CN105518700A - 用于关机模式中的数据保护的系统 - Google Patents

Abstract

提供了用于即使在设备关机时也保护存储在设备上的数据的方法、系统和计算机程序产品。该设备包括第一操作系统和安全模块。第一操作系统(OS)是该设备的主OS，在设备通电处在“开机”模式中时管理计算机资源。安全模块与主OS分离，并被配置来监视不希望的设备篡改。该安全模块在硬件中实现，该安全模块即使当设备关机时也工作，并且因此即使当设备关机时也可以保护数据免受未授权的访问。该安全模块可以以电路、片上系统(SOC)、在与执行主OS的处理器硬件分开的处理器电路中执行的次要OS的形式、和/或以另一形式实现。

Description

用于关机模式中的数据保护的系统

背景

越来越多的数据被存储在设备上，尤其被存储在移动设备上。例如，人们可存储个人数据，并且雇员可在他们的设备上存储公司数据、政府数据、客户相关数据、知识产权和/或其它敏感形式的数据。当设备丢失、被盗或以某种其它方式被损害时，这些敏感数据被置于风险中。

为了解决这个问题，已经开发了用于保护设备上的敏感数据的技术。传统的设备数据保护技术通常依赖某种形式的用户认证、加密或其组合。例如，用户可设置她的设备来在数据可在设备上被访问之前要求输入特定口令或PIN。附加地，一些设备使得用户能够对存储在其上的文件或文件夹进行加密，这意味着必须在文件能被查看或复制之前输入密码。虽然这样的机制能够帮助防止敏感数据受到未授权的访问，但是它们不是完全可靠的。例如，如果用户被迫使在违反她意愿的情况下给出她的口令，或者如果设备在处于活动操作时(即，在用户已经输入了她的口令之后)被拿走，则口令机制将没有效果。还有些其它方式可被用于攻克用户认证和加密方案。一旦这些数据保护措施已经被攻克，则通常没有方式来防止敏感数据受到未授权的访问。

如果用户确定她处于她的设备很可能被盗的地方，则她可以能够采取主动步骤来保护敏感数据。例如，用户可以能够将命令输入到设备来从设备中删除所有敏感数据。取决于该场景，这可能对于保护用户的个人安全性以及敏感数据而言是必要的。然而，在许多情况下，用户将不能够预料她的设备将被盗并由此不会采取这样的步骤。即使在用户能够预料设备被盗的情况下，用户可能没有足够的处置时间来与她的设备交互以从设备中删除敏感数据。

概述

提供本概述以便以简化形式介绍将在以下详细描述中进一步描述的一些概念。本概述并不旨在标识所要求保护主题的关键特征或必要特征，也不旨在用于限制所要求保护主题的范围。

提供了用于即使在设备关机时也保护存储在设备上的数据的方法、系统和计算机程序产品。该设备包括第一操作系统和安全模块。第一操作系统(OS)是该设备的主OS，在设备通电处在“开机”模式中时管理计算机资源。安全模块与主操作系统分离，并被配置来监视不希望的设备篡改。安全模块以硬件实现，该安全模块即使在设备关机时也起作用，并且因此可即使是在设备关机时也保护数据免受未授权的访问。

下面将参考各个附图，详细描述本发明的进一步特点和优点，以及本发明的各实施例的结构和操作。值得注意的是，本发明不仅限于此处所描述的特定实施例。本文呈现这些实施例仅用于说明性的用途。基于本文所包含的描述，其它实施例对于相关领域的技术人员将是显而易见的。

附图说明

结合到本说明书并构成本说明书的一部分的附图示出了本发明的各个实施例，且与描述一起，进一步用于说明本发明的原理，并允许相关领域技术人员实施和使用这些实施例。

图1示出根据一示例实施例的包括被配置成保护存储在计算设备上的数据的数据保护系统的数据保护环境的框图。

图2示出提供根据一示例实施例的用于配置用于所存储的数据的保护的过程的流程图。

图3示出根据一示例实施例的用于选择用于数据的数据保护响应的过程。

图4示出根据一示例实施例的作为可选数据保护响应列表的流程图。

图5示出提供根据一示例实施例的用于监视与数据相关联的上下文触发来触发对数据保护响应的执行的过程的流程图。

图6示出根据一示例实施例的用于恢复根据软删除被删除的数据的过程。

图7示出根据一示例实施例的用于将设备篡改分派给数据作为上下文触发的过程。

图8示出根据一示例实施例的被配置成将设备篡改用作针对数据保护的上下文触发的数据保护系统的框图。

图9示出了根据一示例实施例的用于执行安全模块的过程。

图10示出提供根据一示例实施例的用于监视设备篡改以触发对数据保护响应的执行的过程的流程图。

图11示出提供根据一示例实施例的用于监视设备中的篡改传感器的各种过程的流程图。

图12示出根据一示例实施例的合并有监视篡改的传感器的设备的一部分的截面图。

图13A-13D示出根据各实施例的安全模块的各种示例实现。

图14示出其中可实现各个实施例的示例性用户设备的框图。

图15示出可被用来实现各个实施例的示例计算设备的框图。

当结合其中相同的附图标记标识对应的元素的附图时，本发明的特征和优点将从以下阐述的详细描述中变得更加显而易见。在附图中，相同的参考标号一般指相同的、功能上相似的和/或结构上相似的元素。其中元素第一次出现的附图由对应的参考标号中最左侧的数字指示。

详细描述

I.介绍

本说明书和附图公开了包括本发明的各特征的一个或多个实施例。本发明的范围不限于所公开的实施例。所公开的实施例仅仅例示本发明，并且所公开的实施例的经修改的版本也被本发明所构思。本发明的各实施例由附加的权利要求所限定。

说明书中对“一个实施例”、“一实施例”、“一示例实施例”等等的引用表示所描述的实施例可包括特定特征、结构或特性，但是，每一个实施例可不必包括该特定特征、结构，或特征。此外，这些短语不一定指相同的实施例。此外，当关于某一实施例描述特定特征、结构或特性时，不管是否被明确描述，关于其他实施例来实现该特征、结构或特性被认为是在本领域技术人员的知识范围内。

以下描述多个示例性实施例。应当注意，在此提供的任何章节/子章节标题不旨在限制。本文档中描述了各实施例，并且任何类型的实施例可被包括在任何章节/子章节下。此外，在任何章节/子章节中公开的各实施例可与在相同章节/子章节和/或不同章节/子章节中描述的任何其它实施例以任何方式组合。

