JP2002509624A - プログラム制御方式セキュリティ・アクセス制御を有する安全メモリ・カード - Google Patents

Abstract

(57)【要約】 安全メモリ・カードは、いくつかのアドレス可能な不揮発性メモリ・チップ（１０３ａ、１０３ｂ、...１０３ｎ）と内部バスを介して相互接続された単一の半導体チップ上のマイクロプロセッサを含む。マイクロプロセッサは、いくつかのキー値を記憶するアドレス可能な不揮発性メモリを含む。各チップのメモリ（５４）は、それぞれ、いくつかのバイト位置行を含む、ブロックとして構成される。各行は、総数がロック値用の記憶域を提供する、ロック・ビット位置を含む。各メモリ・チップ（１０３ａ、１０３ｂ、...１０３ｎ）は、ホスト・コンピュータとの確認手順時にロック・ビット位置のビット内容とキー値を比較することによって所定のキー検証動作を実行するように構成されたセキュリティ制御論理回路（３０）を含むように構成される。

Description

【発明の詳細な説明】 プログラム制御方式セキュリティ・アクセス制御を有する安全メモリ・カード ［技術分野］ 本発明は、ポータブル・パーソナル・コンピュータ分野に関し、詳細には、ポ ータブル・ディジタル情報環境でデータ・セキュリティを維持するシステムに関 する。 ［背景技術］ 個人情報のセキュリティは常に重要である。歴史的に見ると、個人情報のセキ ュリティは、署名、証明書、および写真を使用することによって保護されている 。自動バンキング・システムなど電子装置によって、コード化カードおよび個人 識別番号（ＰＩＮ）がセキュリティ・ツールの範疇に加えられている。 最近では、「スマート・カード」がセキュリティ・ツールとして使用されてい る。「スマート・カード」とは、書込み可能な不揮発性メモリと簡単な入出力イ ンタフェースとを有する小型マイクロコンピュータであり、単一のチップとして 製造され、プラスチック製「クレジット・カード」に埋め込まれる。「スマート ・カード」は、特別に設計された機器にそれ自体を 接続できるようにする外部ピンを有する。このカードのマイクロコンピュータに 含まれるプログラムは、この機器と相互作用して、任意選択としてパスワード交 換を含むことができる所望のアルゴリズムに応じて不揮発性メモリのデータを読 み取り、あるいは修正できるようにする。メモリのデータを保護して、状況に応 じて許可を変更できるようにする特殊な技法が実施されている。たとえば、「Si ngle Chip Microprocessor with On-Chip Modiliable Memory」と題する米国特 許第４３８２２７９号は、処理・制御装置と同じチップ上に含まれる不揮発性メ モリの自動プログラミングを可能にするアーキテクチャを開示している。他のシ ステムの場合と同様に、マイクロプロセッサは同じチップ上のメモリしか保護し ない。 「スマート・カード」は、識別プロセスを迅速化するために使用されると共に 、価値ある情報を実際に有するものとしても使用されている。この状況では、大 部分の従来の状況と同様に、「キー」の物理的存在とある特殊な知識が、検証プ ロセスまたは確認プロセスの一部として使用される。そのような場合、識別では 、アクセスを希望する人間と、セキュリティ・ガードや銀行用端末装置など一定 のエージェントとの間で対話が行わ れている。 フリースタンディング計算装置の現状の可搬性のために、物理的キーも確認エ ージェントも、小型で可搬性の高いものとすることができ、したがって紛失しや すく、あるいは盗まれやすくなっている。さらに、計算装置によって、識別プロ セスに関連する特殊な知識またはパスワードの推測または演鐸を繰り返して試み ることができるようになった。これは特に、確認エージェントまたは確認装置が 、窃盗者の制御下にある場合にもそうである。さらに悪いことには、現在の技術 では、大量の重大な情報を持ち運ぶことができ、かつそうすることが奨励されて おり、そのため災難に会いやすい。 今日のノート・サイズおよび準ノート・サイズのコンピュータは、顕著な計算 能力を有するフリースタンディング環境を提供し、そのため追加データ記憶機能 が必要になっている。このニーズは最初、プログラムとデータの両方を保持でき る小型ハード・ディスク装置によって満たされた。このようなシステムではパス ワード保護が使用されることが多いが、第１に、確認エージェントが害を被りや すいので、パスワード保護は重要なデータを完全に保護するわけではない。しか し、さらに重大な こととして、データを含むディスク装置は、より分析を容易にする設定では物理 的に取り外してアクセスすることができる。この場合、データは、ある形の暗号 を使用して保護されている。ディスク・アクセスの性質のために、不当なコスト または性能上の障害を受けずに、これができるようになった。このタイプのシス テムの一例は、「Integrated Circuit Card」と題する米国特許第４９８５９２ ０号に記載されている。 最近、フラッシュ・メモリおよび取外し可能な「メモリ・カード」が現れたた め、ポータブル・コンピュータの寸法要件および電力要件を大幅に低減させるこ とができるようになった。フラッシュ・メモリとは、ランダム・アクセス・メモ リ（ＲＡＭ）の柔軟性とディスクの性能を組み合わせたものである。今日、この ような技法を組み合わせることによって、クレジット・カード・サイズの取外し 可能なパッケージに最大で２０００万データ・バイトを電力なしで記憶すること ができる。このデータは、ホスト・システムから、従来型のディスク・ドライブ に記憶されているように見えるようにすることも、あるいはホスト・システムの メモリの拡張機能に記憶されているように見えるようにすることもできる。 このような技術の開発によって、システムおよびデータを持ち運ぶことができ る程度にシステムの寸法をさらに減少させることができるようになった。このた め、データとそのホスト・システムは、紛失しやすく、あるいは盗まれやすくな り、かっこれによって、コストおよび性能上の大きな障害がもたらされるので、 暗号によってメモリ・データを保護することもより困難になった。 ［発明の開示］ したがって、本発明の主要な目的は、安全メモリ・サブシステムを有するポー タブル・ディジタル・システムを提供することである。 本発明の他の目的は、ポータブル・ディジタル・システムから取り外された場 合に内容を保護できるメモリ・カードを提供することである。 本発明の他の目的は、カードから取り外された場合にそのようなカードのチッ プのデータ内容が保護されるメモリ・カードを提供することである。 本発明のより具体的な目的は、設計が簡単なために容易に製造できる安全メモ リ・サブシステムを提供することである。 ［発明の概要］ 本発明の上記およびその他の目的は、関連米国特許出願（米国特許出願第９６ ０．７４８号）に記載された安全メモリ・カードの好ましい実施例で満たされる 。この安全メモリ・カードは、単一の半導体チップ上のマイクロプロセッサと、 １つまたは複数のアドレス可能な不揮発性メモリ・チップとを含む。マイクロプ ロセッサ・チップおよび不揮発性メモリ・チップは、アドレス、データ、および 制御情報をそのような不揮発性メモリ・チップへ送るために、共通に内部バスに 接続される。マイクロプロセッサは、いくつかのキー値を含む情報と、アドレス 、データ、および制御情報の内部バス上での転送を制御するプログラム命令情報 を記憶するアドレス可能な不揮発性メモリを含む。 本発明の開示によれば、チップ・メモリは、それぞれ、各行が、アドレス可能 な複数のバイト位置を含む、いくつかの行を有する、いくつかのブロックとして 構成される。各行はさらに、集合的に他の行ロック・ビット位置と共に、チップ ・メモリのサイズをほとんど増加させずに、各ブロック内の多数のロック・ビッ ト用の記憶域を提供する単一のロック・ビット位置を含 む。