CN105103172A - 加燃料环境中的安全框架内的应用托管 - Google Patents

Abstract

提供一种用于托管安全和不安全的应用的安全框架。主控制装置包括：接口组件，用于提供给主控制装置的输入或来自主控制装置的输出；以及接口通信组件，用于当接口组件的安全部分活动时建立到接口组件的一部分的通信路径。接口通信组件通过通信路径将来自功能装置的数据提供给接口组件的所述部分，并且切换通信路径以避免在接口组件的安全部分活动的情况下提供来自功能装置的数据。还可以包括安全性分析组件以另外地或替代地确定是否允许访问接口组件的所述部分。

Description

加燃料环境中的安全框架内的应用托管

技术领域

在本文中所述的主题一般涉及应用托管，并且更具体地涉及管理加燃料环境的安全框架中的功能应用的安全性。

背景技术

零售加燃料分配器以例程和特定的方式提供消费者数据的输入，诸如回答所编制的是/否问题、信用卡挥扫、邮政区号录入等。虽然这有助于对消费者数据的接收以及进一步的通信进行控制，但是分配器不能利用零售商所期望的不同的商业应用或服务来可能地增加收益、忠诚度或独特的用户体验。在燃料分配器处引入这样的应用或服务可能通过允许应用或服务访问在分配器处的当前所利用的相同的输入而损害消费者数据的安全性。

一个特别的关注是燃料分配器被限制并且不能够以动态且安全的方式提供集成的支付方案。典型地，分配器获得支付信息，并且将信息转发给电子支付系统(EPS)，电子支付系统能够在与适当的金融机构通信时提供安全性。然而，允许应用或服务访问分配器处的输入可能增加安全性风险，使得应用或使用该应用的骗子实体可能能够获得机密信息。

在美国专利公布第2009/0265638号和美国专利公布第2012/0046787号(出于所有目的，通过引用将两者并入本文)中公开了在燃料分配器或零售设备上控制安全和不安全内容的各个方面以及增强的分配器中心。

发明内容

以下给出一个或多个方面的简化的发明内容，以提供对其的基本理解。该发明内容不是所有被想到的方面的广泛的概览，既不用于标识所有方面的关键或重要元素，也不用于描述任何或所有方面的范围。其唯一的目的是以简化的形式给出一个或多个方面的一些概念，作为随后的更详细的描述的序言。

在本文中描述的方面涉及在安全框架中托管应用。该框架可以包括多个硬件配置，其中至少一个配置是控制接口处的所有输入和/或输出的主控制配置。在这点上，主控制配置可以管理接口处的输入和/或输出的至少一部分的安全性。例如，主控制配置可以实现给定应用处的输入和/或输出的各种级别的安全性，充当接口的网关和防火墙。安全性的级别可以与接口处的各种输入和/或输出有关，提供对给定应用的访问的粒度规范。在另外的示例中，主控制配置可以在应用级别修改来自接口的输入或到接口的输出(而不是允许原始数据的通过)以提供数据的另外级别的安全性。

为了实现前述以及有关的目标，一个或多个方面包含在下文完整描述并且在权利要求书中具体指出的特征。下面的描述和附图详细地阐述一个或多个方面的一些示例性的特征。然而，这些特征仅指示可以使用各方面的原理的各种方式中的一些，并且该描述旨在包括所有这样的方面和它们的等效物。

附图说明

以下将结合附图来描述所公开的方面，附图用于例示而不是限制所公开的方面，其中相同的标号可以表示相同的元件，在附图中：

图1是用于在安全框架中托管应用的示例系统的一方面；

图2是用于确定是否授权接口组件访问不安全应用的示例系统的一方面；

图3是用于在通用支付模块(UPM)处托管应用的示例系统的一方面；

图4是根据在本文中所描述的方面的示例性的面向服务的架构的一方面；

图5是根据在本文中所描述的方面的示例性燃料分配环境的一方面；

图6是具有在功能处理器上执行的各种服务的示例性的燃料分配环境的一方面；

图7是用于在燃料分配器处托管应用的示例系统的一方面；

图8是用于切换通信路径以支持安全和不安全应用的示例方法的一方面；

图9是用于确定是否允许应用访问接口的一部分的示例方法的一方面；

图10是根据在本文中所描述的方面的示例系统的一方面；以及

图11是根据在本文中所描述的方面的示例通信环境的一方面。

具体实施方式

现在将详细地参考各个方面，在附图中例示其中的一个或多个示例。提供每个示例作为解释而不是对方面的限制。实际上，本领域的技术人员将意识到可以对所描述的方面做出修改和变型而不脱离其范围或精神。例如，作为一个示例的一部分而例示或描述的特征可以用于另一示例，以生成又一示例。因此，旨在所描述的方面覆盖这些修改和变型，其均落入所附的权利要求书及其等效物的范围内。

在本文中所描述的是与在安全框架中托管安全和不安全应用有关的各个方面。该框架包括作为可以在其中执行安全应用的硬件配置的至少一个控制主配置。控制主配置管理在其他硬件配置上执行的不安全应用对在该框架中设置的一个或多个接口或者至少对与所述一个或多个接口有关的输入和/或输出的某些方面的访问。基于不安全应用的类型、不安全应用是否来自可信来源等，控制主配置可以提供各种不安全应用对接口的不同级别的访问，可以修改接口与一个或多个不安全应用之间通信的数据，等等。

在具体的示例中，该框架可以存在于燃料分配器中，其中，主控制配置可以包括诸如通用支付模块(UPM)这样的分配器内支付系统，并且其他硬件配置可以包括可以执行不安全的应用的一个或多个功能处理器。在该示例中，分配器内支付系统操作燃料分配器上的接口来处理燃料的支付，所述接口可以包括显示器、读卡器、数字盘等。分配器内支付系统可以允许功能处理器访问显示器，同时防止或限制访问读卡器、数字盘等。在该示例中，其他方可以通过存在于功能处理器上的应用向显示器馈给视频，但是不能访问与燃料分配器处的接口的其他部分之间的通信，从而减少上述的安全性风险。

