JP2002334317A

JP2002334317A - 情報処理装置

Info

Publication number: JP2002334317A
Application number: JP2001138073A
Authority: JP
Inventors: Takashi Watanabe; 高志渡邊; Takashi Endo; 隆遠藤; Masahiro Kaminaga; 正博神永; Kunihiko Nakada; 邦彦中田; Yuichiro Nariyoshi; 雄一郎成吉; Chiaki Tanimoto; 千晶谷本
Original assignee: Hitachi Ltd; Hitachi ULSI Systems Co Ltd
Current assignee: Hitachi Ltd; Hitachi Solutions Technology Ltd
Priority date: 2001-05-09
Filing date: 2001-05-09
Publication date: 2002-11-22
Anticipated expiration: 2021-05-09
Also published as: US7451485B2; JP4009437B2; US20020169969A1

Abstract

(57)【要約】【課題】情報処理装置が誤動作した際にも適切に処理
を継続もしくは停止することができるように、誤動作検
出装置を提供する。【解決手段】分岐先情報を受け取った情報処理装置
は、分岐先情報に依存した条件分岐を行い、それに応じ
た処理をデータに対して行う。この時に、条件分岐先で
処理データIとは別のデータJに対して、その条件分岐先
に応じた処理を行いその結果を出力することで後に検算
を行って条件分岐が正しく行われたかどうかを判定する
ことができるようにする。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は情報処理装置に関
し、特に電磁波や放射線、電源の瞬断その他の物理手段
により誤動作を起こし、その装置内部で使用されている
情報を取得しようとする攻撃やその情報取得を目的とし
たその装置の解析に対抗する手段を持つ耐タンパー装置
に関する。

【０００２】

【従来の技術】電子機器が普及している現代において、
各種の機器が様々な周波数の電磁波を放射している。例
えば、テレビの隣にスピーカを設置すると、テレビの映
像に滲みが生じるなどの現象が起こる。また、車に搭載
されるコンピュータに代表されるように、強度の大きい
振動や不安定な電源といった環境においても誤動作のな
い、もしくは規定外動作から確実に復帰するための手段
を備えた装置が必要とされている。このような現象につ
いて説明するために、「タンパーエビデント(tamper ev
ident)」「タンパーレスポンス(tamper response)」
「タンパーフリー(tamper free)(耐タンパー(tamper re
sistant)とも)」といった用語が用いられ、それぞれ、
規定外動作検出、該検出後の応答性、該動作に対する耐
性を意味する。

【０００３】一般の装置には、装置本来の目的を正常に
果たすために、実際の運用環境におけるノイズなどの誤
動作要因をあらかじめ想定して設定された動作マージン
がある。タンパーエビデント性を持つ装置は、その装置
があらかじめ想定した動作環境外の誤動作環境にさらさ
れたかどうかの履歴を適当な手段で記録することができ
るため、装置の管理者は装置を常時監視する必要が無
く、定期的に履歴を確認することで、誤動作防止のため
の適切な処置を施すことができる。さらにタンパーレス
ポンス性を持つ装置は、設計時に想定した以外の誤動作
状況になったかどうかを独自に観測して必要な手段で警
報などの応答を行うことができる。装置の管理者は、装
置が警告を発した場合のみに確認作業を行えば良い。タ
ンパーフリー性を持つ装置は、規定外の動作に陥らない
ように十分な配慮が行われているか、仮に規定外の動作
に陥ったとしても自動的に復旧することができる。また
は、タンパーという言葉を悪意者からの攻撃と解釈する
ならば、悪意者の目的物を完全に保護する機構を備えた
装置もタンパーフリー装置と呼ぶことができる。例え
ば、秘密の情報を保持する記憶装置を備える銀行端末な
どが不正に開封された場合には、その装置自身が自動的
にその記憶装置の記憶内容を消去したり破壊したりする
ことで保護することができる。タンパーフリー性を持つ
装置は、管理者が監視を行う必要が無い。

【０００４】ここでは、タンパーとは環境の変化や悪意
者による積極的な攻撃を意味する。

【０００５】電磁波や放射線、熱、振動など強度などが
設計時に意図した範囲を超えたときに、装置はいわゆる
誤動作や停止状態に陥る傾向がある。これは、装置が電
気的、機械的に動作していることによる。部品点数の少
ない装置であれば、単純な総当りを行っても原因の特定
と対策にかかるコストは比較的低く抑えることが可能で
あるが、部品が相互に組み合わされたときに、その種類
と方法をすべて網羅的に確認することは不可能であり、
したがって誤動作しないことを保証することは非常に困
難である。そのため、多数の部品にそのシステム全体の
安全性を依存しなければならない装置ほど、耐タンパー
性に高度の注意を払うことが必要である。例えば、数１
０万から数１００万個のオーダーで高度に集積化された
半導体を使用する中央演算装置（CPU）などのマイクロ
プロセッサや、CPU、メモリ、外部インターフェースな
どを数mm角以下に集積したICカードなどがその一例であ
ろう。従来は、そのようなシステムを運用する上で、上
位のシステムは下位のシステムの安全性を全面的に信頼
することで設計を行ってきたが、これは下位のシステム
の故障や誤動作によりシステム全体が不測の停止や誤動
作状態に陥る可能性があることを意味する。

【０００６】図１に、ICカードを示した。ICカード（１
０１）には接触端子（１０２）が装着されており、この
端子を経由して外部とのやり取りを行う。Vccには電源
を供給し、RSTにはリセット信号を、CLKにはクロック信
号を、I/OにはI/O信号を伝達する。GNDは接地端子であ
る。高度な安全性を要求されるICカードなどの場合、
図２の中央演算装置（２０１）を使用して秘密の鍵を使
用して暗号処理などの演算を行う。ICカードでは内部と
外部とをつなぐのはI/Oポート（２０７）のみであり、C
PUの演算データは外部に出力されないことから、内部で
記憶装置（２０４）に秘密に保持しているデータ（２０
６）は極めて安全であると考えられてきた。しかし、IC
カードに外部から放射線や電磁波などのストレスを与え
ることで誤動作を起こし、その演算結果を観測すること
により内部の秘密の鍵情報を取得することができること
をBiham氏とShamir氏が「Differential Fault Analysis
of Secret Key Cryptosystems」(Lecture Notes in Co
mputer Science, Advancesin Cryptology, proceedings
of CRYPTO'97, Springer-Ferlag, pp513-525, 1997)に
おいて示した。ここに示されるように、演算値の一部に
エラーを生じさせその演算結果から秘密の鍵を特定する
ことが可能である。ゆえに、ICカードのシステムが動作
しつづけていることだけでは必ずしも十分でない。この
ように、装置自身がシステム設計者の意図通りに「正し
く」動作しているかどうかを把握する必要がある。

【０００７】

【発明が解決しようとする課題】従来の装置は、外部か
らの放射線や電磁波、振動などにより誤動作を起こし、
その誤動作の結果として予定外の情報漏洩や故障を招く
ことがあった。装置の電源を不安定にした場合、装置の
中で最も電圧異常に弱い部分から誤動作を始める傾向が
ある。これは装置の接続関係や設計により様々に異なる
ため、高度に集積された装置のどの部分が弱いかを決定
することは困難である。また、高度に組み合わされた装
置の相互関係を追跡することは非常に高コストでもあ
り、引き起こされる誤動作現象を予測することも困難で
ある。

