WO2023119893A1 - データ処理装置 - Google Patents

データ処理装置 Download PDF

Info

Publication number
WO2023119893A1
WO2023119893A1 PCT/JP2022/040708 JP2022040708W WO2023119893A1 WO 2023119893 A1 WO2023119893 A1 WO 2023119893A1 JP 2022040708 W JP2022040708 W JP 2022040708W WO 2023119893 A1 WO2023119893 A1 WO 2023119893A1
Authority
WO
WIPO (PCT)
Prior art keywords
register
communication
data
information
host
Prior art date
Application number
PCT/JP2022/040708
Other languages
English (en)
French (fr)
Inventor
久美子 馬原
祥太 長谷川
Original Assignee
ソニーセミコンダクタソリューションズ株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ソニーセミコンダクタソリューションズ株式会社 filed Critical ソニーセミコンダクタソリューションズ株式会社
Publication of WO2023119893A1 publication Critical patent/WO2023119893A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F13/00—Interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units
    • G06F13/38—Information transfer, e.g. on bus
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F13/00—Interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units
    • G06F13/38—Information transfer, e.g. on bus
    • G06F13/42—Bus transfer protocol, e.g. handshake; Synchronisation

Definitions

  • the present disclosure relates to a data processing device.
  • a data processing device includes, as address areas, a setting area for storing setting information transmitted from a host, a security data area for storing security data for the setting information, and a host. and a communication unit for performing register communication between the host and the register.
  • a security data area for storing security data for setting information and a communication area for storing communication information between a host and a register address area in the data processor. and an information area for register communication between the data processing device and the host.
  • FIG. 1 is a block diagram schematically showing an overall configuration example of a data transmission system according to an embodiment of the present disclosure
  • FIG. FIG. 2 is an explanatory diagram schematically showing an example of communication by adding a CRC code as a general safety/security technique
  • FIG. 2 is an explanatory diagram schematically showing an example of communication by adding a message authentication code as a general safety/security technique
  • FIG. 2 is an explanatory diagram schematically showing an example of encrypted communication as a general safety/security technique
  • FIG. 4 is an explanatory diagram showing an example of a register configuration (register map) according to the technology according to one embodiment
  • FIG. 10 is a sequence diagram showing an example of register communication by the technique according to one embodiment
  • FIG. 10 is a sequence diagram showing an example of register communication by the technique according to one embodiment
  • FIG. 11 is a sequence diagram showing an example of register communication when transmission of communication information is partially omitted
  • FIG. 11 is a sequence diagram showing an example of register communication when transmission of communication information is partially omitted
  • 1 is a block diagram schematically showing a first configuration example of a CIS as a data processing device according to one embodiment
  • FIG. 11 is a block diagram showing a specific example of a write determination unit in the CIS shown in FIG. 10
  • FIG. 11 is a sequence diagram showing an example of register communication realized by the configuration example shown in FIG. 10
  • FIG. FIG. 10 is a sequence diagram showing an example of register communication by the technique according to one embodiment
  • FIG. 4 is a block diagram schematically showing a second configuration example of a CIS as a data processing device according to one embodiment
  • 15 is a block diagram showing a specific example of a write determination unit in the CIS shown in FIG. 14
  • FIG. 16 is a sequence diagram showing an example of register communication in a CRC mode realized by the configuration example shown in FIG. 15
  • FIG. 10 is a sequence diagram showing an example of register communication in encryption mode according to the technology according to one embodiment
  • FIG. 10 is a sequence diagram showing an example of register communication when reading is performed by the technology according to one embodiment
  • FIG. 11 is a sequence diagram showing an example of register communication when reading is performed in encryption mode by the technology according to one embodiment
  • FIG. 10 is a sequence diagram showing an example of register communication by the technique according to one embodiment
  • FIG. 5 is a sequence diagram showing an example of register communication including operation of a write counter according to the technology according to one embodiment
  • FIG. 10 is a sequence diagram showing an example of register communication including operations of a Read counter according to the technology according to one embodiment
  • FIG. 10 is a sequence diagram showing an example of register communication including operations of a Read counter according to the technology according to one embodiment
  • FIG. 11 is a block diagram schematically showing a third configuration example of a CIS as a data processing device according to one embodiment
  • FIG. 5 is a sequence diagram showing an example of register communication including operation of a write counter according to the technology according to one embodiment
  • FIG. 11 is a block diagram schematically showing a fourth configuration example of a CIS as a data processing device according to one embodiment
  • FIG. 5 is a sequence diagram showing an example of register communication including operation of a write counter according to the technology according to one embodiment
  • FIG. 11 is an explanatory diagram showing a modification of the configuration of registers (register map) according to the technology according to one embodiment
  • FIG. 5 is a sequence diagram showing an example of register communication including operation of a write counter according to the technology according to one embodiment
  • FIG. 10 is a sequence diagram showing an example of register communication by the technique according to one embodiment
  • FIG. 10 is a sequence diagram showing an example of register communication by the technique according to one embodiment
  • FIG. 10 is a sequence diagram showing an example of register communication by the technique according to one embodiment
  • FIG. 10 is a sequence diagram showing an example of register communication by the technique according to one embodiment
  • FIG. 10 is a sequence diagram showing an example of register communication by the technique according to one embodiment
  • FIG. 10 is a sequence diagram showing an example
  • FIG. 5 is a sequence diagram showing an example of register communication including operation of a write counter according to the technology according to one embodiment
  • FIG. 5 is a sequence diagram showing an example of register communication including operation of a write counter according to the technology according to one embodiment
  • FIG. 10 is a sequence diagram showing an example of register communication by the technique according to one embodiment
  • FIG. 5 is a sequence diagram showing an example of register communication including operation of a write counter according to the technology according to one embodiment
  • FIG. 10 is a sequence diagram showing an example of register communication by the technique according to one embodiment
  • FIG. 5 is a sequence diagram showing an example of register communication including operation of a write counter according to the technology according to one embodiment
  • FIG. 5 is a sequence diagram showing an example of register communication including operations of a Read counter and a Write counter according to the technology according to one embodiment;
  • FIG. 1 schematically shows an overall configuration example of a data transmission system according to an embodiment of the present disclosure.
  • the data transmission system is, for example, a technique for improving the security of register communication between an image sensor (CIS (CMOS (Complementary Metal-Oxide Semiconductor) Image Sensor) 1) inside a camera and a host 2.
  • CIS Complementary Metal-Oxide Semiconductor
  • CIS Complementary Metal-Oxide Semiconductor
  • a data transmission system includes a CIS 1 as a data processing device, a host 2, a transmission line 3, and a transmission line 4.
  • the CIS 1 includes a communication section 110, an upper layer 113, a communication section 120, a data processing section 123, and a sensor section .
  • the communication unit 110 has a physical layer (PHY) 111 and a link layer (LINK) 112.
  • the communication unit 120 has a physical layer (PHY) 121 and a link layer (LINK) 122 .
  • the upper layer 113 has a register 130 , a CPU (Central Processing Unit) 131 and hardware (HW) 132 . Note that the upper layer 113 may be configured without the CPU 131 .
  • CPU Central Processing Unit
  • HW hardware
  • the host 2 comprises a communication section 210 , an upper layer 213 , a communication section 220 and a data processing section 223 .
  • the communication unit 210 has a physical layer (PHY) 211 and a link layer (LINK) 212 .
  • the communication unit 220 has a physical layer (PHY) 221 and a link layer (LINK) 222 .
  • the upper layer 213 has a register 230 , a CPU 231 and hardware (HW) 232 .
  • the CIS 1 has a communication IF (register IF) for communication with the CIS 1 as a slave and the host 2 as a master, and a high-speed IF (data output IF) for outputting large data such as image data acquired by the sensor unit 124. .
  • a communication IF register IF
  • a high-speed IF data output IF
  • the communication unit 110 of the CIS 1 and the communication unit 110 of the host 2 each constitute a communication IF (register IF) capable of mutual communication (register communication) between the mutual registers 130 and 230 via the transmission path 3 .
  • the register IF may include multiple types of IFs with different protocols and be configured to be switchable between multiple types of IFs.
  • two types of IFs SPI (Serial Peripheral Interface) and I2C (Inter Integrated Circuit), may be mounted and configured to be switchable.
  • the communication unit 120 of the CIS 1 constitutes a high-speed IF (data output IF) that outputs large data such as image data acquired from the sensor unit 124 to the communication unit 220 of the host 2 via the transmission line 4.
  • High-speed IFs include, for example, MIPI (Mobile Industry Processor Interface), SLVS-EC (Scalable Low Voltage Signaling with Embedded Clock), and SLVS (Scalable Low Voltage Signaling).
  • the register 130 of CIS1 stores the setting information sent from the host 2 via the register IF.
  • the processing operation of each section inside the CIS 1 is determined by what value is set as the setting information in the register 130 .
  • the setting information includes, for example, exposure time, gain, resolution (pixel addition, thinning number), frame rate, ROI (Region of Interest), and other operation mode information.
  • the register 130 of the CIS 1 stores information on various states within the CIS 1, environment information, and the like.
  • Various state information and environmental information stored in the register 130 can be read from the host 2 via the register IF.
  • Various state information and environmental information include, for example, temperature information inside the CIS 1, metadata when image information from the sensor unit 124 is processed by the data processing unit 123, error and warning detection information, and the like.
  • the upper layer 213 determines how the CIS1 behaves, and transmits the value that determines the behavior of the CIS1 as setting information via the register IF.
  • the host 2 changes the value of the setting information in accordance with various state information and environment information read from the register 130 of the CIS 1 . Since the behavior of the CIS 1 differs depending on the use case, the SW (software) of the CPU 231 of the host 2 is often configured to be relatively easily rewritable.
  • the upper layer 213 is composed of an FPGA (Field Programmable Gate Array), both the CPU 231 and the hardware 232 have variable configurations.
  • the upper layers 113 and 213 may be determined only by the upper layers 113 and 213 according to the specifications of the registers 130 and 230 (definition of addresses and values). For example, in the register IF, how to transmit setting information is ruled as specifications of the physical layers 111 and 211 and the link layers 112 and 212 . As a result, the upper layer 113, 213 only needs to define the addresses of the registers 130, 230 and the operation when a value is set in the register 130, and control is performed between the CIS 1 and the host 2 via the register IF. You can exchange information and other information.
  • FIG. 2 schematically shows an example of communication by adding a CRC code (error detection code) as a general safety/security technique.
  • CRC code error detection code
  • CRC error judgment
  • ECC error correction
  • Fig. 3 schematically shows an example of communication by adding a message authentication code (MAC) as a general safety/security technology.
  • MAC message authentication code
  • MAC is often used for communication requiring real-time performance such as communication IF (a signature may be used).
  • a signature may be used.
  • the data output side and the data input side have a common encryption secret key K (K B ).
  • K B common encryption secret key
  • a MAC is generated using the common cryptographic secret key K (K B ), and the generated MAC is added to data to be communicated and output.
  • IV initial vector
  • IV information is not required because IV0 is used for calculation, but in the case of using GMAC (Galois Message Authentication Code), IV information is also added and output.
  • K B common encryption secret key
  • data is authenticated by comparing it with the MAC added to the data.
  • Fig. 4 schematically shows an example of encrypted communication as a general safety/security technology.
  • Encryption technology may be used to prevent the data itself from being prying eyes.
  • the data output side and the data input side have a common encryption secret key K (K B ).
  • K B common encryption secret key
  • the data to be communicated is encrypted using the common encryption secret key K (K B ) and IV (initial vector) to generate and output encrypted data.
  • the encrypted data is decrypted using the common encryption secret key K(K B ) and IV.
  • Theme For example, in the configuration of the data transmission system shown in FIG. 1, security requirements for CIS1 are beginning to appear, but not all customers of CIS1 have the same security requirements. In addition, it is difficult to simultaneously change the host 2 (FPGA or ASIC (Application Specific Integrated Circuit)) for all products such as industrial equipment that has a long product life to one compatible with the CIS1 security protocol.
  • Some register IFs are equipped with multiple types of IFs with different protocols and are configured to be switchable between multiple types of IFs. In this case, the security of the register IF is maintained without changing the protocol of each IF. We need specifications that can What kind of function is required depends on the application in which the CIS1 is installed.
  • security techniques include CRC, MAC, and encryption, each of which provides different functions. Defining a different register IF protocol for each required function makes it difficult to extend the technology, and depending on the contents, it is necessary to continuously update the protocols of the physical layers 111 and 211 and the link layers 112 and 212 of the register IF. ,There will be a cost.
  • FIG. 5 shows an example of the configuration (register map) of the registers 130 according to the technology according to one embodiment. Note that the addresses in the register map shown in FIG. 5 are only examples, and can be changed as required.
  • the register 130 in the CIS 1 has a setting area (sensor register 311) for storing setting information transmitted from the host 2 as an address area.
  • a security data area for storing security data for setting information and a host 2
  • a communication information area for storing communication information between them.
  • the upper layers 113 and 213 exchange safety/security information with the CIS1 host 2 using the address area for safety/security in the register 130 .
  • the functions supported by the objects that can be connected by the existing register IF can be selected or changed later, so that the upper layers 113 and 213 are safe instead of being determined by the rules on the protocol of the register IF. • Allow security checks to be performed.
  • the technology according to one embodiment may have a function of determining whether or not the address area is for safety/security, and a function of selecting whether or not to access the address area for safety/security.
  • the functional safety/security data area 313 stores, as security data, for example, an error detection code (CRC code) related to setting information and a message authentication code (MAC) related to setting information.
  • CRC code error detection code
  • MAC message authentication code
  • the functional safety/security data area 313 stores, for example, encrypted data including setting information as security data.
  • the functional safety/security data area 313 is, for example, an address area of 256 bytes ⁇ n.
  • the functional safety/security data area 313 may include a Write register for writing security data and a Read register for reading.
  • the communication information register 312 is a mode setting register for safety and security.
  • the communication information register 312 stores, as communication information, for example, communication mode information indicating the communication mode of register communication, status information indicating the start of communication of register communication, and status information indicating the end of communication of register communication.
  • the functional safety/security data area 313 and the communication information register 312 of the register 130 may be switched between using the functional safety/security data area 313 and the communication information register 312 of the register 130 by means of the CPU code or Fuse in the CIS 1 . Further, it may be configured such that CPU code or Fuse can switch which one of a plurality of functions based on safety/security technology is to be used. By commonly using the communication information register 312 and the functional safety/security data area 313 for a plurality of functions, the size of the register area can be reduced. It is possible to select which one of the multiple functions to use later by setting when the product is started, by changing the software part, or by switching with Fuse.
  • the address areas of the communication information register 312 and the functional safety/security data area 313 it is sufficient to prepare only areas necessary for the functions of the corresponding operation modes among the functions of the safety/security technologies. For example, if a large area is not required, such as when only CRC is supported, the address areas of the communication information register 312 and functional safety/security data area 313 may be small in size. If CIS1 can support CRC and MAC, only the larger size of the address area required for CRC or MAC should be prepared. Even if the configuration is compatible with both CRC and MAC, there is no need to prepare both the CRC address area and the MAC address area.
  • the technology has a function of notifying notification information regarding safety and security from the side of CIS 1, which is a slave.
  • the notification information may be, for example, a processing status indicating a processing state in the register 130 or error information occurring in processing in the register 130, as will be described later.
  • the processing status is indicated by processing state FS_S_ACT, for example, as described below.
  • Error information is indicated by an error state FS_S_ERR, for example, as described below.
  • the CIS 1 has a notification unit that outputs notification information.
  • the notification unit may be, for example, the write determination units 410 and 410A and the register information store 420 (FIGS. 10, 14, etc., which will be described later).
  • the notification information may be output to the host 2 through dedicated terminals (processing state output terminal 501 and error output terminal 502) as shown in FIGS.
  • the slave side may be provided with an IF having an interrupt function such as I3C (Improved Inter Integrated Circuits), and the notification information may be output to the host 2 using the IF having the interrupt function.
  • the communication unit 120 as a data output unit, notification information from the notification unit may be added to the sensor data output from the sensor unit 124 and output together with the sensor data to the host 2 .
  • the method of notifying the notification information may be a combination of the plurality of methods described above.
  • MAC mode a communication mode using MAC
  • CRC mode a communication mode using CRC
  • encryption mode a communication mode using encryption
  • FIG. 6 is a sequence diagram illustrating an example of register communication by the technique according to one embodiment.
  • FIG. 6 shows an example of register communication when writing setting information to the sensor register 311 in the MAC mode.
  • the CIS 1 writes the operation mode value (MAC_REGW) to the FS_S_STETE register of the communication information register 312 once.
  • setting information for the sensor register 311 is transmitted from the host 2 via the register IF.
  • As the setting information for example, an address to change the setting value in the sensor register 311 and a group of setting values (multiple combinations are possible) are transmitted.
  • the CIS 1 writes setting information to the sensor register 311 .
  • various register settings are made in the sensor register 311 . In the sensor register 311, writing to a group of registers requiring writing may be performed by combining single Write and continuous Write.
  • the operation mode value of the FS_S_STETE register of the communication information register 312 is set to zero.
  • status FS_S_STATE MAC_DATAW indicating a request to start writing security data in MAC mode is transmitted from the host 2 via the register IF as communication information.
  • the CIS 1 writes the operation mode value (MAC_DATAW) to the FS_S_STETE register of the communication information register 312 once.
  • security data (MAC data) in MAC mode is transmitted from the host 2 via the register IF.
  • the CIS 1 writes MAC data to the functional safety/security data area 313 .
  • MAC data may be transmitted by burst transfer with high transfer speed.
  • information necessary for processing other than MAC may also be transmitted. For example, MAC mode information when there are multiple algorithms and information such as IV when using GMAC may also be transmitted. If multiple algorithms can be handled, the operation mode may be fixed in advance when the product is started or by Fuse.
  • the operation mode value of the FS_S_STETE register of the communication information register 312 is set to zero.
  • the CIS 1 can support multiple transfer modes by notifying the communication mode as communication information from the host 2 .
  • the technique according to one embodiment by storing the status information indicating the start of communication and the status information indicating the end of communication as communication information in the communication information register 312, the address area of the register 130 to be set is stored.
  • a block of data can be transmitted from the host 2 regardless of the size, and communication can be performed without being affected by the transfer unit such as burst transfer.
  • the start of data transmission can be clarified between the host 2 and the CIS1.
  • the technology according to one embodiment can collectively target multiple addresses and data for CRC, MAC, or encryption.
  • the technique according to one embodiment can transmit data more efficiently than transmitting CRC data or MAC data for each transfer unit.
  • FIG. 7 is a sequence diagram illustrating an example of register communication by the technique according to one embodiment.
  • FIG. 7 shows an example of register communication when setting information is written to the sensor register 311 in the CRC mode. Also, FIG. 7 shows an example in which it takes a relatively long time from the transmission of the setting information to the transmission of the CRC data.
  • CRC mode and MAC mode are basically the same in terms of operational image, except that the arithmetic processing performed on the data to be protected is different.
  • the setting information for example, an address to change the setting value in the sensor register 311 and a group of setting values (multiple combinations are possible) are transmitted.
  • the CIS 1 writes the operation mode value (CRC_REGW) to the FS_S_STETE register of the communication information register 312 once.
  • setting information for the sensor register 311 is transmitted from the host 2 via the register IF.
  • the CIS 1 writes setting information to the sensor register 311 .
  • various register settings are made in the sensor register 311 . In the sensor register 311, writing to a group of registers requiring writing may be performed by combining single Write and continuous Write.
  • the operation mode value of the FS_S_STETE register of the communication information register 312 is set to zero.
  • the CIS 1 writes the operation mode value (CRC_DATAW) to the FS_S_STETE register of the communication information register 312 once.
  • security data (CRC data) in CRC mode is transmitted from the host 2 via the register IF.
  • the CIS 1 writes CRC data in the functional safety/security data area 313 .
  • the CRC data may be transmitted by burst transfer with high transfer rate. Information necessary for processing other than CRC may also be transmitted as security data. For example, CRC mode information when there are multiple algorithms may also be transmitted.
  • the operation mode may be fixed in advance when the product is started or by Fuse.
  • the operation mode value of the FS_S_STETE register of the communication information register 312 is set to zero.
  • FIGS. 8 and 9 are sequence diagrams showing an example of register communication when transmission of communication information is partially omitted.
  • FIGS. 8 and 9 show examples in which it takes relatively little time from transmission of setting information to transmission of CRC data.
  • FIG. 8 shows an example of register communication when setting information is written to the sensor register 311 in the CRC mode.
  • FIG. 9 shows an example of register communication when setting information is written to the sensor register 311 in the CRC mode, and information designating the CRC algorithm is further transmitted from the host 2 as communication information.
  • FIG. 10 schematically shows a first configuration example of CIS1 as a data processing device according to one embodiment.
  • the CIS 1 includes a communication unit 110, a communication unit 120, a data processing unit 123, a sensor unit 124, a register 130, a write determination unit 410, and a processing state output terminal. 501 and an output terminal 502 .
  • the processing state output terminal 501 outputs a processing status (processing state FS_S_ACT) indicating the processing state in the register 130 to the host 2 as notification information.
  • the error output terminal 502 outputs error information (error state FS_S_ERR) occurring in processing in the register 130 to the host 2 as notification information.
  • the data processing unit 123 performs various data processing on the sensor data output from the sensor unit 124.
  • the communication unit 120 adds notification information such as error information to the sensor data that has undergone various data processing in the data processing unit 123 , and outputs the sensor data to the host 2 .
  • FIG. 10 shows a configuration example in which, after writing a set value to the sensor register 311, whether or not the written value is correct is determined by, for example, CRC.
  • Setting values from the host 2 are sequentially reflected in the sensor register 311 via the communication unit 100 .
  • the setting values in each part of the CIS 1 may be reflected, for example, after being latched at the timing of the frame synchronization signal (Frame Sync) of the sensor data.
  • Frame Sync frame synchronization signal
  • FIG. 11 shows a specific example of the write determination unit 410 in the CIS 1 shown in FIG.
  • the write determination unit 410 has a register communication detection unit 411 , a data calculation unit 412 , an error detection unit 413 and a write counter 414 .
  • the register communication detection unit 411 detects that register communication has occurred.
  • a data calculation unit 412 performs calculations related to CRC, MAC, encryption, and the like.
  • the error detection section 413 performs error detection based on the calculation result of the data calculation section 412 .
  • the write counter 414 counts the write requests to the register 130 based on the detection result of the register communication detection unit 411 .
  • the write determination unit 410 determines whether the setting information reflected in the sensor register 311 is true or false based on the security data.
  • the communication information register 312 notifies the write determination unit 410 of the calculation start timing and the calculation completion timing in the data calculation unit 412 .
  • the communication information register 312 notifies the completion (determination timing) of writing security data such as CRC data and MAC data to the functional safety/security data area 313 .
  • FIG. 12 is a sequence diagram showing an example of register communication realized by the configuration example shown in FIG. FIG. 12 shows an example of register communication when writing setting information to the sensor register 311 in the CRC mode.
  • FIG. 12 shows an example of register communication when, after writing a set value to the sensor register 311, it is judged by CRC whether or not the written value is a correct value.
  • FIG. 12 shows an example in which notification information such as setting value error information is added to the sensor data output from the sensor unit 124 in synchronization with the frame synchronization signal of the sensor data and output. Even if the set values are not reflected in the register 130 after judging whether or not they are correct, by adding error information to the sensor data and outputting it, if it is known whether or not the set values can be trusted, it can be processed at a later stage. . There is also the advantage that the register 130 can be reflected at the fastest possible time before the register write decision is made.
  • the processing state FS_S_ACT indicates that it is Active when it is High, for example.
  • the error state FS_S_ERR indicates that it is Active if it is Low, for example.
  • An example of the frame format of sensor data is shown at the bottom of FIG. MIPI and SLVS-EC define Embedded Data (EBD) that can be used as a data area other than an image as a frame format for image data.
  • the communication unit 120 as a data output unit outputs state information (notification information) from the write determination unit 410 as a notification unit to Embedded Data in sensor data, for example, at timing synchronized with a frame synchronization signal (Frame Sync).
  • the processing state FS_S_ACT is Negative
  • the error state FS_S_ERR is Negative
  • the processing state FS_S_ACT is Active
  • the error state FS_S_ERR is Negative
  • the processing state FS_S_ACT is Negative
  • the error state FS_S_ERR is Negative
  • FIG. 13 is a sequence diagram showing an example of register communication by the technique according to one embodiment.
  • FIG. 13 shows an example of register communication when writing setting information to the sensor register 311 in the CRC mode.
  • FIG. 13 shows an example of register communication in the case of determining whether or not the setting value is correct by CRC before writing the setting value to the sensor register 311 and then writing the setting value to the sensor register 311 .
  • the MAC may determine whether the setting value is correct or not, and then write the setting value to the sensor register 311. good.
  • the lower part of FIG. 13 shows a processing image within CIS1.
  • the CIS 1 generates CRC data (MAC data in MAC mode) based on the setting information data transmitted from the host 2 (step S11).
  • a write counter 414 counts the number of write requests to the sensor register 311 .
  • the CIS 1 compares the CRC data transmitted as security data from the host 2 with the CRC data generated inside the CIS 1 (step S12). After that, the CIS 1 reflects the set value in the sensor register 311 (step S13).
  • CIS1 notifies completion of processing by processing state FS_S_ACT (step S14). Also, if there is an error, error information is notified by the error state FS_S_ERR (step S14).
  • FIG. 14 schematically shows a second configuration example of CIS1 as a data processing device according to one embodiment.
  • the CIS 1 includes a communication unit 110, a communication unit 120, a data processing unit 123, a sensor unit 124, a register 130, a write determination unit 410A, and a register information store 420. , a processing state output terminal 501 and an output terminal 502 .
  • the register information store 420 is a temporary storage unit that temporarily stores setting information sent from the host 2 .
  • the write determination unit 410A determines whether the setting information stored in the register information store 420 is correct based on security data such as CRC and MAC. to reflect the writing of the setting information.
  • FIG. 14 shows an example in which information written to the sensor register 311 is temporarily stored in the memory (register information store 420) within the CIS 1 and reflected only when it matches the CRC value or MAC value. Since the set value is reflected in the sensor register 311 only when the CRC value and MAC value match, the CIS 1 does not operate with an unexpected value.
  • Notification information such as the processing state FS_S_ACT and the error state FS_S_ERR may be output to the Read register of the functional safety/security data area 313 instead of the processing state output terminal 501 and the error output terminal 502 . Also, notification information may be output to Embedded Data in sensor data.
  • FIG. 15 shows a specific example of the write determination unit 410A in the CIS 1 shown in FIG.
  • the write determination unit 410A has a register communication detection unit 411, a data calculation unit 412, an error detection unit 413, a write counter 414, and a register reflection determination unit 415.
  • the register communication detection unit 411 detects that register communication has occurred.
  • a data calculation unit 412 performs calculations related to CRC, MAC, encryption, and the like.
  • the error detection section 413 performs error detection based on the calculation result of the data calculation section 412 .
  • the write counter 414 counts the write requests to the register 130 based on the detection result of the register communication detection unit 411 .
  • a register reflection determination unit 415 determines whether or not to reflect information written to the sensor register 311 based on the detection result of the error detection unit 413 .
  • FIG. 16 is a sequence diagram showing an example of register communication in CRC mode realized by the configuration example shown in FIG.
  • FIG. 17 is a sequence diagram illustrating an example of register communication in encryption mode according to the technology according to one embodiment.
  • FIG. 17 shows an example of register communication when setting information to be written to the sensor register 311 is encrypted in the encryption mode.
  • the lower right part of FIG. 17 shows a processing image in CIS1.
  • the CIS 1 includes a decryption section 430 that decrypts encrypted data.
  • the CIS 1 writes the operation mode value (USERDEF_DATAW) to the FS_S_STETE register of the communication information register 312 once.
  • the encrypted setting information is sent as encrypted data from the host 2 via the register IF.
  • the CIS 1 writes encrypted data in the functional safety/security data area 313 .
  • the decryption unit 430 decrypts the encrypted data, and writes the setting information (register address and setting value) obtained by the decryption to the sensor register 311 .
  • authentication confirmation that data has not been tampered with
  • CIS1 notifies completion of processing indicating completion of decoding by processing state FS_S_ACT (step S21). Also, if there is an error, the error information is notified by the error state FS_S_ERR (step S21).
  • FIG. 18 is a sequence diagram illustrating an example of register communication when reading is performed by the technique according to one embodiment.
  • FIG. 18 shows an example of register communication when the host 2 makes a request to read setting information stored in the sensor register 311 in the CRC mode.
  • the CIS 1 stores the setting information stored in the sensor register 311 and the security data related to the setting information stored in the functional safety/security data area 313. It reads and transmits the read data to the host 2 via the register IF. It should be noted that the operation for reading in MAC mode is basically the same.
  • the CIS 1 writes the operation mode value (CRC_REGR) to the FS_S_STETE register of the communication information register 312 once.
  • the CIS 1 reads the setting information stored in the sensor register 311 and transmits the read data to the host 2 via the register IF.
  • the setting information includes, for example, the register address of the sensor register 311 to be read and the setting value.
  • the operation mode value of the FS_S_STETE register of the communication information register 312 is set to zero.
  • the processing state FS_S_ACT gives a completion notification indicating that the read processing has been completed. The notification may be made using the processing state output terminal 501 or the register IF.
  • the CIS 1 writes the operation mode value (CRC_DATAR) to the FS_S_STETE register of the communication information register 312 once.
  • the CIS 1 generates CRC data and writes the CRC data to the functional safety/security data area 313 .
  • the CIS 1 reads the CRC data from the functional safety/security data area 313 and transmits the CRC data as security data to the host 2 via the register IF.
  • the CRC data may include the register address of the sensor register 311 to be read and the CRC value.
  • Information necessary for processing other than CRC may also be transmitted as security data. For example, CRC mode information when there are multiple algorithms may also be transmitted.
  • the operation mode value of the FS_S_STETE register of the communication information register 312 is set to zero.
  • FIG. 19 is a sequence diagram illustrating an example of register communication when reading is performed in encryption mode by the technique according to one embodiment.
  • FIG. 19 shows an example of register communication when the host 2 makes a request to read setting information stored in the sensor register 311 in encryption mode.
  • the CIS 1 encrypts the setting information stored in the sensor register 311 and writes it as encrypted data in the data area 313 for functional safety/security. Encrypted data is read from the safety/security data area 313
  • the CIS 1 writes the operation mode value (USERDEF_DATAW) to the FS_S_STETE register of the communication information register 312 once.
  • the CIS 1 reads the setting information stored in the sensor register 311 , encrypts the setting information, and writes the encrypted data in the functional safety/security data area 313 .
  • the encrypted data may include an encrypted readout request command, and the address and data size of the sensor register 311 that is the target of the encrypted readout request. Sometimes it is better not to have an address. Whether or not the address is included depends on the product.
  • the operation mode value of the FS_S_STETE register of the communication information register 312 is set to zero.
  • the processing state FS_S_ACT gives a completion notification indicating that the write processing has been completed. The notification may be made using the processing state output terminal 501 or the register IF.
  • the CIS 1 writes the operation mode value (USERDEF_DATAR) to the FS_S_STETE register of the communication information register 312 once.
  • the CIS 1 reads the encrypted data from the functional safety/security data area 313 and transmits the encrypted data to the host 2 via the register IF.
  • status FS_S_STATE 0, which indicates a read end request, is sent from the host 2 via the register IF as communication information.
  • the operation mode value of the FS_S_STETE register of the communication information register 312 is set to zero.
  • FIG. 20 is a sequence diagram illustrating an example of register communication by the technique according to one embodiment.
  • FIG. 20 shows an example of state notification within the CIS 1 when setting information is written in the CRC mode.
  • the processing state FS_S_ACT, the error state FS_S_ERR, and the counter information may be stored in the register 130 or may be output from the processing state output terminal 501 or the error output terminal 502 .
  • sensor data when sensor data is output from the communication unit 120, it may be output as Embedded Data. A combination of these methods may also be used.
  • the processing state FS_S_ACT may be a processing state indicating that various requests are being received and processed within the CIS1.
  • the error state FS_S_ERR may be a state that notifies that an error has been detected within CIS1.
  • a plurality of error states FS_S_ERR may be provided so as to be classified according to error classification. It may be changeable depending on the product.
  • the CIS 1 may include a communication counter 416 as shown in FIGS. 24 and 26, which will be described later.
  • the communication counter 416 may have a write counter and a read counter.
  • the write counter counts, for example, the number of requests from the host 2 to write setting information to the sensor register 311 .
  • the Read counter counts, for example, the host 2 making a read request for setting information.
  • FIG. 21 is a sequence diagram illustrating an example of register communication including operations of a write counter according to the technology according to one embodiment.
  • FIG. 21 shows an example of register communication when writing setting information to the sensor register 311 in the CRC mode.
  • the Write counter may be incremented even if the CRC or MAC check result is an error and the set value in the sensor register 311 is not reflected.
  • FIG. 22 is a sequence diagram illustrating an example of register communication including operations of a Read counter according to the technology according to one embodiment.
  • FIG. 22 shows an example of register communication when the host 2 makes a request to read setting information stored in the sensor register 311 in the CRC mode.
  • FIG. 23 is a sequence diagram illustrating an example of register communication including operations of a Read counter according to the technology according to one embodiment.
  • FIG. 23 shows an example of register communication when the host 2 issues a read request for setting information stored in the sensor register 311 in the encryption mode.
  • the counter value is incremented before the encrypted data is read from the functional safety/security data area 313 after the encrypted data is written in the area 313 .
  • FIG. 24 schematically shows a third configuration example of CIS1 as a data processing device according to one embodiment.
  • FIG. 24 shows a configuration example in which, after writing a set value to the sensor register 311, whether or not the written value is correct is determined by, for example, CRC.
  • the CIS 1 includes a communication unit 110, a communication unit 120, a data processing unit 123, a sensor unit 124, a register 130, a write determination unit 410, and a processing state output terminal. 501 and an output terminal 502 .
  • the CIS 1 also includes an overall control section 40 , a register communication detection section 411 , a data calculation section 412 , an error detection section 413 and a communication counter 413 .
  • the sensor unit 124 has a communication counter 416, a write counter and a read counter.
  • the sensor unit 124 has a pixel unit 41 , an ADC (analog-digital converter) 42 and a pixel control unit 43 .
  • the register communication detection unit 411, the data calculation unit 412, and the error detection unit 413 are easy to construct even with the CPU 131 (FIG. 1) and easy to change later.
  • the communication unit 120 as a data output unit adds notification information such as error information and a counter value from the communication counter 416 to the sensor data that has undergone various data processing in the data processing unit 123, and outputs the sensor data to the host 2. Output.
  • the communication unit 120 adds the notification information and the counter value to the Embedded Data in the sensor data at the timing synchronized with the synchronization timing signal for the sensor data.
  • the counter value of the communication counter 416 may be output to the register 130 .
  • the setting value is reflected in the sensor register 311 before checking by CRC or MAC, by adding notification information, counter value and state to the sensor data and outputting it, it is possible to determine under what circumstances the CIS 1 operates.
  • the host 2 can determine whether or not there is.
  • the setting value should be reflected after checking by CRC or MAC. It is possible to lighten the processing load in
  • FIG. 25 is a sequence diagram illustrating an example of register communication including operations of a write counter according to the technology according to one embodiment.
  • FIG. 25 shows an example of register communication when writing setting information to the sensor register 311 in the CRC mode.
  • FIG. 26 schematically shows a configuration example for realizing the processing shown in FIG. 25 as a fourth configuration example of the CIS 1 as a data processing device according to one embodiment.
  • the CIS 1 includes a communication unit 110, a communication unit 120, a data processing unit 123, a sensor unit 124, a register 130, a write determination unit 410, and a processing state output terminal. 501 and an output terminal 502 .
  • the CIS 1 also includes an overall control section 40 , a register communication detection section 411 , a data calculation section 412 , an error detection section 413 , a communication counter 413 and a register reflection determination section 415 .
  • the register communication detection unit 411, the data calculation unit 412, the error detection unit 413, and the register reflection determination unit 415 can be easily constructed even by the CPU 131 (FIG. 1) and can be changed later. Cheap.
  • FIG. 25 shows an example in which the information written to the sensor register 311 is temporarily held in the memory within the CIS 1, and the set value is reflected in the sensor register 311 only when it matches the CRC value or MAC value. Note that the operation in the MAC mode is the same.
  • Notification information such as the processing state FS_S_ACT and the error state FS_S_ERR may be output to the Read register of the functional safety/security data area 313 instead of the processing state output terminal 501 and the error output terminal 502 . Also, notification information may be output to Embedded Data in sensor data.
  • the communication unit 120 as a data output unit adds notification information such as error information and a counter value from the communication counter 416 to the sensor data that has undergone various data processing in the data processing unit 123, and outputs the sensor data to the host 2. Output.
  • the communication unit 120 adds the notification information and the counter value to the Embedded Data in the sensor data at the timing synchronized with the synchronization timing signal for the sensor data.
  • the counter value of the communication counter 416 may be output to the register 130 . By outputting the notification information and the counter value, the host 2 can know whether or not the new setting value has been reflected in the CIS1.
  • the processing state FS_S_ACT is Active
  • the error state FS_S_ERR is Negative
  • the processing state FS_S_ACT is Negative
  • the error state FS_S_ERR is Negative
  • FIG. 27 is a sequence diagram illustrating an example of register communication including operations of a write counter according to the technology according to one embodiment.
  • FIG. 27 shows an example of register communication when writing setting information to the sensor register 311 in the MAC mode.
  • the Write counter also increments the counter value of the communication counter 416 in communication transfer units of register communication even when register communication in which communication information (FS_S_STATE) is not set is performed between the host 2 and the register 130. You may make it This makes it possible to detect communication that is not protected by functional safety/security functions. However, this alone poses safety and security problems, so it is desirable to determine a communication OK mode for each register area in CIS1 and register 130, and implement an implementation in which register 130 cannot be updated unless that mode is used. .
  • FIG. 28 shows a modification of the configuration (register map) of the registers 130 according to the technology according to one embodiment.
  • the sensor register 311 includes an area to be secured by a predetermined security process. It may be configured to be permitted when security processing is performed. It is desirable that the setting of each area is determined in advance when the product is started or manufactured, and that the configuration cannot be changed dynamically.
  • multiple writes may be permitted in one area, such as "writable by MAC or encryption” or "writable by CRC or MAC".
  • the designation of the area may be fixed at the time of designing the CIS 1, may be switched at the time of product manufacturing using Fuse or the like, or may be set at the time of startup.
  • a partial area of the sensor register 311 may be used as the MAC area.
  • the MAC area may store write data from the host 2 to the CIS 1 depending on the environment such as exposure time, and read data such as environmental information such as temperature information.
  • the communication information register 312 may be an area that can be read and written without MAC or encryption.
  • the communication information register 312 may be an area that can be read and written without MAC or encryption.
  • a partial area of the sensor register 311 may be an encrypted area.
  • dictionary information of functional sensors equipped with AI artificial intelligence
  • readout data such as environmental information such as temperature information
  • other operational mode information can also be privacy information depending on the installation environment, and are encrypted and stored in the encrypted area. You can remember.
  • FIG. 29 is a sequence diagram illustrating an example of register communication including operations of a write counter according to the technology according to one embodiment.
  • FIG. 29 shows an example of register communication when writing setting information to the sensor register 311 in the MAC mode.
  • the write counter increments the counter value of the communication counter 416 in communication transfer units of register communication even when register communication in which communication information (FS_S_STATE) is not set is performed between the host 2 and the register 130. can be This makes it possible to detect communication that is not protected by functional safety/security functions. In combination with this function, when register communication in which communication information is not set is performed between the host 2 and the register 130, writing of setting information to the sensor register 311 may not be reflected. good. This enables safer and more secure communication.
  • FIG. 29 shows an example in which the setting values are not reflected unless the CIS 1 is in the MAC mode and the MAC is not correct. If there is MAC mode register communication, the Write counter is incremented whether the MAC value is correct or not. In this case, the value is reflected in the register 130 if the MAC value is correct, and the value is not reflected in the register 130 if it is not correct.
  • the counter is incremented for each communication transfer. In this case, the value is not reflected in the register 130 because it is not the MAC mode.
  • FIG. 30 is a sequence diagram illustrating an example of register communication by the technique according to one embodiment.
  • FIG. 30 shows an example of register communication when writing setting information to the sensor register 311 in the CRC mode.
  • communication mode information including algorithm information corresponding to desired security processing is transmitted from the host 2 as communication information before writing or reading setting information to or from the sensor register 311. It may be configured as
  • FIG. 30 shows an example of register communication when the CRC operation mode is changed according to the amount of data to be transmitted by "various register settings".
  • the CIS 1 can select processing according to the length of the data.
  • the information on the CRC operation mode may be, for example, information on the selection of the CRC algorithm (for example, information on switching between CRC16 and CRC32).
  • the bit width of FS_S_STATE may be extended as a mode register, or the register area in the communication information register 312 may have a new register area as a mode register, for example, a register area for storing FS_S_MODE. good. That is, it may have two types of register areas for storing FS_S_STATE and FS_S_MODE as mode registers.
  • FIG. 31 is a sequence diagram illustrating an example of register communication by the technique according to one embodiment.
  • FIG. 31 shows an example of register communication when writing setting information to the sensor register 311 in the CRC mode.
  • the host 2 may transmit information notifying that communication mode information is included as communication information. For example, when notifying the communication mode information using the mode register, the host 2 may notify the CIS 1 whether or not there is a mode register using the FS_S_STATE bit.
  • FIG. 31 shows an example in which FS_S_STATE[7] notifies the presence or absence of the mode register (1: mode register present, 0: no mode register).
  • FIG. 32 is a sequence diagram illustrating an example of register communication by the technique according to one embodiment.
  • FIG. 32 shows an example of register communication when writing setting information to the sensor register 311 in the MAC mode.
  • information used for desired security processing is transmitted from the host 2 before communication information is transmitted from the host 2, and the information used for desired security processing is used as security data for functional safety and security purposes. It may be written in the data area 313 .
  • information necessary for processing other than MAC may also be transmitted from the host 2 as security data.
  • security data For example, MAC mode information when there are multiple algorithms and information such as IV when using GMAC may also be transmitted. In this case, information such as IV may be transmitted from the host 2 first.
  • the security data is large data of several bytes or more, by writing part of the data in the functional safety/security data area 313 in advance, the register area can be effectively used, and in parallel with the register communication ( MAC operations can be performed in parallel with various register communication times).
  • FIG. 33 is a sequence diagram illustrating an example of register communication including operations of a write counter according to the technology according to one embodiment.
  • FIG. 33 shows an example of register communication when writing setting information to the sensor register 311 in the CRC mode.
  • the setting information sent from the host 2 may include the counter expected value for the counter value of the Write counter.
  • Registers 130 may include a write counter expected value register that stores a write counter expected value.
  • the Write counter value and the Write counter expected value are compared. If FS_S_STATE changes from not0 to 0, the counter of the write counter expected value register is incremented and the expected value is also set. As a result, the Write counter expected value register can be subject to CRC and MAC checks in the same way as a normal register area.
  • FIG. 34 is a sequence diagram showing an example of register communication by the technique according to one embodiment.
  • FIG. 34 is a sequence diagram showing an example of register communication including the operation of the write counter according to the technology according to one embodiment.
  • the CIS 1 may have a register information store 420 as a temporary storage unit that temporarily stores the setting information sent from the host 2 (Fig. 14).
  • the write determination unit 410A of the CIS 1 determines whether the setting information stored in the temporary storage unit is correct based on the security data. The writing of the setting information may be reflected in the sensor register 311 when the counter expected value stored in the register matches.
  • the setting value may be written (reflecting the register value) only when the CRC value and MAC value match and the Write counter expected value also matches.
  • FIG. 35 is a sequence diagram illustrating an example of register communication by the technique according to one embodiment.
  • FIG. 35 shows an example of state notification within the CIS 1 when setting information is written in the CRC mode.
  • FIG. 35 shows an example of error detection by normal operation as error detection.
  • CIS1 by seeing that the processing state FS_S_ACT has become Low, it can be understood that the writing of the setting value to the sensor register 311 has been completed. If the error state FS_S_ERR remains Low and an error has not been detected, the reflection of the set value to the sensor register 311 is finished when the processing state FS_S_ACT becomes Low.
  • the CIS 1 judges whether the setting information is correct or incorrect based on the security data (CRC data or MAC data), and outputs error information as notification information in the error state FS_S_ERR when it is determined that the setting information is incorrect. .
  • FIG. 36 is a sequence diagram illustrating an example of register communication including operations of a write counter according to the technology according to one embodiment.
  • error information may be output as notification information.
  • error information is output as an unexpected or undefined process. You may do so.
  • FIG. 36 shows an example in which unintended register communication for writing is performed after register communication regarding writing of intended setting information in MAC mode from the host 2 to the CIS 1 is performed. For example, when register communication is performed without setting MAC_REGW in FS_S_STATE, CIS1 detects an error.
  • the Write counter also increments the counter value of the communication counter 416 in communication transfer units of register communication even when register communication in which communication information (FS_S_STATE) is not set is performed between the host 2 and the register 130. do. This makes it possible to detect communication that is not protected by functional safety/security functions.
  • the counter value may be output to Embedded Data in sensor data. Also, the counter value may be output to the register 130 .
  • the host 2 can indirectly know that there has been an unintended write. Also, by looking at the counter value, the number of unintended register writes can be known. On the host 2 side, it is possible to determine, for example, that there has been a Dos attack.
  • FIG. 37 is a sequence diagram illustrating an example of register communication by the technique according to one embodiment.
  • FIG. 37 shows an example of register communication when writing setting information to the sensor register 311 in the CRC mode.
  • the CIS 1 may output error information as notification information when register communication is performed between the host 2 and the register 130 by an unintended command that differs from the command indicated by the communication information.
  • FIG. 37 shows an example of error detection due to sequence violation.
  • a sequence violation for example, after a register write, a CRC or MAC write command is not generated, and another command is issued.
  • the previous process terminated halfway may be reset and the latter process may be prioritized.
  • FIG. 38 is a sequence diagram illustrating an example of register communication by the technique according to one embodiment.
  • FIG. 38 shows an example of register communication when writing setting information to the sensor register 311 in the MAC mode.
  • the CIS 1 may output error information as notification information when a command is not sent from the host 2 by register communication within a predetermined period.
  • a WDT watchdog timer
  • CIS1 may be included in CIS1 as a timer for setting the upper limit (MAX) time for processing, and may detect that the upper limit time has been exceeded and notify an error.
  • the upper limit value may be fixed at the time of designing the CIS 1, may be switched at the time of product manufacturing using Fuse or the like, or may be set at the time of start-up.
  • FIG. 39 is a sequence diagram illustrating an example of register communication including operation of a write counter according to the technology according to one embodiment.
  • FIG. 33 shows an example of register communication when writing setting information to the sensor register 311 in the CRC mode.
  • the setting information sent from the host 2 may include the counter expected value for the counter value of the Write counter.
  • Registers 130 may include a write counter expected value register that stores a write counter expected value.
  • the Write counter value and the Write counter expected value are compared. If FS_S_STATE changes from not0 to 0, the counter of the write counter expected value register is incremented and the expected value is also set. As a result, the Write counter expected value register can be subject to CRC and MAC checks in the same way as a normal register area.
  • error information may be output as notification information by the error state FS_S_ERR. This mechanism may be performed not only during writing but also during reading. This makes it possible to deal with replay attacks and the like.
  • FIG. 40 is a sequence diagram showing an example of register communication including operations of a Read counter and a Write counter according to the technology according to one embodiment.
  • FIG. 40 shows an example of register communication when writing setting information to the sensor register 311 in the MAC mode.
  • the CIS 1 reads out setting information from the sensor register 311 that is different from the setting information to be written ( register Read) may be configured to be enabled.
  • the register 130 which is normally read OK, can be read during processing related to register writing, and the data of the writing processing is not affected (the MAC value and CRC value are calculated only for the writing processing). This makes it possible to check the state information in the register 130 from the host 2 during processing related to register writing.
  • the functional safety/security data area 313 for storing the security data for the setting information is used as the address area of the register 130 in the CIS 1 as the data processing device.
  • a communication information register 312 for storing communication information between the CIS 1 and the host 2 , and register communication is performed between the CIS 1 and the host 2 . This makes it possible to improve security.
  • the data transmission system it is possible to realize a safety/security function that can be implemented within the range of existing standards/communication IF specifications.
  • the safety and security of the communication IF can be realized by changing the upper layers 113 and 213 with a high degree of freedom that can be realized by software or the like.
  • Hardware-level security can be incorporated at the development timing of each of the CIS 1 and the host 2 .
  • the present technology can also have the following configuration.
  • a security data area for storing security data for setting information and a communication information area for storing communication information with a host are provided as address areas of a register in a data processing device. and register communication between the data processing device and the host. This makes it possible to improve security.
  • Address areas include a setting area for storing setting information transmitted from a host, a security data area for storing security data for the setting information, and a communication information area for storing communication information with the host.
  • a register having A data processing apparatus comprising: a communication unit that performs register communication between the host and the register. (2) (1) above, wherein the communication information includes communication mode information indicating a communication mode of the register communication, status information indicating the start of the register communication, and status information indicating the end of the register communication. Data processing equipment. (3) The data according to (1) or (2), wherein the security data includes at least one of encrypted data including the setting information, an error detection code for the setting information, and a message authentication code for the setting information. processing equipment.
  • the data processing device according to . (5) a processing state output terminal for outputting the processing status to the host;
  • the data processing device according to (4) above further comprising: an error output terminal that outputs the error information to the host.
  • (6) a sensor unit;
  • a sensor unit a data output unit that adds a counter value from the communication counter to the sensor data output from the sensor unit and outputs the sensor data to the host;
  • the data processing device according to (12) above, wherein the data output unit adds the counter value from the communication counter to the sensor data at a timing synchronized with a synchronization timing signal for the sensor data.
  • a notification unit that outputs, as notification information, at least one of a processing status indicating a processing state in the register and error information that has occurred in processing in the register;
  • the data output unit adds the notification information from the notification unit and the counter value from the communication counter to the sensor data at timing synchronized with a synchronization timing signal for the sensor data.
  • the setting area includes an area targeted for security by a predetermined security process, and writing the setting information to the area targeted for security or reading the setting information from the area targeted for security includes the The data processing apparatus according to any one of (1) to (14) above, configured to be permitted when performing predetermined security processing.
  • the above ( 12) A data processing device according to any one of (14).
  • the setting information transmitted from the host includes a counter expected value for the counter value of the write counter;
  • the data processing device according to any one of (12) to (14) above, wherein the registers include an expected value register that stores the expected counter value.
  • a temporary storage unit that temporarily stores the setting information transmitted from the host; Based on the security data, the setting information stored in the temporary storage unit is judged to be correct or incorrect, and the setting information is judged to be correct, and the counter value of the write counter and the expected value register are stored.
  • the data processing device further comprising: a write determination unit that reflects the writing of the setting information in the setting area when the counter expected value matches.
  • the notification unit determines whether the setting information is correct or incorrect based on the security data, and outputs the error information as the notification information when the setting information is determined to be incorrect.
  • the data processing device according to any one of (6).
  • Communication mode information including algorithm information corresponding to desired security processing is transmitted from the host as the communication information before the setting information is written to or read from the setting area.
  • the data processing device according to any one of (1) to (28).
  • (30) The data processing apparatus according to (29) above, wherein information notifying that the communication mode information is included as the communication information is transmitted from the host.
  • (31) Information used for the desired security processing is transmitted from the host before the communication information is transmitted from the host, and the information used for the desired security processing is used as the security data.
  • the notification unit outputs the error information as the notification information when the communication information is not set between the host and the register and the unintended register communication is performed.
  • the data processing device according to any one of (6). (33)
  • the notification unit outputs the error information as the notification information when the register communication is performed by an unintended command different from the command indicated by the communication information between the host and the register.
  • the data processing device according to any one of (4) to (6). (34)
  • the notification unit outputs the error information as the notification information when no command is transmitted from the host by the register communication within a predetermined period of time.
  • Data processing apparatus as described. (35) The configuration is such that the setting information different from the setting information to be written can be read from the setting area within the writing process period of the setting information to the setting area based on the write request from the host.
  • the data processing device according to any one of (1) to (34) above.
  • the data processing device is As address areas, a setting area for storing setting information transmitted from the host, a security data area for storing security data for the setting information, and a communication information area for storing communication information with the host. and a register having A data transmission system comprising: a communication unit that performs register communication between the host and the register.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Communication Control (AREA)
  • Computer And Data Communications (AREA)

