(57)【要約】【課題】電子部品のライフサイクルに応じて、電子部品上に記憶されている情報の機密性を確保する技術を提供することを目的とする。【解決手段】  アクセス制御システムは、書き戻しが不可能な第１の記憶手段と、所定の情報を記憶する第２の記憶手段と、前記書き戻しが不可能な第１の記憶手段に、前記所定の情報に対する機密状態の遷移に応じて、前記遷移後の機密状態を示す情報を書き込む制御手段と、前記制御手段と、前記第１の記憶手段との間に設けられ、前記制御手段から前記所定の情報に対するアクセスの要求に対し、前記書き戻しが不可能な第１の記憶手段に書き込まれた前記機密状態を示す情報に応じて、前記アクセスの許否を判断するアクセス制限手段と、を備えることで上記課題を解決する。【選択図】図２
2016110560.tif 000002
【特許請求の範囲】
【請求項１】
書き戻しが不可能な第１の記憶手段と、
所定の情報を記憶する第２の記憶手段と、
前記書き戻しが不可能な第１の記憶手段に、前記所定の情報に対する機密状態の遷移に応じて、前記遷移後の機密状態を示す情報を書き込む制御手段と、
前記制御手段と、前記第１の記憶手段との間に設けられ、前記制御手段から前記所定の情報に対するアクセスの要求に対し、前記書き戻しが不可能な第１の記憶手段に書き込まれた前記機密状態を示す情報に応じて、前記アクセスの許否を判断するアクセス制限手段と、
を備えるアクセス制御システム。
【請求項２】
前記制御手段は、
前記所定の情報に応じた前記書き戻しが不可能な第１の記憶手段の領域に、前記所定の情報に対する機密状態の遷移に応じて、前記所定の情報に対する前記遷移後の機密状態を示す情報を書き込み、
前記アクセス制限手段は、
前記書き戻しが不可能な第１の記憶手段に書き込まれた前記所定の情報毎の前記機密状態を示す情報に応じて、前記アクセスの許否を判断する請求項１記載のアクセス制御システム。
【請求項３】
前記アクセス制限手段は、
前記所定の情報に応じた前記書き戻しが不可能な第１の記憶手段の領域の全てが書き込み済みの場合は、前記アクセスを拒否する請求項１又は２記載のアクセス制御システム。
【請求項４】
前記アクセス制限手段は、
前記所定の情報に応じた前記書き戻しが不可能な第１の記憶手段の領域の全てが未書き込みの場合は、前記アクセスを許可する請求項１乃至３のいずれか一項に記載のアクセス制御システム。
【請求項５】
前記アクセス制限手段は、
前記所定の情報に応じた前記書き戻しが不可能な第１の記憶手段の領域の全てのビットが書き込み済みでなく、かつ全てのビットが未書き込みでない場合は、ユーザの認証を行い、前記認証の結果に応じて前記アクセスの許否を判断する請求項１乃至４のいずれか一項に記載のアクセス制御システム。
【請求項６】
前記書き戻しが不可能な第１の記憶手段は、
ユーザ認証用のパスワードを所定の領域に格納し、
前記アクセス制限手段は、
前記制御手段から前記所定の領域に対するアクセスを禁止する請求項５記載のアクセス制御システム。
【請求項７】
前記アクセス制限手段は、
外部のサーバから取得したユーザ認証用のパスワードを用いて、ユーザの認証を行う請求項５記載のアクセス制御システム。
【請求項８】
前記第２の記憶手段は、
書き戻しが不可能な記憶手段、または、上書きが不可能な記憶手段である請求項１乃至７のいずれか一項に記載のアクセス制御システム。
【請求項９】
書き戻しが不可能な第１の記憶手段と、所定の情報を記憶する第２の記憶手段と、制御手段と、前記制御手段と前記書き戻しが不可能な第１の記憶手段との間に設けられたアクセス制限手段とを有するアクセス制御システムが実行するアクセス制御方法であって、
前記制御手段が、前記書き戻しが不可能な第１の記憶手段に、前記所定の情報に対する機密状態の遷移に応じて、前記遷移後の機密状態を示す情報を書き込む制御ステップと、
前記アクセス制限手段が、前記制御手段から前記所定の情報に対するアクセスの要求に対し、前記書き戻しが不可能な第１の記憶手段に書き込まれた前記機密状態を示す情報に応じて、前記アクセスの許否を判断するアクセス制限ステップと、
を実行するアクセス制御方法。
【請求項１０】
