DE102017005945A1

DE102017005945A1 - Device and method for device-specific restriction of the permissible operations on data in data processing units

Info

Publication number: DE102017005945A1
Application number: DE102017005945.4A
Authority: DE
Inventors: Stefan Andreas Widmann; Wolfgang Halang
Original assignee: Individual
Current assignee: Individual
Priority date: 2017-06-23
Filing date: 2017-06-23
Publication date: 2018-12-27

Abstract

Die Erfindung betrifft eine Datenverarbeitungseinheit, die Daten erzeugt, verarbeitet oder nutzt, bestehend aus mindestens einem Prozessor mit mindestens einem Speicher, in dem Daten in Form von Datenelementen (1) abgelegt sind. Die Erfindung zeichnet sich dadurch aus, dass zur Überprüfung der Zulässigkeit einer durch den Prozessor auf bestimmte Daten anzuwendenden Operation den in den Datenelementen (1) enthaltenen Datenwerten (2) eine Typberechtigungskennung (6) zugeordnet ist, die spezifiziert, welche Arten von Operationen, die der Prozessor auf Daten anwenden kann, auf den im Datenelement (1) vorhandenen Datenwert (2) angewendet werden dürfen.The invention relates to a data processing unit that generates, processes or uses data consisting of at least one processor with at least one memory in which data in the form of data elements (1) are stored. The invention is characterized in that in order to check the permissibility of an operation to be applied by the processor to specific data, the data values (2) contained in the data elements (1) are associated with a type authorization identifier (6) specifying which types of operations the processor can apply data to the data (2) present in the data element (1).

Description

Die Erfindung betrifft eine Vorrichtung und ein Verfahren zur gerätetechnischen Einschränkung der zulässigen Operationen auf Daten in Datenverarbeitungseinheiten.The invention relates to an apparatus and a method for device-specific restriction of the permissible operations on data in data processing units.

Es ist bekannt, dass bereits in den 1960er Jahren in Datenverarbeitungsanlagen wie z. B. dem Großrechner TR4 [1] den Datenwerten weitere Kennungen hinzugefügt wurden, die

• den Datentyp und damit das Darstellungsformat des Datenwerts spezifizierten und teilweise
• weitere Bits, die eine Integritätsprüfung des gesamten Datenelements erlaubten.

It is known that already in the 1960s in data processing systems such. B. the mainframe TR4 [1] the data values more identifiers were added, the

• the data type and thus the presentation format of the data value specified and partially
• additional bits that allowed an integrity check of the entire data element.

Basierend auf der expliziten, hardwareverständlichen und -prüfbaren Spezifikation des Datentyps innerhalb des Datenworts selbst werden entsprechende Architekturen als Datentyparchitekturen bezeichnet.Based on the explicit, hardware-understandable and verifiable specification of the data type within the data word itself, corresponding architectures are referred to as data type architectures.

Weiterhin ist bekannt, dass in Befähigungsarchitekturen dem Datenelement eine weitere Kennung hinzugefügt wird, die die Zugriffsrechte auf das betreffende Datenelement spezifiziert. Gute Beispiele moderner Befähigungsarchitekturen sind z.B. lowRISC [2] und SAFE [3].Furthermore, it is known that in qualification architectures the data element is given a further identifier which specifies the access rights to the data element concerned. Good examples of modern capability architectures are e.g. lowRISC [2] and SAFE [3].

Weiterhin ist bekannt, dass sich in den meisten höheren Programmiersprachen von nativen Datentypen abgeleitete Datentypen definieren lassen oder sie werden automatisch durch die genutzte Hochsprache definiert. Entsprechende Vorschläge werden in [7] unterbreitet.It is also known that data types derived from native data types can be defined in most higher-level programming languages, or they are automatically defined by the high-level language used. Corresponding proposals are made in [7].

Weiterhin ist bekannt, in Form von den Datenelementen hinzugefügten Kennungen - also Erweiterungen der bekannten Datentypkennungen - abgeleitete Datentypen zu definieren. Dies wird in [5] vorgeschlagen. Als Anwendungsbeispiel werden die beiden von einem ganzzahligen Basisdatentyp abgeleiteten Datentypen „Kontonummer“ und „Datum“ genannt. Furthermore, it is known to define derived data types in the form of identifiers added to the data elements, ie extensions of the known data type identifiers. This is suggested in [5]. As an application example, the two data types derived from an integer base data type are called "account number" and "date".

