特表2022-523109セキュア及びノンセキュア・ストレージのためのルックアップ回路
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公表特許公報(A)
(11)【公表番号】
(43)【公表日】2022-04-21
(54)【発明の名称】セキュア及びノンセキュア・ストレージのためのルックアップ回路
(51)【国際特許分類】
G06F 21/78 20130101AFI20220414BHJP
G06F 12/1009 20160101ALI20220414BHJP
【ＦＩ】
G06F21/78
G06F12/1009 100
【審査請求】未請求
【予備審査請求】未請求
(21)【出願番号】P 2021544603
(86)(22)【出願日】2020-01-29
(85)【翻訳文提出日】2021-09-21
(86)【国際出願番号】 GB2020050206
(87)【国際公開番号】W WO2020157496
(87)【国際公開日】2020-08-06
(31)【優先権主張番号】1901436.4
(32)【優先日】2019-02-01
(33)【優先権主張国・地域又は機関】GB
(81)【指定国・地域】
(71)【出願人】
【識別番号】500395107
【氏名又は名称】アーム・リミテッド
(74)【代理人】
【識別番号】110000855
【氏名又は名称】特許業務法人浅村特許事務所
(72)【発明者】
【氏名】クラスク、シモン ジョン
(72)【発明者】
【氏名】イーパン、ジャコブ
【テーマコード（参考）】
5B205
【Ｆターム（参考）】
5B205MM36
5B205MM51
(57)【要約】
【解決手段】 入力ドメイン内の入力アドレスを含む要求を受信する入力回路を含む装置が提供される。出力回路は、出力アドレスを提供する。出力アドレスは、セキュア・ストレージ回路宛てのセキュア物理アドレスと、ノンセキュア・ストレージ回路宛てのノンセキュア物理アドレスとを含む。ルックアップ回路は、入力アドレス及びセキュア物理アドレス間の少なくとも１つのマッピングと、入力アドレス及びノンセキュア物理アドレス間の少なくとも１つのマッピングとを含む複数のマッピングを格納する。
【選択図】図２
【選択図】図２
【特許請求の範囲】
【請求項1】
入力ドメイン内の入力アドレスを含む要求を受信するための入力回路と、出力アドレスを提供するための出力回路であって、前記出力アドレスが、セキュア・ストレージ回路宛てのセキュア物理アドレスと、ノンセキュア・ストレージ回路宛てのノンセキュア物理アドレスとを含む、出力回路と、
前記入力アドレスのそれぞれについて、前記出力アドレスのうちの対応する１つを示す、複数のエントリを格納するためのルックアップ回路であって、前記エントリのうちの少なくとも１つが、前記セキュア物理アドレスのうちの１つに関し、且つ、前記エントリのうちの少なくとも１つが、前記ノンセキュア物理アドレスのうちの１つに関する、ルックアップ回路とを含む、装置。
【請求項2】
前記装置がメモリ保護ユニットである、請求項１に記載の装置。
【請求項3】
前記入力アドレスが中間物理アドレスであり、前記エントリが、前記入力アドレスから前記セキュア物理アドレスへのマッピングと、前記入力アドレスから前記ノンセキュア物理アドレスへのマッピングとを含む、
請求項１又は２に記載の装置。
【請求項4】
前記ルックアップ回路が、前記エントリ内の各エントリについて、前記エントリがセキュア物理アドレスであるか、又は、前記エントリがノンセキュア物理アドレスであるかを示すためのセキュリティ・インジケータを含む、請求項１から３までの何れかに記載の装置。
【請求項5】
前記セキュリティ・インジケータに応じて、前記セキュア・ストレージ回路及び前記ノンセキュア・ストレージ回路へのアクセスを制御するための保護回路を含む、請求項１から４までの何れかに記載の装置。
【請求項6】
前記要求内の各要求が、前記要求内の入力アドレスが前記セキュア物理アドレスのうちの１つに関連付けられるか、又は、前記ノンセキュア物理アドレスのうちの１つに関連付けられるかを示すための、要求タイプ・フィールドを含む、請求項５に記載の装置。
【請求項7】
前記保護回路が、前記セキュリティ・インジケータ及び前記要求タイプ・フィールドに応じて、前記セキュア・ストレージ回路及び前記ノンセキュア・ストレージ回路へのアクセスを制御するよう適合される、請求項６に記載の装置。
【請求項8】
前記要求タイプ・フィールド及び前記セキュリティ・インジケータが一致する場合に、前記保護回路が前記要求の続行を許可する、請求項６又は７に記載の装置。
【請求項9】
前記要求タイプ・フィールドが、前記入力アドレスが前記ノンセキュア・ストレージ回路に関連付けられることを示し、且つ、前記セキュリティ・インジケータが、前記入力アドレスが前記ノンセキュア・ストレージ回路に関連付けられることを示す場合に、前記保護回路が、前記ノンセキュア・ストレージ回路に前記要求を転送する、請求項６から８までの何れか一項に記載の装置。
【請求項10】
前記要求タイプ・フィールドが、前記入力アドレスが前記セキュア・ストレージ回路に関連付けられることを示し、且つ、前記セキュリティ・インジケータが、前記入力アドレスが前記セキュア・ストレージ回路に関連付けられることを示す場合に、前記保護回路が、前記セキュア・ストレージ回路に前記要求を転送する、請求項６から９までの何れか一項に記載の装置。
