CN110659244A

CN110659244A - 内联编码能力

Info

Publication number: CN110659244A
Application number: CN201910457243.0A
Authority: CN
Inventors: M·勒梅; D·M·杜汉姆; M·E·库纳维斯; B·E·亨特利; V·尚伯格; J·W·布兰德特; J·特里普莱特; G·奈格; K·格雷瓦尔; B·V·帕特尔; Y·庄; J-s·蔡; V·苏霍姆利诺夫; R·萨希塔; 张明威; J·C·法韦尔; A·达斯; K·布扬
Original assignee: Intel Corp
Current assignee: Intel Corp
Priority date: 2018-06-29
Filing date: 2019-05-29
Publication date: 2020-01-07
Also published as: US10860709B2; US11562063B2; PL3588360T3; EP3588360B1; US20210117535A1; EP3958160B1; EP3588360A1; EP3958160A1; US20200004953A1

Abstract

所公开的实施例涉及内联编码能力。在一个示例中，一种系统包括用于将存储器内的地址空间划分成多个隔室的可信执行环境(TEE)，每个隔室与用于执行功能的代码相关联，所述TEE进一步用于：将堆中的消息对象指派给每个隔室；从第一隔室接收向指定目的地隔室发送消息块的请求；通过以下操作对所述请求进行响应：认证所述请求、生成相应的编码能力、将所述编码能力传达至所述目的地隔室、并且调度所述目的地隔室对所述请求进行响应；并且随后，通过以下操作对来自所述目的地隔室的检查能力请求进行响应：检查所述编码能力、并且在检查通过时提供用于访问所述消息块的存储器地址、并且否则生成故障，其中，每个隔室与其他隔室隔离。

Description

内联编码能力

技术领域

本发明的领域总体上涉及计算机处理器架构，并且更具体地涉及内联编码能力。

背景技术

将工作负载分成具有对不同数据的访问的小保护域以提高其稳健性和安全性，或通过超级装箱来提高开发和部署灵活性以及提高资源利用率变得越来越常见。这种工作负载的一些示例包括微服务、功能即服务(FaaS)和web浏览器。使用单独的地址空间(例如，作为过程、容器、或虚拟机)来实施这种工作负载会由于上下文切换和远程过程调用(RPC)(例如，编组/解组、数据移动)而导致额外开销。

预计FaaS会继续获得市场份额并且被采用，因此这对于优化平台以实现安全且高效的FaaS托管可能是有利的。

各个程序的安全性以及各个程序彼此隔离是这些平台提出的一个开放挑战。

附图说明

本发明是通过示例的方式展示的，而不仅局限于附图的图示，在附图中，相同的附图标记表示类似的元件，并且在附图中：

图1A是框图，展示了根据实施例的用于执行指令的处理部件；

图1B展示了根据实施例的用于针对代码和数据执行具有保护的应用的系统；

图2展示了根据一些实施例的存储器地址空间中的存储器隔室；

图3A展示了根据一些实施例的具有存储器中的多个服务隔室的系统；

图3B展示了根据实施例的访问能力分组；

图3C展示了根据实施例的访问能力分组；

图4A展示了根据实施例的访问能力分组；

图4B是块流程图，展示了对能力进行检查的实施例；

图4C展示了根据实施例的访问能力分组；

图5是块流程图，展示了根据一些实施例的对指针进行加密以生成能力；

图6A是块流程图，展示了根据一些实施例的对GenCap(生成能力)指令的执行；

图6B展示了根据一些实施例的GenCap指令的输入和输出；

图6C是块流程图，展示了根据一些实施例的对CheckCap(检查能力)指令的执行；

图7A至7D是展示了根据实施例的能力生成、能力检查流、和相关联子流的伪代码；

图7A是根据实施例的用于生成消息认证码(MAC)的伪代码；

图7B是根据实施例的GenCap指令的伪代码；

图7C是根据实施例的CheckCap指令的伪代码；

图7D是根据实施例的由CheckCap指令调用的CheckBound(检查边界)辅助功能的伪代码；

图8A是块流程图，展示了根据一些实施例的安全检查；

图8B是块流程图，展示了根据一些实施例的安全检查的CheckPointer(检查指针)子流程；

图8C是块流程图，展示了根据一些实施例的安全检查流程的CheckBoundSlice(检查边界切分)子流程；

图8D是块流程图，展示了根据一些实施例的安全检查流程的CheckBoundSlice子流程；

图9是块流程图，展示了根据一些实施例的未编码指针与能力之间的转换；

图10展示了根据一些实施例的通过在每个ENDBRANCH(末端分支)之后添加边界检查来维护服务隔室之间的完整性；

图11展示了根据实施例的使用内联编码能力的端对端系统；

图12展示了根据实施例的用于使用具有多个地址空间的内联编码能力的系统；

图13展示了根据一些实施例的包括栈的存储器映射；

图14A至图14B是框图，展示了根据一些实施例的通用向量友好指令格式及其指令模板；

图14A是框图，展示了根据一些实施例的通用向量友好指令格式及其A类指令模板；

图14B是框图，展示了根据一些实施例的通用向量友好指令格式及其B类指令模板；

图15A是框图，展示了根据一些实施例的示例性特定向量友好指令格式；

图15B是框图，展示了根据一个实施例的特定向量友好指令格式的构成全运算码字段的字段；

图15C是框图，展示了根据一个实施例的特定向量友好指令格式的构成寄存器索引字段的字段；

图15D是框图，展示了根据一个实施例的特定向量友好指令格式的构成增强运算字段的字段；

图16是根据一个实施例的寄存器架构的框图；

图17A是框图，展示了根据一些实施例的示例性有序流水线和示例性寄存器重命名、无序发出/执行流水线两者；

图17B是框图，展示了根据一些实施例的有序架构核的示例性实施例以及有待包括在处理器中的示例性寄存器重命名、无序发出/执行架构核的示例性实施例两者；

图18A至图18B展示了更具体的示例性有序核架构的框图，所述核是芯片中的若干个逻辑块(包括相同类型和/或不同类型的其他核)之一；

图18A是根据一些实施例的单个处理器核以及其至管芯上互连网络的连接及其2级(L2)高速缓存的本地子集的框图；

图18B是根据一些实施例的图18A中的处理器核的一部分的放大视图；

图19是根据一些实施例的处理器的框图，所述处理器可以具有多于一个核、可以具有集成存储器控制器、以及可以具有集成图形；

图20至图23是示例性计算机架构的框图；

图20示出了根据一些实施例的系统的框图；

图21是根据一些实施例的更具体的第一示例性系统的框图；

图22是根据一些实施例的更具体的第二示例性系统的框图；

图23是根据一些实施例的片上系统(SoC)的框图；并且

图24是对照根据一些实施例的用于将源指令集中的二进制指令转换为目标指令集中的二进制指令的软件指令转换器的使用的框图。

具体实施方式

在以下描述中，阐述了各种具体细节。然而，应理解的是，一些实施例可以在没有这些具体细节的情况下实践。在其他情况下，未详细示出公知的电路、结构和技术，以避免模糊对本说明书的理解。

在说明书中提到“一个实施例”、“实施例”、“示例实施例”等指示所描述的实施例可以包括特征、结构、或特性，但每一个实施例可能不一定包括所述特征、结构、或特性。另外，此类短语不一定指同一实施例。进一步地，当关于实施例描述特征、结构或特性时，认为的是，在本领域技术人员知识范围内，不论是否有显式描述，可以与其他实施例结合实现这样的特征、结构或特性。

所公开的实施例涉及内联编码能力(EIC)并且描述了实施能力机器语义的编码指针。在一些实施例中，地址空间被划分成多个隔室，每个隔室与代码相关联、具有对私有存储器的访问以及对共享堆中的消息对象的访问。在操作中，可信执行环境(TEE)接收从第一隔室发送消息的指令(例如，如关于图6A至图6B展示和描述的GenCap)，所述请求包括指向堆中的消息块的指针和目的地隔室标识符。所述TEE通过以下操作来进行响应：认证所述请求(例如，确认消息块处于授权地址范围内)、生成相应的编码能力、将所述编码能力传达至所述目的地隔室、并且调度所述目的地隔室对所述请求进行响应。

在一些实施例中，隔室与用于执行功能或服务或微服务或功能即服务(FaaS)的代码相关联，在这种情况下，所述隔室被称为服务、或微服务、或连网服务。

应注意的是，各种技术本文中有时是指所公开实施例的隔室或可信环境。术语“服务保护域(service protection domain)”有时用于指被托管在受保护隔室中的单独服务。术语“根保护域(root protection domain)”、“可信运行时间(trusted runtime)”、和“可信执行环境(trusted execution environment)”有时用于指控制服务保护域的执行的可信托管部件。在一些实施例中，TEE使用

软件防护扩展(SGX)。所公开的隔室在本文中有时被称为“保护域(protection domains)”或飞地。因此，可信执行环境(TEE)有时被称为“根保护域(PD)”。TEE在本文中有时还被称为“可信运行时间”。在一些实施例中，多个“保护域”存在于单个飞地中。

随后，所述TEE通过以下操作对来自所述目的地隔室的检查能力请求(例如，如关于图7展示和描述的CheckCap)进行响应：检查所述编码能力、并且在所述检查通过时提供用于访问所述消息块的存储器地址、并且否则生成故障。因此，所公开的实施例将每个隔室的私有存储器区域与其他隔室的私有存储器区域隔离。换言之，每个隔室仅能够访问其自身私有存储器区域，而不能够访问其他隔室的私有存储器区域。每个隔室进一步用于仅访问共享堆中指派给其的消息块，而不能访问指派给其他隔室的消息块。

所公开的实施例提供用于将地址空间细分成任意数量隔室以及用于在所述隔室之间高效地切换并且在所述隔室之间通信的可扩展解决方案。所公开的实施例还支持高效边界检查，所述高效边界检查可用于委托对隔室之间的对象的访问或强制实施存储器安全性。所述公开实施例通过使功能间通信开销(用于执行可变性的重要贡献因素)最小化来减少功能执行的可变性(当前FaaS中的重要问题)。

如本文所使用的，术语“隔室(compartment)”是指存储器区域或分区，并且与用于执行功能或服务的代码相关联。因此，隔室在本文中有时被称为“微服务”、“服务”、或“连网服务”。

在一些实施例中所公开的EIC指针用于隔离微服务或功能即服务(FaaS)功能。所公开的实施例进一步提供对共享对象的低开销、细粒度访问控制。一些实施例通过提供在体系结构上可视的安全检查和隔室边界以帮助引导和优化侧通道缓解来进一步改善计算设备。

根据一些实施例，定义用于对存储器访问执行安全检查的新指令(例如，GenCap和CheckCap)，或替代性地可以增强所有指令中的存储器操作数的语义以内联地执行安全检查。

一些实施例通过对消息对象进行加密来进一步增强安全性。例如，一些实施例使用高级加密标准(AES)密码来加密指针，其中，密钥存储在用户模式可访问寄存器中，EIC_AUTH_KEY(EIC_认证_密钥)用于指定将用于加密的密码密钥。在一些实施例中，AES如2001年美国国家标准与技术研究院(NIST)建立的用于加密电子数据的高级加密标准规范中所描述的那样实施。可信执行环境(TEE)访问寄存器，并且其可以更新、保存、或恢复所述寄存器中的密钥。在指针可以用于执行存储器访问之前，检查所述指针以校验没有修改任何固定位。至少关于图6A、图6B和图7进一步展示和描述在通过编码指针访问存储器之前执行的详细检查和指针操纵。

如将关于图2及之后附图描述和展示的，所公开的实施例定义了至少一个共享存储器区域并且使用编码能力来引用所述区域内的对象，使得如果隔室(本文也称为“保护域”)具有相应的能力，则仅允许其访问共享存储器中的对象。相比之下，每个隔室自由访问其私有存储器区域的内容。当前隔室的共享和私有存储器区域两者都使用基址和掩码寄存器来定义，尽管共享存储器区域可以具有拥有固定值的隐式掩码寄存器，原因将很快就会变得明显。TEE用于：配置这些基址和掩码寄存器、调度对隔室的调用、并且在共享堆内分配存储器。TEE自由访问整个地址空间，所述整个地址空间包括所述地址空间内的所有隔室。

与每个隔室相关联的代码可以存储在私有存储器区域内或其外部，但如果所述代码存储在私有存储器区域内，则其被写保护，以确认不违反其安全配备(instrumentation)、控制流、指令限制等。在一些实施例中，单独代码实例与每个隔室相关联，或在多个隔室实例之间共享代码的单个副本。使用专用副本的一个优点在于使用常规RIP相对地址来直接寻址全局变量是可能的。

在替代性实施例中，在共享代码的单个副本时，描述了通过将偏移量与私有存储器区域基地址相拼接来将私有存储器区域内的偏移量转换成绝对线性地址的新指令。替代性地，一些实施例描述了相对于私有存储器区域的基址的RIP相对存储器操作数。在一些实施例中，TEE在调度隔室时启用所述控制，并且在从隔室调用所述TEE时禁用所述控制。当然，在一些实施例中，底层OS内核和虚拟机管理器(VMM)也认知这些重新定义的存储器操作数语义。

如本文描述的编码能力可以被打包到标准64位指针的存储器装置中，这具有显著优势，诸如，使所需译码器变化最小、与标准指针运算兼容、以及高效的存储。然而，还可以扩展这种编码，这带来其他益处，诸如，能够覆盖更大共享堆、更强MAC等。

图1是框图，展示了根据一些实施例的针对指令的处理部件。如所展示的，存储装置101存储待执行的(多个)指令103。在一些实施例中，计算系统100是用于同时处理紧缩数据向量的多个元素的SIMD处理器。

在操作中，通过取出电路系统105从存储装置101中取出(多个)指令103。所述所取出的指令107由解码电路系统109解码。关于图14A至图14B和图15A至图15D进一步展示和描述了指令格式。解码电路系统109将所取出的指令107解码成一个或多个操作。在一些实施例中，这种解码包括生成待由执行电路系统(诸如，执行电路系统117)执行的多个微操作。解码电路系统109还对指令后缀和指令前缀(如果使用的话)进行解码。以下至少关于图17A至图17B和图18A至图18B进一步描述和展示了执行电路系统117。

还示出了根据关于图2至图14和图17A至图18B描述和展示的实施例的可信执行环境(TEE)118，所述可信执行环境用于执行内联编码能力。利用虚线边框示出了TEE 118，以指示其可以可选地包括在执行电路系统117中。TEE 118还可以包括执行电路系统117外部的硬件。TEE还可以包括一些软件功能。根据一些实施例，TEE 118提供并且配置被标记为120A至120N的多个隔室#1-#N(每个隔室具有被标记为122A至122N的私有数据区)和所有的共享堆124。

在一些实施例中，寄存器重命名、寄存器分配和/或调度电路113提供以下功能中的一项或多项：1)将逻辑操作数值重命名为物理操作数值(例如，在一些实施例中，寄存器别名表)；2)向经解码指令分配状态位和标记；以及3)调度经解码指令111以供在指令池之外的执行电路系统117上执行(例如，在一些实施例中，使用保留站)。

寄存器(寄存器堆)和/或存储器115将数据存储为待由执行电路系统117操作的解码指令111的操作数。示例性寄存器类型包括写掩码寄存器、紧缩数据寄存器、通用寄存器、和浮点寄存器，如以下至少关于图16进一步描述和展示的。

在一些实施例中，写回电路119提交解码指令111的执行结果。关于图17A至图17B和图18A至图18B进一步展示和描述了执行电路系统117和系统100。

图1B展示了根据实施例的用于针对代码和数据执行具有保护的应用的系统。示出了根据一些实施例的更具体的第一示例性系统150的框图。如在图1B中所示的，多处理器系统150包括第一处理器151和第二处理器161，所述处理器中的每一个可以是处理器1900的某个版本(图19)。处理器151和处理器161被示出为分别包括集成存储器控制器(IMC)单元182和192。如所示的，IMC 182和IMC 192将处理器耦合至对应存储器，即存储器184和存储器194，所述存储器可以是主存储器的本地附接到对应处理器的部分。

处理器151包括系统代码158，所述系统代码包括操作系统和虚拟机管理器(VMM)。处理器151还包括可信执行环境(TEE)156，所述TEE管理对线程152和154的保护，所述线程中的每一个都具有包括私有代码、栈、和全局变量的飞地或私有数据区域。保护每个线程私有数据区域不被任何其他线程访问。每个线程152和154还包括线程数据、不受保护存储器区域。处理器151具有可由两个或更多个线程访问的共享堆157。

处理器161包括系统代码168，所述系统代码包括操作系统和虚拟机管理器(VMM)。处理器161还包括可信执行环境(TEE)166，所述TEE管理对线程162和164的保护，所述线程中的每一个都具有包括私有代码、栈、和全局变量的飞地或私有数据区域。保护每个线程私有数据区域不被任何其他线程访问。每个线程162和164还包括线程数据、不受保护存储器区域。处理器161具有可由两个或更多个线程访问的共享堆167。

