JP2000501541A - 予測不可能なマイクロプロセッサまたはマイクロコンピュータ - Google Patents

Abstract

(57)【要約】 本発明は、プロセッサ（１）と、第一の作業メモリ（５１）と、オペレーティングシステムと主プログラム（Ｐ１）と二次プログラム（Ｐ２）とを含む主メモリ（６）とを含む自動予測不可能なマイクロプロセッサまたはマイクロコンピュータであって、第二の作業メモリ（５２）と、プログラム実行中に、その二つの作業メモリ（５１、５２）の内容を保持しながら作業メモリとしての使用をその二つの作業メモリ（５１、５２）のどちらか一方に切り替えることを可能にする切替手段とをさらに含み、この切替手段が、主メモリ中のプログラムの動作コンテキストを記憶する少なくとも一つのレジスタブロック（５４）と、一方の作業メモリおよび各メモリ（５１、５２、６）に結合されかつ切替回路（５３）によって制御されるアクセスレジスタ（Ａ１〜Ａ３）（Ｄ１〜Ｄ３）を妥当化する切替回路（５３）とを含むことを特徴とする自動予測不可能なマイクロプロセッサまたはマイクロコンピュータに関する。

Description

【発明の詳細な説明】 予測不可能なマイクロプロセッサまたはマイクロコンピュータ 本発明は予測不可能なマイクロプロセッサまたはマイクロコンピュータに関す る。 マイクロプロセッサまたはマイクロコンピュータが、メモリに記録されたプロ グラムの過大な命令を、内部または外部からそのマイクロプロセッサまたはマイ クロコンピュータに供給されたクロック信号の一つを基準とする一つまたは複数 のタイミング信号に合わせて順次実行することは知られている事実である。 このプログラム実行方法の様々な段階は時が経つにつれて精通できるようにな ることが分かっている。これは、命令の実行が、このプログラムによって予め決 められたプロセスどおりに順序正しく行われ、一般にプロセッサを規則正しく調 時するクロック信号と同期しているためである。実際に、すべてのプログラムは 、予め分かっている順序で連続的に実行されなければならない命令シーケンスを 生成し、また命令は時が経つにつれ て所定のプロセスどおりに実行されるので、各命令が開始される瞬間および終了 する瞬間は正確に知れる。したがって原理的には、実行されているプログラムは 所定の命令シーケンスを含んでいるので、プロセッサの処理装置中で所与の瞬間 に実行されている命令を知ることができる。 例えば、プログラムまたは処理装置の始動時に実行される命令の数を決定した り、あるイベントすなわち外部または内部の基準信号から経過した時間、さらに はプロセッサのリセットから経過した時間を決定することができる。 このようにマイクロプロセッサまたはマイクロコンピュータ中のプログラムの 実行を観察できることは、このマイクロプロセッサまたはマイクロコンピュータ が高度の機密保護を要する用途で使用されるときには大きな欠点となる。したが って、悪意のある人間がプロセッサの連続状態を調べ、この情報を使用して、内 部処理に関するいくつかの機密の結果を入手することもできる。 例えば、内部機密情報の試験、メッセージの暗号解読、さらには何らかの情報 の完全性試験など、決められた機密保護操作の結果に応じて、様々な瞬間に所与 の処置がとられることが想 像できる。当該の瞬間に応じて、例えば、プロセッサに処置を施すか、または物 理的調査によっていくつかのレジスタの値を得、それにより結果についての情報 またはその情報の機密内容を得ることができ、さらには暗号計算の場合には使用 された秘密暗号キーについての情報を得ることもできる。 ランダムクロックパルスを発生させる回路を装備することによって機密保護マ イクロコンピュータに初期の改善を施す装置がある。このようにすると、同期が すぐに実行不可能になるので、イベントを観察することで調査を実行することが 特に困難になる。 しかし、このタイプの解決策は多くの欠点を伴う。 まず、マイクロコンピュータと同程度に複雑な回路全体にわたってランダム動 作をシミュレートすることはできないので、このような回路の設計は特に巧妙か つ繊細になる。回路の挙動が乱雑なために製造終了時に回路を試験することはさ らに困難である。実際に、クロックパルスのランダムシーケンスを回路の定義に ついてシミュレートすることは非常に困難であるが、特に内部バス上およびレジ スタ中で信号が切り替わる期間中に全てのプロセッサの諭理回路の全ての挙動を 習得することはさ らに困難である。 これが本出願人による「ｉｍｐｒｏｖｅｄ ｉｎｔｅｇｒａｔｅｄ ｃｉｒｃ ｕｉｔ、ｐｒｏｃｅｓｓ ｆｏｒ ｕｓｅｏｆ ｓｕｃｈ ｉｎｔｅｇｒａｔｅ ｄ ｃｉｒｃｕｉｔ」と題する１９９６年３月７日のフランス特許Ｎ゜９６０２ ９０３の要求の主題である初期の改善がなされた理由であり、これによりプロセ ッサは定義期間中および試験期間中に通常の周期クロックで通常動作が可能にな った。すなわち、プロセッサは保護モードと通常モードの間で切り替わることが できる。機密保護を保証するために、パスワードまたは特別な暗号メッセージが 入力されたときにのみそのプロセッサによってそのモードが活動化できることは 容易に想像される。 これらの難点に加えて、ランダムクロックの制御下で、すなわち全く無秩序な 形で、シーケンス中に障害を診断するという難点がある。実際に、このような無 秩序状態では、どうすれば問題を障害のある部分に限定することができ、またど うすれば問題が生じる正確な条件を決定することができるであろうか。 ランダムクロックの使用は、理論上は興味深い改善策を与えるが、全く満足な 解決策ではなく、とりわけ実際に実施するこ とは容易でないことが分かる。 本発明の一目的は、上述のタイプの調査を抑止する手段をプロセッサに装備す ること、より一般的には、従来の方法の使用による単純な設計および障害の診断 を可能にするために、完全に制御された標準の回路を使用して、プロセッサの内 部挙動の不正な観察を防止することである。 この目的は、プロセッサと、第一の作業メモリと、オペレーティングシステム と主プログラムと二次プログラムとを含む主メモリとを含む予測不可能なマイク ロプロセッサまたはマイクロコンピュータが、 ■第二の作業メモリと、 ■プログラムの実行中に、その二つの作業メモリの内容を保持しながら作業メ モリとしての使用をその二つの作業メモリの一方に切り替えることを可能にする 通信手段とをさらに有し、 ■この切替手段が、主メモリ中のプログラムの動作コンテキストを記憶する少 なくとも一つのレジスタブロックと、一方の作業メモリと各メモリに結合されか つ切替回路によって制御されるアクセスレジスタとを妥当化する切替回路とを含 むことを特徴とすることによって達成される。 別の特徴によれば、この予測不可能なマイクロプロセッサまたはマイクロコン ピュータは、二次プログラムの実行のコンテキストを記憶する第二のレジスタブ ロックを有する。 別の特徴によれば、この予測不可能なマイクロプロセッサまたはマイクロコン ピュータは、プログラムの実行を等時クロックに対して相関させる手段を有する 。 