JP2003162341A - プログラムの不正実行防止機能付きプロセッサ - Google Patents

Abstract

(57)【要約】 （修正有） 【課題】 ソフトウェア・プログラムの不正な使用・実
行を防止する技術の提供。 【解決手段】 プロセッサは、メモリ管理ユニットを内
蔵し、且つ、メイン・メモリ上のプログラム・コードの
実行を許可する実行許可インストラクションを含んでい
る。実行許可インストラクションの手続はマイクロプロ
グラムによって定義され、メモリ管理ユニットに所定の
データをセットする手続の他に、プログラムの使用権を
認証する認証手続を含む。認証処理の成功時のみ、ソフ
トウェア・プログラムの実行が許可される。認証動作
は、プロセッサ内部で実行されるので、外部から監視・
検出することは殆ど不可能である。また、認証処理に用
いる識別情報として、プロセッサ・チップが固有に持つ
プロセッサＩＤを使用することによって、ある特定のソ
フトウェア・プログラムの使用権を単一のプロセッサに
限定することができる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、コンピュータ・シ
ステムに提供されるソフトウェア・プログラムの不正な
使用・実行を防止する技術に係り、特に、プログラムの
不正実行防止機能を備えたプロセッサに関する。

【０００２】

【従来の技術】昨今の技術革新に伴い、コンピュータ・
システムは、大学・研究機関の他、企業や一般家庭にも
広範に浸透してきている。コンピュータ・システムに
は、ホスト／メインフレームやオフィス・コンピュータ
以外に、比較的安価で一般ユーザも購入可能なワークス
テーション、パーソナル・コンピュータ（ＰＣ）などが
挙げられる。特に、ＰＣの急速な普及には目覚ましいも
のがある。

【０００３】このような技術動向下では、コンピュータ
・システム上で稼働する各種ソフトウェアも開発・市販
されており、ソフトウェア産業もハードウェア産業に匹
敵しあるいは凌駕する隆盛を遂げている。ここで言うソ
フトウェアには、コンピュータ・システム全体の動作を
制御するための「ＯＳ（オペレーティング・システ
ム）」や、システム上で各ユーザの目的・業務に適った
機能オペレーションを実現するための「アプリケーショ
ン」が含まれる。アプリケーション・プログラムは、ワ
ープロ、スプレッドシート、データベース、通信など各
種機能・用途のものが揃っている。

【０００４】ユーザは、自身のコンピュータ・システム
上に導入したいソフトウェアを、例えばフレキシブル・
ディスクやＣＤ−ＲＯＭなどのリムーバブル・メディア
の形態で購入し、これらメディアを適切なドライブ・ユ
ニットに装填して用いるのが一般的である。また、最近
では、インターネットなどの外部ネットワークを経由し
て、所望のソフトウェアを自身のローカル・ディスクに
ファイル転送（ダウンロード）する、という形態によっ
てもソフトウェア・プログラムを導入することが可能と
なっている。

【０００５】但し、ソフトウェア・プログラムを格納し
たメディアの購入行為は、ソフトウェア・プログラムの
限定的な使用権を得たことに過ぎず、購入者はソフトウ
ェア・プログラムの著作権や複製権までも手に入れた訳
ではない。ソフトウェア・プログラムの無制限な若しく
は無断な複製は、著作権法上、厳に禁止されている行為
である（周知）。（なお、ネットワーク経由でダウンロ
ードしたソフトウェア・プログラムについても、その使
用は限定的に解釈するのが妥当であろう。）

【０００６】また、ソフトウェア・プログラムを提供す
るソフトウェア・ベンダーの立場から言えば、有料でプ
ログラム格納メディアを配布することによって収益をあ
げているのであり、無制限で無断な複製行為が横行して
いては、本来享受すべき利潤を担保することができな
い。ソフトウェア・プログラムの不正な使用行為は、ソ
フトウェア産業に従事する者の開発意欲をも減退させる
ものであり、ひいては当該産業界の活動自体を沈静化さ
せかねない。このため、ソフトウェア・プログラムの不
正使用や無断な複製を禁止する（あるいは未然に防止す
る）というプロテクションに関する技術が、従来より開
発されている。

【０００７】プロテクションの一例は、不正使用を防止
したいソフトウェア・プログラムを暗号化してしまうこ
とである。すなわち、ソフトウェア・ベンダーは、暗号
化した状態のプログラム格納メディアを有償若しくは無
償で配布するとともに、正当なユーザに対してのみ、暗
号を解くための鍵を与えることで、メディアに格納され
たプログラムの使用を好適に限定することができる訳で
ある。

【０００８】ここで、いかなる媒介によってユーザに鍵
を与えるかが問題になる。例えばソフトウェア・ベンダ
ーは、封書などの郵便物によってユーザに鍵を与えるこ
とも可能であるが、この場合は鍵の不正使用はいとも簡
単である。

【０００９】さらに技術的に高度な方式として、いわゆ
る「セキュリティ・デバイス」を用いることが挙げられ
る。この場合、ソフトウェア・ベンダーは、セキュリテ
ィ・デバイスを添付してプログラム格納メディアを流通
・配布する。セキュリティ・デバイスは、所定の認証手
続に必要な識別情報などを含んでおり、例えばユーザの
ＰＣのシリアル・ポート又はパラレル・ポートに接続し
て用いられる。他方、メディアに格納されたプログラム
の中には、プログラム自体の機能・用途に特化したオペ
レーションを行うための本ルーチンの他に、幾つかのチ
ェック・ポイント（すなわち「認証ルーチン」）を含ん
でいる。

【００１０】認証ルーチンの一例は、各チェック・ポイ
ントにおいて、プログラムを実行中のＣＰＵ（Central
Processing Unit）がセキュリティ・デバイスにアクセ
スして識別情報を読み出し、これがプログラムの持つ識
別情報と一致するかどうかを照合して、一致していると
きのみＣＰＵがプログラムを続行することを許可する、
というものである。

【００１１】また、認証ルーチンの他の例は次の通りで
ある。すなわち、プログラム実行中のＣＰＵがある規則
に従ったコードをセキュリティ・デバイスに書き込む。
セキュリティ・デバイスでは、受け取ったコードを用い
てスクランブル又は暗号化した識別情報を用意してお
く。さらに、ＣＰＵはスクランブル又は暗号化された識
別情報を読み出し、これをプログラムによってデスクラ
ンブル又は復号化してプログラムが所有する識別情報と
照合する。照合が成功裡に終わったときのみ、ＣＰＵに
よるプログラムの続行が許可される。ＣＰＵとセキュリ
ティ・デバイスの間は、ＣＰＵチップ外部のバスを介し
て接続されているので、スクランブルや暗号化を行うこ
とによって、バス・スヌープによる認証ルーチンの解読
を防止することができる。

【００１２】これらセキュリティ・デバイスを用いた２
つの例は、プログラム実行中のＣＰＵに対する命令（イ
ンストラクション）によって認証処理が行われる、とい
う点では共通している。

【００１３】セキュリティ・デバイスを用いることによ
り、セキュリティ・レベルをかなりの程度向上させるこ
とができよう。また、ソフトウェア・プログラムの使用
権をセキュリティ・デバイスを装着したただ１つのコン
ピュータ・システムのみに限定することができよう。し
かしながら、この方式とて万全とは言い難い。例えば、
ロジック・アナライザ（周知）を用いれば、バス・トラ
ンザクションを容易にモニタすることができるので、認
証ルーチンを解析して、識別情報や暗号の鍵の正体を見
破ることもできよう。

【００１４】さらにセキュリティ・レベルを向上させる
ために、セキュリティ・デバイスへの入力値を逐次変更
する、という対策も採られている。しかしながら、ＩＣ
Ｅ（InCircuitEmulator）^/*/などの装置を用いればソフ
トウェアを比較的容易に逆アセンブルすることができ、
そうなればセキュリティ・デバイスへのアクセス・ルー
チン（すなわち認証ルーチン）を無条件ジャンプするよ
うにプログラムを改ざんすることも可能である。

【００１５】本発明者の考察によれば、ソフトウェア・
プログラムのプロテクションを強化するためには、まず
第一に、セキュリティ動作がプログラム実行に必須であ
るようにデザインすることが好ましい。この意味におい
て、メディアに格納されたプログラム自身が認証ルーチ
ンを含んでいるという上記従来例は適合している。さら
に、この認証ルーチンは、外部からのアクセス・変更が
不可能な形態でなければならない。セキュリティ・デバ
イスを用いた上記従来例の場合、認証ルーチンはシステ
ム・オペレーションの形態で実装され、外観には現れな
いが、技術的には判読が可能である（前述）。要言すれ
ば、外部アクセス可能な従来のプロテクション方式で
は、プログラムの保護は万全とは言い難いのである。