如在本申请中所使用的那样，术语“组件”、“模块”、“系统”等旨在包括计算机相关的实体，诸如但不限于硬件、固件、硬件和软件的结合、软件或执行中的软件。例如，组件可以是(但不限于)运行在处理器上的进程、处理器、对象、可执行程序、执行的线程、程序和/或计算机。作为示例，运行在计算设备上的应用和计算设备可以是组件。一个或多个组件可以存在于执行的进程和/或线程内，并且组件可以位于一个计算机上和/或分布在两个或多个计算机之间。另外，这些组件可以从在其上存储各种数据结构的各种计算机可读取的介质执行。组件可以通过本地和/或远程进程进行通信，诸如根据具有一个或多个数据包的信号，一个或多个数据包诸如来自一个组件的数据，该组件通过信号与本地系统、分布式系统和/或跨越诸如因特网这样的网络的另外的组件进行交互。

可以采用基于人工智能的系统(例如，显式和/或隐式训练的分类器)，结合根据在下面所描述的主题的一个或多个方面执行推断和/或概率性确定和/或基于统计的确定。如在本文中所使用的那样，术语“推断”一般指根据经由事件和/或数据所捕获的一组观察推出或推断系统、环境和/或用户的状态的过程。例如，可以采用推断来标识特定的背景或活动，或者可以产生状态的概率分布。推断可以是概率性的，即，基于数据和事件的代价的感兴趣的状态上的概念分布的计算。推断也可以指所采用的用于从一组事件和/或数据产生更高级别的事件的技术。这样的推断导致从一组所观察到的事件或所存储的事件数据构造新的事件或活动，而不管事件是否是以紧密的时间接近性相关的以及事件和数据是来自一个还是几个事件和数据来源。例如，可以采用各种分类方案和/或系统(例如，支持向量机、神经网络、专家系统、贝叶斯信任网络、模糊逻辑、数据融合引擎等)，结合执行与所述主题有关的自动和/或推断的活动。

另外，可以将主题实现为方法、装置、或使用标准编程和/或工程技术来生成软件的制造品、固件、硬件或其任何组合，以控制计算机实现所公开的主题。在本文中所使用的术语“制造品”旨在包含可以从任何计算机可读取的设备、载体或介质访问的计算机程序。例如，计算机可读取的介质可以包括但不限于磁存储设备(例如，硬盘、软盘、磁带……)、光盘(例如，致密盘(CD)、数字多功能盘(DVD)……)、智能卡以及闪速存储设备(例如，卡、棒、键驱动器……)。另外，要意识到，可以采用载波携带诸如在传送和接收电子邮件中或在访问诸如因特网或局域网(LAN)这样的网络中所使用的那些计算机可读取的电子数据。当然，本领域的技术人员将意识到可以对该配置做出很多修改，而不脱离所述主题的范围或精神。

另外，术语“或”旨在表示包含性的“或”而不是排除性的“或”。即，除非以其他方式指出或者根据上下文很明确，短语“X采用A或B”旨在表示任何自然的包括性的排列。即，短语“X采用A或B”满足以下实例：X采用A；X采用B；或者X采用A和B这两者。另外，在本申请及所附的权利要求书中所使用的表述“一”和“一个”一般应当被解释为表示“一个或多个”，除非以其他方式指出或从上下文很明确是针对单数形式。

将根据可以包括多个设备、组件、模块等的系统呈现各个方面或特征。要理解并意识到，各个系统可以包括另外的设备、组件、模块等，和/或可以不包括结合附图所述的所有设备、组件、模块等。也可以使用这些方法的组合。

图1例示用于在安全框架中托管应用的示例系统100。系统100包括提供与接口104的一个或多个组件之间的通信的主控制配置102(或主控制装置)。主控制配置102可以包括诸如处理器、相关联的存储器、诸如模块上系统(SoM)、UPM或其他分配器内支付模块这样的包括处理器、存储器等的一个或多个模块这样的一个或多个硬件配置组件。接口104可以包括显示器(可以是触摸屏显示器)、打印机(例如，收据打印机)、读卡器、数字盘、条形码扫描器、射频标识(RFID)读取器或传送器、近场通信(NFC)读取器或传送器、蓝牙收发器、WiFi收发器或者实质上任何输入和/或输出设备中的一个或多个。系统100也可以包括功能配置106(或功能装置)，功能配置106可以类似于或不同于执行一个或多个应用108的主控制配置102中所包括的硬件的硬件配置。

主控制配置102和接口104可以是安全框架的一部分。在该示例中，主控制配置102可以执行安全应用，安全应用可以具有对接口104的至少一些组件的完全的访问或比不安全应用至少更多的访问。在一个示例中，接口104可以是主控制配置102的一部分或者由主控制配置102提供。例如，接口104可以包括读卡器输入设备，并且主控制配置102可以使用读卡器输入执行通过将卡信息传达给金融机构或其他系统(未示出)来处理交易支付的支付软件(例如，电子支付系统(EPS))。例如，安全应用可以包括燃料分配器所执行的遗留应用，用于分配燃料、处理其支付、监视燃料箱状态、监视阀门状态等。

主控制配置102还可以允许不安全应用对接口104的一些访问。在该示例中，功能配置106可以执行利用接口104的一个或多个部分的一个或多个不安全的应用108，诸如利用显示器渲染图片或视频内容(例如，其中显示器被主控制配置102处的遗留应用所使用来提示是否期望洗车、是否期望收据等)。在该示例中，功能配置106可以从主控制配置102请求访问接口104的所期望的部分，并且主控制配置102可以授权访问。在该示例中，主控制配置102可以充当接口104的网关或防火墙，防止其其他部分遭受不安全应用。

主控制配置102可以对不同的不安全应用提供不同级别的安全性，和/或可以修改应用级别上的提供给接口104或从接口104接收的数据。在另外的示例中，要意识到主控制配置102可以向来自功能配置106的所有应用提供有限的访问，而不管该应用如何。在一个示例中，主控制配置102可以实现视频切换以允许功能配置106输出访问接口104的显示器，同时拒绝(例如，通过硬布线或包过滤)对接口104的其他部分的访问。另外，主控制配置102可以在其正在利用接口104时切换视频开关以防止功能配置106的任何可能的访问。这可以导致主控制配置102与其接口104之间的安全通信。