以下的章节II描述了包括实现上下文触发的数据保护的计算设备的示例性数据保护环境。章节III描述了其中设备篡改是针对数据保护的上下文触发的示例性实施例。章节IV描述了计算设备的示例移动和桌面设备实现。章节V提供一些示例实施例。章节VI提供一些总结性评述。

II.针对上下文触发的数据保护的示例实施例

本文中描述的各实施例以基于上下文的可配置且自动的方式来实现对存储在设备上的数据的保护。基于上下文的数据保护使得用户能够设置策略来保护设备上的数据免受不想要的访问，诸如在设备已经被盗的情况下、在设备正违背用户的意愿被使用(例如，用户被迫使给出设备口令、设备在活动操作时被拿走等)的情况下、以及其它情况下。在检测到有风险的外部上下文时，预先定义的动作被自动执行以保护数据，从而防止数据被损坏。

基于上下文的数据保护系统针对用户不小心或不情愿地授权的访问进行防护。当有风险的上下文被标识时，数据被自动地保护来免于被损害。

针对基于上下文的数据保护实施和执行架构的实施例被提供。实施架构可被用于定义数据敏感性级别(例如，级别1、级别2等)、数据保护响应(例如，软删除、硬删除等)、风险/触发上下文(上下文1、上下文2)、以及这些元素之间的映射(例如，级别1->上下文1->软删除，其指示当上下文1被检测到时，级别1的内容要被软删除)。执行架构被配置成激活预先定义的动作/响应以确保数据被保护。诸如“软删除”(隐藏数据)等动作可被还原，而“硬删除”完全擦除数据而不具有用于数据还原的选项。

在各实施例中，潜在的危险情况可能在设备的关机模式中发生。例如，当设备在关机模式时，一个人可能企图打开设备来从设备移除一个或多个存储设备以访问存储其上的数据。提供了用于自动检测该情况的技术。在一个实施例中，这种情况中数据安全的实施可通过将芯片组(例如，附加处理器、OS等)形式的附加硬件包括在设备中以实现篡改检测来完成。例如，低功耗、始终工作的集成电路芯片和第二OS可存在于该设备中以保护该设备免遭存储移除。即使在设备的主OS关机时，一旦检测到设备硬件正被篡改，数据保护动作就由第二、始终工作的OS执行。

在一个示例实施例中，数据保护可被如下地配置来用于设备上的所选数据：设备装备有以低功耗操作以便处理设备篡改的专用芯片组(一个或多个IC芯片)。该芯片组可包括始终工作的第二OS。该OS与被安装在一个或多个设备位置处(诸如被附连到设备的外壳/物理容器、在设备外壳内的包围中、在设备中的存储框架处(例如，被附连到设备内的存储框架的螺丝处))的传感器连接。在该始终工作的OS中，上下文设置可被配置。监视物理容器的传感器被配置成设置可接受的打开设备的可接受的条件(例如，正确的螺旋打开次序)。在主OS中，存储在设备中的要被保护的内容可连同用于触发数据保护的上下文和(诸)特定的保护响应一起被选择。例如，可请求关于一个或多个文件/文件夹的数据保护请求以标记出要保护的内容。(无论主OS是否开机)当第二OS检测到对物理容器的篡改时，第二OS就执行预定数据保护响应/动作，其可包括内容的硬删除，使得被标记为敏感的数据可被自动删除而无任何用于恢复的选项。

可在上下文触发被检测到的情况下采取各种可能的响应来保护数据。这样的数据保护响应的示例包括以下中的一个或多个：硬删除，其中被标记为敏感的数据被自动地从设备中删除，而不具有用于还原的选项；软删除，其中被标记为敏感的数据被操作系统(OS)通过删除到该数据的链接并将链接存储在安全位置中来自动地隐藏(被软删除的数据被存储但对用户不可见，被保护的数据可被加密等等)；提醒可被提供给用户(例如，消息、声音、可视提醒等)；文件可被禁止打开；显示该数据的打开的窗口可被关闭；打开的窗口可被隐藏在其它窗口后面；等等。

注意，在各实施例中，这样的数据保护中的一个或多个可被“独立地”执行，使得处理设备的用户不知晓数据保护响应正被执行。例如，处理设备的人员可能因为篡改设备(例如，尝试打开设备的外壳来拿到设备存储器)、因为未能在正确的时间输入口令或键序列、因为将设备运输到特定位置、因为以不熟悉的方式与设备UI进行交互、因为被感测到人员的生物测定状况等而致使数据保护响应被执行。数据保护响应可以独立的方式被执行，使得该人员不知晓响应正被执行。例如，数据可被独立地隐藏、软删除或硬删除，使得该人员甚至不知晓数据正在设备上或曾存在于设备上。附加地或替换地，所显示的窗口可在该人员看到了窗口的先前布置之前被重新安排，提醒可在该人员不知晓的情况下被传送到设备的拥有者或管理员、和/或其它数据保护响应可以离散的方式被执行。

对数据保护的这种独立执行可具有各种益处。例如，未授权人员尝试访问设备上的敏感数据可触发对该敏感数据的软删除或隐藏。如果未授权人员不知晓该数据正在该设备上或曾存在于该设备上，并且没有立即在该设备上找到该数据(因为其被隐藏或被软删除)，则该人员可能更加快速地对尝试在该设备上找到该数据失去兴趣。此外，如果该设备的授权用户正被未授权人员威胁，则授权用户针对在该设备上的该数据的任意存在有更合理的推诿。

如果作为数据保护响应该数据被软删除，则该数据稍后可被OS还原。当数据被软删除时，只有到该数据(例如，文件)的链接被删除。数据可通过从安全存储中恢复链接来被还原/恢复。在一个实施例中，对数据的恢复可以是自动的，诸如在下一次用户采用正确的口令和正确的口令输入上下文来登录时。替换地，恢复可通过正确的口令上下文来被触发。

因此，各实施例提供特征，诸如用于针对其中用户所位于的外部有风险的环境对数据保护的自动且独立的触发的方法和系统，用于经由内容属性、针对所有帐户覆盖设备上的数据的数据保护来定义要被保护的敏感数据的方法和系统，以及用于检测设备篡改来作为用于激活数据保护响应的上下文的方法和系统。

