JP2021157766A - シャドウスタックを効率的に管理および処理するための装置および方法 - Google Patents

Abstract

【課題】シャドウスタックを効率的に管理するための装置及び方法を提供する。【解決手段】複数のシャドウスタックポインタ（ＳＳＰ）を格納するための、各ＳＳＰが、異なるイベント優先度に関連付けられている複数のレジスタと、第１のイベント優先度レベルに関連する第１のイベントの受信に応答して、複数のレジスタの第１のレジスタから複数のＳＳＰの第１のＳＳＰを選択するためのイベント処理回路であって、第１のＳＳＰが、第１のシャドウスタックの最上部を識別するために使用可能である、イベント処理回路と、第１のＳＳＰが以前に検証されているかどうかを判断するための検証および使用チェック回路と、を備える。第１のＳＳＰが以前に検証されていない場合は、一連のアトミック操作を開始して第１のＳＳＰを検証し、第１のＳＳＰが使用されていないことを確認する。【選択図】図１３

Description

本発明の実施形態は、概して、コンピュータプロセッサの分野に関する。より具体的には、実施形態は、シャドウスタックを効率的に管理および処理するための装置および方法に関する。

リターン指向プログラミング（ＲＯＰ）の悪用は、メモリの場所を実行不可能としてマークする特定の防御を回避する可能性のある悪意のあるソフトウェア（マルウェア）のますます一般的な形式である。ＲＯＰの悪用は、それぞれが「リターン」命令で終わる実行可能コードの多数の既存のセグメント（ガジェットと呼ばれる）をつなぎ合わせることによって機能する。各ＲＯＰガジェットは通常短く、通常、実行可能コードの既存の手順や既存の命令境界にさえ対応していない。攻撃者は、ガジェットの目的のシーケンスを指す一連のリターンアドレスを含む悪意のあるスタックを構築する。ＲＯＰの悪用は、コンピュータのプロセッサに、正当なシステムスタックではなく悪意のあるスタックを使用してソフトウェアを実行させることによって実行される。たとえば、悪意のあるスタックは、スタックを破壊したり、バッファオーバーフローの悪用を使用したり、新しいスタックにピボットしたり、またはその他の方法でシステムスタックを破壊したりすることで発生する可能性がある。

特定のＲＯＰの悪用は、通常のシステムスタック（「レガシースタック」とも呼ばれる）と並行して「シャドウスタック」を維持することで防止できる。シャドウスタックは、通常のソフトウェアがアクセスできないメモリにレガシースタックのコピーを保持し、レガシースタックがマルウェアによって改ざんされているかどうかを判断するために使用される場合がある。シャドウスタックは、バイナリインストルメンテーションを使用して実装できるが、一部の使用法では、これによりパフォーマンスが大幅に低下する。

ＲＯＰの悪用を防ぐために、他の手段を利用できる。たとえば、「カナリア」値をスタック内のリターンアドレスの近くに挿入し、変更を監視することができる。別の例として、「制御転送終了命令」をバイナリに挿入して、正当なリターンターゲットを具体的に特定することができる。ただし、このような対策では、ゲストソフトウェアの再コンパイルまたは別様に変更が必要になる場合がある。さらに、特定のプロセッサアーキテクチャは、特定のソフトウェアがアクセスできないコールスタックを提供する場合がある。たとえば、特定のマイクロコントローラは、ソフトウェアがアクセスできないコールスタックを保持する場合がある。別の例として、特定のプロセッサアーキテクチャは、自動変数などの他のスタック値とは別のメモリ領域にコールスタック情報を保持する場合がある。

以下の図面と併せて以下の詳細な説明から本発明をより深く理解することができる。

本発明の実施形態による、汎用ベクトル向け命令フォーマットおよびその命令テンプレートを示すブロック図である。 本発明の実施形態による、汎用ベクトル向け命令フォーマットおよびその命令テンプレートを示すブロック図である。

本発明の実施形態による例示的なＶＥＸ命令フォーマットを示すブロック図である。 本発明の実施形態による例示的なＶＥＸ命令フォーマットを示すブロック図である。 本発明の実施形態による例示的なＶＥＸ命令フォーマットを示すブロック図である。

本発明の一実施形態によるレジスタアーキテクチャのブロック図である。

本発明の実施形態による、例示的なインオーダフェッチ、復号、リタイアパイプラインと、例示的なレジスタリネーミング、アウトオブオーダ発行／実行パイプラインとの両方を示すブロック図である。

本発明の実施形態による、プロセッサに含まれるインオーダフェッチ、復号、リタイアコアの例示的な実施形態と、例示的なレジスタリネーミング、アウトオブオーダ発行／実行アーキテクチャコアとの両方を示すブロック図である。

オンダイ相互接続ネットワークへの接続を伴う、単一プロセッサコアのブロック図である。

本発明の実施形態による、図５Ａのプロセッサコアの一部の拡大図を示す。

本発明の実施形態による、統合メモリコントローラおよびグラフィックスを備えたシングルコアプロセッサおよびマルチコアプロセッサのブロック図である。

本発明の一実施形態によるシステムのブロック図を示す。

本発明の実施形態による第２のシステムのブロック図を示す。

本発明の実施形態による第３のシステムのブロック図を示す。

本発明の一実施形態による、システムオンチップ（ｓｙｓｔｅｍ ｏｎ ａ ｃｈｉｐ：ＳｏＣ）のブロック図を示す。

本発明の実施形態による、ソース命令セット内のバイナリ命令をターゲット命令セット内のバイナリ命令に変換するためのソフトウェア命令変換器の使用を対比するブロック図を示す。

一実施形態による、シャドウスタックを備えた処理デバイスを示す。

一実施形態によるシャドウスタックポインタ管理を示す。

割り込みに基づいてＳＳＰを処理する一実施形態を示す。

一実施形態による、シャドウスタックポインタ管理に関連する追加の詳細を示す。

ＳＳＰがアトミック操作または非アトミック操作を使用して選択および検証される実施形態を示す。

検証／妥当性確認操作の一実施形態を示す。

本発明の一実施形態による方法を示す。

アトミック検証および非アトミック検証とビジーチェック操作との間で選択するための方法の追加の詳細を示している。

以下の説明では、説明の目的で、以下に説明する本発明の実施形態の完全な理解を提供するために、多くの特定の詳細が示されている。しかしながら、本発明の実施形態がこれらの特定の詳細のいくつかなしで実施され得ることは当業者には明らかであろう。他の例では、本発明の実施形態の基礎となる原理を曖昧にすることを回避するために、周知の構造およびデバイスがブロック図の形で示されている。

例示的なプロセッサアーキテクチャ、命令フォーマット、およびデータ形式 命令セットには、１つまたは複数の命令フォーマットが含まれている。特定の命令フォーマットは、さまざまなフィールド（ビット数、ビットの位置）を定義して、特に、実行する操作（オペコード）とその操作を実行するオペランドを指定する。一部の命令フォーマットは、命令テンプレート（またはサブフォーマット）の定義によってさらに細かく分類される。たとえば、特定の命令フォーマットの命令テンプレートは、命令フォーマットのフィールドの異なるサブセットを有するように定義でき（含まれるフィールドは通常同じ順序であるが、含まれるフィールドが少ないため、少なくとも一部のビット位置は異なる）、および／または、解釈が異なる特定のフィールドを有するように定義され得る。したがって、ＩＳＡの各命令は、指定された命令形式を使用して（定義されている場合は、その命令形式の命令テンプレートの指定された１つで）表現され、演算とオペランドとを指定するためのフィールドが含まれる。たとえば、例示的なＡＤＤ命令は、特定のオペコードと、オペランド（ソース１／宛先およびソース２）を選択するためのそのオペコードおよびオペランドフィールドを指定するためのオペコードフィールドを含む命令フォーマットを有し、命令ストリームでこのＡＤＤ命令が発生すると、特定のオペランドを選択するオペランドフィールドに特定のコンテンツが含まれる。

本明細書に記載の命令の実施形態は、異なるフォーマットで実施することができる。さらに、例示的なシステム、アーキテクチャ、およびパイプラインについて以下に詳述する。命令の実施形態は、そのようなシステム、アーキテクチャ、およびパイプライン上で実行することができるが、詳述されたものに限定されない。

汎用ベクトル向け命令フォーマット

ベクトル向け命令形式は、ベクトル命令に適した命令形式である（たとえば、ベクトル演算に固有の特定のフィールドがある）。ベクトル演算とスカラ演算との両方がベクトル向け命令フォーマットを介してサポートされる実施形態が説明されているが、代替の実施形態は、ベクトル向け命令フォーマットを介してベクトル演算のみ使用する。

図１Ａ〜図１Ｂは、本発明の実施形態による、汎用ベクトル向け命令フォーマットおよびその命令テンプレートを示すブロック図である。図１Ａは、本発明の実施形態による、汎用ベクトル向け命令フォーマットおよびそのクラスＡの命令テンプレートを示すブロック図である。一方、図１Ｂは、本発明の実施形態による、汎用ベクトル向け命令フォーマットおよびそのクラスＢの命令テンプレートを示すブロック図である。具体的には、クラスＡおよびクラスＢの命令テンプレートが定義されている汎用ベクトル向け命令フォーマット１００であり、どちらもメモリアクセス１０５の命令テンプレートおよびメモリアクセス１２０の命令テンプレートを含まない。ベクトル向け命令フォーマットの文脈における一般的なという用語は、特定の命令セットに関連付けられていない命令フォーマットを指す。

ベクトル向け命令フォーマットが以下をサポートする本発明の実施形態が説明される一方で、３２ビット（４バイト）または６４ビット（８バイト）のデータ要素幅（またはサイズ）を有する６４バイトのベクトルオペランド長（またはサイズ）（したがって、６４バイトのベクトルは１６個のダブルワードサイズの要素、または８個のクアッドワードサイズの要素で構成される）、１６ビット（２バイト）または８ビット（１バイト）のデータ要素幅（またはサイズ）を持つ６４バイトのベクトルオペランドの長さ（またはサイズ）、３２ビット（４バイト）、６４ビット（８バイト）、１６ビット（２バイト）、または８ビット（１バイト）のデータ要素幅（またはサイズ）を持つ３２バイトのベクトルオペランドの長さ（またはサイズ）、３２ビット（４バイト）、６４ビット（８バイト）、１６ビット（２バイト）、または８ビット（１バイト）のデータ要素幅（またはサイズ）を持つ１６バイトのベクトルオペランドの長さ（またはサイズ）、代替の実施形態は、より多くの、より少ない、または異なるデータ要素幅（たとえば、１２８ビット（１６バイト）のデータ要素幅）で、より多くの、より少ない、および／または異なるベクトルオペランドサイズ（たとえば、２５６バイトのベクトルオペランド）をサポートし得る。

図１ＡのクラスＡの命令テンプレートには、次のものが含まれており、１）メモリアクセス１０５なしの命令テンプレート内に、メモリアクセスなしのフルラウンド制御型演算１１０の命令テンプレート、およびメモリアクセスなしのデータ変換型演算１１５の命令テンプレートが示され、２）メモリアクセスあり１２０の命令テンプレート内には、一時的なメモリアクセスあり１２５の命令テンプレート、および非一時的なメモリアクセスあり１３０の命令テンプレートが示されている。図１ＢのクラスＢの命令テンプレートには、次のものが含まれており、１）メモリアクセスなし１０５の命令テンプレート内に、メモリアクセスなし、書き込みマスク制御、部分ラウンド制御型演算１１２の命令テンプレート、およびメモリアクセスなし、書き込みマスク制御、ＶＳＩＺＥ型演算１１７の命令テンプレートが示され、２）メモリアクセス１２０ありの命令テンプレート内に、メモリアクセス、書き込みマスク制御１２７の命令テンプレートが示されている。

汎用ベクトル向け命令フォーマット１００は、図１Ａ〜図１Ｂに示される順序で以下にリストされた以下のフィールドを含む。

フォーマットフィールド１４０、すなわちこのフィールドの特定の値（命令フォーマット識別子値）は、ベクトル向け命令フォーマットを一意に識別し、したがって、命令ストリームにおけるベクトル向け命令フォーマットの命令の出現を識別する。そのため、このフィールドは、汎用ベクトル向け命令形式しかない命令セットには必要ないという意味でオプションである。

基本演算フィールド１４２は、そのコンテンツがさまざまな基本演算を区別する。

レジスタインデックスフィールド１４４は、そのコンテンツが、直接またはアドレス生成を通じて、レジスタ内またはメモリ内のソースオペランドと宛先オペランドの位置を指定する。これらには、ＰｘＱ（たとえば、３２ｘ５１２、１６ｘ１２８、３２ｘ１０２４、６４ｘ１０２４）レジスタファイルからＮ個のレジスタを選択するのに十分なビット数が含まれている。一実施形態では、Ｎは最大３つのソースおよび１つの宛先レジスタであり得るが、代替の実施形態は、多かれ少なかれソースおよび宛先レジスタをサポートし得る（たとえば、これらのソースの１つが宛先としても機能する最大２つのソースをサポートし得、これらのソースの１つが宛先としても機能する最大３つのソースをサポートし得、最大２つのソースと１つの宛先をサポートできる）。

修飾子フィールド１４６は、そのコンテンツが、メモリアクセスを指定する一般的なベクトル命令形式の命令の出現を、指定しないものと区別する。つまり、メモリアクセスなし１０５の命令テンプレートとメモリアクセスあり１２０の命令テンプレートの間である。メモリアクセスありの演算はメモリ階層の読み取りおよび／または書き込み（場合によってはレジスタの値を使用してソースおよび／または宛先アドレスを指定）をするが、メモリアクセスなしの演算は行わない（たとえば、ソースと宛先はレジスタである）。一実施形態では、このフィールドはまた、メモリアドレス計算を実行するための３つの異なる方法から選択するが、代替の実施形態は、メモリアドレス計算を実行するためのより多くの、より少ない、または異なる方法をサポートし得る。

拡張演算フィールド１５０は、そのコンテンツが、基本操作に加えて実行されるべきさまざまな異なる操作のうちのいずれか１つを区別する。このフィールドは文脈固有である。本発明の一実施形態では、このフィールドは、クラスフィールド１６８、アルファフィールド１５２、およびベータフィールド１５４に分割される。拡張演算フィールド１５０は、操作の共通のグループが、２、３、または４つの命令ではなく、単一の命令で実行されることを可能にする。

スケールフィールド１６０は、そのコンテンツにより、メモリアドレス生成用のインデックスフィールドのコンテンツのスケーリングが可能になる（たとえば、２^{ｓｃａｌｅ}＊ｉｎｄｅｘ＋ｂａｓｅを使用するアドレス生成用）。

変位フィールド１６２Ａは、そのコンテンツが、メモリアドレス生成の一部として使用される（たとえば、２^{ｓｃａｌｅ}＊ｉｎｄｅｘ＋ｂａｓｅ＋ｄｉｓｐｌａｃｅｍｅｎｔを使用するアドレス生成の場合）。

変位係数フィールド１６２Ｂ（変位係数フィールド１６２Ｂの真上に変位フィールド１６２Ａを並置することは、どちらか一方が使用されることを示すことに留意されたい）は、そのコンテンツが、アドレス生成の一部として使用される。これは、メモリアクセスのサイズ（Ｎ）によってスケーリングされる変位係数を指定する。ここで、Ｎはメモリアクセスのバイト数である（たとえば、２^{ｓｃａｌｅ}＊ｉｎｄｅｘ＋ｂａｓｅ＋ｓｃａｌｅｄ ｄｉｓｐｌａｃｅｍｅｎｔを使用するアドレス生成の場合）。冗長な下位ビットは無視されるため、有効なアドレスの計算に使用される最終的な変位を生成するために、変位係数フィールドのコンテンツにメモリオペランドの合計サイズ（Ｎ）が乗算される。Ｎの値は、完全なオペコードフィールド１７４（本明細書で後述）およびデータ操作フィールド１５４Ｃに基づいて、実行時にプロセッサハードウェアによって決定される。変位フィールド１６２Ａおよび変位係数フィールド１６２Ｂは、それらがメモリアクセスなし１０５の命令テンプレートに使用されないという意味でオプションであり、および／または異なる実施形態は、２つのうちの１つのみを実装するか、またはまったく実装しない。

データ要素幅フィールド１６４−そのコンテンツは、いくつかのデータ要素幅のうちのいずれか１つが使用されるべきかを区別する（いくつかの実施形態では、すべての命令について；他の実施形態では、いくつかの命令についてのみ）。このフィールドは、１つのデータ要素幅のみがサポートされている場合やデータ要素幅がオペコードの一部の側面を使用してサポートされている場合は不要であるという意味でオプションである。

書き込みマスクフィールド１７０は、そのコンテンツが、データ要素ごとの位置に基づいて、宛先ベクトルオペランド内のそのデータ要素の位置が基本演算と拡張演算の結果を反映するかどうかを制御する。クラスＡの命令テンプレートはマージ書き込みマスキングをサポートし、クラスＢの命令テンプレートはマージ書き込みマスキングとゼロ調整書き込みマスキングの両方をサポートする。マージする場合、ベクターマスクを使用すると、宛先の要素のセットを、演算（基本演算と拡張演算で指定）の実行中に更新から保護できる。他の一実施形態では、対応するマスクビットが０を有する宛先の各要素の古い値を保持する。対照的に、ベクトルマスクをゼロ化すると、演算（基本演算と拡張演算で指定）の実行中に宛先の要素のセットをゼロ化できる。一実施形態では、対応するマスクビットが０の値を有する場合、宛先の要素は０に設定される。この機能のサブセットは、実行される操作のベクトル長（つまり、最初から最後まで変更される要素のスパン）を制御する機能である。ただし、変更される要素が連続している必要はない。したがって、書き込みマスクフィールド１７０は、ロード、ストア、算術、論理などを含む部分的なベクトル演算を可能にする。書き込みマスクフィールドの１７０コンテンツが、使用される書き込みマスクを含むいくつかの書き込みマスクレジスタのうちの１つを選択する（したがって、書き込みマスクフィールドの１７０コンテンツは、実行されるマスキングを間接的に識別する）本発明の実施形態が説明されるが、代わりにまたは追加の代替の実施形態は、書き込みマスクフィールドの１７０コンテンツが、実行されるマスキングを直接指定することを可能にする。

イミディエートフィールド１７２は、そのコンテンツにより、イミディエートを指定できる。このフィールドは、イミディエートをサポートしない一般的なベクトルフレンドリー形式の実装には存在せず、イミディエートを使用しない命令には存在しないという意味でオプションである。

クラスフィールド１６８は、そのコンテンツが、異なるクラスの命令を区別する。図１Ａ〜図１Ｂを参照すると、このフィールドのコンテンツは、クラスＡとクラスＢの命令から選択する。図１Ａ〜図１Ｂでは、角の丸い四角を使用して、特定の値がフィールドに存在することを示している（たとえば、図１Ａ〜図１Ｂのクラスフィールド１６８のクラスＡ １６８ＡおよびクラスＢ １６８Ｂ）。

クラスＡの命令テンプレート

クラスＡの非メモリアクセス１０５命令テンプレートの場合、アルファフィールド１５２は、ＲＳフィールド１５２Ａとして解釈され、そのコンテンツは、異なる拡張演算型のどれが実行されるべきかを区別し（たとえば、ラウンド１５２Ａ．１）、データ変換１５２Ａ．２は、メモリなしアクセス、ラウンド型演算１１０およびメモリなしアクセス、データ変換型演算１１５命令テンプレートに対してそれぞれ指定され、一方、ベータフィールド１５４は、指定された型の演算のどれが実行される。メモリアクセスなし１０５の命令テンプレートでは、スケールフィールド１６０、変位フィールド１６２Ａ、および変位スケールフィールド１６２Ｂは存在しない。

メモリアクセスなしの命令テンプレート−フルラウンド制御型演算

メモリアクセスなしのフルラウンド制御型演算１１０の命令テンプレートでは、ベータフィールド１５４は、そのコンテンツが静的な丸めを提供するラウンド制御フィールド１５４Ａとして解釈される。本発明の説明された実施形態では、ラウンド制御フィールド１５４Ａは、すべての浮動小数点例外の抑制（ＳＡＥ）フィールド１５６およびラウンド演算制御フィールド１５８を含むが、代替の実施形態は、これらの概念の両方を同じフィールドに符号化するか、１つだけ、またはこれらの他の概念／フィールド（たとえば、ラウンド演算制御フィールド１５８のみを有することができる）を有することができる。

