DE102006035610B4

DE102006035610B4 - Speicherzugriffssteuerung und Verfahren zur Speicherzugriffssteuerung

Info

Publication number: DE102006035610B4
Application number: DE102006035610A
Authority: DE
Inventors: Dr. Rüping Stefan
Original assignee: Infineon Technologies AG
Current assignee: Infineon Technologies AG
Priority date: 2006-07-31
Filing date: 2006-07-31
Publication date: 2012-10-11
Anticipated expiration: 2026-08-01
Also published as: US7891556B2; US20080028128A1; DE102006035610A1

Abstract

Speicherzugriffssteuerung (100) mit folgenden Merkmalen: einer ersten Schnittstelle, die mit einem Speicher (120) verbunden ist, der in einem ersten Segment einen kritischen Softwareabschnitt und in einem zweiten Segment einen unkritischen Softwareabschnitt gespeichert hat, wobei bei einer Zugriffsanfrage auf den kritischen Softwareabschnitt eine erste Ausführeinrichtung (132) und eine zweite Ausführeinrichtung (134) aktiv sein müssen und wobei bei einer Zugriffsanfrage auf den unkritischen Softwareabschnitt nur eine der Ausführeinrichtungen aktiv sein muss; einer zweiten Schnittstelle, die mit der ersten und der zweiten Ausführeinrichtung (132, 134) gekoppelt ist; einem ersten Prüfer (102) mit einem Eingang für eine über die zweite Schnittstelle empfangene Zugriffsanfrage und einem Ausgang für ein erstes Prüfsignal, das anzeigt, ob die Zugriffsanfrage auf das erste Segment gerichtet ist; einem zweiten Prüfer (104) mit einem Ausgang für ein zweites Prüfsignal, das anzeigt, ob beide Ausführeinrichtungen aktiv sind; und einer Steuereinheit (106) mit Eingängen für das erste und...

Description

Die vorliegende Erfindung befasst sich mit einer Speicherzugriffssteuerung und einer Vorrichtung und einem Verfahren zum Steuern eines Zugriffs auf einen Speicher, die in Prozessorsystemen eingesetzt werden können und insbesondere für Sicherheitssysteme geeignet sind.
Sicherheitssysteme, wie sie beispielsweise auf Chipkarten realisiert sind, müssen vor Angriffen geschützt werden. Durch die Einführung digitaler Mechanismen zur Fehlererkennung werden insbesondere Fehlerangriffe sehr effizient abgewehrt. Unter solche Mechanismen fallen Errorcodes, die im Zusammenhang mit Speichern eingesetzt werden, oder Hardwareredundanz, die im Zusammenhang mit der verwendeten Logik realisiert wird.
Diese Sicherheitsmaßnahmen sind jedoch auch mit Nachteilen verbunden. So erhöht sich nicht unwesentlich die Chipfläche und der Energieverbrauch eines solchen Systems.
Aus der DE 68928980 T2 ist ein Mikroprozessorsystem bekannt, bei dem eine Kreuzschienenschaltermatrix vorgesehen ist, die eine Mehrzahl von Speichern mit einer Mehrzahl von Prozessoren und optional einem externen Gerät verbinden kann. Eine Konfliktschaltungsanordnung ist vorgesehen, um eine Zugriffspriorität festzustellen, wenn mehrere Prozessoren gleichzeitig versuchen, auf einen der Speicher zuzugreifen.
Aus der US 5905738 A ist eine Busüberwachungseinrichtung bekannt, um Daten auf einem Bus, der mehrere integrierte Schaltungen verbindet, zu beobachten, während die integrierten Schaltungen in Betrieb sind.
Aus der US 7051131 B1 ist ein Verfahren bekannt, das es ermöglicht, eine Historie einer Busaktivität in einer Mehrprozessorumgebung aufzuzeichnen, indem eine dynamisches Abtastregister konfiguriert wird, um einen interessierenden Aufnahmemodus, ein Datenformat, das verwendet wird, um die interessierenden Daten zu speichern, und ein Auslöseereignis, um die Verfolgungsaktivität zu beginnen und zu beenden, einzustellen.