書き戻しが不可能な第１の記憶手段と、所定の情報を記憶する第２の記憶手段と、制御手段と、前記制御手段と前記書き戻しが不可能な第１の記憶手段との間に設けられたアクセス制限手段とを有するアクセス制御システムに、以下の手順を実行させるためのプログラムであって、
前記制御手段が、前記書き戻しが不可能な第１の記憶手段に、前記所定の情報に対する機密状態の遷移に応じて、前記遷移後の機密状態を示す情報を書き込む制御手順と、
前記アクセス制限手段が、前記制御手段から前記所定の情報に対するアクセスの要求に対し、前記書き戻しが不可能な第１の記憶手段に書き込まれた前記機密状態を示す情報に応じて、前記アクセスの許否を判断するアクセス制限手順と、
を実行させるためのアクセス制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセス制御システム、アクセス制御方法、及びアクセス制御プログラムに関する。
【背景技術】
【０００２】
ＩＣチップを含む半導体チップ等の電子部品に搭載されているメモリには、電子部品の所有者の個人情報や、安全なネットワーク通信を行うための暗号鍵など、外部に対して非公開にするべき情報（機密情報）が記憶されている。
【０００３】
そのような電子部品を利用するシステムを開発する際、システムが期待通りに実行されない場合のデバッグ等のため、システムの開発者は電子部品内の機密情報を確認したいと考えることがある。そのような場合に、電子部品から機密情報を取得する手段として、ＩＣＥ（In-Circuit Emulator）やＪＴＡＧ（Joint Test Action Group）といったハードウェアデバッグツールが知られている。これらは電子部品のメモリの任意のアドレスに対する読み書きを可能にするため、電子部品内の機密情報を取得することができる（特許文献１参照）。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
上述したデバッグ用のツールを用いることで電子部品の所有者以外でも電子部品内の機密情報を読み取れるため、例えば、電子部品が通信パケットの暗号化処理を行う機能を搭載している場合、この暗号化処理に用いられる暗号鍵の情報を読み取られてしまうと、その情報を知る誰もが通信パケットの中身を見ることができるようになるという、セキュリティ上の問題があった。
【０００５】
しかしながら、電子部品を利用するシステムの開発のためには、デバッグは避けられないものであり、電子部品のハードウェアを、デバッグ用のツールを一切利用できないようにするわけにもいかないという問題もある。
【０００６】
そこで、電子部品のライフサイクルに応じて、電子部品上に記憶されている情報の機密性を確保する技術を提供することを目的とする。
【課題を解決するための手段】
【０００７】
アクセス制御システムを提供する。
【０００８】
このアクセス制御システムにおいて、書き戻しが不可能な第１の記憶手段と、所定の情報を記憶する第２の記憶手段と、前記書き戻しが不可能な第１の記憶手段に、前記所定の情報に対する機密状態の遷移に応じて、前記遷移後の機密状態を示す情報を書き込む制御手段と、前記制御手段と、前記第１の記憶手段との間に設けられ、前記制御手段から前記所定の情報に対するアクセスの要求に対し、前記書き戻しが不可能な第１の記憶手段に書き込まれた前記機密状態を示す情報に応じて、前記アクセスの許否を判断するアクセス制限手段と、を備える。
【発明の効果】
【０００９】
開示の技術によれば、電子部品のライフサイクルに応じて、電子部品上に記憶されている情報の機密性を確保することが可能となる。
【図面の簡単な説明】
【００１０】
【図１】ライフサイクルの状態が遷移する毎の、正規ユーザ及び書き戻し不可記憶部に書き込まれる状態を示すデータの対応を示す図である。
【図２】本発明の一実施形態に係るアクセス制御システムの概略図である。
【図３】エリア毎のライフサイクルの状態を示す情報を一纏めにしたビット列の例である。
【図４】書き戻し不可記憶部に記憶されるデータの例を示す図である。
【図５】許可領域のエリアに記憶されている、ライフサイクルの状態を示す情報と、機密情報の例を示す図である。
【図６】ライフサイクルの状態毎のアクセス許可情報の設定例を示す図である。
