BRPI0621129B1

BRPI0621129B1 - Seguro sistema-em-chip

Info

Publication number: BRPI0621129B1
Application number: BRPI0621129-1A
Authority: BR
Inventors: André Kudelski
Original assignee: Nagravision S.A
Priority date: 2005-12-23
Filing date: 2006-12-21
Publication date: 2022-09-27
Also published as: PL1964016T3; EP1811415A1; CA2633373A1; US8181008B2; DK1964016T3; KR101329823B1; CN101346726A; CN101346726B; EP1964016A1; BRPI0621129A8; US20070234072A1; KR20080078012A; ES2626982T3; WO2007071755A1; BRPI0621129A2; HUE034669T2; PT1964016T; EP1964016B1

Abstract

SEGURO SISTEMA EM CHIP. O objetivo da presente invenção é fornecer um sistema em chip seguro para processamento de dados, este sistema em chip compreendendo pelo menos uma unidade de processamento central, um canal de entrada e saída, um mecanismo de criptografia/decriptografia e uma memória, sendo caracterizado pelo fato de que o referido sistema em chip compreende um módulo de supervisão autônomo que é pré-programado com definições de condições de trabalho normais de pelo menos um fluxo de entrada e/ou de saída e meio para desabilitar o canal de entrada e/ou saída se as condições de corrente excederem as definições de condições normais.

Description

Introdução

A presente invenção relaciona-se ao campo da segurança do ambiente de processamento.

Estado da Técnica

Ambiente seguro para processadores já tem sido descoberto, em particular.com respeito à arquitetura de multiprocessamento. Por exemplo, uma solução para limitar o acesso à uma memória segura foi descrita no documento WO04015553. De acordo com esta solução, o processamento possui dois modos de operação; no primeiro modo, chamado de modo seguro, o acesso é permitido a memória segura; e no modo não seguro o acesso à memória segura é proibido. O modo não seguro destina-se à finalidade de desenvolvimento, isto é, verificação ou depuração do circuito. Durante a execução em modo não seguro, o acesso à memória segura é fisicamente bloqueado, isto é, um sinal para “desabiIitar” é gerado. Este sinal para desabilitar proíbe qualquer tentativa ao acesso da memória segura. Este sinal para desabilitar proíbe qualquer tentativa ao acesso da memória segura. Uma outra solução é descrita no documento PCT/EP2005/056I45, na qual um único chip processador decifrador processa os dados de áudio/vídeo dispersos, a fim de nunca deixar o acesso a dados livres. Quando a operação de decifrar é feita, a unidade decifradora compreende um mecanismo de codificação para codificar os dados decifrados antes de eles serem armazenados temporariamente em uma memória externa. Quando o processador termina a tarefa de organização, os dados são decodificados em um módulo de saída e enviados a um dispositivo de exibição.

Breve Descrição da Invenção

O objetivo da presente invenção é fornecer um seguro sistema-em-chip para processamento de dados, este sistema-em-chip compreendendo, pelo menos uma unidade central de processamento, um canal de entrada e de saída, um mecanismo de codificação/decodificação e uma memória, dito sistema-em-chip possuindo condições de trabalho em tempo real, enquanto recebe e envia dados, caracterizado pelo fato de compreender um módulo de supervisão autônomo (SM), o qual é preprogramado com definições de condições normais de trabalho de, pelo menos, entrada e saída de fluxo de dados, e meios para habilitar ou desativar o canal de entrada e/ou saída de acordo com a comparação das condições de trabalho em tempo real e definições das condições normais de trabalho.

A principal característica da invenção é um módulo independente, independente da unidade central de processamento e possui seu próprio núcleo de processador e executando a tarefa de supervisão.

Estas tarefas são definidas por um conjunto de definições de condições normal de trabalho definindo o diagrama de tempo normal e o fluxo de dados dentro do sistema-em- chip. As condições normais de trabalho são comparadas às condições de trabalho de tempo real quando o sistema-em-chip recebe, processa e envia dados.

Breve Descrição dos Desenhos

Esta invenção será melhor compreendida graças as figuras anexas, nas quais: - a figura I descreve o sistema-em-chip e seus vários elementos em modo codificação/decodificação; - as figuras 2A e 2B descrevem o estágio de codificação usando duas unidades; - a figura 3 descreve o sistema-em-chip e seus vários elementos no modo assinatura; - a 4 mostra um exemplo de um sistema-em-chip ampliado, no qual o módulos seguro e o não seguro são localizados dentro do mesmo chip.

