JP5380392B2 - 半導体装置、バスインターフェース装置、およびコンピュータシステム - Google Patents

Description

本発明は外部バスインターフェースにてプロセッサ内部の機密情報を保護することのできるマイクロプロセッサに関する。

特許文献１では、メモリへのデータアクセスを制限するためにメモリインターフェース回路とメモリの間にセキュリティ回路を設け、正しい手順でメモリアクセスが行われているかを監視している。このセキュリティ回路には鍵アドレスが設けてあり、この鍵アドレスに対応する特定の手順でアクセスが発生することで、メモリ空間へアクセス可能な範囲を拡大したり、予測するメモリアクセスからは使用しないメモリ空間を保護しデータ転送が実行されないようにすることが可能であった。また、メモリ保護機能が解除されていないアドレスに対してのアクセスが発生した場合、読み出されたデータの保障は行われないという提案であった。

特開２００１−３０６４００号公報

従来は外部メモリ空間のみの保護機能であり、プロセッサ内部メモリのデータに関しては保障されない。また、プロセッサ内部のメモリ空間全てにこの機能を搭載したとすると冗長論理が増大し、プロセッサの肥大化を招いてしまう。

また、メモリ空間に対するアドレスの発行順序によって、メモリ保護の合否をハードウェアで行うため、汎用性に乏しい。

また、保護機能を持たないプロセッサでは、外部バスからプロセッサ内部のレジスタやローカルメモリの読み出しや改変が可能であったため、暗号鍵などの機密データが閲覧されたり、開発したソフトウェアがコピーされてしまう可能性があった。

本発明はこのような問題を鑑みてなされたものであり、プロセッサが外部デバイスと通信する汎用バスを用いた不正アクセス防止を目的とする。

この発明に係るプロセッサは、ＰＣＩバスなどのプロセッサ外部の汎用バスとプロセッサの内部バスの間でデータ転送を制御するアクセス制御装置と、アクセスできる範囲が格納されているＴＬＢと、ＴＬＢの内容を更新するＴＬＢ制御回路を具備する。

プロセッサ内部からのアクセスによってのみＴＬＢを更新するＴＬＢ制御回路によってＴＬＢの内容を更新し、その更新した内容はＰＣＩバスなどのプロセッサ外部の汎用バスからのアクセスによって、アクセス制御回路から参照される。

アクセス制御回路からのリクエストによりＴＬＢはアクセス可能領域であるかどうかをアクセス制御回路へ返答し、その結果によって、内部バスへリクエストを出すか、破棄するかを決定し、プロセッサ内部の機密情報を保護する。

本発明を適用することで、プロセッサ内部の機密情報や、プロセッサに接続するローカルメモリやフラッシュメモリなど外部メモリの内容を保護し、外部からの不正読み出しを防止することが可能となる。

本発明を搭載したメディアプロセッサをＰＣＩバスへ接続した構成図である。 本発明を搭載したメディアプロセッサを汎用バスへ接続した構成図である。 本発明を搭載したＤＳＰを汎用バスへ接続した構成図である。 外部バスと内部バスをＴＬＢを用いて接続する構成図である。 外部バスと内部バスをアクセス制御ビット群を用いて接続する構成図である。 アクセス制御のフローチャート図である。 ＴＬＢ内部の構成図である。 ＴＬＢにアドレス変換機能を持ったＴＬＢ内部の構成図である。 メモリやレジスタマップへの割り当てを示す図である。 ＢＡＲを用いたアクセス制御の構成図である。 ＢＡＲを用いたアクセス制御の構成図である。 本発明を搭載したメディアプロセッサをＳＴＢに用いた構成図である。

本発明の実施例について図面を参照して説明する。図１に本発明を適用したコンピュータシステムの構成例を示す。なお簡略化のため、本発明の適用と直接関係のない部分は省略する。

メインＣＰＵ１と高速バスインターフェースを持つノースブリッジ３へプロセッサバス２を用いて接続する。ノースブリッジ３は主記憶装置５とメモリバス４で接続し、また低速バスインターフェースを持つサウスブリッジ７とブリッジ間接続バス６を用いて接続する。

サウスブリッジ７からＰＣＩバス８へ接続され、ＰＣＩバス８上にメディアプロセッサ１００ａ、１００ｂを２個接続している。各々のメディアプロセッサ１００ａ、１００ｂはそれぞれローカルメモリ２０１ａ、２０１ｂへローカルメモリバス２００ａ、２００ｂを用いて接続する。また、フラッシュメモリ２０３ａ、２０３ｂへフラッシュメモリバス２０２ａ、２０２ｂを用いて接続する。尚、本実施例のメディアプロセッサ及びそれに相当する部分は１チップで構成されるが、複数チップにて実現することも可能である。

メディアプロセッサ１００ａ内部は内部バス１０９を用いて、演算を行うプロセッサコア１０１、ＰＣＩバス８と接続するためのＰＣＩバスインターフェース１０２、プロセッサコア１０１の演算補助を行うコプロセッサ１０３、ローカルメモリへのアクセスを制御するメモリインターフェース１０４、I/Oインターフェースを制御するＩ／Ｏインターフェース１０５、暗号処理を行う暗号処理演算回路１０８が接続されている。暗号処理としては、Multi2/DES等がある。また、コプロセッサ１０３にコプロセッサ用メモリバス１０７を用いてコプロセッサ用メモリ１０６へ接続されている。

さらに、ＰＣＩバスインターフェース１０２は動作設定を行うためのＰＣＩバスインターフェースＰＩＯレジスタ１１６を、プロセッサコア１０１はプロセッサコアＰＩＯレジスタ１１７を、コプロセッサ１０３はコプロセッサＰＩＯレジスタ１１８を、メモリインターフェース１０４はメモリインターフェースＰＩＯレジスタ１１９を、Ｉ／Ｏインターフェース１０５はＩ／ＯインターフェースＰＩＯレジスタ１２０を、暗号処理演算回路１０８は暗号処理演算回路ＰＩＯレジスタ１２１を、それぞれ持っている。

