DE102005009795A1

DE102005009795A1 - Mikroprozessorsystem für eine Maschinensteuerung in sicherheitszertifizierbaren Anwendungen

Info

Publication number: DE102005009795A1
Application number: DE102005009795A
Authority: DE
Inventors: Hans-Herbert Kirste; Michael Lehzen
Original assignee: Wago Verwaltungs GmbH
Current assignee: Wago Verwaltungs GmbH
Priority date: 2005-03-03
Filing date: 2005-03-03
Publication date: 2006-09-14
Also published as: US20060200257A1

Abstract

Die Erfindung betrifft ein Mikroprozessorsystem für eine Maschinensteuerung in sicherheitskritischen Anwendungen, umfassend einen Hauptprozessor, einen Programm- und/oder Datenspeicher, eine Eingabe/Ausgabeeinheit und einen Bus zur Kopplung der vorgenannten Komponenten sowie mindestens einen Sicherheitsprozessor mit eigenem Programm/Datenspeicher, der ebenfalls an dem Bus angeschlossen ist. DOLLAR A Erfindungsgemäß ist vorgesehen, eine sichere Übertragungsstrecke zum Einladen von Programmen und Daten in den Sicherheitsprozessor zu bilden. Diese umfasst den allgemeinen Bus (70) sowie eine Mailbox (87) mit einer Statemachine, deren Eingang mit dem allgemeinen Bus (70) und deren Ausgang mit dem Sicherheitsprozessor (80) verbunden ist. Dadurch wird erreicht, dass Programmdaten in den Programmspeicher (84) des Sicherheitsvontrollers geschrieben werden können, ohne dass eine Gefahr von Manipulation besteht. Insbesondere kann der Hauptprozessor (60) nicht auf diese Daten zugreifen. Damit wird es ermöglicht, über den an sich nicht sicheren Bus die Programmdaten auf sichere Weise in den Sicherheitsprozessor (80) einzuladen. Der Bus (70) braucht damit nicht zum sicheren Bereich zu gehören. Die Zertifizierung der Mikroprozessorsteuerung vereinfacht sich dadurch.

Description

Die Erfindung betrifft ein Mikroprozessorsystem für eine Maschinensteuerung in sicherheitszertifizierbaren Anwendungen, umfassend einen Hauptprozessor, einen Programm- und Datenspeicher, eine Eingabe/Ausgabeeinheit und einen Bus zur Kopplung der vorgenannten Komponenten, sowie mindestens einen Sicherheitsprozessor mit eigenem Programm/Datenspeicher, der ebenfalls an dem Bus angeschlossen ist.

Der Bereich der Automatisierungstechnik ist durch zwei Hauptentwicklungsrichtungen geprägt, die teilweise parallel und teilweise konträr zueinander verlaufen. Die eine Hauptentwicklungsrichtung ist die Verwendung von immer komplexer werdenden elektronischen Steuerungssystemen, insbesondere von Mikroprozessorsteuerungen. Die andere Hauptentwicklungsrichtung betrifft die Sicherheit der Steuerung selbst sowie die der von ihr kontrollierten Anlage. Hierbei kommen zusehends umfassendere und anspruchsvollere Sicherheitsanforderungen zur Anwendung. Insbesondere der Bereich der elektrischen, elektronischen und programmierbaren elektronischen Systeme (sog. E/E/PES) findet zusehends Beachtung unter Sicherheitsaspekten. Mikroprozessorbasierte Systeme bieten zwar den Vorteil einer hohen Funktionsvielfalt und damit grundsätzlich auch gute Ausgangsvoraussetzungen zur Implementierung eines wirksamen Sicherheitskonzepts. Andererseits kann zu ihrer Bewertung aber gerade wegen ihrer größeren Komplexität nicht oder nur sehr eingeschränkt auf bewährte Beurteilungsmaßstäbe zurückgegriffen werden, die für herkömmliche diskrete Elektrik oder Elektronik gewonnen worden sind. Damit auch Mikroprozessorsteuerungen in sicherheitsrelevanten Bereichen unter defi nierten Bedingungen einsetzbar und zertifizierbar sind, müssen sie besondere Anforderungen an Ausfallsicherheit und Fehlertoleranz erfüllen. Dies ist in entsprechenden Normen geregelt, wie bspw. IEC 61508 oder EN 954-1. In diesen Normen sind verschiedene Sicherheitsebenen (SIL oder Kategorie) definiert und Bedingungen zu deren Erreichen angeben. Diese Normen sind in der Regel technologieunabhängig und geben keine unmittelbaren Anweisungen in Bezug auf strukturelle Ausführungsmöglichkeiten zu ihrer Erfüllung.

