DE2721599A1

DE2721599A1 - Verfahren und geraet zur verhinderung der ausgabe von fehlerhaften daten in digitalen datenverarbeitungseinrichtungen

Info

Publication number: DE2721599A1
Application number: DE19772721599
Authority: DE
Inventors: Howard Arthur Koehler; Jerry Hudson Pertl
Original assignee: Sperry Rand Corp
Current assignee: Sperry Corp
Priority date: 1976-05-17
Filing date: 1977-05-13
Publication date: 1977-11-24
Also published as: JPS5310942A; DE2721599C2; JPS57536B2; US4128874A

Description

D-8023 Munchen-PuHach. Wiener SU 2, Tel (0891/93 00 71 Tclnx 521214? uros J Cables Paientibus-München

Ihr Zeichen Tag

Your ret ERA-2462 Date 12. Mai 1977

SPERRY RAND CORPORATION, 1290 Avenue of the Americas, New York, New York, 10010, U.S.A.

Verfahren und Gerät zur Verhinderung der Ausgabe von fehlerhaften Daten in digitalen Datenverarbeitungseinrichtungen.

Bei sicherheitsbewußten Digitaldaten-Verarbeitungseinrichtungen müssen Maßnahmen getroffen werden, um sicher zu stellen, daß empfindliche oder geheimzuhaltende Daten keinem Zugriff zugänglich gemacht oder übertragen werden, wenn nicht eine spezifische Autorisierung vorliegt. Eines der Probleme bei der Konstruktion derartiger Einrichtungen besteht in der Möglichkeit eines hardware-Fehlers in dem digitalen Rechner, welchem die Verantwortlichkeit erteilt ist, um die Sicherheit der geheimen Daten zu erhalten. Beispielsweise kann in einem digitalen Rechner, dessen Ausgangsgröße durch ein Puffer-Steuerwort gesteuert wird, welches nicht nur die Startadresse der zu übertragenden Daten spezifiziert, sondern auch die Zahl

7Q9HA7/ 1084

der zu übertragenden Worte, kann ein Fehler in der Ladung der Zahl der Worte, die übertragen werden sollen, dazu führen, daß mehr Datenworte ausgegeben werden als dies durch die software vorgeschrieben wurde. Diese nicht erwünschte Situation, die durch hardware-Fehler verursacht wird, kann zur Bekanntgabe von geheimen Daten führen.

ist, Wenn jedoch die software dazu erforderlich/ um ein bestimmtes Codemuster in die zu übertragenden Datenworte einzuschieben und wenn die digitale Rechner-hardware eine Überprüfung des bestimmten Codemusters durchführt, bevor die Möglichkeit einer Ausgabe gegeben wird, so werden die Wahrscheinlichkeit einer

fehlerhaften Ausgabe -von geheimen Daten stark vermindert.

Bei dem zuvor gegebenen Beispiel führt ein Fehler in der Ladung der puffer-gesteuerten Wortzählung, der eine versuchte Übertragung einer größeren Anzahl von Datenworten als beabsichtigt bewirkt, nicht zu einer fehlerhaften Übertragung, wenn die Schlüssel-bits in den geheimen Datenworten nicht auf j den bestimmten Codewert passen, da das hardware-Vergleichsgerät ;die Fehlanpassung feststellen würde, die fehlerhafte Ausgabe verhindern würde und den zentralen Prozessor unterrichten würde, daß ein Fehler aufgetreten ist.

Die Erfindung schafft ein Verfahren und ein Gerät, um einen j Schutz gegen eine fehlerhafte Übertragung eines Ausgangswortes ! einer digitalen Vorrichtung zu erreichen. Dies wird durch Einführen einer Einrichtung erreicht, um einen vorbestimmten !Sperrwert— (lock value) mit einem Schlüsselfeld des Ausgangswortes zu vergleichen, wobei die Vergleichseinrichtung die Fähigkeit besitzt, entweder einen ersten oder zweiten Zustand anzuzeigen, was von dem Vergleich des Blockierwertes mit dem Schlüsselfeld abhängig ist; weiterhin ist eine Einrichtung zur Übertragung eines Datenabschnitts des Ausgangswortes von der digitalen Vorrichtung vorgesehen und eine Einrichtung, um die Übertragung des digitalen Abschnitts des Ausgangswortes zu ver-

709847/108/;

hindern, wenn die Vergleichseinrichtung die erste Bedingung anzeigt, jedoch die Übertragung nicht zu verhindern, wenn die Vergleichseinrichtung den zweiten Zustand oder Bedingung anzeigt.

Im folgenden wird die Erfindung anhand von Ausführungsbeispielen unter Hinweis auf die Zeichnungen näher erläutert. Es zeigen:

Fig. 1 eine schematische Darstellung eines Abschnitts des digitalen Datenrechnerspeichers, welche den Ursprung des Datenwortes veranschaulicht, welches in einen digi- j talen Datenrechner ausgegeben werden soll, der nicht i Gegenstand der Erfindung ist; j

Fig. 2 eine schematische Darstellung eines Abschnitts des j

Digitaldaten-Rechnerspeichers, welche den Ursprung ;

des Datenwortes veranschaulicht, welches im Einklang j

mit dem Gegenstand der Erfindung ist; j

Fig. 3 eine schematisehe Darstellung des Ausgangsabschnitts eines digitalen Datenrechners, der nicht den Gegenstand der Erfindung beinhaltet; !

