NO319811B1 - Sikkerhetslager med multippelsikkerhetsniva - Google Patents

Description

Foreliggende oppfinnelse angår sikkerhetslager. Nærmere bestemt angår foreliggende oppfinnelse et sikkerhetslager som gir multippel sikkerhetsnivåer for applikasjonssonene, mer presist angitt i ingressen på det vedlagte krav 1. Et eksempel på et slikt sikkerhetsminne er gitt i GUEULLE P. "LES E2PROM SERIE SECURISEES' ELECTRONIQUE RADIO PLANS, FR, SPE, PARIS, no 548,1 july 1993(1993-07-01), side 23-28, XP000377636 ISSN: 1144-5742.

Bruk av plastkort for betaling har eksistert siden 1950-årene med introduseringen av "Diner's Club" kort. Den eksplosjonsartige bruken siden den tid har ikke vært et kortvarig fenomen. I dag blir millioner av kort utstedet av forskjellige organisasjoner slik at deres bruk for betaling og opptegning av informasjon nesten universell.

Opprinnelig var disse plastkortene utført med preget mønster og hadde en signaturlinje som kunne bli brukt for sammenlignet for opprettholdelse av sikkerhet. Det skal imidlertid ikke mye fantasi til for å innse at det ikke var noe hinder for svindel og misbruk. Den første hovedsikkerhetsforbedringen var tillegget av en magnetstripe på baksiden av det med mønsterpregete kortet. Plastkort med en magnetisk stripe er sannsynligvis den mest populære formen for betalingskort og informasjonskort som er tilgjengelig i dag. Lagringen, som magnetstripen gir, tillater også opptegning av mye mer informasjon enn den som kunne bli preget på plastkortets flate. Selv om disse kortene gir et vist sikkerhetsnivå er det ikke vanskelig å lese dataen lagret på en magnetstripe, slette den og skrive den på nytt av enhver med aksess til en lese/skriveanordning. Følgelig er den korttypen mindre egnet for lagring av konfidensiell data eller for lagring av en verdi som kan anvendes isteden for valuta.

Som reaksjon på disse begrensningene ble det utviklet et plastkort med et sikkerhetslager. Dette kortet er kjent som "smart kort" Lagerområdet til sikkerhetskort er ofte delt i lagerblokker. Formålet var å tilveiebringe sikkerhet til et lager for å beskytte det mot ikkeautorisert aksess og klussing med disse blokkene. Denne sikkerheten er typisk tilveiebrakt med en kombinasjon av hardware og software. Med et sikkerhetslager er det mulig å skrive konfidensiell data, som ikke kan bli lest eller slettet og forhindre skriving av data ved å styre lesing, skriving og sletting ved kombinasjon av hardware og software som er avhengig av bestemte betingelser som forekommer før disse operasjonene utføres.

Et eksempel på et "smartkort" med et sikkerhetslager, og som er i utstrakt bruk, er et telefonlagerkort. Dette kortet er betalt på forhånd og verdien, elektronisk lagret i kortets lager, trekkes fra med et bestemt beløp ved bruk. For å forhindre misbruk er det naturligvis nødvendig å hindre brukeren i å klusse med kortet for å øke den lagrete verdien. Dersom det hadde vært et kort med magnetstripe ville innskriving av en verdi i kortet kunne utføres forholdsvis enkelt.

En innenfor teknikken kjent måte å forhindre klussing med sikkerhetslageret for å øke en lagret verdi er å anordne en sikkerhetskode som kun er kjent for kortutstederen. Et systematisk angrep for å bestemme sikkerhetskoden hindres av en forsøkteller som forhindrer vider bruk av kortet dersom antall forsøk på å presentere en gyldig sikkerhetskode overskrider et forhåndsbestemt antall. Når en gyldig sikkerhetskode er presentert før forsøktelleren når sin grense tilbakestilles telleren til null. Hver av disse blokkene er videre beskyttet av en slettekode som må presenteres før lagerblokken kan bli slettet. Uheldigvis er disse slettekodene sårbare for systematiske angrep.

En annen måte å forhindre klussing med telefonlagerkort har vært å gjøre det praktisk talt umulig å slette en lagercelle når den engang har blitt skrevet til. For denne korttypen blir en sikring utløst som gjør det umulig å bruke slettefunksjonen på lageret. Når reduksjonen i kortet er utført ved skriving til lageret kan følgelig ikke en ytterligere verdi bli tillagt lageret ved en sletting. Selv om dette er en rimelig adekvat måte å forhindre klussing med kortet er den ikke attraktiv på grunn av at så snart verdien på kortet er blitt tømt kan ikke kortet bli brukt på nytt ved å tilføre ytterligere verdier til kortet.

Følgelig er et formål ved foreliggende oppfinnelse å tilveiebringe ytterligere sikkerhet for lager som er inkorporert i anordninger som krever sikkerhetslager slik som smartkort.

Videre er det et ytterligere formål med oppfinnelsen å tilveiebringe sikkerhet for lager som er inkorporert i anordninger med sikkerhetslager slik som smartkort og som ikke hindrer kortet fra å bli brukt på nytt på en kunderiktig måte.

