JP2003006047A - １チップマイクロコンピュータ及びそれを用いたｉｃカード - Google Patents

Abstract

(57)【要約】 【課題】 アクセス違反が発生するアドレスを容易に検
出することができる１チップマイクロコンピュータを提
供する。 【解決手段】 プログラムを格納する不揮発性メモリ５
と、不揮発性メモリ５に格納されたプログラムを実行す
るＣＰＵ１と、不揮発性メモリ５へのアクセスを許可す
るアドレス範囲を設定するアクセス許可アドレス範囲設
定回路２と、不揮発性メモリ５に対するアクセスを制御
するアクセス制御回路３と、ＣＰＵ１がアクセスするア
ドレスを監視するとともにアクセス許可アドレス範囲設
定回路２から出力されるアクセス違反信号が検出された
ときのアドレスの値を保持するアドレス格納回路４と、
を備える１チップマイクロコンピュータ。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、メモリに１つ以上
のアプリケーションプログラムを搭載した１チップマイ
クロコンピュータ及びそれを用いたＩＣカードに関する
ものである。

【０００２】

【従来の技術】大容量不揮発性メモリを搭載するＩＣカ
ード用１チップマイクロコンピュータは、大容量不揮発
性メモリ上にＩＣカードのメモリ管理やファイル管理、
外部装置との通信制御等を行うためのシステムプログラ
ムを予め格納している。さらに、ＩＣカード用１チップ
マイクロコンピュータは、リーダ／ライタやパーソナル
コンピュータ等の外部装置から各種用途のアプリケーシ
ョンプログラムを大容量不揮発性メモリにダウンロード
する。そして、ＩＣカード用１チップマイクロコンピュ
ータは、ＩＣカードの用途に合わせてアプリケーション
プログラムを選択して実行する。

【０００３】ＩＣカード用１チップマイクロコンピュー
タのＣＰＵ（Central Processor Unit）は、ダウンロー
ドされたアプリケーションプログラムのプログラムコー
ドを取り込んで動作するので、ＣＰＵからアクセス可能
な範囲であればどのアプリケーションプログラムを実行
していても他のアプリケーションプログラムの格納領域
やＩＣカード上の秘密性の高いデータの格納領域へ許可
なくアクセスできる。このようなアクセス違反によっ
て、プログラムデータや秘密性の高いデータの改ざん、
破壊、及び漏洩が可能となるという問題があった。

【０００４】このような問題点を解決するために、従来
の１チップマイクロコンピュータでは、メモリアクセス
に制限を設けていた。このような解決手段としては、例
えば特開平８−５５２０４号公報に開示されている１チ
ップマイクロコンピュータが挙げられる。

【０００５】

【発明が解決しようとする課題】アクセス違反は、実行
するアプリケーションプログラムに不具合がある場合や
悪意あるアプリケーションプログラムをダウンロードし
それを実行した場合等に起こり、その発生原因を追及す
るにはアクセス違反の原因となるアドレスを検出する必
要がある。しかしながら、従来の１チップマイクロコン
ピュータではアプリケーションプログラムのどの部分で
アクセス違反が発生しているかを検出することは困難で
あった。

【０００６】本発明は、上記の問題点に鑑み、アクセス
違反が発生するアドレスを容易に検出することができる
１チップマイクロコンピュータ及びそれを用いたＩＣカ
ードを提供することを目的とする。

【０００７】

【課題を解決するための手段】上記目的を達成するため
に、本発明に係る１チップマイクロコンピュータにおい
ては、プログラムを格納する記憶手段と、該記憶手段に
格納されたプログラムを実行する演算処理装置と、前記
記憶手段へのアクセスを許可するアドレス範囲を設定す
るアクセス許可アドレス範囲設定手段と、該アクセス許
可アドレス範囲設定手段によって設定されたアドレス範
囲以外にアクセスされたときにアクセス違反検出信号を
出力するアクセス違反検出手段と、前記演算処理装置が
アクセスするアドレスを監視するとともに前記アクセス
違反信号が検出されたときのアドレスの値を保持するア
ドレス格納手段と、を備えるようにする。

【０００８】また、前記演算処理装置から出力される命
令フェッチ信号を入力し、前記命令フェッチ信号に基づ
き前記演算処理装置が前記記憶手段から命令を読み込む
動作を行っていないと判断したときは、前記アドレス格
納手段が監視中のアドレスを更新しないように制御する
制御手段を備えるようにしてもよい。

【０００９】また、前記アドレス格納手段が、少なくと
もアドレス信号を伝達するアドレス信号線の本数分の数
をそれぞれ有するセレクタ回路とデータラッチ回路との
組からなり、前記アドレス格納手段の入力データが前記
セレクタ回路の一方の入力端子に入力され、前記セレク
タ回路の他方の入力端子に前記データラッチ回路の出力
端子が接続され、前記セレクタ回路の選択信号入力端子
に前記アクセス違反信号が入力され、前記データラッチ
回路のデータ入力端子に前記セレクタ回路の出力端子が
接続され、前記データラッチ回路の出力端子から前記ア
ドレス格納手段の出力データが出力されるようにしても
よい。

【００１０】また、前記アドレス格納手段を複数有し、
前記複数のアドレス格納手段がシフトレジスタ状に接続
されるように２段目以降のアドレス格納手段の入力が前
段のアドレス格納手段の出力に接続されてもよい。

