CN108229196B - 一种具有存储单元物理保护机制的soc芯片及方法 - Google Patents

Abstract

本发明提供一种具有存储单元物理保护机制的SOC芯片及方法，所述芯片包括：第一存储单元，用于存储敏感系统数据；第二存储单元，用于存储普通数据；微处理器，用于访问第一、第二存储单元；访问控制单元，连接于微处理器与第一、第二存储单元之间，用于完成微处理器访问第一、第二存储单元的时序控制；地址译码单元，连接于微处理器与访问控制单元之间，用于完成从微处理器的地址到第一、第二存储单元的物理地址的地址译码；保护单元，连接于微处理器及地址译码单元之间，用于打开或关闭第一存储单元的访问通道以及非法访问的界定。本发明采用数字电路架构实现NVM存储器的安全访问，在增加芯片安全性的同时程序升级不受限制，且破解难度高。

Description

一种具有存储单元物理保护机制的SOC芯片及方法

技术领域

本发明属于片上系统领域，涉及一种具有存储单元物理保护机制的SOC芯片及方法。

背景技术

片上系统(System on Chip，简称SOC)，从狭义角度讲，它是信息系统核心的芯片集成，是将系统关键部件集成在一块芯片上；从广义角度讲，SOC是一个微小型系统，其将微处理器、模拟IP核、数字IP核和存储器(或片外存储控制接口)集成在单一芯片上，通常是客户定制的，或是面向特定用途的标准产品。

微控制单元(Microcontroller Unit；MCU)一般内部都集成了非易失性存储器(Non-Volatile Memory，NVM)用于存放用户程序和数据。随着MCU的使用越来越普及，对于MCU内部数据安全性的要求也越来越高。如何保护NVM非易失性存储器内的数据变得尤为重要。

目前的MCU都会采用硬件安全熔丝机制来增强内部数据的安全性，控制NVM非易失性存储器的读写访问。这种机制非常简单，无需重新设计MCU架构，仅利用熔丝控制编程接口的回读功能。缺点是熔丝位置通常在存储器接口附近，非常容易被定位以及被FIB电路修改。例如：熔丝状态值可以通过将对应的熔丝位输出端切断并连接到电源或地端从而获得需要的逻辑值，从而获得存储器的访问权限进行入侵攻击。甚至有些仅仅使用激光或聚焦离子束切断熔丝的感应电路就可以了，然后利用非入侵性攻击方式一样可以成功。

同时，目前的MCU内部并没有区分敏感数据和普通数据，都存储在一个NVM存储器内，虽然可以通过熔丝机制控制存储器的访问时序，但是在物理上存储器接口都是连通的，存在安全风险。

因此，如何提供一种具有存储单元物理保护机制的SOC芯片及方法，以提高芯片安全性，成为本领域技术人员亟待解决的一个重要技术问题。

发明内容

鉴于以上所述现有技术的缺点，本发明的目的在于提供一种具有存储单元物理保护机制的SOC芯片及方法，用于解决现有技术中SOC芯片安全风险较高的问题。

为实现上述目的及其他相关目的，本发明提供一种具有存储单元物理保护机制的SOC芯片，包括：

第一存储单元，用于存储由芯片生产提供者负责维护的敏感系统数据；

第二存储单元，用于存储由用户负责维护的用户数据和程序；

微处理器，用于访问所述第一存储单元或第二存储单元；

访问控制单元，连接于所述微处理器与所述第一存储单元、第二存储单元之间，用于完成所述微处理器访问所述第一存储单元、第二存储单元的时序控制；

地址译码单元，连接于所述微处理器与所述访问控制单元之间，用于完成从所述微处理器的地址到所述第一存储单元、第二存储单元的物理地址的地址译码；

保护单元，连接于所述微处理器及所述地址译码单元之间，用于打开或关闭所述第一存储单元的访问通道以及非法访问的界定。

可选的，所述保护单元被设置为当所述第一存储单元发生非法访问后，产生一个非法访问的中断给所述微处理器。

可选的，所述微处理器被设置为当接收到所述中断后，停止访问所述第一存储单元。

可选的，所述微处理器被设置为当接收到所述中断后，将所述芯片复位。

可选的，所述保护单元为只写寄存器，只能写一次，之后硬件不可访问。

可选的，所述保护单元包括第一锁存器、第二锁存器、比较器、反相器及与门；其中：

所述第一锁存器的输入端与所述微处理器连接；所述第二锁存器的输入端与所述地址译码单元连接，用于接收非法访问信号；

所述比较器的第一个输入端用于输入特征序列值；所述比较器的第二个输入端与所述第一锁存器的输出端连接；所述比较器的输出端与所述反相器的输入端连接；

所述与门的第一个输入端与所述反相器的输出端连接；所述与门的第二个输入端与所述第二锁存器的输出端连接；所述与门的输出端与所述微处理器连接，用于产生中断信号给所述微处理器。

