JP2002358237A

JP2002358237A - プロセッサのメモリ装置に対する権限のないアクセスを防止する保護回路

Info

Publication number: JP2002358237A
Application number: JP2002105364A
Authority: JP
Inventors: Dietmar Koschella; ディエトマー・コーシェラ
Original assignee: TDK Micronas GmbH
Current assignee: TDK Micronas GmbH
Priority date: 2001-04-06
Filing date: 2002-04-08
Publication date: 2002-12-13
Also published as: EP1248200A1; US7054121B2; US20020166034A1

Abstract

(57)【要約】【課題】本発明は、プロセッサ2 およびメモリ装置3
に結合され、メモリ装置3 に対する権限のないアクセス
を阻止する保護回路を得ることを目的とする。【解決手段】権限のないメモリアクセスを検出するた
めに、プロセッサおよびメモリ装置を制御するように機
能し、またはプロセッサとメモリ装置のそれぞれの動作
状態を通報する内部および外部信号が論理装置5 に与え
られ、権限のないメモリアクセスが検出された場合には
論理装置5 が権限のないメモリアクセスを禁止すること
を特徴とする。メモリアクセスの禁止はメモリ制御信号
の１以上のものの阻止、外部アクセス可能なデータイン
ターフェースのディスエーブル等によって行うことがで
きる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、通常プロセッサま
たは簡略化してＣＰＵ（中央処理装置）と呼ばれるプロ
セッサ装置の一部を形成し、マイクロ制御装置中の関連
するメモリ装置を有する保護回路に関する。

【０００２】

【従来の技術】多数の使用法のために、プロセッサ、制
御装置、またはＣＰＵは種々の領域で使用されることが
多くなり、特別な装置を使用して機械的、電気的または
電子機械的に従来実現されたタスクを実行する。現在の
技術は通常マイクロ制御装置（＝μＣｓ）を使用し、そ
れはモノリシック集積回路技術で構成される。それぞれ
のタスクへの適合はメモリ装置中に記憶されたプログラ
ムにより実現される。実行されるそれぞれのプログラム
にしたがって、プロセッサはメモリ装置から、実行され
る制御タスクで必要とされる所望値、限界値、係数、キ
ー情報等の必要なデータをフェッチする。メモリ装置が
マイクロ制御装置と全体的または部分的に集積されてい
るか、または別々の物理装置を形成するかは使用される
マイクロ制御装置のタイプと、必要とされるメモリ量に
依存する。

【０００３】

【発明が解決しようとする課題】個々の制御タスクを最
適にするため、および試験目的で、外部からアクセス可
能なデータインターフェースによりプロセッサとメモリ
装置間の双方向データ通信トラフィックを追跡しまたは
選択的に介入することが通常可能である。このような介
入はメモリ装置の内容の読取りである。別の介入は例え
ば特定のプログラムまたは係数を新しい状態に適合する
かまたはメモリ内容を全体的または部分的に消去するた
めにメモリ装置の内容を再度プログラミングすることで
ある。しかしながら、多くの場合、外部読取りまたは書
込みアクセスは所望ではなく、それによって少なくとも
メモリ装置の幾つかの区域への権限のないアクセスは防
止されるか、少なくとも非常に困難にされるべきであ
る。本発明はプロセッサに結合されたメモリ装置の内容
が読取られまたは重ね書きされないように保護する。

【０００４】多くの場合、秘密のキーワードを使用する
保護システムは適切ではない。別々のキーワードが各プ
ロセッサ−メモリシステムに対して予約される場合に
は、多数のキーワードを有するコンポーネントの管理は
複雑になる。また、ユニバーサルなキーワードが多数の
プロセッサおよび関連するメモリ装置で使用されるが、
ユニバーサルなキーワードは合法的にまたは違法的に知
られるようになり、保護がグループの全てのメンバで失
われる確率が非常に高い。ユニバーサルなキーワードの
場合、電子手段により法的にキーワードを保持すること
は多くは努力の価値がある。１例は自動車分野における
電子モータまたはシャーシ制御装置の権限のない再生で
あり、“クローニング”とも呼ばれる。他の例の権限の
ないアクセスは動作時間の読取りの変更または実行され
るメンテナンスサービスの証明の変更、自動車分野の場
合では主に走行計の変更等である。

【０００５】本発明の目的は、プロセッサおよびメモリ
装置が物理装置を形成し、または同一チップ上に集積さ
れる場合だけでなく、プロセッサおよびメモリ装置が空
間的に相互に離れている場合にも特に有効なプロセッサ
に結合されたメモリ装置への権限のないアクセスに対す
る保護を行うことである。