In der DE 19532640 C2 ist eine Einrichtung zur einkanaligen Übertragung von aus zwei Datenquellen stammenden Daten bekannt, wobei die Daten von mindestens zwei unabhängigen, sich laufend auf Übereinstimmung vergleichenden Rechnern nach gleichen Gesetzmäßigkeiten aus den gleichen Eingangsdaten gebildet werden. Die beiden Rechner erzeugen Prüfdaten, anhand derer ein Empfänger beurteilen kann, ob die Daten unter Verwendung beider Rechner erzeugt wurden. Wird empfangsseitig festgestellt, dass an der Bildung der übermittelten Daten nicht beide Rechner bzw. Rechnerkanäle der Sendeseite beteiligt sind, wird mindestens eine sicherheitsrelevante Prozessperipherie abgeschaltet, so dass es zu keinen gefährlichen Auswirkungen kommen kann.
Die DE 102004032237 A1 offenbart ein Prozessor-Speicher-System mit mindestens einem Prozessor, einer Speichereinheit, mindestens einer ersten Speichersteuereinheit zur Steuerung von Zugriffen des mindestens einen Prozessors auf die Speichereinheit, und einer Konfigurationseinheit. Die Konfigurationseinheit ist in Hardware ausgeführt und ist ausgelegt, um die mindestens eine erste Speichersteuereinheit bei einem Wechsel der mindestens einen ersten Speichersteuereinheit von einem Niedrigleistungs-Betriebsmodus in einen Normalleistungs-Betriebsmodus zu konfigurieren.
Es ist die Aufgabe der vorliegenden Erfindung, eine Speicherzugriffssteuerung und ein Verfahren zur Speicherzugriffssteuerung zu schaffen, die eine sichere Speicherzugriffssteuerung ermöglichen, ohne dabei einen erhöhten Energieverbrauch zu erfordern.
Diese Aufgabe wird durch eine Speicherzugriffssteuerung gemäß Anspruch 1, ein System gemäß Anspruch 4, eine Vorrichtung zum Steuern eines Zugriffs auf einen Speicher gemäß Anspruch 7 und ein Verfahren zur Speicherzugriffssteuerung gemäß Anspruch 9 gelöst.
Weiterbildungen der Erfindung sind in den abhängigen Ansprüchen dargelegt.
Der vorliegenden Erfindung liegt die Idee zugrunde, spezielle Sicherheitsmechanismen nur im Falle von sicherheitskritischen Operationen einzuschalten. Damit lässt sich Energie einsparen. Der erfindungsgemäße Ansatz berücksichtigt dabei Gefahren, die durch ein Verspringen einer ausgeführten Softwareausgelöst werden können. So muss ausgeschlossen sein, dass sich durch einen Softwaresprung während der Ausführung von unkritischen Software-Operationen die Möglichkeit ergibt, sicherheitskritische Code-Sequenzen auszuführen oder Zugriff auf sicherheitskritische Daten zu erhalten, ohne dass die Sicherheitsmechanismen aktiviert sind. Würde dies passieren, so könnte ein Angriff auf das System erfolgreich und das System damit unsicher sein. Gemäß der vorliegenden Erfindung wird eine Hardware-Firewall zwischen unkritischen Teilen der Software und sicherheitskritischen Teilen der Software implementiert. Mit dieser Idee ist es möglich, ein System entweder in einem Niedrig-Energie-Modus oder einem Hoch-Sicherheits-Modus zu betreiben, ohne dass das System eine Sicherheitslücke aufweisen würde.
Bei Systemen mit aufgedoppelten Hardwareteilen ist es somit möglich, die aufgedoppelten Hardwareteile während des Niedrig-Energie-Modus abzuschalten und während des Hoch-Sicherheits-Modus zu aktivieren, ohne dabei das System unsicher zu machen. Insbesondere lässt sich diese Idee mit wenig Auswirkungen auf die Software realisieren.
Unter kritischen Softwareabschnitten werden bei Ausführungsbeispielen der Erfindung solche Abschnitte verstanden, die sicherheitsrelevante Teile beinhalten und somit von zwei Ausführungseinrichtungen parallel ausgeführt werden müssen.