可选的，所述特征序列值及所述微处理器输入至所述第一锁存器的信息量均为32比特。

可选的，所述第一存储单元及第二存储单元均为非易失性存储器。

可选的，所述敏感系统数据包括启动装载(bootloader)、用户密钥、系统存储空间配置信息、校准值及芯片唯一标识码中的一种或多种。

本发明还提供一种存储单元物理保护机制的方法，应用于所述具有存储单元物理保护机制的SOC芯片，所述方法包括：

芯片上电且完成复位操作后，所述保护单元的默认值为0，所述第一存储单元和第二存储单元都可以通过所述微处理器的地址空间进行访问；

程式从所述第一存储单元开始执行，进行必要的系统配置；

在配置完成后，对所述保护单元写入特征序列值；特征序列值写入后，所述第一存储单元在所述微处理器的地址空间上不可见，在物理上不可访问，除非芯片复位；

如果所述微处理器访问所述第一存储单元的地址空间就会发生非法访问，所述保护单元产生一个中断给所述微处理器；

所述微处理器收到非法访问的中断后，停止访问所述第一存储单元，或判断为非法程式将芯片复位。

如上所述，本发明的具有存储单元物理保护机制的SOC芯片及方法，具有以下有益效果：本发明采用数字电路架构实现NVM存储器的安全访问，将敏感数据和普通数据分别放在不同的存储器内，从物理上隔离。当芯片上电且完成系统配置后，存储由敏感数据的第一NVM存储单元在微处理器的地址空间上不可见，此后第一NVM存储单元在物理上不可访问，除非芯片复位。同时，保护单元控制系统总线的地址译码单元，隐藏于百万门电路之中，远离存储器访问控制单元，难以定位。使用数字电路来代替熔丝电路，增加芯片安全性的同时程序升级不受限制，且破解难度高。

附图说明

图1显示为本发明的具有存储单元物理保护机制的SOC芯片的结构示意图。

图2显示为所述保护单元的电路结构图。

图3显示为本发明的存储单元物理保护机制的方法的流程示意图。

元件标号说明

1 第一存储单元

2 第二存储单元

3 访问控制单元

4 微处理器

5 地址译码单元

6 保护单元

601 第一锁存器

602 第二锁存器

603 比较器

604 反相器

605 与门

S1～S5 步骤

具体实施方式

以下通过特定的具体实例说明本发明的实施方式，本领域技术人员可由本说明书所揭露的内容轻易地了解本发明的其他优点与功效。本发明还可以通过另外不同的具体实施方式加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本发明的精神下进行各种修饰或改变。

请参阅图1至图3。需要说明的是，本实施例中所提供的图示仅以示意方式说明本发明的基本构想，遂图式中仅显示与本发明中有关的组件而非按照实际实施时的组件数目、形状及尺寸绘制，其实际实施时各组件的型态、数量及比例可为一种随意的改变，且其组件布局型态也可能更为复杂。

本发明提供一种具有存储单元物理保护机制的SOC芯片，请参阅图1，显示为该SOC芯片的结构示意图，包括第一存储单元1、第二存储单元2、访问控制单元3、微处理器4、地址译码单元5及保护单元6。

具体的，所述第一存储单元1用于存储由芯片生产提供者负责维护的敏感系统数据。作为示例，所述敏感系统数据包括启动装载(bootloader)、用户密钥、系统存储空间配置信息、校准值及芯片唯一标识码中的一种或多种。

所述第二存储单元2用于存储由用户负责维护的用户数据和程序。

本实施例中，所述第一存储单元1及第二存储单元2均采用非易失性存储器(Non-Volatile Memory，NVM)，当电源关掉后，其所存储的数据不会消失。本发明将敏感数据和普通数据分别放在不同的存储器内，从物理上隔离，有利于增加芯片的安全性。

所述微处理器4用于访问所述第一存储单元1或第二存储单元2。所述访问控制单元3连接于所述微处理器4与所述第一存储单元1、第二存储单元2之间，用于完成所述微处理器4访问所述第一存储单元1、第二存储单元2的时序控制。

