TWI312253B - Data processing apparatus and method for controlling access to a memory in the same - Google Patents

Data processing apparatus and method for controlling access to a memory in the same Download PDF

Info

Publication number
TWI312253B
TWI312253B TW92132190A TW92132190A TWI312253B TW I312253 B TWI312253 B TW I312253B TW 92132190 A TW92132190 A TW 92132190A TW 92132190 A TW92132190 A TW 92132190A TW I312253 B TWI312253 B TW I312253B
Authority
TW
Taiwan
Prior art keywords
security
memory
secure
mode
processor
Prior art date
Application number
TW92132190A
Other languages
English (en)
Other versions
TW200417216A (en
Inventor
Simon Charles Watt
Lionel Belnet
David Hennah Mansell
Nicolas Chaussade
Peter Guy Middleton
Original Assignee
Arm Limite
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from GB0226875A external-priority patent/GB0226875D0/en
Priority claimed from GB0226879A external-priority patent/GB0226879D0/en
Priority claimed from GB0303446A external-priority patent/GB0303446D0/en
Application filed by Arm Limite filed Critical Arm Limite
Publication of TW200417216A publication Critical patent/TW200417216A/zh
Application granted granted Critical
Publication of TWI312253B publication Critical patent/TWI312253B/zh

Links

Landscapes

  • Storage Device Security (AREA)

