JP2009523280A - プロテクションシステム及びその動作方法 - Google Patents

Abstract

システム（２００）は、複数のマスタ装置（２０５，２４０，２５０，２６５）に動作的に接続される１以上のスレーブ要素（２７５，２８０，２８５，２９０，２９５）を有する。中央プロテクションファンクション（２７０）は、第１通信バス（２３５）に動作的に接続され、１以上のスレーブ要素（２７５，２８０，２８５，２９０，２９５）と複数のマスタ装置（２０５，２４０，２５０，２６５）との間のデータフローを通信バス（２３５）を介し制御するよう構成される。

Description

発明の詳細な説明

［発明の分野］
本発明の実施例は、マイクロプロセッサシステムにおけるメモリ及び周辺装置などのスレーブ装置のプロテクトに関する。本発明は、限定されるものでないが、エンハンストメモリプロテクションシステムに適用可能であり、これにより、ファンクションは、中央処理ユニット（ＣＰＵ）、ダイレクトメモリアクセス（ＤＭＡ）、コプロセッサなどのマスタ装置からのメモリ及び周辺装置のアクセスを制御及びプロテクトする。

［発明の背景］
マイクロプロセッサアーキテクチャの分野では、バスマスタとして知られているアーキテクチャ要素が通信バスを介したバスデータ伝送を開始するのに利用される。このようなアーキテクチャ要素は、メイン処理コア、ダイレクトメモリアクセス（ＤＭＡ）、コプロセッサなどから構成されるかもしれない。マイクロプロセッサアーキテクチャは、しばしば図１に示されるように、マスタ装置からのスレーブメモリ要素への許可されていないアクセスに対してプロテクトするプロテクション機構により構成される。

図１の典型的なマイクロプロセッサアーキテクチャ１００の一例は、メモリ管理ユニット（ＭＭＵ）１１５とメモリキャッシュ１２０に動作的に接続されたメインコアを有する。メインＣＰＵコア１０５は、バス又はクロスバースイッチ１３５を介しマイクロプロセッサアーキテクチャ１００内の各種装置及びファンクションに動作的に接続される。ＣＰＵコア１０５は、バスマスタとして主として動作する。

クロスバースイッチ１３５はまた、外部のマスタインタフェース１０５及びＤＭＡ要素１４０に接続される。クロスバースイッチはまた、一連のインタフェース要素１４５に動作的に接続される。これらの要素は“スレーブ”として知られており、周辺装置としてフラッシュメモリ、ＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）及び／又はＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）から構成されるかもしれない。これらスレーブ要素はまた、割り込みコントローラ１２５を介しＣＰＵコア１０５に動作的に接続される。

本発明に関して、マスタ装置は、バスデータ伝送を開始する機能と、バスアービトレーションをリクエストする機能とを有する装置として定義されるかもしれない。潜在的に複数のバスマスタ装置を有するシステムでは、各マスタ装置は、何れのマスタが所望されるリソースの所有を取得するかについて、所定のルールセットに基づく機構に同意する必要がある。他方、スレーブ装置は、バスリクエストを開始する機能を有さず、バスデータ伝送を開始することができない装置として定義されるかもしれない。実際、データを有するスレーブ装置は、当該データを要求するマスタ装置によりアクセスされる。

特に、典型的なマイクロプロセッサアーキテクチャ１００は、プロセッサメインコアに設けられるメモリ管理ユニット（ＭＭＵ）又はメモリプロテクションユニット（ＭＰＵ）（図示せず）を利用して、メモリ装置及び周辺装置に対するプロテクションを提供する。

現在のアーキテクチャに使用されるＭＭＵは、１つのマスタ装置から複数のスレーブ装置へのアクセスしかプロテクトしない。

さらに、ＭＭＵは、典型的には“ページベース”である。これは、これらのページの粒度が大変粗いことを意味する。ここでの粒度（ｇｒａｎｕｌａｒｉｔｙ）とは、各エントリのサイズを意味する。これは、“埋め込み”の世界において多数のアプリケーション要求にとって非効率なものとなる。大部分のケースにおいて、ＭＭＵの機構はＣＰＵコアでのみ利用可能である。