メディアプロセッサ１００ａのブート時、Ｉ／Ｏインターフェース１０５がフラッシュメモリ２０３ａからプログラムをロードし、内部バス１０９を通してプロセッサコア１０１がそのプログラムを実行することで、まずＰＣＩバスインターフェース１０２内のＴＬＢ制御回路１１２へＴＬＢ書き換えリクエストを発生する。そのリクエストに応じてＴＬＢ制御回路１１２はＴＬＢ更新信号１１５をＴＬＢ１１１へ出すことでＴＬＢ１１１内部を変更し、起動時アクセス可能であったプロセッサ内部と、メディアプロセッサ１００ａの持つローカルメモリ２０１ａとフラッシュメモリ２０３ａの全領域のうち、ある特定の領域のみをアクセスできるようにする。

メインＣＰＵ１からメディアプロセッサ１００ａへのリードアクセスが発生した場合には、そのリクエスト信号はノースブリッジ３、サウスブリッジ７へと送られ、ＰＣＩバス８を通してメディアプロセッサ１００ａ内部のＰＣＩバスインターフェース１０２が受ける。リクエスト信号を受けたアクセス制御回路１１０は、リードするアドレスがアクセス可能であるかどうかをＴＬＢ１１１へＴＬＢ判定信号１１３を通して問い合わせる。その信号を受け取ったＴＬＢ１１１は設定されているアドレスと比較し、その合否をＴＬＢ合否信号１１４を通してアクセス制御回路へ返答する。返答がアクセス可能であることを示していた場合、内部バス１０９へリクエストを出し、目的のデータを引き出し、ＰＣＩバス８を通してサウスブリッジ７、ノースブリッジ３を経由しメインＣＰＵへとデータを返す。しかし、アクセスできない領域へのリードリクエストであった場合にはアクセス制御回路１１０は不定のデータをメインＣＰＵ１へ返す。

また、ライトリクエストがメインＣＰＵ１からメディアプロセッサ１００ａへ出された場合、リードリクエストと同じ経路でＰＣＩバスインターフェース１０２へと送られる。ライトリクエストを受け取ったアクセス制御回路１１０は、ライトするアドレスがアクセス可能であるかどうかをＴＬＢ１１１へＴＬＢ判定信号１１３を通して問い合わせる。その信号を受け取ったＴＬＢ１１１は内部のアドレスと比較し、その合否をＴＬＢ合否信号１１４を通してアクセス制御回路へ返答する。返答がアクセス可能であることを示していた場合であり、内部バス１０９へリクエストを出し、書き換えを行う。しかし、アクセスできない領域へのライトリクエストであった場合にはアクセス制御回路１１０はその要求を破棄する。

さらに、他のＰＣＩデバイスであるメディアプロセッサ１００ｂからのリードリクエストやライトリクエストも、メインＣＰＵ１からのアクセスと同様に判定が行われアクセス制限が行われる。

特に、ＴＬＢ１１１の変更はプロセッサコア１０１からのみ変更可能であり、メインＣＰＵ１や他のＰＣＩデバイスからの変更は一切行うことができない。

図２は汎用バスインターフェース１２３を持つメディアプロセッサ１２６の構成図である。汎用バスインターフェースとはアドレスバスとデータバス、リクエストなどの制御信号を持つバスである。リードリクエストとアドレスを発行することでデータバスに、要求したアドレスのデータを得ることができ、また、ライトリクエストとアドレスを発行し、データバスに書き込むデータを送信することで、変更するアドレスのデータを書き換えることができる。

メディアプロセッサ１２６は内部バス１０９を持ち、その内部バス１０９にプロセッサコア１０１、コプロセッサ１０３、メモリインターフェース１０４、Ｉ／Ｏインターフェース１０５、暗号処理演算回路１０８、汎用バスインターフェース１２３が接続されている。コプロセッサ１０３はコプロセッサ用メモリバス１０７を用いてコプロセッサ用メモリ１０６へ接続、メモリインターフェース１０４はローカルメモリバス２００を用いてローカルメモリ２０１へ接続、Ｉ／Ｏインターフェース１０５はフラッシュメモリバス２０２を用いてフラッシュメモリ２０３へ接続している。

さらに、汎用バスインターフェース１２３は動作設定を行うための汎用バスインターフェースＰＩＯレジスタ１１６を、プロセッサコア１０１はプロセッサコアＰＩＯレジスタ１１７を、コプロセッサ１０３はコプロセッサＰＩＯレジスタ１１８を、メモリインターフェース１０４はメモリインターフェースＰＩＯレジスタ１１９を、Ｉ／Ｏインターフェース１０５はＩ／ＯインターフェースＰＩＯレジスタ１２０を、暗号処理演算回路１０８は暗号処理演算回路ＰＩＯレジスタ１２１を、それぞれ持っている。

メディアプロセッサ１２６がブートすることで、フラッシュメモリ２０３からＩ／Ｏインターフェース１０５がブートプログラムを内部バス１０９を通してプロセッサコア１０１へ送る。そのプログラムによってプロセッサコア１０１より内部バス１０９を用いてＴＬＢ制御回路１１２へＴＬＢ書き換えリクエストを発生し、汎用バスインターフェース１２３内のＴＬＢ１１１を更新する。その更新によって、起動時アクセス可能であったプロセッサ内部と、メディアプロセッサ１０２の持つローカルメモリ２０１とフラッシュメモリ２０３の全領域のうち、ある特定の領域のみをアクセスできるようにする。

汎用バス１２２を用いてメディアプロセッサ１２６と通信を行う汎用プロセッサ１２５は汎用プロセッサ用フラッシュメモリ１２７を汎用プロセッサ用フラッシュメモリバス１２８を用いて接続されており、また汎用プロセッサ用ローカルメモリ１２９と汎用プロセッサ用ローカルメモリバス１３０を用いて接続している構成である。この汎用プロセッサ１２５からメディアプロセッサ１２６へのリードリクエストによりアクセス制御回路１２４が、リードするアドレスがアクセス可能であるかどうかをＴＬＢ１１１へＴＬＢ判定信号１１３を通して問い合わせる。その信号を受け取ったＴＬＢ１１１は設定されているアドレスと比較し、その合否をＴＬＢ合否信号１１４を通してアクセス制御回路へ返答する。返答がアクセス可能であることを示していた場合、内部バス１０９へリクエストを出し、目的のデータを引き出し、汎用バス１２２を通して汎用プロセッサ１２５へ返答する。

