JP2024513716A - 読み取り専用メモリ（ｒｏｍ）のセキュリティ - Google Patents

Abstract

集積回路（ＩＣ）チップを備えた装置は、セキュリティ回路用の起動ＲＯＭなどの読み取り専用メモリ（１１８）（ＲＯＭ）に対する攻撃に対する保護を提供することができる。攻撃者は、ＲＯＭのコンテンツを変更したり、および／またはＲＯＭ読み取りをリダイレクトしたりすることで、ＩＣの制御権を得ることができる。これらの攻撃に対抗するために、実装例は、暗号化されたＲＯＭデータ（４１０）をＲＯＭアレイ（４０４）に記憶する。ＲＯＭコントローラ（４０２）は、各ＲＯＭラインのアドレス（４１４）を対応する暗号化されたＲＯＭデータ（４１２）に暗号的に結び付けるために使用される。暗号化されたＲＯＭデータにアクセスするために、暗号化回路は、対応するＲＯＭアドレスに基づいて生成されたキーを使用して、暗号化されたＲＯＭデータを復号する。整合性チェック手順の一部として、暗号化されたＲＯＭデータに基づいてダイジェスト（５１６）を計算できる。攻撃をさらに阻止するために、ＲＯＭアドレス（５１２）を調整（例えば、スクランブル）してから、コントローラが調整されたアドレス（５１４）を使用してＲＯＭアレイから暗号化されたデータを読み取ることができる。

Description

背景
電子デバイスは、製造、通信、輸送、ヘルスケア、商業、社会的交流、および娯楽において不可欠な役割を果たしている。例えば、電子デバイスは、商取引や通信にクラウドベースの分散計算機能を提供するサーバファームに電力を供給する。電子デバイスは、医療デバイスから電化製品、車両から産業用ツールに至るまで、さまざまな種類の現代の機器にも組み込まれている。パーソナル電子デバイスを使用すると、ポータブルなビデオ視聴やスマートデジタルアシスタントへの便利なアクセスが可能になる。さらに、多用途の電子デバイスの１つであるスマートフォンは、手の届く範囲にある事実上の必需品となっている。電子デバイスが普及し、現代生活のさまざまな態様に不可欠になるにつれ、デバイスのセキュリティが不可欠になっている。

多くの人は、総称して「コンピュータウイルス」と呼ばれることもあるマルウェアに馴染みがある。一部のマルウェアは、電子デバイスに記憶されている情報に不正にアクセスしたり、電子デバイスを侵害したりするように設計されている。いくつかの戦略は、特定の種類のマルウェアに対抗することで、ユーザのデバイスと情報の安全をセキュリティの脅威から守るのに役立ち得る。これらの戦略には、復元性のある（resilient）オペレーティングシステムの採用と定期的な更新、安全な計算の実践、およびマルウェア対策プログラムのインストールが含まれる。残念ながら、これらの戦略では、電子デバイスをすべてのマルウェア攻撃に対して無敵にすることはできない。

さらに、電子デバイスは、ソフトウェアベースのマルウェアによって実行される攻撃以外の他のタイプの攻撃に対しても脆弱になり得る。例えば、電子デバイスの安全で信頼性の高い動作や、そのようなデバイスに記憶されている情報のセキュリティは、ハードウェアへの物理的攻撃やワイヤレス通信に対する高周波攻撃によって危険にさらされ得る。言い換えれば、一部の攻撃形態は、上記に挙げた戦略を回避または弱体化し、悪意のある者が電子デバイスを侵害し、そのデバイスで使用されているアカウントに潜在的にアクセスできるようにし得る。

電子デバイスは、さまざまな機能を可能にするインテリジェンスを提供する少なくとも１つの集積回路（ＩＣ）を含む。これらの機能は、商取引を促進し、ヘルスケアへのアクセスを合理化し、娯楽を提供し、ソーシャルメディア交流をサポートし、上記で特定したその他のサービスを可能にする。電子デバイスは、保護されるべき情報を記憶または利用することもできる。これらの機能をサポートし、安全な動作を促進するために、一部の電子デバイスは、ＩＣの一部であるセキュリティ回路の形式でハードウェアベースの保護を含む。残念ながら、セキュリティ回路に対する既存のアプローチは、今日電子デバイスに繰り出されるさまざまなソフトウェア、ハードウェア、ワイヤレス攻撃に対抗するには不十分である。

概要
サーバコンピュータやスマートフォンなどの特定の電子デバイスは、ユーザにサービスを提供する責任を負っている。ユーザは、金融サービス、航空旅行、政府の公式文書など、１つまたは複数のアカウントを使用してアクセスする重要なサービスを取得するためにこれらの電子デバイスに依拠している。電子デバイスとアカウント間のリンクにより、侵害された電子デバイスにより、アカウントにリンクされているサービスへの望ましくないアクセスが許可されたり、アカウント自体への不正アクセスが許可されたりし得る。さらに、そのようなアカウントに関連付けられたサービスを提供するために、これらの電子デバイスは、財務データ、ユーザ名、パスワード、および暗号化用の機密キーなど、保護されるべきアカウント関連情報を記憶し得る。残念ながら、マルウェア対策プログラムは電子デバイスに対するすべての攻撃手段をブロックすることはできない。例えば、マルウェア対策プログラムは、集積回路（ＩＣ）チップ上の電圧レベルを検出するために小型プローブを使用する直接的な物理的攻撃に対する保護を提供しない場合がある。したがって、物理的攻撃への対抗を含め、電子デバイスに対する攻撃を特定、ブロック、撃退、または阻止できるハードウェアベースの対策を電子デバイスに組み込むことは有益である。

したがって、電子デバイスは、悪意のある者からの攻撃に対抗するためのセキュリティ回路を含み得る。場合によっては、セキュリティ回路が不適切または不審なアクティビティを検出し、保護措置を講じる。セキュリティ回路はさまざまな方法で実装できる。例えば、コンピュータエンジニアは、セキュリティ回路をスタンドアロンのＩＣチップとして、またはシステムオンチップ（ＳｏＣ）などの別のチップの一部として製造できる。いずれの場合も、セキュリティ回路は、保護されたエンクレーブ、信頼できるチッププラットフォーム、ハードウェアベースの信頼のルート（ＲｏＴ）（例えば、シリコンＲｏＴ）、またはそれらの組み合わせの一部であり得る。セキュリティ回路が電子デバイスにどのように、どこに組み込まれるかに関係なく、コンピュータ技術者は、次に説明するように、多くの異なる種類の攻撃に対抗するセキュリティ回路を設計することができる。

電子デバイスに対する攻撃は、画面画像を観察したり、情報を推論するために反復的な動作を監視したりするプログラム、メモリの保護領域からデータを読み取ろうとするアプリケーション、回路の直接的な物理的プローブなどの形をとり得る。セキュリティ回路は、これらの攻撃の１つまたは複数に対抗するために複数の機能を実行する。例えば、セキュリティ回路は、使用中、輸送中、または保管中に暗号化キーを保護できる。そうするために、専用のメモリとプライベートデータバスを使用できる。セキュリティ回路は、高品質の擬似乱数を生成したり、マルウェアとして動作する可能性のあるアプリケーションから分離された領域で暗号エンジンを動作させたりすることもできる。さらに、セキュリティ回路は、改ざんされていない正しい起動可能な基本入出力システム（ＢＩＯＳ）を使用してハードウェアが起動されることを保証し得る。

したがって、セキュリティ回路は、電子デバイスに対する多種多様な攻撃に対抗するための多様な機能スイートを実装する責任を担うことができる。しかし、セキュリティ回路に対する既存のアプローチは、その場限りで設計されたハードウェアアーキテクチャを採用している。セキュリティ回路の異なる回路部分も、互いに相対的に分離して設計することもできる。その結果、さまざまなセキュリティ脅威に対抗するように設計された回路部分が意図したとおりに相互運用できなくなり、ハードウェアの安全性が低下し得る。さらに、構成要素間の通信が不十分であると、悪意のある者にとって新たな攻撃経路が生まれる。さらに、このその場のアプローチにより、セキュリティ回路の設計およびテスト段階がより困難で、より長く、よりコストがかかるものになる。これにより、セキュリティアーキテクチャの開発時に一部のセキュリティ脅威が無視されたり、不適切に対処されたりし得る。したがって、これらのその場のアーキテクチャでは、多種多様なセキュリティ脅威から電子デバイスを保護することがさらに困難になる。

しかし、本文書は、いくつかの例において、電子デバイスに対するさまざまな形態の攻撃に対抗するための復元性のあるプログラム可能なセキュリティハードウェアを生成できる、適応可能で可撓性フレームワークまたはプラットフォームを提供するアプローチについて説明する。セキュリティ回路の一部の実装では、さまざまな種類の回路、またはさまざまなセキュリティ関連機能を提供する回路部分が、確実で一貫したシグナリングをそれにもかかわらず生成する拡張プロトコルを使用して通信する。この通信プロトコルにより、さまざまなセキュリティ関連機能を提供する回路が、指定された設計フレームワークに従ってシームレスに相互作用できるようになる。設計フレームワークと通信プロトコルは、相互に別々に設計された回路構成要素であっても、安定した予測可能な相互作用とともに一貫して展開するのに適した、互換性のある構成要素を生成する。本明細書で使用される場合、「互換性のある構成要素」には、構成要素が一緒に使用するのに適するように、共通のフレームワークに準拠するように設計されたこれらの構成要素が含まれる。場合によっては、互換性により、集積回路チップの２つ以上のセキュリティ関連構成要素間である程度のプラグアンドプレイ機能が提供される。

セキュリティ回路は、プロセッサおよび相互接続に加えて、複数の周辺デバイスを含むことができる。複数の周辺デバイスの各周辺デバイスは、セキュリティ回路の安全性または適切な機能に寄与する何らかの機能を実行できる。したがって、各周辺デバイスは、セキュリティ関連のコア機能またはサポート機能を提供できる。この機能は、データへのアクセスの制御や暗号化動作の実行など、セキュリティ回路の全体的な目的をサポートする。このような目的には、電子デバイスの他の回路および／またはＩＣによる安全な計算を可能にする機能を提供することが含まれ得る。予測可能性と相互運用性のために、各周辺デバイスは互換性のある構成要素として実現され得る。

一般に、計算および他の電子デバイスは、データを破壊したり盗んだりする可能性のある、物理的攻撃を含む攻撃にさらされる。ハードウェアの信頼のルート（ＲｏＴ：Root of Trust）方式は、物理的な攻撃を含む多くの攻撃に対抗できる。ＲｏＴシリコンは、セキュリティ機能を提供する集積回路で実現できる。場合によっては、シリコンＲｏＴチップには読み取り専用メモリ（ＲＯＭ）が含まれており、ＲＯＭのラインを読み取りまたは変更しようとする悪意のある者による物理的攻撃を受ける。これらの物理的攻撃は、一般にＲＯＭエントリ（例えば、ＲＯＭ命令ライン）、またはＲＯＭデータが読み出されている間、および／または実行されている間に実行され得る。

しかし、ＲＯＭは、攻撃に耐えるように設計または構築することができる。さらに、ＲＯＭブロックまたはモジュールは、セキュリティチップの互換性のある構成要素（例えば、ＲＯＭ周辺デバイス）として実装することができる。シリコンＲｏＴチップまたはその他のセキュリティ回路内のＲＯＭを保護するために、ＲＯＭを暗号化できる。本文書では、暗号化を使用してＲＯＭアドレスとＲＯＭデータを結び付けることについてさらに説明する。例えば、ＲＯＭコントローラは、対応するＲＯＭアドレスを使用して、ＲＯＭデータ（例えば、特定のＲＯＭアドレスに記憶されているデータの一部または全部など、ＲＯＭメモリに記憶されているデータ項目）を復号するためのキーを生成することができる。それぞれのＲＯＭアドレスを、ＲＯＭアレイに記憶されている関連するＲＯＭデータに暗号的にリンクすることにより、ＲＯＭの（例えば、比較的狭い）アドレスバスに対する障害攻撃を使用して、読み取りを他のＲＯＭエントリに簡単にリダイレクトすることができなくなる。ＲＯＭアレイのこれらの読み取りは、コードの実行、データの取得、またはＲＯＭエントリの整合性チェックの実行に関係し得る。ＲＯＭコンテンツと、コンテンツにアクセスするＲＯＭアドレス（例えば、対応するＲＯＭデータのアドレスが記憶されているＲＯＭメモリ内のアドレス）へのこの暗号リンクにより、復号キーが敵に知られている場合でもＲＯＭを保護できる。

シリコンＲｏＴ環境内のＲＯＭが知らないうちに変更されるのを防ぐために、ＲＯＭデータを、ハッシュアルゴリズムを使用して導出されＲＯＭに記憶される予想ダイジェスト（または「ダイジェスト値」）に関連付けることができる。起動中に、ＲＯＭは、記憶されている予想ダイジェスト値が、現在のＲＯＭデータで同時に計算された別のダイジェスト値と一致するかどうかをチェックできる。この保護アプローチの潜在的な脆弱性は、攻撃者がＲＯＭ整合性チェッカを同じデータビットセットを有する別のＲＯＭエントリに一時的にリダイレクトすることで、アドレスバス上の障害攻撃を隠蔽しようとし得ることである。

第１に、ＲＯＭコントローラおよびＲＯＭアレイを有するＲＯＭの整合性を保護するために、ＲＯＭアレイに記憶されているＲＯＭデータを暗号化することができる。上述のように、ＲＯＭデータは、それぞれのＲＯＭアドレスをそれぞれのＲＯＭデータに結び付ける方法で暗号化することもできる。さらに、ＲＯＭコントローラは、アドレスを調整（例えば、キーまたは暗号に基づく置換および／または並べ替えアルゴリズムを使用するなどによるスクランブル）して、ＲＯＭアレイにアクセスするために使用される調整されたアドレスを生成することができる。このアドレス調整により、攻撃者がＲＯＭ整合性チェック中にアドレスバスをリダイレクトしようとした場合に、変更されたＲＯＭが検出されない危険性をさらに軽減できる。

リダイレクトベースの攻撃の危険性を少なくともさらに低減するために、本文書は、ＲＯＭアレイに記憶されるＲＯＭデータの重複インスタンスの量を低減するように暗号化アルゴリズムおよび／または暗号化キーを選択することについて説明する。暗号化アルゴリズムおよび／または暗号化キーを繰り返し変更し、その結果得られるＲＯＭエントリをチェックすることにより、重複するＲＯＭエントリを完全に回避または除外できる場合がある。これにより、ＲＯＭ整合性チェッカの動作中に代替ＲＯＭエントリをターゲットとするリダイレクト攻撃の潜在的な効果が少なくとも制限され、排除され得る。したがって、ＲＯＭアレイは互いに固有のＲＯＭエントリを記憶でき、ＲＯＭコントローラはハッシュアルゴリズムを安全に適用して、ＲＯＭの現在のコンテンツを正確に反映するダイジェスト値を計算できる。

ＲＯＭセキュリティのための装置および技術について、以下の図面を参照して説明する。図面全体を通じて、同様の特徴および構成要素を参照するために同じ番号が使用される。

ＲＯＭセキュリティを実装できるセキュリティ回路を含む集積回路（ＩＣ）を備えた例示的な装置を示す。 ＲＯＭブロックなど、互換可能に実装することができる複数の例示的な周辺デバイスを含む、複数の回路構成要素を含む例示的なセキュリティ回路を示す。 他の回路構成要素との互換性をサポートするための少なくとも１つのインターフェースを含む例示的な周辺デバイスを示す。 互換性の目的が確実に満たされるように周辺デバイスの設計を分析するアプローチの例を示している。 レジスタインターフェースおよび通信信号の例を含む周辺デバイスの例を示す。 ＲＯＭアレイの暗号化されたＲＯＭデータへのアクセスに関して、ＲＯＭコントローラおよびＲＯＭアレイを含む例示的なＲＯＭを示す図である。 ＲＯＭアレイの暗号化されたＲＯＭデータの整合性をチェックする状況における、ＲＯＭコントローラおよびＲＯＭアレイを含む例示的なＲＯＭを示す。 暗号化されたＲＯＭデータを有するセキュリティ回路のＲＯＭ周辺デバイスとして実装され得るＲＯＭの一例を示す。 図６のＲＯＭのＲＯＭアレイにアクセスするためのさまざまな信号を含む例示的なタイミング図を示す。 復元性のあるＲＯＭ整合性チェック手順の実装に従った方式例を示す。 装置が起動時やリセット時などにＲＯＭの整合性をチェックする方法の例を示す。 復元性のあるＲＯＭ整合性チェック手順に従った例示的な方法を示す。 復号を通じて暗号化されたＲＯＭデータにアクセスするためなど、ＲＯＭ暗号化を実装する装置のための例示的な方法を示す。 暗号化されたＲＯＭデータを含むＲＯＭアレイにアクセスするための例示的なプロセスを示す流れ図である。 暗号化されたＲＯＭデータを含むＲＯＭアレイの整合性をチェックするための例示的なプロセスを示す流れ図である。 １つまたは複数の記載された態様に従ってＲＯＭセキュリティを実装することができる例示的な電子デバイスのさまざまな構成要素を示す。

詳細な説明
概要
電子デバイスは、通信、安全、および製造など現代社会に重要な貢献をしている。各電子デバイスは、何らかの機能を提供する処理能力を備えた集積回路（ＩＣ）に依拠している。これらの機能の多くは重要な性質を有しているため、電子デバイスは保護を提供するセキュリティ回路を備えたＩＣを含み得る。セキュリティ回路は、情報が不用意に公開されたり、一部の機能が有害な方法や不正な方法で使用されたりする可能性を軽減する。セキュリティ回路はさまざまな形式で実現できるが、その１つに信頼のルート（ＲｏＴ）パラダイムが含まれる。

ＲｏＴシリコンでは、ハードウェアベースのメカニズムにより、情報への不適切なアクセスの防止、デバイスの不正使用の阻止などの観点から計算の安全性が保たれる。シリコンＲｏＴの原則は、ハードウェアインフラストラクチャとその上で実行されるソフトウェアの両方が、意図した信頼できる状態に維持されるようにするのに役立ち得る。そのために、シリコンＲｏＴは、承認された確認可能なコードを使用して、重要なシステム構成要素が安全に起動することを確認できる。したがって、サーバまたは別の電子デバイスが正しいファームウェアで起動し、ファームウェアが低レベルのマルウェアに感染していないことを保証できる。シリコンＲｏＴは、追加または代替のセキュリティ上の利点を提供できる。例えば、暗号的に固有のマシンＩＤを提供できる。この固有のＩＤにより、オペレータは電子デバイスが正規のものであることを確認できる。さらに、暗号化キーやその他の情報を耐改ざん性のサイロに維持できるため、デバイスに物理的にアクセスできる者であっても情報を取得することができなくなり、少なくとも抑止される。ハードウェアに固定されたＲｏＴサービスは、信頼できる改ざん防止監査記録やその他の実行時セキュリティサービスも提供できる。

チップ設計者は、セキュリティ機能の提供に重点を置いた個々のＩＣチップにシリコンＲｏＴ技術を組み込むことができる。あるいは、ＲｏＴシリコンを他の回路と統合することもでき、これには、中央処理装置（ＣＰＵ）チップまたはパッケージ、グラフィックス処理装置（ＧＰＵ）チップまたはカード、システムオンチップ（ＳｏＣ）、メモリ記憶デバイスなどが含まれる。一般に、セキュリティ回路は、ほんの数例を挙げると、サーバのマザーボード、ネットワークカード、クライアントデバイス（例えば、ラップトップやスマートフォン）、消費者向けルータ、モノのインターネット（ＩｏＴ）デバイス、固定およびポータブルの記憶装置で動作できる。ＲｏＴをシリコンに固定することにより、アプリケーションや電子デバイスに関係なく、ハードウェア、ファームウェア、およびソフトウェアのレベル全体で計算のセキュリティが強化される。シリコンＲｏＴは、直接またはネットワーク経由で相互に通信するさまざまなデバイス間のセキュリティも強化する。本文書では、シリコンまたはハードウェアＲｏＴ環境を使用してセキュリティおよび回路設計の原則の一部を説明しているが、説明されている原則はセキュリティ回路全般に適用できるため、これは単なる例として行われている。

今日の計算環境では、悪意のある者が、多数の攻撃ベクトルを使用して無数のレベルで電子デバイスを攻撃することができる。例えば、インターネット経由で送信されるマルウェアを使用して、ラップトップに記憶されているユーザが保護したい情報を取得しようとする攻撃が行われ得る。また、攻撃には、Ｗｉ－Ｆｉ（登録商標）ルータやＩｏＴデバイスなどの電子デバイスの輸送中や人目につかない場所での動作中に、電子デバイスの起動に使用されるファームウェアにマルウェアが挿入され得る。別の例として、悪意のある者が電子デバイスを盗み、そのデバイスに対して直接物理的攻撃を実行するのに十分な時間がかかる場合がある。このような直接的な物理的攻撃には、ワイヤの切断、電圧の調査、レーザによる障害の挿入、傾向の観察や情報の推測のためのコードの繰り返し実行などが含まれ得る。

したがって、セキュリティ回路は、電子デバイスに対する多種多様な攻撃に対抗するための多様な機能スイートを実装する責任を担うことができる。しかし、セキュリティ回路に対する既存のアプローチは、その場限りで設計されたハードウェアアーキテクチャを採用している。セキュリティ回路の異なる回路部分は、互いに相対的に分離して設計することもできる。その結果、さまざまなセキュリティ脅威に対抗するように設計された回路部分が意図したとおりに相互運用できなくなり、ハードウェアの安全性が低下し得る。さらに、構成要素間の通信が不十分であると、悪意のある者にとって新たな攻撃経路が生まれる。さらに、このその場のアプローチにより、セキュリティ回路の設計およびテスト段階がより困難で、より長く、よりコストがかかるものになる。これにより、セキュリティアーキテクチャの開発時に一部のセキュリティ脅威が無視されたり、不適切に対処されたりし得る。したがって、これらのその場のアーキテクチャでは、多種多様なセキュリティ脅威から電子デバイスを保護することがさらに困難になる。

