特許 7408593 制御装置、情報処理装置、および情報処理システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-12-22

(45)【発行日】2024-01-05

(54)【発明の名称】制御装置、情報処理装置、および情報処理システム

(51)【国際特許分類】

   G06F 21/57 20130101AFI20231225BHJP

   G06F 8/654 20180101ALI20231225BHJP

   G06F 12/14 20060101ALI20231225BHJP

【ＦＩ】

G06F21/57 320

G06F8/654

G06F12/14 510A

【請求項の数】 10

(21)【出願番号】P 2021048890

(22)【出願日】2021-03-23

(65)【公開番号】P2022147584

(43)【公開日】2022-10-06

【審査請求日】2023-01-26

(73)【特許権者】

【識別番号】000003078

【氏名又は名称】株式会社東芝

(73)【特許権者】

【識別番号】317011920

【氏名又は名称】東芝デバイス＆ストレージ株式会社

(74)【代理人】

【識別番号】110002147

【氏名又は名称】弁理士法人酒井国際特許事務所

(72)【発明者】

【氏名】山岡 新之介

(72)【発明者】

【氏名】橋本 幹生

(72)【発明者】

【氏名】新保 淳

【審査官】岸野 徹

(56)【参考文献】

【文献】特開２０２０－０６７８３５（ＪＰ，Ａ）

【文献】特開２００７－０４７９９３（ＪＰ，Ａ）

【文献】特開２０２１－００２０８１（ＪＰ，Ａ）

【文献】米国特許出願公開第２０２０／０１３３８３７（ＵＳ，Ａ１）

【文献】米国特許出願公開第２００７／００３８８０１（ＵＳ，Ａ１）

【文献】米国特許出願公開第２０２０／０４０１６８８（ＵＳ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５７

Ｇ０６Ｆ ８／６５４

Ｇ０６Ｆ １２／１４

(57)【特許請求の範囲】

【請求項1】

外部との通信を可能にする通信Ｉ／Ｆと、
初期化動作を行う初期化用プログラムを記憶する第１格納領域と、前記初期化動作の後に実行されかつ前記通信Ｉ／Ｆを介して更新用のファームウェアを取得する現用のファームウェアを記憶する第２格納領域と、を有する内蔵不揮発性メモリと、
前記初期化用プログラムおよび前記現用のファームウェアを実行する制御部と、
シリアルバスを経由して自装置と外部不揮発性メモリとを通信可能に接続する外部シリアルフラッシュＩ／Ｆと、
前記内蔵不揮発性メモリおよび前記外部不揮発性メモリのアクセス制御設定を固定化するセキュリティモード管理モジュールと、
前記シリアルバスとは異なる経路を通してレベル信号を出力するアクセス制御部と、
を備える制御装置。

【請求項2】

前記外部不揮発性メモリは、
第３格納領域と、
第４格納領域と、
前記第２格納領域、前記第３格納領域、および前記第４格納領域に対して前記現用のファームウェアの実行時に適用される前記アクセス制御設定を記憶する制御レジスタと、
を備える、請求項１に記載の制御装置。

【請求項3】

前記初期化用プログラムは、前記初期化動作において、前記第２格納領域に対して前記ファームウェアの書き込みを禁止する前記アクセス制御設定を設定し、前記第３格納領域および前記第４格納領域のうち、一方の格納領域に対して前記更新用のファームウェアの書き込みを許可する前記アクセス制御設定を設定し、他方の格納領域に対して前記現用のファームウェアの書き込みを禁止する前記アクセス制御設定を設定する、請求項２に記載の制御装置。

【請求項4】

前記セキュリティモード管理モジュールは、前記初期化動作後、前記アクセス制御設定を固定化し、次の前記制御装置の電源投入またはリセット後、前記初期化用プログラムが実行されるまで前記アクセス制御設定の固定化を解除不可能とする、請求項１から３のいずれか一に記載の制御装置。

【請求項5】

前記アクセス制御部は、前記初期化用プログラムの操作により前記セキュリティモード管理モジュールによって前記内蔵不揮発性メモリ並びに前記外部不揮発性メモリの前記アクセス制御設定が固定化されると、前記制御レジスタに対する書き込みを禁止する、請求項２に記載の制御装置。

【請求項6】

前記現用のファームウェアは、前記第３格納領域および前記第４格納領域のうち、前記アクセス制御設定により前記更新用のファームウェアの書き込みが許可されている格納領域に対して、前記更新用のファームウェアを書き込む、請求項２または３に記載の制御装置。

【請求項7】

前記初期化用プログラムは、さらに、前記第３格納領域または前記第４格納領域に前記更新用のファームウェアが記憶されている場合、前記第２格納領域に記憶される前記現用のファームウェアを、前記第３格納領域および前記第４格納領域のうち古い前記ファームウェアを記憶する格納領域にコピーした後、前記更新用のファームウェアを前記第２格納領域にコピーする、請求項２、３および６のいずれか一に記載の制御装置。

【請求項8】

前記初期化用プログラムは、さらに、稼働実績のない前記更新用のファームウェアによって、前記通信Ｉ／Ｆを介して外部と通信できない場合、前記第３格納領域または前記第４格納領域に記憶される前記現用のファームウェアを、前記第２格納領域にコピーする、請求項７に記載の制御装置。

【請求項9】

制御装置と、外部不揮発性メモリと、を有する情報処理装置であって、
前記制御装置は、
前記情報処理装置の外部との通信を可能にする通信Ｉ／Ｆと、
当該制御装置の初期化動作を行う初期化用プログラムを記憶する第１格納領域と、前記初期化動作の後に実行されかつ前記通信Ｉ／Ｆを介して更新用のファームウェアを取得する現用のファームウェアを記憶する第２格納領域と、を有する内蔵不揮発性メモリと、
前記初期化用プログラムおよび前記現用のファームウェアを実行する制御部と、
シリアルバスを経由して前記制御装置と前記外部不揮発性メモリとを通信可能に接続する外部シリアルフラッシュＩ／Ｆと、
前記内蔵不揮発性メモリおよび前記外部不揮発性メモリのアクセス制御設定を固定化するセキュリティモード管理モジュールと、
前記シリアルバスとは異なるレベル信号を出力するアクセス制御部と、
を備え、
前記外部不揮発性メモリは、
第３格納領域と、
第４格納領域と、
前記第２格納領域、前記第３格納領域、および前記第４格納領域に対して前記現用のファームウェアの実行時に適用されるアクセス制御設定を記憶する制御レジスタと、
を備える、情報処理装置。