Bevorzugte Ausführungsbeispiele der vorliegenden Erfindung werden nachfolgend Bezug nehmend auf die beiliegenden Zeichnungen näher erläutert. Es zeigen:
1 ein Blockschaltbild eines Systems mit einer Speicherzugriffssteuerung gemäß einem Ausführungsbeispiel der vorliegenden Erfindung;
2 eine schematische Darstellung einer Steuereinheit gemäß einem Ausführungsbeispiel der vorliegenden Erfindung; und
3 ein Ablaufdiagramm eines Verfahrens zur Speicherzugriffssteuerung gemäß einem Ausführungsbeispiel der vorliegenden Erfindung.
In der nachfolgenden Beschreibung der bevorzugten Ausführungsbeispiel der vorliegenden Erfindung werden für die in den verschiedenen Zeichnungen dargestellten und ähnlich wirkenden Elemente gleiche oder ähnliche Bezugszeichen verwendet, wobei eine wiederholte Beschreibung dieser Elemente weggelassen wird.
1 zeigt ein System mit einer Speicherzugriffssteuerung 100 gemäß einem Ausführungsbeispiel der vorliegenden Erfindung. Die Speicherzugriffssteuerung 100 weist einen ersten Prüfer 102 und einen zweiten Prüfer 104, eine Steuereinheit 106 auf. Die Speicherzugriffssteuerung 100 ist mit einem Speicher 120 sowie einer ersten Ausführeinrichtung 132 und einer zweiten Ausführeinrichtung 134 gekoppelt.
Gemäß dem in 1 gezeigten Ausführungsbeispiel ist die Speicherzugriffssteuerung 100 mit der ersten Ausführeinrichtung 132 sowie der zweiten Ausführeinrichtung 134 verbunden, um von diesen eine Zugriffsanfrage zu empfangen. Die Zugriffsanfrage kann beispielsweise eine virtuelle Speicheradresse enthalten. Ferner ist die Speicherzugriffssteuerung 100 mit dem Speicher 120 verbunden, um einen Speicherzugriff durchzuführen. Der Speicherzugriff kann eine physikalische Adresse des Speichers 120 beinhalten. Die Speicherzugriffssteuerung 100 ist ausgebildet, um die Zugriffsanfrage der Ausführeinrichtungen 132, 134 in den Speicherzugriff auf den Speicher umzuwandeln. Handelt es sich bei der Zugriffsanfrage um eine virtuelle Adresse, so ist die Speicherzugriffssteuerung ausgebildet, um die virtuelle Adresse zu empfangen und eine, der virtuellen Adresse entsprechende physikalische Adresse auszugeben.
Das in 1 gezeigte System ist ausgebildet, um Softwareoperationen durchzuführen. Die dabei zugrundeliegende Software kann in dem Speicher 120 gespeichert sein. Die Software kann sicherheitskritische Abschnitte und sicherheitsunkritische Abschnitte aufweisen. Kritische Softwareabschnitte sind beispielsweise solche, die sicherheitskritische Daten verarbeiten oder Zugang zu geschützten Software- oder Hardware-Bereichen ermöglichen. Bei der Ausführung von sicherheitskritischen Softwareabschnitten ist sowohl die erste Ausführeinrichtung 132 als auch die zweite Ausführeinrichtung 134 aktiv. Dies bedeutet, das sicherheitskritische Softwareabschnitte auf aufgedoppelten Hardwareteilen ausgeführt werden. Dadurch ist eine Hardwareredundanz gegeben, die Fehlerangriffe sehr effizient abwehrt. Bei sicherheitsunkritischen Softwareabschnitten ist diese Hardwareredundanz nicht erforderlich. Somit können sicherheitsunkritische Softwareabschnitte entweder nur auf der ersten Ausführeinrichtung 132 oder nur auf der zweiten Ausführeinrichtung 134 ausgeführt werden. Es ist auch möglich, sicherheitsunkritische Softwareabschnitte auf beiden Ausführeinrichtungen 132, 134 auszuführen. Sicherheitskritische Softwareabschnitte werden dagegen immer auf beiden Ausführeinrichtungen 132, 134 ausgeführt. Der Speicher 120 ist in Segmente unterteilt. In 1 ist beispielhaft ein Segment 1 und ein Segment 2 gezeigt. Gemäß diesem Ausführungsbeispiel ist ein sicherheitskritischer Abschnitt der Software im Segment 1 und ein sicherheitsunkritischer Abschnitt der Software im Segment 2 gespeichert. Zur Segmentierung des Speichers 120 können bekannte Segmentierungsmechanismen eingesetzt werden. Dabei können kritische Software-Abschnitte in beliebigen Segmenten des Speichers 120 gespeichert sein.
