特許 7404205 半導体装置及びそれを含むシステム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-12-15

(45)【発行日】2023-12-25

(54)【発明の名称】半導体装置及びそれを含むシステム

(51)【国際特許分類】

   G06F 11/36 20060101AFI20231218BHJP

   G06F 21/31 20130101ALI20231218BHJP

【ＦＩ】

G06F11/36 164

G06F21/31

【請求項の数】 8

(21)【出願番号】P 2020157148

(22)【出願日】2020-09-18

(65)【公開番号】P2022050944

(43)【公開日】2022-03-31

【審査請求日】2022-06-22

(73)【特許権者】

【識別番号】000003078

【氏名又は名称】株式会社東芝

(73)【特許権者】

【識別番号】317011920

【氏名又は名称】東芝デバイス＆ストレージ株式会社

(74)【代理人】

【識別番号】110003708

【氏名又は名称】弁理士法人鈴榮特許綜合事務所

(72)【発明者】

【氏名】石川 悠司

【審査官】青木 重徳

(56)【参考文献】

【文献】国際公開第２０１２／１７２９７６（ＷＯ，Ａ１）

【文献】中国特許出願公開第１０５０２５２９２（ＣＮ，Ａ）

【文献】特開２０１１－０２２８８０（ＪＰ，Ａ）

【文献】特開２０１５－１３０００１（ＪＰ，Ａ）

【文献】特開２０１８－１２８８７４（ＪＰ，Ａ）

【文献】特開２０１７－１４６８０４（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ １１／３６

Ｇ０６Ｆ ２１／３１

(57)【特許請求の範囲】

【請求項1】

第１演算回路を含む第１システムと、
前記第１システムにおけるデバッグ動作を制御する第２システムと
を備える、半導体装置であって、
前記半導体装置は、通常モードとデバッグモードとを含み、
前記半導体装置が前記デバッグモードであり、外部から受信した第１キーと、前記第２システムが保持する第２キーとが対応し、且つデバッグコマンドで指定されるデバッグ対象が、アクセス権限が要求されるアドレス範囲ではない場合に、前記第２システムは、前記第１演算回路に前記デバッグコマンドを送信し、
前記半導体装置が前記デバッグモードであり、前記第１キーと、前記第２キーとが対応し、且つ前記デバッグコマンドで指定される前記デバッグ対象が、アクセス権限が要求されるアドレス範囲である場合に、前記第２システムは、外部から受信した第３キーに基づいて、前記第１演算回路に前記デバッグコマンドを送信する、半導体装置。

【請求項2】

前記第２システムは、第２演算回路を含み、
前記半導体装置が前記デバッグモードであり、且つ前記第１キーと、前記第２キーとが対応する場合に、前記第２演算回路は、前記第２システムを、外部から前記デバッグコマンドを受信可能な状態とする、請求項１記載の半導体装置。

【請求項3】

前記第２システムは、外部とネットワークを介した通信を行う通信ポートを更に含み、
前記第２システムは、前記通信ポートを介して外部から前記デバッグコマンドを受信する、請求項２記載の半導体装置。

【請求項4】

前記第２システムは、テーブルを更に含み、
前記半導体装置が前記デバッグモードであり、前記第１キーと、前記第２キーとが対応し、前記デバッグコマンドで指定される前記デバッグ対象が、アクセス権限が要求されるアドレス範囲であり、且つ前記第３キーと、前記テーブル内の、前記デバッグコマンドで指定されるアドレス範囲に対応する第４キーとが対応する場合に、前記第２システムは、前記第１演算回路に前記デバッグコマンドを送信する、請求項１記載の半導体装置。

【請求項5】

電源投入時、前記第１キーを受信しない場合、前記第２システムは前記通常モードを選択し、前記第１キーを受信した場合、前記第２システムは前記デバッグモードを選択する、請求項１記載の半導体装置。

【請求項6】

前記第２システムは、スイッチを更に含み、
電源投入時、前記スイッチがオフ状態の場合、前記第２システムは前記通常モードを選択し、前記スイッチがオン状態の場合、前記第２システムは前記デバッグモードを選択する、請求項１記載の半導体装置。

【請求項7】

前記スイッチがオフ状態からオン状態に切り替えられた場合、前記第２システムは前記デバッグモードを選択し、前記スイッチがオン状態からオフ状態に切り替えられた場合、前記第２システムは前記通常モードを選択する、請求項６記載の半導体装置。

【請求項8】

第１演算回路を含む第１システムと、
前記第１システムにおけるデバッグ動作を制御する第２システムと
を備える、半導体装置と、
前記第２システムとの間でネットワークを介して通信可能なコンピュータと
を備える、システムであって、
前記半導体装置は、通常モードとデバッグモードとを含み、
前記半導体装置が前記デバッグモードであり、外部から受信した第１キーと、前記第２システムが保持する第２キーとが対応し、且つデバッグコマンドで指定されるデバッグ対象が、アクセス権限が要求されるアドレス範囲ではない場合に、前記第２システムは、前記第１演算回路に前記デバッグコマンドを送信し、
前記半導体装置が前記デバッグモードであり、前記第１キーと、前記第２キーとが対応し、且つ前記デバッグコマンドで指定される前記デバッグ対象が、アクセス権限が要求されるアドレス範囲である場合に、前記第２システムは、外部から受信した第３キーに基づいて、前記第１演算回路に前記デバッグコマンドを送信する、システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明の実施形態は、半導体装置及びそれを含むシステムに関する。

【背景技術】

【0002】

半導体装置において、プログラムのデバッグを行う技術が知られている。現在、半導体装置は、様々なシステムに組み込まれており、その例としては、車載システムや民生のシステム等が挙げられる。車載システムでは、高い信頼性及び安全性が求められるため、プログラムのデバッグを行う需要がある。また、民生のシステムにおいてもプログラムのデバッグを行う需要がある。