【請求項10】

制御装置と、外部不揮発性メモリと、を有する情報処理システムであって、
前記制御装置は、
前記制御装置の外部との通信を可能にする通信Ｉ／Ｆと、
当該制御装置の初期化動作を行う初期化用プログラムを記憶する第１格納領域と、前記初期化動作の後に実行されかつ前記通信Ｉ／Ｆを介して更新用のファームウェアを取得する現用のファームウェアを記憶する第２格納領域と、を有する内蔵不揮発性メモリと、
前記初期化用プログラムおよび前記現用のファームウェアを実行する制御部と、
シリアルバスを経由して前記制御装置と前記外部不揮発性メモリとを通信可能に接続する外部シリアルフラッシュＩ／Ｆと、
前記内蔵不揮発性メモリおよび前記外部不揮発性メモリのアクセス制御設定を固定化するセキュリティモード管理モジュールと、
前記シリアルバスとは異なるレベル信号を出力するアクセス制御部と、
を備え、
前記外部不揮発性メモリは、
第３格納領域と、
第４格納領域と、
前記第２格納領域、前記第３格納領域、および前記第４格納領域に対して前記現用のファームウェアの実行時に適用されるアクセス制御設定を記憶する制御レジスタと、
を備える、情報処理システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明の実施形態は、情報処理装置に関する。

【背景技術】

【0002】

ＣＰＵ（Central Processing Unit）によるプログラム実行機能を備えたＭＣＵ（Micro Control Unit）等の情報処理装置に内蔵されかつファームウェア（ＦＷ）を記憶する内蔵フラッシュメモリ（内蔵不揮発性メモリの一例）を２ｉｎ１の２面構成とした上で、情報処理装置の起動時のＦＷの改ざん検証と、当該改ざん検証に連動した内蔵フラッシュメモリに対するＨＷアクセス制御と、を組み合わせる技術が開発されている。これにより、内蔵フラッシュメモリに記憶される現用のＦＷ（ユーザＦＷ）による、更新用のＦＷの書き込みを可能にすると同時に、不正なソフトウェア（ＳＷ）の侵入時に、内蔵フラッシュメモリに記憶されるＦＷが全消去されることの防止と、基板上のチップに対する物理アクセスと、の両方の脅威を排除している。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２０１９－１４５１１０号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、内蔵フラッシュメモリを２ｉｎ１の２面構成とする技術では、大容量の内蔵フラッシュメモリが必要となり、外部フラッシュメモリ（外部不揮発性メモリの一例）に複数のＦＷのセットをバックアップ用として保持するスマートメータ等の用途に採用することが困難である。特に、内蔵フラッシュメモリの格納領域が情報機器の動作に必要な１セット分のサイズしかない場合、更新用のＦＷの適用には、一度内蔵フラッシュメモリ内のプログラム１セットに相当するデータを消去した上で、外部フラッシュメモリから更新ＦＷを情報処理装置内へ転送する必要がある。この動作の前提として、更新用のＦＷに動作不良が確認された場合におけるロールバック用のＦＷと更新用のＦＷの両方が保持されなければならず、バリエーションが少なくなる。

【課題を解決するための手段】

【0005】

実施形態の制御装置は、通信Ｉ／Ｆと、内蔵不揮発性メモリと、制御部と、外部シリアルフラッシュＩ／Ｆと、セキュリティ管理モジュールと、アクセス制御部と、を有する。通信Ｉ／Ｆは、外部との通信を可能にする。内蔵不揮発性メモリは、初期化動作を行う初期化用プログラムを記憶する第１格納領域と、初期化動作の後に実行されかつ通信Ｉ／Ｆを介して更新用のファームウェアを取得する現用のファームウェアを記憶する第２格納領域と、を有する。制御部は、初期化用プログラムおよび現用のファームウェアを実行する。外部シリアルフラッシュＩ／Ｆは、シリアルバスを経由して自装置と外部不揮発性メモリとを通信可能に接続する外部シリアルフラッシュＩ／Ｆと、内蔵不揮発性メモリおよび外部不揮発性メモリのアクセス制御設定を固定化する。アクセス制御部は、シリアルバスとは異なるレベル信号を出力する。

【図面の簡単な説明】

【0006】

【図1】図１は、本実施形態にかかる情報処理装置の構成の一例を示す図である。

【図2】図２は、本実施形態にかかるＭＣＵの概略動作を示したものであり、ＨＷ動作、初期化用プログラム動作、ＦＷの動作をあわせて記載した図である。

【図3A】図３Ａは、本実施形態にかかる情報処理装置の初期化用プログラムの格納領域の内容の検査と再配置の詳細動作を説明するフローチャートである。

【図3B】図３Ｂは、本実施形態にかかる情報処理装置の初期化用プログラムの格納領域の内容の検査と再配置の詳細動作を説明するフローチャートである。

【図4】図４は、本実施形態にかかる情報処理装置の制御用データの詳細を示す図である。

【図5】図５は、本実施形態にかかる情報処理装置の格納領域保護テーブルの状態の変化の一例を説明するための図である。

【図6】図６は、本実施形態にかかる情報処理装置の格納領域保護テーブルの状態の変化の一例を説明するための図である。

【図7】図７は、本実施形態にかかる情報処理装置の格納領域保護テーブルの状態の変化の一例を説明するための図である。

【図8】図８は、本実施形態にかかる情報処理装置の格納領域保護テーブルの状態の変化の一例を説明するための図である。

【図9】図９は、本実施形態にかかる情報処理装置におけるファームウェアの更新処理の流れの一例を示すフローチャートである。

【図10】図１０は、本実施形態にかかる情報処理装置におけるファームウェアのロールバック処理の流れの一例を示すフローチャートである。

【発明を実施するための形態】

【0007】

以下、添付の図面を用いて、本実施形態にかかる制御装置、情報処理装置、および情報処理システムの一例について説明する。

【0008】

図１は、本実施形態にかかる情報処理装置の構成の一例を示す図である。本実施形態にかかる情報処理装置は、図１に示すように、スマートメータ等であり、ＭＣＵ（Micro Control Unit）１０（制御装置の一例）、外部フラッシュメモリ２０（外部不揮発性メモリの一例）、およびセンサ２０１を有する。