在以下子章节中提供对数据保护实施例的进一步描述。例如，以下紧接着的子章节描述用于配置针对数据的保护的进一步实施例，之后是描述对数据保护的触发和执行的进一步的实施例的子章节。

A.用于配置数据保护的示例实施例

在各实施例中，数据保护系统可用各种方式来配置以保护数据免受不想要的访问。例如，图1示出根据一示例实施例的包括被配置成保护存储在计算设备102上的数据的数据保护系统136的数据保护环境100的框图。如图1中显示的，数据保护环境100包括计算设备102和服务器104。计算设备102和服务器104通过网络106来通信地耦合。数据保护系统136被包括在计算设备102中。在图1的实施例中，数据保护系统136包括用户界面模块108、上下文触发监视器110、数据保护执行器112、以及存储114。此外，服务器104包括用户界面模块128。环境100的这些特征被描述如下。

如图1中显示的，数据保护系统136可被实现在计算设备102中。注意，在另一实施例中，数据保护系统136可部分地被实现在计算设备102中，部分地被实现在服务器104中。例如，用户界面模块108、上下文触发监视器110、以及数据保护执行器112可被包括在计算设备102中。替换地，用户界面模块108可不存在于计算设备102中，作为替代，服务器104的用户界面128以及上下文触发监视器110和数据保护执行器112可作为数据保护系统136的一部分。在另一实施例中，用户界面108和128两者都存在并作为数据保护系统136的一部分。

计算设备102可以是任何类型的静态或移动计算设备，包括移动计算机(例如，设备、个人数字助理(PDA)、膝上型计算机、笔记本计算机、诸如AppleiPad^TM的平板计算机、上网本等)、移动电话(例如，手机，诸如Microsoft电话、AppleiPhone、实现Android^TM操作系统的电话、设备、RIM设备等的智能电话)、可穿戴的计算设备(例如，智能手表、包括诸如Glass^TM的智能眼镜的头戴式设备等)、智能相机或其它类型的移动设备、或诸如桌面计算机或PC(个人计算机)等静态计算设备。

存储114可包括用于存储数据的任何类型的存储介质/设备中的一个或多个，包括磁盘(例如，在硬盘驱动器中)、光盘(例如，在光盘驱动器中)、磁带(例如，在磁带驱动器中)、诸如RAM设备、ROM设备等的存储器设备、和/或任何其他合适类型的存储介质/设备。

被显示为存储在存储114中的数据124可以是任何类型的数据，包括一个或多个文件、一个或多个文件夹、文件和文件夹的组合、和/或任意其它类型的数据结构和/或任意其它数量的数据结构。虽然单个数据实例(数据124)被显示为存储在存储114中，但是该单个数据实例是出于简化说明而被显示在图1中的。可以理解，任意数量的数据实例可被存储在存储114中，其中每个实例是具有对应的如本文公开的所配置的安全性参数的任意大小的一个或多个文件和/或文件夹。

网络106的示例包括局域网(LAN)、广域网(WAN)、个域网(PAN)、或诸如因特网的通信网络的组合。对于在网络106上的通信，计算设备102和服务器104可各自包括可以是有线或无线的网络接口(例如，网络接口卡(NIC))，诸如IEEE802.11无线局域网(WLAN)无线接口，全球微波互联接入(Wi-MAX)接口、以太网接口、通用串行总线(USB)接口、蜂窝网络接口、Bluetooth^TM接口之类的有线或无线接口等等。

用户可与计算设备102处的用户界面模块108(当存在时)进行交互，或可与服务器104处的用户界面模块128(当存在时)进行交互，以配置用于对于计算设备102所存储的数据(诸如被存储在存储114中的数据124)的数据保护。配置数据保护的用户可以是计算设备102的拥有者或其它用户、系统管理员(例如，当计算设备102是企业的设备时)、或其他人员。

计算设备102处的用户界面模块108可存在来作为用于计算设备102的用户配置用于存储在计算设备102中的数据的保护的传统方式。用户界面模块108可以是存储在计算设备102中的数据保护应用的一部分(例如，单独的台式或移动应用、部分基于云的“app(应用)”等)，可以是计算设备102的OS的一部分，或可用另一方式来存在于并被配置在计算设备102中。

当与由用户界面模块108生成的用户界面进行交互时，可使得用户能够确定存储114中所存储的数据(诸如数据124)，以将这样的数据选择用于数据保护配置。用户可与用户界面进行交互来配置针对数据124的数据保护，并可将数据保护配置与数据124相关联地存储为安全性属性122。

在另一实施例中，可能希望不在计算设备102中具有用户界面模块108。例如，以下情况可被确定为安全性弱点：获得并能够登录到计算设备102中的任意人员能够访问用户界面108，并由此可配置(包括移除)用于存储在计算设备102处的数据的保护。在这样的实施例中，用户界面模块108可不存在于计算设备102处，替代地，用户界面模块128可存在于服务器104处以被用于配置针对存储在计算设备102中的数据的保护。例如，用户界面模块128可以是存储在服务器102中的不可通过网络访问的数据保护应用(或OS)的一部分，可以是可通过网络访问的应用(例如，浏览器可访问的应用)的一部分、或可以用另一种方式存在于并被配置在服务器104中。

当与由服务器104的用户界面模块128生成的用户界面进行交互时，可使得用户能够通过网络106确定计算设备102处所存储的数据(诸如数据124)，以将该数据选择用于数据保护配置。用户可与用户界面进行交互来配置针对数据124的数据保护，并可将数据保护配置与数据124相关联地存储为安全性属性122。

在各实施例中，用户界面模块108和/或用户界面模块128可被用于用任一方式来配置数据保护。例如，在一实施例中，用户界面模块108和/或用户界面模块128可根据图2来操作。图2示出提供根据一示例实施例的用于配置用于所存储的数据的保护的过程的流程图200。以下参考图1描述流程图200。基于以下描述，其他结构及操作的实施例对于相关领域的技术人员将是显而易见的。

流程图200开始于步骤202。在步骤202中，提供使得数据敏感性级别能被分派到存储在计算设备上的数据的用户界面。例如，如图1中显示的，用户界面模块108(当存在时)可生成用户界面138，而用户界面模块128(当存在时)可生成用户界面140。用户界面138和用户界面140各自可以是包括任意数量的用户界面元素的任意类型的用户界面，包括图形用户界面、触摸界面、语音控制界面、触觉界面、姿势界面等。

