DE3820728A1 - Verfahren zum pruefen eines festwertspeichers und anordnung zur durchfuehrung des verfahrens - Google Patents

Description

Die Erfindung betrifft ein Verfahren zum Prüfen des Inhalts eines Festwertspeichers in einer integrierten Schaltung, die außerdem einen durch den Inhalt des Festwertspeichers gesteuerten Prozessor enthält, der mit Außenanschlüssen der integrierten Schaltung verbunden ist und der in einen Prüfmodus schaltbar ist, sowie eine Anordnung zur Durchführung des Verfahrens.

Es ist eine Mehrzahl unterschiedlicher integrierter Schaltungen mit einem darauf integrierten Prozessor bekannt, von denen einige Ausführungen außer dem Prozessor auch den für den Prozessor erforderlichen Programmspeicher in Form eines Festwertspeichers enthält, dessen Inhalt bei der Herstellung festgelegt wird. Eine derartige Ausführung wird häufig auch als Microcontroller bezeichnet. Ein Beispiel hierfür ist der Typ PCB 80C 51 der Firma Valvo Unternehmensbereich Bauelemente der Philips GmbH. Der Inhalt des Programm-Festwertspeichers, nachfolgend mit ROM bezeichnet, ist dabei häufig speziell nach den Wünschen eines bestimmten Kunden festgelegt und bestimmt damit die Funktion des Microcontrollers in der vom Kunden gewünschten Weise.

Das im ROM enthaltene Programm wird häufig vom Kunden selbst mit einem erheblichen Arbeitsaufwand ausgearbeitet, ggf. mit Unterstützung des Herstellers des Micro­ controllers, und dieses Programm stellt somit einen erheblichen Wert dar.

Bei der Herstellung von Microcontrollern muß jedes Exemplar geprüft werden, ob es fehlerfrei ist. Dazu konnte jeder Microcontroller in gleicher Weise, jedoch mit vorge­ gebenem äußeren Daten in einer Weise zur Probe betrieben werden, wie er anschließend auch beim Kunden verwendet werden soll. Dies erfordert jedoch einen großen Zeitauf­ wand und ist teuer, und außerdem ist es sehr schwierig, dabei sicher zu sein, daß alle Funktionsmöglichkeiten wirklich geprüft worden sind. Daher ist es bekannt, zumindest als Teil der Prüfung den Inhalt des Festwert­ speichers zu prüfen, ob er mit dem vorgegebenen Inhalt exakt übereinstimmt. Dafür werden in einem Prüfmodus alle Speicherstellen des ROM nacheinander ausgelesen und nach außerhalb der integrierten Schaltung geführt und dort mit Daten entsprechend dem vorgegebenen Inhalt verglichen. Bei dieser Prüfmethode ist es jedoch möglich, daß ein Dritter sich einen derartigen Microcontroller beschafft und den Inhalt des ROM ausliest, um damit selbst Microcontroller zu bauen bzw. zu programmieren, wobei dieser Dritte dann den Aufwand für die Entwicklung des Programms sparen würde.

Aufgabe der Erfindung ist es daher, ein Verfahren der eingangs genannten Art anzugeben, mit dem die Prüfung des Inhalts des ROM möglich ist, ohne daß dieser Inhalt außerhalb der integrierten Schaltung verfügbar wird.

Diese Aufgabe wird erfindungsgemäß dadurch gelöst, daß im Prüfmodus des Prozessors ein Prüfprogramm aktiviert wird, bei dessen Ausführumg durch den Prozessor der Inhalt des ROM ausgelesen und mit von außen zugeführten Prüfdaten verglichen wird und bei Nichtübereinstimmung eine Fehler­ meldung erzeugt wird.

Auf diese Weise ist es möglich, den ROM eines Micro­ controllers zu prüfen, ohne daß ein nicht autorisierter Dritter die Möglichkeit hat, diesen Inhalt festzustellen. Lediglich der autorisierte Hersteller des Micro­ controllers, der den vorgegebenen Inhalt des ROM kennt, kann diese Prüfung durchführen.

