EP1611514A2 - Programmgesteuerte einheit - Google Patents

Programmgesteuerte einheit

Info

Publication number
EP1611514A2
EP1611514A2 EP04724979A EP04724979A EP1611514A2 EP 1611514 A2 EP1611514 A2 EP 1611514A2 EP 04724979 A EP04724979 A EP 04724979A EP 04724979 A EP04724979 A EP 04724979A EP 1611514 A2 EP1611514 A2 EP 1611514A2
Authority
EP
European Patent Office
Prior art keywords
protection
program
memory
write
read
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
EP04724979A
Other languages
English (en)
French (fr)
Inventor
Werner BÖNING
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Infineon Technologies AG
Original Assignee
Infineon Technologies AG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Infineon Technologies AG filed Critical Infineon Technologies AG
Publication of EP1611514A2 publication Critical patent/EP1611514A2/de
Withdrawn legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F12/00—Accessing, addressing or allocating within memory systems or architectures
    • G06F12/14—Protection against unauthorised use of memory or access to memory
    • G06F12/1458—Protection against unauthorised use of memory or access to memory by checking the subject access rights
    • G06F12/1483—Protection against unauthorised use of memory or access to memory by checking the subject access rights using an access-table, e.g. matrix or list

Definitions

  • the present invention relates to a device according to the preamble of claim 1, i.e. a program-controlled unit with a memory for storing data, and with a memory protection device for protecting the memory from read and / or write access by persons not authorized for this purpose.
  • Such a program-controlled unit is, for example, a microcontroller, a microprocessor, or a signal processor.
  • FIG. 6 The basic structure of such a program-controlled unit is shown in FIG. 6.
  • the program-controlled unit shown in FIG. 6 is designated by the reference symbol PG. It contains a CPU CPU, a memory device M connected to the CPU, and peripheral units Pl to Pn connected to the CPU via a bus BUS.
  • the CPU executes a program which is stored in the memory device M or in another memory device not shown in FIG. 6, which other memory device can be a further internal memory device or an external memory device provided outside the program-controlled unit PG.
  • the memory device M is used to store a program and / or the associated operands and / or other data.
  • the peripheral units P1 to Pn include, for example, a DMA controller, an A / D converter, a D / A converter, a timer, interfaces and controller for input and / or output of data, an on-chip debug support or OCDS module, etc.
  • the developer of the program executed by the program-controlled unit is rarely interested in the fact that the program and / or the operands cannot be read and / or changed by persons not authorized for this purpose.
  • the first reason is to prevent competitors of the program developer from copying the program, the operands or certain parts thereof and using them or the know-how contained therein in their own products.
  • the second reason is to prevent the program and / or the operands from being manipulated in such a way that the device controlled by the program-controlled unit is no longer properly controlled and damaged.
  • the data to be protected are stored in an internal memory of the program-controlled unit such as, for example, the memory device M, and to equip the program-controlled unit with a memory protection device that reads and unauthorized persons cause / or write access to the internal memory is blocked.
  • the known program-controlled units in which read and / or write access to the internal memory caused by unauthorized persons are blocked, either do not offer perfect read and / or write protection, and / or are complicated to use, and / or have a complicated structure and / or have only limited uses.
  • the present invention is therefore based on the object of developing the program-controlled unit according to the preamble of patent claim 1 in such a way that it offers reliable reading and / or writing protection, has a simple structure, is easy to handle and can be used universally.
  • the program-controlled unit according to the invention is characterized in that the memory protection device signals a protection violation
  • FIG. 1 shows the structure of a storage device of the program-controlled unit described below that can be protected against access by persons not authorized to do so
  • FIG. 2 shows the arrangement of protection configuration bits in a first user configuration block of the memory device shown in FIG. 1,
  • FIG. 3 shows the arrangement of protection configuration bits in a second user configuration block of the memory device shown in FIG. 1,
  • FIG. 4 shows the arrangement of protection configuration bits in a third user configuration block of the memory device shown in FIG. 1,
  • FIG. 5 shows the structure of a configuration register of the memory device shown in FIG. 1, and
  • Figure 6 shows the structure of a program-controlled unit.
  • the program-controlled unit described below is a microcontroller. However, it should be noted at this point that it is also could be any other program-controlled unit such as a microprocessor or a signal processor.
  • the described microcontroller has the same basic structure as the program-controlled unit shown in FIG. However, it contains protective mechanisms by means of which it can be prevented in a particularly simple, flexible and reliable manner that data stored in the storage device M can be read out and / or changed by persons not authorized to do so.
  • Data is understood to mean both data representing commands (command code) and "normal" data such as operands, parameters, constants etc. which do not represent a command code.
  • these protective mechanisms are part of the memory device M.
  • FIG. 1 The structure of the memory device M of the microcontroller presented here is shown in FIG. 1.
  • the memory device M contains a memory module MM and an interface MI.
  • the memory module MM is the memory, the content of which is to be protected from being read out and / or changed by a person who is not authorized for this purpose.
  • the memory module MM contains a part MMP used as program memory, a part D used as data memory, and further components, not shown in FIG. 1, such as, in particular, sense amplifiers, buffer memories, control devices, etc.
  • the memory module MM could also be a memory used exclusively as program memory, or a memory used exclusively as data memory.
  • data (operands, constants, etc.) can also be stored in the program memory and programs can also be stored in the data memory.
  • the memory module MM is formed by a flash memory.
  • the memory module MM can also be another reprogrammable non-volatile memory, for example an EEPROM, or a read-only memory such as a ROM, or a volatile memory such as a RAM.
  • the program memory MMP is divided into 14 sectors MMPSO to MMPS13, the sectors MMPS1 to MMPS13 being provided for storing programs and the sector MMPSO being intended for storing configuration data.
  • the sectors MMPS1 to MMPS13 intended for storing programs each have a storage capacity of 16 kByte
  • the sector MMPS9 a storage capacity of 128 kByte
  • the sector MMPSIO a storage capacity of 256 kByte
  • the sectors MMPS11 to 1PS13 each has a storage capacity of 512 kbytes.
  • the configuration data stored in the MMPSO sector are used to configure write protection and read protection, by means of which the reading and / or changing of the tors MMPS1 to MMPS13 and data stored in the data memory MMD by unauthorized persons.
  • the data memory MMD has a memory capacity of 128 kbytes and is in two sectors
  • MMDS1 and MMDS2 divided, each comprising 64 kbytes.
  • both the program memory MMP and the data memory MMD both the number of sectors and the size of the sectors can be arbitrarily much larger or smaller.
  • the memory module MM is addressed via the MI interface. This means that all access to the memory module MM takes place via the interface MI.
  • the interface MI contains a control device CTRL, an error correction device ECU, and further components (not shown in FIG. 1) such as buffers, latches, registers, etc.
  • the interface MI and the memory module MM are connected to one another via a control bus CTRLBUS1, an address bus ADDRBUS1, a write data bus WDATABUS1, a read data bus RDATABUS1, and error correction data buses ECCBUS1 and ECCBUS2.
  • the interface MI is connected to the CPU and other components of the microcontroller, which can access the memory device M, via a control bus CTRLBUS2, an address bus ADDRBUS2, a write data bus WDATABUS2, and a read data bus RDATABUS2.
  • CMOS complementary metal-oxide-semiconductor
  • PCP peripheral control processor
  • one of the devices that can access the memory device M wants to read data from the memory device, more precisely from the program memory MMP or from the data memory MMD, it transmits a read signal via the control bus CTRLBUS2 and the address via the address bus ADDRBUS2 which the required data is stored.
  • the control device CTRL of the interface MI first checks whether the access is permissible. In particular, an inadmissible access exists if a read protection is effective, by which the reading of the data requested by the read access from the memory device M is to be prevented. If the control device CTRL determines that it is an illegal access to the memory device M, it does not carry out this access and also signals to the CPU and / or other microcontroller components that an illegal access to the memory device M has taken place.
  • control device CTRL by transmitting corresponding control signals and addresses to the memory module MM, causes the data requested by the read access from the memory device M to be read out from the memory module MM and output to the interface MI.
  • the control signals and addresses transmitted from the control device CTRL to the memory module MM are transmitted via the control bus CTRLBUS1 and the address bus ADDRBUS1; the data output by the memory module MM are transmitted via the read data bus RDATABUSl.
  • the memory module MM In addition to the data transmitted via the read data bus RDATABUS1, the memory module MM also outputs error correction or ECC data associated with this data. This data is transferred via the ECCBUS2.
  • the error correction device ECU then checks, by evaluating the data received via the buses RDATABUS1 and ECCBUS2, whether the data transmitted via the read data bus RDATABUS1 is error-free. If the data is not error-free and it is a correctable error, it corrects it. How errors are recognized and corrected using an ECC (error correction code) is known and requires no further explanation.
  • the interface MI then outputs the data, which may have been corrected by the memory module MM, via the read data bus RDATABUS2 to the device from which the read access originated.
  • All other accesses to the storage device M in particular also the accesses by which the deletion of data stored in the storage device M is initiated, and the accesses by which the writing of data into the storage device M is initiated by the transfer of, for example command sequences based on the JEDEC standard initiated or initiated to the memory device M.
  • the transmission of a command sequence to the memory device M is ultimately nothing more than a write access to the memory device M. That is, the memory device M receives a write signal via the control bus CTRLBUS2, an address via the address bus ADDRBUS2, and data via the write data bus WDATABUS2.
  • a command sequence can comprise one or more successive write accesses to the memory device M.
  • the interface MI does not interpret write accesses to the memory device M as an access by means of which the data transmitted via the write data bus WDATABUS2 are to be written into the memory module MM. Instead, it interprets write access as commands. Specifically, it determines on the basis of those transmitted via the address bus ADDRBUS2 Addresses and the data transmitted via the write data bus WDATABUS2, which action is then to be carried out.
  • a command sequence is transmitted to the memory device M, which represents a command "Erase Se ⁇ tor".
  • this command sequence consists of 6 write cycles, of which 5 cycles are pure fail-safe ⁇ cycles, i.e. Are cycles with fixed addresses and data, and only in one cycle (in the example considered the sixth cycle) a variable address and / or variable data are transmitted.
  • Such a command sequence can consist, for example, in that
  • the address of the sector to be deleted and the data 30 are transmitted to the memory device M.
  • the addresses and data are given above in hexadecimal format and that the data stored in the memory module MM are deleted in units of sectors, that is to say that only an entire sector can be deleted at any time.
  • the memory module MM is not a flash memory, but rather, for example, a RAM, a ROM, an EEPRO etc., the deletion can also take place in other units, for example page by page, word by word, etc.
  • the control device CTRL decodes the command sequences supplied to the memory device M by write accesses. More precisely, it determines the action to be carried out from the addresses and data supplied to it by the write accesses.
  • the control device CTRL checks whether this is permissible access to the memory device M. Inadmissible access exists in particular if write protection is effective for the sector to be deleted. If the control device CTRL determines that it is an illegal access to the memory device M, it does not carry out this access and also signals to the CPU and / or other microcontroller components that an illegal access to the memory device M has taken place. Otherwise, i.e. if the access is permissible, the control device CTRL, by transmitting appropriate control signals and addresses to the memory module MM, causes the sector specified in the "Erase Sector" command to be deleted in the memory module MM,
  • a command sequence is first transmitted to the memory device M, which represents a command "Enter Page Mode".
  • This command sequence can consist, for example, of the address 5554 and the data 50 being transferred to the memory device M in a write access to the memory device M. If the memory device M is supplied with a command sequence representing the command “Enter Page Mode TM, it recognizes that it must switch to the page mode. In the page mode, page-wise access to the memory module MM takes place 256 bytes to the MMP program memory, and 128 bytes when accessing the MMD data memory.
  • the sizes of the pages can be of any size independently of one another.
  • the "enter page mode" command and also the further page commands described in more detail below need only be provided if the memory module MM is written to by page.
  • the memory module can also be written in larger or smaller units, for example word by word.
  • the data to be written into the memory module MM must first be transferred to the memory device M. This is done by one or more "load page" commands.
  • a command sequence representing a "load page” command can consist, for example, that in a write access to the memory device M the address 555 (and as data 32 or 64 bits of the data to be written into the memory module MM to the Storage device M are transferred.
  • the control device CTRL writes the data contained in the command sequence into a buffer of the interface MI, for example formed by a register.
  • the control device CTRL more precisely the error correction device ECU thereof, generates error correction for this data.
  • ECC data using which errors contained in the data read out during the later reading of this data from the memory module MM can be recognized and / or eliminated, and also stores this data in a buffer, for example formed by a register.
  • command sequences representing "load page” are fed to the memory device M in succession until as much data is stored in the buffer as is comprised by a page.
  • the memory device M is then supplied with a command sequence representing a "write page" command.
  • This command sequence can consist, for example, in that
  • the address of the page to be written within the memory module and the data AA are transmitted to the memory device as the address.
  • the control device CTRL checks whether it is the access in question is a permissible access to the storage device M.
  • An unauthorized access is present in particular if write protection is effective, by means of which changes in the content of the storage area to be written on are to be prevented it is an illegal access to the memory device M, it does not carry out this access and also signals the CPU and / or other microcontroller components that an illegal access to the memory device M has occurred, otherwise, that is, if it is an authorized access acts, causes the control device CTRL by transmitting the corresponding Control signals, addresses and data to the memory module MM that the data stored in the intermediate memory are written to the location within the memory module specified in the "Write Page" command.
  • the previously generated error correction or ECC data is transmitted from the control device CTRL to the memory module MM via the error correction data bus ECCBUS1 and also stored in the memory module MM.
  • the read protection and write protection already mentioned several times above should and can prevent that in the Storage device M stored data can be read and / or changed by persons not authorized to do so.
  • the settings that can be made by the user are made.
  • UCBs user configuration blocks
  • the UCBs mentioned are part of the MMPSO sector of the program memory MMP and can only be written by the user of the program-controlled unit, but cannot be read out.
  • the sector MMPSO of the program memory MMP contains three UCBs in the example considered, which are referred to below as UCB0, UCB1, and UCB2.
  • Each UCB consists of four pages (Page 0 to Page 3), each of which has 256 bytes.
  • the UCBO can be written and deleted by a first user of the program-controlled unit and contains in the example considered
  • - read protection settings by means of which the first user can specify whether read protection should be effective
  • - write protection settings by means of which the first user can specify for which parts of the memory module MM write protection should be effective
  • a password that can be selected by the first user, below Use of which the first user can temporarily cancel the read protection defined by his read protection settings and / or the write protection defined by his write protection settings, and a predefined confirmation code by which the first user confirms the validity of the data stored in the UCBO by writing it into the UCBO ,
  • the read protection settings and the write protection settings comprise two bytes in the example considered. These bytes are referred to below as protection setting bytes and are shown in FIG. 2.
  • Bits 0 to 12 of the protection setting bytes are write protection setting bits, by means of which it is specified for which of the sectors MMPS1 to MMPS13 of the program memory write protection is to be effective; the visual write protection setting bits are identified in FIG. 2 by the reference symbols S0L to S12L. Of the bits S0L to S12L, one bit is assigned to one of the sectors MMPS1 to MMPS13.
  • bit S0L is assigned to sector MMPS1
  • bit S1L is assigned to sector MMPS2
  • bit S2L is assigned to sector MMPS3, ...
  • bit S12L is assigned to sector MMPS13.
  • the value of the individual bits S0L to S12L determines whether write protection should be effective for the assigned sector or not. If, for example, bit S5L has the value 1, this means that for the assigned assigned sector write protection should be effective; if this bit has the value 0, this means that no write protection should be effective for the assigned sector MMPS ⁇ .
  • Bit 15 of the protection setting bytes is a read protection - setting bit, by which it is specified whether read protection should be effective for the memory module MM; the read protection setting bit is designated in FIG. 2 by the reference character RPRO. If the RPRO bit has the value 1, this means that read protection should be effective; if the RPRO bit has the value 0, this means that no read protection should be effective.
  • the password comprises 64 bits, but can also be any length or shorter.
  • the protection setting bytes and the password are part of the first page (Page 0) of UCBO
  • the confirmation code is part of the third page (Page 2) of UCBO
  • the remaining pages are reserved by UCBO for future use.
  • the UCBl can be written and deleted by a second user of the program-controlled unit and, in the example under consideration, contains
  • a password which can be selected by the second user, using which the second user can temporarily cancel the write protection defined by his write protection divisions, and - A predetermined confirmation code, by means of which the second user confirms the validity of the data stored in the UCBl.
  • the write protection settings are in two
  • the protection setting bytes of the UCBl largely correspond to the protection setting bytes of the UCBO. The only difference is that there is no read protection setting bit RPRO in the protection setting bytes of the UCBl. This has the effect that the second user cannot determine whether read protection should be effective or not; only the first user can do this.
  • the protection setting bytes of the UCBl like the protection setting bytes of the UCBO, contain write protection setting bits S0L to S12L, via which the second user can set for which sectors MMPSl to MMPS13 write protection should be effective.
  • the password comprises 64 bits, but can also be any length or shorter.
  • the protection setting bytes and the password are part of the first page (Page 0) of UCBl
  • the confirmation code is part of the third page (Page 2) of UCBl
  • the remaining pages are reserved by UCBl for future use.
  • the UCB2 has some special features compared to the UCBO and the UCBl and will be described in more detail later.
  • the Users of the microcontroller can be set whether or to what extent read protection and / or write protection should be effective.
  • L5 agreed areas of the memory module MM read protection should be effective. This could be accomplished, for example, by providing additional read protection setting bits in the protection setting bytes of UCBO and the read protection setting bits then present similarly
  • the write protection setting bits are assigned to certain areas of the memory module MM.
  • the read protection setting bits would then be able to be set for which areas of the memory module MM a read protection should be effective.
  • Both the UCBO and the UCBl contain one or more read protection setting bits. Then both the first user and the second user could set whether and if so for which areas of the memory module MM read protection should be effective. Of course it would be too
  • J0 possible that only the second user can use appropriate settings in UCBl to specify whether and if so to what extent read protection should be effective.
  • the write protection 5 setting bits SOL to S12L of UCBO and UCB1 set for which areas of the memory module MM, more precisely for which sectors of the memory module, write protection should be effective.
  • Write protection is only effective for those sectors to which the set bits under the L0 write protection setting bits SOL to S12L are assigned. If, for example, only the write protection setting bit S3L of the UCBO and the write protection setting bit SSL of the UCBl are set from the write protection setting bits SOL to S12L of the UCBO and the UCBl, this means that write protection is only available for the L5 sectors MMPS4 and MMPS6 should be effective.
  • the UCB2 already mentioned above can be written by a third user of the program-controlled unit and in the example considered contains .0
  • the write protection settings are contained in two protection setting bytes. These 50 protection setting bytes are illustrated in Figure 4.
  • Bits 0 to 12 of the protection setting bytes are write protection setting bits, by means of which it is specified for which of the sectors MMPS1 to MMPS13 of the program memory $ 5 write protection should be effective; the write protection setting bits are identified in FIG. 4 by the reference symbols S0ROM to S12ROM. From bits S0ROM to S12ROM one bit is assigned to one of the sectors MMPS1 to MMPS13. More specifically, bit S0ROM is assigned to sector MMPS1, bit S1KOM is assigned to sector MMPS2, bit S2ROM is assigned to sector MMPS3, and bit S12ROM is assigned to sector MMPS13. The value of the individual bits S0ROM to S12ROM determines whether write protection should be effective for the assigned sector or not. If, for example, the bit S5ROM has the value 1, this means that a write protection should be effective for the assigned sector MMPS6; if this bit has the value 0, this means that no write protection should be effective for the assigned sector MMPS6.
