(57)【要約】【課題】個々のセンサから得られる固有情報（第１情報、第２情報）のそれぞれは、そのセンサの個体識別をするには不十分な情報量しか有していない場合であっても、接続されている複数のセンサの真贋判定を可能とする。【解決手段】複数のセンサを電気的に接続可能な半導体装置であって、以下のように構成される。登録時点において、当該半導体装置に接続されている複数のセンサのそれぞれに固有の複数の第１情報の組み合わせである第１組み合わせ情報に基づいて、登録情報が生成される。判定時点において、当該半導体装置は、接続されている複数のセンサのそれぞれに固有の複数の第２情報の組み合わせである第２組み合わせ情報に基づいて判定対象情報を生成し、上述の登録情報と比較する。その結果が不一致であれば、接続されている複数のセンサに正常な真正品以外が含まれているものと判定する。【選択図】図２
2018033020.tif 000002
【特許請求の範囲】
【請求項１】
複数のセンサを電気的に接続可能であり、登録時点で接続されている複数のセンサに基づいて生成された登録情報と、判定時点で接続されている複数のセンサから取得した情報に基づいて生成された判定対象情報とを比較することによって、前記判定時点で接続されている複数のセンサに正常な真正品以外が含まれていることを検出可能な、半導体装置であって、
前記登録情報は、前記登録時点で接続されている複数のセンサのそれぞれに固有の複数の第１情報の組み合わせである第１組み合わせ情報に基づいて生成され、
前記判定対象情報は、前記判定時点で接続されている複数のセンサのそれぞれに固有の複数の第２情報の組み合わせである第２組み合わせ情報に基づいて生成される、
半導体装置。
【請求項２】
請求項１において、
前記登録情報は、前記第１組み合わせ情報が不可逆圧縮されて生成された情報であり、
前記半導体装置は、前記第２組み合わせ情報を、前記不可逆圧縮と同じ方式で不可逆圧縮することによって、前記判定対象情報を生成する、
半導体装置。
【請求項３】
請求項２において、前記不可逆圧縮はハッシュ関数を含む、
半導体装置。
【請求項４】
請求項１において、前記複数の第１情報と前記複数の第２情報のうちの少なくとも１組は、対応するセンサのトリミングデータである、
半導体装置。
【請求項５】
請求項１において、前記半導体装置はアナログ／ディジタル変換回路を備え、
前記複数の第１情報と前記複数の第２情報のうちの少なくとも１組は、対応するセンサが出力するアナログ信号に含まれる情報であり、
前記半導体装置は、前記判定時点で前記アナログ信号を前記アナログ／ディジタル変換回路によってディジタル値に変換し、変換結果から前記第２情報を抽出する、
半導体装置。
【請求項６】
請求項１において、
前記登録情報は、前記第１組み合わせ情報であり、
前記半導体装置は、前記第２組み合わせ情報をそのまま前記判定対象情報とし、前記登録情報と前記判定対象情報とを比較した結果に不一致を検出したときには、当該不一致の原因となった第２情報を出力したセンサからの以降の情報を無視する、
半導体装置。
【請求項７】
請求項１において、
前記複数の第１情報と前記複数の第２情報は、対応するセンサが出力するディジタルデータに含まれる情報である、
半導体装置。
【請求項８】
複数のセンサと通信可能な、データ処理装置であって、
登録時点において、前記データ処理装置は、接続されている複数のセンサのそれぞれに固有の複数の第１情報の組み合わせである第１組み合わせ情報に基づいて、登録情報を生成して保持し、
判定時点において、前記データ処理装置は、接続されている複数のセンサのそれぞれに固有の複数の第２情報の組み合わせである第２組み合わせ情報に基づいて生成する判定対象情報を、保持している前記登録情報と比較し、不一致の場合には接続されている前記複数のセンサに正常な真正品以外が含まれているものと判定する、
データ処理装置。
【請求項９】
請求項８において、
前記登録情報は、前記第１組み合わせ情報が不可逆圧縮されて生成された情報であり、