Ifølge forliggende oppfinnelse innbefatter et sikkerhetslager en første sikkerhetssone med en aksesskode som styrer aksessen til sikkerhetslageret før en utstedersikring utløses, en forsøkteller for sikkerhetskode som hindrer aksess til sikkerhetslageret når et forhåndsbestemt antall forsøk utføres for å finne aksesskoden har blitt utført før tilbakestillingen av forsøktelleren for sikkerhetskode, en flerhet av applikasjonssoner, idet hver av flerheten med applikasjonssoner innbefatter: et lagers lagringssone, en applikasjonssikkerhetssone med en aksesskode for applikasjonssonen som styrer aksessen til lagerets lagringssonen etter en sikring har blitt utløst, en sikkerhetskodeforsøkteller for applikasjonssonen for å hindre aksess til applikasjonssonen når et forhåndsbestemt antall forsøk for å finne aksesskoden for applikasjonssonen har blitt utført før tilbakestillingen av sikkerhetskodeforsøktelleren for applikasjonssonen, en slettenøkkelpartisjon med en slettenøkkelkode som styrer sletteaksessen til lagerets lagringssone etter at en utstedersikring har blitt utløst, og en forsøkteller for slettenøkkel for å hindre sletteaksess til applikasjonssonen når et forhåndsbestemt antall forsøk for å finne slettenøkkelkoden har blitt utført før tilbakestilling av forsøktelleren for slettenøkkelen. Mer presist angår oppfinnelsen et sikkerhetslager slik som angitt ovenfor, og kjennetegnet som angitt i den karakteriserende delen av vedlagte krav 1.

I det påfølgende skal oppfinneslen beskrives nærmere med henvisning til tegningen, hvor: Fig. 1 viser en generell arkitektur i blokkdiagram for et sikkerhetslager

ifølge foreliggende oppfinnelse.

Fig. 2 viser et lagerkart over et EEPROM lager med partisjoner ifølge foreliggende oppfinnelse. . Fig. 3 viser et tidsdiagram over en sikkerhetskodesammenligning og validering ifølge foreliggende oppfinnelse.

Fig. 4A viser et tidsdiagram over en tilbakestillingsoperasjon egnet for bruk

ved foreliggende oppfinnelse.

Fig. 4B viser et tidsdiagram over en leseoperasjon egnet for bruk ved

foreliggende oppfinnelse.

Fig. 4C viser et tidsdiagram over en sammenligningsoperasjon egnet for bruk

ved foreliggende oppfinnelse.

Fig. 4D viser et tidsdiagram over en slette/skriveoperasjon egnet for bruk ved

foreliggende oppfinnelse.

Fig. 5 viser et skjematisk diagram over en krets for å styre lokaliseringen av adressen i EEPROM lager egnet for bruk ved foreliggende oppfinnelse. Fig. 6 viser et skjematisk diagram over en krets for å sammenligne en

sikkerhetskode egnet for bruk ved foreliggende oppfinnelse.

Fig. 7 viser et skjematisk diagram over en krets for skrive null verifisering

egnet for bruk ved foreliggende oppfinnelse.

Fig. 8 viser et skjematisk diagram over en krets for å sette et sikkerhetsflagg

egnet for bruk ved foreliggende oppfinnelse.

Fig. 9 viser en tabell over aksessbetingelser for personalisering av det sikkrete lageret før en sikkring har blitt satt til en logisk "0" ifølge foreliggende oppfinnelse. Fig. 10 viser et skjematisk diagram over en krets for å sette Rn og Pn flagg

egnet for bruk ved foreliggende oppfinnelse.

Fig. 11 viser en tabell over aksessbetingelser for personalisering av det sikkerhetslageret etter at en sikkring har blitt satt til en logisk "0" ifølge foreliggende oppfinnelse. Fig. 12A viser et skjematisk diagram over en krets for å generere et

leseklargjøringssignal ifølge foreliggende oppfinnelse.

Fig. 12B viser et skjematisk diagram over en krets for å generere et

sikringsskrivestyresignal ifølge foreliggende oppfinnelse.

Fig. 12c viser et skjematisk diagram over en krets for å generere et slettestyresignal ifølge foreliggende oppfinnelse. Fig. 13 viser et skjematisk diagram over en krets for å generere sikringsskrive-, skrive- og slette- klargjøringssignaler ifølge foreliggende oppfinnelse.

Fagmannen på området vil se at følgende oppfinnelse er kun illustrativ og ikke på noen måte begrensende. Andre utførelser av oppfinnelse vil gi seg selv for fagmannen på området.

Typisk er det minst tre grupper med individer som er involvert i håndteringen av et sikkerhetslager som er inkorporert i et smartkort. Den første er fremstilleren av sikkerhetskoden. Den andre er fremstilleren av kort som inkorporerer sikkerhetskoden i smartkortet og så distribuerer smartkortet til sluttbrukeren. (Ofte er fremstilleren av kortet og kortutstederen eller distributørroUen utført av forskjellige individgrupper). Den tredje er brukeren av sikkerhetslageret som fir produktet fra utstederen eller distributøren. Ifølge foreliggende oppfinnelse er større sikkerhet enn tidligere kjent tilveiebrakt for å forhindre ikkeautorisert bruk av sikkerhetslageret av sluttbrukeren eller de som ikke er involvert i håndteringen av sikkerhetslageret.

Et blokkdiagram av den generaliserte arkitekturen av et sikkerhetslager 10 ifølge foreliggende oppfinnelse er vist på fig. 1.1 sikkerhetslageret 10 er der blokker for en strømforsyning på tilbakestilling 12, adressedekoder 14, sikkerhetslogikk 10, og et EEPROM lager 18. Sikkerhetslageret 10 har 8 ben (pins) nemlig VDD, VSS, RST, FUS, og I/O forbundet med forskjellige blokker i sikkerhetslageret 10 som vist. Som forklart nærmere nedenfor er EEPROM lageret 18 oppdelt og autorisert aksess til de forskjellige partisjoner for å utføre operasjonene for READ, WRITE, COMPARE og ERASE er styrt av sikkerheten tilveiebrakt ifølge foreliggende oppfinnelse.

