CN101263502A - 对长微扰造成的故障的检测 - Google Patents

Abstract

本发明涉及电子部件中的故障检测领域。发明涉及到在电子设备中执行计算机化代码时对因长微扰所造成的故障进行检测的方法，计算机代码包括所谓的敏感过程，方法包括执行该敏感过程之冗余过程的步骤以及在敏感过程与冗余过程之间插入延迟的步骤。本发明的特征在于该方法还包括在延迟期间执行俘获装置的步骤，该装置对微扰敏感并在没有微扰时提供出可预测的结果。

Description

对长微扰造成的故障的检测

本发明涉及到电子部件中的故障检测领域。本发明特别涉及到能够检测因长微扰造成的故障的方法。

芯片卡，更一般地说，某些便携式电子部件常常用作为使应用可靠的保密和/或敏感数据的计算和存储单元。标识、移动电话、支付、传输或存取控制等是芯片卡起重要作用的一些领域。

这种部件特别是以非限制的方式来鉴别卡的持有人和/或卡的发行人。卡还能够包含有可与诚信，货币(例如电话税款)或地铁票等相对应的“单元”，依应用而定。

因而，对一些心怀叵测的个人或团体来说，这些卡就成为他们进行欺诈或使公司品牌形象蒙受损失的首选目标。

自从芯片卡被广泛应用以来，就不得不面对包括电流消耗观察(相邻信道分析)的威胁以及新近注入瞬间故障而引发的攻击。对这种攻击的检测相当复杂而且对其应答也难于实施。不管外界微扰如何，本电子部件都不能保证正确的运行。其结果是，芯片卡上存在的软件或操作系统必须保护其自身在敏感数据讹误风险的情况下免遭因注入故障所产生的部件可能发生的故障。

从现有技术中已经公知检测微扰例如短时脉冲波形干扰(电压脉冲)的解决办法，这种脉冲干扰很可能引起电子部件在运行过程中发生故障。当然存在硬件的解决方案，这种方案是将检测微扰(电压异常低、光强度过高)的环境传感器(温度、时钟频率、电源电压、光照等传感器)组合起来以便在进入就故障而言其被判定为不稳定的有危险的部件工作区之前作出反应。这种解决办法很昂贵，因为其要求开发出专用传感器(经济上的费用)并将这些传感器组合成在有些情况下是体积很小的电路(花费在尺寸大小上的费用)。

还知道一些解决办法，这些办法可检测例如因存在修改数据位所引起的微扰影响。

其中，存在“过程冗余”型的软件或硬件解决方案。冗余是以简单的方式使同一操作(计算、传输...)进行两次以便对两个动作的结果加以比较。在软件方式中，冗余可以是对数据的双重计算。在硬件方式中，这种冗余可以由例如事先存储有同样数值的两个分离寄存器的存在而表现出来。若结果不同，那么合理的结论可能就是其中的一个动作进展不顺利，这多半会是因为存在微扰(故障)而造成的。

还存在“完整性控制”型的软件或硬件解决方案。将数据“checksum”(校验和)加到存储在非易失性存储器中的数据上，这样的和能够检测出数据是否被在数据与校验和之间存在不一致性的情况下、在检验“校验和”之前存在的某种故障所讹误。加入的完整性数据当前在软件层，例如用于数据传输。硬件中的校验和，如在现有技术中所看到的那样，其仅在存储块的层面上实现并且常被称作“奇偶校验位”。基本计算机字(8位部件上的8个位)存储在存储器的9个位上，第9位为奇偶校验位，其定位应使字的奇偶是对称的偶数/奇数。在读操作中，检验奇偶性并将8位字定位在数据总线上。在写操作时，将定位在数据总线上的8位字写入存储器并同时产生出奇偶校验位。问题是，在数据总线上，所传输的字不包括任何完整性数据：没有办法检验一旦将这一数值转移至存储器、中央处理器CPU或高速缓冲存储器时它将会仍然正确。

这些解决方案对在执行命令例如在空格字段中执行命令时出现的“偶然”故障来说是足够的，因为故障是点发的(脉冲)并且会要么是影响数据(或敏感过程)要么是影响数据的冗余性或其校验和。应该注意到，敏感数据或加密计算过程的任何决定或任何操作都可认为是敏感的。作为非限制实例，可能会提到选择接收命令或选择接收文件读/写/擦除操作或选择接收至/自电子余额的债务或债权或者是比较密码或MAC(信息鉴别代码)的决策过程。