また、ライトリクエストが汎用プロセッサ１２５からメディアプロセッサ１２６へ出された場合、リードリクエストと同様にアクセス可能領域であるかどうかを判定する。判定の結果、アクセス可能である場合には内部バス１０９を通して目的のアドレスを書き換えるが、アクセス禁止領域の場合にはライトデータは書き込まれず破棄される。

特に、ＴＬＢ１１１の変更はプロセッサコア１０１からのみ変更可能であり、汎用プロセッサ１２５からの変更は一切行うことができない。

演算専用のデジタルシグナルプロセッサ（以下ＤＳＰ）１３１に本発明を採用した実施例を図３に示す。

ＤＳＰ１３１は、内部バス１０９を持ち、その内部バス１０９に演算を行うプロセッサコア１０１、メモリインターフェース１０４、Ｉ／Ｏインターフェース１０５、汎用バスインターフェース１２３が接続されている。メモリインターフェース１０４はローカルメモリバス２００を用いてローカルメモリ２０１へ接続、Ｉ／Ｏインターフェース１０５はフラッシュメモリバス２０２を用いてフラッシュメモリ２０３へ接続している。

汎用バスインターフェース１２３は動作設定を行うための汎用バスインターフェースＰＩＯレジスタ１１６を、プロセッサコア１０１はプロセッサコアＰＩＯレジスタ１１７を、メモリインターフェース１０４はメモリインターフェースＰＩＯレジスタ１１９を、Ｉ／Ｏインターフェース１０５はＩ／ＯインターフェースＰＩＯレジスタ１２０を、それぞれ持っている。

汎用バスインターフェース１２２にはホストＣＰＵとなる汎用プロセッサ１２５が接続されており、その汎用プロセッサ１２５には汎用プロセッサ用フラッシュメモリ１２７が汎用プロセッサ用フラッシュメモリ１２８を用いて接続され、また汎用プロセッサ用ローカルメモリ１２９が汎用プロセッサ用ローカルメモリバス１３０を用いて接続されている。この汎用プロセッサ１２５から、通常全てのＤＳＰ１３１内部へアクセスすることが可能であり、このとき、ＤＳＰ１３１は汎用プロセッサフラッシュメモリからプログラムをロードしてブートし、ＤＳＰ１３１の初期設定もあわせて行う。初期設定が完了し、ＤＳＰ１３１は内部バス１０９から、Ｉ／Ｏインターフェース１０５を通してフラッシュメモリ２０３から汎用バスインターフェース１２３内のＴＬＢ１１１の設定を行う。プロセッサコア１０１からのＴＬＢ書き換えリクエストを受けたＴＬＢ制御回路１１２はＴＬＢ更新信号１１５をＴＬＢ１１１へ出すことでＴＬＢ１１１内部を変更し、起動時にアクセス可能であったＤＳＰ内部と、ＤＳＰ１３１の持つローカルメモリ２０１とフラッシュメモリ２０３の全領域のうち、ある特定の領域のみをアクセスできるようにする。

この汎用プロセッサ１２５からＤＳＰ１３１へのリードリクエストによりアクセス制御回路１２４が、リードするアドレスがアクセス可能であるかどうかをＴＬＢ１１１へＴＬＢ判定信号１１３を通して問い合わせる。その信号を受け取ったＴＬＢ１１１は設定されているアドレスと比較し、その合否をＴＬＢ合否信号１１４を通してアクセス制御回路へ返答する。返答がアクセス可能であることを示していた場合、内部バス１０９へリクエストを出し、目的のデータを引き出し、汎用バス１２２を通して汎用プロセッサ１２５へ返答する。

また、ライトリクエストが汎用プロセッサ１２５からＤＳＰ１３１へ出された場合、リードリクエストと同様にアクセス可能領域であるかどうかを判定する。判定の結果、アクセス可能である場合には内部バス１０９を通して目的のアドレスを書き換えるが、アクセス禁止領域の場合にはライトデータは書き込まれず破棄される。

図４は外部バス１４０と内部バス１４１を接続するためのバスインターフェース回路に本発明を適応した構成図を示したものである。

アクセス制御回路１２４は外部バス１４０と内部バス１４１へ接続されており、双方のバス間のデータ転送を行う。アクセス制御回路１２４からアクセス可能であるかどうかを調査するために照会アドレス１４２を用いてＴＬＢ１１１へ接続する。それを受けたＴＬＢ１１１はアクセス可能であるかどうかの合否判定を行い、その結果であるＴＬＢ合否信号１４３と、ＴＬＢ１１１を用いてアドレス変換を行った結果のアドレス１４４をアクセス制御回路１２４へ送る。その結果を用いてアクセス制御回路は内部バス１４１へのリクエストを出力する。また、内部バス１４１を通してのみＴＬＢ１１１は書き換え可能であるため、内部バス１４１からのＴＬＢ更新要求をＴＬＢ制御回路１４７が受け、ＴＬＢ更新信号１４５とＴＬＢ１１１内のどのエントリを変更するかを通知するアドレスをエントリアドレス１４６を通して、ＴＬＢ１１１へ送る。送られてきたアドレスを元にＴＬＢ１１１内部を更新し、アクセスの制限を行うことが可能となる。

ここで、ＴＬＢ更新要求はプロセッサコア１０１から発行される。また、上記ＴＬＢ更新要求は、アクセス制御回路にも送信されるが、内部バスのアドレスからアクセス制御回路とＴＬＢ制御回路のどちらかへの要求と判断される。

図５は図４とは別の実現方法で本発明を適応した実施例を示したものである。アクセス制御回路１５０は外部バス１５１と内部バス１５２へ接続されており、双方のバス間のデータ転送を行う。許可ビット制御回路１６１は内部バス１５２に接続されたプロセッサコア等からのリクエストを随時受け付けており、外部バス１５１からのアクセスの制限を変更したい場合に要求が送られる。