处理器161还包括可信执行环境(TEE)166，所述TEE管理对线程162和164的保护，所述线程中的每一个都具有包括私有代码、栈、和全局变量的飞地或私有数据区域。保护每个线程私有数据区域不被任何其他线程访问。每个线程162和164还包括线程数据、不受保护存储器区域。处理器161具有在其存储器中的共享堆167，所述共享堆可由两个或更多个线程访问。

处理器151和161可以各自与芯片组170交换信息，所述芯片组可以可选地与协处理器178交换信息。在一个实施例中，协处理器178是如例如高吞吐量MIC处理器、网络或通信处理器、压缩引擎、图形处理器、GPGPU、嵌入式处理器等专用处理器。

共享高速缓存(未示出)可以包括在任一处理器中或者在两个处理器外部但又与所述处理器相连接，使得如果处理器被置于低功率模式下，则任一或两个处理器的本地高速缓存信息可以被存储在所述共享高速缓存中。

芯片组170可以耦合至第一总线180。在一个实施例中，所述第一总线是外围部件互连(PCI)总线，或诸如PCI Express总线或另一种第三代I/O互连总线的总线，但是所公开的实施例的范围不限于此。

如图1B中所示，各种I/O装置174以及总线桥接器172可以耦合到第一总线180，所述总线桥接器将第一总线180耦合到第二总线(未示出)。在一个实施例中，一个或多个附加处理器(诸如，为高吞吐量MIC处理器的协处理器178、GPGPU、加速器(如例如，图形加速器或数字信号处理(DSP)单元)、现场可编程门阵列、或任何其他处理器)被耦合至第一总线180。进一步地，音频I/O 176可以耦合至第二总线(未示出)。应注意的是，其他架构是可能的。

在操作中，处理器151和161用于加载应用186、188、196和198并且分别在线程152、154、162和164中执行这些应用，所述应用包括将在线程152、154中执行的、存储在其相关联的存储器184和194的计算机可执行指令。

图2展示了根据一些实施例的存储器地址空间中的存储器隔室。如所示的，多个隔室(亦称为功能、服务、微服务或FaaS)占用存储器映射202、204和206中的每一个中的地址空间。在存储器映射202中，每个隔室具有其自己的地址空间。在存储器映射204中，每个隔室是地址空间的划分区的一部分，其中，每个划分区有16个可能的服务。在存储器映射206中，所有的功能都是单个地址空间的一部分。

图3A展示了根据一些实施例的具有存储器中的多个服务隔室的系统。如所示的，系统300包括服务#1隔室302，所述隔室包括其栈306、其私有堆308和其全局变量304(即，存储在寄存器或存储器中的全局变量)。栈306、私有堆308和全局变量304在本文中有时被称为存在于服务#1隔室302的“私有存储器区”或“私有存储器区域”内。还示出了服务#2隔室312，所述隔室包括其栈316、其私有堆318和其全局变量314(即，存储在寄存器或存储器中的全局变量)。栈316、私有堆318和全局变量314在本文中有时被称为存在于服务#2隔室312的“私有存储器区”或“私有存储器区域”内。应理解的是，栈、堆、和全局变量是针对隔室中的每一个示出的逻辑结构，但是在一些实施例中单个存储器用于为全部三个功能服务。还展示了共享堆/黑板310，其中，消息对象320从服务#1隔室302过渡到服务#2隔室312。如所示的，服务#1隔室302、服务#2隔室312和共享堆310是单个地址空间325的所有部分。

还展示了单个地址空间控制器330，所述单个地址空间控制器包括具有引用计数的共享堆存储器分配器332、可信执行环境(TEE)334和用于在服务336之间传送消息对象的调度器。所述展示的单个地址空间控制器330的部件包括用于执行其功能的电路系统和存储器资源。在一些实施例中，如在此，作为服务隔室的一部分运行的代码和服务受TEE 334控制，在一些实施例中，所述TEE被提供为

SGX，以在使用中针对TEE范围内的攻击类型保护软件运行时间和应用。

在操作中，TEE 334用于将存储器内的地址空间划分成多个隔室(在此被示出为隔室302和312)和共享堆310。在此，每个隔室302和312包括与用于执行功能的代码相关联的私有存储器。在此，隔室302和312具有包括其栈、私有堆、和全局变量的私有存储器区。在一些实施例中，TEE 334用于提供功能并且调度用于服务#1隔室和服务#2隔室的代码的操作。如本文所使用的，可以把所述代码称为服务、微服务、连网服务、或功能即服务(FaaS)。作为提供的一部分，TEE 334将指针指派给存储在共享堆中的一个或多个消息对象。因此，TEE334分配用于缓冲消息的存储器并且提供指向隔室中的每一个的指针，以访问(多个)消息对象。

继续操作，在某个点处，在服务#1隔室中的代码开始运行之后，TEE 334接收从第一隔室发送消息的请求，所述请求包括指向堆中的消息块的指针和目的地隔室标识符(即，服务#2隔室312)。作为响应，TEE 334认证所述请求、生成相应的编码能力、将所述编码能力传达至所述目的地隔室、并且调度目的地隔室对所述请求进行响应。随后，所述TEE 334接收通过以下操作响应来自服务#2隔室312的检查能力请求：检查所述编码能力；并且在所述检查通过时，向服务#2隔室312提供用于访问所述消息块的存储器地址；并且否则生成故障。如所示的，每个隔室与其他隔室隔离、不能够访问其他隔室的私有存储器区域、并且不能够访问共享堆中指派给其他隔室的任何消息对象。

图3B展示了根据实施例的访问能力分组。如所示的，访问能力分组350包括上下文352、消息认证码(MAC)354、上边界(UB)356、下边界(LB)358、受约束指针位360、和不受约束位362。在操作中，MAC 354用于检测由服务保护域对固定位(边界和受约束指针位)的修改。固定位：UB 356、LB 358和受约束指针位360是“固定位”，这防止了服务保护域受不可检测地修改。所述固定位指示对象的基址和限制。另一方面，允许不受约束位362被服务保护域修改(回顾一下如上定义的，服务保护域与被托管的各个服务相对应)。不受约束位的数量由对象的大小确定，所述对象的大小从基地址的较高地址位中推断出。例如，8字节对象需要3个不受约束位。对象在相应的二次幂分块边界处对准。

图3C展示了根据实施例的访问能力分组。如所示的，访问能力分组370包括上下文372、消息认证码(MAC)374、分块376、下边界(LB)378、受约束指针位380、和不受约束位382。

在一些实施例中，仅使用二位来编码分块376。在这种实施例中，分配有某一分块大小的每个对象包括至少五个分块。否则，其将装配八个或更少较小分块，因为分块大小为连续的二次幂范围。因此，需要在分块376中对仅四个值(5至8)的范围进行编码。

在操作中，MAC 374用于检测由服务保护域对固定位(边界和受约束指针位)的修改。固定位：分块376、LB 378和受约束指针位380是“固定位”，这防止了服务保护域受不可检测地修改。所述固定位指示对象的基址和限制。

另一方面，允许不受约束位382被服务保护域修改(回顾一下如上定义的，服务保护域与被托管的各个服务相对应)。不受约束位的数量由对象的大小确定，所述对象的大小从基地址的较高地址位中推断出。例如，8字节对象需要3个不受约束位。对象在相应的二次幂分块边界处对准。

图4A展示了根据实施例的访问能力分组。如所示的，访问能力分组400包括上下文/UBHI[2]402(其包括2位)、MAC[25]404(25位)、UB_LO[2]406(2位)、LB[3]408(3位)和指针[32]410(32位)。还示出了固定(MAC)位412、包括[31:log2(分块大小)+3]的受约束地址位414、包括[log2(分块大小)+2:0]的不受约束地址位416。如本文所使用的，分块大小可以是2的任何次幂，即，2、4、8、16等。

上下文字段402将编码指针与未编码指针区分开，使得可以使用同一指令来处理这两者。这个字段还支持与存储器安全解决方案的互操作性。EIC具有对支持受限对象大小和对准、以及存储在共享堆内的对象的限制，因此这有利于与其他机制进行互操作。

MAC 404防止对图中标识的固定位进行不可检测的修改。这些固定位标识对象的授权边界。注意的是，指针的一部分(不受约束地址位)不被MAC覆盖。这是隔室自由修改的部分，以引用授权对象的不同部分。然而，在一些实施例中，并非所有可能的不受约束地址位的值都被接受。以下将描述结合上边界({UB_HI:UB_LO})、下边界(LB)和分块大小的特定边界检查逻辑。替代性实施例通过在大小字段中简单地指定对象的二次幂大小或者隐式地基于地址位来采用更简单的编码，并且允许不受约束地址位的任何可能值。

图4B是块流程图，展示了对能力进行检查的可信执行环境(TEE)的实施例。如所示的，TEE通过在452处检索EIC_AUTH_KEY来执行检查流程450，EIC_AUTH_KEY为由TEE使用的并且隔室不知道的特许加密种子。在454处，TEE通过运行MAC算法来生成MAC，其中，固定(MAC)位412作为输入。在456处，TEE判定所生成的MAC与能力分组中的MAC位是否匹配。如果他们不匹配，则在460处生成故障。但是如果存在匹配，则TEE在458处生成并返回最终基地址，以用于访问消息对象。这个基地址可以与用于消息对象的原始基地址不同。然而，在一些实施例中，其仍被称为基地址，因为其用于比如计算随后存储器访问中的有效地址。如所示的，最终64位地址被标记为462和464，并且由与32位指针410拼接的32位EIC_SDR_BASE(EIC_SDR_基址)466组成。EIC_SDR_BASE指定共享数据区域的基地址的较高32位。

图4C展示了根据实施例的访问能力分组。如所示的，访问能力分组470包括上下文/UBHI[2]472(其包括2位)、MAC[25]474(25位)、分块[2]476(2位)、LB[3]478(3位)和指针[32]480(32位)。还示出了固定(MAC)位482、包括[31:log2(分块大小)+3]的受约束地址位484、包括[log2(分块大小)+2:0]的不受约束地址位486。如本文所使用的，分块大小可以是2的任何次幂，即，2、4、8、16等。

上下文字段472将编码指针与未编码指针区分开，使得可以使用同一指令来处理这两者。这个字段还支持与存储器安全解决方案的互操作性。EIC具有对支持受限对象大小和对准、以及存储在共享堆内的对象的限制，因此这有利于与其他机制进行互操作。

MAC 474防止对图中标识的固定位进行不可检测的修改。这些固定位标识对象的授权边界。注意的是，指针的一部分(不受约束地址位)不被MAC覆盖。这是隔室自由修改的部分，以引用授权对象的不同部分。然而，在一些实施例中，并非所有可能的不受约束地址位的值都被接受。以下将描述结合上边界({UB_HI:UB_LO})、下边界(LB)和分块大小的特定边界检查逻辑。替代性实施例通过在大小字段中简单地指定对象的二次幂大小或者隐式地基于地址位来采用更简单的编码，并且允许不受约束地址位的任何可能值。

图5是块流程图，展示了根据一些实施例的对指针进行加密以生成能力。如所示的，流程500包括标准高级加密标准(AES-128)502，所述标准高级加密标准接收作为输入的填充指针数据p位504和MAC密钥506，并且在其输出处生成馈送到截断阶段508的E_K(x)，所述截断阶段还接收输入m并且生成MAC 504，在此所述MAC为最高有效位(msb)_128-m(E_K(x))。

可以使用各种算法来计算MAC。从基于标准密码的观点来看，期望的一种算法是AES-128 502。MAC密钥506存储在用户模式可访问寄存器EIC_AUTH_KEY中。TEE访问寄存器，并且其可以更新、保存、或恢复所述寄存器中的密钥。在指针可以用于执行存储器访问之前，检查其MAC以校验没有修改任何固定位。

以下将描述在通过编码指针访问存储器之前执行的详细检查和指针操纵，这还将阐明EIC_SDR_BASE寄存器的目的。

注意的是，与常规64位范围寄存器或边界(诸如，

存储器保护扩展(MPX)中使用的那些)相比，这些检查的优点在于对非常小数字(大多数只有三位的长度)执行比较，这减少了能量使用和等待时间。

图6A是块流程图，展示了根据一些实施例的对GenCap指令的执行。如所示的，流程600包括将作为fedFcrypto的对象基址和隐式较高地址602以及对象大小604输入到GenCap606中，所述GenCap在608处检查大小和较高地址位并且在610处认证请求。GenCap 606生成能力612作为其输出。

图6B展示了根据一些实施例的GenCap指令的输入和输出。如所示的，GenCap流程630包括输入：pointer[63:32]632(指针[63:32]632)、25-bit ObjBase[31:ChSize+3]634(25位对象基址[31:分块大小+3]634)和ObjBase[ChkSize+2:0]636(对象基址[分块大小+2:0]636)。执行GenCap，包括执行MAC功能648，其中，密钥650作为输入，以生成由编码UB_HI(2'b01)638、MAC 640、UB_LO(合成分块)642、LB 644和对象基址[31:0]646组成的64位访问能力。

图6C是块流程图，展示了根据一些实施例的对CheckCap指令的执行。如所示的，流程660包括输入被馈送到CheckCap 666中的能力662和访问大小664，所述CheckCap在668处检查边界和认证并且在670处执行解码。因此，CheckCap生成存储器地址指令672。

图7A至7D是展示了根据一些实施例的能力生成、能力检查流、和相关联子流的伪代码。

图7A是根据一些实施例的用于生成消息认证码(MAC)的伪代码。如所示的，伪代码700使用高级加密标准(AES)来生成消息认证码(MAC)。关于图3A至图6C、图8至图12、图17A至图17B、和图18A至图18B进一步展示和描述了所公开实施例的执行和安全检查流程。

图7B是根据一些实施例的GenCap指令的伪代码。如所示的，伪代码710用于GenCap例程，以生成授予访问存储在共享堆中的消息对象并且具有指定基地址和大小的编码认证能力。关于图3A至图6C、图8至图12、图17A至图17B、和图18A至图18B进一步展示和描述了所公开实施例的执行和安全检查流程。

图7C是根据一些实施例的CheckCap指令的伪代码。如所示的，伪代码720用于CheckCap指令，以在给出编码认证能力或未认证存储器指针和访问大小的情况下测试是否允许访问(多个)指示存储器位置。关于图3A至图6C、图8至图12、图17A至图17B、和图18A至图18B进一步展示和描述了所公开实施例的执行和安全检查流程。

图7D是根据实施例的由CheckCap指令调用的CheckBound辅助功能的伪代码。如所示的，伪代码730用于CheckBound指令，以检查指针值是否在其授权边界内。关于图3A至图6C、图8至图12、图17A至图17B、和图18A至图18B进一步展示和描述了所公开实施例的执行和安全检查流程。

图8A是块流程图，展示了根据一些实施例的由可信执行环境(TEE)执行的安全检查。如所示的，TEE通过利用指针和要访问的最大偏移量调用CheckCap指令来执行从802处开始的流程800。在804处，TEE确定：上下文字段是否指示这是编码指针(即，其位不同)？如果是，则在806处，TEE确定：是否有Pointer[ChkSz+2:ChkSz]<LB(指针[分块大小+2:分块大小]<下边界)？然后，在808处，TEE递减Pointer[27:ChkSize+3](指针[27:分块大小+3])，并且在810处调用子流程：检查指针(其在图8B处展示和描述)。另一方面，如果在确定804处回答是“否”，则TEE在812处确定：能力是否落入由定义当前隔室的私有存储器区域的EIC_PDR_RAS(私有数据区域的基地址)/EIC_PDR_MASK(用于私有数据区域的掩码)基址/掩码寄存器对定义的区域内？如果是，则TEE在814处返回未修改的输入指针，并且如果否，则TEE在816处生成故障。在一些实施例中，使用CheckCap指令来强制实施指定的私有数据区域。在EIC_PDR_MASK中的集合位指定私有数据区域中尝试访问的地址中的相应位与基址中相应位的值相匹配，否则生成故障。

关于图3A至图7D、图9至图12、图17A至图17B、和图18A至图18B进一步展示和描述了所公开实施例的执行和安全检查流程。

图8B是块流程图，展示了根据一些实施例的安全检查流程的CheckPointer子流程。如所示的，可信执行环境(TEE)将执行从832处开始的流程830，其中，所述TEE利用指针和待访问的最大偏移量来调用CheckCap指令。在834处，TEE用于确定：上下文字段是否指示这是编码指针(即，其位不同)？如果否，则TEE在842处确定：能力是否落入由定义当前隔室的私有数据区域的EIC_PDR_BASE/EIC_PDR_MASK基址/掩码寄存器对定义的区域内？如果否，则TEE在846处生成故障。但是如果在842处的回答为“是”，则TEE在844处返回未修改输入指针。

返回到834，如果回答为“是”，则TEE在836处判定是否有UB≤LB&&Pointer[ChkSz+2:ChkSz]<UB(上边界≤下边界&&指针[分块大小+2:分块大小]<上边界)。如果否，则TEE在840处调用CheckPointer子流程。

另一方面，如果在836处的回答为“是”，则TEE在838处递减pointer[27:ChkSize+3](指针[27:分块大小+3])，并且然后在840处，TEE调用CheckPointer子流程。