前記データ処理装置は、前記第２組み合わせ情報を、前記不可逆圧縮と同じ方式で不可逆圧縮することによって、前記判定対象情報を生成する、
データ処理装置。
【請求項１０】
請求項９において、前記不可逆圧縮はハッシュ関数を含む、
データ処理装置。
【請求項１１】
請求項８において、前記複数の第１情報と前記複数の第２情報のうちの少なくとも１組は、対応するセンサのトリミングデータである、
データ処理装置。
【請求項１２】
請求項８において、
前記登録情報は、前記第１組み合わせ情報であり、
前記データ処理装置は、前記第２組み合わせ情報をそのまま前記判定対象情報とし、前記登録情報と前記判定対象情報とを比較した結果に不一致を検出したときには、当該不一致の原因となった第２情報を出力したセンサからの以降の情報を無視する、
データ処理装置。
【請求項１３】
複数のセンサと通信可能なデータ処理装置又は複数のセンサと接続可能な半導体装置によって実行される、前記複数のセンサの真贋判定方法であって、
登録時点において、前記データ処理装置又は前記半導体装置に接続されている複数のセンサのそれぞれに固有の複数の第１情報の組み合わせである第１組み合わせ情報に基づいて登録情報を生成して、前記データ処理装置に保持させ、
判定時点において、前記データ処理装置又は前記半導体装置に接続されている複数のセンサのそれぞれに固有の複数の第２情報の組み合わせである第２組み合わせ情報に基づいて判定対象情報を生成し、保持している前記登録情報と比較し、不一致の場合には接続されている前記複数のセンサに正常な真正品以外が含まれているものと判定する、
真贋判定方法。
【請求項１４】
請求項１３において、
前記登録情報は、前記第１組み合わせ情報が不可逆圧縮されて生成された情報であり、
前記データ処理装置又は前記半導体装置は、前記第２組み合わせ情報を、前記不可逆圧縮と同じ方式で不可逆圧縮することによって、前記判定対象情報を生成する、
真贋判定方法。
【請求項１５】
請求項１４において、前記不可逆圧縮はハッシュ関数を含む、
真贋判定方法。
【請求項１６】
請求項１３において、前記複数の第１情報と前記複数の第２情報のうちの少なくとも１組は、対応するセンサのトリミングデータである、
真贋判定方法。
【請求項１７】
請求項１３において、
前記登録情報は、前記第１組み合わせ情報であり、
前記データ処理装置又は前記半導体装置は、前記第２組み合わせ情報をそのまま前記判定対象情報とし、前記登録情報と前記判定対象情報とを比較した結果に不一致を検出したときには、当該不一致の原因となった第２情報を出力したセンサからの以降の情報を無視する、
真贋判定方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、半導体装置、データ処理装置および真贋判定方法に関し、特に半導体装置またはデータ処理装置を含んで構成されるシステムにおいて、接続される複数のセンサの真贋判定に好適に利用できるものである。
【背景技術】
【０００２】
ＩｏＴ（Internet of Things）の普及に伴って、種々のネットワークに接続されるセンサの数が爆発的に増加している。そこで、それらセンサが真正なものであることを識別し、すり替え（なりすまし）を排除するセキュリティ技術の重要性が高まってきている。
【０００３】
特許文献１には、電子回路部品の正規の製造者により製造されたものか否かを判定することができる電子回路部品の真贋判定方法が開示されている。電子回路部品が製造された時に所定の条件で当該電子回路部品を動作させ、その動作時の消費電力または電磁波の波形を測定して波形データとして保存しておき、真贋判定する時にも当該電子回路部品を同じ条件で動作させ、その時に測定される波形を保存されている波形と比較して、当該電子回路部品の真贋判定を行う。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１２−３３５９３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１について本発明者が検討した結果、以下のような新たな課題があることがわかった。