ロック・ビットは、データ保護を保証する不揮発性メモリの所定の特性を使 用するように固有にコード化される。 本発明によれば、各メモリ・チップは、複数のアクセス制御記憶要素を有する 揮発性アクセス制御メモリと、キー検証動作を実行する小数の回路を含むプログ ラム可能なセキュリティ・アクセス制御装置とを含むセキュリティ制御論理回路 も含むように構成される。さらに具体的には、セキュリティ・アクセス制御装置 は、所定の１組の命令の制御下で、そのような命令に応答して読み取られるメモ リ・ブロックのロック・ビット位置のビット内容とキー値のビットを順次比較す ることによって、保護されたブロック用の所定のキー検証動作を実行する。 この検証動作は、所定の確認手順の一部としてホスト・コンピュータによって 実行される。そのような手順が首尾良く実行されない限り、マイクロプロセッサ が、そのブロックの関連する揮発性アクセス制御メモリ・アクセス制御要素をセ ットして、保護されたブロックから情報を読み取るためのユーザ・アクセスをイ ネーブルすることはできない。 関連特許出願の場合と同様に、周期的に、ホスト・コンピュータとの確認手順 を首尾良く実行するようユーザに求めること ができ、アクセス制御メモリの許可に応じて情報の読取りの継続をユーザに許可 することができる。好ましい実施例では、ホスト・コンピュータは、国際パーソ ナル・コンピュータ・メモリ・カード協会（Personal Computer Memory Card In ternational Association（ＰＣＭＣＩＡ））規格を満たすインタフェースなど 標準インタフェースを介してメモリ・カードに結合される。 好ましい実施例のセキュリティ論理回路は、各ブロックのメモリ行に対応する いくつかのロック・ビット位置と、エンド・カウンタと、比較器と、比較累積フ リップフロップとを含む最小量の論理回路と、各メモリ・ブロックごとに１つの ビット位置またはフリップフロップを含むアクセス制御メモリとを含む。エンド ・カウンタは、記憶されているキー値の終りを検出するためにブロックのロック ・ビット位置中の連続１ビットをカウントするために使用される。比較器および 比較累積フリップフロップはそれぞれ、対応する１つのロック・ビット位置に記 憶されているロック・ビットと、命令によって提供された各データ・ビットを比 較して、これらのビット間の一連の連続比較の結果を累積する。 本発明は、並列データ経路、並列データ比較器、および推測に対するより強力 な保護を与えるように選択された長いキー値を記憶するための大きなレジスタ幅 を不要にする。好ましい実施例では、各ブロックは、８キロビットの最大キー長 を提供することができる。これは、より広い並列経路や大きなレジスタ幅を提供 するという問題に関わることなく行われる。さらに、今日のマイクロプロセッサ の速度では、大きなキー長を処理するのに必要な時間は、１秒よりもかなり短い 。さらに、そのような処理は通常、システム初期設定時にしか行われない。 本発明の開示によれば、キー値は、あらゆるキー値の第１ビットが、メモリ・ チップの所定の特性を使用する所定の状態にセットされるように選択される。さ らに具体的には、好ましい実施例のメモリでは、メモリが消去されると、すべて のビットが１にセットされ、メモリに書込みを行っても、１を０に変更すること しかできず、０を１に戻すことはできない。本発明は、各ブロックごとの保護ビ ットとして働くこの所定の状態（すなわち０）にあらゆるキーの第１ビットをセ ットすることを要求することによって、この特性を使用する。さらに、キーは、 さらに保護を保証する所定のプロトコルに従ってコード化される。 好ましい実施例では、このプロトコルは、ハイレベル・データ・リンク制御（Ｈ ＤＬＣ）通信プロトコルなど周知の通信プロトコルで使用される規則に類似の規 則を使用する。すなわち、各キー値ビット・シーケンスは、所定数の連続１ビッ トを含むフラグ・フィールドを除き、所定数よりも少ない連続１ビットを含むよ うにコード化される。エンド・コードのあるビットが操作場合、キー値の終りを 検出して特定のブロックにアクセスすることはできなくなる。キー値の他のビッ トが操作場合、ロック値とキー値の間に不一致が生じてアクセスが妨げられる。 また、本発明によれば、少数の異なるタイプの命令を使用してキー検証動作が 実行される。これらの命令には、キー検証動作を開始するためにマイクロプロセ ッサによって１度だけ実行される第１のタイプの命令が含まれる。メモリ・ブロ ックが保護されていない場合、実行する必要がある命令はこれだけである。マイ クロプロセッサは、キー・ビットのシーケンス中の各ビットごとに１つずつ、第 ２のタイプの命令を実行する。第２のタイプの各命令によって、キー・ビット・ シーケンスの１ビットが、ブロック・ロック・ビット位置に記憶されているロッ ク・ビット・シーケンスの対応するロック・ビットと比較され る。マイクロプロセッサは、第３のタイプの命令を実行することによってキー検 証動作を完了する。この命令によって、累積比較フリップフロップに記憶されて いる累積された比較結果がサンプリングされ、エンド・カウンタが試験され、結 果が正しいとき（すなわちカウンタおよび累積比較フリップフロップが正しい状 態であるとき）だけブロック・アクセス制御メモリ・ビットがセットされる。 好ましい実施例では、メモリ・カードの製造時または選択的なブロック消去動 作時に、必要に応じて同じ１組の命令を修正することもできる。すなわち、キー 値のビットを読み取るのではなく、命令を使用して、消去動作の後に、メモリ・ ブロックのロック・ビット位置にキー値ビット・シーケンスを書き込ませること ができる。 本発明は、各メモリ・ブロックごとに独立のロックを提供することによって、 関連特許出願の安全カードの機能を拡張する。本発明では、保護すべき情報に与 えるべき保護の量の関数として可変長キー値を使用することができる。さらに、 本発明では、回路が少なくて済み、構成がより容易であり、コストがより低い。 本発明は、関連特許出願の場合と同様に、「スマート・カ ード」技法と「メモリ・カード」技法を融合させたものであり、このことは、電 子機器の小型化によってもたらされる「セキュリティが困難な」環境でフラッシ ュ・メモリ技法によって可能になる大量のデータの保護を可能にするうえで重要 である。 本発明は、安全モードでも非安全モードでも動作し、データを暗号化し非暗号 化することを不要にし、カードまたはそのホスト・プロセッサが紛失し、盗まれ 、オフにされ、あるいは放置された場合にメモリ・データを保護する機能に対し て関連特許出願の安全カードの特徴を保持する。盗まれた場合、メモリ・カード が開かれて電子的に調べられ、あるいはメモリ・チップが取り外されて他の装置 中に置かれた場合でも、メモリ・データはアクセスから保護される。 本発明の上記の目的および利点は、以下の説明を添付の図面と共に検討したと きによりよく理解されよう。 ［図面の簡単な説明］ 第１図は、本発明によって構成されたメモリ・カードを組み込んだシステムの ブロック図である。 第２図は、不揮発性メモリの構成を含む第１図のアクセス制御プロセッサ（Ａ ＣＰ）をより詳しく示した図である。 第３図は、本発明の開示によって修正された第１図の標準フラッシュ・メモリ をブロックで示した図である。 第４図は、本発明の開示によって構成された第３図のフラッシュ・メモリをよ り詳しく示した図である。 第５図は、本発明のメモリ・カードの動作を説明するために使用される表であ る。 第６ａ図は、本発明のメモリ・カードの動作モードを説明するために使用され るフローチャートである。 第６ｂ図は、本発明のメモリ・カードの動作モードを説明するために使用され るフローチャートである。 第６ｃ図は、本発明のメモリ・カードの動作モードを説明するために使用され るフローチャートである。 ［発明の好ましい実施例］ 第１図は、パーソナル・コンピュータまたはトランザクション・コンピュータ として使用できる安全ポータブルハンドヘルド計算システム１のブロック図であ る。