CN112632645A - 消息监测 - Google Patents

Abstract

一种监督单元，用于监督传递到或来自互连的互连消息，所述监督单元被配置为在接收到互连消息时：将所述互连消息存储在数据存储中；将所述互连消息与预定的过滤器准则进行比较；依据该比较，针对该互连消息选择要采取的一个或多个动作，所述一个或多个动作从包括以下项的所述组中选择：允许所述互连消息不改变地传递，阻止所述互连消息传递并允许所述互连消息以更改的状态传递；以及执行针对所述互连消息的所选择的一个或多个动作。

Description

消息监测

技术领域

本发明涉及监测计算机系统中的消息。

背景技术

在典型的计算机系统中，处理器执行指令。至少一些指令可以通过通信接口从存储器中取回，通常是总线。可以按照类似的方式取回要对其执行指令的数据。

存在处理器可以会尝试执行错误的指令或从错误的存储器区域取回数据的情况。当指令包含错误，或者某人成功破坏了处理器希望要执行的指令集合时，可以会发生这些情况。为了说明，如果指令集合包含错误，则处理器可以开始从不正确的位置取回后续指令。如果处理器要在其他位置执行指令，则可以导致其行为错误。在另一个示例中，设计者可以不希望处理器访问存储器的某些区域，以避免那些区域中的信息被泄漏，但是如果有人可以破坏某些指令，则可以使处理器从那些区域中取回信息。

发明内容

期望实施措施来防止诸如上述的情况。这可以改进计算机系统的安全性，也可以增加其可靠性。

根据一个方面，提供了一种监督单元，用于监督传递到或来自互连的互连消息，该监督单元被配置为在接收到互连消息时：将互连消息存储在数据存储器中；将互连消息与预定的过滤器准则进行比较；依据该比较，针对该互连消息选择要采取的一个或多个动作，从包括以下项的组中选择动作：允许互连消息不改变地传递，阻止互连消息的传递并允许互连消息以更改的状态传递；以及针对互连消息来执行所选择的一个或多个操作。

互连可以是总线，例如数据总线或指令总线。互连可以是NoC(片上网络)。

所述数据存储可以是以被定位在针对在所述互连和互连协议中的参与者之间的互连消息的通信路径中的硬件实现的多位锁存单元，所述互连根据所述互连协议进行操作。

监督单元可以被配置为通过信号通知锁存单元来释放或删除相应的互连消息来执行所述动作。

监督单元可以包括不同于互连的外部通信接口，并且该组包括通过外部通信接口来传输消息。

互连可以根据互连协议来操作，并且监督单元包括用于执行比较步骤的比较功能和被配置为将互连消息从根据互连协议的格式转换为未根据互连协议的第二格式的转换的消息，并且提供转换的消息作为对比较功能的输入。

该组可以包括改变过滤器标准。

监督单元可以包括不同于互连的外部通信接口，并且监督单元可以被配置为响应于所述监督单元通过所述外部通信接口接收到的命令来允许所述过滤器准则被改变。

监督单元可以以专用硬件被实现。

该单元可以被配置用于监督互连消息，互连消息从数据处理器核传递到互连或传递到诸如硬件加速器的另一设备。

过滤器准则中的至少一个可以定义与安全和/或完整性风险相关联的互连消息，并且监督单元可以被配置为在标识该准则与互连消息之间的匹配时，采取阻止互连消息传递或允许互连消息以更改状态传递的动作。

互连可以是存储器互连。

在本说明书中，当物品被认为是被配置为执行操作时，这指示该物品配备了使它能够执行相应操作所需的所有硬件(如果有的话)和软件(如果有的话)，但不必打开电源或将其设置为将执行该操作的操作状态。

附图说明

现在将参考附图通过示例的方式描述本发明。在附图中：

图1是计算机系统的示意图。

图2示出了图1的计算机系统中的处理器的架构的一部分。

图3显示了消息拦截功能。

具体实施方式

在以下描述的系统中，机制被定位在处理器和通信总线之间的通信路径中。总线可以将处理器连接到存储器。该机制分析通过总线发送的消息。根据该分析的结果，该机制可以选择应该如何对待消息。例如根据针对消息的确定，该机制可以(i)允许该消息通过总线传递，(ii)防止该消息通过总线传递，或者(iii)允许消息的修改版本(或完全不同的消息)通过总线传递。如下面将进一步描述的，这可以帮助改进处理器的可靠性或安全性。

图1示出了包括处理器1、通信总线2和存储器单元3、4的计算机系统。处理器和存储器单元耦合到总线，使得它们可以通过总线上携带的消息的相互通信。处理器可以方便地在单个集成电路上实现。存储单元中的至少一个可以在同一集成电路上实现。替代地，可以在与处理器不同的设备上实现存储单元：例如一个或多个专用存储集成电路。处理器包括处理器核5和总线接口6。处理器核执行指令。总线接口实现了用于通过总线传输和接收消息的合适协议。