まず、外部バス１５１からリード、もしくはライトリクエストにより、アドレスがアクセス制御回路１５０とアクセス判定回路１５３内部のアドレスデコーダ１５４へと送られる。アドレスデコーダ１５４へと送られたアドレスにより領域選択信号１５５をセレクタ１５６へ送る。許可ビット群１６０から許可ビット信号１５８、１５９を通してセレクタ１５６へ常に送られている許可ビット信号の一つを領域選択信号１５５により、その一つを選択しアクセス合否信号１５７を通してアクセス制御回路１５０へ結果を送る。ここで、ビット群は、レジスタ群に格納されたビット情報の意である。その信号を受けたアクセス制御回路１５０は要求のあったアドレスに対して破棄するかを決定し、アクセス可能領域であるならば内部バス１５２へリクエストを発生させる。

また、許可ビット群１６０の書き換えは内部バス１５２より発生した書き換え要求を許可ビット制御回路１６１へ送り、その要求によって変更するビットへ許可ビット変更信号１６２、１６３を通して、許可ビット群１６０を変更する。特に、許可ビット群１６０の変更は内部バス１５２からのみ変更可能であり、外部バス１５１からの変更は一切行うことができない。

図６は、アクセス制御のフローチャートである。まず、メディアプロセッサが起動し（４００）、ＴＬＢの設定４０１を行う。ＴＬＢ初期値４０２からデータを読み出し、ＴＬＢの設定を行うが、この初期設定値はフラッシュメモリ等の不揮発性メモリに収められている。ＴＬＢの設定４０１後に、メディアプロセッサは、プログラムの読み込み４０３において、ＴＬＢ初期値４０２同様にフラッシュメモリに収められたプログラム４０４をメディアプロセッサ自身のローカルメモリへ読み出す。

そのプログラムを実行中に外部からのアクセス４０５が発生したかどうかを判定し、発生していない場合はプログラム実行を継続し、発生した場合はＴＬＢの参照４０６を行う。ＴＬＢの参照４０６の結果、許可領域のアクセス４０７であるかどうかを判別し、許可領域ではなかった場合はそのリクエストを破棄し、プログラムの実行を継続し、外部からのアクセス４０５が発生するまで待機する。許可領域のアクセスであった場合にはデータ転送４０８を行い、リードリクエストであればメモリ４０９からデータを読み出し、ライトリクエストであればメモリ４０９へ書き込みを行う。この時のメモリ４０９はローカルメモリや内部メモリ、内部レジスタが対象となる。

ＴＬＢ内部の構造を図７に示す。まず、ＴＬＢ１１１内部の情報を書き換えるため、ＴＬＢ更新信号１１５を受信する。ＴＬＢ更新信号１１５にはＴＬＢエントリデータ３００とＴＬＢアドレス３０１が含まれる。ＴＬＢアドレス３０１の信号はデコーダ３０２に送信され、デコーダ３０２で書き換えるべきＴＬＢ１１１のエントリが確定する。そのアドレスに対して、ＴＬＢエントリデータ３００が書き込まれ、ＴＬＢ１１１の内容である有効ビット３０３、仮想ページ番号３０４、アクセスサイズ３０５が更新される。

更新されたＴＬＢ１１１内の比較器３１０では、外部からのアクセスによるアクセスアドレス３０７とＴＬＢ１１１に格納された内容と比較をする。このとき、有効ビット３０３は有効ビット信号３１１を通して比較器３１０へ送られ、有効なエントリとのみ比較を行う。有効なエントリの仮想ページ番号３０４は、アクセスが許可されるアドレスの先頭番地を示しており、アクセスサイズ３０５を足した値が終了番地を示している。そのため、これらの信号をそれぞれ仮想ページ番号信号３０８とアクセスサイズ信号３０９として比較器３１０へ送り、アクセスアドレス３０７がその範囲内のアクセスであるか否かを判定し、比較結果３１２をエントリ毎に出力する。

エントリ毎に出力された比較結果３１２はＯＲ回路３１３によって論理和をとり、アクセス判定信号３１４を返す。このような回路によってアクセスの許可、不許可を決定する。

さらにアドレス変換機能を持った場合のＴＬＢ内部の構造を図８に示す。ＴＬＢ１１１内部の情報を書き換えるため、ＴＬＢ更新信号１１５があり、その信号はＴＬＢエントリデータ３００とＴＬＢアドレス３０１の信号である。ＴＬＢアドレス３０１の信号をデコーダ３０２によって書き換えるべきＴＬＢ１１１のエントリが確定する。そのアドレスに対して、ＴＬＢエントリデータ３００が書き込まれ、ＴＬＢ１１１の内容である有効ビット３０３、仮想ページ番号３０４、アクセスサイズ３０５、物理ページ番号３１６が更新される。尚、本実施例では、上記パラメータを更新すべきパラメータとして選択したが、常に上記パラメータの更新を要するものではない。

例えば、有効ビットを選択しない場合は、最初はすべて同じデータを物理ページ番号、アクセスサイズに入れておいて、かつ、アクセスサイズは全領域アクセス可能にすることが考えられる。

また、物理ページ番号、アクセスサイズは、始点、終点を示し、どこからどこまでをアクセスできるかを記述しているが、これらのパラメータを選択しない場合は、物理ページ領域を始点として固定領域をアクセス可能にすることも可能である。

更新されたＴＬＢ１１１は外部からのアクセスによるアクセスアドレス３０７が、比較器３１０でＴＬＢ１１１の内容と比較をする。このとき、有効ビット３０３を有効ビット信号３１１を通して比較器３１０へ送り、有効なエントリとのみ比較を行う。有効なエントリの仮想ページ番号３０４は、アクセスが許可されるアドレスの先頭番地を示しており、アクセスサイズ３０５を足した値が終了番地を示している。そのため、これらの信号をそれぞれ仮想ページ番号信号３０８とアクセスサイズ信号３０９として、比較器３１０へ送り、比較器３１０ではアクセスアドレス３０７がその範囲内をアクセスしているかを判定し、比較結果３１２を各エントリ毎に出力する。この信号はＯＲ回路３１３と、該当するエントリの物理ページ番号を選択するセレクタ３１８へ送られる。ＯＲ回路３１３へ送られた比較結果３１２は論理和をとり、アクセス判定信号３１４を返す。また、セレクタ３１８では、ｎ個ある物理ページ番号（ＰＰＮ）３１６のうちの一つを選択し、変換後アドレス３１９を出力する。この変換は、外部バスからのアクセスが発生した場合、外部バス上のアドレスで行われる。そのアドレスはＴＬＢ１１１を搭載するプロセッサ内部のアドレスとは違うため、アドレスの変換を行う必要がある。このアドレス変換でのボトルネックを解消するために物理ページ番号への変換機能を持たせ、プロセッサ内部をアクセスできるアドレスへ高速に変換することが可能である。

