JP4182740B2 - マイクロコンピュータ - Google Patents
マイクロコンピュータ Download PDFInfo
- Publication number
- JP4182740B2 JP4182740B2 JP2002354726A JP2002354726A JP4182740B2 JP 4182740 B2 JP4182740 B2 JP 4182740B2 JP 2002354726 A JP2002354726 A JP 2002354726A JP 2002354726 A JP2002354726 A JP 2002354726A JP 4182740 B2 JP4182740 B2 JP 4182740B2
- Authority
- JP
- Japan
- Prior art keywords
- test
- circuit
- program
- memory
- test mode
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
- 238000012360 testing method Methods 0.000 claims description 105
- 230000015654 memory Effects 0.000 claims description 44
- 238000012545 processing Methods 0.000 claims description 26
- 238000001514 detection method Methods 0.000 claims description 19
- 230000006870 function Effects 0.000 claims description 19
- 238000012544 monitoring process Methods 0.000 claims description 3
- 238000000034 method Methods 0.000 description 17
- 230000008569 process Effects 0.000 description 14
- 101100328887 Caenorhabditis elegans col-34 gene Proteins 0.000 description 10
- 238000004519 manufacturing process Methods 0.000 description 8
- 230000002093 peripheral effect Effects 0.000 description 8
- 238000010586 diagram Methods 0.000 description 6
- 102220637010 Actin-like protein 7A_S10T_mutation Human genes 0.000 description 3
- 238000004891 communication Methods 0.000 description 3
- 230000007547 defect Effects 0.000 description 2
- 230000002950 deficient Effects 0.000 description 2
- 238000013461 design Methods 0.000 description 2
- 230000000694 effects Effects 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 102200048773 rs2224391 Human genes 0.000 description 2
- XUIMIQQOPSSXEZ-UHFFFAOYSA-N Silicon Chemical compound [Si] XUIMIQQOPSSXEZ-UHFFFAOYSA-N 0.000 description 1
- RRLHMJHRFMHVNM-BQVXCWBNSA-N [(2s,3r,6r)-6-[5-[5-hydroxy-3-(4-hydroxyphenyl)-4-oxochromen-7-yl]oxypentoxy]-2-methyl-3,6-dihydro-2h-pyran-3-yl] acetate Chemical compound C1=C[C@@H](OC(C)=O)[C@H](C)O[C@H]1OCCCCCOC1=CC(O)=C2C(=O)C(C=3C=CC(O)=CC=3)=COC2=C1 RRLHMJHRFMHVNM-BQVXCWBNSA-N 0.000 description 1
- 230000009471 action Effects 0.000 description 1
- 230000008859 change Effects 0.000 description 1
- 230000007257 malfunction Effects 0.000 description 1
- 239000000523 sample Substances 0.000 description 1
- 229910052710 silicon Inorganic materials 0.000 description 1
- 239000010703 silicon Substances 0.000 description 1
- 230000009466 transformation Effects 0.000 description 1
- 230000007704 transition Effects 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G01—MEASURING; TESTING
- G01R—MEASURING ELECTRIC VARIABLES; MEASURING MAGNETIC VARIABLES
- G01R31/00—Arrangements for testing electric properties; Arrangements for locating electric faults; Arrangements for electrical testing characterised by what is being tested not provided for elsewhere
- G01R31/28—Testing of electronic circuits, e.g. by signal tracer
- G01R31/317—Testing of digital circuits
- G01R31/31719—Security aspects, e.g. preventing unauthorised access during test
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- General Engineering & Computer Science (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Microcomputers (AREA)
- Test And Diagnosis Of Digital Computers (AREA)
- Tests Of Electronic Circuits (AREA)
- Storage Device Security (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、ＩＣカードのようにセキュリティ機能を有するマイクロコンピュータ、特にそのセキュリティ機能を試験するための試験回路を備えたマイクロコンピュータに関するものである。
【０００２】
【従来の技術】
【０００３】
【特許文献１】
特開平０６−３２４９７２号公報
【特許文献２】
特開平０８−２７２６９５号公報
【０００４】
一般にＬＳＩ（大規模集積回路）は、シリコンウエハ上に微細な加工をしたりチップをパッケージに組み立てる製造過程において、ある確率で製造欠陥による動作不良品が発生する。従って、製造時に、出来上がったＬＳＩに電源と信号を印加し、期待どおりの動作をするか否かの試験を行って不良品を除去する。このため、可制御性・可観測性を向上させる目的で、ＬＳＩの論理設計時にスキャン機能等の試験回路を予め組み込んでおく試験容易化設計が行われている。
【０００５】
ここで、可制御性とは、ＬＳＩ内部の任意の信号を任意のレベル（“Ｈ”または“Ｌ”）に設定できることであり、可観測性とは、このＬＳＩ内部の任意の信号のレベルを検出できることである。すべての信号のレベルをＬＳＩの外部に出力して直接検出することは不可能なので、スキャン機能では、内部信号のレベルの変化を特定の端子の出力パターンの変化として出力させるような構成が採用されている。