Ved å forhindre ikkeautorisert aksess til EEPROM lageret 18 må to mulige tilfeller av ikkeautorisert akses taes hensyn til. Det første tilfellet oppstår på grunn av oversendelse av sikkerhetslager 10 fra fremstiller av sikkerhetslager 10 til utstederen av sikkerhetslageret 10. For å forhindre ikkeautorisert bruk av sikkerhetslageret 10 av de som kan fange opp sikkerhetslageret 10 fra utstederen må en sikkerhetskode bestemt av fremstilleren og overført til utstederen bli anvendt av utstederen for å få aksess til sikkerhetslageret. Ifølge foreliggende oppfinnelse er sikkerhet tilveiebrakt for å forhindre ikkeautorisert bruk av en annen en sluttbrukeren og for å forhindre andre en utstederen å klusse med eller bruke lageret på en måte som ikke er tillatt av utstederen.

Med henvisning til flg. 2 er vist et lagerkart 20 som viser forskjellige lagerpartisjoner dannet i EEPROM lageret 18.1 lagerkartet 20 er adressen i EEPROM lageret 18 til hver lagerpartisjon identifisert sammen med antall biter for hver av lagerpartisjonene. For eksempel er partisjonen merket Fabrikasjonssone, som skal bli beskrevet senere, funnet ved adressene 0 til 15 i lagerkartet 20 og tildelt 16 biter. Bitene i EEPROM lageret 18 er gruppert sammen som 8-bit ord. Lagerkartet 20 til EEPROM lageret 18 har blitt delt i fire seksjoner 22,24,26 og 28 for en enklere forståelse av hver lagerpartisjon.

Seksjonen 22 til lagerkartet inneholder partisjonene for henholdsvis fremstilleren og utstederen. Partisjonene i seksjonen 22 er Fabrikasjonssonen, Utstedersonen, Sikkerhetskoden, Sikkerhetskodeforsøktelleren og Kodebeskyttet sone. Kodebeskyttet sone er også aksessibel for sluttbrukeren.

Fabrikasjonssonen og utstedersonen inneholder hver informasjon som er relevant for henholdsvis fremstiller og utsteder. Fabrikasjonssonen er programmert av fremstilleren av sikkerhetslageret og kan ikke endres, Aksess til Utstedersonen styres av et sikkerhetskodeflagg som blir satt når en gyldig sikkerhetskode er gjenkjent av sikkerhetslageret 10.

Partisjonen for Sikkerhetskoden inneholder sikkerhetskoden som må bli tilpasset av utstederen for å aksessere EEPROM lageret 18 og for derved å personalisere forskjellige partisjoner i EEPROM lageret 18. Sikkerhetskoden virker for å sikre transporten mellom fremstilleren og utstederen og som vil bli forklart nærmere nedenfor vil sikkerhetskoden, etter at EEPROM lageret 18 er personalisert av utstederen, forhindre ikkeautorisert aksess til applikasjonssonen til EEPROM lageret 10. Som sådan er sikkerhetskoden en global aksess-styring for hele EEPROM lageret 18. Sikkerhetskodeforsøktelleren fører regnskap over antall forsøk utført for presentering av en sikkerhetskode. Sikkerhetslageret 10 er låst dersom Sikkerhetskodeforsøktelleren opptar åtte ikke gyldige presenteringer av en sikkerhetskode. Kodebeskyttet sone er en partisjon som kan bli anvendt som kladdeblokk hvor READ aksess (leseaksess) er tillatt og WRITE/ERASE operasjonene for skriving/sletting er styrt av sikkerhetskodeflagget.

Seksjonen 24 til lagerkartet 20 inneholder fire applikasjonssoner som inneholder partisjoner for både sikkerhet og lagring. Hver av de fire applikasjonssonene vist i lagerkartet 20 innbefatter en partisjon for Sikkerhetskode, en Sikkerhetskodeforsøkteller, en Slettetaste, en Slettetasteforsøkteller partisjon og en Lagersone. Så snart EEPROM lageret 18 har blitt personalisert av utstederen vil partisjonene for Sikkerhetskoden og Sikkerhetskodeforsøktelleren i hver av applikasjonssonene styre lese- og skrive aksess i kombinasjon med andre sikkerhetstiltak til deres tilknyttete Lagersone, og partisjonene for Slettetaste og Slettetasteforsøkteller ved hver av applikasjonssonene styrer sletteaksess sammen med andre sikkerhetstiltak til deres tilknyttete Lagersone. For fagmann skulle det være klart at skriving til et EEPROM er prosessen med å anbringe en logisk "0" i en EEPROM lagerbit og sletting er prosessen med å anbringe en logisk "1" i en EEPROM lagerbit.

Seksjonen 26 er en Lagertestsone anordnet for å teste alle operasjonene til sikkerhetslageret 10 uten behov for sikkerhetsaksess.

Seksjonen 28 er en partisjon for en Sikring. Så snart lageret 10 er personalisert av utstederen bli Sikringspartisjonen 28 permanent utløst ved at den settes til en logisk "0". Det skal bemerkes at biten som er utløst er en alenestående bit til et EEPROM lager som er satt permanent til en logisk "0".

Når et sikkerhetslager 10 er sendt, som nevnt ovenfor, fra fremstilleren til utstederen blir en sikkerhetskode, bestemt av fremstilleren, overført av fremstilleren til utstederen. For at sikkerhetslageret 10 skal bli aksessert av utstederen for personalisering av sikkerhetslageret 10 for brukeren må utstederen mate inn sikkerhetskoden overført av fremstilleren for å sammenligne med sikkerhetskoden som programmert av fremstilleren av sikkerhetslageret i Sikkerhetskodepartisjonen i seksjonen 22 til lagerkartet 20. For at utstederen skal få aksess til EEPROM lageret 18 må der være et nøyaktig samsvar av sikkerhetskoden matet inn av utstederen med sikkerhetskoden programmert av fremstilleren.

