JP2003242030A - メモリ管理装置及びメモリ管理方法 - Google Patents

Abstract

(57)【要約】 【課題】 メモリに格納された重要なデータなどをプロ
グラムの不具合などによる不正なメモリアクセスから保
護するメモリ管理装置を提供する。 【解決手段】 複数の領域に分割されたメモリへのアク
セスを管理するメモリ管理装置であって、メモリへのア
クセスの要求に基づいて当該アクセスのアクセス先が属
する領域であるアクセス先領域とアクセス元が属する領
域であるアクセス元領域とを特定する特定手段１０２
と、前記特定手段により特定されたアクセス元領域が前
記領域毎に予め定められている所定領域である場合に、
アクセスを許可すると判断し、アクセス元領域が前記所
定領域でない場合に、アクセスを許可しないと判断する
判断手段１０３とを備える。これによりメモリの保護が
実現できる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、メモリ管理装置及
びメモリ管理方法に関し、特に不正なメモリアクセスか
ら重要なデータなどを保護する技術に関する。

【０００２】

【従来の技術】近年、組み込み機器の高機能化により、
組み込み機器に搭載されるプログラムのサイズが飛躍的
に増加している。例えば、携帯電話機では従来の電話機
能に加え、メール機能、ブラウザ機能などが付加される
ことにより、プログラムサイズは１０ＭＢを超え、今後
もさらにプログラムサイズが増加することが予想されて
いる。

【０００３】このようなプログラムサイズの増加は、プ
ログラムの複雑化、プログラムテスト項目の増加などを
引き起こし、限られた開発期間において、プログラムの
全ての不具合を発見することが困難となってきている。
プログラムに不具合が存在した場合、予期せぬ不正なメ
モリアクセスにより、携帯電話機内の電話帳データや課
金情報などの重要なデータが破壊されたり、プログラム
自体が破壊されることにより携帯電話機が使用不能にな
るなどの障害が発生する可能性がある。

【０００４】このようなプログラムの不具合に起因する
致命的な障害を回避し、不具合の影響を最小限にするた
めに、プログラムの不具合による不正なメモリアクセス
からメモリ空間を保護するメモリ保護機能が必要であ
る。一般に、メモリ保護機能には、以下の２つの方法が
ある。第１に、プログラム毎に独立した論理メモリ空間
を提供する方法、第２に、論理メモリ空間を２つ以上に
分割し、分割された領域毎にプログラムを配置する方法
である。

【０００５】第１の方法は、１つの論理メモリ空間に１
つのプログラムを配置することにより、別のプログラム
からのメモリアクセスを制御する方法であり、複数プロ
グラム間のメモリ保護を実現する。第２の方法は、各プ
ログラムにメモリアクセス可能な領域を設定、管理し、
メモリアクセス許可のないプログラムによるメモリアク
セスを禁止することで、メモリ保護を実現する。（例え
ば、特許文献１参照。）図２０は第２の方法を用いた従
来法における、メモリ領域の管理例を示す図である。

【０００６】図２０において、論理メモリ空間４００
は、プログラム１とプログラム２とプログラム３が配置
された論理メモリ空間である。そして、プログラム１の
アクセス可能な領域は、領域Ａ４０１と領域Ｂ４０２と
領域Ｄ４０４であり、プログラム２のアクセス可能な領
域は、領域Ｄ４０４と領域Ｅ４０５であり、プログラム
３のアクセス可能な領域は、領域Ｃ４０３と領域Ｄ４０
４と領域Ｅ４０５である。

【０００７】論理メモリ空間４００において、領域Ｃ４
０３に対するメモリアクセスが許可されているのは、プ
ログラム３だけである。従って、領域Ｃ４０３に対し
て、プログラム１やプログラム２がメモリアクセスを試
みた場合、メモリアクセスが許可されていないためメモ
リアクセスは拒否される。すなわち、従来法では各プロ
グラムに対し、メモリアクセス可能な領域を個別に設
定、管理することで、メモリアクセスが許可された領域
以外の領域へのメモリアクセスを禁止し、同一のメモリ
空間に配置された複数プログラム間のメモリ保護を実現
する。

【０００８】

【特許文献１】特開平９−１９０３８０号公報

【０００９】

【発明が解決しようとする課題】しかしながら、前述の
第１の方法及び第２の方法は、それぞれ以下の問題点を
有している。まず、第１の方法は、別のプログラムから
のメモリアクセスを制御する方法であるため、プログラ
ムの内部におけるメモリアクセスを制御することができ
ない。即ち、このプログラムに割り当てられたメモリ空
間に存在する重要なデータなどは、プログラムの不具合
による不正なメモリアクセスから保護されないという問
題点がある。

【００１０】次に、第２の方法は、論理メモリ空間の各
領域において、メモリアクセスを許可されたプログラム
によるメモリアクセスを制御する方法であるので、同一
プログラムに割り当てられた領域間のメモリアクセス制
御を実現できない。以下、この問題点について詳しく説
明する。図２１は、第２の方法を用いた場合の、論理メ
モリ空間４００に配置されたプログラム１のメモリアク
セスの一例を示す図である。

【００１１】プログラム１がアクセス可能な領域は領域
Ａ４０１と領域Ｂ４０２と領域Ｄ４０４である。ここ
で、領域Ｄ４０４に不具合が存在し、その不具合により
領域Ｄ４０４の命令コードによる領域Ａ４０１へのメモ
リアクセスが行われた場合を想定する。このメモリアク
セスが本来想定していない、いわば不正なアクセスであ
っても、領域Ｄ４０４の命令コードによる領域Ａ４０１
へのメモリアクセスは許可される。

【００１２】即ち、第２の方法においても、プログラム
内部の重要なデータなどは、プログラムの不具合による
不正なメモリアクセスから保護されないという問題点が
ある。本発明は、このような点を鑑みてなされたもの
で、不正なメモリアクセスからプログラム内部の重要な
データなどを保護することができるメモリ管理装置を提
供することを目的とする。

【００１３】

【課題を解決するための手段】上記課題を解決するため
に、本発明に係るメモリ管理装置は、複数の領域に分割
されたメモリへのアクセスを管理するメモリ管理装置で
あって、メモリへのアクセスの要求に基づいて当該アク
セスのアクセス先が属する領域であるアクセス先領域と
アクセス元が属する領域であるアクセス元領域とを特定
する特定手段と、前記特定手段により特定されたアクセ
ス元領域が前記領域毎に予め定められている所定領域で
ある場合にアクセスを許可すると判断し、アクセス元領
域が前記所定領域でない場合にアクセスを許可しないと
判断する判断手段とを備えることを特徴とする。

【００１４】また、上記課題を解決するために、本発明
に係るメモリ管理方法は、複数の領域に分割されたメモ
リへのアクセスを管理するメモリ管理方法であって、メ
モリへのアクセスの要求に基づいて当該アクセスのアク
セス先が属する領域であるアクセス先領域とアクセス元
が属する領域であるアクセス元領域とを特定する特定ス
テップと、前記特定ステップにより特定されたアクセス
元領域が前記領域毎に予め定められている所定領域であ
る場合にアクセスを許可すると判断し、アクセス元領域
が前記所定領域でない場合にアクセスを許可しないと判
断する判断ステップとを備えることを特徴とする。

【００１５】上記構成によれば、メモリ管理装置及びメ
モリ管理方法は、アクセス先領域とアクセス元領域とを
特定して、そのアクセス元領域がアクセス先領域に所定
領域として予め定められていなければ、アクセスを許可
しない。これにより、メモリ管理装置及びメモリ管理方
法は、重要なデータなどをプログラムの不具合などによ
る不正なアクセスから保護することができる。例えば、
「１」の領域に課金情報が格納され、「２」の領域のみ
が「１」の領域へのアクセス可能な領域、即ち、所定領
域であるとする。このような環境であれば、「３」の領
域に格納している命令コードに誤りがあり、その命令コ
ードが「１」の領域へのアクセスを要求したとしても、
メモリ管理装置及びメモリ管理方法は、そのアクセスを
許可しない。そのため課金情報が保護される。

【００１６】

【発明の実施の形態】以下、本発明の実施の形態につい
て図１から図１８を用いて詳細に説明する。 （実施の形態１） ＜概要＞本実施の形態において、メモリは固定長の複数
のブロックに分割され、メモリアクセスはブロック単位
で管理されている。メモリ管理装置は、ＣＰＵからメモ
リアクセスの要求を受けて、そのメモリアクセスの可否
を判断し、可であればメモリアクセスを実行する。その
判断は、どのブロックからどのブロックへのメモリアク
セスが許可されるかを示すメモリ管理テーブルを用いて
為される。

【００１７】＜メモリ管理装置の構成＞図１は、メモリ
管理装置の構成を示す図である。メモリ管理装置１０１
は、特定部１０２、判断部１０３、及び、記憶部１０４
を備え、ＣＰＵ１０５からのメモリアクセスの要求を受
けて、そのメモリアクセスの可否を判断し、可であれば
メモリ１０６へのメモリアクセスを実行する。

【００１８】特定部１０２は、ＣＰＵ１０５からのメモ
リアクセスの要求を解析して、そのメモリアクセスのア
クセス先のブロックとアクセス元のブロックとを特定す
る。特定されたアクセス先のブロックとアクセス元のブ
ロックとは、判断部１０３に通知される。判断部１０３
は、記憶部１０４のアクセス情報を参照して、特定部１
０２から通知されたアクセス先のブロックが、アクセス
元のブロックからのメモリアクセスを許可しているか否
かを判断する。許可していると判断すれば、メモリアク
セスを実行する。

【００１９】記憶部１０４は、どのブロックがどのブロ
ックからのアクセスを許可するかを示すアクセス情報を
記憶している。このアクセス情報は、メモリ管理テーブ
ルとして記憶されている。本実施の形態において、メモ
リ管理装置は、マイクロプロセッサに内蔵されている。
以下に、マイクロプロセッサに内蔵されたメモリ管理装
置について説明する。

【００２０】図２は、マイクロプロセッサに内蔵された
メモリ管理装置を示す図である。マイクロプロセッサ１
１０は、同一半導体チップ上に形成されている半導体集
積回路であり、ＣＰＵ１１１、認証子作成装置１１２、
論理アドレス・物理アドレス変換装置１１３、内部ＲＯ
Ｍ１１４、及びメモリ管理装置１１８を備え、各装置を
内部バス１２６により接続している。また、マイクロプ
ロセッサ１１０は、外部バス１３０により外部ＲＯＭ１
２７及び外部ＲＡＭ１２８と接続されている。