【００１６】《注釈》ＩＣＥは、通常はプログラムやハ
ードウェア開発を支援するために使用される装置であ
り、ＣＰＵの代わりにＣＰＵソケットに差すことによっ
て、ＣＰＵと全く同じ動作をするようになっている。Ｉ
ＣＥは、ＣＰＵと違って、バスのアクセスやレジスタの
値をインストラクション毎に読み出すことが可能であ
る。このようなＩＣＥのインストラクション・トレース
機能を用いれば、外部デバイスのアドレスをトリガにし
てソフトウェア・プログラムの中から認証ルーチンを探
し出すことができる。さらに、プログラム・アドレスに
違法なパッチを当てれば、セキュリティ・デバイスにア
クセスせずにプログラム実行を継続するように改ざんす
ることができる。

【００１７】

【発明が解決しようとする課題】本発明の目的は、コン
ピュータ・システムに提供されるソフトウェア・プログ
ラムの不正な使用・実行を防止する優れた技術を提供す
ることにある。

【００１８】本発明の更なる目的は、外部から監視・変
更することができない、プログラムの不正実行防止機能
を備えた優れたプロセッサを提供することにある。

【００１９】

【課題を解決するための手段】本発明は、上記課題を参
酌してなされたものであり、その第１の側面は、メイン
・メモリを管理する機能を持つメモリ管理ユニットを内
蔵するとともに、自身を動作させるためのインストラク
ション・セットを有するタイプの、プログラムの不正実
行防止機能付きプロセッサであって、前記インストラク
ション・セット中には前記メイン・メモリ上のプログラ
ム・コードの実行を許可する実行許可インストランショ
ンが含まれ、前記実行許可インストラクションは、実行
すべきプログラムの識別番号とアドレス情報・属性情報
を前記メモリ管理ユニットに与える動作の他に、所定の
認証動作を含む、ことを特徴とするプログラムの不正実
行防止機能付きプロセッサである。

【００２０】ここで、前記所定の認証動作は、前記プロ
セッサ内部に格納された識別情報と前記プロセッサの外
部から供給された識別情報との比較動作を含んでいても
よい。

【００２１】認証に用いられる識別情報は、前記プロセ
ッサに固有のプロセッサＩＤとソフトウェア・プログラ
ムに固有のソフトウェアＩＤとで構成されていてもよ
い。

【００２２】あるいは、識別情報は、前記プロセッサが
内部的に発生した乱数とソフトウェア・プログラムに固
有のソフトウェアＩＤとで構成されていてもよい。

【００２３】また、前記所定の認証動作が成功裡に終わ
ったときには実行すべきプログラムの識別番号とアドレ
ス情報・属性情報を前記メモリ管理ユニットに与える動
作を許可するが、前記所定の認証動作が失敗したときに
は実行すべきプログラムの識別番号とアドレス情報・属
性情報を前記メモリ管理ユニットに与える動作を禁止す
るようにしてもよい。

【００２４】第２の側面に係る不正実行防止機能付きプ
ロセッサは、さらに、前記プロセッサＩＤを暗号化して
前記バス・インターフェース経由で外部に出力する暗号
化手段と、暗号化された識別情報を前記バス・インター
フェース経由で外部から受け取るとともに復号化してプ
ロセッサＩＤとソフトウェアＩＤを取り出す復号化手段
とを含み、前記所定の認証動作は各ＩＤ同士の比較動作
を含んでいてもよい。

【００２５】また、本発明の第２の側面は、メイン・メ
モリ上にプログラム・コードやデータを読み出し／書き
込み動作しながら所定の処理を実行するタイプの、プロ
グラムの不正実行防止機能付きプロセッサであって、前
記プロセッサの外部とインストラクションやデータの授
受を行うバス・インターフェースと、受け取ったインス
トラクションの解読を行うデコーダと、１以上のインス
トラクションについての手順を格納した内蔵メモリと、
１以上のインストラクションについての手順を実装した
論理回路と、前記内蔵メモリに格納された手順や前記論
理回路に実装された手順に従ってインストラクションを
実行する制御ユニットと、前記プロセッサに固有のプロ
セッサＩＤと、前記メイン・メモリを管理する機能を持
つメモリ管理ユニットとを含み、前記内蔵メモリ又は前
記論理回路のうちの１つは前記メイン・メモリ上のプロ
グラム・コードの実行を許可する実行許可インストラク
ションの手順を格納しており、且つ、前記実行許可イン
ストラクションの手順は、実行すべきプログラムの識別
情報とアドレス情報・属性情報を前記メモリ管理ユニッ
トに与える動作の他に、所定の認証動作を含む、ことを
特徴とするプログラムの不正実行防止機能付きプロセッ
サ。

【００２６】第２の側面に係る不正実行防止機能付きプ
ロセッサは、さらに、前記プロセッサＩＤを暗号化して
前記バス・インターフェース経由で外部に出力する暗号
化手段と、暗号化された識別情報を前記バス・インター
フェース経由で外部から受け取るとともに復号化してプ
ロセッサＩＤとソフトウェアＩＤを取り出す復号化手段
とを含み、前記所定の認証動作は各ＩＤ同士の比較動作
を含んでいてもよい。

【００２７】また、前記所定の認証動作が成功裡に終わ
ったときには実行すべきプログラムの識別番号とアドレ
ス情報・属性情報を前記メモリ管理ユニットに与える動
作を許可するが、前記所定の認証動作が失敗したときに
は実行すべきプログラムの識別番号とアドレス情報・属
性情報を前記メモリ管理ユニットに与える動作を禁止す
るようにしてもよい。

【００２８】また、本発明の第３の側面は、メイン・メ
モリ上にプログラム・コードやデータを読み出し／書き
込み動作しながら所定の処理を実行するタイプの、プロ
グラムの不正実行防止機能付きプロセッサであって、前
記プロセッサの外部とインストラクションやデータの授
受を行うバス・インターフェースと、受け取ったインス
トラクションの解読を行うデコーダと、１以上のインス
トラクションについての手順を格納した内蔵メモリと、
１以上のインストラクションについての手順を実装した
論理回路と、前記内蔵メモリに格納された手順や前記論
理回路に実装された手順に従ってインストラクションを
実行する制御ユニットと、乱数発生ユニットと、前記メ
イン・メモリを管理する機能を持つメモリ管理ユニット
とを含み、前記内蔵メモリ又は前記論理回路のうちの１
つは前記メイン・メモリ上のプログラム・コードの実行
を許可する実行許可インストラクションの手順を格納し
ており、且つ、前記実行許可インストラクションの手順
は、実行すべきプログラムの識別情報とアドレス情報・
属性情報を前記メモリ管理ユニットに与える動作の他
に、所定の認証動作を含む、ことを特徴とするプログラ
ムの不正実行防止機能付きプロセッサである。

【００２９】第３の側面に係る不正実行防止機能付きプ
ロセッサは、さらに、前記乱数発生ユニットが発生する
乱数を前記バス・インターフェース経由で外部に出力す
る乱数出力手段と、暗号化された識別情報を前記バス・
インターフェース経由で外部から受け取るとともに復号
化して乱数とソフトウェアＩＤを取り出す復号化手段と
を含み、前記所定の認証動作は乱数及びソフトウェアＩ
Ｄの比較動作を含んでいてもよい。

【００３０】また、前記所定の認証動作が成功裡に終わ
ったときには実行すべきプログラムの識別番号とアドレ
ス情報・属性情報を前記メモリ管理ユニットに与える動
作を許可するが、前記所定の認証動作が失敗したときに
は実行すべきプログラムの識別番号とアドレス情報・属
性情報を前記メモリ管理ユニットに与える動作を禁止す
るようにしてもよい。

【００３１】

【作用】本発明に係るプロセッサは、メイン・メモリ上
のコード／データの格納動作を管理するためのメモリ管
理ユニットを内蔵するタイプであり、且つ、インストラ
クション・セットの１つとして、メイン・メモリ上のプ
ログラム・コード（アプリケーション）の実行を許可す
る実行許可インストラクションを含んでいる。

【００３２】この種の実行許可インストラクションは、
一般には、実行すべきプログラムの識別番号と、プログ
ラムの格納アドレス、プログラムの属性情報をメモリ管
理ユニットにセットする、という手続（例えば"LOAD MM
U …"というコードで記述される）を含んでいる。イン
ストラクションの手続はマイクロプログラムによって定
義される。

【００３３】本発明では、この実行許可インストラクシ
ョンは、メモリ管理ユニットに所定のデータをセットす
る手続の他に、プログラムの使用権を認証するための認
証手続を含んでいる。この認証動作は、例えば、プロセ
ッサ内部で保持された識別情報と、プロセッサの外部
（例えばソフトウェア・プログラムの供給者）から供給
された識別情報との比較によって行われる。そして、こ
の認証処理が成功裡に終わったときのみ、ソフトウェア
・プログラムの実行が許可される。

【００３４】認証手続に用いる識別情報は、例えば、プ
ロセッサに固有（例えば製造時に与えられる）プロセッ
サＩＤと、ソフトウェア・プログラムに固有に与えられ
るソフトウェアＩＤとで構成される。あるいは、識別情
報は、プロセッサが時々刻々発生する乱数と、ソフトウ
ェア・プログラムに固有に与えられるソフトウェアＩＤ
とで構成される。