【請求項11】
前記要求タイプ・フィールドと前記セキュリティ・インジケータとの間に不一致がある場合に、１つ又は複数のエラー動作を実施して前記保護回路の挙動を制御するための、１つ又は複数の設定を格納するためのストレージ回路を含む、請求項６から１０までの何れか一項に記載の装置。
【請求項12】
前記要求タイプ・フィールドが、前記入力アドレスが前記セキュア・ストレージ回路に関連付けられることを示し、且つ、前記セキュリティ・インジケータが、前記入力アドレスが前記ノンセキュア・ストレージ回路に関連付けられることを示す場合に、前記保護回路が前記エラー動作を実施し、前記要求タイプ・フィールドが、前記入力アドレスが前記ノンセキュア・ストレージ回路に関連付けられることを示し、且つ、前記セキュリティ・インジケータが、前記入力アドレスが前記セキュア・ストレージ回路に関連付けられることを示す場合に、前記保護回路が前記エラー動作を実施する、請求項６から１１までの何れか一項に記載の装置。
【請求項13】
前記エラー動作が、前記要求タイプ・フィールド及び前記セキュリティ・インジケータによって示された、前記ストレージ回路のうち最も安全性の低いものに前記要求を転送することを含む、請求項１１又は１２に記載の装置。
【請求項14】
前記エラー動作が、前記要求タイプ・フィールド及び前記セキュリティ・インジケータによって示された、前記ストレージ回路のうち最も安全性の高いものに前記要求を転送することを含む、請求項１１から１３までの何れか一項に記載の装置。
【請求項15】
前記エラー動作が、フォルトを生成することを含む、請求項１１から１４までの何れか一項に記載の装置。
【請求項16】
前記フォルトが、無効ページ・フォルトに一致する、請求項１５に記載の装置。
【請求項17】
前記保護回路がオーバーライドされるべきかを示すオーバーライド・フィールドを含む前記要求を含む、請求項５から１６までの何れか一項に記載の装置。
【請求項18】
前記オーバーライド・フィールドが、前記セキュリティ・インジケータに関係なく、前記要求が前記セキュア・ストレージ回路に転送されるべきか、又は、前記ノンセキュア回路に転送されるべきかを示すよう適合される、請求項１７に記載の装置。
【請求項19】
入力ドメイン内の入力アドレスを含む要求を受信するステップと、出力アドレスを提供するステップであって、前記出力アドレスが、セキュア・ストレージ回路宛てのセキュア物理アドレスと、ノンセキュア・ストレージ回路宛てのノンセキュア物理アドレスとを含む、ステップと、
前記入力アドレスのそれぞれについて、前記出力アドレスのうちの対応する１つを示す、複数のエントリを格納するステップであって、前記エントリのうちの少なくとも１つが、前記セキュア物理アドレスのうちの１つに関し、且つ、前記エントリのうちの少なくとも１つが、前記ノンセキュア物理アドレスのうちの１つに関する、ステップとを含む、方法。
【請求項20】
入力ドメイン内の入力アドレスを含む要求を受信するための手段と、出力アドレスを提供するための手段であって、前記出力アドレスが、セキュア・ストレージ回路宛てのセキュア物理アドレスと、ノンセキュア・ストレージ回路宛てのノンセキュア物理アドレスとを含む、手段と、
前記入力アドレスのそれぞれについて、前記出力アドレスのうちの対応する１つを示す、複数のエントリを格納するための手段であって、前記エントリのうちの少なくとも１つが、前記セキュア物理アドレスのうちの１つに関し、且つ、前記エントリのうちの少なくとも１つが、前記ノンセキュア物理アドレスのうちの１つに関する、手段とを含む、装置。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、データ処理に関する。より詳細には、本開示は、データ・ストレージに関する。
【背景技術】
【0002】
一部のシステム内では、いくつかの異なるモードで、各モードに割り当てられたメモリを用いて動作することが望ましいことがある。例えば、第１の動作モードで実行するソフトウェアは、第１の動作モードに関連付けられたメモリ領域にアクセスを制限され得る。一方で、第２の動作モードで実行するソフトウェアは、第１の動作モードに関連付けられたメモリ領域と第２の動作モードに関連付けられたメモリ領域のどちらにもアクセスすることを許可され得る。第１及び第２の動作モードはそれぞれ、例えば、ノンセキュア動作モード及びセキュア動作モードであってよい。
【発明の概要】
【課題を解決するための手段】
【0003】
少なくとも１つの実施例において、入力ドメイン内の入力アドレスを含む要求を受信するための入力回路と、出力アドレスを提供するための出力回路であって、前記出力アドレスが、セキュア・ストレージ回路宛てのセキュア物理アドレスと、ノンセキュア・ストレージ回路宛てのノンセキュア物理アドレスとを含む、出力回路と、前記入力アドレスのそれぞれについて、前記出力アドレスのうちの対応する１つを示す、複数のエントリを格納するためのルックアップ回路であって、前記エントリのうちの少なくとも１つが、前記セキュア物理アドレスのうちの１つに関し、且つ、前記エントリのうちの少なくとも１つが、前記ノンセキュア物理アドレスのうちの１つに関する、ルックアップ回路とを含む装置がある。
【0004】