Abstract

本開示のデータ処理装置は、アドレス領域として、ホストから送信された設定情報を記憶する設定用領域と、設定情報に対するセキュリティ用データを記憶するセキュリティ用データ領域と、ホストとの間の通信情報を記憶する通信情報領域とを有するレジスタと、ホストとレジスタとの間でレジスタ通信を行う通信部とを備える。

Description

データ処理装置
　本開示は、データ処理装置に関する。
　ネットワークに繋がれたカメラからの画像データの伝送に関し、セキュリティを向上させる技術がある（例えば特許文献１，２参照）。一方、カメラには、イメージセンサによる撮像条件等に関する各種設定情報や、カメラ内部におけるイメージセンサからホストへの画像データの伝送に関する各種設定情報等を記憶するレジスタが設けられているものがある。
特開２０１９－３３３６８号公報 特表２０１８－５２５８６６号公報
　カメラ内部において、イメージセンサとホストとの間のレジスタ通信のセキュリティを向上させる技術の開発が望まれている。
　セキュリティを向上させることが可能なデータ処理装置を提供することが望ましい。
　本開示の一実施の形態に係るデータ処理装置は、アドレス領域として、ホストから送信された設定情報を記憶する設定用領域と、設定情報に対するセキュリティ用データを記憶するセキュリティ用データ領域と、ホストとの間の通信情報を記憶する通信情報領域とを有するレジスタと、ホストとレジスタとの間でレジスタ通信を行う通信部とを備える。
　本開示の一実施の形態に係るデータ処理装置では、データ処理装置におけるレジスタのアドレス領域として、設定情報に対するセキュリティ用データを記憶するセキュリティ用データ領域と、ホストとの間の通信情報を記憶する通信情報領域とを有し、データ処理装置とホストとの間でレジスタ通信が行われる。
本開示の一実施の形態に係るデータ伝送システムの全体構成例を概略的に示すブロック図である。 一般的なセーフティ・セキュリティ技術として、ＣＲＣコード付加による通信の一例を概略的に示す説明図である。 一般的なセーフティ・セキュリティ技術として、メッセージ認証コード付加による通信の一例を概略的に示す説明図である。 一般的なセーフティ・セキュリティ技術として、暗号化による通信の一例を概略的に示す説明図である。 一実施の形態に係る技術によるレジスタの構成（レジスタマップ）の一例を示す説明図である。 一実施の形態に係る技術によるレジスタ通信の一例を示すシーケンス図である。 一実施の形態に係る技術によるレジスタ通信の一例を示すシーケンス図である。 通信情報の送信を一部省略する場合のレジスタ通信の一例を示すシーケンス図である。 通信情報の送信を一部省略する場合のレジスタ通信の一例を示すシーケンス図である。 一実施の形態に係るデータ処理装置としてのＣＩＳの第１の構成例を概略的に示すブロック図である。 図１０に示したＣＩＳにおける書き込み判定部の具体例を示すブロック図である。 図１０に示した構成例によって実現されるレジスタ通信の一例を示すシーケンス図である。 一実施の形態に係る技術によるレジスタ通信の一例を示すシーケンス図である。 一実施の形態に係るデータ処理装置としてのＣＩＳの第２の構成例を概略的に示すブロック図である。 図１４に示したＣＩＳにおける書き込み判定部の具体例を示すブロック図である。 図１５に示した構成例によって実現されるＣＲＣモードによるレジスタ通信の一例を示すシーケンス図である。 一実施の形態に係る技術による暗号化モードによるレジスタ通信の一例を示すシーケンス図である。 一実施の形態に係る技術によって読み出しを行う場合のレジスタ通信の一例を示すシーケンス図である。 一実施の形態に係る技術によって暗号化モードによる読み出しを行う場合のレジスタ通信の一例を示すシーケンス図である。 一実施の形態に係る技術によるレジスタ通信の一例を示すシーケンス図である。 一実施の形態に係る技術によるＷｒｉｔｅカウンタの動作を含むレジスタ通信の一例を示すシーケンス図である。 一実施の形態に係る技術によるＲｅａｄカウンタの動作を含むレジスタ通信の一例を示すシーケンス図である。 一実施の形態に係る技術によるＲｅａｄカウンタの動作を含むレジスタ通信の一例を示すシーケンス図である。 一実施の形態に係るデータ処理装置としてのＣＩＳの第３の構成例を概略的に示すブロック図である。 一実施の形態に係る技術によるＷｒｉｔｅカウンタの動作を含むレジスタ通信の一例を示すシーケンス図である。 一実施の形態に係るデータ処理装置としてのＣＩＳの第４の構成例を概略的に示すブロック図である。 一実施の形態に係る技術によるＷｒｉｔｅカウンタの動作を含むレジスタ通信の一例を示すシーケンス図である。 一実施の形態に係る技術によるレジスタの構成（レジスタマップ）の変形例を示す説明図である。 一実施の形態に係る技術によるＷｒｉｔｅカウンタの動作を含むレジスタ通信の一例を示すシーケンス図である。 一実施の形態に係る技術によるレジスタ通信の一例を示すシーケンス図である。 一実施の形態に係る技術によるレジスタ通信の一例を示すシーケンス図である。 一実施の形態に係る技術によるレジスタ通信の一例を示すシーケンス図である。 一実施の形態に係る技術によるＷｒｉｔｅカウンタの動作を含むレジスタ通信の一例を示すシーケンス図である。 一実施の形態に係る技術によるＷｒｉｔｅカウンタの動作を含むレジスタ通信の一例を示すシーケンス図である。 一実施の形態に係る技術によるレジスタ通信の一例を示すシーケンス図である。 一実施の形態に係る技術によるＷｒｉｔｅカウンタの動作を含むレジスタ通信の一例を示すシーケンス図である。 一実施の形態に係る技術によるレジスタ通信の一例を示すシーケンス図である。 一実施の形態に係る技術によるレジスタ通信の一例を示すシーケンス図である。 一実施の形態に係る技術によるＷｒｉｔｅカウンタの動作を含むレジスタ通信の一例を示すシーケンス図である。 一実施の形態に係る技術によるＲｅａｄカウンタおよびＷｒｉｔｅカウンタの動作を含むレジスタ通信の一例を示すシーケンス図である。
　以下、本開示の実施の形態について図面を参照して詳細に説明する。なお、説明は以下の順序で行う。
　１．一実施の形態
　　１．１　データ伝送システムの全体構成および課題（図１～図４）
　　１．２　一実施の形態に係る技術によるセーフティ・セキュリティ技術（図５～図４０）
　　　１．２．１　セーフティ・セキュリティ技術の概要
　　　１．２．２　セーフティ・セキュリティ技術の具体例
　　１．３　効果
　２．その他の実施の形態
 
