DE102021107364A1

DE102021107364A1 - Sicherheitsvorrichtung und verfahren zum betreiben einer sicherheitsvorrichtung

Info

Publication number: DE102021107364A1
Application number: DE102021107364.2A
Authority: DE
Inventors: Jörg Syassen; Avni BILDHAIYA; Andreas Gräfe; Albrecht Mayer; Manuela Meier; Viola Rieger
Original assignee: Infineon Technologies AG
Current assignee: Infineon Technologies AG
Priority date: 2021-03-24
Filing date: 2021-03-24
Publication date: 2022-09-29
Also published as: US20220309169A1

Abstract

Eine Vorrichtung weist eine Sicherheitsdomäne auf, die eine Verarbeitungseinheit und einen Speicher aufweist und die eingerichtet ist, mindestens eine Funktionalität bereitzustellen und eine oder mehrere Sicherheitsmaßnahmen zum Detektieren von Fehlern zu implementieren. Die Sicherheitsdomäne ist eingerichtet, in Reaktion auf das Detektieren der Fehler mindestens ein Alarm-Signal, welches einen oder mehrere detektierte Fehler anzeigt, zu übermitteln. Die Vorrichtung weist ferner eine Schutzdomäne auf, die eine Verarbeitungseinheit und einen Speicher aufweist und die eingerichtet ist, kryptographische Dienste bereitzustellen und Alarm-Signale zu erhalten. Die Schutzdomäne ist eingerichtet, in Reaktion auf das Erhalten eines Alarm-Signals von der Sicherheitsdomäne schutzbezogene Operationen in einem sicheren Zustand auszuführen.

Description

Technisches Gebiet
Verschiedene Ausführungsformen betreffen allgemein eine Gerätesicherheit.
Hintergrund
Mikrocontroller können eine Schutzdomäne (Security-Domäne) (manchmal z.B. auch als Sicherheits-Hardware-Erweiterung (SHE) oder Hochsicherheitsmodul (HSM) bezeichnet) enthalten, welche im Vergleich zu Chipkarten-Controllern im Allgemeinen sehr wenige Schutzvorkehrungen gegen Fehler-Angriffe bietet. Fehler-Angriffe können aufgrund der Manipulation eines externen Takts, der Manipulation der Versorgung, einschließlich der Einspeisung von Spannungsspitzen, der Verletzung der Betriebstemperatur, etc. erfolgen.
Mikrocontroller können Sensoren zum Überwachen von Versorgungsspannung, Temperatur und Takt aufweisen, aber diese können zu langsam reagieren, um zu verhindern, dass die Schutzdomäne falsche oder fehlerhafte Aktionen, wie beispielsweise ein Öffnen einer Debug-Schnittstelle, ein Hochfahren ohne installierte Schutzvorkehrungen, ein Akzeptieren einer falschen Signatur etc. ausführt. Bessere Schutzmaßnahmen (bessere, schnellere Sensoren oder redundante Implementierungen der Logik in der Schutzdomäne) können zu kostenintensiv oder impraktikabel sein, um in Mikrocontrollern verwendet zu werden.
Figurenliste
In den Zeichnungen beziehen sich die gleichen Bezugszeichen im Allgemeinen auf dieselben Teile in den verschiedenen Ansichten. Die Zeichnungen sind nicht notwendigerweise maßstabsgetreu, sondern der Schwerpunkt liegt im Allgemeinen auf der Veranschaulichung der Prinzipien der Erfindung. In der folgenden Beschreibung werden verschiedene Ausführungsformen der Erfindung beschrieben unter Bezugnahme auf die folgenden Zeichnungen, in denen:

1 und 2 zeigen jeweils ein Diagramm einer Vorrichtung gemäß mindestens einer beispielhaften Ausführungsform der vorliegenden Offenbarung.
3 ist ein Flussdiagramm eines Verfahrens gemäß mindestens einer beispielhaften Ausführungsform der vorliegenden Offenbarung.