【００２１】ＣＰＵ１１１は、外部ＲＯＭ１２７に格納
されたプログラムを実行する装置である。認証子作成装
置１１２は、プログラムやデータなどから一意に導き出
せる認証子を作成する装置である。具体的には、ＳＨＡ
−１に代表されるハッシュ演算を行う演算装置などを意
味する。認証子は、ダウンロードしたプログラムが改ざ
んされていないか確認する場合などに用いられる。

【００２２】論理アドレス・物理アドレス変換装置１１
３は、論理アドレス番地と物理アドレス番地とを変換す
る装置である。内部ＲＯＭ１１４は、ブートプログラム
１１５、更新用プログラム１１６、及び異常処理プログ
ラム１１７を格納する。ブートプログラム１１５は、マ
イクロプロセッサ１１０の初期動作時に初期化するプロ
グラムである。

【００２３】更新用プログラム１１６は、相互認証され
たサーバまたは電子証明書を保持する記録媒体から新た
なプログラムを取得し、外部ＲＯＭ１２７に格納された
プログラムを、取得した新たなプログラムに更新するプ
ログラムである。これによりマイクロプロセッサ１１０
は、プログラムをダウンロードしてプログラムのバージ
ョンアップを行うことができる。

【００２４】異常処理プログラム１１７は、外部ＲＯＭ
１２７及び外部ＲＡＭ１２８に対するメモリアクセスが
拒否された場合に実行するプログラムである。メモリ管
理装置１１８は、メモリ管理テーブル作成部１１９、メ
モリアクセス可否判断部１２０、バージョン管理テーブ
ル作成部１２１、メモリ管理テーブル格納部１２２、及
びメモリアクセス部１２５を備える。

【００２５】メモリ管理テーブル作成部１１９は、メモ
リ管理テーブル１２３を作成する。また更新用プログラ
ム１１６からの情報に基づいてメモリ管理テーブルを更
新する。メモリアクセス可否判断部１２０は、メモリア
クセスのアクセス元のブロックとアクセス先のブロック
とを特定し、それらとメモリ管理テーブル１２３とを用
いて外部ＲＯＭ１２７及び外部ＲＡＭ１２８へのメモリ
アクセスの可否を判断する。アクセス元のブロック及び
アクセス先のブロックは、メモリアクセス可否判断部１
２０が予め保持している物理アドレス空間におけるブロ
ックの先頭アドレスとブロックのサイズとによって特定
される。

【００２６】例えば、０番目のブロックの先頭アドレス
が１６進数で「８０００００」であり、ブロックサイズ
が「１０００」であるとすれば、０番目のブロックの先
頭アドレスが「８０００００」、１番目のブロックの先
頭アドレスが「８０１０００」、２番目のブロックの先
頭アドレスが「８０２０００」というようになる。ここ
で、アクセス先のアドレスが「８０１３Ｆ９０」である
とすれば、アクセス先のブロックは１番目のブロックで
あると特定することができる。

【００２７】バージョン管理テーブル作成部１２１は、
バージョン管理テーブル１２４を作成する。メモリ管理
テーブル格納部１２２は、メモリ管理テーブル１２３、
及びバージョン管理テーブル１２４を格納する。メモリ
管理テーブル１２３は、メモリ管理テーブル作成部１１
９により作成され、外部ＲＯＭ１２７に格納されたプロ
グラムによる外部ＲＯＭ１２７と外部ＲＡＭ１２８との
ブロックに対するメモリアクセス制御に用いられる情報
を保持する。具体的には、外部ＲＯＭ１２７及び外部Ｒ
ＡＭ１２８のどのブロックからどのブロックへのメモリ
アクセスが許可されるかを示すアクセス情報などを保持
する。また、マイクロプロセッサ１１０において、メモ
リ管理テーブル格納部１２２に格納された情報は、メモ
リ管理装置１１８の外部から改ざんされないように管理
されている。

【００２８】バージョン管理テーブル１２４は、外部Ｒ
ＯＭ１２７に格納されたプログラムのバージョン情報を
保持する。メモリアクセス部１２５は、メモリアクセス
可否判断部１２０によりメモリアクセスが許可された場
合に、外部ＲＯＭ１２７及び外部ＲＡＭ１２８のアクセ
ス先にメモリアクセスを行う。

【００２９】外部ＲＯＭ１２７と外部ＲＡＭ１２８は、
同一固定長のブロックに分割されブロック単位で管理さ
れており、外部ＲＯＭ１２７と外部ＲＡＭ１２８との各
ブロック１２９は、一意のブロック番号が対応付けられ
ている。さらに、マイクロプロセッサ１１０は、図示さ
れていない例外処理回路、タイマなどの周辺機能回路が
設けられている場合もある。

【００３０】次に、メモリ管理テーブルの詳細について
説明する。メモリ管理テーブルは、同一固定長のブロッ
ク毎に、ブロックに対するメモリアクセス制御に用いら
れる情報を保持するものである。以下に具体例を示す。
図３は、メモリ管理テーブルの内容を示す図である。メ
モリ管理テーブル１２３は、外部ＲＯＭ１２７と外部Ｒ
ＡＭ１２８の各ブロック１２９に対し、ブロック１２９
を識別するためのブロック番号１４１と、ブロック１２
９に格納されたプログラムの分類を識別するブロックデ
ータ識別子１４２と、ブロックデータ識別子１４２が異
なるブロック間のメモリアクセスの可否を示すアクセス
フラグ１４３と、ブロック１２９に格納されたデータの
読み込みの可否を示す読み込みフラグ１４４と、ブロッ
ク１２９に格納されたデータへの書き込みの可否を示す
書き込みフラグ１４５とを保持する。また、メモリ管理
テーブル１２３は、各ブロック１２９のハッシュ値な
ど、上記フラグ以外の情報１４６を保持しても良い。

【００３１】上記のブロックデータ識別子１４２とアク
セスフラグ１４３とが、各ブロックに対して、どのブロ
ックからのメモリアクセスが許可されるかという情報で
ある。アクセス先とアクセス元とのブロックデータ識別
子１４２が同一である場合に、それらは同じ分類のプロ
グラムを格納しているので、メモリアクセスが許可され
る。また、アクセス先とアクセス元とのブロックデータ
識別子１４２が異なる場合に、アクセス先のアクセスフ
ラグ１４３を参照して、アクセスフラグ１４３が可（図
３においては、「○」）であればメモリアクセスが許可
され、アクセスフラグ１４３が不可（図３においては、
「×」）であればメモリアクセスが拒否される。

【００３２】図３の例によれば、ブロック番号が「２」
のブロックから「０」のブロックへのメモリアクセス
は、ブロックデータ識別子も互いに異なり、「０」のブ
ロックのアクセスフラグも不可であるので、拒否され
る。一方、ブロック番号が「２」のブロックから「１」
のブロックへのメモリアクセスは、ブロックデータ識別
子が互いに異なるが、アクセス先である「１」のブロッ
クのアクセスフラグが可であるので、許可される。さら
に「１」のブロックから「０」のブロックへのメモリア
クセスは、ブロックデータ識別子が同一であるので、許
可される。

【００３３】即ち、「２」のブロックから「０」のブロ
ックへ直接のメモリアクセスは拒否されるが、「２」の
ブロックから「１」のブロックを一旦介して、「１」の
ブロックから「０」のブロックへのメモリアクセスは許
可される。メモリ管理装置は、この機構を利用すること
で、不正なメモリアクセスを防止している。その利用例
を説明する前に、ブロックデータ識別子１４２について
説明する。

【００３４】ブロックデータ識別子１４２は、各ブロッ
ク１２９に格納されたプログラムの分類を識別するもの
である。このプログラムの分類は、プログラムの開発者
によりメモリアクセスを制御する単位（以下、メモリア
クセスを制御する単位を「セッション」という。）で行
われる。メモリに格納される実行プログラムには、不正
なメモリアクセスから保護したい部分などがあり、プロ
グラムの開発者は、その保護したい部分をひとつのセッ
ションとして、他のセッションからのメモリアクセス制
御を行う。

【００３５】図４は、実行プログラムの構成の一例を示
す図である。実行プログラム１６０は、セッションと呼
ばれるメモリアクセスの制御単位の集合によって構成さ
れており、セッションＡ１６１、セッションＢ１６２、
セッションＣ１６３の３つのセッションから構成されて
いる。セッションＡ１６１はコード部分１６４とデータ
部分１６５から構成され、セッションＢ１６２はコード
部分１６６とデータ部分１６７から構成され、セッショ
ンＣ１６３はコード部分１６８とデータ部分１６９から
構成される。

【００３６】セッションとはメモリアクセス制御の単位
を意味する。即ち、メモリ管理装置は、セッションＡ１
６１、セッションＢ１６２、セッションＣ１６３の３つ
のメモリ空間の領域間におけるメモリアクセス制御を実
現する。セッションＡ１６１に対するセッションＢ１６
２やセッションＣ１６３に格納された命令コードによる
メモリアクセスを制御することにより、セッションＡ１
６１の命令コードやデータが保護される。同様にセッシ
ョンＢ１６２及びセッションＣ１６３に対する他のセッ
ションに格納された命令コードによるメモリアクセスを
制御することにより、それぞれに格納された命令コード
やデータが保護される。このように、複数のセッション
で構成される実行プログラムに対して、実行プログラム
内部のメモリ保護を実現する。

【００３７】次に、メモリ管理テーブルのブロックデー
タ識別子によりセッション毎に分類している利用例を示
す。図５は、１つの実行プログラムが複数のセッション
で構成される場合に、実行プログラムがメモリに格納さ
れた様子を示す図である。論理メモリ空間１７０は、ブ
ロックＡ１７１、ブロックＢ１７２、ブロックＣ１７
３、ブロックＤ１７４、及びブロックＥ１７５に分割さ
れ、実行プログラム１７６が格納されている。実行プロ
グラム１７６は、セッションＨ１７８、セッションＩ１
７９、セッションＪ１８０、及びセッションＫ１８１と
からなる。また、セッションＨ１７８はブロックＡ１７
１に、セッションＩ１７９はブロックＢ１７２に、セッ
ションＪ１８０はブロックＣ１７３に、セッションＫ１
８１はブロックＤ１７４とブロックＥ１７５とに、それ
ぞれ格納されている。

【００３８】ここで、セッションＨ１７８へのメモリア
クセスは、セッションＩ１７９からのメモリアクセスの
みしか許可されず、セッションＫ１８１のメモリアクセ
スは、セッションＪ１８０からのメモリアクセスのみし
か許可されないとする。これは、各ブロックの有するブ
ロックデータ識別子とアクセスフラグとの組み合わせ
が、例えば、 ブロックＡ１７１ 「１」「×」 ブロックＢ１７２ 「１」「○」 ブロックＣ１７３ 「２」「○」 ブロックＤ１７４ 「２」「×」 ブロックＥ１７５ 「２」「×」 という組み合わせであれば、実現できる。

