-
Einrichtung zum Bereichsschutz von Informationsspeichern.
-
In Nachrichtenverarbeitungsanlagen und Fernsprechvermittlungsanlagen
sind häufig Festig Festinformationen, semipermanente Informationen und variable
Informationen gleichzeitig zu speichern. Aus Gründen wirtschaftlicher Speicherorganisation
werden hierzu nur zwei Speicherarten, nämlich Festwertspeicher für die festen Informationen
und leicht änderbare Speicher, beispielsweise Magnetkernspeicher für die semipermanenten
und die variablen Informationen verwendet. In letztgenannten Speichern müssen in
diesem Falle besondere Maßnahmen zum Schutze der die semipermanenten Informationen
enthaltenden Speicherbereiche getroffen werden, um zu verhindern, daß der Inhalt
dieser Bereiche fälschlicher Weise gelöscht wird. Ein derartiger Fehlerfall kann
beispielsweise dadurch auftreten, daß zusammen mit einen Schreib- oder Löschbefehl
durch eine Adressenverfälschung eine in einem derartigen geschützten Bereich befindliche
Information angesteuert und überschrieben oder gelöscht wird. Einer solchen Adressenverfälschung
könnte man zwar durch Zufügung eines sogenannten Paritätsbits zur Adresse begegnen,
das die Nahprüfung der Richtigkeit der Adresse ermöglicht. Damit wäre jedoch noch
kein ausreichender Schutz erzielt, da die ullerwunschte Zerstörung einer geschützten
Information bei an sich fehlerfrei gelieferter Adresse auch dadurch zustande kommen
kann, daß ein Lesebefehl in einen Schreib- oder Löschbefehl verfälscht wird.
-
Es nüssen also zusätzliche Maßnahmen zur Vermeidung
einer
Informationszerstörung getroffen werden.
-
Bei einer bekannten Speicherschutzeinrichtung (vgl.
-
DT-AS 1 114 049) wird ein Speicherschutz unter dem Aspekt angestrebt,
daß bei der Notwendigkeit, in ausgewählten mehr oder weniger großen Teilen des Speichers
nicht mehr benötigte Informationeen endgültig zu löschen, Sorge dafür getragen werden
muß, daß eine derartige löschung nicht fehlerhafter Weeise in nicht hierzu vorgesehenen
Speicherbereichen vorgenommen wird.
-
Hierzu werden dem ganzen Speicher oder beliebigen Teilen desselben,
sofern nur solche für eine derartige Behandlung' in Frage kommen, ein oder mehrere
Speicherelemente zugeordnet, deren Speicherinlialte ein endgültiges Löschen der
Informationeen in den zugeordneten Speicherbereichen verhindern. Dies geschieht
dort dadurch, daß durch eine Steuerschaltung die nicht mehr schutzwürdigen Bereiche
durch entsprechende Änderung des Speicherinhaltes der zusätzlichen Speicherelemente
gekennzeichnet werden, Ein zum Zwecke des Löschen gegebener Lesebefehl hat dann
nur bei solchen Speicher bereichen ein Auslesen und endgültiges Löschen des Informationsinhaltes
zur Folge. Bei Ansteuerung aller anderen Speicherbereiche bewirkt die Schutzinformation
in den zusätzlichen Speicherstellen, daß die beim lesen in ein Pufferregister übergebene
Information einerseits nicht weitergegeben, andererseits beim nachfolgenden Schreibvorgang
wieder in den Speicher rückübertragen wird.
-
Um eine derartige Speicherschutzeinrichtung in der Weise flexibler
zu machen, daß einzelne Speicherbereiche nicht schlechthin sondern lediglich gegenüber
dem Zugriff entsprechend bestimmter Programme geschützt s wird bei einer anderen
bekannten Einrichtung (DT-AS
1 499 203) den zu schützenden Speicherbereichen
anstelle lediglich.einer Schutzinformation ein ganzes Speicherschlüsselwort zugeordnet,
das vor Ausführung eines Lösch befehls mit einem Befehlsschlüsselwort verglichen
wird, und bei der die Durchführung eines Löschvorganges verhindert wird, wenn weder
eine ttbereinstimmung zwischen Speicherschlüsselwort und Befehlsschlüsselwort festgestellt
wird, noch ein die eigentliche Schutzinformation darstellender f,estvorgegebener
Bestandteil der Schlüsselworte erkannt wird.