Description

1312253 玖、發明說明： 【發明所屬之技術領域】 本發明相關於用以控制一裝置對一記憶體之存取。 【先前技術】 為執行在資訊處理設備所載入的應用，一典型的資訊 處理設備包括處理器。在一作業系統的控制下操作該處理 器。被要求以執行任何特定應用的資料通常儲存在資訊處 理設備的一記憶體之内。人們將了解，資料可以包含在該 應用之内所含有的指令和/或在關於處理器那些指令的執 行期間所使用的實際資料值。 此處有許多例子，當該些應用所使用之至少一資料是 敏感資料時，其不應該由能夠在該處理器上執行的其他應 用所存取。舉一示例，當資訊處理設備是智慧卡時，而該 些應用之一是使用敏感資料的一安全性應用，例如，安全 金鑰，用以執行驗證、認證、解密等等。在此類的情況下， 吾人很清楚確保此類敏感資料的安全之重要性，使其不能 被可能在該資料處理設備中載入的其他應用所存取，例如 企圖存取上述安全性資料之已被載入的駭客應用。 在習知系統中，確保作業系統能提供足夠的安全性以 確保在該作業系統的控制中所執行的其他應用不能存取一 應用的安全性資料通常是作業系統開發者的工作。然而， 如果系統變得更複雜，一般傾向是作業系統變得更大和更 複雜，而此類的情況下，讓作業系統本身確保足夠安全性 3 1312253 變得愈益困難。 尋求針對敏感資料提供安全性儲存和3 保護之系統示例係論述於美國專
因此，為尋求維護在資料處理設備的記憶體之内所含 有的此類安全性資料的安全性，亟需提供一改進的技術。
子和針對惡意程式碼 國專利申請案 US 6,292,874 B 和 US 本發明之第態樣提供具有一安全性網域和一非安 全性網域之資料處理設備，在該安全性網域中，該資料處 理設備所存取的安全性資料係不可在該非安全性網域存取 者’該資料處理設備包含：一裝置匯流排；一裝置，其連 接至該裝置匯流排並操作以以發出相關於該安全性網域或 該非安全性網域之一記憶體存取請求；一記憶體，其連接 至該裝置匯流排並操作以儲存該裝置所請求之資料，該記 憶體包含用以儲存安全性資料的安全性記憶體和用以儲存 非安全性資料的非安全性記憶體。當該裝置請求該記憶體 中的一資料項目時，該裝置可操作以發出一記憶體存取請 求至至該裝置匯流排；以及分割檢測邏輯，其連接至裳置 匯流排，以及只要在裝置所發出的記憶體存取請求相關於 該非安全性資料時，可操作以偵測是否該記憶體存取請求 尋求存取該安全性記憶體’以及藉由此類偵測以防止此類 記憶體請求的存取。 4 1312253 依據本發明 體，和可操作以 關之記憶體存取 的資料，和包含 用以儲存非安全 取記憶體中的一 至裝置匯流排。 至裝置匯流排， 相關於該非安全 取請求尋求存取 止此類記憶體請 因此，安排 當裝置發出記憶 不會存取該安全 在一實施例 非安全性網域之 的至少一安全性 分割檢測邏 憶體之間的分割 接（hardwire)該 < 非安全性記憶體 當裝置在一預定 全性記憶體和非 中，當以預定的 ’一裝置藉由一裝置匯流排連結一 發出與一安全性網域或一非安全性網 請求。該記憶體可操作以儲存裝置所 用以儲存安全性資料的安全性記憶體 性資料的非安全性記憶體。當裝置想 資料項時，安排其發出一記憶體存取 依據本發明，提供分割檢測邏輯，其 以及只要在裝置所發出的記憶體存取 記憶 域相 需要 以及 要存 請求 連接 請求 體存 以防 以在 確保 含在 域中 性記 夠硬 體和 中， 在安 施例 檢測 性 資 料 時 > 可 操 作 以 偵 測 是 否 該 記 憶 該 安 全 性 記 憶 體 9 以 及 藉 由 此 類 偵 測 求 的 存 取 〇 分 割 檢 測 邏 輯 監 督 對 記 憶 體 的 存 取 ) 體 存 取 請 求 相 關 於 非 安 全 性 網 域 時 > 性 記 憶 體 〇 中 該 裝 置 可 在 多 數 模 式 下 操 作 包 至 少 一 非 安 全 性 模 式 和 在 非 安 全 性 網 模 式 0 輯 存 取 關 於 在 安 全 性 記 憶 體 和 非 安 全 之 資 訊 〇 吾 人 將 了 解 在 實 施 例 中 能 卜割資訊， 其 中 不 能 改 變 在 安 全 性 記 憶 之 間 的 實 體 分 割 〇 j ^丨 而1 丨在輕 t佳賓 i例 的 安 全 性 模 式 中 操 作 時 9 裝 置 可 設 定 安 全 性 記 憶 體 之 間 的 分 割 在 此 類 實 安 全 性 模 式操 作 時 > 由 裝 置 安 排 分 割 1312253 邏輯。因此，如果被安裝至該裝置之一惡意應用其目的在 於存取該安全性資料，則該應用不能在該安全性網域中執 行，以及它因此不能改變該分割資訊。因此，即使該應用 能夠輸出一記憶體存取請求，其企圖存取該安全性記憶體 中的一位置，該分割檢測邏輯將偵測到在該裝置的非安全 性模式中執行的該應用企圖存取一安全性記憶體位置，以 及將防止該存取發生。
吾人將了解，有一些不同的方法，其中分割檢測邏輯 可以從裝置接收關於該記憶體存取請求所相關之網域之資 訊。然而，在較佳實施例中，裝置所發出之記憶體存取請 求包含一網域信號，其確定是否該記憶體存取請求相關於 該安全性網域或該非安全性網域。
在本發明之一實施例中，該網域信號因此能確定是否 該裝置在安全性網域或非安全性網域中操作，以及因此當 該網域信號指示該裝置係在非安全性網域中操作時，能夠 觸發分割檢測邏輯檢查記憶體存取請求。在較佳實施例 中，當裝置在安全性網域中操作時，該分割檢測邏輯不執 行任何分割檢查，因為在較佳實施例中，當在一安全性模 式中操作時，裝置都能夠存取安全性記憶體和非安全性記 憶體。 吾人將了解，在記憶體存取請求中能夠使用許多種方 法讓網域信號共同作用。較佳的實施例為，在硬體層級宣 告該網域信號和因此只可由裝置本身確認能在安全性網域 中執行的應用來宣告。因此對在裝置上執行的惡意應用而 6 1312253 言不可能竄改網域信號的設定。尤其是，在較佳實施例中， 裝置具有一預定腳位（pin)用以輸出網域信號至裝置匯流 排，以及在預定的狀態下設 一非安全性模式中操作。因 置在安全性網域中執行安全 以指示該裝置係在安全性網 信號設置時，分割檢測邏輯 資料。 吾人將了解，能夠以許 而，在較佳實施例中，在連 供該分割檢測邏輯，以在發 體存取請求之間進行判斷。 邏輯與判優器結合，和事實 是否判優器同意記憶體存取 在較佳實施例中，在上 一非安全性作業系統的控制 域中，裝置係在一安全性作 性作業系統通常遠比非安全 一安全性核心用以控制某些 安全性網域能夠視為提供一 境中實施某些敏感的操作。 安全性網域中，其能夠視為 吾人將了解，該裝置能 數的此類裝置與匯流排連結 置該網域信號以指示裝置係在 此，在一實施例中，只有當裝 性應用時，將設置該網域信號 域中操作，亦只有當該網域發 允許存取在記憶體中的安全性 多方法實施分割檢測邏輯。然 接至裝置匯流排的判優器中提 出至該裝置匯流排的衝突記憶 吾人已經發現易於使分割檢測 上亦允許由分割檢測邏輯決定 請求。 述非安全性網域中，裝置係在 中操作，以及在上述安全性網 業系統的控制中操作。該安全 性作業系統來得小並能夠視為 安全性功能。藉由該方法，該 安全性情境以令在一控制的環 而後其它應用可以保留在該非 一非安全性情境。 夠有許多形式，以及的確有多 。在多數裝置連接至匯流排的 7 1312253 與 割 每 裝 用 晶 定 存 資 處 的 等 匯 以 別 以 割 操 情況下，當裝置在一安全性模式中操作時，可在安全性 非安全性模式二者中操作之每一裝置能夠獨立控制該分 檢測邏輯，在此類情況下，該分割檢測邏輯存取專屬於 一各別裝置的分割資訊。然而，較佳的實施例為，該些 置之一負責分割檢測邏輯的管理。 在較佳實施例中，至少一裝置是與一處理器共同作 的一晶片（Chip)，當處理器產生記憶體存取請求時，該 片更包含一記憶體管理單元可操作以執行一或多數的預 的存取控制功能，以控制對裝置匯流排所發出的記憶體 取請求。可以在相同的晶片上或在晶片外（Off-chip)提供 料處理設備的一或多數其它部分。 人們將了解連接至該裝置的記憶體能夠有許多形式 例如隨機存取記憶體（RAM)、唯讀記憶體（ROM)、一硬碟 在對某些週邊裝置中的登錄、等等。除了此類記憶體之外 人們將了解當該裝置使用一連接於其中之系統匯流排與 理器共同作用的晶片時，也可能有連接至該系統匯流排 某種記憶體，例如，快取記憶體、緊接記憶體（TCM)、 等。 因此，在某些實施例，該晶片更包含：經由一系統 流排連接至處理器之特別記憶體，該特別記憶體可操作 貯存該處理器所需要的資料，該特別記憶包含安全性特 記憶體用以儲存安全性資料，和非安全性特別記憶體用 儲存非安全性資料；以及連接至該系統匯流排的特別分 檢測邏輯，以及當在該非安全性網域之非安全性模式中 8 1312253 作時，只要處理器產生記憶體存取請求，便偵測是否該記 憶體存取請求意圖存取該安全性記憶體或該安全性特別記 憶，以藉由此類偵測防止此類記憶體存取請求的存取。 因為對於連接至系統匯流排的記憶體而言，與裝置匯 流排連結的分割檢測邏輯不能執行任何分割檢測功能，在 此類實施例中，提供特別分割檢測邏輯以確保當處理器在 一非安全性模式中操作時，其不能存取安全性記憶體系統 的任何部分，不論是否是與裝置匯流排連結的安全性記憶 體的特定部分，或含有安全性資料的特別記憶體的特定部 分。 依據本發明的一實施例，處理器操作於多數模式中， 包含在非安全性網域中的至少一非安全性模式，以及在安 全性網域中的至少一安全性模式。當操作於一非安全性模 式中時，處理器係操作於一非安全性作業系統的控制下， 例如一標準的預先存在的作業系統。然而，當操作於一安 全性模式中時，處理器係操作於一安全性作業系統的控制 下。比較起非安全性作業系統，該安全性作業系統最好能 相對來得小，以及具有一安全性核心的形式，用以執行某 些安全性功能。藉由上述方法，該安全性網域能夠被視為 提供一安全性情境以在一控制的環境中執行某些敏感的操 作。其它應用仍保留在非安全性網域中，其能夠視為一非 安全性情境。 在一可操作之實施例中提供一記憶體管理單元，當處 理器想要存取記憶體中之一資料項時，藉由接收由處理器 9 1312253 發出的記憶體存取請求執行一或多數的預定存取控制 以控制對記憶體發出的記憶體存取請求。舉_示例， 預定的存取控制功能可能涉及虚擬位址至實體位址 譯’檢視存取許可權限以確保在現有作業模式下操作 理器是允許存取所需的資料項的、區域屬性的分析， 決定資料項是可快取的、可緩衝的、等等，—如那坻 本項技藝者所了解者。 尤有甚者，依據本實施例，由安全性作業系統管 別分割檢測邏輯。因為由安全性作業系統管理該特別 檢測邏輯，該特別分割檢測邏輯不會被非安全性應用 變，因此防止對安全性資料之未經授權的存取。 該特別分割檢測邏輯將存取有關於安全性記憶體 安全性記憶體間分割的資訊。吾人將了解，在實施例 能硬接（hardwire)該分割資訊，其中在安全性記憶體和 全性記憶體之間的實體分割不能被改變。然而，在較 施例中，當處理器在一預定的安全性棋式中操作時， 理器能設定在安全性記憶體和非安全性記憶體之間 割，以及在此類實施例中，當在預定的安全性模式中 時，由處理器管理該特別分割檢測邏輯。因此，如果 在處理器上的-惡意應用企圖存取安全性資料，該應 能在安全性網域中執行，以及因此其不能改變該分 訊。因此，即使該應用能夠輸出記憶體存取請求，企 取安全性記㈣中的位置，該特別分割檢測邏輯將镇 在處理器的非安全性模式中執行的應用企圖存取—安 功能 此類 的轉 之處 例如 熟知 理特 分割 所改 和非 中， 非安 佳實 該處 的分 操作 安裝 用不 割資 圆存 測到 全性 10 1312253 記憶體位置，以 那些熟知本 構’記憶體存取 中’可以指定實 操作於一非安全 址’和該記憶磨 制，在此類實施 較佳的存取控制 果由由該記憶體 記憶之内的話， 體存取請求所指 尤有甚者， 模式中操作時， 中由安全性作業 管理單元所執行 位址至實體位址 割撿測邏輯。 在一實施例 取請求使用虛擬 分割檢測邏輯， 時便可操作。因 理單元以執行必. 取控制功能，但, 理器操作於一非 及將防止該存取發生。 項技藝者將了解’依據資料處理系統的架 請求可以指定虚擬位址’或在某些實施例 體位址。然而’在較佳實施例，當處理器 性模式時’記憶體存取請求指定一虛擬位 管理單元係藉由非安全性作業系統所控 例中，由該記憶體管 功能包含虛擬位址至 管理單元所產生之實 該特別分割檢測邏輯 定的存取》 理單元所執行之一該 實體位址之轉變，如 體位址係在該安全性 可操作以防止由記憶
在較佳實施例中，當 記憶體存取請求可以 系統控制記憶體管理 的上述預定的存取控 的轉換，至少一安全 處理器係在一安全性 指定一虛擬位址，其 單70，以及由記憶體 制功能之一包含虛擬 性模式不使用特別分
叫砀s匕m 位址，以及在記憶體e理單兀中提佴 以及只要處理器在—办 器在非安全性模式令 此，不論操作的模式 飞為何，使用記憶 麥的位址轉譯，以Β 以及任何其它所需要！ I該特別分割檢測邏輯 4性模式t時，當^最好只用於1 备匕存取記憶體中合 11 1312253 吾人將了解，在選擇性的實施例 度的分割檢查供操作的某些安全 料時將沒有限制《然而， 中，肯定可以提供某種程 性模式之用。 在本發明的一撰摇u, 選擇性實施例中，至少有操作的—特定 安全性模式，其中由 τ由—實體位址直接指定記憶體存取 求’以及因此在一牲々Λ 特疋女全性模式中，不需要執行任何虚 擬至實體位址的轉謹。扯 ， …、而直接指定實體位址的方法較虛 擬位址的方法來得不雷，本 m Α ^ ^ 靈活’因為在虛擬位址和實體位址 間的不用執行映射，其太π ^ 再本身就較具安全性。因此，在—進 一步的較佳實施例中， 直接彳Β疋記憶體存取請求的實體位 址之安全性模式是接/士 β 細作模式中最具安全性者，在較佳實施 例中，該模式稱作握你> _ ρ 卞操作之一監控模式，以及負責管理在非 安王性和安全性網域中資料處理設備的轉換。 在此類較佳的實施例，該資料處理設備更包含一記憶 體保護單元，其中提供該特別分割檢測邏輯，該記憶體^ 護單元管理係藉安全性作業系統管理，其十當該處理器操 作於一特殊的安全性模式’該記憶體存取請求一記憶體位 置之一實體位址，未使用該記憶體管理單元，以及該記情 體保護單元操作以執行至少記憶體存取許可處理，以確句 是否由該實體位址指定之該記憶體位置在該特殊安全性模 式係可存取者。因此’當處理器在一特殊安全性棋式中操 作時，僅由安全性作業系統管理的記憶體保護單元管理該 存取。 在較佳實施例’該記憶體包含至少一表格其包含一此 12 第彳’/ 3 >/ f c
1312253 記憶體區域之每一的一相關描述符，該記憶體管理單元包 含一内部儲存單元，用以儲存推導自該些描述符以及由該 記憶體管理單元所使用之存取控制資訊，以為該記憶體存 取請求執行預定的存取控制功能，當該處理器係操作於該 至少一非安全性模式，該特別分割檢測邏輯可操作以防止 該内部儲存單元儲存允許存取該安全性記憶體之存取控制 資訊。
那些熟知本項技藝者將了解，描述符的此類表格能夠 有許多形式，但是，在較佳實施例中，此類表格係分頁表， 其在描述相關於記憶體之該頁的存取控制資訊的一對應描 述符中定義記憶體的一些分頁中之每一者。因此，舉例來 說，描述符可以為該頁定義一虛擬位址部分以及一對應的 實體位址部分、存取許可資訊（例如是否該頁在監督模式、 使用者模式等等中可存取）、以及區域屬性例如是否包含在 該頁中的資料是可快取的、可缓衝的、等等。
在該些實施例中，記憶體存取請求指定一虛擬位址以 及因此在該表格中的描述符包含至少一虛擬位址部分以及 對應的記憶體區域之一對應實體位址部分，該特別分割檢 測邏輯係可操作的，當該處理器係操作於該至少一非安全 性模式，以防止該内部儲存單元把存取控制資訊儲存至該 實體位址部分，如果之後為該虛擬位址所產生之該實體位 址係在該安全性記憶中。 吾人將於下文中了解，在一正確執行的系統中，處理 器在一非安全性模式中執行之一非安全性應用通常不知道 13 1312253 女全性記憶體，而當處理器在此一韭—入t ^ — 非女全性模式中時， 處理器參考以使虛擬位址轉換 I命—谀成實體位址之表格不應n 考與女全性記憶體共同作用之 ^ μ 彳7 〇卩分的記憶體區域。 而’在非安全性應用係一設計為 ^ m m ^ - Jt "、圖存取安全性資訊之 客應用的不例中，吾人將了解，者
_ _ 曰在一非安全性模式中E 亦有可能破壞處理器所參考表 ' τ的描逃符，以姦斗并 安全性記憶體的一些部分的映 產生才曰 性作業系統在安全性網域中管理2而，㈣為由-安 不舍S A Jg I特別分割檢測邏輯， 不會因此類活動而受到破壞， 肼迪ft坫杳Μ 因此可以伯測從一描述 所截取的實體位址部分的此類 抱 擬位址所產生的實體位址係在二性以使之後為-特定 果已欺騙性地改變了記憶體 記憶體中。因此’ 性記怦體的；fe _ ’如果將導致對安 r生》己is骽的存取，該特別分割 單元的内邙铋六-d邏輯將防止記憶體管 皁兀的内邵儲存早疋儲存已改 此將防止該存取的發生。 存取控制資訊，以及 在記憶體管理單元中的内部儲存 式。然而，在較佳實施例中， 有許多 緩衝（TLB)可操作以儲存_ °儲存單元是-轉譯參 位址部分，其截取自至少_ :擬位址部分之對應的贺 在一實施例中，在記掩之對應描述符所獲得。 TLB，以及特別分割檢測邏輯：；：單元中將含有單 艘中的一表格之任何插述符確保截取“ 理器在非安全性模式中操作的話，4存在TLB中… 的存取控制資訊所產生的 以及依據在該描述ί 、體位址將指向在安全性記七 被 參 然 駭 向 全 其 符 虛 如 全 理 因 形 考 體 憶 處 中 體 14 1312253 11 ....... _ ―1 年月13修正替換頁: 中的一位置。在安全性和非安全性模式間轉換的操作中， 將清除 TLB以確保在非安全性模式中不可獲得相關於安 全性模式之該描述符，反之亦然。
然而，在一選擇性實施例中，内部儲存單元包含 micro-TLB和主要TLB，該主要TLB被用來儲存由記憶體 管理單元自記憶體中至少一表格所截取之描述符，以及在 使用該存取控制資訊之前，由記憶體管理單元把存取控制 資訊自主要丁LB傳送至micro-TLB以執行記憶體存取請求 之預定之存取控制功能。在此類實施例中，當處理器操作 於該至少一非安全性模式中時，該特別分割檢測邏輯可操 作以防止自主要 TLB 傳送任何存取控制資訊至 micro-TLB，其允許存取該安全性記憶體。
因此，在此類實施例中，能夠複製描述符到主要TLB， 但是，當處理器在非安全性模式t操作時，特別分割檢測 邏輯可操作以監督在主要TLB和micro-TLB之間的介面， 以確保沒有存取控制資訊被傳遞至micro-TLB，其允許存 取安全性記憶體。 在較佳實施例中，在記憶體中不只提供一表格，以及 依據操作模式使用不同表格，因此允許替不同操作模式定 義不同的存取控制資訊。尤有甚者，在較佳實施例，該至 少一表格包含一非安全性表格，用在處理器操作於該至少 一非安全性模式時並包含由非安全性作業系統所產生之描 述符，當在該非安全性表格中的描述符係相關於至少部分 與該安全性記憶體之一部分共同作用之一記憶體區域時， 15 1312253 γ9·8，.™'4γ·.2·專r — 年月曰修_正处诶頁 當處理器係操作於非安全性模式時，該特別分割檢測邏輯 可操作以防止内部儲存單元將由描述符所指定之實體位址 部分儲存作存取控制資訊，如果之後將替該虛擬位址在該 安全性記憶體中產生該實體位址。
此外，在此類較佳實施例中，在虛擬至實體位址間的 轉譯發生在至少一安全性模式中，該至少一表格更包含在 安全性記憶體中的一安全性表格，其包含由安全性作業系 統所產生的描述符，該主要TLB具有一旗標其相關於儲存 在主要TLB中的每一描述符，用以確認是否該描述符來自 上述非安全性表格或上述安全性表格，
當處理器在安全性網域和非安全性網域之間操作時， 藉由與主要TLB中的一旗標共同作用，以指示一對應描述 符是否來自非安全性表格或安全性表格，而不需要清除主 要TLB，反之亦然。當存取控制資訊自主要TLB的描述符 傳遞至micro-TLB時，僅_考慮那些在處理器所操作之現有 網域適當給定的描述符。因此，如果處理器在一非安全性 模式中捧作，和因此在非安全性網域中，則在主要TLB中 只有相關的旗標標示係來自非安全性表格之那些描述符被 視為候選描述符，從中獲得存取控制資訊，以傳遞至 micro-TLB。 在此類較佳實施例中，在一安全性模式和一非安全性 模式間無論何時轉換處理器的操作模式，在安全性模式 中，存取控制資訊只能自主要TLB中的一描述符轉換至 micro-TLB，其中該相關的旗標標示係來自安全性表格， 16
1312253
以及在非安全性模式中，存取控制資訊只能自主要TLB中 的一描述符轉換至micro-TLB，其中該相關的旗標標示係 來自非安全性表格。該micro-TLB通常遠小於主要TLB， 以及因此無論何時處理器在安全性網域和非安全性網域間 移動時，清除micro-TLB不會嚴重衝擊效能。既然由記憶 體管理單元所執行之預定的存取控制功能只針對在 micro-TLB中的存取控制資訊執行。上述機制確保對處理 器的任一特定模式之操作而言，該micro-TLB所包含之存 取控制資訊將只有導自從適當記憶體表格獲得之描述符， 即，當處理器操作於一非安全性模式時，從一非安全性表 格；或當該處理器操作於一安全性模式時，從一安全性表 格。 在實施例中，當操作之所有安全性模式直接在它們的 記憶體存取請求中指定實體位址，吾人將了解，不會需要 在主要TLB令的此類旗標，主要TLB只儲存非安全性描 述符。
吾人將了解，記憶體能夠有許多形式以及能夠位於在 資料處理設備中的許多地方。例如，記憶體可以包含多種 元件中的一或多數，例如，隨機存取記憶體（ram)、唯讀 記憶體（ROM)、一硬碟機、一緊接記憶體（TCM)、一或多 數快取、在週邊裝置提供之多種登錄、以及記憶體位址範 圍允許記憶體的各種元件被分別定址。因此，當在一些實 施例中，如前所述，可以使記憶體的至少部分可以與一裝 置匯流排連結，可以使記憶體的其他部分與一不同匯流排 17 1312253 連結。
例如，在一實施例，處理器係連接至一系統匯流排， 和一部分該記憶包含連接至系統匯流排之一緊接記憶 (TCM) 〇那些熟知該項技藝者將了解，此類TCM時常用作 儲存通常被處理器使用的資料，因為經由系統匯流排對 TCM的存取遠快於對外部記憶體的存取，例如在裝置匯流 排上的記憶體。通常，TCM的實體位址係可設定於資料處 理設備的一控制登錄。然而，它可能引起某些安全性問題， 如下列示例所述。
當處理器在一非安全性模式中操作時，非安全性作業 系統允許設計控制登錄，以定義重疊部分安全性記憶體的 實體位址空間為TCM記憶體。當處理器之後在安全性網域 中操作時，安全性作業系統可以使安全性資料儲存於安全 性記憶體部分，其中通常在TCM而非外部記憶體將中儲存 安全性資料，因為TCM通常具有一較高的優先權。然而， 如果之後非安全性作業系統再次改變 TCM的實體位址範 圍設定，以使先前的安全性記憶部分現下映射至記憶體的 非安全性實體區域，吾人將了解此時非安全性作業系統能 夠存取安全性資料，因為特別分割檢測邏輯將把該區域視 為非安全性並且將不宣告一中止。因此，簡而言之，如果 TCM被設定為如同一般的本地端RAM作用而非智慧型快 取（SmartCache)，如果能夠移動TCM基礎登錄至非安全性 實體位址，則非安全性作業系統亦可能讀取安全性情境資 料。 18 1312253 為了避免上述狀況，在較佳實施例之資料處理設備提 供可由處理器設定之一控制旗標，當在一權限安全性模式 中操作時，用以指示是否緊結記憶體僅在—權限安全性模 武中執行時可由處理器控制’或者可在執行於至少一非安 全改模式時可由處理器控制。控制旗標係由安全性作業系 蛛所設定，以及實際上定義是否由安全性權限模式或非安 全性模式控制TCM。因此，能夠定義的設定是只在處理器 操作於權限安全性模式時能夠控制TCM。在此類實施例 中’對TCM控制登錄之任何非安全性存取意圖將導致進入 —未定義指令異常。 在一選擇性之設定中’當操作於一非安全性模式中時 能夠由處理器控制TCM。在此類實施例中，只能由非安全 性應用使用TCM »不能夠從TCM栽入或儲存入任何安全 性資料。因此，當執行一安全性存取時，在TCM中不執行 查詢’以了解位址是否與該TCM位址範圍符合。較佳 只能由非安全性作業系統使 性作業系統，因為操作係與 TCM以正常的模式進行。 之’本發明在具有一安全性 料處理設備中，提供一種控 性網域中，資料處理設備能 取之安全性資料，該資料處 裝置連接至該裝置匯流排並 其相關於的該安全性網域或 實施例中，設定TCM以使其 用’優點是不需要改變非安全 可被非安全性作業系統使用之 自本發明之一第二態樣觀 網域和一非安全性網域之一資 制記憶體存取之方法，在安全 存取不月b在非安全性網域中存 理設備包含一裝置匯流排、一 操作以發出一記憶體存取請求 19 1312253
該非安全性網域之任一、以及一記憶體連接至該裝置匯流 排並可操作以儲存資料該裝置所需要之資訊，該記憶體包 含用以儲存安全性資料之安全性記憶體，以及用以儲存非 安全性資料之非安全性記憶體，該方法包含下列步驟：（i) 當需要在該記憶體存取一資料項時，自裝置發出一記憶體 存取請求至裝置匯流排；以及（i i)只要裝置所發出之記憶體 存取請求相關於該非安全性網域，使用連接至裝置匯流排 之分割檢測邏輯偵測是否該記憶體存取請求係企圖存取該 安全性記憶體；以及（i i i)依據此類偵測，防止該記憶體存 取請求所指定之存取。
自本發明之另一態樣觀之，本發明提供一資料處理設 備包含：一裝置匯流排、一裝置連接至該裝置匯流排並以 多種模式或在安全性網域或非安全性網域中操作，包含在 非安全性網域之至少一非安全性模式以及在安全性網域之 至少一安全性模式；一記憶體連接至裝置匯流排並可操作 儲存裝置所需要之資料，該記憶體包含用以儲存安全性資 料之安全性記憶體以及用以儲存非安全性資料之非安全性 記憶體，當f:要在該記憶體存取一資料項時，該裝置可操 作以發出一記億體存取請求至裝置匯流排；以及分割檢測 邏輯連接至裝置匯流排和當操作於該至少一非安全性模式 時，只要裝置發出記憶體存取請求，偵測是否該記憶體存 取請求係企圖存取該安全性記憶體；以及依據此類偵測， 防止該記憶體存取請求所指定之存取。 自本發明之另一態樣觀之，本發明提供在一資料處理 20 1312253 ..4—〇 〇 年月日修正替換頁
設備中控制對一記憶體之存取的方法，該資料處理設備包 含一裝置匯流排、一裝置連接至該裝置匯流排並以多種模 式或在安全性網域或非安全性網域中操作，包含在非安全 性網域之至少一非安全性模式以及在安全性網域之至少一 安全性模式；一記憶體連接至裝置匯流排並可操作儲存裝 置所需要之資料，該記憶體包含用以儲存安全性資料之安 全性記憶體以及用以儲存非安全性資料之非安全性記憶 體，該方法包含下列步驟：（i)當需要在該記憶體存取一資 料項時，自裝显發出一記憶體存取請求至裝置匯流排；以 及（ii)當操作於該至少一非安全性模式時，只要裝置發出記 憶體存取請求，使用連接至裝置匯流排之分割檢測邏輯偵 測是否該記te體存取請求係企圖存取該安全性記憶體；以 及（iii)依據此麫偵測，防止該記憶體存取請求所指定之存 取。 【實施方式】
第一圖為依據本發明之較佳實施例描述一資料處理設 備之方塊圖。該資料處理設備與一處理器核心1 〇共同作 用，其中提供一安排以執行一系列指令之算術邏輯單元 (ALU, arithmetic logic unit)16。該 ALU 16 所需要的資料 係在一登錄區塊1 4之内儲存。為核心1 0提供各種監控功 能以截取指示處理器核心活動的診斷資料。舉一示例，提 供一嵌入式达找模組（ETM，Embedded Trace Module)22 ’ 依據定義欲3乂 ： ΐ之活動的ETM 22之内的某些控制登錄26 21 1312253 内容，產生該處理器核心某些活動的即時追蹤。該些追蹤 信號通常被輪出至一追蹤缓衝器’此處能夠在其後分析它 們。提供一向量中斷控制器21以管理可以由各種週邊提供 的多數中斷服務（本文不予贅述）。 尤有甚者，如第一圖所示，能夠在核心10之内提供的 另一監控功能性是一偵錯功能，在資料存取設備之外的一 偵錯應用能藉由連結一或多數掃描鏈12的連接測試存取 群组（JTAG，Joint Test Acces Group)控制器 18 與核心 10 通訊。關於處理器核心1 0各部分的狀態資訊可以藉由該些 掃描鏈12和JTAG控制器18輸出至外部偵錯應用。一在 線模擬器（ICE，In Circuit Emulator)20係用作在登錄24之 内，儲存確認何時起始和停止偵錯功能之情況，和因此， 例如，被用來儲存斷點（breakpoint)、 監視點 (watchpoints)、等等。 核心1 0係藉由記憶體管理邏輯3 0與一系統匯流排40 連結，該記憶體管理邏輯30係被安排為管理核心10所發 出的記憶體存取請求，用以存取在資料處理設備的記憶體 位置。可以藉由直接連接至系統匯流排40之記憶體單元， 例如，第一圖所示之快取38和緊接記憶趙（TCM, Tightly Coupled Memory)36 部署某些部分的記憶體。也可以為存 取此類記憶體提供額外的裝置，例如，直接記憶體存取 (DMA)控制器32。通常，將提供各種控制登錄34以定義 晶片各種元件的某些控制參數，此處，這些控制登錄也稱 作輔助處理器15(CP15)登錄。 22 1312253 可以藉由一外部匯流排界面42使含有核心1 〇的晶片 與—外部匯流排70(例如依據由ARM Limited所發展之「先 進微控制單元匯流棑架構（Advanced Micr〇c〇ntroller Bus Architecture，AMBA)」規格所操作的一匯流排）連結並可以 把各種裝置連接至外部匯流排7〇。這些裝置可以包括例如 數位信號處理器（DSP)的主控裝置，以及各種受控裝置，例 如開機唯讀記憶體44、螢幕驅動器46、外部記憶體56、 輪入/輪出（I/O)界面6〇或金鑰儲存單元64。在第一圖所示 之各種受控裝置可視為是資料處理設備之全部記憶體的共 同作用部分。例如’開機唯讀記憶體44將形成資料處理設 備之可尋址記憶體的部分，外部記憶體5 6亦然。尤有甚 者，例如螢幕驅動器46、輸入輸出界面6〇和金鑰儲存單 元64之裝置都分別包括例如登錄或緩衝器48、62、66之 獨立可尋址内部儲存元件，其作為資料處理設備全部記憶 體的一部分。如稍後將更詳細討論者，記憶體的一部分， 例如’外部記憶體5 6的一部分將被用來儲存定義相關於記 憶體存取控制之一或多數的分頁表58。 熟知該項技藝者將了解，通常替外部匯流排7〇提供判 優器（arbiter)和解碼器邏輯54，該判優器被用來對由多數 主控裝置所發出的多數記憶體存取請求進行判斷，例如， 核心10、DMA 32、Dsp 50、DMA 52、等等，而將用該解 碼器來決疋外部匯流排上的受控裝置所該處理之任何特定 記憶體存取請求。 在一些實施例中，可以對含有核心10的晶片外部提供 23 1312253 外部匯流排，在其他實施例中，將整合晶片（on-chip)以 該外部匯流排提供核心1 0。其比在外部匯流排是非整合 片（off-chip)時更有利於保持外部匯流排上的安全性資 之安全性；當外部匯流排是非整合晶片時，可以用資料 密技術來增進安全性資料的安全性。 第2圖圖示在具有一安全性網域和一非安全性網域 一處理系統上執行的各種程式。為系統提供至少部分在 監控模式中執行的一監控程式7 2。在該示例性實施例中 安全性狀態旗標僅在監控模式之内是可寫入的存取和可 由該監控程式72寫入。該監控程式72負責管理在安全 網域和非安全性網域之間任一方向之所有轉換。以核心 的觀點來看，監控模式總是安全的而監控程式係在安全 記憶體中。 在非安全性網域之内，提供一非安全性作業系統 和與該非安全性作業系統74共同作用的多數非安全性 用程式7 6、7 8。在安全性網域中，提供了 一安全性核心 式8 0。該安全性核心程式8 0能夠視為形成一安全性作 系統。通常將設計此類安全性核心程式8 0為僅提供那些 於處理活動所必須的功能，以使安全性核心8 0盡可能小 簡单’因為如此才易於禮保安全性。圖不與安全性核心 共同執行之多數安全性應用82、84。 第3圖圖示與不同安全性網域相關的處理模式的一 陣。在該特定示例中，該處理模式就安全性網域而論是 稱的，而因此模式1和模式2在安全性和非安全性形式 對 晶 料 加 的 以 性 外 性 7 4 應 程 業 對 而 80 矩 對 中 24 1312253 皆存在。 在系統令監控模式具有安全性存取的最高的層級，和 在示例性實施例中是授權以在非安全性網域和安全性網域 之間的任一方向轉換的唯一模式。因此，所有網域轉換都 在監控模式之内，藉由監控模式和監控程式72的執行而進 行轉換。
第4圖圖示另一組非安全性網域處理模式1、2、3、4， 以及安全性網域處理模式a、b、c。相對於第3圖的對稱 安排，第4圖圖示一些處理模式可能不出現在一或其他安 全性網域。再次圖示監控模式8 6，其為涵蓋非安全性網域 和安全性網域。能夠把監控模式 8 6視為一安全性處理模 式，因為可以在該模式中改變安全性狀態旗標以及在該監 控模式中的監控程式 72自己有能力設定該安全性狀態旗 標，整體而言，其在系統之内有效地提供安全性的終極層 級。
第5圖圖示就安全性網域而言處理模式的另一安排。 在該安排中，安全性和非安全性網域兩者和一進一步的網 域皆被確認。該進一步的網域也許是以一種不需要與上述 安全性網域或非安全性網域相互作用的一種方法，自一系 統的其他部分獨立出來，因而就其本身而言，它屬於何者 的問題就不重要了。 吾人將了解一處理系統，例如通常為一微處理器提供 登錄區塊88，其中可以儲存運算元值。第6圖圖示程式設 計人員的一示例性登錄區塊之一模組檢視，其具有為某些 25 1312253 處理模式中的箪此μ 系些登錄數字所提供之專屬登錄。 第ό圖的示例|α 宋尤其疋， ARMUmned(^ 〇 提供以每-處=Γ)的ΑΓ1處理器中所提供者)其被 堆疊指標登錄和1的一專属儲存程式狀態登錄、-專屬 、 專屬鏈結登錄Rl4，但是在這種情 下，由一監控& + π ·種It况 挖棋式所供應者擴充。如第6圖 斷模式具有被提供的額外專屬登錄 =中 啦*進入上述恤；去 中斷模式時’ $需要儲存然後自其他模式還原登錄狀況。 監控模式亦可以在選擇性的實施例中以—種類似快速中斷 模式的方法被提供以專屬的進一步登錄，帛以加快一安全 性網域轉換的處理速度和減少與此類轉換相關的系 時間。 第7圖圖示另一實施例，其中以二 L , 彳里疋全和分離登錄 區塊的形式提供登錄_ 88’其分別用於安全性網域和非 安全性網域。這種方法將安全性存在可在安全 域操作的登錄中’當對非安全性網域進行轉換時，能夠防 止資料變為可存取。然而，如果允許並為所欲，藉由使用 快速而有效的機制將其放在非安全性 人吁文全性網域皆 可存取的登錄巾’上述安排阻礙將資料自非安全性網域傳 遞至安全性網域的可能性。 具有安全性登錄區塊的—重要優點是避免在從_情境 轉換至另-情境前需要清除登錄内容。如果等待時間不θ 特殊問題，可以使用沒有安全性網域情境的重複㈣的: 簡化硬體系統’如第6圖。監控模式負責從一網域轉 26 1312253 另一網域。由-監控程式至少部分在監控模式中執行還斤 内T、儲存先前内s、以及清除登錄。該系統之行為因此 像疋一虛擬化模組。這種類型的實施例將在下文中進一步 討論。在本文中論及安全特徵時，應該參考例如廳 7的程式設計人員模組。 處理器模式（process〇r Modes) 相對於在安全性情境中的多數模式’相同的模式支援 安全性和非安全性網域兩者（請參考第8圖）。監控模式知 道核心的目前狀態，不論是安全性或非安全性（例如，當讀 取自所儲存的一 S位元時，其係一辅助處理器設定登錄）。 在第8圖，只要一 SMI(軟體監控中斷指令，s〇ftware Monitor Interrupt instruction)發生，核心進入監控模式， 以適當地自一情境轉換到另一情境。 參考第9圖’其中SMIs在使用者模式是被允許的： 1. 排程發動執行緒1。 2· 執行緒1需要執行一安全性功能= = >SMI安全性呼· 叫，核心進入監控模式。在硬體下控制現有PC，而 CPSR(current processor status register)被儲存在 R14_mon ,以及 SPSR_mon(saved processor status register for the monitor mode)和 IRQ/FIQ 中斷失效。 3. 監控程式進行下列任務： 鲁設置S位元（安全性狀態旗標）。 • 將至少R14_mon和SPSR_mon儲存在堆叠中，在 27 1312253 一安全性應用執行時，若異常發生才不致於失去非 安全性内容。 籲檢查是否有一新執行緒要發動：安全性執行緒 一機制（在一些示例實施例中’藉由執行緒ID表） 指示執行緒1在該安全性情境中是啟用的。 • IRQ/FIQ中斷再次啟用。一安全性應用此時能夠以 安全性使用者模式起始。 4.執行安全性執行緒1至完成’而後（將SMI)發展出監 控程式模式的「自安全性返回」功能（當核心進入監控 模式時，則IRQ/FIQ中斷失效）。 5 「自安全性返回（return from secure)」功能進行下列任 務： φ 指示完成安全性執行緒1 (例如，在一執行緒ΪD表 的情況下，從該表移除執行緒1)。 # 從堆疊非安全性内容還原並清除需要的登錄’以使 —旦返回非安全性網域，則不能讀取任何安全性資 料。 參然後，以一 SUBS指令（它使程式計數還原為正確 的點和更新該些狀態旗標）回到非安全性網域，（從 還原的 R14-mon)還原 PC和（從 SPSR一mon)還原 CPSR。所以，在非安全性網域中的返回點是在執 行諸1先前所執行的SMI指令之後。 6.執行執行 ^ #上述 緒1至結束，然後交回給排程。 功能性也許根據特定實施例分別在監控程式 28 1312253 和安全性作業系統間出間。 在其他實施例中，可以要求不允許SMIs出現在使用 者模式中。 安全性情境的進入 重設 當一硬體重設發生，使Μ M U失效和A R Μ核心（處理 器）以S位元集發展出安全性監督模式。如為所欲，一旦安 全性開機終止，至監控模式之SΜΙ可以被執行而監控可以 轉換至非安全性情境的0 S (非安全性svc模式）。如果希望 以使用先前的0 S，它能夠在安全性監督模式中只是開始而 忽略安全性狀態。 SMI指令 指令（轉換軟體中斷指令的一模式）能夠從非安全性網 域中的任何非安全性模式呼叫（如上文所述，其可以希望將 SMIs限制為權限模式），但是，由相關的向量所決定的目 標進入點總是固定的並在監控模式之内。它由S ΜI管理器 決定發展出必須執行的適當安全性功能（例如，由以指令藉 遞之運算元控制）。 從非安全性情境傳遞參數至安全性情境，能夠藉由共 用在一第6圖類型登錄區塊之内的登錄來執行。 當一 SMI發生在非安全性情境，ARM核心可能在硬體 29 1312253 進行下列動作： • 發展出SMI向量（在安全性記憶體存取中是允―午 的，因為你現下在監控模式中）至監控模式 •儲存 PC 至 R14一mon 和 CPSR 至 SPSR_m〇n • 在監控模式中開始執行安全性異常管理器（如果有 多執行緒，還原/儲存内容） • 發展出安全性使用者模式（或另一模式，例如SVe 模式）以實施適當的功能 • 當該核心在監控模式下，IRQ和FIQ失效（等待時 間增加） 睿令性情境出口 有二種退出安全性情境的可能： • 該安全性功能完成而吾人返回先前呼叫該功能的 非安全性模式。 •由非安全性異常中斷了安全性功能（例如， IRQ/FIQ/SMI)。 翌·全性边_能的正當結炎 安全性功能正常終止而我們需要還原正好在以後 私7 ，在非安全性情境重新繼續一應用。在安全性使用 者模φ 八1^"SMI"指令被執行以返回具有與厂自安全 回」例式相對應的適當參數的模式。在該階段，登 錄被清降> W + π ’、在非安全性和安全性情境之間避免資料的洩 30 1312253 漏，而後非安全性内容之一般目的登錄被還原以及以它們 在非安全性情境甲所獲得的值更新非安全性區塊登錄。 R14_mon和 SPSR_mon 因此在 SMI之後，藉由執行一 "MOVS PC，R14”指令獲得適當值以重新繼續非安全性應 用。 起因於非安全性異常之安全性功能的退出 該狀況下，安全性功能未完成而必須在進入非安全性 異常管理器前儲存該安全性内容，無論如何需要處理該些 中斷。 安全性中斷 對於安全性中斷有幾種可能性 依據下列兩點，提出兩種可能的解決方案： • 其為何種中斷（安全性或非安全性） • 當IRQ發生時，核心處於何種模式（在安全性或在 非安全性情境中） 解決方案一 在該解決方案中，需要以兩種不同的方式支援安全性 和非安全性中斷。 當在非安全性情境中，如果 • 一 IRQ發生，則當在ARM核心（例如ARM 7)時， 核心進入IRQ模式以處理該中斷。 31 1312253 • 一 s IRQ發生，則核心進入監控模式以儲存非安全 性内容，而後進入一安全性IRQ管理器以處理該 安全性中斷。 當在安全性情境中，如果 • 一 SIRQ發生，則核心進入安全性IRQ管理器。該 核心不退出該安全性情境。 • 一 IRQ發生，核心進入儲存安全性内容之監控模 式，而後進入一非安全性IRQ管理器，以處理該 非安全性中斷。 另言之，當不屬於目前情境的中斷發生時，核心直接 進入監控模式，否則其停留在目前情境中（請參考第10 圖）。 IRO發生在安全性情境 請參考第11 A圖： 1. 排程發動執行緒1。 2. 執行緒 1需要執行一安全性功能=>SMI安全性呼 叫，核心進入監控模式。目前PC和CPSR儲存在R1 4_mon 和 SPSR_mon 中，使 IRQ/FIQ 失效。 3. 監控管理器（程式）進行下列任務： • 設置該S位元。 • 儲存至少R1 4_mon和SPSR_mon於堆疊中（亦可能 輸入其他登錄），以使在安全性應用執行時，如果 32 1312253 異常發生才不會失去非安全性内容。 #檢查是否有一新執行緒要發動：安全性執行緒1。 一機制（藉由執行緒IE>表）指示執行緒1在該安全 性情境中是啟用的。 *安全性應用此時能夠以安全性使用者模式起始。而 後IRQ/FIQ再次啟用。 4.當安全性執行緒！執行時、一 IRQ發生。該核心直 接跳入監控模式（專屬向量）和在監控模式中的SPSR_m〇n 之R14一mon和CPSR儲存現有pc，（而後使IRq/FIq失效）。 5 ·必須儲存安全性内容，還原先前的非安全性内容。 監控管理器必預進入IRq模式，以適當值更新 R14一irq/SPSR_irq，而後將控制交給非安全性IRQ管理器。 6. IRQ管理器提供irq服務，而後將控制交回給在非 安全性情境中的執行緒1。藉由還原SPRS_irq和R14_irq 為CPSR和PC，現下執行緒1已經指向已被中斷的SMI 指令。 7. SMI指令被再次執行（與2相同之指令）。 8. 監控管理器察覺先前已中斷之執行緒’並將該執行 緒1内容還原，而後其在使用者模式中發展出安全性執行 緒1，指向該已經中斷的指令。 9. 安全性執行緒1執行至其完成而止，而後在監控模 式（專屬於SMI)中發展出「自安全性返回」功能。 10. 該「自安全性返回」功能進行下列任務：