しかし、本文書は、電子デバイスに対するさまざまな形態の攻撃に対抗するための復元性のあるプログラム可能なセキュリティハードウェアを生成できる、適応可能で可撓性フレームワークまたはプラットフォームを提供するアプローチについて説明する。セキュリティ回路の一部の実装では、さまざまな種類の回路、またはさまざまなセキュリティ関連機能を提供する回路部分が、それにもかかわらず確実で一貫したシグナリングを生成する拡張プロトコルを使用して通信する。この通信プロトコルにより、さまざまなセキュリティ関連機能を提供する回路が、指定された設計フレームワークに従ってシームレスに相互作用できるようになる。

設計フレームワークおよび通信プロトコルは、互いに別々に設計された回路構成要素であっても、安定した予測可能な相互作用とともに一貫して展開するのに適した「互換性のある」構成要素を生成する。例えば、通信および他の形態の相互作用（例えば、バス、インターフェース、またはメモリなどのリソースの共有）を少なくとも部分的に標準化して、予測可能性および相互運用性の尺度を提供することができる。本明細書で使用される場合、「互換性のある構成要素」には、構成要素が一緒に使用するのに適するように、共通のフレームワークに準拠するように設計された構成要素が含まれる。場合によっては、互換性により、集積回路チップの２つ以上のセキュリティ関連構成要素間である程度のプラグアンドプレイ機能が提供される。

いくつかの実装では、セキュリティ回路は、「集中型」プロセッサおよび相互接続に加えて、複数の周辺デバイスを含む。複数の周辺デバイスのうちの各周辺デバイスは、セキュリティ回路の安全性または適切な機能に寄与する何らかの機能を実行する。したがって、各周辺デバイスは、コアのセキュリティ関連機能またはサポートするセキュリティ関連機能を提供できる。この機能は、データへのアクセスの制御や暗号化動作の実行など、電子デバイスの他の回路および／またはＩＣによる安全な計算を可能にする機能の提供を含む、セキュリティ回路の全体的な目的をサポートする。予測可能性と相互運用性のために、各周辺デバイスは互換性のある構成要素として実現され得る。

互換構成要素としておよび／または周辺デバイスとして実装できる回路構成要素の一例は、ＲＯＭブロックまたはモジュールである。ＲＯＭブロックには、ＲＯＭアレイとＲＯＭコントローラが含まれる。ＲＯＭアレイには、再起動または電源投入シナリオから電子デバイスを初期化するために使用される起動レベルの命令が含まれ得る。ＲＯＭブロックを保護するために、ＲＯＭアレイ内のデータを暗号化し、ＲＯＭコントローラでＲＯＭへのゲートアクセスを提供できる。

さらに、ＲＯＭブロックは、暗号化を使用して、ＲＯＭアドレスと関連するＲＯＭデータとを結び付けることができる。ここでの「結ぶ」は「関連付ける」という意味でも使われる。特に、ＲＯＭブロックは、ＲＯＭデータの暗号化のためのアルゴリズムにおけるパラメータとしてＲＯＭアドレスを使用することによって、ＲＯＭアドレスをＲＯＭデータのＲＯＭデータに関連付けることができる。例えば、マスクＲＯＭ（例えば、ワードラインとビットラインのグリッドを有するＲＯＭ、通常、ワードラインはアドレス入力を提供し、ＲＯＭメモリはビットラインにデータを出力する）は、ＰＲＩＮＣＥ暗号などの暗号を使用してスクランブルすることができる。それぞれのＲＯＭアドレスを使用して、関連するそれぞれのＲＯＭデータを複数の方法のいずれかでスクランブルし、アドレスとデータをリンクすることができる。例えば、それぞれのアドレスを使用して、それぞれのＲＯＭデータを復号できる。いくつかの実装では、スクランブル解除されたＲＯＭアドレスを使用して、キーストリーム値などの少なくとも１つのキーを生成し、これを対応するＲＯＭデータのバージョンに適用して、復号されたＲＯＭデータを生成する。ＰＲＩＮＣＥのようなブロック暗号は、例えば「カウンタ（ＣＴＲ）モード」で使用できる。ＲＯＭエントリやＲＯＭラインなどの各ＲＯＭデータには、ＲＯＭ（例えば、セキュリティ回路によって実行されるプロセスを定義するユーザデータまたはプログラム命令を符号化するＲＯＭビット、例えば、アルゴリズムを定義するＲＯＭビット）に対応するビットと、そのデータのＲＯＭビットのエラー訂正コード（ＥＣＣ）値に対応するビットが含まれる。

したがって、ＲＯＭのこの「暗号化」は、例えば、それぞれのＲＯＭデータの復号手順の一部としてそれぞれのＲＯＭアドレスを使用することによって、ＲＯＭアドレスとＲＯＭデータを結び付けるために使用することができる。このアドレスベースの暗号化アプローチにより、アドレスバスに対する障害攻撃がＲＯＭアレイの読み取りをリダイレクトするために簡単に使用され得ないようにすることができる。ＲＯＭアドレスとデータを暗号的にリンクすることにより、通常のＲＯＭアクセスをリダイレクトする攻撃（例えば、それにより攻撃者が起動コード内でフェッチされた命令をノー動作（ＮＯＰ）に変えることでスキップできるようにする）を阻止できる。これにより、ＲＯＭデータを要求する「外部回路」（例えば、メインプロセッサ）による動作が保護される。

ＲＯＭをスクランブルすることにより、記憶されたＲＯＭコードを変更してデバイスを偽証させようとする攻撃者にとってもより困難になる。例えば、攻撃者が元の暗号化されていないＲＯＭデータに１ビットの変更を加えたいと仮定する。この１ビットの変更により、通常は、整合性チェックが失敗する原因となる問題を回避しながら、命令を変更できる。一方、暗号化された（例えば、スクランブルされた）ＲＯＭデータの場合、攻撃者がスクランブルされたデータを変更しようとする場合、暗号化されたＲＯＭデータに対するそのような変更には、予想される１９ビット（例えば、３９ビットワードの約半分）かかり得る。したがって、マスクＲＯＭをスクランブルすると、マスクＲＯＭの編集に対する復元性が提供され、ＲＯＭマクロの境界での障害挿入攻撃がより困難になる。

実装例では、セキュリティ回路のＲＯＭブロックのＲＯＭデータが暗号化される。暗号化は、ＲＯＭアドレスと関連するＲＯＭデータを結び付けるために使用される。ＲＯＭアドレスおよび／または関連するＲＯＭデータはスクランブルすることができる。場合によっては、ＲＯＭデータをスクランブル解除するためにＲＯＭアドレスが使用される。ＲＯＭデータは、対応するセキュリティ値（例えば、ＥＣＣビット）を使用して共同でスクランブルすることができる。このような場合、ＲＯＭラインごとのセキュリティ値を使用し、ＲＯＭラインとして一緒に記憶できる。ＲＯＭアドレスを使用してＲＯＭデータをスクランブル解除するには、ＲＯＭアドレスを使用して、関連するＲＯＭデータをスクランブル解除するキーを生成する。スクランブル解除されたＲＯＭアドレスは、ＲＯＭのエントリを読み取るために調整またはスクランブルされたＲＯＭアドレスに変換されて、ＲＯＭを変更し、デバイスが変更されたＲＯＭで起動するようにする攻撃者の取り組みをさらに複雑にし、挫折させることもできる。

他の実装例では、ＲＯＭブロックは、ＲＯＭアレイと、ＲＯＭデータの整合性を確認するためのＲＯＭチェッカ回路を有するＲＯＭコントローラとを含む。攻撃者は、ＲＯＭアレイ（例えば、マスクＲＯＭ）に変更を加えた後、起動時にＲＯＭチェッカとＲＯＭアレイ間の通信を障害または制御することによって、そのような変更を隠蔽しようとし得る。例えば、攻撃者は、ＲＯＭチェッカ回路とＲＯＭアレイの間のデータバスを操作して、ＲＯＭデータへの変更を隠蔽しようとし得る。同様に、攻撃者はアドレスバスの下位ビットの制御を試み、それにより、変更されたワードをスキップして未変更のコピーを指し示すようにＲＯＭアクセスをリダイレクトすることでＲＯＭチェックを破壊し得る。

これらの潜在的な攻撃は、ＲＯＭを固定キーでスクランブルし、整合性チェックのためにスクランブルされたデータに対してハッシュを実行することによって、少なくとも部分的に阻止することができる。したがって、データバスに対する攻撃は、スクランブル方式の拡散特性によってさらに困難になる。例えば、スクランブル解除されたデータに１ビット変更を加えるには、攻撃者はＲＯＭアレイ内の多くのビットを変更し、次いで、データバス上のそれらの同じビットを制御して変更を隠す必要がある。また、アドレスバスに対する攻撃は、スクランブルがデータスクランブル方式にアドレスを組み込む方法によって打ち破ることができる。

追加の実装例では、ＲＯＭデータは暗号化され、ＲＯＭ整合性チェッカは暗号化されたＲＯＭデータに対して動作する。ＲＯＭ整合性チェッカ回路は、各起動時またはリセット時にＲＯＭデータが変更されていないことを確認できる。ＲＯＭ整合性チェッカ回路はラインごとに動作できる。例えば、整合性チェッカ回路は、ダイジェスト値を計算するためにＲＯＭデータがまだ暗号化されている間に、ハッシュアルゴリズムをＲＯＭの各ラインに適用させることができる。以下に説明するように、暗号化されたＲＯＭデータがハッシュアルゴリズムを実行する回路に供給された後、ＲＯＭから取得できる予想ダイジェスト値を計算されたダイジェスト値と比較できる。整合性チェッカ回路は、ダイジェスト値が一致しない場合にアラームを生成する。

ＲＯＭブロックまたはモジュールは、ＲＯＭアレイおよびＲＯＭコントローラを含むことができる。一般に、マスクＲＯＭなどのＲＯＭアレイのコンテンツは、セキュリティ戦略のスイートの一部としてスクランブルできる。起動時に、ＲＯＭコントローラはＲＯＭアレイから読み取り、抽出されたスクランブルされたコンテンツを、ハッシュアルゴリズムを適用できるダイジェスト計算回路など、少なくとも１つのダイジェストチェックモジュールに送信する。このダイジェスト計算回路は、安全なハッシュアルゴリズム３（ＳＨＡ－３）などのハッシュアルゴリズムを使用してコンテンツのダイジェストを計算する。ダイジェストは、ｃＳＨＡＫＥなどのカスタマイズ可能な任意のメッセージ長バージョンのＳＨＡ３を使用して計算することもでき、これにより、特定のアプリケーションに対してハッシュ関数を固有にするために、回路がＲＯＭチェッカ固有の関数文字列をＲＯＭデータにプレフィックスすることができる。ＲＯＭデータラインはダイジェスト計算回路のブロックサイズと整列していない可能性があり、その場合にはラインをブロック長に合わせて（例えばゼロで）パディングすることができる。ＲＯＭコントローラは、ダイジェスト計算回路から取得したダイジェストを予想ダイジェストと比較して、ＲＯＭアレイへのアクセスを制御できる。ＲＯＭアレイは、予想ダイジェストを１つまたは複数のＲＯＭアドレスの場所に記憶できる。ＲＯＭコントローラは、計算されたダイジェスト値をホストプロセッサなどのＲＯＭの外部の回路に提供することもできる。ＲＯＭコントローラは、例えば、他の構成要素がアクセスできるＲＯＭのインターフェースレジスタを介して、計算されたダイジェスト値を公開し得る。これにより、１つまたは複数の他の構成要素がＲＯＭデータが改ざんされていないことを確認できるようになる。

実装例では、固定スクランブルキーを選択して、少なくともほとんどの、場合によってはすべてのＲＯＭラインが互いに別個であるか異なることを保証することができる。これは、アドレスバスに対する障害攻撃では、ダイジェスト計算回路と通信するＲＯＭコントローラを、同じＲＯＭ命令を記憶する別のラインに一時的にリダイレクトすることによって変更を隠すことができないことを意味する。

さらに、スクランブルされたデータをハッシュすることは、スクランブル解除されたデータをハッシュするよりも耐障害性が高い。スクランブル解除されたＲＯＭデータに小さな変更を加えようとする攻撃者は、スクランブルされたＲＯＭデータに比較的大きな変更を加えなければならない。ハッシュはスクランブルされたデータに対して計算されるため、攻撃者は変更を隠すために障害を起こすか、多くのビットを制御する必要がある。したがって、ＲＯＭデータの暗号化と暗号化キーの選択を組み合わせると、ＲＯＭデータ自体とアドレスバスに対する攻撃が成功する可能性が大幅に低くなる。

他の実装例では、ＲＯＭの複数のラインに対して少なくとも１つのダイジェストを生成することに関連して、プロセスは、ＲＯＭに記憶される重複した命令ラインを減らす暗号化アルゴリズムおよび／または暗号化キーを選択することが必要になり得る。さらに、重複して記憶された命令ラインを排除する暗号化アルゴリズムおよび／または暗号化キーを選択することができる。したがって、スクランブルアルゴリズムおよび／またはスクランブルキーは、ＲＯＭデータのコンテンツに基づいて選択され、ＲＯＭアレイに記憶される結果として得られる暗号化ビットの変動性を最大化しないにしても、少なくとも増加させることができる。この変動性（例えば、固有性）により、攻撃者が１つのＲＯＭエントリから整合性チェッカをリダイレクトすることが、不可能ではないにしても困難になり、これは、同じワードを有する別のＲＯＭエントリに対してチェックされることになっている。これは、同じ記憶ＲＯＭ値を有するエントリはたとえあったとしてもほとんどないためである。これらの技術を使用すると、ＲＯＭのスクランブルされたデータにハッシュアルゴリズムを適用できる。換言すれば、記憶されたＲＯＭデータの少なくとも１つのダイジェストは、ＲＯＭデータをスクランブル解除されたラインの代わりにスクランブルされたラインを使用して計算され、ハッシュアルゴリズムが動作する値の変動性を高めることができる。

これらの方法で、セキュリティ回路をシリコンＲｏＴチップおよび／またはＳｏＣに組み込むことができる。このようなセキュリティ回路には、ＲＯＭブロックを含む複数の周辺デバイスが含まれる。ＲＯＭセキュリティのいくつかの態様は、セキュリティ回路環境および／または互換性のある設計のコンテキストで説明されているが、開示されたＲＯＭセキュリティ概念は、他の回路環境および他の設計パラダイムにも適用可能である。

本文書では、まず、図１と２を参照してセキュリティ環境の例を説明する。次に、周辺デバイスインターフェースと設計コード分析の例について、図３－１から３－３を参照して説明する。次に、本文書では、図４から１３を参照して、ＲＯＭセキュリティの態様と実装について説明する。電子デバイスの例について、図１４を参照して説明する。本明細書で説明される環境、態様、および実装のそれぞれは、個別に使用することも、任意の組み合わせで使用することもできる。

したがって、さまざまな詳細レベルでの実装例について、関連する図を参照して以下に説明する。以下の説明では、最初に動作環境の例を示し、次にハードウェアの例、方式、および技術について説明する。例示的な方法は、その後、フローチャートまたは図を参照して説明される。最後に、計算デバイスの例について説明する。

ＲＯＭセキュリティの動作環境例
図１は、セキュリティ回路１０６を含む集積回路１０４（ＩＣ１０４）を有する例示的な装置１０２を全体的に１００で示す。装置１０２、集積回路１０４、および／またはセキュリティ回路１０６は、本明細書で説明されるようにＲＯＭセキュリティを実装することができる。この例では、装置１０２はスマートフォンとして示されている。しかし、装置１０２は、任意の適切な計算または電子デバイスとして実装されてもよい。

装置１０２の例には、モバイル電子デバイスまたはモバイルデバイス、モバイル通信デバイス、モデム、セルラーまたは携帯電話、移動局、ゲームデバイス、ナビゲーションデバイス、メディアまたは娯楽デバイス（例えば、メディアストリーマやゲームコントローラ）、ラップトップコンピュータ、デスクトップコンピュータ、タブレットコンピュータ、スマートアプライアンス、車両ベースの電子システム、ウェアラブル計算デバイス（例えば、衣類、時計、または現実改変メガネ）、モノのインターネット（ＩｏＴ）デバイス、センサ、在庫管理デバイス、機械の電子部分または機器の電子部品（例えば、車両やロボット）、メモリ記憶デバイス（例えば、ソリッドステートドライブ（ＳＳＤ））、サーバコンピュータまたはその一部（例えば、サーバブレードまたはラック、またはデータセンタの別の部分）などが含まれる。装置１０２の図示された例は、タブレットデバイス１０２－１、スマートテレビ１０２－２、デスクトップコンピュータ１０２－３、サーバコンピュータ１０２－４、スマートウォッチ１０２－５、スマートフォン（または文書リーダ）１０２－６、およびインテリジェントメガネ１０２－７が含まれる。

実装例では、装置１０２は、少なくとも１つの集積回路１０４を含む。集積回路１０４は、モジュール、カード、またはプリント回路基板（ＰＣＢ）（図示せず）に取り付けることができる。ＰＣＢの例としては、可撓性ＰＣＢ、リジッドＰＣＢ、単層または多層ＰＣＢ、表面取り付けまたはスルーホールＰＣＢ、それらの組み合わせなどが挙げられる。各集積回路１０４は、汎用プロセッサ、システムオンチップ（ＳｏＣ）、セキュリティ指向ＩＣ（例えば、ＲｏＴ ＩＣチップ）、メモリチップ、通信ＩＣ（例えば、モデムや無線周波数ＩＣ）、グラフィックプロセッサ、人工知能（ＡＩ）アクセラレータ、それらの組み合わせなどとして実現することができる。集積回路１０４は、単独で、または他のＩＣチップと一緒にパッケージ化することができる。

示されるように、集積回路１０４はセキュリティ回路１０６を含む。セキュリティ回路１０６は、複数の回路構成要素１０８－１…１０８－Ｃ（Ｃは正の整数を表す）および相互接続１１０を含むさまざまな部品を含むことができる。回路構成要素１０８の例には、相互接続１１０に加えて、プロセッサおよび複数の周辺デバイスが含まれる。これらは図２に示されており、以下で説明される。図１には明示的に示されていないが、集積回路１０４は、セキュリティ回路１０６以外の他の部分を含んでもよい。複数の回路構成要素１０８－１…１０８－Ｃおよび相互接続１１０は、図示のように単一のＩＣ上に一体的に集積されてもよいが、あるいは、構成要素は２つ以上のＩＣにわたって分散されてもよい。セキュリティ回路１０６は、例えば、保護されたエンクレーブ、信頼できるチッププラットフォーム、ハードウェアベースの信頼のルート（ＲｏＴ）チップ（例えば、シリコンＲｏＴ）などとして実現することができる。セキュリティ回路１０６が電子デバイスにどのようにまたはどこに組み込まれるかに関係なく、セキュリティ回路１０６は多くの異なるタイプの攻撃に対抗することができる。

動作例では、攻撃、または潜在的な攻撃、または異常な発生が検出されると、何らかの構成要素によってアラート１１２または割り込み１１４が生成される。例えば、回路構成要素１０８は、アラート１１２を生成することができ、後述するアラートハンドラにアラート１１２を送信することができる。追加的にまたは代替的に、別の回路構成要素１０８は、プロセッサによる処理のために割り込み１１４を生成することができる。アラート１１２、割り込み１１４、および他の信号は、セキュリティ回路１０６のプロセッサおよび／または周辺デバイスの間の相互作用のための共通のフレームワークに従って、２つ以上の構成要素１０８の間で通信される。共通フレームワークでは、各周辺デバイスのインターフェースとシグナリングを指定して、複数の周辺デバイスにわたる相互運用性と一貫した通信プロトコルの使用を促進できる。したがって、互換性のいくつかの態様はセキュリティ回路に関して示されているが、周辺デバイスの互換性は他のタイプの回路にも採用することができる。例示的なフレームワーク、ならびに例示的な通信インターフェースおよびインターフェース仕様については、図３－１から３－３を参照して以下に説明する。

いくつかの実装では、回路構成要素１０８は、ＲＯＭ１１８またはＲＯＭブロック１１８として実現される。ＲＯＭ１１８は、周辺デバイス、互換性のある構成要素、それらの組み合わせなどとしてセキュリティ回路１０６に組み込むことができる。例えば、セキュリティ回路１０６は、セキュリティ回路１０６またはＩＣ１０４を初期化するための再起動の一部としてＲＯＭ１１８にアクセスすることができる。ＲＯＭ１１８は、起動動作以外の、または起動動作の代わりに、他の目的でアクセスすることができる。このＲＯＭアクセス１１６は、ＲＯＭデータの整合性チェックと関連して本明細書で説明されるセキュリティパラダイムの一部として、ＲＯＭ１１８によってゲートすることができる。ＲＯＭアクセス１１６は、ＲＯＭデータを、ＲＯＭ１１８のＲＯＭデータにアクセスするために使用されるＲＯＭアドレスに結び付けることによって保護することもできる。ＲＯＭセキュリティのこれらおよびその他の態様については、図４から１３を参照して以下に説明する。しかし、図２を参照して、セキュリティ回路１０６のアーキテクチャ例を次に説明する。

図２は、互換可能に実装することができる複数の例示的な周辺デバイス２５０を含む、複数の回路構成要素を含む例示的なセキュリティ回路１０６を示す。図示されるように、セキュリティ回路１０６は、相互接続１１０に結合されたプロセッサ２０２を含む。相互接続１１０は、例えば、バス、スイッチングファブリック、またはさまざまな回路構成要素の通信を可能にするバスネットワークを使用して実現することができる。複数の回路構成要素１０８－１…１０８－Ｃ（図１の）は、相互接続１１０および／またはプロセッサ２０２に加えて、複数のメモリおよび複数の周辺デバイスを含むことができる。プロセッサ２０２、複数のメモリ、および複数の他の周辺デバイス２５０のそれぞれは、相互接続１１０に直接的または間接的に結合される。本明細書で説明されるように、ＲＯＭ１１８（例えば、図１および図４以降の）は、図２のＲＯＭ２０６に対応し得る。

