JP5759845B2 - 情報処理システム、情報処理装置、外部記憶媒体、プログラム、記憶媒体、及び、ファイル管理方法 - Google Patents

Description

本発明は、ファイルの管理技術に関し、特にファイルの改ざんに対するセキュリティ技術に関する。

情報処理装置（パーソナルコンピュータ（ＰＣ）、携帯端末、ゲーム機等）で利用されるプログラム（当該プログラムに関連するデータも含む概念とする）は、ユーザに最初に提供された後に、更新される場合がある。例えば特許文献１には、携帯端末に格納されているデータを現行バージョンから更新バージョンに差分的に更新する技術が紹介されている。

特表２００７−５１５７０８号公報（国際公開第２００５／０５０４４１号） 特開２００９−２７１６２３号公報

更新のためのファイルは、情報処理装置への取り込み時点のみならず、取り込み後においても、クラッカー（コンピュータウィルス等も含むものとする）による改ざんから保護されるべきである。改ざんされたファイルを利用すると、例えば、動作不能、情報漏洩、他装置の攻撃への加担、等の望まない状況に陥るからである。

なお、更新用以外のファイルが改ざんされる可能性もある。

本発明は、ファイルの改ざんに対するセキュリティ技術を提供することを目的とする。

本発明の第１の態様によれば、プロセッサと前記プロセッサがアクセス可能に設けられた第１記憶手段とを含んだ情報処理装置と、前記情報処理装置に外部接続され又は前記情報処理装置に内蔵され、前記プロセッサを各種処理手段として機能させるためのプログラムを格納する第２記憶手段と、前記情報処理装置に外部接続され又は前記情報処理装置に内蔵された第３記憶手段と、第１ファイルと、前記第１ファイルを予め定められた第１情報加工手法に従って加工することにより予め作成された第１認証ファイルとを格納する情報供給手段とを含む情報処理システムが提供される。前記各種処理手段は、ファイル管理手段を含む。前記ファイル管理手段は、前記第１ファイルを前記情報供給手段から前記第３記憶手段へ転送する手段と、前記第１認証ファイルを前記情報供給手段から前記第１記憶手段へ転送する手段と、を有する情報取得手段と、前記第１認証ファイルを前記情報供給手段から取得した時点において、前記第１認証ファイルを予め定められた第２情報加工手法に従って加工することにより第２認証ファイルを作成し、作成した前記第２認証ファイルを前記第１記憶手段に格納する装置内認証ファイル作成手段と、前記第３記憶手段に格納されている前記第１ファイルは前記情報供給手段から取得した時点と同じものである旨の肯定的な判断、又は、前記第３記憶手段に格納されている前記第１ファイルは前記情報供給手段から取得した時点と異なる旨の否定的な判断を下す認証手段とを含む。前記認証手段は、前記第３記憶手段内の前記第１ファイルを前記第１情報加工手法に従って加工することにより第１評価ファイルを作成する第１評価ファイル作成手段と、前記第１評価ファイルを前記第２情報加工手法に従って加工することにより第２評価ファイルを作成する第２評価ファイル作成手段と、前記第１評価ファイルを前記第１記憶手段内の前記第１認証ファイルと比較する第１比較手段と、前記第２評価ファイルを前記第１記憶手段内の前記第２認証ファイルと比較する第２比較手段とを有する。前記認証手段は、前記第１評価ファイルは前記第１認証ファイルと異なる旨の第１比較結果と、前記第２評価ファイルは前記第２認証ファイルと異なる旨の第２比較結果と、のうちの少なくとも１つが得られた場合、前記否定的な判断を下す。

第２の態様によれば、第１の態様に係る情報処理システムであって、前記第２情報加工手法は、加工対象である前記第１認証ファイル又は前記第１評価ファイルを補助ファイルと結合し、得られた結合ファイルを予め定められた第３情報加工手法に従って加工する手法であり、前記装置内認証ファイル作成手段は、前記第１ファイルの取得に関連してユニークに定まる内容を有する第３認証ファイルを、予め定められた第１ユニークファイル作成手法に従って作成する手段と、前記第３認証ファイルを前記補助ファイルとして用いて前記第２認証ファイルを作成する手段とを有し、前記認証手段は、前記第３認証ファイルに対応する第３評価ファイルを、前記第１ユニークファイル作成手法に対応して予め定められた第２ユニークファイル作成手法に従って取得する第３評価ファイル作成手段を更に有し、前記第２評価ファイル作成手段は、前記第３評価ファイルを前記補助ファイルとして用いて前記第２評価ファイルを作成する、情報処理システムが提供される。

第３の態様によれば、第２の態様に係る情報処理システムであって、前記第３認証ファイルは前記第１記憶手段に格納され、前記認証手段は、前記第３評価ファイルを前記第１記憶手段内の前記第３認証ファイルと比較する第３比較手段を更に有し、前記認証手段は、前記第１比較結果と、前記第２比較結果と、前記第３評価ファイルは前記第３認証ファイルと異なる旨の第３比較結果と、のうちの少なくとも１つが得られた場合、前記否定的な判断を下す、情報処理システムが提供される。

第４の態様によれば、第２又は第３の態様に係る情報処理システムであって、前記第３情報加工手法は、前記補助ファイルと前記情報処理装置の識別情報とから、予め定められた暗号鍵生成手法に従って暗号鍵を生成し、前記結合ファイルを前記暗号鍵で暗号化する手法である、情報処理システムが提供される。

第５の態様によれば、第１ないし第４の態様のうちのいずれか１つに係る情報処理システムであって、前記第１ファイルは、前記第２記憶手段内の所定のプログラムが利用するファイルであり、前記情報供給手段は、前記第１ファイルを前記所定のプログラムで有効化するための第２ファイルを格納するためにも利用され、前記第１情報加工手法は、前記第１ファイルに前記第２ファイルを結合したファイルを、予め定められた第４情報加工手法に従って加工することにより、前記第１認証ファイルを作成する手法であり、前記情報取得手段は、前記第２ファイルを前記情報供給手段から前記第１記憶手段へ転送する手段を更に有し、前記第１評価ファイル作成手段は、前記第３記憶手段内の前記第１ファイルと前記第１記憶手段内の前記第２ファイルとを、前記第１情報加工手法に従って加工することにより前記第１評価ファイルを作成し、前記ファイル管理手段は、前記肯定的な判断を得られた場合に、前記第１記憶手段内の前記第２ファイルによって前記第３記憶手段内の前記第１ファイルを有効化するファイル有効化手段を更に有する、情報処理システムが提供される。

第６の態様によれば、第１ないし第５の態様のうちのいずれか１つに係る情報処理システムであって、前記第２記憶手段内の前記プログラムは、前記第１ファイルを利用する本体プログラムと、前記本体プログラムの起動指示が発生し且つ前記第１ファイルが前記第３記憶手段に格納されている場合に前記本体プログラムに先立って実行され、前記プロセッサを前記認証手段として機能させる認証プログラムとを含む、情報処理システムが提供される。

第７の態様によれば、第６の態様に係る情報処理システムであって、前記認証プログラムは、暗号化された状態で前記第２記憶手段に格納されており、実行時に復号化される、情報処理システムが提供される。

第８の態様によれば、第１ないし第７の態様のうちのいずれか１つに係る情報処理システムであって、前記第１記憶手段は、前記プロセッサをファイル取得状況管理手段として機能させるためのファイル取得状況管理プログラムを格納しており、前記ファイル取得状況管理手段は、前記情報供給手段に準備される複数種類の第１ファイルのそれぞれについての取得状況をファイル取得状況情報として前記第１記憶手段において管理し、前記情報取得手段は、前記ファイル取得状況情報に応じて、前記第１ファイル及び前記第１認証ファイルを前記情報供給手段から取得する、情報処理システムが提供される。

第９の態様によれば、第１ないし第８の態様のうちのいずれか１つに係る情報処理システムであって、前記第１記憶手段と前記第２記憶手段と前記第３記憶手段とのうちの少なくとも１つの記憶手段に対するアクセスを監視するアクセス監視手段を更に含む、情報処理システムが提供される。

第１０の態様によれば、第１ないし第９の態様のうちのいずれか１つに係る情報処理システムに利用される前記プロセッサ及び前記第１記憶手段を含む、情報処理装置が提供される。

第１１の態様によれば、第１０の態様に係る情報処理装置であって、第１ないし第９の態様のうちのいずれか１つに係る情報処理システムに利用される前記第２記憶手段と前記第３記憶手段とのうちの少なくとも一方を更に含む、情報処理装置が提供される。

第１２の態様によれば、第１ないし第９の態様のうちのいずれか１つに係る情報処理システムに利用される前記第２記憶手段と前記第３記憶手段とのうちの少なくとも一方を含む、外部記憶媒体が提供される。

第１３の態様によれば、第１ないし第９の態様のうちのいずれか１つに係る情報処理システムに利用されるプログラムであって、プロセッサを前記ファイル管理手段として機能させるためのプログラムが提供される。

第１４の態様によれば、プロセッサをファイル管理手段として機能させるプログラムであって、前記ファイル管理手段は、第１ファイルと、前記第１ファイルを予め定められた第１情報加工手法に従って加工することにより予め作成された第１認証ファイルとを、情報供給手段から情報保存手段へ転送する情報取得手段と、前記第１認証ファイルを前記情報供給手段から取得した時点において、前記第１認証ファイルを予め定められた第２情報加工手法に従って加工することにより第２認証ファイルを作成し、作成した前記第２認証ファイルを前記情報保存手段に格納する装置内認証ファイル作成手段と、前記情報保存手段に格納されている前記第１ファイルは前記情報供給手段から取得した時点と同じものである旨の肯定的な判断、又は、前記情報保存手段に格納されている前記第１ファイルは前記情報供給手段から取得した時点と異なる旨の否定的な判断を下す認証手段とを含むプログラムが提供される。前記認証手段は、前記情報保存手段内の前記第１ファイルを前記第１情報加工手法に従って加工することにより第１評価ファイルを作成する第１評価ファイル作成手段と、前記第１評価ファイルを前記第２情報加工手法に従って加工することにより第２評価ファイルを作成する第２評価ファイル作成手段と、前記第１評価ファイルを前記情報保存手段内の前記第１認証ファイルと比較する第１比較手段と、前記第２評価ファイルを前記情報保存手段内の前記第２認証ファイルと比較する第２比較手段とを含む。前記認証手段は、前記第１評価ファイルは前記第１認証ファイルと異なる旨の第１比較結果と、前記第２評価ファイルは前記第２認証ファイルと異なる旨の第２比較結果と、のうちの少なくとも１つが得られた場合、前記否定的な判断を下す。

第１５の態様によれば、第１４の態様に係るプログラムが、情報処理装置のプロセッサによって読み取り可能に格納されている、記憶媒体が提供される。

第１６の態様によれば、プロセッサによって行われるファイル管理方法であって、（a）第１ファイルと、前記第１ファイルを予め定められた第１情報加工手法に従って加工することにより予め作成された第１認証ファイルとを、情報供給手段から情報保存手段へ転送するステップと、（b）前記第１認証ファイルを前記情報供給手段から取得した時点において、前記第１認証ファイルを予め定められた第２情報加工手法に従って加工することにより第２認証ファイルを作成し、作成した前記第２認証ファイルを前記情報保存手段に格納するステップと、（c）前記情報保存手段に格納されている前記第１ファイルは前記情報供給手段から取得した時点と同じものである旨の肯定的な判断、又は、前記情報保存手段に格納されている前記第１ファイルは前記情報供給手段から取得した時点と異なる旨の否定的な判断を下すステップとを含むファイル管理方法が提供される。前記ステップ（c）は、（c-1）前記情報保存手段内の前記第１ファイルを前記第１情報加工手法に従って加工することにより第１評価ファイルを作成するステップと、（c-2）前記第１評価ファイルを前記第２情報加工手法に従って加工することにより第２評価ファイルを作成するステップと、（c-3）前記第１評価ファイルを前記情報保存手段内の前記第１認証ファイルと比較するステップと、（c-4）前記第２評価ファイルを前記情報保存手段内の前記第２認証ファイルと比較するステップとを含む。前記ステップ（c）では、前記第１評価ファイルは前記第１認証ファイルと異なる旨の第１比較結果と、前記第２評価ファイルは前記第２認証ファイルと異なる旨の第２比較結果と、のうちの少なくとも１つが得られた場合、前記否定的な判断を下す。