Fig. k ein Ausgangsdatenabschnitt des gleichen digitalen Datenrechners, um eine schematische Darstellung oder Wiedergabe des Erfindungsgegenstandes und dessen Zusammenhang mit dem digitalen Rechner zu zeigen.

Fig. 5 eine Darstellung der Zeitfolge zweier Zeitsteuerimpulse, die beim Gegenstand der Erfindung verwendet werden; und

! Fig. 6 ein schematisches Flußdiagramm des Verfahrens zur Durch- !

führung bzw. Realisierung der Erfindung. i

709847/1084 I

Um spezifische Daten in einem sicherheitsbewußten Digitaldatenrechner zu schützen, werden nach der Erfindung Maßnahmen getroffen, um ein hardware-Gerät einzubauen bzw. zu realisieren, um die Richtigkeit der Ausgabe jedes Datenwortes zu überprüfen, bevor dieses Datenwort auf die Ausgangsdatenleitungen des digitalen Datenrechners gesendet wird. Einem Abschnitt des auszugebenden Wortes ist ein Schlüsselabschnitt zugewiesen oder zugeordnet, der unabhängig von dem Rest des auszugebenden Wortes ist, welches aus Daten-bits besteht. Dieser Schlüsselabschnitt kann dann gegenüber einer vorbestimmten hardware-Sperre überprüft werden. Wenn der durch den Schlusselabschnitt des auszugebenden Wortes spezifizierte Wert und der j in der hardware-Sperre spezifizierte Wert übereinstimmen oder j zueinander pass-en, kann der Ausgabeabschnitt des digitalen i Datenrechners fortfahren, den Datenabschnitt des auszugebenden j Wortes auf die Ausgangsleitungen des digitalen Datenrechners zu übertragen. Wenn jedoch der Schlüssel und die Sperre nicht ; übereinstimmen, kann der Datenabschnitt des auszugebenden j Wortes nicht auf die Ausgangsleitungen des digitalen Daten- j rechners gesendet werden und der zentrale Prozessorabschnitt , des Rechners wird über eine Unterbrechung gewarnt. Die software des digitalen Datenrechners kann kontrollieren, welche Datenworte für die Ausgabe verfügbar sind, und zwar durch Kontrollieren des Wertes des Schlüsselabschnitts jedes Wortes in dem Rechnerspeicher oder in so vielen geheimen Worten, wie dies gewünscht wird. Da der Wert der hardware-Sperre vorbestimmt wurde, kann der Programmierer über die Software entweder den Wert des Schlüsselabschnitts der Datenworte auf den Sperrwert einstellen oder nicht, was davon abhängt, ob der

Programmierer zulassen will, ob diese

Daten aus dem Rechner als Ausgangsdatenwort für die Übertragung verfügbar sein sollen oder nicht.

Fig. 1 veranschaulicht ein typisches bekanntes Ausgangsdatenwort, wie dies in dem digitalen Datenrechnerspeicher vor der

709847/1084

Einleitung der Ausgabe bzw. Übertragung vorhanden ist. Diese schematische Darstellung zeigt, daß ein Abschnitt des Speichere 10 des digitalen Datenrechners die Zahl der Wortein vertikaler Richtung von der Adresse Null bis zur Adresse m und die Zahl der Daten-bits in horizontaler Richtung zeigt, wobei in jedem Wort η bits vorhanden sind. Zu Veranschaulichung sei angenommen, daß das Wort an der Speicheradresse 1 ein bestimmtes Wort ist, welches von dem Rechner übertragen werden soll. Dieses Ausgangswort 12 nach dem Stand der Technik besteht lediglich aus Daten, d. h. alle η-bits des Wortes 12 umfassen Informationen oder Daten, die -von dem Rechner übertragen werden sollen. Im Gegensatz hierzu steht das Ausgangswort 16 in Fig. 2, welches zeigt, daß das Wort in zwei Felder aufgeteilt wurde. Das erste Feld, welches als "Schlüsselfeld" 18 bezeichnet ist,

enthält einen Schlüsselwert, der von der hardware-Vergleichs- j stufe verarbeitet wird, wie dies im folgenden noch näher er- ! läutert werden soll. Das zweite Feld, welches als "Datenfeld" 20 bezeichnet ist, besteht aus den verbleibenden Daten-bits in dem Ausgabewort 16. Der Datenabschnitt 20 des Ausgabewortes 16, und nur der Datenabschnitt 20, wird als Information bzw. Daten in der Ausgabe bzw. Übertragung vom Rechner verwendet, sollte dies der Schlüsselabschnitt 18 in dem Ausgabewort 16 zulassen.

Das Schlüsselfeld 18 des Ausgangswortes kann irgendeine Form oder Gestalt haben, vermindert um η-bits, der Gesamtzahl der bits in dem Ausgangswort 16. Das Schlüsselfeld 18 enthält x-

der ist,
bits. Je größer /Wert für x/ d. h. je größer die Zahl der in dem Schlüsselabschnitt 18 des Ausgangswortes 16 verwendeten

desto
bits, / weniger bits verbleiben für die Verwendung in dem ι

Datenabschnitt 20 des Ausgangswortes 16. Je größer der Wert von^!

