WO2005052769A1

WO2005052769A1 - データ処理装置

Info

Publication number: WO2005052769A1
Application number: PCT/JP2004/017614
Authority: WO
Inventors: Takayuki Ito; Teruto Hirota; Kouichi Kanemura; Tomoyuki Haga; Yoshikatsu Ito
Original assignee: Matsushita Electric Industrial Co.,Ltd.
Priority date: 2003-11-28
Filing date: 2004-11-26
Publication date: 2005-06-09
Also published as: EP1688816A4; KR101037006B1; US20070113079A1; US7788487B2; EP1688816A1; KR20060107826A; CN1886712A; CN1886712B

Abstract

　【課題】保護対象となるセキュアリソースにアクセスするセキュアモードとセキュアリソースにアクセスできない通常モードとを切り替えて実行するデータ処理装置において、セキュアモードで前記セキュアリソースが増大すると前記リソースを保護する保護機構に係る負荷が大きくなる。従って、セキュアリソースを削減することができるデータ処理装置に対する要望がある。　本発明は、前記セキュアリソースを利用する１つ以上の処理手順と通常モードで実行される通常プログラムを呼び出す呼出命令を含むセキュアプログラムを記憶しており、前記セキュアプログラムの実行途中に、前記呼出命令により、通常プログラムを呼び出し、呼び出した通常プログラムに従って動作するデータ処理装置である。

Description

データ処理装置

技術分野

[0001] 本発明は、セキュアリソースにアクセス可能なセキュアモードと、セキュアリソース以外の通常リソースにのみアクセス可能な通常モードとを切り替えて、プログラムを実行する装置において、セキュアモードで実行されるプログラムと通常モードで実行されるプログラムとを対応して動作させる技術に関する。

背景技術

[0002] 近年、様々な機器にぉヽて、音楽及び映像を含むデジタルコンテンツが取り扱われるようになっている。これらの機器は、デジタルコンテンツを劣化させることなく複製、編集することが可能である。しかし、著作権の観点から、これらのデジタルコンテンッは、保護されて扱われる必要がある。

従来技術によると、保護される必要のあるセキュアデータ及び保護される必要のあるセキュアアプリケーションへのアクセスが可能なセキュアモードと、これらのセキュアデータ及びセキュアアプリケーションにアクセスすることができない通常モードとをモニタによって切り替えて実行するデータ処理装置が開示されている。この技術よると、通常モードにお、て動作するアプリケーションは、通常モードで動作するオペレーテイングシステムを介して、セキュアアプリケーションへ処理を依頼する。オペレーティングシステムは、モニタへ実行モードの切替を依頼し、モニタは、実行モードを切り替える。セキュアアプリケーションは、依頼された処理を行い、処理結果をセキュア実行モードで動作するセキュアオペレーティングシステムを介して、アプリケーションへ返却する。セキュアオペレーティングシステムは、モニタに実行モードの切替を依頼し、モユタは実行モードを切り替える。このような構成により、セキュアモードと通常モードとを切り替えて実行することで、通常モードで動作するアプリケーションから、直接セキユアデータゃセキュアアプリケーションへアクセスすることはできない。従って、セキュァデータ及びセキュアアプリケーションを保護することができる。

非特許文献 1 : A New Foundation for CPU Systems Security (平成 15年 11月 20日検索、 URL :

http://www.arm.com/armtech.nsf/htmlall/FC4C07580E29428080256DlA004A2345 /$File/TrustZone#WP.pdf?OpenElement)

発明の開示

発明が解決しょうとする課題

[0003] し力しながら、従来技術の示す方法では、セキュアモードで使用するデータ及びプログラムなどを記憶するメモリを、通常モードで使用するメモリとは別個に確保する必要がある。セキュアモードで使用されるメモリは、不正なアクセスから当該メモリを保護する保護機構を必要とする。従って、セキュアモードで使用されるメモリが増加すると、保護機構に係る負荷が大きくなり、保護機構の規模を大きくする必要が生じる。ゆえに、セキュアモードで使用されるメモリを削減することができるデータ処理装置に対する要望がある。

[0004] そこで本発明は力かる問題点に鑑みてなされたものであり、セキュアモードで使用される、メモリを削減することができるデータ処理装置、データ処理方法、データ処理プログラム及び記録媒体を提供することを目的とする。

課題を解決するための手段

[0005] 上記目的を達成するために本発明は、保護対象のセキュアリソースの利用が許可されるセキュアモードと、保護対象外の通常リソースの利用のみが許可される通常モ一ドとを切り替えて、プログラムを実行するデータ処理装置であって、前記通常リソースを利用する 1つ以上の処理手順力構成される通常プログラムを記憶している通常記憶手段と、前記セキュアリソースを利用する 1つ以上の処理手順力構成され、少なくとも前記通常プログラムを呼び出す呼出命令を含むセキュアプログラムを記憶しているセキュア記憶手段と、セキュアモードにおいて、次に実行すべき命令が、前記呼出命令であるか否かを判断する判断手段と、セキュアモードにおいて、前記呼出命令であると判断される場合に、当該呼出命令により呼び出される前記通常プロダラムを示す識別情報を出力する出力手段と、前記呼出命令であると判断される場合に、セキュアリソースを保護して、セキュアモードから通常モードに切り替える切替手段と、通常モードにおいて、前記識別情報を受け取る受取手段と、通常モードにおいて、受け取った前記識別情報により示される前記通常プログラムを前記通常記憶手段から読み出す読出手段と、通常モードにおいて、読み出した通常プログラムに従って動作する処理手段とを備えることを特徴とする。

発明の効果

[0006] 上記の構成によると、前記セキュアプログラムは、前記呼出命令を含み、次に実行すべき命令が、前記呼出し命令である場合、切替手段は、セキュアモードから通常モードに切り替え、通常モードにおいて、受取手段は、前記識別情報を受け取り、読出手段は、受け取った前記識別情報により示される前記通常プログラムを前記通常記憶手段から読み出し、処理手段は、読み出した通常プログラムに従って動作する。従つて、前記呼出し命令を実行することで、前記セキュアプログラムは、通常モードで動作する通常プログラムへ、処理を依頼することができる。つまり、セキュアリソースを利用しな、処理を通常プログラムに実行させることにより、セキュアプログラム自体のプログラムサイズが減少する。さらに、セキュアモードにおいて、セキュアプログラムが使用するメモリを減少、させることができる。

[0007] 前記データ処理装置にお!、て、前記切替手段は、前記セキュアプログラムを制御するセキュアオペレーティングシステムを中断させ、前記通常プログラムを制御する通常オペレーティングシステムを起動することにより、セキュアモードから通常モードに切り替える。

この構成によると、前記切替手段は、前記セキュアオペレーティングシステムを中断させた後、通常オペレーティングシステムを起動する。このため、当該データ処理装置は、通常モードで動作中には、前記セキュアリソースへのアクセスルートを完全に切断し、セキュアモードと通常モードとを排他的に実現することができる。

[0008] また、前記データ処理装置は、セキュアモード及び通常モードの両方において、ァクセスが許可される共有記憶領域を備え、前記出力手段は、セキュアモードにおいて、前記識別情報を前記共有記憶領域に書き込むことにより、前記識別情報を出力し、前記受取手段は、通常モードにおいて、前記共有記憶領域から前記識別情報を読み出すことにより、前記識別情報を受け取ることを特徴とする。

[0009] この構成によると、前記共有記憶領域は、通常モード及びセキュアモードにおいてアクセス可能である。従って、本発明のデータ処理装置は、セキュアモードと通常モ一ドとを排他的に実現して、セキュアリソースを保護しながら、セキュアモードと通常モードとの間で確実に情報の授受を行うことができる。

また、前記読出手段は、前記識別情報と前記通常記憶手段における前記通常プログラムの存在位置を示す位置情報とを対応付けて記憶しており、受け取った前記識別情報に対応する位置情報により示される存在位置力前記通常プログラムを読み出すことを特徴とする。

[0010] この構成によると、前記読出手段は、前記識別情報と前記通常記憶手段における前記通常プログラムの存在位置を示す位置情報とを対応付けて記憶しているため、受け取った識別情報対応する位置情報を用いて、確実かつ迅速に、前記通常プログラムを読み出すことができる。

前記データ処理装置において、前記通常プログラムを構成する 1の処理手順は、ライブラリを構成する複数の関数を含み、他の処理手順は、前記複数の関数のうちのいずれかを呼び出し、前記処理手段は、前記他の処理手順に従って動作する場合に、当該他の処理手順により呼び出される関数に従って動作することを特徴とする。

[0011] この構成〖こよると、前記通常プログラムを構成する 1つの処理手順は、ライブラリを構成する複数の関数を含み、他の処理手順は、前記複数の関数のうちのいずれかを呼び出す。従って、前記セキュアプログラムは、ライブラリを構成する関数を使用する処理を前記通常プログラムへ依頼することができる。このため、セキュアモードにおいて、メモリ上にライブラリを保持する必要がなくなる。

[0012] 前記データ処理装置は、さらに、セキュアモードにおいて、前記セキュアプログラムの前記セキュア記憶手段への書き込みを示す書込指示を受け取る指示取得手段と、セキュアモードにおいて、前記書込指示を取得した場合に、前記セキュア記憶手段に前記セキュアプログラムを書き込み、前記書込みが終了したことを示す書込終了情報を出力するセキュアロード手段とを含み、前記切替手段は、さらに、前記書込終了情報が出力された場合、セキュアモードから通常モードへ切り替え、前記データ処理装置は、さらに、通常モードにおいて、前記書込終了情報を受け取り、前記通常記憶手段に前記通常プログラムを書き込む通常ロード手段とを含むことを特徴とする。 [0013] この構成によると、指示取得手段が、書込指示を取得した場合に、前記セキュア口ード手段がセキュアモードにおいて、前記セキュアプログラムの前記セキュア記憶手段への書き込みを示す書込指示を受け取ると、前記セキュア記憶手段に前記セキュァプログラムを書き込み、前記通常ロード手段が前記通常記憶手段に前記通常プログラムを書き込む。このようにすることで、前記セキュアプログラムの実行中には、常に、前記通常記憶手段に前記通常プログラムが記憶されており、セキュアプログラム含まれる呼出し命令が実行される際には、速やかに前記通常プログラムの実行に移ることができる。

[0014] 前記データ処理装置を構成する前記読出手段は、さらに、通常モードにおいて、前記通常ロード手段により前記通常プログラムが前記通常記憶手段に書き込まれた場合に、前記識別情報と前記通常記憶手段における前記通常プログラムの存在位置を示す位置情報とを対応付けて記憶することを特徴とする。

この構成では、前記読出手段は、前記通常プログラムが前記通常記憶手段に書き込まれた場合に、前記識別情報と前記通常記憶手段における前記通常プログラムの存在位置を示す位置情報とを対応付けて記憶する。このようにすることで、前記セキユアプログラムのロード直後から、前記読出手段は前記識別情報と前記通常記憶手段における前記通常プログラムの存在位置を示す位置情報とを対応付けて記憶している。従って、セキュアプログラム含まれる呼出し命令が実行される際には、速やかに前記通常プログラムを読み出すことができる。

[0015] 前記データ処理装置は、さらに、セキュアモードにおいて、前記セキュアプログラムの削除を指示する削除指示を取得する削除指示取得手段と、前記削除指示を取得した場合に、セキュアモードにおいて、前記セキュアプログラムを前記セキュア記憶手段力削除し、前記削除が終了したことを示す削除終了情報を出力するセキュア削除手段とを含み、前記切替手段は、さらに、前記削除終了情報が出力された場合、セキュアモードから通常モードへ切り替え、前記データ処理装置は、さらに、通常モードにおいて、前記削除終了情報を取得し、前記通常記憶手段から前記通常プログラムを削除する通常削除手段を含むことを特徴とする。

[0016] この構成によると、削除指示取得手段が前記セキュアプログラムの削除を指示する削除指示を取得すると、セキュア削除手段が、前記セキュアプログラムを前記セキュァ記憶手段から削除し、通常削除手段が、前記通常記憶手段から前記通常プロダラムを削除する。

従って、前記セキュアプログラムがロードされていない間は、前記通常プログラムもロードする必要がないため、このようにすることで、前記通常プログラムによって、通常モードで使用するメモリ領域を無駄にすることを防ぐことができる。

[0017] 前記データ処理装置にお!、て、前記読出手段は、前記識別情報と前記通常記憶手段における前記通常プログラムの存在位置を示す位置情報とを対応付けて記憶しており、受け取った前記識別情報に対応する位置情報により示される存在位置から前記通常プログラムを読み出すことを特徴とする。

この構成によると、前記読出手段は、前記識別情報と前記通常記憶手段における前記通常プログラムの存在位置を示す位置情報とを対応付けて記憶しているため、受け取った識別情報対応する位置情報を用いて、確実かつ迅速に、前記通常プログラムを読み出すことができる。

[0018] 前記データ処理装置は、さらに、前記処理手段を含む当該データ処理装置の備える 1以上のデバイスを初期化する初期化手順及び前記セキュアオペレーティングシステムを起動する起動手順を含むブートプログラムを記憶しているブートプログラム記憶手段と、前記ブートプログラム記憶手段から、前記ブートプログラムを読み出し、読み出した前記ブートプログラムに従って、前記デバイスを初期化し、初期化の完了後に、セキュアオペレーティングシステムを起動する初期化手段とを備えることを特徴とする。

[0019] この構成によると、前記初期化手は、段電源投入時に前記ブートプログラムに従つて、前記デバイスを初期化し、初期化の完了後に、セキュアオペレーティングシステムを起動する。このように、本発明のデータ処理装置は、通常モードで実行されるプログラムを起動する前に、セキュアオペレーティングシステムを起動することで、起動時に、通常モードで実行されるプログラムの不正な動作により、セキュアモードで実行されるプログラムゃセキュアリソースの不正な利用を防ぐことができる。

[0020] 前記データ処理装置は、さらに、通常モードにおいて、前記処理手段による処理結果と前記セキュアプログラムを示すセキュア識別情報とを出力する通常出力手段を含み、前記切替手段は、さらに、前記処理結果が出力された場合、通常モードからセキュアモードへ切り替え、前記データ処理装置は、さらに、セキュアモードにおいて、前記処理結果と前記セキュア識別情報とを受け取るセキュア受取手段と、受け取つた前記セキュア識別情報に対応する前記セキュアプログラムを前記通常記憶手段から読み出すセキュア読出手段とを含み、前記処理手段は、さらに、セキュアモードにおいて、前記処理結果を用いて、前記セキュアプログラムに従って動作することを特徴とする。

[0021] この構成では、通常出力手段は、通常モードにおいて、前記処理手段による処理結果と前記セキュアプログラムを示すセキュア識別情報とを出力し、セキュア受取手段は、セキュアモードにおいて、前記処理結果と前記セキュア識別情報とを受け取り、セキュア読出手段は、受け取った前記セキュア識別情報に対応する前記セキュアプログラムを前記通常記憶手段から読み出し、前記処理手段は、さらに、セキュアモードにおいて、前記処理結果を用いて、前記セキュアプログラムに従って動作する。従って、本発明のデータ処理装置では、セキュアモードで実行される前記セキュアプログラムにより依頼された処理を、通常モードにおいて前記処理手段が前記通常プログラムに従って実行し、処理結果を正確に、前記セキュアプログラムへ返すことができる。

[0022] また、前記データ処理装置にお!、て、前記切替手段は、セキュアモードから通常モードに切り替える際に、前記セキュアリソースと前記処理手段とを切断することを特徴とする。

この構成によると、前記切替手段は、セキュアモードから通常モードに切り替える際に、前記セキュアリソースと前記処理手段とを切断するため、通常モードにおいて、前記処理手段は、前記セキュアリソースにアクセスすることができない。従って、前記セキュアリソースの安全を確保することができる。

[0023] 前記切替手段は、セキュアモードから通常モードに切り替える際に、前記セキュアリソースに保持されているセキュア情報を暗号ィ匕することを特徴とする。

この構成では、前記切替手段は、セキュアモードから通常モードに切り替える際に、前記セキュアリソースに保持されているセキュア情報を暗号ィ匕するため、通常モードにおいて、前記処理手段は、前記セキュアデータを利用することができない。従つて、通常モードにおいて、前記セキュアリソースの保持するセキュアデータの安全を ½保することができる。

[0024] 前記データ処理装置において、前記セキュアリソースに保持されている前記セキュァ情報は、セキュアモードにおいて実行され、命令コード部分とデータ部分とスタック部分力構成されるプログラムを含んでおり、前記切替手段は、セキュアモードから通常モードに切り替える際に、前記命令コード部分を暗号ィ匕することを特徴とする。また、前記切替手段は、セキュアモードから通常モードに切り替える際に、前記データ部分を暗号ィ匕するとてもよい。

[0025] また、前記切替手段は、セキュアモードから通常モードに切り替える際に、前記スタック部分を暗号ィ匕するとしてもよ、。

この構成によると、前記切替手段は、セキュアモードから通常モードに切り替える際に、前記命令コード部分を暗号ィ匕する。又は、前記切替手段は、セキュアモードから通常モードに切り替える際に、前記データ部分を暗号化する。又は、前記切替手段は、セキュアモードから通常モードに切り替える際に、前記スタック部分を暗号化する

[0026] このように、前記プログラムのうち、保護する必要のある部分だけを暗号ィ匕することで、暗号化に係る処理負荷を軽くすることができる。

前記データ処理装置は、さらに、前記処理手段の動作を監視し、操作するデバッグ装置からデバッグ操作信号を受け付けるデバッグ受付手段を含み、前記切替手段は、セキュアモードから通常モードに切り替える際に、前記処理手段と前記デバッグ受付手段とを接続し、通常モードからセキュアモードに切り替える際に、前記処理手段と前記デバッグ受付手段とを切断することを特徴とする。

[0027] この構成によると、前記切替手段は、通常モードからセキュアモードに切り替える際に、前記処理手段と前記デバッグ受付手段とを切断するため、本発明のデータ処理装置は、セキュアモードで動作中には、外部のデバッグ装置に動作の監視及び操作されることがないため、前記デバッグ装置から、前記セキュアリソースを保護することができる。

本発明のデータ処理装置において、前記読出手段は、前記識別情報と前記通常記憶手段における前記通常プログラムの存在位置を示す位置情報とを対応付けて記憶しており、受け取った前記識別情報に対応する位置情報により示される存在位置力も前記通常プログラムを読み出す構成であっても良い。

[0028] この構成によると、前記読出手段は、前記識別情報と前記通常記憶手段における前記通常プログラムの存在位置を示す位置情報とを対応付けて記憶しているため、受け取った識別情報対応する位置情報を用いて、確実かつ迅速に、前記通常プログラムを読み出すことができる。

本発明は、第 1オペレーティングシステムと第 2オペレーティングシステムとを切り替え、各オペレーティングシステムにおいて生成されるプロセスを実行状態、実行待ち状態、休止状態の!/ヽずれかに遷移させてプロセスを実行し管理する前記データ処理装置であって、前記第 1オペレーティングシステムにおいて、第 1プロセスを生成する第 1生成手段と、前記第 2オペレーティングシステムにおいて、前記第 1プロセスと対応する第 2プロセスを生成する第 2生成手段と、前記第 1オペレーティングシステムにおいて、前記第 1プロセスの状態遷移を検出する第 1検出手段と、前記第 1オペレーティングシステムにおいて、検出された状態遷移を示す遷移情報を出力する第 1出力手段と、前記第 1オペレーティングシステムを前記第 2オペレーティングシステムに切り替える OS切替手段と、前記第 2オペレーティングシステムにおいて、前記遷移情報を取得する第 2取得手段と、取得した前記遷移情報に従って、前記第 2プロセスの状態を遷移させる第 2遷移手段とを備えることを特徴とするデータ処理装置でもある。

[0029] この構成によると、前記第 1オペレーティングシステムにおいて、前記第 1出力手段は、前記遷移情報を出力し、 OS切替手段は、前記第 1オペレーティングシステムを前記第 2オペレーティングシステムに切り替える第 2オペレーティングシステムへ切り替え、第 2オペレーティングシステムにおいて、第 2遷移手段は、前記遷移情報に従つて、前記第 2プロセスの状態を遷移させる。従って、排他的に実行される 2つのオペレーティングシステムが動作する前記データ処理装置において、前記第 1オペレーテイングシステムにより制御される前記第 1プロセスの動作状態を、前記第 2プロセスを介して前記第 2オペレーティングシステムにおいても監視することができる。

[0030] 前記データ処理装置は、さらに、前記第 2オペレーティングシステムにおいて、前記第 2プロセスの状態遷移を検出する第 2検出手段と、前記第 2オペレーティングシステムにおいて、検出された状態遷移を示す遷移情報を出力する第 2出力手段とを含み、前記 OS切替手段は、さらに、前記第 2オペレーティングシステムを前記第 1オペレーティングシステムに切り替え、前記データ処理装置は、さらに、前記第 1オペレーティングシステムにおいて、前記遷移情報を取得する第 1取得手段と、取得した前記遷移情報に従って、前記第 1プロセスの状態を遷移させる第 1遷移手段とを含むことを特徴とする。

[0031] この構成によると、前記第 2出力手段は、前記第 2オペレーティングシステムにおいて、前記遷移情報を出力し、前記第 1遷移手段は、前記遷移情報に従って、前記第 1プロセスの状態を遷移させる。これにより、前記第 2オペレーティングシステムにより制御される前記第 2プロセスの動作状態を、前記第 1プロセスを介して、前記第 1オペレーティングシステムにおいても監視することができる。従って、前記第 1オペレーテイングシステム及び前記第 2オペレーティングシステムは、それぞれの制御する第 1プロセス及び第 2プロセスの動作状態を相互に監視することができる。

[0032] さらに、前記データ処理装置は、第 1オペレーティングシステム及び第 2オペレーテイングシステムの両方において、アクセス可能な共有記憶領域を備え、前記第 1出力手段は、前記共有記憶領域に前記遷移情報を書き込むことにより、前記遷移情報を出力し、前記第 2取得手段は、前記共有記憶領域から前記遷移情報を読み出すことによって、前記遷移情報を取得することを特徴とする。

[0033] この構成によると、前記第 1出力手段及び前記第 2取得手段は、第 1オペレーティングシステム及び第 2オペレーティングシステムの両方にぉ、て、アクセス可能な前記共有記憶領域を介して前記遷移情報受け渡す。前記共有記憶領域は、第 1ォペレ一ティングシステム及び第 2オペレーティングシステムの両方にお!、て、アクセス可能であるので、本発明のデータ処理装置は、第 1オペレーティングシステムと第 2ォペレ一ティングシステムとを排他的に実行しながら、第 1オペレーティングシステム力も第 2 オペレーティングシステムへ情報を受け渡すことができる。 [0034] 前記データ処理装置を構成する前記第 2出力手段は、前記共有記憶領域に前記遷移情報を書き込むことにより、前記遷移情報を出力し、前記第 1取得手段は、前記共有記憶領域力前記遷移情報を読み出すことによって、前記遷移情報を取得することを特徴とする。

従って、第 2オペレーティングシステムと第 1オペレーティングシステムとを排他的に実行しながら、第 2オペレーティングシステム力も第 1オペレーティングシステムへ情報を受け渡すことができる。

[0035] また、前記データ処理装置は、前記第 2オペレーティングシステムにお、て管理されて動作するデバイスを含み、前記第 2プロセスは、前記デバイスの駆動を制御するデバイス駆動プログラムであり、前記第 2検出手段は、前記デバイスの動作に伴う前記第 2プロセスの状態遷移を検出することを特徴とする。

この構成〖こよると、前記第 2プロセスは、前記デバイスの駆動を制御するデバイス駆動プログラムであり、前記第 2検出手段は、前記デバイスの動作に伴う前記第 2プロセスの状態遷移を検出する。従って、前記第 1プロセスも、前記デバイス駆動プロダラムの状態遷移に伴って招待遷移し、前記第 1オペレーティングシステムにおいても、前記デバイスの駆動状態を監視することができる。

[0036] 前記第 1オペレーティングシステムにおいて、前記第 1プロセスが、休止状態から実行状態に遷移した場合、前記データ処理装置は、前記デバイスへの処理依頼の重複を回避する排他処理を行う前記第 1プロセスに従って動作し、前記第 1オペレーテイングシステムにおいて、前記第 1出力手段は、前記排他処理が終了した後に前記遷移情報を出力することを特徴とする。

[0037] 通常、このような排他処理は、前記デバイスの駆動を制御するデバイス駆動プログラムにより実行される力この構成によると、前記データ処理装置において、前記第 1 プロセスが、前記デバイスへの処理依頼の重複を回避する排他処理を行ったあと前記第 1オペレーティングシステムにおいて、前記第 1出力手段は、前記遷移情報を出力する。出力された前記遷移情報により、前記第 2プロセスは実行状態に遷移し、前記デバイスの駆動の制御を開始する。第 1オペレーティングシステムと第 2オペレーティングシステムにより使用されるメモリ空間が個別に必要であり、特に、第 2ォペレ一ティングシステムにより使用されるメモリを外部のアクセス力保護する必要がある場合を想定すると、排他処理を前記第 1プロセスが行うため、前記第 2プロセスは、排他処理を行う必要がなくなる。従って、排他処理のために、前記第 2プロセスが使用するメモリ領域が減少する。このため、保護する必要のあるメモリを削減することになり、これらのメモリを外部から保護する保護機構の負荷を軽減することができる。

[0038] 前記データ処理装置は、さらに、第 1オペレーティングシステム及び第 2オペレーテイングシステムにおいて、割込の発生を検出する割込検出手段と、前記第 1オペレーティングシステムにおいて、割込が検出された場合、割込発生要因を調査する割込調査手段と、前記第 1オペレーティングシステムにおいて、割込調査手段により、前記デバイスによる割込であると判断された場合、前記第 1プロセスを休止状態から実行状態に遷移させる割込遷移手段とを含むことを特徴とする。

[0039] さらに、前記データ処理装置は、前記第 2オペレーティングシステムにおいて、割込が検出された場合、割込の検出を示す割込通知情報を出力する通知手段を含み、前記 OS切替手段は、前記第 2オペレーティングシステムを前記第 1オペレーティングシステムに切り替え、前記第 1取得手段は、さらに、前記第 1オペレーティングシステムにおいて、前記割込通知情報を取得し、前記割込調査手段は、さらに、第 1ォペレ一ティングシステムにおいて、前記割込通知情報を取得した場合、割込発生要因を調査する構成である。

[0040] この構成によると、前記第 1オペレーティングシステムにおいて、割込が検出された場合、割込調査手段が、割込発生要因を調査する。また、前記第 2オペレーティングシステムにおいて、割込が検出された場合、前記通知手段が割込の検出を示す割込通知情報を出力し、第 1オペレーティングシステムにおいて、割込調査手段が、割込発生要因を調査する。

[0041] このようにすることで、第 2オペレーティングシステムの管理下に割込調査手段を供える必要がなくなる。従って、本発明のデータ処理装置において、一つだけ、割込調查手段を備えればよい。

前記データ処理装置において、前記通知手段は、割込が検出された場合、前記割込検出手段に対して、割込の検出を停止させ、前記第 1取得手段は、前記割込通知情報を取得した場合、前記割込検出手段に対して、前記停止を解除することを特徴とする。

[0042] この構成によると、前記通知手段は、割込が検出された場合、前記割込検出手段に対して、割込の検出を停止させ、前記第 1取得手段は、前記割込通知情報を取得した場合、前記割込検出手段に対して、前記停止を解除する。従って、前記通知手段から出力された割込通知情報を前記第 1取得手段が取得するまでの間、前記割込検出手段によって、前記第 2オペレーティングシステムから前記第 1オペレーティングシステムへの切り替えの動作が妨害されることがない。また、第 2オペレーティングシステム力第 1オペレーティングシステムへ切り替わるまでの間に、前記割込検出手段が、同一の割り込みを重複して検出することを、防ぐことができる。

[0043] 本発明は、プログラムに従って動作する前記データ処理装置であって、複数の処理手順力構成されるプログラムを記憶して、る記憶手段と、前記記憶手段に記憶されて、る前記プログラムが不正なものである力否かを判断する正当性判断手段と、不正なものであると判断される場合に、前記プログラムを無効化する無効化手段とを備えることを特徴とするデータ処理装置でもある。

[0044] この構成によると、前記正当性判断手段は、前記プログラムが不正なものであるか否かを判断し、前記無効化手段不正なものであると判断される場合に、前記プロダラムを無効化するため、本発明のデータ処理装置において、不正なプログラムの実行を防止することができる。

前記データ処理装置において、前記正当性判断手段は、前記記憶手段に記憶されている前記プログラムを示すプログラム識別情報を取得するプログラム情報取得部と、無効化されたプログラムを示す無効化識別情報を取得する無効化情報取得部と、取得した前記プログラム識別情報と取得した前記無効化識別情報とがー致するか否かを判断する判断部とを含み、一致すると判断される場合に、前記プログラムが不正であると決定することを特徴とする。

[0045] 上記の構成では、前記情報取得部取得した前記プログラム識別情報と前記無効化情報取得部取得した前記無効化識別情報とがー致する力否かによって、容易に当該プログラムが不正である力否かを決定することができる。本発明のデータ処理装置に含まれる前記プログラム情報取得部は、前記プロダラムを示すプログラム識別情報を記憶して!/ヽる識別情報記憶部と、前記識別情報記憶部から前記プログラム識別情報を読み出すことにより取得する読出部とを含み、前記無効化情報取得部は、無効化されたプログラムを示す無効化識別情報を記憶して、る無効化情報記憶部と、前記無効化情報記憶部から前記無効化識別情報を読み出すことにより取得する読出部とを含むことを特徴とする。

[0046] この構成によると、前記プログラム情報取得部は、予め前記プログラムを示すプログラム識別情報を記憶している前記識別情報記憶部から、迅速に、前記プログラム識別情報を取得することができる。また、前記無効化情報取得部は、予め、無効化されたプログラムを示す無効化識別情報を記憶して!/、る前記無効化情報記憶部から、迅速に前記無効化識別情報を取得することができる。

[0047] 前記データ処理装置は、前記正当性判断手段が、前記プログラムに割り当てられた公開鍵の正当性を証明する公開鍵証明書に基づ、て、前記プログラムが不正なものである力否かを判断することを特徴とする。

この構成によると、前記正当性判断手段は、前記プログラムに割り当てられた公開鍵の正当性を証明する前記公開鍵証明書に基づいて、前記判断を行う。公的な第三者機関により発行された公開鍵証明書を用いることで、前記プログラムの正当性をより確実に判定することができる。

[0048] 前記データ処理装置にお!、て、前記正当性判断手段は、前記公開鍵を識別する公開鍵識別情報を含む前記公開鍵証明書を記憶して!/、る証明書記憶部と、前記公開鍵証明書力前記公開鍵識別情報を取得する公開鍵情報取得部と、無効化された公開鍵を示す無効化識別情報を記憶して!/、る無効化情報記憶部と、前記無効化情報記憶部から無効化識別情報を読み出す無効化情報読出部と、取得した前記公開鍵識別情報と読み出した前記無効化識別情報とがー致するか否かを判断する判断部とを含み、一致すると判断される場合に、前記プログラムが不正であると決定することを特徴とする。

[0049] 上記の構成によると、前記判断部は、前記証明書記憶部の記憶して!/、る前記公開鍵証明書に含まれる前記公開鍵識別情報と前記無効化情報記憶部の記憶している前記無効化識別情報とを比較することで、容易に、前記プログラムが不正であると決定することができる。

前記データ処理装置において、前記正当性判断手段は、さらに、外部から最新の無効化識別情報を取得し、取得した無効化識別情報を前記無効化情報記憶部に書き込む更新部を含むことを特徴とする。

[0050] この構成によると、前記更新部が、外部から最新の無効化識別情報を取得し、取得した無効化識別情報を前記無効化情報記憶部に書き込む。一般に、公開鍵証明書の発行機関は、後発的に無効化された公開鍵を示す情報を追加して前記無効化識別情報を定期的に更新している。この発行機関から最新の無効化識別情報を取得して用いることで、前記データ処理装置の販売後に不正であることが判明したプロダラムにも対応することができる。

[0051] また、前記更新部は、前記記憶手段へのアクセス要求を検出する度に、最新の無効化識別情報を取得することを特徴とする。

上記の構成では、前記更新部は、前記記憶手段へのアクセス要求を検出する度に、最新の無効化識別情報を取得するため、前記判定部は常に最新の無効化識別情報を用いて前記プログラムの正当性を判断することができる。

[0052] 前記データ処理装置にお！ヽて、前記更新部は、 CRL (Certificate Revocation List) 発行装置から、ネットワークを介して、前記無効化識別情報を受信し、 CRL発行装置から、ネットワーク及びサーバ装置を介して、前記無効化識別情報を受信し、又は記録媒体力前記無効化識別情報を読み出すことにより、取得することを特徴とする。上記の構成では、前記更新部は、 CRL発行装置から、ネットワークを介して、前記無効化識別情報を受信するため、最新の無効化識別情報を取得することができる。

[0053] また、 CRL発行装置から、ネットワーク及びサーバ装置を介して、前記無効化識別情報を受信するため、前記データ処理装置自身に外部のネットワークとの通信機能力い場合であっても、サーバ装置によって、前記無効化識別情報を更新することができる。

また、記録媒体から前記無効化識別情報を読み出すことにより、前記 CRL発行装置と通信する環境がない場合でも、当該データ処理装置は、前記無効化識別情報を更新することちでさる。

[0054] 前記更新部は、さらに、外部から、前記最新の無効化識別情報に対してデジタル署名を施して生成された署名データを取得し、取得した署名データに署名検証を施し、署名検証が成功した場合に、取得した前記無効化識別情報を前記無効化情報記憶部に書き込むことを特徴とする。

この構成では、前記更新部は、前記署名データを取得し、取得した署名データに署名検証を施し、署名検証が成功した場合に、取得した前記無効化識別情報を前記無効化情報記憶部に書き込むため、前記無効化識別情報の正当な発行者から発行された無効化識別情報を取得することができる。

[0055] 前記データ処理装置を構成する前記正当性判断手段は、少なくとも当該公開鍵に対してデジタル署名を施して生成された署名データを含む前記公開鍵証明書を記憶して!/、る証明書記憶部と、前記証明書記憶部から前記公開鍵証明書を取得する公開鍵証明書取得部と、取得した前記公開鍵証明書に含まれる署名データに、署名検証を施すことにより、取得した前記公開鍵証明書が正しいものであるか否かを検証する検証部とを含み、前記公開鍵証明書が正、ものでな!、と判断される場合に、前記プログラムが不正であると決定することを特徴とする。

[0056] この構成では、前記正当性判断手段は、前記署名データに、署名検証を施すことにより、取得した前記公開鍵証明書が正しいものである力否かを検証し、前記公開鍵証明書が正しいものでないと判断される場合に、前記プログラムが不正であると決定する。従って、前記データ処理装置は、前記プログラムに割り当てられた公開鍵証明書が不正な第三者により不正に生成ものであるか否かを判断することが可能であり、正当な公開鍵証明書を有するプログラムだけを実行することができる。

[0057] また、前記データ処理装置において、前記正当性判断手段は、少なくとも 2個の公開鍵の正当性をそれぞれ証明する少なくとも 2個の公開鍵証明書を用いて、前記記憶手段に記憶されて、る前記プログラムが不正なものである力否かを判断してもよヽこの構成では、前記正当性判断手段は、少なくとも 2個の公開鍵証明書を用いて、前記記憶手段に記憶されている前記プログラムが不正なものであるか否かを判断する。複数の公開鍵証明書を用いて前記判断を行うことで、より正確に、前記プログラムが不正であるカゝ否かを判断できる。

[0058] 前記 2個の公開鍵は、前記プログラムに割り当てられた第 1公開鍵及び前記データ処理装置又は前記プログラムの動作を制御するオペレーティングシステムに割り当てられた第 2公開鍵であり、前記データ処理装置を構成する前記正当性判断手段は、権威のある認証機関の秘密鍵を用いて、少なくとも前記第 2公開鍵に対してデジタル署名を施して生成された第 2署名データと、前記第 2公開鍵とを含む第 2公開鍵証明書と、前記データ処理装置又は前記オペ一ティングシステムの秘密鍵を用いて、少なくとも前記第 1公開鍵に対してデジタル署名を施して生成された第 1署名データと、前記第 1公開鍵とを含む第 1公開鍵証明書とを記憶している証明書記憶部と、前記証明書記憶部から前記第 1公開鍵証明書及び前記第 2公開鍵証明書を取得する公開鍵証明書取得部と、取得した前記第 2公開鍵証明書に含まれる第 2署名データに、前記認証機関の公開鍵を用いて、署名検証を施すことにより、取得した前記第 2公開鍵証明書が正しいものである力否かを検証し、正しいと判定された場合に、前記第 2公開鍵証明書力前記第 2公開鍵を取得し、取得した前記第 1公開鍵証明書に含まれる第 1署名データに、取得した前記第 2公開鍵を用いて、署名検証を施すことにより、取得した前記第 1公開鍵証明書が正しいものであるか否かを検証する検証部とを含み、前記第 2公開鍵証明書が正しいものでないと判断される場合及び前記第 1 公開鍵証明書が正、ものでな!、と判断される場合に、前記プログラムが不正であると決定することを特徴とする。