【０００６】
しかし、可制御性・可観測性を高くすることは、内部信号を制御・検出できるということであり、セキュリティに関連するＬＳＩでは、そのセキュリティのレベルを下げることになる。パスワードや秘密鍵のように他人に知られてはならないデータを読み出されてしまうおそれがあるからである。
【０００７】
特に、ＩＣカード用のマイクロコンピュータでは、ＩＳＯ７８１６の規格で、端子形状と信号の電気的特性が規定され、外部接続用の端子は、電源（ＶＤＤ，ＧＮＤ）、クロック（ＣＬＫ）、リセット（ＲＳＴ）、及び半二重通信用の直列データ（ＳＩＯ）の５端子のみに限定されている。このようなマイクロコンピュータは、セキュリティ用途であることと、外部接続用の端子数が少ないことから、試験に関して種々の制約がある。
【０００８】
更に、外部からアプリケーション・プログラムをダウンロードして実行できる高機能なセキュリティ向けのマイクロコンピュータでは、不正なプログラムがダウンロードされてパスワードや秘密鍵のデータを読み書きするような処理から保護するために、アプリケーション・プログラムにおける特定命令の実行や、特定領域へのアクセス及び分岐等を禁止するような高度のセキュリティ機能が必要である。
【０００９】
図２は、上記の機能を備えた従来のマイクロコンピュータの一例を示す構成図である。
【００１０】
このマイクロコンピュータは、ＣＰＵ（中央演算処理装置）１、ＲＯＭ（不揮発性メモリ）２，３、ＲＡＭ（随時読み書き可能メモリ）４、周辺回路５、バス（またはブリッジ）６、セキュリティ回路７、試験用回路８、及び試験モード検出回路９を備えている。
【００１１】
ＣＰＵ１は、ＲＯＭ２，３等のメモリに格納された命令を逐次実行するものである。ＲＯＭ２は、このマイクロコンピュータの主要な動作を決めるＯＳ（オペレーティング・システム）等のプログラムを格納したメモリである。ＲＯＭ３は、チップの製造試験用のプログラム、セキュリティ用の最小限のライブラリ、ファンクションコール用のサブルーチン等を格納したメモリである。
【００１２】
ＲＡＭ４は、データを格納したりプログラムを一時的に格納するためのメモリで、電気的に書き換え可能な不揮発性メモリも含まれる。周辺回路５は、暗号処理や外部との通信を行うための回路である。バス６は、ＣＰＵ１とその他のＲＯＭ２，３等の回路との接続部分で、トライステートバスやＯＲバスといったバス接続やブロック間の論理やタイミングを調整するブリッジ回路が用いられる。
【００１３】
セキュリティ回路７は、ＣＰＵ１が読み出したアドレスや命令を逐次監視し、実行や読み書きが許可されていないプログラム領域やデータ領域へのアクセスがあった場合に、ＣＰＵ１に対して不正アクセク検出信号ＩＬを出力して、適切な処理を行わせるための回路である。
【００１４】
試験用回路８は、チップ上に設けられて外部には接続されていない複数の試験信号入力端子８ａと、試験モード信号ＴＭで切り替え制御されるセレクタ８ｂを有している。試験用回路８は、製造試験時に試験装置のプローブを介して試験信号入力端子８ａからＣＰＵ１に試験用の命令を与え、任意の命令系列を実行させて、アプリケーション・プログラムを正しく実行できるか否か、或いは周辺回路５が正しく動作するか否かを試験する回路である。
【００１５】
試験モード検出回路９は、端子ＣＬＫ，ＲＳＴ，ＳＩＯに与えられる特定シーケンスの信号パターンを検出して、このマイクロコンピュータが試験モードに設定されたことを示すために、試験用回路８に対する試験モード信号ＴＭをアクティブにするものである。
【００１６】
次に動作を説明する。
【００１７】
このようなマイクロコンピュータにおいて製造時に行われる試験動作では、端子ＣＬＫ，ＲＳＴ，ＳＩＯに試験モードを設定するための特定の信号パターンが与えられる。これにより、試験モード検出回路９から出力される試験モード信号ＴＭがアクティブにされ、試験用回路８の試験信号入力端子８ａがＣＰＵ１に接続される。更に、外部の試験装置から試験信号入力端子８ａに試験用の命令を与え、ＣＰＵ１に任意の命令系列を実行させてユーザアプリケーションを正しく実行できるか否か、或いは周辺回路５が正しく動作するか否かを試験する。
【００１８】
一方、通常動作時には、ＣＰＵ１から出力されたアドレスＡＤＲは、セキュリティ回路７によって常に監視され、アクセスが許可された領域内か否かの判別が行われる。実行が許可された領域であれば、ＲＯＭ２，３等のメモリから読み出された命令は、ＣＰＵ１によってそのまま実行される。実行が禁止された領域であれば、セキュリティ回路７から不正アクセク検出信号ＩＬが出力され、ＣＰＵ１によってプログラムの実行の中断や、アクセスの無効化等の処理が行われる。
【００１９】
【発明が解決しようとする課題】
しかしながら、従来のマイクロコンピュータでは、次のような課題があった。
【００２０】
（ａ） 試験用回路８は、外部の試験装置から試験用の命令を与えるための試験信号入力端子８ａを有している。この試験信号入力端子８ａは、外部の入出力ピンには接続されていないが、チップ上に試験用のパッドとして形成されているため、悪意ある第３者によって、そのパッドを介してデータを読み出したり、不正なプログラムをダウンロードする等のセキュリティの侵害が行われる危険性がある。
【００２１】
（ｂ） 不正アクセク検出信号ＩＬの配線パターンが電源のＧＮＤやＶＤＤとショートしていたり、セキュリティ回路７からこの不正アクセク検出信号ＩＬを出力するトランジスタの動作不良で、不正アクセク検出信号ＩＬが正しく出力されていないことを検出することができない。この理由は、次のとおりである。
【００２２】
ＲＯＭ３に格納した試験プログラムに基づいてＣＰＵ１がセキュリティ機能を自己試験し、不良の有無を端子ＣＬＫ，ＲＳＴ，ＳＩＯから出力する必要がある。これには、例えばＲＡＭ４に格納されたユーザアプリケーションによって、例外状態（不正な命令実行を検出した状態）を起こさせてそれが検出できるか、及び適正な動作時に例外状態が発生しないかを、分岐先のプログラムを実行することなく、試験用プログラムの実行の流れや読み出しデータの変化として、ＣＰＵ１で検出しなければならない。ここで、分岐先プログラムを実行することができないのは、ＲＯＭ２にはＯＳが格納されており、どのアドレスにどの命令が格納されているかを特定できないため、もし実行するとその後のＣＰＵ１の動作も特定できず、試験用プログラムへ復帰することができないからである。従って、このような処理を行うことは、図２のマイクロコンピュータの構成では不可能であった。
【００２３】
【課題を解決するための手段】
前記課題を解決するために、本発明は、セキュリティ機能を有するマイクロコンピュータを、通常動作用のプログラムが格納された第１のメモリと、機能試験用のプログラムが格納された第２のメモリと、外部端子から与えられる信号を監視して試験モードが指定されたことを検出する試験モード検出回路と、前記試験モードが指定されていないときには前記第１のメモリにアクセスして前記通常動作用のプログラムを実行し、該試験モードが指定されたときには前記試験モード検出回路から出力される試験モード信号に基づいてセキュリティ試験信号を出力すると共に前記第２のメモリにアクセスして前記機能試験用のプログラムを実行する中央演算処理装置と、前記第１及び第２のメモリに対するアクセスアドレス及びデータを監視し、許可されていない不正なアクセスがあったときに前記中央演算処理装置に対して特定の動作を実行させるメモリ管理ユニットと、特定の命令コードを予め格納するレジスタを有し、前記試験モード時に前記中央演算処理装置から前記セキュリティ試験信号が出力され、かつ特定のメモリ領域がアクセスされたときに、該レジスタに格納された命令コードを該中央演算処理装置に与える試験回路とで構成している。
【００２４】
本発明によれば、以上のようにマイクロコンピュータを構成したので、機能試験において次のような作用が行われる。
【００２５】
外部端子の信号で試験モードが入力されて試験モード検出回路で検出されると、ＣＰＵによって第２のメモリのプログラムが読み出され、機能試験が実行される。機能試験の内で、セキュリティ試験信号が出力され、更に特定のメモリ領域がアクセスされると、試験回路から予め設定された特定の命令がＣＰＵに与えられる。従って、例えば、この特定の命令を不正なアクセスを行うような命令にしておけば、その命令を実行した時点でメモリ管理ユニットからＣＰＵに特定の動作をさせるような制御が行われるはずである。もしも、特定の動作が行われなければ、メモリ管理ユニットが故障していることが判明する。
【００２６】
【発明の実施の形態】
図１は、本発明の実施形態を示すマイクロコンピュータの構成図であり、図２中の要素と共通の要素には共通の符号が付されている。
【００２７】
このマイクロコンピュータは、セキュリティ機能を有するもので、図２と同様のＣＰＵ１、ＲＯＭ２，３、ＲＡＭ４、周辺回路５、バス（またはブリッジ）６、セキュリティ回路７、及び試験モード検出回路９と、図２とは異なる試験用回路１０を備えている。