•指示安全性執行緒1已完成（例如，在一執行緒ID 33 1312253 表的情況下，自該表移除執行绪υ。 #自堆疊非安全性内容還原並清除需要的登錄，以使 一旦返回非安全性情境無法讀取任何安全性資料。 #以一 SUBS指令回到非安全性情境，（自被還原的 Rl4-mon)還原 PC 和（從 SPSR_mon)還原 CPSR。那 麼，在非安全性情境中的返回點應該是在執行緒1 中先前執行的SMI之後的指令。 11 ·執行緒1執行至結束，而後交回控制給排程。
安全性情境_發生之SIRO 請參考第11B圖： 1. 排程發動執行緒1。 2. 當安全性執行緒1執行時，一 SIRQ發生》核心直 接跳至監控模式（專屬向量）並在監控模式中SPSR_ _mon 的 R14_mon和CPSR儲存現有的Pc，而後使IRQ/FIQ失效。 3 ·非安全性内容必須被儲存’而後核心進入安全性 IRQ管理器。 4·該IRQ管理器提供SIRq服務，而後以適當參數用 一 SMI將控制交回給監控模式管理器。 5.該監控管理器還原非安全性内容，因此一 SUBS指 令使核心回到非安全性情境並重新繼續中斷的執行緒1。 6·執行執行緒1直到結束，而後將控制交回給排程。 第11A圖的機制具有提供進入安全性情境的一種決定 性方法的優點。然而，有—些問題與中斷優先權相關：例 34 1312253 如，當一 SIRQ在安全性中斷管理器中執行時，可能發生 一具有較高優先權的一非安全性 IRQ。一旦該非安全性 IRQ完成，有需要再次產生S IRQ事件，該核心才能夠重 新繼續該安全性中斷。 解決方案二 在該機制中（請參考第12圖）兩種不同或僅一種的腳 位（pin)可以支援安全性以及非安全性中斷。使用兩種腳位 以減少中斷等待時間。 當在非安全性情境中，如果 • 一 IRQ發生，核心進入IRQ模式，以處理該中斷， 如同在ARM7系統中。 • 一 SIRQ發生，核心進入IRQ管理器，其中一 SMI 指令將使該核心發展出監控模式以儲存非安全性 内容，而後發展出一安全性IRQ管理器，以管理 該安全性中斷。
當在一安全性情境中，如果 • 一 SIRQ發生，核心進入安全性IRQ管理器。該核 心不退出該安全性情境。 • 一 IRQ發生，核心進入安全性IRQ管理器，其中 一 SMI指令將使該核心發展出監控模式（安全性内 容所儲存處），而後進入一非安全性IRQ管理器以 處理該非安全性中斷。 35 1312253 在安全性情境發生之IRQ 請參考第13A圖： 1·排程發動執行緒1。 2. 執行緒1需要執行一安全性功能= = >smi安全性呼 叫’核心進入監控模式。目前PC和CPSR被儲存在R14_m〇n 和 SPSR_mon，使 IRQ/FIQ 失效 籲 3. 監控管理器進行下列任務： * 設置S位元。 • 在一堆疊中儲存至少R14_mon和SPSR_mon(其他 登錄亦然），因此在安全性應用執行時，如果一異 常發生才不致於失去非安全性内容。 • 檢查是否有一新執行緒要發動：安全性執行緒1。 一機制（藉由執行緒ID表）指示執行緒1在該安全 性情境中是啟用的。
* 安全性應用此時能夠以安全性使用者模式起始。 IRQ/FIQ再次啟用。 4·當安全性執行緒1執行時、一 IRQ發生。核心直接 跳至安全性IRQ模式。 5·核心儲存現有PC在R14_irq和SPSR_irq在CPSR。 IRQ管理器偵測其為非安全性中斷並以適當參數執行一 SMI以進入監控模式。 6 ·必須儲存安全性内容，還原先前的非安全性内容。 監控管理器藉由讀取該CPSR知道SMI來自何處。其也能 36 1312253 夠進入IRQ模式讀取R14_IRQ/SPSR_irq，以適當地儲存安 全性内容。其也能夠在這些相同的登錄中儲存一旦完成該 IRQ例式必須還原的非安全性内容。 7. IRQ管理器提供IRQ服務，而後在該非安全性情境 中將控制交回給執行緒1。藉由還原SPRS_irq和R14_irq 至CPSR和PC，現下核心指向已經中斷的SMI指令。 8. 再次執行SMI指令（如2之相同指令）。
9. 監控管理器察覺先前中斷的該執行緒，並把該執行 緒1狀況還原。而後其在使用者模式中發展出安全性執行 緒1，指向已經中斷的指令。 10. 安全性執行緒1執行到其完成，而後發展出「自 安全性返回」；在監控模式（屬專於SMI)中的功能。 11. 「自安全性返回」功能進行下列任務： • 指示安全性執行緒1已完成（即，在一執行緒ID表 的情況下，自該表移除執行緒1)。
• 從堆疊非安全性内容還原和清除所需要的登錄，因 此一旦吾人返回非安全性情境，不能夠讀取任何安 全性資訊。 • 以一 SUBS指令發展回到非安全性情境，（從 SPSR_mon)還原 PC 和（從 SPSR_mon)還原 CPSR。 在非安全性情境中的返回點應該是在執行緒1中 先前執行的SMI之後的指令。 12. 執行緒1執行直到結束，而後交回給排程接手。 37 1312253 情境發生的stro 請參考第13B圖： 1 .排程發動執行緒1。 2·當安全性執行緒i執行時，一 SIRQ發生。 3. 核心直接跳至IRQ模式，和儲存現有^在Rl4」rq 及儲存CPSR在SPSR_irq。之後使irq失效。IRQ管理器 偵測其係一 SIRQ並一以適當參數執行一 smi指令。 4. 一旦在監控模式中’必須儲存非安全性内容，而後 核心進入安全性IRQ管理器。 5. 安全性IRQ管理器提供SIRQ服務例式服務，而後 以具有適當參數的S Ml把控制交回給監控。 6. 監控管理器還原非安全性内容，因此一 subs指令 使核心回到非安全性情境和重新繼續中斷的Irq管理器。 7. 此時IRQ管理器可藉由執行一 subs回到非安全性 執行緒。 8 ·執行緒1執行到結束，而後把控制交回給排程。 參考第12圖的機制，不需要在許多中斷的情況下再次 產生S IRQ事件，但是不保證一定執行安全性中斷。 異常向量 至少保留兩實體向量表（雖然自一虛擬位址來看，它們 看似一單一向量表供非安全性記憶體的非安全性情境 之用，一供安全性記憶體的安全性情境之用（不可自非安全 1312253 性情境存取）》用於安全柹知dfc ^ 和非女全性情境之不同虛擬至實 體5己憶鱧映射’有效地允許如门 ^相同的虛擬記憶體位址存取在 實體記憶體中儲存的不同向香 1J门量表。監控模式總是使用純粹 的記憶體映射以在實體記憶體中提供一第三向量表。 如果該。中斷依照第12圖的機制，對每—表格就會有 如第14圖所示之下列向晉。 *該向量集在安全性和非安全性 記憶體是重複的 異常 ---~~--- 向量偏移儐 r——---- 對應模式 重設（Reset) 0x00 監督模式（s位元組） 未定義（Undef) 0x04 監控模式/未定義（Undef)模式 SWI 0x08 監督模式/監控模式 預取中止 OxOC 中止模式（abort mode) (Prefetch Abort) 資料中止 0x10 中止模式（abort mode) (Data Abort) IRQ/SIRQ 0x18 IRQ模式 FIQ OxlX FIQ模式 SMI 0x20 未定義（Undef)模式/監控模式 -----
Reset(重設）進入只存在於安全性向量表中。當一 Reset 在非安全性情境中執行時，核心硬體促使進入監督模式和 設定S位元，從而在安全性記憶體中才能存取該Reset向 量。 39 1312253 第丨5圖g 式和監控模式 向量設計，以 性。每—異常 表基礎位址登 的一基礎位址 前狀態對應之 里表基礎位址 實體記憶體映 之三個不同向 的一系統（設% 罩。該異常捕 標。該些旗標 異常而操作指 (其為一種安S 的向量。異常 可寫入。在一 捉遮罩登錄所 錄不包括一重 同在安全性向 中的該重設向 此可見，在第 該向量表，而 第16圖 i示分別應用於一安全性模式、一非安全性模 的二個異常向量表。上述異常向量表用異常 符合安全性和非安全性作業系統的需要和特 向量表都可以在CP1 5中具有一相關的向量 錄’又該CP15在記憶體之内儲存指向該表 。當一異常發生時，硬體將參考與系統的目 該向量表基礎位址登錄，以決定所使用的向 。選擇性地，應用於不同模式之不同虛擬至 射’可用以區別儲存在不同實體記憶體位址 量表。如第16圖所示，在與處理器核心相關 ：：控制）輔助處理器（CP 15)中提供異常捕捉遮 捉遮罩登錄提供與各自異常類型相關的旗 指示硬體是否應該為在其現有網域中相關的 導進行至向量，或應該促成轉換至監控模式 ί性模式型態）而後依照在監控模式向量表中 捕捉遮罩登錄（異常控制登錄）只在監控模式 非安全性模式中時，讀取存取亦可由異常捕 防止。由此可見，第16圖的異常捕捉遮罩登 設向量的旗標’當該系統不被設定為總是如 量表所設定般，強迫其跳至安全性監督模式 量，以保證一安全性開機和反向相容性。由 15圖中’為了完整性，重設向量已經出現於 扑安全性監督模式安全性向量表。 亦圖示異常捕捉遮罩登錄之中的不同異常類 40 1312253 型的旗標是可設計的，例如在安全性開機期間藉由監控程 式為之。選擇性地，一些或某些旗標若能在某些實施中由 實體輸入信號所提供，例如安全性中斷旗標S IRQ可以被 硬接為總是促使進入監控模式及執行對應的監控模式安全 性中斷請求向量，當接收到一安全性中斷信號時。第1 6 圖圖示，只有異常捕捉登錄的部分與非安全性網域異常相 關，可程式位元的一類似部分將被提供給安全性網域異常。
吾人可以自上文了解，在一層級中，硬體依據該些異 常控制登錄旗標，促使現有網域異常管理器或監控模式異 常管理器提供一中斷，其僅為所應用的第一層級控制。舉 一示例，亦可能有一異常發生在安全性模式中，而該安全 性模式異常向量係依照安全性模式異常管理器，但此時該 安全性模式異常管理器由該異常的本質決定其由非安全性 異常管理器來處理會比較好，及因此利用一 S ΜI指令以轉 換至非安全性模式並請求非安全性異常管理器。亦有可能 有一轉換，其中硬體可進行非安全性異常管理器的起始， 但之後它執行把程序導引至安全性異常管理器或監控模式 異常管理器的指令。 第1 7圖是一流程圖，圖示之系統操作能支援與一新類 型異常相關的另一可能類型轉換請求。在第98步驟中，硬 體偵測意圖改變至監控模式之指令，當其在一現有程式狀 態登錄（CPSR)中指示時。當偵測得此類意圖時，則觸發一 新類型異常，它在這裡稱作CPSR違反異常。在第100步 驟，該CPSR違反異常的產生，導致對在監控模式之内之 41 1312253 一適當異常向量進行參照，而監控程式係在第102步驟執 行，以處理該CPSR違反異常。 吾人將了解，除了支援先前所討論過的SMI指令外可 能提供如第1 7圖相關討論之在安全性網域和非安全性網 域之間起始一轉換的機制。可以提供異常機制以回應未經 授權之欲轉換模式的意圖，而所有經授權的意圖都應該藉 由一 SMI指令進行。選擇性地，此類機制也許是在安全性 網域和非安全性網域之間轉換的合法方法或可提供以賦予 反向相容性，其具有（例如，可能企圖清除處理狀態登錄的） 既除程式碼，即使並非真的在安全性網域和非安全性網域 之間從事未經授權之轉換意圖。 如上所述，一般而言，當處理器在監控模式中操作時， 會令中斷失效。之所以如此，是為了增進系統的安全性。 當一中斷發生時，該時刻處理器的狀態被儲存在中斷異常 登錄中，因此當中斷功能完成時，可以在中斷點重新繼續 被中斷的功能之處理。如果在監控模式中允許該處理，其 可能降低監控模式的安全性，可能造成安全性資料洩漏之 路徑。因此，通常會令中斷在監控模式中失效。然而，在 監控模式期間令中斷失效的結果是，增加了中斷等待的時 間。 如果處理器執行功能的狀態未儲存，亦有可能在監控 模式中允許中斷。其只能在一中斷之後，該功能未重新繼 續時進行。因此，藉由在監控模式中只允許能安全地重新 啟動之功能的中斷，可以解決在監控模式下之中斷等待時 42 1312253
間的問題。在這種情況下，在監控模式中一中斷之後，一 旦完成該中斷，相關於該功能之處理的資料未被儲存，並 被拋棄且指示處理器自它的開始處開始處理它的起始功 能。在上述示例中，當處理器只是返回轉換至監控模式之 點時，它只是一件簡單的事情。應該注意的是，重新開始 一功能只對某些可以重新開始且仍然產生可重複性結果的 功能有可能。如果該功能改變該處理器之狀態，在重新開 始它時會產生一不同結果，則重新開始功能並不是個好主 意。因此，只有能安全地重新開始的那些功能能夠在監控 模式中中斷，對於其他功能而言，則使該些中斷失效。
第18圖圖示依據本發明的一實施例，處理發生在監控 模式的中斷的一種方法。在一非安全性模式中，一 SMI發 生在任務A的處理期間，而其將處理器轉換至監控模式。 該SMI指令使核心藉由專屬的非安全性SMI向量進入監控 模式。PC的現有狀態被儲存，S位元被設置且令十斷失效。 通常，用LR_mon和SP SR_mon來儲存非安全性模式的PC 和 CPSR。 而後在監控模式中起始一功能-功能C。功能C所進行 之第一件事，是啟用該些中斷，而後功能C被處理。如果 中斷在功能C的處理期間發生，則不使該些中斷失效，以 接受和執行該中斷。然而，監控模式指標對處理器指示， 在一中斷之後，不重新繼續該功能，亦不重新起動。選擇 性地，可藉由控制參數分別指示處理器。因此，在一中斷 之後，以LR_mon及SPSR_mon值更新該些中斷異常向量 43 1312253 而不儲存處理器的現有狀態。 如第18圖所示，在中斷任務-任務B完成之後，處理 器讀取已經拷貝到中斷登錄的SMI指令的位址，及執行一 SMI和再次開始處理功能C。 上述處理只作用於功能C是可以重新開始的時候，意 即如果重新開始處理C將產生可重複的處理步驟。這並不 是說，功能C改變了處理器的任何狀態，例如堆疊指標可 能影響它將來的處理。在此，一稱作可重複的功能是因為 具有冪等（idempotence)。處理一功能之該問題之一方法係 重新安排定義該功能之程式碼，在該方法中，該程式碼之 第一部分具有冪等，一旦不再有可能安排具有幂等的程式 碼時，令中斷失效。例如，如果程式碼C牽涉到寫入堆疊， 那麼至少一開始它有可能這麼做而無需更新該堆疊指標。 一旦決定該程式碼不再能夠安全地重新開始，則功能C的 程式碼能夠指示該處理器令中斷失效，而後其能夠對正確 的位置更新堆疊指標。如第1 8圖所示，其中經由於功能C 的處理，以某種方法令中斷失效。 第1 9圖圖示一輕微地不同的示例。在該示例中，藉由 任務C處理的某種方法，設定了 一進一步的控制參數。它 指示任務C的下列部分並非嚴格的幂等，但是，能夠被安 全地重新開始，確保一改進的例式先被執行。該改進的例 式使處理器的狀態還原為在任務C的一開始時的樣子，在 任務結束時，如果它不被中斷，當它已經完成時，使任務 C能夠安全地重新開始並產生安全的處理器狀態。在一些 44 1312253 實施例中’在進一步的控制參數被設定的點，當處理器的 一些狀態被修正（例如，更新堆疊指標）’可以令中斷失效 一段短期的時間。如此允許該處理器稍後被還原至一幂等 狀態。 當一中斷在進一步的控制參數被設定之後發生時，則 有兩種可能的處理方法。不是能夠立即（在F1)執行而後可 處理中斷的改進例,式’就是能夠立即處理中斷並在稍後完 成中斷，執行随而後在重新開始任務c之前，執行該改 進的例式（在F2)。如所示者，在 在上述一實施例中，在監控 模式中執行該改進的例式，並 並因此在非安全性網域中的執 打（具不知道安全性網域或監 皿控模式）並不受到影響。 第19圖所示，程式碼 能夠A ^ L之一第一部分具有冪等且 月b夠在一中斷之後重新開始。— 伴舌杰机 第一部分可重新開始，確 保首先執行_改進的例式。— Α,Ι A Α 丹藉由S又疋一 「進一步」控 制參數來指示，而程式 」徑 並因此 破後部分不能被重新開始， 亚U此在處理程式碼之前，中 ⑴中斷是失效的。 第2〇圖圖示一選擇性示也丨^ 其他眘始 在這種情況下’其相異於 具實施例，中斷在監控模 Μ -V Φ 飞期間疋啟用的。而後在監控 模'中執行的功能令中斷失 地番鉍双，—旦它們不再能夠被安全 地重新開始。其只在監控棋 新門私 式中所有被中斷的功能能被重 祈開始而非能重新繼續時有可能。 有~些方法，能夠確保斛 能 保所有在某一模式下執行之功 能’而非在申斷時重新繼續。— 、 IB to j. 種方法是藉由增加新的處 理器狀態，其中中斷儲存指 曰7序列的開始位址，而非中斷 45 1312253 的指令的位址。在這種情況下，總是在該狀態下執行監控 模式。一選擇性的方法是藉由在每一功能開始時，預載入 在一功能的開始位址至中斷異常登錄，並在中斷之後使處 理器狀態其後的寫入失效，以中斷異常登錄。 如第20圖所示之實施例，如果要求功能可以安全地重 新開始，功能之重新開始可以在中斷功能結束之後立即完 成，或在一改進的例式之後完成。 雖然就一具有安全性、非安全性網域和一監控模式之 系統而論，上文已經描述了處理中斷等待時間的方法，但 可以明白，其能應用於有功能由於一特定原因而不應該重 新繼續的任何系統。通常此類功能可藉由使增加中斷等待 時間的中斷失效而作用。在一中斷之後，改正功能為可重 新開始和控制該處理器以重新起動他們，為了功能處理的 至少一部份，允許啟用該些中斷及幫助減少中斷等待時 間。例如一作業系統的一般内容轉換。 存取安全性和非安全性記憶體 如第一圖所示之資料處理設備具有記憶體，其當中包 括TCM 36、快取38、ROM 44、受控裝置的記憶體和外 部記憶體5 6。如第3 7圖所示，例如，記憶體被分割為安 全性和非安全性記憶體。吾人將了解，在製造時，在記憶 體的安全性記憶體區域和非安全性記憶體區域之間通常沒 有任何實際區別，但反而由資料處理設備的一安全性作業 系統定義該些區域，當在該安全性網域作業時。因此，記 46 1312253 憶體裝置的任何實體部分，可以被分配為安全性記憶體， 而任何實體部分可以被分配為非安全性記憶體。 如第2圖至第5圖所示，處理系統具有一安全性網域 和一非安全性網域。在該安全性網域中，提供一安全性核 心程式80，其以一安全性模式執行。提供一監控程式72， 其涵蓋安全性和非安全性網域，以及其至少一部分以一監 控模式執行。在本發明的實施例中，監控程式部分以監控 模式並部分以一安全性模式執行。如第10圖所示，有多種 @ 安全性模式，其中包括、一監督模式SVC。
監控程式 72負責管理在安全性和非安全性網域之間 任一方向的所有改變。參照第8圖和第9圖在章節「處理 器模式」中描述了 一些它的功能《該監控程式負責在非安 全性模式中所發出的一模式轉換請求SMI，以初始化自上 述非安全性模式到上述安全性模式的一轉換，以及負責在 安全性模式中所發出的一模式轉換請求SMI，以初始化自 上述安全性模式到上述非安全性模式的一轉換。如章節「情 境間的轉換」所述，在監控模式中，轉換的發生係自安全 性和非安全性網域中之一轉換至少一些登錄至其他者。如 此涉及儲存在一網域中存在的一登錄狀態和在其他網域寫 入一新狀態至登錄（或在登錄中還原以前儲存的狀態）。本 文亦論及，當執行些一轉換時，對某些登錄的存取可能會 失效。較佳的實施例是，令監控模式中所有中斷都失效。 因為監控程式所執行的監控模式涵蓋安全性以及非安 全性網域，所以證實為安全的監控程式是很重要的：即只 47 1312253 此如果監控程式愈簡單愈有利。安 部署欲部署之功能。因 ——，处叫干溉虿利。 全性模式只允許在安全性網域令執行程序。在本發明的實 施例中，權限安全性模式和監控模式允許存取相同的a 性和非安全性記憶體。藉由確保該權限安全性模式「、看欠全 相同的安全性和非安全性記憶體，把僅能在監控模式見」 行的功能轉換至允許簡化的監控程式之 =令執 π王江祺式。此 外，其允許在一權限安全性模式"桑作的一處理
至監控模式’反之亦然。自—權限安全性模式至監控楔T 的轉換是允許的，而在監控模式中可以轉換至非安、， 域。非權限安全性模式必須使用SMI，以進入監抄權，網 在-重設之後，系統進入權限安全性模式。在之二 動時’進行在監控模式和權限安全性模式之間 = 有助於儲存狀態。 的轉換 在其他實施例中’允許自安全性權限模式 控模式中存取S旗椤 及自li 子取S旗標。如果允許安全性權限模 式流程的控制時，將虚 β 維持程 吁將處理盗轉換到監控模式， 性權限模式已經具有轉 類女全 此，規定只能夠在監控楔 &力。因 能證實為正確的。反之式中改變s旗標的額外複雜性不 能夠藉由與其他設定旗；jias 士 方法儲存S旗標，又該此甘 认疋旗“相同的 *其他設定旗標可以由一或客奴 文全性權限模式所改變。士 _ α 次多數的 式之 〇, 本技術包括在多數安全性楛ΡΡ 式之-中改變S旗標的此類實施例。 _限模 =!先前討論的示例性實施例 疋義模式的權限層級的一$ 令又義模式和 處理器核心10;即，任何棋 48 1312253 許的 全性 全性 任何 式， 述》 以及 僅能 全性 存取 式當 非安 體。 體， 性記 比〜 然而 控棋 開機 一安 功此集因此，以習知方法安排處理器核心以允許安 模式和監控模式存取安全性和非安全性記憶體，及安 模式存取監控模式允許存取的所有記憶體，和允許在 權限安全性模式中所操作的處理直接轉換至監控模 反之亦然。處理器核心1〇之較佳安排所允許者如下所 在本权備的一示例令，記憶體被分割為安金性記憶體 非安全性記憶體，而安全性和非安全性記憶體二者皆 在監控和安全性模式中存取。較佳的實施例為，非安 記憶體在監控模式、安全性模式和非安全性模式中可 0 本設備之另一示例，在監控模式和一或多數安全性模 中’拒絕安全性模式對非安全性記憶體的存取；和在 全性模式中拒絕安全性和監控模式存取非安全性記憶 因此，僅允許在監控和安全性模式中存取安全性記憶 以及僅能藉由増進安全性之非安全性模式存取非安全 憶體β 本設備的示例中，設備的重設或開機可以在視為需要 安全性模式、權限模式更高權限之監控棋式中執行。 ’在設備的許多示例中’因為允許在安全性模式和監 式之間直接轉換’安排在一安全性模式令提供重設及 是有可能的。 如第2圖所述，在安全性網域、和在一安全性模式， 全性核心8 〇 (或作業系統）功能，和一或多數的安全性 49 1312253 應用程式8 2、8 4可以在安全性核心8 0中執行。允許該安 全性核心和/或安全性應用程式或在一安全性模式中執行 的任何其他程式碼存取安全性和非安全性記憶體兩者。 雖然以具有處理器的設備描述本發明之示例，本發明 可以由一電腦程式所部署，當在合適的處理器上執行時， 該電腦程式以如本章節所述之操作設定該處理器。 下文中，參照第21圖至23圖，本發明之一選擇性實 施例論及出自一程式設計人員之模式觀點： 下文中，吾人所使用之術語必能以ARM處理器（由英 國劍橋的ARM Limited所設計）的技術背景了解。 • S位元：安全性狀態位元，包含在一專屬CP15登錄中。 • 「安全性/非安全性狀態」。由S位元值定義這種狀態。 其指示是否核心可以存取安全性情境，（其當處於安全 性狀態中，即 s = l)或僅限制非安全性情境（s = o)。請注 意監控模式（詳見下文）優先於該S位元狀態。 • 「非安全性情境」可供不需要安全性的非安全性應用所 存取的所有硬體/軟體群組。 • 「安全性情境」僅供吾人執行安全性程式碼時存取的所 有硬體/軟體（核心、記憶體…）群組。 • 監控模式：一種新的模式，其負責在安全性和非安全性 狀態之間的轉換。 簡而言之 • 核心總是能夠存取非安全性情境。 • 僅在核心處於安全性狀態或監控模式時，該核心能夠存 50 1312253 取安全性情境。 SMI :軟體監控中斷：一接汾 種新的指令，其令核心藉由 專屬的SMI異常向量以進a於仏 置W進入監控模式。「執行緒ID」 與每一執行緒相關的識別a 幻兩別符（由一 OS所控制）》對某 類型的0S而言，當 在非安全性情境中執行時， 次呼叫一安全性功能，
就需要傳遞一現有執行緒ID 數，以連接女全性功能盘女私τ 刀跑興匕所呼叫的非安全性應用。
安全性情境因此能夠支援多執行緒。 安全性中斷定義由安全性週邊所產纟的中斷。 程式設計人員的描：細 Carbon核心概翻丨 本文中對於使用本技術的處理器所用的術語「 架構」的概念，分別包含兩種情境，一安全性和一非安全 性。該女全性情境不能洩漏任何資料至非安全性情境中。 本文所提出的解決方案中，安全性和非安全性狀態將 共用該相同的（存在的）登錄區塊。因此，在Arm核心中出 現的所有現有模式（Abort，Undef，Irq，User···)將在每一種 狀態中存在。 歸功於包含在專屬CP15登錄中的新狀態位元「s(安 全性）位元」’核心將知道其操作於安全性或是韭 〜〜开女全性狀 態。 控制所允許的指令或事件修改該S位元，1 p ’自一種 狀態改變到另一狀態’是系統安全性的一重要胜视 文诗徵《本解 51 1312253 決方案提出增加-新模式「監控模式」，其「監督」在兩種 狀態之間的轉換。該監控模式（藉由寫入適當的CP15登錄 中）是唯一被允許改變該s位元者。 最後，本發明提出對異常處理添加某些彈性的方法。 除了 Reset(重设）外，所有的異常若不是在它們所發生處處 理，就是被導向監控模式。歸因於一專屬一 cpl5登錄， 這是可以設定的》 該解決方案的細節將在下列段落中討論。 處理器狀熊釦掇在 Carbon新特伊丨 安-全性或非安__全性狀態（S位开.）
Carbon核心的一主要特徵是s位元的存在，其指示是 否核是在一女全性（s = 1)或非安全性（S = 0)狀態。當在安 全丨生狀態中時，核心能在安全性或非安全性情境態樣存取 任何-貝料。當在非安全性狀態時，核心僅陂於該非安全性 情境。 對該規則的唯_例外涉 几資訊。甚至在s = 〇時，當 安全性權限存取。進一步的 式0 及監控模式，其優先於該S位 它在監控模式中，核心將執行 資訊請參考下—段落之監控模 只能夠在監控模式中讀取和寫入該s位元。不論該s :兀的值為何，如果任何其他的模式試著去存取它，若不 疋被忽略就是導致一 Undefined(未定義）異常。 52 1312253 除了 Re set(重設）之外，所有的異常不會影響安全性狀 態位元。在Reset(重設）上，設定該S位元，而核心將以監 督模式開始。詳細資訊請參照開機章節。 安全性/非安全性狀態是分離的，且其操作是獨立於 ARM/Thumb/Java 狀態。 監控模式
Carbon系統的一其他重要特徵是一新模式「監控模 式」的產生。它將用來在安全性和非安全性狀態之間控制 核心轉換。它總是被視為一安全性模式，即S位元值為何， 當在監控模式中時，核心總是對外部情境執行安全性權限 存取。
任何安全性權限模式（即，當S = 1時之權限模式）能藉 由僅是寫入CPSR模式位元（MSR、MOVS、或相當的指令 者）轉換為監控模式。然而，它在任何非安全性模式或安全 性使用者模式中是禁止的。如果這發生了，則忽略指令或 引起一異常。 可能有需要一專屬的CPSR違反異常。藉由從任何非 安全性模式或安全性使用者模式直接寫入該CPSR，可由 任何欲轉換為監控模式之意圖引起該異常。 當監控模式是啟用時，除了 Reset以外，所有異常實 際上失效了： • 所有中斷經過遮罩處理（mask); • 所有記憶體異常不是被忽略就是引起一重大異常。 53 1312253 • 未定義的/SWI/SMI被忽略或引起一重大異常。 當進入一監控模式時，該些中斷自動失效而系統監控 應被寫下’以使系統監控執行時，不會有其他類型的異常 發生了的。 監控模式需要有一些私有登錄。該解決方案提出人們 僅重複最小組的登錄’即，r 1 3 (sp_mon)、R 1 4(lr_moη)和 SPSR(spsr_mon)。 在監控模式中，MMU將失效（平面位址映射，flat address map)以及MPU或分割檢測器亦然（監控模式將總 是執行安全性權限外部存取）。然而，尤其是設計的Μρυ 區域屬性（快取能力（cacheability)…等等）仍然是啟用的。 可選擇性地，監控模式可以使用所有被安全性網域所使用 的映射。 新指今 本發明所提出者需要向既有arm指令集中添加一新 的指令》 使用SMI(軟體監控中斷）指令以進入監控模式（在一固 定的SMI異常向量發展出來）。該指令主要用來對指示監 控在非安全性和安全性狀態之間的調換（swap)。 可選擇性地（或額外地），亦 < 能增加一新指令以允許 監控模式向/從監控堆疊儲存/還原任何其他模式的狀態’ 以改進内容轉換的表現。 54 1312253 處理器模式 如先前的段落中所述，僅有一新模式被加入 有既存模式持續可獲得，並在於安全性和非安全 都存在。 事實上，Carbon使用者將了解如第21圖所六 處理器登錄 本發明之實施例提出安全性和非安全性情境 的登錄區塊。這意味著，當藉由監控模式從一情 另一者時，系統監控將需要儲存第一情境内容， 二情境中產生（或還原）一内容。 傳遞參數成為容易的任務：一旦系統監控改 位元，在第一情境中的一登錄中所含有的任何資 於第二情境中之相同的登錄中。 然而，除了有限數量之登錄專用於傳遞參數 嚴格地控制，當從安全性傳遞至非安全性狀態時 他登錄都需要清除，以避免洩漏任何安全性資料 由監控核心確保。 亦可能部署一硬體機制或一新指令，在從安 至非安全性狀態時直接清除登錄。 所提出的另一解決方案涉及重複所有（或大： 登錄區塊，因此具有在安全性和非安全性狀態之 實體上分離的登錄區塊。該解決方案主要具有清 核心。所 性狀態中 之架構。 共用相.同 境轉換為 以及在第 變了該S 料將可用 ，其需要 ，所有其 。它需要 全性轉換 [數）既有 間具有兩 楚地分離 55 1312253 在登錄中所含有的安全性和非安全性資料的優點。在安全 性和非安全性狀態之間亦允許快速的内容轉換。然而，缺 點是藉由登錄的傳遞參數變得困難，除非吾人產生一些專 屬的指令，以允許該安全性情境存取非安全性登錄》 第22圖依據處理器模式圖示可用的登錄。請注意，處 理器狀態對本主題沒有影響。 異常 安全性中斷 現有解決方案 本發明提出當在現有核心時，保持相同的中斷腳位 (pin)，即，IRQ和FIQ。相關於異常捕捉遮罩登錄（Exception Trap Mask register,詳見下文），對於任何系統應該有足夠 彈性，以部署和處理不同種類中斷。 VIC加強 本發明藉由下列方法加強 Vie(向量中斷控制器， Vectored Interrupt Controller) : VIC 可以含有與每一向量 位址相關的一安全性資訊位元。該位元僅能由監控或安全 性權限模式設計。其指示是否所考慮的中斷應該視為安全 性，以及因此應該在安全性中處理。 本發明亦增加兩新向量位址登錄’一供所有在非安全 性狀態中發生的安全性中斷，另一供所有在安全性狀態中 發生的非安全性中斷。 56 1312253 包含在CP15中的S位元資訊可讓VIC獲得，以作為 一新VIC輸入。 下表概述一些不同可能歷程，其依據引入的中斷之狀 態（安全性或非安全性，由相關於每一中斷線之S位元指示） 和核心的狀態（在VIC中，CP15 = S輸入信號之S位元）。
57 1312253
異常管理設定 為改進Carbon彈性，一新的登錄「異常捕捉遮罩」將 被加入CP 1 5内。該登錄包含下列位元： 位元0: Undef異常（非安全性狀態）
位元 1 : SWI異常（非安全性狀態） 位元 2 : Prefetch abort異常（非安全性狀態） 位元 3 : Data abort異常（非安全性狀態） 位元4: IRQ異常（非安全性狀態） 位元5: FIQ異常（非安全性狀態） 位元6: SMI異常（非安全性/安全性狀態s) 位元16: Undef異常（安全性狀態） 位元17: SWI異常（安全性狀態） 58 1312253 位元 18: Prefetch abort異常（安全性狀態） 位元 1 9 : Data abort異常（安全性狀態） 位元20 : IRQ異常（安全性狀態） 位元2 1 : FIQ異常（安全性狀態）
Reset(重設）異常在登錄中不總是具有對應的位元。 Reset總是使核心藉由它專屬的向量進入安全性監督模式。 如果一位元設置了，所對應的異常使核心進入監控模 式。否則，在其發生的情境中在它所對應的管理器處理該 異常。 該登錄只可見於監控模式中。在任何其他模式中嘗試 存取它的任何指令都會被忽略。 該登錄應該被初始化為一系統專屬值，依據該系統是 否支援一監控。該功能能由VIC所控制。 異常向量表 分別有安全性和非安全性情境，所以也需要分別的安 全性以及非安全性異常向量表。 此外，如果監控也能夠捕捉一些異常，吾人也需要專 屬於監控的一第三異常向量表。 下表概述三種不同的異常向量表： 在非安全性記憶體中： 位址 異常 模式 自動存取的時機 59 1312253 0x00 0x04 Undef Undef 在核心處於非安全性狀態和異常 捕捉遮罩登錄時，所執行之未定 義指令[Non-secure Undef] =0 0x08 SWI Supervisor (監督） 在核心處於非安全性狀態和異常 捕捉遮罩登錄時，所執行之SWI 指令[Non-secure SWI]=0 0x0c Prefetch Abort Abort (中止） 在核心處於非安全性狀態和異常 捕捉遮罩登錄時，所執行之中止 指令[Non-secure Pabort] = 0 0x10 Data Abort Abort 在核心處於非安全性狀態和異常 捕捉遮罩登錄時，所執行之中止 資料[Non-secure DAbort]=0 0x14 保留 0x18 IRQ IRQ 在核心處於非安全性狀態和異常 捕捉遮罩登錄時，所設定（assert) 的 IRQ 腳位（pin)[Non-secure IRQ] = 0 Ox 1 c FIQ FIQ 在核心處於非安全性狀態和異常 捕捉遮罩登錄時，所設定（assert) 的 FIQ 腳位（pin)[Non-secure FIQ]=0
60 1312253 在安全性記憶體中： 位址 異常 模式 自動存取的時機 0x00 Reset* Supervisor (監督） 重設設定的腳位 0x04 Undef Undef 在核心處於安全性狀態和異常捕 捉遮罩登錄時，所執行之未定義 指令[Secure Undef] = 0 0x08 SWI Supervisor (監督） 在核心處於安全性狀態和異常捕 捉遮罩登錄時，所執行之SWI指 令[Secure SWI] = 0 0x0c Prefetch Abort Abort (中止） 在核心處於安全性狀態和異常捕 捉遮罩登錄時，所執行之中止指 令[Secure Pabort] = 〇 0x10 Data Abort Abort 在核心處於安全性狀態和異常捕 捉遮罩登錄時，所執行之中止資 料[Secure DAbort] = 0 0x14 保留 0x18 IRQ IRQ 在核心處於安全性狀態和異常捕 捉遮罩登錄時，所設定（assert)的 IRQ 腳位（pin)[Secure IRQ] = 0 Ox 1 c FIQ FIQ 在核心處於安全性狀態和異常捕 捉遮罩登錄時，所設定（assert)的 FIQ 腳位（pin)[Secure FIQ] = 0 61 1312253 +監控記憶體中（平面映射flat mapping): 位址 異常 模式 自動存取的時機 0x00 - - - 0x04 Undef Monitor(監 控） 在核心處於安全性狀態和異常 捕捉遮罩登錄時，所執行之未定 義指令[Secure Undef] = 1 在核心處於非安全性狀態和異 常捕捉遮罩登錄時，所執行之未 定義指令[Non-Secure Undef] = l 0x08 SWI Monitor (監 控） 在核心處於安全性狀態和異常 捕捉遮罩登錄時，所執行之SWI 指令[Secure SWI] = 1 在核心處於非安全性狀態和異 常捕捉遮罩登錄時，所執行之 SWI 指令[Non-Secure SWI] = 1 0x0c Prefetch Abort Monitor(監 控） 在核心處於安全性狀態和異常 捕捉遮罩登錄時，所執行之中止 指令[Secure Pabort] = l 在核心處於非安全性狀態和異 常捕捉遮罩登錄時，所執行之中 止指令[Non-Secure Pabort] = l 0x10 Data Abort Monitor(監 控） 在核心處於安全性狀態和異常 捕捉遮罩登錄時，所執行之中止 資料[Secure DAbort] = l 62 1312253 在核心處於非安全性狀態和異 常捕捉遮罩登錄時，所執行之中 止資料[Non-Secure DAbortl = l 0x14 SMI Monitor(監 控） 0x18 IRQ Monitor(監 控） 在核心處於安全性狀態和異常 捕捉遮罩登錄時，所設定（assert) 的 IRQ 腳位（pin)[Secure IRQ] = 0 在核心處於非安全性狀態和異 承捕极遮罩登錄時，所設定 (assert) 的 IRQ 腳 位 (pin)[Non-Secure IRQ] = 0 Ox 1 c FIQ Monitor(監 控） 在核心處於安全性狀態和異常 捕捉遮罩登錄時，所設定（assert) 的 FIQ 腳位（pin) [Secure FIQ] = 0 在核心處於非安全性狀態和異 常捕捉遮罩登錄時，所設定 (assert)的 FIQ 腳位（pin) [Non-Secure FIQ]=0
在監控模式中，可以有兩份異常向量，因此每一異常 都將有二個不同的相關向量： 一供出現於非安全性狀態的異常 一供出現於安全性狀態的異常 63 1312253 如此可以降低異常等待時間，因為監控核心不再需要 偵測異常發生處的初始狀態。 請注意，該特徵僅限於一些異常，SMI是最合適的選 擇之一，用以改進在安全性和非安全性狀態之間的轉換。 情境間的轉換 當在狀態間轉換時，監控模式必須在它的監控堆疊儲 存第一種狀態的内容，和從該監控堆疊還原第二個狀態内 容。 監控模式因此需要存取任何其他模式之任何登錄，包 括私有登錄（rl4、SPSR…）。 為了處理它，本發明所提出的解決方案包含在安全性 狀態中，給予任何權限模式藉由純粹寫入CPSR，直接轉 換為監控模式的權限。 在情境之間轉換之此類系統執行如下： • 進入監控模式 • 設定S位元 • 轉換至監督模式-儲存監控登錄於MONITOR(監控） 堆疊（當然，監督模式需要存取該監控堆疊指標， 但這是容易辦到的，例如藉由使用一普通登錄（R0 至 R8)) • 轉換至 System(系統）模式-儲存登錄（如同使用者 模式）於監控堆疊 64 1312253 IRQ登錄於監控堆疊