【００１１】また、前記アドレス格納手段が前記演算処
理装置と共通のクロック信号を入力し、前記アドレス格
納手段が前記クロック信号に同期してラッチ動作を行っ
てもよい。

【００１２】また、前記記憶手段が書き換え可能な不揮
発性半導体記憶装置であるとともに、外部信号に基づき
前記記憶手段の内容を書き換える手段を備えるようにし
てもよい。

【００１３】また、上記目的を達成するために、本発明
に係るＩＣカードにおいては、上記いずれかの構成の１
チップマイクロコンピュータを備えるようにする。

【００１４】

【発明の実施の形態】本発明の一実施形態について図面
を参照して説明する。本実施形態においては、不揮発性
メモリを搭載したＩＣカード用１チップマイクロコンピ
ュータに本発明を適用した場合について説明する。

【００１５】本発明に係る１チップマイクロコンピュー
タの回路ブロック図を図１に示す。本発明に係る１チッ
プマイクロコンピュータは、システムプログラムやアプ
リケーションプログラムを実行するＣＰＵ１、アクセス
できるアドレス空間を設定するアクセス許可アドレス範
囲設定回路２、アクセス動作を制限するアクセス制御回
路３、アクセス違反が起こったときのアドレスを保持す
るアドレス格納回路４、システムプログラムやアプリケ
ーションプログラム及び秘密性の高いデータ等を格納す
る不揮発性メモリ５、ＣＰＵ１の作業用のＲＡＭ（Rand
om Access Memory）６、外部装置との通信を行うための
ＵＡＲＴ（Universal Asynchronous Reciver Transmitt
er）等の外部通信インターフェイス回路７、及びタイマ
やベースレジスタ等の周辺回路８を備えている。これら
の回路ブロックは、ＣＰＵ１が入出力するアドレス線、
データ線、データ読み出しや書き込みのための制御線等
で接続される。

【００１６】図２は、図１中のＣＰＵ１、アクセス許可
アドレス範囲設定回路２、アクセス制御回路３、アドレ
ス格納回路４、及び不揮発性メモリ５について詳細に説
明するブロック図である。

【００１７】ＣＰＵ１は内部にプログラムカウンタ２１
を有している。アクセス許可アドレス範囲設定回路２
は、所定のアドレス空間に格納されているシステムプロ
グラムが動作しているか否かを識別するモニタフラグ２
２、各アプリケーションプログラムに対するアクセス許
可領域のアドレス範囲を設定するレジスタを有するアク
セス許可領域検出回路２４、アプリケーションプログラ
ムがアクセス可能なアドレス空間以外のアクセスを許可
するか否かを設定するアクセス許可設定レジスタ２５、
及びアクセス許可領域検出回路２４内のアクセス許可ア
ドレス領域設定レジスタ及びアクセス許可設定レジスタ
２５に対する書き込み信号の伝達を制御するレジスタ書
き込み制御回路２３を備えている。

【００１８】そして、アドレス制限回路３は、不揮発性
メモリ５に対する読み出し信号の伝達を制御するメモリ
読み出し制御回路２６及び不揮発性メモリ５に対する書
き込み信号の伝達を制限するメモリ書き込み制御回路２
７を備えている。

【００１９】モニタフラグ２２は、ＣＰＵ１が不揮発性
メモリ５の所定のアドレス空間に格納されているシステ
ムプログラムを実行しているか否かの判別を行うための
フラグである。モニタフラグ２２にはＣＰＵ１から出力
されるアドレスバス信号Ｓ４と命令の第１サイクルを表
す命令フェッチ信号Ｓ１とが入力される。モニタフラグ
２２は、ＣＰＵ１が所定のアドレス空間に格納されてい
るシステムプログラムを実行しているときはモニタフラ
グ出力信号Ｓ６を“１”にしてレジスタ書き込み制御回
路２３に出力し、所定のアドレス空間以外に格納されて
いるアプリケーションプログラムを実行しているときは
モニタフラグ出力信号Ｓ６を“０”にしてレジスタ書き
込み制御回路２３に出力する。

【００２０】レジスタ書き込み制御回路２３は、ＣＰＵ
１から出力される書き込み基準信号Ｓ３と、上述したモ
ニタフラグ２２から出力されるモニタフラグ出力信号Ｓ
６を入力する。尚、書き込み基準信号Ｓ３は、ＣＰＵ１
が書き込みアクセス時に１チップマイクロコンピュータ
に内蔵されているレジスタ及びメモリに対して出力する
信号である。レジスタ書き込み制御回路２３では、書き
込み基準信号Ｓ３をアクセス許可領域検出回２４内のア
クセス許可アドレス領域設定レジスタとアクセス許可設
定レジスタ２５とに伝達するか否かの制御を行う。

【００２１】モニタフラグ出力信号Ｓ６が“１”の場
合、レジスタ書き込み制御回路２３は所定のアドレス空
間に格納されているシステムプログラムの実行中に書き
込み動作が発生したと判断して、書き込み基準信号Ｓ３
をレジスタ書き込み信号Ｓ７としてアクセス許可領域検
出回路２４内のアクセス許可アドレス領域設定レジスタ
とアクセス許可設定レジスタ２５とに伝達する。これに
より、アクセス許可領域検出回路２４内のアクセス許可
アドレス領域設定レジスタとアクセス許可設定レジスタ
２５への書き込みが可能となる。