在一实施例中，用户界面138和/或用户界面140可被提供来使得数据敏感性级别能被分派到存储在计算设备102上的数据，诸如数据124。如图1中显示的，用户界面138包括第一数据敏感性(DS)选择器116，而用户界面140包括第二DS选择器130。取决于哪一个存在，用户可与DS选择器116和/或DS选择器130交互以将数据敏感性级别分派到数据124。例如，DS选择器116和/或DS选择器130可以是用户界面元素，诸如复选框、切换开关、按钮、下拉菜单、或另一用户界面元素。用户可与用户界面元素交互来选择数据124的数据敏感性。例如，用户可与DS选择器116或DS选择器130交互来将所选的数据指定为敏感或不敏感。在一实施例中，用户还可与DS选择器116或DS选择器130交互来将所选的数据指定为具有不同的敏感性程度(例如，不敏感、中等敏感、高度敏感等)。

在步骤204中，数据保护响应被使得能够通过用户界面被选择来与数据相关联。在一实施例中，用户界面138和/或用户界面140可被提供来使得数据保护响应能被分派到存储在计算设备102上的数据，诸如数据124。在数据被确定为至少潜在地受到不想要或有风险的访问的情况下(例如，计算设备102被放错地方、潜在地被盗、已知已经被盗、潜在地正被未授权人员访问、计算设备102的用户正被迫使访问数据等)，可针对该数据执行数据保护响应。

如图1中显示的，用户界面138包括第一数据保护响应(DPR)选择器118，而用户界面140包括第二DPR选择器132。取决于哪一个存在，用户可与DPR选择器118和/或DPR选择器132交互以将数据保护响应分派到数据124。例如，DPR选择器118和/或DPR选择器132可以是本文中公开的或以其它方式已知的任意类型的用户界面元素。用户可与该用户界面元素交互来选择用于数据124的数据保护响应。各种类型的数据保护响应可用于选择并分派到数据124。

例如，在一实施例中，流程图200的步骤204可包括图3中显示的过程。图3示出根据一示例实施例的用于选择用于数据的数据保护响应的步骤302。在步骤302中，数据保护响应被允许从包括软删除和硬删除的多个数据保护响应中选择。由此，在一实施例中，DPR选择器118和/或DPR选择器132可提供数据保护响应列表，并且数据保护响应中的一个或多个可从该列表中被选择并被分派到数据(例如，通过下拉菜单、复选框等)。数据保护响应可包括硬删除数据或软删除数据。如将在本文中更加详细讨论的，硬删除“”包括使得数据永久地不可访问(例如，覆写存储器/存储中的数据)，而“软删除”包括使得数据暂时性地不可访问，使得其可在随后的时间被还原。

其它类型的数据保护响应可从中被选择。例如，图4示出提供根据一示例实施例的用于可选数据保护响应的过程的流程图400。流程图400的每个步骤描述了分开且独立的数据保护响应。流程图400中描述的数据保护响应中的任意一个或多个可被选择并被分派到特定的数据实例。流程图400被描述如下。基于以下描述，其他结构及操作的实施例对于相关领域的技术人员将是显而易见的。

流程图400开始于步骤402。在步骤402，通过将计算设备上的数据隐藏以不被用户查看来执行对该数据的软删除。如以上描述的，DPR选择器118和/或DPR选择器132可提供用于将软删除被分派为用于数据的数据保护响应的选项。根据软删除，数据在计算设备102上被隐藏以不被用户查看。例如，表示该数据的到文件的链接可被删除，并且链接和/或数据可被存储在被认为安全的位置以供可能的后续还原/恢复。

在步骤404，通过将计算设备上的数据删除而不具有用于还原的选项来执行对该数据的硬删除。如以上描述的，DPR选择器118和/或DPR选择器132可提供用于将硬删除被分派为用于数据的数据保护响应的选项。根据硬删除，数据以数据不能被还原或恢复的方式从存储(例如，存储114)中删除。例如，数据被存储在其中的存储位置可用1和0的模式来盖写。

在步骤406中，提醒被广播。在一实施例中，DPR选择器118和/或DPR选择器132可提供用于将提醒被分派为用于数据的数据保护响应的选项。提醒可被配置为向计算设备102的授权用户(例如，拥有者、系统管理员等)通知数据可能受到未授权访问的威胁。提醒可被递送/传送到授权用户的电话号码的地址，或以另一形式来呈现，包括如电子邮件消息、文本消息、社交网络消息、电话呼叫、哔哔噪音(或其它声音)等。

在步骤408中，文件被禁止能够被打开。在一实施例中，DPR选择器118和/或DPR选择器132可提供用于将禁止一个或多个文件(表示数据)能够被打开作为用于数据的数据保护响应的选项。文件可用任意方式来被禁止能够被打开，包括通过锁定文件、提升对文件的许可(到用户的访问权限之上)等。

在步骤410中，一打开的数据显示窗口被关闭。在一实施例中，DPR选择器118和/或DPR选择器132可提供用于将关闭显示数据的打开的显示窗口作为用于数据的数据保护响应的选项。

在步骤412中，打开的数据显示窗口被隐藏在至少一个其它窗口后面。在一实施例中，DPR选择器118和/或DPR选择器132可提供用于将将打开的显示窗口隐藏在一个或多个其它窗口后面作为用于数据的数据保护响应的选项。例如，数据显示窗口可被移动到已经被打开的一个或多个其它窗口后面，和/或一个或多个新的窗口可被打开在数据显示窗口前面。

注意，如本文中描述的，可与DPR选择器118和/或DPR选择器132来将数据保护响应分派到数据。在另一实施例中，数据保护响应可被预先与数据敏感性相关联，并且当该数据敏感性级别被分派到特定数据时，相关联的数据保护响应也被分派到该数据。例如，软删除可与低数据敏感性级别相关联，并且硬删除可与高数据敏感性级别相关联。如果低敏感性级别被分派到特定数据(在流程图200的步骤202中)，则软删除也被自动地分派到该特定数据(在步骤204中)。

参考回图2，在步骤206中，上下文触发被使得能够通过用户界面被分派到数据。在一实施例中，用户界面138和/或用户界面140可被提供来使得上下文触发能被分派到存储在计算设备102上的数据，诸如数据124。上下文触发可以是某一条件或条件集，当检测到该条件或条件集时，指示计算设备102变为遭受或易受未授权访问。

