JPH09506460A - Ｅｅｐｒｏｍメモリの安全更新方法 - Google Patents

Abstract

(57)【要約】 この発明は、不揮発性メモリ、特に、マイクロプロセッサをベースにしたチップカードに関する。メモリ内のデータの更新中、例えば、更新操作中に電源供給の遮断が生じた場合、機密扱いデータの喪失を防止するために、本発明による更新方法では、更新されるべきデータがバックアップゾーンにバックアップされ、このゾーンの記述子フィールドがプログラムされ、そして、（その後の更新操作のために）バックアップメモリの次のゾーンの記述子フィールドが消去される。バックアップゾーンに対応するインディケータが活動化され、データが更新され、そして、全てが適切に行われるとインディケータが非活動化される。バックアップがなされるゾーンは各時間で異なる。これは、バックアップメモリを操作することによって規定される。記述子が消去されるのはバックアップメモリの第１のゾーンである。カードが再び電源供給されたとき、活動化インディケータの存在がルーチン的に検証され、そして、対応するゾーン内のバックアップされたデータは、メインメモリ内に戻される。

Description

【発明の詳細な説明】 ＥＥＰＲＯＭメモリの安全更新方法 本発明は、ＥＥＰＲＯＭのような不揮発性メモリ及びこのようなメモリに記憶 されるデータの安全更新を可能にする関連回路に関する。 データの更新とは、メモリの特定アドレスで、古いデータを新しいデータに置 換することである。この操作は所定の期間持続する。この更新操作の間にメモリ の電源電圧が遮断される事態は偶発的に生じる。このようなことが現実にあれば 、古いデータも新しいデータも失われる。 記録されるべきデータが、「機密扱い」データ、つまり、考慮されているアプ リケーションに極めて大事に保存されるデータである場合には、このような状況 は受容し得ない。 アプリケーションの例として、メモリがチップカードのメモリである場合が挙 げられる。データは、チップカードに記録される経済的価値を表している。これ らのデータは機密扱いである。これらのデータは、製品やサービスを得るために カードリーダにて利用される。更新操作の際不意に（折悪しく）カードがカード リーダからもぎ取られたような場合には、カードの残余価値を表すデータが失わ れて、カード所持者やサービス提供者に損害を与えることになる。 このような状況を回避するために、既に提案されているメモリ更新システムで は、各更新操作毎に、新しいデータを所望ア ドレスに更新する前に、古いデータを不揮発性メモリの新しい位置にバックアッ プするための操作が開始されるようになされている。更新操作が誤って進行して も、少なくとも古いデータ値は保存される。 このようなシステムを作るに当って困難なことの一つは、古いデータをバック アップするのに使用されるべきメモリ空間の管理がある。バックアップされた情 報を記憶するメモリゾーンの位置を示すのには、一般に、不揮発性ポインタ（Ｅ ＥＰＲＯＭメモリレジスタ）が用いられる。 フランス特許第２６６５７９１号明細書に記載された従来技術を参照すると、 ここでも、アドレスポインタを用いて情報の最新値を記憶しているアドレスを指 示するようにしている。 このフランス特許第２６６５７９１号明細書には、バックアップ操作のための メモリ空間を管理する難しさが図示されている。この特許で提案された解決策は 、記憶されるべき各情報について、この情報の連続するＮ個の値をバックアップ 乃至保管をすることができるＮ個のメモリゾーンを使用することにある。情報の 最新値を識別するには、付加的な（ポインタ）ゾーンが使用される。 各更新操作において、ポインタの値は変更される。古い値及び最新の値のみが 保存される場合は、２つのゾーンが設定されてこれらの値が記憶され、ポインタ が交番的に状態“１”から状態“０”なって、これらの２つのゾーンのうち、最 新値が見出されたゾーンを指示する。 提案された更新方法は、完全に満足のいくものではなく、かつ、誤動作の危険 を伴う。このような危険は、特に、ポインタ（または、参照される他の方法の場 合には、インディケータ） を形成するメモリセルの激しい使用のために生じる。これらのメモリセルは、消 去及びプログラミング操作があまりにも頻繁になされると、エージングを受け、 そして、信頼性を喪失するのである。 本発明の目的は、でき得る限り誤動作の危険をなくし、従って、このようなデ ータの更新中に機密扱いデータ喪失の危険をなくすことにある。 この目的のために、本発明に従うと、機密扱いデータのバックアップに用いら れる種々のメモリにおいて、物理的ポインタを何ら備えることがなく、更新操作 による疲労ができ得る限り生じることのないように工夫された方法が提案される 。 