JP4256859B2 - 半導体記憶装置 - Google Patents

Description

本発明は、セキュリティ機能を搭載した不揮発性半導体記憶装置に関し、より詳細には、不揮発性メモリセルの集合体であるメモリブロックを少なくとも１ブロック備え、メモリブロックの一部または全部のブロックを、パスワードを用いた解除動作なしでは読み出し不能とするパスワード保護機能を有する不揮発性半導体記憶装置に関する。

現在、電子機器に使用されている電源を切っても記憶情報が消失しないフラッシュメモリに代表される不揮発性半導体記憶装置における使用状況が、不揮発性半導体記憶装置を使用する電子機器の種類が増加することにより多様化している。

例えば、携帯電話においては、不揮発性半導体記憶装置の大容量化により、一部の記憶領域にシステムプログラムを格納し、他の記憶領域に、アプリケーションデータや電話帳等のユーザが読み書き可能なデータを格納するという利用形態が増えてきている。また、１つのパッケージ内に複数チップの不揮発性半導体記憶装置を積層して実装する形態においても同様である。

また、デジタルテレビや液晶テレビでは、電子番組表を定期的に自動受信し、更新した番組データを内部の不揮発性半導体記憶装置に記憶している。

通信関係においては、例えば、ファクシミリ機や複写機等の複合化が進み、一旦複写したデータが、通信上のトラブルや不意な電源切断でも消失しないように不揮発性半導体記憶装置に記憶するという利用形態が増えている。また、衛星放送やケーブルテレビ等で映像コンテンツの有料配信サービスが普及してきているが、その制御を行うセットトップボックスにおいても、課金情報や個人情報を記憶し契約者にだけ視聴可能とするシステムに不揮発性半導体記憶装置が利用されている。

このように利用形態の非常に多様化した不揮発性半導体記憶装置の中には、一旦書込まれたデータを外部より読出し、不正に使用することでデータの流出、サービスの不正利用に繋がるケースに対して、セキュリティ機能を搭載した不揮発性半導体記憶装置が開発されている。

セキュリティ機能とは、不揮発性半導体記憶装置に記憶されているデータを悪意のあるユーザまたは第三者に不正に読み出されないための機能である。例えば、記憶装置ベンダ或いは用途先のメーカが、不揮発性半導体記憶装置の記憶領域内に照合用パスワードを保管する領域を個別に設定し、出荷時または出荷後の内部データ書き込み前に照合用パスワードの設定を行う。内部データの読出しを行う前に、外部よりパスワードの入力を行い、その入力されたパスワードが内部に記憶されている照合用パスワードと一致しなければ、記憶データが出力されないか、若しくは、誤ったデータが出力される構成を採っている。このようなセキュリティ機能については、例えば、下記の特許文献１及び特許文献２に開示されているものがある。

特開２００１−５７２９号公報 特開平９−６９０６７号公報

特許文献１に開示されているセキュリティ機能においては、不正な読出しからパスワードを用いてデータを保護する基本機能に対し、当該パスワード自体の不正な読み出しを防止する機能が追加されている。具体的には、特許文献１に開示されているセキュリティ機能では、パスワードを記憶するパスワード領域が予め記憶領域内に設けられてあり、当該パスワード領域へのアクセスが、パスワード入力の代わりに予め設定したトラップアドレスを回避した特殊なアクセスがされた場合にのみ許容されるというものである。かかるトラップアドレスの使用によりシステム側に対して余分な負担が生じることになる。例えば、トラップアドレスを設けてあることで、通常のシリアルなアドレス空間を連続的に読み出す場合にも、トラップアドレスを避けてアクセスする必要が生じ、システム側への負担が増大する。更に、パスワード領域に格納されたパスワード等のデータを保護するために当該データを消去する構成では、パスワード領域へのアクセスが不適切である場合に、不用意にデータが消失する虞もあり、システム側でのアドレス管理が煩雑となる。

特許文献２に開示されているセキュリティ機能においては、不正な読出しからパスワードを用いてデータを保護する基本機能、及び、パスワードの設定と照合に関する開示はあるものの、具体的に、記憶領域のどの部分をどのように保護すべきかについての詳細な開示はない。電子機器による不揮発性半導体記憶装置の利用形態によっては、同じチップ内の記憶領域においても、ＣＰＵが最初にアクセスするブートブロック領域だけは、パスワード保護の対象外としたい場合もあるが、特許文献２に開示されているセキュリティ機能では、かかる選択的な対応が可能なシステムとはなっていない。また、一旦パスワードによる保護状態を解除した後に、例えば電源の切断による強制リセット動作や、コマンド入力等によるハードウェアリセットが発生した場合に、その後のパスワードの有効性をどのように状態保持すべきかについても明確になっていない。例えば、パスワードを一度でも解除すれば、リセット後もパスワード解除状態を保持すべきなのか、それともリセット後はパスワード解除状態もリセットされ、パスワード保護状態にすべきか等についても明確にする必要がある。

本発明は上記の問題点に鑑みてなされたものであり、その目的は、パスワードを用いた解除動作なしでは読み出し不能とするパスワード保護機能を有する不揮発性半導体記憶装置において、リセット動作等の所定動作後のパスワード保護機能を確実にし、自由度の高いパスワード保護機能を実現できる不揮発性半導体記憶装置を提供する点にある。

上記目的を達成するための本発明に係る不揮発性半導体記憶装置は、不揮発性メモリセルの集合体であるメモリブロックを少なくとも１ブロック備え、前記メモリブロックの一部または全部のブロックを、パスワードを用いた解除動作なしでは読み出し不能とするパスワード保護機能を有する不揮発性半導体記憶装置であって、第１状態規定値と第２状態規定値の２つの状態規定値に基づく前記パスワード保護機能の有効無効の状態制御において、前記第１状態規定値と前記第２状態規定値の両方がセット状態にあると前記パスワード保護機能が有効となり、少なくとも前記第２状態規定値がリセット状態にあると前記パスワード保護機能が無効となり、前記不揮発性半導体記憶装置の所定の動作に対して、前記第１状態規定値は従前の状態を維持する性質を、前記第２状態規定値は前記第１状態規定値の状態に追従する性質を、夫々有し、前記パスワードの入力が適正である場合にのみ、前記第２状態規定値をリセット状態とする解除動作が可能であることを特徴とする。

上記特徴の不揮発性半導体記憶装置は、好ましくは、前記所定の動作が、電源立ち上り時、または、リセット信号入力時のリセット動作である。

更に好ましくは、上記特徴の不揮発性半導体記憶装置は、前記第１状態規定値がリセット状態からセット状態に設定されると、前記第２状態規定値が前記第１状態規定値の状態に追従してセット状態になる。

更に好ましくは、上記特徴の不揮発性半導体記憶装置は、前記第１状態規定値を記憶する不揮発性の第１状態規定値記憶回路と、前記第２状態規定値を記憶する揮発性の第２状態規定値記憶回路と、を備える。

更に好ましくは、上記特徴の不揮発性半導体記憶装置は、前記パスワードの照合用パスワードを予め記憶する不揮発性のパスワード記憶回路と、電源立ち上げ後、前記パスワード記憶回路から転送される前記照合用パスワードを記憶する揮発性のパスワードレジスタと、を備える。

上記特徴の不揮発性半導体記憶装置は、前記第１状態規定値と前記第２状態規定値の各状態により規定される状態が、前記第１状態規定値と前記第２状態規定値の両方がセット状態にある前記パスワード保護機能が有効なパスワード保護状態と、前記第１状態規定値がセット状態で、前記第２状態規定値がリセット状態にあるパスワード解除状態と、前記第１状態規定値と前記第２状態規定値の両方がリセット状態にあるノーマル状態の３状態からなり、前記ノーマル状態からは、前記パスワード保護状態へ遷移可能で、前記パスワード保護状態からは、前記パスワード解除状態へ遷移可能で、前記パスワード解除状態からは、前記パスワード保護状態または前記ノーマル状態へ遷移可能である。

更に好ましくは、上記特徴の不揮発性半導体記憶装置は、工場出荷時の初期状態において、前記ノーマル状態に設定されている。

更に好ましくは、上記特徴の不揮発性半導体記憶装置は、前記ノーマル状態において、前記パスワード保護状態に遷移するための所定のパスワード保護有効コマンドの入力を受け付けると、前記第１状態規定値と前記第２状態規定値の両方が、リセット状態からセット状態に設定される。

更に好ましくは、上記特徴の不揮発性半導体記憶装置は、前記ノーマル状態において、前記パスワード保護有効コマンド以外のコマンド入力を受け付けた場合、或いは、電源リセットやリセット信号入力を受け付けた場合には、前記ノーマル状態が維持される。

更に好ましくは、上記特徴の不揮発性半導体記憶装置は、前記パスワード保護状態において、前記パスワード解除状態に遷移するための所定のパスワード解除コマンドの入力を受け付けると、前記第２状態規定値がセット状態からリセット状態にリセットされる。