【００２８】
ＣＰＵ１は、ＲＯＭ２，３等のメモリに格納された命令を逐次実行するものである。ＲＯＭ２は、このマイクロコンピュータの主要な動作を決めるＯＳ等のプログラムを格納した読み出し専用のメモリであり、ＲＯＭ３は、チップの製造試験用のプログラム、セキュリティ用の最小限のライブラリ、ファンクションコール用のサブルーチン等を格納した読み出し専用のメモリである。
【００２９】
ＲＡＭ４は、データを格納したりプログラムを一時的に格納するためのメモリで、電気的に書き換え可能な不揮発性メモリも含まれる。周辺回路５は、暗号処理や外部との通信を行うための回路である。バス６は、ＣＰＵ１とその他のＲＯＭ２，３等との接続部分で、トライステートバスやＯＲバスといったバス接続やブロック間の論理やタイミングを調整するブリッジ回路が用いられる。
【００３０】
セキュリティ回路７は、メモリ管理ユニットとも呼ばれ、ＣＰＵ１が読み出したアドレスや命令を逐次監視し、実行や読み書きが許可されていないプログラム領域やデータ領域へのアクセスがあった場合に、ＣＰＵ１に対して不正アクセク検出信号ＩＬを出力して、適切な処理を行わせるための回路である。
【００３１】
試験モード検出回路９は、端子ＣＬＫ，ＲＳＴ，ＳＩＯから与えられる特定シーケンスの信号パターンによって、ＬＳＩが試験モードに設定されたことを検出し、ＣＰＵ１に対する試験モード信号ＴＭをアクティブにするものである。通常の動作中に誤って試験モードに移行することがないように、端子ＣＬＫ，ＲＳＴ，ＳＩＯには、通常の動作では起こり得ない信号パターンを与えるようにしている。例えば、リセット（ＲＥＳ＝“Ｌ”）期間中に、端子ＣＬＫのクロックに同期して特定の信号パターンを端子ＳＩＯに与え、ＬＳＩのプログラムでその信号パターンを識別して試験状態に移行するような方法が採用されている。
【００３２】
試験用回路１０は、製造試験時にＣＰＵ１に試験用の命令を実行させ、アプリケーション・プログラムを正しく実行できるか否か、周辺回路５が正しく動作するか否か等を試験するための回路である。
【００３３】
この試験用回路１０は、レジスタ１１、セレクタ１２、アドレスデコーダ１３、及びＡＮＤ（論理積ゲート）１４を有している。レジスタ１１は、特定の命令コードを格納するものであり、セレクタ１２は、メモリ２〜４から読み出されてバス６を介して出力された読み出しデータＲＤＴとレジスタ１１に格納された特定の命令を選択してＣＰＵ１に出力するものである。
【００３４】
アドレスデコーダ１３は、バス６から出力されるアドレスＡＤＲを解読して、ＲＯＭ２が選択されたときにその出力信号をアクティブにするものである。ＡＮＤ１４は、ＣＰＵ１から与えられるセキュリティ試験信号ＳＴとアドレスデコーダ１３の出力信号が共にアクティブになったときに、セレクタ１２をレジスタ１１側に切り替えるための切替信号を出力するものである。
【００３５】
図３及び図４は、図１の動作を示すフローチャート（その１、及びその２）である。以下、これらの図３及び図４を参照しつつ、図１の試験時の動作を説明する。
【００３６】
図３には、ＲＡＭ４に格納されたアプリケーション・プログラムから、分岐を禁止したＲＯＭ２上の領域へ分岐した際に、このＲＯＭ２上での命令実行を許可してしまう故障の有無を試験するプログラムの処理手順が示されている。ここでは、アプリケーション・プログラムが格納されたＲＡＭ４のアドレスＡＰＰから、ＯＳが格納されたＲＯＭ２のアドレスＳＹＳへの分岐を許可した場合を想定している。
【００３７】
まず、端子ＣＬＫ，ＲＳＴ，ＳＩＯに、試験モードを設定するための信号パターンを印加する。これにより、試験モード検出回路９から出力される試験モード信号ＴＭがアクティブとなり、ＣＰＵ１によってＲＯＭ３に格納された試験プログラムの実行が開始される。
【００３８】
図３のステップＳ１において、ＣＰＵ１から出力されるセキュリティ試験信号ＳＴをアクティブにする。
【００３９】
ステップＳ２において、ＲＡＭ４のアプリケーション・プログラム内のアドレスＡＰＰに、ＯＳ内のアドレスＳＹＳへの分岐命令の命令コードを書き込む。これにより、ＣＰＵ１がアドレスＡＰＰの命令を実行すると、アプリケーション・プログラムからＯＳへの分岐処理が実現できるようになる。
【００４０】
ステップＳ３において、アプリケーション・プログラム内のアドレスＡＰＰでのプログラムの実行を禁止するように、セキュリティ回路７を設定する。
【００４１】
ステップＳ４において、スタックに試験プログラム中の故障判定ルーチン１の先頭アドレスＪＤＧ１をプッシュする。
【００４２】
ステップＳ５において、アドレスＡＰＰへ分岐する。具体的には、試験プログラムからアドレスＡＰＰへの分岐命令を実行する。これにより、ＣＰＵ１のプログラム・カウンタに値ＡＰＰが転送され、次の命令フェッチはアドレスＡＰＰから行われる。
【００４３】
ステップＳ６において、アドレスＡＰＰにはＯＳ内のアドレスＳＹＳへの分岐命令が格納されているので、ＣＰＵ１は続いてアドレスＳＹＳへの分岐命令を実行する。アドレスＳＹＳの命令フェッチが検出されると、試験用回路１０中のセレクタ１２は、レジスタ１１側に切り替えられる。これにより、レジスタ１１に格納されている特定の命令、例えばサブルーチン復帰命令がＣＰＵ１へ与えられる。ＣＰＵ１は、そのサブルーチン復帰命令をフェッチし、そのフェッチしたサブルーチン復帰命令を実行する。
【００４４】
ステップＳ７では、サブルーチン復帰命令の実行結果による例外状態の発生の有無が判定される。もしも、セキュリティ回路７またはその出力系統に故障があると、例外状態が発生しないのでステップＳ８へ進む。また、セキュリティ回路７が正常に動作していれば、例外状態が発生してステップＳ９へ進む。
【００４５】
ステップＳ８では、セキュリティ回路７の故障のために例外状態が発生しないので、サブルーチン復帰命令が実行され、スタックに格納された故障判定ルーチンＪＤＧ１がポップされてＣＰＵ１の命令実行が移行する。ステップＳ８の後、ステップＳ１０へ進む。
【００４６】
一方、ステップＳ９では、正常な動作として例外条件が発生し、予め定められた例外処理ルーチンへ分岐する。例外処理ルーチンでは、割り込みフラグを立てて例外状態の発生を記憶し、この例外処理ルーチンからの復帰命令を実行する。ステップＳ９の後、ステップＳ１０へ進む。
【００４７】
ステップＳ１０において、スタックには故障判定ルーチン１の先頭アドレスＪＤＧ１が格納されているので、ＣＰＵ１の命令実行は、この故障判定ルーチン１へ分岐する。
【００４８】
ステップＳ１１において、故障判定ルーチン１は、割り込みフラグの状態に応じて、故障の有無の判定結果を端子ＳＩＯを通して外部に出力する。即ち、割り込みフラグが立っていれば故障がない旨の信号を出力し、割り込みフラグが立っていなければ故障がある旨の信号を出力する。これにより、セキュリティ回路７の故障の有無を知ることができる。
【００４９】
図４には、ＲＡＭ４に格納されたアプリケーション・プログラムから、分岐を許可したＲＯＭ２上の領域へ分岐した際に、ＲＯＭ２上での命令実行を禁止してしまう故障の有無を試験するプログラムの処理手順が示されている。ここでは、図３と同様に、アプリケーション・プログラムが格納されたＲＡＭ４のアドレスＡＰＰから、ＯＳが格納されたＲＯＭ２のアドレスＳＹＳへの分岐を許可した場合を想定しており、この図３中のステップと処理内容が同一のステップには、同一の符号が付されている。
【００５０】
図４の処理では、図３中のステップＳ３，Ｓ４，Ｓ７〜Ｓ１１に代えて、それぞれ若干処理内容の異なるステップＳ３Ａ，Ｓ４Ａ，Ｓ７Ａ〜Ｓ１１Ａを有している。
【００５１】
ステップＳ３Ａでは、アプリケーション・プログラム内のアドレスＡＰＰでのプログラムの実行を許可するように、セキュリティ回路７を設定する。
【００５２】
ステップＳ４Ａでは、スタックに試験プログラム中の故障判定ルーチン２の先頭アドレスＪＤＧ２をプッシュする。
【００５３】
ステップＳ７Ａでは、サブルーチン復帰命令の実行結果による例外状態の発生の有無が判定される。セキュリティ回路７が正常に動作していれば、例外状態が発生しないのでステップＳ８Ａへ進む。もしも、セキュリティ回路７またはその出力系統に故障があれば、例外状態が発生してステップＳ９Ａへ進む。
【００５４】
ステップＳ８Ａでは、正常な動作として例外状態が発生しないので、サブルーチン復帰命令が実行され、スタックに格納された故障判定ルーチンＪＤＧ２がポップされてＣＰＵ１の命令実行が移行する。ステップＳ８Ａの後、ステップＳ１０Ａへ進む。
【００５５】
一方、ステップＳ９Ａでは、故障のために例外状態が発生し、予め定められた例外処理ルーチンへ分岐する。例外処理ルーチンでは、割り込みフラグを立てて例外状態の発生を記憶し、この例外処理ルーチンからの復帰命令を実行する。ステップＳ９Ａの後、ステップＳ１０Ａへ進む。