従って、本発明によって提供されるのは、不揮発性メインメモリ内の機密扱い データの更新方法であって、 古いデータ値を不揮発性バックアップメモリにバックアップすること、 バックアップインディケータを活動化（起動）して、データがバックアップさ れたこと、及び、機密扱いデータの変更が進行中であることを指示するようにす ること、 前記メインメモリ内の機密扱いデータを変更すること、そして、 前記データの変更が適切に行われた場合、前記バックアップインディケータを 非活動化すること からなる方法において、 前記バックアップメモリが複数のメモリゾーンに分割され、 以前のゾーンとは異なる各メモリゾーンが新しい更新操作毎に使用されて、古 いデータを前記バックアップメモリにバックアップするようにし、そして、 前記バックアップメモリのゾーンの少なくとも１つの「記述子（ディスクタプ タ）フィールド」と呼ばれるフィールドが用いられて、更新操作中に使用される べきバックアップメモリゾーンを識別するようにする ことを特徴とする方法である。 本発明の好ましい実施例によると、更新操作は、バックアップメモリにおいて 、特徴的な値をもつ記述子フィールド（実際には、これは完全に消去されるフィ ールドである。）を備えた第１のメモリゾーンを探索することで開始するが、古 いデータをバックアップする操作には、古いデータのためのバックアップゾーン の記述子フィールドを変更することが含まれ、また、このゾーンに直接後続する 第１のメモリゾーンの記述子フィールド中に前記特徴的な値を記録することも含 まれる。 実際の機密扱いデータの更新には、次の事項が含まれる： 第１のゾーン（ここで、第１のゾーンの記述子フィールドは消去されている） が見出されるまでバックアップメモリの記述子フィールドをルーチン読出しする こと； 更新されるべき機密扱いデータの古い値をこのゾーンにてバックアップするこ と； 次のバックアップ操作のために第１のゾーンに後続する第２のゾーンを消去す ること； データが第１のゾーンにバックアップされたことを指示する第１ゾーン用イン ディケータを活動化すること； メインメモリ内の機密扱いデータを変更すること； この変更が正常に行われた場合にインディケータを非活動化すること。 機密扱いデータをバックアップするのに使用されるゾーンが常に同一のメモリ ゾーンであるとは限らない。使用可能な異なるゾーンが順次用いられる。全ての ゾーンが使用されてしまった場合には、再度第１のゾーンから開始するようにす ることができる。すなわち、最後のゾーンが使用されたとき、第１のゾーンが消 去される。指定の時間にどのゾーンが使用されなければならないのかを指示する のための不揮発性のポインタはなく、使用されるべきゾーンを決定するのは、当 該ゾーンの内容である。従って、単に、ポインタに頻繁に書込むことによる疲労 及びエラーの危険が完全になくなるだけでなく、バックアップの疲労も、異なる ゾーンに順次書込むことにより、そして、全てのゾーンが使用されてしまった場 合にのみ或るゾーンへの書込み操作を再開することにより、最小化することがで きる。 バックアップインディケータは、古い機密扱いデータ値がバックアップされて いるバックアップゾーンの一部であることが好ましい。 メモリが再度電源供給されたとき、ルーチン監視プログラムが実行される。つ まり、バックアップメモリにて活動化されたインディケータを探索することがお こなわれ、そして、活動化されたインディケータにより指定されたゾーンにバッ クアップされた古いデータがメインメモリに再書込みされる。 ある場合には、分離して更新されるべきではない密着した１組の機密扱いデー タを更新するように試みられる。さもなければ、アプリケーションコンテキスト の密着性が損なわれること になる。しかし、メモリは、一度に、たった１つのデータについて消去及び書込 みを実行するのに用いられる。 本発明は、このような場合においても、次のようにして適用することができる 。つまり、各機密扱いデータがそれぞれのゾーンにバックアップされるともに、 各タイミングにて、次のゾーンの記述子フィールドの消去、及び、バックアップ されるデータを記憶しているゾーンのバックアップインディケータの活動化が併 せて行われる。それから、対応する機密扱いデータが変更される。その後、これ らの操作が第“Ｒ”ランクのゾーンにバックアップされた最後のデータについて 実行された後、次の第“Ｒ＋１”ランクのゾーンが消去されて、付加インディケ ータが活動化される。これが第“Ｒ＋１”ランクのゾーンのインディケータであ る。そして最後に、以前に活動化されたインディケータは、最後のインディケー タから開始し、先行するインディケータに向けて逆方向に追跡して行き、付加イ ンディケータで終了するように、順次、非活動化される。 