【０００６】
即ち、特許文献１に記載される真贋判定を的確に行うためには、真正な電子回路部品から出力される波形と、不正な電子回路部品から出力される波形とが明確に異なっている必要がある。このため、当該波形には電子回路部品の個体を識別することができる程度の情報量が必要となる。
【０００７】
例えば、ＩＥＥＥ１４５１．４規格に規定されるトランスデューサ電子データシート（TEDS: Transducer Electronic Data Sheet）には、メーカー名、モデル番号、シリアル番号などの基本的な情報がＢａｓｉｃ  ＴＥＤＳとして含まれている。ここで、ＩＥＥＥ（The Institute of Electrical and Electronic Engineers）とは米国の電気電子学会であって、種々の標準化規格を提供しており、ＩＥＥＥ１４５１．４規格もその一つである。この規格は、種々のセンサをＩｏＴネットワーク等に接続したときに、初期設定を行う手間を省くことを目的とした標準規格である。Ｂａｓｉｃ  ＴＥＤＳに含まれる程度の情報量があれば、個体を識別することができ、上述の真贋判定にも利用することができると考えられる。
【０００８】
しかしながら、個体を識別することができる程度の量の情報を、センサなどの電子部品に個々に持たせることは、コスト面などの実用的な制約から現実的ではない。
【０００９】
そこで、そのような個体識別情報を持たない電子部品にも適用可能な真贋判定方法が求められる。
【００１０】
このような課題を解決するための手段を以下に説明するが、その他の課題と新規な特徴は、本明細書の記述及び添付図面から明らかになるであろう。
【課題を解決するための手段】
【００１１】
一実施の形態によれば、下記の通りである。
【００１２】
すなわち、複数のセンサを電気的に接続可能な半導体装置であって、以下のように構成される。
【００１３】
登録時点において、当該半導体装置に接続されている複数のセンサのそれぞれに固有の複数の第１情報の組み合わせである第１組み合わせ情報に基づいて、登録情報が生成される。当該半導体装置が生成してもよいし、外部で生成されてもよい。
【００１４】
判定時点において、当該半導体装置は、接続されている複数のセンサのそれぞれに固有の複数の第２情報の組み合わせである第２組み合わせ情報に基づいて判定対象情報を生成し、上述の登録情報と比較する。その結果が不一致であれば、接続されている複数のセンサに正常な真正品以外が含まれているものと判定する。
【発明の効果】
【００１５】
前記一実施の形態によって得られる効果を簡単に説明すれば下記のとおりである。
【００１６】
すなわち、個々のセンサから得られる固有情報（第１情報、第２情報）のそれぞれは、そのセンサの個体識別をするには不十分な情報量しか有していない場合であっても、接続されている複数のセンサ全体での識別能力を備え、その中に正常な真正品以外が含まれていることの検出が可能となる。ここで、不一致が発生する原因としては、少なくとも１個のセンサが真正でないセンサに置き換えられた、所謂なりすまし以外にも、少なくとも１個のセンサの故障も想定される。
【図面の簡単な説明】
【００１７】
【図１】図１は、一実施の形態に係る半導体装置の構成例を、模式的に示すブロック図である。
【図２】図２は、センサの真贋判定方法の原理を、模式的に示すブロック図である。
【図３】図３は、一実施の形態に係る半導体装置のハードウェア構成例を示すブロック図である。
【図４】図４は、一実施の形態に係るデータ処理装置の構成例を、模式的に示すブロック図である。
【図５】図５は、半導体装置またはデータ処理装置において、センサ情報の初回登録を行う動作例を示すフローチャートである。
【図６】図６は、半導体装置またはデータ処理装置において、センサの真贋判定を行う動作例を示すフローチャートである。