システム１は、バス１０２によってホスト・プロセッサ５に接続された、本 発明によって構成されたメモリ・カード３を含む。ホスト・プロセッサ５は、ヒ ューレット・パッカード社（Hewlett-Packard Company）製のＨＰ９５ＬＸなどパーム・トップ・パーソナル・コンピュータの 形をとることができる。ホスト・プロセッサ５は、液晶ディスプレイ（ＬＣＤ） ５−２と、キーボード５−４と、メモリ５−８と、直列インタフェース５−１０ とを含み、これらはすべて、バス１０６に共通に結合される。メモリ５−８は、 １メガバイトの読取り専用メモリ（ＲＯＭ）と５１２キロバイトのランダム・ア クセス・メモリ（ＲＡＭ）とを含む。 メモリ・カード３とホスト・プロセッサ５の間の接続は、標準バス・インタフ ェースを介して確立される。好ましい実施例では、バス１０２は、国際パーソナ ル・コンピュータ・メモリ・カード協会（ＰＣＭＣＩＡ）規格を満たす。インタ フェース１０２は、標準インタフェース・チップ１０４およびメモリ・カード・ バス１０５を介してホスト・プロセッサ５とメモリ・カード・システム３の間で アドレス、制御情報、およびデータ情報を転送するための経路を提供する。各バ ス１０２、１０５および１０６はデータ・バス、制御バスおよびアドレス・バス を含み、これらのようなバスを介する連続信号経路を提供する。たとえば、バス １０５は、アドレス・バス１０５ａと、データ・バス１０５ｂと、制御バス１０ ５ｃとを含む。 ＰＣＭＣＩＡバス規格は、メモリ・カード上のディスク・エミュレーションを サポートする規格から、メモリ・データへのランダム・アクセスを可能にする大 幅に異なる規格へ進歩している。本発明のメモリ・カードは、暗号化技法を使用 せずにランダム・メモリ位置に高速アクセスできるようにすることによってこの 新しい規格をサポートする保護技法を提供する。本発明のメモリ・カードは、メ モリ・アレイからホストへデータを送るデータ経路を制御することによって、こ の経路での時間のかかるバッファリングも、暗号化も、その他の順次処理も課さ ずにデータを保護する。 通常、ユーザは、キーボード５−４からシステム１を操作して、ディスプレイ ５−２上に情報を表示して、メモリ・カード３中のファイルに記憶されている情 報を更新するスプレッドシート機能やデータベース機能など典型的な動作を実行 する。ホスト・プロセッサ５は、アドレス情報をバス１０２を介して送信して情 報を検索し、必要に応じて情報を更新して、必要なアドレスおよび制御情報と共 にメモリ・カード３へ送り返す。 第１図に示したように、本発明のメモリ・カード３は、バス１０５に結合され たアクセス制御プロセッサ（ＡＣＰ）１０と、 それぞれ、バス１０５に結合された、いくつか（ｎ個）のＣＭＯＳフラッシュ・ メモリ・チップ１０３ａないし１０３ｎとを含む。ＡＣＰ１０は通常、「スマー ト・カード」に使用されるのと同じタイプの処理要素である。ＣＭＯＳフラッシ ュ・メモリ１０３ａないし１０３ｎは、インテル社（Intel Corporation）製の フラッシュ・メモリ・チップの形をとることができる。たとえば、ＣＭＯＳフラ ッシュ・メモリ・チップは、８個の１２８キロバイト×８ビットＣＭＯＳフラッ シュ・メモリを含むインテル２８Ｆ００１ＢＸと呼ばれるインテル・フラッシュ ・メモリ・チップの形をとることができる。したがって、４メガバイト・フラッ シュ・メモリ・カードは、３２個のそのようなフラッシュ・メモリ（すなわちｎ ＝３２）を含むことができる。フラッシュ・メモリ構成要素に関する詳細につい ては、IEEE Spectrumの１９９３年１０月号で発表された「Flash Memory Goes M ainstream」と題する論文を参照することができる。 アクセス制御プロセッサ１０ 第２図は、好ましい実施例のアクセス制御プロセッサ（ＡＣＰ）１０をブロッ ク図形で示したものである。図のよう に、ＡＣＰ１０は、保護された不揮発性メモリ１０−２と、ランダム・アクセス ・メモリ（ＲＡＭ）１０−４と、マイクロプロセッサ１０−６と、間隔カウンタ １０−８と、インタフェース・ブロック１０−１０とを含み、これらはすべてバ ス１０５に接続される。不揮発性メモリ１０−２は、確認情報および確認プログ ラムを記憶すべきアドレスされるいくつかの位置を提供する。さらに具体的には 、メモリ位置１０−２ａは、ユーザがシステムにアクセスできることを検証して 、再確認に使用される時間間隔値の他にユーザがアクセスできるフラッシュ・メ モリ１０３ａないし１０３ｎ中のブロックを識別するために、１つまたは複数の 個人識別番号（ＰＩＮ）、プロトコル・シーケンス、またはその他の確認情報を 記憶する。 メモリ位置１０−２ｂは、各フラッシュ・メモリ１０３ａないし１０３ｎを保 護するために使用されるキー値、または各フラッシュ・メモリ１０３ａないし１ ０３ｎの個別のブロックを保護するために使用されるコードを記憶する。メモリ 位置１０−２ｃは、必要な確認動作を実行し、事前に設定された障害条件が満た された場合にシステムをクリアするプログラム命令シーケンスを記憶する。 ある種のプログラム命令によって、ユーザは、ユーザ再確認が行われるときに 確立される間隔カウンタ１０−８の設定を制御することができる。再確認間隔は 、ユーザにＰＩＮまたはその他のパスワードを再入力させることによってユーザ のＩＤの検証を要求する割込みをホスト・プロセッサ５に送るための割込み間の 時間を定義する。間隔カウンタ１０−８は、バス１０２を介してホスト・プロセ ッサ５からクロック・パルスを受け取り、作業環境に応じてユーザによって設定 することができる。たとえば、家庭では、ユーザはタイマをオフにすることも（ すなわち最大値に設定する）、あるいは時間間隔を１時間に設定することもでき る。飛行機上では、ユーザは、保護を増大させるために１０分間に設定すること ができる。あらゆる「電源オン」時にこの間隔の設定を再検査するようユーザに 指示し、それによって周期的な再確認を強制的に行い、セキュリティを実行する ことができる。 フラッシュ・メモリ１０３ａないし１０３ｎ 第３図は、フラッシュ・メモリ１０３ａをブロック図形で示したものである。 フラッシュ・メモリ１０３ａは、残りのフラッシュ・メモリ１０３ｂないし１０ ３ｎと構成が同じである。 図のように、メモリ１０３ａは、本発明によって構成されたメモリ・セクション １０３Ｍと、本発明のセキュリティ・アクセス制御回路を含むセキュリティ論理 セクション１０３Ｓの２つのセクションを含む。両方のセクションを第４図にさ らに詳しく示す。 メモリ・セクション１０３Ｍ 第３図から分かるように、セクション１０３Ｍは、第４図に示したように１６ 個のブロックとして構成されたメモリ・アレイ５４と、コマンド・レジスタ５０ と、入出力論理回路６０と、アドレス・カウンタ５６と、書込み状態マシン６１ と、消去電圧システム６２と、出力マルチプレクサ５３と、データ・レジスタ５ ５と、入力バッファ５１と、出力バッファ５２と、状況レジスタ５８とを含み、 これらは図のように構成される。上述のフラッシュ・メモリ１０３ａの基本論理 回路は、インテル社製のフラッシュ・メモリに含まれる回路タイプの形をとる。 そのような回路は、設計が従来型のものとみなすことができるので、必要な程度 にしか説明しない。そのような回路に関する詳細については、１９９２年にイン テル社が発行したオーダー・番号２１０８３０の「Memory Products」と題する 文献とイン テル社の他の文献を参照することができる。 第３図に示したように、フラッシュ・メモリ回路は、複数の入力アドレス信号 Ａ０ないしＡ１６、データ信号Ｄ００ないしＤ０７、およびチップ・イネーブル （ｃｈｉｐ ｅｎａｂｌｅ）信号ＣＥ、書込みイネーブル（ｗｒｉｔｅ ｅｎａ ｂｌｅ）信号ＷＥ、出力イネーブル（ｏｕｔｐｕｔ ｅｎａｂｌｅ）信号ＯＥ、 電源遮断（ｐｏｗｅｒ ｄｏｗｎ）信号ＰＷＤ、消去／プログラム電源（ｅｒａ ｓｅ／ｐｒｏｇｒａｍ ｐｏｗｅｒ ｓｕｐｐｌｙ）信号ＶＰＰから成る制御信 号を受け取る。