JP2022051127A - 情報処理装置および更新処理方法 - Google Patents

Abstract

【課題】信頼性が高いデータ更新処理をする情報処理装置および更新処理方法を提供する。【解決手段】情報処理装置は、第１記憶部と、第２記憶部と、ゲートと、制御部と、を備える。第１記憶部は、情報を記憶する。第２記憶部は、第１記憶部の情報に対する更新可否状態を示す情報を記憶する。ゲートは、バス上に配置され、制御命令に基づいて、第２記憶部へのアクセス可否を制御する。制御部は、所定のモードの時に、ゲートへ第２記憶部への制御命令を出力し、第２記憶部の情報を更新可能状態にして、第１記憶部の情報を更新する。【選択図】図１

Description

本発明の実施形態は、情報処理装置および更新処理方法に関する。

データを更新する際、一時記憶領域を用いて更新処理をする技術がある。データを更新する場合、データ更新処理の信頼性が高いことが望まれる。

特開２００９－３９３３号公報

一つの実施形態は、信頼性が高いデータ更新処理をする情報処理装置および更新処理方法を提供することを目的とする。

一つの実施形態によれば、情報処理装置は、第１記憶部と、第２記憶部と、ゲートと、制御部と、を備える。第１記憶部は、情報を記憶する。第２記憶部は、第１記憶部の情報に対する更新可否状態を示す情報を記憶する。ゲートは、バス上に配置され、制御命令に基づいて、第２記憶部へのアクセス可否を制御する。制御部は、所定のモードの時に、ゲートへ第２記憶部への制御命令を出力し、第２記憶部の情報を更新可能状態にして、第１記憶部の情報を更新する。

第１の実施形態にかかる情報処理装置が適用されたマイクロコンピュータのハードウェア構成の一例を示す模式的な図である。 第１の実施形態にかかるマイクロコンピュータ１の機能構成の一例を示すブロック図である。 第１の実施形態にかかる固有情報記憶部３１で記憶するデータの例である。 第１の実施形態にかかる通常モードから特権モードに遷移する処理を示すフローチャートである。 特権モードにおける処理を示すフローチャートである。 データ更新処理を示すフローチャートである。 データの一方向性がない例を示す図である。 データの一方向性がある例を示す図である。 第２の実施形態にかかるマイクロコンピュータのハードウェア構成の一例を示す模式的な図である。 第２の実施形態にかかるマイクロコンピュータ１００の機能構成の一例を示すブロック図である。 第２の実施形態にかかる特権モードにおける処理を示すフローチャートである。 更新権限認証処理を示すフローチャートである。

以下では、一例として、実施形態にかかる情報処理装置が適用されたマイクロコンピュータについて、添付図面を参照して説明する。なお、実施形態にかかる情報処理装置を適用できる装置はマイクロコンピュータだけに限定されない。実施形態にかかる情報処理装置は、コンピュータプログラムが格納されるメモリと、当該コンピュータプログラムを実行するプロセッサと、を備えた任意の装置に適用され得る。なお、この実施形態により本発明が限定されるものではない。

（第１の実施形態）
図１は、第１の実施形態にかかる情報処理装置が適用されたマイクロコンピュータのハードウェア構成の一例を示す模式的な図である。

マイクロコンピュータ１は、ＣＰＵ１０、ＲＯＭ１１、コード用メモリ１２、データ用メモリ１３、特権ゲート１４、書き込み保護レジスタ１５、ペリフェラル１６、ＳＲＡＭ１７、暗号化エンジン１８、およびバス１９を備えている。コード用メモリ１２とデータ用メモリ１３は、書き換え可能な不揮発性メモリで構成される。

ＣＰＵ１０は、種々のプログラムを実行することができるプロセッサであり、いわゆるコアプロセッサである。ＣＰＵ１０は、プログラムに応じた機能を実現する。ＣＰＵ１０は、当該プログラムを実行することにより、データ用メモリ１３のデータを更新可能なモードである特権モードで動作したり、データ用メモリ１３のデータを更新不可能なモードである通常モードで動作したりする。ＣＰＵ１０は、動作中のモードを示す情報をＣＰＵ１０内のレジスタで記憶する。