少なくとも１つの実施例において、入力ドメイン内の入力アドレスを含む要求を受信するステップと、出力アドレスを提供するステップであって、前記出力アドレスが、セキュア・ストレージ回路宛てのセキュア物理アドレスと、ノンセキュア・ストレージ回路宛てのノンセキュア物理アドレスとを含む、ステップと、前記入力アドレスのそれぞれについて、前記出力アドレスのうちの対応する１つを示す、複数のエントリを格納するステップであって、前記エントリのうちの少なくとも１つが、前記セキュア物理アドレスのうちの１つに関し、且つ、前記エントリのうちの少なくとも１つが、前記ノンセキュア物理アドレスのうちの１つに関する、ステップとを含む方法がある。
【0005】
少なくとも１つの実施例において、入力ドメイン内の入力アドレスを含む要求を受信するための手段と、出力アドレスを提供するための手段であって、前記出力アドレスが、セキュア・ストレージ回路宛てのセキュア物理アドレスと、ノンセキュア・ストレージ回路宛てのノンセキュア物理アドレスとを含む、手段と、前記入力アドレスのそれぞれについて、前記出力アドレスのうちの対応する１つを示す、複数のエントリを格納するための手段であって、前記エントリのうちの少なくとも１つが、前記セキュア物理アドレスのうちの１つに関し、且つ、前記エントリのうちの少なくとも１つが、前記ノンセキュア物理アドレスのうちの１つに関する、手段とを含む装置がある。
【0006】
一例としてのみ、以下の添付図面に示す実施例を参照して、本技術をさらに説明する。
【図面の簡単な説明】
【0007】
【発明を実施するための形態】
【0008】
添付図面を参照して実施例を論じる前に、実施例及びこれに関する利点の説明を以下に記載する。
【0009】
少なくともいくつかの実施例は、入力ドメイン内の入力アドレスを含む要求を受信するための入力回路と、出力アドレスを提供するための出力回路であって、前記出力アドレスが、セキュア・ストレージ回路宛てのセキュア物理アドレスと、ノンセキュア・ストレージ回路宛てのノンセキュア物理アドレスとを含む、出力回路と、前記入力アドレスのそれぞれについて、前記出力アドレスのうちの対応する１つを示す、複数のエントリを格納するためのルックアップ回路であって、前記エントリのうちの少なくとも１つが、前記セキュア物理アドレスのうちの１つに関し、且つ、前記エントリのうちの少なくとも１つが、前記ノンセキュア物理アドレスのうちの１つに関する、ルックアップ回路とを含む装置を提供する。
【0010】
上記の実施例では、装置が、ストレージ回路にアクセスするためのアクセス要求（例えば、読み取り又は書き込み）を受信する。ストレージ回路は、セキュア動作モードで実行するソフトウェアのデータを格納するセキュア・ストレージ回路と、ノンセキュア動作モードで実行するソフトウェアのデータを格納するノンセキュア・ストレージ回路とに分離される。いくつかの実施例において、セキュア動作モードで実行するソフトウェアは、何れのストレージ回路のデータにもアクセスすることができるが、ノンセキュア動作モードで実行するソフトウェアは、セキュア・ストレージ回路のデータにアクセスすることができない（例えば、ノンセキュア・ストレージ回路にはアクセスできるが、セキュア・ストレージ回路にはアクセスできない）。出力アドレスは、物理アドレスであり、それ故、セキュア・ストレージ回路又はノンセキュア・ストレージ回路のどちらかの特定位置のアドレスに一致し、入力アドレスは、入力ドメイン内のアドレスである。入力ドメインは、例えば、アドレスの変更を行う必要がないならば、それ自体が物理アドレスのドメインであってもよい。しかし、こうした状況で入力アドレスと出力アドレスとの間に変更がなくとも、なお、用語「変換」が用いられることに注意されたい。ドメインはまた、物理アドレスが入力アドレスとは異なる、仮想ドメイン（又は、部分的な物理ドメイン）であってもよい。ルックアップ回路は、入力アドレスに対応する出力アドレスを示すために使用することができる。場合によっては、入力アドレスと出力アドレスは同一であってよい。何れにしても、ルックアップ回路はセキュア・アドレス及びノンセキュア・アドレスの両方のエントリを含む。
【0011】
いくつかの実施例において、装置はメモリ保護ユニット（Ｍｅｍｏｒｙ Ｐｒｏｔｅｃｔｉｏｎ Ｕｎｉｔ）である。メモリ保護ユニット（ＭＰＵ：Ｍｅｍｏｒｙ Ｐｒｏｔｅｃｔｉｏｎ Ｕｎｉｔ）は、ストレージ回路に保護機能を提供し、これによって、プロセスがアクセスすることを許可されていないメモリにアクセスすることを回避する。これは、いくつかのメモリ領域を定義することによって実施することができ、そのそれぞれを特定のアクセス属性に関連付けることができ、又、そのそれぞれがセキュア・ストレージ回路又はノンセキュア・ストレージ回路に属するものとして示され得る。これらの実施例の一部では、ＭＰＵによって実施される変換プロセスは、入力アドレスを変更しない（故に、入力アドレスと出力アドレスが同一である）、即ち、アドレスを変更するのではなく、要求を適切なストレージ回路に送信する。
【0012】