＜１．一実施の形態＞
［１．１　データ伝送システムの全体構成および課題］
（データ伝送システムの全体構成例）
　図１は、本開示の一実施の形態に係るデータ伝送システムの全体構成例を概略的に示している。
　一実施の形態に係るデータ伝送システムは、例えば、カメラ内部におけるイメージセンサ（ＣＩＳ（CMOS（Complementary Metal-Oxide Semiconductor） Image Sensor）１）と、ホスト２との間のレジスタ通信のセキュリティを向上させる技術に関する。
　一実施の形態に係るデータ伝送システムは、データ処理装置としてのＣＩＳ１と、ホスト２と、伝送路３と、伝送路４とを備えている。
　ＣＩＳ１は、通信部１１０と、上位層１１３と、通信部１２０と、データ処理部１２３と、センサ部１２４とを備えている。
　通信部１１０は、物理層（ＰＨＹ）１１１と、リンク層（ＬＩＮＫ）１１２とを有している。通信部１２０は、物理層（ＰＨＹ）１２１と、リンク層（ＬＩＮＫ）１２２とを有している。
　上位層１１３は、レジスタ１３０と、ＣＰＵ（Central Processing Unit）１３１と、ハードウェア（ＨＷ）１３２とを有している。なお、上位層１１３として、ＣＰＵ１３１を省略した構成とすることも可能である。
　ホスト２は、通信部２１０と、上位層２１３と、通信部２２０と、データ処理部２２３とを備えている。
　通信部２１０は、物理層（ＰＨＹ）２１１と、リンク層（ＬＩＮＫ）２１２とを有している。通信部２２０は、物理層（ＰＨＹ）２２１と、リンク層（ＬＩＮＫ）２２２とを有している。
　上位層２１３は、レジスタ２３０と、ＣＰＵ２３１と、ハードウェア（ＨＷ）２３２とを有している。
　一般的にＣＩＳ１は、ＣＩＳ１をスレーブ、ホスト２をマスタとして通信する通信ＩＦ（レジスタＩＦ）と、センサ部１２４で取得した画像データなどの大きなデータを出力する高速ＩＦ（データ出力ＩＦ）とを持つ。
　ＣＩＳ１の通信部１１０とホスト２の通信部１１０はそれぞれ、伝送路３を介して互いのレジスタ１３０，２３０間で相互通信（レジスタ通信）可能な通信ＩＦ（レジスタＩＦ）を構成している。レジスタＩＦは、プロトコルの異なる複数種類のＩＦを搭載して複数種類のＩＦを切り替え可能に構成されていてもよい。例えばＳＰＩ（Serial Peripheral Interface）とＩ２Ｃ（Inter Integrated Circuit）との２種類のＩＦを搭載して切り替え可能に構成されていてもよい。
　ＣＩＳ１の通信部１２０は、伝送路４を介してホスト２の通信部２２０に対してセンサ部１２４から取得された画像データなどの大きなデータを出力する高速ＩＦ（データ出力ＩＦ）を構成している。高速ＩＦとしては、例えば、ＭＩＰＩ（Mobile Industry Processor Interface）、ＳＬＶＳ－ＥＣ（Scalable Low Voltage Signaling with Embedded Clock）、ＳＬＶＳ（Scalable Low Voltage Signaling）などがある。
　ＣＩＳ１のレジスタ１３０は、レジスタＩＦを介してホスト２から送信された設定情報を記憶する。レジスタ１３０に設定情報としてどのような値を設定するかでＣＩＳ１内部の各部の処理動作が決定される。設定情報としては例えば、露光時間、Ｇａｉｎ、解像度（画素加算、間引き数）、フレームレート、ＲＯＩ（Region of Interest）、およびその他動作モード等の情報がある。また、ＣＩＳ１のレジスタ１３０には、ＣＩＳ１内の各種状態の情報や環境情報等が記憶される。レジスタ１３０に記憶された各種状態の情報や環境情報等はレジスタＩＦを介してホスト２から読み出し可能となっている。各種状態の情報や環境情報等としては、例えばＣＩＳ１の内部の温度情報や、センサ部１２４からの画像情報をデータ処理部１２３で処理した際のメタデータ、エラーやワーニングの検出情報などがある。
　ホスト２では、ＣＩＳ１にどのような振る舞いをさせるかを上位層２１３で決定し、レジスタＩＦを介してＣＩＳ１の振る舞いを決める値を設定情報として送信する。ホスト２は、ＣＩＳ１のレジスタ１３０から読み出した各種状態の情報や環境情報等に応じて、設定情報の値を変更する。ユースケースによって、ＣＩＳ１にどのような振る舞いをさせるかは異なるため、ホスト２のＣＰＵ２３１のＳＷ（ソフトウェア）は比較的簡単に書き換え可能な構成になっていることが多い。上位層２１３がＦＰＧＡ（Field Programmable Gate Array）で構成される場合、ＣＰＵ２３１およびハードウェア２３２ともに可変な構成となっている。
　レジスタＩＦを構成する物理層１１１，２１１やリンク層１１２，２１２の規格などをルール化して決めることで、製品によらずＣＩＳ１とホスト２との間の通信が可能となる。製品に特化した部分は、例えばレジスタ１３０，２３０の仕様（アドレスと値の定義）等によって上位層１１３，２１３のみで決めればよい。例えば、レジスタＩＦにおいて、設定情報の送信の仕方をどのように行うかを物理層１１１，２１１やリンク層１１２，２１２の仕様としてルール化しておく。これにより、上位層１１３，２１３はレジスタ１３０，２３０のアドレスとそのレジスタ１３０に値が設定された場合の動作などの定義をするだけで、レジスタＩＦを介してＣＩＳ１とホスト２との間で制御情報やその他の情報をやり取りできる。
（一般的なセーフティ・セキュリティ技術）
　図２には、一般的なセーフティ・セキュリティ技術として、ＣＲＣコード（誤り検出符号）付加による通信の一例を概略的に示す。
　データの電磁ノイズ等による反転を検出する機能にＣＲＣ（誤り判定）やＥＣＣ（誤り補正）がある。例えばＣＲＣでは、通信対象のデータの他にデータが反転などしてないことを判定するためのＣＲＣコードを付加する。データ出力側では、データに基づいてＣＲＣコードを生成し、データに生成したＣＲＣコードを付加して出力する。データ入力側では、入力されたデータに基づいてＣＲＣコードを生成し、データに付加されたＣＲＣコードとの比較を行うことでデータの誤り判定を行う。
　図３には、一般的なセーフティ・セキュリティ技術として、メッセージ認証コード（ＭＡＣ）付加による通信の一例を概略的に示す。
　データの改ざんやなりすましによるデータ送信を検出する機能にＭＡＣや署名を付加する技術がある。通信ＩＦなどのリアルタイム性を要求される通信には一般的にＭＡＣが使われることが多い（署名を使ってもよい）。ＭＡＣを付加する技術の場合、データ出力側とデータ入力側とで共通暗号秘密鍵Ｋ（ＫＢ）を持つ。データ出力側では、共通暗号秘密鍵Ｋ（ＫＢ）を用いてＭＡＣを生成し、通信対象のデータに、生成したＭＡＣを付加して出力する。ＭＡＣのアルゴリズムによっては、ＩＶ（イニシャルベクタ）の情報も付加して出力する。例えばＣＭＡＣ（Cipher-based Message Authentication Code）の場合はＩＶ０で計算するためＩＶ情報は不要だが、ＧＭＡＣ（Galois Message Authentication Code）を使用する場合はＩＶの情報も付加して出力する。データ入力側では、共通暗号秘密鍵Ｋ（ＫＢ）を用いてＭＡＣを生成し、データに付加されたＭＡＣとの比較を行うことでデータの認証を行う。
　図４には、一般的なセーフティ・セキュリティ技術として、暗号化による通信の一例を概略的に示す。
　データ自体を盗み見されないようにするために、暗号化技術を使う場合がある。暗号化技術を用いる場合、例えば、データ出力側とデータ入力側とで共通暗号秘密鍵Ｋ（ＫＢ）を持つ。データ出力側では、共通暗号秘密鍵Ｋ（ＫＢ）とＩＶ（イニシャルベクタ）とを用いて通信対象のデータを暗号化して暗号データを生成して出力する。データ入力側では、共通暗号秘密鍵Ｋ（ＫＢ）とＩＶとを用いて暗号データを復号化する。
（課題）
　例えば図１に示したようなデータ伝送システムの構成において、ＣＩＳ１へのセキュリティ要求が出始めているが、ＣＩＳ１の顧客全体から同じセキュリティ要求があるわけではない。また、産業機器などの製品寿命が長いものは、すべての製品向けのホスト２（ＦＰＧＡやＡＳＩＣ（Application Specific Integrated Circuit））をＣＩＳ１のセキュリティプロトコルに対応したものに同時に変えることは難しい。レジスタＩＦは、プロトコルの異なる複数種類のＩＦを搭載して複数種類のＩＦを切り替え可能に構成されているものがあるが、この場合、各ＩＦのプロトコルは変更せずにレジスタＩＦのセキュリティを守ることができる仕様が必要になる。どのような機能が必要になるかはＣＩＳ１が組み込まれるアプリケーションによって変わる。上述したように、セキュリティ技術としては、ＣＲＣ、ＭＡＣ、および暗号化などがあるが、それぞれによって得られる機能は異なる。必要となる機能ごとにレジスタＩＦのプロトコルを異なったものとして定義すると、技術拡張がしづらく、内容によってはレジスタＩＦの物理層１１１，２１１やリンク層１１２，２１２のプロトコルを更新し続ける必要があり、コストがかかる。
　従って、既存のレジスタＩＦの規格および仕様の範囲内で実現可能なセーフティ・セキュリティ機能の実現が望まれている。レジスタＩＦの部分ではなく、ソフトウェアの変更やハードウェア１３２，２３２の追加等で実現できる自由度の高い上位層１１３，２１３の仕様変更によって、レジスタＩＦのセーフティ・セキュリティ機能を実現することが望ましい。これにより、既存のレジスタＩＦを用いたまま、セキュリティを向上させることが可能となる。
［１．２　一実施の形態に係る技術によるセーフティ・セキュリティ技術］
　次に、一実施の形態に係るデータ伝送システムによるセーフティ・セキュリティ技術の詳細を説明する。
（１．２．１　セーフティ・セキュリティ技術の概要）
　図５は、一実施の形態に係る技術によるレジスタ１３０の構成（レジスタマップ）の一例を示している。なお、図５に示したレジスタマップにおけるアドレスは一例であり、必要に応じて変更可能である。
　ＣＩＳ１におけるレジスタ１３０は、アドレス領域として、ホスト２から送信された設定情報を記憶する設定用領域（センサレジスタ３１１）を有する。一実施の形態に係る技術ではセンサレジスタ３１１に加えさらに、セーフティ・セキュリティ用のアドレス領域として、設定情報に対するセキュリティ用データを記憶するセキュリティ用データ領域（機能安全・セキュリティ用データ領域３１３）と、ホスト２との間の通信情報を記憶する通信情報領域（通信情報レジスタ３１２）とを有する。
　一実施の形態に係る技術では、ＣＩＳ１ホスト２との間で、レジスタ１３０におけるセーフティ・セキュリティ用のアドレス領域を用いて、上位層１１３，２１３においてセーフティ・セキュリティ情報をやり取りする。既存のレジスタＩＦによって接続可能な対象が対応している機能を選択、あるいは後から変更可能な構成にすることで、レジスタＩＦのプロトコル上のルールで決めるのではなく、上位層１１３，２１３でセーフティ・セキュリティのチェックを行うことを可能にする。一実施の形態に係る技術では、セーフティ・セキュリティ用のアドレス領域か否かを判定する機能や、セーフティ・セキュリティ用のアドレス領域にアクセスさせるか否かを選択可能な機能を持ってもよい。
　機能安全・セキュリティ用データ領域３１３は、後述するように、セキュリティ用データとして例えば、設定情報に関する誤り検出符号（ＣＲＣコード）や設定情報に関するメッセージ認証コード（ＭＡＣ）を記憶する。また、機能安全・セキュリティ用データ領域３１３は、後述するように、セキュリティ用データとして例えば、設定情報を含む暗号データを記憶する。機能安全・セキュリティ用データ領域３１３は、例えば、２５６ｂｙｔｅ×ｎのアドレス領域である。機能安全・セキュリティ用データ領域３１３には、セキュリティ用データの書き込み用のＷｒｉｔｅレジスタと、読み出し用のＲｅａｄレジスタとが含まれてもよい。
　通信情報レジスタ３１２は、セーフティ・セキュリティ用のモード設定レジスタである。通信情報レジスタ３１２は、通信情報として例えば、レジスタ通信の通信モードを示す通信モード情報と、レジスタ通信の通信開始を示すステータス情報と、レジスタ通信の通信終了を示すステータス情報とを記憶する。通信情報は例えば後述するように、ＦＳ＿Ｓ＿ＳＴＡＴＥによって示される。例えば、ＦＳ＿Ｓ＿ＳＴＡＴＥ＝０で通信終了を示し、ＦＳ＿Ｓ＿ＳＴＡＴＥ≠０で通信開始を示す。
　なお、例えば、ＣＩＳ１におけるＣＰＵコードあるいはＦｕｓｅによって、レジスタ１３０の機能安全・セキュリティ用データ領域３１３および通信情報レジスタ３１２を使用するか否かを切り替え可能に構成されていてもよい。また、ＣＰＵコードあるいはＦｕｓｅによって、セーフティ・セキュリティ技術による複数の機能のいずれを使用するかを切り替えられるように構成してもよい。通信情報レジスタ３１２および機能安全・セキュリティ用データ領域３１３を複数の機能で共通で使用することでレジスタ領域のサイズを小さくできる。製品起動時の設定、あるいはソフトウェア部分の変更あるいはＦｕｓｅでの切り替えによって、複数の機能のいずれを使用するかを後から選択できる。
　通信情報レジスタ３１２および機能安全・セキュリティ用データ領域３１３のアドレス領域は、複数のセーフティ・セキュリティ技術の機能のうち、対応可能な動作モードの機能に必要な領域のみ用意すればよい。例えば、ＣＲＣのみに対応する場合など、大きな領域を必要としなければ通信情報レジスタ３１２および機能安全・セキュリティ用データ領域３１３のアドレス領域は小さいサイズでもよい。ＣＩＳ１がＣＲＣとＭＡＣに対応可能なら、ＣＲＣあるいはＭＡＣに必要なアドレス領域の大きい方のサイズのみ用意すればよい。ＣＲＣとＭＡＣとの両方に対応可能な構成する場合であっても、ＣＲＣ用のアドレス領域とＭＡＣ用のアドレス領域との両方を用意する必要はない。
　一実施の形態に係る技術では、スレーブであるＣＩＳ１側からのセーフティ・セキュリティに関する通知情報を通知する機能を有している。通知情報は例えば、後述するように、レジスタ１３０における処理状態を示す処理ステータスや、レジスタ１３０における処理に生じたエラー情報であってもよい。処理ステータスは例えば後述するように、処理ステートＦＳ＿Ｓ＿ＡＣＴによって示される。エラー情報は例えば後述するように、エラーステートＦＳ＿Ｓ＿ＥＲＲによって示される。ＣＩＳ１は、通知情報を出力する通知部を有する。通知部は例えば、後述する、書き込み判定部４１０，４１０Ａ、およびレジスタ情報ストア４２０（後述する図１０、図１４等）であってもよい。通知情報は、後述する図１０、図１４等に示すように専用の端子（処理ステート出力端子５０１、およびエラー出力端子５０２）によってホスト２に出力するようにしてもよい。レジスタＩＦまたは別のＩＦとして、Ｉ３Ｃ（Improved Inter Integrated Circuits）のようなスレーブ側が割り込み機能を持つＩＦを備え、その割り込み機能を持つＩＦを使って通知情報をホスト２に出力するようにしてもよい。また、データ出力部としての通信部１２０において、センサ部１２４から出力されたセンサデータに通知部からの通知情報を付加してホスト２にセンサデータと共に出力するようにしてもよい。通知情報の通知方法は、以上の複数の方法の組み合わせであってもよい。
（１．２．２　セーフティ・セキュリティ技術の具体例）
　以下では、ＭＡＣを用いた通信モードをＭＡＣモード、ＣＲＣを用いた通信モードをＣＲＣモード、暗号化を用いた通信モードを暗号化モードという。
（ＭＡＣモードによる設定情報の書き込みの例）
　図６は、一実施の形態に係る技術によるレジスタ通信の一例を示すシーケンス図である。図６には、ＭＡＣモードによってセンサレジスタ３１１に設定情報の書き込みを行う場合のレジスタ通信の一例を示す。
　まず、レジスタＩＦを介してホスト２から、通信情報として、ＭＡＣモードによるセンサレジスタ３１１への設定情報の書き込みの開始要求を示すステータスＦＳ＿Ｓ＿ＳＴＡＴＥ＝ＭＡＣ＿ＲＥＧＷが送信される。ＣＩＳ１では、通信情報レジスタ３１２のＦＳ＿Ｓ＿ＳＴＥＴＥレジスタに動作モード値（ＭＡＣ＿ＲＥＧＷ）を単発Ｗｒｉｔｅ（書き込み）する。次に、レジスタＩＦを介してホスト２から、センサレジスタ３１１への設定情報が送信される。設定情報としては、例えば、センサレジスタ３１１における設定値を変えたいアドレスと設定値群（複数組み合わせ可能）とを送信する。ＣＩＳ１では、センサレジスタ３１１に設定情報の書き込みを行う。これにより、センサレジスタ３１１において各種レジスタ設定がなされる。センサレジスタ３１１では、書き込みが必要なレジスタ群に単発Ｗｒｉｔｅ（書き込み）と連続Ｗｒｉｔｅ（書き込み）とを組み合わせて書き込みするようにしてもよい。
　次に、レジスタＩＦを介してホスト２から、通信情報として、ＭＡＣモードによるセンサレジスタ３１１への設定情報の書き込みの終了要求を示すステータスＦＳ＿Ｓ＿ＳＴＡＴＥ＝０が送信される。ＣＩＳ１では、通信情報レジスタ３１２のＦＳ＿Ｓ＿ＳＴＥＴＥレジスタの動作モード値を０にする。
　次に、レジスタＩＦを介してホスト２から、通信情報として、ＭＡＣモードによるセキュリティ用データの書き込みの開始要求を示すステータスＦＳ＿Ｓ＿ＳＴＡＴＥ＝ＭＡＣ＿ＤＡＴＡＷが送信される。ＣＩＳ１では、通信情報レジスタ３１２のＦＳ＿Ｓ＿ＳＴＥＴＥレジスタに動作モード値（ＭＡＣ＿ＤＡＴＡＷ）を単発Ｗｒｉｔｅ（書き込み）する。次に、レジスタＩＦを介してホスト２から、ＭＡＣモードによるセキュリティ用データ（ＭＡＣデータ）が送信される。ＣＩＳ１では、機能安全・セキュリティ用データ領域３１３にＭＡＣデータの書き込みを行う。ＭＡＣデータは、転送速度の速いバースト転送により送信されてもよい。セキュリティ用データとしては、ＭＡＣ以外の処理に必要な情報も送信されてもよい。例えば、複数アルゴリズムがある場合のＭＡＣのモード情報やＧＭＡＣ使用時のＩＶなどの情報も送信されてもよい。複数アルゴリズムに対応可能な場合、あらかじめ、製品の起動時やＦｕｓｅなどで動作モードを固定してもよい。
　次に、レジスタＩＦを介してホスト２から、通信情報として、ＭＡＣモードによるセキュリティ用データの書き込みの終了要求を示すステータスＦＳ＿Ｓ＿ＳＴＡＴＥ＝０が送信される。ＣＩＳ１では、通信情報レジスタ３１２のＦＳ＿Ｓ＿ＳＴＥＴＥレジスタの動作モード値を０にする。
　以上のように、一実施の形態に係る技術では、ホスト２から通信情報として通信モードを通知することで、ＣＩＳ１では複数の転送モードに対応できる。以上のように、一実施の形態に係る技術では、通信情報レジスタ３１２に通信情報として、通信開始を示すステータス情報と通信終了を示すステータス情報とを記憶することで、設定したいレジスタ１３０のアドレス領域によらず、ホスト２からデータのかたまりを送信することができ、バースト転送などの転送単位に影響されない通信を行うことができる。また、データの送信開始をホスト２とＣＩＳ１との間で明確にできる。一実施の形態に係る技術では、複数のアドレスとデータとをまとめてＣＲＣ、ＭＡＣ、または暗号化の対象にできる。一実施の形態に係る技術では、転送単位ごとなどにＣＲＣデータやＭＡＣデータを送信するより、効率よくデータを送信できる。
（ＣＲＣモードによる設定情報の書き込みの例）
　図７は、一実施の形態に係る技術によるレジスタ通信の一例を示すシーケンス図である。図７には、ＣＲＣモードによってセンサレジスタ３１１に設定情報の書き込みを行う場合のレジスタ通信の一例を示す。また、図７には、設定情報の送信からＣＲＣデータの送信までの間に比較的時間が掛かる場合の例を示す。
　なお、ＣＲＣモードとＭＡＣモードでは、守りたい対象のデータに対して行う演算処理が異なるだけで動作イメージは基本的に同様である。
　まず、レジスタＩＦを介してホスト２から、通信情報として、ＣＲＣモードによるセンサレジスタ３１１への設定情報の書き込みの開始要求を示すステータスＦＳ＿Ｓ＿ＳＴＡＴＥ＝ＣＲＣ＿ＲＥＧＷが送信される。設定情報としては、例えば、センサレジスタ３１１における設定値を変えたいアドレスと設定値群（複数組み合わせ可能）とを送信する。ＣＩＳ１では、通信情報レジスタ３１２のＦＳ＿Ｓ＿ＳＴＥＴＥレジスタに動作モード値（ＣＲＣ＿ＲＥＧＷ）を単発Ｗｒｉｔｅ（書き込み）する。次に、レジスタＩＦを介してホスト２から、センサレジスタ３１１への設定情報が送信される。ＣＩＳ１では、センサレジスタ３１１に設定情報の書き込みを行う。これにより、センサレジスタ３１１において各種レジスタ設定がなされる。センサレジスタ３１１では、書き込みが必要なレジスタ群に単発Ｗｒｉｔｅ（書き込み）と連続Ｗｒｉｔｅ（書き込み）とを組み合わせて書き込みするようにしてもよい。
　次に、レジスタＩＦを介してホスト２から、通信情報として、ＣＲＣモードによるセンサレジスタ３１１への設定情報の書き込みの終了要求を示すステータスＦＳ＿Ｓ＿ＳＴＡＴＥ＝０が送信される。ＣＩＳ１では、通信情報レジスタ３１２のＦＳ＿Ｓ＿ＳＴＥＴＥレジスタの動作モード値を０にする。
