JP4394413B2 - 情報記憶装置及び情報処理システム - Google Patents

Description

本発明は、データ記憶装置として何らかの不揮発性記憶媒体を具備した情報記憶装置、及び、システムを構成する記憶装置として該情報記憶装置を用いた情報処理システムに関する。

近年、磁気記憶装置、光記憶装置に加えて、ＥＥＰＲＯＭ、フラッシュメモリなどの、半導体記憶素子を用いた不揮発性の半導体記憶装置が一般的になってきている。そのような半導体記憶装置の応用例として、有価値情報を秘密裏に保管するセキュリティ性能の高い記憶媒体であるＩＣカードが実用化されているが、近年、通信Ｉ／Ｆとして無線を利用した非接触型ＩＣカードが、その取り扱い上の利便性から適用先を広げている。更に、ＩＣカード程のセキュリティ性能を必要としない、ＲＦＩＤ、又はＩＣタグ等と称される、無線通信Ｉ／Ｆを利用した記憶媒体も一般化しつつある。

ＥＥＰＲＯＭ、フラッシュメモリなどの記憶装置は、記憶内容の更新作業に伴い記憶素子が劣化するために更新回数の制限があり、記憶装置としての利用寿命が規定されるという制限がある。この寿命を延長するための技術は多数提案されており、更には寿命に達した時の不具合を避けるための技術のひとつとして、特許文献１に開示されるフラッシュメモリを使用した記憶装置がある。該従来技術に係るフラッシュファイルシステムは、該フラッシュファイルシステムに具備するフラッシュメモリ素子の劣化を判断する機能と、該フラッシュファイルシステムと通信を行なうホストシステムに対し、メモリ素子の劣化によるエラー報告を行なう機能を具備している。又、該従来技術に係るホストシステムは、該フラッシュファイルシステムの発するエラー報告に応じて、該エラーの発生を該ホストシステムのユーザに通知する機能を具備している。上記構成により、フラッシュファイルシステムのユーザは該フラッシュファイルシステム上でのメモリ素子の劣化によるエラー発生を知ることが可能となる。

特開平６−１２４５９６号公報

前述した従来のフラッシュファイルシステムによれば、フラッシュファイルシステムのユーザは該フラッシュファイルシステム上でのメモリ素子の劣化によるエラー発生を知ることが可能である。しかし、該従来技術は、一般的な情報記憶装置のデータエラー防止には効果があるが、例えばＩＣカードなどで実現されている、ホストシステムと記憶装置間での相互機器認証や通信経路上でのデータ暗号化といった、セキュリティ機能を具備する情報記憶装置においての、システム全体への脅威となるデータエラーの防止、機能の劣化した情報記憶装置の排除などについては十分開示していない。

そこで、本発明の課題は、情報記憶装置の具備する不揮発性記憶素子の劣化をシステムセキュリティ上の脅威と見做し、寿命を迎えた不揮発性記憶素子を具備する情報記憶装置をシステムから排除し、システムのセキュリティ性能を確保することを可能とする情報記憶装置、及び、システムを構成する記憶装置として該情報記憶装置を用いた情報処理システムを提供することにある。

上記課題を解決するために、本発明は、
利用寿命のあるメモリ素子を用いた不揮発性の記憶装置であって、
記憶装置の領域の更新回数を計数して寿命を判定し、寿命時に自らの機能を無効化することを特徴とする記憶装置を提供している。

以上説明したように、本発明によれば、本実施形態に掛かる情報処理システムを構成する情報記憶装置の寿命時にセキュリティ機能の低下を生じさせない情報記憶装置、及び、セキュリティ機能の低下した情報記憶媒体をシステムから排除すると共に、有効なユーザデータを新しい情報記憶装置に安全に移管することが可能な情報処理システムの提供が可能である。

本発明の実施の形態について図面を参照して説明する。

＜第1の実施形態＞
本発明の第1の実施形態について、図１から図７、及び図９から図１２を用いて説明する。まず、図１を用いて、本実施形態に係る情報処理システム、及び該情報システムを構成する情報処理装置、情報記憶装置の概略構成を説明する。

図１は、本実施形態に係る情報処理システムの概略構成図である。

図中、１０１は例えば、ＰＣ、携帯端末、携帯電話など、何らかのデータを処理する演算器を具備する情報処理装置である（以下、ホストとする）。
１０２は例えば、ＥＥＰＲＯＭ、フラッシュメモリなどのメモリ素子の劣化による寿命がある不揮発性メモリで構成される情報記憶領域を少なくとも具備する情報記憶装置である（以下、記憶装置とする）。

１０３は記憶装置１０２によって具備される、例えば、ＥＥＰＲＯＭ、フラッシュメモリなどのメモリ素子の劣化による寿命がある不揮発性メモリである。

１０４はホスト１０１、記憶装置１０２間の通信経路である。

１０５は記憶装置１０２によって具備される、記憶装置１０２がホスト１０１と交信するためのインタフェース装置である（以下、Ｉ／Ｆとする）。Ｉ／Ｆ１０５の種類は任意であり、例えば、有線のバス結線によってホスト１０１からのアドレス指定と制御信号のイネーブル／ディセーブルによって、データをやりとりする方式をとっても良いし、無線のシリアル結線によってホスト１０１の出力するコマンド要求に対し、記憶装置１０２がレスポンス応答を返す方式をとってもよい。

１０６は記憶装置１０２によって具備される、不揮発性メモリ１０３上のある領域の値を読み出し、該値に対し、例えば、１を加算するなどの定められた演算を施し、得られた値を、不揮発性メモリ１０３上の元の領域に書き込むための、加算機能である。

