JP2006523347A - 周辺装置アクセス保護を有するデータ処理システムおよびその方法 - Google Patents

Abstract

本明細書に開示のデータ処理システム（１０，１００）内部の柔軟な周辺装置アクセス保護機構によって、よりセキュアな動作環境が可能となる。一実施態様では、データ処理システム（１０）内部の各マスタ（１４，１５）には、対応する権限レベル変更子（７０，７４）と、特定のバス・アクセスの型（例えば、読取および書込アクセス）に対する対応する信頼属性（７１，７２，７５，７６）とが含まれる。また一実施態様では、データ処理システム（１０）内部の各周辺装置（２２，２４）には、対応する信頼属性（８０，８４）、書込保護標識子（８１，８５）、および権限保護標識子（８２，８６）が含まれる。したがって、一実施態様では、バス・マスタによる周辺装置へのバス・アクセスは、周辺装置が要求する適切な権限レベルおよび適切な信頼レベルをバス・マスタが有する時（かつ、バス・アクセスが書込アクセスの場合には、周辺装置が書込保護されていない時）に許可される。また、権限レベル変更子を用いることによって、特定のバス・アクセスに対する特定の権限レベルをバス・マスタに強制することも可能である。

Description

本発明はデータ処理システムに関し、より詳細には周辺装置アクセス保護を有するデータ処理システムに関する。

システム・オン・チップ（ＳｏＣ）・ソリューションにおいては、複数のマスタで周辺装置デバイスを共有することが一般的である。ＳｏＣにおけるマスタのうちの一部は、信頼済みでない（ｎｏｎ−ｔｒｕｓｔｅｄ）マスタである場合がある。信頼済みでないマスタによるアクセスはシステムの汚染を生じ得るので、そのようなシステムでは、信頼済みでないマスタによるアクセスから周辺装置の一部または全てを保護する必要があり得る。例えば、信頼済みでないマスタ上で動作するソフトウェアによってウィルスが導入される場合があり、あるいは、システムの周辺装置デバイス内部のセキュアな（ｓｅｃｕｒｅ）情報へのアクセスを得るために、信頼済みでないマスタが用いられる場合がある。また、セキュアなデータ・トランザクションを保証するために、周辺装置の保護が必要な場合もある。

一従来技術のソリューションでは、マスタ間で周辺装置が共有されないように、システム内部の各マスタに専用の周辺装置を備える必要がある。しかしながら、専用の周辺装置を用いることにより、場合によっては共有も可能な周辺装置を複数用意する必要が生じるため、チップ面積およびコストの増大が生じる。また、専用の周辺装置を備えるマスタを用いることによって、システム内部の負荷分散処理の活用も妨げられる。例えば、１つのマスタに実行されたプロセスをシステム内部の別のマスタへ転送することは、その別のマスタが転送されたプロセスを実行するために必要な専用の周辺装置を備えない場合には不可能であり、それによってシステムの効率は減少する。

したがって、信頼済みでないマスタによる共有周辺装置デバイスへのアクセスを保護しながら、信頼済み（ｔｒｕｓｔｅｄ）マスタおよび信頼済みでないマスタの両方によるデータ処理システム内部の周辺装置デバイスの共有を可能とする、データ処理システムの需要が存在する。

本発明の一実施態様では、よりセキュアな動作環境を得るための、データ処理システム内部の柔軟な周辺装置アクセス保護機構を提供する。例えば、データ処理システムには、共有の周辺装置へのアクセスを必要とする信頼済みバス・マスタおよび非信頼（ｕｎｔｒｕｓｔｅｄ）バス・マスタの組合せが含まれる。一実施態様では、各バス・マスタに対する権限および信頼属性と、各周辺装置に対するアクセス制御とを、信頼済みバス・マスタが動的に更新することが可能である。したがって、非信頼バス・マスタ上で動作する不正なまたは敵意のある（ｈｏｓｔｉｌｅ）ソフトウェアによる汚染からデータ処理システムを保護するため、どのバス・マスタがどの周辺装置へのアクセスのパーミッション（ｐｅｒｍｉｓｓｉｏｎ）を有するかを信頼済みバス・マスタが確立することが可能である。

バス・マスタ識別子、信頼属性、および権限レベルを用いることによって、信頼済みバス・マスタが確立したパーミッションに基づき、要求された周辺装置へのアクセスを許可または拒否することが可能である。例えば、一実施態様では、データ処理システム内部の各マスタには、対応する権限レベル変更子と、特定のバス・アクセスの型（読取アクセスおよび書込アクセスなど）に対する対応する信頼属性とが含まれる。また、一実施態様では、データ処理システム内部の各周辺装置には、対応する信頼属性、書込保護標識子、および権限保護標識子が含まれる。したがって、一実施態様では、バス・マスタによる周辺装置へのバス・アクセスは、周辺装置が要求する適切な権限レベルおよび適切な信頼のレベルをバス・マスタが有する時（かつ、バス・アクセスが書込アクセスの場合には、周辺装置が書込保護されていない時）に許可される。また、権限レベル変更子を用いることによって、特定のバス・アクセスに対する特定の権限レベルをバス・マスタに強制することも可能である。

類似の参照番号が類似の要素を示す添付の図面によって本発明を例として示すが、本発明はそれらの図面によって限定されない。
図面における要素は簡潔かつ明瞭に示されており、必ずしも縮尺に応じて描かれていないことを当業者は認めるであろう。例えば、本発明の実施態様の理解を向上させるため、図面における要素の一部の寸法は他の要素に比較して誇張されている場合がある。

図１には、一実施態様のデータ処理システム１０を示す。データ処理システム１０には、バス・スレーブ２６、バス・マスタ１４、バス・マスタ１５、バス調停ロジック２８、システム・バス１６、バス・インタフェース１８、周辺装置バス２０、および周辺装置２２，２４が含まれる。バス・スレーブ２６、バス・マスタ１４、バス・マスタ１５、バス調停ロジック２８、およびバス・インタフェース１８は全て、システム・バス１６に双方向性に接続される。バス・インタフェース１８、周辺装置２２、および周辺装置２４は全て、周辺装置バス２０に双方向性に接続される。周辺装置２２には、周辺装置回路１９および周辺装置レジスタ２１が含まれ、周辺装置２４には、周辺装置回路２３および周辺装置レジスタ２５が含まれる。図１には、２つの周辺装置２２，２４のみを示したが、データ処理システム１０には、周辺装置バス２０に接続した任意の数の周辺装置が含まれてよい。同じく、図１に示した数に限定されず、任意の数のバス・マスタおよびバス・スレーブがシステム・バス１６に接続されてよい。また、図１にはバス調停ロジック２８をシステム・バス１６に接続した別個のユニットとして示したが、システム・バス１６に接続したバス・マスタの各々（またはバス・マスタの一部）にバス調停ロジック２８の部分を配置してもよい（バス調停ロジック２８は当該技術分野において現在公知の任意のバス調停器として動作してもよい）。