ＴＬＢ１１１にアクセス可能領域、不可領域を設定した場合を図９に示す。ＴＬＢ１１１内のエントリＡ３３０によってローカルメモリ３３４を参照可能領域に設定している。また、エントリＢ３３１によってローカルメモリ３３６を参照可能領域に設定している。ローカルメモリ３３５とローカルメモリ３３７はＴＬＢ１１１によって参照可能領域に設定されていないため、外部からのアクセスは遮断される領域となる。

また、エントリＣ３３２によってコプロセッサ用メモリ３３８の領域を参照することが可能である。しかし、コプロセッサ用メモリ３３９の領域はＴＬＢ１１１によって参照可能領域に設定されていないため、外部からのアクセスは遮断される。同様に、レジスタマップの領域のうち、エントリＤ３３３によってレジスタマップ３４１が参照可能領域となっている。レジスタマップ３４１の前後の空間である、レジスタマップ３４０とレジスタマップ３４２は参照不可領域であり、プロセッサ外部からのアクセスは遮断され、リード、ライトすることができない。

ただし、アクセス不可領域は外部からのアクセスのみ遮断し、プロセッサ内部からは、制限なくアクセスすることができる。

また、図１０にはＰＣＩのベースアドレスレジスタ（以下、ＢＡＲ）を用いてメモリ空間のアクセスできる領域を制限する方法を示す。

まず、ＰＣＩのＢＡＲを用いてメモリ空間のアクセスできる領域を制限する方法の概要を示す。

ＰＣＩデバイスには、そのデバイスが必要とするメモリ空間があり、各デバイスによってそのサイズは様々である。現在のＰＣＩの規格ではＰＣＩは４ＧＢのメモリ空間を持っているが、その空間上に、ＰＣＩデバイスのメモリ空間を割り当てている。例えば、ＰＣＩデバイスＡが0x4000のメモリ空間を持っていたとき、ＰＣＩ空間の0x1000から割り当てると、ＰＣＩバス0x1000〜0x4fffをアクセスすると、ＰＣＩデバイスＡのメモリ空間を操作することが可能となる。ここで、該メモリ空間を設定するときに使用するものがＢＡＲであり、デバイス側が必要に応じて自分自身のＢＡＲのサイズを変更できるようにするものである。具体的には、ＰＣＩデバイスは128MBのメモリを持っていたとき、本来、ＰＣＩ空間には128MB分の空間を割り当てることができる。しかし、故意に64MBしか割り当てないようにする（実現方法は図１０、１１）ことで、ＰＣＩから残りの64MBを見えないようにすることができる。

例えば、ＰＣＩバス上にリクエストが発生したとき、各ＰＣＩデバイスはそのリクエストのアドレスをＢＡＲの内容と比較し、そのアドレスが自分宛と判断したときに返答をする。つまり、ＰＣＩデバイスのＰＣＩインターフェースは設定されたＢＡＲとリクエストアドレスを比較し、自分のメモリ空間へのアクセスかを判定している。しかし、ＢＡＲがあらかじめ64MBしかないと設定されていれば、65MBのアクセスがきたとしても、自分へのアクセスではないと判断する。

次に、ＰＣＩのＢＡＲを用いてメモリ空間のアクセスできる領域を制限する具体的な方法を示す。

プロセッサの外部より入力されるＢＡＲの領域を指定するＢＡＲ設定信号３５０が、電源が投入、もしくはソフトウェアリセットや外部リセットボタンによるリセットが発生した場合等にデータ保持レジスタ３５４によって保持される。リセット信号３５１が論理値１の時にリセット期間であることを表す場合、クロック信号３５３とともにＡＮＤ回路３５２に入力して論理積をとり、リセット信号３５１が論理値１を取ったときにデータ保持レジスタ３５４を更新する。保持データ３５５はデコーダ３５６によってＢＡＲへ送るデータが確定する。

確定した信号は、ＢＡＲ３６３のｎビット目３６４、ｎ＋１ビット目３６５、ｎ＋２ビット目３６６、ｎ＋３ビット目３６７用にそれぞれデコード結果３５８、３５９、３６０、３６１をＡＮＤ回路３６２へ送る。それらの信号とＢＡＲ変更信号３５７と論理積がとられ、その結果がＢＡＲ３６３のｎビット目３６４、ｎ＋１ビット目３６５、ｎ＋２ビット目３６６、ｎ＋３ビット目３６７に反映される。

この図１０の方法の場合、デコーダ３５６からデコード結果３５８、３５９、３６０、３６１へ全て論理値１が出力されていた場合、ＢＡＲ変更信号３５７によってｎビット目３６４を含めた上位のビットは変更することが可能である。この領域は、ＰＣＩ空間へ割り当てられる最小領域であり、メモリ空間は２＾ｎを持つこととなる。このようにして、ＰＣＩ空間へ最大２＾（ｎ＋３）の領域を割り当てることが可能である。このような設定ができるプロセッサにおいて２＾（ｎ＋３）のローカルメモリを持っていたとして、ＢＡＲへ２＾ｎを設定できるようにする。この場合、番地０〜（２＾ｎ−１）まではＰＣＩ空間から参照可能であるが、番地（２＾ｎ）〜（２＾（ｎ＋３）−１）まではＰＣＩ空間に割り当てられないため、外部のデバイスからは不可視となり、アクセスすることはできない。このような方法を用いてアクセスを抑制することができる。