【0009】

本実施形態にかかるＭＣＵ１０は、図１に示すように、ＣＰＵ（Central Processing Unit）１０１と、内蔵不揮発性メモリ１０２と、セキュリティモード管理モジュール１０３と、外部シリアルフラッシュＩ／Ｆ１０４と、アクセス制御部１０５と、ＳＲＡＭ（Static Random Access Memory）１０６と、暗号エンジン１０７と、ＡＤＣ（Analog to Digital Converter）１０８と、Ｉ２Ｃ／ＵＡＲＴ１０９と、を有する。

【0010】

Ｉ２Ｃ（Inter Integrated Circuit）／ＵＡＲＴ（Universal Asynchronous Receiver/Transmitter）１０９は、Ｉ２Ｃによる周辺機器と通信に用いられる。ＡＤＣ１０８は、アナログ信号をデジタル信号に変換する。暗号エンジン１０７は、Ｉ２Ｃ／ＵＡＲＴ１０９により周辺機器に送信する各種データを暗号化する。ＳＲＡＭ１０６は、各種データを一時的に記憶する揮発性メモリである。また、ＭＣＵ１０は、アンテナ２０２を介して情報処理装置１と外部との通信を可能にする通信Ｉ／Ｆ１１０を備える。

【0011】

内蔵不揮発性メモリ１０２は、内部フラッシュメモリ等であり、第１格納領域Ｒ１および第２格納領域Ｒ２を有する。

【0012】

第１格納領域Ｒ１は、ＣＰＵ１０１のリセット後（または電源投入時）に実行される初期化動作のプログラムである初期化用プログラムを記憶する。また、第１格納領域Ｒ１は、制御用データを記憶する。ここで、制御用データは、例えば、情報処理装置１の起動時に実行されかつ外部フラッシュメモリ２０に記憶されるファームウェア（ＦＷ）の検証用のプログラムである外部フラッシュ上ＦＷ検証プログラム、当該外部フラッシュ上ＦＷ検証プログラムによるＦＷの検証に用いられる署名検証用公開鍵、後述する第２格納領域Ｒ２、第３格納領域Ｒ３および第４格納領域Ｒ４のそれぞれに記憶されるＦＷのバージョン情報、後述する第２格納領域Ｒ２、第３格納領域Ｒ３および第４格納領域Ｒ４のそれぞれに対する書き込みの許可状態を示す状態情報等の各種情報である。初期化用プログラムは、上記制御用データに基づいて後述する第２格納領域Ｒ２、第３，４格納領域Ｒ３，Ｒ４に格納されたファームウェア（ＦＷ）の状態を確認し、更新用のＦＷを格納するために、外部フラッシュメモリ２０の第３，４格納領域のうちロールバックに必要な領域を書き込み不可に、そして更新用のＦＷを取得するための領域を書き込み可能な状態にアクセス制御設定を制御レジスタ２１に設定する。さらに、初期化用プログラムの後に行われるＦＷの実行においてアクセス制御設定が変更されないよう、このアクセス制御状態を固定化する。アクセス制御状態の固定化の結果、アクセス制御部１０５からは外部フラッシュメモリ２０の制御レジスタ２１の設定変更を禁止する出力がレベル信号へと出力される。詳細は後述する。

【0013】

第２格納領域Ｒ２は、初期化用プログラムによる初期化動作の後に実行されかつ通信Ｉ／Ｆ１１０を介して更新用のＦＷを取得するＦＷを記憶する。すなわち、第２格納領域Ｒ２に記憶されるＦＷは、現用のＦＷである。ＣＰＵ１０１に対してチップ内でバス接続された第２格納領域Ｒ２に対するデータアクセス（プログラムの実行を含む）は、シリアル接続された外部フラッシュメモリ２０の第３，４格納領域Ｒ３，Ｒ４に対するアクセスと比較して高速であり、通信およびデータ取得を行う主機能プログラム（ＦＷ）は第２格納領域Ｒ２に格納されたものを用いる。現用のＦＷは、情報処理装置１の主機能であるセンサによる測定や通信を経由した外部とのデータの送受信、そしてやはり通信を経由した更新用のＦＷの取得と外部フラッシュメモリ２０に対する保存を行う。上述のように、ＦＷは、第２格納領域Ｒ２に対する書き込み権限を与えられず、書き込み可能な不揮発メモリ領域は、初期化プログラムにより外部フラッシュメモリ２０の書き込みが許可に設定された格納領域に限られる。この理由は、一般に通信を行うソフトウェアには脆弱性が混入しやすく、通信経由による不正プログラムの実行が懸念されることから、ＦＷの脆弱性が通信経由で攻撃された結果、不正プログラムが実行された場合においても、プログラムやデータが破壊される範囲を限定し、再起動を行った後に、ＦＷの主機能ならびにＦＷの更新を再度実行するために必要なプログラムおよびデータを保全するためである。

