CN108108262A - 具有检查所选择的存储器访问的硬件检查单元的集成电路 - Google Patents

Abstract

本发明涉及具有检查所选择的存储器访问的硬件检查单元的集成电路。本发明涉及一种集成电路（101、101'），其具有处理器单元（110）、硬件检查单元（120）和数据源（140、130），其中所述处理器单元在大量存储器访问其间分别访问来自所述数据源（140、130）的数据，其中所述硬件检查单元（120）被设立为检查所述大量存储器访问中的所选择的存储器访问的数据。

Description

具有检查所选择的存储器访问的硬件检查单元的集成电路

技术领域

本发明涉及一种集成电路和一种具有这种集成电路的控制设备。

背景技术

System-on-a-Chip（单片系统，SoC）是集成电路（IC），其中相对应的系统的大量功能集成在唯一的芯片（Die）上。这样的SoC可包括处理器单元（处理器系统部分，PS）。这样的处理器单元可包括适宜的处理器或处理器核或多核处理器。多核处理器包括多个（至少两个）处理器核。一个处理器核大多包括一个算术逻辑单元（ALU），所述算数逻辑单元是用于执行任务、程序、计算指令等等的真正的电子计算器，而且此外还是本地存储器。可以被证明为适宜的是，将这样的SoC集成到控制设备中、尤其是集成到机动（车辆）的控制设备（例如发动机控制设备）中。

由于尤其是在机动车辆领域的安全条例，可能常常需要使数据受到检查。所述检查例如可以借助于所谓的校验和来实现。这样的校验和是可以根据相应的数据来计算的值。在此，当前计算的校验和可以与在先前的时间点计算的比较校验和进行比较。

如果这两个值彼此有偏差，那么即使数据比如由于程序而不是有意地被改变的，在所存储的数据中也存在错误。

例如，在US 7 533 322 B2中公开了一种方法，用于验证在基于车辆的控制系统中的存储空间的子系统的数据完整性。在此，计算子系统校验和和全局校验和。子系统校验和基于处在存储空间的区段内的数据来计算。全局校验和基于属于整个存储空间的数据来计算。如果全局校验和与所期望的值一致，那么存储所述子系统校验和作为所希望的子系统校验和。为了验证数据完整性，第二子系统校验和基于在所述存储空间的区段内的数据来计算而且与所期望的子系统校验和进行比较。

发明内容

按照本发明，提出了一种具有专利独立权利要求的特征的集成电路和具有这种集成电路的控制设备。有利的设计方案是从属权利要求以及随后的描述的主题。

本发明利用如下措施：给具有处理器单元和数据源的集成电路（其中所述处理器单元在大量存储器访问其间分别访问来自所述数据源的数据）配备（附加的、与所述处理器单元不同的）硬件检查单元，所述硬件检查单元被设立为检查所述大量存储器访问中的被选择的存储器访问的数据。所述选择例如可以依据存储地址来实现。所述硬件检查单元优选地被设立在硬件侧。不必设置可编程性、比如对校验和算法的改变。不过，所要检查的地址能在运行时间期间被配置。

因此，本发明提供了（尤其是地址区）选择性的基于硬件的数据检查的可能性。尤其是能够实现：利用特定地设置用于数据检查的硬件有针对性地并且选择性地只检查某些数据。适宜地，只检查那些受到特别的安全要求的数据。例如，所要检查的数据可以通过原始地址和目标地址来说明。因此，硬件检查单元仅仅检查所选择的数据，由此可以以低运行时间成本和低花费来执行检查。尤其是，硬件检查单元对电流、计算能力和用于比较校验和的存储空间以及存储带宽的需求可以尽可能保持得低。

因此，不必由处理器单元本身来执行基于软件的数据检查，所述处理器单元的计算能力被用于所述基于软件的数据检查而且并不提供用于执行所述处理器单元的常规的进程。由于借助于硬件检查单元的数据检查，不需要所述处理器单元的用于数据检查的计算能力。