在一个具体示例中，主控制配置102可以包括燃料分配器的UPM，并且接口104可以包括显示器和读卡器，其也可以是UPM的一部分。在该示例中，主控制配置102执行可以从读取器接收数据(例如用于交易支付)的UPM有关的应用。在该示例中，主控制配置102可以与一个或多个金融机构通信卡信息以基于卡信息授权对交易的支付。在该时间期间，主控制配置102可以终止从功能配置106到接口104的任何通信路径以防止拦截机密信息。这可以包括所述的切换视频开关、禁用允许功能配置通过主控制配置102与接口104进行通信的连接器，等等。

在任何情况下，主控制配置102可以通过不允许读卡器访问执行在功能配置106上的应用108来保护读卡器。然而，主控制配置102可以授权访问接口104的显示器和/或音频，使得应用108可以使用显示器和/或音频来渲染广告。在其他示例中，执行在功能配置106上的应用108可以与一个或多个应用来源相关联，或者以其他方式从一个或多个应用来源接收。在一个示例中，来源可以是可信的或不可信的。因此，例如，主控制配置102可以向可信的不安全应用而不向不可信的应用提供对读卡器的访问。

另外，主控制配置102可以在接口104的一部分和应用108之间传递数据之前修改原始数据。修改也可以基于应用、应用类型、应用来源等。例如，主控制配置102可以允许中等级别安全性的应用108从接口104请求加密数据(例如，接口104可以接收并加密数据的封锁的个人标识码(PIN))，而允许高级别安全性的应用108从接口104请求未加密的(原始)数据项(例如，未封锁的PIN数据)以便在应用108中使用。类似地，主控制配置102可以基于应用108、其类型、其来源等修改渲染在接口104的显示器上的数据。

要意识到，主控制配置102和功能配置104可以在单个安全架构上操作，使得一个存在而另一个不存在，并且在一个示例中，该架构可以在具有接口104的安全环境中操作。例如，功能配置106可以提供能够执行不安全应用108和/或其他安全应用(例如支付)并且能够是具有接口104的安全环境的一部分的网络浏览器(例如，超文本标记语言(HTML)5浏览器或类似的技术)。在该示例中，可以没有主控制配置102。另外，在该示例中，功能配置106可以控制网络浏览器或相关联的组件对接口104的访问。另外，在该示例中，如在本文中所述的那样，功能控制配置106可以在各种级别上(例如，针对每个应用、针对每个应用类型、针对每个应用来源等)控制各种应用108的访问。另外，在该示例中，功能可以实现为功能控制配置106内的软件以确定在功能控制配置106上操作的应用108是安全的还是不安全的、和/或是否可以访问接口的104的各个部分。

图2例示用于在燃料分配器或其他贩卖机处托管安全和不安全的应用的示例系统200。系统200包括用于经由各种接口组件处理交易的UPM202以及用于执行可以利用UPM202的至少一些接口组件的应用的功能处理器204。UPM202和功能处理器204可以存在于包括用于自动推动和处理购买交易的机构的燃料分配器或其他贩卖机。

UPM202包括接口组件206，接口组件206包括以上关于接口104所述的诸如显示器(例如，触摸屏显示器)、读卡器、数字盘等一个或多个输入和/或输出设备。UPM202还包括：访问请求接收组件208，用于获得对接口组件206或其部分的一个或多个输入和/或输出设备的访问的请求；安全性分析组件210，用于确定该请示是否被授权；以及接口通信组件212，用于向/从接口组件206传达数据。安全性分析组件210还包括可以被用于确定对请求的授权的存储在数据库或其他数据存储中的一个或多个安全性配置文件214。

功能处理器204包括：应用接口组件220，允许一个或多个应用利用功能处理器204或者以其他方式在功能处理器204上执行；接口访问请求组件222，用于请求对UPM的接口的访问；以及数据通信组件224，用于向/从UPM的接口传达数据。例如，要意识到功能处理器204可以包括如在本文中所述的那样地起作用的UPM202的组件(例如，当操作为独立的处理器操作或软件而不用UPM202来提供安全性时)以提供接口组件206对应用的访问。在一个具体示例中，功能处理器204可以将网络浏览器提供给允许经由显示器、键盘等与其进行交互的接口组件206。在该示例中，功能处理器204可以为在其上执行的应用管理网络浏览器或有关组件对接口组件206的访问，如以下参照UPM202所描述的那样。

根据示例，UPM202可以在执行与燃料分配器或贩卖机有关的安全应用时操作接口组件206的各种输入和/或输出设备。例如，这样的安全应用可以包括支付处理应用、从有关商店购买项目(例如，洗车)的应用、或者基本上由UPM202执行的任何应用。在一个示例中，对于这样的应用，UPM202可以完全地访问接口组件206的输入/输出设备。然而，另外，UPM202可以充当接口组件206的设备的网关和防火墙，对于在其他硬件配置上执行的其他应用，对其提供选择性的访问。

在该示例中，应用接口组件220可以执行应用，或者在其他情况下提供可以请求访问UPM202的一个或多个组件的应用所利用的接口。接口访问请求组件222可以相应地尝试通过向UPM202传达至少一部分的请求，从UPM202获得对接口访问。访问请求接收组件208获得该请求，并且在一个示例中，使安全性分析组件210确定是否对访问接口的请求进行授权。安全性配置文件214可以包括多个配置文件，其可以是针对所有应用的通用配置文件、针对每个应用或应用类型的分组的配置文件、针对可信和不可信的应用的配置文件、针对应用来源的配置文件等，并且可以包括关于配置文件可以访问的接口组件206的部分或其设备的参数。例如，这还可以包括访问的类型(例如，读取、读取/写入等)。

因此，安全性分析组件210可以基于请求的一个或多个方面(例如，应用的标识符、应用的类型、应用的来源等，被请求访问的接口组件206的部分，等等)查询安全性配置文件214，尝试获得有关的安全性配置文件以便确定是否允许访问。在一个示例中，安全性分析组件210可以另外地或替代地基于应用的一个或多个参数、安全性配置文件等推断是否授权访问。例如，在应用不具有所存储的安全性配置文件的情况下，安全性分析组件210可以确定类似应用(例如，来自类似来源的或类似类型的应用)的配置文件，并且可以基于类似应用的配置文件推断是否授权访问。