この場合、前記パスワード解除コマンドは、複数ビットで構成され、その中に前記パスワードが含まれることが好ましい。更に、前記パスワード保護状態において、前記パスワード解除コマンドの入力を受け付け、前記パスワード解除コマンドに含まれる前記パスワードが、予め設定された照合用パスワードと一致した場合に、前記第２状態規定値がセット状態からリセット状態にリセットされ、前記パスワード解除状態に遷移し、予め設定された照合用パスワードと一致しない場合は、前記第２状態規定値がセット状態からリセット状態にリセットされず、前記パスワード保護状態を維持することが好ましい。

更に好ましくは、上記特徴の不揮発性半導体記憶装置は、前記パスワード保護状態において、前記パスワード解除コマンド以外のコマンド入力を受け付けた場合、或いは、電源リセットやリセット信号入力を受け付けた場合には、前記第２状態規定値がセット状態からリセット状態にリセットされず、前記パスワード保護状態を維持する。

更に好ましくは、上記特徴の不揮発性半導体記憶装置は、前記パスワード解除状態において、前記ノーマル状態に遷移するための所定の保護解除コマンドの入力を受け付けると、前記第１状態規定値がリセット状態からセット状態に設定される。

更に好ましくは、上記特徴の不揮発性半導体記憶装置は、前記パスワード解除状態において、電源リセット、または、リセット信号入力を受け付けた場合、前記第２状態規定値がリセット状態からセット状態に設定され、前記パスワード保護状態に遷移する。

更に、本発明に係る不揮発性半導体記憶装置は、上記何れかの特徴に加え、前記メモリブロックに対する書き込み及び消去を前記メモリブロック単位で禁止するためのデータ保護フラグを記憶する不揮発性の第１フラグ記憶回路と、前記メモリブロックに対する書き込み及び消去を前記メモリブロック単位で恒久的に禁止するための恒久データ保護フラグを記憶する不揮発性の第２フラグ記憶回路と、を備え、前記恒久データ保護フラグが設定されている前記メモリブロックは、前記データ保護フラグの状態に関係なく、記憶されたデータが書き込み及び消去から恒久的に保護され読み出し可能であることを第２の特徴とする。

この場合、前記パスワード保護機能が有効な状態において、前記恒久データ保護フラグが設定されている前記メモリブロックに限り、前記メモリブロックからのデータの読出しが可能であることが好ましい。更に、前記恒久データ保護フラグの設定動作は、少なくとも前記第２状態規定値がリセット状態においてのみ実行可能であることが好ましい。更に、ブートブロックに選定された前記メモリブロックの内の１ブロックに対して、前記恒久データ保護フラグが設定されていることが好ましい。

上記特徴の不揮発性半導体記憶装置によれば、第１状態規定値と第２状態規定値の両方がセット状態にあるとパスワード保護機能が有効となり、少なくとも第２状態規定値がリセット状態にあるとパスワード保護機能が無効となり、更に、パスワードの入力が適正である場合にのみ、第２状態規定値をリセット状態とする解除動作が可能であるので、パスワードを用いた解除動作なしでは読み出し不能とするパスワード保護機能が具体的に実現される。また、第１状態規定値と第２状態規定値の２つの状態規定値を用い、第１状態規定値と第２状態規定値の状態（セット状態とリセット状態）に応じて、パスワード保護機能の有効無効の状態制御を行うことができるため、第２状態規定値がリセット状態にあってパスワード保護機能が無効である状態において、第１状態規定値の状態によってその状態を細かく区別することができ、パスワード保護機能の自由度を高めることができる。

更に、不揮発性半導体記憶装置の所定の動作に対して、第１状態規定値は従前の状態を維持する性質を、第２状態規定値は第１状態規定値の状態に追従する性質を、夫々有しているので、当該所定の動作後において、第１状態規定値の当該所定の動作前の状態がセット状態であれば、第１状態規定値と第２状態規定値ともにセット状態に、第１状態規定値の当該所定の動作前の状態がリセット状態であれば、第１状態規定値と第２状態規定値ともにリセット状態となり、当該所定の動作後のパスワード保護機能の有効無効を、第２状態規定値ではなく、つまり、当該所定の動作前に有効であったか否かに関係なく、第１状態規定値の元の状態に応じて決定することができる。

例えば、当該所定の動作が、電源立ち上り時、または、リセット信号入力時のリセット動作である場合では、当該リセット動作前に第１状態規定値がセット状態であれば、パスワード保護機能が無効であっても、当該リセット動作により、パスワード保護機能が有効な状態となり、パスワード保護機能の無効状態が当該リセット動作後も不用意に維持されるのを防止でき、データ保護の万全を図ることができる。更に、第１状態規定値がリセット状態の場合は、当該リセット動作により、第１状態規定値と第２状態規定値がともにリセット状態となることから、当該リセット動作を繰り返してもパスワード保護機能の無効状態は変化することがないため、パスワード保護機能を有しない通常の不揮発性半導体記憶装置と同等に使用することができる。従って、第１状態規定値の状態によって、通常の不揮発性半導体記憶装置として使用するか、パスワード保護機能付き不揮発性半導体記憶装置とし使用するかの選択ができ、パスワード保護機能付き不揮発性半導体記憶装置とし使用する場合に、第２状態規定値の状態によってパスワード保護機能の有効無効を切り替えることが可能となる。

更に、上記第２の特徴の不揮発性半導体記憶装置によれば、恒久データ保護フラグが設定されているメモリブロックは、パスワード保護機能が有効であっても、記憶されたデータが書き込み及び消去から恒久的に保護され読み出し可能であるので、恒久データ保護フラグの設定されたメモリブロックを選択的に、パスワード保護機能から切り離すことができる。これにより、恒久データ保護機能を有する従来の不揮発性半導体記憶装置を使用するシステムに、上記第２の特徴の不揮発性半導体記憶装置を適用した場合、システム側に特段の機能や回路を追加することなく、任意のメモリブロックに対してパスワード保護機能の強制解除が可能となる。特に、不揮発性半導体記憶装置が複数のメモリブロックを有する場合において、特定のメモリブロックに対して恒久データ保護フラグを設定し、当該メモリブロックをＣＰＵのブート時のプログラムロードアクセスに使用するブートブロックに選定することで、当該ブートブロックに対してパスワードの不要なデータ読出しが可能となる。また、当該ブートブロックに対しては、記憶されたデータに対する書き込み及び消去から恒久的に保護されるという本質的な機能も同時に実現できるため、効率の良い回路構成となる。

以下、本発明に係る不揮発性半導体記憶装置（以下、適宜「本発明装置」と称す）の実施形態を図面に基づいて説明する。

図１に、本発明装置２０の概略の構成を示す。図１に示すように、本発明装置２０は、複数のメモリブロック１、複数の第１フラグ記憶回路２、複数の第２フラグ記憶回路３、パスワード記憶回路４、パスワードレジスタ５、モードビット記憶回路６、保護ビット記憶回路７、比較器８、パスワード入力レジスタ９、コマンドインタフェース回路１０、ライトステートマシン１１、パスワード保護機能制御回路１３、及び、マルチプレクサ（ＭＵＸ）１４を備えて構成される。

メモリブロック１は、不揮発性メモリセルを行方向及び列方向に夫々複数マトリクス状に複数配列してなる不揮発性メモリセルの集合体であり、不揮発性メモリセルの一括消去が可能な最小単位となっており、メモリブロック単位で、メモリセル中に記憶されたデータの一括消去が可能である。本実施形態においては、不揮発性メモリセルは、例えば、フラッシュメモリセル等の電気的に書き込み・消去可能で、且つ、メモリブロック単位で一括消去可能な不揮発性メモリセルを想定する。図１に示す本発明装置２０の概略構成では、各メモリブロック１に対する読み出し、書き込み、消去等のメモリ動作に関連するアドレスデコーダ、読み出し回路、書き込み・消去回路等の従来の不揮発性半導体記憶装置が通常備える回路部分の詳細な記載は省略してある。

第１フラグ記憶回路２は、メモリブロック１に対する書き込み及び消去をメモリブロック単位で禁止するためのデータ保護フラグ（一般的なフラッシュメモリでは、「ブロックロックビット」と呼ばれる場合がある）を記憶する不揮発性記憶回路である。第２フラグ記憶回路３は、メモリブロック１に対する書き込み及び消去をメモリブロック単位で恒久的に禁止するための恒久データ保護フラグ（一般的なフラッシュメモリでは、「パーマネントロックビット」と呼ばれる場合がある）を記憶する不揮発性記憶回路３である。メモリブロック単位のデータ保護フラグ及び恒久データ保護フラグは、夫々、少なくとも１ビットの内部データとして処理される。各メモリブロック１のデータ出力はデータバス１Ａを介して、第１フラグ記憶回路２の各データ保護フラグの出力は、第１フラグデータバス２Ａを介して、第２フラグ記憶回路３の各恒久データ保護フラグの出力は、第２フラグデータバス３Ａを介して、夫々、マルチプレクサ（ＭＵＸ）１４に入力される。

