JP2003044457A - データプロセッサ - Google Patents

Abstract

(57)【要約】 【課題】 データプロセッサにオンチップされた電気的
に消去及び書込み可能な不揮発性メモリに対する書き換
えの使い勝手を良好に保ちつつ記憶情報のセキュリティ
ーを向上させる。 【解決手段】 消去・書き込み可能な不揮発性メモリは
第１領域（１２）及び第２領域（１１）を有する。モー
ド設定回路（８）はデータプロセッサにＰＲＯＭライタ
を接続して第１記憶領域の消去・書込みを可能にする第
１動作モード（ＰＲＯＭライタモード）を設定可能であ
る。第１領域に対する機密保護を設定するためのセキュ
リティ情報を格納する領域（１６）が配置される。ＣＰ
Ｕ（２）は、機密保護状態であっても第１動作モードで
は第１領域に対する全面消去後の書込みを可能にする。
機密保護状態で第１動作モードにより再書込み可能にさ
れるときは第１領域は全面消去を伴うから機密保護が向
上される。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、中央処理装置と共
に電気的に消去及び書き込み可能な不揮発性記憶装置を
搭載したデータプロセッサ、特に、不揮発性記憶装置の
機密保護が設定された記憶情報に対する再書込み（書き
換え）の操作性を改良する技術に関し、例えばフラッシ
ュメモリを搭載したマイクロコンピュータに適用して有
効な技術に関する。

【０００２】

【従来の技術】中央処理装置及びフラッシュメモリなど
搭載したマイクロコンピュータにおいて、フラッシュメ
モリには当該マクロコンピュータを用いるセットメーカ
等が開発したプログラムやパラメータデータ等が書き込
まれて利用される。そのような記憶情報に対して不正ア
クセスの虞がある。例えば、そのようなマイクロコンピ
ュータが、外部書き込み装置としてのＰＲＯＭライタに
接続され、フラッシュメモリの記憶領域に対する消去及
び書込みが可能にされる動作モード（ＰＲＯＭライタモ
ード）を持つ場合、当該動作モードを設定すれば、前記
記憶領域に格納されたプログラムは比較的容易に外部へ
読み出すことが可能にされる。即ち、ＰＲＯＭライタモ
ードではマイクロコンピュータは見掛け上、単体フラッ
シュメモリと同じようにされ、外部から与えられる読み
出しの為のアクセスコマンドにしたがって動作可能な状
態にされるからである。そこで、そのような記憶情報に
対する不正アクセスを防止する機密保護の為の技術が必
要となると考えられる。

【０００３】

【発明が解決しようとする課題】フラッシュメモリの記
憶領域に格納されるプログラムデータは、主にセットメ
ーカによって開発されるのが一般的である。したがって
セットメーカが上記プログラムに対して機密保護を望む
と思われるが、一旦機密保護を設定した後においても、
上記プログラムのバグの修正などを行うことも考えられ
る。この発明は、上記フラッシュメモリの記憶領域に対
する機密保護及び上記機密保護されたプログラムないし
データの再書き込みを可能とする為に行われたものであ
る。

【０００４】本発明の目的は、書き換え可能な不揮発性
メモリに対する書き換えの使い勝手を良好に保ちつつ記
憶情報のセキュリティーを向上させることができるデー
タプロセッサを提供することにある。

【０００５】本発明の前記並びにその他の目的と新規な
特徴は本明細書の記述及び添付図面から明らかになるで
あろう。

【０００６】

【課題を解決するための手段】本願において開示される
発明のうち代表的なものの概要を簡単に説明すれば下記
の通りである。

【０００７】本発明に係るデータプロセッサ（１）は、
中央処理装置（２）と、第１領域（１２）及び第２領域
（１１）を有する消去及び書込み可能な不揮発性メモリ
（４）と、モード設定回路（８）と、を単一の半導体チ
ップに備えて成る。前記モード設定回路は、データプロ
セッサに外部書き込み装置としてのＰＲＯＭライタを接
続して前記第１記憶領域に対する消去及び書込みを制御
可能にする第１動作モード（ＰＲＯＭライタモード）と
データプロセッサが実装されるボード（回路基板）上で
前記第１記憶領域に対する消去及び書込みを制御可能に
する第２動作モード（オンボードプログラムモード）と
を選択的に設定可能である。前記中央処理装置のアドレ
ス空間には、第１領域の記憶情報に対する機密保護を選
択的に設定するためのセキュリティー情報としての情報
を格納する領域（１６）が配置される。

【０００８】本発明の第１の観点による前記中央処理装
置は、前記セキュリティー情報による機密保護状態であ
っても前記第１動作モードでは前記第１領域に対する全
面消去後の書込みが可能にされる。これにより、機密保
護状態で第１動作モードにより書き換え（再書込み）可
能にされるときは、機密保護されるべき第１領域の全面
消去を伴うから、再書込みによりリードプログラムを不
正に格納して記憶情報を不正に読み出そうとしても、最
早不正にアクセスすべきプログラムは消去済みであるか
ら、機密保護は万全である。一方、機密保護を実施した
後も再書込み自体は保証されるから、プログラムを書き
込んで一旦機密保護状態にセットされた後も、バグの修
正を行なうことができる。したがって、書き換え可能な
不揮発性メモリに対する書き換えの使い勝手を良好に保
ちつつ記憶情報のセキュリティーを向上させることがで
きる。

