(57)【要約】【課題】論理的な手段だけによる場合に比べて記憶情報の不正な書き換え抑止の信頼性を向上させる。【解決手段】記憶装置の書き換えに対して、物理的現象の「温度」を、書き換えを許可する条件の１つにする。書き換えを許可する条件は、例えば、基準時の測定温度に対して一定範囲以上の温度変化があることである。更に条件を加重するには、一定の温度状態になっていることを追加すればよい。書き換え要求に応答するとき、上記温度条件を満足していることを検出する。【選択図】図１
2014075023.tif 000002
【特許請求の範囲】
【請求項１】
プログラムを実行するプロセッシングユニットと、
記憶情報を書き換え可能に保持する不揮発性記憶装置と、
前記不揮発性記憶装置の書き換えを制御する制御回路と、を有し、
前記制御回路は、基準時の測定温度に対する特定方向への所定温度幅以上の温度変化を検出することを、前記プロセッシングユニットからの所定の書き換え要求に応答して前記不揮発性記憶装置に書き換えを行う条件とする、電子装置。
【請求項２】
請求項１において、前記制御回路は、前記所定温度幅以上の温度変化を検出したときの測定温度が所定範囲の値であることを、前記書き換えを行う更なる条件とする、電子装置。
【請求項３】
請求項１において、前記特定方向は低温側の方向である、電子装置。
【請求項４】
請求項３において、前記基準時の測定温度とは、前記電子装置を初期化した直後の測定温度である、電子装置。
【請求項５】
請求項１において、前記特定方向は高温側の方向である、電子装置。
【請求項６】
請求項５において、前記基準時の測定温度とは、前記電子装置を初期化した後の測定温度の変化が飽和したときの温度である、電子装置。
【請求項７】
請求項１において、前記所定の書き換え要求は、前記不揮発性記憶装置の記憶情報を変更する要求、及び前記不揮発性記憶装置に新たな記憶情報を追記する要求、の双方である、電子装置。
【請求項８】
請求項１において、前記所定の書き換え要求は、前記不揮発性記憶装置の記憶情報を変更する要求であり、前記不揮発性記憶装置に新たな記憶情報を追記する要求は除外される、電子装置。
【請求項９】
請求項１において、前記不揮発性記憶装置は第１の記憶領域と第２の記憶領域とを有し、
前記所定の書き換え要求は、前記第１の記憶領域に対する書き換え要求であり、前記第２の記憶領域に対する書き換え要求は除外される、電子装置。
【請求項１０】
請求項９において、前記第１の記憶領域は前記プロセッシングユニットが前記不揮発性記憶装置の書き換え制御のために実行する書き換え用制御プログラムが格納される領域である、電子装置。
【請求項１１】
請求項１において、前記温度を測定するための温度センサと、
前記温度センサによる検出アナログ信号を受けてデジタル信号に変換し、変換したデジタル信号を前記制御回路に与えるＡ／Ｄコンバータと、を更に有する電子装置。
【請求項１２】
請求項１１において、前記プロセッシングユニット、前記不揮発性記憶装置、前記制御回路、及び前記アナログディジタル変換回路は１個の半導体基板に形成されたマイクロコンピュータである、電子装置。
【請求項１３】
請求項１１において、前記プロセッシングユニット、前記不揮発性記憶装置、前記制御回路、前記アナログディジタル変換回路、及び前記温度センサが１個の半導体基板に形成され、システムオンチップ化された、電子装置。
【請求項１４】
記憶情報を書き換え可能に保持する不揮発性記憶装置と、
前記不揮発性記憶装置の書き換えを制御する制御回路と、を有し、
前記制御回路は、基準時の温度に対して所定幅の温度変化を生じ所定の温度に達したことを検出することにより、前記不揮発性記憶装置に対する記憶情報の書き換え要求に応答する書き換えが可能にされる、電子装置。
【請求項１５】
記憶情報を書き換え可能に保持する不揮発性記憶装置と、
前記不揮発性記憶装置の書き換えを制御する制御回路と、を有し、
前記制御回路は、基準時の温度に対して所定幅の温度変化を生じ所定の温度に達したことを検出することにより、前記不揮発性記憶装置に対して記憶情報を変更する書き換え要求に応答する書き換えが可能にされ、前記不揮発性記憶装置に対して新たな記憶情報を追記する書き換え要求に応答する書き換えは上記検出を条件とせず可能にされる、電子装置。
【請求項１６】
記憶情報を書き換え可能に保持する第１記憶領域及び第２記憶領域を備えた不揮発性記憶装置と、
前記不揮発性記憶装置の書き換えを制御する制御回路と、を有し、
前記制御回路は、基準時の温度に対して所定幅の温度変化を生じ所定の温度に達したことを検出することにより、前記第１記憶領域に対する記憶情報の書き換え要求に応答する書き換えが可能にされ、前記第２記憶領域に対する記憶情報の書き換え要求に応答する書き換えは上記検出を条件とせず可能にされる、電子装置。
【請求項１７】
請求項１６において、前記第１の記憶領域は前記制御回路に書き換え要求を発行するプロセッシングユニットが前記不揮発性記憶装置の書き換え制御のために実行する書き換え用制御プログラムを格納する領域である、電子装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、書き換え可能な不揮発性記憶装置に対する記憶情報の保護若しくは書き換えの制限に係り、それを温度に着目して行う電子装置に関するものであり、例えば動作保証温度の範囲が比較的広いことが要求される車載機器や屋外設置機器に適用して有効なデータ処理装置若しくはデータ処理システムに関する。
【背景技術】
【０００２】
記憶情報の保護という点について特許文献１には、半導体装置における半導体記憶素子の特定領域の値と入力されたデータが一致することを複数の領域に対して行い、全ての照合が一致した場合に、書き換えの動作制限を解除するシステムについて記載されている。
【０００３】
また、特許文献２には、電子装置の有するフラッシュＲＯＭの書き換えについて、書き換え保証範囲の温度であるかを、温度センサを使用して測定し、書き換え保証温度の範囲の上限値又は下限値を超えて、いた場合には、書き換え禁止状態であることをメモリ書き換え装置に通知するシステムについて記載されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００１−３５６９６３号公報
【特許文献２】特開平１１−２３２８８７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
