JP2021022061A - ストレージ装置、メモリアクセス制御システムおよびメモリアクセス制御方法 - Google Patents

Abstract

【課題】バスマスターごとにメモリへのアクセスを制限するための管理情報の不正な書き換えを防止することが可能なストレージ装置を提供する。【解決手段】ストレージ装置１において、コントローラ１０は、ＳｅｃｕｒｉｔｙＣＰＵ１１と、ＣＰＵ１２−１〜Ｎと、バス２２と、メモリアクセス制御装置１３−１〜Ｍと、アクセス制御専用バス２１とを有する。メモリアクセス制御装置は、自身が格納するアクセス制御情報に基づき、バス２２を用いたＣＰＵによるキャッシュとして用いるメモリへのアクセスを制御する。ＳｅｃｕｒｉｔｙＣＰＵは、アクセス制御専用バスを用いて、アクセス制御情報内の対応する識別子をＣＰＵに設定する。ＣＰＵは、メモリへのアクセス時、設定された識別子をバスに出力する。メモリアクセス制御装置は、バスに出力された識別子とアクセス制御情報とを照合して、メモリへのアクセスの可否を判定する。【選択図】図１

Description

本発明の実施形態は、ストレージ装置、メモリアクセス制御システムおよびメモリアクセス制御方法に関する。

近年、ＨＤＤ（hard disk drive）やＳＳＤ（solid state drive）などといった様々なストレージ装置が広く普及している。この種のストレージ装置は、たとえばＳｏＣ（System On a Chip）として構成されるコントローラによって、ストレージへのデータの書き込みや、ストレージからのデータの読み出しなどが制御されている。

コントローラを構成するＳｏＣには、通常、プロセッサと、プロセッサがキャッシュやワークエリアとして使用するメモリとが搭載される。メモリは、ＳｏＣ外に設けられる場合もある。また、プロセッサは、複数搭載される場合がある。さらに、ＳｏＣ内には、プロセッサとメモリとを接続するためのバスが実装される。プロセッサが複数搭載される場合、バスを介してメモリへアクセスする当該複数のプロセッサは、それぞれ、バスマスターとして動作する。

複数のバスマスターがメモリへアクセスする環境下においては、バスマスターごとにメモリへのアクセスを制御することが必要になる場合がある。たとえば、あるバスマスターがメモリ上に書き込んだデータを、他のバスマスターが不正に読み出したり書き換えたりできないようにするための方策が求められる。

特開２００７−１０９０５３号公報 特開２００８−９７１７３号公報 米国特許出願公開第２０１１／１９１５６２号明細書 特開２００１−１７５６０６号公報

たとえば、メモリ上の各領域について、複数のバスマスターそれぞれのアクセス可否などを示す情報を管理し、この管理情報に基づき、バスマスターごとにメモリへのアクセスを制御するといった方法が知られている。この方法の場合、管理情報の不正な書き換えを防止することが必要となる。

本発明が解決しようとする課題は、バスマスターごとにメモリへのアクセスを制限するための管理情報の不正な書き換えを防止することが可能なストレージ装置、メモリアクセス制御システムおよびメモリアクセス制御方法を提供することである。

実施形態によれば、ストレージ装置は、ストレージと、コントローラとを具備する。前記コントローラは、ホストからのコマンドに基づき、前記ストレージへのデータの書き込みおよび前記ストレージからのデータの読み出しを制御する。前記コントローラは、第１プロセッサと、第２プロセッサと、第１バスと、メモリアクセス制御装置と、第２バスとを有する。前記第１プロセッサは、前記第２プロセッサと比較してセキュリティ強度の高いプロセッサである。前記第１バスは、前記第２プロセッサが、キャッシュまたはワークエリアとして用いるメモリへアクセスするためのバスである。前記メモリアクセス制御装置は、前記メモリ上の領域の範囲を示す情報と、各領域に対応づけられた識別子とを含むアクセス制御情報を保持するメモリアクセス制御情報テーブルを管理し、前記メモリアクセス制御情報テーブルに基づき、前記第１バスを用いた前記第２プロセッサによる前記メモリへのアクセスを制御する。前記第２バスは、前記第１プロセッサが、前記第２プロセッサおよび前記メモリアクセス制御装置へアクセスするためのバスである。前記第１プロセッサは、前記第２バスを用いて、前記メモリアクセス制御情報テーブルを設定するとともに、前記メモリアクセス制御情報テーブルが保持する識別子の中の前記第２プロセッサがアクセスを許可されている前記メモリ上の領域の範囲に対応する識別子を第２プロセッサに設定する。前記複数の第２プロセッサは、前記メモリへのアクセス時、前記メモリへのアクセスを要求する制御情報とともに、前記第１プロセッサによって設定された前記識別子を前記第１バスに出力する。前記メモリアクセス制御装置は、前記第１バスに出力された前記識別子と前記メモリアクセス制御情報テーブルとを照合して、前記第２プロセッサが要求する前記メモリへのアクセスの可否を判定する。