　次に、レジスタＩＦを介してホスト２から、通信情報として、ＣＲＣモードによるセキュリティ用データの書き込みの開始要求を示すステータスＦＳ＿Ｓ＿ＳＴＡＴＥ＝ＣＲＣ＿ＤＡＴＡＷが送信される。ＣＩＳ１では、通信情報レジスタ３１２のＦＳ＿Ｓ＿ＳＴＥＴＥレジスタに動作モード値（ＣＲＣ＿ＤＡＴＡＷ）を単発Ｗｒｉｔｅ（書き込み）する。次に、レジスタＩＦを介してホスト２から、ＣＲＣモードによるセキュリティ用データ（ＣＲＣデータ）が送信される。ＣＩＳ１では、機能安全・セキュリティ用データ領域３１３にＣＲＣデータの書き込みを行う。ＣＲＣデータは、転送速度の速いバースト転送により送信されてもよい。セキュリティ用データとしては、ＣＲＣ以外の処理に必要な情報も送信されてもよい。例えば、複数アルゴリズムがある場合のＣＲＣのモード情報も送信されてもよい。複数アルゴリズムに対応可能な場合、あらかじめ、製品の起動時やＦｕｓｅなどで動作モードを固定してもよい。また、ＣＩＳ１では、ステータスＦＳ＿Ｓ＿ＳＴＡＴＥ＝ＣＲＣ＿ＲＥＧＷの送信から各種レジスタ設定のための設定情報の送信が完了するまでの間にＣＲＣデータを生成する。
　次に、レジスタＩＦを介してホスト２から、通信情報として、ＣＲＣモードによるセキュリティ用データの書き込みの終了要求を示すステータスＦＳ＿Ｓ＿ＳＴＡＴＥ＝０が送信される。ＣＩＳ１では、通信情報レジスタ３１２のＦＳ＿Ｓ＿ＳＴＥＴＥレジスタの動作モード値を０にする。
（通信情報の送信を一部省略する例）
　第１の通信モードによるレジスタ通信を行った後、第２の通信モードによるレジスタ通信を行う場合に、第１の通信モードによるレジスタ通信の通信終了を示すステータス情報を省略可能に構成してもよい。例えば、図６および図７に示したレジスタ通信の例において、通信終了を示すステータスＦＳ＿Ｓ＿ＳＴＡＴＥ＝０を一部、省略するようにしてもよい。
　図８および図９には、通信情報の送信を一部省略する場合のレジスタ通信の一例を示すシーケンス図である。図８および図９には、設定情報の送信からＣＲＣデータの送信までの間に比較的時間が掛からない場合の例を示す。
　図８には、ＣＲＣモードによってセンサレジスタ３１１に設定情報の書き込みを行う場合のレジスタ通信の一例を示す。例えば図８に示す例のように、第１の通信モードとして、ＣＲＣモードによるセンサレジスタ３１１への設定情報の書き込みを行う通信モード（ＣＲＣ＿ＲＥＧモード）からすぐに、第２の通信モードとして、ＣＲＣモードによるセキュリティ用データの書き込みを行う通信モード（ＣＲＣ＿ＤＡＴＡモード）に遷移できる場合は、ＣＲＣ＿ＲＥＧモードの通信終了を示すステータス（ＦＳ＿Ｓ＿ＳＴＡＴＥ＝０）を省略するようにしてもよい。
　図９には、ＣＲＣモードによってセンサレジスタ３１１に設定情報の書き込みを行う場合において、ホスト２から通信情報としてさらにＣＲＣのアルゴリズムを指定する情報を送信する場合のレジスタ通信の一例を示す。図９の例では、ホスト２からＣＲＣ＿ＲＥＧモードの開始要求を示すステータスＦＳ＿Ｓ＿ＭＯＤＥ＝ＣＲＣ＿ＲＥＧの送信後、ホスト２からＣＲＣの動作モードとしてＣＲＣ１６であることを示すステータスＦＳ＿Ｓ＿ＭＯＤＥ＝ＣＲＣ１６を送信している。その後、各種レジスタ設定のデータを送信し、ＣＲＣ＿ＲＥＧモードの通信終了を示すステータス（ＦＳ＿Ｓ＿ＳＴＡＴＥ＝０）を省略した後すぐに、ＣＲＣ＿ＤＡＴＡモードに遷移している。
（回路構成例１）
　図１０は、一実施の形態に係るデータ処理装置としてのＣＩＳ１の第１の構成例を概略的に示している。
　図１０に示した第１の構成例では、ＣＩＳ１は、通信部１１０と、通信部１２０と、データ処理部１２３と、センサ部１２４と、レジスタ１３０と、書き込み判定部４１０と、処理ステート出力端子５０１と、出力端子５０２とを備えている。
　処理ステート出力端子５０１は、通知情報として、レジスタ１３０における処理状態を示す処理ステータス（処理ステートＦＳ＿Ｓ＿ＡＣＴ）をホスト２に出力する。エラー出力端子５０２は、通知情報としてレジスタ１３０における処理に生じたエラー情報（エラーステートＦＳ＿Ｓ＿ＥＲＲ）をホスト２に出力する。
　データ処理部１２３は、センサ部１２４から出力されたセンサデータに各種のデータ処理を行う。通信部１２０は、データ処理部１２３において各種データ処理がなされたセンサデータにエラー情報等の通知情報を付加して、ホスト２にセンサデータを出力する。
　図１０には、センサレジスタ３１１に設定値を書き込んだ後、書き込まれた値が正しい値か否かを例えばＣＲＣによって判断する場合の構成例を示す。センサレジスタ３１１には、通信部１００を介してホスト２からの設定値が順次、反映される。なお、ＣＩＳ１の各部における設定値の反映は、例えばセンサデータのフレーム同期信号（Ｆｒａｍｅ　Ｓｙｎｃ）のタイミングでラッチされた後になされてもよい。この構成例では、後述する図１４に示す構成例のようなセンサレジスタ３１１への設定値を一時記憶するストア用のメモリ（レジスタ情報ストア４２０）などがいらないので、通信に上限を設けなくてよい。この構成例では、レジスタ１３０には所望以外の値が書き込まれてしまう可能性があるが、その場合、センサデータやエラー出力端子５０２にエラー情報を出力することで、設定値の誤りをホスト２へ通知することができる。なお、エラー情報や処理ステータスはエラー出力端子５０２や処理ステート出力端子５０１を介してホスト２へ出力するのではなく、レジスタ１３０から読み出しできるような構成にしてもよい（レジスタ通信を利用してもよい）。
　図１１には、図１０に示したＣＩＳ１における書き込み判定部４１０の具体例を示す。
　書き込み判定部４１０は、レジスタ通信検出部４１１と、データ演算部４１２と、エラー検出部４１３と、Ｗｒｉｔｅカウンタ４１４とを有する。
　レジスタ通信検出部４１１は、レジスタ通信があったことを検出する。データ演算部４１２は、ＣＲＣ、ＭＡＣ、および暗号化等に関する演算を行う。エラー検出部４１３は、データ演算部４１２の演算結果に基づくエラー検出を行う。Ｗｒｉｔｅカウンタ４１４は、レジスタ通信検出部４１１の検出結果に基づいて、レジスタ１３０への書き込み要求があったことをカウントする。
　書き込み判定部４１０は、センサレジスタ３１１に対して設定情報の書き込みが反映された後、セキュリティ用データに基づいて、センサレジスタ３１１に反映された設定情報の正誤判定を行う。通信情報レジスタ３１２からは、書き込み判定部４１０に対して、データ演算部４１２における演算開始タイミングおよび演算完了タイミングの通知が行われる。また、通信情報レジスタ３１２からは、ＣＲＣデータやＭＡＣデータ等のセキュリティ用データの機能安全・セキュリティ用データ領域３１３への書き込み完了（判定タイミング）などの通知が行われる。
　図１２は、図１０に示した構成例によって実現されるレジスタ通信の一例を示すシーケンス図である。図１２には、ＣＲＣモードによってセンサレジスタ３１１に設定情報の書き込みを行う場合のレジスタ通信の一例を示す。
　また、図１２には、センサレジスタ３１１に設定値を書き込んだ後、書き込まれた値が正しい値か否かをＣＲＣによって判断する場合のレジスタ通信の一例を示す。また、図１２には、センサデータのフレーム同期信号に同期して、センサ部１２４から出力されたセンサデータに設定値のエラー情報等の通知情報を付加して出力する例を示す。設定値が正しいか否かを判断した後にレジスタ１３０に反映しなくても、センサデータにエラー情報等を付加して出力することによって、設定値が信用できるか否かが分かれば後段で処理できる。レジスタＷｒｉｔｅ判定を行う前にレジスタ１３０を最速で反映できるというメリットもある。
　処理ステートＦＳ＿Ｓ＿ＡＣＴは、例えばＨｉｇｈであればＡｃｔｉｖｅであることを示す。エラーステートＦＳ＿Ｓ＿ＥＲＲは、例えばＬｏｗであればＡｃｔｉｖｅであることを示す。図１２の最下段にはセンサデータのフレームフォーマットの一例を示す。ＭＩＰＩやＳＬＶＳ－ＥＣでは、画像データのフレームフォーマットとして、画像以外のデータ領域として使用可能なＥｍｂｅｄｄｅｄ　Ｄａｔａ（ＥＢＤ）が定義されている。データ出力部としての通信部１２０は、例えばフレーム同期信号（Ｆｒａｍｅ　Ｓｙｎｃ）に同期したタイミングで、センサデータにおけるＥｍｂｅｄｄｅｄ　Ｄａｔａに通知部としての書き込み判定部４１０からのステート情報（通知情報）を出力する。
　図１２の例では、処理ステートＦＳ＿Ｓ＿ＡＣＴがＮｅｇａｔｉｖｅになった時点で２Ｆｒａｍｅ目のセンサデータが信用できるか否かが分かる。ホスト２は、処理ステートＦＳ＿Ｓ＿ＡＣＴがＬｏｗになった時点のエラーステートＦＳ＿Ｓ＿ＥＲＲを見ることで設定情報の送信が成功したか否かが分かる。
　図１２の例において、１フレーム目では、処理ステートＦＳ＿Ｓ＿ＡＣＴはＮｅｇａｔｉｖｅ、エラーステートＦＳ＿Ｓ＿ＥＲＲはＮｅｇａｔｉｖｅであり、信用できるデータ（レジスタ通信に異常はない）と判断可能である。
　２フレーム目では、処理ステートＦＳ＿Ｓ＿ＡＣＴはＡｃｔｉｖｅ、エラーステートＦＳ＿Ｓ＿ＥＲＲはＮｅｇａｔｉｖｅであり、信用できるか否か不明なデータ（チェック中）と判断可能である。
　３フレーム目では、処理ステートＦＳ＿Ｓ＿ＡＣＴはＮｅｇａｔｉｖｅ、エラーステートＦＳ＿Ｓ＿ＥＲＲはＮｅｇａｔｉｖｅであり、信用できるデータ（レジスタ通信に異常はない）と判断可能である。
　図１３は、一実施の形態に係る技術によるレジスタ通信の一例を示すシーケンス図である。図１３には、ＣＲＣモードによってセンサレジスタ３１１に設定情報の書き込みを行う場合のレジスタ通信の一例を示す。
　図１３には、センサレジスタ３１１に設定値を書き込む前に、設定値が正しい値か否かをＣＲＣによって判断し、その後、センサレジスタ３１１に設定値を書き込む場合のレジスタ通信の一例を示す。なお、ＭＡＣモードの場合にも同様に、センサレジスタ３１１に設定値を書き込む前に、設定値が正しい値か否かをＭＡＣによって判断し、その後、センサレジスタ３１１に設定値を書き込むようにしてもよい。
　図１３の下段には、ＣＩＳ１内の処理イメージを示す。ＣＩＳ１では、ホスト２から送信された設定情報のデータに基づいてＣＲＣデータ（ＭＡＣモードの場合にはＭＡＣデータ）を生成する（ステップＳ１１）。また、Ｗｒｉｔｅカウンタ４１４は、センサレジスタ３１１への書き込み要求があったことをカウントする。次に、ＣＩＳ１では、ホスト２からセキュリティ用データとして送信されてきたＣＲＣデータとＣＩＳ１内部で生成したＣＲＣデータとの比較を行う（ステップＳ１２）。その後、ＣＩＳ１では、センサレジスタ３１１へ設定値を反映する（ステップＳ１３）。また、ＣＩＳ１では、処理ステートＦＳ＿Ｓ＿ＡＣＴによる処理完了通知を行う（ステップＳ１４）。また、エラーがある場合には、エラーステートＦＳ＿Ｓ＿ＥＲＲによるエラー情報の通知を行う（ステップＳ１４）。
（回路構成例２）
　図１４は、一実施の形態に係るデータ処理装置としてのＣＩＳ１の第２の構成例を概略的に示している。
　図１４に示した第２の構成例では、ＣＩＳ１は、通信部１１０と、通信部１２０と、データ処理部１２３と、センサ部１２４と、レジスタ１３０と、書き込み判定部４１０Ａと、レジスタ情報ストア４２０と、処理ステート出力端子５０１と、出力端子５０２とを備えている。
　レジスタ情報ストア４２０は、ホスト２から送信された設定情報を一時的に記憶する一時記憶部である。書き込み判定部４１０Ａは、ＣＲＣやＭＡＣ等のセキュリティ用データに基づいて、レジスタ情報ストア４２０に記憶された設定情報の正誤判定を行い、設定情報が正しいと判定された場合に、センサレジスタ３１１に対して設定情報の書き込みを反映する。
　図１４には、センサレジスタ３１１への書き込み情報をＣＩＳ１内のメモリ（レジスタ情報ストア４２０）に一旦、保持し、ＣＲＣ値やＭＡＣ値と一致したときのみ反映する例を示す。ＣＲＣ値やＭＡＣ値が一致したときのみセンサレジスタ３１１に設定値が反映されるので、想定外の値でＣＩＳ１が動作することがない。処理ステートＦＳ＿Ｓ＿ＡＣＴやエラーステートＦＳ＿Ｓ＿ＥＲＲなどの通知情報は、処理ステート出力端子５０１やエラー出力端子５０２ではなく機能安全・セキュリティ用データ領域３１３のＲｅａｄレジスタに出力してもよい。また、通知情報をセンサデータにおけるＥｍｂｅｄｄｅｄ　Ｄａｔａに出力してもよい。
　図１５には、図１４に示したＣＩＳ１における書き込み判定部４１０Ａの具体例を示す。
　書き込み判定部４１０Ａは、レジスタ通信検出部４１１と、データ演算部４１２と、エラー検出部４１３と、Ｗｒｉｔｅカウンタ４１４と、レジスタ反映判定部４１５とを有する。
　レジスタ通信検出部４１１は、レジスタ通信があったことを検出する。データ演算部４１２は、ＣＲＣ、ＭＡＣ、および暗号化等に関する演算を行う。エラー検出部４１３は、データ演算部４１２の演算結果に基づくエラー検出を行う。Ｗｒｉｔｅカウンタ４１４は、レジスタ通信検出部４１１の検出結果に基づいて、レジスタ１３０への書き込み要求があったことをカウントする。レジスタ反映判定部４１５は、エラー検出部４１３の検出結果に基づいて、センサレジスタ３１１への書き込み情報を反映するか否かを判定する。
　図１６は、図１５に示した構成例によって実現されるＣＲＣモードによるレジスタ通信の一例を示すシーケンス図である。
　処理ステートＦＳ＿Ｓ＿ＡＣＴがＬｏｗになったことを見ることで、センサレジスタ３１１への設定値の書き込みが終わったことが分かる。エラーステートＦＳ＿Ｓ＿ＥＲＲがＬｏｗのままでエラーが検出されていなければ、処理ステートＦＳ＿Ｓ＿ＡＣＴがＬｏｗになった時点でセンサレジスタ３１１への設定値の反映が終わっている。
（暗号化モードによる設定情報の書き込みの例）
　図１７は、一実施の形態に係る技術による暗号化モードによるレジスタ通信の一例を示すシーケンス図である。
　図１７には、暗号化モードによってセンサレジスタ３１１への書き込み対象の設定情報を暗号化する場合のレジスタ通信の一例を示す。図１７の右下段には、ＣＩＳ１内の処理イメージを示す。ＣＩＳ１は、暗号データを復号化する復号化部４３０を備える。
　まず、レジスタＩＦを介してホスト２から、通信情報として、暗号化モードによるセンサレジスタ３１１への設定情報の書き込みの開始要求を示すステータスＦＳ＿Ｓ＿ＳＴＡＴＥ＝ＵＳＥＲＤＥＦ＿ＤＡＴＡＷが送信される。ＣＩＳ１では、通信情報レジスタ３１２のＦＳ＿Ｓ＿ＳＴＥＴＥレジスタに動作モード値（ＵＳＥＲＤＥＦ＿ＤＡＴＡＷ）を単発Ｗｒｉｔｅ（書き込み）する。
　次に、レジスタＩＦを介してホスト２から、暗号化された設定情報が暗号データとして送信される。なお、ステータスＦＳ＿Ｓ＿ＳＴＡＴＥ＝ＵＳＥＲＤＥＦ＿ＤＡＴＡＷの設定値も含めてＭＡＣデータやＩＶなども暗号化して一緒に送ってもよい。ＣＩＳ１では、機能安全・セキュリティ用データ領域３１３に暗号データの書き込みを行う。次に、ＣＩＳ１では、復号化部４３０によって暗号データを復号化し、その復号化によって得られた設定情報（レジスタアドレスと設定値）をセンサレジスタ３１１に対して書き込む。なお、一般的に、復号化時には認証（データが改ざんされていないことの確認）も行う。また、ＣＩＳ１では、処理ステートＦＳ＿Ｓ＿ＡＣＴによって、復号が完了したことを示す処理完了通知を行う（ステップＳ２１）。また、エラーがある場合には、エラーステートＦＳ＿Ｓ＿ＥＲＲによるエラー情報の通知を行う（ステップＳ２１）。
（ＣＲＣモードによる設定情報の読み出しの例）
　図１８は、一実施の形態に係る技術によって読み出しを行う場合のレジスタ通信の一例を示すシーケンス図である。
　図１８には、ＣＲＣモードによってホスト２からセンサレジスタ３１１に記憶された設定情報の読み出しリクエストが行われた場合のレジスタ通信の一例を示す。ホスト２からの設定情報の読み出しリクエストがあった場合に、ＣＩＳ１では、センサレジスタ３１１に記憶された設定情報と、機能安全・セキュリティ用データ領域３１３に記憶された、設定情報に関するセキュリティ用データとの読み出しを行い、レジスタＩＦを介してホスト２に読み出しデータの送信を行う。なお、ＭＡＣモードによる読み出しを行う場合の動作についても、基本的には同様である。
　まず、レジスタＩＦを介してホスト２から、通信情報として、ＣＲＣモードによる設定情報の読み出しの開始要求を示すステータスＦＳ＿Ｓ＿ＳＴＡＴＥ＝ＣＲＣ＿ＲＥＧＲが送信される。ＣＩＳ１では、通信情報レジスタ３１２のＦＳ＿Ｓ＿ＳＴＥＴＥレジスタに動作モード値（ＣＲＣ＿ＲＥＧＲ）を単発Ｗｒｉｔｅ（書き込み）する。ＣＩＳ１では、センサレジスタ３１１に記憶された設定情報の読み出しを行い、レジスタＩＦを介してホスト２に読み出しデータの送信を行う。設定情報には、例えば、読み出しの対象となるセンサレジスタ３１１のレジスタアドレスと設定値とが含まれる。
　次に、レジスタＩＦを介してホスト２から、通信情報として、ＣＲＣモードによる設定情報の読み出しの終了要求を示すステータスＦＳ＿Ｓ＿ＳＴＡＴＥ＝０が送信される。ＣＩＳ１では、通信情報レジスタ３１２のＦＳ＿Ｓ＿ＳＴＥＴＥレジスタの動作モード値を０にする。次に、ＣＩＳ１では、例えば、処理ステートＦＳ＿Ｓ＿ＡＣＴによって、読み出し処理が完了したことを示す完了通知を行う。通知は、処理ステート出力端子５０１またはレジスタＩＦを用いて行ってもよい。
　次に、レジスタＩＦを介してホスト２から、通信情報として、ＣＲＣモードによるセキュリティ用データの読み出しの開始要求を示すステータスＦＳ＿Ｓ＿ＳＴＡＴＥ＝ＣＲＣ＿ＤＡＴＡＲが送信される。ＣＩＳ１では、通信情報レジスタ３１２のＦＳ＿Ｓ＿ＳＴＥＴＥレジスタに動作モード値（ＣＲＣ＿ＤＡＴＡＲ）を単発Ｗｒｉｔｅ（書き込み）する。次に、ＣＩＳ１では、ＣＲＣデータを生成し、機能安全・セキュリティ用データ領域３１３にＣＲＣデータの書き込みを行う。次に、ＣＩＳ１では、機能安全・セキュリティ用データ領域３１３からＣＲＣデータを読み出し、レジスタＩＦを介してホスト２にセキュリティ用データとしてＣＲＣデータの送信を行う。ＣＲＣデータには、読み出しの対象となるセンサレジスタ３１１のレジスタアドレスとＣＲＣ値とが含まれていてもよい。セキュリティ用データとしては、ＣＲＣ以外の処理に必要な情報も送信されてもよい。例えば、複数アルゴリズムがある場合のＣＲＣのモード情報も送信されてもよい。
　次に、レジスタＩＦを介してホスト２から、通信情報として、ＣＲＣモードによるセキュリティ用データの読み出しの終了要求を示すステータスＦＳ＿Ｓ＿ＳＴＡＴＥ＝０が送信される。ＣＩＳ１では、通信情報レジスタ３１２のＦＳ＿Ｓ＿ＳＴＥＴＥレジスタの動作モード値を０にする。
（暗号化モードによる設定情報の読み出しの例）
　図１９は、一実施の形態に係る技術によって暗号化モードによる読み出しを行う場合のレジスタ通信の一例を示すシーケンス図である。
　図１９には、暗号化モードによってホスト２からセンサレジスタ３１１に記憶された設定情報の読み出しリクエストが行われた場合のレジスタ通信の一例を示す。ホスト２から暗号化モードによる設定情報の読み出しリクエストがあった場合、ＣＩＳ１では、センサレジスタ３１１に記憶された設定情報を暗号化して機能安全・セキュリティ用データ領域３１３に暗号データとして書き込みした後、機能安全・セキュリティ用データ領域３１３から暗号データの読み出しを行う
　まず、レジスタＩＦを介してホスト２から、通信情報として、暗号化モードによる機能安全・セキュリティ用データ領域３１３への設定情報の書き込みの開始要求を示すステータスＦＳ＿Ｓ＿ＳＴＡＴＥ＝ＵＳＥＲＤＥＦ＿ＤＡＴＡＷが送信される。ＣＩＳ１では、通信情報レジスタ３１２のＦＳ＿Ｓ＿ＳＴＥＴＥレジスタに動作モード値（ＵＳＥＲＤＥＦ＿ＤＡＴＡＷ）を単発Ｗｒｉｔｅ（書き込み）する。ＣＩＳ１では、センサレジスタ３１１に記憶された設定情報の読み出しを行い、設定情報を暗号化して機能安全・セキュリティ用データ領域３１３に暗号データとして書き込む。暗号データには、暗号化読み出しリクエストコマンドや、暗号化読み出しリクエストの対象となるセンサレジスタ３１１のアドレスとデータサイズとが含まれていてもよい。アドレスはない方がよい場合もある。アドレスを含むか否かは製品による。
　次に、レジスタＩＦを介してホスト２から、通信情報として、書き込みの終了要求を示すステータスＦＳ＿Ｓ＿ＳＴＡＴＥ＝０が送信される。ＣＩＳ１では、通信情報レジスタ３１２のＦＳ＿Ｓ＿ＳＴＥＴＥレジスタの動作モード値を０にする。次に、ＣＩＳ１では、例えば、処理ステートＦＳ＿Ｓ＿ＡＣＴによって、書き込み処理が完了したことを示す完了通知を行う。通知は、処理ステート出力端子５０１またはレジスタＩＦを用いて行ってもよい。
　次に、レジスタＩＦを介してホスト２から、通信情報として、暗号化モードによる設定情報の読み出しの開始要求（暗号化Ｒｅａｄリクエストコマンド）を示すステータスＦＳ＿Ｓ＿ＳＴＡＴＥ＝ＵＳＥＲＤＥＦ＿ＤＡＴＡＲが送信される。ＣＩＳ１では、通信情報レジスタ３１２のＦＳ＿Ｓ＿ＳＴＥＴＥレジスタに動作モード値（ＵＳＥＲＤＥＦ＿ＤＡＴＡＲ）を単発Ｗｒｉｔｅ（書き込み）する。ＣＩＳ１では、機能安全・セキュリティ用データ領域３１３から暗号データを読み出し、レジスタＩＦを介してホスト２に暗号データの送信を行う。
　次に、レジスタＩＦを介してホスト２から、通信情報として、読み出しの終了要求を示すステータスＦＳ＿Ｓ＿ＳＴＡＴＥ＝０が送信される。ＣＩＳ１では、通信情報レジスタ３１２のＦＳ＿Ｓ＿ＳＴＥＴＥレジスタの動作モード値を０にする。
（通知情報の通知方法）
　図２０は、一実施の形態に係る技術によるレジスタ通信の一例を示すシーケンス図である。図２０には、ＣＲＣモードによる設定情報の書き込みを行う場合のＣＩＳ１内でのステート通知の一例を示す。
