CN100394814C - 保护诸如便携式电话这样电子装置的方法和设备 - Google Patents

Abstract

本发明涉及某些方法和设备，这些方法和设备有助于防止诸如便携式电话这样的电子设备在使用盗版软件(以及在使用只授权其他设备使用的软件)的情况下进行工作。本发明还涉及使用本发明中方法和设备的装置，例如涉及到便携式电话。本发明的某些方面将该装置的参照标识与程序标识(与存储于装置中的软件相关)进行比较，从而确定软件是否授权给这一装置使用。本发明的某些实施方案基本上以硬件方式对比较做出结果；这样，当程序标识与参照标识相互不符时，被校验的软件很少能够避免该装置失去操作能力。

Description

保护诸如便携式电话这样电子装置的方法和设备

发明领域

本发明与电子装置相关，更具体而言，本发明与使用软件的装置相关，本发明使未经授权而重新设定程序的电子装置(比如便携式电话)很难进行工作，其中的电子装置基于软件进行操作。

发明背景

便携式电话，有时也被称为移动电话，在移动通讯系统中被广泛使用。虽然并非全部便携式电话都基于软件进行操作，但大多数便携式电话基于软件进行工作，这意味着便携式电话带有一个或多个内置的计算机(即处理器)以及指导这些处理器进行操作的软件。对于便携式电话制造商而言，这种方式可能具有几种优势。第一，在这种方式下，便携式电话的开发时间和生命周期成本低于不基于软件操作的便携式电话所需的开发时间和生命周期成本。第二，便携式电话的操作特性在很大程度是存储在电话中的软件的函数。这就使制造商有可能只通过简单地开发出不同版本的软件而生产出一代又一代不同型号的便携式电话。

然而，一个问题是，在某些时候，用户在没有得到制造商授权或许可的情况下，试图通过从另一部电话中复制软件而重新设定某一便携式电话的程序。这种情况会在两种环境下出现。第一种是用户在不支付升级费的情况下试图对电话进行升级。举例而言，在某些情况下，只通过简单地将高端电话中的软件复制到低端电话中就可将低端电话升级为高端电话。这种做法潜在地降低了高端电话的销售量，并损害到了电话制造商的利益，同时也损害到了高端软件供应商的利益。第二种环境是某个用户企图使用偷来的电话。这是因为每种电话都被赋予一个单独的编码，这一编码通称被称为IMEI(国际移动设备标识)码，该编码是用来防止使用偷来的电话。IMEI码通常内嵌在电话软件中，并在用户进行呼叫时发送给通讯网络。通讯网络将电话发送出的IMEI码与数据库的编码进行比较，从而确定这部电话是否是已报失的电话。如果该电话已报失，则通讯网络不允许该电话通过通讯网络进行呼叫。但这里存在着一个问题，如果偷来的电话使用从合法电话(即不是偷来的电话)复制来的软件(包括IMEI码)进行重新编程，则IMEI编码校验就无效了。在重新编程后，偷来的电话发送出表面上是合法的IMEI编码，并被允许通过通讯网络进行呼叫。

因此，要找出某些方法来防止使用从其他电话上复制来的(或只授权其他电话使用的)软件的电话进行操作。

目前存在的方法有数种。一种方法是在开启电话时需要用户输入PIN(个人身份证)码或输入使用许可号。然而，这种方法并不能防止偷来的电话或原来的低端电话使用复制来的软件进行工作，这种方法只是简单地要求用户输入PIN码或输入授权的使用许可号或高端电话的使用许可号。

第二种方法是给每种电话配备一个硬件标识。电话中的软件读取这一硬件标识，并与软件中存储的参照标识进行比较，如果硬件标识与参照标识不一致，则软件会使电话无法工作。然而，这种方法也比较容易被攻破。使用调试器和/或仿真器可识别出软件中执行标识校验和使电话无法操作的程序段，然后可以对这些软件程序段进行修改和更换。

因此，需要找到其他的方法来防止使用盗版(以及只授权其他装置使用的)软件的电子装置进行工作。

发明概述

本发明有助于防止使用盗版(以及只授权其他装置使用的)软件的电子装置进行工作，比如防止这样的电话进行工作。

根据本发明的第一方面，本发明涉及一种处理器核心所用的方法，这一处理器核心为电子装置(比如电话)所用并控制该电子装置；该方法包括：提供一个输入项来接收来自处理器核心内部的参照标识；提供一个输入项来接收与存储于系统存储器中程序相关的程序标识；生成数据，该数据代表着接收到至少具有规定相互符合程度的参照标识和程序标识，或代表着缺乏这样的参照标识和程序标识；并主要在硬件上对代表着收到或缺乏参照标识和程序标的数据做出响应，除非生成的数据表明收到了至少具有规定相互符合程度的参照标识和程序标识，否则做出的响应会使处理器核心的某一操作特性失效。

通过主要硬件上对比较结果做出响应，被校验的软件在程序标识和参照标识不匹配的情况下很少能够阻止该装置无法操作。

根据本发明的另一方面，处理器核心包括：比较器和失效系统，其中的比较器接收来自处理器核心的参照标识以及与存储于系统存储器中的软件相关的程序标识；并生成数据，该数据代表着接收到了至少具有规定相互符合程度的参照标识和程序标识，或代表着缺乏这样的标识；失效系统根据代表着符合程度的数据而产生响应，除非所生成的数据表明在程序标识和参照标识之间至少具有规定的符合程度，否则失效系统将产生一个信号使处理器核心的某一操作特性失效。