実装例では、複数のメモリは、読み取り専用メモリ２０６（ＲＯＭ２０６）、スタティックランダムアクセスメモリ２０８（ＳＲＡＭ２０８）、およびフラッシュメモリ２１０を含むことができる。複数の周辺デバイス２５０は、アラートハンドラ２０４、高度暗号化標準（ＡＥＳ）エンジン２１２（ＡＥＳエンジン２１２）、ハッシュベースのメッセージ認証コード（ＨＭＡＣ）エンジン２１４（ＨＭＡＣエンジン２１４）、シリアル周辺インターフェース（ＳＰＩ）デバイス２３０（ＳＰＩデバイス２３０）、およびフラッシュコントローラ２１６を含み得る。複数の周辺デバイス２５０はまた、汎用非同期受信機／送信機（ＵＡＲＴ）装置２１８（ＵＡＲＴ装置２１８）、汎用入出力（ＧＰＩＯ）インターフェース２２０（ＧＰＩＯインターフェース２２０）、ピンマルチプレクサ２２２（ピンマルチプレクサ２２２）、およびパッドコントローラ２２４を含み得る。複数の周辺デバイス２５０は、乱数発生器２３２（ＲＮＧ２３２）およびタイマ２３４をさらに含むことができる。さらに、周辺デバイス２５０は、図２に示すように、任意のメモリを含むことができる。メモリおよび他の周辺デバイス２５０の特定の例が図２に示されているか、または本明細書で説明されているが、セキュリティ回路１０６の特定の実装には、プロセッサ、コントローラ、メモリ、モジュール、または周辺デバイス（それらの複製を含む）のより多くの、より少ない、および／または異なるインスタンスが含まれてもよい。

図示された回路構成要素は、１つまたは複数のクロック信号に基づいて同期して動作することができる。図２には示されていないが、セキュリティ回路１０６は、クロック信号を生成するための少なくとも１つのクロック発生器を含んでもよく、あるいは、１つまたは複数の個々の構成要素を互いに独立して、複数の構成要素を一緒に、またはＩＣチップ全体をリセットするためのリセット回路を含んでもよい。あるいは、セキュリティ回路１０６は、セキュリティ回路１０６の外部のソースから少なくとも１つのクロック信号またはリセット信号を受信してもよく、そのソースは別個のチップ上にあってもなくてもよい。１つまたは複数の別個の周辺デバイス２５０は、それぞれの個別のクロックドメインで動作することができる。例えば、入出力（Ｉ／Ｏ）周辺デバイスは、それぞれのＩ／Ｏデバイスまたはチャネルにローカルなクロックに同期することができる。異なるクロックドメイン内の周辺デバイスは、互いに非同期に動作または通信することできる。

図示された構成要素の実装例を以下に説明する。プロセッサ２０２は、セキュリティ回路１０６の「メイン」プロセッサ、「中央」プロセッサ、または「コア」プロセッサとして実現され得る。プロセッサ２０２は、ほんの一例として、多段パイプラインを備えた３２ビットのインオーダー縮小命令セット計算（ＲＩＳＣ）コアで実装され得る。例えば、ＲＩＳＣ－Ｖ命令セットを使用すると、プロセッサはＭ（マシン）モードとＵ（ユーザ）モードを実装できる。リセットピン（図示せず）を（例えば、アクティブローのリセットピンのアサート解除を通じて）アクティブ化すると、プロセッサ２０２はリセットを終了し、そのリセットベクトルでコードの実行を開始する。リセットベクトルはＲＯＭ２０６内で開始することができ、埋め込みフラッシュ（ｅフラッシュ）にジャンプする前に埋め込みフラッシュ（ｅフラッシュ）内のコードを確認する。言い換えれば、コードはリセットが解除される前にｅフラッシュにインスタンス化されていると予想される。場合によっては、セキュリティ回路１０６全体のリセットは、さまざまな回路構成要素間の相互運用性をサポートするために、互換性仕様に従って非同期アクティブローにすることができる。リセットは、セキュリティ対策としてアラートハンドラ２０４によって、ウォッチドッグタイマなどにより生成されてもよい。リセット信号は、メモリのうちの１つまたは他の周辺デバイス２５０のうちの１つなど、他の回路構成要素に送信されてもよい。

プロセッサ２０２には、デバッグモジュール２２６（ＤＭ２２６）および割り込みコントローラ２２８（ＩｔＣ２２８）が結合されており、それらのいずれも互換可能にすることができる。デバッグモジュール２２６は、プロセッサ２０２にデバッグアクセスを提供する。ＩＣの特定のピンとインターフェースすることによって、デバッグモジュール２２６の論理は、プロセッサ２０２がデバッグモードに入ることができ、デバイス（例えば、命令をエミュレートすることによって）またはメモリにコードを挿入する機能を提供する。割り込みコントローラ２２８は、プロセッサ２０２の近くに配置され得る。割り込みコントローラ２２８は、セキュリティ回路１０６内から割り込みソースのベクトルを受け入れることができる。割り込みコントローラ２２８は、割り込みをプロセッサ２０２の処理に転送する前に、割り込みに平準化および優先順位を割り当てることもできる。

プロセッサ２０２は、任意の所望のレベルの性能を提供することができ、または任意の内部回路構成要素を含むことができる。例えば、プロセッサ２０２は、少なくとも１つの算術論理演算装置（ＡＬＵ）（例えば、成立した条件付き分岐におけるレイテンシのサイクルを除去するために分岐ターゲットを計算する「追加の」ＡＬＵを含む）および複数のパイプライン段階を含むことができる。複数のパイプライン段階を使用すると、パイプラインはレジスタライトバックを実行して、ロードとストアによるレイテンシのサイクルを削減し、ロードまたはストアへの応答が要求後のサイクルで利用可能になるパイプラインストールを防ぐことができる。プロセッサ２０２は、単一サイクル乗算器を実装するか、ストアへのエラー応答で不正確な例外を生成することができ、これにより、プロセッサは応答を待たずにストアを過ぎても実行を続けることができる。図示されていないが、特にプロセッサ２０２、または一般にセキュリティ回路１０６は、命令に単一サイクルのアクセス時間を提供する命令キャッシュを含むことができる。

図示の例では、セキュリティ回路１０６は、命令およびデータ用の３つのメモリアドレス空間を含む。ＲＯＭ２０６は、リセット解除後のプロセッサ２０２のターゲットとなる。ＲＯＭ２０６は、コードの次の段階をチェックする前にプラットフォームチェックのサブセットを実行するためのハードコードされた命令を含む。コードの次の段階（例えば、ｅ－フラッシュメモリに記憶される起動ローダ）は、デバイスのシリコンにハードコーディングされていない最初のコード部分になり得る。したがって、コードのこの次の段階では、セキュリティを強化するために整合性について署名チェックが行われる。ＲＯＭ２０６は、起動ローダの完全なコンテンツに対して、リベスト・シャミル・エイドルマン（ＲＳＡ）チェックアルゴリズムまたは楕円曲線デジタル署名アルゴリズム（ＥＣＤＳＡ）などの多くのアルゴリズムのいずれかを実装することによって、この署名チェックを実行することができる。

フラッシュメモリ２１０は、コード記憶用の組み込みフラッシュ（ｅ－フラッシュ）メモリとして実装することができる。このｅ－フラッシュには、上記の起動ローダのほか、オペレーティングシステムとその上にある層のアプリケーションを収容できる。ＳＰＩデバイス２３０は、ｅ－フラッシュメモリをバルクロードするために使用することができる。デバッグモジュール２２６は、コードのロードにも使用され得る。ＳＲＡＭ２０８は、プロセッサ２０２によるデータ記憶（例えば、スタックおよびヒープ情報）に利用可能なスクラッチパッドＳＲＡＭとして動作することができる。ＳＲＡＭ２０８はコードを記憶することもできる。

セキュリティ回路１０６は、「周辺機器」または「周辺デバイス」のスイートを含むことができる。これらの周辺デバイス２５０は、相互接続１１０を介してプロセッサ２０２に結合される従属実行装置であってもよい。これらの周辺デバイス２５０のそれぞれは、相互およびプロセッサ２０２との互換性を保証するインターフェースフレームワークに従うことができる。互換性方式は、プロセッサ２０２が特定の周辺デバイスとどのように通信する（例えば、相互接続１１０を使用して）か、周辺デバイスがどのようにチップＩ／Ｏと通信するか（例えば、固定または多重化可能なＩ／Ｏを介して）、周辺デバイスがどのようにプロセッサ２０２と通信するか（例えば、割り込みを使用して）、周辺デバイスがどのようにセキュリティイベントを（例えば、アラート指示を使用して）アラートハンドラ２０４のような他の回路構成要素に通信するか、周辺デバイスが他の周辺デバイスとどのように通信するか（例えば、少なくとも１つのレジスタを介して、同期的または非同期的に）、またはそれらの組み合わせかを指定することができる。図示の周辺デバイス２５０は、アラートハンドラ２０４によって提供されるアラート関連機能に関連する、プロセッサ２０２に関連する、１つまたは複数のメモリに関連する、チップＩ／Ｏなどに関連する周辺デバイスを含むことができる。したがって、メモリは、互いに関連する、または他の図示された回路構成要素に関連する周辺デバイス２５０を備えることもできる。

回路またはチップＩ／Ｏ周辺デバイスには、ピンマルチプレクサ２２２およびパッドコントローラ２２４が含まれる。ピンマルチプレクサ２２２は、周辺デバイス２５０の少なくとも一部とセキュリティ回路１０６の利用可能な多重化可能なＩ／Ｏノードとの間のシグナリングルートを提供する（例えば、さまざまな構成要素が統合されているチップのピン、またはＳｏＣの他の部分へのインターフェース）。パッドコントローラ２２４は、各回路（例えば、チップ）の外部Ｉ／Ｏの駆動強度、技術、プルアップ対プルダウンなどの制御またはパッド属性を管理する。ピンマルチプレクサ２２２およびパッドコントローラ２２４は、それ自体、相互接続１１０上の周辺デバイスである。したがって、それぞれは、ソフトウェア構成可能性を提供する少なくとも１つのレジスタの集合を有するか、または関連付けることができる。

ＵＡＲＴ装置２１８は、単一レーン二重ＵＡＲＴ機能などのＵＡＲＴ機能を実装することができる。その出力と入力は、ピンマルチプレクサ２２２を介して任意の回路Ｉ／Ｏに接続するように構成できる。ＧＰＩＯインターフェース２２０は、ピンマルチプレクサ２２２を介して外部回路へのＧビットの双方向通信を作成する。ここで、Ｇは、１６、３２、または６４のような正の整数である。メモリＩ／Ｏに関しては、ＳＰＩデバイス２３０はファームウェアモードを実装することができる。ここで、ファームウェアモードは、外部ドライバがフィールド内ファームウェア更新のためにファームウェアアップグレードコードをフラッシュメモリ２１０のバンクに送信する能力を提供する機能を有効にすることができる。ファームウェアモードには、ＳＰＩトランザクションを使用したメモリのアドレス指定を含めることができる。図示されていないが、セキュリティ回路１０６は、Ｉ２Ｃデバイスのコマンドを可能にするために、集積回路間（Ｉ２Ｃ）ホストを含むことができる。Ｉ２Ｃデバイスのこのコマンドには、標準モード、フルモード、および高速モードが含まれ得る。

暗号化エンジンおよびアラートハンドラ２０４を含む、いくつかの「コアセキュリティ」周辺デバイスも示されている。ＡＥＳエンジン２１２は、１つまたは複数のプロトコルおよび１２８ｂ、１９２ｂ、または２５６ｂなどのさまざまなキーサイズを使用して、対称暗号化および復号を提供することができる。この構成要素は、例えば１６バイト単位で到着するデータの暗号化または復号を選択し、異なるブロック暗号化動作モードを使用して暗号化または復号することができる。ＡＥＳエンジン２１２は、電子コードブック（ＥＣＢ）モード、暗号ブロック連鎖（ＣＢＣ）モード、暗号フィードバック（ＣＦＢ）モード、出力フィードバック（ＯＦＢ）モード、カウンタ（ＣＴＲ）モードなどをサポートすることができる。データ転送はプロセッサで利用可能にすることができる。例えば、キーとデータ素材をレジスタ書き込みを介して暗号エンジンに渡すことができる。あるいは、潜在的に信頼できないプロセッサのアクティビティにさらされるのを軽減するために、キーとデータ素材を転送するためのプライベートチャネルを含めることもできる。

ＨＭＡＣエンジン２１４は、例えば、安全なハッシュアルゴリズム（ＳＨＡ）ＳＨＡ－２５６をハッシュアルゴリズムとして利用することができる。ＳＨＡ－２５６は、ハッシュアルゴリズムのＳＨＡ－２ファミリのメンバーであり、ハッシュされる入力のデータサイズに関係なく、ダイジェスト（またはハッシュ出力）の長さは２５６ｂである。データは、ハッシュ要求の開始を宣言した後、ＨＭＡＣ周辺デバイスに送信される。これにより、内部状態が初期状態（例えば、一度に３２ｂ）にゼロになる。構成要素クライアントによってデータが送信されると、クライアントはハッシュ要求の完了を示すことができる（任意の部分ワード最終書き込みを使用）。移植性インターフェース方式の一例によれば、ＨＭＡＣエンジン２１４はハッシュ結果を生成し、それを要求側クライアントによるレジスタ読み取りに利用できるようにする。データ転送は、プロセッサが利用できるようにすることも、潜在的に信頼できないプロセッサのアクティビティにさらされるのを減らすためにプライベートにすることもできる。

ＨＭＡＣは、ハッシュ関数（例えば、ＳＨＡ－２５６）の上に階層化されたメッセージ認証プロトコルであり、ＨＭＡＣは、暗号化の目的で機密キーを混合する。ＨＭＡＣは、メッセージのハッシュ（ＳＨＡ－２５６経由）の周りに機密キーを所定の方法（２回など）で追加する特定のアプリケーションである。この機能を提供するには、メッセージハッシュが開始される前に２５６ｂキーを回路構成要素にプログラムすることができる。認証完了のタイミングは変動し得、ネイティブＳＨＡ－２５６を使用する場合よりもレイテンシが長くなり得る。ここでもまた、ハッシュ情報または機密キーは、利便性または処理効率のためにプロセッサで利用可能にすることができ、あるいはセキュリティを高めるために何らかの方法で非公開にすることもできる。

アラートハンドラ２０４は、他の周辺デバイス２５０から提供されるアラートを含むアラートを処理し、アラートに応答する役割を担う。アラートは、認識されたセキュリティの脅威に対応するために適時に処理されるセキュリティに敏感な割り込みと考えることができる。「標準」割り込みとは異なり、アラートはプロセッサ２０２上で実行されるソフトウェアのみによって処理されるわけではない。アラートは、ソフトウェアによって「通常の」割り込みとして処理される第１の段階の要求をトリガできる。しかし、ソフトウェアがアラートによってトリガされた割り込みに応答して適切に修復できない場合、アラートハンドラ２０４は第２の段階の応答をトリガする。第２の段階の応答には、プロセスの終了、データの消去またはその他の削除、回路部分からの電力の供給、またはＩＣチップまたはその一部のリセットなどのセキュリティ対策を講じることが含まれ得る。これにより、プロセッサ２０２がビジー状態であっても、妨害を受けていても、あるいは攻撃を受けていても、根底にある問題、つまり認識されているセキュリティ脅威が確実に対処される。

したがって、アラート１１２（例えば、図１）は、アラートハンドラ２０４が他の周辺デバイスから受信し、潜在的なセキュリティ脅威を示す高位割り込みタイプの信号またはアラート指示として実装することができる。動作中、アラートハンドラ２０４は、セキュリティ回路１０６の他の回路構成要素１０８からアラートを収集し、それらをプロセッサ２０２が対処できる割り込みに変換することができる。しかし、プロセッサ２０２が割り込みをクリアしない場合、アラートハンドラ２０４は、潜在的なセキュリティ脅威に対処するためにハードウェア応答を提供する。

一部のデバイス間通信では、アラートハンドラ２０４は、周辺デバイスソースから差分信号で通知された同期または非同期アラート指示を受信する。周辺デバイス２５０は、周辺デバイス２５０の機能、知識、または感知されたパラメータに基づいてアラートを生成することができる。他のデバイス間通信の場合、アラートハンドラ２０４は、堅牢なハートビートメカニズムとしてアラートソースのｐｉｎｇテストを実行する。アラートハンドラ２０４のｐｉｎｇモニタ（明示的には示されていない）は、アラートソースとの通信チャネルが機能していることを保証するために、各アラートソースからの定期的なアラート応答を要求する。

アラートハンドラ２０４は、通信障害に基づいて、ローカルに供給されるハードウェアアラートを生成することもできる。第１のローカルソースアラートは、アラートソースまたはエスカレーションハンドラとの差分シグナリングまたは別の所定の通信プロトコルが失敗した場合（例えば、信号整合性チェックが失敗した場合）に生成される。アラートハンドラ２０４は、アラートソースまたはエスカレーションハンドラがｐｉｎｇ要求に応答しなかった場合に、そのような第２のアラートを生成する。一般に、アラートハンドラ２０４は、システム全体から着信アラートを受信し、アラートを分類し、分類されたアラートに基づいて割り込みを発行し、プロセッサ２０２が発行された割り込みをクリアしない場合、割り込みをハードウェアベースの応答にエスカレートすることができる。したがって、プロセッサがセキュリティアラートを処理できない、または処理しない場合、アラートハンドラ２０４は、例えばセキュリティ応答の代役として機能することができる。

一部のアーキテクチャでは、セキュリティアラートは、少なくとも「標準」割り込みと比較して、まれなイベントであることを意図している。したがって、設計段階では、起こり得るイベントは、そのイベントが頻繁に発生しないと予想される範囲で、そのイベントがセキュリティに潜在的な影響を与える場合に、アラートイベントとして指定され得る。このようなイベントの例としては、パリティエラー（攻撃を示し得る）、暗号またはセキュリティ関連構成要素に対する不正なアクション、環境の変更を示す物理センサからの感知された値（電圧や温度など）などが挙げられる。システムは、アラートハンドラ２０４を介してアラートをルーティングし、プロセッサ２０２が潜在的に対処するためにアラートを割り込みに変換する。一部の実装では、安全なオペレーティングシステムには、アラートによって発生するこのような割り込みをソフトウェアで処理するためのプロトコルが備わっていることが根底に予想されている。そうである場合、安全なオペレーティングシステムは通常、割り込みを解決し、その後、アラートハンドラ２０４を使用して割り込みをクリアすることができる。各周辺デバイス２５０は、対処すべきそれぞれの潜在的な脅威を表す個別のアラートのリストを提示することができる。周辺デバイスは、特定の符号化メカニズムを使用して、アラートをアラート指示としてアラートハンドラ２０４に送信することができる。

セキュリティ回路１０６は、ＲＮＧ２３２を含むこともできる。一般に、ランダム性は、攻撃者が攻撃を開始する適切なタイミングを予測できないように実行のバリエーションを提供することで、セキュリティ機能に貢献し得る。例えば、乱数は、ＩＤや暗号化の目的で使用される機密資料を提供し得る。ＲＮＧ２３２をアルゴリズム計算にシードして、機密データ値を曖昧にすることができる。一般に、ＲＮＧ２３２は、その番号生成がますます真にランダムになり、攻撃に対しても強化できる範囲でより優れた性能を提供する。ＲＮＧ２３２は、「真の」ＲＮＧ（ＴＲＮＧ）として実装することができ、これには、非決定的な何らかの物理的イベントまたはプロセスを利用するためのアナログ部分を有する設計が含まれ得る。ＴＲＮＧ設計の例は、準安定性、電子ノイズ、タイミング変動、熱ノイズ、量子変動などに依拠している。ＴＲＮＧは、結果の変数をフィルタリングし、次いで、デバイスが現在のランダム化関数のために特定の時間にサンプリングできるエントロピーのプールにそれらを送信する。場合によっては、エントロピープールへのインターフェースに、利用可能なランダムビットの読み取り要求が含まれ得る。ＴＲＮＧインターフェースは、使用可能なビット数を示し、要求元の周辺デバイスまたはソフトウェアは、使用可能なビットの範囲までこのプールから読み取ることができる。利用できないエントロピービットを読み取ろうとすると、割り込みまたはアラートがトリガされ得る。

他の２つの周辺デバイス２５０には、タイマ２３４およびフラッシュコントローラ２１６が含まれ、後者については次の段落で説明する。タイマ２３４は、例えば、プロセッサ２０２による正確な性能をサポートすることができる。タイマ２３４は、複数のビット（例えば、６４ビット）から形成され、あるパーセンテージ以内に保証された周波数を有する自走タイマとして動作する。別のタイマ（明示的に示されていない）は、プロセッサが応答しなくなった場合にプロセッサ２０２をバックストップするウォッチドッグタイマとして機能することができる。応答しないのは、開発コードの妨害、セキュリティ攻撃などが原因であり得る。