  • the protection setting bytes of the UCB2 essentially correspond to the protection setting bytes of the UCB1.
  • the UCB2 can no longer be deleted and cannot be rewritten after the confirmation code has been written.
  • the write protection defined by UCB2 cannot be temporarily deactivated. This has the effect that the write protection setting bits of the UCB2 specify whether and, if appropriate, which areas of the memory module MM behave like a memory which can never be reprogrammed, that is to say like a ROM. After the confirmation code has been written into the UCB2, it behaves like a ROM that at least cannot be read by the user.
  • the protection setting bytes are part of the first page (Page 0) of UCB2 3.
  • the confirmation code is part of the third page
  • the UCBs can by the first bsw. the second or the third user can be described by the transmission of special command sequences to the memory device M.
  • the UCBs can also be deleted and rewritten - also by transmitting special command sequences. However, they cannot be read out by the user of the program-controlled unit.
  • the UCB2 can no longer be deleted and no longer written to.
  • the write protection for the UCB to be deleted must first be canceled by the "Disable Write Protection" command already mentioned and described in more detail later, because although the sector MMPSO containing the UCBs does not have a write protection setting bit in the Associated with UCBs, everyone is correct, ie including the correct confirmation code, the UCB is automatically read and write protected. Only if the UCB to be deleted is not yet or not properly, i.e. without a valid confirmation code, no write protection is required.
  • a command sequence is transmitted to the memory device M, which represents a command "Erase UCB".
  • This command sequence can consist, for example, in that
  • the address of the UCB to be deleted and the data 40 are transmitted to the memory device.
  • the memory device M When the memory device M is supplied with a command sequence representing the command "Erase UCB", it recognizes, more precisely the control device CTRL thereof, that the UCB specified in the sixth cycle of the command sequence is to be deleted. The control device CTRL then checks whether this is a permissible access. Inadmissible access exists in particular if the UCB to be deleted is write-protected. If the control device determines that there is an illegal access, it does not execute the command and also signals the CPU and / or other microcontroller components that an illegal access to the memory device has occurred. Otherwise, i.e.
  • the control device CTRL by transmitting appropriate control signals and addresses to the memory module MM, causes the UCB specified in the "Erase UCB" command to be deleted in the sector MMPSO of the memory module MM.
  • the "Erase UCB” command does not cause the deletion of a complete sector of the memory module MM, but only a specific UCB of the MMPSO sector.
  • an "enter page mode” command In order to write data to a UCB, an "enter page mode” command, then one or more "load page” commands and finally a “write UC page” command are transmitted to the memory device M.
  • Writing to a UCB is only permitted if it has never been written to or has previously been deleted. Whether this is the case is checked by the control device CTRL and can be recognized, for example, by the fact that there is no or no valid confirmation code in the UCB to be described.
  • the command sequence representing the "Write UC Page" command can consist, for example, that - in a first cycle or in a first write access to the memory device, the address 5554 and the data
  • the control device CTRL checks whether the access in question is a permissible access to the memory device M. Inadmissible access exists in particular if the UCB to be described
  • control device CTRL determines that it is an illegal access to the Storage device M is acting, it does not carry out this access and also signals the CPU and / or other microcontroller components that an illegal access to the storage device M has taken place. Otherwise, ie if it is
  • Control device CTRL by transmitting the corresponding control signals, addresses and data to the memory module MM that the data supplied to the memory device M by the "load page" command and temporarily stored to the
  • the entries in UCBO, UCBl, and UCB2 are only effective if the respective confirmation code has been written in the UCBs .5. However, by deleting or writing to the UCBs, changes to the content of the UCBs only take effect when the microcontroller is next reset.
  • the confirmation code should only be entered in the respective UCB
  • ! 0 should be written if it is certain that the information stored in it is correct. In particular, it should be ensured that the password stored in the respective UCB is also the password that the user wanted to write to the UCB. This can be done, for example, by the
  • 35 saved password may or may not be the user-specified password.
  • the UCBO and the UCBl can be written and deleted as often as required by the first user or the second user of the microcontroller. Provision could also be made to allow the deletion and rewriting of UCBO and UCBl only a certain number of times. For example, it could be provided that the UCBO and the UCBl can be written to a maximum of five times.
  • the first user and the second user of the microcontroller have the possibility of temporarily overriding the settings contained in UCBO or UCB1 by transmitting appropriate commands, more precisely by transmitting command sequences representing these commands to the memory device M.
  • the read and write protection set by him in UCBO or the second user the write protection he has set in UCBl can be temporarily canceled by the first user.
  • the commands mentioned include a "Disable Write Protection” command, a “Disable Read Protection” command, and a “Resume Protection” command.
  • a command sequence representing a "Disable Write Protection" command can consist, for example, in that
  • the address Uli in a third cycle or in a third write access to the memory device, the address Uli and, as data, an identifier which is assigned to the user initiating the command,
  • the address 3333 and the data 01 are transmitted to the memory device.
  • the memory device M When the memory device M is supplied with a command sequence representing the command "Disable Write Protection", it checks, more precisely the control device CTRL thereof, first of all whether the identifier transmitted in the third cycle is the identifier assigned to the first user or the identifier assigned to the second user, and whether the password transmitted in the fourth cycle and in the fifth cycle is the password that is stored in the UCB assigned to the user in question.
  • the password must match the password stored in UCBO if the identifier transmitted in the third cycle is the identifier assigned to the first user, or must match the password stored in UCBO if the identifier transmitted in the third cycle is the identifier assigned to the second user is.
  • the control device CTRL assumes that the command supplied to it is an illegal access (access by an unauthorized person) to the storage device M. In this case, the control device CTRL does not execute the command and also signals the CPU and / or other microcontroller components that the storage device M has been accessed in an unauthorized manner. Otherwise, the control device CTRL ensures that the write protection in the The extent to which the user specified in the third cycle of the command sequence has set it ineffective in the UCB assigned to him.
  • the extent to which write protection becomes ineffective also depends on the user from whom the "Disable Write Protection" command comes. More precisely, in the example considered, the settings and commands of the first user have priority.
  • the first user has also set write protection. Conversely, however, the first user can also cancel write protection for sectors for which the second user has set write protection. That if, for example, the write protection setting bits SOL and S1L in UCBO
  • first user and the second user have equal rights and that no user can remove write protection for sectors for which the other user has set write protection. It would also be conceivable to provide an adjustment option by means of which the effect which a "Disable Write Protection" command of the respective user has can be set. For example, it could be provided that the respective users can set whether and if so to what extent (for which sectors) the other user can remove the write protection.
  • a "Disable Write Protection" command does not under any circumstances result in the write protection being released for a sector which, according to the settings in UCB2, is to behave like a ROM.
  • a command sequence representing a "Disable Read Protection" command can consist, for example, of:
  • the address 1112 as data the first half of the password, which is stored in UCBO, - in a fifth cycle or in a fifth write access to the memory device, the address 1112 as data the second half of the password stored in UCBO and
  • the memory device M When the memory device M is supplied with a command sequence representing the command "Disable Read Protection", it checks, more precisely the control device CTRL thereof, first of all whether the password transmitted in the fourth and in the fifth cycle matches the password stored in UCBO. If the check reveals that these conditions are not met, the control device CTRL assumes that the command supplied to it is an illegal access (access by an unauthorized person) to the memory device M. In this case, the control device CTRL does not execute the command and also signals the CPU and / or other microcontroller components that the storage device M has been accessed in an unauthorized manner. Otherwise the control device CTRL ensures that read protection is no longer effective.
  • a command sequence representing the command "Disable Read Protection” it checks, more precisely the control device CTRL thereof, first of all whether the password transmitted in the fourth and in the fifth cycle matches the password stored in UCBO. If the check reveals that these conditions are not met, the control device CTRL assumes that the command supplied to it is an illegal access (access by an unauthorized person) to
  • a command sequence representing a "resume protection" command can consist, for example, of the address 5554 and the data BB being transmitted to the memory device M in a single cycle or in a single write access to the memory device.
  • the read protection and the write protection become effective again to the extent that it is defined by the read and write protection setting bits of the UCBO and the UCBl.
  • this memory configuration register is part of the control device CTRL of the memory device M.
  • the structure of the memory configuration register is illustrated in FIG. 5.
  • the memory configuration register is a 32-bit register, of which only bits 0 to 5 are of interest here.
  • Bit 0 is identified by the reference number RPA, bit 1 by the reference number DCF, bit 2 by the reference number DDF, bit 3 by the reference number DDFDBG, bit 4 by the reference number DDFDMA, and bit 5 by the reference number DDFPCP.
  • the bit RPA indicates whether read protection should be effective. Read protection is effective and the RPA bit is set if the RPRO bit is set in UCBO and the read protection is not temporarily canceled by the "Disable Read Protection" command.
  • bits DCF and DDF determine which type of read accesses to the memory module MM are to be permitted, and the bits DDFDBG, DDFDMA, and DDFPCP and / or further or other control bits determine which microcontroller components are used can access the memory device M, can carry out permissible read accesses to the memory device M.
  • the bits DCF and DDF are only evaluated if bit RPA is set. More specifically,
  • DDFDBG Disable Data Fetch from Debug Controller
  • a debug controller contained in the microcontroller i.e. for example the OCDS module already mentioned at the beginning, read accesses to the memory module MM (the program memory MMP and the data memory MMD) may execute; if the bit DDFDBG has the value 0, read accesses by the debug controller to the memory module MM are permissible, otherwise not.
  • DDFDMA bit Disable Data Fetch from DMA Controller
  • a DMA controller contained in the microcontroller may carry out read accesses to the memory module MM (the program memory MMP and the data memory MMD); if the DDFDBG bit has the value 0, read accesses by the DMA controller to the memory module MM are permissible, otherwise not.
  • DDFPCP bit Disable Data Fetch from PCP
  • PCP Peripheral Control Processor
  • further configuration bits can also be provided, the value of which depends on whether a specific further component of the microcontroller or of the system containing the microcontroller Read access to the memory module MM (the program memory MMP and the data memory MMD) may perform.
  • further configuration bits can be provided, of which
  • the value depends on whether further processors of the microcontroller or processors provided outside the microcontroller are allowed to carry out read accesses to the memory module MM.
  • Which microcontroller component accesses the memory module and whether the access is a code fetch or a data fetch can be determined on the basis of an identifier that the microcontroller component accessing the memory module MM accesses the memory module MM together with the read request or the write request is transmitted to the memory module MM or the memory device M.
  • the memory configuration register can be read and written both by the hardware, in particular by the control device CTRL or another microcontroller component, and by the user of the microcontroller.
  • the memory configuration register is written by the user of the microcontroller by the transmission of a "write register" command to the memory device M, more precisely by the supply of a command sequence representing this command.
  • the writing of the memory configuration register could also take place in a different way, for example by simple register access.
  • the user can only change certain bits of the memory configuration register, and even this is sometimes also linked to certain conditions.
  • the user changes the RPA bit with the "Write Register” command. This bit can only be written by the control device CTRL.
  • the "Write Register” command it is not possible to use the "Write Register” command to change the fetch control bits DCF and DDF if the bit RPA is set; Before the bits DCF and DDF are changed, the read protection may have to be canceled using the "Disable Read Protection" command. Under certain circumstances, however, it could prove to be advantageous if the reading protection only has to be canceled before the bits DCF, DDF are reset, and these bits can be set without removing the reading protection. In the following, however, it is assumed that read protection must not be effective either when the bits mentioned are set or when they are reset.
  • a command sequence representing a "Write Register” command can consist, for example, of:
  • the memory device M When the memory device M is supplied with a command sequence representing the command “write register”, it checks, more precisely the control device CTRL thereof, first of all whether this is an allowable access to the memory device M.
  • An illegal access exists, for example, if read protection is in effect and the DCF bit and / or the DDF bit are to be changed. If the control device CTRL determines that there is an impermissible access to the memory device M, it does not carry out this access and signals in addition, the CPU and / or other microcontroller components that an impermissible access to the memory device M has occurred. Otherwise, ie if the access is permissible, the control device CTRL causes the data transmitted in the second cycle of the command sequence to be written into the register specified in the second cycle of the command sequence.
  • the memory device M contains, in addition to the memory configuration register, also a flash status register in which the current status of the memory module MM and any unauthorized access to the memory device M are displayed. This register cannot be overwritten by the user. The status and error displays contained therein can, however, be reset with the "Clear Status" command
  • a command sequence representing a "Clear Status" command can consist, for example, in a
  • the address 5554 and the data DD are transmitted to the memory device.
  • the control device CTRL or another microcontroller component checks whether read protection should be effective. This is the case if the read protection setting bit RPRO of the UCBO is set and a valid confirmation code has been written into the UCBO.
  • control device CTRL or another microcontroller component checks how the microcontroller should behave after being switched on or reset. There are three options for this in the microcontroller under consideration, namely
  • the microcontroller is to execute a program stored outside the memory device M, that is to say a program stored in an unprotected internal or external memory,
  • microcontroller should behave after commissioning or resetting is shown in the example considered predetermined by signals which are applied to certain input and / or output connections of the microcontroller during the switching on or resetting of the microcontroller. By evaluating these signals, the microcontroller determines how it should behave after switching on or after resetting.
  • the control device CTRL or another microcontroller component ensures that the bits DCF and DDF of the memory configuration register are set , which means that if read protection is required at the same time, i.e. if the RPA bit is set, neither read access to the program memory MMP nor read access to the data memory MMD are permitted. If the developer of the program stored outside the memory device M is not a person authorized to read out the memory device M, the latter cannot cancel the read protection, because for this they would have to know the password stored in UCBO, but this should not generally be the case.
  • the control device CTRL or another microcontroller component ensures that the bits DCF and DDF are set and thus a read protection is effective while the supplied program is being executed.
  • microcontroller If the microcontroller is to execute a program stored in the memory device M after start-up or reset, this is permitted and, moreover, the control device CTRL or another microcontroller component ensures that the bits DCF and DDF of the memory configuration register are reset - are set, which allows both read access to the program memory MMP and read access to the data memory.
  • the microcontroller executes a program stored outside the memory device M after start-up or reset that the read protection is effective by setting the bits DCF and DDF. If the microcontroller executes a program stored in the memory device M after commissioning or resetting, this is not necessary, because in this case the developer of the program stored in the memory device M can ensure that no read access is not achieved by this authorized persons on the
  • Memory device M take place: he can write the program stored in the memory device M in such a way that there are no jumps to unprotected memory or memory areas or that, when a jump to an unprotected memory or memory area takes place, no more access or only certain accesses the storage device M can take place.
  • the latter can be done in that the program stored in the memory device M contains instructions which ensure that the bits DCF and / or DDF of the memory configuration register are set before a jump is made into an unprotected memory or memory area.
  • the DCF bit is not set, it is possible to return to the memory device M, whereas if the DCF bit is set, this is not even possible. So that a return to the memory device M can take place, the read protection would first have to be canceled by the "Disable Read Protection" command.
  • the control device CTRL or another microcontroller component preferably also immediately switches the bit DDFDBG of the memory configuration register, and possibly also the bits DDFDMA and / or DDFPCP of the memory configuration register set.
  • the bits mentioned can also be set and reset by corresponding commands in the executed program. This measure also prevents unauthorized persons from accessing the memory device M via the debug controller and / or the DMA controller and / or the peripheral control processor.
  • write protection is also automatically effective, specifically for the entire memory device M. This can prevent a person who is not authorized to do so from writing a read routine (for example a Trojan horse) into the memory device M, which then could read out the entire memory content and output it from the microcontroller.
  • a read routine for example a Trojan horse
  • the microcontroller also ensures that after commissioning or resetting the microcontroller to the extent defined in the UCBs, a selective write protection, that is to say independent of the read protection, is effective.
  • This selective write protection can be temporarily or completely canceled by the user by means of the commands "Disable Write Protection” and “Resume Protection”, more precisely by means of program commands by which the transmission of these commands to the memory device M is initiated.
  • the write protection coupled with the read protection can be temporarily canceled using the "Disable Read Protection" command.
  • control device CTRL signals to the CPU and / or another microcontroller component a memory protection violation if the memory device M is accessed in an impermissible manner. This can be done, for example, by a corresponding entry in a status register, for example in the flash status register already mentioned above, and / or by an interrupt request. How the CPU responds to this depends primarily on the use of the microcontroller.
  • the reactions can, for example, but understandably not exclusively, consist of
  • the microcontroller can also react to an impermissible access to the memory device M in any other way.
  • the response of the microcontroller can also be made dependent on the type of illegal access. For example, it can be provided that the failed attempt to temporarily remove the read protection (Disable
  • Read Protection is sanctioned by harder or more extensive measures than an impermissible read access to the data storage MMD.
  • the UCBO can be written and erased by a first user of the microcontroller, the UCB1 can be written and erased by a second user of the microcontroller, and the UCB2 can be written by a third user.
  • the microcontroller described is part of a motor vehicle control unit and the microcontroller executes a program, the commands and / or operands of which partly come from the manufacturer of the motor vehicle control unit and partly from the manufacturer of the motor vehicle, then both the manufacturer of the motor vehicle control unit and the manufacturer of the Protect your program parts and / or operands from reading out and / or changes by unauthorized persons:
  • the manufacturer of the motor vehicle control unit can be the first user of the microcontroller and configure the protection of his program parts and / or operands by correspondingly describing the UCBO
  • the manufacturer of the motor vehicle can be the second user of the microcontroller and configure the protection of its program parts and / or operands by correspondingly describing the UCBl;
  • either the manufacturer of the motor vehicle control unit or the manufacturer of the motor vehicle can be the third user and can additionally configure the protection of his program parts and / or operands by correspondingly describing the UCB2.
  • the third user can also be a third person or a third company that is involved in the development of the program stored in the memory device M.
  • a single person or a single company it is of course also possible for a single person or a single company to be both the first user and the second user.
  • the storage device M can be reliably protected in a very simple manner against access by persons not authorized for this purpose.
  • the scope of the read protection and the scope of the write protection can be optimally adapted to the respective conditions independently of one another.