【００２２】一方、モニタフラグ出力信号Ｓ６が“０”
の場合、レジスタ書き込み制御回路２３は所定のアドレ
ス空間以外に格納されているアプリケーションプログラ
ムの実行中に書き込み動作が発生したと判断して、レジ
スタ書き込み信号Ｓ７をアクセス許可領域検出回路２４
内のアクセス許可アドレス領域設定レジスタとアクセス
許可設定レジスタ２５とに伝達しない。これにより、ア
クセス許可領域検出回路２４内のアクセス許可アドレス
領域設定レジスタとアクセス許可設定レジスタ２５への
書き込みは禁止される。

【００２３】そして、アクセス許可領域検出回路２４
は、ＣＰＵ１より出力されるアドレスバス信号Ｓ４、デ
ータバス信号Ｓ５、ＣＰＵ１より出力される読み出し基
準信号Ｓ２、及びレジスタ書き込み制御回路２３から出
力されるレジスタ書き込み信号Ｓ７を入力する。

【００２４】アクセス許可領域検出回路２４は、不揮発
性メモリ５に対して読み出し書き込みの制約を解除する
アドレス領域を指定するアクセス許可アドレス領域設定
レジスタ（図示せず）と、該レジスタに設定した値と実
行中のアドレスとを比較するアドレス比較回路（図示せ
ず）を備えている。アクセス許可アドレス領域設定レジ
スタは、アクセス許可範囲を設定できるようにスタート
アドレスとエンドアドレスを格納するレジスタを設けて
アクセス許可範囲を指定可能としている。ただし、上述
したようにレジスタ書き込み信号Ｓ７によって書き込み
が許可されるので、ＣＰＵ１が所定のアドレス空間に格
納されたシステムプログラムを実行しているときのみ書
き込みが可能となる。

【００２５】ＣＰＵ１は、システムプログラムからアプ
リケーションプログラムにプログラムの実行処理を移す
前に、すなわちシステムプログラムの実行中に、アクセ
ス許可領域検出回路２４内のアクセス許可アドレス領域
設定レジスタにスタートアドレス及びエンドアドレスを
設定してアプリケーションプログラムがアクセス可能な
アドレス空間を予め定めておく。アクセス許可領域検出
回路２４は、ＣＰＵ１がこの領域内をアクセスしたとき
はアクセス許可アドレス領域出力信号Ｓ８を“１”にし
て、ＣＰＵ１がこの領域以外をアクセスしたときはアク
セス許可アドレス領域出力信号Ｓ８を“０”にして、メ
モリ読み出し制御回路２６及びメモリ書き込み制御回路
２７に出力する。

【００２６】アクセス許可設定レジスタ２５は、読み出
し基準信号Ｓ２、アドレスバス信号Ｓ４、データバス信
号Ｓ５、及びレジスタ書き込み制御回路２３の出力信号
であるレジスタ書き込み信号Ｓ７を入力する。アクセス
許可設定レジスタ２５は、アクセス許可領域検出回路２
４内のアクセス許可アドレス領域設定レジスタによって
設定されたアクセス可能なアドレス空間以外に格納され
ているアプリケーションプログラムに対して、読み出
し、書き込みのアクセスを許可するか否かを設定するレ
ジスタである。尚、アクセス許可設定レジスタ２５は、
レジスタ書き込み信号Ｓ７により書き込みが行われるた
め、ＣＰＵ１が所定のアドレス空間に格納されたシステ
ムプログラムを実行しているときのみ書き込みが可能で
ある。

【００２７】アクセス許可設定レジスタ２５が“０”に
設定されているときはアクセス許可信号Ｓ９は“０”と
なり、アクセス許可設定レジスタ２５が“１”に設定さ
れているときはアクセス許可信号Ｓ９は“１”となる。
後述するメモリ読みだし制御回路２６及びメモリ書き込
み制御回路２７の動作によって、アクセス許可信号Ｓ９
が“０”の場合、アプリケーションプログラムの実行中
にアクセス許可領域検出回路２４内のアクセス許可アド
レス領域設定レジスタに設定したアクセス可能な空間以
外への読み出し書き込みは不可能となる。一方、アクセ
ス許可信号Ｓ９が“１”の場合、全てのメモリ領域への
読み出し書き込みが可能となる。

【００２８】メモリ読み出し制御回路２６は、ＣＰＵ１
から出力される読み出し基準信号Ｓ２、アクセス許可ア
ドレス領域出力信号Ｓ８、及びアクセス許可信号Ｓ９を
入力する。メモリ読み出し制御回路２６は、アクセス許
可アドレス領域出力信号Ｓ８とアクセス許可信号Ｓ９の
論理和であるアクセス違反信号Ｓ１２を生成し、アクセ
ス違反信号Ｓ１２が“１”のときは読み出し基準信号Ｓ
２を不揮発性メモリ５へ与え、アクセス違反信号Ｓ１２
が“０”のときは読み出し基準信号Ｓ２を不揮発性メモ
リ５へ与えない。