[0059] この構成によると、前記正当性判断手段は、取得した前記第 2公開鍵証明書に含まれる第 2署名データに、前記認証機関の公開鍵を用いて、署名検証を施すこと〖こより、取得した前記第 2公開鍵証明書が正しいものであるか否かを検証し、正しいと判定された場合に、前記第 2公開鍵証明書から前記第 2公開鍵を取得し、取得した前記第 1公開鍵証明書に含まれる第 1署名データに、取得した前記第 2公開鍵を用いて、署名検証を施すことにより、取得した前記第 1公開鍵証明書が正しいものであるか否かを検証する。このように、階層構造を形成する複数の公開鍵証明書を用いて検証することで、上位の公開鍵証明書が無効な場合、つまり、前記プログラムを制御するオペレーティングシステムが不正である場合にも前記プログラムを無効化し、不正なオペレーティングシステムのもとで、前記プログラムが実行されることを防ぐ。

[0060] 又は、当該データ処理装置が不正である場合にも、前記プログラムの実行を防止することができる。

前記データ処理装置を構成する前記正当性判断手段は、前記記憶手段へのァクセス要求を検出する度に、前記判断をすることを特徴とする。

また、前記正当性判断手段は、前記記憶手段に記憶されているプログラムへのァクセス要求を検出する度に、前記判断してもよい。

[0061] また、前記正当性判断手段は、当該データ処理装置へ電力供給が開始された直後に、前記判断をするとしてもよい。

上記の構成によると、前記正当性判断手段は、前記記憶手段へのアクセス要求を検出する度に、前記判断をする。又は、前記記憶手段に記憶されているプログラムへのアクセス要求を検出する度に、前記判断をする。又は、当該データ処理装置へ電力供給が開始された直後に、前記判断をする。従って、前記プログラムを実行する前に、前記プログラムが不正である力否かを判断することができる。

[0062] また、本発明は、暗号化されたプログラムを復号して実行する前記データ処理装置であって、前記記憶手段は、前記プログラムに代えて、プログラム鍵を用いて、前記プログラムに暗号ィ匕アルゴリズムが施されて生成された暗号ィ匕プログラムを記憶しており、前記正当性判断手段は、 p個の暗号鍵から選択された m個の暗号鍵を記憶している暗号鍵記憶部と、前記 m個の暗号鍵のそれぞれを用いて、前記プログラム鍵及び所定の検知情報のいずれかが暗号化されて生成された m個の暗号ィ匕情報を、 m個の前記暗号鍵に対応づけて記憶して、る暗号化情報記憶部と、前記 m個の暗号鍵のそれぞれを用いて、対応する暗号ィ匕情報に復号アルゴリズムを施して、 m個の復号情報を生成する復号部と、生成された m個の復号情報の全てが、前記検知情報であるか否かを判断する判断部とを含み、生成された m個の復号情報の全てが、前記検知情報であると判断される場合に、前記プログラムが不正なものであると決定することを特徴とする。

[0063] さらに、前記 p個の暗号鍵は、 n行 m列（p=n X m)の第 1行列の各要素位置に配されており、前記第 1行列の各列から 1個の暗号鍵が選択されることにより、前記第 1行列から m個の暗号鍵が選択され、前記データ処理装置を構成する前記暗号鍵記憶部は、前記第 1行列において、各暗号鍵が配された要素位置を、各暗号鍵に対応付けて記憶しており、前記暗号化情報記憶部は、 n行 m列の第 2行列において、各暗号化情報に対応する暗号鍵が配されている要素位置と同じ要素位置において、当該暗号化情報を記憶しており、復号部は、前記暗号鍵記憶部から、暗号鍵と対応する要素位置を読み出し、前記暗号化情報記憶部の第 2行列において、前記読み出した要素位置と同じ要素位置に配されている暗号ィ匕情報を読み出し、読み出した前記暗号鍵を用いて、読み出した前記暗号ィ匕情報に復号アルゴリズムを施すことを特徴とする。

[0064] 上記の構成によると、前記正当性判断手段は、前記 m個の暗号鍵のそれぞれを用いて、対応する暗号ィ匕情報に復号アルゴリズムを施して、 m個の復号情報をし、生成された m個の復号情報の全てが、前記検知情報であると判断される場合に、前記プログラムが不正なものであると決定する。前記プログラムが正当である場合、当該データ処理装置は、暗号化された前記暗号鍵から暗号鍵を生成し、生成した暗号鍵により、前記暗号ィ匕プログラムを復号してプログラムを生成し、生成したプログラムを実行する。このように、 2重の暗号ィ匕を施すことにより、前記プログラムを不正な利用から保護することができる。

[0065] また、前記第 1行列の各列から 1個の暗号鍵が選択されることにより、前記 p個の暗号鍵が、選択されている。ここで、同一のプログラム鍵により暗号ィ匕された複数の暗号化プログラムが存在する場合を想定する。いずれかのプログラムが不正であり、この不正なプログラムに割り当てられた m個暗号鍵を用いて生成される m個の復号情報は全て前記検知情報である。他の正当なプログラムに割り当てられた m個の暗号鍵のうち、いずれかが、前記不正なプログラムの m個の暗号鍵と一致していても、その他の暗号鍵により、前記プログラム鍵を生成することができる。プログラムごとに異なる組み合わせで、 m個の暗号鍵を割り当てることで、不正なプログラムのみを無効化し、正当なプログラムは、利用することができる。

[0066] また、本発明は、前記データ処理装置であって、データを記憶するためのメモリ手段と、複数の処理手順から構成されるプログラムに従って動作するプロセッサと、前記メモリ手段と前記プロセッサとの間に配置され、前記プロセッサから出力される前記メモリ手段宛の転送データが転送制限条件を満たしているか否かを判断し、転送制限条件を満たして!/ヽると判断する場合に、前記メモリ手段への転送データの転送を抑制し、転送制限条件を満たしていないと判断する場合に、前記メモリ手段への転送データの転送を行う監視手段とを備えることを特徴とする。

[0067] この構成によると、前記監視手段は、前記メモリ手段と前記プロセッサとの間に配置され、前記プロセッサから出力される前記メモリ手段宛の転送データが転送制限条件を満たしている力否かを判断し、転送制限条件を満たしていると判断する場合に、前記メモリ手段への転送データの転送を抑制する。このようにすることで、前記プロダラムの動作中に発生する前記メモリへの不正なアクセスを防止することができる。

[0068] 前記データ処理装置にお!、て、前記監視手段は、複数のアプリケーションプロダラム毎に、転送制限条件を記憶しており、前記プロセッサにより実行されるアプリケーシヨンプログラム毎に、転送制限条件を選択し、選択した転送制限条件を用いることを特徴とする。

この構成では、前記監視手段は、前記プロセッサにより実行されるアプリケーションプログラム毎に、転送制限条件を選択し、選択した転送制限条件を用いる。前記データ処理装置において、複数のアプリケーションプログラムが実行される場合、アプリケーシヨンごとに利用するデータやデバイスが異なることは十分考えられる。従って、アプリケーションプログラムごとに異なる転送制限条件を用いることで、当該データ処理装置は、複数のアプリケーションプログラムを安全に実行することができる。

[0069] また、前記転送制限条件は、前記メモリ手段内の所定の記憶空間を示すアドレス範囲情報であり、前記データ処理装置は、前記監視手段が、前記転送データからアドレス情報を抽出し、抽出したアドレス情報が、前記アドレス範囲情報に含まれる場合に、前記転送データの転送を抑制することを特徴とする。

上記に構成によると、前記監視手段は、抽出したアドレス情報が、前記アドレス範囲情報に含まれる場合に、前記転送データの転送を抑制する。従って、前記プロセッサが前記所定の記憶空間にアクセスすることを阻止することができる。 [0070] 前記転送制限条件は、前記メモリ手段内の所定の記憶空間へのアクセス回数の上限を示す制限回数であり、前記データ処理装置を構成する前記監視手段は、過去における前記記憶空間へのアクセスの累積回数を記憶しており、前記転送データからアドレス情報を抽出し、抽出したアドレス情報が、前記アドレス範囲情報に含まれる場合に、前記累積回数に 1を加算し、加算して得られた加算後回数が、前記制限回数を超える場合に、前記転送データの転送を抑制することを特徴とする。

[0071] この構成によると、前記監視手段は、加算後回数が、前記制限回数を超える場合に、前記転送データの転送を抑制する。このようにすることで、前記プログラムの実行中に、何らかの原因で偶発的に起こった不正アクセスについては、見逃し、例えば、前記プログラムの不正な改ざんによって、定常的に前記所定の記憶空間へ不正なァクセスが起こる場合のみ前記プログラムの実行に伴う転送データの転送を抑制する。

[0072] 本発明において、前記監視手段は、前記プロセッサに接続されるバス上において転送される前記転送データが転送制限条件を満たしている力否かを判断することを特徴とする。

この構成〖こよると、前記監視手段は、前記プロセッサに接続されるノス上において転送される前記転送データが転送制限条件を満たしている力否かを判断するため、前記プロセッサから伝送データが出力される度に、確実に、前記判定を行うことができる。

[0073] 本発明のデータ処理装置を構成する前記メモリ手段は、暗号鍵を用いて、前記プ口セッサにより実行されている現プログラムとは異なるアプリケーションプログラムのコード部分とデータ部分とがそれぞれ暗号化されて生成された暗号化コード及び暗号化データを記憶しており、前記転送制限条件は、前記メモリ手段内において前記暗号化データが格納されている記憶空間を示すアドレス範囲情報であり、前記監視手段は、前記暗号化コード及び暗号化データを復号するための復号鍵を記憶しており、前記転送データからアドレス情報を抽出し、抽出したアドレス情報が、前記暗号ィ匕コードが格納されている記憶空間を示すアドレス範囲内にある場合に、前記復号鍵を用いて、前記転送データにより示される記憶空間に存在する暗号ィ匕コードを復号して復号コードを生成し、生成した復号コードを前記プロセッサへ転送し、抽出したアドレス情報力前記アドレス範囲情報に含まれる場合に、転送データの転送を抑制することを特徴とする。

[0074] この構成によると、前記監視手段は、前記暗号化コード及び暗号化データを復号するための復号鍵を記憶しており、前記アドレス情報が、前記暗号化コードが格納されている記憶空間を示すアドレス範囲内にある場合に、前記復号鍵を用いて、前記転送データにより示される記憶空間に存在する暗号化コードを復号して復号コードを生成し、生成した復号コードを前記プロセッサへ転送し、抽出したアドレス情報が、前記アドレス範囲情報に含まれる場合に、転送データの転送を抑制する。これにより、前記アプリケーションプログラムのデータ部分の使用を当該アプリケーションプロダラムのみに限定することができる。

[0075] 前記監視手段は、さらに、転送制限条件を満たしていると判断する場合に、前記プ口セッサにより実行中の前記プログラムを識別する識別情報をプログラム無効化リストに追加することを特徴とする。

この構成では、前記監視手段は、転送制限条件を満たしていると判断する場合に、前記プロセッサにより実行中の前記プログラムを識別する識別情報をプログラム無効ィ匕リストに追加ため、前記プロセッサにより、このプログラムが再度実行されることを防ぐことができる。

[0076] 本発明の前記データ処理装置は、データを記憶するためのメモリ手段と、複数の処理手順力構成されるプログラムに従って動作し、次に実行対象となる命令のァドレスが格納されて、るプログラムカウンタを備えるプロセッサと、前記プログラムカウンタに格納されているアドレスが、所定のアドレス範囲内に含まれる力否かを判断し、所定のアドレス範囲内に含まれると判断する場合に、前記プロセッサに対して、プロダラムカウンタに所定の値を格納するように指示する監視手段とを備え、前記プロセッサ力前記指示を受け取ると、プログラムカウンタに前記所定の値を格納することを特徴とする。

[0077] この構成によると、前記監視手段は、前記プログラムカウンタに格納されているアドレスが、所定のアドレス範囲内に含まれる力否かを判断し、所定のアドレス範囲内に含まれると判断する場合に、前記プロセッサに対して、プログラムカウンタに所定の値を格納するように指示する。このようにすることで、前記プロセッサが前記所定のアドレス範囲と対応する記憶領域にアクセスすることを事前に防止し、例えば、オペレーティングシステムなどの他のプログラムへ前記プロセッサの実行権を移すことで、前記プログラムの実行を中断させることができる。図面の簡単な説明

[図 1]図 1は、実施の形態 1の携帯電話 100の使用例を示す。

[図 2]図 2は、携帯電話 100及びメモリカード 300の構成を示すブロック図である。

[図 3]図 3は、二次記憶部 104に記憶されてヽる情報の一例を示す。

[図 4]図 4は、通常メモリ 111に記憶されて、る情報の一例を示す。

[図 5]図 5は、アプリ管理表 166の詳細を示す。

[図 6]図 6は、セキュアメモリ 113に記憶されて、る情報の一例を示す。

[図 7]図 7は、セキュアアプリ管理表 186の詳細を示す。

[図 8]図 8は、通常メモリ 111及びセキュアメモリ 113に記憶されて、るプログラムの関連を示したブロック図である。

[図 9]通常 OS 151及びセキュアメモリ 113の取り扱うコマンドのデータ構成を示す。

[図 10]通常 OS151の動作を示すフローチャートである。

[図 11]セキュア OS171の動作を示すフローチャートである。

[図 12]音楽復号デーモン 156の動作を示すフローチャートである。

[図 13]通常 OS151からセキュア OS171への切替処理を示したフローチャートである

[図 14]セキュア OS171から通常 OS151への切替処理を示したフローチャートである

[図 15]携帯電話 100の動作を示したフローチャートである。

[図 16]音楽復号プログラムの登録処理における各プログラムの動作を示したフローチヤートである。

[図 17]音楽復号プログラムの登録処理における各プログラムの動作を示したフローチヤートである。図 16から続く。

[図 18]音楽復号プログラム 176への処理依頼における各プログラムの動作を示したフローチャートである。

[図 19]音楽復号プログラム 176への処理依頼における各プログラムの動作を示したフローチャートである。図 18から続く。

[図 20]音楽復号プログラム 176への処理依頼における各プログラムの動作を示したフローチャートである。図 19から続く。

[図 21]音楽復号プログラム 176への処理依頼における各プログラムの動作を示したフローチャートである。図 20から続く。

[図 22]音楽復号プログラム 176への処理依頼における各プログラムの動作を示したフローチャートである。図 21から続く。

[図 23]音楽復号プログラム 176への処理依頼における各プログラムの動作を示したフローチャートである。図 22から続く。

[図 24]音楽復号プログラム 176への処理依頼における各プログラムの動作を示したフローチャートである。図 23から続く。

[図 25]音楽復号プログラム 176への処理依頼における各プログラムの動作を示したフローチャートである。図 24から続く。

[図 26]音楽復号プログラム 176への処理依頼における各プログラムの動作を示したフローチャートである。図 25から続く。

[図 27]音楽復号プログラム 176への処理依頼における各プログラムの動作を示したフローチャートである。図 26から続く。

[図 28]通常 OS151の実行中における、通常入出力デバイス 132による割込発生時の処理を示すフローチャートである。図 21ステップ S239の詳細である。

[図 29]セキュア OS171実行中における、通常入出力デバイス 132による割込発生時の処理を示すフローチャートである。

[図 30]通常 OS151の実行中における、セキュアデバイス 133による割込発生時の処理を示すフローチャートである。図 23ステップ S287の詳細である。

[図 31]通常 OS151の実行中における、セキュアデバイス 133による割込発生時の処理を示すフローチャートである。図 30から続く。

[図 32]通常 OS151の実行中における、暗号処理デバイス 117による割込発生時の処理を示すフローチャートである。図 27ステップ S337の詳細である。

[図 33]通常 OS151の実行中における、暗号処理デバイス 117による割込発生時の処理を示すフローチャートである。図 32から続く。

[図 34]通常 OS151の実行中における、暗号処理デバイス 117による割込発生時の処理を示すフローチャートである。図 33から続く。

[図 35]音楽復号プログラム 176の削除処理を示したフローチャートである。

[図 36]携帯電話 100の動作にぉ、て、プログラム間のコマンドの受け渡しを示す。

[図 37]携帯電話 100の動作にぉ、て、プログラム間のコマンドの受け渡しを示す。

[図 38]携帯電話 100の動作において、プログラム間のコマンドの受け渡しを示す。図 37から続く。

[図 39]携帯電話 100の動作において、プログラム間のコマンドの受け渡しを示す。図 38から続く。

[図 40]携帯電話 100の動作において、プログラム間のコマンドの受け渡しを示す。図 39から続く。

[図 41]携帯電話 100の動作において、プログラム間のコマンドの受け渡しを示す。図 40から続く。

[図 42]携帯電話 100の動作において、プログラム間のコマンドの受け渡しを示す。図 41から続く。

[図 43]通常メモリ 111に記憶されて、る情報の一例を示す。

[図 44]携帯電話 100の起動時の動作を示すフローチャートである。

[図 45]セキュアメモリ 113に記憶されて、る情報の一例を示す。

[図 46]MMU制御プログラム 184により形成される論理メモリ空間の一例を示す。

[図 47]実施の形態 1の変形例における、各プログラム間の関連を示すブロック図である。

[図 48]実施の形態 1の変形例において、通常 OS151及びセキュア OS171が有するセキュアデバイスドライバ管理表 231の構成を示す。

[図 49]実施の形態 2の携帯電話 400の使用例を示す。

[図 50]無効化リスト発行装置 250の構成を示すブロック図である。 [図 51]携帯電話 400に含まれるメモリ保護部 414及びセキュアメモリ 413の構成を示すブロック図である。

[図 52]メモリ保護部 414の動作を示すフローチャートである。

[図 53]メモリ保護部 414の動作を示すフローチャートである。図 52から続く。

[図 54]実施の形態 2の変形例におけるメモリ保護部 454及びセキュアメモリ 453の構成を示すブロック図である。

[図 55]セキュア OS証明書の詳細を示す。

[図 56]実施の形態 2の変形例において、音楽復号プログラム 476の備えるアプリ証明書 501、メーカー証明書 511、 CA証明書 521の構成及び関連を示す。

[図 57]OS無効化リストの構成の一例を示す。

[図 58]実施の形態 3における無効化リスト発行装置の情報記憶部 610に記憶されている情報の一例を示す。

[図 59]アプリ固有鍵マトリクス 592及び OS固有鍵マトリクス 597の構成を示す。

[図 60]アプリマトリクス無効化リスト 611の詳細な構成を示す。

[図 61]アプリマトリクス無効化リストの生成の処理手順を示すフローチャートである。

[図 62]実施の形態 3の携帯電話の備えるメモリ保護部 571及びセキュアメモリ 613の構成を示すブロック図である。

[図 63]メモリ保護部 571による検証動作を示すフローチャートである。

[図 64]アプリ検証部 578による音楽復号プログラム 592の検証動作を示すフローチヤートである。

[図 65]実施の形態 3の変形例のホームネットワークの構成を示す構成図である。圆 66]実施の形態 4の携帯電話を構成するメモリ保護部 701及びセキュアメモリ 713 の構成を示すブロック図である。

[図 67]実施の形態 5において、セキュアメモリカード 820の構成及びセキュアメモリ力ード 820に記憶されている情報の一例を示す。

圆 68]実施の形態 5の携帯電話 750及び携帯電話 750に装着される通常メモリカード 800及びセキュアメモリカード 820の構成を示すブロック図である。

[図 69]メモリ保護部 764の構成を示すブロック図である。 [図 70]セキュアメモリテーブル 811及び通常メモリテーブル 861の構成を示す。

[図 71]アクセス制御部 783及び ID検出部 786の動作を示すフローチャートである。

[図 72]アクセス制御部 783動作を示すフローチャートである。図 71から続く。

符号の説明

10 携帯電話網

15 基地局

20 インターネット

100 携帯電話

101 デバッガ IF

102 CPU

103 MMU

104 二次記憶部

106 切替制御部

107 割込コントローラ

108 入力部

109 表示部

111 通常メモリ

112 共有メモリ

113 セキュアメモリ

114 メモリ保護部

116 入出力部

117 暗号処理デバイス

118 無線通信制御部

119 マイク

120 スピーカ

121 通信部

122 アンテナ

123 ノッファ 124 符号処理部

126 DZA変換部

130 バス

131 アクセス §

132 通常入出力デバイス

133 セキュア入出力デバイス

300 メモリカード

発明を実施するための最良の形態

[0080] 以下、本発明の実施の形態について図面を用いて詳細に説明する。

1. 実施の形態 1

本発明の実施の形態について、以下に説明する。

図 1は、本発明の携帯電話 100の使用例を示している。携帯電話 100は、メモリ力ード 300を装着される。

[0081] メモリカード 300は、暗号ィ匕された音楽データが記録されており、携帯電話 100は、メモリカード 300から音楽データを読み出して再生する。

また、携帯電話 100は、基地局 15、携帯電話網 10、インターネット 20を介してコンテンッ配信装置と接続されている。携帯電話 100は、コンテンツ配信装置の記憶している音楽、映像など力構成される各種のコンテンツをインターネット、携帯電話網を介して取得する。

[0082] 1. 1 メモリカード 300

メモリカード 300は、図 2に示すように、入出力部 301、セキュア処理部 302、一般領域 303及びセキュア領域 306から構成される。

一般領域 303は、外部機器により自由にアクセスすることができる記憶領域であり、暗号ィ匕音楽データ 304を記憶している。セキュア領域 306は、許可された外部機器のみがアクセスできる記憶領域であり、コンテンツ鍵 307が記憶されている。

[0083] 暗号化音楽データ 304· · ·は、 1曲分の音楽データに、コンテンツ鍵 307を用いて、暗号ィ匕アルゴリズム E1を施して生成されたものである。各暗号化音楽データは、楽曲 IDにより識別される。暗号化アルゴリズム Elは、一例として DES (Data Encryption Standard)などを用いる。

[0084] 入出力部 301は、外部機器と一般領域 303及びセキュア処理部 302との間で各種のデータを入出力する。

セキュア処理部 302は、外部機器との間で、 CPRM (Content Protection for Recordable Media)の仕組みに基づいて相互認証を行い、認証に成功した場合に、認証した機器と鍵を共有する。共有した鍵を用いて、外部機器との間で、安全にデータの入出力を行う。

[0085] なお、 CPRMにつ!/、ては、公知であるので説明を省略する。また、他の認証方法により認証を行ってもよい。

1. 2 携帯電話 100の構成

携帯電話 100は、図 2に示すように、デバッガ IF101、 CPU102、 MMU103、二次記憶部 104、切替制御部 106、割込コントローラ 107、入力部 108、表示部 109、通常メモリ 111、共有メモリ 112、セキュアメモリ 113、メモリ保護部 114、入出力部 11 6、暗号処理デバイス 117、無線通信制御部 118、マイク 119、スピーカ 120、通信部 121、アンテナ 122、ノッファ 123、符号処理部 124及び DZA変換部 126から構成され、各回路はバス 130に接続されている。

[0086] 携帯電話 100は、具体的にはコンピュータシステムであり、通常メモリ 111、共有メモリ 112、セキュアメモリ 113、二次記憶部 104には各種のコンピュータプログラム記憶されており、 CPU102がこれらのコンピュータプログラムに従って動作することにより、携帯電話 100はその機能の一部を実現する。

(1)二次記憶部 104、共有メモリ 112

二次記憶部 104は、 ROM力も構成され、一例として、図 3に示すように、暗号化音楽復号プログラム 141及び音楽復号デーモン 142などを記憶している。

[0087] 暗号ィ匕音楽復号プログラム 141は、セキュアメモリ 113上にロードされて実行される音楽復号プログラムを暗号ィ匕して生成されたものである。音楽復号プログラムは、メモリカード 300に記憶されている暗号ィ匕音楽データ 304を復号するプログラムである。これについては、後に、詳細に説明する。音楽復号デーモン 142は、通常メモリ 111上にロードされて実行されるプログラムであり、音楽復号プログラムと 1対 1に対応する。

[0088] 音楽復号の処理のうちで、高いセキュリティを要する処理及び保護されるべきデータを扱う処理を音楽復号プログラムが実行し、高、セキュリティを必要としな、処理を音楽復号デーモンが実行する。詳細については、後に述べる。

共有メモリ 112は、 RAMから構成され、通常メモリ 111上のプログラム及びセキュア記憶上のプログラム!/、ずれのプログラムからも使用可能なメモリである。

[0089] なお、ここでは、二次記憶部 104は ROM力も構成されるとしている力ハードデイスクユニットから構成されるとしても良い。

(2)通常メモリ 111及びセキュアメモリ 113

通常メモリ 111は、 RAM及び ROMから構成され、 CPU102により実行される各種のプログラムを記憶している。一例として、図 4に示すように、通常 OS151、ライブラリ 152、音楽再生プログラム 153、音楽復号デーモン 156、通常入出力デバイスドライノ 157、セキュア入出力エントリデバイスドライバ 158、暗号エントリデバイスドライバ 1 59、通常切替デバイスドライバ 160及び通常割込ハンドラ 161を記憶して、る。

[0090] セキュアメモリ 113は、 RAMから構成され、 CPU102によって、実行される各種のプログラムを記憶している。セキュアメモリ 113は、メモリ保護部 114を介してバス 130 と接続されている。

セキュアメモリ 113は、一例として、図 6に示すように、セキュア OS171、音楽復号プログラム 176、セキュア入出力デバイスドライバ 178、暗号デバイスドライバ 179、セキュア切替デバイスドライバ 180、セキュア割込ハンドラ 181を記憶して、る。

[0091] 図 8は、通常メモリ 111及びセキュアメモリ 113に記憶されている各プログラム間の関係を機能的に示したブロック図である。実際には、同一メモリ上の各プログラム間の通信は、通常 OS151及びセキュア OS171へシステムコールを出力することにより実現される。また、通常切替デバイスドライバ 160、セキュア切替デバイスドライバ 180 及び切替制御部 106が動作することにより、通常 OS151とセキュア OS171とを切り替えている力図 8においては、オペレーティングシステムによる仲介及び通常 OS 1 51とセキュア OS 171との切り替えに係るプログラムを省略して!/、る。 [0092] また、図 8において、共有メモリ 112は、通常入出力デバイス 132及び暗号処理デバイス 117と接続されている力これは、共有メモリ 112の果たす役割の一部を示しており、共有メモリ 112は、その他のプログラムによっても使用される。

<通常 OS151 >

通常 OS 151は、通常メモリ 111上にロードされて実行される各種のプログラムを制御する基本ソフトウェアであり、制御プログラムと制御データ力構成される。

[0093] 制御データには、図 4に示すように、アプリ管理表 166が含まれる。アプリ管理表 16 6は、図 5〖こ示すよう〖こ複数のエントリ 167、 168 · · ·を含む。各エントリは、ハンドル値、デーモンアドレス、アプリコンテキストアドレス力構成される。

ハンドル値は、セキュアメモリ 113上にロードされるセキュアアプリケーションに割り当てられる識別子である。

[0094] 以下の説明において、セキュアメモリ 113上にロードされて、セキュアな処理を実行するアプリケーションをセキュアアプリケーションと呼ぶ。ここで、セキュアな処理とは、保護されるべきデータを扱う処理及びアルゴリズム自体を保護する必要のある処理である。

デーモンアドレスは、セキュアアプリケーションと対応して動作するプログラムの通常メモリ 111上のロードアドレスである。

[0095] アプリコンテキストアドレスは、ハンドル値と対応するセキュアアプリケーションにセキユアな処理を依頼するアプリケーションのコンテキストを保存して、る通常メモリ 111 上のアドレスである。コンテキストには、 CPU102のレジスタ値、スタックポインタ、 M MU103の内容などが含まれる。

具体的にエントリ 167について説明すると、ハンドル値「1」は、音楽再生プログラム 1 53がセキュアな処理を依頼する音楽復号プログラム 176 (後述する）に割り当てられる識別子である。デーモンアドレス「0000BBBB」は、音楽復号プログラム 176と対応して動作する音楽復号デーモン 156の通常メモリ 111上のロードアドレスである。ァプリコンテキストアドレス「0000AAEE」は、音楽再生プログラム 153のコンテキストを保存して!/、る通常メモリ 111上のアドレスである。

[0096] また、制御データには、通常入出力デバイスドライバ 157を示す識別情報デバイスあるデバイス ID— A、セキュア入出力エントリデバイスドライバ 158を識別する識別情報であるデバイス ID— B及び暗号エントリデバイスドライバ 159を示す識別情報であるデバイス ID— Cとが含まれる。これらは、それぞれ、通常入出力デバイスドライバ 15 7、セキュア入出力エントリデバイスドライバ 158及び暗号エントリデバイスドライバ 15 9の通常メモリ 111上のロードアドレスと対応付けて記憶されて、る。デバイス ID— B は、セキュア入出力デバイスドライバ 178 (後述する）を示す識別情報と同一であり、デバイス ID— Cは、暗号デバイスドライバ 179を示す識別情報と同一である。

[0097] 通常 OS151は、共有メモリ 112内の所定の領域 (コマンド領域と呼ぶ）を介して、セキュア OS171との間で各種のコマンドの送受信を行う。また、通常メモリ 111上のプログラムとの間でも各種のコマンドの送受信を行う。通常メモリ 111上のプログラムとの間のプログラムの送受信には、共有メモリ 112を用いても良いし、通常メモリ 111を用いても良い。

[0098] 図 9 (a)は、通常 OS151が扱うコマンドのデータ構造の一例を示している。コマンド 1000は、コマンド部 1011とデータ格納部 1012から構成される。

コマンド部 1011に格納されるコマンドには、セキュアアプリ登録要求、登録完了通知、アプリ復帰要求、セキュアアプリ削除命令、削除完了通知、システムコール、応答通知、セキュア処理要求、外部処理要求、休眠要求、割込発生通知などがある。

[0099] データ格納部 1012には、各種データ及びコマンド 1016、データ及びコマンド 101 6の受け取り先となるプログラムを示す識別情報 1013など力コマンド部 1011に格納されるコマンドに応じて格納される。

セキュアアプリ登録要求は、通常メモリ 111上で動作するアプリケーション力セキユアな処理を依頼するセキュアアプリケーションをセキュアメモリ 113上にロードし使用可能な状態にすることを要求するコマンドである。このとき、図 9 (b)の示すようにデータ格納部 1012には、セキュアアプリケーションを示すセキュアアプリ情報とセキュァアプリケーションと対応して動作するプログラムを示すデーモン情報とが格納される。音楽再生プログラム 153から出力されるセキュアアプリ登録要求を例にすると、セキユアアプリ情報は、二次記憶部 104上の暗号化音楽復号プログラム 141の記憶されているアドレスであり、デーモン情報は、音楽復号デーモン 142の記憶されているァドレスである。なお、セキュアアプリ情報及びデーモン情報は、暗号化音楽復号プログラム 141及び音楽復号デーモン 142と対応する識別子などでも良い。

[0100] 登録完了通知は、セキュアメモリ 113上に、セキュアアプリケーションがロードされ、セキュアアプリ管理表 (後述する）への登録が完了したことを通知する。このとき、データ格納部 1012には、登録されたセキュアアプリケーションと対応するハンドル値が格納されている。

アプリ復帰要求は、依頼されていた処理を終えたセキュアアプリケーション力依頼元であるアプリケーションの復帰を要求するコマンドである。このとき、データ格納部には、セキュアアプリケーションを示す識別情報が格納されて、る。

[0101] セキュアアプリ削除命令は、セキュアメモリ 113上のセキュアアプリケーションの削除を指示するものである。このとき、データ格納部 1012には、削除するセキュアアプリケーシヨンを一意に識別するハンドル値が格納されている。

削除完了通知は、セキュアメモリ 113上のセキュアアプリケーションが削除されたことを通知するものである。このとき、データ格納部 1012には、削除されたセキュアァプリケーシヨンを一意に識別するハンドル値が格納されている。

[0102] システムコールは、通常メモリ 111上のアプリケーション力通常 OS151へ、通常メモリ 111上の他のプログラムへコマンド又はデータの仲介を依頼するコマンドである。このとき、データ格納部 1012には、仲介を依頼したアプリケーションを示す識別情報と仲介先のプログラムを示す識別情報と、仲介するデータ及びコマンドが書き込まれている。

[0103] 一例として、図 9 (c)は、音楽復号デーモン 156が出力したシステムコールのデータ構造を示している。コマンド部 1011には、システムコールが格納されており、データ格納部 1012には、システムコールの発信元である音楽復号デーモン 156を示すノヽンドル値「1」と、データの受け取り先である暗号エントリデバイスドライバ 159を示すデバイス ID— Cと、仲介されるデータ「処理結果」が格納されてヽる。

[0104] 応答通知は、システムコールによりアプリケーション力コマンド又はデータを受け取ったプログラム力受け取ったコマンド及びデータに従って処理を行い、システムコールの出力元のアプリケーションへの処理結果の通知を、通常 OS 151へ依頼するものである。データ格納部 1012には、通知依頼したプログラムを示す識別情報と通知先のアプリケーションを示す識別情報と、処理結果などが格納されて、る。

[0105] 一例として、図 9 (c)に示すシステムコールにより、ハンドル値「1」、デバイス ID— C 及び処理結果を受け取った暗号エントリデバイスドライバ 159は、排他制御を解除し（詳細は後述する）、ハンドル値「1」、デバイス ID— C及び処理結果を含む応答通知を通常 OS151へ出力することにより、通常 OS151を介して、ハンドル値「1」、デバイス ID— C及び処理結果を音楽復号デーモン 156へ通知する（詳細は後述する）。

[0106] セキュア処理要求は、通常メモリ 111上のプログラムからセキュアメモリ 113上のプログラムへのコマンド又はデータの仲介を依頼するコマンドである。このとき、データ格納部 1012には、セキュア処理要求の出力元であるプログラムを示す識別情報と、仲介先のプログラムを示す情報及び仲介するデータ及びコマンドが格納されている。図 9の（d)は、一例として、音楽復号デーモン 156から出力されるセキュア処理要求のデータ構造を示している。データ格納部 1012には、セキュア処理要求の出力元である音楽復号デーモン 156を示すノヽンドル値「1」、受け取り先である暗号デバイスドライバ 179を示すデバイス ID— Cと、仲介されるコマンド「割込通知」とが格納されている。

[0107] 外部処理要求は、セキュアメモリ 113上のプログラムから通常メモリ 111上のプログラムへのコマンド及びデータの仲介を依頼するものである。このとき、データ格納部 1 012には、セキュア処理要求の出力元であるプログラムを示す識別情報と、仲介先のプログラムを示す識別情報と、仲介されるデータ及びコマンドが格納されている。図 9 (e)は、一例として、暗号デバイスドライバ 179から出力される外部処理要求のデータ構成を示している。コマンド部には、外部処理要求が格納されており、データ格納部には、外部処理要求の出力元である暗号デバイスドライバ 179と対応するデバイス I D—Cと受け取り先である音楽復号デーモン 156と対応するハンドル値「1」と、仲介されるコマンド「休眠要求」が格納されて、る。

[0108] 休眠要求は、携帯電話 100の備える、デバイスのデバイスドライバ及びデバイスへ処理を依頼したプログラムを休眠状態に遷移させることを依頼するコマンドである。このとき、データ格納部 1012には、休眠要求を依頼するデバイスドライバを示す識別情報と、デバイスへ処理を依頼するプログラムと対応する識別情報とが格納されてヽる。

割込発生通知は、割込の発生を通知するものである。

[0109] 以下に、図 10のフローチャートを用いて、通常 OS151の動作について説明する。

なお、通常 OS151は、このフローチャートにおいて説明する処理以外にも、各種の処理を実行する。

ここで、セキュアアプリ登録要求、登録完了通知、アプリ復帰要求、セキュアアプリ削除命令及び削除完了通知については、具体的に、通常メモリ 111上のアプリケーシヨンを音楽再生プログラム 153、セキュアアプリケーションを音楽復号プログラム 17 6、セキュアアプリケーションと対になって動作するプログラムを音楽復号デーモン 15 6として説明する。

[0110] 通常 OS151は、切替処理によって CPU102に復帰すると、共有メモリ 112のコマンド領域力もコマンドを読み出す (ステップ S1001)。なお、切替処理については、以下の通常切替デバイスドライバ 160及びセキュア切替デバイスドライバ 180の説明において、詳細に説明する。

読み出したコマンドを解読し (ステップ S 1002)、解読したコマンドが登録完了通知であれば、音楽復号デーモン 156を通常メモリ 111上にロードし (ステップ S1004)、ロードしたアドレスと、登録完了通知のデータ格納部に含んで受け取ったノ、ンドル値「1」をアプリ管理表 166のエントリ 167に書き込み（ステップ S1005)、ハンドル値「1」を音楽再生プログラム 153へ出力する。

[0111] 読み出したコマンドが外部処理要求であれば (ステップ S1002)、データ格納部に含まれる仲介先を示す識別情報と対応するプログラムを呼び出し、呼び出したプログラムへ外部処理要求のデータ格納部に含んで受け取った情報を出力する (ステップ S1006)。

