特許 7583687 半導体装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-11-06

(45)【発行日】2024-11-14

(54)【発明の名称】半導体装置

(51)【国際特許分類】

   H04L 9/14 20060101AFI20241107BHJP

   G06F 21/60 20130101ALI20241107BHJP

   G06F 21/62 20130101ALI20241107BHJP

   G09C 1/00 20060101ALI20241107BHJP

   G06F 7/58 20060101ALI20241107BHJP

   H04L 9/10 20060101ALI20241107BHJP

【ＦＩ】

H04L9/14

G06F21/60 320

G06F21/62

G09C1/00 650B

G06F7/58 620

H04L9/10 A

【請求項の数】 8

(21)【出願番号】P 2021130994

(22)【出願日】2021-08-10

(65)【公開番号】P2023025621

(43)【公開日】2023-02-22

【審査請求日】2023-12-21

(73)【特許権者】

【識別番号】302062931

【氏名又は名称】ルネサスエレクトロニクス株式会社

(74)【代理人】

【識別番号】110000350

【氏名又は名称】ポレール弁理士法人

(72)【発明者】

【氏名】森 祐紀

【審査官】青木 重徳

(56)【参考文献】

【文献】特開２００８－３０６６３３（ＪＰ，Ａ）

【文献】特開２００３－３３３０２３（ＪＰ，Ａ）

【文献】米国特許第０７６３１１９５（ＵＳ，Ｂ１）

【文献】米国特許出願公開第２０１６／００９２３７６（ＵＳ，Ａ１）

【文献】米国特許出願公開第２０１９／０２１４１０２（ＵＳ，Ａ１）

【文献】国際公開第２０１２／０２５９８８（ＷＯ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ ９／１４

Ｇ０６Ｆ ２１／６０

Ｇ０６Ｆ ２１／６２

Ｇ０９Ｃ １／００

Ｇ０６Ｆ ７／５８

Ｈ０４Ｌ ９／１０

(57)【特許請求の範囲】

【請求項1】

第一制御ユニットと、
第二制御ユニットと、
前記第二制御ユニットからはアクセス可能で前記第一制御ユニットからはアクセスできない乱数生成器と、
前記第二制御ユニットからはアクセス可能で前記第一制御ユニットからはアクセスできない、前記乱数生成器により生成される乱数が格納される第一メモリと、
前記第一メモリに格納される乱数を利用して暗号化および復号の処理を行う暗号化エンジンと、
前記第二制御ユニットからはアクセス可能で前記第一制御ユニットからはアクセスできない、乱数生成に関する情報が格納される第二メモリと、
を備え、
前記第二制御ユニットは、前記乱数生成に関する情報に基づいて前記乱数生成器により乱数を生成するよう構成される半導体装置。

【請求項2】

請求項１の半導体装置において、
前記第二制御ユニットは、前記第一制御ユニットから前記乱数生成に関する情報の前記第二メモリに設定要求がある場合、認証が成功したとき、前記乱数生成に関する情報を前記第二メモリに設定するよう構成される半導体装置。

【請求項3】

請求項１の半導体装置において、
前記第二制御ユニットは、前記第一メモリに格納されている利用可能な乱数量に基づいて前記乱数生成器に乱数の生成を要求するよう構成される半導体装置。

【請求項4】

請求項３の半導体装置において、
前記乱数生成に関する情報は、前記乱数生成器の乱数生成を開始する残り乱数量であり、
前記第二制御ユニットは、前記第一メモリに格納されている利用可能な乱数量と前記乱数生成に関する情報とに基づいて前記乱数生成器に乱数の生成を要求するよう構成される半導体装置。

【請求項5】

請求項３の半導体装置において、
前記第二制御ユニットは、前記乱数生成に関する情報に基づいて、前記第一制御ユニットからの要求により前記乱数生成器に乱数の生成を要求するか、前記第一メモリに格納されている利用可能な乱数量に基づいて前記乱数生成器に乱数の生成を要求するか、を選択するよう構成される半導体装置。

【請求項6】

請求項３の半導体装置において、
前記第二制御ユニットは、前記乱数生成に関する情報に基づいて、前記乱数生成器に乱数の生成をトリガする頻度および前記乱数生成器の動作時間を設定するよう構成される半導体装置。

【請求項7】

請求項６の半導体装置において、
前記乱数生成に関する情報は、前記第一メモリに乱数保持用に確保する領域の大きさおよび前記乱数生成器の乱数生成を開始する残り乱数量である半導体装置。

【請求項8】

請求項２の半導体装置において、
前記第一制御ユニットは第一中央処理装置と前記第一中央処理装置が実行するプログラムが格納される第三メモリとにより構成され、
前記第二制御ユニットは第二中央処理装置と前記第二中央処理装置が実行するプログラムが格納される前記第二メモリとにより構成される半導体装置。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は半導体装置に関し、例えばセキュリティ機能を内蔵する半導体装置に適用可能である。

【背景技術】

【0002】

近年、半導体装置の一例であるＥＣＵ（Electronic Control Unit）の分野では、ＥＣＵ間の通信において、悪意ある第三者による脅威を防ぐためのセキュリティ要件の重要性が増している。

【0003】

例えば、特開２０１８－１０６６２８号公報には自動車用ＥＣＵ向けセキュアＩＰ（Intellectual Property）搭載マイコンとして構成される半導体装置が開示されている。当該半導体装置はＣＰＵ（Central Processing Unit）およびセキュアＩＰを有する。セキュアＩＰはＣＰＵからの処理要求に対して自身が管理するハードウエア資源を用いてセキュリティ機能をＣＰＵに提供する。ハードウエア資源は、暗号化エンジンおよび乱数生成器などである。

【先行技術文献】

【特許文献】

【0004】

【文献】特開２０１８－１０６６２８号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

一般的に、乱数生成器が生成した所定量の乱数はセキュアＩＰが乱数を利用する度に消費されていき、生成された乱数が枯渇した場合に乱数の再生成を行う必要がある。ＣＰＵより暗号処理の要求を受けた後にセキュアＩＰが乱数生成器に乱数生成を要求していては、乱数を利用する暗号処理の完了に時間がかかる。