【００２９】メモリ書き込み制御回路２７は、ＣＰＵ１
から出力される書き込み基準信号Ｓ３、アクセス許可ア
ドレス領域出力信号Ｓ８、及びアクセス許可信号Ｓ９を
入力する。メモリ書き込み制御回路２７は、アクセス許
可アドレス領域出力信号Ｓ８とアクセス許可信号Ｓ９の
論理和であるアクセス違反信号Ｓ１２を生成し、アクセ
ス違反信号Ｓ１２が“１”のときは書き込み基準信号Ｓ
３を不揮発性メモリ５へ与え、アクセス違反信号Ｓ１２
が“０”のときは書き込み基準信号Ｓ３を不揮発性メモ
リ５へ与えない。

【００３０】図２に示した回路ブロックが上述したよう
に動作することによって、不揮発性メモリ上に１以上の
アプリケーションプログラムをダウンロードして任意の
アプリケーションプログラムを実行する場合でも、実行
中のアプリケーションプログラムが他のアプリケーショ
ンプログラム領域やシステムプログラム領域や秘密性の
高いデータを格納する領域へのアクセスを不可能として
改ざんや破壊、及び漏洩を防ぐことができる。従って、
セキュリティー性が高くなり、かつ不正なアクセス違反
が発生したことを検出可能となる。ただし、アクセス許
可設定レジスタ２５は“０”に設定する必要がある。

【００３１】また、図２に示した回路ブロックが上述し
たように動作することによって、システムプログラムの
実行中であればアプリケーションプログラム毎のアクセ
ス可能なアドレス空間範囲を設定することができるの
で、ＩＣカード上にダウンロードしたアプリケーション
プログラムで共有に使用できるライブラリプログラムを
アプリケーションプログラムとしてリーダ／ライタやパ
ーソナルコンピュータ等の外部装置からダウンロードす
れば、実行アプリケーションプログラムから一旦システ
ムプログラムを介すことで他のアプリケーションプログ
ラムを実行することが可能となり、この場合でもセキュ
リティー性を高く保つことが可能となる。

【００３２】さらに、アドレス格納回路４は、メモリ読
み出し制御回路２６及びメモリ書き込み制御回路２７か
らアドレス違反信号Ｓ１２を入力する。これにより、ア
ドレス格納回路４はアクセス違反を起こしたときのアド
レスを保持することができる。尚、不揮発性メモリ５へ
の読み出しと書き込みとは同時に行われないので、メモ
リ読み出し制御回路２６及びメモリ書き込み制御回路２
７からのアドレス違反信号Ｓ１２を入力するＯＲ回路を
設け、アドレス違反信号Ｓ１２を一つにまとめるとよ
い。

【００３３】次に、アドレス格納回路４について図３を
参照して詳細に説明する。図３は、アドレス格納回路４
の構成を示した回路ブロック図である。尚、上述したＯ
Ｒ回路は省略する。また、以下の説明では適宜図１又は
図２の部分に付した符号を用いることにする。

【００３４】アドレス格納回路４は、選択信号生成回路
３１、セレクタ部３２、アドレス格納レジスタ３３、セ
レクタ部３４、及びアドレス格納レジスタ３５を備えて
いる。

【００３５】まず、選択信号生成回路３１の構成につい
て説明する。選択信号生成回路３１はフリップフロップ
ＦＦ１とアンド回路ＡＮ１を有している。フリップフロ
ップＦＦ１の反転出力端子はアンド回路ＡＮ１の第２入
力端子に接続される。アンド回路ＡＮ１の第１入力端子
には命令フェッチ信号Ｓ１が入力される。フリップフロ
ップＦＦ１のクロック入力端子にはアドレス違反信号Ｓ
１２が入力され、フリップフロップＦＦ１のデータ入力
端子には定電圧Ｖ_CCが供給され、フリップフロップＦＦ
１のリセット端子にはリセット信号Ｓ１３が入力され
る。そして、アンド回路ＡＮ１は出力端子から選択信号
Ｓ１４を出力する。

【００３６】すなわち、選択信号生成回路３１は、ＣＰ
Ｕ１から送出される命令フェッチ信号Ｓ１、メモリ読み
出し回路２６とメモリ書き込み回路２７から送出される
アクセス違反信号Ｓ１２、及び状態設定のためのリセッ
ト信号Ｓ１３を入力し、セレクタ部３２及びセレクタ部
３４を制御するための選択信号Ｓ１４を出力する。尚、
以下の説明では状態設定のためのリセット動作が行わ
れ、リセット信号Ｓ１３が非アクティブ状態にある場合
について説明する。

【００３７】このような構成の選択信号生成回路３１
は、次のように動作する。ＣＰＵ１が不揮発性メモリ５
や作業用ＲＡＭ６等から命令コードを取り込む場合命令
フェッチ信号Ｓ１は“１”となり、命令コードを取り込
まない場合“０”となる。また、上述したようにアクセ
ス違反信号Ｓ１２は、アプリケーションプログラムがア
クセス可能領域以外をアクセスした場合“１”となり、
アクセス可能領域をアクセスした場合“０”となる。

【００３８】そして、命令フェッチ信号Ｓ１が“１”で
且つアクセス違反信号Ｓ１２が“０”の場合選択信号Ｓ
１４は“１”となる。すなわち、ＣＰＵ１がシステムプ
ログラム実行中に命令フェッチ動作を行っている場合又
はＣＰＵ１がアプリケーションプログラム実行中にアク
セス可能領域内で命令フェッチ動作を行っている場合、
選択信号Ｓ１４は“１”となる。逆に、ＣＰＵ１がシス
テムプログラム又はアプリケーションプログラム実行中
に命令コードを取り込んでいない場合又はＣＰＵ１がア
プリケーションプログラム実行中に命令コードを取り込
んでいるがアクセス違反を起こした場合、選択信号Ｓ１
４は“０”となる。

