JPS63317862A - 安全モジユールの動作制御方法 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 〔産業上の利用分野〕 この発明は安全モジュールに関し、特に安全モジュール
の動作制御方法に関する。

〔従来の技術〕

安全モジュールは、時には耐タンパ・モジュールと呼ば
れ、基本的には処理手段を収容する物理的な安全容器と
重要データを記憶する記憶手段とを有する。それは、例
えば、容器に穴をあけ又は破壊しようとして安全モジュ
ールを不正に干渉又はアクセスしようとした場合、重要
データを記憶する記憶手段をリセットしてしまうように
したものがある。

安全上ジーールは高い安全度が重要であるデータ処理シ
ステム及び回路網にその適用が必要となる。そのような
適用の例としては、電子支払システム、電子ファント転
送（ＥＦＴ　）システム、データ暗号化及び復号化、　
ＰＩＮ　（個人識別番号）照合。

アクセス制御及びホーム・バンキングなどがある。

先行技術の米国特許第４，５９３，３８４号は共に接続
された６つの部分から成るセラミック容器と、その中に
収容されるプロセッサ及び重要データ記憶用リセッタプ
ル・シフト・レジスタとを含む安全モジュールを開示し
ている。その容器の各部分には重複層に配置された１対
の導通路部が設けられ、相補的ジグ・デグ構造を有する
。容器部の導通路部は第１及び第２の導通路を形成する
ように接続される。容器を破壊しようとして生じる２つ
の導通路間の短絡又はどちらかの導通路の遮断によりリ
セット信号発生器からリセット信号を発生させてリセッ
タプル・シフト・レジスタの内容を°消去する。又、容
器の温度に反応する温度センサ回路が設けられ、その温
度が所定の温度以下に落ちると、再びリセット信号発生
器からリセット信号を発生させてリセッタブル・シフト
・レジスタをリセットする。この公知の安全モジュール
はプロセッサが実行するソフトウェア・プログラムであ
る安全モ・シーール用ファームウェアを記憶するプログ
ラマブル読出専用メモＩＪ　−（ＦＲＯＭ　）を含む。

１９８６年６月２３日に出願した米国特許出願第８７７
．０４９号はセラミック容器の各部分が２層のワイヤ・
メツシュを含むようにした安全モジュールを開示し、そ
の２層のワイヤ・メツシュは上記層間に置かれた導通シ
ートと共に１つの回路となるように電気的に接続され、
その回路が導通シートに短絡するか遮断された場合にリ
セット信号を発生する。

米国特許出願第８７７．９０７号（１９８６年６月２４
日出願）はセラミック容器の各部分が各部分の内面に供
給された導通薄膜によって形成された２層のワイヤ・メ
ツシュを含む安全モジュールを開示している。

米国特許出願第０５８，７３０号（１９８７年６月５日
出願）はセラミック容器の各部に薄膜デポジション技術
により導通路セグメントをその内面に供給した安全モジ
ュールを開示している。

〔発明が解決しようとする問題点３ 以上説明した公知の安全モジュールは動作上の柔軟性が
ないという欠点を有する。すなわち、公知の安全モジュ
ールの機能性はＦＲＯＭに記憶されているファームウェ
アによって決められ、ＦＲＯＭは一般に特別ＦＲＯＭ　
！ログラマ装置によって逆行不能方法でプログラムされ
るため、公知の安全モジュールがひとたび組立てられ、
そこに封入されているＦＲＯＭと共に閉塞されると、安
全モジュールの機能性の変更はもはや不可能となる。し
かし、そのような変更は安全モジュールを使用するシス
テムを更にグレードアップし、強化しようとする場合に
必要となる。