【００５６】
ステップＳ１０Ａにおいて、スタックには故障判定ルーチン２の先頭アドレスＪＤＧ２が格納されているので、ＣＰＵ１の命令実行は、この故障判定ルーチン２へ分岐する。
【００５７】
ステップＳ１１Ａにおいて、故障判定ルーチン２は、割り込みフラグの状態に応じて、故障の有無の判定結果を端子ＳＩＯを通して外部に出力する。即ち、割り込みフラグが立っていれば故障がある旨の信号を出力し、割り込みフラグが立っていなければ故障がない旨の信号を出力する。その他の処理は、図３と同様である。
【００５８】
このように、本実施形態のマイクロコンピュータは、次のような利点がある。
【００５９】
（１） 端子ＣＬＫ，ＲＳＴ，ＳＩＯ，ＶＤＤ，ＧＮＤ以外に、試験のための外部接続用端子や、チップ上の試験用パッドを必要としないので、悪意ある第３者によって、セキュリティの侵害が行われる危険性が少ない。
【００６０】
（２） 故障の有無で分岐先アドレスが異なるように構成しているので、セキュリティ回路７の試験を、不正アクセス検出信号ＩＬが“Ｌ”に固定された場合と、“Ｈ”に固定された場合の２通りの故障モードに対して行うことができる。
【００６１】
（３） （２）の試験において、ＲＯＭ２上にあるＯＳ内部のプログラムを実行することなく、ＲＡＭ４上にあるアプリケーション・プログラムの領域からＲＯＭ２への分岐の許可／禁止の試験ができる。従って、ＯＳの内容を知らなくても試験用のプログラムを作成することができる。
【００６２】
（４） ＣＰＵ１やメモリ２〜４は、従来どおりのものを用いることができるので、この発明を実施するために、既存の回路を変更する工数を最小限に抑えることができる。
【００６３】
なお、本発明は、上記実施形態に限定されず、種々の変形が可能である。
【００６４】
図５（ａ）〜（ｄ）は、図１のマイクロコンピュータの変形例を示す図であり、いずれも上記実施形態と同様の利点を有している。
【００６５】
図５（ａ）のマイクロコンピュータは、バスとＣＰＵの間に試験用回路を設けるのではなく、メモリ（ＲＯＭ）の内部にセキュリティ回路の試験のためのセレクタを設け、通常動作時にはこのメモリから読み出されたデータを出力し、セキュリティ試験が指定されたときにはレジスタに格納された特定の命令を出力するように構成している。
【００６６】
図５（ｂ）のマイクロコンピュータは、ＣＰＵの内部に例外処理回路を設け、セキュリティ試験が指定され、かつ試験対象のメモリが選択されている時に、セキュリティ回路が不正アクセスを検出した場合に、例外状態を発生させるか特殊な動作モードへの移行を行うようにしている。
【００６７】
図５（ｃ）のマイクロコンピュータは、セキュリティ試験が指定され、かつ試験対象のメモリが選択されている時に、このメモリから読み出された命令のビットパターンに対し、“１”にしたいビットをＯＲゲートによって、“０”にしたいビットをＡＮＤゲートによって、置換を実現するものである。この回路では、通常動作時には、メモリから読み出されたデータが、ＡＮＤやＯＲを介してそのままＣＰＵに与えられるようになっている。
【００６８】
図５（ｄ）のマイクロコンピュータは、セキュリティ試験が指定されたときに、メモリに対する制御信号がアクティブになることを禁止すると共に、トライステートバッファを用いて、レジスタからバスに特定の命令コードを出力するように構成している。
【００６９】
【発明の効果】
以上詳細に説明したように、本発明によれば、試験モード時にＣＰＵからセキュリティ試験信号が出力され、かつ特定のメモリ領域がアクセスされたときに、予めレジスタに設定された特定の命令コードをこのＣＰＵに与える試験回路を有している。従って、第２のメモリに機能試験用のプログラムを予め格納しておくことで所定の機能試験が可能になり、試験用のパッドを設ける必要がなくなってセキュリティが向上する。更に、特定の命令として不正なアクセスを起こさせるような命令を設定しておけば、メモリ管理ユニットの動作確認も可能になるという効果がある。
【図面の簡単な説明】
【図１】本発明の実施形態を示すマイクロコンピュータの構成図である。
【図２】従来のマイクロコンピュータの一例を示す構成図である。
【図３】図１の動作を示すフローチャート（その１）である。
【図４】図１の動作を示すフローチャート（その２）である。
【図５】図１のマイクロコンピュータの変形例を示す図である。
【符号の説明】
１ ＣＰＵ
２，３ ＲＯＭ
４ ＲＡＭ
５ 周辺回路
６ バス
７ セキュリティ回路
９ 試験モード検出回路
１０ 試験用回路
１１ レジスタ
１２ セレクタ
１３ アドレスデコーダ
１４ ＡＮＤ
【発明の属する技術分野】
本発明は、ＩＣカードのようにセキュリティ機能を有するマイクロコンピュータ、特にそのセキュリティ機能を試験するための試験回路を備えたマイクロコンピュータに関するものである。
【０００２】
【従来の技術】
【０００３】
【特許文献１】
特開平０６−３２４９７２号公報
【特許文献２】
特開平０８−２７２６９５号公報
【０００４】
一般にＬＳＩ（大規模集積回路）は、シリコンウエハ上に微細な加工をしたりチップをパッケージに組み立てる製造過程において、ある確率で製造欠陥による動作不良品が発生する。従って、製造時に、出来上がったＬＳＩに電源と信号を印加し、期待どおりの動作をするか否かの試験を行って不良品を除去する。このため、可制御性・可観測性を向上させる目的で、ＬＳＩの論理設計時にスキャン機能等の試験回路を予め組み込んでおく試験容易化設計が行われている。
【０００５】
ここで、可制御性とは、ＬＳＩ内部の任意の信号を任意のレベル（“Ｈ”または“Ｌ”）に設定できることであり、可観測性とは、このＬＳＩ内部の任意の信号のレベルを検出できることである。すべての信号のレベルをＬＳＩの外部に出力して直接検出することは不可能なので、スキャン機能では、内部信号のレベルの変化を特定の端子の出力パターンの変化として出力させるような構成が採用されている。
【０００６】
しかし、可制御性・可観測性を高くすることは、内部信号を制御・検出できるということであり、セキュリティに関連するＬＳＩでは、そのセキュリティのレベルを下げることになる。パスワードや秘密鍵のように他人に知られてはならないデータを読み出されてしまうおそれがあるからである。
【０００７】
特に、ＩＣカード用のマイクロコンピュータでは、ＩＳＯ７８１６の規格で、端子形状と信号の電気的特性が規定され、外部接続用の端子は、電源（ＶＤＤ，ＧＮＤ）、クロック（ＣＬＫ）、リセット（ＲＳＴ）、及び半二重通信用の直列データ（ＳＩＯ）の５端子のみに限定されている。このようなマイクロコンピュータは、セキュリティ用途であることと、外部接続用の端子数が少ないことから、試験に関して種々の制約がある。
【０００８】
更に、外部からアプリケーション・プログラムをダウンロードして実行できる高機能なセキュリティ向けのマイクロコンピュータでは、不正なプログラムがダウンロードされてパスワードや秘密鍵のデータを読み書きするような処理から保護するために、アプリケーション・プログラムにおける特定命令の実行や、特定領域へのアクセス及び分岐等を禁止するような高度のセキュリティ機能が必要である。
【０００９】
図２は、上記の機能を備えた従来のマイクロコンピュータの一例を示す構成図である。
【００１０】
このマイクロコンピュータは、ＣＰＵ（中央演算処理装置）１、ＲＯＭ（不揮発性メモリ）２，３、ＲＡＭ（随時読み書き可能メモリ）４、周辺回路５、バス（またはブリッジ）６、セキュリティ回路７、試験用回路８、及び試験モード検出回路９を備えている。
【００１１】
ＣＰＵ１は、ＲＯＭ２，３等のメモリに格納された命令を逐次実行するものである。ＲＯＭ２は、このマイクロコンピュータの主要な動作を決めるＯＳ（オペレーティング・システム）等のプログラムを格納したメモリである。ＲＯＭ３は、チップの製造試験用のプログラム、セキュリティ用の最小限のライブラリ、ファンクションコール用のサブルーチン等を格納したメモリである。
【００１２】
ＲＡＭ４は、データを格納したりプログラムを一時的に格納するためのメモリで、電気的に書き換え可能な不揮発性メモリも含まれる。周辺回路５は、暗号処理や外部との通信を行うための回路である。バス６は、ＣＰＵ１とその他のＲＯＭ２，３等の回路との接続部分で、トライステートバスやＯＲバスといったバス接続やブロック間の論理やタイミングを調整するブリッジ回路が用いられる。
【００１３】
セキュリティ回路７は、ＣＰＵ１が読み出したアドレスや命令を逐次監視し、実行や読み書きが許可されていないプログラム領域やデータ領域へのアクセスがあった場合に、ＣＰＵ１に対して不正アクセク検出信号ＩＬを出力して、適切な処理を行わせるための回路である。
【００１４】
