CN103853988A - 半导体器件及访问限制方法 - Google Patents

Abstract

本发明涉及一种半导体器件及访问限制方法，防止在后台中通过正在用于已授权通信操作的通信功能而将未授权功能安装至预定存储单元，并且进一步防止从预定存储单元读出和盗取机密信息。半导体器件采用专有控制单元，该专有控制单元专有地控制由能够与外界通信的通信单元执行的通信以及对预定存储单元的访问。例如，基于通信时钟是有效还是无效而确定通信单元的通信状态，并且基于确定结果而进行专有控制。

Description

半导体器件及访问限制方法

相关申请的交叉引用

包括说明书、附图和摘要的、于2012年11月30日提交的第2012-262129号日本专利申请的公开内容通过引用整体并入本文。

技术领域

本发明涉及一种访问限制技术以防止通过与外部通信网络通信的通信单元对存储单元的未授权访问，外部通信网络是诸如电话和数据通信之类的连接用户的通信网络。例如，本发明涉及一种可用于配备有通信功能的微计算机的有效的访问控制技术。

背景技术

第3591229号日本专利案（专利文献1）描述了一种系统，该系统包括基站设备和通过通信功能耦合至基站设备的终端设备，并且采用从基站设备下载至终端设备的软件执行对终端设备的软件的维护。该软件维护在大多数情形下意味着对存储在终端设备中的非易失性存储区域中的程序或者数据进行重写。

为了省去仅用于保存从其中固件存储在例如电子照相机的装置中的非易失性存储器传送的通信子例程的附加存储器（减小成本），并且也为了规避在接收重写数据的同时对于重写固件的需要（防止由于通信失效导致的意外停机），公开号为2004-280559的日本待审专利申请（专利文献2）中描述的技术采用固件重写控制单元。固件重写控制单元首先在装置中的第一存储器中存储从诸如PC之类的外部装置传输的固件重写数据，并且随后当检测到数据重写设备和外部装置之间的通信结束时，采用第一存储器中的固件重写数据重写存储在第二存储器中的固件。可以通过程序或者硬件逻辑来实施由固件重写控制单元执行的内部数据传送和重写控制过程。

发明内容

在专利文献1代表的系统中，终端设备可以通过重写终端设备的软件来接收诸如运算改进和故障改正之类的维护。然而，同时，存在由于恶意软件（所谓计算机病毒和恶意程序）所致的经由通信功能安装未授权功能的风险。尽管特别地专利文献1表征在终端设备和基站之间执行自动后台通信，但是通信也可以用来下载未授权功能。该下载可能非常难以为用户所预先注意。专利文献1也描述了用户对授权安装的操作，但是如果恶意软件规避了安装授权操作则其无法作为有效手段。类似地，类似“添加特定授权信息至重写数据”和“引导用户在重写之前点击接受按钮”的其它手段仅仅是由软件执行的手段，并且无法作为最终解决方案，因为恶意软件可以能够避免这些手段。

另一方面，专利文献2中描述的固件重写控制单元被配置为在检测到与外部装置的通信结束之后开始写入；然而，其目的在于避免通信操作与重写操作之间的冲突以缩短通信时间并且减小由于通信失效导致的PC意外停机的可能性，这不同于避免经由通信功能安装未授权功能的风险的目的。此外，将要重写的固件安装在诸如照相机之类的耦合至PC的装置上，但是并未安装在如果需要的话能够与通信网络通信的终端设备上。

本发明的上述和其它问题以及新颖特征将从本说明书中的以下描述和附图而变得明显。

以下将简要描述在本申请中公开的典型实施例。

简而言之，半导体器件采用专有控制单元，该专有控制单元专有地控制由能够与外界通信的通信单元执行的通信以及对预定存储单元的访问。例如，基于通信时钟是有效还是无效来确定通信单元的通信状态，并且基于确定结果来进行专有控制。

以下将简要描述通过本申请中公开的典型实施例产生的效果。

通信单元的专有受控通信以及对预定存储单元的专有受控访问可以防止在后台中通过用于已授权通信操作的通信功能将未授权功能安装预定存储单元中，并且可以进一步防止从预定存储单元读出和盗取机密信息。

附图说明

图1是示出了作为半导体器件的示例的微计算机的示意性配置的框图；

图2示出了当利用存储器控制器专有地控制通信电路的通信操作和对闪存的重写操作时电路的连接性关系；

图3是示出了由CPU执行以重写闪存的控制过程的流程图；

图4示出了当利用存储器控制器专有地控制通信电路的通信操作和对闪存的读取操作时电路的连接性关系；

图5是示出了由CPU执行以读取闪存的控制过程的流程图；

图6是示出了作为半导体器件的另一示例的微计算机的示意性配置的框图；

图7示出了当利用MMU专有地控制通信电路的通信操作和对闪存的重写操作时电路的连接性关系；

图8示出了当利用MMU专有地控制通信电路的通信操作和对闪存的读取操作时电路的连接性关系；

图9示出了当利用MMU专有地控制通信电路的通信操作和对RAM的读取操作时电路的连接性关系。

具体实施方式

1.实施例的概要

开始，概述本文公开的本发明的实施例。在以下实施例的总体描述中，用于参考目的在圆括号中给出的附图中的附图标记（标号）仅仅是落入由附图标记标识的部件的构思中的元件的示例。