ＳＡＥフィールド１５６は、そのコンテンツが、例外イベントレポートを無効にするかどうかを区別する。ＳＡＥフィールドの１５６のコンテンツが抑制が有効になっていることを示している場合、特定の命令はいかなる種類の浮動小数点例外フラグも報告せず、浮動小数点例外ハンドラを発生させない。

ラウンド演算制御フィールド１５８は、そのコンテンツが、丸め演算のグループのいずれか１つを実行するかを区別する（たとえば、切り上げ、切り下げ、ゼロへの丸め、および最も近い丸め）。したがって、ラウンド演算制御フィールド１５８は、命令ごとに丸めモードの変更を可能にする。プロセッサが丸めモードを指定するための制御レジスタを含む本発明の一実施形態では、ラウンド演算制御フィールドの１５０のコンテンツは、そのレジスタ値を上書きする。

メモリアクセスなしの命令テンプレート−データ変換型演算

メモリアクセスなしのデータ変換型演算１１５の命令テンプレートでは、ベータフィールド１５４は、データ変換フィールド１５４Ｂとして解釈され、そのコンテンツは、多数のデータ変換のうちのいずれか１つが実行されるべきかを区別する（たとえば、データ変換なし、スウィズル、放送）。

クラスＡのメモリアクセスあり１２０の命令テンプレートの場合、アルファフィールド１５２は、エビクションヒントフィールド１５２Ｂとして解釈され、そのコンテンツは、エビクションヒントのいずれか１つが使用されるかを区別し（図１Ａでは、時間１５２Ｂ．１および非時間的１５２Ｂ．２は、メモリアクセス、時間的１２５命令テンプレートおよびメモリアクセス、非時間的１３０命令テンプレートに対してそれぞれ指定される）、一方、ベータフィールド１５４は、データ操作フィールド１５４Ｃとして解釈され、そのコンテンツは、いずれか１つを区別するか。多数のデータ操作演算（プリミティブとも呼ばれる）が実行される（たとえば、操作なし、ブロードキャスト、ソースのアップコンバージョン、宛先のダウンコンバージョンなど）。メモリアクセス１２０ありの命令テンプレートは、スケールフィールド１６０、および任意選択で変位フィールド１６２Ａまたは変位スケールフィールド１６２Ｂを含む。

ベクトルメモリ命令は、変換をサポートして、メモリからのベクトルロードとメモリへのベクトルストアを実行する。通常のベクトル命令と同様に、ベクトルメモリ命令はデータ要素ごとにメモリとの間でデータを転送する。実際に転送される要素は、書き込みマスクとして選択されたベクトルマスクのコンテンツによって決まる。

メモリアクセスありの命令テンプレート−一時的

一時データは、キャッシュの恩恵を受けるのに十分な時間で再利用される可能性が高いデータである。ただし、これはヒントであり、ヒントを完全に無視するなど、さまざまなプロセッサがさまざまな方法で実装する場合がある。

メモリアクセスありの命令テンプレート−非一時的

非一時データは、第１レベルのキャッシュでキャッシュすることでメリットが得られるほどすぐに再利用される可能性が低いデータであり、エビクションを優先する必要がある。ただし、これはヒントであり、ヒントを完全に無視するなど、さまざまなプロセッサがさまざまな方法で実装する場合がある。

クラスＢの命令テンプレート

クラスＢの命令テンプレートの場合、アルファフィールド１５２は、書き込みマスク制御（Ｚ）フィールド１５２Ｃとして解釈され、そのコンテンツは、書き込みマスクフィールド１７０によって制御される書き込みマスキングがマージであるべきかゼロ化であるべきかを区別する。

クラスＢのメモリアクセスなし１０５の命令テンプレートの場合、ベータフィールド１５４の一部は、ＲＬフィールド１５７Ａとして解釈され、そのコンテンツは、異なる拡張演算型のどれが実行されるべきかを区別し（たとえば、ラウンド１５７Ａ．１およびベクトル長（ＶＳＩＺＥ）１５７Ａ．２は、メモリなしアクセス、書き込みマスク制御、部分ラウンド制御型演算１１２の命令テンプレート、およびメモリなしアクセス、書き込みマスク制御、ＶＳＩＺＥ型演算１１７の命令テンプレートに対してそれぞれ指定される）、一方、ベータフィールド１５４の残りの部分は、指定された型の演算のどれが実行されるべきかを区別する。メモリアクセスなし１０５の命令テンプレートでは、スケールフィールド１６０、変位フィールド１６２Ａ、および変位スケールフィールド１６２Ｂは存在しない。

メモリアクセスなし、書き込みマスク制御、部分ラウンド制御型演算１１０の命令テンプレートでは、ベータフィールド１５４の残りはラウンド演算制御フィールド１５９Ａとして解釈され、例外イベント報告は無効にされる（所与の命令はいかなる種類の浮動小数点例外フラグも報告せず、浮動小数点例外ハンドラを発生させない）。

ラウンド演算制御フィールド１５９Ａ−ラウンド演算制御フィールド１５８と同様に、そのコンテンツは、丸め演算のグループのいずれか１つを実行するかを区別する（たとえば、切り上げ、切り下げ、ゼロに丸める、最も近い丸め）。したがって、ラウンド演算制御フィールド１５９Ａは、命令ごとに丸めモードの変更を可能にする。プロセッサが丸めモードを指定するための制御レジスタを含む本発明の一実施形態では、ラウンド演算制御フィールドの１５０のコンテンツは、そのレジスタ値を上書きする。

メモリアクセスなし、書き込みマスク制御、ＶＳＩＺＥ型演算１１７の命令テンプレートでは、ベータフィールド１５４の残りはベクトル長フィールド１５９Ｂとして解釈され、そのコンテンツは、いくつかのデータベクトル長のうちのいずれか１つが実行されるかを区別する（たとえば、１２８、２５６、または５１２バイト）。

クラスＢのメモリアクセスあり１２０の命令テンプレートの場合、ベータフィールド１５４の一部は、ブロードキャストフィールド１５７Ｂとして解釈され、そのコンテンツは、ブロードキャスト型のデータ操作演算が実行されるかどうかを区別し、残りの部分は、ベータフィールド１５４は、ベクトル長フィールド１５９Ｂと解釈される。メモリアクセス１２０ありの命令テンプレートは、スケールフィールド１６０、および任意選択で変位フィールド１６２Ａまたは変位スケールフィールド１６２Ｂを含む。

汎用ベクトル向け命令フォーマット１００に関して、フォーマットフィールド１４０、基本演算フィールド１４２、およびデータ要素幅フィールド１６４を含む完全なオペコードフィールド１７４が示されている。完全なオペコードフィールド１７４がこれらのフィールドのすべてを含む一実施形態が示されているが、完全なオペコードフィールド１７４は、それらのすべてをサポートしない実施形態では、これらのフィールドのすべてより少ないものを含む。完全なオペコードフィールド１７４は、操作コード（オペコード）を提供する。

拡張演算フィールド１５０、データ要素幅フィールド１６４、および書き込みマスクフィールド１７０は、これらの特徴を、汎用ベクトル向け命令フォーマットで命令ごとに指定することを可能にする。

書き込みマスクフィールドとデータ要素幅フィールドの組み合わせにより、異なるデータ要素幅に基づいてマスクを適用できるという点で、型付き命令が作成される。

クラスＡとクラスＢにあるさまざまな命令テンプレートは、さまざまな状況で役立つ。本発明のいくつかの実施形態では、異なるプロセッサまたはプロセッサ内の異なるコアは、クラスＡのみ、クラスＢのみ、または両方のクラスをサポートし得る。たとえば、汎用コンピューティングを対象とした高性能の一般的な順不同コアはクラスＢのみをサポートし、主にグラフィックスおよび／または科学（スループット）コンピューティングを対象としたコアはクラスＡのみをサポートし、コアは両方のために両方をサポートすることができる（もちろん、両方のクラスからのテンプレートと命令のいくつかの組み合わせを有するが、両方のクラスからのすべてのテンプレートと命令を有していないコアは本発明の範囲内にある）。また、単一のプロセッサに複数のコアが含まれる場合があり、そのすべてが同じクラスをサポートするか、異なるコアが異なるクラスをサポートする。たとえば、別個のグラフィックスと汎用コアを備えたプロセッサでは、主にグラフィックスおよび／または科学コンピューティングを目的としたグラフィックスコアの１つがクラスＡのみをサポートし、汎用コアのうち１つまたは複数が、クラスＢのみをサポートする汎用コンピューティングを対象としたアウトオブオーダ実行とレジスタリネーミングを使用する高性能汎用コアである場合がある。個別のグラフィックコアを持たない別のプロセッサには、クラスＡおよびクラスＢの両方をサポートするもう１つの汎用逐次コアまたは順不同コアが含まれる場合がある。もちろん、本発明の異なる実施形態では、１つのクラスからの特徴は、他のクラスにも実装され得る。高レベル言語で記述されたプログラムは、１）実行用のターゲットプロセッサでサポートされているクラスの命令のみを含む形式、または２）すべてのクラスの命令のさまざまな組み合わせを使用して記述された代替ルーチンを持ち、現在コードを実行しているプロセッサによってサポートされる命令に基づいて実行するルーチンを選択する制御フローコードを持つ形式、のようなさまざまな実行可能形式に変換（たとえば、ジャストインタイムコンパイルまたは静的コンパイル）される。

ＶＥＸ命令フォーマット

ＶＥＸ符号化では、命令に３つ以上のオペランドを含めることができ、ＳＩＭＤベクトルレジスタを２８ビットより長くすることができる。ＶＥＸプレフィックスを使用すると、３オペランド（またはそれ以上）の構文が提供される。たとえば、以前の２オペランドの命令は、ソースオペランドを上書きするＡ＝Ａ＋Ｂなどの演算を実行した。ＶＥＸプレフィックスを使用すると、オペランドでＡ＝Ｂ＋Ｃなどの非破壊演算を実行できる。

図２Ａは、ＶＥＸプレフィックス２０２、実オペコードフィールド２３０、Ｍｏｄ Ｒ／Ｍバイト２４０、ＳＩＢバイト２５０、変位フィールド２６２、およびＩＭＭ８ ２７２を含む例示的なＡＶＸ命令フォーマットを示している。図２Ｂは、図２Ａのどのフィールドが完全なオペコードフィールド２７４および基本演算フィールド２４１を構成するかを示している。図２Ｃは、図２Ａのどのフィールドがレジスタインデックスフィールド２４４を構成するかを示している。

ＶＥＸプレフィックス（バイト０〜２）２０２は、３バイト形式で符号化される。第１のバイトはフォーマットフィールド２９０（ＶＥＸバイト０、ビット［７：０］）であり、明示的なＣ４バイト値（Ｃ４命令フォーマットを区別するために使用される一意の値）が含まれている。第２および第３のバイト（ＶＥＸバイト１〜２）には、特定の機能を提供するいくつかのビットフィールドが含まれている。具体的には、ＲＥＸフィールド２０５（ＶＥＸバイト１、ビット［７〜５］）は、ＶＥＸ．Ｒビットフィールド（ＶＥＸバイト１、ビット［７］〜Ｒ）、ＶＥＸ．Ｘビットフィールド（ＶＥＸバイト１、ビット［６］〜Ｘ）、およびＶＥＸ．Ｂビットフィールド（ＶＥＸバイト１、ビット［５］〜Ｂ）で構成される。命令の他のフィールドは、当技術分野で知られているようにレジスタインデックスの下位３ビット（ｒｒｒ、ｘｘｘ、およびｂｂｂ）を符号化するので、Ｒｒｒｒ、Ｘｘｘｘ、およびＢｂｂｂは、ＶＥＸ．Ｒ、ＶＥＸ．Ｘ、およびＶＥＸ．Ｂを加えることで形成される。オペコードマップフィールド２１５（ＶＥＸバイト１、ビット［４：０］−ｍｍｍｍｍ）には、暗黙の先行オペコードバイトを符号化するコンテンツが含まれている。Ｗフィールド２６４（ＶＥＸバイト２、ビット［７］−Ｗ）は、表記ＶＥＸ．Ｗで表され、命令に応じて異なる機能を提供する。ＶＥＸ．ｖｖｖｖ ２２０（ＶＥＸバイト２、ビット［６：３］−ｖｖｖｖ）の役割には、次のもの、すなわち、１）ＶＥＸ．ｖｖｖｖが、反転（１の補数）形式で指定された第１のソースレジスタオペランドを符号化し、２つ以上のソースオペランドを持つ命令に対して有効である、２）ＶＥＸ．ｖｖｖｖが、特定のベクトルシフトに対して１の補数形式で指定された宛先レジスタオペランドを符号化する、または３）ＶＥＸ．ｖｖｖｖはオペランドを符号化せず、フィールドは予約されており、１１１１ｂを含む必要がある、が含まれる。ＶＥＸ．Ｌ ２６８サイズフィールド（ＶＥＸバイト２、ビット［２］−Ｌ）＝０の場合、２８ビットベクトルを示し、ＶＥＸ．Ｌ＝１の場合、２５６ビットのベクトルを示す。プレフィックス符号化フィールド２２５（ＶＥＸバイト２、ビット［１：０］−ｐｐ）は、基本演算フィールド２４１に追加のビットを提供する。

実オペコードフィールド２３０（バイト３）は、オペコードバイトとも呼ばれる。このフィールドでは、オペコードの一部が指定されている。

ＭＯＤ Ｒ／Ｍフィールド２４０（バイト４）には、ＭＯＤフィールド２４２（ビット［７−６］）、レジスタインデックスフィールド２４４（ビット［５−３］）、およびＲ／Ｍフィールド２４６（ビット［２−０］）が含まれる。レジスタインデックスフィールド２４４の役割は、以下の、宛先レジスタオペランドまたはソースレジスタオペランド（Ｒｒｒｒのｒｒｒ）のいずれかを符号化すること、またはオペコード拡張として扱われ、命令オペランドを符号化するために使用されないこと、を含み得る。Ｒ／Ｍフィールド２４６の役割は、以下の、メモリアドレスを参照する命令オペランドを符号化すること、または宛先レジスタオペランドまたはソースレジスタオペランドのいずれかを符号化すること、を含み得る。

スケール、インデックス、ベース（ＳＩＢ）−スケールフィールド２５０（バイト５）のコンテンツには、メモリアドレスの生成に使用されるＳＳ２５２（ビット［７〜６］）が含まれる。ＳＩＢ．ｘｘｘ ２５４（ビット［５〜３］）およびＳＩＢ．ｂｂｂ ２５６（ビット［２〜０］）のコンテンツは、レジスタインデックスＸｘｘｘおよびＢｂｂｂに関して事前に参照されている。

変位フィールド２６２およびイミディエートフィールド（ＩＭＭ８）２７２は、データを含む。

例示的なレジスタアーキテクチャ

図３は、本発明の一実施形態によるレジスタアーキテクチャ３００のブロック図である。図示の実施形態では、５１２ビット幅である３２個のベクトルレジスタ３１０が存在する。これらのレジスタは、ｚｍｍ０からｚｍｍ３１として参照される。下位６つのｚｍｍレジスタの下位２５６ビットは、レジスタｙｍｍ０〜１５に重ね合わせられる。下位６つのｚｍｍレジスタの下位１２８ビット（ｙｍｍレジスタの下位１２８ビット）は、レジスタｘｍｍ０〜１５に重ね合わされる。

汎用レジスタ３２５は、図示の実施形態では、メモリオペランドをアドレス指定するために既存のｘ８６アドレス指定モードと共に使用される１６個の６４ビット汎用レジスタが存在する。これらのレジスタは、ＲＡＸ、ＲＢＸ、ＲＣＸ、ＲＤＸ、ＲＢＰ、ＲＳＩ、ＲＤＩ、ＲＳＰ、およびＲ８〜Ｒ１５という名前で参照される。

スカラ浮動小数点スタックレジスタファイル（ｘ８７スタック）３４５は、図示の実施形態では、その上でＭＭＸパック整数フラットレジスタファイル３５０のエイリアスが作成され、ｘ８７スタックは、ｘ８７命令セット拡張を使用して３２／６４／８０ビットの浮動小数点データでスカラ浮動小数点演算を実行するために使用される８要素スタックであり、一方、ＭＭＸレジスタは、６４ビットパック整数データの演算を実行するため、およびＭＭＸレジスタとＸＭＭレジスタ間で実行される一部の演算のオペランドを保持するために使用される。

本発明の代替の実施形態は、より広いまたはより狭いレジスタを使用することができる。さらに、本発明の代替の実施形態は、より多くの、より少ない、または異なるレジスタファイルおよびレジスタを使用することができる。

例示的なコアアーキテクチャ、プロセッサ、およびコンピュータアーキテクチャ

プロセッサコアは、さまざまな方法、さまざまな目的、さまざまなプロセッサで実装できる。たとえば、そのようなコアの実装は、以下の、１）汎用コンピューティングを目的とした汎用逐次コア、２）汎用コンピューティングを目的とした高性能の一般的な順不同コア、３）主にグラフィックスおよび／または科学（スループット）コンピューティングを目的とした特殊目的コア、を含み得る。異なるプロセッサの実装には、以下の、１）汎用コンピューティングを目的とした１つまたは複数の一般的な逐次コアおよび／または汎用コンピューティングを目的とした１つまたは複数の一般的な順不同コアを含むＣＰＵ、２）主にグラフィックスおよび／または科学（スループット）を目的とした１つまたは複数の特殊目的コアを含むコプロセッサ、が含まれ得る。このような異なるプロセッサは、１）ＣＰＵとは別のチップ上のコプロセッサ、２）ＣＰＵと同じパッケージ内の別のダイ上のコプロセッサ、３）ＣＰＵと同じダイ上のコプロセッサ（この場合、そのようなコプロセッサは、統合グラフィックスや科学（スループット）ロジックなどの特殊目的ロジック、または特殊目的コアと呼ばれることがある）、４）同じダイ上に、記載されたＣＰＵ（アプリケーションコアまたはアプリケーションプロセッサと呼ばれることもある）、上記のコプロセッサ、および追加の機能を含み得るチップ上のシステム、を含む、異なるコンピュータシステムアーキテクチャにつながる。次に、例示的なコアアーキテクチャについて説明し、続いて、例示的なプロセッサおよびコンピュータアーキテクチャについて説明する。本明細書では、例示的なコア、プロセッサなどを含む回路（ユニット）が詳述されている。

例示的なコアアーキテクチャ

図４Ａは、本発明の実施形態による、例示的な逐次パイプラインおよび例示的なレジスタリネーミング、アウトオブオーダ発行／実行パイプラインの両方を示すブロック図である。図４Ｂは、本発明の実施形態による、逐次アーキテクチャコアの例示的な実施形態と、プロセッサに含まれる例示的なレジスタリネーミング、アウトオブオーダ発行／実行アーキテクチャコアの両方を示すブロック図である。図４Ａ〜図４Ｂの実線のボックスは、逐次パイプラインと逐次コアを示し、破線のボックスのオプションの追加は、レジスタのリネーミング、アウトオブオーダ発行／実行パイプラインとコアを示している。逐次アスペクトが順不同アスペクトのサブセットであるとして、順不同アスペクトについて説明する。

図４Ａでは、プロセッサパイプライン４００は、フェッチステージ４０２、長さ復号ステージ４０４、復号ステージ４０６、割り当てステージ４０８、リネーミングステージ４１０、スケジューリング（ディスパッチまたは発行としても知られる）ステージ４１２、レジスタ読み取り／メモリ読み取りステージ４１４、実行ステージ４１６、書き戻し／メモリ書き込みステージ４１８、例外処理ステージ４２２、およびコミットステージ４２４を含む。

図４Ｂは、実行エンジンユニット４５０に結合されたフロントエンドユニット４３０を含むプロセッサコア４９０を示しており、両方ともメモリユニット４７０に結合されている。コア４９０は、縮小命令セットコンピューティング（ＲＩＳＣ）コア、複雑な命令セットコンピューティング（ＣＩＳＣ）コア、超長命令ワード（ＶＬＩＷ）コア、またはハイブリッドまたは代替コアタイプであり得る。さらに別のオプションとして、コア４９０は、たとえば、ネットワークまたは通信コア、圧縮エンジン、コプロセッサコア、汎用コンピューティンググラフィックス処理ユニット（ＧＰＧＰＵ）コア、グラフィックスコアなどの専用コアであり得る。

