知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024117906
(43)【公開日】2024-08-30
(54)【発明の名称】セキュアエレメントおよび仮想マシン
(51)【国際特許分類】
G06F 21/55 20130101AFI20240823BHJP
【ＦＩ】
G06F21/55 320
【審査請求】未請求
【請求項の数】12
【出願形態】ＯＬ
(21)【出願番号】P 2023023990
(22)【出願日】2023-02-20
(71)【出願人】
【識別番号】000002897
【氏名又は名称】大日本印刷株式会社
(74)【代理人】
【識別番号】100122529
【弁理士】
【氏名又は名称】藤枡 裕実
(74)【代理人】
【識別番号】100135954
【弁理士】
【氏名又は名称】深町 圭子
(74)【代理人】
【識別番号】100119057
【弁理士】
【氏名又は名称】伊藤 英生
(74)【代理人】
【識別番号】100131369
【弁理士】
【氏名又は名称】後藤 直樹
(74)【代理人】
【識別番号】100171859
【弁理士】
【氏名又は名称】立石 英之
(72)【発明者】
【氏名】木下 靖夫
(72)【発明者】
【氏名】平野 晋健
(72)【発明者】
【氏名】福永 正剛
(72)【発明者】
【氏名】高橋 憲介
(72)【発明者】
【氏名】高田 憲一
(72)【発明者】
【氏名】嘉瀬 悠太
(57)【要約】
【課題】故障利用攻撃や外乱ノイズにより、仮想マシンが使用するメモリの内容が変化しても、仮想マシンが誤動作することなく処理を継続できるようにする。
【解決手段】セキュアエレメント１に実装する仮想マシン１０は、ＰＣ１００を参照してバイトコードをフェッチし、フェッチしたバイトコードをデコードしてバイトコードに応じた命令１０２をディスパッチした後、ディスパッチした命令１０２を実行する前に、命令１０２のディスパッチに用いたバイトコードとこの時点のＰＣ１００を参照してフェッチしたバイトコードを比較し、これら２つのバイトコードが同じ場合、バイトコードに応じた命令を実行し、これら２つのバイトコードが異なる場合、バイトコードを実行する処理を再実行する。
【選択図】図３
【解決手段】セキュアエレメント１に実装する仮想マシン１０は、ＰＣ１００を参照してバイトコードをフェッチし、フェッチしたバイトコードをデコードしてバイトコードに応じた命令１０２をディスパッチした後、ディスパッチした命令１０２を実行する前に、命令１０２のディスパッチに用いたバイトコードとこの時点のＰＣ１００を参照してフェッチしたバイトコードを比較し、これら２つのバイトコードが同じ場合、バイトコードに応じた命令を実行し、これら２つのバイトコードが異なる場合、バイトコードを実行する処理を再実行する。
【選択図】図３
【特許請求の範囲】
【請求項1】
仮想マシンを実装したセキュアエレメントであって、
前記仮想マシンは、
実行するバイトコードが格納されているメモリアドレスを指し示すプログラムカウンタと、前記プログラムカウンタが指し示すメモリアドレスに格納されたバイトコードを実行するバイトコード処理部を備え、
前記バイトコード処理部は、前記プログラムカウンタを参照してバイトコードをフェッチし、フェッチしたバイトコードをデコードしてバイトコードに応じた命令をディスパッチした後、命令を実行する前に、命令のディスパッチに用いたバイトコードとこの時点の前記プログラムカウンタを参照してフェッチしたバイトコードを比較し、これら２つのバイトコードが同じ場合、バイトコードに応じた命令を実行し、これら２つのバイトコードが異なる場合、バイトコードを実行する処理を再実行する、
ことを特徴とするセキュアエレメント。
前記仮想マシンは、
実行するバイトコードが格納されているメモリアドレスを指し示すプログラムカウンタと、前記プログラムカウンタが指し示すメモリアドレスに格納されたバイトコードを実行するバイトコード処理部を備え、
前記バイトコード処理部は、前記プログラムカウンタを参照してバイトコードをフェッチし、フェッチしたバイトコードをデコードしてバイトコードに応じた命令をディスパッチした後、命令を実行する前に、命令のディスパッチに用いたバイトコードとこの時点の前記プログラムカウンタを参照してフェッチしたバイトコードを比較し、これら２つのバイトコードが同じ場合、バイトコードに応じた命令を実行し、これら２つのバイトコードが異なる場合、バイトコードを実行する処理を再実行する、
ことを特徴とするセキュアエレメント。
【請求項2】
前記バイトコード処理部は、バイトコードを実行する処理を再実行した第１再実行回数をカウントし、前記第１再実行回数が閾値を超えるとエラー処理を実行することを特徴とする、請求項１に記載したセキュアエレメント。
【請求項3】
前記バイトコード処理部は、バイトコードに応じた命令が、条件が成立するか否かにより分岐先を呼び出すか否かを決定する分岐命令の場合、前記分岐命令を実行した後に、再度、前記分岐命令を実行し、最初に前記分岐命令を実行したときの前記プログラムカウンタの値と、２回目の前記分岐命令を実行した後の前記プログラムカウンタの値を比較し、これら２つの前記プログラムカウンタの値が異なる場合、前記分岐命令を再実行する、
ことを特徴とする、請求項１または２に記載したセキュアエレメント。
