JP5876473B2 - 少なくとも１つのセキュアなメモリ領域と少なくとも１つの非セキュアなメモリ領域とを同時に提供するメモリモジュール - Google Patents

Description

本発明は、少なくとも１つのセキュアなメモリ領域と少なくとも１つの非セキュアなメモリ領域とを同時に提供するメモリモジュール、及びこのようなメモリモジュールを備えたマイクロコントローラに関する。

本発明は、特に自動車領域における、所謂セキュアなマイクロコントローラの分野に関する。安全性に関わる分野での大抵の適用においては、格納されたデータが操作又は覗き見出来ないということが基本的な主要要件である。対称方式のための鍵又は非対称方式のためのプライベート鍵は秘密であり、攻撃者に対して秘密が保持される必要がある。他の適用ケースでは少なくとも、変更に対する防護、例えば整理番号又は総走行距離表示の格納、チップチューニングの防止等が必要である。

従って、この秘密を閲覧及び／又は変更する必要がある機能を実行するために、セキュアな環境を提供するのが一般的である。この環境は通常、「セキュアなＣＰＵ」と、「セキュアなＮＶＭ」（ＮＶＭ＝Ｎｏｎ Ｖｏｌａｔｉｌｅ Ｍｅｍｏｒｙ）とも呼ばれるデータをセキュアに不揮発に格納するための別体のメモリモジュールであって、「セキュアなＣＰＵ」を介してのみ問い合わせ可能な上記メモリモジュールと、を備える。

セキュアな機能の提供のために、ＣＰＵ、メモリモジュール、バス、Ｉ／Ｏインタフェース等の一般的なマイクロコントローラコンポーネントの他に、セキュアなメモリモジュールのようなセキュアなＣＰＵも備えるマイクロコントローラを利用することを想起されたい。しかしながら、マイクロコントローラ内のセキュアな環境を提供するには比較的コストが掛かり、これは特に、今日では普通に利用される不揮発性メモリの技術に因るものである。セキュアなメモリモジュールは、通常ではフラッシュモジュールとして構成され、全てのフラッシュメモリモジュールのように、本来のメモリセル（トランジスタ）、メモリを駆動するための書込み／読出し電子部品（例えば、ステートマシン、アドレスバッファ、データバッファ、行デコーダ、列デコーダ等）、書込み／読出し電子部品を内部のマイクロコントローラバスに接続するためのインタフェースユニット、及び、電圧供給及び／又は電圧増幅のためのアナログ回路部等を備える。特に、通常（例えば、フラッシュ、ＥＥＰＲＯＭ）ではチャージポンプ及びアンプバンクを備えるこのアナログ回路部は、非常に沢山のチップ面を必要とし、モジュールの標準的な費用となる。

従って、セキュアなマイクロコントローラ内で、セキュアなデータ及び非セキュアなデータを記録するためのメモリモジュールを可能な限り１つだけ使用すればよいというのが望ましい。しかしながら、従来技術で使用されるメモリモジュールの場合、このようなメモリにアクセスする加入者（通常はＣＰＵ）は、データ領域全体を閲覧し修正することが可能であり、従って、セキュアなデータと非セキュアなデータのそれぞれのためにメモリモジュールが使用される。

本発明によれば、請求項１の特徴を備えたメモリモジュールが提案される。好適な実施形態は、従属請求項及び以下の明細書の記載の主題である。

本発明は、１つのメモリモジュール内でのセキュアなメモリ領域及び非セキュアなメモリ領域の同時提供を特に簡単に行うという構想に基づいており、その際に、セキュリティ機能の提供のために必要な要素のみが多重式で構成され、他の全ての要素が可能な限り単一式で構成されることを条件とする。特にメモリモジュールは、各メモリ領域のために固有の書込み／読出し電子ユニットが設けられる場合に、セキュアなメモリ領域と非セキュアなメモリ領域とを同時に提供することが可能であるが、その際に、全ての書込み／読出し電子ユニットのためには、例えば電圧供給回路のような、アナログ回路部が１つメモリモジュール内に設けられる。本発明は、複数の加入者のための大きなメモリの共有を可能とする拡張されたメモリモジュールを記載する。このメモリモジュールによって、加入者がそれぞれ別々に排他的な要素を利用することが可能となり、これにより、秘密のデータ及び／又は操作不可能なデータのセキュリティが保障され続ける。有利に、本発明に係るメモリモジュールは、チップ上の個々の所謂ハードマクロとして定義されうる。