【００３９】選択信号生成回路３１では、アクセス違反
信号Ｓ１２が一度“１”になれば、フリップフロップＦ
Ｆ１の出力は“１”から“０”となり、その後選択信号
生成回路３１がリセットされない限りその状態を保持す
る。従って、アクセス違反信号Ｓ１２が一度“１”にな
れば選択信号Ｓ１４は“０”に保持される。

【００４０】次に、選択信号生成回路３１が選択信号Ｓ
１４をセレクタ部３２及び３４に出力することにより、
アクセス違反が発生したときのアドレスがアドレス格納
レジスタに取り込まれ、保持されることを説明する。

【００４１】アプリケーションプログラムのアドレスに
ＣＰＵ１から出力される絶対アドレスを用いる場合、Ｃ
ＰＵ１から出力されるアドレス信号をセレクタ部３２に
入力されるアドレス信号Ａ₀〜アドレス信号Ａ_nとする。
一方、アプリケーションプログラムを任意のアドレスに
配置している場合には、配置アドレスを相対的に指定し
たＣＰＵ１から出力されるアドレスを周辺回路８内のベ
ースレジスタにより絶対アドレスに変換し、その変換し
た信号をセレクタ部３２に入力されるアドレス信号Ａ₀
〜アドレス信号Ａ_nとする。

【００４２】アドレス信号Ａ₀〜アドレス信号Ａ_nで構成
されるアドレス線のビット幅は、ＣＰＵ１がアクセスで
きるメモリ空間分に対応する幅を持つ。例えばアドレス
線のビット幅が１６本であれば、セレクタ部３２にはア
ドレス信号Ａ₀〜アドレス信号Ａ₁₅が入力される。

【００４３】従って、セレクタ部３２はｎ＋１個のセレ
クタ回路で構成されており、各セレクタ回路は入力端子
Ａ、入力端子Ｂ、及び出力端子Ｃを有している。各セレ
クタ回路の入力端子ＡにはＣＰＵ１又は周辺回路８のベ
ースレジスタから出力されるアドレス信号が入力され、
入力端子Ｂにはアドレス格納レジスタ３３の出力信号が
入力される。各セレクタ回路は、アドレス信号とアドレ
ス格納レジスタ３３の出力信号とのいずれかを選択信号
Ｓ１４に基づいて選択して出力端子Ｃから出力信号とし
て出力する。セレクタ部３２を構成する各セレクタ回路
は選択信号Ｓ１４が“１”の場合は入力端子Ａに入力さ
れるアドレス信号を選択して出力し、選択信号Ｓ１４が
“０”の場合は入力端子Ｂに入力されるアドレス格納レ
ジスタ３３の出力信号を選択して出力する。

【００４４】アドレス格納レジスタ３３はセレクタ部３
２の出力信号を１チップマイクロコンピュータ内部のク
ロック信号ＣＬＫに同期して各フリップフロップにアド
レスデータとして取り込む。これにより、ＣＰＵ１が正
常に命令コードを取り込んだ最新のアドレスをアドレス
格納レジスタ３３に取り込むことができる。しかし、一
旦アクセス違反が発生すれば選択信号Ｓ１４は“０”に
保持され、各セレクタ回路はアドレス格納レジスタ３３
の出力信号を選択するのでアドレス格納レジスタ３３の
値は更新されなくなる。

【００４５】同様にセレクタ部３４は、アドレス格納レ
ジスタ３３からの出力信号とアドレス格納レジスタ３５
からの出力信号のどちらかを選択信号Ｓ１４に基づいて
選択して出力する。アドレス格納レジスタ３５はセレク
タ部３４の出力信号を１チップマイクロコンピュータ内
部のクロック信号ＣＬＫに同期して各フリップフロップ
に取り込む。そして、アドレス格納レジスタ３３と同様
アクセス違反が発生すればアドレス格納レジスタ３５の
値は更新されなくなる。

【００４６】この状態において、ＣＰＵ１はアプリケー
ションプログラムの実行を停止する。これにより、アド
レス違反発生時の命令フェッチのアドレスがアドレス格
納レジスタ３３に保持され、その直前の正常な命令フェ
ッチのアドレスがアドレス格納レジスタ３５に保持され
る。

【００４７】アドレス格納レジスタ３３及び３５を１チ
ップマイクロコンピュータの特定アドレスに割り付け、
ＣＰＵ１がその特定アドレスを指定してアドレス格納レ
ジスタ３３及び３５の内容を読み出すようにするとよ
い。このような構成にすると、ＣＰＵ１が各アドレス格
納レジスタの出力信号をデータバスを通して取り込むこ
とができ、１チップマイクロコンピュータ内で任意に配
置されたアプリケーションプログラムに含まれるアクセ
ス違反を起こした絶対アドレスを認識することができ
る。

【００４８】また、ＣＰＵ１は、後述するシステムプロ
グラムの割り込み処理を実行することで、アドレス格納
レジスタ３３及び３５の絶対アドレスとアクセス違反を
起こしたアプリケーションプログラムのダウンロード開
始アドレスとに基づいて、アクセス違反を起こした命令
コードの不揮発性メモリ５にダウンロードされる前のア
プリケーションプログラムにおける絶対アドレスを検出
することができる。