ことを特徴とする、請求項１または２に記載したセキュアエレメント。
【請求項4】
前記バイトコード処理部は、前記分岐命令を再実行した第２再実行回数をカウントし、前記第２再実行回数が閾値を超えるとエラー処理を実行することを特徴とする、請求項３に記載したセキュアエレメント。
【請求項5】
セキュアエレメントに実装する仮想マシンであって、
実行するバイトコードが格納されているメモリアドレスを指し示すプログラムカウンタと、前記プログラムカウンタが指し示すメモリアドレスに格納されたバイトコードを実行するバイトコード処理部を備え、
前記バイトコード処理部は、前記プログラムカウンタを参照してバイトコードをフェッチし、フェッチしたバイトコードをデコードしてバイトコードに応じた命令をディスパッチした後、命令を実行する前に、命令のディスパッチに用いたバイトコードとこの時点の前記プログラムカウンタを参照してフェッチしたバイトコードを比較し、これら２つのバイトコードが同じ場合、バイトコードに応じた命令を実行し、これら２つのバイトコードが異なる場合、バイトコードを実行する処理を再実行する、
ことを特徴とする仮想マシン。
実行するバイトコードが格納されているメモリアドレスを指し示すプログラムカウンタと、前記プログラムカウンタが指し示すメモリアドレスに格納されたバイトコードを実行するバイトコード処理部を備え、
前記バイトコード処理部は、前記プログラムカウンタを参照してバイトコードをフェッチし、フェッチしたバイトコードをデコードしてバイトコードに応じた命令をディスパッチした後、命令を実行する前に、命令のディスパッチに用いたバイトコードとこの時点の前記プログラムカウンタを参照してフェッチしたバイトコードを比較し、これら２つのバイトコードが同じ場合、バイトコードに応じた命令を実行し、これら２つのバイトコードが異なる場合、バイトコードを実行する処理を再実行する、
ことを特徴とする仮想マシン。
【請求項6】
前記バイトコード処理部は、バイトコードを実行する処理を再実行した第１再実行回数をカウントし、前記第１再実行回数が閾値を超えるとエラー処理を実行することを特徴とする、請求項５に記載した仮想マシン。
【請求項7】
前記バイトコード処理部は、バイトコードに応じた命令が、条件が成立するか否かにより分岐先を呼び出すか否かを決定する分岐命令の場合、前記分岐命令を実行した後に、再度、前記分岐命令を実行し、最初に前記分岐命令を実行したときの前記プログラムカウンタの値と、２回目の前記分岐命令を実行した後の前記プログラムカウンタの値を比較し、これら２つの前記プログラムカウンタの値が異なる場合、前記分岐命令を再実行する、
ことを特徴とする、請求項５または６に記載した仮想マシン。
ことを特徴とする、請求項５または６に記載した仮想マシン。
【請求項8】
前記バイトコード処理部は、前記分岐命令を再実行した第２再実行回数をカウントし、前記第２再実行回数が閾値を超えるエラー処理を実行することを特徴とする、請求項７に記載した仮想マシン。
【請求項9】
セキュアエレメントを実装したＩＣカードであって、
前記セキュアエレメントは仮想マシンを備え、
前記仮想マシンは、
実行するバイトコードが格納されているメモリアドレスを指し示すプログラムカウンタと、前記プログラムカウンタが指し示すメモリアドレスに格納されたバイトコードを実行するバイトコード処理部を備え、
前記バイトコード処理部は、前記プログラムカウンタを参照してバイトコードをフェッチし、フェッチしたバイトコードをデコードしてバイトコードに応じた命令をディスパッチした後、命令を実行する前に、命令のディスパッチに用いたバイトコードとこの時点の前記プログラムカウンタを参照してフェッチしたバイトコードを比較し、これら２つのバイトコードが同じ場合、バイトコードに応じた命令を実行し、これら２つのバイトコードが異なる場合、バイトコードを実行する処理を再実行する、
ことを特徴とするＩＣカード。
前記セキュアエレメントは仮想マシンを備え、
前記仮想マシンは、
実行するバイトコードが格納されているメモリアドレスを指し示すプログラムカウンタと、前記プログラムカウンタが指し示すメモリアドレスに格納されたバイトコードを実行するバイトコード処理部を備え、
前記バイトコード処理部は、前記プログラムカウンタを参照してバイトコードをフェッチし、フェッチしたバイトコードをデコードしてバイトコードに応じた命令をディスパッチした後、命令を実行する前に、命令のディスパッチに用いたバイトコードとこの時点の前記プログラムカウンタを参照してフェッチしたバイトコードを比較し、これら２つのバイトコードが同じ場合、バイトコードに応じた命令を実行し、これら２つのバイトコードが異なる場合、バイトコードを実行する処理を再実行する、
ことを特徴とするＩＣカード。
【請求項10】
前記バイトコード処理部は、バイトコードを実行する処理を再実行した第１再実行回数をカウントし、前記第１再実行回数が閾値を超えるとエラー処理を実行することを特徴とする、請求項９に記載したＩＣカード。
【請求項11】
前記バイトコード処理部は、バイトコードに応じた命令が、条件が成立するか否かにより分岐先を呼び出すか否かを決定する分岐命令の場合、前記分岐命令を実行した後に、再度、前記分岐命令を実行し、最初に前記分岐命令を実行したときの前記プログラムカウンタの値と、２回目の前記分岐命令を実行した後の前記プログラムカウンタの値を比較し、これら２つの前記プログラムカウンタの値が異なる場合、前記分岐命令を再実行する、
