[發明專利]保護數據處理設備中的系統控制寄存器

有效

• 申請號: 200710141020.0
• 申請日: 2007-08-16
• 公開（公告）號: CN101162492A
• 公開（公告）日: 2008-04-16
• 發明（設計）人: D·克肖;R·R·格里森思懷特
• 申請（專利權）人: ARM有限公司
• 主分類號: G06F21/22
• 分類號: G06F21/22;G06F12/14
• 代理公司: 中國專利代理(香港)有限公司
• 代理人: 程天正;張志醒

技術領域

本發明涉及用于保護數據處理設備中的系統控制寄存器的技術。

背景技術

在具有用于執行軟件例程的處理邏輯的數據處理設備中，已知提供多個系統控制寄存器來存儲多個系統資源的訪問控制信息，當執行那些軟件例程的至少一些時，所述系統資源對于該處理邏輯是可用的。訪問控制信息可以采用多種形式。例如，對于發布指定虛擬地址的存儲器訪問請求的處理器核心形式的處理邏輯，連同與這樣的訪問請求相關的使用的各個存儲器區域屬性和/或訪問許可一起，各個系統控制寄存器可以提供指向存儲器中用于標識要被用來將虛擬地址轉換為物理地址的映射的頁面表的指針。相似地，對于直接采用物理地址的處理單元，當訪問特定存儲器區域時讓這樣的系統控制寄存器直接指定所要使用的存儲器屬性和/或訪問許可是已知的。

除存儲關于存儲器的訪問控制信息之外，還已知讓這樣的系統控制寄存器提供其它系統資源的訪問控制信息，例如通過包含到異常向量表的指針來提供，所述異常向量表用于標識在該系統內發生特定類型的異常時所要執行的軟件例程。

典型地，所述系統控制寄存器被配置成僅由在相關聯的處理邏輯上所執行的信任(trusted)軟件來更新，例如在預先確定的特權操作模式中運行的操作系統軟件來更新。在另一個示例中，所述信任軟件可以是在數據處理設備所提供的特定域內執行的軟件。例如，為了設法緩解對操作系統安全性的依賴，已知提供一種在其中給數據處理設備提供分離域的系統，這些域提供了在硬件層面處理安全性的機制。例如，這樣的系統在共同受讓的同時未決的美國專利申請NO.10/714561中有所描述，所述申請的內容結合于此作為參考，該申請描述了一種具有安全域和非安全域的系統。在該系統中，所述非安全域和安全域有效地建立了分離的空間，其中所述安全域提供信任執行空間，由硬件強制邊界將所述信任執行空間與其它執行空間相分離，同樣地，所述非安全域提供非信任執行空間。在這樣的系統中，用于更新系統控制寄存器的信任軟件可以是在安全域中預先確定的操作模式下執行的軟件。

出于進一步增加系統控制寄存器內容的安全性的目標，已知提供了一種預先確定的系統控制寄存器列表，一旦它們被最初寫入，則強制它們僅為只讀。典型地，該機制能夠通過發布禁止信號來調用，當所述禁止信號設定時使得系統控制寄存器的固定的預先確定列表成為只讀的。

然而，通過強制將系統控制寄存器的預先確定的固定列表變為只讀，這在數據處理設備的各種使用模型上施加了明顯的限制。因此，希望提供一種保護系統控制寄存器的更加靈活的途徑。

發明內容

從第一方面可以看出，本發明提供一種數據處理設備，包括：處理邏輯，用于執行包括系統控制寄存器設置例程的軟件例程；多個系統控制寄存器，用于存儲當所述處理邏輯執行所述軟件例程的至少一個子集時可用的多個系統資源的訪問控制信息；至少一個寫入控制寄存器，所述寫入控制寄存器包含一個或多個字段，每個字段與一個或多個所述系統控制寄存器相關聯；和禁止控制邏輯，用于生成禁止信號，當所述禁止信號清除(clear)時，所述系統控制寄存器設置例程可操作來在所述系統控制寄存器中寫入訪問控制信息，和對于所述一個或多個字段的每一個在該字段中選擇性地提供寫入限制數據；當所述禁止控制邏輯設定所述禁止信號時，至少一個寫入控制寄存器僅能夠被所述子集中的任意軟件例程所讀取，并且對于其中具有寫入限制數據的每個字段，由寫入限制數據所指示的那些相關聯的一個或多個系統控制寄存器也僅能夠被所述子集中的任意軟件例程所讀取。

依照本發明，所述數據處理設備提供至少一個寫入控制寄存器，所述寫入控制寄存器包含一個或多個字段，其中每個字段與一個或多個所述系統控制寄存器相關聯。典型地，每個字段和相關聯的一個或多個系統控制寄存器之間的映射將是預先確定的，但是在可替換的實施例中，這樣的映射可以是由信任軟件編程的。當禁止信號清除時，可以將訪問控制信息寫入所述系統控制寄存器，除此之外，寫入限制數據能夠被選擇性地提供于至少一個寫入控制寄存器的每個字段中。之后，當所述禁止信號被設定時，所述至少一個寫入控制寄存器成為只讀的，由此其中的字段不能被篡改。對于其中提供了寫入限制數據的每個字段，由所述寫入限制數據所指示的那些相關聯的一個或多個系統控制寄存器也是只讀的，由此它們的內容也不能被篡改。