【図７】セキュアアクセスモジュールの動作を説明するフローチャートである。
【図８】アクセス制御システムが起動する際の動作を説明するフローチャートである。
【図９】対話コマンド処理のフローチャートである。
【図１０】アクセス制御システムが、認証サーバからユーザ認証のパスワードを取得する処理のシーケンス図である。
【図１１】アクセス制御システムが、通信を暗号化して、認証サーバからユーザ認証のパスワードを取得する処理のシーケンス図である。
【発明を実施するための形態】
【００１１】
＜第１の実施形態＞
以下、図１乃至図９を用いて、本発明の実施形態の一例について説明する。
＜＜実施形態の全体構成＞＞
図１は、ライフサイクルの状態（「機密状態」の一例）が遷移する毎の、ユーザ及び書き戻し不可記憶部３０に書き込まれる状態を示すデータの対応を示す図である。
【００１２】
この実施形態においては、電子部品の利用状態を表すライフサイクルは、所定の状態を順に遷移していくものとし、所定の状態として、以下の遷移順に、「初期状態」、「運用状態」、「上書き状態」、「破棄状態」の４つの状態を規定する。
【００１３】
本実施形態では、ライフサイクルが次の状態に遷移する直前に、その時点での正規ユーザが、制御部１０を用いて、ライフサイクルの状態を示す情報を、ユーザ認証をせずにセキュアアクセスモジュール２０経由で書き戻し不可記憶部３０に書き込む。なお、ライフサイクルの状態を示す情報は、機密情報を保持するエリア毎に設定できるため、次のライフサイクルの状態の正規ユーザに見せてもよい情報については、そのような情報を保持するエリアに対しては、ライフサイクルの状態を示す情報を書き込まないこともできる。
【００１４】
ライフサイクルの状態を示す情報の書き込みは、「初期状態」、「運用状態」、「上書き状態」、「破棄状態」と、ライフサイクルの状態が推移していく順に従って、正規ユーザは、ユーザＡ、ユーザＢ、ユーザＣ、ユーザなしと推移していく。ユーザＡ、ユーザＢ、ユーザＣは、例えば、それぞれ、電子部品を供給するシステム開発者、デバッグ等を行う試験者、システムの利用者などである。また、ライフサイクルの状態が推移していく順に従って、書き戻し不可記憶部３０上で１を書き込むビットの数を増やして行く。つまり、ライフサイクルの状態を示す情報のビットは、ライフサイクルの状態が「初期状態」のときは全てのビットが０（「０００」）になっており、ライフサイクルが遷移するにつれて、「００１」、「０１１」と、１ビットずつ値が１に変化していく。ライフサイクルの状態が「破棄状態」のときにはすべてのビットが１（「１１１」）になっている。本実施形態のライフサイクルの状態を示す情報を記憶する書き戻し不可記憶部３０は、一度変更されたビットは二度と元に戻すことができない。それにより、「運用状態」を示す「００１」から「初期状態」を示す「０００」に戻すこと、「上書き状態」を示す「０１１」から「初期状態」を示す「０００」または「運用状態」を示す「００１」に戻すこと、「破棄状態」を示す「１１１」から「初期状態」を示す「０００」、「運用状態」を示す「００１」または「上書き状態」を示す「０１１」に戻すことは不可能である。よって、ライフサイクルの状態を示す情報は、一旦状態を遷移させると、前の状態に戻すことが不可能な情報として管理できる。
【００１５】
図２は、本発明の一実施形態に係るアクセス制御システム１の概略図である。図３は、書き戻し不可記憶部３０からアクセス権情報受信部２３に送信される、書き戻し不可記憶部３０におけるエリア毎のライフサイクルの状態を示す情報を一纏めにしたビット列の例である。図４は、書き戻し不可記憶部３０に記憶されるデータの例を示す図である。
【００１６】
図２中のＳＴ１〜ＳＴ１０は、制御部１０から書き戻し不可記憶部３０へのアクセス制御を実現するための動作手順を示している。ユーザ認証の有無については省略している。
【００１７】
アクセス制御システム１は、半導体チップ等の電子部品により構成され、制御部１０、セキュアアクセスモジュール２０、書き戻し不可記憶部３０、外部インターフェース４０を有する。制御部１０、セキュアアクセスモジュール２０、及び外部インターフェース４０の間が、例えばＡＨＢ（Advanced High-Performance）バス等のバスで接続され、セキュアアクセスモジュール２０と書き戻し不可記憶部３０との間が、バスで接続されている。