Descrição Detalhada da Invenção

De acordo com um primeiro aspecto da invenção ilustrado na figura 1, o sistema-em-chip SOC compreende um módulo de supervisão autônomo SM que pode deterministicamente controlar o sistema-em-chip SOC. Este módulo SM compreende definições de condições normais de trabalho do sistema-em-chip SOC, e meios de desativação, quando as condições normais não são mais executadas. Isto é alcançado por diferentes meios. Um primeiro meio inclui medição da qualidade dos dados emitidos, por exemplo, recenseamento do número dos conjuntos de dados emitidos. Esta operação será descrita a seguir como recenseamento de dados. Um segundo meio inclui a janela de definição de tempo durante a qual são permitidas operações de entrada ou saída. Um bloco de dados é, então, concedido se a extensão do mesmo não exceder o tempo máximo definido por bloco. Um terceiro meio inclui a descoberta de estado da unidade central CPU e sua respectiva duração, e como atuar de acordo será ilustrado em seguida. A unidade central da CPU tipicamente possui diferentes estados possíveis, tal como estado de aquisição, estado de processamento, estado de espera e estado de resultado emitido. Quando uma mensagem chega ao sistema-em-chip, o mesmo comuta do estado de espera ao estado de aquisição. Durante o estado de aquisição, o canal de entrada é habilitado pelo módulo de supervisão SM. Além disso, durante o mesmo estado de aquisição, o módulo de supervisão SM conta dados recebidos e compara este número a um máximo predefinido. Qualquer situação anormal leva a um estado de alerta, no qual a unidade central CPU pode decidir como reagir. O módulo de supervisão SM possui a capacidade, especialmente no caso de um estado de alerta, para bloquear os canais de entrada e saída e/ou o mecanismo de codificação/decodificação CR-EN.

Quando a mensagem externa é recebida, o módulo de supervisão SM leva a unidade central CPU ao estado de processamento. Durante este estado, os canais de entrada e saída são desativados. O modo de supervisão SM compreende um tempo padrão correspondendo ao tempo mínimo de processamento pela unidade central CPU, e desativa os canais durante este tempo. A unidade central CPU pode informar ao módulo de supervisão SM que nenhum resultado será emitido. Isto possui a conseqüência de que o módulo de supervisão SM apenas habilita o canal de entrada para esperar uma nova mensagem. O canal de saída permanece desativado.

No caso, onde a unidade central CPU deseja enviar dados ao mundo exterior, informa, então, de acordo com o módulo de supervisão SM, qual se torna habilitado ao canal de saída. O módulo de supervisão SM ainda continua a observar as atividades no canal de saída pelo recenseamento de dados enviados e aplicando uma janela de tempo de duração, na qual o envio é autorizado.

Nesta modalidade da invenção, o módulo de supervisão SM é, desta forma, apto a trabalhar com informações recebidas da unidade central CPU, bem como com o trabalho padrão preprogramado.

O módulo pode também observar o mecanismo de codificação CR-EN pelo recenseamento de dados codificados ou decodificados. Da mesma forma, o trabalho padrão do mecanismo de codificação/decodificação CR-EN é supervisionado na proporção da quantidade de dados processados e tempo. O módulo de supervisão pode desativar o mecanismo de codificação/decodificação CR-EN se condições anormais forem detectadas.

Deve ser notado que o módulo de supervisão SM pode ser implementado em um sistema-em-chip sem a codificação/decodificação no canal de entrada/saída. Os dados são processados sem somar um nível de codificação (ou decodiflcação) adicional e canal de entrada/saída é observado pelo módulo de supervisão SM.

De acordo com um segundo aspecto da invenção, é proposto um seguro sistem-em-chip para processamento de dados, este sistema-em-chip compreendo, pelo menos, uma unidade central de processamento, um canal de entrada e saída, um mecanismo de codificação/decodificação e uma memória, caracterizado pelo fato de, o canal de entrada compreender um módulo de entrada de codificação para codificar todos dados recebidos, dito canal de saída compreendendo um módulo de saída de decodiflcação para de codificar todos os dados de saída, dita unidade central de processamento recebe os dados codificados do módulo de entrada de codificação e os armazena na memória, e enquanto processa os dados armazenados, dita unidade central de processamento lê os dados armazenados na memória, solicitando a decodiflcação dos mesmos no mecanismo de codiflcação/decodificação, processando os dados e solicitando codificação do resultado pelo mecanismo de codificação/decodificação e armazenando o resultado codificado, emitindo o resultado ao módulo de saída de decodificação para fins de decodificação e saída do resultado decodificado via canal de saída.

