TWI295782B - Multi-processor system, method, and chipset for deadlock free bus protection of resources during secure execution - Google Patents

Description

1295782 (1) 九、發明說明 【發明所屬之技術領域】 本發明的實施例與安全執行環境有關。更特定地說， 本發明的實施例與避免具有至少一個在安全執行模式中執 行之處理器之多處理器系統的鎖死情況有關。 【先前技術】 • 在現今資訊帶動的社會中，多處理器系統無所不在。 在某些情況中，吾人希望允許系統中的一個處理器處理安 全敏感性高的資訊，同時限制系統中的其它處理器存取它 的資訊。爲此目的，建立各種安全環境，以認證安全資料 的可能存取者，以防止在該資料暴露於共用記憶體或其它 共用資源中時，被其它代理者（agent )存取。在某些情況 中，共用匯流排上的仲裁器不允許該匯流排到達任何不在 安全模式中執行的處理器。不幸的是，在某些整體的作業 _ 中，諸如停止時脈作業（stop clock operation )，需要來 自所有處理器指示它們已準備發生停止時脈作業的認可。 當仲裁器阻隔匯流排中所有不在安全模式的匯流排代理者 時，這些匯流排代理者即無法認可停止時脈的請求，且因 此停止時脈的作業絕不可能發生。此將導致嚴重的耗電及 /或鎖死情況。 本發明經由實例說明，但並非受附圖的限制，圖中相 同的參考編號指示類似的元件。須注意，本揭示中的“某 或“一”實施例，並不必然是相同的實施例，而是指至少其 -5- (2) 1295782 中之一*。 【發明內容及實施方式】 圖1是本發明一實施例的系統方塊圖。第一匯流排代 理者（諸如處理器1 00 )耦合於匯流排1 1 2。匯流排1〗2與 一或多個其它的匯流排代理者（諸如處理器1 60 )共用。 匯流排代理者可任意多個，並受匯流排1 1 2實體及電氣限 • 制的限制。仲裁單元1 1 4在各不同匯流排代理者（諸如處 理器100與處理器160 )間干預對匯流排！ 12的存取。在某 些實施例中，可存在各自獨立的實體匯流排，但邏輯上被 當成單一個匯流排被仲裁。晶片組12〇位於匯流排i 12上。 晶片組1 20提供共用匯流排1 1 2之匯流排代理者、系統記憶 體140、與輸入/輸出（1/〇)裝置150間的介面。 於一實施例中，各處理器可有專用匯流排及與晶片組 120的介面，用來對諸如系統記憶體140及I/O裝置150的系 φ 統資源存取。 每一個處理器100、160各自包括快取記憶體102及162 。在多處理器系統中之快取記憶體的相干性可以用任何習 知方法執行，包括回寫（write back)、全寫（write through )或在多處理器系統中維持相干性的任何其它傳統 方法。處理器1〇〇包括微碼1 10，其允許經由發出適當的匯 流排周期以進入或離開安全執行模式。處理器100配置認 證引擎108，以允許處理器100認證接收自外部源的碼，以 確保該碼可被信賴。在一實施例中，認證引擎1 〇 8可經由 (3) 1295782 將碼散列（hashing )，並將散列値（hash value )與使用 公私鑰對之公鑰解密之數位簽章散列値（signed hash value )比對’以對碼模組執行認證。在另一實施例中，可 以由微碼1 1 0執行認證。一旦該碼認證成功，處理器1 0 0即 廣播一匯流排周期，以請求登入安全模式。一旦在安全模 式中，處理器100即可在安全模式中操作，直到其發出匯 流排周期來釋放安全模式。 # 在一實施例中，微碼110使用匯流排控制器104與匯流 排1 1 2連絡，以產生以進入安全執行模式的匯流排周期。 在安全執行模式中，處理器100執行來自內部隨機存取記 憶體（RAM ) 106內的認證碼。