如图1中显示的，用户界面138包括第一上下文触发(CT)选择器120，而用户界面140包括第二CT选择器134。取决于哪一个存在，用户可与CT选择器120和/或CT选择器134交互来设置上下文触发，对上下文触发的检测指示数据保护模式被数据保护执行器112激活。例如，CT选择器120和/或CT选择器134可以是本文中公开的或以其它方式已知的任意类型的用户界面元素。用户可与该用户界面元素交互来选择用于数据124的上下文触发。上下文触发的示例包括但不限于：感测到未授权用户非常靠近计算设备102；篡改计算设备102；在设备启动、登录或关闭期间，用户未能提供要求的输入；以及计算设备102的用户的感测到的行为指示该用户不是授权用户。也可使用各种各样的其它上下文触发。

如以上描述的，敏感性级别、数据保护响应以及上下文触发可被选择来分派到数据124。在计算设备102处作出的对敏感性级别、数据保护响应以及上下文触发的选择从用户界面模块108作为安全性属性122A来输出。在服务器104处作出的对敏感性级别、数据保护响应和上下文触发的选择从用户界面模块128输出作为安全性属性122B，并在通信信号中在网络106上被传送到计算设备102。安全性属性122A或122B可与数据124相关联地存储来作为安全性属性122。

B.用于触发和执行数据保护的示例实施例

数据保护系统可用各种方式来配置以监视受到未授权访问威胁的数据，并执行数据保护策略来保护该数据。例如，如以上关于图1描述的，计算设备102中的数据保护系统136包括上下文触发监视器110和数据保护执行器112。上下文触发监视器110和数据保护执行器112被配置成检测对数据的未授权访问并执行数据保护。上下文触发监视器110和数据保护执行器112在以下关于图5来描述。图5示出提供根据一示例实施例的用于监视与数据相关联的上下文触发来触发对数据保护响应的执行的过程的流程图500。流程图500、上下文触发监视器110和数据保护执行器112如以下被描述。基于以下描述，其他结构及操作的实施例对于相关领域的技术人员将是显而易见的。

流程图500开始于步骤502。在步骤502中，监视上下文触发的发生。例如，如图1中显示的，上下文触发监视器110接收与数据124相关联的安全性属性122的上下文触发。上下文触发监视器110可直接从用户界面模块108或从存储114接收安全性属性122的上下文触发。上下文触发监视器110随着时间操作来确定是否已经检测到上下文触发中的任意一个。如果上下文触发监视器110确定上下文触发已经被检测到，则上下文触发监视器110通过生成触发通知126来通知数据保护执行器112。

在步骤504中，当检测到上下文触发的发生时，与数据相关联的数据保护响应被执行。响应于触发通知126，数据保护执行器112可执行与数据124相关联的安全性属性122中的数据保护响应。所执行的数据保护响应被示出为图1中被执行的动作142。

在各实施例中，安全性属性122中的数据保护响应可指示并且数据保护执行器112可执行本文中提到的或以其它方式已知的任意一个或多个数据保护响应。例如，数据保护响应可指示并且数据保护执行器112可执行流程图400(图4)中显示的以及在本文中其它地方描述的数据保护响应中的任意一个或多个和/或基于本文中的教导对于本领域的技术人员将显而易见的任意其它合适的数据保护响应。因此，数据保护执行器122可包括或访问用于执行一个或多个数据保护响应的功能性。例如，数据保护执行器112可包括或访问能够执行文件和/文件夹的软删除(其可包括文件加密、文件/文件夹移动和/或重命名、重新配置到文件/文件夹的链接等)的文件管理器模块。数据保护执行器112可包括或访问被配置成发送提醒消息的消息收发模块(例如，发短信工具、电子邮件工具、即时消息收发工具、社交网络消息收发工具、电话通信工具、音频工具等)。在另一示例中，数据保护执行器112可包括或访问能够重新安排所显示的窗口和/或打开窗口的(例如，OS的)窗口管理模块。数据保护执行器112可被配置有用于执行如基于本文中的教导对于本领域的技术人员将显而易见的一个或多个数据保护响应的附加的和/或替换的功能性。

因此，在各实施例中，可基于上下文(诸如不想要的篡改设备等)来触发针对存储在设备上的数据的数据保护。这样的数据保护的示例包括软删除、硬删除、提醒等。注意，如果数据被软删除，则一旦确定未授权数据访问的威胁被减弱或被通过，数据就可被恢复。因此，图6显示根据一示例实施例的用于恢复根据软删除被删除的数据的过程。在步骤602中，数据在计算设备上被恢复为对用户可见。在这样的实施例中，先前在设备中被软删除或隐藏的数据可被恢复或还原。例如，到数据文件的链接可从存储中的安全位置等恢复。恢复可以是自动的，诸如在下一次授权用户采用正确的口令和正确的口令输入上下文来登录到计算设备102中时。替换地，恢复可仅用手动方式来触发，诸如通过被口令上下文触发。

III.设备篡改作为数据保护的触发的示例实施例

如以上描述的，特定数据可被选择来保护。例如，参考图1，用户可与用户界面模块108(计算设备102)或用户界面模块128(服务器104)交互来配置数据的安全性参数。数据安全性级别可被分派到数据(例如，图2中的步骤202)，并且数据保护响应可被分派到数据(例如，图2中的步骤204)。在一实施例中，设备篡改可被分派为上下文触发(例如，图2的步骤206中)。如果计算设备102正按以下方式被物理地篡改：显然一实体正尝试通过从计算设备102提取一个或多个物理组件(例如，存储器设备)来获得对数据的未授权访问，那么这样的篡改可被检测到并被用于触发数据保护响应。

例如，图7示出了根据一示例实施例的用于向数据分派上下文触发的步骤702。在步骤702中，设备篡改被使得能够被分派到数据。因此，对包含感兴趣数据的设备的不希望的篡改是上下文触发。例如，当计算设备102被以不希望的方式(诸如被企图打开设备102的未授权人员)篡改(例如，移除一个或多个存储器设备)时，上下文触发可被检测到，并且所选的数据保护响应可被执行。

CT选择器120和/或CT选择器134可允许设备篡改以各种方式被选择。例如，CT选择器120和/或CT选择器134可允许作出通用“设备篡改”类型的上下文触发选择。在这样的情形中，计算设备102中的任何篡改传感器都可被监视作为针对数据的潜在上下文触发。在另一个实施例中，CT选择器120和/或CT选择器134可允许包括在计算设备102中的特定篡改传感器被单独选择作为上下文触发。可能存在的这样的传感器的示例包括设备打开传感器、螺丝传感器(其感测将设备外壳固定在一起、将诸如存储框架等结构附连到外壳内部等的螺丝被旋动)、光传感器(其通过到检测环境光来感测设备外壳被打开)、设备外壳完整性传感器等等。