根据本发明的另一方面，处理器核心包括：两个输入端、数据生成装置以及响应装置，其中一个输入端接收来自于处理器核心的参照标识；另一输入端接收与存储于系统存储器中的软件相关的程序标识；数据生成装置所生成的数据代表着接收到了至少具有规定相互符合程度的参照标识和程序标识，或代表着缺乏这样的标识；响应装置根据生成的数据而主要以硬件方式做出响应，响应装置包括使处理器核心的某一操作特性失效的装置，除非产生的数据表明程序标识和参照标识至少具有规定的相互符合程度，否则响应装置将使处理器核心的某一操作特性失效。

根据本发明的另一方面，电子装置包括：存储器以及处理器核心，其中软件存储于存储器内并含有参照标识；处理器核心通过数据通道与存储器相连，处理器核心包括比较器，比较器接收程序标识和参照标识，并根据收到的标识产生信号，所产生的信号表明程序标识和参照标识之间的符合程度，处理器核心还包括失效系统，除非所产生的信号表明参照标识和程序标识至少具有规定的符合程度，否则失效系统将根据比较器所产生的信号使电子装置的某一操作特性失效。

根据本发明的另一方面，本发明提供用于移动通讯的便携式电话。便携式电话含有处理器，处理器中包括处理器核心和存储器，处理器核心通过数据通道与存储器相连，存储器能够存储含有运行时间程序的软件，并存储与该软件相关的标识，其中的改进包括；比较器和失效系统，比较器位于处理器核心内，该比较器接收来自于处理器核心的参照标识，并接收与存储在系统存储器中软件相关的程序标识，比较器生成数据，所生成的数据代表收到了至少具有规定相互符合程度的参照标识和程序标识，或者代表缺乏这样的标识；失效系统位于处理器核心内，并对代表着符合程度的数据做出响应，除非所生成的数据表明程序标识和参照标识之间至少具有规定的符合程度，否则失效系统将产生一个信号使处理器核心的某一操作特性失效。

虽然以上论述了本发明一个或多个方面的一个或多个实施方案所具有的潜在优势，但应该理解的是，并不绝对要求本发明任何方面的实施方案能够论述以前技术中的不足之处。

图示简介

图1是移动通讯系统某一实施方案的模块图，其中的移动通讯系统包括便携式电话和便携式电话网络。

图2是基带处理器某一部分的模块图，该基带处理器被用于图1所示的便携式电话，基带处理器包括含有本发明所述安全系统的处理器核心。

图3是图2所示处理器核心某一结构的模块图。

图4是生成图2中安全系统所用参照标识的实施方案模块图。

图5是图2中安全系统所用的失效系统某一实施方案的模块图。

图6表明了实现图2所示安全系统某一实施方案所用的方法/特点。

图7是图2中安全系统某一实施方案一部分的模块图。

本发明的详细说明

以下将结合图1所示移动通讯系统所用的便携式电话50对本发明进行说明。然而，应该认识到的是，本发明并不局限于应用于便携式电话或应用于通讯系统中。便携式电话只是使用到本发明的电子装置中的一个实例。

现在参见图1，便携式电话50接收来自于用户54的输入信号52。便携式电话50处理这一信号，并生成输出信号56，该输出信号被发送给通讯网络58。正如图1所示的，输入信号和输出信号通常分别是声音信号和射频信号。

便携式电话50包括一个或多个处理器(未在图1中表明)。这样的一个处理器被称为基带处理器。基带处理器执行信号处理操作(比如执行压缩操作)，并执行将IMEI码发送到通讯系统的指令。

图2是基带处理器60某一部分的模块图，在本发明的某一实施方案中，该基带处理器用于图1所示的便携式电话50。

基带处理器60包括处理器核心80以及相关的存储器82。相关的存储器82在本文中也被称为系统存储器82或用户存储器82。处理器核心80和系统存储器82由母线84连接起来。母线通常是并行接口，并还可以与其他装置(未在图中表明)相连，这些其他装置既可以是基带数字处理器60的一部分，也可以不是基带处理器60的一部分。虽然并不需要，但一个或多个其他接口也可以与处理器核心80相连，比如串行接口85可以与处理器核心80相连。

系统存储器82被用来存储运行时间程序94。运行时间程序94含有IMEI编码96以及在电话正常使用期间处理器核心80所要执行的指令(包括将IMEI编码94从便携式电话发送到网络(图1)的指令)。运行时间程序94还包括程序标识98，该程序标识被用来帮助识别系统存储器中所存储的软件。程序标识98的形式可以是任意的，其形式包括数字编码，但并不局限于数字编码这一形式。该数字编码可存储于系统存储器中或根据系统存储器中所存储的一系列指令而生成。

系统存储器82的形式可以是任意的，其中包括可重新编程的存储器元件(比如闪存或电可擦除只读存储器)、可更换的存储器元件和/或这些存储器元件的组合形式，但系统存储器82并不局限于这些形式。系统存储器82可以与处理器核心80集成在一个芯片上和/或与处理器核心80集成为单独的部件，但这不是必须的。

正如前面所述，某些用户试图通过复制另一部电话的(或只授权被另一部电话使用的)软件而对便携式电话进行“重新编程”。

现在参见图2，处理器核心的这一实施方案包括安全系统100，该安全系统可帮助防止便携式电话在使用从其他电话复制(以及只授权其他电话使用的)软件的情况下进行工作。安全系统100包括参照标识101、比较器102以及失效系统103。与前面所述的程序标识98一样，参照标识的形式可以是任意的，其形式可包括数字编码，但参照标识并不局限于数字编码这一形式。参照标识可事先生成，并存储于非易失存储位置上，或者在便携式电话操作过程中生成，例如按以下结合图4所述的过程而生成。

