💻 computer science

ColumnKeeper: Efficient Solutions to the ColumnDisturb Vulnerability in DRAM-based Systems

本文介绍了 ColumnKeeper，这是第一套通过追踪列激活或概率性刷新行来有效防止新发现的 ColumnDisturb 漏洞的缓解机制（确定性 CK-D 和概率性 CK-P），在实现高安全性的同时，仅产生极小的性能、能耗和面积开销。

原作者： Andreas Kosmas Kakolyris, F. Nisa Bostanci, Ataberk Olgun, Ismail Emir Yuksel, Harsh Songara, Konstantinos Marios Sgouras, Umut Baser, Konstantinos Kanellopoulos, A. Giray Yaglikci, Onut Mutlu

发布于 2026-06-23

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Andreas Kosmas Kakolyris, F. Nisa Bostanci, Ataberk Olgun, Ismail Emir Yuksel, Harsh Songara, Konstantinos Marios Sgouras, Umut Baser, Konstantinos Kanellopoulos, A. Giray Yaglikci, Onut Mutlu

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下你的电脑内存（DRAM）是一个巨大的、高速运转的图书馆。在这个图书馆内部，有数百万个微小的书架（行）存放着书籍（数据）。几十年来，计算机科学家们一直担心一个被称为 RowHammer 的问题。这就像是一个淘气的孩子，在两个特定的书架之间来回奔跑，把地板震得太厉害，以至于相邻书架上的书掉落并混杂在一起。

长期以来，我们一直认为这已经是能发生的最坏情况了。但本文介绍了一个更奇怪的新问题，叫做 ColumnDisturb。

新问题：“列”震动

不同于在两个书架之间摇晃地板，想象一下这个图书馆有一个独特的设计：书架被排列成垂直的列，并且共享一个共同的支撑梁。

ColumnDisturb 发生在有人反复敲击某一特定垂直列的书籍时。由于该图书馆的设计方式（论文中称之为“开位线架构”，open-bitline architecture），敲击一列不仅会影响该书架上的书，还会震动整个支撑梁，导致同时有三个完整区域的书架上的书掉落。

旧问题 (Rowhammer)： 影响附近的几个书架。
新问题 (ColumnDisturb)： 同时影响三个不同区域的数千个书架。

现有的保安（缓解机制）是针对“摇晃地板”问题进行训练的。面对这种新的“震动梁”问题，他们完全无能为力，因为他们观察的角度不对，也不理解一次敲击会影响三个区域。

解决方案：ColumnKeeper

作者提出了一个名为 ColumnKeeper 的新安全系统。你可以把它想象成一套新的图书馆管理员规则，用以防止书籍掉落。他们提供了两种不同风格的保安：

1. 确定性保安 (ColumnKeeper-D)

这位保安就像一位精准的会计师。

工作原理： 保安知道，当你敲击一列时，它会影响一个区域内的“奇数号”书籍和相邻区域内的“偶数号”书籍。
诀窍： 这位保安不仅仅是统计“这一列被敲击了多少次？”，他还会保留两张独立的记账卡：一张用于记录奇数次敲击，另一张用于记录偶数次敲击。
为什么聪明： 如果你敲击这一列的方式只影响了邻近区域的奇数书籍，这位保安就不会产生混乱，也不会误以为两个区域都被敲击了。这避免了“重复计数”敲击次数的情况。
行动： 一旦其中一张卡上的分数过高，保安就会从受影响的区域中随机挑选一本书，并在书掉落之前将其放回原处（刷新它）。他一次只处理一本书，动作缓慢，这样就不会停止图书馆的运作。

2. 概率性保安 (ColumnKeeper-P)

这位保安就像一位掷硬币的赌徒。

工作原理： 这位保安根本不保留记账卡。每当有一列被敲击时，保安就会掷一次硬币。
行动： 如果硬币显示“正面”（这发生在一个经过精确计算的概率下），保安会立即去刷新受影响的三个区域中的一本书。
为什么好： 它更容易构建（需要的硬件更少）且成本更低。虽然它不能 100% 保证抓住每一次敲击，但数学证明，书籍掉落的概率极低（就像连续多次赢得彩票一样），因此在几乎任何情况下都是安全的。

它的效果如何？

作者在模拟的计算机环境中测试了这些保安。以下是他们的发现：

速度： 这些保安非常快。在当前的“安全”场景下（即需要 100 万次敲击才会损坏内存），保安让计算机变慢的程度几乎可以忽略不计（小于 0.5%）。即使在“近未来”的场景下（内存更加脆弱，只需 12.8 万次敲击），减速仍然非常小（大约 1-3%）。
能量： 这些保安不会消耗过多的额外电量。
体积： 增加这些保安所需的硬件体积非常小。 “会计师”保安在芯片上仅占用约 0.1 平方毫米的空间，而“赌徒”保安占用的空间甚至更少，仅为 0.03 平方毫米。这大约只有一粒沙子那么大。