Nesta modalidade, a codificação ocorre para dados mesmo em um ambiente considerado como seguro. A decodificação ocorre apenas no último estágio quando os dados são realmente usados pela unidade central, os dados livres nunca sendo acessíveis em um estado estático. Quando processados, os dados podem ser armazenados em branco se eles forem para finalidade interna ou recodificada se eles são destinados a serem emitidos do sistema-em- chip.

Uma vez recodificados, os dados são temporariamente armazenados em uma memória temporária antes de serem enviados ao canal de saída.

A chave para codificar e decodificar os dados é uma única modalidade preferencial para aquele sistema-em-chip. Esta chave poder ser preprogramada na etapa de produção ou pode ser gerada aleatoriamente no estágio de inicialização e nunca conhecida por alguém. Esta chave é usada apenas internamente. O algoritmo usado pode ser mantido em separado, bem como os parâmetros de dito algoritmo. Por exemplo, o algoritmo IdeaNxt é usado como mecanismo de codificação e os valores da caixa de substituição são aleatoriamente gerados no sistema-em-chip.

De acordo com uma modalidade em particular, o algoritmo de codificação/decodificação é assimétrico, de modo que um par de chaves (pública/privada) é usado para codificar/decodificar os dados, respectivamente.

De acordo com uma modalidade alternativa, o módulo de entrada de codificação pode ser substituído pelo módulo de assinatura, os dados sendo assinados enquanto inseridos no sistema-em-chip e a assinatura armazenada juntamente com os dados. Quando a unidade central deseja usar estes dados, o mecanismo de codificação/decodiflcação, o qual é agora um mecanismo de verificação de assinatura, checa a assinatura e autoriza o uso dos dados se a assinatura está correta.

Por dados, é entendido um único byte ou um conjunto de bytes, por exemplo, 5 para formar uma mensagem ou mensagem de direito ao sistema-em-chip.

O seguro sistema-em-chip SOC é baseado na unidade central de processamento CPU. O objetivo desta unidade é executar o código e realizar as tarefas solicitadas. O sistema-em- chip SOC compreende dois canais conectados ao mundo exterior, 10 especialmente os canais de entrada e saída. O canal de entrada RCV compreende um módulo de entrada de codificação RCV-E, o qual codifica todos os dados vindos do mundo exterior de forma a adicionar uma camada de codificação interna. Da mesma maneira, o canal de saída SND compreende um módulo de saída de decodificação SND-D para decodificar os dados recebidos da unidade central CPU antes de enviá-los ao mundo exterior.

A unidade central CPU possui acesso ao mecanismo de codificação/decodificação CR-EM. Este mecanismo possui a mesma função como o módulo de entrada de codificação e o módulo de saída de decodificação. A chave K carregada no módulo de entrada de codificação é a mesma na parte de codificação do mecanismo de 20 codificação/decodificação. O mesmo se aplica ao módulo de saída de decodificação e a parte de decodificação do mecanismo de codificação/decodificação, para as operações de decodificação. Quando a unidade central CPU necessita de algum dado, também vindo diretamente do módulo de entrada de codificação ou trazido da memória MEM, estes dados são primeiramente transmitidos através do mecanismo de decodificação para decodificá-los antes de serem usados 25 pela unidade central CPU.

Da mesma maneira, quando a unidade central CPU tiver completado uma tarefa e produzido um resultado, o passo seguinte é armazenar o resultado (ou saída do resultado no canal de saída). Este resultado é previamente transmitido através do mecanismo de 30 codificação CR-EN para codificação antes de ser armazenado. Este resultado codificado pode ser armazenado na memória ou enviado ao canal de saída.

A unidade central de processamento CPU pode decidir se o resultado deve ser recodificado ou deixado em branco. Ao invés de deixar o processador decidir, a posição alvo, pode selecionar diferentes comportamentos como é mostrado na figura 2A. Se o resultado for armazenado em uma memória volátil V-MEM, a codificação dupla pode tomar lugar. Do contrário, se o armazenamento for a uma memória não volátil NV MEM (EEPROM), apenas uma unidade de codificação é usada, uma com chave permanente. Da mesma maneira, quando ao lidos os dados da memória volátil, a decodificação dupla é aplicada embora leia os dados da memória não volátil, apenas uma unidade de decodificação é aplicada.