ことを特徴とする、請求項９または１０に記載したＩＣカード。
ことを特徴とする、請求項９または１０に記載したＩＣカード。
【請求項12】
前記バイトコード処理部は、前記分岐命令を再実行した第２再実行回数をカウントし、前記第２再実行回数が閾値を超えるとエラー処理を実行することを特徴とする、請求項１１に記載したＩＣカード。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、仮想マシンを搭載したセキュアエレメントに関する。より詳細には、本発明は、故障利用攻撃や外乱ノイズの影響によるセキュアエレメントの誤動作を防止する技術に関する。
【背景技術】
【0002】
機密性の高い情報を格納するセキュアエレメントに、Ｊａｖａ（登録商標）などの仮想マシン（VM: Virtual Machine）を実装するケースが増えている。特許文献１の背景技術に記載がある通り、レーザを照射するなどの故障利用攻撃や外乱ノイズの影響で、メモリの内容が変化すると、セキュアエレメントに実装された仮想マシンが誤動作することがある。特許文献２では、仮想マシンが、故障利用攻撃や外乱ノイズによりメモリの内容が変化したことを検知すると、仮想マシンの動作を停止するなどして、セキュアエレメントの誤動作を防止している。
【先行技術文献】
【特許文献】
【0003】
【特許文献1】特開２０１８－８８１４７号公報
【特許文献2】特開２００９－２８８９０８号公報
【発明の概要】
【発明が解決しようとする課題】
【0004】
しかし、故障利用攻撃や外乱ノイズによりメモリの内容が変化したことを検知したときに、セキュアエレメントの誤動作を防止するため、セキュアエレメントに実装した仮想マシンの動作を停止させると、セキュアエレメントを実装したユーザ機器の動作も停止する可能性がある。
【0005】
そこで、本願で開示する発明では、故障利用攻撃や外乱ノイズによりメモリの内容が変化しても、仮想マシンが誤動作することなく処理を継続できるようにすることを目的とする。
【課題を解決するための手段】
【0006】
上述した課題を解決する第１発明は、仮想マシンを実装したセキュアエレメントである。
第１発明に係るセキュアエレメントに実装する前記仮想マシンは、実行するバイトコードが格納されているメモリアドレスを指し示すプログラムカウンタと、前記プログラムカウンタが指し示すメモリアドレスに格納されたバイトコードを実行するバイトコード処理部を備える。
前記バイトコード処理部は、前記プログラムカウンタを参照してバイトコードをフェッチし、フェッチしたバイトコードをデコードしてバイトコードに応じた命令をディスパッチした後、命令を実行する前に、命令のディスパッチに用いたバイトコードとこの時点の前記プログラムカウンタを参照してフェッチしたバイトコードを比較し、これら２つのバイトコードが同じ場合、バイトコードに応じた命令を実行し、これら２つのバイトコードが異なる場合、バイトコードを実行する処理を再実行する。
第１発明では、バイトコードに対応する命令を実行する前に、バイトコードを再度フェッチし、命令のディスパッチに用いたバイトコードと再度フェッチしたバイトコードを比較することで、実行するバイトコードのメモリアドレスを指し示す前記プログラムカウンタの値が変化したか否かを判定している。更に、前記プログラムカウンタが変化したと判定した場合、前記プログラムカウンタによって示されるバイトコードを再実行することで、前記プログラムカウンタの値が故障利用攻撃や外乱ノイズより変化しても誤動作することなく処理を継続できるようにしている。
第１発明に係るセキュアエレメントに実装する前記仮想マシンは、実行するバイトコードが格納されているメモリアドレスを指し示すプログラムカウンタと、前記プログラムカウンタが指し示すメモリアドレスに格納されたバイトコードを実行するバイトコード処理部を備える。
前記バイトコード処理部は、前記プログラムカウンタを参照してバイトコードをフェッチし、フェッチしたバイトコードをデコードしてバイトコードに応じた命令をディスパッチした後、命令を実行する前に、命令のディスパッチに用いたバイトコードとこの時点の前記プログラムカウンタを参照してフェッチしたバイトコードを比較し、これら２つのバイトコードが同じ場合、バイトコードに応じた命令を実行し、これら２つのバイトコードが異なる場合、バイトコードを実行する処理を再実行する。
第１発明では、バイトコードに対応する命令を実行する前に、バイトコードを再度フェッチし、命令のディスパッチに用いたバイトコードと再度フェッチしたバイトコードを比較することで、実行するバイトコードのメモリアドレスを指し示す前記プログラムカウンタの値が変化したか否かを判定している。更に、前記プログラムカウンタが変化したと判定した場合、前記プログラムカウンタによって示されるバイトコードを再実行することで、前記プログラムカウンタの値が故障利用攻撃や外乱ノイズより変化しても誤動作することなく処理を継続できるようにしている。
【0007】
２つのバイトコードが異なる場合が続く場合、故障利用攻撃や外乱ノイズ以外にハードウェアの故障も想定できる。そこで、第１発明に係る前記バイトコード処理部は、バイトコードを実行する処理を再実行した第１再実行回数をカウントし、前記第１再実行回数が閾値を超えるとエラー処理を実行することが望ましい。