これらの信号が実行する機能を付録Ｉに記載する。 ＣＥ信号、ＷＥ信号、およびＯＥ信号は、バス１０２および制御バス１０５ｂ を介してホスト・プロセッサ５からコマンド・レジスタ５０および入出力論理ブ ロック６０に印加され、先に指摘した論理ブロックを制御するために分散される 。ＰＷＤ信号も、コマンド・レジスタ５０に印加され、フラッシュ・メモリが、 付録Ｉに記載した動作を実行できるようにする。この信号を使用して、必要に応 じてセクション１０３Ｓの揮発性記憶要素をクリアし、それによって通常の動作 を再開するときにユーザ再確認を行うことができる。 一般に、セクション１０３Ｍの基本論理要素は以下のように動作する。情報は 、データ・バス１０５ａ、入力バッファ５１、およびデータ・レジスタ５５を介 して、アドレス・カウンタ５６がアドレス・バス１０５ｃから受け取ったアドレ スによって指定されたメモリ・アレイ５４中の１つのメモリ・ブロックのアドレ スされた位置に記憶される。情報は、メモリ・アレイ５４のブロックの指定され アドレスされた位置から読み取られ、出力マルチプレクサ５３、出力バッファ５ ２、データ・バス１０５ａ、およびバス１０２を介してホスト・プロセッサ５へ 送られる。状況レジスタ５８は、書込み状態マシンの状況、エラー中断状況、消 去状況、プログラム状況、およびＶＰＰ状況を記憶するために使用される。 書込み状態マシン６１は、ブロック消去・プログラム・アルゴリズムを制御す る。プログラム／消去電圧システム６２は、メモリ・アレイ５４のブロックを消 去し、あるいは各ブロックのバイトをＶＰＰの電圧レベルの関数としてプログラ ムするために使用される。 セキュリティ・セクション１０３Ｂ 第３図から分かるように、セクション１０３Ｓは、第４図に さらに詳しく示したセキュリティ・アクセス制御装置３０と、ロック書込み許可 記憶要素３２と、揮発性アクセス制御制御メモリ４３とを含み、これらは図のよ うに相互接続される。アクセス制御メモリ４３の出力は、各メモリ読取りサイク ル中に、メモリ・アレイ５３の任意のブロックのあるバイト位置の内容が読み取 られているとき、出力バッファ５２へのイネーブリング入力として印加される。 すなわち、読取りサイクルを実行することはできるが、適当なブロックのアクセ ス制御メモリ・ゲーティング信号がないときに、読み取られたデータが出力バッ ファ５２を通過することはできない。 さらに具体的には、好ましい実施例では、アクセス制御メモリ４３は、個別に アドレス可能な１６個のビット記憶要素と、各記憶要素の入力に接続された入力 アドレス４ないし１６ビット・デコーダと、各記憶要素の出力に接続された１な いし１６出力マルチプレクサ回路とを含む。本明細書に記載した１組のメモリ・ コマンドに追加されるある種の命令の各アドレスの最上位４ビットは、復号され 、内容を変更すべきブロック用の記憶要素を選択するために使用される。同様に 、同じ４ビットを使用して、読み取り中のメモリ位置を含む当該のブロック用の 記憶要素の出力が選択される。 このセクションが、様々な１６進値（すなわち３１Ｈないし３３Ｈ）によって 指定されたコマンド制御信号をセクション１０３Ｍのコマンド・レジスタ５０か ら受け取ることに留意されたい。このような信号は、コマンド・レジスタ５０が データ・バス１０５ｂを介してＡＣＰ１０から受け取る１組のコマンドの様々な データ値を示す。本明細書で以下に説明するように、このようなコマンドは、フ ラッシュ・メモリが使用する数組のコマンドの重要な拡張機能である。標準フラ ッシュ・メモリ・コマンドは、インテル社製フラッシュ・メモリが使用するコマ ンドの形をとる。 セクション１０３Ｍおよび１０３Ｓの詳細な説明−第４図 第４図は、セクション１０３Ｍおよび１０３Ｓの構成をさらに詳しく示したも のである。図のように、メモリ・アレイ５４は、ロック・ビット・セクション５ ４ａとデータ・セクション５４ｂの２つのセクションを有する。詳細には、メモ リ５４は、１メガバイトの記憶域を含み、先に指摘したように、１６個のブロッ クとして構成される。各ブロックは８Ｋ個の行を含み、各行は８バイト位置を含 む。本発明によれば、各行に１ビット 位置が追加されてロック・ビット位置５４ａが形成される。各行中のビット位置 の数を６４ビットから６５ビットに拡張することによって、メモリ・アレイ５４ は、データと、本明細書に記載したようにそのようなデータを保護するための関 連するロック・ビット情報を共に記憶することができる。 図のように、２つのセクションは共に、３つのセクションとして構成されたア ドレス・ラッチ・カウンタ５６を介してアドレスすることができる。第１のレジ スタ・セクションは、どのブロックをアドレスすべきかを指定する最上位アドレ ス・ビット群を記憶するために使用される。第２のセクションは、レジスタとし てもカウンタとしても動作するように構成され、ブロックのどの行をアドレスす べきかを指定する中位アドレス・ビット群を記憶し１だけ増分するために使用さ れる。第３のレジスタ・セクションは、行のどのバイトをアドレスすべきかを指 定する最下位アドレス・ビット群を記憶するために使用される。ブロック５３の 回路を含むマルチプレクサ／デマルチプレクサ回路５３ａは、アドレス・ラッチ ・カウンタ５６に記憶されている最下位アドレス・ビットの関数として、書き込 み、あるいは読み取るべきバイト位置を選択するために使用される。 また、第４図に示したように、セクション１０３Ｓのセキュリティ・アクセス 制御装置３０は、ビット比較器回路３０−１と、アキュムレータ比較フリップフ ロップ３０−２と、エンド・カウンタ３０−３とを含み、これらは図のように構 成される。ビット比較器回路３０−１は、セクション５４ａのロック・ビット位 置のロック・ビット内容、およびＡＣＰ１０がバス１０５ｂを介して印加するキ ー・ビットを入力として受け取るように接続される。比較器回路３０−１は、ロ ック・ビット・セクション５４ａから読み取られた対応するロック・ビットと、 ＡＣＰ１０から提供された各キー・ビットを比較して、図のように、アキュムレ ータ比較フリップフロップ３０−２への入力として比較の結果を印加する。フリ ップフロップ３０−２は、連続比較の結果を累積する。エンド・カウンタ３０− ３は、小型のカウンタ（たとえば３ビット）であり、記憶されているキー値の終 りを検出するために使用されるロック・ビット・ストリングで発生する連続１ビ ットの数をカウントする。 ロック書込み許可フリップフロップ要素３２は、コマンド・レジスタ５０およ びプログラム／消去電圧システムに接続される。本明細書で論じるように、ブロ ック消去動作が実行された ときはいつでも、消去動作の完了時にフリップフロップ３２が２進１状態にセッ トされる。フリップフロップ３２の出力は、メモリ・ブロックのロック・ビット 位置に情報を書き込むことが許可されたとき、コマンド・レジスタ５０への入力 として印加され確立される。 先に指摘したように、セキュリティ・アクセス制御装置３０の様々な要素は、 コマンド・レジスタ５０からコマンドを受け取る。上述のように、このようなコ マンドは、フラッシュ・メモリ５４が通常使用する数組のコマンドの重要な拡張 機能である。次に、本発明で使用されるコマンドについて説明する。このような 命令については、付録１１に詳しく記載し、以下で論じる。 第１のタイプの命令またはコマンドは、開始コマンドであり、所与のブロック に関するキー検証動作の始めにＡＣＰ１０によって実行される。この命令によっ て、ブロックの第１ビット（ＬＭＢ０）が、アクセス制御メモリ４３のアクセス 制御記憶要素に記憶される。開始命令では、エンド・カウンタ３０−３も、０に リセットされ、かつ比較が失敗しなかったことを示すために累積比較フリップフ ロップ３０−２を所定の状態（２進 １状態）にセットする。