所述地址译码单元5连接于所述微处理器4与所述访问控制单元3之间，用于完成从所述微处理器4的地址到所述第一存储单元1、第二存储单元2的物理地址的地址译码。

所述保护单元6连接于所述微处理器4及所述地址译码单元5之间，一方面用于打开或关闭所述第一存储单元1的访问通道，另一方面用于非法访问的界定。

具体的，非法访问的定义是当保护单元已经置位后，SOC仍然尝试操作第一存储单元1。当保护单元没有置位前，SOC操作第一存储单元是被允许的，此时处于系统配置阶段，由芯片生产提供者负责维护。

本发明中，所述保护单元6可以控制系统总线的地址译码单元，隐藏于百万门电路之中，远离存储器访问控制单元，难以定位，可以降低被被入侵风险。

具体的，所述保护单元6被设置为当所述第一存储单元1发生非法访问后，产生一个非法访问的中断给所述微处理器4。所述微处理器4被设置为当接收到所述中断后，停止访问所述第一存储单元1。

在另一实施例中，所述微处理器4也可以被设置为当接收到所述中断后，将所述芯片复位。

具体的，所述保护单元6为只写寄存器，只能写一次，之后硬件不可访问。即系统配置完成前的最后一步就是写保护单元6，所述地址译码单元5会监测这个保护单元的写操作，当发生一次写操作后，不再响应其他写操作尝试。

作为示例，图2中展示了所述保护单元6的电路结构图，其包括第一锁存器601、第二锁存器602、比较器603、反相器604及与门605；其中：

所述第一锁存器601的输入端与所述微处理器4连接；所述第二锁存器602的输入端与所述地址译码单元5连接，用于接收非法访问信号；

所述比较器603的第一个输入端用于输入特征序列值；所述比较器603的第二个输入端与所述第一锁存器601的输出端连接；所述比较器603的输出端与所述反相器604的输入端连接；

所述与门605的第一个输入端与所述反相器604的输出端连接；所述与门605的第二个输入端与所述第二锁存器602的输出端连接；所述与门605的输出端与所述微处理器4连接，用于产生中断信号给所述微处理器4。

具体的，所述特征序列值写入后，所述第一存储单元601在所述微处理器4的地址空间上不可见，在物理上不可访问，除非芯片复位。本实施例中，所述特征序列值及所述微处理器4输入至所述第一锁存器601的信息量均为32比特，与系统总线位宽保持一致，以方便操作。

作为示例，所述第一锁存器601为一组能够存下32位宽的锁存器，所述第二锁存器602为1位宽的锁存器。

具体的，所述比较器603是做“异或”操作，将第一锁存器601里的32比特数据跟硬件逻辑固化的32比特特征序列值做“异或”操作，相同则所述比较器603输出“0”，所述反相器604输出“1”，表明保护单元置位。之后任何访问所述第一存储单元1的操作(来自所述第二锁存器602，表明访问地址为第一存储单元1)都为非法。而当比较结果不同时，则所述比较器603输出“1”，所述反相器604输出“0”，表明保护单元未置位。保护单元的置位由芯片生产提供者负责，在出厂前完成。

本发明的保护单元6使用数字电路来代替熔丝电路，可以在增加芯片安全性的同时程序升级不受限制，并且不易被破解。

图3展示为本发明所述存储单元物理保护机制的方法的流程示意图，所述方法包括：

步骤S1：芯片上电且完成复位操作后，所述保护单元6的默认值为0，所述第一存储单元1和第二存储单元2都可以通过所述微处理器4的地址空间进行访问。

步骤S2：程式从所述第一存储单元1开始执行，进行必要的系统配置。其中，SOC内的微处理器在上电后会通过系统总线从第一存储单元1读出执行指令，通过微处理器内部指令译码及流水线后执行。

步骤S3：在配置完成后，对所述保护单元6写入特征序列值；特征序列值写入后，所述第一存储单元1在所述微处理器4的地址空间上不可见，在物理上不可访问，除非芯片复位。其中，使用特征序列值的目的是防止误操作，特征序列值可以是任何32比特位宽的数值，如0x55AA55AA。

步骤S4：如果所述微处理器4访问所述第一存储单元1的地址空间就会发生非法访问，所述保护单元6产生一个中断给所述微处理器4。

步骤S5：所述微处理器4收到非法访问的中断后，停止访问所述第一存储单元1，或判断为非法程式将芯片复位。

综上所述，本发明的具有存储单元物理保护机制的SOC芯片及方法，具有以下有益效果：本发明采用数字电路架构实现NVM存储器的安全访问，将敏感数据和普通数据分别放在不同的存储器内，从物理上隔离。当芯片上电且完成系统配置后，存储由敏感数据的第一NVM存储单元在微处理器的地址空间上不可见，此后第一NVM存储单元在物理上不可访问，除非芯片复位。同时，保护单元控制系统总线的地址译码单元，隐藏于百万门电路之中，远离存储器访问控制单元，难以定位。使用数字电路来代替熔丝电路，增加芯片安全性的同时程序升级不受限制，且破解难度高。所以，本发明有效克服了现有技术中的种种缺点而具高度产业利用价值。