尚、本実施形態では、第２フラグ記憶回路３の各恒久データ保護フラグは、対応する第１フラグ記憶回路２の各データ保護フラグがセット状態において、セット状態に設定可能であり、一旦恒久データ保護フラグがセット状態になると、対応する第１フラグ記憶回路２のデータ保護フラグは、書き込み及び消去不可能となり、セット状態のデータ保護フラグが恒久的にセット状態になる。恒久データ保護フラグがリセット状態の対応する第１フラグ記憶回路２のデータ保護フラグは、書き込み及び消去可能であるので、一旦書き込み保護状態に設定されたメモリブロックであっても、当該書き込み保護状態を解除することが可能である。

更に、本発明装置２０は、複数のメモリブロック１の一部または全部のブロックを、パスワードを用いた解除動作なしでは読み出し不能とするパスワード保護機能を有する。パスワード記憶回路４、パスワードレジスタ５、モードビット記憶回路６、保護ビット記憶回路７、比較器８、パスワード入力レジスタ９、及び、パスワード保護機能制御回路１３は、当該パスワード保護機能の実現のために設けられた回路である。

パスワード記憶回路４は、当該パスワードの照合用パスワードを予め記憶するための複数の記憶ビットからなる不揮発性記憶回路である。また、パスワードレジスタ５は、パスワード記憶回路４の記憶内容を電源立上げ時或いは照合用パスワードが設定された直後に読出して記憶しておくための揮発性のレジスタ回路である。

モードビット記憶回路６は、上記パスワード保護機能の有効無効の状態制御に用いる２つの状態規定値の内のモードビットＭ（第１状態規定値に相当）を記憶する不揮発性の記憶回路で、第１状態規定値記憶回路に相当する。また、保護ビット記憶回路７は、上記２つの状態規定値の内の保護ビットＰ（第２状態規定値に相当）を記憶する揮発性の記憶回路で、第２状態規定値記憶回路に相当する。モードビットＭ及び保護ビットＰは、夫々、少なくとも１ビットからなる（本実施形態では１ビットである）。モードビット記憶回路６が不揮発性の記憶回路であるため、そこに記憶されているモードビットＭは、本発明装置２０が電源の立上げによる電源リセットやリセット信号入力等（リセットコマンド入力を含む）によるハードウェアリセットに対して値が変化せず従前の値が保持されるのに対して、保護ビットＰは、保護ビット記憶回路７が揮発性の記憶回路であるため、電源リセットやハードウェアリセットに対して値が変化して従前の値が保持されない。このため、本実施形態では、保護ビット記憶回路７に記憶されている保護ビットＰは、電源リセットやハードウェアリセット後は、モードビット記憶回路６に記憶されているモードビットＭの値に強制的に追従するように設計されている。更に、モードビットＭがリセット状態からセット状態に設定された場合も、保護ビットＰがモードビットＭに追従するように保護ビット記憶回路７の動作が規定されている。尚、モードビット記憶回路６と保護ビット記憶回路７の各出力は、出力信号線６Ａ、７Ａを介して、マルチプレクサ１４とパスワード保護機能制御回路１３に夫々入力される。

本発明装置２０のパスワード保護機能は、図２の状態遷移図に示すように、モードビットＭと保護ビットＰによって規定される状態として、モードビットＭと保護ビットＰの両方がセット状態にあるパスワード保護機能が有効なパスワード保護状態と、モードビットＭがセット状態で、保護ビットＰがリセット状態にあるパスワード解除状態と、モードビットＭと保護ビットＰの両方がリセット状態にあるノーマル状態の３つの保護状態を備える。パスワード解除状態とノーマル状態では、パスワード保護機能は無効であり、メモリブロック１のデータ読み出しが許容される。ノーマル状態からは、パスワード保護状態へ遷移可能で、パスワード保護状態からは、パスワード解除状態へ遷移可能で、パスワード解除状態からは、パスワード保護状態または前記ノーマル状態へ遷移可能となっており、パスワード保護状態からパスワード解除状態へ遷移するには、外部からのパスワード解除コマンドとパスワードに入力が必要となる。ノーマル状態とパスワード解除状態の違いは、保護ビットＰがリセット状態かセット状態であるかの違いであるが、電源リセットやハードウェアリセット後において、ノーマル状態はノーマル状態を維持するが、パスワード解除状態はパスワード保護状態へ遷移する点で異なり、ノーマル状態はパスワード保護状態からの完全な解除状態であるのに対して、パスワード解除状態はパスワード保護状態からの一時的な解除状態となっている。

本発明装置２０は、一般的なフラッシュメモリが採用するコマンドに加えて、パスワード保護機能の各状態遷移を実行するための本発明装置２０に特有のコマンドの入力を受け付けるため、コマンドインタフェース１０が、データ入力端子及びアドレス入力端子を介して入力される各コマンドをデコードしてコマンドの内容を解析する。ここで、本発明装置２０で使用するコマンドの一例を、図３のコマンド一覧表に示す。

本実施形態では、パスワード解除に必要なパスワードの入力は、パスワード解除コマンドの入力時にパスワード解除コマンド内にパスワードを含めて実行する。パスワード解除コマンドの入力時には、コマンドインタフェース１０は、当該コマンドをデコードして、パスワード解除コマンド内に含まれるパスワードを抽出して、パスワード入力信号Ｓ１としてパスワード入力レジスタ９に出力され、パスワード入力レジスタ９に一時的に記憶される。

比較器８は、パスワード入力レジスタ９に入力されたパスワードと、パスワードレジスタ５に記憶されている照合用パスワードを比較照合し、両者の一致または不一致を判定する。比較器８の照合結果は、照合結果信号Ｓ５として、パスワード保護機能制御回路１３に出力される。

また、コマンドインタフェース１０からは、パスワード入力信号Ｓ１の他に、コマンドをデコードして生成される制御信号群Ｓ４、パスワード制御信号Ｓ２、パスワード解除制御信号Ｓ３が、夫々出力される。制御信号群Ｓ４は、消去動作や書き込み動作を制御するために、ライトステートマシン１１に出力される。パスワード制御信号Ｓ２は、パスワード記憶回路４に出力され、パスワード解除制御信号Ｓ３は、パスワード保護機能制御回路１３に出力される。

ライトステートマシン１１は、本発明装置２０の各メモリブロック１の書き込み動作及び消去動作の動作手順を制御するためのステートマシンである。本実施形態では、メモリブロック１以外の各種の不揮発性及び揮発性記憶回路の書き込み動作及び消去動作の制御も実行する。一例として、ライトステートマシン１１は、記憶データバス１２を介してパスワード記憶回路４、パスワード入力レジスタ９等に対し、夫々のデータを出力する。

パスワード保護機能制御回路１３は、モードビット記憶回路６と保護ビット記憶回路７に夫々記憶されているモードビットＭと保護ビットＰに応じた３つの保護状態の状態遷移の制御と、各保護状態に応じたマルチプレクサ１４に対する出力制御を行う。具体的には、パスワード保護機能制御回路１３は、パスワード解除制御信号Ｓ３によって保護ビット記憶回路７のリセット動作を行う。また、パスワード保護機能制御回路１３は、データ選択制御信号Ｓ６により、マルチプレクサ１４に入力されたデータの内の何れを選択して出力するかを、保護状態に応じて決定し、出力すべきデータの選択制御を行う。

以下、本発明装置２０の各部の動作について説明する。先ず、本発明装置２０は、特に何の設定も行わないデフォルト状態、例えば、工場出荷状態では、各メモリブロック１内は全データが消去状態であり、同様に、第１フラグ記憶回路２、第２フラグ記憶回路３、パスワード記憶回路４、及び、モードビット記憶回路６の不揮発性の記憶回路は、全て消去状態となっている。また、揮発性の記憶回路であるパスワードレジスタ５、保護ビット記憶回路７はリセット状態である。従って、モードビットＭと保護ビットＰは何れもリセット状態にあり、保護状態はノーマル状態となっている。

従来の不揮発性メモリにおいては、当該ノーマル状態において、メモリブロック１にデータを書き込み、その書き込んだデータを書き込みや消去等から保護したい場合は、保護対象のメモリブロックの第１フラグ記憶回路２または第２フラグ記憶回路３に記憶されているデータ保護フラグまたは恒久データ保護フラグをセット状態に書き込むことで該当メモリブロックに対する書き込みや消去からの保護を行っていた。

本発明装置２０では、従来の書き込みや消去からの保護に加え、複数のメモリブロック１の一部または全部のブロックを、パスワードを用いた解除動作なしでは読み出し不能とするパスワード保護機能を有する。このパスワード保護機能では、先ず、コマンドによるパスワードの登録が必要となる。本発明装置２０に対して、外部システムからパスワード登録コマンドを発行すると、コマンドインタフェース１０が入力コマンドをデコードし、パスワード登録コマンドが入力されたことを認識する。これにより、コマンドインタフェース１０から、ライトステートマシン１１に対して制御信号群Ｓ４によりパスワード登録を開始するように指示を出す。ライトステートマシン１１は、パスワード登録制御を行うために、記憶データバス１２からパスワード記憶回路４へ、照合用パスワードを書き込む動作を実行する。パスワード記憶回路４へのパスワード登録が完了すると、同時に、パスワードレジスタ５へ自動的に照合用パスワードが転送される。