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Mathematical Physics (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Storage Device Security (AREA)

Abstract

Es wird eine programmgesteuerte Einheit mit einem Speicher zum Speichern von Daten, und mit einer Speicherschutzvorrichtung zum Schützen des Speichers vor Lese- und/oder Schreibzugriffen durch hierzu nicht autorisierte Personen beschrieben. Die beschriebene programmgesteuerte Einheit zeichnet sich dadurch aus, daß die Speicherschutzvorrichtung eine Schutzverletzung signalisiert, wenn eine hierzu nicht autorisierte Person versucht, bei aktiviertem Leseschutz einen Lesezugriff auf den Speicher durchzuführen, und/oder wenn eine hierzu nicht autorisierte Person versucht, bei aktiviertem Schreibschutz einen Schreibzugriff auf den Speicher durchzuführen, und/oder wenn eine hierzu nicht autorisierte Person versucht, durch einen entsprechenden Zugriff auf die Speicherschutzvorrichtung den Leseschutz und/oder den Schreibschutz zu deaktivieren oder umzukonfigurieren.

Description

Beschreibung
Programmgesteuerte Einheit
Die vorliegende Erfindung betrifft eine Forrichtung gemäß dem Oberbegriff des Patentanspruchs 1, d.h. eine programmgesteuerte Einheit mit einem Speicher zum Speichern von Daten, und mit einer Speieherschutzvorrichtung zum Schützen des Speichers vor Lese- und/oder Schreibzugriffen durch hierzu nicht autorisierte Personen.
Eine solche programmgesteuerte Einheit ist beispielsweise ein Mikrocontroller, ein Mikroprozessor, oder ein Signalprozessor.
Der prinzipielle Aufbau einer solchen programmgesteuerten Einheit ist in Figur 6 gezeigt.
Die in der Figur 6 gezeigte programmgesteuerte Einheit ist mit dem Bezugszeichen PG bezeichnet. Sie enthält eine CPU CPU, eine mit der CPU verbundene Speichereinrichtung M, und über einen Bus BUS mit der CPU verbundene Peripherieeinheiten Pl bis Pn.
Die CPU führt ein Programm aus, das in der Speichereinrichtung M oder in einer in der Figur 6 nicht gezeigten anderen Speichereinrichtung gespeichert ist, wobei diese andere Speichereinrichtung eine weitere interne Speichereinrichtung oder eine außerhalb der programmgesteuerten Einheit PG vorgesehene externe Speichereinrichtung sein kann.
Die Speichereinrichtung M dient zur Speicherung eines Pro- grammes und/oder der zugehörigen Operanden und/oder sonstiger Daten.
Die Peripherieeinheiten Pl bis Pn umfassen beispielsweise einen DMA-Controller, einen A/D- andler, einen D/A-Wandler, einen Timer, Schnittstellen und Controller zur Ein- und/oder Ausgabe von Daten, ein On-Chip-Debug-Support- bzw. OCDS- Modul, etc.
Hicht selten hat der Entwickler des von der programmgesteuerten Einheit ausgeführten Programmes ein Interesse daran, daß das Programm und/oder die Operanden nicht durch hierzu nicht autorisierte Personen ausgelesen und/oder verändert werden können.
Dies kann zwei Gründe haben. Der erste Grund besteht darin, daß verhindert werden soll, daß Mitbewerber des Programmentwicklers das Programm, die Operanden oder bestimmte Teile davon kopieren und diese oder das darin enthaltene Knowhow in ihren eigenen Produkten verwenden. Der zweite Grund besteht darin, daß verhindert werden soll, daß das Programm und/oder die Operanden so manipuliert werden, daß die durch die programmgesteuerte Einheit gesteuerte Einrichtung nicht mehr ordnungsgemäß angesteuert und beschädigt wird.
Es sind bereits diverse Möglichkeiten bekannt, um das Auslesen und das Verändern von Programmen und/oder Operanden durch hierzu nicht autorisierte Personen zu verhindern.
Beispielsweise kann vorgesehen werden, die zu schützenden Daten (Programme und/oder Operanden) in einem internen Speicher der programmgesteuerten Einheit wie beispielsweise der Speichereinrichtung M zu speichern, und die programmgesteuerte Einheit mit einer Speicherschutzvorrichtung auszustatten, die von hierzu nicht autorisierten Personen veranlaßte Lese- und/oder Schreibzugriffe auf den internen Speicher blockiert .
Die bekannten programmgesteuerten Einheiten, bei welchen von dasu nicht autorisierten Personen veranlaßte Lese- und/oder Schreibzugriffe auf den internen Speicher blockiert werden, bieten entweder keinen perfekten Lese- und/oder Schreibschutz, und/oder sind kompliziert in der Handhabung, und/oder weisen einen komplizierten Aufbau auf und/oder weisen nur eingeschränkte Verwendungsmöglichkeiten auf .
Der vorliegenden Erfindung liegt daher die Aufgabe zugrunde, die programmgesteuerte Einheit gemäß dem Oberbegriff des Patentanspruchs 1 derart weiterzubilden, daß diese einen zuverlässigen Lese- und/oder Schreibschuts bietet, einen einfachen Aufbau aufweist, einfach handhabbar ist, und universell einsetzbar ist.
Diese Aufgabe wird erfindungsgemäß durch die in Patentanspruch 1 beanspruchte programmgesteuerte Einheit gelöst.
Die erfindungsgemäße programmgesteuerte Einheit zeichnet sich dadurch aus, daß die Speicherschutzvorrichtung eine Schutz- Verletzung signalisiert,
- wenn eine hierzu nicht autorisierte Person versucht, bei aktiviertem Leseschutz einen Lesezugriff auf den Speicher durchzuführen, und/oder
- wenn eine hierzu nicht autorisierte Person versucht, bei aktiviertem Schreibschutz einen Schreibzugriff auf den Speicher durchzuführen, und/oder
- wenn eine hierzu nicht autorisierte Person versucht, durch einen entsprechenden Zugriff auf die Speicherschutzvorrichtung den Leseschutz und/oder den Schreibschutz zu deaktivieren oder umzukonfigurieren.
Dadurch können auch andere Komponenten der programmgesteuerten Einheit, insbesondere auch die CPU der programmgesteuerten Einheit von versuchten Zugriffen durch hierzu nicht autorisierte Personen erfahren, und sofort Maßnahmen ergreifen, die es noch weiter erschweren, daß solche Zugriffsversuche erfolgreich sind. Somit kann der zu schützende Speicher auf einfache Weise zuverlässig vor Zugriffen durch hierzu nicht autorisierte Personen geschützt werden.
Vorteilhafte Weiterbildungen der Erfindung sind den Unteran- Sprüchen, der folgenden Beschreibung, und den Figuren entnehmbar.
Die Erfindung wird nachfolgend anhand von Ausführungsbeispielen unter Bezugnahme auf die Figuren näher erläutert. Es zei- gen
Figur 1 den Aufbau einer vor Zugriffen durch dazu nicht autorisierte Personen schützbaren Speichereinrichtung der im folgenden beschriebenen programmgesteuerten Ein- heit,
Figur 2 die Anordnung von protection configuration bits in einem ersten user configuration block der in der Figur 1 gezeigten Speichereinrichtung,
Figur 3 die Anordnung von protection configuration bits in einem zweiten user configuration block der in der Figur 1 gezeigten Speichereinrichtung,
Figur 4 die Anordnung von protection configuration bits in einem dritten user configuration block der in der Figur 1 gezeigten Speichereinrichtung,
Figur 5 den Aufbau eines Konfigurationsregisters der in der Figur 1 gezeigten Speichereinrichtung, und
Figur 6 den Aufbau einer programmgesteuerten Einheit .
Bei der im folgenden beschriebenen programmgesteuerten Einheit handelt es sich um einen MikroController. Es sei jedoch bereits an dieser Stelle darauf hingewiesen, daß es sich auch um eine beliebige andere programmgesteuerte Einheit wie beispielsweise um einen Mikroprozessor oder um einen Signalprozessor handeln könnte.
Der beschriebene MikroController hat den selben prinzipiellen Aufbau wie die in der Figur 6 gezeigte programmgesteuerte Einheit. Er enthält jedoch Schutzmechanismen, durch welche besonders einfach, flexibel und zuverlässig verhindert werden kann, daß in der Speichereinrichtung M gespeicherte Daten durch dazu nicht autorisierte Personen ausgelesen und/oder verändert werden können. Unter Daten sind sowohl Befehle repräsentierende Daten (Befehlscode) als auch keinen Befehlscode repräsentierende "normale" Daten wie Operanden, Parameter, Konstanten etc. zu verstehen.
Diese Schutzmechanismen sind im betrachteten Beispiel Bestandteil der Speichereinrichtung M.
Der Aufbau der Speichereinrichtung M des hier vorgestellten MikroControllers ist in Figur 1 gezeigt.
Die Speichereinrichtung M enthält ein Speichermodul MM und eine Schnittstelle MI .
Das Speichermodul MM ist der Speicher, dessen Inhalt vor einem Auslesen und/oder Verändern durch eine hierzu nicht autorisierte Person geschützt werden soll.
Der Vollständigkeit halber sei bereits an dieser Stelle an- gemerkt, daß dann, wenn aus dem Speichermodul MM stammende Befehle und/oder Daten in einem Cache, einen Scratchpad- Speicher oder einem sonstigen Zwischenspeicher der programmgesteuerten Einheit swischengespeichert werden, auch deren Inhalt vor einem Auslesen durch hierzu nicht autorisierte Personen geschützt werden muß. Das Speichermodul MM enthält im betrachteten Beispiel einen als Programmspeicher verwendeten Teil MMP, einen als Datenspeicher verwendeten Teil D, und weitere, in der Figur 1 nicht gezeigte Komponenten, wie insbesondere Leseverstärker, Pufferspeicher, Steuereinrichtungen etc. Der Vollständigkeit halber sei bereits an dieser Stelle darauf hingewiesen, daß das Speichermodul MM auch ein ausschließlich als Programmspeicher verwendeter Speicher, oder ein ausschließlich als Datenspeicher verwendeter Speicher sein könnte. Außerdem kön- nen auch im Programmspeicher Daten (Operanden, Konstanten etc.) gespeichert sein, und können auch im Datenspeicher Programme gespeichert sein.
Das Speichermodul MM wird im betrachteten Beispiel durch einen Flash-Speicher gebildet. Das Speichermodul MM kann aber auch ein anderer umprogramraierbarer nichtflüchtiger Speicher, beispielsweise ein EEPROM, oder ein Festspeicher wie beispielsweise ein ROM, oder ein flüchtiger Speicher wie beispielsweise ein RAM sein.
Im betrachteten Beispiel ist der Programmspeicher MMP in 14 Sektoren MMPSO bis MMPS13 unterteilt, wobei die Sektoren MMPS1 bis MMPS13 zum Speichern von Programmen vorgesehen sind, und wobei der Sektor MMPSO zur Speicherung von Konfigu- rationsdaten vorgesehen ist.
Von.den zur Speicherung von Programmen vorgesehenen Sektoren MMPS1 bis MMPS13 weisen die Sektoren MMPS1 bis MMPS8 jeweils eine Speicherkapazität von 16 kByte auf, der Sektor MMPS9 eine Speicherkapazität von 128 kByte, der Sektor MMPSIO eine Speicherkapazität von 256 kByte, und die Sektoren MMPS11 bis 1PS13 jeweils eine Speicherkapazität von 512 kByte.
Die im Sektor MMPSO gespeicherten Konfigurationsdaten dienen zur Konfigurierung des Schreibschutzes und des Leseschutzes, durch welche das Auslesen und/oder Verändern der in den Sek- toren MMPS1 bis MMPS13 und im Datenspeicher MMD gespeicherten Daten durch dazu nicht autorisierte Personen verhindert wird.
Der Datenspeicher MMD weist im betrachteten Beispiel eine Speicherkapazität von 128 kByte auf und ist in 2 Sektoren
MMDS1 und MMDS2 unterteilt, welche jeweils 64 kByte umfassen.
Der Vollständigkeit halber sei darauf hingewiesen, daß sowohl beim Programmspeicher MMP als auch beim Datenspeicher MMD so- wohl die Anzahl der Sektoren als auch die Größe der Sektoren beliebig viel größer oder kleiner sein kann.
Das Speichermodul MM wird über die Schnittstelle MI angesprochen. D.h., sämtliche Zugriffe auf das Speichermodul MM er- folgen über die Schnittstelle MI .
Die Schnittstelle MI enthält eine Steuereinrichtung CTRL, eine Fehlerkorrektureinrichtung ECU, sowie in der Figur 1 nicht gezeigte weitere Komponenten wie Buffer, Latches, Register etc..
Die Schnittstelle MI und das Speichermodul MM sind über einen Steuerbus CTRLBUS1, einen Adreßbus ADDRBUS1, einen Schreibdatenbus WDATABUS1, einen Lesedatenbus RDATABUS1, und Fehler- korrekturdatenbusse ECCBUS1 und ECCBUS2 miteinander verbunden.
Die Schnittstelle MI ist mit der CPU und weiteren Komponenten des Mikrocontrollers, die auf die Speichereinrichtung M zu- greifen können, über einen Steuerbus CTRLBUS2, einen Adreßbus ADDRBUS2, einen Schreibdatenbus WDATABUS2, und einen Lesedatenbus RDATABUS2 verbunden.
Zu den weiteren Komponenten, die neben der CPU auf die Spei- chereinrichtung M zugreifen können, gehören im betrachteten Beispiel ein DMA-Controller, ein OCDS-Modul, und ein Periphe- ral Control Prozessor (PCP) ) . Es wäre jedoch auch denkbar, daß weitere und/oder andere Mikrocontroller-Komponenten auf die Speichereinrichtung WL zugreifen können.
Wenn eine der Einrichtungen, die auf die Speichereinrichtung M zugreifen können, Daten aus der Speichereinrichtung, genauer gesagt aus dem Programmspeicher MMP oder aus dem Datenspeicher MMD auslesen möchte, übermittelt sie über den Steuerbus CTRLBUS2 ein Lesesignal, und über den Adreßbus ADDRBUS2 die Adresse, unter welcher die benötigten Daten ge- speichert sind. Die Steuereinrichtung CTRL der Schnittstelle MI überprüft zunächst, ob es sich um einen zulässigen Zugriff handelt. Ein unzulässiger Zugriff liegt insbesondere vor, wenn ein Leseschutz wirksam ist, durch welchen das Auslesen der durch den Lesezugriff angeforderten Daten aus der Spei- chereinrichtung M verhindert werden soll. Wenn die Steuereinrichtung CTRL feststellt, daß es sich um einen unzulässigen Zugriff auf die Speichereinrichtung M handelt, führt sie diesen Zugriff nicht aus und signalisiert zudem der CPU und/oder sonstigen Mikrocontroller-Komponenten, daß ein unzulässiger Zugriff auf die Speichereinrichtung M erfolgt ist. Anderenfalls, d.h. wenn es sich um einen zulässigen Zugriff handelt, veranlaßt die Steuereinrichtung CTRL durch Übermittlung entsprechender Steuersignale und Adressen an das Speichermodul MM, daß die durch den Lesezugriff aus der Speichereinrichtung M angeforderten Daten aus dem Speichermodul MM ausgelesen und an die Schnittstelle MI ausgegeben werden. Die von der Steuereinrichtung CTRL an das Speichermodul MM übermittelten Steuersignale und Adressen werden über den Steuerbus CTRLBUS1 und den Adreßbus ADDRBUS1 übertragen; die vom Speichermodul MM ausgegebenen Daten werden über den Lesedatenbus RDATABUSl übertragen.
Neben den über den Lesedatenbus RDATABUSl übertragenen Daten gibt das Speichermodul MM auch noch diesen Daten zugeordnete Fehler orrektur- bzw. ECC-Daten aus. Diese Daten werden über den ECCBUS2 übertragen. Anschließend wird durch die Fehlerkorrektureinrichtung ECU unter Auswertung der über die Busse RDATABUSl und ECCBUS2 erhaltenen Daten überprüft, ob die über den Lesedatenbus RDATABUSl übertragenen Daten fehlerfrei sind. Wenn die Daten nicht fehlerfrei sind und es sich um einen korrigierbaren Fehler handelt, korrigiert sie diesen. Wie Fehler unter Verwendung eines ECC (error correction code) erkannt und korrigiert werden, ist bekannt und bedarf keiner näheren Erläuterung.
Danach gibt die Schnittstelle MI die vom Speichermodul MM ausgegebenen und gegebenenfalls korrigierten Daten über den Lesedatenbus RDATABUS2 an die Einrichtung aus, von welcher der Lesezugriff stammte.
Alle anderen Zugriffe auf die Speichereinrichtung M, insbesondere auch die Zugriffe, durch welche das Löschen von in der Speichereinrichtung M gespeicherten Daten veranlaßt wird, und die Zugriffe, durch welche das Einschreiben von Daten in die Speichereinrichtung M veranlaßt wird, werden durch die Übertragung von beispielsweise auf dem JEDEC-Standard basierenden Kommandosequenzen an die Speichereinrichtung M veranlaßt oder eingeleitet. Die Übertragung einer Kommandosequenz an die Speichereinrichtung M ist letztlich nichts anderes als ein Schreibzugriff auf die Speichereinrichtung M. D.h., der Speichereinrichtung M werden über den Steuerbus CTRLBUS2 ein Schreibsignal, über den Adreßbus ADDRBUS2 eine Adresse, und über den Schreibdatenbus WDATABUS2 Daten zugeführt. Eine Kommandosequenz kann einen oder mehrere aufeinanderfolgende Schreibsugriffe auf die Speichereinriσhtung M umfassen.