Datenverarbeitungssysteme tragen in immer mehr Anwendungen die Verantwortung für Mensch, Umwelt und Investitionsgüter und ersetzen in manchen Applikationen betriebsbewährte mechanische Systeme, so z. B. bei den „x-by-wire“ Systemen in der Avionik und der Kraftfahrzeugtechnik oder autonomen Steuerungsfunktionen in Fahrzeugen. Entsprechend gravierende Auswirkungen können nicht oder nicht rechtzeitig erkannte Fehler haben.Data processing systems are increasingly responsible for people, the environment, and capital goods, and in some applications replace well-tried mechanical systems, such as: B. in the "x-by-wire" systems in avionics and automotive engineering or autonomous control functions in vehicles. Correspondingly serious consequences can not have errors that are not recognized in time.

Die hohe Komplexität der Systeme und der darin eingesetzten Soft- und Hardware führt zu erhöhten Fehlerwahrscheinlichkeiten. Zudem werden die eingesetzten integrierten Schaltkreise auf Grund der immer weiter reduzierten Strukturbreiten zunehmend empfindlicher gegenüber Umwelteinflüssen, speziell den Einwirkungen von Strahlung.The high complexity of the systems and the software and hardware used in them leads to increased error probabilities. In addition, due to the ever-decreasing structural widths, the integrated circuits used are becoming increasingly sensitive to environmental influences, especially to the effects of radiation.

Verschiedenste Fehlerarten können dafür sorgen, dass zu verarbeitende Daten in Datenverarbeitungssystemen zueinander nicht kompatible physikalische Einheiten aufweisen oder fehlerhafte Einheiten angenommen werden. Die Verarbeitung dieser Daten führt damit zu fehlerhaften Ergebnissen, die zu gefährlichen Ausfällen eines gesamten Datenverarbeitungssystems führen können. Dies ist besonders für die oben erwähnten sicherheitsgerichteten Anwendungen relevant, bei denen derartige Ausfälle zu Personen-, Umwelt- oder Sachschäden führen können.Various types of errors can ensure that data to be processed in data processing systems have non-compatible physical units or erroneous units are assumed. Processing this data results in erroneous results that can lead to dangerous failures of an entire data processing system. This is particularly relevant to the safety-related applications mentioned above, where such failures can result in personal injury, environmental damage or property damage.

Daten werden in konventionellen Datenverarbeitungssystemen nur durch ihren Datenwert repräsentiert. Über die weiteren Dateneigenschaften wie z. B. Datentyp und - für diese Erfindung besonders relevant - die zulässigen Operationen, die auf die Daten angewendet werden dürfen, werden nur implizite Annahmen durch die Art der Verwendung der Daten getroffen. Die Hardware kann also keine Überprüfungen dieser Dateneigenschaften vornehmen, da sie ihr nicht bekannt sind. Im Speziellen werden Daten so behandelt, als wären sie dimensionslos, also frei von jeglichen physikalischen Einheiten. Dadurch können Fehler, bei denen z. B. Daten miteinander auf eine Art verknüpft werden, bei der das Ergebnis keinen Sinn ergibt, so z. B. das Addieren zweier Fehlercodes, nicht erkannt werden.Data is represented in conventional data processing systems only by their data value. About the other data properties such. For example, the type of data and, most particularly relevant to this invention, the permissible operations that may be applied to the data are only implicit assumptions made by the way the data is used. So the hardware can not check these data properties because they are not known to it. Specifically, data is treated as if it were dimensionless, that is, free of any physical units. As a result, errors in which z. B. Data are linked together in a way in which the result does not make sense, such. B. the addition of two error codes are not recognized.

Keine der bisher genannten Architekturarten wie Datentyp- oder Befähigungsarchitekturen unterstützt die Spezifikation der für den betreffenden Datenwert zulässigen Operationen in einer Kennung, die dann automatisch von der die Daten verarbeitenden Hardware in den Datenverarbeitungseinheiten geprüft könnte.None of the architecture types mentioned so far, such as data type or capability architectures, supports the specification of the operations permitted for the data value concerned in an identifier, which could then be automatically checked by the data processing hardware in the data processing units.

Die Aufgabe der Erfindung ist es, die Anwendung nicht gestatteter Operationen auf Daten auf einfache Weise durch die Hardware einer Datenverarbeitungseinheit als Fehler zu erkennen.The object of the invention is to easily detect the application of unsaid operations on data as errors by the hardware of a data processing unit.