【００３５】このような認証動作は、プロセッサ内部で
実行されるので、外部から監視・検出することは殆ど不
可能である。また、認証手続は、プログラムの実行許可
を意味するインストラクションを記述したマイクロプロ
グラムの中に含まれているので、そもそも認証手続の存
在自体が外部から隠された格好となる。したがって、本
発明によればプログラムの不正実行の防止を大幅に強化
することができる。

【００３６】また、認証処理に用いる識別情報として、
プロセッサ・チップが固有に持つプロセッサＩＤを使用
することによって、ある特定のソフトウェア・プログラ
ムの使用権を単一のプロセッサに限定することができ
る。この意味においても、プログラムの不正実行は強固
に禁止されていると言えよう。

【００３７】本発明のさらに他の目的、特徴や利点は、
後述する本発明の実施例や添付する図面に基づくより詳
細な説明によって明らかになるであろう。

【００３８】

【発明の実施の形態】以下、図面を参照しながら本発明
の実施例を詳解する。

【００３９】第１の実施の形態 図１には、本発明の第１の実施形態に係るコンピュータ
・システム２００及びプロセッサ１００のハードウェア
構成を模式的に示している。コンピュータ・システム２
００は、システム２００の中核的な制御を行うプロセッ
サ１００の外に、メイン・メモリ５０や各種周辺装置を
含んでいる。以下、各部について説明する。

【００４０】プロセッサ１００の外部ピンに直結したプ
ロセッサ・バス１０１は、ブリッジ回路６０経由でシス
テム・バス７０に接続されている。ブリッジ回路６０
は、プロセッサ・バス１０１とシステム・バス７０間の
動作速度の相違を吸収するためのデータ・バッファや、
メイン・メモリ５０へのアクセス動作を制御するための
メモリ・コントローラを含んでいる。

【００４１】メイン・メモリ５０は、プロセッサ１００
が実行するプログラム・コードや処理データを一時格納
するための読み書き可能メモリであり、通常は、１以上
のＤＲＡＭ（ダイナミックＲＡＭ）チップで構成され
る。メイン・メモリ５０上で展開されるメモリ空間は、
メモリ管理ユニット１５（後述）によって管理される。

【００４２】システム・バス７０には、ＰＣＩ（Periph
eral Component Interconnect）バスやＩＳＡ（Industr
y Standard Architecture）バスが該当し、各種周辺装
置が相互接続されている。周辺装置には、例えばキーボ
ードやディスプレイなどのコンソール類（図示しな
い）、ハード・ディスク・ドライブ（ＨＤＤ）８１、フ
レキシブル・ディスク・ドライブ（ＦＤＤ）８２、ＣＤ
−ＲＯＭドライブ８３などの外部記憶装置類、外部ネッ
トワークと接続するためのネットワーク・インターフェ
ース・カード（ＮＩＣ）９０、シリアル・ポート経由で
シリアル・データの入出力を行うためのシリアルＩ／Ｏ
コントローラ９１などが含まれる。なお、バス７０上の
動作は、ロジック・アナライザなどを用いて解析するこ
とができる。

【００４３】ソフトウェア供給業者は、通常、フレキシ
ブル・ディスクやＣＤ−ＲＯＭなどの記憶媒体の形態で
ソフトウェア・プログラムを一般ユーザに配布する。各
ユーザは、これら記憶媒体を所定のドライブ・ユニット
に装填し、ＨＤＤ８１にコピーすることによって、ソフ
トウェア・プログラムをシステム２００にインストール
すなわち利用可能な状態に置くようになっている。ま
た、最近では、インターネットなどの外部ネットワーク
経由でソフトウェア・プログラムが配布されることも多
くなってきている（周知）。

【００４４】プロセッサ１００は、当業界においてＣＰ
Ｕ（Central Processing Unit）若しくはＭＰＵ（Micro
Processing Unit）と呼ばれるものである。プロセッサ
１００は、通常はマザー・ボード（図示しない）上に搭
載される回路チップであり、各入出力装置（図示しな
い）を制御してデータの授受を行ったり、データを演算
処理し、処理結果をメイン・メモリ５０上に記憶したり
するなどのコンピュータ・システム２００の中枢機能を
果たしている。

【００４５】図１に示すように、本実施形態に係るプロ
セッサ１００は、バス・インターフェース１１と、デコ
ーダ１２と、制御ユニット１３と、マイクロコードＲＯ
Ｍ１４と、メモリ管理ユニット１５と、プロセッサＩＤ
１６と、暗号化復号化ユニット１７とを含んでいる。

【００４６】バス・インターフェース１１は、プロセッ
サ１００外部のコンポーネントととの間でインストラク
ションやデータを授受するためのユニットである。バス
・インターフェース１１は、プロセッサ・バス１０１と
直結している。なお、プロセッサ・バス１０１は、ブリ
ッジ回路６０を経由してメイン・メモリ５０やシステム
・バス７０と相互接続されている。

【００４７】デコーダ１２は、バス・インターフェース
１１経由で受け取ったインストラクションを解釈して、
制御ユニット１３が理解できる形式に変換するためのユ
ニットである。

【００４８】制御ユニット１３は、インストラクション
を実行する手順を整えるユニットである。実行するイン
ストラクションは、ワイヤード・ロジック（配線論理）
で実行するタイプと、マイクロ・プログラムで実行する
タイプの２つに大別される。前者の場合は、インストラ
クションの実行制御に必要な論理を直線的に実装した順
序回路が用いられる。また、後者の場合には、インスト
ラクションはマイクロコード（又はピココード）と呼ば
れるさらに細かいコードの集合（すなわちマイクロプロ
グラム）で構成されており、該当するマイクロプログラ
ムをマイクロコードＲＯＭ１４から読み出して実行する
ことになる。なお、１つのプロセッサで利用できるイン
ストラクション全体を「インストラクション・セット」
と呼ぶ。

【００４９】マイクロコードＲＯＭ１４は、インストラ
クションの実行に必要なマイクロコードを格納した読み
出し専用メモリである。言い換えれば、マイクロコード
ＲＯＭ１４は、各インストラクションの実行手順を定義
した不揮発メモリである。例えば、"ＬＯＡＤ"、"ＳＴ
ＯＲＥ"、"ＭＯＶＥ"などのインストラクションは、あ
る変数をプロセッサ１００内のレジスタ（図示しない）
に書き込むためのインストラクションであるが、これら
の動作の詳細をマイクロコードＲＯＭ１４内で記述する
ことによって定義することができる。

【００５０】メモリ管理ユニット（ＭＭＵ）１５は、プ
ログラム・コードやデータをメイン・メモリ５０上に展
開するなど、プロセッサ１００のメモリ空間を管理する
ためのユニットである。メモリ管理ユニット１５は、通
常、仮想記憶機能とメモリ保護機能という２つの機能を
提供している。仮想記憶機能とは、論理アドレスを物理
アドレスに変換したり、物理アドレスに該当するブロッ
ク（ページ）がメイン・メモリ上に存在しないときに外
部記憶装置との間でブロック（ページ）の入れ替え（す
なわち「スワッピング」）を行う機能のことである。ま
た、メモリ保護機能とは、１つのプログラムで生じた障
害が他のプログラムに影響を及ぼさないようにする機能
のことである。

【００５１】また、メモリ管理ユニット１５は、メモリ
空間上に存在する各プログラムのアドレス情報や属性情
報を管理するためのＭＭＵテーブルを備えている。図２
には、ＭＭＵテーブルの構造や機能を模式的に図解して
いる。ＭＭＵテーブルの各エントリは、該当するプログ
ラムのアドレスとフラグを格納する各フィールドを含ん
でいる。フラグはプログラムの属性情報（例えばプログ
ラムが実行形式か、読み出し専用か、読み書き可能か）
を示している。

【００５２】メモリ空間上の各プログラムは、夫々に固
有のプログラムＩＤを有している。あるプログラムをプ
ロセッサ１００に実行させるためには、メモリ管理ユニ
ット１５にプログラムＩＤとそのアドレス情報・属性情
報を与える旨のプログラム・コードを制御ユニット１３
に供給すればよい。メモリ管理ユニット１５は、自身の
ＭＭＵテーブルを参照して、該当するプログラムの実行
を許可する仕組みとなっている。下式は、あるプログラ
ムの実行を許可するための疑似コードを記述したもので
ある。

【００５３】

【数１】 Mov R1,Program_ID （レジスタＲ１にプログラムＩＤをセットせよ） Mov R2,Memory_Address_&Flag （レジスタＲ２にアドレスとフラグをセットせよ） Load MMU, R1,R2 （メモリ管理ユニットにレジスタＲ１とＲ２の内容をセ
ットせよ） Jmp Application (アプリケーションにジャンプせよ）

【００５４】上記コード中の"Ｍｏｖ"や"Ｌｏａｄ"など
は、プロセッサ１００に対するインストラクションであ
り、レジスタへの変数のセット等を意味する。各インス
トランションの詳細な実行手順は、ワイヤード・ロジッ
ク又はマイクロコードＲＯＭ１４で定義されたマイクロ
プログラムのいずれかの形態で定義されている（上
述）。