【０００８】本発明の目的のひとつは、情報処理装置が
誤動作の種類に応じて適切に処理を継続もしくは停止す
ることが可能な情報処理装置を提供することにある。

【０００９】

【課題を解決するための手段】Ｉ.条件分岐命令を複数
回連続的に記述する。

【００１０】グリッチアタックへの対応策の一つとし
て、条件分岐命令を複数回連続的に記述する構成を本発
明の実施例では採る。

【００１１】グリッチアタックに遭遇してある条件分岐
命令が正しく実行されず、実質的にはその命令が実行さ
れなかった場合への対応策である。

【００１２】それに関連する構成は次の通りである。１．ICカード用チップ内の一のアプリケーションまたは
一の情報へのアクセス権を得るための入力パスワードの
正誤を判定するために前記入力パスワードと正しいパス
ワードとを比較し、両者が一致した場合にはその次の命
令を実行し、不一致の場合には分岐命令を実行する第一
の分岐命令が記憶装置内に格納され、その第１の分岐命
令の後にはそれと同じ命令である第２の分岐命令が前記
記憶装置内に格納されていることを特徴とする情報処理
装置。２．前記第１および第２の分岐命令の判定結果に基づき
実行される分岐命令での分岐先にはエラー処理命令が設
けられていることを特徴とする上記１．記載の情報処理
装置。３．前記第２の分岐命令の判定結果に基づき分岐せずに
その次の命令が実行される場合にはその第２の分岐命令
の次の命令またはその先の命令には前記アクセス権を付
与するルーチンが含まれていることを特徴とする上記１
記載の情報処理装置。４．前記入力パスワードは複数個の文字、数字、符号ま
たは記号の列を有し、前記文字、数字、符号または記号
の一単位と正しいパスワードの一単位とを比較すること
により入力パスワードの正誤判定を行うことを特徴とす
る請求項１記載の情報処理装置。５．前記第一の分岐命令に引き続いて前記第二の分岐命
令が実行される場合の前記第一の分岐命令の実行開始時
刻から前記第二の分岐命令の実行開始時刻までの時間間
隔が１マイクロ秒以下となるように構成されていること
を特徴とする上記１．記載の情報処理装置。６．前記正しいパスワードがn個(nは自然数とする。)の
文字列よりなる場合、前記第１および第２の分岐命令は
それぞれn個あり、前記第１の分岐命令と前記第２の分
岐命令とが交互に実行されるようにコーディングされて
いることを特徴とする上記１．記載の情報処理装置。７．前記第１の分岐命令と前記第２の分岐命令との間に
はそれ以外の命令が配置されていることを特徴とする上
記６．記載の情報処理装置。８．分岐条件を満足する場合にはその分岐命令を実行
し、その分岐条件を満足しない場合にはその次の命令を
実行する第一の分岐命令が記憶装置内に格納され、その
第１の分岐命令の後にはそれと同じ命令である第２の分
岐命令が前記記憶装置内に格納されていることを特徴と
する情報処理装置。９．前記第２の分岐命令は前記第１の分岐命令に引き続
いて前記記憶装置内の所定アドレスに記憶されているこ
とを特徴とする上記８．記載の情報処理装置。１０．前記第１および第２の分岐命令は入力パスワード
が正しいか否かの判定を行うために用いられるものであ
り、入力パスワードが正しいとの判定がなされた場合に
はその判定の後にICカード用チップ内の一のアプリケー
ションまたは一の情報へのアクセスする処理が実行され
るように構成されたことを特徴とする上記８．記載の情
報処理装置。

【００１３】上記したものは基本的に同じ分岐命令を連
続して記載するものである。これに対して次のものは異
なる分岐命令を連続的に記載するものである。１１．ある条件フラグF1の値が０または１のときに分岐
命令が実行される第１の分岐命令と、前記条件フラグF1
の値が１または０のときに分岐命令が実行される第２の
分岐命令とを有し、前記第１の分岐命令実行時に前記条
件フラグF1の値に基づき分岐処理が行われないときに
は、それに続く処理で前記条件フラグF1の値を反転させ
た後に前記第２の分岐命令が実行されるように構成され
たことを特徴とする情報処理装置。１２．前記第１および第２の分岐命令は入力パスワード
が正しいか否かの判定を行うために用いられるものであ
り、入力パスワードが正しいとの判定がなされた場合に
はその判定の後にICカード用チップ内の一のアプリケー
ションまたは一の情報へのアクセスする処理が実行され
るように構成されたことを特徴とする上記１１．記載の
情報処理装置。１３．ある条件フラグF1の値が０または１のときに分岐
命令が実行される第１の分岐命令と、前記条件フラグF2
の値が0または1のときに分岐命令が実行される第２の分
岐命令とを有し、前記第１の分岐命令実行時に前記条件
フラグF1の値に基づき分岐処理が行われないときには、
それに続く処理で前記条件フラグF1の値を前記条件フラ
グF2に複写し、その後に前記第２の分岐命令が実行する
ように構成したことを特徴とする情報処理装置。ＩＩ.つぎのものは分岐経路の把握に関するものであ
る。分岐命令に従い分岐する場合、分岐前にどの分岐先
へ分岐すべきかは遅くともその分岐命令実行直前に判明
している。一方、その分岐命令が正しく実行されたか否
かの確認が必要な場合がある。この場合、個々の分岐先
で特有の処理を行い、その処理結果と事前に記憶した分
岐先とを比較照合することにより、正しく分岐したか否
かをチェックする機能を有するのが以下の構成である。１４．分岐条件に基づき複数個の分岐先のうちのいずれ
か一を指定する分岐命令と、その分岐先にコーディング
されている一連の命令を実行した場合には前記複数個の
分岐先のうちのどの分岐先経路を通過したかを第１のデ
ータとして記憶し、前記分岐条件の判断の基準となる分
岐先データと前記第１のデータとを比較する手段を有す
ることを特徴とする情報処理装置。１５．前記分岐条件の判断の基準となる分岐先データと
前記第１のデータとが一致する場合にはそれに引き続く
処理を行い、不一致の場合にはエラー処理を行うように
構成されたことを特徴とする上記１４．記載の情報処理
装置。ＩＩＩ.これは．ループ処理の処理回数を制限する機能
に関するものである。