Jeder Microcontroller hat üblicherweise mehrere Daten­ eingange und Datenausgange, zum Teil in Form bidirektio­ naler Datenanschlüsse. Es ist daher nach einer Ausgestal­ tung des erfindungsgemäßen Verfahrens zweckmäßig, daß die Prüfdaten über einen im normalen Betrieb des Prozessors als Datenanschluß wirkenden Anschluß zugeführt werden. Für die Durchführung der Prüfung sind somit keine besonderen Eingänge erforderlich.

Wenn bei der aufeinanderfolgenden Prüfung des Inhalts des ROM ein Fehler auftritt, könnte dieser sofort nach außer­ halb der integrierten Schaltung gemeldet werden, so daß erkennbar wird, an welcher Stelle der Inhalt des ROM falsch ist. Dies hat jedoch lediglich Bedeutung für eine eventuelle Korrektur des Herstellungsverfahrens, wobei diese Bedeutung auch nur gering ist. Andererseits ist es dadurch einem Dritten möglich, durch Veränderung der von außen zugeführten Daten so lange, bis kein Fehler mehr auftritt, doch den Inhalt des ROM zu ermitteln. Nach einer weiteren Ausgestaltung des erfindungsgemäßen Verfahrens ist es daher zweckmäßig, daß jede aufgetretene Fehler­ meldung zwischengespeichert und erst am Ende des Prüf­ programms nach außen gemeldet wird. Dadurch ist also ein Microcontroller mit fehlerhaftem ROM-Inhalt nach Abschluß der Prüfung erkennbar, während ein unautorisierter Dritter keine Möglichkeit hat, durch schrittweise Veränderung der zugeführten Daten den ROM-Inhalt zu ermitteln.

Eine Anordnung zur Durchführung des erfindungsgemäßen Verfahrens mit einer integrierten Schaltung, die einen Prozessor und einen Festwertspeicher sowie eine Anzahl äußerer Anschlüsse enthält, von denen wenigstens einige mit einer Prüfdaten liefernden Prüfanordnung verbindbar sind, wobei ein Eingang zum Einstellen eines Prüfmodus vorgesehen ist, ist dadurch gekennzeichnet, daß ein Prüfprogrammspeicher zur Aufnahme der Steuerbefehle eines Prüfprogramms vorgesehen ist und daß der Prozessor im Prüfmodus Steuerbefehle aus dem Prüfprogrammspeicher empfängt und aufeinanderfolgend die Daten aus dem ROM ausliest und daß ein Vergleicher zum Vergleichen der empfangenen Prüfdaten mit aus dem ROM ausgelesenen Daten und zum Erzeugen eines Fehlersignals bei Nichtüberein­ stimmung der verglichenen Daten vorgesehen ist.

Der Prüfprogrammspeicher kann grundsätzlich einen Teil des ROM darstellen, jedoch ist es aus verschiedenen, nach­ folgend erläuterten Gründen zweckmäßig, hierfür einen gesonderten kleinen Speicher in der integrierten Schaltung vorzusehen. Die Adressierung des Prüfprogrammspeichers kann vom Prozessor aus erfolgen, jedoch kann, wenn das Prüfprogramm linear ist und keine Sprünge und Schleifen enthält, auch ein gesonderter Adressengenerator, bei­ spielsweise in Form eines Zähler, vorgesehen werden. Als Vergleicher kann in einfacher Weise die arithmetisch- logische Einheit (ALU) verwendet werden.

Nach einer Ausgestaltung der erfindungsgemäßen Anordnung ist es zweckmäßig, daß in der integrierten Schaltung ein Speicherelement vorgesehen ist, das das vom Vergleicher erzeugte Fehlersignal aufnimmt und steuerbar an einem Ausgang der integrierten Schaltung für das Fehlersignal abgibt. Dieses Speicherelement wird dann, wie vorher erläutert, zweckmäßig nach Abschluß der Prüfung ausge­ lesen. Fur dieses Speicherelement kann beispielsweise eines der in praktisch jedem Microcontroller vorhandenen allgemeinen Register verwendet werden. Dies kann durch entsprechende Befehle im Prüfprogramm realisiert werden. Es ist auch möglich, daß das Speicherelement ein Zähler ist. Auch hierfür kann ein allgemeines Register verwendet werden, in das die Fehlersignale aufsummiert werden.