Die Aufgabe wird bezogen auf die Datenverarbeitungseinheit durch die Merkmale des Anspruchs 1 und bezogen auf das Verfahren durch die Merkmale des Anspruchs 3 gelöst. Die Unteransprüche stellen jeweils vorteilhafte Ausgestaltungen dar.The object is based on the data processing unit by the features of claim 1 and based on the method by the features of claim 3. The dependent claims each represent advantageous embodiments.

Bezogen auf die Datenverarbeitungseinheiten sieht die Lösung vor, den einzelnen Datenelementen zusätzlich zum Datenwert eine Typberechtigungskennung hinzuzufügen, die durch eine Anzahl an Bits definiert, welche Gruppen von Operationen, die der Prozessor der Datenverarbeitungseinheit ausführen kann, auf den im Datenelement vorhandenen Datenwert angewendet werden dürfen. Als Datenverarbeitungseinheit sind im Sinne dieser Erfindung alle technischen Einrichtungen zu verstehen, die Daten erzeugen, verarbeiten oder nutzen, so z. B. Sensoren, Prozessrechner und Aktoren. In derartigen Geräten ist mindestens ein Prozessor vorhanden, der erzeugte Daten in mindestens einem Speicher ablegt, aus einem solchen ausliest, verarbeitet und die Ergebnisse ggf. wieder in einem derartigen Speicher ablegt. Ein entsprechender Prozessor kann z. B. auch in programmierbarer Hardware wie FPGAs realisiert werden. Datenelemente im Sinne dieser Erfindung sind Datenworte in einem Speicher oder Register, die neben dem Datenwert weitere Informationen über den Datenwert selbst enthalten.With respect to the data processing units, the solution provides for adding to the individual data elements, in addition to the data value, a type authorization identifier which defines by a number of bits which groups of operations that the processor of the data processing unit can perform on that in the data element existing data value may be applied. For the purposes of this invention, the term "data processing unit" is to be understood as meaning all technical devices which generate, process or use data, such as data. As sensors, process computers and actuators. In such devices, at least one processor is present, the stored data stored in at least one memory, read from such, processed and possibly stores the results again in such a memory. A corresponding processor can, for. B. also be implemented in programmable hardware such as FPGAs. Data elements in the sense of this invention are data words in a memory or register which, in addition to the data value, contain further information about the data value itself.

Die beschriebenen Gruppen von Operationen, deren Zulässigkeit die Typberechtigungskennung beschreiben kann, können z. B. die folgenden Gruppen sein:

• Vergleiche,
• Zuweisungen,
• Datentypumwandlungen,
• arithmetische Operationen,
• Schiebebefehle und
• bitweise logische Operationen.

The described groups of operations, the admissibility of which can describe the type authorization identifier, can e.g. For example, the following groups can be:

• comparisons,
• allocations,
• data type conversions,
• arithmetic operations,
• Shift commands and
• bitwise logical operations.

Die Typberechtigungskennung kann auch als Teil der Datentypkennung realisiert werden.The type authorization identifier can also be realized as part of the data type identifier.

Bezogen auf das Verfahren sieht die Lösung vor, dass der Prozessor der Datenverarbeitungseinheit prüft, ob eine auf die Quelloperanden auszuführende Operation in der Typberechtigungskennung aller Quelloperanden als zulässig spezifiziert ist. Stellt der Prozessor bei der Prüfung eine Abweichung fest, so kann eine entsprechende Fehlerbehandlung eingeleitet werden. Denkbare Reaktionen sind z. B. die Auslösung eines Ausnahmefehlers und bzw. oder die Überführung des Systems in einen sicheren Zustand und bzw. oder ein Neustart des Systems. Mit Vorteil wird vorgeschlagen, dass die beschriebene Prüfung zeitgleich zur Ausführung der Verarbeitung der Datenwerte erfolgt.With regard to the method, the solution provides that the processor of the data processing unit checks whether an operation to be executed on the source operands is specified as permissible in the type authorization identifier of all source operands. If the processor determines a deviation during the test, a corresponding error handling can be initiated. Possible reactions are z. For example, the triggering of an exception error and / or the transfer of the system to a safe state and / or a reboot of the system. Advantageously, it is proposed that the test described occur simultaneously with the execution of the processing of the data values.