【００３９】上記の場合、セッションＩ１７９から、セ
ッションＫ１８１に格納された命令コードやデータにア
クセスするには、一度、セッションＪ１８０にアクセス
し、そして、セッションＪ１８０の命令コードによっ
て、セッションＫ１８１のデータにアクセスしなければ
ならない。これにより、セッションＩ１７９が、直接セ
ッションＫ１８１のデータにアクセスすることを禁止
し、たとえ実行プログラム１７６のセッションＩ１７９
の部分に不具合があり、セッションＩ１７９からの不正
なメモリアクセスがあったとしても、セッションＫ１８
１のデータを保護することができる。

【００４０】同様に、セッションＪ１８０からセッショ
ンＨ１７８に格納された命令コードやデータへアクセス
するには、一度、セッションＩ１７９にアクセスし、そ
して、セッションＩ１７９の命令コードによって、セッ
ションＨ１７８のデータへアクセスしなければならな
い。これにより、セッションＪ１８０から直接セッショ
ンＨ１７８のデータにアクセスすることが拒否され、た
とえ実行プログラム１７６のセッションＪ１８０の部分
に不具合がありセッションＪ１８０からの不正なメモリ
アクセスがあったとしても、セッションＨ１７８のデー
タを保護することができる。

【００４１】例えば、セッションＨ１７８は課金情報を
格納するプログラムであり、セッションＩ１７９は、そ
の課金情報を読み出すプログラムであるとする。このよ
うな場合に、他のセッションからのメモリアクセスは必
ずセッションＩ１７９を通じて行われる。このように、
メモリ管理装置は、１つの実行プログラムが複数のセッ
ションで構成される場合において、ブロックデータ識別
子と、さらにサブプログラム内の各セッション毎にアク
セスフラグとを適切に設定することにより、実行プログ
ラム内でのメモリ保護を実現することができる。

【００４２】また、上記に１つの実行プログラム内での
不正なメモリアクセスからのメモリ保護を説明したが、
複数の実行プログラム間における不正なメモリアクセス
からのメモリ保護も当然可能である。図６は、１つの実
行プログラムが複数のセッションで構成される場合に、
複数の実行プログラムがメモリに格納された様子を示す
図である。

【００４３】図６において、実行プログラム１８２は、
セッションＨ１７８とセッションＩ１７９からなり、実
行プログラム１８３は、セッションＪ１８０とセッショ
ンＫ１８１からなる。ブロックＡ１７１からブロックＥ
１７５までの各ブロックが有するブロックデータ識別子
とアクセスフラグとの組み合わせは図５の例と同様とす
る。

【００４４】これにより、複数の実行プログラム間にお
ける不正なメモリアクセスからのメモリ保護が可能であ
る。図７は、１つの実行プログラムが１つのセッション
で構成される場合に、複数の実行プログラムがメモリに
格納された様子を示す図である。論理メモリ空間１９０
は、ブロックＬ１９１、ブロックＭ１９２、及びブロッ
クＮ１９３に分割され、実行プログラムＰ１９４と実行
プログラムＱ１９５との２つの実行プログラムが格納さ
れている。また、実行プログラムＰ１９４は、実行プロ
グラムＱ１９５からのメモリアクセスを許可しないセッ
ションＲ１９６からなり、実行プログラムＱ１９５は、
実行プログラムＰ１９４からのメモリアクセスを許可し
ないセッションＳ１９７からなる。また、セッションＲ
１９６はブロックＬ１９１に、セッションＳ１９７はブ
ロックＭ１９２に、それぞれ格納されている。

【００４５】これは、各ブロックの有するブロックデー
タ識別子とアクセスフラグとの組み合わせが、例えば、 ブロックＬ１９１ 「１」「×」 ブロックＭ１９２ 「２」「×」 ブロックＮ１９３ 「３」「×」 という組み合わせであれば、実現できる。

【００４６】上記の場合、実行プログラムＰ１９４が割
り当てられたメモリ空間に対し、実行プログラムＱ１９
５からメモリアクセスを行うことはできない。さらに、
実行プログラムＱ１９５が割り当てられたメモリ空間に
対し、実行プログラムＰ１９４からメモリアクセスを行
うことはできない。すなわち、メモリ管理装置は、ブロ
ックＬ１９１とブロックＭ１９２との間のメモリアクセ
スを禁止することで、両者のメモリ領域に関するメモリ
保護を実現する。

【００４７】このように、メモリ管理装置は、１つの実
行プログラムが１つのセッションで構成される場合にお
いて、ブロックデータ識別子とアクセスフラグとを適切
に設定することにより、実行プログラム内でのメモリ保
護を実現することができる。次に、実行プログラムの更
新の際に参照されるバージョン管理テーブルを以下に示
す。

【００４８】図８は、バージョン管理テーブルの内容を
示す図である。バージョン管理テーブル１２４は、外部
ＲＯＭ１２７に格納された実行プログラムの分類を識別
するためのブロックデータ識別子と、現在、外部ＲＯＭ
１２７に格納されているブロックデータ識別子に対応す
る実行プログラムのバージョンを示すバージョン情報を
保持する。

【００４９】＜メモリ管理装置の動作＞次に、メモリ管
理装置のメモリアクセスの制御に係る動作について説明
する。図９は、メモリアクセスの判断及びメモリアクセ
ス処理の手順を示す図である。ＣＰＵ１１１により実行
される命令コードが、外部ＲＯＭ１２７、または外部Ｒ
ＡＭ１２８に格納されたデータへのメモリアクセスを要
求した場合と、命令フェッチの場合に、メモリ管理装置
１１８は、メモリアクセス判断、及びメモリアクセス処
理を開始する。（ステップＳ１００） ＣＰＵ１１１は、ＣＰＵ１１１のプログラムカウンタよ
り、アクセス元である前記命令コードが格納されている
論理アドレス番号を取得し、論理アドレス・物理アドレ
ス変換装置１１３に転送する。論理アドレス・物理アド
レス変換装置１１３は、前記命令コードが配置されてい
る論理アドレス番号を、物理アドレス番号に変換し、メ
モリアクセス可否判断部１２０に転送する。

【００５０】さらに、ＣＰＵ１１１は、前記命令コード
により要求されたアクセス先である論理アドレス番号
を、論理アドレス・物理アドレス変換装置１１３に転送
する。論理アドレス・物理アドレス変換装置１１３は、
前記論理アドレス番号を物理アドレス番号に変換し、メ
モリアクセス可否判断部１２０に転送する。そして、メ
モリアクセス可否判断部１２０は、アクセス元の物理ア
ドレスを含むブロックと、アクセス先の物理アドレスを
含むブロックとを特定する。

【００５１】その後、メモリアクセス可否判断部１２０
は、メモリ管理テーブル１２３を用いて、前記命令コー
ドにより要求されたアクセス先の物理アドレスを含むブ
ロックを外部ＲＯＭ１２７と外部ＲＡＭ１２８とから探
索する。（ステップＳ１０１） 次に、ステップＳ１０１の探索によって、前記命令コー
ドによりメモリアクセスを要求されたブロックを発見し
た場合には（ステップＳ１０２：Ｙ）、ステップＳ１０
３に移動し、前記ブロックが存在しない場合には（ステ
ップＳ１０２：Ｎ）、ステップＳ１１０に移動する。
（ステップＳ１０２） ステップＳ１０２においてメモリアクセスを要求された
ブロックを発見した場合に、メモリアクセス可否判断部
１２０は、メモリ管理テーブル１２３を用いて、アクセ
ス元のブロックのブロックデータ識別子と、前記命令コ
ードにより要求されたアクセス先を含むブロックのブロ
ックデータ識別子とを比較する。（ステップＳ１０３） ステップＳ１０３において、２つのブロックデータ識別
子が一致する場合（ステップＳ１０３：Ｙ）には、ステ
ップＳ１０５に移動し、一致しない場合（ステップＳ１
０３：Ｎ）には、ステップＳ１０４へ移動する。

【００５２】２つのブロックデータ識別子が一致しない
場合に、メモリアクセス可否判断部１２０は、メモリ管
理テーブル１２３を参照し、ステップＳ１０１で探索さ
れたブロックに対するアクセスフラグを参照する。（ス
テップＳ１０４） そして、ステップＳ１０４において、アクセスフラグが
アクセス不可を示すフラグの場合には（ステップＳ１０
４：Ｙ）、ステップＳ１１０に移動し、アクセスフラグ
がアクセス許可を示す場合には（ステップＳ１０４：
Ｎ）、ステップＳ１０５に移動する。

【００５３】次に、メモリアクセス可否判断部１２０
は、ＣＰＵ１１１から、メモリアクセス要求を行う命令
コードの種別（データの読み込み、データの書き込み）
を取得する。（ステップＳ１０５） 次に、メモリアクセス可否判断部１２０は、メモリ管理
テーブル１２３を参照し、前記命令コードにより要求さ
れるアクセス先のブロックに設定されている読み込みフ
ラグと、書き込みフラグとを参照する。

【００５４】そして、メモリアクセス可否判断部１２０
は、前記命令コードの種別と、参照された読み込みフラ
グ及び書き込みフラグに矛盾があるか否かを判断する。
（ステップＳ１０６）例えば、書き込みフラグが書き込
み不可を示すフラグであり、コード種別が書き込みを指
示する場合には、矛盾すると判断する。ステップＳ１０
６において、矛盾すると判断した場合（ステップＳ１０
６：Ｙ）には、ステップＳ１１０に移動し、矛盾しない
と判断した場合（ステップＳ１０６：Ｎ）には、ステッ
プＳ１０７に移動する。

【００５５】次に、メモリアクセス可否判断部１２０
は、メモリアクセスを許可することを示すメモリアクセ
ス許可信号をメモリアクセス部１２５に送信する。（ス
テップＳ１０７） 次に、前記メモリアクセス許可信号を受信したメモリア
クセス部１２５は、前記命令コードにより要求された物
理アドレスにメモリアクセスを行う。（ステップＳ１０
８） 次に、ＣＰＵ１１１が、前記命令コードを実行し（ステ
ップＳ１０９）、メモリアクセス判断、及びメモリアク
セス処理を終了する。（ステップＳ１１１） また、ステップＳ１０２においてアクセス先のブロック
が存在しない場合、ステップＳ１０４においてアクセス
フラグがメモリアクセス不可を示す場合、及びステップ
Ｓ１０６において命令コードの種別が参照されたメモリ
管理テーブル１２３の読み込みフラグ及び書き込みフラ
グに矛盾する場合に、異常処理プログラムを実行する。
（ステップＳ１１０）異常処理プログラムは、実行プロ
グラムを正常に停止させる。そして、メモリアクセス判
断、及びメモリアクセス処理を終了する。（ステップＳ
１１１） 上記のように、メモリ管理装置１１８は、アクセス元の
ブロックとアクセス先のブロックとの間のメモリアクセ
ス制御を実現することができる。