一実施態様では、バス・マスタ１４およびバス・マスタ１５は、マイクロプロセッサ、デジタル信号プロセッサなどのプロセッサであってもよく、ダイレクト・メモリ・アクセス（ＤＭＡ）ユニットなど、任意の他の型のマスタ・デバイスであってもよい。それらのバス・マスタのうちの１つ以上は、非信頼バス・マスタより汚染されにくい信頼済みバス・マスタであり得る。例えば、信頼済みバス・マスタは、バス・マスタまたはＳｏＣの製造者によって完全に制御された命令を実行する（すなわち、信頼済みマスタ上で動作するソフトウェアを信頼済みソフトウェアと見なすことが可能である）。すなわち、一実施態様では、信頼済みマスタ上で第３者（ｔｈｉｒｄ ｐａｒｔｙ）のソフトウェアを実行することは不可能であり、第３者には信頼済みマスタへのアクセスは許可されない。これに代えて、信頼済みバス・マスタに対する信頼レベル（すなわち、セキュリティのレベル）を、完全に信頼済みから、より低い信頼済みまで変化させてもよく、その場合、信頼レベルはデータ処理システム１０の設計に応じるが、一般に非信頼バス・マスタよりも高い。

同様に、バス・マスタ１４，１５のうちの任意の１つ以上は、一般に、よりアクセスし易い、すなわち、汚染を受けやすい非信頼バス・マスタであり得る。一実施態様では、非信頼バス・マスタは、第３者のソフトウェア（例えば、利用者の開発したソフトウェア）または任意の他の非信頼ソフトウェア（ソフトウェアの内容および機能は一般に不明）を受取および実行する、汎用プロセッサであってよい。このソフトウェアは非信頼ソフトウェアなので、データ処理システム１０の他の部分（他の信頼済みバス・マスタまたは周辺装置２２，２４）の汚染を試みたり、データ処理システム１０にウィルスを導入したり、あるいは、バス・マスタ１４または１５、周辺装置２２または２４、バス・スレーブ２６、若しくはデータ処理システム１０の内部のいずれかの場所のセキュア化された情報にアクセスしたりするような、不正なソフトウェアまたは敵意のあるソフトウェアであり得る。

また、特定のバス・マスタは、一部の型のアクセスに対しては信頼済みと見なされ、他の型のアクセスに対しては非信頼と見なされてもよいことを述べておく。例えば、同一のバス・マスタが、読取に対しては信頼済みと見なされ、書込に対しては非信頼と見なされてもよい。したがって、各マスタは、異なる型のアクセスに対して異なる信頼レベルを有することが可能である。また、各バス・マスタが異なる権限レベルを有することも可能である。例えば、一実施態様では、１つのバス・マスタがより高い権限レベル（管理者モードなど）で動作し、他のバス・マスタがより低い権限レベル（利用者モードなど）で動作してもよい。どのリソースへマスタがアクセス可能かを判定するために、特定の権限レベルが用いられる。

したがって、一実施態様では、以下に説明するように、データ処理システム１０の内部の各マスタは、特定の型のバス・アクセスに対して、対応するマスタの信頼レベルを判定するために、１組の対応する信頼属性のフィールドを有する。また、各バス・マスタは、特定のバス・アクセスに対して、対応するマスタの権限レベルを選択的に調節することを可能とするような、対応する権限変更子のフィールドを有する。同様に、周辺装置２２，２４など各周辺装置は、所与の周辺装置がサポートするアクセスのレベルを判定するような、１組の対応するアクセス制御のフィールドを有する。例えば、特定の周辺装置は、信頼済みと識別されたマスタまたは管理者モードで動作するマスタに対して、より多くのアクセスを与えてもよい。バス・マスタに対するそれらの権限および信頼属性のフィールド並びに周辺装置に対するアクセス制御のフィールドを、図２〜５を参照して以下でより詳細に説明する。

再び図１を参照すると、バス・スレーブ２６は、例えば、バス・マスタ１４，１５によってアクセス可能なメモリなど、任意のスレーブ・デバイスであってもよく、周辺装置２２，２４などと同一型の周辺装置を含む、システム・バス上に属する任意の型の周辺装置であってもよい。周辺装置２２，２４は、ユニバーサル・アシンクロナス・レシーバ・トランスミッタ（ＵＡＲＴ）、リアルタイム・クロック（ＲＴＣ）、キーパッド制御装置など、任意の型の周辺装置であってよい。周辺装置回路１９によって、周辺装置バス２０と周辺装置レジスタ２１との間の通信が可能である。同様に、周辺装置回路２３によって、周辺装置バス２０と周辺装置レジスタ２５との間の通信が可能である。代替の一実施態様では、周辺装置２２は、周辺装置レジスタ２１に代わってメモリ・アドレス・ロケーションが存在する、メモリ・ユニットであってもよい。

動作中、バス・マスタ１４，１５は、バス・スレーブ２６など、システム・バス１６に接続された他のスレーブ・デバイスへのアクセスを要求するために、または、バス・インタフェース１８を介する周辺装置２２，２４へのアクセスを要求するために、システム・バス１６へのアクセスを要求する。バス・インタフェース１８は、以下で説明するように、要求、または特定の周辺装置への特定の型の要求が許可されるか否かを判定する。許可されない場合、バス・インタフェース１８はシステム・バス１６を介してバス・エラー応答を出力し得る。しかしながら、要求が許可された場合、バス・インタフェース１８は、要求されたバス・アクセスを完了させるため、任意の必要なバス・プロトコルを出力する。上述のように、各バス・マスタ１４，１５による周辺装置２２，２４へのアクセスは、権限レベルおよび信頼レベルと、アクセスされる周辺装置のアクセス制御のフィールドとによる判定に従って、限定されてもよい。