在安全性分析组件210确定授权访问请求的情况下，访问请求接收组件208可以向功能处理器204传达该授权以便提供给应用。接口访问请求组件222可以接收该授权，并且可以经由应用接口组件220通知该应用。数据通信组件224可以随后与UPM202通信来自应用的数据，以便提供给接口组件206和/或从接口组件206接收。接口通信组件212可以允许来自功能处理器204的数据到达接口组件206的适当的设备或其部分，和/或可以推动经由功能处理器204将来自接口组件206的数据传达给应用。例如，如所述的那样，这可以包括接口通信组件212切换到接口组件206的通信路径以允许功能处理器204的控制，启用将功能处理器204耦合到UPM202的功能连接器，等等。

在一个示例中，到接口组件206的这样的通信路径可以在UPM202(或者一个或多个相关组件)与功能处理器204或一组处理器之间切换。在一个示例中，接口通信组件212可以不仅基于安全性分析组件210确定，还附加地或替代地在应用不可以访问的接口组件206的一部分(在本文中被称为安全部分)不活动时，将通信路径切换到功能处理器204。这可以是默认的切换位置。然而，当接口组件206的安全部分活动(例如，数字盘、触摸屏请求PIN，等等)时，接口通信组件212可以将通信路径切换到UPM202或有关的内部组件，以关闭到接口组件206的安全部分的任何外部路径。在一个示例中，这包括终止上述的特征连接器。要意识到，接口通信组件可以检测安全部分的活动，并且可以确定在该情况下基于一个或多个安全性配置文件，不允许应用访问该部分。

类似地，接口通信组件212可以在检测到接口组件206的安全部分不活动时将通信路径切换回到功能处理器204。在这两种情况下，在该示例中，数据基于切换经过UPM202，但是要意识到在其他示例中，接口通信组件212可以基于接口组件206的部分的活动以及应用是否基于一个或多个安全性配置文件可以访问来传送或丢弃包。针对所请求的访问，接口组件206可以另外地或替代地直接在接口组件206和功能处理器204之间建立/终止安全隧道。

在另外的示例中，接口通信组件212可以修改提供给或接收自根据有关安全性策略访问被授权给应用的接口组件206的部分的数据。例如，如所述的那样，接口通信组件212可以在针对有关应用将信息提供回给功能处理器204时阻止或以其他方式加密在接口组件206上的数字盘输入。从而，应用可以在接收时解密数字盘输入，从而可以防止在从UPM202传输到功能处理器204的期间获取输入。

在安全性分析组件210确定不对访问请求进行授权的情况下，访问请求接收组件208可以向功能处理器204传送关于未授权的错误或其他指示，以便提供给应用。接口访问请求组件222可以接收指示，并且可以经由应用接口组件222通知应用。

在具体的示例中，如所述的那样，UPM202可以经由接口组件206执行用于支付处理的应用，但是可能限制运行在功能处理器204上的应用的访问(例如，从接口访问请求组件222来的来自应用的请求)以启用接口组件206的触摸屏显示器的输出部分。在该示例中，安全性配置文件214可以包括限制所有应用、某些应用、一定类型的应用、来自某些来源的应用等仅使用接口组件206处的显示器的输出部分并且不使用其他设备或显示器的其他部分的配置文件。因此，经由功能处理器204执行的应用可以经由数据通信组件224将内容传达给显示器，从而可以将数据提供给UPM202以便操作显示器。接口通信组件212基于与在功能处理器204上执行的应用有关的安全性配置文件将数据提供给接口组件206的显示器。基于该安全性配置文件，应用对接口组件206的任何其他试图的访问可能被拒绝。这允许应用在显示器上提供视觉内容，而不允许对UPM202的接口组件206的进一步的访问。

在另一具体示例中，安全性配置文件214可以指示允许来自可信来源的应用访问显示器的输入部分以及/或读卡器以处理关于某些项目的支付。在该示例中，应用可以经由所述的功能处理器204到UPM202通信和授权向接口组件206的显示器渲染数据。应用还可以请求获得来自显示器的输入，接口访问请求组件222可以将其与应用的标识符、应用的来源的指示和/或该来源是否可信的指示一起传送给UPM202。访问请求接收组件208将请求和/或相关信息提供给安全性分析组件210以确定与可信来源和/或显示器的输入部分有关的安全性策略。从而，在该示例中，访问请求接收组件208可以授权应用访问触摸屏显示器的输入部分。

然后，执行在功能处理器204上的应用可以经由将数据提供给UPM202的数据通信组件224提供用于请求输入的数据。这可以是要显示在接口组件206的触摸屏显示器上的提示(例如，在相关零售商店处的客户忠诚度程序的签约的邮件地址的提示)。接口通信组件212可以使显示器渲染该提示，然后基于指示可信来源可以利用触摸屏显示器的输入部分的安全性策略经由功能处理器204将任何输入提供回给应用。

在另外的具体示例中，安全性策略可以允许某些应用、类型、来源等使用读卡器，经由显示器请求某些类型的数据，等等。在一个示例中，在这点上，安全性策略可以指定来自接口组件206的某些输入数据将在被某个应用、类型、来源等请求时(和/或接口组件206(或接口通信组件212)在加密数据时使用的加密算法、密钥等)被加密。这需要应用在接收时解密数据，从而可以防止在UPM202和功能处理器204之间进行通信时的数据窜改。

在另一示例中，在这点上，安全性配置文件214可以允许某些应用、类型、来源等与UPM202的一些安全应用一起使用接口组件206的输入组件。例如，应用、类型、来源等可以被允许使用接口206的读卡器以及与金融机构通信以处理相关交易的安全应用。在该示例中，如所述的那样，应用经由接口访问请求组件222请求这样的使用，并且可以经由数据通信组件224提供交易信息，诸如与应用有关的零售标识符、交易量、购买的项目等。因此，应用可以在接口组件206的显示器上项目以便购买，用户可以选择项目以便购买。应用可以将交易信息提供给支付应用以处理支付，并且在一个示例中，接口通信组件212可以在执行支付处理的同时防止应用访问接口206。当支付处理完成时，接口通信单元组件212可以允许应用访问接口206。