　上述したように、処理ステートＦＳ＿Ｓ＿ＡＣＴ、エラーステートＦＳ＿Ｓ＿ＥＲＲ、カウンタ情報はレジスタ１３０で持ってもよいし、処理ステート出力端子５０１やエラー出力端子５０２から出力してもよい。または、通信部１２０からセンサデータを出力する際にＥｍｂｅｄｄｅｄ　Ｄａｔａとして出力してもよい。これら複数の手法の組み合わせであってもよい。
　処理ステートＦＳ＿Ｓ＿ＡＣＴは、ＣＩＳ１内で各種リクエストを受付処理していることを示す処理ステートであってもよい。エラーステートＦＳ＿Ｓ＿ＥＲＲは、ＣＩＳ１内でエラーを検出したことを通知するステートであってもよい。エラーステートＦＳ＿Ｓ＿ＥＲＲは、エラー分類により分けられるように複数、持っていてもよい。製品によって変更可能であってもよい。
（通信カウンタ）
　後述する図２４および図２６に示すように、ＣＩＳ１は通信カウンタ４１６を備えていてもよい。通信カウンタ４１６は、ＷｒｉｔｅカウンタとＲｅａｄカウンタとを有していてもよい。Ｗｒｉｔｅカウンタは、例えばホスト２からセンサレジスタ３１１への設定情報の書き込みリクエストがあったことをカウントする。Ｒｅａｄカウンタは、例えばホスト２から設定情報の読み出しリクエストがあったことをカウントする。ＷｒｉｔｅカウンタとＲｅａｄカウンタとを別々に持つことで、ＣＩＳ１内の処理ステータスやエラー情報をレジスタ１３０から読み出すポーリングのような処理を意識せず、ＣＩＳ１の動作を変える際のレジスタ１３０への書き込み処理を監視することが可能となる。ただし、ＷｒｉｔｅカウンタとＲｅａｄカウンタとを合わせて１つの通信カウンタ４１６として持ってもよい。
（Ｗｒｉｔｅカウンタの動作例）
　図２１は、一実施の形態に係る技術によるＷｒｉｔｅカウンタの動作を含むレジスタ通信の一例を示すシーケンス図である。図２１には、ＣＲＣモードによってセンサレジスタ３１１に設定情報の書き込みを行う場合のレジスタ通信の一例を示す。
　Ｗｒｉｔｅカウンタ（ＲＥＧ＿ＣＯＵＮＴＷ）は、例えば、書き込みリクエストを示すレジスタ通信（ＦＳ＿Ｓ＿ＳＴＡＴＥ＝ＣＲＣ＿ＲＥＧＷ）が検出されたタイミングでカウンタ値をインクリメントする。
　なお、ＣＲＣやＭＡＣのチェック結果がエラーとなり、センサレジスタ３１１への設定値が反映されない場合もＷｒｉｔｅカウンタをインクリメントするようにしてもよい。製品により、「ＣＲＣやＭＡＣのチェック結果がＯＫであれば設定値を反映する」ものや、「設定値が送られてきたら反映はするが、撮像結果にＣＲＣのチェック結果がエラーであることを通知する」など、製品によって対応が分かれるケースを想定している。
（読み出しリクエストが行われた場合のＲｅａｄカウンタの動作例）
　図２２は、一実施の形態に係る技術によるＲｅａｄカウンタの動作を含むレジスタ通信の一例を示すシーケンス図である。図２２には、ＣＲＣモードによってホスト２からセンサレジスタ３１１に記憶された設定情報の読み出しリクエストが行われた場合のレジスタ通信の一例を示す。
　Ｒｅａｄカウンタ（ＲＥＧ＿ＣＯＵＮＴＲ）は、例えば、読み出しリクエスト（ＦＳ＿Ｓ＿ＳＴＡＴＥ＝ＣＲＣ＿ＲＥＧＲ）に応じた設定情報の読み出しを開始するタイミングでカウンタ値をインクリメントする。例えば、設定値を１つでも読み出す準備が完了したらインクリメントするようにしてもよい。なお、ＣＲＣやＭＡＣのチェック結果がエラーとなる場合も、Ｒｅａｄカウンタをインクリメントするようにしてもよい。
（暗号化モードによる読み出しを行う場合のＲｅａｄカウンタの動作例）
　図２３は、一実施の形態に係る技術によるＲｅａｄカウンタの動作を含むレジスタ通信の一例を示すシーケンス図である。図２３には、暗号化モードによってホスト２からセンサレジスタ３１１に記憶された設定情報の読み出しリクエストが行われた場合のレジスタ通信の一例を示す。
　Ｒｅａｄカウンタ（ＲＥＧ＿ＣＯＵＮＴＲ）は、例えば、暗号化による読み出しリクエスト（ＦＳ＿Ｓ＿ＳＴＡＴＥ＝ＵＳＥＲＤＥＦ＿ＤＡＴＡＷ，ＵＳＥＲＤＥＦ＿ＤＡＴＡＲ）があった場合に、例えば、センサレジスタ３１１に記憶された設定情報を暗号化して機能安全・セキュリティ用データ領域３１３に暗号データとして書き込みが行われた後、機能安全・セキュリティ用データ領域３１３から暗号データの読み出しが行われる前に、カウンタ値をインクリメントする。
（回路構成例３）
　図２４は、一実施の形態に係るデータ処理装置としてのＣＩＳ１の第３の構成例を概略的に示している。図２４には、センサレジスタ３１１に設定値を書き込んだ後、書き込まれた値が正しい値か否かを例えばＣＲＣによって判断する場合の構成例を示す。
　図２４に示した第３の構成例では、ＣＩＳ１は、通信部１１０と、通信部１２０と、データ処理部１２３と、センサ部１２４と、レジスタ１３０と、書き込み判定部４１０と、処理ステート出力端子５０１と、出力端子５０２とを備えている。また、ＣＩＳ１は、全体制御部４０と、レジスタ通信検出部４１１と、データ演算部４１２と、エラー検出部４１３と、通信カウンタ４１３とを備えている。
　通信カウンタ４１６、ＷｒｉｔｅカウンタとＲｅａｄカウンタとを有する。センサ部１２４は、画素部４１と、ＡＤＣ（アナログ・デジタル・コンバータ）４２と、画素制御部４３とを有している。
　図２４に示した第３の構成例において、レジスタ通信検出部４１１、データ演算部４１２、およびエラー検出部４１３は、ＣＰＵ１３１（図１）でも構築しやすく後で変更しやすい。
　データ出力部としての通信部１２０は、データ処理部１２３において各種データ処理がなされたセンサデータにエラー情報等の通知情報と通信カウンタ４１６からのカウンタ値とを付加して、ホスト２にセンサデータを出力する。通信部１２０は、例えば、センサデータに対する同期タイミング信号に同期したタイミングで、センサデータにおけるＥｍｂｅｄｄｅｄ　Ｄａｔａに通知情報とカウンタ値とを付加する。また、通信カウンタ４１６のカウンタ値を、レジスタ１３０に出力するようにしてもよい。
　ＣＲＣやＭＡＣによるチェック前にセンサレジスタ３１１に設定値を反映する使い方を行う場合、センサデータに通知情報とカウンタ値とステートを付加して出力することで、どのような状況でＣＩＳ１が動作しているか否かをホスト２で判断できる。ＣＲＣやＭＡＣによるチェック後に設定値の反映を行うのが理想であるが、設定値の反映は通常通り行った上で、通信が正しかったか否かの確認だけ行うような構成の方が、ＣＩＳ１内部での処理の負荷を軽くすることが可能となる。
（Ｗｒｉｔｅカウンタの動作例）
（回路構成例４）
　図２５は、一実施の形態に係る技術によるＷｒｉｔｅカウンタの動作を含むレジスタ通信の一例を示すシーケンス図である。図２５には、ＣＲＣモードによってセンサレジスタ３１１に設定情報の書き込みを行う場合のレジスタ通信の一例を示す。
　また、図２６に、一実施の形態に係るデータ処理装置としてのＣＩＳ１の第４の構成例として、図２５に示した処理を実現するための構成例を概略的に示す。
　図２６に示した第４の構成例では、ＣＩＳ１は、通信部１１０と、通信部１２０と、データ処理部１２３と、センサ部１２４と、レジスタ１３０と、書き込み判定部４１０と、処理ステート出力端子５０１と、出力端子５０２とを備えている。また、ＣＩＳ１は、全体制御部４０と、レジスタ通信検出部４１１と、データ演算部４１２と、エラー検出部４１３と、通信カウンタ４１３と、レジスタ反映判定部４１５とを備えている。
　図２６に示した第４の構成例において、レジスタ通信検出部４１１、データ演算部４１２、エラー検出部４１３は、およびレジスタ反映判定部４１５は、ＣＰＵ１３１（図１）でも構築しやすく後で変更しやすい。
　図２５には、センサレジスタ３１１への書き込み情報をＣＩＳ１内のメモリに一旦、保持し、ＣＲＣ値やＭＡＣ値と一致したときのみ設定値をセンサレジスタ３１１に反映する例を示す。なお、ＭＡＣモードの場合の動作も同様である。
　処理ステートＦＳ＿Ｓ＿ＡＣＴやエラーステートＦＳ＿Ｓ＿ＥＲＲなどの通知情報は、処理ステート出力端子５０１やエラー出力端子５０２ではなく機能安全・セキュリティ用データ領域３１３のＲｅａｄレジスタに出力してもよい。また、通知情報をセンサデータにおけるＥｍｂｅｄｄｅｄ　Ｄａｔａに出力してもよい。
　Ｗｒｉｔｅカウンタ（ＲＥＧ＿ＣＯＵＮＴＷ）は、例えば、書き込みリクエストを示すレジスタ通信（ＦＳ＿Ｓ＿ＳＴＡＴＥ＝ＣＲＣ＿ＲＥＧＷ）が検出されたタイミングでカウンタ値をインクリメントする。
　図２５の最下段にはセンサデータのフレームフォーマットの一例を示す。データ出力部としての通信部１２０は、データ処理部１２３において各種データ処理がなされたセンサデータにエラー情報等の通知情報と通信カウンタ４１６からのカウンタ値とを付加して、ホスト２にセンサデータを出力する。通信部１２０は、例えば、センサデータに対する同期タイミング信号に同期したタイミングで、センサデータにおけるＥｍｂｅｄｄｅｄ　Ｄａｔａに通知情報とカウンタ値とを付加する。また、通信カウンタ４１６のカウンタ値を、レジスタ１３０に出力するようにしてもよい。通知情報とカウンタ値とを出力することで、ホスト２では新しい設定値がＣＩＳ１内で反映されているか否かが分かる。
　図２５の例では、処理ステートＦＳ＿Ｓ＿ＡＣＴがＮｅｇａｔｉｖｅになった時点で２Ｆｒａｍｅ目のセンサデータが信用できるか否かが分かる。ホスト２は、処理ステートＦＳ＿Ｓ＿ＡＣＴがＬｏｗになった時点のエラーステートＦＳ＿Ｓ＿ＥＲＲを見ることで設定情報の送信が成功したか否かが分かる。
　図２５の例において、１フレーム目では、処理ステートＦＳ＿Ｓ＿ＡＣＴはＮｅｇａｔｉｖｅ、エラーステートＦＳ＿Ｓ＿ＥＲＲはＮｅｇａｔｉｖｅであり、レジスタカウンタに変化はない。これにより、センサレジスタ３１１に設定値は反映されていないことが分かる。
　２フレーム目では、処理ステートＦＳ＿Ｓ＿ＡＣＴはＡｃｔｉｖｅ、エラーステートＦＳ＿Ｓ＿ＥＲＲはＮｅｇａｔｉｖｅであり、センサレジスタ３１１の設定値は更新されていないことが分かる。
　３フレーム目では、処理ステートＦＳ＿Ｓ＿ＡＣＴはＮｅｇａｔｉｖｅ、エラーステートＦＳ＿Ｓ＿ＥＲＲはＮｅｇａｔｉｖｅであり、信用できるデータ（レジスタ通信に異常はない）と判断可能である。
（Ｗｒｉｔｅカウンタの動作例）
　図２７は、一実施の形態に係る技術によるＷｒｉｔｅカウンタの動作を含むレジスタ通信の一例を示すシーケンス図である。図２７には、ＭＡＣモードによってセンサレジスタ３１１に設定情報の書き込みを行う場合のレジスタ通信の一例を示す。
　Ｗｒｉｔｅカウンタ（ＲＥＧ＿ＣＯＵＮＴＷ）は、例えば、書き込みリクエストを示すレジスタ通信（ＦＳ＿Ｓ＿ＳＴＡＴＥ＝ＭＡＣ＿ＲＥＧＷ）が検出されたタイミングでカウンタ値をインクリメントする。
　また、Ｗｒｉｔｅカウンタは、ホスト２とレジスタ１３０との間で通信情報（ＦＳ＿Ｓ＿ＳＴＡＴＥ）が設定されていないレジスタ通信が行われた場合にも、レジスタ通信の通信転送単位で通信カウンタ４１６のカウンタ値をインクリメントするようにしてもよい。これにより、機能安全・セキュリティ機能に守られていない通信があったことを検出可能となる。ただし、これだけでは安全性・セキュリティに問題があるので、ＣＩＳ１やレジスタ１３０における各レジスタ領域ごとに通信ＯＫなモードを決めておき、そのモードを使用しないとレジスタ１３０を更新できない実装にすることが望ましい。
（レジスタマップの変形例）
　図２８は、一実施の形態に係る技術によるレジスタ１３０の構成（レジスタマップ）の変形例を示している。
　レジスタ１３０において、センサレジスタ３１１として、所定のセキュリティ処理によるセキュリティ対象となる領域を含み、セキュリティ対象となる領域への設定情報の書き込み、またはセキュリティ対象となる領域からの設定情報の読み出しは、所定のセキュリティ処理を行う場合に許可されるように構成されていてもよい。各領域の設定はあらかじめ、製品の起動時や製造時等に決めておき、動的には変更できない構成であることが望ましい。
　例えば、「ＭＡＣあるいは暗号化での書き込み可能」や、「ＣＲＣあるいはＭＡＣでの書き込み可能」など、１つの領域で複数の書き込みを許可してもよい。領域の指定はＣＩＳ１の設計時に固定でも、Ｆｕｓｅなどで製品製造時に切り替えられるようにしても、起動時などに設定してもよい。
　ここで、「ＭＡＣあるいは暗号化での書き込み可能」とする場合において、例えば暗号データを復号する場合は認証も合わせて行うことが一般的なため、認証（ＭＡＣでのチェック）を行う領域は暗号データでのアクセスもＯＫとしてもよい。また、「ＣＲＣあるいはＭＡＣでの書き込み可能」とする場合、ＭＡＣでもデータノイズによるデータの変化を検出可能である。
　例えば図２８に示したように、センサレジスタ３１１の一部の領域をＭＡＣ領域にしてもよい。ＭＡＣ領域には、例えば露光時間などの環境に依存するホスト２からＣＩＳ１への書き込みデータや、温度情報などの環境情報などの読み出しデータを記憶してもよい。
　また、例えば通信情報レジスタ３１２は、ＭＡＣや暗号化をしなくても読み書きできる領域としてもよい。この場合、制約がないだけで、例えば読み出し時に値が正しいか検証したい場合には、ＣＲＣやＭＡＣによるチェックを行うこともできる。
　また、センサレジスタ３１１の一部の領域を暗号化領域にしてもよい。例えばＡＩ（人工知能）搭載機能センサの辞書情報や、温度情報などの環境情報などの読み出しデータ、その他、動作モード情報なども、設置環境によってはプライバシー情報となり、暗号化を行って暗号化領域に記憶してもよい。
（Ｗｒｉｔｅカウンタの動作例）
　図２９は、一実施の形態に係る技術によるＷｒｉｔｅカウンタの動作を含むレジスタ通信の一例を示すシーケンス図である。図２９には、ＭＡＣモードによってセンサレジスタ３１１に設定情報の書き込みを行う場合のレジスタ通信の一例を示す。
　Ｗｒｉｔｅカウンタは、ホスト２とレジスタ１３０との間で通信情報（ＦＳ＿Ｓ＿ＳＴＡＴＥ）が設定されていないレジスタ通信が行われた場合にも、レジスタ通信の通信転送単位で通信カウンタ４１６のカウンタ値をインクリメントするようにしてもよい。これにより、機能安全・セキュリティ機能に守られていない通信があったことを検出可能となる。この機能と合わせて、ホスト２とレジスタ１３０との間で通信情報が設定されていないレジスタ通信が行われた場合には、センサレジスタ３１１への設定情報の書き込みは反映しないように構成してもよい。これにより、より安全、セキュアな通信が可能となる。
　図２９には、あらかじめＣＩＳ１にＭＡＣモード、かつＭＡＣが正しくないと設定値を反映しないようにした場合の例を示す。ＭＡＣモードのレジスタ通信があった場合、ＭＡＣ値が正しくても正しくなくてもＷｒｉｔｅカウンタをインクリメントする。この場合、ＭＡＣ値が正しければレジスタ１３０に値を反映し、正しくなければ、レジスタ１３０に値は反映しない。
　通信モード（ＦＳ＿Ｓ＿ＳＴＡＴＥ）で設定されていないレジスタ通信があった場合には、通信転送単位でカウンタをインクリメントする。この場合、ＭＡＣモードではないので、レジスタ１３０に値は反映しない。
（モード情報を送信する例）
　図３０は、一実施の形態に係る技術によるレジスタ通信の一例を示すシーケンス図である。図３０には、ＣＲＣモードによってセンサレジスタ３１１に設定情報の書き込みを行う場合のレジスタ通信の一例を示す。
　一実施の形態に係る技術では、センサレジスタ３１１に対する設定情報の書き込みまたは読み出しを行う前に、ホスト２から通信情報として、所望のセキュリティ処理に対応するアルゴリズムの情報を含む通信モード情報が送信されるように構成されていてもよい。
　図３０には、ＣＲＣを「各種レジスタ設定」で送信するデータ量に合わせてＣＲＣの動作モードを変える場合のレジスタ通信の例を示す。あらかじめＣＲＣの動作モードの情報を送信することで、ＣＩＳ１ではデータの長さに応じた処理を選択できる。ＣＲＣの動作モードの情報は、例えばＣＲＣのアルゴリズムの選択などの情報（例えば、ＣＲＣ１６，ＣＲＣ３２の切り替え情報）であってもよい。
　モード情報を知らせるために、モードレジスタとしてＦＳ＿Ｓ＿ＳＴＡＴＥのｂｉｔ幅を拡張してもよいし、通信情報レジスタ３１２におけるレジスタ領域に、モードレジスタとして新しいレジスタ領域、例えばＦＳ＿Ｓ＿ＭＯＤＥなどを記憶するレジスタ領域を持ってもよい。すなわち、モードレジスタとしてＦＳ＿Ｓ＿ＳＴＡＴＥとＦＳ＿Ｓ＿ＭＯＤＥとを記憶する２種類のレジスタ領域を持ってもよい。
（モードレジスタの拡張例）
　図３１は、一実施の形態に係る技術によるレジスタ通信の一例を示すシーケンス図である。図３１には、ＣＲＣモードによってセンサレジスタ３１１に設定情報の書き込みを行う場合のレジスタ通信の一例を示す。
　ホスト２から、通信情報として通信モード情報を含むことを通知する情報を送信するようにしてもよい。例えば、モードレジスタで通信モード情報を通知する場合、ＦＳ＿Ｓ＿ＳＴＡＴＥのｂｉｔでモードレジスタがあるか否かをホスト２がＣＩＳ１に通知するようにしてもよい。
　図３１には、ＦＳ＿Ｓ＿ＳＴＡＴＥ［７］でモードレジスタあり、なしを通知する場合の例を示す（１：モードレジスタあり、０：モードレジスタなし）。図３１の上段には、ＦＳ＿Ｓ＿ＳＴＡＴＥ［７］＝０の例を示す。
　図３１の下段には、ＦＳ＿Ｓ＿ＳＴＡＴＥ［７］＝１の場合の例を示す。ホスト２から、コマンドとして、ＦＳ＿Ｓ＿ＳＴＡＴＥ＝｛１’ｂ１，ＣＲＣ＿ＲＥＧＷ｝，ＦＳ＿Ｓ＿ＭＯＤＥ≠０が送信される。ＣＩＳ１では、ＦＳ＿Ｓ＿ＳＴＡＴＥ［７］＝１’ｂ１が送信されてきた時点で、ＦＳ＿Ｓ＿ＭＯＤＥが０から他の値（ＦＳ＿Ｓ＿ＭＯＤＥ≠０）に変わるのを待って処理を開始する。そして、ＦＳ＿Ｓ＿ＳＴＡＴＥ＝０になった時点でモードレジスタを０に戻す。
（セキュリティ用データを先に送信する例）
　図３２は、一実施の形態に係る技術によるレジスタ通信の一例を示すシーケンス図である。図３２には、ＭＡＣモードによってセンサレジスタ３１１に設定情報の書き込みを行う場合のレジスタ通信の一例を示す。
　ＣＩＳ１では、ホスト２から通信情報が送信されるよりも前に、所望のセキュリティ処理に用いられる情報がホスト２から送信され、所望のセキュリティ処理に用いられる情報をセキュリティ用データとして機能安全・セキュリティ用データ領域３１３に書き込むようにしてもよい。
　例えば、ホスト２からはセキュリティ用データとしては、ＭＡＣ以外の処理に必要な情報も送信されてもよい。例えば、複数アルゴリズムがある場合のＭＡＣのモード情報やＧＭＡＣ使用時のＩＶなどの情報も送信されてもよい。この場合、ホスト２からはＩＶなどの情報が先に送信されてもよい。セキュリティ用データが数ｂｙｔｅ以上の大きいデータとなる場合、機能安全・セキュリティ用データ領域３１３にあらかじめ一部のデータを書き込んでおくことで、レジスタ領域を有効に使い、またレジスタ通信と並行して（各種レジスタ通信時間と並行して）ＭＡＣの演算を行うことができる。
（期待値レジスタを持つ例）
　図３３は、一実施の形態に係る技術によるＷｒｉｔｅカウンタの動作を含むレジスタ通信の一例を示すシーケンス図である。図３３には、ＣＲＣモードによってセンサレジスタ３１１に設定情報の書き込みを行う場合のレジスタ通信の一例を示す。
　ホスト２から送信される設定情報には、Ｗｒｉｔｅカウンタのカウンタ値に対するカウンタ期待値が含まれていてもよい。レジスタ１３０には、Ｗｒｉｔｅカウンタ期待値を記憶するＷｒｉｔｅカウンタ期待値レジスタが含まれていてもよい。
　ＣＩＳ１では、例えば、ＦＳ＿Ｓ＿ＳＴＡＴＥがｎｏｔ０から０になったタイミングで、Ｗｒｉｔｅカウンタの値とＷｒｉｔｅカウンタ期待値との比較を行う。ＦＳ＿Ｓ＿ＳＴＡＴＥがｎｏｔ０から０になった箇所であれば、Ｗｒｉｔｅカウンタ期待値レジスタのカウンタはインクリメントされ、期待値も設定される。これにより、Ｗｒｉｔｅカウンタ期待値レジスタを通常のレジスタ領域と同じようにＣＲＣやＭＡＣのチェックの対象にできる。
　図３４は、一実施の形態に係る技術によるレジスタ通信の一例を示すシーケンス図である。図３４には、一実施の形態に係る技術によるＷｒｉｔｅカウンタの動作を含むレジスタ通信の一例を示すシーケンス図である。
　ＣＩＳ１は、ホスト２から送信された設定情報を一時的に記憶する一時記憶部としてレジスタ情報ストア４２０を備えてもよい（図１４）。ＣＩＳ１の書き込み判定部４１０Ａでは、セキュリティ用データに基づいて、一時記憶部に記憶された設定情報の正誤判定を行い、設定情報が正しいと判定され、かつ、Ｗｒｉｔｅカウンタのカウンタ値とＷｒｉｔｅカウンタ期待値レジスタに記憶されたカウンタ期待値とが一致した場合に、センサレジスタ３１１に対して設定情報の書き込みを反映するようにしてもよい。
　例えば、ＣＲＣ値やＭＡＣ値が一致し、かつＷｒｉｔｅカウンタ期待値も一致している場合のみ設定値を書き込む（レジスタ値を反映する）ようにしてもよい。
（エラー検出のバリエーション例１）
　図３５は、一実施の形態に係る技術によるレジスタ通信の一例を示すシーケンス図である。図３５には、ＣＲＣモードによる設定情報の書き込みを行う場合のＣＩＳ１内でのステート通知の一例を示す。
　図３５には、エラー検出として、正常動作によるエラー検出の例を示す。ＣＩＳ１では、処理ステートＦＳ＿Ｓ＿ＡＣＴがＬｏｗになったことを見ることで、センサレジスタ３１１への設定値の書き込みが終わったことが分かる。エラーステートＦＳ＿Ｓ＿ＥＲＲがＬｏｗのままでエラーが検出されていなければ、処理ステートＦＳ＿Ｓ＿ＡＣＴがＬｏｗになった時点でセンサレジスタ３１１への設定値の反映が終わっている。