【0006】

その他の課題と新規な特徴は、本明細書の記述および添付図面から明らかになるであろう。

【0007】

本開示のうち代表的なものの概要を簡単に説明すれば下記の通りである。すなわち、半導体装置は、第一制御ユニットと、第二制御ユニットと、乱数生成器と、乱数生成器により生成される乱数が格納される第一メモリと、第一メモリに格納される乱数を利用して暗号化および復号の処理を行う暗号化エンジンと、乱数生成に関する情報が格納される第二メモリと、を備える。第二制御ユニットは、乱数生成に関する情報に基づいて乱数生成器により乱数を生成するよう構成される。

【図面の簡単な説明】

【0008】

【図1】図１は実施形態における二つの半導体装置の間の通信の概念を示すブロック図である。

【図2】図２は実施形態における半導体装置の構成を示すブロック図である。

【図3】図３は図１に示すセキュアＩＰの構成を示すブロック図である。

【図4】図４は図２に示すセキュアＩＰのセキュアＣＰＵの処理を示す機能ブロック図である。

【図5】図５は乱数生成に関する情報のデータフラッシュへの保存の流れを示すシーケンス図である。

【図6】図６は第一実施例における半導体装置の処理の流れを示すシーケンス図である。

【図7】図７は比較例における半導体装置の処理の流れを示すシーケンス図である。

【図8】図８は第二実施例における半導体装置の処理の流れを示すシーケンス図である。

【図9】図９は第三実施例における半導体装置の処理の流れを示すシーケンス図である。

【図10】図１０は第三実施例における乱数保持領域の乱数量の推移例を示すイメージ図である。

【図11】図１１はＣＰＵの想定動作の第一ケースにおける乱数量の推移例を示すイメージ図である。

【図12】図１２はＣＰＵの想定動作の第二ケースにおける乱数量の推移例を示すイメージ図である。

【図13】図１３はＣＰＵの想定動作の第三ケースにおける乱数量の推移例を示すイメージ図である。

【発明を実施するための形態】

【0009】

以下、実施形態、実施例および変形例について、図面を用いて説明する。ただし、以下の説明において、同一構成要素には同一符号を付し繰り返しの説明を省略することがある。

【0010】

本実施形態における二つの半導体装置の間の通信について図１を用いて説明する。

【0011】

半導体装置１１および半導体装置１２は、信号線１３により接続され、相互にデータの通信が可能である。そして、半導体装置１１および半導体装置１２は、双方で予め保持する共通鍵を用いて通信対象のデータの暗号化および復号化を所定の暗号処理アルゴリズムを用いて行うことができるものとする。また、半導体装置１１および半導体装置１２は、同等の機能を有し、送信側と受信側を相互に入れ替わることが可能であるものとする。

【0012】

半導体装置１１および半導体装置１２は、具体的には、自動車用ＥＣＵ向けセキュアＩＰ（Intellectual Property）搭載のマイクロコントローラとして構成され得る。半導体装置１１および半導体装置１２は、それぞれ同一または異なる自動車に搭載されたものであってもよい。また、半導体装置１１および半導体装置１２は、半導体チップと呼ばれる場合もある。

【0013】

例えば、半導体装置１１は共通鍵を使って、送付したい平文と乱数をつなげたものを暗号化して暗号文を作成する。その後、暗号文を半導体装置１２に送付する。半導体装置１２は共通鍵を使って受け取った暗号文を復号し平文と乱数を取得する。平文の位置は共通鍵と同じタイミングで共有しておけば、半導体装置１２は復号結果から半導体装置１１が送付したい平文のみを抽出できる。

【0014】

実施形態における半導体装置１１について図２を用いて説明する。

【0015】

半導体装置１１は、ＣＰＵ１００、セキュアＩＰ２００、データフラッシュ３００、ユーザＲＡＭ４００および通信インタフェース（Ｉ／Ｆ）５００を備える。半導体装置１１において、これら要素はバス６００を介して相互に接続されている。半導体装置１２は半導体装置１１と同様な構成である。

【0016】

ＣＰＵ１００は、ユーザプログラム（ユーザアプリケーション）に従った各種処理を実施する。セキュアＩＰ２００は、乱数を利用する暗号処理等のセキュリティ処理を実施する。ＣＰＵ１００は、例えばセキュアＩＰ２００にセキュリティ処理の実施を依頼（指示）する。そして、セキュアＩＰ２００は、ＣＰＵ１００から指示を受けると、指示されたセキュリティ処理を実施する。

【0017】

セキュアＩＰ２００は、揮発性メモリであるＳＲＡＭ（Static Random Access Memory）で構成されるセキュアＲＡＭ２２０を有する。第一メモリとしてのセキュアＲＡＭ２２０は、セキュアＩＰ２００からはアクセスが可能であるが、ＣＰＵ１００からは直接にアクセスができないメモリである。セキュアＩＰ２００は、後述する乱数生成器が生成する乱数をセキュアＲＡＭ２２０に格納する。なお、セキュアＲＡＭ２２０は、セキュアＩＰ２００からのみアクセス可能であればよく、必ずしもセキュアＩＰ２００に内蔵されている必要はない。

【0018】

データフラッシュ（ＤＡＴＡ ＦＬＡＳＨ）３００は不揮発性メモリであるフラッシュメモリで構成され、論理的に分割されたセキュア領域３１０とユーザ領域３２０とを有する。第二メモリとしてのデータフラッシュ３００のセキュア領域３１０は、セキュアＩＰ２００からはアクセス可能であるが、ＣＰＵ１００からは直接にアクセスができない領域である。なお、セキュア領域３１０はセキュアＩＰ２００に内蔵されてもよい。ユーザ領域３２０は、ＣＰＵ１００およびセキュアＩＰ２００の双方からアクセスが可能である。セキュア領域３１０には、セキュアＩＰ２００において使用される乱数生成に関する情報などが記憶される。ユーザ領域３２０には、例えばＣＰＵ１００において実行されるユーザプログラムおよびユーザプログラムで利用するデータなどが格納される。ＣＰＵ１００およびデータフラッシュ３００のユーザ領域３２０により第一制御ユニットが構成される。