【００５６】＜プログラムの作成＞これまでの説明の通
り、メモリ管理装置は、メモリを同一固定長のブロック
に分割して、各ブロック毎にメモリアクセス制御を行
う。このようなメモリ管理装置において有効なプログラ
ムは、複数のセッションにより構成されたプログラムで
ある。以下に複数のセッションにより構成されたプログ
ラムを作成する一例を示す。

【００５７】図１０は、実行プログラムを作成する一例
を示す図である。実行プログラムのソースファイル２０
０は、各セッションに対応して分割された２つのソース
ファイルＭａｉｎＰｒｏｇｒａｍ１．ｃ２０１と、Ｍａ
ｉｎＰｒｏｇｒａｍ２．ｃ２０２から構成される。メモ
リ管理装置では、ソースファイル間のメモリアクセス制
御を提供するため、図１０の例では、これら２つのソー
スファイル間でのメモリアクセス制御を提供する。

【００５８】まず、ＭａｉｎＰｒｏｇｒａｍ１．ｃ２０
１とＭａｉｎＰｒｏｇｒａｍ２．ｃ２０２を、コンパイ
ラ２０３によってコンパイルし、それぞれ、オブジェク
トファイルＭａｉｎＰｒｏｇｒａｍ１．ｒｆ２０４とＭ
ａｉｎＰｒｏｇｒａｍ２．ｒｆ２０５を作成する。次
に、リンカー２０６に、オブジェクトファイルＭａｉｎ
Ｐｒｏｇｒａｍ１．ｒｆ２０４とＭａｉｎＰｒｏｇｒａ
ｍ２．ｒｆ２０５と、論理メモリ空間において、前記オ
ブジェクトファイルが配置される論理アドレス位置を指
定するリンク情報２０７を入力することより、セッショ
ンＡ２０９とセッションＢ２１０で構成される実行プロ
グラムＭａｉｎＰｒｏｇｒａｍ．ｅｘｅ２０８を作成す
る。

【００５９】セッションＡ２０９はソースファイルＭａ
ｉｎＰｒｏｇｒａｍ１．ｃ２０１に対応するセッション
であり、セッションＢ２１０はソースファイルＭａｉｎ
Ｐｒｏｇｒａｍ２．ｃ２０２に対応するセッションであ
る。ここで、リンク情報２０７は、オブジェクトファイ
ルＭａｉｎＰｒｏｇｒａｍ１．ｒｆ２０４のコード部分
とデータ部分、オブジェクトファイルＭａｉｎＰｒｏｇ
ｒａｍ２．ｒｆ２０５のコード部分とデータ部分を論理
メモリ空間に配置する際の位置を示す情報である。

【００６０】上記のように、セッション単位でソースフ
ァイルを分割、コンパイル、リンクすることにより、複
数のセッションで構成される実行プログラムを作成する
ことができる。なお、プログラムの開発者は、実行プロ
グラムを作成する際に、実行プログラムの各セッション
の開始位置、終端位置などの、実行プログラムに関する
プログラム情報を意識して開発しなければならない。

【００６１】図１１は、プログラム情報の内容の一例を
示す図である。プログラム情報２２０は、実行プログラ
ム全体に関する情報と、実行プログラムを構成する各セ
ッションの情報からなる。実行プログラム全体に関する
情報は、バージョン情報２２１、認証子２２２、プログ
ラムサイズ２２３であり、各セッションの情報は、セッ
ションの開始アドレス番号２２４、セッションの終端ア
ドレス番号２２５、セッションの識別子２２６、セッシ
ョンのアクセス属性２２７、セッションの読み込み属性
２２８、セッションの書き込み属性２２９である。ま
た、各セッションの情報は、実行プログラムに含まれる
セッションの個数だけある。

【００６２】バージョン情報２２１は、実行プログラム
のバージョンを示す情報であり、実行プログラムの更新
の際に参照される。認証子２２２は、実行プログラムか
ら一意に導出される値であり、ＳＨＡ−１に代表される
ハッシュ演算により算出される値などを意味する。プロ
グラムサイズ２２３は、実行プログラムのプログラムサ
イズであり、実行プログラムの大きさを特定できるもの
であれば、バイト数でもブロック数でも良い。

【００６３】セッションの開始アドレス番号２２４は、
論理メモリ空間において、セッションが格納される先頭
論理アドレス番号である。セッションの終端アドレス番
号２２５は、論理メモリ空間において、セッションが格
納される終端論理アドレス番号である。セッションの識
別子２２６は、セッションを識別するものであり、数値
であっても文字列であっても良い。

【００６４】セッションのアクセス属性２２７は、セッ
ションの識別子が異なるセッションからのメモリアクセ
スの可否を示すものである。セッションの読み込み属性
２２８は、そのセッションに含まれるデータに対する読
み込み可否を示すものである。セッションの書き込み属
性２２９は、そのセッションに含まれるデータに対する
書き込み可否を示すものである。

【００６５】このようにプログラム情報２２０は、実行
プログラムをセッション単位で管理し、各セッションの
識別子、アクセス属性、読み込み属性、及び書き込み属
性を規定するものである。 ＜プログラムの更新＞マイクロプロセッサ１１０は、相
互認証されたサーバまたは電子証明書を保持する記録媒
体から新たな実行プログラムを取得し、外部ＲＯＭ１２
７に格納された実行プログラムを、取得した新たな実行
プログラムに更新する。実行プログラムの更新に伴い、
メモリ管理テーブル及びバージョン管理テーブルの更新
も行われる。以下に実行プログラムの更新及びバージョ
ン管理テーブルの更新の手順を示す。

【００６６】図１２は、実行プログラムの更新の手順を
示す図である。マイクロプロセッサ１１０の起動時のオ
プション、または起動後のプログラムにおけるシステム
更新メニューを実行することによって、プログラムを更
新するプログラム更新モードになる。（ステップＳ１２
０） 更新用プログラム１１６が、ＣＰＵ１１１によって実行
される。（ステップＳ１２１） 次に、更新用プログラム１１６は、図示されていない相
互認証されたサーバ、または電子証明書を保持する記録
媒体から、実行プログラムとプログラム情報２２０とを
取得し、外部ＲＡＭ１２８に格納する。（ステップＳ１
２２） さらに、更新用プログラム１１６は、バージョン管理テ
ーブル作成部１２１を介して参照したバージョン管理テ
ーブル１２４とプログラム情報２２０のバージョン情報
から、実行プログラムの更新が正当な更新であることを
確認する。（ステップＳ１２３） 正当な更新でない場合（ステップＳ１２３：Ｎ）には、
ステップＳ１３４に移動し、正当な更新であることを確
認した場合（ステップＳ１２３：Ｙ）には、ステップＳ
１２４に移動する。

【００６７】次に、更新用プログラム１１６は、外部Ｒ
ＡＭ１２８に格納された実行プログラムを認証子作成装
置１１２に入力する。認証子作成装置１１２は外部ＲＡ
Ｍ１２８に格納された実行プログラムの認証子を作成
し、更新用プログラム１１６に与える。（ステップＳ１
２４） 次に、更新用プログラム１１６は、外部ＲＡＭ１２８に
格納されたプログラム情報２２０の認証子を参照し、ス
テップＳ１２４で算出された認証子と比較する。（ステ
ップＳ１２５） それらが一致しない場合（ステップＳ１２５：Ｎ）に
は、実行プログラムが改ざんされていたとしてステップ
Ｓ１３４に移動し、それらが一致する場合（ステップＳ
１２５：Ｙ）には、ステップＳ１２６に移動する。

【００６８】次に、更新用プログラム１１６は、メモリ
管理テーブル作成部１１９を介してメモリ管理テーブル
１２３を参照し、外部ＲＯＭ１２７の空きブロックを探
索する。これにより、更新用プログラム１１６は、外部
ＲＯＭ１２７の空き記憶容量の総量を算出し、前記空き
容量の総量を外部ＲＡＭ１２８に保持する。（ステップ
Ｓ１２６） 次に、更新用プログラム１１６は、外部ＲＡＭ１２８に
格納されたプログラム情報２２０のプログラムサイズの
値を取得し、ステップＳ１２６で算出された外部ＲＯＭ
１２７の空き記憶容量の総量と比較する。（ステップＳ
１２７）これにより、更新用プログラム１１６は、前記
実行プログラムを外部ＲＯＭ１２７に格納可能であるこ
とを確認する。

【００６９】外部ＲＡＭ１２８に格納された前記実行プ
ログラムを外部ＲＯＭ１２７に格納することができない
と判断した場合（ステップＳ１２７：Ｎ）には、ステッ
プＳ１３４に移動し、格納することが可能であると判断
した場合（ステップＳ１２７：Ｙ）には、ステップＳ１
２８に移動する。更新用プログラム１１６は、メモリ管
理テーブル作成部１１９を介してメモリ管理テーブル１
２３を参照し、プログラム情報２２０におけるセッショ
ンの識別子とブロックデータ識別子とを比較することに
より、更新されるプログラムが格納されている外部ＲＯ
Ｍ１２７のブロックのブロック番号を探索し、前記ブロ
ック番号を外部ＲＡＭ１２８に保持する。（ステップＳ
１２８） 次に、更新用プログラム１１６は、メモリ管理テーブル
作成部１１９を介してメモリ管理テーブル１２３を参照
し、外部ＲＯＭ１２７の空きブロックを探索する。さら
に、更新用プログラム１１６は、外部ＲＯＭ１２７に格
納されていない実行プログラムをブロックのブロックサ
イズに分割し、空きブロックに格納する。（ステップＳ
１２９） 次に、更新用プログラム１１６は、プログラム情報２２
０のセッションの開始アドレス番号、セッションの終端
アドレス番号、セッションの識別子、セッションのアク
セス属性、セッションの読み込み属性、及び、セッショ
ンの書き込み属性を用いて、ステップＳ１２９で使用さ
れたブロックに対するブロックデータ識別子１４２、ア
クセスフラグ１４３、読み込みフラグ１４４、書き込み
フラグ１４５を取得する。