【００４９】このように、ＣＰＵ１がアクセス違反の起
こったアドレスを検出するので、ＩＣカードのように出
力端子数が少ない場合においてもアクセス違反の起こっ
たアドレスを検出することができる。また、本発明に係
る１チップマイクロコンピュータを出力端子数に制限が
無い装置に搭載した場合には、アドレス格納レジスタ３
３及び３５の各出力をＬＥＤ等に接続することでＣＰＵ
１を経由せずともユーザがアクセス違反の起こったアド
レスを認識することができる。

【００５０】尚、本実施形態では、セレクタ部及びアド
レス格納レジスタを２段構成にしシフトレジスタ状に接
続したが、その段数を増加させる程アクセス違反の発生
原因がつかみやすくなるので更に段数を増加させること
が望ましい。アプリケーションプログラムに不具合があ
ってＣＰＵが暴走したときや悪意あるアプリケーション
プログラムによってジャンプやサブルーチンが行われア
クセス可能領域外にプログラム実行処理が移行してしま
い、アクセス違反領域で命令コードの取り込みが行われ
るような場合、どこから処理が移行してきたかを調べる
にはセレクタ部及びアドレス格納レジスタを少なくとも
２段構成にする必要がある。ただし、セレクタ部及びア
ドレス格納レジスタを１段構成にした場合も本発明に含
まれ、この場合は実行権を与えられたアプリケーション
プログラム内の命令実行中にアクセス違反が発生したと
きのアドレスのみを確認することができる。

【００５１】次に、ＣＰＵ１が、アドレス格納レジスタ
３３及び３５の絶対アドレスとアクセス違反を起こした
アプリケーションプログラムのダウンロード開始アドレ
スとに基づいて、アクセス違反を起こした命令コードの
不揮発性メモリ５にダウンロードされる前のアプリケー
ションプログラムにおける絶対アドレスを検出する動作
について説明する。

【００５２】システムプログラム及びアプリケーション
プログラムを不揮発性メモリ５上にそれぞれ割り付けた
一例であるメモリ割付マップを図４に示す。図４に示す
メモリ割付マップは、システムプログラムがアドレス０
ｘ００００００番地（以下、数字の先頭の０ｘは１６進
数を意味するものとする）から４Ｋバイト予め書き込ま
れていて、ＣＰＵ１がシステムプログラムを実行してア
プリケーションプログラムを不揮発性メモリ５のアドレ
ス０ｘ００１０００番地からダウンロードした後のメモ
リ割付を示している。

【００５３】ＣＰＵ１がシステムプログラムを実行して
不揮発性メモリ５にアプリケーションプログラムをダウ
ンロードする際、まずＣＰＵ１は不揮発性メモリ５の空
き領域及びその空き領域の先頭アドレスを予め取得して
おく。次にリーダ／ライタやパーソナルコンピュータ等
の外部装置からアプリケーションプログラムのダウンロ
ード要求を検出すると、ＣＰＵ１は不揮発性メモリ５の
空き領域に基づいてアプリケーションプログラムが不揮
発性メモリ５にダウンロード可能であるか否かを判断
し、ダウンロード可能な場合はダウンロード開始アドレ
スを不揮発性メモリ５の特定領域に保存しておく。

【００５４】アクセス違反を起こした命令コードの不揮
発性メモリ５にダウンロードされる前のアプリケーショ
ンプログラムにおける絶対アドレスを算出する際のＣＰ
Ｕ１の動作を図５のフローチャートを参照して説明す
る。この処理の実行タイミングは特に規定しないが、本
実施形態ではメモリ読み出し制御回路２６及びメモリ書
き込み制御回路２７からアクセス違反信号Ｓ１２がＣＰ
Ｕ１に伝達され、アクセス違反信号Ｓ１２が“１”のと
きにＣＰＵ１が実行中のアプリケーションプログラムの
実行処理を中断し、システムプログラム内の割り込み処
理で図５のフローチャートに示す処理を行っているもの
とする。

【００５５】ステップ＃１０では、ＣＰＵ１がシステム
プログラムを実行しリーダ／ライタやパーソナルコンピ
ュータ等の外部装置からのダウンロード要求によりアプ
リケーションプログラムを不揮発性メモリ５にダウンロ
ードした際に不揮発性メモリ５の特定領域に格納したア
プリケーションプログラムダウンロード開始アドレスを
ＲＡＭ６に取り出す。ステップ＃２０では、アドレス格
納レジスタ３３の出力するアドレスデータをＲＡＭ６に
取り出す。

【００５６】ステップ＃３０では、ステップ＃２０で取
り出したアドレスデータがアクセス可能領域内であるか
を確認する。尚、本実施形態では０ｘ００１０００番地
〜０ｘ００２０００番地をアクセス可能領域としている
（図４参照）。アドレスデータがアクセス可能領域外で
あった場合（ステップ＃３０のＮｏ）、実行権を与えら
れたアプリケーションプログラムとは異なるプログラム
の命令コードを取り込んだと判断でき、その命令コード
のダウンロード前の絶対アドレスは必要ないのでステッ
プ＃５０に移行する。

【００５７】一方、アドレスデータがアクセス可能領域
であった場合（ステップ＃３０のＹｅｓ）、例えばアド
レスデータが０ｘ００１Ｃ００番地であった場合、ステ
ップ＃４０に移行する。