【0019】

ユーザＲＡＭ４００は揮発性メモリであり、ＣＰＵ１００は、例えば各種処理の実施時にユーザＲＡＭ４００を作業領域として使用する。また、ユーザＲＡＭ４００はＣＰＵ１００とセキュアＩＰ２００との共有メモリである。例えば、ＣＰＵ１００はセキュアＩＰ２００に依頼するセキュリティ処理の対象データをユーザＲＡＭ４００に格納する。また、セキュアＩＰ２００はセキュリティ処理したデータをユーザＲＡＭ４００に格納する。

【0020】

通信Ｉ／Ｆ５００は、半導体装置１１の外部、例えば、信号線１３を介した半導体装置１２との通信を行うインタフェースである。

【0021】

実施形態におけるセキュアＩＰ２００の構成について図３を用いて説明する。

【0022】

セキュアＩＰ２００は、例えば、セキュアＣＰＵ２１０、セキュアＲＡＭ２２０、暗号化エンジン２３０、乱数生成器２４０、ＣＰＵインタフェース（ＣＰＵ Ｉ／Ｆ）２５０およびフラッシュインタフェース（ＦＬＡＳＨ Ｉ／Ｆ）２６０を有する。ＣＰＵインタフェース２５０は、セキュアＩＰ２００とＣＰＵ１００（図２を参照）とを接続するインタフェースである。ＣＰＵインタフェース２５０は、例えば、ＣＰＵ１００への割り込み要求を送る機能およびＣＰＵ１００からの割り込み要求を受ける機能を有する。また、フラッシュインタフェース２６０は、セキュアＩＰ２００とデータフラッシュ３００とを接続するインタフェースである。

【0023】

セキュアＣＰＵ２１０は、各種セキュリティ処理の実施を制御する。暗号化エンジン２３０は、暗号化に関する処理を実施する。乱数生成器２４０は、乱数を生成する。セキュアＣＰＵ２１０は、暗号化エンジン２３０および乱数生成器２４０などを用いて、暗号処理、復号処理および乱数生成など含む各種セキュリティ処理を実施する。セキュアＣＰＵ２１０は、例えばデータフラッシュ３００のセキュア領域３１０からプログラムを読み出して実行することで、セキュリティ処理を実施する。

【0024】

セキュアＣＰＵ２１０は、ＣＰＵインタフェース２５０を通じて、ＣＰＵ１００と通信する。ＣＰＵ１００は、乱数生成に関する情報のデータフラッシュ３００のセキュア領域３１０への格納をセキュアＣＰＵ２１０に指示（依頼）する。セキュアＣＰＵ２１０は、ＣＰＵ１００から乱数生成に関する情報の格納が指示されると、フラッシュインタフェース２６０を通じてデータフラッシュ３００にアクセスし、指定された乱数生成に関する情報をセキュア領域３１０に格納（保存）する。

【0025】

また、ＣＰＵ１００は、セキュリティ処理の実施をセキュアＣＰＵ２１０に指示する。セキュアＣＰＵ２１０は、ＣＰＵ１００からセキュリティ処理の実施が指示されると、指示されたセキュリティ処理を実施する。その際、セキュアＣＰＵ２１０は、データフラッシュ３００のセキュア領域３１０に格納された乱数生成に関する情報を使用して乱数生成を実施する。乱数生成に関する情報のデータフラッシュ３００のセキュア領域３１０への格納の指示は、例えばセキュアＣＰＵ２１０が乱数生成に関する情報を使用した乱数生成を実施する前に行われる。

【0026】

セキュアＩＰ２００の機能を実行する制御ユニットについて図４を用いて説明する。

【0027】

制御ユニット２１１は、送受信部（Ｓ／Ｒ＿Ｕ）２１２、暗号処理部（ＥＮＣ＿Ｕ）２１３、乱数管理部（ＲＮＭ＿Ｕ）２１４、乱数生成制御部（ＲＧＣ＿Ｕ）２１５、乱数生成設定管理部（ＲＳＭ＿Ｕ）２１６およびデータフラッシュ制御部（ＤＦＣ＿Ｕ）２１７を有する。ここで、第二制御ユニットとしての制御ユニット２１１はセキュアＣＰＵ２１０およびセキュアＣＰＵ２１０が実行するプログラムが格納されるセキュア領域３１０を含む構成である。送受信部（Ｓ／Ｒ＿Ｕ）２１２はＣＰＵ１００との通信を行う。暗号処理部（ＥＮＣ＿Ｕ）２１３は乱数を利用する暗号処理（以下、単に、暗号処理という。）を行う。乱数管理部（ＲＮＭ＿Ｕ）２１４は乱数の生成を管理する。乱数生成制御部（ＲＧＣ＿Ｕ）２１５は乱数生成器２４０を制御する。乱数生成設定管理部（ＲＳＭ＿Ｕ）２１６は乱数生成に関する情報の設定を管理する。データフラッシュ制御部（ＤＦＣ＿Ｕ）２１７はデータフラッシュ３００のセキュア領域３１０へのアクセスを制御する。

【0028】

乱数生成に関する情報のデータフラッシュへの保存について図５を用いて説明する。

【0029】

ＣＰＵ１００はセキュアＣＰＵ２１０に乱数生成に関する情報（ＲＧＤ）のデータフラッシュ３００への保存を要求する（ステップＳ１２１）。送受信部（Ｓ／Ｒ＿Ｕ）２１２はＣＰＵ１００からの要求を受けて乱数生成設定管理部（ＲＳＭ＿Ｕ）２１６に乱数生成に関する情報の保存を要求する（ステップＳ１２２）。

【0030】

乱数生成設定管理部（ＲＳＭ＿Ｕ）２１６は要求を受け取り、認証を実施する（ステップＳ１２３）。認証は例えば共通鍵を用いて行われる。認証には必要に応じて暗号化エンジン２３０および乱数生成器２４０を利用してもよい。