図２には、本発明の一実施態様による図１のバス・インタフェース１８の一部を示す。バス・インタフェース１８には、制御回路４４、マスタ権限レジスタ３０、および周辺装置アクセス制御レジスタ５４が含まれる。制御回路４４は、システム・バス１６を介して、バス・マスタ識別子３６、アドレス４２、データ４０、制御３８、および権限標識子３７を出力および受信する。制御回路４４には、レジスタ３０，５４への信頼済みバス・マスタの読取／書込（Ｒ／Ｗ）アクセス用の回路４６が含まれ、この回路４６は、マスタ権限レジスタ３０および周辺装置アクセス制御レジスタ５４の各々に双方向性に接続されている。制御回路４４には、周辺装置２２，２４へアクセスするための回路４８も含まれる。回路４８には、マスタ権限レジスタ３０から情報を受信する、バス・マスタ属性判定回路５０が含まれ、周辺装置アクセス制御レジスタ５４から情報を受信する周辺装置保護判定回路５１も含まれる。制御回路４８には、適切な信号を周辺装置２２，２４へ出力し周辺装置２２，２４から受信するために、周辺装置バス２０に双方向性に接続されている信号ブリッジ回路５２も含まれる。また、バス・マスタ属性判定回路５０は、調節済み権限標識子５７、Ｒ／Ｗ標識子５８、および信頼済み標識子５９を周辺装置保護判定回路５１へ出力し、周辺装置保護判定回路５１からアクセス・エラー信号６０を受信する。アクセス・エラー信号６０は、システム・バス１６を介してバス・マスタ１４，１５へ通信して戻されてもよいことを述べておく。代替の一実施態様では、アクセス・エラー信号６０はシステム・バス１６を介して通信され、バス・マスタ属性判定回路５０へは出力されない。

マスタ権限レジスタ３０には、マスタ権限レジスタ３２およびマスタ権限レジスタ３４が含まれる。一実施態様では、各々のマスタ権限レジスタはシステム・バス１６上のマスタに対応する。また、一実施態様では、マスタ権限レジスタ３０には単一のレジスタのみが含まれてもよく、これに代えて、図３に関連して以下でさらに説明するように、任意の数のレジスタが含まれてもよい。周辺装置アクセス制御レジスタ５４には、周辺装置アクセス制御レジスタ５５および周辺装置アクセス制御レジスタ５６が含まれる。一実施態様では、各々の周辺装置アクセス制御レジスタは周辺装置バス２０上の周辺装置に対応する。また、一実施態様では、周辺装置アクセス制御レジスタ５４には単一のレジスタのみが含まれてもよく、これに代えて、図３に関連して以下でさらに説明するように、任意の数のレジスタが含まれてもよい。また、マスタ権限レジスタ３０および周辺装置アクセス制御レジスタ５４はデータ処理システム１０の内部の任意の場所に配置されてよく、バス・インタフェース１８の内部に配置される必要はないことを述べておく。本発明の代替の実施態様の一部では、周辺装置アクセス制御レジスタは、各周辺装置２２，２４、またはバス・スレーブ２６の内部に分配されてもよく、マスタ権限レジスタは、分配、または、１つ以上のバス・スレーブ２６に属してもよい。

動作中、バス・インタフェース１８は、バス・マスタ識別子３６に基づき、マスタ権限レジスタ３０および周辺装置アクセス制御レジスタ５４へのアクセスを与える。バス・マスタ識別子３６は、どのバス・マスタが現在の要求を制御回路４４へ出力しているかを識別する。例えば、一実施態様では、データ処理システム１０の各バス・マスタは、対応する識別（ＩＤ）番号を有する。例えば、バス・マスタ１４は対応するＩＤ番号０を有し、バス・マスタ１５は対応するＩＤ番号１を有する。したがって、データ処理システム１０の任意のバス・マスタに、ユニークなＩＤ番号を割当てることが可能である。特定のバス・マスタが周辺装置へのアクセスを要求する時、バス・マスタ識別子３６として、対応するＩＤ番号を制御回路４４へ出力することが可能である。この例では、バス・マスタ識別子３６が０の場合、バス・マスタ１４であることが示される。代替の実施態様では、異なるバス・マスタを区別するために、任意の型の識別システムが用いられてよい。

バス・インタフェース１８は、回路４６を介して、信頼済みバス・マスタのみがマスタ権限レジスタ３０および周辺装置アクセス制御レジスタ５４へのＲ／Ｗアクセスを得ることが可能なことを保証する。回路４６は、レジスタ３０またはレジスタ５４へのＲ／Ｗアクセスを要求しているのが信頼済みバス・マスタか否かを判定するために、受信したバス・マスタ識別子３６を比較する。一実施態様では、回路４６には、どのバス・マスタがレジスタ３０，５４の変更を許可されているかを識別するリストが含まれる。例えば、一実施態様では、マスタ１４，１５のうちの１つのみが信頼済みマスタと見なされ、その信頼済みマスタのみがレジスタ３０，５４を変更する能力を有する。これに代えて、回路４６には、信頼済みマスタのみがレジスタ３０，５４を変更することを保証する他の回路が含まれてもよい。また、回路４６が、バス・マスタ識別子３６に加えて、またはバス・マスタ識別子３６に代えて、他の属性に基づき、この判定を行ってもよい。例えば、代替の一実施態様では、回路４６は権限標識子３７（現在のバス・アクセスに対する、要求している要求側バス・マスタの権限レベルを示す）を用いて、この判定を行ってもよい。この方式では、信頼済みバス・マスタは、周辺装置２２，２４におけるアクセスを制御するために、レジスタ３０，５４のフィールドを設定することが可能である。一実施態様では、起動時、リセット（ｒｅｓｅｔ）時、ソフトウェア・アプリケーションの開始時、または任意の他の適切な時に、信頼済みバス・マスタがレジスタ３０，５４に値をプログラムして組み込んでもよい。このことによって、必要に応じてレジスタ３０，５４が更新されるような、レジスタ３０，５４への動的アクセスが可能となる。しかしながら、これに代えて、レジスタ３０，５４内部の値を単一の時にプログラムして組み込んでもよく（ライト・ワンス・オンリー（ｗｒｉｔｅ ｏｎｃｅ ｏｎｌｙ）のメモリを用いることなどによって）、限定された量の時にのみプログラムして組み込んでもよく、あるいは、ハードワイヤードで組み込んでもよい。周辺装置２２，２４へアクセスするための回路４８の内部のバス・マスタ属性判定回路５０を説明する前に、図３に関連してレジスタ３０の内容を説明する。

