Systeme zur Erzielung höherer Sicherheit

Transkript

1 Systeme zur Erzielung höherer Sicherheit Erkennung / Vermeidung von Fehlfunktionen äußere Einflüsse elektrostatische / elektromagnetische Signale Direkte Störungen: Spannungsspitze an Pins ( durchhw: Schutzschaltung Fatale Störungen Die Programmfluß unterbrechen und zur fehlerhaften Ausführung von Code führen Beachte: Ein nach draußen geführter Adreß- und Datenbus ist Sicherheitslücke im System HW Fehler SW Fehler Endlos-Schleife Warten auf Signale, die nicht stimmen können... In Praxis 3 Verfahren 2 zur Überwachung des ordentlichen Programmablaufs 1 kontrolliert nur Hardware Watchdog-Timer Wunsch, Programmfehler per Hardware zu erkennen PRINZIP: Programm muß internen Zähler in bestimmten max. Zeitintervallen zurücksetzen. Wenn das nicht geschieht Reset oder Interrupt System auf definierter Zustand zurücksetzen Ein Watchdog ist ein Timer, der ein Reset auslöst, wenn er abläuft. Watchdog darf nie ablaufen. Watchdog muß in bestimmten Abständen wieder gestartet werden. Programmierer muß diese Fähigkeit der HW ausnutzen bidirektionaler Reset: Manche Hersteller führen internes RESET Signal nach draußen RESET wird sichtbar andere angeschlossene Baugruppen werden auch rückgesetzt Rücksetzen des Watchdog Times durch Schreibbefehl Verwendung einer bestimmten Sequenz (Vorbeugung, daß abstürzendes Programm per Schreibbefehl Reset ausgelöst) 1

2 Regeln Unterbringung der Rücksetz-Befehle nicht in ISR, die von HW-Timer oder anderen Modulen ausgelöst werden Programm stürzt ab, aber Timer + ISR läuft ordentlich weiter, Reset des Watchdog in der ISR Watchdog merkt Fehlverhalten nicht 1. Schreibbefehl 2. Schreibbefehl RB1 RB2 Steuerregister Rücksetzimpuls Teiler 1/n n-bit-zähler Reset- Logik RESET Zählerstand Oszillatortakt Rücksetz- Zählerstand RESET 1. Schreibbefehl 2. Schreibbefehl Zeit Abbildung 1: Watchdog-Timer Interrupt durch unerlaubte Op-Codes Befehlsdekoder kann Befehle erkennen, die nicht im Befehlssatz vereinbart sind z. B. NOP oder spezieller Interrupt Vermeidung unerlaubter Operanden: Division durch Null Setzen von Flags Oszillatortakt Überwachung Was passiert, wenn sich der Quarz Oszillator/Taktgenerator verabschiedet? reine Hardwareüberwachung 2

3 Nachteil bisheriger Verfahren Systemtakt muß laufen Was passiert, wenn dieser nicht da ist? Problem (1) Totalausfall Problem (2) Abweichung von Sollfrequenz Viele zeitabhängige Vorgänge im Controller A/ D- & D/A-Wandler Timer Überwachungsschaltung für den Oszillatortakt Verwendung eines zusätzlichen Timers, der durch internen Taktgenerator versorgt wird. zum Teil automatische Umschaltung auf alternatives Taktsignal interner Systemtakt Quarzoszilator Vergleicher Reset- Logik RESET Interner RC-Generator Abbildung 2: Clock-Monitor Verlustleistungsreduzierung Low-Power Mode Dual- oder Multi-Clock-Systeme Low-Power Systeme Entwicklungswerkzeuge wichtiges Auswahlkriterium bei Entscheidung für eine µc-familie Support für HW und SW Entwicklung Kosten steigen wenn diese unzureichend Aufbau eines Systems: Start mit Lochrasterkarte ( klassische Bastellösung) ( Rapid Prototyping) Manchmal zu viele Baugruppen um den µc angeordnet. ind. Einsatz KOSTENMINIMALE SYSTEME 3

