PILA DE TRANSACCIÓN PARA DISPOSITIVOS ELECTRÓNICOS QUE INCLUYEN MEMORIAS NO VOLÁTILES CON UN NÚMERO LIMITADO DE CICLOS DE ESCRITURA.

Procedimiento para implementar una pila de transacciones (2) en un dispositivo electrónico que incluye una parte de memoria no volátil con ciclo de escritura limitado (5),

del tipo que comprende el almacenamiento de datos no volátiles durante transacciones seguras caracterizado porque proporciona una pila de transacciones (2) dinámicamente deslizante dentro de una memoria intermedia de transacciones (1) de dicha parte de memoria no volátil después de la ejecución de una de dichas transacciones seguras, teniendo dicha pila de transacciones (2) un tamaño menor que el tamaño de dicha memoria intermedia de transacciones (1), dicha pila de transacciones (2) después de la ejecución de una de dichas transacciones seguras superponiéndose parcialmente a la pila de transacciones antes de dicha ejecución de una de dichas transacciones seguras

Campo de aplicación

La presente invención se refiere a una pila de transacciones para dispositivos electrónicos que incluyen memoria no volátil con ciclo de escritura limitado.

En particular, la invención se refiere a dispositivos del tipo anterior y que comprenden un procedimiento para almacenar datos no volátiles durante transacciones seguras, siendo dichos datos no volátiles archivos, contraseñas, claves criptográficas, certificados, perfiles de usuarios, así como variables de estado de sistema operativos, variables de estado de aplicaciones, el registro de aplicaciones, aplicaciones ejecutables, etcétera. Antecedentes de la invención

Como es bien sabido, un dispositivo incorporado como una tarjeta de circuito integrado usa una parte de memoria de semiconductor de estado sólido para almacenar datos no volátiles.

La categoría de los datos no volátiles incluye ejecutables de aplicación, archivos, contraseñas, claves criptográficas, certificados, perfiles de usuarios, así como variables de estado de sistemas operativos, variables de estado de aplicaciones, el registro de aplicaciones, etcétera. El contenido de todos los datos anteriores es variable durante la fase operativa del dispositivo pero conservarán su valor durante el apagado.

Por el contrario, el valor de los datos volátiles se pierde durante una fase de apagado y se inicializa en el arranque del dispositivo. La categoría de datos volátiles incluye la pila de la CPU, memorias intermedias para operaciones de entrada/salida, memorias intermedias para cálculos temporales, etcétera.

La memoria no volátil asegura que el valor de los datos

no volátiles no se pierde después de una desconexión regular del dispositivo, es decir, cuando se produce la desactivación eléctrica en un estado inactivo del dispositivo. Este es el caso típico, cuando la desactivación es activada por la lógica del terminal al que está conectado el dispositivo.

Por otra parte, si se produce una desactivación eléctrica accidental durante la ejecución de una aplicación, específicamente durante una operación de actualización de datos no volátiles complejos, es posible que el valor de los datos se deje en un estado inconsistente que podría comprometer, completa o parcialmente, el funcionamiento o la seguridad del dispositivo en las sesiones de encendido sucesivas.

Para enfrentarse a este problema, los sistemas operativos proporcionan el conocido mecanismo de transacción.

El mecanismo de transacción proporciona a la capa de aplicación los instrumentos para agrupar juntas un número arbitrario de operaciones de escritura, estableciendo que tienen que considerarse como una única operación de escritura atómica respecto a eventos como un apagado. La aplicación tiene que marcar todas las operaciones de escritura entre dos instrucciones. Podemos decir, en un pseudolenguaje simple, que todas las operaciones de escritura deben estar incluidas entre dos instrucciones, concretamente “IniciarTransaccion” (del inglés ”BeginTransaction”)y“AcometerTransaccion” (del inglés ”CommitTransaction”), como se muestra esquemáticamente en la Figura 1.

En caso de apagado durante la ejecución del código incluido entre dichas dos instrucciones IniciarTransaccion y AcometerTransaccion, el sistema operativo asegura que se restaura el valor de todos los datos no volátiles afectados por las “Actualizaciones seguras”, en el siguiente arranque del dispositivo, al valor que tenían antes de la sentencia IniciarTransaccion.