Beschreibung
Die folgende ausführliche Beschreibung bezieht sich auf die beigefügten Zeichnungen, welche zur Veranschaulichung spezifische Details und Ausführungsformen, in denen die Erfindung ausgeführt werden kann, zeigen.
Das Wort „beispielhaft“ wird hierin in der Bedeutung von „als ein Beispiel, ein Exemplar oder eine Erläuterung dienend“ verwendet. Jede hierin als „beispielhaft“ beschriebene Ausführungsform bzw. Ausgestaltung ist nicht zwangsläufig als bevorzugt oder vorteilhaft gegenüber anderen Ausführungsformen bzw. Ausgestaltungen zu deuten.
Die Wörter „Vielzahl“ und „mehrere“ in der Beschreibung und den Ansprüchen beziehen sich ausdrücklich auf eine Menge größer als eins. Die Ausdrücke „Gruppe (von)“, „Set [von]“, „Sammlung (von)“, „Abfolge (von)“, „Sequenz (von)“, „Gruppierung (von)“, etc., und dergleichen in der Beschreibung und in den Ansprüchen, falls vorhanden, beziehen sich auf eine Menge gleich oder größer als eins, d.h. ein oder mehrere. Jeder in der Pluralform ausgedrückte Begriff, der nicht ausdrücklich „Vielzahl“ oder „mehrere“ bezeichnet, bezieht sich ebenfalls auf eine Menge, die gleich oder größer als eins ist. Die Ausdrücke „geeignete Teilmenge“, „verringerte Teilmenge“ und „kleinere Teilmenge“ beziehen sich auf eine Teilmenge eines Satzes, welche nicht gleich dem Satz ist, d.h. eine Teilmenge eines Satzes, welche weniger Elemente als der Satz aufweist.
Die Ausdrücke „mindestens ein“ und „ein oder mehrere“ können als eine numerische Menge größer als oder gleich eins (z.B. eins, zwei, drei, vier, [...], etc.) aufweisend verstanden werden.
Die Verwendung von Aufzählungsadjektiven „erste“, „zweite“, „dritte“, etc., wie hierin zum Beschreiben eines gemeinsamen Objekts verwendet, geben, sofern nicht anders spezifiziert, lediglich an, dass auf verschiedene Instanzen gleichartiger Objekte verwiesen wird, und implizieren nicht, dass die derart beschriebenen Objekte in einer bestimmten Reihenfolge stehen müssen, sei es zeitlich, räumlich in der Rangfolge oder auf andere Art und Weise.
Der Ausdruck „Daten“, wie hierin verwendet, kann verstanden werden als Informationen in jeder geeigneten analogen oder digitalen Form aufweisend, z.B. bereitgestellt als eine Datei, einem Teil einer Datei, einen Satz von Dateien, einem Signal oder Datenstrom, einem Teil eines Signals oder Datenstroms, und dergleichen. Ferner kann der Ausdruck „Daten“ auch in der Bedeutung als eine Referenz zu Informationen verwendet werden, z.B. in Form einer Hinweisadresse. Der Ausdruck Daten ist jedoch nicht auf die voranstehend beschriebenen Beispiele beschränkt und kann verschiedene Formen annehmen und jede Information repräsentieren, wie im Stand der Technik verstanden.
Der Ausdruck „Prozessor“ oder „Controller“, wie zum Beispiel hierin verwendet, kann als jede Art von Entität verstanden werden, die ein Handhaben von Daten, Signalen, etc. ermöglicht. Die Daten, Signale, etc. können gemäß einer oder mehreren spezifischen Funktionen, die durch den Prozessor oder Controller ausgeführt werden, gehandhabt werden.
Ein Prozessor oder Controller kann daher eine analoge Schaltung, eine digitale Schaltung, eine Mischsignalschaltung, eine Logikschaltung, einen Prozessor, einen Mikroprozessor, eine zentrale Recheneinheit (CPU), eine neuromorphe Recheneinheit (NCU), eine Grafikverarbeitungseinheit (GPU), einen digitaler Signalprozessor (DSP), eine programmierbare Gatter-Anordnung (FPGA), eine integrierte Schaltung, eine anwendungsspezifische integrierte Schaltung (ASIC), etc., oder irgendeine Kombination davon sein oder aufweisen. Jede andere Art der Implementierung der jeweiligen Funktionen, welche im Folgenden ausführlicher beschrieben werden, können auch als ein Prozessor, ein Controller bzw. eine Logikschaltung verstanden werden. Es wird verstanden, dass zwei (oder mehr) der hierin ausführlich beschriebenen Prozessoren, Controller bzw. Logikschaltungen als eine einzige Entität mit äquivalenter Funktionalität oder dergleichen realisiert sein können und dass umgekehrt jeder hierin ausführlich beschriebene einzelne Prozessor, Controller bzw. Logikschaltung als zwei (oder mehr) separate Entitäten mit äquivalenter Funktionalität oder dergleichen realisiert sein kann.
Eine „Schaltung“, wie hierin verwendet, wird verstanden als jede Art von Logik implementierender Entität, welche Hardware zur besonderen Verwendung oder einen Prozessor, der Software ausführt, aufweisen kann. Eine Schaltung kann daher eine analoge Schaltung, eine digitale Schaltung, eine Mischsignalschaltung, eine Logikschaltung, ein Prozessor, ein Mikroprozessor, ein Signalprozessor, eine zentrale Recheneinheit („CPU“), eine Grafikverarbeitungseinheit („GPU“), eine neuromorphe Recheneinheit (NCU), ein digitaler Signalprozessor („DSP“), eine programmierbare Gatter-Anordnung (FPGA), eine integrierte Schaltung, eine anwendungsspezifische integrierte Schaltung (ASIC), etc., oder irgendeine Kombination davon sein oder aufweisen. Jede andere Art der Implementierung der jeweiligen Funktionen, welche im Folgenden ausführlicher beschrieben werden, kann auch als eine „Schaltung“ verstanden werden. Es wird verstanden, dass zwei (oder mehr) der hierin ausführlich beschriebenen Schaltungen als eine einzige Entität mit im Wesentlichen äquivalenter Funktionalität realisiert sein können. Umgekehrt kann jede hierin ausführlich beschriebene einzelne Schaltung als zwei (oder mehr) separate Entitäten mit im Wesentlichen äquivalenter Funktionalität realisiert sein. Darüber hinaus können sich Bezüge zu einer „Schaltung“ auf zwei oder mehr Schaltungen, die zusammen eine einzige Schaltung bilden, beziehen.
Die hierin verwendeten Ausdrücke „Modul“, „Komponente,“ „System“, „Schaltung“, „Element“, „Teil“ „Schaltkreis“ und dergleichen beziehen sich auf einen Satz ein oder mehrerer elektronischer Komponenten, einer computerbezogenen Entität, Hardware, Software (z.B. in Ausführung), und/oder Firmware. Zum Beispiel kann eine Schaltung oder ein ähnlicher Ausdruck ein Prozessor, ein auf einem Prozessor laufender Prozess, ein Controller, ein Objekt, ein ausführbares Programm, eine Speichervorrichtung und/oder ein Computer mit einer Verarbeitungs-Vorrichtung sein. Zur Veranschaulichung: eine auf einem Server laufende Anwendung und der Server können auch eine Schalung sein. Eine oder mehrere Schaltungen können sich innerhalb derselben Schaltung befinden und eine Schaltung kann auf einem Computer und/oder verteilt zwischen zwei oder mehr Computern lokalisiert sein. Ein Satz von Elementen oder ein Satz von anderen Schaltungen kann hierin beschrieben werden, wobei der Ausdruck „Satz“ als „ein oder mehrere“ interpretiert werden kann.
Wie hierin verwendet, kann ein „Signal“ durch eine Signalkette übertragen bzw. geleitet werden, in welcher das Signal verarbeitet wird, um Charakteristika, wie beispielsweise eine Phase, eine Amplitude, eine Frequenz usw., zu verändern. Das Signal kann als das selbe Signal bezeichnet werden, auch wenn solche Charakteristika adaptiert werden. Solange ein Signal weiterhin dieselben Informationen codiert, kann das Signal im Allgemeinen als dasselbe Signal betrachtet werden.
Wie hierin verwendet, kann ein Signal, das einen Wert oder andere Informationen „anzeigt“ ein digitales oder analoges Signal sein, das den Wert bzw. die anderen Informationen in einer Art und Weise codiert oder anderweitig übermittelt, die von einer anderen Komponente, die das Signal empfängt, decodiert werden und/oder eine Reaktion dieser veranlassen kann. Das Signal kann vor dem Empfang durch die empfangende Komponente in einem computerlesbaren Speichermedium gespeichert oder gepuffert werden. Die empfangende Komponente kann das Signal aus dem Speichermedium abrufen. Ferner kann ein „Wert“, der eine Menge, einen Zustand oder einen Parameter „anzeigt“ physisch als ein digitales Signal, ein analoges Signal oder gespeicherte Bits ausgeführt sein, die den Wert codiert oder anderweitig kommunizieren.
Es wird verstanden, dass, wenn ein Element als mit einem anderen Element „verbunden“ oder „gekoppelt“ beschrieben wird, das Element mit dem anderen Element derart physisch verbunden bzw. gekoppelt sein kann, dass Strom und/oder elektromagnetische Strahlung (z.B. ein Signal) entlang eines durch die Elemente gebildeten elektrisch leitenden Pfads fließen kann. Zwischen dem Element und dem anderen Element können, wenn die Elemente als zueinander gekoppelt bzw. verbunden beschrieben werden, dazwischenliegende elektrisch leitende, induktive oder kapazitive Elemente vorhanden sein. Ferner kann ein Element ohne ein physischer Kontakt oder dazwischenliegende Komponenten imstande sein, einen Spannungs- oder Stromfluss oder eine Ausbreitung einer elektromagnetischen Welle in dem anderen Element zu induzieren, wenn diese zueinander gekoppelt bzw. verbunden sind. Ferner kann, wenn eine Spannung, ein Strom oder ein Signal als an ein Element „angelegt“ beschrieben wird, die Spannung, der Strom bzw. das Signal über eine physische Verbindung oder mittels einer kapazitiven, elektromagnetischen oder induktiven Kopplung, welche keine physische Verbindung beinhaltet, zu dem Element geleitet werden.
Wie hierin verwendet, kann „Speicher“ als ein nicht-transitorisches computerlesbares Medium verstanden werden, in welchem Daten oder Informationen zum Abruf gespeichert werden können. Hierin enthaltene Bezugnahmen auf „Speicher“ können daher verstanden werden als bezugnehmend auf einen flüchtigen oder nicht-flüchtigen Speicher, aufweisend einen Direktzugriffsspeicher („RAM“), einen Festwertspeicher („ROM“), einen Flash-Speicher, einen Halbleiterspeicher, ein Magnetband, eine Festplatte, ein optisches Laufwerk, etc., oder irgendeine Kombination davon. Ferner sollen hierin Register, Schiebe-Register, Prozessor-Register, Daten-Puffer, etc. ebenfalls unter den Ausdruck Speicher fallen. Eine einzelne als „Speicher“ oder „ein Speicher“ bezeichnete Komponente kann aus mehr als einer unterschiedlichen Art von Speicher bestehen und kann sich daher auf eine kollektive Komponente, die eine oder mehrere Arten von Speichern aufweist, beziehen. Jede einzelne Speicher-Komponente kann in mehrere kollektiv äquivalente Speicher-Komponenten aufgeteilt werden, und vice versa. Obgleich ein Speicher separat von ein oder mehreren anderen Komponenten dargestellt werden kann (beispielsweise in den Zeichnungen), wird ferner verstanden, dass der Speicher in einer anderen Komponente integriert sein kann, wie beispielsweise auf einem gemeinsamen integrierten Chip oder einem Controller mit einem eingebetteten Speicher.
Der Begriff „Software“ bezieht sich auf jede Art von ausführbarer Instruktion, einschließlich Firmware.