上記の第１の態様によれば、情報供給手段から供給される第１認証ファイルだけでなく、情報処理装置内で作成する第２認証ファイルも使って、取得済みの第１ファイルの認証（換言すれば、改ざんされていないことの確認）を行う。このため、第１認証ファイルだけで認証を行う場合に比べて、セキュリティが向上する。

特に、第２認証ファイルは情報処理装置の内部で作成され利用される。すなわち、第２認証ファイルの存在及び用途、並びに、第２認証ファイルを作成するための第２情報加工手法は、情報処理装置の外部に対する公開性を有していない。このため、第２認証ファイルによれば、第１認証ファイルよりも高いセキュリティを提供することができる。

また、例えば情報供給手段を複数の情報処理装置が利用する場合、各情報処理装置が内容の異なる第２情報加工手法を採用することにより、クラッカーの攻撃がシステム全体に蔓延してしまうのを防ぐことができる。

上記の第２の態様によれば、ユニークな内容を有する第３認証ファイルを使って、第２認証ファイルを作成する。このため、第２認証ファイルの作成手法を複雑化して解析されにくくすることが可能である。その結果、第２認証ファイルによるセキュリティが向上する。

上記の第３の態様によれば、情報処理装置内で作成する第３認証ファイルも更に使って、取得済みの第１ファイルを認証する。このため、セキュリティが向上する。

上記の第４の態様によれば、第２認証ファイルは暗号化されたファイルである。しかも、暗号鍵はユニークな内容を有する補助ファイルと情報処理装置の識別情報とから生成される。このため、第２認証ファイルの作成手法を複雑化して解析されにくくすることが可能である。その結果、第２認証ファイルによるセキュリティが向上する。

上記の第５の態様によれば、第１認証ファイルが、第１ファイルだけでなく、第２ファイルも使って作成される。このため、第１認証ファイルの作成手法を複雑化して解析されにくくすることが可能である。その結果、第１認証ファイルによるセキュリティが向上する。

上記の第６の態様によれば、認証プログラムが、本体プログラムに先立って、実行される。しかも、認証プログラムは、本体プログラムの起動指示が発生する度に、実行される。このため、本体プログラムが、改ざんされた第１ファイルを利用するのを、より確実に防ぐことができる。

上記の第７の態様によれば、認証プログラムが解析されにくくなり、セキュリティが向上する。

上記の第８の態様によれば、情報供給手段に準備される第１ファイルの種類、及び、それらの取得状況が、第１記憶手段において（従って、情報処理装置において）一元的に管理される。このため、ファイル取得状況情報を参照することにより、取得済みのファイルについては、情報供給手段からの取得処理を再度行わずに済む。これにより、処理効率が上がる。また、ファイル取得状況管理プログラムとファイル取得状況情報の両方が第１記憶手段に格納されているので、例えば第２記憶手段及び第３記憶手段が接続されていない状態であっても、ファイル取得状況を管理することができる。

上記の第９の態様によれば、不正アクセスを防止することでき、セキュリティが向上する。

上記の第１０ないし第１３の各態様によれば、上記の各種効果を奏する情報処理システムを構築可能である。

上記の第１４ないし第１６の各態様によれば、上記の第１の態様と同様の効果が得られる。

本発明の目的、特徴、局面、及び利点は、以下の詳細な説明と添付図面とによって、より明白となる。

第１の実施形態について、情報処理システムを例示するブロック図である。 第１の実施形態について、修正ファイルが利用可能になるまでのフローを概略的に示すフローチャートである。 第１の実施形態について、第１認証ファイルの作成手法を例示する模式図である。 第１の実施形態について、情報供給手段に格納される情報を例示する模式図である。 第１の実施形態について、ファイル取得状況管理プログラムを示す模式図である。 第１の実施形態について、ファイル取得状況情報を例示する模式図である。 第１の実施形態について、各種情報の格納場所を例示する模式図である。 第１の実施形態について、ファイル取得状況管理プログラムを例示するフローチャートである。 第１の実施形態について、ファイル管理プログラムを例示する模式図である。 第１の実施形態について、ファイル取得プログラムを例示するフローチャートである。 第１の実施形態について、パッチ管理情報（ページアドレス単位で変更）を例示する模式図である。 第１の実施形態について、パッチ管理情報（バイト単位で変更）を例示する模式図である。 第１の実施形態について、パッチＬＩＢ管理情報を例示する模式図である。 第１の実施形態について、第２認証ファイルの作成手法を例示する模式図である。 第１の実施形態について、装置内認証ファイル作成プログラムを例示するフローチャートである。 第１の実施形態について、第３認証ファイルの取得手法を例示する模式図である。 第１の実施形態について、認証プログラムを例示するフローチャートである。 第１の実施形態について、第１評価ファイルの作成手法を例示する模式図である。 第１の実施形態について、第３評価ファイルの作成手法を例示する模式図である。 第１の実施形態について、第２評価ファイルの作成手法を例示する模式図である。 第１の実施形態について、認証プログラムを例示するフローチャートである。 第２の実施形態について、アクセス監視手段を採用した情報処理装置を例示するブロック図である。 第３の実施形態について、第２記憶手段及び第３記憶手段を内蔵した情報処理装置を例示するブロック図である。

＜第１の実施形態＞
＜情報処理システム１＞
図１に、第１の実施形態に係る情報処理システム１のブロック図を例示する。図１の例によれば、情報処理システム１は、情報処理装置２と、外部記憶媒体３と、情報供給手段４とを含んでいる。ここでは、情報処理装置２が１つの場合を例示するが、情報処理システム１は複数の情報処理装置２を含むことも可能である。なお、図面では各種要素の名称を略記する場合がある。

情報処理装置２は、プログラムに記述された手順に従って、情報を処理する装置である。プログラムは、処理目的、使用目的等に応じて、例えばアプリケーション・ソフトウェア、システム・ソフトウェア、ファームウェア、等に分類される。また、プログラムは、１つのファイルで構成される場合もあるし、複数のファイルの集合体として構成される場合もある。なお、ファイルには、プログラムだけが含まれる場合、データだけが含まれる場合、プログラムとデータの両方が含まれる場合がある。

ここでは、情報処理装置２が例えば、汎用の情報処理装置（パーソナルコンピュータ（ＰＣ）等）、特定用途向けの情報処理装置（例えば家庭用ゲーム機）、等である場合を例示する。かかる例にならって、以下、情報処理装置２をユーザ端末装置２、端末装置２、ユーザ端末２等と称する場合もある。

但し、情報処理装置２は例えば、他の装置に組み込まれる部品であっても構わない。そのような利用形態であっても、後述の各種効果が得られる。

外部記憶媒体３は、端末装置２に対して外部接続される記憶手段であり、ここでは端末装置２に着脱自在な（換言すれば交換可能な）メモリカードを例示する。かかる例にならって、以下、外部記憶媒体３をメモリカード３と称する場合もある。なお、メモリカードと同様に利用される媒体であれば、カード状に限定されるものではなく、例えばスティック状であってもよい。外部接続によれば、メモリカード３を容易に交換できる。

但し、外部記憶媒体３は、メモリカードに限定されるものではない。例えば、ハードディスク装置、磁気ディスク、光ディスク、等の記憶手段によって外部記憶媒体３を構成することも可能である。また、一般にメモリカードは可搬型の媒体であるが、非可搬型の媒体を外部記憶媒体３に利用してもよい。

また、ここでは外部記憶媒体３が１個のメモリカードで構成される場合を例示するが、同種又は異種の複数の手段で外部記憶媒体３を構成することも可能である。そのような例では、上記の同種又は異種の複数の手段の総称が外部記憶媒体３にあたる。

なお、端末装置２とメモリカード３をまとめて、情報処理装置セット５、端末装置セット５、端末セット５等と称する場合もある。

情報供給手段４は、端末装置２へ供給する各種情報（後に例示される）を格納するために利用される。ここでは、情報供給手段４として、端末装置２に対して外部接続されるサーバコンピュータを例示する。このため、以下では、情報供給手段４をサーバコンピュータ４、サーバ４等と称する場合もある。

また、ここでは、サーバ４が、ＷＡＮ（Wide Area Network）の一例であるインターネットを介して（あるいは更にＬＡＮ（Local Area Network）を介して）端末装置２に接続される場合を例示する。サーバ４と端末装置２との間のネットワークは有線通信、無線通信又はそれらの混在によって構築される。図１には、端末装置２が、無線通信を介してインターネットに接続され、更にインターネット上のサーバ４に接続される例を模式的に図示している。

なお、サーバ４は、非公開の特定のＬＡＮ上に存在するサーバであっても構わない。また、サーバ４と端末装置２とがネットワークを介さず直接的に通信を行う構成が適用されても構わない。

なお、情報供給手段４は、サーバコンピュータに限定されるものではない。例えば、メモリカード、ハードディスク装置、磁気ディスク、光ディスク、等の記憶媒体によって情報供給手段４を構成することも可能である。

また、ここでは情報供給手段４が１台のサーバで構成される場合を例示するが、同種又は異種の複数の手段で情報供給手段４を構成することも可能である。そのような例では、上記の同種又は異種の複数の手段の総称が情報供給手段４にあたる。

以下に、端末装置２とメモリカード３をより具体的に例示する。

＜端末装置２（情報処理装置２）＞
図１の例によれば、端末装置２は、プロセッサ２１と、第１記憶手段２２と、アクセスコントローラ２３と、無線モジュール２４と、リアルタイムクロック（ＲＴＣ）２５とを含んでいる。なお、これらの要素２１〜２５の接続形態は、図１に例示のバス型に限定されるものではない。

プロセッサ２１は、プログラムに記述された処理手順（換言すれば処理ステップ）を実行する。それにより、プロセッサ２１は、各種手順に応じた各種処理手段として機能する。換言すれば、プロセッサ２１によって、各種手順に応じた各種機能が実現される。

プロセッサ２１は、図１の例では、ＣＰＵ（Central Processing Unit）４１と、ＲＡＭ（Random Access Memory）４２とを含んでいる。ＣＰＵ４１はシングルコアであってもよいし、マルチコアであってもよい。ＲＡＭ４２は、ＣＰＵ４１がプログラムを実行する際の作業領域を提供する。

ここでは、プロセッサ２１によって実現される各種手段及び各種機能が、ＣＰＵ４１がプログラムに記述された手順を実行することにより、ソフトウェア的に実現される場合を例示する。

但し、ＣＰＵ４１によって実行される処理の一部又は全部を、その処理専用に構成された回路（換言すればハードウェア）によって実現することも可能である。そのような場合、プロセッサ２１はそのような専用回路も含む。なお、専用回路として例えばＤＳＰ（Digital Signal Processor）、ＧＰＵ（Graphics Processing Unit）等が知られている。専用回路はプログラムに記述された手順に応じて適宜利用される点に鑑みれば、専用回路によってハードウェア的に実現される各種手段及び各種機能も、プログラムに従って提供される。

すなわち、プロセッサ２１は、ソフトウェア又はハードウェア又は両者の組み合わせによって、各種手段及び各種機能を実現する。

第１記憶手段２２は、プロセッサ２１がアクセス可能に設けられている。上記ＲＡＭ４２は揮発性であるのに対し、第１記憶手段２２は不揮発的に情報を記憶する手段である。図１の例では、第１記憶手段２２は、取得情報記憶手段６１，６２と、ファームウェア（Ｆ／Ｗ）記憶手段６３と、ＩＤ記憶手段６４と、取得回数記憶手段６５とを含んでいる。

取得情報記憶手段６１，６２は、サーバ４から取得した（換言すれば、ダウンロードした）各種情報を格納する手段である。取得情報記憶手段６１，６２に格納される情報の具体例については後述する。なお、以下では、取得情報記憶手段６１，６２をダウンロード情報記憶手段６１，６２、Ｄ／Ｌ情報記憶手段６１，６２等と称する場合もある。ここでは、Ｄ／Ｌ情報記憶手段６１，６２のそれぞれが、不揮発性且つ書き換え可能な半導体記憶装置（例えばフラッシュメモリ）で構成される場合を例示する。

Ｆ／Ｗ記憶手段６３は、端末装置２のＦ／Ｗ（プロセッサ２１によって実行される）を格納する手段である。ここでは、Ｆ／Ｗ記憶手段６３が不揮発性且つ書き換え可能な半導体記憶装置（例えばフラッシュメモリ）で構成される場合を例示する。

