Resumo Técnico: Dados Carregados: Resolvendo o Problema de Não Seleção para Defesa Escalável Probabilística contra RowHammer

1. Declaração do Problema

A vulnerabilidade RowHammer, onde a ativação repetida de linhas de DRAM induz inversões de bits em linhas vítimas adjacentes, tornou-se cada vez mais severa à medida que a tecnologia de DRAM escala. O número mínimo de ativações necessário para induzir uma inversão (o limiar RowHammer, $T_{RH}$) caiu significativamente, particularmente para ataques de dois lados ($T_{RH-D}$).

Estratégias de mitigação existentes enfrentam um compromisso entre segurança, desempenho e sobrecarga de área:

• Contagem de Ativação por Linha (PRAC): Padronizado para DDR5, o PRAC usa contadores por linha para rastrear ativações com precisão. No entanto, atualizar esses contadores a cada ativação por meio de operações de leitura-modificação-gravação aumenta significativamente os parâmetros de temporização da DRAM (por exemplo, $t_{RP}$ e $t_{RC}$), levando a uma degradação substancial de desempenho (por exemplo, ~14% de desaceleração média) e sobrecarga de área notável devido às células de contador.
• Mitigações Probabilísticas (por exemplo, MINT): Esses esquemas evitam contadores por linha selecionando aleatoriamente linhas para mitigação dentro de janelas periódicas. Embora eficazes em limiares altos ($T_{RH-D} \ge 1000$), eles sofrem com o problema de não seleção em limiares mais baixos. Para garantir que uma linha fortemente atacada não seja repetidamente ignorada pela amostragem aleatória, esses esquemas devem aumentar estaticamente sua taxa de mitigação (emitindo comandos de Gerenciamento de Atualização, RFMs, com mais frequência). Essa escala de taxa fixa reduz a largura de banda efetiva da memória e causa desacelerações significativas (por exemplo, 17,5% em $T_{RH-D}=250$) mesmo quando nenhum ataque está presente.

O desafio central é projetar uma mitigação que escale para baixo $T_{RH-D}$ sem aumentar uniformemente a frequência de mitigação, preservando assim o desempenho para cargas de trabalho benignas enquanto mantém a segurança.

2. Metodologia: PrISM

Os autores propõem PrISM (Mitigação de Amostragem Baseada em Interseção Probabilística), uma defesa escalável em DRAM que correlaciona endereços de linha amostrados entre janelas de mitigação para abordar o problema de não seleção.

Mecanismo Central

O PrISM opera em janelas de mitigação de tamanho fixo, mas utiliza uma Fila de Histórico Amostrado (SHQ) para rastrear a atividade da linha ao longo do tempo.

1. Amostragem: Em cada janela, o PrISM amostra aleatoriamente $R$ slots de ativação fora de $W$ slots totais.
2. Detecção de Interseção: Quando uma linha é amostrada, o PrISM verifica se ela corresponde a qualquer entrada na SHQ, que armazena linhas amostradas, mas não mitigadas, das $L$ janelas anteriores (a janela de retrocesso).
3. Solicitação de Mitigação:
   • Mitigação Padrão: Uma linha amostrada não intersecionada é selecionada como candidata padrão de mitigação para a janela.
   • Mitigação Adicional: Se uma linha amostrada corresponder a uma entrada na SHQ (uma "interseção"), isso indica atividade persistente. O PrISM enfileira essa linha em uma Fila de Mitigação Pendente (PMQ) e solicita uma mitigação adicional por meio do protocolo existente Alert Back-Off (ABO) da JEDEC.
4. Atendimento: A PMQ bufferiza linhas aguardando atendimento. As linhas são mitigadas durante oportunidades padrão (Atualização de Linha Alvo ou RFMs proativos). Se a PMQ encher ou a contagem de ativação de uma linha exceder um limiar de atraso ($T_{PMQ}$), o PrISM asserta um Alerta para acionar um RFM imediato.

Características Principais de Design

• Sem Contadores por Linha: O PrISM evita a sobrecarga de área e temporização do PRAC ao não manter contadores para cada linha.
• Taxa de Mitigação Dinâmica: Diferentemente do MINT, que aumenta a taxa de mitigação globalmente conforme $T_{RH-D}$ cai, o PrISM mantém a taxa de mitigação padrão baixa. Ele aumenta a frequência de mitigação apenas quando atividade persistente (interseções) é detectada.
• Compatibilidade JEDEC: O PrISM reutiliza o protocolo ABO existente e não requer alterações no array ou na interface da DRAM.
• Mapeamento de Endereço: Para limiares ultra-baixos ($T_{RH-D} \le 250$), o PrISM emprega mapeamento de endereço aleatório para evitar que cargas de trabalho benignas com alta localidade espacial acionem interseções falsas.