【０００９】本発明の第２の観点による前記中央処理装
置は、前記セキュリティー情報による機密保護状態であ
っても前記第１動作モードでは前記第１領域の全面消去
と共に前記セキュリティー情報の書き換えが可能にされ
る。これにより、セキュリティー情報の書き換えが許容
されるから、プログラムを書き込んで一旦機密保護状態
にセットした後でも、バグの修正を行なうことができ
る。セキュリティー情報の書き換えが許容されるとき
は、機密保護されるべき第１領域の全面消去を伴うか
ら、再書込みによりリードプログラムを不正に格納して
記憶情報を不正に読み出そうとしても、最早不正にアク
セスすべきプログラムは消去済みであるから、機密保護
は万全である。したがって、書き換え可能な不揮発性メ
モリに対する書き換えの使い勝手を良好に保ちつつ記憶
情報のセキュリティーを向上させることができる。

【００１０】前記セキュリティー情報は前記第１領域に
保持してよい。第１領域の全面消去によってセキュリテ
ィーを解除可能である。前記第１領域がベクタ領域とア
プリケーション領域を含むとき、前記セキュリティー情
報は前記ベクタ領域に保持されるとよい。アプリケーシ
ョン領域の途中でアプリケーションプログラムなどがセ
キュリティー情報によって分断される虞を未然に排除す
ることができる。

【００１１】前記セキュリティー情報は前記第１領域か
ら汎用レジスタなどのレジスタ手段（２１）にロードさ
れ、中央処理装置は前記レジスタ手段にロードされたセ
キュリティー情報を参照して機密保護状態の有無を判定
するようにしてよい。これにより、第１領域のセキュリ
ティー情報を設定状態に書き換えただけではリードプロ
テクトが働かないので、ＰＲＯＭライタによるセキュリ
ティー情報の書込みベリファイを保証することができ
る。書込み後に、リセットを行なえば自動的に機密保護
状態にされる。セキュリティーの解除には、第１領域の
セキュリティー情報をクリア（初期化）した後、データ
プロセッサをリセットして、セキュリティー情報を第１
領域から前記レジスタ手段にロードする処理が実行され
る。

【００１２】前記セキュリティー情報は中央処理装置の
アドレス空間において前記第１領域以外の領域に保持さ
れてよい。例えば、所定のレジスタ或は不揮発性メモリ
の第１及び第２領域以外の記憶領域であってもよい。

【００１３】前記中央処理装置は、前記第１動作モード
において前記セキュリティー情報による機密保護状態
（リードプロテクトの設定状態）では、前記第１領域に
対する読み出し動作の要求に対してその要求で指定され
るアドレスに格納されるデータとは異なるデータを外部
に出力させてもよい。例えば固定値データ、フラッシュ
メモリからリードされたデータに対して暗号化等の演算
処理を施したデータ等であってよい。要するに、リード
プロテクトの設定状態においては、ダミーデータが出力
される。

【００１４】前記第２領域は、例えば前記第１領域の全
面消去に用いる消去プログラムを保有し、前記第１動作
モード及び第２動作モードにおいて消去及び書込み不可
能にされる領域としてよい。

【００１５】前記中央処理装置は、前記セキュリティー
情報による機密保護状態において第２動作モードでは前
記第１領域に対する全面消去後の書込みが可能であって
よい。ここで言うところの第２動作モードとは、例え
ば、そのときの実装ボードとのインタフェース仕様が公
開されていて、実装ボード（回路基板）を介するオンチ
ップ不揮発性メモリアクセスが比較的容易であるような
動作モードであり、オンボードプログラムモードとして
のブートモードのような動作モードを想定する。第２動
作モードでも前記第１領域に対する全面消去後の書込み
を許容すれば、一旦書き込んだ後にセキュリティーをか
けたプログラムに対するバグ等の修正をオンボードでも
行うことが可能になり、バグ等の修正方法もしくは修正
の機会に対して選択の幅を広げることができる

【００１６】

【発明の実施の形態】図２には本発明に係るデータプロ
セッサの一例であるマイクロコンピュータが示される。
同図に示されるマイクロコンピュータ１は、特に制限さ
れないが、単結晶シリコンのような１個の半導体基板
（半導体チップ）にＣＭＯＳ集積回路製造技術により形
成される。

【００１７】マイクロコンピュータ１は、特に制限され
ないが、演算制御装置としての中央処理装置（ＣＰＵ）
２、ＲＡＭ３、フラッシュメモリ４、モード設定回路
５、シリアルインタフェース回路（ＳＣＩ）６、入出力
ポート７，８、内部バス９、及び図示を省略するその他
周辺回路を有する。

【００１８】前記フラッシュメモリ４は電気的に消去及
び書き込み可能な不揮発性メモリの一例であり、ＣＰＵ
２の動作プログラムやデータの格納領域として利用され
る。前記ＲＡＭ３はＣＰＵ２のワーク領域若しくはデー
タ又はプログラムの一時記憶領域としても利用される揮
発性メモリである。