読み出したコマンドが割込発生通知であれば (ステップ S 1002)、 CPU102の割込レジスタに書き込まれて、るダミーデータを消去することで割込マスクを解除する (ステツプ S1007)。割込マスクについては、後のセキュア割込ハンドラ 181に関する説明において述べる。 [0112] 読み出したコマンドが、アプリ復帰要求である場合 (ステップ S 1002)、データ格納部に含まれるハンドル値「1」と、アプリ管理表 166とを基に、音楽再生プログラム 153 のコンテキストを復帰させる（ステップ S1009)。

読み出したコマンド力削除完了通知であれば (ステップ S1002)、データ格納部に含まれるハンドル値「1」と対応する音楽復号デーモン 156を通常メモリ 111から削除し (ステップ S 1011)、アプリ管理表 166からハンドル値「1」を含むエントリ 167を削除する（ステップ S 1012)。

[0113] 次に、通常メモリ 111上の各プログラムからのコマンドを受け付ける（ステップ S101 3)。

システムコールを受け付けると (ステップ S 1013)、データ格納部に書き込まれているハンドル値又はデバイス IDなどの仲介先を示す識別情報と対応するプログラムを呼び出し、データ格納部に含まれる情報を出力する (ステップ S1014)。例えば、ハンドル値「 1」が含まれて!/、ると、アプリ管理表 166でハンドル値「 1」を含むエントリ 16 7を選択し、選択したエントリ 167のデーモンアドレスを基に音楽復号デーモン 156を呼び出し、デバイス ID— Cが含まれていると、暗号エントリデバイスドライバ 159を呼び出す。

[0114] また、具体的には図示していないが、応答通知を受け取った場合も、システムコ一ルを受け取った場合と同様に、データ格納部に書き込まれている識別情報と対応するアプリケーションを呼び出し、データ格納部に含まれる情報を出力する。

休眠要求を受け付けると (ステップ S1013)、データ格納部に書き込まれているハンドル値又はデバイス IDなどの識別情報に対応するプログラムと対応するプログラムを休眠状態に遷移させる (ステップ S1016)。休眠状態とは、一切の動作を行わない状態を言う。

[0115] 音楽復号プログラム 176から図 9 (b)の示すように、データ格納部にセキュアアプリ情報とデーモン情報とを含むセキュアアプリ登録要求を受け付けると (ステップ S 101 3)、音楽再生プログラム 153のコンテキストを通常メモリ 111上に保存し、保存先のァドレスをアプリコンテキストアドレスに書き込み、セキュアアプリ情報を基に二次記憶部 104から読み出した暗号化音楽復号プログラム 141を共有メモリ 112に書き込む (ステツプ S1017)。次に、セキュアアプリ登録要求を、共有メモリ 112上に書き込み (ステツプ S1018)、ステップ S1028へ処理を移す。このときの、セキュアアプリ登録要求は、データ格納部に暗号ィ匕音楽復号プログラムの共有メモリ 112上の書き込み先のアドレスを含んでいる。

[0116] 音楽再生プログラム 153からセキュアアプリ削除命令を受け取ると (ステップ S 1013 )、受け取ったセキュアアプリ削除命令を共有メモリ 112に書き込む (ステップ S1019 )。ここで、データ格納部には、削除対象となる音楽復号プログラム 176を示すノヽンドル値「1」が格納されている。

セキュア処理要求を受け付けると (ステップ S1013)、受け付けたセキュア処理要求を共有メモリ 112に書き込む (ステップ S1021)。次に、切替処理を行う（ステップ S10 28)。

[0117] また、割込が発生し、割込みコントローラ 107から割込発生通知を受け取る (ステツプ S1023)、通常割込ハンドラ 161を起動する (ステップ S1024)。通常割込ハンドラ 161による、割込要因の調査結果に基づき休眠して!/、るプログラムの休眠を解除し（ステップ S1026)。ステップ S1013へ処理を移す。

なお、本実施の形態では、通常 OS151とセキュア OS171とは、共有メモリ 112を介して、各種のコマンドをやり取りしている力共有メモリ 112に代わって、専用レジスタを用いるとしてちよい。

<セキュア OS171 >

セキュア OS171は、図 6に示すように、オペレーティングプログラム 172、デバッグ無効化プログラム 173、喑復号プログラム 174から構成される。

[0118] デバッグ無効化プログラム 173は、デバッガ IF101のレジスタにダミーデータを書き込み、デバッガ IF101を無効化するプログラムである。なお、デバッガ IF101と CPU 102との間にスィッチを備え、デバッグ無効化プログラム 173は、このスィッチを開閉することで、デバッガ IF101を無効化する構成であってもよい。

喑復号プログラム 174は、予め復号鍵をコーディングされており、暗号化音楽復号プログラムを復号して、音楽復号プログラムを生成する。

[0119] オペレーティングプログラム 172は、セキュアメモリ 113上にロードされる各種のプログラムを制御する基本ソフトウェアであり、制御プログラムと制御データとから構成される。制御部データには、図 6に示すように、セキュアアプリ管理表 186が含まれる。セキュアアプリ管理表 186は、図 7に示すように、複数のエントリ 187、 188 · · ·を含む。各エントリは、ハンドル値、セキュアアプリアドレス、セキュアアプリコンテキストアドレス力も構成され、セキュアメモリ 113上にロードされているセキュアアプリケーションと対応している。

[0120] ハンドル値は、各セキュアアプリケーションに割り当てられた識別子である。

セキュアアプリアドレスは、セキュアアプリケーションがロードされている、セキュアメモリ 113上のアドレスである。セキュアアプリコンテキストアドレスは、セキュアアプリケーシヨンのコンテキストが保存されて、るセキュアメモリ 113上のアドレスである。

[0121] 一例としてエントリ 187のハンドル値「1」は、オペレーティングプログラム 172が音楽復号プログラム 176に割り当てた識別子である。セキュアアプリアドレス「1111EEEE 」は、音楽復号プログラム 176が記憶されているセキュアメモリ 113上のアドレスであり、セキュアアプリコンテキストアドレス「11AADDDE」は、音楽復号プログラム 176のコンテキストが記憶されて、るセキュアメモリ 113上のアドレスである。

[0122] また、制御データには、セキュア入出力デバイスドライバ 178と対応する識別情報であるデバイス ID_B、暗号デバイスドライバ 179と対応する識別情報であるデバィス ID— Cが含まれる。これらは、それぞれ、セキュア入出力デバイスドライバ 178及び暗号デバイスドライバ 179のセキュアメモリ 113上のロードアドレスと対応付けて、セキユアメモリ 113上に記憶されて、る。

ここで、デバイス ID— B及びデバイス ID— Cは、通常 OS151の有する制御データに含まれるデバイス ID— B及びデバイス ID— Cと同一である。

[0123] セキュア OS171は、共有メモリ 112のコマンド領域を介して通常 OS 151との間で各種のコマンドの授受を行う。また、セキュアメモリ 113上の各プログラムとの間でセキユアメモリ 113上のオペレーティングプログラム 172の有する記憶領域を介して、コマンドを送受信する。

以下の説明において、説明の便宜上、オペレーティングプログラム 172の行う処理を、セキュア OS171の行う処理として表現する。 [0124] セキュア OS171が扱う各種のコマンドは、通常 OS151が扱うコマンドと同様に、図 9の（a)に示す構造である。コマンド部 1011に格納されるコマンドには、セキュアァプリ登録要求、登録完了通知、アプリ復帰要求、セキュアアプリ削除命令、削除完了通知、システムコール、応答通知、セキュア処理要求、外部処理要求、割込発生通知などがある。セキュアアプリ登録要求、登録完了通知、アプリ復帰要求、セキュアアブリ削除命令、削除完了通知、セキュア処理要求、外部処理要求、割込発生通知については、上記の通常 OS151に関する説明において既に述べた通りである。システムコールは、セキュアメモリ 113上のアプリケーションからセキュアメモリ 113上の他のプログラムへのデータ及びコマンドの仲介を依頼するものであり、応答通知は、システムコールにより、コマンド及びデータを受け取ったプログラム力処理結果などの通知をセキュア OS 171へ依頼するものである。

[0125] 以下に、図 11のフローチャートを用いて、セキュア OS171の動作について説明する。ここで、セキュアアプリ登録要求、登録完了通知、セキュアアプリ削除命令及び削除完了通知については、具体的に、アプリケーションを音楽再生プログラム 153、セキュアアプリケーションを音楽復号プログラム 176、セキュアアプリケーションと対になつて動作するプログラムを音楽復号デーモン 156として説明する。なお、セキュア OS 171は、このフローチャートに示した処理以外にも各種の処理を行っている力本発明とは関係がな、ため、ここでは説明をしな、。

[0126] 切替処理によって、セキュア OS171が CPU102に復帰する（ステップ S1041)。セキュア OS171は、共有メモリ 112のコマンド領域力もコマンドを読み出して解読し (ステツプ S1042)、解読したコマンドによって、以下の処理を行う。

読み出したコマンドがセキュアアプリ登録要求であれば (ステップ S1042)、喑復号プログラム 174によって、共有メモリ 112上の暗号化音楽復号プログラムを復号して音楽復号プログラム 176を生成し、セキュアメモリ 113上にロードする（ステップ S104 3)。ロードアドレス及びハンドル値「1」をセキュアアプリ管理表 186のエントリ 187に書き込む (ステップ S 1044)。次に、登録完了通知をコマンド部に格納し、データ格納部にハンドル値「1」を格納した、登録完了通知を生成し、共有メモリ 112に書き込む（ステップ S 1046)。次に、切替処理に移る（ステップ S 1062)。 [0127] 解読したコマンド力セキュア処理要求であれば (ステップ S 1042)、データ格納部に格納されて、る、受け取り先となるプログラムの識別情報と対応するプログラムを呼び出す (ステップ S1047)。例えば、ハンドル値「1」が格納されていれば、音楽再生プログラム 153を呼び出し、デバイス ID— Bが格納されていれば、セキュア入出力デバイスドライバ 178を呼び出す。次に、ステップ S 1052へ移る。

[0128] 読み出したコマンドがセキュアアプリ削除命令であれば (ステップ S1042)、データ格納部に格納されている、削除の対象となるプログラムを示すノヽンドル値「1」を抽出し、抽出したハンドル値「1」と対応する音楽復号プログラム 176をセキュアメモリ 113 上から削除し、次に、セキュアアプリ管理表 186から、エントリ 187を削除する (ステツプ S 1049)。

[0129] 削除し終えると、削除完了通知を共有メモリ 112に書き込む (ステップ S1051)。このとき、コマンド部には削除完了通知が格納されており、データ格納部には、ハンドル値「1」が格納されている。次に、ステップ S 1062へ処理を移す。

次に、セキュア OS171は、セキュアメモリ 113上の各プログラムから、コマンドを受け取る（ステップ S 1052)。

[0130] 受け取ったコマンド力外部処理要求であれば (ステップ S 1052)、共有メモリに、受け取った外部処理要求を書き込み (ステップ S 1053)、ステップ S 1062へ処理を移す。

セキュア割込ハンドラ 181 (後述する）から、いずれかのデバイスで割込が発生したことを示す割込発生通知を受け取ると、受け取った割込発生通知を、共有メモリ 112 に書き込み（ステップ S 1054)、ステップ S 1062へ処理を移す。

[0131] 受け取ったコマンドがシステムコールであれば (ステップ S1052)、データ格納部に格納されている受け取り先のプログラムを示す識別情報により、該当するプログラムを呼び出す (ステップ S 1056)。

受け取ったコマンド力アプリ復帰要求であれば (ステップ S 1052)、共有メモリに、受け取ったアプリ復帰要求を書き込み（ステップ S 1061)、ステップ S 1062へ処理を移す。また、具体的には図示していないが、応答通知の場合も同様に、データ格納部に含まれる識別情報と対応するアプリケーションを呼び出す。 [0132] これらの処理の途中で、割込が発生し、割込みコントローラ 107から割込発生通知を受け取ると (ステップ S1057)、セキュア割込ハンドラ 181を起動し (ステップ S1059 )、ステップ S 1052へ戻る。

くライブラリ 152 >

ライブラリ 152は、各種のプログラムで共通に利用される関数を含んでおり、一例として、メモリカード 300のアクセスを行うアクセス関数を含む。アクセス関数は、通常入出力デバイスドライバ 157を呼び出し、データの読み出しを指示する関数である。 <音楽再生プログラム 153 >

音楽再生プログラム 153は、利用者に表示する各種の画像データなどを含み、利用者の操作を受けてメモリカード 300に記憶されている音楽を再生するアプリケーシヨンである。音楽再生プログラム 153には、予め、セキュアアプリ情報とデーモン情報とがコーディングされている。セキュアアプリ情報は、音楽再生プログラム 153が、セキュアな処理を依頼するプログラムを示す情報であり、具体的には、暗号化音楽復号プログラム 141の記憶されている二次記憶部 104上のアドレスである。デーモン情報は、セキュアアプリ情報の示すプログラムと対になるプログラムを示す情報であり、具体的には、音楽復号デーモン 142の記憶されている二次記憶部 104上のアドレスである。

<音楽復号プログラム 176及び音楽復号デーモン 156 >

音楽復号プログラム 176と音楽復号デーモン 156は、対になって動作することにより、暗号化音楽データの復号処理が達成される。

[0133] 音楽復号プログラム 176は、通常 OS151及びセキュア OS171を介して、音楽再生プログラム 153から復号命令を受け、図 8に示すようにデータ読出ステップ、コンテンッ鍵読出ステップ、復号ステップ及び音楽データ出力ステップを経て、音楽データを生成し、音楽データ出力ステップにおいて、処理結果として、ノッファ 123上の音楽データの書き込み先アドレスを出力する。

[0134] これらの処理の中で、高いセキュリティを必要としない処理を音楽復号デーモン 15 6へ依頼する。具体的には、セキュア OS171へ外部処理要求を出力することによつて、音楽復号デーモン 156へデータ読み出し命令を出力する。その処理結果として共有メモリ 112上の暗号化音楽データの書き込み先アドレスを受け取る。また、セキユア OS171へ外部処理要求によって、音楽復号デーモン 156へ復号命令を出力し、処理結果として、ノッファ 123上の音楽データの書き込み先アドレスを取得する。

[0135] 音楽復号デーモン 156は、セキュア OS171及び通常 OS151を介して、音楽復号プログラム 176からデータ読み出し命令及び復号命令を受け取る。また、通常入出力デバイスドライバ 157、セキュア入出力エントリデバイスドライバ 158、暗号エントリデバイスドライバ 159、セキュア入出力デバイスドライバ 178及び暗号デバイスドライノ 179から各種の命令及びデータを受け取る。受け取った命令及びデータに基づいて各種の処理を行う。音楽復号デーモン 156による処理について、図 12のフローチヤートを用いて説明する。なお、図 9においては、書略している力音楽復号デーモン 156の受け取るすべておコマンド、データには、受け取り先である音楽復号デーモン 156を示す識別情報としてハンドル値「1」が含まれている。

[0136] セキュア OS 171を介して、各種の命令及びデータを受け取る（ステップ SO 11)。受け取った命令を判別し (ステップ S012)、データ読出命令であれば、ライブラリ 152のアクセス関数を呼び出す (ステップ SO 13)。

コマンドの出力元を示す識別情報としてデバイス ID— Aと処理結果とを受け取ると、外部処理要求により、受け取った処理結果を音楽復号プログラム 176へ出力する（ステップ S014)。このとき、データ格納部には、処理結果と、受け取り先を示すノヽンドル値「1」とを格納する。

[0137] コマンドの出力元を示すデバイス ID— Bと休眠要求とを受け取ると (ステップ S012) 、通常 OS 151へのシステムコールによって、受け取った休眠要求をセキュア入出力エントリデバイスドライバ 158へ出力する (ステップ S015)。このとき、データ格納部には、受け取り先を示す識別情報として、受け取ったデバイス ID— Bを格納し、システムコールの出力元を示す識別情報として音楽復号デーモン 156自身を示すハンドル値「1」とを格納する。

[0138] コマンドの出力元を示すデバイス ID— Bと、割込通知とを受け取ると (ステップ S01 2)、セキュア処理要求のデータ格納部に、受け取った割込通知とデバイス ID— Bと音楽復号デーモン 156自身を示すノ、ンドル値「1」とを格納し、通常 OSへ出力することにより、受け取った割込通知をセキュア入出力デバイスドライバ 178へ出力する (ステツプ SO 16)。

[0139] セキュア OS171及び通常 OS151を介して、音楽復号プログラム 176から、復号命令を受け取ると、システムコールにより暗号エントリデバイスドライバ 159へ復号命令を出力する (ステップ S017)。

応答通知により、暗号エントリデバイスドライバ 159から、デバイス ID— Cと復号命令を受け取ると (ステップ S012)、セキュア処理要求により、受け取った復号命令を暗号デバイスドライバ 179へ出力する。このとき、データ格納部には、復号命令と受け取つたデバイス ID_Cと音楽復号デーモン 156自身を示すハンドル値「1」とを格納する（ステップ SO 18)。

[0140] 通常 OS151から、デバイス ID— Cと休眠要求とを受け取ると、システムコールにより暗号エントリデバイスドライバ 159へ、受け取った休眠要求を出力する (ステップ S01 9)。このとき、データ格納部には、受け取り先を示す識別情報として受け取ったデバイス ID— Cと音楽復号デーモン 156自身を示すハンドル値「1」と休眠要求とを格納する。

[0141] 応答通知によって、暗号エントリデバイスドライバ 159から、デバイス ID— Cと割込通知とを受け取ると (ステップ S012)、セキュア処理要求により、受け取った割込通知を暗号デバイスドライバ 179へ出力する (ステップ S021)。データ格納部には、受け取ったデバイス ID— Cと割込通知と音楽復号デーモン 156自身を示すハンドル値「1 」とを格納する。

[0142] 通常 OS151から、デバイス ID— Cと処理結果とを受け取ると、システムコールにより、受け取った処理結果を暗号エントリデバイスドライバ 159へ出力する (ステップ S02 2)。

応答通知により、暗号エントリデバイスドライバ 159から、デバイス ID— Cと処理結果とを受け取ると、セキュア処理要求によって、音楽復号プログラム 176へ受け取った処理結果を出力する (ステップ S023)。

<通常入出力デバイスドライバ 157 >

通常入出力デバイスドライバ 157は、予め、通常入出力デバイスドライバ 157自身を示す識別情報として、デバイス ID_Aを有している。

[0143] 通常入出力デバイスドライバ 157は、入出力部 116を構成する通常入出力デバイス 132を制御するプログラムである。

また、通常入出力デバイスドライバ 157は、排他フラグを記憶している。通常入出力デバイス 132が動作中は、排他フラグ「1」、動作中でなければ排他フラグ「0」を設定する。入出力の処理命令を受け取った際に排他フラグが「1」であれば、通常入出力デバイス 132が動作中であり、処理を受け付けることができないことを示すエラー通知を出力する。

くセキュア入出力エントリデバイスドライバ 158及びセキュア入出力デバイスドライバ 178 >

セキュア入出力デバイスドライバ 178及びセキュア入出力エントリデバイスドライバ 1 58は、予め、同一の識別情報、デバイス ID— Bを有する。

[0144] セキュア入出力デバイスドライバ 178及びセキュア入出力エントリデバイスドライバ 1 58が、対になって制御することにより、セキュア入出力デバイス 133は正常に動作する。セキュア入出力デバイスドライバ 178は、セキュア入出力デバイス 133の制御のうち、セキュアな処理である入出力処理の依頼及び処理結果の取得を行い、セキュア入出力エントリデバイスドライバ 158は、高いセキュリティを必要としない処理である、休眠及び割込の検出を行う。

[0145] 本実施の形態において、セキュア入出力デバイスドライバ 178は、セキュア OS171 を介して音楽復号プログラム 176から、コンテンツ鍵読出命令を受け取る。コンテンツ鍵読出命令を受け取ると、暗号処理デバイス 117へ、コンテンツ鍵の読出を指示する。次に、セキュア OS171へ外部処理要求を出力することにより、音楽復号デーモン 1 56へ休眠要求を出力する。このとき、コマンドのデータ格納部には、休眠要求と、受け取り先を示す識別情報として音楽復号プログラム 176から受け取ったハンドル値「1 」と、コマンドの出力元を示す識別情報としてセキュア入出力デバイスドライバ 178自身を示すデバイス ID_Bとを格納する。

[0146] 次に、セキュア入出力デバイスドライバ 178は、セキュア OS 171を介して音楽復号デーモン 156から割込通知を受け取り、セキュア入出力デバイス 133から処理結果として、コンテンツ鍵の格納されたアドレスを取得する。取得した処理結果をセキュア o

S171への応答通知により、音楽復号プログラム 176へ出力する。

セキュア入出力エントリデバイスドライバ 158は、通常 OS151を介して音楽復号デ一モン 156から休眠要求を受け取る。休眠要求を受け取ると、通常 OS151に対して、データ格納部に、ハンドル値「1」とデバイス ID— Bを含む休眠要求を出力する。

[0147] 次に、通常 OS151により休眠が解除されると、キュア入出力エントリデバイスドライバ 158は、応答通知により通常 OS151を介して、音楽復号デーモン 156へ割込通知を出力する。このとき、データ格納部には、「休眠要求」と、デバイス ID— Bと、ハンドル値「1」とを格納する。

く暗号デバイスドライバ 179及び暗号エントリデバイスドライバ 159 >

暗号デバイスドライバ 179及び暗号エントリデバイスドライバ 159は、予め、識別情報としてデバイス ID— Cを有して!/、る。

[0148] 暗号デバイスドライバ 179と暗号エントリデバイスドライバ 159が、対になって制御することにより、暗号処理デバイス 117は正常に動作することができる。暗号処理デバィス 117の制御のうち、暗号デバイスドライバ 179は、復号処理の依頼と処理結果の取得とを行い、暗号エントリデバイスドライバ 159は、排他制御と休眠及び割込通知を行う。

[0149] 本実施の形態において、具体的には、暗号エントリデバイスドライバ 159は、システムコールにより音楽復号デーモン 156から復号命令を受け取る。復号命令を受け取ると、排他フラグによる排他制御を行う。つまり、排他フラグ力「l」であれば、エラー通知を出力し、以下の処理を中止し、排他フラグが「0」であれば、排他フラグを「1」に変更する。

[0150] 次に、受け取った復号命令とハンドル値「1」と暗号エントリデバイスドライバ 159自身の有するデバイス ID— Cとをデータ格納部に含む応答通知を通常 OS 151へ出力することにより、復号命令を音楽復号デーモン 156へ出力する。

次に、システムコールにより音楽復号デーモン 156から休眠要求を受け取る。次に、通常 OS151へ休眠要求を出力する。このとき、休眠要求のデータ格納部には、システムコールに含んで受け取ったハンドル値「1」とデバイス ID Cとが格納されている。

[0151] 次に、通常 OSにより休眠を解除される。休眠を解除され、応答通知により割込通知を音楽復号デーモン 156へ出力する。

次に、通常 OS151を介して、音楽復号デーモン 156から処理結果を受け取る。処理結果を受け取ると、排他制御を解除して、排他フラグを「0」に戻す。応答通知により、受け取った処理結果を音楽復号デーモン 156へ出力する。

[0152] 暗号デバイスドライバ 179は、セキュア処理要求により、セキュア OS171を介して、音楽復号デーモン 156から復号処理命令受け取り、暗号処理デバイス 117へ復号を依頼する。次に、暗号デバイスドライバ 179自身の有するデバイス ID_Cと、復号処理命令と共に受け取ったノ、ンドル値「1」と休眠要求をデータ格納部に格納した外部処理要求をセキュア OS171へ出力する。

[0153] 次に、セキュア OS171へのセキュア処理要求により、音楽復号デーモン 156から割込通知を受け取り、暗号処理デバイス 117から、処理結果としてバッファ 123上の書き込み先アドレスを受け取る。受け取った処理結果とハンドル値「1」とデバイス ID —Cとデータ格納部に含む外部処理要求をセキュア OS171へ出力することにより、処理結果を音楽復号デーモン 156へ出力する。

[0154] く通常切替デバイスドライバ 160及びセキュア切替デバイスドライバ 180 >

通常 OS151又はセキュア OSから切替指示を受け、通常切替デバイスドライバ 160 及びセキュア切替デバイスドライバ 180は、切替制御部 106へ切替指示を出力し、 C PU102の使用権を通常 OS151からセキュア OS171へ、又は、セキュア OS171力ら通常 OS 151へ移すプログラムである。

[0155] (a)切替処理 1

以下に、図 13を用いて、通常 OS151からセキュア OS171への切替処理について説明する。なお、これは、図 10のステップ S 1028及び図 16以降のフローチャートの切替処理 1の詳細である。

通常切替デバイスドライバ 160は、通常 OS151から呼び出され、切替指示を受け取る（ステップ S162)。切替指示を受け取ると、通常 OS151のコンテキストを通常メモリ 111上に退避する (ステップ S 163)。次に、切替制御部 106へ切替指示を出力する（ステップ SI 64)。

[0156] 切替制御部 106は、 CPU102及び MMU103をクリアした後、メモリ保護部 114へ接続指示を出力し、セキュアメモリ 113とバス 130とを接続する (ステップ S166)。次に、切替制御部 106は、セキュアメモリ 113上のセキュア切替デバイスドライバ 180を呼び出す (ステップ S 167)。

セキュア切替デバイスドライバ 180は、呼び出されると、セキュア OS171のコンテキストを CPU102に復帰させる（ステップ S168)。

[0157] セキュア OS171は、デバッグ無効化プログラム 173により、デバッガ IF101を無効化する（ステップ S 169)。

(b)切替処理 2

以下に、図 14のフローチャートを用いて、セキュア OS171から通常 OS151への切替処理について説明する。なお、これは、図 11のステップ S1062及び図 16以降のフローチャートの切替処理 2の詳細を示して、る。

[0158] セキュア OS171は、デバッグ無効化プログラム 173により、デバッガ IF101を有効にし (ステップ S176)、セキュア切替デバイスドライバ 180を呼び出し、切替指示を出力する (ステップ S 177)。

セキュア切替デバイスドライバ 180はセキュア OS171のコンテキストを退避し (ステップ S 178)、切替制御部 106へ切替指示を出力する。

[0159] 切替制御部 106は、切替指示を受け取り、 CPU102及び MMU103をクリアした後

、メモリ保護部 114へ切断指示を出力し、セキュアメモリ 113とバス 130とを切断する（ステップ S181)。次に、通常メモリ 111上の通常切替デバイスドライバ 160を呼び出す (ステップ S 182)。

通常切替デバイスドライバ 160は通常 OS151のコンテキストを CPU102へ復帰させる（ステップ S 183)。

[0160] なお、ここでは、セキュア OS171から通常 OS151へ切り替える際に、デバッガ IF1 01を有効にしている力有効にしなくても良い。この場合、携帯電話 100に電源を入れて、最初に、通常 OS151からセキュア OS171へ切り替える際に、デバッグ無効化プログラム 173により、デバッガ IF101を無効にし、その後は、セキュア OS171から通常 OS151への切替処理においても、通常 OS151からセキュア OS171への切替処理においても、デバッグガ IF101を無効のままにしておく。

[0161] また、本実施の形態では、セキュア OS171か有するデバッグ無効化プログラム 173 によって、デバッガ IF101を無効化及び有効化している力通常 OS151がデバッグ無効化プログラムを含んでいても良い。また、デバッグ無効化プログラムは、通常メモリ 111上にをロードされ、通常 OS 151に管理される独立したプログラムであってもよい。

[0162] また、通常 OS151及びセキュア OS171が、それぞれ、デバッグ無効化プログラムを有しているとしても良い。この場合、通常 OS151の有するデバッグ無効化プロダラムカデバッガ IF101を無効化し、セキュア OS171の有するデバッグ無効化プロダラムがデバッガ IFを有効化する。また、逆に、セキュア OS171の有するデバッグ無効化プログラム力デバッガ IF101を無効化し、通常 OS151の有するデバッグ無効化プログラムがデバッガ IFを有効化してもよ、。

[0163] また、これらのデバッグ無効化プログラムは、それぞれ、独立したプログラムとして、通常メモリ 111及びセキュアメモリ 113にロードされて!/ヽても良!、。

<通常割込ハンドラ 161及びセキュア割込ハンドラ 181 >

通常割込ハンドラ 161は、通常 OS151及び通常 OS151により制御されるプロダラムの実行中に、割込が発生した場合に、通常 OS151に呼び出される。通常 OS151 から呼び出され、割込発生通知を受け取ると、割込コントローラ 107を制御し、割込を発生させている要因を調査する。次に、割込を発生させているデバイスを示す識別情報と割込通知とを通常 OS151へ出力する。

[0164] セキュア割込ハンドラ 181は、セキュア OS171及びセキュア OS171により制御されるプログラムの実行中に、割込が発生した場合に、セキュア OS171に呼び出される。セキュア OS171から呼び出され、割込発生通知を受け取ると、 CPU102の割込検出用のレジスタへダミーデータを書き込むことによって、割込マスク処理を施し、セキユア OS171へ割込発生通知を出力する。

[0165] (3)入出力部 116

入出力部 116は、図 8に示すようにアクセス部 131、通常入出力デバイス 132及びセキュア入出力デバイス 133から構成される。

アクセス部 131は、メモリカード 300と接続され、メモリカード 300と通常入出力デバイス 132及びセキュア入出力デバイス 133との間で、情報の入出力を行う。

[0166] 通常入出力デバイス 132は、通常入出力デバイスドライバ 157の制御により、メモリカード 300の一般領域 303へのデータの読み出し及び書き込みを行う。一例として、引数として楽曲 IDを受け取り、読出要求を受けると、受け取った楽曲 IDと対応する暗号ィ匕音楽データを一般領域 303から読み出し、読み出した暗号化音楽データを共有メモリ 112へ書き込む。

[0167] 書き込み終了後に、通常入出力デバイスドライバ 157から結果要求を受け取ると、処理結果として、暗号化音楽データを書き込んだ、共有メモリ 112上のアドレスを出力する。

セキュア入出力デバイス 133は、セキュア入出力デバイスドライバ 178の制御により、メモリカード 300のセキュア処理部 302との間で、 CPRMの仕組みに基づいて相互認証を行う。相互認証が成功であった場合に限り、鍵を共有し、共有した鍵を用いて、安全に、セキュア領域 306へのデータの書き込み及び読み出しを行う。

[0168] また、認証に失敗した場合は、メモリカード 300にアクセスできないことを示すカードエラー通知をセキュア入出力デバイスドライバ 178へ出力する。

ここで、セキュア入出力デバイス 133は、メモリカード 300のセキュア領域 306にァクセスする場合にのみ使用されるデバイスであり、メモリカード 300のセキュア領域 306 にアクセスするプログラムは、限定されている。従って、複数のアプリケーションから同時に処理を依頼されることはありえないため、排他制御を行う必要がない。

[0169] (4)暗号処理デバイス 117

暗号処理デバイス 117は、暗号デバイスドライバ 179の制御により、各種データの暗号処理を行う。本実施の形態では、暗号デバイスドライバ 179から、暗号化音楽データの記憶されて、る共有メモリ 112上のアドレスと、コンテンツ鍵が記憶されて!、るセキュアメモリ 113上のアドレスとを受け取り、暗号化音楽データの復号を指示される。コンテンツ鍵を用いて、暗号ィ匕音楽データに復号アルゴリズム D1を施して、音楽データを生成し、生成した音楽データをバッファ 123へ書き込む。書き込み先のアドレスを、処理結果として暗号デバイスドライバ 179へ出力する。復号アルゴリズム D1は、暗号ィ匕アルゴリズム E1によって生成された暗号文を復号するものである。

[0170] ここで、暗号処理デバイス 117は、各種の暗号ィ匕されたデータを復号するデバイスであり、コンテンツ配信サーノくから送信される暗号ィ匕コンテンツなどの復号も行う。従つて、暗号処理デバイス 117は、複数の異なるプログラムから復号処理を依頼される可能性があり、排他制御が必要である。

(5) CPU102

CPU102は、命令フェッチ部、命令デコーダ、演算器、プログラムカウンタ、レジスタなどを備え、通常メモリ 111又はセキュアメモリ 113上のプログラムから命令をフェツチし、フェッチした命令を解読し、解読した命令を実行する。

[0171] (6) MMU103

MMU103は、論理アドレスを物理アドレスに変換することにより仮想記憶機能を実現する。

(7)デバッガ IF101及び割込コントローラ 107

デバッガ IF101は、携帯電話 100と外部のデバッガとを接続するためのインターフエースである。

[0172] 割込コントローラ 107は、各種の割込を検出し、 CPU102の割込検出用のレジスタへ割込発生通知を出力する。

(8)切替制御部 106及びメモリ保護部 114

切替制御部 106は、通常メモリ 111上の通常切替デバイスドライバ 160又は、セキユアメモリ 113上のセキュア切替デバイスドライバ 180から切替指示を受け取り、メモリ保護部 114により、ノス 130とセキュアメモリ 113を接続又は切断する。切替制御部 1 06及びメモリ保護部 114の詳細な動作は、上記の（a)切替処理 1及び (b)切替処理 2において説明した通りである。

[0173] (9)無線通信制御部 118、通信部 121及びアンテナ 122

通信部 121は、無線通信制御部 118と、携帯電話網 10、インターネット 20に接続された外部機器との間で、アンテナ 122を介して情報の送受信を行う。

無線通信制御部 118は、ベースバンド部、変復調部、増幅器などを備えており、通信部 121及びアンテナ 122を介して送受信される各種の情報の信号処理を行う。

[0174] (10)バッファ 123、符号処理部 124、 DZ A変換部 126

バッファ 123は、音楽データを一時的に記憶する。

符号処理部 124は、ノッファ 123に記憶されて、る音楽データに MP3などの符号化技術に従った復号処理を施し、 DZA変換部 126へ出力する。

DZA変換部 126は、符号処理部 124により復号された音楽データをアナログ音声信号に変換し、スピーカ 120へ出力する。

[0175] (11)入力部 108、表示部 109、マイク 119スピーカ 120

入力部 108は、テンキー、決定ボタンなどの各種のボタンを備え、利用者によるこれらの操作を受け付ける。

表示部 109は、 VRAM、液晶画面を備え、各種の画面を表示する。

マイク 119は、音声を検出し、検出した音声を無線通信制御部 118へ出力する。

[0176] スピーカ 120は、無線通信制御部 118及び DZA変換部 126から、アナログ音声信号を受け取り、受け取った音声信号に基づく音声を出力する。

1. 3 携帯電話 100及びメモリカード 300の動作

図 15—図 35に示すフローチャートは、携帯電話 100の動作を示すフローチャートである。図 36—図 40は、携帯電話 100の動作における各プログラム間のコマンドの授受を示したシーケンス図である。これらのフローチャート及びシーケンス図を用いて、携帯電話 100の動作について説明する。

[0177] なお、シーケンス図とフローチャートの対応する処理には、同一のステップ番号を付している。また、通常 OS151及びセキュア OS171についての説明で述べたように、通常メモリ 111及びセキュアメモリ 113上の各プログラムは、システムコール、応答通知、外部処理要求、セキュア処理要求によって、他のプログラムへのコマンド及びデータの仲介を通常 OS 151及びセキュア OS 171へ依頼して!/、る。図 15—図 40及び以下の説明においては、システムコール、応答通知、外部処理要求、セキュア処理要求の記載を省略し、各プログラム力これらのコマンドのデータ格納部に格納して出力する識別情報、データ及びコマンドをのみを記載して、る。

[0178] (1)携帯電話 100の動作携帯電話 100の動作について、図 15に示すフローチャートを用いて説明する。携帯電話 100は、入力部 108により利用者によるボタン操作を受け付ける (ステップ S101)。受付た操作が、音楽再生を示している場合、音楽再生プログラム 153を起動する (ステップ S 102)。受け付けたボタン操作がその他の処理を示している場合、その他の処理を行う（ステップ S 103)。

[0179] 次に、音楽復号プログラムの登録処理を行う（ステップ S104)。次に、音楽復号プログラム 176へ復号処理を依頼する (ステップ S106)。音楽復号プログラム 176による復号が終了すると、生成された音楽データを MP3に従った方法で伸張し、アナログデータに変換してアナログ音楽データを生成し、生成したアナログ音楽データをスピ一力 120により出力する (ステップ S107)。入力部 108により、音楽再生の終了を示すボタン操作を受け付けるまで (ステップ S 108)、ステップ S 106— 108を繰り返す。

[0180] 音楽再生の終了を示すボタン操作を受け付けると (ステップ S 108の YES)、音楽復号プログラムの削除処理を行う（ステップ S109)。

(2)音楽復号プログラムの登録

図 16— 17は、音楽復号プログラムの登録処理における、各プログラムの動作を詳細に示すフローチャートである。これは、図 36におけるステップ S132—ステップ S15 3のシーケンスと対応している。図 16— 17に示すフローチャート及び図 36のシーケンス図を用いて、音楽復号プログラムの登録処理にっ、て説明する。