【００１４】これは、ループ処理の処理回数を制限する
ことにより、情報処理装置の異常な動作を抑制する処理
に関するものである。カウンタを複数個設け、ループ内
で例えば、同様のカウントダウン処理を行い、各カウン
タ値が０となるか複数個のカウンタの値に不一致が生じ
た場合にはループ処理から抜ける処理を行う。これによ
り規定回数以上のループ処理実行を抑制するものであ
る。以下のものはその具体的な構成例である。１６．第１および第２のカウンタの値を初期化し、ルー
プ内で前記第１および第２のカウンタ値をカウントダウ
ンする処理を行い、前記第１および第２のカウンタに対
するカウントダウン後の前記第１および第２のカウンタ
値が不一致の場合または前記第１および第２のカウンタ
に対するカウントダウン後の前記第１および第２の両方
のカウンタ値が共に第１の所定値の場合には前記ループ
から抜ける処理を行い、前記第１および第２のカウンタ
に対するカウントダウン後の前記第１および第２の両方
のカウンタ値が共に第２の所定値の場合には前記ループ
内の処理を繰り返すように構成されていることを特徴と
する情報処理装置。１７．前記第１の所定値は0であり、前記第２の所定値
は自然数であることを特徴とする上記1６．記載の情報
処理装置。１８．第１および第２のカウンタの値を初期化し、処理
ループ内で前記第１および第２のカウンタ値を更新する
処理を行い、前記更新処理後の前記第１のカウンタ値と
第２のカウンタ値とが不一致の場合または前記更新処理
後の前記第１および第２の両方のカウンタ値が共に第１
の所定値の場合には前記ループから抜ける処理を行い、
それ以外の場合には前記ループ内の処理を繰り返すよう
に構成されていることを特徴とする情報処理装置。１９．前記カウンタ値の更新は更新前のカウンタ値から
カウントダウンする処理であるか又はカウントアップ処
理するものであることを特徴とする上記１８．記載の情
報処理装置。２０．前記第１の所定値は0であることを特徴とする上
記１８．記載の情報処理装置。ＩＶ.情報処理装置の一部を切り離してその部分を使用
し続けるような行為を阻止するための手段について説明
する。これはそのような部分に関連する独自のカウンタ
をその装置に設け、その部分を使用するたびにその独自
カウンタのカウンタ値を更新し、そのカウンタ値が規定
値以下となった場合にはその部分の使用を阻止する機能
を設けるものである。以下に具体的な構成を示す。２１．その装置の一部の使用限度回数を記憶するための
カウンタと、その装置の一部の使用回数に応じて前記カ
ウンタ値を更新する手段と、その装置の一部の累積使用
回数が前記使用限度回数に至った場合にはその装置の一
部のその後の使用を制限する手段と、その装置の一部の
使用が制限された場合にはその装置の他の部分からの指
示で前記カウンタ値を更新することによりその使用制限
を解除する手段を有することを特徴とする情報処理装
置。２２．その装置の一部の累積使用回数が前記使用限度回
数に至った場合にはその装置の一部のその後の使用を拒
否するものあることを特徴とする上記２１．記載の情報
処理装置。２３．その装置へのコマンド入力により前記使用制限が
解除されるように構成されていることを特徴とする上記
２１．記載の情報処理装置。２４．前記コマンド入力と併せてそのコマンド入力の正
当性を確認する手段が設けられていることを特徴とする
上記２３．記載の情報処理装置。

【００１５】

【発明の実施の形態】今、演算装置を考える。電源を不
安定にした場合、演算装置の全体ではなく一部分で誤動
作が起こることがある。つまり、ある命令を受け取った
演算装置の命令実行部分が沈黙状態に陥り、しかしそれ
以外の部分が正常に動作しているならば、外部からはあ
る命令を実行しない演算装置と見ることができる。この
ような誤動作は条件分岐を行う際に顕著な問題となる。（１）同様な条件分岐命令を複数個並べることによる誤
動作防止対策図３は一般的に用いられるパスワード照合の処理フロー
である。パスワード判定装置（３００）は、判定部分
（３０１）でパスワードが不正解であると判定すると、
もう一度パスワード入力処理に戻るように動作しようと
する（３０２）。この時に上記の誤動作(条件分岐命令
の沈黙)が起こったならば、判定部分（３０１）の処理
を行わずに次の処理に遷移するため、パスワードの正否
に関わらず、最終的に正解時の処理（３０３）に進む可
能性がある。

【００１６】また、図４に示すように、装置がエラーを
起こした場合、装置のリセットをその装置の利用者に対
して促すために無限ループ（４００）に遷移させること
が一般的に行われる。その装置が無限ループ（４０１）
内で動作中に誤動作した場合を考える。すると、無限ル
ープに留まるための無条件ジャンプ命令（４０２）が実
行されないことが起こり得る。この場合、装置は無限ル
ープを抜け出し、それに続くアドレスに記述されている
プログラム（４０３）へ遷移し、以降に記述されている
プログラムを順次実行していく可能性がある。これはこ
のプログラムの作成者が想定していない動作であり、望
ましくないものである。

【００１７】図５に示すように、条件分岐命令を複数回
繰り返す（５０２，５０３，５０４）ことで、図４を用
いて説明した問題点の発生を防止することができる。同
一の条件での分岐命令を複数回繰り返すことは処理フロ
ーに何ら影響を与えず、突発的な誤動作であれば、複数
回のうちのいずれかが正常に処理される。ここで、２回
目以降の条件分岐先（５０３，５０４）を装置の処理を
停止する制御を行う装置、あるいは誤動作を警告する装
置（５０６）に設定することもできる。というのは、２
回目以降の条件分岐で分岐するのは上記のような誤動作
による場合に他ならないからである。この時、装置はタ
ンパーエビデント性を持つといえる。なお、誤動作なき
場合には処理A（505）または処理B（507）が実行され
る。

【００１８】一般的な情報処理装置はプログラムカウン
タを元に動作を行っており、そのプログラムカウンタが
指し示す場所にあるプログラムを順次実行する。プログ
ラムやデータを記憶する記憶装置は一般に読み書き時に
電力を消費する。また複雑な手順を経るため、電源が不
安定になるなどにより誤動作が起こった場合にプログラ
ムやデータを正常に読み込めない場合がある。特別な配
慮のされていない装置ではこの誤動作の際に、プログラ
ムカウンタの指し示すプログラムステップを無処理のま
ま通過し、しかしプログラムカウンタは記憶装置に比較
して電力消費が少なく簡単な演算で更新されるため、そ
のまま次のプログラムステップに進むことがある。条件
分岐処理を無処理のまま通過することは、条件判定で条
件が偽であった場合と等価であり、設計者の意図しない
結果をもたらす。例えば、入力値が負の数であれば再度
入力処理に戻り、そうでなければ次の処理に進むという
処理を考える。誤動作により入力値の判定が行われない
まま次の処理に進んでしまうと、後のプログラムは入力
値が正の数であることを想定しているため、予期しない
誤動作を引き起こす。本実施例のように、２回以上の条
件分岐命令を設置することで、条件分岐命令を無処理の
まま通過して次の状態に移行してしまう確率を減らすこ
とができる。条件分岐処理は一般的にシステムに変化を
もたらさないため、複数回実行してもなんら新たな問題
は起きない。また、条件を反転した命令を使用すること
や、他の条件フラグによる条件判定を行うことで、異な
る条件分岐命令を混在させることができる。ある環境要
因による誤動作が命令そのものに依存するものであると
き、本発明により連続する同質の誤動作の影響を受ける
確率を効果的に減らすことができる。