另外，该框架可以允许UPM202和/或功能处理器204或者相关应用提供抽象层或方法以隔离核心遗留改变或可能影响整体衔接的商业规则或多个规则的其他项目，诸如面向服务的加工(SOA)。因此，例如，功能处理器204可以执行用于替换UPM202的遗留应用的应用。从而，在用于替换UPM202的遗留应用的在功能处理器204上运行的应用出故障(例如，由于软件升级)的情况下，UPM202可以调用遗留应用来确保在很少或不影响零售商或客户的情况下完成交易。可能存在于或者至少由功能处理器204执行的各种服务的示例包括诸如分配器中的读卡器(CRIND)这样的销售点(POS)组件、提供商业清单核算(BIR)的组件、交易记录服务(TLS)、促售和折扣服务(MDS)、代码生成服务(CGS)、前部燃料分配服务器(FFDS)、前部控制服务(FCS)、税款系统、简单的泵或其他燃料分配组件、支持应用编程接口(API)、增强型分配器中心(EDH)上的CGS、EDH上的支付忠诚度标记配置等。另外，作为抽象的另外的形式，这些服务可以位于云中。

在不存在UPM202的情况下和/或功能处理器204在其他情况下包括UPM202的组件并且管理安全和不安全的应用的情况下，组件可以与上述相类似地运作。在一个示例中，功能处理器204可以经由所包括的接口组件206提供支付或其他安全应用。功能处理器204可以相应地包括接口通信组件212以便管理安全和不安全应用对接口组件206的访问。因此，在功能处理器204操作支付应用的情况下，在一个示例中，接口通信组件212可以防止来自不安全应用的包到达接口组件206。不同类型的应用可以访问的安全和不安全的应用和/或组件可以由功能处理器204所实现的安全性分析组件210中的安全性配置文件214来定义。另外，在这点上，如以上和在本文中进一步描述的那样，包括功能处理器204的分配器可以成为SOA的一部分。

图3例示允许功能处理器在连接到UPM的显示器上显示内容的示例系统300。系统300包括UPM302和可以使用户外终端协议进行通信的功能中央处理单元(CPU)开放多媒体应用平台(OMAP)304。系统300还包括视频开关306，视频开关306可以是UPM302的一部分，允许安全和不安全地(自由地)使用连接到UPM302的液晶显示器(LCD)308。

根据示例，UPM302可以操作开关306以基于UPM是否已经激活一个或多个接口组件在UPM302和功能CPUOMAP304之间进行切换。例如，UPM302可以包括PIN输入设备(PED)312。当UPM302激活PED312以便PIN输入时，其能够切换视频开关306以推动与LCD308之间的安全通信。这在其他情况下关闭功能CPUOMAP304和UPM306之间的可能的通信路径以防止对PED312的未授权访问。当UPM302未激活PED或其他接口设备时，其能够切换视频开关306以允许不安全的应用经由功能CPUOMAP304访问LCD308。如所示的那样，功能CPUOMAP304可以在视频开关306如此允许时经由UPM302接收视频输出310以便给LCD308。

图4例示在燃料分配器处的功能处理器和主控制配置(例如，SoM、UPM等)上执行的应用相关的示例SOA400。SOA图示功能处理器应用部分和主控制配置部分。SOA400包括各种层，包括应用层402、开发框架404、服务层406和中间件层408。

应用层402包括作为可以由功能处理器访问或在功能处理器上操作的应用的在功能处理器应用部分上的燃料分配器应用410、网络应用412、移动应用414和POS/第三方应用416。燃料分配器应用410、网络应用412和移动应用414可以与应用框架418通信，应用框架418可以包括JavaScript(JS)、异步JS和可扩展的标记语言(XML)(AJAX)或类似的组件。POS/第三方应用416可以与用于基于非网络的应用的开发框架420通信。框架418和420可以推动与包括消息变换424和/或网络服务426的服务422进行通信，以便随后与CRIND控制器428进行通信。

关于主控制器配置，应用层402包括与开发支付框架452通信的支付应用450。开发支付框架452推动与可以包括将进入的消息转换为内部标准的消息变换456和/或网络服务458的服务454进行通信。如所述的那样，网络服务458可以与EPS460或EDH462进行通信以推动传送支付信息，以便处理交易支付。

在所示出的具体示例中，主控制配置部分涉及支付环境。在一个示例中，如果对功能应用部分引入的新项目(例如，软件升级)由于新的实现方式(例如，软件/硬件改变)而导致错误，则可以默认地调用主控制配置部分以确保在很小或不影响零售商或客户的情况下完成交易。

图5例示如在本文中所述的那样的可以在功能处理器上执行各种服务的示例性燃料分配器环境500。例如，可以在功能处理器上操作针对应用502、支持API504、TLS512、MDS514、CGS516、支付应用518、忠诚度应用520、配置应用522、标记应用524、FFDS526等的托管环境中的一个或多个。例如，FFDS526可以推动来自分配器制造商1530、分配器制造商2532和/或分配器制造商3534的与简单的泵528和/或燃料分配器(或相关的组件)之间的通信。一个或多个组件可以使用访问一个或多个安全组件的一个或多个接口(诸如PED)与安全框架506通信。另外，一个或多个组件可以与508或510处的EDH通信以推动处理交易支付。如所示的那样，组件可以通过中枢536进行通信。中枢536可以是推动设备之间的通信的架构，并且可以包括前部控制器、后房、局域网(LAN)交换机或路由器、WiFi组件、蓝牙组件等。

图6例示如在本文中所述的可以在功能处理器上执行各种服务的示例性燃料分配器环境600。例如，CRIND602、BIR612、TLS614、MDS616、CGS618、FFDS620、税款应用622、TLS624、MDS626、FCS628、CGS630、支付应用640、忠诚度应用642、配置应用644、标记应用646等可以在功能处理器上操作。例如，BIR可以推动与IP箱监视器632之间的通信。FFDS620可以推动与简单的泵610和/或其他燃料分配组件之间的通信。税款应用622可以推动与基于网络的税款服务636之间的通信。TLS624、MDS626、FCS628、CGS630等可以推动与第三方POS而不与CRIND634进行通信。另外，例如，支付应用640、忠诚度应用642、配置应用644和标记应用646可以与EPS606通信以推动交易支付处理(例如，与支付网络608)。一个或多个组件可以使用一个或多个接口与安全框架604通信以访问一个或多个安全的组件，诸如PED。