【0014】

ＣＰＵ１０１は、内蔵不揮発性メモリ１０２の第１格納領域Ｒ１および第２格納領域Ｒ２に記憶される初期化用プログラム等の各種プログラムを実行する制御部の一例である。外部シリアルフラッシュＩ／Ｆ１０４は、シリアルバス２２を経由してＭＣＵ１０と外部フラッシュメモリ２０とを通信可能に接続する。外部フラッシュメモリ２０は、少なくとも上述の第３，４格納領域Ｒ３，Ｒ４に対応する論理的に分割された格納領域を持つ。また、外部フラッシュメモリ２０は、第３，４格納領域毎の書き込みを制御するアクセス制御設定（許可設定または不可（禁止）設定）を記憶する制御レジスタ２１を持ち、制御レジスタ２１に対する設定の書き込みはシリアルバス２２を経由して行われる。そして、アクセス制御部１０５は、シリアルバス２２とは異なるバス（経路の一例）２３を通してレベル信号を出力する。アクセス制御部１０５は、制御レジスタ２１のアクセス制御設定を固定化するレベル信号を外部フラッシュメモリ２０に出力する。この入力がアクティブな状態では外部フラッシュメモリ２０内蔵のハードウェアロジックにより、シリアルバス２２を経由した制御レジスタ２１に対する書き込み操作は無視される。レベル信号は、ＭＣＵ１０のアクセス制御部１０５に接続される。初期化用プログラムは、制御レジスタ２１に対するアクセス制御設定が完了後、セキュリティモード管理モジュール１０３にアクセス制御設定の固定化を行うと、以後、内蔵不揮発性メモリ１０２はすべて書き込み禁止となり、同時にアクセス制御部１０５のレベル信号の出力がアクティブとなり、以降に実行される第２格納領域Ｒ２に記憶される現用のＦＷの実行中には制御レジスタ２１のアクセス制御設定は変更できない。セキュリティモード管理モジュール１０３は、内蔵不揮発性メモリ１０２および外部フラッシュメモリのセキュリティを管理するモジュールである。なお、ＭＣＵ１０側の外部シリアルフラッシュＩ／Ｆ１０４のリードライトにおいては、外部シリアルフラッシュＩ／Ｆ１０４の内部レジスタにアクセス先のアドレスを含むコマンドと呼ばれるパケットをソフトウェアが書き込み、リードライトリクエストを処理する形式がもっともシンプルなものである。このようなアクセス形式の場合、外部フラッシュメモリ２０のメモリ領域（第３，４格納領域ならびに制御レジスタ２１）は、ＭＣＵ１０内部のアドレス空間から直接見ることができず、すべてひとつのコマンドレジスタとして見えてしまうため、ＭＣＵ１０内部のメモリマップにおけるアドレス範囲だけでは外部フラッシュメモリ２０内の格納領域に対するアクセスを制限できない。上記のレベル信号によるアクセス制御設定の固定化は、シンプルな外部シリアルフラッシュＩ／Ｆ１０４においてもアクセス制御を可能とするものである。ただし、以下に説明する本実施形態のＦＷ管理方式は、より大規模なＨＷを必要とするＭＣＵ１０内のメモリマップのアドレス範囲に基づくアクセス制御においても適用可能である。

【0015】

図２は、本実施形態にかかるＭＣＵの概略動作を示したものであり、ＨＷ動作、初期化用プログラム動作、ＦＷの動作をあわせて記載した図である。セキュリティモード管理モジュール１０３は、ＭＣＵ１０の電源投入またはリセット（再起動）後（ステップＳ４０１）のＣＰＵ１０１によるプログラムの実行に先立って全てのアクセス制御設定を解除する（ステップＳ４０２）。ＣＰＵ１０１は、プログラム実行開始時には、プログラムの実行によるいかなる操作も許容された状態で初期化用プログラムの実行を開始する（ステップＳ４０３）。ＣＰＵ１０１は、初期化用プログラムの動作により、内蔵不揮発性メモリ１０２の第２格納領域Ｒ２および外部フラッシュメモリ２０の各格納領域に対して、上記制御用データに基づく完全性の検証（各格納領域の内容の検査、再配置、格納領域保護テーブルの更新など）を行い（ステップＳ４０４）、その結果に基づいて、ＦＷの実行時に適用されるアクセス制御設定を設定し（ステップＳ４０５）、当該アクセス制御設定を固定化する（ステップＳ４０６）。内蔵不揮発性メモリ１０２についてはアクセス制御設定を行った時点ではアクセス制御設定は適用されず、初期化用プログラムがセキュリティモード管理モジュール１０３にアクセス制御設定の固定化以後、はじめてアクセス制御設定が適用される。初期化用プログラムによりセキュリティモード管理モジュール１０３に対するアクセス制御設定の固定化が行われると、内部ハードウェア信号によりアクセス制御部１０５が有効化され、レベル信号２３出力が非アクティブからアクティブとなり、外部フラッシュメモリ２０の制御レジスタ２１に対する書き込みが禁止され、アクセス制御設定が固定化された上で、初期化用プログラムからＦＷに実行が切り替えられる（ステップＳ４０７）。アクセス制御設定が一旦固定化されると、次に、ＣＰＵ１０１のリセットが実行されかつ初期化用プログラムが実行されるまではアクセス制御設定の固定化は解除不可能となるよう、セキュリティモード管理モジュール１０３、内蔵不揮発性メモリ１０２，アクセス制御部１０５のハードウェア回路が構成される。

【0016】

上記の仕組みにより、初期化用プログラムの初期化動作によるアクセス制御設定後、セキュリティモード管理モジュール１０３のアクセス制御設定の有効化が行われた後に、内蔵不揮発性メモリ１０２に格納された現用のＦＷの誤動作（ソフトウェア脆弱性による不正実行プログラムによる不正動作を含む）により、内蔵不揮発性メモリ１０２ならびに外部フラッシュメモリ２０に記憶される現用のＦＷならびにロールバック用のＦＷが消去されたり、改ざんされたりすることを防止できる。

【0017】

本実施形態にかかる外部フラッシュメモリ２０は、図１に示すように、第３格納領域Ｒ３、第４格納領域Ｒ４、および制御レジスタ２１を有する。第３格納領域Ｒ３および第４格納領域Ｒ４は、第２格納領域Ｒ２に記憶されるＦＷのバックアップ用のＦＷ（古いバージョンのＦＷ）、および更新用のＦＷ（新しバージョンのＦＷ）を記憶可能である。制御レジスタ２１は、第３格納領域Ｒ３および第４格納領域Ｒ４のそれぞれのアクセス制御設定を記憶する。各格納領域の設定情報は後述する格納領域保護テーブルに基づいて決定され、アクセス制御設定が設定される。

【0018】

このような構成を有する情報処理装置１において、初期化用プログラムは、第２格納領域Ｒ２のＦＷについては改ざんを防止するため、現用のＦＷを格納する第２格納領域Ｒ２に対する一切の書き込みを禁止し、外部フラッシュメモリ２０の格納領域（第３格納領域Ｒ３または第４格納領域Ｒ４）のいずれか片方については更新用のＦＷの書き込みを許可の設定を行い、アクセス制御設定を固定化する。次いで、初期化用プログラムは、第２格納領域Ｒ２に格納された現用のＦＷを実行する（ステップＳ４０７）。

【0019】

現用のＦＷは、通信Ｉ／Ｆ１１０を通じた通信等により、通信可能状態を判定およびＷＥ領域（外部フラッシュメモリ２０の第３，４格納領域のうち書き込みが許可された格納領域）に記録し（ステップＳ４０８：Ｙｅｓ、ステップＳ４０９）、外部から更新用のＦＷを取得し、外部フラッシュメモリ２０の書き込みが許可されたＷＥ領域に保存する（ステップＳ４１０：Ｙｅｓ、ステップＳ４１１)。また、取得したＦＷの完全性およびバージョン番号を検証するためのデジタル署名も同領域に保存する。もし、ＦＷの不具合等により通信ができない場合もしくはそもそも起動不能の場合（ステップＳ４０８：Ｎｏ）は、記録を行わず再起動する（ステップＳ４１２）。

