DE69032753T2

DE69032753T2 - Integrierter Schaltkreis mit CPU und Speicheranordnung

Info

Publication number: DE69032753T2
Application number: DE69032753T
Authority: DE
Inventors: Roland Hermann Ch-1202 Geneve Schwarz
Original assignee: Motorola Inc
Current assignee: Motorola Solutions Inc
Priority date: 1989-08-04
Filing date: 1990-05-14
Publication date: 1999-06-02
Anticipated expiration: 2010-05-15
Also published as: KR910005161A; EP0411255A3; EP0411255B1; KR930004944B1; GB2234611B; GB8917894D0; GB2234611A; JP2650474B2; EP0411255A2; DE69032753D1; JPH0371356A

Description

Die vorliegende Erfindung bezieht sich auf ein Speichersystem mit Schutz vor unerlaubtem Zugriff auf den Inhalt des Speichersystems. Im besonderen bezieht sich die Erfindung auf ein Speichersystem zur Verwendung mit einem Mikroprozessor.
Für Mikroprozessoren, die einen Speicher mit auf dem Chip integriert haben, ist es höchst wünschenswert, eine Sicherheitseinrichtung zu haben, die den Speicherinhalt vor einem Zugriff durch unberechtigte Personen schützt. Üblicherweise haben für die meisten Mikroprozessoranwendungen die Speicher einen nichtflüchtigen, elektrisch löschbaren Nur-Lese-Speicher (Electrically Erasable Programmable Read Only Memory - EEPROM) zum nichtflüchtigen Speichern von Daten sowie in einigen Fällen zum Speichern des Anwendungsprogramms.
Bei solchen Anwendungen wird der Mikroprozessor nach der Herstellung in eine Testbetriebsart zur Funktionsprüfung programmiert. Beim Eintritt in die Testbetriebsart kann mit einem externen Gerät auf den Inhalt des EEPROMs zugegriffen werden. Der Zugriff erfolgt unter Kontrolle des Mikroprozessors, der den Inhalt des EEPROM an den Ausgangsport, von dem der externe Zugriff erfolgt, ausließt. Demnach kann eine unberechtigte Person, die den Mikroprozessor zum Eintritt in die Testbetriebsart programmiert hat, mit Hilfe eine Mikroprozessors auf die Daten und gegebenenfalls auf das Anwendungsprogramm (wenn im EEPROM gespeichert) zugreifen.
Üblicherweise enthält der EEPROM-Speicher ein Bytefeld. Ein bestens bekanntes Verfahren zum Schutz des Inhalts gegen unberechtigten Zugriff während der Testbetriebsart verwendet ein Bit des Bytefeldes (im weiteren als Sicherheitsbit bezeichnet). Das Sicherheitsbit ist in einen von zwei Zuständen programmiert: in den aktiven Zustand oder in den gelöschten Zustand. Wenn das Sicherheitsbit im gelöschten Zustand ist, dann kann das System in die Testbetriebsart gehen, wobei der externe Zugriff auf den EEPROM-Inhalt über den Ausgangsport erlaubt ist. Wenn jedoch das Sicherheitsbit im aktiven Zustand ist, kann das System nicht in die Testbetriebsart eintreten, so daß der EEPROM-Inhalt sicher ist. Demnach kann der Hersteller bzw. der Anwender den Mikroprozessor testen und dann den Inhalt des EEPROMs gegen externen Zugriff sichern, indem er mit einem einfachen Programm das Sicherheitsbit in den aktiven Zustand programmiert.
Sobald der Mikroprozessor getestet und das Sicherheitsbit programmiert ist, verifiziert der Mikroprozessor, daß das Sicherheitsbit im EEPROM in den aktiven Zustand programmiert ist. Der aktive Zustand kann für manche Anwendungen ein speziell definierter Wert sein. Wenn das Sicherheitsbit nicht definiert ist (d. h. nicht im aktivem Zustand ist), kann der Mikroprozessor durch bestimmte Signale an ausgewählten Anschlüssen des Mikroprozessors zum Eintritt in die Ladebetriebsart programmiert werden.