数据保护系统136可用各种方式被配置成监视指示数据受到未授权访问的威胁的篡改触发。例如，图8示出根据一示例实施例的被配置成将设备篡改用作针对数据保护的上下文触发的数据保护系统800的框图。如在图8所示，数据保护系统800包括安全模块802和一个或多个篡改传感器804。安全模块802被配置成监视设备篡改并执行针对计算设备的数据保护，即使在计算设备被关机/断电时。安全模块802包括上下文触发传感器110和数据保护执行器112。在图8中还呈现了主OS814和存储114。在一实施例中，上下文触发监视器110可执行流程图500的步骤502(图5)，并且安全模块802的数据保护执行器112可执行流程图500的步骤504。数据保护系统800是被显示在图1中的数据保护系统136的一个示例，并且出于容易说明的目的，不是系统800的所有特征都必须被显示在图8中。数据保护系统800可被包括在计算设备102中。数据保护系统800被如下描述。

在图8的实施例中，上下文触发监视器110被配置成将设备篡改用作针对数据保护的上下文触发。具体而言，如图8中显示的，篡改传感器804被配置成感测由未授权人员对计算设备102的篡改。篡改传感器804可以各种方式确定对设备的篡改，包括通过感测计算设备102的一个或多个属性，这将指示篡改。

因此，在一实施例中，数据保护设备800可根据图9来操作。图9示出了根据一示例实施例的用于执行安全模块的步骤902。在步骤902中，与计算设备中的操作系统分开的安全模块被执行。例如，如图8所示，安全模块802与主OS814分开地操作。当计算设备102通电处在“开”模式时，主OS814在计算设备102的处理器硬件中执行以管理设备资源。计算设备102可被用户断电，诸如通过用户将计算设备102的电源开关从“开”移到“关”、通过用户按下计算设备102的预定按钮达预定量时间、通过用户说出单词“关机”(或类似单词)、或通过用户执行其他动作、或者通过计算设备102自动关机(例如为了节省功率在预定量的非使用时间之后)。当计算设备102断电，且主OS814因此不再能够操作时，安全模块802继续操作。以此方式，即使在计算设备102关机时，安全模块802也能检测对计算设备102的篡改。在一实施例中，安全模块802被配置成(相对于在计算设备102的处理器硬件中执行的主OS814)消耗较低的功耗。以此方式，安全模块802可在计算设备102被关机时保持操作，而不消耗快速耗尽计算设备102的电池的过多功率。

如此，安全模块802可以以各种方式操作。例如，图10示出提供根据一示例实施例的用于监视设备篡改以触发对数据保护响应的执行的过程的流程图1000。在一实施例中，安全模块802可根据流程图1000来操作。以下参考图8描述流程图1000。基于以下描述，其他结构及操作的实施例对于相关领域的技术人员将是显而易见的。

流程图1000开始于步骤1002。在步骤1002，安全模块在计算设备关机时执行。如上面描述的，安全模块802被配置来即使在计算设备102关机时也执行。以此方式，即使在计算设备102关机时，安全模块802也能保护数据免受未经授权的访问。在各实施例中，安全模块802在耦合到电源(例如，计算设备102的一个或多个电池)、持续接收此供电、并且在计算设备102被关机时不进入“关”或“节电”模式的硬件(例如，一个或多个处理器电路和/或其它电路)中实现。

在步骤1004中，从至少一个传感器接收对计算设备的外壳的篡改的指示。例如，有关图8，篡改传感器804被配置来感测对计算设备102的篡改。篡改传感器804可检测对计算设备102的外壳的篡改，诸如撬动、旋松、或以其他方式与外壳的各特征交互以打开计算设备102、钻或以其他方式在计算设备102的表面上形成洞、用物体撞击计算设备102或用计算设备102撞击物体以企图使计算设备102裂开，或以其他方式篡改外壳。这样的篡改交互可由未授权人员执行，企图从计算设备102移除包含受保护数据的存储设备。如图8所示，篡改传感器804生成篡改指示符806，其指示篡改传感器已经检测到对计算设备102的篡改。上下文触发监视器110被配置成监视用于指示篡改的篡改指示符806。

例如，在一实施例中，上下文触发监视器110可根据图11来操作。图11示出提供根据一示例实施例的用于监视设备中的篡改传感器的各种过程的流程图1100。流程图1100的每个步骤描述了可被执行的分开且独立形式的篡改监视。流程图1100中描述的任何一个或多个篡改监视过程可由上下文触发监视器110执行，这取决于在场且被配置用于监视的特定篡改传感器。为解说的目的，以下参考图8和12来描述流程图1100。图12示出了根据一示例实施例的结合有监视篡改的传感器的设备1200的一部分的截面图。设备1200是计算设备102的一个示例。基于以下描述，其他结构及操作的实施例对于相关领域的技术人员将是显而易见的。

流程图1100开始于步骤1102。在步骤1102，将外壳固定在一起和/或固定存储框架的一个或多个螺丝被监视。在一个实施例中，上下文触发监视器110可被配置来监视一个或多个螺丝传感器，此一个或多个螺丝传感器监视计算设备的螺丝。螺丝传感器可被配置来确定将计算设备的各结构固定在一起的螺丝是否被旋转和/或从计算设备移除。如果螺丝被移除和/或被旋转，则计算设备可能处在被打开的过程中和/或诸如计算设备的存储器设备之类的结构可能处在被移除的过程中。如此，螺丝传感器可通过检测被旋开和/或移除的一个或多个螺丝来检测对计算设备的篡改，并可生成篡改指示符806来指示此。

例如，参考图12，设备1200包括第一外壳部分1202和第二外壳部分1204。第一和第二外壳部分1202和1204如图12所示互锁以形成用于设备1200的各组件的外壳。这样的组件的示例包括诸如显示器、一个或多个按钮、一个或多个话筒、一个或多个相机、一个或多个集成电路、和/或其它电子组件等。外壳形成了包围1206，其中可包含某些组件。在各实施例中，设备1200可包括任何数量的外壳部分。