現在のシステムに使用されるＭＰＵは、すべての又は複数の宛先をプロテクトする。しかしながら、ＭＰＵは、１つのマスタ装置により開始されるトランザクションしかプロテクトしない。

いくつかのマスタ装置（ＤＭＡ、ＥＢＩ（Ｅｘｔｅｒｎａｌ Ｂｕｓ Ｉｎｔｅｒｆａｃｅ）など）がアウトバウンドデータフローのためのプロテクションを提供することが知られている。また、いくつかのスレーブ装置がインバウンドデータフローのためのプロテクションを有していることが知られている。このため、メモリ装置の様々なプロテクションレベルは、装置に対するデータフローイン／アウトについて、アーキテクチャにおけるプロテクションスキームの不整合をもたらす。既知の手段は、コンフリクトした設定がその分散的な性質により生じる可能性があるとき、メモリマップ全体をプロテクトすることはできない。

マイクロプロセッサアーキテクチャにおける追加的なマスタ装置又はバスマスタ装置は、それらのメモリマップアクセスにおいて制限されないか、又はそれらはスレーブ装置の不十分なプロテクションしか提供しない。このため、現在のアプローチは、メモリマップされたアクセスについて分散的で一貫しない設定しか可能にしない。分散的なメモリプロテクションは、上述したように、ＭＭＵ又はＭＰＵを利用して現在利用可能であり、これは、ＤＭＡコントローラやＥＢＩなどの他のマスタ装置を介し利用するための限定的な設定しか提供しないか、又はＣＰＵコア１０５によるアクセスを制限する。プロテクション設定は、各マスタ装置によって独立にのみ利用可能である。これは、設定数が不十分であるか、又は無効な設定が利用されているとき、一貫しない設定コンフィギュレーションを招く可能性がある。

いくつかのマイクロプロセッサアーキテクチャは、特定のモジュールに対するインバウンドプロテクションを提供する。他のマイクロプロセッサアーキテクチャは、各マスタ装置（例えば、インバウンド：ＭＰＣ５５５４スレーブバスブリッジ、アウトバウンド：ＰｏｗｅｒＱｕｉｃｃＩＩＩのＡＴＭＵなど）のアウトバウンドプロテクションを提供する。インバウンドデータ伝送は、ＥＢＩなどの外部接続された周辺装置の１つを介し開始される集積回路へのデータフローである。アウトバウンド伝送は、ＡＴＭＵ（Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ ａｎｄ Ｍａｐｐｉｎｇ Ｕｎｉｔ）周辺装置を通過するデータフローである。このような伝送は、ＣＰＵコア１０５により開始され、データ伝送は、集積回路の境界に送信される。しかしながら、ＭＭＵはメインコアの許可されていないアクセスに対してプロテクトすることしか知られていない。

このため、今日のマイクロプロセッサアーキテクチャは、しばしばメインＣＰＵコアによる誤ったアクセスからメモリ及び周辺装置をプロテクトするためのＭＰＵ／ＭＭＵしか設けていない。これは、特に“ｈｔｔｐ：／／ｅｎ．ｗｉｋｉｐｅｄｉａ．ｏｒｇ／ｗｉｋｉ／Ｓｙｓｔｅｍ−ｏｎ−ａ−ｃｈｉｐに定義されるようなシステム・オン・チップ（ＳｏＣ）装置について当てはまる。

しかしながら、本発明の分野では、可能性のあるすべてのマスタ装置とメモリ宛先を網羅するＳｏＣ装置のための完全制御及びプロテクトされたメモリアクセスが必要とされる。将来のＳｏＣは、特に安全性とセキュリティの適用のため、より高いレベルのメモリマッププロテクション及び制御されたメモリマップアクセスを必要とすることが予想される。