フロントエンドユニット４３０は、復号ユニット４４０に結合された命令フェッチユニット４３８に結合された命令変換ルックアサイドバッファ（ＴＬＢ）４３６に結合された命令キャッシュユニット４３４に結合された分岐予測ユニット４３２を含む。復号ユニット４４０（または復号部）は、命令を復号し、出力として、１つまたは複数のマイクロ操作、マイクロコードエントリポイント、マイクロ命令、他の命令、または元の命令から他の方法で復号、またはそうでなければ反射される他の制御信号を生成することができる。復号ユニット４４０は、さまざまな異なるメカニズムを使用して実装することができる。適切なメカニズムの例には、ルックアップテーブル、ハードウェア実装、プログラマブルロジックアレイ（ＰＬＡ）、マイクロコード読み取り専用メモリ（ＲＯＭ）などが含まれるが、これらに限定されない。一実施形態では、コア４９０は、特定のマクロ命令のためのマイクロコードを格納するマイクロコードＲＯＭまたは他の媒体を含む（たとえば、復号ユニット４４０内またはそうでなければフロントエンドユニット４３０内に）。復号ユニット４４０は、実行エンジンユニット４５０内のリネーミング／アロケータユニット４５２に結合されている。

実行エンジンユニット４５０は、リタイアメントユニット４５４および１つまたは複数のスケジューラユニット４５６のセットに結合されたリネーミング／アロケータユニット４５２を含む。スケジューラユニット４５６は、予約ステーション、中央命令ウィンドウなどを含む、任意の数の異なるスケジューラを表す。スケジューラユニット４５６は、物理レジスタファイルユニット４５８に結合されている。物理レジスタファイルユニット４５８のそれぞれは、１つまたは複数の物理レジスタファイルを表し、その異なるファイルは、スカラ整数、スカラ浮動小数点、パック整数、パック浮動小数点、ベクトル整数、ベクトル浮動小数点、ステータス（たとえば、次に実行される命令のアドレスである命令ポインタ）などの１つまたは複数の異なるデータ形式を格納する。一実施形態では、物理レジスタファイルユニット４５８は、ベクトルレジスタユニットおよびスカラレジスタユニットを含む。これらのレジスタユニットは、アーキテクチャベクトルレジスタ、ベクトルマスクレジスタ、および汎用レジスタを提供する場合がある。物理レジスタファイルユニット４５８は、レジスタのリネーミングおよびアウトオブオーダ実行を実装することができるさまざまな方法を示すために、リタイアメントユニット４５４とオーバーラップしている（たとえば、リオーダバッファおよびリタイアメントレジスタファイルを使用する、将来のファイル、履歴バッファ、およびリタイアメントレジスタファイルを使用する、レジスタマップとレジスタのプールを使用する、など）。リタイアメントユニット４５４および物理レジスタファイルユニット４５８は、実行クラスタ４６０に結合されている。実行クラスタ４６０は、１つまたは複数の実行ユニット４６２のセットおよび１つまたは複数のメモリアクセスユニット４６４のセットを含む。実行ユニット４６２は、さまざまな操作（たとえば、シフト、加算、減算、乗算）およびさまざまなタイプのデータ（たとえば、スカラ浮動小数点、パック整数、パック浮動小数点、ベクトル整数、ベクトル浮動小数点）に対して実行することができる。いくつかの実施形態は、特定の機能または機能のセット専用のいくつかの実行ユニットを含み得るが、他の実施形態は、すべてがすべての機能を実行する１つの実行ユニットまたは複数の実行ユニットのみを含み得る。特定の実施形態が特定のタイプのデータ／演算のために別個のパイプラインを作成するため、スケジューラユニット４５６、物理レジスタファイルユニット４５８、および実行クラスタ４６０は、おそらく複数であるとして示されている（たとえば、スカラ整数パイプライン、スカラ浮動小数点／パック整数／パック浮動小数点／ベクトル整数／ベクトル浮動小数点パイプライン、および／またはそれぞれ独自のスケジューラユニット、物理レジスタファイルユニット、および／またはメモリアクセスパイプライン実行クラスタ−および別個のメモリアクセスパイプラインの場合、このパイプラインの実行クラスタのみがメモリアクセスユニット４６４を有する特定の実施形態が実装される）。別々のパイプラインが使用されている場合、これらのパイプラインのうち１つまたは複数がアウトオブオーダ発行／実行であり、残りが順不同である可能性があることも理解する必要がある。

メモリアクセスユニット４６４のセットは、メモリユニット４７０に結合され、メモリユニット４７０は、レベル２（Ｌ２）キャッシュユニット４７６に結合されたデータキャッシュユニット４７４に結合されたデータＴＬＢユニット４７２を含む。例示的な一実施形態では、メモリアクセスユニット４６４は、ロードユニット、ストアアドレスユニット、およびストアデータユニットを含み得、これらのそれぞれは、メモリユニット４７０内のデータＴＬＢユニット４７２に結合される。命令キャッシュユニット４３４は、メモリユニット４７０内のレベル２（Ｌ２）キャッシュユニット４７６にさらに結合されている。Ｌ２キャッシュユニット４７６は、１つまたは複数の他のレベルのキャッシュに結合され、最終的にはメインメモリに結合される。

例として、例示的なレジスタリネーミング、アウトオブオーダ発行／実行コアアーキテクチャは、パイプライン４００を以下のように実装することができ、１）命令フェッチ４３８は、フェッチおよび長さ復号ステージ４０２および４０４を実行し、２）復号ユニット４４０は、復号ステージ４０６を実行し、３）リネーミング／アロケータユニット４５２は、割り当てステージ４０８およびリネーミングステージ４１０を実行し、４）スケジューラユニット４５６は、スケジュールステージ４１２を実行し、５）物理レジスタファイルユニット４５８およびメモリユニット４７０は、レジスタ読み取り／メモリ読み取りステージ４１４を実行し、実行クラスタ４６０は、実行ステージ４１６を実行し、６）メモリユニット４７０および物理レジスタファイルユニット４５８は、書き戻し／メモリ書き込みステージ４１８を実行し、７）さまざまなユニットが例外処理ステージ４２２に関与し得、８）リタイアメントユニット４５４および物理レジスタファイルユニット４５８は、コミットステージ４２４を実行する。

コア４９０は、本明細書に記載されている命令を含む、１つまたは複数の命令セット（たとえば、ｘ８６命令セット（新しいバージョンで追加されたいくつかの拡張を含む）、カリフォルニア州サニーベールのＭＩＰＳ ＴｅｃｈｎｏｌｏｇｉｅｓのＭＩＰＳ命令セット、カリフォルニア州サニーベールのＡＲＭ Ｈｏｌｄｉｎｇｓの（ＮＥＯＮなどのオプションの追加拡張機能を含む）ＡＲＭ命令セット）をサポートし得る。一実施形態では、コア４９０は、パックドデータ命令セット拡張（たとえば、ＡＶＸ１、ＡＶＸ２）をサポートするロジックを含み、それによって、パックドデータを使用して多くのマルチメディアアプリケーションによって使用される操作を実行できるようにする。

コアがマルチスレッド（２つ以上の並列セットの操作またはスレッドを実行する）をサポートする場合があり、タイムスライスマルチスレッド、同時マルチスレッディング（単一の物理コアが、物理コアが同時にマルチスレッド化されている各スレッドに論理コアを提供する場合）、またはそれらの組み合わせ（たとえば、タイムスライスされたフェッチと復号、およびその後のインテル（登録商標）ハイパースレッディングテクノロジーなどの同時マルチスレッディング）を含むさまざまな方法でサポートする場合があることを理解する必要がある。

レジスタのリネーミングはアウトオブオーダ実行の文脈で説明されているが、レジスタのリネーミングは逐次アーキテクチャで使用される場合があることを理解する必要がある。プロセッサの図示された実施形態はまた、別個の命令およびデータキャッシュユニット４３４／４７４および共有Ｌ２キャッシュユニット４７６を含むが、代替の実施形態は、たとえば、レベル１（Ｌ１）内部キャッシュ、または複数レベルの内部キャッシュのような、命令およびデータの両方のための単一の内部キャッシュを有し得る。いくつかの実施形態では、システムは、コアおよび／またはプロセッサの外部にある内部キャッシュと外部キャッシュとの組み合わせを含み得る。あるいは、すべてのキャッシュがコアおよび／またはプロセッサの外部にある場合がある。

特定の例示的な逐次コアアーキテクチャ

図５Ａ〜図５Ｂは、より具体的な例示的な逐次コアアーキテクチャのブロック図を示しており、このコアは、チップ内のいくつかのロジックブロック（同じタイプおよび／または異なるタイプの他のコアを含む）の１つである。ロジックブロックは、アプリケーションに応じて、高帯域幅の相互接続ネットワーク（たとえば、リングネットワーク）を介して、いくつかの固定機能ロジック、メモリＩ／Ｏインターフェース、およびその他の必要なＩ／Ｏロジックと通信する。

図５Ａは、本発明の実施形態による、オンダイ相互接続ネットワーク５０２への接続、およびレベル２（Ｌ２）キャッシュ５０４のそのローカルサブセットを伴う、単一プロセッサコアのブロック図である。一実施形態では、命令復号部５００は、パックされたデータ命令セット拡張を備えたｘ８６命令セットをサポートする。Ｌ１キャッシュ５０６は、メモリをスカラおよびベクトルユニットにキャッシュするための低待ち時間アクセスを可能にする。一実施形態（設計を単純化するため）では、スカラユニット５０８およびベクトルユニット５１０は、別個のレジスタセット（それぞれ、スカラレジスタ５１２およびベクトルレジスタ５１４）を使用し、それらの間で転送されるデータは、メモリに書き込まれ、次に、レベル１（Ｌ１）キャッシュ５０６、本発明の代替の実施形態は、異なるアプローチを使用することができる（たとえば、単一のレジスタセットを使用するか、またはデータを書き込みおよび読み出しせずに２つのレジスタファイル間で転送できるようにする通信パスを含む）。

Ｌ２キャッシュ５０４のローカルサブセットは、プロセッサコアごとに１つずつ、別個のローカルサブセットに分割されるグローバルＬ２キャッシュの一部である。各プロセッサコアは、Ｌ２キャッシュ５０４のそれ自身のローカルサブセットへの直接アクセスパスを有する。プロセッサコアによって読み取られたデータは、そのＬ２キャッシュサブセット５０４に格納され、他のプロセッサコアがそれら自身のローカルＬ２キャッシュサブセットにアクセスするのと並行して、迅速にアクセスすることができる。プロセッサコアによって書き込まれたデータは、それ自体のＬ２キャッシュサブセット５０４に格納され、必要に応じて、他のサブセットからフラッシュされる。リングネットワークは、共有データの一貫性を保証する。リングネットワークは双方向であるため、プロセッサコア、Ｌ２キャッシュ、その他のロジックブロックなどのエージェントがチップ内で相互に通信できる。いくつかの実施形態では、各リングデータパスは、方向ごとに１０２４ビット幅である。

図５Ｂは、本発明の実施形態による、図５Ａのプロセッサコアの一部の拡大図である。図５Ｂは、Ｌ１キャッシュ５０４のＬ１データキャッシュ５０６Ａの一部、ならびにベクトルユニット５１０およびベクトルレジスタ５１４に関するより詳細な情報を含む。具体的には、ベクトルユニット５１０は、整数、単精度浮動小数点数、および倍精度浮動小数点数のうち１つまたは複数の命令を実行する６幅のベクトル処理ユニット（ＶＰＵ）（１６幅のＡＬＵ ５２８を参照）である。ＶＰＵは、スウィズルユニット５２０でのレジスタ入力のスウィズリング、数値変換ユニット５２２Ａ〜５２２Ｂでの数値変換、およびメモリ入力上の複製ユニット５２４での複製をサポートする。

統合されたメモリコントローラおよびグラフィックスを備えたプロセッサ

図６は、本発明の実施形態による、１つよりも多いコアを有し得、統合メモリコントローラを有し得、統合グラフィックスを有し得るプロセッサ６００のブロック図である。図６の実線のボックスは、シングルコア６０２Ａ、システムエージェント６１０、１つまたは複数のバスコントローラユニット６１６のセットを備えたプロセッサ６００を示し、破線のボックスのオプションの追加は、複数のコア６０２Ａ〜６０２Ｎ、システムエージェントユニット６１０内の１つまたは複数の統合メモリコントローラユニット６１４のセット、および特殊目的ロジック６０８を備えた代替プロセッサ６００を示している。

したがって、プロセッサ６００の異なる実装は、１）統合されたグラフィックスおよび／または科学的（スループット）論理（１つまたは複数のコアを含み得る）である特殊目的ロジック６０８を有するＣＰＵ、および１つまたは複数の汎用コアであるコア６０２Ａ〜６０２Ｎ（たとえば、汎用逐次コア、汎用順不同コア、２つの組み合わせ）、２）コア６０２Ａ〜６０２Ｎが、主にグラフィックスおよび／または科学（スループット）を目的とした多数の特殊目的コアであるコプロセッサ、３）コア６０２Ａ〜６０２Ｎが多数の汎用逐次コアであるコプロセッサ、を含み得る。したがって、プロセッサ６００は、たとえば、ネットワークまたは通信プロセッサ、圧縮エンジン、グラフィックプロセッサ、ＧＰＧＰＵ（汎用グラフィック処理ユニット）、スループットの高い統合コア（ＭＩＣ）コプロセッサ（３０以上のコアを含む）、組み込みプロセッサなどの汎用プロセッサ、コプロセッサ、または特殊目的プロセッサであり得る。プロセッサは、１つまたは複数のチップ上に実装され得る。プロセッサ６００は、たとえば、ＢｉＣＭＯＳ、ＣＭＯＳ、またはＮＭＯＳなどのいくつかのプロセス技術のいずれかを使用して、１つまたは複数の基板の一部であり得、および／または実装され得る。

メモリ階層は、コア６０４Ａ〜６０４Ｎ内の１つまたは複数のレベルのキャッシュ、セットまたは１つまたは複数の共有キャッシュユニット６０６、および統合メモリコントローラユニット６１４のセットに結合された外部メモリ（図示せず）を含む。共有キャッシュユニット６０６のセットは、レベル２（Ｌ２）、レベル３（Ｌ３）、レベル４（Ｌ４）、または他のレベルのキャッシュ、最後のレベルのキャッシュ（ＬＬＣ）などの１つまたは複数の中間レベルのキャッシュ、および／またはそれらの組み合わせを含み得る。一実施形態では、リングベースの相互接続ユニット６１２は、統合グラフィックスロジック６０８、共有キャッシュユニットのセット６０６、およびシステムエージェントユニット６１０／統合メモリコントローラユニット６１４を相互接続するが、代替の実施形態は、任意の数のそのようなユニットを相互接続するための既知の技術を使用することができる。一実施形態では、コヒーレンシは、１つまたは複数のキャッシュユニット６０６とコア６０２Ａ〜６０２Ｎとの間で維持される。

いくつかの実施形態では、コア６０２Ａ〜６０２Ｎのうち１つまたは複数は、マルチスレッド化が可能である。システムエージェント６１０は、コア６０２Ａ〜６０２Ｎを調整および動作するこれらのコンポーネントを含む。システムエージェントユニット６１０は、たとえば、電力制御ユニット（ＰＣＵ）およびディスプレイユニットを含み得る。ＰＣＵは、コア６０２Ａ〜６０２Ｎおよび統合グラフィックスロジック６０８の電力状態を調整するために必要なロジックおよびコンポーネントであり得るか、またはそれらを含み得る。ディスプレイユニットは、１つまたは複数の外部接続されたディスプレイを駆動するためのものである。

コア６０２Ａ〜６０２Ｎは、アーキテクチャ命令セットに関して同種または異種であり得る。すなわち、２つ以上のコア６０２Ａ〜６０２Ｎは、同じ命令セットを実行することができ、一方、他のコアは、その命令セットのサブセットまたは異なる命令セットのみを実行することができる場合がある。

例示的なコンピュータアーキテクチャ

図７〜図１０は、例示的なコンピュータアーキテクチャのブロック図である。ラップトップ、デスクトップ、ハンドヘルドＰＣ、携帯情報端末、エンジニアリングワークステーション、サーバ、ネットワークデバイス、ネットワークハブ、スイッチ、組み込みプロセッサ、デジタルシグナルプロセッサ（ＤＳＰ）、グラフィックスデバイス、ビデオゲームデバイス向けのその他のシステム設計と構成、セットトップボックス、マイクロコントローラ、携帯電話、携帯情報端末、ハンドヘルドデバイス、およびその他のさまざまな電子デバイスも適している。一般に、本明細書に開示されるようなプロセッサおよび／または他の実行ロジックを組み込むことができる多種多様なシステムまたは電子デバイスが一般的に適切である。

ここで図７を参照すると、本発明の一実施形態によるシステム７００のブロック図が示されている。システム７００は、コントローラハブ７２０に結合された１つまたは複数のプロセッサ７１０、７１５を含み得る。一実施形態では、コントローラハブ７２０は、グラフィックスメモリコントローラハブ（ＧＭＣＨ）７９０および入力／出力ハブ（ＩＯＨ）７５０（これらは別個のチップ上にあり得る）を含み、ＧＭＣＨ ７９０は、メモリ７４０およびコプロセッサ７４５が結合されたメモリおよびグラフィックスコントローラを含み、ＩＯＨ ７５０は、入力／出力（Ｉ／Ｏ）デバイス７６０をＧＭＣＨ ７９０に結合する。あるいは、メモリおよびグラフィックスコントローラの一方または両方がプロセッサ内に統合され（本明細書で説明されるように）、メモリ７４０およびコプロセッサ７４５は、プロセッサ７１０に直接結合され、コントローラハブ７２０は、ＩＯＨ ７５０を備えた単一チップである。

追加のプロセッサ７１５のオプションの性質は、図７に破線で示されている。各プロセッサ７１０、７１５は、本明細書に記載の処理コアのうち１つまたは複数を含み得、プロセッサ６００のいくつかのバージョンであり得る。

メモリ７４０は、たとえば、ダイナミックランダムアクセスメモリ（ＤＲＡＭ）、相変化メモリ（ＰＣＭ）、またはその２つの組み合わせであり得る。少なくとも１つの実施形態では、コントローラハブ７２０は、フロントサイドバス（ＦＳＢ）、ポイントツーポイントインターフェース、または同様の接続７９５などのマルチドロップバスを介してプロセッサ７１０、７１５と通信する。

一実施形態では、コプロセッサ７４５は、たとえば、高スループットＭＩＣプロセッサ、ネットワークまたは通信プロセッサ、圧縮エンジン、グラフィックプロセッサ、ＧＰＧＰＵ、組み込みプロセッサなどのような特殊用途のプロセッサである。一実施形態では、コントローラハブ７２０は、統合されたグラフィックアクセラレータを含み得る。

物理的リソース７１０、７１５５の間には、建築的、マイクロアーキテクチャ的、熱的、電力消費特性などを含むメリットの測定基準のスペクトルに関してさまざまな違いがあり得る。

一実施形態では、プロセッサ７１０は、一般的なタイプのデータ処理操作を制御する命令を実行する。命令内に埋め込まれているのは、コプロセッサ命令である。プロセッサ７１０は、これらのコプロセッサ命令を、接続されたコプロセッサ７４５によって実行されるべきタイプのものとして認識する。したがって、プロセッサ７１０は、コプロセッサバスまたは他の相互接続上でこれらのコプロセッサ命令（またはコプロセッサ命令を表す制御信号）をコプロセッサ７４５に発行する。コプロセッサ７４５は、受信したコプロセッサ命令を受け入れて実行する。

ここで図８を参照すると、本発明の実施形態による第１のより具体的な例示的なシステム８００のブロック図が示されている。図８に示されるように、マルチプロセッサシステム８００は、ポイントツーポイント相互接続システムであり、ポイントツーポイント相互接続８５０を介して結合された第１のプロセッサ８７０および第２のプロセッサ８８０を含む。プロセッサ８７０および８８０のそれぞれは、プロセッサ６００のいくつかのバージョンであり得る。本発明の一実施形態では、プロセッサ８７０および８８０はそれぞれプロセッサ７１０および７１５であり、コプロセッサ８３８はコプロセッサ７４５である。別の実施形態では、プロセッサ８７０および８８０は、それぞれ、プロセッサ７１０コプロセッサ７４５である。