【図７】図７は、半導体装置またはデータ処理装置において、センサの追加または交換の後の動作例を示すフローチャートである。
【図８】図８は、別の実施の形態に係る半導体装置の構成例を、模式的に示すブロック図である。
【発明を実施するための形態】
【００１８】
実施の形態について詳述する。なお、発明を実施するための形態を説明するための全図において、同一の機能を有する要素には同一の符号を付して、その繰り返しの説明を省略する。
【００１９】
〔実施形態１〕
図１は、一実施の形態に係る半導体装置の構成例を、模式的に示すブロック図であり、図２は、センサの真贋判定方法の原理を模式的に示すブロック図である。
【００２０】
図１に示す半導体装置２は、複数のセンサ１＿１〜１＿ｎを電気的に接続可能であり、それらに正常な真正品以外が含まれていることを検出することができる。
【００２１】
図２に示す、センサの真贋判定方法の原理について、先に説明する。
【００２２】
複数のセンサ１＿１〜１＿ｎにそれぞれ固有の固有情報が、組み合わせ情報生成部５に入力される。組み合わせ情報生成部５は、それらの固有情報を組み合わせて組み合わせ情報を生成して、固有化処理部６に供給する。固有化処理部６は、入力された組み合わせ情報から固有化情報を生成する。
【００２３】
まず、すべてのセンサが真正品でかつ正常に動作していることが保証されている初期状態において取得された、複数のセンサ１＿１〜１＿ｎにそれぞれ固有の固有情報を組み合わせて、組み合わせ情報生成部５が組み合わせ情報を生成し、固有化処理部６がそれに対応する固有化情報を生成して、固有化情報保持部７に格納する。この一連の動作を「登録」と呼び、固有化情報保持部７に格納された情報を「登録情報」と呼び、この一連の動作が行われる時を「登録時点」と呼ぶこととする。
【００２４】
その後、適宜接続されている複数のセンサ１＿１〜１＿ｎの真贋判定を行う。判定時点では、その時点で接続されている複数のセンサ１＿１〜１＿ｎにそれぞれ固有の固有情報を取り込む。組み合わせ情報生成部５はそれらの固有情報を組み合わせて、組み合わせ情報を生成して固有化処理部６に供給する。固有化処理部６がそれに対応する固有化情報を生成して、センサ識別処理部８に供給する。このときに生成された固有化情報を「判定対象情報」と呼ぶこととする。センサ識別処理部８は、この判定対象情報を固有化情報保持部に格納されている登録情報と比較する。比較の結果が不一致である場合には、判定時点で接続されている複数のセンサに正常な真正品以外が含まれていることものと判定する。一方、比較の結果が一致である場合には、接続されているすべてのセンサ１＿１〜１＿ｎが真正かつ正常に動作しているものと判定する。
【００２５】
これにより、個々のセンサ１＿１〜１＿ｎから得られる固有情報のそれぞれは、そのセンサ１＿１〜１＿ｎの個体識別をするには不十分な情報量しか有していない場合であっても、接続されている複数のセンサ全体での識別能力を備え、その中に正常な真正品以外が含まれていることの検出が可能となる。例えば、センサ１＿１〜１＿ｎから得られる固有情報のそれぞれが８ビットである場合には、２５６通りの個体を識別する能力を発揮できるに留まるが、これを８個組み合わせて６４ビットの組み合わせ情報を得て、これに識別能力を持たせることにより、判定時点で接続されている複数のセンサの真贋判定を行うことができる。
【００２６】
なお、「正常な真正品以外が含まれている」とは、少なくとも１個のセンサが真正品でない場合、即ちなりすましである場合ばかりではなく、故障の場合も含まれる。
【００２７】