Es ist daher ein Bestreben, Mikroprozessorsteuerungen so weiterzubilden, dass sie zur Erfüllung der in den Normen spezifizierten Sicherheitsauflagen befähigt sind. Aus offenkundiger Vorbenutzung ist es bekannt, zu diesem Zweck neben dem eigentlichen (Haupt-)Prozessor noch eigene Sicherheitsprozessoren vorzusehen. Diese Sicherheitsprozessoren bilden einen Sicherheitsbereich, und sind damit ein Herzstück der Sicherheitsfunktionalität. Bei der Sicherheitsbetrachtung kann aber nicht allein auf die Sicherheitsprozessoren abgestellt werden, sondern es ist vielmehr auch die zu ihrem Betrieb erforderliche Peripherie zu berücksichtigen. Dazu gehören insbesondere Speicher und Buseinrichtungen. Bei aus offenkundiger Vorbenutzung bekannten Mikroprozessorsystemen werden aus Kostengründen häufig Komponenten zur gemeinsamen Nutzung durch den Hauptprozessor und die Sicherheitsprozessoren vorgesehen, insbesondere ein gemeinsamer Bus zur Daten- bzw. Adressübertragung. Der gemeinsam genutzte Bus kann dem Sicherheitsbereich aber nicht mehr zugeordnet werden. Daraus ergeben sich Probleme bei der Zertifizierung. Um diese zur vermeiden, kann ein eigener Bus vorgesehen sein. Das ist aber aus Aufwandsgründen nachteilig. Es würden somit erhebliche zusätzliche Entwicklungs- und Herstellungskosten verursacht.

Der Erfindung liegt die Aufgabe zugrunde, eine Mikroprozessorsteuerung der eingangs genannten Art zu schaffen, bei der diese Nachteile vermieden sind oder zumindest nur in geringerem Umfang auftreten.

Die erfindungsgemäße Lösung liegt in den Merkmalen des unabhängigen Anspruchs. Vorteilhafte Weiterbildungen sind Gegenstand der abhängigen Ansprüche.

Erfindungsgemäß ist bei einem Mikroprozessorsystem für eine Maschinensteuerung in sicherheitszertifizierbaren Anwendungen umfassend einen unsicheren Bereich mit einem Hauptprozessor, einem Programm- und Datenspeicher, einer Eingabe/Ausgabeeinheit und einem Bus zur Kopplung vorgenannter Komponenten, sowie einen sicheren Bereich mit mindestens einem Sicherheitsprozessor mit eigenem Programm/Datenspeicher, der ebenfalls an den Bus angeschlossen ist, vorgesehen, dass ein gesicherter Übertragungskanal zum Laden von Programmen/Daten in den eigenen Programm/Datenspeicher des Sicherheitsprozessors ausgebildet ist, der eine Datenquelle, die an den Bus anschließbar ist und einen Prüfdatenbereich aufweist, sowie eine dem Sicherheitsprozessor zugeordnete Mailbox umfasst, deren Eingang an den Bus angeschlossen ist und deren Ausgang mit dem eigenen Speicher des Sicherheitsprozessors verbunden ist, wobei ferner eine Statemachine vorgesehen ist, welche zum Übertragen von Daten aus der Datenquelle in den Speicher des Signalprozessors und zur Verifikation anhand von Daten aus dem Prüfdatenbereich ausgebildet ist.