Die Schnittstelle MI interpretiert Schreibsugriffe auf die Speichereinrichtung M nicht als Zugriff, durch welchen die über den Schreibdatenbus WDATABUS2 übertragenen Daten in das Speichermodul MM zu schreiben sind. Statt dessen interpretiert sie Schreibzugriffe als Kommandos. Genauer gesagt bestimmt sie anhand der über den Adreßbus ADDRBUS2 übertragenen Adressen und der über den Schreibdatenbus WDATABUS2 übertragenen Daten, welche Aktion daraufhin auszuführen ist.
im Speichermodul MM Daten su löschen, wird an die Spei- chereinrichtung M eine Kommandosequenz übertragen, die ein Kommando "Erase Seσtor" repräsentiert. Diese Kommandosequenz besteht im betrachteten Beispiel 6 Schreibzyklen, von welchen 5 Zyklen reine fail-safβ-Zyklen, d.h. Zyklen mit festen Adressen und Daten sind, und nur in einem Zylus (im betrach- teten Beispiel der sechste Zyklus) eine variierbare Adresse und/oder variierbare Daten übertragen werden. Eine solche Kommandosequenz kann beispielsweise darin bestehen, daß
- in einem ersten Zyklus bzw. in einem ersten Sσhreibzugriff auf die Speichereinrichtung die Adresse 5554 und die Daten AA,
- in einem zweiten Zyklus bzw. in einem zweiten Schreibzugriff auf die Speichereinrichtung die Adresse AAA8 und die Daten 55,
- in einem dritten Zyklus bzw. in einem dritten Schreibzu- griff auf die Speichereinrichtung die Adresse 5554 und die
Daten 80,
- in einem vierten Zyklus bzw. in einem vierten Schreibzugriff auf die Speichereinrichtung die Adresse 5554 und die Daten AA, - in einem fünften Zyklus bzw. in einem fünften Schreibzugriff auf die Speichereinrichtung die Adresse AAA8 und die Daten 55, und
- in einem sechsten Zyklus bzw. in einem sechsten Schreibzugriff auf die Speichereinrichtung als Adresse die Adresse des zu löschenden Sektors und die Daten 30, an die Speichereinrichtung M übertragen werden.
Der Vollständigkeit halber sei angemerkt, daß die Adressen und Daten vorstehend im Hexadezimal-Format angegeben sind, und daß das Löschen von im Speichermodul MM gespeicherten Daten in Einheiten von Sektoren erfolgt, also daß nur immer ein ganzer Sektor gelöscht werden kann. Insbesondere wenn es sich beim Speichermodul MM nicht um einen Flash-Speicher handelt, sondern beispielsweise um ein RAM, ein ROM, ein EEPRO etc., kann das Löschen auch in anderen Einheiten erfolgen, beispielsweise pageweis , wortweise, etc.
Die Steuereinrichtung CTRL decodiert die der Speichereinrichtung M durch Schreibzugriffe zugeführte Ko mandosequens . Genauer gesagt ermittelt sie aus den ihr durch die Schreibzugriffe zugeführten Adressen und Daten die von ihr auszufüh- rende Aktion.
Wenn der Speichereinrichtung M eine des Kommando "Erase Sector" repräsentierende Kommandosequenz zugeführt wird, erkennt sie, daß ein bestimmter Sektor im Speichermodul MM ge- löscht werden soll. Sodann überprüft die Steuereinrichtung CTRL, ob es sich hierbei um einen zulässigen Zugriff auf die Speichereinrichtung M handelt. Ein unzulässiger Zugriff liegt insbesondere vor, wenn für den zu löschenden Sektor ein Sσhreibschutz wirksam ist. Wenn die Steuereinrichtung CTRL feststellt, daß es sich um einen unzulässigen Zugriff auf die Speichereinrichtung M handelt, führt sie diesen Zugriff nicht aus und signalisiert zudem der CPU und/oder sonstigen Mikrocontroller-Komponenten, daß ein unzulässiger Zugriff auf die Speichereinrichtung M erfolgt ist. Anderenfalls, d.h. wenn es sich um einen zulässigen Zugriff handelt, veranlaßt die Steuereinrichtung CTRL durch Übermittlung entsprechender Steuersignale und Adressen an das Speichermodul MM, daß der im "Erase Sector"-Kommando spezifizierte Sektor im Speichermodul MM gelöscht wird,
Um in das Speichermodul MM Daten zu schreiben, wird im betrachteten Beispiel an die Speichereinrichtung M zunächst eine Kommandosequenz übertragen, die ein Kommando "Enter Page Mode" repräsentiert. Diese Kommandosequenz kann beispielsweise darin bestehen, daß in einem Schreibzugriff auf die Speichereinrichtung M die Adresse 5554 und die Daten 50 an die Speichereinrichtung M übertragen werden. Wenn der Speichereinrichtung M eine das Kommando "Enter Page Mode™ repräsentierende Kommandosequens zugeführt wird, erkennt sie, daß sie in den Page Mode wechseln muß. Im Page Mode findet ein pageweiser Zugriff auf das Speichermodul MM statt. Eine Page umfaßt im betrachteten Beispiel bei Zugriffen auf den Programmspeicher MMP 256 Bytes, und bei Zugriffen auf den Datenspeicher MMD 128 Bytes.
Der Vollständigkeit halber sei angemerkt, daß die Größen der Pages unabhängig voneinander beliebig groß sein können. Ferner sei angemerkt, daß das "Enter-Page-Mode"-Kommando und auch die im folgenden noch genauer beschriebenen weiteren Page-Kommandos nur vorgesehen werden müssen, wenn das Spei- chermodul MM pageweise beschrieben wird. Insbesondere wenn das Speichermodul nicht durch einen Flash-Speicher gebildet wird, kann das Beschreiben des Speichermoduls auch in größeren oder kleineren Einheiten, beispielsweise wortweise erfolgen.
Der Wechsel in den Page Mode hat noch kein Einschreiben von Daten in das Speichermodul MM zur Folge. Dies geschieht erst durch ein später noch genauer beschriebenes "Write Page"- Kommando.
Vor der Ausführung dieses Kommandos müssen jedoch erst die in das Speichermodul MM zu schreibenden Daten an die Speichereinrichtung M übertragen werden. Dies geschieht durch ein oder mehrere "Load Page" -Kommandos.
Eine ein "Load Page" -Kommando repräsentierende Kommandosequenz kann beispielsweise darin bestehen, daß in einem Schreibzugriff auf die Speichereinrichtung M die Adresse 555( und als Daten 32 oder 64 Bits der Daten, die in das Speicher- modul MM geschrieben werden sollen, an die Speichereinrichtung M übertragen werden. Wenn der Speichereinrichtung M eine des Kommando "Load Page" repräsentierende Kommando equenz zugeführt wird, schreibt die Steuereinrichtung CTRL die in der Kommandosequens enthaltenen Daten in einen beispielsweise durch ein Register gebildeten Zwischenspeicher der Schnittstelle MI. Darüber hinaus erzeugt die Steuereinrichtung CTRL, genauer gesagt die Fehlerkorrektureinrichtung ECU derselben für diese Daten Fehlerkorrekturbzw. ECC-Daten, unter Verwendung welcher sich bei einem späteren Auslesen dieser Daten aus dem Speichermodul MM in den ausgelesenen Daten enthaltene Fehler erkennen und/oder beheben lassen, und speichert diese Daten ebenfalls in einem beispielsweise durch ein Register gebildeten Zwischenspeicher.
Der Speichereinrichtung M werden nacheinander so viele "Load Page" repräsentierende Kommandosequenzen zugeführt, bis im Zwischenspeicher so viele Daten gespeichert ist, wie von einer Page umfaßt werden.
Danach wird der Speichereinrichtung M eine ein "Write Page"- Kommando repräsentierende Kommandosequenz zugeführt. Diese Kommandosequenz kann beispielsweise darin bestehen, daß
- in einem ersten Zyklus bzw. in einem ersten Schreibzugriff auf die Speichereinrichtung die Adresse 5554 und die Daten AA, - in einem zweiten Zyklus bzw. in einem zweiten Schreibzugriff auf die Speichereinrichtung die Adresse AAA8 und die Daten 55,
- in einem dritten Zyklus bzw. in einem dritten Schreibzugriff auf die Speichereinrichtung die Adresse 5554 und die Daten A0, und
- in einem vierten Zyklus bzw. in einem vierten Schreibzugriff auf die Speichereinrichtung als Adresse die Adresse der zu beschreibenden Page innerhalb des Speichermoduls, und die Daten AA, an die Speichereinrichtung übertragen werden. Zumindest jetzt, d.h. nach dem Empfang eines "Write Pageπ- Kommandos, eventuell aber auch schon nach dem Empfang eines "Enter Page Mode"-Kommandos und/oder nach dem Empfang eines "Load Page" -Kommandos überprüft die Steuereinrichtung CTRL, ob es sich bei dem betreffenden Zugriff um einen zulässigen Zugriff auf die Speichereinrichtung M handelt. Ein unzulässiger Zugriff liegt insbesondere vor, wenn ein Schreibschutz wirksam ist, durch welchen Veränderungen des Inhalts des zu beschreibenden Speicherbereiches verhindert werden sollen. Wenn die Steuereinrichtung CTRL feststellt, daß es sich um einen unzulässigen Zugriff auf die Speichereinrichtung M handelt, führt sie diesen Zugriff nicht aus und signalisiert zudem der CPU und/oder sonstigen Mikrocontroller-Komponenten, daß ein unzulässiger Zugriff auf die Speichereinrichtung M erfolgt ist. Anderenfalls, d.h. wenn es sich um einen zulässigen Zugriff handelt, veranlaßt die Steuereinrichtung CTRL durch Übermittlung der entsprechenden Steuersignale, Adressen und Daten an das Speichermodul MM, daß die im Zwischenspeicher gespeicherten Daten an die im "Write Page"- Kommando spezifizierte Stelle innerhalb des Speichermoduls geschrieben werden.
Darüber hinaus werden die zuvor erzeugten Fehlerkorrekturbzw. ECC-Daten von der Steuereinrichtung CTRL über den Fehlerkorrekturdatenbus ECCBUS1 zum Speichermodul MM übertragen und ebenfalls im Speichermodul MM gespeichert.
Durch die vorstehend beschriebenen Kommandos können nur die Sektoren MMPS1 bis MMPS13 des Programmspeichers MMP und die Sektoren MMDSl und MMDS2 des Datenspeichers gelöscht und beschrieben werden. Zum Löschen und Beschreiben des Sektors MMPSO werden zumindest teilweise andere Kommandos benötigt. Diese Kommandos werden später noch genauer beschrieben.
Durch den vorstehend bereits mehrfach erwähnten Leseschutz und Sσhreibschutz soll und kann verhindert werden, daß in der Speichereinrichtung M gespeicherte Daten durch dazu nicht autorisierte Personen ausgelesen und/oder verändert werden.
Ob und gegebenenfalls in welchem Umfang ein Leseschutz und/oder ein Schreibschutz wirksam ist, hängt unter anderem von durch den Benutzer des Mikrocontrollers vorgenommenen Einstellungen ab. Es sei jedoch bereits an dieser Stelle darauf hingewiesen, daß es auch noch von anderen Faktoren abhängt, ob und in welchem Umfang ein Leseschutz und/oder ein Schreibschutz wirksam ist. Hierauf wird später noch genauer eingegangen.
Die durch den Benutzer vornehmbaren Einstellungen erfolgen
- durch ein entsprechendes Beschreiben von im folgenden als UCBs bezeichneten user configuration blocks,
- durch ein temporäres Aufheben und Wiederinkraftsetzen der in den UCBs enthaltenen Einstellungen, und
- durch ein Setzen und Zurücksetzen bestimmter Bits in Steuerregistern der Speichereinrichtung M.
Die erwähnten UCBs sind Bestandteil des Sektors MMPSO des Programmspeichers MMP, und können durch den Benutzer der programmgesteuerten Einheit nur beschrieben, aber nicht ausgelesen werden. Der Sektor MMPSO des Programmspeichers MMP enthält in betrachteten Beispiel drei UCBs, welche im folgenden als UCB0, UCB1, und UCB2 bezeichnet werden. Jeder UCB besteht aus vier Pages (Page 0 bis Page 3) , von welchen jede 256 Bytes umfaßt.
Es sei bereits an dieser Stelle darauf hingewiesen, daß auch mehr oder weniger UCBs vorgesehen sein können, und daß die Anzahl und die Größe der Pages, die die UCBs umfassen, unabhängig voneinander beliebig groß sein können. Der UCBO kann durch einen ersten Benutzer der programmgesteuerten Einheit beschrieben und gelöscht werden und enthält im betrachteten Beispiel
- Leseschutzeinstellungen, durch welche der erste Benutzer vorgeben kann, ob ein Leseschutz wirksam sein soll, - Schreibschutseinstellungen, durch welche der erste Benutzer vorgegeben kann, für welche Teile des Speichermoduls MM ein Schreibschutz wirksam sein soll, - ein vom ersten Benutzer wählbares Kennwort, unter Verwendung dessen der erste Benutzer den durch seine Leseschutz- einstellungen definierten Leseschutz und/oder den durch seine Schreibschutzeinstellungen definierten Schreibschutz temporär aufheben kann, und - einen vorgegebenen Confirmation Code, durch dessen Einschreiben in den UCBO der erste Benutzer die Gültigkeit der im UCBO gespeicherten Daten bestätigt.
Die Leseschutzeinstellungen und die Schreibschutzeinstellun- gen umfassen im betrachteten Beispiel zwei Bytes. Diese Bytes werden im folgenden als Schutzeinstellungs-Bytes bezeichnet und sind in Figur 2 dargestellt.
Die Bits 0 bis 12 der Schutzeinstellungs-Bytes sind Schreib- schutzeinstellungs-Bits, durch welche spezifiziert wird, für welche der Sektoren MMPS1 bis MMPS13 des Programmspeichers ein Schreibschutz wirksam sein soll; die Sehreibschutzein- stellungs-Bits sind in der Figur 2 mit den Bezugszeichen S0L bis S12L bezeichnet. Von den Bits S0L bis S12L ist jeweils ein Bit einem der Sektoren MMPS1 bis MMPS13 zugeordnet.
Genauer gesagt ist das Bit S0L dem Sektor MMPS1 zugeordnet, das Bit S1L dem Sektor MMPS2 zugeordnet, das Bit S2L dem Sektor MMPS3 zugeordnet,..., und das Bit S12L dem Sektor MMPS13 zugeordnet. Durch den Wert der einzelnen Bits S0L bis S12L wird festgelegt, ob für den zugeordneten Sektor ein Schreibschutz wirksam sein soll oder nicht. Wenn beispielsweise das Bit S5L den Wert 1 aufweist, bedeutet dies, daß für den zuge- ordneten Sektor MMPS6 ein Schreibschutz wirksam sein soll; wenn dieses Bit den Wert 0 aufweist, bedeutet dies, daß für den zugeordneten Sektor MMPSβ kein Schreibschuts wirksam sein soll .
Das Bit 15 der Schutzeinstellungs-Bytes ist ein Leseschut - einstellungs-Bit, durch welches spezifiziert wird, ob für das Speichermodul MM ein Leseschutz wirksam sein soll; das Lese- schutzeinstellungs-Bit ist in der Figur 2 mit dem Bezugszei- chen RPRO bezeichnet. Wenn das Bit RPRO den Wert 1 aufweist, bedeutet dies, daß ein Leseschutz wirksam sein soll; wenn das Bit RPRO den Wert 0 aufweist, bedeutet dies, daß kein Leseschutz wirksam sein soll.
Das Kennwort umfaßt im betrachteten Beispiel 64 Bits, kann aber auch beliebig länger oder kürzer sein.
Im betrachteten Beispiel ist es so, daß die Schutzeinstellungs-Bytes und das Kennwort Bestandteil der ersten Page (Page 0) von UCBO sind, der Confirmation Code Bestandteil der dritten Page (Page 2) von UCBO ist, und die restlichen Pages (Pages 1 und 3) von UCBO für zukünftige Verwendungen reserviert sind.
Der UCBl kann durch einen zweiten Benutzer der programmgesteuerten Einheit beschrieben und gelöscht werden und enthält im betrachteten Beispiel
- Schreibschutzeinstellungen, durch welche der zweite Be- nutzer vorgeben kann, für welche Bereiche des Speichermoduls MM ein Schreibschutz wirksam sein soll,
- ein vom zweiten Benutzer wählbares Kennwort, unter Verwendung dessen der zweite Benutzer den durch seine Schreibschutzeinsteilungen definierten Schreibschuts temporär auf- heben kann, und - einen vorgegebenen Confirmation Code, durch dessen Einschreiben der zweite Benutzer die Gültigkeit der im UCBl gespeicherten Daten bestätigt.
Die Schreibschutzeinstellungen sind wie beim UCBO in zwei
Schutzeinstellungs-Bytes enthalten. Diese Schutzeinstβllungs- Bytes sind in Figur 3 veranschaulicht .
Die Schutzeinstellungs-Bytes des UCBl entsprechen weitest- gehend den Schutzeinstellungs-Bytes des UCBO. Einziger Unterschied ist, daß in den Schutzeinstellungs-Bytes des UCBl kein Leseschutzeinstellungs-Bit RPRO vorgesehen ist. Dies hat den Effekt, daß der zweite Benutzer nicht bestimmen kann, ob ein Leseschutz wirksam sein soll oder nicht; dies kann nur der erste Benutzer tun.