在操作过程中，数据通道104、105被用来分别将程序标识98和参照标识101提供给比较器102。比较器102对标识98、101进行比较，并提供输出信号106。这一实施方案中，输出信号是数字逻辑信号。如果程序标识98和参照标识101相符，则输出信号将处于第一(即低位)逻辑状态(即逻辑值为0)。如果程序标识98和参照标识101相互不符，或者其中一个标识或二个标识均没有被比较器102所收到，则输出信号将处于第二(即高位)逻辑状态(即逻辑值为1)。

比较器的输出信号通过数据通道107提供给失效系统103。如果比较器的输出信号处于高位逻辑状态(在这一实施方案中，高位逻辑状态表示没有收到相符的标识)，则失效系统103产生一个使处理器核心80的某一操作特性失效的信号(通过数据通道108提供)。如果比较器的输出信号处于低位逻辑状态(在这一实施方案中，低位逻辑状态表示收到了相符的标识)，则失效系统103认为运行时间程序94被授权给该便携式电话使用，从而不产生使操作特性失效的信号。

一般希望的是，便携式电话之间具有不同的参照标识101。这意味着任何一部特定便携式电话的参照标识101不同于大部分这种类型或型号便携式电话所具有的参照标识101，但并不需要特定类型或型号的每一部便携式电话都具有独一无二的参照标识101。

便携式电话制造商应采取措施确保授权某一特定便携式电话使用的运行时间程序94所具有的程序标识98与该便携式电话的参照标识相符。以下将说明实现这一点的实施方案。

如本文所用的，如果程序标识98和参照标识101彼此间至少有规定的符合程度，则程序标识98和参照标识101是相匹配的。规定的符合程度可随实施方案的不同而变化。在某些实施方案中，程序标识98和参照标识101具有规定的符合程度，即便这两个标识彼此不一样，但这两个标识间只需存在特定的关系即可。

在优选情况下，安全系统中的比较器102、失效系统103以及数据通道105、107基本上是以硬件形式出现的。当使用术语“基本上以硬件形式”时，这一术语意味着被校验的程序(即运行时间程序94)不足以控制上面提到的这些硬件部分，从而阻止安全系统在程序标识和参照标识不匹配时使某一操作特性失效。因此，一种情况是被校验的程序(即运行时间程序94)无法控制这些硬件，另一情况是被校验的程序只有有限的控制力。与前面所述的以往技术相比，这可使安全系统更加难于被窜改和/或攻破。

应该理解的是，术语“基本上以硬件形式”并不意味着唯一以硬件形式。举例而言，“基本上以硬件形式”并不排除状态计算机、固件和/或不受正在校验的程序所控制的软件。例如，这些软件可内嵌在核心处理器中，并且从核心处理器外部无法访问这些软件(例如这些软件是在核心处理器内的独立地址/数据母线上操作)。实际上，比较器102和失效系统103可以以任何形式加以实现，这其中包括软件形式、硬件形式或任何的组合形式，但比较器和失效系统的实现方式并不局限于此。更具体而言，这些元件的一种或多种形式包括标准、处理过程、函数、公式、方程、线性反馈变换寄存器、观察表、图形、或这些形式的任意组合，但这些元件的形式并不局限于所述的这些形式。虽然有上述提到的各种方式，但某些实施方案的确只是通过硬件形式来构成安全系统，例如通过逻辑寄存器和序列寄存器的组合来构成安全系统。

还应理解的是，术语“基本上以硬件形式”并不意味着比较器102和/或失效系统103不能接收来自正在被校验程序的输入。举例而言，被校验的程序通常将提供程序标识98。

图3表明的是处理器核心80(图2所示)所使用的一种结构。在这一结构中，处理器核心包括中央处理器110、存储器111、安全系统逻辑部分112以及安全系统数据寄存器部分113。处理器核心80可包括其他的处理器单元(未在图中表明)，这些其他的处理器单元在操作上是与中央处理器110相关的。数据通道114、115将中央处理器110分别与外部接口84、85连接起来。数据通道116A～116E将各种处理器核心元件相互连接起来。应该理解的是，虽然图中所示的数据通道116A～116E是彼此分开的，但这些通道中的一条或多条可以与其他数据通道相合并，或与数据通道114、115相合并。处理器核心80通常位于一个单独的芯片上，和/或集成为一个独立的部件。

存储器111在本文中被称为处理器存储器111，该存储器通常是单独(或至少在大多数情况下)用于提供处理器核心80制造者所设计的功能。处理器存储器111通常包括寄存器和/或数量较少的存储器。存储器可以是任何类型的存储器，其中包括只读存储器、随机访问存储器以及它们的组合，但存储器的类型并不局限于此。存储器111可带有一次可编程部分，但这不是必须的。

处理器存储器111可存储引导程序117A和下载程序117B。引导程序117A可在重启或开机时执行，并可含有确定运行时间程序94是否已被加载到系统存储器82中的指令。如果引导程序117A确定运行时间程序94已经加载到了系统存储器82中，则执行步骤跳到运行程序94上。另一方面，如果引导程序117A确定运行时间程序94还没有加载到系统存储器82中，则执行步骤跳到下载程序上。下载程序117B包括能使运行时间程序94加载到系统存储器82中的指令。这一过程是在便携式电话的制造阶段实现的。

安全系统的逻辑部分112包括逻辑电路和同步寄存器118A、118B的组合，该逻辑部分生成并存储参照标识。安全系统的逻辑部分还包括逻辑电路118C、118D和数据通道118E、118F及118G的组合，它们分别实现了图1所示比较器102、失效系统103、数据通道105、107、108的功能。应该认识到的是，逻辑寄存器和同步寄存器的组合可以是任何形式的，并可采用任何技术。