[1]<对通信和对存储器的访问的专有控制>

半导体器件（1、1A）包括能够与外界通信的通信单元（61）、预定存储单元（31、21）以及专有地控制通信单元的通信以及对预定存储单元的访问的专有控制单元（91、92）。

根据该配置，专有地控制通信单元的通信以及对预定存储单元的访问，由此防止在后台中通过用于已授权通信操作的通信功能将未授权功能安装在预定存储单元中，并且进一步防止从预定存储单元读出和盗取机密信息。

[2]<使用通信时钟的专有控制>

在第[1]节中，专有控制单元包括检测由通信单元使用以执行通信的通信时钟（CKC）的状态的检测电路（51、52）。当检测电路检测到用于通信单元的通信时钟处于有效状态时，专有控制单元限制对预定存储单元的访问，而当检测电路检测到用于通信单元的通信时钟处于无效状态时解除对预定存储单元的访问限制。

根据该配置，基于由检测电路检测到的硬件状态（也即通信时钟的有效/无效状态）进行专有控制，这用作在通信期间对用于防范未授权访问的软件手段的增强。

[3]<通信时钟的振荡确定或者振荡停止>

在第[2]节中，半导体器件包括生成将要由通信单元使用以执行通信的通信时钟的通信时钟生成单元（62）。专有控制单元（91、92）包括检测用于通信单元的通信时钟（CKC）的状态的检测电路（51、52）。当检测电路检测到通信时钟振荡停止时专有控制单元解除对预定存储单元的访问限制，而当检测电路检测到通信时钟振荡恢复时限制对预定存储单元的访问。

根据其中半导体器件包括通信时钟生成单元的配置，基于硬件状态（也即由时钟生成电路生成的通信时钟的振荡/振荡停止）进行专有控制，这用作在通信期间对用于防范未授权访问的软件手段的增强。

[4]<调节通信速率的通信时钟>

在第[2]或[3]节中，通信时钟是调节通信速率的时钟信号（CKC）。

根据该配置，可以以高精度在短时间内做出对调节通信速率的通信时钟CKC是已经停止振荡还是恢复振荡的检测，由此防止对通信时钟的错误检测并且易于确保对通信和访问的专有控制的可靠性。

[5]<在通信期间的写入保护>

在第[1]节中，对预定存储单元（31）的访问限制用于保护预定存储单元免于写入操作，并且半导体器件除了预定存储单元之外还包括暂时存储由通信单元下载的数据的暂时存储单元。

根据该配置，当通信单元通过通信功能向暂时存储单元中下载数据时，无法经由通信功能在后台中将未授权程序安装在预定存储单元中。当将下载至暂时存储单元的程序等写入预定存储单元时，使通信单元不能进行通信操作，由此抑制未授权程序或数据在写入操作期间从通信单元侵入到预定存储单元中，并且抑制未授权程序或数据与预定存储单元中的程序或数据一起存储或者利用预定存储单元中的程序或数据进行替换。即便未授权程序不希望地侵入到暂时存储单元中并且试图执行所谓的后门操作，也阻止了这种后门操作，该后门操作利用在预定存储单元上执行的已授权写入操作引入来自通信单元的未授权程序或数据并且将未授权程序或数据写入预定存储单元中。具体地，在通信期间可以防止由不希望的后门操作导致的损害传播。更具体地，即便当通信单元正在将程序或数据下载到暂时存储单元中时未授权程序等在后台中经由通信功能侵入到暂时存储单元中，也将更易于防止暂时存储单元中的未授权程序存储在预定存储单元中。这是因为两个步骤（下载以及向预定存储单元写入）可以提供时间以进行数据校验（诸如哈希校验（hash check））或者其它保护性手段。

[6]<在通信期间的读取保护>

在第[1]节中，对预定存储单元的访问限制是为了保护预定存储单元（31）免于读取操作。

根据该配置，在对预定存储单元的读取操作期间，使通信单元在读取操作同时不能执行通信操作。即便从预定存储单元读出机密信息，禁用的通信单元也不允许机密信息不希望地泄漏，如从通信单元向外界泄露。

[7]<非易失性存储器>

在第[5]或[6]节中，预定存储单元是电可重写非易失性存储器（31）。

在易失性存储器的情形下，已经侵入到易失性存储器中的未授权程序等难以普遍地影响整个系统，因为通过对系统进行复位或者对存储器进行清除删除了未授权程序。另一方面，一旦未授权程序等侵入到非易失性存储器中，未授权程序造成的损害的累积传播可以是容易的。在这点上，使用可重写非易失性存储器作为将要限制访问的目标具有重大意义。

[8]<存储器控制器>

在第[5]或[6]节中，专有控制单元（91）包括响应于访问请求而对预定存储单元执行存储器接口控制的存储器控制器（41），以及检测通信时钟的状态的检测电路（51、52）。当检测到通信时钟振荡停止时检测电路（51、52）允许存储器控制器执行存储器接口操作，而当检测到通信时钟振荡时不允许存储器控制器在访问限制下执行存储器接口操作。