このことによって、全てのデータが変更されてしまわない限り、そして、バッ クアップインディケータがリセットされてしまわない限り、全ての古い内容を保 存することができる。 本発明の特別の実施例では、バックアップメモリに妥当性レジスタを対応付け 、この妥当性レジスタの内容によって、異なるバックアップゾーンが操作状態に あるかどうかを定義するようにすることができる。これらの異なるゾーンが信頼 不能状態（各プログラミングにて、プログラムされるべき内容と実際にプログラ ムされた内容を比較することにより、検出される或る一つの状態）になると、こ のことは妥当性レジスタに指示される。この場合、次のバックアップゾーンが将 来の更新操作に備 えて（その記述子フィールドは消去）準備されるとき、考慮される次のゾーンは 次の有効なゾーンである。すなわち、妥当性レジスタが使用されるべきではない ことを指示しているゾーンは、次のゾーンであると考慮されない。 本発明は、特に、マイクロプロセッサ及び不揮発性メインメモリ（一般的には 、ＥＥＰＲＯＭ）を具備するチップカードに適用することができる。このような チップカードは、システムプログラム及び再記憶プログラムを有しており、シス テムプログラムにより、前述のように規定された方法に従って、機密扱い情報の 更新のための操作の実行が定義される。再記憶プログラムは、電源が再度供給状 態になったとき、データを再記憶するためのプログラムであり、バックアップイ ンディケータの状態のルーチン検証、インディケータの状態に応じたバックアッ プされるデータの再記録、及び、活動化されたインディケータの非活動化から成 っている。 本発明の他の特徴及び利点は、添付した次の図面を参照してなされる以下の詳 細な説明から明らかになろう： 図１は、本発明を適用することができるマイクロプロセッサをベースにしたメ モリカード回路を示し、 図２は、機密扱いデータのバックアップのために用いられるメモリの構成を示 し、 図３は、第１の実施例における本発明による更新方法のフローチャートを示し 、そして、 図４は、データの１データグループを密着して更新することができる別の実施 例におけるフローチャートを示す。 本発明は、主として、チップカードに適用することができるものなので、ここ ではこのような状況で説明される。さらに、本発明は、可変データを記憶するた めの不揮発性メモリだけでなく、カードの内部及び外部間におけるデータ交換を 管理するためのマイクロプロセッサをも具備するマイクロプロセッサをベースに したカードにおいて実行されることが好ましい。しかしながら、以下に説明する タスクは、もしこれらのタスクが実行されるようにカード内に設計された適当な ワイヤードオートマトンがあるとすれば、マイクロプロセッサなしにカードにて 実行することができることが理解されよう。 図１には、マイクロプロセッサをベースにしたチップカードが示されている。 このマイクロプロセッサＭＰは、バスＢを介して、カードの種々のメモリ及びカ ードの入出力ポートに接続される。図１には或る１つの入出力ポートＩ／Ｏが示 されている。 このようなメモリとしては、一般的に、次の要素がある： チップカードのアプリケーションにて有用なデータ（このようなデータはカー ドの連続利用中に変更され、そのなかには機密扱いデータがあって、これがデー タ更新中に不意に喪失されるようなことがあり得る）を記録するためのプログラ ム可能で電気的消去可能な不揮発性メインメモリＭＮＶＰ； マイクロプロセッサをベースにしたシステムに存在するランダムアクセスメモ リのようなメモリであって、カードの利用中に必要な中間的データを格納するた めの揮発性作業メモリＲＡＭ； カードの実行を可能化するシステムプログラム（これらのプログラムは、カー ドの１つの利用から別の利用へと変化することがない）を記憶している読出専用 メモリＲＯＭ； メインメモリ内のデータの更新中にデータの古い値を保存するために必要なプ ログラム可能で電気的消去可能な不揮発性バックアップメモリＭＮＶＳ。 この最後のメモリは、簡潔化のために、メインメモリとは別のメモリとして示 されている。しかしながら、このメモリが物理的には上記の目的のためにリザー ブされたメインメモリの一部に形成されることが理解されよう。この場合、所定 数のアドレスがこのバックアップメモリ用にリザーブされる。ただ一つの制約は 、メモリＭＮＶＳの内容を一定の順序でシーケンシャルに容易に探査することが できるようにするために、これらのアドレスが互いに連続して続かなければなら ないことである。 図１には、また、光学的な不揮発性レジスタＲＶが示されており、このレジス タは、後述するように、「妥当性レジスタ」と呼ばれ、その有用性について更に 説明がなされる。このレジスタは、また、メモリＭＮＶＰ又はメモリＭＮＶＳの 一部分をけいせいする。 