图7例示根据在本文中所述方面的用于提供可信应用以便由燃料分配器进行托管的示例系统700。系统700包括可以在SoM上执行的CRIND应用702，并且具有相关联的显示器。CRIND应用702可以与泵706(或燃料分配器)和/或相关的组件进行通信以便处理与其有关的交易。CRIND应用702还可以通过中枢718与第三方POS708和/或EPS710通信以处理关于一个或多个交易的支付。系统700还包括可信的应用商店712以及可以从可信的应用商店712执行应用的应用服务器714。中枢718还通过允许与可信的应用商店712和/或应用服务器714进行通信的网络716进行通信。在一个示例中，网络716可以是因特网。

根据示例，CRIND应用702可以是或者可以包括如上所述的主控制配置。如上所述，CRIND应用702可以在可以是硬件配置的SoM上操作。在任何情况下，CRIND应用702可以根据在本文中所述的方面控制对显示器704的访问(例如，允许不安全的应用的访问或不同级别的访问)。在一个示例中，CRIND应用702可以区分来自可信的应用商店712的应用和其他应用，如所述的那样，向可信的应用提供增加的接口功能。这可以基于在CRIND应用702中定义的、或者在其他情况下可以由CRIND应用702访问的安全性配置文件。例如，CRIND应用702可以向可信的应用提供对显示器704、读卡器、数字盘等的完全的访问，同时对不可信的应用仅提供对显示器704的输出部分的访问(例如，只要其他接口组件不活动)。在其他示例中，如所描述的那样，CRIND应用702可以限制向不可信的来源递送来自输入设备的信息(例如，在递送给不可信的来源应用之前对特定的金融信息进行加密)。

在一个示例中，可以基于下载应用的来源(例如，可信或不可信的站点)来确定应用的可信度。在一个示例中，该信息可以在访问请求中的应用标识符中指示，或者在其他情况下由CRIND应用702确定。

参照图8和9，例示根据在本文中描述的各个方面的可以利用的方法。虽然为了解释的简单性的目的将方法示出并描述为一系列的活动，但是要理解并意识到，所述方法不限制于活动的次序，根据一个或多个方面，一些活动可以以不同的次序和/或与根据在本文中所示出和描述的其他活动并发地出现。例如，本领域的技术人员将理解并意识到可以替代地将方法表示为一系列相关的状态或事件，诸如表示为状态图。另外，可能并不需要所有所例示的活动来实现根据一个或多个方面的方法。

图8例示用于允许不安全的应用访问在安全框架中的接口的示例性方法800。在802，可以在通信路径上推动功能处理器与接口的一部分之间的通信。例如，通信路径可以允许功能处理器或者在其中运行的应用使用接口的至少一部分。在具体的示例中，这可以包括允许功能处理器将视频内容流传输到显示器。要意识到，被通信路径允许访问的接口的部分可以被通信路径的硬件、所实现的用于在通信路径上路由通信的安全性策略等限制。

在804，可以检测接口的安全部分的活动。例如，这可以包括检测数字盘的活动以便输入PIN、对触摸屏上的机密数据的请求等，并且可基于在托管接口或者在其他情况下与接口通信的硬件(例如，SoM、UPM等)内部的生成事件来检测活动。

在806，可以切换通信路径以终止功能处理器和接口的所述部分之间的通信。在这点上，可以消除来自接口的要到达功能处理器的数据的任何可能的通信路径。这可以在安全部分活动的同时提供附加的安全性。开关可以包括通信路径和内部通信路径之间的硬件开关、由硬件确定托管接口以不允许在切换期间源自功能处理器的要到达接口的数据，等等。

在808，可以检测到接口的安全部分不活动。例如，当所请求的交互完成时(例如，接收到PIN，按下“OK”按钮，等等)可以使该部分不活动。另外，可以基于所产生的事件或其他指示来检测到不活动。

在810，可以切换通信路径以推动功能处理器和接口的部分之间的通信。从而，因为接口的安全部分不活动，所以消除了潜在的安全性风险，并且功能处理器可以继续使用该接口。

图9例示用于在安全框架中托管应用的示例性方法900。在902，可以从在功能处理器上执行的应用获得对接口的一部分的访问请求。如所描述的那样，该访问请求可以指示请求访问的接口的部分、应用的标识符、应用的类型、应用的来源等。

在904，可以基于一个或多个安全性策略确定是否允许该访问请求。例如，安全性策略可以包括针对尝试访问接口的某些部分的任何应用的一般策略、针对特定应用的特定策略、针对应用类型的特定策略、针对应用来源的特定策略等。因此，例如，在904处的确定可以根据基于标识符、应用的类型的标识符、应用的来源的标识符等定位与应用相关的安全性策略。在一个示例中，安全性策略可以指定接口的哪些部分可以被应用、类型、来源等访问(例如，显示器、显示器的一部分等)。

在906，可以基于确定允许访问请求来推动应用与接口的部分之间的通信。如所描述的那样，这可以包括基于安全性策略切换硬件以允许通信，基于目的地和安全性策略确定是否路由包，等等。另外，如所描述的那样，在904，可以基于接口的另外的部分是否活动来确定访问请求是否被允许，并且可以在906处相应地推动通信。

为了提供所公开的主题的各个方面的背景，图10和11以及随后的论述用于提供关于可以实现所公开的主题的各个方面的适合的环境的简要的、一般的描述。虽然以上在运行在一个或多个计算机上的程序的计算机可执行的指令的一般背景下描述了主题，但是本领域的技术人员将意识到所述主题也可以结合其他程序模块来实现。一般地，程序模块包括执行任务和/或实现具体的抽象数据类型的例程、程序、组件、数据结构等。另外，本领域的技术人员将意识到所述系统/方法可以用其他计算机系统配置来实现，其中包括单处理器、多处理器或多核处理器计算机系统、迷你计算设备、大型计算机以及个人计算机、手持计算设备(例如，个人数字助理(PDA)、电话、手表……)、基于微处理器的或可编程的消费者或工业电子设备等。所例示的方面也可以在分布式计算环境中实施，其中由通过通信网络连接的远程处理设备执行任务。然而，如果并不是所要求的主题的所有方面都可以，则可以一些可以实施在单独的计算机上。在分布式环境中，程序模块可以位于本地以及远程存储器存储设备中。