安全系统的数据寄存器113包括标识码寄存器119A、种码寄存器119B以及访问密码寄存器119C，这些寄存器将在以后进行说明。安全系统所用的其他寄存器可放置在安全系统的数据寄存器113上和/或放在安全系统的逻辑部分112上，或放在其他地方。

应该理解的是，图3所示的只是处理器核心的一种可能结构。处理器核心并不局限于这一结构。任何其他适用的结构也是可以使用的。

通过读取参照标识101，然后修改软件，从而使程序标识98与参照标识101相匹配，这样可窜改和/或攻破安全系统100。还有一些做法是企图改变参照标识101，从而使参照标识101与程序标识98相匹配。因此，需要将参照标识“隐藏”起来，使一般的用户找不到参照标识。

因此，在优选情况下，参照标识是不能直接访问的，并且从安全系统之外无法直接改变参照标识。“不能直接访问”意味着无法只简单地执行一条读取指令就可读取到所要知道的信息，其中的读取指令指明了参照标识101存储的地址。然而，可对参照标识101进行间接的访问；例如通过执行含有读取指令的预定操作序列就可以访问参照标识。因此，对预定的操作序列应加以保密。“无法直接改变”意味着不能只简单地执行一条写指令而进行更改，其中的写指令指定了参照标识101所存储的地址。然而，参照标识101是可以加以间接修改的，举例而言，通过执行含有写操作的预定操作序列就可以改变参照标识，但改变参照标识的方法并不局限于此。此外，在某些实施方案中，通过外部终端无法访问参照标识101。

应该认识到的是，虽然所示的数据通道104、105、107是彼此分开的，但一条或多条数据通道可以与其他数据通道结合在一起。还应认识到的是，前面所述的逻辑惯例只是逻辑惯例的一种，其他的逻辑惯例也可以使用。

在某些实施方案中，只要执行预定的操作序列，就可将程序标识98和参照标识101提供给比较器102和/或对这两个标识进行比较。这可以使安全系统100更加难于被窜改和/或攻破。预定的操作序列例如可以是位于寄存器上的预定指令序列和/或预定的操作序列；例如，预定的操作序列通常是作为联合测试访问组操作的一部分而被执行。这一特定的操作序列被称为校验序列。这一校验序列应该是保密的。在不对便携式电话进行重置的情况下，还应限制参照标识101与程序标识98进行比较的次数。举例而言，在某些实施方案中，在开机或重置后，安全系统100只允许对程序标识和参照标识进行一次比较。如果试图进行再次比较，则比较器102将产生一个代表着未收到相匹配标识的输出信号，失效系统将根据这一信号产生使电话某一操作特性失效的信号。

在某些实施方案中，如果发现有仿真器存在，则安全系统会不工作。这会使通过仿真器来找到窜改和/或攻破安全系统100所需的信息变得更加困难。很明显，有许多方式可实现这一点，下面将结合图5对此进行说明。

此外，当没有收到相匹配的标识时，应该通过启动伪随机非函数行为和/或以延迟的方式使便携式电话的操作特性失效；其中的延迟方式会在规定的时间后使便携式电话的操作特性失效，延迟的时间可在便携式电话操作之前指定(即预定)，或者在操作过程中指定(即动态指定)。

引入延迟方式可使找出有关安全系统操作信息的过程变得更加困难，利用安全系统的操作信息可窜改和/或攻破安全系统100。使用延迟方式还加长了“破解”某一特定便携式电话所用标识(即通过试差法确定参照标识)所需的时间。这反过来又加大了窜改和/或攻破安全系统的难度。举例而言，如果延迟时间为4秒，参照标识为32位数码，则破解参照标识所需的时间可能长达544年：

4秒*2³²＝544年  方程(1)

应该认识到的是，改变参照标识所用的位数将改变破解参照标识所需的时间。举例而言，如果延迟时间是4秒，参照标识减少到8位，则破解该参照标识所需的时间将减少到17分钟：

4秒*2⁸＝17分钟    方程(2)

在某些实施方案中，一个或多个随机产生的未被使用数码被嵌入到系统存储器的软件中，这样程序标识和IMEI码就不只是在相似类型及型号的便携式电话间的软件上存在差异了。

图4表明了便携式电话在操作期间生成参照标识101的某一实施方案。在这一实施方案中，每个处理器核心都带有标识码120。虽然并不要求每个处理器核心具有单一的标识码120，但标识码120会随处理器核心的不同而不同。标识码120通常存储在非易失性寄存器或存储器位置上(在本文中被称为标识码寄存器)。举例而言，标识码120可以作为处理器核心物理连线表的一部分(如果处理器核心含有只读存储器，则标识码120位于处理器存储器的只读存储器部分)，或者作为处理器核心一次性可编程部分的一部分(如果处理器核心含有一次性可编程部分)。

标识码120被提供给解码模块122。一个或多个其他的编码124也可以提供给解码模块122。这些其他的编码124可包括IMEI码96、一个或多个标识码126、或这些码的组合，但这些其他的编码并不局限于此；其中的一个或多个标识码126与便携式电话中一个或多个其他元件以及代表着一条或多条已被处理器执行指令的数据(例如至少代表以下一项的数据：至少一个运算码128、至少一个地址130以及至少一个数据字符132，但数据并不局限于代表这些项目的数据)相关。其他可能的编码可根据某一特定时间内处理器核心所执行的所有指令(包括所有的运算码、所有的地址以及所有的数据字符)而生成。