图8C是块流程图，展示了根据一些实施例的安全检查流程的CheckPointer子流程。在CheckPointer是在840处被调用情况下的子流程(图8B)。如所示的，可信执行环境(TEE)执行从852处开始的流程850。在854处，TEE用于确定：MAC检查是否成功？如果否，则TEE在868处生成故障并且流程结束。并且如果在854处的回答为是，则TEE在856处调用子流程CheckBoundSlice(图8D中描述的)。然后，在858处，TEE用于确定：是否有MaxOff[63:ChkSize+3]＝＝0？如果否，则TEE在868处生成故障。但是，如果是，则TEE在860处设置PointerEnd＝Pointer[Chkize+2:0]+MaxOff[ChkSize+2:0]。然后，在862处，TEE用于确定：是否存在对PointerEnd(指针末端)的实施？如果否，则TEE在864处调用子流程：CheckBoundSlice，用PointerEnd代替指针。但是如果在862处的回答为是，则TEE在866处用于确定：以上是否执行递减？如果是，则TEE在868处生成故障。但是如果否，则TEE在872处确定：是否有PointerEnd[ChkSize+2:ChkSize]<UB？如果否，则TEE在868处生成故障。但是如果在872处回答为是，则TEE在874处返回EIC_SDR_BASE的较高32位与原始输入能力的较低32位(即，丢弃slice[27:ChkSize+3](切分[27:分块大小+3])的任何递减)的拼接。

图8D是块流程图，展示了根据一些实施例的安全检查流程的CheckBoundSlice子流程。CheckBoundSlice是在通过操作856调用的情况下的子流程(图8C)。CheckBoundSlice流程从882处开始。在884处，TEE用于确定：LB<UB是否成立？如果否，则TEE在890处用于确定：是否有LB<＝Pointe[ChkSize+2:ChkSize]||Pointer[ChkSize+2:ChkSize<UB？如果否，则TEE在892处生成故障。但是如果在890处的回答为是，则TEE在894处将CheckPointer返回调用流程(图8C)。

返回到884，如果回答为是，则TEE在888处用于确定：是否有LB<＝Pointer[ChkSize+2:ChkSize]&&Pointer[ChkSize+2:ChkSize<UB？如果否，则TEE在892处生成故障。但是如果在888处的回答为是，则TEE在894处将CheckPointer返回调用流程(图8C)。

图9是块流程图，展示了根据一些实施例的未编码指针与能力之间的转换。展示了从可信执行环境生成未经编码的指针、对其进行认证、将其提供给隔室并且然后隔室对其进行使用的整个流程。

如所示的，流程900将由包括可信执行环境(TEE)的执行电路系统执行并且在902处开始，其中，TEE接收未编码指针。连同输入一起，TEE在904处将接收指针到能力(Pointer-to-Capability)指令，诸如，以上所描述的GenCap。在906处，TEE将生成能力(即，在此基于专用核寄存器中的暂时性密钥定义为具有内联存储器边界信息的编码认证指针)。在908处，TEE将接收能力到指针(Capability-to-Pointer)指令，诸如以上所述描述的CheckCap。在910处，流程以TEE提供未编码指针(例如，将由目的地隔室用于访问从另一隔室发送的消息块)结束。

图10展示了根据一些实施例的通过在每个ENDBRANCH之后添加边界检查来维护服务隔室之间的完整性。如所示的，系统1000包括保护域#11002，所述保护域包括函数1011、ENDBR64+ID检查函数1013、ENDBR64+ID检查函数1015、和ENDBR64+ID检查函数1017。系统1000进一步包括保护域#2 1022，所述保护域包括函数1031、ENDBR64+ID检查函数1033、ENDBR64+ID检查函数1035、和ENDBR64+ID检查函数1037。

还示出了在保护域1002与1022之间过渡的消息块1020。

在操作中，当前保护域ID被存储在线程本地位置中并且在每个授权间接分支目标之后进行检查。根保护域(PD)(有时被称为TEE)提供可由非根PD用于调用根PD的一个特殊入口点。所述根保护域具有ENDBR64指令，但是没有随后的ID检查。

在操作中，根PD(即，TEE)确定接下来调用哪个PD，并在调用其之前更新当前调度PD的线程本地指示符。根PD维护服务PD的影子栈，以防止使用返回在服务之间执行未授权控制流传递。

一些实施例采用通过针对当前PDID(保护域ID)检查位掩码来允许在多个隔室之间共享功能的替代方案。如果设置由当前PDID索引的位掩码中的位，则允许调用。但是，这限制了每个运行时间实例中同时支持的PDID的数量。在一些实施例中，同时支持不局限于单个隔室的功能以及在隔室之间共享的那些功能，并且每个功能都使用适当类型的检查。

在一些实施例中，在加载之前扫描用于每个隔室的代码，以确认利用CheckCap指令和

控制流增强技术(CET)控制流检查对其进行适当的配备并且确定其不包括尝试用于配置EIC或提取其密钥或调用未授权系统调用的禁止指令，诸如，WRPKRU指令。这种加载时间检查校验已经由CheckCap生成了所有间接存储器访问。CheckCap透明地处置和检查对私有存储器区域的未编码引用以及指向共享黑板的认证能力两者。在这种实施例中，故障(#GP)导致活动服务保护域的立即终止，以减轻对EIC的暴力攻击。一些实施例还检查直接分支，以确认其保持在隔室的边界内。

新兴格式(诸如，WebAssembly)简化了扫描代码并且他们可与这种方法兼容。WebAssembly还带来诸如固有控制流完整性等益处，比如，消除使用CET的需要，并且因此提供改进的性能。

注意的是，在一些实施例中，用于每个隔室的代码驻留在所述隔室的私有存储器区域的外部，这还有效地强制实施用于保护嵌入在所述代码中的秘密的仅执行许可。

仍存在的一些可能性是，对手可以不可检测地伪造能力。一些实施例对共享堆中的数据应用认证加密并且经由可信执行环境将用于认证加密的密钥和随机数高效地传递至数据的预期目的地。这与通过网络建立加密隧道相比是非常轻量级的过程。认证加密保护数据的完整性和机密性两者。一些实施例针对每次交换使用不同的密钥或随机数，从而提供重放保护。

图11展示了根据实施例的使用内联编码能力的端对端系统。如所示的，系统1100包括源文件1102和增强LLVM编译器1104。

如本文所使用的，LLVM是指LLVM编译器基础设施项目，所述LLVM编译器基础设施项目是用于开发编译器前端和后端的模块化和可重用编译器和工具链技术的集合。LLVM特征、文件、和相关文档可在llvm.org处获得。

系统1100进一步包括配备EIC的可执行和可链接格式(ELF)服务图像1106，所述配备EIC的可执行和可链接格式服务图像经由arc 1112馈送至与主机管理服务1108一起工作的基于Solo5ukvm的用户空间监测器1110。如本文所使用的，Solo5是用于unikernel(轻量级的可启动磁盘镜像)(在此被示出为ukvm)的沙箱式执行环境。如所示的，系统由KVM 1122和具有EIC 1124的CPU支持。如本文使用的，KVM是指基于内核的虚拟机，所述基于内核的虚拟机是用于将其转化为管理程序的Linux内核的虚拟化基础设施。

1110的输出经由arc 1114传送至基于Solo5的根PD(有时被称为TEE)1116，所述基于Solo5的根PD耦合至基于Solo5 1118和NetBSD残余内核1120。

当然，应当理解的是，在端到端流程中展示的部件仅是可以从所公开的内联编码能力(EIC)中获益的示例性部件。所展示的部件不旨在限制所公开实施例的适用性。

支持EIC的软件创新

必须增强编译器以在存储器访问之前插入所需的CheckCap指令。在一些实施例中，编译器也被增强以显式地指定是否需要从多个隔室访问的特定全局变量，尽管将某些堆分配简单地置于共享数据区域中可能就足够了。

在一些实施例中，可信验证器部件在允许隔室启动之前校验所需的配备(例如，在ENDBRANCH指令之后的适当CheckCap指令和PDID检查)就位。替代性地，验证器接受中间表示作为输入并且插入适当配备本身。

可信执行环境提供服务，诸如，在共享堆和私有消息堆上的存储器分配、这些分配的引用计数、调度、适应本地和远程请求等。

在一些实施例中，可信执行环境决定何时分配和传递对象、是否在每个相关隔室中的共享堆(即，在他们较大的情况下)中或私有运行时间管理的消息堆中对其进行分配会更快。无论如何，用于分配和传递对象的应用编程接口(API)是完全相同的。可信执行环境透明地决定位置并且因此决定是否使用编码指针来引用对象。如果对象是小的并且被分配在私有消息堆上，则运行时间直接在这两个堆之间复制数据。运行时间使用引用计数来管理在共享堆以及每个私有运行时间管理的消息堆两者中的数据。注意的是，在一些实施例中，每个隔室还维持不受运行时间管理的其自己的私有堆。

在一些实施例中，可信执行环境提供通用数据传递API，所述通用数据传递API检测指定端点是处于同一地址空间还是不同的地址空间并且自动地使用最优的传输机制。这还支持与传统服务的透明互操作性。

注意的是，这个相同系统设计还可以与诸如保护密钥等替代性划分机制一起使用。

这仅是简单的架构，并且可以以多种其他方式实施单个地址空间隔离的基本概念以适应各种FaaS框架(诸如，OpenWhisk、Oracle Fn、商业FaaS出价等)的需求。

在一些实施例中，使用XSAVE/XRSTOR来保存和重新存储EIC状态。EIC不限于用户空间；其还可以用于内核中以例如隔离驱动器。

在一些实施例中，EIC状态(EIC_AUTH_KEY、EIC_SDR_BASE、EIC_PDR_BASE、EIC_PDR_MASK)被保存和重新存储在上下文切换上。为了实现这一点，他们可以是由XSAVE/XRSTOR指令存储的上下文的一部分并且还可以是用于VM切换的VMCS的一部分，因此使软件变化最小化。

只要可信执行环境为多个线程/核中每一个安装相同的EIC密钥，就可以在其上同时运行隔室。

在一些实施例中，针对隔室执行的每一个“时元(epoch)”使用单独的EIC密钥。如本文所使用的，隔室的寿命由一个或多个时元组成。例如，处置网络请求的服务为每个传入请求定义单独的时元。这使得服务能够跨多个请求将其状态保存在其私有存储器区域中，但是其仍然无法访问通过共享堆传递的消息。这是避免竞争条件的期望性质。例如，在一些实施例中，单个分组通过服务链传播，并且每次仅一个服务被授予访问分组。

在一些实施例中，除了隔室的普通执行上下文之外，还通过保存并且稍后重新存储EIC状态来支持对隔室的抢占。

需要非常迅速地生成EIC密钥以跟上对时元的创建和破坏。用于满足这个需求的一个选项是可信执行环境，用于将密钥生成任务卸载给诸如

快速辅助(QuickAssist)等加速器，并且存储从加速器接收的准备根据需要安装在EIC认证密钥寄存器中的多批密钥。替代性地，在一些实施例中，定义新指令以更新EIC认证密钥，并且甚至一旦安装前一密钥就开始在后台生成下一个密钥。

在一些实施例中，使用

快速辅助技术(QAT)加密API密钥导出函数(KDF)(如在cpa_cy_key.h中定义的那些)执行密钥导出/生成。QAT可以支持足以满足网络基础设施的需求的非常高的对称密钥生成吞吐量(在100Gbps范围内)。替代性地，NIST批准的KDF以硬件实施(NIST规范SP 800-108概述了密钥导出的基本框架)。例如，可以使用在计数器模式下使用具有从

数字随机数发生器(DRNG)中导出的密钥导出密钥(KDK)的伪随机函数(PRF)的KDF。

替代性实施例

在一些实施例中，能力信息是加密的而不是认证的，这伴随着某些权衡。可以在对能力/指针进行解码之前检测对认证能力的破坏，这可能对解释EIC的安全语义是有利的。相比之下，在对能力进行解码之后，在通过所得指针尝试访问时，检测对加密能力的破坏(例如，由于不规范性而导致的一般保护故障或由于指向未映射页面的概率性而导致的页故障)。然而，混合模型是可能的，其中，固定位被加密并且方案部分地依赖于后期检测到的故障以确保安全性，但是其中也执行早期检查。例如，在一些实施例中，将早期的规范性检查向前拉到CheckCap中，从而导致实际上的MAC检查。

在一些实施例中，重新定义了用于标准指令的存储器操作数以执行与存储器访问内联的CheckCap中的那些相同的检查。在X86中，通常使用采用[BASE+INDEX*SCALE]+DISPLACEMENT形式的SIB来编码地址。

示例：LEA 16(％RAX+％RCX*8)，％RDX

如果基址寄存器(在这个示例中为％RAX)通过其指针值的上下文字段中的特定模式被确定为能力，则有效的地址计算涉及隐式CheckCap操作，所述隐式CheckCap操作有利地允许插入CheckCap操作而不需要将其显式地插入。然而，仍然需要用于执行控制流检查的配备。一些实施例通过向指定页添加一些特征(诸如，用于限制相对指令指针值的线性范围寄存器)来消除所述配备，所述指定页可以在切换隔室或代码扫描时更新范围寄存器，以校验非特许服务内的任何代码流中都不存在这种更新指令。

EIC当前被定义为使硬件接触点最小化，因此指针操纵指令和寄存器文件不区分未编码指针与认证指针。

然而，在一些实施例中，构建对编码能力的更深支持提供了性能或保证益处。例如，在一些实施例中，定义了专用指针加载指令，用于检测在将指针加载到寄存器中时所述指针是否被认证，并在所述点执行认证。在这种情况下，跟踪对指针的更新并且在执行边界外指针更新时立即生成异常，尽管这可能导致与需要临时表示边界外指针的能力的某些编程语言不兼容。在一些实施例中，同样地，寄存器组被增强以对指针进行解码并以有助于更高效地检查和更新的扩展格式对其进行存储。

作为优化隐式CheckCap实施方式的另一替代性方案，在一些实施例中，使用类似于TLB或BTB的“存储器目标缓冲器(Memory Target Buffers)”实施转换的高速缓存，将能力映射到基址或到基址的指令，以避免对后续转换的需要。在一些实施例中，MTB记录包含简化对边界的修改的解码限制。MTB查找可以基于正在使用的能力或基于具有用于检查在指令的重复调用中是否使用相同能力的标记的执行指令的地址。

一些所公开的实施例关注于单个认证密钥，但其他实施例以直接方式扩展EIC以支持存储在单独寄存器中或基于上下文输入(例如，密钥ID)从单个主密钥导出的多个同时密钥。在一些这种实施例中，这些密钥中的每一个密钥都与单个共享数据区域或多个共享数据区域相关联。如在一些实施例中所做的那样，在不同寄存器中支持多个密钥的优点是通过刷新相应的密钥使得能够分别撤销不同的指针组。如在一些实施例中，即使具有单个主密钥寄存器，支持多个有效密钥对于粗粒度类型安全强制实施也是有用的。在各个实施例中，不同类型的对象具有其使用单独有效密钥来认证的指针。

也可能有用的是，在硬件中支持快速切换EIC隔室配置(EIC_AUTH_KEY、EIC_PDR_BASE、EIC_PDR_MASK和可能的EIC_SDR_BASE的设置)，而不是需要可信执行环境的参与。例如，在一些实施例中，定义了基于存储器中隔室描述符执行这种切换的新的原子分支类型。

为了回收更强MAC的位，在一些实施例中，例如通过要求所有指针都是16字节对准以避免存储指针的最低四位来减小整个指针的粒度。然而，这打破了与标准指针算法的兼容性，并为导出结构内的字段的指针等带来了挑战。

在一些实施例中，服务使用经批准的代码序列来使其已经接收的能力变窄，例如，如下所示：

CheckCap$sz，

MOV$(sz-8)，％RSI//新大小必须不大于原始大小

GenCap％RSI，

在从现有能力C0导出新能力C1时，强制实施的必要性质在于在任一方向上C1的授权边界必须不能超过C0的那些授权边界。只基于检测配对的GenCap和CheckCap指令的参数，就可以检查这种性质。

作为私有存储器区域基址/掩码对的替代性方案，在一些实施例中，相反地，指定范围寄存器以支持多个柔性对准。

如果编译器可以静态地区分访问私有存储器区域与共享数据区域的尝试，则在一些实施例中，编译器发出针对每次尝试定制的不同配备。例如，在一些实施例中，范围寄存器或基址/掩码对用于指定私有存储器区域，并且指令针对这些区域来检查地址，并且不同指令类型用于检查针对编码指针尝试的访问。替代性地，在一些实施例中，基于访问的有效段(例如，私有存储器区域内的DS、ES和SS和用于通过能力进行访问的GS)来执行隐式检查。