図３には、マスタ権限レジスタ３０の一実施態様を示す。例示の実施態様では、マスタ権限レジスタ３０には、バス・マスタ１４に対応するマスタ権限レジスタ３２と、バス・マスタ１５に対応するマスタ権限レジスタ３４とが含まれる。したがって、この実施態様では、マスタ権限レジスタ３０には、各バス・マスタに対して１つのマスタ権限レジスタが含まれる。しかしながら、代替の実施態様では、全てのマスタに対して必要な情報を記憶するために単一のレジスタを用いてもよく、これに代えて、任意の数および組合せのレジスタを用いてもよい。例としてマスタ権限レジスタ３２を本明細書で説明するが、しかしながら、マスタ権限レジスタ３２に対する説明は、マスタ権限レジスタ３４など、マスタ権限レジスタ３０の全てのマスタ権限レジスタにも適用されることを述べておく。マスタ権限レジスタ３２には、バス・マスタ１４に対する権限レベル変更子のフィールド７０、バス・マスタ１４による書込に対する信頼属性のフィールド７１、およびバス・マスタ１４による読取に対する信頼属性のフィールド７２が含まれる。

権限レベル変更子のフィールド７０によって、特定のアクセスに対するバス・マスタ１４の現在の権限レベルを、フィールド７０に記憶された値が示すように、選択的に変更すなわち調節することが可能となる。バス・マスタ１４の現在の権限は、一実施態様では、バス・マスタ１４がシステム・バス１６を介して権限標識子３７によって制御回路４４へ出力する。一実施態様では、権限標識子３７を用いて、バス・アクセスを要求する現在のバス・マスタ（バス・マスタ識別子３６で示される）が管理者権限レベルであるか利用者権限レベルであるかが、現在のバス・アクセス中に判定される。すなわち、この実施態様では、権限標識子３７は管理者モードまたは利用者モードのうちの１つに対応する権限レベルを示す。したがって、バス・マスタ１４がバス・アクセスを行う場合、現在のバス・アクセスに対するバス・マスタ１４の権限レベルを調節する必要があるか否かをバス・マスタ属性判定回路５０に示すために、権限レベル変更子のフィールド７０が用いられてもよい。例えば、管理者モードで動作する場合、権限レベル変更子のフィールド７０は、バス・マスタ１４の権限レベルを利用者モードに強制するために用いられる。これに代えて、権限レベル変更子のフィールド７０は任意の型の権限レベルを示すことが可能であり、管理者または利用者モードのみに限定されない。さらに、権限レベル変更子のフィールド７０には、バス・マスタ１４の権限レベルを出力するために用いられる１つ以上のビットが含まれてもよい。例えば、一実施態様では、権限レベル変更子のフィールド７０の内部の１つのビットは、要求側バス・マスタの権限レベルを変更する必要があるか否かを現在のバス・アクセス中に示すために用いられてもよく、別の１つ以上のビットは、調節されるべき権限レベルを示すために用いられてもよい（一部の実施態様では、現在の権限レベルがフィールド７０の示す権限レベルと同一であり、調節が必要でないことを示す場合があることを述べておく）。

バス・マスタ１４による書込に対する信頼属性のフィールド７１は、バス・マスタ１４がバス・マスタ１４による書込アクセスに対する信頼済みマスタか否かを示すために用いられる。同様に、バス・マスタ１４による読取に対する信頼属性のフィールド７２は、バス・マスタ１４がバス・マスタ１４による読取アクセスに対する信頼済みマスタか否かを示すために用いられる。したがって、バス・マスタ１４などの各バス・マスタは、読取または書込アクセスに対して異なる信頼属性を有してもよい。例えば、バス・マスタ１４が、周辺装置またはバス・スレーブへの読取アクセスの実施においては信頼済みマスタと見なされ、周辺装置またはバス・スレーブへの書込アクセスの実施においては非信頼マスタと見なされてもよい。したがって、フィールド７１，７２の各々には、書込および読取アクセスに対するバス・マスタ１４の信頼レベルを示すために用いられる１つ以上のビットが含まれ得る。代替の一実施態様では、バス・マスタは、単に信頼済みまたは非信頼として分類されるのではなく、特定の型のバス・アクセスに対する、より多くの信頼レベルを有してもよい。例えば、フィールド７１，７２は、バス・マスタ１４に対してＮ個の信頼レベル（Ｎ＞２）から選択される１つのレベルを示してもよい。

マスタ権限レジスタ３２には、例示よりも多いまたは少ないフィールド、若しくは例示とは異なるフィールドが含まれ得ることを述べておく。例えば、バス・マスタ１４による書込および読取の両方に対して単一の信頼属性フィールドが用いられてもよく、その場合には、バス・マスタ１４は書込および読取の両方に対して信頼済みまたは非信頼と見なされる。これに代えて、他の型のバス・アクセスに対して信頼属性が出力されてもよい。

フィールド７０〜７２に対する上述の説明は、マスタ権限レジスタ３４のフィールド７４〜７６にも適用されることを述べておく。すなわち、バス・マスタ１５に対する権限レベル変更子のフィールド７４によって、バス・マスタ１５の権限レベルを現在のバス・アクセスに対して選択的に調節することが可能となる。バス・マスタ１５による書込に対する信頼属性のフィールド７５は、書込アクセスに対するバス・マスタ１５の信頼レベルを示し、バス・マスタ１５による読取に対する信頼属性のフィールド７６は、読取アクセスに対するバス・マスタ１５の信頼レベルを示す。

図２を参照すると、周辺装置２２，２４へアクセスするための回路４８には、バス・マスタ属性判定回路５０が含まれる。バス・マスタ属性判定回路５０は、アドレス４２、制御３８、権限標識子３７、およびバス・マスタ識別子３６を受信し、調節済み権限標識子５７、Ｒ／Ｗ標識子５８、および信頼済み標識子５９を周辺装置保護判定回路５１へ出力する。したがって、バス・マスタ属性判定回路５０は、バス・アクセスの型（読取または書込）と、要求された周辺装置と、どのバス・マスタが要求を行っているかの識別と、要求を行っているバス・マスタの権限レベルとを識別するために必要な全ての情報を受信する。マスタ権限レジスタ３０に記憶された情報を用いて、上述のように、バス・マスタ属性判定回路５０は、調節済み権限標識子５７、Ｒ／Ｗ標識子５８、および信頼済み標識子５９を判定する。例えば、周辺装置へのアクセスを要求するバス・マスタによって、バス・アクセスが開始されてもよい（このバス・アクセスは、読取または書込バス・アクセスであることが可能である）。バス・アクセスのうちの少なくとも一部の間に、バス・マスタ識別子３６が出力される。バス・アクセスに対するマスタ権限レジスタ３０から、マスタの権限情報（要求側バス・マスタに対応する）を選択するために、バス・マスタ識別子３６が用いられる。続いて、調節済み権限標識子５７、Ｒ／Ｗ標識子５８、および信頼済み標識子５９に対する値を判定することが可能である。