従って、この発明の目的は安全モジュールの取扱いは高
い柔軟性を持ちうるようにした安全モジュールの動作制
御方法を提供することである。

〔問題点を解決するための手段〕

以上説明したこの発明の目的を達成するために、この発
明は処理手段と、安全モジュールの動作を制御する・・
−ムラエアを記憶するプログラム・メモリーと、入力／
出力手段と、容器をタンパ（不当に干渉又は内部に接触
する）しようとする試みに応答してタンパ表示信号を発
生する耐タン／ぐ容器とを含む安全モジュールの動作を
制御する方法であって、前記入力／出力手段を介して権
限者キーを前記安全モジュールに挿入し、前記挿入され
た権限者キーを前記安全モジュールの第１の記憶手段に
安全に記憶して前記権限者キーを前記タンパ表示信号の
供給に応答して使用不能にし、前記安全モジュールの外
で前記権限者キーとロードされるべきハームウェアとを
使用して第１のノー−ムラエア権限者値を演算し、前記
ハームウェアと前記第１のファームウェア権限者値を前
記入力／出力手段を介して前記安全モジー−ルの第２の
記憶手段に挿入し、前記第２の記憶手段に記憶されたハ
ームウェアと前記第１の記憶手段に記憶された前記権限
者キーとを使用して前記処理手段において第２のハーム
ウェア権限者値を演算し、前記第１及び第２の権限者値
を比較し、前記第２の記憶手段に記憶されているハーム
ウェアを前記比較が有効な場合前記プログラム・メモリ
ーに転送し、前記比較が無効な場合拒絶状態信号を発生
する各工程を含む安全モジュールの動作制御方法を提供
する。

この発明による方法は安全性のない環境下で安全モジュ
ールの機能を信頼できる方法で変更することができるよ
うにした。従って、この安全モジュールを使用している
システムがグレードアップ又は強化される場合、この安
全モジュールが設置されている場所、すなわち安全でな
い環境下で使用中に、その安全モジュールの動作を制御
するハームウェアを信頼性のある方法で変更することが
可能となる。

更に、この発明の利点は標準モジュールで製造すること
ができ、安全でない環境下において希望する７、−ムウ
ェアヲ安全モジュールにロードすることができるように
して顧客の場所から安全モジュールを引取り、又返送す
る時間を省くようにしたことである。そのため、製造コ
スＨ−相当安くすることができる。

更に、この発明はＥＰＲＯＭ　（消去可能なプログラマ
ブル読出専用メモリー）又はＥＡＲＯＭ　（電気的に書
換可能な読出専用メモリー）のような高価なメモリー装
置を使用せずに達成可能であるという利点を有する。一
般に、ＥＰＲＯＭは新情報を挿入する前に記憶情報を消
去しなければならず、それは一般にＵＶ光を用いて行わ
れる。従って、ＥＰＲＯＭは一度閉じた安全モジュール
内に組込まれると、再びプログラムし直すことはできな
い。又、ＥＡＲＯＭは高価テあり、リプログラムのため
に特別に高い電圧を必要とする。そのような電圧は閉じ
られた安全モジュール内で発生し、制御することは困難
である。

〔実施例〕

第１図及び第２図は特に第２図に詳細に示す電子回路１
４を収容す′る容器１２を含む安全モジュール１０を示
す。容器は上板Ｐ１．側板Ｐ２〜Ｐ５及び底板Ｐ６から
成る。この６枚の板Ｐ１〜Ｐ６は化学的に強いセラミッ
ク材料で作ることが望ましい。電子回路１４は底板Ｐ６
の上に取付けられ、底板Ｐ６の端部２０に設けられてい
る端子領域１８に導線１６（第１図）で接続される。端
子領域１８は従来方法で夫々の入力／出力ピン（図に示
していない）に接触し、そこから、印刷回路ボード（図
に示していない）に安全モノニールを取付けて接続し、
又はプラグ・ソケット形接続の使用によって外部回路に
接続することができる。