Die Speicherzugriffssteuerung 100 ist ausgebildet, um die Zugriffsanfrage über eine zweite Schnittstelle zu empfangen. Ferner weist der erste Prüfer 102 einen Eingang zum Empfangen der Zugriffsanfrage auf. Der erste Prüfer 102 ist ausgebildet, um zu prüfen, auf welches Segment des Speichers 120 die Zugriffsanfrage gerichtet ist. Über einen Ausgang kann der erste Prüfer 102 ein erstes Prüfsignal ausgeben, das anzeigt, auf welches Segment des Speichers 120 die Zugriffsanfrage gerichtet ist. Gemäß diesem Ausführungsbeispiel kann der erste Prüfer 102 insbesondere anzeigen, ob die Zugriffsanfrage auf das Segment des Speichers 120 gerichtet ist, in dem der sicherheitskritische Abschnitt der Software gespeichert ist. Ist die Zugriffsanfrage auf das Segment 1 des Speichers 120 gerichtet, in dem der sicherheitskritische Softwareabschnitt gespeichert ist, so sollten bereits beide Ausführeinrichtungen 132, 134 aktiviert sein.
Der zweite Prüfer 104 ist ausgebildet, um zu prüfen, ob beide Ausführeinrichtungen 132, 134 aktiv sind. Dies kann beispielsweise durch Auslesen eines Prüfbits erfolgen, das anzeigt, ob die Ausführeinrichtungen 132, 134 aktiv sind. Beispielsweise kann das Prüfbit immer dann gesetzt sein, wenn beide Ausführeinrichtungen 132, 134 aktiv sind. Der zweite Prüfer weist einen Ausgang zum Ausgeben eines zweiten Prüfsignals auf. Das zweite Prüfsignal kann anzeigen, ob beide Ausführeinrichtungen 132, 134 aktiv sind.
Die Steuereinheit 106 ist ausgebildet, um das erste Prüfsignal und das zweite Prüfsignal zu empfangen. Dazu weist die Steuereinheit 106 entsprechende Eingänge für das erste und zweite Prüfsignal auf. Ferner weist die Steuereinheit 106 einen Ausgang zum Ausgeben eines Alarmsignals auf. Das Alarmsignal zeigt an, dass die Zugriffsanfrage auf das Segment 1 des Speichers 120 gerichtet ist, in dem der sicherheitskritische Softwareabschnitt gespeichert ist, und dass nicht sowohl die erste Ausführeinrichtung 132 als auch die zweite Ausführeinrichtung 134 aktiv ist. Das Alarmsignal kann von dem in 1 gezeigten System ausgegeben werden. Alternativ kann das Alarmsignal auch verwendet werden, um die Zugriffsanfrage, die das Alarmsignal ausgelöst hat, zu blockieren oder das System in einen sicheren Modus zu überführen. Ist die Zugriffsanfrage dagegen auf einen unkritschen Software-Abschnitt gerichtet und es ist nur eine der Ausführeinrichtungen 132, 134 aktiv, so wird der Alarm nicht ausgelöst.
Beispielsweise kann es sich bei dem in 1 gezeigten System um ein Prozessorsystem handeln, wie es auf Chipkarten realisiert ist. In diesem Fall kann es sich bei der Speicherzugriffssteuerung um eine Memory Management Unit, bei dem Speicher 120 um einen ROM-, einen RAM-Speicher oder einen NVM-Speicher (NVM = non volatile memory) und bei den Ausführeinrichtungen 132, 134 um aufgedoppelte Teile einer CPU handeln. Die Speicherzugriffssteuerung 100 kann über Adressbusse mit dem Speicher 120 sowie den Ausführeinrichtungen 132, 134 verbunden sein.
