CN103391374A - 一种支持无缝切换的双系统终端 - Google Patents

Abstract

本发明涉及无线通信领域，特别是一种支持无缝切换的双系统终端，包括：非智能子系统和智能子系统，所述非智能子系统和所述智能子系统硬件独立，二者共享无线射频模块、屏幕、语音及其相关I/O接口设备，所述非智能子系统始终保持运行状态，用于进行安全通话和短信通信，所述非智能子系统和所述智能子系统通过硬件开关键完成切换。本发明的目的是通过相互隔离的两个手机系统同时运行并无缝快速切换，给用户提供安全的通信环境，保护用户隐私。

Description

一种支持无缝切换的双系统终端

技术领域

本发明涉及无线通信领域，特别是一种支持无缝切换的双系统终端。

背景技术

互联网的高速发展，电信网络与传统互联网络的结合，形成了今天高速发展的移动互联网。各种接入移动互联网的智能终端也先后涌现，如苹果、三星、华为、小米等先后推出各种型号的智能手机。人们通过功能强大、用户体验丰富的智能终端接入移动互联网，享受着网络提供的强大的计算、存储、网络、人机交互、应用和服务等为自己的工作和生活所带来的巨大便利。但是，功能强大是一把“双刃剑”，强大的智能手机在方便用户的同时，也给恶意程序提供了生存的空间和强大的支持，移动互联网也同传统的网络一样，充斥着各种恶意的、不安全的、不和谐的因素，这些潜在的危险都威胁的用户隐私数据的安全。

与传统的互联网计算机又有不同，移动互联网智能终端更贴近用户生活，用户日常生活中的大量隐私数据都存储在智能手机等终端中，如用户的社交联系人信息、用户的通信信息等。近来逐渐发展成熟的手机银行、电子金融支付等直接关系用户经济利益的业务，更是面临着巨大的安全挑战，一旦用户的账号密码被盗，将给用户带来难以估量的经济损失。智能手机强大的硬件（GPS、摄像头、麦克风等）支持，使得用户的位置数据等敏感信息易于获取，一旦被恶意程序利用，用户将“赤裸”的呈现在不法分子面前。一个简单的例子是，某恶意程序被安装，该程序便可以对用户的短信通信进行监控，当用户有短信进来时，在用户之前先行查看用户短信，形成劫持，进而冒充诈骗；或者监听用户通话状态，当用户打电话时启用手机录音功能，对用户通话过程进行录音并将该录音文件发送到入侵者的服务器上，这样，用户毫无隐私可言。

从智能手机搭载的软件角度看，操作系统方面，无论是开放源代码的操作系统（如Android），还是闭源的操作系统（如ios），在系统设计和实现时都不可避免的存在一些可被利用的潜在漏洞和缺陷。从应用软件方面，比如Android系统的应用软件对硬件资源的访问控制主要基于用户的许可安装，对用户来说，主观上的因素以及难以辨识合法程序与非法程序的权限而导致恶意软件有机可乘。更有恶意程序制造者采用逆向工程（反编译）等工程手段还原出一些流行的合法软件的源码，通过修改或者直接嵌入恶意代码，再将程序打包后，伪装成合法的应用程序，发布出去，用户很难辨识这类恶意程序。

面对诸多的安全威胁，操作系统开发人员从系统的各个层次采取了安全防护措施，比如Android系统，从linux内核层到Android应用层，系统提供了“沙盒机制”、权限控制等措施来保护系统安全。但是，系统在设计和实现时几乎不可能毫无漏洞和缺陷，攻击者们总是能找到各种各样的入侵方法，绕过系统的防护、封堵和验证，渗透到系统中，获得系统的最高级权限。也有第三方的安全服务提供商开发出智能手机用的杀毒和防护软件，这些安全软件对手机上安装的其他应用程序进行验证、审计和监控，如发现异常则与服务器的病毒库进行比对，对那些病毒库中已有样本的恶意程序进行查杀。但是，攻击者们的入侵手段层出不穷，各式各样的渗透、权限绕过、伪装、隐藏、诱骗手段频频出现。在整个防御与入侵的博弈过程中，防御的一方处于相对被动的位置，对系统漏洞的修补和新型病毒的查杀往往具有滞后性，即从系统漏洞被入侵者发现并利用到防护人员对漏洞进行修复、新型病毒（木马、恶意程序等）被制造传播到被安全检测软件发现并作出反应，这中间往往有一定的时间间隔。而就在这个时间间隔内，已经有大量用户的手机被非法控制或者感染了新型病毒，给用户造成损失。