“如果……会怎样”的情景

论文还研究了如果未来的内存变得极其脆弱（仅需 1.6 万次敲击就会损坏）时会发生什么。

问题： 保安必须如此频繁地刷新书籍，以至于图书馆的运行速度会显著下降。
解决方法： 论文提出了两种修复方法：
1. 更小的书架： 如果图书馆的区域（子阵列）更小，保安就无需检查那么多书籍。
2. 并行保安： 如果图书馆允许多个保安同时在不同区域工作（这是一个被称为“子阵列级并行性”的功能），减速程度将会减轻很多。

总结

ColumnKeeper 是第一个旨在阻止这种新型“列扰动”震动问题的系统。它提供了两种选择：

ColumnKeeper-D： 一个智能、精准的系统，通过仔细统计敲击次数来避免不必要的劳动。
ColumnKeeper-P： 一个更简单、更便宜的系统，利用随机性来保持安全。

两种方案都能保护你的电脑内存免于崩溃或数据泄露，且几乎不会带来速度或电池寿命方面的代价，并且它们可以以极小的额外空间成本构建在未来的计算机中。

技术摘要：ColumnKeeper

1. 问题陈述

现代 DRAM 芯片容易受到读干扰现象的影响，最显著的是 RowHammer 和 RowPress，即通过重复访问“攻击者”行来诱发相邻“受害者”行的位翻转。虽然现有的缓解策略通过追踪行激活来刷新潜在的受害者，但一种新发现的现象——ColumnDisturb（列干扰）使得这些方法失效。

ColumnDisturb 与基于行的干扰有着本质的区别：

机制： 它是通过重复访问 DRAM 单元的同一列而非行来诱发的。
范围： 由于现代 DRAM 的开位线（open-bitline）架构（其中感应放大器以交错方式在相邻子阵列之间共享），对单个列的锤击会影响所有共享该位线的单元。因此，子阵列中的单次行激活会干扰三个连续子阵列（激活的子阵列及其两个相邻子阵列）中的所有单元。
影响： 这会同时影响数千行和数百万个单元。现有的 RowHammer 缓解措施运行在行粒度上并追踪特定的攻击者行，无法防御 ColumnDisturb，因为它们未能考虑到子阵列级别的爆炸半径以及特定的位线共享模式。
朴素缓解方案的失败： 为了对抗 ColumnDisturb 而简单地提高 DRAM 刷新率会导致严重的性能和能量惩罚，特别是随着技术缩放导致 ColumnDisturb 阈值（ $N_{CD}$ ）降低时。同样，修改现有的行追踪机制（如 PRAC）以在达到阈值时刷新三个子阵列中的所有行，会导致过多的不必要刷新和高昂的开销。

2. 方法论：ColumnKeeper

作者提出了 ColumnKeeper，这是第一套旨在以低性能、能量和面积开销缓解 ColumnDisturb 位翻转的机制。ColumnKeeper 在子阵列粒度上运行，并采用两种变体：确定性机制（ColumnKeeper-D 或 CK-D）和概率性机制（ColumnKeeper-P 或 CK-P）。

共享组件

两种变体都使用**行指针表（Row Pointer Table, RPT）**来管理预防性刷新的目标。RPT 为每个子阵列维护一个条目，指向下一个要刷新的行。当触发刷新时，该机制会刷新所指向的行，并以轮询（round-robin）方式递增指针。这确保了在达到 ColumnDisturb 阈值之前，受影响子阵列中的所有行都会被迭代刷新，从而避免了同时刷新所有行带来的延迟。

ColumnKeeper-D (CK-D)：确定性缓解

CK-D 旨在通过精确追踪激活并避免“重复计数”来提供确定性的安全保证。

重复计数问题： 在开位线架构中，中心子阵列中的行激活会影响其一个邻居的偶数列和另一个邻居的奇数列。一个简单地对邻居所有激活进行求和的计数器会高估特定位线的锤击次数，从而触发不必要的刷新。
解决方案： CK-D 为每个子阵列维护两个独立的计数器表：偶数计数器表（Counter Table-Even, CT-E）和奇数计数器表（Counter Table-Odd, CT-O）。
- 当子阵列 $k$ 中的一行被激活时，CK-D 会增加子阵列 $k$ 的 CT-E 和 CT-O（因为所有列都受到了影响）。
- 对于相邻的子阵列（ $k-1$ 和 $k+1$ ），它仅增加与受影响位线相对应的特定计数器（例如， $k-1$ 增加 CT-E， $k+1$ 增加 CT-O）。
触发： 该机制计算一个子阵列的偶数和奇数计数器的最大值。如果该值达到阈值（ $N_{PR} = N_{CD} / S$ ，其中 $S$ 是子阵列大小），则使用 RPT 触发该子阵列的预防性刷新。
安全性： 作者通过归纳法证明，CK-D 在最坏情况下的访问模式下能确定性地防止位翻转。