第１実施形態のストレージ装置の一構成例を示す図。 第１実施形態のストレージ装置における管理情報の一設定例を示す図。 第１実施形態のストレージ装置におけるアクセス管理モジュールの動作手順を示すフローチャート。 第１実施形態のストレージ装置におけるメモリへのアクセス時のバスマスターの動作手順を示すフローチャート。 第１実施形態のストレージ装置におけるメモリアクセス制御装置の動作手順を示すフローチャート。 第２実施形態のストレージ装置における管理情報の一設定例を示す図。

以下、実施の形態について、図面を参照して説明する。
（第１実施形態）
まず、第１実施形態について説明する。

図１は、本実施形態のストレージ装置１の一構成例を示す図である。
ストレージ装置１は、ＰＣＩｅ（登録商標）などのインタフェースを介して接続されるホストからコマンドを受信し、そのコマンドに対応する処理を実行して、その処理結果をホストへ送信する。ストレージ装置１が受信するコマンドには、データの書き込みを要求するライトコマンドや、データの読み出しを要求するリードコマンドなどが含まれる。

ストレージ装置１は、たとえばＳｏＣ（system on a chip）として構成されるコントローラ１０と、たとえばフラッシュメモリであるストレージ２０とを有する。

コントローラ１０は、Security ＣＰＵ１１を含む複数のＣＰＵ（１１，１２−１，１２−２，…，１２−Ｎ）を有する。Security ＣＰＵ１１内に格納されている情報へのアクセス手段は限られており、その情報の信頼性が保証される。Security ＣＰＵ１１は、一般的なＣＰＵ（１２−１，１２−２，…，１２−Ｎ）と比較してセキュリティ強度の高いＣＰＵである。Security ＣＰＵ１１は、動作の安全性が確保されたＣＰＵであり、たとえばRoots of Trustとして機能することができる。以下、一般的なＣＰＵ１２−１，１２−２，…，１２−Ｎを、ＣＰＵ１２と総称することがある。ここでは、Security ＣＰＵ１１は、たとえばストレージ２０に格納されている一プログラムであるアクセス管理モジュール１１Ａを実行するものと想定する。アクセス管理モジュール１１Ａについては後述する。また、以下、アクセス管理モジュール１１Ａに基づくSecurity ＣＰＵ１１の動作などを、アクセス管理モジュール１１Ａを主体として記載することがある。

一方、ＣＰＵ１２は、たとえばストレージ２０に格納されているファームウェアを実行するものと想定する。このファームウェアは、ストレージ２０へのデータの書き込みやストレージ２０からのデータの読み出しなどの処理の手順を示すプログラムである。ＣＰＵ１２は、識別情報レジスタ１２１を有する。識別情報レジスタ１２１についても後述する。

また、コントローラ１０は、複数のメモリアクセス制御装置（１３−１，１３−２，…，１３−Ｍ）と、たとえばＳＲＡＭである複数のメモリ（１４−１，１４−２，…，１４−Ｍ）とを有する。以下、メモリアクセス制御装置１３−１，１３−２，…，１３−Ｍを、メモリアクセス制御装置１３と総称することがあり、メモリ１４−１，１４−２，…，１４−Ｍを、メモリ１４と総称することがある。メモリ１４は、ＣＰＵ１２によってキャッシュやワークエリアとして使用される。つまり、コントローラ１０は、内部メモリであるメモリ１４をデータの一時的な格納領域として利用しながら、不揮発性メモリ３０へのデータの書き込み処理および不揮発性メモリ３０からのデータの読み出し処理を実行する。なお、メモリ１４は、コントローラ１０の外部に設けられ、メモリアクセス制御装置１３経由でバス２２に接続されるものであってもよい。