【００５８】ステップ＃４０では、実行権を与えられた
アプリケーションプログラム内の命令コードを実行する
ことでアクセス違反が発生したと判断し、その命令コー
ドの不揮発性メモリ５にダウンロードされる前のアプリ
ケーションプログラムにおける絶対アドレスを（１）式
によって求める。ただし、ＡＤはアクセス違反が発生し
た命令コードの不揮発性メモリ５にダウンロードされる
前のアプリケーションプログラムにおける絶対アドレ
ス、ＡＤ₃₃はアドレス格納レジスタ３３の値、ＡＤ_DＬ
はアプリケーションプログラムをダウンロードした際の
ダウンロード開始アドレスである。 ＡＤ＝ＡＤ₃₃−ＡＤ_DＬ…（１） そして、算出したアクセス違反が発生した命令コードの
不揮発性メモリ５にダウンロードされる前のアプリケー
ションプログラムにおける絶対アドレスＡＤをＲＡＭ６
へ格納する。

【００５９】ステップ＃５０では、アドレス格納レジス
タ３５のアドレスデータをＲＡＭ６へ取り出す。このア
ドレスはアクセス違反を発生させる命令コードの一つ前
に実行した命令コードが存在するアドレスで、特にステ
ップ＃２０において取り出したアドレスがアクセス可能
領域外であった場合、ステップ＃２０で取り出したアド
レスがどのアドレスから移行したきたのかを判断するの
に有効である。

【００６０】ステップ＃６０では、アクセス違反を発生
させる命令コードの一つ前に実行した命令コードの不揮
発性メモリ５にダウンロードされる前のアプリケーショ
ンプログラムにおける絶対アドレスを算出する。算出方
法はステップ＃４０の場合と同じである。算出した絶対
アドレスをＲＡＭ６へ格納してアクセス違反アドレス検
出処理を終了する。ただし、ＡＤ’はアクセス違反を発
生させる命令コードの一つ前に実行した命令コードの不
揮発性メモリ５にダウンロードされる前のアプリケーシ
ョンプログラムにおける絶対アドレス、ＡＤ₃₅はアドレ
ス格納レジスタ３５の値である

【００６１】算出した絶対アドレスの利用に関しては、
外部から要求があった場合やアクセス違反検出時のレス
ポンスとして応答することが考えられるが、本実施形態
では特に規定しない。

【００６２】また、アクセス違反を起こしたアプリケー
ションプログラムに対しての処理についても、アクセス
違反アプリケーションプログラムの実行権の削除、メモ
リからの削除等が考えられるが、これについても本実施
形態では特に規定しない。

【００６３】

【発明の効果】本発明に係る１チップマイクロコンピュ
ータによると、プログラムを格納する記憶手段と、該記
憶手段に格納されたプログラムを実行する演算処理装置
と、前記記憶手段へのアクセスを許可するアドレス範囲
を設定するアクセス許可アドレス範囲設定手段と、該ア
クセス許可アドレス範囲設定手段によって設定されたア
ドレス範囲以外にアクセスされたときにアクセス違反検
出信号を出力するアクセス違反検出手段と、前記演算処
理装置がアクセスするアドレスを監視するとともに前記
アクセス違反信号が検出されたときのアドレスの値を保
持するアドレス格納手段と、を備えるので、アクセス違
反が発生したときのアドレスを検出して保持することが
できる。これにより、アクセス違反発生の原因を従来よ
り容易に究明することができる。

【００６４】また、本発明に係る１チップマイクロコン
ピュータによると、前記演算処理装置から出力される命
令フェッチ信号を入力し、前記命令フェッチ信号に基づ
き前記演算処理装置が前記記憶手段から命令を読み込む
動作を行っていないと判断したときは、前記アドレス格
納手段が監視中のアドレスを更新しないように制御する
制御手段を備えるので、正常に命令コードを取り込んだ
ときのみ前記アドレス格納手段がアドレスを更新する。
これにより、前記アドレス格納手段における不要なアド
レス更新がなくなる。

【００６５】また、本発明に係る１チップマイクロコン
ピュータによると、前記アドレス格納手段が、少なくと
もアドレス信号を伝達するアドレス信号線の本数分の数
をそれぞれ有するセレクタ回路とデータラッチ回路との
組からなり、前記アドレス格納手段の入力データが前記
セレクタ回路の一方の入力端子に入力され、前記セレク
タ回路の他方の入力端子に前記データラッチ回路の出力
端子が接続され、前記セレクタ回路の選択信号入力端子
に前記アクセス違反信号が入力され、前記データラッチ
回路のデータ入力端子に前記セレクタ回路の出力端子が
接続され、前記データラッチ回路の出力端子から前記ア
ドレス格納手段の出力データが出力されるので、前記ア
ドレス格納手段を簡単な回路構成にすることができる。
これにより、前記アドレス格納手段の集積回路化が容易
になる。

【００６６】また、本発明に係る１チップマイクロコン
ピュータによると、前記アドレス格納手段を複数有し、
前記複数のアドレス格納手段がシフトレジスタ状に接続
されるように２段目以降のアドレス格納手段の入力が前
段のアドレス格納手段の出力に接続されるので、アクセ
ス違反を発生させる命令コードの直前に実行した命令コ
ードが存在するアドレスも検出することができる。従っ
て、アプリケーションプログラムに不具合があり前記演
算処理装置が暴走したときや悪意あるアプリケーション
プログラムがジャンプやサブルーチンしてアクセス可能
領域外にプログラム実行処理が移行してしまい、アクセ
ス違反領域で命令コードの取り込みを行うような場合に
特に有効である。