Beim Eintritt in die Ladebetriebsart wird der gesamte EEPROM-Inhalt einschließlich des Sicherheitsbits gelöscht, so daß der Zugriff zur Testbetriebsart erlaubt ist. Sobald der EEPROM vollständig gelöscht ist, beginnt das Programmieren in der Ladebetriebsart, in der der EEPROM mitsamt Sicherheitsbit programmiert wird. Das Sicherheitsbit wird dabei in den aktiven Zustand programmiert. Sobald das Sicherheitsbit in dem aktiven Zustand gesetzt ist, kann es nur noch gelöscht werden, wenn der Mikroprozessor in die Ladebetriebsart übergeht.
Dieses Verfahren der Nutzung eines Sicherheitsbits kann das Anwenderprogramm sowie die Daten schützen, falls beide im EEPROM gespeichert werden. Es ist jedoch bei den großen Stückzahlen von Mikroprozessoren ökonomisch nicht sinnvoll, das gesamte Anwenderprogramm im EEPROM zu speichern, da ein EEPROM-Speicher wesentlich teurer als ein nichtflüchtiger Nur-Lese-Speicher (Read Only Memory - ROM) ist. Deshalb verwenden einige Mikroprozessoren sowohl ROM als auch EEPROM auf dem gleichen Chip, wobei der ROM das Anwenderprogramm und der EEPROM die Daten speichert.
Für solche Mikroprozessoren wird der Inhalt des EEPROMs mit dem Sicherheitsbit geschützt, das den Mikroprozessor vom Eintritt in die Testbetriebsart abhält. Jedoch kann in der Testbetriebsart auf dem ROM-Inhalt zugegriffen werden, wenn der EEPROM-Inhalt in der Ladebetriebsart einschließlich des Sicherheitsbits gelöscht wurde. Demnach muß eine unberechtigte Person nur die festgelegten Signale an den ausgewählten Anschlüssen des Mikroprozessors bereitstellen, um in die Ladebetriebsart zu gelangen und folglich Zugriff auf das im ROM gespeicherte Anwenderprogramm zu erlangen.
Um die Sicherheit von ROM und EEPROM zu erhöhen, ist es möglich, einige wenige Unterroutinen des Anwenderprogramms in den EEPROM zu schreiben, um damit den Zugriff auf das vollständige Programm zu vermeiden, nachdem der Prozessor in die Ladebetriebsart übergegangen ist. Das hat jedoch den Nachteil, daß die im EEPROM gespeicherten Routinen des Anwenderprogramms in der Ladebetriebsart gelöscht werden, wodurch der Betrieb des Mikroprozessors beeinträchtigt werden kann. Im weiteren ist es nachteilig, daß zum Speichern wertvoller Speicherplatz des teuren EEPROMs zum Speichern von Routinen anstelle von Daten genutzt werden muß. Die Daten werden während des Mikroprozessorbetriebs in den EEPROM geschrieben bzw. daraus gelesen. Hinzu kommt, daß viele Anwendungen einen höheren Sicherheitsgrad verlangen, als mit dem Speichern einiger Routinen im EEPROM erreicht werden kann. Es ist aber für eine unberechtigte Person noch immer möglich, auf einen großen Bereich des Anwenderprogramms im ROM zuzugreifen.
US-A-4698750 beschreibt einen Mikrocomputer in einer integrierten Schaltung mit EEPROM, der eine Reihe von Betriebsarten aufweist. In einer Betriebsart kann der EEPROM extern gelesen werden. Ein Sicherheitsbit, falls gesetzt, verhindert den Eintritt in diese Betriebsart.