ＩＤ記憶手段６４は、端末装置２の識別情報（いわゆるＩＤ）を格納する手段である。ＩＤとして、端末装置２間に互いに重複しない固有の情報、例えば製造シリアル番号等を利用可能である。ここでは、ＩＤ記憶手段６４が不揮発性且つ書き換え不能な半導体記憶装置（例えばＯＴＰ ＲＯＭ（One Time Programmable Read Only Memory））で構成される場合を例示する。なお、装置ＩＤは端末装置２の製造工程においてＩＤ記憶手段６４に書き込まれる。

取得回数記憶手段６５は、サーバ４から情報を取得した回数（換言すれば、ダウンロード回数）を格納する手段である。なお、以下では、取得回数記憶手段６５をＤ／Ｌ回数記憶手段６５、Ｄ／Ｌカウンタ６５等と称する場合もある。ここでは、Ｄ／Ｌカウンタ６５が不揮発性且つ書き換え可能な半導体記憶装置（例えばフラッシュメモリ）で構成される場合を例示する。

なお、ここでは上記記憶手段６１，６２，６３，６５のそれぞれが別々の装置（換言すれば別々の部品）で構成される場合を例示するが、これらの記憶手段６１，６２，６３，６５のうちの２つ以上を単一の部品で構成することも可能である。例えば、Ｄ／Ｌ情報記憶手段６１，６２を１つのフラッシュメモリ内に混在させることも可能である。そのような場合、単一のフラッシュメモリ内の異なる記憶領域によって、Ｄ／Ｌ情報記憶手段６１，６２のそれぞれが構成されることになる。

アクセスコントローラ２３は、端末装置２（より具体的にはプロセッサ２１等）とメモリカード３との間での情報伝送を制御するインターフェース（Ｉ／Ｆ）手段である。

無線モジュール２４は、端末装置２（より具体的にはプロセッサ２１等）とサーバ４との間での情報伝送を制御するＩ／Ｆ手段である。ここでは、無線モジュール２４が、インターネットに接続された他の無線モジュール（図示略）と無線接続されることによって、無線モジュール２４がインターネット上のサーバ４に接続される。なお、無線モジュール２４に代えて、有線通信用のモジュールを採用することも可能である。

リアルタイムクロック（ＲＴＣ）２５は、現在時刻の情報（例えば、年、月、日、時、分、秒、曜日等の一部又は全部）を提供する手段である。

なお、ユーザが情報を入力するための入力手段、ユーザに情報を提供するための出力手段等の、いわゆるマン・マシン・インターフェースを、端末装置２に設けることも可能である。そのようなマン・マシン・インターフェースは、情報処理装置２に対して内蔵型、外付け型のいずれであってもよい。

＜メモリカード３（外部記憶媒体３）＞
図１の例によれば、メモリカード３は、メモリコントローラ８１と、第２記憶手段８２と、第３記憶手段８３とを含んでいる。

メモリコントローラ８１は、メモリカード３と端末装置２との間での情報伝送を制御するＩ／Ｆ手段である。図１の例では、メモリコントローラ８１は、ホストインターフェース（Ｉ／Ｆ）１０１と、メモリインターフェース（Ｉ／Ｆ）１０２とを含んでいる。ホストＩ／Ｆ１０１は、端末装置２のアクセスコントローラ２３とメモリカード３のメモリＩ／Ｆ１０２との間の情報伝送を制御する手段である。メモリＩ／Ｆ１０２は、ホストＩ／Ｆ１０１と第２記憶手段８２との間の情報伝送、及び、ホストＩ／Ｆ１０１と第３記憶手段８３との間の情報伝を制御する手段である。

第２記憶手段８２は、端末装置２（より具体的にはプロセッサ２１）を各種処理手段として機能させるためのプログラムを格納する手段である。なお、当該プログラムは、アプリケーション・ソフトウェア、システム・ソフトウェア、ファームウェア、等のいずれであっても構わない。ここでは、第２記憶手段８２が不揮発性且つ書き換え不能な半導体記憶装置（例えばＯＴＰ ＲＯＭ）で構成される場合を例示する。

第３記憶手段８３は、サーバ４から取得した（換言すれば、ダウンロードした）各種情報を格納する手段である。第３記憶手段８３に格納される情報の具体例については後述する。ここでは、第３記憶手段８３が不揮発性且つ書き換え可能な半導体記憶装置（例えばシリアル・フラッシュメモリ）で構成される場合を例示する。

なお、第１記憶手段２２と第３記憶手段８３を総称して、情報保存手段１２０と称する場合もある。

＜情報処理システム１におけるセキュリティ＞
以下に、ファイルの改ざんに対抗すべく、情報処理システム１に搭載されているセキュリティ技術を説明する。ここでは、メモリカード３の第２記憶手段８２に格納されているプログラムに不具合部分が見つかり、その不具合部分を修正するためのファイルを端末装置２がサーバ４からダウンロードする状況を例示する。

図２に、かかる状況下において修正用のファイル（以下、修正ファイルとも称する）が利用可能になるまでのフローを概略的に示す。図２に例示のフローは、修正ファイルを準備するステップ１４１と、修正ファイルのダウンロード状況を確認するステップ１４２と、修正ファイルをダウンロードするステップ１４３と、装置内認証ファイルを作成するステップ１４４と、修正ファイルを認証するステップ１４５と、修正ファイルを有効化する（換言すれば、活性化する）ステップ１４６とを含んでいる。以下に、各ステップ１４１〜１４６及び全体のフローを、より具体的に説明する。

＜修正ファイル準備ステップ１４１＞
本ステップ１４１は、サーバ４の運営者側によって、実行される。具体的には、サーバ運営者側において、不具合修正のための基本的なファイルである第１ファイル及び第２ファイルが作成される。

第１ファイルは、ここでは、いわゆるパッチファイルとする。パッチファイルは、不具合部分を修正した内容を有するファイルである。以下では、第１ファイルをパッチファイル、パッチ等と称する場合もある。

第２ファイルは、ここでは、いわゆるパッチライブラリファイルとする。パッチライブラリファイルは、パッチファイルを第２記憶手段８２内のプログラムに対して有効化するための内容を有している。以下では、第２ファイルをパッチライブラリファイル、パッチＬＩＢ等と称する場合もある。パッチＬＩＢについては、例えば修正対象となるプログラムの種類、当該パッチＬＩＢの適用範囲等に応じて、複数のバージョンが存在する場合がある。

更に、サーバ４の運営者側によって、パッチファイルの認証ファイル（以下、第１認証ファイルとも称する）が作成される。当該認証ファイルは、端末装置２において、ダウンロードしたパッチファイル（ここでは更にパッチＬＩＢ）が本物であること、換言すれば改ざんされていないことを検証するために利用される。

図３に、当該認証ファイルの作成手法を模式的に示す。図３の例によれば、パッチファイル１６１を予め定められた情報加工手法（第１情報加工手法）１７１に従って加工することにより、第１認証ファイル１６３が作成される。

ここでは、情報加工手法１７１として、パッチファイル１６１にパッチＬＩＢ１６２を結合し（より具体的には、パッチファイル１６１を構成するデータ列と、パッチＬＩＢ１６２を構成するデータ列とを結合し）、結合したファイル（すなわち、結合したデータ列）を予め定められた情報加工手法（第４情報加工手法）１７２に従って加工することにより、認証ファイル１６３を作成する手法が例示される。なお、ファイル１６１，１６２の結合順序等は情報加工手法１７１において予め定められている。

また、ここでは、情報加工手法１７２として、ダイジェストアルゴリズム１７３（例えばハッシュアルゴリズム）が例示される。ダイジェストアルゴリズム１７３の例にならい、以下、認証ファイル１６３をダイジェストファイル１６３と称する場合もある。

なお、情報加工手法１７１，１７２として、他の処理内容を採用しても構わない。

サーバ運営者は、図４に模式的に示すように、パッチファイル１６１とパッチＬＩＢ１６２と認証ファイル１６３とを、パッチファイル１６１を適用するプログラムを特定するための情報１６４と共に、サーバ４へ格納する。ここでは、情報１６４として、パッチファイルを適用するプログラムのタイトル（以下、パッチ適用タイトルとも称する）を例示するが、この例に限定されるものではない。サーバ４において、これらの情報１６１，１６２，１６３，１６４はワンセットで管理される。

＜Ｄ／Ｌ状況確認ステップ１４２＞
本ステップ１４２（図２参照）は、端末装置２において実行される。具体的には、図５に模式的に示すようにＦ／Ｗ記憶手段６３に修正ファイル取得状況管理プログラム１８１が予め格納されており、当該プログラム１８１を実行することにより、換言すれば当該プログラム１８１によってプロセッサ２１が修正ファイル取得状況管理手段として機能することにより、本ステップ１４２が行われる。

修正ファイル取得状況管理プログラム１８１によれば、サーバ４に準備される複数種類のパッチファイル１６１のそれぞれの取得状況が、端末装置２の第１記憶手段２２において管理される。

修正ファイル取得状況管理プログラム１８１は、サーバ４においてパッチファイル１６１等が追加又は更新されたか否かをチェックするために、所定のタイミングで実行される。当該プログラム１８１の実行タイミングとして、例えば、端末装置２のＦ／Ｗのアップデート時、予め設定された時間の経過時、等が例示される。また、パッチファイル１６１等が準備されたことをサーバ４が通知する構成の場合、その通知を受け取ったタイミングで当該プログラム１８１を実行してもよい。また、ユーザが起動指示を入力したタイミングで、プログラム１８１を実行してもよい。プログラム１８１の実行タイミングは、複数種類のタイミング（例えばサーバ４からの通知受信時とユーザ指示時との組み合わせ）を含んでもよい。

修正ファイル取得状況管理プログラム１８１によれば、修正ファイル取得状況情報、例えば、サーバ４にどのタイトルのパッチファイル１６１が準備されているのかに関する情報、サーバ４に未取得のパッチファイル１６１等が在るかの否かに関する情報、等が管理される。

図６に例示のファイル取得状況情報１８２は、サーバ４にパッチファイル１６１が準備されているプログラムのタイトル（すなわちパッチ適用タイトル１６４）と、使用するパッチＬＩＢ１６２のバージョンと、パッチファイル１６１等を本端末装置２がダウンロード済みであるか否かに関する情報（以下、Ｄ／Ｌ履歴とも称する）とを含んでいる。なお、これらの情報は図６に例示されるテーブル形式以外の形式で管理されてもよい。

ファイル取得状況情報１８２においてパッチ適用タイトル１６４と、パッチＬＩＢバージョンと、Ｄ／Ｌ履歴とは直接的又は間接的に関連付けられており、データベース（ＤＢ）が構築されている。このため、例えばパッチ適用タイトル１６４を検索キーに設定して当該データベースを検索することにより、その検索キーに関連付けられた情報（すなわちパッチＬＩＢ１６２のバージョンとＤ／Ｌ履歴）を抽出可能である。なお、以下では、修正ファイル取得状況情報１８２を、パッチ適用タイトルＤＢ１８２と称する場合もある。

図７に示すように、パッチ適用タイトルＤＢ１８２は、端末装置２のＤ／Ｌ情報記憶手段６１内（従って第１記憶手段２２内）に設けられている。図７は記憶手段６１，６２，８２，８３に格納される各種情報を例示する模式図である。図７には後述の各種情報も図示している。なお、図７は、記憶手段６１，６２，８２，８３の記憶容量、各種情報のデータサイズ、格納位置、等を限定するものではない。

ここで、修正ファイル取得状況管理プログラム１８１は（換言すれば、Ｄ／Ｌ状況確認ステップ１４２は）、パッチ適用タイトルＤＢ１８２の管理を行うのみであり、パッチファイル１６１等の実体ファイルは次のＤ／Ｌステップ１４３（図２参照）においてダウンロードされる。

図８に、修正ファイル取得状況管理プログラム１８１のフローチャートを例示する。図８の例では、当該プログラム１８１はステップ１８３〜１８５を含んでおり、ステップ１８３〜１８５がこの順序で実行される。

ステップ１８３では、プロセッサ２１が無線モジュール２４を介して、サーバ４に格納されているパッチ適用タイトル１６４を取得する。そして、プロセッサ２１は、取得したパッチ適用タイトル１６４をパッチ適用タイトルＤＢ１８２に登録する。