因此，本发明提供了一种新颖的可能性，用于检查以硬件实现的方式来检查所选择的数据。以传统的方式，以硬件实现的方式大多只能检查总系统、尤其是只能检查所有来自一个数据源的数据。此外，硬件检查单元能够不仅检查恒定的数据而且检查可改变的数据。

适宜地，按照选择标准来选择所要检查的数据或存储器访问。如所阐述的那样，所述选择标准可包括存储地址、可替换地或附加地也可包括总线-主机识别和/或线程（Thread）识别和/或软件识别。因此，例如可以在一个具有管理程序的系统中预先给定特定的进程、线程、软件等等，所述硬件检查单元要检查所述特定的进程、线程、软件等等的数据。因此，例如可以明确地检查访客系统或者来自未经授权的来源的程序。

此外，在系统的运行时间期间能改变对所要检查的数据的选择，因此在运行时间期间可以改变存储地址、可替换地或附加地也可以改变总线-主机识别和/或线程识别和/或软件识别，比如通过为此设立的处理器单元来改变存储地址、可替换地或附加地也可以改变总线-主机识别和/或线程识别和/或软件识别。

因此，有利地，并不是在每次存储器访问时都由硬件检查单元来执行检查，而是只有在对所选择的数据、诸如这种应该按照预先给定的安全准则来保护的数据（安全关键的数据）的存储器访问的情况下才由硬件检查单元来执行检查。适宜地，在对非安全关键的数据的存储器访问的情况下，所述硬件检查单元不执行检查。因此，本发明例如特别适合于所谓的混合式关键系统，在所述混合式关键系统中，有些为处理器单元所需的数据是安全关键的而且其它数据又是非安全关键的。

例如，所述集成电路可以被用于控制机器、设备或者类似的，而且根据这样的安全关键的数据可以执行安全关键的功能，所述安全关键的功能尤其是用于确保机器的使用者或者其他参与人员的安全性。因此，通过本发明，以花费少的方式确保了相对应的机器或设备的功能安全性。

特别有利地，所述集成电路被集成到控制设备中、尤其是被集成到机动（车辆）的控制设备（例如发送机控制设备）中。根据由硬件检查单元来检查的数据，所述集成电路或所述控制设备尤其是执行车辆的安全关键的功能，所述安全关键的功能为按照ISO 26262（尤其是按照所谓的汽车安全完整性等级（Automotive Safety Integrity Level，ASIL）、即由ISO 26262规定的用于机动车辆中的安全相关的系统的安全要求等级）的安全准则所决定。

在此，适宜地，所述集成电路可以构造为混合式关键系统，所述混合式关键系统不仅执行应满足ASIL要求的安全相关的功能而且执行非安全关键的功能（例如舒适功能）。这样的非安全关键的功能基于其来执行的数据尤其是没有被所述硬件检查单元检查。

因此，在对安全关键的数据的每次存储器访问的情况下，可以验证数据的完整性而且可以以尽可能低的花费来确保所述集成电路的安全性（“safety”），因为在每次访问时只检查各个所需的数据。通过对安全关键的数据的与每次存储器访问同步的这样的检查，可以确保比在如下系统中更高的安全性，在所述系统中例如只在某些时间点或者只在预先给定的时间段有关错误检查整个存储器单元。

适宜地，检查包括计算数据的校验和并且将所述数据的校验和与所存储的比较校验和进行比较。在此，所述比较检验和可以存储在所述硬件检查单元的本地存储器单元（例如ROM存储器、RAM存储器、闪速（Flash）存储器和/或EEPROM存储器）中。借此，快速的检查是可能的。但是，所述硬件检查单元也可以被设立为从任意的存储器、尤其是所述集成电路的内部和/或外部存储器单元中读取所述比较校验和。这虽然可以使检查的结束延迟，但是允许将任意大的存储区用于比较检验和。在两种替换方案中，所述硬件检查单元为了使读取过程加速而也可以拥有校验和缓存，所述校验和缓存以类似于数据缓存或代码缓存那样的策略来填充。

通过所计算的校验和与比较检验和的比较，尤其可以识别出数据由于硬件的持久的或偶尔的错误引起的改变。因此，可以执行对数据的保护或验证，而且可以确保所述处理器单元并不根据有错误的数据来执行功能。