【0020】

現用のＦＷは、更新用のＦＷの取得後、計測などの主機能に悪影響を及ぼさない時間を避けて再起動を行う（ステップＳ４１２）。再起動により、上述した通り、アクセス制御設定の固定化が解除され（ステップＳ４０２）、すべてのアクセス制御設定が解除された状態で初期化用プログラムの実行が開始される（ステップＳ４０３）。

【0021】

図３Ａおよび図３Ｂは、本実施形態にかかる情報処理装置の初期化用プログラムの格納領域の内容の検査と再配置の詳細動作を説明するフローチャートである。図４は、本実施形態にかかる情報処理装置の制御用データの詳細を示す図である。図５～８は、本実施形態にかかる情報処理装置の格納領域保護テーブルの状態の変化の一例を説明するための図である。初期化用プログラムは、図４に示す制御用データの格納領域管理テーブルＴ６０５の参照により、前回のＦＷの実行において更新用のＦＷの格納領域（ここでは、前回書き込み可能であったことを意味するＷＥ領域と表記する。）を認識することができる。

【0022】

制御用データには、ＦＷ署名検証用の署名検証用公開鍵６０２、次回実行ＦＷ準備完了フラグ６０３、ロールバック中フラグ６０４と、格納領域保護テーブルＴ６０５が含まれる。図５に示す格納領域保護テーブルＴ６０５の状態においては、第２格納領域Ｒ２にはバージョン番号（Version）：１のＦＷが格納され、前回実行された状態である。格納領域管理テーブルＴ６０５の第２格納領域Ｒ２にはバージョン番号（Version）：１、ＦＷの署名、ＦＷの稼働実績、保護フィールドがそれぞれ記録されている。ＦＷの稼働実績が「＋」となっているのは、当該ＦＷを用いて外部との通信が可能であったことを示す。保護のフィールドは、ＦＷの実行中に書き込み可または不可のいずれかであったことを示すものであり、ＷＰは書き込み禁止を示し、ＷＥは書き込み許可を示す。次回実行ＦＷ準備完了フラグ６０３は、格納領域の変更操作を実行中の過度的な状態を管理するためのフラグである。次回実行ＦＷ準備完了フラグ６０３が設定された状態においては、格納領域に対応するエントリにうち、保護フィールドがＷＰとなっている格納領域の内容は、それぞれの保護フィールドの格納領域のＦＷのバージョンと、署名と、が一致する。一方、保護フィールドがＷＥとなっている格納領域の内容は、ＦＷの動作による更新用のＦＷの書き込みが行われた結果として、書き込み以前の格納領域管理テーブルＴ６０５のエントリに保持された署名と、格納領域に保持されたＦＷの実体に不一致が生じるケースがある。署名検証用公開鍵６０２は、各格納領域のＦＷの署名検証に用いる公開鍵である。ロールバック中フラグ６０４は、ＦＷのロールバック中であることを示すフラグである。

【0023】

以下、図３Ａおよび図３Ｂを参照して、図５の格納領域保護テーブルＴ６０５と合致する状態から、更新用のＦＷの取得がない通常の起動処理における、初期化用プログラムによる各格納領域の内容の検査と再配置処理（図４のステップＳ４０４）の詳細を説明する。実行開始時点の格納領域保護テーブルＴ６０５の状態を図５に示すものとする。

【0024】

はじめに、初期化用プログラムは、ステップＳ５０２において、次回実行ＦＷ準備完了フラグ６０３の状態確認が行う。これは、更新用のＦＷのコピー中に電源断などの障害が生じ、処理が中断した状態からリトライを行うために設けられている。障害がない場合、次回実行ＦＷ準備完了フラグ６０３はセットされた状態である（ステップＳ５０３：Ｙｅｓ）。次に、初期化用プログラムは、前回のＦＷ稼働時の通信可否状態を、ＷＰ領域の所定アドレスから取得する（ステップＳ５０４）。これは前回のＦＷの動作時にステップＳ４１１において記録された情報であり、ここでは正常に通信が行われたものとする（ステップＳ５０５：Ｙｅｓ）。さらに、テーブルＴ６０５を参照して前回稼働したＦＷである第２格納領域Ｒ２の稼働実績が＋であることを確認する（ステップＳ５０５：Ｙｅｓ）。次に、初期化用プログラムは、ＷＥ領域に前回の実行において現用のＦＷが取得した更新用のＦＷの署名が存在するかどうかを確認する（ステップＳ５０６）。この場合、更新用のＦＷがないため、再配置は不要でありステップＳ５２３に至り、ステップＳ４０４に相当する処理は完了する。初期化用プログラムは、ステップＳ４０４の終了後のステップＳ４０５においては、格納領域保護テーブルＴ６０５の各エントリにある書き込み禁止：ＷＰ、書き込み許可：ＷＥの指定に従ってアクセス制御設定を設定し（ステップＳ４０５)、固定化し（ステップＳ４０６）、前回の起動時と同じＦＷ１が実行される（ステップＳ４０７）。

【0025】

以下、次の現用のＦＷ１の実行において、更新用のＦＷ２の取得に成功し、バージョン番号：２を持つＦＷ２とその署名Ｓｉｇ［ＦＷ２］がＷＥ領域（第４格納領域Ｒ４）に書き込まれた場合の動作を説明する。この場合の詳細動作を説明する。現用のＦＷ１の実行開始時点の格納領域保護テーブルＴ６０５の状態を図５に示すものとする。はじめに、初期化用プログラムは、ステップＳ５０２において、次回実行ＦＷ準備完了フラグ６０３の状態確認とステップＳ５０４，ステップＳ５０５において通信が可能であったかどうかのチェックが行われる、ステップＳ５０６～Ｓ５０８において、取得したバージョン番号：２のＦＷ２が、格納領域保護テーブルＴ６０５にリストされたＦＷ０，ＦＷ１より新しいバージョンであり、そのバージョン番号が正しいこと、ＦＷ２に改ざんがないことを、署名用公開鍵６０６を用いたデジタル署名検証により確認する。署名検証に成功し、かつバージョン番号が現用のＦＷより新しいことが確認できた更新用のＦＷが次に実行される第２世代のＦＷとなる。更新用のＦＷの検証と最新性の確認に成功すると、次回実行ＦＷ準備完了フラグ６０３がクリアされ、ＦＷのコピー操作が必要となったことが示される（ステップＳ５０９）。