Um die Änderungen üblicher Microcontroller zur Durch­ führung der erfindungsgemäßen Prüfung des ROM-Inhalts gering zu halten, ist es nach einer weiteren Ausgestaltung der Erfindung zweckmäßig, daß der ROM und der Prüf­ programmspeicher über einen abhängig vom Prüfmodus und vom Ablauf des Prüfprogramms eingestellten Umschalter mit dem Prozessor verbunden sind. Auf diese Weise ist es einfach möglich, den Prozessor nacheinander durch den Prüf­ programmspeicher und durch den ROM als eigentlichen Programmspeicher zu steuern.

Der Prüfprogrammspeicher kann in verschiedener Weise realisiert sein. Zweckmäßig ist es, daß der Prüfprogramm­ speicher ein Festwertspeicher ist. Dessen Inhalt wird dann ebenso wie der Inhalt des ROM bei der Herstellung der integrierten Schaltung festgelegt und kann nicht miß­ bräuchlich verändert werden.

Es ist auch möglich, daß der Inhalt des Prüfprogramm­ speichers fehlerhaft ist, wodurch ein Fehler im Inhalt des ROM vorgetauscht werden kann, obwohl dieser tatsächlich korrekt ist und der Microcontroller somit funktionsfähig ist, da das Prüfprogramm im normalen Betrieb nicht verwendet wird. Es ist daher zweckmäßig, daß der Inhalt des Prüfprogrammspeichers von außerhalb der integrierten Schaltung zugänglich ist. Es wird dann also zunächst der Inhalt des Prüfprogrammspeichers geprüft, was in üblicher Weise mittels eines Vergleichs außerhalb der integrierten Schaltung durchgeführt werden kann, da der Inhalt des Prüfprogrammspeichers für Dritte keine wesentliche Bedeutung hat. Erst wenn das Prüfprogramm einwandfrei ist, kann dann die eigentliche Prüfung des ROM durchgeführt werden, so daß eine dann entstehende Fehlermeldung in jedem Falle auf einen Fehler im Inhalt des ROM zurück­ zuführen ist.

Ausführungsbeispiele der Erfindung werden nachstehend anhand der Zeichnung naher erläutert. Es zeigen:

Fig. 1 ein schematisches Blockschaltbild der wesentlichen Teile einer erfindungsgemäßen Anordnung,

Fig. 2 ein Flußdiagramm zur Erläuterung einer möglichen Durchführung des erfindungsgemäßen Verfahrens.

In Fig. 1 ist ein Microcontroller 1 angedeutet, der als monolithisch integrierte Schaltung aufgebaut ist und mit einer Prüfanordnung 22 verbunden ist. In dem Micro­ controller 1 sind nur die für die folgende Erläuterung wichtigen Elemente dargestellt, während andere Elemente der Übersichtlichkeit halber weggelassen sind.

Ein wesentliches Elememt des Microcontrollers 1 ist der Prozessor 2, auch als CPU bezeichnet, der eine Anzahl Schaltungen enthält, von denen hier ebenfalls nur die für die folgende Erläuterung wichtigen Schaltungen dargestellt sind. Dies sind die arithmetisch-logische Verarbeitungs­ einheit 12, die allgemein als ALU bezeichnet ist. Ferner ist ein Register 14 angegeben, dessen Ausgang mit dem einen Dateneingang der ALU verbunden ist, während der andere Eingang der ALU 12 und der Eingang des Registers mit einem schematisch dargestellten internen Bus 3 verbunden sind. Ein Steuerausgang 17 der ALU 12, der ein Signal führt, wenn das Ergebnis der in der ALU 12 durch­ geführten Verknüpfung ungleich Null ist, führt auf ein weiteres Register 16.