次に、ステップ１８４では、プロセッサ２１が無線モジュール２４を介して、サーバ４に格納されているパッチＬＩＢ１６２のバージョンを取得する。なお、この際、パッチＬＩＢ１６２自体はダウンロードしない。プロセッサ２１は、取得したパッチＬＩＢバージョンを、パッチ適用タイトル１６４に関連付けて、パッチ適用タイトルＤＢ１８２に登録する。

次に、ステップ１８５では、新しいパッチファイル１６１が存在するパッチ適用タイトル１６４に対して、パッチ適用タイトルＤＢ１８２のＤ／Ｌ履歴を“未取得”に設定する。新しいパッチファイル１６１の存在は、例えば上記ステップ１８４で取得したパッチＬＩＢ１６４のバージョンが更新されることによって判断可能である。あるいは、パッチファイル１６１がサーバ４に格納された日時等をサーバ４から取得することによって、新しいパッチファイル１６１の存在を判断してもよい。

なお、ステップ１８４，１８５の実行順序を入れ替えても構わない。

＜Ｄ／Ｌステップ１４３＞
本ステップ１４３（図２参照）は、メモリカード３が接続された状態の端末装置２において実行される。具体的には、メモリカード３の第２記憶手段８２内のプログラムが起動することにより、本ステップ１４３が実行される。

図９に模式的に示すようにメモリカード３の第２記憶手段８２には、本体プログラム２０１と、修正ファイル管理プログラム２０２とが予め格納されている。本体プログラム２０１は、アプリケーション・ソフトウェア等の本体部分のプログラム（換言すれば、メインプログラム）であり、ここではパッチファイル１６１が適用されるプログラムである。

修正ファイル管理プログラム２０２は、本体プログラム２０１に付随して設けられたプログラムであり、本体プログラム２０１に対して起動指示が発生する度に、本体プログラム２０１の実行に先立って実行される。なお、プログラムの起動指示は、例えばユーザによって端末装置２へ入力される。あるいは、端末装置２がメモリカード３の接続を検出することによって、端末装置２内で自動的に本体プログラム２０１の起動指示を生成する構成を採用してもよい。

修正ファイル管理プログラム２０２を端末装置２のプロセッサ２１が実行することによって、プロセッサ２１が修正ファイル管理手段として機能する。

修正ファイル管理プログラム２０２は、図９に例示するように、修正ファイル取得プログラム２０３を含んでいる。当該プログラム２０３を端末装置２のプロセッサ２１が実行することにより、換言すれば当該プログラム２０３によってプロセッサ２１が修正ファイル取得手段として機能することにより、本Ｄ／Ｌステップ１４３（図２参照）が行われる。

なお、図９に例示するように、修正ファイル管理プログラム２０２は更に、装置内認証ファイル作成プログラム２０４と、認証プログラム２０５と、修正ファイル有効化プログラム２０６と含んでいる。これらのプログラム２０４〜２０６については後述する。

図１０に、修正ファイル取得プログラム２０３のフローチャートを例示する。なお、図１０には参考のため、プログラム２０４〜２０６の実行も併記している。図１０に示すように、修正ファイル取得プログラム２０３は、本体プログラム２０１の起動指示の発生に伴って、且つ、他のプログラム２０１，２０４，２０５，２０６に先立って、実行される。図１０の例によれば、修正ファイル取得プログラム２０３はステップ２２１〜２２４を含んでおり、ステップ２２１〜２２４がこの順序で実行される。

ステップ２２１では、プロセッサ２１が、起動しようとする本体プログラム２０１がパッチ適用対象であるか否かを調べる。具体的には、起動しようとする本体プログラム２０１のタイトルを検索キーに設定してＤ／Ｌ情報記憶手段６１内のパッチ適用タイトルＤＢ１８２を検索する。検索の結果、本体プログラム２０１のタイトルがＤＢ１８２に登録されていなければ、適用するパッチが存在しないので、修正ファイル管理プログラム２０２を終了し、本体プログラム２０１を開始する。一方、起動しようとする本体プログラム２０１のタイトルがパッチ適用タイトルＤＢ１８２に登録されていれば、ステップ２２２が実行される。

ステップ２２２では、プロセッサ２１が、本体プログラム２０１のパッチファイル１６１等がダウンロード済みか否かを調べる。具体的には、パッチ適用タイトルＤＢ１８２において、上記ステップ２２１でヒットしたパッチ適用タイトルに関連付けられているＤ／Ｌ履歴を参照する。Ｄ／Ｌ履歴に“取得済み”が登録されている場合、修正ファイル取得プログラム２０３を終了して認証プログラム２０５を開始する。一方、Ｄ／Ｌ履歴に“未取得”が登録されている場合、ステップ２２３が実行される。

ステップ２２３では、プロセッサ２１がサーバ４からパッチファイル１６１等をダウンロードする。当該ステップ２２３は、パッチファイル１６１の取得ステップと、パッチＬＩＢ１６２の取得ステップと、認証ファイル１６３（すなわちダイジェストファイル１６３）の取得ステップとを含む。

より具体的には、パッチ取得ステップでは、パッチファイル１６１をサーバ４からメモリカード３の第３記憶手段８３へ転送する（図７参照）。なお、第２記憶手段８２内のプログラムが第３記憶手段８３を利用する場合、そのような利用領域を避けてパッチファイル１６１が格納される。

パッチＬＩＢ取得ステップでは、パッチＬＩＢ１６２をサーバ４から端末装置２のＤ／Ｌ情報記憶手段６１へ転送する（従って、パッチＬＩＢ１６２は第１記憶手段２２へ転送される。図７参照）。なお、ここでは、パッチＬＩＢ１６２が、パッチＬＩＢ実体とパッチＬＩＢ管理情報に分けて、Ｄ／Ｌ情報記憶手段６１に格納される場合を例示する。パッチＬＩＢ管理情報については後述する。

認証ファイル取得ステップでは、認証ファイル１６３をサーバ４から端末装置２のＤ／Ｌ情報記憶手段６２へ転送する（従って、認証ファイル１６３は第１記憶手段２２へ転送される。図７参照）。なお、Ｄ／Ｌ情報記憶手段６２への情報書き込みは所定位置からダウンロード順に行われる。

なお、３つのファイル１６１〜１６３は、どの順番でダウンロードしても構わない。また、各ファイル１６１〜１６３は、例えば、無線モジュール２４を介してプロセッサ２１（より具体的にはＲＡＭ４２）へ取り込まれた後に、所定の記憶手段へ格納される。あるいは、各ファイル１６１〜１６３を、プロセッサ２１を介さずに、無線モジュール２４から所定の記憶手段へ格納するようにしてもよい。後者のファイル転送は、例えば、プロセッサ２１が無線モジュール２４に対して、受信ファイル１６１〜１６３の転送先を指示することによって、実行可能である。

このように、ステップ２２１〜２２３によれば、パッチ適用タイトルＤＢ１８２を参照して、パッチファイル１６１等がサーバ４から取得される。

また、ステップ２２３では、パッチファイル１６１等のダウンロードに関連した処理を行う。かかるＤ／Ｌ関連処理は、ここでは、パッチ管理情報更新ステップと、パッチＬＩＢ管理情報更新ステップとを含む。

パッチ管理情報更新ステップでは、プロセッサ２１が、メモリカード３の第３記憶手段８３に格納されているパッチ管理情報２２７（図７参照）を更新する。

図１１に、パッチ管理情報２２７の一例を示す。図１１に例示のパッチ管理情報２２７は、端末装置２のＩＤと、パッチ適用タイトルと、パッチＬＩＢのバージョンと、メモリカード３の第２記憶手段８２のページアドレスと、メモリカード３の第３記憶手段８３のページアドレスと、Ｄ／Ｌカウント値と、Ｄ／Ｌ時刻とを含んでいる。パッチ管理情報更新ステップでは、今回ダウンロードしたパッチファイル１６１等に関して、これらの項目の情報の追加、修正、削除等を行う。なお、各項目は図１１に例示されるテーブル形式以外の形式で管理されてもよい。

装置ＩＤは、パッチファイル１６１等のダウンロードを担当した端末装置２のＩＤであり、その端末装置２のＩＤ記憶手段６４から取得して記録される。図１１の例では“MCC0020000”というＩＤを有する端末装置２と、“MCC0041235”というＩＤを有する端末装置２とによって、パッチファイル１６１等がダウンロードされたことが記録されている。

パッチ適用タイトルは、パッチファイル１６１が適用される本体プログラム２０１のタイトルである。図１１の例によれば、“MCC_BATTEL”、“MCC_DAYS”、“MCC_TRAVEL”というタイトルの３つのプログラムに対して、パッチファイル１６１がメモリカード３に格納されている。

パッチＬＩＢのバージョンは、利用するパッチＬＩＢのバージョンである。図１１の例によれば、“1.00”、“1.01”、“2.00”という３つのバージョンが存在することが記録されている。

第２記憶手段８２のページアドレスは、第２記憶手段８２内の不具合部分の開始アドレスである。一方、第３記憶手段８３のページアドレスは、パッチファイル１６１が格納されている開始アドレスである。

Ｄ／Ｌカウント値は、ダウンロードを担当した端末装置２によって行われた累計Ｄ／Ｌ回数である。Ｄ／Ｌカウント値には、端末装置２のＤ／Ｌカウンタ６５が、その時点で保持している累計カウント値が記録される。なお、プロセッサ２１は、Ｄ／Ｌカウンタ６５から累計カウント値を取得した後又は取得前に、Ｄ／Ｌカウンタ６５に保持しているＤ／Ｌ回数をインクリメントする。

Ｄ／Ｌ時刻は、パッチファイル１６１等のダウンロード完了時刻であり、ＲＴＣ２５（図１参照）から取得して記録される。

図１１の例によれば、“MCC_BATTEL”用のパッチファイル１６１が、“MCC0020000”というＩＤの端末装置２によって、時刻“19:30”にダウンロードされたこと、が記録されている。また、そのダウンロード時にその端末装置２のＤ／Ｌカウンタ６５の値が“１”であったこと、が記録されている。また、“MCC_BATTEL”用のパッチファイル１６１にはバージョン“1.00”のパッチＬＩＢ１６２が利用されること、が記録されている。また、図１１の例によれば、“MCC_DAYS”用に２つのパッチファイル１６１が同時刻に一括してダウンロードされたこと、が記録されている。また、図１１の例によれば、“MCC_TRAVEL”用の同じパッチファイル１６１が２つの端末装置２によってダウンロードされたこと、が記録されている。なお、当該２つの端末装置２間でＤ／Ｌカウンタ６５は独立であるため、Ｄ／Ｌカウント欄には端末装置ごとの値が記録されている。

装置ＩＤと、パッチ適用タイトルと、パッチＬＩＢバージョンと、第２記憶手段８２のページアドレスと、第３記憶手段８３のページアドレスと、Ｄ／Ｌカウント値と、Ｄ／Ｌ時刻とは直接的又は間接的に関連付けられており、データベース（ＤＢ）が構築されている。このため、例えば装置ＩＤとパッチ適用タイトルとの組み合わせを検索キーに設定して当該データベースを検索することにより、その検索キーに関連付けられた情報（すなわち、パッチＬＩＢバージョンと、第２記憶手段８２のページアドレスと、第３記憶手段８３のページアドレスと、Ｄ／Ｌカウント値と、Ｄ／Ｌ時刻）を抽出可能である。特に、第２記憶手段８２のページアドレスと、第３記憶手段８３のページアドレスとの対応を取得可能である。

ここで、パッチ適用タイトルの代わりに、各タイトルに関連付けたＩＤ等を採用してもよい。また、ページアドレス単位ではなく、バイト単位で、パッチ管理情報２２７を構成することも可能である。なお、バイト単位の管理では、パッチを適用する部分のサイズも管理される。

また、図１１の例では第２記憶手段８２内の不具合部分をページアドレスで特定するが、これに代えて、本体プログラム２０１を構成するファイル単位で（あるいはファイルのバイト単位で）、パッチ管理情報２２７を形成することも可能である。そのようなパッチ管理情報２２７を図１２に例示する。なお、図１２の例では、各ファイルのサイズも管理される。

