26年越しの突破口：初期型PS2のセキュリティチップからファームウェアを抽出

研究コミュニティは2026年9月に解析成果を発表しました[1]。初期型PS2のセキュリティチップから、内部ファームウェアの抽出に成功しました[1]。ファームウェアとは、機器を制御する基本プログラムのことです。対象は「CXP102064」を含む「SPC970」系MechaCon（メカコン）です[1]。研究者は発表までに4年間の作業を費やしました[2, 3]。

MechaConとは、光学ドライブの機構制御とセキュリティ処理を担う専用プロセッサです。研究者はチップの樹脂を薬品で溶かすデキャップを行い、露出したダイ（半導体本体）を顕微鏡で光学観察しました[4]。この光学ダンプから得られた構造情報を基に、コマンド処理などの脆弱性を突いてソフトウェア経由での抽出を達成しました[4, 5]。これにより、256 KiBの内部ROMデータを実機から読み出せるようになりました[5, 6]。

今回の抽出手法は、すべての初期型チップに対応しているわけではありません。公開インデックスでは、バージョン2系やバージョン3系（CXP103049）のファームウェアが複数掲載されています[7, 8, 9, 10, 11, 12]。一方で、最初期のバージョン1系は今回の手法の対象外とされています[8, 9, 10, 11, 13]。また、公開されたインデックス自体も未完成の一覧であり、地域差や未収録の版が残されていると報じられています[14]。

今回の成果について、公開された範囲を正確に把握することも重要です。研究成果として得られたのはROMイメージであり、回路図やネットリスト（回路結線情報）の公開までは確認されていません[4, 15]。さらに、チップ固有の暗号鍵やキーストア（暗号鍵の保管領域）が取得または公開された事実も確認されていません[16]。完全な回路複製や暗号鍵の特定に達したわけではない点に注意が必要です[15, 16]。

後輩26年ぶりにコードが読めたとなると、PS2のハードウェアはすべて解明されたと捉えてよいのでしょうか？

先輩そこは冷静に見極める必要があるね。今回読み出せたのは制御プログラムであって、回路そのものの完全な設計図ではないよ。

後輩プログラムが分かっても、チップ自体の物理的な構造すべてが明らかになったわけではないのですね。

先輩その通りだね。電子回路の微細な結線や固有の暗号鍵は別だから、解読された範囲を切り分けて考えることが大切だよ。

後輩成果の大きさに目を奪われず、何が判明して何がまだなのかを区別して理解します。

セキュリティチップ「MechaCon」の正体：ドライブ制御と多重防壁の役割

PS2の内部において、MechaConは二重の役割を受け持っています。MechaConとはMechanics Controllerの略称であり、光学ドライブの機構制御を行う装置です[17]。光学ピックアップ（レーザー照射部）やスピンドルモーター、トレイの開閉を直接制御します[18]。さらに、外部EEPROM（電気的に書き換え可能なメモリ）のサーボ調整値を読み込み、ドライブの動作を調整します[18]。

同時に、MechaConはPS2のセキュリティ処理を担う中核プロセッサとして機能します[17, 19, 20]。ディスクが挿入されると、MechaConは目次情報（TOC）やISO9660ファイルシステムを限定的に解析します[21]。さらにディスク盤面の微細な溝構造であるウォブルやプリグルーブ、記録可能CDの時間情報であるATIP信号を照合します[21]。この検査を通らない媒体や許可されないリージョン（販売地域）のディスクは、不正ディスクとして扱われます[21]。

リージョン保護は単一のチップではなく、複数の構成要素で分担されています。MechaConのファームウェア、EEPROMの設定値、そしてIOP（入出力プロセッサ）のBOOT ROMが連携して検証します[22]。また、著作権保護技術「MagicGate」の処理もMechaConの役割です[23]。メモリーカードの認証や、暗号化ファイル（KELF、KIRX、MBR）の復号と署名検証を担当します[20, 23]。

ゲームの起動処理も、複数のプロセッサが連携して進みます。MechaConはディスクキーや起動ファイル名をDSP（信号処理プロセッサ）経由で受け取ります[24]。それらをS-Commandという専用通信でIOPやEE（メインCPU）へ渡します[24]。MechaConはIOPから「DEV5」として接続されており、EEそのものではありません[25]。このように、物理制御と暗号処理が連携して多重防壁を形成しています[24, 25]。