-
Die Schutzinformationen bzw. die Schlüsselworte erfordern bei diesen
bekannten Einrichtungen zusätzlichen Speicherraum, wozu bei größeren Speichereinheiten
ein beträchtlicher Aufwand erforderlich ist, der insbesondere dann, wenn die zu
schützenden Speicherbereiche immer dieselben bleiben, nicht mehr vertreten werden
kann.
-
Es ist auch schon bekannt, in einem Pufferspeicher gespeicherte Informationegegen
eine normalerweise vorgesehene Übertragung in einen Hauptspeicher zu sichern, indem
diese Informstion um auf besonderen Speicherplätzen untergebrachten Speicherschutz-Informationen
erweitert werden, die die Adresse des Bereiches darsteilen, indem sich die zu schützende
Information befindet. Bei jeder gewünschten Übertragung von Informationen vom Pufferspeicher
in den Hauptspeicher werden hier die von zyklisch fortschreitenden Adressierschaltungen
erzeugten Adressen mit den eebenfalls nacheienander in ein Feldschutzregister eingegebenen
als Schutzinformation dienenden Beginnadressen verglichen. Bei Übereinstimmlrng
der beiden adressen wird eine Inforniationsübergabe in den Hauptspeicher unterbunden
(vgl. DT-OS 2044 ()49). Auch hier erfordert der Bereichsschutz eine Erweiterung
des Speichers um die Aufnahme der Schutsinformationen
zu ermöglichen.
Ausserdem kann hier ein Fehler in der Ansteuerschaltung, die die Übernahine der
Schutzinformation des jeweils in der Reihenfolge nächsten zu schützenden Speicherbereiches
in das Schutzregister veranlaßt, dazu führen, daß der betreffende Speicherbereich
von der Adressensteuerung angesteuert wird, oLne daß die betreffende Schutzinformation
sich im Feldschutzregister befindet. In diesem Falle wäre eine unerwbscht'e Übergabe
der Information in den Hauptspeicher nicht vermieden.
-
Aufgabe der Erfindung ist es daher, einen Bereichsschutz von Informationsspeichern
mit gering-em Aufwand zu erzielen, ohne daß eine geringere Sicherheit in Kauf genommen
werden müßte.
-
Die Erfindung betrifft daher eine Einrichtung zum Schutz von Informationen
in bestimmten Bereichen eines Informationsspeichers, die bei Übereinstimmung der
jeweils von der Ansteuerschaltung des Speichers erzeugten Adresse mit der Adresse
einer im zu schützenden Speicherbereich befindlichen Information zum Informationsverlust
füllende Speicheroperationen blockiert. Diese Einrichtung ist erfindungsgemäß dadurch
gekennzeichnet, daß sie sämtliche Adressen zu schützender Informationen gleichzeitig
in den zur Feststellung einer Übereinstimmung dienenden Vergleich einbezieht, und
daß eie die Blockierung bei gleichzeitig mit dem betreffenden Operationsbefehl auftretendem
Freigabesignal aufhebt.
-
Während also beim Stand der Technik zunächst eine Entscheidung darüber
getroffen wird, ob zum Intormationsverlust führende Speicheroperationen in geschützten
Bereichen durchgeführt werden dürfen oder nicht und dementsprechend diese Bereiche
daraufhin mit Schutzinformationen versehen
werden bzw. vorhandene
Schu tzinforna onen" dem Vergleich zugänglich gemacht werden, wird durch die erfindungsgemäße
Einrichtung in jedem Falle ein Adressenvergleich durchgeführt, wobei sämtliche Adressen
geschützter Bereiche in den Vergleich einbezogeen werden, und dann erst im Falle
einer durch adressenübereinstimmung bedingten Blockierung aufgrund des Vorliegens
oder Nichtvorliegens eines Freigabesignals über die Zulässigkeit der betreffenden
zum Informationsverlust führenden Speicheroperationen en-tschieden wird.