根据该配置，存储器控制器可以用于实现专有控制。

[9]<存储器管理单元>

在第[5]或[6]节中，专有控制单元（92）包括具有用于预定存储单元的映射地址的存储器保护功能的存储器管理单元（42），以及检测通信时钟的状态的检测电路（51、52）。当检测到通信时钟振荡停止时检测电路（51、52）允许存储器管理单元转译映射至预定存储单元的地址，而当检测到通信时钟振荡时不允许存储器管理单元在访问限制之下转译映射至预定存储单元的地址。

根据该配置，存储器管理单元可以用于实现专有控制。

[10]<使用对通信和去往存储器的访问的专有控制的访问限制方法>

通过当通信单元处于通信时限制对预定存储单元的访问并且当通信单元未通信时解除对预定存储单元的访问限制，访问限制方法专有地控制能够与外界通信的通信单元的通信以及对预定存储单元的访问。

根据该方法，可以提供在第[1]节中获得的效果。

[11]<使用通信时钟的专有控制>

在第[10]节中，当检测电路（51、52）检测到由通信单元（61）使用以执行通信的通信时钟（CKC）处于有效状态时限制对预定存储单元（31、32）的访问，并且当检测电路检测到通信时钟处于无效状态时解除对预定存储单元的访问限制。

根据该配置，可以提供在第[2]节中获得的效果。

[12]<通信时钟的振荡确定以及振荡停止>

在第[10]节中，当检测电路检测到通信时钟振荡停止时解除对预定存储单元的访问限制，并且当检测电路检测到通信时钟振荡恢复时限制对预定存储单元的访问，通信时钟由通信单元使用以执行通信并且由通信时钟生成单元（62）生成。

根据该配置，可以提供在第[3]节中获得的效果。

[13]<调节通信速率的通信时钟>

在第[12]中，通信时钟是调节通信速率的时钟信号（CKC）。

根据该配置，可以提供在第[4]节中获得的效果。

[14]<在通信期间的写入保护>

在第[10]节中，当在访问限制下保护预定存储单元（31）免于写入操作时通信单元将数据下载到暂时存储单元中，并且在已经解除对预定存储单元的写入保护之后将数据写入预定存储单元中。

根据该配置，可以提供在第[5]节中获得的效果。

[15]<在通信期间的读取保护>

在第[10]节中，当通信时钟在振荡时在访问限制下保护预定存储单元（31、21）免于读取操作，并且当通信时钟停止振荡时允许读出预定存储单元。

根据该配置，可以提供在第[6]节中获得的效果。

[16]<非易失性存储器>

在第[14]或[15]节中，预定存储单元是电可重写非易失性存储器（31）。

根据该配置，可以提供在第[7]节中获得的效果。

[17]<利用存储器控制器的访问限制控制>

在第[14]或[15]节中，当检测电路检测到通信时钟振荡停止时允许存储器控制器（41）执行存储器接口操作，该存储器控制器（41）响应于访问请求对预定存储单元执行存储器接口控制，并且当检测电路检测到通信时钟的振荡时在访问限制下不允许存储器控制器（41）执行存储器接口操作。

根据该配置，可以提供在第[8]节中获得的效果。

[18]<利用存储器管理单元的访问限制控制>

在第[14]或[15]节中，当检测电路检测到通信时钟振荡停止时允许存储器管理单元（42）转译映射至预定存储单元的地址，该存储器管理单元（42）具有用于预定存储单元的映射地址的存储器保护功能，并且当检测电路检测到通信时钟振荡时在访问限制下不允许存储器管理单元（42）转译映射至预定存储单元的地址。

根据该配置，可以提供在第[9]节中获得的效果。

2.实施例的详细描述

<1.存储器控制器对通信操作和存储器访问操作的专有控制>

图1示出了作为半导体器件的示例的微计算机的示意性配置。尽管并非限制性的，但是图1中所示微计算机（MCU）1通过CMOS半导体集成电路制造技术形成在诸如单晶硅之类的单个半导体衬底上。

微计算机1包括CPU（中央处理单元）11、RAM（随机存取存储器）21、闪存31、存储器控制器41、访问授权电路51、振荡停止验证电路52、通信电路61、通信专用振荡器62、主振荡器71、内部总线81以及中断控制器（未示出）。CPU11可以经由内部总线81访问RAM21、闪存31、存储器控制器41和通信电路61。

CPU11包括对获取的指令解码并且控制指令执行的指令控制单元，以及在指令控制单元的控制下执行计算的执行单元。利用这些单元，CPU11运行利用预定指令集描述的程序。