更に、本発明装置２０をパスワード保護状態にするには、詳細は後述するが、モードビット記憶回路６に対して書き込みを行い、モードビットＭをセット状態にしなければならない。モードビット記憶回路６への書き込みを行うには、外部システムよりパスワード保護有効コマンドをコマンドインタフェース１０に入力する。コマンドインタフェース１０が当該コマンドをデコードして、モードビット記憶回路６への書き込み制御を、制御信号群Ｓ４を通じてライトステートマシン１１に指示する。ライトステートマシン１１は、制御信号群Ｓ４によるモードビット記憶回路６への書き込み動作の開始指示を受けて、記憶データバス１２からモードビット記憶回路６への書き込み動作を実施する。モードビット記憶回路６の書き込みが終了すると、自動的に保護ビット記憶回路７へ、セット状態のモードビットＭがコピーされ、保護ビット記憶回路７の保護ビットＰがセット状態に設定される。モードビット記憶回路６と保護ビット記憶回路７の各出力は、マルチプレクサ１４に入力され、マルチプレクサ１４から外部に読み出すことができる。具体的には、ＲｅａｄＩＤコマンドがコマンドインタフェース１０に入力されると、マルチプレクサ１４が、出力の一部としてモードビットＭと保護ビットＰを選択して出力する。この結果、本発明装置２０の保護状態が、パスワード保護状態、パスワード解除状態、或いは、ノーマル状態の何れであるかを判断できる。

モードビット記憶回路６への書き込み終了後は、モードビットＭと保護ビットＰの両方がセット状態となり、本発明装置２０は、パスワード保護機能が有効なパスワード保護状態に自動的に遷移する。パスワード保護状態では、予め第２フラグ記憶回路３をセット状態にしていない全てのメモリブロック１からの読み出しが不可能となる。つまり、パスワード保護機能制御回路１３からのデータ選択制御信号Ｓ６による出力制御により、マルチプレクサ１４は、データ出力として選択する入力信号を、データバス１Ａ上のメモリブロック１からの出力データでなく、全く別のデータを選択して出力する。

尚、ＲｅａｄＩＤコマンドは、本発明装置２０の内部状態を外部へ読み出すためのコマンドであり、モードビットＭと保護ビットＰ以外に、本発明装置２０のデバイスＩＤ、第１フラグ記憶回路２と第２フラグ記憶回路３の各データ保護フラグと各恒久データ保護フラグの状態を読み出すのにも使用される。従って、第１フラグデータバス２Ａと第２フラグデータバス３Ａが夫々マルチプレクサ１４の入力に接続され、ＲｅａｄＩＤコマンドを本発明装置２０に対し発行することで、マルチプレクサ１４を通じて各データ保護フラグと各恒久データ保護フラグの状態を外部へ出力でき、何れのメモリブロックが一時的な書き込み保護状態或いは恒久的な書き込み保護状態にあるかを外部から認識可能となる。この場合、アドレス入力には、読み出し対象となるデータ保護フラグと恒久データ保護フラグのメモリブロックのアドレスを指定する。

上述のように、モードビット記憶回路６への書き込み後は、第２フラグ記憶回路３の恒久データ保護フラグをセット状態にしていないメモリブロック１については、パスワードを用いてパスワード保護状態を解除しない限り、正しいデータを読み出せない。従って、ユーザは、恒久データ保護フラグがリセット状態のメモリブロック１からデータを読み出すためには、予め登録した照合用パスワードと同じパスワードを、パスワード解除コマンドを使用して本発明装置２０に入力しなければならない。パスワード解除コマンドが実行されると、コマンドインタフェース１０でのデコード処理によりパスワードが抽出される。抽出された入力パスワードは、パスワード入力信号Ｓ１としてパスワード入力レジスタ９へ入力される。引き続き、既にパスワードレジスタ５に記憶されている照合用パスワードと、パスワード入力レジスタ９の入力パスワードが比較器８によって比較照合される。入力パスワードと照合用パスワードが全ビット一致した場合は、比較器８からの照合結果信号Ｓ５により、パスワード保護機能制御回路１３がパスワード保護状態の解除を認識して、マルチプレクサ１４に対して、データバス１Ａの出力データを選択して外部へ出力させる。上記要領で、メモリブロック１のデータの外部への読み出しが可能になる。もし、入力したパスワードが照合用パスワードと一致しなかった場合は、パスワード保護状態は解除されず、本発明装置２０の保護状態はパスワード保護状態を維持し、メモリブロック１のデータの外部への読み出しは依然として禁止される。

次に、本発明装置２０における、ノーマル状態、パスワード保護状態、及び、パスワード解除状態の３つの保護状態間の状態遷移について、図２を参照して詳細に説明する。

３つの保護状態は、上述の通り、パスワード保護機能が有効なパスワード保護状態と、パスワード保護機能が一時的に解除されているパスワード解除状態と、パスワード保護機能が完全に解除されているノーマル状態である。パスワード解除状態は、パスワード保護機能が一時的に解除されているだけで、電源リセットやハードウェアリセット後においてパスワード保護状態に自動復帰するので、準パスワード保護状態と解釈でき、本発明装置２０におけるパスワード保護機能の一部と言える。

ノーマル状態において、モードビットＭはリセット状態となっており、保護ビットＰはモードビットＭと同じくリセット状態である。ノーマル状態では、外部から単に読み出し対象アドレスを入力することで、所望のデータをメモリブロック１から読み出すことができる。例えば、工場出荷時の保護状態がノーマル状態であり、ユーザはこのノーマル状態から本発明装置２０を使用することになる。ノーマル状態において、パスワード保護有効コマンド以外のパスワード解除コマンドやモードビット解除コマンド（保護解除コマンドに相当）等を実行したとしても、保護状態は変化せず、ノーマル状態を維持する。更に、ノーマル状態において、電源リセットやハードウェアリセット動作を行っても、ノーマル状態を維持する。

ノーマル状態において、パスワード記憶回路４に照合用パスワードを書き込み、単に登録しただけでは、本発明装置２０の保護状態に変化はなく、ノーマル状態を維持する。つまり、パスワード記憶回路４に照合用パスワードが登録されているだけでは、本発明装置２０のパスワード保護機能が有効に動作するわけではない。

ノーマル状態において、パスワード記憶回路４に任意の照合用パスワードを書き込むと、パスワード記憶回路４に書き込まれた照合用パスワードは揮発性のパスワードレジスタ５に自動的に転送され記憶される。パスワード記憶回路４からパスワードレジスタ５へのデータ転送動作は、電源リセットやハードウェアリセット動作においても実行され、パスワード記憶回路４の記憶データ（照合用パスワード）はパスワードレジスタ５に反映されている。これは、本発明装置２０が何れの保護状態であっても変わりはない。

ノーマル状態において、本発明装置２０のコマンドインタフェース１０に対してパスワード保護有効コマンドを入力すると、コマンドインタフェース１０が当該コマンドをデコードして、ノーマル状態からパスワード保護状態への状態遷移を認識し、ライトステートマシン１１にモードビット記憶回路６への書き込みを指示し、パスワード保護機能制御回路１３が、モードビット記憶回路６が書き込まれモードビットＭがセット状態に設定され、これに追従して保護ビットＰもセット状態に設定されたことを認識することで、ノーマル状態からパスワード保護状態へ遷移する。この状態遷移は双方向でなく、片方向であるため、パスワード保護状態からノーマル状態へ直接に復帰することはできない。

一旦ノーマル状態からパスワード保護状態に遷移した後は、パスワード解除コマンドにより保護ビットＰをリセット状態にすることで、本発明装置２０はパスワード解除状態に遷移する。ここで、パスワード保護状態からパスワード解除状態へ状態遷移させるパスワード解除動作は、外部からパスワード解除コマンドによって入力され、パスワード入力レジスタ９に記憶された入力パスワードと、予めパスワード記憶回路４に登録された照合用パスワードとを比較器８で比較照合し、入力パスワードが照合用パスワードと全ビット一致した場合にのみ実行される。パスワード解除動作により、パスワード保護機能制御回路１３は、比較器８の全ビット一致を示す照合結果と、コマンドインタフェース１０からのパスワード解除制御信号Ｓ３により、モードビット記憶回路６のモードビットＭはセット状態を維持したまま、保護ビット記憶回路７の保護ビットＰをリセット状態にリセットする。

パスワード解除状態に状態遷移した後は、電源遮断後の電源立上げによる電源リセットや、本発明装置２０のリセット端子からのリセット入力信号またはリセットコマンドの入力によるハードウェアリセット等のリセット動作により、自動的にパスワード保護状態に復帰する。具体的には、不揮発性のモードビット記憶回路６のモードビットＭはリセット動作に拘わらずにセット状態を維持しており、リセット動作により、モードビット記憶回路６のデータ（セット状態のモードビットＭ）を揮発性の保護ビット記憶回路７に転送して、保護ビットＰをモードビットＭに追従させることで、モードビットＭと保護ビットＰの両方がセット状態となり、パスワード保護状態に復帰する。