図１の説明に戻る。図１には、このような真贋判定を実行可能な半導体装置２の構成例を模式的に示す。半導体装置２は、センサ１＿１〜１＿ｎからの信号が入力される固有情報抽出回路３＿１〜３＿ｎ、センサ情報処理回路４、組み合わせ情報生成部５、固有化処理部６及び固有化情報保持部７を備える。センサ１＿１〜１＿ｎからの信号は、アナログ信号でもディジタル信号でもよい。固有情報抽出回路３＿１〜３＿ｎは、センサ１＿１〜１＿ｎから入力される信号から、それぞれの固有情報を抽出して組み合わせ情報生成部５に供給する一方、センシング情報自体をセンサ情報処理回路４に供給する。例えば、センサからの信号がアナログ信号であり、固有情報が変調されてアナログのセンシング信号に重畳されているときには、固有情報抽出回路３＿１〜３＿ｎは当該変調（modulation）に対応する復調（demodulation）を行って、固有情報を抽出する。または、センサからの信号が所定のルールに則ったパケットである場合には、そのルールに沿って固有情報をセンシング情報から分離して抽出する。
【００２８】
組み合わせ情報生成部５は、入力されたセンサ１＿１〜１＿ｎの固有情報を組み合わせて、組み合わせ情報を生成し、固有化処理部６に供給する。組み合わせ情報は、センサ１＿１〜１＿ｎの固有情報を単純に順次結合したものであってもよいし、複数の固有情報をさらにいくつかに分割した上で適当なルールに従って並べ替えたものであってもよい。
【００２９】
固有化処理部６は、組み合わせ情報から固有化情報を生成する。固有化情報は、組み合わせ情報が不可逆圧縮されたものであるのが好ましい。圧縮により情報量（ビット数）が低減されるので、後段の回路の回路規模を小さく抑えることができる。また、ソフトウェアで実現する場合にも、語長の短い変数を使えば足りるので、実行ステップ数を減らすことができるからである。さらに、不可逆であるために、固有化情報が漏えいした場合であっても、センサの固有情報が知られる恐れがない。不可逆圧縮の一例はハッシュ関数である。ハッシュ関数はその特性上、圧縮前の元のデータを偽造することができないので、セキュリティレベルが向上する。不可逆圧縮の別の一例はメッセージ認証コード（MAC: Message Authentication Code）であり、さらにハッシュ関数ベースのメッセージ認証コード（HMAC: Hash based Message Authentication Code）であってもよい。なお、上記では、固有化情報は組み合わせ情報が不可逆圧縮されたものであるのが好ましいとして説明したが、それに限定されるものではない。例えば、組み合わせ情報を固有化処理部６の内部に設けられた暗号化回路により暗号化処理することにより固有化情報が生成されても良い。この場合も、暗号化された固有化情報が漏えいした場合であっても、センサの固有情報が知られる恐れがない。
【００３０】
一方、固有化処理部６による不可逆圧縮処理を省略して、組み合わせ情報をそのまま固有化情報としてもよい。そのような実施の形態については、実施形態３で説明する。
【００３１】
登録時点に接続されているセンサ１＿１〜１＿ｎの固有情報から生成された固有化情報を登録情報として固有化情報保持部７に格納しておき、判定時点に接続されているセンサ１＿１〜１＿ｎの固有情報から生成された固有化情報である判定対象情報を、固有化情報保持部７に格納されている登録情報と比較する。一致すれば、センサ１＿１〜１＿ｎはすべて真正なものであると判定して、センサ情報処理回路４の動作を続けるが、不一致の場合は、判定時点に接続されているセンサ１＿１〜１＿ｎのうちの少なくとも１個のセンサが真正なものではないか、故障して正常な固有情報を得ることができないかのいずれかである。その場合には、センサ情報処理回路４の動作を停止する。
【００３２】
センサ１＿１〜１＿ｎから得られる固有情報は、例えば、センサの製造ばらつきを補償するためのトリミングデータである。同じ製造ばらつきを持つセンサによって置き換えない限り、なりすましを行うことができない。まったく同じトリミングデータを有するセンサによればなりすましが可能であるが、組み合わせ情報の一致によって真贋判定を行っているので、個々のトリミングデータのビット数は少なくても全体として高いセキュリティレベルを保つことができる。なお、センサ１＿１〜１＿ｎから得られる固有情報は、予めセンサが保有するID（identification）情報や、SRAM（スタティックランダム・アクセスメモリ）のメモリセルを構成するトランジスタの製造時のバラツキを用いた固有データ(PUF：Physical Unclonable Function)とすることも可能である。