由於RAM 106是內部資料 且碼在其內連續，通常無法被外部的代理者存取，但是， 該碼也可使用來自系統記憶體1 40的安全敏感性資料，或 執行包括其它匯流排代理者不被允許存取之資料的安全敏 感性I/O作業。因此，當處理器100在安全模式中操作時， # 重點是處理器160不被允許在匯流排112上執行安全敏感性 匯流排周期。不過，如前所述，經由拒絕處理器1 60在仲 裁器114仲裁的權利以限制處理器160進出匯流排，可能導 致鎖死情況。 因此，當匯流排控制器1 04發出構成進入安全模式之 請求的信號時，晶片組120內的匯流排控制器124接收該周 期，且識別邏輯126擷取用於處理器100的識別符，當與系 統中其它的匯流排代理者比較時，其唯一地識別該處理器 。該識別符被記錄於儲存單元1 2 8中，用於與後續的匯流 (4) 1295782 排周期比較。在另一實施例中，所有處理器執行快取無效 的聯繫交換（handshake )是處理器進入安全模式的先決 條件。分別存在於處理器1 00及1 60內的快取無效邏輯1 3 0 ' 1 3 1執行快取無效。此免除了安全執行模式期間所需的 回寫。在另一實施例中不發生快取無效，但來自不安全的 匯流排代理者回應窺探周期的寫入，不視爲“安全敏感的” 周期。 # 當處理器1〇〇在安全執行模式中操作時，晶片組120爲 了安全敏感周期監視匯流排1 1 2。如果安全敏感周期被識 別’晶片組使用比較邏輯1 22比較原發信匯流排代理者的 識別符與記錄在儲存元件i 28內的識別符。如果識別符匹 配，例如安全敏感匯流排周期的原發信者，是在安全模式 中操作的匯流排代理者，則異動（transaction )被允許完 成。不過，如果識別符不匹配，例如，處理器1 00在安全 執行模式中執行之時，處理器1 60嘗試讀取或寫入系統記 # 憶體140，晶片組120將進行干預，並嘗識防止異動完成， 或防止非安全匯流排代理者進一步的異動。爲便於干預， 晶片組120可包括重置/中斷邏輯132。在一實施例中，晶 片組1 2 0的干預是經由回應非安全匯流排代理者所發出的 安全敏感匯流排周期判定（assert )系統重置。在另一實 施例中，晶片組120將高度優先中斷判定給匯流排代理者 ，例如在安全模式中執行的處理器1 00。在一實施例中， 每一處理器都具有一專用匯流排，但共享某些系統資源， 僅對共享資源（諸如系統記憶體1 40或I/O裝置1 5 0 )的存 (5) 1295782 取視爲安全敏感。換言之’處理器可自由使用它的專用資 源，即使當另一匯流排代理者在安全模式中，也不會被晶 片組干預。 在某些情況中，晶片組1 20可能希望執行整體動作。 例如，就電力管理而論，晶片組經常的工作是判定停止時 脈動作。不過，在發生整體動作之前，匯流排上的每一個 代理者（例如處理器1 00及處理器1 60 )必須認可它們是在 • 例如時脈可被停止的狀態。由於停止時脈認可並不被視爲 安全敏感的異動，其允許匯流排上的所有代理者完成，即 使是當某個代理者是在安全執行模式中操作。按此方式， 電力管理及其它瑣碎的管理可有效地完成，不會危及安全 執行模式的安全性。 在某些實施例中，其它的匯流排代理者，諸如直接記 憶體存取（DMA )控制器、網路卡、其它的I/O主匯流排 可能嘗識安全性敏感的異動。在一實施例中，安全性被這 • 類裝置破壞的防止留給控制它們的處理器。在另一實施例 中，晶片組將這類匯流排代理者當成處理器匯流排代理者 處理，例如，當另一代理者在安全模式中時，如果這類代 理者主張一安全敏感周期，則進行干預。 圖2是本發明一實施例之晶片組的操作流程圖。在決 定方塊202處，決定是否有構成登入安全模式之請求的匯 流排周期。如果沒有，晶片組監視其它的匯流排周期，允 許其按正常過程完成，直至接收到請求安全模式的匯流排 周期。