Beispielhafte Ausführungsformen der vorliegenden Offenbarung können durch einen oder mehrere Computer (bzw. Rechenvorrichtungen) realisiert werden, welche auf einem Speichermedium (z.B. ein nicht-transitorisches computerlesbares Speichermedium) gespeicherte computer-ausführbare Instruktionen lesen und ausführen, um die Funktionen von einer oder mehreren hierin beschriebenen Ausführungsform(en) der Offenbarung auszuführen. Der/die Computer kann/können eine oder mehrere einer zentralen Recheneinheit (CPU), einer Mikroprozessoreinheit (MPU) oder anderer Schaltungen aufweisen oder beinhalten und kann/können ein Netzwerk separater Computer oder separater Computer-Prozessoren aufweisen. Die computerausführbaren Instruktionen können zu dem Computer zum Beispiel von einem Netzwerk oder einem nicht-flüchtigen computerlesbaren Speichermedium bereitgestellt werden. Das Speichermedium kann zum Beispiel eines oder mehrere von einer Festplatte, einem Direktzugriffsspeicher (RAM), einem Nurlese-Speicher (ROM), einem Speicher verteilter Computersysteme, einem optischen Laufwerk (wie beispielsweise einer CD (Compact-Disk), einer DVD (Digital-Versatile-Disk) oder einer Blu-ray-Disk (BD)), einer Flashspeicher-Vorrichtung, einer Speicherkarte, und dergleichen aufweisen. Zur Veranschaulichung werden spezifische Details und Ausführungsformen, in denen die Erfindung ausgeführt werden kann, beschrieben.
1 zeigt ein Diagramm, welches eine integrierte Verarbeitungs-Vorrichtung 10 darstellt. Einige Beispiele der integrierten Verarbeitungs-Vorrichtung 10 bzw. einfach Vorrichtung 10 können ein Mikrocontroller / eine Mikrocontroller-Einheit, ein Mikroprozessor und dergleichen sein oder aufweisen. Die Vorrichtung 10 kann eine Vielzahl von zusammengestellten bzw. im Wesentlichen zusammengestellten Komponenten aufweisen. In dem Beispiel von 1 weist die Vorrichtung 10 eine Sicherheitsdomäne (Safety-Domäne) 100, eine Schutzdomäne (Security-Domäne) 200 und ein oder mehrere anderen Komponenten oder Merkmale 300 auf, welche zusammengestellt bzw. im Wesentlichen zusammengestellt sein können.
Gemäß beispielhaften Ausführungsformen der vorliegenden Offenbarung kann die Sicherheitsdomäne 100 Sicherheitsmaßnahmen zum Detektieren von Fehlern, beispielsweise zufälliger Hardware, die aus unsachgemäßen oder falschen Betriebsbedingungen stammt, aufweisend, aufweisen. Zum Beispiel kann die Sicherheitsdomäne 100 Sensoren verwenden, welche zu der Schutzdomäne 200 verbunden sein können, um so zu verhindern, dass die Sicherheitsdomäne 100 aufgrund dieser falschen oder manipulierten Betriebsbedingungen falsche oder fehlerhafte Entscheidungen trifft.
Die hierin beschriebene Sicherheitsdomäne 100 kann einen oder mehrere Prozesse ausführen, um so eine oder mehrere Funktionalitäten der Vorrichtung 10 bereitzustellen bzw. auszuführen. Die Prozesse bzw. Funktionalitäten können durch eine oder mehrere Sicherheitsmaßnahmen geschützt sein, welche sicherstellen, dass die Hardware-Fehler mit einer hohen Wahrscheinlichkeit detektiert werden, beispielsweise gemäß den Anforderungen eines festgesetzten Sicherheits-Standards. Die ausgeführten Prozesse bzw. Funktionalitäten (z.B. der Zweck der Vorrichtung 10) können Steuer-Funktionen aufweisen, wie beispielsweise ein Steuern eines Fahrzeugs, ein Steuern eines Motors, z.B. eines Fahrzeugs, ein Steuern von Bremsen eines Fahrzeugs, etc. In anderen Fällen können die Prozesse bzw. Funktionalitäten ein Extrahieren von Daten von Radar-Messungen oder jeder anderen Anwendung aufweisen.
Die Sicherheitsdomäne 100 kann mindestens eine Verarbeitungseinheit (z.B. Prozessor/CPU) und einen oder mehrere Speicher (z.B. RAM) zum Speichern von Daten enthalten. Ferner kann die Sicherheitsdomäne 100 anwendungsspezifische Peripheriegeräte haben, wie beispielsweise für eine Kommunikation (z.B. Ethernet, CAN (Controller Area Network), FlexRay, serielle Peripherie-Schnittstelle (SPI), etc.), zum Empfangen von Sensordaten (SENT (Single Edge Nibble Transmission), Peripherie-Sensor-Schnittstelle 5 (PSI5)), zum Anschließen externer Speicher (z.B. eine externe Bus-Einheit (EBU), SDMMC (Secure Digital/MultiMediaCard), NOR Flash), zum Messen von Ereignissen und zum Antreiben von Pulsweitenmodulations-(PWM)-Daten (Zeitgebereinheit) und/oder zum Messen oder Antreiben analoger Werte (Analog-zu-Digital (ADC), Digital-zu-Analog (DAC)).
Die Sicherheitsdomäne 100 kann ihren eigenen nicht-flüchtigen Speicher für Code und Daten enthalten. Ein Prozessor der Sicherheitsdomäne 100 kann den Code ausführen, um Prozesse auszuführen und hierin beschriebene verschiedene Funktionen durchzuführen.
Für Sicherheits-Zwecke kann die Sicherheitsdomäne 100 eine Einheit oder eine Schaltung aufweisen, die detektierten Alarme (z.B. Alarm-Signale) erfasst und die eingerichtet ist, vordefinierte Aktionen (integrierte Verarbeitungs-Vorrichtung/Mikrocontroller zurücksetzen, CPU unterbrechen, ein Signal für einen Sicherheits-Alarm nach außen) auf solche Alarme auszuführen oder zu initiieren.
Wie in 1 gezeigt, weist die Vorrichtung ferner die Schutzdomäne 200 auf, welche kryptographische Dienste und/oder eine Funktionalität bzw. einen Prozess zur Sicherheitsüberwachung bereitstellen kann. Ein Zweck der Schutzdomäne 200 kann sein, kryptographische Schlüssel vor einem Zugriff bzw. einem unautorisierten Zugriff, wie beispielsweise durch die Sicherheitsdomäne 100, zu schützen. Diese Funktionalität bzw. dieser Schutz-Dienst kann als eine feste Funktions-Einheit realisiert sein, die einen bestimmten Standard, wie eine sichere Hardware-Erweiterung (SHE) einer Herstellerinitiativen Software (HIS), implementiert.
Die Schutzdomäne 200 kann auch ihren eigene CPU, eigenen Speicher (z.B. RAM) enthalten und kann Peripheriegeräte, wie beispielsweise kryptographische Beschleuniger, Zufallszahlengeneratoren, etc., aufweisen. Ferner kann die Schutzdomäne 200 einen Kryptographischen-Schlüssel-Speicher und einen Speicher für Code und Daten aufweisen. Zum Beispiel kann sich die Schutzdomäne 200 von der Sicherheitsdomäne 100 zumindest teilweise darin unterscheiden, dass diese kryptographischen Dienste bereitstellt und kryptographische Schlüssel aufweist, wohingegen die Sicherheitsdomäne solche Dienste nicht bereitstellt oder aufweist bzw. keine kryptographischen Schlüssel aufweist.
Die Schutzdomäne 200 kann, wie die Sicherheitsdomäne 100, eine Einheit enthalten, die detektierte Alarme (z.B. Alarm-Signale) erfasst und die vordefinierten Aktionen (die Schutzdomäne zurücksetzen, die Schutz-CPU unterbrechen, Schlüssel blockieren) in Reaktion auf die Alarme ausführt.
Die Sicherheitsdomäne 100 und die Schutzdomäne 200 können mit einer Kommunikations-Schnittstelle verbunden sein, welche zum Beispiel ein Datenbus der Vorrichtung 10, beispielsweise ein Teil des Datenbus-Systems, sein kann.
Gemäß beispielhaften Ausführungsformen der vorliegenden Offenbarung kann die Sicherheitsdomäne 100 einen Fehler detektieren und ein Alarm-Signal zu der Schutzdomäne 200 senden. Die Schutzdomäne 200 kann Aktionen ausführen, so als wenn die Schutzdomäne selbst einen Fehler (Hardware oder Software) detektiert hätte.
2 ist ein Diagramm, das Aspekte der Vorrichtung 10 gemäß beispielhaften Ausführungsformen der vorliegenden Offenbarung detaillierter darstellt. 2 zeigt die Vorrichtung 10, welche eine Sicherheitsdomäne 100, eine Schutzdomäne 200 und andere Komponenten 300 aufweist.
In 2 weist die Sicherheitsdomäne 100 Komponenten, wie beispielsweise eine Sicherheits-Funktionalität 110, eine Sicherheitsmaßnahme 120, ein Sicherheits-Alarm-Management 130 und ein anderes Peripheriegerät bzw. andere Peripheriegeräte 140, auf. Die Sicherheitsdomäne 100 kann eine Kommunikations-Schnittstelle 150 aufweisen, welche ein oder mehrere Datenbusse sein kann, die ein Koppeln der anderen Komponenten miteinander ermöglichen. Die in 2 gezeigten Verbindungen sind beispielhaft und andere oder alternative Verbindungen der Komponenten sowie Schnittstellen können realisiert sein.
Die Sicherheits-Funktionalität 110 kann jede geeignete oder angebrachte Kombination von Hardware- und Software-Komponenten sein, die eingerichtet sind, eine oder mehrere Aktionen, Funktionen oder Operationen auszuführen oder zu implementieren. In einigen Fällen kann die Sicherheits-Funktionalität 110 eine oder mehrere Aktionen zum Steuern von Komponenten eines Fahrzeugs, beispielsweise ein Steuern eines Motors, vom Bremsen, etc. eines Fahrzeugs aufweisend, aufweisen. In anderen Beispielen kann die Sicherheits-Funktionalität 110 eingerichtet sein, erlangte Sensordaten zu verarbeiten, beispielsweise aufweisend ein Extrahieren und/oder Verarbeiten von Daten von Radar-Messungen. Die Sicherheits-Funktionalität 110 kann durch eine Verarbeitungsschaltung, z.B. Prozessor(en)/digitale Schaltungen, und einen Speicher zum Speichern von Daten oder Code implementiert sein.
Die Sicherheitsdomäne 100 von 2 weist ferner die Sicherheitsmaßnahme 120 auf, welche eine Komponente sein kann, die für das Überwachen und Detektieren von Fehlern, z.B. Hardware- und/oder Software-Fehlern der Sicherheitsdomäne 100, verantwortlich ist. Die durch die Sicherheitsmaßnahmen 120 detektierten Fehler können von unsachgemäßen oder falschen Betriebsbedingungen stammen. Die Sicherheitsmaßnahmen 120 können durch jede geeignete Kombination von Hardware und Software, die eingerichtet ist, Fehler der Vorrichtung 10 zu detektieren oder zu ermitteln, realisiert sein. Die Fehler können detektiert werden, indem Daten bezüglich der Betriebsbedingungen, beispielsweise Temperatur, Spannung, Taktsignale und dergleichen, beobachtet werden. Andere Aktionen zum Ermitteln oder Feststellen können aufweisen, dass die Sicherheitsdomäne 100 in einem Lockstep-Modus arbeitet. Zum Beispiel arbeiten die ein oder mehreren Prozessoren der Sicherheitsdomäne 100 für eine Zeitdauer oder bis der Fehler behoben oder entfernt wurde in einem Lockstep. In solchen Fällen können die in Lockstep arbeitenden Komponenten parallel zueinander und im Wesentlichen gleichzeitig, oder von einem klar definierten Zustand zum nächsten klar definierten Zustand arbeiten bzw. ausführen. Zum Beispiel während des Locksteps als ein Zyklus-zu-Zyklus Vergleich der Ausgaben der Lockstep-CPU mit den Ausgaben einer anderen „produktiven“ CPU.
Die Sicherheitsmaßnahme-Komponente 120 kann auch ein redundantes Codieren von Daten in der Sicherheitsdomäne 100 veranlassen oder implementieren. Also kann die Sicherheitsdomäne 100 oder Komponenten dieser Daten, die durch die Sicherheitsdomäne 100, z.B. zu einer anderen Komponente oder einer anderen Vorrichtung, übermittelt werden sollen, redundant codieren. Zum Beispiel kann die Sicherheitsmaßnahme-Komponente Fehler-Code-Korrektur-(ECC)-Schutzvorkehrungen, z.B. für Kommunikations-Schnittstellen der Vorrichtung 10, beispielsweise einem Haupt-Datenbus der Vorrichtung 10, implementieren. Dies kann verwendet werden zum Ermitteln oder Erkennen von Hardware/Software-Fehlern, wie beispielsweise der Detektion von Übertragungs-Fehlern, z.B. auf dem Chip oder außerhalb des Chips.
In Reaktion auf das Detektieren eines Fehlers können ein oder mehrere Signale (Alarm-Signale) durch die Sicherheitsmaßnahme 120 zu anderen Komponenten oder anderen Vorrichtungen gesendet werden. Zum Beispiel kann die Sicherheitsmaßnahme 120 ein oder mehrere Signale intern zu dem Sicherheits-Alarm-Management 130 senden.