統合メモリコントローラ（ＩＭＣ）ユニット８７２および８８２をそれぞれ含むプロセッサ８７０および８８０が示されている。プロセッサ８７０はまた、そのバスコントローラユニットの一部として、ポイントツーポイント（Ｐ−Ｐ）インターフェース８７６および８７８を含む。同様に、第２のプロセッサ８８０は、Ｐ−Ｐインターフェース８８６および８８８を含む。プロセッサ８７０、８８０は、Ｐ−Ｐインターフェース回路８７８、８８８を使用して、ポイントツーポイント（Ｐ−Ｐ）インターフェース８５０を介して情報を交換することができる。図８に示されるように、ＩＭＣ ８７２および８８２は、プロセッサをそれぞれのメモリ、すなわち、メモリ８３２およびメモリ８３４に結合し、これらは、それぞれのプロセッサにローカルに接続されたメインメモリの一部であり得る。

プロセッサ８７０、８８０はそれぞれ、ポイントツーポイントインターフェース回路８７６、８９４、８８６、８９８を使用して、個々のＰ−Ｐインターフェース８５２、８５４を介してチップセット８９０と情報を交換することができる。チップセット８９０は、任意選択で、高性能インターフェース８９２を介してコプロセッサ８３８と情報を交換することができる。一実施形態では、コプロセッサ８３８は、たとえば、高スループットＭＩＣプロセッサ、ネットワークまたは通信プロセッサ、圧縮エンジン、グラフィックプロセッサ、ＧＰＧＰＵ、組み込みプロセッサなどのような特殊用途のプロセッサである。

共有キャッシュ（図示せず）は、プロセッサのいずれかに含まれるか、両方のプロセッサの外部に含まれ、Ｐ−Ｐ相互接続を介してプロセッサに接続され、プロセッサが低電力モードに置かれている場合、いずれかまたは両方のプロセッサのローカルキャッシュ情報が共有キャッシュに格納される。

チップセット８９０は、インターフェース８９６を介して第１のバス８１６に結合され得る。一実施形態では、第１のバス８１６は、ペリフェラルコンポーネント相互接続（ＰＣＩ）バス、またはＰＣＩ Ｅｘｐｒｅｓｓバスまたは別のＩ／Ｏ相互接続バスなどのバスであり得るが、本発明の範囲はそのように限定されない。

図８に示されるように、さまざまなＩ／Ｏデバイス８１４は、第１のバス８１６を第２のバス８２０に結合するバスブリッジ８１８とともに、第１のバス８１６に結合され得る。一実施形態では、コプロセッサ、ハイスループットＭＩＣプロセッサ、ＧＰＧＰＵ、アクセラレータ（たとえば、グラフィックアクセラレータまたはデジタル信号処理（ＤＳＰ）ユニットなど）、フィールドプログラマブルゲートアレイなどの１つまたは複数の追加のプロセッサ８１５、または他の任意のプロセッサは、第１のバス８１６に結合されている。一実施形態では、第２のバス８２０は、低ピン数（ＬＰＣ）バスであり得る。一実施形態では、さまざまなデバイスが、たとえば、キーボードおよび／またはマウス８２２、通信デバイス８２７、およびディスクドライブまたは命令／コードおよびデータ８３０を含み得る他の大容量記憶装置などの記憶装置８２８を含む第２のバス８２０に結合され得る。さらに、オーディオＩ／Ｏ ８２４は、第２のバス８１６に結合され得る。他のアーキテクチャも可能であることに注意されたい。たとえば、図８のポイントツーポイントアーキテクチャの代わりに、システムはマルチドロップバスまたは他のそのようなアーキテクチャを実装する場合がある。

ここで図９を参照すると、本発明の実施形態による、第２のより具体的な例示的なシステム９００のブロック図が示されている。図８および図９の同様の要素には同様の参照番号が付いており、図９の他の側面を曖昧にしないように、図８の特定の側面は図９から省略されている。

図９は、プロセッサ８７０、８８０が、それぞれ、統合メモリおよびＩ／Ｏ制御ロジック（「ＣＬ」）９７２および９８２を含み得ることを示している。したがって、ＣＬ ９７２、９８２は、統合メモリコントローラユニットを含み、Ｉ／Ｏ制御ロジックを含む。図９は、メモリ８３２、８３４がＣＬ ８７２、８８２に結合されているだけでなく、Ｉ／Ｏデバイス９１４も制御論理８７２、８８２に結合されていることを示している。レガシーＩ／Ｏデバイス９１５は、チップセット８９０に結合されている。

ここで図１０を参照すると、本発明の実施形態によるＳｏＣ １０００のブロック図が示されている。図６の同様の要素には、同様の参照番号が付いている。また、破線のボックスは、より高度なＳｏＣのオプション機能である。図１０では、相互接続ユニット１００２は、１つまたは複数のコア１０２Ａ〜１０２Ｎ、キャッシュユニット６０４Ａ〜６０４Ｎ、および共有キャッシュユニット６０６のセットを含むアプリケーションプロセッサ１０１０、システムエージェントユニット６１０、バスコントローラユニット６１６、統合メモリコントローラユニット６１４、統合グラフィックスロジック、画像プロセッサ、オーディオプロセッサ、およびビデオプロセッサを含み得るセットまたは１つまたは複数のコプロセッサ１０２０、スタティックランダムアクセスメモリ（ＳＲＡＭ）ユニット１０３０、ダイレクトメモリアクセス（ＤＭＡ）ユニット１０３２、１つまたは複数の外部ディスプレイに結合するためのディスプレイユニット１０４０、に結合されている。一実施形態では、コプロセッサ１０２０は、たとえば、ネットワークまたは通信プロセッサ、圧縮エンジン、ＧＰＧＰＵ、ハイスループットＭＩＣプロセッサ、組み込みプロセッサなどのような特殊目的プロセッサを含む。

本明細書に開示されるメカニズムの実施形態は、ハードウェア、ソフトウェア、ファームウェア、またはそのような実装アプローチの組み合わせで実装され得る。本発明の実施形態は、少なくとも１つのプロセッサ、記憶システム（揮発性および不揮発性メモリおよび／または記憶要素を含む）、少なくとも１つの入力デバイス、および少なくとも１つの出力デバイスを含むプログラム可能なシステム上で実行されるコンピュータプログラムまたはプログラムコードとして実装され得る。

図８に示されるコード８３０などのプログラムコードは、本明細書で説明される機能を実行し、出力情報を生成するための入力命令に適用され得る。出力情報は、既知の方法で１つまたは複数の出力デバイスに適用することができる。このアプリケーションの目的のために、処理システムは、たとえば、デジタルシグナルプロセッサ（ＤＳＰ）、マイクロコントローラ、特定用途向け集積回路（ＡＳＩＣ）、またはマイクロプロセッサのようなプロセッサを有する任意のシステムを含む。

プログラムコードは、処理システムと通信するために、高レベルの手続き型またはオブジェクト指向プログラミング言語で実装することができる。プログラムコードは、必要に応じて、アセンブリ言語または機械語で実装することもできる。実際、ここで説明するメカニズムは、特定のプログラミング言語に範囲が限定されていない。いずれの場合も、言語はコンパイル済みまたはインタープリタ型言語である可能性がある。

少なくとも１つの実施形態の１つまたは複数の態様は、プロセッサ内のさまざまなロジックを表す機械可読媒体に格納された代表的な命令によって実装され得、機械によって読み取られると、機械は、本明細書に記載の技術を実行するロジックを製造する。「ＩＰコア」として知られるこのような表現は、有形の機械可読媒体に格納され、さまざまな顧客または製造施設に供給されて、実際にロジックまたはプロセッサを製造する製造機械にロードされる。

このような機械可読記憶媒体には、ハードディスクなどの記憶媒体、フロッピーディスク、光ディスク、コンパクトディスク読み取り専用メモリ（ＣＤ−ＲＯＭ）、コンパクトディスク書き換え可能（ＣＤ−ＲＷ）、および磁気光学ディスクを含む他のタイプのディスク、読み取り専用メモリ（ＲＯＭ）などの半導体デバイス、ダイナミックランダムアクセスメモリ（ＤＲＡＭ）などのランダムアクセスメモリ（ＲＡＭ）、スタティックランダムアクセスメモリ（ＳＲＡＭ）、消去可能プログラマブル読み取り専用メモリ（ＥＰＲＯＭ）、フラッシュメモリ、電気的消去可能プログラマブル読み取り専用メモリ（ＥＥＰＲＯＭ）、位相変化メモリ（ＰＣＭ）、磁気カードまたは光学カード、またはその他電子命令を格納するのに適した他のタイプの媒体を含む、機械またはデバイスによって製造または形成された物品の非一時的で有形の配置が含まれ得るが、これらに限定されない。

したがって、本発明の実施形態は、本明細書に記載の構造、回路、装置、プロセッサ、および／またはシステム機能を定義する、命令を含むか、またはハードウェア記述言語（ＨＤＬ）などの設計データを含む、非一時的で有形の機械可読媒体も含む。このような実施形態は、プログラム製品と呼ばれることもある。

エミュレーション（バイナリ変換、コードモーフィングなどを含む）

場合によっては、命令変換器を使用して、命令をソース命令セットからターゲット命令セットに変換することができる。たとえば、命令変換器は、（たとえば、静的バイナリ変換、動的コンパイルを含む動的バイナリ変換を使用して）変換、変形、エミュレート、またはコアによって処理される１つまたは複数の他の命令に命令を変換することができる。命令変換器は、ソフトウェア、ハードウェア、ファームウェア、またはそれらの組み合わせで実装することができる。命令変換器は、オンプロセッサ、オフプロセッサ、または一部オンおよび一部オフプロセッサであり得る。

図１１は、本発明の実施形態による、ソース命令セット内のバイナリ命令をターゲット命令セット内のバイナリ命令に変換するためのソフトウェア命令変換器の使用を対比するブロック図である。図示の実施形態では、命令変換器はソフトウェア命令変換器であるが、代替として、命令変換器は、ソフトウェア、ファームウェア、ハードウェア、またはそれらのさまざまな組み合わせで実装され得る。図１１は、高レベル言語１１０２のプログラムが、第１のコンパイラ１１０４を使用してコンパイルされて、少なくとも１つの第１の命令セットコア１１１６を有するプロセッサによってネイティブに実行され得る第１のバイナリコード（たとえば、ｘ８６）１１０６を生成し得ることを示す。いくつかの実施形態では、少なくとも１つの第１の命令セットコア１１１６を備えたプロセッサは、（１）の実質的な部分を互換的に実行または処理することによって、少なくとも１つのｘ８６命令セットコアを備えたインテルプロセッサと実質的に同じ機能を実行できる任意のプロセッサを表す。インテルプロセッサと実質的に同じ結果を達成するために、インテルｘ８６命令セットコアの命令セットまたは（２）少なくとも１つのｘ８６命令セットコアを備えたインテルプロセッサで実行することを目的としたアプリケーションまたはその他のソフトウェアのオブジェクトコードバージョン少なくとも１つのｘ８６命令セットコアを備えている。第１のコンパイラ１１０４は、追加のリンケージ処理の有無にかかわらず、少なくとも１つの第１の命令セットコア１１１６を備えたプロセッサ上で実行できる第１の命令セットのバイナリコード１１０６（たとえば、オブジェクトコード）を生成するように動作可能なコンパイラを表す。同様に、図１１は、高レベル言語１１０２のプログラムが、代替命令セットコンパイラ１１０８を使用してコンパイルされて、少なくとも１つの第１の命令セットコア１１１４（たとえば、カリフォルニア州サニーベールのＭＩＰＳテクノロジーのＭＩＰＳ命令セットを実行するコアおよび／またはカリフォルニア州サニーベールのＡＲＭホールディングスのＡＲＭ命令セットを実行するコアを備えたプロセッサ）なしでプロセッサによってネイティブに実行され得る代替命令セットバイナリコード１１１０を生成し得ることを示す。命令変換器１１１２は、第１のバイナリコード１１０６を、第１の命令セットコア１１１４なしでプロセッサによってネイティブに実行され得るコードに変換するために使用される。この変換されたコードは、これが可能な命令変換器を作成するのが難しいため、代替の命令セットバイナリコード１１１０と同じである可能性は低い。ただし、変換されたコードは一般的な操作を実行し、代替命令セットからの命令で構成される。したがって、命令変換器１１１２は、エミュレーション、シミュレーション、または他の任意のプロセスを通じて、第１の命令セットプロセッサまたはコアを持たないプロセッサまたは他の電子デバイスが第１のバイナリコード１１０６を実行することを可能にするソフトウェア、ファームウェア、ハードウェア、またはそれらの組み合わせを表す。

シャドウスタックを効率的に管理および処理するための装置および方法

本発明の一実施形態は、トークンメカニズムの基礎となるセキュリティ特性を保持しながら、シャドウスタックポインタ（ＳＳＰ）を妥当性確認するために使用されるトークンの検証のためのアトミック操作を回避する技術を実装する。さらに、特定の実施形態は、効率的なトークン検証アーキテクチャをサポートするための仮想化拡張を含む。

多くの場合、ｘ８６アーキテクチャなどの命令セットアーキテクチャ（ＩＳＡ）は、命令を実行できる複数の特権レベルを提供する。特権レベルは、信頼性の低いエンティティによる直接アクセスからリソースを保護することにより、ハードウェアプラットフォームに関連付けられたオペレーティングシステム（たとえば、カーネル）の信頼性を向上させるために使用される。いくつかの実施形態では、これらの特権レベルは、最も信頼できる特権レベルであるリング０（たとえば、スーパーバイザモード）から、リング３、または非特権レベル（たとえば、アプリケーションまたはユーザモード）までの範囲である。各特権レベルでは、新しい特権レベルへのリング遷移時に後で使用できるように、いくつかのリソースを事前に割り当てて保存する必要がある。

プロセッサの現在の特権レベルが命令の実行を制御する。プロセッサは、現在の特権レベルを変更して、アプリケーションによるシステムレジスタ、システム命令、指定されたシステムメモリ領域などのシステムリソースへのアクセスを制御できる。アプリケーションを実行する際に、プロセッサは、実行された命令の制御フローを指示するために、データ（たとえば、パラメータおよびサブルーチンに渡される他のデータなど）および制御情報の両方を格納するデータスタックを利用する。通常、制御情報には、呼び出された手順が完了したときに制御フローが戻る１つまたは複数のリターンアドレスが含まれる。

リターン指向プログラミング（Ｒｅｔｕｒｎ−Ｏｒｉｅｎｔｅｄ Ｐｒｏｇｒａｍｍｉｎｇ：ＲＯＰ）攻撃では、攻撃者はデータスタックの制御を取得して、プログラムの制御フローを乗っ取ろうとする。たとえば、攻撃者は、データスタックに格納されている手順のリターンアドレスの不正なスタック変更を実行する可能性がある。不正なスタック変更は、現在のプロセスの制御フローを任意のメモリ位置に迂回させて、ハッキングの目標を推進するために使用される。データスタックをＲＯＰやその他のタイプの制御フロー転覆攻撃に対してより脆弱にする１つの要因は、スタックが一般にデータと制御情報の両方を格納するため、データスタックをソフトウェアで書き込み可能にする必要があることである。データスタックをこのような攻撃に対してより脆弱にする他の要因は、データスタックの切り替えが一般に非特権操作として実行されることである。

一部のイベント（たとえば、割り込み／例外）に応答して、プロセッサは、そのイベントを処理するために必要なリソースにアクセスするために、非特権ユーザレベルで実行される一連の命令の制御をスーパーバイザ特権レベルに移す場合がある。上記のこれらの要因は、スタックポインタおよび／または制御フロー情報（たとえば、リターンアドレス）の変更（たとえば、マルウェア／攻撃者の制御メモリを指す）を可能にする悪用されたバグのために、制御フロー破壊攻撃へのシステムの露出を増加させる傾向がある。

本発明の実施形態は、特権転送に対する制御フロー破壊攻撃からスタックを保護するための技術を含む。一実施形態では、データスタック上の制御情報を改ざんの試みから保護するために、いくつかの「シャドウ」スタックが提供される。本明細書で使用される場合、シャドウスタックは、データスタックとは別の第２のスタックであり、制御転送操作で使用されるデータスタックからの情報を格納および保護するために使用される。たとえば、シャドウスタックは、制御情報を格納できるが、データは格納できない（たとえば、ユーザレベルのアプリケーションプログラムが書き込みおよび変更するスタックに格納されているタイプのパラメータやその他のデータは格納できない）。

いくつかの実施形態では、シャドウスタックは、制御転送操作とフロー（たとえば、割り込み／例外配信）を実行する「ＣＡＬＬ」（データスタックを使用するメカニズムを呼び出す手順の例である）および「ＦＡＲ ＣＡＬＬ」（マイクロ分岐およびマクロ分岐ジャンプ命令の両方を実装する分岐命令の例である）などの特定の命令によってのみ書き込むことができる。このような状況では、シャドウスタックは、１回の操作で複数のバイトを転送する「ＭＯＶ」や文脈状態をメモリに格納するために使用される「ＸＳＡＶＥ」など、他の命令を介して他のソフトウェア開始ストアで書き込むことができない場合がある。文脈状態をメモリからプロセッサのレジスタに復元する。この書き込み保護は、ページテーブルのシャドウスタックに使用されるメモリをシャドウスタックメモリとしてマークし、「ＭＯＶ」、「ＸＳＡＶＥ」などの命令を使用してソフトウェアによって開始されたストアが完了せず、障害が発生しないようにすることで実現される。同様に、「ＣＡＬＬ」などの命令は、シャドウスタックメモリを対象としたストア命令を生成するときに、ストアが実行されるメモリがページテーブルでシャドウスタックメモリとしてマークされている場合にのみ完了するように、特定のストア操作を使用する。そうしないと、障害が発生する。

いくつかの実施形態では、シャドウスタックは、任意選択で、非特権ユーザレベルモード（たとえば、リング３特権レベル）または特権またはスーパーバイザ特権レベルモード（リング０、リング１、またはリング２の特権レベル）で個別に動作するように構成され得る。ソース特権レベルから新しい特権レベルへの特権スイッチでのシャドウスタックの切り替えをサポートするために、１つの実装には各特権レベルに関連付けられたレジスタが含まれている。

いくつかの実施形態では、システムソフトウェア（たとえば、システムカーネルまたはオペレーティングシステム）は、シャドウスタックポインタ（ＳＳＰ）を各特権レベルで１つまたは複数のレジスタにロードする。次に、プロセッサは、新しい特権レベルに関連付けられたレジスタを介してＳＳＰにアクセスし、その特権レベルのシャドウスタックを識別する。動作中、プロセッサが新しい特権レベルのＳＳＰを選択すると、プロセッサは新しいレベルでプロセッサが使用するＳＳＰを妥当性確認／検証する。妥当性確認が成功すると、プロセッサはシャドウスタックを新しい特権レベルでビジーとして設定し、ソース特権レベルのリターンアドレス情報をシャドウスタックにプッシュする。その後、本開示の実施形態は、シャドウスタックがビジーではないとマークされる前に、プロセッサがソース特権レベルに戻る遷移が検証されることを保証する。この検証には、シャドウスタックにプッシュされたソース特権レベルのリターンアドレスが、データスタックに関連付けられている現在のアドレスと一致することの確認が含まれる。この検証を実行するために、プロセッサは特定のロード操作（たとえば、「ｓｈａｄｏｗＳｔａｃｋＰｏｐ」またはシャドウスタックセマンティクスを使用したロード）を使用して、ロード操作がページテーブルでシャドウスタックメモリとしてマークされたメモリに対して行われない場合、このロードは完了されない（たとえば、障害状態を生成する）。したがって、シャドウスタックポインタを非シャドウスタックメモリに向けようとする試みはすべて検出され、防止される。

他の実施形態では、本明細書に記載の技術は、たとえば、割り込み／例外配信の一部として、またはソース特権レベルの現在のタスクから新しい特権レベルの新しいタスクへのタスク切り替えの一部としてシャドウスタック切り替えを保護するために使用され得、シャドウスタックを使用して高速システムコール（たとえば、ユーザモードの特権をハードウェア権限を完全に制御するモードに移行）を実行し、特権の低いプロセスからの攻撃など、クロススレッド攻撃からシャドウスタックを保護し、より特権的なプロセス、およびリング遷移中のシャドウスタックを、攻撃者が採用した他のタイプの不正なスタック変更から保護する。

図１２は、一実施形態による、リング遷移中にスタックを保護するためのプロセッサ拡張をサポートするための処理デバイスのブロック図を示す。処理デバイスは、一般に「プロセッサ」または「ＣＰＵ」と呼ばれることがある。ここでの「プロセッサ」または「ＣＰＵ」とは、算術演算、論理演算、またはＩ／Ｏ演算を符号化する命令を実行できるデバイスを指す。一例では、プロセッサは、算術論理演算装置（ＡＬＵ）、制御装置、および複数のレジスタを含み得る。さらなる態様では、プロセッサは、１つまたは複数の処理コアを含み得、したがって、典型的には単一の命令パイプラインを処理することができるシングルコアプロセッサ、または複数の命令パイプラインを同時に処理し得るマルチコアプロセッサであり得る。別の態様では、プロセッサは、単一の集積回路、２つ以上の集積回路として実装され得るか、またはマルチチップモジュールのコンポーネントであり得る（たとえば、個々のマイクロプロセッサダイが単一の集積回路パッケージに含まれ、したがって、単一のソケットを共有する）。