錄都儲存了，以一簡單 疋寫入監控值於CPSR —里所有模式的所有私有登 MSR指令回到監控模式（只 模式搁位） 另一些解決方案也被考慮： 己的堆疊儲存其他 增加一新指令，其允許監控在自 模式的私有登錄。 以一新的 (具有該些 模式，看 「狀態」部署監控，即，能夠在監控狀態 適當存取權利）和在IRQ(或任何其他的） 見IRQ(或任何其他的）私有登錄。 基本歷程（請參照第2 3圖） I執行緒i在非安全性情境中(8位元，執行，該執 行緒需要執行一安全性功能==>SMI指令。 2. SMI指令使核心藉由一非安全性SMI向量進入龄 控模式。使用LR_m〇n和SPSR —m〇n來儲存非安全 性模式之PC以及CPSR。在該階段落s位元保持 不變’雖然該系統現下在安全性狀態中。 览控核心 儲存非安全性内容於監控中。其亦發送 〜lη 和 SPSR_mon。此時監控核心藉由寫入Cpl5登錄改變 S位元。在該實施例中，監控核心保持追縱，_「安 全性執行緒1 j在該安全性情境中開始（例如，藉 由更新一執行緒ID表）。最後，它退出監控模式並 65 1312253 轉換至安全性監督模式。 3. 安全性核心發送應用至正確的安全性記憶體位 置，而後轉換至使用者模式（例如，使用一 MOVS)。 4. 在安全性使用者模式中執行安全性功能。一旦完 成，藉由執行適當的SWI呼叫「退出（exit)」功能。 5. SWI指令使核心藉由一專屬SWI向量進入安全性 svc模式，依序執行「退出」功能。該「退出」功 能以一 "SMI”結束，以轉換回監控模式。 6. SMI指令使核心藉由專屬的安全性SMI向量進入 監控模式。利用LR_mon和SPSR_mon來儲存安全 性svc模式的PC和CPSR。S位元保持不變（例如 安全性狀態）。監控核心登錄該安全性執行緒1完 成的事實。之後，其藉由寫入CP15登錄，改變S 位元，以回到非安全性狀態。監控核心自監控堆疊 還原非安全性内容。其亦載入預先在第2步驟所儲 存的 LR_mon 和 CPSR_mon。最後，以一 SUBS(以 該指令，在非安全性使用者模式中，將使該核心返 回）退出監控模式。 7. 執行緒1能夠正常重新繼續。 參照第6圖，在安全性和非安全性網域之間，共用所 有登錄都。在監控模式中，轉換發生在從安全性和非安全 性網域之一轉換登錄至另一者。其涉及儲存在一網域中存 在的一登錄之狀態，和在另一網域中寫入新的狀態至該登 66 1312253 (或在該i錄還原先前儲存的狀態），亦如上文「 間的轉換」章節所述者。 清境 吾人希望降低執行該轉換所花費的時間。為了 行該轉換所花費的 ^ ~ 的時間’备在安全性和非安全性網域之間 轉換時，使妓用从於 的且錄失效’以使儲存於其中的資料值保 持不變。例如’考慮從非安全性網域到安全性網域的一轉 換舉例來說，假設顯示在第6圓之FIQ登錄在安全性情 境中：需要。目此，使那些登錄失效，且不需要把他們轉 換至文全性網域’且不需要儲存那些登錄的内容。 使登錄失效可以藉由幾個方法達成。一種方法是把使 X 一登錄的模式鎖住β在指示失效模式的一 CP15登錄 中寫入控制位元以達成。 擇陡也可以再次以指令為基礎，藉由寫入控制位 " 登錄中’使對登錄的存取失效。在CP15登錄 斤寫入的位元’、與該登錄相冑’而非模式，所以模式並未 失效，但疋，對該模式的登錄所做的存取則失效。 FIQ登錄餘存與快速中斷相關的資料。如果該FIQ登 錄失效而快速中斷發生，處理器發出異常信號至監控。為 α應異常’監控模式可操作以儲存與—網域相關和在上述 失效的登錄中储存的任何資料值，並載人該登錄相關於其 他網域之新貝料值’而後啟用該FIQ模式登錄。 可以安排處理器，以使當處理器轉換網域時，在監控 模式中的所有區塊登錄都失效。選擇性地，當轉換網域以 ，、他程式》又„十人員選擇失效時，登錄的失效可以利用在 67 1312253 共用的登錄中的一些預設者來選擇。 當在監控模式中轉換網域時，可以安排處理器， 一或多數共用登錄失效，以及一或多數其他共用登錄 們的資料在離開一網域時儲存，和將新資料載入另 域。該新資料可以是空值資料。 第24圖圖示向一傳統ARM核心中增加一安全性 選擇的概念。該圖圖示含有安全性處理選擇的處理器 能夠藉由向一既有核心增加安全性處理選擇而形成。 該系統想要具有與一既有作業系統之反向相容性，直 會認為該既有系統係操作於處理器的傳統非安全性部 然而，如該圖之下半部所示以及下文將進一步詳論者 實上，一既有系統係操作於系統的安全性部分。 第 2 5圖圖示具有一安全性和非安全性網域之一 器，並圖示重設，且與第2圖類似。第2圖圖示一處理 適用於執行一安全性敏感型態之操作，其以一安全性 系統在安全性網域中控制處理，和以一非安全性〇 S 在非安全性網域中控制處理。然而，該處理器亦反向 於一傳統舊版作業系統，及因此該處理器可以使用一 作業系統，使用一非安全性敏感的方法操作。 如第2 5圖所示，在安全性網域中的重設，以及此 有S位元或安全性狀態旗標設定之無論什麼類型的操 發生的重設。在一非安全性敏感.類型操作情況下，重 生在安全性網域，並之後繼續在安全性網域中處理。 舊版作業系統控制處理不知道系統的安全性態樣。 以使 將它 一網 處理 如何 如果 覺上 分。 ，事 處理 器， 0S 系統 相容 舊版 處具 作所 設發 然而 68 1312253 如第2 5圖所示，執行重設以在安全性監督模式下，設 置開始處理處的位址，而不論是否處理是安全性敏感或是 事實上非安全性敏感。一旦執行了重設，則在之後執行一 開機或重開機中所出現的額外任務。該開機機制詳述如下。 開機機制 開機機制必須顧及下列特徵： • 保持與舊版作業系統的相容性。 參在最權限模式中開機以確保系統的安全性。 因此。Carbon核心將在安全性監督模式中開機。 不同的系統將是： • 對於想要執行舊版作業系統的系統而言，不考慮該 S位元，而核心將僅知道其在監督模式中開機。 • 對於想要使用Carbon特徵的系統，核心在安全性 權限模式中開機，又該安全性權限模式應能設定在 系統中的所有安全性防護（有可能在交換至監控模 式之後） 上述開機機制之細節而論，本發明實施例的處理器重 設處理器，以在安全性監督模式中開始在所有情況下的處 理。在一非安全性敏感類型操作的情況下，雖然安全性在 此處不是問題，因為已設置了 S位元（儘管作業系統不知 道），實際上作業系統是在安全性網域中操作。它有個優 點，無法自非安全性網域存取的記憶體部分，在該情況下 69 1312253 是可存取的。 在所有情況下，在安全性監督模式中開機亦有利於 全性敏感系統，因為它有助於確保系統的安全性。在安 性敏感系統中，在開機時提供位址給在安全性監督模式 儲存開機程式之處，以及因此允許系統設定為一安全性 統，和轉換為監控模式。一般而言，自安全性監督模式 換為監控模式是允許的，和在一適當時間啟用安全性 統，以開始在監控模式中處理，以初始化監控模式架構 第2 6圖圖示，第1步驟，由一非安全性作業系統執 之一非安全性執行緒NSA。第2步驟，非安全性執行 NS A藉由在第3步驟執行一監控模式程式的監控模式， 叫安全性網域。監控模式程式改變S位元以轉換網域， 在第5步驟移動到安全性作業系統之前，執行任何必要 内容儲存和内容還原。而後在第6步驟受一中斷irq支 之前，執行對應的安全性執行緒SA。在第7步驟，中斷 理硬體觸發返回監控模式，此處決定是否由安全性作業 統或非安全性作業系統所處理。在這種情況下，在第9 驟開始，由非安全性作業系統處理該中斷。 當由非安全性作業系統處理該中斷時，在第1 1步驟 正常執行緒轉換操作之前，在非安全性作業系統中，非 全性執行緒NS A已作為現有任務重新繼續。該執行緒轉 可以是一時間事件或類似者的結果。在第1 2步驟中，由 安全性作業系統在非安全性網域中執行一不同的執行 NSB，以及此時在第14步驟藉由監控網域/程式對安全 安 全 中 系 轉 系 〇 行 緒 呼 和 的 配 處 系 步 安 換 非 緒 性 70 1312253 網域進行呼叫。在第7步驟，監控程式儲存了 一旗標，使 用一些其他的機制，用以指示安全性作業系統因為一中斷 而在上一次暫停，而非因為一安全性執行緒已完成執行或 因為正常的請求而離開，而就這麼放下。因此，因為一安 全性作業系統被一中斷暫停，在第1 5步驟，監控程式使用 一軟體仿製的中斷，以再次進入安全性作業系統，又該軟 體仿製的中斷設定了 一返回執行緒ID。（例如，在由非安 全性執行緒NSB請求時，由安全性作業系統所開始的執行 緒之識別符，其他的參數資料亦然）。軟體仿製中斷的該些 參數可以作為一登錄值傳遞。 在第1 5步驟，該仿製的軟體中斷觸發安全性作業系統 的一返回中斷管理器例式。該返回中斷管理器例式檢查軟 體仿製中斷的返回執行緒ID，以決定是否符合安全性執行 緒S A的ID，其在上一次安全性作業系統暫停前執行時中 斷。在這種情況下，沒有符合的，並因此在第16步驟，在 已經儲存安全性執行緒S A的内容以後，觸發安全性作業 系統，以將執行緒轉換為如非安全性執行緒NSB所設定之 返回執行緒。而後能夠在被請求時，由中斷處重新開始該 安全性執行緒SA。 第27圖圖示在第26圖所示之行為類型的另一示例。 該示例中，當程序在非安全性作業系統的控制中進行以處 理該IRQ時，沒有非安全性執行緒轉換，和因此當由安全 性作業系統的返回中斷管理器收到軟體仿製中斷時，其決 定不需要任何執行緒轉換和在第15步驟僅是重新繼續這 71 1312253 安全性執行緒SA. 第28圖是一流程圖，圖示由返回執行緒管理器所 的處理。在第40 02步驟啟動返回執行緒管理器。在第 步驟，當暫停安全性作業系統時，對軟體仿製中斷的 執行緒識別符進行檢查和與現有執行安全性執行緒比 如果該些符合，則程序進行至第4006步驟，當中安全 行緒重新繼續。如果在第4004步驟的比較未符合，則 進行至第4008步驟，其中在第4010步驟轉換至新的 性執行緒之前，儲存舊的安全性執行緒的内容，（為爾 重新繼續）。新執行緒已經在進行中，所以第40 1 0步 新繼續。 第29圖圖示之處理，藉此一受控安全性作業系統 使任務轉換由主控非安全性作業系統執行。該主控非 性作業系統可以是不具月通訊機制的一舊版作業系統 協調它的動作以配合其他作業系統，及因此只作為一 器操作。在第2 9圖之一初始進入點，非安全性作業系 行一非安全性執行緒NSA。該非安全性執行緒NSA呼 安全性執行緒，該安全性執行緒欲由安全性作業系統 一軟體中斷（一 SMI呼叫）執行。在第2步驟，該SMI 進入在一監控模式中執行的一監控程式，據以在第4 中，在傳遞呼叫進入安全性作業系統之前，該監控程 行任何需要的内容儲存和轉換。此時安全性作業系統 對應的安全性執行緒SA。該安全性執行緒可能藉由監 式將控制退回至非安全性作業系統，例如由於一定時 執行 4004 返回 較。 性執 程序 安全 後的 驟重 可以 安全 ，並 主控 統執 口 一 利用 呼口 ” 步驟 式執 起始 控模 事件 72 1312253 或類似者。在第9步驟，當非安全性執行緒NSA再度將控 制再次傳遞至安全性作業系統時，它藉由再度發出原始軟 體中斷以達成。軟體包括辨識NSA的非安全性執行緒ID、 欲啟用之目標安全性執行緒ID的安全性執行緒ID，即辨 識安全性執行緒SA的執行緒ID，以及其他的參數。 當在第9步驟所產生的呼叫由監控程式所傳遞，和在 第1 2步驟藉由安全性作業系統在安全性網域中接收時，能 夠檢查該非安全性執行緒ID，以決定是否已被非安全性作 業系統轉換了内容。也可以檢查目標執行緒的安全性執行 緒ID，以了解安全性作業系統下的正確的執行緒是否已重 新起動或以一新的執行緒起動。在第29圖的示例中，在安 全性網域中不需要由安全性作業系統進行任何執行緒轉 換。 第30圖與第29圖類似，除了第9步驟，執行緒的轉 換在非安全性作業系統的控制下，在非安全性網域中發生 以外。因此，在第11步驟中，使軟體中斷呼叫橫跨至安全 性作業系統的，是一不同的非安全性執行緒NSB。在第1 4 步驟，安全性作業系統確認非安全性執行緒NSB的不同執 行緒ID，並因此執行涉及儲存安全性執行緒S A的内容和 開始該安全性執行緒SB的任務轉換。 第3 1圖是一流程圖，圖示當接收一軟體中斷以作為一 啟動或重新繼續安全性作業系統的執行緒之呼叫時，由安 全性作業系統所執行的處理。在第4 0 1 2步驟中，接收了該 呼叫。在第4014步驟中，檢查呼叫的參數，以決定他們是 73 1312253 否在安全性作業系統中，與現有啟用的安全性執行緒相符 合。如果符合，則在第 401 6步驟重新開始該安全性執行 緒。如果不符合，則程序進行至第4 0 1 8步驟，其中決定是 否可使用新近請求的執行緒。該新近請求的執行緒可能因 為它是或它需要一特有資源，又該資源已經被在一安全性 作業系統中的一些其他的執行緒所使用，所以無法獲得。 在這種情況下，在第4020步驟中，以一適當訊息傳回非安 全性作業系統，拒絕該呼叫。如果在第401 8步驟決定新執 行緒可用，則程序進行至第4022步驟，其中舊的安全性執 行緒的内容被儲存，以供之後可能重新開始之用。在第 4024步驟，如同對安全性作業系統所進行的軟體中斷呼叫 之設定，轉換至新的安全性執行緒。 第3 2圖圖示一操作，據以進行一優先權倒置，當在具 有多個作業系統之一系統中處理中斷時，由不同的作業系 統處理不同的中斷。 處理以安全性作業系統執行一安全性執行緒 S A開 始。而後由一第一中斷Int 1所中斷。其在監控模式中觸 發監控程式，以決定是否中斷要在安全性網域或非安全性 網域中處理。在這種情況下，該中斷欲在安全性網域處理， 而程序返回到安全性作業系統以及開始中斷Int 1的中斷 處理例式。中途藉由執行Int 1的中斷處理例式，具有較 高優先權的一進一步中斷Int 2被接收。因此，停止Int 1 的中斷管理器和用以在監控模式中決定中斷Int 2在何處 處理之監控程式。在這種情況下，中斷Int 2要由非安全 74 1312253 性作業系統處理，並因此把控制傳遞至非安全性作業系統 和啟始的Int 2之中斷管理器。當中斷Int 2的管理器完成 時，非安全性作業系統不具有指示在安全性網域中服務被 暫停的暫停中斷Int 1的資訊。因此，非安全性作業系統 可以執行一些進一步步驟，例如任務轉換或啟始不同的非 安全性執行緒NSB，當仍然未能對原始中斷Int 1提供服 務時。 第33圖圖示一技術，據以避免與第32圖的操作相關 的問題。當中斷Int 1發生時，監控程式把它傳遞至一存 根（STUB)中斷管理器啟動處之非安全性網域。該存根中斷 管理器是相對地小且快速藉由監控模式使程序返回安全性 網域，和在安全性網域中觸發中斷Int 1的中斷管理器。 該中斷Int 1主要在安全性網域中處理，而在非安全性網 域中存根中斷管理器的啟動能夠視為一種型態的位置保持 記錄，其指示非安全性網域，中斷在安全性網域中暫停。 在安全性網域中，中斷Int 1的中斷管理器再次受到 高優先權Int 2的支配。在非安全性網域中，仍舊觸發中 斷Int 2的中斷管理器的執行。然而，在這種情況下，當 Int 2的中斷管理器完成時，非安全性作業系統便擁有指示 存根中斷管理器的資料，因為中斷Int 1仍然是未完成的， 以及因此將重新繼續該存根中斷管理器。該存根中斷管理 器將出現，如同它暫停於其進行回到安全性網域的呼叫 處，據此該呼叫將再次執行並因此轉換至安全性網域。一 旦回到安全性網域，安全性網域在其中斷處能夠自己再次 75 1312253 開始中斷Int 1 A6 tb & # 的中斷管理器。當中斷Inti的中斷管理器 在安全性網域中^ t t 疋成時’進行回到非安全性網域的呼叫， 以在原來的勃；^ ^ . 女全性執行緒s A重新繼續前，在非安全 性網域中關閉存根中斷管理器。 第圖圖不與它們的優先權相關之不同類型中斷，以 何處理匕們。可以使用純粹安全性網域中斷管理器， 處理高優先權中斷，確保沒有較高優先權的中斷由非安全 1±祠域處理。一旦有一中斷具有比後續中斷較高之優先 權S並在非安全性網域中處s，則所有較低優先的中斷若 不疋純粹在非安全性網域中處理’就是利用在帛η圖所示 斷管理器技術’據以使非安全性網域可以持續追緞 那些中斷，即使它們主要處理在安全性網域中發生者。 所述者’使用監控模式來在安全性網域和非安 2性料之間執行轉換°在實施例中，在兩不同網域之間 用釭錄這涉及儲存該些登錄中的狀態到記憶體，而後 自記憶趙為終點網域載人這種新狀態至登料。對未在兩 網域之間共用的任何登錄而t，不須儲存狀態，因為該些 豆錄不會被其他網域所存取，而在該些狀態之間轉換係作 為在安全性和非安全性網域之間轉換的一直接結果（即，在 一 CP15登錄之一中儲存的s位元的值決定所使用之非共 用登錄）。 當在監控模式中由處理器設定資料控制處理器對記憶 體的存取時，冑分狀態需要被轉換。因為在每一網域中有 不同的記憶體，例# ’安全性網域存取安全性記憶體以儲 76 1312253 存安全性資料，該安全性記憶體不能從非安全性網 取，很明顯地，處理器設定資料將需要在轉換網域時g 如第35圖所示，在CP15登錄34中儲存該處理 定資料，而在一實施例中，該些登錄在網域之間共用 此，當在安全性網域和非安全性網域之間轉換監控 時，現存於CP15登錄34的處理器設定資料需要自 轉出至記憶體，而與終點網域有關的處理器設定資料 載入至CP15登錄34。 因為CP 1 5登錄中的處理器設定資料通常在系統 記憶體的存取有立即的影響，則很明顯地，如果在監 式中操作時由處理器更新了它們，該些設定將立即生 然而，對在監控模式中欲設定處理器設定資料的一靜 定之監控模式而言，這是不希望發生的。 因此，如第3 5圖所示，在本發明監控模式一實施 提供特定的處理器設定資料2000，它能夠用來覆蓋 登錄34的處理器設定資料34，當處理器在監控模式 作時。如第35圖所示，在它輸入時，藉由多工轉換器 接收儲存在CP 15登錄的處理器設定資料和監控模式 處理器設定資料2000，可加以達成。此外，多工轉換器 經由路徑20 1 5，接收一控制信號，指示是否處理器現 監控模式中操作。如果處理器不是在監控模式中操作 在CP 1 5登錄34的處理器設定資料被輸出至系統，但 理器是在監控模式中操作的情況下，反之，該多工 2 0 1 0輸出監控模式專屬處理器設定資料2 0 0 0，以確保 域存 匕變。 器設 。因 模式 CP15 需要 中對 控模 效。 態設 例中 CP 1 5 中操 20 1 0 專屬 2010 下在 ，則 在處 換器 所應 77 1312253 用的處理器設定資料是一致的，當處理器是在監控 操作時。 監控模式專屬處理器設定資料可以寫死（Hard-在系統中’從而確保其不能被操縱。然而，亦有可 設計該監控模式專屬處理器設定資料，而不損害安 當在一安全性權限模式中操作時，確保只能由處理 監控模式專屬處理器設定資料。就監控模式專屬處 定資料的設定而言，這允許一些彈性。如果安排該 式專屬處理器設定資料為可程式設計的，則能夠在 的任何適當地方儲存設定資料，如在CP15登錄34 組個別的登錄3 4中。 通常’設定監控模式專屬處理器設定資料，以 模式中為處理器的操作提供一非常安全的環境。因 上述實施例中，該監控模式專屬處理器設定資料可 記憶體管理單元3 0為失效的，當該處理器係操作於 式中時，據此，使可能被該記憶體管理單元所應用 至實體記憶體轉譯失效。在此類狀況下，該處理器 被安排為直接發出實體位址，當發出記憶體存取請 即，將使用平面映射。其確保在監控模式中操作時 器能夠可靠地存取記憶體，而不管是否任何虛擬至 址的映射是相配合的。 當處理器在監控模式中操作時，監控模式專屬 設定資料通常也允許處理器存取安全性資料。其由 態位元形式的記憶體允許資料設定為佳，在安全括 模式中 Coded) 此程式 全性， 器修改 理器設 監控模 系統中 中的一 在監控 此，在 能設定 監控模 的虛擬 將總是 求時， ，處理 實體位 處理器 網域狀 L處理器 78 1312253 設定資料中，具有相同值的網域狀態位元會被設定給相同 值的網域狀態位元（"S "位元）。因此，不管儲存在CP 1 5登 錄中的網域狀態之實際值為何，該值會被由監控模式專屬 處理器設定資料所設定的網域狀態位元所覆蓋，以確定監 控模式已存取安全性資料。 監控模式專屬處理器設定資料可以設定其他用來控制 對部分記憶體存取的資料。例如，當處理器在監控模式中 操作時，監控模式專屬處理器設定資料可以設定快取3 8 不要用來存取資料。 在上述的實施例中，已經假設所有含有處理器設定資 料的CP 1 5登錄都在網域間被共用。然而，在一選擇性的 實施例中，將一些CP15登錄予以「分塊（banked)」，例如， 有用以儲存處理器設定資料的一特定項目的兩登錄，一登 錄可以在非安全性網域中存取並含有非安全性網域的處理 器設定資料之項目值，和另一登錄在安全性網域可在安全 性網域中存取並含有安全性網域的處理器設定資料之項目 值。 不被分塊的一 CP 1 5登錄是含有"S "位元者，但原則上 如果希望的話，任何其他的CP 1 5登錄都可以被分塊。在 此類實施例中，由監控模式所做的處理器設定資料的轉 換，涉及將任何共用的CP 1 5登錄轉換至記憶體中，現在 該處理器設定資料在在該些共用登錄中，和在該些共用的 CP 1 5登錄中，載入與終點網域有關的處理器設定資料。對 任何分塊的登錄而言，不必儲存該處理器設定資料至記憶 79 1312253 體中’相反地，由於改變儲在相關的共用CP15登錄中的S 位元值，轉換將自動地發生。 如先前所述’監控模式處理器設定資料將一網域狀態 位元，其覆蓋儲存在CP15登錄的資料，但是具有與用於 安全性網域之網域狀態位元相同之值（即，在上述實施例中 的S位元值1)。當一些CP15登錄被分塊時，它意味著在 第35圖中至少部分監控模式專屬處理器設定資料2〇〇〇能 夠從在被分塊的登錄中儲存的安全性處理器設定資料中導 出’因為在轉換處理期間未對記憶體寫入出該些登錄内容。 因此’舉一示例’因為監控模式專屬處理器將設定一 網域狀態位元，以覆蓋當不在監控模式中所使用者。而在 較佳實施例中，它有與在安全性網域中所使用者相同的 值，它意味著選擇可存取的分塊CP15登錄的邏輯是允許 存取安全性分塊CP15。藉由允許監控模式將該安全性處理 器設定資料用作監控模式專屬處理器設定資料的相關部 分’能夠實施對資源的储存’因為不再需要為監控模式專 屬處理器設定資料的該些項目提供一組個別的登錄。 第36圖是一流程圖，圖示當需要在一網域之間轉換 時，用以執行處理器設定資料的轉換的步驟。如先前所述， 發出一 SMI指令，以促使進行網域之間的轉換。因此’在 第2020步驟’等待一 SMI指令的發出。當接收一 smi指 令時，處理器進行至第2030步驟，其中處理器在監控模^ 中開始執行監控程式，它使該監控模式專屬處理器設定資 料被使作在前往多工轉換器2〇1〇的路徑2〇15上的控制= 80 1312253 號的結果，導致多工轉換器轉換監控模式專 資料。如先前所述，它可能是一組自我包含 以從在被分塊的登錄中儲存的安全性處理器 到某些部分。 此後，在第2040步驟，自發出SMI指 網域儲存現有的狀態，它包括從任何共用的 儲存與上述網域相關的處理器設定資料狀態 出部分記憶體，以供儲存此類狀態之用。而 步驟，轉換狀態指標為指向含有終點網域的 憶體。因此，通常，為了儲存狀態資訊配置兩 一配置為儲存非安全性網域的狀態，而一配 性網域的狀態。 一旦在第2050步驟轉換了狀態指標，現 指向的狀態在第2060步驟中被載入相關的寺 裡，其包含為終點網域所載入之相關處理器 後，在第2070步驟，當在監控模式中時，監 而之後處理器在終點網域中轉換至所需要的： 第 3 7圖詳細圖示本發明一實施例之記 30的操作。該記憶體管理邏輯包含一記 (MMU)200和一記憶體保護單元（MPU)220。 擬位址的核心1 0發出的任何存取請求將經由 至該MMU 200，該MMU 200負責執行預定 能，尤其是決定與虚擬位址對應的實體位址 許可權限和決定區域屬性。 屬處理器設定 的資料，或可 設定資料所得 令至記憶體的 CP15登錄， 。通常，會撥 後，在第2050 對應狀態之記 部分記憶體， 置為儲存安全 下狀態指標所 ^用CP15登錄 設定資料。此 控程式退出， 模式。 憶體管理邏輯 意體管理單元 由被設定一虛 路徑2 3 4傳遞 的存取控制功 ，和決定存取 81 1312253 資料處理設備的記憶體系統包含安全性記憶 全性記憶體。用來儲存存取安全性資料的安全性 希望被核心10所存取，或一或多數的其它主控裝 心或其它的裝置在在安全性模式中操作和因此在 域中操作時。 在第3 7圖所示之本發明的實施例中，在非安 下，在核心1 0執行的應用在安全性記憶體中存取 料的策略是藉由該MPU 220中的分割檢測器所 MPU 220由安全性作業系統所安排，本文中亦指 心 〇 依據本發明之較佳實施例，在非安全性記憶 一非安全性分頁表5 8，例如在外部記憶體5 6的 性記憶體部分，並用以為在上述分頁表中所定義 安全性記憶體區域儲存對應的描述符（descriptor) 符所包含的資訊，可從中得到用以令MMU執行 取控制功能所需的存取控制資訊，並據以在參照筹 述之實施例中，提供關於虛擬至實體位址映射的 取許可權限、和任何區域屬性。 此外，依據本發明之較佳實施例，在記憶體 全性記憶體中，至少提供一安全性分頁表5 8，例 記憶體5 6的一安全性部分中，其再次為在該表中 一些記憶體區域提供一相關的描述符。當處理器 全性模式中操作時，將參考該非安全性分頁表， 於管理記憶體存取的相關描述符，反之，當處理 體和非安 記憶體只 置，當核 安全性網 全性模式 安全性資 執行，該 安全性核 體中提供 一非安全 的每一非 。該描述 預定的存 ;37圖所 資訊、存 系統的安 如在外部 所定義的 在一非安 以獲得用 器在安全 82 1312253 性模式中操作時，將使用來自安全性分頁表的描述符。 自相關分頁表獲得描述符至MMU的過程如下《由核 心1 0發出的記憶體存取請求設定一虚擬位址，一查詢執行 於micro-TLB 206(TLB係主要轉譯參考緩衝（translation lookaside buffer))，其為一些虚擬位址部分之一儲存獲自 相關分頁表的對應實體位址部分。因此，micro-TLB 206 將把虛擬位址的一某部分與在micro-TLB中儲存的對應虛 擬位址部分比較，以決定是否符合。比較的部分通常是虛 擬位址的多數重要位元的一些預定的數字，位元的數目依 據在分頁表58中的分頁粒度。在micro-TLB 206中執行的 查詢通常相對地快速，因為micro-TLB 206只包括相對地 少量的項目，例如八項。 當沒有在micro-TLB 206中找到符合者（hit)的時候， 則記憶體存取請求被經由路徑242傳遞到含有獲取自該些 分頁表的一些描述符之主要TLB 2〇8。稍後將在下文中進 一步討論，來自非安全性分頁表和安全性分頁表的描述符 都能夠在主要TLB 2〇8中共存，而在主要TLB中的每一項 目都具有一對應的旗標（本文中稱為網域旗標），其可設定 以指示是否在項目中對應的描述符已經從一安全性分頁表 或一非安全性分頁表獲得。吾人將了肖，對於所有在它們 的：憶體存取請求中直接設定實體位址的安全性模式操作 而5 ，是不需要主要TLB中的此類旗標的’當主要 只儲存非安全性描述符時。 在主要TLB 208中，執行—類似查詢程序，以決定是 83 1312253 否在記憶體存取請求中發出的虛擬位址的 在主要TLB 208中與描述符相關的任何虛 該主要TLB相關於操作的特定模式。因！1 在非安全性模式中操作，主要TLB 208中 全性分頁表得到的該些描述符會被檢查，> 在安全性模式中操作，則在主要TLB中只 分頁表得到的描述符會被檢查。 如果在主要TLB中，檢查處理的結果 相關描述符提取存取控制資訊並經由路徑 是，描述符的虛擬位址部分和對應的實體 路徑上242被繞送到micro-TLB 206,以儲 的一項目中，載入存取許可權限至存取許 載入區域屬性至區域屬性邏輯204。存取: 區域屬性邏輯204可以與micro-TLB分離 micro-TLB 中。 此刻，MMU 200能夠處理記憶體存取 在micro-TLB 206中有將一符合者。因此 將產生實體位址，其可能經由路徑238輪 40，以繞送至相關的記憶體，這若不；| (on-chip)記憶體’如TCM 36、快取38等 經由外部匯流排界面42存取的外部記憶 時，記憶體存取邏輯202將決定是否允許 如果不允許核心在現有模式的操作中存取 位址，則經由路徑2 3 0發出一中止訊號回至 相關部分對應於 擬位址部分’又 匕，如果核心1 〇 只有已經從非安 瓦之如果核心1 〇 有已經從安全性 有符合者，則自 242傳送。尤其 位址部分將經由 存在 micro-TLB 可邏輯 202，而 汗可邏輯202和 ，或可以合併於 請求，因為現下 ，micro-TLB 206 出至系統匯流排 :藉由晶片整合 等，就是藉由可 體單元之一。同 記憶體存取，和 該特定的記憶體 :1】核心1 例如， 84 1312253 不論在安全性記憶體或非安全性記憶體中，當核心在 模式下操作時，核心設定記憶體的特定部分為只能被 所存取，而因此’當在例如使用者模式下時，如果核 圖存取此類記憶體位址，存取許可邏輯202將彳貞測到 10目前不具有適當的存取權限，並藉由路徑23〇發出 信號。這將使記憶體存取中止。最後，區域屬性邏輯 將決定特定記憶體的區域屬性，例如是否存取是可 的、可緩衝的、等等，和經由路徑2 3 2發出此類信號 中將用它們來決定記憶體存取請求的資料是否能夠 取’例如在該快取3 8中，是否在寫入存取的情況下， 入的資料能夠被緩衝，等等。 在主要TLB 208中沒有符合者的情況下，則轉譯 走邏輯（translation table walk l〇gic)21〇 被用來存取 分頁表5 8，以經由路徑248截取所需要的描述符，而 由路徑246令描述符傳遞至主要TLB 208，以儲存取身 非安全性分頁表和安全性分頁表兩者的基礎位址將儲 登錄CP15 34中，而處理器核心1〇所操作的現有網 即安全性網域或非安全性網域，亦將在C p 1 5的一登 3又定’當轉換在非安全性網域和安全性網域之間發生 或反之亦然，網域狀態登錄將由監控模式設置。網域 登錄的内容在本文中將稱作網域位元。因此，如果需 行一轉譯表行走程序’該轉譯表行走邏輯21〇將知道 所執行之網域，和因此知道所用以存取該相關表的基 址。而後該虛擬位址被用作對該基礎位址的補償，以 監督 核心 心企 核心 中止 204 快取 ，其 被快 所寫 表行 相關 後經 ^中。 存在 域， 錄中 時， 狀態 要執 核心 礎位 在適 85 1312253 第切號專利案抑年/月修正 日修正替換頁 當的分頁表中存取適當的項目，以獲得所需要的描述符。 一旦由轉譯表行走邏輯2 1 0截取了該描述符，並置於 主要T L B 2 0 8中，則在該主要T L B 中將獲得一符合者， 以及呼叫先前描述的程序，以截取存取控制資訊，和將它 儲存在micro-TLB 206、存取許可邏輯中202和區域屬性 邏輯204中，而後記憶體存取可由MMU200作動。 如先前所述，在較佳實施例中，主要T L B 2 0 8能夠儲 存來自安全性分頁表和非安全性分頁表兩者的描述符，但 是、一旦在micro-TLB 206中儲存了相關資訊，只能由MMU 2 0 0處理記憶體存取請求。在較佳實施例中，在主要T L B 208和micro-TLB 206間的資料傳輸是由位於MPU 220的 分割檢測器2 2 2所監控，以確保當核心1 0在一非安全性模 式中操作時，沒有存取控制資訊自主要TLB中的描述符傳 輸至m i c r 〇 - T L B 2 0 6中，如果這樣的話，將導致在安全性 記憶體中產生一實體位址。 記憶體保護單元係由安全性作業系統所管理，其能設 定於在安全性記憶體和非安全性記憶體之間定義分割的 C P 1 5 3 4分割資訊的登錄中。而後分割檢測器2 2 2能參考 分割資訊，以決定的是否存取控制資訊傳輸至 m i c r 〇 - T L B 2 0 6，其允許在一非安全性模式中由核心1 0存取安全性記 憶體。尤有甚者，在較佳實施例中，當核心1 0係操作於一 非安全性模式中，如同在 C P 1 5網域狀態登錄中由監控模 式所設定的網域位元所指示般，可操作分割檢測器2 2 2以 經由路徑 244，監控企圖自該主要 TLB208 擷取至 86 1312253 micro-TLB 206之任一實體位址部分，和依據該實體 部分，決定是否之後為該虛擬位址所產生的實體位址 安全性記憶體中。在這種狀況下，分割檢測器222將 路徑230對核心10發出中止信號，以防止記憶體存取智 吾人將了解’能夠安排分割檢測器222以確實防 體位址部分被儲存在micro-TLB 206中，或選擇性地 位址部分仍然儲存在micro-TLB 206中，但是中止處 部分將從micro-TLB 206中把不正確的實體位址部 除，例如藉由清除micro-TLB 206。 只要核心10在一非安全性模式和一安全性模式 藉由監控模式改變，監控模式將改變CP15網域狀態 中網域位元值’以指示處理器的操作所變成的網域。 網域之間傳輸程序的一部分，將清除micro-TLB 206 因此在安全性網域以及非安全性網域之間轉換之後的 記憶體存取將在micro-TLB 206產生不符者（miss)， 求自主要TLB208截取存取資訊，或直接自相關分頁 取相關的描述符。 藉由上述方法，吾人將了解’分割檢測器222將 當核心在非安全性網域中操作時，如果意圖截取允許 安全性記憶體的micro-TLB 206存取控制資訊，將產 記憶體存取中止》 如果處理器核心10操作的任何模式中，安排記憶 取請求以直接設定一實體位址’則在MMU 200的操 式中將失效，而實體位址將經由路徑236傳遞至
位址 是在 經由 止實 實體 理的 分移 之間 登錄 作為 ，和 第― 和請 表戴 確保 存取 生一 體存 作模 MPU 87 1312253 220。在操作的 屬性邏輯226 域所定義的存 可和區域屬性 是在只能在一 分中，例如安 意圖的存取， 可邏輯224產 2〇2在此類環 核心。同樣地 緩衝的信號， 擬位址設定的 存取，此時存 從此類，其繞 _為了存取 取請求將藉由 CP15登錄34 體位址在安全 經由路徑2 3 0 上述記憶 圖的流程圓進 的程式產生一 監控模式所設 位元，將指示 安 全 性 模式中，存取許可 邏 依 據 替 在 CP15 34中分割資 訊 取 許 可 權 限和區域屬性，執 行 分 析 〇 如 果企圖被存取的安 全 特 定 模 式 操作中存取之安全 性 全 性 權 限 模式，則核心在一 不 例 如 > — 安全性使用者模式 > 生 — 中 .止 ’以相同於MMU 的 境 中 產 生 一中止的方法，經 由 9 域 屬 性邏輯226將產生 可 以 相 同 於 MMU的區域屬性 邏 記 憶 體 存 取請求產生此類信 號 取 請 求 經 由路徑240進行至 系 送 至 適 當 的記憶體單元。 請 求 指 定 一實體位址之一非 安 路 徑 236 被繞送到分割檢測 器 的 分 割 資 訊以執行分割撿杳 性 記 憶 體 中指定一位置，該 情 產 生 中 止 信號。 體 管 理 邏 輯的程序現下參照 第 _ _ 步 詳 盡 描述。第39圖圖示4 虛 擬 位 址 的情況，如第3〇〇 步 定 之 在 CP15網域狀態登錄： 34 核 心 是 否 現下在一安全性網 域 輯224和區域 登錄的對應區 必要的存取許 性記憶體位置 記憶體的一部 同模式操作所 將導致存取許 存取許可邏輯 路徑2 3 0傳至 快取的以及可 輯204替以虚 。假定允許該 統匯流排40， 全性存取，存 222，其參照 以決定是否實 況下，將再次 39圖和第40 t核心1 〇執行 驟所示。依據 中的相關網域 或非安全性網 88 1312253 域中執行。該情況下’核心正在一安全性網域中執行，過 程發展至第302步驟，其中在micro-TLB 206中執行一查 詢以了解是否虛擬位址的相關部分符合在micr〇 TLB中的 虛擬位址部分之一。如果在第3〇2步驟中符合，處理直接 發展至第312步驟，其中存取許可邏輯2 02執行必要的存 取許可分析。在第314步驟，其決定是否有一存取許可違 反’而如果有’則程序進行至第316步驟，其中存取許可 邏輯202經由路徑230發出一中止。否則，如果沒有存取 許可違反，則處理從第314步驟進行至笫3 1.8步驟，其中 進行記憶體存取。特別是區域屬性邏輯2 0 4將經由路徑2 3 2 輸出必要的可快取和可緩衝屬性，以及micro-TLB 206將 如稍早所述經由路徑238發出實體位址。 如果在第302步驟在micro-TLB有不符者，則在第304 步驟在主要TLB 208中執行一查詢程序以決定是否所需要 的安全性描述符在主要TLB中存在。否則，則在第306步 驟執行一分頁表行走程序，據以轉譯表行走邏輯210自安 全性分頁表獲得需要的描述符，如第3 7圖稍早所述。此時 程序進行至第308步驟，或直接從第304步驟進行至第308 步驟，如果安全性描述符已經存在於主要TLB 208。 在第308步驟，其決定主要TLB現下含有該有效標籤 (tagged)的安全性描述符，以及因此程序進行至第3 1 〇步 驟，其中在micro-TLB載入含有實體位址部分的描述符的 子部分。因為核心1 〇現下正在安全性模式中執行，分割檢 測器222不需要執行任何分割檢查功能。 89 1312253 此時程> 部分如稱早/ 如果非· 第320步驟 一非安全性； 果有，則程， 輯202檢査-體位址部分： 因為在被儲， 地監督該資 可，則程序赶 其中存取許 行至第318 論般執行。 如果在 序進行至第 序以決定相 表行走邏輯 自非安全性 2 〇 8 »此時程 行至第326 現符合者β 慮的虛擬位 3 2 8步驟分； 進行至第312步驟，其中記憶體存取的 述般進行。 全性記憶體存取，處理從第300步驟進 其中在micro-TLB 206執行一查詢程序 述符決定對應的實醴位址部分是否存在 直接發展至第336步驟，其中由存取許 取許可權限。在該點應注意到，如果相 .在micro-TLB中，其假設沒有安全性違 •到micro_TLB中之前，分割檢測器22 L° 一旦在第336步驟已經檢查了該存 行至第338步驟，其中決定是否有任何 錯誤中止在第316步驟發出。否則，程 步驟’其中記憶體存取的其餘部分如稍早 $ 32〇步驟未有符合者位於micro-TLB， 322步驟’其中在主要TLB 208執行一查 關的非安全性描述符是否存在。否則，由 210在第324步驟執行一分頁表行走程序 刀頁表截取必要的非安全性描述符至主要 序進行至第326步驟，或直接自第322步 步驟’如果在第322步驟在主要Tlb 208 在第326步驟，其決定主要TLB現下含有 址的有效附加的非安全性描述符，而後 檢測器222檢查從（在描述符中給定實體 其餘 行至 以自 。如 可邏 關實 反， 有效 取許 :反， 序進 所討 則程 尋程 轉譯 ，以 TLB 驟進 中出 所考 在第 位址 90 1312253 部分的）§己憶體存取請求的虛擬位址所產生的實體位址將 指向非安全性記憶體中的一位置。否則，即如果實體位址 才曰向女全性S己憶體中的一位置，則在第33〇步驟，其決定 有安全性一違反’而程序進行至第3 32步驟，其中由分割 檢測器222發出一安全性/非安全性錯誤中止。 然而’如果分割檢測器邏輯222決定沒有安全性違 反，則程序進行至第334步驟，其中在micr〇_TLB載入含 有實體位址部分的相關描述符的子部分，其後在第336步 称’以先前所述之方式進行記憶體存取。 參照第40圖現下描述直接發出—實體位址的記憶體 存取請求的處理。如先前所述，在該歷程中，MMU 200將 作瘙，其最好由登錄一 MMU啟用位元之CP15的一相關登 錄中的設定所達成，該設定程序由監控模式所執行。因此， 在第3 5 0步驟，核心i 〇將產生將經由路徑23 6傳送到MPU 220裡的一實體位址。而後，在第352步驟，MPU檢查許 可’以確認被請求的記憶體存取能夠以現有的操作模式進 行，即使用者、監督、等等。此外，如果核心在非安全性 模式中操作，不論是否實體位址在非安全性犯憶體中，分 割檢測器222在第352步驟也將檢查是否實艏記憶體在非 安全性模式中。而後，在第354步驟，其決定是否有一違 反，即，是否存取許可程序揭露了 一違反，戒如果在非安 全性模式中，分割檢查程序確認了 一違反。如果該些違反 中的任一發生，則程序進行至第356步驟，其中由MPU 22 0 產生一存取許可錯誤中止。吾人將了解，在某些實施例中’ 91 I312253 在二 中， -安 358 址， 將啟 位址 所有 作的 了解 能夠 完全 以由 取請 安全 全的 之主 當一 另一 然需 種類型的中止之間沒有罢 鈦山 j ’而在選擇性的實施例 該中止信號可公指示是否复^ ^ 全性錯誤。 存取許可錯誤或 如果在第354步驟沒偵測到任 步® ^ ^ 了延反，程序進行至第 乂驟，其中發生記憶體存取由 在技杏& 貫體位址確認的位置。 . 文排監控模式直接產生實體位 乂及因此在所有其它情況中， 4勒早所述般，MMU 200 用以及將發生從記憶體存取培 。 仔取凊未的虛擬位址產生實體 第38圖圖示記憶體管理邏錄 . 邏輯的—選擇性實施例，其中 把憶體存取請求都指定一虛擬 y狹位址’以及因此未在操 任何棋式中直接產生實體位址。 位址在該歷程中，吾人將 ’不需要一個別的MPU 220，知β 、 υ和反之分割檢測器222 合併於MMU 200之中。这Hi·媒他，， 甲k改變悄悄地發生，程序以 相同於稍早參照，第37圖至第39 _人 闽王乐jy圖所討論之模式進行。 吾人將了解，各種其它選擇亦有 t β j fib。例如，假定可 指定虛擬位址的安全性和非安全性模式發出記憶體存 求，能提供二MMU，一供安全性存取請求，和一供非 性存取請求，即，在第37圖中的Mpu MO能用一完 MMU取代。在這種情況下，可能不需要與每_以蘭 要TLB使用之旗標’其用以定義安全性或非安全性， MMU在它的主要TLB中儲存非安全性描述符以及 MMU在它的主要TLB儲存安全性描述符。當然，仍 要分割檢測器以檢查當核心在非安全性網域中時，是 92 1312253 否意圖存取安全性記憶體。 如果，選擇性地，所有記憶體存取請求直接指定實體 位址，一選擇性的執行可以使用二MPU，一供安全性存取 請求，和一供非安全性存取請求。用於非安全性存取請求 的 MPU可能有由安全性分割檢測器所監督之它的存取請 求，以確保不在非安全性模式中允許存取安全性記憶體。 第 37圖或第 38圖之任一安排可以提供進一步的特 徵，可以安排分割檢測器2 2 2以執行一些分割檢查，以監 督轉譯表行走邏輯210的活動。尤其是，如果核心現下在 非安全性網域中操作，則能安排分割檢測器2 2 2進行檢 查，只要轉譯表行走邏輯210企圖存取一分頁表，其存取 非安全性分頁表而非安全性分頁表。如果彳貞測到一違反， 最好能產生中止信號。因為轉譯表行走邏輯210通常藉由 使一分頁表基礎位址與由記憶體存取請求發出的虛擬位址 的某些位元結合，以執行該分頁表查詢，該分割檢測可能 涉及，例如，檢查轉譯表行走邏輯2 1 0係使用一非安全性 分頁表的一基礎位址而非一安全性分頁表的一基礎位址。 第4 1圖圖示當核心1 0在一非安全性模式 '中操作時， 由分割檢測器222執行的程序。吾人將了解，在正常的操 作下，從非安全性分頁表獲得的描述符應該只描述在非安 全性記憶體中映射的一分頁。然而，在軟體攻擊中，描述 符可能被竄改，以使它現下描述含有記憶體的非安全性和 安全性區域的一部分。因此，考慮第41圖之一示例，受篡 改的非安全性描述符可以涵蓋一分頁，其包括非安全性區 93 1312253 域370、372、374和安全性區域376、378、380。如果作 為記憶體存取請求的一部分發出的虛擬位址此時符合在一 安全性記憶體區域的一實體位址，如第41圖所示之安全性 記憶體區域3 76，則安排分割檢測器222產生一中止以防 止存取發生。因此，即使意圖存取安全性記憶體之企圖篡 改了非安全性描述符，分割檢測器222防止該存取發生。 相對地，如果使用該描述符導出的實體位址與一非安全性 記憶體區域一致，例如，如第41圖所示的區域374’則載 入micro-TLB 206裡的存取控制資訊僅確認該非安全性區 域374。因此，在非安全性記憶體區域374中的存取能夠 發生，但是，對任何安全性區域376、378或380的存取 不能夠發生。因此，可以看到即使主要TLB 208可能含來 自已被霞改的非安全性分頁表的描述符，micro-TLB將只 包含實體位址部分’其將啟用對非安全性記憶體區域的存 取。 如賴早所述，在實施例中，非安全性模式和安全性模 式可以產生指定虛擬位址的記憶體存取請求，而後記憶體 最好都包括非安全性記憶體中的一非安全性分頁表，和安 全14 »己it體中@ *全性分頁表。在非安全性模式中時， 轉譯表行走邏輯21G將參㈣非安純分頁表，而在安全 性模式中_，轉譯表行走邏輯21Q將參考安全性分頁表。 第42圖示該兩分頁表。如在第42圖所示，可能在例如第 i圖所示之外部記憶體5 6中的非安全性記憶體3 9 〇包括在 其中之非安全I·生分頁表395，其參考一基礎位址397在 94 1312253 ~ CP 1 5登錄34中指定。同樣地，在安全性記憶體4〇〇中， 其可以再次在第1圖所示之外部記憶體5 6中，提供—對應 的安全性分貢表405，其由一安全性分頁表基礎位址4〇7 在一複製的CP15登錄34申指定。在非安全性分頁表395 中的每一描述符都將指向在非安全性記憶體390中的一對 應非安全性分頁，而在安全性分頁表405中的每—描述符 都將定義安全性記憶體400中的對應安全性分頁。此外， 將在稍後詳述的，對某些區域的記憶體而言，是可能共用 記憶體區域4 1 0 ’其為非安全性模式和安全性模式所能存 取。 第43圖依據較佳實施例’詳述在主要TLB 208中執 行的查詢程序。如先前所述，主要TLB 208包括一網域旗 標42 5’其確認是否對應的描述符43 5係來自安全性分頁 表或非戈全性分頁表。它確保當執行一查尋程序時，僅相 關於核心10所操作之特定網域的描述符會被檢查。第43 圖圖示一示例，其中核心執行於也稱作安全性情境之一安 全性網域。可自第43圖看出，當執行一主要TLB 208查 詢時’它將導致忽略描述符440，和僅描述符445被認定 為查尋程序的候選者。 依據本發明之較佳實施例，在本文中亦稱作AS ID旗 標之一額外程序1D旗標430使提供以從程序專屬分頁表 確認描述符。目此，程序P1、P2和P3每一具有在記憶體 中提供的對應分頁表，和進一步可以對非安全性操作和安 全性操作有不同的分頁*。尤有甚者’吾人將了解，在安 95 1312253 全性網域中的程序PI、P2、P3可以完全獨立於在非安全 性網域中的程序P1、P2、P3。因此，如第43圖所示，除 檢查網域之外，當需要主要TLB查詢208時，也檢查ASID 旗標。 因此，在第43圖的示例中，在安全性網域，執行程序 P1，該查尋程序確認在主要TLB 208中僅兩項目450，以 及依據是否在兩描述符中有虛擬位址部分符合由記憶體存 取請求所發出的虛擬位址部分，產生符合者（hit)或不符者 (miss)。如果有，則把該相關的存取控制資訊截取並傳遞 至 micro-TLB 206、存取許可邏輯 202 和區域屬性邏輯 2〇4 。否則，一不符者發生，以及轉譯表行走邏輯2 1 0被 用於從提供給安全性程序P1的分頁表截取需要的描述符 至主要TLB 208裡。熟知本項技藝者將了解，有許多管理 TLB的内容的技術，並因此當截取一新的描述符以儲存在 主要TLB 208中，而主要TLB已經滿載，可以用多數習知 技術之任一來決定欲自主要TLB去除的描述符，以為新描 述符製造空間，例如最近使用的方法，等等。 吾人將了解，用於操作的安全性模式的安全性核心可 以完全獨立於非安全性作業系而發展。然而，在某些情況 中，安全性核心和非安全性作業系統發展可以密切地連 接，而在此情況下，適於允許安全性應用使用非安全性描 述符。的確，這將允許安全性應用藉由僅知的虛擬位址直 接存取非安全性資料（以共用）。其當然假設安全性虛擬映 射和和非安全性虛擬映射可供特定AS ID執行。在此類歷 96 1312253 程中’不需要預先 非安全性描述符之 述符執行查詢。 在較佳的實施 分離的安全性和非 控制登錄中所提供 只由安全性核心設 在實施例中， 擬位址，其亦可能 可獲得。它能夠藉 性登錄值至CP15」 非安全性應用依據 傳遞參數。 如稍早所述， 部分’以及使用專 由核心控制該分割 中疋義之區域存取 以及最好能用它的 可定義每一區域。 域的屬性擁有最高 施例’提供一新的 性記憶體或在非安 的區域屬性來定義 部分。 例中’在主要TLB 安全性描述符的架 的特定位元所設置 置該位元。 不^也女全性和