Die Schutzeinstellungs-Bytes des UCBl enthalten aber wie die Schutzeinstellungs-Bytes des UCBO Schreibschutzeinstellungs- Bits S0L bis S12L, über welche der zweite Benutzer einstellen kann, für welche der Sektoren MMPSl bis MMPS13 ein Schreibschutz wirksam sein soll.
Das Kennwort umfaßt im betrachteten Beispiel 64 Bits, kann aber auch beliebig länger oder kürzer sein.
Im betrachteten Beispiel ist es so, daß die Schutzeinstellungs-Bytes und das Kennwort Bestandteil der ersten Page (Page 0) von UCBl sind, der Confirmation Code Bestandteil der dritten Page (Page 2) von UCBl ist, und die restlichen Pages (Pages 1 und 3) von UCBl für zukünftige Verwendungen reserviert sind.
Der UCB2 weist gegenüber dem UCBO und dem UCBl einige Besonderheiten auf und wird später genauer beschrieben.
Durch Einschreiben entsprechender Daten in die Schutzeinstellungs-Bytes des UCBO und des UCBl kann durch den bzw. die Benutzer des Mikrocontrollers eingestellt werden, ob bzw. im welchem Umfang ein Leseschutz und/oder ein Schreibschut wirksam sein soll .
5 Wenn ein Leseschutz wirksam sein soll, muß der erste Benutzer des Mikrocontrollers das Leseschutzeinstellungs-Bit RPRO der
Schutzeinstellungs-Bytes des UCBO setzen.
Im betrachteten Beispiel wird durch Setzen des Leseschutzein-
L0 stellungs-Bits RPRO des UCBO eingestellt, daß aus dem gesamten Speichermodul MM keine Daten ausgelesen werden können sollen. Der Vollständigkeit halber sei angemerkt, daß es ohne Probleme möglich wäre, Einstellmöglichkeiten in UCBO vorzusehen, durch welche eingestellt werden kann, daß nur für be-
L5 stimmte Bereiche des Speichermoduls MM ein Leseschutz wirksam sein soll. Dies ließe sich beispielsweise dadurch bewerkstelligen, daß in den Schutzeinstellungs-Bytes von UCBO zusätzliche Leseschutzeinstellungs-Bits vorgesehen werden und die dann vorhandenen Leseschutzeinstellungs-Bits ähnlich wie
»0 die Schreibschutzeinstellungs-Bits bestimmten Bereichen des Speichermoduls MM zugeordnet werden. Dann wäre durch die Leseschutzeinstellungs-Bits einstellbar, für welche Bereiche des Speichermoduls MM ein Leseschutz wirksam sein soll. Darüber hinaus wäre es selbstverständlich auch möglich, daß
>5 sowohl der UCBO als auch der UCBl ein oder mehrere Leseschutzeinstellungs-Bits enthalten. Dann könnten sowohl der erste Benutzer als auch der zweite Benutzer einstellen, ob und gegebenenfalls für welche Bereiche des Speichermoduls MM ein Leseschutz wirksam sein soll. Natürlich wäre es auch
J0 möglich, daß nur der zweite Benutzer durch entsprechende Einstellungen in UCBl vorgeben kann, ob und gegebenenfalls in welchem Umfang ein Leseschutz wirksam sein soll.
Wenn ein Schreibschutz wirksam sein soll, müssen der erste
55 Benutzer des Mikrocontrollers und/oder der zweite Benutzer des Mikrocontrollers eines oder mehrere der Schreibschutz- einstellungs-Bits SOL bis S12L der Schutzeinstellungs-Bytes des UCBO bzw. des UCBl setzen.
Im betrachteten Beispiel wird durch die Schreibschutz- 5 einstellungs-Bits SOL bis S12L von UCBO und UCBl eingestellt, für welche Bereiche des Speichermoduls MM, genauer gesagt für welche Sektoren des Speichermoduls ein Schreibschutz wirksam sein soll. Ein Schreibschutz ist jeweils nur für diejenigen Sektoren wirksam, welchen die gesetzten Bits unter den L0 Schreibschutzeinstellungs-Bits SOL bis S12L zugeordnet sind. Wenn von den Schreibschutzeinstellungs-Bits SOL bis S12L des UCBO und des UCBl beispielsweise nur das Schreibschutzein- stellungs-Bit S3L des UCBO und das Schreibschutzeinstellungs- Bit SSL des UCBl gesetzt sind, bedeutet dies, daß nur für die L5 Sektoren MMPS4 und MMPS6 ein Schreibschutz wirksam sein soll.
Der vorstehend bereits erwähnte UCB2 kann durch einen dritten Benutzer der programmgesteuerten Einheit beschrieben werden und enthält im betrachteten Beispiel .0
- Schreibschutzeinstellungen, durch welche der dritte Benutzer vorgeben kann, welche Bereiche des Speichermoduls MM sich wie ein ROM verhalten sollen, und
- einen vorgegebenen Confirmation Code, durch dessen Ein- J5 schreiben der dritte Benutzer die Gültigkeit der im UCB2 gespeicherten Daten bestätigt.
Die Schreibschutzeinstellungen sind wie beim UCBO und beim UCBl in zwei Schutzeinstellungs-Bytes enthalten. Diese 50 Schutzeinstellungs-Bytes sind in Figur 4 veranschaulicht.
Die Bits 0 bis 12 der Schutzeinstellungs-Bytes sind Schreibschutzeinstellungs-Bits, durch welche spezifiziert wird, für welche der Sektoren MMPSl bis MMPS13 des Programmspeichers $5 ein Schreibschutz wirksam sein soll; die Schreibschutzeinstellungs-Bits sind in der Figur 4 mit den Bezugszeichen S0ROM bis S12ROM bezeichnet. Von den Bits S0ROM bis S12ROM ist jeweils ein Bit einem der Sektoren MMPSl bis MMPS13 zugeordnet. Genauer gesagt ist das Bit S0ROM dem Sektor MMPSl zugeordnet, das Bit S1KOM dem Sektor MMPS2 zugeordnet, das Bit S2ROM dem Sektor MMPS3 zugeordnet,..., und das Bit S12ROM dem Sektor MMPS13 zugeordnet. Durch den Wert der einzelnen Bits S0ROM bis S12ROM wird festgelegt, ob für den zugeordneten Sektor ein Schreibschutz wirksam sein soll oder nicht. Wenn beispielsweise das Bit S5ROM den Wert 1 aufweist, bedeutet dies, daß für den zugeordneten Sektor MMPS6 ein Schreib- schütz wirksam sein soll; wenn dieses Bit den Wert 0 aufweist, bedeutet dies, daß für den zugeordneten Sektor MMPS6 kein Schreibschutz wirksam sein soll.
Insoweit entsprechen die Schutzeinstellungs-Bytes des UCB2 im wesentlichen den Schutzeinstellungs-Bytes des UCBl. Im Gegensatz zu UCBO und UCBl ist der UCB2 nach dem Einschreiben des Confirmation Codes jedoch nicht mehr lδschbar und nicht mehr wiederbeschreibbar. Ferner kann - ebenfalls im Gegensatz zu UCBO und UCBl - der durch UCB2 definierte Schreibschutz nicht 0 temporär deaktiviert werden. Dies hat den Effekt, daß durch die Sσhreibschutzeinstellungs-Bits des UCB2 vorgegeben wird, ob und gegebenenfalls welche Bereiche des Speichermoduls MM sich wie ein nie mehr umprogrammierbarer Speicher, also wie ein ROM verhalten. Der UCB2 verhält sich nach dem Einschrei- 5 ben des Confirmation Code in diesen wie ein zumindest durch den Benutzer nicht lesbares ROM.
Im betrachteten Beispiel ist es so, daß die Schutzeinstellungs-Bytes Bestandteil der ersten Page (Page 0) von UCB2 3. sind, der Confirmation Code Bestandteil der dritten Page
(Page 2) von UCB2 ist, und die restlichen Pages (Pages 1 und 3) von UCB2 für zukünftige Verwendungen reserviert sind.
Die UCBs können durch den ersten bsw. den zweiten bzw. den 5 dritten Benutzer durch die Übermittlung spezieller Kommandosequenzen an die Speichereinrichtung M beschrieben werden. Die UCBs können - ebenfalls durch die Übermittlung spezieller Kommandosequenzen - auch wieder gelöscht und erneut beschrieben werden. Sie können jedoch durch den Benutzer der programmgesteuerten Einheit nicht ausgelesen werden.
Der UCB2 kann allerdings nach dem Einschreiben des Confirmation Code in den UCB2 nicht mehr gelöscht und nicht mehr beschrieben werden.
Um einen UCB zu löschen, muß zunächst durch das vorstehend bereits erwähnte und später noch genauer beschriebene Kommando "Disable Write Protection" der Schreibschutz für den zu löschenden UCB aufgehoben werden, denn obgleich dem die UCBs enthaltenden Sektor MMPSO kein Schreibschutzein- stellungs-Bit in den UCBs zugeordnet ist, ist jeder ordnungsgemäß, d.h. einschließlich des richtigen Confirmation Codes beschriebene UCB automatisch lese- und schreibgeschützt. Nur wenn der zu löschende UCB noch nicht oder nicht ordnungsgemäß, d.h. ohne gültigen Confirmation Code beschrieben wurde, ist keine Aufhebung des Schreibschutzes erforderlich.
Zum eigentlichen Löschen eines UCB wird an die Speichereinrichtung M eine Kommandosequenz übertragen, die ein Kommando "Erase UCB" repräsentiert. Diese Kommandosequenz kann beispielsweise darin bestehen, daß
- in einem ersten Zyklus bzw. in einem ersten Schreibzugriff auf die Speichereinrichtung die Adresse 5554 und die Daten AA,
- in einem zweiten Zyklus bzw. in einem zweiten Schreibzugriff auf die Speichereinrichtung die Adresse AAA8 und die Daten 55,
- in einem dritten Zyklus bzw. in einem dritten Schreibzugriff auf die Speichereinrichtung die Adresse 5554 und die Daten 80, - in einem vierten Zyklus bzw. in einem vierten Schreibzugriff auf die Speichereinrichtung die Adresse 5554 und die Daten AA,
- in einem fünften Zyklus bzw. in einem fünften Schreifosu- griff auf die Speichereinrichtung die Adresse AAA8 und die Daten 55, und
- in einem sechsten Zyklus bzw. in einem sechsten Schreibzugriff auf die Speichereinrichtung als Adresse die Adresse des zu löschenden UCB und die Daten 40, an die Speichereinrichtung übertragen werden.
Wenn der Speichereinrichtung M eine das Kommando "Erase UCB" repräsentierende Kommandosequenz zugeführt wird, erkennt sie, genauer gesagt die Steuereinrichtung CTRL derselben, daß der im sechsten Zyklus der Kommandosequenz spezifizierte UCB gelöscht werden soll. Die Steuereinrichtung CTRL überprüft sodann, ob es hierbei um einen zulässigen Zugriff handelt. Ein unzulässiger Zugriff liegt insbesondere vor, wenn der zu löschende UCB schreibgeschützt ist. Wenn die Steuereinrichtung feststellt, daß ein unzulässiger Zugriff vorliegt, führt sie das Kommando nicht aus und signalisiert zudem der CPU und/oder sonstigen Mikrocontroller-Komponenten, daß ein unzulässiger Zugriff auf die Speichereinrichtung erfolgt ist. Anderenfalls, d.h. wenn es sich um einen zulässigen Zugriff handelt, veranlaßt die Steuereinrichtung CTRL durch Übermittlung entsprechender Steuersignale und Adressen an das Speichermodul MM, daß der im "Erase UCB" -Kommando spezifizierte UCB im Sektor MMPSO des Speichermoduls MM gelöscht wird. Anders als beim eingangs beschriebenen Kommando "Erase Sector" wird durch das Kommando "Erase UCB" nicht das Löschen eines kompletten Sektors des Speichermoduls MM, sondern nur eines bestimmten UCB des Sektors MMPSO veranlaßt.
Um in einen UCB Daten zu schreiben, wird an die Speichereinrichtung M zunächst ein "Enter Page Mode" -Kommando, dann ein oder mehrere "Load Page" -Kommandos, und schließlich ein "Write UC Page" -Kommando übertragen. Das Beschreiben eines UCB ist nur zulässig, wenn dieser noch nie beschrieben wurde oder zuvor gelöscht wurde. Ob dies der Fall ist, wird von der Steuereinrichtung CTRL überprüft und kann beispielsweise daran erkannt werden, daß im zu beschreibenden UCB kein oder kein gültiger Confirmation Code steht.
Die das "Enter Page Mode" -Kommando und das "Load Page"- Kommando repräsentierenden Kommandosequenzen sowie die Reak- tion der Steuereinrichtung CTRL auf diese Kommandos wurden bereits eingangs beschrieben.
Die das "Write UC Page" -Kommando repräsentierende Kommandosequenz kann beispielsweise darin bestehen, daß - in einem ersten Zyklus bzw. in einem ersten Schreibzugriff auf die Speichereinrichtung die Adresse 5554 und die Daten
- in einem zweiten Zyklus bzw. in einem zweiten Schreibzugriff auf die Speichereinrichtung die Adresse AAA8 und die
3 Daten 55,
- in einem dritten Zyklus bzw. in einem dritten Schreibzugriff auf die Speichereinrichtung die Adresse 5554 und die Daten 00, und
- in einem vierten Zyklus bzw. in einem vierten Schreibzu-
5 griff auf die Speichereinrichtung als Adresse die Adresse der zu beschreibenden Page des zu beschreibenden UCB und die Daten 90, an die Speichereinrichtung übertragen werden.
) Wenn die Speichereinrichtung M ein "Write UC Page" -Kommando zugeführt bekommt, überprüft die Steuereinrichtung CTRL, ob es sich bei dem betreffenden Zugriff um einen zulässigen Zugriff auf die Speichereinrichtung M handelt. Ein unzulässiger Zugriff liegt insbesondere vor, wenn der zu beschreibende UCB
3 bereits einen gültigen Confirmation Code enthält, also schreibgeschützt ist. Wenn die Steuereinrichtung CTRL feststellt, daß es sich um einen unzulässigen Zugriff auf die Speichereinrichtung M handelt, führt sie diesen Zugriff nicht aus und signalisiert zudem der CPU und/oder sonstigen Mikrocontroller-Komponenten, daß ein unzulässiger Zugriff auf die Speichereinrichtung M erfolgt ist. Anderenfalls, d.h. wenn es
5 sich um einen zulässigen Zugriff handelt, veranlaßt die
Steuereinrichtung CTRL durch Übermittlung der entsprechenden Steuersignale, Adressen und Daten an das Speichermodul MM, daß die der Speichereinrichtung M durch das "Load Page"- Kommando zugeführten und zwischengespeicherten Daten an die
.0 im "Write UC Page"-Kommando spezifizierte Page des zu beschreibenden UCB geschrieben werden.
Die Einträge in UCBO, UCBl, und UCB2 werden nur wirksam, wenn der jeweilige Confirmation Code in die UCBs geschrieben .5 wurde. Durch ein Löschen oder Beschreiben der UCBs erfolgte Veränderungen des Inhalts der UCBs entfalten jedoch erst ab dem nächsten Rücksetzen des Mikrocontrollers Wirkung.
Der Confirmation Code sollte erst in den jeweiligen UCB ge-
!0 schrieben werden, wenn sicher ist, daß die darin gespeicherten Informationen richtig sind. Insbesondere sollte sicher sein, daß das im jeweiligen UCB gespeicherte Kennwort auch das Kennworte ist, das der Benutzer in den UCB schreiben wollte. Dies kann beispielsweise durch das später noch ge-
55 nauer beschriebene Kommando "Disable Write Protection" ermittelt werden. Die Übermittlung eines "Disable Write Protection"-Kommandos an die Speichereinrichtung M hat eine Fehlermeldung zur Folge, wenn das im Kommando enthaltene Kennwort nicht mit dem im UCB gespeicherten Kennworte über-
J0 einstimmt, übermittelt, der den UCB beschreibende Benutzer an die Speichereinrichtung M ein "Disable Write Protection" - Kommando, welches das soeben in den UCB geschriebene Kennwort als Kennwort enthält, so kann am Auftreten oder Ausbleiben dieser Fehlermeldung erkannt werden, ob das im UCB
35 gespeicherte Kennwort das vom Benutzer festgelegte Kennwort ist oder nicht . Der UCBO und der UCBl können durch den ersten Benutzer bzw. den zweiten Benutzer des Mikrocontrollers beliebig oft beschrieben und gelöscht werden. Es könnte auch vorgesehen werden, das Löschen und Wiederbeschreiben von UCBO und UCBl nur eine bestimmte Ansahl von Malen zuzulassen. Beispielsweise könnte vorgesehen werden, daß der UCBO und der UCBl maximal fünf mal beschreibbar sind.
Der erste Benutzer und der zweite Benutzer des Mikrocon- trollers haben die Möglichkeit, die in UCBO bzw. in UCBl enthaltenen Einstellungen durch Übertragung entsprechender Kommandos, genauer gesagt durch Übertragung von diese Kommandos repräsentierenden Kommandosequenzen an die Speichereinrichtung M vorübergehend außer Kraft zu setzen. Dadurch kann durch den ersten Benutzer der von ihm in UCBO eingestellte Lese- und Schreibschutz bzw. durch den zweiten Benutzer der von ihm in UCBl eingestellte Schreibsσhutz temporär aufgehoben werden.
Die erwähnten Kommandos umfassen im betrachteten Beispiel ein Kommando "Disable Write Protection", ein Kommando "Disable Read Protection" , und ein Kommando "Resume Protection" .
Eine ein "Disable Write Protection"-Kommando repräsentierende Kommandosequenz kann beispielsweise darin bestehen, daß
- in einem ersten Zyklus bzw. in einem ersten Schreibzugriff auf die Speichereinrichtung die Adresse 5554 und die Daten AA,
- in einem zweiten Zyklus bzw. in einem zweiten Schreibzu- griff auf die Speichereinrichtung die Adresse AAA8 und die Daten 55,
- in einem dritten Zyklus bzw. in einem dritten Schreibzugriff auf die Speichereinrichtung die Adresse Uli und als Daten eine Kennung, die dem das Kommando veranlassenden Be- nutzer zugeordnet ist,