【００１９】図5に示した情報処理装置は、条件フラグ
Ｚ（ゼロフラグ）を参照し、Ｚ＝０であれば分岐処理
（５０２）を行う。本発明では、分岐処理（５０２）の
後に再度、同じ分岐処理（５０３）を行う。本実施例で
はさらに続けて同じ分岐処理（５０４）を行っている。
これは、処理装置の誤動作により分岐処理が行われなか
った場合の保護機構であり、条件分岐命令は処理装置の
内部状態を変化させない命令であるため、さらに誤動作
確率を減らすために、本例に見られるように3回処理を
行うのに留まらず、任意の回数だけ行うことができる。
2回目以降の分岐処理により分岐が起こるのは、誤動作
により1回目の分岐処理を通過した場合のみであるた
め、2回目以降の分岐処理の分岐先をエラー処理（５０
６）とすることができる。エラー処理とせず、1回目の
分岐処理と同様に処理Ｂ（５０７）に接続すれば、誤動
作環境下においても処理を継続することができる。図5
に示した条件Ｚ＝０とは、演算の結果がゼロであったこ
とを示すものであり、一般の演算器にはこのような演算
の結果を示す条件フラグが用意されている。本実施例で
はＺフラグを参照したが、その他のフラグを用いること
も可能である。（２）他の分岐命令の併用による誤動作防止対策先に述べたように、電源を不安定にしても装置全体が必
ずしも不安定になるわけではなく、最も弱いところから
誤動作し始める傾向がある。そのため、受ける影響が演
算装置の命令毎に異なり、ある命令は正常動作してもあ
る命令は誤動作する場合がある。ところで、演算装置に
は各条件フラグの０／１に応じて２種類ずつの命令（図
６の６０２，６０４）が実装することができる。例え
ば、Ｚフラグ(ゼロフラグ)が０であるときに分岐する命
令（６０２）と、Ｚフラグが１であるときに分岐する命
令（６０４）である。そこで、条件フラグのビット値を
反転して（６０３）再度違う命令で条件分岐を行う。こ
れは、一時的な誤動作であれば同じ分岐命令を列挙する
ことで対策可能であるが、定常的な誤動作であるときに
は同じ命令の系列はすべて通過してしまうため、違う命
令を織り交ぜることで誤動作検出確率を上げることがで
きる。主な手順は以下の通りである。１．条件分岐命令を実行。２．条件フラグの値を反転。３．上記1.の条件を反転した条件分岐命令を実行。

【００２０】同等の効果を得るために、ある条件フラグ
を保存している状態レジスタの値を、別の条件フラグを
保存している状態レジスタに複写することで、別命令を
用いて条件判定処理を行ってもよい。この場合、１．条件分岐命令を実行。２．上記１.で使用した条件フラグ値を、別の条件フラ
グを保持する状態レジスタに移動。３．上記２.での移動先に対応する条件分岐命令を実
行。の手順で処理する。ここでも先と同じ理由で、２回目以
降の分岐命令の分岐先を警告装置や停止装置（６０８）
にすることでタンパーエビデント性を得ることができ
る。ところで、異なる命令間で誤動作の発生確率や発生
状態が異なる。そのため、同等の処理を多種の方法で行
うことが誤動作への対策となる。図6のように、分岐処
理（６０２）の後で分岐条件を反転する（６０３）こと
で、分岐処理に異なる命令（６０４）を使用することが
でき、誤動作を効果的に回避することができる。ここで
は条件フラグＺについて述べたが、他の条件フラグを用
いても同様に処理を行うことができる。

【００２１】さらに、ビットシフト命令などにより状態
レジスタに保存されているある条件フラグの結果を他の
条件フラグ位置に反映させ、その結果を利用して多種の
条件分岐命令で条件判定を行うことも可能である。状態
レジスタ(コンディションコードレジスタ：CCR)とは、
演算器で取り扱うデータの状態を反映するレジスタであ
る。一般にＨフラグ、Ｎフラグ、Ｚフラグ、Ｖフラグ、
Ｃフラグがあり、それぞれハーフキャリ、ネガティブ、
ゼロ、オーバーフロー、キャリを表している。ハーフキ
ャリには、演算で中央ビットについてキャリまたはボロ
ーが発生したときに１がセットされ、ネガティブフラグ
には、演算結果が負の数であるときに1がセットされ、
ゼロフラグには、演算結果がゼロであるときに１がセッ
トされ、オーバーフローフラグには、演算結果がオーバ
ーフローを生じた際に1がセットされ、キャリフラグに
は、演算でキャリが生じた際に1がセットされる。これ
らは、状態レジスタの中で各1ビットの位置を占め、順
番に配置されている。配置はＣＰＵにより異なる場合が
あるため、ここでは、ＨＮＺＶＣの順番に配置されてい
るものとし、8ビットの状態レジスタの上位3ビットはこ
こでは常に０であるとする。図7は、ゼロフラグが０で
ある場合に処理Ｂ（７０９）を行いたい場合を示してい
る。最初の分岐処理では、通常通りゼロフラグを利用し
て条件分岐を行う（７０２）。次に状態レジスタ(配置
は上記したように「０００ＨＮＺＶＣ」である)を1ビッ
ト右にシフトすることにより、Ｚフラグの位置にあった
ビットをＶフラグの位置に移動する（７０３）。つま
り、Ｖフラグの判定を行うことで実質的に先のＺフラグ
の判定を行っていることになる（７０４）。さらに状態
レジスタを1ビット右にシフトすると、Ｖフラグの位置
にあったビットはＣフラグの位置に移動する（７０
５）。Ｃフラグの判定を行うことで、先のＺフラグの判
定を行うことができる（７０６）。このように複数の異
なる命令を使用することで、一部の命令の誤動作を検出
することができる。（３）処理経路の把握ノイズによる誤動作などによりＣＰＵのプログラムカウ
ンタが異常動作した場合、条件分岐が必ずしも設計者の
意図どおりに当該条件に従って処理されないことや、通
常先頭から順番に処理されるべき処理順序が、誤動作に
より変化することが起こりうる。このような事態の発生
を前提として、各分岐経路での処理が正しく行われたか
どうかを判定する手段を設ける必要がある。その判定は
以下の手順に従って行う。１．分岐情報（どこへ分岐するのかの分岐先の情報）を
保存。２．分岐命令を実行。３．分岐先での処理命令を実行。４．分岐先に依存した情報をメモリに保存。５．分岐先での処理終了後に、上記１．で保存した分岐
情報と上記４．で保存した情報を比較。

【００２２】上記処理５．において比較結果が不一致な
らば、分岐処理が期待通りに処理されなかったことを意
味する。よってその場合はさらにエラー処理として装置
を停止したり、分岐前に遡って再処理を行うなどの後処
理を適切に行うことができる。

【００２３】図8に本実施例に係る処理フローを示す。
分岐命令を実行するにあたり、分岐先を決定するための
情報を記憶装置に記憶する（８０１）。分岐命令は分岐
先情報を元に分岐経路を決定する（８０２）。今、分岐
先情報により経路Ａを選択したとすると、分岐経路で
は、経路に依存した処理ｆa（８０３）を行い、さらに
分岐経路に特有の情報Iaを記憶装置に記憶する（８０
４）。処理終了後、分岐先情報と分岐経路情報を比較す
ることにより、正しい分岐経路が選択されたことを確認
する。分岐経路が正しくなかったと判定されれば、処理
を直ちに終了したり、エラーメッセージを表示するなど
の処理を行う（８０７）。