χ ist, der in dem Schlüsselabschnitt 18 des Ausgangswortes 16 !

desto
verwendet wird, / geringer ist die Wahrscheinlichkeit, daß !

eine zufällige Übereinstimmung des Schlüsselabschnitts 18 mit ^? dem vorbestimmten Sperrwert für den Fall eines hardware-Fehlers j auftritt. Je größer jedoch der Wert von χ ist desto weniger j bits, d. h. η - χ bits verbleiben für die die Informationen

709847/1084

tragenden Datenbits für den Datenabschnitt des Ausgabewortes 16. Es besteht somit ein Kompromiss, der auf den Eigenschaften der Anforderungen der digitalen Datenverarbeitungseinrichtung basiert.

Es wurde somit das Ausgabewort definiert und in ein Schlüsselfeld 18 und in ein Datenfeld 20 aufgeteilt, so daß nunmehr auf das bestimmte Hardware-Gerät eingegangen werden kann, welches die Anpassung oder Vergleichsfunktion nach der vorliegenden Erfindung durchführen muß, und um zu zeigen, auf welche Weise die Trennung oder Aufteilung des Ausgangswortes 16 in das Schlüsselfeld 18 und in ein Datenfeld 20 damit zusammen arbeitet.

Fig. 3 zeigt in schematischer Form den Ausgangsdatenabschnitt eines typischen digital-en Rechners nach dem Stand der Technik. In dieser Figur ist eine Ausgangsdaten-Hauptleitung 22 zu sehen, durch die die Daten hindurchgelangen müssen, bevor sie von dem.Computer ausgegeben werden. Das Kanalausgaberegister wird direkt von der Ausgangsdatenhauptleitung 22 geladen, und zwar nach Auftreten eines Ladekanal-Ausgangsregisterbefehls auf der Leitung 26. Die in dem Kanalausgangsregister 24 enthaltenen Daten stellen die Daten dar, die von dem Computer übertragen werden sollen. Diese Daten wandern über das Ausgangskabel 28 zu den Ausgangsleitungs-Treiberstufen des digitalen Rechners (nicht gezeigt) oder zu anderen Mechanismen, um letztlich aus dem Computer herauszugelangen. Diese Darstellung ist eine einfache schematisehe Darstellung, um zu zeigen, auf welche Weise ein digitaler Rechner seine Ausgangsdatenworte ausgeben kann. Ein solches Rechnersystem nach dem Stand der Technik, ist hier zur Veranschaulichung gezeigt und um klarzumachen, in welcher Einrichtung der Gegenstand der Erfindung realisiert werden kann., Natürlich sind auch irgendwelche anderen Ausgangsdaten-Schemata j in Betracht gezogen und aus der folgenden Erläuterung und Be- j Schreibung kann der Fachmann lernen, den Gegenstand der Erfin- j

709847/1084

dung in Ausgangsdatenmechanismen zu realisieren oder in anderer oder ähnlichen digitalen Rechnern zu realisieren.

Pig. 4 zeigt eine schematische Darstellung des gleichen Ausgangsabschnitts des gleichen digitalen Datenrechners von Fig.3 In Fig. 4 ist Jedoch das Gerät enthalten, welches den Gegenstand der Erfindung beinhaltet und ist schematisch veranschaulicht. Es ist die gleiche Ausgangsdatenhauptleitung 22 gezeigt, welche das Kanalausgangsregister 24 mit Hilfe eines Lade-Kanalausgangsregistersignals aus der Leitung 26 lädt.

Im Laufe des Datenausgabeprozesses des digitalen Rechners wird das auszugebende Wort in das Kanalausgaberegister 24 geladen. Das Ausgabewort besteht natürlich, wie bereits erwähnt wurde, aus einem Schlüsselfeld und einem Datenfeld. Dies ist in dem Kanalausgaberegister 24 durch strichlierte Linie angedeutet, wobei das Schlüsselfeld 30 auf der linken Seite von | der strichlierten Linie vorhanden ist und das Datenfeld 32

auf der rechten Seite von der strichlierten Linie. j

In Fig. 4 wird anstatt einer Verbindung des gesamten Abschnitts! des Kanalausgaberegisters 24 mit den Ausgangsleitungstreiberstufen des digitalen Datenrechners, wie dies bei dem bekannten System nach Fig. 3 gezeigt ist, jedoch nur der Datenabschnitt 32 des Kanalausgaberegisters 24 über den Datenpfad 28 übertragen. Anstatt einer direkten Kopplung mit den Ausgangsleitungs-Treiberstufen (nicht gezeigt) des digitalen Datenrechners, sind die Daten statt dessen mit dem Eingang eines anderen Datenregisters 34 gekoppelt. Der verbleibende Abschnitt des Kanalausgaberegisters 24, d. h. das Schlüsselfeld 30 umfaßt eine parallele Eingangsgröße einer Vergleichsstufe 36. Die andere Eingangsgröße der Vergleichsstufe 36 kommt von dem hardware-Sperre-Netzwerk 38. Dieses hardware-Sperre-Netzwerk 38 kann verschiedene Formen haben inklusive die eines Registers, die einfachste Form und die bevorzugte Form besteht Jedoch einfach aus einer Serie von hartverdrahteten, hohen und nied-