有利に、書込み／読出し電子ユニットを接続するためのインタフェースユニットが１つ設けられる。従って結果として、１つのメモリモジュール内に、複数のメモリ領域が固有の書込み／読出し電子ユニットと共に提供されるが、特に有利に、余剰のインタフェースユニットは省略される。

本発明の好適な実施形態によれば、メモリモジュールはフラッシュメモリとして構成され、構想される数のメモリ領域に電圧を供給するために、１つのチャージポンプ及び／又は１つのアンプバンク（書込み／読出しアンプバンク）が設けられる。特にフラッシュメモリの場合は、アナログ回路部の構成要素としての電圧供給回路に特にコストが掛るため、本発明は特に効果を奏する。

本発明の更なる利点及び実施形態は、以下の明細書の記載及び添付の図面から明らかとなろう。

先に述べた特徴及び以下で解説される特徴は、各示される組み合わせのみならず他の組み合わせでも、又は単独でも、本発明の範囲を逸脱することなく利用されうる。

本発明が、実施形態を用いて図面に概略的に示され、以下では、図面を参照して詳細に解説される。
本発明の保護範囲に含まれないセキュアなマイクロコントローラの構成を概略的に示す。 本発明の好適な実施形態に係るメモリモジュールを備えたマイクロコントローラの構成を概略的に示す。

図１及び図２にはそれぞれ、本発明に関連するマイクロコントローラの構成要素のみが示され、その際、同一の構成要素には同一の符号が付される。

図１には、セキュアなマイクロコントローラが概略的に示され、全体に符号１００が付されている。マイクロコントローラ１００は、マイクロコントローラ内部のバス１２０に接続された主演算ユニット又は主ＣＰＵ１００を備える。データの非セキュアな記録のために設けられた第１のメモリモジュール１３０も、同様にバス１２０と接続される。

マイクロコントローラ１００内にはさらに、セキュアな環境１４０が、セキュアなＣＰＵ１５０及びセキュアなメモリモジュール１６０により提供される。セキュアな機能を実行するために、セキュアなＣＰＵ１５０は、バス１２０を介して問い合わせを受け、その後、必要な場合には、セキュアなメモリモジュール１６０にアクセスする。

メモリモジュール１３０及び１６０は基本的に同一に構成され、それぞれがマイクロコントローラ内部のバス１２０に当該メモリモジュールを接続するためのインタフェースユニット１３１又は１６１と、書込み／読出し電子ユニット１３２又は１６２と、本来のメモリ領域１３３又は１６３と、を有する。メモリモジュール１３０及び１６０は、有利にフラッシュメモリを含み、従って、メモリ領域１３３及び１６３は、メモリセルとして複数の浮遊ゲートトランジスタを含む。さらに各メモリモジュール１３０及び１６０は、アナログ回路部１３４又は１６４を備え、このアナログ回路部１３４又は１６４は、記載されるフラッシュメモリの例では、チャージポンプを備える少なくとも１つの電圧供給回路と、書込み／読出しアンプバンクと、を備える。各書込み／読出し電子ユニット１３２及び１６２は、例えばステートマシン、アドレスバッファ、データバッファ、行デコータ、列デコーダ等を備える。メモリモジュール１３０とメモリモジュール１６０は別体のモジュールであり、従って、それぞれがチップ面上の固有のハードマクロとして定義される。

図２には、本発明の好適な実施形態に係るマイクロコントローラ２００が概略的に示される。マイクロコントローラ２００も同様に複数の構成要素を備え、これら構成要素のうち本発明に関連する構成要素のみが示される。その際に、図１で既に示された構成要素には同一の符号が付される。

マイクロコントローラ２００は、本発明の好適な実施形態に係るメモリモジュール２３０を備える。メモリモジュール２３０は、非セキュアなメモリ領域１３３とセキュアなメモリ領域１６３とを同時に提供するよう構成される。メモリ領域１３３及び１６３にはそれぞれ、対応する書込み／読出し電子ユニット１３２又は１６２が備えられる。各書込み／読出し電子ユニット１３２及び１６２は、例えば、ステートマシン、アドレスバッファ、データバッファ、行デコータ、列デコーダ等を備え、即ち基本的には、確実に分離されたメモリ領域を提供するために必要な構成要素を備える。

しかしながら、好適に、メモリモジュール２３０は、唯一のアナログ回路部２３４であって、フラッシュメモリである場合には、チャージポンプを備えた電圧供給回路、及び／又は、書込み／読出しアンプバンクを特に備え、メモリモジュール２３０の全構成要素に供給する役目を果たす上記アナログ回路部２３４を有する。