一些实施例除了数据指针之外还认证或加密代码指针。在一些实施例中，针对代码指针来定义不同上下文字段值。例如，如果上下文值2’b01用于数据指针，则上下文值2’b10用于代码指针。可以定义CheckCodeCap指令以认证和解码编码代码指针。在一些实施例中，间接分支指令在CheckCodeCap指令之后以确认间接分支被引导至授权目的地。这消除了对用于控制间接分支目的地的CET的需要。CheckCodeCap执行不同的检查，这取决于输入代码指针值是被编码(如通过使上下文值为2’b10所指示的)还是被未被编码(如通过使上下文值为2’b00或2’b11所指示的)。在一些实施例中，CheckCodeCap针对定义未检查的代码指针的授权代码区域的基址和掩码寄存器对来检查未编码代码指针，或者其可能仅不检查未编码的代码指针。在一些实施例中，将编码数据指针(如通过使上下文值为2’b01所指示的)传送至CheckCodeCap是不被允许的并且导致生成异常。对代码指针的编码比对数据指针的编码更简单，因为其不必指定代码指针的对象边界。因此，在一些实施例中，可以将指针位中的多个指针位分配给MAC以对其进行加强。替代性地，指针位中的多个指针位可以用于指定代码位置，从而使得能够访问较大的代码地址空间。在一些实施例中，定义GenCodeCap指令以接受作为输入的未编码代码指针并且生成作为输出的编码且认证代码。如果输入代码指针在编码形式中是不可表示的(例如，如果其具有与用于以编码指针格式存储上下文值或MAC的位位置重叠的较高地址位集)，则这种实施例生成故障。

多地址空间使用

本公开主要关注于在单个地址空间内隔离多个隔室，但是底层机制对限制从多个地址空间到以分页级别在其之间共享的存储区域的访问同样有用。在一些实施例中，EIC强加更细粒度级别的共享控制，使得即使整个共享数据区域可从所述集合中的每个进程获得，每个进程的沙盒式部分只能接收对所述共享区域内的特定对象的访问。当然，在一些实施例中，这是以直接方式扩展，以在部分或全部进程中支持多个隔室。

图12展示了根据实施例的用于具有多个地址空间的内联编码能力的系统。如所示的，存储器1200包括三个进程/VM实例1202、1220和1240。进程/VM#1 1202包括隔室#1私有数据区域1208、包括共享对象#1 1212的共享堆1210、和可信执行环境(TEE)1214，所述TEE包括具有引用计数的共享堆存储器分配器1216、以及用于与在其他进程中的可信运行时间通信以分配共享对象的协调器1218。进程/VM#2 1220包括隔室#2私有数据区域1228、可信执行环境1234、以及包括共享对象#1 1232和共享对象#2 1233的共享堆1230。进程/VM#31240包括隔室#3私有数据区域1248、可信执行环境1254、以及包括共享对象#2 1253的共享堆1250。尽管未示出，但每个TEE 1234和1254都包括用于与其他进程中的可信运行时间通信以分配共享对象的控制器(比如，协调器1218)。

如所示的，每个TEE 1214、1234和1254将提供和配置在其地址范围内的隔室。在一些实施例中，每个TEE 1214、1234和1254处于不同的处理器或处理器核中，并且在其他实施例中，TEE中的一个或多个处于同一处理器上。每个TEE 1214、1234和1254进一步用于接收并响应来自其构成隔室的GenCap和CheckCap请求。

在此，所展示的操作涉及用于将(经由GenCap)从隔室#2私有数据区域1228接收的第一和第二消息块分别发送至目的地隔室#1私有数据区域1208和#3私有数据区域1248的请求。在一些实施例中，TEE 1234接收并响应来自隔室#2私有数据区域1228的GenCap请求以生成访问控制能力，并且TEE 1214和1254用于分别接收和响应来自目的地隔室#1私有数据区域1208和#3私有数据区域1248的CheckCap请求。在其他实施例中，TEE 1234接收并响应来自隔室#2私有数据区域1228的GenCap请求以生成访问控制能力。在一些实施例中，TEE1234还通过其对应TEE 1214和1254从隔室#1私有数据区域1208和隔室#3私有数据区域1248接收的CheckCap请求进行响应。

图13展示了根据一些实施例的包括栈的存储器映射。如所示的，存储器映射1300包括上保护带的上半部1302、上保护带的下半部的最顶部字节1304，上保护带的排除其最顶部字节的上半部1306、栈1308、较低保护带的上半部1310和较低保护带的下半部1312。

具有GenCap和CheckCap指令的配备代码

在一些实施例中，使用CheckCap指令来配备存储器访问，例如：

(在输入时，存储在RAX中的编码指针)

CheckCap 7，

解码指针来自RAX并加装到RCX中

从对象加载

可以优化访问同一对象内的不同偏移量的代码序列，以仅执行指定最大偏移量的单个CheckCap。在此为示例：

(在输入时，存储在RAX中的编码指针)

CheckCap 23，解码指针来自RAX并加装到RCX中

从对象加载

从对象中的不同偏移量加载

在启动隔室之前检查配备足以强制实施安全性是验证器部件的责任。在这个示例中，检查使用RCX的任何地方，可以从RCX访问的最大偏移量小于或等于检查中指定的偏移量：23。如果在使用RCX指定地址之前有任何指令要修改所述RCX，则在检查期间必须考虑到这一点。某些修改可能对于验证器而言太复杂而无法对其进行静态校验，这取决于验证器分析复杂代码的能力。例如，如在一些实施例中，如果一些其他寄存器被添加至RCX，则验证器需要确定所述加数的可能值的界限，这可能需要附加的代码分析。在这种情况下，验证器拒绝提供的二进制。

除了以上所描述的用于减小所需CheckCap指令的数量的简单优化之外，更高级的优化是可能的，比如，用于优化MPX配备的那些优化。例如，在一些实施例中，迭代通过阵列的循环使CheckCap指令脱离循环并进行修改以立即检查整个迭代访问集。

执行CheckCap时检测到任何故障都必须触发故障隔室的立即终止，以阻止对EIC认证密钥的暴力攻击。终止隔室会导致擦除用于认证所述隔室的能力的密钥。对手可能仍然可以通过部署许多并行隔室并在每个隔室中尝试相同的攻击来发起分布式暴力攻击，但是这样的尝试可以由服务提供商检测(即，如果特定客户的隔室生成较大数量的故障，则所述客户可以被怀疑有恶意活动并且被阻止)。通常，CheckCap指令不应该生成故障，但良性软件缺陷可能会导致一些故障。

在过去，TSX被滥用作在安全攻击期间抑制故障的机制，并且在一些实施例中，对于启用EIC的工作负载，防止了这种使用。例如，在一些实施例中，CheckCap被定义为无条件中止以避免泄露关于MAC密钥的信息。

其还需要调整控制流转换，使得仅可信执行环境能够从一个隔室向另一个隔室传递控制。如以上所述，基于

控制流增强技术(CET)控制流检查的机制适用于调整这些控制流转换。

软件硬化/开发缓解使用

超出连网服务隔离，EIC可以用于为具有不同敏感水平的数据来定义存储器区域。例如，LLVM中的SafeStack传送存储始终安全访问的、与可能被不安全地访问的这些分配分离开的栈分配。这可以缓解ROP漏洞以及对溢出寄存器数据的损坏。然而，有必要保护安全栈免受例如由于迷途指针写入而引起的未授权访问。在一些实施例中，EIC通过将安全栈置于私有存储器区域之外并使用CheckCap指令仅配备未被授权访问安全栈的存储器访问来强制实施此类策略。此外，EIC支持通过为程序提供功能来使这种策略更加灵活，所述功能用于定义包含安全栈分配的边界并且将这些边界传送至可以执行不安全存储器访问的代码的能力。因为代码得以配备，所以CheckCap指令将防止任何不安全访问。在没有来自检查编码指针的开销，只有来自私有存储器区域基址/掩码检查的最小开销的情况下，仍然可以访问不安全栈分配和其他存储器分配。这使得附加敏感的栈分配能够选择性地移动到安全栈，即使编译器先前不能够这样做，考虑到在没有边界检查的情况下对对象进行不安全的访问的可能性。从根本上说，单个指令CheckCap处理编码指针和未编码指针两者的能力是提供这种灵活性的能力。

另一个类似的例子是DataShield(参见www.datashieldprotect.com)，所述DataShield允许开发人员注释敏感数据并确认可以访问所述数据的任何代码都配备有边界检查逻辑。其相对于边界检查所有数据提高了效率。当前，DataShield将边界信息存储在元数据表中，这通过要求敏感和不敏感代码与数据之间的严格划分来限制策略的灵活性。否则，如果授权访问敏感数据的代码试图访问非敏感数据，则将无法找到必要的边界元数据，从而导致不正确的程序行为。这种不灵活性导致高开销。在一些实施例中，EIC通过嵌入仅与需要其的那些指针内联的元数据来帮助减少开销。在一些实施例中，敏感数据被存储在共享数据区域，尽管实际上其对在这种模型中的单个应用是私有的。以上描述的基于共享堆中的位置隐式指定分块大小的主要模型不可能适合于保护栈结构，但是可以将敏感栈分配转换成堆分配，或者如在一些实施例中，将字段添加到编码指针中以显式地指定分块大小。当然，这将需要采用来自一些其他字段的这些位，这可能会具有权衡，诸如，削弱MAC。在一些实施例中，非敏感数据被存储在私有存储器区域。在一些实施例中，相同的代码处理具有任一分类的数据，并且对两种类型的访问执行适当的边界检查以防止敏感数据的损坏。在一些实施例中，EIC用于跟踪从存储器通过寄存器的数据流，而不管所述数据流是从共享数据区域加载的还是从私有存储器区域加载的，并且确认在使用授权的解密指令来解密寄存器中的数据的情况下仅将受来自共享数据区域的数据污染的任何寄存器写入回到共享数据区域。这用作对编译器算法的检查，所述算法通过程序来执行静态信息流分析并且标识最终可能被敏感数据污染并且因此必须在共享数据区域中分配的数据分配。

验证不可信二进制

在一些实施例中，不可信二进制在其被执行之前被验证为恰当地配备有安全检查。这个部分描述了用于执行这种验证的可能机制。验证方法根据所选基本二进制格式而改变。为了展示验证，描述了三个示例性实施例：

1.ELF或其他可执行格式：低级机器特定格式。

2.LLVM机器IR：也是低级且机器特定，但是具有关于控制流结构的更多语义信息等。

3.WebAssembly模块：具有表达控制流指令和受限语义的独立于平台的格式明确地旨在允许容易验证。

“验证”可以采用多种形式。服务器可以要求在生成二进制时插入所有必需的安全配备。替代性地，服务器可以承担插入安全配备的责任中的一些责任。这可能导致一种格式的性能优于另一种。例如，LLVM机器IR和WebAssembly两者都旨在被编译器变换成最终可执行的表示，因此在所述阶段插入配备是自然的。

程序中的一些存储器访问具体引用栈或全局变量，而其他存储器访问由引用堆、栈或全局变量的指针引导。一些实施例通过简单地验证这种存储器访问实际上仅引用授权的栈或全局区域来消除对调用CheckCap的需要。

必须使用RIP相对寻址来执行对当前二进制文件内的全局变量和常量的访问，使得代码验证器可以检测每一个这种访问并且校验其指向完全包含在当前二进制文件的bss或数据部分内的存储器区域。在一些实施例中，在可以静态验证的访问类型中存在限制(例如，在阵列内的动态计算的偏移量)，因此这种访问需要像需要如先前所描述的动态验证(例如，使用CheckCap)的其他指针访问一样对待。

一些实施例通过将栈访问限制为始终在来自指向栈的基址寄存器的某个最大偏移量内来避免对频繁访问栈的程序进行配备。验证器还检查对指向栈的基址寄存器的更新。根据一些实施例，由以下定理1来表示将强制实施的安全性质。

定理1

定理1：落在栈的授权边界之外的任何尝试栈访问都会导致页故障。

通过将栈外的所有存储器标记为不可访问来简单地满足这个定理，但是这种系统实际上将不可用。相反，一些实施例在栈上方和下方定义了未映射且因此不可访问的存储器的保护带。以此为上下文，定理1被分解为以下引理。如本文使用的术语“栈基址寄存器”是指用作栈存储器访问的基址寄存器的任何活寄存器间隔。RSP始终被认为是栈基址寄存器，但其他寄存器也可以用作栈基址寄存器。这可能对甚至标识栈基址寄存器有挑战。在一些实施例中，使用“SafeStack(安全栈)”传送来移动可以将地址传送给到堆上单独分配栈的子例程的任何栈分配。在一些实施例中，那些访问与以上所描述的其他堆访问类似地实现。这允许使用与用于SafeStack硬化相同的栈基址寄存器确定：在函数开始时最初只有RSP指向栈，因此只有从RSP导出的寄存器是栈基址寄存器。

引理1.1：在将寄存器用作栈存储器访问的基址时，其位于栈的授权边界内、不大于较低栈边界之下的(保护带大小/2)字节、或者小于较高栈边界的(保护带大小/2)字节。这在图13中用图形表示为区域1306、1308和1310。

引理1可以使用两个子引理(引理1.1.1和引理1.1.2)非正式地论证。

引理1.1.1

首先，引理1.1.1：在更新栈基址寄存器时，其原始值不低于较低栈边界并且其在较高栈边界之下(不等于较高栈边界)。用于引理1.1.1的论证：代码验证器可以静态地检查更新栈基址寄存器的任何指令都在尝试访问由栈基址寄存器的先前值指向的存储器的指令之后。代码验证器还需要检查在同一栈基址寄存器的这两个更新之间没有其他指令。可能需要增强编译器，以确认通过在栈访问指令之前插入虚拟栈访问情况总是这样、否则将使这个引理无效。注意的是，一些指令既更新栈指针(专用栈基址寄存器)又访问栈(以不同的顺序)，诸如，PUSH、POP、CALL和RET。

引理1.1.2

其次，引理1.1.2：没有栈基址寄存器一次更新超过(保护带大小/2)字节。用于引理1.1.2的论证：代码验证器可以静态地检查这个性质，尽管其可以约束可以用于更新栈基址寄存器的指令。例如，代码验证器可以仅支持特定指令集，这些指令根据指定为如PUSH、POP、CALL和RET指令中立即操作数或静态隐式量的量来更新栈基址寄存器。实际上，这足以处置由LLVM发出的大部分或全部代码。用于引理1.1的论证：一起采用引理1.1.1和引理1.1.2暗示在栈基址寄存器的任何更新之后、寄存器必须指向图13中的区域1306、1308或1310内。

引理1.2

引理1.2：所有栈访问指定不大于来自基址寄存器的(保护带大小/2)字节的位移。

用于引理1.2的论证：代码验证器可以静态地检查这个性质，尽管其可以约束可以用于访问栈的存储器寻址形式。例如，代码验证器可以仅支持指定无任何位移或者立即位移的指令。隐式地访问当前栈槽的指令(诸如，POP和RET)被认为指定与栈指针没有偏移量。隐式地访问下一栈槽的指令(诸如，PUSH和CALL)被认为指定与栈指针(字大小)的偏移量。

用于引理1的论证：将引理1.1和引理1.2一起采用，可以计算的最低栈地址是较低保护带中的最低地址。对这个地址的任何访问将导致页故障。可以计算的最高栈地址是上保护带中的最顶部字节的地址。对这个地址的任何访问将导致页故障，即使访问大于一个字节并且不管上保护带上的任何映射。

以上所描述的方法的替代性方案允许程序调用运行时间提供的部件来安全地访问运行时间管理的栈，但这将会强加大量开销。

混合能力模型

如以上描述的，认证或加密功能简化了撤销能力的任务。然而，诸如CHERI(参见cheri-cpu.org)等的标记存储器能力提供诸如确定性保护(即，对于对手不可能猜测到允许伪造能力的MAC或密文)等优点。这两种类型的模型可以以直接的方式混合以获得两个领域中的最佳，尽管如果MAC或密文足够长，则这种混合可以提供最小的益处。当然，对于很多使用，大MAC/密文可能强加显著的存储器占用开销。

进一步的示例

示例1提供了一种示例性系统，所述示例性系统包括存储器和可信执行环境(TEE)，所述TEE用于：在存储器的地址空间中配置多个隔室，每个隔室包括私有存储器和指向共享堆中的消息块的指针；接收从第一隔室发送消息的请求，所述请求包括指向所述消息块的所述指针和目的地隔室；通过以下操作对所述请求进行响应：认证所述请求、生成相应的编码能力、将所述编码能力传达至所述目的地隔室、并且调度所述目的地隔室对所述请求进行响应；并且随后，接收并且通过以下操作响应来自所述目的地隔室的检查能力请求：检查所述编码能力、并且在检查通过时，提供用于访问所述消息块的存储器地址并且否则生成故障，其中，每个隔室与其他隔室隔离、不能够访问其他隔室的私有存储器区域、并且不能够访问共享堆中指派给其他隔室的任何消息对象。

示例2包括如示例1所述的示例性系统的实质内容，其中，所述私有存储器区域的边界和所述共享堆的边界被存储在寄存器的基址和掩码对中。

示例3包括如示例1所述的示例性系统的实质内容，其中，所述TEE进一步用于通过确保指向所述消息块的所述指针被界定在指派给所述第一隔室的堆地址范围内堆地址范围内来认证从所述第一隔室接收的所述消息。

示例4包括如示例1所述的示例性系统的实质内容，其中，所述TEE进一步用于检查所述消息块被布置在界定在指派给所述目的地隔室的堆地址范围内的堆位置处。

示例5包括如示例1所述的示例性系统的实质内容，进一步包括通信地耦合至所述TEE的第二存储器和第二TEE，所述第二TEE用于在所述第二存储器的第二地址空间中配置第二多个隔室，所述第二TEE进一步用于接收并响应从所述第二多个隔室之一向所述多个隔室之一发送消息块的第二请求，所述第二TEE进一步用于认证所述第二请求、生成相应的第二编码能力、并且使所述第二编码能力通过所述TEE传达至所述目的地隔室。