１０７は記憶装置１０２によって具備される、不揮発性メモリ１０３上のある領域の値を読み出し、該値と他の値との間で、例えば大小判定、一致判定などの定められた演算を施し、得られた結果によって、定められた他の機能の分岐判定を行なう、比較機能である。

１０８は記憶装置１０２によって具備される、不揮発性メモリ１０３上に保持される暗号鍵を用いて、別途入力するデータに対して暗号化／復号化処理を施す暗号機能である。暗号化機能が用いる暗号アルゴリズムは任意である。

１０９は不揮発性メモリ１０３上のあらかじめ定められた領域に保持され、ホスト１０１との交信により必要に応じて、その値が更新されるパスワード情報である。パスワード１０９はホスト１０１と記憶装置１０２との間で、あるデータのやり取り、例えば記憶装置１０２からのデータの読み出しを行なう際に、不正なアクセスを防止する目的で用いる情報である。又、必要に応じて不揮発性メモリ１０３上に複数のパスワード１０９を保管してよい。

１１０は不揮発性メモリ１０３上のあらかじめ定められた領域に保持され、ホスト１０１との交信により必要に応じて、その値が更新される乱数値である。乱数値１１０はホスト１０１と記憶装置１０２との間で、あるデータのやり取り、例えば記憶装置１０２によるホスト１０１のチャレンジ＆レスポンス方式による機器認証を実施する際に用いるチャレンジ値として用いる。乱数生成方式としては、例えば暗号機能１０８をＯＦＢ(Output Feedback )モードで用いる擬似乱数生成、図１には示していないが、ハッシュ関数機能を用いた擬似乱数生成などを用いてもよい。不揮発性メモリ１０３上の乱数値１１０の保持領域は乱数の生成が必要となる度毎に更新される。又、必要に応じて不揮発性メモリ１０３上に複数の乱数値１１０を保管してよい。暗号機能１０８をＯＦＢモードで用いる擬似乱数生成方式としては、最初に記憶装置１０２にランダムに値を与え、該値をＩＶ（イニシャルベクタ）として用いる。暗号機能１０８を用いて、定められた暗号鍵でＩＶを暗号化し得られた暗号文を乱数値として用いると共に、該暗号文を乱数値１１０として不揮発性メモリ１０３上に保管する。次に乱数が必要になった際に、乱数値１１０を暗号機能１０８を用いて、定められた暗号鍵で暗号化し、同様に用いていく。

１１１は不揮発性メモリ１０３上のあらかじめ定められた領域に保持され、暗号機能１０８によって読み出されて使用される暗号鍵である。公開鍵暗号アルゴリズムを用いるのであれば、記憶装置１０２の秘密鍵、及び公開鍵を暗号鍵１１１として、不揮発性メモリ１０３上で秘密裏に保持する。共通鍵暗号アルゴリズムを用いるのであれば、ホスト１０１と共有する鍵を不揮発性メモリ１０３上で秘密裏に保持する。暗号鍵の共有方式は任意であり、その方式は問わない。又、必要に応じて不揮発性メモリ１０３上に複数の暗号鍵１１１を保管してよい。

１１２は不揮発性メモリ１０３上のあらかじめ定められた領域に保持され、ホスト１０１との交信により必要に応じて、その値が更新されるカウント値である。カウント値１１２は不揮発性メモリ１０３上の特定の領域のデータ更新が生じる度毎に、例えば１を加算するなど、更新される。これによりカウント値１１２の示す数値は、不揮発性メモリ１０３上の特定の領域の更新回数を示すことになる。不揮発性メモリ１０３上の、更新回数を追跡する特定の領域の数に応じて不揮発性メモリ１０３上に複数のカウント値１１２を保管してよい。

１１３は不揮発性メモリ１０３上のあらかじめ定められた領域に保持される寿命回数値である。寿命回数値１１３は、記憶装置１０２に具備される不揮発性メモリ１０３で正常動作を保証可能なメモリ素子の更新回数である。比較機能１０７はカウント値１１２と寿命回数１１３の大小を比較することで、不揮発性メモリ１０３上の特定の領域が寿命を迎えているか否かを判断することが可能になる。

１１４は不揮発性メモリ１０３上のあらかじめ定められた領域に保持される、記憶装置１０２に対してホスト１０１から入力する動作要求コマンドに対してどのようなレスポンス応答を返すかを規定する動作モード値である。ここでは、以下の４種類の動作モードを持つものとする。動作モード００は初期設定モードで、通常利用を行なうことができない。動作モード０１は通常利用モード。動作モード０２は警告モードで、通常利用は可能であるが、記憶装置１０２の寿命が近いことが通知される。動作モード０３は限定動作モードで、通常利用は不可能で、別途定める特定の動作だけを行なう。必ずしもこの動作モードに限定する訳ではなく、より細かい動作モードを設定しても良いし、少ない動作モード数でも良い。

尚、上記示した記憶装置１０２の各機能、不揮発性メモリ１０３の保管情報は必ずしも全て具備／保管する必要はない。記憶装置１０２は少なくとも不揮発性メモリ１０３とＩ／Ｆ１０５を具備し、加算機能１０６、比較機能１０７、暗号機能１０８を必要に応じて具備すればよい。又、不揮発性メモリ１０３は必要に応じて、パスワード１０９、乱数値１１０、暗号鍵１１１、カウント値１１２、寿命回数１１３、動作モード１１４を保管すればよい。
又、寿命回数値１１３を、不揮発性メモリ１０３に保持されるものとしたが、記憶装置１０２内で保持されるのであれば、必ずしも、保持担体は不揮発性メモリ１０３に限る必要はない。図１には示していないが、寿命回数値１１３の他の保持方式としては、記憶装置１０２内に、不揮発性メモリ１０３とは別の、メモリ素子の劣化による寿命のないマスクＲＯＭや、定数出力論理回路を設け、該マスクＲＯＭや定数出力論理回路に、寿命回数値１１３を保持してもよい。