メモリアクセス制御装置１３は、ＣＰＵ１２によるメモリ１４へのアクセスを制御するために、メモリ１４と一対一に対応して設けられるデバイスである。この制御のために、メモリアクセス制御装置１３は、レジスタなどにメモリアクセス制御情報テーブル１３１を格納する。メモリアクセス制御情報テーブル１３１は、アクセス管理モジュール１１Ａによって設定される。メモリアクセス制御装置１３は、電子回路として構成されるものであってもよいし、プロセッサとメモリとを備え、メモリに格納されているプログラムをプロセッサが実行することによって構成されるものであってもよい。

さらに、コントローラ１０は、Security ＣＰＵ１１、ＣＰＵ１２およびメモリアクセス制御装置１３を相互に接続するバスとして、アクセス制御専用バス２１と、バス２２との２つのバスを有する。アクセス制御専用バス２１は、アクセス管理モジュール１１Ａが、メモリアクセス制御装置１３内のメモリアクセス制御情報テーブル１３１を設定するためのバスである。また、アクセス制御専用バス２１は、同じくアクセス管理モジュール１１Ａが、メモリアクセス制御情報テーブル１３１に含まれる、メモリ１４へのアクセスの制御のために設定した識別子をＣＰＵ１２の識別情報レジスタ１２１に格納するためのバスである。アクセス制御専用バス２１については、Security ＣＰＵ１１だけがバスマスターとして動作する。ＣＰＵ１２の識別情報レジスタ１２１は、アクセス制御専用バス２１経由でのみアクセスすることができ、また、メモリアクセス制御装置１３内のメモリアクセス制御情報テーブル１３１も、アクセス制御専用バス２１経由でのみアクセスすることができる。つまり、ＣＰＵ１２の識別情報レジスタ１２１へのアクセスは、アクセス管理モジュール１１Ａのみに制限されており、また、メモリアクセス制御装置１３内のメモリアクセス制御情報テーブル１３１へのアクセスも、同じくアクセス管理モジュール１１Ａのみに制限されている。

一方、バス２２は、ＣＰＵ１２が、メモリ１４へアクセスするためのバスである。メモリ１４は、メモリアクセス制御装置１３を介してバス２２へ接続される。換言すれば、メモリアクセス制御装置１３は、バス２２とメモリ１４との間に介在するように設けられる。バス２２については、Security ＣＰＵ１１と、ＣＰＵ１２とが、バスマスターとして動作する。つまり、Security ＣＰＵ１１も、バス２２を用いてメモリアクセス制御装置１３経由でメモリ１４へアクセスすることができる。

このように、本ストレージ装置１は、一般的なバス２２に加えて、アクセス制御専用バス２１を有している。また、本ストレージ装置１は、このアクセス制御専用バス２１経由でＣＰＵ１２およびメモリアクセス制御装置１３にアクセスするアクセス管理モジュール１１Ａを有している。

たとえば、メモリ１４−１を領域Ａと領域Ｂとの２つの領域に分け、領域ＡはＣＰＵ１２−１とＣＰＵ１２−２とに割り当て、領域ＢはＣＰＵ１２−３に割り当てる場合を想定する。換言すれば、領域ＡへのアクセスはＣＰＵ１２−１とＣＰＵ１２−２とのみに限定し、領域ＢへのアクセスはＣＰＵ１２−３のみに限定する場合を想定する。

この場合、アクセス管理モジュール１１Ａは、アクセス制御専用バス２１経由で、図２に示すように、メモリ１４−１に対応するメモリアクセス制御装置１３−１内のメモリアクセス制御情報テーブル１３１を設定するとともに、ＣＰＵ１２−１，１２−２，１２−３それぞれの識別情報レジスタ１２１の値を設定する。

メモリアクセス制御情報テーブル１３１は、識別子フィールドａ１と、領域情報フィールドａ２とを有する。アクセス管理モジュール１１Ａは、領域Ａへのアクセスに用いる識別子を当該領域Ａ用に確保したメモリアクセス制御情報テーブル１３１内の１エントリの識別子フィールドａ１に格納する。また、アクセス管理モジュール１１Ａは、領域Ｂへのアクセスに用いる識別子を当該領域Ｂ用に確保したメモリアクセス制御情報テーブル１３１内の１エントリの識別子フィールドａ１に格納する。ここでは、領域Ａへのアクセスに用いる識別子が１、領域Ｂへのアクセスに用いる識別子が２に設定されている。