【００１９】前記モード設定回路（モード設定手段）５
にはチップ外部から複数ビットのモード信号ＭＤ０〜Ｍ
Ｄ２及びリセット信号ＲＥＳなどが入力される。マイク
ロコンピュータ１のパワーオンリセット或はハードウェ
アリセットによりリセット信号ＲＥＳがローレベルにさ
れると、そのローレベル期間においてマイクロコンピュ
ータ１の内部でリセット動作が行われる。リセット信号
ＲＥＳによるリセットの解除後、複数ビットのモード信
号ＭＤ０〜ＭＤ２の状態に応じて、マイクロコンピュー
タ１の動作モードが決定される。ＣＰＵ２は、その動作
モードに応じたプログラム領域のスタートベクタをリー
ドし、そのアドレスの命令をフェッチし、フェッチした
命令を解読して、命令実行を開始する。

【００２０】一方の入出力ポート７は外部とのバスイン
タフェースに利用可能とされ、アドレス、データ、及び
制御信号のインタフェース機能を有する。他方の入出力
ポート８はＳＣＩ６、割込み信号、その他図示を省略す
る周辺回路の外部インタフェース機能を達成する。

【００２１】前記ＣＰＵ２は、特に制限されないが、フ
ェッチした命令を解読して命令実行を制御する命令制御
部（図示せず）と、命令制御部の制御を受けて演算処理
を行なって命令を実行する実行部（図示せず）とを有す
る。例えば、実行部は演算器、汎用レジスタ、プログラ
ムカウンタ、及びステータスレジスタ等を有し、命令制
御部は命令レジスタ、命令デコーダ、及び命令シーケン
スロジック等を有する。

【００２２】前記フラッシュメモリ４は、夫々図示を省
略するメモリセルアレイ、Ｘデコーダ・ドライバ、セン
スアンプアレイ、Ｙスイッチアレイ、Ｙデコーダ、メモ
リ入出力回路、電源回路、及びタイミングコントローラ
を有する。

【００２３】前記メモリセルアレイはマトリクス配置さ
れたフラッシュッメモリセルを有する。フラッシュメモ
リセルは、特に制限されないが、半導体基板若しくはウ
ェル領域にソース、ドレインを有し、チャネルの上方に
夫々絶縁膜を介してフローティングゲート及びコントロ
ールゲートが形成されたスタック構造を有し、ソースを
ソース線に、ドレインをビット線に、コントロールゲー
トをワード線に接続して構成される。フラッシュメモリ
セルは閾値電圧がプログラム可能にされ、プログラムさ
れた閾値電圧に応じて情報を保持する。例えば、１個の
フラッシュメモリセルが１ビットの情報を保持する場合
に、相対的に高い閾値電圧状態を書き込み状態、相対的
に低い閾値電圧状態を消去状態と称する。書き込み状態
を得る為の書き込み動作は、特に制限されないが、コン
トロールゲートに例えば１０Ｖ、ドレインに例えば５
Ｖ、ソースおよび半導体基板に例えば０Ｖを印加して、
ドレイン・ソース間に電流を流し、これによってホット
エレクトロン注入が起こり、フローティングゲートに電
子が蓄積され、メモリセルの閾値電圧が高くなる。前記
消去状態を得る為の消去動作は、特に制限されないが、
コントロールゲートに０Ｖ、ソース及び半導体基板に例
えば１０Ｖを印加し、さらにドレインを例えば開放（フ
ローティング）にして、フローティングゲートに蓄積さ
れた電子を基板に放出させ、これによってメモリセルの
閾値電圧が低くなる。

【００２４】前記メモリ入出力回路は前記内部バス９と
の間でアドレス、制御信号及びデータの入出力を行な
う。メモリ入出力回路に入力されたアドレス信号はＸデ
コーダ・ドライバ及びＹデコーダに入力されて夫々デコ
ードされる。Ｘデコーダ・ドライバはそのデコード結果
に従ってワード線等を選択する。Ｙデコーダはそのデコ
ード結果に従ってＹスイッチアレイを介してビット線を
選択する。ワード線選択及びビット線選択によってフラ
ッシュメモリセルが選択される。読み出し動作では、前
記選択されたフラッシュメモリセルの読み出しデータ
は、センスアンプアレイにて検出され、メモリ入出力回
路を経て内部バス９に出力される。書き込み動作では、
内部バス９からメモリ入出力回路に与えられる書き込み
データがラッチされ、ワード線で選択されたメモリセル
に対し、ラッチデータに従って書き込み・書き込み阻止
が制御される。フラッシュメモリセルに対する消去はブ
ロック単位或は領域の全面一括消去が可能にされる。消
去領域の指定はタイミングコントローラ内のコントロー
ルレジスタに対する設定に従って行われる。

【００２５】前記電源回路はクランプ回路やチャージポ
ンプ回路などを有し、フラッシュメモリ４の消去、書き
込み、読み出しなどの動作で使用する様々な電圧を供給
する。

【００２６】前記タイミングコントローラはＣＰＵ２に
よってアクセス可能な各種コントロールレジスタを有
し、コントロールレジスタの設定値にしたがって、コン
トロールロジックが、読み出し、書込み、及び消去の動
作シーケンス、書込み消去のための降圧パルスの印加時
間等を制御する。そのような各種コントロールレジスタ
に対する設定はＣＰＵ２が例えば消去制御プログラムや
書込み制御プログラムを実行することによって行われ
る。