パスワード保護状態に復帰すると、本発明装置２０のパスワード保護機能が有効になるため、メモリブロック１のデータを外部に読み出すことはできず、再度、パスワード入力を伴うパスワード解除コマンドの入力により、保護状態をパスワード解除状態に遷移させない限り、メモリブロック１のデータを外部に読み出すこと不可能である。

尚、恒久的に書き込み及び消去を禁止させるため、第２フラグ記憶回路３の恒久データ保護フラグがセット状態に設定されたメモリブロック１に対しては、パスワード保護状態にあってもデータの読み出しは許容される。但し、恒久データ保護フラグのセット状態への設定は、パスワード保護状態では禁止されており、パスワード解除状態またはノーマル状態に遷移した後でないと実行不可能である。その理由は、恒久データ保護フラグをセット状態に設定するためのコマンドは、従来から公開されており、そのような状況では、パスワード保護状態において、パスワードを入力してパスワード解除状態にすることのできるユーザ以外の例えば不正な侵入者が、パスワードの入力を伴うパスワード解除状態への遷移を行わなくとも、恒久データ保護フラグをセット状態にできならば、全てのメモリブロック１の恒久データ保護フラグをセット状態に設定して各メモリブロック１のデータを読み出せるようになるからである。

具体的には、以下のような事例が考えられる。先ず、正規のユーザがパスワード保護機能を有効にするため、照合用パスワードを登録し、モードビットＭをセット状態にする。次に、当該ユーザは、システム実装上、ＣＰＵが電源立上時に最初にアクセスする不揮発性半導体記憶装置のメモリ空間に割り当てられているメモリブロックを、データの書き換えから恒久的に保護すべく、当該メモリブロックに対して恒久データ保護フラグをセット状態に設定する。これにより、恒久データ保護フラグの設定されたメモリブロックからのデータ読み出しは、パスワード入力を伴う解除動作を必要とせずに可能になる。恒久データ保護フラグを設定後の不揮発性半導体記憶装置は、その後システムに実装され、市場に出荷される。

一方、ハッカーのような悪意のある第三者が、このシステム上から当該不揮発性半導体記憶装置を外して、各メモリブロックからデータの不正読み出しを行うため、当該不揮発性半導体記憶装置に対して全てのメモリブロックの恒久データ保護フラグのセット状態への設定を行う。これにより、全メモリブロックのパスワード保護機能が解除されてしまい、不正読み出しを許してしまう。

かかる不都合は、恒久データ保護フラグの設定を行うためのコマンドが一般に公開されていることに起因するものであるが、このコマンドの一般公開は必要であるため、上記具体例のような使用方法から不正なデータ読み出し保護を行うためには、恒久データ保護フラグの設定動作にもパスワード入力を必要とすることで、つまり、一旦パスワード解除状態への状態遷移を必要とすることで、上記セキュリティホールの発生を回避できる。

次に、メモリブロックの書き込み・消去からのデータ保護フラグと恒久データ保護フラグを用いたデータ保護の制御につき、図４に示すフローチャートを参照して説明する。図４において、先ず、電源立上げの後（ステップ＃１０）、本発明装置２０の正規のユーザは、通常、システムプログラムを任意のメモリブロック１に書き込む。ここで、システムプログラムが最初にアクセスするメモリブロックを予め、ブートブロックとして定義すれば、当該ブートブロックに対して、システムプログラムを書き込むことになる（ステップ＃１１）。

次に、システムプログラムを書き込んだブートブロックに対して、誤書き込み、誤消去を防止するために書き込み及び消去不可能に設定するか否かを判断する（ステップ＃１２）。ここで、誤書き込み及び誤消去を未然に防止したい場合は（ＹＥＳ）、データ保護フラグをセット状態に設定して、当該ブートブロックへの書き込み及び消去を不可能にする（ステップ＃１３）。以下、適宜、本ステップの処理を「ロック動作」と称す。

ステップ＃１２において、誤書き込みや誤消去に対するリスク回避よりも、書き換えの必要性を重視する場合（ＮＯ）は、ブートブロックに対してロック動作を行わないため、データ保護フラグをセット状態に設定するコマンドを発行する必要はなく、ブートブロックはそのまま書き込み及び消去可能な状態が維持される（ステップ＃１４）。

ステップ＃１３において、データ保護フラグをセット状態に設定した後において、再書き込みの必要が発生した場合は（ステップ＃１５：ＹＥＳ）、先ず、データ保護フラグをリセット状態にリセットするために、データ保護フラグをリセットするデータ保護フラグリセットコマンドを発行する（ステップ＃１６）。データ保護フラグリセットコマンドの入力によって、これまでロック動作を行った全てのメモリブロックのデータ保護フラグがリセットされ、再書き込みを行いたいメモリブロックへの再書き込み（消去及び書き込み）が可能になる。再書き込みする際には、当該メモリブロックに対してブロック消去コマンドを発行し（ステップ＃１７）、その後、ステップ＃１１に戻って書き込みを行う。

ステップ＃１３において、データ保護フラグをセット状態に設定した後において、再書き込みの必要がない場合は（ステップ＃１５：ＮＯ）、当該メモリブロックに対して恒久的にそのデータ保護状態を維持させたいか否かを判断する（ステップ＃１８）。書き込み及び消去からの恒久的なデータ保護を行いたい場合（ＹＥＳ）は、恒久データ保護フラグをセット状態に設定する必要がある。本発明装置では、恒久データ保護フラグを設定することで、対応するメモリブロックのデータは恒久的に書き込み及び消去から保護され、後からパスワード保護機能を有効に設定した場合には、パスワード解除動作を行わずに、データ読み出しが可能になる。

上述のように、不正な第三者によって恒久データ保護フラグが設定されて、セキュリティホールが発生するのを防止するために、本発明装置では、恒久データ保護フラグを設定するには、保護ビットＰがリセット状態である必要があるため、保護ビットＰがリセット状態であるか否かを判定して（ステップ＃１９）、保護ビットＰがリセット状態でない場合は（ＮＯ）、必ずパスワード解除コマンドにより保護ビットＰをリセットしてから（ステップ＃２０）、恒久データ保護フラグの設定を行わなければならない（ステップ＃２１）。ステップ＃１９〜＃２１の手順を踏んで初めて、恒久データ保護フラグの設定が可能となる。

ここで、一旦設定した恒久データ保護フラグやデータ保護フラグの状態をモニタするには、本発明装置内の内部情報（デバイスＩＤ、データ保護フラグ、恒久データ保護フラグ、モードビットＭ、保護ビットＰ等）を読み出すためのＲｅａｄＩＤコマンドを実行する（ステップ＃２２）。出力されるデータは、本発明装置に対してモニタしたいメモリブロックのアドレスを入力すれば、該当メモリブロックのデータ保護フラグと恒久データ保護フラグの状態が夫々出力される。尚、データ保護フラグと恒久データ保護フラグの出力値は、セット状態であれば“１”が、リセット状態であれば“０”が出力される。以上のステップ＃１０〜＃２２がメモリブロックのデータ保護を行うための処理手順である。

本発明装置における恒久データ保護フラグの設定による効果について言及する。パスワード保護機能が有効な場合において、パスワード解除動作は基本的にはハードウェア上で実行させなければならず、その負荷を軽減するために、システム起動直後に最初にＣＰＵがシステムプログラムをロードする際に読み出すメモリブロックは、恒久データ保護フラグを設定しておいて、パスワード解除動作なしで直接読み出せるのが好ましい。

図５に、恒久データ保護フラグとデータ保護フラグの具体的な使用例を示す。図５の使用例によると、工場出荷状態（ステップ＃３０）では、恒久データ保護フラグ及びデータ保護フラグは何れもリセット状態である。多くの場合、工場出荷後に、本発明装置に対して任意のメモリブロックにデータやシステムプログラムが格納されることになる（ステップ＃３１）。ユーザの判断により、各メモリブロックに対して、ブートブロックとして扱うのか、データ領域として頻繁にデータの書き換えを行うのか、それとも、誤書き込みや誤消去からデータを保護したいのかを選択し、その用途に応じてデータ保護フラグや恒久データ保護フラグを設定することになる。

先ず、各メモリブロックに対し、ブートブロックとして扱いたいか否かを判定し（ステップ＃３２）、ブートブロックとして扱いたい場合（ＹＥＳ）は、該当メモリブロックに対して恒久データ保護フラグを設定する（ステップ＃３３）。これにより自動的に恒久的に書き込みや消去からのデータ保護が有効になる。但し、この時点でパスワード保護機能が有効な場合は、図４に示すステップ＃１９〜＃２１の手順に従ってパスワード解除動作を実行する必要がある。

ステップ＃３２において、ブートブロックとして扱わない場合（ＮＯ）は、更に、データの書き換えを頻繁に行うか否かの判定を行い（ステップ＃３４）、特にデータの書き換えを頻繁に行いたい場合は（ＹＥＳ）、恒久データ保護フラグとデータ保護フラグは、何れも設定せずにリセット状態のまま使用する（ステップ＃３５）。ステップ＃３４において、頻繁なデータ書き換えはないものの、万一の書き換えの可能性もあり、データ保護も行いたい場合は（ＮＯ）、データ保護フラグだけをセット状態に設定する（ステップ＃３６）。ステップ＃３６でデータ保護フラグを設定した後に、データを書き換える際には、データ保護フラグを一旦リセットしてから、データの書き換えを行うことになる。