【先行技術文献】

【特許文献】

【0003】

【文献】特許第４８１４３１９号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

セキュアなリモートデバッグを実現できる半導体装置、及びそれを含むシステムを提供する。

【課題を解決するための手段】

【0005】

本実施形態の半導体装置は、第１演算回路を含む第１システムと、第１システムにおけるデバッグ動作を制御する第２システムとを備える。半導体装置は、通常モードとデバッグモードとを含む。半導体装置がデバッグモードであり、外部から受信した第１キーと、第２システムが保持する第２キーとが対応し、且つデバッグコマンドで指定されるデバッグ対象が、アクセス権限が要求されるアドレス範囲ではない場合に、第２システムは、第１演算回路にデバッグコマンドを送信する。半導体装置がデバッグモードであり、第１キーと、第２キーとが対応し、且つデバッグコマンドで指定されるデバッグ対象が、アクセス権限が要求されるアドレス範囲である場合に、第２システムは、外部から受信した第３キーに基づいて、第１演算回路にデバッグコマンドを送信する。

【図面の簡単な説明】

【0006】

【図1】図１は、第１実施形態に係る半導体装置を含む車載システムのブロック図。

【図2】図２は、第１実施形態に係る半導体装置に含まれるセキュアストレージに記憶されているプログラム等を示す図。

【図3】図３は、第１実施形態に係る半導体装置の動作を示すフローチャート。

【図4】図４は、第１実施形態に係る半導体装置の動作を説明する図。

【図5】図５は、第１実施形態に係る半導体装置のデバッグ動作を示すフローチャート。

【図6】図６は、第１実施形態に係る半導体装置のデバッグ動作を説明する図。

【図7】図７は、第２実施形態に係る半導体装置に含まれるセキュアストレージに記憶されているプログラム等を示す図。

【図8】図８は、第２実施形態に係る半導体装置に含まれるセキュアストレージに記憶されているデバッグ情報テーブルの概念図。

【図9】図９は、第２実施形態に係る半導体装置のデバッグ動作を示すフローチャート。

【図10】図１０は、第２実施形態に係る半導体装置のデバッグ動作を示すフローチャート。

【図11】図１１は、第２実施形態に係る半導体装置のデバッグ動作を説明する図。

【図12】図１２は、第３実施形態に係る半導体装置を含む車載システムのブロック図。

【発明を実施するための形態】

【0007】

以下、図面を参照して実施形態について説明する。なお、以下の説明において、同一の機能及び構成を有する構成要素については、共通する参照符号を付す。

【0008】

１．第１実施形態
第１実施形態に係る半導体装置について説明する。以下では、半導体装置として、画像認識等を行う車載システムに含まれるシステムＬＳＩ（以下、「Large Scale Integrated circuit：ＬＳＩ」と表記する）を例に挙げて説明する。

【0009】

１．１ 構成
１．１．１ 車載システムの全体構成
まず、本実施形態に係るＬＳＩを含む車載システム（以下、単に「システム」と表記する）の全体構成について、図１を用いて説明する。図１は、本実施形態に係るＬＳＩを含むシステムの全体構成を示すブロック図である。

【0010】

図１に示すように、システム１は、ＬＳＩ１００及びホストＰＣ（Personal Computer）２００を含む。なお、図１に示すシステム１では、ＬＳＩ１００に入力画像を送信するカメラ、カメラからの入力画像を受信するＬＳＩ１００内の画像入力インターフェース（Ｉ／Ｆ）、出力画像を送信するＬＳＩ１００内の画像出力Ｉ／Ｆ、及びＬＳＩ１００からの出力画像を表示するパネル等の構成要素は省略されている。ＬＳＩ１００は、特定のデータ処理（例えば画像認識等）、秘匿性が必要な処理（例えば暗号化等）、及びＬＳＩ１００内のプログラムのデバッグ等を行う。ホストＰＣ２００は、図示せぬネットワークを介した通信によってＬＳＩ１００に接続され、ＬＳＩ１００内のプログラムのデバッグを命令するコマンド（以下、「デバッグコマンド」と表記する）等をＬＳＩ１００に送信する。

【0011】

ＬＳＩ１００は、セキュアサブシステム１１０、ノンセキュアサブシステム１２０、ブリッジ１３０、及びデバッグバスブリッジ１４０を含む。なお、本実施形態に係るＬＳＩ１００は、通常モードとデバッグモードとを含む。本明細書において、通常モードとは、アプリケーションプログラムの実行等の通常動作を行う動作モードであり、デバッグモードとは、ホストＰＣ２００等の外部デバイスからＬＳＩ１００内のプログラムのデバッグを実行する動作モードである。

【0012】

セキュアサブシステム１１０は、セキュアＣＰＵ１１１、セキュアストレージ１１５、セキュアＲＡＭ１１６、及びセキュアポート１１７を含む。セキュアＣＰＵ１１１、セキュアストレージ１１５、セキュアＲＡＭ１１６、及びセキュアポート１１７は、セキュアバスにそれぞれ接続されている。図１において、セキュアバスは実線で表されている。

【0013】

セキュアサブシステム１１０は、例えばＬＳＩ１００全体を管理するための処理、並びに暗号化処理、及び署名処理等を行う。また、セキュアサブシステム１１０は、例えばセキュアポート１１７を介してホストＰＣ２００と通信し、ＬＳＩ１００内のプログラムのデバッグの制御等を行う。セキュアサブシステム１１０は、電源投入時、ノンセキュアサブシステム１２０よりも先に起動する。

【0014】

セキュアＣＰＵ１１１は、ＬＳＩ１００全体の動作を制御する。セキュアＣＰＵ１１１は、３つの機能（回路）ブロック（セキュアブートローダ１１２、セキュアサービス１１３、及びセキュアデバッガ１１４）を含む。なお、セキュアブートローダ１１２、セキュアサービス１１３、及びセキュアデバッガ１１４は、プログラム（ファームウェア）により実現される場合に限定されない。セキュアブートローダ１１２、セキュアサービス１１３、及びセキュアデバッガ１１４は、セキュアサブシステム１１０内に設けられた、セキュアＣＰＵ１１１とは別の専用回路で実現されてもよい。

【0015】

電源投入時、セキュアＣＰＵ１１１は、セキュアブートローダ１１２の実行プログラムprog_loaderをセキュアストレージ１１５からセキュアＲＡＭ１１６にロードし、起動する。これにより、セキュアブートローダ１１２は動作を開始する。また、セキュアＣＰＵ１１１は、ノンセキュアサブシステム１２０内のアプリケーションＣＰＵ１２１を起動させる。アプリケーションＣＰＵ１２１の詳細は後述する。