但是，心怀叵测的人能够重复电子部件上的故障并且修改其技术直至他们成功。因而，可以认为黑客将试图对敏感过程和冗余过程复制同一故障，使故障不能被检测出来。

于是从现有技术公知了一种解决方案，这就是在敏感过程10与其冗余性11之间插入随机延迟12，如图1所示。这种解决方案大大地提高了免受故障的抵抗能力。

不过，黑客仍能对部件实施长时物理微扰，这样敏感过程及其冗余都会受到干扰并且无论何种故障都不可能被检出。

一般来说，现有技术的解决方案不可能有效地直面那些能够影响敏感过程和冗余数据的长时微扰。

本发明旨在通过提供一种故障检测方法来弥补现有技术的这些不足，其中，在把敏感过程与其冗余性分隔开的延迟中引入了“俘获”式装置。更具体地说，俘获装置对同样的微扰敏感以便给出指示：这些微扰存在。

根据本发明的方法对免遭长时微扰尤为适宜，因为俘获装置对微扰信息实施跟踪，如果后者既涉及敏感过程也涉及冗余过程的话。

因此，本发明在广义上涉及到对电子设备中执行计算机代码时因微扰所引起的故障进行检测的方法，所说的计算机代码包括所谓的敏感过程。本方法包括执行敏感过程之冗余过程的步骤以及在敏感过程与冗余过程之间插入延迟的步骤，其特征在于该方法还包括在延迟时执行俘获装置的步骤，所说的装置对微扰敏感并且在没有微扰的情况下给出预测结果。

根据实施方案，俘获装置为软件传感器或硬件传感器。

在一种实施方案中，以随机方式确定插入的延迟。

在另一实施方案中，俘获装置为硬件传感器。

更具体地说，执行俘获装置的步骤是将俘获装置执行随机次。

在一种实施方案中，可预测的结果是设备存储器中的参考值。

在一具体实施方案中，俘获装置在于将至少一个参数值读写进设备存储器的读写操作。

在另一实施方案中，俘获装置对至少一个参考值进行操作。

在一种实施方案中，敏感过程包括敏感数据或保密数据的一个操作(读、写、计算、条件转移)。

最后，敏感数据或保密数据为卡内所含数据，其一定不被外界的直接存取所修改。

在另一实施方案中，敏感或保密数据为卡内所含数据，其一定不被泄露给外界。

本发明还涉及到实现本方法的体系结构，其包括中央处理器和不同于中央处理器的硬件传感器，所说的硬件传感器对微扰敏感并且在没有微扰的情况下给出预测结果。

在一种实施方案中，体系结构还包括与中央处理器相关的至少一个命令。

本发明还涉及到实现本方法的芯片卡，芯片卡包括存储计算机代码的存储装置和用来执行计算机代码、执行敏感过程和冗余过程并在执行敏感过程与冗余过程之间执行俘获装置的处理装置。

在参照附图阅读下文中仅作为解释用而给出的本发明实施方案说明的同时将会对本发明有更好的了解，附图中：

-图1图示了现有技术下的一些最近的解决方案；

-图2图示出利用本发明实施的解决方案；及

-图3图示出本发明的典型应用。

参看图2，长微扰13影响命令Cmd，更具体地说，影响根据现有技术解决方案所能实现的敏感过程10和/或冗余过程11。俘获型传感器21插在执行敏感过程与执行冗余过程之间。

如果微扰13没有重叠不止一部分敏感过程(或冗余过程)以及陷阱(B)，那么该陷阱将不检测此微扰因而也不能检测故障的可能性，但敏感过程10与冗余过程11将会不同，这将使得能够对故障进行检测。

如果微扰13还部分地重叠陷阱21(C)，依其实现情况而定，陷阱21(C)将能够检测长微扰13的存在。

最后，如果微扰13既包围敏感过程10也包围冗余过程11，还包围陷阱(A)，过程10和过程11可能不检测攻击，在这种情况下陷阱21将检测微扰13。

俘获装置意味着提供出预测或预定结果，而与全局电子部件所使用、对影响所得结果之外部参数敏感的其他参数无关。俘获传感器21对微扰13敏感并且在没有微扰时给出可预测或乃至恒定的结果。若结果不同，则已经检测到故障/微扰。