Die Erfindung fußt auf dem Gedanken, auf dem allgemein genutzten, nicht sicheren Bus eine gegen unbefugte Verfälschung gesicherten Übertragungskanal zu schaffen, und so eine sichere Kommunikation mit dem Sicherheitsprozessor zu ermöglichen. Die Erfindung ermöglicht damit eine gesicherte Kommunikation mit dem Sicherheitsprozessor, ohne dass dafür zusätzliche Hardware erforderlich ist. Gebildet ist dieser gesicherte Übertragungskanal über den an sich nicht sicheren Bus, an den einerseits im unsicheren Bereich die Datenquelle, welche zu schützende Daten für den eigenen Speicher des Sicherheitsprozessors enthält, und andererseits am Übergang zum sicheren Bereich die Mailbox angeschlossen sind. Diese Komponenten wirken wie folgt zusammen: Die zu übertragenden Daten liegen in der an sich nicht sicheren Da tenquelle. Sie werden, meist unter Regie des Hauptprozessors und seinen Peripherieelementen wie zum Beispiel DMA-Controller, über den Bus zur Mailbox geführt. Die Mailbox trennt den Hauptprozessor von dem Sicherheitsprozessor, sie leitet die über den Bus gesendeten Daten an den Sicherheitsprozessor weiter. Die so in die Mailbox transportierten Daten werden in den eigenen Speicher des Sicherheitsprozessors eingeschrieben. Der Hauptprozessor hat keinen Zugriff auf die Daten über die Mailbox hinweg. Die Mailbox bewirkt in dieser Hinsicht eine Isolierung des sicheren Bereichs von dem Rest. Dank dieser Isolierung durch die Mailbox sind die Daten vor einem unbefugten Zugriff von außen geschützt; insbesondere kann der Hauptprozessor nicht über die Mailbox hinweg auf den Programm- oder Datenspeicher des Sicherheitsprozessors durchgreifen. Eine Sicherheitsbetrachtung kann sich somit dank der Erfindung auf den sicheren Bereich mit dem Sicherheitsprozessor und seinem eigene Speicher konzentrieren. Es braucht nur verifiziert zu werden, dass die Daten unverfälscht in den eigenen Speicher gelangt sind. Das geschieht erfindungsgemäß mittels der Statemachine und den Daten aus dem Prüfbereich, beispielsweise durch eine Prüfsumme. Damit werden die in den eigenen Speicher geladenen Daten auf Korrektheit überprüft. Da für die Sicherheitsbetrachtung nur der sichere Bereiche jenseits der Mailbox untersucht werden muss, verringert sich der Aufwand für eine Sicherheitszertifizierung. Auch im Betrieb ergeben sich Vorteile. So brauchen Speichertests nur für den eigenen Speicher des Sicherheitsprozesssors durchgeführt zu werden, und nicht für den meist wesentlich größeren Hauptspeicher. Da solche Tests in der Regel zyklisch wiederholt werden, bringt die Beschränkung auf den in der Regel kleinen eigenen Speicher des Sicherheitsprozessors enorme Laufzeitvorteile für die jeweilige Applikation mit sich. Dank der Erfindung kann so eine sichere Kommunikation mit dem Sicherheitsprozessor mit nur geringem Zusatzaufwand erreicht werden.

Vorzugsweise ist der Bereich jenseits der Mailbox mit dem Sicherheitsprozessor und dem eigenen Speicher von den übrigen Komponenten physikalisch getrennt. Das kann beispielsweise durch eine Isolierung des entsprechenden Bereichs auf dem verwendeten Die vorgesehen sein. Damit kann eine Rückwirkungsfreiheit erreicht werden. Unter Rückwirkungsfreiheit wird hier verstanden, dass ein abnormaler Zustand in dem nicht-sicheren Bereich, zum Beispiel eine Übertemperatur des Hauptprozessors, nicht zu einer Beeinträchtigung, zum Beispiel einer Fehlfunktion, des Sicherheitsprozessors führen darf.