[0181] 音楽再生プログラム 153は、予め、コーディングされているデーモン情報とセキュアアプリ情報とを読み出す (ステップ S131)。セキュアアプリ登録要求と、読み出したデ一モン情報及びセキュアアプリ情報とを通常 OS151へ出力する (ステップ S132)。通常 OS151は、セキュアアプリ登録要求を受け取ると、音楽再生プログラム 153のコンテキストを保存し、保存先のアドレスをアプリ管理表のエントリ 167のアプリコンテキストアドレスに書き込む (ステップ S133)。次に、受け取ったセキュアアプリ情報と対応する暗号化音楽復号プログラム 141を二次記憶部 104から読み出し、共有メモリ 1 12へ書き込む (ステップ S 134)。次に、セキュアアプリ登録要求を共有メモリ 112のコマンド領域へ書き込み (ステップ S 136)、切替処理 1に移る（ステップ S 137)。

[0182] 切替処理 1が終了すると、セキュア OS171は共有メモリ 112からセキュアアプリ登録要求を読み込む (ステップ SI 38)。次に、喑復号プログラムにより、共有メモリ 112 上の暗号ィ匕音楽復号プログラムを復号して音楽復号プログラムを生成し、生成した音楽復号プログラムをセキュアメモリ 113上に書き込む (ステップ S 139)。音楽復号プログラムに対して、ハンドル値「1」を設定し、セキュアアプリ管理表 186のエントリ 187のハンドル値に「1」を書き込み、セキュアアプリアドレスに音楽復号プログラム 176を書き込んだセキュアメモリ 113上のアドレスを書き込む (ステップ S 141)。

[0183] 次に、登録完了通知とハンドル値「1」とを共有メモリ 112に書き込み (ステップ S14 3)、切替処理 2 (ステップ S 144)へ処理を移す。

通常 OS151は、共有メモリ 112から登録完了通知とハンドル値「1」とを読み出す（ステップ S146)。読み出したノヽンドル値「1」を、アプリ管理表 166のエントリ 167に書き込む (ステップ S 147)。デーモン情報を基に二次記憶部 104から、音楽復号デ一モン 142を読み出し、通常メモリ 111上に書き込む (ステップ S 149)。通常メモリ 111 上の音楽復号デーモン 156の書き込み先アドレスをアプリ管理表 166のエントリ 167 へ書き込む（ステップ S 151)。

[0184] 次に、エントリ 167のアプリコンテキストアドレスを基に、音楽再生プログラム 153のコンテキストを CPU102に復帰させ (ステップ S152)、受け取ったハンドル値「1」を、音楽再生プログラム 153へ出力する (ステップ S153)。

音楽再生プログラム 153は、受け取ったノヽンドル値「1」を、通常メモリ 111における音楽再生プログラム 153自身の記憶領域に書き込む (ステップ S 154)。

[0185] (3)音楽復号プログラムへの処理依頼

図 18— 27のフローチャートは、音楽再生プログラム 153の依頼により、音楽復号プログラム 176が暗号ィ匕音楽データを復号する際の各プログラムの動作を示している。これは、図 36のステップ S193—図 42のステップ S347と対応している。

音楽再生プログラム 153は、曲目リストなどを含む選択画面を表示し、利用者の楽曲選択を受け付ける (ステップ S191)。受け付けた楽曲を示す楽曲 IDとハンドル値「 1」を読み出す (ステップ S192)。読み出した楽曲 IDを引数として、引数とハンドル値「1」と復号処理命令とを通常 OS151へ出力する (ステップ S193)。

[0186] 通常 OS151は、音楽再生プログラム 153のコンテキストを通常メモリ 111上に保存し (ステップ SI 96)、保存先のアドレスをアプリ管理表 166のハンドル値「1」を含むェントリ 167に書き込む (ステップ S197)。次に、受け取った引数とハンドル値「1」と復号処理命令とを共有メモリ 112に書き込み (ステップ S198)、切替処理 1を行う（ステップ S 199)。

[0187] セキュア OS171は、切替処理 1が終了すると (ステップ S199)、共有メモリ 112から

I数とハンドル値「 1」と復号処理命令とを読み出す (ステップ S 201)。セキュアアプリ管理表 186上で、読み出したノヽンドル値「1」を含むエントリ 187のセキュアアプリアドレスを基に、音楽復号プログラム 176を起動し (ステップ S202)、読み出した引数とハンドル値「1」と復号処理命令とを音楽復号プログラム 176へ出力する (ステップ S203

) o

[0188] 音楽復号プログラム 176は、セキュア OS171から引数と復号処理命令とを受け取り、受け取った引数 (楽曲 ID)を記憶する。次に、 CPU102は、音楽復号プログラム 17 6 (データ読み出しステップ）を実行する (ステップ S204)。音楽復号プログラム 176は、楽曲 IDを読み出し (ステップ S206)、読み出した楽曲 IDを引数として、データ読出命令と引数とハンドル値「1」をセキュア OS171へ出力する（ステップ S208)。

[0189] セキュア OS171は、音楽復号プログラム 176からデータ読出命令と引数とハンドル値「1」とを受け取り、音楽復号プログラム 176のコンテキストをセキュアメモリ 113上に保存し、保存先のアドレスをセキュアアプリ管理表 186のエントリ 187に書き込む (ステツプ S209)。次に、共有メモリ 112に受け取ったデータ読出命令と引数とハンドル値「 1」とを書き込み (ステップ S 211)、切替処理 2に移る (ステップ S 216)。

[0190] 切替処理 2が終了すると (ステップ S216)、通常 OS151は、共有メモリ 112からデ一タ読出命令と引数とハンドル値「1」とを読み出す (ステップ S217)。アプリ管理表 1 66のハンドル値「 1」を含むエントリ 167を選択し、選択したエントリ 167に含まれるデ一モンアドレスにより、音楽復号デーモン 156を起動する (ステップ S218)。読み出したデータ読出命令と引数とハンドル値「1」とを音楽復号デーモン 156へ出力する (ステツプ S 219)。

[0191] 音楽復号デーモン 156は、データ読出命令と引数とハンドル値「1」とを受け取る。

データ読出命令を受け取ると、ライブラリ 152に格納されているアクセス関数を呼び出し、引数とハンドル値「1」とを出力する (ステップ S221)。音楽復号デーモン 156に呼び出されたアクセス関数は、読出要求と引数とデバイス ID— Aと受け取ったハンドル値「1」とを通常 OS151へ、出力する（ステップ S222)。通常 OS151は、受け取つたデバイス ID— Aと対応する通常入出力デバイスドライバ 157へ、読出要求と引数とデバイス ID— Aとハンドル値「1」とを出力する（ステップ S223)。

[0192] 通常入出力デバイスドライバ 157は、読出要求、引数及びハンドル値「1」を受け取る。次に、排他フラグが「0」である力否かを判断する (ステップ S224)。排他フラグが「 1」であれば (ステップ S224の NO)、通常入出力デバイスドライバ 157は、通常入出力デバイス 132が、動作中であり、新たな読出要求を受け付けることができないことを示すエラー通知を出力する。

[0193] 通常 OS 151及びアクセス関数を介して、音楽復号デーモン 156は、エラー通知を受け取り、一定時間経過後に、再度、読出要求を出力する。また、受け取ったエラー通知を通常 OS151、セキュア OS171を介して音楽復号プログラム 176へ出力し、復号の処理を中止するとしても良い。

排他フラグが「0」であると判断すると (ステップ S224の YES)、排他フラグを「1」に変更し (ステップ S227)、受け取った引数を通常入出力デバイス 132へ出力し、データの読み出しを指示する (ステップ S231)。

[0194] 通常入出力デバイス 132は、引数 (楽曲 ID)と読出要求とを受け取り、メモリカード 3 00の一般領域 303から、受け取った楽曲 IDと対応する暗号ィ匕音楽データ 304の読み出し及び読み出した暗号ィ匕音楽データ 304の共有メモリ 112への書き込みを開始する（ステップ S 236)。

通常入出力デバイスドライバ 157は、通常入出力デバイス 132へ読出要求を出力すると (ステップ S231)、通常 OS151へ、通常入出力デバイスドライバ 157自身の有するデバイス ID— A及び受け取ったハンドル値「1」を含む休眠要求を出力する (ステップ S232)。

[0195] 通常 OS151は、休眠要求を受け取ると、ハンドル値「1」と対応する音楽復号デ一モン 156とデバイス ID_Aと対応する通常入出力デバイスドライバ 157とを休眠状態にする（ステップ S233、ステップ S234)。次に、タスクスケジューリングにより、実行可能状態の他のプログラムへ CPU102を割り当てる（ステップ S238)。

通常入出力デバイス 132における処理が終了すると、割込が発生し、音楽復号デ一モン 156は、処理結果を取得する（ステップ S239)。ステップ S239における、割込発生時の処理 1にっては、後で説明する。また、ステップ S239の処理は、図 37のステツプ S463— 478のシーケンスと対応して!/、る。

[0196] 割込発生時の処理 1 (ステップ S239)において、音楽復号デーモン 156は、通常入出力デバイス 132による処理結果として、暗号化音楽データの共有メモリ 112上の書込先アドレスを取得する。取得した処理結果とハンドル値「1」を通常 OS151へ出力する（ステップ S241)。通常 OS151は受け取った処理結果とハンドル値「1」とを共有メモリ 112へ書き込み (ステップ S242)、切替処理 1を行う（ステップ S244)。

[0197] 切替処理 1 (ステップ S244)が終了すると、セキュア OS171は、共有メモリ 112からハンドル値「1」と処理結果とを読み出す (ステップ S251)。セキュアアプリ管理表 186 から、読み出したノヽンドル値「1」を含むエントリ 187を選択し、エントリ 187のセキュアアプリコンテキストアドレスにより音楽復号プログラム 176のコンテキストを CPU102に復帰させる (ステップ S252)。次に、読み出した処理結果とハンドル値「1」とを音楽復号プログラム 176へ出力する（ステップ S254)。

[0198] 音楽復号プログラム 176は、処理結果として暗号化音楽データの書込先アドレスを受け取り、受け取った書込先アドレスを自身の記憶領域に記憶する。

次に、 CPU102は、音楽復号プログラム 176 (コンテンツ鍵読出ステップ)を実行する (ステップ S256)。音楽復号プログラム 176は、コンテンツ鍵読出命令とデバイス ID _Bと音楽復号プログラム 176自身を示すハンドル値「1」とを含むシステムコールをセキュア OS171へ出力する（ステップ S257)。

[0199] セキュア OS171は、コンテンツ鍵読出命令とデバイス ID— Bとハンドル値「1」とを受け取り、受け取ったデバイス ID— Bと対応するセキュア入出力デバイスドライバ 17 8へ、受け取ったコンテンツ鍵読出命令とデバイス ID— Bとハンドル値「1」とを出力する（ステップ S 258)。

セキュア入出力デバイスドライバ 178は、コンテンツ鍵読出命令とデバイス ID— Bとハンドル値「1」とを受け取り、セキュア入出力デバイス 133へ、コンテンツ鍵読出命令を出力する (ステップ S259)。

[0200] セキュア入出力デバイス 133は、コンテンツ鍵読出命令を受け取り、次に、メモリ力ード 300のセキュア処理部 302との間で相互認証を行う（ステップ S262)。認証に成功すると (ステップ S263の YES)、コンテンツ鍵の取得を開始する（ステップ S266)。認証が失敗であった場合、カードエラー通知を出力し、前記コンテンツ鍵の取得を中止する (ステップ S264)。この場合、音楽復号デーモン 156及び音楽復号プロダラム 176は、復号処理を中止し、音楽再生プログラム 153は、メモリカード 300が読み取り不可であることを通知する画面を表示する。

[0201] セキュア入出力デバイスドライバ 178は、次に、セキュア OS171へ休眠要求と、受け取ったノヽンドル値「1」と、セキュア入出力デバイスドライバ 178自身を示すデバイス ID— Bとを出力する (ステップ S271)。なお、ここで出力される休眠要求は、セキュア OS 171へ休眠処理を要求するものではなく、外部処理要求のデータ格納部に格納され、音楽復号デーモン 156へ仲介されるコマンドである。

[0202] セキュア OS171は、セキュア入出力デバイスドライバ 178から、休眠要求とハンドル値「1」とデバイス ID— Bとを受け取り、共有メモリ 112へ、受け取った休眠要求とハンドル値「1」とデバイス ID— Bとを書き込む (ステップ S272)。次に、切替処理 2に移る（ステップ S273)。

切替処理が終了すると (ステップ S273)、通常 OS151は、共有メモリ 112から、休眠要求とハンドル値「1」とデバイス ID— Bとを読み出す (ステップ S 274)。読み出したハンドル値「1」を含むエントリ 168を基に音楽復号デーモン 156を起動し (ステップ S 276)、読み出した休眠要求とデバイス ID— Bとハンドル値「1」とを出力する (ステツプ S277)。

[0203] 音楽復号デーモン 156は、通常 OS 151から休眠要求とデバイス ID— Bとハンドル値「1」とを受け取る。休眠要求とを受け取ると、通常 OS 151へ休眠要求とデバイス I D— Bとハンドル値「1」とを含むシステムコールを出力する（ステップ S278)。

セキュア OS 171は、受け取ったデバイス ID_Bと対応するセキュア入出力エントリデバイスドライバ 158へ、受け取った休眠要求とデバイス ID— Bとハンドル値「1」とを出力する (ステップ S281)。 [0204] セキュア入出力エントリデバイスドライバ 158は、通常 OS151を介して音楽復号デ一モン 156から休眠要求を受け取ると、デバイス ID— Bとハンドル値「1」とを含む休眠要求を通常 OS151へ出力する（ステップ S282)。

通常 OS151は、休眠要求とデバイス ID— Bとハンドル値「1」とを受け取る。休眠要求を受け取ると、受け取ったデバイス ID— Bと対応するセキュア入出力エントリデバイスドライバ 158と、受け取ったノヽンドル値「 1」と対応する音楽復号デーモン 156とに休眠処理を行う（ステップ S283、ステップ S284)。

[0205] 次に、通常 OS151は、タスクスケジューリングを行い、実行可能状態の他のプログラムに CPUを割り当てる（ステップ S286)。

セキュア入出力デバイス 133によるコンテンツ鍵の取得が終了し、割込発生時の処理 2 (ステップ S287)により、音楽復号プログラム 176は、処理結果を取得する。ステップ S287の割込発生時の処理 2については、後で説明する。また、ステップ S287における処理は、図 38のステップ S512—図 39のステップ S541に対応している。

[0206] ステップ S287において、音楽復号プログラム 176は、処理結果として、コンテンツ鍵が記憶されているセキュアメモリ 113上のアドレスを取得する。次に、 CPU102は、音楽復号プログラム 176 (復号ステップ)を実行する (ステップ S291)。音楽復号プログラム 176は、セキュアメモリ 113上のコンテンツ鍵の記憶されているアドレスと共有メモリ 112上の暗号ィ匕音楽データの記憶されているアドレスとを引数として、復号命令と引数とハンドル値「1」とをセキュア OS171へ出力する（ステップ S292)。

[0207] セキュア OS171は、音楽復号プログラム 176から復号命令と引数とハンドル値「1」を受け取る。次に、受け取った復号命令と引数とハンドル値「1」とを共有メモリ 112へ書き込み (ステップ S293)、切替処理 2を行う（ステップ S294)。

切替処理 2が終了すると (ステップ S294)、通常 OS151は、共有メモリ 112から復号命令、引数及びノヽンドル値「1」を読み出す (ステップ S296)。読み出したハンドル値「1」とアプリ管理表 166とを用いて、音楽復号デーモン 156を起動し、音楽復号デ一モン 156へ読み出した復号命令と引数とハンドル値「1」とを出力する (ステップ S2 97)。

[0208] 音楽復号デーモン 156は、通常 OS151から復号命令と引数とハンドル値「1」とを受け取る。復号命令を受け取ると、受け取った復号命令及び引数と、デバイス ID— C

、ハンドル値「1」を通常 OS151へ出力する（ステップ S298)。

通常 OS151は、音楽復号デーモン 156から復号命令、引数、デバイス ID— C及びハンドル値「1」を受け取り、受け取ったデバイス ID— Cと対応する暗号エントリデバイスドライバ 159へ、受け取った復号命令、引数、デバイス ID— C及びハンドル値「1」を出力する (ステップ S301)。

[0209] 暗号エントリデバイスドライバ 159は、通常 OS151を介して音楽復号デーモン 156 力も引数と復号命令とデバイス ID— Cとハンドル値「1」とを受け取る。復号命令を受け取ったとき、排他フラグ力「l」であれば (ステップ S303の NO)、暗号処理デバイス

117が、既に動作中であり、新たな処理の依頼を受け付けられないことを示すエラー通知を出力する (ステップ S304)。このとき、エラー通知を受け取った音楽復号デ一モン 156は、一定時間経過後に再度、復号命令を出力する。

[0210] 排他フラグが「0」であれば (ステップ S303の YES)、排他フラグを「1」に変更し (ステツプ S306)、受け取った引数と復号命令とハンドル値「1」及びデバイス ID— Cを通常 OS151へ出力する（ステップ S307)

通常 OSは、受け取ったノヽンドル値「1」と対応する音楽復号デーモン 156を呼び出し、受け取った復号命令と引数とハンドル値「1」とデバイス ID_Cとを出力する (ステップ S 308)。

[0211] 音楽復号デーモン 156は、通常 OS151を介して、暗号エントリデバイスドライバ 15 9から復号命令と引数とハンドル値「1」とデバイス ID— Cとを受け取る。次に、受け取つた復号命令と引数とデバイス ID— Cとハンドル値「1」を通常 OS151へ出力する (ステツプ S309)。

通常 OS151は、音楽復号デーモン 156から、復号命令と引数とデバイス ID—じとハンドル値「1」を受け取り、共有メモリ 112へ、受け取った復号命令と引数とデバイス ID— Cとハンドル値「1」とを書き込み (ステップ S312)、切替処理 2を行う（ステップ S 313) o

[0212] 切替処理 2が終了すると (ステップ S313)、セキュア OS171は、共有メモリ 112から復号命令と引数とデバイス ID_Cとハンドル値「1」とを読み出す (ステップ S314)。読み出したデバイス ID_Cを基に、暗号デバイスドライバ 179を起動し (ステップ S315) 、読み出した復号命令、引数、ハンドル値「1」を暗号デバイスドライバ 179へ出力する（ステップ S316)。

[0213] 暗号デバイスドライバ 179は、セキュア OS171から復号命令と引数とデバイス ID— Cとハンドル値「1」とを受け取り、暗号処理デバイス 117へ受け取った引数を出力し復号を命令する (ステップ S317)。

暗号処理デバイス 117は、暗号デバイスドライバ 179から復号を命令されると、セキユアメモリ 113からコンテンツ鍵を読み出し、読み出したコンテンツ鍵を用いて、共有メモリ 112上の暗号ィ匕音楽データに復号アルゴリズム D1を施して音楽データを生成し、生成した音楽データをバッファ 123へ出力する (ステップ S318)。

[0214] 暗号デバイスドライバ 179は、暗号処理デバイス 117へ復号を命令した後、休眠要求と、セキュア OS171から受け取ったハンドル値「1」と、暗号デバイスドライバ 179自身を示すデバイス ID— Cを、セキュア OS 171へ出力する（ステップ S 321)。なお、ここで出力される休眠要求は、セキュア OS171へ休眠処理を要求するものではなぐ外部処理要求のデータ格納部に格納され、音楽復号デーモン 156へ仲介されるコマンドである。

[0215] セキュア OS171は、暗号デバイスドライバ 179から休眠要求とハンドル値「1」とデバイス ID— Cを受け取り、受け取った休眠要求とハンドル値「1」とデバイス ID— Cとを共有メモリ 112へ書き込む(ステップ3322)。次に、切替処理 2を行う（ステップ S323

) o

切替処理 2が終了すると (ステップ S323)、通常 OS151は、共有メモリ 112からハンドル値「1」、デバイス ID_C及び休眠要求を読み出す (ステップ S326)。読み出したハンドル値「1」とアプリ管理表 166とを基に音楽復号デーモン 156を起動し、読み出した休眠要求とハンドル値「1」とデバイス ID— Cとを、音楽復号デーモン 156へ出力する（ステップ S327)。

[0216] 音楽復号デーモン 156は、通常 OS151から休眠要求とハンドル値「1」とデバイス I D— Cとを受け取る。受け取った休眠要求とデバイス ID— Cと音楽復号デーモン 156 自身を示すノヽンドル値「1」とを通常 OS151へ出力する (ステップ S328)。通常 OS1 51は、受け取ったデバイス ID_Cと対応する暗号エントリデバイスドライバ 159へ、受け取った休眠要求とデバイス ID— Cとハンドル値「1」とを出力する（ステップ S329)。

[0217] 暗号エントリデバイスドライバ 159は、通常 OS151を介して、音楽復号デーモン 15 6から休眠要求とデバイス ID— Cとハンドル値「1」とを受け取る。次に、通常 OS151 へ、休眠処理と受け取ったハンドル値「1」と暗号エントリデバイスドライバ 159自身の有するデバイス ID_Cを出力する (ステップ S332)。

通常 OS151は、暗号エントリデバイスドライバ 159から、休眠要求とハンドル値「1」とデバイス ID— Cを受け取り、受け取ったノ、ンドル値「1」と対応する音楽復号デーモン 156を休眠状態にする (ステップ S333)。次に、受け取ったデバイス ID_Cと対応する暗号エントリデバイスドライバ 159を休眠状態にする (ステップ S334)。次に、タスクスケジューリングを行い、実行可能状態のプログラムに CPUを割り当てる (ステップ S336)。

[0218] 暗号処理デバイス 117による、復号処理が終了し、割込発生時の処理 3において、音楽復号プログラム 176は、暗号処理デバイス 117による処理結果を受け取る (ステップ S337)。ステップ S337につ!/ヽて ίま、後で説明する。なお、ステップ S337iま、図 3 7のステップ S552—図 38のステップ S606に該当する。

音楽復号プログラム 176は、暗号処理デバイス 117による処理結果として、音楽データのバッファ 123上の書込先アドレスを取得する。次に、 CPU102は、音楽復号プログラム 176 (音楽データ出力ステップ)を実行する (ステップ S338)。音楽復号プログラム 176は、音楽データの書込先アドレスを処理結果として、処理結果とアプリ復帰要求とハンドル値「1」とをセキュア OS171へ出力する（ステップ S339)。

[0219] セキュア OS171は、アプリ復帰要求と処理結果とハンドル値「1」とを受け取り、受け取ったアプリ復帰要求と処理結果とハンドル値「 1」とを共有メモリ 112へ書き込む (ステツプ S341)。次に、切替処理 2を行う（ステップ S342)。

切替処理 2が終了すると (ステップ S342)、通常 OS151は、共有メモリ 112から、ァプリ復帰要求と処理結果とハンドル値「1」とを読み出す (ステップ S344)。アプリ管理表 166のハンドル値「1」を含むエントリ 167を基に音楽復号プログラム 176のコンテキスト復帰させる (ステップ S346)。次に、読み出した処理結果を音楽復号プログラム 176へ出力する（ステップ S347)。

[0220] (4)割込発生時の処理 1

図 28に示すフローチャートを用いて、割込発生時の処理 1について説明する。これは、図 21のステップ S239の詳細である。また、図 37のステップ S463— 478のシーケンスに対応している。

通常入出力デバイス 132は、暗号ィ匕音楽データの読み出しが終了すると (ステップ

S462)、割り込みを発生させる (ステップ S463)。

[0221] 割込コントローラ 107は、割込の発生を検出し、通常 OS151へ割込発生通知を出力する (ステップ S464)。通常 OS151は、割込発生通知を受け取り、割込テーブルを基に通常割込ハンドラ 161を起動する (ステップ S466)。次に、通常割込ハンドラ 1

61へ割込発生通知を出力する (ステップ S467)。

通常割込ハンドラ 161は、割込コントローラ 107を制御し、割込の要因を調査する（ステップ S468)。次に、割込を発生させている通常入出力デバイスと対応するデバイス ID— Aと割込通知とを通常 OS151へ出力する（ステップ S469)。

[0222] 通常 OS151は、通常割込ハンドラ 161から、割込通知とデバイス ID— Aとを受け取る。受け取ったデバイス ID— Aと対応する通常入出力デバイスドライバ 157及び、通常入出力デバイスドライバ 157と共に休眠処理を施した音楽復号デーモン 156とを休眠解除し (ステップ S471、ステップ S472)、 CPU102を通常入出力デバイスドライノ 157へ割り当てる。

[0223] 通常入出力デバイスドライバ 157は、休眠を解除され、通常入出力デバイス 132へ結果要求を出力し (ステップ S473)、通常入出力デバイス 132から、処理結果として、共有メモリ 112上における暗号ィ匕音楽データの書込先アドレスを取得する (ステップ S474)。処理結果を取得すると、排他フラグを「0」に設定し (ステップ S476)、取得した処理結果と、読出要求の出力元を示す識別情報として受け取ったノヽンドル値「1」と、通常入出力デバイスドライバ 157自身を示すデバイス ID_Aとを通常 OS 151へ出力し (ステップ S477)、通常 OS151は、ハンドル値「1」と対応する音楽復号デ一モン 156へ、受け取った処理結果とハンドル値「1」とデバイス ID— Aとを出力する（ステツプ S478)。 [0224] (5)割込発生時の処理 1 2

上記の割込発生時の処理 1は、通常 OS151又は通常 OS 151に管理される通常メモリ 111上のプログラムの実行中に割込が発生した場合の動作を示して、る。ここでは、図 29のフローチャートを用いて、セキュア OS171又はセキュア OS171によって管理されて!、るプログラムの実行中に割込が発生した場合の動作にっ、て説明する

[0225] 通常入出力デバイス 132は、暗号ィ匕音楽データの読み出しが終了すると (ステップ

S491)、割込を発生させる (ステップ S492)。

割込コントローラ 107は、割込を検出し、セキュア OS171へ割込発生通知を出力する（ステップ S493)。

セキュア OS171は、割込コントローラ 107から割込発生通知を受け取る。割込発生通知を受け取ると、セキュア割込ハンドラ 181を起動し (ステップ S494)、割込発生通知を出力する（ステップ S496)。

[0226] セキュア割込ハンドラ 181は、割込発生通知を受け取り、 CPU102へ割込マスク処理を行い (ステップ S497)、セキュア OS171へ割込発生通知を出力する (ステップ S

498)。

セキュア OS171は、セキュア割込ハンドラ 181から、割込発生通知を受け取り、受け取った割込発生通知を共有メモリ 112へ書き込む (ステップ S499)。次に、セキュァ OS171と通常 OS151は、切替処理 2を行う（ステップ S501)。

[0227] 切替処理 2が終了すると (ステップ S501)、共有メモリ 112から割込発生通知を読み出し、 CPUの割込マスクを解除する（ステップ S502)。

ここで、割込コントローラ 107は、クリアされていないので、割込発生通知を出力し続けており、ステップ S502以降の処理は、図 28のステップ S464以降の処理と同様である。

[0228] (6)割込発生時の処理 2

以下に、図 30— 31のフローチャートを用いて、割込発生時の処理 2について説明する。これは、図 23のステップ S287の詳細である。また、これは、図 38のステップ S5 12—図 39のステップ S541のシーケンスと対応している。セキュア入出力デバイス 133は、コンテンツ鍵の読み出しが終了すると (ステップ S5

11)、割り込みを発生させる (ステップ S512)。

[0229] 割込コントローラ 107は、割込の発生を検出し、通常 OS151へ割込発生通知を出力する（ステップ S 513)。

通常 OS151は、割込コントローラ 107から、割込発生通知を受け取り、通常割込ハンドラ 161を起動する (ステップ S514)。次に、通常割込ハンドラ 161へ割込発生通知を出力する (ステップ S516)。

[0230] 通常割込ハンドラ 161は、割込発生通知を受け取り、割り込みを発生させている要因を調査する (ステップ S517)。セキュア入出力デバイス 133が割り込みを発生させていることを検出し、セキュア入出力デバイス 133と対応するデバイス ID— Bと割込通知とを、通常 OS151へ出力する（ステップ S518)。

通常 OS151は、通常割込ハンドラ 161から割込通知とデバイス ID— Bとを受け取る。次に受け取ったデバイス ID— Bと対応するセキュア入出力エントリデバイスドライノ 158と、セキュア入出力エントリデバイスドライバ 158と共に休眠処理を施した音楽復号デーモン 156の休眠を解除する（ステップ S519、ステップ S521)。セキュア入出力エントリデバイスドライバ 158へ CPU102を割り当てる。

[0231] セキュア入出力エントリデバイスドライバ 158は、休眠を解除され、割込通知と、休眠要求の出力元を示す識別情報として受け取ったハンドル値「1」と、セキュア入出力エントリデバイスドライバ 158自身の有するデバイス ID_Bとを通常 OS 151へ出力する（ステップ S523)。

通常 OS151は、受け取ったノヽンドル値「1」と対応する音楽復号デーモン 156へ、受け取った割込通知とハンドル値「1」とデバイス ID— Bとを出力する（ステップ S524

) o

[0232] 音楽復号デーモン 156は、割込通知とハンドル値「1」とデバイス ID— Bとを受け取る。受け取った割込通知とデバイス ID— Bと、音楽復号デーモン 156自身を示すノヽンドル値「1」とを通常 OS151へ出力する（ステップ S527)。

通常 OS 151は、音楽復号デーモン 156から割込通知とデバイス ID— Bとハンドル値「1」とを受け取る。受け取った割込通知とデバイス ID— Bとハンドル値「1」とを、共有メモリ 112へ書き込み (ステップ S529)、切替処理 1に移る（ステップ S531)。

[0233] 切替処理 1が終了すると、セキュア OS171は共有メモリ 112から、割込通知とデバイス ID— Bとハンドル値「1」とを読み出し (ステップ S532)、読み出したデバイス ID— Bを基にセキュア入出力デバイスドライバ 178を起動する (ステップ S533)。次に、セキュア入出力デバイスドライバ 178へ、読み出した割込通知とデバイス ID— Bとハンドル値「1」とを出力する (ステップ S534)。

[0234] セキュア入出力デバイスドライバ 178は、割込通知とデバイス ID— Bとハンドル値「 1」とを受け取り、セキュア入出力デバイス 133へ処理結果を要求する（ステップ S536 ) oセキュア入出力デバイス 133から、処理結果として、セキュアメモリ 113上のコンテンッ鍵格納アドレスを受け取る（ステップ S537)。受け取った処理結果とハンドル値「 1」とデバイス ID— Bとを含む応答通知をセキュア OS171へ出力する（ステップ S539

) o

[0235] セキュア OS171は、受け取ったノヽンドル値「1」と対応する音楽復号プログラム 176 へ、受け取った処理結果とハンドル値「1」とデバイス ID— Bとを出力する（ステップ S5 41)。

ここまで、図 30— 31を用いた説明では、通常 OS151又は通常 OS151によって管理される通常メモリ 111上のプログラムの実行中における、割込発生時の動作につ!ヽて説明してきたが、セキュア OS 171及びセキュア OS 171によって管理されるプログラムの実行中における割込発生時の動作は、上述した割込発生時の処理 1 2とほぼ同様であり、図 26中の通常入出力デバイスを、セキュア入出力デバイスに変更すればよい。ステップ S502以降の処理は、図 30のステップ S513へと続く。

[0236] (7)割込発生時の処理 3

以下に、図 32— 34のフローチャートを用いて、割込発生時の処理 3について説明する。これは、図 27のステップ S337の詳細である。また、割込発生時の処理 3は、図 40のステップ S552—図 41のステップ S606のシーケンスと対応している。

暗号処理デバイス 117は、暗号ィ匕音楽データの復号が終了すると、割り込みを発生させる（ステップ S 552)。

[0237] 割込コントローラ 107は、割込の発生を検出し、通常 OS151へ割込発生通知を出力する（ステップ S 553)。

通常 OS151は、割込コントローラ 107から割込発生通知を受け取り、通常割込ハンドラ 161を起動する (ステップ S556)。通常割込ハンドラ 161へ割込発生通知を出力する（ステップ S 557)。

[0238] 通常割込ハンドラ 161は、割込発生通知を受け取ると、割り込みを発生させている要因を調査する (ステップ S558)。暗号処理デバイス 117が割り込みを発生させていることを検出し、デバイス ID— Cと割込通知とを通常 OS151へ出力する (ステップ S5 61)。

通常 OS151は、通常割込ハンドラ 161から割込通知とデバイス ID— Cとを受け取る。受け取ったデバイス ID— Cと対応する暗号エントリデバイスドライバ 159及び、暗号エントリデバイスドライバ 159と共に休眠処理を施した音楽復号デーモン 156の休眠を解除し (ステップ S562、ステップ S563)、暗号エントリデバイスドライバ 159へ C PU102を割り当てる。

[0239] 暗号エントリデバイスドライバ 159は、休眠を解除されると、割込通知とハンドル値「

1」と自身を示すデバイス ID_Cとを、通常 OS151へ出力する（ステップ S564)。通常 OS151は、割込通知とハンドル値「1」とデバイス ID— Cとを受け取り、受け取つたハンドル値「1」と対応する音楽復号デーモン 156へ、割込通知とハンドル値「1」とデバイス ID_Cとを出力する (ステップ S567)。

[0240] 音楽復号デーモン 156は、通常 OS 151を介して暗号エントリデバイスドライバ 159 カゝらデバイス ID— Cと割込通知とを受け取る。次に、受け取った割込通知及びデバィス ID— Cと、音楽復号デーモン 156自身と対応するハンドル値「 1」とを通常 OS 151 へ出力する（ステップ S568)。

通常 OS 151は、音楽復号デーモン 156から割込通知とデバイス ID— Cとハンドル値「1」とを受け取り、受け取った割込通知とデバイス ID— Cとハンドル値「1」とを共有メモリ 112へ書き込む（ステップ S571)。

[0241] 次に、通常 OS151及びセキュア OS171は、切替処理 1を行う（ステップ S572)。

切替処理 1が終了すると、セキュア OS171は、共有メモリ 112から、割込通知とデバイス ID Cとハンドル値「1」とを読み出す (ステップ S576)。読み出したデバイス ID — Cを基に、暗号デバイスドライバ 179を起動し、読み出した割込通知とデバイス ID _Cとハンドル値「1」とを出力する（ステップ S577)。

[0242] 暗号デバイスドライバ 179は、割込通知とデバイス ID— Cハンドル値「1」とを受け取り、暗号処理デバイス 117へ処理結果を要求する (ステップ S578)。暗号処理デバィス 117から、処理結果として、ノッファ 123上における音楽データの書込先アドレスを取得する（ステップ S579)。

暗号デバイスドライバ 179は、取得した処理結果と、受け取ったハンドル値「1」と、暗号デバイスドライバ 179自身を示すデバイス ID— Cをセキュア OS171へ出力する (ステップ S582)。

[0243] セキュア OS171は、暗号デバイスドライバ 179から処理結果とハンドル値「1」とデバイス ID— Cとを受け取り、受け取った処理結果とハンドル値「1」とデバイス ID—じとを共有メモリ 112へ書き込む（ステップ S583)。

次に、セキュア OS171及び通常 OS151は、切替処理 2を行う（ステップ S584)。

[0244] 切替処理 2が終了すると、通常 OS151は、共有メモリ 112からハンドル値「1」、処理結果、デバイス ID— Cを読み出す (ステップ S586)。読み出したハンドル値「1」を基に、音楽復号デーモン 156を起動し、音楽復号デーモン 156へ、読み出した処理結果とハンドル値「1」とデバイス ID_Cとを出力する（ステップ S587)。

音楽復号デーモン 156は、通常 OS 151から処理結果とハンドル値「 1」とデバイス I D— Cとを受け取る。受け取った処理結果とデバイス ID— Cと音楽復号デーモン 156 自身を示すノヽンドル値「1」とを含むシステムコールを通常 OS151へ出力する (ステツプ S588)。

[0245] 通常 OS151は、デバイス ID— Cと対応する暗号エントリデバイスドライバ 159へ、受け取った処理結果とデバイス ID— Cとハンドル値「1」とを出力する（ステップ S589

) o

暗号エントリデバイスドライバ 159は、通常 OS151を介して、音楽復号デーモン 15 6から処理結果とデバイス ID— Cとハンドル値「1」とを受け取り、排他フラグを「0」に変更する（ステップ S592)。次に、暗号エントリデバイスドライバ 159は、通常 OS151 への応答通知により（ステップ S596)、音楽復号デーモン 156へ、受け取った処理結果とハンドル値「1」とデバイス ID— Cとを出力する（ステップ S597)。

[0246] 音楽復号デーモン 156は、セキュア OS171を介して音楽復号デーモン 156から処理結果とハンドル値「1」とデバイス ID— Cとを受け取る。次に、受け取った処理結果とハンドル値「1」とを通常 OS151へ出力する（ステップ S598)。

通常 OS 151は、音楽復号デーモン 156から処理結果とハンドル値「 1」とを受け取り、受け取った処理結果とハンドル値「1」とを共有メモリ 112へ書き込む (ステップ S 6 01)。

