Microsoft Pluton セキュリティプロセッサ — SoC 統合の TPM 2.0 互換 root-of-trust と Windows Update 経由ファームウェア配信

1. Microsoft Pluton とは — Microsoft Learn 公式 verbatim

Microsoft Pluton は、Microsoft が設計し、AMD / Intel / Qualcomm が SoC（System-on-Chip）に統合する セキュリティプロセッサ です。Microsoft Learn の Microsoft Pluton security processor 公式ページ は、Pluton を次のように定義します。

Microsoft Pluton security processor is a chip-to-cloud security technology built with Zero Trust principles at the core. Microsoft Pluton provides hardware-based root of trust, secure identity, secure attestation, and cryptographic services. Pluton technology combines a secure subsystem integrated into the system-on-chip (SoC) with Microsoft-authored software that runs on it.

― Microsoft Learn『Microsoft Pluton security processor』本文 verbatim

つまり Pluton は、(a) SoC に統合された secure subsystem（ハードウェア）、(b) その上で動く Microsoft 製ファームウェア / ソフトウェア の 2 層からなり、(c) hardware-based root of trust（ハードウェアベースの信頼の起点）、secure identity（セキュアな ID）、secure attestation（セキュアな証明）、cryptographic services（暗号化サービス） を Windows に提供します。

本ページは Microsoft Learn 公式 2 ページ と Microsoft Security ブログ 2020 の verbatim 引用 を一次出典としており、編集部による独自セキュリティ検証 / 暗号鍵保護試験 / 物理攻撃耐性試験 / Pluton 搭載各 SKU の個別動作確認は行っていません。スペック / 表記はすべて Microsoft 公式 verbatim です（HANDOVER 絶対則準拠）。

2. 対応チップセット — Microsoft Learn 公式 verbatim

Pluton が実際に動作する CPU / SoC は、Microsoft Learn 公式が verbatim で 3 ベンダー分を列挙しています。

Microsoft Pluton is currently available on devices with the following chipsets running on Windows 11:

1. AMD: Ryzen™ 6000, 7000, 8000, 9000 and Ryzen™ AI Series processors
2. Intel®: Core™ Series Processors - Ultra 200V Series, Ultra Series 3 and Series 3 processors
3. Qualcomm: Snapdragon® 8cx Gen 3 and Snapdragon® X Series processors

― Microsoft Learn『Microsoft Pluton security processor』本文 verbatim

この verbatim から、購入判断視点で抑えるべき 3 つの事実 が一次資料で確認できます。

• AMD 側: Ryzen 6000 / 7000 / 8000 / 9000 シリーズ、および Ryzen AI シリーズ（Strix Halo の Ryzen AI Max+ を含む Ryzen AI 系全般）で Pluton が動作する公式対応 SKU 群 として列挙されます。
• Intel 側: Core Ultra Series 3 / Series 3 に加え、Core Ultra 200V Series（Lunar Lake）も 明示的に列挙されています。
• Qualcomm 側: Snapdragon 8cx Gen 3 と Snapdragon X Series（Snapdragon X Elite / X Plus を含む Windows on ARM の現行プラットフォーム）も Pluton 公式対応です。

本サイトでは、Pluton が 「いつ・どのモデルから既定で有効化されているか」 や 「OEM が個別 SKU で Pluton を TPM 既定とするか / ディスクリート TPM を既定とするか」 の個別構成は、各 OEM の 公式仕様ページ / BIOS リリースノート の verbatim に依存するため、本ページでは Microsoft Learn 公式の verbatim 範囲を超える一般化は行いません。購入前 / 検証時は OEM 公式 spec ページ で 「Pluton」「TPM 2.0」「fTPM」「dTPM」 の表記を必ず確認してください。

3. Pluton は TPM 2.0 として動作する — Microsoft Learn『Pluton as TPM』verbatim

Microsoft Learn の Microsoft Pluton as Trusted Platform Module (TPM 2.0) 公式ページ は、Pluton が TPM 2.0 互換として動作する点 を verbatim で明示しています。

Microsoft Pluton is designed to provide the functionality of the Trusted Platform Module (TPM) thereby establishing the silicon root of trust. Microsoft Pluton supports the TPM 2.0 industry standard allowing customers to immediately benefit from the enhanced security in Windows features that rely on TPM including BitLocker, Windows Hello, and System Guard.