国内外许多安全专家都致力于手机的安全防护，各大安全服务提供商不断更新自己的病毒库以及病毒检测技术，以求快速对恶意程序做出反应甚至提供主动性的防御功能。但攻防双方见招拆招的博弈几乎是没有终点的。并且目前对智能手机安全防护方面的研究及研发主要都集中在智能手机操作系统以及应用程序级，没有从根本上切断恶意程序生存的空间。

追溯手机操作系统的发展历史，在智能手机操作系统出现之前，手机接入电信网，手机操作系统只提供通话、短消息、彩信等一些必要的通信功能，那时“简陋”的非智能操作系统为用户提供基本的通信功能，用户体验并不丰富。同时，非智能操作系统也基本没有给恶意程序提供生存的环境，针对非智能操作系统的入侵相对较少，入侵者无法从系统下手，只能通过一些社会学的手段进行电话钓鱼、欺诈等活动，这些欺诈活动，从用户的角度来说，只要提高警惕，是可以避免的。所以，在非智能手机时代，很少发生用户隐私泄露的事件，用户手机基本是安全的。为了保护自己的隐私，有很多用户选择携带两部手机，一部是配置较低（仅保留通话、短信等必须功能）但安全的非智能手机，一部高配置（大屏幕、人机交互友好、多媒体体验丰富、性能高、响应速度快）的智能手机。非智能手机用来接听电话，传送短信等，可以避免通话窃听或者短信劫持，智能手机则用来享受接入互联网提供的各种应用服务。但是，这样的缺点也显而易见，两个手机意味着必须用两个号码，并且两个手机携带不方便，通信体验也不好。

本发明提出设计一款既搭载了安全的操作系统，同时搭载体验丰富的智能操作系统的双系统手机，并且双系统相互隔离、同时运行、通过硬件触发无缝快速切换，保证了用户在畅享互联网带来的便利的同时还有一个安全的通信环境。同时运行的两个操作系统以“独占式”、“剥夺式”共享屏幕、耳机、麦克风、2G/3G基带模块，区别于虚拟机、捆绑等传统的多系统模式。

目前市面上也有手机厂商研发出搭载了双系统的智能手机，例如小米公司的小米M1手机，M1手机搭载了原生的Android操作系统和小米公司深度自主研发的MIUI系统。这些手机的研发目的在于让用户体验到不同的操作系统风格，丰富用户体验。从手机安全防护的角度来说，这类手机的双系统在本质上都是智能操作系统，它们在方便用户的同时也为恶意程序提供了生存环境和空间，M1双系统的侧重点在于用户体验而不是安全防护，两套系统的安全防护依然是传统的智能手机防护体系，其弱点已在前文有所叙述。另外，这类手机所谓的双系统，只是在手机启动的时候让用户有两个可以选择的操作系统，用户选择以后，手机运行过程中只有被用户选中的那个系统在运行，另一个未被选中的系统则未加载。以M1为例，如果用户选择加载的系统为MIUI，那么预置的原生Android系统则不加载，用户在使用手机过程中只能在MIUI环境下使用，如果用户想切换到原生Android环境下，那么需要重启手机重新选择原生Android系统，。从这个意义上来说，手机运行的依然是单系统，双系统间不能无缝快速切换，切换延迟比较大。

