MAXQ1103破壞性復位診斷程序

摘要：MAXQ1103是一款安全微控制器，當任何一個篡改檢測輸入被觸發時，將立即擦除敏感數據。經過破壞性復位，恢復向量允許運行診斷程序，執行所需要的記錄或自毀事件通報等操作。本應用筆記介紹了利用Rowley CrossWorks C編譯器編寫診斷程序的相關內容。

引言

MAXQ1103安全微控制器具有很多重要功能，能夠防止物理篡改事件并保護有價值的數據。破壞性復位數據源(DRS)是這些功能中關鍵的一個，DRS允許多個自毀輸入(SDI)立即擦除程序和數據密匙以及內部靜態RAM的內容。如果應用程序存儲在內部程序閃存的加密區內，擦除程序密鑰后將使微控制器處于無效狀態。

早期的Maxim產品，例如：DS5250，集成了DRS功能。而MAXQ1103能夠在破壞性復位之后執行未經加密的診斷程序。這個診斷程序可以執行任何內部未經加密的程序，不需要訪問外部存儲器總線(該總線在重新上電復位之前處于禁止狀態)。

例如，診斷程序可以用于系統維護告警，通過一個調制解調器向控制中心報告“運行故障”，提示用戶系統發生問題。該程序可以執行擦除功能并可重新編程內部閃存。

DRS診斷程序配置

DRS診斷程序由DIAE的DRSRS寄存器位使能，DRSRS寄存器位DIAS[3:0]指定程序代碼的位置，確定SDI清零后微控制器的向量映射位置。如果診斷向量的地址指針指向加密存儲區，微控制器ROM在復位后將簡單地中斷處理器操作，這是DIAE=0時的默認狀態(沒有使能診斷程序)。

可以在正常運行程序的任何時間寫入DRSRS寄存器，這個寄存器還將保留破壞性復位源的指示標志，這些標志可供診斷程序使用或記錄到非易失存儲器。

應用舉例：加密時鐘

為了演示MAXQ1103的DRS診斷程序，采用Rowley CrossWorks編譯器編寫了一段C語言小程序。該程序利用MAXQ1103評估板(Rev D)構建一個簡單的實時時鐘(RTC)。

日期和時間持續顯示在評估板的LCD上，每秒鐘更新一次。利用評估板數字鍵盤上的ENT鍵，用戶可直接設置日期和時間；指針自動跟著日期和時間字段刷新，圖1給出了一個簡單的示例。



如果任意一個SDI輸入引腳拉高(至VDDIO)并隨后釋放，微控制器將執行一次破壞性復位。這一復位動作會擦除程序密鑰，主程序將停止運行。此時，LCD會顯示一個信息，指示發生了DRS，DRSRS寄存器內容將被顯示到顯示器上，見圖2。



DRSRS寄存器的標志指示導致破壞性復位的SDI源。另外，最近一次DRS的時間和日期將被顯示在LCD上。這項功能并非DRS診斷程序嚴格要求的部分，但DRS記錄器所捕獲的SDI觸發時刻的RTS (RTC秒計數器)寄存器值的確為DRS診斷程序的關鍵。

詳細說明

RTC“主程序”的源代碼非常簡單，本應用筆記將不再詳述，但這個源程序很重要，可能作為RTC例程被重復使用。這部分代碼儲存在CODE存儲器段，始于程序存儲器地址0x000600。MAXQ30_Target.js包含預裝載程序命令，使能帶有PMAC和PMSZ寄存器的64k字加密區域，該區域采用3DES加密，存儲CODE程序。

為了執行DRS恢復向量，必須保留一定的空間不被主程序使用。MAXQ1103.xml文件中聲明一個存儲器段，始于0x3C600，長度為16k字，聲明存儲器段名為RESERVE。由此，我們可以使用Rowley匯編指示CSEG RECOVERY在適當地址存放我們的DRS診斷程序，該地址由DRSRS寄存器的DIAS[3:0]位指定。

函數enable_drs_diag()在DRSRS寄存器寫入0x00001E01值。這個數值能夠使能診斷向量，選擇0x3C600診斷向量位置。

發生破壞性復位后(例如，導致自毀的輸入狀態已解除)，DRS診斷程序將被ROM調用。這個程序不會調用任何位于加密區(由PMAC/PMSZ定義)的程序，程序須避開加密區，否則會導致所不希望的系統操作。

恢復程序包含在drs.asm文件內，說明存儲在RECOVERY區域的CSEG的使用。

診斷向量可能調用內部程序存儲器中未經加密的C程序，程序調用之前必須安裝C運行環境，請參考Rowley編譯器的crt0.asm文件決定需要安裝的內容。

結論

MAXQ1103診斷程序為程序設計人員提供了一個在與安全有關的破壞性復位之后執行代碼的方法。它清晰地劃分了加密程序和非加密恢復程序。診斷程序能夠記錄威脅安全性的攻擊，在自毀操作后采取適當的措施，例如：遠程報警或進一步擦除內部存儲器。