試験用回路８は、チップ上に設けられて外部には接続されていない複数の試験信号入力端子８ａと、試験モード信号ＴＭで切り替え制御されるセレクタ８ｂを有している。試験用回路８は、製造試験時に試験装置のプローブを介して試験信号入力端子８ａからＣＰＵ１に試験用の命令を与え、任意の命令系列を実行させて、アプリケーション・プログラムを正しく実行できるか否か、或いは周辺回路５が正しく動作するか否かを試験する回路である。
【００１５】
試験モード検出回路９は、端子ＣＬＫ，ＲＳＴ，ＳＩＯに与えられる特定シーケンスの信号パターンを検出して、このマイクロコンピュータが試験モードに設定されたことを示すために、試験用回路８に対する試験モード信号ＴＭをアクティブにするものである。
【００１６】
次に動作を説明する。
【００１７】
このようなマイクロコンピュータにおいて製造時に行われる試験動作では、端子ＣＬＫ，ＲＳＴ，ＳＩＯに試験モードを設定するための特定の信号パターンが与えられる。これにより、試験モード検出回路９から出力される試験モード信号ＴＭがアクティブにされ、試験用回路８の試験信号入力端子８ａがＣＰＵ１に接続される。更に、外部の試験装置から試験信号入力端子８ａに試験用の命令を与え、ＣＰＵ１に任意の命令系列を実行させてユーザアプリケーションを正しく実行できるか否か、或いは周辺回路５が正しく動作するか否かを試験する。
【００１８】
一方、通常動作時には、ＣＰＵ１から出力されたアドレスＡＤＲは、セキュリティ回路７によって常に監視され、アクセスが許可された領域内か否かの判別が行われる。実行が許可された領域であれば、ＲＯＭ２，３等のメモリから読み出された命令は、ＣＰＵ１によってそのまま実行される。実行が禁止された領域であれば、セキュリティ回路７から不正アクセク検出信号ＩＬが出力され、ＣＰＵ１によってプログラムの実行の中断や、アクセスの無効化等の処理が行われる。
【００１９】
【発明が解決しようとする課題】
しかしながら、従来のマイクロコンピュータでは、次のような課題があった。
【００２０】
（ａ） 試験用回路８は、外部の試験装置から試験用の命令を与えるための試験信号入力端子８ａを有している。この試験信号入力端子８ａは、外部の入出力ピンには接続されていないが、チップ上に試験用のパッドとして形成されているため、悪意ある第３者によって、そのパッドを介してデータを読み出したり、不正なプログラムをダウンロードする等のセキュリティの侵害が行われる危険性がある。
【００２１】
（ｂ） 不正アクセク検出信号ＩＬの配線パターンが電源のＧＮＤやＶＤＤとショートしていたり、セキュリティ回路７からこの不正アクセク検出信号ＩＬを出力するトランジスタの動作不良で、不正アクセク検出信号ＩＬが正しく出力されていないことを検出することができない。この理由は、次のとおりである。
【００２２】
ＲＯＭ３に格納した試験プログラムに基づいてＣＰＵ１がセキュリティ機能を自己試験し、不良の有無を端子ＣＬＫ，ＲＳＴ，ＳＩＯから出力する必要がある。これには、例えばＲＡＭ４に格納されたユーザアプリケーションによって、例外状態（不正な命令実行を検出した状態）を起こさせてそれが検出できるか、及び適正な動作時に例外状態が発生しないかを、分岐先のプログラムを実行することなく、試験用プログラムの実行の流れや読み出しデータの変化として、ＣＰＵ１で検出しなければならない。ここで、分岐先プログラムを実行することができないのは、ＲＯＭ２にはＯＳが格納されており、どのアドレスにどの命令が格納されているかを特定できないため、もし実行するとその後のＣＰＵ１の動作も特定できず、試験用プログラムへ復帰することができないからである。従って、このような処理を行うことは、図２のマイクロコンピュータの構成では不可能であった。
【００２３】
【課題を解決するための手段】
前記課題を解決するために、本発明は、セキュリティ機能を有するマイクロコンピュータを、通常動作用のプログラムが格納された第１のメモリと、機能試験用のプログラムが格納された第２のメモリと、外部端子から与えられる信号を監視して試験モードが指定されたことを検出する試験モード検出回路と、前記試験モードが指定されていないときには前記第１のメモリにアクセスして前記通常動作用のプログラムを実行し、該試験モードが指定されたときには前記試験モード検出回路から出力される試験モード信号に基づいてセキュリティ試験信号を出力すると共に前記第２のメモリにアクセスして前記機能試験用のプログラムを実行する中央演算処理装置と、前記第１及び第２のメモリに対するアクセスアドレス及びデータを監視し、許可されていない不正なアクセスがあったときに前記中央演算処理装置に対して特定の動作を実行させるメモリ管理ユニットと、特定の命令コードを予め格納するレジスタを有し、前記試験モード時に前記中央演算処理装置から前記セキュリティ試験信号が出力され、かつ特定のメモリ領域がアクセスされたときに、該レジスタに格納された命令コードを該中央演算処理装置に与える試験回路とで構成している。
【００２４】
本発明によれば、以上のようにマイクロコンピュータを構成したので、機能試験において次のような作用が行われる。
【００２５】
外部端子の信号で試験モードが入力されて試験モード検出回路で検出されると、ＣＰＵによって第２のメモリのプログラムが読み出され、機能試験が実行される。機能試験の内で、セキュリティ試験信号が出力され、更に特定のメモリ領域がアクセスされると、試験回路から予め設定された特定の命令がＣＰＵに与えられる。従って、例えば、この特定の命令を不正なアクセスを行うような命令にしておけば、その命令を実行した時点でメモリ管理ユニットからＣＰＵに特定の動作をさせるような制御が行われるはずである。もしも、特定の動作が行われなければ、メモリ管理ユニットが故障していることが判明する。
【００２６】
【発明の実施の形態】
図１は、本発明の実施形態を示すマイクロコンピュータの構成図であり、図２中の要素と共通の要素には共通の符号が付されている。
【００２７】
このマイクロコンピュータは、セキュリティ機能を有するもので、図２と同様のＣＰＵ１、ＲＯＭ２，３、ＲＡＭ４、周辺回路５、バス（またはブリッジ）６、セキュリティ回路７、及び試験モード検出回路９と、図２とは異なる試験用回路１０を備えている。
【００２８】
ＣＰＵ１は、ＲＯＭ２，３等のメモリに格納された命令を逐次実行するものである。ＲＯＭ２は、このマイクロコンピュータの主要な動作を決めるＯＳ等のプログラムを格納した読み出し専用のメモリであり、ＲＯＭ３は、チップの製造試験用のプログラム、セキュリティ用の最小限のライブラリ、ファンクションコール用のサブルーチン等を格納した読み出し専用のメモリである。
【００２９】
ＲＡＭ４は、データを格納したりプログラムを一時的に格納するためのメモリで、電気的に書き換え可能な不揮発性メモリも含まれる。周辺回路５は、暗号処理や外部との通信を行うための回路である。バス６は、ＣＰＵ１とその他のＲＯＭ２，３等との接続部分で、トライステートバスやＯＲバスといったバス接続やブロック間の論理やタイミングを調整するブリッジ回路が用いられる。
【００３０】
セキュリティ回路７は、メモリ管理ユニットとも呼ばれ、ＣＰＵ１が読み出したアドレスや命令を逐次監視し、実行や読み書きが許可されていないプログラム領域やデータ領域へのアクセスがあった場合に、ＣＰＵ１に対して不正アクセク検出信号ＩＬを出力して、適切な処理を行わせるための回路である。
【００３１】
試験モード検出回路９は、端子ＣＬＫ，ＲＳＴ，ＳＩＯから与えられる特定シーケンスの信号パターンによって、ＬＳＩが試験モードに設定されたことを検出し、ＣＰＵ１に対する試験モード信号ＴＭをアクティブにするものである。通常の動作中に誤って試験モードに移行することがないように、端子ＣＬＫ，ＲＳＴ，ＳＩＯには、通常の動作では起こり得ない信号パターンを与えるようにしている。例えば、リセット（ＲＥＳ＝“Ｌ”）期間中に、端子ＣＬＫのクロックに同期して特定の信号パターンを端子ＳＩＯに与え、ＬＳＩのプログラムでその信号パターンを識別して試験状態に移行するような方法が採用されている。
【００３２】
試験用回路１０は、製造試験時にＣＰＵ１に試験用の命令を実行させ、アプリケーション・プログラムを正しく実行できるか否か、周辺回路５が正しく動作するか否か等を試験するための回路である。
【００３３】
この試験用回路１０は、レジスタ１１、セレクタ１２、アドレスデコーダ１３、及びＡＮＤ（論理積ゲート）１４を有している。レジスタ１１は、特定の命令コードを格納するものであり、セレクタ１２は、メモリ２〜４から読み出されてバス６を介して出力された読み出しデータＲＤＴとレジスタ１１に格納された特定の命令を選択してＣＰＵ１に出力するものである。
【００３４】
アドレスデコーダ１３は、バス６から出力されるアドレスＡＤＲを解読して、ＲＯＭ２が選択されたときにその出力信号をアクティブにするものである。ＡＮＤ１４は、ＣＰＵ１から与えられるセキュリティ試験信号ＳＴとアドレスデコーダ１３の出力信号が共にアクティブになったときに、セレクタ１２をレジスタ１１側に切り替えるための切替信号を出力するものである。
【００３５】