Das Sicherheits-Alarm-Management 130 kann eine Komponente sein, die für das Initiieren oder Implementieren von (vordefinierten) Aktionen in Reaktion auf ein formiert werden, dass es eine Störung oder einen Fehler gibt, verantwortlich ist. Zum Beispiel können eine oder mehrere Abhilfe- oder Sicherheits-Aktionen in Reaktion auf ein Erlangen oder Empfangen eines Alarm-Signals von der Sicherheitsmaßnahme-Komponente ausgeführt werden. Die Aktionen können vordefinierte Aktionen sein, die in Reaktion auf die Alarm-Signale automatisch ausgeführt werden können. Solche Aktionen können aufweisen, dass die Sicherheitsdomäne 100 in einem Lockstep-Modus arbeitet. Zum Beispiel arbeiten die ein oder mehreren Prozessoren der Sicherheitsdomäne 100 für eine Zeitdauer oder bis der Fehler behoben oder entfernt wurde in einem Lockstep. In solchen Fällen können die in Lockstep arbeitenden Komponenten parallel zueinander und im Wesentlichen gleichzeitig, oder von einem klar definierten Zustand zum nächsten klar definierten Zustand arbeiten bzw. ausführen.
Das Sicherheits-Alarm-Management 130 kann Aktionen, wie beispielsweise ein Zurücksetzen der Vorrichtung 10 oder anderer Komponenten davon, ein Implementieren einer Unterbrechungs-Dienst-Routine, z.B. für einen oder mehrere Prozessoren der Sicherheitsdomäne 100, und ein Senden oder Übermitteln von Sicherheits-Alarm-Signalen zu anderen Vorrichtungen/Komponenten, aufweisen.
Das Sicherheits-Alarm-Management 130 kann Alarm-Signale von anderen Komponenten (z.B. Peripheriegeräte 140), die Störungen oder Fehler anzeigen, empfangen und sammeln.
Die Sicherheitsdomäne 100 kann ein oder mehrere Peripheriegeräte 140 aufweisen, wie beispielsweise anwendungsspezifische Komponenten, Sensor-Vorrichtungen, etc. Sensor-Vorrichtungen können verwendet werden zum Erlangen von Sensordaten, können anwendungsspezifischen Zwecken dienen oder können in anderen Fällen Daten bezüglich einer Betriebsbedingung der Vorrichtung 10 oder der Sicherheitsdomäne 100 erlangen.
Die Schutzdomäne 200 von 2 kann eine Schnittstelle zu der Sicherheitsdomäne 210, Peripheriegeräte 220, einen Schlüssel-Speicher 230, einen Speicher (z.B. RAM) 240, eine Verarbeitungseinheit 250 (z.B. eine CPU), ein Schutz-Alarm-Management 260 und eine Kommunikations-Schnittstelle 270 aufweisen. Die Schnittstelle 210 kann jede geeignete Schnittstelle zum Ermöglichen einer Kommunikation zwischen der Sicherheitsdomäne 100 und der Schutzdomäne 200 sein.
Die Schutzdomäne 200 kann auch Peripheriegeräte 220 aufweisen, welche jeweils jede geeignete Komponente sein kann, aufweisend Komponenten zum Implementieren von Schutz bzw. kryptographischen Diensten oder anderen anwendungsspezifischen Funktionen. Die Schutzdomäne 200 kann kryptographische Schlüssel in einem Schlüssel-Speicher 230 speichern.
Zusätzlich kann die Schutzdomäne 200 einen Speicher 240 und eine Verarbeitungseinheit 250 aufweisen, die verwendet werden können zum Ausführen bestimmter Aktionen oder Operationen. Die Verarbeitungseinheit kann ein oder mehrere Prozessoren (z.B. CPU) oder Prozessor-Kerne sein. Zum Beispiel kann die Vorrichtung 10 in einem Fall einen Prozessor aufweisen, der eine Vielzahl von Prozessor-Kernen aufweist. Eine Teilmenge der Prozessor-Kerne kann exklusiv der Schutzdomäne 200 zugeordnet sein, wohingegen eine andere, davon verschiedene, Teilmenge der Prozessor-Kerne anderen Komponenten, z.B. der Sicherheitsdomäne 100, zugeordnet sein kann bzw. von diesen verwendet werden kann.
Die Schutzdomäne 200 kann ein Schutz-Alarm-Management 260 aufweisen, welches eine Komponente sein kann, die in Reaktion auf das Detektieren von Vorrichtungs-Fehlern (Hardware, Software, etc.) und/oder von Betriebsbedingungs-Verletzungen schutzbezogene Aktionen initiiert oder implementiert. Anders ausgedrückt, kann das Schutz-Alarm-Management 260 die Schutzdomäne 200 veranlassen oder einrichten, in einem sicheren Zustand zu arbeiten und/oder eine oder mehrere schutzbezogene Aktionen auszuführen. Zum Beispiel implementiert das Schutz-Alarm-Management 260 Aktionen, z.B. schutzbezogene Aktionen oder Operationen, welche spezifisch für die Schutzdomäne 200 sind bzw. dieser zugeschnitten sind. In manchen Fällen kann das Schutz-Alarm-Management 260 Aktionen ähnlich zu dem Sicherheits-Alarm-Management 130 implementieren. Die implementierten Aktionen können vordefiniert oder vorbestimmt sein.
Das Schutz-Alarm-Management 260 kann ein Unterbrechungs-Signal implementieren, das die Ausführung einer Unterbrechungs-Routine bewirkt, z.B. durch die Verarbeitungseinheit 250 oder irgendwelche anderen Entitäten der Schutzdomäne 200. Die Unterbrechungs-Routine kann jede geeignete Routine sein, die ausgeführt werden kann, um schutzbezogene Schutzvorkehrungen zu implementieren.
Ferner kann das Schutz-Alarm-Management 260 andere für die Schutzdomäne spezifische Aktionen implementieren oder initiieren, beispielsweise aufweisend ein Schützen des Zugriffs zu kryptographischen Schlüsseln und Diensten. Das Schutz-Alarm-Management 260 kann einen Zugriff auf und eine Verwendung von in dem Schlüssel-Speicher 230 gespeicherten kryptographischen Schlüssel zu verhindern, beispielsweise indem ein Zugriff zu in der Schlüssel-Speicher-Komponente 230 gespeicherten Schlüsseln gestoppt bzw. geblockt wird. In anderen Fällen kann das Schutz-Alarm-Management 260 die kryptographischen Schlüssel löschen oder deren Löschung veranlassen, um einen unautorisierten Zugriff bzw. eine unautorisierte Verwendung zu verhindern.
Das Schutz-Alarm-Management 260 kann eine Aktion initiieren, die eine Kommunikation zu und von der Schutzdomäne 200 beschränkt oder blockiert, indem Kommunikations-Schnittstellen, beispielsweise mit der Schutzdomäne 260 gekoppelte externe Schnittstellen, gesperrt werden.
Ferner kann das Schutz-Alarm-Management 260 die Aktionen der auszuführenden Aktionen, z.B. mittels der Schutzdomäne 200, verändern. In einem Beispiel kann das Schutz-Alarm-Management veranlassen, dass eine oder mehrere mittels der Schutzdomäne 200 geplante Aktionen nicht ausgeführt werden oder dass die Ausführung solcher geplanten Aktionen verzögert wird.
Gemäß beispielhaften Ausführungsformen der vorliegenden Offenbarung kann die Sicherheitsdomäne 100 unabhängig von der Schutzdomäne 200 sein, aber kann zumindest eine gemeinsame Umgebung, z.B. in einer Vorrichtung, teilen. Also können die Komponenten oder Operationen der Sicherheitsdomäne 100 physisch und/oder funktional unabhängig von bzw. ohne irgendeinen Überlapp mit der Schutzdomäne 200 sein.
In einem Fall können die Sicherheitsdomäne 100 und die Schutzdomäne 200 physisch separat lokalisiert sein. Zum Beispiel können die Sicherheitsdomäne 100 und die Schutzdomäne 200 als verschiedene bzw. getrennte Halbleiterchips realisiert sein. In anderen Fällen können die Sicherheitsdomäne 100 und die Schutzdomäne 200 auf demselben Halbleitersubstrat, aber in verschiedenen physischen Hardware-Komponenten ohne Überlapp bzw. ohne Verwendung derselben Ressourcen, realisiert und lokalisiert sein.
In anderen Fällen können die Sicherheitsdomäne 100 und die Schutzdomäne 200 eine Komponente teilen, aber in dem Sinne der Verwendung gegenseitig ausschließlicher oder verschiedener Aspekte einer solchen Komponente. Also kann ein Prozessor, der mehrere Kerne aufweist, als Teil der Sicherheitsdomäne 100 und der Schutzdomäne 200 verwendet werden. Allerdings kann die Sicherheitsdomäne 100 unabhängig von der Schutzdomäne 200 sein, wobei die Sicherheitsdomäne 100 eine verschiedene bzw. separate Teilmenge der Kerne des Prozessors von der Schutzdomäne 200 verwendet oder aufweist. In solchen Fällen werden die Sub-Komponenten einer Hardware-Komponente nicht zwischen der Sicherheitsdomäne 100 und der Schutzdomäne 200 geteilt.
Ferner kann die Sicherheitsdomäne 100 unter Verwendung von Taktsignalen mit einer hohen Taktfrequenz 200 implementiert sein. Ferner können die Sicherheitsmaßnahmen 120 der Sicherheitsdomäne 100 kontinuierlich bzw. im Wesentlichen kontinuierlich aktiv sein und können eingerichtet sein, dass der Fehlerdetektions-Umfang, welcher mittels des IS026262-Standards vorgeschriebenen sein kann, eingehalten wird.
Demgegenüber arbeitet die Schutzdomäne 200 mit bzw. verwendet Taktsignale, die eine kleinere Taktfrequenz als die von der Sicherheitsdomäne 100 verwendeten Taktsignale haben, und hat im Allgemeinen weniger Aktivität als die Sicherheitsdomäne. Als Folge gibt es weniger Überwachung. Dementsprechend ist die Sicherheitsmaßnahme 120 der Sicherheitsdomäne 100 als die mittels der Schutzdomäne 200 durchgeführt Überwachung. Daher ist es wahrscheinlicher, dass Sicherheitsmaßnahmen der Sicherheitsdomäne 100 einen Alarm bzw. ein Alarm-Signal erzeugen, bevor (rechtzeitig und in dem Ausmaß des Fehlers oder der Betriebsbedingungs-Verletzung) sich die Schutzdomäne 200 fehlerhaft verhält.
In Ausführungsformen der vorliegenden Offenbarung können daher mittels der Sicherheitsdomäne 100 (in Reaktion auf das Detektieren eines Fehlers oder von Betriebsbedingungs-Verletzungen) erzeugte Alarm-Signale 160 weitergeleitet werden, so dass diese mittels der Schutzdomäne 200 erhalten werden können.
Wie in dem Beispiel von 2 gezeigt, kann das Alarm-Signal 160 bzw. können die Alarm-Signale 160 durch die Sicherheitsdomäne 100 mittels jedes geeigneten Mittels oder jeder geeigneten Schnittstelle(n) zu der Schutzdomäne 100 und im Speziellen zu dem Schutz-Alarm-Management 260 gesendet werden. In Reaktion auf das Erhalten des Alarm-Signals bzw. der Alarm-Signale kann das Schutz-Alarm-Management 260 dann initiieren bzw. die Schutzdomäne 200 veranlassen, in einem sicheren Zustand zu arbeiten und eine oder mehrere hierin beschriebene schutzbezogene Operationen zu implementieren.
3 ist ein beispielhaftes Verfahren 300 gemäß mindestens einer Ausführungsform der vorliegenden Offenbarung. Das Verfahren weist, in 310, ein Bereitstellen einer oder mehrerer Funktionalitäten durch die Sicherheitsdomäne und, in 320, ein Bereitstellen eines oder mehrerer kryptographischer Dienste durch die Schutzdomäne auf. Das Verfahren weist ferner, in 330, ein Detektieren eines oder mehrerer Fehler (Hardware und/oder Software) oder ein Detektieren sicherheitsbezogener Betriebsbedingungs-Verletzungen durch die Sicherheitsdomäne auf. In 340 weist das Verfahren in Reaktion auf das Detektieren der ein oder mehreren Fehler (bzw. sicherheitsbezogenen Betriebsbedingungs-Verletzungen) ein Übermitteln mindestens eines Alarm-Signals, welches mindestens einen Fehler anzeigt, durch die Sicherheitsdomäne auf. In 350 weist das Verfahren ein Erhalten des mindestens einen Alarm-Signals, welche den mindestens einen Fehler anzeigt, durch die Schutzdomäne auf. Das Verfahren weist, in 360, ein Ausführen, durch die Schutzdomäne, mindestens einer schutzbezogenen Operation in mindestens einem sicheren Zustand in Reaktion auf das Erhalten des mindestens einen Alarm-Signals von der Sicherheitsdomäne auf.
Die folgenden Beispiele beziehen sich auf weitere Aspekte der Offenbarung:

Beispiel 1 ist eine integrierte Verarbeitungs-Vorrichtung aufweisend: eine Sicherheitsdomäne, die mindestens eine Verarbeitungseinheit und einen Speicher aufweist und die eingerichtet ist, einen oder mehrere Prozesse auszuführen, ein oder mehrere Peripheriegeräte zu steuern und eine oder mehrere Sicherheitsmaßnahmen zum Detektieren ein oder mehrerer Hardware-Fehler bereitzustellen; wobei die Sicherheitsdomäne eingerichtet ist, mindestens ein Alarm-Signal, welches die Detektion von Hardware-Fehlern anzeigt, zu übermitteln; und eine Schutzdomäne, die mindestens eine Verarbeitungseinheit und einen Speicher aufweist und die eingerichtet ist, einen oder mehrere kryptographische Dienste bereitzustellen und ein oder mehrere Alarm-Signale zu erhalten, wobei die Schutzdomäne ferner eingerichtet ist, in Reaktion auf ein Erhalten der ein oder mehreren Alarm-Signale eine oder mehrere schutzbezogene Operationen in mindestens einem sicheren Zustand auszuführen, wobei die ein oder mehreren Alarm-Signale mindestens ein Alarm-Signal von der Sicherheitsdomäne aufweisen.
Beispiel 2 ist der Gegenstand von Beispiel 1, wobei die Schutzdomäne unabhängig von der Sicherheitsdomäne arbeiten kann.
Beispiel 3 ist der Gegenstand von Beispiel 1 oder 2, wobei die Schutzdomäne physisch getrennt von der Sicherheitsdomäne sein kann.
Beispiel 4 ist der Gegenstand nach einem der Beispiele 1 bis 3, wobei die Schutzdomäne eingerichtet sein kann, die ein oder mehreren schutzbezogenen Operationen, welche aufweisen, dass die Schutzdomäne in der Schutzdomäne gespeicherte kryptographische Schlüssel löscht, auszuführen.
Beispiel 5 ist der Gegenstand nach einem der Beispiele 1 bis 4, eingerichtet sein kann, die ein oder mehreren schutzbezogenen Operationen, welche aufweisen, dass die Schutzdomäne ein Schutz-Unterbrechungs-Signal sendet, auszuführen.
Beispiel 6 ist der Gegenstand nach einem der Beispiele 1 bis 4, eingerichtet sein kann, die ein oder mehreren schutzbezogenen Operationen, welche aufweisen, dass die Schutzdomäne ein oder mehrere Einstellungen der Schutzdomäne zurücksetzt, auszuführen.
Beispiel 7 ist der Gegenstand nach einem der Beispiele 1 bis 4, eingerichtet sein kann, die ein oder mehreren schutzbezogenen Operationen, welche aufweisen, dass die Schutzdomäne eine oder mehrere externe Schnittstellen der Schutzdomäne sperrt, auszuführen.
Beispiel 8 ist der Gegenstand nach einem der Beispiele 1 bis 7, eingerichtet sein kann, die ein oder mehreren schutzbezogenen Operationen, welche aufweisen, dass die Schutzdomäne für zumindest eine vordefinierte Zeitperiode eine oder mehrere vorher geplante Aktionen nicht ausführt oder deren Ausführung verzögert.
Beispiel 9 ist der Gegenstand nach einem der Beispiele 1 bis 8, wobei mindestens eine erste Eingabe/Ausgabe-Schnittstelle ausschließlich mit der Sicherheitsdomäne gekoppelt sein kann und mindestens eine zweite Eingabe/Ausgabe-Schnittstelle ausschließlich mit der Schutzdomäne gekoppelt sein kann.
Beispiel 10 ist der Gegenstand nach einem der Beispiele 1 bis 9, ferner aufweisend einen ersten Chip, welcher die Sicherheitsdomäne aufweist und einen zweiten Chip, welcher die Schutzdomäne aufweist, wobei der zweite Chip separat von dem ersten Chip ist.
Beispiel 11 ist der Gegenstand nach einem der Beispiele 1 bis 9, wobei die Sicherheitsdomäne und die Schutzdomäne auf demselben Halbleitersubstrat angeordnet sein können.
Beispiel 12 ist der Gegenstand nach einem der Beispiele 1 bis 9, wobei die integrierte Verarbeitungs-Vorrichtung ein Integrierter-Schaltungs-Halbleiterchip sein kann, welcher eine Vielzahl von Prozessor-Kernen aufweist, wobei die Sicherheitsdomäne einen oder mehrere erste Kerne der Vielzahl von Prozessor-Kernen aufweisen kann und wobei die Schutzdomäne einen oder mehrere zweite Kerne der Vielzahl von Prozessor-Kernen aufweisen kann, wobei die ersten Kerne separat von den zweiten Kernen sind.
Beispiel 13 ist der Gegenstand nach einem der Beispiele 1 bis 12, welche ferner eine Kommunikations-Schnittstelle aufweisen können, wobei die Kommunikations-Schnittstelle mit der Sicherheitsdomäne und der Schutzdomäne gekoppelt ist.
Beispiel 14 ist der Gegenstand von Beispiel 13, wobei die Kommunikations-Schnittstelle mindestens einen Datenbus aufweisen kann.
Beispiel 15 ist der Gegenstand nach einem der Beispiele 1 bis 14, wobei die Sicherheitsdomäne ein oder mehrere anwendungsspezifische Peripheriegeräte aufweisen kann.
Beispiel 16 ist der Gegenstand nach einem der Beispiele 1 bis 15, wobei die Schutzdomäne mindestens einen kryptographischen Beschleuniger oder Zufallszahlengenerator aufweisen kann.
Beispiel 17 ist der Gegenstand nach einem der Beispiele 1 bis 16, wobei die Sicherheitsdomäne eingerichtet sein kann, einen oder mehrere Hardware-Fehler zu detektieren, was aufweisen kann, dass die Sicherheitsdomäne Sensordaten erlangt und anhand der erlangten Sensordaten Betriebsbedingungs-Verletzungen in der Sicherheitsdomäne detektiert.
Beispiel 18 ist der Gegenstand von Beispiel 17, wobei die Sensordaten Sensordaten aufweisen können, welche Temperatur-Daten, Versorgungsspannungs-Daten und/oder Takt-Daten aufweisen.
Beispiel 19 ist der Gegenstand nach einem der Beispiele 1 bis 18, wobei die Schutzdomäne eingerichtet sein kann, eine oder mehrere Sicherheitsmaßnahmen zum Detektieren von Hardware-Fehlern bereitzustellen und/oder eine oder mehrere sicherheitsbezogene Betriebsbedingungs-Verletzungen zu detektieren.
Beispiel 20 ist der Gegenstand nach einem der Beispiele 1 bis 19, wobei das Bereitstellen der ein oder mehreren Sicherheitsmaßnahmen durch die Sicherheitsdomäne aufweisen kann, dass die Sicherheitsdomäne in einem Lockstep-Modus arbeitet, um einen oder mehrere Hardware-Fehler und/oder sicherheitsbezogene Betriebsbedingungs-Verletzungen zu detektieren oder zu ermitteln.
Beispiel 21 ist der Gegenstand nach einem der Ansprüche 1 bis 20, wobei das Bereitstellen der ein oder mehreren Sicherheitsmaßnahmen durch die Sicherheitsdomäne aufweisen kann, dass die Sicherheitsdomäne arbeitet, redundant Daten in der Sicherheitsdomäne zu codieren, um Hardware-Fehler und/oder eine oder mehrere sicherheitsbezogene Betriebsbedingungs-Verletzungen zu detektieren oder zu ermitteln.
Beispiel 22 ist der Gegenstand nach einem der Beispiele 1 bis 21, wobei, dass die Sicherheitsdomäne eingerichtet ist, die ein oder mehreren Prozesse auszuführen, aufweisen kann, dass die Sicherheitsdomäne eingerichtet ist, einen Motor zu steuern.
Beispiel 23 ist der Gegenstand nach einem der Beispiele 1 bis 22, wobei, dass die Sicherheitsdomäne eingerichtet ist, die ein oder mehreren Prozesse auszuführen, aufweisen kann, dass die Sicherheitsdomäne eingerichtet ist, eine oder mehrere Bremsen eines Fahrzeugs zu steuern.
Beispiel 24 ist der Gegenstand nach einem der Beispiele 1 bis 23, wobei, dass die Sicherheitsdomäne eingerichtet ist, die ein oder mehreren Prozesse auszuführen, aufweisen kann, dass die Sicherheitsdomäne eingerichtet ist, durch die integrierte Verarbeitungs-Vorrichtung erlangte Daten ein oder mehrerer Radar-Messungen zu extrahieren.
Beispiel 25 ist der Gegenstand nach einem der Ansprüche 1 bis 18, wobei die integrierte Verarbeitungs-Vorrichtung ein Mikrocontroller sein kann.