De acordo com uma modalidade alternativa, mostrada na figura 3, o processo de codificação é substituído por um processo de assinatura. Os dados não são codificados, mas uma assinatura é gerada e associada com os dados. Para todos os dados vindos do mundo exterior, uma assinatura é calculada no módulo de entrada de assinatura RCV-S. Os dados são, então, armazenados com suas assinaturas. Quando a unidade central precisa acessar estes dados, o mecanismo de verificação de assinatura S-VER primeiro verifica a assinatura antes de a unidade central ter o direito de usar os dados. Antes dos dados serem emitidos pelo canal de saída, a assinatura é verificada no módulo de saída de assinatura SDN-V. A assinatura é, então, removida dos dados, os quais são enviados ao canal de saída SND.

De acordo com uma modalidade alternativa, o mecanismo de codificação/decodificação é diretamente posicionado na unidade central CPU. Quando um dado é lido da memória, por exemplo, carregando uma variável no acumulador da CPU (por exemplo, LDAA # 1200h para Motorola 68HC11) o dado lido naquela posição é transmitido automaticamente ao mecanismo de decodificação antes de ser transferido ao acumulador. Da mesma maneira, a instrução para armazenar o conteúdo do acumulador na memória (por exemplo, STAA #1200h) não é executada diretamente, mas os dados no acumulador são previamente transmitidos através do mecanismo de codificação antes de serem armazenados na posição !200h.

Em uma modalidade em particular, o mecanismo de codificação/decodificação é compartilhado com o canal de entrada e saída. O módulo de entrada de codificação é, então um módulo virtual e operações de codificação no canal de entrada são alcançadas pelo mecanismo de codificação através de um dado multiplexer. Os dados introduzidos no sistema- em-chip SOC, em particular através do canal de entrada, são transmitidos pelo mecanismo de codificação antes de nova manipulação, por exemplo, para armazenar os dados em uma entrada de memória temporária. O módulo de entrada de codificação é, então um módulo virtual usando o recurso do mecanismo de codificação/decodificação em um modo de codificação. O mesmo se aplica ao módulo de saída de decodiflcação, o qual usa o mecanismo de codificação/decodificação em modo de decodiflcação.

O módulo de entrada de codificação RCV-E pode compreender mais de uma unidade de codificação. De acordo com uma modalidade em particular, mostrada na figura 2A, duas unidades de codificação, (ou mais) são conectadas em série, cada uma possuindo uma chave diferente. A primeira unidade de codificação é carregada com a chave Kl, a qual pertence ao sistema-em-chip, isto é, é única e estável para um dispositivo específico. Esta chave é também carregada durante a etapa de instalação ou gerada internamente. A segunda unidade ENC2 é carregada com a chave K2, a qual é dinamicamente gerada na inicialização do dispositivo. Quando sistema-em-chip é reiniciado, esta chave é perdida e uma nova chave é gerada. Os dados que tenham de ser armazenados permanentemente, uma vez processados pelo processador CPU, são apenas recodificados com a primeira unidade com a chave permanente Kl.

O módulo de saída de decodiflcação, bem como o mecanismo de codificação/decodificação compreendem, da mesma maneira, duas ou mais unidades.

Alternativamente, se o processador CPU reconhecer que os dados recebidos, armazenados na entrada da memória temporária, não precisam ser processados, mas apenas armazenados em uma memória permanente NV-MEM, o processador pode solicitar do mecanismo de codificação/decodificação a decodiflcação por apenas uma unidade, isto é, a unidade possuindo a chave volátil. Os dados armazenados ainda permanecem codificados, pela chave permanente, para uso posterior.

Este sistema-em-chip SOC é usado como módulo de controle de acesso seguro responsável por receber mensagens de gerenciamento incluindo direitos ou chaves. Este módulo pode também compreender uma unidade decifradora de alta velocidade para receber fluxo de dados de áudio/vídeo codificados.

A figura 4 mostra o sistema-em-chip SOC ampliado tendo dois núcleos, um chamado de núcleo não seguro USC e o outro chamado de núcleo seguro SC. A descrição acima do sistema-em-chip é agora apenas uma parte do SOC ampliado e corresponde com o núcleo seguro SC. A parte não segura USC compreende meios de processador CPU I e memória interna MEM1. Entretanto, em vista dos programas amplos e os dados processados por este processador, uma memória externa MEM é necessária. Através da memória externa ou através da interface para o mundo exterior, o núcleo não seguro pode receber um programa troiano para capturar os dados recebidos e enviados através da interface interna 12. Então, os dados recebidos ou solicitados pelo núcleo não seguro USC através da interface não segura deve ser considerada como o mesmo nível de segurança como dados externos. O núcleo seguro SC continua observando as atividades do código não seguro como detecção de defeitos, análise de força, iluminação, mudança de temperatura. Estas funções são localizadas ao módulo detector DTC. Este módulo informa se o núcleo seguro de alguma condição anormal e, deste modo, levar a mudança do estado do módulo de supervisão SM. Deve ser notado que o módulo detector pode ser localizado diretamente dentro do módulo seguro SC.