例えば、バス・マスタ１４が現在のバス・アクセスを行う一実施態様では、権限標識子３７が示す現在の権限レベルと、権限レベル変更子のフィールド７０とに基づき、調節済み権限標識子５７が決定される。権限レベル変更子のフィールド７０が、バス・マスタ１４には特定の権限レベルの強制が必要であることを示す場合、その強制される権限レベルを示すように調節済み権限標識子５７の値を設定する。権限レベル変更子のフィールド７０が、バス・マスタ１４には権限の強制の必要がないことを示す場合、権限標識子３７と同一の権限レベルを示すように調節済み権限標識子５７の値を設定することが可能である。Ｒ／Ｗ標識子５８は、現在のバス・アクセスが読取アクセスかまたは書込アクセスかを示す制御３８から判定することが可能である。信頼済み標識子５９は、現在のバス・アクセスが読取アクセスかまたは書込アクセスかに基づいて、および信頼属性のフィールド７１，７２に基づいて判定される。例えば、現在のバス・アクセスがバス・マスタ１４による書込アクセスの場合、信頼済み標識子５９は、信頼属性のフィールド７１が示す信頼レベルを示すように設定される。同様に、現在のバス・アクセスがバス・マスタ１４による読取アクセスの場合、信頼済み標識子は、信頼属性のフィールド７２が示す信頼レベルを示すように設定される。

調節済み権限標識子５７、Ｒ／Ｗ標識子５８、および信頼済み標識子５９は、周辺装置アクセス制御レジスタ５４と共に、続いて、周辺装置保護判定回路５１によって、周辺装置に対するアクセスが許可されるか否かを判定するために用いられ、または、一部の場合には、アクセス・エラーが発生したか否か、および、バス・マスタ属性判定回路５０、エラーを発生させたアクセス要求を行ったバス・マスタ、またはその両方へ、アクセス・エラー信号６０を介してアクセス・エラーが通信されたか否かを判定するために用いられる。周辺装置２２，２４へアクセスするための回路４８の内部の周辺装置保護判定回路５１を説明する前に、図４に関連してレジスタ５４の内容を説明する。

図４には、周辺装置アクセス制御レジスタ５４の一実施態様を示す。例示の実施態様では、周辺装置アクセス制御レジスタ５４には、周辺装置２２に対応する周辺装置アクセス制御レジスタ５５と、周辺装置２４に対応する周辺装置アクセス制御レジスタ５６とが含まれる。したがって、例示の実施態様では、周辺装置アクセス制御レジスタ５４には、各周辺装置に対して１つの周辺装置アクセス制御レジスタが含まれる。しかしながら、代替の実施態様では、全ての周辺装置に対して必要な情報を記憶するために単一のレジスタを用いてもよく、これに代えて、任意の数および組合せのレジスタを用いてもよい。本明細書では例として周辺装置アクセス制御レジスタ５５を説明するが、しかしながら、周辺装置アクセス制御レジスタ５５に対する説明は、周辺装置アクセス制御レジスタ５６など、周辺装置アクセス制御レジスタ５４の全ての周辺装置アクセス制御レジスタにも適用されることを述べておく。周辺装置アクセス制御レジスタ５５には、周辺装置２２に対する周辺装置信頼属性のフィールド８０、周辺装置２２に対する書込保護のフィールド８１、および周辺装置２２に対する権限保護のフィールド８２が含まれる。

周辺装置２２に対する周辺装置信頼属性のフィールド８０は、周辺装置２２が非信頼マスタからのアクセス（読取または書込）を許可するか否かを示す。例えば、現在のバス・マスタに対応する信頼属性のフィールド（例えば、フィールド７１，７２）が、現在のバス・アクセスを行うバス・マスタが非信頼であることを示す場合には、非信頼マスタからのアクセスが許可されることをフィールド８０が示す場合にのみ、バス・アクセスは許可される。周辺装置２２に対する書込保護のフィールド８１は、マスタによる周辺装置２２への書込アクセスを周辺装置２２が許可するか否かを示す。例えば、現在のバス・マスタ（バス・マスタの信頼レベルにかかわらず）が行う現在のバス・アクセスが周辺装置２２への書込アクセスの場合、周辺装置２２が書込保護されていることをフィールド８１が示す場合には、書込アクセスを行うことは不可能である。周辺装置２２に対する権限保護のフィールド８２は、現在のバス・アクセスに対して周辺装置２２が一定の権限レベルを要求するか否かを示す。したがって、権限保護のフィールド８２には、周辺装置２２に対するアクセスに要求される最低の権限レベルを示す、任意の数のビットが含まれてよい。一実施態様では、管理者権限が要求されるか否かを示すために、単一のビットが用いられ得る。これに代えて、Ｎ個の権限レベル（Ｎ＞２）のうちの最低の１つが要求されることを示すために、より多くのビットが用いられてもよい。

周辺装置アクセス制御レジスタ５５には、例示よりも多いまたは少ないフィールド、若しくは例示とは異なるフィールドが含まれ得ることを述べておく。例えば、非信頼マスタからの読取アクセスを許可するか否か、および非信頼マスタからの書込アクセスを許可するか否かを示すために、周辺装置信頼属性のフィールド８０など別個の周辺装置信頼属性を用いてもよい。また、読取または書込アクセスを許可するために周辺装置２２に必要とされるＮ個の可能な信頼レベル（Ｎ＞２）のうちの最低のレベルを示すために、追加のビットまたはフィールドが用いられてもよい。

フィールド８０〜８２に対する上述の説明は、周辺装置アクセス制御レジスタ５６のフィールド８４〜８６にも適用されることを述べておく。すなわち、周辺装置２４に対する周辺装置信頼属性のフィールド８４は、非信頼マスタからのアクセス（読取または書込）を周辺装置２４が許可するか否かを示す。周辺装置２４に対する書込保護のフィールド８５は、マスタによる周辺装置２４への書込アクセスを周辺装置２４が許可するか否かを示す。周辺装置２４に対する権限保護のフィールド８６は、周辺装置２４が現在のバス・アクセスに対して一定の権限レベルを要求するか否かを示す。