　ＣＩＳ１では、セキュリティ用データ（ＣＲＣデータやＭＡＣデータ）に基づいて設定情報の正誤判定が行われ、設定情報が誤りであると判定された場合に、エラーステートＦＳ＿Ｓ＿ＥＲＲによって通知情報としてエラー情報を出力する。
（エラー検出のバリエーション例２）
　図３６は、一実施の形態に係る技術によるＷｒｉｔｅカウンタの動作を含むレジスタ通信の一例を示すシーケンス図である。
　ＣＩＳ１において、ホスト２とレジスタ１３０との間で通信情報が設定されていない、意図しないレジスタ通信が行われた場合に、通知情報としてエラー情報を出力するようにしてもよい。
　例えば、レジスタ１３０に対して、通信モードを指定または限定しているレジスタ領域への書き込みや読み出し要求があった場合には、想定外、または定義外の処理があったものとしてエラー情報を出力するようにしてもよい。
　図３６には、ホスト２からＣＩＳ１へのＭＡＣモードによる意図した設定情報の書き込みに関するレジスタ通信が行われた後、意図しない書き込みのレジスタ通信が行われた例を示す。例えば、ＦＳ＿Ｓ＿ＳＴＡＴＥにＭＡＣ＿ＲＥＧＷを設定せずにレジスタ通信が行われた場合に、ＣＩＳ１ではエラーを検出する。
　Ｗｒｉｔｅカウンタ（ＲＥＧ＿ＣＯＵＮＴＷ）は、例えば、書き込みリクエストを示すレジスタ通信（ＦＳ＿Ｓ＿ＳＴＡＴＥ＝ＭＡＣ＿ＲＥＧＷ）が検出されたタイミングでカウンタ値をインクリメントする。また、Ｗｒｉｔｅカウンタは、ホスト２とレジスタ１３０との間で通信情報（ＦＳ＿Ｓ＿ＳＴＡＴＥ）が設定されていないレジスタ通信が行われた場合にも、レジスタ通信の通信転送単位で通信カウンタ４１６のカウンタ値をインクリメントする。これにより、機能安全・セキュリティ機能に守られていない通信があったことを検出可能となる。カウンタ値は、センサデータにおけるＥｍｂｅｄｄｅｄ　Ｄａｔａに出力してもよい。また、カウンタ値を、レジスタ１３０に出力するようにしてもよい。これにより、ホスト２では、意図しない書き込みがあったことを間接的に知ることが可能となる。また、カウンタ値を見ることで、意図しないレジスタ書き込みがあった回数も分かる。ホスト２側では、例えばＤｏｓ攻撃があったこと等の判断が可能となる。
（エラー検出のバリエーション例３）
　図３７は、一実施の形態に係る技術によるレジスタ通信の一例を示すシーケンス図である。図３７には、ＣＲＣモードによってセンサレジスタ３１１に設定情報の書き込みを行う場合のレジスタ通信の一例を示す。
　ＣＩＳ１では、ホスト２とレジスタ１３０との間で通信情報で示されるコマンドとは異なる、意図しないコマンドによるレジスタ通信が行われた場合に、通知情報としてエラー情報を出力するようにしてもよい。
　図３７には、シーケンス違反によるエラー検出が行われた例を示す。シーケンス違反としては、例えばレジスタＷｒｉｔｅ後、ＣＲＣやＭＡＣの書き込みコマンドが発生せず、別のコマンドが発行される場合などがある。シーケンス違反を検出した場合、図３７に示したように、途中で終了した前の処理をリセットし、後ろの処理を優先するようにしてもよい。図３７では、設定情報の書き込みリクエストを示すコマンド（ＦＳ＿Ｓ＿ＳＴＡＴＥ＝ＣＲＣ＿ＲＥＧＷ）の発行後、ＣＲＣの書き込みコマンド（ＦＳ＿Ｓ＿ＳＴＡＴＥ＝ＣＲＣ＿ＤＡＴＡＷ）が発生しなかった場合の例を示す。
（エラー検出のバリエーション例４）
　図３８は、一実施の形態に係る技術によるレジスタ通信の一例を示すシーケンス図である。図３８には、ＭＡＣモードによってセンサレジスタ３１１に設定情報の書き込みを行う場合のレジスタ通信の一例を示す。
　ＣＩＳ１では、所定の期間内にホスト２からレジスタ通信によるコマンドが送信されてこない場合に、通知情報としてエラー情報を出力するようにしてもよい。
　例えば、処理の上限（ＭＡＸ）時間を設定するタイマとして、ＷＤＴ（watchdog timer）をＣＩＳ１内に持ち、上限時間を超えたことを検出してい、エラー通知するようにしてもよい。上限値はＣＩＳ１の設計時に固定でも、Ｆｕｓｅなどで製品製造時に切り替えられるようにしても、起動時などに設定してもよい。
　ＷＤＴなどで、各処理の上限時間を設けてエラー検出することで、ホスト２側の制御や通信ＩＦの送信などでの誤動作があり、正常なコマンドが送信できなかった場合に間接的にエラーを検出することができる。
　図３８の例では、ＦＳ＿Ｓ＿ＳＴＡＴＥ＝ＭＡＣ＿ＲＥＧＷの処理が終わっていないことを検出している。これにより、ホスト２からＦＳ＿Ｓ＿ＳＴＡＴＥ＝０が送信されていない、あるいはレジスタＩＦへのノイズや妨害でＣＩＳ１までデータが到達していないことが間接的に検出できる。
　また、図３８の例では、レジスタ１３０の設定値が送られているがＭＡＣ（ＣＲＣ）値が送られてこないことを検出している。ホスト２からＦＳ＿Ｓ＿ＳＴＡＴＥ＝ＭＡＣ＿ＤＡＴＡＷが送信されていない、あるいはレジスタＩＦへのノイズや妨害でＣＩＳ１まで到達していないことが間接的に検出できる。
（エラー検出のバリエーション例５）
　図３９は、一実施の形態に係る技術によるＷｒｉｔｅカウンタの動作を含むレジスタ通信の一例を示すシーケンス図である。図３３には、ＣＲＣモードによってセンサレジスタ３１１に設定情報の書き込みを行う場合のレジスタ通信の一例を示す。
　ホスト２から送信される設定情報には、Ｗｒｉｔｅカウンタのカウンタ値に対するカウンタ期待値が含まれていてもよい。レジスタ１３０には、Ｗｒｉｔｅカウンタ期待値を記憶するＷｒｉｔｅカウンタ期待値レジスタが含まれていてもよい。
　ＣＩＳ１では、例えば、ＦＳ＿Ｓ＿ＳＴＡＴＥがｎｏｔ０から０になったタイミングで、Ｗｒｉｔｅカウンタの値とＷｒｉｔｅカウンタ期待値との比較を行う。ＦＳ＿Ｓ＿ＳＴＡＴＥがｎｏｔ０から０になった箇所であれば、Ｗｒｉｔｅカウンタ期待値レジスタのカウンタはインクリメントされ、期待値も設定される。これにより、Ｗｒｉｔｅカウンタ期待値レジスタを通常のレジスタ領域と同じようにＣＲＣやＭＡＣのチェックの対象にできる。
　ＣＩＳ１では、Ｗｒｉｔｅカウンタのカウンタ値と期待値レジスタに記憶されたカウンタ期待値とが一致しなかった場合に、エラーステートＦＳ＿Ｓ＿ＥＲＲによって通知情報としてエラー情報を出力するようにしてもよい。この仕組みは書き込みだけでなく読み出し時にも行ってよい。これにより、リプレイ攻撃等の対処が可能となる。
（エラー検出関連、その他）
　図４０は、一実施の形態に係る技術によるＲｅａｄカウンタおよびＷｒｉｔｅカウンタの動作を含むレジスタ通信の一例を示すシーケンス図である。図４０には、ＭＡＣモードによってセンサレジスタ３１１に設定情報の書き込みを行う場合のレジスタ通信の一例を示す。
　ＣＩＳ１は、ホスト２からの書き込みリクエスト（例えばＦＳ＿Ｓ＿ＳＴＡＴＥ＝ＭＡＣ＿ＲＥＧＷ）に基づくセンサレジスタ３１１への設定情報の書き込み処理期間内に、書き込み対象の設定情報とは異なる設定情報のセンサレジスタ３１１からの読み出し処理（レジスタＲｅａｄ）が可能に構成されていてもよい。
　ＣＩＳ１において、レジスタ書き込み関連の処理中に、通常読み出しＯＫなレジスタ１３０の読み出しは可能、かつ書き込み処理のデータには影響を与えない（ＭＡＣ値やＣＲＣ値は書き込み処理のみを対象として演算）とすることで、レジスタ書き込み関連の処理中にホスト２からレジスタ１３０内のステート情報の確認などを可能にする。
　例えば、ＣＲＣモードやＭＡＣモードによるレジスタ１３０への設定値の書き込み後、ＣＲＣデータやＭＡＣデータの書き込み前において、書き込み処理中に通常のレジスタ値の読み出しはエラーではなく許容動作にしてもよい。これは例えば、機能安全・セキュリティエラーや、その他ステートレジスタのポーリングのための状態の読み出しなどを想定している。また、あくまで通常に読み出せるレジスタ領域の仕様を想定している。ＣＲＣやＭＡＣや暗号化していないと読み出せない領域に指定されたレジスタ１３０の読み出しに関してはエラー検出を行い、値も出力しないようにしてもよい。
［１．３　効果］
　以上説明したように、一実施の形態に係るデータ伝送システムによれば、データ処理装置としてのＣＩＳ１におけるレジスタ１３０のアドレス領域として、設定情報に対するセキュリティ用データを記憶する機能安全・セキュリティ用データ領域３１３と、ホスト２との間の通信情報を記憶する通信情報レジスタ３１２とを有し、ＣＩＳ１とホスト２との間でレジスタ通信が行われる。これにより、セキュリティを向上させることが可能となる。
　また、一実施の形態に係るデータ伝送システムによれば、既存の規格／通信ＩＦの仕様の範囲で実現可能なセーフティ・セキュリティ機能を実現できる。ソフトウェアなどで実現できる自由度の高い上位層１１３，２１３の変更で通信ＩＦのセーフティ・セキュリティを実現できる。ハードウェアレベルのセキュリティをＣＩＳ１とホスト２とのそれぞれの開発タイミングで組み込むことが可能となる。
　なお、本明細書に記載された効果はあくまでも例示であって限定されるものではなく、また他の効果があってもよい。以降の他の実施の形態の効果についても同様である。
＜２．その他の実施の形態＞
　本開示による技術は、上記一実施の形態の説明に限定されず種々の変形実施が可能である。
　例えば、本技術は以下のような構成を取ることもできる。
　以下の構成の本技術によれば、データ処理装置におけるレジスタのアドレス領域として、設定情報に対するセキュリティ用データを記憶するセキュリティ用データ領域と、ホストとの間の通信情報を記憶する通信情報領域とを有し、データ処理装置とホストとの間でレジスタ通信が行われる。
　これにより、セキュリティを向上させることが可能となる。
（１）
　アドレス領域として、ホストから送信された設定情報を記憶する設定用領域と、前記設定情報に対するセキュリティ用データを記憶するセキュリティ用データ領域と、前記ホストとの間の通信情報を記憶する通信情報領域とを有するレジスタと、
　前記ホストと前記レジスタとの間でレジスタ通信を行う通信部と
　を備える
　データ処理装置。
（２）
　前記通信情報として、前記レジスタ通信の通信モードを示す通信モード情報と、前記レジスタ通信の通信開始を示すステータス情報と、前記レジスタ通信の通信終了を示すステータス情報とを含む
　上記（１）に記載のデータ処理装置。
（３）
　前記セキュリティ用データとして、前記設定情報を含む暗号データ、前記設定情報に関する誤り検出符号、および前記設定情報に関するメッセージ認証コードのうち、少なくとも１つを含む
　上記（１）または（２）に記載のデータ処理装置。
（４）
　前記レジスタにおける処理状態を示す処理ステータスと、前記レジスタにおける処理に生じたエラー情報との少なくとも１つを通知情報として出力する通知部、をさらに備える
　上記（１）ないし（３）のいずれか１つに記載のデータ処理装置。
（５）
　前記処理ステータスを前記ホストに出力する処理ステート出力端子と、
　前記エラー情報を前記ホストに出力するエラー出力端子と
　をさらに備える
　上記（４）に記載のデータ処理装置。
（６）
　センサ部と、
　前記センサ部から出力されたセンサデータに前記通知部からの前記通知情報を付加して前記センサデータを前記ホストに出力するデータ出力部と
　をさらに備える
　上記（４）または（５）に記載のデータ処理装置。
（７）
　前記ホストと前記レジスタとの間で複数の通信モードで通信可能に構成され、かつ、前記複数の通信モードのいずれの通信モードで前記レジスタ通信を行うかを選択可能に構成されている
　上記（１）ないし（６）のいずれか１つに記載のデータ処理装置。
（８）
　第１の通信モードによるレジスタ通信を行った後、第２の通信モードによるレジスタ通信を行う場合に、前記第１の通信モードによるレジスタ通信の通信終了を示すステータス情報を省略可能に構成されている
　上記（２）に記載のデータ処理装置。
（９）
　暗号データを復号化する復号化部、をさらに備え、
　前記セキュリティ用データ領域に前記設定情報を含む暗号データの書き込みを行った後、前記復号化部によって前記暗号データを復号化し、その復号化によって得られた前記設定情報を前記設定用領域に対して書き込む
　上記（１）ないし（８）のいずれか１つに記載のデータ処理装置。
（１０）
　前記ホストからの前記設定情報の読み出しリクエストがあった場合に、前記設定用領域に記憶された前記設定情報と、前記セキュリティ用データ領域に記憶された、前記設定情報に関する前記セキュリティ用データとの読み出しを行う
　上記（１）ないし（９）のいずれか１つに記載のデータ処理装置。
（１１）
　前記ホストから暗号化による前記設定情報の読み出しリクエストがあった場合に、前記設定用領域に記憶された前記設定情報を暗号化して前記セキュリティ用データ領域に暗号データとして書き込みした後、前記セキュリティ用データ領域から前記暗号データの読み出しを行う
　上記（１）ないし（１０）のいずれか１つに記載のデータ処理装置。
（１２）
　前記ホストから前記設定用領域への前記設定情報の書き込みリクエストがあったことをカウントする書き込みカウンタと、前記ホストから前記設定情報の読み出しリクエストがあったことをカウントする読み出しカウンタとを含む通信カウンタ、をさらに備える
　上記（１）ないし（１１）のいずれか１つに記載のデータ処理装置。
（１３）
　センサ部と、
　前記センサ部から出力されたセンサデータに前記通信カウンタからのカウンタ値を付加して前記センサデータを前記ホストに出力するデータ出力部と
　をさらに備え、
　前記データ出力部は、前記センサデータに対する同期タイミング信号に同期したタイミングで、前記センサデータに前記通信カウンタからの前記カウンタ値を付加する
　上記（１２）に記載のデータ処理装置。
（１４）
　前記レジスタにおける処理状態を示す処理ステータスと、前記レジスタにおける処理に生じたエラー情報との少なくとも１つを通知情報として出力する通知部、をさらに備え、
　前記データ出力部は、前記センサデータに対する同期タイミング信号に同期したタイミングで、前記センサデータに前記通知部からの前記通知情報と前記通信カウンタからの前記カウンタ値とを付加する
　上記（１３）に記載のデータ処理装置。
（１５）
　前記設定用領域として、所定のセキュリティ処理によるセキュリティ対象となる領域を含み、前記セキュリティ対象となる領域への前記設定情報の書き込み、または前記セキュリティ対象となる領域からの前記設定情報の読み出しは、前記所定のセキュリティ処理を行う場合に許可されるように構成されている
　上記（１）ないし（１４）のいずれか１つに記載のデータ処理装置。
（１６）
　前記ホストと前記レジスタとの間で前記通信情報が設定されていない前記レジスタ通信が行われた場合には、前記設定用領域への前記設定情報の書き込みは反映しないように構成されている
　上記（１２）ないし（１４）のいずれか１つに記載のデータ処理装置。
（１７）
　前記ホストから送信される前記設定情報には、前記書き込みカウンタのカウンタ値に対するカウンタ期待値が含まれ、
　前記レジスタには、前記カウンタ期待値を記憶する期待値レジスタが含まれる
　上記（１２）ないし（１４）のいずれか１つに記載のデータ処理装置。
（１８）
　前記ホストから送信された前記設定情報を一時的に記憶する一時記憶部と、
　前記セキュリティ用データに基づいて、前記一時記憶部に記憶された前記設定情報の正誤判定を行い、前記設定情報が正しいと判定され、かつ、前記書き込みカウンタのカウンタ値と前記期待値レジスタに記憶された前記カウンタ期待値とが一致した場合に、前記設定用領域に対して前記設定情報の書き込みを反映する書き込み判定部と
　をさらに備える
　上記（１７）に記載のデータ処理装置。
（１９）
　前記通知部は、前記セキュリティ用データに基づいて前記設定情報の正誤判定が行われ、前記設定情報が誤りであると判定された場合に、前記通知情報として前記エラー情報を出力する
　上記（４）ないし（６）のいずれか１つに記載のデータ処理装置。
（２０）
　前記書き込みカウンタのカウンタ値と前記期待値レジスタに記憶された前記カウンタ期待値とが一致しなかった場合に、通知情報としてエラー情報を出力する通知部、をさらに備える
　上記（１７）または（１８）に記載のデータ処理装置。
（２１）
　前記レジスタにおける前記セキュリティ用データ領域および前記通信情報領域を使用するか否かを切り替え可能に構成されている
　上記（１）ないし（２０）のいずれか１つに記載のデータ処理装置。
（２２）
　前記設定用領域に対して前記設定情報の書き込みが反映された後、前記セキュリティ用データに基づいて、前記設定用領域に反映された前記設定情報の正誤判定を行う書き込み判定部、をさらに備える
　上記（１）ないし（２１）のいずれか１つに記載のデータ処理装置。
（２３）
　前記データ出力部は、前記センサデータに対する同期タイミング信号に同期したタイミングで、前記センサデータに前記通知部からの前記通知情報を付加する
　上記（６）に記載のデータ処理装置。
（２４）
　前記ホストから送信された前記設定情報を一時的に記憶する一時記憶部と、
　前記セキュリティ用データに基づいて、前記一時記憶部に記憶された前記設定情報の正誤判定を行い、前記設定情報が正しいと判定された場合に、前記設定用領域に対して前記設定情報の書き込みを反映する書き込み判定部と
　をさらに備える
　上記（１）ないし（２３）のいずれか１つに記載のデータ処理装置。
（２５）
　前記書き込みカウンタは、前記書き込みリクエストを示すレジスタ通信が検出されたタイミングでカウンタ値をインクリメントする
　上記（１２）ないし（１４）のいずれか１つに記載のデータ処理装置。
（２６）
　前記読み出しカウンタは、前記読み出しリクエストに応じた前記設定情報の読み出しを開始するタイミングでカウンタ値をインクリメントする
　上記（１２）ないし（１４）のいずれか１つに記載のデータ処理装置。
（２７）
　前記読み出しカウンタは、暗号化による前記読み出しリクエストがあった場合に、前記設定用領域に記憶された前記設定情報を暗号化して前記セキュリティ用データ領域に暗号データとして書き込みが行われた後、前記セキュリティ用データ領域から前記暗号データの読み出しが行われる前に、カウンタ値をインクリメントする
　上記（１２）ないし（１４）のいずれか１つに記載のデータ処理装置。
（２８）
　前記ホストと前記レジスタとの間で前記通信情報が設定されていない前記レジスタ通信が行われた場合に、前記レジスタ通信の通信転送単位で前記通信カウンタのカウンタ値をインクリメントする
　上記（１２）ないし（１４）のいずれか１つに記載のデータ処理装置。
（２９）
　前記設定用領域に対する前記設定情報の書き込みまたは読み出しを行う前に、前記ホストから前記通信情報として、所望のセキュリティ処理に対応するアルゴリズムの情報を含む通信モード情報が送信されるようになされている
　上記（１）ないし（２８）のいずれか１つに記載のデータ処理装置。
（３０）
　前記ホストから、前記通信情報として前記通信モード情報を含むことを通知する情報が送信されるようになされている
　上記（２９）に記載のデータ処理装置。
（３１）
　前記ホストから前記通信情報が送信されるよりも前に、前記所望のセキュリティ処理に用いられる情報が前記ホストから送信され、前記所望のセキュリティ処理に用いられる情報を前記セキュリティ用データとして前記セキュリティ用データ領域に書き込むようになされている
　上記（２９）または（３０）に記載のデータ処理装置。
（３２）
　前記通知部は、前記ホストと前記レジスタとの間で前記通信情報が設定されていない、意図しない前記レジスタ通信が行われた場合に、前記通知情報として前記エラー情報を出力する
　上記（４）ないし（６）のいずれか１つに記載のデータ処理装置。
（３３）
　前記通知部は、前記ホストと前記レジスタとの間で前記通信情報で示されるコマンドとは異なる、意図しないコマンドによる前記レジスタ通信が行われた場合に、前記通知情報として前記エラー情報を出力する
　上記（４）ないし（６）のいずれか１つに記載のデータ処理装置。
（３４）
　前記通知部は、所定の期間内に前記ホストから前記レジスタ通信によるコマンドが送信されてこない場合に、前記通知情報として前記エラー情報を出力する
　上記（４）ないし（６）のいずれか１つに記載のデータ処理装置。
（３５）
　前記ホストからの書き込みリクエストに基づく前記設定用領域への前記設定情報の書き込み処理期間内に、前記書き込み対象の前記設定情報とは異なる設定情報の前記設定用領域からの読み出し処理が可能に構成されている
　上記（１）ないし（３４）のいずれか１つに記載のデータ処理装置。
（３６）
　ホストと、
　データ処理装置と
　を含み、
　前記データ処理装置は、
　アドレス領域として、前記ホストから送信された設定情報を記憶する設定用領域と、前記設定情報に対するセキュリティ用データを記憶するセキュリティ用データ領域と、前記ホストとの間の通信情報を記憶する通信情報領域とを有するレジスタと、
　前記ホストと前記レジスタとの間でレジスタ通信を行う通信部と
　を備える
　データ伝送システム。
　本出願は、日本国特許庁において２０２１年１２月２３日に出願された日本特許出願番号第２０２１－２０９７５６号を基礎として優先権を主張するものであり、この出願のすべての内容を参照によって本出願に援用する。
　当業者であれば、設計上の要件や他の要因に応じて、種々の修正、コンビネーション、サブコンビネーション、および変更を想到し得るが、それらは添付の請求の範囲やその均等物の範囲に含まれるものであることが理解される。