【００２４】今、例えば、銀行端末機内のプログラムが
入金処理を実行する場合を考える。分岐処理に先立ち、
分岐先を決定するための情報を保存する。例として、文
字列“入金処理”を記憶装置に記憶する。次に分岐命令
は文字列“入金処理”を読み、入金処理経路を選択す
る。入金処理経路では、実際に入金処理を行い、さらに
入金処理経路を処理したことを示す文字列 “入金処理
経路選択”を記憶装置に記憶する。以上の処理経路の処
理が終了した後に、分岐処理に先立ち記憶しておいた文
字列“入金処理”と実際の処理経路で記憶した文字列
“入金処理経路選択”を比較して、望んだ経路が正しく
選択され実行されたことを確認することができる。も
し、分岐命令実行時の誤動作により、希望していない処
理経路である、例えば、出金処理経路に分岐したなら
ば、当該経路処理中に文字列“出金処理経路選択”が記
憶される。そのため、処理経路の処理が終了した後に行
う比較において、“入金処理”と“出金処理経路選択”
が不整合であることを発見することができ、たとえば処
理を中断したり、再度分岐処理をやり直すなどの対策を
施すことができる。ここでは、処理経路独自の情報とし
て文字列を保存したが、後で処理経路を特定できるなら
ば、数値を使用しても良い。

【００２５】図9に条件分岐処理においてその条件分岐
が正常に行われたかどうかを検知するための手段の一例
を示す。入金処理経路では、経路情報として“１”を保
存する（９０３）。出勤処理経路では、経路情報として
“２”を保存する（９０５）。照会処理経路では、経路
情報として“３”を保存する（９０７）。装置の使用者
は経路情報として１，２，３いずれの値が保存されてい
るかを確認することにより意図した通りの処理経路が選
択されたかを知ることができる（９０９）。このよう
に、単純な値の設定により経路選択の結果を保持するこ
ともできる。また、経路情報を装置固有の値に限定する
ことで、装置使用者が本情報処理装置の出力結果を使用
する際の手順を定型化することができるため利便性を向
上させることができる。この定型化により検査処理の共
通化を行い、プログラムメモリの節約が可能であり、汎
用検査処理としてハードウェア化することで高速化も可
能である。

【００２６】処理経路独自の情報を保存するための処理
は、処理経路に分岐した後のどのタイミングで何度行っ
ても良い。図10に一例として、処理経路中に2回の数値
演算を行う場合を示す。

【００２７】入金処理の先頭では数値“１”を設定し
（１００３）、出金処理の先頭では数値“２”を設定し
（１００６）、照会処理の先頭では数値“３”を設定す
る（１００９）。また、入金処理の末端では数値を３倍
し（１００５）、出金処理の末端では数値を４倍し（１
００８）、照会処理の末端では数値を５倍する（１０１
１）とする。このとき、最後に得られた数値が“３”な
らば、入金処理経路が正しく処理されたことを示し、数
値が“４”ならば、入金処理経路の途中で誤動作により
出金処理経路に移行したことを示し、数値が“５”なら
ば、入金処理経路の途中で誤動作により照会処理経路に
移行したことを示し、数値が“６”ならば、出金処理経
路の途中で誤動作により入金処理経路に移行したことを
示し、数値が“８”ならば、出金処理経路が正しく処理
されたことを示し、数値が“１０”ならば、出金処理経
路の途中で誤動作により照会処理に移行したことを示
し、数値が“９”ならば、照会処理経路の途中で誤動作
により入金処理に移行したことを示し、数値が“１２”
ならば、照会処理経路の途中で誤動作により出金処理に
移行したことを示し、数値が“１５”ならば、照会処理
が正しく行われたことを示す。それ以外の数値は起こり
えない。起こりえない数値が得られた場合は、誤動作が
起きていることを意味する。今、入金処理を実行したい
とする。分岐先を決定するための情報である文字列“入
金処理”を保存（１００１）した後、分岐命令を実行す
る（１４０２）。分岐命令により入金処理経路に処理を
移行し、入金処理経路の先頭で、数値“１”を保存する
（１００３）。入金処理を終了し（１００４）、入金処
理経路の末端で、先ほどの数値“１”を３倍する処理を
行い、結果“３”を保存する（１００５）。処理経路の
処理を終了した後で、分岐処理前に保存した文字列“入
金処理”から、比較するべき数値は“３”であることを
得る。処理経路の処理中に設定された数値が“３”であ
ることを確認すれば（１０１２）、確かに入金処理が行
われたことを確認することができる。このように、起こ
り得る全ての処理経路が各々独自の値を持つように処理
方法を選択することで、処理経路の終了後にどのような
経路で処理したかを確認することができるため、経路処
理の途中での誤動作も検出することが可能である。分岐
先での経路処理中に多くの検査用処理を行えば、より細
かく処理経路を把握することができる。

