JP4447481B2

JP4447481B2 - セキュアクロック提供方法およびセキュアクロック機構

Info

Publication number: JP4447481B2
Application number: JP2005035136A
Authority: JP
Inventors: ジェームスパークケニース
Original assignee: Sharp Corp
Current assignee: Sharp Corp
Priority date: 2004-02-12
Filing date: 2005-02-10
Publication date: 2010-04-07
Anticipated expiration: 2025-02-10
Also published as: US7116969B2; US20050181761A1; JP2005229619A

Description

本発明は、ディジタル権利管理のためのセキュアクロックに関するものである。特に、ユーザによって書き換えることができない時間を保持する機構および方法に関するものである。

携帯電話における半自律的なプロセスは、ユーザによって任意に操作することのできない時間ソースを必要とする。このような時間ソースは、「セキュア時間」として本明細書にて参照されるものを供給する。汎欧州ディジタル・セルラー・システム（ＧＳＭ：global system for mobile communications）プロトコルに基づいて動作する通信機器（handset）におけるディジタル権利管理（ＤＲＭ：digital rights management）の場合、セキュア時間は、例えば、どれだけの使用時間が消費されたのかといった、ＤＲＭで制御されるコンテンツに設定された時間制限が有効に存続するかどうかを判定するために必要とされる。これは、例えばビデオプレゼンテーションのようなアイテムを使用するための一定量の時間または時間ウィンドウが、ユーザまたは電話加入者に割り当てられている状況に適用される。ＤＲＭプロトコルは、例えば、サーバからダウンロードされた動画を閲覧する権利に適用されてもよい。典型的には、動画は、例えば、ダウンロードされた情報を、所定期間のみ使用可能にする公開鍵インフラストラクチャ（ＰＫＩ）のようなセキュリティプロトコルを組み込んだＤＲＭプロトコルにカプセル化される。ダウンロードされた情報が有効な期間にだけ使用されることを保証するために、メカニズムは、ダウンロードされた情報を有する機器のシステム時計を、ユーザが任意に変更できないように供給されなければならない。もし、任意に変更できると、ダウンロードされた情報は、無制限に使用され得る。
米国特許第６，０２３，６９０号明細書（２０００年２月８日発行）米国特許第５，９９９，９２１号明細書（１９９９年１２月７日発行）米国特許第５，９４６，６７２号明細書（１９９９年８月３１日発行）米国特許出願公開第２００３／０１１５４６９号明細書（２００３年６月１９日公開）米国特許出願公開第２００２／００７７９８５号明細書（２００２年６月２０日公開）国際公開第２００３／００５１４５号パンフレット（２００３年１月１６日公開）

ＤＲＭのための時間ソースの１つに、移動体通信機器のユーザインタフェースにて供給される時計がある。しかしながら、ユーザインタフェース時計は、ユーザによって任意に設定され得るため、ＤＲＭに利用するには信頼できない。

ＧＭＳプロトコルは、ＧＳＭネットワークからセキュア時間ソースのパケットを送信する方法を規定している。このパケットは、ネットワークアイデンティティおよびタイムゾーン（ＮＩＴＺ：network identity and time zone）シグナルと称される。しかしながら、サービスプロバイダは、この時間シグナルを送信することを要求されていない。現在、例えば、ＣｉｎｇｕｌａｒやＡＴＴなどの少数のサービスプロバイダのみが、ＮＩＴＺを供給している。一方、例えばＶｏｄａｆｏｎｅなどの他のサービスプロバイダは、時間シグナルをいかにして用いるかについて、依然として研究している。さらに、ＮＩＴＺを供給するサービスプロバイダは、システムが広範囲をカバーすることを保証していないため、ＮＩＴＺを散在的に実装している。

セキュア時間の別のソースは、あらゆるクライアントからの要求に応じて正確な時間を供給するために構築したインターネットサーバである。しかしながら、このプロトコルは、いくつかの欠点を持っている。第１に、通信機器によってなされるあらゆるインターネット接続には、ユーザに請求される通信料金が課せられる。第２に、ユーザは、通信機器が、例えば、ビッグブラザーシンドロームのようなリモートサーバに、自動的に、また、定期的に接続することが容認されていないことを発見するかもしれない。そして、第３に、そのようなサーバは、潜在的に１ヶ月当たり何百万ものヒットを処理するのに十分な帯域幅／コンピューティング資源を必要とするとともに、サーバの停止によって通信機器の操作が中止されないことを保証するプロトコルの提供が必要である。