フラッシュコントローラ２１６は、コードおよびデータの記憶に利用可能なフラッシュメモリ２１０を制御する。このデータの主な１次読み取りパスは、標準メモリアドレス空間にあり得る。しかし、フラッシュは標準的な方法で書き込まれないため、そのアドレス空間への書き込みは無視できる。代わりに、フラッシュメモリ２１０に書き込むために、ソフトウェアはフラッシュコントローラ２１６と相互作用する。フラッシュ機能には、読み取り、消去、およびプログラムという３つの１次コマンドを含めることができる。読み取りコマンドは標準化でき、チップメモリのアドレス空間を使用できる。消去コマンドはページレベルで実行され、ページサイズはフラッシュコントローラ２１６によってパラメータ化可能である。消去要求を受信すると、フラッシュコントローラ２１６はターゲットページのコンテンツをワイプし、データを「１」状態（例えば、ワード当たり０ｘＦＦＦＦＦＦＦＦ）にする。その後、ソフトウェアは個々のワードを任意の値にプログラムできる。フラッシュビットは再度消去しないと「１」状態に戻らないため、将来のコンテンツは現在のコンテンツと書き込まれた値のＡＮＤによって事実上変更される。消去およびプログラムコマンドは比較的遅い。一般的な消去時間はミリ秒単位で測定され、プログラム時間はマイクロ秒の範囲にある。機密データがフラッシュメモリ２１０に記憶され得るため、セキュリティも懸念される。したがって、フラッシュコントローラ２１６によってある程度のメモリ保護を提供することができる。

セキュリティ回路１０６は、特定の回路構成要素のセットとともに図２に示されている。しかし、特定のセキュリティ回路１０６は、より多くの、より少ない、または異なる回路構成要素を有することができる。回路構成要素はまた、異なる方法で相互接続されたり、上述の例示的な方法以外の方法で動作したりすることもできる。さらに、一部の回路構成要素は省略され、一方、他の回路構成要素は複数のインスタンスで実装され得る。例えば、アラートハンドラ２０４は複製または分散されてもよく、あるいは複数のＡＥＳ暗号化エンジン２１２がいくつかのセキュリティ回路１０６内に存在してもよい。さらに、セキュリティ回路１０６が数十個のコアのうちの１つだけを形成するＩＣチップについては、セキュリティ回路１０６の周辺デバイス２５０の中からＧＰＩＯインターフェース２２０を省略することもできる。

安全なＲＯＭ周辺デバイスの互換性のあるパラダイムの方式、技術、ハードウェア例
セキュリティ回路１０６（例えば、図１および図２の）は、ＲＯＭ２０６または１１８などの周辺デバイス２５０を含む、互換性のある回路構成要素を含むことができる。このセクションでは、周辺デバイスを互換性のあるものにするためのアプローチ例について説明する。各周辺デバイス２５０は、セキュリティ回路１０６の互換性仕様に準拠することができる。少なくとも１つのインターフェース方式または通信プロトコルを定義する互換性仕様に準拠することによって、周辺デバイス２５０は、周辺デバイス２５０と他の周辺デバイスとの間に一貫した予想される相互作用を生み出す少なくとも１つのインターフェースを備えて実現される。これにより、通信の予測可能性と確実性が向上し、セキュリティ回路の設計とテストにかかる時間が短縮される。

図３－１は、他の回路構成要素との互換性をサポートするための少なくとも１つのインターフェース３０２を含む例示的な周辺デバイス２５０を３００－１で示している。より一般的には、図３－１は、相互接続１１０、相互接続１１０に結合されたプロセッサ２０２、および相互接続１１０に結合された複数の周辺デバイスを含む。したがって、複数の周辺デバイスは少なくとも相互接続１１０を介してプロセッサ２０２に結合することができる。しかし、各周辺デバイス２５０も、相互接続１１０を使用せずに直接または別の方法でプロセッサ２０２に結合されてもよい。図３－１は、Ｐ個の周辺デバイス２５０－１、２５０－２、…、２５０－Ｐを明示的に示しており、Ｐは正の整数を表す。

実装例では、各周辺デバイス２５０は、周辺デバイスの相互運用に確実性をもたらす通信フレームワークに周辺デバイス２５０が準拠できるようにする少なくとも１つのインターフェース３０２を含む。例えば、インターフェース３０２、または通信インターフェース３０２は、周辺デバイス２５０が少なくとも１つの通信プロトコル３２０を実装できるようにすることができる。インターフェース３０２は、少なくとも１つの相互接続インターフェース３０４、少なくとも１つのデバイス間インターフェース３０６、および少なくとも１つの他のインターフェース３０８を含む。これらのインターフェースについては以下で説明する。図示のように、周辺デバイス２５０は、通常、少なくとも１つのレジスタインターフェース３１０および少なくとも１つのセキュリティ機能モジュール３１２も含む。一般に、インターフェース３０２は、周辺デバイス２５０が、プロセッサ２０２および複数の周辺デバイス２５０－１…２５０－Ｐのうちの他の周辺デバイスと相互作用するための共通フレームワークに準拠することを可能にする。

レジスタインターフェース３１０は、１つまたは複数のレジスタまたはレジスタエントリを含む。各レジスタエントリは、例えば、周辺デバイス２５０への通信または周辺デバイス２５０からの通信（例えば、へのまたはからの通信）に使用することができる。例えば、プロセッサ２０２または別の周辺デバイスは、レジスタエントリをセットまたはクリアすることができ、または周辺デバイス２５０と通信するためにレジスタエントリに値をロードすることができる。逆に、周辺デバイス２５０は、プロセッサ２０２または別の周辺デバイスと通信するためにレジスタエントリの値を変更することができる。この通信を可能にするために、周辺デバイス２５０は、レジスタインターフェース３１０の少なくとも一部をプロセッサ２０２または別の周辺デバイスに公開することができる。例えば、周辺デバイス２５０は、割り込み状態指示をクリアするためのプロセッサアクセスを提供することができる。

一般に、レジスタブロックは、例えばソフトウェアとの構成およびステータス通信を管理するために、周辺論理の残りの部分と通信するために使用することができる。場合によっては、レジスタインターフェース３１０は、制御およびステータスレジスタ（ＣＳＲ）を使用して実装することができる。ＣＳＲは、周辺デバイス２５０内のレジスタの集合を提供し、そのレジスタは、回路全体またはチップ全体のアドレスマップを介して、少なくともローカルホストプロセッサ２０２によってアドレス指定可能である。ＣＳＲを標準化すると、ソフトウェアの均一性が向上し、回路の再利用と文書の一貫性が促進される。レジスタインターフェース３１０の例示的な態様については、図３－３を参照して以下に説明する。

セキュリティ機能モジュール３１２は、周辺デバイス２５０のセキュリティ関連機能を実装する。セキュリティ関連機能には、コアまたは１次セキュリティ機能と、サポートまたは２次セキュリティ機能が含まれる。コアセキュリティ機能には、例えば、アラート処理、暗号化および復号を含む暗号化動作、乱数生成、機密データの記憶およびアクセスを含む安全なデータ記憶（例えば、キー管理）などが含まれ得る。サポートするセキュリティ機能には、コア機能の性能を有効化または促進する機能が含まれ得る。サポートするセキュリティ機能の例には、メモリ記憶、メモリ制御、タイミング、回路およびチップＩ／Ｏ制御、環境センサ、バスホスティングなどが含まれる。

一般に、インターフェース３０２、または特定の例示的なインターフェース（例えば、相互接続インターフェース３０４、デバイス間インターフェース３０６、または他のインターフェース３０８）のいずれかは、レジスタインターフェース３１０に対して少なくとも１つのレジスタを確立して、それぞれのインターフェース通信能力または機能を有効にすることができる。相互接続インターフェース３０４に関して、相互接続インターフェース３０４は、例えば共通フレームワークに準拠する周辺デバイス２５０とプロセッサ２０２との間の接続を可能にするために相互接続１１０に結合する通信インターフェースを実装する。周辺デバイス２５０およびプロセッサ２０２が同じ共通フレームワークに適合することにより、両方向のデバイス－プロセッサ通信が標準化され、予測可能となり得る。相互接続インターフェース３０４は、相互接続１１０全体で動作することができ、レジスタインターフェース３１０の少なくとも１つのレジスタを使用することができ、別個のバスまたは独立したワイヤ、それらの組み合わせなどを使用することができる。動作中、周辺デバイス２５０は、相互接続インターフェース３０４を使用して、少なくとも１つの相互接続通信３１４に関与することができる。追加的にまたは代替的に、周辺デバイス２５０は、相互接続インターフェース３０４を使用して、相互接続１１０を介して別の周辺デバイスと通信することができる。

デバイス間インターフェース３０６は、周辺デバイス２５０と、共通のフレームワークに準拠する１つまたは複数の他の周辺デバイスとの間の通信インターフェースを実装する。周辺デバイス２５０および他の各周辺デバイスが同じ共通フレームワークに適合することにより、両方向のデバイス間通信を標準化し、予測可能にすることができる。デバイス間インターフェース３０６は、レジスタインターフェース３１０の少なくとも１つのレジスタを使用することができ、周辺デバイス専用のバスを使用することができ、２つの周辺デバイス間に延びる１つまたは複数の独立したワイヤ、それらの何らかの組み合わせなどを使用することができる。

動作中、周辺デバイス２５０は、デバイス間インターフェース３０６を使用して、少なくとも１つのデバイス間通信３１６に関与することができる。別の周辺デバイスと通信するために相互接続１１０をバイパスすることによって、いくつかの実装では、周辺デバイス２５０は他の周辺デバイスと「直接」通信することができる。さらに、デバイス間通信方式を確立して準拠することにより、２つ以上のデバイス間の通信の一貫性と確実性が促進される。したがって、設計者は、多数のその場の通信体制の追跡および二重チェックに時間とリソースを費やす代わりに、セキュリティ機能モジュール３１２の意図したセキュリティ関連機能を達成することに集中することができる。

他のインターフェース３０８は、周辺デバイス２５０と共通のフレームワークに準拠する別の回路構成要素との間の通信インターフェースを実装する。周辺デバイス２５０および他の回路構成要素が同じ共通フレームワークに適合することにより、両方向の周辺デバイスシグナリングを標準化し、予測可能にすることができる。その他のインターフェース３０８の一例は、外部と情報を通信するためのチップＩ／Ｏインターフェースである。他のインターフェース３０８の別の例は、割り込みが相互接続１１０を介して完全に通信されない場合の割り込みインターフェースである。他のインターフェース３０８のさらに別の例は、クロックインターフェースである。場合によっては、セキュリティ回路１０６（図３には個別に示されていない）は、１次システムクロックおよび１つまたは複数の２次システムクロックを含む。クロックインターフェースは、１次システムクロックと、通信タイミングおよび一般的な機能のために２次システムクロックの少なくとも選択された部分を利用できる。クロックインターフェースは、セキュリティ回路１０６のクロック方式に従って動作することができ、周辺デバイス２５０の設計コードは、周辺デバイス２５０に関連するクロックを指定することができる。動作中、周辺デバイス２５０は、他のインターフェース３０８を使用して、Ｉ／Ｏ回路またはクロックツリーなどの別の回路構成要素と少なくとも１つの他の通信３１８に関与することができる。

図３－２は、互換性の目的が確実に満たされるように周辺デバイスの設計を分析するための例示的なアプローチ３００－２を示す。実装例では、アプローチ３００－２は、相互接続方式３３４、デバイス間方式３３６、または他の方式３３８（方式のそれぞれを含む）を含むことができるインターフェース仕様３３２を使用する。インターフェース仕様３３２は、（図３－１の）インターフェース３０２に対応する。相互接続方式３３４は相互接続インターフェース３０４に対応し、デバイス間方式３３６はデバイス間インターフェース３０６に対応し、他の方式３３８は他のインターフェース３０８に対応する。これらの方式には、追加的にまたは代替的に、ローカルまたはチップレベルのＩ／Ｏ方式、割り込み方式、クロック方式などを含めることができる。

したがって、インターフェース仕様３３２は、インターフェース３０２の規則、プロトコル、属性、選択肢、機能などを確立することができる。同様に、相互接続方式３３４、デバイス間方式３３６、およびその他の方式３３８のそれぞれも、相互接続インターフェース３０４、デバイス間インターフェース３０６、および他のインターフェース３０８の規則、プロトコル、属性、選択肢、機能などをそれぞれ確立することができる。設計時、設計者は、インターフェース仕様３３２の各関連方式に準拠するように各周辺デバイス２５０を開発する。例えば、デバイス間方式３３６は、セキュリティ回路１０６の相互接続１１０をバイパスするデバイス間シグナリングを定義するためのフォーマットを確立することができる。そうすることによって、相互運用性を強化し、設計および開発時間、ならびにテストおよびデバッグの労力を削減する、互換性のある周辺デバイス２５０を製造することができる。例えば、周辺デバイス２５０は、周辺デバイスの設計コードによって指定された属性から導出される回路を使用して、信号（例えば、デバイス間信号）を別の周辺デバイスに通信することができる。

例示的なアプローチでは、互換性分析モジュール３４０は、設計コードの分析３４４を実行して、互換性をチェックすることができる。設計者は、インターフェース仕様３３２を参照して周辺デバイス設計コード３４２を作成する。したがって、周辺デバイス設計コード３４２は、インターフェース仕様３３２に準拠することにより、互換性の目標を満たす。周辺デバイス設計コード３４２は、例えば構成ファイルを使用して少なくとも部分的に実現され得る。周辺デバイス設計コード３４２は、プロセッサデバイスシグナリング３４８の１つまたは複数の指示（例えば、周辺デバイス２５０とプロセッサ２０２との間の相互接続通信３１４の態様を定義する）、デバイス間シグナリング３５０の１つまたは複数の指示（例えば、周辺デバイス２５０と別の周辺デバイスとの間のデバイス間通信３１６の態様を定義する）などを含むことができる。デバイス間シグナリング３５０の１つまたは複数の指示は、例えば、セキュリティ回路１０６の相互接続１１０を使用しない場合を含む、２つまたは複数の周辺デバイス間で交換される信号に関連することができる。これらの指示は、これらの信号のレジスタ、信号の命名、データ型、タイミングなどに関する規則とガイドラインに従うことができる。

周辺デバイス設計コード３４２内の記述は、セキュリティ回路１０６内の回路構成要素をもたらす。例えば、それぞれの周辺デバイス２５０（例えば、図３－１の）のデバイス間インターフェース３０６に関して、その設計コード３４２に含まれる属性に基づいて、デバイス間インターフェース３０６は、デバイス間シグナリングを可能にするために別の周辺デバイスに延びる少なくとも１つのワイヤに結合することができる。設計コード３４２内でデバイス間シグナリング３５０を指定することによって、相互運用性および通信の確実性が向上する。インターフェース仕様３３２または設計コード３４２の構成ファイルは、特定の互換性フレームワークにおいて必須の周辺機能および任意の周辺機能を示すことができる。したがって、準拠した設計コードには、状況によっては必須部分と選択肢部分が含まれ得る。一般に、設計コード３４２は、任意のＩＣ設計または構成プラットフォームに従ってフォーマットすることができる。例には、Ｖｅｒｉｌｏｇ、Ｐｙｔｈｏｎ、Ｈｊｓｏｎなどが含まれる。

動作中、互換性分析モジュール３４０は、周辺デバイス設計コード３４２を受け入れる。インターフェース仕様３３２を参照して、互換性分析モジュール３４０は分析３４４を実行して、周辺デバイス設計コード３４２が指定された共通フレームワークに準拠しているかどうかをチェックする。互換性分析モジュール３４０は、周辺デバイス設計コード３４２を相互接続方式３３４、デバイス間方式３３６、または他の方式３３８のうちの１つまたは複数と比較して、コードがそれぞれの仕様を満たすかどうかをチェックすることができる。これらの方式には、割り込み、レジスタの使用法などに関する仕様が含まれ得る。分析３４４に基づいて、互換性分析モジュール３４０は互換性レポート３４６を生成する。

互換性レポート３４６は、周辺デバイス設計コード３４２がインターフェース仕様３３２の基準を満たすことによって分析３４４に合格するかどうかを示す。そうでない場合、互換性分析モジュール３４０は、「違反」のリストを互換性レポート３４６に含めることができる。各違反には、障害の指示を引き起こしているコード部分への参照、または違反しているインターフェース仕様３３２の部分への参照が含まれ得る。インターフェース仕様３３２、互換性分析モジュール３４０、および周辺デバイス設計コード３４２は、例示的なセキュリティ回路環境に関して説明され得るが、インターフェース仕様３３２、互換性分析モジュール３４０、または周辺デバイス設計コード３４２は、他の環境で実装されてもよい。したがって、互換性レポート３４６は、一般的な回路設計の分析をカバーすることができる。

図３－３は、レジスタインターフェース３１０および例示的な通信信号を含む例示的な周辺デバイス２５０を３００－３で示す。図３－３では、一般に、しかし単なる例として、必須の通信チャネルまたは信号が実線で示され（本開示のこの例では）、任意の通信チャネルまたは信号が破線で示されている。しかし、他の場合には、異なるチャネルまたは信号が必須または任意になり得る。さらに、他の図の実線または破線は、それぞれ、所定のインターフェース仕様の下での要件または要件の欠如を必ずしも示すわけではない。

実装例では、周辺デバイス２５０が準拠すべき互換性のためのフレームワークの一部として、さまざまな信号を指定することができる。左上から始めて、相互接続１１０を使用する双方向シグナリング３６２－１が、相互接続１１０に対してデバイスとして機能する（例えば、フォロワとして機能する）周辺デバイス２５０とともに示されている。その下には、周辺デバイス２５０が、少なくとも１つのクロック信号３６４および少なくとも１つの開発モード信号３６５を受信するものとして示されている。開発モード信号３６５は、セキュリティ回路１０６または全体的なＳＯＣが現在どのモードで動作しているかを周辺デバイス２５０に示す。言い換えれば、複数の動作モードが存在し得る。２つのモード例では、複数のモードには開発モードと生成モードが含まれ得る。モード指示は、例えばソフトウェアエラーの処理方法を決定し得る。他のモードでは、完全なライフサイクルモードのステータスを周辺デバイスに伝えるセキュリティ機能が有効になり得る。

周辺デバイス２５０は、少なくとも１つの割り込み信号３６６または少なくとも１つのアラート信号３６８を生成または出力することもできる。さらに、相互接続１１０を使用する双方向シグナリング３６２－２は、相互接続１１０に対してホストとして機能する（例えば、リーダとして機能する）周辺デバイス２５０とともに示されている。周辺デバイス２５０はさらに、ＧＰＩＯインターフェース２２０または他のチップＩ／Ｏ回路との双方向シグナリング３６７に関与することができる。レジスタインターフェース３１０に関しては、少なくとも１つの出力信号３６９－１がレジスタからハードウェア（Ｒｅｇ２Ｈｗ）への信号としてラベル付けされている。一方、少なくとも１つの入力信号３６９－２は、ハードウェアからレジスタへの信号（Ｈｗ２Ｒｅｇ）としてラベル付けされる。一般に、一部の実装では、特定の機能は必須とみなされるが、他の機能は任意とみなされる。しかし、これらの必須および任意のカテゴリは、実装ごとに異なり得る。互換性のある設計では、各周辺デバイス２５０が他の周辺デバイスと適切に相互運用できるように、これらの２つのカテゴリを機能ごとに割り当てることができる。

ＲＯＭセキュリティを提供するＲＯＭ周辺デバイスの例を含む、互換性のあるパラダイムにおける周辺デバイスのための方式、技術、およびハードウェアを一般的に説明してきたが、この説明は次に、ＲＯＭセキュリティのための方式、技術、およびハードウェアに移る。

ＲＯＭセキュリティのための方式、技術、およびハードウェアの例
このセクションでは、ＲＯＭアレイ（例えば、マスクＲＯＭを記憶する）を有するＲＯＭブロックに含めることができる例示的なＲＯＭコントローラについて説明する。ＲＯＭブロックまたはモジュールは、前述の互換性の原則に従って、周辺デバイスとしてシステムバスに接続できる。実装例では、ＲＯＭブロックの一部として、ＲＯＭコントローラはシステムバスとマスクＲＯＭの間のインターフェースになる。ＲＯＭには暗号化されたコンテンツが含まれている。暗号化には、スクランブルなど、比較的軽量または低コストの暗号化が必要になり得る。場合によっては、グローバル定数から導出できる固定キーを使用してコンテンツをスクランブルすることができる。しかし、暗号化は、より複雑または高コストの暗号化方式を使用して実装され得る。使用される暗号化方式または暗号化キーに関係なく、ＲＯＭコントローラは、ＲＯＭアレイからメモリにフェッチしたコンテンツを復号（例えば、スクランブル解除）できる。

ＳＲＡＭに対して同等の復号または暗号化タスクを実行できる一部のＳＲＡＭコントローラとは異なり、ＲＯＭコントローラはＲＯＭチェッカ回路を含むこともできる。このＲＯＭチェッカ回路は、整合性チェックを行うための初期化プロセスの一部として起動またはリセットの直後に、ＲＯＭコンテンツの暗号化ハッシュの計算を調整できる。したがって、ＲＯＭチェッカ回路は、システムの停止中にマスクＲＯＭに加えられた悪意のある変更を検出できる。

ＲＯＭブロックは、いくつかの機能を提供することができる。例えば、ＲＯＭブロックには、メモリおよびアドレススクランブルおよび／またはスクランブル解除用の論理を含めることができる。第２に、ＲＯＭブロックは起動後のＲＯＭ整合性チェックを実行できる。さらに、ＲＯＭブロックは、ＲＯＭ整合性エラーまたは有限状態マシン（ＦＳＭ）のグリッチに対する制御およびステータスレジスタ（ＣＳＲ）のアラートトリガおよび／またはステータス情報を提供または発行できる。ＲＯＭ１１８／２０６のこれらおよび他の例示的な態様については、図４から８を参照してこのセクションで説明する。

図４は、ＲＯＭアレイ４０４のデータへのアクセスに関して、ＲＯＭコントローラ４０２およびＲＯＭアレイ４０４を含む例示的なＲＯＭ１１８を全体的に４００で示す。図示されるように、ＲＯＭコントローラ４０２は、ＲＯＭアクセスインターフェース４０６および暗号化回路４０８を含むことができる。実装例では、ＲＯＭアレイ４０４は、複数のＲＯＭアドレス４１８に記憶された暗号化されたＲＯＭデータ４１０を含む。ＲＯＭコントローラ４０２は、ＲＯＭアレイ４０４に結合される。一般に、暗号化回路は、複数のＲＯＭアドレス４１８に基づいて、暗号化されたＲＯＭデータ４１０に対して復号動作を実行することができる。