【0008】
条件が成立するか否かにより分岐先を呼び出すか否かを決定する分岐命令は、スタックに格納された２つのデータにおいて分岐命令に対応する条件が成立したか否かを判定する。分岐命令の実行中に、スタックを管理するスタックポインタの値が故障利用攻撃や外乱ノイズより変化すると、分岐命令を実行した後の前記プログラムカウンタが正当ではなくなり誤動作の原因になる。
そこで、第１発明に係る前記バイトコード処理部は、バイトコードに応じた命令が、条件が成立するか否かにより分岐先を呼び出すか否かを決定する分岐命令の場合、前記分岐命令を実行した後に、再度、前記分岐命令を実行し、最初に前記分岐命令を実行したときの前記プログラムカウンタの値と、２回目の前記分岐命令を実行した後の前記プログラムカウンタの値を比較し、これら２つの前記プログラムカウンタの値が異なる場合、前記分岐命令を再実行することが望ましい。
前記分岐命令の場合についても、前記バイトコード処理部は、前記分岐命令を再実行した第２再実行回数をカウントし、前記第２再実行回数が閾値を超えるとエラー処理を実行することが望ましい。
そこで、第１発明に係る前記バイトコード処理部は、バイトコードに応じた命令が、条件が成立するか否かにより分岐先を呼び出すか否かを決定する分岐命令の場合、前記分岐命令を実行した後に、再度、前記分岐命令を実行し、最初に前記分岐命令を実行したときの前記プログラムカウンタの値と、２回目の前記分岐命令を実行した後の前記プログラムカウンタの値を比較し、これら２つの前記プログラムカウンタの値が異なる場合、前記分岐命令を再実行することが望ましい。
前記分岐命令の場合についても、前記バイトコード処理部は、前記分岐命令を再実行した第２再実行回数をカウントし、前記第２再実行回数が閾値を超えるとエラー処理を実行することが望ましい。
【0009】
上述した課題を解決する第２発明は、セキュアエレメントに実装する仮想マシンである。前記仮想マシンは、実行するバイトコードが格納されているメモリアドレスを指し示すプログラムカウンタと、前記プログラムカウンタが指し示すメモリアドレスに格納されたバイトコードを実行するバイトコード処理部を備える。
第２発明に係る前記バイトコード処理部は、前記プログラムカウンタを参照してバイトコードをフェッチし、フェッチしたバイトコードをデコードしてバイトコードに応じた命令をディスパッチした後、命令を実行する前に、命令のディスパッチに用いたバイトコードとこの時点の前記プログラムカウンタを参照してフェッチしたバイトコードを比較し、これら２つのバイトコードが同じ場合、バイトコードに応じた命令を実行し、これら２つのバイトコードが異なる場合、バイトコードを実行する処理を再実行する。
第２発明においても、前記バイトコード処理部は、バイトコードを実行する処理を再実行した第１再実行回数をカウントし、前記第１再実行回数が閾値を超えるとエラー処理を実行することが望ましい。
更に、第２発明においても、前記バイトコード処理部は、バイトコードに応じた命令が、条件が成立するか否かにより分岐先を呼び出すか否かを決定する分岐命令の場合、前記分岐命令を実行した後に、再度、前記分岐命令を実行し、最初に前記分岐命令を実行したときの前記プログラムカウンタの値と、２回目の前記分岐命令を実行した後の前記プログラムカウンタの値を比較し、これら２つの前記プログラムカウンタの値が異なる場合、前記分岐命令を再実行することが望ましい。
更に、第２発明においても、前記バイトコード処理部は、前記分岐命令を再実行した第２再実行回数をカウントし、前記第２再実行回数が閾値を超えるとエラー処理を実行することが望ましい。
第２発明に係る前記バイトコード処理部は、前記プログラムカウンタを参照してバイトコードをフェッチし、フェッチしたバイトコードをデコードしてバイトコードに応じた命令をディスパッチした後、命令を実行する前に、命令のディスパッチに用いたバイトコードとこの時点の前記プログラムカウンタを参照してフェッチしたバイトコードを比較し、これら２つのバイトコードが同じ場合、バイトコードに応じた命令を実行し、これら２つのバイトコードが異なる場合、バイトコードを実行する処理を再実行する。
第２発明においても、前記バイトコード処理部は、バイトコードを実行する処理を再実行した第１再実行回数をカウントし、前記第１再実行回数が閾値を超えるとエラー処理を実行することが望ましい。
更に、第２発明においても、前記バイトコード処理部は、バイトコードに応じた命令が、条件が成立するか否かにより分岐先を呼び出すか否かを決定する分岐命令の場合、前記分岐命令を実行した後に、再度、前記分岐命令を実行し、最初に前記分岐命令を実行したときの前記プログラムカウンタの値と、２回目の前記分岐命令を実行した後の前記プログラムカウンタの値を比較し、これら２つの前記プログラムカウンタの値が異なる場合、前記分岐命令を再実行することが望ましい。
更に、第２発明においても、前記バイトコード処理部は、前記分岐命令を再実行した第２再実行回数をカウントし、前記第２再実行回数が閾値を超えるとエラー処理を実行することが望ましい。
【0010】
第３発明は、セキュアエレメントを実装したＩＣカードである。第３発明に係るＩＣカードに実装した前記セキュアエレメントは仮想マシンを備える。前記仮想マシンは、実行するバイトコードが格納されているメモリアドレスを指し示すプログラムカウンタと、前記プログラムカウンタが指し示すメモリアドレスに格納されたバイトコードを実行するバイトコード処理部を備える。