Die vorliegende Erfindung bietet eine Lösung, die besonders für Low-Power-Systeme, wie kontaktlose Chipkarten, von hohem Wert ist. Dabei ist speziell der geringe Stromverbrauch des erfindungsgemäßen Ansatzes für ein solches Security-System von Vorteil. Insbesondere ermöglicht der erfindungsgemäße Ansatz, den erhöhten Energieverbrauch, der bisher aufgrund von Sicherheitsmechanismen zu akzeptieren war, zu reduzieren.
2 zeigt eine schematische Darstellung einer Steuereinheit 106 gemäß einem Ausführungsbeispiel der vorliegenden Erfindung. Die Steuereinheit 106 weist Deskriptoren 262, 264 auf. Bei den Deskriptoren 262, 264 kann es sich um Registersätze handeln, wie sie in herkömmlichen Memory Management Units verwendet werden. Typischerweise ist jedem Segment des Speichers 120 ein Deskriptor zugeordnet. Gemäß diesem Ausführungsbeispiel ist dem Segment 1 der Deskriptor 262 und dem Segment 2 der Deskriptor 264 zugeordnet. Beispielsweise können die Deskriptoren 262, 264 Angaben über die physikalische Basisadresse, die Länge und die Zugriffsrechte des zugehörigen Segments enthalten. Somit ist mit Hilfe der Deskriptoren 262, 264 eine Umwandlung der Zugriffsanfrage, die eine virtuelle Adresse enthält, auf den Speicherzugriff möglich, der eine physikalische Adresse enthält.
Gemäß dem erfindungsgemäßen Ansatz weisen die Deskriptoren 262, 264 Speicherstellen für Hoch-Sicherheits-Modus-Bits 265, 267 auf. Ist solch ein Hoch-Sicherheits-Modus-Bit 265, 267 gesetzt, so kann ein Speicherzugriff auf das dazugehörige Segment nur erfolgen, wenn beide Ausführeinrichtungen 132, 134 aktiv sind.
Gemäß einem alternativen Ausführungsbeispiel können die Hoch-Sicherheits-Modus-Bits 265, 267 eingesetzt werden, um die Ausführeinrichtungen 132, 134 zu aktivieren. Dies könnte beispielsweise dann erforderlich sein, wenn eine Zugriffsanfrage auf ein Segment des Speichers 120 erfolgt, in dem sicherheitskritische Softwareabschnitte gespeichert sind und bisher nur eine der Ausführeinrichtungen 132, 134 aktiv ist.
3 zeigt eine Ablaufsteuerung eines Verfahrens zur Speicherzugriffssteuerung gemäß einem Ausführungsbeispiel der vorliegenden Erfindung. Gemäß diesem Ausführungsbeispiel wird beispielsweise von einem Prozessor eine virtuelle Adresse an die Speicherzugriffssteuerung abgegeben. Die Speicherzugriffssteuerung prüft in einem ersten Schritt 302, ob die empfangene virtuelle Adresse einem sicherheitskritischen Segment des Speichers zugeordnet ist. Ist dies nicht der Fall, so kann direkt die zugehörige physikalische Adresse ausgegeben werden und ein Zugriff auf den Speicher gestartet werden. Handelt es sich bei der virtuellen Adresse jedoch um eine Adresse, die einem sicherheitskritischen Segment zugeordnet ist, so wird in einem weiteren Schritt 304 überprüft, ob die Hardware-Doppelung aktiv ist. Ist die Hardware-Doppelung aktiv, so kann wiederum die der virtuellen Adresse entsprechende physikalische Adresse ausgegeben werden und der Zugriff auf den Speicher gestartet werden. Ist die Hardware-Doppelung jedoch nicht aktiv, so wird ein Alarm ausgelöst.
Die Kernidee der vorliegenden Erfindung ist es somit, den Segmenten, die in der Memory Management Unit (MMU; MMU = Memory Management Unit) des Systems den physikalischen auf den virtuellen Speicher abbildet, eine Kennung zu geben, mit der ein Zugriff ohne aktivierte Sicherheitsmechanismen erlaubt oder verboten wird. Sollte also ein Angriff auf das System dazu führen, dass während abgeschalteter Sicherheitsmechanismen, d. h. einer abgeschalteten Hardware-Doppelung, durch einen Angriff auf einen im Speicher abgelegten Code- oder Datenbereich zugegriffen wird, der als sicherheitsrelevant gekennzeichnet ist, so erzeugt das System automatisch einen Security-Alarm.