V. Timm: "Mit einem EEPROM an Bord", Elektronik, Band 37, Nr. 22, Oktober 1988, auf Seiten 204, 206 und 208, beschreibt ein Speichersystem mit ROM und EEPROM. Der ROM- Inhalt kann nicht extern gelesen werden, wenn ein Bit in der Maskierung des ROM-Kodes gesetzt ist. Der EEPROM ist durch ein Sicherheitsbit geschützt, das nur gemeinsam mit dem gesamten EEPROM-Inhalt gelöscht werden kann.
Entsprechend der vorliegenden Erfindung, die in Anspruch 1 definiert ist, wird eine integrierte Schaltung mit zentraler Verarbeitungseinheit und Speichersystem zum Speichern von Daten bereitgestellt.
Das Speichersystem besteht aus einem ersten, veränderbaren Speicher, einem zweiten, nicht veränderbaren Speicher sowie einem Datenbus, der an den genannten Prozessor und an beide Speicher gekoppelt ist. Der Datenbus ermöglicht den externen Zugriff auf Daten, die in den beiden Speichern gespeichert sind, während einer Testbetriebsart. Der Bus ermöglicht auch das Löschen des Inhalts des ersten, veränderlichen Speichers in einer Ladebetriebsart. Der erste Speicher weist ein erstes Sicherheitsmittel auf, das in einen vorherbestimmten, aktiven Zustand programmierbar ist, wobei in diesem Zustand die zentrale Verarbeitungseinheit den Zugriff durch ein externes Gerät auf die Daten im ersten, veränderbaren Speicher und im zweiten, nichtveränderbaren Speicher verhindert, indem der Eintritt in die Testbetriebsart verhindert wird, wenn sich das erste Sicherheitsmittel in dem vorherbestimmten, aktiven Zustand befindet. Der erste Speicher weist weiterhin ein zweites Sicherheitsmittel auf, das in einem vorherbestimmten Zustand programmierbar ist, wobei in diesem Zustand die zentrale Verarbeitungseinheit den Eintritt in die Ladebetriebsart verhindert, wenn sich das erste Sicherheitsmittel im vorherbestimmten, aktiven Zustand befindet und sich das zweite Sicherheitsmittel im vorherbestimmten Zustand befindet. Damit wird das Löschen des Inhalts des ersten, veränderbaren Speichers verhindert.
Da die vorliegende Erfindung ein Byte oder mehrere Bytes des nichtflüchtigen EEPROMs einbezieht, die in Verbindung mit einem Sicherheitsbit auf extra festgelegten Werten programmiert sind, um die Inhalte sowohl des ROMs als auch des EEPROMs zu schützen, wird es geschätzt werden, daß die vorliegende Erfindung eine vervollkommneten Schutz vor unerlaubtem Zugriff auf Dateninhalte im Speicher gewährleistet.
Hinzu kommt, daß der Schutz kostengünstig verbessert wird, da die vorliegende Erfindung relativ einfach zu implementieren ist. Zwei Speichersysteme nach der vorliegenden Erfindung werden nun, allein unter Bezugnahme auf die beigefügten Zeichnungen, beschrieben.
Fig. 1 ist eine Blockschemadiagramm, das Teile eines Mikroprozessorspeichersystems mit nichtflüchtigem Speicher, der die vorliegende Erfindung beinhaltet, zeigt;
Fig. 2 zeigt ein beschreibendes Diagram eines Bytes des nichtflüchtigen Speichers der Fig. 1;
Fig. 3 ist ein Flußdiagramm für die Implementierung eines ersten Ausführungsbeispiels der vorliegenden Erfindung;
Fig. 4 ist ein Flußdiagramm für den Betrieb des ersten Ausführungsbeispiels der vorliegenden Erfindung;
Fig. 5 ist ein Flußdiagramm für die Implementierung eines zweiten Ausführungsbeispiels der vorliegenden Erfindung; und
Fig. 6 ist ein Flußdiagramm für den Betrieb des zweiten Ausführungsbeispiels der vorliegenden Erfindung.