【００６７】また、本発明に係る１チップマイクロコン
ピュータによると、前記アドレス格納手段が前記演算処
理装置と共通のクロック信号を入力し、前記アドレス格
納手段が前記クロック信号に同期してラッチ動作を行う
ので、前記演算処理装置によってアドレス信号が変化す
るタイミングと同期して前記アドレス格納手段がアドレ
スの更新動作を行うことができる。

【００６８】また、本発明に係る１チップマイクロコン
ピュータによると、前記記憶手段が書き換え可能な不揮
発性半導体記憶装置であるとともに、外部信号に基づき
前記記憶手段の内容を書き換える手段を備えるので、外
部から新たなアプリケーションプログラム等をダウンロ
ードすることができる。これにより、１チップマイクロ
コンピュータの用途が拡がる。

【００６９】また、本発明に係るＩＣカードによると、
上記いずれかの構成の１チップマイクロコンピュータを
備えるので、不正なプログラムによってアクセス違反が
生じた場合にアクセス違反が発生するアドレスを容易に
検出することができるＩＣカードを実現することができ
る。

【図面の簡単な説明】

【図１】 本発明に係る１チップマイクロコンピュ
ータの構成を示す図である。

【図２】 図１の１チップマイクロコンピュータが
備えるアクセス許可アドレス範囲設定回路の構成を示す
図である。

【図３】 図１の１チップマイクロコンピュータが
備えるアドレス格納回路の構成を示す図である。

【図４】 図１の１チップマイクロコンピュータが
備える不揮発性メモリのメモリ割付を示す図である。

【図５】 アクセス違反アドレスを算出するフロー
チャート図である。

【符号の説明】

１ ＣＰＵ ２ アクセス許可アドレス範囲設定回路 ３ アクセス制御回路 ４ アドレス格納回路 ５ 不揮発性メモリ ２２ モニタフラグ ２３ レジスタ書き込み制御回路 ２４ アクセス許可領域検出回路 ２５ アクセス許可設定レジスタ ３１ 選択信号生成回路 ３２、３４ セレクタ部 ３３、３５ アドレス格納レジスタ

Claims (7)

【特許請求の範囲】
1. 【請求項１】プログラムを格納する記憶手段と、 該記憶手段に格納されたプログラムを実行する演算処理
   装置と、 前記記憶手段へのアクセスを許可するアドレス範囲を設
   定するアクセス許可アドレス範囲設定手段と、 該アクセス許可アドレス範囲設定手段によって設定され
   たアドレス範囲以外にアクセスされたときにアクセス違
   反検出信号を出力するアクセス違反検出手段と、 前記演算処理装置がアクセスするアドレスを監視すると
   ともに前記アクセス違反信号が検出されたときのアドレ
   スの値を保持するアドレス格納手段と、 を備えることを特徴とする１チップマイクロコンピュー
   タ。
2. 【請求項２】前記演算処理装置から出力される命令フェ
   ッチ信号を入力し、前記命令フェッチ信号に基づき前記
   演算処理装置が前記記憶手段から命令を読み込む動作を
   行っていないと判断したときは、前記アドレス格納手段
   が監視中のアドレスを更新しないように制御する制御手
   段を備える請求項１に記載の１チップマイクロコンピュ
   ータ。
3. 【請求項３】前記アドレス格納手段が、少なくともアド
   レス信号を伝達するアドレス信号線の本数分の数をそれ
   ぞれ有するセレクタ回路とデータラッチ回路との組から
   なり、前記アドレス格納手段の入力データが前記セレク
   タ回路の一方の入力端子に入力され、前記セレクタ回路
   の他方の入力端子に前記データラッチ回路の出力端子が
   接続され、前記セレクタ回路の選択信号入力端子に前記
   アクセス違反信号が入力され、前記データラッチ回路の
   データ入力端子に前記セレクタ回路の出力端子が接続さ
   れ、前記データラッチ回路の出力端子から前記アドレス
   格納手段の出力データが出力される請求項１又は請求項
   ２に記載の１チップマイクロコンピュータ。
4. 【請求項４】前記アドレス格納手段を複数有し、前記複
   数のアドレス格納手段がシフトレジスタ状に接続される
   ように、２段目以降のアドレス格納手段の入力が前段の
   アドレス格納手段の出力に接続される請求項１〜３のい
   ずれかに記載の１チップマイクロコンピュータ。
5. 【請求項５】前記アドレス格納手段が前記演算処理装置
   と共通のクロック信号を入力し、前記アドレス格納手段
   が前記クロック信号に同期してラッチ動作を行う請求項
   １〜４のいずれかに記載の１チップマイクロコンピュー
   タ。
6. 【請求項６】前記記憶手段が書き換え可能な不揮発性半
   導体記憶装置であるとともに、外部信号に基づき前記記
   憶手段の内容を書き換える手段を備える請求項１〜５の
   いずれかに記載の１チップマイクロコンピュータ。
7. 【請求項７】請求項１〜６のいずれかに記載の１チップ
   マイクロコンピュータを備えることを特徴とするＩＣカ
   ード。