【０００６】

【課題を解決するための手段】本発明にしたがって、こ
の目的は請求項１に記載されている特徴を有する保護回
路により実現される。

【０００７】権限のないメモリアクセスを検出するため
に、保護回路は論理装置を具備し、その論理装置はプロ
セッサおよびメモリ装置からの、および恐らく他のソー
スからの内部および外部状態および制御信号を与えら
れ、権限を持たないメモリアクセスを検出したときに、
必要な信号を発生しないか転送しないことによって、ま
たはディスエーブル信号を発生することによって、外部
的にアクセス可能なデータインターフェースまたはメモ
リ装置の読取りおよび／または書込み機能或いはその両
者をディスエーブルする。この保護は必要なときに、全
体的なメモリ装置またはその一部だけをカバーしてもよ
い。各部分では、異なる保護機能が与えられ、これは読
取りだけ、または書込みだけ、または読取りおよび書込
みの両者を阻止する。保護は最初にメモリ装置のプログ
ラミングを許容するが、プログラムされた保護によって
許容される場合のみ同時に付勢が発生した後に取消しさ
れることができるように設計されている。実効的に、個
々のメモリ区域に対する保護機能はメモリ装置自体の保
護された区域中に記憶され、これは必要ならば重ね書き
可能ではない。本発明は権限のないアクセスを実行しよ
うとした場合にのみアクセスがディスエーブルされ、そ
の後の正規動作中には、動作能力が十分に維持される利
点を有する。クレジットカードで３度の不適切な試行を
した後の場合に開始されるような機能の阻止ではなく、
或いは例えばチップのラインを開くような可逆性のない
ハードウェア手段によってプロセッサ−メモリシステム
またはその一部を破壊されない限り機能の阻止はない。
さらに、キーボードまたは暗号化プログラムが使用さ
れ、その基本的な部分が外部的にアクセス可能ではない
メモリ区域に含まれるならば、セキュリティはさらに増
加される。

【０００８】

【発明の実施の形態】本発明およびその好ましい実施形
態を添付図面を参照にしてさらに詳細に説明する。

【０００９】図１を参照すると、プロセッサ２（ＣＰＵ
＝中央処理装置）とメモリ装置３を伴った保護回路の１
実施形態がブロック図の形態で概略的に示されている。
保護回路と、プロセッサと、関連するメモリ装置とは例
えば１つのチップで集積されるかまたは１つのハウジン
グ内にハイブリッド回路を形成することにより物理的装
置を形成することが好ましい。多量のメモリが必要とさ
れるならば、メモリ装置とＣＰＵを同一のチップに集積
するのではなくハイブリッド回路内または別の回路の組
合わせ内の標準化されたメモリ装置を使用することが価
格の面で適切である。したがって、機能ブロック４、
５、６、７を有する保護回路１は、通常は機能ブロック
７を除いてプロセッサ２の補助回路である。個々の機能
ブロックはアドレスデコーダ４、論理装置５、外部的に
アクセス可能なデータインターフェース６、メモリ保護
制御レジスタ（ＭＰＣＲ）７であり、これは個々のアク
セスの許可を保持する。

【００１０】プロセッサ２のプログラム実行は命令サイ
クルとデータサイクルに分離されている。命令サイクル
中、ＣＰＵ２は実行される次の命令をＣＰＵまたはメモ
リ装置２に記憶されているプログラムシーケンスからフ
ェッチする。命令サイクルには１以上のデータサイクル
が後続し、ここではＣＰＵはデータをフェッチまたは転
送する。好ましくはデータはメモリ装置３から読取ら
れ、そこに書込まれ、読取りおよび書込み位置は異なる
メモリ区域Ｂｉへ割り当てられてもよい。勿論、読取り
および書込みは先行する命令に基づいて、ＣＰＵにより
アクセス可能な他の位置で行われてもよい。しかしなが
ら、実行されるタスクでは、保護されるデータはメモリ
装置３の唯一のデータであることが仮定される。メモリ
装置３は権限のない外部メモリアクセスの場合に異なっ
て処理されなければならない個々の区域Ｂ０、Ｂ１、…
Ｂｉ、…Ｂｎまたはセグメントに分割される。例えば、
読取りも書込みも許容しない第１の区域が存在し、用語
“書込み”は新しいデータを重ね書き、または既存のデ
ータの消去に関する。第２の区域では、データの読取り
は許容されるが書込みは許容されない。第３の区域で
は、書込みは許容されるが読取りは許容されない。第４
の区域では、制限はなく、即ち、読取りと書込みの両者
がこれらのメモリ区域で許容される。個々のメモリ区域
に割当てられる保護機能は簡略化して“ＭＰＣＲ”とも
呼ばれるメモリ保護制御レジスタ７に記録される。この
メモリ保護制御レジスタ７は例えばマイクロ制御装置、
または好ましくはメモリ装置３で別々のレジスタとして
含まれる。後者を実現することは特に有効であり、それ
においてはこのレジスタＭＰＣＲ７が読取り保護区域お
よび書込み保護区域に位置されることができ、それによ
って初期プログラミング後に全体的なメモリ装置３の保
護機能は特別な手段を行わずにはディスエーブルされる
ことができない。

【００１１】個々のメモリ区域の規定はアドレスデコー
ダ４で行われ、これはアドレスされたメモリ区域Ｂｉに
したがって与えられたアドレスＡ₀、…Ａ_i、…、Ａ_n
から、区域の信号ｓ２を形成し（例えば図３の区域の信
号ＣＥ_{memory i}を参照）、メモリ区域の寸法はアドレス
デコーダ４の区域の規定についての情報により予め定め
られている。

【００１２】メモリアクセスが権限を与えられたアクセ
スかまたは権限のないアクセスであるか否かについての
決定は論理装置５で行われ、これは内部信号と外部信号
ｓ２、ｓ３、ｓ４およびｓ１を結合し、結果によって権
限を与えられたアクセスかまたは権限のないアクセスを
認識する。アドレスされたメモリ区域Ｂｉに対して基本
的なアクセス許可はレジスタ７から検索される。