Die Hardware-Doppelung kann ausgeführt werden, indem zwei identische Prozessoren implementiert sind. Alternativ kann auch nur ein einziger Prozessor realisiert sein, bei dem einzelne Logikabschnitte doppelt ausgeführt sind und entsprechend einer erforderlichen Sicherheitsstufe der auszuführenden Software aktiviert werden können. Eine Unterscheidung zwischen dem Hoch-Sicherheits-Modus, bei dem die Hardwareredundanz aktiv ist, und dem Niedrig-Energie-Modus, bei dem die Doppelung nicht aktiv ist, kann durch die auszuführende Software, beispielsweise eine Kunden-Software, gemacht werden.
Abhängig von den Gegebenheiten kann das erfindungsgemäße Speicherzugriffsverfahren in Hardware oder in Software implementiert werden. Die Implementation kann auf einem digitalen Speichermedium, insbesondere einer Diskette oder CD mit elektronisch auslesbaren Steuersignalen erfolgen, die so mit einem programmierbaren Computersystem zusammenwirken können, dass das entsprechende Verfahren ausgeführt wird. In anderen Worten ausgedrückt kann die Erfindung somit als ein Computerprogramm mit einem Programmcode zur Durchführung des Verfahrens realisiert werden, wenn das Computer-Programm auf einem Computer abläuft.
Bezugszeichenliste

100: Speicherzugriffssteuerung
102: erster Prüfer
104: zweiter Prüfer
106: Steuereinheit
120: Speicher
132: erste Ausführeinrichtung
134: zweite Ausführeinrichtung
262: erster Deskriptor
264: zweiter Deskriptor
265: erstes Hoch-Sicherheits-Modus-Bit
267: zweites Hoch-Sicherheits-Modus-Bit
302: erster Schritt
304: zweiter Schritt

Claims

Speicherzugriffssteuerung (100) mit folgenden Merkmalen: einer ersten Schnittstelle, die mit einem Speicher (120) verbunden ist, der in einem ersten Segment einen kritischen Softwareabschnitt und in einem zweiten Segment einen unkritischen Softwareabschnitt gespeichert hat, wobei bei einer Zugriffsanfrage auf den kritischen Softwareabschnitt eine erste Ausführeinrichtung (132) und eine zweite Ausführeinrichtung (134) aktiv sein müssen und wobei bei einer Zugriffsanfrage auf den unkritischen Softwareabschnitt nur eine der Ausführeinrichtungen aktiv sein muss; einer zweiten Schnittstelle, die mit der ersten und der zweiten Ausführeinrichtung (132, 134) gekoppelt ist; einem ersten Prüfer (102) mit einem Eingang für eine über die zweite Schnittstelle empfangene Zugriffsanfrage und einem Ausgang für ein erstes Prüfsignal, das anzeigt, ob die Zugriffsanfrage auf das erste Segment gerichtet ist; einem zweiten Prüfer (104) mit einem Ausgang für ein zweites Prüfsignal, das anzeigt, ob beide Ausführeinrichtungen aktiv sind; und einer Steuereinheit (106) mit Eingängen für das erste und zweite Prüfsignal und einem Ausgang für ein Alarmsignal, das anzeigt, dass die Zugriffsanfrage auf das erste Segment gerichtet ist und nicht beide Ausführeinrichtungen aktiv sind, und das die Zugriffsanfrage, die es ausgelöst hat, blockiert.
Speicherzugriffssteuerung gemäß Anspruch 1, bei der die Steuereinheit (106) einen weiteren Ausgang für ein Speicherzugriffssignal aufweist, mit dem ein Zugriff auf den Speicher (120) erfolgt.
Speicherzugriffssteuerung gemäß einem der Ansprüche 1 oder 2, wobei die Steuereinheit (106) ein erstes Register (262), das dem ersten Segment zuordenbar ist und ein zweites Register (264), das dem zweiten Segment zuordenbar ist aufweist, und wobei das erste Register ein erstes Sicherheitsbit (265) aufweist, das anzeigt ob das erste Segment einen kritischen Softwareabschnitt aufweist und wobei das zweite Register ein zweites Sicherheitsbit (265) aufweist, das anzeigt ob das zweite Segment einen kritischen Softwareabschnitt aufweist.