このため、例えば、マイクロプロセッサ内のメモリ要素などのスレーブ要素のための改良されたプロテクションシステム及びその動作方法が必要とされる。

［発明の概要］
本発明の特徴によると、添付した請求項に記載されるようなプロテクションシステム及びそのためのプロテクション方法が提供される。

［発明の実施例の説明］
本発明の一実施例は、ＰｏｗｅｒＰＣと共に使用するマイクロプロセッサベースメモリシステムに関して説明される。しかしながら、ここに記載される発明の概念は任意のタイプのメモリシステム又はＳｏＣに実現可能であることは、当業者に理解されるであろう。特に、発明の概念は、Ｆｒｅｅｓｃａｌｅ Ｓｅｍｉｃｏｎｄｕｃｔｏｒ^ＴＭにより製造されるｘＧａｔｅ^ＴＭ、コプロセッサ、ＤＭＡなどの複数のバスマスタを有した任意のＳｏＣプロセッサ又はマイクロプロセッサに適用可能であることが想定される。

図２を参照するに、本発明の一実施例によるメモリプロテクションシステム２００が示される。メモリプロテクションシステム２００は、ＳｏＣとして後述される１つの集積回路上に設けられていると説明される。特に本発明の一実施例は、中央メモリプロテクション（ＣＭＰ）ファンクション２７０を提案する。メモリプロテクションの“中央”という性質は、バスデータ伝送が中央メモリプロテクションファンクション２７０を通ることなくＳｏＣ上で開始されることを保証することを意図している。ＳｏＣ内のＣＭＰファンクション２７０の中心位置は、プロテクションシステム内のすべてのバスデータ伝送の完全な観察可能性を保証する。

ＣＭＰファンクション２７０は、ＣＰＵ、ＤＭＡ、ＥＢＩなどであるかを問わず、マスタ装置により開始される各データ伝送を処理、チェック及び応答するよう構成される。一実施例では、データ伝送の処理は、ＣＭＰファンクション２７０に割り当てられたプロテクション設定に従って実行される。ここで、チェックは、ＣＭＰファンクション２７０に割り当てられた設定に従って実行され、アクションはＣＭＰファンクション２７０の設定に基づく。プロテクション設定は、ＣＭＰ内の特定のレジスタにより実現され、これらは偶発的な変更に対してプロテクトされる。

本発明の一実施例では、ＳｏＣ上で実行されるプロセスは、以下のステップを有する。メインプロセッサなどのマスタ装置は、通信バス２３５を介しＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）のエリアなど、スレーブメモリへのアクセスを開始する。ＣＭＰファンクション２７０は、アクセスリクエストを評価し、リクエストされたメモリエリアがＣＭＰファンクション２７０の設定に従ってアクセス可能であるか判断する。このアクセスが可能である場合、ＣＭＰファンクション２７０はアクセスを許可し、アクセスリクエストは、介入なく処理される。

メモリエリアへのアクセスが許可されていない場合、エラー又は警告フラグがＣＭＰファンクション２７０により提示され、メモリエリアの違反が、例えば、割り込み信号及び／又はバス伝送中止信号などを介し通知可能である。このように、１以上の特定のメモリエリアの設定がコアによるライトアクセスのみの許可に限定される場合、他の何れかのライトアクセス、すなわち、ＤＭＡやコプロセッサによるライトアクセスは、エラー又は警告フラグを生じさせる。この通知は、違反の原因をさらに調べるのに利用される。メインコアは違反を処理することが可能であるか、又は違反はリクエストを行ったマスタにより処理可能である。

従って、ＣＭＰファンクション２７０にプログラムされた設定に応答して、メモリなどのスレーブ要素へのすべてのアクセスは、何れかの又はすべてのバスマスタ装置による１以上のスレーブ要素へのアクセスが許可されているか判断するため、ＣＭＰファンクション２７０の設定に対してチェックされる。許可されていないアクセスリクエストを決定すると、ＣＭＰファンクション２７０の設定のチェックの後に、エラー又は警告フラグが発行される。

本発明の一実施例では、ＣＭＰファンクション２７０は、いくつかのマスタ装置による、また本発明のさらなる実施例ではすべてのマスタ装置によるＲＡＭ、フラッシュメモリ、周辺要素などのスレーブＳｏＣ要素へのすべてのメモリアクセス及びアクセス権限を管理及びプロテクトするよう構成される。このように、ＳｏＣ上のすべてのバスデータ伝送は、ＣＭＰファンクション２７０により観察及び制御される。