【００２７】図３にはフラッシュメモリ４のメモリマッ
ト、即ちフラッシュメモリ４のメモリセルアレイに対す
る領域マッピングが例示される。メモリセルアレイは、
特に制限されないが、夫々電気的に消去及び書き込み可
能な、ブートマット（第２領域）１１、ユーザマット
（第１領域）１２、及びリペア・トリミングマット１３
を有する。前記ブートマット１１及びユーザマット１２
は夫々ＣＰＵ２のアドレス空間における先頭アドレスで
ある０番地（Ｈ’00000000）をスタートアドレスとして
メモリ空間が割り当てられる。要するに、前記ブートマ
ット１１、及びユーザマット１２はアドレス空間がオー
バラップされ、前記フラッシュメモリ４はどのメモリマ
ットを利用するかの指示に応答してアドレスデコード論
理が選択されることになる。どのメモリマットを利用す
るかはモード信号ＭＤ０〜ＭＤ２で指示されるマイクロ
コンピュータの動作モードなどによって決まる。リペア
・トリミングマット１３はメモリセルアレイにおける欠
陥救済アドレスや回路の特性に応じた合わせ込みのため
のトリミング回路の設定データが格納される。

【００２８】ユーザマット１２は、特に制限されない
が、ベクタ領域１４とアプリケーション領域１５とを有
する。前記アプリケーション領域１５にはセットメーカ
などのユーザのアプリケーションプログラムが格納され
る。

【００２９】前記ベクタ領域１４は、ユーザマット１２
の記憶情報に対する機密保護を選択的に設定するための
セキュリティ情報を格納する領域(セキュリティー情報
記憶領域)１６を有する。前記セキュリティー情報を前
記ベクタ領域１４に保持すれば、アプリケーション領域
１５の途中でアプリケーションプログラムなどがセキュ
リティー情報によって分断される虞を未然に排除するこ
とができる。

【００３０】前記記憶領域１６のセキュリティー情報
は、特に制限されないが、リセット信号ＲＥＳによって
指示されるマイクロコンピュータの初期化動作に呼応し
て汎用レジスタなどのレジスタ手段２１にロードされ
る。ＣＰＵ２はブートマット内の制御プログラムにした
がって当該汎用レジスタ内のセキュリティー情報を参照
して、機密保護の可否を判定する。これにより、領域１
６のセキュリティー情報を設定状態に書き換えただけで
はリードプロテクトが働かないので、ＰＲＯＭライタに
よるセキュリティー情報の書込みベリファイを保証する
ことができる。書込み後に、リセットを行なえば自動的
に機密保護状態にされる。セキュリティーの解除には、
領域１６のセキュリティー情報をクリア（初期化）した
後、データプロセッサをリセットして、セキュリティー
情報を領域１６から前記汎用レジスタにロードする処理
が必要になる。尚、前記記憶領域１６のセキュリティー
情報のレジスタ２１への格納は、上記リセット信号を利
用するもののほか、上記ブートマット内の制御プログラ
ムにセキュリティー情報のレジスタ２１への転送処理を
組み込んでおくことによって、ＣＰＵ２によって実行さ
せることも可能である。

【００３１】ここで、マクロコンピュータ１の動作モー
ドを説明する。フラッシュメモリ４に対する消去及び書
き込みに着目すると、マイクロコンピュータ１の動作モ
ードは、マイクロコンピュータに外部書き込み装置とし
てのＰＲＯＭライタを接続して前記ユーザマット１２に
対する消去及び書込みを制御可能にするＰＲＯＭライタ
モード（第１動作モード）と、マイクロコンピュータ１
が実装されるボード上で前記ユーザマット１２に対する
消去及び書込みを制御可能にするオンボードプログラム
モード（第２動作モード）と、ユーザプログラムモード
（ユーザモード）に大別される。ライタモード、オンボ
ードプログラムモード、ユーザプログラムモードの設定
は、前記モード信号ＭＤ０〜ＭＤ３の状態にしたがって
モード設定回路５が行なう。

【００３２】前記ＰＲＯＭライタモード（単にライタモ
ードとも称する）はＰＲＯＭライタのような書き込み装
置を用いてフラッシュメモリ４の消去及び書き込みを実
施可能にする動作モードである。ライターモードが設定
されると、リセット処理後、モード設定回路５により入
出力ポート７はＰＲＯＭライタとバスインタフェース可
能にされる。このとき、ＣＰＵ２はブートマット１１の
先頭番地からベクタフェッチを行ってプログラムの実行
を開始する（ブートマット１１から起動）。そして、Ｃ
ＰＵ２は、ライタモードに必要な処理として、コマンド
判定プログラムや消去及び書き込み関係のプログラムを
全てブートマット１１からＲＡＭ３に転送する。その後
に、ＣＰＵ２は、ＲＡＭ３に転送されたプログラムの実
行に移行し、フラッシュメモリ４はＰＲＯＭライタによ
って消去及び書き込み可能にされる。即ち、ＰＲＯＭラ
イターはマイクロコンピュータ１に消去や書込みなどを
指示するコマンドを発行すると、ＣＰＵ２がコマンド判
定プログラムにしたがってそのコマンドを解読し、解読
結果にしたがってフラッシュメモリ４のタイミングコン
トローラに制御情報やデータを送って、メモリ動作を制
御する。このライタモードは、オフボード（マイクロコ
ンピュータ１がシステムボードに実装されていない状
態）で前記ユーザマット１２に任意のユーザ制御プログ
ラム等を格納するのに適している。