図３及び図４は、図１の動作を示すフローチャート（その１、及びその２）である。以下、これらの図３及び図４を参照しつつ、図１の試験時の動作を説明する。
【００３６】
図３には、ＲＡＭ４に格納されたアプリケーション・プログラムから、分岐を禁止したＲＯＭ２上の領域へ分岐した際に、このＲＯＭ２上での命令実行を許可してしまう故障の有無を試験するプログラムの処理手順が示されている。ここでは、アプリケーション・プログラムが格納されたＲＡＭ４のアドレスＡＰＰから、ＯＳが格納されたＲＯＭ２のアドレスＳＹＳへの分岐を許可した場合を想定している。
【００３７】
まず、端子ＣＬＫ，ＲＳＴ，ＳＩＯに、試験モードを設定するための信号パターンを印加する。これにより、試験モード検出回路９から出力される試験モード信号ＴＭがアクティブとなり、ＣＰＵ１によってＲＯＭ３に格納された試験プログラムの実行が開始される。
【００３８】
図３のステップＳ１において、ＣＰＵ１から出力されるセキュリティ試験信号ＳＴをアクティブにする。
【００３９】
ステップＳ２において、ＲＡＭ４のアプリケーション・プログラム内のアドレスＡＰＰに、ＯＳ内のアドレスＳＹＳへの分岐命令の命令コードを書き込む。これにより、ＣＰＵ１がアドレスＡＰＰの命令を実行すると、アプリケーション・プログラムからＯＳへの分岐処理が実現できるようになる。
【００４０】
ステップＳ３において、アプリケーション・プログラム内のアドレスＡＰＰでのプログラムの実行を禁止するように、セキュリティ回路７を設定する。
【００４１】
ステップＳ４において、スタックに試験プログラム中の故障判定ルーチン１の先頭アドレスＪＤＧ１をプッシュする。
【００４２】
ステップＳ５において、アドレスＡＰＰへ分岐する。具体的には、試験プログラムからアドレスＡＰＰへの分岐命令を実行する。これにより、ＣＰＵ１のプログラム・カウンタに値ＡＰＰが転送され、次の命令フェッチはアドレスＡＰＰから行われる。
【００４３】
ステップＳ６において、アドレスＡＰＰにはＯＳ内のアドレスＳＹＳへの分岐命令が格納されているので、ＣＰＵ１は続いてアドレスＳＹＳへの分岐命令を実行する。アドレスＳＹＳの命令フェッチが検出されると、試験用回路１０中のセレクタ１２は、レジスタ１１側に切り替えられる。これにより、レジスタ１１に格納されている特定の命令、例えばサブルーチン復帰命令がＣＰＵ１へ与えられる。ＣＰＵ１は、そのサブルーチン復帰命令をフェッチし、そのフェッチしたサブルーチン復帰命令を実行する。
【００４４】
ステップＳ７では、サブルーチン復帰命令の実行結果による例外状態の発生の有無が判定される。もしも、セキュリティ回路７またはその出力系統に故障があると、例外状態が発生しないのでステップＳ８へ進む。また、セキュリティ回路７が正常に動作していれば、例外状態が発生してステップＳ９へ進む。
【００４５】
ステップＳ８では、セキュリティ回路７の故障のために例外状態が発生しないので、サブルーチン復帰命令が実行され、スタックに格納された故障判定ルーチンＪＤＧ１がポップされてＣＰＵ１の命令実行が移行する。ステップＳ８の後、ステップＳ１０へ進む。
【００４６】
一方、ステップＳ９では、正常な動作として例外条件が発生し、予め定められた例外処理ルーチンへ分岐する。例外処理ルーチンでは、割り込みフラグを立てて例外状態の発生を記憶し、この例外処理ルーチンからの復帰命令を実行する。ステップＳ９の後、ステップＳ１０へ進む。
【００４７】
ステップＳ１０において、スタックには故障判定ルーチン１の先頭アドレスＪＤＧ１が格納されているので、ＣＰＵ１の命令実行は、この故障判定ルーチン１へ分岐する。
【００４８】
ステップＳ１１において、故障判定ルーチン１は、割り込みフラグの状態に応じて、故障の有無の判定結果を端子ＳＩＯを通して外部に出力する。即ち、割り込みフラグが立っていれば故障がない旨の信号を出力し、割り込みフラグが立っていなければ故障がある旨の信号を出力する。これにより、セキュリティ回路７の故障の有無を知ることができる。
【００４９】
図４には、ＲＡＭ４に格納されたアプリケーション・プログラムから、分岐を許可したＲＯＭ２上の領域へ分岐した際に、ＲＯＭ２上での命令実行を禁止してしまう故障の有無を試験するプログラムの処理手順が示されている。ここでは、図３と同様に、アプリケーション・プログラムが格納されたＲＡＭ４のアドレスＡＰＰから、ＯＳが格納されたＲＯＭ２のアドレスＳＹＳへの分岐を許可した場合を想定しており、この図３中のステップと処理内容が同一のステップには、同一の符号が付されている。
【００５０】
図４の処理では、図３中のステップＳ３，Ｓ４，Ｓ７〜Ｓ１１に代えて、それぞれ若干処理内容の異なるステップＳ３Ａ，Ｓ４Ａ，Ｓ７Ａ〜Ｓ１１Ａを有している。
【００５１】
ステップＳ３Ａでは、アプリケーション・プログラム内のアドレスＡＰＰでのプログラムの実行を許可するように、セキュリティ回路７を設定する。
【００５２】
ステップＳ４Ａでは、スタックに試験プログラム中の故障判定ルーチン２の先頭アドレスＪＤＧ２をプッシュする。
【００５３】
ステップＳ７Ａでは、サブルーチン復帰命令の実行結果による例外状態の発生の有無が判定される。セキュリティ回路７が正常に動作していれば、例外状態が発生しないのでステップＳ８Ａへ進む。もしも、セキュリティ回路７またはその出力系統に故障があれば、例外状態が発生してステップＳ９Ａへ進む。
【００５４】
ステップＳ８Ａでは、正常な動作として例外状態が発生しないので、サブルーチン復帰命令が実行され、スタックに格納された故障判定ルーチンＪＤＧ２がポップされてＣＰＵ１の命令実行が移行する。ステップＳ８Ａの後、ステップＳ１０Ａへ進む。
【００５５】
一方、ステップＳ９Ａでは、故障のために例外状態が発生し、予め定められた例外処理ルーチンへ分岐する。例外処理ルーチンでは、割り込みフラグを立てて例外状態の発生を記憶し、この例外処理ルーチンからの復帰命令を実行する。ステップＳ９Ａの後、ステップＳ１０Ａへ進む。
【００５６】
ステップＳ１０Ａにおいて、スタックには故障判定ルーチン２の先頭アドレスＪＤＧ２が格納されているので、ＣＰＵ１の命令実行は、この故障判定ルーチン２へ分岐する。
【００５７】
ステップＳ１１Ａにおいて、故障判定ルーチン２は、割り込みフラグの状態に応じて、故障の有無の判定結果を端子ＳＩＯを通して外部に出力する。即ち、割り込みフラグが立っていれば故障がある旨の信号を出力し、割り込みフラグが立っていなければ故障がない旨の信号を出力する。その他の処理は、図３と同様である。
【００５８】
このように、本実施形態のマイクロコンピュータは、次のような利点がある。
【００５９】
（１） 端子ＣＬＫ，ＲＳＴ，ＳＩＯ，ＶＤＤ，ＧＮＤ以外に、試験のための外部接続用端子や、チップ上の試験用パッドを必要としないので、悪意ある第３者によって、セキュリティの侵害が行われる危険性が少ない。
【００６０】
（２） 故障の有無で分岐先アドレスが異なるように構成しているので、セキュリティ回路７の試験を、不正アクセス検出信号ＩＬが“Ｌ”に固定された場合と、“Ｈ”に固定された場合の２通りの故障モードに対して行うことができる。
【００６１】
（３） （２）の試験において、ＲＯＭ２上にあるＯＳ内部のプログラムを実行することなく、ＲＡＭ４上にあるアプリケーション・プログラムの領域からＲＯＭ２への分岐の許可／禁止の試験ができる。従って、ＯＳの内容を知らなくても試験用のプログラムを作成することができる。
【００６２】
（４） ＣＰＵ１やメモリ２〜４は、従来どおりのものを用いることができるので、この発明を実施するために、既存の回路を変更する工数を最小限に抑えることができる。
【００６３】
なお、本発明は、上記実施形態に限定されず、種々の変形が可能である。
【００６４】
図５（ａ）〜（ｄ）は、図１のマイクロコンピュータの変形例を示す図であり、いずれも上記実施形態と同様の利点を有している。
【００６５】
図５（ａ）のマイクロコンピュータは、バスとＣＰＵの間に試験用回路を設けるのではなく、メモリ（ＲＯＭ）の内部にセキュリティ回路の試験のためのセレクタを設け、通常動作時にはこのメモリから読み出されたデータを出力し、セキュリティ試験が指定されたときにはレジスタに格納された特定の命令を出力するように構成している。
【００６６】
図５（ｂ）のマイクロコンピュータは、ＣＰＵの内部に例外処理回路を設け、セキュリティ試験が指定され、かつ試験対象のメモリが選択されている時に、セキュリティ回路が不正アクセスを検出した場合に、例外状態を発生させるか特殊な動作モードへの移行を行うようにしている。
【００６７】
図５（ｃ）のマイクロコンピュータは、セキュリティ試験が指定され、かつ試験対象のメモリが選択されている時に、このメモリから読み出された命令のビットパターンに対し、“１”にしたいビットをＯＲゲートによって、“０”にしたいビットをＡＮＤゲートによって、置換を実現するものである。この回路では、通常動作時には、メモリから読み出されたデータが、ＡＮＤやＯＲを介してそのままＣＰＵに与えられるようになっている。