【００５５】上記疑似コードのうち"Ｌｏａｄ ＭＭＵ
…"なるステップは、実質上、アプリケーションの実
行を許可するためのインストラクションである。本実施
例では、この"Ｌｏａｄ ＭＭＵ …"インストラクショ
ンは、マイクロプログラムという形態で実装され、メモ
リ管理ユニット１５への変数セットの他に、所定の認証
手続が含まれている。

【００５６】この認証手続は、マイクロプログラム中で
記述されているので、プロセッサ１００の外部からは認
証手続の存在自体が見えない。認証手続は、プロセッサ
・チップ１００内部で完結的に実行されるので、この動
作を外部から監視することは殆ど不可能である。したが
って、"Ｌｏａｄ ＭＭＵ …"インストラクションを発
行した外部プログラムからは全く見えない状態で、プロ
セッサ１００はこの認証手続を実行することができる。
但し、認証手続の詳細は後述する。

【００５７】プロセッサＩＤ１６は、プロセッサ１００
に固有の識別情報（通常はシリアルな番号で構成され
る）であり、例えば製造時に一義的に付与される。プロ
セッサＩＤ１６の実体は、不揮発メモリ（図示しない）
に書き込まれた数値・文字データであり、制御ユニット
１３によって適宜読み出される。

【００５８】暗号化復号化ユニット１７は、所定のデー
タを暗号化したり、逆に暗号化されたデータを復号化す
るための演算ユニットである。例えば、プロセッサＩＤ
１６のような秘匿性の高いデータは、暗号化復号化ユニ
ット１７によって予め暗号化してから、バス・インター
フェース１１経由でプロセッサ１００の外部に出力され
る。逆に、暗号化されたデータ（例えばソフトウェア供
給者から渡されるＫｅｙ：後述）の復号化も行う。

【００５９】暗号化及び復号化の方式は、共通鍵、公開
鍵のうちいずれの方式を採用してもよい。後者の公開鍵
方式は、公開鍵と秘密鍵という一組の暗号鍵が用いら
れ、一方の鍵で暗号化したときには他方の鍵でしか復号
化できない。例えば、第３者が公開鍵で暗号化したデー
タは秘密鍵を持つ本人しか復号化できないので、秘密情
報を安全に交換することができる（周知）。

【００６０】なお、プロセッサ１００を構成するために
は、図１に示した以外にも多くのユニット等が必要であ
る。図１から省略されたユニットの例は、整数同士の算
術演算と論理演算（ＡＮＤ，ＯＲ，ＮＯＴ）を担当する
ＡＬＵ（Arithmetic and Logic Unit）や、実数（浮動
小数点等）演算を担当するＦＰＵ（Floating-Point Uni
t）、インストラクションの実行手順を直線的に実装し
た配線論理回路（ＰＬＡ：Programmable Logic Arra
y）、入出力用のレジスタなどである。但し、これらは
当業者には周知であり、また、本発明の要旨を構成する
ものではないので、本明細書中では省略している。ま
た、図面の錯綜を回避するため、図中の各ハードウェア
・ブロック間の接続も一部しか図示していない点を了承
されたい。

【００６１】次いで、プロセッサ１００によるプログラ
ム保護動作について、図３を参照しながら説明する。

【００６２】ソフトウェア供給業者は、保護対象たるソ
フトウェア・プログラムをフレキシブル・ディスク又は
ＣＤ−ＲＯＭなどの記憶媒体に格納した形態で、市場に
流通する。このソフトウェア・プログラムには、固有の
識別情報すなわちソフトウェアＩＤ（通常はシリアルな
番号で構成される）が付されている。ユーザは、フレキ
シブル・ディスク又はＣＤ−ＲＯＭなどの記憶媒体をソ
フトウェア供給業者から購入するという形態で、ソフト
ウェア・プログラムの限定的な使用権を取得する（記憶
媒体の購入は、ソフトウェァの著作権や無制限な使用権
を全く意味しない点に充分留意されたい）。そして、ユ
ーザは、記憶媒体を所定のドライブ・ユニット８１／８
２に装填して、ソフトウェア・プログラムをシステム２
００のハード・ディスク８１上にインストールする。

【００６３】このインストール作業には、プロセッサＩ
Ｄ１６を共通鍵により暗号化する手続（ステップＳ１０
０）と、暗号化したプロセッサＩＤをソフトウェア供給
業者に送付する手続（ステップＳ１０２）を含んでい
る。暗号化処理は、暗号化復号化ユニット１７を用いて
行われる。送付手続は、ソフトウェア業者に対するＫｅ
ｙ（後述）の要求を意味する。なお、送付手続は、郵送
に依る他、ＮＩＣ９０で接続された外部ネットワーク経
由での伝送という形態で行ってもよい。

【００６４】ソフトウェア供給業者は、受け取った暗号
情報を復号化して、元のプロセッサＩＤを得る（ステッ
プＳ１０４）。そして、このプロセッサＩＤと、業者自
身が手元で管理しているソフトウェアＩＤとを一体化し
て、共通鍵により暗号化することによってＫｅｙを生成
する（ステップＳ１０６）。Ｋｅｙは、プロセッサＩＤ
とソフトウェアＩＤとを１つのコードとして同時に暗号
化したものであり、各々に切り離すことはできない。Ｋ
ｅｙは、ソフトウェアの使用不能状態を解く鍵としての
性質を持ち、郵送あるいはネットワーク経由でユーザに
返送される（ステップＳ１０８）。

【００６５】このＫｅｙを取得した状態で、コンピュー
タ・システム２００上でソフトウェア・プログラムの実
行が促されたとする。これは、例えばＯＳ（オペレーテ
ィング・システム）のような外部プログラムが"ＬＯＡ
Ｄ ＭＭＵ…"のような実行許可インストラクションを
発行して、メモリ管理ユニット１５にプログラムＩＤと
プログラムの格納番地／属性情報がセットすることによ
り、実現される。

【００６６】本実施例の実行許可インストラクションに
該当する処理手続は、図３の破線ブロックで囲まれてい
る。実行許可は、メモリ管理ユニット１５への各変数の
セット以外に所定の認証手続を含んでいる。

【００６７】当該インストラクションが発行されると、
プロセッサ１００は、まず、受け取っているＫｅｙを復
号化して、プロセッサＩＤとソフトウェアＩＤとを取得
する（ステップＳ１１０）。復号化処理は、暗号化復号
化ユニット１７を用いて行われる。

【００６８】次いで、プロセッサ１００は、復号化して
得られたプロセッサＩＤとソフトウェアＩＤを、プロセ
ッサ１００自身に内蔵されたプロセッサＩＤ、及び装填
した記憶媒体から得られたソフトウェアＩＤの各々と比
較する（ステップＳ１１２）。

【００６９】この比較の結果、照合に失敗したならば、
メモリ管理ユニット１５によるプログラムの実行は拒否
される（ステップＳ１１４）。他方、照合が成功裡に終
わったならば、メモリ管理ユニット１５によるプログラ
ムの実行は肯定され（ステップＳ１１６）、プログラム
が実行される（ステップＳ１１８）。

【００７０】このような実行許可インストラクションの
手続は、例えばマイクロコードＲＯＭ１４中で、上述の
ようなインストラクションの処理手続を記述することに
よって実現可能である。

【００７１】ステップＳ１１０〜Ｓ１１６は、"Ｌｏａ
ｄ ＭＭＵ …"という単一のインストラクションで実
行される。該インストラクションを記述した疑似マイク
ロプログラム・コードを、以下に示しておく。

【００７２】

【数２】 mtspr IBAT0, Rs1, Rs2 （Ｒｓ１にプログラムのアドレスとフラグを、 Ｒｓ２にソフト供給業者から得たキーを、夫々セットする） ld temp_reg1, Rs2 （キーを取得する） decrypt temp_reg1 （プロセッサ１００に内蔵された共通鍵で復号化する） cmp temp_reg1, temp_reg3 （ＩＤどうしを比較照合する） jne unmatched ld temp_reg1, Rs （Ｒｓにプログラムのアドレスとフラグをセットする） st IBAT0, temp_reg1 set flag_good end_of_instruction unmatched; set flag_bad end_of_instruction

【００７３】このようなマイクロプログラムに従った認
証手続は、外部プログラムからは全く見えない状態で実
行される。本実施例に係る認証手続は、プロセッサ・チ
ップ１００内部で完結されるので、プロセッサ１００外
部からの監視は殆ど不可能なのである。

【００７４】第２の実施の形態 本発明の第２の実施例は、図１に示したものと等価なハ
ードウェア構成により具現される。但し、第１の実施例
との相違点は、共通鍵ではなく公開鍵方式で暗号化する
点にある。図４には、第２の実施例に係るプログラム保
護動作をフローチャートにして示している。以下、図４
を参照しながら説明する。

【００７５】ソフトウェア供給業者は、保護対象たるソ
フトウェア・プログラムをレキシブル・ディスク又はＣ
Ｄ−ＲＯＭなどの記憶媒体に格納した形態で、市場に流
通する。このソフトウェア・プログラムには、固有の識
別情報すなわちソフトウェアＩＤ（通常はシリアルな番
号で構成される）が付されている。ユーザは、フレキシ
ブル・ディスク又はＣＤ−ＲＯＭなどの記憶媒体をソフ
トウェア供給業者から購入するという形態で、ソフトウ
ェア・プログラムの限定的な使用権を取得する（記憶媒
体の購入は、ソフトウェァの著作権や無制限な使用権を
全く意味しない点に充分留意されたい）。そして、ユー
ザは、記憶媒体を所定のドライブ・ユニット８１／８２
に装填して、ソフトウェア・プログラムをシステム２０
０のハード・ディスク８１上にインストールする。