4 Material Platz Stromverbrauch Eigenentwurf der Schaltung HÄUFIG no Budget SPEC sehr wichtig 4

5 Expanded Betriebsarten bei normalen Singel-Chip Mode befindet sich das Programm im internen Speicher nicht veränderbarer Programmcode Expanded Mode gestattet externe Speicherbereiche anzusprechen Prinzip: Auf einige Pins ( normalerweise sonst Port I/O) kann AB + DB gelegt werden) Anschluß von Speicher, dieser kann Programm aufnehmen Weitere Möglichkeit z. B. nach Reset Programm von der Adresse starten ( Wenn dort EPROM) - Nachteil ergibt sich aus Zyklus EPROM programmieren In Schaltung stecken einschalten Fehler senden Software ändern statt EPROM Dual Port RAM oder RAM Simulator Dual-Port RAM ist lesbar von µc und von angeschlossenen Dual Port RAM eine Seite ist mit µc und die andere Seite mit Entwicklungssystem verbunden Prinzip: Entwicklungsrechner schreibt Programm in den RAM Umschalten auf µc 5

6 Mikrocontroller A Adressen Dual Port RAM B Adressen Cntl. Cntl. Daten Daten Abbildung 3: Entwicklungssystem mit Dual-Port-Ram Eprom-Simulator Dual Port RAM Logik für Adreß- und Datenzugriffe auf Speicherzellen ist für externe Logik realisiert. Eigenschaften besitzt eigene Stromversorgung PC nicht unbedingt notwendig am Zielsystem Speicher am PC wird mit Daten gefüllt Verbindung Simulator Entwicklungssystem: Ser. Schnittstelle, parallele Schnittstelle Laden von Hex, Motorola-S- oder Binär-Files Simulationssoftware: Auswahl des EPROM-Typs Bus Breite Lage Speicherfenster Reset- und Haltsteuerung Nachteil: Funktioniert nur bei Systemen, die in einem Expanded Mode laufen Nur richtig sinnvoll wenn später auch Expanded Mode eingesetzt werden soll: * es werden I/O Ports belegt, die später eventuell anders verwendet werden * unvollständige Simulation Verlust der I/O Funktionalität Schaltungen, die externe Speicher verwenden 6

7 Abbildung 4: EPROM-Simulator Programmspeicher in EPROM Den NACHTEIL,daß I/O Funktionalität verloren geht, durch Verwendung eines µc aufheben dessen interne Programmspeicheranschlüsse auf externe Anschlüsse geführt werden oder dessen Speicher durch internen EPROM ersetzt ist. Piggypack interne Speicheranschlüsse herausgeführt Oberseite trägt Sockel für EPROM arbeitet sonst wie im internen RAM Nachteil: teures Gehäuse Vorteil: gleiches Sockellayout Bond out Version zusätzliche Pins, Speicher-Anschlüsse werden mit an das Gehäuse geführt Nachteil: Platinen später nicht verwendbar K (Intel) ICE-Chip Z86C12 ( Zilog) Vorteil: billiger Sockel Interner EPROM µc + Fenster Nachteil: Sonderbehandlung paßt nicht in jeden Sockel von EPROM-Prog.-geräten 7

8 Vorteil: verhält sich wie interner ROM OTP-Version Schaltungstechnisch identisch zur EPROM-Version Ohne Fenster Für Klein o. Vorserie Preis entspricht etwa EPROM-Variante Beachte Erstellung einer Maske für chipinterne ROM, lohnt erst ab großer Stückzahl OTP-Version Masken-Version BE-Kosten = 1,5 x Maske Version 5000 EURO Maskekosten ab minimale BE Kosten Zeit um Softwarefehler zu beheben ca. 10 Zeit um Softwarefehler zu beheben ca. 8 min. Stück Wochen Programmspeicher in EEPROM Bootstrap Mode Evaluation-Boards Bezeichnung von Evaluation und Referenz-Board häufig uneinheitlich Evalution-Board ist ein System, das voll funktionsfähig ist und eingeschränkt erweiterbar ist. Es wird mit eingeschränkter Software-Funktionalität ausgeliefert. Es sind relative wenig Änderungen am Board möglich. Evaluation Board Anwenderschaltung Datenspeicher Programmspeicher Mikrocontroller Anwenderprogramm und Arbeitszellen Monitor Betriebssystem Reg Port 0 Port 1 zum Hostcomputer Treiber serielle Schnittstelle Adreßbus Datenbus serielle Schnittstelle Port 2 Port 3 Port 4 Port 5 Abbildung 5: Evaluation-Board 8