【００７０】そして、更新用プログラム１１６は、メモ
リ管理テーブル作成部１１９を介して、ステップＳ１２
９で使用されたブロックのブロック番号１４１に対応す
るメモリ管理テーブル１２３のエントリに、取得したブ
ロックデータ識別子１４２、アクセスフラグ１４３、読
み込みフラグ１４４、書き込みフラグ１４５を設定す
る。（ステップＳ１３０） 次に、更新用プログラム１１６は、プログラム情報２２
０のプログラムサイズの値を用いて、実行プログラムが
全て外部ＲＯＭ１２７に格納されたか否かを判断する。
（ステップＳ１３１） 実行プログラム全てが外部ＲＯＭ１２７に格納されてい
ないと判断した場合（ステップＳ１３１：Ｎ）には、ス
テップＳ１２９に移動し、実行プログラム全てが外部Ｒ
ＯＭ１２７に格納済みと判断した場合（ステップＳ１３
１：Ｙ）には、ステップＳ１３２に移動する。

【００７１】更新用プログラム１１６は、メモリ管理テ
ーブル作成部１１９を介して、ステップＳ１２８で取得
したブロック番号１４１に対応するメモリ管理テーブル
１２３のエントリの内容を消去する。これにより、古い
バージョンの実行プログラムが削除される。（ステップ
Ｓ１３２） 次に、更新用プログラム１１６は、プログラム情報２２
０のバージョン情報を用いて、バージョン管理テーブル
作成部１２１を介して、バージョン管理テーブル１２４
を更新する。（ステップＳ１３３） 次に、更新用プログラム１１６は、外部ＲＡＭ１２８に
格納された実行プログラムとプログラム情報２２０を消
去する。（ステップＳ１３４） そして、プログラム更新モードを終了させる。（ステッ
プＳ１３５） 上記の手順により、実行プログラムの更新、また実行プ
ログラムの更新に伴うメモリ管理テーブル及びバージョ
ン管理テーブルの更新を行うことができる。

【００７２】このように更新されたメモリ管理テーブル
及びバージョン管理テーブルと、プログラム情報との対
応関係を以下に示す。図１３は、プログラム情報とメモ
リ管理テーブルの各フィールドの対応関係及び、プログ
ラム情報とバージョン管理テーブルの各フィールドの対
応関係を示す図である。

【００７３】図１３に示すように、セッションの識別子
がブロックデータ識別子１４２に対応し、セッションの
アクセス属性がアクセスフラグ１４３に対応し、セッシ
ョンの読み込み属性が読み込みフラグ１４４に対応し、
セッションの書き込み属性が書き込みフラグ１４５に対
応する。また、プログラム情報２２０におけるバージョ
ン情報及び識別子は、バージョン管理テーブル１２４に
おけるバージョン情報及びブロックデータ識別子に対応
する。

【００７４】図１４は、プログラム内部におけるメモリ
保護の実現例を示す。図１４において、実行プログラム
２４３はセッションＡ２４０とセッションＢ２４１とセ
ッションＣ２４２により構成される。さらに、図１４の
プログラム情報２４４に示すように、実行プログラム２
４３に対して、セッションＡ２４０の識別子は１であ
り、セッションＡ２４０のアクセス属性は許可であると
いう設定を行い、セッションＢ２４１の識別子は２であ
り、セッションＢ２４１のアクセス属性は許可であると
いう設定を行い、セッションＣ２４２の識別子は２であ
り、セッションＣ２４２のアクセス属性は不可であると
いう設定を行う。上記のように、セッションの識別子と
セッションのアクセス属性を設定することで、セッショ
ンＢ２４１に格納された命令コードによるセッションＣ
２４２へのメモリアクセスは許可されるが、セッション
Ａ２４０に格納された命令コードによるセッションＣ２
４２へのメモリアクセスは拒否される。

【００７５】つまり、メモリ管理装置は、分割されたセ
ッションを格納するブロックに、セッションを識別する
ためのブロックデータ識別子とアクセスフラグとを適切
に設定することで、各ブロックに対して、特定のセッシ
ョンに格納された命令コードによってのみメモリアクセ
スを許可するメモリ保護機能を実現することができる。

【００７６】なお、図２において、外部ＲＯＭ１２７
は、フラッシュＲＯＭであっても良いし、それ以外の不
揮発性メモリであっても良い。なお、異常処理プログラ
ム１１７は、不正なメモリアクセスを行ったことを示す
情報をマイクロプロセッサ１１０の外部に報告してもよ
い。なお、外部ＲＯＭ１２７と外部ＲＡＭ１２８のブロ
ックのブロックサイズは異なっていてもよい。

【００７７】なお、図９のメモリアクセスの判断及びメ
モリアクセス処理の手順において、ステップＳ１０５に
おける命令コードの種別の取得は、ステップＳ１００の
直後に行っても良い。なお、ステップＳ１０７におい
て、メモリアクセス可否判断部１２０が、メモリアクセ
スを許可することを示すメモリアクセス許可信号をメモ
リアクセス部１２５に送信するかわりに、メモリアクセ
ス可否判断部１２０がレジスタに値を設定し、その値を
メモリアクセス部１２５が参照し、それによりメモリア
クセス部１２５が外部ＲＯＭ１２７や外部ＲＡＭ１２８
にメモリアクセスを行ってもよい。

【００７８】（実施の形態２） ＜概要＞本実施の形態において、メモリ管理テーブル格
納装置は、マイクロプロセッサの外部に設けられる。こ
れは、マイクロプロセッサの内部に十分なフラッシュＲ
ＯＭなどが確保できない場合に該当する。メモリ管理テ
ーブル格納装置が外部に設けられることで、メモリ管理
テーブルは、盗み見られる危険性にさらされる。そこで
メモリ管理テーブルは暗号化されてメモリ管理テーブル
格納装置に格納される。

【００７９】＜マイクロプロセッサの構成＞図１５は、
マイクロプロセッサに内蔵されたメモリ管理装置を示す
図である。マイクロプロセッサ２６０は、同一半導体チ
ップ上に形成されている半導体集積回路であり、ＣＰＵ
２６１、認証子作成装置２６２、論理アドレス・物理ア
ドレス変換装置２６３、内部ＲＯＭ２６４、メモリ管理
装置２６８、内部ＲＡＭ２８１、暗号化装置２８２、及
びＩＤ格納装置２８３を備え、各装置を内部バス２７６
により接続している。また、マイクロプロセッサ２６０
は、外部バス２８０により外部ＲＯＭ２７７、外部ＲＡ
Ｍ２７８、及びメモリ管理テーブル格納装置２７２と接
続されている。

【００８０】本実施の形態において、実施の形態１と異
なる構成は、メモリ管理装置２６８、メモリ管理テーブ
ル格納装置２７２、内部ＲＡＭ２８１、暗号化装置２８
２、及びＩＤ格納装置２８３である。その他の構成は実
施の形態１と同様なので説明を省略する。メモリ管理装
置２６８は、メモリ管理テーブル作成部２６９、メモリ
アクセス可否判断部２７０、バージョン管理テーブル作
成部２７１及び、メモリアクセス部２７５を備える。本
実施の形態において、メモリ管理装置２６８は、メモリ
管理テーブル格納装置２７２を備えていない点が実施の
形態１と異なる。

【００８１】メモリアクセス部２７５は、メモリアクセ
ス可否判断部２７０によりメモリアクセスが許可された
場合に、外部ＲＯＭ２７７及び外部ＲＡＭ２７８にアク
セスし、メモリ管理テーブル作成部２６９及びバージョ
ン管理テーブル作成部２７１により要求される場合に、
メモリ管理テーブル格納装置２７２にアクセスする。そ
の他のメモリ管理装置２６８内部の各機能部は実施の形
態１と同様である。

【００８２】メモリ管理テーブル格納装置２７２は、メ
モリ管理テーブル２７３、及びバージョン管理テーブル
２７４を格納しており、外部バス２８０に接続されてい
る。メモリ管理テーブル２７３、及びバージョン管理テ
ーブル２７４は、暗号化装置２８２によって暗号化され
て格納されている点が実施の形態１と異なり、各テーブ
ルの内容自体は、実施の形態１と同様である。

【００８３】内部ＲＡＭ２８１は、ＣＰＵ２６１が使用
するＲＡＭである。暗号化装置２８２は、メモリ管理テ
ーブル２７３とバージョン管理テーブル２７４とを、Ｉ
Ｄ格納装置２８３に格納されているＩＤ２８４を用いて
暗号化及び復号化する装置である。ＩＤ格納装置２８３
は、メモリ管理テーブル２７３とバージョン管理テーブ
ル２７４とを暗号化及び復号化する際に用いられるＩＤ
２８４を格納する。ここで、ＩＤ２８４は、マイクロプ
ロセッサ２６０に固有の情報である。

【００８４】マイクロプロセッサ２６０において、内部
ＲＡＭ２８１とＩＤ格納装置２８３とに格納されたデー
タは、マイクロプロセッサ２６０の外部からアクセスで
きないように管理されている。外部ＲＯＭ２７７と外部
ＲＡＭ２７８は、同一固定長のブロックに分割されブロ
ック単位で管理されており、外部ＲＯＭ２７７と外部Ｒ
ＡＭ２７８との各ブロック２７９は、一意のブロック番
号が対応付けられている。

【００８５】さらに、マイクロプロセッサ２６０は、図
示されていない例外処理回路、タイマなどの周辺機能回
路が設けられている場合もある。 ＜メモリ管理装置の動作＞次に、メモリ管理装置のメモ
リアクセスの制御に係る動作について説明する。実施の
形態１において、メモリ管理テーブルはマイクロプロセ
ッサ内部に存在していたが、本実施の形態において、メ
モリ管理テーブルは、マイクロプロセッサ外部に存在す
る。したがって、マイクロプロセッサの起動時に、メモ
リ管理テーブルを内部ＲＡＭに格納する手順が増える。
以下に、詳細を説明する。

【００８６】マイクロプロセッサ２６０が起動される
と、ブートプログラム２６５が、メモリ管理テーブル作
成部２６９を通じてメモリ管理テーブル格納装置２７２
から暗号化されたメモリ管理テーブル２７３を取得す
る。その後、ブートプログラム２６５は、暗号化された
メモリ管理テーブル２７３を暗号化装置２８２に入力す
る。暗号化装置２８２は、ＩＤ格納装置２８３に格納さ
れたＩＤ２８４を用いて、暗号化されたメモリ管理テー
ブル２７３を復号化して内部ＲＡＭ２８１に格納する。

