CN1759557A - 具有外围设备访问保护的数据处理系统及其方法 - Google Patents

Abstract

本申请公开一种数据处理系统(10，100)内的灵活的外围设备访问保护机制，能够实现更安全的操作环境。在一个实施例中，数据处理系统(10)内的每个主设备(14，15)包括用于特定总线访问类型(如读写访问)的相应的特权等级修改符(70，74)和相应的信赖属性(71，72，75，76)。同样地，在一个实施例中，数据处理系统内的每个外围设备(22，24)包括相应的信赖属性(80，84)、写保护指示符(81，85)和特权保护指示符(82，86)。因此，在一个实施例中，当总线主设备具有外围设备所要求的适当的特权等级和适当的信赖等级(且如果总线访问是写保护，外围设备不是写保护)时，允许总线主设备对外围设备进行总线访问。同样，通过使用特权等级修改符，可将总线主设备强制设置在用于特定总线访问的特定的特权等级。

Description

具有外围设备访问保护的数据处理系统及其方法

技术领域

本发明涉及一种数据处理系统，特别是涉及一种具有外围设备访问保护的数据处理系统。

背景技术

在芯片上系统(SoC)方案中，有多个具有共享的外围设备的主设备，这是公知的。SoC的主设备中的一些可以是非信赖的主设备。在这种系统中，需要防止非信赖的主设备访问一些或所有的外围设备，因为该访问可能导致系统的瘫痪。例如，运行在非信赖的主设备上的软件可能会带进病毒，或可能利用非信赖的主设备来访问系统外围设备内的安全信息。因此，为了确保安全的数据事务，要求对外围设备进行保护。

一种现有技术的解决方案要求系统内的每个主设备有其专用的外围设备，这样主设备之间就不共用外围设备。但是，使用专用的外围设备会导致需要重复许多能够共用的外围设备，从而导致芯片面积和成本的增加。此外，使用带专用外围设备的主设备避免了在系统内使用处理负载平衡。例如，如果一个主设备没有必要的专用外围设备来执行传输处理，由该主设备执行的处理就不能传输到系统内的另一个主设备，从而降低了系统的效率。

因此，数据处理系统需要允许信赖的和非信赖的主设备共用在数据处理系统内的外围设备，同时也防止非信赖的主设备访问这些共用的外围设备。

附图说明

本发明通过示例进行说明，且不局限于附图，在附图中，相同的附图标记表示类似的元件，其中：

图1是根据本发明的一个实施例说明数据处理系统的框图；

图2是根据本发明的一个实施例说明图1的总线接口的一部分的框图；

图3是根据本发明的一个实施例说明主设备特权寄存器的框图；

图4是根据本发明的一个实施例说明外围设备访问控制寄存器的框图；以及

图5是根据本发明的替代实施例说明数据处理系统的框图。

本领域技术人员会认识到，附图中的元件用于简单清楚的说明，不必按比例画出。例如，附图中的一些元件相对于其他元件可能其尺寸过大，以帮助加深对本发明实施例的理解。

具体实施方式

本发明的一个实施例提供一种数据处理系统内的灵活的外围设备访问保护机制，以获得更安全的操作环境。例如，数据处理系统包括需要访问共用的外围设备的信赖的和非信赖的总线主设备的组合。一个实施例允许信赖的总线主设备对每个总线主设备的特权和信赖属性和对每个外围设备的访问控制进行动态更新。因此，信赖的总线主设备能确立哪些总线主设备具有访问哪个外围设备的许可，以保护数据处理系统免遭由于运行在非信赖的总线主设备上的错误的或恶意的软件而导致的瘫痪。

通过使用总线主设备标识符、信赖属性以及特权等级，根据由信赖的总线主设备确立的许可，既可以允许也可以拒绝对请求的外围设备的访问。例如，在一个实施例中，数据处理系统内的每个主设备包括用于特定总线访问类型的(如读写访问)相应的特权等级修改符和相应的信赖属性。同样地，在一个实施例中，数据处理系统内的每个外围设备包括相应的信赖属性、写保护指示符和特权保护指示符。因此，在一个实施例中，当总线主设备具有外围设备所要求的适当的特权等级和适当的信赖等级(且如果总线访问是写访问，外围设备没有写保护)时，允许总线主设备对外围设备进行总线访问。同样地，通过使用特权等级修改符，可将总线主设备强制设置为用于特定的总线访问的特定的特权等级。