各６枚の板は２つのワイヤ・メツシュを形成するよう接
続された夫々の板Ｐ１〜Ｐ６の１対の導通路セグメント
（図に示していない）が設けられる。ワイヤ・メツシュ
は以下で詳細に説明するように無権限タンパに対して安
全モジュール１０を保護するタンパ検知回路に接続され
る。ワイヤ・メツシュの詳細な構造はこの発明では重要
でないので省略するが、上記の米国特許４，５９３，３
８４号及び英国特許出願２，１８２，１７６号にその説
明がある。

又、安全度が低くてよい場所には、ワイヤ・メツシュ１
つだけで十分であろう。

第３図は安全モジュール１０の容器１２内にある回路１
４を形成するブロック図、を示す。回路１４はバス３２
を介してＲＯＭ　３４に接続されているマイクロプロセ
ッサ３０を含む。マイクロプロセッサ３０は、又安全モ
ノュール１０の端子領域１８（第１図）にバス４４を介
して接続されている■１０（入力／出力）ユニット４２
．プログラム・メモ’）　　、ｊ−タ・メモ！Ｊ−３ｓ
、及びノぐス３５を介して安全メモリー３６にも接続さ
れる。

安全メモリー３６．データ・メモリー３８及びプログラ
ム・メモリー４０はＲＡＭ装置に組込むことができ、安
全メモリー３６．データ・メモＩＪ−３８及びプログラ
ム・メモリー４０が夫々の単一アドレス部分を形成する
というように、ｌ又は１以上の市販のＲＡＭで共に形成
することができる。

安全メモリー３６は安全メモリー１０が記憶情報をアク
セスしようと試みるようなタンノｅを受けた場合に使用
不能とされる情報を記憶している。データ・メモリー３
８及びプログラム・メモリー４０は夫々データ情報及び
グロダラム情報を記憶している。

更に、回路１４は導体５２を介してリセクタブル・シフ
ト・レジスタ５４に接続されているタンパ検知回路５０
を含む。シフト・レジスタ５４は導体５６を介してマイ
クロプロセッサ３０に接続される。乱数発生器５８は導
体６０を介してマイクロプロセッサ３０に接続され、導
体６２を介してシフト・レジスタ５４に接続される。

第４図は前述の容器１２を形成する板Ｐ１〜Ｐ６に配置
されている２つのワイヤ・メツシュア０．７２を含むタ
ンパ検知回路５０を示す。ワイヤ・メツシュア０は接地
に接続されている端子７４及び感知回路７８に接続され
ている端子７６に接続される。ワイヤ・メツシュア２は
電源電圧Ｖの端子８０及び感知回路８４に接続されてい
る端子８２に接続される。感知回路７８．８４及び低電
圧検知器８８（出力が導体５２（第３図）に接続されて
いる）に共通に接続される。一般に、容器１２に穴をあ
け又は破損することにより安全モジュール１０の容器１
２を貫通しようとすると、ワイヤ・メツシュア０．７０
のどちらか又は両方を遮断するかその間を短絡すること
になる。それらの状態は感知回路７８．８４で検知され
そこから低電圧出力が発生し、低電圧検知器８８から導
体５２に出力信号ＲＥＳＥＴ　（リセット）を出方させ
る。リセッタブル・シフト・レジスタ５４の内容を“凍
らせ”ようとして所定の温度以下に安全モノー−ル１０
を冷却しようとすると、低温センサ８６から低電圧信号
を発生して、低電圧検知器８８の出力導体５２に信号Ｒ
ＥＳＥＴを発生させる。