パッチＬＩＢ管理情報更新ステップに関し、上記のように、パッチＬＩＢ１６２は、パッチＬＩＢ実体とパッチＬＩＢ管理情報に分けて、Ｄ／Ｌ情報記憶手段６１に格納される。パッチＬＩＢ管理情報更新ステップでは、プロセッサ２１が、そのパッチＬＩＢ管理情報を更新する。

図１３に、パッチＬＩＢ管理情報２２８の一例を示す。図１３に例示のパッチＬＩＢ管理情報２２８は、パッチＬＩＢ１６２のバージョンと、パッチＬＩＢ１６２の実体を格納している領域の開始アドレスと、パッチＬＩＢ１６２の実体のサイズとを含んでいる。パッチＬＩＢ管理情報更新ステップでは、今回ダウンロードしたパッチファイル１６１等に関して、これらの項目の情報の追加、修正、削除等を行う。なお、各項目は図１３に例示されるテーブル形式以外の形式で管理されてもよい。

図１３の例では、パッチＬＩＢバージョンと、パッチＬＩＢ実体の格納領域の開始アドレスと、パッチＬＩＢ実体のサイズとが直接的又は間接的に関連付けられており、データベース（ＤＢ）が構築されている。このため、例えばパッチＬＩＢバージョンを検索キーに設定して当該データベースを検索することにより、その検索キーに関連付けられた情報（すなわち、パッチＬＩＢ実体の格納領域の開始アドレスと、パッチＬＩＢ実体のサイズ）を抽出可能である。

なお、パッチ管理情報更新ステップと、パッチＬＩＢ管理情報更新ステップは、いずれを先に実行しても構わない。また、上記では説明のために２つの更新ステップを分けたが、例えばパッチＬＩＢバージョンは管理情報２２７，２２８で共通の項目であるため、同じタイミングで更新してもよい。

その後、ステップ２２４（図１０参照）では、プロセッサ２１がパッチ適用タイトルＤＢ１８２において、上記ステップ２２３を実行したパッチ適用タイトル１６４に対応する、Ｄ／Ｌ履歴を“取得済み”に更新する。

＜装置内認証ファイル作成ステップ１４４＞
本ステップ１４４（図２参照）は、メモリカード３が接続された状態の端末装置２において、上記Ｄ／Ｌステップ１４３に引き続いて実行される。具体的には、修正ファイル管理プログラム２０２（図９参照）に含まれる装置内認証ファイル作成プログラム２０４を実行することにより、換言すれば当該プログラム２０４によってプロセッサ２１が装置内認証ファイル作成手段として機能することにより、本ステップ１４４が行われる。

本ステップ１４４では、パッチファイル１６１等をダウンロードした時点で、換言すればパッチファイル１６１等のダウンロードに伴って、認証ファイル１６３とは別の新しい認証ファイル２４５（図７参照）を端末装置２において作成する。以下では、サーバ４の運営者側で作成された第１認証ファイル１６３（すなわちダイジェストファイル１６３）に対し、端末装置２で新たに作成する認証ファイル２４５を、第２認証ファイル２４５、装置内認証ファイル２４５等と称する場合もある。第２認証ファイル２４５は、端末装置２のＤ／Ｌ情報記憶手段６２に格納される（従って、第２認証ファイル２４５は第１記憶手段２２に格納される。図７参照）。

図１４に、第２認証ファイル２４５の作成手法を模式的に示す。図１４の例によれば、第１認証ファイル１６３（すなわちダイジェストファイル１６３）を予め定められた情報加工手法（第２情報加工手法）２３１に従って加工することにより、第２認証ファイル２４５が作成される。

ここでは、情報加工手法２３１として、第１認証ファイル１６３に補助ファイル２４６を結合し、結合したファイルを予め定められた情報加工手法（第３情報加工手法）２３２に従って加工することにより、第２認証ファイル２４５を作成する手法が例示される。補助ファイル２４６は、パッチファイル１６１等の取得に関連してユニークに定まる内容を有する。以下では、第２認証ファイル２４５の作成に用いる補助ファイル２４６を、第３認証ファイル２４６、装置内認証ファイル２４６等と称する場合もある。

図１４に加え、図１５及び図１６を参照して、認証ファイル２４５，２４６の作成手法をより具体的に例示する。なお、図１５は装置内認証ファイル作成プログラム２０４を例示するフローチャートであり、図１５には参考のためプログラム２０３，２０５，２０６の実行も併記している。また、図１６は、第３認証ファイル２４６の作成手法を例示する模式図である。

図１５に示すように、装置内認証ファイル作成プログラム２０４は、修正ファイル取得プログラム２０３の後に、且つ、残余のプログラム２０５，２０６に先立って、実行される。図１５の例によれば、装置内認証ファイル作成プログラム２０４はステップ２４１，２４２を含んでおり、ステップ２４１，２４２がこの順序で実行される。

ステップ２４１では、プロセッサ２１が、予め定められたユニークファイル作成手法（第１ユニークファイル作成手法）２３３（図１６参照）に従って第３認証ファイル２４６を作成する。第３認証ファイル２４６は、端末装置２のＤ／Ｌ情報記憶手段６２へ（従って、第１記憶手段２２へ）格納される（図７参照）。

図１６の例示のユニークファイル作成手法２３３によれば、直前にダウンロードしたパッチファイル１６１等に関連する、Ｄ／Ｌカウント値と、Ｄ／Ｌ時刻と、パッチＬＩＢバージョンと、パッチ適用タイトルとを収集し、収集したこれらの情報（換言すれば、そのデータ列）を結合したデータ列を第３認証ファイル２４６に設定する。

ここで、第３認証ファイルを構成する上記各情報は、種々の手法で収集可能である。例えば、上記各情報はパッチ管理情報２２７（図１２参照）に含まれるので、パッチ管理情報更新ステップの際にＲＡＭ４２等にも上記各情報を一時保存しておき、そこから上記各情報を収集してもよい。あるいは、パッチ管理情報更新ステップの際に第３認証ファイル２４６の格納領域にも上記各情報を書き込むようにしてもよい。この例によれば、それらの格納領域の情報を一括して読み出せば、情報の収集と結合を一括で行うことが可能である。あるいは、更新後のパッチ管理情報２２７から上記各情報を収集してもよい。あるいは、例えばパッチＬＩＢバージョン及びパッチ適用タイトルは、パッチ適用タイトルＤＢ１８２から取得してもよい。

第３認証ファイル２４６を構成する上記各情報の種類、個数、収集先、結合順序等は、ユニークファイル作成手法２３３において予め定められている。また、上記例示の情報に加えて又は代えて、ダウンロードしたパッチファイル１６１等に関連する他の情報を利用してもよい。なお、ユニークファイル作成手法２３３を他の処理内容で以て定義してもよい。

その後、ステップ２４２において、プロセッサ２１が、第３認証ファイル２４６を利用して、第２認証ファイル２４５を作成する。図１４の例では上記のように、第１認証ファイル１６３に第３認証ファイル２４６を結合し、結合したファイルを予め定められた情報加工手法２３２に従って加工することにより、第２認証ファイル２４５が作成される。

図１４に例示の情報加工手法２３２によれば、第１認証ファイル１６３と第３認証ファイル２４６とを結合した結合ファイルを、所定のＡＥＳアルゴリズム２４９で暗号化することによって、第２認証ファイル２４５を作成する。

この際、図１４の例では、ＡＥＳアルゴリズム２４９で利用する暗号鍵２５０は、次のようにして生成される。すなわち、第３認証ファイル２４６と装置ＩＤとを結合し、得られた結合ファイル（換言すれば、結合したデータ列）をシードとして擬似乱数生成手段２５１へ入力し、得られた乱数値の先頭１２８ビットを暗号鍵２５０に採用する。

なお、ＡＥＳアルゴリズム２４９以外の暗号化手法（例えばハッシュアルゴリズム）を用いてもよい。また、擬似乱数生成手段２５１へ入力するシードは上記の例に限定されないし、更に暗号鍵２５０の生成手法は上記の例に限定されるものではない。

ここでは、説明を分かりやすくするために、装置内認証ファイル作成プログラム２０４が、修正ファイル取得プログラム２０３の後に、実行される場合を例示した（図１０、図１５、図２参照）。これに対し、例えば、修正ファイル取得プログラム２０３のステップ２２３，２２４（図１０参照）の間に、装置内認証ファイル作成プログラム２０４を呼び出す割り込みステップを設けてもよい。いずれの例においても、装置内認証ファイル作成プログラム２０４は、修正ファイル取得プログラム２０３に付随し、パッチファイル１６１等をダウンロードした時点で（換言すればパッチファイル１６１等のダウンロードに伴って）実行される。

＜修正ファイル認証ステップ１４５＞
本ステップ１４５（図２参照）は、メモリカード３が接続された状態の端末装置２において実行される。具体的には、図１０に示されるように、パッチファイル１６１等の修正ファイルをダウンロード済みの状態、且つ、ダウンロード済みの修正ファイルに対して装置内認証ファイル２４５，２４６が作成済みの状態において、本ステップ１４５が実行される。

本ステップ１４５は、修正ファイル管理プログラム２０２（図９参照）に含まれる認証プログラム２０５を実行することにより、換言すれば当該プログラム２０５によってプロセッサ２１が認証手段として機能することにより、行われる。

本ステップ１４５では、これから実行しようとする本体プログラム２０１（ここでは“MCC_BATTEL”（図１１参照）を例示する）用のパッチファイル１６１及びパッチＬＩＢ１６２が、サーバ４からダウンロードした後に改ざんされていないかが検証される。すなわち、メモリカード３に格納されているパッチファイル１６１及びＤ／Ｌ情報記憶手段６１に格納されているパッチＬＩＢ１６２が、サーバ４から取得した時点と同じものである場合には、肯定的な判断（すなわち、改ざんされていない旨の判断）が下される。逆に、それらのファイル１６１，１６２が、サーバ４から取得した時点とは異なる場合には、否定的な判断（すなわち、改ざんされている可能性がある旨の判断）が下される。

図１７に、認証プログラム２０５のフローチャートを例示する。なお、図１７には参考のため、修正ファイル有効化プログラム２０６の実行も併記している。図１７の例では、認証プログラム２０５はステップ２６１〜２６６を含んでおり、ステップ２６１〜２６６この順序で実行される。

ステップ２６１では、第１認証ファイル１６３（すなわちダイジェストファイル１６３）に対応する評価ファイル（以下、第１評価ファイルとも称する）を作成する。

具体的には、これから実行しようとする本体プログラム２０１に関連して、第３記憶手段８３に格納されているパッチファイル１６１（すなわち第１ファイル１６１）と、Ｄ／Ｌ情報記憶手段６１（換言すれば第１記憶手段２２）に格納されているパッチＬＩＢ１６２（すなわち第２ファイル１６２）と、を読み出す。そして、読み出したファイル１６１，１６２を、図１８の模式図に示すように、第１認証ファイル１６３の作成手法（図３参照）と同じ情報加工手法１７１，１７２，１７３に従って加工することにより、第１評価ファイル２８１を作成する。すなわち、読み出したファイル１６１，１６２を結合し、結合したファイルをダイジェストアルゴリズム１７３で処理することにより、第１評価ファイル２８１が作成される。

ステップ２６２では、第３認証ファイル２４６に対応する評価ファイル(以下、第３評価ファイルとも称する)を作成する。

具体的には、図１９の模式図に示すように、予め定められたユニークファイル作成手法（第２ユニークファイル作成手法）２３４に従って第３評価ファイル２８３を作成する。すなわち、これから実行しようとする本体プログラム２０１に関連して、Ｄ／Ｌカウント値と、Ｄ／Ｌ時刻と、パッチＬＩＢバージョンと、パッチ適用タイトルとを収集し、収集したこれらの情報を結合したデータ列を第３評価ファイル２８３に設定する。

第３評価ファイル２８３の作成手法２３４は、第３認証ファイル２４６の作成手法（図１６参照）に対応して定義されている。具体的には、両手法２３４，２３３は、ファイル２８３，２４６を構成する情報の種類、個数、結合順序等において同じであるが、当該各情報の収集先が異なる。すなわち、第３評価ファイル２８３の作成手法２３４には、上記各情報をメモリカード３に格納されているパッチ管理情報２２７（図７及び図１１参照）から取得するように定義されている。