通常モードは、通常機能を用いるプログラムを実行する。通常モードでは、ＣＰＵ１０がアクセスできる空間はマイクロコンピュータ１全体ではなく、マイクロコンピュータ１そのものの挙動を制御する設定値等の重要な情報へのアクセスが制限される。特権モードは、制限なくアクセスできる。特権モードでは、データ用メモリ１３で記憶している重要な情報を更新することができる。

ＲＯＭ１１は、書き換え不可能な不揮発性メモリである。ＲＯＭ１１が保持するプログラムは、マイクロコンピュータ１のハードウェア製造時に書き込まれ、マイクロコンピュータ１を運用している際には、変更できない。ＲＯＭ１１は、更新ルーチン７２を記憶する。更新ルーチン７２は、更新処理を実行するためのプログラムである。

コード用メモリ１２は、各種機能を実現するプログラムを記憶する。具体的に、コード用メモリ１２は、ＣＰＵＦＷ７３を記憶する。ＣＰＵＦＷ７３は、ＣＰＵ１０が実行するファームウェアである。なお、コード用メモリ１２は、他の各種プログラムを記憶するようにしてもよい。コード用メモリ１２は、マイクロコンピュータ１のハードウェア製造後も書き込み可能であり、運用中も書き換え可能である。

データ用メモリ１３は、各種データを記憶する。具体的に、データ用メモリ１３は、例えば、固有情報などのマイクロコンピュータ１を特定するための情報などの重要データを記憶する。当該固有情報は、数Ｋバイト程度のサイズのデータである。また、データ用メモリ１３は、各データを複数のバンクで記憶する。例えば、データ用メモリ１３は、バンクサイズをバッファ単位とするダブルバッファ（バンクａ、バンクｂ）で記憶する。

特権ゲート１４は、バス１９上に配置され、ＣＰＵ１０からの制御命令に基づいて、書き込み保護レジスタ１５へのアクセス可否を制御するゲート部分である。特権ゲート１４は、ＣＰＵ１０が特権モードで動作している場合に、書き込み保護レジスタ１５へアクセス可能とするように制御する。

書き込み保護レジスタ１５は、モードによりデータ用メモリ１３に対する更新可否を制御するためのレジスタである。例えば、書き込み保護レジスタ１５は、更新可否を示すフラグ情報を記憶する。このフラグ情報は、通常モード時には更新不可状態を示し、特権モード時に更新命令がなされると、更新可能状態を示す情報に変更される。データ用メモリ１３は、このフラグ情報を参照することで、記憶しているデータの更新可否を制御する。

ペリフェラル１６は、ＣＰＵ１０の機能を補う特定機能を提供するハードウェアコンポーネント群である。ペリフェラル１６に含まれるハードウェアコンポーネント群には、外部装置と通信可能な通信モジュールが含まれる。

ＳＲＡＭ１７は、揮発性メモリである。ＳＲＡＭ１７は、各種プログラムがロードされる領域や当該プログラム実行時のデータを一時的に格納する領域として機能する。また、ＳＲＡＭ１７は、外部装置とマイクロコンピュータ１との間で転送されるユーザデータのバッファとしても機能する。

暗号化エンジン１８は、暗号アルゴリズムを実行するハードウェアコンポーネントである。暗号化エンジン１８は、ハッシュ値を算出する。例えば、暗号化エンジン１８は、乱数を生成し、当該乱数に対して共通鍵で暗号化し、ハッシュ値を算出する。

図２は、第１の実施形態にかかるマイクロコンピュータ１の機能構成の一例を示すブロック図である。図２に示すマイクロコンピュータ１は、固有情報記憶部３１と、更新要求受付部３３と、解除部３４と、更新部３５と、設定部３６とを備える。固有情報記憶部３１は、データ用メモリ１３により実現する。また、ＣＰＵ１０が、ＲＯＭ１１およびコード用メモリ１２に記憶されているプログラムを実行することで、更新要求受付部３３、解除部３４、更新部３５、および設定部３６を実現する。また、更新要求受付部３３、解除部３４、更新部３５、および設定部３６は、制御部として機能する。