開始命令では、アドレス・バス１０５ａを介して印加さ れた最上位アドレス・ビットおよび中位アドレス・ビットも、アドレス・カウン タ５６にロードされ、ブロック内の第１ビット（ロック・ビット）にアドレスで きるように中位アドレス・ビットはすべて０になる。最下位アドレス・ビットは 無視される。 第２のタイプの命令は、ステップ命令であり、キー・ビット・シーケンス中の 各ビットごとに１度だけブロック・キー検証動作中に実行される。保護された各 ブロック中にｎ個のキー・ビットがある場合、ＡＣＰ１０は各キー検証動作ごと にｎ個の第２の命令を実行する。各ステップ命令ごとに、アドレス・カウンタ５ ６の中位ビットは、ブロックのロック・ビット位置から次のロック・ビットを読 み取れるように１だけ増分される。したがって、各ステップ命令によって提供さ れるアドレスは無視される。 ステップ命令では、メモリ・ブロックから次に読み取られたロック・ビットと 、ＡＣＰ１０から提供されたキー・ビットを比較した結果を記憶するために、ビ ット比較論理回路３０−１の出力もサンプリングされる。さらに、ステップ命令 では、メ モリ・ブロックから読み取られたロック・ビットが、１を含み、かつＡＣＰ１０ から提供されたキー・ビットに一致したとき、エンド・カウンタ３０−３が１だ け増分される。メモリ・ブロックから読み取られたロック・ビットが０であると き、ステップ命令は、エンド・カウンタ３０−３を０にリセットさせる。また、 不一致のとき、ステップ命令は、累積比較フリップフロップを０にリセットする 。 第３のタイプの命令は、終了命令であり、キー検証動作を終了するためにＡＣ Ｐ１０によって１度だけ実行される。この命令によって、累積比較フリップフロ ップ３０−２およびエンド・カウンタ３０−３の状態がサンプリングされる。２ つの状態が共に正しい状態であるとき、終了命令は、メモリ４３の当該のブロッ クの当該のアクセス制御要素をセットする。さらに具体的には、エンド・カウン タ３０−３が最大カウントに達して、そのことが、オーバフロー出力信号が生成 されることによって通知され、累積比較フリップフロップ３０−２が２進１状態 のままであり、不一致でなかったことが通知されたとき、終了命令は、アドレス ・カウンタ５６の最上位アドレス・ビット内容によって指定されたメモリ４３の アクセス制御要素をセットさ せる。 上述の命令が、カードの最初のローディングまたは製造時、および選択された ブロックの消去時に実行されるブロック消去動作に関しても使用されることに留 意されたい。このような動作モード時に開始される動作は、第５図の処置表およ び付録ＩＩにも記載されている。このような動作について、以下で第６ａ図ない し第６ｃ図に関して論じる。 動作の説明 次に、特に第５図の処置表および第６ａ図ないし第６ｃ図の流れ図を参照して 本発明の安全メモリ・カードの動作について説明する。メモリ・カードの製造ま たは最初のローディングで実行されるステップのシーケンスを第６ａ図に示す。 このシーケンスを使用して、所与の応用例用にカードがカスタマイズされる。こ の動作について詳しく説明する前にまず、キー値の選択とメモリ消去プロセスに ついて説明する。 ＡＣＰ１０は、カード製造時に、あるいは最初のローディング動作の一部とし て、メモリ・カード上の各メモリ・チップごとにロック値をセットする。ＡＣＰ １０は、第４図の各メモリ５４の各ブロックのロック・ビット位置にキー値をロ ードする ことによってこれを行う。この値は、ＡＣＰの保護された不揮発性メモリ１０− ２に記憶される（第２図中のキー１−ｎ）。ＡＣＰ１０には、メモリの構造に関 する構成情報と、各メモリ・ブロックに適用すべき保護レベルもロードされる。 前述のように、保護されたメモリ・ブロック用のキー値は、ＨＤＬＣプロトコ ルの規則に類似の規則に従って選択される。各キー値は、割り振られたブロック ・ロック・メモリ領域内に記憶できる任意の長さのものでよく、２進０値で始ま り、その後に１および０の選択されたシーケンスが続き、７個の１ビットのスト リングまたはシーケンスで終わる。したがって、最後の７個の１を除くシーケン スは、６つよりも多い連続１ビットを含まないようにコード化される。 キー書込みまたはローディングを行う前にまず、フラッシュ・メモリ４３を消 去しておかなければならない。これは、フラッシュ・メモリの固有の書込み特性 を使用して、フラッシュ・メモリに記憶されているデータを保護するために行わ れる。すなわち、これによって、保護すべき各ブロックの各ロック・ビット位置 群中の第１ビット（０番目）を０状態にセットすることができる。このような要 素は、０状態から１状態に変更でき ないという点で不揮発性であり、ブロックの内容を変更するにはブロック全体を 消去しなければならない。 消去プロセス 好ましい実施例では、フラッシュ・メモリ４３はブロックごとに消去される。 これによって、メモリ・カードの製造またはローディング時に類似の消去プロセ スを使用し、かつカード動作時に選択的なブロック消去動作を実行することがで きる。ブロックを消去すると、ロック記憶領域に記憶されているロック・ビット を含め前記ブロックのすべてのデータが１にセットされる。このブロックを保護 したい場合、この時点で新しいロック値を書き込まなければならない。すなわち 、ロック・ビットを任意の時間に書き込めるようにすることはセキュリティ違反 である。したがって、ロック・ビットがブロック消去動作の直後にしか書き込ま れないように、ロック書込み許可フリップフロップ３２が含まれている。 ブロック消去時に、アドレス・レジスタ・カウンタ５６の最上位ビット位置は 、消去中のブロックのアドレスを保持する。消去動作の完了時に、フリップフロ ップ３２は２進１状態にセットされる。このフリップフロップは、セットされる と、開始 命令およびステップ命令から提供されたビットを、比較するのでなくロック・ビ ット位置に書き込ませるように、そのような命令の動作を修正させる。開始命令 およびストップ命令を除くどの命令もフリップフロップ３２をリセットさせるこ とになる。したがって、終了命令は、ロック書込み許可フリップフロップ３２を リセットして、ロック・ビット書込み動作を終了するために使用される。この場 合、終了命令は、そのブロック用のＡＣＭ記憶要素も２進１状態にセットし、し たがってそのブロックにアクセスできるようにする。 ブロックを、ＡＣＰ１０メモリに保持された構成情報に従って保護しない場合 、開始命令およびステップ命令を除くどの命令を実行しても、ロック書込み許可 フリップフロップ３２をリセットすることによってロック・ビット書込みが禁止 される。その場合、開始命令を実行すると、１に等しい０番目のロック・ビット がＡＣＭ記憶要素へ送られ、したがってアクセスがイネーブルされる。 カードの製造 第６ａ図は、ＡＣＰ１０がどのように、メモリ・カード上の各メモリ・チップ ごとにロック値をセットするかを示す。 ＡＣＰは、第４図の各メモリの各ブロックのロック・ビット位置にキー値をロー ドすることによってこれを行う。第６ａ図の論理ブロック６００および６０２に 示したように、カード製造時に実行されるキー書込み／ローディング動作は、第 １のフラッシュ・メモリ・ブロックをアドレスすることによって始まり、その後 そのメモリ・ブロックが消去される。ＡＣＰ１０は、メモリの保護レベルを定義 する構成情報から、そのブロックを保護すべきかどうかを判定する。保護すべき でない場合、ＡＣＰ１０は単に、第６ａ図の論理ブロック６１４に示したように 、そのブロックの内容をロードする。 しかし、そのブロックを保護すべきである場合、ＡＣＰ１０は、ブロック用の キー値のビットをブロックのロック・ビット位置に書き込むために、開始命令、 ステップ命令、および終了命令のシーケンス（すなわち論理ブロック６０６ない し６１０）を実行させる。