なお、第３認証ファイル２４６の作成手法２３３がパッチ管理情報２２７から上記各情報を収集するように定義されている場合には、当該ファイル作成手法２３３を第３評価ファイル２８３の作成に流用可能である。

ステップ２６３では、第２認証ファイル２４５に対応する評価ファイル（以下、第２評価ファイルとも称する）を作成する。

具体的には、図２０の模式図に示すように、上記ステップ２６１で作成した第１評価ファイル２８１を、第２認証ファイル２４５の作成と同じ情報加工手法２３１，２３２に従って加工することにより、第２評価ファイル２８２を作成する。すなわち、第１評価ファイル２８１を補助ファイル（ここでは上記ステップ２６２で作成した第３評価ファイル２８３）と結合し、結合したファイルをＡＥＳアルゴリズム２４９（図１４参照）で処理することにより、第２評価ファイル２８２が作成される。

この際、ＡＥＳアルゴリズム２４９で利用する暗号鍵２５０は、次のようにして生成される。すなわち、ＩＤ記憶手段６４に格納されている装置ＩＤを読み出し、当該装置ＩＤと第３評価ファイル２８３とを結合し、得られた結合ファイルをシードとして擬似乱数生成手段２５１へ入力し、得られた乱数値の先頭１２８ビットを暗号鍵２５０に採用する。

ステップ２６４では、上記ステップ２６１で作成した第１評価ファイル２８１を、Ｄ／Ｌ情報記憶手段６１（換言すれば第１記憶手段２２）に格納されている第１認証ファイル１６３（すなわちダイジェストファイル１６３）と比較する。比較の結果、第１評価ファイル２８１が第１認証ファイル１６３と同じである場合は、次のステップ２６５を実行する。これに対し、第１評価ファイル２８１が第１認証ファイル１６３と異なる場合は、認証プログラム２０５及び修正ファイル管理プログラム２０２（図１０参照）を終了し、しかも本体プログラム２０１を開始させない。

ステップ２６５では、上記ステップ２６２で作成した第３評価ファイル２８３を、Ｄ／Ｌ情報記憶手段６１（換言すれば第１記憶手段２２）に格納されている第３認証ファイル２４６と比較する。比較の結果、第３評価ファイル２８３が第３認証ファイル２４６と同じである場合は、次のステップ２６６を実行する。これに対し、第３評価ファイル２８３が第３認証ファイル２４６と異なる場合は、認証プログラム２０５及び修正ファイル管理プログラム２０２（図１０参照）を終了し、しかも本体プログラム２０１を開始させない。

ステップ２６６では、上記ステップ２６３で作成した第２評価ファイル２８２を、Ｄ／Ｌ情報記憶手段６１（換言すれば第１記憶手段２２）に格納されている第２認証ファイル２４５と比較する。比較の結果、第２評価ファイル２８２が第２認証ファイル２４５と同じである場合は、認証プログラム２０５を終了して、修正ファイル有効化プログラム２０６を実行する。これに対し、第２評価ファイル２８２が第２認証ファイル２４５と異なる場合は、認証プログラム２０５及び修正ファイル管理プログラム２０２（図１０参照）を終了し、しかも本体プログラム２０１を開始させない。

つまり、第１評価ファイル２８１が第１認証ファイル１６３と同じであり、且つ、第２評価ファイル２８２が第２認証ファイル２４５と同じであり、且つ、第３評価ファイル２８３が第３認証ファイル２４６と同じである場合にのみ、パッチファイル１６１及びパッチＬＩＢ１６２はダウンロード後に改ざんされていない旨の判断（すなわち肯定的な判断）が下される。そして、次の修正ファイル有効化プログラム２０６が実行される。

これに対し、第１評価ファイル２８１は第１認証ファイル１６３と異なる旨の比較結果と、第２評価ファイル２８２は第２認証ファイル２４５と異なる旨の比較結果と、第３評価ファイル２８３は第３認証ファイル２４６と異なる旨の比較結果とのうちの少なくとも１つが得られた場合、パッチファイル１６１及びパッチＬＩＢ１６２はダウンロード後に改ざんされた可能性がある旨の判断（すなわち否定的な判断）が下される。このため、本体プログラム２０１を開始させない。

なお、上記ステップ２６１〜２６６の実行順序は図１７の例に限定されるものではない。例えば、図２１に例示のフローチャートのように、ステップ２６１、ステップ２６４、ステップ２６２、ステップ２６５、ステップ２６３、ステップ２６６の順序を採用してもよい。また、例えば、比較ステップ２６４〜２６６を並列的に実行してもよい。

＜修正ファイル有効化ステップ１４６＞
本ステップ１４６（図２参照）は、メモリカード３が接続された状態の端末装置２において実行される。具体的には、図１７に示されるように、認証ステップ１４５において肯定的な判断（すなわち、パッチファイル１６１及びパッチＬＩＢ１６２はダウンロード後に改ざんされていない旨の判断）が下された場合に、本ステップ１４６が実行される。

本ステップ１４６は、修正ファイル管理プログラム２０２（図９参照）に含まれる修正ファイル有効化プログラム２０６を実行することにより、換言すれば当該プログラム２０６によってプロセッサ２１が修正ファイル有効化手段として機能することにより、行われる。

本ステップ１４６では、Ｄ／Ｌ情報記憶手段６１（換言すれば第１記憶手段２２）に格納されているパッチＬＩＢ１６２を起動することにより、メモリカード３の第３記憶手段８３に格納されているパッチファイル１６１を有効化する。

具体的には、パッチＬＩＢ１６２の実行により、パッチ適用タイトル（すなわち、これから実行しようとする本体プログラム２０１のタイトル）と装置ＩＤとが検索キーに設定されて、メモリカード３の第３記憶手段８３内のパッチ管理情報２２７（図１１参照）が検索される。そして、その検索キーに関連付けられた情報が抽出される。図１１の例の場合、第２記憶手段８２内の本体プログラム２０１中の不具合部分のページアドレスと、第３記憶手段８３内のパッチファイル１６１のページアドレスとが抽出される。

抽出された情報は、ＲＡＭ４２上に展開され、プロセッサ２１によって本体プログラム２０１の実行中に利用される。具体的には、プロセッサ２１は、本体プログラム２０１中の不具合部分のページアドレスに対するアクセス命令が発生した場合、その不具合部分アドレスに関連付けられている、第３記憶手段８３内のページアドレスへアクセスする。これにより、不具合部分にパッチファイル１６１が適用される（換言すれば、組み込まれる）。

なお、図１７の例では、修正ファイル認証ステップ１４５で否定的な判断が下された場合、修正ファイル有効化ステップ１４６だけでなく、本体プログラム２０１も実行しない。更に、改ざんの可能性があるパッチファイル１６１等を削除するようにしてもよい。あるいは、パッチファイル１６１等をサーバ４から再度、ダウンロードするようにしてもよい。

＜効果＞
上記構成によれば、サーバ４から供給される第１認証ファイル１６３だけでなく、端末装置２内で作成する第２認証ファイル２４５及び第３認証ファイル２４６も使って、取得済みのパッチファイル１６１等の認証を行う。このため、第１認証ファイル１６３だけで認証を行う場合に比べて、セキュリティが向上する。

特に、第２認証ファイル２４５及び第３認証ファイル２４６は端末装置２の内部で作成され利用される。すなわち、これらの装置内認証ファイル２４５，２４６の存在及び用途、並びに、装置内認証ファイル２４５，２４６を作成するための情報加工手法２３１，２３２，２３３（図１４及び図１６参照）は、端末装置２の外部に対して公開性を有していない。このため、装置内認証ファイル２４５，２４６によれば、第１認証ファイル１６３よりも高いセキュリティを提供することができる。

例えばパッチファイル１６１が、ダウンロード後に改ざんされた場合を想定する。パッチファイル１６１はダイジェストファイル１６３（すなわち第１認証ファイル１６３）の作成に利用されているので、ダイジェストファイル１６３とその評価ファイル（すなわち第１評価ファイル）２８１との比較によって、パッチファイル１６１の改ざんを検出可能である。

より具体的には、認証処理（図１７参照）において、第１評価ファイル２８１は、改ざんされたパッチファイル１６１を使って作成されることになる（ステップ２６１参照）。端末装置２に格納されている第１認証ファイル１６３は改ざんされていないとすると、第１評価ファイル２８１は第１認証ファイル１６３と一致せず（ステップ２６４参照）、否定的な判断が下される。

また、第１評価ファイル２８１を使って作成される第２評価ファイル２８２と、第２認証ファイル２４５との比較においても（ステップ２６６参照）、同様に、否定的な判断が下される。

したがって、パッチファイル１６１の改ざんを検出でき、改ざんされたパッチファイル１６１の利用、及び、改ざんに起因した悪影響の発生を防止できる。

次に、例えばパッチＬＩＢ１６２が、ダウンロード後に改ざんされた場合を想定する。パッチＬＩＢ１６２はダイジェストファイル１６３の作成に利用されているので、パッチファイル１６１についての上記認証と同様にして、パッチＬＩＢ１６２の改ざんを検出可能である。よって、改ざんされたパッチＬＩＢ１６２の利用、及び、改ざんに起因した悪影響の発生を防止できる。

次に、例えば、ダイジェストファイル１６３の作成手法（図３参照）がクラッカーに知られ、パッチファイル１６１及びパッチＬＩＢ１６２と共に、ダイジェストファイル１６３も、ダウンロード後に改ざんされた場合を想定する。この場合、改ざんしたパッチファイル１６１及びパッチＬＩＢ１６２に整合するように、ダイジェストファイル１６３を改ざんすることが可能になる。そうすると、第１評価ファイル２８１は、改ざんされたダイジェストファイル１６３と一致するので、第１評価ファイル２８１を利用してもファイル１６１〜１６３の改ざんを検出困難な状況が発生しうる。

ここで、第２評価ファイル２８２は、改ざんされたダイジェストファイル１６３と一致する第１評価ファイル２８１から作成されることになる。一方、端末装置２に格納されている第２認証ファイル２４５は改ざんされていないとすると、第２評価ファイル２８２は第２認証ファイル２４５と一致せず、否定的な判断が下される。したがって、ファイル１６１〜１６３のいずれかに改ざんがあることを検出可能であり、改ざんされたパッチファイル１６１等の利用、及び、改ざんに起因した悪影響の発生を防止できる。

次に、例えば、第２認証ファイル２４５が改ざんされた場合を想定する。この場合、第２認証ファイル２４５と第２評価ファイル２８２との比較によって（図１７のステップ２６６参照）、第２認証ファイル２４５の改ざんを検出可能である。

上記のように第２認証ファイル２４５の存在、用途、作成手法等は非公開である。このため、第２認証ファイル２４５の存在等がクラッカーに知られなければ、第２認証ファイル２４５と第２評価ファイル２８２との比較による認証が破られる可能性は低いと考えられる。

かかる点は、第３認証ファイル２４６の改ざんについても同様である。すなわち、仮に第３認証ファイル２４６が改ざんされた場合であっても、第３認証ファイル２４６と第３評価ファイル２８３との比較によって（図１７のステップ２６５参照）、第３認証ファイル２４６の改ざんを検出可能である。また、第３認証ファイル２４６の存在、用途、作成手法等は非公開であるため、第３認証ファイル２４６と第３評価ファイル２８３との比較による認証が破られる可能性は低いと考えられる。

なお、装置内認証ファイル２４５，２４６の改ざんが検出された場合、パッチファイル１６１及びパッチＬＩＢ１６２は改ざんされていない状況もあり得るが、クラッカーの侵入が疑われる。このため、装置内認証ファイル２４５，２４６に改ざんが検出されたことを条件にして、パッチファイル１６１の利用を中止することは好ましい。

このように、第２認証ファイル２４５及び第３認証ファイル２４６の採用により、高いセキュリティを提供できる。

ここで、図１４の例によれば、第３認証ファイル２４６は第２認証ファイル２４５の作成に利用されるので、第２認証ファイル２４５と第２評価ファイル２８２との比較によっても（図１７のステップ２６６参照）、第３認証ファイル２４６の改ざんを検出可能である。かかる点に鑑みれば、第３認証ファイル２４６と第３評価ファイル２８３との比較処理（図１７のステップ２６５参照）を省略することも可能である。なお、その場合、第３認証ファイル２４６をＤ／Ｌ情報記憶手段６２に格納しなくても構わない。

