DE102011016974A1

DE102011016974A1 - Verfahren zum Speichern einer sicherheitsrelevanten Dateneinheit

Info

Publication number: DE102011016974A1
Application number: DE201110016974
Authority: DE
Inventors: Jan Althaus; Dieter Brasin; Daniel Göpelt; Gerald Schicker; Helmut Steurer
Original assignee: Continental Automotive GmbH
Current assignee: Continental Automotive GmbH
Priority date: 2011-04-13
Filing date: 2011-04-13
Publication date: 2012-11-15
Also published as: DE112012001265A5; WO2012139559A1

Abstract

Es wird ein Verfahren zum Speichern einer sicherhet sowie eine entsprechende Speichereinheit vorgesth der Dateneinheit ein Speicherbereich mit einem zumindest im normalen Speicherbetrieb nicht veränderlichen Speicherinhalt vorgesehen ist. Sowohl der Speicherbereich der Dateneinheit als auch der umgebende Speicherbereich mit nicht veränderlichem Speicherinhalt wird auf Veränderungen hin geprüft und die Dateneinheit nur dann als unverändert angenommen, wenn auch der umgebende Speicherbereich mit nicht veränderlichem Speicherinhalt unverändert ist.

Description

Die Erfindung betrifft ein Verfahren zum Speichern einer sicherheitsrelevanten Dateneinheit gemäß dem Oberbegriff von Anspruch 1 sowie eine entsprechende Speichereinheit.
Grundsätzlich ist eine Speichereinheit, insbesondere für sicherheitsrelevante Daten, so ausgebildet, dass der gespeicherte Dateninhalt während des Betriebs der Speichereinheit erhalten bleibt, also weder zufällig verloren geht noch durch unkontrollierte Schreibzugriffe überschrieben wird. Leider kann ein Ausfall einzelner Zellen der Speichereinheit nie gänzlich ausgeschlossen werden und nehmen auch Mikrocontroller beispielsweise aufgrund äußerer Störungen, wie Temperatureinflüsse, elektromagnetischer Störimpulse oder Überspannungen, unkontrollierte Betriebszustände ein, die zu unbeabsichtigten Schreibzugriffen führen können. Durch sogenannte Memory Protection Units (also Speicherüberwachungseinheiten) kann hardwaremäßig eine solche Überwachung erfolgen, ist dies jedoch entsprechend teuer und aufwändig.
Gerade im Bereich der Automobilelektronik müssen aufgrund des Kostendrucks kostengünstige elektronische Komponenten eingesetzt werden, andererseits dennoch hohe Sicherheitsstandards für die oft sicherheitskritischen Anwendungen, wie beispielsweise Insassenschutzsysteme gewährleistet werden.
Verfahren zum Speichern von Dateneinheiten, insbesondere sicherheitsrelevanten Dateneinheiten sollen so ausgestaltet werden, dass solche Fehler zumindest erkannt und möglichst vermieden werden. So wird beispielsweise in der DE 10 2006 055 964 A1 ein Verfahren und eine Vorrichtung zur Datensicherung beschrieben, bei dem in 2 unterschiedlichen Speicher Systemen die identischen Daten abgespeichert und Hashwerte gebildet und verglichen werden.
Die Aufgabe der vorliegenden Erfindung ist es daher, ein geeignetes Verfahren sowie eine entsprechende Speichereinheit anzugeben. Diese Aufgabe wird durch die Merkmale der unabhängigen Ansprüche gelöst. Vorteilhafte Weiterbildungen der Erfindung ergeben sind aus den Unteransprüchen, wobei auch Kombinationen und Weiterbildungen einzelner Merkmale miteinander denkbar sind.
Ein wesentlicher Gedanke der Erfindung besteht darin, dass im Speicherbereich für die sicherheitsrelevanten Daten vor oder/und nach dem Speicherbereich der Dateneinheit ein Speicherbereich mit einem zumindest im normalen Speicherbetrieb nicht veränderlichen Speicherinhalt vorgesehen ist.
Eine Dateneinheit bildet dabei immer eine zusammenhängende Menge von zumindest 1 Bit, vorzugsweise auch 1 Byte oder mehreren Bytes der zu speichernden sicherheitsrelevanten Daten, wobei für die Erfindung die Länge der Dateneinheit und die Anzahl von Dateneinheiten unerheblich ist.