いくつかの実施例において、入力アドレスは中間物理アドレスであり、エントリは、入力アドレスからセキュア物理アドレスへのマッピングと、入力アドレスからノンセキュア物理アドレスへのマッピングとを含む。これは、第１段階で、仮想アドレス（ＶＡ：Ｖｉｒｔｕａｌ Ａｄｄｒｅｓｓ）が中間物理アドレス（ＩＰＡ：Ｉｎｔｅｒｍｅｄｉａｔｅ Ｐｈｙｓｉｃａｌ Ａｄｄｒｅｓｓ）に変換され、続いて、第２段階で、装置を使用してＩＰＡを物理アドレス（ＰＡ：Ｐｈｙｓｉｃａｌ Ａｄｄｒｅｓｓ）に変換する、多重変換に使用され得る。重ねて、ＶＡ及びＩＰＡ、若しくはＩＰＡ及びＰＡ、又は、ＶＡ、ＩＰＡ、及びＰＡでさえ、全て同一であってよいことに注意されたい。ＩＰＡの使用が発生し得る１つの状況が、ハイパーバイザが提供される場合である。オペレーティング・システムは、ハイパーバイザによって提供された、システムの抽象化された状態を参照し得るため、オペレーティング・システムは、ハイパーバイザを意識することなく、特定のアドレスが物理アドレスであるものと見なし得る。しかし、実際には、この（中間物理）アドレスを実際の物理アドレスに変換するための第２次変換が必要となり得る。
【0013】
いくつかの実施例において、ルックアップ回路は、エントリ内の各エントリについて、当該エントリがセキュア物理アドレスであるか、又は、当該エントリがノンセキュア物理アドレスであるかを示すためのセキュリティ・インジケータを含む。セキュリティ・インジケータは、例えば、当該エントリがノンセキュア・アドレス又はセキュア・アドレスに関するかどうかを示す、ルックアップ回路内の単一ビットの形態を取ることができる。
【0014】
いくつかの実施例において、装置は、セキュリティ・インジケータに応じて、セキュア・ストレージ回路及びノンセキュア・ストレージ回路へのアクセスを制御するための保護回路を含む。このインジケータに基づいて、ルックアップ回路が、データをどこから取得するべきかを判定することが可能である。特に、アドレスがセキュア物理アドレスであることをエントリが示せば、データはセキュア・ストレージ回路から取得するべきであるが、アドレスがノンセキュア物理アドレスであれば、データはノンセキュア・ストレージ回路から取得するべきである。
【0015】
いくつかの実施例において、要求内の各要求は、当該要求内の入力アドレスがセキュア物理アドレスのうちの１つに関連付けられているか、又は、ノンセキュア物理アドレスのうちの１つに関連付けられているかを示すための要求タイプ・フィールドを含む。従って、要求タイプ・フィールドは、要求の発行側（例えば、オペレーティング・システム）が、要求がセキュア・ストレージ内のアドレスに関すると認識しているか、又は、ノンセキュア・ストレージ内のアドレスに関すると認識しているかを示す。
【0016】
いくつかの実施例において、保護回路は、セキュリティ・インジケータ及び要求タイプ・フィールドに応じて、セキュア・ストレージ回路及びノンセキュア・ストレージ回路へのアクセスを制御するよう適合される。セキュリティ・インジケータ及び要求タイプ・フィールドは、互いに異なっていてよい。例えば、実際にはセキュア・ストレージにデータが格納されていても、要求タイプ・フィールドは、要求がノンセキュア・ストレージについて作成されていることを示すことがある。データは、例えば、プロセス間の通信を可能にするために、「想定外の」位置に格納されることがある。このため、ドメイン間の通信はセキュリティを目的として禁止されることがあることから、どちらのプロセスも同一のドメイン内（例えば、セキュア又はノンセキュア）で動作することになる。
【0017】
いくつかの実施例において、要求タイプ・フィールド及びセキュリティ・インジケータが一致する場合、保護回路は要求が続行することを許可する。これらの実施例では、セキュリティ・インジケータ及び要求タイプ・フィールドによって提供される指示が、どちらも同一のドメインが使用されることを示す（例えば、これらが合致する）場合に、要求は続行することを許可される。要求タイプ・フィールドによって示されるドメインがセキュリティ・インジケータのものと合致し、よって、データが想定されたドメイン内に格納されるため、さらなる動作を実施する必要はない。
【0018】
例えば、いくつかの実施例において、要求タイプ・フィールドが、入力アドレスがノンセキュア・ストレージ回路に関連付けられていることを示し、セキュリティ・インジケータが、入力アドレスがノンセキュア・ストレージ回路に関連付けられていることを示す場合、保護回路は、ノンセキュア・ストレージ回路に要求を転送する。同様に、要求タイプ・フィールドが、入力アドレスがセキュア・ストレージ回路に関連付けられていることを示し、セキュリティ・インジケータが、入力アドレスがセキュア・ストレージ回路に関連付けられていることを示す、いくつかの実施例では、保護回路はセキュア・ストレージ回路に要求を転送する。
【0019】
いくつかの実施例において、装置は、要求タイプ・フィールドとセキュリティ・インジケータとの間に不一致がある場合に、１つ又は複数のエラー動作を実施して、保護回路の挙動を制御するための、１つ又は複数の設定を格納するためのストレージ回路を含む。ストレージ回路は、例えば、不一致の発生時に特定の動作を行うか否かを示す、フロップの形態を取ることができる。フロップは、例えば、代わりに他の動作が実施されるべきか、又は、複数の動作のうち何れが実行されるべきかを示す他のビットと併せて、レジスタの単一ビットを格納することができる。
【0020】
いくつかの実施例において、要求タイプ・フィールドが、入力アドレスがセキュア・ストレージ回路に関連付けられていることを示し、セキュリティ・インジケータが、入力アドレスがノンセキュア・ストレージ回路に関連付けられていることを示す場合、保護回路は、エラー動作を実施し、又、要求タイプ・フィールドが、入力アドレスがノンセキュア・ストレージ回路に関連付けられていることを示し、セキュリティ・インジケータが、入力アドレスがセキュア・ストレージ回路に関連付けられていることを示す場合、保護回路は、エラー動作を実施する。従って、セキュリティ・インジケータと要求タイプ・フィールドとの不一致に応答して、エラー動作が実施される。