【００３３】
以上のように、個々のセンサを判別する場合と比べて、組み合わせ情報を用いることにより、情報量が増えて、よりユニーク性が向上する。このことから、同一システム内におけるセンサ数が増大するほど、センサなりすましの検出率及び検出精度が向上する。
【００３４】
〔実施形態２〕
図３は、一実施の形態に係る半導体装置２のハードウェア構成例を示すブロック図である。半導体装置２は、半導体集積回路装置、例えば１チップのマイクロコントローラ（マイコン）として、特に制限されないが、ＣＭＯＳ（Complementary Metal-Oxide-Semiconductor）等の半導体製造技術により、単結晶シリコン等の単一の半導体基板上に形成される。
【００３５】
半導体装置２は、ＣＰＵ（Central Processing Unit）１０、ＲＡＭ（Random Access Memory）１１、ＲＯＭ（Read Only Memory）１２、ネットワークインターフェース１３、複数のＡ／Ｄ（Analog to Digital）変換器９＿ｎ１，９＿ｎ２、９＿４、及び、複数のインターフェース１４〜１６を備える。半導体装置２は、内部にバス１７を有し、ＣＰＵ１０から上述の各機能ブロックにバス１７を介してアクセスすることができる。なお、バス１７やＲＡＭ１１、ＲＯＭ１２などのメモリは、階層化されていてもよい。
【００３６】
半導体装置２には、複数のセンサ１＿ｎ１、１＿ｎ２、１＿ｎ３〜１＿ｎ４、１＿ｎ５、１＿ｎ６、１＿ｎ７〜１＿ｎ８が接続可能とされる。センサ１＿ｎ１と１＿ｎ２は、アナログ信号を出力するセンサであって、Ａ／Ｄ変換器９＿ｎ１と９＿ｎ２にそれぞれ接続される。Ａ／Ｄ変換器９＿４は単体のＡ／Ｄ変換器９＿３とマルチプレクサ１９で構成され、複数のアナログ信号を時分割でディジタルデータに変換する。複数のセンサ１＿ｎ３〜１＿ｎ４は、マルチプレクサ１９を介してＡ／Ｄ変換器９＿３に接続される。センサ１＿ｎ５の信号は、半導体装置２に外付けされるＡ／Ｄ変換器９＿ｎ５を介してディジタルデータに変換され、インターフェース１４に入力される。センサ１＿ｎ６はディジタルのセンシングデータを出力するセンサであって、出力されるディジタルデータは、インターフェース１５に入力される。センサ１＿ｎ７〜１＿ｎ８は、例えばＩＩＣ通信バス１８を介して、ＩＩＣインターフェース１７に接続される。ＩＩＣは、Inter-Integrated Circuitの略であってＩ２Ｃと表記されることもある。プロセッサと周辺デバイスとの間などの、集積回路（ＩＣ：Integrated Circuit）間のシリアル通信を目的として提唱されたバス仕様である。
【００３７】
図３の半導体装置２には、以上のように、センサとの間での種々の接続形態を例示的に列挙したが、センサの接続形態は任意であって、それに応じて半導体装置２の構成も変更される。
【００３８】
図１に示した、固有情報抽出回路３＿１〜３＿ｎ、センサ情報処理回路４、組み合わせ情報生成部５及び固有化処理部６は、例えば、ＲＯＭ１２に格納されたプログラムをＣＰＵ１０で実行することによって実現される。これらの機能の一部または全部は、ＣＰＵ１０とは別の専用のハードウェアによって実装されてもよい。また、固有化情報保持部７は、ＲＯＭ１２を電気的に書き換え可能な不揮発性メモリとして実装し、そのＲＯＭ１２内の一部の記憶領域として確保される。
【００３９】
以上のように、センサの真贋判定処理は、単一チップのマイクロコントローラ（マイコン）として実現される半導体装置２によって実行されることができる。
【００４０】
センサの真贋判定処理の実施の形態は、以上で説明したような、マイクロコントローラ（マイコン）に閉じて実行される態様に限定されるものではない。