【００８７】これにより、メモリ管理テーブル２７３が
内部ＲＡＭ２８１内に再現され、メモリアクセス可否判
断部２７０は、内部ＲＡＭ２８１内に格納されたメモリ
管理テーブル２７３を参照してアクセス制御を行う。そ
の他の動作については、実施の形態１と同様である。 ＜プログラムの更新＞マイクロプロセッサ２６０は、実
施の形態１と同様に、相互認証されたサーバまたは電子
証明書を保持する記録媒体から新たな実行プログラムを
取得し、外部ＲＯＭ２７７に格納された実行プログラム
を、取得した新たな実行プログラムに更新する。実行プ
ログラムの更新に伴い、メモリ管理テーブル及びバージ
ョン管理テーブルの更新も行われる。以下に実行プログ
ラムの更新及びバージョン管理テーブルの更新の手順を
示す。

【００８８】本実施の形態が、実施の形態１と異なるの
は、下記の点である。メモリ管理テーブル２７３の更新
の動作において、更新用プログラム２６６が、実行プロ
グラムとプログラム情報を取得した後に、メモリ管理テ
ーブル作成部２６９を通じてメモリ管理テーブル格納装
置２７２から、暗号化されたメモリ管理テーブル２７３
を取得する。その後、更新用プログラム２６６は、暗号
化されたメモリ管理テーブル２７３を、暗号化装置２８
２に入力する。暗号化装置２８２は、ＩＤ格納装置２８
３に格納されたＩＤ２８４を用いて、暗号化されたメモ
リ管理テーブル２７３を復号化し、内部ＲＡＭ２８１に
格納する。

【００８９】同様に、更新用プログラム２６６が、バー
ジョン管理テーブル作成部２７１を通じてメモリ管理テ
ーブル格納装置２７２から、暗号化されたバージョン管
理テーブル２７４を取得する。その後、更新用プログラ
ム２６６は、暗号化されたバージョン管理テーブル２７
４を、暗号化装置２８２に入力する。暗号化装置２８２
は、ＩＤ格納装置２８３に格納されたＩＤ２８４を用い
て、暗号化されたバージョン管理テーブル２７４を復号
化し、内部ＲＡＭ２８１に格納する。

【００９０】これにより、メモリ管理テーブル２７３及
びバージョン管理テーブル２７４が内部ＲＡＭ２８１内
に再現され、更新用プログラム２６６は、内部ＲＡＭ２
８１に格納されたメモリ管理テーブル２７３とバージョ
ン管理テーブル２７４とを参照して更新する。その後、
プログラムの更新については、実施の形態１と同様であ
る。

【００９１】そして、実施の形態１で更新用プログラム
が、バージョン管理テーブルを更新するステップ（Ｓ１
３３）において、本実施の形態では、更新用プログラム
２６６が、内部ＲＡＭ２８１に格納されたメモリ管理テ
ーブル２７３とバージョン管理テーブル２７４とを、暗
号化装置２８２に入力する。暗号化装置２８２は、ＩＤ
格納装置２８３に格納されたＩＤ２８４を用いて、メモ
リ管理テーブル２７３とバージョン管理テーブル２７４
とを暗号化し、内部ＲＡＭ２８１に格納する。

【００９２】そして、更新用プログラム２６６は、暗号
化されたメモリ管理テーブル２７３を、メモリ管理テー
ブル作成部２６９を通じてメモリ管理テーブル格納装置
２７２に格納する。同様に、更新用プログラム２６６
は、暗号化されたバージョン管理テーブル２７４を、バ
ージョン管理テーブル作成部２７１を通じてメモリ管理
テーブル格納装置２７２に格納する。

【００９３】本実施の形態において、メモリ管理テーブ
ル格納装置２７２は、マイクロプロセッサ２６０の外部
に設けられる。しかし、メモリ管理テーブル２７３及び
バージョン管理テーブル２７４を暗号化させることで、
盗み見からの保護を実現している。なお、ＩＤ２８４を
格納するＩＤ格納装置２８３がないマイクロプロセッサ
２６０において、メモリ管理テーブル２７３の更新の動
作とメモリアクセス制御との動作で、暗号化装置２８２
が、ＩＤ２８４を用いずに暗号化及び復号化を行っても
よいし、ＩＤ２８４を格納するＩＤ格納装置２８３を持
つマイクロプロセッサ２６０であっても、メモリ管理テ
ーブル２７３の更新の動作とメモリアクセス制御の動作
で、暗号化装置２８２が、ＩＤ２８４を用いずに暗号化
及び復号化を行ってもよい。

【００９４】なお、外部ＲＯＭ２７７は、フラッシュＲ
ＯＭであってもよいし、それ以外の不揮発性メモリであ
ってもよい。なお、メモリ管理テーブル格納装置２７２
は、フラッシュＲＯＭであっても良いし、それ以外の不
揮発性メモリであってもよい。なお、異常処理プログラ
ム２６７は、不正なメモリアクセスを行ったことを示す
情報をマイクロプロセッサ２６０外部に報告してもよ
い。

【００９５】なお、外部ＲＯＭ２７７と外部ＲＡＭ２７
８のブロック２７９のブロックサイズは異なっていても
よい。なお、メモリ管理テーブル格納装置２７２が外部
ＲＯＭ２７７の一部であってもよい。なお、メモリ管理
テーブル格納装置２７２が外部ＲＡＭ２７８の一部であ
ってもよい。

【００９６】（実施の形態３） ＜概要＞本実施の形態において、メモリ管理テーブル格
納装置は、実施の形態２と同様にマイクロプロセッサの
外部に設けられる。したがって、メモリ管理テーブルが
盗み見られたり改ざんされる危険性にさらされる。そこ
で実施の形態２では、メモリ管理テーブルを暗号化する
ことでメモリ管理テーブルの保護を行った。しかし、メ
モリ管理テーブルを暗号化するほどでもなく、改ざんさ
れていれば、そのことだけがわかればいい場合もある。
そこで、本実施の形態は、メモリ管理テーブルにそのメ
モリ管理テーブルから一意に導き出せる認証子を与え、
その認証子を用いて改ざんされているか否か検出するこ
ととする。

【００９７】＜マイクロプロセッサの構成＞図１６は、
マイクロプロセッサに内蔵されたメモリ管理装置を示す
図である。マイクロプロセッサ３００は、同一半導体チ
ップ上に形成されている半導体集積回路であり、ＣＰＵ
３０１、認証子作成装置３０２、論理アドレス・物理ア
ドレス変換装置３０３、内部ＲＯＭ３０４、メモリ管理
装置３０８、内部ＲＡＭ３２１、認証子判定装置３２
２、及び認証子格納装置３２３を備え、各装置を内部バ
ス３１６により接続している。また、マイクロプロセッ
サ３００は、外部バス３２０により外部ＲＯＭ３１７、
外部ＲＡＭ３１８、及びメモリ管理テーブル格納装置３
１２と接続されている。

【００９８】本実施の形態において、実施の形態２と異
なる構成は、メモリ管理テーブル格納装置３１２、認証
子判定装置３２２、及び認証子格納装置３２３である。
その他の構成は実施の形態２と同様なので説明を省略す
る。メモリ管理テーブル格納装置３１２がマイクロプロ
セッサ３００の外部に設けられていることは実施の形態
２と同様である。ところが、本実施の形態において、メ
モリ管理テーブル格納装置３１２に格納されているメモ
リ管理テーブル３１３及びバージョン管理テーブル３１
４は、暗号化されていない。

【００９９】認証子判定装置３２２は、メモリ管理テー
ブル格納装置３１２からメモリ管理テーブル３１３を読
み込み、内部ＲＡＭ３２１に格納する際に、認証子作成
装置３０２を用いてメモリ管理テーブル３１３から作成
された認証子と、認証子格納装置３２３に格納されてい
るメモリ管理テーブルの認証子とを比較して同一か否か
判定する装置である。

【０１００】認証子格納装置３２３は、メモリ管理テー
ブル３１３の認証子を格納する装置である。メモリ管理
テーブルの認証子３２４は、認証子作成装置３０２によ
り作成される。マイクロプロセッサ３００が起動される
度に、メモリ管理テーブル３１３は内部ＲＡＭ３２１に
読み込まれる。その際に、読み込んだメモリ管理テーブ
ル３１３から生成された認証子と、予め格納されていた
認証子３２４とを認証子判定装置３２２により比較す
る。これにより、これらの認証子が同一であれば、メモ
リ管理テーブル３１３は改ざんされていないと判断し、
認証子が異なれば、メモリ管理テーブル３１３が改ざん
されていると判断することができる。

【０１０１】また、マイクロプロセッサ３００におい
て、内部ＲＡＭ３２１と認証子格納装置３２３に格納さ
れたデータは、マイクロプロセッサ３００の外部からア
クセスできないように管理されている。さらに、マイク
ロプロセッサ３００には、図示されていない例外処理回
路、タイマなどの周辺機能回路が設けられている場合も
ある。

【０１０２】＜メモリ管理装置の動作＞次に、メモリ管
理装置のメモリアクセスの制御に係る動作について説明
する。実施の形態１において、メモリ管理テーブルはマ
イクロプロセッサ内部に存在していたが、本実施の形態
において、メモリ管理テーブルは、マイクロプロセッサ
外部に存在する。したがって、マイクロプロセッサの起
動時に、メモリ管理テーブルを内部ＲＡＭに格納する手
順が増える。以下に、詳細を説明する。

【０１０３】図１７は、メモリ保護機能初期化を行う手
順を示す図である。マイクロプロセッサ３００が起動さ
れると、ブートプログラム３０５がＣＰＵ３０１により
実行される。そして、ブートプログラム３０５の処理ス
テップの一部としてメモリ保護機能初期化モードが実行
される。（ステップＳ１４０） ブートプログラム３０５は、メモリ管理テーブル作成部
３０９を介して、メモリ管理テーブル格納装置３１２に
格納されたメモリ管理テーブル３１３を取得し、内部Ｒ
ＡＭ３２１に格納する。（ステップＳ１４１） 次に、ブートプログラム３０５は、認証子作成装置３０
２にメモリ管理テーブル３１３を入力する。そして、認
証子作成装置３０２は、メモリ管理テーブル３１３の認
証子を作成し、ブートプログラム３０５に与える。（ス
テップＳ１４２） 次に、ブートプログラム３０５は、認証子格納装置３２
３に格納された認証子３２４と、ステップＳ１４２で取
得した認証子を認証子判定装置３２２に入力する。認証
子判定装置３２２は、２つの認証子を比較し、同一であ
るか否かを判定する。（ステップＳ１４３） ２つの認証子が同一でないと判定された場合（ステップ
Ｓ１４３：Ｎ）には、認証子判定装置３２２は、メモリ
管理テーブル３１３が改ざんされていることをブートプ
ログラム３０５に通知する。そして、ステップＳ１４５
に移動する。ステップＳ１４５において、ブートプログ
ラム３０５は停止する。それにより、ステップＳ１４６
において、マイクロプロセッサ３００は停止する。