- in einem vierten Zyklus bzw. in einem vierten Schreibzugriff auf die Speichereinrichtung die Adresse 1112 und als Daten eine erste Hälfte des Kennwortes, das in dem UCB gespeichert ist, der dem im dritten Zyklus spezifizierten Benutzer zugeordnet ist,
- in einem fünften Zyklus bzw. in einem fünften Schreibzugriff auf die Speichereinrichtung die Adresse 1112 und als Daten die zweite Hälfte des Kennwortes, das in dem UCB gespeichert ist, der dem im dritten Zyklus spezifizierten Benutzer zugeordnet ist, und
- in einem sechsten Zyklus bzw. in einem sechsten Schreibzugriff auf die Speichereinrichtung die Adresse 3333 und die Daten 01, an die Speichereinrichtung übertragen werden.
Wenn der Speichereinrichtung M eine des Kommando "Disable Write Protection" repräsentierende Kommandosequenz zugeführt wird, überprüft sie, genauer gesagt die Steuereinrichtung CTRL derselben, zunächst, ob die im dritten Zyklus übertragene Kennung die dem ersten Benutzer oder die dem zweiten Benutzer zugeordnete Kennung ist, und ob das im vierten Zyklus und im fünften Zyklus übertragene Kennwort das Kennwort ist, das in dem dem betreffenden Benutzer zugeordneten UCB gespeichert ist. Das Kennwort muß mit den in UCBO gespeicherten Kennwort übereinstimmen, wenn die im dritten Zyklus übertragene Kennung die dem ersten Benutzer zugeordnete Kennung ist, bzw. muß mit dem in UCBl gespeicherten Kennwort übereinstimmen, wenn die im dritten Zyklus übertragene Kennung die dem zweiten Benutzer zugeordnete Kennung ist. Wenn die Überprüfung ergibt, daß die genannten Bedingungen nicht erfüllt sind, geht die Steuereinrichtung CTRL davon aus, daß es sich bei dem ihr zugeführten Kommando um einen unzulässigen Zugriff (um einen Zugriff durch eine dazu nicht autorisierte Person) auf die Speichereinrichtung M handelt. In diesem Fall führt die Steuereinrichtung CTRL das Kommando nicht aus und signalisiert zudem der CPU und/oder sonstigen Mikrocontroller-Komponenten, daß ein unzulässiger Zugriff auf die Speichereinrichtung M erfolgt ist. Anderenfalls sorgt die Steuereinrichtung CTRL dafür, daß der Schreibsσhutz in dem Umfang, in welchen ihn der im dritten Zyklus der Kommandosequenz spezifizierte Benutzer in dem ihm zugeordneten UCB festgelegt hat, unwirksam wird.
5 In welchem Umfang der Schreibschuts unwirksam wird, hängt im betrachteten Beispiel zusätzlich davon ab, von welchem Benutzer das "Disable Write Protection"-Kommando stammt. Genauer gesagt ist es im betrachteten Beispiel so, daß die Einstellungen und Kommandos des ersten Benutzers Vorrang haben.
L0 D.h., durch ein vom zweiten Benutzer veranlaßtes "Disable Write protection"-Kommando kann der Schreibschutz nur für diejenigen Sektoren aufgehoben werden, für die der erste Benutzer keinen Schreibschutz begehrt. D.h., wenn beispielsweise in UCBO die Schreibschutzeinstellungs-Bits SOL und S1L
.5 gesetzt sind, und in UCBl die Schreibschutzeinstellungs-Bits SOL und S2L, so wird durch ein vom zweiten Benutzer veranlaßtes "Disable Write Protection" -Kommando nur der Schreibschutz für den Sektor MMPS3 aufgehoben, nicht aber auch der Schreibschutz für den Sektor MMPSl, denn für diesen Sektor
0 hat auch der erste Benutzer einen Schreibschutz eingestellt. Umgekehrt kann aber der erste Benutzer den Schreibschutz auch für solche Sektoren aufheben, für die der zweite Benutzer einen Schreibschutz eingestellt hat. D.h. wenn beispielsweise in UCBO die Schreibschutzeinstellungs-Bits SOL und S1L ge-
5 setzt sind, und in UCBl die Schreibschutzeinstellungs-Bits SOL und S2L, so wird durch ein vom ersten Benutzer veranlaßtes "Disable Write Protection" -Kommando der Schreibschutz für die Sektor MMPSl, MMPS2 und MMPS3 aufgehoben.
0 Es dürfte einleuchten, daß auch der umgekehrte Fall möglich ist, d.h. daß die Einstellungen und Kommandos des zweiten Benutzers Vorrang haben.
Ferner ist es auch möglich, daß der erste Benutzer und der 5 zweite Benutzer gleichberechtigt sind, und kein Benutzer den Schreibschutz für Sektoren aufheben kann, für die der jeweils andere Benutzer einen Schreibschutz eingestellt hat. Es wäre auch denkbar, eine Einstellmöglichkeit vorzusehen, durch welche einstellbar ist, welche Wirkung ein "Disable Write Protection" -Kommando der jeweiligen Benutzer hat. Bei- spielsweise könnte vorgesehen werden, daß die jeweiligen Benutzer einstellen können, ob und gegebenenfalls in welchem Umfang (für welche Sektoren) der jeweils andere Benutzer den Schreibschutz aufheben kann.
Unabhängig hiervon hat ein "Disable Write Protection"-Kommando auf keinen Fall zur Folge, daß der Schreibschutz für einen Sektor aufgehoben wird, der sich gemäß den Einstellungen in UCB2 wie ein ROM verhalten soll.
Eine ein "Disable Read Protection"-Kommando repräsentierende Kommandosequenz kann beispielsweise darin bestehen, daß
- in einem ersten Zyklus bzw. in einem ersten Schreibzugriff auf die Speichereinrichtung die Adresse 5554 und die Daten AA, - in einem zweiten Zyklus bzw. in einem zweiten Schreibzugriff auf die Speichereinriσhtung die Adresse AAA8 und die Daten 55,
- in einem dritten Zyklus bzw. in einem dritten Schreibzugriff auf die Speichereinrichtung die Adresse 1111 und die Daten 00,
- in einem vierten Zyklus bzw. in einem vierten Schreibzugriff auf die Speichereinrichtung die Adresse 1112 als Daten die erste Hälfte des Kennwortes, das in UCBO gespeichert ist, - in einem fünften Zyklus bzw. in einem fünften Schreibzugriff auf die Speichereinrichtung die Adresse 1112 als Daten die zweite Hälfte des Kennwortes, das in UCBO gespeichert ist, und
- in einem sechsten Zyklus bzw. in einem sechsten Sehreibsu- griff auf die Speichereinrichtung die Adresse 3333 und die
Daten 02, an die Speichereinrichtung übertragen werden. Wenn der Speichereinrichtung M eine das Kommando "Disable Read Protection" repräsentierende Kommandosequenz zugeführt wird, überprüft sie, genauer gesagt die Steuereinrichtung CTRL derselben zunächst, ob das im vierten und im fünften Zyklus übertragene Kennwort mit dem in UCBO gespeicherten Kennwort übereinstimmt. Wenn die Überprüfung ergibt, daß diese Bedingungen nicht erfüllt ist, geht die Steuereinrichtung CTRL davon aus, daß es sich bei dem ihr zugeführten Kommando um einen unzulässigen Zugriff (um einen Zugriff durch eine dazu nicht autorisierte Person) auf die Spei- chereinriσhtung M handelt. In diesem Fall führt die Steuereinrichtung CTRL das Kommando nicht aus und signalisiert zudem der CPU und/oder sonstigen Mikrocontroller-Komponenten, daß ein unzulässiger Zugriff auf die Speichereinrichtung M erfolgt ist. Anderenfalls sorgt die Steuereinrichtung CTRL dafür, daß kein Leseschutz mehr wirksam ist.
Eine ein "Resume Protection" -Kommando repräsentierende Kommandosequeήz kann beispielsweise darin bestehen, daß in einem einzigen Zyklus bzw. in einem einzigen Schreibzugriff auf die Speichereinrichtung die Adresse 5554 und die Daten BB an die Speichereinrichtung M übertragen werden.
Wenn der Speichereinrichtung M eine des Kommando "Resume Protection" repräsentierende Kommandosequenz zugeführt wird, werden der Leseschutz und der Schreibschutz in dem Umfang, in welchem er durch die Lese- und Schreibschutzeinstellungs-Bits des UCBO und des UCBl festgelegt ist, wieder wirksam.
Die Kommandos "Disable Read Protection" , "Disable Write Protection" , und "Resume Protection" entfalten jeweils sofort, also nicht etwa erst nach dem nächsten Rücksetzen des Mikrocontrollers oder einem sonstigen späteren Zeitpunkt Wirkung.
Ob und gegebenenfalls in welchem Umfang ein Leseschutz und/oder ein Schreibsσhutz wirksam ist, hängt auch noch vom Inhalt eines Speicher-Konfigurationsregisters ab. Dieses Speicher- onfigurätionsregister ist im betrachteten Beispiel Bestandteil der Steuereinrichtung CTRL der Speichereinrichtung M. Der Aufbau des Speicher-Konfigurationsregisters ist in Figur 5 veranschaulicht .
Wie aus der Figur 5 ersichtlich ist, handelt es sich beim Speicher-Konfigurationsregister um ein 32-Bit-Register, von welchem vorliegend jedoch nur die Bits 0 bis 5 interessieren.
Bit 0 ist mit dem Bezugszeichen RPA bezeichnet, Bit 1 mit dem Bezugszeichen DCF, Bit 2 mit dem Bezugszeichen DDF, Bit 3 mit dem Bezugszeichen DDFDBG, Bit 4 mit dem Bezugszeichen DDFDMA, und Bit 5 mit dem Bezugszeichen DDFPCP.
Durch das Bit RPA wird angegeben, ob ein Leseschutz wirksam sein soll . Ein Leseschutz ist wirksam und das Bit RPA ist gesetzt, wenn das Bit RPRO in UCBO gesetzt ist, und der Leseschutz nicht durch durch das Kommando "Disable Read Protection" temporär aufgehoben ist.
Durch die Bits DCF und DDF wird festgelegt, welche Art von Lesezugriffen auf das Speichermodul MM zulässig sein sollen, und durch die Bits DDFDBG, DDFDMA, und DDFPCP und/oder wei- tere oder andere Steuerbits wird festgelegt, welche Mikrocontroller-Komponenten, die auf die Speichereinrichtung M zugreifen können, zulässige Lesezugriffe auf die Speichereinrichtung M ausführen können. Die Bits DCF und DDF werden allerdings nur ausgewertet, wenn Bit RPA gesetzt ist. Genauer gesagt ist es so,
- daß es von den Werten der Bits RPA (Read Protection Active) und DCF (Disable Code Fetch) abhängt, ob Code Fetches, also Lesezugriffe der CPU des Mikrocontrollers auf von der CPU als Befehlscode verwendete Daten zulässig sind; wenn das Bit RPA gesetzt ist und das Bit DCF den Wert 0 hat, sind Code Fetches zulässig, anderenfalls nicht. - daß es von den Werten der Bits RPA (Read Protection Active) und DDF (Disable Data Fetch) abhängt, ob Data Fetches, also Lesezugriffe der CPU des Mikrocontrollers auf nicht als Befehlscode verwendete Daten zulässig sind; wenn das Bit RPA gesetzt ist und das Bit DDF den Wert 0 hat, sind Data Fetches zulässig, anderenfalls nicht.
- daß es vom Wert des Bits DDFDBG (Disable Data Fetch from Debug Controller) abhängt, ob ein im Mikrocontroller enthaltener Debug Controller, also beispielsweise das eingangs bereits erwähnte OCDS-Modul, Lesezugriffe auf das Speichermodul MM (den Programmspeicher MMP und den Datenspeicher MMD) ausführen darf; wenn das Bit DDFDBG den Wert 0 hat, sind Lesezugriffe durch den Debug Controller auf das Speichermodul MM zulässig, anderenfalls nicht.
- daß es vom Wert des Bits DDFDMA (Disable Data Fetch from DMA Controller) abhängt, ob ein im Mikrocontroller enthal- tener DMA-Controller Lesezugriffe auf das Speichermodul MM (den Programmspeicher MMP und den Datenspeicher MMD) ausführen darf; wenn das Bit DDFDBG den Wert 0 hat, sind Lesezugriffe durch den DMA-Controller auf das Speichermodul MM zulässig, anderenfalls nicht.
- daß es vom Wert des Bit DDFPCP (Disable Data Fetch from PCP) abhängt, ob ein im Mikrocontroller enthaltener PCP (Peripheral Control Processor) Lesezugriffe auf das Speichermodul MM (den Programmspeicher MMP und den Daten- Speicher MMD) ausführen darf; wenn das Bit DDFDBG den Wert 0 hat, sind Lesezugriffe durch den DMA-Controller auf das Speichermodul MM zulässig, anderenfalls nicht.
Es können selbstverständlich auch noch weitere Konfigura- tions-Bits vorgesehen sein, von deren Wert es jeweils abhängt, ob eine bestimmte weitere Komponente des Mikrocontrollers oder des den Mikrocontroller enthaltenden Systems Lesezugriffe auf das Speichermodul MM (den Programmspeicher MMP und den Datenspeicher MMD) ausführen darf. Beispielsweise können weitere Konfigurations-Bits vorgesehen sein, von deren
Wert es abhängt, ob weitere Prozessoren des Mikrocontrollers, oder außerhalb des Mikrocontrollers vorgesehene Prozessoren Lesesugriffe auf das Speichermodul MM durchführen dürfen.
Welche Mikrocontroller-Komponente auf das Speichermodul zugreift, und ob es sich bei dem Zugriff um einen Code Fetch oder um einen Data Fetch handelt, kann anhand eines Identi- fiers ermittelt werden, den die auf das Speichermodul MM zugreifende Mikrocontroller-Komponente bei einem Zugriff auf das Speichermodul MM zusammen mit der Leseanforderung bzw. der Schreibanforderung an das Speichermodul MM oder die Speichereinrichtung M übermittelt.
Das Speicher-Konfigurationsregister kann sowohl durch die Hardware, insbesondere durch die Steuereinrichtung CTRL oder eine sonstige Mikrocontroller-Komponente, als auch durch den Benutzer des Mikrocontrollers ausgelesen und beschrieben werden.
Das Beschreiben des Speicher-Konfigurationsregisters durch den Benutzer des Mikrocontrollers erfolgt im betrachteten Beispiel durch die Übermittlung eines Kommandos "Write Register" an die Speichereinrichtung M, genauer gesagt durch die Zuführung einer dieses Kommando repräsentierenden Kommandosequenzen. Es sei jedoch bereits an dieser Stelle darauf hingewiesen, daß das Beschreiben des Speicher-Kon- figurationsregisters auch auf andere Art und Weise, beispielsweise durch einen einfachen Registerzugriff erfolgen könnte.
Durch das Kommando "Write Register" kann der Benutzer jedoch nur bestimmte Bits des Speicher-Konfigurationsregisters verändern, wobei selbst dies teilweise auch noch an bestimmte Bedingungen geknüpft ist. Insbesondere ist es nicht möglich, daß der Benutzer durch das Kommando "Write Register" das Bit RPA verändert. Das Beschreiben dieses Bits kann nur durch die Steuereinrichtung CTRL erfolgen. Ferner ist es nicht möglich, durch das Kommando "Write Register" die Fetch Control Bits DCF und DDF zu verändern, wenn das Bit RPA gesetzt ist; vor einer Veränderung der Bits DCF und DDF muß gegebenenfalls erst durch das Kommando "Disable Read Protection" der Leseschutz aufgehoben werden. Es könnte sich jedoch unter Umständen als vorteilhaft erweisen, wenn nur vor dem Rücksetzen der Bits DCF, DDF eine Aufhebung des Lesesσhutzes erfolgen muß, und ein Setzen dieser Bits ohne eine Aufhebung des Leseschutzes durchgeführt werden kann. Im folgenden wird jedoch davon ausgegangen, daß sowohl beim Setzen als auch beim Zurücksetzen der genannten Bits kein Leseschutz wirksam sein darf.
Eine ein "Write Register" -Kommando repräsentierende Kommandosequenz kann beispielsweise darin bestehen, daß
- in einem ersten Zyklus bzw. in einem ersten Schreibzugriff auf die Speichereinrichtung die Adresse 5554 und die Daten
CC, und
- in einem zweiten Zyklus bzw. in einem zweiten Schreibzugriff auf die Speichereinrichtung als Adresse die Adresse des zu beschreibenden Registers, und als Daten die in die- ses Register zu schreibenden Daten an die Speichereinrichtung übertragen werden.
Wenn der Speichereinrichtung M eine des Kommando "Write Register" repräsentierende Kommandosequenz zugeführt wird, überprüft sie, genauer gesagt die Steuereinrichtung CTRL derselben zunächst, ob es sich hierbei um einen zulässigen Zugriff auf die Speichereinrichtung M handelt. Ein unzulässiger Zugriff liegt beispielsweise vor, wenn ein Leseschutz wirksam ist und das Bit DCF und/oder das Bit DDF verändert werden soll. Wenn die Steuereinrichtung CTRL feststellt, daß es sich um einen unzulässigen Zugriff auf die Speichereinrichtung M handelt, führt sie diesen Zugriff nicht aus und signalisiert zudem der CPU und/oder sonstigen Mikrocontroller-Komponenten, daß ein unzulässiger Zugriff auf die Speichereinrichtung M erfolgt ist. Anderenfalls, d.h. wenn es sich um einen zulässigen Zugriff handelt, veranlaßt die Steuereinrichtung CTRL, daß die im zweiten Zyklus der Kommandosequenz übertragenen Daten in das im zweiten Zyklus der Kommandosequenz spezifizierte Register geschrieben werden.