【0016】

セキュアブートローダ１１２は、セキュアストレージ１１５に記憶されたセキュアブートローダ１１２の実行プログラムprog_loaderに基づく演算処理を行う。

【0017】

より具体的には、セキュアブートローダ１１２は、セキュアＣＰＵ１１１に、セキュアサービス１１３の実行プログラムprog_serviceをセキュアストレージ１１５からセキュアＲＡＭ１１６にロードさせ、アプリケーションプログラム及びライブラリをセキュアストレージ１１５からＤＲＡＭ１２３にロードさせる。そして、セキュアブートローダ１１２は、ロードしたセキュアサービス１１３の実行プログラムprog_serviceをセキュアＣＰＵ１１１に起動させる。これにより、セキュアサービス１１３は動作を開始する。セキュアブートローダ１１２は、アプリケーションプログラム及びライブラリをアプリケーションＣＰＵ１２１に起動させる。また、セキュアブートローダ１１２は、デバッグモード時に、セキュアＣＰＵ１１１に、セキュアデバッガ１１４の実行プログラムprog_debugger及びデバッガキーをセキュアストレージ１１５からセキュアＲＡＭ１１６にロードさせる。デバッガキーの詳細は後述する。

【0018】

セキュアサービス１１３は、セキュアストレージ１１５に記憶されたセキュアサービス１１３の実行プログラムprog_serviceに基づく演算処理を行う。

【0019】

例えば、セキュアサービス１１３は、アプリケーションプログラムを実行しているアプリケーションＣＰＵ１２１からの要求に基づいて、暗号化処理、及び署名処理等を行う。

【0020】

また、セキュアサービス１１３は、デバッグモード時に、セキュアデバッガ１１４の実行プログラムprog_debuggerをセキュアＣＰＵ１１１に起動させる。これにより、セキュアデバッガ１１４は動作を開始する。より具体的には、セキュアサービス１１３は、セキュアブートローダ１１２がホストＰＣ２００内の図示せぬデバッガユーザインターフェース（ＵＩ）からユーザキーを受信すると、セキュアＲＡＭ１１６にロードされているデバッガキーとを比較する。そして、セキュアサービス１１３は、ユーザキーとデバッガキーとが対応する場合、実行プログラムprog_debuggerをセキュアＣＰＵ１１１に起動させ、ユーザキーとデバッガキーとが対応しない場合、実行プログラムprog_debuggerをセキュアＣＰＵ１１１に起動させない。デバッガＵＩは、デバッグを行う際に、ユーザが情報の入力や受け取りを行うためのインターフェースである。ユーザキーは、セキュアポート１１７を介してホストＰＣ２００からアプリケーションプログラムのデバッグを実行しようとしているユーザが、実行プログラムprog_debuggerを起動するために入力するキーである。なお、本明細書において、「あるキーと別のキーとが対応する」とは、あるキーと別のキーとが一致する（完全一致）、あるキーの一部と別のキーとが一致する、またはあるキーの一部と別のキーの一部とが一致する等、あるキーと別のキーとが何らかの対応関係を有することを意味する。

【0021】

セキュアデバッガ１１４は、セキュアストレージ１１５に記憶されたセキュアデバッガ１１４の実行プログラムprog_debuggerに基づく演算処理を行う。

【0022】

例えば、セキュアデバッガ１１４は、デバッグモード時に、セキュアポート１１７を介してホストＰＣ２００からデバッグコマンドを受信すると、受信したデバッグコマンドをアプリケーションＣＰＵに送信し、アプリケーションＣＰＵ１２１の動作を制御する。デバッグコマンドは、デバッグ対象のアドレス範囲等を指定する。

【0023】

セキュアストレージ１１５は、不揮発性メモリであり、セキュアプログラム、及びアプリケーションプログラム等を記憶する。

【0024】

セキュアＲＡＭ１１６は、揮発性メモリであり、セキュアストレージ１１５からロードされたセキュアプログラム、及びセキュアプログラム実行時の一時データ等を記憶する。

【0025】

セキュアポート１１７は、ホストＰＣ２００等の外部デバイスとネットワークを介して通信する。通信に使用されるプロトコルの例としては、例えばＣＡＮ（Controller Area Network）等が挙げられる。

【0026】

ノンセキュアサブシステム１２０は、アプリケーションＣＰＵ（以下、「Ａｐｐ ＣＰＵ」と表記する）１２１、ハードウェアアクセラレータ１２２、及びＤＲＡＭ１２３を含む。Ａｐｐ ＣＰＵ１２１、ハードウェアアクセラレータ１２２、及びＤＲＡＭ１２３は、メインバスにそれぞれ接続されている。図１において、メインバスは実線で表されている。ノンセキュアサブシステム１２０は、例えば図示せぬ画像入力Ｉ／Ｆを介して図示せぬカメラから入力画像を受信し、画像認識処理、及び人物検出処理等を行う。

【0027】

Ａｐｐ ＣＰＵ１２１は、ノンセキュアサブシステム１２０の動作を制御する。Ａｐｐ ＣＰＵ１２１は、例えばセキュアストレージ１１５からＤＲＡＭ１２３にロードされたアプリケーションプログラムを実行する。Ａｐｐ ＣＰＵ１２１は、例えばハードウェアアクセラレータ１２２の動作を制御する。また、Ａｐｐ ＣＰＵ１２１は、アプリケーションプログラムのデバッグを止めたり、デバッグ中の内部データを見るための機能ブロックとして、図示せぬデバッグユニットを含む。

【0028】

ハードウェアアクセラレータ１２２は、例えば画像処理（特定の画像の変形、特定の画像の特徴点の抽出、及び画像認識等）を行う。ハードウェアアクセラレータ１２２の例としては、例えばＤＳＰ（Digital Signal Processor）等が挙げられる。

【0029】

ＤＲＡＭ１２３は、揮発性メモリであり、セキュアストレージ１１５からロードされたアプリケーションプログラム、及びアプリケーションプログラム実行時の一時データ等を記憶する。