本発明者は記憶情報の不正書き換えを防止することについて検討した。
【０００６】
特許文献１のようなシステムでは、書き換えのセキュリティにパスワードの照合等の論理的な手段で、記憶装置の書き換えの許否を制御している。このように記憶情報に対するセキュリティ機能を専ら論理的な手段によって実現すれば、外部に設けた特別な装置若しくは設備に依存することなく、セキュリティ対象の装置若しくはシステムそれ自体でセキュリティ機能を実現することができる。しかしながら、これは、不正書き換えの防止方法について解析され、或いは、防止方法が漏洩してしまうこと等により第三者に把握された場合には、特別な設備等を有していなくても、容易に不正な書き込み、読み出しを許してしまうことになる。さらに、不正書き換え防止方法を把握した悪意を持つ第三者が、防止方法を広く公開した場合、他の多数の第三者についても、正規のユーザが意図しない不正な書き込み、それにより秘匿情報の不正な読み出しが容易に行われてしまうことに繋がるという問題点がある。
【０００７】
また、特許文献２のシステムでは、書き換え時の装置の温度について、書き換え保証温度の範囲に入っているかを、温度センサからの情報を用いて判定を行い、書き換えの許否を制御する。しかしながら、特許文献２の発明は、フラッシュメモリのフローティングゲートへの電子注入について過大、過少に注入しないことを目的とするものであり、不正書き換えへのセキュリティに寄与する観点は皆無である。
【０００８】
本発明者は、セキュリティ機能の実現のために、例えば記憶情報の不正書き換えを抑制するために、パスワードの照合に代表されるような論理的な手段だけでは脆弱になる虞のあることに着目した。そして、外部に設けた特別な装置若しくは設備を利用しなければならなくなったとしても、物理的な条件についても考慮することの優位性について認識した。さらに、仮に論理的な手段によって記憶領域のセキュリティ機能を実現しても、フラッシュファームなどを格納する特定記憶領域の書き換えが、ユーザプログラムの不正書き換えのセキュリティホールになり得る場合のあることが本発明者によって明らかにされた。要するに、秘匿情報の読み出し動作に対するセキュリティだけでなく、書き換え制御プログラムの不正書き換えに対するセキュリティの実現も重要であるということである。
【０００９】
上記並びにその他の課題と新規な特徴は本明細書の記述及び添付図面から明らかになるであろう。
【課題を解決するための手段】
【００１０】
本願において開示される実施の形態のうち代表的ものの概要を簡単に説明すれば下記の通りである。
【００１１】
すなわち、記憶装置の書き換えに対して、物理的現象の「温度」を、書き換えを許可する条件の１つにする。書き換えを許可する条件は、例えば、基準時の測定温度に対して一定範囲以上の温度変化があることである。更に条件を加重するには、一定の温度状態になっていることを追加すればよい。書き換え要求に応答するとき、上記温度条件を満足していることを検出する。
【発明の効果】
【００１２】
本願において開示される実施の形態のうち代表的なものによって得られる効果を簡単に説明すれば下記のとおりである。
【００１３】
すなわち、論理的な手段だけによる場合に比べて記憶情報の不正な書き換え抑止の信頼性を容易に向上させることができる。
【図面の簡単な説明】
【００１４】
【図１】図１は実施の形態１に係る電子装置を例示するブロック図である。
【図２】図２は書き換え許可装置の動作を例示するフローチャートである。
【図３】図３は実施の形態１におけるメモリコントローラの動作を例示するフローチャートである。
【図４】図４は実施の形態３におけるメモリコントローラの動作を例示するフローチャートである。
【図５】図５は実施の形態４に係る電子装置を例示するブロック図である。
【図６】図６は実施の形態４におけるメモリコントローラの動作を例示するフローチャートである。
【図７】図７は実施の形態５に係る電子装置を例示するブロック図である。
【発明を実施するための形態】
【００１５】
１．実施の形態の概要
先ず、本願において開示される代表的な実施の形態について概要を説明する。代表的な実施の形態についての概要説明で括弧を付して参照する図面中の参照符号はそれが付された構成要素の概念に含まれるものを例示するに過ぎない。
【００１６】
〔１〕＜所定温度幅以上の温度変化で不揮発性記憶装置に書き換え許可＞
代表的な実施の形態に係る電子装置（１，１Ａ，１Ｂ）は、プログラムを実行するプロセッシングユニット（１０）と、記憶情報を書き換え可能に保持する不揮発性記憶装置（１１）と、前記不揮発性記憶装置の書き換えを制御する制御回路（１６，１６Ａ）と、を有する。前記制御回路は、基準時の測定温度に対する特定方向への所定温度幅（実施の形態１におけるＷｗｄｔ、実施の形態２におけるＴｗｄｔ´）以上の温度変化を検出することを、前記プロセッシングユニットからの所定の書き換え要求に応答して前記不揮発性記憶装置に書き換えを行う条件とする。
【００１７】
これによれば、記憶情報の不正書き換えを抑制するために、物理的現象の「温度」として、基準時の測定温度に対する所定範囲以上の温度変化を、所定の書き換えを許可する条件とすることから、電子装置毎に個別の環境下で上記温度条件を満足することが必要になる。即ち、電子装置毎に個別に温度変化という物理条件を満足させることが必要である。換言すれば、論理的なセキュリティ手法のようにその論理が見破られてしまえば全ての電子装置でそのセキュリティ機能が意味を失うというような画一的な手段とは異なり、電子装置毎に個別の環境に即して物理条件を満足しなければ書き換えが許可されないという個別性の高い不正書き換え抑制手段となる。個別性の高い物理条件を満足することを書き換え許可条件とするから、論理的な手段だけによる場合に比べて記憶情報の不正な書き換え抑止の信頼性を向上させることができる。しかも、個別性の高い物理条件として温度変化に着目しているから、そのような信頼性の向上を容易に実現することができる。上記温度条件を満足して正規の書き換えを行うには恒温槽等の設備を要するが、その設備自体特殊な設備ではない。
【００１８】
〔２〕＜絶対値的な所定値を超える温度変化を書き換え許可の加重条件とする＞
項１において、前記制御回路は、前記所定温度幅以上の温度変化を検出したときの測定温度が所定範囲の値（実施の形態１におけるＴｌｏｗ、実施の形態２におけるＴｕｐ）であることを、前記書き換えを行う更なる条件とする。
【００１９】