Beispiel 1A ist ein Verfahren, welches durch eine integrierte Verarbeitungs-Vorrichtung durchgeführt werden kann, das Verfahren aufweisend:

Ausführen eines oder mehrerer Prozesse durch die Sicherheitsdomäne;
Bereitstellen eines oder mehrerer kryptographischer Dienste durch die Schutzdomäne;
Detektieren ein oder mehrerer Hardware-Fehler durch die Sicherheitsdomäne;
in Reaktion auf das Detektieren der ein oder mehreren Hardware-Fehler, Übermitteln mindestens eines Alarm-Signals, welches mindestens einen Fehler anzeigt, durch die Sicherheitsdomäne;
Erhalten des mindestens einen Alarm-Signals, welche den mindestens einen Fehler anzeigt, durch die Schutzdomäne; und
in Reaktion auf das Erhalten des mindestens einen Alarm-Signals von der Sicherheitsdomäne, Ausführen mindestens einer schutzbezogenen Operation in mindestens einem sicheren Zustand durch die Schutzdomäne.

Beispiel 2A ist der Gegenstand von Beispiel 1A, wobei die Sicherheitsdomäne und die Schutzdomäne unabhängig voneinander in derselben integrierten Verarbeitungs-Vorrichtung arbeiten können.
Beispiel 3A ist der Gegenstand von Beispiel 1A oder 2A, wobei die Sicherheitsdomäne und die Schutzdomäne physisch getrennt voneinander sein können.
Beispiel 4A ist der Gegenstand nach einem der Beispiele 1A bis 3A, wobei das Ausführen der mindestens einen schutzbezogenen Operation ein Löschen oder Sperren von in der Schutzdomäne gespeicherter kryptographischer Schlüssel aufweisen kann.
Beispiel 5A ist der Gegenstand nach einem der Beispiele 1A bis 4A, wobei das Ausführen der mindestens einen schutzbezogenen Operation ein Übermitteln eines Schutz-Unterbrechungs-Signal von der Schutzdomäne und ein Ausführen einer Schutz-Unterbrechungs-Routine aufweisen kann.
Beispiel 6A ist der Gegenstand nach einem der Beispiele 1A bis 5A, wobei das Ausführen der mindestens einen schutzbezogenen Operation ein Zurücksetzen ein oder mehrere Einstellungen der Schutzdomäne aufweisen kann.
Beispiel 7A ist der Gegenstand nach einem der Beispiele 1A bis 6A, wobei das Ausführen der mindestens einen schutzbezogenen Operation ein Sperren einer oder mehrerer externer Schnittstellen der Schutzdomäne aufweisen kann.
Beispiel 8A ist der Gegenstand nach einem der Beispiele 1A bis 7A, wobei das Ausführen der mindestens einen schutzbezogenen Operation ein Nicht-Ausführen von einer oder mehrerer zuvor geplanter Aktionen in der Schutzdomäne für zumindest eine vordefinierte Zeitperiode aufweisen kann.
Beispiel 9A ist der Gegenstand nach einem der Beispiele 1A bis 8A, wobei die integrierte Verarbeitungs-Vorrichtung ein Mikrocontroller sein kann.
Beispiel 10A ist der Gegenstand nach einem der Beispiele 1A bis 9A, wobei das Detektieren ein oder mehrerer Hardware-Fehler ein Betreiben in einem Lockstep-Modus durch die Sicherheitsdomäne aufweisen kann.
Beispiel 11A ist der Gegenstand nach einem der Beispiele 1A bis 10A, wobei das Detektieren ein oder mehrerer Hardware-Fehler ein redundantes Codieren von Daten in der Sicherheitsdomäne aufweisen kann.
Beispiel 12A ist der Gegenstand nach einem der Beispiele 1A bis 11A, wobei das Ausführen der ein oder mehreren Prozesse ein Steuern mindestens eines Motors mittels der Sicherheitsdomäne aufweisen kann.
Beispiel 13A ist der Gegenstand nach einem der Beispiele 1A bis 12A, wobei das Ausführen der ein oder mehreren Prozesse ein Steuern einer oder mehrerer Bremsen eines Fahrzeugs mittels der Sicherheitsdomäne aufweisen kann.
Beispiel 14A ist der Gegenstand nach einem der Ansprüche 1A bis 13A, wobei das Ausführen der ein oder mehreren Prozesse ein Extrahieren von durch die integrierte Verarbeitungs-Vorrichtung erlangten Daten ein oder mehrerer Radar-Messungen.
Beispiel 1B ist ein nicht-transitorisches computerlesbares Medium, welches Instruktionen aufweist, die, wenn diese von einem oder mehreren Prozessoren ausgeführt werden, die ein oder mehreren Prozessoren veranlassen:

einen oder mehrere Prozesse durch die Sicherheitsdomäne auszuführen;
einen oder mehrere kryptographische Dienste durch die Schutzdomäne bereitzustellen;
einen oder mehrere Hardware-Fehler durch die Sicherheitsdomäne zu detektieren;
in Reaktion auf das Detektieren der ein oder mehreren Hardware-Fehler, mindestens ein Alarm-Signal, welches mindestens einen Fehler anzeigt, durch die Sicherheitsdomäne zu übermitteln;
das mindestens eine Alarm-Signal, welches den mindestens einen Fehler anzeigt, durch die Schutzdomäne zu erhalten;
in Reaktion auf das Erhalten des mindestens einen Alarm-Signals von der Sicherheitsdomäne, mindestens eine schutzbezogene Operation in mindestens einem sicheren Zustand durch die Schutzdomäne auszuführen.

Beispiel 2B ist der Gegenstand von Beispiel 1B, wobei die mindestens eine schutzbezogene Operation auszuführen aufweisen kann, in der Schutzdomäne gespeicherte kryptographische Schlüssel zu löschen oder zu sperren.
Beispiel 3B ist der Gegenstand nach einem der Beispiele 1B bis 2B, wobei die mindestens eine schutzbezogene Operation auszuführen aufweisen kann, ein Schutz-Unterbrechungs-Signal von der Schutzdomäne zu übermitteln und eine Schutz-Unterbrechungs-Routine auszuführen.
Beispiel 4B ist der Gegenstand nach einem der Beispiele 1B bis 3B, wobei die mindestens eine schutzbezogene Operation auszuführen aufweisen kann, ein oder mehrere Einstellungen der Schutzdomäne zurückzusetzen.
Beispiel 5B ist der Gegenstand nach einem der Beispiele 1B bis 4B, wobei die mindestens eine schutzbezogene Operation auszuführen aufweisen kann, ein oder mehrere externe Schnittstellen der Schutzdomäne zu sperren.
Beispiel 6B ist der Gegenstand nach einem der Beispiele 1B bis 5B, wobei die mindestens eine schutzbezogene Operation auszuführen aufweisen kann, für zumindest eine vordefinierte Zeitperiode eine oder mehrere zuvor geplante Aktionen in der Schutzdomäne nicht auszuführen oder zu verzögern.
Beispiel 7B ist der Gegenstand nach einem der Beispiele 1B bis 6B, wobei das Detektieren der ein oder mehreren Hardware-Fehler durch die ein oder mehreren Prozessoren aufweisen kann, in der Sicherheitsdomäne in einem Lockstep-Modus zu arbeiten.
Beispiel 8B ist der Gegenstand nach einem der Beispiele 1B bis 7B, wobei das Detektieren der ein oder mehreren Hardware-Fehler durch die ein oder mehreren Prozessoren aufweisen kann, Daten redundant in der Sicherheitsdomäne zu codieren.
Beispiel 9B ist der Gegenstand nach einem der Beispiele 1B bis 8B, wobei die ein oder mehreren Prozesse auszuführen aufweisen kann, mindestens einen Motor in der Sicherheitsdomäne zu steuern.
Beispiel 10B ist der Gegenstand nach einem der Beispiele 1B bis 9B, wobei die ein oder mehreren Prozesse auszuführen aufweisen kann, eine oder mehrere Bremsen eines Fahrzeugs in der Sicherheitsdomäne zu steuern.
Beispiel 11B ist der Gegenstand nach einem der Ansprüche 1B bis 10B, wobei die ein oder mehreren Prozesse auszuführen aufweisen kann, Daten von ein oder mehreren erlangten Radar-Messungen zu extrahieren.
Es ist darauf hinzuweisen, dass ein oder mehrere Merkmale eines der obigen Beispiele auf geeignete Weise mit einem der anderen Beispiele kombiniert werden können.
Die vorstehende Beschreibung dient nur als Beispiel und der Fachmann versteht, dass Modifikationen vorgenommen werden können ohne vom breiteren Gedanken bzw. Umfang der Erfindung, wie in den Ansprüchen dargelegt, abzuweichen. Die Beschreibung und die Figuren sind daher eher veranschaulichend anstatt einschränkend zu verstehen.
Der Umfang der Offenbarung wird daher durch die beigefügten Ansprüche angegeben und alle Änderungen, die unter die Bedeutung und den Äquivalenzbereich der Ansprüche fallen, sind daher einbezogen.
Es versteht sich, dass Implementierungen der hierin ausführlich beschriebenen Verfahren veranschaulichenden Charakter haben und daher als geeignet, in einer entsprechenden Vorrichtung implementiert zu werden, verstanden werden. Ebenso versteht sich, dass Implementierungen von hierin ausführlich beschriebenen Vorrichtungen als geeignet, als ein entsprechendes Verfahren implementiert zu werden, verstanden werden. Es wird daher verstanden, dass eine einem hierin ausführlich beschriebenen Verfahren zugeordnete Vorrichtung eine oder mehrere Komponenten aufweisen kann, die eingerichtet sind, jeden Aspekt des zugehörigen Verfahrens durchzuführen.
Alle in der voranstehenden Beschreibung definierten Akronyme gelten ferner in allen hierin aufgenommenen Ansprüchen.