709847/1084

rigen binären Signalen für jedes der x-bits in den Sperr-Werten. Dies kann dadurch erreicht werden, indem man einfach Jede Leitung, die ein hohes Signal bzw. spannungsmäßig hochliegendes Signal führen soll, über ein Widerstandselement mit einer positiven Spannung verbindet oder indem man im Gegensatz hierzu jede Lei-tung, die ein spannungsmäßig niedrigliegendes Signal führen soll, direkt mit Masse oder Erde verbindet. Die Vergleichsstufe 36 kann aus irgendeiner integrierten Schaltung, mittlerer Packungdichte bzw. Integration, Vergleichsschaltungen, die in großer Vielfalt auf dem Markt erhältlich sind, bestehen. Ein Beispiel einer solchen Schaltung ist die integrierte Schaltung Modell Nr. 9324 von Fairchild. Die Vergleichsstufe 36 vergleicht das Schlüsselfeld 30 des Wortes in dem Kanalausgaberegister 24 mit dem Sperrwert 38 und bestimmt bzw. stellt fest, ob eine Übereinstimmung vorhanden ist. Wenn eine Übereinstimmung vorhanden ist, so ist die Ausgangsgröße der Vergleichsstufe auf der Leitung 20 spannungsmäßig hoch. Diese Information auf der Leitung 40 stellt eine der Eingangsgrößen zu einem NAND-Glied 42 zusammen mit dem Zeitsteuersignal 44 und einem diskreten Freigabesignal 46 dar. Das Vorhandensein eines spannungsmäßig hochliegenden Signals auf jeder dieser Signalleitungen 40, und 46 bewirkt, daß die Signalleitung 48, der Ausgang des NAND-Gliedes 42 spannungsmäßig abfallen und daß die Beladung des Datenausgaberegisters 34 mit dem Datenabschnitt 32 der in dem Kanalausgaberegister 24 enthaltenen Informationen erfolgen kann. Befinden sich die Dateninformationen in dem Datenausgaberegister 34, so sind die Daten für eine Übertragung von dem Computer zu den Ausgangsleitungs-Treiberstufen des digitalen Datenrechners verfügbar, und zwar über die Verbindungsleitungen 50. Sollte jedoch die Vergleichsschaltung anzeigen, daß eine Fehlanpassung oder Nichtübereinstimmung zwischen dem Schlüsselabschnitt 30 und dem Sperrwert 38 existiert, so liegt die Ausgangsgröße 40 der Vergleichsstufe 36 spannungsmäßig niedrig, wodurch das NAND-Glied 42 außer

709847/1084

Bereitschaft gesetzt wird und ein spannungsmäßig hohes Signal auf der Leitung 48 erscheint und eine Beladung des Datenabschnitts 32 in das Datenausgaberegister 34 verhindert wird.

Die diskrete Freigabeleitung 46 steht als Eingang zum NAND-Glied 42 lediglich für den Zweck zur Verfügung, die Ergebnisse der Vergleichsfunktion zu sperren und in absoluter Weise die Beladung des Datenausgaberegisters 34 zu verhindern und dadurch Jegliche Datenausgabeübertragung zu verhindern. Die diskrete Freigabeleitung 46 hat ihren Ursprung im zentralen Prozessor (nicht gezeigt) und kann gesetzt oder gelöscht werden, wie dies von der software vorgeschrieben wird. Das Zeitsteuersignal 44 stellt lediglich ein Mittel dar, um die Torsteuerung der Daten in das Datenausgaberegister 34 zu einem Zeitpunkt freizugeben, wenn die Daten in dem Kanalausgaberegister 34 verfügbar sind, jedoch ausreichend nach der j Beladung des Ausgabekanalregisters 34, so daß eine richtige ! Vergleichsfunktion erhalten werden/cann. Eine Beziehung der i Zeitsteuerimpulse "EO" und "EO Verzögert" kann aus Fig. 5 j hergeleitet werden. Hieraus läßt sich erkennen, und zwar mit j zunehmender Zeit von links nach rechts in diesem Diagramm, j daß "EO", das ist das Ladekanalausgangsregistersignal auf der : Leitung 26, zeitlich frührer auftritt als "EO Verzögert", d. h.' das Zeitsteuersignal 44. Der Zeitpunkt, von welchem die "E0^M- j Signalleitung 26 außer Bereitschaft gesetzt wird, bis das j "EO Verzögerf-Signal auf der Leitung 44 in Bereitschaft ge- j setzt ist, ist die minimale Zeit, die für den Vergleich und : weitere Schaltungsverzögerungen, inklusive Datenstabilisations-j zeit, erforderlich ist, die jedoch nicht so lang ist, daß die j in dem Kanalausgaberegister 24 enthaltenen Informationen un- ! gültig werden könnten. Die Beziehung der ZeitSteuerimpulse ^! in Fig. 5 ist daher lediglich relativ beispielhaft. \