これによれば、個別性の高い物理条件としての温度状態を加重に課して、その信頼性を更に向上させることができる。
【００２０】
〔３〕＜低温側への変化＞
項１において、前記特定方向は低温側の方向である（実施の形態１）。
【００２１】
これによれば、仮に所定温度幅を高温側の温度幅にすると、動作によって温度が上昇する電子装置の温度幅が偶然に書き換え条件としての高温側の温度幅に入ることがあり、そのような偶然を排除することができる。
【００２２】
〔４〕＜基準時の測定温度：装置を初期化した直後の測定温度＞
請３において、前記基準時の測定温度とは、前記電子装置を初期化した直後の測定温度である。
【００２３】
これによれば、動作によって温度が上昇する電子装置の通常の使用環境下で、低温側への上記所定の温度幅以上の温度変化が偶然得られる状態を容易に排除することができる。
【００２４】
〔５〕＜高温側への変化＞
項１において、前記特定方向は高温側の方向である（実施の形態２）。
【００２５】
これによれば、基準時の測定温度から高温側に変化させる場合も許容される。
【００２６】
〔６〕＜基準時の測定温度：初期化後に飽和した測定温度＞
項５において、前記基準時の測定温度とは、前記電子装置を初期化した後の測定温度の変化が飽和したときの温度である。
【００２７】
これによれば、動作によって温度が上昇する電子装置の通常の使用環境下において、仮に、初期化直後の測定温度を基準に前記所定温度幅以上の温度変化を検出する場合には、高温側への上記所定の温度幅が偶然に書き換え条件としての高温側の温度範囲に入る可能性が高くなり、基準時の測定温度の観点より、そのような偶然を排除することができる。
【００２８】
〔７〕＜所定の書き換え要求：記憶情報の変更、追記＞
項１において、前記所定の書き換え要求は、前記不揮発性記憶装置の記憶情報を変更する要求、及び前記不揮発性記憶装置に新たな記憶情報を追記する要求、の双方である（実施の形態１）。
【００２９】
これによれば、プログラム又はデータなどの記憶情報を一切操作されたくないという要求に好適である。
【００３０】
〔８〕＜所定の書き換え要求：記憶情報の変更＞
項１において、前記所定の書き換え要求は、前記不揮発性記憶装置の記憶情報を変更する要求であり、前記不揮発性記憶装置に新たな記憶情報を追記する要求は除外される（実施の形態３）。
【００３１】
これによれば、積算データを順次蓄積する用途などを想定すると、新たな積算データの追記には温度条件を用いた書き換え制限を行わず、一旦蓄積した積算データには温度条件を用いた書き換え制限を課して、データ改竄の抑制を可能にする、積算メータとしてのスマートメータへの適用に好適である。
【００３２】
〔９〕＜特定記憶領域に対して書き換え制限＞
項１において、前記不揮発性記憶装置は第１の記憶領域（ＭＥ１）と第２の記憶領域（ＭＥ２）とを有する。前記所定の書き換え要求は、前記第１の記憶領域に対する書き換え要求であり、前記第２の記憶領域に対する書き換え要求は除外される（実施の形態４）。
【００３３】
これによれば、温度条件を用いた書き換え製制限を特定の記憶領域に対してだけ行うことができる。
【００３４】
〔１０〕＜特定記憶領域：書き換え用制御プログラムの格納領域＞
項９において、前記第１の記憶領域は前記プロセッシングユニットが前記不揮発性記憶装置の書き換え制御のために実行する書き換え用制御プログラムが格納される領域である。
【００３５】
これによれば、書き換え用制御プログラムの不正書き換えを抑制することができるので、書き換え用制御プログラムを格納する記憶領域の書き換えが、ユーザプログラムなどの動作プログラムの不正書き換えのセキュリティホールになる虞を未然に防止することができる。
【００３６】
〔１１〕＜温度センサ＞
項１において、前記温度を測定するための温度センサ（３）と、前記温度センサによる検出アナログ信号を受けてデジタル信号に変換し、変換したデジタル信号を前記制御回路に与えるＡ／Ｄコンバータ（１４）と、を更に有する。
【００３７】
これによれば、上記書き換え制限を行う上で温度検出に好適と考えられる場所の温度検出結果を用いることができる。例えば他の回路の温度上昇の影響を直接受け難い場所で温度検出を行った結果を用いることができる。
【００３８】
〔１２〕＜マイクロコンピュータと外付け温度センサ＞
項１１において、前記プロセッシングユニット、前記不揮発性記憶装置、前記制御回路、及び前記アナログディジタル変換回路は１個の半導体基板に形成されたマイクロコンピュータ（２）である。
【００３９】
これによれば、マイクロコンピュータと温度センサは別体とされるから、マイクコンピュータの動作にしたがって温度上昇の影響を直接受けずに温度検出を行った結果を用いることができる。
【００４０】
〔１３〕＜温度センサをオンチップしたマイクロコンピュータ＞
項１１において、前記プロセッシングユニット、前記不揮発性記憶装置、前記制御回路、前記アナログディジタル変換回路、及び前記温度センサが１個の半導体基板に形成され、システムオンチップ化された半導装置として実現される（実施の形態５）。
【００４１】
これによれば、温度センサがオンチップされるから、外気の影響を受けずに温度測定が可能になる。半導体装置の回路動作による温度上昇の影響を緩和することを考慮すればＣＰＵなどの消費電力の大きな回路から温度センサを遠ざければよい。また、Ａ／Ｄコンバータの変換データの下位ビットを使用せず、分解能を落として使用すればよい。
【００４２】
〔１４〕＜一定の温度変化と所定の温度への到達＞
別の実施の形態による電子装置（実施の形態１、２）は、記憶情報を書き換え可能に保持する不揮発性記憶装置（１１）と、前記不揮発性記憶装置の書き換えを制御する制御回路（１６）と、を有する。前記制御回路は、基準時の温度に対して所定幅の温度変化を生じ所定の温度に達したことを検出することにより、前記不揮発性記憶装置に対する記憶情報の書き換え要求に応答する書き換えが可能にされる。
【００４３】
これによれば、項１及び項２と同様の作用効果を得る。即ち、記憶情報の書き換えを行うには、電子装置毎に個別の温度変化という物理条件を満足させることが必要である。換言すれば、個別性の高い物理条件を満足することを書き換え許可条件とするから、論理的な手段だけによる場合に比べて記憶情報の不正な書き換え抑止の信頼性を向上させることができる。しかも、個別性の高い物理条件として温度変化に着目しているから、そのような信頼性の向上を容易に実現することができる。更に、個別性の高い物理条件としての温度状態を加重に課すことによって、その信頼性を更に向上させることができる。