Ferner ist ein Programmspeicher 4 vorgesehen, der das vom Microcontroller im Normalbetrieb auszuführende Programm enthält und der als Festwertspeicher (ROM) ausgeführt ist, sowie ein weiterer Festwertspeicher 6, der das Prüf­ programm enthält. Der Ausgang 5 des ROM 4 und der Ausgang 7 des Prüfprogrammspeichers 6 sind wahlweise über einen Umschalter 8 mit dem internen Bus 3 verbindbar. Die Adressierung der Speicher 4 und 6 ist nicht gesondert dargestellt und erfolgt in üblicher Weise durch den Prozessor 2 über Adressenleitungen in dem Bus 3. Wenn das Prüfprogramm ohne Schleifen und Sprünge arbeitet, könnte der Prüfprogrammspeicher 6 jedoch auch durch einen gesonderten Adressengenerator, beispielsweise einen Zähler, angesteuert werden.

Die Steuerung des Umschalters 8, der zweckmäßig als Multiplexer ausgeführt ist, erfolgt über die Leitung 11 durch eine Prüfsteuerschaltung 10, die den Prüfmodus im dem Microcontroller 1 steuert.

Der Microcontroller 1 ist über Ein-Ausgangsschal­ tungen 18 und 20 mit einer Prüfanordnung 22 verbunden. Die Ein-Ausgangsschaltungen 18 und 20 enthalten für ausgehende Leitungen Treiberschaltungen und für eingehende Leitungen Empfangsschaltungen, die zumindest teilweise steuerbar bzw. schaltbar sind. Dies gilt insbesondere für die Ein-Ausgangsschaltungen 18, über die Datenwörter mit außen angeschlossenen Einrichtungen, in diesem Falle also mit der Prüfanordnung 22, ausgetauscht werden können. Die ausgehenden Datenleitungen sind in der Anordnung 18 häufig mit einem Register versehen, so daß diese Daten nur kurz­ zeitig vom Prozessor 2 erzeugt werden müssen und längere Zeit nach außen verfügbar sind.

Zur Durchführung der Prüfung wird nun von der Prüfanord­ nung 22 über die Leitung 27 ein Signal zur Steuerung des Prüfmodus ausgesandt, das über die Ein-Ausgangsschal­ tung 20 und die Leitung 21 der Prüfsteuerschaltung 10 zugeführt wird. Vorher sind sowohl die Prüfanordnung 22 als auch der Microcontroller 1 über ein nicht darge­ stelltes Rücksetzsignal in eine Anfangsstellung gesetzt worden. Die Prüfsteuerschaltung 10 bringt nun über die Leitung 11 den Umschalter 8 in die dargestellte Stellung und führt damit den ersten Prüfbefehl aus dem Prüf­ programmspeicher 6 über den Bus 3 dem Prozessor 2 zu, wo er beispielsweise in einem Befehlsregister gespeichert wird. Danach können ggf. noch weitere Befehle folgen, die den Prozessor 2 in einen gewünschten Zustand setzen. Statt dessen oder zusätzlich kann der Prozessor 2 auch noch über eine Verbindung 9 in den Prüfmodus gesetzt werden.

Danach schaltet die Prüfsteuerschaltung 10 kurzzeitig den Umschalter 8 um und führt das erste Datenwort aus dem ROM 4 über den Bus 3 dem Prozessor 2 zu, wo es im Register 14 zwischengespeichert wird und am einen Eingang der ALU 12 anliegt. Danach wird der Schalter 8 wieder in die dargestellte Lage zurückgeschaltet und ein von der Prüfanordnung 22 auf der Ausgangsleitung 23 erzeugtes Datenwort, das dem ersten richtigen Datenwort im ROM 4 entspricht, über die Ein-Ausgangsschaltung 18 und den Bus 3 dem anderen Eingang der ALU 12 zugeführt, und dann werden die beiden Datenwörter verglichen. Auf der Leitung 17 wird lediglich angezeigt, ob dabei Gleichheit oder Ungleichheit festgestellt worden ist. Im letzteren Falle, d.h. das erste Wort im ROM 4 stimmt nicht mit dem vorgegebenen Inhalt überein, wird das entsprechende Signal auf der Leitung 17 in das Register 16 eingeschrieben.