Die Erfindung ist nicht auf lediglich einen Sicherheitsprozessor beschränkt. In vielen Fällen ist es zweckmäßig, wenn zwei (oder mehr) Sicherheitsprozessoren vorgesehen sind. Mit einer steigenden Zahl von Sicherheitsprozessoren können höhere Sicherheitskategorien (Safety Integrity Levels SIL) erreicht werden. Mehrere Sicherheitsprozessoren ermöglichen eine gegenseitige Überwachung und erhöhen damit die Sicherheit vor einem unerkannten und damit sicherheitskritischen Fehler. Um die Sicherheitsprozessoren mit ihren jeweils zugeordneten Speichern mit den erforderlichen Programm- bzw. Nutzdaten zu versorgen, ist vorzugsweise für jeden Sicherheitsprozessor eine eigene Mailbox vorgesehen. Das ermöglicht eine unabhängige Kommunikation mit den Sicherheitsprozessoren. Dadurch kann eine vollständige Redundanz erreicht werden. Die Gefahr eines kritischen Ausfalls verringert sich dadurch. Es kann aber auch eine gemeinsame Mailbox vorgesehen sein. Um sicherzustellen, dass den Sicherheitsprozessoren jeweils der richtige Datensatz zugeordnet wird, sind vorzugsweise Identifikationsmerkmale für Datensatz und Sicherheitsprozessor vorgesehen. Es kann sich hierbei um ID-Nummern handeln. Mittels einer geeigneten Einrichtung, zum Beispiel der Statemachine, kann geprüft werden, ob der richtige Datensatz an den vorgesehenen Sicherheitsprozessor übertragen würde.

Außerdem kann eine zusätzliche Mailbox vorgesehen sein, die an ihrer einen Seite mit dem ersten Sicherheitsprozessor und mit ihrer anderen Seite mit dem zweiten Sicherheitsprozessor verbunden ist. Das ermöglicht eine sichere Kommunikation zwischen den Sicherheitsprozessoren. Dies ist insbesondere für die gegenseitige Überwachung der Sicherheitsprozessoren von Vorteil, wodurch sich die Sicherheit des gesamten Mikroprozessorsystems weiter erhöht.

Bei einer bevorzugten Ausbildungsform ist der erfindungsgemäße Übertragungskanal rücksignalfähig ausgebildet. Unter rücksignalfähig ist hierbei zu verstehen, dass in umgekehrter Weise Daten aus dem eigenen Speicher des Sicherheitsprozessors ausgelesen werden können. Damit ist die Übertragung von in den Sicherheitsprozessoren gewonnen Nutzdaten nach außen ebenfalls unter Einhaltung sicherer Bedingungen ermöglicht.

Bei einer bewährten Ausführungsform sind der Hauptprozessor und der oder die Sicherheitsprozessor(en) auf einem Die angeordnet. Das hat den Vorteil einer besonders kompakten Ausführung. Weiter hat dies den Vorteil, dass aufgrund der Kompaktheit und Abgeschlossenheit ein unautorisierter Zugriff auf Komponenten wirkungsvoll verhindert ist. Zweckmäßigerweise sind auch weitere Peripheriekomponenten auf dem selben Chip angeordnet, bis hin zu deren Anschluss für die externe Datenquelle. Besonders bevorzugt ist es, wenn der sichere Bereich von dem übrigen Bereich isoliert ist, beispielsweise mittels einer umlaufenden Vertiefung. Sie wird nur von Kommunikationsleitungen der Mailbox überquert. Damit erhöhen sich nicht nur die Vorteile in Bezug auf Kompaktheit, sondern auch in Bezug auf Manipulationssicherheit.

Nachfolgend seien einige verwendete Begriffe erläutert: Unter einer Statemachine wird eine Ablaufsteuerung verstanden, welche in geeigneter weise abhängig von äußeren Steuersignalen und Zuständen eine Steuerungsaufgabe übernimmt. Sie kann als eigene Komponente ausgeführt oder in den Sicherheitsprozessor integriert sein.