間識別。反之太rp T T5 A 心社1lb中以所女 丁 π有可用的插 的架構和先前所述之 構’能夠由在CP15 。在較佳實施例中， 從安全性網g # φ ' #彻 硃使非文全性堆疊指標變為 由複製確認非安全性堆疊指標的非安全 登錄34中的-專屬登錄。此時它將促使 被安全性應用所理解的規劃藉由該堆叠 記憶體可能被分割為非安全性和安全性 屬於分割檢測器222之CP15登錄34, 基分割方法係基於在典型MPU裝置 許可。因此’把記憶體分成多數區域， 基礎位址、大小、t己憶體屬性和存取許 尤有甚者’當設計重疊區域時，上方區 的優先權。此外，I據本發明之較佳實 區域屬性以定義是否對應的區域在安全 全陡°己隐體中。由安全性核心使用該新 欲被作為* 4 ί生記憶It來保冑的記憶體 97 1312253 在開機階段，如第44圖所示般執行一第一分割。該初 始分割將決定分發給非安全性情境、非安全性作業系統和 非安全性應用的記憶體460的數量。該數量與在分割中定 義的非安全性區域一致。而後由非安全性作業系統將該資 訊用於它的記憶體管理。其餘的記憶體462、464 (被定義 為安全性的）不被非安全性作業系統所知道。為了保護非安 全性情境的完整性，可設計非安全性記憶體為只允許安全 性權限模式存取。因此，安全性應用將不被該些非安全性 者所竄改。如第44圖所示，在該開機階段分割之後，記憶 體460可用於供非安全性作業系統使用、記憶體462可用 於供安全性核心使用，以及記憶體4 6 4可用於供安全性應 用使用。 一旦已經執行了該開機階段分割，由使用 MMU 200 的非安全性作業系統處理非安全性記憶體4 6 0的記憶體映 射，以及因此能夠以一並通模式定義一系列非安全性分 頁。如第45圖所述。 如果一安全性應用需要與一非安全性應用共用記憶 體，安全性核心能夠改變記憶體一部分的權限以從一網域 傳送偽造資料至其他者。因此，如第46圖所示，安全性核 心能夠在檢查非安全性分頁的完整性以後，改變該分頁的 權限，以使安全性分頁466變為可存取之共用記憶體。 當記憶體的分割改變時，micro-TLB 206需要被清除。 因此，在該歷程中，當其後發生一非安全性存取時，在 micro-TLB 206將發生一不符者，以及因此從主要TLB 208 98 1312253 載入一新的描述符。由MPU的分割檢測器222在其後檢查 該新的描述符，當意圖截取它至micro-TLB 206時，所以 將與§己憶體的新分割一致。 在較佳實施例中，該快取38是虚擬索引和實體附加 的。因此’當在該快取38中執行一存取時，首先在 micro-TLB 206已經執行一查詢，而因此存取許可（尤其是 安全性和非安全性許可）將被檢查。因此，在快取38中不 能由非安全性應用儲存安全性資料，並因此在非安全性模 式中不能執行對安全性資料的存取。 ------ X王怔馮用而言，可能發 生一問題是能夠使用快取操作登錄以進行 (invaHdate)、清除或去除 潑 丹耑要保證此類楹妆了 會影響系統的安全性。彻如^田 頰锢作不 例如’如果非安全性作蚩备祕 療快取38而不用清^ 4性作業系統欲作 小用明除匕，在取代前，任何外 寫入任何安全性受污染的資 D隐體必須 眘极及+ a 較佳的實施例為，伞本w 資料係在快取中附加，和因此如 *全性 區別地處理。 望的話’能夠進行有 據位址作癆快取線」操作，==全性程式執行-丨 址’以及如果快取線是__安 測15 222檢查實|| 和作癭j操作，從而確仵系一 ' 取線’操作成為「讀 在較佳實施例巾，由二系:：安全性能維持。尤有甚: 非女全性程式鈾备从〜 弓丨作癆快取線」操作成A@ a 執仃的所有「依摘 .t 為依據索引清除和作瘗 由-非安全性程式執行的 作瘙」。同樣^ 廢全部」操作成為r 99 1312253 除和作廢全部」。 此外’參考第一圖，micro-TLB 206控制DMA 32對 TCM 36的任何存取。因此，當DMA 32在TLB執行查詢， 以把它的虚擬值址轉換成一實體者時’添加於主要TLB内 的先前所述之旗標允許執行需要的安全性檢查，猶如已由 核心1 0發出存取請求般。此外，將在稍後討論，一複製部 分被連接至外部匯流排70，最好位在判優器（arbiter)/解碼 區塊之中，以使在DMA 32藉由外部匯流排界面42直接存 取與外部匯流排7 0連結的記憶體時，使與外部匯流排連接 的複製分割檢測器檢查存取的有效性。尤有甚者，在某些 較佳實施例中，有可能向CP 1 5登錄34中添加一位元以定 義是否DMA控制器32可用於非安全性網域，當在一權限 模式中操作時，該位元僅允許由安全性核心設置。 考慮TCM 36,如果安全性資料被置於TCM 36之中， 必須小心地處理它。舉一示例，可想見一歷程，其中非安 全性作業系統為TCM記憶體36設計實體位址範圍，以使 其重疊一外部安全性記憶體部分。如果操作的模式之後改 變至一安全性模式，安全性核心可能導致資料儲存在上述 重疊部分，而通常在TCM 36儲存該資料，因為TCM 36通 常具有比外部記憶體較高之優先權。如果非安全性作業系 統之後為TCM 36改變實體位址空間的設定，以使先前的 安全性區域現下映射至記憶體的非安全性實體區域，吾人 將了解，此時該非安全性作業系統能夠存取該安全性資 料’因為分割檢測器將視該區域為非安全性而將不宣告一 100 1312253 中止。因此，簡而言之’如果TCM被設定為以正常的本地 端RAM作用，而非SamrtCache，如果它可以移動TCM基 礎的登錄至非安全性實體位址，則可能讓非安全性作業系 統讀取安全性情境資料。 用以防止上述歷程，在較佳實施例中提供控制位元於 CP15登錄34其只能在安全性模式操作中存取’和提供兩 可能的架構。在一第一架構中，把控制位元設置成"丨"，其 中TCM只能夠由安全性權限模式控制。因此，在cp1534 中意圖對T C Μ控制意圖進行的任何非安全性存取將導致 進入一未定義指令異常。因此，在該第一架構中，安全性 模式和非安全性模式都能夠使用TCM，但是，僅由安全性 權限模式控制該TCM。在第二架構中，把該控制位元設置 成’其中TCM能夠由非安全性作業系統控制。在這種 情況下，只能由非安全性應用使用該TCM。沒有任何安全 性資料可以從TCM處載入或存入TCM。因此，當執行安 全性存取時’不在TCM中執行查詢以了解位址是否與該 TCM位址範圍符合。 預設的情況下，想像僅能由非安全性作業系統使用 T CM ’在這種歷程中，不需要改變非安全性作業系統。 如先前所述，除了在MPU 220提供分割檢測器222之 外’本發明之較佳實施例也提供一類似的分割檢測區塊其 連接至外部匯流排70，該額外的分割檢測器被用於監督其 他主控裝置對記憶體的存取’例如，數位信號處理器 (DSP)50、直接連接至外部匯流排的DMA控制器52、經由 101 1312253 外部匯流排界面42連接至外部匯流排的DMA控制器32、 等等。在某些實施例中，如稍後將討論的，有可能只有一 分割檢測區塊連接至外部匯流排，而不提供一分割檢測器 作為記憶體管理邏輯3 0的一部分。在一些此類實施例中， 可以選擇性地提供一分割檢測器作為記憶體管理邏輯3 0 的一部分，在此類示例中，該分割檢測器被視為除了與裝 置匯流排連結的那個以外，所提供之一進一步的分割檢測 器。 如先前所述，全部的記憶體系統能包含多數記憶體單 元，而上述之多種可能存在於外部匯流排7 0，例如，外部 記憶體56、開機ROM 44、或真正的緩衝或在週邊裝置中 的登錄48、62、66，例如，螢幕驅動器46、I/O界面60、 金鑰貯藏單元64、等等。此外，記憶體系統的不同部分可 能需要被定義為安全性記憶，例如，可能需要在金鑰貯藏 單元64中的金鑰緩衝儲存器66被視為一安全性記憶體。 如果與外部匯流排連結的一裝置意圖存取安全性記憶體， 則很明顯地，在含有核心1 0的晶片中提供先前所述的記憶 體管理邏輯30將不能監督此類存取。 第47圖圖示如何使用連接至外部匯流排（本文中亦指 裝置匯流排）之額外的分割檢測器492。通常安排該外部匯 流排，以使無論何時裝置（例如，裝置470、472)發出記憶 體存取請求，都會進入上述外部匯流排。該些記憶體存取 請求也包括在該外部匯流排上的某些信號其定義操作的模 式，例如權限的、使用者的、等等。依照本發明之較佳實 102 1312253 施例，記憶體存取請求亦涉及發出一網域信號至該外部匯 流排，以確認是否該設備係操作於安全性模式或非安全性 模式中。最好能在硬體層級發出該網域信號，以及在較佳 實施例中，能夠在安全性或非安全性網域中操作的一裝置 將包括一預設的腳位，用以輸出該網域信號至外部匯流排 中的路徑 4 9 0。為了描述它，在外部匯流排上，在另一信 號路徑488之外，單獨顯示該路徑490。 網域信號（本文亦指"S位元"）將確認是否發出記憶體 存取請求的設備係操作於安全性網域或非安全性網域，和 由連接至外部匯流排的分割檢測器492接收該資訊。該分 割檢測器492將亦已經存取分割資訊其確認記憶體之區域 是安全性或非安全性的，和因此可以被安排為僅允許一裝 置存取記憶體的特定部分，如果該S位元係被宣告作確認 一安全性模式的操作。 在預設的情況下，想像不宣告該S位元，和因此一預 先存在的非安全性裝置（諸如第47圖所示之裝置472)將不 輸出一宣告的S位元，和因此絕不允許由分分割檢測器4 9 2 存取記憶體的任何安全性部分，不論是在螢幕驅動器 480、輸入輸出界面 484之中的登錄或緩衝器482、486中， 或在外部記憶體474中》 為供描述之故，用來在主控裝置（諸如，裝置470、472) 所發出的記憶體存取請求之間進行判優（arbiter之判優器 區塊，係獨立於用以決定服務記憶體存取請求的適當記憶 體裝置之解碼器478和獨立於分割檢測器492來解說。然 103 1312253 而，吾人將了解，上述元件之一或多數可以 單元中，如果希望的話。 第48圖圖示一選擇性實施例，其中未提 492，而反之安排每一記憶體裝置 474、480 位元的值監督自己的記憶體存取。因此，如 在非安全性模式下，對在被標示為安全性記 動器480中的一登錄482宣告記憶體存取請 驅動器480將決定S位元未被宣告，以及不 存取請求。因此，可想見以各種記憶體裝置 可以避免需要在外部匯流排上分別提供-492 ° 在第47圖和第48圖的上述内容中，'·5 確認發出記憶體存取請求的裝置係在安全性 性網域中操作。以另一種角度觀之，該S位 記憶體存取請求屬於安全性網域或非安全性： 在第3 7圖和第3 8圖所述之實施例中，一 同單——組分頁表）被用來執行虛擬至實體位 類方法，'實體位址空間通常以如第49圖所示 非安全性記憶體和安全性記憶體之間分成區 體系統中之記憶體單元之一，本文之一實體/ 所包含範圍開始於位址零並延伸至位址Υ， 憶體5 6。為了每一記憶體單元，可尋址記憶 為兩部分，一第一部分2 11 0被分配為非安全 第二部分2 1 2 0被分配為安全性記憶體。 整合於相同的 供分割檢測器 、4 8 4依據 S 果裝置470要 憶體之螢幕驅 求，則該螢幕 處理該記憶體ί 的適當設計， -分割檢測器 ;位元”被用作 網域或非安全 元可視為指示 阔域。 單一 MMU(連 :址轉譯。以此 之簡單模式在 塊。對於記憶 ί立址空間2 1 0 0 例如，外部記 體通常被切割 性記憶體和一 104 1312253 定·網 統將 全性 中的 是， 統知 址X 性核 性記 址空 域完 知， 域中 係開 2200 51圖 割為 記憶 體位 執行 ^此 ·*·、j· , 月方法，吾人將了解，有某些實體位址不能被特 域所a» 好取，以及此類差異對用使於該些網域的作業系 刀明顯。而用於安全性網域之作業系統將知道非 網域ι & +
巧仔在’也因此將不在意這點，在非安全性 作聿I 一糸統最好應該不需要知道安全性網域的存在，但 反之應該操作地好似不在安全性網域般。 - 步的議題中，甘八』所一井女金性作業系 道外部記憶體的位址空間為開始於位址零和延伸至位 ’和該非安全性作業系統不需要知道任何關於該 心66 f 、以文4 事’以及尤其是從位址X+1延伸至位址Y沾& 憶體的存在。相反地，該安全性核心將 ^ M 个知道它的位 1係開始於位址零其通常不為_作業系統所預期者。 :減輕上述顧慮的實施例 '藉由允許安全性記憶體區 :破具有它的實體位址空間的非安全性作業系統所 藉由啟用安全性網域中的安全性核心和非安 的非*全性作業系統’以知道外部記憶體的位址* 始於位址零’如第51圖所述。這 工間 缺+ 、 貫體位址空間 ^在为頁層級被㈣h純或非安純區塊 所示之示射，所示之外部記憶_㈣ 第 四個區塊2210、2220、223 〇和224〇,包人二被切 艘區域和兩非安全性記憶體區域。 匕3兩女全性 相反於藉由一單一分頁表榦 得換在虛擬位址空 址空間之間轉換，參照—笫 4和該實 兩分離層的位址轉譯，從而敗 —刀I表 導入一中間位址空間的概 105 53 53 念，& % XU 心否處理器在安全性網域或非安全性網域中，装 F不同66 升 繞八巧安排。尤有甚者，如第51圖所示，藉由使用在 ，貢表2250中的一安全性分頁表中所提供的描述 符， 乾錡在中 貧趙 ^ ^ ^ ^ 位址空間中的兩安全性記憶體區域22 1 〇和223〇 執行队中間位址空間映射至單一區域2265。對在處理器上 f 間， 茶系統而言’其將視中間位址空間為實體位址办 成中 β MMU來在該中間位址空間中使虛擬位址轉變 間位址。 同樣认 227〇, 他，能夠為非安全性網域設定中間位址空間 的斟、中藉由在該組分頁表2250的一非安全性分頁表中 ^應掏、+、 %符，將在實體位址空間中的兩非安全性記憶體 域 222n 22?5 υ和2240映射至非安全性網域的非安全性區域 實施例中’如第50A圖所示’經由中間位址對旛 至實體位址的轉譯係使用兩獨立的MMUs所控制。 在第5 Π a υΑ圖中的MMUs 2150和MMUs 2170可視為以相似 於第 ^ η 、* 圖所示之MMU 200的方法建構，但是，為了簡化 說明’省略了某些細節。 第一MMU 2150 包括一 micro-TLB 2155、一主要 TLB 2160和轉譯表行走邏輯2165，而同樣地，第二MMU2170 包括一 micro-TLB 2175、一主要TLB 2180和轉譯表行走 邏輯2185。當處理器在非安全性網域中操作時，由非安全 性作業系統控制該第一 MMU ’或者當處理器在安全性網域 中操作時，由安全性核心控制。然而，在較佳實施例中， 106 1312253 該第二MMU只能由安全性核心或監控程式所控制。 當處理器核心10發出記憶體存取請求時，其將藉由路
徑 2153 發出一虛擬位址至 micro-TLB 2155。micro_TLB 2155將儲存一些虛擬位址部分’其對應於自儲存在主要 TLB 2160中的描述符所截取的中間位址部分β在主要TLB 2160的描述符係截取自與第一 MMU 2150相關的一第一組 分頁表的分頁表。如果在micro-TLB 2 1 5 5中偵測到一符合 者，則micro-TLB 2155能夠經由路徑2157發出與經由路 徑21 5 3所接收的虛擬位址對應的一中間位址。如果在 micro-TLB 2155中未有一符合者，則將參考主要tlB 2160以了解是否在主要TLB中偵測到一符合者。而如果 有的話’將截取虛擬位址部分和對應的中間位址部分至 micro-TLB 2155，而後中間位址能夠經由路徑2157發出。 如果在micro-TLB 2155和主要TLB 2160中未有一符 合者’則轉譯表行走邏輯2165被用於為所需的描述符從可 被第一 MMU 2150所存取之一第一組分頁表的一預定分頁 表發出一請求。通常，可能有相關於安全性網域或非安全 性網域的個別程序的分頁表，以及該些分頁表的中間基礎 位址將可被轉譯表行走邏輯2165存取，例如從CP15登錄 34中的適當登錄。因此，轉譯表行走邏輯2165能夠經由 路徑2 1 67發出一中間位址，以自適當的分頁表請求一描述 符。 安排第一 MMU 2170為經由路徑2157上接收 micro-TLB 2155或經由路徑2167接收轉譯表行走邏輯 107 1312253 2165所輸出之任何中間位址，以及如果在micr〇_TLB 2175 中偵測到一符合者’則之後micr〇 TLb能夠經由路徑2192 發出所需的實趙位址至記憶體，以經由資料匯流排2丨9 〇 截取需要的資料。如果經由路徑2 i 5 7發出一中間位址，將 使需要的資料傳回到核心1 〇，而對於經由路徑2丨6 7所發 出的一中間位址’這將使需要的描述符傳回到第一 MMU 2 150 ’以在主要TLB 2160中儲存。 如果micro-TLB 2175有一不符者’則將參考主要TLB 2180，以及如果在主要Tlb中有一符合者，則傳回需要的 中間位址部分和對應的實體位址部分至micro-TLB 2175， 以促使micro-TLB 2175經由路徑2192發出需要的實體位 址。然而，如果在micro-TLB 2175或主要TLB 2180皆沒 有符合者，而後安排轉譯表行走邏輯2185從相關分頁表經 由路徑2194輸出對需要的描述符的請求，又該相關分頁表 係在與一第二MMU2170相關的分頁表的一第二組分頁表 中。該第二組分頁表包括使中間位址部分與實體位址部分 相關的描述符，以及通常對於^安全性網域有至少一分頁表 和對於非安全性網域有一分頁表。當一請求經由路徑2 1 9 4 發出時，它將導致相關描述符從第二組分頁表傳回至第二 MMU 2170，以儲存在主要TLB 2180中。 第50A圖所述之實施例之操作現將藉由下文中之特例 進一步解說，其中縮寫VA指虛擬位址，IA指中間位址， 和PA指實體位址。 1)核心發出 VA = 300 [IA = 5000, PA = 7000] 108 1312253 2) 在MMU 1的micro-TLB發現不符者 3) 在MMU 1的主要TLB發現不符者 分頁表1基礎位址 =8000 ΙΑ [PA= 10000] 4) 在MMU 1的轉譯表行走邏輯執行分頁表查詢 -發出 IA = 8003 5) 在MMU 2的micro-TLB發現不符者
6) 在MMU 2的主要TLB發現不符者 分頁表2基礎位址= 12000 PA 7) 在MMU 2的轉譯表行走邏輯執行分頁表查詢 -發出 PA =12008 "8 000 IA = 10000 PA"傳回作分頁表資料
8) -儲存在MMU 2的主要TLB
9) -儲存在 MMU 2 的 micro-TLB 1 0)在MMU 2的micro-TLB現在有符合者（hit) -發出 PA =1 0003 "3000 VA = 5000 IA"傳回作分頁表資料
11) -儲存在MMU 1的主要TLB
12) -儲存在 MMU 1 的 micro-TLB 13) 在MMU 1的micro-TLB現在有符合者（hit) 發出ΙΑ = 5 000以執行資料存取 14) 在MMU 2的micro-TLB發現不符者 1 5)在MMU 2的主要TLB發現不符者 1 6)在MMU 2的轉譯表行走邏輯執行分頁表查詢 -發出 PA = 12005 109 1312253 "5000 ΙΑ = 7000 PA"傳回作分頁表資料
17) -儲存在MMU 2的主要TLB
18) -儲存在 MMU 2 的 micro-TLB 19) 在MMU 2的micro-TLB發現符合者（hit) -發出 PA = 7000以執行資料存取 20) 在實體位址7000的資料被傳回至核心 下一次核心發出一記憶體存取請求（稱為VA 300 1..) 1) 核心發出 V A = 3 0 0 1 2) 在MMU 1的micro-TLB發現符合者，請求ΙΑ 500 1 發出至MMU2 3) 在MMU 2的micro-TLB發現符合者，請求ΡΑ 7001 發出至memory 4) 在PA 7 001的資料被傳回至核心。 吾人將了解，上述示例中在MMU的micro-TLB和主 要TLB所發生的不符者，以及因此該示例代表示「最壞情 況下」的歷程。通常，預期在micro-TLBs或主要TLB中 之至少一個發現一符合者，從而大大地減少截取資料的時 間。 回到第5 1圖，在一安全性區域的較佳實施例中，在實 體位址空間的某一特定區域中通常提供第二組分頁表 2250。第一組分頁表可以分成兩種類型，即安全性分頁表 和非安全性分頁表。較佳的實施例為，該些安全性分頁表 110 1312253 將連續出現在該中間位址空間2 2 6 5中，在非安全性中 址空間2 2 7 5中的非安全性分頁表亦然。然而，它們不 被連續置於實體位址空間中，而因此，例如，第一組 表的安全性分頁表可以遍及安全性區域2210、2230, 以類似方法非安全性分頁表可以遍及非安全性記憶體 2220 和 2240 ° 如先前所述，使用兩組分頁表的二層方法之主要 之一對安全性網域的作業系統和非安全性網域的作業 而言，能夠安排該實體位址空間在零點開始，其通常 作業系統所期望的。額外的安全性記憶體區域可以完 為具有自身的「實體位址」空間的非安全性作業系統所 因為它視它的實體位址空間為中間位址空間其能夠被 為具有中間位址的連續序列。 此外，使用此類方法可以大大地簡化在非安全性 體和安全性記憶體之間的記憶體轉換區域的處理。如： 圖所示。能夠從第5 2圖知道，記憶體的一區域2 3 0 0 如一單一分頁記憶體，可以存在於非安全性記憶體 2220中，以及同樣地記憶體區域23 1 0可以存在於安 記憶體區域2 2 1 0中。然而，上述兩記憶體區域2 3 0 0和 可能藉由在第二組分頁表中改變相關描述符而易於 換，以使區域2300現下變成一安全性區域其映射至安 網域的中間位址空間中的區域2 3 0 5，而區域2 3 1 0現 成一非安全性區域其映射至非安全性網域的中間位址 的區域2 3 1 5。在安全性網域非安全性網域中，其可以 間位 需要 分頁 以及 區域 優點 系統 是一 全不 .知， 安排 記憶 第52 ，例 區域 全性 23 10 被調 全性 下變 空間 完全 111 1312253 清楚地發生在作業系統，因為從實體位址空間的觀點確實 分別是安全性網域或非安全性網域的中間位址空間。因 此該方法在每一作業系統中避免實體位址空間的任何再 次定義。 現將參照第5〇B圖描述本發明的一選擇性實施例，其 亦使用二MMU，但以不同於第5〇A圖之安排。比較第5〇a 圖和第50B圖可以知道，安排幾乎相同，但是在該實施例 中，安排第一 MMU2150以執行虛擬位址至實體位址的轉 譯，以及安排第二ΜΜϋ執行中間位址至實體位址的轉譯。 因此’相反用於第5〇Α圖之實施例，自第一 MMU215〇的 micro-TLB 2155 至第二 MMU 2170 的 micro-TLB2175 之路 徑’安排第一 MMU的micro-TLB 2155經由路徑2192直 接輪出一實體位址，如第5〇]3圖所示。在第5〇b圖所示之 實施例的操作現將藉由下文中的特例解說。其中，核心記 憶體存取請求的詳細程序係相同於先前在第5 〇 A圖所示 者。 1) 核心發出 VA = 300 [IA = 5000, PA = 7000] 2) 在MMU 1的micro-TLB和主要TLB發現不符者 分頁表1基礎位址=：8000 ΙΑ [PA = 10000] 3) 在MMU 1的轉譯表行走邏輯執行分頁表查詢 -發出 IA = 8003
4) 在MMU 2的micro-TLB和主要TLB發現不符者IA 8003
分頁表2基礎位址=i2〇〇〇 PA 112 1312253 5) 在MMU 2的轉譯表行走邏輯執行分頁表查詢 -發出 PA =12008 "8000 IA = 10000 PA"傳回作分頁表資料
6) "8000 IA = 1 0000 PA"映射健存在MMU 2的主要 TLB 和 micro-TLB 7) 在MMU 2的micro-TLB現在自步驟（3)轉譯至pa 1003並發出取回（fetch) "3 000 VA = 5 000 ΙΑ"傳回作分頁表資料
請注意：該轉譯由MMU1保留在暫存中，但不直接儲 存在任何TLB 8) MMU 1的轉譯表行走邏輯現在發出LA = 5000的 請求至MMU2 9) 在MMU 2的micro-TLB和主要TLB發現不符者 IA 5000 1 0)在MMU 2的轉譯表行走邏輯執行分頁表查詢 -發出 PA =12005 "5000 IA = 7000 PA"傳回作分頁表資料 11) MMU 2 儲存"5000 IA = 7000 PA"在 micro-TLB 和主要TLB中。該轉譯亦連至MMU 1。 12a) MMU 2發出PA = 7000存取至記憶體
12b) MMU 1 結合 ”3000 VA = 5000 ΙΑ"和"5000 ΙΑ = 7000 PA"描述符以給定一 ”3000 VA = 7000 PA”描述符，其 儲存在MMU 1的主要TLB和micro-TLB 1 3)在PA 7 0 0 0的資料被傳回至核心 113 1312253 下一次核心發出一記憶體存取請求（稱為VA 3〇〇1 ) 1) 核心發出 VA = 3001 2) 在MMU 1的micro-TLB發現符合者，mmU 1發出 PA=7001的請求 3) 在PA 7001的資料被傳回至核心。 自第50A圖所提供之上述示例的比較可以看出，這裡 的主要差別在第7步驟，其中MMU 1不直接儲存第一表 描述符，以及在第12b步驟（12a和12b能夠同時發生）其 中MMU 1亦接咚IA->PA轉譯並進行結合以及在它的TLBS 中儲存結合的描述符。_ 因此，吾人可以了解，當選擇性實施例仍然使用兩組 分頁表來使虛擬位址轉換成實體位址，事實上是當一符合 者發生在 micro-TLB 2155 或主要 TLB 2160 時，micro-TLB 2155和主要TLB 2160儲存虚擬位址至實體位址的轉譯， 以避免需要在該兩MMU中執行查詢。在這種情況下，第 一 MMU可以直接自核心控制請求，而無需參照第二MMU。 吾人將了解，能夠安排第二 MMU 217〇不包括 micro-TLB 2175和主要TLB 2180，其中分頁表行走邏輯 2185用於需要由第二MMU控制的每一請求。它可以為第 二MMU節省複雜度和消耗，和可以可接受只需要相對少 的第二MMU的假設。因為每一請求將需要使用第一 MMU，通常在第一 MMU 2150 包括 micro-TLB 2155 和主 114 1312253 要TLB 2160較為有利，以改進第一 MMU的作業速度。 應該注意的是分頁表中的分頁可以改變大小，以及因 此可能有兩半的轉譯之描述符與不同大小的分頁相關。通 常，MMU 1的分頁比MMU 2分頁小，但這並非必要的。 例如： 表 1 在 0x40003000 映射至 0x00081000 之 4Kb 表 2 在 0x00000000 映射至 0x02000000 之 1Mb 此處，兩大小中的最小者必須用於結合轉譯，所以結 合描述符是 在 0x40003000 映射至 0x02081000 之 4Kb 然而，資料在情境間的調換（如先前參照第5 2圖所述） 係可能反向的，例如： 表 1 在 0XC0000000 映射至 0x00000000 之 1Mb 表 2 在 0x00042000 映射至 Ox02 042 000 之 4Kb 現下，在位址0xc00420 1 0之一查詢從核心給定映射： 在 0xc0042000 至 0x02042000 之 4Kb 即，該二大小中的最小者總是用於結合映射。 請注意，第二情況中，處理較不有效率，因為在存取 不同的4Kb區域時，表1中的描述符（1Mb)將反覆查尋和 放棄。然而，在一典型系統中，大多數的情況下，表2的 115 1312253 描述符將較大（如第—示例所述），其更有效（能夠使1Mb 映射為指向ΙΑ空間的適當部分之其它4 Kb分頁再使用）。 如第50A、5 0B圖所示，使用二分離MMU的選擇性方 法’單一 MMU能夠使用於第53圖，其中當主要Tlb 2420 出現一不符者時’由MMU產生一異常（其使軟體在核心10 中執行以依據來自兩組不同分頁表的描述符之結合產生虚 擬至實體位址轉譯。尤其是，如第53圖所示，核心1〇與
MMU 2400 連結（其包括一 miCr〇-TLB 2410 和一主要 TLB 2420。當核心1〇發出一記憶體存取請求時，經由路徑243〇 提供虛擬位址’以及如果在micr〇_TLB觀察到一符合者 時，則對應的實體位址經由路徑244〇上直接輸出使該資 料、-JL由路徑245〇傳回核心1〇。然而，如果在 2410有不符者，則參考主要TLB 242〇以及如果在主要 中含有相關的描述符’則相關的虛擬位址部分以及到對應 實體位址部分被截取至micr〇_TLB241〇，之後，實體位址 能夠經由路徑2440發出。然而，如果主I TLB也產生不 符者，則產生一異常經由路徑2422送至核心。現下將參照 圖進步描述在核心中自接收此類異常後的處理。 如在第54圖所示，如果在第25〇〇步驟由核心摘測到 -JLB不符者異f，則核心在第251〇步驟為該異常以一 預叹向量進入監控模式。此時它將使分頁表與執行的程式 碼合併以執行在第54圖所示之步驟的其餘部分。 尤其疋，在第2520步驟，經由路徑243〇發出虛擬位 址和截取在micro_TLB 2410和主要TLB “Μ所產生之不 116 1312253 位址（faulting virtual 格的適當表格的中間基 符者（此後，稱為錯誤虛_ address))，之後，依據在第一級表 礎位址，在第2530步驟決定所需第一描述符之中間位址。 一旦決定了中間位址（通常用虛擬位址與中間基礎位址之 某種預設的結合），而後參照在第二組表格中的相關表，以 為該第一描述符獲得對應的實體位址。此後，在第255〇 步驟，能夠從記憶體取得第—描述符決定錯誤虛擬位址的 中間位址。 而後，在第2560步驟， 述符以替錯誤虛擬位址的中 第2570步驟，取回該第二描 體位址》 再次參考第二表以找尋第二描 間位址給定實體位址。此後在 述符以獲得錯誤虛擬位址的實 -旦已經獲得了上述資m，則程式使第一和第二描述 符合併以產生給定需要的虛擬位址至實體位址轉譯的新描 述符，第2580步驟執行該步驟。以先前參照第5〇b圖所 述之類似方法，由軟邀再次執行合併把最小的分頁表大小 用於結合的轉譯。此後，在第259〇步驟，在主要tlb 242〇 中儲存該新的描述符，而後程序在第25 95步驟自異常返 回。 此後，安排核心1 〇經由路徑243 0為記憶體存取請求 再次發出虚擬位址’其仍將在micro-TLB 2410產生不符 者，但是現下將在主要TLB 2420產生一符合者。因此， 虛擬位址部分和對應實體位址部分能夠被截取至 micro-TLB 2410，之後，micro-TLB 2410 能夠經由路徑 117 2440 ,使所需的資 吾人將了解， 選擇性實施例中， 5 4圖所述之原則， 者。 疋否如第50A圖或第 1312253 料經由路徑2450傳回核心10。 在先前參照第50A圖和第5〇B圖所 藉由軟體使用上文中參照第53圖 管理在上述實施例中的MMU之一 MMU，或如 圖所示般. 弟5 3圖所示般使用一 MMU，當在^ μ 作時由處理酱典饰哲 *在監控 Β 第二組分頁表的事貧（戍邐摆沾 權限安全性模十φ彳遗/ 見（戈選擇性 處理器/式中)確保該些分頁表為安全性者。結 體，因=安全性網域中時，其只能夠看見非安全 '當在非安全性網域中時，只能由處理器所 的第二組公百主4 Jt_ 貝表為非安全性網域產生中間位址空 果不需要提供一分割檢測器作為如第一圖所示之 管理邏短- 〇的一部分。然而，在外部匯流排上仍然 割檢測器以監控由其它匯流排主控器在系統中進 取。 在先前參照第37圖和第38圖所討論之實施例中 供一與MMU 200相關之分割檢測器222，和因此當要 快取38中執行存取時，在micr〇_TLB 2〇6中已經先執 一查詢，以及因此已經檢查了存取許可（尤其是安全性 安全性許可）。因此，在此類實施例中，不能由非安全 用在快取3 8中儲存安全性資料。對快取3 8的存取係 分割檢測器222所執行之分割檢測之控制下，以及因 能在非安全性模式中執行對安全性資料的存取。 述之 和第 或二 用二 式操 在一 ，當 記憶 看見 。結 憶體 供分 的存 ，提 在該 行了 和非 性應 在由 此不 118 1312253 然而，在本發明之一選擇性實施例中，分割檢測器222 姐非為經由系統匯流排4〇所進行之監控存取所提供，反之 資料處理設備僅有與外部匯流排7〇 4結的一單一分割檢 測器，用以監控連接至外部匯流讲的記憶體單元的存取。 备成荖處理器核心能夠存取與 在此類實施例中，此時匕意味者 0 系統匯流排40直接連結的任何纪憶體單元，例如TCM36
4 八到檢測器監督該些存取’以及 和快取3 8，而無需由外部Λ J 因此需要某些機制W保處理器核心1Q纟-非安全性模 队俶38或TCM 36中非安全性 式中操作時，不會存取在該快取 f 資料存取。 第55圖依據本發明的一實施例圖示一資料處理設 備，其中提供一機制以使快取38和/或TCM 36控制對其 進行之存取，而無需提供與MMU 200相關之任何分割檢 查邏輯。如第55圖所示，核心1〇係藉由MMU 200連接 至系統匯流排40，快取38和TCM 36亦與系統匯流排40 連結。核心10、快取38和TCM 36係藉由外部匯流排界 面4 2連接至外部匯流排7 0，其包含一位址匯流排2 6 2 〇、 —控制匯流排2630和一資料匯流排2640,如第55圖所示。 核心10、MMU 2 00、快取38、TCM 36和外部匯流排 界面42可視為構成連接至外部匯流排70之一單一裝置， 亦作為一裝置匯流排，以及其它裝置亦可與上述裝置匯流 排連結，例如安全性週邊裝置470或非安全性週邊裝置 472。亦連接至裝置匯流排70的是一或多數的記憶體單 元’例如外部記憶體5 6。此外，一匯流排控制單元2 6 5 0 119 1312253 係連接至裝置匯流排70，並通常包括一判優器2652、 碼器26 54和一分割檢測器2656。為了對連接裝置匯 的70件之操作進行一般的討論，應參照先前描述的】 圖，判優器、解碼器和分割檢測器係被顯示為一個別 塊’但疋當置於單一控制方塊2650中時，該些元件以 的方法運作。 在第56圖中進一步詳述第55圖中的MMU200。 將第56圖與第37圖進行比較，可以看到mmu 200 與第37圖MMU完全相同的方法建構，唯一的差別是 檢測器222並非供作監視在主要TLB 208和micro 2〇6之間經由路徑242的資料傳送。如果處理器核心 出指定一虛擬位址的記憶體存取請求，而後記憶體存 求將繞經MMU 200，和以稍早第37圖所述般處理 micro-TLB 206經由路徑238輪出—實體位址至系統 排40。反之，如果記憶體存取請求直接指定一實體仿 這將略過MMU 200 ’並經由路徑236直接繞送至系統 排40。在一實施例中，只有當處理器在監控模式中 時，產生直接指定實體位址之記憶體存取請求。 回顧先前對MMU 200之敘述，和尤其是第43 述，主要TLB 208將含有一些描述符43 5 ,以及對 述符將提供-網域旗標425以讀定是否對應的描述 自—安全性分頁表或一非安全性分頁表。上述描述 和相關的網域旗標425係在第55圖中的MMU2〇〇 地插述。 一解 流排 % 47 的區 相同 藉由 係以 分割 -TLB 10發 取請 ，從 匯流 :址， 匯流 操作 的描 —描 係來 435 概要 120 1312253 當核心1 0發出一記憶體存取請求時，將導係該記憶體 存取請求的一實體位址被輸出至系統匯流排4 0，以及通常 此時快取3 8將執行一查詢程序，以決定是否該位址所指定 資料項係儲存在該快取中。只要在該快取中發生一不符 者，即其決定屬於該存取請求的資料項未儲存在該快取 中，由快取啟始一線填充（linefill)程序，以從外部記憶體 56截取一行資料其包括屬於記憶體存取請求的資料項。尤 其是，該快取將藉由 EBI 42輸出一線填充請求至裝置匯 流排7 0的控制匯流排2 6 3 0，.和一開始位址輸出至位址匯 流排2620。此外，一 HPROT信號將經由路徑2632輸出至 控制匯流排2 63 0，其將包括當發出記憶體存取請求時之指 定核心操作模式的網域信號。因此，能夠將線填充程序視 為快取3 8對外部匯流排之原始記憶體存取請求的傳播。 由分割檢測器2656接收該HPROT信號，和因此確認 該分割檢測器當外部記憶體存取請求發出時，是否裝置自 外部記憶體5 6所請求的指定資料（在這種情況下，該裝置 與核心1 0和快取3 8共同作用）係在安全性網域或在非安全 性網域中操作。分割檢測器2 6 5 6亦將存取確認記憶體區域 係安全性或非安全性之分割資訊，和因此能夠決定裝置是 否允許存取其所請求的資料。因此，如果在HPROT信號 中的網域信號（也如S位元本文令提到）宣告確認到對該資 料的存取係由該裝置所請求，則當在一安全性模式中操作 時，能夠安排分割檢測器僅允許一裝置存取記憶體之一安 全性部分。 121 1312253 如果該分割檢測器決定不允許該核心 1 0存取所請求 的資料，例如，因為HPROT信號已確認該核心並非在一 非安全性模式下操作，但是線填充請求企圖自記憶體之一 安全性區域中的外部記憶體取回資料，則分割檢測器2 6 5 6 發出一中止信號至控制匯流排2630(其將經由路徑2636傳 回至EBI 42，導致經由路徑2670向核心 10發出中止信 號。然而，如果分割檢測器2656決定允許存取，則輸出一 S標籤信號，以確定自外部記憶體截取的資料是安全性資 料或非安全性資料，以及該S標籤信號經由路徑2634至 傳回至EBI 42，和設定相關於快取線2600之旗標屬於線 填充處理。 同時，控制邏輯2650授權外部記憶體56所出所請求 之線填充資料，藉由EBI 42經由路徑2680傳回資料至快 取3 8，以儲存於相關的快取線2 6 0 0。因此，該處理之結果， 用外部記憶體 5 6的資料項填充快取中所選擇的快取線將 填滿來自外部記憶體5 6之資料項，該些資料項包括屬於來 自核心1 0之原始記憶體存取請求的資料項。屬於來自該核 心記憶體存取請求的資料項之後能夠被選擇性地自快取 38傳回核心，或能夠選擇性地經由路徑2660從EBI 42傳 回至核心1 0以直接提供。 因此，在較佳實施例中，由上述線填充處理將導致快 取線原始儲存資料之發生，與該快取線相關的旗標 2602 將依據分割檢測器2 6 5 6所提供的值進行設定，以及之後將 由快取3 8使用該面旗標以直接控制對快取線2600中的資 122 1312253 料項的任何爾後之存取。因此，& β 衬 此如果之後核心1 〇使在快取 38的一特定快取線2600產生—炷Α ★ ^ 符合者之記憶體存取請求 發出’該快取38將檢查相關的旅拉 ^ w的棋標26〇2之值，並將該值 與核心10現有操作模式之值 矜 叭 < 值比較。在較佳實施例中，由在 CP 15網域狀態登錄中的監抽描4, 刃现控模式所設定之一網域位元指 示核心10所操作之現有模式。 ^ ^因此，當處理器核心！ 0在 择作於一安全性操作模式中技，< < 摞 t=棋珥〒時，犯夠安排快取3 8只允許在 /快取線中的資料項，其被對應的旗標26〇2指示為可由處 理器核心10所存取的安全性資料。當核心在一非安全性模 式中操料，核心存取快# 3"的安全性資料之任何意 圖，將導致經快取38經由路徑267〇產生中止信號。 能夠以多種方法設立TCM %。在—實施例中，其能 夠像快取般建立，和安排實施例為包括多數線2 6〗〇，藉由 與該快取38相同的方法，其每一具有與之相關的一旗標 2612。使用與先前所述之快取38完全相同的方法管理對 TCM 36的存取，和導致一線填充處理執行之任何tcM不 符者，其結果為資料將被截取至一特定線261〇，以及分割 檢測器2656將產生需要的S標籤值，用以儲存與該線261〇 相關的旗標2612。 在一選擇性實施例中，可以使TCM 36設立為外部記 憶體56的延伸和用以儲存經常儲存被處理器使用的資 料’因為經由系統匯流排對TCM的存取通常比對外部記憶 體的存取更快速。在此類實施例中，TCM 36不使用旗標 2612 ’反之使用一不同機制來控制對TCM的存取。尤其 123 Ϊ312253 2，如先前所述在此類實施例中，提供可由處理器設立之 控制旗標’當在-權限安全性模式中執行時指示是否只 f在執行於一權限安全性模式下時，可由處理器控制緊接 A 體’或當執行於至少—非安全性模式中時，可由處理 器控制。由安全性作業系統設置控制旗標，和實際定義是 可由權限安全性模式或非安全性模式控制tCm。因此， 所能夠定義一架構係TCM只能在當處理器在—權限安全 模式中操作時被控制。在此類實施例中，對tcm控制登 錄之任何存取意圖將導致進入一未定義的指令異常。 在選擇性的架構中，當在一非安全性模式中操作時， 能夠由處理器控制TCMe在此類實施例中，只由非安全性 應用使用該TCM〇不能夠儲存任何安全性資料或從tcm 載入。因此，當執行一安全性存取時，在TCM中不執行任 何查兩，以了解位址是否與該tcm位址範圍符合。 第5 7圖之流程圖說明當操作於處理器核心1 〇之—非 安全性程式產生一虛擬位址時，由第55圖的設備所執行之 處理，首先，在第2705步驟，在micro_TLB 2〇6中執行_ 查詢，以及如果它產生一符合者，則micr〇 TLB在第273〇 步驟檢查存取許可。參照第56圖，該程序能夠視為由存取 許可邏輯202執行。 如果在第2705步驟，在micro-TLB查詢發生一不符 者則在非安全性描述符儲存於其中的主要TLB 208執行 —查詢（第27 10步騍）。如果它產生一不符者，則在第2715 步驟執行一分頁表行走程序（如先前參照第37圖所討論 124 !312253 者）’其中在第2720步驟以狳，a,^ — 被 傻匕決定主要TLB含有該有 標籤（tagged)的非安全性;jw· _ 』 性描述符。如果在第2710步驟產 符α者，則程序直接進行至第272〇步驟。 此後’在第2725步驟，micr〇_TLB把含有實體位址的 田述符的部分載入，其後在第 广1久你乐2730步驟micro-TLB檢查 該些存取許可。
，-如果在第2730步驟發現有一違反存取許可者，則程序 進仃至第2740步驟，其中經由路徑23〇發出中止信號至處 理器核心（類似於在第55圖所示之路徑267〇)。然而，如 果未偵測到違反者’則在第2745步驟決定是否該程序與一 可快取的資料項相關。否則’則在第2790步驟初始一外部 存取，以企圖自外部記憶體56截取資料項。在第2795步 驟’分割檢測器2656將決定是否有安全性分割違反，即， 如果處理器核心1 0在一非安全性模式中操作時企圖存取 在安全性記憶體中的一資料項，以及如果偵測到一違反