[0247] 次に、通常 OS151とセキュア OS171は、切替処理 1を行う（ステップ S602)。

切替処理 1が終了すると、セキュア OS171は、共有メモリ 112からハンドル値「1」と処置結果とを読み出す (ステップ S603)。セキュアアプリ管理表 186上の、ハンドル値「1」を含むエントリ 187を基に、音楽復号プログラム 176のコンテキストを復帰し (ステツプ S604)、読み出した処理結果を音楽復号プログラム 176へ出力する (ステップ S606)。

[0248] ここまで、図 32— 34を用いた説明では、通常 OS151又は通常 OS151によって管理される通常メモリ 111上のプログラムの実行中における、割込発生時の動作につ!ヽて説明してきたが、セキュア OS 171及びセキュア OS 171によって管理されるプログラムの実行中における割込発生時の動作は、上述した割込発生時の処理 1 2とほぼ同様であり、図 29中の通常入出力デバイスを、暗号処理デバイスに変更すればよステップ S502以降の処理は、図 32のステップ S553へと続く。

[0249] (7)音楽復号プログラムの削除

図 35に示すフローチャートを用いて、音楽復号プログラムの削除処理について説明する。これは、図 15のステップ S109の詳細である。また、音楽復号プログラム削除処理は、図 42のステップ S611— 618のシーケンスと対応する。

音楽復号プログラム 176は、セキュアアプリ削除命令とハンドル値「1」とを通常 OS1 51へ出力する（ステップ S611)。

[0250] 通常 OS151は、音楽復号プログラム 176から、ハンドル値「1」とセキュアアプリ削除命令を受け取り、受け取ったノヽンドル値「1」とセキュアアプリ削除命令とを共有メモリ 1 12へ書き込む（ステップ S 612)。次に、通常 OS151及びセキュア OS171は、切替処理 1を行う（ステップ S613)。

[0251] 切替処理 1が終了すると、セキュア OS171は、共有メモリ 112からセキュアアプリ削除命令とハンドル値「1」とを読み出す (ステップ S614)。セキュアアプリ管理表 186上のハンドル値「1」を含むエントリのセキュアアプリアドレスを基に音楽復号プログラム 1 76をセキュアメモリ 113上から削除し (ステップ S616)、ハンドル値「 1」を含むエントリ 187をセキュアアプリ管理表 186から削除する（ステップ S617)。

[0252] 次に、ハンドル値「1」と削除完了通知とを共有メモリ 112に書き込む (ステップ S61 8)。

次に、セキュア OS171と通常 OS151は切替処理 2を行う（ステップ S619)。

切替処理 2が終了すると、通常 OS151は、共有メモリ 112から削除処理完了通知とハンドル値「1」とを読み出す (ステップ S621)。ハンドル値「1」とアプリ管理表 166とを基に音楽復号デーモン 156を、通常メモリ 111から削除する (ステップ S622)。次に、音楽再生プログラム 153へ、削除完了通知を出力し (ステップ S623)、ハンドル値「1」を含むエントリ 167をアプリ管理表 166から削除する（ステップ S624)。

[0253] 1. 3まとめ，効果

以上説明してきたように、本発明の携帯電話 100において、通常メモリ 111上に口ードされて実行される音楽再生プログラム 153は、保護されるべき処理、具体的には、暗号ィ匕音楽データの復号の処理を、セキュアメモリ 113上にロードされて実行される音楽復号プログラム 176へ依頼する。

[0254] 音楽復号プログラム 176と、通常メモリ 111上の音楽復号デーモン 156とは対になつて動作し、暗号ィ匕音楽データの復号に関する一連の処理のうち、保護されるべき処理は、音楽復号プログラム 176が分担し、保護する必要のない処理は、音楽復号デーモン 156が担う。

このように処理を分担することで、音楽復号プログラム 176自体のプログラムサイズ力、さくなり、音楽復号プログラム 176の保持するデータ、変数なども減少する。さらに、音楽復号プログラム 176からの依頼により、音楽復号デーモン 156が、通常メモリ 111上のライブラリに格納されている関数を使用する。このため、セキュアメモリ 113 上にライブラリを持つ必要がなくなる。 [0255] 従って、音楽復号プログラム 176及び音楽復号デーモン 156による一連の復号処理において、確保すべきセキュアメモリ 113の容量を削減することになり、セキュアメモリ 113を保護する保護機構の負荷を軽減することができる。

セキュア OS 171に管理される、保護されるべきデバイスである暗号処理デバイス 1 17の制御に関する処理について、保護する必要のない排他制御、休眠、割込の通知につヽては、通常メモリ 111上にロードされて実行される暗号エントリデバイスドライノ 159が実行する。

[0256] この動作を、時間の経過に沿って、考察すると、通常 OS 151は、音楽復号デーモン 156からのシステムコールにより、暗号エントリデバイスドライバ 159を実行状態に遷移させる。暗号エントリデバイスドライバ 159は、排他制御を行い、音楽復号デーモン 156を呼び出す。音楽復号デーモン 156は、通常 OS151及び、セキュア OS171 を介して、暗号デバイスドライバ 179を呼び出す。セキュア OS171は、暗号デバイスドライバ 179を実行状態に遷移させる。暗号デバイスドライバ 179は、暗号処理デバイス 117に復号処理を指示した後、休眠要求を出力する。暗号エントリデバイスドライノ 159は、セキュア OS171、通常 OS151及び音楽復号デーモン 156を介して、休眠要求を受け取ると、通常 OS 151へ休眠処理を依頼し、通常 OS151は、暗号ェントリデバイスドライバ 159を休眠状態に遷移させる。

[0257] 次に、暗号処理デバイス 117による処理が終了し、割込が発生し、通常 OS151は、音楽復号デーモン 156の休眠を解除し、実行状態に遷移させる。暗号エントリデバイスドライバ 159は、割込通知を出力し、音楽復号デーモン 156は、通常 OS151及びセキュア OS171を介して割込通知を、暗号デバイスドライバ 179へ出力する。通常 OS151は、暗号デバイスドライバ 179に CPU102を割り当て、実行状態にする。

[0258] このように、暗号デバイスドライバ 179と暗号エントリデバイスドライバ 159は、対応して状態遷移する。従って、通常 OS151は、暗号エントリデバイスドライバ 159を介して、セキュア OS 171によって管理されて、る暗号処理デバイス 117の使用状態を管理することが可能になった。

セキュア OS171により管理されるデバイスであるセキュア入出力デバイス 133についても、同様に、セキュア入出力エントリデバイスドライバ 158を制御することにより、通常 OS151は、セキュア入出力デバイス 133の動作を監視し、制御することが可能になった。

[0259] 1. 4 携帯電話 100のその他の動作

携帯電話 100の初期動作及び仮想メモリ空間の構築について以下に説明する。

(1)ブートプログラム

図 43は、通常メモリ 111に記憶されているデータの一例を示している。これは、携帯電話 100の起動直後の通常メモリ 111内の様子を示して、る。

[0260] 通常 OS 151、ライブラリ 152、通常入出力デバイスドライバ 157、セキュア入出力ェントリデバイスドライバ 158、暗号エントリデバイスドライバ 159、通常切替デバイスドラィバ 160、通常割込ハンドラ 161は、既に説明したとおりである。

ブートプログラム 162は、通常メモリ 111を構成する ROMに予め記憶されておりブートプログラム 162は、具体的には図示されていないが、携帯電話 100に、含まれる起動部により読み出され実行されるプログラムである。

[0261] 起動部は、携帯電話 100に電源が投入された直後に通常メモリ 111からブートプログラム 162を読み出し、読み出したブートプログラム 162に従って動作する。以下、ブートプログラム 162に従う起動部の動作によって、ブートプログラムについて説明する先ず、ブートプログラム 162は、 CPU102のレジスタ、 MMU103をクリアし、切替制御部 106へ初期化要求を出力する。切替制御部 106から、セキュアメモリ 113上のプログラムの初期化が終了したことを通知する初期化終了通知を受け取り、次に、通常 OS151、通常切替デバイスドライバ 160などを、通常メモリ 111上にロードし、初期化する。

[0262] (2)携帯電話 100の初期動作

携帯電話 100は、起動時に切替制御部 106及びブートプログラムによって、初期化される。携帯電話 100の起動時の動作について、図 44に示すフローチャートを用いて説明する。

携帯電話 100の電源が ONの状態になり、電力供給が開始されると (ステップ S651 )、起動部は、ブートプログラム 162を起動する（ステップ S652)。ブートプログラム 16 2は、先ず、 CPU102及び MMU103のレジスタをクリアすることで初期化する（ステップ S653)。次に、切替制御部 106へ、初期化要求を出力する (ステップ S654)。

[0263] 切替制御部 106は、初期化要求を受け取り、二次記憶部 104から暗号化セキュア OSを読み出す (ステップ S656)。読み出した暗号ィ匕セキュア OSを復号してセキュア OSを生成する (ステップ S657)。次に、メモリ保護部 114により、バス 130とセキュアメモリ 113とを接続する（ステップ S658)。生成したセキュア OSをセキュアメモリ 113 上に書き込み、初期化する (ステップ S659)。続いて、セキュア切替デバイスドライバを、二次記憶部 104から読み出し、セキュアメモリ 113上にロードする (ステップ S661

) o

[0264] 次に、メモリ保護部 114により、セキュアメモリ 113とバス 130とを切断し (ステップ S6 62)、初期化終了通知をブートプログラム 162へ出力する（ステップ S663)。

ブートプログラム 162は、切替制御部 106から、初期化終了通知を受け取り、次に、通常 OS151、通常切替デバイスドライバ 160などのプログラムを通常メモリ上にロードし、初期化する（ステップ S664)。

[0265] なお、上記の説明では、暗号ィ匕セキュア OS、セキュア切替デバイスドライバは、二次記憶部 104上に記憶されてヽるとして説明した力外部の記録メディアなどに記憶されているとしてもよい。

(3)通常 OS151及びセキュア OS171による初期化動作

通常入出力デバイスドライバ 157、セキュア入出力エントリデバイスドライバ 158、暗号エントリデバイスドライバ 159は、通常 OS151の管理下で、通常メモリ 111上に常駐するプログラムである。

[0266] また、セキュア入出力デバイスドライバ 178及び暗号デバイスドライバ 179は、セキユア OS 171の管理下でセキュアメモリ 113上に常駐するプログラムである。

ブートプログラム 162は、通常 OS151及び通常切替デバイスドライバ 160などを通常メモリ 111上にロードし、初期化し終えると、通常 OS151を起動する。

通常 OS151は、起動すると、先ず、通常メモリ 111上にロードされているプログラムをサーチし、通常入出力デバイスドライバ 157、セキュア入出力エントリデバイスドライノ 158、暗号エントリデバイスドライバ 159がロードされているか否かを判断し、ロードされていなければ、二次記憶部 104から読み出し、ロードする。

[0267] 通常 OS 151が、セキュア入出力エントリデバイスドライバ 158及び暗号エントリデバイスドライバ 159をロードする際に、セキュア OS171によって、セキュア入出力デバイスドライバ 178及び暗号デバイスドライバ 179もセキュアメモリ 113上にロードされる。通常 OS151及びセキュア OS171による、この動作は、既に説明した音楽復号プログラムの登録処理と類似しているので、ここでは、簡単に説明する。なお、二次記憶部 104は、各デバイスドライバ及び、エントリデバイスドライバを暗号ィ匕して生成された暗号ィ匕エントリデバイスドライバを、予め記憶しているものとする。

[0268] セキュア入出力エントリデバイスドライバが、ロードされて、な、と判断すると、通常 OS151は、二次記憶部 104から、セキュア入出力エントリデバイスドライバを読み出し、通常メモリ 111に書き込む。書き込み先のアドレスとセキュア入出力エントリデバイスドライバ 158とを対応付けて記憶する。次に、共有メモリ 112にデバイスドライバの口ードを指示するデバドラ登録要求とセキュア入出力デバイスドライバを示すデバイス I D— Bとを書き込む。次に、通常切替デバイスドライバ 160へ切替指示を出力する。

[0269] 切替処理が終了し、セキュア OS171は、 CPU102に復帰する。共有メモリ 112から、デバドラ登録要求とデバイス ID— Bとを読み出す。デバイス ID— Bと対応する暗号化セキュア入出力エントリデバイスドライバを読み出し、喑復号プログラム 174によつて、読み出した暗号ィ匕エントリデバイスドライバを復号して、セキュア入出力エントリデバイスドライバを生成し、セキュアメモリ 113に書き込む。書き込み先のアドレスとデバイス ID_Bとを対応付けて記憶する。

[0270] 次に、共有メモリ 112に、デバドラ登録完了通知を書き込み、セキュア切替デバイスドライバ 180へ切替指示を出力する。

切替処理が終了し、 CPU102に復帰すると、通常 OS151は、共有メモリ 112から、デバドラ登録完了通知を読み出す。

続いて、暗号エントリデバイスドライバついても、同様にして、ロードする。

[0271] (4) MMU制御プログラム 184による仮想記憶空間

セキュア OS171は、これまで言及していないが、図 45に示すように MMU制御プログラム 184を含んでいる。 MMU制御プログラム 184は、 MMU103により実行されるプログラムであり、セキュアメモリ 113、共有メモリ 112及び二次記憶部 104の物理ァドレスと論理アドレスとを変換することにより、仮想記憶空間を構築する。

[0272] 図 46は、 MMU制御プログラム 184により、実現される仮想記憶空間の一例を示している。図 45に示すように、セキュアメモリ 113上には、音楽復号プログラム 176と通信鍵生成プログラム 185とがロードされていると想定する。音楽復号プログラム 176及び通信鍵生成プログラム 185は、セキュアアプリケーションである。

音楽復号プログラム 176及び通信鍵生成プログラム 185は、それぞれ、仮想空間 2 01、仮想空間 204にロードされている。それぞれのプログラムには、個別に、通常共有空間 202及び通常共有空間 206が割り当てられている。通常共有空間 202及び通常共有空間 206は、それぞれのプログラムが、通常メモリ 111上のプログラムと共有する仮想空間である。

[0273] 音楽復号プログラム 176は、仮想空間 204及び通常共有空間 206へアクセスすることはできない。また、通信鍵生成プログラム 185は、仮想空間 201及び通常共有空間 202へアクセスすることはできない。

セキュア共有空間 207は、音楽復号プログラム 176及び通信鍵生成プログラム 185 の！、ずれ力もアクセス可能であるが、通常 OS 151の管理下で動作するプログラム力はアクセスできな、仮想空間である。

[0274] セキュア OS171は、仮想空間 208にロードされている。セキュア OS171は、仮想空間 201及び 204へアクセス可能であるが、音楽復号プログラム 176及び通信鍵生成プログラム 185から仮想空間 208へアクセスすることはできない。

このようにして、 MMU制御プログラム 184は、それぞれのアプリケーションごとに、個別の仮想空間を割り当て、お互いにアクセスできな、ように制御する。

[0275] なお、 MMU制御プログラム 184は、上述した仮想記憶空間を、セキュアメモリ 113 、共有メモリ 112及び二次記憶部 104上に実現する。 MMU制御プログラム 184は、暗号処理プログラムを含んでおり、セキュアメモリ 113上に記憶されて、るデータを二次記憶部 104上にページアウトする際には、データを暗号ィ匕し、二次記憶部 104から、セキュアメモリ 113上へ、ページインする際には、復号するとしてもよい。

[0276] また、音楽復号プログラム 176及び通信鍵生成プログラム 185は、それぞれの通常共有空間に互、にアクセスできるとしてもよ、。

1. 5実施の形態 1の変形例

(1) 実施の形態 1において、音楽復号プログラム 176と音楽復号デーモン 156とが対になって動作することにより、暗号化音楽データの復号処理を達成するとして説明してきたが、図 47に示すような構成であつても良い。

[0277] この構成では、通常メモリ 111上には、音楽再生プログラム 153に代わって音楽再生プログラム 153bがロードされている。音楽再生プログラム 153bは、外部処理マネージャ 156bを含んで構成され、外部処理マネージャ 156bは、上述の音楽復号デ一モン 156と同様に、暗号化音楽データの復号処理のうち、保護される必要のない処理を分担する。また、音楽復号プログラム 176と通常 OS151との間の各種の情報及びコマンドの入出力を行う。

[0278] この構成の場合、アプリ管理表 166の各エントリは、ハンドル値とアプリコンテキストアドレスとから構成される。通常 OS151は、受け取り先を示す識別情報としてハンドル値「1」を含むコマンドを受け取ると、アプリ管理表 166を基に、音楽再生プログラム 153のコンテキストを復帰させ、外部処理マネージャのスレットに CPU102を割り当てる。

[0279] このような構成によると、音楽再生プログラム 153が外部処理マネージャ 156bを含んでいるため、音楽復号プログラムの登録処理の際に、音楽復号デーモン 156を、通常メモリ上にロードする必要がなぐ実施の形態 1において説明した登録処理を短縮することができる。

(2) なお、本実施の形態において、セキュア入出力エントリデバイスドライバ 158とセキュア入出力デバイスドライバ 178とを同一の識別情報デバイス ID— Bによって識別しているが、異なる識別情報にによって識別するとしても良い。暗号エントリデバイスドライバ 159と暗号デバイスドライバ 179につ!/、ても同様である。

[0280] 具体的には、通常 OS151及びセキュア OS171は、制御データとして、それぞれの記憶領域に、図 48に示すセキュアデバイスドライバ管理表 231を有する。

図 48に示すセキュアデバイスドライバ管理表 231は、 2つのセキュアデバイスドライバ管理情報 232、 234を含む。各セキュアデバイスドライバ管理情報は、エントリデバイスドライバ識別子とセキュアデバイスドライバ識別子とから構成される。セキュアデバイスドライバ識別子は、セキュア OS 171に管理されるデバイスを制御するデバイスドライバを示す識別情報であり、エントリデバイスドライバ識別子は、前記デバイスドライノと対になって動作する通常メモリ 111上のプログラムを示す識別情報である。具体的には、セキュアデバイスドライバ管理情報 232は、セキュア入出力エントリデバイスドライバ 158を識別する情報であるデバイス ID_Bと、セキュア入出力エントリデバイスドライバ 158と対になって動作するセキュア入出力デバイスドライバ 178を識別する情報である「100」から構成される。セキュアデバイスドライバ管理情報 234は、暗号エントリデバイスドライバ 159を示す識別情報デバイスあるデバイス ID— Cと、暗号ェントリデバイスドライバ 159と対になって動作する暗号デバイスドライバ 179を示す識別情報「101」とを含む。

[0281] セキュアデバイスドライバ管理表 231は、通常 OS151及びセキュア OS171の起動時に生成されるものであり、通常 OS151は、通常メモリ 111上にセキュア入出力ェントリデバイスドライバをロードすると、セキュア入出力エントリデバイスドライバを示す識別情報であるデバイス ID— Bを共有メモリ 112に書き込み、切替処理に移る。

[0282] 切替処理が終了すると、セキュア OS171は、共有メモリ 112からデバイス ID— Bを読み出し、次に、二次記憶部 104から暗号ィ匕セキュアデバイスドライバを読み出し、復号して、セキュアメモリ 113上にロードする。ここで、ロードしたセキュア入出力デバイスドライバを示す識別情報「100」と受け取ったデバイス ID— Bとを含むセキュアデバイスドライバ管理情報 232を生成し、セキュアメモリ 113上に書き込む。次に、識別情報「100」を共有メモリ 112に書き込み、切り替え処理に移る。

[0283] 切り替え処理が終了すると、通常 OS151は、共有メモリ 112から識別情報「100」を読み出し、読み出した識別情報「100」と、セキュア入出力エントリデバイスドライバ 15 8を示すデバイス ID— Bとからなるセキュアデバイスドライバ管理情報を生成し、通常メモリ 111上に書き込む。

セキュアデバイスドライバ情報 234についても同様である。

[0284] 通常 OS151、上記のようにして生成した、セキュアデバイスドライバ管理表 231を用いて、セキュア入出力エントリデバイスドライバ 158及び暗号エントリデバイスドライノ 159を管理する。また、セキュア OS171は、セキュアデバイスドライバ管理表 231 を用いて、セキュア入出力デバイスドライバ 178及び暗号デバイスドライバ 179を管理する。

[0285] (3) 上記の実施の形態において、セキュア OS171は、デバッグ無効化プログラムを含んでいるが、セキュア切替デバイスドライバ 180が、この機能を備えているとしてちょい。

この構成では、セキュア切替デバイスドライバ 180は、切替制御部 106から呼び出される度に、先ず、デバッガ IF101を無効化し、次に、セキュア OS171のコンテキストを復帰させる。

[0286] また、セキュア OS171から切替指示を受け取ると、セキュア OS171のコンテキストを保存した後、デバッガ IF101を有効にし、切替制御部 106へ切替指示を出力するこのようにして、セキュア OS171が CPU102に復帰する前に、デバッガ IF101を無効化することで、セキュア OS 171の動作を、外部のデバッグ装置に検出、操作されることを、より確実に防ぐことができる。

[0287] また、セキュアメモリ 113上のプログラムに代わって、切替制御部 106が、デバッガ I

F101を無効化、有効化するとしても良い。

(4)上記の実施の形態 1では、通常入出力デバイスドライバ 157及び暗号エントリデバイスドライバ 159は、排他フラグを用いて排他制御を行っており、排他フラグが「

1」であれば、エラー通知を出力するとしている。しかし、各ドライバが動作している間に受け取った処理の依頼をストックしておくとしても良い。

[0288] この場合、通常入出力デバイスドライバ 157及び暗号エントリデバイスドライバ 159 は、受け取った処理の依頼を記憶する QUEUEを備えており、処理の要求を受け取ると、排他フラグを確認する代わりに、受け取った処理依頼を QUEUEに格納する。通常入出力デバイスドライバ 157は、通常入出力デバイス 132が処理を終え、処理結果を取得する。次に、 QUEUE力次の処理依頼を読み出し、通常入出力デバイス 132へ出力する。

[0289] 暗号エントリデバイスドライバ 159は、処理結果を受け取り、受け取った処理結果を出力すると、 QUEUEから次の処理依頼を読み出す。読み出した処理依頼を、暗号デバイスドライバ 179へ、出力する。

また、 QUEUEに代わって、暗号エントリデバイスドライバ 159専用のバッファ領域を備え、バッファ領域に受け取った処理依頼と、受け取った処理依頼の優先度とを対応付けて書き込むとしてもよ、。

[0290] この場合、暗号処理デバイス 117による処理が終了し、処理結果を受け取ると、暗号デバイスドライバ 179は、優先度の高い処理依頼を読み出し、暗号処理デバイス 1 17へ出力する。

(5)上記の実施の形態では、セキュア切替デバイスドライバ 180力セキュア OS17 1のコンテキストの保存及び復帰を行っている力 S、これを通常切替デバイスドライバ: L

60が行っても良い。

[0291] この場合、セキュア OS171から通常 OS151への切替処理 2の際に、セキュア OS1 71は、切替制御部 106へ切替指示を出力する。切替制御部 106は、メモリ保護部 1 14に切断指示を出力し、セキュアメモリ 113とバス 130とを切断する。次に、通常切替デバイスドライバ 160を呼び出す。通常切替デバイスドライバ 160は、 CPU102のレジスタ、 MMU103の内容などを含むセキュア OS171のコンテキストを通常メモリ 1 11上に保存し、 CPU102及び MMU103をクリアし、通常 OS151のコンテキストを復帰させる。

[0292] 通常 OS151からセキュア OS171への切替処理 1の際には、通常 OS151から切替指示を受けると、通常切替デバイスドライバ 160は、通常 OS151のコンテキストを保存し、 CPU102及び MMU103をクリアする。次に、セキュア OS171のコンテキストを復帰させ、切替制御部 106へ切替指示を出力する。

このようにして、セキュア OS 171のコンテキストの保存と復帰を通常メモリ 111上の通常切替デバイスドライバ 160が行うことにより、セキュアメモリ 113上にセキュア切替デバイスドライバ 180が不要になる。従って、セキュアメモリ 113の容量を削減することがでさる。

[0293] (6)上記の実施の形態及び変形例では、携帯電話 100は、 MMU103により仮想記憶空間を形成している。しかし、仮想記憶空間を使用しない構成であっても良い。この場合、各メモリに記憶されているデータ及びプログラムは物理アドレスによって管理されている。

従って、このような構成の場合、コンテキストの保存及び復帰に係る MMUの内容の保存を行う必要がなくなる。

[0294] また、この場合、セキュア OS 171のコンテキストを保存しない構成であってもよい。

セキュア切替デバイスドライバ 180は、切替制御部 106から呼び出されると、セキュア OS171の先頭アドレスを CPU102に復帰させ、セキュア OS171を最初から起動する。

(7)また、上記の実施の形態 1において、携帯電話 100は、通常メモリ 111上に口ードされる通常 OS 151とセキュアメモリ 113上にロードされて実行されるセキュア OS 171とを備えて!/、る 1S 通常 OS 151を備えて、な、構成であっても良!、。

[0295] 携帯電話 100の初期動作において説明したように、電源投入後に、先ず、ブートプログラム 162が起動する。ブートプログラム 162は、 CPU102及び MMU103を初期化した後、切替制御部 106へ、初期化要求を出力し、切替制御部 106が、セキュア OS 171及びセキュア切替デバイスドライバ 180をセキュアメモリ 113上にロードする。

[0296] セキュア OS171力セキュアメモリ 113及び通常メモリ 111上に、各種のプログラムをロードする。

通常メモリ 111上の各プログラムは、システムコールを含む全てのコマンドを、通常 OS151に代わって、通常切替デバイスドライバ 160へ出力する。

通常切替デバイスドライバ 160は、通常メモリ 111上のプログラムから、コマンドを受け取ると、受け取ったコマンドを、所定の記憶領域に書き込み、切替処理を行う。セキユア OS171は、 CPU102に復帰すると、所定の記憶領域から、コマンドを読み出す

[0297] このようにして、セキュア OS171力通常メモリ 111及びセキュアメモリ 113上の各プログラムを制御する。

また、逆に、セキュア OS171を備えていない構成であっても良い。この場合、セキュァ切替デバイスドライバ 180又は切替制御部 106がデバッガ無効化プログラムを備えている。 [0298] セキュアメモリ 113上の各プログラムは、システムコールを含む全てのコマンドをセキュア切替デバイスドライバ 180へ出力する。セキュア切替デバイスドライバ 180は、共有メモリ 112上のコマンド領域に受け取ったコマンドを書き込み、切替制御部 106 へ切替指示を出力する。

通常 OS151は、 CPU102に復帰すると、共有メモリ 112のコマンド領域から、セキユアメモリ 113上のプログラムから出力されたコマンドを読み出す。

[0299] このようにして、通常 OS 151力通常メモリ 111及びセキュアメモリ 113上の各プログラムを制御するとしてもよ、。

(8)上記の実施の形態及び変形例において、切替制御部 106及びメモリ保護部 1 14は、セキュアメモリ 113とバス 130とを切断することで、セキュアメモリ 113上のプログラム及びデータを外部のアクセス力も保護して、る。

[0300] これに代わって、メモリ保護部 114力セキュアメモリ 113内のデータを暗号化及び復号することによって、保護しても良い。切替制御部 106は、メモリ保護部 114へ、接続指示又は切断指示に代わって、暗号化又は復号を指示する。

メモリ保護部 114は、切替制御部 106の指示によって、セキュアメモリ 113内のデータを暗号ィ匕又は復号する。

[0301] また、セキュアメモリ 113内のデータを全てではなぐ必要に応じて、音楽再生プログラム 153のコード部分のみ、データ部分のみ又はスタック部分のみを暗号ィ匕するとしても良い。セキュア OS171、暗号デバイスドライバ 179、セキュア入出力デバイスドライバ 178などについても同様である。

(9)上記の実施の形態及び変形例では、通常 OS151が、アプリ管理表 166を管理し、アプリ管理表 166を用いて、該当するアプリケーション及びセキュアアプリケーションと対応するプログラム（例えば音楽復号デーモン 156)を呼び出している。しかし、音楽再生プログラム 153と同様にセキュアアプリケーションに処理を依頼するアプリケーシヨンが多数存在する場合、通常 OS151とは別に、アプリ管理表 166の管理と、プログラムの呼び出しを行うプログラムを備える構成であっても良、。このプログラムをデーモン制御プログラムと呼ぶ。

[0302] この場合、通常切替デバイスドライバ 160は、切替制御部 106から呼び出されると、通常 OS151に代わって、デーモン制御プログラムを起動する。デーモン制御プログラムは、共有メモリ 112から、コマンドを読み出し、読み出したコマンドに含まれる識別情報によって、該当するプログラムを呼び出す。

また、各アプリケーション及び、音楽復号デーモン 156を初めとするプログラムは、通常 OS151に代わって、セキュア処理要求をデーモン制御プログラムに出力する。

[0303] デーモン制御プログラムは、受け取ったセキュア処理要求を共有メモリ 112に書き込み、通常切替デバイスドライバ 160へ、切替指示を出力する。

(10)ここまで、本発明のひとつの実施の形態として携帯電話 100について説明してきたが、同様の機能を有する情報処理装置、例えばパーソナルコンピュータなどであってもよい。

[0304] この場合、通常メモリ 111及びセキュアメモリ 113は、 RAM及びハードディスクを含んで構成される。上記の説明では、セキュア OS171及び音楽復号プログラム 176は暗号化されて、二次記憶部 104に記憶されている力予め、セキュアメモリ 113上のハードディスク部分に記憶されて、るとしてもよ!/、。

2. 実施の形態 2

本発明の実施の形態 2について、以下に説明する。

[0305] 図 49は、本発明の実施の形態 2の携帯電話 400の使用例を示している。携帯電話

400は、基地局 15、携帯電話網 10、インターネット 20を介して、無効化リスト発行装置 250と接続されている。

無効化リスト発行装置 250は、無効化されたプログラムに係る情報を管理しており、これらのプログラムを示す無効化リストを生成し、インターネット 20を介して、生成した無効化リストを携帯電話 400へ送信する。

[0306] 携帯電話 400は、無効化リスト発行装置 250から無効化リストを受信し、受信した無効化リストを基に、自身の記憶して、るプログラムが無効である力否かを判断する。

2. 1 無効化リスト発行装置 250

無効化リスト発行装置 250は、図 50に示すように、通信部 251、署名生成部 252、鍵記憶部 253、ハッシュ生成部 254、制御部 257、情報記憶部 260、入力部 262及び表示部 263から構成される。 [0307] 無効化リスト発行装置 250は、具体的には、マイクロプロセッサ、 RAM, ROMを含んで構成されるコンピュータシステムである。 RAM, ROMにはコンピュータプログラムが記憶されており、前記マイクロプロセッサが前記コンピュータプログラムに従って動作することにより、無効化リスト発行装置 250は、その機能を達成する。

(1)情報記憶部 260

情報記憶部 260は、図 50に示すように、 OS無効化リスト 266及びアプリ無効化リスト 276を記憶している。

[0308] OS無効ィ匕リスト 266は、発行者 ID267、リスト ID268及び無効ィ匕 ID269、 270、 27 1 · · ·から構成される。

発行者 ID267は、 OS無効化リストの発行者を示しており、一例として、無効化リスト発行装置 250の装置 ID、無効化リスト発行装置 250の管理者の識別情報などである

[0309] リスト ID268は、 OS無効化リスト 266の新旧を示す情報であり、ここでは、 OS無効ィ匕リスト 266の作成曰「20041015」を、リスト ID268としている。

無効化 ID269、 270、 271 · · ·は、無効化されたオペレーティングシステムの識別情報である。

アプリ無効ィ匕ジス卜 276は、発行者 ID277、ジス卜 ID278、無効ィ匕 ID279、 280、 28 1 · · 'から構成される。発行者 ID277は、アプリ無効化リストの発行者を示す情報であり、一例として、無効化リスト発行装置 250の装置 ID、無効化リスト発行装置 250の管理者の識別情報などである。

[0310] リスト ID278は、アプリ無効化リスト 276の新旧を示す情報である。ここでは、アプリ無効ィ匕リスト 276の作成曰「20041009」をリスト ID278として!/ヽる。

無効化 ID279、 280、 281 · · ·は、無効化されたアプリケーションの識別情報である

[0311] (2)通信部 251

通信部 251は、インターネット 20と接続されており、制御部 257とインターネット 20 に接続されている外部機器との間で、情報の送受信を行う。ここで、外部機器とは携帯電話 400である。 (3)ハッシュ生成部 254

ノ、ッシュ生成部 254は、制御部 257から、 OS無効化リスト 266とハッシュ生成指示とを受け取る。また、アプリ無効化リスト 276とハッシュ生成指示とを受け取る。

[0312] ハッシュ生成指示を受け取ると、受け取った OS無効化リスト 266又はアプリ無効化リスト 276をノヽッシュ関数に代入し 160バイトの OSダイジェストデータ又はアプリダイジェストデータを生成する。ここで、ノ、ッシュ関数には、一例として SHA— 1を用いる。ノ、ッシュ関数 SHA— 1については、公知の技術であるので説明を省略する。また、他のハッシュ関数を用いても良!、。

[0313] 生成した、 OSダイジェストデータ又はアプリダイジェストデータを制御部 257へ出力する。

(4)鍵記憶部 253及び署名生成部 252

鍵記憶部 253は、無効化リスト発行装置 250に固有の発行装置秘密鍵と、前記発行装置秘密鍵と対応する発行装置公開鍵とを記憶している。

[0314] 署名生成部 252は、制御部 257から、 OSダイジェストデータ又はアプリダイジェストデータを受け取り、署名生成を指示される。

OSダイジェストデータを受け取り、署名生成を指示されると、鍵記憶部 253から、発行装置秘密鍵を読み出し、読み出した発行装置秘密鍵を用いて、受け取った OSダイジェストデータに署名生成アルゴリズム Sを施して、署名データを生成し、生成した署名データを、制御部 257へ出力する。署名生成アルゴリズム Sは、一例として、楕円 DSA署名、 RSA (RivestShamirAdleman)署名などを用いる。

[0315] アプリダイジェストデータを受け取り、署名生成を指示された場合についても同様にして署名データを生成し、制御部 257へ出力する。

(5)制御部 257

制御部 257は、通信部 251及びインターネット 20を介して携帯電話 400から、最新の OS無効化リスト及びアプリ無効化リストの送信を要求するリスト要求を受信する。

[0316] リスト要求を受信すると、情報記憶部 260から OS無効化リスト 266を読み出し、読み出した OS無効化リスト 266をハッシュ生成部 254へ出力し、ノ、ッシュ生成指示を出力する。次に、ノ、ッシュ生成部 254から、 OSダイジェストデータを受け取る。受け取つた OSダイジェストデータを署名生成部 252へ出力し署名生成を指示する。次に、署名生成部 252から署名データを受け取る。受け取った署名データを、 OS無効化リスト 266に付加して、署名付 OS無効化リストを生成する。

[0317] アプリ無効化リスト 276についても同様にして、ノ、ッシュ生成部 254及び署名生成部 252へ指示して署名データを生成する。生成した署名データをアプリ無効化リスト

276に付加して、署名付アプリ無効化リストを生成する。

次に、通信部 251及びインターネット 20を介して携帯電話 400へ、生成した署名付

OS無効化リストと署名付アプリ無効化リストとを送信する。

[0318] また、制御部 257は、入力部 262を介して、操作者による各種の指示及びデータを受け取り、受け取った指示に従って動作する。

(6)入力部 262及び表示部 263

入力部 262は、無効化リスト発行装置 250の操作者による指示及びデータの入力を受け付け、受け付けた指示及びデータを制御部 257へ出力する。

[0319] 表示部 263は、制御部 257の指示により各種の画面を表示する。

2. 2 携帯電話 400

携帯電話 400のハード構成は、図 2に示す携帯電話 100の構成とほぼ同様であり、デバッガ IF、 CPU, MMU、二次記憶部、切替制御部 106、割込コントローラ、入力部、表示部、通常メモリ、共有メモリ、セキュアメモリ 413、メモリ保護部 414、入出力部、暗号処理デバイス、無線通信制御部、マイク、スピーカ、通信部、バッファ、符号処理部、 DZA変換部カゝら構成される。

[0320] セキュアメモリ 413、メモリ保護部 414以外の各部については、携帯電話 100と同様であるので、詳細な説明を省略し、ここでは、携帯電話 100と異なる部分についてのみ説明する。

(1)セキュアメモリ 413

セキュアメモリ 413は、図 51に示すように、音楽復号プログラム 446、セキュア OS4 41などの各種のプログラムを記憶している。

[0321] 音楽復号プログラム 446は、実施の形態 1の音楽復号プログラム 176と同様に、暗号化音楽データの復号の手順を含んでおり、この手順については、説明を省略する音楽復号プログラム 446は、ヘッダ部分にアプリ ID447及び無効フラグ 448を含んでいる。アプリ ID447は、音楽復号プログラム 446に固有の識別情報である。無効フラグ 448は、音楽復号プログラム 446が、無効化されている力否かを示すフラグであり、無効フラグ「1」は、音楽復号プログラム 446が無効化されていることを示しており、無効フラグ「0」は、無効化されていないことを示す。

[0322] セキュア OS441は、実施の形態 1のセキュア OS 171と同様の処理を実行する本ソフトウェアであるので、セキュア OS441の動作については説明を省略する。ただし、セキュア OS441は、セキュアメモリ 413上の各アプリケーションを起動又は CPUに復帰させる際に、各アプリケーションのヘッダ部分の無効フラグを読み出し、無効フラグ力 S「l」である場合、そのアプリケーションの起動又は復帰を中止する。