【００１３】権限を与えられたメモリアクセスの場合、
プロセッサ２は制御信号ｓ３、ｓ５の手段によりそれぞ
れのアドレスＡ_iでメモリ装置３から読取りまたはそれ
に書込み、読取られるか書き込まれるデータＤ₀、…、
Ｄ_nは外部的にアクセス可能なデータインターフェース
６でデータｄ１として読取られまたはそこからメモリ装
置３へ書き込まれることもできる。このようなデータイ
ンターフェース６の標準化された例は“試験バス”また
は“ＪＴＡＧ”（＝ジョイントテストアクショングルー
プ）として知られている。これらは適切な外部信号ｓ１
により付勢され、これはプロセッサおよびマイクロ制御
装置の場合、通常それぞれ“ＴＥＳＴ”、“ＪＴＡＧ”
と呼ばれる。その場合、ＣＰＵ２とメモリ装置３との間
の論理装置５は内部信号と外部信号ｓ２、ｓ３、ｓ４、
ｓ１を結合するが、“透明であり”、即ち不可視であ
る。

【００１４】権限のないメモリアクセスの場合、論理装
置５はメモリ装置３から読取られるかそこに書き込まれ
る必要のある信号ｓ５の出力を阻止するか、ディスエー
ブル信号ｓ６により少なくとも外部でアクセス可能なイ
ンターフェース６でディスエーブルする。それぞれのメ
モリ区域に対するアクセス権についての情報は、区域信
号ｓ２によってレジスタ７から論理装置５によりリクエ
ストされ、その区域信号ｓ２はアドレスとして作用し、
レジスタ７はその後、リクエストされた情報を信号ｓ４
により戻す。

【００１５】アクセス保護の基本条件は、プロセッサ２
によるメモリ装置３へのアクセスは正常動作中は妨害さ
れてはならないことである。通常の規則的な動作モード
では、ＣＰＵ２は完全な命令データサイクルを実行し、
そこでは次の命令、したがって次のプログラムステップ
がＣＰＵに負荷され、関連する制御命令、例えば保護さ
れるメモリ装置３または他のデータソースまたはシンク
の読取りおよび／または書込みを開始する。この通常の
動作サイクルは例えば状態信号ｓ３を区域信号ｓ３に結
合することにより認識される。状態信号ｓ３は例えばｏ
ｐコードフェッチ信号ＯＰＣであり、これは区域信号Ｃ
Ｅ_{memory i}と論理的に結合される。ｏｐコードフェッチ
信号は各メモリアクセスにおいてＣＰＵにより発生され
る。次のｏｐ−コードフェッチ信号が与えられたアクセ
ス権に関係せずに許容されるまで、全てのその後のデー
タはメモリ装置３の同一区域Ｂｉをアクセスする。これ
は禁止された情報がこの区域に対して与えられ、読取り
または重ね書きが“ＴＥＳＴ”または“ＪＴＡＧ”によ
りデータインターフェース６を介して試行されるならば
適用されない。

【００１６】不規則のメモリアクセスは、信号ｓ２、ｓ
３、ｓ４間の特定の否認を含んでいる事実を特徴とす
る。これもまたチェックされる。読取りおよび書込みで
は、ＣＰＵは信号ＲＥ（読取りエネーブル）とＷＥ（書
込みエネーブル）を発生し、アドレスデコーダ４はＣＰ
Ｕにより発生されるアドレスＡｉによりメモリエネーブ
ル信号ＣＥ（チップエネーブル）および／または区域信
号ＣＥ_{memory i}を発生し、これらはメモリ装置３を付勢
するために多数の区分されたメモリタイプで必要であ
る。信号間の種々のコンステレーションと権限付与チェ
ックにおけるそれらの効果を図１０の表を参照して以下
さらに詳細に説明する。

【００１７】図２は仮定された内容を有するメモリ保護
制御レジスタ（ＭＰＣＲ）７の１例を概略的に示してい
る。図２のＭＰＣＲレジスタ７は、“０”または“１”
状態である１６の位置を含んでおり、共に１６ビットＤ
０乃至Ｄ１５からなるデータワードに対応する。メモリ
装置３が８つの異なる区域Ｂ０乃至Ｂ７に分割されると
仮定すると、２つの異なる８ビット区域はしたがって１
６ビットデータワードから形成されることができる。１
つの区域はそれぞれの読取りアクセス許可を規定し、他
方はそれぞれの書込みアクセス許可を規定する。第１の
８ビットでは、正または負の読取りアクセス許可ＭＲＰ
０乃至ＭＲＰ７は８つの各区域Ｂ０乃至Ｂ７で規定さ
れ、第２の８ビットでは、正または負の書込みアクセス
許可ＭＷＰ０乃至ＭＷＰ７はこれらの各区域に対して規
定される。メモリ保護制御レジスタ７の容量が１６ビッ
トよりも小さいならば、１６のアクセス許可は２つの別
々のレジスタに記憶される。