図２を参照すると、周辺装置２２，２４へアクセスするための回路４８には、周辺装置保護判定回路５１が含まれる。周辺装置保護判定回路５１は、調節済み権限標識子５７、Ｒ／Ｗ標識子５８、および信頼済み標識子５９を受信し、アクセス・エラー信号６０をバス・マスタ属性判定回路５０へ出力する（これに代えて、または加えて、システム・バス１６を介してエラーを発生させる要求を行ったバス・マスタへ、アクセス・エラー信号６０を出力して戻してもよい）。したがって、周辺装置保護判定回路５１は、標識子５７〜５９と、周辺装置アクセス制御レジスタ５４に記憶された情報とを用いて、上述のように、要求された周辺装置へのバス・アクセスが許可されるか否かを判定する。例えば、バス・マスタ１４が、周辺装置２２への書込を行うためのバス・アクセスを開始する場合、周辺装置保護判定回路５１は、そのバス・アクセスが許可されるか否かを判定する。例えば、周辺装置保護判定回路５１は、調節済み権限標識子５７と権限保護のフィールド８２とを用いて、周辺装置２２がアクセスに対する特定の権限レベル（フィールド８２で示される）を要求するか否か、および、バス・マスタ１４が要求される権限レベル（調節済み権限標識子５７で示される）を有するか否か、を判定する。また、周辺装置保護判定回路５１は、Ｒ／Ｗ標識子５８と書込保護のフィールド８１とを用いて、現在のバス・アクセスが書込アクセスか否か、かつ書込アクセスの場合には、周辺装置２２への書込アクセスが許可されているか否かを判定する。また、周辺装置保護判定回路５１は、信頼済み標識子５９と周辺装置信頼属性のフィールド８０とを用いて、バス・マスタ１４が周辺装置２２（フィールド８０で示される）に要求される適切な信頼レベル（信頼済み標識子５９で示される）を有するか否かを判定する。したがって、周辺装置保護判定回路５１は、上述の情報の全てを用いて、バス・マスタ１４に要求された周辺装置２２に対するバス・アクセスが許可されるか否かを判定することが可能である。すなわち、バス・アクセスが許可されるためには、バス・マスタ１４が適切な権限レベルおよび適切な信頼レベルを有することが必要であり、かつ、バス・アクセスが書込アクセスの場合には、周辺装置２２が書込保護されていないことが必要である。

アクセスが許可される場合（要求側バス・マスタが要求される特定の周辺装置に対する適切なアクセス・パーミッションを有することを意味する）、動作が継続され（すなわち、バス・アクセスが継続され）、動作を完了させるために必要なバス・プロトコルが出力される。例えば、信号ブリッジ回路５２は、任意の適切なデータ、アドレス、および制御の信号を、制御３８、データ４０、およびアドレス４２に由来する、アクセスされる周辺装置へ出力する。同様に、信号ブリッジ回路５２は、制御３８、データ４０、およびアドレス４２を介して、任意の必要な制御、データ、およびアドレスの情報をシステム・バス１６へ戻す。また、制御３８として、状態の情報が戻されてもよい。

しかしながら、アクセスが許可されない場合（要求側バス・マスタが要求される特定の周辺装置に対する適切なアクセス許可を有しないことを意味する）、周辺装置へアクセスする前にバス・アクセスは中断される。また、要求側バス・マスタが周辺装置へのアクセスを拒否されたことを示すために、アクセス・エラー信号６０を用いてもよい。また、要求側バス・マスタに、システム・バス１６を介してバス・エラーを出力してもよい。バス・エラーは、バス・マスタ・パーミッション判定回路５０によって、制御信号３８のうちの１つとして出力されることが可能である。応答にて、要求側バス・マスタが、バス・エラーから回復させるための適切な例外処理を行ってもよい。これに代えて、アクセスが許可されない場合、データ処理システム１０の全体または一部のリセットが行われてもよい。

上述のように、信頼済みバス・マスタは、必要に応じてレジスタ３０，５４のパーミッションを動的に変化させ得る。一実施態様では、ソフトウェア・アプリケーションの開始に応じて、信頼済みバス・マスタがパーミッションを変化させ得る。例えば、ソフトウェア・アプリケーションの開始を準備することを、非信頼バス・マスタが信頼済みバス・マスタに警告してもよい。応答にて、アプリケーションを完了させるために必要な周辺装置へのアクセスを非信頼バス・マスタに与えるように、信頼済みバス・マスタがレジスタ３０，５４を更新してもよい。アプリケーション・バイ・アプリケーション・ベーシス（ａｐｐｌｉｃａｔｉｏｎ ｂｙ ａｐｐｌｉｃａｔｉｏｎ ｂａｓｉｓ）でのみパーミッションが承認されるように、アプリケーションが完了すると、以前に承認されたパーミッションを信頼済みバス・マスタが取消してもよい。

代替の一実施態様では、周辺装置２２または２４は、周辺装置レジスタ２１または２５がメモリ・ロケーションであるような、メモリ・ユニットであってもよい。この実施態様では、レジスタ３０，５４は、指定メモリ・ロケーション、すなわち、メモリ・ユニットの部分に対して、各バス・マスタに対応するアクセス・パーミッションを規定することが可能である。

また、代替の実施態様では、レジスタ３０に記憶された情報をバス・インタフェース１８ではなく各対応するマスタ内部に配置することが可能であり、レジスタ５４に記憶された情報をバス・インタフェース１８ではなく各周辺装置内部に配置することが可能であることを述べておく。さらに、バス・マスタ・パーミッション判定回路をマスタ内またはマスタに続けて配置してもよく、パーミッションが周辺装置に判定されるように、周辺装置保護判定回路を周辺装置内または周辺装置に続けて配置することも可能である。したがって、代替の実施態様では、信頼済みバス・マスタがアクセス可能なレジスタ３０，５４の情報は、データ処理システム１０におけるメモリ・マップ内部の任意の場所に記憶され得る。また、データ処理システム１０には、パーミッション情報を更新することが可能な任意の数の信頼済みバス・マスタが含まれてよく、単一のセキュアなバス・マスタに限定されない。