【００４１】
図４は、一実施の形態に係るデータ処理装置の構成例を、模式的に示すブロック図である。それぞれに複数のセンサ１が接続されるマイコン２＿１〜２＿３はネットワーク２２＿１を介してゲートウェイ２１＿１に接続され、それぞれに複数のセンサ１が接続されるマイコン２＿４〜２＿５はネットワーク２２＿２を介してゲートウェイ２１＿２に接続されている。ゲートウェイ２１＿１と２１＿２は、さらに上位のネットワーク２２＿３を介してサーバ２０に接続されている。
【００４２】
図１に示した、固有情報抽出回路３＿１〜３＿ｎ、センサ情報処理回路４、組み合わせ情報生成部５及び固有化処理部６は、上述したようなマイコン２＿１〜２＿５毎に実装されるソフトウェアの機能として実現される代わりに、ゲートウェイ２１＿１と２１＿２、またはサーバ２０の機能として実現されてもよい。さらに、マイコン２＿１〜２＿５とゲートウェイ２１＿１と２１＿２とサーバ２０に分散して実現されてもよい。例えば、複数のセンサの固有情報の組み合わせ情報から生成された登録情報を、サーバ２０に一元管理し、真贋判定処理を実行するときに、それを実行するマイコンまたはゲートウェイに供給するように構成してもよい。
【００４３】
サーバ２０は、例えばクラウドのサービスレイヤーであり、または、ＩＴシステムのデータセンタであってもよい。また、ネットワーク２１＿１〜２１＿３は、それぞれ有線ネットワークでも無線ネットワークでもよく、インターネットであってもよい。
【００４４】
次に、登録情報の管理について説明する。登録情報は、真正なセンサが正常に動作していることが保証されている初期状態を登録時点として、この時点で接続されているすべての真正かつ正常なセンサについて、そのセンサ情報を登録する。その後、運用中には適当な頻度でセンサの監視（真贋判定）を行う。センサが追加されたり交換されたりしたときには、登録情報を生成しなおして再登録する。
【００４５】
図５は、半導体装置またはデータ処理装置において、センサ情報の初回登録を行う動作例を示すフローチャートである。ここで、半導体装置は例えば、図４におけるマイコン２であり、データ処理装置は例えば、ゲートウェイ２１＿１、２１＿２またはサーバ２０である。
【００４６】
システムの電源がオフされている状態で、センサが新規に設置される（Ｓ１）。但し、この時点では接続されているすべてのセンサは真正かつ正常に動作していることが保証されている。システム電源がオンされる（Ｓ２）と、初回登録か否かを判定する（Ｓ３）。例えば、マイコン２の内部にセンサの登録データがなければ、初回登録であると判断する。初回登録の場合には、センサ登録（Ｓ４）に進む。全センサの登録が完了するまでセンサ登録（Ｓ４）を繰り返し、全センサの登録が完了したら（Ｓ５）、システムの電源をオフにして終了する（Ｓ６）。Ｓ３において、初回登録ではない場合には、以下に説明する図６のＳ７へ進む。
【００４７】
図６は、半導体装置またはデータ処理装置において、センサの真贋判定を行う動作例を示すフローチャートである。システムの運用中には適当な頻度でセンサの監視（真贋判定）を行う。システム電源がオンされる（Ｓ２）と、初回登録か否かを判定する（Ｓ３）。図５の場合と同様に、例えば、マイコン２の内部にセンサの登録データがなければ、初回登録であると判断する。初回登録であると判断された場合には、図５のＳ４へ進む。一方、初回登録ではないと判断された場合には、センサの組み合わせ情報を生成する（Ｓ７）。次に、生成された組み合わせ情報について、登録済みの組み合わせ情報と一致するか否かを判定する（Ｓ８）。一致の場合にはセンシングとデータの活用を開始し（Ｓ９）、センシング動作の完了を待って（Ｓ１０）、システム電源をオフにする（Ｓ１１）が、不一致の場合には、センシングデータの活用を開始することなく、直ちにシステム電源をオフにする（Ｓ１１）。なお、不一致の場合、システム電源をオフにする前に、異常通知、警告やアラームを発生させる等のステップも組み合わせることが可能である。