また、アクセス管理モジュール１１Ａは、メモリ１４−１上における領域Ａの範囲を示す領域情報を当該領域Ａ用に確保したメモリアクセス制御情報テーブル１３１内の１エントリの領域情報フィールドａ２に格納する。アクセス管理モジュール１１Ａは、メモリ１４−１上における領域Ｂの範囲を示す領域情報を当該領域Ｂ用に確保したメモリアクセス制御情報テーブル１３１内の１エントリの領域情報フィールドａ２に格納する。領域情報は、たとえば開始アドレスと終了アドレスとである。

そして、アクセス管理モジュール１１Ａは、領域Ａへのアクセスに用いる識別子（１）をＣＰＵ１２−１とＣＰＵ１２−２との識別情報レジスタ１２１に格納し、領域Ｂへのアクセスに用いる識別子（２）をＣＰＵ１２−３の識別情報レジスタ１２１に格納する。

前述したように、メモリアクセス制御装置１３内のメモリアクセス制御情報テーブル１３１の設定と、ＣＰＵ１２の識別情報レジスタ１２１の値の設定とは、アクセス制御専用バス２１経由でのみ可能である。つまり、アクセス制御専用バス２１のバスマスターとして唯一動作するアクセス管理モジュール１１Ａのみに制限されている。よって、メモリアクセス制御装置１３内のメモリアクセス制御情報テーブル１３１や、ＣＰＵ１２の識別情報レジスタ１２１の値などの管理情報の不正な書き換えは防止される。

たとえば、ＣＰＵ１２−１がメモリ１４−１の領域Ａへアクセスする場合、ＣＰＵ１２−１は、メモリ１４−１へのアクセスを要求する制御情報に加えて、識別情報レジスタ１２１に格納されている識別子をバス２２へ出力する。制御情報は、たとえばコマンドと称される情報であって、データの書き込み／読み出しのいずれであるのか、すなわちそのアクセスの種類を示す情報と、そのアクセスが対象とするメモリ上のアドレス情報とを含む。また、制御情報は、メモリ１４−１を示す情報、つまり、複数のメモリ１４の中のいずれか１つのメモリ１４を示す情報を含む。

たとえば、ＡＭＢＡ ＡＸＩバスの場合、データ転送用のチャネルとは別に、ＡＷＵＳＥＲ、ＡＲＵＳＥＲ、ＷＵＳＥＲ、ＲＵＳＥＲなどといった、ユーザー情報を転送可能なチャネルが定義されている。このＡＭＢＡ ＡＸＩバスをバス２２として適用すれば、制御情報に加えて、識別子を出力することができる。

メモリアクセス制御装置１３−１は、メモリ１４−１へのアクセスを要求する制御情報がバス２２に出力された場合、その制御情報に含まれるアドレス情報をメモリアクセス制御情報テーブル１３１と照合して、領域Ａへのアクセスであることを認識する。また、メモリアクセス制御装置１３−１は、その制御情報に加えてバス２２へ出力された識別子をメモリアクセス制御情報テーブル１３１と照合して、そのアクセスの可否を判定する。ＣＰＵ１２−１の識別情報レジスタ１２１には１が格納されているので、そのアクセスは許可される。アクセスが許可される場合、メモリアクセス制御装置１３−１は、その制御情報をメモリ１４−１へ転送する。そして、メモリアクセス制御装置１３−１は、その制御情報に応じてメモリ１４−１から転送されてくる情報をバス２２へ出力する。

なお、Security ＣＰＵ１１に関しては、たとえば、特別の識別子を設け、この識別子を用いてメモリ１４へのアクセスを行うことで、いずれのメモリ１４のいずれの領域へのアクセスも許可されるようにしてもよいし、または、メモリアクセス制御情報テーブル１３１に設定されていない領域のみアクセスが許可されるようにしてもよい。メモリアクセス制御情報テーブル１３１に設定されていない領域とは、いずれのＣＰＵ１２にも割り当てられていない領域である。

ＣＰＵ１２−２の識別情報レジスタ１２１にも１が格納されているので、ＣＰＵ１２−２によるメモリ１４−１の領域Ａへのアクセスは許可される。一方、ＣＰＵ１２−３の識別情報レジスタ１２１には、１ではなく２が格納されているので、ＣＰＵ１２−３によるメモリ１４−１の領域Ａへのアクセスは拒否される。アクセスが拒否される場合、メモリアクセス制御装置１３−１は、エラーを示す情報をバス２２へ出力する。