参照图10，用于实现在本文中公开的各个方面的示例性环境1000包括计算机1012(例如，台式、膝上型、服务器、手持、可编程的消费者或工具电子设备……)。计算机1012包括处理单元1014、系统存储器1016以及系统总线1018。系统总线1018将包括但不限于系统存储器1016的系统组件耦合到处理单元1014。处理单元1014可以是各种可用的微处理器的任何一种。要意识到可以采用双微处理器、多核和其他微处理器架构作为处理单元1014。

系统存储器1016包括易失性和非易失性存储器。在非易失性存储器中存储基本输入/输出系统(BIOS)，其包含诸如在启动期间在计算机1012内的元件之间传输信息的基本例程。作为例示而非限制，非易失性存储器可以包括只读存储器(ROM)。易失性存储器包括随机存取存储器(RAM)，其可以充当外部高速缓存存储器以推动处理。

计算机1012还可以包括可移动/不可移动的、易失性/非易失性计算机存储介质。例如，图10例示海量存储1024。海量存储1024包括但不限于例如磁或光盘驱动器、软盘驱动器、闪速存储器或存储棒这样的设备。另外，海量存储1024可以单独地或与其他存储介质相结合地包括存储介质。

图10提供(多个)软件应用1028，其充当在适合的操作环境1000中所描述的基本计算机资源与用户和/或其他计算机之间的媒介。这样的软件应用1028包括系统和应用软件之一或两者。系统软件可以包括操作系统，其可以存储在海量存储1024上，用于控制和分配计算机系统1012的资源。应用软件通过存储在系统存储器1016和海量存储1024中的任何一个或两者上的程序模块和数据来利用系统软件管理的资源。

计算机1012还可以包括通信地耦合到总线1018并且推动与计算机1012之间的交互的一个或多个接口组件1026。作为示例，接口组件1026可以是端口(例如，串行、并行、PCMCIA、USB、FireWire……)或接口卡(例如，声音、视频、网络……)等。接口组件1026可以接收输入和提供输出(有线地或无线地)。例如，可以从包括但不限于诸如鼠标、跟踪球、铁笔这样的指点设备、触摸板、键盘、麦克风、操纵杆、游戏垫、卫星天线、扫描仪、相机、其他计算机等接收输入。可以由计算机1012经由接口组件1026向输出设备供应输出。输出设备尤其可以包括显示器(例如，阴极射线管(CRT)、液晶显示器(LCD)、发光二极管(LCD)、等离子……)、扬声器、打印机和其他计算机。

根据示例，处理单元1014可能包含或接收与控制某个应用、类型、来源等对接口组件1026的访问有关的指令，接口组件1026可以类似于接口104、接口组件206等和/或在本文中描述的其他方面。要意识到系统存储器1016可以另外地或替代地收容这样的指令，并且处理单元1014可以被利用处理指令。另外，例如，系统存储器1016可以保留和/或处理单元1014可以包含执行目录对象的更新的指令以确保用一个或多个另外的操作环境的复制。如所描述的那样，系统1000或者至少计算机1012可以包括SoM、UPM等。

图11是主题创新可以与之交互的样本计算环境1100的示意性框图。环境1100包括一个或多个客户端1110。客户端1110可以是硬件和/或软件(例如，线程、进程、计算设备)。环境1100还包括一个或多个服务器1130。因此，在其他模型中，环境1100可以对应于双层客户端服务器模型或多层模型(例如，客户端、中间层服务器、数据服务器)。服务器1130还可以是硬件和/或软件(例如，线程、进程、计算设备)。例如，服务器1130可以收容通过采用主要创新的方面执行变换的线程。客户端1110和服务器1130之间的一个可能的通信可以是以在两个或多个计算机进程之间传送的数据包的形式。

环境1100包括可以被采用以推动客户端1110和服务器1130之间的通信的通信框架1150。这里，如前所述的那样，客户端1110可以对应于程序应用组件，并且服务器1130可以提供接口的功能以及可选地提供存储系统的功能。客户端1110操作地连接到可以被采用将信息存储到客户端1110本地的一个或多个客户端数据存储1160。类似地，服务器1130操作地连接到可以被采用将信息存储在服务器1130本地的一个或多个服务器数据存储1140。

作为示例，一个或多个客户端1110可以是经由通信框架1150请求访问服务器1130处的接口的可信应用。在这点上，服务器1130可以位于或者可以访问燃料分配器。在一个示例中，服务器1130可以获得被安全性策略所允许的可信应用的输入，并且经由通信框架1150将其传送回到客户端1110。在一个示例中，例如，客户端1110可以将输入存储在客户端数据存储1160中，或者以其他方式处理该输入。

结合在本文中公开的实施例所描述的各种示例性的逻辑、逻辑块、模块、组件和电路可以用被设计用于执行在本文中所描述的功能的通用处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现场可编程门阵列(FPGA)或其他可编程的逻辑设备、离散门或晶体管逻辑、离散硬件组件或者以上的任何组合来实现或实施。通用处理器可以是微处理器，但是替代地，处理器可以是任何传统的处理器、控制器、微控制器或状态机。处理器也可以被实现为计算设备的组合，例如DSP和微处理器的组合、多个微处理器、结合DSP核心的一个或多个微处理器或者任何其他这样的配置。另外，至少一个处理器可以包含可操作用于执行以上所描述的一个或多个步骤和/或活动的一个或多个模块。示例性的存储介质可以耦合到处理器，使得处理器可以从存储介质读取信息以及将信息写入到存储介质。替代地，存储介质可以与处理器集成。另外，在一些方面中，处理器和存储介质可以存在于ASIC中。