优选地，在所述集成电路的应用中存储所述比较校验和，尤其是将所述比较校验和存储为程序设计的部分。也可设想的是，在所述集成电路开始运转时还没有存储比较校验和，而且所述比较校验和只有在所述集成电路的常规的运行其间才被制成。有利地，为了该目的，所述比较校验和在所述集成电路的正在进行的运行中在首次访问数据时由所述硬件检查单元来计算和存储。利用相同的原理、也就是说在运行时间期间计算和存储校验和，也可以保护可改变的数据。

尤其是，例如如果所述比较校验和在常规的SoC运行期间在对存储器单元的存储测试之后被制成和存储，那么也可以覆盖某些错误模型。以这种方式，例如可以识别出存储器单元的持久的错误。与其它措施（如周期性地或循环地读取数据）一起，所述工作原理允许覆盖某些错误模型。这样，例如以这种方式可能识别出偶尔的错误；如果在存储测试之后在所限定的时间之内计算校验和，那么所述校验和也可以用于识别持久的错误。

优选地，计算CRC校验和（循环冗余校验，英文cyclic redundancy check），作为校验和。CRC校验和基于多项式除法，而且尤其是提供了高的错误识别率。CRC校验和尤其具有如下特性：在数据较短的情况下存在对错误的较高的可识别性。在这种情况下，谈及所谓的汉明距离（Hammingabstand），这是其中两个数据域（包括CRC在内）有区别的比特的最小数目，而且因此也是无论如何都不再能被识别出的任意分散的错误的数目。例如，通过根据IEC 802.3的CRC校验和（CRC32），在大数据量的情况下达到了大约99.99999998%的诊断覆盖率。

优选地，也可以计算加法校验和作为校验和。加法校验和被理解为通过对数据的简单的相加形成的校验和。借助于加法校验和来识别每个单比特错误。双比特错误不再可靠地被识别。通常，在M个校验和比特的情况下以1-1/2^M的概率来识别出对所述数据的任意的数据伪造。如果例如想要达到99%的诊断覆盖率，那么为此7比特加法校验和就足够。

优选地，逐块地检查所选择的存储器访问的数据，也就是说所述数据被分成各个所要检查的块。每个块都可以受到校验和比较。优选地，块大小对应于处理器单元的存储行缓存的大小。常见的存储器访问即这样进行，使得所述数据从处理器单元的缓冲中被读取而且如果所述数据还不在那里则事先被复制到那里。在此，缓存行（所谓的Cache-Line）是在缓存之内的最小的管理单元。在此涉及存储区的复制。因此，以唯一的逐块的转移来实现从缓存存储器到CPU或者到主存储器的访问。

有利地，所述硬件检查单元被切换到在处理器单元与存储器单元之间的访问路径或存储器访问路径中。在此，仅仅通过所述硬件检查单元来实现在存储器单元与处理器单元之间的数据交换。在这种情况下，所述硬件检查单元也可以特别简单地被设立为：只有在成功的检查之后才将数据转发给处理器单元，例如其方式是所述硬件检查单元将所述数据复制到所述处理器单元的数据缓存中。借此，完整的数据检查可以在使用所述完整的数据检查之前被确保。可替换地，为了使处理加速，所述硬件检查单元也可以被设立为：在检查结束之前已经将数据转发给所述处理器单元。然而，优选地，所述硬件检查单元接着被设立为在有数据错误的情况下（例如借助于中断（Interrupt）或复位（Reset））使所述处理器单元复原到有效的状态下。

可替换地，也可设想的是，并不将所述硬件检查单元切换到访问路径中，而是使所述硬件检查单元仅仅以数据传输的方式与所述集成电路的数据网络（如电路内部总线或者交叉开关（Crossbar））连接。（在该处关于完整性应指出：所述硬件检查单元也会允许在访问路径中与所述数据网络连接）。