【００４４】
〔１５〕＜記憶情報に変更と追記＞
さらに別の実施の形態による電子装置（実施の形態３）は、記憶情報を書き換え可能に保持する不揮発性記憶装置と、前記不揮発性記憶装置の書き換えを制御する制御回路と、を有する。前記制御回路は、基準時の温度に対して所定幅の温度変化を生じ所定の温度に達したことを検出することにより、前記不揮発性記憶装置に対して記憶情報を変更する書き換え要求に応答する書き換えが可能にされ、前記不揮発性記憶装置に対して新たな記憶情報を追記する書き換え要求に応答する書き換えは上記検出を条件とせず可能にされる。
【００４５】
これによれば、項７と同様の作用効果を奏する。すなわち、積算データを順次蓄積する用途などを想定すると、新たな積算データの追記には温度条件を用いた書き換え制限を行わず、一旦蓄積した積算データには温度条件を用いた書き換え制限を課して、データ改竄の抑制を可能にする、積算メータとしてのスマートメータへの適用に好適である。
【００４６】
〔１６〕＜書き換え制限を受ける領域と受けない領域＞
更に別の実施の形態による電子装置（実施の形態４）は、記憶情報を書き換え可能に保持する第１記憶領域（ＭＥ１）及び第２記憶領域（ＭＥ２）を備えた不揮発性記憶装置（１１）と、前記不揮発性記憶装置の書き換えを制御する制御回路（１６Ａ）と、を有する。前記制御回路は、基準時の温度に対して所定幅の温度変化を生じ所定の温度に達したことを検出することにより、前記第１記憶領域に対する記憶情報の書き換え要求に応答する書き換えが可能にされ、前記第２記憶領域に対する記憶情報の書き換え要求に応答する書き換えは上記検出を条件とせず可能にされる。
【００４７】
これによれば、項９と同様の作用効果を奏し、温度条件を用いた書き換え製制限を特定の記憶領域に対してだけ行うことができる。
【００４８】
〔１７〕＜書き換え用制御プログラムの格納領域＞
項１６において、前記第１の記憶領域は前記制御回路に書き換え要求を発行するプロセッシングユニットが前記不揮発性記憶装置の書き換え制御のために実行する書き換え用制御プログラムを格納する領域である。
【００４９】
これによれば、項１０と同様に作用効果を奏する。すなわち、書き換え用制御プログラムの不正書き換えを抑制することができるので、書き換え用制御プログラムを格納する記憶領域の書き換えが、ユーザプログラムなどの動作プログラムの不正書き換えのセキュリティホールになる虞を未然に防止することができる。
【００５０】
２．実施の形態の詳細
実施の形態について更に詳述する。
【００５１】
《実施の形態１》
図１には実施の形態１に係る電子装置が例示される。同図に示される電子装置１は、例えば動作保証温度範囲が比較的広いことが要求される車載機器としてのＥＣＵ（electronic control unit）や屋外設置機器としてのスマートメータなどに適用される電子装置であり、特に、不揮発性記憶装置の不正書き換えを防止するための構成を主に示してある。ここでは、電子装置１は、代表的に示されたマイクロコンピュータ２及び温度センサ３などを有する。マイクロコンピュータ２には制御対象とされる図示を省略する機器が接続される。
【００５２】
マイクロコンピュータ２は、特に制限されないが、ＣＭＯＳ集積回路製造技術などを用いて、単結晶シリコンのような１個の半導体基板に形成される。マイクロコンピュータ２は、特に制限されないが、中央処理装置（ＣＰＵ）１０、不揮発性記憶装置１１、メモリコントローラ１２、書き換え許可装置１３、Ａ／Ｄコンバータ１４、及び外部インタフェース回路（ＥＸＩＦ）１５を有する。メモリコントローラ１２及び書き換え許可装置１３は不揮発性記憶装置１１の書き換えを制御する制御回路１６の一例を成す。
【００５３】
中央処理装置（ＣＰＵ）１０は、プログラムを実行するプロセッシングユニットの一例である。ＣＰＵ１０はプログラムから順次命令をフェッチし、フェッチした命令を解読し、解読結果にしたがって演算処理及びデータフェッチ処理などを制御する。
【００５４】
不揮発性記憶装置１１は、記憶情報を書き換え可能に保持する不揮発性の記憶装置であり、例えば電気的に蓄積電荷の減少又は増加が行われることによって閾値電圧の変更可能にされ、閾値電圧の相違として情報記憶を行う、電気的に書き換え可能なフラッシュメモリによって構成される。特に制限されないが、蓄積電荷を減少させるための高電界を形成する動作をイレーズと称し、イレーズによる閾値電圧の変化を確めるためのリード動作をイレーズベリファイリードと称する。蓄積電荷を増加させるための高電界を形成する動作をプログラムと称し、プログラムによる閾値電圧の変化を確めるためのリード動作をプログラムベリファイリードと称する。
【００５５】
不揮発性記憶装置１１は、特に制限されないが、ＣＰＵ１０が実行するプログラムの保持領域と、ＣＰＵ１０が処理するデータの保持領域等として利用される。
【００５６】
メモリコントローラ１２は不揮発性記憶装置１１に対する書き換えに関連するメモリ制御を行う。ここでは、特に制限されないが、不揮発性記憶装置１１に対するリードコマンドは中央処理装置１０が直接不揮発性記憶装置１１に発行し、不揮発性記憶装置１１はそのリードコマンドに応答して、リードアドレスのデータを中央処理装置１０に出力する。メモリコントローラ１２を介してリードアクセスする場合に比べてアクセス時間が短縮されるから、ＣＰＵ１０によるプログラムフェッチなどに好適である。ここではメモリコントローラ１２は、専らも不揮発性記憶装置１１に対する書き換え制御を行う。書き換えとは、便宜上、有意の情報が一旦書き込まれた領域の記憶情報を変更する（更新する）ことと、有意の情報が未書き込みの領域に情報を書き込む（追記する）ことに大別される。特に制限されないが、実施の形態１では上記更新書き換えと追記書き換えには同じ書き換えコマンドコードが割り当てられる。即ち、更新書き換えか追記書き換えかの相違は書き換え対象アクセスアドレスの相違とされ、ＣＰＵ１０が実行する書き換え制御プログラによる制御に従うことになる。書き換えのコマンドは、例えば、消去コマンド、プログラムコマンド、ベリファイリードコマンドなどから成る。ＣＰＵ１０は書き換え制御プログラムを実行することによる処理対象アドレスを伴って書き換えコマンドをメモリコントローラ１２に発行する。書き換え制御プログラムは前述の通り不揮発性記憶装置１１が保有する。
【００５７】