図５には、本発明の代替の一実施態様による、データ処理システム１００を示す。データ処理システム１００には、バス・マスタ１０１、バス・マスタ１０２、バス・マスタ属性判定回路およびマスタ権限レジスタ１０４、バス・マスタ属性判定回路およびマスタ権限レジスタ１１０、周辺装置保護判定回路および周辺装置アクセス制御レジスタ１０６、周辺装置保護判定回路および周辺装置アクセス制御レジスタ１１２、および周辺装置１０８，１１４が含まれる。バス・マスタ１０１は、バス・マスタ属性判定回路およびマスタ権限レジスタ１０４へ、権限標識子１１６を出力する。バス・マスタ属性判定回路およびマスタ権限レジスタ１０４は、システム・バス１０３を介して、周辺装置保護判定回路および周辺装置アクセス制御レジスタ１０６，１１２並びに周辺装置１０８，１１４へ、調節済み権限標識子１１８を出力し、システム・バス１０３を介して、周辺装置保護判定回路および周辺装置アクセス制御レジスタ１０６，１１２へ、信頼済み標識子１２０を出力する。バス・マスタ１０１は、システム・バス１０３を介して、周辺装置保護判定回路および周辺装置アクセス制御レジスタ１０６，１１２並びに周辺装置１０８，１１４へ、他の情報１２２も出力する。バス・マスタ１０２は、バス・マスタ属性判定回路およびマスタ権限レジスタ１１０へ、権限標識子１３０を出力する。バス・マスタ属性判定回路およびマスタ権限レジスタ１１０は、システム・バス１０３を介して、周辺装置保護判定回路および周辺装置アクセス制御レジスタ１０６，１１２並びに周辺装置１０８，１１４へ、調節済み権限標識子１２６を出力し、システム・バス１０３を介して、周辺装置保護判定回路および周辺装置アクセス制御レジスタ１０６，１１２へ、信頼済み標識子１２８を出力する。バス・マスタ１０２は、システム・バス１０３を介して、周辺装置保護判定回路および周辺装置アクセス制御レジスタ１０６，１１２並びに周辺装置１０８，１１４へ、他の情報１２４も出力する。

動作中、データ処理システム１００は、データ処理システム１０と同様に動作する。例えば、マスタ１０１，１０２はマスタ１４，１５と同様であり、周辺装置１０８，１１４は周辺装置２２，２４と同様である。また、データ処理システム１００には、任意の数のマスタおよび任意の数の周辺装置が含まれてよい。しかしながら、データ処理システム１００においては、バス・インタフェース１８の部分が異なる場所に分配されている。また、データ処理システム１００においては、信頼済み標識子１２０，１２８は、システム・バス１０３を介して、周辺装置保護判定回路および周辺装置アクセス制御レジスタ１０６，１１２へ出力される。また、権限標識子１１６，１３０は、バス・マスタ属性判定回路およびマスタ権限レジスタ１０４，１１０によって、それぞれ選択的に変更され、調節済み権限標識子１１８，１２６として、システム・バス１０３を介して、周辺装置保護判定回路および周辺装置アクセス制御レジスタ１０６，１１２並びに周辺装置１０８，１１４へ出力される。バス・マスタ属性判定回路およびマスタ権限レジスタ１０４，１１０の各々は、図２〜４に関連して上述で説明したマスタ属性判定回路５０およびマスタ権限レジスタ３０と同様に動作することを述べておく。例えば、マスタ権限レジスタおよび周辺装置アクセス制御レジスタに記憶される情報は、バス・アクセスが許可されるか否かを判定するために、同じ方式で用いられる。他の情報１２２，１２４には、制御３８、データ４０、アドレス４２、およびバス・マスタ識別子３６などの情報が含まれてもよい。したがって、上述の図１〜４で説明したのと同じ信号が用いられ得るが、しかしながら、信号または一部の信号を発生する回路自体は、異なる場所に配置されてもよく、異なった構造を取ってもよい。

図５に示した実施態様では、各バス・マスタ１０１，１０２は、対応するバス・マスタ属性判定回路およびマスタ権限レジスタを有するので、図２のバス・マスタ識別子３６は随意である。したがって、判定回路およびマスタ権限レジスタは各マスタに分配される。例えば、各判定回路およびマスタ権限レジスタには、対応するバス・マスタに対応する、権限レベルと信頼属性のフィールド（フィールド７０〜７２，７４〜７６など）とが含まれ得る。回路と、マスタ権限レジスタに記憶される情報とは、各マスタ内部に配置されることも可能であり、マスタとシステム・バスとの間を連絡して配置されることも可能である。また、周辺装置保護判定回路５１および周辺装置アクセス・レジスタ５４が、各周辺装置に分配されてもよい。例えば、図５に示したように、各周辺装置１０８，１１４は、各周辺装置保護判定回路および周辺装置アクセス制御レジスタが、対応する周辺装置に対応するアクセス制御のフィールド（フィールド８０〜８２，８４〜８６など）を含み得るような、対応する周辺装置保護判定回路および周辺装置アクセス制御レジスタを有する。また、データ処理システム１０に関連して先に述べたように、周辺装置１０８，１１６は任意の型の周辺装置、メモリ・デバイス、またはバス・スレーブであってよく、そのため、特定の機能に範囲が限定されないことを述べておく。

図１および２には、双方向性の導線を用いて示したが、代わりに単方向性の導線の組合せが用いられてもよいことが理解されることを述べておく。これに代えて、両方向性および単方向性の導線の組合せが用いられてもよい。信号は、単一の導線を介して直列に転送されてもよく、複数の導線を介して並列に転送されてもよい。これに代えて、単一または複数の導線上で信号が時間多重化されてもよい。また、双方向性の導線として示した信号を単方向性の導線で置き換えてもよく、単方向性の導線を双方向性の導線で置き換えてもよいことを述べておく。

本明細書では、特定の実施態様に関連して本発明を説明した。しかしながら、以下の特許請求の範囲に述べる本発明の範囲から逸脱することなく種々の修正および変更がなされ得ることを、当業者は認めるものである。例えば、データ処理システム１０，１００は、単一のチップすなわち集積回路（ＩＣ）またはチップすなわちＩＣの組合せに配置可能な任意の型のデータ処理システムであり得ることが理解される。データ処理システム１０，１００は、共有の周辺装置を有するネットワーク（ネットワーク・システム・バスを介して接続した）上に配置される種々のマスタおよびスレーブにも適用可能である。したがって、明細書および図面は限定的な意味ではなく例示と見なされるべきであり、そうした修正の全ても本発明の範囲の内に包含されることが意図される。

長所、他の利点、および課題の解決法を、特定の実施態様に関して上述にて説明した。しかしながら、長所、利点、および課題の解決法、並びに任意の長所、利点、または解決法を発生またはさらに顕著にし得る任意の要素は、任意の請求項または全ての請求項における、必須、必要、若しくは不可欠な特徴または要素として、構成されるものではない。本明細書では、「含む（ｃｏｍｐｒｉｓｅ）」、「から成る（ｃｏｍｐｒｉｓｉｎｇ）」、または、それらの他の変形の語は、一連の要素を含むプロセス、方法、物品、または装置に、それらの要素のみが含まれるのではなく、明示されていない他の要素、若しくは、そのようなプロセス、方法、物品、または装置に固有の他の要素が含まれ得るような、非排他的な包含を覆うことを意図するものである。