【００７６】このインストール作業には、プロセッサＩ
Ｄ１６を暗号化する手続（ステップＳ２００）と、暗号
化したプロセッサＩＤ及びプロセッサ１００に内蔵され
た公開鍵をソフトウェア供給業者に送付する手続（ステ
ップＳ２０２）を含んでいる。暗号化処理は、暗号化復
号化ユニット１７が、ソフトウェア供給業者から与えら
れた公開鍵を用いて行われる。送付手続は、ソフトウェ
ア供給業者に対するＫｅｙ（後述）の要求を意味する。
なお、送付手続は、郵送に依る他、ＮＩＣ９０で接続さ
れた外部ネットワーク経由での伝送という形態で行って
もよい。

【００７７】ソフトウェア供給業者は、受け取った暗号
情報を、自分の秘密鍵を用いて復号化して、元のプロセ
ッサＩＤを得る（ステップＳ２０４）。そして、このプ
ロセッサＩＤと、業者自身が手元で管理しているソフト
ウェアＩＤとを一体化して、再びプロセッサ１００の公
開鍵を用いて暗号化して、Ｋｅｙを生成する（ステップ
Ｓ２０６）。Ｋｅｙは、プロセッサＩＤとソフトウェア
ＩＤとを１つのコードとして同時に暗号化したものであ
り、各々に切り離すことはできない。Ｋｅｙは、ソフト
ウェアの使用不能状態を解く鍵としての性質を持ち、郵
送あるいはネットワーク経由でユーザに返送される（ス
テップＳ２０８）。

【００７８】このＫｅｙを取得した状態で、コンピュー
タ・システム２００上でソフトウェア・プログラムの実
行が促されたとする。これは、例えばＯＳ（オペレーテ
ィング・システム）のような外部プログラムが"ＬＯＡ
Ｄ ＭＭＵ…"のような実行許可インストラクションを
発行して、メモリ管理ユニット１５にプログラムＩＤと
プログラムの格納番地／属性情報がセットすることによ
り、実現される。

【００７９】本実施例の実行許可インストラクションに
該当する処理手続は、図４の破線ブロックで囲まれてい
る。実行許可は、メモリ管理ユニット１５への各変数の
セット以外に所定の認証手続を含んでいる。

【００８０】当該インストラクションが発行されると、
プロセッサ１００は、受け取っているＫｅｙを復号化し
て、プロセッサＩＤとソフトウェアＩＤとを取得する
（ステップＳ２１０）。復号化処理は、暗号化復号化ユ
ニット１７が、プロセッサ１００自身に内蔵された秘密
鍵を用いて行う。

【００８１】次いで、プロセッサ１００は、復号化して
得られたプロセッサＩＤとソフトウェアＩＤを、プロセ
ッサ１００自身に内蔵されたプロセッサＩＤ、及び装填
した記憶媒体から得られたソフトウェアＩＤの各々と比
較する（ステップＳ２１２）。

【００８２】この比較の結果、照合に失敗したならば、
メモリ管理ユニット１５によるプログラムの実行は拒否
される（ステップＳ２１４）。他方、照合が成功裡に終
わったならば、メモリ管理ユニット１５によるプログラ
ムの実行は肯定され（ステップＳ２１６）、プログラム
が実行される（ステップＳ２１８）。

【００８３】このような実行許可インストラクションの
手続は、例えばマイクロコードＲＯＭ１４中で、上述の
ようなインストラクションの処理手続を記述することに
よって実現可能である。

【００８４】ステップＳ２１０〜Ｓ２１６は、"Ｌｏａ
ｄ ＭＭＵ …"という単一のインストラクションで実
行される。該インストラクションを記述した疑似マイク
ロプログラム・コードを、以下に示しておく。

【００８５】

【数３】 mtspr IBAT0, Rs1, Rs2 （Ｒｓ１にプログラムのアドレスとフラグを、 Ｒｓ２にソフト供給業者から得たキーを、夫々セットする） ld temp_reg1 （キーを取得する） decrypt temp_reg1 （プロセッサ１００に内蔵された秘密鍵で復号化する） cmp temp_reg1, temp_reg3 （ＩＤどうしを比較照合する） jne unmatched ld temp_reg1, Rs （Ｒｓにプログラムのアドレスとフラグをセットする） st IBAT0, temp_reg1 set flag_good end_of_instruction unmatched; set flag_bad end_of_instruction

【００８６】このようなマイクロプログラムに従った認
証手続は、外部プログラムからは全く見えない状態で実
行される。本実施例に係る認証手続は、プロセッサ・チ
ップ１００内部で完結されるので、プロセッサ１００外
部からの監視は殆ど不可能なのである。

【００８７】第３の実施の形態 本発明の第３の実施例は、プロセッサ１００が持つプロ
セッサＩＤを用いず、これに代わって時々刻々発生する
乱数を用いるとともに、セキュリティ・デバイス９５と
の協働的動作によってプログラム保護を行う点で、上述
の第１及び第２の実施例とは相違する。

【００８８】図５には、本発明の第３の実施の形態に係
るコンピュータ・システム２００及びプロセッサ１００
のハードウェア構成を模式的に示している。以下、各部
について説明する。

【００８９】プロセッサ１００の外部ピンに直結したプ
ロセッサ・バス１０１は、ブリッジ回路６０経由でシス
テム・バス７０に接続されている。ブリッジ回路６０
は、プロセッサ・バス１０１とシステム・バス７０間の
動作速度の相違を吸収するためのデータ・バッファや、
メイン・メモリ５０へのアクセス動作を制御するための
メモリ・コントローラを含んでいる。

【００９０】メイン・メモリ５０は、プロセッサ１００
が実行するプログラム・コードや処理データを一時格納
するための読み書き可能メモリであり、通常は、１以上
のＤＲＡＭ（ダイナミックＲＡＭ）チップで構成され
る。メイン・メモリ５０上で展開されるメモリ空間は、
メモリ管理ユニット１５によって管理される。

【００９１】システム・バス７０には、ＰＣＩ（Periph
eral Component Interconnect）バスやＩＳＡ（Industr
y Standard Architecture）バスが該当し、各種周辺装
置が相互接続されている。周辺装置には、例えばキーボ
ードやディスプレイなどのコンソール類（図示しな
い）、ハード・ディスク・ドライブ（ＨＤＤ）８１、フ
レキシブル・ディスク・ドライブ（ＦＤＤ）８２、ＣＤ
−ＲＯＭドライブ８３などの外部記憶装置類、外部ネッ
トワークと接続するためのネットワーク・インターフェ
ース・カード（ＮＩＣ）９０、シリアル・ポート経由で
シリアル・データの入出力を行うためのシリアルＩ／Ｏ
コントローラ９１などが含まれる。なお、バス７０上の
動作は、ロジック・アナライザなどを用いて解析するこ
とができる。

【００９２】本実施例では、シリアル・ポートにはセキ
ュリティ・デバイス９５が外部接続されている。セキュ
リティ・デバイス９５は、保護対象たるソフトウェア・
プログラムに付随する性質を持ち、ソフトウェアＩＤを
格納する他、共通鍵又は公開鍵いずれかの方式による暗
号化ユニットを含んでいる。セキュリティ・デバイス９
５の動作については後述する。

【００９３】ソフトウェア供給業者は、通常、フレキシ
ブル・ディスクやＣＤ−ＲＯＭなどの記憶媒体の形態で
ソフトウェア・プログラムを配布する。各ユーザは、こ
れら記憶媒体を所定のドライブ・ユニットに装填し、Ｈ
ＤＤ８１にコピーすることによって、ソフトウェア・プ
ログラムをシステムにインストールすなわち利用可能な
状態に置くようになっている。また、最近では、インタ
ーネットなどの外部ネットワーク経由でソフトウェア・
プログラムが配布されることも多くなっている。

【００９４】プロセッサ１００は、当業界においてＣＰ
Ｕ（Central Processing Unit）若しくはＭＰＵ（Micro
Processing Unit）と呼ばれるものである。プロセッサ
１００は、通常はマザー・ボード（図示しない）上に搭
載される回路チップであり、各入出力装置（図示しな
い）を制御してデータの授受を行ったり、データを演算
処理し、処理結果をメイン・メモリ５０上に記憶したり
するなどのコンピュータ・システム（図示しない）の中
枢機能を果たしている。

【００９５】図５に示すように、本実施形態に係るプロ
セッサ１００は、バス・インターフェース１１と、デコ
ーダ１２と、制御ユニット１３と、マイクロコードＲＯ
Ｍ１４と、メモリ管理ユニット１５と、暗号化復号化ユ
ニット１７と、乱数発生ユニット１８とを含んでいる。