本発明の別の目的は、前記手段の実施がプロセッサ自体によって保証され、そ れにより上記手段によって与えられるいかなる追加の機密保護も、マイクロコン ピュータ内にあり、したがって悪意のある処置に関して予測不可能であるオペレ ーティングシステムの決定のみに依存するようにすることである。 この目的は、作業メモリ妥当化回路と各作業メモリに結合された記憶レジスタ ブロックとをロードすることによって、主プログラムが切替機構を使用可能にす るかまたは抑止することができることによって達成される。 別の特徴によれば、主プログラムによって使用される際に、第一のメモリおよ びそれ自体のアクセスレジスタの代わりに第二の作業メモリおよびそのアクセス レジスタが使用される。 本発明の第三の目的は、クロック信号およびランダムタイミ ング信号を使用する必要なしに実行時間をプログラム自体から独立させることで ある。 この目的は、相関解除手段が、二次プログラムにランダム接続することによっ てプロセッサ中のプログラムの実行を脱同期させるために割込み回路を介してラ ンダム割込みをトリガすることができるランダム発生器を含むことによって達成 される。 別の特徴によれば、相関解除手段は、時間カウント後に、二次プログラムから 主プログラムに復帰するために割込みをトリガする、プロセッサ１から独立した 時間カウントシステムを含む。 別の特徴によれば、作業メモリを切り替える手段は、プロセッサおよびそのプ ログラムか、ランダム割込みシステムか、時間カウンタか、またはこの三つのう ちの少なくとも二つの組合せによって制御される。 本発明の第四の目的は、レジスタの切替が機密情報への直接的または間接的な アクセスの手段と解釈されるのを防止することである。 この目的は、作業メモリを切り替える手段が、主プログラムのシーケンスを実 行しているプロセッサからの移行によって確 立されることによって達成される。 別の特徴によれば、第二のプログラムは、主メモリ中の主プログラムの作業領 域と同じ作業領域を使用する。 別の特徴によれば、第二のプログラムは、主プログラムの作業領域より小さい 作業領域を使用する。 別の特徴によれば、切替手段は、マイクロプロセッサの命令の実行サイクル中 に作業メモリおよびそれに関連するコンテキストを置換する。 別の特徴によれば、二次プログラムは主プログラムの一般動作コンテキストを 修正せず、それによりこのコンテキストを回復する必要なしに主プログラムの復 帰を可能にする。 別の特徴によれば、主プログラムのコンテキストは、二次プログラムによって 自動的に回復されるか、または制御権を主プログラムに戻す前に切替手段によっ て自動的に回復される。 別の特徴によれば、この予測不可能なマイクロプロセッサまたはマイクロコン ピュータは、主プログラムのメモリを二次プログラムのメモリで置換する手段を 含む。 別の特徴によれば、主プログラムは、第一の作業メモリおよび／または第二の 作業メモリを交互にまたは同時に使用するこ とができる。 別の特徴によれば、切替回路をロードすることにより相関解除割込みのマスク またはマスク解除が可能になる。 別の特徴によれば、割込みをマスク解除するために主プログラムまたは二次プ ログラムの命令を実行することによって切替レジスタが適切にロードされた後で 主プログラムへの復帰が二次プログラムによってトリガされた割込みによって実 行される。 別の特徴によれば、この予測不可能なマイクロプロセッサまたはマイクロコン ピュータはモノリシック集積回路からなる。 本発明の他の特徴および利点は、添付の図面を参照しながら以下の説明を読め ばより明らかになろう。 第１図は、本発明の一実施形態による集積回路の電子図である。 第２図は、割込みの出現およびマスク解除された割込みの確認に関する命令の 実行のタイミング図である。 第３図は、一つの集積回路の記憶レジスタのロード回路の代替設計を示す図で ある。 第４図は、回路の通常動作への復帰を可能にするプログラム部分（Ｐ２）を示 す論理図である。 第１図に本発明の一実施形態を示す。ＳＵＭＩＣ（Ｓｅｌｆ−Ｕｎｐｒｅｄｉ ｃｔａｂｌｅ ＭＩＣｒｏｃｏｍｐｕｔｅｒ）と呼ばれる、本発明が包含するマ イクロプロセッサまたはマイクロコンピュータは、処理装置（１）と、実行すべ きプログラムを含む不揮発性メモリ（６）と、そのアドレスレジスタ（Ａ２）お よびそのデータレジスタ（Ｄ２）を備えたＲＡＭ（５１）と、例えば規則的かつ 予測不可能な瞬間にパルスを供給するランダムまたは疑似ランダム信号発生器（ ２）と、割込み回路（４）と、レジスタ回路（Ｒ２）と、タイマ（Ｒ３）と、シ ーケンサ回路（８）と、不揮発性メモリ（７）（ＮＶＭ）と、そのアドレスレジ スタ（Ａ３）およびそのデータレジスタ（Ｄ３）を備えた揮発性タイプのダミー メモリ（ＤｕｍＲＡＭ）（５２）と、通常動作に復帰するためのパラメータを記 憶する二つのレジスタスタック（５４、５５）と、例えばアドレスレジスタ（Ａ １）および（Ａ３）、データレジスタ（Ｄ１）および（Ｄ３）、第一の記憶レジ スタブロック（５４）および第二の記憶レジスタブロック（５５）の動作を検査 するのに十分な数のセルを有するレジスタを含む切替回路（５３）とを備えたモ ノリシック集積回路を含む。この切替レジスタ（５３）はバス（３） を介して処理装置（１）によってロードされる。この切替レジスタ（５３）の状 態は、より詳細には、プロセッサの作業メモリ領域内またはこの領域外のＲＡＭ および／またはＤｕｍＲＡＭを妥当化するために使用される。 このモノリシック集積回路では、処理装置はバス（３）によって様々なメモリ に接続され、各メモリはそれぞれアドレス（Ａ１、Ａ２、Ａ３）を有するレジス タとデータレジスタ（Ｄ１、Ｄ２、Ｄ３）とに向かって進み、各アドレスレジス タおよびデータレジスタはそれぞれ切替回路（５３）からきたコマンド線（５３ １Ａ、５３２Ａ、５３６Ａ）、（５３１Ｄ、５３２Ｄ、５３６Ｄ）によってそれ ぞれロックすることができる。この切替回路はまた他の三つのコマンド線を含み 、そのうちの一つ（５３３）は、二つの入力を有するＡＮＤゲートで終端し、そ のうちの第二の入力は割込み回路からきたバス線（３１）を受ける。 このＡＮＤゲートの出力は、割り込みイネーブルレジスタ（ＩＥＲ）ビットの一 つに直接接続され、これにより切替回路が活動化されていないとき、したがって 線（５３３）が活動状態でないときのみ、割込み回路（４）によってトリガされ た割込みをマスクする。 他の二つの線（５３４、５３５）はそれぞれ、記憶レジスタの二つのブロック またはスタック（５４、５５）の一方をロックする。これらのブロックはそれぞ れ、以下に述べる情報を記憶するためのいくつかの記憶レジスタ（５４）および （５５）を有する。これらのレジスタ（５４、５５）は、各メモリに共通のバス （３）に接続される。このバス（３）は、制御線（５３１Ａ、５３２Ａ、５３２ Ｄ、５３６Ａ、５３６Ｄ、５３３、５３４、５３５）を所望の動作モードに応じ て活動状態または非活動状態にするのに必要な値を切替回路（５３）にロードす るために使用される。