また、第３認証ファイル２４６を使わずに、第２認証ファイル２４５を作成することも可能である。例えば、図１４の例を、第１認証ファイル１６３を第３認証ファイル２４６と結合せずにＡＥＳアルゴリズム２４９へ入力するように変形してもよい。更に、装置ＩＤを第３認証ファイル２４６と結合せずに擬似乱数生成手段２５１へ入力するように、図１４の例を変形してもよい。

これに対し、図１４の例のように第３認証ファイル２４６を使って第２認証ファイル２４５を作成する場合、第３認証ファイル２４６はパッチファイル１６１等の取得時点でユニークに定まる内容を有する点にも鑑み、第２認証ファイル２４５の作成手法を複雑化して解析されにくくすることが可能である。その結果、第２認証ファイル２４５によるセキュリティが向上する。

また、図１４の例とは違えて、暗号化を利用せずに第２認証ファイル２４５を作成することも可能である。例えば、第１認証ファイル１６３と第３認証ファイル２４６とを結合したファイルをそのまま第２認証ファイル２４５に採用してもよい。また、暗号化手法を利用する場合であっても、図１４の例とは異なる暗号鍵を採用することも可能である。

これに対し、図１４の例のように暗号化手法を利用することにより、第２認証ファイル２４５の作成手法を複雑化して解析されにくくすることが可能である。その結果、第２認証ファイル２４５によるセキュリティが向上する。この際、第３認証ファイル２４６と装置ＩＤといういずれもユニークな内容を有するファイルから暗号鍵２５０を作成する点も、セキュリティ向上に貢献する。

また、図３の例とは違えて、パッチＬＩＢ１６２を使わずに、パッチファイル１６１から第１認証ファイル１６３を作成することも可能である。例えば、パッチＬＩＢ１６２をサーバ４から供給するのではなく、パッチＬＩＢ１６２をメモリカード３の第２記憶手段８２に予め格納しておく場合、サーバ４の運営者側ではパッチＬＩＢ１６２を使わずに第１認証ファイル１６３が作成される。

これに対し、図３の例のようにパッチファイル１６１とパッチＬＩＢ１６２とを結合したファイルから第１認証ファイル１６３を作成することにより、第１認証ファイル１６３の作成手法を複雑化して解析されにくくすることが可能である。その結果、第１認証ファイル１６３によるセキュリティが向上する。

また、上記構成によれば、認証プログラム２０５が、本体プログラム２０１に先立って、実行される。しかも、認証プログラム２０５は、本体プログラム２０１の起動指示が発生する度に、実行される。このため、本体プログラム２０１が改ざんされたパッチファイル１６１等を利用するのを、より確実に防ぐことができる。

なお、上記の構成では修正ファイル管理プログラム２０２を、端末装置２の電源投入時のＩＰＬ（Initial Program Loader）によって起動しない。したがって、ＩＰＬが解析されたとしても、修正ファイル管理プログラム２０２の存在が知られることはない。仮に修正ファイル管理プログラム２０２の存在がクラッカーに知られ、当該プログラム２０２が起動するようにＩＰＬが改ざんされた場合であっても、修正ファイル管理プログラム２０２が起動するだけである。つまり、当該プログラム２０２が起動すれば、上記のように、改ざんされたパッチファイル１６１等の利用は阻止される。

ここで、認証プログラム２０５は、暗号化した状態でメモリカード３の第２記憶手段８２に格納しておき、実行時に復号化するようにしてもよい。この例によれば、認証プログラム２０５が解析されにくくなり、セキュリティを向上させることができる。なお、その他のプログラム２０３，２０４，２０６の１つ以上又はファイル管理プログラム２０２全体を暗号化してもよい。

上記では１つの端末装置２を例示したが、複数の端末装置２がサーバ４を利用してもよい。この場合、例えば各端末装置２が内容の異なる情報加工手法２３１，２３２，２３３（図１４及び図１６参照）を採用することにより、クラッカーの攻撃がシステム全体に蔓延してしまうのを防ぐことができる。

ところで、上記構成によれば、サーバ４に準備されるパッチファイル１６１の種類、及び、それらの取得状況が、パッチ適用タイトルＤＢ１８２（すなわち修正ファイル取得状況情報１８２）として、第１記憶手段２２において（従って、端末装置２において）一元的に管理される。このため、パッチ適用タイトルＤＢ１８２を参照することにより、取得済みのパッチファイル１６１等については、再度のダウンロード処理を行わずに済む。これにより、処理効率が上がる。

また、上記構成によれば、パッチ適用タイトルＤＢ１８２と、当該ＤＢ１８２を管理する修正ファイル取得状況管理プログラム１８１（図５参照）との両方が第１記憶手段２２に格納されている。このため、例えばメモリカード３が接続されていない状態であっても、パッチ適用タイトルＤＢ１８２を管理することができる。

＜第２の実施形態＞
図２２に、第２の実施形態に係る端末装置２Ｂのブロック図を例示する。端末装置２Ｂは、図１に例示した端末装置２にアクセス監視手段３０１を追加した構成を有している。図２２の例では、アクセス監視手段３０１は、Ｄ／Ｌ情報記憶手段６２の前段に設けられている。このため、Ｄ／Ｌ情報記憶手段６２へのアクセスは、アクセス監視手段３０１を介して行われる。

特にＤ／Ｌ情報記憶手段６２にはアクセス禁止領域が設定されており、アクセス監視手段３０１は当該禁止領域へのアクセスを監視する。更に、上記の各種プログラムは当該禁止領域にアクセスしないように作成されている。これにより、禁止領域へのアクセスを不正アクセスとして検出することが可能である。

仮にクラッカーが侵入した場合、プログラム等の解析のために、端末装置２Ｂ及びメモリカード３の記憶手段にアクセスすると考えられる。しかも、クラッカーは、どのような情報がどこの記憶領域に格納されているかを知らないので、全ての記憶領域にアクセスすると考えられる。すなわち、アクセス禁止領域にもアクセスすると考えられるこのため、アクセス禁止領域へのアクセスを監視することにより、クラッカーによる不正アクセスを検出可能である。

かかるアクセス監視手段３０１は、例えば、Ｄ／Ｌ情報記憶手段６２内のアクセス禁止領域のアドレスが登録された記憶手段と、Ｄ／Ｌ情報記憶手段６２に対するアクセス要求が記憶手段に登録されたアドレスを含むか否かを照合する処理手段とによって、構成可能である。

禁止領域に対するアクセスの監視という上記手法に代えて又は加えて、次の監視手法を採用してもよい。すなわち、所定のアクセス条件を満足しなければ、Ｄ／Ｌ情報記憶手段６２へアクセスできないようにしてもよい。例えば、所定のアクセス順序規則に従ってアクセス要求（換言すれば、アドレス指定）が行われなければ、Ｄ／Ｌ情報記憶手段６２へのアクセスが許可されないようにする（特許文献２参照）。かかる例によれば、所定のアクセス条件を満足しないアクセス要求を不正アクセスとして検出可能である。

かかる例の場合、アクセス監視手段３０１は、例えば、所定のアクセス条件が登録された記憶手段と、Ｄ／Ｌ情報記憶手段６２に対するアクセス要求を記憶手段に登録されたアクセス条件と照合する処理手段とによって、構成可能である。

いずれのアクセス監視手法においても、不正アクセス要求が検出された場合、処理手段はその不正アクセス要求を破棄する。あるいは、処理手段が不正アクセス要求に対して任意のダミーデータを返信するように構成してもよい。あるいは、処理手段が不図示の出力手段（ランプ等）を制御して不正アクセス要求があったことをユーザに通知するように構成してもよい。あるいは、処理手段が、意図的なシステム異常（例えば全ての処理を中断させる処理）を起こさせる割り込み処理を、プロセッサ２１に対して強制的に要求するようにしてもよい。

このようにアクセス監視手段３０１によれば、不正アクセスを防止することができ、セキュリティを更に向上させることができる。

なお、上記ではＤ／Ｌ情報記憶手段６２に対してアクセス監視手段３０１を設ける場合を例示したが、この例に限定されるものではない。例えば、第１記憶手段２２に含まれる他のいずれかの記憶手段６１，６３〜６５に対して、アクセス監視手段３０１を設けてもよい。あるいは、記憶手段６１〜６５のうちの２つ以上のそれぞれに対して、アクセス監視手段３０１を設けてもよい。あるいは、記憶手段６１〜６５のうちの２つ以上でアクセス監視手段３０１を共有してもよい。

また、上記では端末装置２Ｂの第１記憶手段２２に対してアクセス監視手段３０１を設ける場合を例示したが、この例に代えて又は加えて、メモリカード３にアクセス監視手段３０１を設けてもよい。例えば、第２記憶手段８２と第３記憶手段８３とのうちの少なくとも一方に対して、アクセス監視手段３０１を設けてもよい。あるいは、２つの記憶手段８２，８３でアクセス監視手段３０１を共有してもよく、この場合、アクセス監視手段３０１は、例えばメモリＩ／Ｆ１０２の後段（換言すれば、記憶手段８２，８３の前段）に設けられる。あるいは、共有のアクセス監視手段３０１を、ホストＩ／Ｆ１０１とメモリＩ／Ｆ１０２との間に（従って、記憶手段８２，８３の前段に）に設けてもよい。

＜第３の実施形態＞
上記では第２記憶手段８２と第３記憶手段８３が同じメモリカード３内に設けられる構成を例示した。これに対し、これらの記憶手段８２，８３を別々の外部記憶媒体（メモリカードに限られない）に設けて端末装置２に接続しても構わない。

また、上記では第２記憶手段８２及び第３記憶手段８３がメモリカード３内に設けられる構成、すなわち記憶手段８２，８３が端末装置２に対して外部接続される構成を例示した。これに対し、これらの記憶手段８２，８３の一方又は両方を、端末装置２に内蔵しても構わない。図２３に、記憶手段８２，８３の両方を内蔵した端末装置２Ｃを例示する。

また、上記では第２記憶手段８２が書き換え不能なＯＴＰ ＲＯＭで構成される場合を例示したが、書き換え可能な記憶手段で構成しても構わない。そのような例によれば、記憶手段記憶手段８２，８３を、単一の記憶装置（例えばフラッシュメモリ、ハードディスク装置等）内に混在させることも可能である。この場合、単一の記憶装置内の異なる記憶領域によって、記憶手段８２，８３のそれぞれが構成されることになる。

なお、第３の実施形態の上記各種の例は、第２の実施形態に係る端末装置２Ｂ（図２２参照）にも適用可能である。

＜第４の実施形態＞
上記各種形態を、パッチＬＩＢ１６２（すなわち第２ファイル１６２）を利用しない修正手法、例えば不具合部分をパッチファイル１６１で上書きしてしまう修正手法に変形することも可能である。そのような例の場合、上記説明においてパッチＬＩＢ１６２に関連する処理が省略される。

また、既に説明したように、上記各種形態を、第３認証ファイル２４６を利用しない修正手法に変形することも可能である。

また、上記では第１ファイル１６１がパッチファイルであり、第２ファイル１６２がパッチＬＩＢである場合を例示したが、これらのファイル１６１，１６２は修正以外の用途のファイルであってもよい。また、ファイル１６１，１６２は、特定のプログラムに組み込むためのファイルでなくてもよい。例えば、第１ファイルが音楽ファイルであり、第２ファイルがその関連情報のファイルである場合が挙げられる。ファイル１６１，１６２が修正以外の用途のファイルである場合も、第２ファイル１６２の存在は任意である。

本発明は詳細に説明されたが、上記した説明は、すべての局面において、例示であって、本発明がそれに限定されるものではない。例示されていない無数の変形例が、本発明の範囲から外れることなく想定され得るものと解される。