本発明の目的は、再述すると、古いデータを保存している間にメモリＭＮＶＰ の任意の機密扱いデータを更新することができるようにして、更新操作の進行が その実行の完了前に不意に中断されるようなことがあっても、それを再利用する ようにすることにある。 バックアップメモリＭＮＶＳの構成は、図２に示されるように、Ｎ個のバック アップゾーンから成っている。各ゾーンは、 機密扱いデータのバックアップを可能にする。これらのゾーンは順々に使用され る。すなわち、或るゾーンが或るバックアップ操作に対して使用されてしまって いるとき、次のバックアップ操作に対して使用されるのは、別のゾーンである。 全てのゾーンが使用されてしまうと、循環式に再開することができる。しかし、 Ｎ個のゾーンが消費された後カードにもはや使用できる場所がなく、さらには、 更新により安全性がなくなるような場合に備えることもできる。 更新前に機密扱いデータのバックアップを確実にするために、各バックアップ ゾーンには数個のフィールドが備えられる。１ゾーンのフィールドは、次のよう なものが好ましい： データが正にバックアップされてしまい、更新が正しく終端にまで行われなか った場合にはデータを回復することができるということを示すバックアップイン ディケータフィールドＦ１（１ビットで十分である）； 次のようなフィールドのデータに関する情報を与えるゾーン記述子フィールド Ｆ２：データ長、検証コード、等々、及び、より一般的には、ゾーンに格納され たデータの解釈及びこれらのデータの完全性の監視に必要な全ての記述子フィー ルド；特別の例では、記述子フィールドが更にゾーンにバックアップされるデー タのもとのアドレスを含むことが考えられるであろう。しかしながら、このアド レスは記述子フィールド以外のフィールドに存在し得ることが理解されるべきで ある。もとのアドレスは、もし記述子フィールドがバックアップされたデータと このデータのもとのアドレスとを識別するのに用いられるならば、特別に、後記 フィールド（データフィールド）に存在する； バックアップされるデータのフィールドＦ３；原則としてし てただ１つのフィールドであり、バックアップされなければならないデータの最 大サイズに応じたサイズにされる。 記述子フィールドＦ２は、図示の例では、次の４つのサブフィールドをもつ： ＣＨＫＳ＝ゾーンには格納されたデータの完全性についての監視を可能化する ７ビットの符号化情報；これは、例えば、先ず記述子フィールドの次のサブフィ ールドに、次いでこのデータフィールドに記録される； ＬＮＧ＝バックアップされたデータの実長さを符号化するバイト； ＡＤｈ，ＡＤｂ＝バックアップされたデータの原アドレスに関係するバイト（ 最上位及び最下位）；このアドレスは、もし更新が正しく実行されなかった場合 に、バックアップされたデータを再記憶するために必要である。 〔機密扱いデータの更新手順〕 図３のフローチャートには、データのバックアップがまったく個別的である場 合、すなわち、数個のデータの密着性に注意を払う必要がない場合の更新手順が 、示されている。 もしバックアップされるべきデータが機密扱いである場合には、この手順は、 次のステップから成る： メモリＭＮＶＳを常に同一順序でシステマティックに走査して、記述子フィー ルドが予め定義された特性値をもっているゾーンを探索すること；この特性値は 、当該記述子フィールドの全体の消去に対応して、「０」（全てのビットの「０ 」を伴う）であることが好ましく、メモリＭＮＶＳが走査される順序を決定する のは、原則として、ＲＯＭ内のシステムプログラムであ り、“Ｒ”（“１”〜“Ｎ”の範囲にわたる）は消去される記述子フィールドと 共に見出される第１のゾーンのランクである； バックアップされるべき古い値を第“Ｒ”ランクのゾーンに書込んで、この古 い値をバックアップすること；データはデータフィールドに書込まれ、従って、 記述子フィールドは変更され、データの原アドレスは記述子フィールドにバック アップされ、完全性の検証のための他のデータが記述子フィールドに書込まれ、 好ましくは、バックアップゾーンへの書込みに続き、書込まれてしまったものを 直ちに検証する； 次のバックアップ操作のために、次のゾーン、即ち、第“Ｒ＋１”ランクのゾ ーンから記述子フィールドを消去すること、或いは、一般的には、このフィール ド内の特性値が「０」でない場合、この特性値をプログラミングすること；この 記述子フィールドは少なくとも消去されるが、この第“Ｒ＋１”ランクのゾーン からデータフィールドを消去するための準備を行うことも可能である； バックアップインディケータを活動化すること；後述するように、インディケ ータはたった１ビットであり、その初期値は論理「１」の状態にあり、活動化は このビットをこの「１」の状態に置くことにあるものとされる；あるゾーンのイ ンディケータの活動化は、問題の場合に再利用することができる被バックアップ データがこのゾーンに存在することを表している； 機密扱いデータを実効的に更新すること、すなわち、メインメモリＭＮＶＰ内 のこのデータを変更すること；この変更は、原則として、検証のために、変更さ れたデータを即時に読出す操作を含んでいる； 操作の実行が一方の終了から他方の終了へと正規に行われた 場合に、活動化インディケータを非活動化すること（状態「０」への復帰）。 