前記バイトコード処理部は、前記プログラムカウンタを参照してバイトコードをフェッチし、フェッチしたバイトコードをデコードしてバイトコードに応じた命令をディスパッチした後、命令を実行する前に、命令のディスパッチに用いたバイトコードとこの時点の前記プログラムカウンタを参照してフェッチしたバイトコードを比較し、これら２つのバイトコードが同じ場合、バイトコードに応じた命令を実行し、これら２つのバイトコードが異なる場合、バイトコードを実行する処理を再実行する。
第３発明においても、前記バイトコード処理部は、バイトコードを実行する処理を再実行した第１再実行回数をカウントし、前記第１再実行回数が閾値を超えるとエラー処理を実行することが望ましい。
更に、第３発明においても、前記バイトコード処理部は、バイトコードに応じた命令が、条件が成立するか否かにより分岐先を呼び出すか否かを決定する分岐命令の場合、前記分岐命令を実行した後に、再度、前記分岐命令を実行し、最初に前記分岐命令を実行したときの前記プログラムカウンタの値と、２回目の前記分岐命令を実行した後の前記プログラムカウンタの値を比較し、これら２つの前記プログラムカウンタの値が異なる場合、前記分岐命令を再実行することが望ましい。
更に、第３発明においても、前記バイトコード処理部は、前記分岐命令を再実行した第２再実行回数をカウントし、前記第２再実行回数が閾値を超えるとエラー処理を実行することが望ましい。
前記バイトコード処理部は、前記プログラムカウンタを参照してバイトコードをフェッチし、フェッチしたバイトコードをデコードしてバイトコードに応じた命令をディスパッチした後、命令を実行する前に、命令のディスパッチに用いたバイトコードとこの時点の前記プログラムカウンタを参照してフェッチしたバイトコードを比較し、これら２つのバイトコードが同じ場合、バイトコードに応じた命令を実行し、これら２つのバイトコードが異なる場合、バイトコードを実行する処理を再実行する。
第３発明においても、前記バイトコード処理部は、バイトコードを実行する処理を再実行した第１再実行回数をカウントし、前記第１再実行回数が閾値を超えるとエラー処理を実行することが望ましい。
更に、第３発明においても、前記バイトコード処理部は、バイトコードに応じた命令が、条件が成立するか否かにより分岐先を呼び出すか否かを決定する分岐命令の場合、前記分岐命令を実行した後に、再度、前記分岐命令を実行し、最初に前記分岐命令を実行したときの前記プログラムカウンタの値と、２回目の前記分岐命令を実行した後の前記プログラムカウンタの値を比較し、これら２つの前記プログラムカウンタの値が異なる場合、前記分岐命令を再実行することが望ましい。
更に、第３発明においても、前記バイトコード処理部は、前記分岐命令を再実行した第２再実行回数をカウントし、前記第２再実行回数が閾値を超えるとエラー処理を実行することが望ましい。
【発明の効果】
【0011】
上述した通り、本願で開示する発明では、故障利用攻撃や外乱ノイズにより、仮想マシンを実装したセキュアエレメントのメモリに格納するプログラムカウンタが変化しても、仮想マシンが誤動作することなく処理を継続できる。
【図面の簡単な説明】
【0012】
【図1】セキュアエレメントに係るハードウェアの構成要素を示した図。
【図2】セキュアエレメントに係るソフトウェア階層構造を示した図。
【図3】仮想マシンがバイトコードを実行する動作を説明する第１図。
【図4】仮想マシンがバイトコードを実行する動作を説明する第２図。
【図5】セキュアエレメントを実装したＩＣカードを示した図。
【発明を実施するための形態】
【0013】
ここから，本願で開示する発明に係る実施形態について記載する。本実施形態は，本願で開示する発明の理解を容易にするためのものであり，本願で開示する発明は，本実施形態に限定されるものではない。また，特に断りのない限り，図面は，本願で開示する発明の理解を容易にするために描かれた模式的な図である。
【0014】
図1は、セキュアエレメント１に係るハードウェアの基本的な構成要素を示す。セキュアエレメント１は、集積回路で作製されている。例えば、図１では、セキュアエレメント１には、ＣＰＵ１ａ（CPU: Central Processing Unit）、ＲＯＭ１ｂ（ROM: Read Only Memory)、ＲＡＭ１ｃ（RAM: Random Access Memory）、ＮＶＭ１ｄ（NVM: Non Volatile Memory）、暗号コプロセッサ１ｅ（Crypto Coprocessor）およびＩ／Ｆ１ｆ（Interface）が集積されている。図１で図示したセキュアエレメント１において、ＲＯＭ１ｂ、ＲＡＭ１ｃ、ＮＶＭ１ｄ、暗号コプロセッサ１ｅおよびＩ／Ｆ１ｆそれぞれは、バス１ｇを介して、ＣＰＵ１ａと接続している。
【0015】
ＣＰＵ１ａは、セキュアエレメント１における中心的な処理装置である。ＲＯＭ１ｂは、電気的に書き換え不可能な不揮発性メモリである。ＲＯＭ１は、セキュアエレメント１の製造時にのみコンピュータプログラムおよびデータを記憶できるメモリになる。ＲＡＭ１ｃは、電気的に書き換え可能な揮発性メモリである。ＲＡＭ１ｃは、セキュアエレメント１に実装されたコンピュータプログラムが一時的にデータを記憶するメモリになる。ＮＶＭ１ｄは、電気的に書き換え可能な不揮発性メモリである。ＮＶＭ１ｄは、セキュアエレメント１の製造後にコンピュータプログラムおよびデータをロードできるメモリになる。セキュアエレメント１のＮＶＭ１ｄには、ＥＥＰＲＯＭまたはフラッシュメモリなどが利用されている。