不揮発性メモリ（６）は、回路オペレーティングシステム と、以下主プログラムと呼ぶ第一のアプリケーションプログラム（Ｐ１）と、以 下二次プログラムと呼ぶ第二のプログラム（Ｐ２）とを含み、またシーケンサ（ ８）と、レジスタ（Ｒ２）と、タイマ（Ｒ３）と、ランダム発生器（Ｒ１）とが バス（３）に接続され、これら三つの要素（Ｒ１、Ｒ２、Ｒ３）は、プロセッサ の割り込みイネーブルレジスタ（ＩＥＲ）を使用して、プロセッサの割込み入力 （１）に接続された割込み発生器回路（４）に接続される。ＩＥＲのビットの一 つは一般に、一部のユーザに固有の用途のために取っておかれ、 使用可能になっている。 第一の実施形態では、不揮発性メモリ（６）に含まれた主プログラム（Ｐ１） は、必要に応じてバス（３）を介して切替回路（５３）の状態を修正するが、こ のプロセスは実行に関して何らの難点も示さない。これにより直ちに、ＣＥ（Ｃ ｈｉｐ Ｅｎａｂｌｅ）入力に作用して、メモリパッケージと第一のブロック（ ５４）を通常動作に復帰させるのに必要な全てのレジスタとを妥当化することに よって主作業ＲＡＭ（５１）またはこのメモリの一部分が切り替わる。これらの メモリおよびレジスタはスタティックタイプにし、それによりそれらを維持する ために必要なエネルギーを節約できることが有利である。したがって、切替回路 （５３）は主作業メモリ（５１）をダミーメモリ（５２）で置換し、それにより 主作業メモリの代わりに専らダミーメモリを使用してプログラムが実行されるよ うにする。 このダミーメモリ（５２）は、それが置換されたメモリと同じアドレスにあるこ ともあるが、異なるアドレスにあることもある。一つの有利かつ経済的な解決策 は、このダミーメモリとして非常に小さいＲＡＭを使用することである。実際に 、このダミーメモリは主プログラムの機能上の役割を果たすものではな く、アドレス可能領域はアドレスレジスタ（Ａ３）の長さを短縮するだけで制限 できる。また、いくつかのアドレスレジスタブロック間で排他的ＯＲをとること によってアドレスをそれ自体に「折り返す」こともできる。したがって、主作業 メモリのアドレス可能領域が５１２バイトである場合、ダミーメモリは容易に３ ２バイトに制限でき、したがって非常に経済的な解決策が得られる。３２バイト は、例えば、単に主作業メモリのマトリックスにＲＡＭメモリ線を追加した場合 に対応する。この場合、この線はそれ自体のアドレスレジスタ（Ａ３）および障 害レジスタ（Ｄ３）を有することになる。切替回路（５３）は、ダミーメモリを 活動化したとき、ＮＶＭへの書込みアクセスを抑止し、それによりその内容が乱 されることがないようにすることもできる。 切替を実行するためには、二つのレジスタのブロック、すなわち第一のブロッ ク（５４）と第二のブロック（５５）を交互に使用することが有利な場合があり 、各ブロックは、プログラムを実行するために必要なコンテキスト全体、より具 体的に言えば、第一のブロック（５４）用のプログラムカウンタ（ＰＣ１）、第 二のブロック（５５）用のプログラムカウンタ（ＰＣ ２）、第一のブロック用の命令復号レジスタ（Ｄ１）、第二のブロック用の命令 復号レジスタ（Ｄ２）、および（Ｔ１１、Ｔ１２、およびＴ２１、Ｔ２２）で表 される他のレジスタを含む。 このレジスタ（Ｔ１１、Ｔ１２、Ｔ２１、およびＴ２２）は、例えば使用するマ シンサイクル数など、同じ動作パラメータを保持する。これら全てのレジスタは 切替回路（５３）によって自動的に切り替えられる。アドレスの変更は、この場 合、特定の命令を使用してプログラムカウンタの内容をレジスタスタック中に保 存するために、大抵のマイクロ計算機の場合と同様に何らの負担もなしに直ちに 実行される。したがって、両方向の切替は非常に迅速であり（一般にクロックサ イクルよりはるかに短い）、したがってこの装置の機密保護レベルはかなり高く なる。同じ機構は、（Ｔ１１〜Ｔ２２）など、プロセッサの動作コンテキストを 保存するその他のレジスタにも使用できる。 プログラム（Ｐ１）が切替レジスタをロードすることによってダミーモードの 集積回路を活動化したとき、切替回路（５３）は、ダミー回路の動作の前にパラ メータを保持する第一のレジスタスタック（５４）を抑止して、プログラム（Ｐ １）が中断されている場合にその第一のレジスタスタック（５４）を再開 することを理解されたい。一方、第二のレジスタスタック（５５）は、プログラ ム（Ｐ２）を実行するために同じダミーメモリを有する回路の通常動作を使用可 能にするために使用されることになる。また、この場合、ダミーモードでの動作 に対応する割込みマスクＩＥＲレジスタビットはマスク解除され、それによりラ ンダム発生器によってかまたは前にランダム発生器によって乱数をロードされた タイマ（Ｒ３）によって割込みが生成される間に、またこの乱数によってかまた は特定の情報をロードされたレジスタ（Ｒ２）によって表された時間の実行が終 了した時に使用可能になり、割込みがトリガされ、（３１）プログラム（Ｐ１） の制御下の通常動作からプログラム（Ｐ２）の制御下のダミーモードでの動作へ の切換が起こることは明らかである。 第２図に割込みモードでの動作を示す。この図には、割込み回路から線（３１ ）上を処理装置（１）に向かって伝送される第一の割込みパルスＩＴは、レジス タによってマスクされたために考慮されておらず、この割込みのマスクは、命令 「ＭＯＶＥ ｉｍｍｅｄｉａｔｅ ｄａｔａ ｔｏ ｒｅｇｉｓｔｅｒＩＥＲ（ 隣接するデータをレジスタＩＥＲに移動せよ）」を使 用し、それによりそのデータをマスクするレジスタにロードすることが示されて いる。現在の命令は分岐割込みをマスク解除すると仮定する（ただしこれは異な る時刻で他の命令によって実行できる）。この場合、第二のパルスは処理装置（ １）によって考慮され、その結果切替回路（５３）が切り替わり、したがって第 二のレジスタブロック（５５）およびＤｕｍＲＡＭ（５２）が第一のブロック（ ５４）およびＲＡＭダミーメモリ（５１）の代わりに活動状態になる。割込みの 確認は、ある状態から別の状態に遷移する間、例えば（Ｓ２）と（Ｓ３）の間に のみ可能であり、それによりマシンの安定かつ一貫した状態を記憶し、とりわけ 中断されたプログラムが復帰するときと全く同じ状態を回復することに留意され たい。この割込みが確認された場合、通常の場合と同様に命令の終了時に、中断 されたプログラムが回復されたとき、これは通常次の命令で行われるので特に問 題は生じない。逆に、割込みは命令の実行中、例えば状態（Ｓ２）で発生した場 合、順序づけ回路を同様に回復させ、それにより中断されたプログラムの回復時 に状態（Ｓ３）を正しくトリガする必要があることは明らかである。これは、例 えば、回復の瞬間にバス（３）を介してレジスタ（Ｔ１１）とシ ーケンサ（８）との間の直接リンクによって達成できる。このリンクは、バス（ ３）を介さずに特定のものにすることもできる。