【００９６】バス・インターフェース１１は、プロセッ
サ１００外部のコンポーネントとの間でインストラクシ
ョンやデータを授受するためのユニットである。バス・
インターフェース１１は、プロセッサ・バス１７と直結
している。なお、プロセッサ・バス１７は、ブリッジ回
路６０を経由してメイン・メモリ５０やシステム・バス
７０と相互接続されている。

【００９７】デコーダ１２は、バス・インターフェース
で受け取ったインストラクションを解釈して、制御ユニ
ット１３が理解できる形式に変換するためのユニットで
ある。

【００９８】制御ユニット１３は、インストラクション
を実行する手順を整えるユニットである。実行するイン
ストラクションは、ワイヤード・ロジック（配線論理）
で実行するタイプと、マイクロ・プログラムで実行する
タイプの２つに大別される。前者の場合は、インストラ
クションの実行制御に必要な論理を直線的に実装した順
序回路が用いられる。また、後者の場合には、インスト
ラクションはマイクロコード（又はピココード）と呼ば
れるさらに細かいコードの集合（すなわちマイクロプロ
グラム）で構成されており、該当するマイクロプログラ
ムをマイクロコードＲＯＭ１４から読み出して実行する
ことになる。なお、１つのプロセッサで利用できるイン
ストラクション全体を「インストラクション・セット」
と呼ぶ。

【００９９】マイクロコードＲＯＭ１４は、インストラ
クションの実行に必要なマイクロードを格納した読み出
し専用メモリである。言い換えれば、マイクロコードＲ
ＯＭ１４は、各インストラクションの実行手順を定義し
た不揮発メモリである。例えば、"ＬＯＡＤ"、"ＳＴＯ
ＲＥ"、"ＭＯＶＥ"などのインストラクションは、ある
変数をプロセッサ１００内のレジスタ（図示しない）に
書き込むためのインストラクションであるが、これらの
動作の詳細をマイクロコードＲＯＭ１４内で記述するこ
とによって定義することができる。

【０１００】メモリ管理ユニット（ＭＭＵ）１５は、プ
ログラム・コードやデータをメイン・メモリ上に展開す
るなど、プロセッサ１００のメモリ空間を管理するため
のユニットである。メモリ管理ユニット１５は、通常、
仮想記憶機能とメモリ保護機能という２つの機能を提供
している。仮想記憶機能とは、論理アドレスを物理アド
レスに変換したり、物理アドレスに該当するブロック
（ページ）がメイン・メモリ上に存在しないときに外部
記憶装置との間でブロック（ページ）の入れ替え（すな
わち「スワッピング」）を行う機能のことである。ま
た、メモリ保護機能とは、１つのプログラムで生じた障
害が他のプログラムに影響を及ぼさないようにする機能
のことである。

【０１０１】また、メモリ管理ユニット１５は、メモリ
空間上に存在する各プログラムのアドレス情報や属性情
報を管理するためのＭＭＵテーブルを備えている。ＭＭ
Ｕテーブルの構造や機能は図２を参照した上記説明と略
同一なので、ここでは説明を省略する。

【０１０２】あるプログラムをプロセッサ１００に実行
させるためには、メモリ管理ユニット１５にプログラム
ＩＤとそのアドレス情報・属性情報を与える旨のプログ
ラム・コードを制御ユニット１３に供給すればよい。一
般には、"Ｌｏａｄ ＭＭＵ…"なるインストラクション
によって、実質上、アプリケーションの実行が許可され
る。

【０１０３】本実施例では、この"Ｌｏａｄ ＭＭＵ
…"インストラクションは、マイクロプログラムという
形態で実装され、メモリ管理ユニット１５への各変数セ
ットの他に、所定の認証手続が含まれている。この認証
手続は、マイクロプログラム中で記述されているので、
プロセッサ１００の外部からは認証手続の存在自体が見
えない。認証手続は、プロセッサ・チップ１００内部で
完結的に実行されるので、この動作を外部から監視する
ことは殆ど不可能である。したがって、"Ｌｏａｄ Ｍ
ＭＵ …"インストラクションを発行した外部プログラ
ムからは全く見えない状態で、プロセッサ１００はこの
認証手続を実行することができる。但し、認証手続の詳
細は後述する。

【０１０４】暗号化復号化ユニット１７は、所定のデー
タを暗号化したり、逆に暗号化されたデータを復号化す
るための演算ユニットである。例えば、プロセッサ１０
０が外部に出力する乱数のように秘匿性のあるデータ
は、暗号化復号化ユニット１７によって予め暗号化して
から、バス・インターフェース１１経由でプロセッサ１
００の外部に出力される。逆に、暗号化されたデータ
（例えばソフトウェア供給者から渡されるＫｅｙ：後
述）の復号化も行う。

【０１０５】暗号化及び復号化の方式は、共通鍵、公開
鍵のうちいずれの方式を採用してもよい。後者の公開鍵
方式は、公開鍵と秘密鍵という一組の暗号鍵が用いら
れ、一方の鍵で暗号化したときには他方の鍵でしか復号
化できない。例えば、第３者が公開鍵で暗号化したデー
タは秘密鍵を持つ本人しか復号化できないので、秘密情
報を安全に送付することができる（周知）。

【０１０６】乱数発生ユニット１８は、時々刻々乱数を
発生するためのユニットであり、本実施例ではプロセッ
サＩＤの代わりに用いられる。乱数を用いるのは、固定
値を用いたのでは、認証手続を複数回重ねて動作を監視
することで見破られてしまう虞があるからである。

【０１０７】なお、プロセッサ１００を構成するために
は、図５に示した以外にも多くのユニット等が必要であ
る。図５から省略されたユニットの例は、整数同士の算
術演算と論理演算（ＡＮＤ，ＯＲ，ＮＯＴ）を担当する
ＡＬＵ（Arithmetic and Logic Unit）や、実数（浮動
小数点等）演算を担当するＦＰＵ（Floating-Point Uni
t）、インストラクションの実行手順を直線的に実装し
た配線論理回路（ＰＬＡ：Programmable Logic Arra
y）、入出力用のレジスタなどである。但し、これらは
当業者には周知であり、また、本発明の要旨を構成する
ものではないので、本明細書中では省略している。ま
た、図面の錯綜を回避するため、図中の各ハードウェア
・ブロック間の接続も一部しか図示していない点を了承
されたい。

【０１０８】次いで、プロセッサ１００によるプログラ
ム保護動作について、図６を参照しながら説明する。

【０１０９】ソフトウェア供給業者は、保護対象たるソ
フトウェア・プログラムをフレキシブル・ディスク又は
ＣＤ−ＲＯＭなどの記憶媒体に格納した形態で、市場に
流通する。このソフトウェア・プログラムには、固有の
識別情報すなわちソフトウェアＩＤ（通常はシリアルな
番号で構成される）が付されている。ユーザは、フレキ
シブル・ディスク又はＣＤ−ＲＯＭなどの記憶媒体をソ
フトウェア供給業者から購入するという形態で、ソフト
ウェア・プログラムの限定的な使用権を取得する（記憶
媒体の購入は、ソフトウェァの著作権や無制限な使用権
を全く意味しない点に充分留意されたい）。

【０１１０】本実施例が、上記第１及び第２の実施例と
相違するのは、ソフトウェア・プログラムを格納した記
憶媒体と一緒にセキュリティ・デバイス９５が配布され
る点である。ユーザは、ソフトウェア・プログラムをハ
ード・ディスク８１上にインストールするともに、セキ
ュリティ・デバイス９５をシリアル・ポートに外部接続
する（ステップＳ３００）。この実施例では、Ｋｅｙの
要求は、ソフトウェア供給業者ではなくセキュリティ・
デバイス９５に対して行われる（後述）。

【０１１１】コンピュータ・システム２００上でソフト
ウェア・プログラムの実行が促されたとする。これは、
例えばＯＳ（オペレーティング・システム）のような外
部プログラムが"ＬＯＡＤ ＭＭＵ…"のような実行許可
インストラクションを発行して、メモリ管理ユニット１
５にプログラムＩＤとプログラムの格納番地／属性情報
がセットすることにより、実現される。

【０１１２】本実施例の実行許可インストラクションに
該当する処理手続は、図６の破線ブロックで囲まれてい
る。実行許可は、メモリ管理ユニット１５への各変数の
セット以外に所定の認証手続を含んでいる。

【０１１３】当該インストラクションが発行されると、
プロセッサ１００は、まず、乱数発生ユニット１８が発
生した乱数をセキュリティ・デバイス９５に送ること
で、Ｋｅｙの要求を行う（ステップＳ３０２）。乱数の
送付はシステム・バス７０経由で行われる。但し、乱数
は時々刻々変化する性質を持ち、同じ乱数は一回しか使
用しないので、バス７０の動作をスヌープされてセキュ
リティが破られる可能性は極めて低い。

【０１１４】セキュリティ・デバイス９５は、受け取っ
た乱数と、自身が格納するソフトウェアＩＤとを一体化
して、共通鍵を用いて暗号化してＫｅｙを生成し、シス
テム・バス７０経由でプロセッサ１００に送り返す（ス
テップＳ３０４）。