【0016】
暗号コプロセッサ１ｅは、特定の暗号演算に特化して設計された処理装置である。セキュアエレメント１は、秘匿性の高い情報を格納するため、セキュアエレメント１に暗号コプロセッサ１ｅを備えさせるのが一般的になっている。
【0017】
Ｉ／Ｆ１ｆは、外部装置との通信を行う回路である。セキュアエレメント１のＩ／Ｆ１ｆとしては、Ｉ２Ｃ（Inter-Integrated Circuit）が有名である。
【0018】
図２では、セキュアエレメント１に係るソフトウェア階層構造を示している。セキュアエレメント１のソフトウェア階層構造は、最下位層から順に、ハードウェア１１ａ、（オペレーティングシステム１１ｃ）、仮想マシン１０およびアプリケーション１１ｃである。
【0019】
セキュアエレメント１のハードウェア１１ａが備える基本的な構成要素は、図１で示している。セキュアエレメント１のハードウェア１１ａの上層は仮想マシン１０になる。仮想マシン１０のプログラムコードを記憶させる主のメモリはＲＯＭ１ｂになる。ハードウェア１１ａの上層に仮想マシン１０を設ける構造にもできるし、ハードウェア１１ａの上層にオペレーティングシステム１１ｃを設け、オペレーティングシステム１１ｃの上層に仮想マシン１０を設ける構造にもできる。
【0020】
アプリケーション１１ｃは、バイトコードを用いて記述されたコンピュータプログラムである。アプリケーション１１ｃを記憶させる主のメモリはＮＶＭ１ｄになる。バイトコードは、命令を表す１バイトのデータである。バイトコードに応じた命令によっては、パラメータとなる１バイトまたは複数バイトのオペランドがバイトコードに続く。
【0021】
仮想マシン１０は、バイトコードを解釈して実行する機能を備えたソフトウェアである。セキュアエレメント１に適した仮想マシン１０としては、Java（登録商標） Virtual Machineが有名である。図２では示していないが、仮想マシン１０のランタイム環境（Runtime Environment）や、仮想マシン１０のＡＰＩ（Application Programming Interface）がセキュアエレメント１に実装される。
【0022】
仮想マシン１０は、実行するバイトコードが格納されているメモリアドレスを指し示すプログラムカウンタ１００（以下、「ＰＣ」と記載する。ＰＣは、Program Counterの略）と、ＰＣ１００が指し示すメモリアドレスに格納されたバイトコードを実行するバイトコード処理部１０１を備える。更に、仮想マシン１０は、仮想マシン１０が対応しているバイトコードごとに、バイトコードに対応する命令１０２を備える。ここで、命令１０２とは、命令１０２に対応する処理を実行するプログラムである。図２において、仮想マシン１０が備える命令１０２には条件が成立するか否かにより分岐先を呼び出すか否かを決定する分岐命令１０２０が含まれている。
【0023】
ＰＣ１００は、セキュアエレメント１のＲＡＭ１ｃに設けられる。また、セキュアエレメント１のＲＡＭ１ｃには、仮想マシン１０が使用するスタックとスタックの管理に用いるスタックポインタ（これ以降、「ＳＰ」と記す。ＳＰは、Stack Pointerの略）などが設けられる。ＮＶＭ１ｄに格納されたデータ（例えば、バイトコード）は故障利用攻撃や外乱ノイズにより変化しづらいが、ＲＡＭ１ｃに格納されたデータは故障利用攻撃や外乱ノイズにより変化し易い。故障利用攻撃や外乱ノイズによって、ＲＡＭ１ｃに格納したＰＣ１００が変化すると、仮想マシン１０が誤動作してしまう。そこで、本実施形態では、ＲＡＭ１ｃなどのメモリに格納したＰＣ１００が故障利用攻撃や外乱ノイズにより変化したか否かを判定する機能と、ＲＡＭ１ｃなどのメモリに格納したデータが故障利用攻撃や外乱ノイズより変化しても誤動作することなく処理を継続する機能を仮想マシン１０のバイトコード処理部１０１に持たせている。
【0024】
仮想マシン１０が備えるバイトコード処理部１０１は、バイトコードを実行する際、ＰＣ１００が指し示しているメモリアドレスからバイトコードをフェッチする処理と、フェッチしたバイトコードをデコードしてバイトコードに応じた命令１０２をディスパッチする処理と、ディスパッチした命令１０２を実行する処理をそれぞれ実行する。ここで、ディスパッチとは、命令１０２に対してリソース（ＲＡＭ１ｃの領域など）を割り当てることなどを意味する。
【0025】
バイトコードに応じた命令１０２を実行させる際、ＲＡＭ１ｃに設けたＰＣ１００が故障利用攻撃や外乱ノイズより変化すると誤動作が生じる。そこで、本実施形態に係るバイトコード処理部１０１は、ＰＣ１００の正当性を判定するため、バイトコードに応じた命令１０２を実行する前に、命令１０２のディスパッチに用いたバイトコードとこの時点のＰＣ１００を参照してフェッチしたバイトコードを比較する。
【0026】