信号ＲＥＳＥＴはリセッタブル・シフト・レジスタ５４
（第３図）をリセットする。

第３図のプログラム・メモ！Ｊ−４０はＲＡＭ型メモリ
ーであシ、安全モジー−ル１０の作用動作を制御し、決
定するハームウェア（制御プログラム）を記憶する。

安全モジュール１０が組立てられ、テストされ、密封さ
れた後、ＲＯＭ　３４　（第３図）に記憶されているイ
ニシャライズ・ルーチンの制御の下にイニシャライズ動
作が行われる。第３図及び第５図におけるイニシャライ
ズ動作はマイクロプロセッサ３０から導体６ｏを介して
乱数発生器５８に信号を送り、以下キー記憶キー（ＫＳ
Ｋ　）と称する６４ビツト乱数を発生させ、リセッタブ
ル・シフト・レジスタ５４に挿入する。次に、イニシャ
ライズ動作において、６４ビツトの権限者キー（ＫＡ）
がパス４４（第３図）を介して安全モジュール１゜（第
１図）に及びＩ１０回路４２に供給される。

そこで、ＫＡはマイクロプロセッサ３ｏにある排他的オ
ア・ｒ−）９０にＫＡ　、　ＫＳＫを供給することによ
って、ＫＳＫを使用して暗号化される。代りの方法とし
ては、ＲＯＭ　３４に記憶されているソフトウェア・ル
ーチンによって、排他的オア作用をマイクロプロセッサ
３０で行うことができる。又、排他的オア暗号化動作の
代シに、例えば、１６サイクルのフルＤＥＳ　（データ
暗号化スタンダード）暗号化又はそれ以下、例えば、４
サイクルのＤＥＳ暗号化を使用することができる。暗号
化された権限者キー臥は安全メモリー３６に記憶される
。

安全メモリー３６に暗号化形式の臥が記憶されると、イ
ニシャライズ動作はＩ１０ユニット４２（第３図）を介
してプログラム・メモリー４０に安全モジュールのため
の初期ハームウェアを記憶して続行される。又、プログ
ラム・メモリー４０には、そこに新たなハームウェアを
記憶したいときに使用される追加のロード・ルーチンが
記憶される。

上記のイニシャライズ動作は安全な環境下で行われるの
で、ＫＡ及び初期ハームウェアの安全性は保証される。

その後、安全モジュールは、例えば、客先にある電子フ
ァント転送ｐｏｓデータ端末装置などに組込まれる。し
かし、従来、安全モジュール１０の機能を強化するか変
更するためにハームウェアをアップグレード又は変更し
たい場合には、客先から安全な環境に安全モジュールを
送らなければならず、高価で時間がかかった。

しかし、この発明によると、客先において信頼できる方
法によって、新たなハームウェアを安全モジュール１０
にロードすることができる。

今、新ハームウェアＦを安全モジュール１ｏにロードす
るものとする。第６図は安全モジュール１０にロードさ
れるべきｎバイトから成る新ハームウェアを示す。新ハ
ームウェアＦは各６４ビツトから成るｍブロックに分け
られ、必要な場合、最終ブロックを詰めるために０を使
用する。従って、新ハームウェアは次のように配置され
る。

Ｆ＝Ｆ１Ｆ２・・曲Ｆｍ そこで、Ｆｌ、　Ｆ２・・曲−は各６４ビツトから成る
。

４バイトから成るハームウェア権限者値Ｆ’ＡＶは第７
図のアルゴリズムに従って計算される。

第７図はｍ時間（”１　＋　Ｔ２　＋・・・・・・、　
Ｔｍ）で行われるアルゴリズムを示ｆ、Ｂ＠間Ｔ、中に
、６４ビツト・ブロックＦ１はＤＥＳキーとして臥を使
用し、入力として（ブロック１００　）　ＤＥＡ　（７
’−夕暗号化アルゴリズム）（ブロック１０２）に供給
される。ＤＥＡはＦＩＰＳ　（連邦情報処理スタンダー
ド）出版物Ａ　４６のような標準出版物に十分記載され
ている標準アルゴリズムである。ＤＥＡ計算の出力０１
（ブロック１０４）は次の６４ビツト・ハームウェア・
ブロックＦ２と共に排他的ダート装置１０６に供給され
る（ブロック１０８）。時間Ｔ２中、排他的オア・ゲー
ト装置１０６の出力は入力Ｉ２（ブロック１１ｏ）とし
て、再び権限者キー臥を使用し、第２のＤＥＡ計算（ブ
ロック１１２）に供給される。この処理手順は最後の６
４ビツト・ハームウェア・ブロックＦｍが使用されるま
で（ブロック１１４）類似方法で続けられ、最終出力幅
が得られる（ブロック１１６）。最終出力Ｏｍの最左３
２ビツトはハームウェア権限者値ＦＡＶとして取られる
。ＦＡＶはハームウェアＦに付加されて、第６図に示す
ように、更に追加の４バイトｎ＋１．・・・、ｎ＋４を
形成する。