當接收到請求安全模式的匯流排周期時，在方塊 -9 - (6) 1295782 2 04，晶片組記錄發出請求之匯流排代理者的識別符。 方塊2 1 0以虛線繪製，其反映晶片組可能起始的整體 動作，但並非流程圖每一次重複都必須做此動作。這類整 體動作例如包括停止時脈條件的判定，或是需要回應的中 斷控制器訊息周期。 在方塊2 1 2，晶片組接收一匯流排周期。在決定方塊 2 1 4，晶片組決定該周期被視爲是安全性敏感的周期。例 • 如，在一實施例中，對系統記憶體或I/O裝置所有的讀取 及寫入周期都被視爲安全性敏感。此外，各種的控制周期 可視爲安全性敏感。反之，例如，中斷認可及整體動作認 可則被視爲非安全性敏感。例如，可將第二個請求進入安 全模式者（當已有另一個處理器在安全模式中執行時）視 爲是一攻擊。如果該周期不是安全性敏感，則在方塊2 1 6 決定該周期是否認可一待解決的整體動作。如果爲否，則 該周期被允許在方塊2 1 8完成。如果爲是，則在方塊2 1 8決 Φ 定是否接收到來自所有代理者的認可。如果所有代理者都 認可，晶片組在方塊222完成整體動作。 如果在方塊214決定該周期是安全性敏感，則在224決 定是否是來自安全的代理者。如果該周期是來自安全的代 理者，則在方塊22 6決定該匯流排周期是否是安全模式的 釋放。如果不是，則允許匯流排周期在方塊2 1 8處完成。 如果爲是，則系統中目前沒有代理者是在安全模式。如果 在決定方塊224決定該周期不是來自在安全模式中的代理 者，則晶片組在2 2 8干預匯流排的存取。在不同的實施例 (7) 1295782 中，此干預所採用的型式可能是將高度優先中斷判定給在 安全模式中操作的匯流排代理者，或者採用判定系統重置 的型式，以重置整個系統。 圖3是本發明一實施例之處理器的操作流程圖。在方 塊302，處理器認證一碼區塊。在方塊304，該處理器廣播 請求登入安全模式的匯流排周期。決定方塊306代表在設 計時所做的隱性決定，在該處決定在安全執行模式期間， # 是否容許爲快取相干性回寫。在另一實施例中，認證碼提 供決定方塊3 0 6做決定的基礎。例如，認證碼可設定處理 器內的暫存器指示是否允許回寫。如果回寫不被允許，所 有快取的匯流排代理者需要在方塊3 07使快取無效，以確 保安全執行期間的快取相干性。使快取無效可以使用各種 聯繫交換技術執行，能有效地要求快取中最近的資訊回寫 到系統記憶體是進入安全模式的先決條件。在方塊3 0 8， 處理器執行來自內部隨機存取記憶體（RAM )內的認證碼 # 。處理器可保持在安全模式中一段無限制的時間周期。在 一實施例中，晶片組保持它的安全警戒，直至安全的處理 器在匯流排上發出離開安全執行模式的釋放周期。當處理 器結束它的安全執行時，其在方塊310發出離開安全模式 的釋放周期。 在上述的說明書中，已參考特定實施例描述了本發明 。不過’很明顯，可對其做各樣的修改及變化，不會偏離 所附申請專利範圍內所宣布之較廣義的精神與範圍。因此 ，說明書與圖式可視爲說明，而無限制之意。 -11 - (8)1295782 【圖式簡單說明】 圖1是本發明一實 圖2是本發明一實 圖3是本發明一實 【主要元件符號說明： 1〇〇 :處理器 I 1 2 :匯流排 160 :處理器 II 4 :仲裁單元 120 :晶片組 140 :系統記憶體 150:輸入/輸出 102 :快取記憶體 104 :匯流排控制 162 :快取記億體 1 1 〇 :微碼 108 :認證引擎 106 :內部隨機存 126 :識別邏輯 128 :儲存單元 1 3 0 :快取無效邏 1 3 1 :快取無效邏 施例的系統方塊圖。 施例之晶片組的操作流程圖。 施例之處理器的操作流程圖。 (I/O)裝置 器 取記憶體 輯 輯 -12- (9)1295782 1 2 2 :比較邏輯 124 :匯流排控制器 132 :重置/中斷邏輯