[0323] セキュア OS441は、ヘッダ部分にセキュア OSID442及び無効フラグ 443を含んでいる。

セキュア OSID442は、セキュア OS171をと対応する識別情報である。無効フラグ 443は、セキュア OS441が無効化されているか否かを示すフラグであり、無効フラグ「1」は、音楽復号プログラム 446が無効化されていることを示しており、無効フラグ「0 」は、無効化されていないことを示す。

[0324] また、本実施の形態において、セキュアメモリ 413上にロードされ切替処理を行うセキュア切替デバイスドライバは、セキュア OS441のコンテキストを CPUに復帰させる前に、セキュア OS441の無効フラグ 443を読み出し、無効フラグ力「l」であった場合には、セキュア OS441の復帰を中止する。

(2)メモリ保護部 414

メモリ保護部 414は、図 51に示すように、無効化リスト記憶部 421、無効化リスト更新部 424、アプリ検証部 428、アプリ無効化部 429、 OS検証部 431及び OS無効化部 432から構成される。

[0325] <無効化リスト記憶部 421 >

無効化リスト記憶部 421は、アプリ無効化リスト 422及び OS無効化リスト 423を記憶している。アプリ無効化リスト 422及び OS無効化リスト 423は、それぞれ、無効化リスト発行装置 250の情報記憶部 260に記憶されているアプリ無効化リスト 276及び OS無効化リスト 266と同様の構成である。

[0326] <無効化リスト更新部 424 >

無効化リスト更新部 424は、予め、署名検証鍵 426を記憶している。署名検証鍵 42 6は、無効化リスト発行装置 250の鍵記憶部 253に記憶されている発行装置公開鍵と同一の鍵である。

無効化リスト更新部 424は、切替制御部 106から、セキュアメモリ 413とバス 130との接続を指示する接続指示を受け取る。接続指示を受け取ると、無線通信制御部、通信部を介して、最新のアプリ無効化リスト及び OS無効化リストの送信を要求するリスト要求を、無効化リスト発行装置 250へ送信する。

[0327] 次に、無線通信制御部、通信部を介して、無効化リスト発行装置 250から、署名付 OS無効化リストと署名付アプリ無効化リストとを受信する。

受信した署名付 OS無効化リストの署名データに、署名検証鍵を用いて、署名検証を行う。具体的には、署名データに、署名検証鍵を用いて、署名検証アルゴリズム V を施してチェックデータを生成する。署名検証アルゴリズム Vは、署名生成アルゴリズム Sによって生成された署名データを検証するアルゴリズムである。

[0328] 次に、受信した OS無効化リストをハッシュ関数に代入し、 OSダイジェストデータを生成する。生成したチェックデータとダイジェストデータとを比較し、両者が一致する場合、署名検証が成功であると判断し、一致しない場合、失敗であると判断する。署名検証に失敗した場合には、以下に説明する、リスト IDの比較及び OS無効化リストの更新を中止する。

[0329] 受信した署名付アプリ無効化リストについても、同様にして署名検証を行う。署名検証が失敗であった場合には、以下に説明するアプリ IDの比較及びアプリ無効化リストの更新を中止する。

次に、受信した OS無効化リストと、無効化リスト記憶部 421の記憶している OS無効ィ匕リスト 423とに含まれるリスト IDを比較する。両者が同一であれば、受信した OS無効化リストを破棄する。受信した OS無効化リストのリスト IDが、無効化リスト記憶部 42 1の記憶している OS無効化リスト 423のリスト IDよりも新しい日付を示していれば、無効化リスト記憶部 421の記憶している OS無効化リスト 423を、受信した OS無効化リストにより更新する。

[0330] アプリ無効化リストについても、同様にして、受信したアプリ無効化リストと、無効化リスト記憶部 421の記憶しているアプリ無効化リスト 422の新旧を比較し、アプリ無効化リスト 422の方が古い場合は、受信したアプリ無効化リストにより、無効化リスト記憶部 421内のアプリ無効化リスト 422を更新する。

く OS検証部 431及び OS無効化部 432 >

OS検証部 431は、セキュア OS441のヘッダ部分からセキュア OSID442を読み出す。次に、無効化リスト記憶部 421から OS無効化リスト 423を読み出し、読み出したセキュア OSID442が、 OS無効化リスト 423の無効 IDに含まれて!/、るか否かを判断する。セキュア OSID442が、 OS無効化リスト 423に含まれている場合には、セキュァ OS441が無効であると判断し、 OS無効化部 432へ無効化を指示する。

[0331] セキュア OSID442が、 OS無効化リスト 423に含まれていなければ、有効であると判断する。

OS無効化部 432は、 OS検証部 431から無効化を指示され、セキュア OS441のへッダ部分の無効フラグを「1」に書き換える。

<アプリ検証部 428及びアプリ無効化部 429 >

アプリ検証部 428は、セキュアメモリ 413上の音楽復号プログラム 446のヘッダ部分力もアプリ ID447を読み出す。次に、無効化リスト記憶部 421からアプリ無効化リスト 422を読み出し、アプリ ID447がアプリ無効化リスト 422に含まれて、る力否かを判断する。アプリ ID447がアプリ無効化リスト 422に含まれている場合、音楽復号プログラム 446が無効なプログラムであると判断し、アプリ無効化部 429へ無効化を指示する。

[0332] アプリ ID447がアプリ無効化リストに含まれていなければ、音楽復号プログラム 446 が有効なプログラムであると判断する。

アプリ無効化部 429は、アプリ検証部 428から、無効化の指示を受け、音楽復号プログラム 446の無効フラグを「1」に設定する。セキュアメモリ 413上に、複数のアプリケーションが存在する場合、全てのアプリケーシヨンについて、アプリ検証部 428及びアプリ無効化部 429は、同様にして、アプリケーシヨンが無効である力否かの判断、無効であった場合の無効フラグの設定を繰り返す。

[0333] (3)メモリ保護部の検証動作

図 52— 53に示すフローチャートを用いて、メモリ保護部 414によるプログラムの検証動作について、説明する。

切替制御部 106から、接続指示を受ける (ステップ S671)。接続指示を受け取ると、無効化リスト更新部 424は、無線通信制御部 118及び通信部 121を介して無効化リスト発行装置 250へ、リスト要求を送信する (ステップ S672)。次に、通信部及び無線通信制御部を介して、署名付 OS無効化リストと署名付アプリ無効化リストとを取得する（ステップ S673)。

[0334] 無効化リスト更新部 424は、署名検証鍵 426を読み出し、読み出した署名検証鍵を用いて、取得した署名付 OS無効化リスト及び署名付アプリ無効化リストの署名検証を行う（ステップ S674)。署名検証が失敗であれば (ステップ S676の NO)、 OS検証部によるステップ S681へ処理を移す。

署名検証が成功であれば (ステップ S676の YES)、無効化リスト記憶部に記憶されて、る OS無効化リスト 423及びアプリ無効化リスト 422のリスト IDを読み出す (ステツプ S677)。読み出した OS無効化リスト 423リスト IDと、受信した OS無効化リストのリスト IDと比較し、アプリ無効化リスト 422のリスト IDと受信したアプリ無効化リストのリスト I Dを比較することで、 OS無効化リスト 423及びアプリ無効化リスト 422が最新版であるか否かを判断する (ステップ S678)。最新版でな!、と判断すると (ステップ S678の N 0)、受信した OS無効化リスト及び受信したアプリ無効化リストにより、無効化リスト記憶部 421に記憶されている OS無効化リスト 423及びアプリ無効化リスト 422を更新する（ステップ S679)。

[0335] 最新版であると判断すると (ステップ S678の YES)、ステップ S679の処理を省略する。

ステップ S672— 679の無効化リスト更新部 424による処理が終了すると、 OS検証部 431は、セキュアメモリ 413から、セキュア OSID442を読み出し (ステップ S681)、読み出したセキュア OSID442が、 OS無効化リスト 423に登録されている力否かによつて、セキュア OS441が無効であるか有効であるかを判定する（ステップ S682)。

[0336] 有効であると判定すると (ステップ S683の YES)、アプリ検証部 428によるステップ S686の処理に移る。

無効であると判断されると (ステップ S683の NO)、 OS無効化部 432は、セキュア O S441の無効フラグ 443を「1」に設定する（ステップ S684)。

OS検証部 431及び OS無効化部 432によるステップ S684までの処理が終了すると、アプリ検証部 428は、セキュアメモリ 413上の音楽復号プログラム 446のアプリ ID 447を読み出し (ステップ S686)、読み出したアプリ IDがアプリ無効化リスト 422に登録されて!/、る力否かによって、音楽復号プログラム 446が有効であるか無効であるかを判定する (ステップ S687)。

[0337] 有効であると判定されると (ステップ S688の YES)、検証処理を終了する。無効であると判定されると (ステップ S688の NO)、アプリ無効化部 429は、音楽復号プログラム 446の無効フラグを「1」に設定する（ステップ S689)。

2. 3 まとめ，効果

以上、説明してきたように、本実施の形態の携帯電話 400は、無効化リスト発行装置 250から、随時最新の OS無効化リスト及びアプリ無効化リストを取得する。取得した OS無効化リスト及びアプリ無効化リストを基に、自身の記憶して、るセキュア OS4 41、音楽復号プログラム 446を初めとするセキュアメモリ 413上にロードされているァプリケーシヨンが有効である力否かを判断し、無効化されて!/、るプログラムの実行を中止する。

[0338] このような構成にすることで、携帯電話 400が発売された後、後発的に無効化すべきであることが判明したプログラムについても、その実行を中断することが可能となり、不正なプログラムの実行による、データの不正使用を防止することができる。

2. 4 実施の形態 2の変形例 1

本発明の実施の形態 2について、以下のような構成であっても良い。

(1)無効化リスト発行装置 250 無効化リスト発行装置 250は、 OS無効化リスト及びアプリ無効化リストを記憶してヽる力 OS無効化リストは、無効化 ID269、 270、 271 · · ·に代わって、無効化されたオペレーティングシステムのセキュア OS証明書 (後述する）の証明書 IDを含んで構成される。

[0339] アプリ無効化リストについても、無効化 ID279、 280、 281 · · ·に代わって、無効化されたアプリケーションのアプリ証明書 (後述する）の証明書 IDを含んで構成される。 (2)携帯電話 400

携帯電話 400は、メモリ保護部 414に代わってメモリ保護部 454を備え、セキュアメモリ 413に代わってセキュアメモリ 453を備えている。メモリ保護部 414が、セキュアメモリ 413上の各プログラムに固有の IDによって、各プログラムが有効であるか無効であるかを判定する代わりに、メモリ保護部 454は、セキュアメモリ 453上の各プロダラムに固有の証明書を用いて判定する。

[0340] 以下に、この機能を実現する構成について説明する。

(2— 1)セキュアメモリ 453

セキュアメモリ 453は、一例として、図 54に示すように、音楽復号プログラム 476、セキュア OS481を含んでいる。

セキュア OS481は、ヘッダ部分に、セキュア OS証明書 482及び無効フラグ 483を含んでいる。

[0341] セキュア OS証明書 482は、 X. 509に従った公開鍵証明書であり、図 55に示すように、発行者 ID484、証明書 ID487、セキュア OS公開鍵 488、署名アルゴリズム 489 及び C A署名 491を含んで構成される。

発行者 ID484は、セキュア OS証明書 482の発行元である認証局（以下、 CA: Certificate Authorityと呼ぶ）の識別子である。セキュア OS公開鍵 488は、セキュア O S証明書 482によって正当性を証明されるセキュア OS481に固有の公開鍵である。署名アルゴリズム 489は、 CA署名 491の生成に使用されたアルゴリズムを示す識別情報である。 CA署名 491は、セキュア OS証明書 482の発行元である CAの秘密鍵を用いて、上記の発行者 ID484、証明書 ID487' · ·に、署名アルゴリズム 489の示すアルゴリズム S1を施して生成された署名データである。 [0342] 無効フラグ 483は、セキュア OS481が有効であるか無効であるかを示している。音楽復号プログラム 476は、そのヘッダ部分にアプリ証明書 477と無効フラグ 478とを含んでいる。

アプリ証明書 477は、図 55のセキュア OS公開鍵 488を、アプリ公開鍵に置き換えた構成である。

[0343] 無効フラグ 478は、音楽復号プログラム 476が無効であるか有効であるかを示している。

(2— 2)メモリ保護部 454

メモリ保護部 454は、図 54に示すように、無効化リスト記憶部 461、無効化リスト更新部 424、鍵格納部 464、アプリ検証部 468、アプリ無効化部 429、 OS検証部 471 及び OS無効化部 432から構成される。

[0344] 無効化リスト更新部 424、 OS無効化部 432及びアプリ無効化部 429の動作は、上記の実施の形態 2の無効化リスト更新部 424、 OS無効化部 432及びアプリ無効化部 429と同様であるので、ここでは説明を省略する。

<無効化リスト記憶部 461 >

無効化リスト記憶部 461は、図 54に示すように OS無効化リスト 463及びアプリ無効ィ匕リスト 462を含んでいる。

[0345] OS無効化リスト 463は、無効化リスト発行装置 250の記憶している OS無効化リストと同様の構成であり、無効化されたオペレーティングシステムの証明書 IDを含んでヽる。

アプリ無効化リスト 462は、無効化リスト発行装置 250の記憶して、るアプリ無効化リストと同様の構成であり、無効化されたアプリケーションの証明書 IDを含んでいる。

[0346] <鍵格納部 464 >

鍵格納部 464は、 CA公開鍵 466を記憶している。 CA公開鍵 466は、セキュア OS 証明書 482及びアプリ証明書 477の発行元である CAの公開鍵であり、セキュア OS 証明書 482及びアプリ証明書 477に含まれる CA署名の生成に用いられた CAの秘密鍵と対になる鍵である。

[0347] < OS検証部 471 > OS検証部 471は、無効化リスト更新部 424による OS無効化リスト及びアプリ無効ィ匕リストの更新の処理が終了すると、セキュアメモリ 453から、セキュア OS481に含まれるセキュア OS証明書 482を読み出す。鍵格納部 464から CA公開鍵 466を読み出し、読み出した CA公開鍵 466を用いて、セキュア OS証明書 482に含まれる CA署名 491に署名検証アルゴリズム VIを施して署名検証を行う。署名検証アルゴリズム V 1は、署名生成アルゴリズム S1により生成された署名データを検証するアルゴリズムである。

[0348] 署名検証の結果が失敗であれば、以降の処理を中止し、 OS無効化部 432へ、セキュア OS481の無効化を指示する。

署名検証の結果が成功であれば、次に、セキュア OS証明書 482に含まれる証明書 ID487力 OS無効化リスト 463に登録されているか否かによって、セキュア OS48 1が無効である力否かを判定する。登録されていれば、セキュア OS481が無効なプログラムであると判定し、 OS無効化部 432へ、セキュア OS481の無効化を指示する

[0349] 登録されていなければ、 OS検証部 471は、セキュア OS481が、有効なプログラムであると判定する。

なお、本実施の形態において、セキュア OS証明書 482の署名検証を行い、署名検証が成功の場合に、証明書 ID487力 OS無効化リスト 463に登録されているか否かを判定している力証明書 ID487力 OS無効化リスト 463に登録されている力否かを判定し、登録されていない場合に、署名検証を行うとしてもよい。

[0350] <アプリ検証部 468 >

アプリ検証部 468は、 OS検証部 471によるセキュア OS481の検証が終了すると、セキュアメモリ 453から、音楽復号プログラム 476に含まれるアプリ証明書 477を読み出す。鍵格納部 464から CA公開鍵 466を読み出し、読み出した CA公開鍵 466を用いて、アプリ証明書 477に含まれる CA署名に署名検証アルゴリズム VIを施して署名検証を行う。

[0351] 署名検証の結果が失敗であれば、以降の処理を中止し、アプリ無効化部 429へ、音楽復号プログラム 476の無効化を指示する。署名検証の結果が成功であれば、次に、アプリ証明書 477に含まれる証明書 IDが、アプリ無効化リスト 462に登録されている力否かによって、音楽復号プログラム 476 が無効である力否かを判定する。登録されていれば、音楽復号プログラム 476が無効なプログラムであると判定し、アプリ無効化部 429へ、音楽復号プログラム 476の無効化を指示する。

[0352] 登録されていなければ、音楽復号プログラム 476は、有効なプログラムであると判定する。

なお、上記の署名検証と証明書 ID力アプリ無効化リスト 462に登録されているか否かの判定の順序は逆でもよ！/、。

2. 5 実施の形態 2の変形例 2

上記の変形例 1において、音楽復号プログラム 476は、階層構造を構成する複数の証明書を含んで、るとしても良、。

[0353] 図 56は、音楽復号プログラム 476の有する複数の証明書の構成及び、これらの証明書の階層構造を表している。

音楽復号プログラム 476は、図 56に示すように、アプリ証明書 501、メーカー証明書 511及び C A証明書 521を含んでいる。

アプリ証明書 501は、発行元 502、証明書 ID503、アプリ公開鍵 504、署名アルゴリズム 506及びメーカー署名 508を含んで構成される。

[0354] 発行元 502は、アプリ証明書 501の発行元であるアプリメーカーを示す識別情報である。図 56には説明の便宜上「アプリメーカー」と記載している。証明書 ID503は、ァプリ証明書 501に固有の識別情報である。アプリ公開鍵 504は、音楽復号プログラム 476に固有の公開鍵であり、アプリ証明書 501によって、その正当性を証明される。署名アルゴリズム 506は、メーカー署名 508の生成に使用された署名生成アルゴリズムを示す識別情報である。メーカー署名 508は、音楽復号プログラム 476の製造メーカーに固有のアプリメーカー秘密鍵 519を用いて、発行元 502、証明書 ID503、ァプリ公開鍵 504、署名アルゴリズム 506などのアプリ証明書 501に含まれる情報に、署名生成アルゴリズム S2を施して生成された署名データである。

[0355] メーカー証明書 511は、発行元 512、証明書 ID513、メーカー公開鍵 514、署名ァルゴリズム 516及び CA署名 518を含んで構成される。

発行元 512は、メーカー証明書 511の発行元である CAを示す識別情報である。図 56には説明の便宜上「CA」と記載している。証明書 ID513は、メーカー証明書 511 に固有の識別情報である。メーカー公開鍵 514は、音楽復号プログラム 476の製造メ一力一の公開鍵であり、メーカー証明書 511によって、その正当性を証明される。メ一力一公開鍵 514は、アプリメーカー秘密鍵 519と対応する鍵である。署名アルゴリズム 516は、 CA署名 518の生成に使用された署名生成アルゴリズムを示す識別情報である。 CA署名 518は、 CA秘密鍵 529を用いて、発行元 512、証明書 ID513、メーカー公開鍵 514、署名アルゴリズム 516などのメーカー証明書 511に含まれる情報に、署名生成アルゴリズム S3を施して生成された署名データである。

[0356] CA証明書 521は、発行元 522、証明書 ID523、 CA公開鍵 524、署名アルゴリズム 526及びルート CA署名 528を含んで構成される。

発行元 522は、 CA証明書 521の発行元であるルート CAを示す識別情報である。図 56には説明の便宜上「ルート CA」と記載している。証明書 ID523は、 CA証明書 5 21に固有の識別情報である。 CA公開鍵 524は、 CAの公開鍵であり、 CA証明書 52 1によって、その正当性を証明される。 CA公開鍵 524は、 CA秘密鍵 529と対応する鍵である。署名アルゴリズム 526は、ルート CA署名 528の生成に使用された署名生成アルゴリズムを示す識別情報である。ルート CA署名 528は、ルート CA秘密鍵 531 を用いて、発行元 522、証明書 ID523、 CA公開鍵 524、署名アルゴリズム 526などの CA証明書 521に含まれる情報に、ルート CA秘密鍵 531を用いて、署名生成アルゴリズム S4を施して生成された署名データである。ルート CA秘密鍵 531は、ルート C Aに固有の秘密鍵である。

[0357] ここで、一例として、 CAには携帯電話 400の販売メーカー、ルート CAには、公的な証明書発行機関が該当する。また、メーカー証明書 511に代わって、音楽復号プログラム 476を制御するセキュア OS481の OS証明書 482、携帯電話 400に割り当てられる証明書、セキュア OS481の製造メーカーの証明書を用いるとしても良い。この変形例において、鍵格納部 464は、 CA公開鍵 466に代わって、ルート CA公開鍵を記憶している。ルート CA公開鍵は、ルート CA秘密鍵 531と対応する鍵である。また、無効化リスト記憶部 461は、アプリ無効化リスト 462にカ卩えて、メーカー無効化リスト及び、 CA無効化リストを記憶している。メーカー無効化リストは、無効化されたメ一力一証明書の証明書 IDを含むリストであり、 CA無効化リストは、無効化された CA 証明書の証明書 IDを含むリストである。

[0358] アプリ検証部 468は、先ず、 CA証明書 521とルート CA公開鍵を読み出し、読み出したルート CA公開鍵を用いて CA証明書 521に含まれるルート CA署名 528に署名検証アルゴリズム V4を施して署名検証を行う。署名検証アルゴリズム V4は、署名生成アルゴリズム S4により生成された署名データを検証するアルゴリズムである。

署名検証が失敗であれば、アプリ検証部 468は、以下の処理を中止して、アプリ無効化部 429へ、音楽復号プログラム 476の無効化を指示する。

[0359] 署名検証が成功であれば、次に、 CA証明書 521に含まれる証明書 ID523が CA 無効化リストに登録されている力否かを判断し、登録されていれば、アプリ検証部 46 8は、以下の処理を中止して、アプリ無効化部 429へ、音楽復号プログラム 476の無効化を指示する。

登録されていなければ、次に、メーカー証明書 511を読み出し、 CA証明書 521に含まれる CA公開鍵 524を用いて、読み出したメーカー証明書 511に含まれる CA署名 518に署名検証アルゴリズム V3を施して署名検証を行う。署名検証アルゴリズム V 3は、署名生成アルゴリズム S 3により生成された署名データを検証するアルゴリズムである。

[0360] 署名検証が失敗であれば、アプリ検証部 468は、以下の処理を中止して、アプリ無効化部 429へ、音楽復号プログラム 476の無効化を指示する。

署名検証が成功であれば、次に、メーカー証明書 511に含まれる証明書 ID513がメーカー無効化リストに登録されている力否かを判断し、登録されていれば、アプリ検証部 468は、以下の処理を中止して、アプリ無効化部 429へ、音楽復号プログラム 4 76の無効化を指示する。

[0361] 登録されていなければ、次に、アプリ証明書 501を読み出す。メーカー証明書 511 に含まれるメーカー公開鍵 514を用いて、読み出したアプリ証明書 501に含まれるメ一力一署名 508に署名検証アルゴリズム V2を施して署名検証を行う。署名検証アルゴリズム V2は、署名生成アルゴリズム S2により生成された署名データを検証するァノレゴリズムである。

[0362] 署名検証が失敗であれば、アプリ検証部 468は、以下の処理を中止して、アプリ無効化部 429へ、音楽復号プログラム 476の無効化を指示する。

署名検証が成功であれば、次に、アプリ証明書 501に含まれる証明書 ID503がァプリ無効化リストに 462に登録されている力否かを判断し、登録されていれば、アプリ検証部 468は、アプリ無効化部 429へ、音楽復号プログラム 476の無効化を指示する。

[0363] 登録されていなければ、音楽復号プログラム 476が有効なプログラムであると判定する。

このように、 2重、 3重の検証をすることで、より高いセキュリティを確保することができる。また、メーカー証明書を導入したことにより、同一のメーカーにより開発されたプログラム全てを無効化することができる。

[0364] セキュア OS481についても、同様に複数の証明書による検証を行っても良い。

2. 6その他の変形例

(1)上記の実施の形態 2において、 OS無効化リストは、リスト IDとして、 OS無効化リストの生成された日付を含んでいるが、図 57に示す OS無効化リスト 541のようにバ一ジョン番号をリスト ID543として含んでいても良い。バージョン情報とは、 OS無効化リストの世代を示す番号であり、値が大き、ほど新、ことを示す。

[0365] また、 OS無効ィ匕リスト 551に示すように、無効ィ匕 IDの総数をリスト ID553として含んでいるとしても良い。無効化されるプログラムの総数は、減少することはありえないため、無効ィ匕 IDの総数をリスト IDとすることで、リスト IDの値の大きいものほど新しい OS 無効化リストであると、判断することができる。

(2)上記の説明において、無効化リスト発行装置 250は、 OS無効化リスト及びアブリ無効化リストを生成して、るが、アプリ無効化リストと OS無効化リストの発行元は別々でも良い。

[0366] 例えば、 OS無効化リストは、オペレーティングシステム開発メーカーの管理する無効化リスト発行装置により、生成され発行される。アプリ無効化リストは、アプリケーションの開発メーカーの管理する無効化リスト発行装置により生成され発行される。

(3)上記の実施の形態及び変形例において、 OS検証がセキュアアプリケーションを検証し、アプリ検証部がセキュア OSを検証するとしてもよ、。

[0367] セキュアアプリケーションとセキュア OSの開発メーカーは異なる場合、このように相互に検証しあうことで、より安全性を高めることができる。

(4)また、無効化リスト発行装置 250が送信するアプリ無効化リスト及び OS無効化リストは、必ず最新のものであり、無効化リスト記憶部 421が記憶しているアプリ無効化リスト 422及び OS無効化リスト 423がこれらよりも新しいことはありえない。従って、無効化リスト更新部 424は、アプリ無効化リスト及び OS無効化リストの更新を行う際に、上述したようなリスト IDの比較を省略し、署名検証に成功すれば、無条件に、無効化リスト発行装置 250から受信したアプリ無効化リスト及び OS無効化リストにより、アプリ無効化リスト 422及び OS無効化リスト 423を更新するとしてもよい。

[0368] (5)上記の実施の形態において、切替制御部 106から接続指示が出力されると、セキュアメモリ 413に記憶されている各プログラムの検証を行っている力検証のタイミングは、これに限るものではなぐ携帯電話 400の電源投入時、各プログラムの起動時などでもよい。

3.実施の形態 3

以下に、本発明に係る実施の形態 3につ、て説明する。

[0369] 本実施の形態の携帯電話は、実施の形態 2と同様に、携帯電話網及びインターネットを介して、無効化リスト発行装置と接続されている。

3. 1無効化リスト発行装置

本実施の形態の無効化リスト発行装置は、実施の形態 2における無効化リスト発行装置 250と同様に、通信部、署名生成部、鍵記憶部、ハッシュ生成部、制御部、情報記憶部 610、入力部及び表示部から構成される。

[0370] 通信部、署名生成部、鍵記憶部、ハッシュ生成部、入力部及び表示部の構成及び動作は、無効化リスト発行装置 250に含まれる通信部 251、署名生成部 252、鍵記憶部 253、ノ、ッシュ生成部 254、入力部 262及び表示部 263とほぼ同様であり、ハツシュ生成部は、 OS無効化リスト及びアプリ無効化リストに代わって、 OSマトリクス無効ィ匕リスト (後述する）力 OSダイジェストデータを生成し、アプリマトリクス無効化リスト（後述する）力もアプリダイジェストデータを生成する。これらの各部については、説明を省略し、本実施の形態の特徴である。情報記憶部 610及び制御部についてのみ説明する。

[0371] (1)情報記憶部 610

情報記憶部 610は、図 58に示すように、アプリ発行鍵マトリクス 601、 OS発行鍵マトリタス 602、プリ無効ィ匕†青報 604、 606 · · · , プリマトリクス無効ィ匕リスト 611及び OSマトリクス無効化リスト 621を記憶して、る。

くアプリ発行鍵マトリクス 601及び OS発行鍵マトリクス 602 >

アプリ発行鍵マトリクス 601は、図 58に示すように 4行 X 4列の行列の各行列要素として、 16個の発行鍵 Key— 11、 Key— 12、 Key— 13 · · ·を配置したものである。各発行鍵は、一例として擬似乱数を用いて生成される、 64ビット長の鍵データである。

[0372] アプリ発行鍵マトリクス 601は、縦方向に上から順に行番号「1」、「2」、「3」、「4」を配置し、横方向に左から順に、列番号「1」、「2」、「3」、「4」を配置している。

行番号「1」、列番号「1」と対応する行列要素 661は、発行鍵 Key— 11であり、行番号「1」、列番号「2」と対応する行列要素 662は、発行鍵 Key— 12である。行番号「1」、列番号「3」と対応する行列要素 663は、発行鍵 Key— 13であり、行番号「1」、列番号「4」と対応する行列要素 664は、発行鍵 Key_14である。

[0373] 同様に、行番号「2」、列番号「1」一「4」の行列要素 665— 668は、それぞれ、発行鍵 Key— 21、 Key— 22、 Key— 23、 Key— 24である。行番号「3」、列番号「1」一「4 」の行列要素 669— 672は、発行鍵 Key— 31、 Key— 32、 Key— 33、 Key— 34である。行番号「4」、列番号「1」一「4」の行列要素 673— 676は、 Key— 41、 Key— 4 2、 Key— 43、 Key— 44である。

[0374] 本実施の形態において、各セキュアアプリケーションには、アプリ発行鍵マトリクス 6 01の各列から 1個ずつ、計 4個の発行鍵が割り当てられている。 4個の発行鍵の組み合わせは、セキュアアプリケーションごとに異なる。

一例として、携帯電話において実行される音楽復号プログラム (後述する）には、ァプリ発行鍵マトリクス 601【こお!ヽて、実線円 677、 678、 679、 680で囲まれて!/ヽる、発行鍵 Key_l l、 Key_32、 Key_23、 Key_14が割り当てられている。また、音楽復号プログラムとは別のセキュアアプリケーション (アプリ Bと呼ぶ）には、点線円 68 1、 682、 683、 684で囲まれている、発行鍵 Key— 21、 Key— 32、 Key— 33、 Key —44が割り当てられてヽる。

[0375] OS発行鍵マトリクス 602は、アプリ発行鍵マトリクス 601と同様の構成であり、 16個の発行鍵を 4行 X 4列の行列の、行列要素として格納したものである。

<アプリ無効化情報 604、 606 · · · >

アプリ無効化情報 604、 606 · · ·についての説明を容易にするために、アプリ固有鍵マトリクス及び OS固有鍵マトリクスについて先ず説明する。

[0376] 図 59は、本実施の形態の携帯電話に記憶されている暗号化音楽復号プログラム 5 91 (後述する）に含まれるアプリ固有鍵マトリクス 592及び暗号ィ匕セキュア OS596 ( 後述する）に含まれる OS固有鍵マトリクス 597である。

アプリ固有鍵マトリクス 592は、暗号ィ匕音楽復号プログラム 591を復号して生成される音楽復号プログラムと 1対 1に対応しており、音楽復号プログラムに割り当てられた 4 個の発行鍵を含んでいる。アプリ固有鍵マトリクス 592は、 4つの鍵情報 901、 902、 903、 904から構成される。各鍵情報は、列番号と行番号と発行鍵を含んでおり、鍵情報 901は、アプリ発行鍵マトリクス 601の 1列目の行列要素から音楽復号プロダラムに割り当てられた発行鍵 Key— 11と、アプリ発行鍵マトリクス 601上で Key— 11と対応する行番号「1」と列番号「1」とを含んでいる。鍵情報 902は、アプリ発行鍵マトリタス 601の 2列目の行列要素力も音楽復号プログラムに割り当てられた発行鍵 Key— 32と、アプリ発行鍵マトリクス 601上で Key— 32と対応する行番号「3」と列番号「2」とを含んでいる。鍵情報 903は、アプリ発行鍵マトリクス 601の 3列目の行列要素力も音楽復号プログラムに割り当てられた発行鍵 Key— 23と、アプリ発行鍵マトリクス 601上で Key— 23と対応する行番号「2」と列番号「3」とを含んでいる。鍵情報 904は、アブリ発行鍵マトリクス 601の 4列目の行列要素力も音楽復号プログラムに割り当てられた発行鍵 Key— 14と、アプリ発行鍵マトリクス 601上で Key— 14と対応する行番号「1」と列番号「4」とを含んで、る。

[0377] OS固有鍵マトリクス 597は、アプリ固有鍵マトリクスと同様の構成であり、鍵情報 90 6、 907、 908、 909から構成され、各鍵情報は、列番号、行番号発行鍵を含む。本実施の形態に記憶されている暗号ィ匕セキュア OS596を復号して生成されるセキユア OSには、 OS発行鍵マトリクス 602の各列から 1個ずつ、計 4個の発行鍵が割り当てられている。この 4個の発行鍵の組み合わせは、オペレーティングシステムごとに異なる。

[0378] 鍵情報 906— 909は、それぞれ、 OS固有鍵マトリクス 602の各列から、セキュア OS に割り当てられた固有鍵と固有鍵に対応する OS固有鍵マトリクス 602上の列番号と行番号とを含んでいる。

アプリ無効化情報 604、 606 · · ·は、無効化されたアプリケーションのアプリ固有鍵マトリクスの各鍵情報力列番号及び行番号を抽出したものである。

[0379] 一例として、アプリ無効化情報 604は、上述のアプリ Bと対応する。アプリ無効化情報 604ίま、図 58【こ示すよう【こ、 4偶の歹 U番号「1」一 931、「2」一 932、「3」一 933、「4 」—934と、それぞれの列番号と対応する行番号 935— 938から構成される。列番号「1」— 931と行番号「2」— 935は、アプリ発行鍵マトリクス 601の 1列目力ら、アプリ Β に割り当てられた発行鍵 Key— 21と対応している。列番号「2」— 932と行番号「3」— 936、プリ発行鍵マトリクス 601の 2列目から、アプリ Bに割り当てられた発行鍵 Key— 32と対応している。同様に、列番号「3」— 933と行番号「3」— 937は、発行鍵 Key— 33と対応しており、列番号「4」と行番号「4」は、発行鍵 Key— 44と対応している。

[0380] また、具体的には図示していないが、情報記憶部 610は、無効化されたオペレーテイングシステムの OS固有鍵マトリクスの各鍵情報力ゝら列番号及び行番号を抽出した OS無効化情報を記憶して、る。

<アプリマトリクス無効化リスト 611及び OSマトリクス無効化リスト 621 >

アプリマトリクス無効ィ匕リス卜 611は、図 60に示すように、 16偶の行歹 IJ要素 911一 92 6を、 4行 X 4列の行列状に配置して構成される。説明の便宜上、 i行 j列目の行列要素に格納される行列要素を変数 Mijを用いて表現する。

[0381] 変数 Mijは、アプリ発行鍵マトリクス 601上の i行 j列目の発行鍵を用いて、暗号化音楽復号プログラム 591を初めとする暗号ィ匕アプリケーションを復号するための復号鍵に暗号化アルゴリズム E2を施して生成されたものである。図中の Enc (Key— ij,復号鍵）は、復号鍵を、発行鍵 Key— ijを用いて暗号ィ匕して生成されたものであることを示している。例えば、行番号「1」、列番号「1」の行列要素 911である変数 Mi lは、ァプリ発行鍵マトリクス 601上の、行番号「1」、列番号「1」の行列要素 661の発行鍵 Ke y_l lを用いて、復号鍵を暗号ィ匕したものである。

[0382] ここで、アプリマトリクス無効化リスト 611は、情報記憶部 610に記憶されているアブリ無効化情報が、アプリ無効化情報 604のみである場合に生成されたものである。このとき、アプリ無効化情報 604に含まれる行番号及び列番号と対応する行列要素 M 21、 M32、 M33及び M44は、復号鍵に変わってダミーデータ「0000」を、発行鍵を用いて暗号化したものである。

[0383] OSマトリクス無効化リスト 621は、アプリマトリクス無効化リスト 611と同様の構成であり、 16個の行列要素を 4行 X 4列の行列状に配置したものである。 i行 j列目の行列要素は、暗号化セキュア OS596を含む各種の暗号化オペレーティングシステムを復号するための復号鍵を、 OS発行鍵マトリクス 602の i行 j列目に配置された発行鍵を用いて暗号ィ匕したものである。ただし、 OS無効化情報に含まれる行番号及び列番号と対応する行列要素は、前記復号鍵に代わって、ダミーデータを暗号ィ匕したものである

[0384] また、具体的には図示していないが、アプリマトリクス無効化リスト 611及び OSマトリタス無効化リストには、その新旧を示すリスト IDが含まれて、る。

(2)制御部

制御部は、インターネットを介して、携帯電話から、リスト要求を受信する。リスト要求を受信すると、情報記憶部 610から、 OSマトリクス無効化リスト 621及びアプリマトリクス無効化リスト 611を読み出し、ノ、ッシュ制御部、署名生成部によって生成された署名を付加した署名付 OSマトリクス無効化リストと署名付アプリマトリクス無効化リストとを携帯電話へ送信する。これは、実施の形態 2の制御部 257による、署名付 OS無効ィ匕リスト及び署名付アプリ無効化リストの生成及び送信と同様であるので、詳細な説明は省略する。

[0385] また、制御部は、入力部を介して、操作者により新たなアプリ無効化情報の入力及びアプリマトリクス無効化リストの生成の指示を受け付ける。受け付けた指示に従って、新たにアプリマトリクス無効化リストを生成する。