Nach dem Vergleich oder gleichzeitig damit wird die Adresse für den ROM 4 um 1 erhöht, und außerdem wird über die Leitung 13 der Prüfsteuerschaltung 10 ein Signal für das Ende eines Prüfschritts zugeführt, und daraufhin sendet die Prüfsteuerschaltung 10 über die Leitung 19 ein Synchronisiersignal, das über die Ein-Ausgangsschaltung 20 und die Leitung 29 der Prüfanordnung 22 zugeführt wird und dort den nächsten Vergleichswert auf der Leitung 23 bereitstellt. Ferner wird über die Leitung 11 wieder der Umschalter 8 auf die dargestellte Stellung umgeschaltet und der nächste Prüfschritt in gleicher Weise durchge­ führt. Auf diese Weise wird der Inhalt des ROM 4 nach­ einander mit entsprechenden Vergleichswerten der Prüfan­ ordnung 22 verglichen. Wenn dabei mehrere Fehlersignale auf der Leitung 17 erzeugt werden, kann der Inhalt des Registers 16 auch jeweils um einen Schritt erhöht werden.

Wenn schließlich die letzte, d.h. die höchste Adresse für dem ROM 4 erzeugt worden ist, beendet die Prüfsteuer­ schaltung 10 die Prüfung und schaltet den Umschalter 8 endgültig in die nicht dargestellte Stellung, und außerdem wird der Inhalt des Registers 16, dessen Ausgang in üblicher Weise mit dem Bus 3 verbunden ist, über die Ein-Ausgangsschaltung 18 an einem Ausgang 25 abgegeben. Dies ist üblicherweise ein Datenwort, in dem z.B. die Werte bestimmter Datenbits aussagen, ob während der Prüfung ein Fehlersignal aufgetreten ist oder nicht.

Dieser anhand der Anordnung in Fig. 1 beschriebene Ablauf des Prüfvorgangs wird nun in allgemeinerer Form anhand des Flußdiagramms in Fig. 2 erläutert.

Im Block 30 erfolgt das Rücksetzen der gesamten Anordnung, d.h. des Microcontrollers und der Prüfanordnung, auf einen definierten Anfangszustand. Im Block 31 wird ein Zähler in der Prüfanordnung 22, der nacheinander die Prüfdaten adressiert, auf die Anfangsstellung gesetzt, und im Block 32 wird die Adresse des ROM auf die Anfangsadresse gesetzt. Außerdem wird im Block 33 die ALU bzw. deren zugehöriges Akkumulatorregister auf Null gesetzt.

Im Block 34 wird über die Ein-Ausgangsschaltung ein Signal erzeugt, das die Prüfanordnung veranlaßt, die nächsten Prüfdaten dem Microcontroller zuzuführen. Im Block 35 wird die vom Prozessor adressierte Speicherstelle im ROM ausgelesen und dem Prozessor zugeführt, und im Block 36 werden die von der Prüfanordnung erzeugten Prüfdaten eingelesen. Im Block 37 wird vorbereitend die Adresse für den ROM um 1 erhöht.

Im Block 40 wird nun geprüft, ob die aus dem ROM gelesenen Daten (Block 35) mit den von der Prüfanordnung 22 zuge­ fürten Daten (Block 36) übereinstimmen. Wenn dies nicht der Fall ist, wird im Block 44 ein Fehlerregister gesetzt bzw. ein Fehlerzähler weitergezählt und danach mit dem Block 41 weitergegangen, während bei Übereinstimmung beider Daten direkt zum Block 41 gegangen wird, bei dem das Signal am Ausgang des Microcontrollers, das Daten aus der Prüfanordnung 22 anfordert, zurückgesetzt wird. Schließlich wird im Block 42 geprüft, ob zuletzt die höchste Adresse des ROM ausgelesen worden ist, d.h. wegen des Blocks 37, ob die nächste vom Prozessor gelieferte Adresse größer ist als die höchste Adresse des ROM. Wenn dies nicht der Fall ist, wird zum Block 33 zurückgegangen und der Ablauf erneut wiederholt.