図１０のデータ保持レジスタ３５４をプロセッサ内部から変更する場合を図１１に示す。セレクタ３６９を用いて選択信号３７０によって、データ保持レジスタ３５４かプロセッサ内部からのＢＡＲ領域を指定するＢＡＲ設定信号３６８を選択する。選択したデータを再度データ保持レジスタ３５４を更新する。保持データ３５５はデコーダ３５６によってＢＡＲへ送るデータが確定する。確定した信号は、ＢＡＲ３６３のｎビット目３６４、ｎ＋１ビット目３６５、ｎ＋２ビット目３６６、ｎ＋３ビット目３６７用にそれぞれデコード結果３５８、３５９、３６０、３６１をＡＮＤ回路３６２へ送る。それらの信号とＢＡＲ変更信号３５７と論理積がとられ、その結果がＢＡＲ３６３のｎビット目３６４、ｎ＋１ビット目３６５、ｎ＋２ビット目３６６、ｎ＋３ビット目３６７に反映される。

つまり、ベース・アドレス・レジスタのある特定のビットを論理値０固定する機能を有するＰＣＩバスインターフェースにおいて、ある特定のベース・アドレス・レジスタのビットを論理値０固定にすることで、ＰＣＩデバイスが持つローカルメモリよりも小さいメモリ空間を、ＰＣＩバス上のメモリ空間へ割り当て、ローカルメモリを持つＰＣＩデバイス自身は全空間にアクセスすることが可能であるが、それ以外のＰＣＩデバイスはＰＣＩバス上のメモリ空間へ割り当てた小さいメモリ空間にのみアクセスできる。

このような方法によってもＢＡＲを変更することが可能であり、アクセス不可領域を指定することが可能である。

本発明を採用したメディアプロセッサを搭載したセット・トップ・ボックス（以下、ＳＴＢ）を図１２に示す。

ＳＴＢ３８０は、メディアプロセッサ１００と、ローカルメモリバス２００を用いてローカルメモリ２０１、フラッシュメモリバス２０２を用いてフラッシュメモリ２０３、汎用バス３８１を用いてサービスポート３８２が接続、搭載されている。また、本システムはＳＴＢであるため、映像信号の入出力を行うビデオ入出力３８６、音声信号の入出力を行うオーディオ入出力３８７、映像信号の解読などに使用する暗号鍵を保持する暗号記憶カードインターフェース信号３８８、外部の記憶装置と高速にデータ通信を行うための高速デジタルバス３８９、ＢＳデジタルチューナから映像信号を受けるトランスポート・ストリーム・インターフェース信号３９０を持つ。

また、サービスポート３８２は故障診断時に保守端末３９１を接続するためのものであり、サービスポート３８２と汎用インターフェース信号３８３を用いて接続する。汎用インターフェース信号３８３は保守用プロセッサ３９２と接続されており、保守プロセッサ自身もローカルメモリバス３９３を用いてローカルメモリ３９４が接続されている。

保守端末３９１が接続された場合には、ＳＴＢ内部のメモリがリード、ライトできる状態ではなく、ローカルメモリ上のアクセス可能領域３８５のみ、読み書き可能である。ローカルメモリ上のアクセス不可領域３８４はＳＴＢ３８０に搭載されているメディアプロセッサ１００からのみアクセス可能であり、保守を行う場合はアクセス可能領域３８５を用いてメディアプロセッサ１００と通信を行うこととなる。

このため、保守端末以外がサービスポート３８２へ接続され、メディアプロセッサ１００内の重要なデータである、暗号解読に使用する暗号鍵や、メディアプロセッサ１００を動作させるソフトウェアを保護することが可能である。

また、外部からの不正なアクセスにより、メディアプロセッサ内部の機密事項である暗号鍵やソフトウェアが格納されているメモリへのアクセスを遮断することができ、そのアクセス範囲はアプリケーションによって自由に変更可能である。尚、本実施例でアクセス制限がかかるのは物理的な領域であるが、論理的な領域について制限をかけてもよい。

本発明は、上述の実施の形態に限定されるものではなく、適用分野に関わらず、要旨を逸脱しない範囲で変更し実施し得ることは述べるまでもない。

１…メインＣＰＵ、３…ノースブリッジ、５…主記憶装置、７…サウスブリッジ、１００…メディアプロセッサ、１０１…プロセッサコア、１０２…ＰＣＩバスインターフェース、１１０…アクセス制御回路、１１１…ＴＬＢ、１１２…ＴＬＢ制御回路、１２５…汎用プロセッサ、１３１…デジタルシグナルプロセッサ、２０１…ローカルメモリ、２０３…フラッシュメモリ、３０３…有効ビット、３０４…仮想ページ番号、３０５…アクセスサイズ、３１６…物理ページ番号

Claims (14)