メモリコントローラ１２は、特に制限されないが、ＣＰＵ１０から書き換えコマンドを受け取ったとき、書き換え許可装置１３からの書き換え許可があれば、そのコマンドコードの解読結果に従って、不揮発性記憶装置１１に所定に手順で書き換え動作の制御信号を出力し、イレーズ、イレーズベリファイリード、プログラム、プログラムベリファイリードの動作をさせる。メモリコントローラ１２はイレーズベリファイリードでリードしたデータの閾値が所定値に達するまでイレーズの操作を繰返し、プログラムベリファイリードでリードしたデータの閾値が所定値に達するまでプログラムの操作を繰返す。
【００５８】
書き換え許可装置１３は、前記メモリコントローラ１２と一緒になって、不揮発性記憶装置１１の書き換えを制御する制御回路１６を成す。この制御回路１６は、基準時（例えばパワーオンリセット時）の測定温度に対する特定方向（例えば低温側）への所定温度幅以上の温度変化を検出すること、そして、前記所定温度幅以上の温度変化を検出したときの測定温度が所定範囲の値であることを、前記ＣＰＵ１０からの所定の書き換え要求に応答して前記不揮発性記憶装置１１に書き換えを行う条件とする回路である。
【００５９】
上記制御回路１６について詳述する。書き換え許可装置１３は、マイクロコンピュータのパワーオンリセットに応答して、サーミスタなどの温度センサ３から出力されるアナログ検出信号ＡＴＭＰをＡ／Ｄコンバータ１４でディジタル変換した温度データＤＴＭＰを入力する。温度センサ３は電子装置１の温度若しくはマイクロコンピュータ２の周囲の温度を測定する。その温度データＤＴＭＰは初期温度データ（温度情報Ａ）として書き換え許可装置１３内のテンポラリレジスタＴＲＥＧに格納される。また、書き換え許可装置１３は、メモリコントローラ１２がＣＰＵ１０から書き換えコマンドを受け取ったとき発行する書き換えリクエスト信号ＰＥＲＥＱを受け取る。書き換え許可装置１３は書き換えリクエスト信号ＰＥＲＥＱを受け取ると、そのとき、温度センサ３から出力されるアナログ検出信号ＡＴＭＰをＡ／Ｄコンバータ１４でディジタル変換した温度データＤＴＭＰを入力する。入力した温度データＤＴＭＰは被検温度データ（温度情報Ｂ）とされえる。書き換え許可装置１３は、温度情報Ａに対して温度情報Ｂが低温側に所定温度幅（Ｔｗｄｔ）以上変化していること、温度情報Ｂの値が所定範囲の温度、例えば下限温度（Ｔｌｏｗ）以下の温度であること、の双方を検出した場合に、メモリコントローラ１２に判定結果信号ＰＥＲＬＴにて書き換え許可の指示を与える。何れかの条件が検出できない場合には、判定結果信号ＰＥＲＬＴにて書き換え禁止の指示を与える。条件の温度、例えば下限温度（Ｔｌｏｗ）は不揮発性記憶装置１１の書き換えが保証できる温度内であることは言うまでもない。
【００６０】
次に、不揮発性記憶装置１１に対する書き換え制御について説明する。書き換え処理では、（１）ＣＰＵ１０がその動作プログラムを実行して、メモリコントローラ１２を制御する。（２）メモリコントローラ１２は書き換え許可装置１３に対して、書き換えリクエスト信号ＰＥＲＥＱをアサートする。（３）書き換え許可装置１３は温度情報Ｂを取得し、先に取得されている温度情報Ａも参照して、温度条件を満足するかの判定を行う。判定結果に従ってメモリコントローラ１２へ書き換え許否を指示するための判定結果信号ＰＥＲＬＴ信号が出力される。（４）メモリコントローラ１２は書き換え許可装置１３から書き換え許可の指示を待って、不揮発記憶装置１１に対する書き換えの操作を行う。不正でない正規の書き換え制御では、ＣＰＵ１０は不揮発性記憶装置１１が保有する書き換え制御プログラムを実行する。ここで、書き換え制御プログラムの不正な書き換えが行われる場合を想定する。外部インタフェース回路１５に接続されたＥＰＲＯＭライタなどの書込み装置を用いてＣＰＵ１０に不正な書込み制御プログラムを実行させ、或いはメモリコントローラ１２に不正に書き換えコマンドを発行して、不揮発性記憶装置１１に格納されている正規の書き換え制御プログラムを非正規の書き換え制御プログラムに書き換えて改竄しようとする行為が考えられる。書き換え許可装置１３による温度条件の判別処理がその様な不正書き換えを抑止するように作用する。この点を中心に不正書き換え抑止の作用を更に詳述する。
【００６１】
図２には書き換え許可装置の動作フローが例示される。
【００６２】
マイクロコンピュータ２に電源が投入されてパワーオンリセットされると、書き換え許可装置１３は温度センサ３の出力ＡＴＭＰをＡ／Ｄコンバータ１４で変換したデータＤＴＭＰを入力して温度情報Ａを取得する（Ｓ１）。
【００６３】
その後、書き換え許可装置１３は、メモリコントローラ１２からの書き換えコマンドによる書き換えリクエスト信号ＰＥＲＥＱを入力し（Ｓ２）、それによって書き換えリクエストがあったか否かの判別を行う（Ｓ３）。
【００６４】
書き換えリクエストがあったとき、書き換え許可装置１３は、そのとき温度センサ３の出力ＡＴＭＰをＡ／Ｄコンバータ１４で変換したデータＤＴＭＰを入力して温度情報Ｂを取得する（Ｓ４）。取得した温度情報Ｂに対して、その値が基準内の値即ち所定範囲の温度である下限温度（Ｔｌｏｗ）以下の温度であるか否かを判別する。
【００６５】
温度情報Ｂの値が下限温度（Ｔｌｏｗ）よりも高いと判別したときは、書き換え許可装置１３は判定結果信号ＰＥＲＬＴにて書き換え禁止の指示をメモリコントローラ１２に与える（Ｓ８）。
【００６６】
温度情報Ｂの値が下限温度（Ｔｌｏｗ）以下であると判別したときは、温度情報Ａと温度情報Ｂの差分が基準内か、即ち、温度情報Ａに対して温度情報Ｂが低温側に所定温度幅（Ｔｗｄｔ）以上変化しているか否かを判定する（Ｓ６）。
【００６７】
所定温度幅（Ｔｗｄｔ）以上変化していないと判別したときは書き換え許可装置１３は判定結果信号ＰＥＲＬＴにて書き換え禁止の指示をメモリコントローラ１２に与える（Ｓ８）。
【００６８】
所定温度幅（Ｔｗｄｔ）以上変化していると判別したときは書き換え許可装置１３は判定結果信号ＰＥＲＬＴにて書き換え許可の指示をメモリコントローラ１２に与える（Ｓ７）。
【００６９】
書き換え許可装置１３はステップＳ７又はＳ８の処理後に、ステップＳ２に戻り、以上の処理を繰返す。
【００７０】
図３にはメモリコントローラ１２の動作フローが例示される。
【００７１】
メモリコントローラ１２は書き換えコマンドによって書き換え要求があると、書き換えリクエスト信号ＰＥＲＥＱにより書き換えリクエストを書き換え許可装置１３に出力する（Ｓ１０）。この後、それに応答して書き換え許可装置１３が出力する判定結果信号ＰＥＲＬＴの入力を待つ（Ｓ１１）。