恒久データ保護フラグをセット状態に設定することにより、ＣＰＵが最初にアクセスするメモリブロックに対して、書き込み及び消去に対する恒久的なデータ保護と、パスワード保護状態におけるパスワード解除動作を不要とするデータ読み出しの許容が両立され、ブートブロック領域としては非常に理想的な状態を実現できることになり、同時にユーザに対してそのような使い方を推奨できる。

恒久データ保護フラグを設定しない場合は、データ保護フラグによる書き込み及び消去からのデータ保護状態が維持されるが、第１フラグ記憶回路２に対して消去動作を行うことで全てのデータ保護フラグをリセットして、初期状態に戻すことができる。

以上のように、データ保護フラグと恒久データ保護フラグを使い分けることで、パスワード保護機能を用途により使い分けできることになる。

次に、本発明装置において、ユーザがパスワード保護機能を有効にする際の処理手順と無効にする際の処理手順を、図６に示すフローチャートを参照して説明する。

先ず、電源立上げ後、照合用パスワードの登録を行う（ステップ＃４０）。ステップ＃４０のパスワード登録の具体的な作業手順については、図７を参照して別途説明する。照合用パスワードの登録後、既にメモリブロック内に書き込まれたデータに対する書き込み及び消去からのデータ保護を行うのか、恒久的なデータ保護を行うのか、或いは、データ保護を行わないかを、メモリブロック毎に選択して、メモリブロック毎に各メモリブロックの用途に合った保護を適用するためのコマンドを実行する（ステップ＃４１）。尚、ステップ＃４０のパスワード登録前にメモリブロックへのデータの書き込みが終了していない場合は、当該データの書き込み後に、ステップ＃４１のデータ保護を実行する。また、ステップ＃４１におけるデータ保護の選択及び実行は、図４に示す処理手順のステップ＃１２、＃１３、＃１８、＃２１等と同じ処理であり、ステップ＃４０のパスワード登録前に実行されている場合は、ステップ＃４１は省略可能である。ステップ＃４１では、例えば、システムプログラムを格納するブートブロックに割り当てられるメモリブロックに対して恒久的なデータ保護を実行すべく、当該メモリブロックの恒久データ保護フラグをセット状態に設定するコマンドを実行する。

次に、パスワード保護有効コマンドを使用して、モードビットＭと保護ビットＰの両方をセット状態に設定し（ステップ＃４２）、パスワード保護機能を有効にする。具体的には、パスワード保護有効コマンドの実行により、モードビットＭを記憶する不揮発性のモードビット記憶回路６への書き込み動作が開始し、モードビットＭがリセット状態からセット状態に変化する。更に、モードビット記憶回路６の書き込みが終了すると、自動的に揮発性の保護ビット記憶回路７へ、セット状態のモードビットＭがコピーされ、保護ビット記憶回路７の保護ビットＰがセット状態に設定され、本発明装置２０の保護状態は、パスワード保護状態に遷移する。

保護ビットＰは、モードビットＭがリセット状態からセット状態に変化すると、それに追従してリセット状態からセット状態に変化し、更に、本発明装置２０のリセット動作においてもモードビットＭの状態に追従するため、モードビットＭに対して従属関係にあるが、モードビットＭがセット状態においては、保護ビットＰは独立してリセット状態にリセット可能であり、保護ビットＰの状態によってパスワード保護機能の有効、無効が決定される。

パスワード保護状態では、恒久データ保護フラグがリセット状態のメモリブロックからのデータ読み出しは不可能であるので、データ読み出しの必要がある場合は、パスワード保護状態を解除して、パスワード解除状態に一時的に遷移させる必要がある。そこで、正しいパスワードを含むパスワード解除コマンドをコマンドインタフェース１０に入力して（ステップ＃４３）、パスワード解除動作の実行を指示する。

コマンドインタフェース１０は、入力されたパスワード解除コマンドをデコードしてパスワード解除動作の指示を認識するとともに、パスワード解除コマンドとともに入力されたパスワードを抽出し、ステップ＃４０で登録された照合用パスワードとの比較照合が、比較器８によって実行される（ステップ＃４４）。

ステップ＃４４の照合結果において、入力パスワードが正しければ（ＹＥＳ）、実際にパスワード解除動作が実行され、保護ビットＰがセット状態からリセット状態にリセットされ、本発明装置２０の保護状態はパスワード保護状態からパスワード解除状態に遷移する（ステップ＃４５）。但し、モードビットＭはセット状態に維持されており、パスワード保護機能は一時的に解除されているに過ぎない。パスワード解除状態に遷移すると、恒久データ保護フラグの状態に拘わらず、メモリブロックからのデータ読み出しが可能となる（ステップ＃４６）。

また、ステップ＃４４の照合結果において、入力パスワードが正しくなければ（ＮＯ）、パスワード解除動作は実行されず、保護ビットＰがセット状態を維持し、本発明装置２０の保護状態はパスワード保護状態から変化しない（ステップ＃４７）。従って、恒久データ保護フラグがリセット状態のメモリブロックからのデータ読み出しを行うと、不確定なデータが出力される（ステップ＃４８）。但し、恒久データ保護フラグがセット状態のメモリブロックからのデータ読み出しは可能である。従って、恒久データ保護フラグがセット状態のメモリブロックには、システムプログラムを格納し、パスワード保護によるセキュリティを与えたい個人情報や流出を防ぎたいデータの保存は別のメモリブロックに保存すべきである。

尚、ステップ＃４２においてパスワード保護状態に遷移した後、恒久データ保護フラグがリセット状態のメモリブロックからのデータ読み出しの必要がある場合は、上述の通り、パスワード保護状態を解除する必要があるが、本発明装置２０の保護状態が不明の場合は、ＲｅａｄＩＤコマンドをコマンドインタフェース１０に入力して、保護ビットＰの状態を読み出すことで、保護ビットＰがセット状態であれば、パスワード保護状態であることの確認ができる。

更に、ステップ＃４５のパスワード解除動作によって、本発明装置２０の保護状態がパスワード保護状態からパスワード解除状態に遷移した後、保護状態をノーマル状態に戻す必要があるか否かの判断において（ステップ＃４９）、ノーマル状態に戻す必要がある場合は（ＹＥＳ）、モードビット解除コマンドをコマンドインタフェース１０に入力すると（ステップ＃５０）、本発明装置２０はモードビットＭをセット状態からリセット状態にリセットする動作を実行する（ステップ＃５１）。具体的には、コマンドインタフェース１０が、モードビット解除コマンドをデコードして、モードビットＭのリセット動作を認識し、ライトステートマシン１１に対して、不揮発性のモードビット記憶回路６の消去動作のための制御信号を出力する。ライトステートマシン１１は、消去動作のための制御信号により、モードビット記憶回路６の消去動作を実行することで、モードビットＭがセット状態からリセット状態にリセットされ、保護状態がノーマル状態に遷移する（ステップ＃５２）。

尚、ステップ＃４５においてパスワード解除動作がされずにパスワード保護状態である場合に、モードビット解除コマンドをコマンドインタフェース１０に入力しても、保護ビットＰがセット状態であるため、モードビット解除コマンドは受け付けられず、モードビットＭと保護ビットＰはセット状態のまま変化せず、パスワード保護状態が維持される。

次に、図６のステップ＃４０における照合用パスワードの登録の処理手順について、図７を参照して説明する。尚、照合用パスワードの登録は、メモリブロックへのデータの書き込みの前後何れであっても構わない。尚、以下の説明では、本発明装置２０の保護状態はノーマル状態にある場合を想定する。

先ず、本発明装置２０の電源立上げ（ステップ＃６０）の後、本発明装置２０の保護状態はノーマル状態を維持し、照合用パスワードの登録が可能な状態である。ここで、照合用パスワードの登録を行うか否かの判断を行い（ステップ＃６１）、登録を行う場合（ＹＥＳ）は、パスワード登録コマンドを発行する（ステップ＃６２）。パスワードのビット数が大きい場合は分割して書き込むことになるため、１６ビット以上のパスワードの場合は、必然的にコマンドの入力シーケンスも数回に亘って実行することになる。引き続き、パスワード登録コマンドが実行され、入力された照合用パスワードがパスワード記憶回路４に書き込まれ、更に、揮発性のパスワードレジスタ５に自動的に転送され記憶され（ステップ＃６３）、照合用パスワードの登録が終了する。

