💻 computer science

HammerSim: A System-Level Tool to Model RowHammer

本文提出了 HammerSim，这是一个基于 gem5 的全系统仿真框架，它集成了概率驱动的位翻转建模，以真实地评估 RowHammer 漏洞，并在现代计算平台上评估硬件和软件缓解措施。

原作者： Kaustav Goswami, Ayaz Akram, Hari Venugopalan, Jason Lowe-Power

发布于 2026-05-28

📖 1 分钟阅读☕ 轻松阅读

原作者： Kaustav Goswami, Ayaz Akram, Hari Venugopalan, Jason Lowe-Power

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你计算机的内存（RAM）就像一座巨大而拥挤的公寓楼。每一间公寓都是一个微小的存储单元，存放着单一的数据（0 或 1）。在理想世界中，这些公寓坚固且彼此独立。但在现实世界中，随着技术不断缩小以在相同空间内容纳更多公寓，公寓之间的墙壁变得薄如纸。

这就是RowHammer（行锤击）登场之处。

问题所在：“行锤击”效应

想象一下，404 号公寓里住着一位吵闹的租户，他开始反复在地板上跳跃。由于墙壁太薄，震动最终会摇晃到邻近公寓（403 和 405 号）里的家具，导致物品倾倒或发生变化。用计算机术语来说，反复访问（或“锤击”）特定的内存行会产生电气干扰，从而翻转邻近行中的比特位。

这不仅仅是一个小故障；这是一场安全噩梦。黑客可以利用这种“震动”以某种方式翻转比特位，从而突破大楼的管理办公室（操作系统）或窃取机密。

当前的困境：两种有缺陷的工具

研究人员一直试图用两种主要工具来研究这个问题，但两者都有漏洞：

硬件实验室（FPGA）：这就像建造一座真实的、物理的公寓楼模型。它在观察墙壁如何震动方面非常准确，但它太小了，无法看到大楼管理员（操作系统）如何对噪音做出反应。你无法看到整栋大楼的动态。
软件漏洞利用：这就像编写一个脚本来假装自己是那个吵闹的租户。它在观察管理员如何反应方面很出色，但这只是一种猜测。你无法真正看到物理墙壁的摇晃或芯片内部发生的电气干扰。

如今大多数计算机模拟就像这座大楼的卡通版本。它们假设所有墙壁强度相同，所有震动都一样。但在现实中，有些墙壁很弱，有些很强，而且震动是混乱的。

解决方案：HammerSim

本文的作者构建了一个名为HammerSim的新工具。把它想象成一个超逼真的视频游戏模拟器，它结合了两个世界的优点。

它运行整栋大楼：与小型硬件模型不同，HammerSim 在一个完整的计算机模拟器（称为 gem5）中运行。这意味着它可以在噪音发生时，同时观察“大楼管理员”（操作系统）和“租户”（应用程序）。
它知晓弱点：HammerSim 不使用“所有墙壁都一样”的假设，而是利用真实世界内存芯片的“地图”。它确切地知道哪些特定单元很弱且容易损坏，就像真正的建筑检查员知道哪些公寓的墙壁很薄一样。
它是一个“如果……会怎样”的机器：研究人员可以使用 HammerSim 测试不同的场景：
- 攻击：黑客能否通过足够频繁地跳跃地板来突破防线？
- 防御：如果我们安装隔音材料（一种称为 TRR 的硬件修复方案）或一名检查家具的安全员（软件/ECC），会发生什么？
- 意外：如果一个正常、无辜的租户（良性应用程序）意外导致比特位翻转，会发生什么？大楼会倒塌，还是仅仅造成一点小混乱？

工作原理（幕后的魔法）

论文解释说，HammerSim 使用两种模式来研究这些问题：

在线模式（现场行动）：模拟器运行一个真实程序。随着程序运行，HammerSim 秘密地向内存中注入“比特位翻转”（家具倾倒）。它观察程序是否崩溃、操作系统是否恐慌，或者黑客是否成功。这就像观看一部电影，其中的特效（比特位翻转）是实时发生的。
离线模式（回放）：有时，运行整部电影太耗时。在这种模式下，HammerSim 记录程序的“脚步”（内存访问模式）。稍后，计算机可以将这些脚步与成千上万种不同的“薄弱墙壁”地图进行回放，以查看如果不等待整个模拟完成，原本会发生什么。

结果

团队在真实计算机芯片上测试了 HammerSim。他们发现，他们的模拟器非常擅长准确预测“比特位翻转”发生的位置，与真实硬件几乎完美匹配。

他们还表明：

ECC（纠错码）：这就像一名在有人注意到之前修复倾倒椅子的保安。HammerSim 显示，虽然这有帮助，但它不是万能药；如果太多东西同时倒下，保安无法全部修复。
静默错误：有时，比特位发生了翻转，但程序并没有崩溃。它只是给出了错误的答案。HammerSim 能够捕捉到这些“静默”错误，这对安全性至关重要。

核心结论

HammerSim 是一座桥梁。它将物理计算机芯片混乱、不可预测的现实与计算机模拟干净、受控的世界连接起来。它允许研究人员安全地测试如何保护我们的计算机免受这些“震动”攻击，而无需为每一次测试都构建一个新的物理芯片。这是一项工具，旨在在墙壁开始摇晃之前，让我们的数字公寓楼更安全。