【0021】
様々なエラー動作が可能であり、そのそれぞれが、単体で、又は、任意に組み合わせて使用されることができる。
【0022】
いくつかの実施例において、エラー動作は、要求タイプ・フィールド及びセキュリティ・インジケータによって示された、ストレージ回路のうち最も安全性の低いものに要求を転送することを含む。これは、例えば、ストレージ回路のうち最小権限を有するもの、及び／又は、それに関連する最低保護であってよい。ストレージ回路が「セキュア」及び「ノンセキュア」のドメインを定義する場合においては、これはノンセキュア・ドメインとなる。ストレージ回路のうち最も安全性の低いものに要求を送信することによって、セキュリティを侵害される可能性が低くなる。
【0023】
或いは、いくつかの実施例において、エラー動作は、要求タイプ・フィールド及びセキュリティ・インジケータによって示された、ストレージ回路のうち最も安全性の高いものに要求を転送することを含む。
【0024】
いくつかの実施例において、エラー動作は、フォルトを生成することを含む。例えば、いくつかの実施例において、フォルトは、無効ページ・フォルトに一致する。このように、フォルトに応答して、オペレーティング・システム又はハイパーバイザなどが無効なアクセス要求を発行したソフトウェアの実行を中断又は終了することによって、メモリ・アクセスのエラーを処理するための既存技術を採用することができる。オペレーティング・システム又はハイパーバイザはまた、要求を発行したソフトウェアの特性又は権限に応じて、異なる挙動を実施することができる。
【0025】
いくつかの実施例において、要求は、保護回路がオーバーライドされるべきかを示すためのオーバーライド・フィールドを含む。
【0026】
いくつかの実施例において、オーバーライド・フィールドは、セキュリティ・インジケータに関係なく、要求がセキュア・ストレージ回路に転送されるべきか、又は、ノンセキュア回路に転送されるべきかを示すよう適合される。このようにして、保護回路の典型的な挙動に関わらず、要求が続行し、且つ／又は、特定のストレージ回路に送信されることを、根底にある保護機構に関係なく可能にすることができる。
【0027】
いくつかの特定の実施例を、図面を用いて以下に説明する。
【0028】
図１は、ソフトウェアが、いくつかの異なる権限モード及び実行レベルで実行されるシステム１００を示す。特に、システム１００はセキュア・ドメイン（Ｓ）及びノンセキュア・ドメイン（ＮＳ）を含む。セキュア・ドメイン内で動作するアプリケーションは、セキュア・ドメイン及びノンセキュア・ドメインに確保されたデータにアクセスすることができる。しかし、ノンセキュア・ドメイン内で実行するソフトウェアは、ノンセキュア・ドメインに確保されたメモリにのみアクセスすることができ、セキュア・ドメインに確保されたメモリにはアクセスすることができない。装置は、それ故、何れの時点においても、セキュア・ドメイン内のソフトウェアがアクティブなセキュア動作モードで実行するか、又は、ノンセキュア・ドメイン内のソフトウェアがアクティブなノンセキュア動作モードで実行することができる。
【0029】
これらの実行モードとは別に、いくつかの、即ち、実行モードのそれぞれに対して１つの、異なる実行レベルがある。最も低いアプリケーション・レベル１０５、１１０、オペレーティング・システム・レベル１１５、１２０、及び、ハイパーバイザ・レベル１２５、１３０がある。この上には、セキュア・ドメイン及びノンセキュア・ドメインの両方にまたがるセキュア・モニタ・レベル１３５がある。
【0030】
アプリケーションは、最小権限レベル１０５、１１０で実行し、オペレーティング・システムによって管理される。オペレーティング・システムは、オペレーティング・システム・レベル１１５、１２０で実行し、代わってハイパーバイザによって管理される。ハイパーバイザは、ハイパーバイザ・レベル１２５、１３０で実行し、代わって、セキュア動作モードとノンセキュア動作モードとの切り替えを担うセキュア・モニタによって管理される。
【0031】
実行モード間の切り分けにより、ノンセキュア・ドメイン１２０内で動作するオペレーティング・システムは、ノンセキュア・ドメイン１１０内で動作するアプリケーションのみを管理することができ、セキュア・ドメイン１０５内で動作するアプリケーションを管理することはできない。
【0032】
システム１００は、いくつかの異なるオペレーティング・システムを使用することができる。これらは、代わって、ハイパーバイザによって管理されることができる。重ねて、ハイパーバイザは、セキュア・ドメイン１１５内のオペレーティング・システムを管理するセキュア・ドメイン１２５に対して提供され、且つ、ノンセキュア・ドメイン１２０内のオペレーティング・システムを管理するノンセキュア・ドメイン１３０に対して提供される。最高実行レベルで動作するセキュア・モニタ１３５が提供される。
【0033】