总的来看，使用同时运行并能无缝快速切换的双系统来提高手机安全性具有重要的意义。

发明内容

本发明的目的是通过相互隔离的两个手机系统，并在双系统间无缝快速切换，利用其中的安全通信系统给用户提供安全的通信环境，保护用户隐私。

本发明所采用的技术方案如下：

一种支持无缝切换的双系统终端，包括：非智能子系统和智能子系统，所述非智能子系统和所述智能子系统硬件独立，二者共享无线射频模块、屏幕、语音及其相关I/O接口设备，所述非智能子系统始终保持运行状态，所述非智能子系统和所述智能子系统通过硬件开关键完成切换。

进一步地，其中所述非智能子系统为仅支持通话和短信功能的安全最小化操作系统。

进一步地，当所述非智能子系统切换至智能子系统时，所述智能子系统独占屏幕、语音及其相关I/O接口设备，所述非智能子系统和所述智能子系统共享所述无线射频模块。

进一步地，当所述智能子系统切换至非智能子系统时，所述非智能子系统独占屏幕、语音及其相关I/O接口设备，所述非智能子系统独占所述无线射频模块。

进一步地，所述无线射频模块、屏幕、语音及其相关I/O接口通过多路选择开关同时与非智能子系统和智能子系统的总线相连，所述硬件开关键完成对所述多路选择开关的控制。

进一步地，当切换至所述非智能子系统时，所述智能子系统关闭或者断电。

进一步地，所述切换包括主动切换和被动切换。

进一步地，所述主动切换是指在无通信事件发生时，用户自发将当前活动系统通过硬件开关键切换至另一子系统。

进一步地，所述被动切换是指当前活动子系统为智能子系统，当有通信事件发生时，用户通过硬件开关键将当前活动系统切换至非智能子系统。

进一步地，所述的智能子系统为Android、Windows Phone、WindowsMobile、iOS、WebOS、Tizen、MeeGo、FirefoxOS或者中国移动OMS。

附图说明

图1为双系统软硬件模型示意图；

图2为有电话事件时用户切换接听结构；

图3为双系统硬件结构框图；

图4为双系统启动流程图。

具体实施方式

以下会结合附图1-4对本发明作出详细说明。

1.图1中的双系统软硬件模型中手机终端由两组冗余的硬件系统组成，称为子系统1和子系统2。其中子系统1为定制的专用安全通信子系统，仅支持通话、短信功能的安全最小化操作系统OS，智能OS上运行的恶意代码在该系统中无法运行，从而可为用户提供安全通话、短信的通信环境。子系统2为常规子系统，可运行智能OS，该系统为用户提供其他的多媒体和网络通信等终端综合应用服务。

2.手机终端的双系统硬件上运行两套独立的操作系统。称为OS1和OS2。其中OS1为一“沙盒”OS，仅保留了语音通话、短信收发等基本通信功能的原生态操作系统，由于其运行环境的限制，对于大多数只能在智能OS上运行的恶意代码将无法运行，安全性和可靠性较高。OS2为一“智能”OS，可为通常的智能操作系统，具备强大的运行能力和丰富的访问资源，用户体验较好。

3.图2用户切换接听结构中子系统1和子系统2相互隔离独立，各自拥有独自的CPU、RAM、总线等硬件设备和独立的操作系统，总线完全相互隔离。两个子系统通过“独占式”方式共享屏幕、语音及其相关I/O接口设备，通过和“剥夺式”共享电话无线射频模块。子系统1和子系统2均可作为前台活动系统，前台活动系统的系统独占屏幕、语音及其相关I/O接口设备，完成与用户和外界的信息交互和交换。无线射频模块在子系统1和子系统2均可见，当用户切换到子系统1为前台活动系统时，将剥夺子系统2对无线射频模块的访问。

4.子系统1和子系统2使用同一个电话无线射频模块，因此可支持同一个SIM卡（也可双卡），任意在两个通信环境进行通话和短信等通信服务。所有通信功能在安全子系统1中完成。

5.硬件的“独占式”与“剥夺式”。“独占式”是指对于那些双系统共享的硬件设备，同一时刻只被一个OS占有，另一个OS则与这些设备彻底断开。“剥夺式”指的是当用户在两个OS间切换时，比如从OS2切换到OS1，那么OS2此时无条件地与共享硬件断开连接，OS1则立即拥有这些共享硬件的使用权。