System mit folgenden Merkmalen: einer Speicherzugriffssteuerung (100) gemäß Anspruch 1; dem Speicher (120) mit dem ersten Segment, in dem ein kritischer Softwareabschnitt speicherbar ist, und dem zweiten Segment, in dem ein unkritischer Softwareabschnitt speicherbar ist; der ersten Ausführeinrichtung (132), auf der Operationen, die auf den kritischen Softwareabschnitt zugreifen, und Operationen, die auf den unkritischen Softwareabschnitt zugreifen, ausgeführt werden; und der zweiten Ausführeinrichtung (134), auf der Operationen, die sich auf den kritischen Softwareabschnitt zugreifen, zusätzlich ausgeführt werden.
System gemäß Anspruch 4, bei dem Operationen, die auf den unkritischen Softwareabschnitt zugreifen, auch auf der zweiten Ausführeinrichtung (134) ausgeführt werden.
System gemäß Anspruch 4, das auf einer Chipkarte realisiert ist.
Vorrichtung (100) zum Steuern eines Zugriffs auf einen Speicher (120), wobei in einem ersten Segment des Speichers ein kritischer Softwareabschnitt und in einem zweiten Segment des Speichers ein unkritischer Softwareabschnitt speicherbar ist, und bei einer Zugriffsanfrage auf den kritischen Softwareabschnitt eine erste Ausführeinrichtung und eine zweite Ausführeinrichtung aktiv sein müssen und wobei bei einer Zugriffsanfrage auf den unkritischen Softwareabschnitt nur eine der Ausführeinrichtungen aktiv sein muss, mit folgenden Merkmalen: einer Einrichtung zum Empfangen einer Zugriffsanfrage auf den Speicher; einer ersten Einrichtung (102) zum Prüfen, ob beide Ausführeinrichtungen (134) aktiv sind; einer zweiten Einrichtung (104) zum Prüfen, ob die Zugriffsanfrage auf das erste Segment gerichtet ist; und einer Einrichtung (106) zum Anzeigen, dass die Zugriffsanfrage auf das erste Segment gerichtet ist und nicht beide Ausführeinrichtungen (134) aktiv sind, wobei die Zugriffsanfrage blockiert wird, wenn sie auf das erste Segment gerichtet ist und nicht beide Ausführeinrichtungen aktiv sind.
Vorrichtung (100) gemäß Anspruch 7, mit einer Zugriffseinrichtung zum Zugreifen auf das erste Segment des Speichers, wenn die Zugriffsanfrage auf das erste Segment gerichtet ist und beide Ausführeinrichtungen (134) aktiv sind.
Verfahren zum Steuern eines Zugriffs auf einen Speicher, wobei in einem ersten Segment des Speichers ein kritischer Softwareabschnitt und in einem zweiten Segment des Speichers ein unkritischer Softwareabschnitt speicherbar ist, und wobei bei einer Zugriffsanfrage auf den kritischen Softwareabschnitt eine erste Ausführeinrichtung und eine zweite Ausführeinrichtung aktiv sein müssen und wobei bei einer Zugriffsanfrage auf den unkritischen Softwareabschnitt nur eine der Ausführeinrichtungen aktiv sein muss, das folgende Schritte aufweist: Empfangen einer Zugriffsanfrage auf den Speicher; Prüfen (302), ob die Zugriffsanfrage auf das erste Segment gerichtet ist; Prüfen (304), ob beide Ausführeinrichtungen aktiv sind; und Blockieren der Zugriffsanfrage, wenn die Zugriffsanfrage auf das erste Segment gerichtet ist und nicht beide Ausführeinrichtungen aktiv sind.
Computerprogramm, das in einem Computer abläuft und dabei ein Verfahren nach Anspruch 9 durchführt.
Maschinenlesbarer Datenträger, auf dem ein Computerprogramm gespeichert ist, das ein Verfahren nach Anspruch 9 ausführt, wenn es auf einem Computer abläuft.