示例6包括如示例1所述的示例性系统的实质内容，其中，所述TEE在生成所述相应的编码能力时使用高级加密标准密码。

示例7包括如示例1所述的示例性系统的实质内容，其中，所述所传达的编码能力包括消息认证码(MAC)，并且其中，所述TEE在对所述检查能力请求进行响应时重新生成所述MAC并且将所述所传达的MAC与所述重新生成的MAC进行比较。

示例8包括一种由可信执行环境(TEE)执行的方法，所述方法包括：在存储器的地址空间中配置多个隔室，每个隔室包括私有存储器和指向共享堆中的消息块的指针；接收从第一隔室发送消息的请求，所述请求包括指向所述消息块的指针和目的地隔室指定符；通过以下操作对所述请求进行响应：认证所述请求、生成相应的编码能力、将所述编码能力传达至所述目的地隔室、并且调度所述目的地隔室对所述请求进行响应；并且随后，接收并且通过以下操作响应来自所述目的地隔室的检查能力请求：检查所述编码能力、并且在检查通过时，提供用于访问所述消息块的存储器地址并且否则生成故障，其中，每个隔室与其他隔室隔离、不能够访问其他隔室的私有存储器区域、并且不能够访问共享堆中指派给其他隔室的任何消息对象。

示例9包括如示例8所述的示例性方法的实质内容，其中，所述私有存储器区域的边界和所述共享堆的边界被存储在寄存器的基址和掩码对中。

示例10包括如示例8所述的示例性方法的实质内容，进一步包括TEE通过确保指向所述消息块的所述指针被界定在指派给所述第一隔室的堆地址范围内堆地址范围内来认证从所述第一隔室接收的所述消息。

示例11包括如示例8所述的示例性方法的实质内容，其中，所述TEE进一步用于检查所述消息块被布置在界定在指派给所述目的地隔室的堆地址范围内的堆位置处。

示例12包括如示例8所述的示例性方法的实质内容，进一步包括第二存储器和第二TEE通信地耦合至所述TEE，所述第二TEE用于在所述第二存储器的第二地址空间中配置第二多个隔室，所述第二TEE进一步用于接收并响应从所述第二多个隔室之一向所述多个隔室之一发送消息块的第二请求，所述第二TEE进一步用于认证所述第二请求、生成相应的第二编码能力、并且使所述第二编码能力通过所述TEE传达至所述目的地隔室。

示例13包括如示例8所述的示例性方法的实质内容，其中，所述TEE在生成所述相应的编码能力时使用高级加密标准密码。

示例14包括如示例8所述的示例性方法的实质内容，其中，所述所传达的编码能力包括消息认证码(MAC)，并且其中，所述TEE在对所述检查能力请求进行响应时重新生成所述MAC并且将所述所传达的MAC与所述重新生成的MAC进行比较。

示例15包括一种示例性非暂态计算机可读介质，所述非暂态计算机可读介质包括指令，所述指令当被包括可信执行环境(TEE)的执行电路系统执行时使所述TEE通过以下操作进行响应：在存储器的地址空间中配置多个隔室，每个隔室包括私有存储器和指向共享堆中的消息块的指针；接收从第一隔室发送消息的请求，所述请求包括指向所述消息块的指针和目的地隔室指定符；通过以下操作对所述请求进行响应：认证所述请求、生成相应的编码能力、将所述编码能力传达至所述目的地隔室、并且调度所述目的地隔室对所述请求进行响应；并且随后，接收并且通过以下操作响应来自所述目的地隔室的检查能力请求：检查所述编码能力、并且在检查通过时，提供用于访问所述消息块的存储器地址并且否则生成故障，其中，每个隔室与其他隔室隔离、不能够访问其他隔室的私有存储器区域、并且不能够访问共享堆中指派给其他隔室的任何消息对象。

示例16包括如示例15所述的示例性非暂态计算机可读介质的实质内容，其中，所述私有存储器区域的边界和所述共享堆的边界被存储在寄存器的基址和掩码对中。

示例17包括如示例15所述的示例性非暂态计算机可读介质的实质内容，进一步包括TEE通过确保指向所述消息块的所述指针被界定在指派给所述第一隔室的堆地址范围内来认证从所述第一隔室接收的所述消息。

示例18包括如示例15所述的示例性非暂态计算机可读介质的实质内容，其中，所述TEE进一步用于检查所述消息块被布置在界定在指派给所述目的地隔室的堆地址范围内的堆位置处。

示例19包括如示例15所述的示例性非暂态计算机可读介质的实质内容，进一步包括通信地耦合至所述TEE的第二存储器和第二TEE，所述第二TEE用于在所述第二存储器的第二地址空间中配置第二多个隔室，所述第二TEE进一步用于接收并响应从所述第二多个隔室之一向所述多个隔室之一发送消息块的第二请求，所述第二TEE进一步用于认证所述第二请求、生成相应的第二编码能力、并且使所述第二编码能力通过所述TEE传达至所述目的地隔室。

示例20包括如权利要求15所述的示例性非暂态计算机可读介质的实质内容，其中，所述所传达的编码能力包括消息认证码(MAC)，并且其中，所述TEE在对所述检查能力请求进行响应时重新生成所述MAC并且将所述所传达的MAC与所述重新生成的MAC进行比较。

指令集

指令集可包括一种或多种指令格式。给定的指令格式可定义各种字段(例如，位的数量、位的位置)以指定将要执行的操作(例如，操作码)以及将对其执行该操作的(多个)操作数和/或(多个)其他数据字段(例如，掩码)，等等。通过指令模板(或子格式)的定义来进一步分解一些指令格式。例如，可将给定指令格式的指令模板定义为具有该指令格式的字段(所包括的字段通常按照相同顺序，但是至少一些字段具有不同的位的位置，因为较少的字段被包括)的不同子集，和/或定义为具有以不同方式进行解释的给定字段。由此，ISA的每一条指令使用给定的指令格式(并且如果经定义，则按照该指令格式的指令模板中的给定的一个指令模板)来表达，并包括用于指定操作和操作数的字段。例如，示例性ADD(加法)指令具有特定的操作码和指令格式，该特定的指令格式包括用于指定该操作码的操作码字段和用于选择操作数(源1/目的地以及源2)的操作数字段；并且该ADD指令在指令流中出现将使得在操作数字段中具有选择特定操作数的特定的内容。已经推出和/或发布了被称为高级向量扩展(AVX)(AVX1和AVX2)和利用向量扩展(VEX)编码方案的SIMD扩展集(参见例如2014年9月的64和IA-32架构软件开发者手册；并且参见2014年10月的

高级向量扩展编程参考)。

示例性指令格式

本文中所描述的(多条)指令的实施例能以不同的格式体现。另外，在下文中详述示例性系统、架构和流水线。(多条)指令的实施例可在此类系统、架构和流水线上执行，但是不限于详述的那些系统、架构和流水线。

通用向量友好指令格式

向量友好指令格式是适于向量指令(例如，存在专用于向量操作的特定字段)的指令格式。尽管描述了其中通过向量友好指令格式支持向量和标量操作两者的实施例，但是替代实施例仅使用通过向量友好指令格式的向量操作。

图14A-图14B是图示根据一些实施例的通用向量友好指令格式及其指令模板的框图。图14A是图示根据一些实施例的通用向量友好指令格式及其A类指令模板的框图；而图14B是图示根据一些实施例的通用向量友好指令格式及其B类指令模板的框图。具体地，针对通用向量友好指令格式1400定义A类和B类指令模板，这两者都包括无存储器访问1405的指令模板和存储器访问1420的指令模板。在向量友好指令格式的上下文中的术语“通用”是指不束缚于任何特定指令集的指令格式。

尽管将描述其中向量友好指令格式支持以下情况的实施例：64字节向量操作数长度(或尺寸)与32位(4字节)或64位(8字节)数据元素宽度(或尺寸)(并且由此，64字节向量由16个双字尺寸的元素组成，或者替代地由8个四字尺寸的元素组成)；64字节向量操作数长度(或尺寸)与16位(2字节)或8位(1字节)数据元素宽度(或尺寸)；32字节向量操作数长度(或尺寸)与32位(4字节)、64位(8字节)、16位(2字节)或8位(1字节)数据元素宽度(或尺寸)；以及16字节向量操作数长度(或尺寸)与32位(4字节)、64位(8字节)、16位(2字节)、或8位(1字节)数据元素宽度(或尺寸)；但是替代实施例可支持更大、更小和/或不同的向量操作数尺寸(例如，256字节向量操作数)与更大、更小或不同的数据元素宽度(例如，128位(16字节)数据元素宽度)。

图14A中的A类指令模板包括：1)在无存储器访问1405的指令模板内，示出无存储器访问的完全舍入控制型操作1410的指令模板、以及无存储器访问的数据变换型操作1415的指令模板；以及2)在存储器访问1420的指令模板内，示出存储器访问的时效性1425的指令模板和存储器访问的非时效性1430的指令模板。图14B中的B类指令模板包括：1)在无存储器访问1405的指令模板内，示出无存储器访问的写掩码控制的部分舍入控制型操作1412的指令模板以及无存储器访问的写掩码控制的vsize型操作1417的指令模板；以及2)在存储器访问1420的指令模板内，示出存储器访问的写掩码控制1427的指令模板。

通用向量友好指令格式1400包括以下列出的按照在图14A-14B中图示的顺序的如下字段。

格式字段1440——该字段中的特定值(指令格式标识符值)唯一地标识向量友好指令格式，并且由此标识指令在指令流中以向量友好指令格式出现。由此，该字段对于仅具有通用向量友好指令格式的指令集是不需要的，在这个意义上该字段是任选的。

基础操作字段1442——其内容区分不同的基础操作。

寄存器索引字段1444——其内容直接或者通过地址生成来指定源或目的地操作数在寄存器中或者在存储器中的位置。这些字段包括足够数量的位以从PxQ(例如，32x512、16x128、32x1024、64x1024)寄存器堆中选择N个寄存器。尽管在一个实施例中N可多达三个源寄存器和一个目的地寄存器，但是替代实施例可支持更多或更少的源和目的地寄存器(例如，可支持多达两个源，其中这些源中的一个源还用作目的地；可支持多达三个源，其中这些源中的一个源还用作目的地；可支持多达两个源和一个目的地)。

修饰符(modifier)字段1446——其内容将指定存储器访问的以通用向量指令格式出现的指令与不指定存储器访问的以通用向量指令格式出现的指令区分开；即在无存储器访问1405的指令模板与存储器访问1420的指令模板之间进行区分。存储器访问操作读取和/或写入到存储器层次(在一些情况下，使用寄存器中的值来指定源和/或目的地地址)，而非存储器访问操作不这样(例如，源和目的地是寄存器)。尽管在一个实施例中，该字段还在三种不同的方式之间选择以执行存储器地址计算，但是替代实施例可支持更多、更少或不同的方式来执行存储器地址计算。

扩充操作字段1450——其内容区分除基础操作以外还要执行各种不同操作中的哪一个操作。该字段是针对上下文的。在一些实施例中，该字段被分成类字段1468、α字段1452和β字段1454。扩充操作字段1450允许在单条指令而非2条、3条或4条指令中执行多组共同的操作。

比例字段1460——其内容允许用于存储器地址生成(例如，用于使用(2^比例*索引+基址)的地址生成)的索引字段的内容的按比例缩放。

位移字段1462A——其内容用作存储器地址生成的一部分(例如，用于使用(2^比例*索引+基址+位移)的地址生成)。

位移因数字段1462B(注意，位移字段1462A直接在位移因数字段1462B上的并置指示使用一个或另一个)——其内容用作地址生成的一部分；它指定将按比例缩放存储器访问的尺寸(N)的位移因数——其中N是存储器访问中的字节数量(例如，用于使用(2^比例*索引+基址+按比例缩放的位移)的地址生成)。忽略冗余的低阶位，并且因此将位移因数字段的内容乘以存储器操作数总尺寸(N)以生成将在计算有效地址中使用的最终位移。N的值由处理器硬件在运行时基于完整操作码字段1474(稍后在本文中描述)和数据操纵字段1454C确定。位移字段1462A和位移因数字段1462B不用于无存储器访问1405的指令模板和/或不同的实施例可实现这两者中的仅一个或不实现这两者中的任一个，在这个意义上，位移字段1462A和位移因数字段1462B是任选的。

数据元素宽度字段1464——其内容区分将使用多个数据元素宽度中的哪一个(在一些实施例中用于所有指令；在其他实施例中只用于指令中的一些指令)。如果支持仅一个数据元素宽度和/或使用操作码的某一方面来支持数据元素宽度，则该字段是不需要的，在这个意义上，该字段是任选的。

写掩码字段1470——其内容逐数据元素位置地控制目的地向量操作数中的数据元素位置是否反映基础操作和扩充操作的结果。A类指令模板支持合并-写掩蔽，而B类指令模板支持合并-写掩蔽和归零-写掩蔽两者。当合并时，向量掩码允许在执行(由基础操作和扩充操作指定的)任何操作期间保护目的地中的任何元素集免于更新；在另一实施例中，保持其中对应掩码位具有0的目的地的每一元素的旧值。相反，当归零时，向量掩码允许在执行(由基础操作和扩充操作指定的)任何操作期间使目的地中的任何元素集归零；在一个实施例中，目的地的元素在对应掩码位具有0值时被设为0。该功能的子集是控制正被执行的操作的向量长度的能力(即，从第一个到最后一个正被修改的元素的跨度)，然而，被修改的元素不一定要是连续的。由此，写掩码字段1470允许部分向量操作，这包括加载、存储、算术、逻辑等。尽管描述了其中写掩码字段1470的内容选择了多个写掩码寄存器中的包含要使用的写掩码的一个写掩码寄存器(并且由此，写掩码字段1470的内容间接地标识要执行的掩蔽)的实施例，但是替代实施例替代地或附加地允许掩码写字段1470的内容直接指定要执行的掩蔽。

立即数字段1472——其内容允许对立即数的指定。该字段在实现不支持立即数的通用向量友好格式中不存在且在不使用立即数的指令中不存在，在这个意义上，该字段是任选的。

类字段1468——其内容在不同类的指令之间进行区分。参考图14A-图14B，该字段的内容在A类和B类指令之间进行选择。在图14A-图14B中，圆角方形用于指示特定的值存在于字段中(例如，在图14A-图14B中分别用于类字段1468的A类1468A和B类1468B)。

A类指令模板

在A类非存储器访问1405的指令模板的情况下，α字段1452被解释为其内容区分要执行不同扩充操作类型中的哪一种(例如，针对无存储器访问的舍入型操作1410和无存储器访问的数据变换型操作1415的指令模板分别指定舍入1452A.1和数据变换1452A.2)的RS字段1452A，而β字段1454区分要执行所指定类型的操作中的哪一种。在无存储器访问1405的指令模板中，比例字段1460、位移字段1462A和位移比例字段1462B不存在。

无存储器访问的指令模板——完全舍入控制型操作

在无存储器访问的完全舍入控制型操作1410的指令模板中，β字段1454被解释为其(多个)内容提供静态舍入的舍入控制字段1454A。尽管在所述实施例中舍入控制字段1454A包括抑制所有浮点异常(SAE)字段1456和舍入操作控制字段1458，但是替代实施例可将这两个概念编码为同一字段，或仅具有这些概念/字段中的一个或另一个(例如，可仅具有舍入操作控制字段1458)。

SAE字段1456——其内容区分是否禁用异常事件报告；当SAE字段1456的内容指示启用抑制时，给定的指令不报告任何种类的浮点异常标志，并且不唤起任何浮点异常处置程序。

舍入操作控制字段1458——其内容区分要执行一组舍入操作中的哪一个(例如，向上舍入、向下舍入、向零舍入以及就近舍入)。由此，舍入操作控制字段1458允许逐指令地改变舍入模式。在其中处理器包括用于指定舍入模式的控制寄存器的一些实施例中，舍入操作控制字段1450的内容覆盖(override)该寄存器值。

无存储器访问的指令模板－数据变换型操作

在无存储器访问的数据变换型操作1415的指令模板中，β字段1454被解释为数据变换字段1454B，其内容区分要执行多个数据变换中的哪一个(例如，无数据变换、混合、广播)。

在A类存储器访问1420的指令模板的情况下，α字段1452被解释为驱逐提示字段1452B，其内容区分要使用驱逐提示中的哪一个(在图14A中，对于存储器访问时效性1425的指令模板和存储器访问非时效性1430的指令模板分别指定时效性的1452B.1和非时效性的1452B.2)，而β字段1454被解释为数据操纵字段1454C，其内容区分要执行多个数据操纵操作(也称为基元(primitive))中的哪一个(例如，无操纵、广播、源的向上转换以及目的地的向下转换)。存储器访问1420的指令模板包括比例字段1460，并任选地包括位移字段1462A或位移比例字段1462B。

向量存储器指令使用转换支持来执行来自存储器的向量加载以及向存储器的向量存储。如同寻常的向量指令，向量存储器指令以数据元素式的方式从/向存储器传输数据，其中实际被传输的元素由被选为写掩码的向量掩码的内容规定。