【0031】

認証に失敗した場合は、乱数生成設定管理部（ＲＳＭ＿Ｕ）２１６はその時点で処理を終了し、送受信部（Ｓ／Ｒ＿Ｕ）２１２に認証が失敗したことを通知する（ステップＳ１２４）。送受信部（Ｓ／Ｒ＿Ｕ）２１２は乱数生成設定管理部（ＲＳＭ＿Ｕ）２１６からの通知を受けて、ＣＰＵ１００に認証が失敗したことを通知する（ステップＳ１２５）。

【0032】

認証に成功した場合は、乱数生成設定管理部（ＲＳＭ＿Ｕ）２１６はデータフラッシュ制御部（ＤＦＣ＿Ｕ）２１７に乱数生成に関する情報（ＲＧＤ）をデータフラッシュ３００のセキュア領域３１０へ保存することを要求する（ステップＳ１２６）。データフラッシュ制御部（ＤＦＣ＿Ｕ）２１７はデータフラッシュ３００のセキュア領域３１０に乱数生成に関する情報（ＲＧＤ）を保存する（ステップＳ１２７）。

【0033】

乱数生成に関する情報（ＲＧＤ）の保存が完了すると、データフラッシュ制御部（ＤＦＣ＿Ｕ）２１７は乱数生成設定管理部（ＲＳＭ＿Ｕ）２１６に保存の完了を通知する（ステップＳ１２８）。乱数生成設定管理部（ＲＳＭ＿Ｕ）２１６はデータフラッシュ制御部（ＤＦＣ＿Ｕ）２１７からの通知を受けて、送受信部（Ｓ／Ｒ＿Ｕ）２１２に保存の完了を通知する（ステップＳ１２９）。送受信部（Ｓ／Ｒ＿Ｕ）２１２は乱数生成設定管理部（ＲＳＭ＿Ｕ）２１６からの通知を受けて、ＣＰＵ１００に保存の完了を通知する（ステップＳ１３０）。

【0034】

実施形態における乱数生成に関する情報（ＲＧＤ）の例について第一実施例、第二実施例および第三実施例を用いて以下説明する。

【実施例1】

【0035】

第一実施例における半導体装置１１の処理について図６を用いて説明する。

【0036】

ＣＰＵ１００はセキュアＣＰＵ２１０に向けて暗号処理を要求する（ステップＳ１０１）。送受信部（Ｓ／Ｒ＿Ｕ）２１２はＣＰＵ１００からの要求を受けて暗号処理部（ＥＮＣ＿Ｕ）２１３に処理を要求する（ステップＳ１０２）。

【0037】

暗号処理部（ＥＮＣ＿Ｕ）２１３は乱数管理部（ＲＮＭ＿Ｕ）２１４に乱数を要求する（ステップＳ１０３）。乱数管理部（ＲＮＭ＿Ｕ）２１４はセキュアＲＡＭ２２０から乱数を取得する（ステップＳ１０４）。乱数管理部（ＲＮＭ＿Ｕ）２１４は暗号処理部（ＥＮＣ＿Ｕ）２１３に乱数を返却する（ステップＳ１０５）。ここでは説明を簡単にするため、乱数生成は乱数生成器２４０において完了しセキュアＲＡＭ２２０に保存されているとする。

【0038】

暗号処理部（ＥＮＣ＿Ｕ）２１３は取得した乱数をもとに暗号処理を行う（ステップＳ１０６）。暗号処理部（ＥＮＣ＿Ｕ）２１３は必要に応じて暗号化エンジン２３０を操作する。

【0039】

暗号処理部（ＥＮＣ＿Ｕ）２１３は暗号処理が完了すると送受信部（Ｓ／Ｒ＿Ｕ）２１２に処理の完了を通知する（ステップＳ１０７）。送受信部（Ｓ／Ｒ＿Ｕ）２１２は暗号処理部（ＥＮＣ＿Ｕ）２１３からの通知を受けてＣＰＵ１００に処理の完了を通知する（ステップＳ１０８）。

【0040】

暗号処理部（ＥＮＣ＿Ｕ）２１３は暗号処理が完了すると乱数管理部（ＲＮＭ＿Ｕ）２１４に暗号処理の完了を通知する（ステップＳ１０９）。乱数管理部（ＲＮＭ＿Ｕ）２１４は暗号処理部（ＥＮＣ＿Ｕ）２１３がセキュアＲＡＭ２２０に格納されている乱数を使用すると、その乱数をセキュアＲＡＭ２２０から削除する。

【0041】

乱数管理部（ＲＮＭ＿Ｕ）２１４は乱数生成設定管理部（ＲＳＭ＿Ｕ）２１６に乱数生成に関する情報（ＲＧＤ）を要求する（ステップＳ１１０）。乱数生成設定管理部（ＲＳＭ＿Ｕ）２１６は乱数管理部（ＲＮＭ＿Ｕ）２１４からの要求を受けてデータフラッシュ制御部（ＤＦＣ＿Ｕ）２１７に乱数生成に関する情報（ＲＧＤ）を要求する（ステップＳ１１１）。データフラッシュ制御部（ＤＦＣ＿Ｕ）２１７は乱数生成設定管理部（ＲＳＭ＿Ｕ）２１６からの要求を受けてデータフラッシュ３００のセキュア領域３１０から乱数生成に関する情報（ＲＧＤ）を読み出す（ステップＳ１１２）。データフラッシュ制御部（ＤＦＣ＿Ｕ）２１７は乱数生成設定管理部（ＲＳＭ＿Ｕ）２１６に乱数生成に関する情報（ＲＧＤ）を渡す（ステップ１１３）。乱数生成設定管理部（ＲＳＭ＿Ｕ）２１６は乱数管理部（ＲＮＭ＿Ｕ）２１４に乱数生成に関する情報（ＲＧＤ）を返却する（ステップＳ１１４）。ここで、本実施例における乱数生成に関する情報（ＲＧＤ）は乱数生成を開始する残り乱数量（ＲＮＤth）である。