在典型的总线协议中，可以为总线上的单元分配地址集合。当单元是存储器时，这些地址可以映射到存储器中的位置。总线上的另一个单元可以通过在总线事务中指定该地址来读取或写入该地址。

单个总线事务可以分为多个阶段。这些阶段通常在时间上错开，因此每个阶段在时间上不会重叠。阶段的细节可以在协议之间有所不同，但通常包括地址阶段，在该阶段，总线上的第一个单元通过总线指定远程地址，并且然后是数据阶段，在该阶段，(a)如果事务是读取事务，则该远程地址已经被分配给其的单元通过总线返回该地址处的数据，或者(b)如果该事务是写入事务，则第一单元通过总线传输将要存储在该地址的数据，然后可以存储该地址已经被分配给其的单元。使用例如诸如AXI或其变体的芯片上的互连协议的总线上的事务也可以包括响应阶段。

在图1的系统中，当处理器1希望从存储器3、4之一中读取时，处理器可以发起互连事务，并在互连上指定要从中读取数据或想要向其中写入数据的地址。然后，数据本身可以通过互连(其可以是NoC)发送到处理器，也可以被从处理器发送。

图2示出了处理器如何被配置以允许对其互连或NoC事务被监督。处理器具有到互连或NoC的物理连接10。物理连接位于处理器的边界。在该示例中，通常以11示出的监督功能被定位在处理器的逻辑总线接口6和其物理总线连接10之间。在这种布置中，至少一部分监测功能可以被视为处理器的一部分。替代地，监督功能可以被定位在处理器的物理互连或NoC连接与互连或NoC 2本身之间。在那种情况下，监督功能可以被认为是处理器外部的。监督功能包括三个功能块：选通器12、事务监测器13和控制接口14。选通器位于处理器的逻辑总线接口6和总线2之间的通信路径中。

图3更详细地显示了监督功能的架构。在该示例中，选通器12被定位在通信路径中，该通信路径用于处理器的互连或NoC接口6与到处理器外部的物理互连或NoC的连接10之间的互连或NoC消息。映射器23从总线接口6接收通信。映射器的输出传递到解释器24和过滤器单元25。过滤器单元的一个输出传递到交叉连接单元25。交叉连接单元的输出传递到存储单元16、动作单元17和计数器单元18。动作单元的输出传递到选通器。计数器单元的输出和过滤器单元的另一输出传递到事件接口22，该事件接口是控制接口14的一部分。控制接口还包括时钟20和间隔定时器21，间隔定时器21的输出传递到计数器单元18。事件接口22耦合到辅助通信接口15。该辅助通信接口允许操作员配置事务监测器13，并接收关于已由事务监测器执行的操作的信息以及已经通过总线传递的消息。

该系统已被描述为功能块集合。可以以任意合适的方式将系统的功能划分为任意方便数量的软件和/或硬件块。这些可以与图3所示相同或不同。

现在将描述系统的操作。当总线消息由总线接口6传输时，它被选通器12和映射器23接收。选通器保持该消息，并且直到事务监测器向其发出命令才继续向前传输。映射器23的目的是将总线消息转换成标准化的格式，事务监测器13的其余部分已经被设置为可以使用。如果事务监测器仅用于单一类型的总线一起工作，则可以省略映射器。映射器从由映射器接收的总线消息中标识预定特征，并形成输出，其中这些特征以预定格式和顺序呈现。通过将来自不同总线的消息映射到该预定格式和顺序，映射器可以允许事务监测器的大部分剩余部分对于不同总线格式是相同的。

映射器将接收到的总线消息的标准化版本输出到解释器24和过滤器单元25。过滤器单元预先配置有总线消息模式集合，这些总线消息模式集合旨在受制于如下所述的动作。该配置可以经由控制接口14方便地完成。为清楚起见，图3中未显示用于从控制接口配置事务监测器的单元的数据路径。例如可以将过滤器单元设置为匹配消息，消息被导向到总线地址的预定子集或在特定的先前总线消息之后的预定间隔内(例如在时间或总线消息的数量内)发生。总结以下数据流，如果过滤器单元不匹配总线消息，那么事务监测器将使选通器不变地释放消息。如果过滤器单元匹配了总线消息，则事务监测器将使由选通器保持的总线消息被阻止，或者在被释放之前被修改。