また、シーケンサ自体に状態記 憶レジスタを含めて、この段階中のバスの移動を防止することが有利なこともあ る。 このように、割込みを用いて、主プログラム（Ｐ１）は以下に述べるように二 次プログラム（Ｐ２）を使用可能にすること、および／または二次プログラム（ Ｐ２）に切り替わることができる。二次プログラムが活動状態でなくなったとき 、切替回路（５３）の状態は変化し、ＲＡＭ作業メモリは何らの修正もなしにそ の最初の構成を回復し、その結果主プログラムは、正確にそれが中断された時点 でその経路を回復することができる。 また、主プログラム（Ｐ１）は、保護が必要なときには、それ自体が二次プログ ラム（Ｐ２）に分岐することにより、最初にまたは処理中にそれが選択した瞬間 に作動してランダム長さを生成し、それにより様々なシーケンスをスクランブル するような形で実行することもできる。その場合、このプロセスの動作は、例え ばその時間の長さが発生器（２）から得られた乱数に依存する待機ループをトリ ガすることができる二次プログラム（Ｐ２）によって制御することができる。二 次プログラムは、 二次プログラムが新しい制御権を主プログラムに移すとすぐに、さらには次の割 込み時に、主プログラムがその通常のプロセスを再開できるように主プログラム が使用していないメモリの一部分を使用して、または前と同様にタイマを使用し て、またはこの二つを組み合わせて使用して実行することができる。二次プログ ラムはまた、制御権を主プログラムに移す前に主プログラムのコンテキストを回 復する限り、共用資源を使用することもできる。 これらの機構は、二次プログラムの実行の終了時に復帰を伴う主プログラムの 二次プログラムへの分岐の実行に類似するが、本発明の機構は以下の点で特に異 なることを述べておきたい。 ■二次プログラムは、主プログラムに必ず関係するいかなる機能も実行しない 。 ■ダミーメモリ（５２）のサイズは、プログラムの通常の実行に必要とされる よりはるかに小さくすることができる。 ■ダミーメモリ（５２）の内容は単にトラックをカバーするだけなので重要で はない。 ■この高速機構を用いれば、二次プログラムの命令を主プログラムの命令と組 み合わせることができる。 ■二次プログラムの内容は単にトラックをカバーするために使用されるだけな ので保存する必要はない。 第二の実施形態では、プロセッサは、回路（５３）を切り替えたとき、同時に ランダム発生器（２）によって、または不揮発性メモリＮＶＭ（７）の内容から 初期化されるタイマ（Ｒ３）を活動化する。例えばＥ２ＰＲＯＭタイプのＮＶＭ または強誘電性装置は、実際に、ＮＶＭが使用されるたびに修正される単一の数 を含むことができる。タイマ（Ｒ３）は、予測不可能な時間期間後に満了したと き、主プログラムへの復帰をトリガし、また切替回路（５３）を切り替えて、主 メモリを作業領域に戻す。この機構は、従来の割込みによるか、または切替回路 （５３）へのタイマ（Ｒ３）の直接作用およびレジスタ（ＰＣ１）および（ＰＣ ２）への作用により実行され、それにより（ＰＣ１）や（ＰＣ２）など処理装置 （１）によるプログラムの実行を検査することができる。 代替実施形態では、ランダムに選択されたアドレスを最初に指し、次いでその アドレスから得られたバイトを反転させ、かつ／または例えば逆配線によるかま たはアドレスの内容のための左シフト回路によってレジスタ（ＩＤ２）の内容を 反転させ る、主プログラム（Ｐ１）の任意の部分を二次プログラム（Ｐ２）として使用す ることができる。このようにすると、プログラムが全く異なる命令を実行するよ うにすることもできる。 異なる命令を実行する別の代替形態は、第３図に示されるようなものである。 レジスタ復号一時命令ＩＤＴは、一方ではバス（３３）の一部分によってバス（ ３）に接続され、他方ではバス（３４）の一部分によって回路状態の記憶を可能 にする第二のレジスタスタック（５５）に接続される。バス（３４）の一部分は 、レジスタＩＤＴのビット（Ｂ７）をレジスタ（ＩＤ２）のビット（Ｂ４）に、 レジスタＩＤＴのビット（Ｂ６）をレジスタ（ＩＤ２）のビット（Ｂ１）に、レ ジスタＩＤＴのビット（Ｂ５）をレジスタ（ＩＤ２）のビット（Ｂ３）に接続す る特定の配線によってスタック（５５）のレジスタ（ＩＤ２）にハードウェアに よって接続される。 最後に、最後の代替形態は、全く異なる（命令の）実行を可能にし、またバス （３）がバス（３５）の一部分によってＩＤＴ一時命令復号レジスタに接続され た第３図に示す実施形態を含む。このバスの別の部分（３７）は、このＩＤＴレ ジスタを、いくつかの入力を有する排他的ＯＲゲート（３９）に接続する。 このＯＲゲートの他の入力は、バスの一部分（３６）をロードされてバス（３） に関連づけられるレジスタ（Ｒ’２）にバス（３８）によって接続される。この レジスタ（Ｒ’２）には、「ＭＯＶＥ ｒｅｇｉｓｔｅｒ（Ｒ１）（for instan ce）ｔｏ ｒｅｇｉｓｔｅｒ（Ｒ’２）（レジスタ（Ｒ１）を（例えば）レジス タＲ‘２）に移動せよ）」などの命令によって、ランダム発生器（Ｒ１）かタイ マか不揮発性メモリＮＶＭ（７）から得られるものなど、任意の情報をロードす ることができる。 このタイプのシフト命令はマイクロプロセッサの分野の当業者にはよく知られて おり、実施に関して何らの困難も伴わない。 レジスタ（Ｒ’２）からの情報とＩＤＴレジスタにロードされた値との排他的Ｏ Ｒをとることは、プログラム命令（Ｐ２）を全く変更し、したがって全く異なる 命令を実行する一つの方法である。 プログラム（Ｐ２）中では、ランダムな形で呼び出されることになる多数のシ ーケンスを使用することができ、各シーケンスは、様々な命令の組を実施するこ とになり、これには各分岐ごとに異なる処理時間および様々なマイクロプロセッ サ挙動を伴う。シーケンスは、例えば主プログラムが二次プログラムに 飛び移った後でランダムに呼び出すことができ、この二次プログラムは、メモリ （７）からのランダム値Ｖを二つのレジスタ、例えばマイクロプロセッサ（１） の（Ｔ２１）および（Ｔ２２）にロードする。二次プログラムはこの値Ｖを増分 し、次いでこのプログラムは増分したこの値を不揮発性メモリ（７）に記憶する よう命令する。不揮発性メモリ（７）に記憶されたこの値は、後で使用できるよ うになされている。二次プログラムは、次いで（Ｔ２１）中のｎ個のＭＳＢまた はＬＳＢをサンプリングして、様々な二次プログラムシーケンスの中から実行す べきプログラムシーケンスを選定することを可能にする値ｒを得る。 第三の実施形態では、プロセッサ（１）は、ランダム発生器（２）の状態を調 べるための読取り命令によるか、所定のパルスを直接読み取るか、それらのいく つかをグループ化するか、さらにはランダム発生器（２）によってロードされた レジスタ（Ｒ２）の内容を考慮することによりランダム発生器（２）に問い合わ せることができる。主プログラムは、保護が必要なときには、前述の機構と同様 にして制御権を二次プログラムに移す。 