图1说明数据处理系统10的一个实施例。数据处理系统10包括总线从设备26、总线主设备14、总线主设备15、总线仲裁逻辑28、系统总线16、总线接口18、外围设备总线20以及外围设备22和24。总线从设备26、总线主设备14、总线主设备15、总线仲裁逻辑28和总线接口18都双向连接至系统总线16。总线接口18、外围设备22和外围设备24都双向连接至外围设备总线20。外围设备22包括外围设备电路19和外围设备寄存器21，外围设备24包括外围设备电路23和外围设备寄存器25。尽管在图1中只示出了两个外围设备，数据处理系统10可以包括任何数量的连接至外围设备总线20的外围设备。同样，任何数量的总线主设备和从设备可连接至系统总线16，不限于图1中所示出的数量。同样地，虽然图1示出总线仲裁逻辑28作为连接至系统总线16的独立的单元，但总线仲裁逻辑28的部件可位于每个连接至系统总线16的总线主设备内(或位于一部分总线主设备内)。(总线仲裁逻辑28的操作与现有技术中公知的任何总线仲裁器相同)。

在一个实施例中，总线主设备14和总线主设备15可以是处理器，如微处理器、数字信号处理器等，或可以是任何其他类型的主设备，如直接存储访问(DMA)装置。这些总线主设备中的一个或多个可以是信赖的总线主设备，与非信赖的总线主设备相比，这些信赖的总线主设备造成系统瘫痪的可能性小。例如，信赖的总线主设备可执行完全由总线主设备或SoC的厂家控制的指令(即在信赖的总线主设备上运行的软件可被认为是信赖的软件)。也就是说，在一个实施例中，不可能在信赖的主设备上执行第三方软件，并且没有任何第三方被允许访问信赖的主设备。作为替换，信赖的总线主设备的信赖等级(即安全等级)可以从完全信赖到不大信赖变化，其取决于数据处理系统10的设计，但通常比非信赖的总线主设备更可信。

类似地，总线主设备14和15中的任何一个或多个可以是非信赖的总线主设备，这些非信赖的总线主设备通常更容易访问或容易造成系统瘫痪。在一个实施例中，非信赖的总线主设备可以是可接收和执行第三方软件(如用户开发的软件)或任何其他非信赖的软件(软件的内容和功能通常未知)的通用处理器。由于软件是非信赖的，其可能是错误的或恶意的软件，企图破坏数据处理系统10的其他部件(如其他信赖的总线主设备或外围设备22和24)，将病毒带入数据处理系统10，或访问数据处理系统10内的总线主设备14或15、外围设备22或24、总线从设备26或其他设备内的安全信息。

同样地，注意特定的总线主设备对一些类型的访问可认为是信赖的，而对其他类型的访问则是非信赖的。例如，同一个总线主设备对读访问可认为是信赖的，而对写访问则是非信赖的。因此，每个主设备针对不同类型的访问能有不同的信赖等级。同样地，每个总线主设备能有不同的特权等级。例如，在一个实施例中，一个总线主设备可以较高的特权等级(如在管理员模式)运行，而其他的总线主设备可以较低的特权等级(如在用户模式)运行。特定的特权等级用来确定主设备能访问哪些资源。

因此，在一个实施例中，如下所述，数据处理系统10内的每个主设备具有相应的信赖属性字段集，其确定相应的主设备对特定类型的总线访问的信赖等级。同样地，每个总线主设备有相应的特权修改符字段，该字段允许相应的主设备有选择性地调整用于特定的总线访问的特权等级。类似地，每个外围设备，如外围设备22和24，有相应的访问控制字段集，该字段确定由指定的外围设备支持的访问等级。例如，对于那些已识别为信赖的主设备或那些以管理员模式运行的主设备(即具有管理员特权等级)，特定的外围设备可给予其更多的访问。下面将参照图2到图5更详细地说明这些总线主设备的特权和信赖属性字段和外围设备的访问控制字段。

再参照图1，总线从设备26可以是任何从设备，例如，总线主设备14和15可以访问的存储器，也可以是任何类型的驻留在系统总线上的外围设备，包括和外围设备22和24相同类型的外围设备。外围设备22和24可以是任何类型的外围设备，如通用异步收发器(UART)、实时时钟(RTC)、键盘控制器等。外围设备电路19允许在外围设备总线20和外围设备寄存器21之间进行通信。类似地，外围设备电路23允许在外围设备总线20和外围设备寄存器25之间进行通信。在替代实施例中，外围设备22可以是存储单元，其中外围设备寄存器21将代替为存储器地址位置。