１ 情報処理システム
２，２Ｂ，２Ｃ 情報処理装置、端末装置
３ 外部記憶媒体、メモリカード
４ 情報供給手段、サーバ
２１ プロセッサ
２２ 第１記憶手段
８２ 第２記憶手段、記憶媒体
８３ 第３記憶手段
１２０ 情報保存手段
１６１ 第１ファイル、パッチファイル
１６２ 第２ファイル、パッチＬＩＢ
１６３ 第１認証ファイル、ダイジェストファイル
１７１ 第１情報加工手法
１７２ 第４情報加工手法
１８１ ファイル取得状況管理プログラム、ファイル取得状況管理手段
１８２ ファイル取得状況情報、パッチ適用タイトルＤＢ
２０１ 本体プログラム
２０２ ファイル管理手段、ファイル管理プログラム、ファイル管理方法
２０３ 情報取得手段、ファイル取得プログラム
２０４ 装置内認証ファイル作成手段、装置内認証ファイル作成プログラム
２０５ 認証手段、認証プログラム
２０６ ファイル有効化手段、ファイル有効化プログラム
２３１ 第２情報加工手法
２３２ 第３情報加工手法
２３３ 第１ユニークファイル作成手法
２３４ 第２ユニークファイル作成手法
２４５ 第２認証ファイル、装置内認証ファイル
２４６ 第３認証ファイル、装置内認証ファイル
２５０ 暗号鍵
２６１ 第１評価ファイル作成手段
２６２ 第３評価ファイル作成手段
２６３ 第２評価ファイル作成手段
２６４ 第１比較手段
２６５ 第３比較手段
２６６ 第２比較手段
２８１ 第１評価ファイル
２８２ 第２評価ファイル
２８３ 第３評価ファイル
３０１ アクセス監視手段

Claims (16)

1. プロセッサと前記プロセッサがアクセス可能に設けられた第１記憶手段とを含んだ情報処理装置と、
   前記情報処理装置に外部接続され又は前記情報処理装置に内蔵され、前記プロセッサを各種処理手段として機能させるためのプログラムを格納する第２記憶手段と、
   前記情報処理装置に外部接続され又は前記情報処理装置に内蔵された第３記憶手段と、
   第１ファイルと、前記第１ファイルを予め定められた第１情報加工手法に従って加工することにより予め作成された第１認証ファイルとを格納する情報供給手段と
   を備え、
   前記各種処理手段は、ファイル管理手段を備え、
   前記ファイル管理手段は、
   前記第１ファイルを前記情報供給手段から前記第３記憶手段へ転送する手段と、前記第１認証ファイルを前記情報供給手段から前記第１記憶手段へ転送する手段と、を有する情報取得手段と、
   前記第１認証ファイルを前記情報供給手段から取得した時点において、前記第１認証ファイルを予め定められた第２情報加工手法に従って加工することにより第２認証ファイルを作成し、作成した前記第２認証ファイルを前記第１記憶手段に格納する装置内認証ファイル作成手段と、
   前記第３記憶手段に格納されている前記第１ファイルは前記情報供給手段から取得した時点と同じものである旨の肯定的な判断、又は、前記第３記憶手段に格納されている前記第１ファイルは前記情報供給手段から取得した時点と異なる旨の否定的な判断を下す認証手段と
   を含み、
   前記認証手段は、
   前記第３記憶手段内の前記第１ファイルを前記第１情報加工手法に従って加工することにより第１評価ファイルを作成する第１評価ファイル作成手段と、
   前記第１評価ファイルを前記第２情報加工手法に従って加工することにより第２評価ファイルを作成する第２評価ファイル作成手段と、
   前記第１評価ファイルを前記第１記憶手段内の前記第１認証ファイルと比較する第１比較手段と、
   前記第２評価ファイルを前記第１記憶手段内の前記第２認証ファイルと比較する第２比較手段と
   を有し、
   前記認証手段は、前記第１評価ファイルは前記第１認証ファイルと異なる旨の第１比較結果と、前記第２評価ファイルは前記第２認証ファイルと異なる旨の第２比較結果と、のうちの少なくとも１つが得られた場合、前記否定的な判断を下す、
   情報処理システム。
2. 請求項１に記載の情報処理システムであって、
   前記第２情報加工手法は、加工対象である前記第１認証ファイル又は前記第１評価ファイルを補助ファイルと結合し、得られた結合ファイルを予め定められた第３情報加工手法に従って加工する手法であり、
   前記装置内認証ファイル作成手段は、
   前記第１ファイルの取得に関連してユニークに定まる内容を有する第３認証ファイルを、予め定められた第１ユニークファイル作成手法に従って作成する手段と、
   前記第３認証ファイルを前記補助ファイルとして用いて前記第２認証ファイルを作成する手段と
   を有し、
   前記認証手段は、前記第３認証ファイルに対応する第３評価ファイルを、前記第１ユニークファイル作成手法に対応して予め定められた第２ユニークファイル作成手法に従って取得する第３評価ファイル作成手段を更に有し、
   前記第２評価ファイル作成手段は、前記第３評価ファイルを前記補助ファイルとして用いて前記第２評価ファイルを作成する、
   情報処理システム。
3. 請求項２に記載の情報処理システムであって、
   前記第３認証ファイルは前記第１記憶手段に格納され、
   前記認証手段は、前記第３評価ファイルを前記第１記憶手段内の前記第３認証ファイルと比較する第３比較手段を更に有し、
   前記認証手段は、前記第１比較結果と、前記第２比較結果と、前記第３評価ファイルは前記第３認証ファイルと異なる旨の第３比較結果と、のうちの少なくとも１つが得られた場合、前記否定的な判断を下す、
   情報処理システム。
4. 請求項２又は請求項３に記載の情報処理システムであって、
   前記第３情報加工手法は、前記補助ファイルと前記情報処理装置の識別情報とから、予め定められた暗号鍵生成手法に従って暗号鍵を生成し、前記結合ファイルを前記暗号鍵で暗号化する手法である、
   情報処理システム。
5. 請求項１ないし請求項４のうちのいずれか１項に記載の情報処理システムであって、
   前記第１ファイルは、前記第２記憶手段内の所定のプログラムが利用するファイルであり、
   前記情報供給手段は、前記第１ファイルを前記所定のプログラムで有効化するための第２ファイルを格納するためにも利用され、
   前記第１情報加工手法は、前記第１ファイルに前記第２ファイルを結合したファイルを、予め定められた第４情報加工手法に従って加工することにより、前記第１認証ファイルを作成する手法であり、
   前記情報取得手段は、前記第２ファイルを前記情報供給手段から前記第１記憶手段へ転送する手段を更に有し、
   前記第１評価ファイル作成手段は、前記第３記憶手段内の前記第１ファイルと前記第１記憶手段内の前記第２ファイルとを、前記第１情報加工手法に従って加工することにより前記第１評価ファイルを作成し、
   前記ファイル管理手段は、前記肯定的な判断を得られた場合に、前記第１記憶手段内の前記第２ファイルによって前記第３記憶手段内の前記第１ファイルを有効化するファイル有効化手段を更に有する、
   情報処理システム。
6. 請求項１ないし請求項５のうちのいずれか１項に記載の情報処理システムであって、
   前記第２記憶手段内の前記プログラムは、
   前記第１ファイルを利用する本体プログラムと、
   前記本体プログラムの起動指示が発生し且つ前記第１ファイルが前記第３記憶手段に格納されている場合に前記本体プログラムに先立って実行され、前記プロセッサを前記認証手段として機能させる認証プログラムと
   を含む、情報処理システム。
7. 請求項６に記載の情報処理システムであって、
   前記認証プログラムは、暗号化された状態で前記第２記憶手段に格納されており、実行時に復号化される、情報処理システム。
8. 請求項１ないし請求項７のうちのいずれか１項に記載の情報処理システムであって、
   前記第１記憶手段は、前記プロセッサをファイル取得状況管理手段として機能させるためのファイル取得状況管理プログラムを格納しており、
   前記ファイル取得状況管理手段は、前記情報供給手段に準備される複数種類の第１ファイルのそれぞれについての取得状況をファイル取得状況情報として前記第１記憶手段において管理し、
   前記情報取得手段は、前記ファイル取得状況情報に応じて、前記第１ファイル及び前記第１認証ファイルを前記情報供給手段から取得する、
   情報処理システム。
9. 請求項１ないし請求項８のうちのいずれか１項に記載の情報処理システムであって、
   前記第１記憶手段と前記第２記憶手段と前記第３記憶手段とのうちの少なくとも１つの記憶手段に対するアクセスを監視するアクセス監視手段を更に備える、情報処理システム。
10. 請求項１ないし請求項９のうちのいずれか１項に記載の情報処理システムに利用される前記プロセッサ及び前記第１記憶手段を備える、情報処理装置。
11. 請求項１０に記載の情報処理装置であって、
    請求項１ないし請求項９のうちのいずれか１項に記載の情報処理システムに利用される前記第２記憶手段と前記第３記憶手段とのうちの少なくとも一方を更に備える、情報処理装置。
12. 請求項１ないし請求項９のうちのいずれか１項に記載の情報処理システムに利用される前記第２記憶手段と前記第３記憶手段とのうちの少なくとも一方を備える、外部記憶媒体。
13. 請求項１ないし請求項９のうちのいずれか１項に記載の情報処理システムに利用されるプログラムであって、プロセッサを前記ファイル管理手段として機能させるためのプログラム。
14. プロセッサをファイル管理手段として機能させるプログラムであって、
    前記ファイル管理手段は、
    第１ファイルと、前記第１ファイルを予め定められた第１情報加工手法に従って加工することにより予め作成された第１認証ファイルとを、情報供給手段から情報保存手段へ転送する情報取得手段と、
    前記第１認証ファイルを前記情報供給手段から取得した時点において、前記第１認証ファイルを予め定められた第２情報加工手法に従って加工することにより第２認証ファイルを作成し、作成した前記第２認証ファイルを前記情報保存手段に格納する装置内認証ファイル作成手段と、
    前記情報保存手段に格納されている前記第１ファイルは前記情報供給手段から取得した時点と同じものである旨の肯定的な判断、又は、前記情報保存手段に格納されている前記第１ファイルは前記情報供給手段から取得した時点と異なる旨の否定的な判断を下す認証手段と
    を備え、
    前記認証手段は、
    前記情報保存手段内の前記第１ファイルを前記第１情報加工手法に従って加工することにより第１評価ファイルを作成する第１評価ファイル作成手段と、
    前記第１評価ファイルを前記第２情報加工手法に従って加工することにより第２評価ファイルを作成する第２評価ファイル作成手段と、
    前記第１評価ファイルを前記情報保存手段内の前記第１認証ファイルと比較する第１比較手段と、
    前記第２評価ファイルを前記情報保存手段内の前記第２認証ファイルと比較する第２比較手段と
    を含み、
    前記認証手段は、前記第１評価ファイルは前記第１認証ファイルと異なる旨の第１比較結果と、前記第２評価ファイルは前記第２認証ファイルと異なる旨の第２比較結果と、のうちの少なくとも１つが得られた場合、前記否定的な判断を下す、
    プログラム。
15. 請求項１４に記載のプログラムが、情報処理装置のプロセッサによって読み取り可能に格納されている、記憶媒体。
16. プロセッサによって行われるファイル管理方法であって、
    （a）第１ファイルと、前記第１ファイルを予め定められた第１情報加工手法に従って加工することにより予め作成された第１認証ファイルとを、情報供給手段から情報保存手段へ転送するステップと、
    （b）前記第１認証ファイルを前記情報供給手段から取得した時点において、前記第１認証ファイルを予め定められた第２情報加工手法に従って加工することにより第２認証ファイルを作成し、作成した前記第２認証ファイルを前記情報保存手段に格納するステップと、
    （c）前記情報保存手段に格納されている前記第１ファイルは前記情報供給手段から取得した時点と同じものである旨の肯定的な判断、又は、前記情報保存手段に格納されている前記第１ファイルは前記情報供給手段から取得した時点と異なる旨の否定的な判断を下すステップと
    を備え、
    前記ステップ（c）は、
    （c-1）前記情報保存手段内の前記第１ファイルを前記第１情報加工手法に従って加工することにより第１評価ファイルを作成するステップと、
    （c-2）前記第１評価ファイルを前記第２情報加工手法に従って加工することにより第２評価ファイルを作成するステップと、
    （c-3）前記第１評価ファイルを前記情報保存手段内の前記第１認証ファイルと比較するステップと、
    （c-4）前記第２評価ファイルを前記情報保存手段内の前記第２認証ファイルと比較するステップと
    を含み、
    前記ステップ（c）では、前記第１評価ファイルは前記第１認証ファイルと異なる旨の第１比較結果と、前記第２評価ファイルは前記第２認証ファイルと異なる旨の第２比較結果と、のうちの少なくとも１つが得られた場合、前記否定的な判断を下す、
    ファイル管理方法。

Images