Die Ausgangsgröße 40 der Vergleichsstufe 36, das diskrete '. Freigabesignal auf der Leitung 46 und das Zeitsteuersignal auf j der Leitung 44 werden ebenfalls in anderer Kapazität des Ge- ■

709847/1084

rates in Fig. 4 verwendet. Zunächst ist die Ausgangsgröße 40
der Vergleichsstufe 36 und das diskrete Freigabesignal auf
der Leitung 46 ein normalerweise spannungsmäßig niedrigliegendes Eingangssignal zu dem NAND-Glied 52, die als Niedrigpegel logische ODER-Schaltung verwendet wird. Wenn daher, wie
bereits erwähnt wurde, die Vergleichsstufe feststellt, daß
eine Fehlanpassung existiert, so liegt die Ausgangsgröße 40
der Vergleichstufe 36 auf einem niedrigen Pegel, wodurch die
Niedrigpegel-ODER-Schaltung 52 in Bereitschaft gesetzt wird
und ein hohes Signal an deren Ausgang 54 erzeugt wird. Ähnlich wird immer dann, wenn das diskrete Freigabesignal auf der
Leitung 46 spannungsmäßig niedrig liegt und eine Übertragung
von Daten auf den Computer durch Sperren des NAND-Gleides 42
verhindert wird, die Niedrigpegel-ODER-Schaltung 52 ebenfalls j aktiviert und es erscheint ein spannungsmäßig hochliegendes j Signal an deren Ausgang 54. Zusammen mit dem Zeitsteuersignal
auf der Leitung 44 gelangt die Ausgangsgröße 54 der Niedrig- j pegel-ODER-Schaltung 52 als Einganggröße zu einem anderen ! NAND-Glied 56. Stehen an beiden Eingängen spannungsmäßig hoch- ! liegende Signale an, so wird die NAND-Schaltung 56 aktiviert j und bewirkt eine Unterbrechung auf der Signalleitung 58, die j dann zum zentralen Prozessor (nicht gezeigt) gesendet wird, j um von der software weiter verarbeitet zu werden. Wenn jedoch ! anstatt dessen die diskrete Freigabeleitung 56 spannungsmäßig _{ hoch liegt, wodurch eine potentielle DatenausgabeUbertragung J auftreten kann und eine Übereinstimmung bzw. Anpassung zwischen dem Schlüsselwert 30 und dem Sperrwert 38 aufgetreten ist,
liegt die Ausgangsgröße 40 der Vergleichstufe 36 spannungs- j mäßig hoch oder beide Eingangsgrößen zu der Niedrigpegel- ι ODER-Schaltung 52 liegen spannungsmäßig hoch, so daß ein j niedriges Signal auf der Signalleitung 54 erscheint und da- j durch das NAND-Glied 56 außer Bereitschaft gesetzt wird, das j Signal auf der Signalleitung 58 spannungsmäßig hoch liegt und | die Sendung oder Übertragung eines Unterbrechungssignals zum j zentralen Prozessor unterbunden wird. !

709847/1084

Aus der vorangegangenen Beschreibung läßt sich somit erkennen,j

daß dann, wenn der Schlüsselwert 30 und der Sperrwert 38 J

übereinstimmend bzw. aneinander angepaßt sind, das Unter- j

brechungssignal zum zentralen Prozessor unterbunden bzw. j außer Bereitschaft gesetzt wird und die Möglichkeit ge- j schaffen wird, daß die Daten in das Datenausgaberegister 34 j übertragen werden können und weiter über die Datenleitungen ! 50 vom Rechner aus übertragen werden können. Es läßt sich j auch erkennen, daß dann, wenn eine Fehlanpassung bzw. Nicht- , Übereinstimmung zwischen dem Schlüsselwert 30 und dem Sperr- ^! wert 38 auftritt, diese Daten nicht die Möglichkeit erhalten, ■ von den Kanalausgaberegister 24 zum Datenausgaberegister 34 i übertragen zu werden, so daß also die Daten daran gehindert ' werden, über die Leitungen 50 vom Rechner übertragen zu ; werden. Wenn weiter eine Fehlanpassung bzw. Nichtübereinstimmung auftritt, so wird eine Unterbrechung bzw. Unter- i brechungssignal erzeugt und es wird der zentrale Prozessor
gewarnt, daß ein hardware-Fehler aufgetreten ist.