在运行中，总线主设备14和15请求访问系统总线16以请求访问连接至系统总线16的其他从设备，如总线从设备26，或者通过总线接口18请求访问外围设备22和24。如下所述，总线接口18确定是否允许对特定的外围设备的请求或特定类型的请求。如果不允许，总线接口18通过系统总线16提供总线错误响应。但是，如果请求被允许，总线接口18将提供任何必要的总线协议以完成请求的总线访问。如上所述，每个总线主设备14和15对外围设备22和24的访问是有限的，这由其特权特级、信赖等级以及被访问的外围设备的访问控制字段所确定。

图2根据本发明的一个实施例说明图1中的总线接口18的一部分。总线接口18包括控制电路44、主设备特权寄存器30以及外围设备访问控制寄存器54。控制电路44通过系统总线16提供并接收总线主设备标识符36、地址42、数据10、控制38以及特权指示符37。控制电路44包括用于信赖的总线主设备读/写(R/W)访问寄存器30和54的电路46，该电路双向连接至主设备特权寄存器30和外围设备访问控制寄存54中的每一个。控制电路44还包括用于访问外围设备22和24的电路48。电路48包括总线主设备属性确定电路50，该电路接收来自主设备特权寄存器30的信息，电路48还包括外围设备保护确定电路51，该电路接收来自外围设备访问控制寄存器54的信息。控制电路48还包括信号桥接电路52，该电路双向连接至外围设备总线20以向外围设备22和24提供并从其接收信号。总线主设备属性确定电路50还向外围设备保护确定电路51提供调整的特权指示符57、读/写指示符58以及信赖的指示符59，并从外围设备保护确定电路51接收访问错误信号60。注意访问错误信号60还可通过系统总线16返回给总线主设备14和15。在替代实施例中，访问错误信号60通过系统总线16传输，并且不提供给总线主设备属性确定电路50。

主设备特权寄存器30包括主设备特权寄存器32和主设备特权寄存器34。在一个实施例中，每个主设备特权寄存器对应于系统总线16上的一个主设备。同样地，在一个实施例中，如下面将参照附图3所描述的，主设备特权寄存30可仅包括单个寄存器，或作为替换，可包括任何数量的寄存器。外围设备访问控制寄存器54包括外围设备访问控制寄存器55和外围设备访问控制寄存器56。在一个实施例中，每个外围设备访问控制寄存器对应于外围设备总线20上的一个外围设备。同样地，在一个实施例中，如下面将参照附图3所进一步描述的，外围设备访问控制寄存器54可仅包括单个寄存器，或作为替换，可包括任何数量的寄存器。同样地，注意主设备特权寄存器30和外围设备访问控制寄存器54可位于数据处理系统10内的任何位置，不必位于总线接口18内。在本发明的一些替代实施例中，外围设备访问控制寄存器可分布于每个外围设备22和24或总线从设备26内，主设备特权寄存器可分布于或驻留在一个或多个总线从设备26内。

在运行中，总线接口18根据总线主设备标识符36提供对主设备特权寄存器30和外围设备访问控制寄存器的访问。总线主设备标识符36为控制电路44标识当前请求是由哪个总线主设备提供的。例如，在一个实施例中，数据处理系统10内的每个总线主设备可有相应的标识(ID)号，例如总线主设备14可有相应的为0的ID号，总线主设备15可有相应的为1的ID号。因此，数据处理系统10内的任一总线主设备可分配唯一的ID号。当特定的总线主设备请求访问外围设备时，其相应的ID号可作为总线主设备标识符36提供给控制电路44。在此例子中，如果总线主设备标识符36为0，则表示总线主设备14。在替代实施例中，可使用任一类型的标识系统来区分不同的总线主设备。

总线接口18通过电路46保证只有一个信赖的总线主设备能获得对主设备特权寄存器30和外围设备访问控制寄存器54的读/写访问。电路46对比进入的总线主设备标识符36以确定是否是信赖的总线主设备请求读/写访问寄存器30或寄存器54。在一个实施例中，电路46包括列表，该列表标识允许哪些总线主设备修改寄存器30和54。例如，在一个实施例中，主设备14和15中只有一个被认为是信赖的主设备，并且只有该信赖的主设备能够修改寄存器30和54。作为替换，电路46可包括其他保证只有信赖的主设备修改寄存器30和54的电路。同样地，除了或代替总线主设备标识符36，电路46可根据其他属性做出此确定。例如，在替代实施例中，电路46可使用特权指示符37(其为当前总线访问指示请求访问的总线主设备的特权等级)以做出确定。在这种情况下，信赖的总线主设备就能够设置寄存器30和54的字段以控制对外围设备22和24的访问。在一个实施例中，在打开电源、复位、响应软件应用的初始或任何其他适当的时候，信赖的总线主设备可将数值编程进寄存器30和54。这样就允许动态访问寄存器30和54，以在必要时可对它们进行更新。但是作为替换，寄存器30和54内的数值可进行一次编程(如使用只写一次的存储器)，可仅被编程有限的次数，或可被硬连线。在讨论用于访问外围设备22和24的电路48内的总线主设备属性确定电路50之前，下面先参照图3说明寄存器30的内容。