技术摘要：HammerSim

问题陈述

现代架构研究严重依赖模拟器来评估系统安全性，然而分析诸如 RowHammer 之类的新兴硬件漏洞却构成了重大挑战。现有工具存在“保真度差距”：

基于硬件的方法（FPGA、软件利用）提供了高物理精度或操作系统级可见性，但缺乏另一方面的能力。FPGA 无法模拟操作系统抽象或全系统动态，而软件利用则缺乏原型化协同设计缓解措施所需的硬件可见性。
周期精确模拟器（例如标准 gem5 配置）通常假设理想化设置，使用数据手册中的标称时序和电压值。它们通常将故障视为均匀或二元事件，无法捕捉由制造工艺变化引起的 RowHammer 位翻转的高度非均匀、局部化特性。
系统级影响：随着 DRAM 技术的演进，RowHammer 阈值降低，使得全系统可见性变得至关重要。若无法模拟硬件故障如何与操作系统调度、缓存层次结构和内存控制器动态交互，研究人员便无法可靠地估算安全边界或系统可靠性。

方法论

作者提出了 HammerSim，这是一个基于 gem5 架构模拟器的全系统 RowHammer 建模框架。该方法论通过以下组件弥合了硬件表征与架构模拟之间的差距：

1. 硬件表征与建模

为了使模拟扎根于物理现实，作者利用 Blacksmith 分析基础设施，对来自多家制造商的真实 DDR4 DIMM 进行了广泛实验。关键的实证观察推动了建模：

空间局部性：位翻转高度局部化；特定区域易受攻击，而相邻结构则保持稳健。
时间饱和性：易受攻击的单元池是有限的；一旦某个单元失效，其再次失效的概率是有界的。
非线性：与单侧攻击相比，多侧（双侧）攻击会显著放大位翻转概率。

2. gem5 中的架构实现

HammerSim 将这些见解直接集成到 gem5 内存接口中，无需外部基于轨迹的后端。它引入了两种主要的执行模式：

在线模式（运行时故障注入）：
- 概率驱动的位翻转：使用概率分布（基于真实硬件的文件设备映射或基于 VARIUS 的统计模型）来识别“弱单元”（WC）。
- 空间追踪：在内存控制器内维护优化的计数对，以追踪攻击行及其邻居的激活率（支持单侧、双侧和半双侧攻击）。
- 静默损坏：向活动内存阵列注入位级数据损坏，而不触发硬件中断，从而模拟真实的软错误。这使得操作系统和应用程序在访问损坏数据之前保持不知情。
- 功能型 ECC：实现了纠错码（SECDED）的软件抽象，拦截请求，评估奇偶校验，并纠正单比特错误或标记多比特错误，同时保持模拟的挂钟时间。
离线模式（轨迹分析）：
- 在刷新边界（ $t_{REFW}$ ）记录行级激活轨迹。
- 允许外部工具将这些轨迹与不同的工艺变化分布、设备映射或缓解阈值叠加，而无需重新运行全系统模拟。这使硬件设计师能够进行快速敏感性扫描。

3. 缓解支持

该框架支持硬件 - 软件协同设计的评估，包括：

目标行刷新（TRR）：以时序正确性进行建模，在刷新窗口内向受害行发送特定的 REF 或 ACT 命令。
概率刷新：实现 PARA 和 TWICE 等策略。

主要贡献

系统级 RowHammer 模型：一个基于 gem5 的框架，结合了多种概率分布以进行真实的位翻转估算，支持对真实工作负载和未来 DRAM 技术的研究。
双重分析模式：
- 在线：支持原位数据损坏，以研究系统级影响（操作系统反应、内核恐慌、静默错误）。
- 离线：提供后处理功能，用于准确的概率估算和快速的设计空间探索。
硬件 informed 验证：利用 Jensen-Shannon (JS) 散度针对真实 DDR4 DIMM 进行了广泛验证，证明该模拟准确捕捉了现实世界的位翻转模式和空间局部性。

结果与评估

作者通过三个案例研究验证了 HammerSim：

验证（案例研究 I）：
- 将模拟的位翻转图与来自多个 DIMM 中 9 个不同行的硬件生成图进行了比较。
- 结果：模拟显示出较低的 JS 散度值，表明与真实硬件行为具有高度相似性，即使在模拟复杂的 TRR 交互时也是如此。
全系统应用与 ECC（案例研究 II）：
- 在模拟器内执行了 Google 的 rowhammer-test 工作负载。
- 结果：成功演示了数据损坏以及绕过操作系统保护的能力。
- ECC 评估：测试了 SECDED ECC 功能。模拟器正确纠正了单比特错误并检测了双比特错误，报告了不可纠正错误和内核恐慌的统计数据。
良性应用（案例研究 III）：
- 分析了 NAS 并行基准测试和 GAPBS 的内存轨迹。
- 结果：在标准参数下，未检测到 RowHammer 模式。然而，通过降低阈值并增加概率，该工具成功识别了在某些工作负载（如 mg、ft）中传播到程序执行结束的“静默错误”，而其他工作负载则失败（段错误）。
- 开销：与基准 gem5 相比，HammerSim 导致挂钟时间平均增加 10.9% 至 29.2%，主机内存使用量增加 50.6% 至 65%，这是为获得更高保真度所付出的代价。

意义与主张

本文声称 HammerSim 提供了一个可扩展平台，以弥合硬件实验与架构模拟之间的差距。其主要意义在于：

真实性：超越理想化假设，利用真实设备映射来模拟 RowHammer 的非均匀、空间局部化特性。
系统可见性：允许研究人员研究硬件故障与操作系统调度、缓存层次结构和内存控制器的交互，这是以前仅靠 FPGA 或仅靠轨迹的方法无法实现的。
多功能性：在统一环境中支持对攻击（例如权限提升、指纹识别）和防御措施（TRR、ECC、行交换）的评估。
面向未来：为研究未来 DRAM 代际中 RowHammer 阈值的降低如何影响良性工作负载的可靠性和系统安全性奠定了基础。

作者总结道，虽然目前演示的缓解措施是有意简化的，但 HammerSim 为原型设计和基准测试针对 RowHammer 的高级系统级防御奠定了严谨的基础。