-
Hierdurch erübrigt es sich bei der, er.findungsgemäBen Ein richtung
einerseits, als Schutzinformation dienende Adressen der zu schützenden, Bereiche
in den Speicher mit aufzunehmen, diese Adressen können vielmehr ein für alle mal
in dem Adressenbewerter festgelegt werden, andererseits ist eine doppelte Sicherung
gewährleistet, indem nämlich in dengeschützten Bereichen eine Informationszerstörung
fälchlicher Weise nur dann eintreten kann, wenn sowohl die, von der Adressensteuerung
gelieferte Adresse als auch das Freigabesignal verfälscht sind. Bei den bekannten
Anordnungen hingegen kann, wie schon angegeben, allein ein Fehler in der Steuerschaltung,
die die Eingabe der Schutzinformation in den Speicher bzw. diee Übergabe einer dort
gespeicherten Schutzinförmation in ein Feldschutzregister bewirkt dazu führen, daß
es zu einer ungewollten Informationszerstörung kommt.
-
Gemäß einer weiteren Ausgestaltung der erfindungsgemäßen Einrichtung
werden bei der Adressenbewertung aus den Adressen von Informationen in zu schützenden
Bereichen Kriterien darüber abgeleitet, ob die ganze Information oder ein bestimmter
Teil derselben zu schützen ist. Auf diese Weise ist es dann ohne großen aufwand
möglich, in einem Speicherbereich von beispielsweise 4 Bits drei
derselben
zu schützen, das vierte dagegen frei zugänglich zu machen, ohne daß dieser Speicherbereich
durch Zuteilung zweier Adressen untert eilt zu werden bräuchte.
-
Weitere Ausgestaltungen der erfindungsgemäßen Einrichtung betreffen(1
zur Blockierung bzw. zur Freigabe der Schreib-und Löschoperationen zweckmässige
Einzelheiten, sowohl für den Fall des Vollbereichsschutzes als auch für den Fall
des Teilbereichsschutzes.
-
Im Folgenden wird ein Ausführungsbcis,piel der erfindungsgemäßen Einrichtung
anhand eines Blockschaltbildes näher erläutert.
-
Das in der Figur mit St bezeichnete Steuerwerk gibt die von ihm erzeugten
Adressen jeweils in das Adressenregister AR. Von dort werden diese dem gemäß der
Erfindung als Bestandteil der Informationsschutzeinrichtung vorgesehenen Adressenbewerters
AB zur Bewertung angeboten.
-
Dies.er Adressenbewerter AB ist so eingerichtet, daß,, er erkennen
kann, ob die angebotene Adresse mit der Adresseeines zu schützenden Bereiches übereinstimmt
und ob hierbei der gesamte Bereich oder nur ein bestimmter Teil desselben zu schützen
ist. Diese Differenzierungsfähigkeit des Adressenbewerters ist in der Figur durch
Aufteilung des, selben, in den der Vollzeichenschutzerkennung dienenden Teil VZ
und den der Teilzeichenschutzerkennung TZ dienenden Teil versinnbildlicht.
-
Es sei angenommen, daß der Adressenbewerter die im Adressenregister
AR befindliche Adresse als zu einem in seiner Gesamtheit zu schützenden Bereich
gehörig erkennt. Er gibt dann an seinen Ausgang vz ein Signal, an den einen Eingang
des Verknüpfungsgliedes K1 ab, das ein Koinzidenzglied mit zwei nichtnegierten und
einem negierten Eingang ist.
-
Der negierte Eingang dieses Koinzidenzgliedes ist mit dem Ausgang
aF des Steuerwerkes verbunden, über den jeweils zusammen mit einem Lösch- oder Schreibbefehl
ein Preigabesignal abgegeben werden kann. Der dritte Eingang des Koinzidenzgliedes
K1 ist mit dem Ausgang des ODER-Gliedes 01 verbunden, dessen beiden Eingängen vom
Befehlsregister BR her entweder ein einen Schreibbefehl. oder ein einen Löschbefehl
darstellendes Signal zugeführt wird.