图3说明主设备特权寄存器30的一个实施例，其中，在所描述的实施例中，主设备特权寄存器30包括对应于总线主设备14的主设备特权寄存器32和对应于总线主设备15的主设备特权寄存器34。因此，在当前的实施例中，主设备特权寄存器30包括用于每个总线主设备的一个主设备特权寄存器。但是，在替代实施例中，单个的寄存器可用来存储所有主设备必要的信息，或作为替换，可使用任何数量的寄存器及其组合。下面将主设备特权寄存器32作为一个例子进行讨论。但注意对主设备特权寄存器32的说明也适用于主设备特权寄存器30内的所有主设备特权寄存器，如主设备特权寄存器34。主设备特权寄存器32包括用于总线主设备14的特权等级修改符字段70、总线主设备14进行写访问的信赖属性字段71以及总线主设备14进行读访问的信赖属性字段72。

如存储在字段70内的数值所示，特权等级修改符字段70允许有选择地修改或调整总线主设备14用于特定访问的当前特权等级。在一个实施例中，总线主设备14的当前特权等级由总线主设备14通过系统总线16由特权指示符37提供给控制电路44。在一个实施例中，特权指示符37用来标识在当前总线访问中，请求总线访问的当前总线主设备(如由总线主设备标识符36所标识的)是具有管理员特权等级还是用户特权等级。也就是说，在此实施例中，特权指示符37指示对应于管理员模式或用户模式之一的特权等级。因此，如果总线主设备14正在进行总线访问，特权等级修改符字段70可用来向总线主设备属性确定电路50指示是否应调整用于当前总线访问的总线主设备14的特权等级。例如，如果在管理员模式运行，特权等级修改符字段70可用来强制将总线主设备14的特权等级设置为用户模式。作为替换，特权等级修改符字段70能表示任何类型的特权等级，不限于管理员模式或用户模式。而且，特权等级修改符字段70可包括一个或多个位用来提供总线主设备14的特权等级。例如，在一个实施例中，特权等级修改符字段70内的一个位可用来指示是否应修改在当前总线访问过程中请求总线主设备的特权等级，另一个位或多个位可用来指示调整的特权特级应是什么。(注意在一些实施例中，当前的特权等级可能与字段70所指示的特权等级相同，这表明不需调整。)

总线主设备14进行写访问的信赖属性字段71用来表示总线主设备14是否是总线主设备14进行写访问的信赖的主设备。类似地，总线主设备14进行读访问的信赖属性字段72用来表示总线主设备14是否是总线主设备14进行读访问的信赖的主设备。因此，每个总线主设备，如总线主设备14，可对读访问或写访问有不同的信赖属性。例如，对于对外围设备或总线从设备进行读访问，总线主设备14可被认为是信赖的主设备，而对于从外围设备或总线从设备进行写访问时，总线主设备14可被认为是非信赖的主设备。因此，字段71和72每个可包括一个或多个位用来指示总线主设备14进行读和写访问的信赖等级。在替代实施例中，总线主设备可有多个用于特定类型的总线访问的信赖等级，而不仅仅归类于信赖的或非信赖的。例如，字段71和72可从N(N＞2)个信赖等级中指示总线主设备14的一个等级。

注意主设备特权寄存器32内可包括比所描述的更多或更少的不同字段。例如，单个的信赖属性字段可同时用于总线主设备14的读访问和写访问，对于读访问和写访问两者，总线主设备14既可被认为是信赖也可是非信赖的。作为替换，可对其它类型的总线访问提供信赖属性。

注意上述对字段70到72的说明也适用于主设备特权寄存器34的字段74到76。也就是说，用于总线主设备15的特权等级修改符字段74允许有选择地调整用于当前总线访问的总线主设备15的特权等级。总线主设备15进行写访问的信赖属性字段75表示总线主设备15用于写访问的信赖等级，总线主设备15进行读访问的信赖属性字段76表示总线主设备15用于读访问的信赖等级。