Die diskrete Freigabeleitung 46 steht für viele Zwecke zur j Verfügung, inklusive eines Tests der richtigen Betriebsweise

der Schaltungsanordnung, die bei der vorliegenden Erfindung I

verwendet wird. Indem man also die diskrete Freigabeleitung ! spannungsmäßig hochlegt, wird der normale Betrieb und die

Funktion der Schaltungsanordnung nack, der Erfindung ermög- ! licht. Wenn jedoch die diskrete Freigabeleitung 46 auf einen
spannungsmäßig niedrigliegenden Zustand eingestellt wird, so
wird die normale Vergleichsfunktion verhindert und es wird
eine Unterbrechung bzw. Unterbrechungssignal erzeugt, welches
zum zentralen Prozessor gesendet wird, und zwar immer dann,

wenn das Zeitsteuersignal 44 auftritt. i

Das Verfahren zur Durchführung der zuvor erläuterten Funktion ■ kann besser unter Hinweis auf das Flußdiagramm von Fig. 6

verstanden werden, beginnt man mit dem Block 70 und fährt man i

dann zum block 72 weiter, so besteht die erste Operation ]

709847/1084

darin, das Ausgabewort aus dem Speicher des digitalen Rechners
wiederzufinden. Dies erfolgt in einer herkömmlichen Weise,
während des normalen Datenausgabeprozesses des digitalen
Rechners. Bevor jedoch das Ausgabewort die Möglichkeit erhält, auf die Datenausgangsleitungen des Rechners übertragen
zu werden, wird zuerst gemäß dem Block 74 das Schlüsselfeld
des Ausgabewortes abgestreift. Dann wird in dem Block 76 das j Schlüsselfeld dieses Ausgabewortes mit dem durch die hardware j spezifizierten Sperrwert verglichen. Sollte das Ergebnis ' dieses Vergleichs, welches in dem Block 78 dargestellt ist, ' eine Übereinstimmung ergeben, so wird der Prozeß entlang dem ' Pfad 80 zum Block 82 fortgesetzt, bei welchem der Datenab- ! schnitt des Ausgabewortes von dem digitalen Rechner ausgegeben wird und dann der Prozeß gemäß Block 84 beendet wird.
Sollte jedoch das Ergebnis des Vergleichs zu einer Fehlen- , passung oder Nichtübereinstimmung führen, so wird der Prozeß ^! entlang der Leitung 86 zum Block 88 fortgesetzt, wo eine ; Zentralprozessor-Unterbrechung erzeugt wird, und das Verfahren _: dann gemäß Block 90 angehalten wird. Es wird somit, wie dies
dargestellt ist, ein relativ einfaches Verfahren geschaffen, \ um eine fehlerhafte Ausgabe von Datenworten aus dem Digital- ■ rechner aufgrund von hardware-Fehlern zu verhindern. Das
gesamte Verfahren wird jedesmal dann wiederholt, wenn ein j Ausgabewort in dem Speicher gesucht wird bzw. wiedergefunden j wird und der Versuch unternommen wird, dieses Wort von dem J Rechner über den Ausgabedatenabschnitt des Digitalrechners ' zu übertragen.

Es läßt sich somit erkennen, daß durch die Erfindung ein neu- ',

artiges Verfahren und Gerät geschaffen wird, um eine fehler- ',

hafte Ausgabe von Daten aus einem digitalen Datenrechner bei ,

einem hardware-Fehler zu verhindern. j

Zusammenfassend schafft die Erfindung somit ein Verfahren und j

ein Gerät zum Verhindern, daß eine Einrichtung zur Verarbeitung!

709847/1OU

_ A^ 2721593 !

- yo - ι

von digitalen Daten fehlerhafte Daten zu einem anderen digitalen Datenprozessor ausgibt oder zu irgendeiner anderen peripheren Vorrichtung ausgibt. Ein Abschnitt eines auszugebenden Datenwortes, welches von einer Stelle zb einer ! anderen übertragen werden soll, ist einem Schlüssel zugeordnet,! der mit einer hardware-"Sperre" übereinstimmen muß, bevor die Einrichtung zur Verarbeitung von digitalen Daten die Erlaubnis gibt, daß Daten ausgegeben werden. Mit anderen Worten muß ein software-Schlüssel, der als Teil des Ausgabewortes spezifiziert ist, einem bestimmten hardware-Schlüssel entsprechen bzw. mit diesem übereinstimmen, bevor eine Ausgangsdatenübertragung des Ausgabewortes, ausgenommen dem Schlüsselabschnitt, stattfinden kann. Wenn der Sperrwert und der Schlüsselwert nicht übereinstimmen, so wird der zentrale Prozessor eines digitalen Datenprozessors unterbrochen. Durch das Ve^f^ahren und Gerät nach der vorliegenden Erfindung wird nicht/die richtige Betriebsweise der Rechnerausgangs-hardwaregewähdeistet und zwar durch Verhindern, daß fehlerhafte Daten übertragen werden, sondern es wird auch der zentrale Prozessor informiert oder gewarnt, wenn ein Fehler auftritt, was. mit Hilfe einer externen Unterbrechung erfolgt.

Es ist offensichtlich, daß verschiedene Änderungen, Abwandlungen und Substitutionen in der Form und Einzelheiten des erläuterten Verfahrens und Gerätes vorgenommen werden können, ohne dabei den Rahmen der vorliegenden Erfindung zu verlassen.

Sämtliche in der Beschreibung erkennbaren und in den Zeichnungen dargestellten technischen Einzelheiten sind für die Erfindung von Bedeutung.

vln/pr

709847/1084

70 Leerseite

Claims

Β4ΤΕΝΜΝΙ4*€ΓΕ^KaA BROSE ^ra BROSE D-8023 Munchen-PulUch. Wiener Sir 2. ι W (0891 / 93 :..) 71 lelfx 5212147 uros d Cablf.s Paienl. bus- München

Diplom Ingenieure

inr7,,<h.„ ERA-2462 ^Ta" 12. Mai 1977

Yum rcl ^[)''''

SPERRY RAND CORPORATION, 1290 Avenue of the Americas, New York, New York, 10019, U.S.A.