【００７２】
判定結果信号ＰＥＲＬＴによる判定結果を判別し書き換え不許可の場合は（Ｓ１２）、ＣＰＵ１０に異状を通知する（Ｓ１５）。この異状の通知は、ＣＰＵ１０に対する所定の割込み要求、リセット要求、或いはＣＰＵ１０を介して外部インタフェース回路１５から外部にエラーコード出力等とされる。エラーコードの出力先は外部インタフェース回路１５に接続される図示を省略する書込み装置である。
【００７３】
判定結果信号ＰＥＲＬＴによる判定結果が書き換え許可の場合（Ｓ１２）、メモリコントローラ１２はＣＰＵ１０から供給された書き換えコマンドにしたがって、書き換え対象アドレス対する書き換えのための制御信号を不揮発性記憶装置１１に出力して書き換えを実施する（Ｓ１３）。書き換えを実施した結果、書き換えが正常終了したか否かをＣＰＵ１０に通知する（Ｓ１４）。書き換えの正常／異常は例えばベリファイリード動作よってリードしたデータが目的論理値になったか否かによって判別される。
【００７４】
実施の形態１によれば以下の作用効果を得る。
【００７５】
（１）不揮発性記憶装置１１に記憶された記憶情報の不正書き換えを抑制するために、物理的現象の「温度」として、基準時の測定温度である温度情報Ａに対して温度情報Ｂが低温側に所定温度幅（Ｔｗｄｔ）以上変化していることを、書き換え許可の条件とする。更に、そのときの温度情報Ｂの値が下限温度（Ｔｌｏｗ）以下であることも、温度条件に加えられている。したがって、電子装置１毎に個別の環境下で上記温度条件を満足することが必要になる。即ち、電子装置１毎に個別に温度変化という物理条件を満足させることが必要である。換言すれば、論理的なセキュリティ手法のようにその論理が見破られてしまえば全ての電子装置１でそのセキュリティ機能が意味を失うというような画一的な手段とは異なり、電子装置１毎に個別の環境に即して物理条件を満足しなければ書き換えが許可されないという個別性の高い不正書き換え抑制手段となる。個別性の高い物理条件を満足することを書き換え許可条件とするから、論理的な手段だけによる場合に比べて記憶情報の不正な書き換え抑止の信頼性を向上させることができる。しかも、個別性の高い物理条件として温度変化に着目しているから、そのような信頼性の向上を容易に実現することができる。
【００７６】
（２）書き換え許可の温度条件として、基準時の測定温度である温度情報Ａに対して温度情報Ｂが低温側に所定温度幅（Ｔｗｄｔ）以上変化しているという第１条件だけでなく、のときの温度情報Ｂの値が下限温度（Ｔｌｏｗ）以下であるという第２条件も、温度条件に加えられている。第１及び第２の温度条件を採用することにより、温度情報Ａによる温度の高低次第で、第２条件を満足しても第１条件を満足できない状態を生ずる。このように、個別性の高い物理条件としての温度状態を第１条件と第２条件により加重に課しているから、その信頼性を更に向上させることができる。
【００７７】
（３）パワーオンリセットの直後に温度情報Ａを取得し、その後時間が経過すれば、電子装置１の通常使用状態では、その動作によって発熱し、電子装置１それ自体の温度が上昇する。更に電子装置１がＥＣＵのような車載回路の場合には車両の走行による原動機からの熱などによっても温度上昇する。したがって、前記書き換えコマンドの発行に同期して書き換え装置１３が測定する温度に対応した温度情報Ｂは、電子装置１を特別に低温環境に配置しない限り、温度情報Ａよりも高温になるはずである。したがって、実施の形態１における書き換え許可の条件である、温度情報Ａに対して温度情報Ｂが低温側に所定温度幅（Ｔｗｄｔ）以上変化していること、前記温度情報Ｂの値が下限温度（Ｔｌｏｗ）以下であること、の双方共に、通常使用状態とは逆の低温側への変化状態に対応される。この意味において、仮に所定温度幅を高温側の温度幅にすると、動作によって温度が上昇する電子装置の温度幅が偶然に書き換え条件としての高温側の温度幅に入ることがあり、そのような偶然を容易に排除することができる。このように、書き換えを許可する条件の温度は、人間が通常活動する温度から、明らかに外れた低温状態とされるで、条件を知らない者が偶然にセキュリティを回避することを防ぐことができる。したがって、実施の形態１によれば、偶然に書き換え条件が満たされないこと、及び、条件が知られても実現されにくい温度であることを書き換え条件とされているので、不揮発性記憶装置１１の不正な書き換えを効果的且つ高い信頼性を持って防止することができる。
【００７８】
尚、正当に不揮発性記憶装置の書き換えを行うには、恒温槽等を使用することにより書き換えが許可される２つの条件を任意に作り出せばよい。上記温度条件を満足して正規の書き換えを行うには恒温槽等の設備を要するが、その設備自体特殊な設備ではない。
【００７９】
（４）上記実施の形態１ではＣＰＵ１０の処理データであってもＣＰＵ１０が実行するプログラムであっても、不揮発性記憶装置の全記憶領域に対して不正書き換えを抑制することができる。特に書き換え用制御プログラムが格納される領域の不正書き換えに着目すれば、書き換え用制御プログラムの不正書き換えを抑制することができるので、書き換え用制御プログラムを格納する記憶領域の不正な書き換えが、ユーザプログラムなどの動作プログラムの不正書き換えのセキュリティホールになる虞を未然に防止することができる。
【００８０】
（５）本実施の形態では、書き換えの条件を満足するための温度環境が低温環境となるので、その低温環境下のみでの書き換え動作を保証できれば良く、高温環境下の書き換えを保証することを要しない為、不揮発性記憶装置１１について、選別工程の内容を簡素化できる効果が副次的に得られる。更に、先述の通り、書き換えが許可される条件の温度は、不揮発性記憶装置１１の書き換えを保証できる温度範囲内とするから、書き換え保証範囲外の温度状態で書き換えを禁止するという機能（例えば特許文献２に記載）も、自ずから備わることになる。
【００８１】
《実施の形態２》