For å forhindre systematisk angrep på sikkerhetslageret av en ikkeautorisert person blir det for hvert forsøk på aksess av sikkerhetslageret 10 ved å mate inn en sikkerhetskode som skal bli sammenlignet med sikkerhetskoden programmert av fremstilleren, ført regnskap over dette ved hjelp av Sikkerhetskodeforsøktelleren i seksjon 22. Dersom det utføres åtte forsøk på fa samsvar med en sikkerhetskode og den programmerte sikkerhetskoden uten hell er det ikke lenger mulig å sette sikkerhetsflagget. Hver gang en innmatet sikkerhetskode er sammenlignet med programmert sikkerhetskode og samsvar foreligger blir sikkerhetskodeforsøktelleren tilbakestilt til null.

Fig. 3 viser tidsdiagram 30 for vellykket sikkerhetskodesammenligningen og settingen av sikkerhetskodeflagget. I tidsdiagrammet er utført operasjonene RESET for tilbakestilling, READ for lesing, COMPARE for sammedigning, WRITE for skriving og ERASE for sletting. Tidsdiagrammet for RESET, READ, COMPARE og ERASE/WRITE operasjonene er fortsatt på henholdsvis fig. 4A til Fig. 4D.

Som vist i tidsdiagrammet 30 blir for å sammenligne en sikkerhetskode med den av fremstilleren programmerte sikkerhetskode et tilbakestillingssignal først tilført RST (tilbakestilling) benet til sikkerhetslageret 10. Ved RESET operasjon bli adressetelleren i adressedekoderen 14 tilbakestilt til null og den første biten til EEPROM lageret 18 er tilgjengelig på I/O benet etter den fallende flanken til tilbakestilingssignalet. Adressetelleren blir så inkrementert av et signal tilført CLK (klokke) benet mens signalet tilført PGM (program/slette) benet til sikkerhetslageret 10 er holdt lav inntil adressen til sikkerhetskodepartisjonen er nådd. Dette er en READ operasjon.

Adressetelleren for EEPROM lageret 18 er styrt av adressetellerkretsen 40 vist på fig. 5. To signaler, CLKR og R er frembrakt av adressetellerkretsen 40 for å styre en multi-trinn teller som er anvendt for å generere den ønskete adressen til EEPROM lageret 18. CLKR signalet er et internt klokkesignal for å inkrementere adressetelleren mens R signalet er et internt signal for å tilbakestille adressetelleren til null.

Adressetellerstyrekretsen 40 har følgende inngangssignaler:

PGMERASEFUNC, WRT, CLK, RST, FLGRST, og CPUB. Ved adressetellerkretsen er signalene PGMERASEFUNC og WRT begge tilført inngangene til en NELLER-port 42. Utgangen til NELLER-porten 42 og signalet CLK koblet med inngangene til en OG-port 44. Utgangen til OG-porten 42 og signalet RST er koblet med inngangen til en NELLER-porten 46, og utgangen til NELLER-porten 46 er ført gjennom invertere 48 og 50 for å danne signalet CLKR. Signalet CLK og signalet FLGRST er koblet med inngangene til en OG-port 52. Utgangen til OG-porten 52 og signalet CPUB er koblet med inngangene til en NELLER-port 54, som har en utgang koblet med den negativt flanketriggete blankeinngangen til et vippe 56 av D-typen. Signalet RST er også koblet via en inverter 58 med klokkeinngangen til vippen 56 av D-typen. Datainngangen til vippen 56 av D-typen holdes høyt HIGH gjennom en inverter 60 koblet med Vss. Datautgangen til vippen 56 av D-typen og signalet CPUB er koblet med inngangene til en NELLER-port 62 og utgangen til NELLER-porten 62 er koblet med en inverter 64 for å danne signalet R.

Signalet PGMERASEFUNC genereres internt av en krets som skal beskrives nærmere nedenfor. Det er generert for å utsette adressetelleren ved å ikke føre signalet CLK gjennom OG-porten 42 når den vipper, som kan bli forstått ved undersøkelse av adressetellerstyrekretsen 40, når en slette- eller skrivesyklus har blitt utført. Signalet RST er generert eksternt for å tilbakestille adressetelleren til null. Når signalet RST gjør en overgang fra HIGH (høyt signalnivå) til LOW (lavt signalnivå) klokkes vippen 56 av D-typen og datautgangen til vippen 56 av D-typen går til HIGH. Som et resultat går signalet R høyt HIGH og adressetelleren tilbakestilles til null. Signalet FLGRST tilbakestiller signalet R til lavt LOW etter at adressetelleren har blitt tilbakestilt til null når signalet R gikk til høyt nivå HIGH. Signalet FLGRST genereres av adressetelleren når adressen i EEPROM lageret 18 er null enten når EEPROM lageret 18 er tilbakestilt eller adressetelleren har rullet over til null. Signalet CPUB genereres når

sikkerhetslageret 10 har strømmen på.

Utgangen til adressetelleren koblet inn i en styreordidentifiserer som blir anvendt for å generere styreordsignaler for å indikere når bestemte adresser i EEPROM lageret 18 har blitt nådd. Styreordidentifisereren genererer også et signal for første bit, andre bit og åttende (siste) bit til hvert ord i EEPROM lageret 18. Som vil bli beskrevet nærmere nedenfor blir signalet generert av styreordidentifisereren anvendt av sikkerhetslogikken for å identifisere hvilke partisjoner i EEPROM lageret 18 som har blitt aksessert så vel som om første, andre, eller siste bit av et ord også er blitt adressert.