【００６８】
図５（ｄ）のマイクロコンピュータは、セキュリティ試験が指定されたときに、メモリに対する制御信号がアクティブになることを禁止すると共に、トライステートバッファを用いて、レジスタからバスに特定の命令コードを出力するように構成している。
【００６９】
【発明の効果】
以上詳細に説明したように、本発明によれば、試験モード時にＣＰＵからセキュリティ試験信号が出力され、かつ特定のメモリ領域がアクセスされたときに、予めレジスタに設定された特定の命令コードをこのＣＰＵに与える試験回路を有している。従って、第２のメモリに機能試験用のプログラムを予め格納しておくことで所定の機能試験が可能になり、試験用のパッドを設ける必要がなくなってセキュリティが向上する。更に、特定の命令として不正なアクセスを起こさせるような命令を設定しておけば、メモリ管理ユニットの動作確認も可能になるという効果がある。
【図面の簡単な説明】
【図１】本発明の実施形態を示すマイクロコンピュータの構成図である。
【図２】従来のマイクロコンピュータの一例を示す構成図である。
【図３】図１の動作を示すフローチャート（その１）である。
【図４】図１の動作を示すフローチャート（その２）である。
【図５】図１のマイクロコンピュータの変形例を示す図である。
【符号の説明】
１ ＣＰＵ
２，３ ＲＯＭ
４ ＲＡＭ
５ 周辺回路
６ バス
７ セキュリティ回路
９ 試験モード検出回路
１０ 試験用回路
１１ レジスタ
１２ セレクタ
１３ アドレスデコーダ
１４ ＡＮＤ
Claims (2)
- 通常動作用のプログラムが格納された第１のメモリと、
機能試験用のプログラムが格納された第２のメモリと、
外部端子から与えられる信号を監視して試験モードが指定されたことを検出する試験モード検出回路と、
前記試験モードが指定されていないときには前記第１のメモリにアクセスして前記通常動作用のプログラムを実行し、該試験モードが指定されたときには前記試験モード検出回路から出力される試験モード信号に基づいてセキュリティ試験信号を出力すると共に前記第２のメモリにアクセスして前記機能試験用のプログラムを実行する中央演算処理装置と、
前記第１及び第２のメモリに対するアクセスアドレス及びデータを監視し、許可されていない不正なアクセスがあったときに前記中央演算処理装置に対して特定の動作を実行させるメモリ管理ユニットと、
特定の命令コードを予め格納するレジスタを有し、前記試験モード時に前記中央演算処理装置から前記セキュリティ試験信号が出力され、かつ特定のメモリ領域がアクセスされたときに、該レジスタに格納された命令コードを該中央演算処理装置に与える試験回路とを、
備えたことを特徴とするマイクロコンピュータ。 - 前記レジスタに格納される特定の命令コードは、サブルーチン復帰命令であることを特徴とする請求項１記載のマイクロコンピュータ。
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002354726A JP4182740B2 (ja) | 2002-12-06 | 2002-12-06 | マイクロコンピュータ |
| US10/688,897 US7415730B2 (en) | 2002-12-06 | 2003-10-21 | Microcomputer and test method therefore |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002354726A JP4182740B2 (ja) | 2002-12-06 | 2002-12-06 | マイクロコンピュータ |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004185536A JP2004185536A (ja) | 2004-07-02 |
| JP4182740B2 true JP4182740B2 (ja) | 2008-11-19 |
Family
ID=32463363
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002354726A Expired - Fee Related JP4182740B2 (ja) | 2002-12-06 | 2002-12-06 | マイクロコンピュータ |
Country Status (2)
| Country | Link |
|---|---|
| US (1) | US7415730B2 (ja) |
| JP (1) | JP4182740B2 (ja) |
Families Citing this family (13)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7475806B1 (en) * | 2005-02-24 | 2009-01-13 | Savr Communications, Inc. | Method and system of universal RFID communication |
| JP4829618B2 (ja) | 2006-01-16 | 2011-12-07 | Ｏｋｉセミコンダクタ株式会社 | マイクロコンピュータ |
| JP2007249323A (ja) * | 2006-03-14 | 2007-09-27 | Matsushita Electric Ind Co Ltd | マイクロコンピュータ |
| US7958396B2 (en) * | 2006-05-19 | 2011-06-07 | Microsoft Corporation | Watchdog processors in multicore systems |
| JP4309949B1 (ja) * | 2008-05-28 | 2009-08-05 | 株式会社東芝 | 半導体集積装置及び半導体集積装置のテスト方法 |
| FR2938671B1 (fr) * | 2008-11-17 | 2011-06-03 | Sagem Defense Securite | Equipement avionique securise et procede de securisation associe |
| JP5473841B2 (ja) | 2010-09-08 | 2014-04-16 | 三菱重工業株式会社 | 中央処理演算装置、及び異常検査方法 |
| JP5664530B2 (ja) * | 2011-11-17 | 2015-02-04 | トヨタ自動車株式会社 | 制御装置およびメモリ保護装置の動作確認方法 |
| JP5963647B2 (ja) * | 2012-01-30 | 2016-08-03 | エスアイアイ・セミコンダクタ株式会社 | 半導体記憶回路を備えた半導体装置 |
| CN103810076B (zh) * | 2012-11-15 | 2017-09-29 | 国家电网公司 | 数据复制的监控方法及装置 |
| CN103744766B (zh) * | 2013-12-30 | 2016-08-24 | 飞天诚信科技股份有限公司 | 一种监控系统的工作方法 |
| CN104657250B (zh) * | 2014-12-16 | 2018-07-06 | 无锡华云数据技术服务有限公司 | 一种对云主机进行性能监控的监控系统及其监控方法 |
| CN107045469B (zh) * | 2017-03-28 | 2018-03-30 | 北京精一强远科技有限公司 | 一种智能语音报警系统和方法 |
Family Cites Families (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US4519032A (en) * | 1982-06-09 | 1985-05-21 | At&T Bell Laboratories | Memory management arrangement for microprocessor systems |
| JPH02224140A (ja) * | 1989-02-27 | 1990-09-06 | Nippon Motoroola Kk | 割込試験装置 |
| JPH0484348A (ja) * | 1990-07-27 | 1992-03-17 | Nec Corp | Ｒｏｍデータ保護方式 |
| US5287519A (en) | 1992-09-17 | 1994-02-15 | International Business Machines Corp. | LAN station personal computer system with controlled data access for normal and unauthorized users and method |