逆に、識別情報レジスタ１２１に２が格納されているＣＰＵ１２−３は、メモリ１４−１の領域Ｂへのアクセスが許可されるが、識別情報レジスタ１２１に２ではなく１が格納されているＣＰＵ１２−１とＣＰＵ１２−２とは、メモリ１４−１の領域Ｂへのアクセスが拒否される。

本ストレージ装置１においては、ＣＰＵ１２−３の識別情報レジスタや、メモリアクセス制御装置１３内のメモリアクセス制御情報テーブル１３１の書き換えは、アクセス制御専用バス２１経由でのみ可能としている。よって、たとえばこれらを書き換えたりすることによる、ＣＰＵ１２−３から領域Ａへの不正なアクセスのような不正行為を防止することができる。なお、この不正行為のために行われ得る書き換えは、ＣＰＵ１２−３の識別情報レジスタの値を２から１へ書き換えること、メモリアクセス制御情報テーブル１３１内の領域Ａの識別子フィールドａ１を１から２へ書き換えること、または、メモリアクセス制御情報テーブル１３１内の領域Ｂの領域情報フィールドａ２を領域Ａの範囲を含むように書き換えることなどである。

なお、ここでは、メモリ１４−１の領域Ａ用にメモリアクセス制御情報テーブル１３１内の１エントリを確保し、その識別子フィールドａ１に格納した識別子を、ＣＰＵ１２−１の識別情報レジスタ１２１とＣＰＵ１２−２の識別情報レジスタ１２１とに格納することで、ＣＰＵ１２−１とＣＰＵ１２−２とがメモリ１４−１の領域Ａにアクセスできるようにする例を示した。これに代えて、たとえば、メモリ１４−１の領域Ａ用にメモリアクセス制御情報テーブル１３１内の２エントリを確保し、一方の識別子フィールドａ１にはＣＰＵ１２−１が使用する識別子を格納し、他方の識別子フィールドａ１にはＣＰＵ１２−２が使用する識別子を格納することで、ＣＰＵ１２−１とＣＰＵ１２−２とがメモリ１４−１の領域Ａにアクセスできるようにしてもよい。この場合、双方の領域情報フィールドａ２には、同じ情報、つまり、メモリ１４−１上における領域Ａの範囲を示す領域情報が格納される。

図３は、アクセス管理モジュール１１Ａの動作手順を示すフローチャートである。

アクセス管理モジュール１１Ａは、メモリアクセスに用いる識別子と、メモリ上における領域の範囲を示す領域情報とを含む、メモリアクセス制御装置１３のメモリアクセス制御情報テーブル１３１を、アクセス制御専用バス２１経由で設定する（Ｓ１１）。

また、アクセス管理モジュール１１Ａは、メモリアクセス制御情報テーブル１３１に含まれる識別子を、アクセス制御専用バス２１経由でＣＰＵ１２の識別情報レジスタ１２１へ格納する（Ｓ１２）。

図４は、ストレージ２０へのデータの書き込みやストレージ２０からのデータの読み出しなどの処理の手順を示すプログラムであるファームウェアを実行し、メモリ１４へのアクセスのためにバス２２のバスマスターとして動作するＣＰＵ１２の動作手順を示すフローチャートである。

ＣＰＵ１２は、メモリ１４へアクセスする場合、メモリへのアクセスを要求する制御情報をバス２２に出力する（Ｓ２１）、また、ＣＰＵ１２は、その制御情報に加えて、識別情報レジスタ１２１に格納されている識別子をバス２２に出力する（Ｓ２２）。ＣＰＵ１２は、制御情報に対する応答の情報をバス２２から取得する（Ｓ２３）。

図５は、メモリアクセス制御装置１３の動作手順を示すフローチャートである。
メモリアクセス制御装置１３は、対応するメモリ１４へのアクセスを要求する制御情報がバス２２に出力されたか否かを監視する（Ｓ３１）。出力されている場合（Ｓ３１：ＹＥＳ）、この制御情報を出力したＣＰＵ１２は、当該制御情報とともに識別子をバス２２に出力しているので、メモリアクセス制御装置１３は、その識別子をバス２２から取得する（Ｓ３２）。