9 Referenz-Board Bezeichnung von Evaluation und Referenz-Board häufig uneinheitlich Referenz-Board ist ein System, das voll funktionsfähig ist und erweiterbar ist. Es wird mit kompletter Software-Funktionalität ausgeliefert. Das Board liefert eine Grudnfunktionalität und kann durch eigene Baugruppen/ Module erweitert werden. In-Circuit-Emulator Programmspeicher Emulator-Daten/ Adreßbus Reg Datenspeicher Trace- Speicher Tracelogik Mikrocontroller des Emulators Port 2 Port 0 Port 5 Port 4 Port 3 Port 1 serielle Schnittstelle zum Hostcomputer Busmultiplexer und Zugriffssteuerung Port 2 Port 0 Emulations- Mikrocontroller Port 5 Port 4 Port 3 Port 1 Anwenderschaltung Simulatoren Smart-Models Rapid-Prototyping-Systeme 9

10 Fail-Save Mechanismen des 80C Bit Zähler Bits 0 bis 6 des WDTREL sind die höherwertigen Bits des WDT Nachdem WD gestartet wurde, kann dieser nicht mehr gestoppt werden (außer externer Reset) Watch Dog Timer Oszillator/12 /2 / WDTL 1 WDTREL WDTREL.7 WDT Reset Request 14 WDTH 8 wird automatisch rückgesetzt IENO WDT Clear durch HW Reset D IP0 WDTS Nachladen IEN1 SWDT 6 0 WDTREL Restart Watch Dog WD-Laufzeit bei 12 MHz Takt SETB WDT 7F 00h 500 khz*256 ca. ca. 0,5 ms SETB SWDT Default 00 00h 500 khz*32768 ca. 65 ms 80 00h 31 khz * ca. 1s Abbildung 6: Watchdog Timer 10

11 Zwei mögliche Startarten: Automatischer Start beim HW-Restart Start durch Software Wenn WD abläuft, dann wird WD-Reset ausgelöst WDT Watchdog Timer muss vor dem Bit SWDT gesetzt werden SWDT Start Watchdog Timer Startet den WDT neu WDTS Watchdog Timer Status Ist nach einem durch den WD ausgelösten Reset gesetzt Nachladen des WD durch die Befehle SETB WDT SETB SWDT! Befehle müssen hintereinander stehen. weil, Prozessor löscht nach 3 Takten das Bit WDT automatisch (Sicherheit gegen falsches Nachladen des WD) WDT und SWDT sind bitadressierbar Interrupt Enabale Register 0 IEN0 Bits EA WDT ET2 ES0 ET1 EX1 ET0 EX0 0A8h AF AE AD AC AB AA A9 A8 Bit- Adressen Interrupt Enabale Register 1 IEN1 Bits EXEN2 SWDT EX6 EX5 EX4 EX3 EX2 EADC 0B8h BF BE BD BC BB BA B9 B8 Bit- Adressen Interrupt Priority Register 0 IP0 Bits OWDS WDTS IP0.5 IP0.4 IP0.3 IP0.2 IP0.1 IP0.0 0A9h Watchdog Timer Reload Register WDTREL 086h 11

12 void main (void) { bit watchdog_reset; if ((IP0 & 0xc40)!=40) /* Wenn WDTS gesetzt dann Watchdog Reset- Erkennung */ watchdog_reset =1; /* auf watchdog-reset */ /* Dieses Bit kann im Programm verwendet werden, um unterschiedliche Aktionen bei Hardware- und Watchdog-Reset durchzuführen */ SWDT = 1 /* integrierten Watchdog starten */ for (;;) { /* beliebiger Code */ WDT=1; SWDT=1; /* Watchdog triggern */ } Oszillator Watchdog XTAL 1 XTAL 2 OWE On Chip Oscillator Watch Dog Oscillator 300 khz Frequenz- Vergleicher IP0 OWDS OWD Reset Request Prozessor-Takt Abbildung 7: Oszillator Watchdog Überwacht Taktfrequenz löst Reset aus, wenn Takt eine kritische Frequenz unterschreitet (ca. 300kHZ) Reset-Signal bleibt aktiv solange die Taktfrequenz ausserhalb des spezifizierten Bereiches liegt Bei Anliegen des reset-signals liegen alle I/O-Signale des prozessors auf High-Pegel durch externe Beschaltung kann ein definierter Zustand des zu steuernden Prozesses erreicht werden 12

13 Power Saving Modes 13