3. Contribuições Principais

• Identificação do Problema de Não Seleção: O artigo identifica a barreira estatística onde defesas probabilísticas de taxa fixa falham em limiares baixos, necessitando de uma nova abordagem que não dependa de escala de taxa uniforme.
• Design do PrISM: Uma mitigação inovadora baseada em interseção que usa uma SHQ para correlacionar linhas amostradas entre janelas, permitindo mitigações adicionais direcionadas apenas para agressores persistentes.
• Análise de Segurança: Os autores modelam um ataque de pior caso "Circular-X-Linhas" para determinar o $T_{RH-D}$ mínimo suportado para várias configurações de tamanho de janela ($W$), slots amostrados ($R$) e janela de retrocesso ($L$).
• Avaliação Abrangente: O artigo avalia o PrISM contra PRAC (especificamente QPRAC) e MINT em 57 cargas de trabalho, variando $T_{RH-D}$, intensidade de memória e configurações de sistema.

4. Resultados

A avaliação, conduzida usando o simulador de DRAM Ramulator2 com um processador OoO de 8 núcleos e DDR5-8000B, demonstra o seguinte:

• Sobrecarga de Desempenho:
  • Em $T_{RH-D} = 500$, o PrISM incorre em uma 0,2% de desaceleração média negligenciável, comparado a 14% para PRAC e 7,1% para MINT.
  • No limiar ultra-baixo de $T_{RH-D} = 250$, o PrISM alcança uma desaceleração média de 1,5%. Em contraste, o MINT sofre uma desaceleração de 10,7%, e o PRAC permanece em ~14%.
  • Em cargas de trabalho de alta intensidade de memória, o PrISM reduz a desaceleração de 17,5% (MINT em $T_{RH-D}=250$) para 2,5%.
• Sobrecarga de Armazenamento:
  • O PrISM requer apenas 625B de SRAM por banco em $T_{RH-D}=500$.
  • Isso é 20× menor que o Mithril e 170× menor que o ProTRR no mesmo limiar. Mesmo em $T_{RH-D}=250$, o armazenamento do PrISM é de uma a duas ordens de magnitude menor que defesas baseadas em contadores seguras.
• Sobrecarga de Energia:
  • A sobrecarga de energia é mínima, estimada em aproximadamente 0,6% a 1,0% da potência total do chip DRAM, principalmente devido às estruturas SRAM e a um pequeno TRNG.
• Segurança:
  • O PrISM suporta $T_{RH-D}$ até 250 com um Tempo Médio até a Falha (MTTF) alvo de 10.000 anos por banco.
  • O sistema é robusto contra ataques de Negação de Serviço (DoS); embora um atacante possa forçar desacelerações de pior caso (até 2,31× em $T_{RH-D}=250$), isso é comparável a ataques existentes de desempenho de memória.

5. Significado e Alegações

O artigo afirma que o PrISM representa um avanço significativo na defesa contra RowHammer, resolvendo as limitações de escalabilidade de esquemas probabilísticos sem incorrer nos altos custos de abordagens determinísticas baseadas em contadores.

• Escalabilidade: O PrISM escala com sucesso para baixo $T_{RH-D}$ (até 250) aumentando dinamicamente a mitigação apenas quando necessário, evitando a penalidade de "escala de taxa fixa" de métodos probabilísticos anteriores.
• Praticidade: Ao reutilizar o protocolo ABO existente e não exigir modificações no array DRAM, o PrISM é apresentado como uma solução prática para sistemas DDR5 de curto prazo, onde a adoção do PRAC é incerta devido à sua alta sobrecarga.
• Eficiência: A combinação de desaceleração de desempenho negligenciável, requisitos mínimos de armazenamento e baixo consumo de energia posiciona o PrISM como uma alternativa superior tanto ao PRAC quanto às defesas probabilísticas existentes como o MINT, particularmente para cargas de trabalho de alto desempenho e intensivas em memória.

Os autores concluem que o PrISM fornece proteção segura contra RowHammer com características de desempenho e área que o tornam viável para implantação comercial em tecnologias de DRAM atuais e futuras.