RAM21是用作CPU的工作区域或者暂时数据存储区域的易失性存储器，并且例如可以是SRAM。

通信电路61能够与微计算机1的外界通信，并且包括符合通信模式的外部接口功能，例如通用串行总线、串行通信接口、IIC（内部集成电路）总线接口、以及串行外围接口。通信专用振荡器62生成通信电路61所使用的用于通信的时钟，或者更具体地用于调节通信速率的高精度时钟信号（通信时钟）CKC。主振荡器71生成除了通信时钟CKC之外的时钟信号。例如，主振荡器71生成用于内部同步以将信号馈送至微计算机1中的时钟同步电路的参考时钟信号CKS。通信专用振荡器62和主振荡器71随着微计算机1的上电复位的激活而开始振荡。通信专用振荡器62可以由CPU11控制以停止和恢复振荡。CPU11设置通信电路61的通信条件并且命令通信电路61启动传送，而例如响应于传输至中断控制器（未示出）的接收中断请求而将接收到的数据留给CPU11以将其作为中断服务来处理。

闪存31是非易失性存储单元的示例，其存储由CPU11执行的程序并且以可重写方式存储数据，并且采用其中根据在非易失性存储器件的电荷存储区域中捕获的电子量来确定阈值电压的存储格式。

存储器控制器41执行存储器控制以响应于从CPU11到闪存31的访问请求来读出和重写存储在闪存31中的信息。用于读取信息的存储器控制包括用于放大从选择的非易失性存储器件读出的信息以收集该信息的控制。用于重写信息的存储器控制包括编程处理和擦除处理。在擦除处理中，例如，存储器控制器41施加擦除电压至目标非易失性存储器件以使得器件进入其中阈值电压为低的已擦除状态，并且执行时序控制。在编程处理中，存储器控制器41施加写入电压至目标非易失性存储器件以使得器件进入其中阈值电压为高的已写入状态，并且执行时序控制。此外，存储器控制器41与访问授权电路51和振荡停止验证电路52一起实施专有控制单元91。专有控制单元91在此视作实现对通信电路61的通信和去往闪存31的访问的专有控制功能的示例。以下将详细描述专有控制单元91的专有控制。

振荡停止验证电路52是用于检测通信时钟CKC的状态并且确定通信时钟是处于有效状态还是处于无效状态的电路。具体而言，振荡停止验证电路52检测通信时钟CKC是否已经停止振荡以及通信时钟CKC是否已经恢复振荡。例如，当检测到振荡已经停止时，振荡停止验证电路52将检测信号DTC从高改变至低，而当检测到振荡已经恢复时将检测信号DTC从低改变至高。

尽管并非限制性的，访问授权电路51响应于指示通信时钟CKC振荡停止的检测信号DTC而反转访问允许信号PRM以启用该信号，并且发送启用的信号至存储器控制器41以解除对闪存31的访问限制。此外，访问授权电路51响应于指示通信时钟CKC振荡恢复的检测信号DTC而反转访问允许信号PRM以禁用该信号，并且发送禁用的信号至存储器控制器41以限制对闪存31的访问。

当CPU11发出指令以重写闪存31时，存储器控制器41可以在启用了访问允许信号PRM的条件下对闪存31执行重写操作。如果当重写指令到达时访问允许信号PRM是禁用的，则存储器控制器41可以等待直至访问允许信号PRM变为被启用并且随后对闪存31执行重写操作。如果对闪存31的重写操作开始于启用的访问允许信号PRM并且随后在重写操作中间访问允许信号PRM变为禁用，则重写操作响应于禁用的访问允许信号而悬置。当重写操作悬置时，例如，存储器控制器41保持从中间恢复重写操作所需的重写控制信息，或者将写入错误返回至CPU11。

此外，当CPU11发出指令以读取闪存31时，存储器控制器41可以在访问允许信号PRM启用的条件下对闪存31执行读取操作。如果当读取指令到达时访问允许信号PRM是禁用的，则存储器控制器41可以等待直至访问允许信号PRM变为被启用并且随后对闪存31执行读取操作。如果对闪存31的读取操作开始于启用的访问允许信号PRM并且随后在读取操作中间访问允许信号PRM变为禁用，则读取操作响应于禁用的访问允许信号而悬置。当读取操作悬置时，例如，存储器控制器41保持从中间恢复读取操作所需的读出控制信息，或者将读出错误返回至CPU11。

图2示出了当专有地控制通信电路61的通信操作和对闪存31的重写操作时电路的连接性关系。CPU11对通信电路61进行设置并且将通信电路61接收到的重写数据存储在RAM21中。通信电路61与由通信专用振荡器62生成的通信时钟CKC同步执行通信操作。当已经检测到通信时钟CKC变化时，振荡停止验证电路52将检测信号DTC改变至高并且将其发送至访问授权电路51。已经接收到检测信号DTC的访问授权电路51禁用访问允许信号PRM，由此不允许存储器控制器41控制对闪存31的访问。因此，无法将通信电路61下载的数据直接写入闪存31。

CPU11将重写数据下载到RAM21中，并且随后使得通信专用振荡器62停止振荡。这停止了通信时钟CKC改变并且由此检测信号DTC改变为低。在接收到检测信号DTC时，访问授权电路51启用访问允许信号PRM以允许存储器控制器41控制对于闪存31的访问。当CPU11发出指令以利用RAM21中存储的重写数据重写闪存31时，存储器控制器41可以通过重写指令而重写闪存31。因为当正在重写闪存31时通信时钟CKC处于停止状态，通信电路61无法建立通信。即便通信专用振荡器62在重写操作的中间恢复振荡，此时也反转访问允许信号PRM以对其禁用，并且重写操作自身因此悬置。