固有情報記憶部３１は、固有情報を含む更新対象となる情報を記憶する。図３は、第１の実施形態にかかる固有情報記憶部３１で記憶するデータの例である。固有情報記憶部３１は、複数のバンクでデータを記憶する。例えば、図３に示すように、２つのバンク（ダブルバッファ）でデータを記憶する。各バンクでは、固有情報として、鍵等のデータやカウンタを含める。当該データやカウンタは、図３に示す「＃ｄ１」、「＃ｃ１」等の識別情報と対応付けられる。

また、各バンクでは、各バンクの完全性を検査するためのハッシュ値を含める。このハッシュ値は、データに対して計算される暗号学的なハッシュ値である。ハッシュ値の計算アルゴリズムは、ＳＨＡ２、ＳＨＡ３などを用いる。なお、各バンクで記憶するデータおよびカウンタが一度も更新されていない場合、各バンクで記憶するデータおよびカウンタは同一の内容である。

更新可否情報記憶部３２は、更新可能か否かを示す情報を記憶する。更新可否情報記憶部３２は、書き込み保護レジスタ１５により実現する。

更新要求受付部３３は、マイクロコンピュータ１のユーザによる操作により、データの更新要求がなされると、当該更新要求を受け付ける。更新要求受付部３３は、更新対象データの識別情報である更新データ番号および更新データを受け付けると共に更新要求を受け付ける。更新要求受付部３３は、更新要求を受け付けると、ＲＯＭ１１の更新ルーチン７２を呼び出し、特権モードに遷移する。例えば、特権モードへの遷移時に発生する割り込みハンドラがＲＯＭ１１上に設定されているものとする。更新要求受付部３３は、特権モード遷移を伴うＳｕｐｅｒｖｉｓｏｒＣａｌｌ（ＳＶＣ）で更新ルーチン７２を呼び出す。

また、更新要求受付部３３は、更新処理が終了した後、更新ルーチン７２を終了させて、通常モードに遷移させる。

解除部３４は、固有情報記憶部３１への更新不可状態を解除する。解除部３４は、特権モードに遷移した後に、特権ゲート１４を介して、書き込み保護レジスタ１５の更新不可状態を解除する。

更新部３５は、更新対象の固有情報を更新する。更新部３５は、書き込み保護レジスタ１５の更新不可状態が解除された後に、固有情報記憶部３１で記憶されている更新データ番号に対応するデータを更新データに更新する。
設定部３６は、データが更新された後に、書き込み保護レジスタ１５を再度更新不可状態に設定する。

（動作説明）
次に、マイクロコンピュータ１の動作について、図４～図６のフローチャートを用いて説明する。

（特権モード遷移処理）
図４は、第１の実施形態にかかる通常モードから特権モードに遷移する処理を示すフローチャートである。

まず、更新要求受付部３３は、更新データ番号および更新データを受け付けると共に更新要求を受け付ける（Ｓ１）。続いて、更新要求受付部３３は、ＲＯＭ１１の更新ルーチン７２をＳＶＣで呼び出し（Ｓ２）、当該更新ルーチン７２を実行する。これにより、特権モードに遷移する。そして、マイクロコンピュータ１は、特権モードにおける処理を実行する（Ｓ３）。

（特権モード処理）
図５は、図４のＳ３に対応する特権モードにおける処理を示すフローチャートである。
まず、特権モードに遷移すると、解除部３４は、特権ゲート１４を介して、書き込み保護レジスタ１５の更新不可状態を解除する（Ｓ１１）。具体的に、解除部３４は、特権モードであり、書き込み保護レジスタ１５の更新命令を示す信号を特権ゲート１４に出力する。これにより、書き込み保護レジスタ１５のフラグ情報を、更新可能状態を示す値に設定することで更新不可状態を解除する。