【0042】

乱数管理部（ＲＮＭ＿Ｕ）２１４は乱数生成が必要かどうかを判断する（ステップＳ１１５）。暗号処理部（ＥＮＣ＿Ｕ）２１３が乱数を使用する暗号処理を行うことにより、セキュアＲＡＭ２２０に格納している乱数は消費されて乱数量は減少する。乱数管理部（ＲＮＭ＿Ｕ）２１４はセキュアＲＡＭ２２０に格納されている乱数量（残りの乱数量）とＲＮＤthとを比較することにより乱数生成が必要かどうかを判断する。残りの乱数量がＲＮＤth以下であり、乱数生成が必要と判断した場合、乱数管理部（ＲＮＭ＿Ｕ）２１４は乱数生成制御部（ＲＧＣ＿Ｕ）２１５に乱数生成を要求する（ステップＳ１１６）。乱数生成制御部（ＲＧＣ＿Ｕ）２１５は、乱数生成器２４０により乱数を生成する（ステップＳ１１７）。乱数生成制御部（ＲＧＣ＿Ｕ）２１５は、乱数生成器２４０が生成した乱数を乱数管理部（ＲＮＭ＿Ｕ）２１４に渡す（ステップＳ１１８）。乱数管理部（ＲＮＭ＿Ｕ）２１４は取得した乱数をセキュアＲＡＭ２２０に保存する（ステップＳ１１９）。

【0043】

本実施例による利点を図６および図７を用いて説明する。

【0044】

まず、本実施例を明確にするため比較例について説明する。図７に示すように、比較例では、ＣＰＵ１００から暗号処理の要求を受け付けた後、セキュアＣＰＵ２１０が乱数生成を要求する。

【0045】

すなわち、ＣＰＵ１００はセキュアＣＰＵ２１０に向けて暗号処理を要求する（ステップＳ１０１）。送受信部（Ｓ／Ｒ＿Ｕ）２１２はＣＰＵ１００からの要求を受けて暗号処理部（ＥＮＣ＿Ｕ）２１３に処理を要求する（ステップＳ１０２）。暗号処理部（ＥＮＣ＿Ｕ）２１３は送受信部（Ｓ／Ｒ＿Ｕ）２１２からの要求を受けて乱数管理部（ＲＮＭ＿Ｕ）２１４に乱数生成を要求する（ステップＳ１０３）。乱数管理部（ＲＮＭ＿Ｕ）２１４は暗号処理部（ＥＮＣ＿Ｕ）２１３からの要求を受けて乱数生成制御部（ＲＧＣ＿Ｕ）２１５に乱数生成を要求する（ステップＳ１１６）。

【0046】

乱数生成制御部（ＲＧＣ＿Ｕ）２１５は、乱数生成器２４０により乱数を生成する（ステップＳ１１７）。乱数生成制御部（ＲＧＣ＿Ｕ）２１５は、乱数生成器２４０が生成した乱数を乱数管理部（ＲＮＭ＿Ｕ）２１４に渡す（ステップＳ１１８）。乱数管理部（ＲＮＭ＿Ｕ）２１４は暗号処理部（ＥＮＣ＿Ｕ）２１３に乱数を返却する（ステップＳ１０５）。

【0047】

これに対して、本実施例は、上述したように、暗号処理後、セキュアＣＰＵ２１０が乱数生成を行うかどうかを判断し、必用に応じて乱数生成を開始する。すなわち、図６に示すように、ステップＳ１０６の後、乱数管理部（ＲＮＭ＿Ｕ）２１４は乱数生成が必要かどうかを判断し（ステップＳ１１５）、必要な場合は乱数生成制御部（ＲＧＣ＿Ｕ）２１５に乱数生成を要求する（ステップＳ１１６）。

【0048】

セキュアＣＰＵ２１０がＣＰＵ１００から乱数生成の要求を待たずして、乱数生成器２４０に乱数生成を要求することで、ＣＰＵ１００からみると、事前に乱数生成が開始される。よって、ＣＰＵ１００が要求する暗号処理の完了までの時間（ステップＳ１０１の開始からステップＳ１０８の終了までの時間）を短縮できる。図６に示す、ステップＳ１０１の開始からステップＳ１０８の終了までの時間をｔＡとし、図７に示す、ステップＳ１０１の開始からステップＳ１０７の終了までの時間をｔＢとすると、ｔＡ＜ｔＢとなる。

【実施例2】

【0049】

続いて、第二実施例について説明する。本実施例では、セキュアＩＰ２００は乱数生成の開始を要求するのがセキュアＣＰＵ２１０であるかＣＰＵ１００であるかを示すトリガデータ（ＴＲＧ）をデータフラッシュ３００のセキュア領域３１０に格納する。

【0050】

本実施例における半導体装置の処理について図８を用いて説明する。

【0051】

本実施例におけるセキュアＩＰ２００では、乱数生成器２４０へ乱数生成の要求をセキュアＣＰＵ２１０が判断して要求するか、ＣＰＵ１００からの要求を待って行うのか、を選択し得る。すなわち、セキュアＩＰ２００は第一実施例の動作と比較例の動作とを選択できるように構成される。乱数生成の開始を要求するのがセキュアＣＰＵ２１０であるかＣＰＵ１００であるかを示すトリガデータ（ＴＲＧ）はデータフラッシュ３００のセキュア領域３１０に保存される。セキュアＣＰＵ２１０はトリガデータ（ＴＲＧ）をデータフラッシュ３００のセキュア領域３１０から読み込み、トリガデータ（ＴＲＧ）に応じて乱数生成を開始する。ここで、トリガデータ（ＴＲＧ）は乱数生成に関する情報（ＲＧＤ）である。トリガデータ（ＴＲＧ）は図５に示されるシーケンスによりデータフラッシュ３００のセキュア領域３１０に保存される。

【0052】

本実施例における半導体装置の処理について第一実施例との相違点を中心に以下に説明する。本実施例におけるステップＳ１０１，Ｓ１０２は第一実施例におけるステップＳ１０１，Ｓ１０２と同様である。