Der Speicherbereich mit einem im normalen Speicherbetrieb nicht veränderlichen Speicherinhalt ist mit einem vorgegebenen konstanten Wert beschrieben, wobei dieser Speicherbereich aus vorzugsweise zumindest 2 Bit mit voneinander abweichenden Bit-Werten besteht. Im normalen Speicherbetrieb ist dieser Speicherinhalt unveränderlich, indem beispielsweise durch entsprechende Adressierung in einem Adressregister des Mikrocontrollers ein Schreibzugriff auf diesen Speicherbereich ausgeschlossen wird. Sofern es sich um einen flüchtigen Speicher (RAM) handelt ist, in einem vom normalen Speicherbetrieb getrennten Konfigurationsvorgang, beispielsweise bei Inbetriebnahme des Mikrocontroller, ausnahmsweise dieser Speicherbereich mit den vorgegebenen konstanten Wert beschreibbar, wird jedoch durch den Programmablauf sichergestellt, dass diese Konfigurationsvorgang von dem normalen Speicherbetrieb getrennt erfolgt.
Da es extrem unwahrscheinlich ist, dass sich Störungen der Speichereinheit ausschließlich im Speicherbereich der sicherheitskritischen Daten, nicht jedoch in den dazu benachbarten Bereichen mit konstanten Werten ergeben, können durch entsprechende Vergleiche und Kontrollmechanismen solche Fehler anhand der Speicherbereiche mit konstanten Werten hinreichend sicher erkannt werden.
Die Erfindung wird nun nachfolgend anhand von Ausführungsbeispielen unter Zuhilfenahme der Figuren näher erläutert. Im Folgenden können funktional gleiche und/oder gleiche Elemente mit den gleichen Bezugsziffern bezeichnet sein. Es zeigen
1: Speichereinheit mit einem Speicherbereich, in dem sicherheitskritische Dateneinheiten gespeichert werden
2–4: verschiedene Ausgestaltungen des erfindungsgemäßen Verfahrens
1 zeigt eine Speichereinheit 1 mit einem gestrichelt umrandeten Speicherbereich 1.2, in welchem die sicherheitskritischen Dateneinheiten gespeichert werden. Neben diesen gemäß dem erfindungsgemäßen Verfahren geschützten Speicherbereich 1.2 kann die Speichereinheit auch nicht weiter geschützte Speicherbereiche 1.1 oder ungenutzte Speicherbereiche 1.3 aufweisen, d. h. das Verfahren nur auf denjenigen Speicherbereich angewendet werden, in denen besonders sicherheitskritischen Dateneinheiten gespeichert werden.
Die 2A bis 2C zeigen nun die unterschiedlichen Varianten der Ausgestaltungen. In 2A ist vor der zu schützenden Dateneinheit (var_n) ein Speicherbereich (const) mit einem im normalen Speicherbetrieb nicht veränderlichen Speicherinhalt, nachfolgend als konstanten Speicherinhalt benannt, beschrieben. In 2B ist nach der zu schützenden Dateneinheit (var_n) ein Speicherbereich (const) mit einem konstanten Speicherinhalt beschrieben.
Es ist für die Erfindung grundsätzlich unerheblich, welche dieser beiden Varianten gewählt oder aber besonders bevorzugt die Kombination beider Varianten verwendet, also eine zu schützende Dateneinheit wie in 2c gezeigt beidseitig von konstanten Speicherbereichen umschlossen ist. Verdeutlicht man sich, dass in der Regel eine Vielzahl von zu schützenden Dateneinheiten nacheinander gespeichert werden, so ist die konkrete Position der Speicherbereiche mit konstantem Speicherinhalt nicht entscheidend.
3 zeigt nun noch eine besonders bevorzugte Weiterbildung, bei der eine Dateneinheit in einem ersten Speicherbereich (var_n) und zusätzlich zumindest in einem zweiten Speicherbereich (copy var_n) gespeichert wird und zwischen dem ersten und zweiten Speicherbereich zumindest ein Zwischenbereich mit einem zumindest im normalen Speicherbetrieb nicht veränderlichen Speicherinhalt (const) vorgesehen ist. Für den 1. Speicherbereich entspricht dies also der Variante nach 2B, für den 2. Speicherbereich mit der Kopie (copy var_n) der Dateneinheit der Variante nach 2A. Ein so gestalteter Speicherbereich kann natürlich außen nochmals von Speicherbereichen mit konstantem Speicherinhalt umschlossen werden, wobei sich dadurch der erforderliche Speicherbedarf jedoch deutlich erhöhen würde.