En bit for bit sammenligning av den programmerte sikkerhetskoden med sikkerhetskoden presentert ved I/O ben bli så utført etter som klokkesignalet inkrementerer adressen til den programmerte sikkerhetskoden. Sammenligningen blir utført ved hjelp av en krets 70 for sammenligning av biter vist på fig. 6.1 kretsen 70 for sammenligning av biter blir data lest ut fra EEPROM 18 en bit om gangen ved hjelp av en følerforsterker på linjen SAOUT sammenlignet ved hjelp av XNELLER-porten 72 med sikkerhetskoden som er matet inn på I/O linjen etter som den er klokket gjennom vippen 74 av D-typen. Ved COMPAR operasjonen bli adressetelleren inkrementert på den fallende flanken til klokken og inngangsdata blir holdt på den stigende flanken til klokken. Sammenligningen bli utført på neste fallende flanke til klokken.

En sammenligning blir utført ved tidspunktet vippen 82 av D-typen blir klokket. Når sammenligningen er utført må CMPBIT forbli HIGH for sammenligningen for å indikere et samsvar. For at CMPBIT skal være HIGH må begge inngangene til NOG-porten 80 være HIGH dersom en av inngangene går til LOW så vil signalet CMBIT forbli LOW. Siden en av inngangene til NOG-porten 80 er koblet med utgangen til ELLER-porten 78 må utgangen til ELLER-porten 78 forbli HIGH for at signalet CMBIT skal forbli HIGH. Inngangen til ELLER-porten 78 er utgangen til sammenligningen fra XNELLER-porten 72 og signalet SC WORD matet gjennom inverteren 76. Når adressetelleren er innenfor partisjonen som inneholder sikkerhetskoden er signalet SC WORD HIGH og som et resultat kan utgangen til ELLER-porten 78 ikke bli gjort HIGH av signalet SC WORD mens adressetelleren er ved partisjonen for sikkerhetskoden. Heller, det er når bitene som sammenlignes er det samme som utgangen til XELLER-porten 72 er HIGH, for å tilveiebringe en HIGH utgang fra ELLER-porten 78 slik at CMPBIT forblir HIGH. Dersom i løpet av sammenligningen utgangen til ELLER-porten 78 går til LOW så vil CMPBIT gå LOW og forbli LOW. Det skal bemerkes at dersom strømforsyningen slåes av i løpet av sammenligningen blir COMPARE operasjonen avsluttet på grunn av at vippen av D-typen tilbakestilles av signalet CPUB. Et signal FLGRST vil tilbakestille vippen 82 av D-typen, som derved tillater en annen COMPARE operasjonen.

Etter et samsvar av programmert sikkerhetskode med innmatet sikkerhetskode må en valideringsoperasjon bli utført. Ved valideringsoperasjonen inkrementeres Sikkerhetskodeforsøktelleren og en READ operasjon er utført inntil en logisk "1" er funnet i Sikkerhetskodeforsøktelleren. I løpet READ operasjonen inkrementeres adressetelleren. Ved READ operasjonen, når adressetelleren inkrementers, er den første biten tilgjengelig på I/O etter fallende flanke til klokken. Det skal bemerkes at det at en Sikkerhetsforsøkteller har en logisk "1" indikerer at ikke noe heldig forsøk på samsvar har blitt utført siden Sikkerhetsforsøkteller ble tilbakkestilt. Ved adressen ved hvilken logisk "1" ble funnet blir så en WRITE operasjon utført for å plassere en logisk "0" ved det adressestedet.

En nullverifikasjonsskrivekrets 90 er vist på flg. 7. Inngangssignalene til nullverifikasjorisskrivekretsen 90 er CPUB, CLK, PGM og SAOUT. Signalet CPUB er koblet gjennom en inverter 92 med en inngang til en OG-port 94 og bankeinngangen "C" til vippen 100 av D-typen. Signalet CLK er koblet med inngangen til en første NOG-port 96, en andre NOG-port 98, klokkeinngangen til en vippe 100 av D-typen og en tredje NOG-port 102. Signalet PGM er koblet med klokkeinngangen til en vippe 104 av D-typen og gjennom en inverter 106 med datainngangen til vippen 100 av D-typen og med en inngang til den tredje NOG-porten 102. Datautgangen til vippen 100 av D-typen er også koblet med en inngang tilden tredje NOG-porten 102. Datautgangen til vippen 100 av D-typen er også koblet med en inngang til OG-porten 94. Signalet SAOUT er koblet med datainngangen vippen 104 av D-typen. En annen inngang til første NOG-porten 96 er koblet med datautgangen tilvippen 104 gjennom en inverter 108. Utgangen til første NOG-porten 96 er koblet med en inngang til en OG-port 110, mens andre ingangen til OG-porten 110 er koblet med utgangen til OG-porten 94. Utgangen OG-porten 94 er også koblet med den negativt flanketriggerte blankeinngangen "C" til vippen 112 av D-typen og en inngang til NOG-porten 98. Datautgangen til vippen 104 av D-typen er også koblet med NOG-porten 98 og den iverterte utgangen til vippen 104 av D-typen er koblet med klokkeinngangen til vippen 112 av D-typen. Vss er koblet med datainngangen til vippen 112 av D-typen gjennom en inverter 114 og datautgangen til vippen 112 av D-typen danner utgangen for nullverifikasjonsskrivekretsen 90 etter passering gjennom inverterene 116 og 118.