Fig. 1 zeigt Teile eines Mikroprozessors mit zentraler Verarbeitungseinheit (Central Processing Unit - CPU) 4 und Speichersystem 2. Das Speichersystem 2 enthält einen nichtflüchtigen Speicher 6, einen ROM 14, und einen Lade- ROM 16. Die CPU 4 kommuniziert mit dem EEPROM 6, dem ROM 14 und dem Lade-ROM 16 über eine Adressen- und Datenbus 3.
In einem bevorzugten Ausführungsbeispiel ist der EEPROM 6 ein Feld mit 256 Bytes und in zwei Teilen angeordnet: das Optionenregister 10 und der erste Datenspeicher 8. Der erste Datenspeicher 8 belegt 255 Bytes des EEPROM-Speichers 6 zur Datenspeicherung. Das Optionenregister 10 nutzt ein Byte des EEPROM-Speichers 6 und enthält die Schutzfunktionen für den EEPROM 6.
Der ROM 14 ist ein Feld mit 5952 Bytes und speichert das Anwenderprogramm. Lade-ROM 16 ist ein Feld mit 368 Bytes und enthält ein Ladeprogramm, das zum Programmieren des EEPROMs 6 verwendet werden kann.
Fig. 2 beschreibt jedes Bit von Byte 18 des Optionenregisters 10 des EEPROM 6. Eine unberechtigte Person kann den Mikroprozessor so programmieren, daß dieser in die Testbetriebsart übergeht. Folglich kann sie sich durch Anlegen von speziellen Signalen an ausgewählte Anschlüsse (nicht gezeigt) des Mikroprozessors Zugriff auf den Inhalt des EEPROMs 6 verschaffen. Wie oben in der Einführung erörtert, enthält des Byte 18 zum Schutz des Dateninhaltes des EEPROMs 6 ein Sicherheitsbit SEC. Sobald die Testbetriebsart initiiert ist, verifiziert der Mikroprozessor zuerst den Zustand des Sicherheitsbits SEC. Falls sich das Sicherheitsbit im aktiven Status befindet, kann der Mikroprozessor nicht in die Testbetriebsart eintreten, so daß die Inhalte von EEPROM 6 und ROM 16 gesichert sind. Falls sich des Sicherheitsbit SEC jedoch in gelöschtem Zustand befindet, kann der Mikroprozessor in die Testbetriebsart eintreten, die den externen Zugriff auf die Inhalte von EEPROM 6 und ROM 14 erlaubt.
Das Sicherheitsbit SEC wird im allgemeinen nach dem erstmaligen Testen des Mikroprozessors vom Anwender in den aktiven Zustand programmiert. Einmal gesetzt, kann das Sicherheitsbit nur gelöscht werden, wenn der Mikroprozessor in die Ladebetriebsart übergeht. Der Mikroprozessor kann durch Anlegen von speziellen Signalen an ausgewählte Anschlüsse (nicht gezeigt) das Mikroprozessors zum Eintritt in die Ladebetriebsart programmiert werden. Beim Eintritt in die Ladebetriebsart wird das im Lade-ROM 16 gespeicherte Ladeprogramm ausgeführt, wobei der EEPROM 6 einschließlich des Sicherheitsbits SEC gelöscht wird. Demnach kann extern auf den ROM 14 zugegriffen werden. Sobald der EEPROM 6 vollständig gelöscht ist, folgt der Programmierbetrieb des Ladeprogramms.
Um das Sicherheitsniveau des Speichersystems 2 durch den Schutz der Inhalte von ROM 14 und Lade-ROM 16 zu erhöhen, wird in dem bevorzugten Ausführungsbeispiel der Erfindung ein Byte des ersten Speichers 8 (im folgenden als VALSEC- Byte bezeichnet) in Verbindung mit dem Sicherheitsbit SEC des Optionenregisters 10 verwendet, um den Mikroprozessor am Eintreten in die Ladebetriebsart zu hindern.
Als VALSEC-Byte kann jedes Byte des Bytefeldes des ersten Datenspeichers 8 dienen. Seine Lage wird zur Herstellungszeit ausgewählt. Falls das VALSEC-Byte keinen extra definierten Wert hat, kann das VALSEC-Byte jedoch auch von Anwenderprogramm verwendet werden, d. h. Daten können auf das VALSEC-Byte geschrieben werden und der Mikroprozessor kann noch in die Ladebetriebsart eintreten.