Claims (20)

  1. 　アドレス領域として、ホストから送信された設定情報を記憶する設定用領域と、前記設定情報に対するセキュリティ用データを記憶するセキュリティ用データ領域と、前記ホストとの間の通信情報を記憶する通信情報領域とを有するレジスタと、
    　前記ホストと前記レジスタとの間でレジスタ通信を行う通信部と
    　を備える
    　データ処理装置。
  2. 　前記通信情報として、前記レジスタ通信の通信モードを示す通信モード情報と、前記レジスタ通信の通信開始を示すステータス情報と、前記レジスタ通信の通信終了を示すステータス情報とを含む
    　請求項１に記載のデータ処理装置。
  3. 　前記セキュリティ用データとして、前記設定情報を含む暗号データ、前記設定情報に関する誤り検出符号、および前記設定情報に関するメッセージ認証コードのうち、少なくとも１つを含む
    　請求項１に記載のデータ処理装置。
  4. 　前記レジスタにおける処理状態を示す処理ステータスと、前記レジスタにおける処理に生じたエラー情報との少なくとも１つを通知情報として出力する通知部、をさらに備える
    　請求項１に記載のデータ処理装置。
  5. 　前記処理ステータスを前記ホストに出力する処理ステート出力端子と、
    　前記エラー情報を前記ホストに出力するエラー出力端子と
    　をさらに備える
    　請求項４に記載のデータ処理装置。
  6. 　センサ部と、
    　前記センサ部から出力されたセンサデータに前記通知部からの前記通知情報を付加して前記センサデータを前記ホストに出力するデータ出力部と
    　をさらに備える
    　請求項４に記載のデータ処理装置。
  7. 　前記ホストと前記レジスタとの間で複数の通信モードで通信可能に構成され、かつ、前記複数の通信モードのいずれの通信モードで前記レジスタ通信を行うかを選択可能に構成されている
    　請求項１に記載のデータ処理装置。
  8. 　第１の通信モードによるレジスタ通信を行った後、第２の通信モードによるレジスタ通信を行う場合に、前記第１の通信モードによるレジスタ通信の通信終了を示すステータス情報を省略可能に構成されている
    　請求項２に記載のデータ処理装置。
  9. 　暗号データを復号化する復号化部、をさらに備え、
    　前記セキュリティ用データ領域に前記設定情報を含む暗号データの書き込みを行った後、前記復号化部によって前記暗号データを復号化し、その復号化によって得られた前記設定情報を前記設定用領域に対して書き込む
    　請求項１に記載のデータ処理装置。
  10. 　前記ホストからの前記設定情報の読み出しリクエストがあった場合に、前記設定用領域に記憶された前記設定情報と、前記セキュリティ用データ領域に記憶された、前記設定情報に関する前記セキュリティ用データとの読み出しを行う
    　請求項１に記載のデータ処理装置。
  11. 　前記ホストから暗号化による前記設定情報の読み出しリクエストがあった場合に、前記設定用領域に記憶された前記設定情報を暗号化して前記セキュリティ用データ領域に暗号データとして書き込みした後、前記セキュリティ用データ領域から前記暗号データの読み出しを行う
    　請求項１に記載のデータ処理装置。
  12. 　前記ホストから前記設定用領域への前記設定情報の書き込みリクエストがあったことをカウントする書き込みカウンタと、前記ホストから前記設定情報の読み出しリクエストがあったことをカウントする読み出しカウンタとを含む通信カウンタ、をさらに備える
    　請求項１に記載のデータ処理装置。
  13. 　センサ部と、
    　前記センサ部から出力されたセンサデータに前記通信カウンタからのカウンタ値を付加して前記センサデータを前記ホストに出力するデータ出力部と
    　をさらに備え、
    　前記データ出力部は、前記センサデータに対する同期タイミング信号に同期したタイミングで、前記センサデータに前記通信カウンタからの前記カウンタ値を付加する
    　請求項１２に記載のデータ処理装置。
  14. 　前記レジスタにおける処理状態を示す処理ステータスと、前記レジスタにおける処理に生じたエラー情報との少なくとも１つを通知情報として出力する通知部、をさらに備え、
    　前記データ出力部は、前記センサデータに対する同期タイミング信号に同期したタイミングで、前記センサデータに前記通知部からの前記通知情報と前記通信カウンタからの前記カウンタ値とを付加する
    　請求項１３に記載のデータ処理装置。
  15. 　前記設定用領域として、所定のセキュリティ処理によるセキュリティ対象となる領域を含み、前記セキュリティ対象となる領域への前記設定情報の書き込み、または前記セキュリティ対象となる領域からの前記設定情報の読み出しは、前記所定のセキュリティ処理を行う場合に許可されるように構成されている
    　請求項１に記載のデータ処理装置。
  16. 　前記ホストと前記レジスタとの間で前記通信情報が設定されていない前記レジスタ通信が行われた場合には、前記設定用領域への前記設定情報の書き込みは反映しないように構成されている
    　請求項１２に記載のデータ処理装置。
  17. 　前記ホストから送信される前記設定情報には、前記書き込みカウンタのカウンタ値に対するカウンタ期待値が含まれ、
    　前記レジスタには、前記カウンタ期待値を記憶する期待値レジスタが含まれる
    　請求項１２に記載のデータ処理装置。
  18. 　前記ホストから送信された前記設定情報を一時的に記憶する一時記憶部と、
    　前記セキュリティ用データに基づいて、前記一時記憶部に記憶された前記設定情報の正誤判定を行い、前記設定情報が正しいと判定され、かつ、前記書き込みカウンタのカウンタ値と前記期待値レジスタに記憶された前記カウンタ期待値とが一致した場合に、前記設定用領域に対して前記設定情報の書き込みを反映する書き込み判定部と
    　をさらに備える
    　請求項１７に記載のデータ処理装置。
  19. 　前記通知部は、前記セキュリティ用データに基づいて前記設定情報の正誤判定が行われ、前記設定情報が誤りであると判定された場合に、前記通知情報として前記エラー情報を出力する
    　請求項４に記載のデータ処理装置。
  20. 　前記書き込みカウンタのカウンタ値と前記期待値レジスタに記憶された前記カウンタ期待値とが一致しなかった場合に、通知情報としてエラー情報を出力する通知部、をさらに備える
    　請求項１７に記載のデータ処理装置。
PCT/JP2022/040708 2021-12-23 2022-10-31 データ処理装置 WO2023119893A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2021209756 2021-12-23
JP2021-209756 2021-12-23