Las implementaciones avanzadas permiten transacciones multinivel, con niveles anidados de instrucciones IniciarTransaccion y AcometerTransaccion.

El mecanismo de transacción puede implementarse usando una pila de transacciones, como se aclarará mediante la siguiente descripción, apoyada por la Figura 2.

En esta Figura, los posibles estados de ejecución de una transacción, que comprende dos Operaciones Seguras, están indicados con 10. En particular, en la Figura 2a la transacción está en un estado “Estado inicial”, en la Figura 2b está en un estado “Comenzar transacción”, en la Figura 2c en un estado “Actualización segura”, en 2d aún está en el estado “Actualización segura” y, por último, en 2e está en un estado “Asignar transacción”.

En la Figura 2 la memoria no volátil también se muestra esquemáticamente y se indica con el número de referencia 20; sus valores, durante todos los estados posibles de ejecución de la transacción, se indican dentro de las celdas de la memoria no volátil 20. En particular, la dirección inicial de la memoria no volátil 20 en la que se escribirán datos por la primera operación segura se indica con A1 y la longitud de los datos que han de escribirse durante la primera operación segura con L1.

Igualmente, la dirección inicial de la memoria no volátil 20 en la que se escribirán datos por la segunda operación segura se indica con L2. Por último, la pila de transacciones se indica con 30, y el puntero Cima a la pila de transacciones con 40.

La pila de transacciones 30 se limpia en la invocación de IniciarTransaccion cuando la transacción está en el “Estado inicial”. Cada operación de Actualización segura, como se muestra en las Figuras 2c y 2d, añade un registro sobre la pila de transacciones 30, que contiene la información para recuperar el valor original de los datos después de un apagado inesperado potencial (típicamente: la dirección/tamaño/valor de los datos). En la invocación de AcometerTransaccion la pila de transacciones 30 se vuelve a limpiar.

La Figura 3 muestra la recuperación, en el arranque del dispositivo, de los valores de los datos originales en caso

de apagado del dispositivo durante la primera operación de Actualización segura. En particular, en la Figura 3a se muestra esquemáticamente el arranque del dispositivo después de un apagado incorrecto que causó la pérdida de algunos datos dentro de la memoria no volátil 20, indicando los datos perdidos con el símbolo “???”.

En la Figura 3b una transacción de restauración (en inglés “Rollback Transaction”) restaura los datos perdidos a su posición original, recuperando los valores correctos de la pila de transacciones 30.

La Figura 5, en cambio, ofrece un ejemplo del uso de la pila de transacciones 30 en caso de ocho transacciones consecutivas, que contienen un número diferente de operaciones de Actualización segura. Las transacciones indicadas con los números 1, 3, 5, 6, 7, 8 contienen sólo una actualización, la transacción número 2 contiene 2 actualizaciones y la transacción número 4 contiene 3 actualizaciones. La Figura 6 representa un gráfico que muestra el número total de operaciones de escritura a continuación de las ocho transacciones mostradas esquemáticamente en la figura 5.

Si la desactivación del dispositivo es regular, no hay ejecución de aplicación en curso que, en el arranque del dispositivo, la pila de transacciones 30 esté siempre vacía. Por otra parte, si el dispositivo es desactivado mientras una aplicación está funcionando y el flujo de ejecución está entre las dos instrucciones IniciarTransaccion y AcometerTransaccion, entonces el sistema operativo, en el siguiente arranque, encuentra la pila de transacciones 30 NO vacía y lleva a cabo las operaciones de recuperación según los registros en la pila de transacciones. Después de eso, se limpia la pila.

Obsérvese que la implementación de la pila de transacciones 30 necesita una variable no volátil para almacenar el puntero a la parte superior de la pila de transacciones 30 (Cima en lo que viene a continuación). Por supuesto, el valor de Cima es en sí mismo un dato sensible

respecto a un evento de apagado accidental. Por eso, se requiere un mecanismo dedicado, independiente de la pila de transacciones, para asegurar la “atomicidad” de la variable Cima. Esto se obtiene típicamente mediante una memoria intermedia circular sin punteros dedicada. Esta solución es viable porque la variable Cima es un dato único, corto y de tamaño predefinido (2 ó 4 bytes). La Figura 4 muestra un ejemplo de un mecanismo de actualización atómico para el puntero Cima, por medio de una memoria intermedia circular sin punteros de 5 franjas. Cada franja está etiquetada con un indicador binario (“0”...