図１２に示すように、処理デバイスにはさまざまなコンポーネントが含まれる場合がある。一実施形態では、処理デバイスは、示されるように互いに結合された、他のコンポーネントの中で、１つまたは複数の処理コア１２１０およびメモリコントローラユニット１２２０を含み得る。処理デバイスはまた、処理デバイス１２００のさまざまなコンポーネント間のポイントツーポイント通信に使用され得る通信コンポーネント（図示せず）を含み得る。処理デバイスは、デスクトップコンピュータ、タブレットコンピュータ、ラップトップコンピュータ、ネットブック、ノートブックコンピュータ、パーソナルデジタルアシスタント（ＰＤＡ）、サーバ、ワークステーション、携帯電話、モバイルコンピューティングデバイス、スマートフォン、インターネットアプライアンス、またはその他の種類のコンピューティングデバイスを含むがこれらに限定されないコンピューティングシステム（図示せず）で使用することができる。別の実施形態では、処理デバイスは、システムオンチップ（ＳｏＣ）システムで使用することができる。一実施形態では、ＳｏＣは、処理デバイスおよびメモリを含み得る。そのようなシステムの１つのメモリはＤＲＡＭメモリである。ＤＲＡＭメモリは、プロセッサや他のシステムコンポーネントと同じチップ上に配置できる。さらに、メモリコントローラやグラフィックスコントローラなどの他のロジックブロックもチップ上に配置できる。

処理コア１２１０は、処理デバイス１２００のための命令を実行することができる。命令は、命令をフェッチするためのプリフェッチロジック、命令を復号するための復号ロジック、命令を実行するための実行ロジックなどを含み得るが、これらに限定されない。コンピューティングシステムは、カリフォルニア州サンタクララのインテル（登録商標）コーポレーションから入手可能なインテルｘ８６ファミリーのプロセッサおよび／またはマイクロプロセッサ（たとえば、インテルＣｏｒｅ ｉ５、ｉ７プロセッサなど）に基づく処理システムを代表する場合があるが、他のマイクロプロセッサ、エンジニアリングワークステーション、セットトップボックスなどを有するコンピューティングデバイスを含む他のシステムも使用することができる。一実施形態では、サンプルコンピューティングシステムは、オペレーティングシステム、組み込みソフトウェア、および／またはグラフィカルユーザインターフェースのバージョンを実行することができる。したがって、本開示の実施形態は、ハードウェア回路とソフトウェアの特定の組み合わせに限定されない。

例示的な例では、処理コア１２１０は、プロセッサロジックおよび回路を含むマイクロアーキテクチャを有し得る。異なるマイクロアーキテクチャを備えたプロセッサコアは、共通の命令セットの少なくとも一部を共有できる。たとえば、同様のレジスタアーキテクチャは、専用の物理レジスタ、レジスタリネーミングメカニズム（たとえば、レジスタエイリアステーブル（ＲＡＴ）、リオーダバッファ（ＲＯＢ）およびリタイアメントレジスタファイルの使用）を使用して動的に割り当てられた１つまたは複数の物理レジスタなど、さまざまな手法を使用して、さまざまなマイクロアーキテクチャでさまざまな方法で実装できる。

メモリコントローラ１２２０は、処理デバイスが、揮発性メモリおよび／または不揮発性メモリを含むメモリ（図示せず）にアクセスして通信することを可能にする機能を実行することができる。いくつかの実施形態では、メモリコントローラ１２２０は、処理デバイス１２００に関連するプロセッサダイ上に配置され得、一方、メモリは、プロセッサダイから離れて配置される。いくつかの実施形態では、処理デバイスは、命令および／またはデータをキャッシュするためのキャッシュユニット１２３０を含む。キャッシュユニット１２３０は、レベル１（Ｌ１）１２３２、レベル２（Ｌ２）１２３４、およびラストレベルキャッシュ（ＬＬＣ）１２３６、または処理デバイス１２００内のキャッシュメモリの他の構成を含むが、これらに限定されない。いくつかの実施形態では、Ｌ１キャッシュ１２３２およびＬ２キャッシュ１２３４は、ＬＬＣ １２３６との間でデータを転送することができる。一実施形態では、メモリコントローラ１２２０をＬＬＣ １２３６に接続して、キャッシュユニット１２３０とメモリとの間でデータを転送することができる。示されるように、キャッシュユニット１２３０は、処理コア１２１０に統合することができる。キャッシュユニット１２３０は、処理デバイス１２００の１つまたは複数のコンポーネントによって利用されるデータ（たとえば、命令を含む）を格納することができる。

いくつかの実施形態では、処理デバイスは、１つまたは複数のユーザレベルのアプリケーション１２４０（たとえば、ユーザレベルのマルチスレッドアプリケーション）を実行することができる。そのようなユーザレベルのアプリケーション１２４０は、処理デバイス１２００にインストールされたシステムソフトウェア（図示せず）によって実行され得る。システムソフトウェアの例には、１つまたは複数のオペレーティングシステム、仮想マシンモニタ（ＶＭＭ）、ハイパーバイザなど、およびそれらの組み合わせが含まれるが、これらに限定されない。ユーザレベルのアプリケーション１２４０は、命令（たとえば、命令１２５０）を使用して、本明細書に開示されるように処理デバイスを制御することができる。命令１２５０は、実行のために処理コア１２１０に提供されるマクロ命令、アセンブリ言語命令、またはマシンレベル命令を表すことができる。

いくつかの実施形態では、処理コア１２１０は、命令１２５０によって指定されるように、呼び出し手順命令１２５２の実施形態および手順命令１２５４からの復帰の実施形態を実行するように動作可能である。呼び出し手順命令１２５２は、しばしば単に呼び出し命令と呼ばれ、手順命令１２５４からの復帰は、しばしば単にリターン命令と呼ばれる。呼び出しおよびリターン命令は、処理デバイスが特定の特権レベルで実行するための特定の命令セットの命令または制御信号を表すことができる。動作中、処理コア１２１０は、呼び出し命令１２５２を受信することができる。たとえば、呼び出し命令１２５２は、サブルーチン、ルーチン、割り込みハンドラなどを呼び出しているユーザレベルのアプリケーション１２４０に関連する呼び出し手順から受信され得る。いくつかの実施形態では、リターン命令１２５４のアドレスは、関数または手順が呼び出されたときに、メモリに格納されたデータスタックにプッシュされ得る。

呼び出し命令１２５２が処理デバイス１２００の現在の特権レベルの変更を引き起こす場合、処理デバイスは、現在のスタックから新しい特権レベルのために定義されたスタックへのスタック切り替えを実行する。たとえば、呼び出し命令１２５２は、処理デバイスに現在の特権レベルを変更させて、現在の特権レベルではアクセスできない特定のシステムリソースにアクセスさせることができる。いくつかの実施形態では、メモリに格納された１つまたは複数のシャドウスタックを使用して、データスタックを改ざんから保護するのを助け、および／またはコンピュータのセキュリティを高めるのを助ける。シャドウスタックに格納された情報は、リターン命令１２５４に関連するリターンアドレス関連情報（たとえば、実際のリターンアドレス、リターンアドレスを妥当性確認／検証するための情報、他のリターンアドレス情報）を表すことができる。

特定の特権レベルの現在のシャドウスタックを識別するために、処理デバイスは、各レジスタが特定の特権レベルに関連付けられているいくつかのシャドウスタックレジスタ１２７０を含む。例示的な例として、処理デバイスは、ＩＡ３２＿ＰＬｘ＿ＳＳＰと呼ばれる４つのレジスタを含むことができ、ｘは、特権レベル（たとえば、０、１、２、または３）を表す。いくつかの実施形態では、シャドウスタックレジスタ１２７０は、モデル固有レジスタ（ＭＳＲ）または汎用レジスタ（ＧＰＲ）であり得る。他の実施形態では、本明細書に記載のようにデータを格納および提供することができる限り、さまざまなタイプの構造をレジスタ１２７０として使用することができる。

処理デバイス１２００の起動時に、デバイスに関連するシステムソフトウェアは、スタックポインタ（ＳＳＰ）１２７５をシャドウスタックレジスタ１２７０のそれぞれにプログラムすることができる。スタックポインタ（ＳＳＰ）１２７５は、レジスタによって識別される特権レベルの特定のシャドウスタックを識別するように動作する。たとえば、ＳＳＰ １２７５は、シャドウスタックの最上部を指すメモリ内の線形アドレスである場合がある。一実施形態では、処理デバイスは、リング遷移中にシャドウスタックレジスタ１２７０を介してシャドウスタックへのアクセスを制御するためのシャドウスタック保護ロジック１２８０を含むことができる。

シャドウスタック保護ロジック１２８０は、このロードまたはストアが実行されるアドレスがページテーブルでシャドウスタックタイプとしてマークされていない場合、シャドウスタックを対象としたロードおよびストアが障害状態を生成するように強制することもできる。このシャドウスタック保護ロジック１２８０は、「ＭＯＶ」や「ＸＳＡＶＥ」などの命令を介してソフトウェアが開始したストアによるシャドウスタックメモリへのストアを防ぐこともできる。いくつかの実施形態では、シャドウスタック保護ロジック１２８０はまた、オプションの構成可能なシャドウスタックモード１２８５を含み得る。シャドウスタックモード１２８５は、処理デバイス１２００によるシャドウスタックの使用を交互に有効化および無効化するように構成されたビットインジケータであり得る。あるいは、シャドウスタックは、任意選択で常に有効にされ得、シャドウスタックモード１２８５は、任意選択で省略され得る。あるいは、各特権レベルに対応するシャドウスタックモードが存在する場合がある。

図１３は、一実施形態による、リング遷移中にスタックを保護するためのプロセッサ拡張をサポートするためのメモリ１３０１を含むシステム１３００を示している。この例では、メモリ１３０１は、データスタック１３０３などの１つまたは複数のデータスタックを格納する。データスタックは、コールスタック、データスタック、または単にスタックと呼ばれることもある。データスタック１３０３は、実行された命令の制御フローを指示するために、データ１３０５と制御情報１３０７の両方を格納するように動作するスタックタイプのデータ構造を表すことができる。通常、処理デバイス１２００に関連付けられた特権レベルごとにデータスタック１３０３が存在する。したがって、処理デバイスは、特権レベルを切り替えると、本開示で説明するように、シャドウスタックの場合と同様にデータスタック１３０３も切り替える。各データスタックのデータ１３０５は、データスタック１３０１にプッシュすることができる多種多様な異なるタイプのデータ（たとえば、サブルーチンに渡されるパラメータおよび他のデータなど）のいずれかを表すことができる。一般に、制御情報１３０７は、１つまたは複数の以前に実行された手順コールのための１つまたは複数のリターンアドレスを含み得る。これらのリターンアドレスは、呼び出された手順が終了して戻ったときに、呼び出された手順が制御フローを返す命令アドレスを表す場合がある。

図１３に示されるように、メモリ１３０１はまた、複数のシャドウスタック１３０９を含む。シャドウスタック１３０９は、特定のタイプの制御フロー攻撃からデータスタック１３０３を保護するのを助けるために使用される。シャドウスタック１３０９は、データスタック１３０３とは別個の追加のスタックタイプのデータ構造を表すことができる。いくつかの実施形態では、シャドウスタック１３０９を使用して、実行された命令の制御情報１３０７に関連する情報を格納することができるが、データ１３０５には格納しない。一例示的な例では、シャドウスタック１３０９は、実行されているメモリ１３０１内のコードセグメントを特定するＣＳ １３４０などのコードセグメント（ＣＳ）記述子と、データスタック１３０３内の命令および他の情報に関連するリターンアドレスを識別するＥＩＰ １３５０などの命令ポインタ（ＥＩＰ）を格納することができる。いくつかの実施形態では、シャドウスタックを作成するために使用されるメモリは、ページテーブル内でシャドウスタックメモリタイプであるとマークされ得、その結果、シャドウスタックタイプのメモリではない場合、シャドウスタック障害にロードおよび格納される。同様に、シャドウスタック障害を意図していないストアは、シャドウスタックメモリとしてマークされたメモリに対して作成された場合、失敗する。

システム１３００は、複数のシャドウスタック１３０９を含むことができるが、一度に１つのシャドウスタックのみが、現在のシャドウスタック１３１０として選択され得る。この点に関して、シャドウスタック１３０９は、非特権ユーザレベルモード（たとえば、リング３特権レベル）または特権またはスーパーバイザ特権レベルモード（リング０、リング１、またはリング２特権レベル）で個別に動作することができる。いくつかの実施形態では、シャドウスタック１３０９のそれぞれは、シャドウスタックの最上部を識別するように動作するＳＳＰ １３２０などのシャドウスタックポインタ（ＳＳＰ）を含む。たとえば、ＳＳＰ １３２０は、現在のシャドウスタックの最上部を指すメモリ１３０１内の線形アドレスであり得る。上記のように、ＳＳＰ １３２０は、特定の特権レベルに関連付けられたシャドウスタックレジスタ１２７０の１つに格納され得る。

示されるように、システム１３００はまた、図１２からの処理デバイスを含み得る。いくつかの実施形態では、処理デバイスは、システム１３００におけるアプリケーションの実行を制御する現在の特権レベルを有し得る。特定の状況では、処理デバイスは、システム１３００のリソースへのアプリケーションのアクセス可能性を制御するために、その現在の特権レベルを新しい特権レベルに変更することができる。たとえば、処理デバイスは、呼び出された手順、割り込み／例外ハンドラなどの特定の型の演算に応答して、または他の型の演算に応答して、現在の特権レベルを変更する場合がある。いくつかの実施形態では、処理デバイスは、特権レベルの移行中にスタックを保護するために、シャドウスタック保護ロジック１２８０を使用することができる。

特権レベル移行の一例では、処理デバイスは、ユーザモード（たとえば、ＣＰＬ３）の現在の特権レベル（ＣＰＬ）から、スーパーバイザモード（たとえば、ＣＰＬ＜３）の新しい特権レベルに移行することができる。このタイプの特権レベルの移行は、たとえば、より高い特権レベルの変更を要求するコールゲートを介した呼び出しによって、または割り込み／例外ハンドラを呼び出すことによって開始できる。ユーザモードからスーパーバイザモードへの特権レベルの移行に応答して、処理デバイスは、シャドウスタック１３０９が新しい特権レベルで処理デバイスに対して有効にされているかどうかをチェックする。たとえば、処理デバイスは、シャドウスタックモード１２８５インジケータの設定をチェックして、シャドウスタック１３０９が有効であるか無効であるかを決定することができる。シャドウスタック１３０９が有効である場合、ユーザモードに関連付けられた現在のＳＳＰは、シャドウスタックレジスタ１２７０の１つに保存される。次に、新しいシャドウスタック１３１０は、新しい特権レベルに関連付けられたレジスタに格納されたＳＳＰ １３２０などのＳＳＰを使用して、スーパーバイザモード用に確立される。いくつかの実施形態では、ユーザモードＳＳＰは、シャドウスタックレジスタに保存され、その結果、スーパーバイザモードの処理デバイスは、再びユーザモードに戻る前に、スタックおよび他のタイプのエントリを削除するためにシャドウスタックを巻き戻す、および他の種類の修正を行うなど、必要に応じてユーザモードＳＳＰを変更できる。

処理デバイスが新しい特権レベルに関連付けられたレジスタからＳＳＰ ２２０を取得すると、処理デバイスは、ビジー検証および設定ロジック１３２５など、シャドウスタック保護ロジック１２８０の特定のロジックを使用して、レジスタにプログラムされたＳＳＰを検証するためのいくつかのチェックを自動的に実行する。自動チェックには、レジスタにプログラムされたＳＳＰ １３２０がスーパーバイザシャドウスタック（たとえば、シャドウスタック１３１０）の最上部を指していることの検証が含まれるが、これに限定されない。ＳＳＰ １３２０によって識別されたシャドウスタックは、処理デバイスに関連付けられているプラットフォームハードウェアの現在のモード用に使用され、そのシャドウスタックは他のプロセススレッドにロードされない。これらのチェックは、攻撃者が２つの異なるプロセッサスレッドのレジスタを同じシャドウスタックにポイントして、第２のプロセッサで呼び出しを行うことにより、１つのプロセッサで消費されるリターンアドレスを操作するクロススレッドなど、特定の攻撃を防ぐために使用できる。

ＳＳＰ １３２０を検証するためのチェックを実行するために、処理デバイスのシステムソフトウェア（たとえば、カーネルまたはＯＳ）は、ＳＳＰによって指し示されるシャドウスタック１３１０の最上部にあるトークン１３３０を識別する。いくつかの実施形態では、処理デバイスは、ＳＳＰ １３２０によって指定されたアドレスから（たとえば、８バイトの）トークン１３３０を（たとえば、原子的に）ロードすることができる。一実施形態では、トークン１３３０のロードは、トークンおよび／または場所（たとえば、キャッシュライン）をロックして、トークンが別のプロセッサコアまたは処理デバイスによってコピーまたは変更されるのを防ぐ。一実施形態では、トークンのロードは、特定のシャドウスタック操作を使用して処理デバイスによって行われ、ロードまたはストアが実行されるアドレスがページテーブルでシャドウスタックメモリとしてマークされたメモリでない場合、それは障害を引き起こす。

トークン１３３０は、レジスタにプログラムされたＳＳＰ １３２０を検証するために使用される複数のビットを含む。いくつかの実施形態では、処理デバイスは、複数のビットを分析して、トークン１３３０の線形アドレスを表すセットビット、値（たとえば、１または０）に設定されたトークンの決定されたビットであり得るビジーインジケータ、シャドウスタック１３１０がすでに任意の論理プロセッサにロードされているかどうか、シャドウスタック１３１０が特定のビットモード（たとえば、３２ビットまたは６４ビット）で使用されるかどうかを示す値（たとえば、１または０）に設定されたトークンの別の決定されたビットであり得るフラグインジケータ、およびその他の関連情報を識別する。

検証ロジック１３２５に従って、処理デバイスは、シャドウスタック１３１０がどの論理プロセッサにもまだロードされていないことを示すビジーインジケータが設定されていない（たとえば、０）ことをチェックする。処理デバイスはまた、システム１３００のハードウェアプラットフォームが、フラグインジケータによって表されるビットモードと一致するモードで動作していることをチェックする。たとえば、フラグインジケータに基づいて、フラグ処理デバイスは、シャドウスタック１３１０が３２ビットまたは６４ビットのマシンで使用するためのものであると決定することができる。次に、処理デバイスは、たとえば、ハードウェアプラットフォームに関連付けられたプラットフォームレジスタをチェックして、プラットフォームが対応する動作モード（たとえば、３２ビットまたは６４ビット）にあることを検証することができる。処理デバイスはまた、トークン１３３０に記録された線形アドレスがＳＳＰ １３２０の線形アドレスと一致することをチェックする。

線形アドレスを照合するこのチェックは、トークン１３３０を初期化するためにシステムソフトウェアによって作成されたとき以外はシャドウスタック上の８バイトの場所の線形アドレスがシャドウスタック上のそれらの８バイトのコンテンツに表示されないため、レジスタ１２７０が有効なシャドウスタックの最上部を指していることを検証する。したがって、トークン１３３０は、レジスタ１２７０に格納されたシャドウスタックポインタが有効なシャドウスタックの最上部を指していることを示すインジケータを形成する。いくつかの実施形態では、処理デバイスは、処理デバイスが３２ビットまたは６４ビットの動作モードにあるかどうかに応じて、シャドウスタックが４バイトまたは８バイトに整列されることを強制し、したがって、シャドウスタックポインタ１３２０の下位２ビットは常に０であり、ビジーインジケータとトークン１３３０のフラグを保存するために使用できる。上記のすべてのチェックの結果が正しい表示である場合、トークンのビジーインジケータを値（たとえば、１）に設定して、ＳＳＰ １３２０が指すシャドウスタックが新しい特権レベルで使用されていることを示すことができる。これらのチェックが実行されている間、トークン１３３０を含むメモリ位置（たとえば、キャッシュライン）は、それを変更できないように（たとえば、別の論理プロセッサによってビジーに設定される）、処理デバイスによってロックされることに留意されたい。ビジービットを設定した後、プロセッサはこのメモリ位置のロックを解除する。トークンをロックした状態でこれらのチェック操作を実行すると、チェック時から使用時までの問題が発生しなくなる。そうでなければ、上記のチェックのいずれかが失敗した場合、処理デバイスは、たとえば、処理デバイス１２００に関連付けられたオペレーティングシステムに送信することができる障害またはアラートを生成する可能性がある。いくつかの実施形態では、障害が生成された場合、トークン１３３０を含むメモリ位置のロックは、位置のコンテンツを変更することなく解放される。