加密模块122根据加密规则以编码120、124为种码而生产参照标识(参照标识经数据通道123输出)。在某些实施方案中，加密模块122的形式是伪随机生成器，但加密模块并不局限于这种形式。正如本文中所用的，术语“加密规则”包含以任何方式产生的任何类型的加密规则。加密规则可以是预定的，也可以是恒定的，但加密规则并不局限于此。加密规则通常是由基带处理器60的设计者或便携式电话制造商所指定，或由这二者联合指定。此外，加密规则可以以任何形式体现，其中包括规程、处理过程、函数、公式、方程、线性反馈变换寄存器、观察表、图形等，或是这些形式的组合，但加密规则并不局限于这些形式。

在某些实施方案中，除非一种在本文中被称为检索序列的预定操作序列被执行，否则不会生成参照标识。

为了使窜改和/或攻破安全系统100更加困难，该实施方案还包括控制模块134，该控制模块接收重置信号(通过通道136)以及读/写信号(通过通道138)，控制模块134将控制信号(通过通道140)提供给加密模块122，控制模块会限制便携式电话重置或开机后参照标识101的生成次数。

人们已知，通过读取标识码120有可能窜改和/或攻破安全系统100。因此，与参照标识一样，标识码120也最好不让普通用户知道。再者，在优选情况下，标识码不能通过执行程序的方式而被直接访问和直接改动。这会使窜改/或攻破安全系统100变得更加困难。在某些实施方案中，为了有助于将标识码“隐藏”起来(即更难发现标识码)，标识码120被存储在处理器核心地址映射表中的非公开地址中。

然而，正如前面所述的，便携式电话制造商将采取措施来确保某一特定便携式电话所使用的软件具有与该特定便携式电话参照标识相匹配的程序标识。因此，便携式电话制造商需要访问嵌入在便携式电话处理器核心内的标识码。

因此，一般希望标识码可以被间接访问，例如采用预定的指令序列对标识码进行间接访问，在本文中，这种预定的指令序列被称为访问序列。访问序列需要提供一个访问密码(即访问码)。请注意，访问序列和访问码可以是特定的(即每个电话制造商具有不同的访问序列和访问码)。在某些实施方案中，在访问标识码之前需要向专用寄存器和/或地址中写入专用值或一个专用值序列。这样可使窜改和/或攻破该系统变得更加困难。缺省值(在专用值没有写入寄存器/或地址的情况下所收到的值)可以是一个虚值。在某些实施方案中，标识码只能以编码的形式(使用与生成参照标识所用加密规则不同的加密规则)进行访问。

然而，应该认识到的是，允许(间接或非间接)访问标识码(加密的或非加密的)的安全系统可能不如根本不允许对标识码进行访问的安全系统安全。因此，某些实施方案会使标识码完全无法从处理器核心之外对其进行访问。

图5表明的是失效系统103(图2所示)的某一实施方案。在这一实施方案中，失效系统103是以监视定时器计时电路150的形式出现的。监视定时器计时电路是一种监督电路，这种监督电路通常被用于基于微处理器的电路中，使用监视定时器计时电路的目的是确定微处理器是否正在所不希望的状态下运行。这一点很重要，因为有多种情况可引起微处理器在不正常的状态下操作。这些情况包括误操作和/或硬件故障以及诸如死循环这样的软件错误，其中硬件故障会使指令失灵和/或使微处理器跳到错误的地址上。为了使监视定时器计时电路确信处理器不是在非正常状态下操作，监视定时器计时电路通常要求微处理器偶尔确认某一信号。如果微处理器没有按照要求确认该信号，则监视定时器的计时电路启动重置步骤或其他步骤，从而中断微处理器的操作序列。监视定时器计时电路150带有时钟152和计数器154。时钟152产生时间信号，该时间信号输送给计数器154的时间输入项。计数器154还有其他三项输入(刷新、刷新失效和监视定时器失效)以及一项输出(时间输出)。时间输入项通过信号通道156接收时间信号。刷新输入项通过信号通道158接收监视定时器刷新信号(由处理器核心产生)。刷新失效输入项通过信号通道160接收比较器的输出信号。监视定时器失效输入项通过信号通道162接收表明有仿真器存在的信号(由处理器核心产生)。

操作过程如下所述：计数器154对时间信号的时间脉冲进行计数。如果计数达到规定的数量(与规定的时间间隔或持续长度相对应)，则电路确认时间输出信号，该时间输出信号反过来会启动重置操作或某些其他操作，从而中断处理器核心的操作序列。在某些实施方案中，规定的计数量约为重置和/或启动后的4秒。如果刷新输入得到确认，则计数器154被重置，除非刷新失效输入也得到确认。然而，只要比较器输出信号表明比较器102未收到相匹配的标识，则刷新操作失效。因此，除非在计数器154达到规定的计数量之前比较器102收到相匹配的标识，否则监视定时器计时电路150将确认时间输出信号。

因为表明仿真器存在信号被提供给监视定时器失效输入项，所以当有仿真器存在时，监视器计数电路150失效。尽管非必须，这样的安排使通过仿真器查出信息变得更为困难，所述的信息可用于篡改和欺骗安全系统100。

应该理解，在其它的一些实施中，失效系统103可选的带有看门狗时钟电路150。再者，其他实施方案可在重置或启动后的规定时间内使便携式电话失效，或不使便携式电话失效。