再参照图2，用于访问外围设备22和24的电路48包括总线主设备属性确定电路50，该电路接收地址42、控制38、特权指示符37以及总线主设备标识符36，并向外围设备保护确定电路51提供调整的特权指示符57、读/写指示符58以及信赖的指示符59。因此，电路50接收所有必要的信息，这些信息标识总线访问类型(读或写)、请求的外围设备，标识哪个总线主设备正进行请求，以及标识进行请求的总线主设备的特权等级。如上所述，电路50使用存储在主设备特权寄存器30内的信息确定调整的特权指示符57、读/写指示符58以及信赖的指示符59。例如，总线主设备可发起要求访问外围设备的总线访问(该总线访问既可是读总线访问也可是写总线访问)。在至少部分总线访问中，提供总线主设备标识符36。总线主设备标识符36用来从主设备特权寄存器30选择用于总线访问的主设备特权信息(对应于请求访问的总线主设备)。然后可确定调整的特权指示符57、读/写指示符58以及信赖的指示符59的值。

例如，在一个实施例中，当总线主设备14正在进行当前的总线访问时，根据由特权指示符37指示的当前特权等级和特权等级修改符字段70确定调整的特权指示符57。如果特权等级修改符字段70指示应对总线主设备14强制设置特定的特权等级，则设置调整的特权指示符57的值以表示该强制的特权等级。如果特权等级修改符字段70指示不应对总线主设备14强制设置特权等级，则设置调整的特权指示符57的值以表示与特权指示符37相同的特权等级。可根据控制38确定读/写指示符58，该读/写指示符表示当前的总线访问是读访问还是写访问。根据当前的总线访问是读访问还是写访问(如可根据控制38确定)和信赖属性字段71和72确定信赖的指示符59。例如，如果当前的总线访问是由总线主设备14进行的写访问，则设置信赖的指示符59来表示由信赖属性字段71所表示的信赖等级。类似地，如果当前的总线访问是由总线主设备14进行的读访问，则设置信赖的指示符来表示由信赖属性字段72所表示的信赖等级。

然后，外围设备保护确定电路51使用调整的特权指示符57、读/写指示符58以及信赖的指示符59并结合外围设备访问控制寄存器54，确定是否允许对外围设备的访问，或在一些情况下，确定是否产生访问错误并通过访问错误信号60将访问错误返回给总线主设备属性确定电路50和/或返回给其访问请求导致此错误的总线主设备。在讨论用于访问外围设备22和24的电路48内的外围设备保护确定电路51之前，先参照图4说明寄存器54的内容。

图4说明了外围设备访问控制寄存器54的一个实施例，其中，在所描述的实施例中，外围设备访问控制寄存器54包括对应于外围设备22的外围设备访问控制寄存器55和对应于外围设备24的外围设备访问控制寄存器56。因此，在所描述的实施例中，外围设备访问控制寄存器54包括每个外围设备有一个外围设备访问控制寄存器。但是，在替代实施例中，可使用单个的寄存器来存储所有外围设备必要的信息，或作为替换，可使用任何数量的寄存器及其组合。外围设备访问控制寄存器55将作为例子在此进行讨论；不过，注意对外围设备访问控制寄存器55的说明也适用于所有在外围设备访问控制寄存器54内的外围设备访问控制寄存器，如外围设备访问控制寄存器56。外围设备访问控制寄存器55包括外围设备22的外围设备信赖属性字段80、外围设备22的写保护字段81，以及外围设备22的特权保护字段82。

外围设备22的外围设备信赖属性字段80表示外围设备22是否允许来自非信赖的主设备的访问(读或写)。例如，如果进行当前总线访问的总线主设备是非信赖的，如由对应于当前总线主设备(例如字段71和72)的信赖属性字段所显示的，则只有当字段80表示允许非信赖的主设备访问，才允许总线访问。外围设备22的写保护字段81表示外围设备22是否允许主设备对其进行写访问。例如，如果由当前的总线主设备对外围设备22正在进行的当前总线访问(不考虑总线主设备的信赖等级)是写访问，则如果字段81表示外围设备22是写保护的，那么该写访问不能进行。外围设备22的特权保护字段82表示外围设备22是否要求当前总线访问有一定的特权等级。因此，特权保护字段82可包括任何数量的位，这些位可表示用于访问外围设备22所要求的最低的特权等级。在一个实施例中，可使用单个的位来表示是否要求管理员特权。作为替换，可使用更多的位来表示要求N(N＞2)个特权等级的最低的特权等级。

注意外围设备访问控制寄存器55内可包括比所描述的更多或更少或不同字段。例如，不同的外围设备信赖属性字段(如外围设备信赖属性字段80)可用来表示是否允许非信赖的主设备进行读访问，以及是否允许非信赖的主设备进行写访问。同样地，附加的位或字段可用来表示外围设备22允许读访问或写访问需要的N(N＞2)个可能的信赖等级的最低的信赖等级。