Der Vollständigkeit halber sei angemerkt, daß die Speicher- einrichtung M neben dem Speicher-Konfigurationsregister auch noch ein Flash Status Register enthält, in welchem der aktuelle Status des Speichermoduls MM sowie und eventuelle unzulässige Zugriffe auf die Speichereinrichtung M angezeigt werden. Dieses Register kann durch den Benutzer nicht überschrieben werden. Die darin enthaltenen Status- und Fehleranzeigen lassen sich jedoch mit dem Kommando "Clear Status" zurücksetzen
Eine ein "Clear Status"-Kommando repräsentierende Kommando- sequenz kann beispielsweise darin bestehen, daß in einem
Schreibzugriff auf die Speichereinrichtung die Adresse 5554 und die Daten DD an die Speichereinrichtung übertragen werden.
Der Vollständigkeit halber sei angemerkt, daß auch noch ein Kommando "Read Register" existiert, durch welches die Inhalte bestimmter Register der Speichereinrichtung M ausgelesen werden können. Zu den durch das Kommando "Read Register" auslesbaren Registern gehören auch das Speicher-Konfigurations- register und das Flash Status Register.
Veränderungen der Bits DCF, DDF, DDFDBG, DDFDMA, und DDFPCP entfalten jeweils sofort, also nicht etwa erst nach dem nächsten Rücksetzen des Mikrocontrollers oder einem sonstigen späteren Zeitpunkt Wirkung. Wie vorstehend beschrieben wurde, hat der Benutzer des Mikrocontrollers eine ganze Reihe von Möglichkeiten, den Leseschutz und den Schreibschutz entsprechend seinen Wünschen zu konfigurieren. Wann und in welchem Umfang der Leseschutz und der Schreibschutz wirksam sind, wird aber auch durch die Speichereinrichtung M, genauer gesagt durch die Steuereinrichtung CTRL derselben mitbestimmt. Dies wird im folgenden näher erläutert.
Unmittelbar nach dem Einschalten oder Zurücksetzen des Mikrocontrollers überprüft die Steuereinrichtung CTRL oder eine sonstige Mikrocontroller-Komponente, ob ein Leseschutz wirksam sein soll. Dies ist der Fall, wenn das Leseschutzein- stellungs-Bit RPRO des UCBO gesetzt ist und in den UCBO ein gültiger Confirmation Code geschrieben wurde.
Wenn ein Leseschutz wirksam sein soll, überprüft die Steuereinrichtung CTRL oder eine sonstige Mikrocontroller-Komponente, wie sich der Mikrocontroller nach dem Einschalten oder Zurücksetzen verhalten soll. Beim betrachteten Mikrocontroller existieren hierfür drei Möglichkeiten, nämlich
1) daß der Mikrocontroller nach der Inbetriebnahme bzw. dem Rücksetzen ein außerhalb der Speichereinrichtung M, also ein in einem ungeschützten internen oder externen Speicher gespeichertes Programm ausführen soll,
2) daß der Mikrocontroller nach der Inbetriebnahme bzw. dem Rücksetzen einen dem Mikrocontroller von außen zugeführten Bootstrap-Loader ausführen soll, und
3) daß der Mikrocontroller nach der Inbetriebnahme bzw. dem Rücksetzen ein innerhalb der Speichereinrichtung M gespeichertes Programm ausführen soll.
Wie sich der Mikrocontroller nach der Inbetriebnahme bzw. dem Rücksetzen verhalten soll, wird ihm im betrachteten Beispiel durch Signale vorgegeben, die während des Einschaltens oder des Zurücksetzens des Mikrocontrollers an bestimmte Ein- und/oder Ausgabeanschlüsse des Mikrocontrollers angelegt werden. Unter Auswertung dieser Signale stellt der Mikrocon- troller fest, wie er sich nach dem Einschalten bzw. nach dem Zurücksetzen zu verhalten hat.
Wenn sich hierbei ergibt, daß der Mikrocontroller nach der Inbetriebnahme bzw. dem Rücksetzen ein außerhalb der Spei- chereinrichtung M gespeichertes Programm ausführen soll, sorgt die Steuereinrichtung CTRL oder eine andere Mikrocontroller-Komponente dafür, daß die Bits DCF und DDF des Speicher-Konfigurationsregisters gesetzt werden, wodurch, wenn gleichzeitig ein Leseschutz gewünscht wird, also das Bit RPA gesetzt ist, weder Lesezugriffe auf den Programmspeicher MMP noch Lesezugriffe auf den Datenspeicher MMD zugelassen werden. Falls der Entwickler des außerhalb der Speichereinrichtung M gespeicherten Programmes nicht eine zum Auslesen der Speiσhereinrichtung M autorisierte Person ist, kann diese den Leseschutz nicht aufheben, denn hierzu müßte sie das in UCBO gespeicherte Kennwort kennen, was aber im allgemeinen nicht der Fall sein dürfte.
Wenn der Mikrocontroller nach der Inbetriebnahme bzw. dem Rücksetzen einen dem Mikrocontroller von außen (z.B. über ein serielles Interface des Mikrocontrollers) zugeführten Boot- strap-Loader ausführen soll, sorgt die Steuereinrichtung CTRL oder eine andere Mikrocontroller-Komponente dafür, daß die Bits DCF und DDF gesetzt werden und somit ein Leseschutz wirksam ist, während das zugeführte Programm ausgeführt wird.
Wenn der Mikrocontroller nach der Inbetriebnahme bzw. dem Rücksetzen ein innerhalb der Speichereinrichtung M gespeichertes Programm ausführen soll, wird dies zugelassen und darüber hinaus durch die Steuereinrichtung CTRL oder eine andere Mikrocontroller-Komponente dafür gesorgt, daß die Bits DCF und DDF des Speicher-Konfigurationsregisters zurückge- setzt werden, wodurch sowohl Lesezugriffe auf den Programmspeicher MMP als auch Lesezugriffe auf den Datenspeicher zugelassen werden.
Wie aus den vorstehenden Erläuterungen ersichtlich ist, wird nur im Fall, daß der Mikrocontroller nach der Inbetriebnahme bzw. dem Rücksetzen ein außerhalb der Speichereinrichtung M gespeichertes Programm ausführt, durch Setzen der Bits DCF und DDF dafür gesorgt, daß ein Leseschutz wirksam ist. Wenn der Mikrocontroller nach der Inbetriebnahme bzw. dem Rücksetzen ein innerhalb der Speichereinrichtung M gespeichertes Programm ausführt, ist dies nicht erforderlich, denn in diesem Fall kann der Entwickler des in der Speichereinrichtung M gespeicherten Programmes selbst dafür sorgen, daß keine Lese- Zugriffe durch hierzu nicht autorisierte Personen auf die
Speichereinrichtung M erfolgen: er kann das in der Speichereinrichtung M gespeicherte Programm so schreiben, daß keine Sprünge in ungeschützte Speicher oder Speicherbereiche erfolgen bzw. daß dann, wenn ein Sprung in einen ungeschützten Speicher oder Speicherbereich erfolgt, kein Zugriff mehr oder nur noch bestimmte Zugriffe auf die Speichereinrichtung M erfolgen können. Letzteres kann dadurch geschehen, daß das in der Speichereinrichtung M gespeicherte Programm Befehle enthält, die dafür sorgen, daß vor der Ausführung eines Sprunges in einen ungeschützten Speicher oder Speicherbereich die Bits DCF und/oder DDF des Speicher-Konfigurationsregisters gesetzt werden. Der Vollständigkeit halber sei angemerkt, daß bei nicht gesetztem Bit DCF wieder ein Rücksprung in die Speichereinrichtung M möglich ist, wohingegen bei gesetztem Bit DCF nicht einmal dies mehr möglich ist. Damit ein Rücksprung in die Speichereinrichtung M erfolgen kann, müßte zunächst durch das Kommando "Disable Read Protection" der Leseschutz aufgehoben werden.
Dadurch kann - teils automatisch durch den Mikrocontroller, und teils durch ein entsprechend geschriebenes Programm - zuverlässig verhindert werden, daß der Inhalt der Speicher- einrichtung M durch nicht in der Speichereinrichtung M gespeicherte Befehle ausgelesen wird. Da bei entsprechender Konfiguration des Lese-/Schreibschutzes aber nur bestimmte Personen in der Lage sind, die Speichereinrichtung M zu beschreiben, haben nicht autorisierte Personen keine Chance, den Inhalt der Speichereinrichtung M auszulesen oder zu verändern.
Wenn das Leseschutzeinstellungs-Bit RPRO des UCBO gesetzt ist und in den UCBO ein gültiger Confirmation Code geschrieben wurde, wird durch die Steuereinrichtung CTRL oder eine sonstige Mikrocontroller-Komponente vorzugsweise auch sofort das Bit DDFDBG des Speicher-Konfigurationsregisters, und gegebenenfalls auch die Bits DDFDMA und/oder DDFPCP des Speicher- Konfigurationsregisters gesetzt. Die genannten Bits können aber auch durch entsprechende Befehle im ausgeführten Programm gesetzt und zurückgesetzt werden. Durch diese Maßnahme können nicht autorisierte Personen auch nicht über den Debug- Controller und/oder den DMA-Controller und/oder den Periphe- ral Control Prozessor auf die Speichereinrichtung M zugreifen.
Vorzugsweise ist bei wirksamem Leseschutz automatisch auch ein Schreibschutz wirksam, und zwar für die gesamte Spei- chereinrichtung M. Dadurch kann verhindert werden, daß durch eine hierzu nicht autorisierte Person eine Leseroutine (beispielsweise ein Trojanisches Pferd) in die Speichereinrichtung M geschrieben wird, welche dann den gesamten Speicherinhalt auslesen und aus dem Mikrocontroller ausgeben könnte.
Der Mikrocontroller sorgt darüber hinaus dafür, daß nach der Inbetriebnahme oder dem Rücksetzen des Mikrocontrollers in dem Umfang, wie er in den UCBs festgelegt ist, ein selek- tiver, d.h. vom Leseschutz unabhängiger Schreibschutz wirksam ist. Dieser selektive Schreibschutz kann durch den Benutzer mittels der Kommandos "Disable Write Protection" und "Resume Protection", genauer gesagt durch Programmbefehle, durch welche die Übermittlung dieser Kommandos an die Speicher- einrichtung M veranlaßt wird, temporär ganz oder teilweise aufgehoben werden.
Der mit dem Leseschutz gekoppelte Schreibschutz kann durch das Kommando "Disable Read Protection"temporär aufgehoben werden.
Wie vorstehend bereits mehrfach erwähnt wurde, signalisiert die Steuereinrichtung CTRL der CPU und/oder einer sonstigen Mikrocontroller-Komponente eine Speicherschutzverletzung, wenn ein unzulässiger Zugriff auf die Speichereinrichtung M erfolgt. Dies kann beispielsweise durch einen entsprechenden Eintrag in ein Statusregister, beispielsweise in das vorstehend bereits erwähnte Flash Status Register, und/oder durch einen Interrupt Request erfolgen. Wie die CPU hierauf reagiert, hängt vorzugsweise vom Einsatz des Mikrocontrollers ab. Die Reaktionen können beispielsweise, aber verständlicherweise nicht ausschließlich darin bestehen,
- daß dafür gesorgt wird, daß die Programmausführung beendet wird und bis zur nächsten Inbetriebnahme oder bis zum nächsten Zurücksetzen des Mikrocontrollers keine weiteren Befehle mehr ausgeführt, oder
- daß dafür gesorgt wird, daß der unzulässige Zugriff mit korrekten Parametern wiederholt werden kann, oder
- daß dafür gesorgt wird, daß bis zur nächsten Inbetriebnahme oder oder bis zum nächsten Zurücksetzen des Mikrocontrollers nur noch bestimmte Zugriffe auf die Speicher- einrichtung M zugelassen werden, beispielsweise nur solche Zugriffe, welche keinen Einfluß auf den Umfang des Lese- schutzes und/oder des Schreibschutzes haben oder die Voraussetzung für solche Zugriffe sind (also kein "Disable Read Protection" -Kommando, und/oder kein "Disable Write Protection" -Kommando, und/oder kein "Erase UCB"-Kommando, und/oder kein "Write UC Page"-Kommando mehr ausgeführt wird) .
Vorzugsweise ist es so, daß nach einem Versuch, den Leseschutz oder den Schreibschutz betreffende Einstellungen oder Konfigurationen unter Verwendung eines falschen Kennwortes zu verändern, ein weiterer Versuch zur Veränderung der Einstellungen oder Konfigurationen erst nach dem Zurücksetzen oder einer erneuten Inbetriebnahme der programmgesteuerten Einheit möglich ist. Zumindest nach einem Versuch, den Leseschutz oder den Schreibschutz unter Verwendung eines falschen Kennwortes temporär aufzuheben, sollte ein weiterer Versuch zur temporären Aufhebung des Leseschutzes oder des Schreibschutzes erst nach dem Zurücksetzen oder einer erneuten Inbetriebnahme der programmgesteuerten Einheit möglich sein.
Selbstverständlich kann der Mikrocontroller auf einen unzulässigen Zugriff auf die Speichereinrichtung M auch beliebig anders reagieren. Die Reaktion des Mikrocontrollers kann auch von der Art des unzulässigen Zugriffes abhängig gemacht werden. Beispielsweise kann vorgesehen werden, daß der geschei- terte Versuch, den Leseschutz temporär aufzuheben (Disable
Read Protection) , durch härtere bzw. umfangreichere Maßnahmen sanktioniert wird als ein unzulässiger Lesezugriff auf den Datenspeicher MMD.
Wie vorstehend erläutert wurde, kann der UCBO durch einen ersten Benutzer des Mikrocontrollers beschrieben und gelöscht werden, der UCBl durch einen zweiten Benutzer des Mikrocontrollers beschrieben und gelöscht werden, und der UCB2 durch einen dritten Benutzer beschrieben werden. Dies erweist sich als vorteilhaft, weil dadurch im betrachteten Beispiel bis zu drei Benutzer ihre Daten weitestgehend unabhängig voneinander vor Zugriffen durch dazu nicht autorisierte Personen schützen können.
Wenn der beschriebene Mikrocontroller Bestandteil eines Kraftfahrzeugsteuergerates ist, und durch den Mikrocontroller ein Programm ausgeführt wird, dessen Befehle und/oder Operanden teilweise vom Hersteller des Kraftfahrzeugsteuergerätes stammen, und teilweise vom Hersteller des Kraftfahrzeuges, so können sowohl der Hersteller des Kraftfahrzeugsteuergerätes als auch der Hersteller des Kraftfahrzeuges ihre Programmteile und/oder Operanden vor einem Auslesen und/oder vor Veränderungen durch dazu nicht autorisierte Personen schützen: der Hersteller des Kraftfahrzeugsteuergerätes kann der erste Benutzer des Mikrocontrollers sein und den Schutz seiner Pro- grammteile und/oder Operanden durch entsprechendes Beschreiben des UCBO konfigurieren, und der Hersteller des Kraftfahrzeuges kann der zweite Benutzer des Mikrocontrollers sein und den Schutz seiner Programmteile und/oder Operanden durch entsprechendes Beschreiben des UCBl konfigurieren; darüber hin- aus kann entweder der Hersteller des Kraftfahrzeugsteuergerätes oder der Hersteller des Kraftfahrzeuges der dritte Benutzer sein und den Schutz seiner Programmteile und/oder Operanden zusätzlich durch entsprechendes Beschreiben des UCB2 konfigurieren. Selbstverständlich kann der dritte Benutzer auch eine dritte Person oder ein drittes Unternehmen sein, das an der Entwicklung des in der Speichereinrichtung M gespeicherten Programmes beteiligt ist. Ebenso ist es natürlich auch möglich, daß eine einzige Person oder ein einziges Unternehmen sowohl der erste Benutzer als auch der zweite Benutzer ist.
Durch Vorsehen weiterer UCBs können auch noch weitere Benutzer des Mikrocontrollers ihre Daten vor Zugriffen durch hierzu nicht autorisierte Personen schützen.
Der Vollständigkeit halber sei angemerkt, daß die Übertragung der vorstehend beschriebenen Kommandosequenzen zur Speicher- einrichtung M, auch die Übertragung der KommandoSequenzen zur Konfigurierung des Leseschutzes und/oder des Schreibschutzes durch entsprechende Befehle in dem von der CPU ausgeführten Programm veranlaßt wird.
Die Speichereinrichtung M kann nach alledem auf sehr einfache Art und Weise zuverlässig vor Zugriffen durch hierzu nicht autorisierte Personen geschützt werden. Darüber hinaus können der Umfang des Leseschutzes und der Umfang des Schreib- Schutzes unabhängig voneinander optimal an die jeweiligen Verhältnisse angepaßt werden.
Bezugszeichenliste
ADDRBUSX Adreßbus
BUS Bus
CPU CPU
CTRL Steuereinrichtung
CTRLBUSX Steuerbus
DCF Konfigurations-Bit
DDF Konfigurations-Bit
DDFDBG Konfigurations-Bit
DDFDMA Konfigurations-Bit
DDFPCP Konfigurations-Bit
ECCBUS Fehlerkorrekturdatenbus
ECU Fehlerkorrektureinrichtung
M Speichereinrichtung
MI Schnittstelle
MM Speichermodul
MMD Datenspeicher
MMDSX Datenspeicher-Sektor
MMP Prόgrammspeieher
MMPSx Programmspeicher-Sektor
PX Peripherieeinheit
PG Programmgesteuerte Einheit
RDATABUSX Lesedatenbus
RPA Konfigurations-Bit
RPRO Leseschutzeinstellungs-Bit
SxL Schreibschutzeinstellung-Bit
SxROM Schreibschutzeinstellung-Bit
WDATABUSX Sehreibdatenbus