图6表明的是图2所示安全系统某一实施方案中所用的方法/特点。在这一实施方案中，正如前面结合图4所示的，参照标识基于标识码和种码。使用带有访问密码的访问序列可对标识码进行间接的访问(以一种基于种码的编码形式)。应该认识到的是，在每个实施方案中，并不是结合图6所述和/所示的所有方法/特点都被使用到。还应认识到的是，某些方法/特点是应用于处理器核心，但某些方法/特点不是应用于处理器核心。

现在参见图6，如图所示，标识码、种码A、种码B以及访问密码在170生成。在图6所示的系统中可使用随机数字生成器，但这不是必须的。所需要的是，标识码和/或种码会随处理器核心的不同而不同。然而，并不要求每个处理器核心都有单一的标识码和/或种码。种码和/或访问密码可以是特定的(即每个便携式电话制造商拥有不同的种码和/或访问密码)。

如172所示，标识码、种码以及访问密码在此被嵌入到处理器核心中。这一过程可用多种方式加以执行。一种方式是将这些信息嵌入到处理器核心的物理数据中和/或嵌入到构成处理器核心的连线表中。如果使用单一的标线表征码，则不同标识码以及种码的数量取决于可放置于标线上电路小片的数量，例如8或12。请注意：不同的标识码的数量越少，种码的益处越大。所希望的是，当表征码更新时和/或在固定的时期后，标识码和/或种码被更新。为了便于进行更新，标识码和/或种码的定义可在单层金属上完成，但这不是必须的。

第二种方式是在处理器核心制造完毕后将这些编码信息嵌入到处理器核心中。当处理器核心带有一种或多种类型的可编程元件时，信息嵌入过程可得以进行；其中可编程元件包括：可编程融断器(电融断或激光融断)、可编程连接线、一次可编程闪存或寄存器、电可擦除只读存储器以及这些元件的组合，但可编程元件并不局限于这些形式。融断器在不融断的情况下通常具有较低的电阻值。在不被编程的情况下，可编程连接线通常具有很高的阻值。如果使用可去除或可编程元件，则删除标识和/或对标识进行重新加密是很困难的。此外，还可以带有一个一次性可编程编码，该编码表明标识码是否是可以访问的。如果标识码不可访问，则应该保留标识码数据库，从而保持对软件进行更新的能力。这些措施例如可由处理器核心制造商或便携式电话制造商实施。

如174所示，便携式电话制造商提供访问序列，该访问序列含有进入处理器核心的访问密码。如176所示，如果制造商提供了正确的访问序列和访问密码，则处理器核心使用加密规则M和种码A编制标识码，并将编制出的标识码存储在寄存器178中。然后通过并口或串口连线(如JTAG或类似的连线)将编制好的标识码从处理器核心输送出去。

为了使安全系统更加难于被窜改和/或攻破，可在使用访问序列的同时采取以下(或其他的)一项或多项措施：

(1)如果没有来自于引导程序的执行步骤，则访问序列失效。

(2)种码、访问密码以及标识码从处理器核心内的存储位置进行读取，但读取不经过母线，所以母线被置于全零状态。

(3)必须对专用的寄存器和/或地址进行一系列的写和/读操作。

(4)在对标识码进行访问前必须将访问密码写入到某些寄存器或地址中。

(5)存储在处理器核心内的访问密码与访问序列所提供的访问密码进行比较，如果两个访问密码相等，则产生一个固定数量循环所用的标志。

(6)如果访问序列中的操作没有按正确的顺序或没有在一定次数的循环中执行，则零值被存储在访问寄存器中。

(7)在一定次数的循环后，标志和寄存器被重置，因此对标识码进行再次访问的尝试将会失效。

(8)在重置后，只能执行一个访问序列。

(9)如果在访问序列中没有提供正确的密码，则标识码(经过加密的或未经加密的)不存储在访问寄存器中。取而代之的是随机或伪随机编码被存储在访问寄存器中。

(10)在读取访问寄存器中的标识码(经过加密的或未经加密的)过程中，为了改变存储器输出的值，执行对主存储器位置的虚拟读取访问。

在某些实施方案中，为了通过并行口得到有效的标识码，下面三个条件必须被满足：

(1)形成访问序列的指令必须取自处理器核心上的存储器(比如只读存储器或静态存储器，或任何可用的存储器)；

(2)预定的操作序列必须在一定的时间循环次数内被执行；

(3)中断必须被禁止。

请注意：通过使用便携式电话其他元件的标识码所生成的种码还可使经过加密的标识码取决于便携式电话的其他元件。生成这样一种编码的过程如下：从一个或多个其他元件读取标识码，并生成种码；将种码写入到种码寄存器中；按照前面所述读取标识码，在这种情况中，经过加密的标识码是处理器核心标识码和一个或多个其他元件标识码的组合。

如180所示的，便携式电话制造商使用解码规则M(与处理器核心所用的加密规则M相对应)和种码A(以及加密过程所用的任何其他编码)对经过加密的标识码进行解码，从而得到标识码。在182，使用加密规则N(与处理器核心用来生成参照标识的加密规则相对应)以及种码B(以及任何其他所需要的编码)对标识码进行加密，从而生成与处理器核心(在便携式电话的操作期间)所要生成的参照标识相匹配的程序标识。如184所示，程序标识然后被嵌入到系统存储器的软件中。

在这一实施方案中，为了启动参照标识的生成过程，必须执行预定的操作序列。这一预定的操作序列在本文中被称为“校验序列”。在这一实施方案中，执行检索序列的指令存储在处理器存储器中(即存储在引导程序(图3所示)中，该引导程序在重置或开机时被执行)。为了启动程序标识与参照标识的比较过程也必须执行预定的操作序列。这一预定的操作序列在本文中被称为校验序列。在这一实施方案中，执行该校验序列的指令被嵌入到系统存储器的软件中。