如图12所示，第一和第二外壳部分1202和1204可由一个或多个螺丝1216连接在一起。此外，如图12所示，一个或多个螺丝1222可将设备102的其它组件附连到设备102的外壳上，诸如安置一个或多个存储器设备1220的组件板或存储构架1218。螺丝1216和/或1222可被耦合到一个或多个螺丝传感器1208。螺丝传感器1208被配置来检测螺丝(诸如螺丝1216和/或1222之一)何时被旋开和/或移除。当螺丝1216正被旋开或移除时，这指示设备1200的外壳正在被打开，使得内部的组件(诸如可能存储敏感数据的存储器设备1220)可能被移除。类似地，当螺丝1222正被旋开或移除时，这指示母板或存储框架1218在被移除，使得所安置的组件(诸如可能存储敏感数据的存储器设备1220)可能被移除。

螺丝传感器1208的各示例包括电位计或其它类型的变阻器等。一个或多个螺丝传感器1208可与上下文触发监视器110通信地耦合以向上下文触发监视器110提供篡改指示符806，以指示一个或多个相应的螺丝正被篡改。

在步骤1104中，监视外壳的各部分是否变得相互分开。在一个实施例中，上下文触发监视器110可被配置来监视一个或多个外壳传感器，此一个或多个外壳传感器检测计算设备的外壳的各部分是否正被相互分开。外壳传感器可被配置来确定计算设备是否处在被打开以使得诸如计算设备的存储器设备之类的各结构可能处于被移除的危险中的过程中。如此，外壳传感器可通过检测外壳部分被分开来检测对计算设备的篡改，并可生成篡改指示符806来指示此。

例如，参考图12，设备1200可包括耦合到设备1200的外壳的不同部分的一个或多个外壳传感器1210。在图12的示例中，外壳传感器1210被耦合在第一和第二外壳部分1202和1204之间，并且因此可检测何时第一和第二外壳部分1202和1204正被相互分开且设备1200正在被打开。例如，外壳传感器1210可以是在电路中与设备1200闭合时通常耦合的一个或多个导电和/或磁性接头相连的连接性传感器。当第一和第二外壳部分1202和1204相互移开时接头相互分开，导致断开的电路、电阻增加、电流减少(缘于断开电路)和/或外壳传感器1208可感测的磁场改变。在其它实施例中，外壳传感器1210可以其它方式被配置来检测第一和第二外壳部分1202和1204何时相互分开。

在步骤1106，监视对外壳的破坏。在一个实施例中，上下文触发监视器110可被配置成监视检测计算设备的外壳是否正被破坏的一个或多个外壳结构传感器。外壳结构传感器可被配置成确定计算设备是否处在被钻入、打破、粉碎等以使得诸如计算设备的存储器设备之类的各结构可能处于被移除的危险中的过程中。如此，外壳结构传感器可通过检测外壳被破坏来检测对计算设备的篡改，并可生成篡改指示符806来指示此。

例如，参考图12，设备1200可包括可被结合到设备1200的外壳中和/或沿着设备1200的表面结合的一个或多个外壳结构传感器1214。在图12的示例中，外壳结构传感器1214被集成在第一和第二外壳部分1202和1204的材料中，并且因此可检测何时第一和第二外壳部分1202和1204被破坏且设备1200的包围1206正在被访问。例如，外壳结构传感器1210可以是检测对第一和/或第二外壳部分1202和1204的破坏的电阻传感器或压电膜传感器、检测设备1200正被加速到(例如，当被打碎或投掷到表面时)可能发生破坏的速度的加速度传感器、或其它类型的破坏传感器。

在步骤1108中，监视外壳形成的包围内的光。在一个实施例中，上下文触发监视器110可被配置来监视检测计算设备的外壳是否已被打开的一个或多个光传感器。光传感器可被配置来因为光传感器接收到的光量已增加而确定计算设备被打开，使得计算设备的存储器设备之类的各结构可能处于被移除的危险中。如此，光结构传感器可通过检测外壳被破坏来检测对计算设备的篡改，并可生成篡改指示符806来指示此。

例如，参考图12，设备1200可包括可被结合到设备1200的包围1206中的一个或多个光传感器1212。在图12的示例中，光传感器1212被安置在第一外壳部分1202的内表面，但是在其它实施例中，可被安置在设备1200中的其它地方。因此，光传感器1212可检测设备1200何时已被打开(例如，第一和第二外壳部分1202和1204已被相互分开)，因为当设备1200被打开时光传感器1212接收到的光量(环境光被光传感器1212接收)显著大于当设备1200关闭时(外围1206是暗的)光传感器1212接收到的光量。例如，光传感器1212可以是光电二极管或其它类型的光传感器。

注意，图12所示的传感器和图11的流程图1100中所示的传感器监视过程是作为解说的目的提供的，而不旨在限制。通过本文中的教导，其他类型的传感器和监视过程对本领域的技术人员而言是显而易见的。

在步骤1006中，响应于所接收到的篡改的指示，与数据相关联的数据保护响应被执行。在一个实施例中，上下文触发监视器110还接收与数据124相关联的安全属性122的篡改传感器上下文触发810。篡改传感器上下文触发810可如上面所描述的(例如，图2步骤206)被分派给数据124。篡改传感器上下文触发810包括与计算设备102的各传感器(诸如上面描述的一个或多个传感器和/或设备102的检测篡改的其它类型的传感器)相关联的一个或多个上下文触发。上下文触发监视器110随着时间操作来确定篡改传感器804中的一个篡改传感器是否已经检测到任何篡改传感器上下文触发。

例如，篡改传感器上下文触发810可指示一个或多个篡改传感器上下文触发，诸如螺丝篡改(如图11的步骤1102中监视的)、外壳分离(如图11的步骤1104中监视的)、外壳破坏(如图11的步骤1106中监视的)、内部光感测(如图11的步骤1108中监视的)，和/或其它篡改传感器上下文触发。

上下文触发监视器110被配置来将在篡改指示符806中接收到的篡改指示与篡改传感器上下文触发810的各篡改传感器上下文触发进行比较。如果上下文触发监视器110确定篡改传感器上下文触发已经被检测到，则上下文触发监视器110通过生成篡改通知808来通知数据保护执行器112。篡改通知808指示应当对数据124执行数据保护响应。