【０１０４】２つの認証子が同一であると判定された場
合（ステップＳ１４３：Ｙ）には、ブートプログラム３
０５は、メモリ保護機能初期化モードを終了する。（ス
テップＳ１４４） それ以降、ブートプログラム３０５は、メモリ保護機能
以外の初期化処理を行う。

【０１０５】これにより、メモリ管理テーブル３１３が
内部ＲＡＭ３２１内に再現され、メモリアクセス可否判
断部３１０は、内部ＲＡＭ３２１内に格納されたメモリ
管理テーブル３１３を参照してアクセス制御を行う。そ
の他の動作については、実施の形態１と同様である。 ＜プログラムの更新＞マイクロプロセッサ３００は、実
施の形態１及び実施の形態２と同様に、相互認証された
サーバまたは電子証明書を保持する記録媒体から新たな
実行プログラムを取得し、外部ＲＯＭ３１７に格納され
た実行プログラムを取得した新たな実行プログラムに更
新する。実行プログラムの更新に伴い、メモリ管理テー
ブル及びバージョン管理テーブルの更新も行われる。以
下に実行プログラムの更新及びバージョン管理テーブル
の更新の手順を示す。

【０１０６】図１８は、実行プログラムの更新の手順を
示す図である。図１９は、実行プログラムの更新の手順
を示す図である。マイクロプロセッサ３００の起動時の
オプション、または起動後のプログラムにおけるシステ
ム更新メニューを実行することによって、プログラムを
更新するプログラム更新モードになる。（ステップＳ１
５０） 更新用プログラム３０６が、ＣＰＵ３０１によって実行
される。（ステップＳ１５１） 次に、更新用プログラム３０６は、図示されていない相
互認証されたサーバ、または電子証明書を保持する記録
媒体から、実行プログラムとプログラム情報２２０とを
取得し、外部ＲＡＭ３１８に格納する。（ステップＳ１
５２） 次に、更新用プログラム３０６は、メモリ管理テーブル
格納装置３１２に格納されたメモリ管理テーブル３１３
を、メモリ管理テーブル作成部３０９を介して取得し、
内部ＲＡＭ３２１に格納する。（ステップＳ１５３） 次に、更新用プログラム３０６は、認証子作成装置３０
２にメモリ管理テーブル３１３を入力する。そして、認
証子作成装置３０２は、メモリ管理テーブル３１３の認
証子を作成し、更新用プログラム３０６に与える。（ス
テップＳ１５４） 次に、更新用プログラム３０６は、認証子格納装置３２
３に格納されたメモリ管理テーブルの認証子３２４と、
ステップＳ１５４で取得した認証子とを認証子判定装置
３２２に与える。認証子判定装置３２２は、２つの認証
子を比較し、同一であるか否かを判定する。（ステップ
Ｓ１５５） ２つの認証子が同一でないと判定された場合（ステップ
Ｓ１５５：Ｎ）には、認証子判定装置３２２は、メモリ
管理テーブル３１３が改ざんされていることを更新用プ
ログラム３０６に通知し、ステップＳ１７１へ移動す
る。

【０１０７】２つの認証子が同一であると判定された場
合（ステップＳ１５５：Ｙ）には、認証子判定装置３２
２は、更新用プログラム３０６に、同一であることを通
知する。そして、更新用プログラム３０６は、バージョ
ン管理テーブル作成部３１１を介して、バージョン管理
テーブル３１４を取得し、内部ＲＡＭ３２１に格納す
る。（ステップＳ１５６） それ以降のステップＳ１５７からステップＳ１６７で
は、実施の形態１と同様に、更新用プログラム３０６
は、内部ＲＡＭ３２１に格納されたメモリ管理テーブル
３１３とバージョン管理テーブル３１４とを参照、更新
する。

【０１０８】そして、更新用プログラム３０６が、内部
ＲＡＭ３２１に格納されたメモリ管理テーブル３１３を
認証子作成装置３０２に入力する。認証子作成装置３０
２はメモリ管理テーブル３１３の認証子を作成し、更新
用プログラム３０６に与える。（ステップＳ１６８） 次に、更新用プログラム３０６は、ステップＳ１６８で
取得した認証子を認証子格納装置３２３に格納する。
（ステップＳ１６９） 次に、更新用プログラム３０６は、内部ＲＡＭ３２１に
格納されたメモリ管理テーブル３１３を、メモリ管理テ
ーブル作成部３０９を介してメモリ管理テーブル格納装
置３１２に格納する。

【０１０９】同様に、更新用プログラム３０６は、内部
ＲＡＭ３２１に格納されたバージョン管理テーブル３１
４を、バージョン管理テーブル作成部３１１を介して、
メモリ管理テーブル格納装置３１２に格納する。（ステ
ップＳ１７０） 更新用プログラム３０６は、外部ＲＡＭ３１８に格納さ
れた実行プログラムとプログラム情報を削除する。（ス
テップＳ１７１）そして、プログラム更新モードを終了
する。（ステップＳ１７２） なお、外部ＲＯＭ３１７は、フラッシュＲＯＭであって
もよいし、それ以外の不揮発性メモリであってもよい。

【０１１０】なお、メモリ管理テーブル格納装置３１２
は、フラッシュＲＯＭであってもよいし、それ以外の不
揮発性メモリであってもよい。なお、異常処理プログラ
ム３０７は、不正なメモリアクセスを行ったことを示す
情報をマイクロプロセッサ３００外部に報告してもよ
い。なお、外部ＲＯＭ３１７と外部ＲＡＭ３１８のブロ
ック３１９のブロックサイズは異なっていてもよい。

【０１１１】なお、メモリ管理テーブル格納装置３１２
は、外部ＲＯＭ３１７の一部であってもよい。なお、メ
モリ管理テーブル格納装置３１２は、外部ＲＡＭ３１８
の一部であってもよい。

【０１１２】

【発明の効果】本発明に係るメモリ管理装置は、複数の
領域に分割されたメモリへのアクセスを管理するメモリ
管理装置であって、メモリへのアクセスの要求に基づい
て当該アクセスのアクセス先が属する領域であるアクセ
ス先領域とアクセス元が属する領域であるアクセス元領
域とを特定する特定手段と、前記特定手段により特定さ
れたアクセス元領域が前記領域毎に予め定められている
所定領域である場合にアクセスを許可すると判断し、ア
クセス元領域が前記所定領域でない場合にアクセスを許
可しないと判断する判断手段とを備えることを特徴とす
る。

【０１１３】上記構成によれば、メモリ管理装置は、ア
クセス先領域とアクセス元領域とを特定して、そのアク
セス元領域がアクセス先領域に所定領域として予め定め
られていなければ、アクセスを許可しない。これによ
り、メモリ管理装置は、重要なデータなどをプログラム
の不具合などによる不正なアクセスから保護することが
できる。例えば、「１」の領域に課金情報が格納され、
「２」の領域のみが「１」の領域へのアクセス可能な領
域、即ち、所定領域であるとする。このような環境であ
れば、「３」の領域に格納している命令コードに誤りが
あり、その命令コードが「１」の領域へのアクセスを要
求したとしても、メモリ管理装置は、そのアクセスを許
可しない。そのため課金情報が保護される。

【０１１４】また、前記メモリ管理装置は、さらに、前
記所定領域を示すアクセス情報を領域毎に記憶する記憶
手段を備え、前記判断手段は、アクセス先領域のアクセ
ス情報を参照して当該アクセス情報が示す所定領域に前
記アクセス元領域が含まれる場合にアクセスを許可する
と判断し、当該アクセス情報が示す所定領域に前記アク
セス元領域が含まれない場合に前記アクセスを許可しな
いと判断することを特徴としてもよい。

【０１１５】上記構成によれば、メモリ管理装置は、領
域毎にアクセス情報を記憶しており、アクセス先領域の
アクセス情報によりアクセスの可否を判断する。これに
より、メモリ管理装置は、アクセス先領域にアクセス可
能な所定領域をアクセス情報から得ることができる。ま
た、前記複数の領域の各領域は、プログラム又はプログ
ラムの一部を格納し、前記記憶手段は、領域に格納して
いるプログラム又はプログラムの一部に基づいて予め定
められた識別子とアクセスフラグとを領域毎に記憶し、
前記判断手段は、アクセス先領域の識別子、アクセス元
領域の識別子、及びアクセス先領域のアクセスフラグを
参照して、互いの識別子が一致するか、又は、互いの識
別子が一致しなくとも前記アクセスフラグがアクセス可
を示す場合にアクセスを許可すると判断し、互いの識別
子が一致せずかつ前記アクセスフラグがアクセス不可を
示す場合にアクセスを許可しないと判断することを特徴
としてもよい。

【０１１６】上記構成によれば、メモリ管理装置は、領
域毎にプログラム又はプログラムの一部に基づいて予め
定められている識別子とアクセスフラグとを記憶してお
り、アクセス先領域の識別子とアクセスフラグ、及びア
クセス元領域の識別子によりアクセスの可否を判断す
る。これにより、メモリ管理装置は、識別子とアクセス
フラグの２つの情報により、より詳細に各領域のアクセ
スの特性を規定することができる。

【０１１７】また、前記メモリ管理装置は、さらに、暗
号化されたアクセス情報を入手する入手手段と、前記入
手手段により入手された前記暗号化されたアクセス情報
を復号する復号手段とを備え、前記記憶手段は、前記復
号手段により復号された前記アクセス情報を記憶するこ
とを特徴としてもよい。上記構成によれば、アクセス情
報は、暗号化されて保存されている。メモリ管理装置
は、暗号化されたアクセス情報を復号して利用する。こ
れは、アクセス情報が漏洩したとしても、そのアクセス
情報は暗号化されているので、アクセス情報の盗み見が
されないことを意味する。

【０１１８】これにより、メモリ管理装置は、重要なデ
ータなどをアクセス情報の不正利用による不正なアクセ
スから保護することができる。また、前記アクセス情報
は、当該アクセス情報が正当な情報であることを示す認
証子を有し、前記メモリ管理装置は、さらに、前記認証
子を有するアクセス情報を入手する入手手段と、前記入
手手段により入手された前記アクセス情報が正当である
か否かを前記認証子を用いて確認する確認手段とを備
え、前記記憶手段は、前記確認手段により前記アクセス
情報が正当であると確認された場合に前記アクセス情報
を記憶することを特徴としてもよい。