6.子系统1和子系统2可通过硬件开关键完成切换。用户通过拨动手机外壳面板上的硬件开关完成子系统1和子系统2间的任意来回切换。硬件开关保证两系统物理上的可靠隔离和阻断。

7.电话无线射频模块、屏幕、语音及其相关共享I/O接口设备通过多路选择开关同时与子系统1和子系统2的总线相连，硬件开关键负责对多路选择开关的控制。

8.子系统1始终保持运行态。子系统1可作为前台活动系统，完成通信功能。当子系统2为前台活动系统时，子系统1仍然处于运行态，以保证随时切换回该系统进行通信等任务。子系统1处于后台运行态，与共享的I/O接口设备(除无线射频模块外)暂时切断，但是无线射频模块仍然被子系统1和子系统2共享，以便实现通信的快速无缝切换。

9.双系统的切换。手机的电话、短信等基本通信功能建议在子系统1中运行，子系统1和子系统2相互隔离，保持独立，可同时运行。将当前活动系统从子系统1切换到子系统2的具体动作包括：将屏幕、耳机、麦克风等共享设备接口与子系统1的数据通路和控制通路切断，并将其与子系统2的通路接通，无线射频模块仍然与子系统相连通。将当前活动系统从子系统2切换到子系统1的具体动作包括：将屏幕、耳机、麦克风、无线射频2G/3G基带模块等共享设备接口与子系统2的数据通路和控制通路切断，并将其与子系统1的通路接通。用户通过拨动手机外壳面板上的硬件开关完成系统1和子系统2间的任意来回切换。由于子系统1始终保持运行态，因此从子系统2切换到子系统1可以是无缝的。如果为了保证在子系统1中进行通信期间的更好安全性，选择将子系统2关机或断电，则从子系统1切换到子系统2时，可能会有较大延迟。

10.当子系统2为前台活动系统时，若有电话或者短信事件（来电、来短信）时，子系统1和子系统2同时接收到电话事件振铃，系统提示用户通过硬件开关无缝的从子系统2切换到子系统1，则子系统1成为当前活动系统，接管并完成后续通信任务。切换的具体动作包括：将屏幕、耳机、麦克风、无线射频2G/3G基带模块等共享设备接口与子系统2的数据通路和控制通路切断，并将其与子系统1的通路接通。。

11.切换过程可以包括主动切换和被动切换。主动切换指的是在无通信事件发生时（来电、来短信），用户自发将当前活动系统切换到另一子系统中。被动切换专指当前活动系统为子系统2，在有通信事件发生时（来电、来短信），系统提示用户通过硬件开关将当前活动系统切换到子系统1中，并在完成通信后，系统提示用户通过硬件开关切换回子系统2，进行其它智能操作系统服务和应用。

12.切换过程中的通信保持功能。由于子系统1一直保持与无线射频模块的访问，只是屏幕、耳机、麦克风的通路临时转接到子系统1的总线，所以切换到子系统1后，通信过程没有任何中断，可以持续无延迟的完成切换和接管，仅是屏幕显示、声音有短暂的切换延迟，通信的连接、基带数据流等没有任何丢失，对通话、短信的连续性没有任何损失。

13.手机通信的安全保障支持。切换到子系统1后的通信过程完全在独立的硬件环境中进行，运行安全性较高的OS1，提高了通信的安全性。用户在子系统1中进行通话或者短信活动期间，子系统2的输入输出I/O通道（包括：屏幕、耳机、麦克风、2G/3G基带模块等）均被物理阻断，甚至可以通过配置选择将子系统2关机和断电，从根本上杜绝信息泄露的可能。图2说明了用户切换接听时手机结构。切换后完成通话和短信任务后，系统提示用户通过硬件开关切换回子系统2，进行其它智能操作系统服务和应用。

14.双系统硬件部署。对于两个系统，手机在关键主要部件上采取冗余独立设计，手机具有两套主板，OS1和OS2各自独立运行在自己的CPU、RAM、FLASH等部件上，以实现真正意义上的并发运行。在屏幕、2G/3G、RF基带模块、麦克风、AUDIO、电池等外设方面，手机采用共享设计，两个系统通过互斥“独占式”的使用外设，图3是系统硬件框图。