Die Erfindung wird nachfolgend anhand einer Zeichnung näher beschrieben. 1 der Zeichnung zeigt, wie dem Datenwert (2) in einem Datenelement (1) eine Typberechtigungskennung (3) zugeordnet ist. 2 der Zeichnung zeigt eine Ausführungsvariante der Typberechtigungskennung (3), bei der diese als Teilkennung (6) einer Datentypkennung bestehend aus mehreren Teilkennungen (4, 5, 6) ausgeführt ist. Die Reihenfolge der Teilkennungen ist in der Figur nur exemplarisch dargestellt, jede andere Anordnung ist ebenfalls möglich.The invention will be described below with reference to a drawing. 1 the drawing shows how the data value ( 2 ) in a data element ( 1 ) a type authorization identifier ( 3 ) assigned. 2 of the drawing shows a variant of the type authorization identifier ( 3 ), where these are used as a partial identifier ( 6 ) of a data type identifier consisting of several partial identifiers ( 4 . 5 . 6 ) is executed. The order of the partial identifiers is shown in the figure only as an example, any other arrangement is also possible.

Die Erfindung hat gegenüber dem Stand von Wissenschaft und Technik die folgenden Vorteile:

• Die von der Hardware vorteilshafterweise zeitgleich zur Ausführung der eigentlichen Operation durchgeführte Prüfung der Zulässigkeit der Anwendung der auszuführenden Operation auf die Quelldaten führt zu keiner Erhöhung des Laufzeitbedarfs.
• Da die Typberechtigungskennung vorteilshafterweise untrennbar mit dem Datenwert im Datenelement verknüpft ist und mit diesem gespeichert, verarbeitet und übertragen wird, geht die Information auch bei Versand der Daten über Programm- oder Datenverarbeitungseinheitsgrenzen hinweg nicht verloren.
• Da es sich um eine gerätetechnische Lösung handelt, wird die Lösung nur einmal spezifiziert, entworfen, implementiert und getestet. Bei softwarebasierten Lösungen muss dieses Prozedere i.d.R. bei jedem Projekt erneut durchlaufen werden.

The invention has the following advantages over the state of science and technology:

• The advantageously performed by the hardware at the same time for the execution of the actual operation examination of the admissibility of the application of the operation to be performed on the source data does not increase the runtime requirement.
Since the type-authorization identifier is advantageously inseparably linked to the data value in the data element and is stored, processed and transmitted with it, the information is not lost even when the data is sent across program or data processing unit boundaries.
• As it is a device-based solution, the solution is specified, designed, implemented and tested only once. For software-based solutions, this procedure usually has to be repeated for each project.

Am 4. Juni 1996 zerstörte sich die Rakete Ariane 5 nach nur kurzer Flugdauer selbst [6]. Bei der Umwandlung einer 64-Bit-Gleitkommazahl in eine vorzeichenbehaftete 16-Bit-Ganzzahl war es zu einer Überschreitung des Wertebereichs gekommen, weil die horizontale Geschwindigkeit der Ariane 5 deutlich höher war als bei der Ariane 4. Der Fehler wurde durch das Inertiale Navigationssystem, engl. „Inertial Reference System SRI“, als Operandenfehler erkannt und ein Diagnose-Bitmuster zusammen mit korrekten Flugdaten an den Bordrechner gesendet. Dieser interpretierte die Diagnosedaten fehlerhafterweise als Flugdaten. In der Folge steuerte der Bordcomputer die Ablenkdüsen voll aus, wodurch sich die Feststoffzusatztriebwerke von der Hauptstufe lösten und die Selbstzerstörung der Rakete angestoßen wurde. Die Anwendung der in dieser Erfindung beschrieben Merkmale bei der Rakete Ariane 5 hätte unter Umständen die fehlerhafte Interpretation von Diagnosedaten als Flugdaten aufdecken können, wenn die Diagnosedaten mit einer Einschränkung der zulässigen Operationen in einer Typberechtigungskennung versehen worden wären. Die Anwendung der ersten nicht durch die Typberechtigungskennung der Datenelemente der Diagnosedaten gestatteten Operation wäre durch die die Daten verarbeitende Datenverarbeitungseinheit sofort erkannt worden und eine entsprechende Fehlerbehandlung hätte eingeleitet werden können.At the 4 , June 1996, the rocket Ariane destroyed 5 after only a short flight time itself [6]. When converting a 64-bit floating-point number into a signed 16-bit integer, the value range had been exceeded because the Ariane's horizontal velocity 5 was significantly higher than the Ariane 4 , The mistake was made by the inertial navigation system, engl. "Inertial Reference System SRI", detected as an operand error and sent a diagnostic bit pattern together with correct flight data to the on-board computer. This incorrectly interpreted the diagnostic data as flight data. As a result, the on-board computer drove the baffle fully, causing the solid auxiliary engines to disengage from the main stage and initiate the self-destruction of the rocket. The application of the features described in this invention in the rocket Ariane 5 could possibly have detected the erroneous interpretation of diagnostic data as flight data if the diagnostic data had been constrained by the allowable operations in a type authority identifier. The application of the first operation not permitted by the type authentication identifier of the data elements of the diagnostic data would have been recognized immediately by the data processing unit processing the data and a corresponding error handling could have been initiated.