― Microsoft Learn『Microsoft Pluton as Trusted Platform Module (TPM 2.0)』本文 verbatim

つまり、Pluton が TPM として構成された SKU では、以下の Windows 機能がそのまま動作します。

• BitLocker（ドライブ暗号化）
• Windows Hello（顔認証 / 指紋認証の root-of-trust）
• System Guard（Windows 起動時の整合性検証）
• その他 TPM 2.0 を前提とする Windows セキュリティ機能全般（出典: Microsoft Learn 上記 verbatim）

Microsoft Learn は 物理的に PC を奪われた場合の耐性 についても verbatim で次のように記述しています。

As with other TPMs, credentials, encryption keys, and other sensitive information can’t be easily extracted from Pluton even if an attacker installs malware or has complete physical possession of the device. Storing sensitive data like encryption keys securely within the Pluton processor, which is isolated from the rest of the system, helps ensure that emerging attack techniques such as speculative execution can’t access key material.

― Microsoft Learn『Microsoft Pluton as Trusted Platform Module (TPM 2.0)』本文 verbatim

ここで重要なのは、Pluton が単なる TPM 互換チップ ではなく、SoC に内蔵された secure subsystem として CPU 本体と隔離（isolated） されている点です。投機的実行（speculative execution）由来の脆弱性（Spectre / Meltdown 系統）が CPU コア側に発見されても、鍵マテリアル（key material）は別の Pluton ドメインに格納される設計である、と Microsoft Learn が verbatim で説明します。

4. Windows Update 経由のファームウェア更新 — verbatim

Pluton の設計上の もう一つの大きな特徴 は、root-of-trust ファームウェア自体を Windows Update 経由で更新できる 点です。Microsoft Learn 公式 verbatim は次の通りです。

Continuous improvement: Pluton platform supports loading new firmware delivered through operating system updates. This functionality is supported alongside the typical mechanism of UEFI capsule updates that update the Pluton firmware that is resident on the system’s SPI flash and loaded during early system boot.

― Microsoft Learn『Microsoft Pluton security processor』本文 verbatim

Pluton also solves the major security challenge of keeping its own root-of-trust firmware up to date across the entire PC ecosystem, by delivering firmware updates from Windows Update. Today customers receive updates to their security firmware from various sources, which can make it difficult for them to apply these updates.

― Microsoft Learn『Microsoft Pluton as Trusted Platform Module (TPM 2.0)』本文 verbatim

このため、Pluton セキュリティの 更新運用は、従来の OEM BIOS / UEFI capsule + Pluton 専用 OS 更新の 2 経路 で行えます。BIOS 更新が遠ざかりがちな個人ユーザーでも、Windows Update 経由のセキュリティ更新を当てているだけで Pluton の root-of-trust ファームウェアも更新される設計 である、と Microsoft Learn 公式が verbatim で明示します。

Microsoft Learn は、Pluton ファームウェアロードフロー についても verbatim で次のように記述します。

When the system boots, Pluton hardware initialization is performed by loading the Pluton firmware from the Serial Peripheral Interface (SPI) flash storage available on the motherboard. During Windows startup however, the latest version of the Pluton firmware is used by the operating system. If newer firmware isn’t available, Windows uses the firmware that was loaded during the hardware initialization.

― Microsoft Learn『Microsoft Pluton security processor』本文 verbatim

つまり、ブート時には マザーボードの SPI フラッシュ上の Pluton ファームウェア が読み込まれ、Windows 起動後に Windows Update 経由で配布された最新版 Pluton ファームウェア に動的に差し替えられる、という 2 段ロード設計です。

5. Pluton と ディスクリート TPM の併存 — verbatim

Microsoft Learn は、Pluton と既存のディスクリート TPM が排他関係ではない ことも verbatim で明示しています。

Microsoft Pluton can be used as a TPM, or with a TPM. Although Pluton builds security directly into the CPU, device manufacturers might choose to use discrete TPM as the default TPM, while having Pluton available to the system as a security processor for use cases beyond the TPM.