【０１１５】プロセッサ１００は、共通鍵を用いてＫｅ
ｙを復号化して、乱数とソフトウェアＩＤとに分解する
（ステップＳ３０６）。復号化処理は、暗号化復号化ユ
ニット１７を用いて行われる。

【０１１６】次いで、プロセッサ１００は、復号化して
得られた乱数とソフトウェアＩＤを、プロセッサ１００
自身が保持する元の乱数、及び装填した記憶媒体から得
られたソフトウェアＩＤの各々と比較する（ステップＳ
３０８）。

【０１１７】この比較の結果、照合に失敗したならば、
メモリ管理ユニット１５によるプログラムの実行は拒否
される（ステップＳ３１０）。他方、照合が成功裡に終
わったならば、メモリ管理ユニット１５によるプログラ
ムの実行は肯定され（ステップＳ３１２）、プログラム
が実行される（ステップＳ３１４）。

【０１１８】このような実行許可インストラクションの
手続は、例えばマイクロコードＲＯＭ１４中で、上述の
ようなインストラクションの処理手続を記述することに
よって実現可能である。

【０１１９】ステップＳ３０２〜Ｓ３１２は、"Ｌｏａ
ｄ ＭＭＵ …"という単一のインストラクションで実
行される。該インストラクションを記述した疑似マイク
ロプログラム・コードを、以下に示しておく。

【０１２０】

【数４】 mtspr IBAT0, Rs1, Rs2 （Ｒｓ１にプログラムのアドレスとフラグを、 Ｒｓ２にソフト供給業者から得たキーを、夫々セットする） ld temp_reg1，Rs2 （ＩＤを取得する） gen temp_reg2 （乱数を発生する） end Cokey, temp_reg2 （共通鍵と乱数をセキュリティ・デバイスに送信する） receive Encrypteddata, temp_reg2 （暗号化されたＩＤをセキュリティ・デバイスから受信する） decrypt temp_reg3 （ＩＤを共通鍵で復号化する） cmp temp_reg1, temp_reg3 （ＩＤどうしを比較照合する） jne unmatched cmp temp_reg2, temp_reg3 （乱数どうしを比較照合する） jne unmatch ld temp_reg1, Rs （Ｒｓにプログラムのアドレスとフラグをセットする） st IBAT0, temp_reg1 set flag_good end_of_instruction unmatched; set flag_bad end_of_instruction

【０１２１】このようなマイクロプログラムに従った認
証手続は、外部プログラムからは全く見えない状態で実
行される。本実施例に係る認証手続は、プロセッサ・チ
ップ１００内部で完結されるので、プロセッサ１００外
部からの監視は殆ど不可能なのである。

【０１２２】第４の実施の形態 本発明の第４の実施例は、図５に示したものと等価なハ
ードウェア構成により具現される。但し、第３の実施例
との相違点は、共通鍵ではなく公開鍵方式で暗号化する
点にある。図７には、第４の実施例に係るプログラム保
護動作をフローチャートにして示している。以下、図７
を参照しながら説明する。

【０１２３】ソフトウェア供給業者は、保護対象たるソ
フトウェア・プログラムをフレキシブル・ディスク又は
ＣＤ−ＲＯＭなどの記憶媒体に格納した形態で、市場に
流通する。このソフトウェア・プログラムには、固有の
識別情報すなわちソフトウェアＩＤ（通常はシリアルな
番号で構成される）が付されている。ユーザは、フレキ
シブル・ディスク又はＣＤ−ＲＯＭなどの記憶媒体をソ
フトウェア供給業者から購入するという形態で、ソフト
ウェア・プログラムの限定的な使用権を取得する（記憶
媒体の購入は、ソフトウェァの著作権や無制限な使用権
を全く意味しない点に充分留意されたい）。

【０１２４】本実施例では、ソフトウェア・プログラム
を格納した記憶媒体と一緒にセキュリティ・デバイス９
５に配布される。ユーザは、ソフトウェア・プログラム
をハード・ディスク８１上にインストールするともに、
セキュリティ・デバイス９５をシリアル・ポートに外部
接続する（ステップＳ４００）。Ｋｅｙの要求は、ソフ
トウェア供給業者ではなくセキュリティ・デバイス９５
に対して行われる（後述）。

【０１２５】コンピュータ・システム２００上でソフト
ウェア・プログラムの実行が促されたとする。これは、
例えばＯＳ（オペレーティング・システム）のような外
部プログラムが"ＬＯＡＤ ＭＭＵ…"のような実行許可
インストラクションを発行して、メモリ管理ユニット１
５にプログラムＩＤとプログラムの格納番地／属性情報
がセットすることにより、実現される。

【０１２６】本実施例の実行許可インストラクションに
該当する処理手続は、図７の破線ブロックで囲まれてい
る。実行許可は、メモリ管理ユニット１５への各変数の
セット以外に所定の認証手続を含んでいる。

【０１２７】当該インストラクションが発行されると、
プロセッサ１００は、まず、乱数発生ユニット１８が発
生した乱数とプロセッサ１００の公開鍵をセキュリティ
・デバイス９５に送ることで、Ｋｅｙの要求を行う（ス
テップＳ４０２）。乱数の送付はシステム・バス７０経
由で行われる。但し、乱数は時々刻々変化する性質を持
ち、同じ乱数は一回しか使用しないので、バス７０の動
作をスヌープされてセキュリティが破られる可能性は極
めて低い。

【０１２８】セキュリティ・デバイス９５は、受け取っ
た乱数と、自身が格納するソフトウェアＩＤとを一体化
して、公開鍵を用いて暗号化してＫｅｙを生成し、シス
テム・バス７０経由でプロセッサ１００に送り返す（ス
テップＳ４０４）。

【０１２９】プロセッサ１００は、自身の秘密鍵を用い
てＫｅｙを復号化して、乱数とソフトウェアＩＤとに分
解する（ステップＳ４０６）。復号化処理は、暗号化復
号化ユニット１７を用いて行われる。

【０１３０】次いで、プロセッサ１００は、復号化して
得られた乱数とソフトウェアＩＤを、プロセッサ１００
自身が保持する元の乱数、及び装填した記憶媒体から得
られたソフトウェアＩＤの各々と比較する（ステップＳ
４０８）。

【０１３１】この比較の結果、照合に失敗したならば、
メモリ管理ユニット１５によるプログラムの実行は拒否
される（ステップＳ４１０）。他方、照合が成功裡に終
わったならば、メモリ管理ユニット１５によるプログラ
ムの実行は肯定され（ステップＳ４１２）、プログラム
が実行される（ステップＳ４１４）。

【０１３２】このような実行許可インストラクションの
手続は、例えばマイクロコードＲＯＭ１４中で、このよ
うにインストラクションの処理手続を記述することによ
って実現可能である。

【０１３３】ステップＳ４０２〜Ｓ４１２は、"Ｌｏａ
ｄ ＭＭＵ …"という単一のインストラクションで実
行される。該インストラクションを記述した疑似マイク
ロプログラム・コードを、以下に示しておく。

【０１３４】

【数５】 mtspr IBAT0, Rs1, Rs2 （Ｒｓ１にプログラムのアドレスとフラグを、 Ｒｓ２にソフト供給業者から得たキーを、夫々セットする） ld temp_reg1，Rs2 （ＩＤを取得する） gen temp_reg2 （乱数を発生する） end Pubkey, temp_reg2 （公開鍵と乱数をセキュリティ・デバイスに送信する） receive Encrypteddata, temp_reg2 （暗号化されたＩＤをセキュリティ・デバイスから受信する） decrypt temp_reg3 （ＩＤを秘密鍵で復号化する） cmp temp_reg1, temp_reg3 （ＩＤどうしを比較照合する） jne unmatched cmp temp_reg2, temp_reg3 （乱数どうしを比較照合する） jne unmatched ld temp_reg1, Rs （Ｒｓにプログラムのアドレスとフラグをセットする） st IBAT0, temp_reg1 set flag_good end_of_instruction unmatched; set flag_bad end_of_instruction

【０１３５】このようなマイクロプログラムに従った認
証手続は、外部プログラムからは全く見えない状態で実
行される。本実施例に係る認証手続は、プロセッサ・チ
ップ１００内部で完結されるので、プロセッサ１００外
部からの監視は殆ど不可能なのである。

【０１３６】追補 以上、特定の実施例を参照しながら、本発明について詳
解してきた。しかしながら、本発明の要旨を逸脱しない
範囲で当業者が該実施例の修正や代用を成し得ることは
自明である。すなわち、例示という形態で本発明を開示
してきたのであり、限定的に解釈されるべきではない。
本発明の要旨を判断するためには、冒頭に記載した特許
請求の範囲の欄を参酌すべきである。

【０１３７】

【発明の効果】以上詳記したように、本発明によれば、
コンピュータ・システムに提供されるソフトウェア・プ
ログラムの不正な使用・実行を防止する優れた技術を提
供することができる。

【０１３８】また、本発明によれば、プログラムの不正
実行防止機能を備えた優れたプロセッサ、プログラムの
不正実行を防止するためにプロセッサが実行するインス
トラクション、及びプログラムの不正実行防止方法を提
供することができる。