在一个或多个方面中，所描述的功能、方法或算法可以被实现为硬件、软件、固件或其任何组合。如果实现为软件，则可以将功能作为可以合并到计算机程序产品中的计算机可读取的介质上的一个或多个指令或代码来存储或传送。计算机可读取的介质包括计算机存储介质和通信介质这两者，其中包括推动将计算机从一处传送到另一处的任何介质。存储介质可以是可以被计算机访问的任何可用的介质。作为示例而非限制，这样的计算机可读取的介质可以包含随机访问存储器(RAM)、只读存储器(ROM)、电可擦除可编程ROM(EEPROM)、致密盘(CD)-ROM或其他光盘存储、磁盘存储或其他磁存储设备、或者可以被用于携带或存储以可以被计算机访问的指令或数据指令的形式的所期望的程序代码的任何其他介质。在本文中所使用的盘或圆盘包括CD、激光盘、光盘、数字多功能盘(DVD)、软盘和蓝光盘，其中盘通常磁性地再现数据，而圆盘通常用激光光学地再现数据。以上的组合也应当被包括在计算机可读取的介质的范围内。

虽然以上已经描述了一个或多个方面，应当理解的是，所呈现的方面的任何和所有等效的实现包括在其范围和精神内。所示的方面仅作为示例呈现，而不用作对根据描述可以实现的各个方面的限制。因此，本领域的普通技术人员应当理解到，所呈现的主题不限于这些方面，因为可以进行修改。因此，想到任何和所有这样的实施例被包括在所呈现的主题中，其均落入所呈现的主题的范围和精神内。

Claims (24)

1.一种用于在燃料分配器处托管应用的主控制装置，包含：

接口组件，用于提供给主控制装置的输入或来自主控制装置的输出；以及

接口通信组件，用于在接口组件的安全部分活动时建立到接口组件的不安全部分的通信路径，

其中，接口通信组件通过通信路径将来自功能装置的数据提供给接口组件的不安全部分，并且在接口组件的安全部分活动的情况下切换通信路径以制止向接口组件的不安全部分提供来自功能装置的数据。

2.如权利要求1所述的主控制装置，其中，接口组件的不安全部分是视频显示器，并且数据是要在视频显示器上渲染的视频或图片数据。

3.如权利要求1所述的主控制装置，其中，接收通信组件还在接口组件的安全部分不活动的情况下切换通信路径以向接口的不安全部分提供来自功能装置的数据。

4.如权利要求1所述的主控制装置，其中，切换通信路径包含禁用耦合功能装置的功能连接器。

5.如权利要求1所述的主控制装置，其中，安全部分包含通用支付模块。

6.一种用于对燃料分配器的安全部分提供安全性的方法，包含：

提供给主控制装置的输入或来自主控制装置的输出；

在燃料分配器的安全部分活动时建立从主控制装置到燃料分配器的不安全部分的通信路径；

通过通信路径将来自功能装置的数据提供给燃料分配器的不安全部分；以及

在燃料分配器的安全部分活动的情况下切换通信路径以制止向燃料分配器的不安全部分提供来自功能装置的数据。

7.如权利要求6所述的方法，还包含在视频显示器上渲染视频或图片数据，其中燃料分配器的不安全部分包含视频显示器。

8.如权利要求6所述的方法，还包含在燃料分配器的安全部分不活动的情况下切换通信路径以向燃料分配器的不安全部分提供来自功能装置的数据。

9.如权利要求6所述的方法，其中，切换通信路径包含禁用耦合功能装置的功能连接器。

10.如权利要求6所述的方法，其中，安全部分包含通用支付模块。

11.一种用于在燃料分配器处托管应用的主控制装置，包含：

接口组件，用于提供给主控制装置的输入或来自主控制装置的输出；

访问请求接收组件，用于获得来自在功能处理器上执行的应用的对接口组件的一部分的访问请求；

安全性分析组件，用于基于一个或多个安全性策略确定是否允许所述访问请求；以及

接口通信组件，用于在安全性分析组件确定允许所述访问请求的情况下推动应用与接口组件的所述部分之间的通信。

12.如权利要求11所述的主控制装置，其中，接口通信组件基于一个或多个安全性策略修改在应用与接口组件的所述部分之间通信的数据的至少一部分。

13.如权利要求11所述的主控制装置，其中，所述一个或多个安全性策略与应用或接口组件的所述部分有关。

14.如权利要求11所述的主控制装置，其中，所述一个或多个安全性策略与应用的类型或应用的来源有关。

15.如权利要求11所述的主控制装置，其中，接口通信组件至少部分地基于检测到应用根据一个或多个安全性策略不可以访问的接口组件的安全部分的活动来终止应用与接口组件的所述部分之间的通信。

16.如权利要求15所述的主控制装置，其中，终止通信包含禁用功能连接器，功能处理器通过该功能连接器与主控制装置进行通信。

17.如权利要求11所述的主控制装置，其中，接口组件包含视频显示器，并且访问请求与使用显示器的触摸屏幕功能有关。

18.一种用于结合燃料分配器的安全框架托管应用的方法，包含：

提供给主控制装置的输入或来自主控制装置的输出，所述主控制装置控制对燃料分配器的一个或多个组件的访问；

获得来自在功能处理器上执行的应用的对一个或多个组件的一部分的访问请求；

基于一个或多个安全性策略确定是否允许所述访问请求；以及

至少部分地基于确定是否允许所述访问请求来推动应用与燃料分配器的一个或多个组件之间的通信。

19.如权利要求18所述的方法，还包含基于一个或多个安全性策略修改变在应用与一个或多个组件之间通信的数据的至少一部分。

20.如权利要求18所述的方法，其中，所述一个或多个安全性策略与应用或者一个或多个组件有关。

21.如权利要求18所述的方法，其中，所述一个或多个安全性策略与应用的类型或应用的来源有关。

22.如权利要求18所述的方法，还包含至少部分地基于检测到应用根据一个或多个安全性策略不可以访问的燃料分配器的安全部分的活动来终止应用与一个或多个组件之间的通信。

23.如权利要求22所述的方法，其中，终止通信包含禁用功能连接器，功能处理器通过所述功能连接器与主控制装置进行通信。

24.如权利要求18所述的方法，其中，所述一个或多个组件包含视频显示器，并且所述访问请求与使用显示器的触摸屏功能有关。