Unter einer Mailbox wird ein Speicherbereich verstanden, über den mit Hilfe von Steuerleitungen (Handshake), welche den gleichzeitigen Zugriff auf den Speicherbereich verhindern, der Zugriff auf einen definierten Speicherbereich von mindestens zwei Teilnehmern erfolgen kann.

Unter eigenem Speicher des Sicherheitsprozessors wird ein Speicherbereich verstanden, der physisch von dem Speicher des Hauptprozessors isoliert ist. Er kann in den Sicherheitsprozessor integriert sein.

Die Erfindung wird nachfolgend unter Bezugnahme auf die Zeichnung erläutert, in der ein vorteilhaftes Ausführungsbeispiel der Erfindung dargestellt ist.
In der einzigen Figur ist ein Ausführungsbeispiel eines Feldbuskopplers mit der erfindungsgemäßen Mikroprozessorsteuerung dargestellt.
Eine in ihrer Gesamtheit mit der Bezugsziffer 3 versehene Maschinensteuerung ist an einen Feldbus 1 und einen Subbus 2 angeschlossen. Bei dem Feldbus 1 kann es sich um ein an sich bekanntes Bussystem handeln, wie bspw. PROFIBUS, wie er unter anderem von der Firma Siemens AG vertrieben wird. Es versteht sich, dass auch andere Bussysteme zur Anwendung kommen können, die sich als Feldbus eignen. Bei dem Subbus 2 handelt es sich um ein Bussystem, das zur kleinräumigen Vernetzung von Komponenten etwa im Bereich einer Maschine ausgelegt ist. Bei dem dargestellten Ausführungsbeispiel wird als Subbus 2 ein spezifischer Kommunikationsbus verwendet. Derartige Kommunikationsbusse sind in der Regel proprietäre Busse einzelner Hersteller.
Die Maschinensteuerung 3 ist dazu ausgebildet, als Vermittler zwischen den beiden Bussystemen, dem Feldbus 1 und dem Subbus 2, zu fungieren. Dazu muss die Maschinensteuerung 3 befähigt sein, eine Protokollumwandlung vorzusehen. Sie weist dazu ein Mikroprozessorsystem auf, das in seiner Gesamtheit mit der Bezugsziffer 5 bezeichnet ist. Das gesamte Mikroprozessorsystem 5 ist als System-On-Chip (SOC) ausgeführt. Es vereinigt sämtliche erforderlichen Komponenten der Mikroprozessorsteuerung 3, mit Ausnah me eines externen Speichers 64. Nachfolgend wird der Aufbau des Mikroprozessorsystems 5 als SOC näher erläutert.
Das Mikroprozessorsystem umfasst in an sich bekannter Weise einen Hauptprozessor (μC) 60, mindestens einen als Schreib/Lesespeicher ausgeführten Arbeitsspeicher (RAM) 62, und gegebenenfalls weitere Peripherieelemente, die in ihrer Gesamtheit stellvertretend durch die Bezugsziffer 63 dargestellt sind. Der Hauptprozessor 60 ist vorzugsweise als ein Prozessor vom Typ ARM 946 ausgeführt. Er ist zur Ankopplung an den Feldbus 61 mit einem ASIC 4, der als Feldbusinterface fungiert, verbunden. Weiter ist der Hauptprozessor 60 verbunden mit einem Bus 70, an dem auch die bereits genannten Komponenten 61 bis 63 angeschlossen sind. An diesen allgemeinen Bus 70 ist außerdem ein externer Speicher 64 über einen Speichercontroller 74 angeschlossen. Weiter ist an den allgemeinen Bus 70 eine Umsetzeinheit 65 für den Subbus 2 angeschlossen, die als Subbus-Master (SBM) ausgeführt ist. Zum elektrischen Anschluss des Subbus 2 an das SBM-Modul 65 ist ein Interface-Modul (PHY) 66 vorgesehen. Zum Anschluss des SBM-Moduls 65 an den allgemeinen Bus 70 ist ferner ein Dual-Ported-RAM 67 (oder ein FIFO: first in/first out-Baustein) als Buffer vorgesehen.