【００１８】それぞれのメモリ区域Ｂｉに記憶された状
態“１”はアクセスを禁止し、状態“０”はこれをエネ
ーブルする。ＭＰＣＲレジスタ７の状態が自由アクセス
または禁止を規定するかに関する選択は任意である。し
かしながら、プログラムされていない状態では、ＭＰＣ
Ｒレジスタ７の全てのビットはエネーブル状態であり、
そうでなければＭＰＣＲレジスタとメモリ装置３の後続
するプログラミングは可能ではないことが確実にされな
ければならない。使用される技術によりプログラムされ
ていないレジスタ７で特定の状態が予め定められるなら
ば、この状態は必要ならば、その後のインバータまたは
反転レジスタ内容を読取ることにより補正される。

【００１９】図３はアドレスデコーダ４を概略的に示し
ている。一方の側はアドレスビットＡＤ０乃至ＡＤｎの
入力であり、これらは並列に与えられ、他方の側はデコ
ード出力であり、これはデコードされる区域Ｂ０乃至Ｂ
ｎにしたがってそれぞれ区域信号ＣＥ_{memory n}を与え
る。全体的なメモリ区域Ｂに関する全般的なメモリエネ
ーブル信号ＣＥ（＝チップエネーブル）はアドレスが全
体的なアドレス範囲内で認識されるときに別々の出力で
与えられる。数字の例として、可能な区域Ｂ０、Ｂ１、
Ｂ２、Ｂｎは１６進法フォーマットで与えられる。論理
動作が明瞭であるために、１つの区域信号ＣＥ_{memory i}
だけが所定の時間に“１”状態であることが確実にされ
なければならない。

【００２０】図４は図１のブロック図と類似のブロック
図を示している。メモリ装置３に対して、区分されたメ
モリタイプが使用され、その個々の区域Ｂｉは区域読取
りエネーブル信号ＲＥ_{memory i}または区域書込みエネー
ブル信号ＷＥ_{memory i}により選択されなければならな
い。さらに、全般的なメモリエネーブル信号ＣＥのみが
必要であり、これは全ての区域Ｂ０乃至Ｂｎに並列して
与えられる。アドレスデコーダ４からの区域信号ＣＥ
_{memory i}は論理装置５．１に与えられ、これはこの信号
をＣＰＵ２からの信号ＲＥまたはＷＥに結合して、区域
読取りエネーブル信号ＲＥ_{memory i}または区域書込みエ
ネーブル信号ＷＥ_{memory i}をそれぞれ発生する。これら
の信号が選択されたメモリ区域Ｂｉに対応しさえすれ
ば、この区域はそこから読取られそこに書込まれること
ができる。これは区域読取りまたは書込みエネーブル信
号によりただ１つだけの区域Ｂｉを選択することにより
確実にされる。他の区域は選択されない。区域読取りま
たは書込みエネーブル信号は勿論、信号ＲＥ、ＷＥ、Ｏ
ＰＣ、ＣＥ_{memory i}と信号ＴＥＳＴ、ＪＴＡＧ（図示せ
ず）により論理装置５．１中のアクセス許可チェックが
権限のあるアクセスであることを決定した場合のみ発生
される。権限のないアクセスの場合、論理装置５．１に
よる信号ＲＥ_{memory i}またはＷＥ_{memory i}の出力は阻止
される。全般的な信号ＣＥは必要ならば適切なゲート回
路によりさらに阻止されることができる。

【００２１】図５のブロック図は図４と同様に、区分さ
れたメモリ装置３を含んでいる。しかしながら図４と異
なって、区域選択は区域読取りエネーブル信号または区
域書込みエネーブル信号により行われるのではなく、論
理装置５．２からの区域信号 _{memory i}だけにより単独に
行われる。ＣＰＵ２からの読取りエネーブル信号ＲＥま
たは区域書込みエネーブル信号ＷＥは全体的なメモリ装
置３に関するものである。図４のように。アクセスチェ
ックは存在する信号により論理装置５．２で行われる。
権限のないアクセスが検出されたならば、メモリ装置３
にアクセスするのに必要な区域信号ＣＥ_{memory i}は禁止
される。全般的な読取りまたは書込みエネーブル信号Ｒ
ＥとＷＥはさらに必要ならば適切なゲート回路により阻
止されることができる。その場合には、図５では行われ
ていないが、信号ＲＥ、ＷＥはメモリ装置３へ直接、即
ち論理装置５．２を通過せずに与えられる。

【００２２】図６は読取りの場合について、さらに詳細
に図４の論理装置５．１を示している。メモリ装置３が
ＣＰＵ２からの読取りエネーブル信号ＲＥにしたがって
読取られることを許容するために、権限を有するメモリ
アクセスの場合、論理装置は区域読取りエネーブル信号
ＲＥ_{memory i}をメモリ装置に与えなければならない。メ
モリ保護制御レジスタ７では、１つのメモリセル10だけ
がＤフリップフロップのシンボルで示されている。メモ
リセル10の内容ＭＲＰｉが変更されるならば、新しいデ
ータビットＤｉはＤ入力に接続されたデータラインを経
てメモリセル10へ書込まれる。書込みクロックはＣＰＵ
２からのレジスタ書込みエネーブル信号ＷＥ_MPCRであ
る。メモリ保護制御レジスタ７がフラッシュメモリの一
部であるならば、プログラムされていないメモリ状態が
論理“１”レベルに対応する事実を考慮しなければなら
ない。この状態がその後の論理装置５．１で禁止情報と
して解釈されないように、メモリセル10の内容ＭＲＰｉ
は反転された形態で読出される。示されているＤフリッ
プフロップ10では、この機能は反転出力により与えられ
る。記憶された“１”はしたがって“０”になり、反対
の場合にはその逆である。