【0030】

ブリッジ１３０は、セキュアバスとメインバスを接続する。ブリッジ１３０は、セキュアサブシステム１１０からノンセキュアサブシステム１２０へのアクセスを許可する。このため、セキュアサブシステム１１０は、ブリッジ１３０を介して、ノンセキュアサブシステム１２０内のプログラムの実行、ノンセキュアサブシステム１２０へのデータのロード、ノンセキュアサブシステム１２０からのデータの読み取り、及びノンセキュアサブシステム１２０へのデータの書き込み等を行うことができる。また、ブリッジ１３０は、ノンセキュアサブシステム１２０からセキュアサブシステム１１０へのアクセスを許可しない。このため、ノンセキュアサブシステム１２０は、セキュアサブシステム１１０内のプログラムの実行、セキュアサブシステム１１０へのデータのロード、セキュアサブシステム１１０からのデータの読み取り、及びセキュアサブシステム１１０へのデータの書き込み等を行うことができない。

【0031】

デバッグバスブリッジ１４０は、セキュアバスとデバッグバスとを接続する。デバッグバスは、Ａｐｐ ＣＰＵ１２１及びメインバスに接続されている。図１において、デバッグバスは破線で表されている。デバッグバスブリッジ１４０は、セキュアサブシステム１１０からノンセキュアサブシステム１２０のデバッグバスへのアクセスを許可するが、ノンセキュアサブシステム１２０からセキュアサブシステム１１０へのアクセスを許可しない。デバッグモードのときに、セキュアバス、デバッグバスブリッジ１４０、及びデバッグバスを介して、セキュアサブシステム１１０からＡｐｐ ＣＰＵ１２１の動作の制御が可能となる。

【0032】

ブリッジ１３０とデバッグバスブリッジ１４０には、それぞれ異なるアドレス範囲がマッピングされている。例えば、あるアドレス範囲は、ブリッジ１３０にマッピングされ、ブリッジ１３０を介したアクセスが可能であり、他のアドレス範囲は、デバッグバスブリッジ１４０にマッピングされ、デバッグバスブリッジ１４０を介したアクセスが可能である。

【0033】

ホストＰＣ２００は、セキュアポート１１７との間でネットワークを介した通信を行う。ホストＰＣ２００は、例えばセキュアポート１１７にデバッグコマンド等を送信する。

【0034】

１．１．２ セキュアストレージ１１５内のプログラム等
次に、本実施形態に係るＬＳＩ１００に含まれるセキュアストレージ１１５に記憶されているプログラム等の詳細について、図２を用いて説明する。図２は、本実施形態に係るＬＳＩ１００に含まれるセキュアストレージ１１５に記憶されているプログラム等の一例を示す図である。

【0035】

セキュアストレージ１１５は、セキュアプログラム、デバッガキー、アプリケーションプログラム、及びライブラリを記憶する。

【0036】

セキュアプログラムは、セキュアブートローダ１１２の実行プログラムprog_loader、セキュアサービス１１３の実行プログラムprog_service、及びセキュアデバッガ１１４の実行プログラムprog_debuggerを含む。セキュアＣＰＵ１１１は、セキュアストレージ１１５に記憶されたセキュアプログラムをセキュアＲＡＭ１１６に展開する。セキュアサブシステム１１０は、セキュアＣＰＵ１１１が、セキュアＲＡＭ１１６に展開されたセキュアプログラムを実行することにより、セキュアブートローダ１１２、セキュアサービス１１３、及びセキュアデバッガ１１４を備えるシステムとして機能する。

【0037】

デバッガキーは、セキュアデバッガ１１４の実行プログラムprog_debuggerを起動するためのキーである。デバッガキーの例としては、例えば特定のユーザＩＤ、及びパスワード等が挙げられる。

【0038】

アプリケーションプログラムは、アプリケーションタスク、スケジューラの実行プログラム、及びソフトウェアＩＰ（Intellectual Property）を含む。スケジューラは、Ａｐｐ ＣＰＵ１２１内に含まれる機能ブロックであるが、図１では省略されている。なお、スケジューラは、ノンセキュアサブシステム１２０内に設けられた、Ａｐｐ ＣＰＵ１２１とは別の専用回路で実現されてもよい。スケジューラは、スケジューラの実行プログラムに基づく演算処理を行う。

【0039】

アプリケーションタスクは、各種データ処理が実装されたものである。スケジューラの実行プログラムは、アプリケーションタスクの実行順序を管理するプログラムである。ソフトウェアＩＰは、特定のデータ処理が実装されたものである。

【0040】

ライブラリは、アプリケーションプログラムに用いられる関数、及びサブルーチン等を集めたものである。

【0041】

１．２ 動作
次に、本実施形態に係るＬＳＩ１００の動作について、図３及び図４を用いて説明する。図３は、ＬＳＩ１００の動作を示すフローチャートである。図４は、図３のステップＳ１０～Ｓ１５におけるＬＳＩ１００の動作を説明する図である。

【0042】

ＬＳＩ１００は、まず、電源投入時の動作（後述する図３のステップＳ１０～Ｓ１６）を行った後、通常動作（後述する図３のステップＳ１７）、またはデバッグ動作（後述する図３のステップＳ１８）を行う。

【0043】

図３に示すように、電源投入時、セキュアＣＰＵ１１１は、セキュアブートローダ１１２の実行プログラムprog_loaderをロードする（ステップＳ１０）。より具体的には、図４に示すように、セキュアＣＰＵ１１１は、セキュアストレージ１１５からセキュアＲＡＭ１１６に、セキュアブートローダ１１２の実行プログラムprog_loaderをロードする。そして、セキュアＣＰＵ１１１は、ロードしたセキュアブートローダ１１２の実行プログラムprog_loaderを起動する（ステップＳ１１）。

【0044】

次に、セキュアＣＰＵ１１１は、Ａｐｐ ＣＰＵ１２１を起動する（ステップＳ１２）。

【0045】

次に、セキュアブートローダ１１２は、セキュアＣＰＵ１１１に、セキュアサービス１１３の実行プログラムprog_service、アプリケーションプログラム、及びライブラリをロードさせる（ステップＳ１３）。より具体的には、図４に示すように、セキュアブートローダ１１２は、セキュアＣＰＵ１１１に、セキュアサービス１１３の実行プログラムprog_serviceをセキュアストレージ１１５からセキュアＲＡＭ１１６にロードさせ、アプリケーションプログラム及びライブラリをセキュアストレージ１１５からＤＲＡＭ１２３にロードさせる。そして、セキュアブートローダ１１２は、ロードしたセキュアサービス１１３の実行プログラムprog_serviceをセキュアＣＰＵ１１１に起動させ、ロードしたアプリケーションプログラム及びライブラリをＡｐｐ ＣＰＵ１２１に起動させる（ステップＳ１４）。