Ferner sind auf dem als System-On-Chip ausgeführten Mikroprozessor 2 zwei Sicherheitsprozessoren MCC1 und MCC2 80, 80' ausgeführt. Sie weisen jeweils unter anderem einen Programmspeicher 84, 84' und einen Datenspeicher 82, 82' auf, die vorzugsweise als Schreib/Lesespeicher RAM ausgeführt sind. Die Sicherheitsprozessoren sind in an sich bekannter Weise sicherheitszertifizierbar ausgeführt. Ihr Aufbau und ihre Funktionsweise ist aus dem einschlägigen Stand der Technik bekannt und braucht daher nicht näher erläutert zu werden. Nachfolgend werden daher lediglich die in Bezug auf die Erfindung relevanten Einzelheiten näher erläutert. Da die Programmspeicher 84, 84' der beiden Sicherheitsprozessoren 80, 80' als Schreib/Lesespeicher ausgeführt sind, sind die Programmdaten flüchtig. Es ist daher erforderlich, die Programmdaten (und ggf. auch Nutzdaten) in den Pro grammspeicher 84, 84' (und bzw. in den Datenspeicher 82, 82') nach dem Einschalten einzubringen. Bei nicht flüchtiger Ausführung der Programmspeicher 84, 84', z.B. in Form von Flash-Speichern oder EPROM, kann sich die vergleichbare Aufgabe stellen, initial bei Betriebsbeginn oder bei einem Update das Programm in den Programmspeicher einzuladen. Damit die Sicherheitsprozessoren 80, 80' die Voraussetzungen für die Sicherheitszertifizierbarkeit weiter erfüllen, muss das Einladen der Daten in den Programmspeicher 84, 84' (und ggf. den Nutzdatenspeicher 82, 82' ebenfalls gesichert sein. Hier setzt die Erfindung an.
Die Erfindung sieht vor, die Daten für die Sicherheitsprozessoren über den allgemeinen Bus 70 zu übertragen. Um einen Betrieb der Sicherheitsprozessoren mit verfälschten Daten zu verhindern, wird nach der Übertragung die Integrität der Daten geprüft. Das Konzept fußt also auf dem Gedanken, auf eine vollständige Abschirmung des Übertragungswegs zu verzichten, sondern stattdessen die Integrität der Übertragung zu überwachen. Die Daten werden entlang einem Übertragungskanal in die Sicherheitsprozessoren übermittelt, der im Grundsatz unsicher ist; eine Sicherung erfolgt dadurch, dass die Daten nach der Übertragung geprüft werden. Diese Überprüfung erfolgt im sicheren Bereich. Verläuft die Prüfung positiv, kann der Betrieb fortgesetzt werden; verläuft sie negativ, muss die Übertragung der Daten wiederholt werden. Erfindungsgemäß geschieht die auf diese Weise gesicherte Übertragung der zu schützenden Daten in den eigenen Programm/Datenspeicher 82, 84 dadurch, dass die Daten über den Bus 70 und eine Mailbox 87 eingeladen werden. Es wird damit ein gegen unbemerkte Veränderung gesicherter Übertragungskanal geschaffen, die in der Figur mit einer punktstrichlierten Linie zur Verdeutlichung des Datenflusses zu dem ersten Sicherheitsprozessor 80 dargestellt ist. Er verbindet den Sicherheitsprozessor 80 mit einem Speicher 68, der als externe Datenquelle für die in den Sicherheitsprozessor 80 einzuladenden Programmdaten dient. Der Speicher 68 ist im dargestellten Ausführungsbeispiel als EPROM ausgeführt. Es sind auch andere Ausführungsformen denkbar, insbesondere auch solche, bei denen der Speicher 68 ei nen Schreib/Lesebereich enthält, in dem Nutzdaten zum Einladen in den Sicherheitsprozessor 80 bereitgehalten werden.