実行が正規に行われた場合には、カードはリーダから引出され正規に再使用す ることができ、カードには更新されたデータが記録されている。 次の項では、手順及び古いデータの再記憶に異常な中断があった場合について 説明される。この中断は、実際には、例えば、カードの不意の引出しによる電源 供給の遮断である。 〔異常中断時の再記憶〕 活動化インディケータが「１」にセットされる前にこのような異常な中断が生 じた場合は、電力が再度オンに投入されたとき、特定の操作は何ら実行する必要 がない。というのは、データは更新され始めることがないからである。もちろん 、バックアップゾーンに書込みを始めてしまうことができるが、メインメモリＭ ＮＶＰは損壊されてはいないであろう。まるでカードが使用されなかったかのよ うである。カードには、以前に既に記憶されていたデータが記憶されている。こ れらのデータは喪失されていないのである。 これとは逆に、活動化インディケータが「１」にセットされている間に異常な 中断が生じた場合には、メインメモリでの更新が始まっていることを意味する。 そのときメインメモリに記憶されているのが、古いデータなのか或いは新しいデ ータなのか、それとも例えば、再書込み前のデータの全体的な消去に起因する空 きゾーンのような他の使用不能の情報なのかは、分からない。 カードが再度電源供給されるときはいつでも、カードの（ＲＯＭにある）シス テムプログラムにより、メモリＭＮＶＰの活動化のフィールドの状態をルーチン 的に確かめられる理由は、こういうことだからである。インディケータが或るゾ ーンについて「１」であることが見出されると、このゾーンのデータフィールド の内容は、メインメモリに、対応する記述子フィールドにて指示されるアドレス で再書込みされる。それから、活動化インディケータはリセットされる。メイン メモリは更新の試みに失敗する前の状態に復帰する。 最後に、活動化インディケータがリセットされた後、不意の中断が生じた場合 には、この中断はまったく影響を与えず、更新は完全に行われる。古いデータを 再記憶する用意をする必要はない。 〔所定バックアップゾーンの無効化〕 バックアップメモリＭＮＶＳの所定のゾーンは、欠陥があると認識された場合 に、無効化することができるものであることが好ましい。 これは、例えば、これらのゾーンがサイクリックに用いられてその結果ある程 度エージングを受けているケースである。欠陥があると認識されたこれらのゾー ンは、もはや、機密扱いデータをバックアップするのに用いるべきではない。 このためには、書込み乃至読出しの問題が或るバックアップゾーンにて検出さ れたときに、そのゾーンが、バックアップゾーンの「妥当性レジスタ」と呼ばれ る不揮発性レジスタ（図１におけるレジスタＲＶ）によって、操作の外に置かれ る。問題の存在は、原理的には、プログラミング操作後に読出されたデ ータと記録されたであろうデータとの比較によって、検出される。一般的には、 この不揮発性レジスタへの書込み操作は、原則として、検証読出し操作が後続す る。 妥当性レジスタは、各バックアップゾーンに対するビットを格納する。このレ ジスタは、さらに、まさにメモリＭＮＶＳそれ自体内部の付加的なフィールドに よって形成することもできる。例えば、「１」のビットは対応するゾーンが無効 であり用いられるべきでないコトを指示する。 この場合、上述した手順の間、或るゾーンから次のゾーンへの移行が先ず第一 にこのゾーンの妥当性の検証にあることが分かる。もし第“Ｒ”ランクのゾーン に後続するゾーンが無効であるなら、第“Ｒ＋１”ランクのゾーンは、この無効 なゾーンではなく、第“Ｒ”ランクのゾーンに後続する最初のゾーンである。そ れで、例えば、この「後続ゾーン」の記述子フィールドが消去されるべきである と説明されるとき、関係するのは後続する有効なゾーンである。 妥当性レジスタがプログラムされるのは極めて稀でありプログラムビットはも はや消去されないので、妥当性レジスタはエージングプロセスに従属するもので はない。 〔全ての有効ゾーンが使用された場合〕 有効なゾーン（妥当性レジスタが存在するときに有効なゾーン）が全て用いら れてしまった場合には、カードがもはや機能することができなくするように企図 することができる。