1. Procedimiento para implementar una pila de transacciones (2) en un dispositivo electrónico que incluye una parte de memoria no volátil con ciclo de escritura limitado (5), del tipo que comprende el almacenamiento de datos no volátiles durante transacciones seguras caracterizado porque proporciona una pila de transacciones

(2) dinámicamente deslizante dentro de una memoria intermedia de transacciones (1) de dicha parte de memoria no volátil después de la ejecución de una de dichas transacciones seguras, teniendo dicha pila de transacciones (2) un tamaño menor que el tamaño de dicha memoria intermedia de transacciones (1), dicha pila de transacciones (2) después de la ejecución de una de dichas transacciones seguras superponiéndose parcialmente a la pila de transacciones antes de dicha ejecución de una de dichas transacciones seguras.

2. Procedimiento según la reivindicación 1, caracterizado por el hecho de que la parte inferior de la dirección inicial

(4) de dicha pila de transacciones (2) se recoloca en una posición nueva dentro de la memoria intermedia de transacciones (1).

3. Procedimiento según la reivindicación 1, caracterizado por el hecho de que la parte inferior de la dirección inicial

(4) de ducha pila de transacciones (2) se coloca al comienzo de dicha memoria intermedia de transacciones (1) durante la fase de inicialización de dicho dispositivo (5).

4. Procedimiento según la reivindicación 2, caracterizado por el hecho de que dicho puntero base (4) se desplaza a lo largo de dicha memoria intermedia de transacciones (1), después de una transacción de comienzo de dicha transacción segura, recolocando su dirección en una ubicación predeterminada incluida entre: -la dirección inicial de dicha memoria intermedia de

transacciones (1) y -la ubicación obtenida sumando, a dicha dirección inicial, la diferencia entre las longitudes de dicha memoria intermedia de transacciones (1) y dicha pila de transacciones (2).

5. Procedimiento según la reivindicación 3, caracterizado por el hecho de que dicho puntero base (4) se coloca en una posición específica durante la fase de inicialización de dicho dispositivo (5), según una regla de ubicación predeterminada.

6. Procedimiento según la reivindicación 2, caracterizado por el hecho de que dicho puntero base (4) se desplaza a lo largo de dicha memoria intermedia de transacciones (1) después de una transacción de comienzo de dicha transacción segura, recolocando su dirección en una ubicación aleatoria incluida entre: -la dirección inicial de dicha memoria intermedia de transacciones (1) y -la ubicación obtenida sumando, a dicha dirección inicial, la diferencia entre las longitudes de dicha memoria intermedia de transacciones (1) y dicha pila de transacciones (2).

7. Procedimiento según la reivindicación 2 caracterizado por el hecho de que dicha pila de transacciones (2) se desplaza cíclicamente a lo largo de dicha memoria intermedia de transacciones (1) por medio de la colocación de dicho puntero base (4) en diferentes posiciones a lo largo de la memoria intermedia de transacciones (1) después de cada transacción de comienzo y recolocando cíclicamente dicho puntero base (4) al comienzo de dicha memoria intermedia de transacciones (1).

8. Dispositivo electrónico que incluye una parte de memoria no volátil con ciclo de escritura limitado (5) y en

el que se almacenan datos no volátiles durante transacciones

seguras caracterizadas por una pila de transacciones (2)

dinámicamente deslizante dentro de una memoria intermedia de

transacciones (1) de dicha parte de memoria no volátil

5 después de la ejecución de una de dichas transacciones

seguras, teniendo dicha pila de transacciones (2) un tamaño

menor que el tamaño de dicha memoria intermedia de

transacciones (1), dicha pila de transacciones (2) después de

la ejecución de una de dichas transacciones seguras 10 superponiéndose parcialmente a la pila de transacciones antes

de dicha ejecución de una de dichas transacciones seguras.