Als Kopie der Dateneinheit im 1. Speicherbereich ist dabei auch die Speicherung des binären inversen Wertes dieser Dateneinheit mit umfasst und als eine mögliche Ausgestaltung dieses Verfahrens zu verstehen, da auch in diesem Falle ein Vergleich der beiden Speicherbereiche und eine Erkennung eine Abweichung unmittelbar möglich ist.
Eine weitere besondere Ausgestaltung wird in 4 skizziert. Der Speicherbereich (const A) vor der Dateneinheit (var_n) und der Speicherbereich (const B) nach dem Speicherbereich mit Dateneinheit (var_n) sind jeweils mit einem zumindest im normalen Speicherbetrieb nicht veränderlichen Speicherinhalt beschrieben, wobei die zwei unveränderlichen Speicherinhalte (const A ≠ const B) voneinander abweichen. Dies stellt somit eine Abwandlung der Ausgestaltung gemäß 2C dar, kann jedoch durchaus auch mit der Ausgestaltung gemäß 3 kombiniert werden.
Weitere Kombinationen sind in 5a und 5b zu sehen. Hier ist der identisch doppelt gespeicherte Wert var_n von zwei unterschiedlichen Konstanten Const A und Const B umgeben. Schließlich können diese Varianten auch noch so gestaltet werden, dass die beiden Var-Werte und die beiden Const-Werte bit-invers identisch gehalten werden. Diese Varianten bilden einen sehr hohen Schutz gegen einfache Bitmanipulation aber auch großräumige (über mehrere Bytes) Bereichsveränderungen.
Zur Erkennung von Fehlern ist vorzugsweise vorgesehen, dass sowohl der Speicherbereich der Dateneinheit (var_n) als auch der umgebende Speicherbereich mit nicht veränderlichem Speicherinhalt (const) auf Veränderungen hin geprüft und die Dateneinheit (var_n) nur dann als unverändert angenommen wird, wenn auch der umgebende Speicherbereich mit nicht veränderlichem Speicherinhalt unverändert ist. So werden zur Überprüfung des Speicherbereichs auf Veränderungen beispielsweise Prüfsummen gebildet und neben der Dateneinheit (var_n) auch zumindest ein umgebender Speicherbereich in die Prüfsumme einbezogen.
Das Verfahren ist im Rahmen von Functional Safety Betrachtungen für ein Insassenschutzsystem entstanden. Hier wird der sogenannte Passenger Inhibition Switch (ISW) und die Auswertung seines Schaltzustandes mit der Gefährdungsstufe ASIL D bewertet, da die unberechtigte Auslösung des Beifahrerairbags im Crashfall und bei klarer Abschaltung (Inhibit Stellung) als größtes Risiko eingestuft wurde, denn man muss davon ausgehen, dass ein Kindersitz auf dem Beifahrersitz angebracht ist. Und dann könnte eine irrtümliche Auslösung fatale Folgen haben. Im Projekt wurde die Messung des Passenger Inhibition Switch wegen des hohen Sicherheitsniveaus auf zwei Wegen realisiert.
Zum einen wird der Schalterzustand (es handelt sich um einen 100 Ohm bzw. 400 Oh Widerstand, den es je nach Schalterstellung zu messen gilt) über den AD Konverter des Mikrocontrollers und zum anderen über eine Messeinheit im ASIC gemessen. Beide Mess- und Auswerteroutinen sind im Mikrocontroller implementiert, wobei in der Routine, in der der Schalterwiderstand mit dem A/D-Konverter des Mikrocontrollers gemessen wird, die beschriebenen Mechanismen umgesetzt sind.
Der Schalterwiderstandswert wird hier in zwei identischen Variablen gehalten, die beide nach der Messung mit dem gleichen Wert beschrieben werden. Der doppelt gehaltene Messwert wird verwendet, um ein externes Logiksignal am ZündASIC zu aktivieren oder zu deaktivieren. Dabei wird vor und nach dem Aktivieren bzw. Deaktivieren des Logiksignals die Identität des doppelt gehaltenen Messwerts geprüft aber auch die Unversehrtheit der sie umgebenden Konstanten. Sollte eine Unstimmigkeit vor dem Schalten des Logiksignals erkannt werden wird dessen Zustand nicht verändert und wenn sich eine Unstimmigkeit beim Check nach dem Schalten des Logiksignals herausstellt, dann wird das Schalten zurückgenommen und auf den Vorzustand gebracht.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