実施の形態１では第１及び第２の温度条件を、温度情報Ａに対して温度情報Ｂが低温側に変化する場合を想定した。実施の形態２は、これとは逆に、温度情報Ａに対して温度情報Ｂが高温側に変化する場合を想定する。実施の形態２における書き換え許可装置１３は、メモリコントローラ１２がＣＰＵ１０から書き換えコマンドを受け取ったとき発行する書き換えリクエスト信号ＰＥＲＥＱを受け取る。書き換え許可装置１３は書き換えリクエスト信号ＰＥＲＥＱを受け取ると、そのとき、温度センサ３から出力されるアナログ検出信号ＡＴＭＰをＡ／Ｄコンバータ１４でディジタル変換した温度データＤＴＭＰを入力する。入力した温度データＤＴＭＰは被検温度データ（温度情報Ｂ）とされえる。書き換え許可装置１３は、温度情報Ａに対して温度情報Ｂが高温側に所定温度幅（Ｔｗｄｔ´）以上変化していること、温度情報Ｂの値が所定範囲の温度、例えば上限温度（Ｔｕｐ）以上の温度であること、の双方を検出した場合に、メモリコントローラ１２に判定結果信号ＰＥＲＬＴにて書き換え許可の指示を与える。何れかの条件が検出できない場合には、判定結果信号ＰＥＲＬＴにて書き換え禁止の指示を与える。条件の温度、例えば上限温度（Ｔｕｐ）は不揮発性記憶装置１１の書き換えが保証できる温度内であることは言うまでもない。その他の構成は実施の形態１と同じであるからその詳細な説明は省略する。
【００８２】
このように書き換え許可の温度条件を高温側に変化した場合とするとき、温度情報Ａを、初期化後に飽和した測定温度とする。例えば、パワーオンリセット後に温度センサ３を用いて測定される温度の変化が飽和したときの温度を、基準時の温度とする。通常動作では例えば車載機器としてのＥＣＵの場合にはエンジン始動から始まる温度上昇は飽和したときの温度である。飽和は完全な飽和だけでなく、ほぼ飽和とみなせる状態でもよい。
【００８３】
これによれば、動作によって温度が上昇する電子装置の通常の使用環境下において、仮に、初期化直後の測定温度を基準に前記所定温度幅以上の温度変化を検出する場合には、高温側への上記所定の温度幅が偶然に書き換え条件としての高温側の温度範囲に入る可能性が高くなり、基準時の測定温度の観点より、そのような偶然を排除することができる。
【００８４】
《実施の形態３》
実施の形態１では不揮発性記憶装置１１に対する書き換えの全てに対して温度条件を用いて不正書き換えを抑止する構成について説明した。不揮発性記憶装置１１に対する書き換え要求を、前記不揮発性記憶装置１１に既に書き込まれた記憶情報を変更する要求、及び前記不揮発性記憶装置１１に新たな記憶情報を追記する要求に大別して把握する。このとき、実施の形態３では、追記に関する書き換え要求にたいしてだけ、上記温度条件を用いた不正書き換えの抑止を行うものとする。
【００８５】
実施の形態３では、メモリコントローラ１２は、専らも不揮発性記憶装置１１に対する書き換え制御を行う。書き換えとは、便宜上、有意の情報が一旦書き込まれた領域の記憶情報を変更する（更新する）ことと、有意の情報が未書き込みの領域に情報を書き込む（追記する）ことに大別される。特に制限されないが、上記更新の書き換えと、上記追記の書き換えは、書き換え対象とするアドレスの指定によって相違される。書き換え対象アドレスはＣＰＵ１０が例えばそのプログラムにしたがって管理する。例えば不揮発性記憶装置のマッピングアドレス中でアドレスＡｉ０００００乃至ＡｋＦＦＦＦＦを追記書き込みのアドレス領域、その他を更新書き換えのアドレス領域とする。メモリコントローラ１２は、図４の動作フローチャーチに例示されるように、ＣＰＵ１０から書き換えコマンドによる書換え要求があると、当該コマンドに付随する書き換え対象アドレスが追記書き込みのアドレス領域に含まれるか否かを判別する（Ｓ１６）。それが追記書き込みのアドレス領域に含まれる場合には図３と同様にステップＳ１０空の処理が行われる。ステップＳ１６の判別結果が追記書き込みのアドレス領域に含まれないとする場合には、書き換え制御が不用であるから、ステップＳ１３，Ｓ１４によって、当該書き換えコマンドによる書換えを不揮発性刻装置１１に実施させ（Ｓ１３）、それによる書き換え結果をＣＰＵ１０に返す（Ｓ１４）。その他の構成は実施の形態１と同じであるからその詳細な説明は省略する。
【００８６】
これによれば、積算データを順次蓄積する用途などを想定すると、新たな積算データの追記には温度条件を用いた書き換え制限を行わず、一旦蓄積した積算データには温度条件を用いた書き換え制限を課して、データ改竄の抑制を可能にする、積算メータとしてのスマートメータへの適用に好適である。
【００８７】
《実施の形態４》
上記何れの実施の形態においても、記憶情報の書き換えという点では温度条件に基づくセキュリティの実現は向上するが、正規の書き換えも同様の制約を受け、電子装置のシステム動作上、書換えが制限されて不便になる場合もある。実施の形態４では、不揮発性記憶装置に対する不正書き換えの抑制と、正規書き換えの利便性とを両立することができる電子装置を開示する。実施の形態４では、不揮発性記憶領域を第１の記憶領域と第２に記憶領域に分け、一方の第１の記憶領域に対してだけ、上記温度条件を用いた不正書き換えの抑止を行うものとする。
【００８８】
図５には実施の形態４に係る電子装置が例示される。実施の形態４では、不揮発性記憶装置１１の不揮発性記憶領域を第１の記憶領域ＭＥ１と第２の記憶領域ＭＥ２に分ける。第１の記憶領域ＭＥ１と第２の記憶領域ＭＥ２は単一の不揮発性記憶装置の不揮発性メモリアレイを観念的に分けた領域として把握してもよいし、周辺回路を含め個別化された不揮発性記憶装置として分けて把握しても良い。
【００８９】
第２の記憶領域ＭＥ２は、ＣＰＵ１１が実行するプログラムなどを格納する不揮発記憶領域であり、電子装置のユーザが使用して書き換える記憶領域とする。
【００９０】
第１の記憶領域ＭＥ１は、不揮発性記憶装置１１の書き換えに際してＣＰＵ１１が実行する書き換え制御プログラムや、マイクロコンピュータ２Ａの管理パラメータ等を格納する不揮発記憶領域であり、マイクロコンピュータ２Ａの製造者が使用して、書き換えを行う記憶領域である。
【００９１】
特に制限されないが、上記第１の記憶領域ＭＥ１の書き換えと、上記第２の記憶領域の書き換えは、書き換え対象とするアドレスの指定によって相違される。書き換え対象アドレスはＣＰＵ１０が例えばそのプログラムにしたがって管理する。メモリコントローラ１２Ａは、ＣＰＵ１０から書き換えコマンドによる書換え要求があると、当該コマンドに付随する書き換え対象アドレスが第１の記憶領域ＭＥ１又は第２の記憶領域の何れのアドレス領域に含まれるかを判別する。それが第１の記憶領域ＭＥ１に含まれる場合には図３と同様の処理を行って不正書き換えを抑止可能にされる。それが第２の記憶領域ＭＥ２に含まれる場合には温度条件による書き換え制限を行わない。その他の構成は実施の形態１と同じであるからその詳細な説明は省略する。
【００９２】