上記の第７図において説明したアルゴリズムは例示のた
めのものであシ、ハームウェア権限者値ＦＡＶを供給す
るために代りのアルゴリズムを使用することもできる。

ハームウェア権限者値ＦＡＶは適当にプログラムされた
プロセッサ又はそこに設けられたハードウェアを使用し
て発生することができるということもわかるであろう。

ハームウェアは権限者値ＦＡＶと共にフロッピ・ディス
ク又は他の記憶装置に記憶される。

第８図は新ハームウェアを安全モジュール１゜にロード
する装置の略図である。その装置はケーブル１２４を介
してコネクタ・ボックス１２６に接続されるコネクタ・
ボード１２２と共に用意されるＡ’−ソナル・コンピュ
ータ１２０を含む。安全モジュール１０はコネクタ・ボ
ックス１２６にグラブされる。新ハームウェアＦと関連
するハームウェア権限者値ＦＡＶを含むフロッピ・ディ
スク（図に示していない）はパーンナル・コンピュータ
１２０の７０ツピ・ディスク・リセプタクル１２８に挿
入される。プログラム制御の下で、パーソナル・コンピ
ュータ１２０Ｉ／ｉコネクタ・ボード１２２．ケーブル
１２４及びコネクタ・ボックス１２６を介して、新ハー
ムウェア及びそれに関連するＦＡＶを安全モジュールに
供給する。

第９図は新ハームウェアをロードするための流れ図を示
す。流れ図はブロック１３０から始まる。

新ハームウェアは第８図で説明したように、関連するＦ
ＡＶと共に安全モジュール１０（第１図）に供給され、
Ｉ１０ユニット４２（第３図）を介してデータ・メモリ
ー３８（第３図）（ブロック１３２）に挿入される。次
に、プログラム・メモリー４０（第３図）に記憶されて
いる追加のロード・ルーチンは、第５図に示すように、
リセッタプル・シフト・レジスタ５４から供給されるＫ
ＳＫと共に暗号化された権限者キーＫＡＥＮＣＲをマイ
クロプロセッサ３０に含まれている排他的オア・ケ９−
ト装置９２に供給する。排他的オア・ゲート装置９２の
出力は臥の原文値である。勿論、排他的オア・ゲート装
置９０がもつと複雑な暗号装置か暗号ルーチンと取換え
られると、排他的オア・ゲート装置９２も対応する暗号
装置か暗号ルーチンと取換えられる。

第９図は、次に第７図のアルゴリズムがキー臥を使用し
てハームウェア権限者値ＦＡＶ　’を計算する（ブロッ
ク１３４）マイクロプロセッサ３０（第３図）に新ハー
ムウェアを供給する追加のロード・ルーチンを示す。そ
のアルゴリズムはＲＯＭ３４（第３図）又はプログラム
・メモリー４０に記憶することができる。ブロック１３
６において、ＦＡＶ’＝　ＦＡＶかどうかの比較が行わ
れる。比較の結果が正であると、ハームウェアはデータ
・メモリー３８からプログラム・メモリー４０（ブロッ
ク１３８）に転送され、許容状態信号を発行し、追加の
ロード・ルーチンがブロック１４０で終了する。比較の
結果が負であると、ハームウェアは拒否され（ブロック
１４２）、比較動作は拒否信号を発生して、データ・メ
モリー３８に記憶されているハームウェアを消去し、ブ
ロック１４４で追加のロード・ルーチンは終了する。