又、図１には示していないが、記憶装置１０２の具備する不揮発性メモリ１０３は何らかのユーザデータを保管する領域を設けてもよい。

本実施形態に係る情報処理システムの動作の中心は、ホスト１０１は記憶装置１０２に対して何らかのデータを書き込み、又、記憶装置１０２から書き込んだデータを読み出すことにあり、各動作が不正に行なわれることがないことを保証することである。次に、これら動作を図を用いて説明する。

図２、及び図３を用いて、本実施形態に係る情報処理システムにおける、情報記憶装置１０２によるホスト１０１の機器認証動作の概要を説明する。

図２は、本実施形態に係る情報処理システムにおいて、記憶装置１０２への書き込み時に、ホスト１０１、記憶装置１０２間でやりとりするコマンド、レスポンスの動作概念図である。 ホスト１０１は記憶装置１０２に対し、認証要求コマンドを送信する（２０１）。

これに対し、記憶装置１０２は以下の３種類のうちいずれかの応答を返す。通常利用モードではチャレンジ値を返し（２０２）、警告モードではチャレンジ値、警告通知を返し（２０３）、限定動作モードでは認証拒否通知を返す（２０４）。

記憶装置１０２からの応答が、チャレンジ値２０２、又はチャレンジ値、警告通知２０３であった場合には、ホスト１０１は受信したチャレンジ値に対するレスポンス値を送出する（２０５）。

これに対し、記憶装置１０２は受信したレスポンス値が正当であると判断した場合には認証成功通知を返し（２０６）、該レスポンス値が不当であると判断した場合には認証失敗通知を返す（２０７）。

以上示した、２０１、２０２（又は２０３）、２０５、２０６のやり取りが正常に終了した際に、ホスト１０１は情報記憶装置１０２によって機器認証されたことになる。上記通信プロトコル中、２０２及び２０３に出現するチャレンジ値には記憶装置１０２が生成する乱数値が必要であり、図１で説明したように、乱数生成には不揮発メモリ１０３上の乱数値１１０の更新が正常に実施される必要がある。もし情報記憶装置１０２の具備する不揮発性メモリ１０３を構成するメモリ素子の寿命によって乱数値１１０が更新不可能となると、情報記憶装置１０２が出力するチャレンジ値は固定値となってしまう。これにより、通信経路１０４を単純に盗聴するだけで、ホスト１０１、記憶装置１０２間で秘密裏に共有する情報を知ることなしに、ホスト１０１を認証させるために必要なチャレンジ、レスポンス値を得ることが可能となり、システムセキュリティ上の大きな脅威となる。このような脅威を避けるために、上記乱数値の正常更新を正常に実施させる方式を、図３を用いて説明する。

図３は、本実施形態に係る記憶装置１０２の認証動作時の概要フローチャートである。記憶装置１０２はホスト１０１から入力するコマンドが認証要求であるか否かを吟味する（３０１）。

ホスト１０１から入力するコマンドが認証要求である場合、記憶装置１０２は不揮発性メモリ１０３に保管された動作モード１１４を読み出し、動作モードが０３であるか否かを判断する（３０２）。動作モードが０３でない場合、動作モードが０２であるか否かを判断する（３０３）。動作モードが０２でない場合、不揮発性メモリ１０３に保管されたカウント値１１２を加算機能１０６を用いて１加算し（３０４）し、更に、不揮発性メモリ１０３に保管された乱数値を暗号機能１０８を用いて更新する（３０５）。次に、不揮発性メモリ１０３に保管された寿命回数１１３を読み出し、比較機能１０７を用いて更新したカウント値と比較する（３０６）。カウント値１１２が寿命回数１１３よりも小さい場合、チャレンジ値を送信し（３０８）、処理を終了する。

３０６比較の結果、カウント値１１２が寿命回数１１３よりも大きい場合、不揮発性メモリ１０３に保管された動作モード１１４を動作モード０２に更新する（３０７）。更に、チャレンジ値、および警告通知を送信し（３１２）、処理を終了する。

３０３比較の結果、動作モードが０２の場合、不揮発性メモリ１０３に保管された乱数値を暗号機能１０８を用いて更新する（３０９）。次に、比較機能１０７を用いて書き込み対象の乱数値と不揮発性メモリ１０３に保管された乱数値を比較し、更新が成功しているか否かを判断する（３１０）。乱数更新３１０が成功の場合、チャレンジ値、警告通知を送信し（３１２）、処理を終了する。乱数更新３１０が失敗の場合、不揮発性メモリ１０３に保管された動作モード１１４を動作モード０３に更新する（３１１）。更に、認証拒否通知を送信し（３１３）、処理を終了する。

３０２比較の結果、動作モードが０３の場合、認証拒否通知を送信し（３１３）、処理を終了する。

次に、図４、及び図５を用いて、本実施形態に係る情報処理システムにおける、ホスト１０１による情報記憶装置１０２の保管するユーザデータの読み出し動作の概要を説明する。

図４は、本実施形態に係る情報処理システムにおいて、記憶装置１０２からのデータ読み出し時に、ホスト１０１、記憶装置１０２間でやりとりするコマンド、レスポンスの動作概念図である。ホスト１０１は記憶装置１０２に対し、読み出し要求コマンドと、あらかじめ共有している読み出しパスワードを送信する（４０１）。