【0046】

次に、セキュアＣＰＵ１１１は、動作モードを選択する（ステップＳ１５）。より具体的には、図４に示すように、一定期間（例えば数秒）の間に、セキュアブートローダ１１２が、ホストＰＣ２００からセキュアポート１１７を介してユーザキーを受信しなかった場合、セキュアＣＰＵ１１１は、通常モードを選択する。他方で、一定期間の間に、セキュアブートローダ１１２が、ホストＰＣ２００からセキュアポート１１７を介してユーザキーを受信した場合、セキュアＣＰＵ１１１は、デバッグモードを選択する。

【0047】

通常モードが選択された場合（ステップＳ１６、Ｎｏ）、ＬＳＩ１００は、通常動作を行う（ステップＳ１７）。通常モード時、ＬＳＩ１００は、例えば図示せぬカメラからの入力画像の画像認識処理を行い、画像認識結果を暗号化して図示せぬ外部デバイスに送信する。より具体的には、まず、Ａｐｐ ＣＰＵ１２１は、ハードウェアアクセラレータ１２２を制御して、ハードウェアアクセラレータ１２２に、入力画像の画像認識処理を実行させる。Ａｐｐ ＣＰＵ１２１は、ハードウェアアクセラレータ１２２から画像認識結果を得る。次に、Ａｐｐ ＣＰＵ１２１は、ＤＲＡＭ１２３に、暗号化の要求を記述する。セキュアサービス１１３は、例えばポーリングを行うことによって、定期的にＤＲＡＭ１２３に暗号化の要求が記述されているかどうかを確認する。なお、セキュアサービス１１３に、ＤＲＡＭ１２３に暗号化の要求が記述されているかどうかを確認させる方法は、ポーリングでなくてもよい。例えば、Ａｐｐ ＣＰＵ１２１が、ＤＲＡＭ１２３に暗号化の要求を記述した後、セキュアＣＰＵ１１１に割り込みを発行し、セキュアサービス１１３が、ＤＲＡＭ１２３に暗号化の要求が記述されているかどうかを確認する、という方法でもよい。Ａｐｐ ＣＰＵ１２１によって暗号化が要求されたことを知ると、セキュアサービス１１３は、画像認識結果を暗号化する。次に、セキュアサービス１１３は、暗号化した画像認識結果を、セキュアポート１１７を介して外部デバイスに送信する。

【0048】

他方で、デバッグモードが選択された場合（ステップＳ１６、Ｙｅｓ）、ＬＳＩ１００は、デバッグ動作を行う（ステップＳ１８）。

【0049】

以下、本実施形態に係るＬＳＩ１００のデバッグ動作について、図５及び図６を用いて説明する。図５は、ＬＳＩ１００のデバッグ動作を示すフローチャートである。図６は、ＬＳＩ１００のデバッグ動作を説明する図である。

【0050】

図５に示すように、セキュアブートローダ１１２は、セキュアＣＰＵ１１１に、セキュアデバッガ１１４の実行プログラムprog_debugger及びデバッガキーをロードさせる（ステップＳ２０）。より具体的には、図６に示すように、セキュアブートローダ１１２は、セキュアＣＰＵ１１１に、セキュアデバッガ１１４の実行プログラムprog_debugger及びデバッガキーをセキュアストレージ１１５からセキュアＲＡＭ１１６にロードさせる。

【0051】

次に、セキュアサービス１１３は、ユーザキーとデバッガキーとを比較（照合）する（ステップＳ２１）。比較の結果、ユーザキーとデバッガキーとが対応する場合（ステップＳ２１、Ｙｅｓ）、セキュアサービス１１３は、セキュアデバッガ１１４の実行プログラムprog_debuggerをセキュアＣＰＵ１１１に起動させる（ステップＳ２２）。他方で、ユーザキーとデバッガキーとが対応しない場合（ステップＳ２１、Ｎｏ）、セキュアサービス１１３は、セキュアデバッガ１１４の実行プログラムprog_debuggerをセキュアＣＰＵ１１１に起動させず（デバッグの実行を拒否し）、ＬＳＩ１００は、デバッグ動作を終了する。

【0052】

次に、セキュアデバッガ１１４は、デバッグコマンドを受信する（ステップＳ２３）。より具体的には、図６に示すように、セキュアデバッガ１１４は、ホストＰＣ２００からセキュアポート１１７を介してデバッグコマンドを受信する。ホストＰＣ２００からデバッグコマンドを受信すると、セキュアデバッガ１１４は、デバッグコマンドをＡｐｐ ＣＰＵ１２１に送信する（ステップＳ２４）。セキュアデバッガ１１４からデバッグコマンドを受信すると、Ａｐｐ ＣＰＵ１２１は、アプリケーションプログラムのデバッグを実行する（ステップＳ２５）。

【0053】

１．３ 効果
本実施形態に係るＬＳＩ１００では、セキュアブートローダ１１２がホストＰＣ２００からデバッガキーと対応するユーザキーを受信した場合に、セキュアＣＰＵ１１１によってセキュアデバッガ１１４の実行プログラムprog_debuggerが起動され、セキュアデバッガ１１４がデバッグコマンドを受信可能となる。そして、セキュアデバッガ１１４は、受信したデバッグコマンドをＡｐｐ ＣＰＵ１２１に送信する。

【0054】

この構成によれば、セキュアブートローダ１１２がデバッガキーと対応するユーザキーを受信しなければホストＰＣ２００からセキュアデバッガ１１４によるアプリケーションプログラムのデバッグを実行できない。よって、悪意のあるユーザによる、アプリケーションプログラムへのアクセス、及びアプリケーションプログラムの改変を防ぐことができるため、セキュアなリモートデバッグを実現できる。