存储器访问的指令模板——时效性的

时效性的数据是可能足够快地被重新使用以从高速缓存操作受益的数据。然而，这是提示，并且不同的处理器能以不同的方式实现它，包括完全忽略该提示。

存储器访问的指令模板——非时效性的

非时效性的数据是不太可能足够快地被重新使用以从第一级高速缓存中的高速缓存操作受益且应当被给予驱逐优先级的数据。然而，这是提示，并且不同的处理器能以不同的方式实现它，包括完全忽略该提示。

B类指令模板

在B类指令模板的情况下，α字段1452被解释为写掩码控制(Z)字段1452C，其内容区分由写掩码字段1470控制的写掩蔽应当是合并还是归零。

在B类非存储器访问1405的指令模板的情况下，β字段1454的一部分被解释为RL字段1457A，其内容区分要执行不同扩充操作类型中的哪一种(例如，针对无存储器访问的写掩码控制部分舍入控制类型操作1412的指令模板和无存储器访问的写掩码控制VSIZE型操作1417的指令模板分别指定舍入1457A.1和向量长度(VSIZE)1457A.2)，而β字段1454的其余部分区分要执行所指定类型的操作中的哪一种。在无存储器访问1405的指令模板中，比例字段1460、位移字段1462A和位移比例字段1462B不存在。

在无存储器访问的写掩码控制部分舍入控制型操作1410的指令模板中，β字段1454的其余部分被解释为舍入操作字段1459A，并且禁用异常事件报告(给定的指令不报告任何种类的浮点异常标志，并且不唤起任何浮点异常处置程序)。

舍入操作控制字段1459A——正如舍入操作控制字段1458，其内容区分要执行一组舍入操作中的哪一个(例如，向上舍入、向下舍入、向零舍入以及就近舍入)。由此，舍入操作控制字段1459A允许逐指令地改变舍入模式。在其中处理器包括用于指定舍入模式的控制寄存器的一些实施例中，舍入操作控制字段1450的内容覆盖该寄存器值。

在无存储器访问的写掩码控制VSIZE型操作1417的指令模板中，β字段1454的其余部分被解释为向量长度字段1459B，其内容区分要执行多个数据向量长度中的哪一个(例如，128字节、256字节或512字节)。

在B类存储器访问1420的指令模板的情况下，β字段1454的一部分被解释为广播字段1457B，其内容区分是否要执行广播型数据操纵操作，而β字段1454的其余部分被解释为向量长度字段1459B。存储器访问1420的指令模板包括比例字段1460，并任选地包括位移字段1462A或位移比例字段1462B。

针对通用向量友好指令格式1400，示出完整操作码字段1474包括格式字段1440、基础操作字段1442和数据元素宽度字段1464。尽管示出了其中完整操作码字段1474包括所有这些字段的一个实施例，但是在不支持所有这些字段的实施例中，完整操作码字段1474包括少于所有的这些字段。完整操作码字段1474提供操作代码(操作码)。

扩充操作字段1450、数据元素宽度字段1464和写掩码字段1470允许逐指令地以通用向量友好指令格式指定这些特征。

写掩码字段和数据元素宽度字段的组合创建各种类型的指令，因为这些指令允许基于不同的数据元素宽度应用该掩码。

在A类和B类内出现的各种指令模板在不同的情形下是有益的。在一些实施例中，不同处理器或处理器内的不同核支持仅A类、仅B类、或者可支持这两类。举例而言，旨在用于通用计算的高性能通用乱序核可仅支持B类，旨在主要用于图形和/或科学(吞吐量)计算的核可仅支持A类，并且旨在用于通用计算和图形和/或科学(吞吐量)计算两者的核可支持A类和B类两者(当然，具有来自这两类的模板和指令的一些混合、但是并非来自这两类的所有模板和指令的核在所公开实施例的范围内)。同样，单个处理器可包括多个核，这多个核全部都支持相同的类，或者其中不同的核支持不同的类。举例而言，在具有单独的图形核和通用核的处理器中，图形核中的旨在主要用于图形和/或科学计算的一个核可仅支持A类，而通用核中的一个或多个可以是具有旨在用于通用计算的仅支持B类的乱序执行和寄存器重命名的高性能通用核。不具有单独的图形核的另一处理器可包括既支持A类又支持B类的一个或多个通用有序或乱序核。当然，在不同实施例中，来自一类的特征也可在其他类中实现。将使以高级语言编写的程序成为(例如，及时编译或静态编译)各种不同的可执行形式，这些可执行形式包括：1)仅具有由用于执行的目标处理器支持的(多个)类的指令的形式；或者2)具有替代例程并具有控制流代码的形式，该替代例程使用所有类的指令的不同组合来编写，该控制流代码选择这些例程以基于由当前正在执行代码的处理器支持的指令来执行。

示例性专用向量友好指令格式

图15A是图示根据一些实施例的示例性专用向量友好指令格式的框图。图15A示出专用向量友好指令格式1500，其指定各字段的位置、尺寸、解释和次序、以及那些字段中的一些字段的值，在这个意义上，该专用向量友好指令格式1500是专用的。专用向量友好指令格式1500可用于扩展x86指令集，并且由此字段中的一些字段与如在现有的x86指令集及其扩展(例如，AVX)中所使用的那些字段类似或相同。该格式保持与具有扩展的现有x86指令集的前缀编码字段、实操作码字节字段、MOD R/M字段、SIB字段、位移字段和立即数字段一致。图示来自图14的字段，来自图15A的字段映射到来自图14的字段。

应当理解，虽然出于说明的目的在通用向量友好指令格式1400的上下文中参考专用向量友好指令格式1500描述了实施例，但是所公开实施例不限于专用向量友好指令格式1500，除非另有声明。例如，通用向量友好指令格式1400构想了各种字段的各种可能的尺寸，而专用向量友好指令格式1500示出为具有特定尺寸的字段。作为具体示例，尽管在专用向量友好指令格式1500中数据元素宽度字段1464被图示为一位字段，但是所公开实施例不限于此(即，通用向量友好指令格式1400构想数据元素宽度字段1464的其他尺寸)。

通用向量友好指令格式1400包括以下列出的按照图15A中图示的顺序的如下字段。

EVEX前缀(字节0-3)1502——以四字节形式进行编码。

格式字段1440(EVEX字节0，位[7:0])——第一字节(EVEX字节0)是格式字段1440，并且它包含0x62(在一些实施例中，为用于区分向量友好指令格式的唯一值)。

第二－第四字节(EVEX字节1-3)包括提供专用能力的多个位字段。

REX字段1505(EVEX字节1，位[7-5])——由EVEX.R位字段(EVEX字节1，位[7]–R)、EVEX.X位字段(EVEX字节1，位[6]–X)以及(1457BEX字节1，位[5]–B)组成。EVEX.R、EVEX.X和EVEX.B位字段提供与对应的VEX位字段相同的功能，并且使用1补码的形式进行编码，即ZMM0被编码为1111B，ZMM15被编码为0000B。这些指令的其他字段对如在本领域中已知的寄存器索引的较低三个位(rrr、xxx和bbb)进行编码，由此可通过增加EVEX.R、EVEX.X和EVEX.B来形成Rrrr、Xxxx和Bbbb。

REX’1510A——这是REX’字段1510的第一部分，并且是用于对扩展的32个寄存器集合的较高16个或较低16个寄存器进行编码的EVEX.R’位字段(EVEX字节1，位[4]–R’)。在一些实施例中，该位与以下指示的其他位一起以位反转的格式存储以(在公知x86的32位模式下)与BOUND指令进行区分，该BOUND指令的实操作码字节是62，但是在MOD R/M字段(在下文中描述)中不接受MOD字段中的值11；替代实施例不以反转的格式存储该指示的位以及以下其他指示的位。值1用于对较低16个寄存器进行编码。换句话说，通过组合EVEX.R’、EVEX.R以及来自其他字段的其他RRR来形成R’Rrrr。

操作码映射字段1515(EVEX字节1，位[3:0]–mmmm)——其内容对隐含的前导操作码字节(0F、0F 38或0F 3)进行编码。

数据元素宽度字段1464(EVEX字节2，位[7]–W)——由记号EVEX.W表示。EVEX.W用于定义数据类型(32位数据元素或64位数据元素)的粒度(尺寸)。

EVEX.vvvv 1520(EVEX字节2，位[6:3]-vvvv)——EVEX.vvvv的作用可包括如下：1)EVEX.vvvv对以反转(1补码)形式指定的第一源寄存器操作数进行编码，并且对具有两个或更多个源操作数的指令有效；2)EVEX.vvvv对针对特定向量位移以1补码的形式指定的目的地寄存器操作数进行编码；或者3)EVEX.vvvv不对任何操作数进行编码，该字段被预留，并且应当包含1111b。由此，EVEX.vvvv字段1520对以反转(1补码)的形式存储的第一源寄存器指定符的4个低阶位进行编码。取决于该指令，额外不同的EVEX位字段用于将指定符尺寸扩展到32个寄存器。

EVEX.U 1468类字段(EVEX字节2，位[2]-U)——如果EVEX.U＝0，则它指示A类或EVEX.U0；如果EVEX.U＝1，则它指示B类或EVEX.U1。

前缀编码字段1525(EVEX字节2，位[1:0]-pp)——提供了用于基础操作字段的附加位。除了对以EVEX前缀格式的传统SSE指令提供支持以外，这也具有压缩SIMD前缀的益处(EVEX前缀仅需要2位，而不是需要字节来表达SIMD前缀)。在一个实施例中，为了支持使用以传统格式和以EVEX前缀格式两者的SIMD前缀(66H、F2H、F3H)的传统SSE指令，将这些传统SIMD前缀编码成SIMD前缀编码字段；并且在运行时在被提供给解码器的PLA之前被扩展成传统SIMD前缀(因此，在无需修改的情况下，PLA既可执行传统格式的这些传统指令又可执行EVEX格式的这些传统指令)。虽然在一些实施例中较新的指令将EVEX前缀编码字段的内容直接用作操作码扩展，但是为了一致性，特定实施例以类似的方式扩展，但允许由这些传统SIMD前缀指定的不同含义。替代实施例可重新设计PLA以支持2位SIMD前缀编码，并且由此不需要扩展。

α字段1452(EVEX字节3，位[7]–EH，也称为EVEX.EH、EVEX.rs、EVEX.RL、EVEX.写掩码控制、以及EVEX.N；也以α图示)——如先前所述，该字段是针对上下文的。

β字段1454(EVEX字节3，位[6:4]-SSS，也称为EVEX.s_2-0、EVEX.r_2-0、EVEX.rr1、EVEX.LL0、EVEX.LLB，还以βββ图示)——如前所述，此字段是针对上下文的。

REX’1510B——这是REX’字段1510的其余部分，并且是可用于对扩展的32个寄存器集合的较高16个或较低16个寄存器进行编码的EVEX.V’位字段(EVEX字节3，位[3]–V’)。该位以位反转的格式存储。值1用于对较低16个寄存器进行编码。换句话说，通过组合EVEX.V’、EVEX.vvvv来形成V’VVVV。

写掩码字段1470(EVEX字节3，位[2:0]-kkk)——其内容指定写掩码寄存器中的寄存器的索引，如先前所述。在一些实施例中，特定值EVEX.kkk＝000具有暗示没有写掩码用于特定指令的特殊行为(这能以各种方式实现，包括使用硬连线到所有对象的写掩码或绕过掩蔽硬件的硬件来实现)。

实操作码字段1530(字节4)还被称为操作码字节。操作码的一部分在该字段中被指定。

MOD R/M字段1540(字节5)包括MOD字段1542、Reg字段1544和R/M字段1546。如先前所述的，MOD字段1542的内容将存储器访问操作和非存储器访问操作区分开。Reg字段1544的作用可被归结为两种情形：对目的地寄存器操作数或源寄存器操作数进行编码；或者被视为操作码扩展，并且不用于对任何指令操作数进行编码。R/M字段1546的作用可包括如下：对引用存储器地址的指令操作数进行编码；或者对目的地寄存器操作数或源寄存器操作数进行编码。

比例、索引、基址(SIB)字节(字节6)——如先前所述的，比例字段1450的内容用于存储器地址生成。SIB.xxx 1554和SIB.bbb 1556——先前已经针对寄存器索引Xxxx和Bbbb提及了这些字段的内容。

位移字段1462A(字节7-10)——当MOD字段1542包含10时，字节7-10是位移字段1462A，并且它与传统32位位移(disp32)一样地工作，并且以字节粒度工作。

位移因数字段1462B(字节7)——当MOD字段1542包含01时，字节7是位移因数字段1462B。该字段的位置与以字节粒度工作的传统x86指令集8位位移(disp8)的位置相同。由于disp8是符号扩展的，因此它仅能在-128和127字节偏移之间寻址；在64字节高速缓存行的方面，disp8使用可被设为仅四个真正有用的值-128、-64、0和64的8位；由于常常需要更大的范围，所以使用disp32；然而，disp32需要4个字节。与disp8和disp32对比，位移因数字段1462B是disp8的重新解释；当使用位移因数字段1462B时，通过将位移因数字段的内容乘以存储器操作数访问的尺寸(N)来确定实际位移。该类型的位移被称为disp8*N。这减小了平均指令长度(单个字节用于位移，但具有大得多的范围)。此类经压缩的位移基于有效位移是存储器访问的粒度的倍数的假设，并且由此地址偏移的冗余低阶位不需要被编码。换句话说，位移因数字段1462B替代传统x86指令集8位位移。由此，位移因数字段1462B以与x86指令集8位位移相同的方式被编码(因此，在ModRM/SIB编码规则中没有变化)，唯一的不同在于，将disp8超载至disp8*N。换句话说，在编码规则或编码长度方面没有变化，而仅在有硬件对位移值的解释方面有变化(这需要将位移按比例缩放存储器操作数的尺寸以获得字节式地址偏移)。立即数字段1472如先前所述地操作。

完整操作码字段

图15B是图示根据一些实施例的构成完整操作码字段1474的具有专用向量友好指令格式1500的字段的框图。具体地，完整操作码字段1474包括格式字段1440、基础操作字段1442和数据元素宽度(W)字段1464。基础操作字段1442包括前缀编码字段1525、操作码映射字段1515和实操作码字段1530。寄存器索引字段

图15C是图示根据一些实施例的构成寄存器索引字段1444的具有专用向量友好指令格式1500的字段的框图。具体地，寄存器索引字段1444包括REX字段1505、REX’字段1510、MODR/M.reg字段1544、MODR/M.r/m字段1546、VVVV字段1520、xxx字段1554和bbb字段1556。

扩充操作字段

图15D是图示根据一些实施例的构成扩充操作字段1450的具有专用向量友好指令格式1500的字段的框图。当类(U)字段1468包含0时，它表明EVEX.U0(A类1468A)；当它包含1时，它表明EVEX.U1(B类1468B)。当U＝0且MOD字段1542包含11(表明无存储器访问操作)时，α字段1452(EVEX字节3，位[7]–EH)被解释为rs字段1452A。当rs字段1452A包含1(舍入1452A.1)时，β字段1454(EVEX字节3，位[6:4]–SSS)被解释为舍入控制字段1454A。舍入控制字段1454A包括一位SAE字段1456和两位舍入操作字段1458。当rs字段1452A包含0(数据变换1452A.2)时，β字段1454(EVEX字节3，位[6:4]–SSS)被解释为三位数据变换字段1454B。当U＝0且MOD字段1542包含00、01或10(表明存储器访问操作)时，α字段1452(EVEX字节3，位[7]–EH)被解释为驱逐提示(EH)字段1452B，并且β字段1454(EVEX字节3，位[6:4]–SSS)被解释为三位数据操纵字段1454C。

当U＝1时，α字段1452(EVEX字节3，位[7]–EH)被解释为写掩码控制(Z)字段1452C。当U＝1且MOD字段1542包含11(表明无存储器访问操作)时，β字段1454的一部分(EVEX字节3，位[4]–S₀)被解释为RL字段1457A；当它包含1(舍入1457A.1)时，β字段1454的其余部分(EVEX字节3，位[6-5]–S_2-1)被解释为舍入操作字段1459A，而当RL字段1457A包含0(VSIZE1457.A2)时，β字段1454的其余部分(EVEX字节3，位[6-5]-S_2-1)被解释为向量长度字段1459B(EVEX字节3，位[6-5]–L_1-0)。当U＝1且MOD字段1542包含00、01或10(表明存储器访问操作)时，β字段1454(EVEX字节3，位[6:4]–SSS)被解释为向量长度字段1459B(EVEX字节3，位[6-5]–L_1-0)和广播字段1457B(EVEX字节3，位[4]–B)。

示例性寄存器架构

图16是根据一些实施例的寄存器架构1600的框图。在所图示的实施例中，有32个512位宽的向量寄存器1610；这些寄存器被引用为zmm0到zmm31。较低的16个zmm寄存器的较低阶256个位覆盖(overlay)在寄存器ymm0-16上。较低的16个zmm寄存器的较低阶128个位(ymm寄存器的较低阶128个位)覆盖在寄存器xmm0-15上。专用向量友好指令格式1500对这些被覆盖的寄存器堆操作，如在以下表格中所图示。