【0026】

更新用のＦＷ２を第２格納領域Ｒ２にコピーする前の準備として、初期化用プログラムは、ステップＳ５１１およびステップＳ５１２では、現在、第２格納領域Ｒ２に保持されているＦＷ１が、すでに稼働済み確認されたＦＷのうちで最新であり、かつ保全用のコピーが外部フラッシュメモリ２０に存在しないことを確認（判定）する。両方の条件を満たす場合、初期化用プログラムは、第２格納領域Ｒ２に格納されたＦＷを外部フラッシュメモリ２０にコピーする保全動作（ステップＳ５１３～Ｓ５１５）を実行する。初期化用プログラムは、ステップＳ５１３では、コピー先としてＦＷ１より古いＦＷ０を保持する格納領域として、第２格納領域Ｒ２の内容を第３格納領域Ｒ３にコピーする。初期化用プログラムは、第３格納領域Ｒ３へのコピー操作完了後、格納領域保護テーブルＴ６０５に格納されたＦＷ１の署名に基づき内容を検証し、正しくコピーが完了した場合に第２格納領域Ｒ２に対応する格納領域保護テーブルＴ６０５のエントリを第３格納領域Ｒ３の格納領域保護テーブルＴ６０５のエントリにコピーする（ステップＳ５１５）。コピー実行中に電源断が発生した場合でも、次回実行ＦＷ準備完了フラグ６０３がクリアされているため、第２格納領域Ｒ２から第３格納領域Ｒ３へのコピーと署名検証が正しく完了するまでこの操作が繰り返し行われる。第３格納領域Ｒ３の署名検証が正しく完了してはじめて格納領域管理テーブルＴ６０５の更新が行われる。格納領域保護テーブルＴ６０５の更新が電源断により失敗した場合にも、同様にリトライが行われる。

【0027】

第２格納領域Ｒ２のＦＷ１の保全完了後、第４格納領域Ｒ４に格納された更新用のＦＷ２を内蔵不揮発性メモリ１０２の第２格納領域Ｒ２にコピーして実行可能とする準備処理がステップＳ５１６～Ｓ５１８で行われる。格納領域管理テーブルＴ６０５でＷＥとされた第４格納領域Ｒ４に署名検証済みの最新のＦＷ２が格納されていることは、ステップＳ５０６～Ｓ５０８において確認されている。初期化用プログラムは、ステップＳ５１６では第４格納領域Ｒ４のＦＷを第２格納領域Ｒ２にコピーし、第４格納領域Ｒ４に保持されている署名に基づいて、第２格納領域Ｒ２にコピーされたＦＷ２の検証と確認を行う（ステップＳ５１６）。確認に成功するまでリトライが行われる（ステップＳ５１７）。確認に成功すると、初期化用プログラムは、ＷＥ領域にある更新用のＦＷの署名について、再度バージョン番号の最新性チェックを行った上でバージョン番号、署名を格納領域保護テーブルＴ６０５の第２格納領域Ｒ２にコピーする。また、初期化用プログラムは、更新用のＦＷ２については稼働実績を稼働実績なし（－）に設定し、保護を書き込み禁止：ＷＰとする。

【0028】

さらに、コピー元である第４格納領域Ｒ４に対応する格納領域保護テーブルＴ６０５のエントリに第２格納領域Ｒ２のバージョン、署名、稼働実績をコピーした上で保護を書き込み許可：ＷＥとする。これらの処理の完了後、初期化用プログラムは、次回実行ＦＷ準備完了フラグ６０３をセットする（ステップＳ５１８）。この状態のＦＷ更新テーブルの内容を図６に示す。この後にステップＳ４０５において格納領域保護テーブルＴ６０５の保護に従ったアクセス制御設定がステップＳ４０５において行われ、アクセス制御設定がステップＳ４０６において固定化される。以上が、ＦＷが更新ありの場合の詳細処理である。

【0029】

ステップＳ４０７以降、更新されたＦＷ２が実行される。ＦＷの更新時に起きうる深刻な障害として起動や通信の不能がある。ＦＷ２が通信可能である場合は、ステップＳ４０９においてＷＥ領域の所定アドレスに通信可能である記録が残される。この情報は、次回の再起動において、初期化用プログラムの実行中のステップＳ５０４のステップでチェックされ、通信可能である場合は格納領域保護テーブルＴ６０５中の第２格納領域Ｒ２の稼働実績のフィールドに反映される。図７にＦＷ２が稼働に成功した場合の稼働実績が反映された格納領域管理テーブルＴ６０５の内容を示す。

【0030】

稼働実績のないＦＷについて、通信可能である記録が検出されない場合、更新用のＦＷに不具合が想定され、チェックはＳ５０５において行われる。上記のように更新ＦＷを最初に実行する場合には、稼働実績なしとされる（ステップＳ５１８および図６）。更新ＦＷが一度稼働した後に通信成功の記録がない場合はＳ５０４において稼働実績が－のままであり、Ｓ５０５においてＳ５１０に制御が移る（稼働実績なしと判断される（ステップＳ５０５：Ｎｏ））。初期化用プログラムは、稼働実績のあるＦＷへのロールバックを行い、ロールバック中フラグ６０４をセットし、次回実行ＦＷ準備完了フラグをクリアする（ステップＳ５１０）。稼働実績を持たない更新用のＦＷが実行されているということは、過去に稼働実績のあるＦＷの保全用のコピーが行われているはずである（ステップＳ５１１）。ロールバックにおいては稼働しないＦＷの保全処理は不要であり、外部フラッシュメモリ２０上の動作実績のあるＦＷを第２格納領域Ｒ２にコピーして実行すればよい。初期化用プログラムは、最新のＦＷ以外のＦＷを実行することを示すロールバック中フラグ６０４をセットし、コピー状態を管理するための次回実行ＦＷ準備完了フラグ６０３をクリアする。ステップＳ５１９～ステップＳ５２１の処理は更新の場合（ステップＳ５１６～Ｓ５１８）と大部分が同じだが、ロールバック時には格納領域保護テーブルＴ６０５のコピー元エントリの内容を、第２格納領域Ｒ２に稼働実績のフィールドとあわせてコピーすること（ステップＳ５２１）が異なる。