現在のバックアップ電源の出力密度、一層小さな通信機器の消費者需要、および、統合された実時間時計（ＲＴＣ：real time clock）ハードウェアに対応する高電力消費によって、セキュア時間ソースをバックアップ電源により供給する能力は、１〜２週間に制限される。このようにバッテリーの寿命が短いことにより、機器の寿命まで主電源とは独立に動作する、工場で設定されたセキュア時間ソースの提供が妨げられる。シャープ製のＧＸ３０の通信機器などの、ＧＳＭの通信機器のいくつかは、ユーザがアクセス不可な充電式の電源を内部に別個に含んでいる。この電源は、通信機器の主電源が放電されるか、または、取り外された場合、ＲＴＣハードウェアに、最大２週間、電力を供給する。

米国特許第６，０２３，６９０号明細書（Chrosnyおよびその他の者、２０００年２月８日発行）の「郵便料金メータ内実時間時計のセキュリティリセットのためのリセット方法および装置」では、郵便料金の印字を可能／無効にするための、１つのセキュアクロックの設定、および、該時計の次の使用について述べられている。

米国特許第５，９９９，９２１号明細書（Arsenaultおよびその他の者、１９９９年１２月７日発行）の「セキュリティ強化を提供する複数の時計システムを持つ電子料金メーターシステム」では、第１のフォーマットによるセキュア時間クロックおよび第２の時間フォーマットによるセキュア時間クロックのメンテナンスについて述べられている。

米国特許第５，９４６，６７２号明細書（Chrosnyおよびその他の者、１９９９年８月３１日発行）の「拡張した時計セキュリティを持つ電子料金メーターシステム」では、挿入された外部スマートカードを実時間時計セキュリティカードとして識別する情報を含み、上記情報を受け取ったときのみの上記挿入された外部スマートカードを実時間時計セキュリティカードとしての決定する外部スマートカードの挿入について述べられている。

米国特許出願公開第２００３／０１１５４６９号明細書（Shippyおよびその他の者、２００３年６月１９日公開）の「ロールバックアタックの検知ならびに制止システムおよび方法」では、強制的な定期的アップデートを必要とする保護されたコンテンツへのアクセスを追跡するログについて述べられている。

米国特許出願公開第２００２／００７７９８５号明細書（Kobataおよびその他の者、２００２年６月２０日公開）の「ディジタル資産識別のコントロールおよび管理」では、コンピュータシステム上のソフトウェアのディジタル権利管理について述べられている。

国際公開第２００３／００５１４５号パンフレット（Kontioおよびその他の者、２００３年１月１６日公開）の「移動体通信環境におけるディジタル権利の管理」では、移動体・無線デバイスからのディジタル権利へのアクセス、コピー、および／または、転送制御方法について述べられている。

通信システムと通信する通信デバイス機器にてセキュアクロックを提供するセキュアクロック提供方法は、前記通信機器は、メモリを含む実時間時計ハードウェアを備え、前記メモリは、ユーザによって設定される日時を保持するユーザインタフェース時計基準と、前記ユーザインタフェース時計基準に、デフォルト以外の日時が設定されているか否かを示すセキュアクロックＵＩ初期化フラグと、前記通信システムから受信したＮＩＴＺパケットに含まれる日時、または、ユーザにより設定された日時を保持するセキュアクロック基準と、前記セキュアクロック基準に、前記通信システムから受信したＮＩＴＺパケットに含まれる日時が設定されているか否かを示すセキュアクロックＮＩＴＺ初期化フラグとを記憶し、前記通信機器にて、ユーザによって日時が設定されたイベントであるユーザ時計イベント、および、前記通信システムからＮＩＴＺパケットを受信したイベントであるシステム時計イベントを検出する処理を行ない、前記ユーザ時計イベントを検出したとき、前記セキュアクロックＮＩＴＺ初期化フラグおよび前記セキュアクロックＵＩ初期化フラグにＦＡＬＳＥ（偽）が設定されている場合は、前記ユーザインタフェース時計基準の値を前記セキュアクロック基準に設定し、前記セキュアクロックＵＩ初期化フラグにＴＲＵＥ（真）を設定する処理を行ない、前記システム時計イベントを検出したとき、前記受信したＮＩＴＺパケットに含まれる日時を前記セキュアクロック基準に設定し、前記セキュアクロックＮＩＴＺ初期化フラグにＴＲＵＥ（真）を設定する処理を行ない、さらに、前記設定した前記セキュアクロック基準に基づいて、前記セキュアクロックを設定する処理を行なう。