Aufbau und Funktionsweise der gesicherten Übertragung über den Übertragungskanal 88 sind wie folgt: Mittels eines Speichercontrollers 78 werden die aus dem EPROM 68 stammenden Programmdaten an den allgemeinen Bus 70 angelegt. Über diesen werden sie an eine Mailbox 87 übertragen. Deren Eingang ist mit dem allgemeinen Bus 70 und deren Ausgang ist mit dem Sicherheitsprozessor 80 verbunden. Entsprechendes gilt für eine zweite Mailbox 87' für den zweiten Sicherheitsprozessor 80'. Die Mailbox 87, 87' ist dafür ausgebildet, mittels einer Statemachine 86, welche durch Software oder eine diskrete Logik realisiert sein kann, eine Protokollumsetzung zu erreichen. Dadurch werden die über den allgemeinen Bus 70 transportierten Programmdaten in ein Format gebracht, das zur Einspeicherung in den Programmspeicher 84 des Sicherheitscontrollers 80 geeignet ist. Mit diesem Format werden die Programmdaten eingespeichert. Die Statemachine 86 verifiziert anhand der Prüfdaten, dass die Daten in unveränderter Form in den Programmspeicher 84 gelangt sind. Dazu beinhalten die übertragenen Programmdaten geeignete Prüfsummendaten, die einem Prüfdatenbereich 69 der Datenquelle entstammen. Ergibt sich bei der Verifikation, dass die Programmdaten verändert wurden, so werden die übertragenen Programmdaten verworfen und die Statemachine 86 veranlasst eine erneute Übertragung. Entsprechend wird verfahren, wenn ggf. Nutzdaten in den Nutzdatenspeicher 82 eingeschrieben werden, oder aus diesem nach draußen herausgelesen werden. Die Mailbox 87 mit der Statemachine, der allgemeine Bus sowie der Speichercontroller 78 sind dazu vorzugsweise rückkanalfähig ausgebildet. Die Statemachine der Mailbox 87 ist so ausgebildet, dass ein unmittelbarer Zugriff des Hauptprozessors 60 oder einer anderen Komponente an dem allgemeinen Bus auf den Sicherheitsprozessor 80 und insbesondere dessen Programmspeicher 84 nicht möglich ist. Damit wird erreicht, dass – sowie die Daten einmal korrekt in den Programmspeicher 84 gelangt sind – sie dort sicher vor Manipulationen durch Komponenten des nicht sicheren Bereichs sind. Erfindungsgemäß ist damit erreicht, dass sicherheitssensitive Daten in den Sicherheitsprozessor 80 über den allgemeinen Bus 70 einladbar sind, ohne dass eine Sicherheitsbetrachtung für den nicht-sicheren Bereich erforderlich ist; nur der sichere Bereich braucht der Sicherheitsbetrachtung zu unterliegen.
Die vorstehende Beschreibung gilt sinngemäß für den zweiten Sicherheitsprozessor 80' mit seinem Programmspeicher 84', seinem Nutzdatenspeicher 82' und seiner Mailbox 87' und 81'.
In entsprechender Weise kann eine Kommunikation der beiden Sicherheitscontroller 80, 80' über eine Verbindungsmailbox 89 vorgesehen sein. Zur Verbindung des Sicherheitscontroller 80, 80' mit dem SBM-Modul 65 ist in entsprechender Weise eine weitere Mailbox 81, 81' vorgesehen. Dabei ist die Mailbox 81 zum Übertragen von Sendedaten von dem Sicherheitsprozessor 80 an das SBM-Modul 65 ausgebildet. Die andere Mailbox 81' ist zum Übertragen von Empfangsdaten von dem SBM-Modul an den zweiten Sicherheitsprozessor 80' ausgebildet. Diese zusätzlichen Mailboxen wirken wir folgt zusammen: Zum Senden stellt der erste Sicherheitsprozessor 80 den einen Teil eines sicher zu übertragenden Datums über die Mailbox 81 dem SBM-Modul 65 zur Verfügung. Der zweite Teil des Datums stammt vom zweiten Sicherheitsprozessor 80'. Zum Senden wird der zweite Teil zunächst über die Verbindungsmailbox 89 an den ersten Sicherheitsprozessor 80 übermittelt, und sodann von diesem über die Mailbox 81 an das SBM-Modul 65 angelegt. Damit ist das zu übertragende Datum komplett.