图3示出了当CPU11重写闪存31时控制程序。在CPU11从外界下载重写数据以采用重写数据重写闪存31的情形中，CPU11首先使得通信专用振荡器62开始振荡（S1），通过通信电路61下载诸如新程序或数据之类的重写数据（S2），并且随后将重写数据存储在RAM21的暂时存储区域中（S3）。一旦接收到通信电路61已经采用中断请求而完成接收操作的通知，CPU11使得通信电路61停止（S4）并且停止通信专用振荡器62振荡（S5）。

当振荡停止验证电路52确认通信时钟CKC已经停止（S6）时，访问授权电路51允许存储器控制器41进行重写（S7）。因此，存储器控制器41基于来自CPU11的重写请求控制利用在RAM21中下载的重写数据对闪存31执行重写操作。

对于通信操作和对闪存的重写操作的专有控制提供了以下效果。

（1）基于硬件状态（也即由振荡停止验证电路52确认的通信时钟CKC的有效/无效状态）专有地控制的通信电路61的通信操作和存储器控制器41对闪存31的重写操作，由此在通信期间增强了防范未授权访问的软件手段（例如数据尺寸验证、哈希验证等）。

（2）可以以高精度短在时间内检测调节通信速率的通信时钟CKC是已经停止振荡还是已经恢复振荡，由此防止通信时钟的错误检测并且易于确保对通信和访问的专有控制的可靠性。为了实现对于通信和重写的专有控制，需要实现用于可靠地和容易地确定通信的终止的方法。在该实施例中，考虑到时钟需要在通信功能中生成波特率的事实，使用时钟或者通信时钟CKC来确定通信状态。通常对于确定时钟是否已经停止的关注包括确定时间的长度，以及当目标时钟不稳定时发生的确定误差等。例如，如果由专用于确定时钟停止的独立振荡器生成的参考时钟用于确定时钟状态，则需要在参考时钟的预定数目周期内检测时钟是否反转。这是因为诸如成本之类的一些因素可能不允许参考时钟具有太高精度。该实施例通过使用高速和高精度通信时钟CKC作为通信不可缺少的时钟解决了包括用于检测不稳定时钟停止的时间约束以及检测精度降低的问题。换言之，本实施例可以通过检测与硬件关联的通信时钟的停止来容易地并且高精度地检测通信操作已经终止。

（3）更具体地，在通信期间用于抑制对闪存31的重写操作的访问限制可以防止在后台中通过如下通信功能将未授权程序安装在闪存31中，通信电路61正在使用该通信功能来向RAM21中下载程序或数据。当将在RAM21中下载的程序等写入闪存31时禁用通信电路61的通信操作，由此在写入操作期间抑制来自通信电路61的未授权程序或数据侵入到闪存31中，并且抑制未授权程序或数据与闪存31中的程序或数据一起存储或者利用闪存31中的程序或数据进行替换。即便当正在对闪存31执行已授权写入处理时未授权程序不希望地侵入到RAM21中并且通过通信电路61获取另一未授权程序或数据以将未授权程序或数据写入闪存31中，这是所谓的后门，也将阻止该尝试。简而言之，在通信期间可以防止由不希望的后门操作导致的损害传播。此外，即便未授权程序等在后台中通过如下通信功能侵入到RAM21中，通信电路61正在使用该通信功能下载程序或数据至RAM21，包括在闪存31中下载以及写入的两步操作也可以容易地防止RAM21中的未授权程序免于存储在闪存31中，这是因为两步操作确保足够时间以采取包括数据校验的其它保护性手段，诸如哈希验证。

图4示出了当专有控制通信电路61的通信操作以及对闪存31的读取操作时电路的连接性关系。在从闪存31读取数据之前，CPU11预先停止通信专用振荡器62振荡，并且随后使得振荡停止验证电路52检测停止状态以便启用允许信号PRM。通过该步骤，存储器控制器41可以响应于来自CPU11的访问请求而对闪存31执行读取操作以读取闪存31。因为通信时钟CKC在对闪存31的读取操作期间停止振荡，通信电路61无法建立通信。即便通信专用振荡器62在读取操作中间恢复振荡，此时也反转访问允许信号PRM以禁用并且因此读取操作自身悬置。

图5示出了当CPU11读取闪存31时的控制过程。CPU11终止由通信电路61执行的通信处理（S11），并且停止通信专用振荡器62振荡（S12）。当振荡停止验证电路52确认通信时钟CKC已经停止时（S13），访问授权电路51允许存储器控制器41读取闪存31（S14）。通过这些步骤，存储器控制器41基于来自CPU11的读取请求而控制对闪存31的读取操作（S15）。

对于通信操作和对闪存的读取操作的专有控制提供了以下效果。

（1）在对闪存31读取操作期间，使通信电路61不能在读取操作的同时执行通信操作。即便从闪存31读出机密信息（例如密码、个人信息等），禁用的通信电路61也不允许机密信息不希望地泄漏，如从通信电路61向外界泄露。