尚、ステップ＃６１において、照合用パスワードの登録が必要でない場合（ＮＯ）は、照合用パスワードが未登録の状態で処理を終了する（ステップ＃６４）。この場合は、パスワード記憶回路４は、消去状態のままであるので、パスワードはパスワード記憶回路４の各ビットの消去状態に割り当てられた値（例えば、オール“０”またはオール“１”）がデフォルト値となっている。従って、パスワード登録コマンドによるパスワード登録を行っていない状態であっても、パスワード登録コマンドを発行して、オール“０”またはオール“１”の照合用パスワードを登録したのと等価な状態となっており、一旦、パスワード保護機能を有効にすると、オール“０”またはオール“１”のパスワード入力がない限り、パスワード保護機能を解除することができない点に注意が必要である。また、ステップ＃６２でパスワード登録コマンドを発行して、オール“０”またはオール“１”でない照合用パスワードを正規の手順で登録した場合でも、本発明装置２０の保護状態はノーマル状態のままであり、パスワード保護機能は有効にする処理手順が別途必要である点にも注意が必要である。

尚、図７に示す照合用パスワードの登録手順では、本発明装置２０の保護状態はノーマル状態である場合を説明したが、保護状態がパスワード解除状態の場合は、本発明装置２０に対する電源リセットやハードウェアリセット等のリセット動作を行わずに、直接ステップ＃６１以降の処理を行うことで、照合用パスワードの登録が可能である。また、保護状態がパスワード保護状態の場合は、一旦、パスワード保護状態を解除してパスワード解除状態に移行する必要がある。

次に、ＲｅａｄＩＤコマンドを用いた本発明装置２０の内部状態の読み出しについて説明する。図８は、ＲｅａｄＩＤコマンドを使用する場合の一例を示しており、パスワード解除動作のために外部より入力したパスワードが正常に受け付けられて、パスワード解除動作が実行され、パスワード保護状態からパスワード解除状態へ遷移したか否かを確認するための処理手順を示している。

通常、フラッシュメモリに代表される不揮発性半導体記憶装置には、デバイス固有のデータ（デバイスＩＤ、デバイスコードと称されるＩＤコード）を有しており、ＲｅａｄＩＤコマンドを入力して実行することで、パッケージ後や工場出荷後においても、当該デバイス固有のデータを読み出すことで、デバイスを識別可能にしている。ＲｅａｄＩＤコマンドによるデバイス識別機能を利用して、パスワード入力が正常に受け付けられ、パスワード解除動作が実行されたか否かを確認することができる。つまり、上記ＩＤコードの一部のビット（例えば、下位２ビットのＤＱ０とＤＱ１）に保護ビットＰとモードビットＭの各１ビットの状態値を割り当てておくことにより、ＲｅａｄＩＤコマンドの入力によって読み出されたＩＤコードのＤＱ０とＤＱ１から、保護ビットＰとモードビットＭの状態を判定し、パスワードが正しく入力されたかどうかを認識できる。保護ビットＰがリセット状態であれば、パスワード解除動作が正常に実行されていることになり、パスワード入力が正常に受け付けられていると認識できる。

尚、本実施形態では、パスワード記憶回路４に書き込まれた照合用パスワードを直接外部に読み出す手段は存在しない。これは、悪意のある第三者による不正なパスワード読出しを予め機能的に排除することで、本発明装置２０のセキュリティレベルをより確固たるものにするためである。

以下、図８の処理手順に従って説明する。パスワード解除コマンドを実行後の状態（ステップ＃７０）を処理開始点としている。次に、本発明装置２０の電源立上げによる電源リセットを実行する（ステップ＃７１）。電源リセットが正常に動作すれば、パスワード解除状態からパスワード保護状態に復帰して、保護ビットＰは、セット状態のモードビットＭに追従してリセット状態からセット状態に変化する。これらの処理は、電源リセットによって、パスワード解除コマンドを実行後のパスワード解除状態がパスワード保護状態に復帰することを想定して、その確認動作を行うためのものであり、必ずしも必要な処理手順ではない。

次に、ＲｅａｄＩＤコマンドにより、モードビットＭと保護ビットＰを読み出し（ステップ＃７２）、保護ビットＰが正常にセット状態に設定されているか否かを確認し（ステップ＃７３）、正常にセット状態に設定されていれば（ＹＥＳ）、パスワード解除コマンドを再実行する（ステップ＃７４）。引き続き、ＲｅａｄＩＤコマンドを入力して（ステップ＃７５）、ＩＤコードを読み出して保護ビットＰが正常にリセットされているかを確認する（ステップ＃７６）。保護ビットＰがリセット状態であれば（ＹＥＳ）、パスワード解除状態に遷移していることになり、全てのメモリブロックからのデータの読み出しが可能となる（ステップ＃７７）。

尚、ステップ＃７４のパスワード解除コマンドの再実行において、仮にパスワードの入力が正しくなければ、ステップ＃７６の保護ビットＰの確認において、保護ビットＰがセット状態であるので（ＮＯ）、ステップ＃７４に戻りパスワード解除コマンドを再度実行することになる。

また、ステップ＃７１の電源リセット動作が実行されなかった場合は、ステップ＃７３の保護ビットＰの確認において、保護ビットＰがリセット状態であるので（ＮＯ）、ステップ＃７７のパスワード解除状態に直接移行する場合もある。更に、本発明装置２０の電源リセットによりパスワード解除状態からパスワード保護状態に復帰する機能に不具合が生じている場合も、ステップ＃７３の保護ビットＰの確認においてリセット状態であるので、当該不具合を発見できる。

次に、本発明装置２０を含めたシステム構成例を図９に示す。本発明装置２０を含めたシステムは、少なくとも、本発明装置２０、ＣＰＵ２１、及び、パスワード発行制御装置２２を備えて構成される。ＣＰＵ２１は、システム全体の動作を管理及び制御するものであり、システムの電源立上げ時には、予めシステムプログラムを格納してある本発明装置２０の所定のメモリブロックからシステムプログラムをロードする。当該システムプログラムのロードは、ブートと呼ばれる動作であり、ＣＰＵ２１により最初にアクセスされる本発明装置２０のメモリブロックはブートブロックと呼ばれている。

図９に代表されるシステムでは、本発明装置２０のパスワード保護機能が有効に設定されているため、ＣＰＵ２１が、通常通りにアクセスしただけでは、本発明装置２０から正しいデータが読み出せずにシステムが正常に動作しない。ＣＰＵ２１は、ボード搭載時に予め本発明装置２０に登録された照合用パスワードと同じパスワードを入力してパスワード保護機能を解除しなければならないが、パスワードに関する情報をわざわざ本発明装置２０のブートブロックに書き込んでいたのでは、全くパスワード保護の意味が無い。そこで、別の制御回路であるパスワード発行制御装置２２に当該動作を担当させるシステムを構築すれば、仮にパスワードを解読しようにも、本発明装置２０のみに焦点を絞っただけでは解読は全く不可能な状態になる。具体的な実施例としては、パスワード発行制御装置２２は、３２ビット以上のパスワードデータを格納できる不揮発性記憶回路を備え、ＣＰＵ２１からのパスワード解除コマンドが実行されると、本発明装置２０に対して、予め定められたタイミングに同期して登録されたパスワードを順次出力していく。これにより、事実上本発明装置２０はＣＰＵ２１からパスワードを入力されたことになり、本発明装置２０は、パスワード発行制御装置２２から入力されたパスワードと、本発明装置２０のパスワードレジスタ５に記憶された照合用パスワードを比較照合し、両者が一致した場合にのみ、保護ビットＰのリセット処理を内部的に実行する。この結果、ＣＰＵ２１は本発明装置２０の任意のメモリブロックより、期待されるデータを読み出すことができる。

次に、本発明装置の別実施形態について説明する。

上記実施形態において、本発明装置２０は、メモリブロック毎に、書き込まれたデータを書き込み及び消去から保護するためのデータ保護フラグ及び恒久データ保護フラグを各別に記憶する不揮発性の第１フラグ記憶回路２と第２フラグ記憶回路３を備える構成であったが、本発明装置２０は、必ずしも当該書き込み及び消去に対するデータ保護機能を備えて無くても構わない。また、複数のメモリブロックの一部が当該データ保護機能を備えていても構わない。

上記実施形態において、複数のメモリブロックは、全てパスワード保護機能によるデータ読み出しに対する保護が可能な構成であったが、ブートブロックとして使用予定の一部のメモリブロックを予めパスワード保護機能の対象外としても構わない。

更に、上記実施形態では、メモリブロックが複数の場合を想定して説明したが、単一のメモリブロック構成の場合においても、本発明装置のパスワード保護機能は適用可能である。

本発明に係る不揮発性半導体記憶装置は、フラッシュメモリ等の不揮発性半導体記憶装置において利用可能であり、特に、書き込まれたデータの不正な読み出しに対するセキュリティ対策に有用である。