【００２３】メモリ装置３に対する読取りアクセスまた
はデータアクセスが行われているか否かに関するチェッ
クはＤフリップフロップ11を介して行われる。Ｄフリッ
プフロップ11はＣ入力におけるｏｐコードフェッチ信号
ＯＰＣでクロックされ、したがってＤ入力に存在するメ
モリエネーブル信号ＣＥを受ける。このフリップフロッ
プ11のＱ出力で与えられる信号は補助信号ＣＥＱであ
り、これはメモリエネーブル信号ＣＥの通知なしに新し
い命令アクセスＯＰＣが通報されるまで“１”状態にあ
る。補助信号ＣＥＱの“１”状態はしたがって、最後の
命令アクセスがメモリ装置３に対するアクセスであった
ことを通報する。“０”状態では、補助信号ＣＥＱは最
終的に区域読取りエネーブル信号ＲＥ_{memory i}を禁止さ
せる。リセット入力Ｒを経て、フリップフロップ11は内
部または外部に発生されるセット−リセット信号Ｓ／Ｒ
により“０”状態に設定されることができる。この不安
定な動作状態では、メモリアクセスは行われないので、
これはパワーアップのときに適切である。“トランスペ
アレントラッチ”特性を有するフリップフロップがＤフ
リップフロップ11に使用されることが好ましく、それに
よってスタートアップ中、即ちクロック信号ＯＰＣがＣ
入力に対して発生されない限り、Ｑ出力はＤ入力に存在
するメモリエネーブル信号ＣＥを観察し、この信号を現
在の情報としてその後のＡＮＤゲート13、14へ転送でき
る。

【００２４】メモリ保護制御レジスタ７が内容ＭＲＰｉ
としての禁止またはエネーブル情報を含んでいるか否か
に関するチェックはＤフリップフロップ12により行わ
れ、そのＤ入力はメモリセル10のデータ出力に接続され
る。それぞれの有効な情報ＭＲＰｉはレジスタ書込みエ
ネーブル信号ＲＥ_MPCRに応答して転送される。さらに論
理の組合わせのために、これはＱ出力において信号ＭＲ
ＰＱｉとして出力される。信号は１つのメモリセル10の
内容に関連され、１つのメモリ区域Ｂｉだけに対してを
与えられる。この信号ＭＲＰＱｉの“１”および“０”
状態は禁止作用とエネーブル作用にそれぞれ対応する。
禁止作用“１”も例えばスタートアップで他の信号と独
立してフリップフロップ12の設定入力Ｓでセット−リセ
ット信号Ｓ／Ｒにより強制される。

【００２５】権限を有するメモリアクセスと権限のない
メモリアクセスのいずれが行われているかに関する基本
的なチェックは２つの多数の入力ＡＮＤゲート13、14で
行われる。小さい円でマークされている幾つかの入力
は、これらがアンド処理される前に供給された信号を反
転する。第１のＡＮＤゲート13は、関連するメモリセル
10の内容ＭＲＰｉがエネーブル情報に対応するケースを
基本的に処理する。その後、アドレスされたメモリ区域
ＣＥ_{memory i}が実際にアドレスされたメモリセル10と関
連するか否か、およびＣＰＵ２からの読取り命令ＲＥが
実際に存在するか否かのチェックだけをする必要があ
る。全ての３つの信号ＭＲＰＱｉとＣＥＱとＲＥが正確
な状態“０”、“１”、“１”であるならば、区域読取
りエネーブル信号ＲＥ_{memory i}がＡＮＤゲート13に後続
するＯＲゲート15により関連する区域Ｂｉに対して発生
される。

【００２６】第２のＡＮＤゲート14は、ＭＰＣＲセル10
の内容ＭＲＰｉが禁止情報に対応するケースを基本的に
処理し、ここではこの例ではこれらの内容は“０”状態
である。前述したように、アドレスされたメモリ区域Ｃ
ｅｉが実際にアドレスされたメモリセル10に関連するか
否か、およびＣＰＵ２からの読取り命令ＲＥが存在する
か否かを検査するためのチェックが行われる。全ての条
件が満たされたならば、これは、ＣＰＵ２により同一の
メモリ区域Ｂｉへ権限を与えられたデータアクセスが完
全な命令とデータサイクル内で行われていることを意味
している。しかしながら、これは、データの読取りが外
部信号ＪＴＡＧまたはＴＥＳＴを介して行われない場合
のみ真である。それ故、これらの信号がないことはゲー
ト14によるＡＮＤ動作に含まれる。このために、否定入
力が使用される。第２のＡＮＤゲート14は、信号ＭＲＰ
Ｑｉ、ＣＥＱ、ＲＥ、ＪＴＡＧ、ＴＥＳＴ、Ｃｅｉが論
理レベル“１”、“１”、“１”、“０”、“０”、
“１”である場合にのみ、区域読取りエネーブル信号Ｒ
Ｅ_{memory i}をその後のＯＲゲート15に与える。図６で
は、論理動作はフリップフロップ段、ＡＮＤゲート、Ｏ
Ｒゲートのような個々の機能ブロックにより示されてい
る。これらは勿論全体的にまたは部分的に対応する他の
ハードウェアまたはソフトウェアにより置換されてもよ
く、論理動作は結果が同一であるならば異なってもよ
い。