PATENTANSPRÜCHE

Verfahren zur Verhinderung der Ausgabe von Daten eines Datenverarbeitungssystems an eine Ausgabehauptleitung ohne Sicherheitsverifizierung unter Verwendung eines Datenprozessorsystems mit mehreren Ausgangskanälen, da durch gekennzeichnet , daß jedes Datenwort, welches auf die Ausgabehauptleitung übertragen werden soll, einem Schlüsselfeldabschnitt zugeordnet ist, bzw. diesen aufweist, daß der Schlüsselfeldabschnitt und das Datenwort in einem Pufferregister gespeichert wird, daß dann Sperrfeld-bits in einem Sperrpufferregister gespeichert werden, die Sperrfeld-bits in dem Sperrpufferregister mit den Schlüsselfeld-bits in dem Schlüsselfeldabschnitt

709847/ 108 Λ ORIGfNAL INSPECTED

des Pufferregisters verglichen werden, und daß dann das ;

Datenwort aus dem Pufferregister durch Torsteuerung ausge- J

lesen wird, wenn der Vergleich der Schlüsselfeld-bits j

mit den Sperrfeld-bits die vorbestimmten Vergleichskrite- j

rien erfüllt. j

2. Datenverarbeitungssystem mit wenigstens einer Dstenausgabe- > hauptleitung, einem Gerät zum Vorsehen einer Sicherheit ί und Integrität der Datenworte, die auf die Datenausgangs- j hauptleitung übertragen werden, zur Durchführung des Ver- i fahrens nach Anspruch 1, gekennzeichnet durch folgende \

Einrichtungen: ^!

i ein Ausgabepufferregister, welches ein Datenwort empfängt, j das auf die Datenausgabehauptleitung übertragen werden soll,j wobei das Datenwort einen Schlüsselfeldabschnitt und einen \ Datenfeldabschnitt aufweist, durch eine Sperrregistereinrichtung zum Speichern vorbestimmter Sperr-bits, eine Vergleichseinrichtung zum Vergleichen der bits des Schlüsselfeldabschnitts des Ausgabepufferregisters mit den bits des
Sperregisters, und eine Torsteuereinrichtung, die bei einem
richtigen Vergleich der Schlüsselfeldbits und der Sperrfeldbits aktivierbar ist, um die Ausgabe des Datenwortes aus
dem Datenwortabschnitt des Ausgabepufferregisters bereit
zu machen.

3. Datenverarbeitungssystem nach Anspruch 2, mit einem Gerät
für die Freigabe oder für die Verhinderung der Übertragung
eines Informationswortes, mit einer Vergleichsstufe, welche
Schlüsselziffern, die in Zuordnung zu dem Informationswort
gespeichert sind, mit Sperrziffern zu vergleichen, die in
dem Datenverarbeitungssystem erzeugt werden und um die
übertragung des Informationswortes in Abhängigkeit davon

zu erlauben oder zu verhindern, ob der Vergleich eine richtige Sicherung oder Integrität angibt oder nicht angibt,
dadurch gekennzeichnet, daß das Informationswort und die

7 0 9 8 4 7 : 1 0 8 k

- ^D - 7721599 i

Schlüsselziffern in einem Ausgabepufferregister eines j Computer-Prozessors gespeichert sind und daß die Übertragung! derselben aus dem Pufferregister in Abhängigkeit von Ver- ] gleichskriterien jeweils erlaubt oder verhindert wird. ;

4. Gerät zum Schütze einer irrtümlichen Übertragung eines Aus- i

gangswortes mit einem Schlüsselfeldabschnitt und einem :

Datenabschnitt eines digitalen Rechners nach einem der An- ;

sprüche 2 und 3» gekennzeichnet durch folgende Einrichtun- j gen:

a) eine Einrichtung zum Vergleichen eines vorbestimmten
Sperrwertes mit einem Schlüsselwert in dem Schlüsselfeld
des Ausgabewortes, wobei die Vergleichseinrichtung entweder einen ersten oder zweiten Zustand oder Bedingung anzeigen
kann, was von dem Vergleich des Sperrwertes und des Schlüsselwertes abhängig ist;

b) eine Einrichtung zum Übertragen eines Datenabschnitts des Ausgangswortes von dem digitalen Rechner; und

c) eine Einrichtung zum Verhindern der Übertragung des ι Datentabschnitts des Ausgangs- oder Ausgabewortes, wenn ■ die Vergleichseinrichtung den ersten Zustand oder Bedingung ; anzeigt, und um die Übertragung freizugeben, wenn die Ver- ι gleichseinrichtung den zweiten Zustand oder Bedingung anzeigt.