-
Sofern also ein Speicherbereich angesteuert wird, der in seiner Gesamtheit
zu schützen ist und sofern es sich bei dem durchzuführenden Befehl um einen Schreib-
-oder Löschbefehl handelt, gibt das Koinzidenzglied Ki immer dann ein ausgan gessignal
ab, wenn nicht gleichzeitig mit den von den Ausgängen vz des Adressenbewerters AS
bzw. des ODER-Gliedes 01 an deren Eingänge gelieferten Signale vom Steuerwerk über
dessen Ausgang aP ein Freigabesignal geliefert wird. dieses Ausgangssignal des Koinzidenzgliedes
I,1 wird einerseits über den Sperrausgang ASp weitergegeben und dazu verwendet,
die Speicheroperationen "Schreiben" und "Löschen" zu blockieren, andererseits zusammen
mit einem Taktimpuls dem Koinzidenzglied K2 zugeführt, dessen Ausgangssignal eine
Fehlerkippstufe FF betätigt, die der Veranlassung einer Störungsmeldung dient, In
geschützten Speicherbereichen können Schreib- oder Löschoperationen also nur dalm
durchgeführt werden, wenn gleichzeitig mit dem betreffenden Befehl ein Freigabesignal
auftritt, wodurch die Abgabe eines Ausgangssignals durch das Koinzidenzglied K1
unterbunden und damit die Blockierung aufgehoben wird.
-
Wenn der Adressenbewerter AB der erfindungsgemäßen Einrichtung eine
im Adressenregister AR befindliche Adresse als ru Einem teilweise zu schützenden
Bereich gehörig erkernit, gilt er über seinen Ausgang tz ein Signal ab, das
einem
nichtnegierten Eingang des Koinzidenzgliedes K3 ugeführt wird, das zwei nichtnegierte
und einen negierten Eingang aufweist. Dem zweiten nichtnegierten Eingang sowie dem
negierten Eingang dieses Koinzidenzgliedes werden genau wie beim Koinzidenzglied
Kl das Ausgangssignal des ODER-Gliedes Ol bzw. das am Ausgang aF des Steuerwerkes
St abgegebene Freigabesignal zugeführt.
-
Liegt bei Ansteuerung eines teilweises zu schützenden Speicherbereiches
ein Freigabesignal vor, dann ist die Verknüpfungsbedingung des Koinzidenzgliedes
K3 erfüllt und über dessen Ausgang wird ein Signal abgegeben.
-
Wenn es sich bei der im teilweise geschützten Bereich durchzuführenden
Operation um eine Schreeiboperation handelt, spielen sich folgende Vorgänge ab:
Vor Durchführung der Schreiboperation wird die neu einzuschreibende, Information
über das Koinzidenzglied K6, dessen einem Eingang vom Befehlsausgang AB des Steuerwerkes
ST ein Schreibbefehl und dessem anderen Eingang eJ die Information zugeführt wird,
in ein Less-Schreib-Register LSR eingegeben. Ist nun der Schreibbefehl nicht von
einem Freigabesignal begleitet, dann werden während des dem Schreibvorgang vorangehenden
Lesevorgangs die Bits 1 bis 3 der im lese-Schreib-Register zwischengespeicherten
neuen Information mit der ausgelesenen Information überschrieben, wogegen Bit.4
der neuen Information unverändert in Lese-Schreib-Register LSR stehen bleibt.