示される好適な実施形態によれば、書込み／読出し電子ユニット１３２及び１６２は、唯一のインタフェースユニット２３１を介して外部へと接続され、本例ではマイクロコントローラ内部のバス１２０に接続される。

有利に、セキュアなメモリ領域及と非セキュアなメモリ領域とを同時に提供するメモリモジュール２３０は、チップ面上のハードマクロとして定義されうる。

本明細書で示される本発明の実施形態によれば、セキュアなＣＰＵ１５０は、識別接続２４０を介して、セキュアなメモリモジュール２３０又はそのインタフェースユニット２３１に接続される。インタフェースユニット２３１に対応する回路論理部を追加することによって、異なるメモリ領域１３３及び１６３に対する加入者によるアクセスが、当該アクセスを行う加入者が一意に識別可能である場合には、制限されうる。一意の識別は、例えば、識別接続２４０によって行われうる。しかしながら、識別は、バス１２０を介しても行うことが可能であり、このために例えば、マスタインタフェース識別子のような公知の信号が利用出来る。

本例では２つの加入者のみ、即ち、ＣＰＵ１１０及び１５０が、セキュアなメモリモジュール２３０内の２つのメモリ領域のみ、即ちメモリ領域１３３及び１６３にアクセスするが、本発明は本実施形態に限定されない。むしろ、互いに独立した任意の数の加入者及び任意の数のメモリ領域が提供されうる。

Claims (5)

1. 少なくとも１つのセキュアなメモリ領域（１６３）と少なくとも１つの非セキュアなメモリ領域（１３３）とを有するメモリモジュール（２３０）であって、
   各前記メモリ領域（１３３、１６３）のための固有の書込み／読出し電子ユニット（１３２、１６２）と、
   複数の書込み／読出し電子ユニット（１３２、１６２）及び／又は複数のメモリ領域（１３３、１６３）のための少なくとも１つの共有のアナログ回路部（２３４）と、
   少なくとも２つの書込み／読出し電子ユニット（１３２、１６２）を接続するための少なくとも１つの共有のインタフェースユニット（２３１）を備える、前記メモリモジュール（２３０）と、
   それぞれが前記メモリモジュール（２３０）と接続され、非セキュアなデータの書込み及び／又は読出しのために前記メモリモジュール（２３０）にアクセスする少なくとも１つの主ＣＰＵ（１１０）及びセキュアなデータの書込み及び／又は読出しのために前記メモリモジュール（２３０）にアクセスする少なくとも１つのセキュアなＣＰＵ（１５０）と、
   を備えるマイクロコントローラ（２００）において、
   前記少なくとも１つの主ＣＰＵ（１１０）及び前記少なくとも１つのセキュアなＣＰＵ（１５０）は、それぞれマイクロコントローラ内部のバス接続（１２０）を介して、前記メモリモジュール（２３０）の前記インタフェースユニット（２３１）と接続され、
   前記インタフェースユニット（２３１）は、アクセスする前記少なくとも１つのセキュアなＣＰＵ（１５０）の識別を、前記セキュアなＣＰＵ（１５０）と前記メモリモジュール（２３０）との間のバス接続（１２０）を介して行い、識別した前記少なくとも１つのセキュアなＣＰＵ（１５０）を前記少なくとも１つのセキュアなメモリ領域（１６３）に接続するよう構成されることを特徴とする、マイクロコントローラ（２００）。
2. 前記メモリモジュール（２３０）は、全ての書込み／読出し電子ユニット（１３２、１６２）及び／又は全てのメモリ領域（１３３、１６３）のための厳密に１つのアナログ回路部（２３４）を備える、請求項１に記載のマイクロコントローラ（２００）。
3. 前記アナログ回路部（２３４）は、前記書込み／読出し電子ユニット（１３２、１６２）及び／又は前記メモリ領域（１３３、１６３）に供給するための電圧供給回路を備える、請求項１または２に記載のマイクロコントローラ（２００）。
4. 前記メモリモジュール（２３０）は、全ての書込み／読出し電子ユニット（１３２、１６２）を接続するための厳密に１つのインタフェースユニット（２３１）を備える、請求項１〜３のいずれか１項に記載のマイクロコントローラ（２００）。
5. 前記メモリ領域（１３３、１６３）は、フラッシュメモリ領域として構成され、前記アナログ回路部（２３４）は、チャージポンプ及び／又は書込み／読出しアンプバンクを備える、請求項１〜４のいずれか１項に記載のマイクロコントローラ（２００）。

Images