すなわち、開始命令を実行することによって、第６ａ 図の論理ブロック６０６で示したように、２進０が、第１のメモリ・ブロックの ロック・ビット位置ＬＭＢ０に書き込まれる。第６ａ図の論理ブロック６０８に 示したように、各ステップ命令を実行することによって、ＡＣＰ１０メモリに記 憶 されているキー値の次のビットが、第１のブロックの次のロック・ビット位置（ たとえばＬＭＢ１）に書き込まれる。第１のブロックのロック・ビット位置に書 き込むべきキー・ビットがまだある場合、ＡＣＰ１０は、別のステップ命令を実 行させる。ステップ命令は、記憶されているキー値のすべてのビットが第１のメ モリ・ブロック用のロック・メモリ領域のロック・ビット位置に書き込まれたと ＡＣＰ１０が判定するまで実行される。ＡＣＰ１０は、キー値の終りを通知する ７つの連続１が発生したことを検出することによってこの判定を下す。 第６ａ図の論理ブロック６１２に示したように、キー値の書込みの完了時に、 ＡＣＰ１０は、第１のブロック用の対応するＡＣＭ記憶要素を２進１状態にセッ トする終了命令を実行して、そのブロックにアクセスできるようにする。次に、 特定の応用例に関する妥当なデータまたは手順情報が第１のブロックにロードさ れる。第６ａ図に示したように、すべてのチップのすべてのメモリ・ブロックが 処理されるまで、論理ブロック６０２ないし６１４の動作が各ブロックごとに繰 り返される。 関連特許出願の場合と同様に、ユーザ・カストマイズ時に、ユーザは確認の頻 度およびモード用のパラメータと必要な特定 のデータ（たとえば個人識別番号（ＰＩＮ））を確立する。この情報は、ＡＣＰ のメモリにも記憶される。この時点で、安全メモリ・カードは、電力の供給を受 けて確認手順を実行する準備ができている。 関連特許出願の場合と同様に、第１の確認対話はＡＣＰ１０によって開始する ことができる。すなわち、ホスト・プロセッサ５のサービスを使用するＡＣＰ１ ０は、ユーザに指示を出して、ＰＩＮなどの識別情報またはその他の識別情報を ユーザから受け取る。確認が失敗した場合、動作は実行されない。確認が成功し た場合、保護すべき各ブロックごとにＡＣＰ１０によって第１のキー検証動作が 実行される。検証動作が首尾良く実行されると、ＡＣＰ１０は、アクセス制御メ モリ４３中の対応するアクセス制御記憶要素をセットすることによってブロック へのアクセスをイネーブルする。 次のステップとして、ＡＣＰ１０は周期的に、ユーザの構成に応じて、追加ユ ーザ確認（再確認）を指示することができる。失敗した場合、ＡＣＰ１０は、す べてのメモリ・チップを強制的にその電源オン状態にして、したがってアクセス 制御メモリ４３の内容をクリアすることによってメモリのデータへのアク セスを禁止する。 電源供給プロセス 次に、本発明のキー検証動作を第６ｂ図に関して説明する。図のように、検証 プロセスは通常の電源供給動作の一部として実行される。論理ブロック６２０に 示したように、電源供給シーケンスでは、セキュリティ・セクション１０３ｓの 様々な要素、そのようなアクセス制御メモリ４３、累積比較フリップフロップ３ ０−２、およびエンド・カウンタ３０−３が初期設定される。キー検証動作を実 行するには、第５図の表に示した一連の処置を実行させる第６ｂ図に示した命令 および動作のシーケンスを実行する。 第６ｂ図を参照すると、ＡＣＰ１０が初期設定の後、第１のメモリ・ブロック にアドレスして、まず開始命令を実行することによって論理ブロック６２４の動 作を実行することが分かる。第５図の表に示したように、これによって、開始命 令の最上位アドレス・ビットがアドレス・ラッチ・カウンタ５６にロードされる 。同時に、ビットＬＭＢ０に対応する第１のビット位置の内容を読み取れるよう に中位アドレス・ビットが強制的にすべて０にされる。ビットＬＭＢ０の内容は 、第１のブロックに 関連する制御メモリ４３の制御アクセス記憶要素にロードされる。第１のブロッ クを保護すべきである場合、制御アクセス記憶要素が２進０状態にセットされる 。これによって、このブロックのデータ内容はキー検証プロセス中、保護された ままになる。しかし、このブロックが保護されていない場合、制御アクセス記憶 要素は２進１状態にセットされる。エンド・カウンタ３０−３も０にリセットさ れ、同時に累積比較フリップフロップ３０−２が２進１状態にセットされる。 ブロックが保護されていない場合、実行する必要がある命令は開始命令だけで ある。すなわち、開始命令によって指定されたＡＣＭブロック記憶フリップフロ ップは、第１のビット位置（ＬＭＢ０）の２進１状態をそのフリップフロップ自 体にストローブした結果として２進１にセットされる。第１のブロックが保護さ れていると仮定すると、ＡＣＰ１０は次いで、数が、キー・シーケンス中のビッ トの数に対応する、複数のステップ命令を実行する。ＡＣＰ１０は、上述のよう に不揮発性メモリに記憶されているこのブロック用のキー値のビットを調べるこ とによって、キー・シーケンス中のビット数を求めることができる。 第５図の表から分かるように、各ステップ命令によって、次のロック・ビット 位置ＬＭＢ１を読み取るために、アドレス・ラッチ・カウンタ３０−３に記憶さ れている中位アドレス・ビットが１だけ増分される。位置ＬＢＭ１の内容は、Ａ ＣＰ１０から提供されたキー・ビット、すなわち比較すべきシーケンスの第１の キー・ビットと比較される。この２つが同じであることが判明した場合、累積比 較フリップフロップ３０−２の状態を変更する処置は取られず、このフリップフ ロップは、セット状態のままである。しかし、不一致の場合、フリップフロップ ３０−２は２進０にリセットされる。ステップ命令では、読み取られたロック・ メモリ・ビット（ＬＭＢ１）が２進１であり、提供されたキー・ビットに一致す る場合、エンド・カウンタ３０−３も１だけ増分される。不一致を示す比較がな い場合、エンド・カウンタ３０−３は０にリセットされる。 エンド・カウンタ３０−３が最大カウントを超えてオーバフローが発生した場 合、それによって、比較フリップフロップ３０−２も２進０状態にリセットされ る。エンド・カウンタ３０−３が増分されてその最大値を超えたとき、これは、 ＡＣＰ１０がロック・ビットの範囲を超えた比較を試みている ことを示す。これは通常の動作時に発生してはならないので、比較累積フリップ フロップ３０−２が０にリセットされてその後の一致の発生が禁止され、より高 いセキュリティが保証される。 不一致がないと仮定すると、ＡＣＰ１０は、上述の一連の処置を繰り返す次の ステップ命令を実行することによって継続する。そのような実行時には、各連続 １ビットによってエンド・カウンタ３０−３が１だけ増分される。したがって、 ｎ回目のステップ命令が実行される直前に、エンド・カウンタ３０−３は６つの 連続１ビットをカウントしているはずである。不一致もオーバフローもないとき にｎ回目のステップ命令を実行すると、エンド・カウンタがその最大カウントの ７に増分され、その結果出力が生成される。 ｎ回目のステップ命令が実行された後、ＡＣＰ１０は、キー検証動作を完了す る終了命令を実行する。この命令では、結果が正しいかどうかを判定するために 、エンド・カウンタ３０−３および累積比較フリップフロップ３０−２の状態が サンプリングされる。これらの状態が共に２進１状態である場合、ＡＣＰ１０は 、当該のブロック用のアクセス制御要素を２進１ にセットさせる。結果が正しくない場合、ＡＣＰ１０はアクセス制御要素を２進 ０状態にリセットする。第５図に示したように、終了命令では、エンド・カウン タ３０−３と累積比較フリップフロップ３０−２も共にリセットされる。 第６ｂ図に示したように、上述のキー検証動作は、保護すべき残りの各ブロッ クごとに繰り返される。キー検証プロセスの終了時に、安全メモリ・カードは、 上述のようにメモリ動作を開始する準備ができている。このような動作中に、ユ ーザがメモリ・ブロック内に新しい情報を記憶したい場合、ＡＣＰ１０は、第６ ｃ図に示した動作のシーケンスを実行する。