― Microsoft Learn『Microsoft Pluton as Trusted Platform Module (TPM 2.0)』本文 verbatim

この verbatim から、Pluton 搭載 PC でも (a) Pluton を TPM として既定で動作させる構成 と (b) ディスクリート TPM（dTPM）を TPM 既定として残しつつ Pluton を「TPM を超える追加機能用」として併設する構成 の 2 つの OEM 選択肢 が公式に存在します。個別 SKU での既定がどちらか は、OEM の 公式 spec ページ / BIOS リリースノート の verbatim 表記でのみ判別可能です（本サイトは個別 OEM の既定判定は行いません）。

6. Xbox / Azure Sphere からの系譜 — Microsoft Security Blog 2020 verbatim

Pluton は Windows 向けに 新規に作られた設計 ではなく、Microsoft の Xbox One（2013） および Azure Sphere（IoT 向け SoC） で 既に量産投入された実績のあるセキュリティ設計の延長線上にあります。Microsoft Learn の verbatim と、Microsoft Security Blog 2020-11-17 — Meet the Microsoft Pluton processor の verbatim は次のように整合します。

Pluton is built on proven technology used in Xbox and Azure Sphere, and provides hardened integrated security capabilities to Windows 11 devices in collaboration with leading silicon partners.

― Microsoft Learn『Microsoft Pluton security processor』本文 verbatim

The Pluton design was introduced as part of the integrated hardware and OS security capabilities in the Xbox One console released in 2013.（中略）Azure Sphere leveraged a similar security approach to become the first IoT product（中略）In collaboration with leading silicon partners AMD, Intel, and Qualcomm Technologies, Inc., we are announcing the Microsoft Pluton security processor.

― Microsoft Security Blog（2020-11-17）『Meet the Microsoft Pluton processor』本文 verbatim

つまり Pluton は、(a) 2013 年 Xbox One での量産投入、(b) Azure Sphere での IoT 向け展開、(c) 2020 年 Windows PC 向け公式アナウンス（AMD / Intel / Qualcomm 3 ベンダー同時）という 段階的な実装履歴 を経た設計です。

Microsoft Security Blog 2020 は Pluton が具体的に何を守るか についても verbatim で次のように記述します。

Windows devices with Pluton will use the Pluton security processor to protect credentials, user identities, encryption keys, and personal data. None of this information can be removed from Pluton even if an attacker has installed malware or has complete physical possession of the PC.

― Microsoft Security Blog（2020-11-17）『Meet the Microsoft Pluton processor』本文 verbatim

7. Windows エディション要件 — Microsoft Learn 公式 verbatim

Microsoft Learn は、Pluton をライセンス的に有効化できる Windows エディション / ライセンス を一次資料 verbatim で開示しています。

Windows Pro	Windows Enterprise	Windows Pro Education/SE	Windows Education
Yes	Yes	Yes	Yes

― Microsoft Learn『Microsoft Pluton security processor』Windows edition and licensing requirements 章 verbatim

Microsoft Pluton ライセンス付与は、次の Windows ライセンス で行われます（Microsoft Learn verbatim）。

Windows Pro/Pro Education/SE	Windows Enterprise E3	Windows Enterprise E5	Windows Education A3	Windows Education A5
Yes	Yes	Yes	Yes	Yes

― Microsoft Learn『Microsoft Pluton security processor』Windows edition and licensing requirements 章 verbatim

Microsoft Learn の上記 verbatim 表は Windows 11 Home を含んでいません。Home ライセンスでの Pluton 利用可否 は、本ページ範囲では Microsoft 公式 verbatim 表記 が確認できないため、本サイトでは Home での個別動作可否の断定は行いません。Windows Home で Pluton を意識した運用が必要な場合 は、Microsoft Learn の最新表記と、OEM の公式 spec ページ verbatim を購入前に直接確認してください。