ＦＡＶ’とＦＡＶの比較の結果が正の場合、新ハームウ
ェアはデータ・メモリー３８からプログラム・メモリー
４０に転送される。しかし、その転送は物°埋的に転送
する必要はない。従って、安全メモ’）−３６，データ
・メモリー３８及びプログラム・メモリー４０を形成す
るＲＡＭメモリーはハームウェアの場所を示すポインタ
として働くハームウウア配置ブロック（ＦＡＢ　）を記
憶する。そのようなハームウェア配置ブロックの入れ換
えを適当に行うと、ハームウェアをＲＡＭ記憶位置間で
物理的に移動することなく、新ハームウェアをデータ・
メモリー３８からプログラム・メモリー４０に転送する
ことができる。

上記のようにして、信頼できる方法により、新ハームウ
ェアを安全モジュール１０にロードすることができだ。

もし、無権限方法により変更されたハームウェアを安全
モジュール１０にロードしようとした場合、ＦＡＶ　’
とＦＡＶの比較の結果が負となり、ハームウェアは拒否
される。又、安全モジュール１０の機能はモジュールを
特別な安全施設に送ることなく、安全性のない客先で新
ハームウェアをロードして変更することができるという
ことがわかった。

安全モジュールをタンｔ９し又は破損しようとするいか
なる試みも導体５２（第３図）に信号ＲＦＳＥＴを発生
して、リセッタブル・シフト・レジスタ５４をリセット
し、ＫＳＫを有効に消去する。

ＫＳＫが消去されると、ＫＡＥＮＣＲとして安全メモリ
ー３６に記憶されている権限者キー臥は暗号解読できな
いため、使用できなくなり、安全モジュールはもはや新
ハームウェアをロードすることができない。従って、島
の権限のない見出によって安全モジュール１０を使用す
るシステムの安全性に対する妥協の可能性は防止するこ
とができる。

【図面の簡単な説明】

第１図は安全モジュールの斜視図。 第２図は第１図の安全モジュールの容器の各部の分解斜
視図、 第３図は安全モジー−ル内の回路のブロック図、第４図
は第３図の回路に含まれているタンパ検知回路のブロッ
ク図、 第５図は権限者キーがいかに記憶され、読出されるかを
示した機能ブロック図、 第６図は安全モジュールにロードされるべきハームウェ
アのホーマットを示した図、 第７図はハームウェア権限者値の供給に使用されるアル
ゴリズムを示した図、 第８図はハームウェアを安全モジュールにロードするに
用いる装置を示す図、 第９図はハームウェアを安全モジュールにロードするに
使用するルーチンを示す流れ図である。 図中、１０・・・安全モジュール、１２・・・容器、１
４・・・電子回路、１８・・・端子領域、２０・・・端
部、Ｐ１〜Ｐ６・・・容器を形成する上板、側板及び底
板、７４．７６．８０．８２・・・端子、１２２・・・
コネクタ・ボード、１２６・・・コネクタ・ボックス。 出願代理人　　斉　藤　　　勲 ＦＩＧ、　Ｉ ＦＩＧ、　２ ＦＩＧ、　８ ＦＩＧ、　５ ＦＩＧ、６ ＦＩＧ、７

Claims (8)