（2）基于硬件状态（也即振荡停止验证电路52确认的通信时钟CKC的有效/无效状态）专有地控制通信电路61的通信操作以及存储器控制器41对闪存31的读取操作，由此在通信期间增强了防范未授权访问的软件手段。

<2.由MMU对通信操作和存储器访问操作的专有控制>

图6示出了作为半导体器件的另一示例的微计算机的示意性配置。尽管并非限制性的，图6所示微计算机（MCU）1A通过CMOS半导体集成电路制造技术形成在诸如单晶硅之类的单个半导体衬底上。

图6的微计算机1A采用MMU（存储器管理单元）42，它是虚拟存储器，其将CPU1输出的逻辑地址转译为物理地址。经转译的物理地址输出至总线81以寻址将要访问的RAM21、闪存31等。尽管并非限制性的，提供缓存存储器（CACHE）43以存储关于程序信息、数据信息等的数据。MMU42具有用于将逻辑地址转译为物理地址的转译对（translation pair），并且转译对包括用于保护存储器的保护信息。保护信息可以是用于指定访问给定地址所需的访问权限的类型（例如用户模式下可访问的用户区域、私人模式下可访问的私人区域等）、给定地址允许的访问类型（例如读取、写入等）等的信息。在图6的示例中，MMU42与访问授权电路51和振荡停止验证电路52一起实施专有控制电路92。专有控制电路92在此视作实现对通信电路61的通信以及去往闪存31或RAM21的访问的专有控制功能的示例。因此，存储器控制器41A并不具有与如图1所示专有控制相比独特的配置和功能，也即基于访问允许信号PRM而执行的访问限制功能。与如图所示具有相同功能的电路模块和信号标记为相同附图标记，并且不再赘述。以下是关于专有控制单元92的专有控制的详细描述。

当CPU11输出位于闪存31或RAM21中的具体逻辑地址时，MMU42在允许信号PRM被启用的条件下将具体逻辑地址转译为物理地址。如果访问允许信号PRM被禁用，则诸如地址错误之类的异常处理被请求至CPU11。换言之，当通信专用振荡器62正在振荡时拒绝将具体逻辑地址转译为物理地址，并且因此拒绝CPU11访问闪存31或RAM21。当通信专用振荡器62并未振荡时，将具体逻辑地址转译为物理地址，并且因此允许CPU11访问闪存31或RAM21。

在对具体逻辑地址进行写入操作和读取操作时，MMU42根据访问允许信号PRM的有效/无效状态发起/解除地址转译的限制。

图7示出了当专有地控制通信电路61的通信操作和对闪存31的重写操作时电路的连接性关系。在该示例中，假定具体逻辑地址位于闪存31中。

CPU11设置通信电路61并且将通信电路61接收到的重写数据存储在RAM21中。通信电路61与通信专用振荡器62生成的通信时钟CKC同步执行通信操作。当已经检测到通信时钟CKC改变时，振荡停止验证电路52将检测信号DTC改变至高并且将其发送至访问授权电路51。已经接收到检测信号DTC的访问授权电路51禁用访问允许信号PRM，由此不允许MMU转译位于闪存31中的逻辑地址。因此，当通信电路61处于通信操作时，存储器控制器41A无法控制对闪存31的访问。因此，有可能无法将通信电路61下载的数据直接写入到闪存31。

CPU11下载重写数据至RAM21中，并且随后使得通信专用振荡器62停止振荡。这停止了通信时钟CKC改变，并且因此检测信号DTC改变为低。在接收到检测信号DTC时，访问授权电路51启用访问允许信号PRM以允许MMU42转译位于闪存31中的逻辑地址。因此，当CPU11发出指令以采用RAM21中存储的重写数据重写闪存31时，存储器控制器41A可以通过按照重写指令而重写闪存31。因为当正在重写闪存31时通信时钟CKC处于停止状态，所以通信电路61无法建立通信。即便通信专用振荡器62在重写操作中间恢复振荡，此时也反转访问允许信号PRM以被禁用，并且因此抑制了由CPU11发出的在新访问地址处对闪存31的重写操作以作为地址错误。

由MMU对于通信操作和对闪存重写操作的专有控制提供以下效果。

（1）当通信电路61处于通信时，基于硬件状态（也即振荡停止验证电路52确认的通信时钟CKC的有效/无效状态）通过由MMU42执行的对于闪存31的访问保护的动作来专有地控制通信电路61的通信操作以及对闪存31的重写操作，由此在通信期间增强了防范未授权访问的软件手段（例如数据尺寸验证、哈希验证等）。

（2）可以以高精度短在时间内检测调节通信速率的通信时钟CKC是已经停止振荡还是已经恢复振荡，由此防止通信时钟的错误检测并且容易地确保对通信和访问的专有控制的可靠性。