図のように、選択されたブロックの アドレスが、アドレス・レジスタ・カウンタ５６にロードされる。カウンタ５６ に含まれる最上位アドレス・ビットによって指定されたブロックに対して、消去 が従来どおりに実行される。第３図のブロック６２の回路によって通知される消 去動作の完了時に、出力信号が生成され、ロック書込み許可フリップフロップ３ ２が２進１状態にセットされる。 次に、第６ｃ図の論理ブロック６４４で示したように、ＡＣＰ１０は、消去し たブロックを保護すべきかどうかを、記 憶されている構成情報から判定する。そのブロックを保護すべきである場合、Ａ ＣＰ１０は開始命令を実行する。書込みロック許可フリップフロップ３２がセッ トされているので、フリップフロップ３２は、比較動作を実行せずに、開始命令 によって、選択されたブロックのロック・メモリ領域の第１のビット位置（ＬＭ Ｂ０）に２進０が書き込まれるように、開始命令の動作を修正する。次に、論理 ブロック６４８および６５０で示したように、ＡＣＰ１０は、いくつかのステッ プ命令を実行して、ステップ命令から提供されたキー値のビットを、選択された ブロックのロック・ビット位置に書き込み続ける。最終的に、すべてのビットが 書き込まれ、そのことが、７つの連続１ビットの検出によって通知される。書込 み動作の終了時に、ＡＣＰ１０が終了命令を実行し、それによって、ロック書込 み許可フリップフロップ３２が２進０状態にリセットされる。終了命令では、当 該のブロックに関連するＡＣＭ記憶要素が２進１状態にセットされ、アクセスが 可能になる。ブロックを構成情報に関して保護しない場合、任意の命令を実行す ると、ロック書込み許可フリップフロップ３２がリセットされることによってロ ック・ビットの書込みが禁止される。次に、第６ｃ図の論理ブ ロック６５４で示したように、ＡＣＰ１０が開始命令を実行し、前記開始命令が 、通常どおりに動作して、選択されたブロックから読み取られた０番目のロック ・ビットを送り、そのブロックに関連するＡＣＭ記憶要素にストローブする。 上記は、本発明によって、どのように、生産可能性およびプログラム可能性の 高いキー検証システムを提供できるかを説明したものである。当業者には、本発 明の開示から逸脱せずに本発明の好ましい実施例に多数の変更を加えられること が理解されよう。たとえば、本発明は様々なタイプの不揮発性メモリや様々なイ ンタフェースなどと共に使用することができる。本発明は、非常に小さなブロッ ク・サイズを有するメモリと共に使用することもでき、その場合、セキュリティ ・アクセス制御装置の複雑さをそれほど増大させずに十分に大きなキーを提供す るために、メモリ当り１ビットよりも多くのロック・ビットを有することが好ま しい。付録 付録Ｉ 信号の説明 付録ＩＩ 拡張された命令の表 （１）ＬＷＥとは、ロック書込みイネーブル（Ｌｏｃｋ Ｗｒｉｔｅ Ｅｎａｂ ｌｅ）である。 （２）アドレスの最上位ビットはブロック・アドレスであり、残りのビットは無 視される。 （３）ＬＭＢ０は、ロック・メモリ・アレイ中の第１ビットである。 （４）比較のために提供されるキー・データの１ビット （５）書込みのために提供されるロック・データの１ビット 開始命令（３１Ｈ） このコマンドは、キー検証動作を開始するためにＡＣＰ１０によって１度だけ 実行される。ブロックが保護されていない（すなわち第１ロック・ビットが１で ある）場合、検証に必要なのはこの１つの命令だけである。この命令が実行され 、ロック書込みイネーブル・フリップフロップが、セット状態であるとき、この 命令から提供されたビットが、メモリ・ブロックの指定された第１ロック・ビッ ト位置（０番目）に書き込まれる。この場合、アドレスされるブロックが、前の 消去動作でアドレスされたブロックと同じなので、アドレスのＭＳＢは、アドレ ス・レジスタにロードされない。 ステップ命令（３２Ｈ） このコマンドは、キー・ビット・シーケンス中の各ビットごとに１度だけ実行 される。各コマンドは、次の順次ロック・ビットと比較される、キー・ビット・ シーケンスの１ビットを提供する。消去動作の後に、この命令が実行され、ロッ ク書込みイネーブル・フリップフロップがセット状態であるとき、この命令から 提供されたビットが、メモリ・ブロックの指定されたロック・ビット位置に書き 込まれる。 終了命令（３３Ｈ） このコマンドは、キー検証動作を終了または完了するためにＡＣＰ１０によっ て１度だけ実行される。このコマンドは、累積比較フリップフロップの状態をサ ンプリングし、エンド・カウンタを試験し、結果が正しい場合にブロックのアク セス制御記憶要素をセットすることをイネーブルする。この命令が実行され、書 込みロック・ビット・イネーブル・フリップフロップがセット状態であるとき、 ロック書込みイネーブル・フリップフロップが２進０状態にリセットされ、ロッ ク・ビット書込み動作が終了し、かつブロックのアクセス制御記憶要素がセット されてアクセスが与えられる。 規定および規則に従って本発明の最適な形を図示し説明したが、添付の請求の 範囲に記載した本発明の趣旨から逸脱せずにある種の変更を加えることができ、 場合によっては、本発明のある態様を、他の態様を使用せずに効果的に使用する ことができる。

Claims (1)

1. 【特許請求の範囲】 １．ホスト・ポータブル・コンピュータと共に使用される安全メモリ・カードで あって、 前記ホスト・コンピュータとの間でアドレス、データ、および制御情報を送受 信するように接続されたマイクロプロセッサを備え、前記マイクロプロセッサが 、 それぞれ、所定のビット数よりも少ない長さを有する、事前に確立されたいく つかのキー値を含む情報を記憶するアドレス可能な不揮発性メモリと、 前記カードによって実行すべきメモリ動作を定義するアドレス、データ、およ び制御情報を送信するために前記マイクロプロセッサに接続された内部バスと、 前記アドレス、データ、および制御情報を受信するために前記マイクロプロセ ッサと共通に前記内部バスに接続され、メモリ・セクションとセキュリティ・セ クションとを含む、少なくとも１つのアドレス可能な不揮発性メモリとを含み、 前記メモリ・セクションがいくつかのブロックとして構成された不揮発性メモリ ・アレイを含み、各ブロックが、複数のアドレス可能 なマルチビット位置を有し、少くとも、所定数の前記複数の前記位置の各１つの 所定のビット位置が、キー値の異なるビットを記憶するロック・ビット位置とし て指定されて、集合的に、前記所定数のビットを記憶するために使用できる順次 アドレス可能な一群のロック・ビット位置と、前記メモリ動作を実行する制御論 理手段とを提供し、前記セキュリティ・セクションが、前記制御論理手段および 前記メモリ・セクションに接続され、前記セキュリティ・セクションが、 それぞれ、前記不揮発性アレイの前記いくつかのブロックのそれぞれに割り当 てられた、複数のアドレス可能な記憶要素を有するアクセス制御メモリと、 前記アクセス制御メモリ、前記内部バス、および前記制御論理手段に結合され たセキュリティ・アクセス制御装置とを含み、前記セキュリティ・アクセス制御 装置が、前記制御論理手段から受け取った信号に応答して、１つの前記キー値の 各キー・ビットを、指定されたブロックの前記ロック・ビット位置群に記憶され ている対応する各ビットと順次比較して出力信号を生成することによってキー検 証動作を実行し、前記キー検証動作が首尾良く実行されたときに限り、対応する 前記ブロックからの 情報の読取りをイネーブルするように前記複数のアドレス可能な記憶要素のうち の１つを切り替えることを特徴とする安全メモリ・カード。 ２．