本発明の一実施態様によるデータ処理システムのブロック図。 本発明の一実施態様による図１のバス・インタフェースの一部のブロック図。 本発明の一実施態様によるマスタ権限レジスタのブロック図。 本発明の一実施態様による周辺装置アクセス制御レジスタのブロック図。 本発明の代替の一実施態様によるデータ処理システムのブロック図。

Claims (11)

1. バスを有するデータ処理システム（１０）において周辺装置アクセスを保護する方法であって、
   周辺装置（２２または２４）へのアクセスを要求するバス・アクセスを開始するバス・アクセス開始工程と、
   バス・アクセスに関連する権限標識子（３７）を出力する権限標識子出力工程と、
   権限レベル変更子を出力する権限レベル変更子出力工程と、
   選択的調節済み権限標識子（５７）を生成するために権限レベル変更子の値に基づいて権限標識子を選択的に調節する権限標識子調節工程とから成る方法。
2. 周辺装置へのバス・アクセスが許可されるか否かを権限標識子ではなく選択的調節済み権限標識子を用いて判定する選択的調節済み権限標識子判定工程をさらに含む請求項１に記載の方法。
3. 権限レベル変更子は第１のバス・マスタ（１４または１５）に対応することと、
   第１のバス・マスタに対応する複数の信頼属性を出力する信頼属性出力工程と、
   バス・アクセスが読取アクセスの場合、複数の信頼属性から第１の信頼属性を選択する第１信頼属性選択工程と、
   バス・アクセスが読取アクセスの場合、第１のバス・マスタは読取アクセスに対して信頼済みか否かを第１の信頼属性を用いて判定する第１信頼属性判定工程と、
   バス・アクセスが書込アクセスの場合、複数の信頼属性から第２の信頼属性を選択する第２信頼属性選択工程と、
   バス・アクセスが書込アクセスの場合、第１のバス・マスタは読取アクセスに対して信頼済みか否かを第２の信頼属性を用いて判定する第２信頼属性判定工程とをさらに含む請求項１に記載の方法。
4. 周辺装置がアクセスに対して管理者権限レベルを要求するか否かを判定するために周辺装置に対する１つ以上の権限保護ビット（８２または８６）を出力する権限保護ビット出力工程をさらに含む請求項１に記載の方法。
5. 第１のバス・マスタに対応する１つ以上の信頼属性を出力する信頼属性出力工程と、
   第１のバス・マスタは信頼済みバス・マスタか否かを同１つ以上の信頼属性を用いて判定する信頼属性判定工程とをさらに含む請求項１に記載の方法。
6. 周辺装置へのアクセスを要求する第２のバス・アクセスを開始する第２バス・アクセス開始工程と、
   第２のバス・アクセスに関連する第２の権限標識子を出力する第２権限標識子出力工程と、
   第２の権限レベル変更子を出力する第２権限レベル変更子出力工程と、
   第２のバス・マスタに対応する第２の権限レベル変更子の値に基づいて第２の権限標識子を選択的に調節する第２権限標識子調節工程とをさらに含む請求項１に記載の方法。
7. 周辺装置に対する１つ以上の周辺装置信頼属性を出力する周辺装置信頼属性出力工程と、
   非信頼バス・マスタから周辺装置へのアクセスが許可される否かを同１つ以上の周辺装置信頼属性を用いて判定する周辺装置信頼属性判定工程とをさらに含む請求項１に記載の方法。
8. 第１のバス・マスタ（１４）、周辺装置（２２または２４）、権限標識子（３７）、調節済み権限標識子（５７）、第１の記憶回路（７０）、および制御回路（４４）から成るデータ処理システムであって、
   第１の記憶回路（７０）が第１のバス・マスタに対応する第１の権限レベル変更子を記憶することと、
   制御回路（４４）が第１のバス・マスタ、周辺装置、権限標識子、調節済み権限標識子、および第１の記憶回路に接続され、権限標識子と、第１の権限レベル変更子に基づく選択的調節済み権限標識子とを受信し、かつ、調節済み権限標識子を出力することとを備えるデータ処理システム。
9. 制御回路に接続された第２のバス・マスタ（１５）と、
   第２のバス・マスタに対応する第２の権限レベル変更子を記憶し、かつ制御回路に接続された第２の記憶回路（７４）と、
   第２のバス・マスタがバス・アクセスを開始した時、権限標識子と、第２の権限レベル変更子に基づく選択的調節済み権限標識子とを制御回路が受信することとをさらに備える請求項８に記載のデータ処理システム。
10. データ処理システム（１０）において周辺装置アクセスを保護する方法であって、
    第１のバス・マスタ（１４）を設ける工程と、
    第２のバス・マスタ（１５）を設ける工程と、
    周辺装置（２２または２４）へのアクセスを要求する第１のバス・アクセスを開始する第１バス・アクセス開始工程と、
    第１のバス・アクセスに関連する第１の権限標識子（３７）を出力する第１権限標識子出力工程と、
    第１の権限レベル変更子（７０）を出力する第１権限レベル変更子出力工程と、
    第１の選択的に調節済み権限標識子（５７）を生成するために第１の権限レベル変更子に基づいて第１の権限標識子を選択的に調節する第１権限標識子調節工程と、
    周辺装置へのアクセスを要求する第２のバス・アクセスを開始する第２バス・アクセス開始工程と、
    第２のバス・アクセスに関連する第２の権限標識子を出力する第２権限標識子出力工程と、
    第２の権限レベル変更子（７４）を出力する第２権限レベル変更子出力工程と、
    第２の選択的調節済み権限標識子を生成するために第２の権限レベル変更子に基づいて第２の権限標識子を選択的に調節する第２権限標識子調節工程とから成る方法。
11. バスを有するデータ処理システムにおいて周辺装置アクセスを保護する方法であって、
    周辺装置（２２または２４）へのアクセスを要求するバス・アクセスを開始するバス・アクセス開始工程と、
    第１のバス・マスタ（１４または１５）に対応し、かつ管理者／利用者属性から独立した１つ以上の信頼属性を出力する信頼属性出力工程と、
    第１のバス・マスタはバス・アクセスに対する信頼済みバス・マスタか否かを同１つ以上の信頼属性を用いて判定する信頼属性判定工程とから成る方法。
    

Images