【００２８】図11は、図10などで示した情報処理装置A
を内蔵する情報処理装置Bであって、情報処理装置Aの出
力を検査して演算が正しく行われた場合に正しい演算結
果を出力し、演算が正しく行われなかった場合にはエラ
ーであることを示す情報を出力するものである。分岐処
理の検算には、情報処理装置Bへの入力値（本実施例で
は、そのまま情報処理装置Aへの入力値となる）と情報
処理装置Aにおける分岐処理の結果の出力データK、Lを
使用する。検算処理をハードウェアで実装すれば、デー
タJに複雑な処理を施しても検算に要する時間を節約す
ることができる。また、装置使用者は情報処理装置Bが
誤動作を起こした場合にその旨の出力結果を得てそれに
応じて再実行などの適切な後処理を行うことができるた
め、情報処理装置として条件分岐の検算処理までを含め
ることには大きな効果がある。情報処理装置Bは入力デ
ータ（１１０１）をそのまま情報処理装置Aの入力部に
入力し（１１０２）、情報処理装置Aの出力（１１０
６）と合わせて検算処理を行う。処理の結果、情報処理
装置Aの結果が正しいものと判断されればデータ出力部
から正常なデータを出力するようにセットし（１１１
１）、不正であると判断されればデータ出力部から不正
を示すデータを出力するようにセットし（１１１０）、
データ出力手段によりセットされたデータを出力する
（１１１２）。今、入力データＩ、Ｊが与えられたと
き、情報処理装置AによりＩ、Ｊに対して演算が行われ
る。例えば処理ｆが演算経路に応じた方式でのIを暗号
化演算であるとし、処理Ｇ₀はＪに０を、処理Ｇ₁はＪに
１を、処理Ｇ₂はＪに２を加える演算とする。入力Ｊの
値に依存して経路が正しく選択されたかどうかを情報処
理装置Bはその情報処理装置Aの入出力値から判断する。
検算処理（１１０７）は、情報処理装置Aにおける経路
選択処理（１１０３）と同等の演算を用いて想定される
経路を決定し、その場合の処理ＧをＪに対して行い、判
定処理（１１０８）で情報処理装置Aの出力値であるKと
比較を行い、結果が一致すれば正しく経路が選択された
と判定し、（１１１１）で出力データを正しいデータに
セットする。結果が不一致であれば、処理が正しく行わ
れなかったとして（１１１０）により処理の不正を表す
データをセットする。情報処理装置Bは、情報処理装置A
の結果から誤動作の有無を検出する処理を付加したもの
であり、これによりユーザーは独自に誤動作の有無を検
出する必要がなくなる。図11ではさらに上記検算処理を
複数回行い、すべての検算に合格した場合（１１０９）
に正しい演算結果を出力し、演算が正しく行われなかっ
た場合にはエラーであることを示す情報を出力する情報
処理装置である。情報処理装置の設置環境や悪意者から
の攻撃の種類により誤動作の発生確率やタイミングは変
化するため、必ずしも１度の検算処理が正常に処理され
るとは限らない。そのため、複数回の検算処理を行うこ
とで効果的に検算処理自体の誤動作の確率を減らすこと
ができる。例えば、１回の検算処理が確率５０%で誤っ
て演算が正しく行われたと判断する場合では、２回の検
算処理が間違いを出力する確率は２５%であり、３回な
らば１２．５%となり、７回の検算処理で間違える確率
は１%以下となる。また、上記情報処理装置が誤動作を
検出した際に、演算がエラーである旨の出力をする代わ
りに装置全体を停止させることができる。環境の変化や
悪意者の意図により誤動作が集中した場合に、誤動作を
表す出力データを正常に外部に伝達できなくなることが
ある。このような場合、情報処理装置側で装置全体に停
止命令を発行することがシステムの誤動作を最低限に抑
える最善の方法を与える。装置の停止は、一時的である
ことも恒久的なものである場合もある。（４）カウンタ処理カウンタは、あるサービスを提供する回数などの限度を
規定する上で重要であり、処理装置使用を提供するサー
ビス運用システムでは不可欠である。誤動作によりカウ
ントダウン機能が誤動作すると、利用者は規定の回数を
超えてその装置を利用し続けることができるため、確実
にカウント処理を行う必要がある。また、カウントダウ
ン機能の誤動作により、利用者が規定回数以下しか利用
できなければ、サービスとしての運用ができなくなる。
外部処理の終了待ち時間調整には一定回数のループ処理
を利用することが一般的であるが、誤動作によりループ
処理の回数に変化が起こるとやり取りの整合性が取れず
致命的な問題となる。また、ストリーム暗号を利用する
際に、途中で同期がずれるとそれ以降の暗号文全体が解
読されてしまう問題が知られている。

【００２９】そこで、カウンタを２つ以上用意し、それ
ぞれについてカウント処理を行い、すべてのカウンタが
終了条件に達した場合にのみ処理を終了する。途中で、
一部のカウンタのみが終了条件に達した場合は、誤動作
を意味するため、エラー警告を発したり動作を停止する
などの処理を行う。手順を図12および以下に示す。１．カウンタを初期化する。２．ループ内の処理を行う。３．カウンタのカウントダウンを行う。４．各カウンタの終了判定を行う。５．各カウンタの終了判定結果を保存する。６．すべてのカウンタについて、終了判定がNoであれ
ば、2.へ戻る。７．すべてのカウンタについて、終了判定がYesであれ
ば、処理を終了する。８．上記6.、7.いずれでもなければエラー処理を行う。

【００３０】本対策処理では、カウンタを２つ以上用意
し、まずそれらを初期化する（１２０１）。次に、ルー
プ処理に入り、ループ内処理を行う(１２０２)。各カウ
ンタをカウントダウンし（１２０３）、カウンタ毎に終
了判定を行う（１２０４）。各カウンタの終了判定結果
を保存する（１２０５）。この終了判定結果を読み込
み、すべての判定結果が一様にNoになっていれば、ルー
プ処理を継続する（１２０２）。すべての判定結果が一
様にYesになっていれば、ループ処理を終了する（１２
１０）。これ以外のケースでは、一部のカウンタのみが
終了状態に達していることになるため、誤動作をしてい
ると判定し、エラー処理を行う（１２０９）。

【００３１】従来の繰り返し処理装置は、入力されたカ
ウンタ値を減算し、演算結果が０になるまで繰り返し演
算を行う。繰り返し処理時の誤動作によりカウンタ値が
変化した場合に、カウンタ値が規定値になる前に繰り返
し処理を終えてしまうことを防止する実施例を図13を用
いて説明する。ここでは、入力データIは２５６未満の
数値であるとする（１３０１）。JをＪ＝２５６−Ｉと
して生成する（１３０２）。カウントダウン処理は、Ｉ
＝Ｉ−１（１３０３）、Ｊ＝Ｊ＋１（１３０４）、つま
りコンピュータで一般的なデクリメント，インクリメン
トであるとする。通常のループ処理と同様にカウンタＩ
が０であるかを検査する（１３０６）。Ｉが０でなけれ
ば、次に演算Ｉ＋Ｊを行い、０である場合にはエラーが
起きていないと判断して、次のループへと進む（１３０
９）。ここでエラーがあると判断された場合（Ｉ＋Ｊ≠
０）は速やかに、装置がそれ以上の処理を行わないよう
に、必要に応じて異常である旨のデータを出力し、リセ
ットなどの処理を行う（１３１０）。１８０６でＩ＝０
であった場合も、Ｉ＋Ｊが０であるかを確認し、０であ
れば終了処理に進み（１３０８）、０でなければエラー
処理に進む（１３１０）。カウンタを２５６未満とした
のは、実際のＣＰＵにおいて８ビットの数値が利用しや
すいためであり、この制限は重要ではない。

【００３２】ここでは、カウンタを２つ使用する例を挙
げたが、３つ以上の場合についても同様に処理すること
ができる。また、カウントダウン処理としてデクリメン
ト、インクリメントを使用したが、その他の演算を用い
ても良い。

【００３３】一例として、図14に乗算、除算を使用する
場合を示す。ここでは、２５６回のループ処理を行う。
まず、０でない数Ｉを生成する（１４０２）。Ｊとして
Ｉの２５７を法とした逆数を設定する（１４０３）。カ
ウント処理では２５７を法として、Ｉは２倍算、Ｊは２
での除算を行う（１４０４，１４０５）。カウンタの終
了条件はＩ＝１である（１４０７）。カウント終了条件
のチェックの後にもう１つのカウンタＪとの整合性をチ
ェックするためにＩ×Ｊｍｏｄ２５７が１であるかどう
かを確認し（１４０８,１４１０）、１でなければ誤動
作を意味するため、エラー処理を行う（１４１１）。カ
ウント終了しており、カウンタＩとＪの整合性が正しけ
ればループ処理を終了する（１４０９）。本実施例で
は、オイラーの定理を利用している。同定理によると、
pを素数として1≦y<pであるyについてy^φ(p)mod p=1と
なる。ここでφ(x)はオイラー数を表す。つまり、本実
施例中で用いた法２５７について、２５７と互いに素な
数Ｉ(２５７が素数であるため、256以下で０以外の任意
の数は２５７と互いに素である)をφ(２５７)＝２５６
乗すると、１になる。（５）装置独自のカウンタ使用者からの呼び出し回数を制限した情報処理装置につ
いて以下、説明する。情報処理装置は独自にカウンタを
保持し、呼び出し毎にカウントダウンし、呼び出し回数
が一定回数を超えた場合、それ以降の呼び出しに対して
処理実行を拒否する。これにより、設計者が意図しない
誤動作により想定回数以上の処理実行を防止することが
できる。例えば、データを出力する処理装置を呼び出す
際に誤動作を起こせば、必要以上のデータを外部に対し
て出力することがある。これはセキュリティ上重要な情
報を保持する装置（例えばＩＣカードや現金処理端末装
置など）においては重要な情報の漏洩に繋がり、致命的
な問題となる可能性があるため、本発明による保護が必
要である。さらに、実行可能回数を制限することによ
り、処理装置部分を単独で取り出してきて別装置に内蔵
して使用するという不正使用を防止することができる。
装置の運用は、以下の手順による。１．初期化データにより、装置内のカウンタをある値に
初期値化する。２．処理装置は呼び出される毎にカウントダウンし、カ
ウンタが終了条件に達しているかどうかをチェックす
る。３．カウンタが終了状態でなければ処理を行う。４．カウンタが終了状態であれば、処理を拒否して終了
する。５．制御システムは、外部からの要求に応じて初期化デ
ータを装置に送る。