また、新たな OS無効化情報の入力及び OSマトリクス無効化リストの生成の指示を受け付ける。受け付けた指示に従って、新たに OSマトリクス無効化リストを生成する。

[0386] 以下に図 61に示すフローチャートを用いて、アプリマトリクス無効化リストの生成の動作について説明する。なお、本実施の形態では、アプリ発行鍵マトリクス 601及びアプリマトリクス無効化リストは、 16個の要素を 4 X 4の行列状に配置して構成される 1S これに限るものではない。フローチャートにおいては、より一般的に p行 n列の場合について説明している。（、11は1以上の整数）

先ず、 p X n個の各行列要素 Ml l、 M12- · ·Μρηに復号鍵を代入する（ステップ S 721)。列番号を格納する変数 j及び行番号を格納する変数 iを 0で初期化する (ステップ S 722)。

[0387] 次に、アプリ無効化情報を読み出し (ステップ S723)、変数 jに 1加算する (ステップ S724) ₀読み出したアプリ無効化情報の列番号 jと対応する行番号を抽出し、抽出した行番号を変数 iに代入する (ステップ S 726)。

次に、行列要素 Mijにダミーデータ「0000」を代入する（ステップ S727)。次に、変数 j =nである力否かを判断する (ステップ S729)。 j =nでな、と判断すると (ステップ S729の NO)、ステップ S724に戻って、 j =nになるまでステップ S724— 729を繰り返す。

[0388] 変数 j =nであると判断した場合 (ステップ S729の YES)、情報記憶部 610に記憶されて、るアプリ無効化情報全てを読み出し終わって、る力否かを判断し (ステップ S7 31)、読み出し終えていなければ (ステップ S731の NO)、ステップ S722に戻り、次のアプリ無効化情報についても、ステップ S722— 731の処理を繰り返す。

[0389] 全てのアプリ無効化情報を読み出し終えていると判断すると (ステップ S731の YES )、変数 iに 0を代入し (ステップ S734)、変数 jに 0を代入する (ステップ S736)。次に、変数 iに 1加算し (ステップ S737)、変数 jに 1加算する（ステップ S739)。

アプリ発行鍵マトリクス 601の i行 j列目の発行鍵 Key— ijを読み出す (ステップ S741 )。読み出した発行鍵 Key— ijを用いて、行列要素 Mijに暗号ィ匕アルゴリズム E2を施して、 Enc (Key— ij, Mij)を生成し、生成した Enc (Key— ij, Mij)を Mijに代入する (ステップ S742)。

[0390] 変数 j =nであれば (ステップ S743の YES)、ステップ S744に処理を移し、変数 j = nでなければ (ステップ S743の NO)、ステップ S739へ戻り、変数 j =nになるまで、ステツプ S739— 743の処理を繰り返す。

次に、変数 i=pであれば (ステップ S 744の YES)、アプリマトリクス無効化リストの生成を終了する。

[0391] 変数 i=pでなければ (ステップ S 744の NO)、ステップ S736に戻り、 i=pになるまで、ステップ S736— 744の処理を繰り返す。

なお、 OSマトリクス無効化リストについても、 OS発行鍵マトリクスと OS無効化情報を用いて、同様の手順で生成する。

3. 2携帯電話

本実施の形態の携帯電話は、実施の形態 2の携帯電話 400と類似した構成である。従って、ここでは、実施の形態 2と同様の部分の説明は省略し、本実施の形態の特徴部分につ、てのみ説明する。

[0392] (1)セキュアメモリ 613

セキュアメモリ 613には、一例として、図 62に示すように暗号ィ匕音楽復号プログラム 591及び暗号化セキュア OS596を記憶している。

暗号ィ匕音楽復号プログラム 591は、実施の形態 2の音楽復号プログラム 446と同様の音楽復号の手順を含む音楽復号プログラムに、暗号ィ匕アルゴリズム E3を施して、生成されたものである。また、暗号ィ匕音楽復号プログラム 591は、ヘッダ部分に、音楽復号プログラムに固有のアプリ固有鍵マトリクス 592と無効フラグ 593を含んでいる。アプリ固有鍵マトリクス 592については、上記において、述べたとおりである。無効フラグ 593は、前記音楽復号プログラムが無効である力否かを示すフラグであり「0」であれば、有効であることを、「1」であれば無効であることを示している。

[0393] 暗号化セキュア OS596は、実施の形態 2のセキュア OS441と同様のオペレーティング機能を有するセキュア OSに、暗号ィ匕アルゴリズム E3を施して生成されたものである。暗号化セキュア OS596は、前記セキュア OSに固有の OS固有鍵マトリクス 597 及び無効フラグ 598をヘッダ部分に含んでいる。 OS固有鍵マトリクス 597については、上記において、述べたとおりである。

[0394] 無効フラグ 598は、セキュア OSが無効であるか否かを示すフラグであり「0」であれば、有効であることを、「1」であれば無効であることを示している。

(2)メモリ保護部 571

メモリ保護部 571は、図 62に示すように無効化リスト記憶部 572、無効化リスト更新部 575、アプリ検証部 578、アプリ無効化部 579、 OS検証部 581、 OS無効化部 582 及び暗号 '復号部 586から構成される。

[0395] 無効化リスト記憶部 572は、アプリマトリクス無効化リスト 573及び OSマトリクス無効ィ匕リスト 574を記憶して、る。アプリマトリクス無効化リスト 573及び OSマトリクス無効ィ匕リスト 574は、無効化リスト発行装置の情報記憶部 610に記憶されているアプリマトリクス無効化リスト 611及び OSマトリクス無効化リストと同様の構成である。

[0396] 無効化リスト更新部 575の動作は、実施の形態 2の無効化リスト更新部 424と同様であり、アプリ無効化リスト及び OS無効化リストに代わって、アプリマトリクス無効化リスト及び OSマトリクス無効化リストを更新する。

アプリ無効化部 579及び OS無効化部 582の動作は、実施の形態 2のアプリ無効化部 429及び OS無効化部 432と同様であるので、ここでは、改めて説明しない。

[0397] <アプリ検証部 578及び OS検証部 581 >

アプリ検証部 578は、暗号ィ匕音楽復号プログラム 591に含まれるアプリ固有鍵マトリタス 592及び、無効化リスト記憶部 572に記憶されているアプリマトリクス無効化リスト 573を用いて、暗号ィ匕音楽復号プログラム 591の復号鍵を生成する。正しく復号鍵を生成することができた場合、音楽復号プログラムが有効であると判定し、生成できなかった場合、音楽復号プログラムが無効であると判断する。上記の、音楽復号プログラムの検証の詳細な手順については、後に説明する。

[0398] 有効であると判断すると、暗号'復号部 586へ生成した復号鍵を出力し、暗号化音楽復号プログラム 176の復号を指示する。

無効であると判断すると、アプリ無効化部 579へ無効化を指示する。

OS検証部 581は、アプリ検証部 578と同様にして、暗号ィ匕セキュア OS596を復号して生成されるセキュア OSが有効であるか無効であるかを判定する。ここでは、ァプリ固有鍵マトリクス 592、アプリマトリクス無効化リスト 573に代わって、 OS固有鍵マトリタス 597、 OSマトリクス無効ィ匕リスト 574を用いる。

[0399] <暗号，復号部 586 >

暗号'復号部 586は、 OS検証部 581から暗号化セキュア OS596の復号鍵を受け取り、復号を指示される。復号を指示されると、受け取った復号鍵を用いて、セキュアメモリ 613上の暗号ィ匕セキュア OS596に、復号アルゴリズム D3を施してセキュア OS を生成する。

[0400] また、アプリ検証部 578から暗号ィ匕音楽復号プログラム 591の復号鍵を受け取り、復号を指示される。受け取った復号鍵を用いて、暗号化音楽復号プログラム 591〖こ復号アルゴリズム D3を施して音楽復号プログラムを生成する。

ここで、 D3は、暗号化アルゴリズム E3によって生成された暗号文を復号するァルゴリズムであり、一例として、 DES、 AES (Advanced Encryption Standard)などを用いる

[0401] また、切替制御部 576から出力される、セキュアメモリ 613とバス 130との切断を指示する切断指示を検出する。切断指示を検出すると、受け取った復号鍵によって、音楽復号プログラム及びセキュア OSを暗号ィ匕して暗号ィ匕音楽復号プログラム 591及び暗号化セキュア OS596を生成する。

(3)メモリ保護部 571による検証動作

メモリ保護部 571による、セキュアメモリ 613上のプログラムの検証動作について、図 63のフローチャートを用いて説明する。

[0402] メモリ保護部 571は、接続指示を受け取る (ステップ S701)。接続指示を受け取ると、無効化リスト更新部 575は、インターネットを介して無効化リスト発行装置から、最新のアプリマトリクス無効化リストと OSマトリクス無効化リストとを取得し、無効化リスト記憶部 572に記憶されているアプリマトリクス無効化リスト 573及び OSマトリクス無効化リスト 574を更新する (ステップ S702)。無効化リスト更新部 575によるステップ S702 の処理は、実施の形態 2の無効化リスト更新部 424によるステップ S672— 679 (図 4 9)の処理と同様であり、 OS無効化リストを OSマトリクス無効化リストに置き換え、アブリ無効化リストをアプリマトリクス無効化リストに置き換えればよい。 [0403] 次に、 OS検証部 581は、セキュア OSの検証を行い（ステップ S703)、セキュア OS が有効であると判定すると (ステップ S706の YES)、暗号'復号部 586へ暗号化セキユア OS596の復号を指示し、暗号'復号部 586は、暗号化セキュア OS596を復号して、セキュア OSを生成する（ステップ S 707)。

セキュア OSが無効であると判定すると (ステップ S706の NO)、 OS無効化部 582 へ指示して、無効フラグ 598を「1」に設定する (ステップ S 709)。

[0404] 次に、アプリ検証部 578は、音楽復号プログラムが有効である力否かを検証する (ステツプ S711)。有効であると判定されると (ステップ S 712の YES)、暗号'復号部 586 は、暗号ィ匕音楽復号プログラム 591を復号して音楽復号プログラムを生成する (ステップ S 713)。

無効であると判断されると (ステップ S712の NO)、アプリ無効化部 579は、無効フラグ 593を「1」に設定する (ステップ S716)。

[0405] (4)音楽復号プログラムの検証

以下に、図 64のフローチャートを用いて、アプリ検証部 578による音楽復号プログラムの検証処理について説明する。これは、図 63のステップ S711の詳細である。本実施の形態では、アプリマトリクス無効化リスト 573は、 4行 X 4列の行列を構成しており、アプリ固有鍵マトリクス 592は、 4個の鍵情報を含んで構成されている力ここでは、より一般的に、アプリマトリクス無効化リスト 573が n行 p列のマトリクスを構成しており、アプリ固有鍵マトリクス 592が p個の鍵情報力も構成される場合にっ、て説明する。

[0406] アプリ検証部 578は、アプリ固有鍵マトリクス 573を読み出す (ステップ S731)。説明の便宜上、行番号を示す変数 iと列番号を示す変数 jとを導入して説明する。

アプリ検証部 578は、変数 jに 1を代入する (ステップ S732)。アプリ固有鍵マトリクス 592の、列番号 jと対応する行番号を、変数 iに代入する (ステップ S733)。

[0407] 次に、アプリマトリクス無効化リスト 573から、行列要素 Mijを読み出す (ステップ S 73 6)。アプリ固有鍵マトリクス 592から発行鍵 Key— ijを抽出し、抽出した発行鍵 Key— ijを用いて、読み出した行列要素 Mijに復号アルゴリズム D2を施して、復号する (ステップ S737)。復号結果が「0000」でなければ (ステップ S739の NO)、音楽復号プログラムが有効であると判定し (ステップ S 741)、復号結果つまり暗号化音楽復号プログラム 591の復号鍵を、暗号 '復号部 586へ出力する (ステップ S742)。

[0408] 処理結果が「0000」であれば (ステップ S739の YES)、次に、変数 j =pであるか否かを判断し、 j =pでなければ (ステップ S 744の NO)、変数 jに 1加算し (ステップ S74

7)、ステップ S733へ戻る。

変数 j =pであれば (ステップ S744の YES)、音楽復号プログラムが無効であると判定する（ステップ S 746)。

[0409] なお、ステップ S703の OS検証部 581によるセキュア OSの検証は、図 61のフローチャートのアプリ固有鍵マトリクスを OS固有鍵マトリクスに置き換え、アプリマトリクス無効化リストを OSマトリクス無効化リストに置き換えたものであるので、説明を省略する。

3. 3まとめ'効果

以上、説明してきたように、実施の形態 3において、携帯電話のセキュアメモリ 613 上の暗号化音楽復号プログラム 591及び暗号化セキュア OS596は、それぞれに固有のアプリ固有鍵マトリクス 592、 OS固有鍵マトリクス 597を含んでいる。

[0410] メモリ保護部 571は、アプリマトリクス無効化リスト 573及びアプリ固有鍵マトリクス 59 2により音楽復号プログラムが有効である力否かを判定する。有効である場合にのみ、アプリマトリクス無効化リスト 573から、復号鍵を生成することが可能である。

セキュア OSについても、同様に、 OSマトリクス無効化リスト 574及び OS固有鍵マトリクスを用いて、有効力否かを判定する。

[0411] アプリケーションの製造メーカーにおいて、複数のアプリケーションを同一の暗号鍵を用いて同一の方法で暗号ィ匕して出荷して、る場合にっ、て考える。

図 58のアプリ発行鍵マトリクス 601を構成する 16個の鍵のうち、各アプリケーションには、各列から 1個ずつ、合計 4個の発行鍵が割り当てられる。このとき、異なるアプリケーシヨンに割り当てられる発行鍵力個とも一致することがな、ように割り当てられる。一例として、本実施の形態の音楽復号プログラムには、発行鍵 Key— 11、 Key— 3 2、 Key— 23、 Key— 14が割り当てられており、これらの発行鍵は、暗号化音楽復号プログラム 591のアプリ固有鍵マトリクス 592に含まれる。

[0412] 音楽復号プログラムと同一の製造メーカーから出荷されるアプリケーション (アプリ B と呼ぶ）には、発行鍵 Kev 21、 Key 32、 Key 33、 Key 44力 ^害割り当てられており、暗号ィ匕アプリ Bのアプリ発行鍵マトリクスには、これらの 4個の発行鍵が含まれるここで、出荷後にアプリ Bが無効化すべきプログラムであることが判明すると、無効ィ匕リスト発行装置には、アプリ無効化情報 604が追加される。アプリ無効化情報 604 は、アプリ Bに割り当てられた 4個の発行鍵と対応する列番号と行番号から構成されている。アプリ無効化情報 604に基づいて生成されたアプリマトリクス無効化リスト 61 1は、図 60に示すように、行列要素 M21、 M32、 M33及び M44にダミーデータを含んでいるため、暗号ィ匕アプリ Bに割り当てられた 4個の発行鍵では、復号鍵を生成することができない。

[0413] 図 58に示すように、音楽復号プログラムにも Key— 32が割り当てられている力図 64のフローチャートを用いて説明した検証動作によると、その他の発行鍵によって、復号鍵を生成することができる。

このように、各アプリケーションに複数の発行鍵を割り当てておき、アプリ無効化リストと発行鍵とを用いて、復号鍵を生成する構成であれば、同一の方法で暗号化されて、ても、無効化すべきアプリケーションだけを無効化することができる。

[0414] さらに、暗号'復号部 586は、セキュアメモリ 613とバスとを切断する際にセキュア O S及び音楽復号プログラムを初めとするアプリケーションを再度暗号ィ匕する。従って、通常メモリ上のプログラムが CPUを使用して!/、る間、セキュアメモリ 613上のプロダラムをより確実に保護することができる。また、このような構成の場合メモリ保護部は、物理的にバスとセキュアメモリ 613とを切断しなくてもよい。

[0415] 3. 4変形例

(1)実施の形態 3において、メモリ保護部 571は、切替制御部 106から、接続指示を受ける度に、通信制御部を介して、最新の OSマトリクス無効化リスト及びアプリマトリクス無効化リストを取得して、これらを更新し、セキュアメモリ 613上の各プログラムを検証している。しかし、 OSマトリクス無効化リスト及びアプリマトリクス無効化リストの更新、セキュアメモリ 613上の各プログラムの検証を行うタイミングは、これに限るものではない。

[0416] 一例として、携帯電話の起動時でもよいし、 1日に 1回というように、定期的に行っても良い。また、起動時には、 OSマトリクス無効化リスト及びアプリマトリクス無効化リストの更新を行い、起動時以降に接続指示を受け取った際に、プログラムの検証を行うとしても良い。

また、各プログラムを起動する際、例えば、通常 OSからセキュア OSへの切替処理の際には、セキュア OSの検証を行い、セキュア OSが音楽復号プログラムを起動する際に音楽復号プログラムの検証を行うとしてもよい。

[0417] また、メモリ保護部 571から無効化リスト発行装置へリスト要求を送信し、最新の OS マトリクス無効化リスト及びアプリマトリクス無効化リストを取得して、るが、新たに無効化すべきプログラムが判明し、 OSマトリクス無効化リスト及びアプリマトリクス無効化リストを作成しなおした際に、無効化リスト発行装置から携帯電話へ送信されるとしてもよい。

[0418] (2)携帯電話は、インターネットを介して、最新の OSマトリクス無効化リスト及びアブリマトリタス無効化リストを取得している力メモリカードなどの記録媒体力取得しても良い。

(3)これまで、本発明の 1つの実施の形態として携帯電話について説明してきたが、以下に説明するような LANを構成する通信機器であるとしてもよい。

[0419] LANを構成する機器のうち、ずれかひとつが、最新の無効化リストを取得し、他の機器に配布するとしても良い。

一例として、図 65に示すような、ホームネットワークを形成する機器である。ホームネットワークは、 PC (Personal Computer) 650、ノート PC651、 DVDプレーヤー 6 52、ホームサーバ 653、電子レンジ 654をバスによって接続して構成される。

[0420] 各機器は、通常のオペレーティングシステムやアプリケーションからは、直接ァクセスすることができないセキュアメモリを備えており、セキュアメモリ上にロードして実行する各種のアプリケーションやオペレーティングシステムの有効性を検証する機能を有する。

ホームサーバ 653は、インターネット 20と接続されており、定期的に無効化リスト発行装置 250へ、アプリ無効化リスト及び OS無効化リストを要求する。インターネットを介して、無効化リスト発行装置 250から最新のアプリ無効化リスト及び OS無効化リストを取得する。取得した無効化リストを、バスを介して、ホームネットワークを構成する各機器へ出力する。

4.実施の形態 4

本発明の実施の形態 4について、以下に説明する。

[0421] 4. 1携帯電話の構成

本実施の形態の携帯電話は、実施の形態 1の携帯電話 100と同様に、デバッガ IF 、 CPU102、 MMU、二次記憶部、切替制御部、割込コントローラ、入力部、表示部、通常メモリ、共有メモリ、セキュアメモリ 713、メモリ保護部 701、入出力部、暗号処理デバイス、無線通信制御部、マイク、スピーカ、通信部、アンテナ、バッファ、符号処理部、 DZA変換部カゝら構成され、各回路はノスに接続されている。

[0422] 本実施の形態の携帯電話において、メモリ保護部 701及びセキュアメモリ 713以外の各部の構成及び動作は、実施の形態 1と同様であるので、説明を省略し、ここでは、本実施の形態の特徴部分についてのみ説明する。

(1)セキュアメモリ 713

セキュアメモリ 713は、図 66に示すように、音楽復号プログラム 704、通信鍵生成プログラム 706などのセキュアアプリケーション及びセキュア OS707を記憶している。

[0423] 音楽復号プログラム 704は、実施の形態 1の音楽復号プログラム 176と同様の音楽復号の処理手順を含むセキュアアプリケーションである。

通信鍵生成プログラム 706は、携帯電話力インターネットを介してコンテンツの送受信を行う際の暗号鍵を生成するセキュアアプリケーションである。

セキュア OS707は、実施の形態 1のセキュア OS171と同様のオペレーティングシステムである。

[0424] ここで、セキュアメモリ 713上の各プログラムは、セキュアメモリ上に起動されると、自身のアクセス情報をアクセス管理部 702へ出力する。アクセス情報とは、各プログラムがアクセス可能なメモリ領域のアドレスである。

(2)メモリ保護部 701

メモリ保護部 701は、図 66に示すようにアクセス管理部 702と信号監視部 703とを含んで構成される。 [0425] アクセス管理部 702は、セキュアメモリ 713上の各プログラムからアクセス情報を受け取り、受け取ったアクセス情報を該当するプログラムと対応付けて記憶している。また、各プログラムごとに不正アクセスの回数を計数するカウンタを備えている。

信号監視部 703は、予め、各プログラムの不正アクセスの許される回数 (許容回数）を記憶している。信号監視部 703は、セキュアメモリ 713と CPUとの間のバス上の信号を監視し、 CPUのアクセス対象となっているセキュアメモリ 713上のアドレスを検出する。

[0426] 次に、アクセス管理部 702から、現在実行中のプログラムのアクセス情報を読み出し、読み出したアクセス情報と検出したアドレスとを比較する。検出したアドレスが、読み出したアクセス情報の示す記憶領域に含まれていれば、そのまま、監視を続ける。含まれて!/、なければ、アクセス管理部 702が該当するプログラムと対応付けて記憶しているカウンタに 1加算する。次に、カウンタと記憶している許容回数とを比較する。カウンタが許容回数以下であれば、そのまま監視を続ける。

[0427] カウンタが許容回数を超えていれば、該当するプログラムが不正であると判定する。

ここで、不正であると判定されたプログラムが音楽復号プログラム 704であった場合、信号監視部 703は、強制的に、音楽復号プログラム 704の実行を中止し、セキュア OS707に CPU102の実行権を移す。

不正であると判定されたプログラムがその他のセキュアアプリケーションである場合も同様である。

[0428] 不正であると判定されたプログラムがセキュア OS707である場合、信号監視部 703 は、強制的に、セキュア OS707の実行を中止し、 CPU102及び MMUをクリアし、切替制御部へ切替指示を出力する。

4. 2まとめ'効果

以上説明してきたように、本発明の携帯電話は、セキュアメモリ 713にロードされている各プログラムの動作を監視し、不正の動作を繰り返すプログラムの実行を中止する。このようにすることで、万一、セキュアメモリ 713中のプログラムに欠陥があった場合や、実行途中で不正な改ざんが加えられた場合でも、これらのプログラムの実行を停止することができる。 [0429] 4. 3実施の形態 4の変形例

(1)上記の実施の形態では、メモリ保護部 701は、信号監視部 703により、ノス上の信号を監視することで不正な動作を検出している力これに代わって、定期的に C PUのプログラムカウンタ値を監視するとしても良い。

(2)上記の実施の形態では、セキュアメモリ 713上の各プログラム力起動時に、各プログラムごとに異なるアクセス情報をアクセス管理部 702出力し、信号監視部 703 は、これらのアクセス情報を基に、各プログラムの動作を監視している力予め、ァクセス管理部 702が、セキュアメモリ 713上のアクセス禁止領域を示す情報を記憶しているとしてもよい。この場合、いずれのプログラムが実行中であっても、禁止領域にァクセスしょうとすると、信号監視部は、 CPU102によるプログラム実行を中止し、 CPU 102及び MMUをクリアし、切替制御部へ切替指示を出力する。

[0430] (2)本実施の形態において、メモリ保護部 701は、実施の形態 2において説明したように、無効化リスト記憶部、アプリ検証部、アプリ無効化部、 OS検証部、 OS無効化部を備えており、切替制御部から接続指示を受けると、セキュアメモリ上の各プロダラムが有効である力否かを判定するとしてもよ、。

この構成において、信号監視部 703は、動作途中に不正な動作を行うプログラムを発見し、そのプログラムの動作を停止させると共に、無効化リスト記憶部の記憶している OS無効化リスト又はアプリ無効化リストに、不正動作を行ったプログラムと対応するセキュア OSID又はアプリ IDを追加する。

[0431] このようにすることで、新たに発見された無効なプログラムを、再度、実行することがなくなる。

5.実施の形態

本発明の実施の形態 5について以下に説明する。

実施の形態 5の携帯電話 750は、 2枚のメモリカードを装着する。メモリカードのうち一方には、 OS (オペレーティングシステム)及び、各種のアプリケーションが記憶されており、携帯電話 750は、これらのプログラムを読み出して実行する。説明の便宜上このメモリカードを通常メモリカード 800と呼ぶ。

[0432] もう一方のメモリカードには、保護されるべき処理を行うプログラムが暗号化されて記憶されている。各プログラムは、プログラム部分とデータ部分とから構成される。説明の便宜上、このメモリカードをセキュアメモリカード 820と呼ぶ。

携帯電話 750は、セキュアメモリカード 820上の各プログラム力他のプログラムのプログラム部分を読み出すことは許可する力 S、他のプログラムのデータ部分を読み出すことを禁止する。

[0433] 5. 1 セキュアメモリカード 820

セキュアメモリカード 820は、図 67に示すように、入出力部 821及び情報記憶部 83 0から構成される。

セキュアメモリカード 820は、具体的にはマイクロプロセッサ、 RAM及び ROMを含んで構成されるコンピュータシステムであり、前記 RAM、 ROMにはコンピュータプログラムが記憶されている。前記マイクロプロセッサが前記コンピュータプログラムに従つて動作することにより、セキュアメモリカード 820は、その機能の一部を達成する。

[0434] 入出力部 821は、外部機器との間で情報の入出力を行う。

情報記憶部 830は、セキュア ID850、暗号ィ匕音楽復号プログラム 831、暗号化鍵生成プログラム 841などを記憶して、る。

セキュア ID850は、セキュアメモリカード 820に固有の情報であり、セキュアメモリ力ード 820がセキュアな処理を行うプログラムを格納して!/、ることを示して!/、る。

[0435] 暗号化音楽復号プログラム 831は、 ID832「A」、暗号化復号プログラム 834及び暗号ィ匕復号データ 836を含む。 ID832「A」は、暗号ィ匕音楽復号プログラム 831に固有の識別情報である。

暗号ィ匕復号プログラム 834は、音楽データを復号する手順を含む復号プログラムを暗号ィ匕して生成されたものであり、暗号ィ匕復号データ 836は、復号プログラムが復号の処理に使用するパラメータなどのデータを暗号ィ匕したものである。

[0436] 暗号化鍵生成プログラム 841は、 ID842「B」、暗号化生成プログラム 844、暗号化鍵データ 846を含んで構成される。

ID842「B」は、暗号ィ匕鍵生成プログラム 841に固有の識別情報である。暗号化生成プログラム 844は、暗号鍵を生成する手順を含む生成プログラムを暗号ィ匕したものであり、暗号ィヒ鍵データ 846は、前記生成プログラムの使用するパラメータなどのデータを暗号ィ匕したものである。

[0437] 5. 2 通常メモリカード 800

通常メモリカード 800は、図 68に示すように、入出力部 801と情報記憶部 802とを含んで構成される。

入出力部 801は、情報記憶部 802と外部機器との間で、各種のデータの入出力を行う。

[0438] 情報記憶部 802は、音楽再生プログラム 808を初めとする各種のアプリケーション及び OS806を記憶している。情報記憶部 802に記憶されているプログラムは、それぞれのプログラムが実行する処理の手順を含むコード部とデータ部とから構成される。また、それぞれのプログラムに固有のプログラム IDを有している。一例として、 OS8 06は、プログラム ID「OS」を有しており、音楽再生プログラム 808は、プログラム ID「 E」を有している。

[0439] 5. 3 携帯電話 750

携帯電話 750ίま、図 68【こ示すよう【こ、デノッガ IF751、 CPU752, MMU753,害 ij 込コントローラ 757、入力部 758、表示部 759、メモリ 761、メモリ保護部 764、入出力部 765、入出力部 766、無線通信制御部 768、通信部 771、アンテナ 772、マイク 76 9、スピーカ 770、ノッファ 773、符号処理咅 774、 D/A変換咅 776をノス 760【こよつて接続して構成される。

[0440] デバッガ IF751、 MMU753、割込コントローラ 757、入力部 758、表示部 759、無線通信制御部 768、通信部 771、アンテナ 772、マイク 769、スピーカ 770、バッファ 773、符号処理部 774DZA変換部 776の動作及び構成は実施の形態 1と同様であるのでここでは説明を省略する。また、メモリ 761は、各種のデータ及びプログラムを記憶しており、 CPU752は、メモリ 761、通常メモリカード 800及びセキュアメモリカード 820に記憶されているプログラムに含まれる命令を 1個ずつフェッチし、フェッチした命令を解読し実行する。

[0441] 以下に、本実施の形態の特徴部分であるメモリ保護部 764、入出力部 765、入出力部 766について説明する。

(1)入出力部 765及び入出力部 766 入出力部 765及び入出力部 766は、 2枚のメモリカードのいずれかと接続され、メモリカードとメモリ保護部 764との間で、情報の入出力を行う。

[0442] (2)メモリ保護部 764

メモリ保護部 764は、図 69に示すように、復号部 781、復号鍵記憶部 782、ァクセス制御部 783、鍵記憶部 784、メモリ情報記憶部 785及び ID検出部 786から構成される。

(2 - 1)鍵記憶部 784

鍵記憶部 784は、暗号ィ匕音楽復号プログラム 831の復号鍵及び暗号ィ匕鍵生成プログラム 841の復号鍵をそれぞれのプログラムの IDと対応付けて記憶している。

[0443] (2— 2)復号部 781及び復号鍵記憶部 782

復号部 781は、アクセス制御部 783のから、復号指示及び暗号文を受け取る。復号指示を受け取ると、復号鍵記憶部 782から復号鍵を読み出し、読み出した復号鍵を用いて、暗号ィ匕データを復号し、平文を生成する。生成した平文を CPU752へ出力する。

ここで復号部 781が復号する暗号ィ匕データは、セキュアメモリカード 820に記憶されて、る暗号ィ匕音楽復号プログラム 831、暗号ィ匕鍵生成プログラム 841を構成する暗号化データである。

[0444] 復号鍵記憶部 782は、復号部 781の使用する復号鍵を 1個だけ格納している。

(2— 3)メモリ情報記憶部 785

メモリ情報記憶部 785は、図 70に示すように、セキュアメモリ情報テーブル 811及び通常メモリ情報テーブル 861を記憶して、る。

セキュアメモリ情報テーブル 811は、複数のセキュアメモリ情報 812、 813 · · 'から構成される。各セキュアメモリ情報は、プログラムお、コードアドレス及びデータァドレスを含む。

[0445] プログラム IDは、セキュアメモリカード 820に記憶されている各プログラムの IDである。コードアドレスは、セキュアメモリカード 820内に記憶されている暗号化アプリケーシヨンのプログラム部分の格納されて、る領域を示すアドレスである。データアドレスは、暗号ィ匕アプリケーションのデータ部分が格納されて、る領域を示すアドレスである。

[0446] 具体的には、セキュアメモリ情報 812は、プログラム IDとして、暗号化音楽復号プログラム 831の ID「A」832と、コードアドレスとして、暗号化復号プログラム 834の記憶されているアドレス「AOOO— Al l l」と、データアドレスとして、暗号化復号データ 83 6の記憶されて!、るアドレス「A222— A333」を含んで!/、る。

セキュアメモリ情報 813は、プログラム IDとして、暗号化鍵生成プログラム 841の ID 「B」842と、コードアドレスとして、暗号化生成プログラム 844の記憶されているァドレス ΓΑ444— A555」と、データアドレスとして、暗号化鍵データ 846の記憶されているアドレス「A666— A777」を含んで!/ヽる。

[0447] 通常メモリ情報テーブル 861は、複数の通常メモリ情報 862、 863 · · ·を含んで構成され、各通常メモリ情報は、プログラムお、コードアドレス及びデータアドレスを含む。

プログラム IDは、通常メモリカード 800上に記憶されているプログラムの IDであり、コードアドレスは、プログラム IDと対応するプログラムのプログラム部分が記憶されている領域を示すアドレスであり、データアドレスは、データ部分が記憶されている領域のアドレスである。

[0448] 具体的に、通常メモリ情報 862は、通常メモリカード 800上に記憶されている OS80 6と対応しており、通常メモリ情報 863は、音楽再生プログラム 808と対応している。

(2— 4) ID検出部 786

ID検出部 786は、 CPU752のプログラムカウンタ（以下 PC)を常時監視しており、 CPU752力セキュアメモリカード 820上のプログラムを実行している間は、 CPU75 2が実行中のプログラムを示すプログラム IDを記憶している。

[0449] 以下に、図 71のフローチャートを用いて、 ID検出部 786の動作について説明する。なお、説明の便宜上ステップ S801から説明を開始する。このとき、 CPU752は、通常メモリカード 800又はメモリ 761上に記憶されているプログラムを実行している。

ID検出部 786は、 PCを監視し (ステップ S801)、メモリ情報記憶部 785の記憶しているセキュアメモリ情報テーブル 811及び通常メモリ情報テーブル 861に含まれる、各プログラムのコードアドレスと、 PCの示すアドレスとを比較することにより、 PCの示すアドレスがセキュアメモリカード 820上のアドレスであるか否かを判断する（ステップ S802)。

[0450] セキュアメモリカード 820上のアドレスでなければ (ステップ S802の NO)、 PCの監視を継続する。

セキュアメモリカード 820上のアドレスであると判断すると（ステップ S802の YES)、次に、 PC力も検出したアドレスと対応するセキュアメモリ情報をセキュアメモリ情報テ一ブル 811から選択し、選択したセキュアメモリ情報に含まれるプログラム IDを抽出する（ステップ S803)。抽出したプログラム IDを記憶する (ステップ S804)。次に、ァクセス制御部 783へ、セキュアメモリカード 820上のプログラムの実行が開始されることを示すセキュアアクセス通知を出力する（ステップ S805)。

[0451] 次に、 PCを監視し (ステップ S806)、 PCに格納されて!ヽるアドレスがセキュアメモリカード 820上のアドレスであるか否かを判断する（ステップ S807)。

セキュアメモリカード 820上のアドレスであると判断すると（ステップ S807の YES)、 PC力検出したアドレスと対応するセキュアメモリ情報をセキュアメモリ情報テーブル 811から選択し、選択したセキュアメモリ情報に含まれるプログラム IDを抽出する (ステツプ S809)。抽出したプログラム IDと ID検出部 786自身の記憶しているプログラム IDとを比較する。両者が一致していれば (ステップ S811の YES)、ステップ S806へ戻って、 PCの監視を続ける。

[0452] 両者が一致してヽな、場合 (ステップ S811の NO)、記憶して!/、るプログラム IDを抽出したプログラム IDに書き換え (ステップ S812)、ステップ S806へ戻る。

ステップ S807において、セキュアメモリカード 820上のアドレスでないと判断すると（ステップ S807の NO)、 ID検出部 786自身の記憶しているプログラム IDを消去し (ステツプ S814)、ステップ S801へ戻る。

[0453] (2— 5)アクセス制御部 783

アクセス制御部 783は、予め、セキュアメモリカード 820に書き込まれているセキュァ IDを記憶している。

入出力部 765及び入出力部 766を介して、メモリカードが装着されたことを検出する。メモリカードの装着を検出すると、メモリカードに書き込まれているデータを検索する。記憶しているセキュア IDと同一のセキュア ID850を検出した場合、そのメモリカードがセキュアメモリカード 820であることを検知する。ここでは、入出力部 265が、通常メモリカード 800と接続されており、セキュアメモリカード 820がセキュアメモリカード 8 20と接続されて、る場合を想定する。

[0454] アクセス制御部 783は、入出力部 765を介して通常メモリカード 800の装着を検出すると、入出力部 765を介して、通常メモリカード 800に記憶されている情報をサーチし、通常メモリ情報テーブルを生成し、生成した通常メモリ情報テーブルをメモリ情報記憶部 785へ格納する。

また、入出力部 766を介して、セキュアメモリカード 820の装着を検出すると、入出力部 766を介して、セキュアメモリカード 820に記憶されている情報をサーチし、セキユアメモリ情報テーブルを生成し、生成したセキュアメモリ情報テーブルをメモリ情報記憶部 785に書き込む。

[0455] アクセス制御部 783は、 CPU752が通常メモリカード 800へアクセスする際に、 CP U752から出力される信号 (以下アクセス信号と呼ぶ）を、そのまま通常メモリカード 8 00へ仲介し、また、通常メモリカード 800から、出力されるデータを受け取り、受け取つたデータを CPU752へ出力する。

CPU752がセキュアメモリカード 820へアクセスする際には、アクセス信号からァクセス先のアドレスを抽出し、抽出したアドレスによって、セキュアメモリカード 820データの読み出し又読み出しの禁止を行う。このような、アクセス制御部 783の動作について、図 71、 72に示すフローチャートを用いて、詳細に説明する。なお、説明の便宜上、ステップ S821から説明を始める。このとき、 CPU752は、通常メモリカード 800又はメモリ 761上のプログラムを実行して、る。