ColumnKeeper-P (CK-P)：概率性缓解

CK-P 旨在通过消除激活计数器来降低硬件复杂度。

机制： 在子阵列发生任何行激活时，CK-P 会以预定的概率（ $P_{PR}$ ）向激活的子阵列及其两个邻居发出预防性刷新指令。
配置： 计算概率 $P_{PR}$ 以确保在特定时间范围内（例如一年）内成功发生 ColumnDisturb 攻击的概率保持在可配置的界限（ $P_Y$ ）之下。
权衡： 这种方法提供了较低的面积开销，但提供的是可配置的安全保证，而非确定性的保证。

处理隐式激活

两种机制都必须考虑由周期性刷新（REF）和 RowHammer 预防性刷新（RFM）引起的隐式激活。

周期性刷新： 由于 REF 命令不指定子阵列，CK-D 保守地从阈值计算中减去一个安全裕量（ $2S$ ），以考虑到全局刷新可能给行带来的最大锤击计数。
RowHammer 缓解集成： 当与 RowHammer 防御（如 PRAC）结合使用时，ColumnKeeper 将其自身的刷新视为显式激活。对于可能影响任何子阵列的外部 REF/RFM 命令，CK-D 会增加所有计数器（或在 CK-P 中刷新所有子阵列）以维持安全性。

3. 核心贡献

首个针对 ColumnDisturb 的缓解方案： 本文引入了第一个专门用于缓解 ColumnDisturb 位翻转的实用机制（CK-D 和 CK-P）。
架构洞察： 该设计利用开位线架构来实现奇偶列追踪的分离（在 CK-D 中），从而避免了困扰朴素方案的激活计数高估问题。
安全性分析：
- CK-D： 被证明能针对最坏情况下的访问模式确定性地防止位翻转。
- CK-P： 提供可配置的安全保证，其失败概率经过数学建模并经过蒙特卡洛模拟验证。
全面评估： 作者使用周期精确模拟器（Ramulator 2.0）和功耗分析工具（DRAMPower）对 62 个单核和 60 个多核工作负载进行了评估。

4. 结果

评估表明，在当前及近未来的阈值下，ColumnKeeper 能以极低的开销实现显著的安全保障。

性能开销：
- 在当前实验阈值（ $N_{CD} = 1M$ ）下，CK-D 和 CK-P 分别产生平均 0.15% 和 0.36% 的单核性能开销。
- 在“近未来”阈值（ $N_{CD} = 128K$ ）下，开销上升至 1.70%（CK-D）和 2.73%（CK-P）。
- 对于极低的阈值（ $N_{CD} = 16K$ ），开销显著（例如 CK-D 平均约为 1.7%），但可以通过减小子阵列大小或启用子阵列级并行性（SALP）来缓解。
能量与面积：
- 在当前阈值下，能量开销很低（对于 $N_{CD}=1M$ ，低于 2%），但随着阈值下降，能量开销会增加。
- 面积开销极小：CK-D 为 0.1 mm²，CK-P 为 0.03 mm²。
多核影响： 由于行缓冲区冲突增加，多核工作负载显示出略高的开销，但 CK-D 相对于 CK-P 的性能优势保持一致。
In-DRAM 实现： 本文探讨了 CK-D 的 In-DRAM 实现（复用 PRAC 信号），通过避免对 RFM 命令进行保守的计数器增加，显著降低了低阈值下的开销（例如在 $N_{CD}=16K$ 时保持 >0.97 IPC）。

5. 重要性与主张

本文声称 ColumnKeeper 是第一个能够在不产生朴素缓解策略（如全局刷新率增加）所带来的高昂性能和能量成本的前提下，有效防御 ColumnDisturb 的解决方案。

实用性： 这些机制旨在以低面积和功率成本在内存控制器中实现（或潜在地在 DRAM 内部实现），使其在近期采用方面具有可行性。
可扩展性： 虽然当前的阈值尚可应对，但论文承认未来技术缩放会降低 $N_{CD}$ 。通过架构修改（更小的子阵列、SALP）或 In-DRAM 集成，可以实现 ColumnKeeper 在这些更低阈值下的有效性。
开源： 作者表示 ColumnKeeper 对研究界免费开放，以促进进一步的研究与开发。

该工作得出结论，尽管 ColumnDisturb 对 DRAM 隔离构成了根本性挑战，但可以通过针对性的架构机制（尊重现代 DRAM 子阵列的物理特性）来进行有效缓解。