【００３３】前記オンボードプログラムモード（ユーザ
プログラムモードとの区別の為にブートモードとも称す
る）は、例えば、前記ＣＰＵ２にブートマット１１のプ
ログラムを処理させると共に当該ブートマット１１を消
去及び書き込み不可能にする。具体的には、ブートモー
ドが指定されると、リセット処理後、ＣＰＵ２はブート
マット１１の先頭番地からベクタフェッチを行ってプロ
グラムの実行を開始する。そして、ブートモードに必要
な処理として、ブートマット１１内の消去及び書き込み
関係のプログラム及びコマンド判定プログラムをＲＡＭ
３に転送する。転送とその他の処理とを終了した後に、
ＣＰＵ２はＲＡＭ３上のプログラム実行に移る。ＣＰＵ
２はＲＡＭ３上のプログラムを実行して、先ずユーザマ
ット１１を全面消去し、その後、ＳＣＩ１２を利用して
コマンドや書込みデータなどを受取り、受取ったコマン
ドを解読し、解読結果にしたがってフラッシュメモリ４
に制御情報やデータを供給して、消去及び書き込み可能
にする。このブートモードは、シリアル通信インタフェ
ースを備えた実装ボード上で、前記ユーザマット１１に
任意のユーザ制御プログラム等を格納するのに適してい
る。

【００３４】前記ユーザモード（ユーザプログラムモー
ド）はユーザマット１１が保有するプログラムを利用し
て消去及び書き込みを実施可能にする動作モードであ
り、ブートマット１１の消去及び書き込みについては不
可能にされる。即ち、ＣＰＵ２をユーザマット１１から
起動し、ユーザマット１１上のプログラムを実行する。
そのプログラムには、ユーザが開発したインタフェース
制御プログラム、消去制御プログラム、書込み制御プロ
グラムなどが含まれ、それらのプログラムを実行するこ
とにより、当該プログラムに従ってユーザマット１１を
消去又は書込み可能になる。ユーザが開発したインタフ
ェース制御プログラムで使用可能なインタフェースはＡ
ＴＡＰＩ（AT Attachment Packet Interface）など任意
であり、外部インタフェース端子の割り当ても任意であ
ってよい。

【００３５】ユーザマット１１に対する消去及び書き込
みに関し、ブートモードに対するユーザプログラムモー
ドの大きな相違点は、書き込みデータやコマンドのイン
タフェース仕様、コマンド仕様、消去制御プログラムで
規定される消去制御シーケンス、書き込み制御プログラ
ムで規定される書き込み制御シーケンス、外部インタフ
ェースに使用する外部端子、の全てがユーザによる個別
仕様にすることが可能であるということであり、換言す
ればその仕様の何れも公開する必然性がなく、もともと
秘密の状態に保つことが容易なものである。ブートモー
ドで使用するＳＣＩ６のシリアルプロトコル、外部イン
タフェースに使用する外部端子、ブートマットからダウ
ンロードされる消去制御プログラムなどは、マイクロコ
ンピュータメーカが規定し、公開されて差し支えない仕
様、逆に、公開することがマイクロコンピュータの利用
を容易化することになるものである。双方の相異は、ブ
ートモードでは書き込み前にユーザマット１１を全面消
去するのに対し、ユーザプログラムモードではそのよう
な全面消去を実施するか否かをユーザプログラムに委ね
る、という点に現れている。

【００３６】セキュリティー情報による機密保護機構に
ついて説明する。セキュリティー情報記憶領域１６にセ
キュリティー情報としてＨ’ＦＦ以外を設定すると機密
保護が選択され、ＣＰＵ２がそれを参照することによ
り、機密保護状態が実現される。ここで問題とする機密
保護はライタモードとブートモードにおける機密保護で
ある。ユーザプログラムモードでは前述の通り、動作仕
様が非公開のユーザ仕様によって個別化されているか
ら、秘密保護機構に依存する必要性が少ない。

【００３７】図１にはライタモードにおける機密保護に
着目したときマイクロコンピュータを機能ブロックで示
している。図１において２０は消去及び書き込み制御プ
ログラム等によりＣＰＵで実現されるフラッシュメモリ
アクセス制御機能ブロック、２２はセキュリティー情報
の判定機能ブロック、２３は出力データ選択機能ブロッ
クを意味する。２１は前記領域１６からセキュリティー
情報がロードされる汎用レジスタなどのレジスタ手段で
ある。