メモリアクセス制御装置１３は、取得した識別子と、制御情報に含まれるアクセス領域とをメモリアクセス制御情報テーブル１３１と照合する（Ｓ３３）。この照合の結果、メモリ１４へのアクセスを許可と判定した場合（Ｓ３４：ＹＥＳ）、メモリアクセス制御装置１３は、バス２２に出力された制御情報をメモリ１４へ転送する（Ｓ３５）。メモリ１４へのアクセスを許可と判定する場合とは、制御情報に含まれるアクセス領域に対応するメモリ１４の領域へのアクセスが許可されている識別子と、取得した識別子が一致する場合である。そして、メモリアクセス制御装置１３は、その制御情報に応じてメモリ１４から転送されてくる情報をバス２２へ出力する（Ｓ３６）。

一方、メモリ１４へのアクセスを拒否と判定した場合（Ｓ３４：ＮＯ）、メモリアクセス制御装置１３は、エラーを示す情報をバス２２へ出力する（Ｓ３７）。

このように、本ストレージ装置１は、アクセス管理モジュール１１Ａと、アクセス制御専用バス２１とを設け、かつ、メモリアクセス制御装置１３内のメモリアクセス制御情報テーブル１３１やＣＰＵ１２の識別情報レジスタ１２１の値などの管理情報へのアクセスを、アクセス管理モジュール１１Ａのみがバスマスターとして動作するアクセス制御専用バス２１経由に限定する構成を有しているため、管理情報の不正な書き換えを防止することが可能である。

なお、ここで説明したバスマスターごとのメモリへのアクセスの制御の方法は、ストレージ装置１のコントローラ１０内におけるＣＰＵ１２によるメモリ１４へのアクセスの制御に限定されず、複数のバスマスターがバス経由でメモリへアクセスするシステムにおける当該複数のバスマスターによるメモリへのアクセスの制御全般に適用可能である。

（第２実施形態）
次に、第２実施形態について説明する。なお、ここでは、第１実施形態と同一の構成要素については同一の符号を用い、それらについての重複する説明を省略する。

本実施形態のストレージ装置１は、第１実施形態において説明した、バスマスターごとにメモリへのアクセスを制御するための管理情報の不正な書き換えを防止する構成を有するストレージ装置１に関して、さらに、書き込みのみ許可（ＷＯ）、読み出しのみ許可（ＲＯ）、アクセス禁止（Ｄｅｎｙ）、書き込みおよび読み出しのいずれも許可（ＲＷ）などのアクセスの種類をバスマスターごとに制御する。そのために、本実施形態のストレージ装置１においては、図６に示すように、メモリアクセス制御装置１３内のメモリアクセス制御情報テーブル１３１が、アクセスの種類を示す情報（ＷＯ，ＲＯ，Ｄｅｎｙ，ＲＷ）を格納する属性フィールドａ３をさらに有する。そして、本実施形態のストレージ装置１においては、アクセス管理モジュール１１Ａが、この属性フィールドａ３に適切な値を設定し、メモリアクセス制御装置１３が、この属性フィールドａ３を含むメモリアクセス制御情報テーブル１３１に基づき、ＣＰＵ１２によるメモリ１４へのアクセス可否を判定することによって、さらに、アクセスの種類をバスマスターごとに制御する。

図６は、ＣＰＵ１２−１，１２−２，１２−３のそれぞれについて、メモリ１４−１上の領域Ａ，領域Ｂへのアクセスを以下の通りに制御する場合におけるメモリアクセス制御情報テーブル１３１と識別情報レジスタ１２１との一設定例を示している。

・ＣＰＵ１２−１
領域Ａ：書き込みのみ許可、領域Ｂ：書き込みおよび読み出しのいずれも許可
・ＣＰＵ１２−２
領域Ａ：読み出しのみ許可、領域Ｂ：書き込みおよび読み出しのいずれも許可
・ＣＰＵ１２−３
領域Ａ：アクセス禁止、領域Ｂ：書き込みおよび読み出しのいずれも許可

アクセス管理モジュール１１Ａは、たとえば、領域Ａおよび領域Ｂに対して、ＣＰＵ１２−１用の識別子として１、ＣＰＵ１２−２用の識別子として２、ＣＰＵ１２−３用の識別子として３をそれぞれ割り当てる。また、アクセス管理モジュール１１Ａは、領域Ａ用として、ＣＰＵ１２−１，ＣＰＵ１２−２，ＣＰＵ１２−３に対応させて、メモリアクセス制御情報テーブル１３１内の３エントリを確保し、かつ、領域Ｂ用として、ＣＰＵ１２−１，ＣＰＵ１２−２，ＣＰＵ１２−３に対応させて、メモリアクセス制御情報テーブル１３１内の３エントリを確保する。そして、アクセス管理モジュール１１Ａは、ＣＰＵ１２−１，ＣＰＵ１２−２，ＣＰＵ１２−３用に領域Ａおよび領域Ｂのそれぞれに対して３つずつ割り当てた識別子を、領域Ａ用および領域Ｂ用として３つずつ確保した６つのエントリの識別子フィールドａ１に格納するとともに、書き込みのみ許可、読み出しのみ許可、アクセス禁止、書き込みおよび読み出しのいずれも許可などを示す値を属性フィールドａ３に格納する。より詳しくは、メモリ１４−１上の領域Ａ，領域Ｂへのアクセスが前述の通りに制御されるように格納する。つまり、図６に示すように格納する。