ＲＯＭアクセスインターフェース４０６は、暗号化回路４０８およびＲＯＭアレイ４０４に結合される。例示的なＲＯＭ読み取りまたはデータフェッチ動作では、ＲＯＭアクセスインターフェース４０６は、暗号化されたＲＯＭデータ４１２に対応するＲＯＭアドレス４１４に基づいて、ＲＯＭアレイ４０４から暗号化されたＲＯＭデータ４１２を読み取る（例えば、ＲＯＭアドレス４１４は、暗号化されたＲＯＭデータ４１２が記憶される場所のアドレスであり得る）。ＲＯＭアクセスインターフェース４０６はまた、暗号化回路４０８を使用して、暗号化されたＲＯＭデータ４１２を復号して、復号されたＲＯＭデータ４１６を生成する。ＲＯＭアクセスインターフェース４０６は、復号されたＲＯＭデータ４１６を相互接続１１０に転送することもできる。

場合によっては、ＲＯＭアクセスインターフェース４０６は、暗号化されたＲＯＭデータ４１２を復号し、暗号化されたＲＯＭデータ４１２に対応するＲＯＭアドレス４１４を使用して、復号されたＲＯＭデータ４１６を生成する。したがって、暗号化回路４０８は、複数のＲＯＭアドレス４１８のそれぞれのＲＯＭアドレス４１４に基づいて、暗号化されたＲＯＭデータ４１０のそれぞれのＲＯＭデータ４１２に対して復号動作を実行することができる。それぞれのＲＯＭアドレス４１４は、例えばそのメモリ位置を示すことによって、ＲＯＭアレイ４０４内のそれぞれのＲＯＭデータ４１２を特定することができる。以下に説明するように、ＲＯＭアドレス４１４は、ＲＯＭアレイ４０４を「直接」指し示すスクランブルアドレス、またはスクランブル解除されたアドレスが調整されてスクランブルアドレスを生成した後など、ＲＯＭアレイ４０４を「間接的に」指し示すスクランブル解除されたアドレスを含んでもよい。

ＲＯＭアクセスインターフェース４０６は、少なくとも１つの有限状態マシン（ＦＳＭ）で実現することができ、これは、セキュリティ回路１０６（例えば、図１の）または電子デバイスの起動手順のための、復号されたＲＯＭデータ（例えば、復号されたＲＯＭデータ４１６の複数のインスタンスとして）として暗号化されたＲＯＭデータ４１０へのアクセスを提供するように設計および／またはプログラムされる。ＦＳＭ、またはＲＯＭアクセスインターフェース４０６の他の実装は、暗号化回路４０８の動作を指示することができる。

暗号化回路４０８は、ＲＯＭアドレス４１８に基づいて１つまたは複数のキーを生成することができるキーストリーム回路（図４には示されていない）を含むことができる。暗号化回路４０８は、キーストリーム回路に結合されたデータ組み合わせ回路（図４には示されていない）を含むこともできる。データ組み合わせ回路は、暗号化されたＲＯＭデータ４１２および複数のキーのうちの少なくとも１つのキーに基づいて、復号されたＲＯＭデータ４１６を生成する。場合によっては、暗号化回路４０８は、暗号化されたＲＯＭデータ４１２を並べ替えて、並べ替えられた暗号化されたＲＯＭデータを生成する並べ替え回路（図４には図示せず）をさらに含む。次に、データ組み合わせ回路は、論理演算を使用して、少なくとも１つのキーのビットと、並べ替えられた暗号化されたＲＯＭデータのビットとを組み合わせて、復号されたＲＯＭデータ４１６を生成する。暗号化回路４０８の実装例については、図６を参照して以下に説明する。

暗号化されたＲＯＭデータ４１０の各エントリは、例えば、ＲＯＭ命令４２０と、エラー訂正コード（ＥＣＣ）などのチェックコード４２２とを含むことができる。このような場合、暗号化されたＲＯＭデータ４１２は、ＲＯＭ命令４２０に対応するビットと、ＲＯＭ命令４２０のチェックコード４２２に対応するビットとを含むことができる。ＲＯＭ命令４２０に対応するビットと、ＲＯＭ命令４２０のチェックコード４２２に対応するビットは、それぞれのビット位置が不明になるように、交じり合い、混合、または「平滑化」される。対照的に、復号されたＲＯＭデータ４１６は、ＲＯＭ命令４２０に対応するビット、ＲＯＭ命令４２０のチェックコード４２２に対応するビットを、２セットのビットが互いに分離された形式、または少なくともそれらの相対的なビット位置が既知の形式で含むことができる。

いくつかの実装では、復号されたＲＯＭ命令および関連するチェックコードは、ＲＯＭ１１８によって相互接続１１０を介して別の構成要素に渡されてもよい。他の実施形態では、ＲＯＭコントローラ４０２は、ＲＯＭチェッカ回路（例えば、図６のＲＯＭチェッカ回路６１６）を含むことができる。ＲＯＭチェッカ回路６１６は、暗号化回路４０８の出力に結合することができる。例示的な動作では、ＲＯＭチェッカ回路６１６は、復号されたＲＯＭデータ４１６のＲＯＭ命令４２０に基づいて別のチェックコードを計算する。ＲＯＭチェッカ回路６１６はまた、復号されたＲＯＭデータ４１６のチェックコード４２２と計算されたチェックコードとを含む比較を実行する。ＲＯＭチェッカ回路６１６はさらに、比較に基づいてエラー信号を生成することができる。エラー信号は、アラート信号および／または割り込み信号として、それぞれアラートハンドラおよび／またはプロセッサに送信することができる。

図８および図１０を参照して以下に説明するように、ＲＯＭアレイ４０４の複数のＲＯＭアドレス４１８に記憶される暗号化されたＲＯＭデータ４１０の各暗号化されたＲＯＭデータ４１２は、ＲＯＭアレイ４０４の複数のＲＯＭアドレス４１８に記憶される暗号化されたＲＯＭデータ４１０の暗号化されたＲＯＭデータ４１２’と、（一部の実装では）互いに別個である。この区別（または暗号化されたＲＯＭデータの固有性）は、少なくとも部分的には、複数のＲＯＭアドレス４１８に基づく暗号化方式によるものである。例えば、暗号化方式および／または特定の暗号化方式で使用される少なくとも１つの暗号化キーは、各元のＲＯＭデータが別個の暗号化されたＲＯＭデータとなるように選択することができる。

次に図５について説明し、例示的なＲＯＭ１１８の追加および／または代替の態様を示す。したがって、図４の態様は図５の１つまたは複数の態様と組み合わせることができ、またその逆も可能であることを理解されたい。例えば、図５のアドレス調整回路５０４は、図４の回路に含めることができる。このような場合、ＲＯＭコントローラ４０２は、ＲＯＭアドレスを調整して調整されたＲＯＭアドレスを生成するアドレス調整回路５０４を含むことができる。これには、ＲＯＭアドレスをスクランブル解除からスクランブルへ（例えば、物理アドレスを生成するように調整された論理アドレスから）変換することが必要になり得る。ＲＯＭアクセスインターフェース４０６は、アドレス調整回路５０４を使用して、ＲＯＭアドレスを調整して、複数のＲＯＭアドレス４１８に記憶されている暗号化されたＲＯＭデータ４１０を読み取る。アドレス調整回路５０４は、例えば、各ＲＯＭアドレスの２つ以上のビットを並べ替えるか、各ＲＯＭアドレスの２つ以上のビットを置換するか、またはＲＯＭアドレス４１８の各ＲＯＭアドレスの２つ以上のビットを並べ替えて置換し、調整されたＲＯＭアドレスを生成できる。組み合わせた図４と図５の態様を示す他の実装例を図６にまとめて示し、以下で説明する。

図５は、暗号化されたＲＯＭデータ４１０の整合性をチェックすることに関連して、ＲＯＭコントローラ４０２およびＲＯＭアレイ４０４を含む例示的なＲＯＭ１１８を５００で全体的に示す。図示されるように、ＲＯＭコントローラ４０２は、整合性チェッカ回路５０２、アドレス調整回路５０４、およびゲート回路５０６を含む。ＲＯＭコントローラ４０２は、少なくともダイジェスト計算回路５０８にアクセスすることができる。場合によっては、ダイジェスト計算回路５０８は、別の周辺デバイス２５０（図２の）および／または回路構成要素１０８（図１の）として実現される。他の場合には、ダイジェスト計算回路５０８は、ＲＯＭコントローラ４０２の一部であるか、またはＲＯＭコントローラ４０２とは別個であるなど、ＲＯＭ１１８の一部として実現され得る。

実装例では、ＲＯＭアレイ４０４は、複数のＲＯＭアドレス４１８に記憶された暗号化されたＲＯＭデータ４１０を含む。ＲＯＭアレイ４０４は、少なくとも１つの予想ダイジェスト５１０（または「予想ダイジェスト値５１０」）を含むこともできる。ＲＯＭコントローラ４０２は、ＲＯＭアレイ４０４に結合される。動作例では、ＲＯＭコントローラ４０２は、暗号化されたＲＯＭデータ４１２に対応するＲＯＭアドレス５１２または５１４に基づいて、ＲＯＭアレイ４０４から暗号化されたＲＯＭデータ４１２を読み取る。ＲＯＭコントローラ４０２はまた、暗号化されたＲＯＭデータ４１２を使用して少なくとも１つのダイジェスト値５１６を取得する。取得を実行するために、整合性チェッカ回路５０２は、ダイジェスト計算回路５０８を使用することができる。ＲＯＭコントローラ４０２はさらに、少なくとも１つのダイジェスト値５１６および予想ダイジェスト値５１０に基づいて、ＲＯＭアレイ４０４へのアクセスをゲートする。整合性チェッカ回路５０２は、ゲート回路５０６を制御して、ＲＯＭアレイ４０４へのアクセスを許可／認可またはブロックすることができる。

ＲＯＭコントローラ４０２のアドレス調整回路５０４は、ＲＯＭアドレス５１２を調整して、調整されたＲＯＭアドレス５１４を生成することができる。ＲＯＭコントローラ４０２は、アドレス調整回路５０４を使用してＲＯＭアドレス５１２を調整し、複数のＲＯＭアドレス４１８に記憶されている暗号化されたＲＯＭデータ４１０を読み取る。アドレス調整回路５０４は、例えば、ＲＯＭアドレス５１２の２つ以上のビットをシフト、スワッピング、またはその他の方法で操作して、調整されたＲＯＭアドレス５１４を生成することによって、ＲＯＭアドレス５１２を調整することができる。図４のＲＯＭアドレス４１４は、ＲＯＭアドレス５１２または調整されたＲＯＭアドレス５１４に対応し得る。

ＲＯＭコントローラ４０２は、少なくとも１つのハッシュアルゴリズムを暗号化されたＲＯＭデータ４１２に適用させることに基づいて、少なくとも１つのダイジェスト値５１６を取得するように構成される。ハッシュアルゴリズムの例を本明細書で説明する。場合によっては、ＲＯＭアレイ４０４およびＲＯＭコントローラ４０２は、第１の周辺デバイス（例えば、図２のＲＯＭ２０６などの第１の周辺デバイス２５０－１）を含む。第２の周辺デバイス（例えば、図２のＨＭＡＣエンジン２１４などの第２の周辺デバイス２５０－２）は、１つまたは複数のハッシュアルゴリズムを実装することができる。ＲＯＭコントローラ４０２は、第２の周辺デバイスと通信することによって、少なくとも１つのダイジェスト値５１６を取得することができる。したがって、これらの場合、第２の周辺デバイスはダイジェスト計算回路５０８を含むことができる。他の場合には、ＲＯＭ１１８は、そのＲＯＭコントローラ４０２を含めて、代わりにダイジェスト計算回路５０８を含むことができる。

いくつかの実装について図５に示すように、ＲＯＭコントローラ４０２は、ＲＯＭアレイ４０４から予想ダイジェスト値５１０を読み取ることができる。暗号化されたＲＯＭデータ４１０とは対照的に、予想ダイジェスト値５１０は、暗号化されていない形式でＲＯＭアレイ４０４に記憶され得る。予想ダイジェスト値５１０は、ＲＯＭアレイ４０４の任意のアドレスおよび／または位置に記憶されてもよく、予想ダイジェスト値５１０は、ＲＯＭアレイ４０４の１つまたは複数のラインおよび／またはアドレスにまたがってもよい。例えば、予想ダイジェスト値５１０は、決定可能なＲＯＭアドレスに対応するＲＯＭアレイ４０４の所定の位置（例えば、最後の６つのＲＯＭエントリ）に記憶され得る（例えば、最後の６つのＲＯＭエントリを特定する少なくとも１つのＲＯＭアドレス５１２または少なくとも１つの調整されたＲＯＭアドレス５１４）。

整合性チェッカ回路５０２は、計算されたダイジェスト値５１６と予想ダイジェスト値５１０を比較することができる。少なくとも１つのダイジェスト値５１６が予想ダイジェスト値５１０と一致することに応答して、ＲＯＭコントローラ４０２は、ゲート回路５０６を使用してＲＯＭアレイ４０４へのアクセスを認可することができ、例えば、暗号化されたＲＯＭデータ４１０を使用して起動手順を実行することを許可するか、または一般的なＲＯＭアクセスを許可する。一方、少なくとも１つのダイジェスト値５１６が予想ダイジェスト値５１０と一致しないことに応答して、ＲＯＭコントローラ４０２は、ゲート回路５０６を使用してＲＯＭアレイ４０４へのアクセスをブロックし、例えば、信頼できない暗号化されたＲＯＭデータ４１０を使用して起動手順が実行されるのを防止したり、一般的なＲＯＭアクセスをブロックしたりすることができる。ＲＯＭコントローラ４０２はまた、少なくとも１つのアラーム５１８（または「アラーム指示５１８」）を送信することもできる。少なくとも１つのアラーム５１８は、レジスタを介してＲＯＭ１１８から通信されるアラート、および／または相互接続１１０または専用経路を介して送信される割り込みに対応することができる。

セキュリティ回路は、追加的にまたは代替的に、計算されたダイジェスト値５１６をＲＯＭ１１８の外部の１つまたは複数の他の構成要素に提供することができる。例えば、その整合性チェッカ回路５０２などのＲＯＭコントローラ４０２は、ダイジェスト値５１６をメインプロセッサなどの別の構成要素に送信することができる。ＲＯＭコントローラ４０２はまた、または代わりに、ＲＯＭ１１８の少なくとも１つのレジスタを介してダイジェスト値５１６を公開することもできる。レジスタ内の値を読み取ると、これにより、他の構成要素が計算されたダイジェスト値５１６の値を独立して確認できるようになる。キー導出メカニズムにより、たとえ攻撃者が暗号化されたＲＯＭデータ４１０および／または予想ダイジェスト値５１０（ＲＯＭアレイ４０４に記憶されている）を破壊することができたとしても、攻撃者は、他の構成要素によって検出できる方法でチップＩＤを変更した。

暗号化されたＲＯＭデータ４１０の各暗号化されたＲＯＭデータ４１２は、固有であるか互いに異なることを含めて、変化するか異種であるように確立することができる。例えば、暗号化されたＲＯＭデータ４１０の各それぞれの暗号化されたＲＯＭデータ４１２は、ＲＯＭアレイ４０４全体にわたって、暗号化されたＲＯＭデータ４１０の他の各それぞれの暗号化されたＲＯＭデータ４１２と異なっていてもよい。場合によっては、暗号化されたＲＯＭデータ４１０の暗号化または復号に関連する暗号化キーは、各それぞれの暗号化されたＲＯＭデータ４１２が、ＲＯＭアレイ４０４全体にわたる暗号化されたＲＯＭデータ４１０の他の各それぞれの暗号化されたＲＯＭデータ４１２と確実に異なるように選択される。他の場合には、各暗号化されたＲＯＭデータ４１２の生成に関連する暗号化アルゴリズムは、各それぞれの暗号化されたＲＯＭデータ４１２が、ＲＯＭアレイ４０４全体の暗号化されたＲＯＭデータ４１０の他の各それぞれの暗号化されたＲＯＭデータ４１２と確実に異なるように選択される。暗号化されたＲＯＭデータのほとんどまたは各データ４１２が固有であることを保証するための技術については、図８を参照してさらに説明する。

図６は、ＲＯＭブロック６００の一例を示しており、これは、ＲＯＭ１１８（例えば、図１、４、および５の）および／またはＲＯＭ周辺デバイス２０６（例えば、図２の）として実装され得る。図６は、ＲＯＭモジュール実装例の高レベルのブロック図を示す。図示された一部のブロックは、チップ上の別の場所またはセキュリティ回路の別の構成要素の一部としても使用または複製され得る多用途プリミティブのインスタンス化によって実現され得る。ＲＯＭブロック６００には、図４および図５から、ＲＯＭアレイ４０４、整合性チェッカ回路５０２、およびアドレス調整回路５０４が含まれる。

示されるように、ＲＯＭブロック６００はまた、インターフェース６０４、少なくとも１つのレジスタ６０６、ＲＯＭチェッカ回路６１６、ゼロパダー回路６１８、マルチプレクサ６０２、および暗号化回路４０８（例えば、図４の）の一例を含む。ＲＯＭチェッカ回路６１６は、ＥＣＣデコーダで実現されてもよい。暗号化回路４０８は、例えば、キーストリーム回路６０８、操作回路６１２、およびデータ組み合わせ回路６１４を用いて実現することができる。データ組み合わせ回路６１４は、例えば、排他的論理和（ＸＯＲ）演算などの論理演算を実行する回路で実装することができる。操作回路６１２は、ＲＯＭデータ６２６（図４および図５の暗号化されたＲＯＭデータ４１２に対応し得る）の１つまたは複数のビットを拡散することができる。操作回路６１２は、以下でさらに説明するように、例えば、並べ替え回路、置換回路、または組み合わせた並べ替えおよび置換回路（例えば、置換－並べ替えネットワーク）を使用して実装することができる。

一般に、図の上半分は、システムが通常動作しているときのＲＯＭ読み取りのパスを示す。図の下半分は、ＲＯＭ整合性チェッカ回路５０２の使用法を示している。ＲＯＭ整合性チェッカ回路５０２は、ＲＯＭ画像の有効性をチェックするために、例えば、チップ起動シーケンスの早い段階で電力マネージャによってトリガされ得る。場合によっては、整合性チェッカ回路５０２は、攻撃者が複数回実行してシステムを侵害することを防ぐために、一度だけ実行するように構成することができる。整合性チェッカ回路５０２は、整合性チェック手順が肯定的な結果で終了するとマルチプレクサ６０２を解放し、ゲート回路５０６（図５の）の一部としてＲＯＭアレイへのアクセスを認可することができる。

本文書では、セキュリティ回路（例えば、チップ）が通常起動モードで動作しているとき、または整合性チェックが正常に実行された後のＲＯＭアクセス例について説明する。チップが起動すると、システムバス（ＴＬ－ＵＬバスなど）などの相互接続を介してＲＯＭアクセスを要求できる。ＲＯＭブロック６００は、図６の左上に示されるインターフェース６０４（例えば、ＴＬ－ＵＬアダプタ）を介してこれらの要求を受信することができる。通常動作では、マルチプレクサ６０２は、これらのバス読み取り（例えば、ＴＬ読み取り）へのアクセスを認可する。読み出し要求のアドレス６１０は、アドレス調整回路５０４で調整される。例えば、アドレス調整回路は、置換並べ替えネットワークを使用してアドレスをスクランブルすることができる。

ＲＯＭアクセスと並行して、低レイテンシの削減ラウンドＰＲＩＮＣＥブロック暗号（例えば、レイテンシ１で５ラウンドを有し、これは、ＳＲＡＭに使用される暗号と同等であり得る）などキーストリーム回路６０８は、ＲＯＭブロックの３９ビットの切り詰められたキーストリームを計算する。キーストリーム回路６０８は、（例えば、アドレスが調整される前に）アドレス調整回路５０４に提供される要求からのアドレスを使用して、少なくとも１つのキーを生成する。次のサイクルでは、ＲＯＭアレイ４０４からのスクランブルされたデータ（例えば、ＲＯＭデータのビットと対応するＥＣＣのビット、この２つのセットまたはタイプのビットがＲＯＭアレイ４０４内でＲＯＭデータ６２６として交じり合わされる）は、別の置換並べ替えネットワークなどの操作回路６１２を介して送られる。操作回路６１２からの操作された（例えば、並べ替えおよび／または置換された）ＲＯＭデータと、キーストリーム回路６０８からの少なくとも１つのキーまたはキーストリームは、データ組み合わせ回路６１４によって組み合わされる。図示の例では、キーおよび並べ替えられたスクランブルＲＯＭデータ（ＥＣＣコードを含む）は、データ組み合わせ回路６１４によって実行されるＸＯＲ演算によってＸＯＲ演算される。ＰＲＩＮＣＥのようなブロック暗号は、例えば「カウンタ（ＣＴＲ）モード」で使用できる。カウンタ（例えば、ＲＯＭデータアドレス６１０）は、Ｎビットのブロック暗号（例えば、ＰＲＩＮＣＥ）および特定のキー（例えば、ネットリスト定数）で暗号化され、Ｎビットのキーストリームブロック６２８を生成し、それは、データ（例えば、ＲＯＭデータアドレス６１０に対応するＲＯＭデータ６２６）に対してＸＯＲ演算することができる。