者，則分割檢測器2656將在第2775步驟產生中止信號。 然而，假設沒有安全性分割違反，則程序進行至第2785 步驟，其為資料存取所發生處。 如果在第2745步驟決定所請求的資料項是可快取 的’則在第2 7 5 0步驟在快取中執行一快取查詢，以及如果 偵測到一符合者’則在第2755步驟快取決定是否有安全性 線標籤違反。因此，在該階段，快取將檢查與包含資料項 的快取線相關的旗標2 6 0 2之值，和將把該旗標的值與核心 1 〇作業模式比較，以決定是否授權核心存取請求的資料 125 1312253 項。如果偵測到一安全性線標籤違反，則程序進行至第 2760步驟，其中由快取38產生一安全性違反錯誤中止信 號和經由路徑2670發出至核心ι〇β然而，假設在第2755 步驟未偵測到安全性線標籤違反，則在第2 7 8 5步驟執行資 料存取。 如果當快取查詢在第2750步驟執行時發生一快取不 符者’則在第2765步驟初始一快取線填充。在第2770步 驟，此時分割檢測器2 6 5 6偵測是否有一安全性分割違反， 若有則在第2 7 7 5步驟發出一中止信號。然而，假設未偵測 到安全性分割違反’則快取線填充在第2 7 8 〇步驟進行，在 第2785步驟完成資料存取。 如第 57 圖所示’第 2705、 2710、 2715、 2720、 2725、 2730 和 2735 步驟在 MMU 中執行，第 2745、2750、2755、 2765 、 2780 和 27 、 和2790步驟由快取執行，以及由分割檢測器 執行第2 770步驟和第2795步驟。 第58圖是一流程圖，圖示在核心中執行的一安全性程 式產生一虛擬位址時所執行的類似程序（第28〇〇步驟”藉 由比較第57圖和第58圖 ，吾人將了解，在
5 7圖所述 在MMU中經由 別在第2 8 1 0步驟， 關於在主要TLB中
2 8 2Ό步驟主要
何安全性線標籤違 126 1312253 反’因為如第58圖所示’假設安全性程式能夠存取安全性 資料和非安全性資料。因此，如果在第285〇步驟快取查詢 期間發生一符合者’則程序直接進行至資料存取步驟第 2885步驟》 同樣地’如果需要對外部記憶體的外部存取（即，在第 2865或2890步驟）’分割檢測器不需要執行分割檢查，因 為再次假設安全性程式能夠存取安全性資料或非安全性資 料。 在快取中執行的第2845、2850、2865、2880和2890 步驟係類似於先前參照第57圖所述之第2745、2750、 2765、 2780 和 2790 步驟 。 第59圖圖示在處理器上執行的不同模式和應用。依據 本發明的一實施例’虛線指示在處理器的監控期間不同模 式和/或應用如何能夠彼此分別和分開。 監控一處理器以找尋可能錯誤和發現應用為何不如預 期般執行的能力是非常有用的以及許多處理器提供此類功 能。能夠以包括偵錯和追蹤的功能之許多方法執行該監控。 依據本發明之技術，在處理器中偵錯能夠以幾種模式 操作’包括停機偵錯模式以及監控偵錯模式。該些模式侵 入和使程式在欲停止時執行。在停機偵錯模式中，當一斷 點（breakpoint)或一監視點（watchpoint)發生時，核心停止 並從其餘的系統分離以及核心進入偵錯狀態。一開始時核 心停止，管道（pipeline)清除以及未有任何指令被預先取 回。使PC凍結以及忽略任何中斷（IRQ和FIQ)。而後可能 127 1312253 檢査核心内部狀態（藉由JTAG序列界面）以及記憶體系統 的狀態。該狀態對程式執行是侵入式的’因為它可能修改 現有模式、改變登錄狀況、等等。一旦債錯終止’核心利 用Debug TAP藉由掃描Restart指令’從债錯狀態退出。 而後程式重新繼續執行。 在監控偵錯模式中，一斷點或監視點使核心進入中止 模式，分別採用預取（Prefetch)或資料中止向量（Data Abort vectors)。在這種情況下’如果核心處於停機（Halt)彳貞錯模 式，核心仍然在一功能模式下且不停止。中止管理器與一 偵錯應用通訊，以存取處理器和輔助處理器狀態或傾印記 憶體。一偵錯監控程式處於偵錯硬體和軟體偵錯器之間》 如果已設定控制登錄DSCR以及偵錯狀態的位元11 (詳見 下文），能夠阻止中斷（FIQ和IRQ)。在監控偵錯模式，在 資料中止（Data Aborts)和預取中止（prefetch Aborts)中使 向量截取失效’以避免因為替監控偵錯模式產生的中止， 使處理器被迫進入不可恢復的狀態。應該注意的是監控偵 錯模式是一種偵錯模式以及不相關於處理器的監控模式 (監督在安全性情境和非安全性情境之間轉換的模式）。 偵錯在某種時刻能夠提供處理器狀態的快照。其在接 收到偵錯初始請求時，藉由在各種登錄上註解該些值以達 成。在一掃描鏈上記錄了該些值（第67圖中的541、544 ) 以及而後它們使用JTAG控制器（第j圖的18)依序輪出。 監控核心的一種選擇方法是用追蹤（trace)。追縱不是 侵入式的和如果核心繼續操作則記錄爾後的狀態。追縱是 128 1312253 在第一圖中的22、26之嵌入式追蹤巨細胞（ETM，Embedded Trace MaCr〇cell)上執行。ETM有一追蹤埠口，藉以輸出追 縱資訊，而後可由外部追蹤埠口分析器分析。 本技術實施例的處理器在兩分離的網域中操作，在所 述之實施例中，該些網域包括安全性和非安全性網域。然 而’由於監控功能的目的，熟習該項技藝著將清楚該些網 域可能是彼此間資料不會洩漏的任何兩網域。本技術的實 施例關聯於防止在兩網域間資料的洩漏以及諸如偵錯和追 縱之監控功能，其允許對整個系統便利的存取，又該整個 系統係在網域間資料洩漏的潛在來源。 在上述之安全性和非安全性網域或情境的示例中，安 全性資料不能被非安全性情境獲得。此外，如果在安全性 情境中允許偵錯，它可能有助於限制或隱藏安全性情境中 的一些資料。第59圖的虛線顯示一些可能方法的示例，其 劃分資料存取和提供不同層級的粒度（granularity)。在第 59圖’方塊500顯示監控模式和其為所有模式中最安全 者’並控制在安全性和非安全性情境之間轉換。在監控模 式5 00之下有一監督模式520。而後具有應用522和524 之非安全性使用者模式’以及具有應用512、514和516 之女全性使用者模式。只能控制監控模式（偵錯和追蹤）監 控非安全性模式（虛線5〇1左邊）。選擇性地，可以允許監 控非安全性網域或情境和安全性使用者模式（5〇1的左邊 和501右邊在502下面的部分）。在—進一步的實施例中， 可以允許在安全性使用者網域中執行非安全性情境和某些 129 1312253 應用’在這種情況下，由虛線5 03進一步劃分》此類劃分 有助於在可以執行不同應用的不同使用者之間防止安全性 資料的洩漏。在某些控制情況下，可以允許監控整個系統。 依據所需的粒度，於監控功能期間，核心的下列部分需要 具有它們控制的存取。 在一偵錯情況下，可以設定四種登錄；指令錯誤狀態 登錄（如果SR)、資料錯誤狀態登錄（DFSR)、錯誤位址登錄 (FAR)、和指令錯誤位址（iFAR)。當從安全性情境到非安全 性情境時，在一些實施例中應清除上述登錄，以避免資料 的任何洩漏。 PC樣本登錄：Debug TAP能夠藉由掃描鏈7存取該 P C。當在安全性情境中偵錯時，可以依據在安全性情境中 選擇的偵錯粒度對該值進行遮罩（mask)。當核心在安全性 情境中執行時，讓非安全性情境、或加上安全性使用者應 用的非安全性情境不能得到PC的任何值是重要的。 TLB項目：可能使用CP15以讀取micro-TLB項目讀 寫主要TLB。吾人也能夠控制主要TLB和micro_TLB的載 入和配對（matching)。這種操作必須嚴格地控制，尤其是 如果安全性執行緒偵錯需要MMU/MPU的援助》 效能監控控制登錄：效能控制登錄針對該些快取不符 者、micro-TLB不符者、外部記憶體請求、執行的分支指 令、專等給予資訊。非安全性情境不應該存取該些資料， 即使在偵錯狀態中。即使偵錯在安全性情境中失效，該些 計數應可在安全性情境中操作。 130 1312253 在快取系統中偵錯：在—快取的系統中的偵錯一定是 非侵入式（observable)的。為了在快取和外部記憶體之間保 持一致性，這是重要的。使用cpi5能夠使快取失效威 能夠強迫該快取寫入一所有區域。無論如何，在偵錯中允 許對快取行為的修正可能是安全性的弱點而應該要控制。 位元組順序（Endianness):不應該允許能夠存取偵错的 非安全性情境或安全性使用者應用改變位元組順序。改變 該位元組順序可能導致安全性核心故障。依據粒度，在偵 錯中禁止位元組順序的存取。 在監控功能開始時，可以控制核心部分的監控功能之 存取。偵錯和追縱可用許多方法初始。本技術的實施例藉 由僅允許在某些條件下初始，以控制對核心的某些安全性 部分的監控功能的存取。 本技術的實施例藉由下列粒度尋求對進入監控功能的 限制： 藉由分別控制侵入式和非侵入式（追縱）偵錯； 藉由只允許在安全性使用者模式中或在整個安 全性情境中偵錯項目； 藉由只允許在安全性使用者模式中和更考慮執 行緒ID進行偵錯（應用執行）。 為了控制一監控功能的初始化，了解能夠如何初始功 能是重要的。第60圖顯示一表說明初始一炱控功能之可能 方法，初始的監控功能型態和此類初始化指令可以由程式 131 1312253 設計。 通常，能夠藉由軟體或藉由硬體進入該些監控指令， 即，藉由JTAG控制器。為了控制監控功能的初始化而使 用控制值。上述包含位置相依之啟動位元和因此如果出現 一特定位元，只充許在設定了該啟動位元的情況下啟動監 控。在一安全性登錄CP 14儲存了該些位元（偵錯和狀態控 制登錄、DSCR)，其位於在ICE 530中（請參考第67圖）。
在一較佳的實施例令，有啟動侵入和停用侵入和非侵 入偵錯的四位元’上述包含一安全性偵錯啟動位元、一安 全性追蹤啟動位元、一安全性使用者模式啟動位元和一安 全性執行緒偵知啟動位元。該些控制值用於為監控功能提 供一定程度的可控制粒度以及因而能夠幫助防止一特定網 域的洩漏◊第6 1圖提供該些位元的概要以及如何能夠存取 它們。
在安全性網域中的一登錄中儲存該些控制位元，以及 對該登錄的存取限制於三種可能性。藉由 ARM輔助處理 器MRC/MCR指令提供軟體存取，而上述只允許來自安全 性監督模式者。選擇性地，能夠從任何其它模式使用一授 權碼提供軟體存取。一進一步的選擇與硬體存取較為相 關，並涉及利用在JTAG的輸入埠來寫入指令。除了用來 輸入與監控功能的有效性相關的控制值以外，能夠用該輸 入埠來輸入與處理器的其它功能相關的控制值。 與掃描鏈和JTAG相關的進一步細節如下文所述。 132 1312253 logic nR11) 每個集積電路（1C)包含兩種邏輯： 組合邏輯格；例如AND、OR、INV閘。依據一或 多數輸入信號，用此類閘或此類閘的結合來計算布林 (B〇〇iean)表示。 登錄邏輯格；例如LATCH、FLIP-FLOP。用此類格 來記錄任何信號值。第62圖顯示一正邊（positive-edge) 觸發的 FLIP-FLOP : 當正邊事件在時脈信號（CK)上發生時，輸出（Q)接收了 輪入（D)的值；否則輸出使它的值保留在記憶體。 瘦描鍤始· 為了測驗或偵錯之目的，需要略過登錄邏輯格之功能 存取並直接存取該些登錄邏輯格的内容。因此登錄格係 整合於在第63圖所示的一掃描鏈格。 在功能性模式中，掃描啟動（SE，Scan EnaMe)係清楚 的和登錄格以-單-登錄格作用。在測驗或偵錯模式中， 設置SE而輸入資料能夠來自掃人（si，Seanin)輸人而非d 輸入。 掃描鐘 串鏈為掃描鏈。 常都能夠存取所有 在測驗（丁 e s t)或偵 登錄 如第64圖所示，所有掃描鏈格都被 在功能模式中，SE是清楚的以及通 格和與電路的其它邏輯相互作用。 133 1312253 錯（Debug)模式中，SE被設置以及在一掃描鏈彼此間串鏈 所有的登錄。資料能夠來自第一掃描鏈格和能夠依每—時 脈週期的節奏藉由任何其它掃描鏈格轉換^能夠轉換出資 料以了解登錄内容》 TAP控制器 使用一摘錯TAP控制器以控制一些掃描鏈。該up 控制器能夠選擇特定的掃描鏈：其連接「掃描入」和「掃 描出」信號至特定掃描鏈。之後資助能夠被掃描入串鏈裡、 轉換、或掃描出。由一 JTAG埠界面由外部控制該TAp控 制器。第65圖圖示一 TAP控制器。 選擇性失效掃描錘棬 基於安全性原因’一些登錄不可以被掃描鏈存取，甚 至在偵錯或測驗模式亦然。一稱作JAdi(jtag存取失效） 的新輸入能夠允許從一整個掃描鏈動態或靜態地移除一掃 描鍵格’而不必修改積體電路中的掃描鏈架構。第66A和 第66B圖示該輸入。 如果JADI是未啟用的（jadI = 0)，不論是否在功能或 測驗或偵錯模式中，掃描鏈如往常一樣工作。如果jadi 是啟用的（JADI=1)，以及吾人在測驗或偵錯模式中，一些 掃描鏈格（由設計者選擇）可以自掃描鏈架構「移除」《為了 保持相同數量的掃描鏈格，JTAg選擇性失效掃描鏈格使 用一略過登錄（bypass register)。請注意掃描出（s〇，San 134 1312253 out)以及掃描鏈格輸出（Q)現下是不同的。 第67圖圖示包括JTAG之一些部分的處理器》在正常 的操作中，指令記憶體5 5 0與核心通訊亦可以在某些狀況 下與登錄CP14通訊和重設控制值。通常僅容許自安全性 監督模式進行。
當偵錯初始化，藉由Debug TAP(偵錯TAP) 580輸入 指令，且其即為控制核心者。偵錯下的核心以逐一步驟模 式執行。Debug TAP藉由核心存取 CP14(依據輸入於 JSDAEN PIN之存取控制信號，其以JADI PIN顯示（第45 圖之 JTAG 存取失效輸入，JTAG ACCESS DISABLE INPUT)) 以及也能夠藉由該方法重設控制值。
藉由存取控制信號 JSDAEN控制了藉由 Debug TAP 5 80對CP 14登錄的存取。這麼安排係為使存取尤其是寫入 存取允許JSDAEN必須設為高。當已確認該整個處理器， 在機板階段（board stage)期間，在整個系統啟用偵錯並設 JSDAEN為高。一旦已經檢查了系統，貝|J JSDAEN PIN能 夠接地，它意味著現下不能藉由Debug TAP 5 80在安全性 模式啟用偵錯。在生產模式中的一般處理器具有接地之 JSDAEN。因此只能藉由經由指令記憶體550繞送之軟體 存取控制值。經由該繞送之存取係限制在安全性監督模式 或在提供一授權碼的另一模式（請參考第68圖）。 應該注意的是，在預設中，摘錯（侵入和非侵入-追縱） 只能用於非安全性情境中。為使它們可用於安全性情境 中，需要設置控制值啟用位元。 135 1312253 它的優點是偵錯只能總是由使用者初始以在非安全性 情境中執行。因此，雖然在偵錯中使用者通常不能夠存取 安全性情境，是許多情況下它並不是問題，因為對該情境 的存取是受限的以及在可用之前的機板階段已經徹底確認 安全性情境》因此可預見在許多情況下安全性情境的偵錯 是不必要的。如果必要，一安全性監督仍然能夠藉由寫入 CP 1 4的軟體繞送初始化偵錯。 第6 8圖圖示偵錯初始化的控制。在該圖中，核心6 0 0 的一部份包括一儲存元件601(如先前所述可以是一 CP15 登錄）其中儲存指示是否系統在安全性情境中的一安全性 狀態位元S。核心600也包括一登錄602，其包括指示處 理器所執行之模式（例如使用者模式）以及一登錄603其提 供一内容識別符以確認現下執行於核心之應用或執行緒。 當到達一斷點時，一比較器將在登錄6 11儲存的斷點 與在登錄6 1 2中儲存的核心位址比較，把信號送到控制邏 輯6 2 0。控制邏輯6 2 0查看安全性狀態S、模式6 0 2和執 行緒（内容識別符）6 03並把其與控制值和在登錄CP 1 4儲存 的條件狀態比較。如果系統不是在安全性情境中操作，則 一「進入偵錯」信號將在630輸出。然而如果系統是在安 全性情境中操作，則控制邏輯620將查看模式602，以及 如果它是在使用者模式，將檢查以了解是否使用者模式已 啟用和偵錯啟用位元已設定。如果它們是的話，則偵錯將 初始化，便了解執行緒偵知位元（thread aware bit)尚未初 始化。上文中描述控制值的階層性本質。 136 1312253 在第6 8圖亦圖示監控控制的執行緒偵知部分和如。 只能夠自安全性監督模式（在本實施例中，處理器係在生可 階段而JSDAEN接地）轉換在登錄CP14中儲存的控制值產 能夠使用一授權碼從一安全性使用者模式進入安全性藍督 模式，而後能夠在CP14設置控制值。 當位址比較器6 1 0指示斷點已經到達時，控制邏輯 輸出一「進入偵錯」信號，便了解執行緒比較器64〇顯示 就該執行緒而言允許偵錯。假設在CP14設置了執行緒 知初始化位元。如果執行緒偵知初始化位元係設置一斷點 之後，如果位址和内容識別符合在斷點中和在允許的執行 緒指標中指示的該些，則只能進入偵錯或追蹤。在一監押 功能初始化之後，只能在比較器640偵測到该測内容識^ 符為一允許的執行緒時，繼續診斷資料的擷取。當一内容 識別符顯示執行的應用不是一允許㈣，則阻止診斷資： 的擷取。 應該注意的是，在較佳實施例中，有粒度中的某種階 層。實際上安全性偵錯或追蹤啟用位元係在頂部接下來 為安全性使用者模式啟用位元’和最後是安全性執行緒憤 知啟用位元。如第69A圖和第69B圖所述（詳見下文）。 在「偵錯和狀態控制（Debug and Status。…⑺丨）」登 錄（CP14)保留的控制值依據網域、模式和執行緒控制安全 性偵錯粒度。其在安全性監督模式之頂部。_旦設定了「偵 錯和狀態控制」登錄CP14’由安全性監督模式:：計對應的 斷點、監視點、等等，使核心進入偵錯狀態。 137 1312253 第 預設值 相 在這種 的預設 請 緒偵知 示是否 化，控 執行緒 化。如 緒偵知 值中所 來所進 除 法控制 目的， 值，即 第 下 > 區 關於控 資料。 因 69A圖概述侵入式偵錯的安全性偵錯粒度。重設的 係以灰色表示。 關於非侵入式偵錯之偵錯粒度亦然。第69B圖概述 情況下的安全性偵錯粒度’此第也用灰色表示重設 值。 注意安全性使用者模式偵錯啟用位元和安全性執行 偵錯啟用位元一般用於侵入式和非侵入式偵錯。 執行緒偵知初始化位元係儲存在登錄cp丨4中並指 依據應用需要粒度。如果執行緒偵知位元已經初始 制邏輯將進一步檢查應用識別符或執行緒6〇3是在 偵知控制值中所指示者’如果是，則偵錯將被初始 果使用者模式或偵錯啟用位元之任一未設置或執行 位元已設置以及執行的應用不是在執行緒偵知控制 指示者，則將忽略該斷點以及核心將繼續進行其原 行者而彳貞錯將不被初始化。 控制監控功能的初始化以外，也能夠藉由一頬似方 在一監控功能期間診斷資料的擷取。為了達成上述 在監控功能的操作期間核心必須繼續考慮兩控制 在登錄CP14储存之啟用位元和它們的相關條件。 70圖圖示一監控功能執行時的粒度。在這種情況 域A相關於被允許擷取診斷資料的區域，區域丑相 制值在CP14儲存的區域，意指它不可能截取誇_ 此，當執行偵錯時以及一程式在區域A操作時，轸 138 I312253 斷資料在谓钟细M β 域Β時，^期間疋以逐步的方式輸出。當操作轉換為區 其為不允許診斷資料擷取處，偵錯以逐步方式進 仃，反之其白叙堆仁 、劫進行而沒有任何資料被擷取。如此繼續直 到程式的掠^ s a 、 再-入進入區域A，據以再次開始診斷資料的 取而偵錯繼續以逐步方式執行。 逃實施例中，如果未啟用安全性網域，一 SMI指 7總是被視為__其 悬·本事件（atomic event)而阻止診斷資料 的擷取。 卜如果已設置執行緒偵知初始化位元，則就應用 侖亦出現操作期間的監控功能的粒度。 就非侵入式偵錯或追蹤而論，其係由ETM所達成且完 全/、偵錯無關。當啟用追蹤，ETM像往常一般作用，而當 其失效時’ ETM依據選擇的粒度在安全性情境或部分安全 ^境隱藏追縱。避免在未啟用時ETM在安全性網域中擷 取和追縱診斷資料之一種方法係在S位元為高時使ETM減 ' 可由使該S位元與ETMPWRDOWN信號結合以達成， 因此备核心進入安全性情境時，保留ETM的最後值。因此 ETM應該追縱一 SMI指令而後減速直到核心回到非安全性 情境。因此，ETM將只監督非安全性活動。 —些不同的監控功能和它們的粒度將摘要如下。 幾jfe階段（board stage、的檸入式指_^_ 當JSDAEN PI1S[未接地時之機板階段’在任何開始時 段前有可能在任何地方初始偵錯。同樣地，如果吾人在安 139 1312253 全性監督模式中，吾人有類似權限》 如果吾人在停機偵錯模式（halt debug m〇de)初始化偵 錯’所有登錄都是可存取的（非安全性和安全性登錄區塊） 以及除了專屬於控制的位元以外，能夠傾印整個記憶體。
能夠從任何模式和任何網域進入偵錯停機模式。能夠 在安全性或在非安全性記憶體設置斷點和監視點。在偵錯 狀態中，可以藉由利用一 MCR指令僅改變s位元以進入 安全性情境》 在當安全性異常發生時能夠進入偵錯棋式，用以擴充 向量捕捉登錄（vector trap register)之新位元如下； SMI向量捕捉啟用； 安全性資料十止向量捕捉啟用； 女全性預取中止向量捕捉啟用；和 安全性未定義向量捕捉啟用。 、，个口八〜-丨#江η地方偵錯 至在非安全性情境呼叫一 SMI時，可能以逐步偵錯進
全性情境。當—斷點在安全性網域中發生時，安全性 管理器可操作以傾印安全性登錄區塊和安全性記憶體 次在女全性和在非安全性情境的兩中止管理器將它 k S π予偵錯器應用，以使偵錯器視窗（在相關的偵錯
PC上）在安全性和非安全性情境二者中都可顯示汽 態。 A 140 1312253 第7 1 A圖顯示當在監控偵錯模式中設定核心時和偵 在安全性情境中啟用時所發生者。第71B圖顯示在監控 錯模式中設定核心時和偵錯在安全性情境中停用時所發 者。之後之程序將詳述如下。 在生產階段的侵入式偵錯 在生產階段中，當JSDAEN有接地和偵錯限制為非 全性情境，除非安全性監督有其他的決定，則在第7 1 B 顯示所發生者。在這種情況下，應該總是把SMI視為一 本指令（atomic instruction)，因此在進入偵錯狀態之前 是先完成安全性功能。 進以偵錯停機模式有下列限制： 僅在非安全性情境中考慮外部偵錯請求或内部偵錯 求。如果在安全性情境中已宣告EDBGRQ(外部偵錯請求 External Debug Request)，一旦安全性功能終止則核心 入偵錯停機模式，而核心回到非安全性情境中。 在安全性記憶體為斷點或監視點設計不會產生影響 及當程式設計位址符合時核心不停止。 向量捕捉登錄（Vector Trap Register，詳見下文）僅 及非安全性異常。如前所述所有擴充捕捉啟用位元不會 生影響。 一旦在停機偵錯模式中，則應用下列限制： 不能改變S位元以強制進入安全性情境，除非啟用 全性偵錯。 錯 偵 生 安 圖 基 總 請 > 進 以 涉 產 安 141 1312253 如果僅在安全性監督模式中允許偵錯不能夠改變模式 位元。 不能改變控制安全性偵錯的專屬位元。 如果一 SMI被載入和執行（以系統速度存取），僅在當 完全執行安全性功能時，核心再次進入偵錯狀態。 在監控偵錯模式中因為不能在安全性情境中發生監 控，安全性中止管理器不需要支援偵錯監控程式。在非安 全性情境中，逐步步驟是可能的，但是只要一SMI執行， 則完全執行安全性功能，換言之，當「步驟開始（step in)」 和「步驟結束（step-over)」在所有其它指令都可能時，一 xwsi只允許「步驟結束（step 〇ver)」。因此xwsi被視為 一基本指令（atomic instruction)。 使一旦安全性偵錯失效，吾人有下列限制： 在進入監控模式之前： 在非安全性情境中只考慮斷點和監視點。如果已設置 位元S ’略過斷點/監視點。請注意，監視點單元以 MCR/MRC(CP14)存取’這將不造成安全性問題，因為斷點 /監視點對安全性記憶體不會有影響。 通常用BKPT來代替斷點所設定之指令。假定在記情 體中覆寫上述指令係依據BKPT指令，其僅在非安全性模 式中有可能。 向量捕捉登錄僅涉及非安全性異常《如前所述所有擴 充捕捉啟用位元不會產生影響。資料中止和預取中止啟用 位元應該失效以避免強迫處理器進入一不可恢復狀態。 142 j3122^3 吾人對停機模式有相 藉由JTAG， S位元、等等）。 北— 生性中止模式） …二=錄止=:夠傾印非安全性情境…見 久女全性記憶體。 以基本SMI指令執行安全性功㊣ 不能改變S你*、 如果口 疋.M強制進入安全性情境。 棋式位元：在女全性監督模式中不允許偵肖，不能夠改變 凊注意，·^果外部偵 在非安全性情境中， 错狀態（在停機模式中）。 在安全性情境中，終 它回到非安全性情境時。 錯請求（EDBGRQ)發生， 偵 當 核心終止現有指令並立即進入 止現有功能並進入偵錯狀態， 新的偵錯需书+ 表在核心硬體中意味著一些修正。必須 心地控制S位元，、 貝和 从及基於安全性，該安全性位元不能插 入一掃插鏈中。 總之，在偵錯中，押 ,^ 僅在安全性監督模式中啟用偵錯時改變 模式位元β如Μ妝〃 匕將防止能夠在安全性網域中存取偵錯的任 何人能夠藉由#短 W田汉變系統（修改TBL項目、等等）以存取所有 的安全性情培。^ 晃種方法中，每一執行緒能夠對自己的程 式碼也只能對白3 目己的程式碼進行偵錯。必須使安全性核心 保持其安全,Η： 因此在非安全性情境中執行核心時進入推 能夠如别所述般改變模式位元。 143 1312253 本技術的實施例使用一新的向量捕捉登錄 trap register)。如果在該登錄中的位元之一設定為 應的向量觸發，處理器進入偵錯狀態如同一斷點已 於自相關的異常向量取回的一指令》該些位元的行 依在偵錯控制登錄中的「在安全性情境啟用中 (Debug in Secure WQrldEnable)」之位元值而不同。 該新的向量捕捉登錄包括下列位元： D_s_abort、P_s_ab〇rt、S一undef、SMI、FIQ、 Unaligned、D_abort > Pabort ' SWI 和 Undef。 D_s_abort位元：只能在當在安全性情境中啟 時以及當在停機偵錯模式中設定偵錯時設置《在監 模式中’該位元絕不設置β如果在安全性情境中的 效，無論該位元之值為何不會有任何影響。 P_s_ab〇rt位元：與D_s_ab〇rt位元相同。 S一undef位元：僅能在當在安全性情境中啟用 設置。如果在安全性情境中偵錯失效，無論該位元 何不會有任何影響》 SMI位元：僅能在當在安全性情境中啟用偵 置。如果在安全性情境中偵錯失效，無論該位元之 不會有任何影響。 FIQ、IRQ、D__ab〇rt、p_abort、SWI、undef 位 非安全性異常對應，所以即使在安全性情境中偵錯 它們仍然有效’請注意D_abort和P_abort不應該 模式中宣告高。 (vect0r 高和對 經設置 為可能 的偵錯 IRQ ^ 用偵錯 控偵錯 偵錯失 偵錯時 之值為 錯時設 值為何 元：與 失效， 在監控 144 1312253
Reset位元：當重設發生時，吾人進入安全性情境， 僅當在安全性情境中啟用偵錯時該位元有效，否則其不會 產生影響。 雖然本文中已經描述了本發明的一特定實施例，但是 明顯地本發明並未侷限於上述内容，亦可能在本發明的範 疇中進行許多修正和增加。例如，在不悖離本發明之範疇 情況下，能夠以申請專利範圍之獨立項進行下列附屬項特 徵的各種結合。 【圖式簡單說明】 本發明將進一步參照以附圖圖示之僅為例示的較佳實 施例解說，其中： 第1圖係一方塊圖，依據本發明之較佳實施例圖示一 資料處理設備； 第2圖圖示在一非安全性網域和一安全性網域操作之 不同程式； 第 3圖圖示相關於不同安全模式之處理模式之一矩 陣； 第4和5圖圖示在處理模式和安全網或間不同的關係； 第6圖圖示一程式設計師的模組，與處理模式相關之 一處理器的登錄區塊； 第7圖圖示一示例，為一安全性網域和一非安全性網 域提供個別的登錄區塊； 第8圖圖示多種處理模式，在安全性網域之間藉由一 145 1312253 個別的監控模式所進行之轉換； 第9圖之示圖，使用一模式轉換軟體中斷指令之安全 性網域之轉換； 第1 0圖圖示一示例，系統如何處理非安全性中斷請求 和安全性中斷請求； 第11A和11B圖依據第10圖，圖示一非安全性中斷 請求處理之示例，和一安全性中斷請求處理之示例； 第12圖圖示一可選擇性的機制，比較第10圖所圖示 者，用以控制非安全性中斷請求信號和安全性中斷請求信 號； 第1 3 A和1 3 B之示例性示圖，依據第1 2圖用以處理 一非安全性中斷請求和一安全性中斷請求； 第14圖係一向量中斷表之示例； 第15圖圖示與不同安全網域相關之多數向量中斷表； 第16圖圖示一異常控制登錄； 第1 7圖係一流程圖，圖示意圖以一種警告安全性網域 設定之方法改變一處理狀態登錄之一指令如何產生一各自 的模式轉換異常，其依序觸發進入監控式和執行監控模視； 第18圖圖示以多種模式操作之一處理器控制之一執 行緒，其中在監控模式中之一任務係中斷的； 第19圖圖示以多種模式操作之一處理器控制之一不 同的執行緒； 第20圖圖示以多種模式操作之一處理器控制之一進 一步的執行緒，其中中斷係啟用於監控模式； 146 1312253 第21圖至2 3圖依據另一示例性實施例圖示不同的處 理模式和過程，用以在安全性和非安全性網域間轉換； 第24圖圖示增加一安全性處理選擇至一習知ARM核 心之觀念； 第 2 5圖圖示具有安全性和非安全性網域及重設之一 處理器；
第 26圖圖示使用一軟體偽造之中斷傳遞處理請求至 一虛懸之作業系統； 第27圖圖示另一示例，使用一軟體偽造之中斷傳遞處 理請求至一虛懸之作業系統； 第28圖係一流程圖，圖示接收到在第26和27圖所產 生型態之一軟體偽造中斷時，所執行之處理； 第29和3 0圖圖示在一安全性作業系統之後所進行之 任務，用以追蹤由一非安全性作業系統所進行之可能的任 務轉換；
第3 1圖係一流程圖，圖示在第2 9和3 0圖之安全性作 業系統中接收到呼叫時，所執行之處理； 第3 2圖圖示可能在具有多數作業系統之一系統中發 生之中斷優先權反向的問題，其中不同的中斷可以由不同 的作業系統所控制； 第33圖圖示使用存根中斷管理器以避免第32圖所示 之問題；和 第3 4圖圖示不論是否它們可以被一作業系統所服務 之中斷所中斷，以何為依據控制不同型態和優先權的中斷 147 1312253 第35圊圊7F監控模式專屬的處理器設定 先於處理器設定資料’當該處理器係在監控模5 第36圖之一流程圖依據本發明之一實施4 安全性網域和非安全性網域間轉換時，處理器 何轉換； 第3 7圖圖示在本發明之一實施例所用以 體的存取的記憶體管理邏輯； 第38圖係一方塊圖’圖示在本發明之一第 用以控制對記憶體的存取的記憶體管理邏輯； 第39圖係一流程圖’圖示在本發明之實施 過程’在記憶體管理邏輯中用以處理專屬於— 一記憶體存取請求； 第40圖係一流程圖，圖示在本發明之實施 過程’在記憶體管理邏輯中用以處理專屬於— 一實體存取請求； 第41圖圖示本發明之較佳實施例之分割 操作以防止存取安全性記憶體中之一實體位址 記憶體存取請求的裝置係操作於一非安全性模 第42圖圖示在本發明之一較佳實施例中， 分頁表和一安全性分頁表之使用； 第43圖圖示較佳實施例之主要轉譯參^ translation lookaside buffer)中使用之兩種型式 第44圖圖示本發明之一實施例中，在開相 記憶體如何被分割； 資料如何優 C下操作時； ;’J，圖示當在 設定資料如 控制對記憶 二實施例所 例所執行之 虛擬位址的 例所執行之 虛擬位址的 檢測器如何 ’當發出該 式； —非安全性 $緩衝（TLB， 之旗標； i程序之後， 148 1312253 第4 5圖圖示依據本發明之一實施例，在開機分割執行 之後，由記憶體管理單元（MMU)所映射之非安全性記憶體； 第4 6圖圖示依據本發明之一實施例，如何警告右列部 分之記憶體，以允許一安全性應用與一非安全性應用共用 記憶體； 第4 7圖圖示依據本發明之一實施例，裝置如何被連接 至資料處理設備之外部匯流排； 第48圖係一方塊圖，圖示依據本發明之第二實施例， 裝置如何被連接至外部匯流排； 第 49圖圖示使用一單一組分頁表之實施例的實體記 憶體之安排； 第 50A圖圖示一安排，其中經由一中介位址使用兩 MMUs以執行虛擬至實體位址的轉譯； 第50B圖圖示一選擇性安排，其中經由一中介位址使 用兩MMUs以執行虛擬至實體位址的轉譯； 第5 1圖僅為示例，圖示對於安全性網域和非安全性網 域，在實體位址空間和中介位址空間之間的對應； 第52圖圖示經由相關於第二MMU之分頁表之控制在 安全性和非安全性網域之間的記憶體區域的調換（swap); 第5 3圖之實施例圖示使用一單一 MMU之實施，及其 中在主要TLB的不符者導致請求一異常以決定虛擬至實 體的位址轉譯； 第5 4圖係一流程圖，圖示由處理器核心所執行之程 序，用以在第53圖之MMU的主要TLB不符的同時，對所 149 1312253 發出之異常採取行動； 第55圖係一方塊圖，圖示一實施例中一資料處理設備 中所提供之元件’其中對快取提供資訊，以決定儲存在個 別的快取線上的資料是安全性資料或非安全性資料； 第56圖圖示如第55圖所示之記憶體管理單元之結構； 第5 7圖係一流程圖圖示第5 5圊所示之資料處理設備 中所執行的處理，以處理一非安全性記憶體存取請求； 第58圖係一流程圖圖示第55圖所示之資料處理設備 中所執行的處理’以處理一安全性記憶體存取請求； 第59圖圖示對於在一處理器上執行之不同模式和應 用，監控功能可能的粒度（granularity); 第60圖圖示初始不同的監控功能之可能的方法； 第61圖圖示一控制值表，用以控制可使用之不同監控 功能； 第62圖圖示一正緣觸發正反器（positive_edge triggered Flip-Flop)； 第63圖圖示一掃描串鍵單元（scan chain .cell); 第64圖圖示在一掃描串鍵中之多數掃描串鏈單元； 第65圖圖示一偵錯TAP控制器； 第66A圖圖示一具有JADI之偵錯TAP控制器； 第66B圖圖示一具有一旁路登錄（bypass register)之 一掃描串鍵早元 第67圖圖示一處理器，包含一核心、掃描串鍵和一债 錯狀態及控制登錄（Debug Status and Control Register); 150 1312253 第68圖圖示因子（factor)控制偵錯或追縱的初始化； 第69 A和69B圖圖示偵錯粒度之摘要； 第70圖圖示執行時之偵錯粒度；及 第71A和71B圖圖示在安全情境中啟用偵錯且當其並 非個別啟用之監控偵錯。 【元件代表符號簡單說明】 10 核心 12 掃描鍵 14 登錄區塊 16 ALU 18 JTAG控制器
20 ICE
21 VIC 22 ETM 2 4 登錄 26 控制登錄 30 記憶體管理邏輯 34 控制登錄 36 TCM 38 快取
4 0 系統匯流排 42 EBI 44 開機ROM 46 螢幕
48 登錄或緩衝器 50 DSP 52 DMA 54 判優器/解碼器邏輯 5 6 外部記憶體 58 分頁表 60 輸入/輸出界面 62 登錄或缓衝器 64 金鑰儲存單元 66 登錄或缓衝器 70 外部匯流排 72 監控程式 151 1312253 7 4 非安全性作業系統 7 6 非安全性應用1 78 非安全性應用2 80 安全性核心
8 2 安全性應用1 8 4 安全性應用2 86 監控模式 200 MMU
2 02 存取許可邏輯 2 04 區域屬性邏輯 206 micro-TLB 208 主要TLB 210轉譯表行走邏輯 _ 220 MPU m 222 分割檢測器 224 存取許可邏輯 226 區域屬性邏輯 2 3 0 路徑（中止） 2 3 2 路徑（可快取，可緩衝） 234 路徑（虛擬位址） 236 路徑（實體位址） 2 3 8 路徑 240 路徑 2 4 2 路徑 244 路徑 246 路徑（描述符） 2 4 8 路徑 3〇〇 程式產生虛擬位址 302 查詢安全性描述符micro-TLB · 3 04 查詢安全性描述符主要TLB 306分頁表行走 3 08主要TLB包含有效附加的安全性描述符 3 10 在micro-TLB載入含有實體位址部分的相關描述符 的子部分 3 12 檢查存取允許（私有/使用者…） 314 違反？ 316 存取允許錯誤中止 3 1 8存取記憶體 320 查詢非安全性描述符micro-TLB 3 22 查詢非安全性描述符主要TLB 324 分頁表行走 152 1312253 326 328 330 332 334 336 338 350 352 354 356 358 370 372 374 376 378 380 390 395 397 400 405 407 425 430 435 440 445 450 460 462 464 4 6 6 470 472 474 476 要割 反全m子查反心PU記反取安安安安全全全安安礎全全全域序述述述目安憶憶全置置部優 主分的違安在的檢違核Μ性違存在非非非安安安非非基安安安網程描描描項非記記安裝裝外判 性 全 安 br 符是 述址 描位 性體 全實 安性 非全 的安 加非 附否 效是 有查 含檢 包器 LB測 T檢 生ί體 J· « Γ · J7 «· I #— . <— I #1 . 41 - - ―~^― ―-J -:1 ^ . > < —ly— V/ 性10部存？產^憶？允全全全全性性性全全位性性性旗10符符符 全體體性 有 誤含 錯入 性載 全B 安L -T 非)- 止 中 者 用 使 / 有 私 ίν 許 允 分取 符 述 描 關 相 的 分 部 址 位 體 實 全 安 非 在 址 位 體 實 性 全 安 非 否 是 址及 位， 體 可 許 查 取 存 的 體 憶 記 址 性 位 止全 礎 中安 體表 基 誤非域域域 憶頁 體表表 錯或區區區域域域記分 憶頁頁 許性性性性區區區性性址記分分標 標 旗 體 憶 記 的 用 應 性 頁 分 體 憶 記器 153 1312253 478 解碼器 480 螢幕 482 登錄或缓衝器 484輸入輸出界面 486 登錄或緩衝器 488信號路徑 490 路徑 492 分割檢測器 5 00 監控模式 5 0 1 分隔線 5 0 2 分隔線 5 〇 3 分隔線 5 1 2 應用 5 1 4 應用 5 1 6 應用 520監督模式 5 22 應用 524 應用 530 ICE 5 4 1 掃描鍵1 544 掃描鏈 5 5 0指令記憶體 5 70 核心
5 80 偵錯TAP 600 核心 601儲存元件 602 登錄 603 登錄 6 1 0 位址比較器 6 11 登錄 6 1 2 登錄 6 2 0 控制邏輯 6 3 0 路徑 2 000監控模式專屬處理器設定資料 2010多工轉換器 2 0 1 5路徑 2020 SMI指令已發出？ 2 03 0在監控模式進入監控程式（使用監控模式專屬處理 器設定資料） 2〇4〇自發出SMI指令的網域儲存狀態 2 0 5 0轉換狀態指標為指向含有終點網域狀態之記憶體 154 1312253 2 060載入終點網域之狀態 2070離開監控程式。離開監控模式並轉換至終點網域之 模式 2100實體位址空間 2 11 0非安全性記憶體 2120安全性記憶體
2 150 MMU 2 1 5 3路徑
215 5 micro-TLB 2 1 5 7路徑
2160 主要 TLB 2165轉譯表行走邏輯 2 1 6 7路徑
2170 MMU 2 1 7 5路徑
2 1 80 主要 TLB 2185轉譯表行走邏輯 2 190資料匯流排 2192路徑 2 1 9 4路徑
2170 MMU 2200實體位址空間 2210安全性區域 2220非安全性記憶體 2230安全性區域 2240非安全性記憶體 2250分頁表 2265中間位址空間 2270中間位址空間 2275非安全性中間位址空間 2 3 0 0記憶體的一區域 2 3 0 5中間位址空間中的區域 2310區域
2400 MMU
2410 micro-TLB
2420 主要 TLB 2422路徑 2 4 3 0路徑 2440路徑 2450路徑 2500偵測到一 TLB不符者異常？ 155 1312253 1 2 3 4 5 6 7 8 990112333345555001 12 23344556 5 5 5 5 5 5 55 556666666666666777 77 77777777 向誤第|得第位以述轉 設錯關第以尋體符描址 預的相替符找實述二位 一常之以述以定描第體- 以異表表描表給二和實LB回 排排 排 器程Γ0-性 常致一二一二址第一至T返 流流 流輯 測性icr全 異導第第第第位該第址要常線線 匯匯 匯邏器器檢全m安詢 該取在取得考間回合位主異取數標址制徑徑徑料制優碼割安詢非查 為獲替預取參中取結擬在自快多旗位控路路路資控判解分非查在一 產B述 式TL描 的 址址 位位 址 間擬 位址中虚 間位的誤 式中體址錯 模定實位替 控決取擬以 監址符獲虛符 入位述符誤述 進擬描述錯描 量虛I描到 址虚 位定 體給 實以 的符 址述 位描 擬的 虛新 誤生 ，錯產 得以 址獲符譯 符 述 描 的 新 該 存 储 中 B L T 要 主 的 中 址其 位於 擬存 虛 储 生符 行 執 籤 標 效 有 該 有 含 B L 走T 行要 表主符 頁定述 分決描 性 全 安 非 的
B B L L T T 止 中 誤 錯 許7·詢 ?允取查 crcr反取快取 mlmi違存可快 入 載； 分者 R— A口用 的使 符/ Λ 描i 的可 址許 位取 體存 實些 有該 含查 把檢 反 違 籤止取 標中存 線誤部 性錯外 全反充 安違填 有性線 否全取 是安快 5 6 156 1312253 B L T 要 主 的 中 止 址其 中 位於 部 擬存 外 虛儲 反誤 反生B符 違錯 違產TL述 割反充 割式Γ0-描 分違填取取分程icr性 性性線存存性性m全 全全取料部全全詢安詢 安安快資外安安查在查 050505050 778899001 777777888 222222222 行 執 0 標 效 有 該 有 含 B L 走T 行要 表主 頁定符 分決述 5 0 12 8 8 2 2 描 性 全 安 的
B B L L T T 許？詢填填取取回體緒續的新叫 ' 允取查線線存存返軟行繼舊至呼 crlcrl反取快取取取料部始否執新存換收 mixni違存可快快快資外開是性重儲轉接 505050505024 6 8 0 2 233445688900 ο ο 1 1 888888888800 oooo 222222222244 44 描 的可 址許 位取 體存 實些 有該 含查 把檢 止 中 誤 錯 取 存 部 外 充充 斷製同全全安 中仿相安安的 述 有 私 入 \)/ 載| 分者 部用 的使 符 全 安 之 行 執 下 現 和 緒 行 執 回 返 器的 理斷 管中 容 内绪 緒緒行 行行執 執執性 性性全 緒緒 行行 執執 性性 全全 安安？ 之之緒 中中行 用用執 作作的 有有新 現現用 叫始使 呼開可 否新否 是重是 4 6 8 1X 1x ο ο ο 4 4 4 4 4 存 被 容緒 内行 的執 緒性 行全 執安 性的 叫全新 呼安至 絕的換 拒舊轉 0 2 4 2 2 2 ο ο ο 4 4 4 157