【００２７】図６の論理装置５．１の上述の機能の説明
は読取りのケースに関する。この書込みのケースでは、
同一の回路が使用され、幾つかの信号は対応する書込み
信号により置換される必要がある。図６の表示では、こ
れらの信号ＭＷＰｉ、ＭＷＰＱｉ、ＷＥ，ＷＥ_{memory i}
は置換される信号については括弧が付けられている。

【００２８】図７を参照すると、図５の論理装置５．２
の部分がブロック図の形態で１例として示されている。
この回路は論理装置と、１つのメモリ区域Ｂｉに関連す
る信号を示している。同一の構成は各メモリ区域で必要
である。メモリ装置３（図示せず）へのアクセスが許容
されるとき、回路は区域信号ＣＥ_{memory i}を与える。論
理装置５．２は図６の論理装置５．１と非常に類似して
おり、読取りアクセス情報ＭＲＰｉと書込みアクセス情
報ＭＷＰｉに対して２つのＭＰＣＲメモリセル20、21を
具備している。補助信号ＣＥＱは再度、“トランスペア
レント”Ｄフリップフロップ22により形成される。読取
りアクセス情報はＤフリップフロップ23によりセル20か
ら読取られ、書込みアクセス情報はＤフリップフロップ
24によりセル21から読取られる。フリップフロップ23お
よび24は出力としてＭＲＰＱ読取り信号およびＭＷＰＱ
書込み信号をそれぞれ与える。

【００２９】読取りアクセス許可の決定は２つのＡＮＤ
ゲート25と26により基本的に行われ、書込みアクセス許
可の決定は２つのＡＮＤゲート27と28により基本的に行
われる。区域Ｂｉに関連する全てのＡＮＤゲートの出力
は、４つのうち少なくとも１つのＡＮＤゲートが論理
“１”であるとき、区域信号ＣＥ_{memory i}を与えるＯＲ
ゲート29によって結合される。読取りと書込み動作の区
別は読取りおよび書込みエネーブル信号ＲＥおよびＷＥ
により行われることができる。２つの信号はまた図７の
ように１つの読取り−書込み信号Ｒ／Ｗに組み合わされ
てもよく、論理“０”レベルは“読取り”を示し、論理
“１”レベルは“書込み”を示す。各ＡＮＤゲート25、
26、27、28は少なくとも３つの入力を有し、反転する入
力は図７では小さい円が付けられている。個々の信号に
対する個々のＡＮＤゲートの割当ては図面から容易に明
白である。論理装置５．２でデジタル信号に対して行わ
れる論理動作は全体的に部分的に適切なソフトウェアま
たは対応する他のハードウェアを使用して実行されるこ
ともできる。また論理動作は結果が同一であるならば異
なっていてもよい。

【００３０】図８では、読取り動作中の論理装置の幾つ
かの信号の波形はタイミング図で示されている。基本と
なる論理装置はメモリアクセスがエネーブルされている
図６の論理装置５．１とほぼ対応する。第１の行は、一
方の論理状態が“読取り”を示し、他方の状態が“書込
み”を示す結合された読取り−書込み信号Ｒ／Ｗを示し
ている。陰影が付けられていない区域では、Ｒ／Ｗ信号
の状態は有効であり、陰影のある区域では、それは随意
である。関連するクロック期間Ｔ１、Ｔ２、Ｔ３、Ｔ４
はＲ／Ｗ信号の等距離区域に対応する。クロック信号自
体は示されていない。示されている信号の代わりに、反
転されたまたは反転信号は勿論、論理がそれにしたがっ
て適合されるならば使用されてもよい。

【００３１】第１のクロック期間Ｔ１では、ＣＰＵ２に
よるメモリ装置３への命令アクセスが行われる。これは
第２行のｏｐコードフェッチ信号ＯＰＣと第３行のメモ
リ区域信号ＣＥ_{memory i}により示される。

【００３２】命令アクセスには第２のクロック期間Ｔ２
の同一メモリ区域Ｂｉへの読取りアクセスが後続する。
これはクロック期間２でメモリ区域信号ＣＥ_{memory i}に
より通報される。アクセスはデータアクセスであるので
ＯＰＣ信号は発生されない。他方で、データアクセスは
同じメモリ区域Ｂｉへの完全な命令データサイクルの一
部である。これは図８の第４行の信号ＣＥＱにより示さ
れ、これは第１のクロック期間Ｔ１において“１”状態
に設定され、新しいＯＰＣ信号により第３のクロック期
間Ｔ３でのみリセットされる。

【００３３】しかしながら、第３のクロック期間Ｔ３で
は、先のメモリ区域Ｂｉまでではなく別のメモリ区域ま
たは別のデータソースまたはデータシンクまで継続する
新しいデータサイクルが開始する。

【００３４】クロック期間Ｔ４では、現在の命令データ
サイクルでは、メモリ区域Ｂｉへのアクセスが開始され
ると仮定される。これはＣＥＱ信号が同時に設定されず
に時間Ｔ４で区域信号ＣＥ_{memory i}により示される。こ
のようなアクセスは例えばＴＪＡＧ命令（図示せず）に
より開始されることができる。