これに対し、記憶装置１０２は以下の３種類のうちいずれかの応答を返す。通常利用モードでは読み出しデータと次回読み出し時に利用するパスワードを返し（４０２）、警告モードでは読み出しデータ、次回読み出し時に利用するパスワード、警告通知を返し（４０３）、限定動作モードでは読み出し拒否通知を返す（４０４）。

以上示した、４０１、４０２（又は４０３）のやり取りが正常に終了した際に、ホスト１０１は情報記憶装置１０２からのデータ読み出しに成功したことになる。上記通信プロトコル中、４０２及び４０３に出現するパスワード生成は記憶装置１０２が生成する乱数値が必要である。図２で説明したのと同様のロジックで、システムセキュリティ上の脅威が発生する。この脅威を避けるために、上記乱数値の正常更新を正常に実施させる方式を、図５を用いて説明する。

図５は、本実施形態に係る記憶装置１０２のデータ読み出し動作時の概要フローチャートである。記憶装置１０２はホスト１０１から入力するコマンドが読み出し要求であるか否かを吟味する（５０１）。

ホスト１０１から入力するコマンドが読み出し要求である場合、記憶装置１０２は不揮発性メモリ１０３に保管された動作モード１１４を読み出し、動作モードが０３であるか否かを判断する（５０２）。動作モードが０３でない場合、不揮発性メモリ１０３に保管されたパスワード１０９を読み出し、比較機能１０７を用いて入力したパスワードと比較する（５０３）。パスワードが一致した場合、動作モードが０２であるか否かを判断する（５０４）。動作モードが０２でない場合、不揮発性メモリ１０３に保管されたカウント値１１２を加算機能１０６を用いて１加算し（５０５）し、更に、不揮発性メモリ１０３に保管されたパスワード１０９を暗号機能１０８を用いて更新する（５０６）。次に、不揮発性メモリ１０３に保管された寿命回数１１３を読み出し、比較機能１０７を用いて更新したカウント値と比較する（５０７）。カウント値１１２が寿命回数１１３よりも小さい場合、読み出しデータと更新したパスワードを送信し（５０９）、処理を終了する。

５０７比較の結果、カウント値１１２が寿命回数１１３よりも大きい場合、不揮発性メモリ１０３に保管された動作モード１１４を動作モード０２に更新する（５０８）。更に、読み出しデータ、更新したパスワード、警告通知を送信し（５１３）、処理を終了する。

５０４比較の結果、動作モードが０２の場合、不揮発性メモリ１０３に保管されたパスワードを暗号機能１０８を用いて更新する（５１０）。次に、比較機能１０７を用いて書き込み対象のパスワードと不揮発性メモリ１０３に保管されたパスワードを比較し、更新が成功しているか否かを判断する（５１１）。パスワード更新５１１が成功の場合、読み出しデータ、更新したパスワード、警告通知を送信し（５１３）、処理を終了する。パスワード更新５１１が失敗の場合、不揮発性メモリ１０３に保管された動作モード１１４を動作モード０３に更新する（５１２）。更に、読み出し拒否通知を送信し（５１４）、処理を終了する。

５０３比較の結果、パスワードが一致しない場合、及び、５０２比較の結果、動作モードが０３の場合、読み出し拒否通知を送信し（５１４）、処理を終了する。

次に、図６、及び図７を用いて、本実施形態に係る情報処理システムにおける、ホスト１０１による情報記憶装置１０２へのユーザデータの書き込み動作の概要を説明する。

図６は、本実施形態に係る情報処理システムにおいて、記憶装置１０２へのデータ書き込み時に、ホスト１０１、記憶装置１０２間でやりとりするコマンド、レスポンスの動作概念図である。ホスト１０１は記憶装置１０２に対し、読み出し要求コマンドと、あらかじめ共有している読み出しパスワードを送信する（６０１）。

これに対し、記憶装置１０２は以下の３種類のうちいずれかの応答を返す。通常利用モードでは書き込み完了通知と次回書き込み時に利用するパスワードを返し（６０２）、警告モードでは書き込み完了通知、次回書き込み時に利用するパスワード、警告通知を返し（６０３）、限定動作モードでは書き込み拒否通知を返す（６０４）。

以上示した、６０１、６０２（又は６０３）のやり取りが正常に終了した際に、ホスト１０１は情報記憶装置１０２へのデータ書き込みに成功したことになる。上記通信プロトコル中、６０２及び６０３に出現するパスワード生成は記憶装置１０２が生成する乱数値が必要である。図２で説明したのと同様のロジックで、システムセキュリティ上の脅威が発生する。この脅威を避けるために、上記乱数値の正常更新を正常に実施させる方式を、図６を用いて説明する。

図７は、本実施形態に係る記憶装置１０２へのデータ書き込み動作時の概要フローチャートである。記憶装置１０２はホスト１０１から入力するコマンドが書き込み要求であるか否かを吟味する（７０１）。

ホスト１０１から入力するコマンドが書き込み要求である場合、記憶装置１０２は不揮発性メモリ１０３に保管された動作モード１１４を読み出し、動作モードが０３であるか否かを判断する（７０２）。動作モードが０３でない場合、不揮発性メモリ１０３に保管されたパスワード１０９を読み出し、比較機能１０７を用いて入力したパスワードと比較する（７０３）。パスワードが一致した場合、動作モードが０２であるか否かを判断する（７０４）。動作モードが０２でない場合、不揮発性メモリ１０３に保管されたカウント値１１２を加算機能１０６を用いて１加算し（７０５）し、更に、不揮発性メモリ１０３に保管されたパスワード１０９を暗号機能１０８を用いて更新する（７０６）。次に、不揮発性メモリ１０３に保管された寿命回数１１３を読み出し、比較機能１０７を用いて更新したカウント値と比較する（７０７）。カウント値１１２が寿命回数１１３よりも小さい場合、書き込み完了通知と更新したパスワードを送信し（７０９）、処理を終了する。