ＣＰＬ ０／１／２→ＣＰＬ ３モード遷移など、スーパーバイザモードからユーザモード特権レベルに戻る際、処理デバイスは、ビジー検証およびクリアロジック１３３５など、特定のロジックを使用していくつかのチェックを実行する。このタイプの特権レベル移行は、たとえば、割り込みリターン（ＩＲＥＴ）命令、または実行される次のアドレスをＣＰＵの命令ポインタまたは他のタイプのリターン命令にシフトする「ＦＡＲ ＲＥＴ」命令によって開始できる。

ユーザモード特権レベルへの復帰移行の一部として、ビジー検証およびクリアロジック１３３５によって指示された処理デバイスは、ＳＳＰ １３２０が８バイトに整列されたアドレスを指している場合、トークン１３３０内のビジーインジケータが設定されているかどうか、およびトークンに記録された線形アドレスがＳＳＰ １３２０のアドレスと一致するかどうかをチェックする。上記のチェックのすべてが正しい表示をもたらす場合、処理デバイスは、トークン１３３０内のビジーインジケータをクリアすることによって、トークン１３３０を「空き」としてマークする。トークンは、ロックされたロードを使用してＳＳＰ １３２０が指すメモリアドレスからロードされるため、場所（たとえば、キャッシュライン）はその後の変更からロックされることに注意されたい。検証が成功すると、ビジービットがクリアされ、ロックが解除される。検証が成功しなかった場合、その場所のコンテンツを変更せずにロックが解除される。その後、処理デバイスは、その特権レベルに関連付けられた適切なシャドウスタックレジスタ１２７０からユーザモードのＳＳＰを検索する。そうでなければ、処理デバイスは、トークン１３３０が無効であることを示す障害を生成する可能性がある。

特権レベル移行の別の例では、処理デバイスは、現在のスーパーバイザモード特権レベルから、ＣＰＬ２→ＣＰＬ１、ＣＰＬ１→ＣＰＬ０またはＣＰＬ２→ＣＰＬ０モード遷移などの新しいより高いスーパーバイザモードに遷移することができる。このタイプの特権レベルの移行は、たとえば、より高い特権レベルの変更を要求するコールゲートを介した呼び出しによって、または呼び出しと割り込み／例外ハンドラによって開始できる。そのような移行時に、処理デバイスは、そのレベルのシャドウスタックレジスタ１２７０の適切な１つから、新しい特権レベルのＳＳＰ １３２０を選択する。処理デバイスが新しい特権レベルに関連付けられたレジスタからＳＳＰ １３２０を取得すると、処理デバイスはいくつかのチェックを実行して、レジスタにプログラムされたＳＳＰを検証する。

いくつかの実施形態では、処理デバイスは、上記のようにビジー検証および設定ロジック１３２５を検使用することによってチェックを実行する。チェックが成功した場合、処理デバイスは、トークン１３３０にビジーインジケータを設定することによって、シャドウスタック１３１０をビジーとしてマークする。次に、処理デバイスは、実行中のメモリ１３０１内のコードセグメントを識別するＣＳ １３４０セレクタ（たとえば、コードセグメントセレクタ）、リターンアドレス情報を識別するＥＩＰ １３５０、および現在の特権レベルに関連付けられたＳＳＰ １３６０を新しい特権レベルのシャドウスタックにプッシュする。いくつかの実施形態では、処理デバイスは、ＥＩＰ １３５０の代わりに、新しい特権レベルのシャドウスタック上で線形命令ポインタ（ＬＩＰ）（ＥＩＰとコードセグメントベースである）をプッシュすることができる。これは、呼び出しと呼び出しからの戻りの間でコードセグメントベースを変更しようとする試みを検出するために行うことができる。

新しいスーパーバイザモードから前のスーパーバイザモードに戻ると、処理デバイスは、そのような戻りが前のコールが行われたのと同じアドレスにあることを確認する。たとえば、処理デバイスは、シャドウスタック１３１０からのＣＳ １３４０およびＥＩＰ １３５０（またはＬＩＰ）がデータスタック１３０３上の対応する値と一致することを検証する。一致する場合、処理デバイスは、ＣＳ １３４０、ＥＩＰ １３５０、およびＳＳＰ １３６０をシャドウスタック１３１０から削除またはポップして、新しい特権レベルで使用される新しいＳＳＰを確立する。いくつかの実施形態では、プッシュおよびポップ操作は、特定のシャドウスタックストアおよびロード操作を使用して行われ、その結果、操作がページテーブルでシャドウスタックメモリとしてマークされていないメモリに対するものである場合、操作は障害を引き起こす。

遷移の一部として、ビジー検証およびクリアロジック１３３５によって指示された処理デバイスは、ＳＳＰ １３２０を指すシャドウスタックのトークン１３３０内のビジーインジケータが設定されているかどうか、およびトークン１３３０に記録された線形アドレスがＳＳＰ １３２０のアドレスに一致するかどうかをチェックする。上記のチェックのすべてが正しい表示をもたらす場合、処理デバイスは、トークン１３３０内のビジーインジケータをクリアすることによって、トークン１３３０を「空き」としてマークする。

特権レベル移行のさらに別の例では、処理デバイスのユーザモードから最も信頼できる特権レベルへのモード遷移、たとえば、ＣＰＬ３→ＣＰＬ０モード遷移に基づくことができる。このタイプの特権レベルの移行は、たとえば、システムコールの一部がスタックを使用してシステムコール操作を実行しないシステムコールを呼び出すように設計されたＳＹＳＣＡＬＬやＳＹＳＥＮＴＥＲなどの特定の命令を使用して開始できる。このような移行では、処理デバイスは現在のＳＳＰをユーザモードに関連付けられたレジスタに保存し、対応するレジスタでＳＳＰを取得することにより、ＣＰＬ０特権レベルに関連付けられたシャドウスタックに切り替える。処理デバイスはシステムクリティカルな操作を実行している可能性があるため、ＳＳＰを検証しないが、シャドウスタックのセットからシャドウスタックの１つを、新しい特権レベルの現在のＳＳＰとして選択する。たとえば、このタイプの特権レベルの移行は、たとえば、スタックを使用してシステムコール操作を実行しない高速システムコールによって開始される場合がある。いくつかの実施形態では、システムコールがスタックを使用して呼び出しを行う必要がある場合、ビジー検証および設定ロジック１３２５で使用されるなど、ビジーとしてのシャドウスタックの検証およびマークを実行するために、処理デバイスによって提供される新しい命令を使用するように構成され得る。ビジー検証および設定ロジック１３２５のこの操作は、選択されているが、以前にビジーを検証および設定していないシャドウスタックで実行される。

ＣＰＬ０→ＣＰＬ３モード遷移など、最も信頼できる特権レベルから前のユーザモードに戻ると、処理デバイスは、ユーザモード特権レベルに対応するレジスタに格納されているＳＳＰにアクセスすることにより、ユーザモードシャドウスタックを復元する。このタイプの特権レベルの移行は、たとえば、システムのリターン命令または終了命令（たとえば、ＳＹＳＲＥＴまたはＳＹＳＥＸＩＴ）によって開始できる。ＣＰＬ３に戻る前に、システムコールが処理デバイスによって提供された新しい命令を使用してシャドウスタックをビジーとして検証およびマークした場合、ビジー検証およびクリアロジック１３３５で使用されるなど、処理デバイスによって補完的な命令が提供され、シャドウスタックを検証および空きとしてマークする。

図１４は、一実施形態による、割り込みまたは例外配信の一部としてスタックを切り替えるための図１３のメモリ１３０１を含むシステム１４００を示している。いくつかの実施形態では、本開示は、この割り込みまたは例外ハンドラが実行される特権レベルのシャドウスタックポインタを選択するために使用されるシャドウスタックレジスタ１２７０の代わりに、割り込みシャドウスタックポインタテーブル１４１０を使用することによって、特定の割り込みの配信および実行中にシャドウスタックスイッチを補完する技術を提供する。処理デバイス１２１０のシステムソフトウェアは、テーブル１４１０のアドレスを、割り込みＳＳＰテーブルアドレスレジスタ１４２０などのレジスタにプログラムすることができる。テーブル１４１０は、システム１３００に関して上記のようにリング遷移中に処理デバイスによって識別されるＳＳＰ １３２０を格納するために、または割り込みまたは例外が新しいシャドウスタック上で動作するように構成されている場合、リング遷移がなくてもスタックスイッチを引き起こすために使用される。この点に関して、新しいシャドウスタックの選択は、割り込み記述子テーブル（ＩＤＴ）内のその割り込み用に構成されたセレクタ１４３０を使用して、割り込みシャドウスタックテーブル１４１０内のシャドウスタックポインタの１つからである。

動作中、例外または割り込みが発生すると、処理デバイスは、そのようなイベントを処理することを目的とした特定のコードシーケンスへの制御転送で応答する場合がある。このコードシーケンスは通常、スーパーバイザモードで実行される。この特別なコードシーケンスまたはルーチンのアドレスは、発生した例外のタイプに固有のＩＤＴへのインデックスを使用して、割り込み記述子テーブル（ＩＤＴ）から処理デバイスによって取得される（たとえば、１つのインデックスが別のページフォールトはオーバーフロー例外に対応する）。このＩＤＴエントリはさらに、割り込みシャドウスタックテーブル１４１０へのインデックスを有することができ、その結果、このインデックス値がゼロ以外である場合、割り込みまたは例外を配信する特権の変更が必要でなくても、その割り込みまたは例外に対してシャドウスタック切り替えを実行しなければならないことを示す。処理デバイスは、ＩＤＴに関連付けられたインデックスを使用して、割り込みシャドウスタックポインタテーブル１４１０にインデックスを付けて、ＳＳＰ １３２０を格納するエントリを識別することができる。たとえば、割り込みシャドウスタックポインタテーブル１４１０のエントリはまた、発生した例外のタイプに固有であり得る。次に、ＳＳＰ １３２０は、割り込みに関連する新しい特権レベルで処理デバイスによって使用され得る。ＳＳＰの選択に続いて、プロセッサデバイスは、特定のロジック（たとえば、ビジー検証および設定ロジック１３２５）を呼び出して、割り込みシャドウスタックテーブル１４１０に格納されたＳＳＰ １３２０がその動作モードの有効なシャドウスタックの最上部を指すこと、およびシャドウスタックがビジーではないことを確実にする。

図１５は、一実施形態によるタスク切り替えの一部としてスタックを切り替えるための図１３のメモリ１３０１を含むシステム１５００を示している。タスク切り替え操作において、処理デバイスは、現在実行中のタスクから新しいタスクへのタスク切り替えを引き起こす制御転送命令を実行することができる。いくつかの実施形態では、タスクは、処理デバイスがディスパッチ、実行、または一時停止することができる作業単位を表すことができる。例として、タスクは、プログラム、タスクまたはプロセス、オペレーティングシステムサービスユーティリティ、割り込みまたは例外ハンドラ、またはカーネルまたは実行ユーティリティのうち１つまたは複数を実行するために使用され得る。一態様では、タスク切り替えは、呼び出し手順命令が実行されるとき、または割り込みまたは例外が発生するとき、またはその他の方法で実行され得る。

処理デバイスが現在のタスクから新しいタスクへのタスク切り替えを実行するとき、デバイスは、現在のＴＳＳ １５２０などのタスク状態セグメント（ＴＳＳ）と呼ばれる、現在のタスクに対応する現在のタスクの状態情報を、メモリ１３０１内のデータ構造に保存する。新しいタスク１５２７の状態情報は、新しいタスク１５２７に対応する別のＴＳＳ（たとえば、新しいＴＳＳ １５２５）からロードまたは検索され得る。この状態情報には、スタックおよび命令ポインタ、１２１０マップベースアドレスなどのタスク切り替えを実行するために必要な情報が含まれ得るが、これらに限定されない。

ＴＳＳは、タスクに関する情報を格納するために使用できるコンピュータ上のメモリ内のハードウェア管理データ構造を表す。たとえば、ＴＳＳは、処理デバイス１２００がスタックポインタなどのタスクスイッチを実行するために必要な情報を含む。異なるタスクの各ＴＳＳには、異なる特権レベルの異なるスタック（たとえば、制御情報とデータの両方を格納するために使用されるデータスタック）へのスタックポインタが含まれる場合がある。スタックポインタは、タスク切り替え操作によって特権レベルが変更されたときに、適切なスタックを識別するために使用される。たとえば、タスク切り替え操作は、現在の特権レベルでの現在のタスクを新しい特権レベルでの新しいタスクに切り替えることを含み得る。

いくつかの実施形態では、本明細書で説明するシャドウスタックを使用して、現在のタスクから新しいタスクへの特権レベルの移行中にデータスタックを保護することができる。上記のように、シャドウスタックは、制御転送操作で使用されるデータスタックからの情報を格納および保護する、データスタックとは別の第２のスタックである。一実施形態では、シャドウスタックポインタ１５３０などのシャドウスタック選択情報は、特定のプロセッサアーキテクチャ（たとえば、インテルコアｉ７、ｉ５、およびＸｅｏｎプロセッサ）のＴＳＳ構造に格納され得る。

図１５を参照すると、動作中の処理デバイスは、新しいタスクに関連付けられたＴＳＳ １５２０を識別することによって、現在のタスクから新しいタスクへのタスク切り替えに応答する。これに関して、タスク切り替えは、たとえば、呼び出し命令、割り込み／例外、またはその他によって開始され得る。いくつかの実施形態では、処理デバイスは、ＴＳＳ １５２０に格納されたＳＳＰ １５３０を検索する。ＳＳＰ １５３０は、新しいタスクで使用するシャドウスタック１５１０を識別する。

いくつかの実施形態では、処理デバイスは、上記のようにビジー検証および設定ロジック１３２５を使用してチェックを実行することによってＳＳＰ １５３０を検証する。チェックが成功した場合、処理デバイスは、トークン１５４０にビジーインジケータを設定することによって、シャドウスタック１３１０をビジーとしてマークする。次に、処理デバイスは、実行中の現在のタスクのコードセグメントを識別するＣＳ １５５０ポインタ、現在のタスクに関連するリターンアドレス情報を識別するＥＩＰ １５６０、および現在のタスクの現在の特権レベルに関連付けられるＳＳＰ １５７０を新しいシャドウスタックにプッシュする。

新しいタスクから前のタスクに戻ると、処理デバイスは、そのような戻りが前のタスクと同じアドレスにあることを確認する。たとえば、処理デバイスは、シャドウスタック１５１０からのＣＳ １５５０およびＥＩＰ １５６０が、前のタスクに関連するＴＳＳ内の対応する値と一致することを検証する。一致する場合、処理デバイスは、ＣＳ １５５０、ＥＩＰ １５６０、およびＳＳＰ １５７０をシャドウスタック１５１０から削除またはポップして、前のタスクで使用されている現在のＳＳＰを確立する。前のタスクへの復帰移行の一部として、ビジー検証およびクリアロジック１３３５によって指示された処理デバイスは、トークン１５４０のビジーインジケータが設定されているかどうか、およびトークン１５４０の線形アドレスがＳＳＰ １５３０のアドレスと一致するかどうかをチェックする。上記のチェックのすべてが正しい表示をもたらす場合、処理デバイスは、トークン１５４０のビジーインジケータをクリアすることによって、トークン１５４０を「空き」としてマークする。

特定のアーキテクチャは特権レベル１または２（ＣＰＬ＝＝１またはＣＰＬ＝＝２）での動作をサポートしているが、これらの特権リングは一部のオペレーティングシステムでは使用されていない。さらに、特定のアーキテクチャは、０より大きい特権レベルで動作するハンドラによる割り込み／例外配信をサポートしていない。この詳細な説明の残りの部分は、特権リング０内の相互作用に焦点を当てているが、本発明の基本原理は、特定の特権レベルでの動作に限定されない。

処理デバイスの一実施形態は、最新の６４ビットオペレーティングシステムの割り込み／例外配信アーキテクチャを大幅に高速化することを目標とする高速リターンおよびイベント配信（ＦＲＥＤ）実装をサポートする。特に、この実施形態は、割り込み記述子テーブル（ＩＤＴ）を介した配信を置き換え、それによって、イベントハンドラのコードおよびスタックセグメントセレクタおよびポインタを見つけるために必要なメモリアクセスおよび記述子テーブルの負荷を取り除く。さらに、リング１および２のイベント／例外配信の非推奨により、イベント配信マイクロコードおよび／または回路がこれらのパスを考慮する必要がないため、遅延が減少する。最後に、一実施形態は、低遅延で最適なマイクロコード実装のために、ユーザ空間およびスーパーバイザ空間に戻るための別個の命令を提供する。

一実施形態では、複数のシャドウスタックが使用される場合、所与の時間に利用可能なシャドウスタック（現在のシャドウスタック）は１つだけである。上記のように、現在のシャドウスタックの最上部へのポインタは、シャドウスタックポインタ（ＳＳＰ）１３２０に保持されている。特権スイッチでのシャドウスタックの切り替えをサポートするために、プロセッサの一実施形態には、以下のモデル固有レジスタ（ＭＳＲ）が含まれる。 １．ＩＡ３２＿ＰＬ３＿ＳＳＰ ２．ＩＡ３２＿ＦＲＥＤ＿ＳＳＰ０ ３．ＩＡ３２＿ＦＲＥＤ＿ＳＳＰ１ ４．ＩＡ３２＿ＦＲＥＤ＿ＳＳＰ２ ５．ＩＡ３２＿ＦＲＥＤ＿ＳＳＰ３ 一実施形態では、ＩＡ３２＿ＰＬ３＿ＳＳＰ ＭＳＲは、ＣＰＬ ３に移行するときに確立されるＳＳＰ値を保持する。ＩＡ３２＿ＦＲＥＤ＿ＳＳＰｉは、割り込みやイベント配信のためにＣＰＬ ０に移行するときに確立されるＳＳＰ値を保持する。

図１６は、イベント処理回路／ロジック１６９０が、割り込み／例外１６９４の優先度レベルおよび現在の特権レベル１６９６に基づいて、それぞれ、シャドウスタック１６４０〜１６４４へのポインタを有するＳＳＰ ＭＳＲ １６００〜１６０４を選択する実施形態を示す。この実施形態では、割り込みおよび例外１６９４は、０〜３の４つの優先度レベルのうちの１つに分類され、０は最低の優先度であり、３は最高の優先度である。イベントを処理する必要がある場合、イベント処理回路／ロジック１６９０は、ＳＳＰを対応するＩＡ３２＿ＦＲＥＤ＿ＳＳＰｉ ＭＳＲの値に切り替えることにより、そのレベル（「ｉ」）に設定されたスタックレベルでイベントを配信する。たとえば、優先度レベル２の割り込みまたは例外１６９４に応答して、ＦＲＥＤ ＳＳＰ２ ＭＳＲ １６０２からのシャドウスタックポインタが選択され、スーパーバイザシャドウスタックＳＳ２ １６４２が識別される（以下で説明するように、現在の特権レベル１６９６に依存する）。ただし、プロセッサが現在アクティブなスタックレベルよりも高いスタックレベルで配信されるように分類されたイベントをすでに処理している場合、プロセッサは現在のスタックに留まる。

この説明の残りの部分では、イベント／割り込みを配信する必要があるスタックレベル「ｉ」のシャドウスタックへの切り替えを想定している。一実施形態では、ＦＲＥＤ ＳＳＰｉ ＭＳＲ １６００〜１６０３のそれぞれは、以下のビットフィールド定義を格納する。
・ビット０−検証済み（Ｖ）−ＭＳＲが検証済みのｓｕｐｅｒｖｉｓｏｒ−ｓｈａｄｏｗ−ｓｔａｃｋトークンを指しているかどうかを示す（後述）。
・ビット２：１−予約済み（０に設定）
・ビット６３：３−スーパーバイザシャドウスタック上の有効なスーパーバイザシャドウスタックトークンの線形アドレス。