【0055】

２．第２実施形態
第２実施形態に係るＬＳＩ１００について説明する。本実施形態に係るＬＳＩ１００は、第１実施形態と異なり、セキュアストレージ１１５内に更にデバッグ情報テーブルが記憶されている。デバッグ情報テーブルの追加に伴い、セキュアブートローダ１１２の構成、セキュアブートローダ１１２の実行プログラムprog_loader、セキュアデバッガ１１４の構成、及びセキュアデバッガ１１４の実行プログラムprog_debuggerが、第１実施形態と異なる。以下では、第１実施形態と異なる点についてのみ説明する。

【0056】

２．１ セキュアブートローダ１１２の構成
セキュアブートローダ１１２は、第１実施形態と同様に、セキュアストレージ１１５に記憶されたセキュアブートローダ１１２の実行プログラムprog_loaderに基づく演算処理を行う。例えば、セキュアブートローダ１１２は、デバッグモード時に、セキュアＣＰＵ１１１に、セキュアデバッガ１１４の実行プログラムprog_debugger、デバッガキー、及びデバッグ情報テーブルをセキュアストレージ１１５からセキュアＲＡＭ１１６にロードさせる。この動作を除いて、セキュアブートローダ１１２の動作は、第１実施形態と同じである。デバッグ情報テーブルの詳細は後述する。

【0057】

２．２ セキュアデバッガ１１４の構成
セキュアデバッガ１１４は、第１実施形態と同様に、セキュアストレージ１１５に記憶されたセキュアデバッガ１１４の実行プログラムprog_debuggerに基づく演算処理を行う。

【0058】

例えば、セキュアデバッガ１１４は、デバッグモード時に、セキュアポート１１７を介してホストＰＣ２００からデバッグコマンド及びアクセスキーを受信する。デバッグコマンド及びアクセスキーを受信すると、セキュアデバッガ１１４は、受信したデバッグコマンド、アクセスキー、及びデバッグ情報テーブルに基づいて、受信したデバッグコマンドをＡｐｐ ＣＰＵ１２１に送信する。これらの動作の詳細は後述する。アクセスキーは、セキュアポート１１７を介してホストＰＣ２００からアプリケーションプログラムのデバッグを実行しようとしているユーザが、アプリケーションプログラムにアクセスするために入力するキーである。例えば、ユーザが複数のアプリケーションプログラムのデバッグを実行する場合、ユーザは、各アプリケーションプログラムに対応する複数のアクセスキーを入力する。なお、セキュアデバッガ１１４が、デバッグコマンドを受信して、アクセスキーを受信していない場合があってもよい。この場合、例えば、セキュアデバッガ１１４がアクセスキーを受信しておらず、且つデバッグコマンドで指定されるデバッグ対象が、アクセスキーによるアクセス権限が要求されるアドレス範囲にある場合には、セキュアデバッガ１１４は、デバッグコマンドをＡｐｐ ＣＰＵ１２１に送信しない。他方で、セキュアデバッガ１１４はアクセスキーを受信していないが、デバッグコマンドで指定されるデバッグ対象が、アクセスキーによるアクセス権限が要求されるアドレス範囲にはない場合には、セキュアデバッガ１１４は、デバッグコマンドをＡｐｐ ＣＰＵ１２１に送信してもよい。

【0059】

２．３ セキュアストレージ１１５内のプログラム等
本実施形態に係るＬＳＩ１００に含まれるセキュアストレージ１１５に記憶されているプログラム等の詳細について、図７を用いて説明する。図７は、本実施形態に係るＬＳＩ１００に含まれるセキュアストレージ１１５に記憶されているプログラム等の一例を示す図である。

【0060】

セキュアストレージ１１５は、セキュアプログラム、デバッガキー、デバッグ情報テーブル、アプリケーションプログラム、及びライブラリを記憶する。

【0061】

セキュアプログラムは、第１実施形態と同様に、セキュアブートローダ１１２の実行プログラムprog_loader、セキュアサービス１１３の実行プログラムprog_service、及びセキュアデバッガ１１４の実行プログラムprog_debuggerを含む。セキュアブートローダ１１２の実行プログラムprog_loaderは、セキュアブートローダ１１２の上述の機能を実現する。セキュアデバッガ１１４の実行プログラムprog_debuggerは、セキュアデバッガ１１４の上述の機能を実現する。セキュアサービス１１３の実行プログラムprog_service、デバッガキー、アプリケーションプログラム、及びライブラリは、第１実施形態と同じである。

【0062】

デバッグ情報テーブルは、デバッグ対象のアプリケーションプログラムへのアクセスを許可するためのテーブルである。デバッグ情報テーブルの概念について、図８を用いて説明する。図８は、デバッグ情報テーブルの一例を示す概念図である。

【0063】

図８に示すように、デバッグ情報テーブルは、複数（図８の例では３個）のエントリを有する。各エントリは、アプリケーションプログラム、アドレス範囲、及び許可キーを含む。アプリケーションプログラムは、アプリケーションプログラムの名称である。アドレス範囲は、対応するアプリケーションプログラムにおける、アクセスキーによるアクセス権限が要求されるアドレス範囲である。許可キーは、対応するアドレス範囲に対してアクセスを許可するキーである。

【0064】

例えば、図８の例の場合、アプリケーションタスクｔａｓｋ００１について、アクセスキーによるアクセス権限が要求されるアドレス範囲は、０ｘ４０００＿０００～０ｘ４１００＿０００であり、アクセスを許可する許可キーは、０ｘ１２３４５６７８である。アプリケーションタスクｔａｓｋ００２について、アクセスキーによるアクセス権限が要求されるアドレス範囲は、０ｘ４２００＿０００～０ｘ４３００＿０００であり、アクセスを許可する許可キーは、０ｘａａ５５ｂｂ４４である。ソフトウェアＩＰ ｓｏｆｔＩＰ００１について、アクセスキーによるアクセス権限が要求されるアドレス範囲は、０ｘ５０００＿０００～０ｘ５３００＿０００、及び０ｘ６０００＿０００～０ｘ６１００＿０００であり、アクセスを許可する許可キーは、０ｘ１８２７３６４５である。