続いて、更新部３５は、更新不可状態が解除された後に、固有情報記憶部３１で記憶されている更新データ番号に対応するデータを更新する（Ｓ１２）。

更新処理が終了した後、設定部３６は、特権ゲート１４を介して、書き込み保護レジスタ１５のフラグ情報を、再度更新不可状態を示す値に設定する（Ｓ１３）。そして、更新要求受付部３３は、更新ルーチン７２による処理を終了させ、通常モードに遷移する復帰命令を実行し、処理を終了する。なお、通常モードでは、例えば、ＣＰＵＦＷ７３を実行する。

（更新処理）
図６は、図５のＳ１２に対応するデータ更新処理を示すフローチャートである。まず、更新部３５は、バンクａおよびバンクｂのそれぞれのハッシュ値を公知の手法により検査する（Ｓ３１）。更新部３５は、両方のハッシュ値が正しい場合（Ｓ３２：Ｙｅｓ）、Ｓ３３へ進む。

Ｓ３３では、バンクａ、バンクｂの更新データ番号に対応するデータ、および更新データに一方向性があるか否かを判断する。データの一方向性について、図７Ａおよび図７Ｂを用いて説明する。図７Ａは、データの一方向性がない例を示す図である。図７Ｂは、データの一方向性がある例を示す図である。

ここでいう一方向性とは、二つの同じ長さのデジタルデータが、その差分における０と１の変化が同一であることをいう。例えば、図７Ａでは、二つのデータ間で、０から１への変化と１から０への変化の両方が存在する。この場合、これらのデータには一方向性がないと判断する。一方、図７Ｂでは、二つのデータ間で０から１への変化のみある。この場合、一方向性があると判断する。記憶しているデータ間で一方向性があり、且つ記憶しているデータと、更新値との間でも一方向性があることを前提とする。また、１が多いデータが新しいデータであるものとする。図７Ｂに示したデータの場合、データ１よりデータ２の方が、１が多いので、データ２が新しいものとする。この一方向性によって、二つのバッファ上で共に有効なデータを保持している場合、データの新旧の判別をすることができる。

続いて、バンクａとバンクｂとの間で一方向性があるデータの例についてカウンタ「＃ｃ１」が更新対象である場合において、バンクａおよびバンクｂのカウンタ「＃ｃ１」を比較する。バンクａは、「０００００００１」であり、バンクｂは、「００００００１１」であるとする。差異がある部分は、０から１のみの変化であるので、一方向性があると判断できる。

一方、バンクａは、「０００００００１」であり、バンクｂは、「０００１００００」であるとする。差異がある部分は、０から１の変化がある部分と、１から０の変化がある部分があるので、一方向性がないと判断できる。このように、一方向性がないということは、上記前提から逸脱したものであり、過去のデータの書き込み処理が正常終了していないこと等によりデータが壊れていることを示す。

図６に戻り、更新部３５は、バンクａおよびバンクｂに一方向性があると判断した場合、当該一方向性により新しい方のデータ（１が多いデータ）と更新データとの一方向性を判断する（Ｓ３３）。上記新しい方のデータと更新データとの一方向性があると判断した場合（Ｓ３３：Ｙｅｓ）、バンクａおよびバンクｂの内、古い方のデータを更新データに上書きする（Ｓ３４）。また、更新部３５は、上書きしたバンクのハッシュ値を公知の方法により更新する。

また、更新部３５は、バンクａおよびバンクｂに一方向性がない場合（Ｓ３３：Ｎｏ）、Ｓ３８へ進む。

少なくとも一方のハッシュ値が正しくない場合（Ｓ３２：Ｎｏ）、更新部３５は、一つのハッシュ値が正しいか否かを判断する（ステップＳ３５）。更新部３５は、一つのハッシュ値が正しい場合（Ｓ３５：Ｙｅｓ）、正しいバンクのデータと、更新データとの一方向性を判断する（Ｓ３６）。更新部３５は、一方向性がある場合（Ｓ３６：Ｙｅｓ）、まずハッシュ値が正しくないバンクにハッシュ値が正しいバンクのデータすべてをコピーし、次に、更新データ番号のデータを更新データで上書き更新する（ステップＳ３７）。また、更新部３５は、上書きしたバンクのハッシュ値を更新する。