1. 演算を行うプロセッサコアと、外部バスと接続するための外部バスインターフェースと、ローカルメモリへのアクセスを制御するメモリインターフェースと、前記プロセッサコアと前記外部バスインターフェースと前記メモリインターフェースとを接続する内部バスとを有する半導体装置であって、
   前記外部バスインターフェースは、前記外部バスからのリクエストを受けるアクセス制御回路と、前記アクセス制御回路に接続され前記外部バスアクセスの可否を判定するＴＬＢと、前記プロセッサコアからの要求により前記ＴＬＢを書き換えるＴＬＢ制御回路を有し、
   前記外部バスからのリクエストを受けたアクセス制御回路は、該リクエストのアドレスが、前記ＴＬＢ内に設定されたアクセス許可範囲内のアドレスか否か問い合わせるＴＬＢ判定信号を前記ＴＬＢへ送信し、
   前記ＴＬＢは、前記リクエストのアドレスが、前記ＴＬＢ内に設定されたアクセス許可範囲内のアドレスか否かを検索し、アクセス可否を示すＴＬＢ合否信号を前記アクセス制御回路へ返答し、
   前記アクセス制御回路は、前記ＴＬＢ合否信号がアクセス可であることを示している場合、前記内部バスへアクセスを許可し、前記ＴＬＢ合否信号がアクセス否であることを示している場合、前記リクエストを破棄し、
   さらに、前記ＴＬＢは、前記内部バスからのみ設定可能であり、前記外部バスからのアクセスが行われた際に前記内部バスのアドレスに変換する機能を有し、
   前記プロセッサコアは、前記ＴＬＢの設定を更新する要求であるＴＬＢ更新要求を前記内部バスへ発行し、
   前記ＴＬＢ制御回路は、前記プロセッサコアから発行された前記ＴＬＢ更新要求を前記内部バスから受信し、受信した前記ＴＬＢ更新要求に基づいてＴＬＢ更新信号と前記ＴＬＢ内のどのエントリを変更するかを通知するためのエントリアドレスとを前記ＴＬＢへ送信し、
   前記ＴＬＢは、前記ＴＬＢ制御回路から送信されてきた前記ＴＬＢ更新信号と前記エントリアドレスとに基づいて前記ＴＬＢ内部を更新し、
   前記ＴＬＢ更新要求は前記アクセス制御回路と前記ＴＬＢ制御回路とに共通に送信され、前記ＴＬＢ更新要求が前記アクセス制御回路と前記ＴＬＢ制御回路とのどちらへの要求かが前記内部バスのアドレスから判断される
   ことを特徴とする半導体装置。
2. 請求項１記載の半導体装置であって、
   前記ＴＬＢ制御回路は、前記プロセッサコアが出力するＴＬＢ更新要求に基づき、前記アクセス許可範囲を変更可能である
   ことを特徴とする半導体装置。
3. 請求項１記載の半導体装置であって、
   前記外部バスは、ＰＣＩバスである
   ことを特徴とする半導体装置。
4. 請求項１記載の半導体装置であって、
   前記外部バスは、汎用バスである
   ことを特徴とする半導体装置。
5. 請求項１記載の半導体装置であって、
   前記内部バスに接続され、暗号処理を行う暗号演算回路をさらに有し、
   前記アクセス制御回路は、当該暗号演算回路の秘密鍵や暗号処理方法を決定するレジスタへのアクセスを制限する
   ことを特徴とする半導体装置。
6. 請求項１記載の半導体装置であって、
   前記アクセス制御回路は、前記ＴＬＢ合否信号がアクセス可であることを示している場合、前記内部バス、前記メモリインターフェースを介して前記ローカルメモリへのアクセスを許可する
   ことを特徴とする半導体装置。
7. 外部バスに接続された半導体装置におけるバスインターフェース装置であって、
   前記半導体装置内の内部バスに接続され、前記半導体装置内には演算を行うプロセッサコアを有し、
   前記外部バスからのリクエストを受けるアクセス制御回路と、前記アクセス制御回路に接続され前記外部バスアクセスの可否を判定するＴＬＢと、前記プロセッサコアからの要求により前記ＴＬＢを書き換えるＴＬＢ制御回路を有し、
   前記外部バスからのリクエストを受けたアクセス制御回路は、該リクエストのアドレスが、前記ＴＬＢ内に設定されたアクセス許可範囲内のアドレスか否か問い合わせるＴＬＢ判定信号を前記ＴＬＢへ送信し、
   前記ＴＬＢは、前記リクエストのアドレスが、前記ＴＬＢ内に設定されたアクセス許可範囲内のアドレスか否かを検索し、アクセス可否を示すＴＬＢ合否信号を前記アクセス制御回路へ返答し、
   前記アクセス制御回路は、前記ＴＬＢ合否信号がアクセス可であることを示している場合、前記内部バスへアクセスを許可し、前記ＴＬＢ合否信号がアクセス否であることを示している場合、前記リクエストを破棄し、
   さらに、前記ＴＬＢは、前記内部バスからのみ設定可能であり、前記外部バスからのアクセスが行われた際に前記内部バスのアドレスに変換する機能を有し、
   前記プロセッサコアは、前記ＴＬＢの設定を更新する要求であるＴＬＢ更新要求を前記内部バスへ発行し、
   前記ＴＬＢ制御回路は、前記プロセッサコアから発行された前記ＴＬＢ更新要求を前記内部バスから受信し、受信した前記ＴＬＢ更新要求に基づいてＴＬＢ更新信号と前記ＴＬＢ内のどのエントリを変更するかを通知するためのエントリアドレスとを前記ＴＬＢへ送信し、
   前記ＴＬＢは、前記ＴＬＢ制御回路から送信されてきた前記ＴＬＢ更新信号と前記エントリアドレスとに基づいて前記ＴＬＢ内部を更新し、
   前記ＴＬＢ更新要求は前記アクセス制御回路と前記ＴＬＢ制御回路とに共通に送信され、前記ＴＬＢ更新要求が前記アクセス制御回路と前記ＴＬＢ制御回路とのどちらへの要求かが前記内部バスのアドレスから判断される
   ことを特徴とするバスインターフェース装置。
8. 請求項７記載のバスインターフェース装置であって、
   前記外部バスからアクセスされたアドレスを前記内部バスで用いるためのアドレスに変換するデコーダを有し、
   前記アクセス制御回路は、前記デコーダで変換されたアドレスを用いて前記内部バスへリクエストを送信する
   ことを特徴とするバスインターフェース装置。
9. 請求項８記載のバスインターフェース装置であって、
   前記半導体装置内部の所定のアドレス空間がアクセス可能であるかを示す許可ビット群を格納したレジスタと、前記外部バスからのアクセスが示すアドレスが当該半導体装置内部のアクセス可能な領域のアドレスか否かを判定するアクセス判定回路を有し、
   前記アクセス判定回路は、前記デコーダと当該デコーダに接続されたセレクタを備え、