通信システムと通信する通信機器に備えられるセキュアクロック機構は、ユーザによって設定される日時を保持するユーザインタフェース時計基準と、前記ユーザインタフェース時計基準に、デフォルト以外の日時が設定されているか否かを示すセキュアクロックＵＩ初期化フラグと、前記通信システムから受信したＮＩＴＺパケットに含まれる日時、または、ユーザにより設定された日時を保持するセキュアクロック基準と、前記セキュアクロック基準に、前記通信システムから受信したＮＩＴＺパケットに含まれる日時が設定されているか否かを示すセキュアクロックＮＩＴＺ初期化フラグとを記憶するメモリと、ユーザによって日時が設定されたイベントであるユーザ時計イベント、および、前記通信システムからＮＩＴＺパケットを受信したイベントであるシステム時計イベントを検出する時計イベント検出機構と、前記システム時計イベントを検出したとき、前記受信したＮＩＴＺパケットに含まれる日時を前記セキュアクロック基準に設定する処理を行ない、前記ユーザ時計イベントを検出したとき、前記セキュアクロックＮＩＴＺ初期化フラグおよび前記セキュアクロックＵＩ初期化フラグにＦＡＬＳＥ（偽）が設定されている場合は、前記ユーザインタフェース時計基準の値を前記セキュアクロック基準に設定する処理を行なうセキュアクロック初期化機構と、前記セキュアクロック基準に基づいて、前記セキュアクロックを設定する処理を行なうセキュアクロック設定機構とを備える。

本発明の目的の１つは、ユーザによって任意に変更されることのないセキュアクロックを提供することである。

本発明の他の目的は、ユーザによる調整を許容しない様々な方法によって適切な日時に設定されるセキュアクロックを提供することである。

本発明の要約および目的は、発明の性質の迅速な理解を可能にするために提供される。発明のさらなる完全な理解は、以下の最良の形態および図の詳細な記述の参照によって獲得できるだろう。

本発明は、汎欧州ディジタル・セルラー・システム（ＧＳＭ）の通信機器におけるセキュア時間ソースを提供するものである。該通信機器は、例えば、携帯電話であり、通常は、ユーザインタフェース時計のみが供給される。本発明の特徴は、ディジタル権利管理（ＤＲＭ）または他のプロセスに、ユーザにより変更されないセキュア時間ソースを供給するために、ユーザインタフェース時計の初期設定と、実時間時計（ＲＴＣ）の電源不足を検出する回路の状態と、例えば、ネットワークアイデンティティおよびタイムゾーン（ＮＩＴＺ）やタイムサーバなどの他の外部の時間ソースとを用いることである。本発明では、以下の通信機器のコンポーネントが用いられる。

実時間時計ハードウェア：実時間時計ハードウェアは、制御および状態レジスタを備えた、バックアップ電源が供給されるカウンタである。上記実時間時計ハードウェアによって、通信機器は、上記カウンタの現在値を読み出すこと、特定のイベントの発生にあたり上記カウンタを０にリセットすること、および、バックアップ電源の不足を検知することが可能となる。

１．電源不足レジスタ：このレジスタは実時間時計ハードウェアの一部であり、実時間時計ハードウェアへの電源供給が不足したこと、および、時計計数レジスタの値が有効ではないことを示すブール真偽値を供給するものである。

２．ＲＴＣ時計計数レジスタ：このレジスタは実時間時計ハードウェアの一部である。このレジスタは、０からＮ（Ｎは２ ^４０）までの計数値を保持するものであり、一旦計時が開始されれば定期的に自動でインクリメントされる。動作速度が３２ｋＨｚであるとすると、時計計数レジスタは、０にリセットされなければ、約７年の間計数するだろう。通信機器のプログラムは、このレジスタの値を読み出すとともに、このレジスタの値を０に設定する。

プログラム可能なメモリ：プログラム可能なメモリは、以下の変数の実行時値を記憶する。

１．ユーザインタフェース時計基準：このＲＡＭおよびフラッシュメモリ内の変数は、ユーザによって設定された日時の値を保持し、ＲＴＣ時計計数レジスタが０に設定されたとき、ＲＴＣ時計計数レジスタと関連付けられる。この変数の値は、インクリメントされない。現在時間を計算するために、ユーザインタフェース時計基準の値は、ＲＴＣ時計計数レジスタの値に加算される。