更新部３５が、両方のハッシュ値が正しくないと判断した場合（Ｓ３５：Ｎｏ）、ステップＳ３８へ進む。また、更新部３５が、正しいバンクの更新データ番号のデータと、更新データとの間に一方向性がないと判断した場合（Ｓ３６：Ｎｏ）、Ｓ３８へ進む。

更新部３５は、バンクａおよびバンクｂのすべてのデータを０で上書き更新し（Ｓ３８）、処理を終了する。この場合、当該「０」は不正を示すものである。よって、更新部３５は、記憶しているバンクａおよびバンクｂの情報が回復できない程度のデータであることを明示することができる。

なお、第１の実施形態では、データ用メモリ１３が、２つのバンクで固有情報を記憶する場合について述べたが、１つのバンクで固有情報を記憶するようにしてもよい。また、データ用メモリ１３が、３つ以上のバンクで固有情報を記憶するようにしてもよい。

第１の実施形態によれば、マイクロコンピュータ１は、データ用メモリ１３で固有情報を記憶し、書き込み保護レジスタ１５でデータ用メモリ１３のデータに対する更新可否を示すフラグ情報を記憶する。特権ゲート１４は、バス１９上に配置され、ＣＰＵ１０からの制御命令に基づいて、書き込み保護レジスタ１５へのアクセス可否を制御する。制御部として機能する解除部３４は、特権モードの時に、特権ゲート１４へ特権モードであることを示す情報を出力し、書き込み保護レジスタ１５へアクセスして、更新可否を示すフラグ情報を変更することで、更新可能状態にする。また、制御部として機能する更新部３５は、更新可能状態時に、データ用メモリ１３の情報を更新する。

このように、マイクロコンピュータ１は、特権ゲート１４および書き込み保護レジスタ１５を備えることで、特権モードである場合のみ、データ用メモリ１３のデータを更新可能とすることができる。すなわち、特権ゲート１４および書き込み保護レジスタ１５は、データの書き込み属性を制御する機構として機能する。また、マイクロコンピュータ１は、更新要求がある場合のみデータ用メモリ１３を更新可能状態にして、データを更新する。これにより、マイクロコンピュータ１は、フラッシュメモリを用いるときに起り得る誤ったプログラムなどによるデータ更新を防止することができる。すなわち、マイクロコンピュータ１は、データ用メモリ１３をｅ－ヒューズやアンチヒューズを用いたワンタイムプログラマブルメモリのように動作させることができ、更新処理の信頼性を高めることができる。

また、更新部３５では、更新対象の記憶済み固有情報と、更新対象の固有情報の更新データとの一方向性の有無に基づいて、更新対象の固有情報を更新データへ更新する。この場合、更新部３５は、一方向性を判断することで記憶済のデータが壊れているか否かを判断することができる。例えば、更新部３５は、更新対象の記憶済み固有情報と、更新対象の固有情報の更新データとの一方向性が無い場合、上記前提から逸脱したものであり、更新対象の記憶済み固有情報が壊れたデータであると判断することができる。

また、データ用メモリ１３では、複数のバンクで固有情報を記憶しており、更新部３５は、更新対象の固有情報の、それぞれのバンクのデータの一方向性の有無に基づいて、更新対象の固有情報を更新データへ更新する。これにより、マイクロコンピュータ１は、記憶済のバンクのデータが壊れているか否かを判断することができる。また、更新部３５は、更新対象の固有情報の、それぞれのバンクのデータの一方向性がある場合に、一方向性が進んでいないデータ（例えば、１が最も少ないデータ）を更新データへ更新する。これにより、マイクロコンピュータ１は、最も古いデータを最新のデータ（更新データ）へ変更することができる。また、マイクロコンピュータ１は、最新のデータと、その直前のデータとを記憶することにもなる。