【００４８】
図６には、システム電源のオン（Ｓ２）を契機としてセンサの真贋判定処理を行う例を示したが、例えば、タイマ等によって管理される状態フラグを設けて、センサの真贋判定処理の要否を判断するように構成してもよい。
【００４９】
図７は、半導体装置またはデータ処理装置において、センサの追加または交換の後の動作例を示すフローチャートである。センサの追加または交換は、システム電源がオフされている状態で行われる（Ｓ１２）。その後システム電源がオンされ、上位のシステムから組み合わせ情報の再構築が指示される（Ｓ１３）。追加または交換されたセンサが真正なものであることが保証されている必要があるため、システムの管理者が上位システム等から再構築の指示を与えるのが適切である。これに応答して組み合わせ情報を再構築するのと並行して、古い登録情報を消去する（Ｓ１４）。その後、システム電源をオフにして（Ｓ１５）、処理を終了する。
【００５０】
〔実施形態３〕
図８は、別の実施の形態に係る半導体装置の構成例を、模式的に示すブロック図である。図１と同様の構成であるが、固有化処理部６が省略されている。固有化情報保持部７には、組み合わせ情報がそのまま格納されて、登録情報として保持される。判定処理時には、組み合わせ情報生成部５から組み合わせ情報がそのままセンサ識別処理部８に供給され、固有化情報保持部７に保持されている登録情報と比較される。その結果が一致であれば、通常のセンシングを開始する。一方、不一致の場合には、不一致の原因となったセンサのセンシング情報のみについて、センサ情報処理回路４への入力を遮断する、或いは、センサ情報処理回路４内でのそのセンシング情報の利用を停止する。
【００５１】
固有化処理部６を省略して、不可逆圧縮をすることなく、組み合わせ情報をそのままセンサ識別処理に使用するため、固有化情報保持部７に求められる記憶容量は大きくなるが、不一致の原因となったセンサを切り離し、他のセンサによるセンシングを継続することができるというメリットがある。このとき、不一致の原因となったセンサは、なりすましの可能性の他、故障の可能性がある。
【００５２】
半導体装置（例えばマイコン２）またはそれよりも上位階層のデータ処理装置（例えばゲートウェイ２１＿１、２１＿２またはサーバ２０）は、不一致の原因となったセンサを特定したときに、管理者またはユーザに対してセンサの交換や修理を促す警告を発することができる。
【００５３】
以上本発明者によってなされた発明を実施形態に基づいて具体的に説明したが、本発明はそれに限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは言うまでもない。
【００５４】
例えば、センサは他の電子部品に変更されてもよい。また、半導体装置として例示したマイコンは、他のアーキテクチャを有するプロセッサに変更されてもよい。
【符号の説明】
【００５５】
１  センサ
２  半導体装置（マイコン）
３  固有情報抽出回路
４  センサ情報処理回路
５  組み合わせ情報生成部
６  固有化処理部
７  固有化情報保持部
８  センサ識別処理部
９  Ａ／Ｄ変換器
１０  ＣＰＵ
１１  ＲＡＭ
１２  ＲＯＭ
１３  ネットワークインターフェース
１４、１５  インターフェース
１６  ＩＩＣインターフェース
１７  内部バス
１８  シリアルバス
１９  マルチプレクサ
２０  サーバ
２１  ゲートウェイ
２２  ネットワーク
【図１】
2018033020.tif 000003
【図２】
2018033020.tif 000004
【図３】
2018033020.tif 000005
【図４】
2018033020.tif 000006
【図５】
2018033020.tif 000007
【図６】
2018033020.tif 000008
【図７】
2018033020.tif 000009
【図８】
2018033020.tif 000010