本技術涉及芯片分區(qū)設計，具體而言，涉及一種基于多塊區(qū)的芯片安全配置方法、裝置及芯片。

背景技術：

1、芯片廣泛應用于各個領域，包括計算機、通信、消費電子、醫(yī)療、物聯(lián)網(wǎng)和工業(yè)控制等。芯片中包括很多安全資源，為了保護芯片中的安全資源（如存儲器的數(shù)據(jù)、程序或者其他安全設備）不被未經(jīng)授權的人員訪問，通常芯片會單獨將部分存儲器或其他安全設備設置為特殊安全資源，這些資源不可被未經(jīng)授權的人員訪問。

2、實際中，不同使用者需要被保護的安全資源需求不同，如果將固定存儲器空間或片內其他安全設備分配為特殊安全資源，不能靈活滿足使用者的需求，并且會造成安全資源空間的浪費。

技術實現(xiàn)思路

1、本技術提供了一種基于多塊區(qū)的芯片安全配置方法、裝置、電子設備和存儲介質，在通過兩個安全分區(qū)對片內安全資源進行靈活配置的基礎上，還能夠通過塊區(qū)鏈接指針選擇每個安全分區(qū)的有效安全屬性配置，不但滿足了用戶的使用需求，且還實現(xiàn)了對安全模式的靈活配置，極大提高了片內安全資源的利用率。

2、第一方面，本技術實施例提供了一種基于多塊區(qū)的芯片安全配置方法，應用于雙碼分區(qū)安全裝置，所述雙碼分區(qū)安全裝置包括雙碼安全控制器、一次性可編程otp、主核處理器和片內安全資源；所述otp、所述主核處理器和所述片內安全資源分別與所述雙碼安全控制器通信連接；所述芯片包括兩個安全分區(qū)且每個安全分區(qū)分別對應有一專用安全otp；所述方法包括：

3、通過所述專用安全otp為對應的安全分區(qū)分配所述片內安全資源，得到每個安全分區(qū)中針對片內安全資源的安全配置屬性；其中，不同安全分區(qū)分配的片內安全資源不同，每個安全分區(qū)的安全配置屬性存儲在該安全分區(qū)的專用安全otp中；每一專用安全otp中均包括多個塊區(qū)，每一塊區(qū)存儲有一片內安全資源的安全配置屬性；每個安全分區(qū)的專用安全otp中還包括該安全分區(qū)專屬的塊區(qū)鏈接指針；

4、通過配置每個安全分區(qū)的塊區(qū)鏈接指針，從對應安全分區(qū)的多個塊區(qū)中選擇有效塊區(qū)，并通過所述有效塊區(qū)確定有效安全配置屬性；

5、通過每個專用安全otp將其對應安全分區(qū)的有效安全配置屬性加載到雙碼安全控制器，并通過所述雙碼安全控制器及其加載的各個安全分區(qū)的有效安全配置屬性，為所述片內安全資源和所述主核處理器分別提供對應的安全配置信息，并基于所述安全配置信息控制所述芯片運行。

6、在一種可能的實施方式中，所述片內安全資源包括片內主機、片內從機和存儲器，所述存儲器預先被劃分為多個存儲器空間；

7、所述安全配置屬性至少包括分區(qū)密碼、所述片內安全資源的分區(qū)屬性和針對存儲器中存儲器空間的僅執(zhí)行保護功能配置；其中，當任一存儲器空間使能僅執(zhí)行保護功能配置時，該存儲器空間內的數(shù)據(jù)不允許被讀寫，但該存儲器空間內的數(shù)據(jù)允許被指定安全代碼程序讀寫；所述指定安全代碼程序為該存儲器空間所在安全分區(qū)預先配置好的且存儲在該安全分區(qū)的只讀存儲器rom中的代碼程序。

8、在一種可能的實施方式中，當所述片內安全資源被分配至任一安全分區(qū)時，所述片內安全資源基于該安全分區(qū)的分區(qū)密碼被加密；

9、所述芯片還用于與調試器連接，并通過所述調試器對所述芯片進行調試；所述安全分區(qū)中加密的片內安全資源被配置為按照指定安全訪問配置進行讀取訪問：當所述芯片與所述調試器連接時，若未對所述安全分區(qū)中加密的片內安全資源進行半解密，則不允許進行該安全分區(qū)中片內安全資源中的數(shù)據(jù)訪問和取指訪問，且中斷所述調試器對所述芯片的調試連接。