本実施形態に係るバイトコード処理部１０１は、ＰＣ１００の値は正当であると判定すると、すなわち、命令１０２のディスパッチに用いたバイトコードとこの時点のＰＣ１００を参照してフェッチしたバイトコードが同じ場合、ディスパッチした命令１０２を実行する。また、バイトコード処理部１０１は、ＰＣ１００は不当であると判定すると、すなわち、命令１０２のディスパッチに用いたバイトコードとこの時点のＰＣ１００を参照してフェッチしたバイトコードが異なる場合、誤動作することなく処理を継続できるように、バイトコードを実行する処理を再実行する。ＰＣ１００は正当でない状態が続く場合、ハードウェア１１ａの故障（例えば、ＲＡＭ１ｃの故障）も想定できる。そこで、本実施形態では、バイトコード処理部１０１は、バイトコードを再実行した第１再実行回数をカウントし、第１再実行回数が閾値を超えると、バイトコードを実行する処理を中断して、所定のエラー処理を実行する。エラー処理の内容は任意でよい。エラー処理は、エラーの発生を示すレスポンスを応答して、バイトコードの実行を終了する処理でもよい。また、エラー処理は、セキュリティ違反を示す例外処理を呼び出す処理でもよい。更に、エラー処理は、セキュアエレメント１の動作を停止する処理でもよい。
【0027】
条件が成立するか否かにより分岐先を呼び出すか否かを決定する分岐命令１０２０は、スタックに格納された２つのデータにおいて分岐命令１０２０に対応する条件が成立したか否かを判定する。分岐命令１０２０の実行中に、スタックを管理するスタックポインタの値やＰＣ１００の値が故障利用攻撃や外乱ノイズより変化すると、分岐命令１０２０を実行した後のＰＣ１００が正当ではなくなり誤動作の原因になる。
【0028】
そこで、本実施形態に係るバイトコード処理部１０１は、分岐命令１０２０を実行した後に、再度、分岐命令１０２０を実行し、１回目に分岐命令１０２０を実行するときのＰＣ１００の値と、２回目に分岐命令１０２０を実行した後のＰＣ１００の値を比較して、分岐命令１０２０を実行した後のＰＣ１００の値の正当性を判定する。バイトコード処理部１０１は、分岐命令１０２０を実行した後のＰＣ１００の値は不当であると判定すると、すなわち、上記の比較でＰＣ１００の値が異なる場合、分岐命令１０２０を再実行する。そこで、本実施形態では、バイトコード処理部１０１は、分岐命令１０２０を実行する処理を再実行した第２再実行回数をカウントし、第２再実行回数が閾値を超えると、分岐命令１０２０を実行する処理を中断して、上述のエラー処理を実行する。
【0029】
【0030】
まず、図３で示した手順について説明する。バイトコードを実行する際、仮想マシン１０のバイトコード処理部１０１は、この時点のＰＣ１００が指し示すメモリアドレスに格納されているバイトコードをフェッチする（図３のステップＳ１）。なお、図３および図４の説明では、ステップＳ１でメモリからフェッチしたバイトコードをＢＣ１と記載する。
【0031】
次に、仮想マシン１０のバイトコード処理部１０１は、メモリからフェッチしたＢＣ１をデコードして、ＢＣ１に対応する命令１０２を特定する（図３のステップＳ２）。仮想マシン１０は、ＢＣ１に応じた命令１０２を特定すると、この命令１０２をディスパッチする（図３のステップＳ３）。
【0032】
ＢＣ１に応じた命令１０２をディスパッチすると、ＢＣ１に応じた命令１０２を実行する前に、仮想マシン１０のバイトコード処理部１０１は、ＰＣ１００の正当性を判定する処理として、この時点のＰＣ１００が指し示すメモリアドレスからフェッチしたバイトコードと命令１０２のディスパッチに用いたＢＣ１を比較する（図３のステップＳ４）。
【0033】
図３のステップＳ４において、ＢＣ１が不当であるときの処理について説明する。ステップＳ４においてＢＣ１が不当である場合、すなわち、この時点のＰＣ１００が指し示すメモリアドレスからフェッチしたバイトコードとＢＣ１が異なる場合、バイトコード処理部１０１は、バイトコードの再実行回数を示す第１再実行回数を一つ増やす（図３のステップＳ５）。次に、仮想マシン１０は、第１再実行回数が事前に定めた閾値を超えているか判定する（図３のステップＳ６）。事前に定めた閾値の値は任意でよい。例えば、閾値は「１００」でもよい。第１再実行回数が事前に定めた閾値を超えていない場合、仮想マシン１０のバイトコード処理部１０１は、処理を図４のステップＳ１に戻し、最初からバイトコードを再実行する。第１再実行回数が事前に定めた閾値を超えている場合、仮想マシン１０は、事前に定められたエラー処理を実行して（図３のステップＳ７）、図３および図４で示す手順は終了する。
【0034】
図３のステップＳ４において、ＢＣ１が正当であるときの処理について説明する。ステップＳ４においてＢＣ１が正当である場合、すなわち、この時点のＰＣ１００が指し示すメモリアドレスからフェッチしたバイトコードとＢＣ１が同じ場合、第１再実行回数を初期化する（図３のステップＳ８）。例えば、仮想マシン１０は、第１再実行回数を「０」にする。
【0035】
次に、仮想マシン１０は、ＢＣ１に対応する命令１０２が分岐命令１０２０であるか判定する（図３のステップＳ９）。ＢＣ１に対応する命令１０２が分岐命令１０２０でなければ、仮想マシン１０は、ディスパッチした命令１０２にＰＣ１００やＳＰを引き渡してこの命令１０２を実行する（図３のステップＳ１３）。ＢＣ１に応じた命令１０２は、オペランドが命令１０２に必要な場合、メモリからオペランドを読み出して命令１０２に係る処理を実行する。
【0036】