アプリケーションのうちの１つを実行中に、仮想アドレス（ＶＡ）にアクセス要求が発行されることがある。仮想アドレスは、関連するオペレーティング・システムによって第１段階変換回路１４０に対して発行され、第１段階変換回路１４０は、変換索引バッファ（ＴＬＢ：Ｔｒａｎｓｌａｔｉｏｎ Ｌｏｏｋａｓｉｄｅ Ｂｕｆｆｅｒ）、又はＥＬ０で管理されるメモリ保護ユニット（ＭＰＵ）の形態を取ることができる。ＴＬＢは、仮想アドレス（ＶＡ）から、物理アドレス（ＰＡ）又は中間物理アドレス（ＩＰＡ）の何れかへの第１段階変換を提供する。中間物理アドレスは、いくつかの異なるオペレーティング・システムの実行を可能とするために、適切なハイパーバイザ１２５、１３０が、オペレーティング・システムにシステムの抽象化された状態を参照させる結果として使用され得る。
【0034】
続いて、アドレス変換の第２段階が、第２段階変換回路１４５によって実施される。これが、入力に基づいてＰＡを作成する。これは、例えば、ＩＰＡからのさらなる変換を伴うことがあり、このような変換は、例えばＴＬＢによって提供され得る。或いは、入力及び出力はどちらもＰＡであってよく、メモリ保護動作は、適切なメモリ領域へのアクセスを制御するために実施されてもよい。このようなサービスは、メモリ保護ユニット（ＭＰＵ）の形態を取ることになる。何れの場合でも、第２段階回路１４５は１つのみ提供される。その結果、第２段階回路１４５によって出力されるＰＡは、セキュア・ドメイン・アプリケーション１０５、オペレーティング・システム１１５、ハイパーバイザ１２５に対して提供されるセキュア・メモリ１５５と、ノンセキュア・ドメイン・アプリケーション１１０、オペレーティング・システム１２０、及びハイパーバイザ１３０に対して提供されるノンセキュア・メモリ１５５とのどちらにも関する可能性がある。
【0035】
第１段階変換回路１４０によって出力されるアドレスは、中間物理アドレス又は物理アドレスであってよい。特に、第２段階の変換プロセスが実行されたとしても、この第２段階の変換がアドレスの変更又は変換を伴う必要はない。即ち、アドレスの変換は実施されなくてもよいか、又は、変換は全て、物理アドレスを出力する第１段階変換回路１４０によって実施される。続いて、例えば、ＭＰＵ １４５によって、当該物理アドレスへのアクセスが許可されているか否かを判定するなどのさらなる動作が、当該物理アドレスに対して実施され得る。他の実施例では、第１段階変換回路１４０によって出力される中間物理アドレスは、物理アドレスを取得するために、さらに変換されなければならない。
【0036】
上述したように、本明細書では、両方の段階でＭＰＵが使用される場合であっても、用語「変換」が使用される。熟練者は、本文脈における「変換」が、アドレスが変換されることを要するものでないことを理解するであろう。例えば、このような「変換」プロセスは、チェック、属性割り当て、及び、入力アドレスと同一となる出力アドレスを計算する変換回路（例えば、ＭＰＵの形態にある）を用いた新アドレスの計算を実施することを含み得る。従って、第１段階後に、又は第２段階後にアドレスの変更が発生し得るが、何れの時点においても、アドレスの変更が発生する必要性はない。このような挙動は、例えば、関連するページ・テーブルのエントリが、関連するＶＡと同一の値を有するＩＰＡを含む場合（第１段階変換の場合）に、全てのアドレス変換を実施するＭＭＵに一致する。
【0037】
図２は、メモリ保護ユニット（ＭＰＵ）の形態にある第２段階回路１４５の実例を示す。ＭＰＵ １４５は、ある位置及びメモリにアクセスするための要求を受信する入力回路２００を含む。入力回路２００に提供されるアドレスは、前述したＩＰＡ又はＰＡであってよい。図２に示す実施例はＭＰＵであるため、入力回路２００に提供されるアドレスはＰＡである。入力回路２００によって受信されるアクセス要求はまた、アクセス要求がセキュア（０）であるか、又はノンセキュア（１）であるかを示すためのフラグ（ＮＳ）を含む。さらに、アクセス要求が特定のストレージ回路に強制変更されるかどうかを示すオーバーライド（ＳＡ、ＮＳＡ）が提供される。この場合は、ＳＡ（セキュアをノンセキュアに強制変更）及びＮＳＡ（ノンセキュアをセキュアに強制変更）のどちらもゼロであるため、値はオーバーライドが提供されていないことを示す。
【0038】
アクセス要求は、セキュア回路１５０及びノンセキュア回路１５５へのアクセスを制御するために、保護回路２０５に渡される。本制御は、特定の領域に対するパラメータと共に識別された、いくつかのメモリ領域を含むストレージ回路２２０に基づいて実施される。さらに、保護回路はまた、保護回路２０５の挙動を制御する構成レジスタ２１０を参照する。構成レジスタ２１０の実例は、図３に示す。本実例において、提供される入力アドレス（０ｘＦ４３３Ｃ１ＡＤＥ）は、基準アドレス０ｘＦ４３３Ｃ１ＡＢＢを有し、３８４バイトのサイズを有する領域内に位置する。ＭＰＵは、２の累乗でないサイズの領域を定義することができ、それによって、定義される領域のサイズについて柔軟性を供与することに注意されたい。結果として、アクセス要求は当該領域でヒットする。図２に示すように、当該領域を定義するストレージ回路２２０は、０ｘＦ４Ａのようなパラメータをリスト化する。これらのパラメータの詳細は、本開示とは関係しない。しかしながら、このようなパラメータは、例えば、異なるプロセスが問題のメモリ領域を読み取ることができるか、又はこれに書き込むことができるかを制限することによって、メモリ領域へのアクセスをさらに制御するために使用され得る。何れにしても、メモリ領域がセキュア・ストレージ回路１５０に関連付けられるか、又は、ノンセキュア・ストレージ回路１５５に関連付けられるかを示すためのセキュリティ・インジケータとして、フラグ「ＮＳ」が提供される。この場合、ヒットしたストレージ回路２２０の領域の値は、フラグ「ＮＳ」の値として「１」を有する。その結果、メモリ領域は、ノンセキュア・ストレージ回路１５５に関連付けられる。保護回路は、セキュリティ・インジケータが要求タイプ・フィールド「ＮＳ」に合致することを認識し、それ故、要求は続行を許可される。従って、この場合に入力アドレスに合致する出力アドレスは、出力回路２３０によってノンセキュア・ストレージ回路１５５へ出力される。構成レジスタ２１０、要求タイプ・フィールド「ＮＳ」、オーバーライド・フィールド「ＳＡ」並びに「ＮＳＡ」、及び、セキュリティ・インジケータ「ＮＳ」に関する保護回路の挙動は、図４を用いてより詳細に示す。