当然、前述の実施形態の効果は、一方ではランダムクロック を備えることにより、他方では主プログラム自体か、または主プログラムが許可 するかまたは許可しないランダム割込みシステムによって主プログラムの実行を 中断できるようにすることにより組み合わせることができる。 また、主プログラムの実行は、ランダム発生器かプログラムかタイマか二次プ ログラムに依存するか、または一度に二つ、三つ、四つの要素に依存する絶対に 予測不可能な順序づけに従って達成されることが明らかである。主プログラムは また、機密保護の観点からは機密でない機能を実行するときには通常動作に頼り 、それにより例えば結果を外界に供給するか、タイマ（Ｒ３）またはランダム発 生器（２）の相関解除割込みをマスクし、それにより処理時間を最適化すること ができる。機密保護機能が実施されるとすぐに、主プログラム（Ｐ１）は、相関 解除割込みを妥当化し、それによりランダムモードでの動作を「スクランブル」 することによってその動作を可能にする。 同じく第１図に示す第四の実施形態によれば、ＲＡＭ（５１）および（５２） を同時に使用することができる。実際に、メモリおよびそれに関連するレジスタ の切替を検出することができると仮定した場合、ダミーメモリ（５２）を使用し てシーケン スを除去することによって分析を実行できる場合もある。このような万一の場合 を回避するために、この実施形態では、第一の段階中にメモリ（５１）および（ ５２）を並列に妥当化できるようになされている。明らかに、このことは、メモ リ（５２）がこの場合少なくともプログラム（Ｐ１）と共に動作しているメモリ （５１）中の、プログラム（Ｐ１）によって使用される領域のサイズに等しいサ イズを有することを前提条件とする。 このようにして、それぞれメモリ（５１）および（５２）中の、プログラム（Ｐ １）によって使用される二つのメモリ領域の内容は、この第一の段階中にこのプ ログラムによって同様にして初期化され、使用される。一つの代替形態は、読取 りサイクル中に必要な構成を有する切替回路（５３）に二つのレジスタの一方（ Ｄ２）または（Ｄ３）のみをロードして競合を防止することによって妥当化を行 うことであるが、これは本発明に根本的な変更を加えるものではない。したがっ て、この段階中に実際に使用されているメモリを識別することはできない。した がって、第二の段階中に、切替回路（５３）に修正を加えることによってメモリ を交互にかつランダムに切り替え、同時に同じプログラム（Ｐ１）を実行し続け ることが可能になる。したが って、あるプログラムまたは別のプログラムの実行をＲＡＭまたは使用されてい るレジスタに相関させることはもはや不可能になる。第三の段階では、前述のよ うに予測不可能な瞬間にプログラム（Ｐ２）を介してダミーメモリ（５２）を切 り替え、同時に主作業メモリ（５１）への復帰も予測不可能な瞬間に行う。この プロセスは、保護措置として主プログラム（Ｐ１）の制御下で任意に再現可能で ある。 最後に、本発明が提供する最後のプログラムは、プログラム（Ｐ２）のダミー モードから出て、プログラム（Ｐ１）を伴う通常動作モードに復帰することがで きるプログラムである。プログラム（Ｐ１）は、制御権をプログラム（Ｐ２）に 移す直前に、ランダム発生器からかまたはタイマから来る割込みを使用可能にし 、同時にそれを初期化する。無秩序プログラム（Ｐ２）の実行中に、回路（４） を介した割込みが発生し、これは割込みプログラム（ＰＩＴ）に移る。このプロ グラムは、通常割込みベクトルを用いてアクセスされ、例えば現在のプログラム の実行コンテキストを分析する。（Ｐ２）が活動状態の場合、ＰＩＴは制御権を プログラム（Ｐ１）に移す。この機構は、以下のように実行できる。ＰＩＴプロ グラムの第一の命令が実行さ れたとき、これは例えば第４図に示すように、切替回路（５３）の内容を読み取 り（４１）、次いで回路（５３）に含まれる情報がダミーモード動作に対応する かどうかを決定する試験を行う（４２）ことによって構成できる。肯定の場合、 ＰＩＴプログラムは、ステップ（４３）で表されるプログラム復帰命令（Ｐ１） を実行する。この復帰は、線（５３４）および（５３１）の値を修正することス テップ（４４）に従って切替レジスタ（５３）の書込みを行うことによって開始 される。切替レジスタ（５３）へのこの後続の書込み（４４）により、線（５３ ４）および線（５３１）の値の修正された通常モードに復帰し、それにより再度 スタック（５４）および主作業メモリ（５１）の使用を許可することができる。 プログラム（Ｐ１）への復帰のこの命令は、ダミー試験（４２）の直後か、また はランダム時間の生成を可能にする表されていない他のいくつかの命令の実行の 直後に実行することができる。試験（４２）が否定の場合、プログラムはステッ プ（４５）に進み、ダミーモードに変更するよう切替レジスタ（５３）への書き 込みを行い、それにより線（５３５）および（５３２）の値を修正して、（５３ １）および（５３４）の制御下で回路をロックしながらレジスタスタッ ク（５５）およびダミーメモリの使用を可能にする。 前記の全ての実施形態で、ランダムクロックを使用する必要はないことに気づ くであろう。逆に、クロック配分を全く通常の等時配分にして、回路の設計なら びにそのシミュレーションおよび試験を容易にすることができる。実際に、機密 保護は、もはやプロセッサがランダムに調時されることによって与えられるので はなく、これらのプログラムが等時クロックに合わせて、またはこれに合わせず にそれなりに実行され、実行自体がスクランブルされることによって与えられる 。 プロセッサが実行するプログラムの編成は、マシンが実行するプログラムのタ イプに従って実施される妨害のタイプを決定する実際の機密保護オペレーション システムによって、プロセッサの動作が制御されるように実施することができる 。この場合、オペレーティングシステムは、ランダム発生器からきた様々な信号 、割込み、主プログラムおよび二次プログラムの起動を適宜に管理する。明らか に、二次プログラムは、単純な待機ループ以外の機能、特に二次プログラムに与 えられた時間を利用するために主プログラムにとって有効である処理を実行する ために使用できる。この処理は、例えば主プログラムが後で使用 する予備計算を含む。当然、プロセッサがマルチアプリケーションモードで動作 し、同時にアプリケーションプログラムが単純な主プログラムと見なせるときに は、本発明の機構は容易に一般化できる。 上述のランダム発生器およびタイマは、製造に関して特に何らの問題も生じず 、また本発明と何らの関係もない他の用途に別々に使用するときに当業者に知ら れている。 ランダム発生器に関しては、例えば、様々な周期を有するループカウンタを使 用することができる。これらのカウンタは、不揮発性メモリ（７）に記憶された 初期化情報によって初期化される。プロセッサが始動したとき、カウンタは初期 値として記憶された値を考慮する。計算中またはその終了時に、不揮発性メモリ は、次の初期化時にカウンタを初期化するために初期化情報として使用される新 しい値で更新される。上述の割込みパルスの生成は、生成された数がプログラム データの一部と等しいなどの特徴を有するときに行われる。また、一つまたは複 数のカウンタの一つまたは複数のビットの値を使用することもできる。また、暗 号アルゴリズムかまたは上述の初期化情報によって初期化されたチョッピング機 能を使用して、非常に良好 なランダム発生器を得ることもできる。この場合、発生器は、このアルゴリズム を実施するプログラムにすることができる。 この乱数発生器は上述の様々な乱数を発生させるためにも使用できることは明ら かである。このような発生器を得る別の方法は、「ノイズダイオード」の両端子 間で発生した電圧を増幅し、低域フィルタを通過させた後で信号を整形して、過 度に高速なノイズパルスがマイクロプロセッサの動作を妨害しないようにするこ とである。