（3）更具体地，由MMU42执行的在通信期间抑制对闪存31重写操作的访问限制可以防止在后台中通过如下通信功能在闪存31中安装未授权程序，通信电路61正在使用该通信功能来向RAM21中下载程序或数据。当将在RAM21中下载的程序等写入闪存31时禁用通信电路61的通信操作，由此在写入操作期间抑制来自通信电路61的未授权程序或数据侵入到闪存31中，并且抑制未授权程序或数据与闪存31中的程序或数据一起存储或者利用闪存31中程序或数据进行替换。即便当正在对闪存31执行已授权写入处理时未授权程序不希望地侵入到RAM21中并且通过通信电路61获取另一未授权程序或数据以将未授权程序或数据写入闪存31中，这是所谓的后门，也将防止该尝试。简而言之，在通信期间可以防止由不希望的后门操作导致的损害传播。

图8示出了当专有地控制通信电路61的通信操作以及对闪存31的读取操作时电路的连接性关系。在该示例中，假定具体逻辑地址位于闪存31中。

在从闪存31读取数据之前，CPU11预先停止通信专用振荡器62振荡并且随后使得振荡停止验证电路52检测停止状态以便启用允许信号PRM。通过该步骤，位于闪存31中的逻辑地址可以由MMU42转译，并且存储器控制器41A可以响应于由CPU11发出的访问指令而对具有经转译的物理地址的闪存31执行读取操作以读取闪存31。因为在对闪存31的读取操作期间停止通信时钟CKC振荡，所以通信电路61无法建立通信。即便通信专用振荡器62在读取操作中间恢复振荡，此时访问允许信号PRM也被禁用，并且也因此抑制由CPU11发出的在新访问地址处对闪存31的读取操作而作为地址错误。

由MMU42对于通信操作和对闪存读取操作的专有控制提供了以下效果。

（1）在对闪存31读取操作期间，使通信电路61不能在读取操作的同时执行通信操作。即便从闪存31读出机密信息（例如密码、个人信息等），禁用的通信电路61也不允许机密信息不希望地泄露，如从通信电路61泄漏至外界。

（2）当通信电路61处于通信时，基于硬件状态（也即振荡停止验证电路52确认的通信时钟CKC的有效/无效状态）通过由MMU42执行的对于闪存31的访问保护的动作来专有地控制了通信电路61的通信操作以及对于闪存31的读取操作，由此在通信期间增强了防范未授权访问的软件手段（例如数据尺寸验证、哈希验证等）。

最后描述是关于MMU对通信操作和对存储器的访问操作的专有控制，其中存储器是RAM21。

图9示出了当专有地控制通信电路61的通信操作以及对RAM21的读取操作时电路的连接性关系。在该示例中，MMU42根据允许信号PRM保护的存储器不同于图7和图8中所示的存储器。具体地，假定前述的具体逻辑地址位于RAM21中。

当通信专用振荡器62振荡时，振荡停止验证电路52检测振荡并且启用允许信号PRM。MMU42发出地址错误而并不将位于RAM21中的逻辑地址转译为物理地址，由此不允许CPU11访问RAM21。

在访问RAM21之前，CPU11停止通信专用振荡器62振荡，并且随后使得振荡停止验证电路52检测停止状态以便启用允许信号PRM。通过该步骤，MMU42可以转译位于RAM21中的逻辑地址，并且因此CPU11可以采用经转译的物理地址访问RAM21。因为当CPU11访问RAM21时通信时钟CKC处于停止状态，所以通信电路61无法建立通信。即便通信专用振荡器62在访问RAM21的中间恢复振荡，此时也禁用访问允许信号PRM，并且因此由CPU11发出的对RAM21中新访问地址的访问操作导致地址错误，并且抑制了后续对于RAM21的访问尝试。

MMU42对于通信电路61的通信操作和对RAM21的读取操作的专有控制也提供了类似于闪存31的情形下的效果。特别地，用于保护RAM21的专有控制防止未授权程序或数据从通信电路61侵入到RAM21中，这用作防范对闪存31的未授权写入和读取操作的防范手段。

应该理解的是，本发明并非限定于前述实施例，而是可以脱离本发明的精神而做出各种改变和修改。

例如，可以通过采用高速时钟的检测简单地提供限制访问或重写的功能来实施通过确认振荡状态执行的专有访问控制，并且因此本发明不限于上述实施例。在一个可能情形下，图1中所示专有控制单元91可以替换为例如不能采用高速通信时钟CKC合适地工作的存储器控制器。具体地，假设存储器控制器将要控制的目标是闪存，存储器控制器被配置为与生成用于重写的高压的电荷泵一起工作，并且电荷泵被配置为当输入高速同步时钟时不抬高电压。该配置使得有可能仅当通信时钟停止时采用抬高的电压执行写入操作，并且能够省略访问授权电路以便使用指示非振荡状态的检测信号DTC而不是访问允许信号PRM。

受到专有控制的存储单元不限于闪存和RAM的任一个，并且可以专有地控制闪存和RAM二者。此外，闪存可以是电介质存储器或者其它类型非易失性存储器。

通信单元不限于前述的通信功能，诸如通用串行总线。例如，通信单元可以是与天线耦合的高频接口单元。尽管专有控制单元包括MMU或存储器控制器，但是本发明不限于此并且可以采用物理地阻隔访问路径的硬件。