【0039】
従って、第２段階回路１４５が、セキュア・ストレージ回路１５０及びノンセキュア・ストレージ回路１５５の両方へのアクセスを提供する単一のストレージ回路２２０を提供することが可能であることが理解されるであろう。従って、セキュア・ストレージ回路１５０及びノンセキュア回路１５５の両方へのアクセスを制御するために提供される必要があるＭＰＵ １４５は１つのみである。
【0040】
図３は、保護回路２０５の挙動を制御するために使用され得る構成レジスタ２１０内に格納されることができる、可能な設定のいくつかの実例を示す。特に、構成レジスタ２１０は、要求タイプ・フィールド「ＮＳ」とセキュリティ・インジケータ「ＮＳ」との間に不一致がある場合に発生するエラー動作の数を制御するために使用されることができる。本実例では、エラー動作は、フォルトを発生させるべきか、発生させるべきフォルトのタイプ、及び、不一致の発生時に要求がどのように送信されるべきかを示す。「発生フォルト」のエラー動作には、可能値が２つある。フォルトが発生したか、していないか、の何れかである。従って、これは単一ビットで表されることができる。「フォルト・タイプ」は、フォルトの発生時に発生させるべきフォルトのタイプを示す。本実例では、これは、前述のシステムが、要求されたページが有効でないことを示すために使用するｉｎｖａｌｉｄ＿ｐａｇｅフォルト、又は、要求タイプ・フィールドとセキュリティ・インジケータとの不一致を示すために使用される「ｓｅｃｕｒｉｔｙ＿ｍｉｓｍａｔｃｈ」フォルトを含み得る。重ねて、この構成値は２通りのみであるため、単一ビットを用いて表すことができる。「発生フォルト」構成値によって定義されたフォルトが発生しない場合においては、「フォルト・タイプ」構成値が無視されることは明らかである。「宛先」エラー動作は、要求が送信されるべき宛先を示す。本明細書では、３つの値が許可されている。宛先が「無し（ｎｏｎｅ）」であると示されていれば、要求は転送されない。宛先が「最低（ｌｅａｓｔ）」であると示されていれば、要求は、ストレージ回路のうち最も安全性の低いもの、本実例では、ノンセキュア・ストレージ回路１５５に転送される。或いは、宛先が最も安全性の高いもの（ｔｈｅ ｍｏｓｔ ｓｅｃｕｒｅ）であると示されていれば、要求は、ストレージ回路のうち最も安全性の高いもの、この場合は、セキュア・ストレージ回路１５０に送信される。これらの３つの値は、２ビットで表すことができる。従って、フォルトを発生させるべきか、発生させるべきフォルトのタイプ、及び、不一致の発生時に要求に対して何をするべきか、を示すために、合計で４ビットが使用され得る。その他の可能なエラー動作は、熟練者にとって明らかであろう。
【0041】
図４は、ストレージ回路２２０内でヒットするメモリ領域がアクセスされるべきかどうかを判定する際に保護回路２０５によって実施され得る判定（ｄｅｃｉｓｉｏｎ）プロセスを表すフローチャート４００を示す。ステップ４０５において、アクセス要求が受信される。アクセス要求は、アドレス（ＩＮＰＵＴ．ＡＤＤＲ）と、アクセス要求がセキュア（０）であるか、ノンセキュア（１）であるかの指標（ＩＮＰＵＴ．ＮＳ）とを含む。続いて、ステップ４１０において、メモリ領域がセキュアであるか、即ち、ＲＥＧＩＯＮ［ＩＮＰＵＴ．ＡＤＤＲ］．ＮＳが１であるか、を判定する。１でなければ、ステップ４１５において、アクセス要求がセキュアであるかを判定する。アクセス要求がセキュアであれば、ステップ４５０において、メモリ領域がセキュアであり、且つアクセス要求がセキュアであると判定されたことになる。続いて、ステップ４５０において、要求がノンセキュアに強制変更されるべきか（即ち、ＳＡフラグが１であるか）を判定する。強制変更されるべきでなければ、ステップ４５５において、要求はセキュア（ＯＵＴＰＵＴ．ＮＳ＝０）であるとして続行する。強制変更されるべきであれば、ステップ４４５において、要求はノンセキュア（ＯＵＴＰＵＴ．ＮＳ＝１）であるとして続行する。ステップ４１５に戻り、アクセス要求がセキュアでなければ、ステップ４２５において、メモリ領域はセキュアであるが、アクセス要求はノンセキュアであると判定されたことになる。そして、ステップ４２５において、ＮＳＣＨＥＣＫが設定されるかを判定する。これによって、メモリ領域のセキュリティと要求のセキュリティとの不一致が発生した場合（ステップ４２５の場合）のフォルトが発生する。そのため、ＮＳＣＨＥＣＫが設定されていれば、ステップ４３５において、フォルトが生成される。フォルトのタイプは、図３に示した構成値「フォルト・タイプ」によって指定することができる。そうでない場合は、ステップ４４０において、トランザクションは最も安全性が低いモード（即ち、ノンセキュア）を規定値に設定する。しかし、ステップ４４０では、これがオーバーライド又は強制変更されることが可能である。特に、ステップ４４０では、ノンセキュア・トランザクションをセキュア・トランザクションに強制変更するよう、ＮＳＡが設定されているかどうかを判定する。設定されていなければ、ステップ４４５において、トランザクションはノンセキュア（ＯＵＴＰＵＴ．ＮＳ＝１）であるとして出力される。設定されていれば、ステップ４４５において、トランザクションは、前述したようにセキュアであるとして出力される。