如186所示，为了启动参照标识的生成过程，在便携式电话的操作期间(即在重置或开机时)要执行检索序列。如188所示，处理器核心使用加密规则N和种码B(以及任何提供给处理器核心的其他编码)对标识码进行加密，从而生成参照标识，所生成的参照标识存储在寄存器190中。在某些实施方案中，检索序列在便携式电话重置后可只执行一次，和/或与前面所述的访问序列中的一个或多个措施合并在一起。

然后如192所示，执行校验序列，从而启动程序标识与参照标识的比较过程。如果程序标识和参照标识彼此不相符合，则生成一个使便携式电话某一操作特性失效的失效信号，如194所示。

如上面所述，图6中的实施方案包括各种措施。并不是在每种情况下都会用到所有这些措施。请注意：通常希望的是，安全系统所用的访问序列、访问密码、校验序列、加密过程、寄存器的地址以及存储器地址这些信息应尽可能地保密。

在某些实施方案中，预定的指令序列是由处理器核心的常规指令集中的指令组成的。这些指令可能是便携式电话所含软件的其他部分经常使用的指令，也可以不是便携式电话所含软件的其他部分经常使用的指令。

图7表明的是带有只读存储器202的处理器存储器200，其中含有为安全系统204的参数预留出来的地址空间。只读存储器202含有520个地址。511以上的地址被留给标识码、种码和访问密码。只读存储器202按10个地址字节形式add0-9进行地址划分。9个最不重要的地址字节add0-8被地址解码的9个字节所占用。最重要的地址字节add9被提供给来自于安全系统逻辑电路206的一个字节。只有在安全系统逻辑电路206确认最重要的地址字节add9后才能对预留的地址进行访问。

来自只读存储器202的32位输出被提供给安全系统逻辑电路206以及多路器208的两个32位输入项之一。地址解码的4个字节以及来自数据母线的32位字节也被提供给安全系统逻辑电路206。安全系统逻辑电路206将32位信号提供给多路器208的第二个32位输入项，并驱动选择线209。多路器208输出一个32位信号。

操作过程如下：如果安全系统逻辑电路206确定已经提供了适当的序列，则安全系统逻辑电路206确认add9和多路器选择线209，从而允许只读存储器202中的预留地址被访问以及多路器208产生输出信号。如果没有提供适当的序列，则安全系统逻辑电路206不确认add9。取而代之的是，安全系统逻辑电路206提供随机编码或伪随机编码，该随机编码或伪随机编码然后由多路器208输出。

当使用术语“根据”时，该术语意思是指“至少根据”，这样就不会排除根据一个以上事物的情况。

虽然安全系统是结合便携式电话所用基带处理器进行说明的，但本发明并不局限于这些实施方案或用途。而且其他实施方案也可以使用任何的电子装置，其中的电子装置包括便携式数字辅助装置，但电子装置并不局限于便携式数字辅助装置。

虽然本文表明和说明了各种实施方案，但本领域技术人员应该理解的是，本发明并不局限于这些实施方案，这些实施方案只是以实例的方式而体现的，在不脱离本发明原理和范围的情况下可对本发明做出各种改变和修改。相应地，本发明只由本文所附的权利要求或具有同等效力的条款所限定。

Claims (45)

1.一种装置的处理器核心所用的方法，所述的方法包括：

生成数据，该数据表示接收到了彼此间至少具有规定符合程度的来自处理器核心内部的参照标识和与存储在装置的存储器中的软件相关的程序标识，或表示缺乏这样的参照标和程序标识；

在处理器核心内部对所生成的数据做出响应，除非所生成的数据表示接收到了至少具有规定符合程度的程度标识和参照标识，否则所产生的响应将使处理器核心的某一操作特性失效。

2.如权利要求1中的方法，其中的响应包括与存储于装置的存储器中软件无关的响应。

3.如权利要求1中的方法，其中的响应包括只以装置的硬件形式做出的响应。

4.如权利要求1中的方法，其中对数据做出的响应包括通过数据通道接收数据，数据通道是与地址/数据母线分开的。

5.如权利要求1中的方法，还包括对存储于处理器核心中的标识码进行加密，并根据经过加密的标识码生成参照标识。

6.如权利要求5中的方法，其中加密过程包括根据存储于装置的存储器中软件所提供的加密规则和种码对标识码进行加密。

7.如权利要求1中的方法，还包括将标识码存储于处理器核心中，并从处理器核心的外部间接访问标识码。

8.如权利要求7中的方法，其中间接访问包括对经过加密后的标识码进行间接访问。

9.如权利要求7中的方法，还包括根据标识码而生成程序标识，并将程序标识存储于装置的存储器中。

10.如权利要求8中的方法，还包括采用解码过程来确定标识码，根据加密规则和标识码生成程序标识，并将程序标识存储于装置的存储器所存储的软件中。

11.如权利要求6中的方法，还包括禁止从处理器核心的外部对标识码进行直接的访问。

12.如权利要求1中的方法，其中的响应包括除非在从指定事件开始的指定时间内收到至少具有规定符合程度的程序标识和参照标识，否则处理器的某一操作特性将失效。

13.如权利要求1中的方法，其中如果有仿真器存在，则失效功能不发生作用。

14.如权利要求1中的方法，其中除非数据表明在从指定事件开始的指定时间内收到了至少具有规定符合程度的程序标识和参照标识，否则监视定时器计时器的刷新功能将失效。

15.如权利要求14中的方法，其中如果发现有仿真器存在，监视定时器计时器将失效。

16.如权利要求1中的方法，其中的装置是便携式电话。

17.一种处理器核心，该处理器核心包括：

比较器，该比较器接收来自于处理器核心内部的参照标识和与存储于装置的存储器中的软件相关的程序标识，并生成数据，该数据表示收到了至少具有规定符合程度的参照标识和程度标识，或者表示缺乏这样的标识；