10、在一種可能的實施方式中，每個安全分區(qū)中的分區(qū)密碼還包括半解密密碼；所述方法還包括：

11、通過每個安全分區(qū)的半解密密碼對該安全分區(qū)進行半解密；其中，在半解密后，每個安全分區(qū)中加密的片內安全資源被配置為按照指定安全訪問配置進行讀取訪問：每個安全分區(qū)中加密的片內安全資源的指定安全訪問配置和不連接調試器時的加密狀態(tài)相同；

12、同時，在半解密后，所述調試器對所述安全分區(qū)內加密的片內從機或存儲器空間的讀寫無效，并在未觸發(fā)安全保護條件下，保持所述調試器對所述芯片的調試連接；當檢測到觸發(fā)安全保護條件后，中斷所述調試器對所述芯片的調試連接；其中，觸發(fā)安全保護條件至少包括：運行在安全分區(qū)中的程序停核。

13、在一種可能的實施方式中，通過所述雙碼安全控制器及其加載的各個安全分區(qū)的有效安全配置屬性，為所述片內安全資源和所述主核處理器分別提供對應的安全配置信息，包括：

14、通過所述雙碼安全控制器基于其加載的每個安全分區(qū)的安全配置屬性，生成針對所述片內安全資源和所述主核處理器各自對應的安全配置信息并分別發(fā)送給所述片內安全資源和所述主核處理器；

15、其中，所述主核處理器和所述片內主機的安全配置信息包括：每個片內從機和片內存儲器空間的安全分區(qū)信息，每個片內從機和片內存儲器空間的分區(qū)信息由兩比特構成；

16、所述存儲器的安全配置信息包括：每一存儲器空間的安全分區(qū)信息及僅執(zhí)行保護功能屬性使能信息；每一存儲器空間的安全分區(qū)信息及僅執(zhí)行保護功能屬性使能信息由三比特組成；

17、所述片內從機的安全配置信息包括所述片內從機的安全分區(qū)信息，該片內從機的安全分區(qū)信息由兩比特組成。

18、在一種可能的實施方式中，所述通過配置每個安全分區(qū)的塊區(qū)鏈接指針，從對應安全分區(qū)的多個塊區(qū)中選擇有效塊區(qū)，并通過所述有效塊區(qū)確定有效安全配置屬性，包括：

19、在所述雙碼安全控制器中配置每個安全分區(qū)的塊區(qū)鏈接指針分別與該安全分區(qū)中多個塊區(qū)的映射關系；其中，所述專用安全otp中每一組otp映射地址對應一塊區(qū)，每一塊區(qū)存儲有一片內安全資源的安全配置屬性；

20、通過配置每個安全分區(qū)的塊區(qū)鏈接指針，并結合所述映射關系從該安全分區(qū)的多個塊區(qū)中確定有效塊區(qū)，并通過所述有效塊區(qū)確定有效安全配置屬性。

21、在一種可能的實施方式中，每個專用安全otp包括多個塊區(qū)鏈接指針，所述多個塊區(qū)鏈接指針對應多個值，所述多個值采用逐位表決的邏輯形成硬件解析指針的最終值，并通過所述最終值結合所述映射關系確定有效塊區(qū)；其中，當所述多個塊區(qū)鏈接指針的值不同時通過狀態(tài)寄存器中進行錯誤狀態(tài)提示。

22、在一種可能的實施方式中，基于所述專用安全otp在默認狀態(tài)下為全1的特征以及對應安全分區(qū)中的塊區(qū)數(shù)量，定義塊區(qū)鏈接指針的比特數(shù)并通過所述塊區(qū)鏈接指針中最高0位的位置從多個塊區(qū)中指定有效塊區(qū)。

23、在一種可能的實施方式中，所述雙碼安全控制器與所述專用安全otp采用私有總線連接，用于在不可見條件下，完成所述專用安全otp向所述雙碼安全控制器的數(shù)據(jù)加載。

24、在一種可能的實施方式中，所述方法還包括：

25、為所述雙碼安全控制器配置預設加載機制，以使所述雙碼安全控制器基于所述預設加載機制加載所述片內安全資源和所述主核處理器中的安全配置信息，并在加載完成后，基于所述安全配置信息控制所述芯片運行；所述預設加載機制中包括各區(qū)域的加載順序和對應的處理方式；

26、其中，在芯片上電后，按照預設加載機制中各區(qū)域的加載順序進行加載且加載完成信號為無效狀態(tài)，當上一區(qū)域加載數(shù)據(jù)完成指示信號有效時，根據(jù)所述專用安全otp的私有總線加載地址和本區(qū)域的地址，來確定本數(shù)據(jù)加載是否完成；對于第一個加載地址加載第一安全分區(qū)的第一塊區(qū)鏈接指針，上一區(qū)域加載數(shù)據(jù)完成指示信號始終為有效狀態(tài)；其中，塊區(qū)加載相比公共區(qū)加載多了一組有效地址選擇邏輯。