注意上述对字段80-82的说明也适用于外围设备访问控制寄存器56的字段84-86。也就是说，外围设备24的外围设备信赖属性字段84表示外围设备24是否允许非信赖的主设备的访问(读或写)。外围设备24的写保护字段85表示外围设备24是否允许主设备对其进行写访问。外围设备24的特权保护字段86表示外围设备24是否要求当前总线访问有一定的特权等级。

再参照图2，用于访问外围设备22和24的电路48还包括外围设备保护确定电路51，该电路接收调整的特权指示符57、读/写指示符58以及信赖的指示符59，并向总线主设备属性确定电路50提供访问错误信号60。(替代地或附加地，可通过系统总线16将访问错误信号60返回给其请求导致该错误的总线主设备。)因此，如上所述，电路51使用指示符57-59和存储在外围设备访问控制寄存器54内的信息，确定是否允许对请求的外围设备进行总线访问。例如，如果总线主设备14发起总线访问以对外围设备22进行写访问，则电路51确定是否允许总线访问。例如，电路51使用调整的特权指示符57和特权保护字段82来确定是否外围设备22要求访问有特定的特权等级(如字段82所表示的)以及是否总线主设备14具有所要求的特权等级(如调整的特权指示符57所表示的)。电路51也使用读/写指示符58和写保护字段81来确定是否当前的总线访问是写访问，如果是，是否允许对外围设备22的写访问。电路51也使用信赖的指示符59和外围设备信赖属性字段80来确定是否总线主设备14具有外围设备22(由字段80表示)所要求的合适的信赖等级(由信赖的指示符59表示)。因此，电路51通过使用上述所有信息能确定是否允许总线主设备14请求的对外围设备22进行总线访问。也就是说，总线主设备14需要具有合适的特权等级和合适的信赖等级，并且，如果总线访问是写访问，则外围设备22对被允许的总线访问必须不是写保护。

如果允许访问(意味着请求访问的总线主设备具有合适的对请求的特定外围设备的访问许可)，则继续操作(即继续总线访问)，并提供必要的总线协议来完成此操作。例如，信号桥接电路52向访问的外围设备提供任何合适的从控制38、数据40以及地址42派生的数据、地址以及控制信号。类似地，信号桥接电路52通过控制38、数据40以及地址42向系统总线16返回必要的控制、数据和地址信息。同样地，可通过控制38返回状态信息。

但是，如果不允许访问(意味着请求访问的总线主设备不具有合适的对请求的特定外围设备的访问许可)，则在访问外围设备之前终止总线访问。同样地，可使用访问错误信号60来表示请求访问的总线主设备被拒绝对外围设备的访问。同样地，可通过系统总线16向请求访问的总线主设备提供总线错误。总线错误可作为控制信号38之一由总线主设备许可确定电路50提供。作为响应，请求访问的总线主设备可执行合适的异常处理以从总线错误恢复。作为替换，如果访问不允许，可复位数据处理系统10的全部或部分。

如上所述，信赖的总线主设备可按需要动态地改变寄存器30和54内的许可。在一个实施例中，信赖的总线主设备可响应软件应用的开始来改变许可。例如，非信赖的总线主设备可警告信赖的总线主设备其正准备开始软件应用。作为响应，信赖的总线主设备可更新寄存器30和54以向非信赖的总线主设备提供对必要的外围设备的访问，从而完成其应用。当完成应用时，信赖的总线主设备可取消先前授予的许可，这样许可仅逐个应用地授予。

在替代实施例中，外围设备22或24可以是存储单元，其中外围设备寄存器21或25可以是存储位置。在该实施例中，寄存器30和54可以向特定的存储位置或存储单元的部分定义对应于每个总线主设备的访问许可。

同样地，注意在替代实施例中，存储在寄存器30内的信息可位于每个对应的主设备，并且存储在寄存器54内的信息可位于每个外围设备中，而非总线接口18中。而且，总线主设备许可确定电路也可位于主设备内或与之相邻，外围设备保护确定电路可位于外围设备内或与之相邻，这样由外围设备确定许可。因此，替代实施例可在数据处理系统10的内存映射内的任何位置存储信赖的总线主设备可访问的寄存器30和54的信息。同样地，数据处理系统10可包括任何数量的能够更新许可信息的信赖的总线主设备，不限于单个安全的总线主设备。