【0031】

本実施形態のＭＣＵ１０の内蔵不揮発性メモリ１０２と外部フラッシュメモリ２０を併用する方式では、ＨＷコストについて、ビットコストが小さい外部フラッシュメモリ２０を用いることで、ＭＣＵ１０の面積を縮小するコスト削減がチップ数増のコスト増を上回ればコスト削減効果が得られる。一方で、装置製造における作業ステップの観点からは、ＭＣＵ１０の内蔵不揮発性メモリ１０２と外部フラッシュメモリ２０の両方に書き込みが必要となる場合、コスト増の要素になる。すでに説明した初期化用プログラムの動作は、ＭＣＵ１０の内蔵不揮発性メモリ１０２のみに制御用データおよび出荷時ＦＷであるＦＷ０を書き込んでおけば、外部フラッシュメモリ２０のデータについてはあらかじめ書き込んでおく必要がなく、外部フラッシュメモリ２０を使用した場合に懸念される、装置製造の作業ステップ増を回避できる。

【0032】

装置製造において、内蔵不揮発性メモリ１０２の第２格納領域Ｒ２には初期出荷用ＦＷであるＦＷ０が書き込まれる。格納領域保護テーブルＴ６０５には、図８に示す第２格納領域Ｒ２のみＦＷ０が実績ありとされた内容がＭＣＵ１０の初期化時に書き込まれる。同様に、署名検証用公開鍵６０２もあらかじめ書き込まれる。次回実行ＦＷ準備完了フラグ６０３はセットされ、ロールバック中フラグ６０４はクリアの状態が書き込まれる。外部フラッシュメモリ２０は何も書き込まれないブランクの状態でそれぞれ装置内に組み込まれる。この状態で装置が動作すると、ステップＳ４０３までの動作が通常通り行われる。ステップＳ５０３では次回実行ＦＷ準備完了フラグ６０３がセットされており、ステップＳ５０５のチェックでは稼働実績ありと設定されているため、ステップＳ５０６に進む。外部フラッシュメモリ２０はブランクの状態であり、更新用のＦＷおよび署名は存在しないため、ステップＳ５２３を経てステップＳ４０４のステップを終了する。初期化用プログラムは、格納領域保護テーブルＴ６０５の各格納領域に対応の保護に従ったアクセス制御設定を行い（ステップＳ４０６）、アクセス制御設定を固定化し（ステップＳ４０７）、第２格納領域Ｒ２のＦＷ０を実行する。その後、ＦＷ０が動作して通信経由で更新用のＦＷが取得できた場合、次の初期化用プログラムの動作によりＦＷ０は第３格納領域Ｒ３に保全され、結果として図５に示す状態に至る。このように、外部フラッシュメモリ２０に対する書き込みを行うことなく、ＭＣＵ１０の内蔵不揮発性メモリ１０２のみに初期出荷用のＦＷ０が書き込まれた状態から、通常の運用を行うことで現用のＦＷであるＦＷ１とロールバック用のＦＷ０の両方を保持する状態が実現可能であり、これは通常のＦＷの更新機能にわずかな追加ステップを設けるだけで実現可能である。

【0033】

本実施形態では、１セット分の主機能のＦＷを格納するだけの内蔵不揮発性メモリ１０２を持つＭＣＵ１０と外部フラッシュメモリ２０の組み合わせにおいて、主機能のＦＷの動作により、更新用のＦＷが外部フラッシュメモリ２０の書き込み可能領域に取得されたとき、ＦＷの更新時に、内蔵不揮発性メモリ１０２の内容を一度外部フラッシュメモリ２０の不要な格納領域に保全のためコピーした上で、更新用のＦＷを内蔵不揮発性メモリ１０２にコピーして、ＦＷの実行時に設定変更不能なアクセス制御機能を備える。これによって、１セット分の主機能のＦＷを格納するだけの内蔵不揮発性メモリ１０２を持つＭＣＵ１０において、ロールバック用のＦＷの破壊を確実に防止できることに加えて、装置製造時の初期出荷用のＦＷの書き込みがＭＣＵ１０のみであっても、ロールバック用の更新用のＦＷを外部フラッシュメモリ２０に保全することで、機器製造時の外部フラッシュメモリ２０への書込み作業を軽減する効果が得られる。

【0034】

図９は、本実施形態にかかる情報処理装置におけるファームウェアの更新処理の流れの一例を示すフローチャートである。次に、図９を用いて、本実施形態にかかる情報処理装置におけるＦＷの更新処理の流れの一例について説明する。

【0035】

ＭＣＵ１０の電源が投入されると、ＣＰＵ１０１は、内蔵不揮発性メモリ１０２の第１格納領域Ｒ１に記憶されるブートプログラムを実行して、内蔵不揮発性メモリ１０２の第２格納領域Ｒ２および外部フラッシュメモリ２０の第３格納領域Ｒ３への書き込みを禁止するライトプロテクトを設定する（ステップＳ２０１）。さらに、ブートプログラムは、内蔵不揮発性メモリ１０２の第１格納領域Ｒ１に記憶される初期化用プログラムを起動させる（ステップＳ２０１）。

【0036】

次に、初期化用プログラムによる初期化動作後、ＦＷＩの動作により、更新用のＦＷＩ＋１を取得し、外部フラッシュメモリ２０の第４格納領域Ｒ４に保存し、ＭＣＵ１０を再起動させる（ステップＳ２０２）。

【0037】

ＭＣＵ１０が再起動されると、ＣＰＵ１０１は、内蔵不揮発性メモリ１０２の第１格納領域Ｒ１に記憶される初期化用プログラムを実行する。初期化用プログラムは、初期化動作により、外部フラッシュメモリ２０の第４格納領域Ｒ４に記憶される更新用のＦＷＩ＋１の署名検証を実行する（ステップＳ２０３）。更新用のＦＷＩ＋１が正当であることが確認されると、初期化用プログラムは、第２格納領域Ｒ２に記憶される現用のＦＷＩを、外部フラッシュメモリ２０の第３格納領域Ｒ３に保存し、その後、内蔵不揮発性メモリ１０２の第２格納領域Ｒ２に対して、更新用のＦＷＩ＋１を書き込む（ステップＳ２０３）。