Literatur literature

[1] AEG data processing: TR 4 User's Manual
[2] A. Bradbury, G. Ferris, R. Mullins: Tagged memory and minion cores in the lowRISC SoC; 2014; http://www.lowrisc.org/docs/
[3] S. Chiricescu, A. DeHon, D. Demange, S. Iyer, A. Kliger, G. Morrisett, BC Pierce, H. Reubenstein, JM Smith, GT Sullivan, A. Thomas, J. Tov, CM White , D. Wittenberg: SAFE: A Clean-Slate Architecture for Secure Systems; http://www.crash-safe.org/docs/ HST2013-SAFE.html; 2013
[4] IF Currie: NewSpeak: an unexceptional language; Software Engineering Journal; Vol. 1, Issue 4; Pp. 170-176; 1986
[5] U. Dhawan, A. Kwon, E. Kadric, C. Hriţcu, BC Pierce, JM Smith, G. Malecha, G. Morrisett, TF Knight, Jr., A. Sutherland, T. Hawkins, A. Zyxnfryx, D. Wittenberg, P. Trei, S. Ray, G. Sullivan, A. DeHon: Hardware Support for Safety Interlocks and Introspection; http://www.crash-safe.org/docs/ HWInterlocks-SASO-AHANS2012.html; 2012
[6] J.-L. Lions et al .: Ariane 501 Inquiry Board report; 1996; http://esamultimedia.esa.int/docs/esa-x-1819eng.pdf
[7] J. Teller: Problems of data flow errors; Applied Computer Science, Issue 29, No. 6; Pp. 240-247; 1987

ZITATE ENTHALTEN IN DER BESCHREIBUNG QUOTES INCLUDE IN THE DESCRIPTION

Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.This list of the documents listed by the applicant has been generated automatically and is included solely for the better information of the reader. The list is not part of the German patent or utility model application. The DPMA assumes no liability for any errors or omissions.

Zitierte Nicht-PatentliteraturCited non-patent literature

I. F. Currie: NewSpeak: an unexceptional language; Software Engineering Journal; Vol. 1, Issue 4; Pp. 170-176; 1986
U. Dhawan, A. Kwon, E. Kadric, C. Hriţcu, BC Pierce, JM Smith, G. Malecha, G. Morrisett, TF Knight, Jr., A. Sutherland, T. Hawkins, A. Zyxnfryx, D. Wittenberg, P. Trei, S. Ray, G. Sullivan, A. DeHon: Hardware Support for Safety Interlocks and Introspection; http://www.crash-safe.org/docs/ HWInterlocks-SASO-AHANS2012.html; 2012 [0020]
J.-L. Lions et al .: Ariane 501 Inquiry Board report; 1996; http://esamultimedia.esa.int/docs/esa-x-1819eng.pdf [0020]
J. Teller: Problems of data flow errors; Applied Computer Science, Issue 29, No. 6; Pp. 240-247; 1987

Claims

Data processing unit that generates, processes or uses data consisting of at least one processor having at least one memory in which data is stored in the form of data elements (1), characterized in that for checking the permissibility of an operation to be applied by the processor to particular data the data values (2) contained in the data elements (1) are associated with a type authentication identifier (6) specifying which types of operations that the processor can apply to data are applied to the data (2) present in the data element (1) allowed to.

Data processing unit after Claim 1 , characterized in that the type authorization identifier (6) is inseparably linked to the data value (2) in the data element (1) and is stored, processed and transmitted therewith.

A method for detecting the application of an illegal operation to data in data processing units, comprising at least one processor having at least one memory in which data is stored in the form of data elements (1), characterized in that the processor in addition to performing a data processing operation the Evaluate contents of the type authority identifiers (6) of the data to be processed to ensure that the type authority identifiers (6) of all operands of the operation specify the operation to be permissible.

Method according to Claim 3 , characterized in that the processor in response to the inadmissibility of the operation to be executed in the sequence reports an exception error and / or the data processing unit is transferred to a safe state and / or restarts.