图5根据本发明的替代实施例说明数据处理系统100。数据处理系统100包括总线主设备101、总线主设备102、总线主设备属性确定电路和主设备特权寄存器104、总线主设备属性确定电路和主设备特权寄存器110、外围设备保护确定电路和外围设备访问控制寄存器106、外围设备保护确定电路和外围设备访问控制寄存器112，以及外围设备108和114。总线主设备101向总线主设备属性确定电路和主设备特权寄存104提供特权指示符116，总线主设备属性确定电路和主设备特权寄存器104通过系统总线103向外围设备保护确定电路和外围设备访问控制寄存器106和112以及外围设备108和114提供调整的特权指示符118，并通过系统总线103向外围设备保护确定电路和外围设备访问控制寄存器106和112提供信赖的指示符120。总线主设备101也通过系统总线103向外围设备保护确定电路和外围设备访问控制寄存器106和112以及外围设备108和114提供其他信息122。总线主设备102向总线主设备属性确定电路和主设备特权寄存器110提供特权指示符130，总线主设备属性确定电路和主设备特权寄存器110通过系统总线103向外围设备保护确定电路和外围设备访问控制寄存器106和112以及外围设备108和114提供调整的特权指示符126，并通过系统总线103向外围设备保护确定电路和外围设备访问控制寄存器106和112提供信赖的指示符128。总线主设备102也通过系统总线103向外围设备保护确定电路和外围设备访问控制寄存器106和112以及外围设备108和114提供其他信息124。

在操作方面，数据处理系统100的操作与数据处理系统10类似。例如，主设备101和102可与主设备14和15类似，外围设备108和114可与外围设备22和24类似。同样地，数据处理系统100可包括任何数量的主设备和任何数量的外围设备。但是，在数据处理系统100内，总线接口18的各部分分布于不同的位置。同样地，在数据处理系统100内，通过系统总线103向外围设备保护确定电路和外围设备访问控制寄存器106和112提供信赖的指示符120和128。同样地，总线主设备属性确定电路和主设备特权寄存器104和110分别有选择地修改特权指示符116和130，并通过系统总线103将其作为调整的特权指示符118和126提供给外围设备保护确定电路和外围设备访问控制寄存器106和112以及外围设备108和114。注意总线主设备属性确定电路和主设备特权寄存器104和110每个的操作与参照图2至4所描述的总线主设备属性确定电路50和主设备特权寄存器30类似。例如，以同样的方式使用存储在主设备特权寄存器和外围设备访问控制寄存器内的信息，以确定是否允许总线访问。其他信息122和124可包括如控制38、数据40、地址42以及总线主设备标识符36之类的信息。因此，可使用上述图1至4所描述的相同的信号；但是，产生这些信号或部分信号的电路可位于不同的位置或具有不同的结构。

注意在所描述的图5的实施例中，因为每个总线主设备101和102有相应的总线主设备属性确定电路和主设备特权寄存器，图2中的总线主设备标识符36是可选的。因此，每个主设备都分配有确定电路和主设备特权寄存器。例如，每个确定电路和主设备特权寄存器可包括与其相应的总线主设备对应的特权等级和信赖属性字段(如字段70-72和74-76)。电路和存储在主设备特权寄存器的信息可位于每个主设备内或在主设备与系统总线之间进行通信。同样，每个外围设备都分配有外围设备保护确定电路51和外围设备访问寄存器54。例如，如图5所示，每个外围设备108和104具有相应的外围设备保护确定电路和外围设备访问控制寄存器，其中每个外围设备保护确定电路和外围设备访问控制寄存器能包括对应于其相应的外围设备的访问控制字段(如字段80-82和84-86)。同样地，注意如前面参照数据处理系统10所描述的，外围设备108和116可以是任何类型的外围设备、存储装置或总线从设备，因而其并不限于特定的功能范围。

注意尽管图1和图2说明双向导体的使用，但应该知道，可使用单向导体的组合。作为替换，可使用双向和单向导体的组合。也可通过单个导体串联传输信号或通过多个导体并联传输信号。作为替换，也可通过单个或多个导体对信号进行时间复用。同样，注意描述为双向导体的信号也可用单向导体代替，单向导体也可用双向导体代替。

在上述说明中，参照特定的实施例对本发明进行了描述。但是，可做出不超出权利要求书所定义的本发明的范围的各种修改和变动，这对本领域技术人员来说是公知的。例如，应该理解，数据处理系统10和100可以是任何类型的能够位于单个芯片内或集成电路(IC)内或芯片或集成电路组合内的数据处理系统。数据处理系统10和100也可应用于各种位于具有共用的外围设备的网络(通过网络系统总线连接)上的主设备和从设备。因此，本说明书和附图仅为说明性，而非限制性，且所有此类的修改应在本发明的范围之内。