５０７比較の結果、カウント値１１２が寿命回数１１３よりも大きい場合、不揮発性メモリ１０３に保管された動作モード１１４を動作モード０２に更新する（７０８）。更に、書き込み完了通知、更新したパスワード、警告通知を送信し（７１３）、処理を終了する。

７０４比較の結果、動作モードが０２の場合、不揮発性メモリ１０３に保管されたパスワードを暗号機能１０８を用いて更新する（７１０）。次に、比較機能１０７を用いて書き込み対象のパスワードと不揮発性メモリ１０３に保管されたパスワードを比較し、更新が成功しているか否かを判断する（７１１）。パスワード更新５１１が成功の場合、書き込み完了通知、更新したパスワード、警告通知を送信し（７１３）、処理を終了する。パスワード更新５１１が失敗の場合、不揮発性メモリ１０３に保管された動作モード１１４を動作モード０３に更新する（７１２）。更に、読み出し拒否通知を送信し（７１４）、処理を終了する。

７０３比較の結果、パスワードが一致しない場合、及び、７０２比較の結果、動作モードが０３の場合、読み出し拒否通知を送信し（７１４）、処理を終了する。

以上により、記憶装置１０２は不揮発性メモリ１０３の乱数値保管領域の更新回数がメモリ素子の寿命と比較して問題ない場合、即ち動作モード０１においては、ホスト１０１から要求された処理のみを実施する。次に、不揮発性メモリ１０３の乱数値保管領域の更新回数が、想定されるメモリ素子の寿命に達している場合、即ち動作モード０２においては、ホスト１０１から要求された処理を行なうと共に、寿命が近いことを示す警告通知を行なう。最後に、不揮発性メモリ１０３の乱数値保管領域の更新失敗を検知した後、即ち動作モード０３においては、ホスト１０１から要求された処理を拒否する。

尚、本メモリ領域の寿命制御方式の適用は上記３種類の処理プロトコルに限定するものではなく、例えばデータの読み書きについてもパスワードではなくセッション鍵を用いた暗号化通信としてもよい。この場合には、セッション鍵の保管領域が本方式の適用先となる。又、メモリ領域の更新回数の看視、メモリ領域の更新成否の看視の両方を組み合わせてもよいし、一方だけの適用でもよい。

又、図３に、本実施形態に係る記憶装置１０２の認証動作時の概要フローチャートを示したが、同図においては、ホスト１０１からのコマンド入力の度毎に動作モードレジスタを参照し、認証拒否するか否かの判断を実施していた（３０２）。これに対し、動作モード０３とそれ以外の判断の切り分け、及び動作モード０３判定時の動作は、図９から図１２に示した構成及び処理フローによる処理としてもよい。

図９は、本実施形態に係る情報処理システムの別の概略構成図である。図中、１０２、１０３、１０５、１１４は図１に示したものと同一であり説明は省略する。９０１は、不揮発性メモリ１０３の特定の領域の読み出しデータを保持するための動作モードレジスタである。９０２は不揮発性メモリ１０３に対しデータを書き込み、又不揮発性メモリ１０２からデータを読み出すメモリＩ／Ｆである。該メモリＩ／Ｆ９０２は、後述するパワーオンリセット動作シーケンサの指示に従い動作する機能を持つ。９０３は記憶装置１０２に給電が開始されパワーオンリセットが係った際にメモリＩ／Ｆ９０２に不揮発性メモリ１０３の特定領域からデータを読み出し、動作モードレジスタ９０１に読み出しデータをセットするよう指示を行なうパワーオンリセット動作シーケンサである。９０４は、動作モードレジスタ９０１の出力信号を選択入力として、Ｉ／Ｆ１０５からの出力データをスルー出力するかマスク出力するかを選択するデータマスク機能である。９０５は、図１に示した加算機能１０６、比較機能１０７、暗号機能１０８などの、記憶装置１０２の処理機能である。

図１０は、本実施形態に係る記憶装置１０２の認証動作時の別の概要フローチャートである。記憶装置１０２は給電開始時にパワーオンリセットで内部回路を初期化される（１００１）。パワーオンリセット時に、パワーオンリセット動作シーケンサ９０３の動作により、メモリＩ／Ｆ９０２は不揮発性メモリ１０３の保持する動作モードデータ１１４を読み出し、該動作モードデータを動作モードレジスタ９０１にセットする（１００２）。動作モードレジスタ９０１の出力信号はデータマスク９０４の選択入力となっており、動作モードレジスタ９０１にセットされた動作モードデータが０３であれば、データマスク９０４でＩ／Ｆ１０５からの入力信号はマスクされ、処理機能９０５には有効データは入力しない（１００３、１００５）。一方、動作モードレジスタ９０１にセットされた動作モードデータが０３以外であれば、Ｉ／Ｆ１０５からの入力信号が処理機能９０５にそのまま入力する（１００３、１００４）。

以上の機能により、記憶装置１０２は電源投入時に自身の動作モードを判定し、動作モード０３の場合には、Ｉ／Ｆ１０５から処理機能９０５への入力信号がデータマスク９０４でブロックされることから動作モード０３で動作しない機能が実現される。