【0053】

本実施例では、暗号処理の開始時、暗号処理部（ＥＮＣ＿Ｕ）２１３が乱数生成設定管理部（ＲＳＭ＿Ｕ）２１６およびデータフラッシュ制御部（ＤＦＣ＿Ｕ）２１７を介してデータフラッシュ３００のセキュア領域３１０からトリガデータ（ＴＲＧ）を読み込む。これにより、トリガデータ（ＴＲＧ）の設定が行われる。

【0054】

すなわち、暗号処理部（ＥＮＣ＿Ｕ）２１３は乱数生成設定管理部（ＲＳＭ＿Ｕ）２１６にトリガデータ（ＴＲＧ）を要求する（ステップＳ１３１）。乱数生成設定管理部（ＲＳＭ＿Ｕ）２１６は暗号処理部（ＥＮＣ＿Ｕ）２１３からの要求を受けてデータフラッシュ制御部（ＤＦＣ＿Ｕ）２１７にトリガデータ（ＴＲＧ）を要求する（ステップＳ１３２）。データフラッシュ制御部（ＤＦＣ＿Ｕ）２１７は乱数生成設定管理部（ＲＳＭ＿Ｕ）２１６からの要求を受けてデータフラッシュ３００のセキュア領域３１０からトリガデータ（ＴＲＧ）を読み出す（ステップＳ１３３）。データフラッシュ制御部（ＤＦＣ＿Ｕ）２１７は乱数生成設定管理部（ＲＳＭ＿Ｕ）２１６にトリガデータ（ＴＲＧ）を渡す（ステップＳ１３４）。乱数生成設定管理部（ＲＳＭ＿Ｕ）２１６はトリガデータ（ＴＲＧ）を受けて暗号処理部（ＥＮＣ＿Ｕ）２１３にトリガデータ（ＴＲＧ）を渡す（ステップＳ１３５）。

【0055】

トリガデータ（ＴＲＧ）が乱数生成の要求をＣＰＵ１００が行うことを示している場合（ＴＲＧ＝ＣＰＵ）、セキュアＣＰＵ２１０は、図７の一点破線Ｂに示されるシーケンスに従って処理を行う。トリガデータ（ＴＲＧ）が乱数生成の要求をセキュアＣＰＵ２１０が行うことを示している場合（ＴＲＧ＝ＳＩＰ）、セキュアＣＰＵ２１０はは図６の一点破線Ａに示されるシーケンスに従って処理を行う。

【0056】

第一実施例の比較例では、暗号処理が完了するまでに時間がかかることが課題である。一方、暗号処理内で乱数生成を開始するので、暗号処理が完了するまでの時間がＣＰＵ１００からみると一定である。このように、機能の応答性能が一定である場合、機能を使うアプリケーションの設計が容易になり得る。

【0057】

第一実施例では、乱数生成をセキュアＣＰＵ２１０が判断して要求することで、ＣＰＵ１００からみた暗号処理の完了時間が乱数生成器２４０の乱数生成の進み度合いによって変化してしまう。すなわち、乱数生成器２４０が乱数を生成中にＣＰＵ１００から暗号処理の要求がある場合、生成された乱数が暗号処理に必要な乱数に満たないときは、乱数生成器が乱数を生成完了するまで、暗号処理を開始しない。このため、ＣＰＵ１００が暗号処理を要求するタイミングによって処理時間が異なる。よって、暗号処理の完了の時間がＣＰＵ１００から見ると意図せず変化することがある。一方、セキュアＣＰＵ２１０がＣＰＵ１００から乱数生成の要求を待たずして、乱数生成器２４０に乱数生成を要求することにより、ＣＰＵ１００からみると、事前に乱数生成を開始することができる。ＣＰＵ１００が要求する暗号処理の完了までの時間を短縮できる。

【0058】

暗号処理の応答時間が一定でない時に異常とみなすシステムを想定したＣＰＵ１００の場合、利用者は乱数生成の要求者（トリガ）としてＣＰＵ１００を選択する。また、暗号処理の応答時間が一定のであることにこだわらずできるだけ早い時間の応答を期待するシステムを想定したＣＰＵ１００の場合、利用者は乱数生成の要求者としてセキュアＣＰＵ２１０を選択する。すなわち、本実施例では、乱数生成器２４０への乱数生成開始のトリガをＣＰＵ１００が設定できる。これにより、暗号処理の完了時間について、上述のメリット・デメリットのどちらを許容するかを利用者が状況に応じて選択し得る。

【実施例3】

【0059】

続いて、第三実施例について説明する。本実施例では、ＣＰＵ１００がセキュアＩＰ２００のセキュアＲＡＭ２２０における乱数保持用に確保する領域の大きさと乱数生成を開始する残り乱数量を設定できるようにする。第一実施例では、乱数生成までの時間と消費量、処理要求の頻度が関係して処理時間が意図せず変化する。乱数生成を開始するかどうかの閾値（ＲＮＤth）だけでは、短い時間に乱数を利用する暗号処理が連続して要求されるケースに対応できないためである。乱数生成器２４０の動作時間は、暗号処理に比べ１０倍以上に長いことが一般的である。このため、短い時間で暗号処理が連続して要求される場合は、セキュアＲＡＭ２２０上に乱数を保持しておき、そこから消費していく必要がある。このため、ＲＮＤthだけでなくセキュアＲＡＭ２２０における乱数保持用に確保する領域の大きさも設定できるようにする必要がある。

【0060】

本実施例における半導体装置の処理について図９および図１０を用いて説明する。

【0061】

セキュアＣＰＵ２１０は、乱数生成器２４０に乱数生成をトリガする頻度と乱数生成器２４０の動作時間を設定できるようにしている。すなわち、ＣＰＵ１００は、第一実施例で固定であった、セキュアＲＡＭ２２０における乱数保持用に確保する領域の大きさ（ＲＮＤmax）と乱数生成を開始する残り乱数量（ＲＮＤth）を設定できるようにしている。ここで、ＲＮＤmaxおよびＲＮＤthは乱数生成に関する情報（ＲＧＤ）である。データフラッシュ３００のセキュア領域３１０への乱数生成に関する情報（ＲＧＤ）の保存の手順は、第一実施例の図５と同様のシーケンスである。