【００１８】
制御部１０は、ＣＰＵ(Central Processing Unit)等の演算装置であり、ユーザ、プログラム、デバッガツール等からの命令にしたがって、セキュアアクセスモジュール２０を介して書き戻し不可記憶部３０にアクセスし情報の読み書きを行う。
【００１９】
書き戻し不可記憶部３０は、ＯＴＰ−ＲＯＭ(One Time Programmable-Read Only Memory)等の１回だけ書き込みができる、すなわち、書き戻しが不可能なメモリであり、一度データを書き込んだ（変更した）ビットは、書き込み前の状態に戻すことができない。例えば、初期状態において各ビットが全て「０」であるメモリでは、一度「１」を書き込んだビットは「０」に戻すことができない。また、図４に示すように、書き戻し不可記憶部３０は、制御部１０による読み出し及び書き込みを許す許可領域と、読み出し及び書き込みを禁止する不可領域に分かれている。許可領域には、個人情報、セキュアな通信のための暗号鍵等の機密情報が保存されている。許可領域は、複数のエリアに分割されており、エリア毎に扱うデータが異なる。一方、不可領域には、ユーザのアクセス認証用のパスワードの情報等が保存されている。
【００２０】
セキュアアクセスモジュール２０は、制御部１０から書き戻し不可記憶部３０の許可領域に対するアクセス要求を仲介するハードウェアによるモジュールであり、ハードウェア記述言語（Hardware Description Language、HDL）等を用いて実現される。書き戻し不可記憶部３０の許可領域及び不可領域に対し、直接アクセスすることが可能であり、制御部１０を用いて書き戻し不可記憶部３０にアクセスしようとするユーザに対して、書き戻し不可記憶部３０に書き込まれているライフサイクルの状態を示す情報に応じて、アクセスに対して、許可する、拒否する、ユーザ認証を行う、のうちのいずれを行うかを判断する機能を有する。また、制御部１０から書き戻し不可記憶部３０の不可領域へのアクセスを不可としている。
【００２１】
さらに、セキュアアクセスモジュール２０は、以下で説明する、制御部インターフェース２１、アクセス制御部２２、アクセス権情報受信部２３、コマンド発行部２４、及び読み取りデータ受信部２５を備える。
【００２２】
制御部インターフェース２１は、制御部１０からの要求を受けつけ（図２のＳＴ１）、セキュアアクセスモジュール２０からの応答を制御部１０へ返す（図２のＳＴ６−２、ＳＴ１０）。
【００２３】
アクセス制御部２２は、そして、制御部から入力された（図２のＳＴ２）、書き戻し不可記憶部３０におけるアクセス先のエリアの情報、及び、書き戻し不可記憶部３０から入力された、書き戻し不可記憶部３０におけるエリア毎のライフサイクルの状態を示す情報及び状態毎のアクセス許可情報を用いて、書き戻し不可記憶部３０へのアクセスを許可するかどうかを判断する（図２のＳＴ４）。なお、制御部からは、アクセス内容（読み取りコマンド、書き込みコマンド、書き込むデータ）も同時に入力されてくるが、アクセスを許可するかどうかの判断には用いない。許可する場合は、制御部からの要求を実行するコマンドの発行をコマンド発行部２４に要求する。許可しない場合は、要求拒否を示すデータを制御部１０へ返す。ユーザ認証が必要なときは、認証モードへの移行を制御部１０へ要求すると同時に、ユーザのアクセス認証用のパスワードを取り出すためのコマンドをコマンド発行部２４へ送る。ユーザ認証では、ユーザが入力したパスワードと書き戻し不可記憶部３０から取り出したパスワードとの一致を確かめ、一致すれば本来の要求を実行するためのコマンドの発行をコマンド発行部２４へ送る（図２のＳＴ５）。不一致であれば不一致を示す応答を制御部１０へ返す（図２のＳＴ５−２）。また、読み取りデータ受信部２５から受け取ったデータを制御部１０へと返す（図２のＳＴ９）。
【００２４】