前記セキュリティ手段が、 前記１つのキー値のキー・ビットを、前記ロック・ビット位置群に記憶されて いる対応する各ビットと順次比較するために前記不揮発性メモリ・アレイ、前記 制御論理手段、および前記内部バスに結合され、各比較の結果を通知する第１の 出力信号を生成する、ビット比較論理手段と、 前記出力信号を受信するために前記ビット比較論理手段に結合され、かつ前記 制御論理手段および前記アクセス制御メモリに結合され、前記ビット比較論理手 段によって首尾良く行われたビット比較に比較ミスがないことを示す第２の出力 信号を生成する、累積比較記憶要素と、 前記不揮発性メモリ・アレイ、前記制御論理手段、および前記アクセス制御メ モリに結合され、前記ロック・ビット位置群に記憶されているすべての前記ビッ トが前記メモリから読み取られたことを示す第３の出力信号を生成する、エンド ・カウンタとを備え、前記第２および第３の出力信号が共同で、前記複 数の記憶要素のうちの１つの前記切替えを実行させることを特徴とする請求項１ に記載のメモリ・カード。 ３．前記制御論理手段が、前記内部バスから受け取ったアドレスおよびコマンド を記憶するためにそれぞれ、前記メモリ・アレイおよび前記内部バスに結合され たアドレス・ラッチ・カウンタおよびコマンド・レジスタを含み、前記レジスタ が、第１のタイプのコマンドに応答して、前記累積比較記憶要素を所定の状態に セットし、前記エンド・カウンタを０にリセットし、前記コマンドに関連するア ドレスの最上位ビットを前記アドレス・ラッチ・カウンタにロードし、前記アド レスの中位ビットを０にする信号を生成することを特徴とする請求項２に記載の メモリ・カード。 ４．前記第１のコマンドが開始命令であり、前記所定の状態が２進１状態であり 、前記アドレス・ラッチ・カウンタが、前記開始命令から得られた前記アドレス の前記最上位ビット、中位ビット、および最下位ビットを記憶する複数の記憶セ クションを有することを特徴とする請求項３に記載のメモリ・カード。 ５．前記コマンド・レジスタが、各第２のタイプのコマンドに応答して、前記ビ ット比較論理手段によって前記第１の出力信 号が生成されたときに限り前記エンド・カウンタを１だけ増分し、前記第１の出 力信号がないときに前記累積比較記憶要素を前記所定の状態から他の状態に切り 替え、前記エンド・カウンタが所定の最大カウントを超えてオーバフロー状態を 発生させたときに前記エンド・カウンタをリセットすることを特徴とする請求項 ３に記載のメモリ・カード。 ６．前記第２のタイプのコマンドが、ステップ命令に対応し、前記最大カウント が、キー値で発生する所定数の１ビットに対応し、前記キー値の終りを通知する ものであることを特徴とする請求項５に記載のメモリ・カード。 ７．前記コマンド・レジスタが、第３のタイプのコマンドに応答して、前記エン ド・カウンタが最大カウントに達し、前記累積比較記憶要素が前記所定の状態で あるとき、前記最上位アドレス・ビットによって指定された１つの前記アクセス 制御記憶要素を所定の状態にセットすることを特徴とする請求項３に記載のメモ リ・カード。 ８．前記第３のタイプのコマンドが、終了命令に対応し、前記信号が、前記エン ド・カウンタが前記最大カウントに達しておらず、あるいは前記アキュムレータ 比較記憶要素が前記所定の 状態でないとき、前記エンド・カウンタおよび累積比較記憶要素を０にリセット することを特徴とする請求項７に記載のメモリ・カード。 ９．前記メモリ・セクションがさらに、前記不揮発性メモリ・アレイの前記いく つかのブロックのうちの１つに対して選択的なブロック消去動作を実行するため に前記メモリに結合された消去制御手段を含み、前記セキュリティ・セクション がさらに、前記消去制御手段および前記制御論理手段に結合されたロック書込み 許可記憶要素を含み、前記ロック書込み許可記憶要素が、各選択的ブロック消去 動作の完了時に所定の状態に切り替えられ、所定の状態のときに、前記ロック書 込み許可記憶要素自体が前記所定の状態である期間中、前記制御論理手段が前記 不揮発性メモリ・アレイに対して書込み動作を実行することを禁止することを特 徴とする請求項１に記載のメモリ・カード。 １０．前記ロック書込み許可記憶要素が、前記マイクロプロセッサが所定のタイ プのコマンドを前記内部バスに印加したことに応答して前記所定の状態から他の 状態に切り替えられることを特徴とする請求項９に記載の安全メモリ・カード。 １１．前記所定のタイプのコマンドが、前記選択的消去動作の 完了を示すために使用される終了命令に対応することを特徴とする請求項１０に 記載の安全メモリ・カード。 １２．前記マイクロプロセッサの前記アドレス可能な不揮発性メモリに記憶され ている前記情報がさらに、前記不揮発性メモリの前記いくつかのブロックのうち のどれを保護すべきかを指定するようにコード化された構成情報を含み、前記マ イクロプロセッサが、前記構成情報によって保護すべきブロックとして指定され た消去済みブロックの前記順次アドレス可能なロック・ビット位置群に、１つの 前記事前に確立されたキー値のビットを書き込むコマンド・シーケンスを実行す ることを特徴とする請求項９に記載の安全メモリ・カード。 １３．前記所定のコマンド・シーケンスが、前記消去済みブロックの前記ロック ・ビット位置群の第１のロック・ビット位置を所定の状態にセットして、前記消 去済みブロックの前記アドレス可能なマルチビット位置に順次ロードされる情報 を保護する第１のタイプのコマンドを含むことを特徴とする請求項１２に記載の 安全メモリ・カード。 １４．前記所定の状態が、前記消去済みブロックに順次ロードされる情報を消去 し、前記第１のロック・ビット位置をリセッ トして前記情報へのアクセスをイネーブルすることを必要とする２進０状態であ り、前記第１のタイプのコマンドが開始コマンドであることを特徴とする請求項 １３に記載の安全メモリ・カード。 １５．前記所定のコマンド・シーケンスが、いくつかの第２のタイプのコマンド を含み、各第２のタイプのコマンドが、１つの前記キー値のすべての前記ビット が記憶されるまで、１つの前記キー値の異なる１つの前記ビットを前記群の他の ロック・ビット位置に書き込ませることを特徴とする請求項１３に記載の安全メ モリ・カード。 １６．各前記キー値が、所定のプロトコル・パターンに従ってコード化されるこ とを特徴とする請求項１５に記載の安全メモリ・カード。 １７．前記第２のタイプのコマンドがステップ命令であり、前記いくつかの前記 第２のタイプのコマンドが、前記キー値に含まれるいくつかのビットに対応する ことを特徴とする請求項１５に記載の安全メモリ・カード。 １８．前記所定のコマンド・シーケンスが、前記シーケンス中の最後のコマンド として前記所定のコマンドを含み、前記所定 のコマンドが、前記アクセス制御メモリの前記複数のアドレス可能な記憶要素の うちの１つを、前記消去済みブロックへのアクセスをイネーブルして前記記憶位 置に情報をロードし、それによって前記選択的ブロック消去動作を完了する所定 の状態にセットすることを特徴とする請求項１５に記載の安全メモリ・カード。 １９．前記所定のプロトコル・パターンが、前記キー値の終りを通知する所定数 の連続２進１ビットを含むことを特徴とする請求項１６に記載の安全メモリ・カ ード。 ２０．前記マイクロプロセッサの前記アドレス可能な不揮発性メモリに記憶され ている前記情報がさらに、前記不揮発性メモリの前記いくつかのブロックのうち のどれを保護すべきかを指定するようにコード化された構成情報を含み、前記マ イクロプロセッサがさらに、前記構成情報に従って前記不揮発性メモリ・アレイ を構成するコマンドを含み、前記コマンドによって、前記制御論理手段が、前記 構成情報によって保護すべきブロックとして指定されたすべての前記ブロックの 第１のロック・ビット位置をセットし、保護すべきブロックとして指定されたす べての前記ブロックの前記ロック・ビット位置群に、対応する 前記キー値のビットを書き込み、保護されるブロックに割り当てられた前記アク セス制御メモリのすべての前記記憶要素を所定の状態にセットし、それによって 前記記憶要素に情報をロードできるようにして前記不揮発性メモリ・アレイの最 初の構成を完了することを特徴とする請求項１に記載の安全メモリ・カード。