マイクロコンピュータ１は、データを更新する際、一度書き換え対象のデータを消去し、消去した後でデータを書き込む必要があり、データの消去や書き込みには時間がかかり、このような操作時に電源ＯＦＦやリセットが発生すると、書き込みが不完全になるだけでなく、もともとのデータを喪失する可能性がある。上記のように、マイクロコンピュータ１は、最新のデータと、その直前のデータとを記憶することにより、更新データを更新している際に電源ＯＦＦされた場合など、意図しない事態により、更新データが適切に更新されなかったとしても、直前のデータを用いてリカバリ処理をすることができ、適切にデータ管理することができる。すなわち、更新部３５は、このようなデータの喪失や破壊を防止することができる。

（第２の実施形態）
第２の実施形態では、更新可能なユーザを管理する機能をさらに有する。以下では、第１の実施形態と異なる部分を中心に説明する。

チップ固有情報やカウンタは、マイクロコンピュータ１を運用させるために重要なデータであり、限られた権限を持つユーザによりアクセスされた場合のみ更新するのが望ましい場合もある。

マイクロコンピュータ１を操作するユーザが一人であれば、権限管理する必要がないが、複数のユーザの各々がマイクロコンピュータ１へアクセスすることが考えられる。この場合、ユーザの権限管理を導入する必要がある。

図８は、第２の実施形態にかかるマイクロコンピュータのハードウェア構成の一例を示す模式的な図である。
マイクロコンピュータ１００は、さらにセキュアＲＯＭ２０を有する。セキュアＲＯＭ２０は、書き換え不可能な不揮発性メモリであり、ユーザＩＤ等の機密情報を記憶する。このセキュアＲＯＭ２０は、ユーザＩＤ（例えば、ＩＤ１、ＩＤ２）と共通鍵（例えば、Ｋｅｙ１、Ｋｅｙ２）を有する。

また、マイクロコンピュータ１００は、ペリフェラル１６に含まれる通信モジュール等を介して外部ホスト２１と接続する。外部ホスト２１は、例えば、マイクロプロセッサを備えた情報処理装置などである。外部ホスト２１は、ユーザＩＤ（ＩＤ１）および共通鍵（Ｋｅｙ１）を記憶する。また、外部ホスト２１は、マイクロコンピュータ１００へ更新要求する際に、ユーザＩＤ、更新データ番号および更新データを送信する。

図９は、第２の実施形態にかかるマイクロコンピュータ１００の機能構成の一例を示すブロック図である。マイクロコンピュータ１００は、図２に示したマイクロコンピュータ１が有する機能に加えて、ＩＤ情報記憶部３７と更新権限判定部３８を有する。

セキュアＲＯＭ２０によりＩＤ情報記憶部３７を実現する。ＣＰＵ１０が、ＲＯＭ１１およびコード用メモリ１２に記憶されているプログラムを実行することや、暗号化エンジン１８により更新権限判定部３８を実現する。

ＩＤ情報記憶部３７は、ユーザＩＤと共通鍵とを記憶する。更新権限判定部３８は、ＩＤ情報記憶部３７に記憶されている情報の更新要求元のユーザＩＤに対応する共通鍵を用いて暗号化処理をした結果と、当該ユーザＩＤに対応する装置（外部ホスト２１）が実行した共通鍵による暗号化処理をした結果との比較により更新要求元のユーザの更新権限を判定する。

（第２の実施形態の特権モード処理）
図１０は、第２の実施形態にかかる特権モードにおける処理の動作を示すフローチャートである。
図１０に示すように、図４に示した処理を実行する前に更新認証処理をする（Ｓ５１）。そして、更新権限認証処理が正常終了した場合（Ｓ５２：Ｙｅｓ）、図４に示した処理を開始する（Ｓ１１～Ｓ１３）。一方、更新権限認証処理が正常終了ではない場合（Ｓ５２：Ｎｏ）、データ更新処理（Ｓ１２）等を実行することなく処理を終了する。これにより、マイクロコンピュータ１００は、更新権限を有しないユーザによるデータ更新を受け付けないようにすることができる。