存储装置16存储可用于过滤器的模式。可以从控制界面14进行配置。

如果过滤器单元没有将消息与其预存的模式之一相匹配，则它信号通知动作单元17以使动作单元使选通器12释放该消息。然后系统可以处理通过总线来的下一条消息。过滤器单元还可以使计数器单元18中的计数器递增，以指示总线消息已经传递而未改变。过滤器单元还可导致在存储单元16中进行更新。这允许系统根据先前的总线消息来改变过滤器条件。例如可以将过滤器条件设置为仅在预定数量的不匹配消息先前已经传递过时才匹配消息。该预定数量可以被存储在存储装置中，并且然后在接收到不匹配的消息时递减。或者可以设置过滤条件以匹配消息，该消息将涉及以大于预定频率访问存储器或存储器的预定区域。

如果过滤器单元确实将消息与其预存储的模式之一匹配，则其用指示信号通知动作单元17，该指示表明过滤器模式已与选通器当前保持的消息相匹配。过滤器单元还可以指示哪个过滤器模式已经被匹配。取决于哪个过滤器模式被指示为已经匹配，动作单元可以采取不同的动作。过滤器单元可以使计数器单元18中的计数器递增，以指示总线消息已经与过滤器模式匹配，并且可选地指示哪个过滤器模式被匹配。可以存在特定于相应过滤器模式的计数器。过滤器单元还可以使对存储单元16进行更新。例如响应于总线消息与预定地址匹配，过滤器单元中的将总线消息与另一个预定地址匹配的模式可以被激活或去激活。当过滤器单元标识出总线消息和过滤器模式之间的匹配时，它还将匹配信号通知消息和事件接口22。这允许控制单元14在标识到匹配时采取额外的动作。例如它可以通过在接口15上发信号以警告用户来传输消息。

当保持在选通器上的总线上的消息与预编程到过滤器单元和/或存储装置16的模式之一匹配时，通过过滤器单元信号通知动作单元17。该动作单元被预先编程有当检测到匹配项时可以采取的动作。要采取的动作可以取决于已经被匹配的模式和/或已经与该模式匹配的消息的内容(例如该消息中的参数)。可以采取的动作的示例包括：

1.导致选通器阻止消息传递到总线。选通器可以删除该消息。

2.修改保持在选通器处的消息，然后使选通器将消息传递到总线。可以修改消息的方式的示例包括更改消息中指定的地址(在读取或写入消息的情况下)或更改消息中指定以通过总线被写入远程位置的数据。

上述系统在处理器的处理核和通信总线之间起作用。总线可以通信地将处理器核耦合到一个或多个存储器。系统在针对一个或多个预定义的准则或模式检查从核发送到总线的消息时，暂时保持这些消息。如果消息不满足任意准则，和/或可选地，如果消息满足准则中一个或多个指定的准则，则系统允许消息不更改地传递到总线。如果消息满足准则中的一个或多个其他准则，则系统会针对消息采取其他动作：例如阻止消息传递到总线或在传递给总线之前对其进行修改。可以出于各种目的定义准则/模式。一些示例是：

1.可以定义模式以帮助处理器的安全性和/或完整性。例如它们可以检查并阻止尝试访问不应由处理器访问的存储器区域。可以通过接口15警告操作员任意此类尝试。

2.可以定义模式以帮助调试处理器上运行的软件。例如他们可以在此类软件执行期间检查指定事件。这些事件可以与期望或不期望的行为相关联。可以通过接口15向操作员警告任意这样的事件。

过滤器单元可以匹配的准则/模式的一些示例包括：

1.一种预定类型的消息(例如读或写)，其指定了预定范围内的地址。

2.以预定方式与先前消息相关的消息：例如指定从先前消息中指定的地址偏移预定范围内的偏移的地址。

3.写入消息，其指定与预定模式匹配的待写入的数据。

4.事务的简档是可疑的。

监督系统在接收到总线消息时执行以下步骤：

1.解释总线协议；

2.使用过滤器来标识感兴趣的事务；

3.当检测到感兴趣的事务时，针对这种事务采取预定义的动作(对于不同的事务或事务类别可以采取不同的动作)。

可能动作的示例包括：

1.允许事务通过选通器不加修改地进行(仅增加了延迟)；

2.阻止事务继续进行(使用事务选通)；

3.在允许事务继续之前修改事务(使用事务选通)；

4.存储一些状态，供过滤器在将来的事务标识中使用(使用存储单元)；

5.发出触发器(匹配消息、实时事件或内部触发器)。其他监测基础结构可以使用此动作。

可以使用任意适当的硬件和/或软件来实现图3所示的系统。方便地，该单元在专用硬件中实现，因为这可以允许它使选通器尽快传递消息。图3所示的单元可以分别实现为不同的硬件或软件单元，或者可以将其中的多个组合成单个单元。