以上已经参照特定的实施例描述了各种利益、其他优点以及问题的解决方案。但是，利益、优点、问题的解决方案以及可能导致任何利益、优点或方案的产生或使方案变得更明确的任何要素不解释为任一或所有权利要求的重要的、要求的或实质的特征或要素。如在此所使用的术语“包括”或其任何变化，是为了涵盖非排外的包含，这样过程、方法、物品或包括系列元件的装置不仅仅包括这些元件，而且也可包括其他没有明确列出或与此过程、方法、物品或装置成一体的其他元件。

Claims (11)

1.一种用于在具有总线的数据处理系统(10)内提供外围设备访问保护的方法，该方法包括：

发起要求访问外围设备(22或24)的总线访问；

提供与所述总线访问相关联的特权指示符(37)；

提供特权等级修改符；以及

根据特权等级修改符的值有选择地调整特权指示符以产生有选择地调整的特权指示符(57)。

2.根据权利要求1所述的方法，进一步包括：

在确定是否允许对外围设备的总线访问时，使用所述有选择地调整的特权指示符，而不是所述特权指示符。

3.根据权利要求1所述的方法，其中所述特权等级修改符对应于第一总线主设备(14或15)，并且其中所述方法进一步包括：

提供对应于第一总线主设备的多个信赖属性；

如果所述总线访问是读访问，从所述多个信赖属性中选择第一信赖属性；

如果所述总线访问是读访问，使用第一信赖属性来确定第一总线主设备是否对于读访问是信赖的；

如果所述总线访问是写访问，从所述多个信赖属性中选择第二信赖属性；以及

如果所述总线访问是写访问，使用第二信赖属性来确定第一总线主设备是否对于写访问是信赖的；

4.根据权利要求1所述的方法，进一步包括：

为所述外围设备提供至少一个特权保护位(82或86)以确定所述外围设备是否要求管理员访问的特权等级。

5.根据权利要求1所述的方法，进一步包括：

提供对应于第一总线主设备的至少一个信赖属性；以及

使用所述至少一个信赖属性来确定第一总线主设备是否是信赖的总线主设备。

6.根据权利要求1所述的方法，进一步包括：

发起要求访问所述外围设备的第二总线访问；

提供与第二总线访问相关联的第二特权指示符；

提供第二特权等级修改符；以及

根据第二特权等级修改符的值有选择地调整第二特权指示符，

其中第二特权等级修改符对应于第二总线主设备。

7.根据权利要求1所述的方法，进一步包括：

为所述外围设备提供至少一个外围设备信赖属性；以及

使用所述至少一个外围设备信赖属性来确定是否允许任何来自非信赖的总线主设备对所述外围设备的访问。

8.一种数据处理系统，其包括：

第一总线主设备(14)；

外围设备(22或24)；

特权指示符(37)；

调整的特权指示符(57)；

第一存储电路(70)，其存储对应于第一总线主设备的第一特权等级修改符；以及

控制电路(44)，其连接至所述第一总线主设备、外围设备、特权指示符、调整的特权指示符以及第一存储电路，所述控制电路接收所述特权指示符并根据第一特权等级修改符有选择地调整所述特权指示符，所述控制电路提供所述调整的特权指示符。

9.根据权利要求8所述的数据处理系统，进一步包括：

第二总线主设备(15)，其连接至所述控制电路；以及

第二存储电路(74)，其存储对应于第二总线主设备的第二特权等级修改符，所述第二存储电路连接至所述控制电路，

其中所述控制电路接收所述特权指示符，并且当第二总线主设备发起总线访问时，根据第二特权等级修改符有选择地调整所述特权指示符。

10.一种用于在数据处理系统(10)内提供外围设备访问保护的方法，该方法包括：

提供第一总线主设备(14)；

提供第二总线主设备(15)；

发起要求访问外围设备(22或24)的第一总线访问；

提供与第一总线访问相关联的第一特权指示符(37)；

提供第一特权等级修改符(70)；

根据第一特权等级修改符有选择地调整第一特权指示符以产生第一有选择地调整的特权指示符(57)；

发起要求访问所述外围设备的第二总线访问；

提供与第二总线访问相关联的第二特权指示符；

提供第二特权等级修改符(74)；以及

根据第二特权等级修改符有选择地调整第二特权指示符以产生第二有选择地调整的特权指示符。

11.一种用于在具有总线的数据处理系统(10)内提供外围设备访问保护的方法，该方法包括：

发起要求访问外围设备(22或24)的总线访问；

提供对应于第一总线主设备(14或15)的至少一个信赖属性，其中该至少一个信赖属性与管理员/用户属性无关；以及

使用所述至少一个信赖属性来确定第一总线主设备是否是总线访问的信赖的主设备。

Images