アクセス権情報受信部２３は、書き戻し不可記憶部３０から常時送られてくる、書き戻し不可記憶部３０におけるエリア毎のライフサイクルの状態を示す情報を一纏めにしたビット列（図２参照）を受信する。また、アクセス制御部２２からの要求に応える形で、この情報をアクセス制御部２２へ渡す（図２のＳＴ３）。なお、エリア毎のライフサイクルの状態を示す情報は、全エリア分を一纏めにして、書き戻し不可記憶部３０からセキュアアクセスモジュール２０に対して常時送り続ける代わりに、セキュアアクセスモジュール２０からの要求に応じて、書き戻し不可記憶部３０から返信する構成としてもよい。
【００２５】
コマンド発行部２４は、アクセス制御部２２から送られてくる命令にしたがって、書き戻し不可記憶部３０に対するアクセスを実行するためのコマンドを発行する（図２のＳＴ６）。
【００２６】
読み取りデータ受信部２５は、書き戻し不可記憶部３０に対して読み取りコマンドが実行された場合に、書き戻し不可記憶部３０から読み取ったデータを受け取る（図２のＳＴ７）。ここで受け取ったデータをアクセス制御部２２に返す（図２のＳＴ８）。
【００２７】
外部インターフェース４０は、例えばＵＡＲＴ(Universal Asynchronous Receiver Transmitter)ポート等であり、例えばパーソナルコンピュータ等の外部機器のＴｅｒａ  Ｔｅｒｍ等のシリアル通信手段とシリアル通信ができる。ユーザによるパスワードの入力は、外部機器のキーボード等から入力され、外部インターフェース４０を介してセキュアアクセスモジュール２０に入力される。
【００２８】
図５は、許可領域のエリアに記憶されている、ライフサイクルの状態を示す情報と、機密情報の例を示す図である。
【００２９】
書き戻し不可記憶部３０に記憶されている情報のエリアには、その先頭に３ビットで表されるライフサイクルの状態を示す情報が付加される。なお、本実施例では、ライフサイクルの状態として４つの状態を規定しているため、ライフサイクルの状態を示す情報は３ビットあれば十分であるが、ライフサイクルの状態の種類を１つ増やす場合は、ライフサイクルの状態を示す情報に１ビットを増やせばよい。
【００３０】
図６は、ライフサイクルの状態毎のアクセス許可情報の設定例を示す図である。
【００３１】
ユーザは、機密情報に対するアクセスを有効にするかどうかを示すアクセス許可情報を、ライフサイクルの所定の状態毎に設定することができる。アクセス許可情報には、以下の３種類を規定する。
・「アクセス認証未設定」：機密情報へのアクセスを常に許可する状態。
・「アクセス認証あり」：機密情報は、起動直後はアクセス無効な状態である。ユーザからのアクセス要求（書き戻し不可記憶部３０へのアクセスなど）を受けると、ユーザのアクセス認証が行われ、認証を通過すると、機密情報はアクセス有効な状態となる。
・「アクセス認証無効」：機密情報へのアクセスを常に拒否する状態。機密情報に対するあらゆるアクセスを禁止する。
【００３２】
ライフサイクルの状態毎のアクセス許可情報の設定は、工場出荷時等に、書き戻し不可記憶部３０の不可領域等に記憶する構成としてもよいし、書き戻し不可記憶部３０の許可領域に記憶する構成としてもよい。許可領域に記憶する構成とする場合は、ライフサイクルの状態毎のアクセス許可情報は、「アクセス認証未設定」、「アクセス認証あり」、「アクセス認証無効」と、よりアクセスを制限する順に、それぞれ「００」、「０１」、「１１」と、書き戻し不可記憶部３０上で１を書き込むビットの数が増える。それにより、所定の状態に対応するアクセス許可情報を「アクセス認証あり」に設定すると、「アクセス認証未設定」に戻すことは不可能である。同様に、「アクセス認証無効」に設定すると、「アクセス認証未設定」や「アクセス認証あり」に戻すことは不可能である。
【００３３】
書き戻し不可記憶部３０の所定のエリアに対するライフサイクルの状態を示す情報の３つのビットがすべて１である場合は、「破棄状態」であり、「破棄状態」に対応するアクセス許可情報の設定は「アクセス認証無効」であるから、セキュアアクセスモジュール２０は認証を拒否するように動作する。そのため、ユーザが認証を通過することはなく、書き戻し不可記憶部３０の当該エリアに格納された情報にアクセスすることはできない。