   前記デコーダで変換されたアドレスから領域選択信号を生成し、前記許可ビット群のレジスタから出力される許可ビット信号と、前記領域選択信号を比較し、
   前記領域選択信号と、前記許可ビット信号とが一致した場合は、アクセスが可であることを示すアクセス合否信号を出力し、
   前記領域選択信号と、前記許可ビット信号とが一致しない場合は、アクセスが否であることを示すアクセス合否信号を出力する
   ことを特徴とするバスインターフェース装置。
10. 請求項９記載のバスインターフェース装置であって、
    前記許可ビット群に格納されたデータの更新を行う許可ビット制御回路をさらに有し、
    前記許可ビット制御回路は、前記内部バスを介して送信される書き換え要求信号に基づき、前記許可ビット群に格納されたデータを変更可能である
    ことを特徴とするバスインターフェース装置。
11. 記憶装置が接続された第１の半導体装置、第２の半導体装置、前記第１の半導体装置と前記第２の半導体装置を接続する外部バスとを有するコンピュータシステムであって、
    前記第１の半導体装置は、
    演算を行うプロセッサコアと、前記外部バスに接続されるための外部バスインターフェースと、前記記憶装置へのアクセスを制御するメモリインターフェースと、前記プロセッサコアと前記外部バスインターフェースと前記メモリインターフェースとを接続する内部バスとを有し、
    前記第２の半導体装置から前記記憶装置へのアクセスがあった場合、
    前記第１の半導体装置は、該アクセスのアドレスが、当該第１の半導体装置内のＴＬＢに予め設定されたアクセス許可範囲内のアドレスか否かを判断し、
    前記アクセスのアドレスが、前記アクセス許可範囲内のアドレスに含まれる場合、前記内部バスを介して前記記憶装置へのアクセスを許可し、
    前記アクセスのアドレスが、前記アクセス許可範囲内のアドレスに含まれない場合、前記アクセスを破棄し前記記憶装置へのアクセスを許可せず、
    さらに、前記ＴＬＢは、前記内部バスからのみ設定可能であり、前記外部バスからのアクセスが行われた際に前記内部バスのアドレスに変換する機能を有し、
    前記プロセッサコアは、前記ＴＬＢの設定を更新する要求であるＴＬＢ更新要求を前記内部バスへ発行し、
    ＴＬＢ制御回路は、前記プロセッサコアから発行された前記ＴＬＢ更新要求を前記内部バスから受信し、受信した前記ＴＬＢ更新要求に基づいてＴＬＢ更新信号と前記ＴＬＢ内のどのエントリを変更するかを通知するためのエントリアドレスとを前記ＴＬＢへ送信し、
    前記ＴＬＢは、前記ＴＬＢ制御回路から送信されてきた前記ＴＬＢ更新信号と前記エントリアドレスとに基づいて前記ＴＬＢ内部を更新し、
    前記ＴＬＢ更新要求はアクセス制御回路と前記ＴＬＢ制御回路とに共通に送信され、前記ＴＬＢ更新要求が前記アクセス制御回路と前記ＴＬＢ制御回路とのどちらへの要求かが前記内部バスのアドレスから判断される
    ことを特徴とするコンピュータシステム。
12. 請求項１１記載のコンピュータシステムであって、
    前記外部バスインターフェースは、前記外部バスからのリクエストを受けるアクセス制御回路と、前記アクセス制御回路に接続され前記外部バスアクセスの可否を判定するＴＬＢと、前記プロセッサコアからの要求により前記ＴＬＢを書き換えるＴＬＢ制御回路を有し、
    前記外部バスからのリクエストを受けたアクセス制御回路は、該リクエストのアドレスが、前記ＴＬＢ内に設定されたアクセス許可範囲内のアドレスか否か問い合わせるＴＬＢ判定信号を前記ＴＬＢへ送信し、
    前記ＴＬＢは、前記リクエストのアドレスが、前記ＴＬＢ内に設定されたアクセス許可範囲内のアドレスか否かを検索し、アクセス可否を示すＴＬＢ合否信号を前記アクセス制御回路へ返答し、
    前記アクセス制御回路は、前記ＴＬＢ合否信号がアクセス可であることを示している場合、前記内部バスへアクセスを許可し、前記ＴＬＢ合否信号がアクセス否であることを示している場合、前記リクエストを破棄する
    ことを特徴とするコンピュータシステム。
13. 任意の機能を有するモジュールと、外部バスに接続されるための外部バスインターフェースと、前記モジュールと前記外部バスインターフェースとを接続する内部バスとを有する半導体装置であって、
    前記外部バスに接続される他の装置から前記モジュールへのアクセスがあった場合、
    前記半導体装置は、該アクセスのアドレスが、当該半導体装置内のＴＬＢに予め設定されたアクセス許可範囲内のアドレスか否かを判断し、
    前記アクセスのアドレスが、前記アクセス許可範囲内のアドレスに含まれる場合、前記内部バスを介して前記モジュールへのアクセスを許可し、
    前記アクセスのアドレスが、前記アクセス許可範囲内のアドレスに含まれない場合、前記アクセスを破棄し記憶装置へのアクセスを許可せず、
    さらに、前記ＴＬＢは、前記内部バスからのみ設定可能であり、前記外部バスからのアクセスが行われた際に前記内部バスのアドレスに変換する機能を有し、
    プロセッサコアは、前記ＴＬＢの設定を更新する要求であるＴＬＢ更新要求を前記内部バスへ発行し、
    ＴＬＢ制御回路は、前記プロセッサコアから発行された前記ＴＬＢ更新要求を前記内部バスから受信し、受信した前記ＴＬＢ更新要求に基づいてＴＬＢ更新信号と前記ＴＬＢ内のどのエントリを変更するかを通知するためのエントリアドレスとを前記ＴＬＢへ送信し、
    前記ＴＬＢは、前記ＴＬＢ制御回路から送信されてきた前記ＴＬＢ更新信号と前記エントリアドレスとに基づいて前記ＴＬＢ内部を更新し、
    前記ＴＬＢ更新要求はアクセス制御回路と前記ＴＬＢ制御回路とに共通に送信され、前記ＴＬＢ更新要求が前記アクセス制御回路と前記ＴＬＢ制御回路とのどちらへの要求かが前記内部バスのアドレスから判断される
    ことを特徴とする半導体装置。
14. 請求項１３記載の半導体装置であって、
    当該半導体装置には記憶装置が接続されており、
    前記記憶装置へのアクセスを制御するメモリインターフェースをさらに有し、
    前記アクセスのアドレスが、前記アクセス許可範囲内のアドレスに含まれる場合、前記内部バス、前記メモリインターフェースを介して前記記憶装置へのアクセスを許可する
    ことを特徴とする半導体装置。

Images