De acordo com uma variante da invenção, o módulo detector DTC executa operações de vigilância do estado do sistema-em-chip SOC. Recebe por exemplo um fornecedor positivoVdd (geralmente 5V) e observa riscos de comportamento, tal como mudanças repentinas de voltagem, voltagem anomalamente baixa ou alta. De acordo com um critério definido, pode informar o módulo seguro SC, por exemplo, pela geração da mensagem de erro, e então desativando certas funções do módulo previamente mencionado. As comunicações de interface 12 são observadas pelo módulo detector. Por comunicação, nós entendemos todos os caminhos pelos quais as informações entram ou saem do módulo seguro. O módulo detector pode também observar a operação do módulo não seguro USC e seus caminhos de comunicação. Esta supervisão abrange o fornecimento de força, o relógio e a reinicialização. Em reação as condições anormais detectadas pelo módulo detector DTC, módulo seguro SC pode reduzir o acesso ao dado sensível da memória interna MEM2. O módulo seguro USC, desta forma, reinicia uma checagem completa do programa e do ambiente de dados.

O sistema da invenção é expansível, i.e., cada sistema-em-chip compreende seu próprio módulo supervisor como descrito acima. Quando vários sistemas-em-chip são ligados, para juntos criarem um chip amplo como mostrado na figura 4, um módulo adicional de supervisão superior SSM é adicionado para sincronizar o módulo supervisor SM. Um reservado canal permite a comunicação entre os módulos de supervisão SM da única entidade e o módulo supervisor superior SSM do chip. Cada módulo supervisor compreende uma máquina de estado, o qual descreve as operações permitidas durante este estado. O módulo supervisor superior compara os estados de várias entidades e informa a entidade do módulo supervisor e o estado de outra entidade. No geral, máquina de estado lidada pelo módulo supervisor superior controla que os estado das entidades seja complacente com o cenário de trabalho. Por exemplo, se uma entidade está no estado de receber forma de dados de outra entidade, módulo supervisor superior checa que a outra entidade está no estado de envio de dados.

Em uma modalidade alternativa, o módulo supervisor superior é localizado diretamente na maioria da entidade segura, em nosso exemplo no seguro sistema-em-chip SC.

A comunicação entre cada entidade através de um canal reservado é preferencialmente codificada com uma chave carregada durante a inicialização do chip.

Esta chave pode ser usada para codificar e decodificar os dados cambiados entre dois módulos de supervisão ou com um módulo supervisor superior. No processo de inicialização do chip, esta chave pode ser usada para gerar uma chave temporária, por exemplo, usando um algoritmo Diffle-Hellmann.

Claims

1. Seguro sistema-em-chip para processamento de dados, este sistema-em-chip compreendendo, pelo menos uma unidade central de processamento, um canal de entrada e de saída, um mecanismo de codificação/decodificação, um módulo de supervisão autônomo (SM) tendo o seu próprio núcleo de processador e uma memória, o dito sistema-em-chip possuindo condições de trabalho em tempo real referentes às operações realizadas no sistema-em-chip, CARACTERIZADO pelo fato de o dito módulo de supervisão autônomo (SM) ser pré-programado com definições de condições normais de trabalho de, pelo menos, entrada e saída de fluxo de dados, e ser configurável para habilitar ou desativar o canal de entrada e/ou saída de acordo com a comparação das condições de trabalho em tempo real e definições das condições normais de trabalho, as condições normais de trabalho compreendendo uma quantidade de dados processados no sistema-em-chip e janelas de tempo, durante as quais operações de processamento de dados no sistema-em-chip são permitidas.

2. Seguro sistema-em-chip, de acordo com a reivindicação 1, CARACTERIZADO pelo fato de que a definição de condições normais de trabalho da quantidade de dados processados no sistema-em-chip é a quantidade de dados emitida pelo canal de saída, e em que a definição de condições normais de trabalho de janelas de tempo, durante as quais operações de processamento de dados no sistema-em- chip são permitidas, é janelas de tempo durante as quais emissão de dados pelo canal de saída é permitida.