Wenn die letzte Adresse des ROM jedoch ausgelesen worden ist, wird im Block 47 geprüft, ob das Fehlerregister gesetzt bzw. der Fehlerzähler aus seiner Anfangsstellung gezählt worden ist. Wenn dies nicht der Fall ist, wird in vorher beschriebener Weise an einem Ausgang ein Datenwort erzeugt als Zeichen, daß die Prüfung beendet und kein Fehler aufgetreten ist, während bei einem gesetzten Fehlerregister bzw. einem weitergezählten Fehler im Block 49 ein anderes Datenwort am Ausgang des Micro­ controllers erzeugt wird, das anzeigt, daß der ROM fehlerhaft ist. Damit ist der Prüfablauf abgeschlossen.

Claims (9)

1. Verfahren zum Prüfen des Inhalts eines Festwert­ speichers (ROM) in einer integrierten Schaltung, die außerdem einen durch den Inhalt des Festwertspeichers gesteuerten Prozessor enthält, der mit Außenanschlüssen der integrierten Schaltung verbunden ist und der in einen Prüfmodus schaltbar ist, dadurch gekennzeichnet, daß im Prüfmodus des Prozessors ein Prüfprogramm aktiviert wird, bei dessen Ausführung durch den Prozessor der Inhalt des ROM ausgelesen und mit von außen zugeführten Prüfdaten verglichen wird und bei Nichtübereinstimmung eine Fehlermeldung erzeugt wird.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß die Prüfdaten über einen im normalen Betrieb des Prozessors als Datenanschluß wirkenden Anschluß zugeführt werden.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß jede aufgetretene Fehlermeldung zwischengespeichert und erst am Ende des Prüfprogramms nach außen gemeldet wird.

4. Anordnung zur Durchführung des Verfahrens nach einem der Ansprüche 1 bis 3 mit einer integrierten Schaltung, die einen Prozessor und einen Festwertspeicher (ROM) sowie eine Anzahl äußerer Anschlüsse enthält, von denen wenigstens einige mit einer Prüfdaten liefernden Prüf­ anordnung verbindbar sind, wobei ein Eingang zum Ein­ stellen eines Prüfmodus vorgesehen ist, dadurch gekennzeichnet, daß ein Prüfprogrammspeicher (6) zur Aufnahme der Steuerbefehle eines Prüfprogramms vor­ gesehen ist und daß der Prozessor (2) im Prüfmodus Steuer­ befehle aus dem Prüfprogrammspeicher (6) empfängt und aufeinanderfolgend die Daten aus dem ROM (4) ausliest und daß ein Vergleicher (12) zum Vergleichen der empfangenen Prüfdaten mit aus dem ROM (4) ausgelesenen Daten und zum Erzeugen eines Fehlersignals bei Nichtübereinstimmung der verglichenen Daten vorgesehen ist.

5. Anordnung nach Amspruch 4, dadurch gekennzeichnet, daß in der integrierten Schaltung ein Speicherelement (16) vorgesehen ist, das das vom Vergleicher (12) erzeugte Fehlersignal aufnimmt und steuerbar an einem Ausgang (15) der integrierten Schaltung für das Fehlersignal abgibt.

6. Anordnung nach Anspruch 5, dadurch gekennzeichnet, daß das Speicherelement (16) ein Zähler ist.

7. Anordnung nach einem der Ansprüche 4 bis 6, dadurch gekennzeichnet, daß der ROM (4) und der Prüf­ programmspeicher (6) über einem abhängig vom Prüfmodus und dem Ablauf der Prüfung eingestellten Umschalter (8) mit dem Prozessor (2) verbunden sind.

8. Anordnung nach einem der Ansprüche 4 bis 7, dadurch gekennzeichnet, daß der Prüfprogrammspeicher (6) ein Festwertspeicher ist.

9. Anordnung nach einem der Ansprüche 4 bis 8, dadurch gekennzeichnet, daß der Inhalt des Prüfprogramm­ speichers (6) von außerhalb der integrierten Schaltung zugänglich ist.