ステップＳ９において、ＢＣ１に対応する命令１０２が分岐命令１０２０であれば、この時点のＰＣ１００の値を保存ＰＣ値として保存し（図３のステップＳ１０）、更に、この時点のＳＰの値を保存ＳＰ値として保存する（図３のステップＳ１１）。次に、仮想マシン１０は、分岐命令１０２０を実行することを示す分岐命令フラグを立て（図３のステップＳ１２）、ＢＣ１に応じた命令（ここでは、分岐命令１０２０）を実行する（図３のステップＳ１３）。
【0037】
ここから、図４で示した手順について説明する。仮想マシン１０のバイトコード処理部１０１は、図３のステップＳ１３において実行させた命令１０２の処理が終了すると、分岐命令フラグが立っているか否かを判定する（図４のステップＳ１４）。分岐命令フラグが立っていない場合、すなわち、図３のステップＳ１でフェッチしたＢＣ１が分岐命令１０２０でない場合、仮想マシン１０のバイトコード処理部１０１は、図３および図４で示した手順を終了する。
【0038】
図４のステップＳ１４において、分岐命令フラグが立っている場合、すなわち、図３のステップＳ１でフェッチしたＢＣ１が分岐命令１０２０の場合、仮想マシン１０のバイトコード処理部１０１は、図３のステップＳ１０で保存した保存ＰＣ値と、図３のステップＳ１１で保存した保存ＳＰ値をそれぞれ読み出す処理を実行する（図４のステップＳ１５）。次に、仮想マシン１０のバイトコード処理部１０１は、図４のステップＳ１５で読み出した保存ＰＣ１００値が指し示すメモリアドレスに格納されているバイトコードをフェッチする（図４のステップＳ１６）。ここでは、このバイトコードをＢＣ２と記載する。次に、仮想マシン１０は、図４のステップＳ１６でフェッチしたＢＣ２をデコードし、保存ＰＣ値および保存ＳＰ値を引き渡してＢＣ２に応じた命令１０２（ここでは、分岐命令１０２０）を実行する（図４のステップＳ１７）。分岐命令１０２０の場合、図３のステップＳ１３が、１回目の分岐命令１０２０を実行する処理になり、図４のステップＳ１７が、２回目の分岐命令１０２０を実行する処理になる。次に、仮想マシン１０のバイトコード処理部１０１は分岐命令１０２０を実行した後のＰＣ１００の値の正当性を判定するために、この時点のＰＣ１００の値と保存ＰＣ値を比較する（図４のステップＳ１８）。
【0039】
図４のステップＳ１８において、ＰＣ１００の値が不当である場合の処理について説明する。ステップＳ１８において、この時点のＰＣ１００の値と保存ＰＣ値が同じでないとき、仮想マシン１０のバイトコード処理部１０１は、分岐命令１０２０の再実行回数を示す第２再実行回数を一つ増やす（図４のステップＳ１９）。次に、仮想マシン１０のバイトコード処理部１０１は、第２再実行回数が事前に定めた閾値を超えているか判定する（図４のステップＳ２０）。第２再実行回数が事前に定めた閾値を超えていない場合、仮想マシン１０のバイトコード処理部１０１は、処理を図４のステップＳ１５に戻し、分岐命令１０２０を再実行する。なお、処理を図４のステップＳ１６に戻してもよい。第２再実行回数が事前に定めた閾値を超えている場合、仮想マシン１０のバイトコード処理部１０１は、事前に定められたエラー処理を実行して（図４のステップＳ２１）、図３および図４で示す手順は終了する。
【0040】
図４のステップＳ１８において、ＰＣ１００の値が正当であるときの処理について説明する。図４のステップＳ１８において、この時点のＰＣ１００の値と保存ＰＣ値が同じであるとき、仮想マシン１０のバイトコード処理部１０１は、第２再実行回数を初期化する（図４のステップＳ２２）。次に、仮想マシン１０のバイトコード処理部１０１は、立っている分岐命令１０２０フラグを降ろして（図４のステップＳ２３）、図３および図４で示した手順は終了する。
【0041】
これまで説明した仮想マシン１０を備えたセキュアエレメント１は、スマートフォンに代表される携帯情報端末に実装できるばかりか、カード媒体にも実装できる。図５では、セキュアエレメント１を実装したＩＣカード２を示している。図５（ａ）では、セキュアエレメント１を実装した接触型ＩＣカード２０を示している。図５（ｂ）では、セキュアエレメント１を実装した非接触型ＩＣカード２１を示している。
【0042】
図５（ａ）で示した通り、セキュアエレメント１を実装した接触型ＩＣカード２０は、セキュアエレメント１を実装したコンタクトパッド２００を表面に備える。セキュアエレメント１は、コンタクトパット２００の裏面に設けられた端子２００aの幾つか（ここでは、５個）と電気的に接続している。接触型ＩＣカード２０の場合、セキュアエレメント１が備えるＩ／Ｆ１ｆは、Ｉ／Ｏの端子２００ａを制御するシリアルＩ／Ｏ回路になる（I/O: Input/Output）。図５（ｂ）で示した通り、セキュアエレメント１を実装した非接触型ＩＣカード２１は、アンテナ２１０の両端と接続したセキュアエレメント１を内蔵する。非接触型ＩＣカード２１の場合、セキュアエレメント１が備えるＩ／Ｆ１ｆは、アンテナ２１０の端子間電圧を制御するアナログ通信回路になる。
【符号の説明】
【0043】
１ セキュアエレメント
１０ 仮想マシン
１００ プログラムカウンタ（ＰＣ）
１０１ バイトコード処理部
１０２ 命令
１０２０ 分岐命令
２ ＩＣカード
２０ 接触型ＩＣカード
２１ 非接触型ＩＣカード
１０ 仮想マシン
１００ プログラムカウンタ（ＰＣ）
１０１ バイトコード処理部
１０２ 命令
１０２０ 分岐命令
２ ＩＣカード
２０ 接触型ＩＣカード
２１ 非接触型ＩＣカード
【図1】
【図2】
【図3】
【図4】
【図5】