【００３８】セキュリティー情報領域１６に書き込まれ
たセキュリティー情報は前述の様にレジスタ手段２１に
ロードされる。レジスタ手段２１にロードされたセキュ
リティー情報は判定機能ブロック２３によりデータＨ’
ＦＦと比較され、セキュリティー情報がＨ’ＦＦ以外で
あれば機密保護状態とされる。判定機能ブロック２３に
よる比較結果はフラッシュメモリアクセス制御機能ブロ
ック２０で参照される。機密保護状態においてフラッシ
ュメモリアクセス制御機能ブロック２０は、前記ライタ
モードでは、前記ユーザマット１２に対する全面消去後
の書込みを可能にする。これにより、機密保護状態でブ
ートモードにより再書込み可能にされるときは機密保護
されるべきユーザマット１２の全面消去を伴うから、再
書込みによりリードプログラムを不正に格納してユーザ
マット１２の記憶情報を不正に読み出そうとしても最早
不正にアクセスすべきプログラムは消去済みであるか
ら、機密保護は万全である。一方、機密保護を実施した
後もユーザマット１２に対する書き換え自体は保証され
るから、ユーザマット１２にプログラムを書き込んで一
旦機密保護状態にセットした後も、バグの修正を行なう
ことができる。したがって、書き換え可能なフラッシュ
メモリ４に対する書き換えの使い勝手を良好に保ちつつ
記憶情報のセキュリティーを万全にすることができる。

【００３９】機密保護状態においてＣＰＵ２は、前記ラ
イタモードにおいて、前記ユーザマット１２に対する読
み出し動作の要求に対してその要求で指定されるアドレ
スのデータとは異なるデータを外部に出力させる。図１
の例ではレジスタ手段２１にラッチされたセキュリティ
ー情報とデータＨ’ＦＦが比較され、機密保護状態（セ
キュリティー情報がＨ’ＦＦ以外）であれば、出力デー
タ選択機能ブロック２３はフラッシュッメモリ４からの
リードデータに代えて固定値Ｈ’００を選択して、外部
に出力可能にする。尚、固定値データＨ’００にの代わ
りに、フラッシュメモリ４からリードされたデータに対
して暗号化等の演算処理を施したデータ等を外部に出力
させてもよい。これにより、消去及び書き込みを経るこ
となく単にＰＲＯＭライタでユーザ領域の記憶情報が不
正に外部に読み出される事態を防止することができる。

【００４０】セキュリティー情報記憶領域１６はユーザ
マット１２にあるから、全面消去（前記憶情報がＨ’Ｆ
Ｆにされる）においてセキュリティ情報はリセット（初
期化）される。領域１６で初期化されたセキュリティー
情報をレジスタ手段２１に反映するにはマイクロコンピ
ュータ１のリセット動作が必要である。これにより、セ
キュリティー情報が領域１６からレジスタ手段２１にロ
ードされて機密保護状態が解消され、書き換え時のベリ
ファイも何ら支障なく実現可能になる。

【００４１】図４にはライタモードにおけるＣＰＵ２の
処理手順が示される。ライタモードにおいてＣＰＵはコ
マンドを判定し（Ｓ１）、消去コマンドであれば、ユー
ザマットを全面消去する（Ｓ２）。書き込みコマンドで
あれば、書き込みアドレス及び書き込みデータを受信し
（Ｓ３）、書き込みを行なう（Ｓ４）。読み出しコマン
ドであれば、読み出しアドレスを受信し（Ｓ５）、セキ
ュリティー情報がＨ’ＦＦ以外であるか（セキュリティ
ー情報セットか）を判定し（Ｓ６）、Ｈ’ＦＦ以外（機
密保護状態）であれば例えばＨ’００のような固定デー
タを出力する（Ｓ７）。Ｈ’ＦＦであれば読み出しアド
レスのデータをそのまま外部に出力する（Ｓ８）。ステ
ータス読み出しコマンドであれば前回実行したコマンド
の実行結果を出力する（Ｓ９）。

【００４２】図５にはライタモードにおけるＣＰＵ２の
別の処理手順が示される。図４との相違点は、機密保護
状態におけるリードプロテクトのアドレスエリアを限定
する場合の例である。このときのリードプロテクトのア
ドレスエリアは予めライタモード処理プログラムによっ
て決められたユーザマット１２の一部の領域であってよ
い。ＣＰＵ２は読み出しコマンドを判別すると（Ｓ
１）、プロテクト情報がＨ’ＦＦ以外であるかを判定し
（Ｓ６）、Ｈ’ＦＦ以外（機密保護状態）であれば、今
度は読み出しアドレスがリードプロテクトすべきアドレ
スエリアのアドレスであるかを判定し（Ｓ１０）、リー
ドプロテクトすべきアドレスであれば、例えばＨ’００
のような固定データを出力する（Ｓ７）。Ｈ’ＦＦであ
れば読み出しアドレスのデータをそのまま外部に出力す
る（Ｓ８）。その他の動作コマンドに対しては図４の処
理と同じである。ユーザマットの特定のアドレスエリア
に対してだけリードプロテクトを施し、ユーザマットの
残りの領域に対しては機密保護状態でも記憶情報の読み
出しが可能になる。機密保護すべきプログラム情報など
に対しては所定のアドレスエリアに格納しておけば上述
と同様の機密保護を実現することができる。