【0062】

本実施例における半導体装置の処理について第一実施例との相違点を中心に以下説明する。本実施例におけるステップＳ１０１～Ｓ１１９は第一実施例におけるステップＳ１０１～Ｓ１１９と同様である。ただし、データフラッシュ３００のセキュア領域３１０に保存される乱数生成に関する情報（ＲＧＤ）が異なる。

【0063】

乱数管理部（ＲＮＭ＿Ｕ）２１４は乱数生成が必要かどうかを判断する（ステップＳ１１５）。乱数管理部（ＲＮＭ＿Ｕ）２１４はセキュアＲＡＭ２２０に格納されている乱数量（残りの乱数量）がＲＮＤth以下で、乱数生成が必要と判断した場合、乱数管理部（ＲＮＭ＿Ｕ）２１４は乱数生成制御部（ＲＧＣ＿Ｕ）２１５に乱数生成を要求する（ステップＳ１１６）。乱数生成制御部（ＲＧＣ＿Ｕ）２１５は、乱数生成器２４０により乱数を生成する（ステップＳ１１７）。乱数生成制御部（ＲＧＣ＿Ｕ）２１５は、乱数生成器２４０が生成した乱数を乱数管理部（ＲＮＭ＿Ｕ）２１４に渡す（ステップＳ１１８）。乱数管理部（ＲＮＭ＿Ｕ）は取得した乱数をセキュアＲＡＭ２２０に保存する（ステップＳ１１９）。

【0064】

上述したように、ＣＰＵ１００が設定変更できる乱数生成に関する情報（ＲＧＤ）は、ＲＮＤmax、ＲＮＤthである。そして、ＣＰＵ１００はＲＮＤmaxとＲＮＤthの設定値を変化させることで、セキュアＣＰＵ２１０が乱数生成を要求するタイミングと乱数生成器２４０の動作時間を制御できるようになる。

【0065】

このとき、乱数を使用する暗号処理実行回数と乱数保持領域にある乱数量は図１０に示すようなイメージになる。図１０に示すように、状態Ａは乱数生成器２４０が乱数生成を完了した状態であり、セキュアＲＡＭ２２０の乱数保持領域にある乱数量はＲＮＤmaxである。状態Ｂは暗号処理で乱数が取得（消費）された状態であり、セキュアＲＡＭ２２０の乱数保持領域にある乱数量はＲＮＤmaxよりも少なくなっている。状態ＣはセキュアＲＡＭ２２０の乱数保持領域にある乱数量はＲＮＤth以下の状態であり、乱数管理部（ＲＮＭ＿Ｕ）２１４は乱数生成器２４０に乱数生成を要求する。

【0066】

本実施例は、乱数を使用する暗号処理の完了の時間がＣＰＵ１００から見ると意図せず変化することがあるという第一実施例の課題を第二実施例と異なる方法で解決する。本実施例では、ＣＰＵ１００が乱数生成器２４０の動作の頻度と時間を設定し、セキュアＣＰＵ２１０はその設定に基づいて乱数生成器２４０を動作させるかを判断する。言い換えると、ＣＰＵ１００はその設定によって必要な時に乱数を準備することができ、暗号処理が乱数生成器２４０によって待たされることなく処理され得る。

【0067】

本実施例は、セキュアＣＰＵ２１０が乱数生成器を操作する条件をＣＰＵ１００が設定できるようにすることによって、セキュアＣＰＵ２１０が暗号処理をＣＰＵ１００にとって最適な時間でＣＰＵ１００へ提供できるようにするものである。

【0068】

本実施例においてＣＰＵ１００の利用者の乱数生成設定の選定方法、ＣＰＵ１００の処理において想定されるＲＮＤmax、ＲＮＤthの設定選択基準について以下説明する。

【0069】

ＣＰＵ１００の処理において、想定される、その他のパラメータは下記のとおりである。
１回の暗号処理で使用する乱数量：ＲＮＤdelta
暗号処理を連続で要求する区間（ＲＱＳ）の時間：Ｔreq
暗号処理を要求しない区間（ＮＱＳ）の時間：Ｔnreq
暗号処理を連続で要求する区間において処理を要求する周期の間隔：Ｔperi
乱数生成器２４０がＲＮＤdelta分の乱数を生成する時間：Ｔrnddelta

【0070】

このとき、暗号処理を要求する区間（ＲＱＳ）において乱数が枯渇しないための条件は下記の式（１）で示される。
Ｔreq / Ｔperi * ＲＮＤdelta ＜ ＲＮＤmax ・・・（１）

【0071】

暗号処理を要求する区間（ＲＱＳ）において乱数生成器２４０を動作させない条件は下記の式（２）で示される。
Ｔreq / Ｔperi * ＲＮＤdelta ＜ (ＲＮＤmax － ＲＮＤth) ・・・（２）

【0072】

Ｔreq、Ｔnreq、ＴperiはＣＰＵ１００の処理において想定される動作によって、値が決定される。ＴrnddeltaはセキュアＩＰ２００の乱数生成器２４０の性能によって、値が決定される。このようにＣＰＵ１００の処理において想定される動作からＲＮＤmax、ＲＮＤthの設定値を決定し得る。

【0073】

次に、ＣＰＵ１００の処理について３種類のケースを想定してそれぞれの設定例について図１１から図１３を用いて説明する。図１１から図１３に示される黒い三角形（▲）は乱数を使用する暗号処理の実行タイミングを表している。

【0074】

（第一ケース）
図１１に示すように、第一ケースにおけるＣＰＵ１００の処理は、暗号処理を要求する区間（ＲＱＳ）と暗号処理を要求しない区間（ＮＱＳ）が交互にくることを想定する。