後輩ドライブを動かすチップが、なぜメモリーカードの認証や暗号解除まで担当しているのですか？

先輩セキュリティ処理を一箇所に集めず、メインCPUや入出力プロセッサと分散させる設計思想だったと考えられるよ。

後輩メイン処理だけを模倣しても、周辺の防壁を突破できなければシステム全体が動かない仕組みですね。

先輩まさに多重防壁だね。物理的なディスクの回転からデータの正当性確認までを一連の流れで拘束していたわけだよ。

なぜ解読に26年を要したのか：初期型チップを阻んだ物理構造と技術的困難

解析に26年を要した背景には、初期型チップが持つ物理的な制約がありました。従来の解析で利用できたのは、BIOS ROMや外部EEPROM（容量1 KiB）、保守用UARTコマンド等でした[26]。SPC970内部のファームウェアROMそのものを読み出す手段は、存在しませんでした[26]。内部コードは長年にわたり手つかずのまま残されていました[26]。

一方、「SCPH-500xx」系などの後期型PS2に搭載された「Dragon」系チップは、過去に解読が進んでいました[27, 28]。Dragon系はEEPROM内にパッチ領域を持ち、設定書き込み機能に境界検証の不備がありました[27]。この脆弱性を突いてEEPROMを書き換えることで、コード実行とキーストアのダンプが達成されていました[27]。

しかし、初期型のSPC970系はファームウェアをMask ROMまたはOTP（書き換え不能メモリ）に格納していました[29, 30]。Mask ROMとは、製造時に物理的な回路としてデータが焼き固められた読み出し専用メモリのことです。EEPROMパッチによる更新機構を持たないため、Dragon系の攻撃手法を初期型へ流用することはできませんでした[30]。

このため研究者は、チップを削って顕微鏡で回路パターンを観察する物理解析から着手しました[31]。光学観察で得られた手掛かりからコマンド処理の欠陥を見つけ、4年かけて抽出経路を開拓しました[31]。ただし、今回の手法は実機のEEPROMを一時的な作業領域として利用します[32, 33]。EEPROMへの大量書き込みを伴うため、実機の故障リスクや個体差という課題が残されています[32, 33]。

項目初期型（SPC970系：CXP102064等）後期型（Dragon系：SCPH-500xx等）
内蔵ROMの形式Mask ROM / OTP（物理的に固定）[29]内蔵ROM（EEPROMパッチ領域あり）[27]
ファームウェアの更新EEPROMによるコード更新は不可[30]EEPROM書き換えによるパッチが可能[27]
主な脆弱性と攻略経路光学解析の手掛かりに基づくコマンド処理の脆弱性[31]設定メモリ（WriteConfig）の境界検証不備[27]
抽出時の制約・リスクEEPROMへの大量書き込みを伴いハードウェア損耗あり[32, 33]EEPROMの暗号鍵解析によるコード実行とダンプ[27]

後輩後期型のチップが過去に解析されていたなら、初期型の解析にも同じ手法を流用できなかったのですか？

先輩後期型にはメモリを書き換えて修正できる余地があったけれど、初期型は回路に直接焼き固められていたからね。

後輩外部からプログラムを変更できない構造だったからこそ、物理的な観察から始める必要があったのですね。

先輩そうだね。さらに今回の抽出手順も外部EEPROM／NVRAMへの反復書き込みを伴うから、実機の劣化という代償を払っているよ。

後輩単にソフトウェアを動かすだけでなく、ハードウェアを壊す危険と隣り合わせの解析だったわけですね。

エミュレータは何が変わるのか：PCSX2の再現性向上と残された暗号鍵の壁

今回の抽出成果は、PS2エミュレータ「PCSX2」にどのような影響を与えるのでしょうか。エミュレータとは、他機種のハードウェアをPC上で模擬動作させるソフトウェアのことです。現在の公式PCSX2はMechaConの内部コードを実行していません[34]。BIOSやNVRAMの外部設定を読み込み、光学ドライブ機構を高位の抽象レイヤーで再現しています[34, 35]。通常の市販ゲームの起動は、すでに高い互換性を実現しています[35]。

今回の成果がもたらす最大の利点は、SPC970の実コード（256 KiB）とメモリマップの解明です[36, 37]。Ghidraのローダーにより、S-CommandやMagicGateのディスパッチテーブル（処理振り分け表）が解析可能になりました[36]。これにより、ディスク種別判定やプリグルーブの解釈を本物のコードに基づいて高精度化できる可能性があります[38]。プロセッサ間通信の挙動も、実機に即して正確に再現できるようになります[38]。

実コードによる高精度化は、特殊な認証を要求する環境で大きな価値を持ちます[39]。DVDプレーヤーやHDDインストールディスク、Free McBootなどの特殊メディアで再現性が向上すると期待されています[39]。DNASやPS2互換アーケード機の研究にも寄与すると考えられます[39]。