不同的总线使用不同的消息协议。如果可以尽可能多地概括监督单元，使其可以与任意总线协议一起使用，则效率很高。这样可以减少针对不同应用重新设计系统部分的需求。在一种布置中，映射器和选通器以及过滤器和动作单元的可选部分可以特定于特定的总线协议，并且系统的其他功能部分可以独立于所使用的总线协议进行操作。

监督单元是介入式的，因为它插入在处理器核和总线之间的通信路径中。选通器可以包括多位锁存器，该多位锁存器在接收到总线消息时将其存储，并且可以被触发以随后将该消息释放到总线或接收方，诸如处理器或存储器设备。该消息可以以其他方式被存储，同时系统决定针对该消息采取什么动作。

上面给出的示例集中于其中选通器以及相关联的过滤和动作确定单元作用于从处理器到存储器的通信的实施例。但是，监督单元可以其他方式操作。它可以作用于从总线到处理器的通信，也可以作用于双向通信。它可以作用于总线与诸如存储器的另一设备之间的通信。这样的通信可以是去往和/或来自总线的。

监督单元可以优选地至少在总线事务的地址阶段和数据阶段上支持过滤。在典型的总线协议中，在响应阶段进行过滤可能没有任意优势，因为对于采取有效动作阻止或更改总线事务可能为时已晚。

上述类型的监督单元可以例如通过应用检测不安全事务的过滤器规则(例如尝试访问存储器的未授权区域和/或对系统区域的访问的简档)并且然后阻止或修改此类事务来帮助改进系统的安全性。上述类型的监督单元可以例如通过应用检测无效或错误的总线访问请求(例如从不存在的位置读取的请求)的过滤器规则来帮助改进系统的完整性。

申请人在此单独公开了本文所述的每个单独的特征以及两个或更多个这样的特征的任意组合，其程度是这些特征或组合能够根据本领域技术人员的公知常识可以基于本说明书整体地实现，而不论这些特征或特征的组合是否解决了本文所公开的任何问题，但不限于权利要求的范围。申请人指出，本发明的方面可以由任意这样的单个特征或特征的组合组成。根据前面的描述，对于本领域技术人员显而易见的是，可以在本发明的范围内进行各种修改。

Claims (11)

1.一种监督单元，用于监督传递到互连或来自互连的互连消息，所述监督单元被配置为在接收到互连消息时：

将所述互连消息存储在数据存储中；

将所述互连消息与预定的过滤器准则进行比较；

依据所述比较，选择针对所述互连消息要采取的一个或多个动作，所述一个或多个动作从包括以下项的组中被选择：允许所述互连消息不改变地传递，阻止所述互连消息传递，以及允许所述互连消息以更改的状态传递；以及

执行针对所述互连消息的所选择的所述一个或多个动作。

2.根据权利要求1所述的监督单元，其中所述数据存储是以被定位在针对在所述互连和互连协议中的参与者之间的互连消息的通信路径中的硬件中实现的多位锁存单元，所述互连根据所述互连协议进行操作。

3.根据权利要求2所述的监督单元，其中所述监督单元被配置为通过发信号通知所述锁存单元来释放或删除相应的互连消息来执行所述动作。

4.根据任一前述权利要求所述的监督单元，其中所述监督单元包括不同于所述互连的外部通信接口，并且所述组包括通过所述外部通信接口传输消息。

5.根据权利要求1、2或3中的任一项所述的监督单元，其中所述互连根据互连协议进行操作，并且所述监督单元包括：比较功能，用于执行比较步骤；以及转换功能，被配置为将所述互连消息从根据所述互连协议的格式转换为未根据所述互连协议的第二格式的转换的消息，并且提供所述转换的消息作为对所述比较功能的输入。

6.根据权利要求1、2或3中的任一项所述的监督单元，其中所述组包括改变所述过滤器准则。

7.根据权利要求1、2或3中的任一项所述的监督单元，其中所述监督单元包括不同于所述互连的外部通信接口，并且所述监督单元被配置为响应于所述监督单元通过所述外部通信接口接收到的命令来允许所述过滤器准则被改变。

8.根据权利要求1、2或3中的任一项所述的监督单元，其中所述监督单元以专用硬件来实现。

9.根据权利要求1、2或3中的任一项所述的监督单元，其中所述单元被配置用于监督从数据处理器核传递到互连的互连消息。

10.根据权利要求1、2或3中的任一项所述的监督单元，其中所述过滤器准则中的至少一个过滤器准则定义与安全和/或完整性风险相关联的互连消息，并且所述监督单元被配置为在标识所述准则与互连消息之间的匹配时，采取阻止所述互连消息传递、或允许所述互连消息以更改的状态传递的动作。

11.根据权利要求1、2或3中的任一项所述的监督单元，其中所述互连是存储器互连。

Images