さもなくば、さらに、データを何らバックアップすることな く更新操作が以後実行されることになることが想像される。しかしながら、ゾー ンの探索及び使用をサイクリックに行うこと、すなわ ち、情報がメモリＭＮＶＳの最後のゾーンにバックアップされなければならいと き、次のゾーンの消去プログラムによって、このメモリの最初の（有効な）ゾー ンの消去を実行することも考えられる。従ってメモリＭＮＶＳは第二回目に使用 される。限定的な或いは無制限の回数のサイクルだけ実行することが可能である 。この使用サイクル数が限定的である場合、実行されるサイクル数を記録するた めに不揮発性カウンタを用意する必要があることが分かるであろう。 〔機密扱いコンテキストにおける複数データのバックアップ及び再記憶〕 個々のデータが機密扱いであるだけでなく数個のデータが密着性が維持されな ければならない統一体をも形成している場合について検討してみよう。つまり、 このことは、或る１つのデータを更新することは、密着したグループの他のデー タが更新されなければ、不可能であることを意味している。 しかしながら、例えば、これらのデータの長さによって、そして、これらのデ ータが種々のアドレスに位置するという事実によって、データは１つずつしか更 新することができない。 このような場合には次の手順が実行される： 第一に、個々のデータの活動化インディケータが各データの更新後直ちにはリ セットされず、全てのデータの更新が待機させられ、 第二に、密着したグループの存在に対して特別の付加インディケータが活動化 されて、このグループのデータ全体が更新されたことを指示する。 この付加インディケータは、密着したグループの最後の個別 データのバックアップがゾーンに格納された直後に、消去されたゾーンのインデ ィケータフィールドによって形成されるのが好ましい。 より特定的には、この場合、密着したグループの更新のための手順は、図４の フローチャートに示されるように、次のステップから成っている： （ａ）記述子フィールドが消去される第１のゾーンを探索すること；見出され たゾーンは第“Ｒ＋ｉ”ランクを有し、ここで、“ｉ”は、密着したグループに おける各個別データの更新順位を表す指標であってこの手順の開始では「０」に 等しく、既に使用されてしまった全てのメモリは、さらに上記のように取り扱わ れて、同じように、つまり、カードの無効化、バックアップなしの更新、或いは 、メモリＭＮＶＳのサイクリックな操作に、分解することができる； （ｂ）この第“Ｒ＋ｉ”ランクのゾーン内の個別データを、対応する記述子フ ィールドプログラム（合計検証バイト、長さバイト、データのもとのアドレスに 関係するバイト）によって、バックアップすること； （ｃ）このバックアップゾーンに後続する第“Ｒ＋１＋１”ランクの有効ゾー ンを探索し、この後続ゾーンの記述子を消去すること； （ｄ）前記バックアップゾーン（第“Ｒ＋１”ランク）のバックアップインデ ィケータを活動化すること； （ｅ）古いデータがこのようにして適切にバックアップされた機密扱いデータ を、メインメモリＭＮＶＰにて、変更すること； （ｆ）“ｉ”をインクリメントし、もし同一密着グループの 一部を構成する別の個別データが更新されなければならない場合には、ステップ （ａ）にリターンし、 或いは、逆に、もし同一密着グループの最後の個別データが更新されてしま った場合には、次のステップ（ｇ）に進むこと； （ｇ）第“Ｒ＋ｐ”ランクの（消去）ゾーンのバックアップインディケータを 消去すること；第“Ｒ＋ｐ−１”ランクは最後に更新された個別データのバック アップゾーンのランクであり、“ｐ”は密着グループの一部を構成する個別デー タの数であり、この付加的な活動化インディケータは、上述した「付加インディ ケータ」であって、消去されるゾーンに関連付けられるがバックアップとして使 用されるゾーンには関連せず、さらに後で説明されるように、グループの更新の 密着性を保証するのに使用される； （ｈ）異なるバックアップゾーンのバックアップインディケータを、活動化と は逆の順序で、すなわち、第“Ｒ＋ｐ−１”ランクから開始して第“Ｒ”ランク に到達するように、順次、非活動化（リセット）すること； （ｉ）第“Ｒ＋ｐ”ランクの消去ゾーンに関連付けられた付加インディケータ を非活動化すること。 〔進行中の更新の中断〕 ステップ（ａ）〜（ｆ）において電源供給の中断があった場合には、所定のデ ータが更新されているが必ずしもその全ては更新されない。インディケータが「 １」であるバックアップゾーンには、古いバックアップ済データが格納されてい る。インディケータが依然として「０」であるゾーンには、不確定な情 報が格納されているが、この場合、古いデータはまだメインメモリに存在する。 