【手続補正書】 【提出日】１９９９年３月１日（１９９９．３．１） 【補正内容】 （１）請求の範囲を別紙の通り補正する。 （２）明細書中、第６頁第１３行目に「ブロックとを」とあるを「ブロックとへ 」と補正する。 （３）同中、第９頁第２行目に「切替回路を」とあるを「切替回路へ」と補正す る。 請求の範囲 １．プロセッサ（１）と、第一の作業メモリ（５１）と、オペレーティングシス テムと主プログラム（Ｐ１）と二次プログラム（Ｐ２）とを含む主メモリ（６） と、第二の作業メモリ（５２）と、プログラムの実行中にその二つの作業メモリ （５１、５２）の内容を保持しながらその二つの作業メモリの一方の作業メモリ から他方の作業メモリに切り替える切替手段と、各メモリ（６、５１、５２）に 結合されたアクセスレジスタ（Ａ１〜Ａ３）（Ｄ１〜Ｄ３）とを有し、その切替 手段が、主メモリ中のプログラムの動作コンテキストを記憶する少なくとも一つ の第一のレジスタブロック（５４）と、一方の作業メモリと各メモリ（５１、５ ２、６）に結合されかつ切替回路（５３）によって制御されるアクセスレジスタ （Ａ１〜Ａ３）（Ｄ１〜Ｄ３）とを使用可能にする切替回路（５３）とを含む予 測不可能なマイクロプロセッサまたはマイクロコンピュータ。 ２．二次プログラムの動作コンテキストを記憶する第二のレジスタブロック（５ ５）をさらに含むことを特徴とする請求の範囲第１項に記載の予測不可能なマイ クロプロセッサまたはマイ クロコンピュータ。 ３．プログラムの実行を等時クロックから相関解除する手段（Ｒ１、Ｒ２、Ｒ３ ）をさらに含むことを特徴とする請求の範囲第１項または第２項に記載の予測不 可能なマイクロプロセッサまたはマイクロコンピュータ。 ４．作業メモリ（５１、５２）を切り替えかつ使用可能にする切替回路（５３） と、各作業メモリ（５１、５２）に結合されかつそれぞれ、主メモリ中のプログ ラムの動作コンテキストおよび二次プログラムの動作コンテキストを記憶する記 憶レジスタブロック（５４、５５）とへロードすることによって、主プログラム が一つまたは複数の切替機構を便用可能にするかまたは抑止することができるこ とを特徴とする請求の範囲第１項から第３項のいずれか一項に記載のマイクロプ ロセッサまたはマイクロコンピュータ。 ５．主プログラムによって利用される際に、作業メモリ（５１）およびそのアク セスレジスタ（Ａ２、Ｄ２）の代わりに第二の作業メモリ（５２）およびそのア クセスレジスタ（Ａ３、Ｄ３）が使用されることを特徴とする請求の範囲第１項 から第４項のいずれか一項に記載の予測不可能なマイクロプロセッサまたは マイクロコンピュータ。 ６．相関解除手段が、二次プログラム（Ｐ２）にランダムに飛び移ることによっ て、プロセッサ中のプログラムの実行を脱同期させるためにランダム割込みを、 割込み回路（４）を介してトリガする乱数発生器（２）を含むことを特徴とする 請求の範囲第３項に記載の予測不可能なマイクロプロセッサまたはマイクロコン ピュータ。 ７．相関解除手段が、時間カウント後に、二次プログラムから主プログラムに復 帰するために割込みをトリガする、プロセッサ（１）から独立した時間カウント システム（Ｒ３）を含むことを特徴とする請求の範囲第４項または第６項に記載 のマイクロプロセッサまたはマイクロコンピュータ。 ８．作業メモリを切り替える手段（５３、５４、５５、Ａ２、Ａ３、Ｄ２、Ｄ３ ）が、プロセッサおよびそのプログラムか、ランダム割込みシステム（２、４） か、タイマ（Ｒ３）か、またはこれら三つの要素のうちの少なくとも二つの要素 の任意の組合せによって制御されることを特徴とする請求の範囲第４項か第６項 か第７項またはその組合せに記載の予測不可能なマイクロプロセッサまたはマイ クロコンピュータ。 ９．作業メモリを切り替える手段（５３、５４、５５、Ａ２、Ａ３、Ｄ２、Ｄ３ ）が、主プログラムのシーケンスを実行するプロセッサ（１）によってロードさ れることによって使用可能になることを特徴とする請求の範囲第１項から第８項 のいずれか一項またはその組み合わせに記載の予測不可能なマイクロプロセッサ またはマイクロコンピュータ。 １０．第二のプログラム（Ｐ２）が主メモリ（６）中の主プログラム（Ｐ１）の 作業領域と同じ作業領域を使用することを特徴とする請求の範囲第１項から第９ 項のいずれか一項に記載の予測不可能なマイクロプロセッサまたはマイクロコン ピュータ。 １１．第二のプログラム（Ｐ２）が主プログラムの作業領域より小さい作業領域 を使用することを特徴とする請求の範囲第１項から第９項のいずれか一項に記載 の予測不可能なマイクロプロセッサまたはマイクロコンピュータ。 １２．切替手段が、マイクロプロセッサからの命令の実行サイクル中にメモリ（ ５１、５２、５３、５４、５５、Ａ２、Ａ３、Ｄ２、Ｄ３）およびそれに関連す るコンテキストの置換を実行することを特徴とする請求の範囲第１項から第１１ 項のいずれか一項に記載の予測不可能なマイクロプロセッサまたはマイク ロコンピュータ。 １３．二次プログラム（Ｐ２）が主プログラム（Ｐ１）の一般動作コンテキスト を修正せず、それによりこのコンテキストを回復する必要なしに主プログラムの 復帰を可能にすることを特徴とする請求の範囲第１項から第１２項のいずれか一 項に記載の予測不可能なマイクロプロセッサまたはマイクロコンピュータ。 １４．主プログラム（Ｐ１）のコンテキストが、二次プログラム（Ｐ２）によっ て自動的に回復されるか、または制御権を主プログラム（Ｐ１）に戻す前に切替 手段（５３）によって自動的に回復されることを特徴とする請求の範囲第１３項 に記載の予測不可能なマイクロプロセッサまたはマイクロコンピュータ。 １５．主プログラム（Ｐ１）のメモリを二次プログラム（Ｐ２）のメモリで置換 する手段をさらに含むことを特徴とする請求の範囲第１項から第１４項のいずれ か一項に記載の予測不可能なマイクロプロセッサまたはマイクロコンピュータ。 １６．主プログラム（Ｐ１）が第一の作業メモリ（５１）および／または第二の 作業メモリ（５２）を交互にまたは同時に使用することができることを特徴とす る請求の範囲第１項から第 １５項のいずれか一項に記載の予測不可能なマイクロプロセッサまたはマイクロ コンピュータ。 １７．切替回路（５３）へロードすることにより相関解除割込みのマスクまたは マスク解除が可能になることを特徴とする予測不可能なマイクロプロセッサまた はマイクロコンピュータ。 １８．割込みをマスク解除するために、主プログラム（Ｐ１）または二次プログ ラム（Ｐ２）の命令を実行することによって、切替レジスタ（５３）が適切にロ ードされた後で二次プログラム（Ｐ２）によってトリガされる割込みによって主 プログラム（Ｐ１）への復帰が実行されることを特徴とする予測不可能なマイク ロプロセッサまたはマイクロコンピュータ。 １９．モノリシック集積回路として実施されることを特徴とする予測不可能なマ イクロプロセッサまたはマイクロコンピュータ。 【手続補正書】 【提出日】１９９９年３月５日（１９９９．３．５） 【補正内容】 請求の範囲 １．プロセッサ（１）と、第一の作業メモリ（５１）と、オペレーティングシス テムと主プログラム（Ｐ１）と二次プログラム（Ｐ２）とを含む主メモリ（６） と、第二の作業メモリ（５２）と、プログラムの実行中にその二つの作業メモリ （５１、５２）の内容を保持しながらその二つの作業メモリの一方の作業メモリ から他方の作業メモリに切り替える切替手段と、各メモリ（６、５１、５２）に 結合されたアクセスレジスタ（Ａ１〜Ａ３）（Ｄ１〜Ｄ３）とを有し、その切替 手段が、主メモリ中のプログラムの動作コンテキストを記憶する少なくとも一つ の第一のレジスタブロック（５４）と、一方の作業メモリと各メモリ（５１、５ ２、６）に結合されかつ切替回路（５３）によって制御されるアクセスレジスタ （Ａ１〜Ａ３）（Ｄ１〜Ｄ３）とを使用可能にする切替回路（５３）とを含む予 測不可能なマイクロプロセッサまたはマイクロコンピュータ。 ２．二次プログラムの動作コンテキストを記憶する第二のレジスタブロック（５ ５）をさらに含むことを特徴とする請求の範囲第１項に記載の予測不可能なマイ クロプロセッサまたはマイ クロコンピュータ。 ３．プログラムの実行を等時クロックから相関解除する手段（Ｒ１、Ｒ２、Ｒ３ ）をさらに含むことを特徴とする請求の範囲第１項または第２項に記載の予測不 可能なマイクロプロセッサまたはマイクロコンピュータ。 ４．作業メモリ（５１、５２）を切り替えかつ使用可能にする切替回路（５３） と、各作業メモリ（５１、５２）に結合されかつそれぞれ、主メモリ中のプログ ラムの動作コンテキストおよび二次プログラムの動作コンテキストを記憶する記 憶レジスタブロック（５４、５５）とへロードすることによって、主プログラム が一つまたは複数の切替機構を使用可能にするかまたは抑止することができるこ とを特徴とする請求の範囲第１項から第３項のいずれか一項に記載のマイクロプ ロセッサまたはマイクロコンピュータ。 ５．主プログラムによって利用される際に、作業メモリ（５１）およびそのアク セスレジスタ（Ａ２、Ｄ２）の代わりに第二の作業メモリ（５２）およびそのア クセスレジスタ（Ａ３、Ｄ３）が使用されることを特徴とする請求の範囲第１項 から第４項のいずれか一項に記載の予測不可能なマイクロプロセッサまたは マイクロコンピュータ。 ６．相関解除手段が、二次プログラム（Ｐ２）にランダムに飛び移ることによっ て、プロセッサ中のプログラムの実行を脱同期させるためにランダム割込みを、 割込み回路（４）を介してトリガする乱数発生器（２）を含むことを特徴とする 請求の範囲第３項に記載の予測不可能なマイクロプロセッサまたはマイクロコン ピュータ。 ７．相関解除手段が、時間カウント後に、二次プログラムから主プログラムに復 帰するために割込みをトリガする、プロセッサ（１）から独立した時間カウント システム（Ｒ３）を含むことを特徴とする請求の範囲第４項または第６項に記載 のマイクロプロセッサまたはマイクロコンピュータ。 ８．作業メモリを切り替える手段（５３、５４、５５、Ａ２、Ａ３、Ｄ２、Ｄ３ ）が、プロセッサおよびそのプログラムか、ランダム割込みシステム（２、４） か、タイマ（Ｒ３）か、またはこれら三つの要素のうちの少なくとも二つの要素 の任意の組合せによって制御されることを特徴とする請求の範囲第４項か第６項 か第７項に記載の予測不可能なマイクロプロセッサまたはマイクロコンピュータ 。 ９．作業メモリを切り替える手段（５３、５４、５５、Ａ２、Ａ３、Ｄ２、Ｄ３ ）が、主プログラムのシーケンスを実行するプロセッサ（１）によってロードさ れることによって使用可能になることを特徴とする請求の範囲第１項から第８項 のいずれか一項またはその組み合わせに記載の予測不可能なマイクロプロセッサ またはマイクロコンピュータ。 １０．第二のプログラム（Ｐ２）が主メモリ（６）中の主プログラム（Ｐ１）の 作業領域と同じ作業領域を使用することを特徴とする請求の範囲第１項から第９ 項のいずれか一項に記載の予測不可能なマイクロプロセッサまたはマイクロコン ピュータ。 １１．第二のプログラム（Ｐ２）が主プログラムの作業領域より小さい作業領域 を使用することを特徴とする請求の範囲第１項から第９項のいずれか一項に記載 の予測不可能なマイクロプロセッサまたはマイクロコンピュータ。 １２．切替手段が、マイクロプロセッサからの命令の実行サイクル中にメモリ（ ５１、５２、５３、５４、５５、Ａ２、Ａ３、Ｄ２、Ｄ３）およびそれに関連す るコンテキストの置換を実行することを特徴とする請求の範囲第１項から第１１ 項のいずれか一項に記載の予測不可能なマイクロプロセッサまたはマイク ロコンピュータ。 １３．二次プログラム（Ｐ２）が主プログラム（Ｐ１）の一般動作コンテキスト を修正せず、それによりこのコンテキストを回復する必要なしに主プログラムの 復帰を可能にすることを特徴とする請求の範囲第１項から第１２項のいずれか一 項に記載の予測不可能なマイクロプロセッサまたはマイクロコンピュータ。 １４．主プログラム（Ｐ１）のコンテキストが、二次プログラム（Ｐ２）によっ て自動的に回復されるか、または制御権を主プログラム（Ｐ１）に戻す前に切替 手段（５３）によって自動的に回復されることを特徴とする請求の範囲第１３項 に記載の予測不可能なマイクロプロセッサまたはマイクロコンピュータ。 １５．主プログラム（Ｐ１）のメモリを二次プログラム（Ｐ２）のメモリで置換 する手段をさらに含むことを特徴とする請求の範囲第１項から第１４項のいずれ か一項に記載の予測不可能なマイクロプロセッサまたはマイクロコンピュータ。 １６．主プログラム（Ｐ１）が第一の作業メモリ（５１）および／または第二の 作業メモリ（５２）を交互にまたは同時に使用することができることを特徴とす る請求の範囲第１項から第 １５項のいずれか一項に記載の予測不可能なマイクロプロセッサまたはマイクロ コンピュータ。 １７．切替回路（５３）へロードすることにより相関解除割込みのマスクまたは マスク解除が可能になることを特徴とする請求の範囲第４項に記載の予測不可能 なマイクロプロセッサまたはマイクロコンピュータ。 １８．割込みをマスク解除するために、主プログラム（Ｐ１）または二次プログ ラム（Ｐ２）の命令を実行することによって、切替レジスタ（５３）が適切にロ ードされた後で二次プログラム（Ｐ２）によってトリガされる割込みによって主 プログラム（Ｐ１）への復帰が実行されることを特徴とする請求の範囲第６項に 記載の 予測不可能なマイクロプロセッサまたはマイクロコンピュータ。 １９．モノリシック集積回路として実施されることを特徴とする請求の範囲第１ 項に記載の 予測不可能なマイクロプロセッサまたはマイクロコンピュータ。