这简化了实现方案，因为不必改变在处理器单元与数据源之间的基本的通信。不过，因为在这种情况下，数据已经在检查结束之前到达所述处理器单元，所以所述硬件检查单元优选地被设立为在有数据错误的情况下（例如借助于中断（Interrupt）或复位（Reset））使所述处理器单元复原到有效的状态下。

按照本发明的计算单元、例如（机动）车辆的控制设备尤其是以程序技术方式被设立用于执行按照本发明的方法。

本发明的其它优点和设计方案从描述以及随附的附图中得到。

本发明依据附图中的实施例示意性地来示出而且在下文参考所述附图予以描述。

附图说明

图1示意性地示出了按照本发明的集成电路的优选的设计方案，所述优选的设计方案分别被设立为执行按照本发明的方法的一个优选的实施方式。

图2示意性地示出了由集成电路来执行的方法的一个优选的流程。

图3示意性地示出了由另一集成电路来执行的方法的一个优选的流程。

具体实施方式

在图1a和1b中，分别示意性地示出了一个控制设备、例如机动车辆的控制设备（例如发动机控制设备）而且用100或100'来表示。图1a和1b中的相同的附图标记表示相同或结构相同的要素。

控制设备100或100'具有按照本发明的集成电路101或101'的一个优选的设计方案。集成电路101或101'具有处理器单元110，所述处理器单元110可以构造为处理器核或者也可以构造为多核处理器。所述处理器单元110被设立为以软件实现的方式、也就是说通过执行软件来执行功能性、数据处理、进程或运算。

此外，集成电路101或101'具有总线系统130，集成电路101或101'的内部的、本地的存储器单元104（例如闪速存储器）被接到所述总线系统130上。此外，外部存储器单元150（例如控制设备100或100'的全局闪速存储器）也可以接到所述总线系统130上。

处理器单元110被构造用于执行进程、尤其是根据存储在存储器单元140或150中的数据来执行进程。因而，处理器单元110可以通过经由总线系统130的存储器访问来访问存储器单元140和150中的数据。在这种情况下，总线系统（以及存储器单元140）是处理器单元110的数据源。

为了确保处理器单元不使用有错误的数据来执行进程，设置硬件检查单元120。所述硬件检查单元120优选地在每次访问安全关键的数据时都检查这些数据是否是有错误的。

如在图1a中示出的那样，所述硬件检查单元120被集成到处理器单元110的相对应的存储器访问路径中，而且直接与处理器单元110和总线系统130连接。此外，还设置所述硬件检查单元120的本地存储器121。

也可设想的是，所述硬件检查单元120没有被集成到存储器访问路径中，而是例如与总线系统130并联，如在图1b中示出的那样。

集成电路101或101'分别按照本发明的一个优选的实施方式来设立，如依据图2和3所阐述的那样。

在此，首先实现对所述硬件检查单元120的配置或程序设计210。在此，在步骤211中，对于某些例如存储在存储器单元140中的数据来说，由所述硬件检查单元120来计算比较校验和。在步骤212中，所述比较校验和被存储在所述硬件检查单元的本地存储器121中。

例如，如果控制设备100或100'与机动车辆适配，那么可以在所述控制设备100或100'的开发过程期间执行步骤211和212。可替换地，也可设想的是：所述机动车辆连同所嵌入的控制设备已经处在现场；而且当处理器单元110第一次访问相应的数据时，在控制设备100或100'的常规的运行期间执行步骤211和212。

也可能的是：在硬件检查单元120不参与的情况下，用于某些例如稍后被存储在存储器单元140中的数据的比较校验和在控制设备的开发环境下予以计算而且作为程序设计的部分被存储在控制设备100或100'中。

在机动车辆的常规的运行时，利用所述被存储的比较校验和可以执行数据检查220。在步骤221中，由处理器单元110从存储器单元140请求相应的数据。

于是，在步骤222中，首先由硬件检查单元120读入数据，适宜地作为各个缓存行。在步骤223中，硬件检查单元120计算所述数据的当前的校验和。因此，硬件检查单元120可以有关完整性来检查各个缓存行的数据。