ここで、ＣＰＵ１２がバス２２に出力する、メモリ１４へのアクセスを要求する制御情報には、そのアクセスの種類を示す情報が含まれているものとする。本実施形態のストレージ装置１におけるメモリアクセス制御装置１３は、さらに、このアクセスの種類を示す情報をメモリアクセス制御情報テーブル１３１と照合して、メモリ１４へのアクセス可否を判定する。

たとえば、ＣＰＵ１２−１が、メモリ１４−１の領域Ａへのデータの書き込みを要求する制御情報をバス２２へ出力した場合、メモリ１４−１に対応させて設けられるメモリアクセス制御装置１３−１は、このアクセスを許可する。一方、ＣＰＵ１２−１が、当該領域Ａからのデータの読み出しを要求する制御情報をバス２２へ出力した場合、メモリアクセス制御装置１３−１は、このアクセスを拒否する。つまり、ＣＰＵ１２−１によるメモリ１４−１の領域Ａへのアクセスについて、本ストレージ装置１は、データの書き込みは許可するが、データの読み出しは拒否するといった、同一の領域へのアクセスを、アクセスの種類別に制御する。

そして、さらにアクセスの種類をバスマスターごとに制御する本ストレージ装置１においても、メモリアクセス制御装置１３内のメモリアクセス制御情報テーブル１３１の属性フィールドａ３は、アクセス管理モジュール１１Ａのみがバスマスターとして動作するアクセス制御専用バス２１経由でのみ書き換え可能であるので、第１実施形態と同様、管理情報の不正な書き換えを防止することが可能である。

なお、ここで説明したバスマスターごとのメモリへのアクセスの制御の方法も、ストレージ装置１のコントローラ１０内におけるＣＰＵ１２によるメモリ１４へのアクセスの制御に限定されず、複数のバスマスターがバス経由でメモリへアクセスするシステムにおける当該複数のバスマスターによるメモリへのアクセスの制御全般に適用可能である。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１…ストレージ装置、１０…コントローラ、１１…Security ＣＰＵ、１１Ａ…アクセス管理モジュール、１２…一般的なＣＰＵ、１３…メモリアクセス制御装置、１４…メモリ、２０…ストレージ、２１…アクセス制御専用バス、２２…バス、３０…不揮発性メモリ、１２１…識別情報レジスタ、１３１…メモリアクセス制御情報テーブル。

Claims (10)

