、前記検査対象情報および前記検査結果に基づくデータに前記検査ベンダの秘密鍵で電子署名した検査結果署名と、前記検査対象情報と、前記検査結果とを含む検査情報を生成する、検査部と、
   前記ファームウェアに関する情報と、前記検査情報とに基づくデータに前記機器を提供する機器ベンダの秘密鍵で電子署名したレポート署名と、前記検査情報とを含むレポート情報を生成する生成部と、
   を含む、生成装置。
2. 前記検査対象情報は、前記ファームウェアの一部分のデータを指定する指定情報と、前記指定情報で指定される前記一部分のデータのハッシュ値とを含む、請求項１に記載の生成装置。
3. 前記ファームウェアに関する情報は、前記ファームウェアのデータの全体のハッシュ値を含む、請求項１または２に記載の生成装置。
4. 前記検査結果は、前記ファームウェアが適用された前記機器が、所定の性能条件を満たしているかを示す情報を含む、請求項１から３のいずれか１項に記載の生成装置。
5. 生成装置が実行する生成方法であって、
   前記生成装置が、検査ベンダの秘密鍵を備えた検査ソフトウェアの実行によりファームウェアを機器に適用して検査するステップであって、検査対象とした前記ファームウェアを示す検査対象情報と、前記ファームウェアを検査した検査結果とを生成し、前記検査対象情報および前記検査結果に基づくデータに前記検査ベンダの秘密鍵で電子署名した検査結果署名と、前記検査対象情報と、前記検査結果とを含む検査情報を生成する、検査するステップと、
   前記生成装置が、前記ファームウェアに関する情報と、前記検査情報とに基づくデータに前記機器を提供する機器ベンダの秘密鍵で電子署名したレポート署名と、前記検査情報とを含むレポート情報を生成するステップと、
   を含む、生成方法。
6. 検査ベンダの秘密鍵を備えた検査ソフトウェアの実行によりファームウェアを機器に適用して検査することであって、検査対象とした前記ファームウェアを示す検査対象情報と、前記ファームウェアを検査した検査結果とを生成し、前記検査対象情報および前記検査結果に基づくデータに前記検査ベンダの秘密鍵で電子署名した検査結果署名と、前記検査対象情報と、前記検査結果とを含む検査情報を生成する、検査することと、
   前記ファームウェアに関する情報と、前記検査情報とに基づくデータに前記機器を提供する機器ベンダの秘密鍵で電子署名したレポート署名と、前記検査情報とを含むレポート情報を生成することと、
   を含む処理を、生成装置に実行させる生成プログラム。
7. 生成装置と、
   ローダと、
   を含む、更新システムであって、
   前記生成装置は、
   検査ベンダの秘密鍵を備えた検査ソフトウェアの実行によりファームウェアを機器に適用して検査する検査部であって、検査対象とした前記ファームウェアを示す検査対象情報と、前記ファームウェアを検査した検査結果とを生成し、前記検査対象情報および前記検査結果に基づくデータに前記検査ベンダの秘密鍵で電子署名した検査結果署名と、前記検査対象情報と、前記検査結果とを含む検査情報を生成する、検査部と、
   前記ファームウェアに関する情報と、前記検査情報とに基づくデータに前記機器を提供する機器ベンダの秘密鍵で電子署名したレポート署名と、前記検査情報とを含むレポート情報を生成する生成部と、
   を含み、
   前記ローダは、
   前記レポート情報の前記検査情報に含まれる前記検査結果署名と、前記検査ベンダの公開鍵とを用いて、前記検査情報に含まれる前記検査結果が前記検査ソフトウェアにより生成されていることを検証し、
   前記検査結果が前記検査ソフトウェアにより生成されている場合に、前記検査結果を表示装置に表示させ、
   前記ファームウェアで更新対象機器を更新する、
   ことを特徴とする、更新システム。