一実施例では、ＣＭＰファンクション２７０は、図２において４＊５クロスバースイッチ２３５として示されるクロスバースイッチ２３５に動作的に接続される。しかしながら、ＣＭＰファンクション２７０はこのコンフィギュレーションに限定されず、他の何れかのマルチマスタ装置マイクロプロセッサアーキテクチャ／コンフィギュレーションにおいて利用可能であることが想定される。コア２０５は、４＊５クロスバースイッチ２３５を介しマイクロプロセッサアーキテクチャ２００内の各種マスタ装置及びファンクションに動作的に接続される。

４＊５クロスバースイッチ２３５はまた、外部マスタインタフェース２５０を介すると共に、外部バスインタフェース２５５に直接的に接続される。さらに、４＊５クロスバースイッチ２３５はまた、コプロセッサ２６５及びＤＭＡ２４０に接続される。コア２０５、コプロセッサ２６５、ＤＭＡ２４０及び外部バスインタフェースは、ＳｏＣのバスマスタ２１０である。

４＊５クロスバースイッチ２３５はまた、入出力ポートでありうる一連のスレーブ装置２８５、２９０、２９５に動作的に接続される。さらに、４＊５クロスバースイッチ２３５は、フラッシュメモリ２７５とある形式のＲＡＭ２８０に動作的に接続される。フラッシュメモリ２７５、ＲＡＭ２８０及びスレーブ装置２８５、２９０、２９５は、ＳｏＣのバススレーブ要素２３０である。

図２に図示されていないが、割り込みコントローラが、ＣＭＰファンクション２７０の設定違反があるときを示すため、ＳｏＣ機能により利用される。違反の指標はまた、当業者により理解されるように、他の何れか適切な手段を介し表示及び処理可能であることが想定される。

このため、本発明の一実施例によると、ＣＭＰファンクション２７０は、マスタ装置と通信バスとの間のインタフェースをとり、図示されたケースで説明されたように、それはクロスバースイッチ２３５などの中央に設けられる。このように、ＣＭＰファンクション２７０は、偶発的な又は意図的な侵入アクセスから外部（スレーブ）及び内部メモリをプロテクトするよう構成される。

さらに一実施例では、このアーキテクチャのＣＭＰファンクション２７０は、外部バスインタフェース２５５又は何れかのデバッグポート（図示せず）を介しメモリ要素などの１以上のスレーブ要素へのアクセスを禁止又は制限するよう構成される。これは、コードラナウェイ（ｃｏｄｅ ｒｕｎａｗａｙ）、ランダムな又は所望されないデータ上書き処理などの問題に対するプロテクトをすると共に、外部バスインタフェース又はデバッグポートなどを介した許可されていないデータのリードアウトを禁止するＳｏＣの安全性の機能を増大させる。

一実施例では、ＣＭＰファンクション２７０は、すべてのメモリマップアクセスがＣＭＰファンクション２７０を通過する必要があり、アクセスリクエストの有効性がチェック可能となるように構成される。このため、ＣＭＰファンクション２７０は、すべてのメモリマップアクセス（“リード”及び／又は“ライト”処理）が完全に制御されるように構成される。

ＣＭＰファンクション２７０が機能的な観点からＳｏＣ内に中心的に配置されるとき、ＣＭＰファンクション２７０は１つのプログラミングポイントとして利用可能であることが想定される。このように、制御の中心点の利用は、対応するオペレーティングシステム（ＯＳ）の機能をサポートするため効果的に利用可能である。一実施例では、ＯＳはメインコア２０５上のソフトウェアとして実行され、すなわち、ＯＳソフトウェアの部分がＣＭＲファンクション２７０を構成する。

また、“ワンタイム（ｏｎｅ−ｔｉｍｅ）”設定などのＣＭＰ設定が、ＳｏＣのセキュリティ及び／又は安全性を向上させるため利用及び実行可能であることが想定される。このような“ワンタイム”設定機能の効果は、当該設定の変更が不可となる、すなわち、“ワンタイム”設定機能は侵入を禁止し、セキュリティの向上をもたらすことである。プログラミングのシングルポイントのさらなる効果は、ハードウェアの実現を通じて、無効な設定を排除するためクロスチェックが実行可能であるということである。