Med henvisning til fig. 7 skal valideringsoperasjonen forklares. Når en logisk "1" er lest fra sikkerhetskodeforsøktelleren som følger en COMPARE operasjon, som beskrevet ovenfor, skulle siganlet SAOUT være en logisk "1Når signalet PGM går til HIGH starter en WRITE "0" til adressen i sikkerhetskodeforsøktelleren fra hvilken logisk "1" ble lest, en logisk "1" skulle bli holdt ved "Q" utgangen til vippen 104 av D-typen. Ved dette punktet er WR0VEN signalet ved LOW. Dersom en WRITE "0" forekom vil signalet SAOUT bli holdt på neste stigende flanke til PGM.

En ERASE operasjon vil så bli utført på Sikkerhetskodeforsøktelleren. Dette vil resultere i en logisk "1" som blir holdt ved utgangen til vippen 112 av D-typen på den stigende flanken på klokkeinngangen til vippen 112 av D-typen. Det skal bemerkes at når en WRITE operasjon utføre endres kun en enkel bit, men når ERASE operasjonen utføres endres hele byten. En READ operasjon blir så utført for å indikere at sikkerhetskodeflagget har blitt satt på grunn av at en sletting av Sikkerhetskodeforsøktelleren har blitt tillatt. En READ ut av en logisk "1" indikerer at sikkerhetskodeflagget har blitt satt på grunn av at en sletting av Sikkerhetskodeforsøktelleren har forekommet. En READ ut av an logisk "0" indikerer at sikkerhetskodeflagget ikke har blitt satt på grunn av ingen sletting av Sikkerhetskodeforsøktelleren har forekommet. Vippen 100 av D-typen, NOG-porten 102 og OG-porten 94 sikrer at signalet WR0VEN vil bli tvunget til en logisk "0" dersom strømforsyningen er tilbakestilt eller adressen er inkrementert.

Så snart en vellykket COMPARE har blitt utført og en WRITE operasjon har blitt utført vil sikkerhetskodeflagget bli satt av sikkerhetsflaggkretsen 120 vist på fig. 8. Inngangene til sikkerhetskodeflaggkretsen 120 er ENABLE, CPUB, WROVEN, ACWORD, og CPMBIT og utgangen er SV. Signalet ENABLE er koblet gjennom en inverter 122 med en inngang til en NELLER-port 124 og også en inngang til en NOG-port 126. Koblet med de to andre inngangene til NOG-porten 126 er signalene ACWORD og CMBIT. Signalet CPUUB er koblet med en annen inngang til NELLER-porten 124 og utgangen til NELLER-porten 124 er koblet med den negativt flanketriggete blankeinngangen "C" til vippen 128 av D-typen. Signalet WROVEN er koblet med klokkeinngangen til vippen 128 av D-typen. Datainngangen til vippen 128 av D-typen er koblet med utgangen til en NOG-port 130, som har en første inngang koblet med utgangen til NOG-porten 126 og en andre inngang koblet med datautgangen til vippen 128 av D-typen gjennom en inverter 132.

Forutsatt at CMPBIT matet til NOG-porten 126 fremdeles er HIGH etterfølgende sikkerhetskodesammenligningen, når WROVEN siger, vil vippen 128 av D-typen holde en HIGH utgang SV (Forutsatt at ENABLE og AC WORD også er HIGH). SV vil forbli HIGH så lenge som strøm er tilført sikkerhetslageret 10 og ENABLE er HIGH siden logisk "1" på SV mates gjennom en inverter til NOG-porten 130 for å mate en logisk "0" til NOG-porten 130. Inngangen til vippen 128 av D-typen fil forbli HIGH på grunn av denne tilbakekoblingen.

Så snart sikkerhetskodeflagget har blitt satt har utstederen av sikkerhetslageret 10 aksess til personalisering av applikasjonssoner for sluttbrukeren. Etter personaliseringen av de ønskete deler av sikkerhetslageret 10, til hvilket utstederen har aksess, er verdien i Fuse (sikringen) i seksjonen 28 skrevet til en logisk "0". Videre vist i tabell 1 på fig. 9 er aksessbetingelser for personalisering av sikkerhetslageret 10 før Fuse satt til logisk "0". For å personalisere sikkerhetslageret 10 skriver eller sletter utstederen ønsket data inn i sikkerhetslageret 10 som tillatt av aksessbetingelser. I tabell 1 representerer SV sikkerhetskodeflagget som, når satt, er en logisk "1", koden Rn er et leseflagg for Applikasjonssoner hvor n=l,2,3 eller 4 korresponderende med fire Applikasjonssoner og "X" indikerer en ikke pass på.

Som et første eksempel er ved partisjonene for sikkerhetskodeforsøktelleren (SCAC), når SV=0, det vil si sikkerhetskodeflagget er ikke satt, kun lese- og skriveaksess tillatt og når SV=1, det vil si kodeflagg er satt, lese-, skrive- og sletteaksess tillatt. Som et andre eksempel er ved partisjonene for den første Lagersonen (SMZ1), når SV=1 og R1=0, ingen aksess tillatt, når SV=0 og Rl=l leseaksess tillatt, når SV=1 lese-, skrive-og sletteaksess tillatt. Ved den foretrukne utførelsen er Rn satt av verdien i den andre biten i hver av de fire Lagersonene. Rn flagget vil forbli satt inntil strømmen til sikkerhetslageret er slått av selv om den andre biten i den bestemte Lagersonen kan bli skrevet til en logisk "0" ved en påfølgende operasjon.