失效系统，该失效系统根据表示符合程度的数据而产生一个信号，除非数据表示程序标识和参照标识间至少具有指定的符合程度，否则失效系统所产生的信号将会使处理器核心的某一操作特性失效。

18.如权利要求17中的处理器核心，还包括存储参照标识的寄存器，其中比较器在操作时通过数据通道与寄存器相连，此处的数据通道与将处理器核心和装置的存储器连接起来的数据通道是分开的。

19.如权利要求17中的处理器核心，其中失效电路通过某一数据通道接收数据，该数据通道与将处理器核心和装置的存储器连接起来的数据通道是分开的。

20.如权利要求18中的处理器核心，其中失效电路通过某一数据通道接收数据，该数据通道与将处理器核心和装置的存储器连接起来的数据通道是分开的。

21.如权利要求17中的处理器核心，还包括数字电路，该数字电路对存储于处理器核心中的标识码进行加密，并根据经过加密后的标识码生成参照标识。

22.如权利要求21中的处理器核心，其中处理器核心允许从处理器核心的外部对某种形式的标识码进行间接访问。

23.如权利要求21中的处理器核心，其中处理器核心允许对经过加密后的标识码进行间接访问。

24.如权利要求21中的处理器核心，其中处理器核心禁止从处理器核心之外对标识码进行直接访问。

25.如权利要求17中的处理器核心，其中在有仿真器存在的情况下失效系统不生成失效信号。

26.如权利要求17中的处理器核心，其中失效系统含有使监视定时器计时器刷新功能失效的电路。

27.如权利要求26中的处理器核心，其中在有仿真器存在的情况下监视定时器计时器失效。

28.如权利要求17中的处理器核心，其中的比较器是一种数字电路。

29.如权利要求17中的处理器核心，其中的失效系统是一种电路。

30.如权利要求17中的处理器核心，其中通过处理器核心的外部终端无法访问参照标识。

31.一种装置的处理器核心，该处理器核心包括：

数据生成装置，该数据表示收到了至少具有规定符合程度的来自处理器核心内部的参照标识和与存储在装置的存储器中的软件相关的程序标识，或者表示缺乏这样的标识；

响应装置，响应装置在处理器核心内部对表示收到或缺乏相应程序标识和参照标识的数据做出响应。响应装置包括失效装置，除非数据表明收到了至少具有规定相互符合程度的程序标识和参照标识，否则失效装置将使处理器核心的某一操作特性失效。

32.一种电子装置，该电子装置包括：

存储器；

软件，该软件存储于存储器内，并含有程序标识；

处理器核心，该处理器核心通过数据通道与存储器相连，处理器核心包括比较器，比较器接收来自处理器核心内部的程序标识和参照标识，并根据这两个标识生成代表着参照标识和程序标识间彼此相符程度的数据。处理器核心还包括失效系统，该失效系统可对比较器所产生的信号做出响应，除非比较器所产生的信号表示参照标识和程度标识间至少具有规定的符合程度，否则失效系统将使电子装置的某一操作特性失效。

33.如权利要求32中的电子装置，其中比较器和失效系统是电路。

34.如权利要求32中的电子装置，其中的电子装置是便携式电话。

35.如权利要求32中的电子装置，其中的处理器核心还包括存储参照标识的寄存器，其中比较器在操作时通过数据通道与寄存器相连，此处的数据通道与将处理器核心和系统存储器连接起来的数据通道是分开的。

36.如权利要求32中的电子装置，其中失效电路通过某一数据通道接收数据，该数据通道与将处理器核心和存储器连接起来的数据通道是分开的。

37.权利要求32中的电子装置还包括数字电路，该数字电路对存储于处理器核心中的标识码进行加密，并根据经过加密后的标识码生成参照标识。

38.如权利要求37中的电子装置，其中处理器核心允许从处理器核心的外部对某种形式的标识码进行间接访问。

39.如权利要求37中的电子装置，其中处理器核心允许对经过加密后的标识码进行间接访问。

40.如权利要求37中的电子装置，其中处理器核心禁止从处理器核心之外对标识码进行直接访问。

41.如权利要求32中的电子装置，其中在有仿真器存在的情况下失效系统不生成失效信号。

42.如权利要求32中的电子装置，其中失效系统含有使监视定时器计时器刷新功能失效的电路。

43.如权利要求42中的电子装置，其中失效系统包括在有仿真器存在的情况下使监视定时器计时器失效的电路。

44.如权利要求32中的电子装置，其中通过处理器核心的外部终端无法访问参照标识。

45.一种移动通讯所用的便携式电话，该便携式电话带有处理器，处理器包括处理器核心和存储器，处理器核心通过数据通道与存储器相连，该存储器可用来存储软件，存储的软件含有运行时间程序以及与该软件相关的标识，其中的改进包括：

比较器，比较器位于处理器核心内，比较器接收来自于处理器核心内部的参照标识以及与存储在系统存储器中的软件相关的程序标识，并生成数据，所生成的数据代表着收到了彼此间至少具有规定符合程度的参照标识和程序标识，或者代表缺乏这样的标识；

失效系统，失效系统位于处理器核心内，并对代表着符合程度的数据做出响应，除非数据表示在程序标识和参照标识之间至少具有规定的符合程度，否则失效系统将产生一个信号使处理器核心的某一操作特性失效。

Images