【特許請求の範囲】
1. （１）処理手段と、安全モジュールの動作を制御するハ
   ームウェアを記憶するプログラム・メモリーと、入力／
   出力手段と、容器に対するタンパの試みに応答してタン
   パ表示信号の発生を起こさせる耐タンパ容器とを含む安
   全モジュールの動作制御方法であって、 前記入力／出力手段を介して権限者キーを前記安全モジ
   ュールに挿入し、 前記安全モジュールの第１の記憶手段に前記挿入された
   権限者キーを安全に記憶し、前記タンパ表示信号に応答
   して前記記憶された権限者キーを使用不能にし、 前記安全モジュールの外部において、ロードされるべき
   ハームウェア及び前記権限者キーを使用して第１のハー
   ムウェア権限者値を計算し、前記入力／出力手段を介し
   前記ハームウェア及び前記第１のハームウェア権限者値
   を前記安全モジュールの第２の記憶手段に挿入し、 前記処理手段において、前記第２の記憶手段に記憶され
   ているハームウェア及び前記第１の記憶手段に記憶され
   ている前記権限者キーを使用して第２のハームウェア権
   限者値を計算し、 前記第１及び第２の権限者値を比較し、 前記比較が有効な場合、前記第２の記憶手段に記憶され
   たハームウェアを前記プログラム・メモリーに転送し、 前記比較が無効な場合、拒否状態信号を発生する各工程
   を含む安全モジュールの動作制御方法。
2. （２）前記第１及び第２のハームウェア権限者値を計算
   する工程各々は、 （ａ）前記ハームウェアを連続するブロックに配列し、 （ｂ）前記権限者キーを使用して標準データ暗号化アル
   ゴリズムにより前記ハームウェアの第１のブロックを暗
   号化し、 （ｃ）前記ハームウェアの第２のブロックと共に前記工
   程（ｂ）の出力を排他的オア・ゲート装置に供給し、 （ｄ）前記権限者キーを使用して前記データ暗号化アル
   ゴリズムにより前記工程（ｃ）の排他的オア出力を暗号
   化し、 （ｅ）最終出力ブロックを形成するべく、連続する前記
   ハームウェアのすべてのブロックが使用されるまで前記
   ハームウェアの連続するブロックと夫々前の工程の出力
   とを使用して上記工程（ｃ）及び（ｄ）を反復し、 （ｆ）前記ハームウェア権限者値として前記最終出力ブ
   ロックの部分を選択する各工程を含む特許請求の範囲第
   １項記載の方法。
3. （３）キー記憶キーを発生して第３の記憶手段にロード
   する工程を含み、前記挿入された権限者キーを記憶する
   工程は前記キー記憶キーを暗号キーとして使用して前記
   権限者キーを暗号化し、暗号化した前記権限者キーを前
   記第１の記憶手段に記憶する各工程を含む特許請求の範
   囲第１項記載の方法。
4. （４）前記権限者キーを暗号化する工程は前記権限者キ
   ーと前記キー記憶キーとを排他的オア・ゲート手段に供
   給する工程を含む特許請求の範囲第１項記載の方法。
5. （５）前記第３の記憶手段は前記タンパ表示信号の発生
   に応答してリセットされるリセッタブル・シフト・レジ
   スタ・メモリーを含み、前記記憶された権限者キーを使
   用不能にするようにした特許請求の範囲第１項記載の方
   法。
6. （６）前記プログラム・メモリー及び前記第１及び第２
   の記憶手段を含むランダム・アクセス・メモリー手段を
   設け、前記ランダム・アクセス・メモリー手段に前記ハ
   ームウェアの場所を表示するポインタとして作用するハ
   ームウェア配置ブロックを記憶する各工程を含む特許請
   求の範囲第１項記載の方法。
7. （７）前記第２の記憶手段に記憶されたハームウェアを
   前記プログラム・メモリーに転送する工程は前記第２の
   記憶手段に記憶されている前記ハームウェアの位置に従
   って前記ハームウェア配置ブロックを制御する工程を含
   む特許請求の範囲第６項記載の方法。
8. （８）前記第２の記憶手段に記憶されているハームウェ
   アを前記拒否状態信号に応答して消去する工程を含む特
   許請求の範囲第１項記載の方法。