-13-

Claims (1)

1. 1295782 十、申請專利範圍 附件2: 第94 1 3053 8號專利申請案 中文申請專利範圍替換本 民國9 6年12月21日修正 I 一種於安全資料存取的資源保護期間避免匯流排 被鎖死之方法，包含：

   識別來自第一匯流排代理者的匯流排周期當成進入安 全執行模式的請求； 記錄第一匯流排代理者的識別符； 如果另一匯流排代理者起始一安全敏感匯流排周期， 即進行干預。 2 ·如申請專利範圍第1項的方法，其中該干預包含以 下其中之一： 傳送局度優先中斷至該第一匯流排代理者；以及 起始系統重置。 3 ·如申請專利範圍第1項的方法，其中該干預包含： 防止安全敏感匯流排周期的完成。 4 ·如申請專利範圍第1項的方法，其中該干預包含·· 防止由其它匯流排代理者所起始的後續異動。 5 ·如申請專利範圍第1項的方法，另包含： 允許來自任何匯流排代理者的安全非敏感匯流排周期 6.如申請專利範圍第1項的方法，另包含： δα' 12. 1295782 起始匯流排上的整體動作； 當第一匯流排代理者在安全模式中時，經由該匯流排 接受來自各個匯流排代理者之整體動作的認可；以及 完成該整體動作。 7 ·如申請專利範圍第1項的方法，其中，除了回寫周 期外的指向系統記憶體及I/O裝置的所有的讀取及寫入周 期都被視爲安全敏感周期。

   8 ·如申請專利範圍第1項的方法，另包含： 接收來自第一匯流排代理者指示釋放安全執行模式的 匯流排周期； 回應該釋放以停止干預。 9· 一種於安全資料存取的資源保護期間避免匯流排 被鎖死之多處理器系統，包含： 匯流排； 第一匯流排代理者，耦合於該匯流排，該第一匯流排 φ 代理者具有邏輯以允許進入安全執行模式； 第二匯流排代理者，耦合於該匯流排；以及 晶片組，耦合於該匯流排，用以識別來自該第一匯流 排代理者的匯流排周期以起始安全執行模式，該晶片組記 錄該第一匯流排代理者的識別符，並限制來自第二匯流排 代理者的安全敏感匯流排周期，直到第一匯流排代理者離 開安全執行模式。 1〇·如申請專利範圍第9項的系統，其中該第一匯流 排代理者包含： 1295782 M：i2：ri 千，.]

   內部隨機存取記憶體； 認證引擎； 微碼，用以產生第一匯流排周期，以進入第二匯流排 周期以離開安全執行模式； 匯流排控制器，用以起始該第一及第二匯流排周期。 1 1 .如申請專利範圍第9項的系統，其中該晶片組包

   匯流排控制器，用以接受來自該第一及第二匯流排代 理者的匯流排周期； 用以.識別請求進入安全執行模式的周期的邏輯； 儲存元件，用以保存該周期的來源的識別符；以及 用以比較該識別符與後續安全敏感周期來源的識別符 的邏輯。 1 2 ·如申請專利範圍第9項的系統，其中該第一匯流 排代理者及第二匯流排代理者各包括快取無效化邏輯，用 Φ 以回應進入安全執行模式的嘗識，使局部快取無效。 1 3 ·如申請專利範圍弟9項的系統，其中該第二匯流 排代理者爲以下其中之一： 直接記億體存取控制器、網路處理器、通用處理器、 以及輸入/輸出匯流排支配器。 14· 一種於安全資料存取的資源保護期間避免匯流排 被鎖死之晶片組，包含： 匯流排控制器’用以識別請求進入安全執行模式的匯 流排周期； -3- 1295782

   Ιϊ2Τ 月E

   儲存元件，用以記錄該匯流排周期的來源的識別符； 以及 比較邏輯，用以識別安全敏感匯流排周期是否源自於 該來源。 1 5 ·如申請專利範圍第1 4項的晶片組，另包含： 重置邏輯，用以回應當該比較邏輯識別出該安全敏感 匯流排周期不是源自於該來源時，迫,使系統重置。

   1 6·如申請專利範圍第1 4項的晶片組，另包含： 中斷產生器，用以於若該安全敏感匯流排周期源自於 不同的來源時，回應於該安全敏感匯流排周期，產生指向 g流排周期的該來源的高度優先性的中斷。