5. Gerät nach Anspruch 4 zum Schütze einer fehlerhaften Übertragung eines auszugebenden Wortes mit einem Schlüsselfeldabschnitt und einem Datenabschnitt von einem digitalen
Rechner, gekennzeichnet durch folgende Einrichtungen:

a) Eine Vergleichseinrichtung zum Vergleichen eines vorbestimmten Sperrwertes mit einem Schlüsselwert des Schlüssel- _; feldes des auszugebenden wortes, wobei die Vergleichsein-

7 ü 9 8 4 7 / 1 0 IU

richtung entweder eine Übereinstimmungsbedingung oder Zustand oder eine fehlerhafte Übereinstimmung bzw. Fehlanpassungsbedingung anzeigt;

b) eine Einrichtung zum übertragen des Datenfeldabschnitts j des auszugebenden Wortes von dem digitalen Rechner; und '

c) eine Einrichtung zum Sperren der Übertragung des Datenfeldabschnitts des auszugebenden Wortes aus dem digitalen
Datenrechner, wenn die Vergleichseinrichtung eine Fehlan- j passungsbedingung bzw. fehlerhafte Übereinstimmung anzeigt, j jedoch zur Freigabe der übertragung, wenn die Vergleichs- | einrichtung einen Ubereinstimmungszustand oder Bedingung j

anzeigt. j

Gerät nach Anspruch 5 mit einem zentralen ProzessorabschnitV

gekennzeichnet durch eine Einrichtung zum Informieren oder ' Warnen des zentralen Prozessorabschnitts des digitalen

Rechners, wenn die Vergleichseinrichtung eine Fehlanpas- _:

sungsbedingung oder Zustand anzeigt, die jedoch keine j

Warnung an den zentralen Prozessor abgibt, wenn die Ver- |

gleichseinrichtung eine Übereinstimmungsbedingung oder Zu- ' stand anzeigt.

7. Gerät nach Anspruch 5 mit einer Ausgabedatenübertragungs- !

strecke, dadurch gekennzeichnet, daß die Übertragungsein- j richtung ein Register mit einem Lastfreigabeeingang auf- > weist und daß das Register an die Ausgabedatenübertragungs- ι strecke gekoppelt ist. '

8. Gerät nach Anspruch 7, dadurch gekennzeichnet, daß der j Sperrwert aus einer Aufeinanderfolge von hartverdrahteten ] logischen Werten besteht, die an die Vergleichseinrichtung ; gekoppelt sind. !

7 0 H H U 7 / 1 0 8 U

2721593

9. Gerät nach Anspruch 7, dadurch gekennzeichnet, daß ein Register vorgesehen ist, welches das binäre Äquivalent des i Sperrwertes gespeichert hält, wobei dieses Register an die Vergleichseinrichtung gekoppelt ist.

10. Gerät nach Anspruch 7, dadurch gekennzeichnet, daß die j Sperreinrichtung aus einer logischen NAND-Schaltung mit j einem ersten und einem zweiten Eingang und einem einzigen · Ausgang besteht, daß der erste Eingang der logischen NAND- j Schaltung an die Vergleichseinrichtung gekoppelt ist und '. daß der zweite Eingang der logischen NAND-Schaltung ein j Zeitsteuersignal empfängt und der Ausgang dieser Schaltung mit dem Lastfreigabeeingang des Registers verbunden ist.

11. Gerät nach Anspruch 10, dadurch gekennzeichnet, daß die

logische NAND-Schaltung einen dritten Eingang enthält, der an die Einrichtung für die Sperrung der Ausgabeübertragung angeschlossen ist.

12. Gerät nach einem oder mehreren der Ansprüche 2 bis 11 zum Verhindern der Ausgabeübertragung bestimmter Ausgabedatenworte von einem digitalen Rechner, gekennzeichnet durch ! folgende Einrichtungen: ;

a) Eine Einrichtung zum Trennen der Ausgabedatenworte in ein Schlüsselfeld und in ein Datenfeld;

b) eine Einrichtung zum Vergleichen des Schlüsselwertes des Schlüsselfeldes mit einem vorbestimmten Sperrwert für einen₍ Übereinstimmungszustand oder -bedingung; ;

c) eine Einrichtung zum Sperren der Ausgabeübertragung des Datenfeldes, wenn der Schlüsselwert dem Sperrwert nicht . entspricht oder diesem angepaßt ist und um eine vollsten- ; dige Sperrung der Ausgabeübertragung des Schlüsselfeldes

7CI9H47/1084

vorzusehen.

13. Verfahren nach Anspruch 1, zum Sperren der Ausgabeübertragung bestimmter Ausgabedatenworte in einem digitalen
Rechner, gekennzeichnet durch folgende Verfahrensschritte:

a) Eines der Ausgabedatenworte wird aufgenommen;

b) es werden die erhaltenen Ausgabedatenworte in ein ' Schlüsselfeld und in ein Datenfeld aufgeteilt; !

c) es wird der Schlüsselwert des Schlüsselfeldes mit einem ; vorbestimmten Sperrwert zur Feststellung eines Überein- ί

stimmungszustandes oder Bedingung verglichen; j

d) es wird die Übertragung des Datenfeldes gesperrt, wenn
eine Übereinstimmungsbedingung nicht existiert; und _;

e) es wird die übertragung des Datenfeldes freigegeben oder '. ermöglicht, wenn eine Ubereinstimmungsbedingung existiert.

vln/pr

709847/1084