【００３５】最初の４つの行は正または負のアクセス許
可に関係ないが、これらの信号Ｒ／Ｗ、ＯＰＣ、ＣＥ
_{memory i}、ＣＥＱと関係し、全体的なシステムの現在の
状態が説明される。

【００３６】第５の行は区域Ｂｉの読取りアクセス許可
信号ＭＲＰＱｉを示している。この信号は常に論理
“０”であり、それ故メモリ区域Ｂｉへの自由読取りア
クセスを示す。

【００３７】第６の行は全般的な読取りエネーブル信号
ＲＥの波形を示し、これはＣＰＵ２がメモリ装置３から
命令をフェッチするかデータを検索したときにはいつで
も、即ち第１、第２、第４のクロック期間にＣＰＵ２に
より付勢される。第２のｏｐコードフェッチ信号により
開始する命令データサイクルはメモリ装置３をアクセス
しないので、第３のクロック期間Ｔ３での命令フェッチ
は読取り命令ＲＥを開始しない。

【００３８】第７の行は結果的な区域読取りエネーブル
信号ＲＥ_{memory i}を示し、それは禁止アクションがこの
メモリ区域Ｂｉからの読取りのために行われないので、
これは論理段を通じて信号伝播時間の結果としての短い
時間遅延を除いて読取りエネーブル信号ＲＥと同一であ
る。タイミング図で信号の相互依存を示すため、図８と
図９は開始したおよび結果的な信号の変化と信号状態を
マークするために幾つかの信号の変更区域に矢印を含ん
でいる。

【００３９】図９のタイミング図は図８と類似してい
る。主な相違は、第５行の読取りアクセス許可ＭＲＰＱ
ｉが論理１であり、したがって権限のない読取りアクセ
スのメモリ区域Ｂｉを阻止していることである。

【００４０】比較を容易にするため、図９のタイミング
図の４つのクロック期間Ｔ１、Ｔ２、Ｔ３、Ｔ４におい
ては図８と同一の動作が示されている。それ故、信号Ｒ
／Ｗ、ＯＰＣ、ＣＥ_{memory i}、ＣＥＱを有する最初の４
行は図８と図９では同一である。第５行のＭＲＰＱｉ信
号でのみ図９のタイミング図は異なっている。

【００４１】第１および第２のクロック期間Ｔ１、Ｔ２
は同一のメモリ区域Ｂｉに対する通常の命令データサイ
クルを含んでいる。しかしながら、第１、第２のクロッ
ク期間Ｔ１、Ｔ２のＣＰＵ２により開始される読取り動
作は禁止情報にかかわらず妨害されずに行われる。第１
および第２のクロック期間中の結果的な区域読取りエネ
ーブル信号ＲＥ_{memory i}はしたがって図８のように形成
される。第４のクロック期間Ｔ４中のメモリアクセス試
行の場合には、事情は異なる。これが通常のアクセスで
はないという事実は補助信号ＣＥＱから得られる。この
信号は禁止信号ＭＲＰＱｉと共に区域読取りエネーブル
信号ＲＥ_{memory i}を禁止し、それによって区域Ｂｉの読
取りは正確な区域信号ＣＥ_{memory i}にかかわらず可能で
はない。

【００４２】図１０は図６の論理装置５．１の動作を表
の形態で示している。個々の行は個々の列、即ち区域に
関する読取りアクセス許可ＭＲＰｉ、補助信号ＣＥＱ、
ＪＴＡＧ信号、ＴＥＳＴ信号、メモリ区域信号ＣＥ
_{memory i}、全般的な読取りエネーブル信号ＲＥ、区域読
取りエネーブル信号ＲＥ_{memory i}に含まれている信号の
それぞれの論理レベル“０”と“１”を示している。最
後の列は先行する信号“読取り”または読取りではない
作用から生じる作用を示している。

【００４３】最初の３つの行では、読取りアクセス許可
ＭＲＰｉは“０”状態であり、これは関係するメモリ区
域Ｂｉへの読取りアクセスが禁止されておらず、この区
域への自由アクセスが可能にされることを意味してい
る。このアクセス許可に対しては、信号ＣＥＱ、ＪＴＡ
Ｇ、ＴＥＳＴの状態は任意である。しかしながら、論理
装置は区域信号ＣＥ_{memory i}と全般的な読取りエネーブ
ル信号ＲＥとの間に矛盾が存在するか否かをチェックす
る。したがって、行１では、信号ＲＥがアクティブでな
いので読取り動作は行われない。行２では、区域信号Ｃ
Ｅ_{memory i}がアクティブでないので読取り動作は行われ
ない。第３の行でのみ、区域信号と全般的な読取りエネ
ーブル信号が設定され、それによって区域読取りエネー
ブル信号ＲＥ_{memory i}は“１”状態であり、したがっ
て、メモリ装置３はアドレスされた位置で読取られる。
行１、２、３の論理動作は図６のＡＮＤゲート13におい
て実行される。