8. 用語の整理（混同しやすい近接概念）

用語	意味	Pluton との関係
TPM 2.0（Trusted Platform Module 2.0）	Trusted Computing Group が策定する暗号鍵 / 計測 / 認証 用のハードウェアセキュリティモジュール標準	Pluton は TPM 2.0 industry standard をサポート（Microsoft Learn verbatim）。Pluton は TPM 2.0 のスーパセット的位置付け
dTPM（ディスクリート TPM）	マザーボード上の 専用 TPM チップ（CPU 外部）	OEM の選択で dTPM を TPM 既定にしたまま、Pluton を 追加のセキュリティプロセッサとして併設可能（Microsoft Learn verbatim 『Microsoft Pluton can be used as a TPM, or with a TPM』）
fTPM（ファームウェア TPM）	CPU / SoC 内部のセキュアコアでファームウェア実装される TPM。AMD fTPM / Intel PTT が代表例	Pluton は fTPM とは別系統の root-of-trust。OEM によっては fTPM / dTPM / Pluton の 3 系統が同一プラットフォームに混在する場合があり、BIOS で TPM の供給元 を選択可能な機種がある
Windows Hello	Windows の生体認証フレームワーク（顔 / 指紋 / PIN）	Pluton は Windows Hello の root-of-trust（TPM 2.0 互換動作経由） として動作（Microsoft Learn verbatim）
BitLocker	Windows のディスク暗号化機能	Pluton は BitLocker の root-of-trust（TPM 2.0 互換動作経由）として動作（Microsoft Learn verbatim）
System Guard	Windows 起動時のシステム整合性検証	Pluton は System Guard の root-of-trust（TPM 2.0 互換動作経由）として動作（Microsoft Learn verbatim）
Copilot+ PC（Copilot+ PC）	NPU 40+ TOPS / 16 GB RAM / 256 GB SSD の Microsoft 認証 PC カテゴリ	Copilot+ PC 認定の主軸は NPU TOPS 要件 であり、Pluton 必須要件 とは別軸。ただし Copilot+ PC で列挙されるプロセッサ（Snapdragon X / Core Ultra 200V / Ryzen AI 300）は、いずれも Microsoft Learn の Pluton 対応チップセット verbatim 列挙に含まれる

9. 購入前 / 設定確認チェックリスト

• CPU 世代の verbatim 確認：購入予定機種の CPU が AMD Ryzen 6000 / 7000 / 8000 / 9000 / Ryzen AI または Intel Core Ultra Series 3 / Core Ultra 200V または Qualcomm Snapdragon 8cx Gen 3 / Snapdragon X に該当するかを、Microsoft Learn 公式 verbatim 列挙と OEM 公式 spec ページで確認
• OEM の TPM 既定設定：OEM が Pluton を TPM 既定として有効化しているか、ディスクリート TPM を既定として残しているかは OEM 公式 spec ページ / BIOS リリースノートの verbatim でのみ判別可能。本サイトの製品ページに記載がない場合は、各 OEM の一次資料を確認
• Windows エディション：Windows 11 Pro / Enterprise / Pro Education / SE / Education が Pluton 公式列挙の対象。Windows 11 Home での個別動作可否は Microsoft Learn 公式 verbatim 表記範囲外のため、Home 用途で Pluton 動作前提の運用を行う場合は、Microsoft Learn 最新表記の verbatim を直接確認
• Windows Update 運用：Pluton ファームウェアは Windows Update 経由で配布されるため、Windows Update を定期的に適用していること（Microsoft Learn verbatim『delivering firmware updates from Windows Update』）
• BIOS / UEFI capsule の運用：Pluton ファームウェアは マザーボードの SPI フラッシュ にも常駐し、UEFI capsule update（BIOS 更新）で更新される経路も維持される（Microsoft Learn verbatim）。ブート時に最新の Pluton ファームウェアを起動する ために、OEM 公式 BIOS 更新 も並行して適用する

10. 製品ページでの取り扱い方針

本サイト内の 個別ノートPC 製品ページ では、Pluton の対応可否は OEM 公式 spec ページに verbatim 記載がある SKU についてのみ 表記します。Microsoft Learn 公式 verbatim 列挙の CPU を搭載していても、(a) OEM が公式 spec ページで Pluton / TPM の表記をしていない、(b) 既定の TPM 供給元（Pluton か dTPM か）を OEM が公開していない、いずれも該当する場合は、本サイトは 「Pluton 対応」と一般化して断定しない方針 です。OEM の verbatim 表記がある SKU に限り、Pluton 関連の表記を OEM 公式の verbatim そのまま で引用します（HANDOVER 絶対則 = AI による spec 数値生成なし / 編集部による独自検証なし / 最上級表現なし / verbatim 厳密引用限定 / 一般化断定なし）。