Claims (1)

1312253 Ft/案#年y月修正 r98.· 4 ^ Ό -——-- 年λ! 0修正替換頁 拾、申請專利範圍 1 · 一種具有一安全性網域和一非安全性網域之資料處理 設備，其中在該安全性網域中該資料處理設備之裝置所 存取之安全性資料係不可在該非安全性網域所存取 者，該資料處理設備包含： 一裝置匯流排；
多數裝置，其連接至該裝置匯流排，每一裝置可操 作以發出一記憶體存取請求，該記憶體存取請求相關於 該安全性網域或該非安全性網域之任一者，該等多數裝 置之至少一者可操作於多數模式，該多數模式包含在該 非安全性網域之至少一非安全性模式，以及在該等安全 性網域之至少一安全性模式；
一記憶體，其連接至該裝置匯流排和可操作以儲存 該多數裝置所需要之資料，該記憶體包含安全性記憶體 用以儲存安全性資料和非安全性記憶體用以儲存非安 全性資料，當需要存取.在該記憶體中的一資料項時，該 等多數裝置可操作以發出一記憶體存取請求至該裝置 匯流排；以及 分割檢測邏輯，其連接至該裝置匯流排以及只要該 等多數裝置之任一者所發出之一記憶體存取請求相關 於該非安全性網域時，可操作該分割檢測邏輯以偵測是 否該記憶體存取請求係企圖存取該安全性記憶體；以及 依據此類偵測，防止該記憶體存取請求所指定之存取。 158 1312253 98. 4. 2θ 手月 η輕:上砮换1 2.如申請專利範圍第1項所述之一種資料處理設備，其中 對於該等多數裝置之該至少一者來說該多數模式被複 製於該安全性網域與該非安全性網域中。
3 .如申請專利範圍第1項所述之一種資料處理設備，其中 當在上述安全性網域中之一預定的安全性模式中操作 時，由該多數裝置之一者管理該分割檢測邏輯。 4.如申請專利範圍第1項所述之一種資料處理設備，其中 由該等多數裝置發出之該記憶體存取請求包含一網域 信號，該網域信號確認是否該記憶體存取請求相關於上 述安全性網域或上述非安全性網域，以及該網域信號被 該分割檢測邏輯所使用以決定該記憶體存取請求之標 的存取是否被允許繼續進行。
5 .如申請專利範圍第4項所述之一種資料處理設備，其中 該等多數裝置具有一預定的腳位，在該預定的腳位上該 網域信號被輸出至該裝置匯流排。 6.如申請專利範圍第1項所述之一種資料處理設備，其中 在與該裝置匯流排連結的一判優器中提供該分割檢測 邏輯，以在被發出至該裝置匯流排之記憶體存取請求之 159 1312253 年月曰修正替換頁 間進行判優。 7.如申請專利範圍第1項所述之一種資料處理設備，其中 在該非安全性網域中，該等多數裝置之該至少一者可在 一非安全性作業系統的控制下操作，以及在該安全性網 域中，該等多數裝置之該至少一者可在一安全性作業系 統的控制下操作。
8 .如申請專利範圍第1項所述之一種資料處理設備，其中 該等多數裝置之該至少一者係整合一處理器之一晶 片，該晶片更包含一記憶體管理單元，當該處理器產生 該記憶體存取請求，該記憶體管理單元可操作以執行一 或多數預定的存取控制功能，以控制發出至該裝置匯流 排之該記憶體存取請求。
9.如申請專利範圍第8項所述之一種資料處理設備，其中 該晶片更包含： 特別記憶體，其經由一系統匯流排連接至該處理 器，該特別記憶體可操作以儲存該處理器所需要的資 料，該特別記憶體包含安全性特別記憶體用以儲存安全 性資料，以及非安全性特別記憶體用以儲存非安全性資 料；以及 特別分割檢測邏輯，其連接至該系統匯流排，以及 160 1312253 Γ^' .. ,f —j…一"*........—* I手}\ Ei 'i多+il·-货戒頁 當操作於該非安全性網域中之一非安全性模式，只要該 處理器產生該記憶體存取請求，可操作該特別分割檢測 邏輯以偵測是否該記憶體存取請求係企圖存取該安全 性記憶體或該安全性特別記憶體之任一，以及依據此類 偵測防止該記憶體存取請求所指定之存取。
1 〇.如申請專利範圍第 9項所述之一種資料處理設備，其 中： 該處理器係可操作於多數模式，該等多數模式包含 在該非安全性網域之至少一非安全性模式，以及在該安 全性網域之至少一安全性模式，在該至少一非安全性模 式中，該處理器可操作於一非安全性作業系統之控制 下，以及在該至少一安全性模式中，該處理器可操作於 一安全性作業系統之控制下；以及 該特別分割檢測邏輯係由該安全性作業系統所管
理。 1 1 .如申請專利範圍第1 0項所述之一種資料處理設備，其 中當該處理器係操作於該至少一非安全性模式中，該記 憶體存取請求指定一虛擬位址，該記憶體管理單元係由 該非安全性作業系統所控制，以及由該記憶體管理單元 所執行之該預定的存取控制功能之一包含把該虛擬位 址轉換成一實體位址，如果欲由該記憶體管理單元所產 161 1312253 98. 4. 2 〇 . 7^" 年月曰修.土貨:邊:頁 生之該實體位址係在該安全性記憶體之中時，可操作該 特別分割檢測邏輯以防止該記憶體存取請求所指定之 存取。
1 2.如申請專利範圍第1 0項所述之一種資料處理設備，其 中當該處理器操作於該至少一安全性模式中之一時，該 記憶體存取請求指定一虛擬位址，該記憶體管理單元係 由該安全性作業系統所控制，以及由該記憶體管理單元 所執行之該預定的存取控制功能之一包含把該虛擬位 址轉換成一實體位址，該特別分割檢測邏輯不使用於該 至少一安全性模式。
1 3 .如申請專利範圍第1 2項所述之一種資料處理設備，其 中對於該處理器所操作之所有模式而言，該記憶體存取 請求指定一虛擬位址，在記憶體管理單元中提供該特別 分割檢測邏輯，以及只要該處理器係操作於該至少一非 安全性模式便可操作。 1 4.如申請專利範圍第1 1項所述之一種資料處理設備，其 中更包含一記憶體保護單元，其提供該特別分割檢測邏 輯，該記憶體保護單元係由該安全性作業系統所管理， 其中當該處理器係操作於一特定的安全性模式時，該記 憶體存取請求指定一記憶體位置之一實體位址，不使用 162 1312253
該記憶體管理單元，以及可操作該記憶體保護單元以執 行至少記憶體存取許可處理，以確認是否由該實體位址 所指定之該記憶體位置係可存取於該特定安全性模式。
1 5 .如申請專利範圍第1 0項所述之一種資料處理設備，其 中該記憶體包含至少一表格，該至少一表格包含一些記 憶體區域之每一者的相關描述符，該記憶體管理單元包 含一内部儲存單元，用以儲存導源自該些描述符之存取 控制資訊，以及由該記憶體管理單元所使用以執行該記 憶體存取請求之該些預定的存取控制功能，當該處理器 係操作於該至少一非安全性模式時，可操作該特別分割 檢測邏輯以防止該内部儲存單元儲存可允許存取該安 全性記憶體之存取控制資訊。
1 6.如申請專利範圍第1 5項所述之一種資料處理設備，其 中該記憶體存取請求指定一虛擬位址，以及該些預定的 存取控制功能之一包含轉換該虛擬位址至一實體位 址，每一描述符包含至少一虛擬位址部分和對應於記憶 體區域之一實體位址部分，當該處理器係操作於該至少 一非安全性模式時，如果之後將為該虛擬位址產生之該 實體位址係在該安全性記憶體之内時，可操作該特別分 割檢測邏輯以防止該内部儲存單元儲存該實體位址部 分為存取控制資訊。 163 1312253 98·1—2Τ 萃月日修-正替換頁 1 7.如申請專利範圍第1 6項所述之一種資料處理設備，其 中該内部儲存單元是一轉譯參考緩衝器（T L Β )，可操作 該轉譯參考緩衝器以為一些虛擬位址部分儲存對應的 實體位址部分，其係獲自截取自該至少一表格之對應描 述符。
1 8 _如申請專利範圍第1 7項所述之一種資料處理設備，其 中該TLB係一 micro-TLB，和該内部儲存單元更包含一 主要TLB，用以儲存由該記憶體管理單元從該至少一表 格所截取之描述符；在由該記憶體管理單元使用存取控 制資訊為該記憶體存取請求執行該預定的存取控制功 能之前，該存取控制資訊可從該主要 TLB轉換至該 micro - TLB ;當該處理器係操作於該至少一非安全性模 式時，可操作該特別分割檢測邏輯以防止任何存取控制 資訊從該主要TLB轉換至該micro-TLB，該存取控制資 訊係可允許存取該安全性記憶體。 1 9 ·如申請專利範圍第1 6項所述之一種資料處理設備，其 中當在非安全性表格中之描述符係相關於至少部分採 納部分安全性記憶體之一記憶體區域時，該至少一表格 包含一非安全性表格用於當該處理器係操作於該至少 一非安全性模式時以及包含由該非安全性作業系統所 164 1312253 年月日修正替換頁 產生之描述符；當該處理器係操作於非安全性模式時， 可操作該特別分割檢測邏輯以防止該内部儲存單元儲 存由描述符所指定之該實體位址部分為存取控制資 訊，如果之後將為該虛擬位址產生之該實體位址係在該 安全性記憶體中。
2 0.如申請專利範圍第1 8項所述之一種資料處理設備，當 在一非安全性表格中之一描述符係相關於至少部分採 納部分安全性記憶體之一記憶體區域時，該至少一表格 包含該非安全性表格用於在該處理器操作於該至少一 非安全性模式時，以及包含由該非安全性作業系統所產 生之描述符；當該處理器係操作於非安全性模式，可操 作該特別分割檢測邏輯以防止該内部儲存單元儲存由 該描述符所指定之該實體位址部分為存取控制資訊，如 果之後將為該虛擬位址產生之該實體位址係在該安全 性記憶體中；以及其中該至少一表格更包含位在該安全 性記憶體中的一安全性表格，其包含由該安全性作業系 統所產生之描述符，該主要TLB包含一旗標，該旗標 相關於儲存在該主要TLB中的每一描述符，以確認是 否該描述符係來自該非安全性表格或該安全性表格。 2 1 .如申請專利範圍第2 0項所述之一種資料處理設備，其 中只要在一安全性模式和一非安全性模式間該處理器 165 1312253 t98_ 4· 2〇 I年月日修正替換頁 的操作模式改變，則清除該m i c r 〇 - T L B，在該安全性模 式中存取控制資訊只從該主要T L B中的一描述符轉換 至該micro-TLB，又該相關旗標所標示之該主要TLB係 來自該安全性表格，以及在該非安全性模式中存取控制 資訊只從該主要 TLB 中的一描述符轉換至該 micro-TLB，又該相關旗標所標示之該主要TLB係來自 該非安全性表格。
2 2 ·如申請專利範圍第1 0項所述之一種資料處理設備，其 中該記憶體包含至少一表格，該至少一表格包含一些記 憶體區域之每一者的相關描述符，該記憶體管理單元包 含一内部儲存單元，用以儲存導源自該描述符之存取控 制資訊以及由該記憶體管理單元用以執行該記憶體存 取請求之該預定的存取控制功能，當該處理器係操作於 該至少一非安全性模式時，可操作該特別分割檢測邏輯 以防止該内部儲存單元儲存存取控制資訊，該存取控制 資訊係可允許存取該安全性記憶體，以及其中該至少一 表格包含至少一分頁表格。 2 3 ·如申請專利範圍第1 0項所述之一種資料處理設備，其 中該特別記憶體包含連接至該系統匯流排之一緊接記 憶體，該緊接記憶體之該實體位址範圍被定義為一控制 登錄，以及當操作於一權限安全性模式時，可由該處理 166 1312253
器設定一控制旗標，以指示是否只在一權限安全性模式 執行時該緊接記憶體係可由該處理器控制，或在執行於 該至少一非安全性模式時可由該處理器控制。 24.如申請專利範圍第2 3項所述之一種資料處理設備，其 中如果執行於該至少一非安全性模式時該處理器可控 制該緊接記憶體，將防止安全性資料儲存在該緊接記憶
2 5 . —種在一資料處理設備中控制存取記憶體的方法，該資 料處理設備具有一安全性網域及一非安全性網域，在該 安全性網域中該資料處理設備之裝置所存取之安全性 資料係不可在該非安全性網域所存取者，該資料處理設 備包含一裝置匯流排；多數裝置，其連接至該裝置匯流 排，每一裝置可操作以發出一記憶體存取請求，該記憶 體存取請求相關於該安全性網域或該非安全性網域之 任一，該等多數裝置之至少一者可操作於多數模式，該 等多數模式包含在該非安全性網域之至少一非安全性 模式，以及在該等安全性網域之至少一安全性模式；以 及一記憶體，其連接至該裝置匯流排及可操作以儲存該 等多數裝置所需要之資料，該記憶體包含安全性記憶體 用以儲存安全性資料及非安全性記憶體用以儲存非安 全性資料，該方法包含下列步驟： 167 1312253 年月I修正替換頁 (i)當存取在該記憶體中所需之資料項時，從該等 多數裝置之任一者發出一記憶體存取請求至該裝置匯 流排；及 (i i)只要由該等多數裝置之任一者所發出之該記憶 體存取請求係相關於該非安全性網域時，使用連接至該 裝置匯流排之分割檢測邏輯，以偵測是否該記憶體存取 請求係企圖存取該安全性記憶體；及
(i i i)依據此類偵測，防止該記憶體存取請求所指定 之存取。 2 6 ·如申請專利範圍第2 5項所述之方法，其中對於該等多 數裝置之該至少一者來說該等多數模式被複製於該安 全性網域與該非安全性網域中。
2 7.如申請專利範圍第2 5項所述之方法，其中當在上述安 全性網域中之一預定的安全性模式中操作時，由該等多 數裝置之一者管理該分割檢測邏輯。 2 8.如申請專利範圍第2 5項所述之方法，其中由該等多數 裝置發出之每一記憶體存取請求包含一網域信號，其確 認是否該記憶體存取請求相關於上述安全性網域或上 述非安全性網域，以及該網域信號被該分割檢測邏輯所 使用以決定該記憶體存取請求之標的存取是否被允許 168 1312253 '散—*4.2 ^一一' 1年月日修正替換頁 繼續進行。 2 9.如申請專利範圍第2 8項所述之方法，其中該等多數裝 置具有一預定的腳位，在該預定的腳位上該網域信號被 輸出至該裝置匯流排。
30.如申請專利範圍第25項所述之方法，其中在與該裝置 匯流排連結的一判優器中提供該分割檢測邏輯以在被 發出至該裝置匯流排之記憶體存取請求之間進行判優。 3 1 .如申請專利範圍第2 5項所述之方法，其中在該非安全 性網域中，該等多數裝置之該至少一者可在一非安全性 作業系統的控制下操作，以及在該安全性網域中，該等 多數裝置之該至少一者可在一安全性作業系統的控制 下操作。
3 2.如申請專利範圍第2 5項所述之方法，其中該等多數裝 置之該至少一者係整合一處理器之一晶片，該晶片更包 含一記憶體管理單元，當該處理器產生該記憶體存取請 求，該方法包括下列步驟： 使用該記憶體管理單元執行一或多數預定的存取 控制功能，以控制發出至該裝置匯流排之該記憶體存取 請求。 169 1312253 •.一一—I I , 年月日修正替換頁
3 3 _如申請專利範圍第3 2項所述之方法，其中該晶片更包 含特別記憶體，該特別記憶體經由一系統匯流排連接至 該處理器，該特別記憶體可操作以儲存該處理器所需要 的資料，該特別記憶體包含安全性特別記憶體用以儲存 安全性資料，以及非安全性特別記憶體用以儲存非安全 性資料；以及連接至該系統匯流排之特別分割檢測邏 輯，該方法更包含下列步驟： 當操作於該非安全性網域中之一非安全性模式，只 要該處理器產生該記憶體存取請求，即使用該特別分割 檢測邏輯以偵測是否該記憶體存取請求係企圖存取該 安全性記憶體或該安全性特別記憶體之任一者，以及 依據此類偵測防止該記憶體存取請求所指定之存 取。
3 4 .如申請專利範圍第3 3項所述之方法，其中： 該處理器係可操作於多數模式，該等多數模式包含 在該非安全性網域之至少一非安全性模式，以及在該安 全性網域之至少一安全性模式，在該至少一非安全性模 式中，該處理器可操作於一非安全性作業系統之控制 下，以及在該至少一安全性模式中，該處理器可操作於 一安全性作業系統之控制下；以及 該特別分割檢測邏輯係由該安全性作業系統所管 170 1312253 ^--ίτ-^-θ—^——年月日修正替換頁 理。
3 5 _如申請專利範圍第3 4項所述之方法，其中當該處理器 係操作於該至少一非安全性模式中，在步驟（i)所發出之 該記憶體存取請求指定一虛擬位址，使用該記憶體管理 單元以執行一或多數預定的存取控制功能之該步驟係 由該非安全性作業系統所控制，以及所執行之該預定的 存取控.制功能之一包含把該虛擬位址轉換成一實體位 址，該特別分割檢測邏輯在步驟（i i i)防止該記憶體存取 請求所指定之存取，如果由該記憶體管理單元所產生之 該實體位址係在該安全性記憶體之中。
3 6.如申請專利範圍第3 4項所述之方法，其中當該處理器 操作於該至少一安全性模式中之一時，在該步驟（i)所發 出之該記憶體存取請求指定一虛擬位址，使用該記憶體 管理單元以執行一或多數預定存取功能之該步驟係由 該安全性作業系統所控制，以及所執行之該預定的存取 控制功能之一包含把該虛擬位址轉換成一實體位址，該 特別分割檢測邏輯不使用於該至少一安全性模式。 3 7 .如申請專利範圍第3 6項所述之方法，其中對於該處理 器所操作之所有模式而言，在該步驟（i)發出之該記憶體 存取請求指定一虛擬位址，在記憶體管理單元中提供該 171 1312253 p8. a 〇 n ~ in-- -年月曰修正替換頁 特別分割檢測邏輯，以及只要該處理器係操作於該至少 一非安全性模式便可操作。 38. 如申請專利範圍第3 5項所述之方法，其中該資料處理 設備更包含一記憶體保護單元，其中提供該特別分割檢 測邏輯，該記憶體保護單元係由該安全性作業系統所管 理，其中當該處理器係操作於一特定的安全性模式，在 該步驟（i)所發出之該記憶體存取請求指定一記憶體位 置之一實體位址，不執行使用該記憶體管理單元以執行 一或多數預定的存取控制功能之該步驟，以及該記憶體 保護單元執行至少記憶體存取許可處理，以確認是否由 該實體位址所指定之該記憶體位置係可存取於該特定 安全性模式。
39. 如申請專利範圍第3 4項所述之方法，其中該記憶體包 含至少一表格，其包含一些記憶體區域之每一者的相關 描述符，該方法包含下列步驟： 在一記憶體管理單元中提供一内部儲存單元，用以 儲存導源自該些描述符之存取控制資訊，以及由該記憶 體管理單元所使用以執行該記憶體存取請求之該些預 定的存取控制功能；以及 當該處理器係操作於該至少一非安全性模式時，可 操作該特別分割檢測邏輯以防止該内部儲存單元儲存
172 1312253 存取控制資訊，該存取控制資訊係可允許存取該安全性 記憶體。
4 〇 .如申請專利範圍第3 9項所述之方法，其中在該步驟（i) 發出之該記憶體存取請求指定一虛擬位址，以及由該記 憶體管理單元所執行之該些預定的存取控制功能包含 轉換該虛擬位址至一實體位址，每一描述符包含至少一 虛擬位址部分和對應於記憶體區域之一實體位址部 分，該方法包括下列步驟： 當該處理器係操作於該至少一非安全性模式時，如 果之後將為該虛擬位址產生之該實體位址係在該安全 性記憶體之内，則使用該特別分割檢測邏輯以防止該内 部儲存單元儲存該實體位址部分為存取控制資訊。
4 1 .如申請專利範圍第4 0項所述之方法，其中該内部儲存 單元是一轉譯參考緩衝器（TLB)，該轉譯參考緩衝器可 操作以為一些虛擬位址部分儲存對應的實體位址部 分，其係獲自截取自該至少一表格的對應描述符。 42.如申請專利範圍第41項所述之方法，其中該TLB係一 micro-TLB，和該内部儲存單元更包含一主要TLB用以 儲存由該記憶體管理單元從該至少一表格所截取之描 述符，該方法包含下列步驟： 173 1312253 年月日修正替換頁 在由該記憶體管理單元使用該存取控制資訊為該 記憶體存取請求執行該預定的存取控制功能之前，從該 主要TLB轉換存取控制資訊至該micro-TLB ;以及 當該處理器係操作於該至少一非安全性模式時，使 用該特別分割檢測邏輯以防止任何存取控制資訊從該 主要TLB轉換至該micro-TLB，該存取控制資訊係可 允許存取該安全性記憶體。
4 3 .如申請專利範圍第4 0項所述之方法，當在一非安全性 表格中之描述符係相關於至少部分採納部分安全性記 憶體之一記憶體區域時，該至少一表格包含該非安全性 表格用於當該處理器係操作於該至少一非安全性模式 時以及包含由該非安全性作業系統所產生之描述符，該 方法包含下列步驟：
當該處理器係操作於非安全性模式，使用該特別分 割檢測邏輯以防止該内部儲存單元儲存由該描述符所 指定之該實體位址部分為存取控制資訊，如果之後將為 該虛擬位址產生之該實體位址係在該安全性記憶體中。 44.如申請專利範圍第42項所述之方法，當在一非安全性 表格中之描述符係相關於至少部分採納部分安全性記 憶體之一記憶體區域時，該至少一表格包含該非安全性 表格用於在該處理器操作於該至少一非安全性模式 174 1312253 I8.月1·日
時，以及包含由該非安全性作業系統所產生之描述符， 該方法包含下列步驟： 當該處理器係操作於非安全性模式，該特別分割檢 測邏輯可操作以防止該内部儲存單元儲存由該描述符 所指定之該實體位址部分為存取控制資訊，如果之後將 為該虛擬位址產生之該實體位址係在該安全性記憶體 中；以及
其中該至少一表格更包含位在該安全性記憶體中 的一安全性表格，其包含由該安全性作業系統所產生之 描述符，該主要TLB包含一旗標，其相關於儲存在該 主要TLB中的每一描述符，以及該方法包含下列步驟： 當一描述符係儲存於該主要TLB時，設置該相關 旗標以確認是否該描述符係來自該非安全性表格或該 安全性表格。
175 1 5 .如申請專利範圍第4 4項所述之方法，更包含下列步驟： 只要在一安全性模式和一非安全性模式間該處理 器的操作模式改變，則清除該micro-TLB ; 在該安全性模式中，存取控制資訊只從該主要TLB 中的一描述符轉換至該micro-TLB，又該相關旗標所標 示之該主要TLB係來自該安全性表格；以及 在該非安全性模式中存取控制資訊只從該主要 TLB中的一描述符轉換至該micro-TLB，又該相關旗標 1312253 ~谢.~~~ 年月日修.正替換頁 所標示之該主要TLB係來自該非安全性表格。 4 6 .如申請專利範圍第3 4項所述之方法，其中該記憶體包 含至少一表格，其包含一些記憶體區域的每一者的相關 描述符，該方法包含下列步驟：
在一記憶體管理單元中提供一内部儲存單元，用以 儲存導源自該描述符之存取控制資訊以及由該記憶體 管理單元用以執行該記憶體存取請求之該預定的存取 控制功能；以及 當該處理器係操作於該至少一非安全性模式，使用 該特別分割檢測邏輯以防止該内部儲存單元儲存存取 控制資訊，該存取控制資訊允許存取該安全性記憶體； 以及 其中該至少一表格包含至少一分頁表格。
4 7.如申請專利範圍第3 4項所述之方法，其中該特別記憶 體包含連接至該系統匯流排之一緊接記憶體，該方法包 含下列步驟： 在一控制登錄定義該緊接記憶體之該實體位址範 圍；以及 當操作於一權限安全性模式時，由該處理器設定一 控制旗標以指示是否只在一權限安全性模式執行時該 緊接記憶體係可由該處理器控制，或在執行於該至少一 176 1312253 - i年月日修正替換頁 非安全性模式時可由該處理器控制。 4 8.如申請專利範圍第4 7項所述之方法，其中如果執行於 該至少一非安全性模式時該處理器可控制該緊接記憶 體，將防止安全性資料儲存在該緊接記憶體中。
177 1312253 柒、指定代表圖： (一） 、本案指定代表圖為：第47圖。 (二） 、本代表圖之元件代表符號簡單說明： 470 裝置 472 裝置 474 外部記憶體 4 7 6判優器 4 7 8 解碼器 480螢幕 482 登錄或緩衝器 484輸入輸出.界面 捌、本案若有化學式時，請揭示最能顯示發明 特徵的化學式：
TW92132190A 2002-11-18 2003-11-17 Data processing apparatus and method for controlling access to a memory in the same TWI312253B (en)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
GB0226875A GB0226875D0 (en) 2002-11-18 2002-11-18 Control of access to a memory by a device
GB0226879A GB0226879D0 (en) 2002-11-18 2002-11-18 Apparatus and method for controlling access to a memory
GB0303446A GB0303446D0 (en) 2002-11-18 2003-02-14 Apparatus and method for controlling access to a memory