２．セキュアクロック基準：このＲＡＭおよびフラッシュメモリ内の変数は、ＮＩＴＺまたはユーザによって設定された日時の値を保持する。ＲＴＣ時計計数レジスタが０に設定されたとき、ＲＴＣ時計計数レジスタと関連づけられ、また、オフセットカウンタと関連づけられる。オフセットカウンタは、０にセットされていてもされていなくてもよい。この変数の値はインクリメントされない。セキュアクロックの現在時間を計算するために、セキュアクロック基準の値は、ＲＴＣ時計計数レジスタの値とセキュアクロックオフセットの値との差に加算される。

３．セキュアクロックオフセット：このＲＡＭ内の変数はオフセットとして用いられるものであり、ＮＩＴＺパケットが到着し、ＮＩＴＺパケット内の日時情報が処理され次第、ＲＴＣ時計計数レジスタの現在の値（０〜Ｎ）が設定される。

４．セキュアクロック初期化フラグ：このＲＡＭおよびフラッシュメモリ内のブール真偽値は、セキュアクロック変数内の日時がデフォルト以外の日時に初期化されたことを示す。

不揮発メモリ：不揮発メモリは主電源の状態にかかわらず、前項において確認されたものと同じように、下記に示す変数の値を保持する。該値は、本発明に係るシステムおよび方法により、必要に応じて、不揮発メモリの内外から読み出される。

１．ユーザインタフェース時計基準
２．セキュアクロック基準
３．セキュアクロック初期化フラグ
４．セキュアクロックＮＩＴＺ初期化フラグ
バックアップ電源：バックアップ電源は、主電源が取り除かれるとき、または、ＲＴＣハードウェアが動作可能な最小電位を下回るレベルに放電されたとき、ＲＴＣハードウェアの動作状態を維持する、ユーザが使用不可な小型の電源である。

ユーザインタフェース時間の計算
（ユーザインタフェース日時）＝（ユーザインタフェース時計基準）＋（ＲＴＣ時計計数レジスタ）
セキュア時間の計算
（セキュア日時）＝（セキュアクロック基準）＋（ＲＴＣ時計計数レジスタ−セキュアクロックオフセット）
図１Ａを参照すると、本発明のパワーオンシーケンスは、一般に１０で描写されるものである。１２において通信機器の電源が投入されたとき、１４においてフラッシュメモリから、ユーザインタフェース時計基準、セキュアクロック基準、セキュアクロックＵＩ初期化フラグ、および、セキュアクロックＮＩＴＺ初期化フラグの現在の値が読み出される。１６においてセキュアクロックオフセットが０に設定される。通信機器は、現在時刻の設定が適正であるか否かを決定するために、１８においてＲＴＣハードウェアの電源不足が生じたか否かを判定することによって、ＲＴＣハードウェアの電源不足レジスタの状態を検査する。通信機器は、電源不足の状態を検出した場合、２０において、ユーザインタフェース時計基準およびセキュアクロック基準の値を、デフォルトの日時に再初期化し、セキュアクロックＵＩ初期化フラグおよびセキュアクロックＮＩＴＺ初期化フラグをＦＡＬＳＥ（偽）に設定する。ＲＴＣ時計計数レジスタは２２において０に設定される。そして、上記新しい（デフォルトの）値は、２４において、フラッシュメモリに格納（書き込み）される。電源不足レジスタの状態にかかわらず、セキュアクロックオフセットの値は、パワーアップするときに、常に０に設定される。