さらに本発明の拡張された実施例では、ＣＭＰファンクション２７０は、ＳｏＣ内のデータフローを許可又は制限するための一貫した設定を可能にするよう構成される。この一貫した設定は、分散メモリプロテクトスキームをサポートする現在のマイクロプロセッサアーキテクチャにおいて一般的な問題である矛盾した設定を不可能にすることを確実にする。このため、無効なデータフローが不可とされるため、一貫した設定の利用はＳｏＣの安全性とセキュリティ機能を向上させる。

特に本発明の一実施例では、ＣＭＰファンクション２７０は、ＳｏＣ内のデータフロー全体、すなわち、チップの内部のすべてのデータフローを制御する。この結果、ＣＭＰファンクション２７０は、外部バスと共にメモリ要素及び周辺モジュールをプロテクトする。

一実施例では、プロテクトされたメモリエリアへのアクセスはＣＭＰファンクション２７０によりインターセプトされ、これにより、ＣＰＵコアにより処理される必要があるアクセスエラーが生じる。このため、概してインターセプトされたアクセスは効果的にブロックされる。アクセスの粒度は、例えば、マイクロプロセッサの動作を読み出し専用アクセス、リード／ライトアクセス又は書き込み専用アクセスに制限するためのものとすることが可能である。

本発明のさらなる拡張された実施例では、ＣＭＰファンクション２７０は、ＣＭＰファンクション２７０の設定の有効性をチェックするため、ハードウェアサポートを設けるよう構成される。ＣＭＰファンクション２７０は、特定のメモリエリアがアクセス不可であるか、又は矛盾したコンフィギュレーションで設定されているか内部的にチェックするよう構成される。例えば、ＲＡＭメモリエリアは読み出し専用として設定されるかもしれない。すなわち、何れのデータも当該メモリ位置に書き込み不可とされる。

本発明のさらなる拡張された実施例では、ＣＭＰファンクション２７０が動的に最新のメモリスペースをアドレス指定するように、典型的には、仮想・物理アドレス変換を実行するマスタ装置のＭＭＵに動作的に説明されることが想定される。

また、スレーブ（メモリ）要素又は周辺装置の複雑なルールが実現可能であることが想定される。さらなる例は、ＲＡＭ又は他の何れかのスレーブエリアへのアクセスが、例えば、リードアクセスが許可されていないライトアクセスに対してのみ設定されるものである。例えば、すべてのメモリエリアが１つのマスタ装置によってのみ書き込み可能であるが、おそらく複数のマスタ装置により読み出し可能であるか確認するため、他のチェックが実行可能であることが想定される。

本発明のさらなる拡張された実施例では、ＣＭＰファンクション２７０の導入は、マイクロプロセッサ装置監視動作モード又はユーザ動作モードにおいて利用可能であることが想定される。このような動作モードでは、マイクロプロセッサシステム２００における無効にされたソフトウェア又はアプリケーションが実行可能であるが、特にＳｏＣのメモリへのアクセスは制限される。この動作モードでは、信頼されたオペレーティングシステムカーネルと関連する装置ドライバが、メモリへの完全なアクセス権限を有して実行可能である。しかしながら、信頼されたＯＳカーネルは、ＯＳにより開始された各タスクのアクセスを制限するかもしれない。

上述されるような改良されたプロテクションシステムは、以下の効果の少なくとも１以上を提供することを意図することが理解されるであろう。
ｉ）本発明の概念は、各スレーブメモリ要素に付属される各プロテクションユニットを設けることを不要にする。
ｉｉ）本発明の概念は、特にＳｏＣの内部におけるすべてではないが、かなりの個数のメモリ要素及び周辺装置のアクセスの拡張されたプロテクション及び制御を提供する。
ｉｉｉ）本発明の概念は、Ｆｒｅｅｓｃａｌｅ装置ＭＰＣ５５５４、ＭＰＣ５２００、Ｘ１２などの複数のバスマスタを有する何れかのＳｏＣプロセッサに適用可能である。
ｉｖ）複数のマスタ装置を有するマイクロプロセッサ（ＸＧａｔｅ、中央処理ユニット（ＣＰＵ）、ＤＭＡ、コプロセッサなど）は、より高いレベルの安全性とセキュリティ機能の効果を有する。
ｖ）本発明の概念は、サイズＭＭＵページに比較して、より良好なメモリプロテクションアクセスの粒度を提供する。
ｖｉ）本発明の概念は、すべてのスレーブ装置に対するプロテクションを提供する。
ｖｉｉ）中央メモリプロテクション機能は、メモリ及び周辺装置プロテクションシステムのための単一のプログラミングモデルを実現する。本発明のコンテクストでは、周辺装置はスレーブとマスタＳｏＣ要素からなる。