【0065】

２．４ 動作
次に、本実施形態に係るＬＳＩ１００の動作について説明する。本実施形態に係るＬＳＩ１００の動作は、デバッグ動作を除いて、第１実施形態と同じである。以下、本実施形態に係るＬＳＩ１００のデバッグ動作について説明する。図９及び図１０は、ＬＳＩ１００のデバッグ動作を示すフローチャートである。図１１は、ＬＳＩ１００のデバッグ動作を説明する図である。

【0066】

図９に示すように、セキュアブートローダ１１２は、セキュアＣＰＵ１１１に、セキュアデバッガ１１４の実行プログラムprog_debugger、デバッガキー及びデバッグ情報テーブルをロードさせる（ステップＳ３０）。より具体的には、図１１に示すように、セキュアブートローダ１１２は、セキュアＣＰＵ１１１に、セキュアデバッガ１１４の実行プログラムprog_debugger、デバッガキー、及びデバッグ情報テーブルをセキュアストレージ１１５からセキュアＲＡＭ１１６にロードさせる。

【0067】

次に、セキュアサービス１１３は、ユーザキーとデバッガキーとを比較する（ステップＳ３１）。比較の結果、ユーザキーとデバッガキーとが対応する場合（ステップＳ３１、Ｙｅｓ）、セキュアサービス１１３は、セキュアデバッガ１１４の実行プログラムprog_debuggerをセキュアＣＰＵ１１１に起動させる（ステップＳ３２）。他方で、ユーザキーとデバッガキーとが対応しない場合（ステップＳ３１、Ｎｏ）、図１０に示すように、セキュアサービス１１３は、実行プログラムprog_debuggerをセキュアＣＰＵ１１１に起動させず、ＬＳＩ１００は、デバッグ動作を終了する。

【0068】

次に、セキュアデバッガ１１４は、デバッグコマンドを受信する（ステップＳ３３）。より具体的には、図１１に示すように、セキュアデバッガ１１４は、ホストＰＣ２００からセキュアポート１１７を介してデバッグコマンドを受信する。ホストＰＣ２００からデバッグコマンドを受信すると、セキュアデバッガ１１４は、デバッグコマンドで指定されるデバッグ対象が、アクセスキーによるアクセス権限が要求されるアドレス範囲かどうかを判断する（ステップＳ３４）。より具体的には、例えば、セキュアデバッガ１１４は、デバッグ情報テーブルから、アクセスキーによるアクセス権限が要求されるアドレス範囲をＯＲ演算し、演算結果がデバッグコマンドで指定されるデバッグ対象のアドレス範囲を含むかどうかを判断する。例えば、演算結果がデバッグコマンドで指定されるデバッグ対象のアドレス範囲を含む場合、セキュアデバッガ１１４は、デバッグ対象がアクセスキーによるアクセス権限が要求されるアドレス範囲であると判断する。また、演算結果がデバッグコマンドで指定されるデバッグ対象のアドレス範囲を含まない場合、セキュアデバッガ１１４は、デバッグ対象がアクセスキーによるアクセス権限が要求されるアドレス範囲ではないと判断する。

【0069】

セキュアデバッガ１１４が、デバッグ対象がアクセスキーによるアクセス権限が要求されるアドレス範囲ではないと判断した場合（ステップＳ３４、Ｎｏ）、図１０に示すように、セキュアデバッガ１１４は、デバッグコマンドをＡｐｐ ＣＰＵ１２１に送信する（ステップＳ３７）。セキュアデバッガ１１４からデバッグコマンドを受信すると、Ａｐｐ ＣＰＵ１２１は、アプリケーションプログラムのデバッグを実行する（ステップＳ３８）。

【0070】

他方で、セキュアデバッガ１１４が、デバッグ対象がアクセスキーによるアクセス権限が要求されるアドレス範囲であると判断した場合（ステップＳ３４、Ｙｅｓ）、図１０に示すように、セキュアデバッガ１１４は、アクセスキーを受信したかどうかを確認する（ステップＳ３５）。より具体的には、図１１に示すように、セキュアデバッガ１１４は、ホストＰＣ２００からセキュアポート１１７を介してアクセスキーを受信したかどうかを確認する。

【0071】

セキュアデバッガ１１４がアクセスキーを受信していない場合（ステップＳ３５、Ｎｏ）、セキュアデバッガ１１４は、デバッグコマンドをＡｐｐ ＣＰＵ１２１に送信せず（デバッグの実行を拒否し）、ＬＳＩ１００は、デバッグ動作を終了する。

【0072】

他方で、セキュアデバッガ１１４がアクセスキーを受信した場合（ステップＳ３５、Ｙｅｓ）、セキュアデバッガ１１４は、デバッグコマンドで指定されるアドレス範囲に対応するアプリケーションプログラムの許可キーと、アクセスキーとが対応するかどうかを確認する（ステップＳ３６）。例えば、セキュアデバッガ１１４がホストＰＣ２００から２個以上のアクセスキーを受信した場合、セキュアデバッガ１１４は、各アクセスキーについて、デバッグコマンドで指定されるアドレス範囲に対応するアプリケーションプログラムの許可キーと、各アクセスキーとが対応するかどうかを確認する。

【0073】

確認の結果、デバッグコマンドで指定されるアドレス範囲に対応するアプリケーションプログラムの許可キーと、アクセスキーとが対応する場合（ステップＳ３６、Ｙｅｓ）、セキュアデバッガ１１４は、デバッグコマンドをＡｐｐ ＣＰＵ１２１に送信する（ステップＳ３７）。セキュアデバッガ１１４からデバッグコマンドを受信すると、Ａｐｐ ＣＰＵ１２１は、アプリケーションプログラムのデバッグを実行する（ステップＳ３８）。他方で、デバッグコマンドで指定されるアドレス範囲に対応するアプリケーションプログラムの許可キーと、アクセスキーとが対応しない場合（ステップＳ３６、Ｎｏ）、セキュアデバッガ１１４は、デバッグコマンドをＡｐｐ ＣＰＵ１２１に送信せず（デバッグの実行を拒否し）、ＬＳＩ１００は、デバッグ動作を終了する。