Im allgemeinen programmiert der Anwender des Mikroprozessors das VALSEC-Byte auf einen speziell definierten Wert. Damit wird es dem Anwender gestattet, den Mikroprozessor über die Ladebetriebsart noch vor der Programmierung des VALSEC-Bytes zu testen. Jedoch kann auch der Hersteller des Mikroprozessors das VALSEC-Byte programmieren. Nach dem Test des Gerätes und sobald das Sicherheitsbit in den aktiven Zustand programmiert ist, programmiert der Anwender das VALSEC-Byte mittels einer einfachen Routine, die im ROM 14 gespeichert ist. Als Alternative könnten das VALSEC-Byte mit dem speziell definierten Wert dann programmiert werden, wenn nach dem Test der Mikroprozessor zum erstenmal eingeschaltet wird.
Die Anwenderprogrammroutine zum Programmieren von einem VALSEC-Byte ist im Flußdiagramm 22 der Fig. 3 dargestellt.
Das Programm beginnt bei Block 24. Eine Überprüfung, daß das VALSEC-Byte extra definiert ist, wird bei Block 26 eingeleitet. Wenn das VALSEC-Byte definiert ist, wird das Anwenderprogramm bei Block 28 ausgeführt. Wenn das VALSEC- Byte nicht definiert ist, dann zweigt die Routine ab, um bei Block 30 das VALSEC-Byte auf einen extra definierten Wert zu programmieren. Das Anwenderprogramm wird daraufhin bei Block 28 ausgeführt.
Wenn das VALSEC-Byte einen extra definierten Wert hat, und sich das Sicherheitsbit SEC im aktiven Zustand befindet, ist der Zugriff auf die Ladebetriebsart verboten. Da der Zugriff auf den Programmabschnitt, der zum Löschen des EEPROM 6 dient, verhindert ist, sind die Inhalte des EEPROM 6, des ROM 14 und des Lade-ROMs 16 gesichert. Falls sich jedoch das Sicherheitsbit im gelöschten Zustand befindet, sind die Inhalte des EEPROMs 6 und des ROM 14 unabhängig vom Wert des VALSEC-Bytes nicht gesichert.
Fig. 4 ist ein Flußdiagramm 32 zum Darstellen der Initialisierung der Ladebetriebsart.
Das Programm beginnt bei Block 34. Die Prüfung, ob sich das Sicherheitsbit SEC im aktiven Zustand befindet, wird bei Block 36 initiiert. Wenn sich das Sicherheitsbit SEC nicht im aktiven Zustand befindet, wird das Ladeprogramm bei Block 38 ausgeführt. Ist des Sicherheitsbit im aktiven Zustand, zweigt das Programm zu Block 40 ab, um festzustellen, ob das VALSEC-Byte einen speziell bestimmten Wert hat.
Wenn das VALSEC-Byte den speziell festgelegten Wert hat, wird das Ladeprogramm bei Block 42 beendet, wobei der Zugriff auf den Programmabschnitt, der zum Löschen des EEPROMs 6 verwendet wird, verhindert wird. Wenn das VALSEC-Byte nicht den definierten Wert hat, wird das Ladeprogramm bei Block 38 ausgeführt.
Sobald das VALSEC-Byte mit den speziell definiertem Wert programmiert ist und sich das Sicherheitsbit in dem aktiven Zustand befindet, kann der Mikroprozessor nicht in die Ladebetriebsart gehen. Folglich können das VALSEC-Byte und das Sicherheitsbit anschließend nicht von einer unberechtigten Person gelöscht werden.
Obwohl das hier beschriebene spezielle Beispiel ein einziges VALSEC-Byte des nichtflüchtigen Speichers zum Bereitstellen eines zusätzlichen Sicherheitsniveaus im Speichersystem verwendet, wird es gewürdigt werden, daß auch zwei oder mehrere VALSEC-Bytes im nichtflüchtigen Speicher Verwendung finden können. Jedes der VALSEC-Bytes kann mit verschiedenen, speziell definierten Werten programmiert werden. Es ist ein Vorteil der Verwendung von zwei oder mehreren VALSEC-Bytes, daß die Wahrscheinlichkeit, durch Fertigungsfehler alle VALSEC-Bytes mit ihrem entsprechenden speziell definierten Werten zu programmieren, beträchtlich verringert wird.