| JPH06236447A (ja) * | 1993-02-09 | 1994-08-23 | Mitsubishi Electric Corp | Ｉｃカード用マイクロコンピュータ |
| JPH08137824A (ja) * | 1994-11-15 | 1996-05-31 | Mitsubishi Semiconductor Software Kk | セルフテスト機能内蔵シングルチップマイコン |
| US5574786A (en) | 1995-02-06 | 1996-11-12 | International Business Machines Corporation | Securing trusted personal computer system against unauthorized movement |
| JP3461234B2 (ja) * | 1996-01-22 | 2003-10-27 | 株式会社東芝 | データ保護回路 |
-
2002
- 2002-12-06 JP JP2002354726A patent/JP4182740B2/ja not_active Expired - Fee Related
-
2003
- 2003-10-21 US US10/688,897 patent/US7415730B2/en not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2004185536A (ja) | 2004-07-02 |
| US20040111655A1 (en) | 2004-06-10 |
| US7415730B2 (en) | 2008-08-19 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7117352B1 (en) | Debug port disable mechanism | |
| US6968420B1 (en) | Use of EEPROM for storage of security objects in secure systems | |
| JP4771550B2 (ja) | 内部レジスタ・インターフェースを通してハードウェア・ハッキングに抵抗する方法及び装置 | |
| JP4182740B2 (ja) | マイクロコンピュータ | |
| JP2006505022A (ja) | 集積回路の機密保護及びその方法 | |
| US20080148343A1 (en) | Debugging security mechanism for soc asic | |
| JP2000122931A (ja) | デジタル集積回路 | |
| US7809934B2 (en) | Security measures for preventing attacks that use test mechanisms | |
| US7228440B1 (en) | Scan and boundary scan disable mechanism on secure device | |
| US10923203B2 (en) | Semiconductor device and method of operating semiconductor device | |
| US7337366B2 (en) | Microcomputer, a method for protecting memory and a method for performing debugging | |
| JP2004117029A (ja) | 半導体集積回路とその試験方法 | |
| CN114814531A (zh) | 一种芯片安全测试电路及逻辑芯片 | |
| US9779242B2 (en) | Programmable secure bios mechanism in a trusted computing system | |
| US9798880B2 (en) | Fuse-enabled secure bios mechanism with override feature | |
| US7254716B1 (en) | Security supervisor governing allowed transactions on a system bus | |
| US9779243B2 (en) | Fuse-enabled secure BIOS mechanism in a trusted computing system | |
| US7254720B1 (en) | Precise exit logic for removal of security overlay of instruction space | |
| EP3316168A1 (en) | Fuse-enabled secure bios mechanism in a trusted computing system | |
| US7340575B2 (en) | Method and a circuit for controlling access to the content of a memory integrated with a microprocessor | |
| US6915247B1 (en) | Computer system | |
| US9767288B2 (en) | JTAG-based secure BIOS mechanism in a trusted computing system | |
| JP3404354B2 (ja) | インサーキットエミュレータ及び不正アクセス検出方法 | |
| JP2002365337A (ja) | テスト回路およびデジタル回路 | |
| EP3316169B1 (en) | Jtag-based secure bios mechanism in a trusted computing system |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20050826 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20070618 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20070904 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20071029 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20080812 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20080825 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110912 Year of fee payment: 3 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 4182740 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110912 Year of fee payment: 3 |
|
| S111 | Request for change of ownership or part of ownership |
Free format text: JAPANESE INTERMEDIATE CODE: R313111 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110912 Year of fee payment: 3 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120912 Year of fee payment: 4 |
|
| S533 | Written request for registration of change of name |
Free format text: JAPANESE INTERMEDIATE CODE: R313533 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120912 Year of fee payment: 4 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130912 Year of fee payment: 5 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| LAPS | Cancellation because of no payment of annual fees |