図１Ｂを参照すると、本発明の操作シーケンスは、一般に３０で描写されるものである。パワーオンシーケンスが完了した後しばらくして、ユーザは、時計がデフォルトの日時に設定されていることを見つけるだろう。これにより、ユーザは、通信機器に現在の日時を設定することを促される。通信機器に現在の日時を設定することは、ユーザが３２においてユーザインタフェース時計を変更すること（つまり、ユーザ時計イベント）である。ユーザがユーザインタフェース時計を変更した場合（３２においてＹＥＳ）、ユーザインタフェース時計の値は、３４において、ユーザインタフェース時計基準にコピーされ、ユーザによって入力された日時に設定される。セキュアクロックＮＩＴＺ初期化フラグが設定されていない場合（３６においてＮＯ）、セキュアクロックＵＩ初期化フラグは、３８において、フラグの設定内容を判定するために検査される。セキュアクロックＵＩ初期化フラグがＦＡＬＳＥ（偽）の場合（３８においてＮＯ）、４０において、新しいユーザインタフェース時計基準の値が、セキュアクロック基準の値を設定するために使用され、セキュアクロックＵＩ初期化フラグは、４２において、ＴＲＵＥ（真）に設定される。セキュアクロックＮＩＴＺ初期化フラグがＴＲＵＥ（真）に設定されている場合（３６においてＹＥＳ）、または、セキュアクロックＵＩ初期化フラグがＴＲＵＥ（真）に設定されている場合（３８においてＹＥＳ）、４４において、現在のセキュアクロック時間が計算され、セキュアクロック基準に書き込まれる。ＲＴＣ時計計数レジスタは、４６において０に設定され、セキュアクロックオフセットの状態は、４８において０に設定される。ユーザインタフェース時計基準、セキュアクロック基準、セキュアクロックＵＩ初期化フラグ、およびセキュアクロックＮＩＴＺ初期化フラグの新しい値は、５０において、フラッシュメモリに入力される。ユーザが、その後、インタフェース時計基準の値を、ユーザインタフェース時計設定機能を介して変更しても、セキュアクロック初期化フラグが、新たな設定を、セキュアクロック基準の値に影響させないようにする。

通信機器が、ユーザがユーザインタフェース時計を変更してないことを検出し（３２においてＮＯ）、一方、システム時計イベントである、ＮＩＴＺパケットの受信が行われている場合（５２においてＹＥＳ）、セキュアクロック基準の値が、５４においてＮＩＴＺの値に設定され、セキュアクロックＮＩＴＺ初期化フラグの値が、５６においてＴＲＵＥ（真）に設定され、ＲＴＣ時計計数レジスタの値が、５８においてセキュアクロックオフセットに書き込まれる。例えば、ＮＩＴＺからのセキュアクロック基準の新しい値を、ＮＩＴＺの受信時に０にリセットされなかったＲＴＣ時計計数レジスタの値に適切に関連付けるために、「セキュアクロックオフセット」と呼ばれる変数が定義される。その機能は、各ＮＩＴＺ受信時のＲＴＣ時計計数レジスタの値を保持するものである。セキュアクロック基準から現在時間が計算されたとき、オフセットは、セキュアクロック基準に加えられる前に、ＲＴＣ時計計数レジスタの現在値に適用される。ブロック３２および５２は、時計イベント検出機構として本明細書に参照されるものを含む。ブロック４４、４８、５６、および５８は、セキュアクロック初期化機構として本明細書に参照されるものを含む。ブロック４４〜４８、および５８は、セキュアクロック設定機構として本明細書に参照されるものを含む。既に示したように、（セキュア日時）＝（セキュアクロック基準）＋（ＲＴＣ時計計数レジスタ−セキュアクロックオフセット）である。

例えば、ＮＩＴＺ、タイムサーバなどの外部の時間ソースがセキュアクロック基準を更新するために用いられたとき、新しい値を反映するためのフラッシュメモリの更新は、パワーダウンまで、または、ユーザがユーザインタフェース時計基準の値を変更するときまで延期される。フラッシュメモリが、各ＮＩＴＺパケットを受信次第、新しいセキュアクロック基準の値によって更新される場合、フラッシュメモリの書き込み周期の最大数は、通信機器の寿命をおそらく越えるだろう。さらに、不揮発性書き込みプロセスは、他の全てのプロセスを中止させ、ユーザに受け入れられないような待ち時間を招くだろう。通信機器がパワーダウンの要求を受け付けた場合（５９においてＹＥＳ）、通信機器は、図１Ｃに描写されているパワーダウンシーケンスを開始する。パワーダウンの要求を受け付けない場合、図１Ｂの操作シーケンスは、パワーダウンの要求が受け付けられるまで、または、自動的にパワーダウンが開始されることとなる、１次電源が不足し始めるまで、定期的に繰り返される。