【0074】

２．５ 効果
本実施形態に係るＬＳＩ１００では、セキュアブートローダ１１２がデバッガキーと対応するユーザキーを受信した場合に、セキュアＣＰＵ１１１によってセキュアデバッガ１１４が起動され、セキュアデバッガ１１４がデバッグコマンドを受信可能となる。

【0075】

また、本実施形態に係るＬＳＩ１００では、セキュアデバッガ１１４がアクセスキーによるアクセス権限が要求されるアドレス範囲をデバッグ対象とするデバッグコマンドを受信した場合には、セキュアデバッガ１１４がアクセスキーを受信し、そのアクセスキーと、デバッグ情報テーブル内の、デバッグコマンドで指定されるアドレス範囲に対応するアプリケーションプログラムの許可キーとが対応する場合に、セキュアデバッガ１１４がＡｐｐ ＣＰＵ１２１にデバッグコマンドを送信可能となる。

【0076】

この構成によれば、悪意のあるユーザによる、アクセス権限が要求されるアドレス範囲（秘匿したいアドレス範囲）を含むアプリケーションプログラムへのアクセス、及びアクセス権限が要求されるアドレス範囲を含むアプリケーションプログラムの改変を防ぐことができるため、セキュアなリモートデバッグを実現できる。また、アプリケーションプログラムごとに分業が敷かれている場合を想定して、アクセス権限の無いユーザが知的財産として保護されるべきソフトウェアＩＰを不正に読み取り・改変することを防ぐことができる。

【0077】

３．第３実施形態
第３実施形態に係るＬＳＩ１００について説明する。本実施形態に係るＬＳＩ１００は、第１実施形態と比較し、ＬＳＩ１００内に更にスイッチが設けられている。以下では、第１実施形態と異なる点についてのみ説明する。

【0078】

３．１ 車載システムの全体構成
本実施形態に係るＬＳＩ１００を含むシステムの全体構成について、図１２を用いて説明する。図１２は、本実施形態に係るＬＳＩを含むシステムの全体構成を示すブロック図である。

【0079】

図１２に示すように、セキュアサブシステム１１０は、更にスイッチ１１８を含む。スイッチ１１８は、セキュアバスに接続されている。スイッチ１１８は、ユーザによって制御され、例えばオフに設定された場合、通常モードが選択され、オンに設定された場合、デバッグモードが選択される。スイッチ１１８の例としては、例えばディップスイッチ等が挙げられる。

【0080】

３．２ 動作
次に、本実施形態に係るＬＳＩ１００の動作について説明する。本実施形態に係るＬＳＩ１００の動作は、動作モードを選択する動作を除いて、第１実施形態と同じである。また、本実施形態に係るＬＳＩ１００の動作を示すフローチャートは、図３及び図５と同じである。以下、本実施形態に係るＬＳＩ１００が動作モードを選択する動作について説明する。

【0081】

本実施形態では、セキュアＣＰＵ１１１は、電源投入時、スイッチ１１８がオン状態かオフ状態かに基づいて動作モードを選択する（図３のステップＳ１５）。例えば、スイッチ１１８がオフ状態の場合、セキュアＣＰＵ１１１は、通常モードを選択し、通常動作を行う（図３のステップＳ１７）。他方で、スイッチ１１８がオン状態の場合、セキュアＣＰＵ１１１は、デバッグモードを選択し、デバッグ動作を行う（図３のステップＳ１８、及び図５のステップＳ２０～Ｓ２５）。

【0082】

また、本実施形態では、セキュアＣＰＵ１１１は、電源オンの状態で、ユーザによってスイッチ１１８が切り替えられたとき、スイッチ１１８がオン状態かオフ状態かに基づいて動作モードを選択する。例えば、電源オンの状態で、ユーザによってスイッチ１１８がオフ状態からオン状態に切り替えられたとき、セキュアＣＰＵ１１１は、デバッグモードを選択し、デバッグ動作を行う。他方で、電源オンの状態で、ユーザによってスイッチ１１８がオン状態からオフ状態に切り替えられたとき、セキュアＣＰＵ１１１は、通常モードを選択し、通常動作を行う。

【0083】

３．３ 効果
本実施形態によれば、セキュアなリモートデバッグを実現できる。なお、本実施形態に係る構成を、第２実施形態に適用することもできる。

【0084】

４．変形例等
上記のように、実施形態に係る半導体装置は、第１演算回路(121)を含む第１システム(120)と、第１システムにおけるデバッグ動作を制御する第２システム(110)とを備える。半導体装置は、通常モードとデバッグモードとを含む。半導体装置がデバッグモードである場合、外部から受信した第１キー(ユーザキー)と、第２システムが保持する第２キー(デバッガキー)とが対応する場合に、第２システムは、第１演算回路にデバッグコマンドを送信する。

【0085】

なお、実施形態は上記説明した形態に限定されるものではなく、種々の変形が可能である。

【0086】

上記では、デバッグモード時に、ユーザがデバッグコマンドを送信するたびにアクセスキーを送信する例について説明した。セキュアデバッガ１１４は、ユーザによってホストＰＣ２００から最後に送信されたアクセスキーを記憶しておいてもよい。この場合、ユーザは、デバッグコマンドを送信するたびにアクセスキーを送信しなくてよい。セキュアデバッガ１１４は、受信したデバッグコマンド、記憶しておいたアクセスキー、及びデバッグ情報テーブルに基づいて、デバッグコマンドをＡｐｐ ＣＰＵ１２１に送信することができる。

【0087】

また、上記では、実施形態に係るＬＳＩを車載システムに適用した例について説明したが、実施形態に係るＬＳＩを民生のシステムにも適用できる。

【0088】

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

【符号の説明】

【0089】

１…車載システム、１００…ＬＳＩ、１１０…セキュアサブシステム、１１１…セキュアＣＰＵ、１１２…セキュアブートローダ、１１３…セキュアサービス、１１４…セキュアデバッガ、１１５…セキュアストレージ、１１６…セキュアＲＡＭ、１１７…セキュアポート、１１８…スイッチ、１２０…ノンセキュアサブシステム、１２１…アプリケーションＣＰＵ、１２２…ハードウェアアクセラレータ、１２３…ＤＲＡＭ、１３０…ブリッジ、１４０…デバッグバスブリッジ、２００…ホストＰＣ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】