【0075】

暗号処理を要求する区間（ＲＱＳ）において、乱数生成器２４０を動作させず、乱数が枯渇しないための条件は上記の式（２）で表される。

【0076】

暗号処理を要求しない区間（ＮＱＳ）において乱数生成が完了する条件は下記の式（３）で示される。
Ｔrnddelta * (Ｔreq / Ｔperi * ＲＮＤdelta) ＜ Ｔnreq ・・・（３）

【0077】

式（２）および式（３）の条件を満たすように、ＲＮＤmax、ＲＮＤthを調整することにより、ＣＰＵ１００は、暗号処理を乱数の生成時間を待たずに実行し得る。また、式（３）は乱数生成の性能と処理要求の頻度の関係式のため、ＣＰＵ１００の処理の想定をセキュアＩＰ２００の性能が満たせるかどうかの判定に使用される。

【0078】

（第二ケース）
次に、図１２に示すように、第二ケースにおけるＣＰＵ１００の処理は、暗号処理を要求する区間（ＲＱＳ）がずっと続くことを想定する。暗号処理の要求が際限なく続くため、暗号処理を要求する間隔（Ｔperi）の間に乱数の生成を行う必要がある。

【0079】

暗号処理で使用する乱数量を確保する条件は下記の式（４）を満たす必要がある。
ＲＮＤmax ＞ ＲＮＤdelta ・・・（４）

【0080】

乱数生成を行うまでの、暗号処理の要求数は下記の式（５）で示される。なお、図１２では要求数を１として表現している。
(ＲＮＤmax － ＲＮＤth) / ＲＮＤdelta ・・・（５）

【0081】

暗号処理を要求する間隔（Ｔperi）の間に乱数の生成を行う必要があるため、式（５）から下記の式（６）の条件が導出される。
Ｔrnddelta * (ＲＮＤmax － ＲＮＤth) / ＲＮＤdelta ＜ Ｔperi ・・・（６）

【0082】

式（４）と式（６）を満たす条件で、ＲＮＤmax、ＲＮＤthを調整することにより、ＣＰＵ１００は、暗号処理を乱数の生成時間を待たずに実行し得る。また、式（４）および式（６）は乱数生成の性能と処理要求の頻度を含むため、ＣＰＵ１００における処理の想定をセキュアＩＰ２００の性能が満たせるかどうかも合わせて判定する。

【0083】

（第三ケース）
最後に、図１３に示すように、第三ケースにおけるＣＰＵ１００の処理は、暗号処理を長い間隔で要求する区間（ＲＱＬＳ）と暗号処理を短い間隔で要求する区間（ＲＱＳＳ）が交互にくることを想定する。

【0084】

暗号処理を長い間隔で要求する区間（ＲＱＬＳ）の時間をＴreq(long)、暗号処理を短い間隔で要求する区間（ＲＱＳＳ）の時間をＴreq(short)とする。それぞれの区間における暗号処理を要求する間隔をＴperi(long)とＴperi(short)とする。

【0085】

また、暗号処理を長い間隔で要求する区間（ＲＱＬＳ）と暗号処理を短い間隔で要求する区間（ＲＱＳＳ）においてそれぞれＲＮＤthを設定変更する。暗号処理を長い間隔で要求する区間（ＲＱＬＳ）における、乱数生成を開始する残り乱数量をＲＮＤth(long)とする。そして、暗号処理を短い間隔で要求する区間（ＲＱＳＳ）における、乱数生成を開始する残り乱数量をＲＮＤth(short)とする。暗号処理を長い間隔で要求する区間（ＲＱＬＳ）と暗号処理を短い間隔で要求する区間（ＲＱＳＳ）の切り替え時間をＴchangeとする。Ｔchangeは、暗号処理を長い間隔で要求する区間（ＲＱＬＳ）における最後の処理要求から暗号処理を短い間隔で要求する区間（ＲＱＳＳ）における最初の処理要求までの時間及びその逆の時間である。

【0086】

暗号処理を長い間隔で要求する区間（ＲＱＬＳ）において、ＲＮＤmax、ＲＮＤthが満たすべき条件は、上述した第二ケースの式（４）と式（６）と同じになる。

【0087】

また、暗号処理を短い間隔で要求する区間（ＲＱＳＳ）においては短い時間で処理要求がくるため、乱数が乱数生成器２４０を動作させず、乱数を枯渇させないことが必要である。加えて、暗号処理を短い間隔で要求する区間（ＲＱＳＳ）において消費した乱数を次の要求までの時間である、Ｔchangeの間で生成を完了させる必要もある。

【0088】

暗号処理を短い間隔で要求する区間（ＲＱＳＳ）において、ＲＮＤmax、ＲＮＤthが満たすべき条件は、下記の式（７）および式（８）となる。
Ｔreq(short) / Ｔperi(short) * ＲＮＤdelta ＜ (ＲＮＤmax － ＲＮＤth(short)) ・・・（７）
Ｔreq(short) / Ｔperi(short) * Ｔrnddelta ＜ Ｔchange ・・・（８）

【0089】

暗号処理を長い間隔で要求する区間（ＲＱＬＳ）においては、式（４）および式（６）を満たす条件でＲＮＤmax、ＲＮＤthを調整する。そして、暗号処理を短い間隔で要求する区間（ＲＱＳＳ）においては、式（７）および式（８）を満たす条件でＲＮＤmax、ＲＮＤthを調整する。これらにより、ＣＰＵ１００は、暗号処理を乱数の生成時間を待たずに実行できることになる。また、式（７）および式（８）は乱数生成の性能と処理要求の頻度を含むため、ＣＰＵ１００が想定する処理をセキュアＩＰ２００の性能が満たせるかどうかも合わせて判定する。

【0090】

以上、本開示者によってなされた開示を実施形態および実施例に基づき具体的に説明したが、本開示は上記実施形態および実施例に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。

【符号の説明】

【0091】

１１，１２・・・半導体装置
２１１・・・制御ユニット（第二制御ユニット）
２２０・・・セキュアＲＡＭ（第一メモリ）
２３０・・・暗号化エンジン
２４０・・・乱数生成器
３１０・・・セキュア領域（第二メモリ）

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】