図１１は、本実施形態に係る情報処理システムのもう一つ別の概略構成図である。図中、１０２、１０３、１０５、１１４、９０１、９０２、９０３、９０５は図９に示したものと同一であり説明は省略する。１１０１は、動作モードレジスタ９０１の出力信号を選択入力として、処理機能９０５へのリセットステート信号を選択出力するリセット生成機能である。

図１２は、本実施形態に係る記憶装置１０２の認証動作時のもうひとつ別の概要フローチャートである。図中、１００１、１００２、１００３は図１０に示した処理と同一であり、説明は省略する。

動作モードレジスタ９０１の出力信号はリセット生成機能１００１の選択入力となっており、動作モードレジスタ９０１にセットされた動作モードデータが０３であれば、リセット生成機能１１０１はリセットステート信号を出力し、処理機能９０５は常にリセットが掛かった状態となりデータを処理しない（１００３、１２０２）。一方、動作モードレジスタ９０１にセットされた動作モードデータが０３以外であれば、処理機能９０５は機能する（１００３、１２０１）。

以上の機能により、記憶装置１０２は電源投入時に自身の動作モードを判定し、動作モード０３の場合には、処理機能９０５は常にリセット状態のままとなることから動作モード０３で動作しない機能が実現される。

以上、図９から図１２に示した構成及び処理フローを用いることにより、不揮発性メモリ１０３の乱数値保管領域の更新失敗を検知した後、即ち動作モード０３においては、記憶装置１０２を給電、動作開始の時点において自ら入力信号に対する動作を無効化することでホスト１０１から要求された処理を拒否する機能を実現可能である。同方式の適用により、装置外部からの入力を無効化するため、不正なアクセスに対する解析の糸口すら与えない、より強固なセキュリティ性能を具備した記憶装置を実現できる。

本方式は、例えばICカード、RFIDなど大容量の不揮発性メモリの搭載が困難で、且つ該不揮発性メモリの寿命制御に大きな論理を載せることが困難な応用に好適である。システムセキュリティ上重要なメモリ領域についてのみ、メモリ寿命を管理することでセキュリティ機能の付加によるオーバヘッドの低減と、充分なセキュリティ強度の両立を実現している。

以上、本発明の第１の実施形態によれば、本実施形態に掛かる情報処理システムにおいて、情報記憶装置に保管されるセキュリティ上重要なデータの保管領域のメモリ素子寿命を判定し、システムのセキュリティ上問題となる不具合、即ち保管データが確実に更新される必要のあるデータ保管領域の正常動作を確保し、且つ、不具合発生時に、不具合の発生した記憶装置を確実に情報処理システムから排除可能な、情報記憶装置の提供が可能となる。

＜第２の実施形態＞
本発明の第２の実施形態について、図８及び図１３から図１５を用いて説明する。まず、図１３を用いて、本実施形態に係る情報通信システム、及び該通信システムを構成する情報処理装置、情報記憶媒体の概略構成を説明する。図中、１０１から１０４、及び１１４は図１に示したものと同一であり、説明は省略する。１３０１は記憶装置１０２にローカルに保管されるユーザデータである。尚、番号１０２の後ろに添え字ａ、ｂを付加することで同機能を有する独立した装置を示す。ここでは、１０２ａ、１０２ｂは各々独立した記憶装置を示す。以降の番号についても同様である。即ち、図１３はホスト１０１に複数の記憶装置１０２ａと１０２ｂが接続されている状態を示している。尚、記憶装置１０２ａは第１の実施例に示した動作モード０２を示しており、記憶装置１０２ｂは動作モード００を示している。即ち、記憶装置１０２ａは、通常利用は可能であるが記憶装置１０２ａの寿命が近い状態、記憶装置１０２ｂは、初期設定待ちで通常利用が不可能な状態である。

本実施形態に係る情報通信システムにおいては、記憶装置１０２ａに保管されるユーザデータ１３０１ａを、不正な複製、改竄を許さずに記憶装置１０２ｂに移動することが動作の中心となる。

次に、図１４を用いて、本実施形態に係る情報通信システムの動作概略を説明する。図１４は、本実施形態に係る情報通信システムに掛かるホスト１０１の概略動作フローチャートである。ホスト１０１は記憶装置１０２ａに対してユーザデータの読み出しを要求し、記憶装置１０２ａは概略、図５に示した動作フローに従いデータを出力する。これによりホスト１０１は記憶装置１０２ａからユーザデータを読み出す（１４０１）。ホスト１０１は記憶装置１０２ｂに対してユーザデータの書き込みを要求し、記憶装置１０２ｂは概略、図７に示した動作フローに従いデータを保管する。これによりホスト１０１は記憶装置１０２ｂへユーザデータを書き込む（１４０２）。次にホスト１０１は記憶装置１０２ａに動作モードを０３に変更する更新要求を送信する（１４０３）。これに対し、記憶装置１０２ａは概略、図１５に示した動作フローに従い動作モードを更新し、ホスト１０１に対して更新完了を通知する。（１４０４）。
完了通知受信１４０４に成功した場合、ホスト１０１は記憶装置１０２ｂに動作モードを０１に変更する更新要求を送信する（１４０５）。これに対し、記憶装置１０２ｂは概略、図１５に示した動作フローに従い動作モードを更新し、ホスト１０１に対して更新完了を通知する。（１４０６）。