データ組み合わせ回路６１４からの出力は、復号された３２ビットデータに７ＥＣＣビットを加えたものである。ＲＯＭチェッカ回路６１６がここで実装される場合、これらの３９ビットは、ＥＣＣビットによる確認が成功すると、ＲＯＭチェッカ回路６１６を通過してインターフェース６０４に戻すことができる。ＥＣＣ復号エラーにより、ＴＬ要求に応答したＲＯＭアクセスによってエラー信号６２２とともにインターフェース６０４を介してエラーコード（例えば、読み取りエラーインジケータ）が報告され得る。ＲＯＭコントローラは、エラー信号６２２を使用して、または代わりに、レジスタ６０６のうちの少なくとも１つのレジスタをセットすること、および／またはＥＣＣ復号エラーに基づいて致命的なアラートを生成することもできる。本明細書では特定のビット長が示されているが、これらは例としてのみ示されており、データ、ＥＣＣなどは異なる長さを有したり、省略されたりしてもよい。

ＥＣＣ機能の代替実装では、「メイン」バスまたはシステムバスがＥＣＣチェック機能で強化されてもよい。そのような場合、回路およびその動作は、図６を参照して図示および説明されたものとは異なり得る。例えば、ＲＯＭアクセス応答６２４は、ＲＯＭビットおよびＥＣＣビットを、データ組み合わせ回路６１４のスクランブル解除ＸＯＲ演算器からインターフェース６０４に「直接」渡すことによって、含むことができる。したがって、これらの代替実装では、ＲＯＭチェッカ回路６１６およびそれに関連するＣＳＲをＲＯＭブロック６００から省略することができる。

図７は、図６のＲＯＭブロック６００のＲＯＭアレイ４０４にアクセスするための例示的なタイミング図７００を示す。タイミング図７００は、さまざまな信号のタイミングを示す。これらの信号例は、図６のＲＯＭブロック６００に示される信号にマッピングされる。要求７０２（ｒｅｑ７０２）出力がインターフェース６０４から提供されてから、応答がインターフェース６０４の応答またはＲＯＭ有効７０４（ｒｖａｌｉｄ７０４）入力に現れるまでの時間は１サイクルである。スクランブル解除されたまたは元のアドレス「１２」と、スクランブル解除されたまたは元のアドレス「３４」の２つの例が示されている。図のアドレスの「スクランブル方式」の例は、各アドレスの桁を反転することである。元のまたはスクランブル解除された「１２」アドレスの例に関しては、ＲＯＭ内のスクランブルされたアドレス２１に記憶されているワードは「ｗ２１」と表示される。スクランブル解除されたアドレスまたは元のアドレス１２のキーストリーム値は「ｋ１２」と示される。スクランブル解除された、または元のアドレス１２の復号されたＲＯＭデータは、「ｄ１２」で示される。

図６を参照すると、キーストリーム回路６０８のＰＲＩＮＣＥブロック暗号ベースの実装、およびアドレス調整回路５０４および操作回路６１２の２つの置換および並べ替え（Ｓ＆Ｐ）ネットワーク実装は、「キー」によってパラメータ化することができる。ＲＯＭコントローラの場合、これらのキーはグローバルにランダム化されたネットリスト定数であり得る。したがって、キーは回復が困難であると考えられるが、必ずしも機密データである必要はない。特定のビット長（例えば、３９ビットおよび２５６ビットの）およびワードサイズ（例えば、３２ビットの）が本明細書の説明および／または添付の図面に示されているが、これらは例としてのみ提供される。他の実装では、異なるビット長やワードサイズなどが使用され得る。

本文書では、起動ＲＯＭの整合性チェックの例について説明する。ＲＯＭ整合性チェッカ回路５０２は、例えば、リセット「直後」を含むリセット後、または少なくともＲＯＭへの読み取りが行われる前に実行することができる。ＲＯＭチェックが完了するまで、整合性チェッカ回路５０２は（例えば、マルチプレクサ６０２を介して）ＲＯＭアドレス要求を制御する。マルチプレクサ６０２の選択信号６３２は、選択信号を障害挿入（ＦＩ）攻撃から保護するために冗長符号化を含むことができる。選択信号６３２が無効な値を有する場合、無効の検出により致命的なアラートがトリガされ得る。ＲＯＭアレイ４０４からＲＯＭデータ６２６（例えば、図４および５の暗号化されたＲＯＭデータ４１２に対応し得る）としてデータを読み出し始める前に、ＲＯＭ整合性チェッカ回路５０２（または電力マネージャモジュール）は、暗号化モジュール（図６には示されていない）上で暗号化動作を開始することができ、ＲＯＭチェックの準備をする（例えば、信号ｋｍａｃ＿ｃｍｄ＿ｏを使用して、キー付きまたはＫｅｃｃａｋメッセージ認証コード（ＫＭＡＣ）エンジンでｃＳＨＡＫＥ動作を開始できる）。ＲＯＭ整合性チェックプロセスの例については、図９の流れ図を参照して以下で説明する。

セキュリティ回路に対する物理的攻撃の可能性としては、マスクＲＯＭを破壊する試みがある。マスクＲＯＭの規則的な構造は、メタル固定が比較的簡単になるため便利であるが、同じ理由で、規則的な構造はＲＯＭを攻撃者にとって比較的簡単なターゲットにし得る。ＲＯＭ内のコードが最初に実行され得るため、攻撃者が検出されずにＲＯＭコードを変更すると、信頼の連鎖を完全に破壊し得る。したがって、整合性チェッカ回路５０２は、ＲＯＭコードの整合性における信頼度の尺度を提供することができる。

実装例では、ＲＯＭコントローラをリセットから解除した後、電力マネージャは、ホストプロセッサを開始する前に「ｃｈｅｃｋ＿ｄｏｎｅ＿ｏ」信号がアサートされるまで待機する。電力マネージャは、ｃｈｅｃｋ＿ｇｏｏｄ＿ｏ信号が「オン」であることもチェックできる。そうでない場合、電力マネージャは起動を拒否できる。これにより安全性チェックが提供され、次に説明するキーマネージャの統合によって追加のセキュリティが提供される。

ＫＭＡＣインターフェースは、ＫＭＡＣエンジンがＲＯＭチェッカ回路に特有のプレフィックスを用いてｃＳＨＡＫＥアルゴリズムを実行するように事前に構成されると仮定することができる。ＲＯＭチェッカは、１回のハッシュ計算（または既知の数のハッシュ計算）が終了した後、信号「ｋｍａｃ＿ｒｏｍ＿ｖｌｄ＿ｏ」をアサートしない。しかし、ＫＭＡＣエンジンは、障害挿入攻撃に対する堅牢性を依然として維持した単純な調停を可能にするために、その後信号を無視し得る。

キーマネージャとの統合は、「ｋｍａｃ＿ｄｉｇｅｓｔ＿ｓｈａｒｅ０＿ｉ」および「ｋｍａｃ＿ｄｉｇｅｓｔ＿ｓｈａｒｅ１＿ｉ」内のダイジェストデータを「ｋｅｙｍｇｒ＿ｄｉｇｅｓｔ＿ｄａｔａ＿ｏ」として転送することに基づいている。この２５６ビットのダイジェストは「ＣｒｅａｔｏｒＲｏｏｔＫｅｙ」に組み込むことができる。場合によっては、キーマネージャは、リセット後にこの情報を渡すために１つのトランザクション（例えば、２５６ビット／３２ビット＝８ビート）のみを許可できる。今後のメッセージに応答して、キーマネージャはアラートを発することができ、これにより、正しいトランザクションの前後に追加のトランザクションをトリガしようとする攻撃者を阻止できる。

ＣｒｅａｔｏｒＲｏｏｔＫｅｙは、ＩＤおよびルートキーのチェーン内の最初のキーを形成することができる。ＲＯＭを変更する攻撃者は、ＣｒｅａｔｏｒＲｏｏｔＫｅｙを混乱させることになる。これを回避すると、ＲＯＭチェックサム計算またはＫＭ＿ＤＥＲＩＶＥ関数に対するプリイメージ攻撃が発生することになるからである。その結果、セキュリティチップは機能するが、チップには「間違った」ルートキーが保持されるため、認証に使用される信頼の連鎖が壊れる。

次に、パラメータおよび信号に関するハードウェアインターフェースの例について説明する。ＲＯＭコントローラ信号の例の説明を以下の表１に示す。これらの信号は、整合性チェッカ回路５０２から送信することも、整合性チェッカ回路５０２で受信することもできる。「チェック」関連の信号は、電力マネージャと通信することができる。「ｋｅｙｍｇｒ」関連信号は、キーマネージャと通信できる。「ｋｍａｃ」関連信号は、ＫＭＡＣエンジンまたはハッシュ動作を実行する他の回路と通信できる。

ＲＯＭブロックのレジスタ６０６のレジスタ値の例は、以下を含み得る。
ＡＬＥＲＴ＿ＴＥＳＴ；
ＦＡＴＡＬ＿ＡＬＥＲＴ＿ＣＡＵＳＥ；
ＤＩＧＥＳＴ＿０…ＤＩＧＥＳＴ＿７（例えば、マルチレジスタを備える）；
ＥＸＰ＿ＤＩＧＥＳＴ＿０…ＥＸＰ＿ＤＩＧＥＳＴ＿７（例えば、マルチレジスタを備える）；および
ＲＯＭ（例えば、ＲＯＭへのウィンドウ）。

ＦＡＴＡＬ＿ＡＬＥＲＴ＿ＣＡＵＳＥレジスタのフィールド例を以下の表２に示す。

プログラミングおよびＲＯＭブロックに関して、ソフトウェアは、ＲＯＭからコードをフェッチするか、またはデータをロードすることによって、ＲＯＭコントローラと相互作用することができる。この観点から見ると、ＲＯＭブロックはシステムバスを介してアクセスできるメモリのブロックであるように見える。しかし、ＲＯＭブロックはレジスタ６０６のいくつかをアクセス可能にすることができる。ＡＬＥＲＴ＿ＴＥＳＴレジスタを除き、レジスタは読み取り専用であり、書き込み可能であり得る。ＦＡＴＡＬ＿ＡＬＥＲＴ＿ＣＡＵＳＥレジスタは動作中に値が変更され得るが（例えば、アラートが通知された場合）、ＲＯＭブロックの他のレジスタはソフトウェアが実行されるまでに固定値を有し得る。

整合性チェッカ回路５０２は、ダイジェスト信号６３４を介してレジスタ６０６にダイジェストをロードすることができる。計算されたＲＯＭダイジェストを取得するために、ソフトウェアはＤＩＧＥＳＴ＿０～ＤＩＧＥＳＴ＿７レジスタを読み取ることができる。ＲＯＭアレイ４０４は、予想されるＲＯＭダイジェスト、ＥＸＰ＿ＤＩＧＥＳＴを含むこともできる。ＲＯＭアレイ４０４の残りのコンテンツとは異なり、予想ダイジェストを記憶するコンテンツはスクランブルされない可能性がある。そのため、ソフトウェアは標準ＲＯＭインターフェースを介してデータを読み取ることができず、「再度」スクランブルが解除され、ＥＣＣチェックの失敗を引き起こすゴミデータが生成される。ソフトウェアにこの値へのアクセスが与えられる場合、予想ダイジェストはＥＸＰ＿ＤＩＧＥＳＴ＿０からＥＸＰ＿ＤＩＧＥＳＴ＿７で読み取ることができる。

図８は、復元力を備えた整合性チェックの実装に従った方式例を全体的に８００で示している。セキュリティ回路には、ＲＯＭアレイ４０４が含まれる。ＲＯＭアレイ４０４は、暗号化されたＲＯＭデータ４１０を含む。暗号化されたＲＯＭデータ４１０は、暗号化されたＲＯＭデータ４１２－１…暗号化されたＲＯＭデータ４１２－ＬのＬ個のインスタンスなど、暗号化されたＲＯＭデータの複数のインスタンスを含むことができ、Ｌは整数を表す。

各それぞれの暗号化されたＲＯＭデータ４１２は、少なくとも１つのキー８０４を有する暗号化アルゴリズム８０６を使用して、および／またはそれぞれのＲＯＭアドレス４１４に基づいて、それぞれの「元の」ＲＯＭライン８０２－１から生成される（例えば、それぞれのＲＯＭアドレス４１４は、少なくとも１つのキー８０４の一部として使用され得る）。したがって、第１のＲＯＭライン８０２－１は第１の暗号化されたＲＯＭデータ４１２－１をもたらし、Ｌ番目のＲＯＭライン８０２－ＬはＬ番目の暗号化されたＲＯＭデータ４１２－Ｌをもたらす。各ＲＯＭラインまたはエントリ８０２は、例えば、暗号化および復号のペアの動作後の復号されたＲＯＭデータ４１６に対応することができる。

場合によっては、暗号化アルゴリズム８０６とキー８０４の特定の組み合わせにより、同一である、すなわち互いに区別しない、暗号化されたＲＯＭデータ４１２の２つ以上のインスタンスが生成され得る。これは、ＲＯＭアレイ４０４内の別のＲＯＭラインが変更された場合に、ＲＯＭ整合性チェッカを同じ値を有する別のＲＯＭラインにリダイレクトすることによって、別の潜在的な攻撃手段を提供することができる。より具体的には、攻撃者はチェッカとＲＯＭアレイ間の通信を攻撃しようとし得る。これには、データバスの操作（例えば、ＲＯＭデータに加えられた変更を隠すため）やアドレスバスの下位ビットの攻撃が必要になり得る。例えば、攻撃者はＲＯＭ内のワードを変更しようとするが、ＲＯＭチェッカを同じワードの別のコピーにリダイレクトすることで、ハッシュ計算によるそのような変更の検出を回避し得る。

これに対抗するために、１つまたは複数の重複がある場合には、暗号化アルゴリズム８０６および／またはキー８０４を変更するか、または異なるアルゴリズムまたはキーに置き換えることができる。変更されたアルゴリズムおよび／またはキーを使用して、ＲＯＭライン８０２－１…８０２－Ｌが再暗号化され、暗号化されたＲＯＭデータ４１２－１…４１２－Ｌの複数のインスタンスの別のセットが生成される。このプロセスは、暗号化されたＲＯＭデータ４１２の同一のインスタンスがほとんどなくなるまで、あるいはゼロになるまで繰り返すことができる。

一時的な（そして推測不可能な）キーを使用して静止時のデータへの攻撃をより困難にするいくつかのスクランブルアプローチとは異なり、ＲＯＭスクランブルのキーは回路ごとに固定される。それでもなお、そのような固定キーは、上で説明したような拡散およびアドレスリンク特性を提供する。キーはグローバル定数から派生できる。セキュリティ回路インスタンス化の最終設計を構築する場合、「追加」チェックを実行して、スクランブル後にＲＯＭ内の各ワードが別個であるキーを生成する定数が選択されていることを保証できる。

ＲＯＭセキュリティのための方式、技術、およびハードウェアを一般的に説明してきたが、ここでの説明は例示的な方法に移る。

ＲＯＭセキュリティの例示的な方法
例示的な方法を、図９から１３の流れ図を参照して以下に説明する。図９は、起動時またはリセット時などに、装置がＲＯＭの整合性をチェックするための例示的な方法を流れ図９００で示している。流れ図９００は、９つのブロック９０２～９１８を含む。図６も参照すると、ＲＯＭ整合性チェッカ回路５０２は、リセット直後を含むリセット後、または少なくともＲＯＭへの読み取りが行われる前に実行することができる。ＲＯＭチェックが完了するまで、ＲＯＭチェッカは（例えば、マルチプレクサ６０２を通じて）ＲＯＭアドレス要求を制御することができる。マルチプレクサ６０２の選択信号６３２は、選択信号６３２を障害挿入（ＦＩ）攻撃から保護するために冗長符号化を含むことができる。選択信号６３２が無効な値を有する場合、無効の検出により致命的なアラートがトリガされ得る。ＲＯＭアレイ４０４からのデータの読み取りを開始する前に、ＲＯＭチェッカ（または電力マネージャモジュール）は、ＲＯＭチェックのための１つまたは複数のハッシュ動作を実行する準備として暗号化動作を開始することができる。

９０２において、ＲＯＭチェッカは、「アドレス０」から始まるスクランブル解除されたアドレス順序でＲＯＭコンテンツを読み取ることができ、その結果、アドレススクランブルのために物理ＲＯＭ上に分散したアクセスパターンが生じる。９０４において、各ＲＯＭ読み出しは３９ビットのデータを生成し、これは６４ビットになるように（例えば、ゼロパダー回路６１８によって）ゼロが埋め込まれる。この６４ビット長は、図５のダイジェスト計算回路５０８（例えば、ＫＭＡＣエンジン（図５または６には明示的に示されていない））によって予想されるインターフェースと一致する。アドレスがインクリメントされる。

ＲＯＭ整合性チェッカ回路５０２は、ＲＯＭ内のワードの多くを（例えば、下から上に）ループする。ブロック９０６について以下で説明するように、アドレスが所定のアドレスに達するまで読み取りおよびインクリメントする。整合性チェッカ回路５０２の有限状態マシン（ＦＳＭ）は、レディ／有効インターフェースを使用して各ＲＯＭワードをＫＭＡＣエンジンに渡し、送信される最後のワードに応答して「ｋｍａｃ＿ｒｏｍ＿ｌａｓｔ＿ｏ」ビットをセットする。

９０６で、アドレス値に基づいて決定が行われる。予想されるハッシュ値のために、ある程度の量のワードが予約され得る。例えば、ＲＯＭアレイ４０４内の上位８ワード（例えば、スクランブル解除されたアドレスによる）は、２５６ビットの「予想されるハッシュ値」として解釈することができる。ＲＯＭアレイ４０４の残りの部分とは異なり、予想されるハッシュのワードのデータは、スクランブル解除された状態で記憶され得る。したがって、予想されるハッシュ値は、復号せずに直接読み取ることができる。９０８で、これらの上位８ワードがＲＯＭアレイ４０４からバッファまたはレジスタに読み込まれ、予想ダイジェスト値が得られる。したがって、これらのワードは、整合性チェッカ回路５０２によって（例えば、ＥＣＣビットを無視して）予想されるハッシュとして取得することができる。予想されるハッシュは、ＫＭＡＣエンジンまたはダイジェスト計算回路５０８の他の実装から返送されるダイジェストと比較することができる。

９１０において、ダイジェストがＫＭＡＣエンジンから受信されると、整合性チェッカ回路５０２は、ダイジェストをキーマネージャなどのキーチェッカに転送することができる。キーマネージャまたは整合性チェッカ回路５０２は、９１２で、計算されたダイジェストを、ＲＯＭアレイ４０４の上位８ワードから読み取られた予想ダイジェストと比較することができる。ＲＯＭコントローラ４０２のＦＳＭが比較を実行する場合、ブロック９１０の転送は省略されてもよい。２つのダイジェストが一致しない場合、キーマネージャおよび／または整合性チェッカ回路５０２は９１４でアラームを生成することができる。アラームは、アラートまたは割り込みとして通知できる。予想ダイジェストと計算されたダイジェストの一致に応答して、９１６で、整合性チェッカ回路５０２は、「ｃｈｅｃｋ＿ｇｏｏｄ＿ｏ」指示を「オン」として通知し、マルチプレクサ６０２を解放することができる。そうすることによって、整合性チェッカ回路５０２は、マルチプレクサ６０２へのアクセスを切り替えて、他の構成要素がインターフェース６０４を介してＲＯＭアレイ４０４にアクセスできるようにする。一致または不一致により、計算および／または比較が完了すると、「ｃｈｅｃｋ＿ｄｏｎｅ＿ｏ」指示がアサートされる（例えば、高に駆動される）ことができる。その後、システムは９１８で通常動作に入ることができる。

図１０は、復元性を伴う整合性チェックに従った例示的な方法の流れ図またはプロセス１０００を示す。一般に、暗号化キーベースの実装例に関して、流れ図１０００は、最初に暗号化キーを選択することを必要とすることができる。第２に、選択された暗号化キーを使用して、ＲＯＭデータの各ラインが暗号化され、それぞれの暗号化されたＲＯＭデータ４１２が生成される。第３に、暗号化されたＲＯＭデータ４１２の複数のインスタンスがチェックされて、重複が存在するかどうかが決定される。重複がない場合、プロセスは終了できる。一方、少なくとも１つの重複が検出された場合は、別の暗号化キーの選択から開始するステップを繰り返すことでプロセスを続行できる。

図１０に示すように、流れ図１０００は５つのブロック１００２～１０１０を含む。ブロック１００２で、暗号化キーおよび／または暗号化アルゴリズムがＲＯＭの各ラインに適用されて、複数の暗号化されたＲＯＭラインが生成される。ブロック１００４で、一定数量の重複した暗号化されたＲＯＭラインの存在が決定される。数量がゼロの場合（または別の閾値を満たす場合）、プロセスは破線の矢印で示されているように終了できる。一方、重複の数量がゼロでない場合には、ブロック１００６で、新しい暗号化キーおよび／または新しい暗号化アルゴリズムを使用して、ＲＯＭの各ラインに対する暗号化の適用が繰り返される。ブロック１００８で、暗号化されたＲＯＭラインの重複インスタンスの新しい数量が、新しいキーおよび／または新しいアルゴリズムに基づいて決定される。ブロック１０１０のように、特定のキーとアルゴリズムの組み合わせの適用によって、暗号化されたＲＯＭラインのある閾値数量（例えば、ゼロ）が重複するまで、プロセスはブロック１００６で継続することができる。

図１１は、スクランブルされたＲＯＭデータにアクセスするためなど、ＲＯＭスクランブルを実装する装置のための例示的な方法を流れ図またはプロセス１１００で示す。流れ図１１００は、４つのブロック１１０２～１１０８を含む。動作は、ＲＯＭ１１８／２０６周辺デバイスなどのＲＯＭブロックによって実行できる。ブロック１１０２で、ＲＯＭは、システムバスまたはそのインターフェースから、ＲＯＭアドレスを含むＲＯＭ読み取り要求を受信することができる。ブロック１１０４で、ＲＯＭのＲＯＭコントローラは、ＲＯＭアドレスを使用してＲＯＭアレイにアクセスし、ＲＯＭ命令に加えてＥＣＣまたは他の保護データを含み得るスクランブルＲＯＭデータを取得することができる。より一般的には、スクランブルされたＲＯＭデータは、暗号化されたＲＯＭデータとして実装され得る。