特に、上述した本発明の概念は、半導体メーカーによってＦｒｅｅｓｃａｌｅ^ＴＭ野ＭＰＣ５ｘｘｘファミリなど、複数のバスマスタを有する何れかのプロセッサアーキテクチャに適用可能であることが想定される。さらに、本発明の概念は、より高いレベルの安全性とセキュリティ機能の利益を有する複数のマスタ装置を有する何れかの回路又は装置（ＸＧａｔｅ、ＣＰＵ、ＤＭＡ、コプロセッサなど）に適用可能である。

さらに、半導体メーカーは、スタンドアローン装置ＳｏＣ、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ−Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）及び／又は他の何れかのサブシステムマイクロプロセッサ要素の設計において本発明の概念を利用可能であることが想定される。

当業者は、他のアプリケーションにおいて、上述した本発明の概念を有する他のファンクション／回路／装置及び／又は他の技術が利用可能であることを理解するであろう。例えば、本発明の一実施例は、ＳｏＣ内に設けられ、通信バスに付属する中央メモリ処理ファンクション２７０を参照して説明されたが、本発明の概念は、各要素が１つのＩＣに共存しない分散回路において利用可能であることが想定される。このため、中央処理ファンクションを利用する本発明の概念は、装置内に設けられた“クロスバースイッチ”による利用に限定されず、複数のマスタ装置とスレーブ装置のために機能する何れかの共通のバスにより等しく利用可能であることが想定される。

本発明の実施例の特定の及び好適な実現形態が上述されたが、当業者はこのような発明の概念の変更及び改良を容易に適用可能であることは明らかである。

従って、従来の構成による上述した問題点が実質的に軽減される改良されたプロテクションシステムが説明された。

図１は、許可されたメモリマップエリアしかアクセスしないプロテクションとＭＭＵを介したバスマスタ装置のプロテクションを提供する既知のマイクロプロセッサアーキテクチャを示す。 図２は、本発明の一実施例によるメモリプロテクションシステムを示す。

Claims (4)

1. 複数のマスタ装置（２０５，２４０，２５０，２６５）に動作的に接続される１以上のスレーブ要素（２７５，２８０，２８５，２９０，２９５）を有するシステム（２００）であって、
   第１通信バス（２３５）に動作的に接続され、前記１以上のスレーブ要素（２７５，２８０，２８５，２９０，２９５）と前記複数のマスタ装置（２０５，２４０，２５０，２６５）との間のデータフローを前記通信バス（２３５）を介し制御するよう構成され、前記１以上のスレーブ要素（２７５，２８０，２８５，２９０，２９５）へのアクセスをプロテクトするよう構成される中央プロテクションファンクション（２７０）を有するシステム。
2. 前記１以上のスレーブ要素は、スレーブメモリ要素（２７５，２８０）であり、
   前記中央プロテクションファンクション（２７０）は、前記１以上のスレーブメモリ要素（２７５，２８０）へのアクセスをプロテクトするよう構成される、請求項１記載のシステム。
3. 前記中央プロテクションファンクション（２７０）は、前記１以上のスレーブメモリ要素（２７５，２８０）にアクセスするためのリクエストを受け付け、前記１以上のスレーブメモリ要素（２７５，２８０）のリクエストされたメモリエリアが有効にアクセス可能であるか判断する、請求項２記載のシステム。
4. 前記中央プロテクションファンクション（２７０）は、前記リクエストされたメモリエリアが有効にアクセス可能であると判断された場合、前記通信バスが前記リクエストをサポートすることを可能とする、請求項３記載のシステム。

Images