完了通知受信１４０４、及び、完了通知受信１４０６の両方に成功した場合、ホスト１０１はユーザデータの記憶装置１０２ａから１０２ｂへの移行が成功だったと判断する（１４０７）。完了通知受信１４０４、又は、完了通知受信１４０６のいずれかに失敗した場合、ホスト１０１はユーザデータの記憶装置１０２ａから１０２ｂへの移行は失敗だったと判断する（１４０８）。

次に、図１５を用いてホスト１０１から動作モード更新要求が入力した際の記憶装置１０２の動作を説明する。図１５は、本実施形態に係る記憶装置１０２の動作モード更新動作時の概要フローチャートである。記憶装置１０２はホスト１０１から入力するコマンドが動作モード更新要求であるか否かを吟味する（１５０１）。

ホスト１０１から入力するコマンドが動作モード更新である場合、記憶装置１０２は不揮発性メモリ１０３に保管された動作モード１１４を読み出し、動作モードが００から０３のいずれであるかを判断する（１５０２から１５０４）。要求される更新後の動作モード値が有効な数値（動作モード００から００３）であって尚且つ、現在の動作モードよりも大きいか否かを判断し（１５０５、１５０８、１５０９）、更新後の動作モード値が有効且つ大きい値への更新の場合、動作モードを更新し（１５０６）、ホスト１０１に更新完了通知を送信する（１５０７）。更新後の動作モード値が無効又は現在の動作モードと
同じか小さい値への更新の場合、ホスト１０１に更新拒否通知を送信する（１５１０）。

手順１４０３によって、寿命が近い記憶装置１０２ａの動作モードは、モード０２からモード０３へと更新され、記憶装置１０２ａは通常動作を実行不可能な状態に遷移する。手順１４０４によって、該手順１４０３の正常完了を確認した後に、初めて、手順１４０５によって、初期設定待ちの記憶装置１０２ｂの動作はモードは、モード００からモード０１へと更新され、記憶装置１０２ｂは通常動作可能な状態に遷移する。

以上の手順により、機能劣化が生じていないことが保証される記憶装置１０２ａから、まだ利用の開始されていない記憶装置１０２ｂへのユーザデータの移行が保証されると共に、記憶装置１０２ｂのユーザデータが有効になるのに先立ち、記憶装置１０２ａの無効化が保証される。これにより、機器認証、データ暗号化などでセキュリティ機能を高めた記憶装置１０２に保管するユーザデータが唯一正当なものであることを保証することが可能となり、これに応じて、記憶装置が寿命を迎えた際に、ユーザデータを他の記憶装置に間違いなく移行することができる。又、ホスト１０１は記憶装置１０２ａの動作モードが０３の場合、該記憶装置１０２ａからのデータ移管を拒否することで、セキュリティ機能の劣化した記憶装置をシステムから排除することが可能である。

尚、不揮発性メモリ１０３の寿命回数１１３保管領域に保証可能な寿命回数と、該寿命回数よりも定められた回数分だけ少ない回数（以下、余裕寿命回数）の２つの数値を保管してもよい。例えば、ホスト１０１の機器認証の場合、３０６比較では余裕寿命回数を参照して比較し、３１０比較では乱数値の更新成功ではなく、寿命回数を参照して比較する。これにより、警告通知に、本当の寿命回数までの認証可能残数を加えることが可能になる。図８は、本方式を適用した、ホスト１０１、記憶装置１０２間の認証通信プロトコルにおける、コマンド、レスポンス組の一例である。レスポンス通信フレームにおいて、警告付きチャレンジ送信通知コードに加え、認証可能残数も送信する。尚、データ読み出し動作、データ書き込み動作においても同様の制御が可能である。

これにより、記憶装置１０２が無効になるまでのアクセス回数をホスト１０１に対して通知することが可能となり、システムとして対処する手法の選択肢を増やす効果が得られる。

例えば、ホスト１０１を自動車、記憶装置１０２を自動車の鍵とした、所謂イモビライザシステムへの適用を想定した場合、記憶装置１０２の劣化によるセキュリティエラーによって自動車を不正に始動させる危険性を低下させる効果が得られると共に、鍵の寿命を事前に警告することにより、鍵が突然無効になって自動車を始動できなくなるといった運用上の問題を回避することが可能となる。

又、ホスト１０１を決済機器、記憶装置２０２をユーザデータとして何らかの決済情報、バリュー情報などを不揮発性メモリ１０３上に保管した電子財布、又は電子請求書とした、決済システムへの適用を想定した場合、同様にセキュリティエラーによって金額情報を不正に操作される危険性を低下させると共に、鍵の寿命を事前に警告することにより、電子財布が突然使用できなくなるといった運用上の問題を回避することが可能となる。

以上、本発明の第２の実施形態によれば、本実施形態に掛かる情報記憶装置の寿命時に、該情報記憶装置の保管するデータを、確実に他の情報記憶装置に移管可能な情報処理システムの提供が可能となる。

本発明の第1の実施形態に係る情報処理システムの概略構成図。 本発明の第1の実施形態に係る情報通信システムのコマンド、レスポンスの動作概念図。 本発明の第1の実施形態に係る記憶装置の認証動作時の概要フローチャート。 本発明の第1の実施形態に係る情報通信システムのコマンド、レスポンスの動作概念図。 本発明の第1の実施形態に係る記憶装置のデータ読み出し動作時の概要フローチャート。 本発明の第1の実施形態に係る情報通信システムのコマンド、レスポンスの動作概念図。 本発明の第1の実施形態に係る記憶装置のデータ書き込み動作時の概要フローチャート。 本発明の第２の実施形態に係る情報通信システムのコマンド、レスポンス組の一例。 本発明の第1の実施形態に係る情報処理システムの概略構成図。 本発明の第1の実施形態に係る記憶装置の認証動作時の概要フローチャート。 本発明の第1の実施形態に係る情報処理システムの概略構成図。 本発明の第1の実施形態に係る記憶装置の認証動作時の概要フローチャート。 本発明の第２の実施形態に係る情報処理システムの概略構成図。 本発明の第２の実施形態に係る情報処理装置の概要フローチャート。 本発明の第２の実施形態に係る記憶装置の概要フローチャート。