27、在一種可能的實施方式中，所述方法還包括：

28、通過所述雙碼安全控制器重新設置所述塊區(qū)鏈接指針，以將所述有效塊區(qū)切換為新有效塊區(qū)，并使所述雙碼安全控制器基于安全加載機制加載所述片內安全資源和所述主核處理器中的安全配置信息；

29、所述雙碼安全控制器硬件在實現(xiàn)時，在完成安全加載流程的最后一步時，同步加載所述安全配置信息中的指定配置信息；所述指定配置信息包括：兩個安全分區(qū)各自的密碼可見配置、兩個安全分區(qū)各自的其他安全配置，兩個安全分區(qū)各自的僅執(zhí)行配置和兩個安全分區(qū)各自的分區(qū)屬性。

30、在一種可能的實施方式中，其中，在每個安全分區(qū)的專用安全otp中燒寫每個安全分區(qū)的安全配置屬性，且每個專用安全otp在燒寫之前基于對應安全分區(qū)的分區(qū)密碼進行解密處理。

31、在一種可能的實施方式中，通過所述雙碼安全控制器采用如下方式對所述安全分區(qū)進行解密：

32、針對每一安全分區(qū)，通過所述雙碼安全控制器基于其連接該安全分區(qū)的專用安全otp的私有總線加載該安全分區(qū)的多個塊區(qū)鏈接指針；

33、通過所述雙碼安全控制器基于所述多個塊區(qū)鏈接指針計算出該安全分區(qū)的有效塊區(qū)；

34、通過所述雙碼安全控制器基于所述私有總線加載該安全分區(qū)的分區(qū)密碼；

35、通過向所述雙碼安全控制器內的解密寄存器寫解密密碼；

36、判斷所述解密寄存器的解密密碼與該安全分區(qū)的分區(qū)密碼是否相同；若相同則完成解密；若不同，返回向雙碼安全控制器寫解密密碼的步驟，直至完成解密或者退出解密功能；

37、其中，全解密的分區(qū)密碼為128位；所述半解密密碼是所述分區(qū)密碼的一部分為64位。

38、第二方面，本技術實施例還提供了一種基于多塊區(qū)的芯片安全配置裝置，包括雙碼安全控制器、一次性可編程otp、主核處理器和片內安全資源；所述otp、所述主核處理器和所述片內安全資源分別與所述雙碼安全控制器通信連接；

39、所述雙碼分區(qū)安全裝置用于執(zhí)行第一方面任一項所述的基于多塊區(qū)的芯片安全配置方法。

40、第三方面，本技術實施例還提供了一種芯片，包括雙碼分區(qū)安全裝置，所述雙碼分區(qū)安全裝置包括雙碼安全控制器、一次性可編程otp、主核處理器和片內安全資源；所述otp、所述主核處理器和所述片內安全資源分別與所述雙碼安全控制器通信連接；所述芯片包括兩個安全分區(qū)且每個安全分區(qū)分別對應有一專用安全otp；所述芯片通過所述雙碼分區(qū)安全裝置執(zhí)行第一方面任一項所述的基于多塊區(qū)的芯片安全配置方法。

41、本技術實施例提供上述基于多塊區(qū)的芯片安全配置方法、裝置及芯片，該方法包括：芯片包括兩個安全分區(qū)且每個安全分區(qū)分別對應有一專用安全otp，通過專用安全otp為對應的安全分區(qū)分配片內安全資源，得到每個安全分區(qū)的安全配置屬性；由于每個安全分區(qū)的專用安全otp中配置有專屬的塊區(qū)鏈接指針，進而通過每個安全分區(qū)的塊區(qū)鏈接指針能夠從對應安全分區(qū)多個塊區(qū)中確定有效塊區(qū)，并通過所述有效塊區(qū)確定有效安全配置屬性；然后，通過每個專用安全otp將其對應安全分區(qū)的有效安全配置屬性加載到雙碼安全控制器，并通過所述雙碼安全控制器及其加載的各個安全分區(qū)的有效安全配置屬性，為所述片內安全資源和所述主核處理器分別提供對應的安全配置信息，并基于所述安全配置信息控制所述芯片運行，通過這種方式，在通過兩個安全分區(qū)對片內安全資源進行靈活配置的基礎上，還能夠通過塊區(qū)鏈接指針選擇每個安全分區(qū)的有效安全屬性配置，不但滿足了用戶的使用需求，且還實現(xiàn)了對安全模式的靈活配置，極大提高了片內安全資源的利用率。