-
Das erwähnte teilweise Überschreiben der im Lese-Schreib-Register
stehenden Information wird dadurch veranlaßt, daß das Koinzidenzglied K3 sein Ausgangssignal
an den einen Eingang des Koinzidenzgliedes K4 weitergibt, dessen zweiten Eingang
von der Speicherablaufsteuerung her ein Abtastimpuls
zugeführt
wird, so daß dieses Koinzidenzglied K4 entsprechend dem Auftreten von Abtastimpulsen
Ausgangs-Impulse abgibt, die über das ODER-lied 02 an den einen Eingang des Koinzidenzgliedes
K5 gelangt. Dem anderen Eingang des Koinzidenzgliedes K5 werden die Lesesignale
der den ersten drei Informationsbits zugeordneten Leseverstärker LV zugeführt. Der
dem vierten Bit zugeordnete Leseverstärker LV gibt seine Signale an den einen Eingang
des Koinzidenzgliedes K8 ab, dessen anderer Eingang mit dem Ausgang des Koinzidenzgliedes
K7 verbunden ist, das nur dann ein Ausgangssignal abgibt, wenn seinen beiden Eingängen
ausser dem vom Steuereingang eS gelieferten Abtastimpuls der Ablaufsteuerung vom
Ausgang aL des Befehlsregisters BE her ein lesebefehl geliefert wird, was in der
augenblicklich betrachteten Situation nicht der Fall ist, da das Befehlsregister
BR voraussetzungsgemäß einen Schreibbefehl enthält. Es werden also sofern -ein Freigabesignal
nicht vorliegt, die Leseverstärker 1 bis 3 abgetastet, womit die ersten drei Bits
der neu.en Information mit den entsprechenden Bits der bisher im Speicher befindlichen
Information überschrieben werden, wogegen da das Koinzidenzglied K8 kein Ausgangssignal
abgibt, das Bit 4 im Lese-Schreib-Register unverändert bleibt.
-
Wenn daher während des nachfolgenden Schreibvorganges der Inhalt des
lese-Schreib-Registers LSR durch entsprechende Steuerung der Inhibitverstärker IVin
den eigentlichen Informationsspeicher eingeschrieben wird, bedeutet dies, daß die
Bits 1 bis 3 der ursprünglichen Information unverändert zurückgeschrieben werden,
Bit 4 jedoch einen der neuen Information entsprechenden Wert annimmt.
-
Wenn dagegen bei Ansteuerung eines teilweises zu schützenden Bereichs
zusammen mit einem Schreibbefehl auch das
Freigabesignal auftritt,
bleiben auch die zunächst im Lese-Schreib-Register LSR zwischengespeicherten Bits
1 bis 3 der neuen Information unverändert, da die Verknüpfungebedingung für das
Koinzidenzglied K3 und damit auch für die Koinzidenzglieder K4 und K nicht erfüllt
sind und dementsprech.end keine Abtastung der ersten drei Leseverstärker LV stattfindet.
Während des Schreibvorganges wird also die gesamte neue Information anstelle der
alten Information in den Informationsspeicher eingegeben, Liegt für einen teilweise
zu schützenden Speicherbereich ein Löschbefehl vor, so wird die Zulässigkeit der
Löschoperation ebenfalls davon abhängig gemacht, ob ein Freigabesignal vorliegt
oder nicht0 Liegt kein Freigabesignal vor, dann gibt das Koinzidenzglied K3 ein
Signal ab, was in der oben beschriebenen Weise zur Abtastung des ersten bis dritten
Leseverstärker LV führt. Das bedeutet, daß beim d-em Löschvorgang vorausgehenden
Lesevorgang die Bits 1 bis 3 in das Lese-Schreib-Register LSR eingegeben werden.
Der vierte Leseverstärker dagegen wird nicht abgetastet, so daß die vierte Stelle
im Lese-Schreib-Register leer bleibt. Ein anschließender Schreibvorgang hat dann
zur Balge, daß auf den Stellen 1 bis 3 des geschützten Bereiches die ursprüngliche
Information wieder eingeschrieben wird, die vierte Stelle hingegen verbleibt in
dem durch das Auslesen bedingten gelöschten Zustand0 Wenn gleichzeitig mit einem
Löschbefehl für einen teilweise zu schützenden Bereich das Freigabesignal geliefert
wird, das Koinzidenzglied K3 also kein Ausgangssignal abgibt, wird keiner der Leseverstärker
LV abgetastet,
so daß das gesamte Lese-Schreib-Register leer bleibt
und dementsprechend bein anschließenden Schreibvorgang auch keine Heucinschreibung
erfolgt, so daß sämtliche 4 Bit der Information in diesem Bereich gelöscht werden.
-
6 Patentansprüche 1 Figur