符号の説明

１０１…ホスト、
１０２…記憶装置、
１０３…不揮発性メモリ、
１０４…通信経路、
１０５…Ｉ／Ｆ、
１０６…加算機能、
１０７…比較機能、
１０８…暗号機能、
１０９…パスワード、
１１０…乱数値、
１１１…暗号鍵、
１１２…カウント値、
１１３…寿命回数値、
１１４…動作モード、
２０１…認証要求コマンド、
２０２…チャレンジ値、
２０３…チャレンジ値および警告通知、
２０４…認証拒否通知、
２０５…レスポンス値、
２０６…認証成功通知、
２０７…認証失敗通知、
４０１…読み出し要求コマンド,読み出しパスワード、
４０２…読み出しデータ,次パスワード、
４０３…読み出しデータ,次パスワード,警告通知、
４０４…読み出し拒否通知、
６０１…書き込み要求コマンド,書き込みデータ,書き込みパスワード、
６０２…書き込み完了通知,次パスワード、
６０３…書き込み完了通知,次パスワード,警告通知、
６０４…書き込み拒否通知、
９０１…動作モードレジスタ、
９０２…メモリＩ／Ｆ、
９０３…パワーオンリセット動作シーケンサ、
９０４…データマスク機能、
９０５…処理機能、
１１０１…リセット生成機能、
１３０１…ユーザデータ。

Claims (6)

1. データ処理機能を有する外部装置からの情報を入出力する手段および不揮発性メモリを備えた情報記憶装置において、
   前記情報記憶装置の処理動作に応じて更新される領域の更新回数を計数して前記計数結果と予め設定された寿命予測値との比較により前記不揮発性メモリの寿命を判定し、
   前記不揮発性メモリの寿命の判定の結果が前記寿命予測値に至るまでの所定の残り更新回数に達したとき、前記寿命予測値に至るまでの残りアクセス可能回数を前記外部装置に対して通知するとともに、
   前記更新回数が前記寿命予測値に達したときは領域の更新時に更新失敗の有無を判定し、
   前記更新失敗を検知した場合には前記外部装置へ更新失敗通知を送信し、前記外部装置からの処理要求に対する前記情報記憶装置自らの処理動作を行わないことを特徴とする情報記憶装置。
2. 前記寿命の判定の結果が前記寿命予測値に至るまでの所定の残り更新回数に達したとき、前記外部装置からの要求に対して処理を行なうとともに、
   前記寿命予測値に至るまでの残りアクセス可能回数を前記外部装置に対して通知することを特徴とする請求項１記載の情報記憶装置。
3. データ処理機能を有する外部装置からの情報を入出力する手段および不揮発性メモリ素子を備えた情報記憶装置において、
   前記情報記憶装置の処理動作に応じて更新される領域の更新回数を計数して前記計数結果と予め設定された寿命予測値との比較により前記不揮発性メモリ素子の寿命を判定し、
   前記更新回数が前記寿命予測値に達したときには前記領域の更新時に更新失敗の有無を判定し、
   前記更新失敗を検知した場合には外部装置へ更新失敗通知を送信し、前記外部装置からの処理要求に対する前記情報記憶装置自らの処理動作を行わないことを特徴とするとともに、
   前記領域は、乱数値を保持する予め定められた領域であり、
   前記不揮発性メモリ素子に保持されている乱数値または前記乱数値を用いて生成されたパスワードと、前記処理動作に応じて新たに生成された乱数値または前記乱数値を用いて生成されたパスワードとを比較することにより、前記領域の更新失敗の有無を判定することを特徴とする情報記憶装置。
4. 前記外部装置からの処理要求に対して、前記情報記憶装置の寿命に至るまでの状態を判定し、前記判定の結果に基づき決定され、前記不揮発性メモリ素子に保管された動作モードを前記状態の数に対応した数だけ有し、
   前記情報記憶装置の電源投入時に、前記動作モードを検知し、前記動作モードに応じて前記情報記憶装置に設けられた処理機能部に対して前記外部装置からの処理要求データを入力するか否かを選択するデータマスク部を具備すること特徴とする請求項１または３に記載の情報記憶装置。
5. 前記外部装置からの処理要求に対して、前記情報記憶装置の寿命に至るまでの状態を判定し、前記判定の結果に基づき決定されて前記不揮発性メモリ素子に保管された動作モードを前記状態の数に対応した数有し、
   前記情報記憶装置の電源投入時に、前記動作モードを検知し、前記動作モードが前記外部装置からの処理要求を受け入れられない動作モードと判定した場合、前記情報記憶装置に設けられた処理機能部に対してリセット状態信号を送信し、前記処理機能部をリセット状態に維持することにより、前記外部装置からの処理要求データを処理しないこと特徴とする請求項１または３に記載の情報記憶装置。
6. 請求項１または３に記載の情報記憶装置を複数備えた情報処理システムにおいて、
   一の情報記憶装置のメモリ領域に記憶されているデータを、他の情報記憶装置のメモリ領域に複製し、前記一の情報記憶装置を無効化した後に、前記他の情報記憶装置を有効化することにより複数の情報記憶装置間のデータ移動を保証することを特徴とする情報処理システム。

Images