【００４３】セキュリティー情報記憶領域１６にセキュ
リティー情報としてＨ’ＦＦ以外を書き込んで機密保護
状態にされているとき、前記ブートモードでは、ユーザ
マット１２に対してリードプロテクトが実施される。要
するに、フラッシュメモリから読み出されたデータはＳ
ＣＩ６を介して外部に出力されないようにされる。ま
た、当該動作モードにおける消去及び書き込みに対する
制限はライタモードの場合と同じである。ブートモード
でも前記ユーザマット１２に対する全面消去後の書込み
を許容すれば、一旦書き込んだ後にセキュリティーをか
けたプログラムに対するバグ等の修正をオンボードでも
行うことが可能になり、バグ等の修正方法もしくは修正
の機会に対して選択の幅を広げることができる。

【００４４】図６には機密保護状態におけるセキュリテ
ィー情報に対する書き換えの可否を例示する。本発明に
係るマイクロコンピュータの場合、機密保護状態であっ
ても、ライタモード又はオンボードプログラムモード
（ブートモード）の何れにおいても消去及び書き込みに
よる書き換えが可能にされる。前述の通り、セキュリテ
ィー情報記憶領域１６がユーザマット１２に割当てら
れ、ユーザマット１２の全面消去と書き込みが許容され
ているからである。

【００４５】図７には機密保護状態におけるユーザマッ
ト１２に対する書き換えの可否を例示する。本発明に係
るマイクロコンピュータの場合、機密保護状態であって
も、ライタモード又はブートモードの何れにおいてもユ
ーザマットの消去及び書き込みが可能にされる。また、
ブートモードではユーザマットに対する消去及び書き込
みが可能にされるが、セキュリティー情報のリセットは
不可能にされているから、書込みデータを外部に読み出
して行なうベリファイ動作は実行不可能である。

【００４６】図８には図７におけるライタモードでのＣ
ＰＵによる処理手順が例示される。書き込みコマンドに
応答するときセキュリティーの実施が指示されていると
きはユーザマットに対する書き込みが抑止され（Ｓ１
１）、消去コマンドに応答するときセキュリティーの実
施が指示されているときはユーザマットに対する消去が
抑止される（Ｓ１２）。読み出しコマンドに応答すると
きはセキュリティーの実施の有無に拘わらずメモリから
データリードを行う（Ｓ１３）。リードデータは、マイ
クロコンピュータ１に設けられた図９に例示されるセレ
クタ３０によりチップ外部への出力が阻止され、代わり
に、固定値Ｈ’００がチップ外部に出力されるようにな
っている。

【００４７】以上本発明者によってなされた発明を実施
形態に基づいて具体的に説明したが、本発明はそれに限
定されるものではなく、その要旨を逸脱しない範囲にお
いて種々変更可能であることは言うまでもない。

【００４８】例えば、セキュリティー情報の配置はベク
タ領域に限定されない。ユーザプログラムが格納される
アプリケーション領域に配置してもよい。この場合、ア
プリケーション領域で空き領域とされる確率の高いエリ
アの最終アドレス若しくはその近傍にするのがよい。ア
プリケーション領域の途中でアプリケーションプログラ
ムなどがセキュリティー情報によって分断される虞を低
減することができる。

【００４９】ユーザマット１２の領域１６からセキュリ
ティー情報がロードされるレジスタ手段２１はＣＰＵの
汎用レジスタに限定されない。直接ＣＰＵ内部の所定の
コントロールレジスタなどにロードされて機密保護すべ
きかの判定が行われてもよい。また、セキュリティー情
報の取込みはレジスタへのロードを介する処理に限定さ
れず、適宜変更可能である。

【００５０】また、セキュリティー情報はフラッシュメ
モリのユーザマットに配置する場合に限定されず、ＣＰ
Ｕのアドレス空間における別の場所に配置することも可
能である。

【００５１】オンボードプログラムモードとしてブート
モードを一例としたがユーザプログラムモードについて
もブートモードと同様のプロテクトを行ってもよい。

【００５２】不揮発性メモリはフラッシュメモリに限定
されず、高誘電体メモリ等であってもよく、また、消去
及び書き込みに閾値電圧に対する定義が上記とは逆であ
ってもよい。また、不揮発性メモリは１個のメモリセル
の記憶情報が２値に限定されず４値以上の多値メモリで
あってもよい。

【００５３】また、第１領域はユーザマットとして把握
する場合に限定されず、アプリケーション領域として把
握してもよい。

【００５４】本発明はマイクロコンピュータに限定され
ず、マイクロプロセッサ等の各種データ処理用のデータ
プロセッサに広く適用することができる。

【００５５】

【発明の効果】本願において開示される発明のうち代表
的なものによって得られる効果を簡単に説明すれば下記
の通りである。

【００５６】すなわち、データプロセッサにオンチップ
された書き換え可能な不揮発性メモリに対する書き換え
の使い勝手を良好に保ちつつ記憶情報のセキュリティー
を向上させることができる。