【０１３９】また、本発明によれば、外部から監視・変
更することができないプログラムの不正実行防止機能付
き優れたプロセッサ、プロセッサが実行するインストラ
クション、及びプログラムの不正実行防止方法を提供す
ることにある。

【０１４０】また、本発明によれば、ソフトウェア供給
者がソフトウェア・プログラムの使用権をただ１つのプ
ロセッサにのみ許可することができる、優れたプログラ
ムの不正実行防止方法を提供することができる。

【図面の簡単な説明】

【図１】図１は、本発明の第１の実施の形態に係るコン
ピュータ・システム及びプロセッサ１００のハードウェ
ア構成を模式的に示した図である。

【図２】図２は、ＭＭＵテーブルの構造や機能を模式的
に示した図である。

【図３】図３は、本発明の第１の実施の形態に係るプロ
グラム保護動作を示したフローチャートである。

【図４】図４は、本発明の第２の実施の形態に係るプロ
グラム保護動作を示したフローチャートである。

【図５】図５は、本発明の第３の実施の形態に係るコン
ピュータ・システム及びプロセッサ１００のハードウェ
ア構成を模式的に示した図である。

【図６】図６は、本発明の第４の実施の形態に係るプロ
グラム保護動作を示したフローチャートである。

【図７】図７は、本発明の第５の実施の形態に係るプロ
グラム保護動作を示したフローチャートである。

【符号の説明】

１１…バス・インターフェース、１２…デコーダ、１３
…制御ユニット、１４…マイクロコードＲＯＭ、１５…
メモリ管理ユニット（ＭＭＵ）、１６…プロセッサＩ
Ｄ、１７…暗号化復号化ユニット、５０…メイン・メモ
リ、６０…ブリッジ回路、７０…システム・バス、８１
…ハード・ディスク・ドライブ（ＨＤＤ）、８２…フレ
キシブル・ディスク・ドライブ（ＦＤＤ）、８３…ＣＤ
−ＲＯＭドライブ、９０…ネットワーク・インターフェ
ース・カード（ＮＩＣ）、９１…シリアルＩ／Ｏコント
ローラ、９５…セキュリティ・デバイス、１００…プロ
セッサ、２００…コンピュータ・システム。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 岡田 高幸 滋賀県野洲郡野洲町大字市三宅800番地 日本アイ・ビー・エム株式会社 野洲事業 所内 Ｆターム(参考） 5B017 AA07 BB10 CA15 5B033 BE00 FA27 5B076 FB02 FC00

Claims (11)

【特許請求の範囲】
1. 【請求項１】メイン・メモリを管理する機能を持つメモ
   リ管理ユニットを内蔵するとともに、自身を動作させる
   ためのインストラクション・セットを有するタイプの、
   プログラムの不正実行防止機能付きプロセッサであっ
   て、 前記インストラクション・セット中には前記メイン・メ
   モリ上のプログラム・コードの実行を許可する実行許可
   インストランションが含まれ、 前記実行許可インストラクションは、実行すべきプログ
   ラムの識別番号とアドレス情報・属性情報を前記メモリ
   管理ユニットに与える動作の他に、所定の認証動作を含
   む、ことを特徴とするプログラムの不正実行防止機能付
   きプロセッサ。
2. 【請求項２】前記所定の認証動作は、前記プロセッサ内
   部に格納された識別情報と前記プロセッサの外部から供
   給された識別情報との比較動作を含むことを特徴とする
   請求項１に記載のプログラムの不正実行防止機能付きプ
   ロセッサ。
3. 【請求項３】前記識別情報は、前記プロセッサに固有の
   プロセッサＩＤとソフトウェア・プログラムに固有のソ
   フトウェアＩＤとで構成されることを特徴とする請求項
   ２に記載のプログラムの不正実行防止機能付きプロセッ
   サ。
4. 【請求項４】前記識別情報は、前記プロセッサが内部的
   に発生した乱数とソフトウェア・プログラムに固有のソ
   フトウェアＩＤとで構成されることを特徴とする請求項
   ２に記載のプログラムの不正実行防止機能付きプロセッ
   サ。
5. 【請求項５】前記所定の認証動作が成功裡に終わったと
   きには実行すべきプログラムの識別番号とアドレス情報
   ・属性情報を前記メモリ管理ユニットに与える動作を許
   可するが、前記所定の認証動作が失敗したときには実行
   すべきプログラムの識別番号とアドレス情報・属性情報
   を前記メモリ管理ユニットに与える動作を禁止すること
   を特徴とする請求項１に記載のプログラムの不正実行防
   止機能付きプロセッサ。
6. 【請求項６】メイン・メモリ上にプログラム・コードや
   データを読み出し／書き込み動作しながら所定の処理を
   実行するタイプの、プログラムの不正実行防止機能付き
   プロセッサであって、 前記プロセッサの外部とインストラクションやデータの
   授受を行うバス・インターフェースと、 受け取ったインストラクションの解読を行うデコーダ
   と、 １以上のインストラクションについての手順を格納した
   内蔵メモリと、 １以上のインストラクションについての手順を実装した
   論理回路と、 前記内蔵メモリに格納された手順や前記論理回路に実装
   された手順に従ってインストラクションを実行する制御
   ユニットと、 前記プロセッサに固有のプロセッサＩＤと、 前記メイン・メモリを管理する機能を持つメモリ管理ユ
   ニットとを含み、 前記内蔵メモリ又は前記論理回路のうちの１つは前記メ
   イン・メモリ上のプログラム・コードの実行を許可する
   実行許可インストラクションの手順を格納しており、 且つ、前記実行許可インストラクションの手順は、実行
   すべきプログラムの識別情報とアドレス情報・属性情報
   を前記メモリ管理ユニットに与える動作の他に、所定の
   認証動作を含む、ことを特徴とするプログラムの不正実
   行防止機能付きプロセッサ。
7. 【請求項７】さらに、前記プロセッサＩＤを暗号化して
   前記バス・インターフェース経由で前記プロセッサの外
   部に出力する暗号化手段と、暗号化された識別情報を前
   記バス・インターフェース経由で前記プロセッサの外部
   から受け取るとともに復号化してプロセッサＩＤとソフ
   トウェアＩＤを取り出す復号化手段とを含み、 前記所定の認証動作は各ＩＤ同士の比較動作を含むこと
   を特徴とする請求項６に記載のプログラムの不正実行防
   止機能付きプロセッサ。
8. 【請求項８】前記所定の認証動作が成功裡に終わったと
   きには実行すべきプログラムの識別番号とアドレス情報
   ・属性情報を前記メモリ管理ユニットに与える動作を許
   可するが、前記所定の認証動作が失敗したときには実行
   すべきプログラムの識別番号とアドレス情報・属性情報
   を前記メモリ管理ユニットに与える動作を禁止すること
   を特徴とする請求項６に記載のプログラムの不正実行防
   止機能付きプロセッサ。
9. 【請求項９】メイン・メモリ上にプログラム・コードや
   データを読み出し／書き込み動作しながら所定の処理を
   実行するタイプの、プログラムの不正実行防止機能付き
   プロセッサであって、 前記プロセッサの外部とインストラクションやデータの
   授受を行うバス・インターフェースと、 受け取ったインストラクションの解読を行うデコーダ
   と、 １以上のインストラクションについての手順を格納した
   内蔵メモリと、 １以上のインストラクションについての手順を実装した
   論理回路と、 前記内蔵メモリに格納された手順や前記論理回路に実装
   された手順に従ってインストラクションを実行する制御
   ユニットと、 乱数発生ユニットと、 前記メイン・メモリを管理する機能を持つメモリ管理ユ
   ニットとを含み、 前記内蔵メモリは前記メイン・メモリ上のプログラム・
   コードの実行を許可する実行許可インストラクションの
   手順を格納しており、 且つ、前記実行許可インストラクションの手順は、実行
   すべきプログラムの識別情報とアドレス情報・属性情報
   を前記メモリ管理ユニットに与える動作の他に、所定の
   認証動作を含む、ことを特徴とするプログラムの不正実
   行防止機能付きプロセッサ。
10. 【請求項１０】さらに、前記乱数発生ユニットが発生す
    る乱数を前記バス・インターフェース経由で前記プロセ
    ッサの外部に出力する乱数出力手段と、暗号化された識
    別情報を前記バス・インターフェース経由で前記プロセ
    ッサの外部から受け取るとともに復号化して乱数とソフ
    トウェアＩＤを取り出す復号化手段とを含み、 前記所定の認証動作は乱数及びソフトウェアＩＤの比較
    動作を含むことを特徴とする請求項９に記載のプログラ
    ムの不正実行防止機能付きプロセッサ。
11. 【請求項１１】前記所定の認証動作が成功裡に終わった
    ときには実行すべきプログラムの識別番号とアドレス情
    報・属性情報を前記メモリ管理ユニットに与える動作を
    許可するが、前記所定の認証動作が失敗したときには実
    行すべきプログラムの識別番号とアドレス情報・属性情
    報を前記メモリ管理ユニットに与える動作を禁止するこ
    とを特徴とする請求項９に記載のプログラムの不正実行
    防止機能付きプロセッサ。