在步骤224中，硬件检查单元120将所述当前的校验和与在步骤212中存储的比较校验和进行比较。在一致的情况下，硬件检查单元120在步骤225中将数据转发给处理器单元110，例如其方式是所述硬件检查单元120将所述数据复制到处理器单元110的缓存存储器中。

然而，如果两个和不一致，那么这表明所述数据有错误。在这种情况下，按照步骤226，硬件检查单元120没有转发所述数据，而是例如发出中断，例如发给处理器单元110，以便所述处理器单元110例如执行对存储器单元140的错误诊断。

在图3中，一个可替换的流程示意性地作为框图来示出。类似于按照图2的步骤211和212，首先执行对硬件检查单元120的配置或程序设计310，其方式是比较校验和在步骤311中被计算并且在步骤312中被存储在本地存储器121中。

在机动车辆的常规的运行时，执行数据检查320。在此，在类似于步骤221的步骤321中，由处理器单元110来请求数据。

在步骤322中，硬件检查单元120将数据直接转发给处理器单元110。与所述转发同时，硬件检查单元120在步骤323中开始计算所述数据的当前的校验和。在步骤324中，硬件检查单元120将所述当前的校验和与所存储的比较校验和进行比较。在这两个值一致的情况下，硬件检查单元120按照步骤325不执行其它行动。

然而，如果这两个和不一致，那么硬件检查单元120在步骤326中将中断发给处理器单元110，以便在步骤327中使所述处理器单元110复原到有效的状态下并且例如紧接着执行对存储器单元140的错误诊断。

Claims (13)

1.一种集成电路（101、101'），其具有处理器单元（110）、硬件检查单元（120）和数据源（140、130），其中，所述处理器单元在大量存储器访问其间分别访问来自所述数据源（140、130）的数据，其中所述硬件检查单元（120）被设立为检查所述大量存储器访问中的所选择的存储器访问的数据。

2.根据权利要求1所述的集成电路（101、101'），其中，所述硬件检查单元（120）被设立为按照选择标准来选择所选择的存储器访问。

3.根据权利要求2所述的集成电路（101、101'），其中，所述选择标准包括存储地址和/或总线-主机识别和/或线程识别和/或软件识别。

4.根据上述权利要求之一所述的集成电路（101、101'），其中，所述检查包括：计算（223、323）所述数据的校验和并且将所述数据的校验和与所存储的比较校验和进行比较。

5.根据权利要求4所述的集成电路（101、101'），其中，所述比较校验和存储在所述硬件检查单元（120）的本地存储器单元（121）中。

6.根据权利要求4或5所述的集成电路（101、101'），其中，所述硬件检查单元（120）被设立为在首次访问所述数据时计算并且存储（211、212、311、312）所述比较校验和。

7.根据上述权利要求之一所述的集成电路（101、101'），其中，所述硬件检查单元（120）被设立为逐块地检查所选择的存储器访问的数据。

8.根据权利要求7所述的集成电路（101、101'），其中，块大小对应于所述处理器单元（110）的行缓存的大小。

9.根据上述权利要求之一所述的集成电路（101、101'），其中，所述数据源（140、130）包括所述集成电路（101、101'）的内部存储装置（140）和/或与外部存储装置（150）的接口（130）。

10.根据上述权利要求之一所述的集成电路（101、101'），其中，所述硬件检查单元（120）被切换到所述处理器单元（110）与所述存储器单元（140、150）之间的访问路径中，和/或其中，所述硬件检查单元（120）以数据传输的方式与所述集成电路的数据网络（130）连接。

11.根据上述权利要求之一所述的集成电路（101、101'），其中，所述硬件检查单元（120）被设立为：只有在成功的检查之后才将所述数据转发给所述处理器单元（110），或者已经在所述检查结束之前将所述数据转发非所述处理器单元（110）。

12.根据上述权利要求之一所述的集成电路（101、101'），其中，所述硬件检查单元（120）被设立在：在有数据错误的情况下使所述处理器单元（110）复原到有效的状态下。

13.一种控制设备（100、100'）、尤其是机动车辆的控制设备，所述控制设备具有根据上述权利要求之一所述的集成电路（101、101'）。