図１Ｃを参照すると、本発明のパワーダウンシーケンスは、一般に６０で描写されているものである。パワーダウンの要求を受け付けるなどにより通信機器がパワーダウンするとき、フラッシュメモリ内のユーザインタフェース時計基準およびセキュアクロック基準の値は、現在時間を反映するために更新されなければならない。現在のユーザインタフェース時間は、ユーザインタフェース時計基準およびＲＴＣ時計計数レジスタの値を用いて計算される。新しい値は、６２において、ユーザインタフェース時計基準としてフラッシュメモリ内に書き込まれる。現在のセキュア時間は、セキュアクロック基準の値、および、ＲＴＣ時計計数レジスタとセキュアクロックオフセットとの差を用いて、６４において計算される。ＲＴＣ時計計数レジスタは、６６において０に設定される。セキュア時間の新しい値は、６８においてセキュアクロック基準としてフラッシュメモリ内に書き込まれる。７０において、通信機器はパワーダウンする。

新しいＮＩＴＺ時間は、古いセキュアクロック時間と比較され、セキュアクロック時間を差し引いた新しいＮＩＴＺ時間の絶対値が、所定の秒数より大きい場合、セキュアクロック時間は新しいＮＩＴＺ時間によって更新してもよい。実行時データは、フラッシュメモリが更新されなかった場合、新しいＮＩＴＺ時間で更新してもよいし、更新しなくてもよい。このような二者択一を行なう場合、ユーザインタフェース時計基準、および、セキュアクロック基準のためのフラッシュメモリの更新は、パワーダウン時に行なわれなくてもよい。

以上のように、携帯電話にてセミセキュアクロックを用いる方法および装置は開示された。添付の請求項で定義された本発明の範囲内で、さらなる変形および修正に適用することができるだろう。

本発明の方法、および、本発明の方法と本発明の装置とのかかわりを示すブロック図である。本発明の方法、および、本発明の方法と本発明の装置とのかかわりを示すブロック図である。本発明の方法、および、本発明の方法と本発明の装置とのかかわりを示すブロック図である。