这种俘获装置可由软件用一条代码加以实现。在汇编语言中，传感器可由一套下述伪代码组成：

Trap：

load ptr，#nvm_addr_ref1

load R1，@ptr

store@ram1，R1

load R2，@ram1

load ptr，#nvm_addr_ref2

load R3，@ptr

add R2，R3

cmp R2，#res

beq no_fault

jmp fault_detection

no_fault：

ret

load ptr，#nvm_addr_ref1在寄存器ptr中将参考地址ref1装入非易失性存储器nvm，

load R1，@ptr将指针ptr(ref1值)所指示的内容装入寄存器R1，

store@ram1，R1将R1的内容写在ram1地址，

load R2，@ram1读出ram1地址并将内容转移到寄存器R2，

load ptr，#nvm_addr_ref2在寄存器ptr中将地址ref2装入nvm，

load R3，@ptr将指针ptr(ref2值)所指示的内容装入寄存器R3，

add R2，R3在R2中将R2与R3相加(＝ref1+ref2)，

cmp R2，#res将R2与res进行比较，res＝ref1+ref2，

beq no_fault从陷阱出来并在预期结果的情况下接替程序的执行，

jmp fault_detection：如果R2与预期值#res不同，那么程序转移至故障处理例行程序。

对于故障影响是对执行陷阱代码时的数据进行修改的情况，这样的故障极可能被检测出来，因为R2中的最终结果将与代码(#ref)中的预期的硬件预定值不同。

陷阱型软件传感器21在于处理数据和对已知变量进行操作。黑客利用的微扰，其作用是对陷阱中所使用的数据或变量中的至少其一进行修改，这就导致产生出意外的结果。

最后，传感器21能够以硬件方式实现，例如在敏感过程10与冗余过程11之间的时段内通过使用光敏传感器来实现。如果由光敏传感器所提供的电能超过预定阈值，那么就已检测到光微扰。

小型硬件模块也可以与CPU并联或串联运行并且以预定结果进行操作，目的是在其执行期间进行故障检测。

过程10与过程11间的陷阱21可能有几种组合：

-在敏感过程10之后立即执行陷阱，

-在陷阱之后立即执行冗余过程11，

-在过程10与过程11间随机地确定延迟，并在此延迟期间执行陷阱，

-在跟随敏感过程10的随机延迟之后执行陷阱。因而，陷阱的执行时间间隔是不可预测的，

-陷阱被执行随机次，因而能构成敏感过程与冗余过程之间的间隔。因而使陷阱的执行时间间隔变得不可预测。

作为一个实例，图3图示出本发明在数据文件读存取帧内的应用。在用户请求打开文件时发出存取要求AC(30)。

如果存取要求未得到满足，由存取要求校验例程发出错误代码(31)。这个错误代码禁止读所请求的文件。

如果满足了存取要求，俘获软件传感器32则执行一段时间。在传感器检测到根据本发明的故障时，它就实施根据流行安全政策的反应33，而且该反应33禁止存取文件。

如果软件传感器在出现超时的情况下仍然什么也未检测到，那么重新检验(35)对文件34的存取要求。如果存取数据已被黑客修改过，那么检测故障并实施安全政策33或者是在存取要求再次得到满足时授权(36)读文件并传送数据。

Claims (15)

1.用于检测在电子设备中执行计算机代码时因微扰所造成的故障的方法，计算机代码包括所谓的敏感过程，所述方法包括执行该敏感过程的冗余过程的步骤以及在敏感过程与冗余过程之间插入延迟的步骤，

其特征在于，

所述方法还包括在延迟期间执行俘获装置的步骤，俘获装置对微扰敏感并且在没有微扰的情况下给出可预测的结果。

2.根据权利要求1所述的方法，其特征在于，

俘获装置为软件传感器。

3.根据权利要求1所述的方法，其特征在于，

俘获装置为硬件传感器。

4.根据权利要求1所述的方法，其特征在于，

随机地确定所述插入的延迟。

5.根据权利要求1所述的方法，其特征在于，

在随机等待时间之后执行被插入的俘获装置。

6.根据权利要求1所述的方法，其特征在于，

执行俘获装置的步骤是将俘获装置执行随机次。

7.根据权利要求1所述的方法，其特征在于，

可预测的结果为设备存储器中的参考值。

8.根据权利要求1所述的方法，其特征在于，

俘获装置包括自/至设备存储器的至少一个参考值的读写操作。

9.根据权利要求1所述的方法，其特征在于，

俘获装置进行关于至少一个参考值的操作。

10.根据权利要求1所述的方法，其特征在于，

敏感过程包括对敏感或保密数据的操作(读、写、计算、条件转移)。

11.根据前一权利要求所述的方法，其特征在于，

所说的敏感或保密数据为卡内所含的数据，其一定不被外界的直接存取所修改。

12.根据前一权利要求所述的方法，其特征在于，

所说的敏感或保密数据为卡内所含的数据，其一定不被泄露给外界。

13.实施根据权利要求3以及权利要求4-12之一所述方法的体系结构，此体系结构包括中央处理器及不同于中央处理器的硬件传感器，所说的硬件传感器对微扰敏感并且在没有微扰的情况下给出可预测的结果。

14.根据前一权利要求所述的体系结构，其特征在于，

该体系结构还包括与中央处理器相关的至少一个定时电路。

15.实现根据权利要求1-12之一所述方法的芯片卡，该芯片卡包括存储计算机代码的存储装置以及用来执行计算机代码、执行敏感过程和冗余过程、执行在执行敏感过程与冗余过程之间的俘获装置的处理装置。