【図面の簡単な説明】

【図１】本発明に係るデータプロセッサの一例であるマ
イクロコンピュータをブートモードにおける機密保護に
着目して機能ブロックで表現した説明図である。

【図２】本発明に係るデータプロセッサの一例であるマ
イクロコンピュータのブロック図である。

【図３】フラッシュメモリのメモリセルアレイに対する
領域マッピングを例示するメモリマップ図である。

【図４】ライタモードにおけるＣＰＵ２の処理手順を例
示するフローチャートである。

【図５】ライタモードにおけるＣＰＵ２の別の処理手順
を例示するフローチャートである。

【図６】機密保護状態におけるセキュリティー情報に対
する書き換えの可否を例示する説明図である。

【図７】機密保護状態におけるユーザマットに対する書
き換えの可否を例示する説明図である。

【図８】図７のライタモードでのＣＰＵによる処理手順
を例示するフローチャートである。

【図９】図７のライタモードでフラッシュッメモリから
のリードデータの外部出力を阻止するハードウェアを例
示する説明図である。

【符号の説明】

１ マイクロコンピュータ ２ ＣＰＵ(中央処理装置) ３ ＲＡＭ ４ フラッシュメモリ(不揮発性メモリ) ５ モード設定回路 ６ ＳＣＩ ７、８ 入出力ポート ９ 内部バス １１ ブートマット １２ ユーザマット １４ ベクタ領域 １５ アプリケーション領域 １６ セキュリティー情報記憶領域

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号 ＦＩ テーマコート゛(参考） Ｇ１１Ｃ 17/00 ６０１Ｐ (72)発明者 飯島 雅人 東京都小平市上水本町５丁目22番１号 株 式会社日立超エル・エス・アイ・システム ズ内 (72)発明者 朝永 和洋 東京都小平市上水本町五丁目20番１号 株 式会社日立製作所半導体グループ内 (72)発明者 前原 弘明 東京都小平市上水本町５丁目22番１号 株 式会社日立超エル・エス・アイ・システム ズ内 Ｆターム(参考） 5B017 AA01 AA07 BA04 BB05 CA11 CA13 5B025 AD04 AD08 AE10 5B062 CC04 DD10 GG10 JJ10

Claims (9)

【特許請求の範囲】
1. 【請求項１】 中央処理装置と、第１領域及び第２領域
   を有する消去及び書込み可能な不揮発性メモリと、モー
   ド設定回路と、を単一の半導体チップに備えて成るデー
   タプロセッサであって、 前記モード設定回路は、前記データプロセッサに書き込
   み装置を接続して前記第１記憶領域に対する消去及び書
   込みを制御可能にする第１動作モードと前記データプロ
   セッサが実装される回路基板上で前記第１記憶領域に対
   する消去及び書込みを制御可能にする第２動作モードと
   を選択的に設定可能であり、 前記中央処理装置のアドレス空間には、前記第１領域の
   記憶情報に対する機密保護を選択的に設定するための情
   報を格納する領域が配置され、 前記中央処理装置は、前記情報による機密保護状態であ
   っても前記第１動作モードでは前記第１領域に対する全
   面消去後の書込みが可能であることを特徴とするデータ
   プロセッサ。
2. 【請求項２】 中央処理装置と、第１領域及び第２領域
   を有する消去及び書込み可能な不揮発性メモリと、モー
   ド設定回路と、を単一の半導体チップに備えて成るデー
   タプロセッサであって、 前記モード設定手回路は、前記データプロセッサに書き
   込み装置を接続して前記第１記憶領域に対する消去及び
   書込みを制御可能にする第１動作モードと前記データプ
   ロセッサが実装される回路基板上で前記第１記憶領域に
   対する消去及び書込みを制御可能にする第２動作モード
   とを選択的に設定可能であり、 前記中央処理装置のアドレス空間には、前記第１領域の
   記憶情報に対する機密保護を選択的に設定するための情
   報を格納する領域が配置され、 前記中央処理装置は、前記情報による機密保護状態であ
   っても前記第１動作モードでは前記第１領域の全面消去
   と共に前記情報の書き換えが可能であることを特徴とす
   るデータプロセッサ。
3. 【請求項３】 前記情報は前記第１領域に保持されるこ
   とを特徴とする請求項１又は２記載のデータプロセッ
   サ。
4. 【請求項４】 前記第１領域はベクタ領域とアプリケー
   ション領域を含み、前記情報は前記ベクタ領域に保持さ
   れることを特徴とする請求項３記載のデータプロセッ
   サ。
5. 【請求項５】 さらに、レジスタを有し、前記情報は前
   記第１領域から前記レジスタにロードされ、前記中央処
   理装置は前記レジスタにロードされた情報を参照して機
   密保護状態の有無を判定することを特徴とする請求項３
   記載のデータプロセッサ。
6. 【請求項６】 前記情報は中央処理装置のアドレス空間
   において前記第１領域以外の領域に保持されることを特
   徴とする請求項１又は２記載のデータプロセッサ。
7. 【請求項７】 前記中央処理装置は、前記第１動作モー
   ドにおいて前記情報による機密保護状態では、前記第１
   領域に対する読み出し動作の要求に対してその要求で指
   定されるアドレスに記憶されたデータとは異なるデータ
   を前記データプロセッサの外部に出力させることを特徴
   とする請求項１又は２記載のデータプロセッサ。
8. 【請求項８】 前記第２領域は、前記第１領域の全面消
   去に用いる消去プログラムを保有し、前記第１動作モー
   ド及び第２動作モードにおいて消去及び書込み不可能に
   されることを特徴とする請求項１又は２記載のデータプ
   ロセッサ。
9. 【請求項９】 前記中央処理装置は、前記情報による機
   密保護状態において第２動作モードでは前記第１領域に
   対する全面消去後の書込みが可能であることを特徴とす
   る請求項１又は２記載のデータプロセッサ。