Claims (1)

1. 【特許請求の範囲】 １．プロセッサ（１）と、第一の作業メモリ（５１）と、オペレーティングシス テムと主プログラム（Ｐ１）と二次プログラム（Ｐ２）とを含む主メモリ（６） とを含む予測不可能なマイクロプロセッサまたはマイクロコンピュータであって 、 二の作業メモリ（５２）と、 プログラムの実行中に、その二つの作業メモリ（５１、５２）の内容を保持し ながらその二つの作業メモリ（５１、５２）の一方の作業メモリの使用から他方 の作業メモリの使用に切り替えることを可能にする切替手段とをさらに有し、 この切替手段が、主メモリ中のプログラムの動作コンテキストを記憶する少な くとも一つのレジスタブロック（５４）と、一方の作業メモリとおよび各メモリ （５１、５２、６）に結合されかつ切替回路（５３）によって制御されるアクセ スレジスタ（Ａ１〜Ａ３）（Ｄ１〜Ｄ３）とを使用可能にする切替回路（５３） とを含むことを特徴とする予測不可能なマイクロプロセッサまたはマイクロコン ピュータ。 ２．二次プログラムの動作コンテキストを記憶する第二のレジ スタブロック（５５）を有することを特徴とする請求の範囲第１項に記載の予測 不可能なマイクロプロセッサまたはマイクロコンピュータ。 ３．プログラムの実行を等時クロックから相関解除する手段（Ｒ１、Ｒ２、Ｒ３ ）を有することを特徴とする請求の範囲第１項または第２項に記載の予測不可能 なマイクロプロセッサまたはマイクロコンピュータ。 ４．作業メモリ（５１、５２）を切り替えかつ使用可能にする回路（５３）と、 各作業メモリ（５１、５２）に結合された記憶レジスタブロック（５４、５５） とをロードすることによって、主プログラムが一つまたは複数の切替機構を使用 可能にするかまたは抑止することができることを特徴とする請求の範囲第１項か ら第３項のいずれか一項に記載のマイクロプロセッサまたはマイクロコンピュー タ。 ５．主プログラムによって利用される際に、作業メモリ（５１）およびそのアク セスレジスタ（Ａ２、Ｄ２）の代わりに第二の作業メモリ（５２）およびそのア クセスレジスタ（Ａ３、Ｄ３）が使用されることを特徴とする請求の範囲第１項 から第４項のいずれか一項に記載の予測不可能なマイクロプロセッサまたは マイクロコンピュータ。 ６．相関解除手段が、二次プログラム（Ｐ２）にランダムに飛び移ることによっ て、プロセッサ中のプログラムの実行を脱同期させるためにランダム割込みを割 込み回路（４）を介してトリガすることを可能にする乱数発生器（２）を含むこ とを特徴とする請求の範囲第３項に記載の予測不可能なマイクロプロセッサまた はマイクロコンピュータ。 ７．相関解除手段が、時間カウント後に、二次プログラムから主プログラムに復 帰するために割込みをトリガすることを可能にする、プロセッサ（１）から独立 した時間カウントシステム（Ｒ３）を含むことを特徴とする請求の範囲第４項ま たは第６項に記載のマイクロプロセッサまたはマイクロコンピュータ。 ８．作業メモリを切り替える手段（５３、５４、５５、Ａ２、Ａ３、Ｄ２、Ｄ３ ）が、プロセッサおよびそのプログラムか、ランダム割込みシステム（２、４） か、タイマ（Ｒ３）か、またはこの三つのうちの少なくとも二つの任意の組合せ によって制御されることを特徴とする請求の範囲第４項か第６項か第７項または その組合せに記載の予測不可能なマイクロプロセッサまたはマイクロコンピュー タ。 ９．作業メモリを切り替える手段（５３、５４、５５、Ａ２、Ａ３、Ｄ２、Ｄ３ ）が、主プログラムのシーケンスを実行するプロセッサ（１）によってロードさ れることによって使用可能になることを特徴とする請求の範囲第１項から第８項 のいずれか一項またはその組み合わせに記載の予測不可能なマイクロプロセッサ またはマイクロコンピュータ。 １０．第二のプログラム（Ｐ２）が、主メモリ（６）中の主プログラム（Ｐ１） の作業領域と同じ作業領域を使用することを特徴とする請求の範囲第１項から第 ９項のいずれか一項に記載の予測不可能なマイクロプロセッサまたはマイクロコ ンピュータ。 １１．第二のプログラム（Ｐ２）が主プログラムの作業領域より小さい作業領域 を使用することを特徴とする請求の範囲第１項から第９項のいずれか一項に記載 の予測不可能なマイクロプロセッサまたはマイクロコンピュータ。 １２．切替手段が、マイクロプロセッサからの命令の実行サイクル中にメモリ（ ５１、５２、５３、５４、５５、Ａ２、Ａ３、Ｄ２、Ｄ３）およびそれに関連す るコンテキストの置換を実行することを特徴とする請求の範囲第１項から第１１ 項のいずれ か一項に記載の予測不可能なマイクロプロセッサまたはマイクロコンピュータ。 １３．二次プログラム（Ｐ２）が主プログラム（Ｐ１）の一般動作コンテキスト を修正せず、それによりこのコンテキストを回復する必要なしに主プログラムの 復帰を可能にすることを特徴とする請求の範囲第１項から第１２項のいずれか一 項に記載の予測不可能なマイクロプロセッサまたはマイクロコンピュータ。 １４．主プログラム（Ｐ１）のコンテキストが、二次プログラム（Ｐ２）によっ て自動的に回復されるか、または制御権を主プログラム（Ｐ１）に戻す前に切替 手段（５３）によって自動的に回復されることを特徴とする請求の範囲第１３項 に記載の予測不可能なマイクロプロセッサまたはマイクロコンピュータ。 １５．主プログラム（Ｐ１）のメモリを二次プログラム（Ｐ２）のメモリで置換 する手段を含むことを特徴とする請求の範囲第１項から第１４項のいずれか一項 に記載の予測不可能なマイクロプロセッサまたはマイクロコンピュータ。 １６．主プログラム（Ｐ１）が第一の作業メモリ（５１）および／または第二の 作業メモリ（５２）を交互にまたは同時に使 用することができることを特徴とする請求の範囲第１項から第１５項のいずれか 一項に記載の予測不可能なマイクロプロセッサまたはマイクロコンピュータ。 １７．切替回路（５３）をロードすることにより相関解除割込みのマスクまたは マスク解除が可能になることを特徴とする予測不可能なマイクロプロセッサまた はマイクロコンピュータ。 １８．割込みをマスク解除するために、主プログラム（Ｐ１）または二次プログ ラム（Ｐ２）の命令を実行することによって、切替レジスタ（５３）が適切にロ ードされた後で二次プログラム（Ｐ２）によってトリガされる割込みによって主 プログラム（Ｐ１）への復帰が実行されることを特徴とする予測不可能なマイク ロプロセッサまたはマイクロコンピュータ。 １９．モノリシック集積回路として実施されることを特徴とする予測不可能なマ イクロプロセッサまたはマイクロコンピュータ。