グループの密着性の故に、インディケータが「０」であるゾーンのデータのため にメインメモリに作用したり、インディケータが「１」であるゾーンのデータを メインメモリに再記憶する必要はない。グループの密着性は保持されている。デ ータは全ての古い値を保持している。 ステップ（ｇ）及び（ｆ）の間に電源供給の中断が生じる場合、付加インディ ケータ（第“Ｒ＋ｐ”ランク）に「１」が存在することにより知られる事実によ り、グループの全てのデータが更新されたことがはっきり示される。たとえ、ゾ ーン“Ｒ”〜“Ｒ＋ｐ−１”の所定インディケータが依然として「１」であると しても、新しい値のための密着性が存在し古い値を再記憶する必要がない。 そして、付加インディケータが「０」に復帰した場合〔ステップ（ｉ）及びそ の後〕には、密着した更新が完全に終了し、なすべき作業は何もないと考えるこ とができる。 〔電源供給の切断後の再記憶］ その後再度電力供給がなされたときに必ず自動的に実行されるシステムプログ ラムは、次のステップから成っている： （ａ１）バックアップインディケータが「１」であるバックアップゾーン（第 “Ｒ”〜“Ｒ＋ｐ−１”のランクを有するゾーン）を探索すること； （ｂ１）インディケータが「１」であるべき消去ゾーン（第“Ｒ＋ｐ”のラン ク）を探索すること； （ｃ１）もし、消去ゾーンが存在しない場合、或いは、活動化インディケータ が「０」（不活動化状態）である場合には、 ステップ（ｄ１）に進み、 他の場合には、ステップ（ｄ２）に進むこと； （ｄ１）インディケータが活動化されているゾーンにバックアップされた各デ ータをメインメモリＭＮＶＰに再記憶し、各時間に、対応するインディケータを 、最後に使用されたゾーンから開始し最初に使用されたゾーンで終了するような 態様で、非活動化すること（バックアップはゾーンの順位で行われることを参照 ）；ステップ（ｃ１）において消去ゾーンがおそらく見出されないということを 考慮して、バックアップとして使用された最後のゾーンに後続するゾーンの記述 子を消去することによって、終了することができる。というのは、その後の更新 操作のために消去ゾーンが必要とされるからである； （ｄ２）使用されたバックアップゾーンの全てのインディケータを、最後に活 動化されたインディケータから開始し、最初に活動化されたディケータに向かっ て逆に辿り、記述子が消去されたゾーンの付加インディケータで終了するような 態様で、順次消去すること。 このように、密着したグループの異なるバックアップゾーンを識別するのに、 不揮発性ポインタを用意する必要なく、数個のデータの密着した更新が可能であ ることが注目される。

Claims (1)

1. 【特許請求の範囲】 １．不揮発性メインメモリ（ＭＮＶＰ）内の機密扱いデータについてのデータ 更新方法であって、 前記データの古い値を不揮発性バックアップメモリ（ＭＮＶＳ）にバックアッ プすること、 バックアップインディケータを活動化して、データがバックアップされたこと 、及び、機密扱いデータの変更が進行中であることを指示するようにすること、 前記メインメモリ内の機密扱いデータを変更すること、そして、 前記データの変更が適切に行われた場合、前記バックアップインディケータを 非活動化すること からなる方法において、 前記バックアップメモリが複数のメモリゾーンに分割され、 以前のゾーンとは異なる各メモリゾーンが新しい更新操作毎に使用されて、古 いデータを前記バックアップメモリにバックアップするようにし、そして、 前記バックアップメモリのゾーンの少なくとも１つの「記述子フィールド」と 呼ばれるフィールドが用いられて、更新操作中に使用されるべきバックアップメ モリゾーンを識別するようにする ことを特徴とする方法。 ２．前記更新操作は、バックアップメモリにおいて、所定の特徴的な値をもつ 記述子フィールドを備えた第１のメモリゾーンを探索することで開始し、 前記古いデータをバックアップする操作には、古いデータのためのバックアッ プゾーンの記述子フィールドを変更することが含まれ、さらに、このゾーンに直 接後続する第１のメモリゾーンの記述子フィールド中に前記特徴的な値を記録す ることが含まれる ことを特徴とする請求項１に記載のデータ更新方法。 ３．前記記述子フィールドの特徴的な値は、このフィールドの全体の消去に対応 する「０」値であることを特徴とする請求項１に記載のデータ更新方法。 ４．前記バックアップゾーンは記述子フィールド及びデータフィールドを含み、 この記述子フィールドは、中断を指示し、該データフィールドに記録されたデー タの全体の監視を指示するものであることを特徴とする請求項１又は２に記載の データ更新方法。 ５．