Claims (18)

1.一种半导体器件，包括：

通信单元，能够与外界通信；

预定存储单元，以及

专有控制单元，其专有地控制所述通信单元的通信以及对所述预定存储单元的访问。

2.根据权利要求1所述的半导体器件，

其中所述专有控制单元包括检测电路，所述检测电路检测由所述通信单元使用以执行通信的通信时钟的状态，并且

当所述检测电路检测到所述通信时钟处于有效状态时，所述专有控制单元限制对所述预定存储单元的访问，而当所述检测电路检测到所述通信时钟处于无效状态时，解除对所述预定存储单元的访问限制。

3.根据权利要求1所述的半导体器件，进一步包括：

通信时钟生成单元，其生成将由所述通信单元使用以执行通信的通信时钟，

其中所述专有控制单元包括检测电路，所述检测电路检测用于所述通信单元的通信时钟的状态，并且

当所述检测电路检测到通信时钟振荡的停止时，所述专有控制单元解除对所述预定存储单元的访问限制，而当所述检测电路检测到通信时钟振荡的恢复时，限制对所述预定存储单元的访问。

4.根据权利要求3所述的半导体器件，

其中所述通信时钟是调节通信速率的时钟信号。

5.根据权利要求1所述的半导体器件，

其中对所述对预定存储单元的访问限制用于保护所述预定存储单元免于写入操作，并且

除所述预定存储单元之外，提供暂时地存储由所述通信单元下载的数据的暂时存储单元。

6.根据权利要求1所述的半导体器件，

其中对所述对预定存储单元的访问限制用于保护所述预定存储单元免于读取操作。

7.根据权利要求5所述的半导体器件，

其中所述预定存储单元是电可重写非易失性存储器。

8.根据权利要求5所述的半导体器件，

其中所述专有控制单元包括：

存储器控制器，其响应于访问请求而对所述预定存储单元执行存储器接口控制，以及

检测电路，其检测所述通信时钟的状态，并且当检测到通信时钟振荡的停止时允许所述存储器控制器执行存储器接口操作，而当检测到所述通信时钟的振荡时不允许所述存储器控制器在所述访问限制下执行存储器接口操作。

9.根据权利要求5所述的半导体器件，

其中所述专有控制单元包括：

存储器管理单元，其具有用于所述预定存储单元的映射地址的存储器保护功能，以及

检测电路，其检测所述通信时钟的状态，并且当检测到通信时钟振荡的停止时允许所述存储器管理单元转译映射至所述预定存储单元的地址，以及当检测到所述通信时钟的振荡时不允许所述存储器管理单元在所述访问限制下转译映射至所述预定存储单元的地址。

10.一种用于对通信单元的通信和去往预定存储单元的访问执行专有控制的访问限制方法，包括：

当能够与外界通信的所述通信单元在通信时，限制对所述预定存储单元的访问，以及

当所述通信单元未通信时，解除对所述预定存储单元的访问限制。

11.根据权利要求10所述的访问限制方法，包括：

当检测电路检测到由所述通信单元使用以执行通信的通信时钟处于有效状态时，限制对所述预定存储单元的访问；以及

当所述检测电路检测到所述通信时钟处于无效状态时，解除对所述预定存储单元的访问限制。

12.根据权利要求10所述的访问限制方法，包括：

当检测电路检测到通信时钟振荡的停止时，解除对所述预定存储单元的访问限制，以及

当所述检测电路检测到通信时钟振荡的恢复时，限制对所述预定存储单元的访问，所述通信时钟由所述通信单元使用以执行通信并且由通信时钟生成单元生成。

13.根据权利要求12所述的访问限制方法，

其中所述通信时钟是调节通信速率的时钟信号。

14.根据权利要求10所述的访问限制方法，

其中当在所述访问限制下保护所述预定存储单元免于写入操作时，所述通信单元向暂时存储单元中下载数据，并且

在解除对所述预定存储单元的写保护之后，所述数据写入所述预定存储单元。

15.根据权利要求10所述的访问限制方法，

其中当所述通信时钟在振荡时在所述访问限制下保护所述预定存储单元免于读取操作，并且当所述通信时钟停止振荡时允许读出所述预定存储单元。

16.根据权利要求14所述的访问限制方法，

其中所述预定存储单元是电可重写非易失性存储器。

17.根据权利要求14所述的访问限制方法，包括：

当所述检测电路检测到通信时钟振荡的停止时，允许存储器控制器执行存储器接口操作，所述存储器控制器响应于访问请求而对所述预定存储单元执行存储器接口控制，以及

当所述检测电路检测到所述通信时钟的振荡时，在所述访问限制下不允许所述存储器控制器执行存储器接口操作。

18.根据权利要求14所述的访问限制方法，包括：

当所述检测电路检测到通信时钟振荡的停止时，允许存储器管理单元转译映射至所述预定存储单元的地址，所述存储器管理单元具有用于所述预定存储单元的映射地址的存储器保护功能，以及

当所述检测电路检测到所述通信时钟的振荡时，在所述访问限制下不允许所述存储器管理单元转译映射至所述预定存储单元的地址。

Images