【００３４】
一方、上記３つのビットがすべて０である場合は、「初期状態」であり、「初期状態」に対応するアクセス許可情報の設定は「アクセス認証未設定」であるから、セキュアアクセスモジュール２０は常にそのエリアに格納された情報に対するアクセスを許可する。
【００３５】
また、上記３つのビットがすべて０である「０００」及びすべて１である「１１１」以外の場合は、「運用状態」または「上書き状態」であり、それらの状態に対応するアクセス許可情報の設定は「アクセス認証あり」であるから、セキュアアクセスモジュール２０はユーザ認証を行い、認証に成功すると、そのエリアに格納された情報に対するアクセスを許可する。
【００３６】
図７は、セキュアアクセスモジュール２０の動作を説明するフローチャートである。
【００３７】
制御部１０から、機密情報に対するアクセス要求を受信すると（ステップＳ１）、書き戻し不可記憶部３０から取得した、当該機密情報に対するライフサイクルの状態を示す情報と、状態毎のアクセス許可情報を用いて、アクセスを許可するかどうかを判断する（ステップＳ２）。アクセス許可情報が「アクセス認証未設定」であれば、ステップＳ１０に進む。アクセス許可情報が「アクセス認証無効」であれば、要求拒否を示すデータを制御部１０へ通知する（ステップＳ３）。アクセス許可情報が「アクセス認証あり」であれば、ユーザ認証のパスワードの入力を制御部１０に要求する（ステップＳ４）とともに、書き戻し不可記憶部３０からユーザ認証のパスワードを取得し（ステップＳ５）、制御部１０からユーザに入力されたパスワードを受信する（ステップＳ６）。ユーザに入力されたパスワードと、書き戻し不可記憶部３０から取得したパスワードが一致するか判断し（ステップＳ７）、一致しなければ、その旨を制御部１０へ通知し（ステップＳ８）、一致すれば、その旨を制御部１０へ通知し（ステップＳ９）、書き戻し不可記憶部３０から当該機密情報を取得し（ステップＳ１０）、制御部１０へ通知する（ステップＳ１１）。
【００３８】
図８は、アクセス制御システム１が起動する際の動作を説明するフローチャートである。
【００３９】
アクセス制御システム１が起動すると（ステップＳ８−１）、所定の初期化処理を行い（ステップＳ８−２）、機密情報へのアクセスを有効化する処理を行う（ステップＳ８−３）。有効化に成功したか判断し（ステップＳ８−４）、成功すれば、機密情報へのアクセスが有効な状態となる（ステップＳ８−５）。ステップＳ８−４で有効化に失敗した状態で、その機密情報へのアクセス要求が発生すると（ステップＳ８−６）、図９に示す対話コマンド処理を実行する（ステップＳ８−７）。対話コマンド処理の結果、ユーザの認証に成功したか判断し（ステップＳ８−８）、認証に成功すると、機密情報へのアクセスが有効な状態となる（ステップＳ８−５）。ステップＳ８−８で認証に失敗すると、その機密情報へのアクセス要求が発生するまで待機し、アクセス要求が発生するとステップＳ８−６に移行する。ステップＳ８−７で、対話コマンド処理の結果、ソフトリセットが指示された場合は、ソフトリセットの処理を行い（ステップＳ８−９）、ステップＳ８−２に移行する。ハードリセットの処理が指示された場合は、ハードリセットの処理を行い（ステップＳ８−１０）、ステップＳ８−２に移行する。
【００４０】
図９は、対話コマンド処理のフローチャートである。
【００４１】
対話コマンド処理では、セキュアアクセスモジュール２０が、ユーザから入力されたパスワードと書き戻し不可記憶部３０から取得したパスワードが一致するか判断し、認証を行う。
【００４２】
対話コマンド処理が開始されると、まずＵＡＲＴを初期化し（ステップＳ９−１）、プロンプト表示を行い（ステップＳ９−２）、入力されたデータが不正なコマンドであるか判断し（ステップＳ９−３）、不正であれば、ステップＳ９−２に戻り、その旨をプロンプト表示し、不正でなければ、ユーザ認証コマンド（パスワード）の入力であるか判断し（ステップＳ９−４）、ユーザ認証コマンドの入力であればユーザ認証を行う（ステップＳ９−５）。ユーザ認証コマンドの入力でなければ、リセット指示等、入力されたコマンドに応じた処理を行う（ステップＳ９−６）。