DE 102006055964 A1 [0004]

Claims

Verfahren zum Speichern einer sicherheitsrelevanten Dateneinheit (var_n, var_n+1) in einer Speichereinheit (1), dadurch gekennzeichnet, dass vor oder/und nach dem Speicherbereich der Dateneinheit ein Speicherbereich mit einem zumindest im normalen Speicherbetrieb nicht veränderlichen Speicherinhalt (const) vorgesehen ist.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Dateneinheit in einem ersten Speicherbereich (var_n) und zusätzlich zumindest in einem zweiten Speicherbereich (copy var_n) gespeichert wird und zwischen dem ersten und zweiten Speicherbereich zumindest ein Zwischenbereich mit einem zumindest im normalen Speicherbetrieb nicht veränderlichen Speicherinhalt (const) vorgesehen ist (3).
Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass sowohl der Speicherbereich der Dateneinheit als auch der umgebende Speicherbereich mit nicht veränderlichem Speicherinhalt auf Veränderungen hin geprüft und die Dateneinheit nur dann als unverändert angenommen wird, wenn auch der umgebende Speicherbereich mit nicht veränderlichem Speicherinhalt unverändert ist.
Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass zur Überprüfung des Speicherbereichs auf Veränderungen Prüfsummen gebildet werden und neben der Dateneinheit auch zumindest ein umgebender Speicherbereich in die Prüfsumme einbezogen wird.
Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass der Speicherbereich (const A) vor der Dateneinheit und der Speicherbereich (const B) nach dem Speicherbereich mit Dateneinheit (var_n) jeweils mit einem zumindest im normalen Speicherbetrieb nicht veränderlichen Speicherinhalt beschrieben sind, wobei die zwei unveränderlichen Speicherinhalte (const A ≠ const B) voneinander abweichen (4).
Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass die Dateneinheit in einem ersten Speicherbereich (var_n) und zusätzlich zumindest in einem zweiten Speicherbereich (copy var_n) gespeichert wird und dass der Speicherbereich (const A) vor der Dateneinheit und der Speicherbereich (const B) zwischen den Speicherbereichen mit Dateneinheit (var_n) und dem zweiten Speicherbereich (copy var_n) (5a) oder dass der Speicherbereich (const A) zwischen den Speicherbereichen mit Dateneinheit (var_n) und dem zweiten Speicherbereich (copy var_n) und der Speicherbereich (const B) hinter dem zweiten Speicherbereich (copy var_n) (5b) jeweils mit einem zumindest im normalen Speicherbetrieb nicht veränderlichen Speicherinhalt beschrieben sind, wobei die zwei unveränderlichen Speicherinhalte (const A ≠ const B) voneinander abweichen.
Speichereinheit zum Speichern einer sicherheitsrelevanten Dateneinheit gemäß einem der vorangehenden Ansprüche, bei dem vor oder/und nach dem Speicherbereich der Dateneinheit ein Speicherbereich mit einem zumindest im normalen Speicherbetrieb nicht veränderlichen Speicherinhalt vorgesehen ist.
Insassenschutzsystem mit einer Speichereinheit nach Anspruch 7.