Publications (2)

Publication Number Publication Date
TW200417216A TW200417216A (en) 2004-09-01
TWI312253B true TWI312253B (en) 2009-07-11

Family

ID=35873167

Family Applications (1)

Application Number Title Priority Date Filing Date
TW92132190A TWI312253B (en) 2002-11-18 2003-11-17 Data processing apparatus and method for controlling access to a memory in the same

Country Status (4)

Country Link
IL (1) IL168336A (zh)
MY (1) MY137182A (zh)
RU (1) RU2005115088A (zh)
TW (1) TWI312253B (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TWI479850B (zh) * 2010-11-29 2015-04-01 Alcatel Lucent 單數據機板之改良式多胞元支援方法及系統

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7673345B2 (en) 2005-03-31 2010-03-02 Intel Corporation Providing extended memory protection
GB2442023B (en) * 2006-09-13 2011-03-02 Advanced Risc Mach Ltd Memory access security management
US9021590B2 (en) * 2007-02-28 2015-04-28 Microsoft Technology Licensing, Llc Spyware detection mechanism
EP2801025B1 (en) * 2012-01-04 2018-10-24 Intel Corporation Increasing virtual-memory efficiencies
US9141559B2 (en) 2012-01-04 2015-09-22 Intel Corporation Increasing virtual-memory efficiencies

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TWI479850B (zh) * 2010-11-29 2015-04-01 Alcatel Lucent 單數據機板之改良式多胞元支援方法及系統

Also Published As

Publication number Publication date
MY137182A (en) 2009-01-30
TW200417216A (en) 2004-09-01
IL168336A (en) 2010-04-29
RU2005115088A (ru) 2006-01-20

Similar Documents

Publication Publication Date Title
JP4302641B2 (ja) デバイスによるメモリへのアクセスの制御
JP4447471B2 (ja) 安全処理システムにおける例外タイプ
JP4220476B2 (ja) 安全ドメインおよび非安全ドメインを有するシステム内での仮想−物理メモリアドレスマッピング
JP4423206B2 (ja) 安全モードと非安全モードとを切り換えるプロセッサ
JP4302493B2 (ja) データ処理装置内のメモリへアクセスするための技術
JP4302492B2 (ja) メモリへのアクセスを管理するための装置および方法
US7171539B2 (en) Apparatus and method for controlling access to a memory
JP4302494B2 (ja) データ処理装置内のメモリへアクセスするための技術
US7117284B2 (en) Vectored interrupt control within a system having a secure domain and a non-secure domain
JP4424973B2 (ja) マルチドメインプロセッサのためのモニタ制御
JP4423012B2 (ja) マルチドメインプロセッサのための診断データ捕捉制御
JP4299107B2 (ja) サスペンドされたオペレーティングシステムへデータ処理リクエストを送る方法
WO2004046925A1 (en) Security mode switching via an exception vector
JP2004171568A (ja) 多数のオペレーティングシステムを使用するデータ処理システムにおける多数の割り込みの取り扱い
TWI312253B (en) Data processing apparatus and method for controlling access to a memory in the same
JP4299108B2 (ja) 多数のオペレーティングシステムの間のタスクの追従
TWI292099B (en) Apparatus, method and computer program product for processing data within a secure processing system
TW200417215A (en) Security mode switching via an exception vector

Legal Events

Date Code Title Description
MK4A Expiration of patent term of an invention patent