一実施形態では、イベント処理回路／ロジック１６９０は、プロセッサがＣＰＬ３（つまり、現在の特権レベル１６９４で示される）でユーザモードで実行されているときにイベント１６９４が到着した場合、またはプロセッサがすでにＣＰＬ０でスーパーバイザモードで実行されており、イベント１６９４をより高いスタックレベルで配信する必要がある場合、それぞれ、新しいスーパーバイザシャドウスタック１６４０〜１６４３を識別するＳＳＰ ＭＳＲ １６００〜１６０３の１つからポインタを選択する。したがって、シャドウスタックがＣＰＬ３（ユーザモード）およびＣＬＰ０（スーパーバイザモード）で有効になっていると仮定すると、ＳＳＰはＰＬ３ ＳＳＰ １６０４に保存され（つまり、ユーザモードで起動する場合）、選択したＦＲＥＤ ＳＳＰｉ ＭＳＲ １６００−１６０３におけるＳＳＰアドレスを使用してスーパーバイザモード用にシャドウスタックが確立され、ｉは、配信されるイベント１６９４の優先度によって識別されるように切り替えられるスタックレベルである。

スーパーバイザモードの暫定ＳＳＰがＦＲＥＤ ＳＳＰｉ ＭＳＲ １６００〜１６０３の１つからＰＬ０ ＳＳＰ １６５０として選択されると、検証および使用チェック回路／ロジック１６９５は、（１）選択されたＳＳＰ ＭＳＲ １６００〜１６０３でプログラムされたＳＳＰは、対応するスーパーバイザシャドウスタック１６４０〜１６４３の最上部をそれぞれ指すこと、および（２）この暫定ＳＳＰ １６０２が指すスーパーバイザシャドウスタック１６４０〜１６４３は、ビジービット（Ｂ）により示されるように、他の論理プロセッサではまだアクティブではないことを確認する。両方のチェックに合格すると、ＦＲＥＤ ＳＳＰｉ ＭＳＲ １６０２が新しい特権レベル０（ＰＬ０）ＳＳＰ １６５０になる。

これらのチェックは、攻撃者が２つの論理プロセッサ上のＭＳＲを同じシャドウスタックに向け、第２の論理プロセッサで呼び出しを行うことによって１つの論理プロセッサで消費されるリターンアドレスを操作できるクロススレッド攻撃を防ぐために実行される。

一実施形態では、これらのチェックを実行するために、システムソフトウェアは、各スーパーバイザシャドウスタックの最上部にスーパーバイザシャドウスタックトークン１６５０〜１６５３を配置する。ある特定の実装では、スーパーバイザシャドウスタックトークン１６５０〜１６５３は次のようにフォーマットされる。
・ビット６３：３−シャドウスタック上のトークンの線形アドレス
・ビット２：１−予約済み（０に設定）
・ビット０−ビジー（Ｂ）。このビットが０の場合、選択されたシャドウスタック１６４０〜１６４３はどの論理プロセッサにもロードされない。

図１７は、スーパーバイザシャドウスタックトークン１６５２を備えたスーパーバイザシャドウスタック１６４２を示している。ＰＬ０＿ＳＳＰ １６５０は、スーパーバイザシャドウスタックトークン１６５２を保持するスーパーバイザシャドウスタック１６４２の最上部を指す線形アドレス０ｘ１００８を保持する。システムソフトウェアがこのシャドウスタックを作成すると、ビジーフラグ１７０１（ビット０）が０に初期化される。

本発明の一実施形態による方法が図１８に示されている。この方法は、本明細書に記載のプロセッサおよびシステムアーキテクチャ上に実装することができるが、特定のアーキテクチャに限定されない。

１８０１で、システムイベント（たとえば、割り込み）は、優先度ｉで現在の特権レベルで受信される。１８０２で、特権レベル０のシャドウスタックポインタへの変更が必要であるかどうかに関して決定がなされる。上記のように、プロセッサがＣＰＬ３でユーザモードで実行されているときにイベントが到着する場合、またはプロセッサがすでにＣＰＬ０でスーパーバイザモードで実行されており、イベントをより高いスタックレベルで配信する必要がある場合は、変更が必要である。変更が必要ない場合、プロセスは、１８１０において、現在のＳＳＰを有する現在の特権レベルのままである。

変更が必要な場合は、１８０３で、イベントの優先度（ｉ）に基づいて暫定ＳＳＰが選択される。たとえば、暫定ＳＳＰは、ＳＳＰ ＭＳＲｉから選択され得る。１８０４で、検証とビジーチェックが暫定ＳＳＰで実行される。たとえば、シャドウスタックの最上部にあるトークンを暫定ＳＳＰと比較し、ビジービットをチェックして、暫定ＳＳＰによって識別されたシャドウスタックが他の論理プロセッサにロードされていないことを確認できる。１８０５で決定されたこれらのチェックのいずれかが失敗した場合、１８１１で障害／例外が生成される。

両方のチェックが１８０５で合格した場合、１８０６で、特権レベル０のシャドウスタックポインタが暫定ＳＳＰに設定される。現在の特権レベルも変更される可能性がある。１８０７に、イベントは現在の特権レベルで、新しいＳＳＰ ＰＬ０値を使用して処理される。次に、次のシステムイベントが受信されると、プロセスは１８０１に戻る。

一実施形態では、妥当性確認および使用チェック回路／ロジック１６９０および妥当性確認およびビジーチェック１８０４は、ＭＳＲが検証されていないとマークされた場合、シャドウスタック（たとえば、ＦＲＥＤ ＳＳＰ２ １６０２）がいつでも１つの論理プロセッサにのみロードできることを保証するように動作する（上記のコードシーケンスの「チェック１」）。さらに、これらの実施形態は、ＭＳＲ内のシャドウスタックポインタが、スタックの最上部にある有効なスーパーバイザシャドウスタックトークンを指していることを保証する（上記のコードシーケンスの「チェック２」）。

一実施形態では、トークンを検証し、シャドウスタックポインタＳＳＰをトークン内のアドレスに設定するために、以下のコードシーケンスが実行される。

ＭＳＲが検証済みとしてマークされていない場合、これらのチェックは、キャッシュラインのロックを取得する上記のコードシーケンスのＡｔｏｍｉｃ−ＳｔａｒｔとＡｔｏｍｉｃ−Ｅｎｄで示されるように、ロックされた読み取り−変更−書き込みを使用してアトミックに実行できることに注意されたい。取得したロックを解除する。これらのチェックが成功すると、トークンはビジーとしてマークされ、ＭＳＲは検証済みとしてマークされる。

一実施形態では、ＭＳＲが検証済みとしてマークされると、これらの操作のその後の呼び出しで、それ以上ロックされた読み取り−変更−書き込み操作は実行されない。むしろ、ＭＳＲがすでに検証済みとしてマークされている場合は、トークンを保持しているキャッシュラインのロックを取得せずに、メモリからトークンをロードすることにより、同じ２つのチェックを実行できる。一実施形態では、検証済みビットが誤ってまたは悪意を持ってＭＳＲに設定されることを回避するために、このＭＳＲを書き込むために使用される命令は、書き込まれた値の検証済みビット（たとえば、ビット０）を常に無視し、検証済みビットを無条件に０にクリアする。このような命令には、ＷＲＭＳＲ命令（モデル固有のＭＳＲの書き込み）およびＸＲＳＴＯＲＳ命令（メモリからプロセッサスーパーバイザモードの拡張状態を復元する）が含まれるが、これらに限定されない。

図１９は、検証されたビットに基づいてアトミック操作と非アトミック操作のどちらかを選択する方法の一実施形態を示している。１９０１で、割り込みなどのシステムイベントが優先度レベルｉで受信される。１９０２で、検証されたビット（たとえば、ＳＳＰｉ＝０）が０である（すなわち、検証されていない）かどうかを決定するためにチェックが行われる。検証されたビットが０の場合、１９０３においてアトミックな操作のセットが開始される。ビジービットは１９０４でチェックされる。０に設定されている場合、１９０５においてシャドウスタックトークンが一時ＳＳＰと比較される。それらが一致する場合、アトミック操作は１９０６において完了する。１９０７において検証済みビットが１に設定され、１９０８において一時シャドウスタックポインタ（ＳＳＰｉ）が現在のシャドウスタックポインタ（ＳＳＰ）になる。

１９０４に戻ると、ビジービットが１に設定されている場合（シャドウスタックが別の論理プロセッサによって使用されていることを意味する）、または１９０５で、トークンが一時ＳＳＰと一致しない場合、１９１３で障害状態が生成される。さらに、１９０２で、検証済みビットが１に設定されている場合（つまり、ＳＳＰがすでに検証済みである場合）、操作のアトミックセットは必要ない。同じ２つのチェックは、１９１４（ビジービットのチェック）と１９１５（トークンの比較）で実行できる。ただし、これらの操作は、必要なデータを保持するキャッシュラインのロックを取得せずに実行される。たとえば、トークンを格納するキャッシュラインでロックが取得されないため、他の操作を同時に続行できるため、パフォーマンスが向上する。

プロセッサは、割り込み／例外の処理から戻るときに、ユーザモード（ＣＰＬ３）に戻る場合、またはスーパーバイザモードで中断された手順に戻るが中断された手順に戻るときに、スーパーバイザシャドウスタック（たとえば、ＰＬ０ ＳＳＰ １６５０）から切り替わる場合がある。イベントが処理されたスタックレベルよりも低いスタックレベルで実行されていた。

イベント／割り込みの処理の一部としてのオペレーティングシステムは、文脈切り替えを実行する場合もある。一実施形態では、文脈切り替えは、ＦＲＥＤ＿ＳＳＰｉ ＭＳＲへの書き込みを引き起こして、１つまたは複数の優先度レベルに関連付けられたシャドウスタックポインタを更新する。このような場合、ＦＲＥＤ＿ＳＳＰｉ ＭＳＲへの書き込みにより、ＭＳＲの検証済みビットが０にクリアされる。

したがって、一実施形態では、３つのケースが、イベントハンドラからの戻り時に発生する可能性がある。
（１）ＦＲＥＤ＿ＳＳＰｉ＝ＳＳＰ｜１：
−ＳＳＰはＭＳＲ値と一致し（ＳＳＰはスタックの最下部にある）、ＭＳＲが検証される
−何もしない
（２）ＦＲＥＤ＿ＳＳＰｉ＝ＳＳＰ
−ＳＳＰはＭＳＲ値と一致するが、ＭＳＲは検証されていない
−トークンをチェックして、ＭＳＲを再検証できるかどうかを確認する。
（３）ＦＲＥＤ＿ＳＳＰｉ［６３：１］≠ＳＳＰ［６３：１］
−ＳＳＰがＭＳＲと一致しない。トークンをリセットして解放し、ＭＳＲ検証をクリアする
−この操作には、上記のようにアトミックな読み取り−変更−書き込みが必要である。

したがって、ＭＳＲが有効でビジーなスーパーバイザシャドウスタックトークンを指している場合、ＭＳＲは検証済みとしてマークされる。この操作は最も頻繁なケースであり、ロックされた操作を必要としないため、パフォーマンスが向上する。ＭＳＲが現在のシャドウスタック上の有効でビジーなスーパーバイザシャドウスタックトークンを指していない場合、および現在のシャドウスタックにビジーなスーパーバイザシャドウスタックトークンがある場合、そのトークンは解放される。この操作は、一貫性とセキュリティを確保するためにロックされた操作を使用して実行される。

トークンをクリアした後、プロセッサがユーザモード（ＣＰＬ３）に戻る場合、プロセッサはＰＬ３＿ＳＳＰ １６０４からユーザモードのシャドウスタックポインタを確立する。プロセッサがスーパーバイザモード（ＣＰＬ０）で中断された手順に戻る場合、中断された手順のシャドウスタックポインタが復元される（たとえば、ＦＲＥＤ ＳＳＰ０ポインタを使用）。

ＦＲＥＤ＿ＳＳＰｉ ＭＳＲに書き込むＷＲＭＳＲ命令またはＸＲＳＴＯＲＳ命令により、そのＭＳＲの検証済みビットが０にクリアされることに注意されたい。ただし、仮想マシンマネージャ（ＶＭＭ）またはハイパーバイザは、仮想マシン（ＶＭ）スイッチでこれらのＭＳＲの状態を文脈切り替えする必要がある。この実施形態では、ＶＭ文脈切り替えは、これらのＭＳＲの検証された状態が失われる原因となるべきではない。

一実施形態では、ＶＭ終了が発生したときにこのケースに対処するために、プロセッサは、検証されたビットを含むＦＲＥＤ＿ＳＳＰｉ ＭＳＲを仮想マシン制御構造（ＶＭＣＳ）に保存する。後続のＶＭエントリの１つで、プロセッサは検証済みビットを含むこれらのＭＳＲの状態をＶＭＣＳから復元する。

例

以下は、本発明の異なる実施形態の例示的な実装である。

［実施例１］複数のシャドウスタックポインタ（ＳＳＰ）を格納するための複数のレジスタであって、各ＳＳＰが、異なるイベント優先度に関連付けられている、複数のレジスタと、第１のイベント優先度レベルに関連する第１のイベントの受信に応答して、複数のレジスタの第１のレジスタから複数のＳＳＰの第１のＳＳＰを選択するためのイベント処理回路であって、第１のＳＳＰが、第１のシャドウスタックの最上部を識別するために使用可能である、イベント処理回路と、第１のＳＳＰが以前に検証されているかどうかを判断するための検証および使用チェック回路と、を備え、第１のＳＳＰが以前に検証されていない場合は、一連のアトミック操作を開始して第１のＳＳＰを検証し、第１のＳＳＰが使用されていないことを確認し、一連のアトミック操作は、一連のアトミック操作が完了するまでデータをロックするロック操作を使用し、第１のＳＳＰが以前に検証されている場合は、第１のＳＳＰを再検証し、ロック操作を使用せずに第１のＳＳＰが使用されていないことを確認する、プロセッサ。

［実施例２］複数のＳＳＰが、スーパーバイザ特権レベルに関連付けられた対応する複数のスーパーバイザシャドウスタックを指す、第１のＳＳＰを含む複数のスーパーバイザＳＳＰを含む、実施例１に記載のプロセッサ。

［実施例３］複数のＳＳＰが、ユーザ特権レベルに関連付けられたユーザレベルのシャドウスタックを指す少なくとも１つのユーザレベルのＳＳＰをさらに含む、実施例２に記載のプロセッサ。

［実施例４］第１のイベントは、第１のイベント優先度レベルに関連する第１の割り込みまたは第１の例外を含む、実施例１に記載のプロセッサ。

［実施例５］複数のＳＳＰが対応する複数のイベント優先度レベルに関連付けられる、実施例４に記載のプロセッサ。

［実施例６］第１のＳＳＰが使用されていないことを確認することは、第１のＳＳＰに関連付けられたビジービットの値をチェックすることを含む、実施例１に記載のプロセッサ。

［実施例７］第１のＳＳＰを検証および再検証することは、第１のＳＳＰを第１のシャドウスタックの最上部に格納された第１のトークン値と比較することを含む、実施例６に記載のプロセッサ。

［実施例８］第１のシャドウスタックに関連付けられた第１のデータスタックを使用して、第１のデータスタックに関連付けられた第１のスーパーバイザ特権レベルで、１つまたは複数の命令を実行する実行回路をさらに備える、実施例７に記載のプロセッサ。

［実施例９］イベント処理回路ならびに前記検証および使用チェック回路は、プロセッサの命令実行パイプラインの一部を含み、検証および使用チェック回路は、ＳＳＰの検証および使用チェックに関連する第１の一連の命令を実行するための命令実行パイプラインの第１の部分を含み、イベント処理回路は、イベント処理に関連する第２の一連の命令を実行するための命令実行パイプラインの第２の部分を含む、実施例８に記載のプロセッサ。

［実施例１０］複数のシャドウスタックポインタ（ＳＳＰ）を対応する複数のレジスタに格納し、各ＳＳＰが、異なるイベント優先度に関連付けられる、ことと、第１のイベント優先度レベルに関連付けられた第１のイベントの受信に応答して、複数のレジスタの第１のレジスタから複数のＳＳＰの第１のＳＳＰを選択し、第１のＳＳＰが、第１のシャドウスタックの最上部を識別するために使用可能である、ことと、第１のＳＳＰが以前に検証されているかどうかを判断することと、を含み、第１のＳＳＰが以前に検証されていない場合は、一連のアトミック操作を開始して第１のＳＳＰを検証し、第１のＳＳＰが使用されていないことを確認し、前記一連のアトミック操作は、一連のアトミック操作が完了するまでデータをロックするロック操作を使用し、第１のＳＳＰが以前に検証されている場合は、第１のＳＳＰを再検証し、ロック操作を使用せずに第１のＳＳＰが使用されていないことを確認する、方法。

［実施例１１］複数のＳＳＰが、スーパーバイザ特権レベルに関連付けられた対応する複数のスーパーバイザシャドウスタックを指す、第１のＳＳＰを含む複数のスーパーバイザＳＳＰを含む、実施例１０に記載の方法。

［実施例１２］複数のＳＳＰが、ユーザ特権レベルに関連付けられたユーザレベルのシャドウスタックを指す少なくとも１つのユーザレベルのＳＳＰをさらに含む、実施例１１に記載の方法。

［実施例１３］第１のイベントが、第１のイベント優先度レベルに関連する第１の割り込みまたは第１の例外を含む、実施例１０に記載の方法。

［実施例１４］複数のＳＳＰが、対応する複数のイベント優先度レベルに関連付けられる、実施例１３に記載の方法。

［実施例１５］第１のＳＳＰが使用されていないことを確認することは、第１のＳＳＰに関連するビジービットの値をチェックすることを含む、実施例１０に記載の方法。

［実施例１６］第１のＳＳＰを検証および再検証することは、第１のＳＳＰを第１のシャドウスタックの最上部に格納された第１のトークン値と比較することを含む、実施例１５に記載の方法。

［実施例１７］第１のデータスタックに関連付けられた第１のスーパーバイザ特権レベルで、第１のシャドウスタックに関連付けられた第１のデータスタックを使用して１つまたは複数の命令を実行することをさらに含む、実施例１６に記載の方法。

［実施例１８］プログラムコードが格納されている機械可読媒体であって、プログラムコードが機械によって実行されると、機械が、複数のシャドウスタックポインタ（ＳＳＰ）を対応する複数のレジスタに格納し、各ＳＳＰが、異なるイベント優先度に関連付けられる、ことと、第１のイベント優先度レベルに関連付けられた第１のイベントの受信に応答して、複数のレジスタの第１のレジスタから複数のＳＳＰの第１のＳＳＰを選択し、第１のＳＳＰが、第１のシャドウスタックの最上部を識別するために使用可能である、ことと、第１のＳＳＰが以前に検証されているかどうかを判断することと、を含み、第１のＳＳＰが以前に検証されていない場合は、一連のアトミック操作を開始して第１のＳＳＰを検証し、第１のＳＳＰが使用されていないことを確認し、一連のアトミック操作は、一連のアトミック操作が完了するまでデータをロックするロック操作を使用し、第１のＳＳＰが以前に検証されている場合は、第１のＳＳＰを再検証し、ロック操作を使用せずに第１のＳＳＰが使用されていないことを確認する、という動作を実行する、機械可読媒体。

［実施例１９］複数のＳＳＰが、スーパーバイザ特権レベルに関連付けられた対応する複数のスーパーバイザシャドウスタックを指す、第１のＳＳＰを含む複数のスーパーバイザＳＳＰを含む、実施例１８に記載の機械可読媒体。

［実施例２０］複数のＳＳＰが、ユーザ特権レベルに関連付けられたユーザレベルのシャドウスタックを指す少なくとも１つのユーザレベルのＳＳＰをさらに含む、実施例１９に記載の機械可読媒体。

［実施例２１］第１のイベントが、第１のイベント優先度レベルに関連する第１の割り込みまたは第１の例外を含む、実施例１８に記載の機械可読媒体。

［実施例２２］複数のＳＳＰが、対応する複数のイベント優先度レベルに関連付けられる、実施例２１に記載の機械可読媒体。

［実施例２３］第１のＳＳＰが使用されていないことを確認することは、第１のＳＳＰに関連付けられたビジービットの値をチェックすることを含む、実施例１８に記載の機械可読媒体。

［実施例２４］第１のＳＳＰを検証および再検証することは、第１のＳＳＰを第１のシャドウスタックの最上部に格納された第１のトークン値と比較することを含む、実施例２３に記載の機械可読媒体。