ブロック１１０６で、ＲＯＭコントローラの暗号化回路は、ＲＯＭアドレスを使用してスクランブルされたＲＯＭデータをスクランブル解除し、スクランブルが解除されたＲＯＭデータを生成することができる。例えば、暗号化回路は、キーストリーム回路６０８、操作回路６１２（例えば、スクランブルされたＲＯＭデータのビットを拡散するための置換および並べ替えネットワークまたは他の回路）、および、論理演算を実行するデータ組み合わせ回路６１４のうちの１つまたは複数を使用することができる。ブロック１１０８で、ＲＯＭコントローラは、スクランブル解除されたＲＯＭデータを、インターフェースおよび／またはシステムバスを介して別の周辺デバイスに送信することができる。

図１２は、暗号化されたＲＯＭデータを含むＲＯＭアレイにアクセスするための例示的なプロセス１２００を示す流れ図である。流れ図には、４つのブロック１２０２～１２０８が含まれる。ブロック１２０２で、ＲＯＭ読み取り要求が取得される。このＲＯＭ読み取り要求には、複数のＲＯＭアドレスに記憶された暗号化されたＲＯＭデータを含むＲＯＭアレイに関連するＲＯＭアドレスが含まれる。例えば、ＲＯＭコントローラ４０２は、複数のＲＯＭアドレス４１８に記憶された暗号化されたＲＯＭデータ４１０を含むＲＯＭアレイ４０４に関連するＲＯＭアドレス４１４を含むＲＯＭ読み取り要求を取得することができる。ＲＯＭ読み取り要求は、例えば、相互接続１１０および／またはインターフェース６０４を介して別の構成要素から取得されてもよい。

ブロック１２０４で、暗号化されたＲＯＭデータが、ＲＯＭアドレスを使用してＲＯＭアレイから読み取られる。例えば、ＲＯＭコントローラ４０２は、ＲＯＭアドレス４１４を使用して、ＲＯＭアレイ４０４から暗号化されたＲＯＭデータ４１２を読み取ることができる。場合によっては、ＲＯＭコントローラ４０２は、アドレス調整回路５０４を含んでもよく、アドレス調整回路５０４は、ＲＯＭアドレス５１２を調整して、調整されたＲＯＭアドレス５１４を生成してもよい。そのような場合、ＲＯＭコントローラ４０２は、調整されたＲＯＭアドレス５１４で実現されるＲＯＭアドレス４１４を使用して、ＲＯＭアレイ４０４から暗号化されたＲＯＭデータ４１２を取得することができる。

ブロック１２０６で、暗号化されたＲＯＭデータが復号され、ＲＯＭアドレスを使用して復号されたＲＯＭデータが生成される。例えば、暗号化回路４０８は、ＲＯＭアドレス４１４を使用して、暗号化されたＲＯＭデータ４１２を復号して、復号されたＲＯＭデータ４１６を生成することができる。そうするために、暗号化回路４０８は、ＲＯＭアドレス４１４を使用して、復号されたＲＯＭデータ４１６を生成するための復号アルゴリズムの一部として使用されるキーを生成することができる。

ブロック１２０８で、復号されたＲＯＭデータが相互接続に転送される。例えば、ＲＯＭコントローラ４０２は、復号されたＲＯＭデータ４１６を相互接続１１０に転送することができる。ここで、復号されたＲＯＭデータ４１６は、チェックコードビットを含むことができる。追加的にまたは代替的に、ＲＯＭチェッカ回路６１６は、復号されたＲＯＭデータ４１６を転送する動作の一部として、またはそれと併せて、ＲＯＭにおいてエラーチェック手順を実行することができる。

図１３は、暗号化されたＲＯＭデータを含むＲＯＭアレイの整合性をチェックするための例示的なプロセス１３００を示す流れ図である。流れ図には、３つのブロック１３０２～１３０６が含まれる。ブロック１３０２で、暗号化されたＲＯＭデータは、暗号化されたＲＯＭデータに対応するＲＯＭアドレスに基づいてＲＯＭアレイから読み取られ、ＲＯＭアレイは暗号化されたＲＯＭデータを複数のＲＯＭアドレスに記憶する。例えば、ＲＯＭコントローラ４０２は、暗号化されたＲＯＭデータ４１２に対応するＲＯＭアドレス５１２または５１４に基づいて、ＲＯＭアレイ４０４から暗号化されたＲＯＭデータ４１２を読み取ることができる。したがって、ＲＯＭコントローラ４０２は、取り出される暗号化されたＲＯＭデータ４１２を特定するために調整されたＲＯＭアドレス５１４が使用されるように、ＲＯＭアドレス５１２から調整されたＲＯＭアドレス５１４を生成するアドレス調整回路５０４を含み得る。ここで、ＲＯＭアレイ４０４は、暗号化されたＲＯＭデータ４１０を複数のＲＯＭアドレス４１８に記憶することができる。ＲＯＭアレイ４０４はまた、予想ダイジェスト値５１０を記憶することもできる。

ブロック１３０４で、暗号化されたＲＯＭデータを使用して少なくとも１つのダイジェスト値が取得される。例えば、ＲＯＭコントローラ４０２は、暗号化されたＲＯＭデータ４１２を使用して少なくとも１つのダイジェスト値５１６を取得することができる。場合によっては、ＲＯＭコントローラ４０２の整合性チェッカ回路５０２は、少なくとも１つのダイジェスト値５１６を取得するために、ＲＯＭ１１８の外部にあるダイジェスト計算回路５０８と通信することができる。他の場合には、整合性チェッカ回路５０２またはＲＯＭ１１８の別の部分は、ダイジェスト値５１６のハッシュを計算する回路を含んでもよい。ダイジェスト値５１６は、特定のＲＯＭアレイ４０４内の暗号化されたＲＯＭデータ４１２の最大ですべてのインスタンスを含む、暗号化されたＲＯＭデータ４１２の複数のインスタンスにわたるハッシュに対応し得る。このような場合、ブロック１３０２では、暗号化されたＲＯＭデータ４１２の複数のものに対応する複数のＲＯＭアドレスに基づいて、暗号化されたＲＯＭデータ４１２の複数のものがＲＯＭアレイ４０４から読み取られる。さらに、ブロック１３０４では、ハッシュアルゴリズムが、ＲＯＭアレイ４０４から読み取られた暗号化されたＲＯＭデータ４１２の複数のものに適用される。

ブロック１３０６で、ＲＯＭアレイへのアクセスは、少なくとも１つのダイジェスト値および予想ダイジェスト値に基づいてゲートされる。例えば、ＲＯＭコントローラ４０２は、少なくとも１つのダイジェスト値５１６および予想ダイジェスト値５１０に基づいて、ＲＯＭアレイ４０４へのアクセスをゲートすることができる。そうするために、整合性チェッカ回路５０２は、ダイジェスト値５１６を予想ダイジェスト値５１０と比較することができる。一致しない場合、ゲート回路５０６は、ＲＯＭアレイ４０４へのアクセスをブロックまたは拒否することができる。一方、２つの値５１０および５１６が一致する場合、ゲート回路５０６は、例えば初期化の続行または「通常の」ＲＯＭアクセスの発生を可能にするために、他の構成要素へのＲＯＭアレイ４０４へのアクセスを許可することができる。

これらの方法の態様は、例えば、ハードウェア（例えば、固定論理回路、またはメモリと連携したプロセッサ）、ファームウェア、ソフトウェア、またはそれらの何らかの組み合わせで実装され得る。この方法は、図１から８および１４に示される装置または構成要素のうちの１つまたは複数を使用して実現され得る。これらの構成要素は、さらに分割したり、組み合わせたりすることもできる。これらの図のデバイスおよび構成要素は一般に、電子デバイス、ＰＣＢ、パッケージ化されたモジュール、ＩＣチップ、構成要素、または回路などのハードウェア、ファームウェア、ソフトウェア、またはそれらの組み合わせを表す。したがって、これらの図は、記載された方法を実装することができる多くの可能なシステムまたは装置のうちのいくつかを示している。

本明細書に記載される方法および関連する流れ図に関して、動作が示されおよび／または説明される順序は、限定として解釈されることを意図したものではない。代わりに、説明した方法動作の任意の数または組み合わせを任意の順序で組み合わせて、特定の方法または代替方法を実装できる。説明した方法から動作を省略したり、動作を追加したりすることもできる。さらに、記載された動作は、完全にまたは部分的に重複して実装することができる。

ＲＯＭセキュリティの態様と実装例
以下では、いくつかの例示的な態様および実装について説明する。

例示的な態様１：安全な読み取り専用メモリ（ＲＯＭ）のための装置であって、複数のＲＯＭアドレスに記憶された暗号化されたＲＯＭデータを含むＲＯＭアレイと、ＲＯＭアレイに結合されたＲＯＭコントローラとを備え、ＲＯＭコントローラは、複数のＲＯＭアドレスに基づいて暗号化されたＲＯＭデータに対して復号動作を実行するように構成された暗号化回路と、暗号化回路とＲＯＭアレイに結合されたＲＯＭアクセスインターフェースとを含み、ＲＯＭアクセスインターフェースは、暗号化されたＲＯＭデータに対応するＲＯＭアドレスに基づいてＲＯＭアレイから暗号化されたＲＯＭデータを読み取り、暗号化回路を使用して、暗号化されたＲＯＭデータを復号することにより、復号されたＲＯＭデータを生成し、復号されたＲＯＭデータを相互接続に転送するように構成される。

例示的な態様２：ＲＯＭアクセスインターフェースは、暗号化されたＲＯＭデータに対応するＲＯＭアドレスを使用して、暗号化されたＲＯＭデータを復号することにより、復号されたＲＯＭデータを生成するように構成される、例示的な態様１の装置。

例示的な態様３：暗号化回路は、複数のＲＯＭアドレスのうちのそれぞれのＲＯＭアドレスに基づいて、暗号化されたＲＯＭデータのそれぞれのＲＯＭデータに対して復号動作を実行するように構成され、それぞれのＲＯＭアドレスは、ＲＯＭアレイ内のそれぞれのＲＯＭデータを特定するように構成される、例示的な態様１または例示的な態様２の装置。

例示的な態様４：ＲＯＭアクセスインターフェースは、起動手順のための復号されたＲＯＭデータとして、暗号化されたＲＯＭデータへのアクセスを提供するように構成された有限状態マシン（ＦＳＭ）を備える、前述の例示的な態様のいずれか１つの装置。ＦＳＭは、複数の事前定義された状態のうちの対応する状態を常にとるシステムであり、システムはＦＳＭへの入力に基づいてある状態から別の状態に遷移する。

例示的な態様５：ＲＯＭコントローラは、ＲＯＭアドレスを調整することにより調整されたＲＯＭアドレスを生成するように構成されたアドレス調整回路を備え、ＲＯＭアクセスインターフェースは、複数のＲＯＭアドレスに記憶された暗号化されたＲＯＭデータを読み取るために、アドレス調整回路を使用してＲＯＭアドレスを調整するように構成される、前述の例示的な態様のいずれか１つの装置。

例示的な態様６：アドレス調整回路は、調整されたＲＯＭアドレスを生成するために、ＲＯＭアドレスの各ＲＯＭアドレスの２つ以上のビットを並べ替えるかまたは置換するうちの少なくとも１つを行うように構成される、例示的な態様５の装置。

例示的な態様７：暗号化回路は、ＲＯＭアドレスに基づいてキーを生成するように構成されたキーストリーム回路と、キーストリーム回路に結合されたデータ組み合わせ回路とを備え、データ組み合わせ回路は、暗号化されたＲＯＭデータおよびキーのうちの少なくとも１つのキーに基づいて復号されたＲＯＭデータを生成するように構成される、前述の例示的な態様のいずれか１つの装置。

例示的な態様８：暗号化回路は、暗号化されたＲＯＭデータの２ビット以上を拡散することにより、操作された暗号化されたＲＯＭデータを生成するように構成された操作回路を備え、データ組み合わせ回路は、論理演算を使用して少なくとも１つのキーのビットと操作された暗号化されたＲＯＭデータのビットを組み合わせることにより、復号されたＲＯＭデータを生成するように構成される、例示的な態様７の装置。

例示的な態様９：暗号化されたＲＯＭデータは、ＲＯＭ命令に対応するビットと、ＲＯＭ命令のチェックコードに対応するビットとを含み、復号されたＲＯＭデータは、ＲＯＭ命令に対応するビットと、ＲＯＭ命令のチェックコードに対応するビットとを含む、前述の例示的な態様のいずれか１つの装置。

例示的な態様１０：ＲＯＭコントローラは、暗号化回路の出力に結合されたＲＯＭチェッカ回路を備え、ＲＯＭチェッカ回路は、復号されたＲＯＭデータのＲＯＭ命令に基づいて別のチェックコードを計算し、復号されたＲＯＭデータのチェックコードと計算されたチェックコードを含む比較を実行し、比較に基づいて（例えば、チェックコードと計算されたチェックコードの間に一致がない場合に）エラー信号を生成するように構成される、例示的な態様９の装置。

例示的な態様１１：ＲＯＭアレイの複数のＲＯＭアドレスに記憶されている暗号化されたＲＯＭデータの各暗号化されたＲＯＭデータは、複数のＲＯＭアドレスに基づく暗号化方式により、ＲＯＭアレイの複数のＲＯＭアドレスに記憶される暗号化されたＲＯＭデータの他の各暗号化されたＲＯＭデータと異なっている、例示的な態様９の装置。

例示的な態様１２：装置はモバイルデバイスを含む、例示的な態様１の装置。
例示的な態様１３：安全な読み取り専用メモリ（ＲＯＭ）のための方法であって、複数のＲＯＭアドレスに記憶された暗号化されたＲＯＭデータを含むＲＯＭアレイに関連するＲＯＭアドレスを含むＲＯＭ読み取り要求を取得することと、ＲＯＭアドレスを使用してＲＯＭアレイから暗号化されたＲＯＭデータを読み取ることと、ＲＯＭアドレスを使用して、暗号化されたＲＯＭデータを復号することにより復号されたＲＯＭデータを生成することと、復号されたＲＯＭデータを相互接続に転送することとを含む方法。

例示的な態様１４：復号することは、ＲＯＭアドレスに基づいて少なくとも１つのキーを生成することと、少なくとも１つのキーを暗号化されたＲＯＭデータに適用することにより、復号されたＲＯＭデータを生成することと、を含む、例示的な態様１３の方法。

例示的な態様１５：適用することは、復号されたＲＯＭデータを生成するために、少なくとも１つのキーおよび暗号化されたＲＯＭデータを含む論理演算を実行することを含む、例示的な態様１４の方法。

例示的な態様１６：復号することは、論理演算を実行する前に、暗号化されたＲＯＭデータのビットを操作することにより、操作されたＲＯＭデータを生成することを含み、実行することは、復号されたＲＯＭデータを生成するために、少なくとも１つのキーおよび操作されたＲＯＭデータを使用して論理演算を実行することを含む、例示的な態様１５の方法。

例示的な態様１７：安全な読み出し専用メモリ（ＲＯＭ）のためのセキュリティ回路を含む集積回路であって、セキュリティ回路は、複数のＲＯＭアドレスにあるＲＯＭデータを含むＲＯＭアレイと、ＲＯＭアレイに結合されたＲＯＭコントローラとを含み、ＲＯＭコントローラは、複数のＲＯＭアドレスのそれぞれのＲＯＭアドレスをＲＯＭデータのそれぞれのＲＯＭデータに暗号的に結び付けるように構成される、集積回路。

例示的な態様１８：ＲＯＭコントローラが、それぞれのＲＯＭアドレスを使用してそれぞれのＲＯＭデータを復号するように構成された暗号化回路を備える、例示的な態様１７の集積回路。

例示的な態様１９：暗号化回路は、それぞれのＲＯＭアドレスに基づいて少なくとも１つのキーを生成し、少なくとも１つのキーを使用してそれぞれのＲＯＭデータを復号することにより、復号されたＲＯＭデータを生成するように構成される、例示的な態様１８の集積回路。

例示的な態様２０：暗号化回路は、少なくとも１つのキーをそれぞれのＲＯＭデータのバージョンに適用することによって、少なくとも１つのキーを使用して復号されたＲＯＭデータを生成するように構成され、バージョンは、ＲＯＭアレイに記憶されているそれぞれのＲＯＭデータの操作されたバージョンに対応する、例示的な態様１９の集積回路。

例示的な態様２１：ＲＯＭコントローラは、ＲＯＭビットと、それぞれのＲＯＭアドレスに対応するそれぞれのＲＯＭデータを共同で形成するエラー訂正コード（ＥＣＣ）ビットとの組み合わせを処理するように構成される、例示的な態様１７から２０のいずれか１つの集積回路。

例示的な態様２２：ＲＯＭコントローラは、ＲＯＭアレイに結合された整合性チェッカ回路を含み、整合性チェッカ回路は、ＲＯＭデータに適用されるチェック手順と予想ダイジェストとに基づいてＲＯＭアレイへのアクセスをゲートするように構成される（例えば、チェック手順によって一致が得られた場合に限り、ＲＯＭアレイへのアクセス（つまり、ＲＯＭアレイからデータを読み取るサービス要求）を認可する）、例示的な態様１７から２１のいずれか１つの集積回路。

例示的な態様２３：整合性チェッカ回路は、ＲＯＭアレイから予想ダイジェストを抽出し、抽出された予想ダイジェストとＲＯＭアレイのＲＯＭデータに基づいて計算されたダイジェストとを含む比較を実行し、比較に基づいてＲＯＭアレイへのアクセスを認可または拒否する（例えば、抽出された予想ダイジェストとＲＯＭアレイのＲＯＭデータに基づいて計算されたダイジェストとの間に一致がある場合は認可するが、そうでない場合は拒否する）ことによってチェック手順を実装するように構成される、例示的な態様２２の集積回路。

例示的な態様２４：安全な読み取り専用メモリ（ＲＯＭ）のための装置であって、複数のＲＯＭアドレスに記憶された暗号化されたＲＯＭデータを含むＲＯＭアレイと、ＲＯＭアレイに結合されたＲＯＭコントローラとを備え、ＲＯＭコントローラは、暗号化されたＲＯＭデータに対応するＲＯＭアドレスに基づいて、ＲＯＭアレイから暗号化されたＲＯＭデータを読み取り、暗号化されたＲＯＭデータを使用して少なくとも１つのダイジェスト値を取得し、少なくとも１つのダイジェスト値および予想ダイジェスト値に基づいて、ＲＯＭアレイへのアクセスをゲートする（例えば、少なくとも１つのダイジェスト値と予想ダイジェストとの間で一致が得られた場合にのみ、ＲＯＭアレイへのアクセスを認可するが、それ以外の場合はブロックまたは拒否する）するように構成される、装置。

例示的な態様２５：ＲＯＭコントローラは、ＲＯＭアドレスを調整することにより調整されたＲＯＭアドレスを生成するように構成されたアドレス調整回路を備え、ＲＯＭコントローラは、ＲＯＭアドレスを調整することにより調整されたＲＯＭアドレスを取得し、調整されたＲＯＭアドレスを使用して、アドレス調整回路を使用して複数のＲＯＭアドレスに記憶された暗号化されたＲＯＭデータを読み取るように構成される、例示的な態様２４の装置。

例示的な態様２６：ＲＯＭコントローラは、少なくとも１つのハッシュアルゴリズムを暗号化されたＲＯＭデータに適用させることに基づいて、少なくとも１つのダイジェスト値を取得するように構成される、例示的な態様２４または例示的な態様２５の装置。

例示的な態様２７：ＲＯＭアレイおよびＲＯＭコントローラは第１の周辺デバイスを備え、第２の周辺デバイスは、１つまたは複数のハッシュアルゴリズムを実装するように構成され、ＲＯＭコントローラは、第２の周辺デバイスと通信することによって少なくとも１つのダイジェスト値を取得するように構成される、例示的な態様２６の装置。

例示的な態様２８：ＲＯＭコントローラは、ＲＯＭアレイから予想ダイジェスト値を読み取るように構成される、例示的な態様２４から２７のいずれか１つの装置。

例示的な態様２９：予想ダイジェスト値は、暗号化されていない形式でＲＯＭアレイに記憶される、例示的な態様２８の装置。

例示的な態様３０：予想ダイジェスト値は、決定可能なＲＯＭアドレスに対応する所定の位置でＲＯＭアレイに記憶される、例示的な態様２８の装置。

例示的な態様３１：少なくとも１つのダイジェスト値が予想ダイジェスト値と一致することに応答して、ＲＯＭコントローラは、ＲＯＭアレイへのアクセスを認可することにより、暗号化されたＲＯＭデータを使用して起動手順が実行されることを可能にするように構成される、例示的な態様２４から３０のいずれか１つの装置。

例示的な態様３２：少なくとも１つのダイジェスト値が予想ダイジェスト値と一致しないことに応答して、ＲＯＭコントローラは、ＲＯＭアレイへのアクセスをブロックすることにより、暗号化されたＲＯＭデータを使用して起動手順が実行されるのを防ぎ、アラーム指示を送信するように構成される、例示的な態様２４から３１のいずれか１つの装置。

例示的な態様３３：暗号化されたＲＯＭデータの各それぞれの暗号化されたＲＯＭデータは、ＲＯＭアレイ全体にわたって、暗号化されたＲＯＭデータの他の各それぞれの暗号化されたＲＯＭデータと異なる、例示的な態様２４から３２のいずれか１つの装置。