【0038】

さらに、初期化用プログラムは、第２格納領域Ｒ２および第３格納領域Ｒ３に対してＦＷの書き込みを禁止するアクセス制御設定を設定し、かつ第４格納領域Ｒ４に対して更新用のＦＷＩ＋２の書き込みを許可するアクセス制御設定を設定する（ステップＳ２０４）。また、セキュリティモード管理モジュール１０３により、第２格納領域Ｒ２、第３格納領域Ｒ３、および第４格納領域Ｒ４に対するアクセス制御設定を固定化（有効化）する。その後、ＣＰＵ１０１は、内蔵不揮発性メモリ１０２の第２格納領域Ｒ２に記憶されるＦＷＩ＋１を実行する（ステップＳ２０４）。

【0039】

図１０は、本実施形態にかかる情報処理装置におけるファームウェアのロールバック処理の流れの一例を示すフローチャートである。図１０を用いて、一例について説明する。

【0040】

ＭＣＵ１０の電源が投入されると、ＣＰＵ１０１は、内蔵不揮発性メモリ１０２の第１格納領域Ｒ１に記憶されるブートプログラムを実行する（ステップＳ３０１）。ブートプログラムは、内蔵不揮発性メモリ１０２の第２格納領域Ｒ２に記憶されるＦＷＩ＋１の動作を確認し、当該ＦＷＩ＋１が動作不良である場合、外部フラッシュメモリ２０の第３格納領域Ｒ３に記憶される古いバージョンのＦＷＩの動作を確認し、当該ＦＷ：Ｉを、第２格納領域Ｒ２に記憶されるＦＷＩ＋１に上書きする（ステップＳ３０１）。

【0041】

次に、ＣＰＵ１０１は、第２格納領域Ｒ２に記憶されるＦＷＩを実行して、当該ＦＷＩの動作により、更新用のＦＷＩ＋２を取得し、当該取得した更新用のＦＷＩ＋２を、第３格納領域Ｒ３および第４格納領域Ｒ４のうち現用のＦＷＩの第３格納領域Ｒ３に書き込み、ＭＣＵ１０を再起動させる（ステップＳ３０２）。

【0042】

ＭＣＵ１０が再起動されると、ＣＰＵ１０１は、内蔵不揮発性メモリ１０２の第１格納領域Ｒ１に記憶される初期化用プログラムを実行して、外部フラッシュ上ＦＷ検証プログラムによって、外部フラッシュメモリ２０の第３格納領域Ｒ３に記憶される更新用のＦＷＩ＋２の署名検証を実行する（ステップＳ３０３）。更新用のＦＷＩ＋２が正当であることが確認されると、初期化用プログラムは、第２格納領域Ｒ２に記憶される現用のＦＷＩを、外部フラッシュメモリ２０の第４格納領域Ｒ４に保存し、その後、内蔵不揮発性メモリ１０２の第２格納領域Ｒ２に対して、第３格納領域Ｒ３に記憶される更新用のＦＷＩ＋２を書き込む（ステップＳ３０３）。

【0043】

さらに、初期化用プログラムは、第２格納領域Ｒ２および第４格納領域Ｒ４に対するＦＷの書き込みを禁止するアクセス制御設定を設定し、かつ第３格納領域Ｒ３に対する更新用のＦＷの書き込みを許可するアクセス制御設定を設定する（ステップＳ３０３）。また、セキュリティモード管理モジュール１０３は、第２格納領域Ｒ２、第３格納領域Ｒ３、および第４格納領域Ｒ４に対するアクセス制御設定を固定化する。その後、ＣＰＵ１０１は、内蔵不揮発性メモリ１０２の第２格納領域Ｒ２に記憶されるＦＷＩ＋２を実行する（ステップＳ３０４）。

【0044】

このように、本実施形態にかかる情報処理装置１によれば、第２格納領域Ｒ２に記憶される現用のＦＷのロールバック用のＦＷが外部フラッシュメモリ２０に残るので、第４格納領域Ｒ４に書き込まれる更新用のＦＷの動作不良が確認された場合におけるロールバック用のＦＷのバリエーションを増やすことができる。また、大容量の内蔵不揮発性メモリ１０２が必要なくなり、外部フラッシュメモリ２０に複数のＦＷのセットをバックアップ用として保持する必要がなくなり、情報処理装置１をスマートメータ等の用途にも採用可能となる。

【0045】

本実施形態は、１セット分の主機能のＦＷを格納するだけの内蔵不揮発性メモリ１０２を持つＭＣＵ１０と外部フラッシュメモリ２０の組み合わせにおいて、主機能のＦＷの動作により、更新用のＦＷが外部フラッシュメモリ２０の書き込み可能領域に取得されたとき、ＦＷの更新時に、内蔵不揮発性メモリ１０２の内容をいったん外部フラッシュメモリ２０の不要な格納領域に保全のためコピーしたうえで、更新用のＦＷを内蔵不揮発性メモリ１０２にコピーして、ＦＷの実行時に設定変更不能なアクセス制御機能を備える。これによって、１セット分の主機能のＦＷを格納するだけの内蔵不揮発性メモリ１０２を持つＭＣＵ１０において、ロールバック用のＦＷの破壊を確実に防止できることに加えて、装置製造時の初期のＦＷの書き込みがＭＣＵ１０のみであっても、ロールバック用の更新用のＦＷを外部フラッシュメモリ２０に保全することで、機器製造時の外部フラッシュメモリ２０への書込み作業を軽減する効果が得られる。

【0046】

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

【符号の説明】

【0047】

１ 情報処理装置
１０ ＭＣＵ
２０ 外部フラッシュメモリ
２１ 制御レジスタ
２２ シリアルバス
２３ バス
１０１ ＣＰＵ
１０２ 内蔵不揮発性メモリ
１０３ セキュリティモード管理モジュール
１０４ 外部シリアルフラッシュＩ／Ｆ
１０５ アクセス制御部
１０６ ＳＲＡＭ
１０７ 暗号エンジン
１０８ ＡＤＣ
１０９ Ｉ２Ｃ／ＵＡＲＴ
１１０ 通信Ｉ／Ｆ
２０１ センサ
Ｒ１ 第１格納領域
Ｒ２ 第２格納領域
Ｒ３ 第３格納領域
Ｒ４ 第４格納領域

【図1】

【図2】

【図3A】

【図3B】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】