【００３４】図15に示すように、ユーザ（１５０１）
は、制御システム（１５０５）に対して装置の初期化要
求を行う。制御システムはその要求に応じて装置内部カ
ウンタ（１５０６）を初期化するための初期化コード
を、装置に対して送る。装置は初期化コードに応じて内
部カウンタを初期化する。ユーザが処理装置（１５０
２）を呼び出すと、装置はカウントダウンを行い（１５
０３）、カウンタが終了条件に達したかを判定する（１
５０４）。カウンタが終了条件に達していなければ、処
理を実行し（１５０７）、終了条件に達していれば処理
を実行せずに終了する。該装置のカウンタを初期化する
には、セキュリティを考慮する場合、暗号化したパスワ
ードの照合などを利用する。

【００３５】図15に示すように、制御システム（１５０
５）は、ユーザ（１５０１）からの装置初期化要求を受
ける。制御システムはユーザ要求の正当性を検証した後
に、装置（１５０２）に対してカウンタ（１５０６）初
期化コードを送信する。装置はカウンタ初期化コードの
正当性を検証した後に、カウンタを要求値に設定する。
次に、ユーザは装置の実行呼び出しを行う。装置はそれ
を受けて、内部カウンタのカウントダウンを行い（１５
０３）、カウンタが終了していなければ（１５０４）処
理を実行する（１５０７）。カウンタが終了していれ
ば、そのまま終了する。呼び出しに対して処理を行わな
くなれば、ユーザが制御システムに対して再度、初期化
要求を行う。以下同様にして運用する。

【００３６】装置の内部カウンタの初期化は、ユーザの
要求が無くとも制御システムが特定間隔で行っても良
い。この場合、図16のように、制御システム（１６０
７）は独自に (例えばクロックに同期して)カウントダ
ウンする（１６０７）ことで初期化タイミングを決定
し、特定間隔でカウンタ初期化コードを送信する。装置
のカウンタ初期化コードとして、暗号化パスワードなど
で保護された方法を用いれば、装置の不正使用に対して
安全性を向上させることができる。これにより、装置提
供者は装置使用者に対して利用資源の制限を行うことが
できる。装置提供者は装置使用者が適当な資格を得るこ
とでカウンタ初期化データの値の大小を調整したり、適
当なタイミングで再度初期化を行うことができる。

【００３７】以上、警告や制御停止などによるタンパー
エビデント性を強調したが、代わりに再計算処理などへ
制御を移すことで、装置は動作を続けることが可能であ
る。異常環境が継続すれば、無限のループに陥る可能性
があるが、環境が常に変化しつづける場合、最終的に処
理を正常に継続すると期待される。本発明の実施例にお
ける異常時に動作を停止するか継続するかの選択はシス
テム設計者の手にゆだねることができる。高セキュリテ
ィシステムであれば警告を発して停止しても良く、高度
な無人システムであれば、最大限に復旧継続処理の努力
を行うように設定することもできる。以上を必要に応じ
て組み合わせて使用することで、誤動作に対してより高
い検出可能性を得ることができる。

【００３８】

【発明の効果】本発明の実施例によれば、情報処理装置
の誤動作を検出することが可能である。

【図面の簡単な説明】

【図１】ICカード外観図。

【図２】ICカードのシステム図。

【図３】パスワード照合処理フロー。

【図４】無限ループと、誤動作による無限ループ抜けを
示す図。

【図５】条件分岐を複数回実行することによる誤動作検
出フロー。

【図６】二種類の分岐命令を併用した誤動作検出フロ
ー。

【図７】分岐条件データを他フラグに移動することを利
用した誤動作検出フロー。

【図８】分岐経路に依存した情報を保存することで、経
路選択が正しく行われたかどうかを検査する機構を備え
た分岐処理フロー。

【図９】分岐経路情報として経路に固有の数値を設定し
た処理フロー。

【図１０】分岐経路情報として、経路先頭と末尾に検査
用処理を設けることで、経路処理中の経路遷移を検出す
る処理フロー。

【図１１】分岐処理の正しさを複数回検査することによ
り、異常検出率を向上させる処理フロー。

【図１２】複数のカウンタを用いたループ処理フロー。

【図１３】２つのカウンタの和を使用することにより、
カウンタ誤動作を検出するループ処理フロー。

【図１４】２つのカウンタの積を使用することにより、
カウンタ誤動作を検出するループ処理フロー。

【図１５】装置独自のカウンタを用いた、処理回数制限
機構を備える処理装置の運用方法を表す図。

【図１６】自動的にカウンタを初期化する制御システム
と、カウンタによる実行回数制限を持つ処理装置の運用
方法を示す図。

───────────────────────────────────────────────────── フロントページの続き (72)発明者遠藤隆東京都国分寺市東恋ケ窪一丁目280番地株式会社日立製作所中央研究所内 (72)発明者神永正博東京都国分寺市東恋ケ窪一丁目280番地株式会社日立製作所中央研究所内 (72)発明者中田邦彦東京都小平市上水本町五丁目20番１号株式会社日立製作所半導体グループ内 (72)発明者成吉雄一郎東京都小平市上水本町５丁目22番１号株式会社日立超エル・エス・アイ・システムズ内 (72)発明者谷本千晶東京都小平市上水本町五丁目20番１号株式会社日立製作所半導体グループ内Ｆターム(参考） 5B035 AA13 BB09 BC00 CA11