【００４４】行４乃至９では、読取り保護はアクティブ
であり、したがって信号ＭＲＰＱｉは“１”状態であ
る。これらの行の信号に与えられた論理動作は、これが
前述の通常のアクセスではないならば、関連するメモリ
区域Ｂｉに対するすべての読取りアクセスが阻止される
ようにされなければならず、その場合、信号ＪＴＡＧと
ＴＥＳＴはインアクティブでなければならず、即ち
“０”状態であり、後者の場合は行９で示されている。
行４のアクセスは通常のアクセスではないことは全般的
な読取りエネーブル信号ＲＥがアクティブでないことか
ら既に結果として得られる。プロセッサにより転送され
るアドレスはこのメモリ区域Ｂを特定しないので、この
区域Ｂｉの区域信号ＣＥ_{memory i}が設定されないため、
行５のアクセスは通常のアクセスではない。行６では、
補助信号ＣＥＱと区域信号ＣＥ_{memory i}との間に矛盾が
存在するのでアクセスは否認される。何らかの理由で、
正しい区域信号が存在するが、プロセッサはメモリ装置
３とリンクしないアドレスを発生している。“０”状態
を有する不正確な補助信号ＣＥＱは行４と５に存在し、
それ故、不規則な動作状態の検出に含まれることができ
る。

【００４５】行７乃至９では、補助信号ＣＥＱは“１”
状態であり、したがって全体的なメモリ区域Ｂに対する
矛盾は示さない。しかしながら行７では読取りエネーブ
ル信号ＲＥはアクティブではないので読取りアクセスは
否認される。行８では、区域信号ＣＥ_{memory i}はアクテ
ィブではないので読取りアクセスは否認される。

【００４６】前述したように、プロセッサ２による通常
のメモリアクセスが行われているので、行９はメモリ区
域Ｂｉがディスエーブルされることを許容する。しかし
ながら、信号ＪＴＡＧまたはＴＥＳＴによる権限のない
読取りが試みられるとすぐに、読取りは阻止される。そ
れ故、これらの２つの信号はアクティブ状態ではなく、
これはここでは“０”により識別される。これはまた行
１０および１１から明白であり、これらの信号の一方ま
たは両者がアクティブでないときディスエーブルされた
メモリ区域からの読取りを阻止する。その場合、他の信
号の論理状態は任意である。表の最後の列に示されてい
るメモリ作用は区域読取りエネーブル信号ＲＥ_{memory i}
の状態に対応する。行４乃至１１の論理動作はＡＮＤ動
作により実行されることができる。これは図６のＡＮＤ
ゲート14に対応する。

【図面の簡単な説明】

【図１】保護回路を有するプロセッサ−メモリシステム
のブロック図。

【図２】内容を有するメモリ保護制御レジスタの概略
図。

【図３】アドレスデコーダの概略図。

【図４】典型的な信号を有する第１の保護回路のブロッ
ク図。

【図５】典型的な信号を有する第２の保護回路のブロッ
ク図。

【図６】第１の論理装置のブロック図。

【図７】第２の論理装置のブロック図。

【図８】エネーブルケースのタイミング図。

【図９】ディスエネーブルケースのタイミング図。

【図１０】表の形態でそれぞれの論理レベルの典型的な
信号を示した説明図。

Claims

【特許請求の範囲】

【請求項１】プロセッサおよびメモリ装置、特に物理
装置を形成するプロセッサおよびメモリ装置に結合さ
れ、メモリ装置に対する権限のないアクセスを阻止する
保護回路において、権限のないメモリアクセスを検出するために、プロセッ
サおよびメモリ装置を制御するように機能し、またはプ
ロセッサとメモリ装置のそれぞれの動作状態を通報する
内部および外部信号が論理装置に与えられ、権限のない
メモリアクセスが検出された場合には論理装置は権限の
ないメモリアクセスを禁止する保護回路。
【請求項２】メモリアクセスの禁止はメモリ制御のた
めの少なくとも１つの信号を禁止すること、および／ま
たは外部でアクセス可能なデータインターフェースをデ
ィスエーブルすることによって行われる請求項１記載の
保護回路。
【請求項３】権限のない外部メモリアクセスは、全体
的なメモリ装置または個々のメモリ区域において保護さ
れる読取り機能および／または書込み機能に関係し、保
護される書込み機能には、権限のない消去に対するメモ
リ内容の保護が含まれている請求項１または２記載の保
護回路。
【請求項４】各メモリ区域には別々のアクセスの権限
付与が割当てられている請求項３記載の保護回路。
【請求項５】各メモリ区域は区域信号により規定さ
れ、メモリ区域はアクセスの権限付与とそれぞれリンク
されている請求項４記載の保護回路。
【請求項６】各メモリ区域に対するアクセスの権限付
与はメモリ保護制御レジスタ中の読取りまたは書込みア
クセスの権限付与として含まれる請求項５記載の保護回
路。
【請求項７】メモリ保護制御レジスタはメモリ装置の
保護区域中に位置されている請求項６記載の保護回路。
【請求項８】論理装置においては、プロセッサにより
開始される読込みまたは書込み命令は他の内部または外
部信号と結合される請求項１乃至７のいずれか１項記載
の保護回路。
【請求項９】論理装置において、外部アクセス可能な
データインターフェースを付勢するためのアクセス信号
（例えばＴＥＳＴ、ＪＴＡＧ）は他の内部または外部信
号と結合される請求項２乃至７のいずれか１項記載の保
護回路。
【請求項１０】論理装置において、区域信号は他の内
部または外部信号と結合される請求項１乃至７のいずれ
か１項記載の保護回路。
【請求項１１】論理装置において、命令サイクル状態
信号またはデータサイクル状態信号は他の内部または外
部信号と結合される請求項１乃至７のいずれか１項記載
の保護回路。