Vist på flg. 10 er en P og R flagg settekrets 140 som setter Rn flagg. P og R flagg settekretsen 140 setter også et Pn flagg som skal bli beskrevet nedenfor. P og R flagg settekretsen 140 har inngangssignalene CPUB, CLKB, BITO, SAOUT, WORD og BITI. Signalet CPUB er koblet med en tilbaskestillingsinngang "R" til vippene 142 og 144 av D-typen. Siganlet CLKB er koblet med klokkeinngangen til vippene 142 og 144 av D-typen. Signalene SAOUT og WORD er koblet med henholdsvis første og andre inngang til OG-portene 146 og 148 og signalene BITO og BITI er koblet med første inngangene til respektive OG-porterl46 og 148. Utgangene til NELLER-portene 150 og 152 er koblet med datainngangene til respektive vipper 142 og 144 av D-typen. Datautgangene til vippene 142 og 144 av D-typen er tilbakekoblet med respektive andre innganger til respektive NELLER-porter 150 og 152 og danner også Pn og Rn flaggene.

Ved operasjonen av P og R flaggsettekretsen 140 blir signalene BITO, BITI og WORD satt av styreordidentiflsererkretsen. Ved setting av et bestemt Rn flagg er adressen ved partisjonen i lageret fra hvilket Rn flagget skal bli lest, signalet WORD og BITI til det ordet vil være HIGH og dersom verdien ved BITI lest ut på SAOUT linjen også er HIGH vil Rn flagget bli satt. Rn flagget vil forbli satt inntil strømmen til sikkerhetslageret er slått av ved hjelp av signalet CPUB. Dette er sant selv om den andre biten i den bestemte Lagersonen kan bli skrevet til en logisk "0" ved en påfølgende operasjon, som derved tvinger utgangen til OG-porten 148 til en logisk "0" på grunn av at utgangen til vippen 144 av D-typen som er tilbakekoblet gjennom ELLER-porten 152 vil holde utgangen til ELLER-porten 152 ved en logisk "1". Operasjonen for setting av Pn flagget er lignende den til settingen av Rn flagget med unntak av at signalet BITO er anvendt isteden for signalet BITI.

For fagmannen på området vil klart fremgå av fig. 9 hvilket flagg som må bli satt til lese, skrive, slette eller sammenlign data i partisjonene i sikkerhetslageret 10. Lesing, skriving, sletting og sammenligning av data i sikkerhetslageret tilveiebringes ved å tilføre egnet sekvens med signaler til benene til sikkerhetslageret 10 som vist ved hjelp av tidsdiagrammene på fig. 4 A til 4D.

For å skrive til partisjonen for Sikkerhetskoden i den første applikasjonssonen blir for eksempel adressen til EEPROM lageret 10 tilbakestilt til null ved å utføre en RESET operasjon. Fagmannen på området vil innse at en RESET operasjon kan utføres ved å tilføre signaler til benene til sikkerhetslageret i rekkefølgen diktert av tidsdiagrammet for RESET operasjonen vist på fig. 4A. En READ operasjon blir så utført inntil adressen i adressetelleren er inkrementert til mitialadressen til partisjonen for Sikkerhetskoden i den første applikasjonssonen. Tilslutt utføres en WRITE operasjon for å skrive ønsket data til adressen i Sikkerhetskoden ved den første applikasjonssonen. Som beskrevet ovenfor blir Sikringspartisjonen permanent satt til logisk "0" for å emulere tilstanden av en utløst sikring så snart utstederen er ferdig med personaliseringen av sikkerhetslageret 10 for sluttbrukeren.

Så snart sikringen er utløst bestemmes en aksess til sikkerhetslageret i samsvar med aksessbetingelsen vist i tabell 2 på fig 11.1 tabell 2 er det tre ytterligere koder som ikke var tilstede i tabell 1 på fig. 9. Disse kodene er Sn, Pn og En. Koden Sn representerer et sikkerhetskodeflagg for de fire Applikasjonssonene hvor n=l, 2,3 eller 4 korresponderende med de fire Applikasjonssonene.

Når sikkerhetskodeflagget for en bestemt Applikasjonssone er satt er koden Sn en logisk "1". For å sette flagget Sn ved en bestemt applikasjonssone må en sikkerhetskode som samsvarer med sikkerhetskoden lagret i Sikkerkodepartisjonen til den bestemte applikasjonssonen bli presentert. Sammenlignings- og valideringsoperasjonen utføres på samme måte som beskrevet ovenfor for sikkerhetskoden funnet for Sikkerkodepartisjonen til seksjonen 22. Den eneste forskjellen er at sammenligningen vil forståelig nok starte ved adressen til Sikkerkodepartisjonen tilknyttet med den valgte applikasjonssonen

Koden Pn er et skriveflagg for hver av de fire applikasjonssonene. Ved den foretrukne utførelsen er Pn flagget satt ved hjelp av verdien i den første biten ved hver av de fire Applikasjonssonene. Pn flagget, når satt, er en logisk "1". Pn flagget vil forbli satt inntil strømmen for sikkerhetslageret er slått av selv om den første biten i den bestemte Applikasjonssonen kan være skrevet til en logisk 20" ved påfølgende operasjon. Settingen av Pn flagget er tilveiebrakt som beskrevet i forbindelse med fig. 10.