Claims

Patentansprüche
1. programmgesteuerte Einheit mit einem Speicher zum Speichern von Daten, und mit einer Speicherschutzvorrichtung zum Schützen des Speichers vor Lese- und/oder Schreibzugriffen durch hierzu nicht autorisierte Personen, d a d u r c h g e k e n n z e i c h n e t , daß die Speicherschutzvorrichtung eine Schutzverletzung signalisiert,
- wenn eine hierzu nicht autorisierte Person versucht, bei aktiviertem Leseschutz einen Lesezugriff auf den Speicher durchzuführen, und/oder
- wenn eine hierzu nicht autorisierte Person versucht, bei aktiviertem Schreibschutz einen Schreibzugriff auf den Speicher durchzuführen, und/oder
- wenn eine hierzu nicht autorisierte Person versucht, durch einen entsprechenden Zugriff auf die Speicherschutzvorrichtung den Leseschutz und/oder den Schreibschutz zu deaktivieren oder umzukonfigurieren.
2. Programmgesteuerte Einheit nach Anspruch 1, d a d u r c h g e k e n n z e i c h n e t , daß die Signalisierung der Schutzverletzung durch einen entsprechenden Eintrag in ein Register der programmgesteuerten Einheit erfolgt .
3. Programmgesteuerte Einheit nach Anspruch 1, d a d u r c h g e k e n n z e i c h n e t , daß die Signalisierung der Schutzverletzung durch einen Interrupt Request erfolgt.
4. Programmgesteuerte Einheit nach Anspruch 3, d a d u r c h g e k e n n z e i c h n e t , daß es sich bei dem Interrupt Request um einen maskierbaren Interrupt Request handelt.
5. Programmgesteuerte Einheit nach Anspruch 1 , a d u r c h g e k e n n z e i c h n e t , daß die Reaktion der programmgesteuerten Einheit auf die Schutzverletzung umfaßt, daß der die Schutzverletzung darstellende Zugriff nicht ausgeführt wird.
6. Programmgesteuerte Einheit nach Anspruch 1, d a d u r c h g e k e n n z e i c h n e t , daß die Reaktion der programmgesteuerten Einheit auf die Schutzverletzung umfaßt, daß die programmgesteuerte Einheit angehalten wird.
7. Programmgesteuerte Einheit nach Anspruch 1, d a d u r c h g e k e n n z e i c h n e t , daß die Reaktion der programmgesteuerten Einheit auf die Schutzverletzung umfaßt, daß die programmgesteuerte Einheit zurückgesetzt wird.
8. Programmgesteuerte Einheit nach Anspruch 1, d a d u r c h g e k e n n z e i c h n e t , daß die Reaktion der programmgesteuerten Einheit auf die Schutzverletzung umfaßt, daß bis zur erneuten Inbetriebnahme oder bis zum nächsten Zurücksetzen der programmgesteuerten Einheit keine Zugriffe mehr ausgeführt werden, durch die der Leseschutz und/oder der Schreibschutz deaktiviert oder umkonfiguriert werden können.
9. Programmgesteuerte Einheit nach Anspruch 8, d a d u r c h g e k e n n z e i c h n e t , daß nach einem Versuch, den Leseschutz oder den Schreibschutz betreffende Einstellungen oder Konfigurationen unter Verwen- düng eines falschen Kennwortes zu verändern, ein weiterer Versuch zur Veränderung der Einstellungen oder Konfigura- tionen erst nach dem Zurücksetzen oder einer erneuten Inbetriebnahme der programmgesteuerten Einheit möglich ist.
10. Programmgesteuerte Einheit nach Anspruch 9, d a d u r c h g e n n z e i c h n e t , daß nach einem Versuch, den Leseschutz oder den Schreibschuts unter Verwendung eines falschen Kennwortes temporär aufzuheben, ein weiterer Versuch zur temporären Aufhebung des Leseschutzes oder des Schreibschutzes erst nach dem Zurücksetzen oder einer erneuten Inbetriebnahme der programmgesteuerten Einheit möglich ist.
EP04724979A 2003-04-04 2004-04-01 Programmgesteuerte einheit Withdrawn EP1611514A2 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE10315637A DE10315637A1 (de) 2003-04-04 2003-04-04 Programmgesteuerte Einheit
PCT/DE2004/000706 WO2004090731A2 (de) 2003-04-04 2004-04-01 Programmgesteuerte einheit

Publications (1)

Publication Number Publication Date
EP1611514A2 true EP1611514A2 (de) 2006-01-04

Family

ID=33038892

Family Applications (1)

Application Number Title Priority Date Filing Date
EP04724979A Withdrawn EP1611514A2 (de) 2003-04-04 2004-04-01 Programmgesteuerte einheit

Country Status (4)

Country Link
US (1) US20060080519A1 (de)
EP (1) EP1611514A2 (de)
DE (1) DE10315637A1 (de)
WO (1) WO2004090731A2 (de)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8762990B2 (en) 2011-07-25 2014-06-24 The Boeing Company Virtual machines for aircraft network data processing systems
US9239247B1 (en) 2011-09-27 2016-01-19 The Boeing Company Verification of devices connected to aircraft data processing systems
US8806579B1 (en) * 2011-10-12 2014-08-12 The Boeing Company Secure partitioning of devices connected to aircraft network data processing systems
DE102020207862A1 (de) * 2020-06-25 2021-12-30 Robert Bosch Gesellschaft mit beschränkter Haftung Verfahren zur sicheren Aktualisierung von Steuergeräten

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2683357A1 (fr) * 1991-10-30 1993-05-07 Philips Composants Microcircuit pour carte a puce a memoire programmable protegee.
JPH0844628A (ja) * 1994-08-03 1996-02-16 Hitachi Ltd 不揮発性メモリ、およびそれを用いたメモリカード、情報処理装置、ならびに不揮発性メモリのソフトウェアライトプロテクト制御方法
US5749088A (en) * 1994-09-15 1998-05-05 Intel Corporation Memory card with erasure blocks and circuitry for selectively protecting the blocks from memory operations
DE19536206A1 (de) * 1994-09-30 1996-04-04 Samsung Electronics Co Ltd Intelligente Karte
US5802583A (en) * 1996-10-30 1998-09-01 Ramtron International Corporation Sysyem and method providing selective write protection for individual blocks of memory in a non-volatile memory device
US6073243A (en) * 1997-02-03 2000-06-06 Intel Corporation Block locking and passcode scheme for flash memory
US5930826A (en) * 1997-04-07 1999-07-27 Aplus Integrated Circuits, Inc. Flash memory protection attribute status bits held in a flash memory array
US5987557A (en) * 1997-06-19 1999-11-16 Sun Microsystems, Inc. Method and apparatus for implementing hardware protection domains in a system with no memory management unit (MMU)
FR2770327B1 (fr) * 1997-10-24 2000-01-14 Sgs Thomson Microelectronics Memoire non volatile programmable et effacable electriquement comprenant une zone protegeable en lecture et/ou en ecriture et systeme electronique l'incorporant
US5974500A (en) * 1997-11-14 1999-10-26 Atmel Corporation Memory device having programmable access protection and method of operating the same
US6154819A (en) * 1998-05-11 2000-11-28 Intel Corporation Apparatus and method using volatile lock and lock-down registers and for protecting memory blocks
US6160734A (en) * 1998-06-04 2000-12-12 Texas Instruments Incorporated Method for ensuring security of program data in one-time programmable memory
JP4522548B2 (ja) * 2000-03-10 2010-08-11 富士通フロンテック株式会社 アクセス監視装置及びアクセス監視方法
FR2823364B1 (fr) * 2001-04-05 2003-06-27 St Microelectronics Sa Dispositif et procede de protection partielle en lecture d'une memoire non volatile
US6976136B2 (en) * 2001-05-07 2005-12-13 National Semiconductor Corporation Flash memory protection scheme for secured shared BIOS implementation in personal computers with an embedded controller
DE10126281A1 (de) * 2001-05-29 2002-12-12 Infineon Technologies Ag Programmgesteuerte Einheit
DE10146516A1 (de) * 2001-09-21 2003-04-24 Infineon Technologies Ag Programmgesteuerte Einheit
US20030088781A1 (en) * 2001-11-06 2003-05-08 Shamrao Andrew Divaker Systems and methods for ensuring security and convenience
EP1331539B1 (de) * 2002-01-16 2016-09-28 Texas Instruments France Sicherer Modus für Prozessoren, die Speicherverwaltung und Unterbrechungen unterstützen
US7395435B2 (en) * 2002-09-20 2008-07-01 Atmel Corporation Secure memory device for smart cards

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See references of WO2004090731A3 *

Also Published As

Publication number Publication date
WO2004090731A3 (de) 2004-12-23
DE10315637A1 (de) 2004-10-28
US20060080519A1 (en) 2006-04-13
WO2004090731A2 (de) 2004-10-21

Similar Documents

Publication Publication Date Title
DE69032795T2 (de) Verfahren und Vorrichtung zur Aktualisierung in einem EEPROM-Speicher residenter "Firmware"
EP2318920B1 (de) Steuergerät für ein fahrzeug und verfahren für eine datenaktualisierung für ein steuergerät für ein fahrzeug
DE69027165T2 (de) Verfahren und Gerät zum Schutz eines Rechnersystems
EP0011685B1 (de) Programmierbare Speicherschutzeinrichtung für Mikroprozessorsysteme und Schaltungsanordnung mit einer derartigen Einrichtung
DE19839680B4 (de) Verfahren und Vorrichtung zur Veränderung des Speicherinhalts von Steuergeräten
EP1611517B1 (de) Programmgesteuerte einheit
DE69624191T2 (de) Atomisches Aktualisieren von EDC-geschützten Daten
DE10308545A1 (de) Verfahren und Vorrichtung zum Aktualisieren eines verteilten Programms
WO1998032072A1 (de) Verfahren zur überwachung der bestimmungsgemässen ausführung von softwareprogrammen
WO2004090730A2 (de) Programmgesteuerte einheit
EP1262856B1 (de) Programmgesteuerte Einheit
EP1611515B1 (de) Programmgesteuerte einheit
EP1037140B1 (de) Verfahren und Vorrichtung zur Absicherung bei Veränderung des Speicherinhalts von Steuergeräten
EP0276450A1 (de) Datenschutzschaltung zur Sperrung der Uebertragung von Signalen über einen Bus
WO2004114131A1 (de) Verfahren zum nachladen einer software in den bootsektor eines programmierbaren lesespeicher
WO2004090731A2 (de) Programmgesteuerte einheit
EP1428105A2 (de) Programmgesteuerte einheit
DE102009055390B4 (de) Vorrichtung und Verfahren zum Schreiben von Daten, die zu speichern sind, in einen vorbestimmten Speicherbereich
DE102005040916A1 (de) Speicheranordnung und Betriebsverfahren dafür
DE102006009214B4 (de) Verfahren und Vorrichtung zum Schreiben in eine Zielspeicherseite eines Speichers
DE19612439C2 (de) Halbleiterspeichervorrichtung
EP0011136A1 (de) Schaltungsanordnung zum Integritätsschutz für einen Lese-/Schreib-Steuerspeicher
EP1318451B1 (de) Verfahren zum Ausführen eines Programms auf einem Computer
EP1569117A1 (de) Verfahren zum sicheren Berechnen einer Prüfsumme
DE102005031530B4 (de) Speichersystem, Einchip-Mikrocontroller und eingebettetes System

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

17P Request for examination filed

Effective date: 20051005

AK Designated contracting states

Kind code of ref document: A2

Designated state(s): AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IT LI LU MC NL PL PT RO SE SI SK TR

AX Request for extension of the european patent

Extension state: AL HR LT LV MK

DAX Request for extension of the european patent (deleted)
17Q First examination report despatched

Effective date: 20100218

RAP1 Party data changed (applicant data changed or rights of an application transferred)

Owner name: INFINEON TECHNOLOGIES AG

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE APPLICATION IS DEEMED TO BE WITHDRAWN

18D Application deemed to be withdrawn

Effective date: 20151103