3. Seguro sistema-em-chip, de acordo com a reivindicação 1 , CARACTERIZADO pelo fato de que a definição das condições normais de trabalho da quantidade de dados processados no sistema- em-chip é a quantidade de dados processados pelo mecanismo de codificação/decodificação, e em que a definição de condições normais de trabalho de janelas de tempo, durante as quais operações de processamento de dados no sistema-em-chip são permitidas, é janelas de tempo durante as quais processamento de dados pelo mecanismo de codificação/decodificação é permitido.

4. Seguro sistema-em-chip, de acordo com a reivindicação 1, CARACTERIZADO pelo fato do módulo de supervisão (SM) compreender meios para receber o estado de condição da unidade central de processamento (CPU), e meios para habilitar ou desabilitar o canal de saída de acordo com o estado da unidade central de processamento (CPU).

5. Seguro sistema-em-chip, de acordo com a reivindicação 1, CARACTERI ZADO pelo fato do dito canal de entrada compreender um módulo de entrada de codificação para codificar todos os dados recebidos, o dito canal de saída compreendendo um módulo de saída de decodificação para decodificar todos os dados de saída, a dita unidade central de processamento recebendo dados codificados do módulo de entrada de codificação e os armazena na memória, e enquanto processa os dados armazenados, a dita central de processamento lê os dados armazenados da memória, solicita a decodificação dos mesmos no mecanismo de codificação/decodificação, processa os dados e solicita a codificação do resultado pelo mecanismo de codificação/decodificação e armazena o resultado codificado, enviando o resultado ao módulo de saída de decodificação para fins de decodificação e saída do resultado decodificado via canal de saída.

6. Seguro sistema-em-chip, de acordo com a reivindicação 5, CARACTERI ZADO no fato de o módulo de entrada de codificação ser um módulo virtual, o qual transmite os dados a serem codificados ao mecanismo de codificação/decodificação em modo de codificação.

7. Seguro sistema-em-chip, de acordo com reivindicação 5, CARACTERI ZADO pelo fato de o módulo de entrada de codificação ser um módulo virtual, o qual transmite os dados a serem decodificados ao mecanismo de codificação/decodificação em modo de decodificação.

8. Seguro sistema-em-chip, de acordo com a reivindicação 5, CARACTERI ZADO pelo fato de que o algoritmo para codificar e decodificar os dados ser um algoritmo simétrico.

9. Seguro sistema-em-chip, de acordo com a reivindicação 8, CARACTERI ZADO pelo fato de o algoritmo de codificação/decodificação usar um conjunto de inicialização estável e toda ou parte da inicialização estável ser aleatoriamente gerado dentro do sistema-em-chip seguro.

10. Seguro sistema-em-chip, de acordo com a reivindicação 5, CARACTERI ZADO pelo fato de o algoritmo para codificar e decodificar os dados ser um algoritmo assimétrico.

11. Seguro sistema-em-chip, de acordo com a reivindicação 5, CARACTERI ZADO pelo fato de compreender meios para gerar aleatoriamente a chave ou par de chaves usada pelo mecanismo de codificação/decodificação.

12. Seguro sistema-em-chip, de acordo com a reivindicação 1, CARACTERI ZADO pelo fato de as operações de codificação/decodificação poderem ser executadas em um único dado ou um conjunto de dados em um tempo.

13. Chip eletrônico compreendendo o seguro sistema-em-chip como definido na reivindicação 1, e compreendendo uma primeira conexão de dado com o mundo exterior e uma unidade central de processamento, CARACTERI ZADO pelo fato de ainda compreender uma segunda conexão de dado para entrada/saída do sistema-em-chip, e ainda compreende um módulo de supervisão, o qual é pré-programado com definições de condições normais de trabalho de, pelo menos, a primeira conexão de dado e a segunda conexão de dado, e meios para desabilitar a primeira e a segunda conexão de dado se as condições atuais excederem as definições de condições normais.

14. Chip eletrônico, de acordo com a reivindicação 13, CARACTERI ZADO pelo fato de compreender um módulo de supervisão superior (SSM) comunicando-se com os módulos supervisores e checando se as condições de trabalho de um primeiro módulo supervisor é compatível com as condições de trabalho de um segundo módulo supervisor.

15. Chip eletrônico, de acordo com a reivindicação 13, CARACTERI ZADO pelo fato de o módulo supervisor superior ser parte do módulo supervisor do sistema-em-chip e, deste modo, recebe as condições de trabalho do módulo supervisor do chip eletrônico.