上述实施例仅例示性说明本发明的原理及其功效，而非用于限制本发明。任何熟悉此技术的人士皆可在不违背本发明的精神及范畴下，对上述实施例进行修饰或改变。因此，举凡所属技术领域中具有通常知识者在未脱离本发明所揭示的精神与技术思想下所完成的一切等效修饰或改变，仍应由本发明的权利要求所涵盖。

Claims (9)

1.一种具有存储单元物理保护机制的SOC芯片，其特征在于，包括：

第一存储单元，用于存储由芯片生产提供者负责维护的敏感系统数据；

第二存储单元，用于存储由用户负责维护的用户数据和程序；

微处理器，用于访问所述第一存储单元或第二存储单元；

访问控制单元，连接于所述微处理器与所述第一存储单元、第二存储单元之间，用于完成所述微处理器访问所述第一存储单元、第二存储单元的时序控制；

地址译码单元，连接于所述微处理器与所述访问控制单元之间，用于完成从所述微处理器的地址到所述第一存储单元、第二存储单元的物理地址的地址译码；

保护单元，连接于所述微处理器及所述地址译码单元之间，用于打开或关闭所述第一存储单元的访问通道以及非法访问的界定，所述保护单元包括第一锁存器、第二锁存器、比较器、反相器及与门；其中：

所述第一锁存器的输入端与所述微处理器连接；所述第二锁存器的输入端与所述地址译码单元连接，用于接收非法访问信号；

所述比较器的第一个输入端用于输入特征序列值；所述比较器的第二个输入端与所述第一锁存器的输出端连接；所述比较器的输出端与所述反相器的输入端连接；

所述与门的第一个输入端与所述反相器的输出端连接；所述与门的第二个输入端与所述第二锁存器的输出端连接；所述与门的输出端与所述微处理器连接，用于产生中断信号给所述微处理器。

2.根据权利要求1所述的具有存储单元物理保护机制的SOC芯片，其特征在于：所述保护单元被设置为当所述第一存储单元发生非法访问后，产生一个非法访问的中断给所述微处理器。

3.根据权利要求2所述的具有存储单元物理保护机制的SOC芯片，其特征在于：所述微处理器被设置为当接收到所述中断后，停止访问所述第一存储单元。

4.根据权利要求2所述的具有存储单元物理保护机制的SOC芯片，其特征在于：所述微处理器被设置为当接收到所述中断后，将所述芯片复位。

5.根据权利要求1所述的具有存储单元物理保护机制的SOC芯片，其特征在于：所述保护单元为只写寄存器，只能写一次，之后硬件不可访问。

6.根据权利要求1所述的具有存储单元物理保护机制的SOC芯片，其特征在于：所述特征序列值及所述微处理器输入至所述第一锁存器的信息量均为32比特。

7.根据权利要求1所述的具有存储单元物理保护机制的SOC芯片，其特征在于：所述第一存储单元及第二存储单元均为非易失性存储器。

8.根据权利要求1所述的具有存储单元物理保护机制的SOC芯片，其特征在于：所述敏感系统数据包括启动装载(bootloader)、用户密钥、系统存储空间配置信息、校准值及芯片唯一标识码中的一种或多种。

9.一种存储单元物理保护机制的方法，其特征在于，应用于如权利要求1-8任意一项所述的具有存储单元物理保护机制的SOC芯片，所述方法包括：

芯片上电且完成复位操作后，所述保护单元的默认值为0，所述第一存储单元和第二存储单元都可以通过所述微处理器的地址空间进行访问；

程式从所述第一存储单元开始执行，进行必要的系统配置；

在配置完成后，对所述保护单元写入特征序列值；特征序列值写入后，所述第一存储单元在所述微处理器的地址空间上不可见，在物理上不可访问，除非芯片复位；

如果所述微处理器访问所述第一存储单元的地址空间就会发生非法访问，所述保护单元产生一个中断给所述微处理器；

所述微处理器收到非法访问的中断后，停止访问所述第一存储单元，或判断为非法程式将芯片复位。

Images