换句话说，向量长度字段1459B在最大长度与一个或多个其他较短长度之间进行选择，其中每一个此类较短长度是前一长度的一半，并且不具有向量长度字段1459B的指令模板在最大向量长度上操作。此外，在一个实施例中，专用向量友好指令格式1500的B类指令模板对紧缩或标量单/双精度浮点数据以及紧缩或标量整数数据操作。标量操作是对zmm/ymm/xmm寄存器中的最低阶数据元素位置执行的操作；取决于实施例，较高阶数据元素位置要么保持与在指令之前相同，要么归零。

写掩码寄存器1615——在所图示的实施例中，存在8个写掩码寄存器(k0至k7)，每一写掩码寄存器的尺寸是64位。在替代实施例中，写掩码寄存器1615的尺寸是16位。如先前所述，在一些实施例中，向量掩码寄存器k0无法用作写掩码；当将正常指示k0的编码用作写掩码时，它选择硬连线的写掩码0xFFFF，从而有效地禁止写掩蔽用于那条指令。

通用寄存器1625——在所示出的实施例中，有十六个64位通用寄存器，这些寄存器与现有的x86寻址模式一起使用以对存储器操作数寻址。这些寄存器通过名称RAX、RBX、RCX、RDX、RBP、RSI、RDI、RSP以及R8到R15来引用。

标量浮点栈寄存器堆(x87栈)1645，在其上面重叠了MMX紧缩整数平坦寄存器堆1650——在所图示的实施例中，x87栈是用于使用x87指令集扩展来对32/64/80位浮点数据执行标量浮点操作的八元素栈；而使用MMX寄存器来对64位紧缩整数数据执行操作，以及为在MMX与XMM寄存器之间执行的一些操作保存操作数。

替代实施例可以使用更宽的或更窄的寄存器。另外，替代实施例可以使用更多、更少或不同的寄存器堆和寄存器。

示例性核架构、处理器和计算机架构

处理器核能以不同方式、出于不同的目的、在不同的处理器中实现。例如，此类核的实现可以包括：1)旨在用于通用计算的通用有序核；2)旨在用于通用计算的高性能通用乱序核；3)旨在主要用于图形和/或科学(吞吐量)计算的专用核。不同处理器的实现可包括：1)CPU，其包括旨在用于通用计算的一个或多个通用有序核和/或旨在用于通用计算的一个或多个通用乱序核；以及2)协处理器，其包括旨在主要用于图形和/或科学(吞吐量)的一个或多个专用核。此类不同的处理器导致不同的计算机系统架构，这些计算机系统架构可包括：1)在与CPU分开的芯片上的协处理器；2)在与CPU相同的封装中但在分开的管芯上的协处理器；3)与CPU在相同管芯上的协处理器(在该情况下，此类协处理器有时被称为专用逻辑或被称为专用核，该专用逻辑诸如，集成图形和/或科学(吞吐量)逻辑)；以及4)芯片上系统，其可以将所描述的CPU(有时被称为(多个)应用核或(多个)应用处理器)、以上描述的协处理器和附加功能包括在同一管芯上。接着描述示例性核架构，随后描述示例性处理器和计算机架构。

示例性核架构

有序和乱序核框图

图17A是图示根据一些实施例的示例性有序流水线和示例性的寄存器重命名的乱序发布/执行流水线的框图。图17B是示出根据一些实施例的要包括在处理器中的有序架构核的示例性实施例和示例性的寄存器重命名的乱序发布/执行架构核的框图。图17A-图17B中的实线框图示有序流水线和有序核，而虚线框的任选增加图示寄存器重命名的、乱序发布/执行流水线和核。考虑到有序方面是乱序方面的子集，将描述乱序方面。

在图17A中，处理器流水线1700包括取出级1702、长度解码级1704、解码级1706、分配级1708、重命名级1710、调度(也被称为分派或发布)级1712、寄存器读取/存储器读取级1714、执行级1716、写回/存储器写入级1718、异常处置级1722和提交级1724。

图17B示出处理器核1790，该处理器核1790包括前端单元1730，该前端单元1730耦合到执行环境单元1750，并且前端单元1730和执行环境单元1750两者都耦合到存储器单元1770。核1790可以是精简指令集计算(RISC)核、复杂指令集计算(CISC)核、超长指令字(VLIW)核、或混合或替代的核类型。作为又一选项，核1790可以是专用核，诸如例如，网络或通信核、压缩引擎、协处理器核、通用计算图形处理单元(GPGPU)核、图形核，等等。

前端单元1730包括分支预测单元1732，该分支预测单元1732耦合到指令高速缓存单元1734，该指令高速缓存单元1734耦合到指令转换后备缓冲器(TLB)1736，该指令转换后备缓冲器1736耦合到指令取出单元1738，该指令取出单元1738耦合到解码单元1740。解码单元1740(或解码器)可对指令解码，并且生成从原始指令解码出的、或以其他方式反映原始指令的、或从原始指令导出的一个或多个微操作、微代码进入点、微指令、其他指令、或其他控制信号作为输出。解码单元1740可使用各种不同的机制来实现。合适机制的示例包括但不限于，查找表、硬件实现、可编程逻辑阵列(PLA)、微代码只读存储器(ROM)等。在一个实施例中，核1790包括存储用于某些宏指令的微代码的微代码ROM或其他介质(例如，在解码单元1740中，或以其他方式在前端单元1730内)。解码单元1740耦合到执行环境单元1750中的重命名/分配器单元1752。

执行环境单元1750包括重命名/分配器单元1752，该重命名/分配器单元1752耦合到引退单元1754和一个或多个调度器单元的集合1756。(多个)调度器单元1756表示任何数量的不同调度器，包括预留站、中央指令窗等。(多个)调度器单元1756耦合到(多个)物理寄存器堆单元1758。(多个)物理寄存器堆单元1758中的每一个物理寄存器堆单元表示一个或多个物理寄存器堆，其中不同的物理寄存器堆存储一种或多种不同的数据类型，诸如，标量整数、标量浮点、紧缩整数、紧缩浮点、向量整数、向量浮点，状态(例如，作为要执行的下一条指令的地址的指令指针)等等。在一个实施例中，(多个)物理寄存器堆单元1758包括向量寄存器单元、写掩码寄存器单元和标量寄存器单元。这些寄存器单元可以提供架构向量寄存器、向量掩码寄存器和通用寄存器。(多个)物理寄存器堆单元1758由引退单元1754重叠，以图示可实现寄存器重命名和乱序执行的各种方式(例如，使用(多个)重排序缓冲器和(多个)引退寄存器堆；使用(多个)未来文件、(多个)历史缓冲器、(多个)引退寄存器堆；使用寄存器映射和寄存器池，等等)。引退单元1754和(多个)物理寄存器堆单元1758耦合到(多个)执行集群1760。(多个)执行集群1760包括一个或多个执行单元的集合1762以及一个或多个存储器访问单元的集合1764。执行单元1762可执行各种操作(例如，移位、加法、减法、乘法)并可对各种数据类型(例如，标量浮点、紧缩整数、紧缩浮点、向量整数、向量浮点)执行。尽管一些实施例可以包括专用于特定功能或功能集合的多个执行单元，但是其他实施例可包括仅一个执行单元或全都执行所有功能的多个执行单元。(多个)调度器单元1756、(多个)物理寄存器堆单元1758和(多个)执行集群1760示出为可能有多个，因为某些实施例为某些类型的数据/操作创建分开的流水线(例如，标量整数流水线、标量浮点/紧缩整数/紧缩浮点/向量整数/向量浮点流水线，和/或各自具有其自身的调度器单元、(多个)物理寄存器堆单元和/或执行集群的存储器访问流水线——并且在分开的存储器访问流水线的情况下，实现其中仅该流水线的执行集群具有(多个)存储器访问单元1764的某些实施例)。还应当理解，在使用分开的流水线的情况下，这些流水线中的一个或多个可以是乱序发布/执行，并且其余流水线可以是有序的。

存储器访问单元的集合1764耦合到存储器单元1770，该存储器单元1770包括数据TLB单元1772，该数据TLB单元1772耦合到数据高速缓存单元1774，该数据高速缓存单元1774耦合到第二级(L2)高速缓存单元1776。在一个示例性实施例中，存储器访问单元1764可包括加载单元、存储地址单元和存储数据单元，其中的每一个均耦合到存储器单元1770中的数据TLB单元1772。指令高速缓存单元1734还耦合到存储器单元1770中的第二级(L2)高速缓存单元1776。L2高速缓存单元1776耦合到一个或多个其他级别的高速缓存，并最终耦合到主存储器。

作为示例，示例性寄存器重命名的乱序发布/执行核架构可如下所述地实现流水线1700：1)指令取出1738执行取出级1702和长度解码级1704；2)解码单元1740执行解码级1706；3)重命名/分配器单元1752执行分配级1708和重命名级1710；4)(多个)调度器单元1756执行调度级1712；5)(多个)物理寄存器堆单元1758和存储器单元1770执行寄存器读取/存储器读取级1714；执行集群1760执行执行级1716；6)存储器单元1770和(多个)物理寄存器堆单元1758执行写回/存储器写入级1718；7)各单元可牵涉到异常处置级1722；以及8)引退单元1754和(多个)物理寄存器堆单元1758执行提交级1724。

核1790可支持一个或多个指令集(例如，x86指令集(具有已与较新版本一起添加的一些扩展)；加利福尼亚州桑尼维尔市的MIPS技术公司的MIPS指令集；加利福尼亚州桑尼维尔市的ARM控股公司的ARM指令集(具有诸如NEON的任选的附加扩展))，其中包括本文中描述的(多条)指令。在一个实施例中，核1790包括用于支持紧缩数据指令集扩展(例如，AVX1、AVX2)的逻辑，由此允许使用紧缩数据来执行由许多多媒体应用使用的操作。

应当理解，核可支持多线程化(执行两个或更多个并行的操作或线程的集合)，并且可以按各种方式来完成该多线程化，各种方式包括时分多线程化、同时多线程化(其中单个物理核为物理核正在同时多线程化的线程中的每一个线程提供逻辑核)、或其组合(例如，时分取出和解码以及此后的诸如

超线程化技术中的同时多线程化)。

尽管在乱序执行的上下文中描述了寄存器重命名，但应当理解，可以在有序架构中使用寄存器重命名。尽管所图示的处理器的实施例还包括分开的指令和数据高速缓存单元1734/1774以及共享的L2高速缓存单元1776，但是替代实施例可以具有用于指令和数据两者的单个内部高速缓存，诸如例如，第一级(L1)内部高速缓存或多个级别的内部高速缓存。在一些实施例中，该系统可包括内部高速缓存和在核和/或处理器外部的外部高速缓存的组合。或者，所有高速缓存都可以在核和/或处理器的外部。

具体的示例性有序核架构

图18A-图18B图示更具体的示例性有序核架构的框图，该核将是芯片中的若干逻辑块(包括相同类型和/或不同类型的其他核)中的一个逻辑块。取决于应用，逻辑块通过高带宽互连网络(例如，环形网络)与一些固定的功能逻辑、存储器I/O接口和其他必要的I/O逻辑进行通信。

图18A是根据一些实施例的单个处理器核以及它至管芯上互连网络1802的连接及其第二级(L2)高速缓存的本地子集1804的框图。在一个实施例中，指令解码器1800支持具有紧缩数据指令集扩展的x86指令集。L1高速缓存1806允许对进入标量和向量单元中的、对高速缓存存储器的低等待时间访问。尽管在一个实施例中(为了简化设计)，标量单元1808和向量单元1810使用分开的寄存器集合(分别为标量寄存器1812和向量寄存器1814)，并且在这些寄存器之间传输的数据被写入到存储器，并随后从第一级(L1)高速缓存1806读回，但是替代实施例可以使用不同的方法(例如，使用单个寄存器集合或包括允许数据在这两个寄存器堆之间传输而无需被写入和读回的通信路径)。

L2高速缓存的本地子集1804是全局L2高速缓存的一部分，该全局L2高速缓存被划分成多个分开的本地子集，每个处理器核一个本地子集。每个处理器核具有到其自身的L2高速缓存的本地子集1804的直接访问路径。由处理器核读取的数据被存储在其L2高速缓存子集1804中，并且可以与其他处理器核访问其自身的本地L2高速缓存子集并行地被快速访问。由处理器核写入的数据被存储在其自身的L2高速缓存子集1804中，并在必要的情况下从其他子集转储清除。环形网络确保共享数据的一致性。环形网络是双向的，以允许诸如处理器核、L2高速缓存和其他逻辑块之类的代理在芯片内彼此通信。每个环形数据路径为每个方向1012位宽。

图18B是根据一些实施例的图18A中的处理器核的一部分的展开图。图18B包括L1高速缓存1804的L1数据高速缓存1806A部分，以及关于向量单元1810和向量寄存器1814的更多细节。具体地，向量单元1810是16宽向量处理单元(VPU)(见16宽ALU 1828)，该单元执行整数、单精度浮点以及双精度浮点指令中的一个或多个。该VPU通过混合单元1820支持对寄存器输入的混合，通过数值转换单元1822A-B支持数值转换，并且通过复制单元1824支持对存储器输入的复制。写掩码寄存器1826允许预测所得的向量写入。

图19是根据一些实施例的可具有多于一个的核、可具有集成存储器控制器、以及可具有集成图形器件的处理器1900的框图。图19中的实线框图示具有单个核1902A、系统代理1910、一个或多个总线控制器单元的集合1916的处理器1900，而虚线框的任选增加图示具有多个核1902A-N、系统代理单元1910中的一个或多个集成存储器控制器单元的集合1914以及专用逻辑1908的替代处理器1900。

因此，处理器1900的不同实现可包括：1)CPU，其中专用逻辑1908是集成图形和/或科学(吞吐量)逻辑(其可包括一个或多个核)，并且核1902A-N是一个或多个通用核(例如，通用有序核、通用乱序核、这两者的组合)；2)协处理器，其中核1902A-N是旨在主要用于图形和/或科学(吞吐量)的大量专用核；以及3)协处理器，其中核1902A-N是大量通用有序核。因此，处理器1900可以是通用处理器、协处理器或专用处理器，诸如例如，网络或通信处理器、压缩引擎、图形处理器、GPGPU(通用图形处理单元)、高吞吐量的集成众核(MIC)协处理器(包括30个或更多核)、嵌入式处理器，等等。该处理器可以被实现在一个或多个芯片上。处理器1900可以是一个或多个基板的一部分，和/或可使用多种工艺技术(诸如例如，BiCMOS、CMOS、或NMOS)中的任何技术被实现在一个或多个基板上。

存储器层次结构包括核内的一个或多个高速缓存级别、一个或多个共享高速缓存单元的集合1906、以及耦合到集成存储器控制器单元的集合1914的外部存储器(未示出)。共享高速缓存单元的集合1906可包括一个或多个中间级别的高速缓存，诸如，第二级(L2)、第三级(L3)、第四级(L4)或其他级别的高速缓存、末级高速缓存(LLC)和/或以上各项的组合。虽然在一个实施例中，基于环的互连单元1912将集成图形逻辑1908(集成图形逻辑1908是专用逻辑的示例并且在本文中也被称为专用逻辑)、共享高速缓存单元的集合1906以及系统代理单元1910/(多个)集成存储器控制器单元1914互连，但是替代实施例可使用任何数量的公知技术来互连此类单元。在一个实施例中，在一个或多个高速缓存单元1906与核1902A-N之间维持一致性。

在一些实施例中，一个或多个核1902A-N能够实现多线程化。系统代理1910包括协调和操作核1902A-N的那些部件。系统代理单元1910可包括例如功率控制单元(PCU)和显示单元。PCU可以是对核1902A-N以及集成图形逻辑1908的功率状态进行调节所需的逻辑和部件，或可包括这些逻辑和部件。显示单元用于驱动一个或多个外部连接的显示器。

核1902A-N在架构指令集方面可以是同构的或异构的；即，核1902A-N中的两个或更多个核可能能够执行相同的指令集，而其他核可能能够执行该指令集的仅仅子集或不同的指令集。

示例性计算机架构

图20-23是示例性计算机架构的框图。本领域中已知的对膝上型设备、台式机、手持PC、个人数字助理、工程工作站、服务器、网络设备、网络集线器、交换机、嵌入式处理器、数字信号处理器(DSP)、图形设备、视频游戏设备、机顶盒、微控制器、蜂窝电话、便携式媒体播放器、手持设备以及各种其他电子设备的其他系统设计和配置也是合适的。一般地，能够包含如本文中所公开的处理器和/或其他执行逻辑的各种各样的系统或电子设备一般都是合适的。

现在参考图20，所示出的是根据一些实施例的系统2000的框图。系统2000可以包括一个或多个处理器2010、2015，这些处理器耦合到控制器中枢2020。在一个实施例中，控制器中枢2020包括图形存储器控制器中枢(GMCH)2090和输入/输出中枢(IOH)2050(其可以在分开的芯片上)；GMCH 2090包括存储器和图形控制器，存储器2040和协处理器2045耦合到该存储器和图形控制器；IOH 2050将输入/输出(I/O)设备2060耦合到GMCH 2090。或者，存储器和图形控制器中的一个或这两者被集成在(如本文中所描述的)处理器内，存储器2040和协处理器2045直接耦合到处理器2010，并且控制器中枢2020与IOH 2050处于单个芯片中。