1. ストレージと、
   前記ストレージへのデータの書き込みおよび前記ストレージからのデータの読み出しを制御するコントローラと、
   を具備し、
   前記コントローラは、
   第１プロセッサと、
   第２プロセッサと、
   前記第２プロセッサが、キャッシュまたはワークエリアとして用いるメモリへアクセスするための第１バスと、
   前記メモリ上の領域の範囲を示す情報と、各領域に対応づけられた識別子とを含むアクセス制御情報を保持するメモリアクセス制御情報テーブルを管理し、前記メモリアクセス制御情報テーブルに基づき、前記第１バスを用いた前記第２プロセッサによる前記メモリへのアクセスを制御するメモリアクセス制御装置と、
   前記第１プロセッサが、前記第２プロセッサおよび前記メモリアクセス制御装置へアクセスするための第２バスと、
   を有し、
   前記第１プロセッサは、前記第２プロセッサと比較してセキュリティ強度の高いプロセッサであり、
   前記第１プロセッサは、前記第２バスを用いて、前記メモリアクセス制御情報テーブルを設定するとともに、前記メモリアクセス制御情報テーブルが保持する識別子の中の前記第２プロセッサがアクセスを許可されている前記メモリ上の領域の範囲に対応する識別子を前記第２プロセッサに設定し、
   前記第２プロセッサは、前記メモリへのアクセス時、前記メモリへのアクセスを要求する制御情報とともに、前記第１プロセッサによって設定された前記識別子を前記第１バスに出力し、
   前記メモリアクセス制御装置は、前記第１バスに出力された前記識別子と前記メモリアクセス制御情報テーブルとを照合して、前記第２プロセッサが要求する前記メモリへのアクセスの可否を判定する、
   ストレージ装置。
2. 前記メモリアクセス制御情報テーブルの設定が、前記第２バス経由で前記第１プロセッサからのみに限定されている請求項１に記載のストレージ装置。
3. 前記第２プロセッサは、前記識別子を格納するレジスタを有し、
   前記レジスタへの前記識別子の格納が、前記第２バス経由で前記第１プロセッサからのみに限定されている、
   請求項１または２に記載のストレージ装置。
4. 前記メモリアクセス制御装置は、前記制御情報に含まれるアドレス情報に基づき、前記第２プロセッサがアクセス対象とする前記メモリ上の領域を判定する請求項１〜３のいずれか１項に記載のストレージ装置。
5. 前記アクセス制御情報は、各領域において許可されるアクセスの種類を示す情報をさらに含み、
   前記メモリアクセス制御装置は、前記制御情報に含まれるアクセスの種類を示す情報と前記メモリアクセス制御情報テーブルとをさらに照合して、前記第２プロセッサが要求する前記メモリへのアクセスの可否を判定する、
   請求項４に記載のストレージ装置。
6. 前記メモリは、前記コントローラ内に設けられている請求項１〜５のいずれか１項に記載のストレージ装置。
7. メモリと、
   第１バスと、
   前記第１バスを用いて前記メモリへアクセスする複数のバスマスターと、
   前記メモリ上の領域の範囲を示す情報と、各領域に対応づけられた識別子とを含むアクセス制御情報を保持するメモリアクセス制御情報テーブルを管理し、前記メモリアクセス制御情報テーブルに基づき、前記第１バスを用いた前記複数のバスマスターによる前記メモリへのアクセスを制御するメモリアクセス制御装置と、
   前記メモリアクセス制御情報テーブルを設定するとともに、前記メモリアクセス制御情報テーブルが保持する識別子の中の前記複数のバスマスターの少なくとも１つがアクセスを許可されている前記メモリ上の領域の範囲に対応する識別子を、当該複数のバスマスターの少なくとも１つに設定するアクセス管理装置と、
   前記アクセス管理装置が、前記複数のバスマスターおよび前記メモリアクセス制御装置へアクセスするための第２バスと、
   を具備し、
   前記複数のバスマスターの１つは、前記メモリへのアクセス時、前記メモリへのアクセスを要求する制御情報とともに、前記アクセス管理装置によって設定された前記識別子を前記第１バスに出力し、
   前記メモリアクセス制御装置は、前記第１バスに出力された前記識別子と前記メモリアクセス制御情報テーブルとを照合して、前記複数のバスマスターの１つが要求する前記メモリへのアクセスの可否を判定する、
   メモリアクセス制御システム。
8. 前記メモリアクセス制御情報テーブルの設定が、前記第２バス経由で前記アクセス管理装置からのみに限定されている請求項７に記載のメモリアクセス制御システム。
9. 前記複数のバスマスターは、前記識別子を格納するレジスタを有し、
   前記レジスタへの前記識別子の格納が、前記第２バス経由で前記アクセス管理装置からのみに限定されている、
   請求項７または８に記載のメモリアクセス制御システム。
10. 第１バスを用いたバスマスターによるメモリへのアクセスを制御するメモリアクセス制御方法であって、
    前記メモリ上の領域の範囲を示す情報と、各領域に対応づけられた識別子とを含むアクセス制御情報を、第２バスを用いてメモリアクセス制御情報テーブルに設定することと、
    前記第２バスを用いて、前記アクセス制御情報に含まれる識別子の中の前記バスマスターがアクセスを許可されている前記メモリ上の領域の範囲に対応する識別子を前記バスマスターに設定することと、
    前記バスマスターが、前記メモリへのアクセスを要求する制御情報とともに、前記設定された前記識別子を前記第１バスに出力したことに応じて、
    前記第１バスに出力された前記識別子と前記アクセス制御情報とを照合して、前記バスマスターが要求する前記メモリへのアクセスの可否を判定することと、を含む、
    メモリアクセス制御方法。

Images