【００４３】
＜第２の実施形態＞
第２の実施形態では、第１の実施形態と比較し、ユーザ認証用のパスワードを、書き戻し不可記憶部３０に保持するのではなく、図示しないネットワーク上に用意した認証サーバ５０に管理させる点が異なる。
【００４４】
認証サーバ５０は、通信手段と、アクセス制御システム１のＩＤ及び認証パスワードを対応付けて保持するパスワード管理テーブルを記憶する記憶手段とを備える。
【００４５】
アクセス制御システムは、第１の実施形態と比較し、認証サーバ５０と通信する通信手段と、認証サーバ５０のＩＰアドレス、及び認証サーバ５０に通知する自装置のＩＤを記憶する記憶手段を備える。
【００４６】
セキュアアクセスモジュール２０は、第１の実施形態の図７のステップＳ５で、書き戻し不可記憶部３０からユーザ認証のパスワードを取得する代わりに、図１０で示すように、認証サーバ５０からユーザ認証のパスワードを取得する。
【００４７】
図１０は、アクセス制御システム１が、認証サーバ５０からユーザ認証のパスワードを取得する処理のシーケンス図である。
【００４８】
認証パスワードの取得処理を開始すると（ステップＳ１０−１）、自装置のＩＤを含む要求メッセージを認証サーバ５０に送信する（ステップＳ１０−２）。認証サーバ５０は、要求メッセージを受信すると（ステップＳ１０−３）、受信したＩＤをキーとしてパスワード管理テーブルを検索し、当該ＩＤに対応する認証パスワードを読み出し（ステップＳ１０−４）、セキュアアクセスモジュール２０に通知する（ステップＳ１０−５）。セキュアアクセスモジュール２０は、認証サーバ５０から、ユーザ認証のパスワードを受信する（ステップＳ１０−６）。
【００４９】
それにより、ライフサイクル毎のユーザに合わせたパスワードを設定（変更）でき、利便性が向上する。
【００５０】
＜第３の実施形態＞
第３の実施形態では、第２の実施形態と比較し、アクセス制御システム１と認証サーバ５０との間の通信を暗号化する点が異なる。
【００５１】
認証サーバ５０は、第２の実施形態と比較し、アクセス制御システム１からの要求を復号化するための、アクセス制御システム１の公開鍵、及びアクセス制御システム１への通知を暗号化するための認証サーバの秘密鍵を記憶する記憶手段と、通信を暗号化、復号化する暗号化手段を備える。
【００５２】
アクセス制御システム１は、第２の実施形態と比較し、認証サーバ５０への要求を暗号化するための、アクセス制御システム１の秘密鍵、及び認証サーバ５０からの応答を復号化するための認証サーバ５０の公開鍵を記憶する記憶手段と、通信を暗号化、復号化する暗号化手段を備える。
【００５３】
図１１は、アクセス制御システム１が、通信を暗号化して、認証サーバ５０からユーザ認証のパスワードを取得する処理のシーケンス図である。
【００５４】
図１０と比較し、アクセス制御システム１から認証サーバ５０への通信を暗号化する処理（ステップＳ１０−１−２）、認証サーバが、アクセス制御システム１から受信したメッセージを復号化する処理（ステップＳ１０−３−２）、認証サーバが、アクセス制御システム１へ送信するメッセージを暗号化する処理（ステップＳ１０−４−２）が加わっている。
【００５５】
それにより、第３者による通信メッセージの盗聴、改ざんを防ぎ、書き戻し不可記憶部３０の機密情報へのアクセスが不正に行われることを防止できる。
【００５６】
＜第４の実施形態＞
第４の実施形態では、第２の実施形態と比較し、アクセス制御システム１と認証サーバ５０との間の通信において、署名手段を用いて、通信経路上でデータの改ざんがおきていないことを確かめる点が異なる。
【００５７】
署名とは、本来の要求メッセージをハッシュ関数と呼ばれる関数にかけることで一意の値に変換し、さらにそれを暗号化した結果得られるデータである。この署名データを要求メッセージに付け加えて相手に送信する。受信した相手は、署名データから、ハッシュ値データを復号する。受信側でも、要求メッセージを同じハッシュ関数にかけてハッシュ値を取得し、それと復号を通して得たハッシュ値とを比較することで、メッセージ改ざんの有無を判断する。（不一致だと改ざんが発生している）。
【００５８】