Claims

【特許請求の範囲】

【請求項１】ICカード用チップ内の一のアプリケーショ
ンまたは一の情報へのアクセス権を得るための入力パス
ワードの正誤を判定するために前記入力パスワードと正
しいパスワードとを比較し、両者が一致した場合にはそ
の次の命令を実行し、不一致の場合には分岐命令を実行
する第一の分岐命令が記憶装置内に格納され、その第１
の分岐命令の後にはそれと同じ命令である第２の分岐命
令が前記記憶装置内に格納されていることを特徴とする
情報処理装置。
【請求項２】前記第１および第２の分岐命令の判定結果
に基づき実行される分岐命令での分岐先にはエラー処理
命令が設けられていることを特徴とする請求項１記載の
情報処理装置。
【請求項３】前記第２の分岐命令の判定結果に基づき分
岐せずにその次の命令が実行される場合にはその第２の
分岐命令の次の命令またはその先の命令には前記アクセ
ス権を付与するルーチンが含まれていることを特徴とす
る請求項１記載の情報処理装置。
【請求項４】前記入力パスワードは複数個の文字、数
字、符号または記号の列を有し、前記文字、数字、符号
または記号の一単位と正しいパスワードの一単位とを比
較することにより入力パスワードの正誤判定を行うこと
を特徴とする請求項１記載の情報処理装置。
【請求項５】前記第一の分岐命令に引き続いて前記第二
の分岐命令が実行される場合の前記第一の分岐命令の実
行開始時刻から前記第二の分岐命令の実行開始時刻まで
の時間間隔が１マイクロ秒以下となるように構成されて
いることを特徴とする請求項１記載の情報処理装置。
【請求項６】前記正しいパスワードがn個(nは自然数と
する。)の文字列よりなる場合、前記第１および第２の
分岐命令はそれぞれn個あり、前記第１の分岐命令と前
記第２の分岐命令とが交互に実行されるようにコーディ
ングされていることを特徴とする請求項１記載の情報処
理装置。
【請求項７】前記第１の分岐命令と前記第２の分岐命令
との間にはそれ以外の命令が配置されていることを特徴
とする請求項６記載の情報処理装置。
【請求項８】分岐条件を満足する場合にはその分岐命令
を実行し、その分岐条件を満足しない場合にはその次の
命令を実行する第一の分岐命令が記憶装置内に格納さ
れ、その第１の分岐命令の後にはそれと同じ命令である
第２の分岐命令が前記記憶装置内に格納されていること
を特徴とする情報処理装置。
【請求項９】前記第２の分岐命令は前記第１の分岐命令
に引き続いて前記記憶装置内の所定アドレスに記憶され
ていることを特徴とする請求項８記載の情報処理装置。
【請求項１０】前記第１および第２の分岐命令は入力パ
スワードが正しいか否かの判定を行うために用いられる
ものであり、入力パスワードが正しいとの判定がなされ
た場合にはその判定の後にICカード用チップ内の一のア
プリケーションまたは一の情報へのアクセスする処理が
実行されるように構成されたことを特徴とする請求項８
記載の情報処理装置。
【請求項１１】ある条件フラグF1の値が０または１のと
きに分岐命令が実行される第１の分岐命令と、前記条件
フラグF1の値が１または０のときに分岐命令が実行され
る第２の分岐命令とを有し、前記第１の分岐命令実行時
に前記条件フラグF1の値に基づき分岐処理が行われない
ときには、それに続く処理で前記条件フラグF1の値を反
転させた後に前記第２の分岐命令が実行されるように構
成されたことを特徴とする情報処理装置。
【請求項１２】前記第１および第２の分岐命令は入力パ
スワードが正しいか否かの判定を行うために用いられる
ものであり、入力パスワードが正しいとの判定がなされ
た場合にはその判定の後にICカード用チップ内の一のア
プリケーションまたは一の情報へのアクセスする処理が
実行されるように構成されたことを特徴とする請求項１
１記載の情報処理装置。
【請求項１３】ある条件フラグF1の値が０または１のと
きに分岐命令が実行される第１の分岐命令と、前記条件
フラグF2の値が0または1のときに分岐命令が実行される
第２の分岐命令とを有し、前記第１の分岐命令実行時に
前記条件フラグF1の値に基づき分岐処理が行われないと
きには、それに続く処理で前記条件フラグF1の値を前記
条件フラグF2に複写し、その後に前記第２の分岐命令が
実行するように構成したことを特徴とする情報処理装
置。
【請求項１４】分岐条件に基づき複数個の分岐先のうち
のいずれか一を指定する分岐命令と、その分岐先にコー
ディングされている一連の命令を実行した場合には前記
複数個の分岐先のうちのどの分岐先経路を通過したかを
第１のデータとして記憶し、前記分岐条件の判断の基準
となる分岐先データと前記第１のデータとを比較する手
段を有することを特徴とする情報処理装置。
【請求項１５】前記分岐条件の判断の基準となる分岐先
データと前記第１のデータとが一致する場合にはそれに
引き続く処理を行い、不一致の場合にはエラー処理を行
うように構成されたことを特徴とする請求項１４記載の
情報処理装置。
【請求項１６】第１および第２のカウンタの値を初期化
し、ループ内で前記第１および第２のカウンタ値をカウ
ントダウンする処理を行い、前記第１および第２のカウ
ンタに対するカウントダウン後の前記第１および第２の
カウンタ値が不一致の場合または前記第１および第２の
カウンタに対するカウントダウン後の前記第１および第
２の両方のカウンタ値が共に第１の所定値の場合には前
記ループから抜ける処理を行い、前記第１および第２の
カウンタに対するカウントダウン後の前記第１および第
２の両方のカウンタ値が共に第２の所定値の場合には前
記ループ内の処理を繰り返すように構成されていること
を特徴とする情報処理装置。
【請求項１７】前記第１の所定値は0であり、前記第２
の所定値は自然数であることを特徴とする請求項1６記
載の情報処理装置。
【請求項１８】第１および第２のカウンタの値を初期化
し、処理ループ内で前記第１および第２のカウンタ値を
更新する処理を行い、前記更新処理後の前記第１のカウ
ンタ値と第２のカウンタ値とが不一致の場合または前記
更新処理後の前記第１および第２の両方のカウンタ値が
共に第１の所定値の場合には前記ループから抜ける処理
を行い、それ以外の場合には前記ループ内の処理を繰り
返すように構成されていることを特徴とする情報処理装
置。
【請求項１９】前記カウンタ値の更新は更新前のカウン
タ値からカウントダウンする処理であるか又はカウント
アップ処理するものであることを特徴とする請求項１８
記載の情報処理装置。
【請求項２０】前記第１の所定値は0であることを特徴
とする請求項１８記載の情報処理装置。
【請求項２１】その装置の一部の使用限度回数を記憶す
るためのカウンタと、その装置の一部の使用回数に応じ
て前記カウンタ値を更新する手段と、その装置の一部の
累積使用回数が前記使用限度回数に至った場合にはその
装置の一部のその後の使用を制限する手段と、その装置
の一部の使用が制限された場合にはその装置の他の部分
からの指示で前記カウンタ値を更新することによりその
使用制限を解除する手段を有することを特徴とする情報
処理装置。
【請求項２２】その装置の一部の累積使用回数が前記使
用限度回数に至った場合にはその装置の一部のその後の
使用を拒否するものあることを特徴とする請求項２１記
載の情報処理装置。
【請求項２３】その装置へのコマンド入力により前記使
用制限が解除されるように構成されていることを特徴と
する請求項２１記載の情報処理装置。
【請求項２４】前記コマンド入力と併せてそのコマンド
入力の正当性を確認する手段が設けられていることを特
徴とする請求項２３記載の情報処理装置。