１０本発明のパワーオンシーケンス
３０本発明の操作シーケンス
６０本発明のパワーオフシーケンス

Claims

通信システムと通信する通信機器にてセキュアクロックを提供するセキュアクロック提供方法であって、
前記通信機器は、メモリを含む実時間時計ハードウェアを備え、
前記メモリは、
ユーザによって設定される日時を保持するユーザインタフェース時計基準と、
前記ユーザインタフェース時計基準に、デフォルト以外の日時が設定されているか否かを示すセキュアクロックＵＩ初期化フラグと、
前記通信システムから受信したＮＩＴＺ（network identity and time zone）パケットに含まれる日時、または、ユーザにより設定された日時を保持するセキュアクロック基準と、
前記セキュアクロック基準に、前記通信システムから受信したＮＩＴＺパケットに含まれる日時が設定されているか否かを示すセキュアクロックＮＩＴＺ初期化フラグとを記憶し、
前記通信機器にて、
ユーザによって日時が設定されたイベントであるユーザ時計イベント、および、前記通信システムからＮＩＴＺパケットを受信したイベントであるシステム時計イベントを検出する処理を行ない、
前記ユーザ時計イベントを検出したとき、前記セキュアクロックＮＩＴＺ初期化フラグおよび前記セキュアクロックＵＩ初期化フラグにＦＡＬＳＥ（偽）が設定されている場合は、前記ユーザインタフェース時計基準の値を前記セキュアクロック基準に設定し、前記セキュアクロックＵＩ初期化フラグにＴＲＵＥ（真）を設定する処理を行ない、
前記システム時計イベントを検出したとき、前記受信したＮＩＴＺパケットに含まれる日時を前記セキュアクロック基準に設定し、前記セキュアクロックＮＩＴＺ初期化フラグにＴＲＵＥ（真）を設定する処理を行ない、
さらに、前記設定した前記セキュアクロック基準に基づいて、前記セキュアクロックを設定する処理を行なうことを特徴とするセキュアクロック提供方法。
前記実時間時計ハードウェアは、さらに、定期的にインクリメントされる実時間時計計数レジスタを含み、
前記メモリは、さらに、前記通信システムからＮＩＴＺパケットを受信した時点の前記実時間時計計数レジスタの値を保持するセキュアクロックオフセットを記憶し、
前記セキュアクロックを設定する前記処理は、前記セキュアクロック基準の値に、前記実時間時計計数レジスタと前記セキュアクロックオフセットとの差を加算した結果を、前記セキュアクロックに設定することを特徴とする請求項１記載のセキュアクロック提供方法。
前記セキュアクロックを設定する前記処理は、
現在のユーザインタフェース時間を計算し、前記ユーザインタフェース時計基準に、前記計算されたユーザインタフェース時間を格納する処理と、
現在のセキュアクロック時間を計算し、前記セキュアクロック基準に、前記計算されたセキュアクロック時間を格納する処理と、
前記メモリに現在の時間を格納する処理とを含むことを特徴とする請求項２記載のセキュアクロック提供方法。
前記現在のユーザインタフェース時間および前記現在のセキュアクロック時間を計算した後、前記実時間時計計数レジスタを０に設定する処理と、前記セキュアクロックオフセットを０に設定する処理とを行なうことを特徴とする請求項３記載のセキュアクロック提供方法。
前記実時間時計ハードウェアは、さらに、
前記実時間時計ハードウェアへの供給電力が不足したか否かを示すブール真偽値を保持する電源不足レジスタを備え、
前記ユーザインタフェース時計基準、前記セキュアクロック基準、セキュアクロック初期化フラグ、およびセキュアクロックＮＩＴＺ初期化フラグの現在値を、前記メモリから読み出す処理と、
前記セキュアクロックオフセットを０に設定する処理と、
前記電源不足レジスタの状態を検査する処理と、
電力不足の状態が検出された場合、前記ユーザインタフェース時計基準およびセキュアクロック基準の値を、デフォルトの日時に再初期化して設定する処理と、
前記セキュアクロック初期化フラグおよび前記セキュアクロックＮＩＴＺ初期化フラグをＦＡＬＳＥ（偽）に設定する処理と、
前記実時間時計計数レジスタを０に設定する処理と、
前記ユーザインタフェース時計基準、前記セキュアクロック基準、前記セキュアクロック初期化フラグ、および前記セキュアクロックＮＩＴＺ初期化フラグに前記設定された値をメモリに格納する処理とを行なうパワーオンシーケンスをさらに含むことを特徴とする請求項２記載のセキュアクロック提供方法。
前記ユーザインタフェース時計基準と前記実時間時計計数レジスタの値とを加算して現在のユーザインタフェース時間を計算する処理と、
前記計算された現在のユーザインタフェース時間を前記メモリに書き込む処理と、
前記セキュアクロック基準の値に、前記実時間時計計数レジスタと前記セキュアクロックオフセットとの差を加算して、現在のセキュア時間の値を計算する処理と、
前記実時間時計計数レジスタを０に設定する処理と、
前記計算されたセキュア時間の値を、前記セキュアクロック基準として前記メモリへ書き込む処理と、
前記通信機器がパワーダウンする処理とを含むパワーダウンシーケンスをさらに含むことを特徴とする請求項２記載のセキュアクロック提供方法。
通信システムと通信する通信機器に備えられるセキュアクロック機構であって、
ユーザによって設定される日時を保持するユーザインタフェース時計基準と、前記ユーザインタフェース時計基準に、デフォルト以外の日時が設定されているか否かを示すセキュアクロックＵＩ初期化フラグと、前記通信システムから受信したＮＩＴＺパケットに含まれる日時、または、ユーザにより設定された日時を保持するセキュアクロック基準と、前記セキュアクロック基準に、前記通信システムから受信したＮＩＴＺパケットに含まれる日時が設定されているか否かを示すセキュアクロックＮＩＴＺ初期化フラグとを記憶するメモリと、
ユーザによって日時が設定されたイベントであるユーザ時計イベント、および、前記通信システムからＮＩＴＺパケットを受信したイベントであるシステム時計イベントを検出する時計イベント検出機構と、
前記ユーザ時計イベントを検出したとき、前記セキュアクロックＮＩＴＺ初期化フラグおよび前記セキュアクロックＵＩ初期化フラグにＦＡＬＳＥ（偽）が設定されている場合は、前記ユーザインタフェース時計基準の値を前記セキュアクロック基準に設定し、前記セキュアクロックＵＩ初期化フラグにＴＲＵＥ（真）を設定する処理を行ない、
前記システム時計イベントを検出したとき、前記受信したＮＩＴＺパケットに含まれる日時を前記セキュアクロック基準に設定し、前記セキュアクロックＮＩＴＺ初期化フラグにＴＲＵＥ（真）を設定する処理を行なうセキュアクロック初期化機構と、
前記設定した前記セキュアクロック基準に基づいて、前記セキュアクロックを設定する処理を行なうセキュアクロック設定機構とを備えることを特徴とするセキュアクロック機構。