本発明に係る不揮発性半導体記憶装置の一実施形態における概略構成を模式的に示すブロック図 本発明に係る不揮発性半導体記憶装置のパスワード保護機能に関連する３つの保護状態間の状態遷移図 本発明に係る不揮発性半導体記憶装置の一実施形態において使用するコマンドの一例を示すコマンド一覧表 本発明に係る不揮発性半導体記憶装置の一実施形態における書き込み・消去からのデータ保護の制御動作を示すフローチャート 本発明に係る不揮発性半導体記憶装置の一実施形態における恒久データ保護フラグとデータ保護フラグの具体的な使用例を示すフローチャート 本発明に係る不揮発性半導体記憶装置の一実施形態におけるパスワード保護機能を有効または無効とするための処理手順を示すフローチャート 本発明に係る不揮発性半導体記憶装置の一実施形態におけるパスワード保護機能に用いる照合用パスワードの登録の処理手順を示すフローチャート 本発明に係る不揮発性半導体記憶装置の一実施形態におけるＲｅａｄＩＤコマンドを用いたパスワード解除動作の確認処理手順を示すフローチャート 本発明に係る不揮発性半導体記憶装置を使用したシステム構成例を示すブロック図

符号の説明

１： メモリブロック
１Ａ： メモリブロックのデータバス
２： 第１フラグ記憶回路
２Ａ： 第１フラグデータバス
３： 第２フラグ記憶回路
３Ａ： 第２フラグデータバス
４： 不揮発性のパスワード記憶回路
５： 揮発性のパスワードレジスタ
６： 不揮発性のモードビット記憶回路（第１状態規定値記憶回路）
６Ａ： モードビット記憶回路の出力信号線
７： 揮発性の保護ビット記憶回路（第２状態規定値記憶回路）
７Ａ： 保護ビット記憶回路の出力信号線
８： 比較器
９： パスワード入力レジスタ
１０： コマンドインタフェース
１１： ライトステートマシン
１２： 記憶データバス
１３： パスワード保護機能制御回路
１４： マルチプレクサ（ＭＵＸ）
２０： 本発明に係る不揮発性半導体記憶装置
２１： ＣＰＵ
２２： パスワード発行制御装置
Ｍ： モードビット
Ｐ： 保護ビット
Ｓ１： パスワード入力信号
Ｓ２： パスワード制御信号
Ｓ３： パスワード解除制御信号
Ｓ４： コマンドインタフェースからの制御信号群
Ｓ５： 照合結果信号
Ｓ６： データ選択制御信号

Claims (20)

1. 不揮発性メモリセルの集合体であるメモリブロックを少なくとも１ブロック備え、前記メモリブロックの一部または全部のブロックを、パスワードを用いた解除動作なしでは読み出し不能とするパスワード保護機能を有する不揮発性半導体記憶装置であって、
   第１状態規定値と第２状態規定値の２つの状態規定値に基づく前記パスワード保護機能の有効無効の状態制御において、前記第１状態規定値と前記第２状態規定値の両方がセット状態にあると前記パスワード保護機能が有効となり、少なくとも前記第２状態規定値がリセット状態にあると前記パスワード保護機能が無効となり、
   前記不揮発性半導体記憶装置の所定の動作に対して、前記第１状態規定値は従前の状態を維持する性質を、前記第２状態規定値は前記第１状態規定値の状態に追従する性質を、夫々有し、
   前記パスワードの入力が適正である場合にのみ、前記第２状態規定値をリセット状態とする解除動作が可能であることを特徴とする不揮発性半導体記憶装置。
2. 前記所定の動作が、電源立ち上り時、または、リセット信号入力時のリセット動作であることを特徴とする請求項１に記載の不揮発性半導体記憶装置。
3. 前記第１状態規定値がリセット状態からセット状態に設定されると、前記第２状態規定値が前記第１状態規定値の状態に追従してセット状態になることを特徴とする請求項１または２に記載の不揮発性半導体記憶装置。
4. 前記第１状態規定値を記憶する不揮発性の第１状態規定値記憶回路と、
   前記第２状態規定値を記憶する揮発性の第２状態規定値記憶回路と、
   を備えることを特徴とする請求項１〜３の何れか１項に記載の不揮発性半導体記憶装置。
5. 前記パスワードの照合用パスワードを予め記憶する不揮発性のパスワード記憶回路と、
   電源立ち上げ後、前記パスワード記憶回路から転送される前記照合用パスワードを記憶する揮発性のパスワードレジスタと、
   を備えることを特徴とする請求項１〜４の何れか１項に記載の不揮発性半導体記憶装置。
6. 前記第１状態規定値と前記第２状態規定値の各状態により規定される状態が、
   前記第１状態規定値と前記第２状態規定値の両方がセット状態にある前記パスワード保護機能が有効なパスワード保護状態と、
   前記第１状態規定値がセット状態で、前記第２状態規定値がリセット状態にあるパスワード解除状態と、
   前記第１状態規定値と前記第２状態規定値の両方がリセット状態にあるノーマル状態の３状態からなり、
   前記ノーマル状態からは、前記パスワード保護状態へ遷移可能で、
   前記パスワード保護状態からは、前記パスワード解除状態へ遷移可能で、
   前記パスワード解除状態からは、前記パスワード保護状態または前記ノーマル状態へ遷移可能であることを特徴とする請求項１〜５の何れか１項に記載の不揮発性半導体記憶装置。
7. 工場出荷時の初期状態において、前記ノーマル状態に設定されていることを特徴とする請求項６に記載の不揮発性半導体記憶装置。
8. 前記ノーマル状態において、前記パスワード保護状態に遷移するための所定のパスワード保護有効コマンドの入力を受け付けると、前記第１状態規定値と前記第２状態規定値の両方が、リセット状態からセット状態に設定されることを特徴とする請求項６または７に記載の不揮発性半導体記憶装置。
9. 前記ノーマル状態において、前記パスワード保護有効コマンド以外のコマンド入力を受け付けた場合、或いは、電源リセットやリセット信号入力を受け付けた場合には、前記ノーマル状態が維持されることを特徴とする請求項６〜８の何れか１項に記載の不揮発性半導体記憶装置。
10. 前記パスワード保護状態において、前記パスワード解除状態に遷移するための所定のパスワード解除コマンドの入力を受け付けると、前記第２状態規定値がセット状態からリセット状態にリセットされることを特徴とする請求項６〜９の何れか１項に記載の不揮発性半導体記憶装置。
11. 前記パスワード解除コマンドは、複数ビットで構成され、その中に前記パスワードが含まれることを特徴とする請求項１０に記載の不揮発性半導体記憶装置。
12. 前記パスワード保護状態において、前記パスワード解除コマンドの入力を受け付け、前記パスワード解除コマンドに含まれる前記パスワードが、予め設定された照合用パスワードと一致した場合に、前記第２状態規定値がセット状態からリセット状態にリセットされ、前記パスワード解除状態に遷移することを特徴とする請求項１１に記載の不揮発性半導体記憶装置。
13. 前記パスワード保護状態において、前記パスワード解除コマンドの入力を受け付け、前記パスワード解除コマンドに含まれる前記パスワードが、予め設定された照合用パスワードと一致しない場合は、前記第２状態規定値がセット状態からリセット状態にリセットされず、前記パスワード保護状態を維持することを特徴とする請求項１２に記載の不揮発性半導体記憶装置。
14. 前記パスワード保護状態において、前記パスワード解除コマンド以外のコマンド入力を受け付けた場合、或いは、電源リセットやリセット信号入力を受け付けた場合には、前記第２状態規定値がセット状態からリセット状態にリセットされず、前記パスワード保護状態を維持することを特徴とする請求項１０〜１３の何れか１項に記載の不揮発性半導体記憶装置。
15. 前記パスワード解除状態において、前記ノーマル状態に遷移するための所定の保護解除コマンドの入力を受け付けると、前記第１状態規定値がリセット状態からセット状態に設定されることを特徴とする請求項６〜１４の何れか１項に記載の不揮発性半導体記憶装置。
16. 前記パスワード解除状態において、電源リセット、または、リセット信号入力を受け付けた場合、前記第２状態規定値がリセット状態からセット状態に設定され、前記パスワード保護状態に遷移することを特徴とする請求項６〜１５の何れか１項に記載の不揮発性半導体記憶装置。
17. 前記メモリブロックに対する書き込み及び消去を前記メモリブロック単位で禁止するためのデータ保護フラグを記憶する不揮発性の第１フラグ記憶回路と、
    前記メモリブロックに対する書き込み及び消去を前記メモリブロック単位で恒久的に禁止するための恒久データ保護フラグを記憶する不揮発性の第２フラグ記憶回路と、を備え、
    前記恒久データ保護フラグが設定されている前記メモリブロックは、前記データ保護フラグの状態に関係なく、記憶されたデータが書き込み及び消去から恒久的に保護され読み出し可能であることを特徴とする請求項１〜１６の何れか１項に記載の不揮発性半導体記憶装置。
18. 前記パスワード保護機能が有効な状態において、前記恒久データ保護フラグが設定されている前記メモリブロックに限り、前記メモリブロックからのデータの読出しが可能であることを特徴とする請求項１７に記載の不揮発性半導体記憶装置。
19. 前記恒久データ保護フラグの設定動作は、少なくとも前記第２状態規定値がリセット状態においてのみ実行可能であることを特徴とする請求項１８に記載の不揮発性半導体記憶装置。
20. ブートブロックに選定された前記メモリブロックの内の１ブロックに対して、前記恒久データ保護フラグが設定されていることを特徴とする請求項１８または１９に記載の不揮発性半導体記憶装置。