図６には実施の形態４におけるメモリコントローラ１２Ａの動作フローが例示される。ＣＰＵ１０から書き換えコマンドによる書換え要求があると、当該コマンドに付随する書き換え対象アドレスが第１の記憶領域ＭＥ１又は第２の記憶領域の何れのアドレス領域に含まれるかを判別する（Ｓ１７）。それが第１の記憶領域ＭＥ１に含まれる場合には図３と同様にステップＳ１０乃至Ｓ１５の処理を行って、不正書き換えを抑止可能にされる。それが第２の記憶領域ＭＥ２に含まれる場合（Ｓ１７）には温度条件による書き換え制限を行わず、当該書き換えコマンドによる書換えを不揮発性刻装置１１の第２の記憶領域ＭＥ２に実施させ（Ｓ１３）、それによる書き換え結果をＣＰＵ１０に返す（Ｓ１４）。
【００９３】
実施の形態４によれば以下の作用効果がある。
【００９４】
（１）温度条件を用いた書き換え製制限を特定の記憶領域に対してだけ行うことができる。
【００９５】
（２）悪意の第三者がユーザ・アプリケーション・プログラムを不正に書き換えて変更する場合、ユーザ用不揮発記憶領域としての第２の記憶領域ＭＥ２の書き換えセキュリティを解除して書き換える方法以外に、製造者用不揮発記憶領域としての第１の記憶領域を書き換えることが考えられる。即ち、第１の記憶領域ＭＥ１を書き換えて、セキュリティの無い不正な書き換え制御プログラムを組み込み、この不正な書き換え制御プログラムを実行して、ユーザ用不揮発記憶領域を不正に書き換えるアプローチを取ることが想定される。製造者用不揮発記憶領域は、装置製造者のみが書き換える領域であることから、書き換えの方法は第三者に開示されないが、ユーザ用不揮発記憶領域と比較して、書き換えにおけるセキュリティが低いことが想定される。このような想定の下で、実施の形態４によれば、書き換え用制御プログラムの不正書き換えを抑制することができるので、書き換え用制御プログラムを格納する記憶領域の書き換えが、ユーザプログラムなどの動作プログラムの不正書き換えのセキュリティホールになる虞を未然に防止することができる。
【００９６】
（３）電子装置のユーザがユーザ用不揮発記憶領域としての第２の記憶領域ＭＥ２を書き換える場合は、温度の条件に影響を受けずに書き換えが可能となる為、セキュリティ向上の効果を得た上で、通常及び高温の状態での書き換え運用に対応することが可能となる。
【００９７】
《実施の形態５》
実施の形態１に代表される上記説明では、マイクロコンピュータ２，２Ａに温度センサ３を外付けで配置して電子装置１，１Ａを実現した。マイクロコンピュータ２，２Ａと温度センサ３とを別体で配置すれば、温度センサ３はマイクコンピュータ２，２Ａの動作にしたがった温度上昇の影響を直接受けずに温度検出を行った結果を用いることができる。実施の形態５では温度センサをオンチップしたマイクロコンピュータのような半導体装置を採用する。
【００９８】
図７には実施の形態５に係る電子装置が例示される。同図には電子装置１Ｂはマイクロコンピュータのような１個の半導体装置として実現されている。半導体装置１Ｂは１チップに限定されず、ＳＩＰ（system In Package）などのマルチチップパッケージで構成されても良い。温度センサ３は、ＣＰＵ１０、不揮発性記憶装置１１、制御回路１６、Ａ／Ｄコンバータ１４とともに１個の半導体基板に形成される。
【００９９】
温度センサを半導体装置の内部に組み込んだことにより、半導体装置内部の発熱の影響を受けやすくなり、温度センサの測定精度が低下することに繋がる。この問題点については、半導体装置の各構成要素の中で、特に発熱量が多くなる要素（実施例３の構成では中央処理装置（CPU）11）の配置位置を、温度センサから可能な限り離すことで、発熱の影響による測定精度の低下を軽減することができる。また、上記と併せて、Ａ／Ｄコンバータの検出分解能を減らすことにより、影響を軽減できる。例えば、Ａ／Ｄコンバータの検出分解能について、実施の形態１では１０ビットの分解能で計測しているとすると、本実施の形態では下位２ビットを使用せず、８ビットの分解能で検出することで、温度センサの測定精度が落ちることに対して、マージンを持たせることが可能になる。
【０１００】
実施の形態５によれば、温度センサがオンチップされるから、外気の影響を受けずに温度測定が可能になり、測定制度の低下を軽減することが可能である。
【０１０１】
更に、温度センサもオンチップ化されることにより、温度センサの検出信号を偽装する行為に対しても耐性を向上することができる。従って、不正な不揮発記憶領域の書き換えを防止する効果をさらに高める効果がある。
【０１０２】
本発明は上記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは言うまでもない。
【０１０３】
例えば、メモリコントローラは不揮発性記憶装置に対する読み出し制御を行ってもよい。
【０１０４】
プロセッシングユニットはＣＰＵに限定されず、キャッシュメモリ、メモリマネージメントユニット、浮動小数点ユニットなどその他の演算ユニット、などを備えても良い。
【０１０５】
不揮発性記憶装置はフラッシュメモリに限定されず、磁気抵抗メモリ（ＭＲＡＭ）、又は強誘電体メモリ（ＦｅＲＡＭ）などのその他の記憶形式であってもよい。
【０１０６】
基準時の温度として、パワーオンリセット時の温度が飽和して安定化したときの温度を採用するには実施の形態２としたが、これに限定されず、他の実施の形態などにも採用可能である。
【０１０７】
また、電子装置に論理的なセキュリティの構成を併用することは妨げられない。
【符号の説明】
【０１０８】
１，１Ａ，１Ｂ  電子装置
２、２Ａ  マイクロコンピュータ
３  温度センサ
１０  中央処理装置（ＣＰＵ）
１１  不揮発性記憶装置
１２，１２Ａ  メモリコントローラ
１３  書き換え許可装置
１４  Ａ／Ｄコンバータ
１５  外部インタフェース回路（ＥＸＩＦ）
１６，１６Ａ  制御回路
ＡＴＭＰ  アナログ検出信号
ＤＴＭＰ  ディジタル変換した温度データ
ＴＲＥＧ  テンポラリレジスタ
ＰＥＲＥＱ  書き換えリクエスト信号
ＰＥＲＬＴ  判定結果信号
【図１】
2014075023.tif 000003
【図２】
2014075023.tif 000004
【図３】
2014075023.tif 000005
【図４】
2014075023.tif 000006
【図５】
2014075023.tif 000007
【図６】
2014075023.tif 000008
【図７】
2014075023.tif 000009