Claims

Mikroprozessorsystem für eine Maschinensteuerung in sicherheitszertifizierbaren Anwendungen, umfassend einen unsicheren Bereich mit einem Hauptprozessor (60), einem Programm- und Datenspeicher (62, 64), einer Eingabe/Ausgabeeinheit (63, 74) und einem Bus (70) zur Koppelung vorgenannter Komponenten, sowie einen sicheren Bereich mit mindestens einem Sicherheitsprozessor (80) mit eigenem Programm/Datenspeicher (84, 82), der ebenfalls an den Bus (70) angeschlossen ist, dadurch gekennzeichnet, dass ein gesicherter Übertragungskanal zum Einspeichern von Programmen und Daten in den eigenen Programm/Datenspeicher (84, 82) des Sicherheitsprozessors (80) ausgebildet ist, der eine Datenquelle (68), die an den allgemeinen Bus (70) anschließbar ist und einen Prüfdatenbereich aufweist, sowie eine dem Sicherheitsprozessor (80) zugeordnete Mailbox (87) umfasst, deren Eingang an den Bus (70) angeschlossen ist und deren Ausgang mit dem eigenen Speicher des Sicherheitsprozessors (80) verbunden ist, wobei ferner eine Statemachine (86) vorgesehen ist, welche zum Steuern einer Datenübertragung aus der Datenquelle (68) in den Speicher des Signalprozessors (80) und zur Verifikation anhand von Daten aus dem Prüfdatenbereich ausgebildet ist.
Mikroprozessorsystem nach Anspruch 1, dadurch gekennzeichnet, dass ein zweiter Sicherheitsprozessor (80') vorgesehen ist.
Sicherheitsprozessor nach Anspruch 2, dadurch gekennzeichnet, dass die Sicherheitsprozessoren (80, 80') parallel an die Mailbox (87) angeschlossen sind.
Mikroprozessorsystem nach Anspruch 2, dadurch gekennzeichnet, dass eine eigene Mailbox (87') für den eigenen Anschluss des zusätzlichen Sicherheitsprozessors (80') vorgesehen ist.
Mikroprozessorsystem nach einem der Ansprüche 2 bis 3, dadurch gekennzeichnet, dass eine zusätzliche Mailbox (89) vorgesehen ist, deren Eingang mit einem Sicherheitsprozessor (80) und deren Ausgang mit einem anderen Sicherheitsprozessor (80') verbunden ist.
Mikroprozessorsystem nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass die Statemachine (86) zum Prüfen einer Übereinstimmung von Identifikationsmerkmalen des Prüfdatenbereichs und des Sicherheitsprozessors (80) ausbildet ist.
Mikroprozessorsystem nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass der sichere Übertragungskanal (88) rücksignalfähig ausgebildet ist.
Mikroprozessorsystem nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass der Hauptprozessor (60) und die Sicherheitsprozessoren (80, 80') auf einem Die angeordnet sind.
Mikroprozessorsystem nach Anspruch 8, dadurch gekennzeichnet, dass auch der Datenspeicher (62), die Eingabe/Ausgabeeinheit (63, 74), der Bus (70), die Mailbox (87, 87', 89) auf einem Die angeordnet sind.
Mikroprozessorsystem nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass der sichere Bereich physikalisch von dem unsicheren Bereich isoliert ist, insbesondere über eine Vertiefung auf dem Die.