Publications (1)

Publication Number Publication Date
WO2023119893A1 true WO2023119893A1 (ja) 2023-06-29

Family

ID=86901967

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/040708 WO2023119893A1 (ja) 2021-12-23 2022-10-31 データ処理装置

Country Status (2)

Country Link
TW (1) TW202333504A (ja)
WO (1) WO2023119893A1 (ja)

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH07175782A (ja) * 1993-09-27 1995-07-14 Hitachi Ltd ディジタル信号処理プロセッサ
JP2001027877A (ja) * 1999-04-30 2001-01-30 Hewlett Packard Co <Hp> データ・ストリームに対してアルゴリズムを実行する装置
JP2003281077A (ja) * 2002-03-25 2003-10-03 Hitachi Ltd 半導体集積回路装置
JP2004096666A (ja) * 2002-09-04 2004-03-25 Matsushita Electric Ind Co Ltd 暗号化部を有する半導体装置、外部インターフェースを有する半導体装置、およびコンテンツ再生方法
JP2011210037A (ja) * 2010-03-30 2011-10-20 Renesas Electronics Corp 半導体装置及びデータ処理方法
JP2012114773A (ja) * 2010-11-26 2012-06-14 Toshiba Corp データ記憶装置、コントロール装置及び暗号化方法
WO2021014125A1 (en) * 2019-03-18 2021-01-28 Pqshield Ltd Cryptographic architecture for cryptographic permutation

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH07175782A (ja) * 1993-09-27 1995-07-14 Hitachi Ltd ディジタル信号処理プロセッサ
JP2001027877A (ja) * 1999-04-30 2001-01-30 Hewlett Packard Co <Hp> データ・ストリームに対してアルゴリズムを実行する装置
JP2003281077A (ja) * 2002-03-25 2003-10-03 Hitachi Ltd 半導体集積回路装置
JP2004096666A (ja) * 2002-09-04 2004-03-25 Matsushita Electric Ind Co Ltd 暗号化部を有する半導体装置、外部インターフェースを有する半導体装置、およびコンテンツ再生方法
JP2011210037A (ja) * 2010-03-30 2011-10-20 Renesas Electronics Corp 半導体装置及びデータ処理方法
JP2012114773A (ja) * 2010-11-26 2012-06-14 Toshiba Corp データ記憶装置、コントロール装置及び暗号化方法
WO2021014125A1 (en) * 2019-03-18 2021-01-28 Pqshield Ltd Cryptographic architecture for cryptographic permutation

Also Published As

Publication number Publication date
TW202333504A (zh) 2023-08-16

Similar Documents

Publication Publication Date Title
EP3706005B1 (en) Secure stream protocol for serial interconnect
US8161285B2 (en) Protocol-Independent remote attestation and sealing
KR101055712B1 (ko) 모바일 장치에서의 메시지 핸들링
JP6063606B2 (ja) ネットワーク通信システム、不正検知電子制御ユニット及び不正対処方法
JP5949572B2 (ja) 車両不正状態検出方法、車載システムにおける制御方法、およびシステム
US11294846B2 (en) System, apparatus and method for secure communication on a bus
CN111444519B (zh) 保护日志数据的完整性
CN113557515A (zh) 外围设备与安全电路系统的兼容性
JP2014236248A (ja) 電子制御装置、電子制御システム
CN111786820B (zh) 固件更新方法、装置及网络设备
KR20220050290A (ko) 부트 메모리 버스의 경로 절체 기능을 이용한 시큐어 부팅 방법 및 이를 이용한 장치
WO2022075081A1 (ja) 情報処理装置、移動体装置、および通信システム
EP4080818A1 (en) Communication method and device, ecu, vehicle and storage medium
WO2022050057A1 (ja) 情報処理装置、移動体装置、および通信システム
WO2023119893A1 (ja) データ処理装置
KR20220167731A (ko) 단방향 전송에서 손상된 상태를 보고하기 위한 통신 시스템 및 통신 방법
US20230379146A1 (en) Securing network communications using dynamically and locally generated secret keys
JP2020107237A (ja) 情報処理装置
JP6573236B2 (ja) 通信装置、および受信装置
US11392690B2 (en) Security monitoring apparatus and method for vehicle network
JP2017228887A (ja) 制御システム、ネットワーク装置、及び制御装置の制御方法
WO2023223823A1 (ja) データ処理装置、データ処理方法、およびプログラム
TWI807766B (zh) 安全之全晶片通信
WO2023243432A1 (ja) データ処理装置、データ処理方法、およびプログラム
US20230177154A1 (en) Sparse Encodings for Control Signals

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22910613

Country of ref document: EP

Kind code of ref document: A1