本文研究内存控制器（MC）中的Rowhammer缓解机制的安全性与效率。Rowhammer攻击利用DRAM单元的高密度特性，导致频繁访问的行引起相邻行比特翻转。缓解方案在设计上面临跟踪存储与缓解率之间的权衡：精确跟踪器（如Misra-Gries）能准确识别攻击行，但需要昂贵的CAM硬件；基于采样的方法（如PARA）无需额外存储，但会频繁触发缓解操作，影响性能。微软在Azure Cobalt 200 SoC中部署了Sigries，该机制将精简的Misra-Gries跟踪器与行采样后备结合，试图兼顾两者。Sigries曾声称跟踪器到采样的转换不安全，但反向转换总是安全的。本文分析表明，这种反向转换同样存在漏洞，跨子库的循环攻击可将Sigries的平均故障时间（MTTF）降至约1秒，相比PARA的13年下降8个数量级。此外，Sigries的CAM复杂性和高存储开销也是实际缺陷。为此，论文提出FiRM（Filtered Rowhammer Mitigation），核心见解是跟踪模式和采样模式必须协同设计，而非独立配置，以确保在两种模式及模式转换期间系统均保持安全。FiRM对良性工作负载零减速，因为正常访问模式不会超过过滤阈值，并且用简单的SRAM过滤器替代了复杂的CAM结构。为应对高压力攻击模式，论文进一步提出FiRM-P（概率性）和FiRM-D（确定性）两种变体：FiRM-P在转换和稳态期间动态调整概率，兼顾安全与性能；FiRM-D通过调节缓解速率提供确定性安全保证。实验结果表明，FiRM-P和FiRM-D在存储开销上均低于Sigries，同时有效避免了Sigries的安全漏洞。该研究为硬件级内存安全设计提供了重要参考。