［実施例２５］第１のシャドウスタックに関連付けられた第１のデータスタックを使用して、第１のデータスタックに関連付けられた第１のスーパーバイザ特権レベルで、１つまたは複数の命令を実行する、という動作を機械に実行させるためのプログラムコードをさらに含む、実施例２４に記載の機械可読媒体。

前述の明細書では、本発明の実施形態は、その特定の例示的な実施形態を参照して説明されてきた。しかしながら、添付の特許請求の範囲に記載されているように、本発明のより広い精神および範囲から逸脱することなく、さまざまな修正および変更を行うことができることは明らかであろう。したがって、本明細書および図面は、限定的な意味ではなく例示的な意味で見なされるべきである。

本発明の実施形態は、上で説明されたさまざまなステップを含み得る。ステップは、汎用または特殊目的のプロセッサにステップを実行させるために使用され得る機械実行可能命令で具体化され得る。あるいは、これらのステップは、ステップを実行するためのハードワイヤードロジックを含む特定のハードウェアコンポーネントによって、またはプログラムされたコンピュータコンポーネントとカスタムハードウェアコンポーネントの任意の組み合わせによって実行され得る。

本明細書で説明するように、命令は、特定の操作を実行するように構成された、または非一時的なコンピュータ可読媒体に具現化されたメモリに格納された所定の機能またはソフトウェア命令を有する特定用途向け集積回路（ＡＳＩＣ）などのハードウェアの特定の構成を指し得る。したがって、図に示される技術は、１つまたは複数の電子デバイス（たとえば、エンドステーション、ネットワーク要素など）に格納および実行されるコードおよびデータを使用して実装することができる。そのような電子デバイスは、非一時的なコンピュータ機械可読記憶媒体（たとえば、磁気ディスク、光ディスク、ランダムアクセスメモリ、読み取り専用メモリ、フラッシュメモリデバイス、位相変化メモリ）、および一時的なコンピュータの機械可読通信媒体（たとえば、電気、光、音響、またはその他の形式の伝搬信号（キャリア波、赤外線信号、デジタル信号など））などのコンピュータ機械可読媒体を使用して、コードおよびデータを（内部的におよび／またはネットワークを介して他の電子デバイスと）格納および通信する。さらに、そのような電子デバイスは、通常、１つまたは複数の記憶装置（非一時的な機械可読記憶媒体）、ユーザ入力／出力デバイス（たとえば、キーボード、タッチスクリーン、および／またはディスプレイ）、およびネットワーク接続などの１つまたは複数の他のコンポーネントに結合された１つまたは複数のプロセッサのセットを含む。プロセッサのセットと他のコンポーネントの結合は、通常、１つまたは複数のバスとブリッジ（バスコントローラとも呼ばれる）を介して行われる。ネットワークトラフィックを伝送する記憶装置および信号は、それぞれ、１つまたは複数の機械可読記憶媒体および機械可読通信媒体を表す。したがって、所与の電子デバイスの記憶装置は、通常、その電子デバイスの１つまたは複数のプロセッサのセット上で実行するためのコードおよび／またはデータを記憶する。もちろん、本発明の実施形態の１つまたは複数の部分は、ソフトウェア、ファームウェア、および／またはハードウェアの異なる組み合わせを使用して実装され得る。この詳細な説明を通して、説明の目的で、本発明の完全な理解を提供するために、多くの特定の詳細が述べられた。しかしながら、本発明がこれらの特定の詳細のいくつかなしで実施され得ることは当業者には明らかであろう。特定の例において、本発明の主題を曖昧にすることを回避するために、周知の構造および機能が詳細に説明されていない。したがって、本発明の範囲および精神は、以下の特許請求の範囲に関して判断されるべきである。
（項目１） 複数のシャドウスタックポインタ（ＳＳＰ）を格納するための複数のレジスタであって、各ＳＳＰが、異なるイベント優先度に関連付けられている、複数のレジスタと、
第１のイベント優先度レベルに関連する第１のイベントの受信に応答して、上記複数のレジスタの第１のレジスタから上記複数のＳＳＰの第１のＳＳＰを選択するためのイベント処理回路であって、上記第１のＳＳＰが、第１のシャドウスタックの最上部を識別するために使用可能である、イベント処理回路と、
上記第１のＳＳＰが以前に検証されているかどうかを判断するための検証および使用チェック回路と、を備え、
上記第１のＳＳＰが以前に検証されていない場合は、一連のアトミック操作を開始して上記第１のＳＳＰを検証し、上記第１のＳＳＰが使用されていないことを確認し、上記一連のアトミック操作は、上記一連のアトミック操作が完了するまでデータをロックするロック操作を使用し、
上記第１のＳＳＰが以前に検証されている場合は、上記第１のＳＳＰを再検証し、上記ロック操作を使用せずに上記第１のＳＳＰが使用されていないことを確認する、プロセッサ。
（項目２） 上記複数のＳＳＰが、スーパーバイザ特権レベルに関連付けられた対応する複数のスーパーバイザシャドウスタックを指す、上記第１のＳＳＰを含む複数のスーパーバイザＳＳＰを含む、項目１に記載のプロセッサ。
（項目３） 上記複数のＳＳＰが、ユーザ特権レベルに関連付けられたユーザレベルのシャドウスタックを指す少なくとも１つのユーザレベルのＳＳＰをさらに含む、項目２に記載のプロセッサ。
（項目４） 上記第１のイベントが、上記第１のイベント優先度レベルに関連する第１の割り込みまたは第１の例外を含む、項目１に記載のプロセッサ。
（項目５） 上記複数のＳＳＰが、対応する複数のイベント優先度レベルに関連付けられる、項目４に記載のプロセッサ。
（項目６） 上記第１のＳＳＰが使用されていないことを確認することは、上記第１のＳＳＰに関連付けられたビジービットの値をチェックすることを含む、項目１に記載のプロセッサ。
（項目７） 上記第１のＳＳＰを検証すること、および再検証することは、上記第１のＳＳＰを、上記第１のシャドウスタックの最上部に格納された第１のトークン値と比較することを含む、項目６に記載のプロセッサ。
（項目８） 上記第１のシャドウスタックに関連付けられた第１のデータスタックを使用して、上記第１のデータスタックに関連付けられた第１のスーパーバイザ特権レベルで、１つまたは複数の命令を実行するための実行回路
をさらに備える、項目７に記載のプロセッサ。
（項目９） 上記イベント処理回路ならびに上記検証および使用チェック回路は、上記プロセッサの命令実行パイプラインの一部を含み、上記検証および使用チェック回路は、ＳＳＰの検証および使用チェックに関連する第１の一連の命令を実行するための上記命令実行パイプラインの第１の部分を含み、上記イベント処理回路は、イベント処理に関連する第２の一連の命令を実行するための上記命令実行パイプラインの第２の部分を含む、項目８に記載のプロセッサ。
（項目１０） 複数のシャドウスタックポインタ（ＳＳＰ）を対応する複数のレジスタに格納し、各ＳＳＰが、異なるイベント優先度に関連付けられる、ことと、
第１のイベント優先度レベルに関連付けられた第１のイベントの受信に応答して、上記複数のレジスタの第１のレジスタから上記複数のＳＳＰの第１のＳＳＰを選択し、上記第１のＳＳＰが、第１のシャドウスタックの最上部を識別するために使用可能である、ことと、
上記第１のＳＳＰが以前に検証されているかどうかを判断することと、を含み、
上記第１のＳＳＰが以前に検証されていない場合は、一連のアトミック操作を開始して上記第１のＳＳＰを検証し、上記第１のＳＳＰが使用されていないことを確認し、上記一連のアトミック操作は、上記一連のアトミック操作が完了するまでデータをロックするロック操作を使用し、
上記第１のＳＳＰが以前に検証されている場合は、上記第１のＳＳＰを再検証し、上記ロック操作を使用せずに上記第１のＳＳＰが使用されていないことを確認する、方法。
（項目１１） 上記複数のＳＳＰが、スーパーバイザ特権レベルに関連付けられた対応する複数のスーパーバイザシャドウスタックを指す、上記第１のＳＳＰを含む複数のスーパーバイザＳＳＰを含む、項目１０に記載の方法。
（項目１２） 上記複数のＳＳＰが、ユーザ特権レベルに関連付けられたユーザレベルのシャドウスタックを指す少なくとも１つのユーザレベルのＳＳＰをさらに含む、項目１１に記載の方法。
（項目１３） 上記第１のイベントが、上記第１のイベント優先度レベルに関連する第１の割り込みまたは第１の例外を含む、項目１０に記載の方法。
（項目１４） 上記複数のＳＳＰが、対応する複数のイベント優先度レベルに関連付けられる、項目１３に記載の方法。
（項目１５） 上記第１のＳＳＰが使用されていないことを確認することは、上記第１のＳＳＰに関連付けられたビジービットの値をチェックすることを含む、項目１０に記載の方法。
（項目１６） 上記第１のＳＳＰを検証すること、および再検証することは、上記第１のＳＳＰを、上記第１のシャドウスタックの最上部に格納された第１のトークン値と比較することを含む、項目１５に記載の方法。
（項目１７） 上記第１のシャドウスタックに関連付けられた第１のデータスタックを使用して、上記第１のデータスタックに関連付けられた第１のスーパーバイザ特権レベルで、１つまたは複数の命令を実行すること、
をさらに含む、項目１６に記載の方法。
（項目１８） プログラムコードが格納されている機械可読媒体であって、上記プログラムコードが機械によって実行されると、上記機械が、
複数のシャドウスタックポインタ（ＳＳＰ）を対応する複数のレジスタに格納し、各ＳＳＰが、異なるイベント優先度に関連付けられる、ことと、
第１のイベント優先度レベルに関連付けられた第１のイベントの受信に応答して、上記複数のレジスタの第１のレジスタから上記複数のＳＳＰの第１のＳＳＰを選択し、上記第１のＳＳＰが、第１のシャドウスタックの最上部を識別するために使用可能である、ことと、
上記第１のＳＳＰが以前に検証されているかどうかを判断することと、を含み、
上記第１のＳＳＰが以前に検証されていない場合は、一連のアトミック操作を開始して上記第１のＳＳＰを検証し、上記第１のＳＳＰが使用されていないことを確認し、上記一連のアトミック操作は、上記一連のアトミック操作が完了するまでデータをロックするロック操作を使用し、
上記第１のＳＳＰが以前に検証されている場合は、上記第１のＳＳＰを再検証し、上記ロック操作を使用せずに上記第１のＳＳＰが使用されていないことを確認する、
という動作を実行する、機械可読媒体。
（項目１９） 上記複数のＳＳＰが、スーパーバイザ特権レベルに関連付けられた対応する複数のスーパーバイザシャドウスタックを指す、上記第１のＳＳＰを含む複数のスーパーバイザＳＳＰを含む、項目１８に記載の機械可読媒体。
（項目２０） 上記複数のＳＳＰが、ユーザ特権レベルに関連付けられたユーザレベルのシャドウスタックを指す少なくとも１つのユーザレベルのＳＳＰをさらに含む、項目１９に記載の機械可読媒体。
（項目２１） 上記第１のイベントが、上記第１のイベント優先度レベルに関連する第１の割り込みまたは第１の例外を含む、項目１８に記載の機械可読媒体。
（項目２２） 上記複数のＳＳＰが、対応する複数のイベント優先度レベルに関連付けられる、項目２１に記載の機械可読媒体。
（項目２３） 上記第１のＳＳＰが使用されていないことを確認することは、上記第１のＳＳＰに関連付けられたビジービットの値をチェックすることを含む、項目１８に記載の機械可読媒体。
（項目２４） 上記第１のＳＳＰを検証すること、および再検証することは、上記第１のＳＳＰを、上記第１のシャドウスタックの最上部に格納された第１のトークン値と比較することを含む、項目２３に記載の機械可読媒体。
（項目２５） 上記第１のシャドウスタックに関連付けられた第１のデータスタックを使用して、上記第１のデータスタックに関連付けられた第１のスーパーバイザ特権レベルで、１つまたは複数の命令を実行する
という動作を上記機械に実行させるためのプログラムコードをさらに含む、項目２４に記載の機械可読媒体。

Claims (26)

1. 複数のシャドウスタックポインタ（ＳＳＰ）を格納するための複数のレジスタであって、各ＳＳＰが、異なるイベント優先度に関連付けられている、複数のレジスタと、
   第１のイベント優先度レベルに関連する第１のイベントの受信に応答して、前記複数のレジスタの第１のレジスタから前記複数のＳＳＰの第１のＳＳＰを選択するためのイベント処理回路であって、前記第１のＳＳＰが、第１のシャドウスタックの最上部を識別するために使用可能である、イベント処理回路と、
   前記第１のＳＳＰが以前に検証されているかどうかを判断するための検証および使用チェック回路と、を備え、
   前記第１のＳＳＰが以前に検証されていない場合は、一連のアトミック操作を開始して前記第１のＳＳＰを検証し、前記第１のＳＳＰが使用されていないことを確認し、前記一連のアトミック操作は、前記一連のアトミック操作が完了するまでデータをロックするロック操作を使用し、
   前記第１のＳＳＰが以前に検証されている場合は、前記第１のＳＳＰを再検証し、前記ロック操作を使用せずに前記第１のＳＳＰが使用されていないことを確認する、プロセッサ。
2. 前記複数のＳＳＰが、スーパーバイザ特権レベルに関連付けられた対応する複数のスーパーバイザシャドウスタックを指す、前記第１のＳＳＰを含む複数のスーパーバイザＳＳＰを含む、請求項１に記載のプロセッサ。
3. 前記複数のＳＳＰが、ユーザ特権レベルに関連付けられたユーザレベルのシャドウスタックを指す少なくとも１つのユーザレベルのＳＳＰをさらに含む、請求項２に記載のプロセッサ。
4. 前記第１のイベントが、前記第１のイベント優先度レベルに関連する第１の割り込みまたは第１の例外を含む、請求項１〜３のいずれか一項に記載のプロセッサ。
5. 前記複数のＳＳＰが、対応する複数のイベント優先度レベルに関連付けられる、請求項４に記載のプロセッサ。
6. 前記第１のＳＳＰが使用されていないことを確認することは、前記第１のＳＳＰに関連付けられたビジービットの値をチェックすることを含む、請求項１〜５のいずれか一項に記載のプロセッサ。
7. 前記第１のＳＳＰを検証すること、および再検証することは、前記第１のＳＳＰを、前記第１のシャドウスタックの最上部に格納された第１のトークン値と比較することを含む、請求項６に記載のプロセッサ。
8. 前記第１のシャドウスタックに関連付けられた第１のデータスタックを使用して、前記第１のデータスタックに関連付けられた第１のスーパーバイザ特権レベルで、１つまたは複数の命令を実行するための実行回路
   をさらに備える、請求項７に記載のプロセッサ。
9. 前記イベント処理回路ならびに前記検証および使用チェック回路は、前記プロセッサの命令実行パイプラインの一部を含み、前記検証および使用チェック回路は、ＳＳＰの検証および使用チェックに関連する第１の一連の命令を実行するための前記命令実行パイプラインの第１の部分を含み、前記イベント処理回路は、イベント処理に関連する第２の一連の命令を実行するための前記命令実行パイプラインの第２の部分を含む、請求項８に記載のプロセッサ。
10. 複数のシャドウスタックポインタ（ＳＳＰ）を対応する複数のレジスタに格納する段階であって、各ＳＳＰが、異なるイベント優先度に関連付けられる、段階と、
    第１のイベント優先度レベルに関連付けられた第１のイベントの受信に応答して、前記複数のレジスタの第１のレジスタから前記複数のＳＳＰの第１のＳＳＰを選択する段階であって、前記第１のＳＳＰが、第１のシャドウスタックの最上部を識別するために使用可能である、段階と、
    前記第１のＳＳＰが以前に検証されているかどうかを判断する段階と、
    前記第１のＳＳＰが以前に検証されていない場合は、一連のアトミック操作を開始して前記第１のＳＳＰを検証し、前記第１のＳＳＰが使用されていないことを確認する段階であって、前記一連のアトミック操作は、前記一連のアトミック操作が完了するまでデータをロックするロック操作を使用する、段階と、
    前記第１のＳＳＰが以前に検証されている場合は、前記第１のＳＳＰを再検証し、前記ロック操作を使用せずに前記第１のＳＳＰが使用されていないことを確認する、段階と、
    を含む方法。
11. 前記複数のＳＳＰが、スーパーバイザ特権レベルに関連付けられた対応する複数のスーパーバイザシャドウスタックを指す、前記第１のＳＳＰを含む複数のスーパーバイザＳＳＰを含む、請求項１０に記載の方法。
12. 前記複数のＳＳＰが、ユーザ特権レベルに関連付けられたユーザレベルのシャドウスタックを指す少なくとも１つのユーザレベルのＳＳＰをさらに含む、請求項１１に記載の方法。
13. 前記第１のイベントが、前記第１のイベント優先度レベルに関連する第１の割り込みまたは第１の例外を含む、請求項１０〜１２のいずれか一項に記載の方法。
14. 前記複数のＳＳＰが、対応する複数のイベント優先度レベルに関連付けられる、請求項１３に記載の方法。
15. 前記第１のＳＳＰが使用されていないことを確認する段階は、前記第１のＳＳＰに関連付けられたビジービットの値をチェックすることを含む、請求項１０〜１４のいずれか一項に記載の方法。
16. 前記第１のＳＳＰを検証する段階、および再検証する段階は、前記第１のＳＳＰを、前記第１のシャドウスタックの最上部に格納された第１のトークン値と比較することを含む、請求項１５に記載の方法。
17. 前記第１のシャドウスタックに関連付けられた第１のデータスタックを使用して、前記第１のデータスタックに関連付けられた第１のスーパーバイザ特権レベルで、１つまたは複数の命令を実行する段階、
    をさらに含む、請求項１６に記載の方法。
18. コンピュータに、
    複数のシャドウスタックポインタ（ＳＳＰ）を対応する複数のレジスタに格納する手順であって、各ＳＳＰが、異なるイベント優先度に関連付けられる、手順と、
    第１のイベント優先度レベルに関連付けられた第１のイベントの受信に応答して、前記複数のレジスタの第１のレジスタから前記複数のＳＳＰの第１のＳＳＰを選択する手順であって、前記第１のＳＳＰが、第１のシャドウスタックの最上部を識別するために使用可能である、手順と、
    前記第１のＳＳＰが以前に検証されているかどうかを判断する手順と、
    前記第１のＳＳＰが以前に検証されていない場合は、一連のアトミック操作を開始して前記第１のＳＳＰを検証し、前記第１のＳＳＰが使用されていないことを確認する手順であって、前記一連のアトミック操作は、前記一連のアトミック操作が完了するまでデータをロックするロック操作を使用する、手順と、
    前記第１のＳＳＰが以前に検証されている場合は、前記第１のＳＳＰを再検証し、前記ロック操作を使用せずに前記第１のＳＳＰが使用されていないことを確認する、手順と、
    を実行させるプログラム。
19. 前記複数のＳＳＰが、スーパーバイザ特権レベルに関連付けられた対応する複数のスーパーバイザシャドウスタックを指す、前記第１のＳＳＰを含む複数のスーパーバイザＳＳＰを含む、請求項１８に記載のプログラム。
20. 前記複数のＳＳＰが、ユーザ特権レベルに関連付けられたユーザレベルのシャドウスタックを指す少なくとも１つのユーザレベルのＳＳＰをさらに含む、請求項１９に記載のプログラム。
21. 前記第１のイベントが、前記第１のイベント優先度レベルに関連する第１の割り込みまたは第１の例外を含む、請求項１８〜２０のいずれか一項に記載のプログラム。
22. 前記複数のＳＳＰが、対応する複数のイベント優先度レベルに関連付けられる、請求項２１に記載のプログラム。
23. 前記第１のＳＳＰが使用されていないことを確認する手順は、前記第１のＳＳＰに関連付けられたビジービットの値をチェックすることを含む、請求項１８〜２２のいずれか一項に記載のプログラム。
24. 前記第１のＳＳＰを検証する手順、および再検証する手順は、前記第１のＳＳＰを、前記第１のシャドウスタックの最上部に格納された第１のトークン値と比較することを含む、請求項２３に記載のプログラム。
25. 前記コンピュータに、
    前記第１のシャドウスタックに関連付けられた第１のデータスタックを使用して、前記第１のデータスタックに関連付けられた第１のスーパーバイザ特権レベルで、１つまたは複数の命令を実行する手順、
    をさらに実行させる、請求項２４に記載のプログラム。
26. 請求項１８〜２５のいずれか一項に記載のプログラムを記憶した非一時的機械可読媒体。

Images