例示的な態様３４：暗号化されたＲＯＭデータの生成に関連する暗号化キーは、各それぞれの暗号化されたＲＯＭデータがＲＯＭアレイ全体にわたって暗号化されたＲＯＭデータの他の各それぞれの暗号化されたＲＯＭデータと確実に異なるように選択される、例示的な態様３３の装置。例えば、１つまたは複数の暗号化キーは、同じＲＯＭデータの数を減らすために（例えば、ゼロ、または少なくとも閾値未満になるように）実行される反復プロセスで１つまたは複数の暗号化キーを使用することができる。

例示的な態様３５：暗号化されたＲＯＭデータの生成に関連する暗号化アルゴリズムは、各それぞれの暗号化されたＲＯＭデータがＲＯＭアレイ全体にわたって暗号化されたＲＯＭデータの他の各それぞれの暗号化されたＲＯＭデータと確実に異なるように選択される、例示的な態様３３の装置。例えば、１つまたは複数の暗号化アルゴリズムは、同じＲＯＭデータの数を減らすために（例えば、ゼロになるか、少なくとも閾値未満になるように）実行される反復プロセスで使用され得る。

例示的な態様３６：安全な読み取り専用メモリ（ＲＯＭ）のための方法であって、暗号化されたＲＯＭデータに対応するＲＯＭアドレスに基づいて、ＲＯＭアレイから暗号化されたＲＯＭデータを読み取ることを含み、ＲＯＭアレイは、複数のＲＯＭアドレスにある暗号化されたＲＯＭデータを記憶し、方法はさらに、暗号化されたＲＯＭデータを使用して少なくとも１つのダイジェスト値を取得することと、少なくとも１つのダイジェスト値および予想ダイジェスト値に基づいて、ＲＯＭアレイへのアクセスをゲートすることとを含む、方法。

例示的な態様３７：読み取ることは、調整されたＲＯＭアドレスを生成するためにＲＯＭアドレスを調整することと、調整されたＲＯＭアドレスを使用して、ＲＯＭアレイから暗号化されたＲＯＭデータを読み取ることとを含む、例示的な態様３６の方法。

例示的な態様３８：ゲートすることは、少なくとも１つのダイジェスト値が予想ダイジェスト値と一致しないことに応答して、ＲＯＭアレイへのアクセスをブロックすることを含む、例示的な態様３６または例示的な態様３７の方法。

例示的な態様３９：読み出し専用メモリ（ＲＯＭ）を備えたセキュリティ回路を含む集積回路であって、セキュリティ回路は、複数の暗号化されたＲＯＭラインを含むＲＯＭアレイを備え、複数の暗号化されたＲＯＭラインの各暗号化されたＲＯＭラインは、複数の暗号化されたＲＯＭラインの他の各暗号化されたＲＯＭラインと異なり、セキュリティ回路はさらに、ＲＯＭアレイに結合され、複数の暗号化されたＲＯＭラインに基づいて生成される少なくとも１つのダイジェスト値に応答してＲＯＭアレイへのアクセスを制御するように構成される、ＲＯＭコントローラを備える、集積回路。

例示的な態様４０：複数の暗号化されたＲＯＭラインに基づいて少なくとも１つのダイジェスト値を計算するように構成されたダイジェスト計算回路をさらに備える、例示的な態様３９の集積回路。

例示的な態様４１：ダイジェスト計算回路は、ＲＯＭアレイおよびＲＯＭコントローラを含むＲＯＭブロックの一部である、例示的な態様４０の集積回路。

例示的な態様４２：暗号化キーは、複数の暗号化されたＲＯＭラインが確実に重複しないように選択される、例示的な態様３９から４１のいずれか１つの集積回路。例えば、少なくとも１つの暗号化キー（事前定義されたものであるか、何らかの方法で取得されたものであるかにかかわらず）は、重複する暗号化されたＲＯＭラインの数を（例えば、ゼロに、または少なくとも閾値未満に）減らすために実行される反復プロセスで使用できる。

例示的な態様４３：暗号化アルゴリズムは、複数の暗号化されたＲＯＭラインが確実に重複しないように選択される、例示的な態様３９から４２のいずれか１つの集積回路。例えば、少なくとも１つの暗号化アルゴリズム（事前に定義されたものであるか、何らかの方法で取得されたものであるかにかかわらず）は、重複する暗号化されたＲＯＭラインの数を（例えば、ゼロに、または少なくとも閾値未満に）減らすために実行される反復プロセスで使用できる。

例示的な態様４４：読み取り専用メモリ（ＲＯＭ）の復元性を備えた整合性チェックのための方法であって、暗号化アルゴリズムおよび暗号化キーをＲＯＭの複数のラインに適用することにより、複数の暗号化されたＲＯＭラインの第１のセットを生成することと、複数の暗号化されたＲＯＭラインのうちの重複する暗号化されたＲＯＭラインの数量を決定することと、上記数量に基づいて、暗号化アルゴリズムまたは暗号化キーのうちの少なくとも１つを変更することと、変更された少なくとも１つの暗号化アルゴリズムまたは暗号化キーをＲＯＭの複数のラインに適用することにより、複数の暗号化されたＲＯＭラインの第２のセットを生成することとを含む方法。

例示的な態様４５：上記の変更すること、少なくとも１つの変更された暗号化アルゴリズムまたは暗号化キーについての上記の適用すること、および数量がゼロになるまで上記の決定することを繰り返すことをさらに含む、例示的な態様４４の方法。

例示的な態様４６：ＲＯＭコントローラは、少なくとも１つのダイジェスト値をＲＯＭの外部の構成要素に提供するように構成される、例示的な態様２４から３５のいずれか１つの装置。

ＲＯＭセキュリティのための電子デバイスの例
図１４は、１つまたは複数の記載された態様に従ってＲＯＭセキュリティを実装することができる例示的な電子デバイス１４００のさまざまな構成要素を示す。電子デバイス１４００は、固定、モバイル、スタンドアロン、または組み込みデバイスのいずれか１つまたは組み合わせとして、消費者、コンピュータ、ポータブル、ユーザ、サーバ、通信、電話、ナビゲーション、ゲーム、オーディオ、カメラ、メッセージング、メディア再生、および／または装置１０２として図１に示されるスマートフォンなど他のタイプの電子デバイス１４００の任意の形態で実装できる。図示された構成要素のうちの１つまたは複数は、個別構成要素として、または電子デバイス１４００の少なくとも１つの集積回路上の集積構成要素として実現され得る。

電子デバイス１４００は、受信データ、送信データ、または上記で特定された他の情報などのデバイスデータ１４０４の有線および／またはワイヤレス通信を可能にする１つまたは複数の通信トランシーバ１４０２を含むことができる。例示的な通信トランシーバ１４０２には、近距離通信（ＮＦＣ）トランシーバ、さまざまなＩＥＥＥ８０２．１５（Ｂｌｕｅｔｏｏｔｈ（登録商標））標準に準拠したワイヤレスパーソナルエリアネットワーク（ＰＡＮ）（ＷＰＡＮ）無線、さまざまなＩＥＥＥ８０２．１１（ＷｉＦｉ（登録商標））標準のいずれかに準拠したワイヤレスローカルエリアネットワーク（ＬＡＮ）（ＷＬＡＮ）無線、携帯電話用のワイヤレスワイドエリアネットワーク（ＷＡＮ）（ＷＷＡＮ）無線（例えば、３ＧＰＰ（登録商標）準拠のもの）、さまざまなＩＥＥＥ８０２．１６（ＷｉＭＡＸ（登録商標））標準に準拠したワイヤレスメトロポリタンエリアネットワーク（ＭＡＮ）（ＷＭＡＮ）無線、赤外線データ協会（ＩｒＤＡ）プロトコルに準拠した赤外線（ＩＲ）トランシーバ、有線ローカルエリアネットワーク（ＬＡＮ）（ＷＬＡＮ）イーサネット（登録商標）トランシーバが含まれる。

電子デバイス１４００はまた、任意のタイプのデータ、メディアコンテンツ、および／または他の入力を受信することができる１つまたは複数のデータ入力ポート１４０６を含んでもよく、例えば、ユーザが選択可能な入力、メッセージ、アプリケーション、音楽、テレビコンテンツ、録画されたビデオコンテンツ、およびコンテンツおよび／またはデータソースから受信したその他のタイプのオーディオ、ビデオ、および／または画像データなどであり、マイクやカメラなどのセンサが含まれる。データ入力ポート１４０６は、ＵＳＢポート、同軸ケーブルポート、光ファイバ相互接続またはケーブル配線用の光ファイバポート、およびフラッシュメモリ、ＤＶＤ、ＣＤなど用の他のシリアルまたはパラレルコネクタ（内部コネクタを含む）を含み得る。これらのデータ入力ポート１４０６は、電子デバイスを構成要素、周辺機器、またはキーボード、マイクロフォン、カメラ、または他のセンサなどの付属品に結合するために使用され得る。

この例の電子デバイス１４００は、少なくとも１つのプロセッサ１４０８（例えば、アプリケーションプロセッサ、マイクロプロセッサ、デジタル信号プロセッサ（ＤＳＰ）、コントローラなどのうちの任意の１つまたは複数）を含み、これは、デバイスの動作を制御するためにコンピュータ実行可能命令を処理（例えば実行）する、プロセッサとメモリを組み合わせたシステム（例えば、ＳｏＣの一部として実装される）を含むことができる。プロセッサ１４０８は、アプリケーションプロセッサ、組み込みコントローラ、マイクロコントローラ、セキュリティプロセッサ、人工知能（ＡＩ）アクセラレータなどとして実装され得る。一般に、プロセッサまたは処理システムは、少なくとも部分的にハードウェアで実装でき、これには、集積回路またはオンチップシステム、デジタル信号プロセッサ（ＤＳＰ）、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、複合プログラマブル論理デバイス（ＣＰＬＤ）、およびシリコンおよび／またはその他の素材でのその他の実装の構成要素が含まれ得る。

代替的にまたは追加的に、電子デバイス１４００は、電子回路のいずれか１つまたは組み合わせで実装することができ、これには、一般に（電子回路１４１０として）１４１０で示される、処理および制御回路に関連して実装されるソフトウェア、ハードウェア、ファームウェア、または固定論理回路が含まれ得る。この電子回路１４１０は、実行可能モジュールまたはハードウェアベースのモジュール（図１４には示されていない）を実装することができ、例えば、コンピュータ可読媒体に記憶された処理／コンピュータ実行可能命令を通じて、論理回路および／またはハードウェア（例えば、ＦＰＧＡなど）を通じてなどである。

図示されていないが、電子デバイス１４００は、システムバス、相互接続、クロスバー、データ転送システム、またはデバイス内のさまざまな構成要素を結合する他のスイッチファブリックを含むことができる。システムバスまたは相互接続には、異なるバス構造の任意の１つまたは組み合わせを含めることができ、メモリバスやメモリコントローラ、周辺バス、ユニバーサルシリアルバス、および／またはさまざまなバスアーキテクチャのいずれかを利用するプロセッサやローカルバスなどである。

電子デバイス１４００はまた、データ記憶を可能にする１つまたは複数のメモリデバイス１４１２を含み、その例には、ランダムアクセスメモリ（ＲＡＭ）、不揮発性メモリ（例えば、読み取り専用メモリ（ＲＯＭ）、フラッシュメモリ、ＥＰＲＯＭ、ＥＥＰＲＯＭ）、およびディスク記憶デバイスが含まれる。したがって、メモリデバイス１４１２は、システムの異なる論理記憶レベルにわたって、また異なる物理構成要素に分散させることができる。メモリデバイス１４１２は、デバイスデータ１４０４、他のタイプのコードおよび／またはデータ、およびさまざまなデバイスアプリケーション１４２０（例えば、ソフトウェアアプリケーションまたはプログラム）を記憶するデータ記憶メカニズムを提供する。例えば、オペレーティングシステム１４１４は、メモリデバイス１４１２内にソフトウェア命令として維持され、プロセッサ１４０８によって実行され得る。

いくつかの実施形態では、電子デバイス１４００は、オーディオおよび／またはビデオ処理システム１４１６も含み、それは、オーディオデータを処理し、および／またはオーディオデータおよびビデオデータをオーディオシステム１４１８および／または表示システム１４２２（例えば、スマートフォンまたはカメラのビデオバッファまたは画面）に渡す。オーディオシステム１４１８および／または表示システム１４２２は、オーディオ、ビデオ、ディスプレイ、および／または画像データを処理、表示、および／またはレンダリングする任意のデバイスを含み得る。表示データおよびオーディオ信号は、ＲＦ（無線周波数）リンク、Ｓビデオリンク、ＨＤＭＩ（登録商標）（高解像度マルチメディアインターフェース）、コンポジットビデオリンク、構成要素ビデオリンク、ＤＶＩ（デジタルビデオインターフェース）、アナログオーディオ接続、ビデオバス、またはメディアデータポート１４２４などの他の同様の通信リンクを介してオーディオ構成要素および／または表示構成要素に通信できる。いくつかの実装では、オーディオシステム１４１８および／または表示システム１４２２は、電子デバイス１４００の外部構成要素または別個の構成要素である。あるいは、表示システム１４２２は、例えば、統合されたタッチインターフェースの一部など、例示的な電子デバイス１４００の統合された構成要素であってもよい。

図１４の電子デバイス１４００は、図１の装置１０２の実装例、図４の分析３４４を実装できるデバイスの実装例、図９から１３の方法のいずれかを実装できるデバイスの実装例である。したがって、電子デバイス１４００は、セキュリティ回路１０６を含むことができ、セキュリティ回路１０６は、別個のＩＣチップであってもよいし、プロセッサ１４０８、電子回路１４１０、またはメモリデバイス１４１２などの別のＩＣチップもしくはデバイスの一部として含まれてもよい。したがって、図示された構成要素のうちの１つまたは複数は、ＳｏＣのような同じＩＣチップ上に、または少なくとも単一のＰＣＢ上に統合され得る。

図示されるように、電子デバイス１４００は、追加的にまたは代替的に、互換性分析モジュール３４０を含み得る。例えば、メモリデバイス１４１２は互換性分析モジュール３４０を記憶することができ、プロセッサ１４０８は互換性分析モジュール３４０を実行することができる。したがって、メモリデバイス１４１２は、周辺デバイス設計コード３４２、インターフェース仕様３３２なども記憶することができる。電子デバイス１４００は、さらに、またはその代わりに、図１０の反復プロセスを実装してもよい。さらに、ＲＯＭ１１８／２０６は、例えば、セキュリティ回路１０６の一部として、図４から６の構成要素のいずれかを含むことができる。さらに、ＲＯＭ１１８／２０６は、セキュリティ回路１０６の一部として、またはセキュリティ回路１０６とは別個に、上述した電子デバイス１４００の構成要素のいずれかに実装することができる。したがって、本明細書で説明するＲＯＭセキュリティの原理は、図１４の電子デバイス１４００によって、またはそれと関連して実装することができる。

文脈により別段の指示がない限り、本明細書における「または」という言葉の使用は、「包括的なまたは」、または「または」という言葉によってリンクされている１つまたは複数の項目の包含または適用を許可する用語の使用とみなされ得る（例えば、「ＡまたはＢ」という語句は、「Ａ」のみを許可するもの、「Ｂ」のみを許可するもの、または「Ａ」と「Ｂ」の両方を許可するものとして解釈され得る）。また、本明細書で使用される場合、項目のリストの「少なくとも１つ」を指す語句は、単一のメンバーを含むそれらの項目の任意の組み合わせを指す。例えば、「ａ、ｂ、またはｃの少なくとも１つ」には、ａ、ｂ、ｃ、ａ－ｂ、ａ－ｃ、ｂ－ｃ、およびａ－ｂ－ｃだけでなく、同じ要素の複数の組み合わせも含まれる（例えば、ａ－ａ、ａ－ａ－ａ、ａ－ａ－ｂ、ａ－ａ－ｃ、ａ－ｂ－ｂ、ａ－ｃ－ｃ、ｂ－ｂ、ｂ－ｂ－ｂ、ｂ－ｂ－ｃ、ｃ－ｃ、ｃ－ｃ－ｃ、またはａ、ｂ、およびｃのその他の順序）。さらに、添付の図に表される項目および本明細書で論じられる用語は、１つまたは複数の項目または用語を示す場合があり、したがって、本明細書では単一または複数の形式の項目および用語を互換的に参照することができる。ＲＯＭセキュリティの実装は、特定の機能および／または方法に特有の言語で説明されているが、添付の特許請求の範囲の主題は、必ずしも記載された特定の機能または方法に限定されるわけではない。むしろ、特定の機能および方法は、ＲＯＭセキュリティの実装例として開示されている。

Claims (15)

1. 安全な読み取り専用メモリ（ＲＯＭ）のための装置であって、
   複数のＲＯＭアドレスに記憶された暗号化されたＲＯＭデータを含むＲＯＭアレイと、
   前記ＲＯＭアレイに結合されたＲＯＭコントローラとを備え、前記ＲＯＭコントローラは、
   前記暗号化されたＲＯＭデータに対応するＲＯＭアドレスに基づいて、前記ＲＯＭアレイから暗号化されたＲＯＭデータを読み取り、
   前記暗号化されたＲＯＭデータを使用して少なくとも１つのダイジェスト値を取得し、
   前記少なくとも１つのダイジェスト値および予想ダイジェスト値に基づいて、前記ＲＯＭアレイへのアクセスをゲートするように構成される、装置。
2. 前記ＲＯＭコントローラは、ＲＯＭアドレスを調整することにより調整されたＲＯＭアドレスを生成するように構成されたアドレス調整回路を含み、
   前記ＲＯＭコントローラは、前記複数のＲＯＭアドレスに記憶された前記暗号化されたＲＯＭデータを読み取るために、前記アドレス調整回路を使用して前記ＲＯＭアドレスを調整するように構成される、請求項１に記載の装置。
3. 前記ＲＯＭコントローラは、少なくとも１つのハッシュアルゴリズムを前記暗号化されたＲＯＭデータに適用させることに基づいて、前記少なくとも１つのダイジェスト値を取得するように構成される、請求項１または請求項２に記載の装置。
4. 前記ＲＯＭアレイおよび前記ＲＯＭコントローラは第１の周辺デバイスを備え、
   第２の周辺デバイスは、１つまたは複数のハッシュアルゴリズムを実装するように構成され、
   前記ＲＯＭコントローラは、前記第２の周辺デバイスと通信することによって前記少なくとも１つのダイジェスト値を取得するように構成される、請求項３に記載の装置。
5. 前記ＲＯＭコントローラは、前記ＲＯＭアレイから前記予想ダイジェスト値を読み取るように構成される、先行する請求項のいずれか一項に記載の装置。
6. 前記予想ダイジェスト値は、暗号化されていない形式で前記ＲＯＭアレイに記憶される、請求項５に記載の装置。
7. 前記ＲＯＭコントローラは、前記少なくとも１つのダイジェスト値を前記ＲＯＭの外部の構成要素に提供するように構成される、先行する請求項のいずれか一項に記載の装置。
8. 前記少なくとも１つのダイジェスト値が前記予想ダイジェスト値と一致することに応答して、前記ＲＯＭコントローラは、前記ＲＯＭアレイへのアクセスを認可することにより、前記暗号化されたＲＯＭデータを使用して起動手順が実行されることを可能にするように構成される、先行する請求項のいずれか一項に記載の装置。
9. 前記少なくとも１つのダイジェスト値が前記予想ダイジェスト値と一致しないことに応答して、前記ＲＯＭコントローラは、
   アラーム指示を送信しおよび／または
   前記ＲＯＭアレイへのアクセスをブロックすることにより、前記暗号化されたＲＯＭデータを使用して起動手順が実行されるのを防ぐように構成される、先行する請求項のいずれか一項に記載の装置。
10. 前記暗号化されたＲＯＭデータの各それぞれの暗号化されたＲＯＭデータは、前記ＲＯＭアレイ全体にわたって前記暗号化されたＲＯＭデータの他の各それぞれの暗号化されたＲＯＭデータと異なる、先行する請求項のいずれか一項に記載の装置。
11. 前記暗号化されたＲＯＭデータの生成に関連する暗号化キーは、各それぞれの暗号化されたＲＯＭデータが、前記ＲＯＭアレイ全体にわたって前記暗号化されたＲＯＭデータの他の各それぞれの暗号化されたＲＯＭデータと確実に異なるように選択される、請求項１０に記載の装置。
12. 前記暗号化されたＲＯＭデータの生成に関連する暗号化アルゴリズムは、各それぞれの暗号化されたＲＯＭデータが、前記ＲＯＭアレイ全体にわたって前記暗号化されたＲＯＭデータの他の各それぞれの暗号化されたＲＯＭデータと確実に異なるように選択される、請求項１０に記載の装置。
13. 安全な読み取り専用メモリ（ＲＯＭ）のための方法であって、
    暗号化されたＲＯＭデータに対応するＲＯＭアドレスに基づいて、前記暗号化されたＲＯＭデータをＲＯＭアレイから読み取ることを含み、前記ＲＯＭアレイは、複数のＲＯＭアドレスに暗号化されたＲＯＭデータを記憶し、前記方法はさらに、
    前記暗号化されたＲＯＭデータを使用して少なくとも１つのダイジェスト値を取得することと、
    前記少なくとも１つのダイジェスト値および予想ダイジェスト値に基づいて前記ＲＯＭアレイへのアクセスをゲートすることとを含む、方法。
14. 前記読み取ることは、
    前記ＲＯＭアドレスを調整することにより、調整されたＲＯＭアドレスを生成することと、
    前記調整されたＲＯＭアドレスを使用して、前記ＲＯＭアレイから前記暗号化されたＲＯＭデータを読み取ることとを含む、請求項１３に記載の方法。
15. 前記ゲートすることは、
    前記少なくとも１つのダイジェスト値が前記予想ダイジェスト値と一致しないことに応答して、前記ＲＯＭアレイへのアクセスをブロックすることを含む、請求項１３または１４に記載の方法。
    

Images