Im folgenden wird ein zweiten Ausführungsbeispiel der Erfindung beschrieben, das dem unter Bezugnahme auf FIGS. 1-4 beschriebenen Ausführungsbeispiel ähnelt. Im Unterschied dazu werden hier im EEPROM 6 zwei Bytes verwendet.
Die Anwenderprogrammroutine zum Programmieren von zwei VALSEC-Bytes ist im Flußdiagramm 44 der Fig. 5 dargestellt.
Die Routine beginnt bei Block 46. Eine Überprüfung, ob das erste VALSEC-Byte (VALSEC 1) einen speziell definierten Wert hat, wird bei Block 48 initiiert.
Falls das erste VALSEC-Byte definiert ist, wird eine Prüfung, ob das zweite VALSEC-Byte (VALSEC 2) einen speziell definierten Wert hat, bei Block 52 initiiert. Wenn das erste VALSEC-Byte nicht definiert ist, dann zweigt die Routine ab und programmiert bei Block 50 das erste VALSEC-Byte auf den ersten speziell definierten Wert. Die Routine kehrt dann zurück und initiiert bei Block 52 eine Prüfung, ob das zweite VALSEC-Byte den zweiten speziell definierten Wert hat. Wenn das zweite VALSEC-Byte definiert ist, wird bei Block 56 des Anwenderprogramm ausgeführt. Wenn das zweite VALSEC-Byte nicht definiert ist, zweigt die Routine ab und programmiert bei Block 54 das zweite VALSEC-Byte auf den zweiten, speziell definierten Wert. Daraufhin wird bei Block 56 das Anwenderprogramm ausgeführt.
Fig. 6 ist eine Flußdiagramm 58, das die Initialisierung der Ladebetriebsart für das zweite Ausführungsbeispiel der Erfindung darstellt.
Das Programm beginnt bei Block 60. Bei Block 62 wird eine Überprüfung des Sicherheitsbits auf den aktiven Zustand initiiert. Wenn sich das Sicherheitsbit SEC nicht im aktiven Zustand befindet, dann wird das Ladeprogramm bei Block 70 ausgeführt. Wenn sich das Sicherheitsbit im aktiven Zustand befindet, dann verzweigt sich die Routine um bei Block 64 zu bestimmen, ob das erste VALSEC-Byte einen ersten speziell definierten Wert hat. Wenn das erste VALSEC-Byte nicht definiert ist, wird das Ladeprogramm bei Block 70 ausgeführt. Wenn das erste VALSEC-Byte bestimmt ist, wird daraufhin bei Block 66 eine Überprüfung des zweiten VALSEC-Bytes auf den zweiten speziell definierten Wert ausgelöst.
Wenn das zweite VALSEC-Byte nicht definiert ist, wird bei Block 70 das Ladeprogramm ausgeführt. Wenn das zweite VALSEC-Byte den zweiten, speziell festgelegten Wert hat, wird das Ladeprogramm bei Block 68 abgebrochen wobei das vollständige Löschen des EEPROMs 6 verhindert wird.
Zusammenfassend, indem ein Byte oder mehrere Bytes im nichtflüchtigen EEPROM des Speichersystems verwendet werden, die auf speziell definierten Werten programmiert werden, stellt die vorliegende Erfindung in Verbindung mit dem Sicherheitsbit ein erweitertes Schutzsystem für Daten im Speichersystem zur Verfügung.
Beschrieben wurden Beispiele der Erfindung, bei denen das gesamte Anwenderprogramm im ROM gespeichert ist. Es wird gewürdigt, daß die vorliegende Erfindung jedoch auch zur Gewährleistung eines erhöhten Schutzes verwendet werden kann, wenn ein Teil des Anwenderprogramms im EEPROM steht.