ただし、コードの入手だけで完全な認証再現ができるわけではありません。暗号処理を完結させるには、チャレンジデータやカード鍵ストアなど4つの鍵素材が不可欠です[40, 41, 42]。今回の成果にこれら暗号鍵は含まれていません[43]。また、PS2本体のBIOSダンプが不要になるわけでもありません[44]。エミュレータ側でも鍵やBIOSは個別に扱われており、ダンプ単体は低レベル解析の研究基盤と位置付けられます[45, 46, 47, 48]。

分類今回のダンプで判明・利用可能になった要素完全な認証再現に依然として不足している要素
プログラムコードSPC970の実コード（256 KiB）とメモリマップ[36]チップ固有の暗号鍵およびキーストア[43]
コマンド処理SCMD・NCMD等のディスパッチテーブル[36]チャレンジデータ（Challenge IV）[40, 41, 42]
暗号・認証機構MagicGateディスパッチテーブルと処理ルーチン[36]カード鍵ストア・鍵ストア鍵・暗号化鍵ストア[40, 41, 42]
システム全体ドライブ機構の制御論理や異常ディスク判定処理[38]PS2本体のBIOS ROM（従来通り実機ダンプが必須）[44]

後輩エミュレータで遊ぶ一般のユーザにとっては、明日からゲームの動作が劇的に変わるのでしょうか？

先輩一般的な市販ゲームの起動に関しては、既存のエミュレータでもすでに高いレベルで動くよう工夫されているよ。

後輩では、今回の内部コード抽出がもたらす直接的な恩恵はどこにあるのですか？

先輩特殊な認証を要求する周辺機器やディスク認識など、従来の推測では再現しきれなかった境界領域の精度向上だね。

後輩普段は見えない深い階層の互換性を、本物のコードを基に正しく埋められる点に価値があるのですね。

実機修理と文化保存への波及：アーケード基板への応用と法的な留意点

本成果は、実機の修理やレトロゲームの文化保存活動にも好影響を与えます。経年劣化した個体では故障対応が課題となります。内部コードとUARTやEEPROMの情報を照合することで、故障診断の精度向上が期待されます[49]。交換用レーザーの校正や異常ディスク処理の解析が進み、互換部品開発に寄与する可能性があります[49]。

ただし、ファームウェアのダンプだけで光学ドライブエミュレーター（ODE）が完成するわけではありません[50, 51]。ODEとは、光学ドライブをSDカードなどに置き換える装置のことです。ODEの実現にはMechaConのコードに加え、DSPやサーボ制御、ディスク信号生成等の再現が必要です[50, 51]。現段階の成果は、将来のハードウェア開発に向けた基礎研究の段階と評価されます[52, 53]。

さらに、本成果はアーケード互換基板の保存研究にも波及します。ナムコ「System 246」やコナミ「Python 1」には、派生版「CXP102064-651R」が採用されています[54]。アーケード版はドングル（専用認証装置）の交換を制限する特殊な仕様を持ちます[55]。完全な保存には、専用BIOSやドングル、独自I/Oボードなどの解析が欠かせません[55, 56, 57]。

研究成果の公表にあたっては、法令への配慮が不可欠です。ファームウェアの複製や解析は、著作権法や米国デジタルミレニアム著作権法（DMCA）第1201条の規制対象となり得ます[58]。DMCAのリバースエンジニアリング例外は、適法取得者が相互運用の要素を分析する目的に限られます[59]。図書館等の保存目的免除も施設内利用に限定され、ネットでの公開配布は認められません[60]。

著作権法の複製例外も、第三者へのROM公開を許可するものではありません[61]。また営業秘密の観点からも、不正取得データの再配布は法的責任を問われる可能性があります[62, 63, 64]。法的リスクを抑える方策として、バイナリ配布を避けることが提案されています。仕様公開やクリーンルーム手法による再実装を進めることが、法的リスクを抑える現実的な指針とされています[65, 66]。

後輩文化財としてのゲーム保存を進めるなら、抽出したプログラムそのものを広く配るのが一番手っ取り早く思えます。

先輩法的な権利関係を無視してデータを配ると、かえって保存活動そのものが差し止められるリスクを招くよ。

後輩技術的に可能であっても、著作権や営業秘密の保護という法的な境界線は越えてはいけないのですね。

先輩その通りだね。だからこそコードから仕様や動作原理を読み解き、独自実装へ落とし込むクリーンな手順が重宝されるんだよ。

後輩技術の解析成果を社会で長く生かすためには、法令に配慮した慎重な手順設計が不可欠だと分かりました。