前記バックアップの記述子フィールドは、このゾーンにバックアップされた 古いデータのもとのアドレスを含むことを特徴とする請求項３に記載のデータ更 新方法。 ６．或る更新操作のためのバックアップインディケータは、更新操作の間に使用 されるバックアップゾーンの一部を形成し、個のゾーンがバックアップされるデ ータを有しているかどうかを指示するためのビットから成っていることを特徴と する請求項３又は４に記載のデータ更新方法。 ７．第一に、前記バックアップメモリには妥当性レジスタを関連付けられ、この 妥当性レジスタは、バックアップメモリの各ゾーンの有効性に関する情報を格納 し、第二に、次のデータのバックアップのために使用されるべきゾーンが、古い データのバックアップゾーンに後続する第１の有効なゾーンであることを特徴と する請求項１乃至６の何れか１項に記載のデータ更新方法。 ８．メモリが中断後再び電源供給されたときには必ず、前記バックアップメモリ において活動化されたインディケータの存在の探索がなされ、活動化されたイン ディケータに対応するバックアップメモリゾーンにバックアップされた古いデー タが前記メインメモリに再書込みされることを特徴とする請求項１乃至７の何れ か１項に記載のデータ更新方法。 ９．分離して更新されてはならない数個の機密扱いデータからなる密着したデー タ組を更新するものであって、次のステップが実行されることを特徴とする請求 項１乃至８の何れか１項に記載のデータ更新方法： （ａ）記述子フィールドが前記特徴的な値を有する第１のバックアップメモリ ゾーンを探索すること、 （ｂ）このゾーン内の機密扱いデータをバックアップすること、 （ｃ）このバックアップゾーンに後続するゾーンの記述子フィールドを前記特 徴的な値にプログラミングすること、 （ｄ）前記バックアップゾーンのインディケータを活動化すること、 （ｅ）前記機密扱いデータを変更すること、 （ｆ）他の機密扱いデータが依然として前記密着したデータ組にて更新されな ければならない場合には、ステップ（ａ）にリターンし、このデータ組の最後の 個別データが更新されてしまった場合には、次のステップ（ｇ）に進むこと、 （ｇ）記述子フィールドが前記特徴的な値にプログラムされてしまったゾーン 、すなわち、使用された最後のバックアップゾーンに後続するゾーンのインディ ケータである付加インディケータを活動化すること、 （ｈ）使用された異なるバックアップゾーンの活動化インディケータを、最後 のインディケータから開始して使用されたゾーンの最初のインディケータに戻る ように、順次非活動化すること、そして、 （ｉ）付加インディケータを非活動化すること。 １０．カードが再び電源供給されたときには必ず、次の操作が実行されることを 特徴とする請求項８に記載のデータ更新方法： （ａ１）インディケータが活動化されているバックアップゾーンを探索するこ と、 （ｂ１）記述子フィールドが前記特徴的な値であるゾーンをを探索すること、 （ｃ１）このゾーンの「付加インディケータ」と呼ばれるインディケータの状 態を探索すること、 （ｄ１）もし、付加インディケータ活動化された状態にない場合には、インデ ィケータが活動化されているバックアップゾーンにバックアップされた各データ をメインメモリに再記憶すること、そして、 （ｄ２）もし、付加インディケータ活動化されている場合には、活動化されて いる全てのインディケータを、最後に使用されたゾーンから開始して最初にしよ うされたゾーンに戻るように、順次非活動化し、それから、前記付加インディケ ータを非活動化すること。 １１．ステップ（ｂ１）でゾーンが見出されない場合には、ステップ（ｄ１）が 実行され、前記特徴的な値でプログラミングするゾーンの付加なステップがその 後の更新操作のために実行されることを特徴とする請求項９に記載のデータ更新 方法。 １２．バックアップメモリの全てのゾーン機密扱いデータをバックアップするの に使用されたとき、前記バックアップメモリの使用可能な最後のゾーンでのバッ クアップ操作には、このバックアップメモリの再利用のために、バックアップメ モリの第１のゾーンの記述子フィールドの消去が含まれることを特徴とする請求 項１乃至６の何れか１項に記載のデータ更新方法。 １３．マイクロプロセッサ及び不揮発性メインメモリを具備するとともに、請求 項１乃至１２の何れか１項に記載のデータ更新方法に従う機密扱いデータの更新 のための操作の実行を定義する記憶化システムプログラム、及び、電源が再び供 給状態になったとき、データを再記憶するためのプログラムを有するチップカー ドであって、この再記憶するためのプログラムは、前記バックアップインディケ ータの状態をルーチン的に検証する操作、インディケータの状態に応じてバック アップされたデータを再記録する操作、及び、活動化インディケータを非活動化 する操作を含むことを特徴とするチップカード。