[0456] アクセス制御部 783は、 CPU752と通常メモリカード 800との間で、データの入出力を仲介する (ステップ S821)。

ID検出部 786から、セキュアメモリカード 820上のプログラムの実行が開始されることを示すセキュアアクセス通知を受け取る（ステップ S805)。

セキュアアクセス通知を受け取ると、アクセス制御部 783は、デバッガ IF751を無効化し (ステップ S823)、 ID検出部 786に記憶されているプログラム IDを読み出す (ステツプ S824)。読み出したプログラム IDと対応する復号鍵を鍵記憶部 784から読み出し (ステップ S826)、読み出した復号鍵を復号鍵記憶部 782へ書き込む (ステップ S827)。

[0457] 次に、 CPU752から出力されるアクセス信号を受け取り、受け取ったアクセス信号から、アクセス先のアドレスを検出する（ステップ S829)。

アクセス先のアドレスを検出すると、 ID検出部 786からプログラム IDを読み出す (ステツプ S831)。プログラム IDを読み出すと（ステップ S832の YES)、コードアドレス又はデータアドレスに検出したアクセス先アドレスを含むセキュアメモリ情報を、セキュアメモリ情報テーブル 811から選択し、選択したセキュアメモリ情報力もプログラム IDを抽出する (ステップ S834)。

[0458] 抽出したプログラム IDと ID検出部 786から読み出したプログラム IDとを比較し、両者が一致していれば (ステップ S836の YES)、ステップ S 844へ処理を移す。

両者が一致していない場合 (ステップ S836の NO)、アクセス制御部 783は、さらに、検出したアドレスが、選択したセキュアメモリ情報のコードアドレスに含まれているの力データアドレスに含まれているのかを判定する（ステップ S838)。データアドレスに含まれていると判定した場合 (ステップ S838の NO)、アクセスが許可できないことを示すエラー通知を CPU752へ出力し、ステップ S829へ戻る。

[0459] コードアドレスに含まれると判定した場合 (ステップ S838の YES)、抽出したプログラム IDと対応する復号鍵を、鍵記憶部 784から読み出し、復号鍵記憶部 782の記憶している復号鍵を、読み出した復号鍵に変更する (ステップ S842)。

次に、入出力部 766を介して検出したアドレスに該当する記憶領域に記憶されている情報を読み出す (ステップ S844)。読み出した情報の復号を復号部 781へ指示し ( ステップ S846)、ステップ S829へ戻る。

[0460] ステップ S832において、 ID検出部 786に記憶されているプログラム IDが存在しない場合 (ステップ S832の NO)、アクセス制御部 783は、復号鍵記憶部 782に記憶されている復号鍵を消去し (ステップ S851)、デバッガ IF751を有効にし (ステップ S85 2)ステップ S821へ戻る。

5. 4 まとめ'効果以上、説明してきたように、本発明の携帯電話は、通常メモリカード及びセキュアメモリカードに記憶されて、るプログラムを実行する。セキュアメモリカードに記憶されて

V、るプロダラは予め暗号化されて!/、る。

[0461] メモリ保護部 764は、 CPU752がセキュアメモリカード 820に記憶されているプログラムを実行する際に、実行中のプログラムによって、アクセスを許可する領域と、禁止する領域とを管理している。

音楽復号プログラムが実行される場合を例に説明すると、 CPU752は、暗号化音楽復号プログラム 831に含まれる暗号ィ匕音楽復号プログラム 831の記憶されている領域と、暗号ィ匕鍵生成プログラムの暗号ィ匕生成プログラム 844の記憶されて、る領域にアクセスすることはできる力暗号化鍵生成プログラムの暗号化鍵データ 846の記憶されて、る領域にはアクセスできな!/、。

[0462] このようにして、セキュアメモリカード 820上の各アプリケーションは、他のアプリケーシヨンから、自身のデータ部にアクセスされ、不正にデータを読み出し、変更されることを回避できる。

また、セキュアメモリカード 820に記憶されている情報は、暗号ィ匕されているため、セキュアメモリカード 820上のプログラム以外のプログラムを CPU752が実行している途中に、セキュアメモリカード 820にアクセスした場合でも、解読することができない。従って、セキュアメモリカード 820上のデータを不正なアクセス力も保護することができる。

5. 5 実施の形態 5に関する変形例

上記の実施の形態では、セキュアメモリカード 820上のセキュアアプリケーションの実行中に CPU752が、他のアプリケーションのデータ部分にアクセスしようとした場合、アクセス制御部 783は、 CPU752にエラー通知を出力している力実施の形態 4 の場合と同様に、他のプログラム、例えば OS806に CPU752の実行権を移すとしても良い。この場合、アクセス制御部 783は、復号鍵記憶部 782に記憶されている復号鍵を消去し、 OS806の記憶されて!、るアドレスを CPU782のプログラムカウンタに設定する。

6. その他の変形例以上、実施の形態 1一 5によって、本発明について説明してきた力本発明は、これらの実施の形態に限定されるものではなぐ以下のような場合も含む。

[0463] (1)本発明は、上記の実施の形態 1一 3及び変形例を実行する方法であってもよい

(2)また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもょ、し、前記コンピュータプログラム力もなるデジタル信号であるとしてもょ、。また、本発明は、前記コンピュータプログラム又は前記デジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、 CD-RO M、 MO、 DVD, DVD-ROM, DVD— RAMゝ BD (Blu— ray Disc)、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている前記コンピュータプログラム又は前記デジタル信号であるとしてもよい。

[0464] また、本発明は、前記コンピュータプログラム又は前記デジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。

また、本発明は、マイクロプロセッサとメモリとを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムに従って動作するとしてもよい。

[0465] また、前記プログラム又は前記デジタル信号を前記記録媒体に記録して移送することにより、又は前記プログラム又は前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい

(3)上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよ！/、。

産業上の利用可能性

[0466] 本発明を構成する各装置及び記録媒体は、保護される必要のある情報を取り扱う産業、例えば、映像及び音声を含むコンテンツの作成、配給に係る産業、及び、これらの情報を取り扱う電器機器を製造し、販売する産業において、経営的に、また継続的及び反復的に使用することができる。また、本発明を構成する各装置及び記録媒体は、電器機器製造産業において、経営的に、また継続的及び反復的に、製造し、販売することができる。

Claims

請求の範囲

[1] 保護対象のセキュアリソースの利用が許可されるセキュアモードと、保護対象外の通常リソースの利用のみが許可される通常モードとを切り替えて、プログラムを実行するデータ処理装置であって、

前記通常リソースを利用する 1つ以上の処理手順力構成される通常プログラムを記憶して!/、る通常記憶手段と、

前記セキュアリソースを利用する 1つ以上の処理手順力構成され、少なくとも前記通常プログラムを呼び出す呼出命令を含むセキュアプログラムを記憶しているセキュァ記憶手段と、

セキュアモードにおいて、次に実行すべき命令が、前記呼出命令であるか否かを判断する判断手段と、

セキュアモードにおいて、前記呼出命令であると判断される場合に、当該呼出命令により呼び出される前記通常プログラムを示す識別情報を出力する出力手段と、前記呼出命令であると判断される場合に、セキュアリソースを保護して、セキュアモードから通常モードに切り替える切替手段と、

通常モードにお!、て、前記識別情報を受け取る受取手段と、

通常モードにおいて、受け取った前記識別情報により示される前記通常プログラムを前記通常記憶手段から読み出す読出手段と、

通常モードにおいて、読み出した通常プログラムに従って動作する処理手段とを備えることを特徴とするデータ処理装置。

[2] 前記切替手段は、前記セキュアプログラムを制御するセキュアオペレーティングシステムを中断させ、前記通常プログラムを制御する通常オペレーティングシステムを起動することにより、セキュアモードから通常モードに切り替える

ことを特徴とする請求項 1に記載のデータ処理装置。

[3] 前記データ処理装置は、セキュアモード及び通常モードの両方において、アクセスが許可される共有記憶領域を備え、

前記出力手段は、セキュアモードにおいて、前記識別情報を前記共有記憶領域に書き込むことにより、前記識別情報を出力し、前記受取手段は、通常モードにおいて、前記共有記憶領域から前記識別情報を読み出すことにより、前記識別情報を受け取る

ことを特徴とする請求項 2に記載のデータ処理装置。

[4] 前記読出手段は、前記識別情報と前記通常記憶手段における前記通常プログラムの存在位置を示す位置情報とを対応付けて記憶しており、受け取った前記識別情報に対応する位置情報により示される存在位置力前記通常プログラムを読み出すことを特徴とする請求項 3に記載のデータ処理装置。

[5] 前記通常プログラムを構成する 1つの処理手順は、ライブラリを構成する複数の関数を含み、他の処理手順は、前記複数の関数のうちのいずれかを呼び出し、前記処理手段は、前記他の処理手順に従って動作する場合に、当該他の処理手順により呼び出される関数に従って動作する

ことを特徴とする請求項 3に記載のデータ処理装置。

[6] 前記データ処理装置は、さらに、

セキュアモードにお、て、前記セキュアプログラムの前記セキュア記憶手段への書き込みを示す書込指示を受け取る指示取得手段と、

セキュアモードにおいて、前記書込指示を取得した場合に、前記セキュア記憶手段に前記セキュアプログラムを書き込み、前記書込みが終了したことを示す書込終了情報を出力するセキュアロード手段とを含み、

前記切替手段は、さらに、前記書込終了情報が出力された場合、セキュアモードから通常モードへ切り替え、

前記データ処理装置は、さらに、通常モードにおいて、前記書込終了情報を受け取り、前記通常記憶手段に前記通常プログラムを書き込む通常ロード手段とを含むことを特徴とする請求項 2に記載のデータ処理装置。

[7] 前記読出手段は、さらに、通常モードにおいて、前記通常ロード手段により前記通常プログラムが前記通常記憶手段に書き込まれた場合に、前記識別情報と前記通常記憶手段における前記通常プログラムの存在位置を示す位置情報とを対応付けて feす。

ことを特徴とする請求項 6に記載のデータ処理装置。

[8] 前記データ処理装置は、さらに、

セキュアモードにおいて、前記セキュアプログラムの削除を指示する削除指示を取得する削除指示取得手段と、

前記削除指示を取得した場合に、セキュアモードにおいて、前記セキュアプロダラムを前記セキュア記憶手段から削除し、前記削除が終了したことを示す削除終了情報を出力するセキュア削除手段とを含み、

前記切替手段は、さらに、前記削除終了情報が出力された場合、セキュアモードから通常モードへ切り替え、

前記データ処理装置は、さらに、

通常モードにおいて、前記削除終了情報を取得し、前記通常記憶手段から前記通常プログラムを削除する通常削除手段を含む

ことを特徴とする請求項 6に記載のデータ処理装置。

[9] 前記読出手段は、前記識別情報と前記通常記憶手段における前記通常プログラムの存在位置を示す位置情報とを対応付けて記憶しており、受け取った前記識別情報に対応する位置情報により示される存在位置力前記通常プログラムを読み出すことを特徴とする請求項 2に記載のデータ処理装置。

[10] 前記データ処理装置は、さらに、

前記処理手段を含む当該データ処理装置の備える 1以上のデバイスを初期化する初期化手順及び前記セキュアオペレーティングシステムを起動する起動手順を含むブートプログラムを記憶しているブートプログラム記憶手段と、

前記ブートプログラム記憶手段から、前記ブートプログラムを読み出し、読み出した前記ブートプログラムに従って、前記デバイスを初期化し、初期化の完了後に、セキユアオペレーティングシステムを起動する初期化手段とを備える

ことを特徴とする請求項 2に記載のデータ処理装置。

[11] 前記データ処理装置は、さらに、

、て、前記処理手段による処理結果と前記セキュアプログラムを示すセキュア識別情報とを出力する通常出力手段を含み、

前記切替手段は、さらに、前記処理結果が出力された場合、通常モードからセキュアモードへ切り替え、前記データ処理装置は、さらに、

、て、前記処理結果と前記セキュア識別情報とを受け取るセキユア受取手段と、

受け取った前記セキュア識別情報に対応する前記セキュアプログラムを前記通常記憶手段から読み出すセキュア読出手段とを含み、

前記処理手段は、さらに、セキュアモードにおいて、前記処理結果を用いて、前記セキュアプログラムに従って動作する

ことを特徴とする請求項 2に記載のデータ処理装置。

[12] 前記切替手段は、セキュアモードから通常モードに切り替える際に、前記セキュアリソースと前記処理手段とを切断する

ことを特徴とする請求項 2に記載のデータ処理装置。

[13] 前記切替手段は、セキュアモードから通常モードに切り替える際に、前記セキュアリソースに保持されて、るセキュア情報を暗号ィ匕する

ことを特徴とする請求の範囲 2に記載のデータ処理装置。

[14] 前記セキュアリソースに保持されている前記セキュア情報は、セキュアモードにおいて実行され、命令コード部分とデータ部分とスタック部分から構成されるプログラムを含んでおり、

前記切替手段は、セキュアモードから通常モードに切り替える際に、前記命令コード部分を暗号化する

ことを特徴とする請求の範囲 13に記載のデータ処理装置。

[15] 前記セキュアリソースに保持されている前記セキュア情報は、セキュアモードにおいて実行され、命令コード部分とデータ部分とスタック部分から構成されるプログラムを含んでおり、

前記切替手段は、セキュアモードから通常モードに切り替える際に、前記データ部分を暗号化する

ことを特徴とする請求の範囲 13に記載のデータ処理装置。

[16] 前記セキュアリソースに保持されている前記セキュア情報は、セキュアモードにおいて実行され、命令コード部分とデータ部分とスタック部分から構成されるプログラムを含んでおり、

前記切替手段は、セキュアモードから通常モードに切り替える際に、前記スタック部分を暗号化する

ことを特徴とする請求の範囲 13に記載のデータ処理装置。

[17] 前記データ処理装置は、さらに、前記処理手段の動作を監視し、操作するデバッグ装置カゝらデバッグ操作信号を受け付けるデバッグ受付手段を含み、

前記切替手段は、セキュアモードから通常モードに切り替える際に、前記処理手段と前記デバッグ受付手段とを接続し、通常モードからセキュアモードに切り替える際に、前記処理手段と前記デバッグ受付手段とを切断する

ことを特徴とする請求項 2に記載のデータ処理装置。

[18] 前記読出手段は、前記識別情報と前記通常記憶手段における前記通常プログラムの存在位置を示す位置情報とを対応付けて記憶しており、受け取った前記識別情報に対応する位置情報により示される存在位置力前記通常プログラムを読み出すことを特徴とする請求項 1に記載のデータ処理装置。

[19] 第 1オペレーティングシステムと第 2オペレーティングシステムとを切り替え、各オペレーティングシステムにおいて生成されるプロセスを実行状態、実行待ち状態、休止状態のいずれかに遷移させてプロセスを実行し管理する前記データ処理装置であつて、

前記第 1オペレーティングシステムにおいて、第 1プロセスを生成する第 1生成手段と、

前記第 2オペレーティングシステムにおいて、前記第 1プロセスと対応する第 2プロセスを生成する第 2生成手段と、

前記第 1オペレーティングシステムにおいて、前記第 1プロセスの状態遷移を検出する第 1検出手段と、

前記第 1オペレーティングシステムにお、て、検出された状態遷移を示す遷移情報を出力する第 1出力手段と、

前記第 1オペレーティングシステムを前記第 2オペレーティングシステムに切り替える OS切替手段と、

前記第 2オペレーティングシステムにお、て、前記遷移情報を取得する第 2取得手段と、

取得した前記遷移情報に従って、前記第 2プロセスの状態を遷移させる第 2遷移手段と

を備えることを特徴とする請求項 1に記載のデータ処理装置。

[20] 前記データ処理装置は、さらに、

前記第 2オペレーティングシステムにお、て、前記第 2プロセスの状態遷移を検出する第 2検出手段と、

前記第 2オペレーティングシステムにお、て、検出された状態遷移を示す遷移情報を出力する第 2出力手段とを含み、

前記 OS切替手段は、さらに、前記第 2オペレーティングシステムを前記第 1ォペレ一ティングシステムに切り替え、

前記データ処理装置は、さらに、

前記第 1オペレーティングシステムにお、て、前記遷移情報を取得する第 1取得手段と、

取得した前記遷移情報に従って、前記第 1プロセスの状態を遷移させる第 1遷移手段とを含むことを特徴とする請求項 19に記載のデータ処理装置。

[21] 前記データ処理装置は、第 1オペレーティングシステム及び第 2オペレーティングシステムの両方にぉ、て、アクセス可能な共有記憶領域を備え、

前記第 1出力手段は、前記共有記憶領域に前記遷移情報を書き込むことにより、前記遷移情報を出力し、

前記第 2取得手段は、前記共有記憶領域から前記遷移情報を読み出すことによつて、前記遷移情報を取得する

ことを特徴とする請求項 20に記載のデータ処理装置。

[22] 前記第 2出力手段は、前記共有記憶領域に前記遷移情報を書き込むことにより、前記遷移情報を出力し、

前記第 1取得手段は、前記共有記憶領域から前記遷移情報を読み出すことによつて、前記遷移情報を取得する

ことを特徴とする請求項 21に記載のデータ処理装置。

[23] 前記データ処理装置は、前記第 2オペレーティングシステムにおいて管理されて動作するデバイスを含み、

前記第 2プロセスは、前記デバイスの駆動を制御するデバイス駆動プログラムであり前記第 2検出手段は、前記デバイスの動作に伴う前記第 2プロセスの状態遷移を検出する

ことを特徴とする請求項 22に記載のデータ処理装置。

[24] 前記第 1オペレーティングシステムにおいて、前記第 1プロセスが、休止状態から実行状態に遷移した場合、

前記データ処理装置は、前記デバイスへの処理依頼の重複を回避する排他処理を行う前記第 1プロセスに従って動作し、

前記第 1オペレーティングシステムにおいて、前記第 1出力手段は、前記排他処理が終了した後に前記遷移情報を出力する

ことを特徴とする請求項 23に記載のデータ処理装置。

[25] 前記データ処理装置は、さらに、

第 1オペレーティングシステム及び第 2オペレーティングシステムにお、て、割込の発生を検出する割込検出手段と、

前記第 1オペレーティングシステムにおいて、割込が検出された場合、割込発生要因を調査する割込調査手段と、

前記第 1オペレーティングシステムにおいて、割込調査手段により、前記デバイスによる割込であると判断された場合、前記第 1プロセスを休止状態力実行状態に遷移させる割込遷移手段と

を含むことを特徴とする請求項 23に記載のデータ処理装置。

[26] 前記データ処理装置は、さらに、

前記第 2オペレーティングシステムにおいて、割込が検出された場合、割込の検出を示す割込通知情報を出力する通知手段を含み、前記 OS切替手段は、前記第 2オペレーティングシステムを前記第 1オペレーティングシステムに切り替え、

前記第 1取得手段は、さらに、前記第 1オペレーティングシステムにおいて、前記割込通知情報を取得し、

前記割込調査手段は、さらに、第 1オペレーティングシステムにおいて、前記割込通知情報を取得した場合、割込発生要因を調査する

ことを特徴とする請求項 25に記載のデータ処理装置。

[27] 前記通知手段は、割込が検出された場合、前記割込検出手段に対して、割込の検出を停止させ、

前記第 1取得手段は、前記割込通知情報を取得した場合、前記割込検出手段に対して、前記停止を解除する

ことを特徴とする請求項 26に記載のデータ処理装置。

[28] プログラムに従って動作する前記データ処理装置であって、

複数の処理手順力構成されるプログラムを記憶している記憶手段と、前記記憶手段に記憶されている前記プログラムが不正なものであるか否かを判断する正当性判断手段と、

不正なものであると判断される場合に、前記プログラムを無効化する無効化手段とを備えることを特徴とする請求項 1に記載のデータ処理装置。

[29] 前記正当'性判断手段は、

前記記憶手段に記憶されている前記プログラムを示すプログラム識別情報を取得するプログラム情報取得部と、

無効化されたプログラムを示す無効化識別情報を取得する無効化情報取得部と、取得した前記プログラム識別情報と取得した前記無効化識別情報とがー致するか否かを判断する判断部とを含み、

一致すると判断される場合に、前記プログラムが不正であると決定することを特徴とする請求項 28に記載のデータ処理装置。

[30] 前記プログラム情報取得部は、

前記プログラムを示すプログラム識別情報を記憶している識別情報記憶部と、前記識別情報記憶部から前記プログラム識別情報を読み出すことにより取得する読出部とを含み、

前記無効化情報取得部は、

無効化されたプログラムを示す無効化識別情報を記憶している無効化情報記憶部と、

前記無効化情報記憶部から前記無効化識別情報を読み出すことにより取得する読出部とを含む

ことを特徴とする請求項 29に記載のデータ処理装置。

[31] 前記正当性判断手段は、前記プログラムに割り当てられた公開鍵の正当性を証明する公開鍵証明書に基づ、て、前記プログラムが不正なものであるか否かを判断する

ことを特徴とする請求項 28に記載のデータ処理装置。

[32] 前記正当'性判断手段は、

前記公開鍵を識別する公開鍵識別情報を含む前記公開鍵証明書を記憶している証明書記憶部と、

前記公開鍵証明書から前記公開鍵識別情報を取得する公開鍵情報取得部と、無効化された公開鍵を示す無効化識別情報を記憶している無効化情報記憶部と、前記無効化情報記憶部から無効化識別情報を読み出す無効化情報読出部と、取得した前記公開鍵識別情報と読み出した前記無効化識別情報とがー致するか否かを判断する判断部とを含み、

一致すると判断される場合に、前記プログラムが不正であると決定する

ことを特徴とする請求項 31に記載のデータ処理装置。

[33] 前記正当'性判断手段は、さらに、

外部から最新の無効化識別情報を取得し、取得した無効化識別情報を前記無効化情報記憶部に書き込む更新部を含む

ことを特徴とする請求項 32に記載のデータ処理装置。

[34] 前記更新部は、前記記憶手段へのアクセス要求を検出する度に、最新の無効化識別情報を取得することを特徴とする請求項 33に記載のデータ処理装置。

[35] 前記更新部は、 CRL (Certificate Revocation List)発行装置から、ネットワークを介して、前記無効化識別情報を受信し、 CRL発行装置から、ネットワーク及びサーバ装置を介して、前記無効化識別情報を受信し、又は記録媒体から前記無効化識別情報を読み出すことにより、取得する

ことを特徴とする請求項 33に記載のデータ処理装置。

[36] 前記更新部は、さらに、外部から、前記最新の無効化識別情報に対してデジタル署名を施して生成された署名データを取得し、取得した署名データに署名検証を施し、署名検証が成功した場合に、取得した前記無効化識別情報を前記無効化情報記憶部に書き込む

ことを特徴とする請求項 33に記載のデータ処理装置。

[37] 前記正当'性判断手段は、

少なくとも当該公開鍵に対してデジタル署名を施して生成された署名データを含む前記公開鍵証明書を記憶して!/、る証明書記憶部と、

前記証明書記憶部力前記公開鍵証明書を取得する公開鍵証明書取得部と、取得した前記公開鍵証明書に含まれる署名データに、署名検証を施すことにより、取得した前記公開鍵証明書が正しいものであるカゝ否かを検証する検証部とを含み、前記公開鍵証明書が正しいものでないと判断される場合に、前記プログラムが不正であると決定する

ことを特徴とする請求項 31に記載のデータ処理装置。

[38] 前記正当性判断手段は、少なくとも 2個の公開鍵の正当性をそれぞれ証明する少なくとも 2個の公開鍵証明書を用いて、前記記憶手段に記憶されている前記プロダラムが不正なものであるか否かを判断する

ことを特徴とする請求項 28に記載のデータ処理装置。

[39] 前記 2個の公開鍵は、前記プログラムに割り当てられた第 1公開鍵及び前記データ処理装置又は前記プログラムの動作を制御するオペレーティングシステムに割り当てられた第 2公開鍵であり、

前記正当性判断手段は、権威のある認証機関の秘密鍵を用いて、少なくとも前記第 2公開鍵に対してデジタル署名を施して生成された第 2署名データと、前記第 2公開鍵とを含む第 2公開鍵証明書と、

前記データ処理装置又は前記オペ一ティングシステムの秘密鍵を用いて、少なくとも前記第 1公開鍵に対してデジタル署名を施して生成された第 1署名データと、前記第 1公開鍵とを含む第 1公開鍵証明書とを記憶している証明書記憶部と、

前記証明書記憶部から前記第 1公開鍵証明書及び前記第 2公開鍵証明書を取得する公開鍵証明書取得部と、

取得した前記第 2公開鍵証明書に含まれる第 2署名データに、前記認証機関の公開鍵を用いて、署名検証を施すことにより、取得した前記第 2公開鍵証明書が正しいものであるか否かを検証し、

正しいと判定された場合に、前記第 2公開鍵証明書から前記第 2公開鍵を取得し、取得した前記第 1公開鍵証明書に含まれる第 1署名データに、取得した前記第 2公開鍵を用いて、署名検証を施すことにより、取得した前記第 1公開鍵証明書が正しいものである力否かを検証する検証部とを含み、

前記第 2公開鍵証明書が正しいものでないと判断される場合及び前記第 1公開鍵証明書が正しいものでないと判断される場合に、前記プログラムが不正であると決定する

ことを特徴とする請求項 38に記載のデータ処理装置。

[40] 前記正当性判断手段は、前記記憶手段へのアクセス要求を検出する度に、前記判断をする

ことを特徴とする請求項 28に記載のデータ処理装置。

[41] 前記正当性判断手段は、前記記憶手段に記憶されているプログラムへのアクセス要求を検出する度に、前記判断をする

ことを特徴とする請求項 40に記載のデータ処理装置。

[42] 前記正当性判断手段は、当該データ処理装置へ電力供給が開始された直後に、前記判断をする

ことを特徴とする請求項 28に記載のデータ処理装置。

[43] 暗号化されたプログラムを復号して実行する前記データ処理装置であって、前記記憶手段は、前記プログラムに代えて、プログラム鍵を用いて、前記プログラムに暗号ィ匕アルゴリズムが施されて生成された暗号ィ匕プログラムを記憶しており、前記正当性判断手段は、

P個の暗号鍵から選択された m個の暗号鍵を記憶している暗号鍵記憶部と、前記 m個の暗号鍵のそれぞれを用いて、前記プログラム鍵及び所定の検知情報のいずれかが暗号化されて生成された m個の暗号ィ匕情報を、 m個の前記暗号鍵に対応づけて記憶している暗号化情報記憶部と、

前記 m個の暗号鍵のそれぞれを用いて、対応する暗号ィ匕情報に復号アルゴリズムを施して、 m個の復号情報を生成する復号部と、

生成された m個の復号情報の全てが、前記検知情報であるか否かを判断する判断部とを含み、

生成された m個の復号情報の全てが、前記検知情報であると判断される場合に、前記プログラムが不正なものであると決定する

ことを特徴とする請求項 28に記載のデータ処理装置。

[44] 前記 p個の暗号鍵は、 n行 m列 (p=nX m)の第 1行列の各要素位置に配されており、前記第 1行列の各列から 1個の暗号鍵が選択されることにより、前記第 1行列から m個の暗号鍵が選択され、

前記暗号鍵記憶部は、前記第 1行列において、各暗号鍵が配された要素位置を、各暗号鍵に対応付けて記憶しており、

前記暗号化情報記憶部は、 n行 m列の第 2行列において、各暗号化情報に対応する暗号鍵が配されている要素位置と同じ要素位置において、当該暗号化情報を記憶しており、

復号部は、前記暗号鍵記憶部から、暗号鍵と対応する要素位置を読み出し、前記暗号ィ匕情報記憶部の第 2行列において、前記読み出した要素位置と同じ要素位置に配されている暗号ィ匕情報を読み出し、読み出した前記暗号鍵を用いて、読み出した前記暗号化情報に復号アルゴリズムを施す

ことを特徴とする請求項 43に記載のデータ処理装置。

[45] 前記データ処理装置であって、

データを記憶するためのメモリ手段と、

複数の処理手順力構成されるプログラムに従って動作するプロセッサと、前記メモリ手段と前記プロセッサとの間に配置され、前記プロセッサから出力される前記メモリ手段宛の転送データが転送制限条件を満たしているか否かを判断し、転送制限条件を満たしていると判断する場合に、前記メモリ手段への転送データの転送を抑制し、転送制限条件を満たしていないと判断する場合に、前記メモリ手段への転送データの転送を行う監視手段と

[46] 前記監視手段は、複数のアプリケーションプログラム毎に、転送制限条件を記憶しており、前記プロセッサにより実行されるアプリケーションプログラム毎に、転送制限条件を選択し、選択した転送制限条件を用いる

ことを特徴とする請求項 45に記載のデータ処理装置。

[47] 前記転送制限条件は、前記メモリ手段内の所定の記憶空間を示すアドレス範囲情報であり、

前記監視手段は、前記転送データからアドレス情報を抽出し、抽出したアドレス情報力前記アドレス範囲情報に含まれる場合に、前記転送データの転送を抑制することを特徴とする請求項 46に記載のデータ処理装置。

[48] 前記転送制限条件は、前記メモリ手段内の所定の記憶空間へのアクセス回数の上限を示す制限回数であり、

前記監視手段は、過去における前記記憶空間へのアクセスの累積回数を記憶しており、前記転送データ力アドレス情報を抽出し、抽出したアドレス情報が、前記アドレス範囲情報に含まれる場合に、前記累積回数に 1を加算し、加算して得られたカロ算後回数が、前記制限回数を超える場合に、前記転送データの転送を抑制することを特徴とする請求項 46に記載のデータ処理装置。

[49] 前記監視手段は、前記プロセッサに接続されるバス上において転送される前記転送データが転送制限条件を満たしている力否かを判断する

ことを特徴とする請求項 46に記載のデータ処理装置。

[50] 前記メモリ手段は、暗号鍵を用いて、前記プロセッサにより実行されている現プログラムとは異なるアプリケーションプログラムのコード部分とデータ部分とがそれぞれ暗号化されて生成された暗号化コード及び暗号化データを記憶しており、

前記転送制限条件は、前記メモリ手段内において前記暗号化データが格納されて V、る記憶空間を示すアドレス範囲情報であり、

前記監視手段は、前記暗号化コード及び暗号化データを復号するための復号鍵を記憶しており、前記転送データ力アドレス情報を抽出し、抽出したアドレス情報が、前記暗号ィ匕コードが格納されている記憶空間を示すアドレス範囲内にある場合に、前記復号鍵を用いて、前記転送データにより示される記憶空間に存在する暗号ィ匕コ一ドを復号して復号コードを生成し、生成した復号コードを前記プロセッサへ転送し、抽出したアドレス情報が、前記アドレス範囲情報に含まれる場合に、転送データの転送を抑制する

ことを特徴とする請求項 46に記載のデータ処理装置。

[51] 前記監視手段は、さらに、転送制限条件を満たしていると判断する場合に、前記プ口セッサにより実行中の前記プログラムを識別する識別情報をプログラム無効化リストに追加する

ことを特徴とする請求項 46に記載のデータ処理装置。

[52] 前記データ処理装置であって、

データを記憶するためのメモリ手段と、

複数の処理手順力構成されるプログラムに従って動作し、次に実行対象となる命令のアドレスが格納されているプログラムカウンタを備えるプロセッサと、

前記プログラムカウンタに格納されているアドレス力所定のアドレス範囲内に含まれるか否かを判断し、所定のアドレス範囲内に含まれると判断する場合に、前記プロセッサに対して、プログラムカウンタに所定の値を格納するように指示する監視手段とを備え、

前記プロセッサは、前記指示を受け取ると、プログラムカウンタに前記所定の値を格納する

ことを特徴とする請求項 1に記載のデータ処理装置。

[53] 保護対象のセキュアリソースの利用が許可されるセキュアモードと、保護対象外の通常リソースの利用のみが許可される通常モードとを切り替えて、プログラムを実行するデータ処理装置にぉ、て用いられるデータ処理方法であって、

前記データ処理装置は、前記通常リソースを利用する 1つ以上の処理手順から構成される通常プログラムを記憶して、る通常記憶手段と、前記セキュアリソースを利用する 1つ以上の処理手順力構成され、少なくとも前記通常プログラムを呼び出す呼出命令を含むセキュアプログラムを記憶しているセキュア記憶手段とを備え、前記データ処理方法は、

セキュアモードにおいて、次に実行すべき命令が、前記呼出命令であるか否かを判断する判断ステップと、

セキュアモードにおいて、前記呼出命令であると判断される場合に、当該呼出命令により呼び出される前記通常プログラムを示す識別情報を出力する出力ステップと、前記呼出命令であると判断される場合に、セキュアリソースを保護して、セキュアモード力通常モードに切り替える切替ステップと、

通常モードにお、て、前記識別情報を受け取る受取ステップと、

通常モードにおいて、受け取った前記識別情報により示される前記通常プログラムを前記通常記憶手段から読み出す読出ステップと、

通常モードにおいて、読み出した通常プログラムに従って動作する処理ステップとを含むことを特徴とするデータ処理方法。

[54] 第 1オペレーティングシステムと第 2オペレーティングシステムとを切り替え、各オペレーティングシステムにおいて生成されるプロセスを実行状態、実行待ち状態、休止状態のいずれかに遷移させてプロセスを実行し管理する前記データ処理方法であつて、

前記第 1オペレーティングシステムにおいて、第 1プロセスを生成する第 1生成ステップと、

前記第 2オペレーティングシステムにおいて、前記第 1プロセスと対応する第 2プロセスを生成する第 2生成ステップと、

前記第 1オペレーティングシステムにおいて、前記第 1プロセスの状態遷移を検出する第 1検出ステップと、

前記第 1オペレーティングシステムにお、て、検出された状態遷移を示す遷移情報を出力する第 1出力ステップと、

前記第 1オペレーティングシステムを前記第 2オペレーティングシステムに切り替える OS切替ステップと、

前記第 2オペレーティングシステムにお、て、前記遷移情報を取得する第 2取得ステツプと、

取得した前記遷移情報に従って、前記第 2プロセスの状態を遷移させる第 2遷移ステツプと

を含むことを特徴とする請求項 53に記載のデータ処理方法。

[55] プログラムに従って動作する前記データ処理装置において用いられる前記データ処理方法であって、

前記データ処理装置は、複数の処理手順力構成されるプログラムを記憶して、る記憶手段を備え、

前記記憶手段に記憶されている前記プログラムが不正なものであるか否かを判断する正当性判断ステップと、

不正なものであると判断される場合に、前記プログラムを無効化する無効化ステツプと

[56] 前記データ処理装置において用いられるデータ処理方法であって、

前記データ処理装置は、データを記憶するためのメモリ手段と複数の処理手順から構成されるプログラムに従って動作するプロセッサとを備え、

前記データ処理方法は、

前記メモリ手段と前記プロセッサとの間において、前記プロセッサから出力される前記メモリ手段宛の転送データが転送制限条件を満たしているか否かを判断し、転送制限条件を満たしていると判断する場合に、前記メモリ手段への転送データの転送を抑制し、転送制限条件を満たしていないと判断する場合に、前記メモリ手段への転送データの転送を行う監視ステップを含むことを特徴とする請求項 53に記載のデータ処理方法。

[57] 保護対象のセキュアリソースの利用が許可されるセキュアモードと、保護対象外の通常リソースの利用のみが許可される通常モードとを切り替えて、プログラムを実行するデータ処理装置において用いられるデータ処理プログラムであって、

前記データ処理装置は、前記通常リソースを利用する 1つ以上の処理手順から構成される通常プログラムを記憶して、る通常記憶手段と、前記セキュアリソースを利用する 1つ以上の処理手順力構成され、少なくとも前記通常プログラムを呼び出す呼出命令を含むセキュアプログラムを記憶しているセキュア記憶手段とを備え、前記データ処理プログラムは、

通常モードにおいて、読み出した通常プログラムに従って動作する処理ステップとを含むことを特徴とするデータ処理プログラム。

[58] 第 1オペレーティングシステムと第 2オペレーティングシステムとを切り替え、各オペレーティングシステムにおいて生成されるプロセスを実行状態、実行待ち状態、休止状態のいずれかに遷移させてプロセスを実行し管理する前記データ処理プログラムであって、

前記第 2オペレーティングシステムにおいて、前記第 1プロセスと対応する第 2プロセスを生成する第 2生成ステップと、前記第 1オペレーティングシステムにおいて、前記第 1プロセスの状態遷移を検出する第 1検出ステップと、

を含むことを特徴とする請求項 57に記載のデータ処理プログラム。

[59] プログラムに従って動作する前記データ処理装置において用いられる前記データ処理プログラムであって、

[60] 前記データ処理装置において用いられるデータ処理プログラムであって、

前記データ処理プログラムは、

前記メモリ手段と前記プロセッサとの間において、前記プロセッサから出力される前記メモリ手段宛の転送データが転送制限条件を満たしているか否かを判断し、転送制限条件を満たしていると判断する場合に、前記メモリ手段への転送データの転送を抑制し、転送制限条件を満たしていないと判断する場合に、前記メモリ手段への転送データの転送を行う監視ステップ

を含むことを特徴とする請求項 57に記載のデータ処理プログラム, 前記データ処理プログラムは、

コンピュータ読み取り可能な記録媒体に記録されていることを特徴とする請求項 57に記載のデータ処理プログラム。