Claims

1. Integrierte Schaltung mit zentraler Verarbeitungseinheit (4) und Speichersystem (2) zum Speichern von Daten, wobei das Speichersystem (2) beinhaltet:

einen ersten, veränderbaren Speicher (6)

einen zweiten, nicht veränderbaren Speicher (14, 16); und

einen Datenbus (3) gekoppelt an die zentrale Verarbeitungseinheit (4) und an den ersten Speicher (6) sowie an den zweiten Speicher (14, 16) zum Ermöglichen eines externen Zugriffs auf Daten, die in dem ersten Speicher (6) und in dem zweiten Speicher (14, 16) gespeichert sind in einer Testbetriebsart und zum Ermöglichen des Löschens des Inhalts des ersten, veränderbaren Speichers (6) während einer Ladebetriebsart,

wobei der erste, nicht veränderbare Speicher (6) ein erstes Sicherheitsmittel hat, das in einen vorher bestimmten aktiven Zustand programmierbar ist, in dem die zentrale Verarbeitungseinheit (4) den Zugriff durch ein Gerät außerhalb der integrierte Schaltung auf die Daten, die im ersten, veränderbaren Speicher und im zweiten, nicht veränderbaren Speicher gespeichert sind, verhindert, indem der Eintritt in die Testbetriebsart verhindert wird, wenn das Sicherheitsmittel diesen vorherbestimmten aktiven Zustand aufweist,

wobei weiterhin der erste, veränderbare Speicher (6) ein zweites Sicherheitsmittel hat, das in einen vorherbestimmten Zustand programmiert werden kann, wobei die zentrale Verarbeitungseinheit (4) den Eintritt in die Ladebetriebsart verhindert, wenn das erste Sicherheitsmittel den vorherbestimmten aktiven Zustand aufweist und das zweite Sicherheitsmittel den vorherbestimmten Zustand aufweist, so daß das Löschen des Inhalts des ersten, veränderbaren Speichers (6) verhindert wird.

2. Integrierte Schaltung nach Anspruch 1 in der der erste, nicht veränderbare Speicher (6) eine Anzahl von Bytes in Zellen hat, und das erste Sicherheitsmittel eine Zelle mit einem Byte der Anzahl der Bytes der Zellen hat, diese eine Zelle einen vorherbestimmten Wert aufweisend, wenn das erste Sicherheitsmittel in den vorherbestimmten aktiven Zustand programmiert ist.

3. Integrierte Schaltung nach Anspruch 2 in der das zweite Sicherheitsmittel (14, 16) mindestens ein Byte der Bytes der Zellen aufweist, das mindestens eine Byte einen vorherbestimmten Wort aufweisend, wenn das zweite Sicherheitsmittel in den vorherbestimmten Zustand programmiert ist.

4. Integrierte Schaltung nach Ansprüchen 1, 2 oder 3, im weiteren aufweisend einen Verfikator zum Verifizieren, daß das erste Sicherheitsmittel und das zweite Sicherheitsmittel in den vorherbestimmten aktiven Zustand bzw. vorherbestimmten Zustand programmiert sind, und zum dementsprechenden Verhindern eines externen Zugriffs auf die Daten sowohl im ersten als auch im zweiten Speicher.

5. Integrierte Schaltung nach Ansprüchen 1, 2, 3, oder 4, in der der erste, veränderbare Speicher (6) einen nichtflüchtigen EEPROM aufweist.

6. Integrierte Schaltung nach Ansprüchen 1, 2, 3, 4 oder 5, in der der zweite, nicht veränderbare Speicher (14, 16) einen ROM aufweist.