附加的处理器2015的任选性在图20中通过虚线来表示。每一处理器2010、2015可包括本文中描述的处理核中的一个或多个，并且可以是处理器1900的某一版本。

存储器2040可以是例如动态随机存取存储器(DRAM)、相变存储器(PCM)或这两者的组合。对于至少一个实施例，控制器中枢2020经由诸如前端总线(FSB)之类的多分支总线、诸如快速路径互连(QPI)之类的点对点接口、或者类似的连接2095来与(多个)处理器2010、2015进行通信。

在一个实施例中，协处理器2045是专用处理器，诸如例如，高吞吐量MIC处理器、网络或通信处理器、压缩引擎、图形处理器、GPGPU、嵌入式处理器，等等。在一个实施例中，控制器中枢2020可以包括集成图形加速器。

在物理资源2010、2015之间可以存在包括架构、微架构、热、功耗特性等一系列品质度量方面的各种差异。

在一个实施例中，处理器2010执行控制一般类型的数据处理操作的指令。嵌入在这些指令内的可以是协处理器指令。处理器2010将这些协处理器指令识别为具有应当由附连的协处理器2045执行的类型。因此，处理器2010在协处理器总线或者其他互连上将这些协处理器指令(或者表示协处理器指令的控制信号)发布到协处理器2045。(多个)协处理器2045接受并执行所接收的协处理器指令。

现在参见图21，所示出的是根据一些实施例的第一更具体的示例性系统2100的框图。如图21中所示，多处理器系统2100是点对点互连系统，并且包括经由点对点互连2150耦合的第一处理器2170和第二处理器2180。处理器2170和2180中的每一个都可以是处理器1900的某一版本。在一些实施例中，处理器2170和2180分别是处理器2010和2015，而协处理器2138是协处理器2045。在另一实施例中，处理器2170和2180分别是处理器2010和协处理器2045。

处理器2170和2180示出为分别包括集成存储器控制器(IMC)单元2172和2182。处理器2170还包括作为其总线控制器单元的一部分的点对点(P-P)接口2176和2178；类似地，第二处理器2180包括P-P接口2186和2188。处理器2170、2180可以经由使用点对点(P-P)接口电路2178、2188的P-P接口2150来交换信息。如图21中所示，IMC 2172和2182将处理器耦合到相应的存储器，即存储器2132和存储器2134，这些存储器可以是本地附连到相应处理器的主存储器的部分。

处理器2170、2180可各自经由使用点对点接口电路2176、2194、2186、2198的各个P-P接口2152、2154来与芯片组2190交换信息。芯片组2190可以任选地经由高性能接口2192来与协处理器2138交换信息。在一个实施例中，协处理器2138是专用处理器，诸如例如，高吞吐量MIC处理器、网络或通信处理器、压缩引擎、图形处理器、GPGPU、嵌入式处理器，等等。

共享高速缓存(未示出)可被包括在任一处理器中，或在这两个处理器的外部但经由P-P互连与这些处理器连接，使得如果处理器被置于低功率模式，则任一个或这两个处理器的本地高速缓存信息可被存储在共享高速缓存中。

芯片组2190可以经由接口2196耦合到第一总线2116。在一个实施例中，第一总线2116可以是外围部件互连(PCI)总线或诸如PCI快速总线或另一第三代I/O互连总线之类的总线，但是所公开实施例的范围不限于此。

如图21中所示，各种I/O设备2114可连同总线桥2118一起耦合到第一总线2116，该总线桥2118将第一总线2116耦合到第二总线2120。在一个实施例中，诸如协处理器、高吞吐量MIC处理器、GPGPU、加速器(诸如例如，图形加速器或数字信号处理(DSP)单元)、现场可编程门阵列或任何其他处理器的一个或多个附加处理器2115耦合到第一总线2116。在一个实施例中，第二总线2120可以是低引脚数(LPC)总线。在一个实施例中，各种设备可耦合到第二总线2120，这些设备包括例如键盘和/或鼠标2122、通信设备2127以及存储单元2128，该存储单元2128诸如可包括指令/代码和数据2130的盘驱动器或者其他大容量存储设备。此外，音频I/O 2124可以被耦合到第二总线2120。注意，其他架构是可能的。例如，代替图21的点对点架构，系统可以实现多分支总线或其他此类架构。

现在参考图22，示出的是根据一些实施例的第二更具体的示例性系统2200的框图。图21和22中的类似元件使用类似的附图标记，并且从图22中省略了图21的某些方面以避免混淆图22的其他方面。

图22图示处理器2170、2180分别包括集成存储器和I/O控制逻辑(“CL”)2172和2182。因此，CL 2172、2182包括集成存储器控制器单元，并包括I/O控制逻辑。图22图示不仅存储器2132、2134耦合到CL 2172、2182，而且I/O设备2214也耦合到控制逻辑2172、2182。传统I/O设备2215被耦合到芯片组2190。

现在参考图23，示出的是根据一些实施例的SoC 2300的框图。图19中的类似要素使用类似的附图标记。另外，虚线框是更先进的SoC上的任选的特征。在图23中，(多个)互连单元2302被耦合到：应用处理器2310，其包括一个或多个核的集合1902A-N以及(多个)共享高速缓存单元1906，一个或多个核的集合1902A-N包括高速缓存单元1904A-N；系统代理单元1910；(多个)总线控制器单元1916；(多个)集成存储器控制器单元1914；一个或多个协处理器的集合2320，其可包括集成图形逻辑、图像处理器、音频处理器和视频处理器；静态随机存取存储器(SRAM)单元2330；直接存储器访问(DMA)单元2332；以及用于耦合到一个或多个外部显示器的显示单元2340。在一个实施例中，(多个)协处理器2320包括专用处理器，诸如例如，网络或通信处理器、压缩引擎、GPGPU、高吞吐量MIC处理器、或嵌入式处理器，等等。

本文公开的机制的各实施例可以被实现在硬件、软件、固件或此类实现方式的组合中。实施例可实现为在可编程系统上执行的计算机程序或程序代码，该可编程系统包括至少一个处理器、存储系统(包括易失性和非易失性存储器和/或存储元件)、至少一个输入设备以及至少一个输出设备。

可将程序代码(诸如，图21中图示的代码2130)应用于输入指令，以执行本文中描述的功能并生成输出信息。可以按已知方式将输出信息应用于一个或多个输出设备。为了本申请的目的，处理系统包括具有处理器的任何系统，该处理器诸如例如，数字信号处理器(DSP)、微控制器、专用集成电路(ASIC)或微处理器。

程序代码可以用高级的面向过程的编程语言或面向对象的编程语言来实现，以便与处理系统通信。如果需要，也可用汇编语言或机器语言来实现程序代码。事实上，本文中描述的机制不限于任何特定的编程语言的范围。在任何情况下，该语言可以是编译语言或解释语言。

至少一个实施例的一个或多个方面可以由存储在机器可读介质上的表示性指令来实现，该指令表示处理器中的各种逻辑，该指令在被机器读取时使得该机器制造用于执行本文中所述的技术的逻辑。被称为“IP核”的此类表示可以被存储在有形的机器可读介质上，并可被供应给各个客户或生产设施以加载到实际制造该逻辑或处理器的制造机器中。

此类机器可读存储介质可以包括但不限于通过机器或设备制造或形成的制品的非暂态、有形布置，其包括存储介质，诸如硬盘；任何其他类型的盘，包括软盘、光盘、紧致盘只读存储器(CD-ROM)、可重写紧致盘(CD-RW)以及磁光盘；半导体器件，诸如，只读存储器(ROM)、诸如动态随机存取存储器(DRAM)和静态随机存取存储器(SRAM)的随机存取存储器(RAM)、可擦除可编程只读存储器(EPROM)、闪存、电可擦除可编程只读存储器(EEPROM)；相变存储器(PCM)；磁卡或光卡；或适于存储电子指令的任何其他类型的介质。

因此，实施例还包括非暂态的有形机器可读介质，该介质包含指令或包含设计数据，诸如硬件描述语言(HDL)，它定义本文中描述的结构、电路、装置、处理器和/或系统特征。这些实施例也被称为程序产品。

仿真(包括二进制变换、代码变形等)

在一些情况下，指令转换器可用于将指令从源指令集转换至目标指令集。例如，指令转换器可以将指令变换(例如，使用静态二进制变换、包括动态编译的动态二进制变换)、变形、仿真或以其他方式转换成要由核处理的一条或多条其他指令。指令转换器可以用软件、硬件、固件、或其组合来实现。指令转换器可以在处理器上、在处理器外、或者部分在处理器上且部分在处理器外。

图24是根据一些实施例的对照使用软件指令转换器将源指令集中的二进制指令转换成目标指令集中的二进制指令的框图。在所图示的实施例中，指令转换器是软件指令转换器，但替代地，该指令转换器可以用软件、固件、硬件或其各种组合来实现。图24示出使用x86编译器2404来编译高级语言2402形式的程序，以生成可由具有至少一个x86指令集核的处理器2416原生执行的x86二进制代码2406。具有至少一个x86指令集核的处理器2416表示通过兼容地执行或以其他方式执行以下各项来执行与具有至少一个x86指令集核

处理器基本相同的功能的任何处理器：1)

x86指令集核的指令集的本质部分，或2)目标为在具有至少一个x86指令集核的

处理器上运行以便取得与具有至少一个x86指令集核的处理器基本相同的结果的应用或其他软件的目标代码版本。x86编译器2404表示可操作用于生成x86二进制代码2406(例如，目标代码)的编译器，该二进制代码可通过或不通过附加的链接处理在具有至少一个x86指令集核的处理器2416上执行。类似地，图24示出使用替代的指令集编译器2408来编译高级语言2402形式的程序，以生成可以由不具有至少一个x86指令集核的处理器2414(例如，具有执行加利福尼亚州桑尼维尔市的MIPS技术公司的MIPS指令集、和/或执行加利福尼亚州桑尼维尔市的ARM控股公司的ARM指令集的核的处理器)原生执行的替代的指令集二进制代码2410。指令转换器2412用于将x86二进制代码2406转换成可以由不具有x86指令集核的处理器2414原生执行的代码。该转换后的代码不大可能与替代的指令集二进制代码2410相同，因为能够这样做的指令转换器难以制造；然而，转换后的代码将完成一般操作，并且由来自替代指令集的指令构成。因此，指令转换器2412通过仿真、模拟或任何其他过程来表示允许不具有x86指令集处理器或核的处理器或其他电子设备执行x86二进制代码2406的软件、固件、硬件或其组合。

Claims

1.一种系统，所述系统包括存储器和可信执行环境(TEE)，所述TEE用于：

在所述存储器的地址空间中配置多个隔室，每个隔室包括私有存储器和指向共享堆中的消息块的指针；

接收从第一隔室发送消息的请求，所述请求包括指向所述消息块的所述指针和目的地隔室；

通过以下操作来对所述请求进行响应：认证所述请求、生成相应的编码能力、将所述编码能力传达至所述目的地隔室、并且调度所述目的地隔室对所述请求进行响应；并且

随后，接收并且通过以下操作响应来自所述目的地隔室的检查能力请求：检查所述编码能力、并且在所述检查通过时提供用于访问所述消息块的存储器地址、并且否则生成故障；

其中，每个隔室与其他隔室隔离、不能够访问其他隔室的私有存储器区域、并且不能够访问所述共享堆中指派给其他隔室的任何消息对象。

2.如权利要求1所述的系统，其中，所述私有存储器区域的边界和所述共享堆的边界都存储在寄存器的基址和掩码对中。

3.如权利要求1所述的系统，其中，所述TEE进一步用于通过确保指向所述消息块的所述指针被界定在指派给所述第一隔室的堆地址范围内来认证从所述第一隔室接收的所述消息。

4.如权利要求1所述的系统，其中，所述TEE进一步用于检查所述消息块被布置在界定在指派给所述目的地隔室的堆地址范围内的堆位置处。

5.如权利要求1至4中任一项所述的系统，进一步包括：通信地耦合至所述TEE的第二存储器和第二TEE，所述第二TEE用于在所述第二存储器的第二地址空间中配置第二多个隔室，所述第二TEE进一步用于接收并响应从所述第二多个隔室之一向所述多个隔室之一发送消息块的第二请求，所述第二TEE进一步用于认证所述第二请求、生成相应的第二编码能力、并且使所述第二编码能力通过所述TEE传达至所述目的地隔室。

6.如权利要求1至4中任一项所述的系统，其中，所述TEE在生成所述相应的编码能力时使用高级加密标准密码。

7.如权利要求1至4中任一项所述的系统，其中，所述所传达的编码能力包括消息认证码(MAC)，并且其中，所述TEE在对所述检查能力请求进行响应时重新生成所述MAC并且将所述所传达的MAC与所述重新生成的MAC进行比较。

8.一种由可信执行环境(TEE)执行的方法，所述方法包括：

在存储器的地址空间中配置多个隔室，每个隔室包括私有存储器和指向共享堆中的消息块的指针；

接收从第一隔室发送消息的请求，所述请求包括指向所述消息块的所述指针以及目的地隔室指定符；

随后，接收来自所述目的地隔室的检查能力请求并且通过以下操作对所述检查能力请求进行响应：检查所述编码能力、并且在所述检查通过时提供访问所述消息块的存储器地址、并且否则生成故障；

9.如权利要求8所述的方法，其中，所述私有存储器区域的边界和所述共享堆的边界都存储在寄存器的基址和掩码对中。

10.如权利要求8所述的方法，进一步包括：所述TEE通过确保指向所述消息块的所述指针被界定在指派给所述第一隔室的堆地址范围内来认证从所述第一隔室接收的所述消息。

11.如权利要求8所述的方法，其中，所述TEE进一步用于检查所述消息块被布置在界定在指派给所述目的地隔室的堆地址范围内的堆位置处。

12.如权利要求8至11中任一项所述的方法，进一步包括：通信地耦合至所述TEE的第二存储器和第二TEE，所述第二TEE用于在所述第二存储器的第二地址空间中配置第二多个隔室，所述第二TEE进一步用于接收并响应从所述第二多个隔室之一向所述多个隔室之一发送消息块的第二请求，所述第二TEE进一步用于认证所述第二请求、生成相应的第二编码能力、并且使所述第二编码能力通过所述TEE传达至所述目的地隔室。

13.如权利要求8至11中任一项所述的方法，其中，所述TEE在生成所述相应的编码能力时使用高级加密标准密码。

14.如权利要求8至11中任一项所述的方法，其中，所述所传达的编码能力包括消息认证码(MAC)，并且其中，所述TEE在对所述检查能力请求进行响应时重新生成所述MAC并且将所述所传达的MAC与所述重新生成的MAC进行比较。

15.一种包括代码的机器可读介质，所述代码当被执行时使机器执行如权利要求8至14中任一项所述的方法。

16.一种设备，所述设备包括存储器和可信执行环境(TEE)，所述TEE包括：

用于在所述存储器的地址空间中配置多个隔室的装置，每个隔室包括私有存储器和指向共享堆中的消息块的指针；

用于接收从第一隔室发送消息的请求的装置，所述请求包括指向所述消息块的所述指针和目的地隔室；

用于通过以下操作来对所述请求进行响应的装置：认证所述请求、生成相应的编码能力、将所述编码能力传达至所述目的地隔室、并且调度所述目的地隔室对所述请求进行响应；并且

所述用于响应的装置随后用于接收并且通过以下操作响应来自所述目的地隔室的检查能力请求：检查所述编码能力、并且在所述检查通过时提供访问所述消息块的存储器地址、并且否则生成故障；

17.如权利要求16所述的设备，其中，所述私有存储器区域的边界和所述共享堆的边界都存储在寄存器的基址和掩码对中。

18.如权利要求16所述的设备，其中，所述TEE进一步包括用于通过确保指向所述消息块的所述指针被界定在指派给所述第一隔室的堆地址范围内来认证从所述第一隔室接收的所述消息的装置。

19.如权利要求16所述的设备，其中，所述TEE进一步包括用于检查所述消息块被布置在界定在指派给所述目的地隔室的堆地址范围内的堆位置处的装置。

20.如权利要求16至19中任一项所述的设备，进一步包括：通信地耦合至所述TEE的第二存储器和第二TEE，所述第二TEE包括用于在所述第二存储器的第二地址空间中配置第二多个隔室的装置，所述第二TEE进一步包括用于接收并响应从所述第二多个隔室之一向所述多个隔室之一发送消息块的第二请求的装置，所述第二TEE进一步包括用于认证所述第二请求、生成相应的第二编码能力、并且使所述第二编码能力通过所述TEE传达至所述目的地隔室的装置。

21.如权利要求16至19中任一项所述的设备，其中，所述TEE在生成所述相应的编码能力时使用高级加密标准密码。

22.如权利要求16至19中任一项所述的设备，其中，所述所传达的编码能力包括消息认证码(MAC)，并且其中，所述TEE在对所述检查能力请求进行响应时重新生成所述MAC并且将所述所传达的MAC与所述重新生成的MAC进行比较。