15.OS1的设计和选型。OS1不需要提供复杂的系统服务，它是一个精简的，仅提供诸如通话、短信等基本通信功能的系统，有多种方法可以实现。第一种，OS1可以采用剪裁的OS来实现，只需要为它保留进程调度、内存管理以及一些必要的硬件设备驱动（例如：RAMDISK驱动、LCD硬件初始化和驱动、RF无线驱动模块、麦克、音频驱动）即可。第二种，可以采用已有的，小众的，非智能的OS。第三种，采用无OS设计，这种方式仅在CPU中运行一些支持交互的基本通信用的BSP底层支持程序。

16.OS2的选择。对于OS2来说，并无特殊要求，可选择当前主流的智能操作系统，比如Android、Windows Phone、Windows Mobile、iOS、WebOS、Tizen、MeeGo、FirefoxOS、中国移动OMS以及一些国产OS。

双系统启动流程。系统2以Android系统为例：

1.子系统1、子系统2的bootloader自加载；

2.重新设置NAND页面大小，重构内存空间映射；

3.读取硬件开关，判断是哪种OS模式；

4.如果为“沙盒”OS模式，则Android处于休眠模式；

5.从NAND中加载各自的系统内核；

6.将内核映象从各自NAND上读到各自RAM中，然后跳转到入口点，启动各自的系统内核。

双系统切换流程。

1.被动切换。电话被叫或者有短信进来时，提示用户切换到“沙盒”OS模式，屏幕LCD、麦克风等与OS2断开连接，切换到OS1，切断完成后，切断OS2的I/O通道。

2.主动切换。电话主叫或者发送短信时，用户自主手动切换到“沙盒”OS模式，屏幕LCD、麦克风等切换到OS1，与OS2断开连接，切换后，切断OS2的I/O通道，等用户手动切换回“智能”OS时，LCD、麦克风又切换回OS2。

Claims (10)

1.一种支持无缝切换的双系统终端，包括：非智能子系统和智能子系统，所述非智能子系统和所述智能子系统硬件独立，二者共享无线射频模块、屏幕、语音及其相关I/O接口设备，所述非智能子系统始终保持运行状态，用于进行安全通话和短信通信，其特征在于：所述非智能子系统和所述智能子系统通过硬件开关键完成切换。

2.如权利要求1所述的终端，其中所述非智能子系统为仅支持通话和短信功能的安全最小化操作系统。

3.如权利要求1或2所述的终端，当所述非智能子系统切换至智能子系统时，所述智能子系统独占屏幕、语音及其相关I/O接口设备，所述非智能子系统和所述智能子系统共享所述无线射频模块。

4.如权利要求1或2所述的终端，当所述智能子系统切换至非智能子系统时，所述非智能子系统独占屏幕、语音及其相关I/O接口设备，所述非智能子系统独占所述无线射频模块。

5.如权利要求1或2所述的终端，所述无线射频模块、屏幕、语音及其相关I/O接口通过多路选择开关同时与非智能子系统和智能子系统的总线相连，所述硬件开关键完成对所述多路选择开关的控制。

6.如权利要求1或2所述的终端，当切换至所述非智能子系统进行通信时，所述无线射频模块、屏幕、语音及其相关I/O接口与所述智能子系统断开，或者所述智能子系统关闭或者断电。

7.如权利要求1或2所述的终端，所述切换包括主动切换和被动切换。

8.如权利要求7所述的终端，所述主动切换是指在无通信事件发生时，用户自发将当前活动系统通过硬件开关键切换至另一子系统。

9.如权利要求7所述的终端，所述被动切换是指当前活动子系统为智能子系统，当有通信事件发生时，用户通过硬件开关键将当前活动系统切换至非智能子系统。

10.如权利要求2所述的终端，所述的智能子系统为Android、WindowsPhone、Windows Mobile、iOS、WebOS、Tizen、MeeGo、FirefoxOS或者中国移动OMS。

Images