（更新権限認証処理）
図１１は、更新権限認証処理における動作を示すフローチャートである。まず、更新権限判定部３８は、乱数を発生させる（Ｓ６１）。続いて、更新権限判定部３８は、当該乱数を外部ホスト２１へ送信する（Ｓ６２）。外部ホスト２１は、乱数に対して共通鍵で暗号化し（Ｓ６３）、ハッシュ値を算出する（Ｓ６４）。また、更新権限判定部３８は、同様に乱数に対して、ＩＤ情報記憶部３７で記憶している共通鍵で暗号化し（Ｓ６５）、ハッシュ値を算出する（Ｓ６６）。

外部ホスト２１は、Ｓ６４で生成したハッシュ値をマイクロコンピュータ１へ送信する（Ｓ６７）。更新権限判定部３８は、外部ホスト２１から取得したハッシュ値と、Ｓ６６で生成したハッシュ値とを検証する（Ｓ６８）。具体的に、更新権限判定部３８は、ハッシュ値を比較して、一致すれば権限ありを示す正常終了とし、一致しなければ異常終了とする。このように、更新要求元のユーザの更新権限を判定することにより、不正ユーザによるデータ更新を防止することができる。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１ マイクロコンピュータ、１０ ＣＰＵ、１１ ＲＯＭ、１２ コード用メモリ、１３ データ用メモリ、１４ 特権ゲート、１５ 書き込み保護レジスタ、１６ ペリフェラル、１７ ＳＲＡＭ、１８ 暗号化エンジン、２０ セキュアＲＯＭ、２１ 外部ホスト、３１ 固有情報記憶部、３２ 更新可否情報記憶部、３３ 更新要求受付部、３４ 解除部、３５ 更新部、３６ 設定部、３７ ＩＤ情報記憶部、３８ 更新権限判定部。

Claims (6)

1. 情報を記憶する第１記憶部と、
   前記第１記憶部の情報に対する更新可否状態を示す情報を記憶する第２記憶部と、
   バス上に配置され、制御命令に基づいて、前記第２記憶部へのアクセス可否を制御するゲートと、
   所定のモードの時に、前記ゲートへ前記第２記憶部への制御命令を出力し、前記第２記憶部の情報を更新可能状態にして、前記第１記憶部の情報を更新する制御部と、を備える情報処理装置。
2. 情報処理装置で実行される更新処理方法であって、
   前記情報処理装置は、情報を記憶するメモリを備え、
   前記メモリの情報に対する更新要求を受け付ける更新要求受付ステップと、
   前記メモリへの更新不可状態を解除する解除ステップと、
   前記メモリの情報を更新する更新ステップと、
   前記更新ステップによる情報更新後に、前記メモリへの更新を不可状態に設定する設定ステップと、
   を含む更新処理方法。
3. 前記更新ステップでは、前記メモリの情報と更新情報との一方向性の有無に基づいて、前記更新情報に更新する、請求項２に記載の更新処理方法。
4. 前記メモリは、複数のバンクで情報を記憶しており、
   前記更新ステップは、更新対象の情報におけるそれぞれのバンク間での一方向性の有無に基づいて、更新情報に更新する、請求項３に記載の更新処理方法。
5. 前記メモリは、バンク毎にハッシュ値を保持し、
   前記更新ステップは、前記バンクのハッシュ値の正否に基づいて前記更新情報に更新する、請求項４に記載の更新処理方法。
6. 前記情報処理装置は、ユーザＩＤと当該ユーザＩＤの共通鍵とを対応付けた情報を記憶するセキュアメモリをさらに備え、
   更新要求元のユーザＩＤの共通鍵による暗号化処理をした結果と、当該ユーザＩＤに対応する装置が実行した共通鍵による暗号化処理をした結果とを比較し、更新要求元のユーザの更新権限を判定する更新権限判定ステップをさらに含み、
   前記解除ステップは、前記更新権限判定ステップによる判定に基づいて、前記メモリへの更新不可状態を解除する、請求項２に記載の更新処理方法。

Images