認証サーバ５０は、第２の実施形態と比較し、要求メッセージ、応答メッセージをハッシュ値変換するためハッシュ手段、アクセス制御システム１からのハッシュ値を復号化するための、アクセス制御システム１の公開鍵、及びアクセス制御システム１へのハッシュ値を暗号化するための認証サーバの秘密鍵を記憶する記憶手段と、ハッシュ値を暗号化、復号化する暗号化手段を備える。
【００５９】
アクセス制御システム１は、第２の実施形態と比較し、要求メッセージ、応答メッセージをハッシュ値変換するためハッシュ手段、認証サーバ５０へのハッシュ値を暗号化するための、アクセス制御システム１の秘密鍵、及び認証サーバ５０からのハッシュ値を復号化するための認証サーバ５０の公開鍵を記憶する記憶手段と、ハッシュ値を暗号化、復号化する暗号化手段を備える。
【００６０】
それにより、第３者による通信メッセージの改ざんを防止できる。
【００６１】
＜＜実施形態の主な効果＞＞
以上説明したように本実施形態によれば、ＣＰＵ等の制御部１０が、機密情報を記憶しているメモリへアクセスするためには、セキュアアクセスモジュール２０を中継する必要がある構成となっている。セキュアアクセスモジュール２０は、書き戻し不可記憶部３０に書き込まれている、ライフサイクルの状態を示す情報に基づいて、書き戻し不可記憶部３０へのアクセスを許可するかどうかを判断するため、従来のようなデバッガツールなどを用いたＣＰＵへの擬似命令による操作だけでは、機密情報を覗くことをできないようにすることができる。
【００６２】
また、「アクセス認証あり」のアクセス許可情報が設定されたライフサイクルの状態においては、機密情報を記憶しているメモリへのアクセス要求を受け取った場合、ユーザのアクセス認証処理を行うので、認証をパスできない非正規ユーザによる、機密情報へのアクセスを防止できる。
【００６３】
また、ユーザのアクセス認証用のパスワードの情報を書き戻し不可記憶部３０の不可領域に保存し、セキュアアクセスモジュール２０が、制御部１０から書き戻し不可記憶部３０の不可領域へのアクセスを不可としているため、アクセス認証用のパスワードの機密性を確保できる。
【００６４】
＜＜変形例＞＞
エリア毎のライフサイクルの状態を示す情報は、書き戻し不可記憶部３０に保持する必要があるが、機密情報を格納するエリアは、書き戻し不可記憶部３０ではなく、セキュアアクセスモジュールのみから直接アクセスできる、マスクＲＯＭ(Mask ROM)等の別の上書き不可能なメモリ上に保持する構成としてもよい。ＯＴＰ−ＲＯＭは、「書き戻し」が不可能なメモリであり、「上書き」自体を完全に防ぐものではないが、マスクＲＯＭは上書きを完全に防止できるため、読み出し専用のはずの機密情報が意図せず書き換えられることを防止できる。
【００６５】
上記実施形態におけるアクセス制御システム１は、半導体チップ等の電子部品であってもよいし、完成品の装置であってもよい。また、別々の装置を組み合わせたものであってもよい。
【符号の説明】
【００６６】
１  アクセス制御システム
１０  制御部（制御手段の一例）
２０  セキュアアクセスモジュール（アクセス制限手段の一例）
２１  制御部インターフェース
２２  アクセス制御部
２３  アクセス権情報受信部
２４  コマンド発行部
２５  読み取りデータ受信部
３０  書き戻し不可記憶部（第１の記憶手段、第２の記憶手段の一例）
４０  外部インターフェース
【先行技術文献】
【特許文献】
【００６７】
【特許文献１】特開２０１２−１５５６４９号公報
【図１】
2016110560.tif 000003
【図２】
2016110560.tif 000004
【図３】
2016110560.tif 000005
【図４】
2016110560.tif 000006
【図５】
2016110560.tif 000007
【図６】
2016110560.tif 000008
【図７】
2016110560.tif 000009
【図８】
2016110560.tif 000010
【図９】
2016110560.tif 000011
【図１０】
2016110560.tif 000012
【図１１】
2016110560.tif 000013