Claims

Eine integrierte Verarbeitungs-Vorrichtung, aufweisend: eine Sicherheitsdomäne, die mindestens eine Verarbeitungseinheit und einen Speicher aufweist und die eingerichtet ist, einen oder mehrere Prozesse auszuführen, ein oder mehrere Peripheriegeräte zu steuern und eine oder mehrere Sicherheitsmaßnahmen zum Detektieren ein oder mehrerer Hardware-Fehler bereitzustellen; wobei die Sicherheitsdomäne eingerichtet ist, mindestens ein Alarm-Signal, welches die Detektion von Hardware-Fehlern anzeigt, zu übermitteln; und eine Schutzdomäne, die mindestens eine Verarbeitungseinheit und einen Speicher aufweist und die eingerichtet ist, einen oder mehrere kryptographische Dienste bereitzustellen und ein oder mehrere Alarm-Signale zu erhalten, wobei die Schutzdomäne ferner eingerichtet ist, in Reaktion auf ein Erhalten der ein oder mehreren Alarm-Signale eine oder mehrere schutzbezogene Operationen in mindestens einem sicheren Zustand auszuführen, wobei die ein oder mehreren Alarm-Signale mindestens ein Alarm-Signal von der Sicherheitsdomäne aufweisen.
Die integrierte Verarbeitungs-Vorrichtung nach Anspruch 1, wobei die Schutzdomäne unabhängig von der Sicherheitsdomäne arbeitet.
Die integrierte Verarbeitungs-Vorrichtung nach Anspruch 1, wobei die Schutzdomäne physisch getrennt von der Sicherheitsdomäne ist.
Die integrierte Verarbeitungs-Vorrichtung nach einem der Ansprüche 1 bis 3, wobei die Schutzdomäne eingerichtet ist, die ein oder mehreren schutzbezogenen Operationen, welche aufweisen, dass die Schutzdomäne in der Schutzdomäne gespeicherte kryptographische Schlüssel löscht, auszuführen.
Die integrierte Verarbeitungs-Vorrichtung nach einem der Ansprüche 1 bis 4, wobei die Schutzdomäne eingerichtet ist, die ein oder mehreren schutzbezogenen Operationen, welche aufweisen, dass die Schutzdomäne ein Schutz-Unterbrechungs-Signal sendet, auszuführen.
Die integrierte Verarbeitungs-Vorrichtung nach einem der Ansprüche 1 bis 4, wobei die Schutzdomäne eingerichtet ist, die ein oder mehreren schutzbezogenen Operationen, welche aufweisen, dass die Schutzdomäne ein oder mehrere Einstellungen der Schutzdomäne zurücksetzt, auszuführen.
Die integrierte Verarbeitungs-Vorrichtung nach einem der Ansprüche 1 bis 4, wobei die Schutzdomäne eingerichtet ist, die ein oder mehreren schutzbezogenen Operationen, welche aufweisen, dass die Schutzdomäne eine oder mehrere externe Schnittstellen der Schutzdomäne sperrt, auszuführen.
Die integrierte Verarbeitungs-Vorrichtung nach einem der Ansprüche 1 bis 7, wobei die Schutzdomäne eingerichtet ist, die ein oder mehreren schutzbezogenen Operationen, welche aufweisen, dass die Schutzdomäne für zumindest eine vordefinierte Zeitperiode eine oder mehrere vorher geplante Aktionen nicht ausführt, auszuführen.
Die integrierte Verarbeitungs-Vorrichtung nach einem der Ansprüche 1 bis 8, ferner aufweisend: einen ersten Chip, der die Sicherheitsdomäne aufweist; und einen zweiten Chip, der die Schutzdomäne aufweist, wobei der zweite Chip separat von dem ersten Chip ist.
Die integrierte Verarbeitungs-Vorrichtung nach einem der Ansprüche 1 bis 8, wobei die Sicherheitsdomäne und die Schutzdomäne auf demselben Halbleitersubstrat angeordnet sind.
Die integrierte Verarbeitungs-Vorrichtung nach einem der Ansprüche 1 bis 8, wobei die integrierte Verarbeitungs-Vorrichtung ein Integrierter-Schaltungs-Halbleiterchip ist, der eine Vielzahl von Prozessor-Kernen aufweist, wobei die Sicherheitsdomäne einen oder mehrere erste Kerne der Vielzahl von Prozessor-Kernen aufweist und wobei die Schutzdomäne einen oder mehrere zweite Kerne der Vielzahl von Prozessor-Kernen aufweist, wobei die ersten Kerne separat von den zweiten Kernen sind.
Die integrierte Verarbeitungs-Vorrichtung nach einem der Ansprüche 1 bis 11, ferner aufweisend eine Kommunikations-Schnittstelle, wobei die Kommunikations-Schnittstelle mit der Sicherheitsdomäne und der Schutzdomäne gekoppelt ist.
Die integrierte Verarbeitungs-Vorrichtung nach einem der Ansprüche 1 bis 12, wobei die Sicherheitsdomäne ein oder mehrere anwendungsspezifische Peripheriegeräte aufweist.
Die integrierte Verarbeitungs-Vorrichtung nach einem der Ansprüche 1 bis 13, wobei die Schutzdomäne mindestens einen kryptographischen Beschleuniger oder Zufallszahlengenerator aufweist.
Die integrierte Verarbeitungs-Vorrichtung nach einem der Ansprüche 1 bis 14, wobei die Sicherheitsdomäne eingerichtet ist, die ein oder mehreren Hardware-Fehler zu detektieren, aufweisend, dass die Sicherheitsdomäne Sensordaten erlangt und anhand der erlangten Sensordaten Betriebsbedingungs-Verletzungen in der Sicherheitsdomäne detektiert.
Die integrierte Verarbeitungs-Vorrichtung nach Anspruch 15, wobei die Sensordaten Sensordaten aufweisen, welche Temperatur-Daten, Versorgungsspannungs-Daten und/oder Takt-Daten aufweisen.
Die integrierte Verarbeitungs-Vorrichtung nach einem der Ansprüche 1 bis 16, wobei, dass die Sicherheitsdomäne eingerichtet ist, einen oder mehrere Prozesse auszuführen, aufweist, dass die Sicherheitsdomäne eingerichtet ist, einen Motor zu steuern.
Die integrierte Verarbeitungs-Vorrichtung nach einem der Ansprüche 1 bis 17, wobei, dass die Sicherheitsdomäne eingerichtet ist, einen oder mehrere Prozesse auszuführen, aufweist, dass die Sicherheitsdomäne eingerichtet ist, eine oder mehrere Bremsen eines Fahrzeugs zu steuern.
Die integrierte Verarbeitungs-Vorrichtung nach einem der Ansprüche 1 bis 18, wobei, dass die Sicherheitsdomäne eingerichtet ist, einen oder mehrere Prozesse auszuführen, aufweist, dass die Sicherheitsdomäne eingerichtet ist, durch die integrierte Verarbeitungs-Vorrichtung erlangte Daten ein oder mehrerer Radar-Messungen zu extrahieren.
Die integrierte Verarbeitungs-Vorrichtung nach einem der Ansprüche 1 bis 19, wobei die integrierte Verarbeitungs-Vorrichtung einen Mikrocontroller aufweist.