【０１１９】上記構成によれば、アクセス情報は、その
アクセス情報が正当であることを示す固有の認証子を有
する。メモリ管理装置は、その認証子を用いてアクセス
情報が正当であるか否かを確認して、正当である場合に
そのアクセス情報を利用する。つまり、メモリ管理装置
は、アクセス情報が改ざんされていた場合に、そのアク
セス情報を利用しないと判断することができる。

【０１２０】これにより、メモリ管理装置は、改ざんさ
れたアクセス情報の利用を未然に防ぐことができる。ま
た、前記記憶手段は、当該アクセス情報が正当な情報で
あることを示す認証子を有するアクセス情報を記憶し、
前記判断手段は、前記アクセス情報が正当であると前記
認証子を用いて確認された場合に前記アクセス情報を参
照することを特徴としてもよい。

【０１２１】上記構成によれば、アクセス情報は、その
アクセス情報が正当であることを示す固有の認証子を有
する。メモリ管理装置は、その認証子を用いてアクセス
情報が正当であるか否かを確認して、正当である場合に
そのアクセス情報を利用する。つまり、メモリ管理装置
は、アクセス情報が改ざんされていた場合に、そのアク
セス情報を利用しないと判断することができる。

【０１２２】これにより、メモリ管理装置は、改ざんさ
れたアクセス情報の利用を未然に防ぐことができる。本
発明に係るメモリ管理方法は、複数の領域に分割された
メモリへのアクセスを管理するメモリ管理方法であっ
て、メモリへのアクセスの要求に基づいて、当該アクセ
スのアクセス先が属する領域であるアクセス先領域とア
クセス元が属する領域であるアクセス元領域とを特定す
る特定ステップと、前記特定ステップにより特定された
アクセス元領域が前記領域毎に予め定められている所定
領域である場合にアクセスを許可すると判断し、アクセ
ス元領域が前記所定領域でない場合にアクセスを許可し
ないと判断する判断ステップとを備えることを特徴とす
る。

【０１２３】上記構成によれば、メモリ管理方法は、ア
クセス先領域とアクセス元領域とを特定して、そのアク
セス元領域がアクセス先領域に所定領域として予め定め
られていなければ、アクセスを許可しない。これによ
り、メモリ管理方法は、重要なデータなどをプログラム
の不具合などによる不正なアクセスから保護することが
できる。例えば、「１」の領域に課金情報が格納され、
「２」の領域のみが「１」の領域へのアクセス可能な領
域、即ち、所定領域であるとする。このような環境であ
れば、「３」の領域に格納している命令コードに誤りが
あり、その命令コードが「１」の領域へのアクセスを要
求したとしても、メモリ管理方法は、そのアクセスを許
可しない。そのため課金情報が保護される。

【図面の簡単な説明】

【図１】メモリ管理装置の構成を示す図である。

【図２】マイクロプロセッサに内蔵されたメモリ管理装
置を示す図である。

【図３】メモリ管理テーブルの内容を示す図である。

【図４】実行プログラムの構成の一例を示す図である。

【図５】１つの実行プログラムが複数のセッションで構
成される場合に、実行プログラムがメモリに格納された
様子を示す図である。

【図６】１つの実行プログラムが複数のセッションで構
成される場合に、複数の実行プログラムがメモリに格納
された様子を示す図である。

【図７】１つの実行プログラムが１つのセッションで構
成される場合に、複数の実行プログラムがメモリに格納
された様子を示す図である。

【図８】バージョン管理テーブルの内容を示す図であ
る。

【図９】メモリアクセスの判断及びメモリアクセス処理
の手順を示す図である。

【図１０】実行プログラムを作成する一例を示す図であ
る。

【図１１】プログラム情報の内容の一例を示す図であ
る。

【図１２】実行プログラムの更新の手順を示す図であ
る。

【図１３】プログラム情報とメモリ管理テーブルの各フ
ィールドの対応関係及び、プログラム情報とバージョン
管理テーブルの各フィールドの対応関係を示す図であ
る。

【図１４】プログラム内部におけるメモリ保護の実現例
を示す。

【図１５】マイクロプロセッサに内蔵されたメモリ管理
装置を示す図である。

【図１６】マイクロプロセッサに内蔵されたメモリ管理
装置を示す図である。

【図１７】メモリ保護機能初期化を行う手順を示す図で
ある。

【図１８】実行プログラムの更新の手順を示す図であ
る。

【図１９】実行プログラムの更新の手順を示す図であ
る。

【図２０】第２の方法を用いた従来法における、メモリ
領域の管理例を示す図である。

【図２１】第２の方法を用いた場合の、論理メモリ空間
４００に配置されたプログラム１のメモリアクセスの一
例を示す図である。

【符号の説明】

１０１ メモリ管理装置 １０２ 特定部 １０３ 判断部 １０４ 記憶部 １０５ ＣＰＵ １０６ メモリ １１０、２６０、３００ マイクロプロセッサ １１１、２６１、３０１ ＣＰＵ １１２、２６２、３０２ 認証子作成装置 １１３、２６３、３０３ 論理アドレス・物理アドレス
変換装置 １１４、２６４、３０４ 内部ＲＯＭ １１５、２６５、３０５ ブートプログラム １１６、２６６、３０６ 更新用プログラム １１７、２６７、３０７ 異常処理プログラム １１８、２６８、３０８ メモリ管理装置 １１９、２６９、３０９ メモリ管理テーブル作成部 １２０、２７０、３１０ メモリアクセス可否判断部 １２１、２７１、３１１ バージョン管理テーブル作成
部 １２２、２７２、３１２ メモリ管理テーブル格納部 １２３、２７３、３１３ メモリ管理テーブル １２４、２７４、３１４ バージョン管理テーブル １２５、２７５、３１５ メモリアクセス部 １２６、２７６、３１６ 内部バス １２７、２７７、３１７ 外部ＲＯＭ １２８、２７８、３１８ 外部ＲＡＭ １２９、２７９、３１９ ブロック １３０、２８０、３２０ 外部バス ２８１、３２１ 内部ＲＡＭ ２８２ 暗号化装置 ２８３ ＩＤ格納装置 ２８４ ＩＤ ３２２ 認証子判定装置 ３２３ 認証子格納装置 ３２４ メモリ管理テーブルの認証子

フロントページの続き (72)発明者 宗 広和 大阪府門真市大字門真1006番地 松下電器 産業株式会社内 (72)発明者 井上 信治 大阪府門真市大字門真1006番地 松下電器 産業株式会社内 Ｆターム(参考） 5B017 AA01 BA01 BA06 CA15

Claims (7)

【特許請求の範囲】
1. 【請求項１】 複数の領域に分割されたメモリへのアク
   セスを管理するメモリ管理装置であって、 メモリへのアクセスの要求に基づいて、当該アクセスの
   アクセス先が属する領域であるアクセス先領域とアクセ
   ス元が属する領域であるアクセス元領域とを特定する特
   定手段と、 前記特定手段により特定されたアクセス元領域が前記領
   域毎に予め定められている所定領域である場合に、アク
   セスを許可すると判断し、アクセス元領域が前記所定領
   域でない場合に、アクセスを許可しないと判断する判断
   手段とを備えることを特徴とするメモリ管理装置。
2. 【請求項２】 前記メモリ管理装置は、さらに、 前記所定領域を示すアクセス情報を領域毎に記憶する記
   憶手段を備え、 前記判断手段は、 アクセス先領域のアクセス情報を参照して、当該アクセ
   ス情報が示す所定領域に前記アクセス元領域が含まれる
   場合に、アクセスを許可すると判断し、当該アクセス情
   報が示す所定領域に前記アクセス元領域が含まれない場
   合に、前記アクセスを許可しないと判断することを特徴
   とする請求項１に記載のメモリ管理装置。
3. 【請求項３】 前記複数の領域の各領域は、プログラム
   又はプログラムの一部を格納し、 前記記憶手段は、 領域に格納しているプログラム又はプログラムの一部に
   基づいて予め定められた識別子とアクセスフラグとを領
   域毎に記憶し、 前記判断手段は、 アクセス先領域の識別子、アクセス元領域の識別子、及
   びアクセス先領域のアクセスフラグを参照して、 互いの識別子が一致するか、又は、互いの識別子が一致
   しなくとも前記アクセスフラグがアクセス可を示す場合
   に、アクセスを許可すると判断し、互いの識別子が一致
   せずかつ前記アクセスフラグがアクセス不可を示す場合
   に、アクセスを許可しないと判断することを特徴とする
   請求項２に記載のメモリ管理装置。
4. 【請求項４】 前記メモリ管理装置は、さらに、 暗号化されたアクセス情報を入手する入手手段と、 前記入手手段により入手された前記暗号化されたアクセ
   ス情報を復号する復号手段とを備え、 前記記憶手段は、 前記復号手段により復号された前記アクセス情報を記憶
   することを特徴とする請求項２に記載のメモリ管理装
   置。
5. 【請求項５】 前記アクセス情報は、当該アクセス情報
   が正当な情報であることを示す認証子を有し、 前記メモリ管理装置は、さらに、 前記認証子を有するアクセス情報を入手する入手手段
   と、 前記入手手段により入手された前記アクセス情報が正当
   であるか否かを前記認証子を用いて確認する確認手段と
   を備え、 前記記憶手段は、 前記確認手段により前記アクセス情報が正当であると確
   認された場合に、前記アクセス情報を記憶することを特
   徴とする請求項２に記載のメモリ管理装置。
6. 【請求項６】 前記記憶手段は、 当該アクセス情報が正当な情報であることを示す認証子
   を有するアクセス情報を記憶し、 前記判断手段は、 前記アクセス情報が正当であると前記認証子を用いて確
   認された場合に、前記アクセス情報を参照することを特
   徴とする請求項２に記載のメモリ管理装置。
7. 【請求項７】 複数の領域に分割されたメモリへのアク
   セスを管理するメモリ管理方法であって、 メモリへのアクセスの要求を解析し、当該アクセスのア
   クセス先が属する領域であるアクセス先領域とアクセス
   元が属する領域であるアクセス元領域とを特定する特定
   ステップと、 前記特定ステップにより特定されたアクセス元領域が、
   アクセス先領域毎に予め定められている所定領域である
   場合にアクセスを許可すると判断し、アクセス元領域が
   前記所定領域でない場合にアクセスを許可しないと判断
   する判断ステップとを備えることを特徴とするメモリ管
   理方法。