【0042】
ステップ４１０に戻り、メモリ領域がノンセキュアであれば、ステップ４２０において、アクセス要求がノンセキュアであるか（即ち、ＩＮＰＵＴ．ＮＳが１であるか）を判定する。ノンセキュアであれば、メモリ領域とトランザクション・タイプとが合致し（どちらもノンセキュア）、プロセスは、前述したようにオーバーライドを検討するステップ４４０に進む。そうでない場合は、プロセスはステップ４３０に進み、これはアクセスされるメモリ領域とトランザクション・タイプとの不一致を表す。ステップ４３０は、そのため、ＮＳＣＨＥＣＫが有効であるかを判定する。有効であれば、ステップ４３５において、前述したようにフォルトが生成される。有効でなければ、トランザクションは最もセキュリティ・レベルが低いもの（即ち、ノンセキュア）として進行し、ステップ４４０は、前述したように、トランザクションがセキュアとなるよう強制変更されるべきか（即ち、ＮＳＡが０であるか）を判定する。
【0043】
従って、保護回路２０５が、ストレージ回路２２０内の何れのメモリ領域がヒットしたか、当該領域に関するセキュリティ・インジケータ（ＲＥＧＩＯＮ［ＩＮＰＵＴ．ＡＤＤＲ］．ＮＳ）、入力アドレスが、セキュア物理アドレスに関連付けられるか、又はノンセキュア物理アドレスに関連付けられるかを示す要求タイプ・フィールド（ＩＮＰＵＴ．ＮＳ）、オーバーライド・フラグ「ＳＡ」及び「ＮＳＡ」、並びに、要求タイプ・フィールドとセキュリティ・インジケータとの不一致の発生時に何が発生するかを示す構成領域２１０（ＮＳＣＨＥＣＫ）に応じて、ストレージ回路１５０、１５５の何れにアクセスするかを判定する方法が実証される。
【0044】
この特定の実例において、「宛先」構成値は、「最低」に設定される。その結果、ステップ４２５及び４３０においてメモリ領域タイプと要求タイプとの不一致がある場合、フォルトが生成されなければ、トランザクションはノンセキュアであることを規定値に設定する。しかし、他の実施例では、トランザクションはセキュアであることを規定値に設定する（例外がスローされなければ、プロセスをステップ４２５及び４３０からステップ４５０に進行させる）か、又は、ステップ４２５及び４３０の判定（ｄｅｃｉｓｉｏｎ）を完全に排除し、ステップ４１５及び４２０において不一致が発生した場合に、トランザクションを破棄して、ステップ４３５において常にフォルトを生成することができることが理解されるであろう。
【0045】
図５は、いくつかの実施例による方法を示す。本方法は、フローチャート５００の形態で示される。ステップ５１０において、入力アドレスに対して、対応する出力アドレスを示すエントリがストレージ回路に格納される。これは、入力アドレス及び出力アドレス間の変換として提供されるか、又は、入力アドレスと出力アドレスが同一であってよい（例えば、ＭＰＵの場合）。エントリのうち少なくとも１つは、セキュア・ストレージ回路内のセキュア物理アドレスに一致し、少なくとも１つのエントリが、ノンセキュア・ストレージ回路内のノンセキュア物理アドレスに一致する。ステップ５２０において、入力ドメイン内の入力アドレスを含む要求を受信する。入力ドメインは、例えば、装置の特性に応じて、中間物理アドレス・ドメインであるか、又は、物理アドレス・ドメインであってよい。ステップ５３０において、入力アドレスに応じて出力アドレスが提供される。出力アドレスは、セキュア・ストレージ回路宛てのセキュア物理アドレスと、ノンセキュア・ストレージ回路宛てのノンセキュア物理アドレスとを含む。
【0046】
従って、アクセス・プロセスの一部として、セキュア・ストレージ回路及びノンセキュア・ストレージ回路の両方へのアクセスを制御することができる装置を提供する方法が実証される。
【0047】
本願において、用語「～よう構成される」は、装置の構成要素が所定の動作を実施することができる構成を有するという意味で使用される。この文脈において、「構成」は、ハードウェア又はソフトウェアの相互接続の配置又は方法を意味する。例えば、装置は、所定の動作を提供する専用ハードウェアを有するか、又は、プロセッサ若しくは他の処理デバイスがその機能を実施するようプログラムされることができる。「～よう構成される」は、装置の構成要素が、所定の動作を提供するために何らかの方法で変更されなければならないことを含意するものではない。
【0048】
本明細書に、添付図面を参照して具体的な実施例を詳述したが、本発明がこれらの正確な実施例に限定されるものではなく、添付された特許請求の範囲によって定められた本発明の範囲から逸脱することなく、当業者によって様々な変更、追加、修正が成され得ることは理解されるべきである。例えば、独立請求項の特徴と従属請求項の特徴とを、本発明の範囲から逸脱することなく、様々に組み合わせることができる。
【図1】
【図2】
【図3】
【図4】
【図5】
【国際調査報告】