Koden En representerer et slettekodeflagg for de fire Applikasjonssonene. Når slettekodeflagget for en bestemt Applikasjonssone er satt er En koden en logisk "1". For å sette En flagget i en bestemt applikasjonssone må en slettekode som samsvarer med slettekoden lagret i Slettetastepartisjonen til den bestemte applikasjonssonen bli presentert. Sammenlignings- og valideringsoperasjonen utføres på samme måte som beskrevet ovenfor for sikkerhetskoden funnet i Sikkerkode til seksjonen 22. Den eneste forskjellen er at sammenligningen vil forståelig nok starte ved adressen til Slettetastepartisjonen tilknyttet med den valgte applikasjonssonen

For at sluttbrukeren skal få aksess til de forskjellige partisjonene til EEPROM 18 for lesing, skriving, sletting og sammenligning må den riktige kombinasjonen av SV, Sn, Pn, Rn og En flagg bli satt. Som eksempler vil bli beskrevet den nødvendige kombinasjonen av SV, Sn, Pn, Rn og En flagg som må bli satt til lese, skrive, slette og sammenligning i en av Lagersonene.

I lagringssonene kan aksessen tilveiebrakt ved forskjellige kombinasjoner av flagg lett forståes ved å dele de forskjellige kombinasjonene av flagg i tre grupper. I den første gruppen Sn=0 og den enste aksessen til Lagringssone som er tillatt er en READ operasjonen som kan forekomme når Rn=l. I den andre gruppen er SV=1, Sn=l .og Pn=0. Når denne settingen av flagg forekommer avhenger aksess til Lagringssonen av En flagget. Dersom En=0 er kun READ operasjon tillatt. Ellers dersom En=l så er READ og ERASE operasjon tillatt. I tredje gruppen er SV=1, Sn=l og Pn=l. Når denne settingen av flagg forekommer avhenger aksessen til Lagringssonen av En flagget. Dersom En=0 så er READ og WRITE operasjonen tillatt. Ellers dersom En=l så er READ, WRITE og ERASE operasjonen tillatt.

Følgelig skulle følgende observasjoner bli gjort. For det første er det eneste tidspunktet når en READ fra Lagringssonen ikke er tillatt når Sn=0 og Rn=0. For det andre er det enste tidspunktet når en WRITE er tillatt når SV=1, Sn=l og Pn=l. For det tredje er det eneste tidspunktet når en ERASE er tillatt når SV=1, Sn=l og En=l.

Kretsdiagrammet for kombinasjonslogikk for generering av klargjøringssignaler sendt til EEPROM 18 slik at en READ, WRITE eller ERASE av data i EEPROM 18 kan bli utført og klargjøringssignaler for utløsning av sikringer for personalisering, som beskrevet ovenfor, er vist på fig. 12A-12C. En fagmann vil lett se av fig. 12A-12C at flaggene må bli satt som tidligere beskrevet for å tilveiebringe ønskete utgangsklargjøringssignaler fra flg. 12A-12C. Fig. 12A genererer for eksempel et leseklargjøringssignal som er HIGH når PGMERASEFUNC er LOW. signalet MEM er HIGH og flaggene for en valgt partisjon som aksesseres er også HIGH. For å ungå en komplisering av beskrivelsen vil hver av disse flaggene som har blitt beskrevet ovenfor ikke bli beskrevet en gang til her.

Fig 12B og 12C genererer skrivestyring (WRT, CTRL), sikringsskrivestyring (FZ WRT) og blanke- eller slettestyring (CLR CTRL) fra flaggene satt som beskrevet ovenfor. Signalene WRT CTRL, FZ WRT CTRL og CLR CTRL bli så matet inn i en skrive- og slettestyrekrets på fig. 13 som genererer signalene WRTEN, CLREN og WRT anvendt av EEPROM 18 for å skrive og slette data og genererer også klargjøringssignalet for å styre programmeringssignalet for sikringene FZ WRT EN. Fagmannen på området vil lett se at operasjonene vist på fig. 12A-12C og 13 for å generere klargjøringssignaler for lese-, skrive-, slette- og sikringsprogrammering ifølge flaggene beskrevet ovenfor.

Men utførelsesformer og anvendelser av oppfinnelsen har blitt vist og beskrevet vil de være klart for fagmannen på området at mange flere modifikasjoner enn de nevnt ovenfor er mulig uten å avvike fra det her beskrevne oppfinneriske konsept. Oppfinnelsen er derfor ikke begrenset utover det som er fremgår av kravet.

Claims (1)

1. Sikkerhetslager, omfattende en sikkerhetssone (22) av første nivå med en aksesskodestyring (SC) av aksessen til sikkerhetslageret (20) før en utstedersikring (28) har blitt utløst, en sikkerhetskodeforsøkteller (SCAC) som forhindrer aksess til sikkerhetslageret (20) når et forhåndsbestemt antall forsøk på å oppnå samsvar med aksesskoden har blitt utført før tilbakestilling av sikkerhetskodeforsøktelleren (SCAC), og en flerhet av applikasjonssoner (1,2,3,4),karakterisert ved at hver av nevnte flerhet av applikasjonssoner innbefatter: en lagersone (SMZ1,...,SMZ4); en applikasjonssikkerhetssone (SC1,...,SC4) med en aksesskode for applikasjonssonen som styrer aksessen til lagersonen etter at en utstedersikring har blitt utløst, en sikkerhetskodeforsøkteller (Sl AC SC4AC) for applikasjonssonen som forhindrer aksess til applikasjonssonen når et forhåndsbestemt antall forsøk på samsvar med aksesskoden for applikasjonssonen har blitt utført før tilbakestillingen sikkerhetskodeforsøktelleren for applikasjonssonen, en slettetastepartisjon (EZ1,...EZ4) med en slettetastekode som styrer sletteaksess til lagringssonen etter at en utstedersikring har blitt utløst, og en slettetasteforsøkteller (E1AC,...,E4AC) som forhindrer sletteaksess til applikasjonssonen når et forhåndsbestemt antall forsøk på samsvar med slettetastekoden har blitt utført før tilbakestillingen av slettetasteforsøktelleren.