注意在一个实施例中，上下文触发监视器110可接收篡改指示符806中的不被认为篡改的预定篡改指示，并且由于不保证数据保护而被上下文触发监视器110过滤掉。例如，篡改指示符806可指示计算设备的螺丝以特定次序被旋开(例如，如图12的螺丝传感器1208所检测的)。然而，篡改传感器上下文触发810可指示特定预定次序的螺丝旋开是可接受的(例如，设备的螺丝可被合适地移除的顺序次序)，并且不指示篡改。这样的预定次序可被保留并为被授权出于维护、修理、升级和/或其它目的而打开该计算设备的人员所知晓。如果上下文触发监视器110检测到在篡改指示符806和/或不指示篡改的其它传感器数据中接收这样的预定次序，则上下文触发监视器110可能不生成篡改通知808。

如在图8中显示的，数据保护执行器112接收篡改通知808和数据保护响应812。基于篡改通知808，数据保护执行器112可执行与数据124相关联的安全性属性122中的数据保护响应812。如以上描述的，当篡改指示符806指示与篡改传感器上下文触发810的一篡改传感器上下文触发匹配的篡改时，数据保护执行器112被配置来执行数据保护响应812。

因此，在各实施例中，可基于上下文(诸如设备篡改)来触发对数据的数据保护。这样的数据保护的示例包括软删除、硬删除、提醒等。在设备篡改的情况中，将硬删除用作数据保护响应可能是合需的。这是因为很有可能未授权的人员企图从计算设备中提取存储器设备来访问存储在其上的数据。存储器设备对计算设备的所有者而言将可能丢失，并且因此存储其上的敏感数据也可在未授权人员已经成功提取存储器设备之前被永久删除。注意如果数据被软删除，那么一旦确定未授权数据访问的威胁已经消除或过去(例如，图6的步骤602)，诸如在未授权人员未成功提取存储器设备并且计算设备被恢复等情况下，数据可被恢复。

如上面所描述的，安全模块802(图8)可在计算设备中以各种方式被实现，使得安全模块802即使在计算设备关机时也能够保护敏感数据。例如，图13A-13D示出了根据各实施例的在计算设备中的安全模块802的各示例实现。图13A-13D被描述如下。

图13A示出了安全模块802的示例实施例，其中安全模块802被实现在电路1302中。在这样的实施例中，安全模块802可被实现在纯硬件中(非固件或软件)。硬件可包括一个或多个集成电路芯片(例如，ASIC(应用专用集成电路)、FPGA(现场可编程门阵列)、电阻器、电容器、电感器、晶体管、开关和/或配置用于实现安全模块802的各功能的其它硬件组件)。在另一实施例中，除了硬件以外，电路1302还可包括固件以执行其功能。例如，电路1302还可包括配置用于执行固件来实现安全模块802的各功能的一个或多个处理器电路。电路1302被耦合到计算设备的电池(例如可充电电池)，其即使在计算设备关机时也提供功率以允许电路1302操作。

注意，电路1302可包括其自己的电池(可充电或不可充电)，以向电路1302提供功率以操作安全模块802，即使向计算设备的其它部件提供功率的一个或多个电池电量耗尽不再能够提供功率。

图13B示出了安全模块802的示例实施例，其中安全模块802被实现在片上系统(SOC)1304中。SOC1304是电路1302的示例，并包括实现安全模块802的各功能的集成电路芯片。SOC1304可以完全是硬件，或可包括在SOC1304的一个或多个处理器电路中执行的固件。SOC1304提供有电源(例如，来自其自身电池和/或计算设备的其它电池)以便即使在计算设备关机时也执行。

图13C示出了安全模块802的另一示例实施例，其中安全模块802被实现在第二操作系统(OS)1306中。第二OS1306是次要OS，以使得计算设备能够支持安全模块802的执行。在这样的实施例中，安全模块802可被实现在于计算设备的一个或多个处理器电路1314中执行的软件中。第二OS不包括主OS的全部功能，因为支持安全模块802需要较少功能，从而消耗更少的存储空间，以在更低的功率操作。处理器电路1314提供有功率(例如，来自其自身的电池和/或计算设备的其它电池)以便即使在计算设备关机时也执行。处理器电路1314可被包括在与执行计算设备的主OS的处理器电路/硬件分开的硬件中。

例如，图13D示出与计算设备的主OS分开的第二OS1306中的安全模块802的示例实现。如图13D所示，主OS814在实现在第一集成电路1308中的一个或多个处理器电路1312中操作。第二OS1306操作在实现在第二集成电路1310中的一个或多个处理器电路1304中。在图13D的实施例中，第一和第二集成电路相互分开。以此方式，第二集成电路1310可接收功率以即使在第一集成电路1308不接收功率也以在开机模式操作，或者在计算设备关机时以低功率模式操作。

IV.示例移动和静态设备实施例

计算设备102、服务器104、用户界面模块108、上下文触发监视器110、数据保护执行器112、DS选择器116、DPR选择器118、CT选择器120、用户界面模块128、DS选择器130、DPR选择器132、CT选择器134、数据保护系统136、系统800、安全模块802、主OS814、电路1302、片上系统1304、第二OS1306、集成电路1308、集成电路1310、处理器电路1312、处理器电路1314、流程图200、步骤302、流程图400、流程图500、步骤602、步骤702、步骤902、流程图1000以及流程图1100可用硬件、或组合有软件和/或固件的硬件来实现。例如，用户界面模块108、上下文触发监视器110、数据保护执行器112、DS选择器116、DPR选择器118、CT选择器120、用户界面模块128、DS选择器130、DPR选择器132、CT选择器134、数据保护系统136、系统800、安全模块802、主OS814、第二OS1306、流程图200、步骤302、流程图400、流程图500、步骤602、步骤702、步骤902、流程图1100和/或流程图1100可被实现为被配置成在一个或多个处理器中执行并被存储在计算机可读存储介质中的计算机程序代码/指令。替换地，计算设备102、服务器104、用户界面模块108、上下文触发监视器110、数据保护执行器112、DS选择器116、DPR选择器118、CT选择器120、用户界面模块128、DS选择器130、DPR选择器132、CT选择器134、数据保护系统136、系统800、安全模块802、主OS814、电路1302、片上系统1304、第二OS1306、集成电路1308、集成电路1310、处理器电路1312、处理器电路1314、流程图200、步骤302、流程图400、流程图500、步骤602、步骤702、步骤902、流程图1000、和/或流程图1100可被实现为硬件逻辑/电子电路。

例如，在一个实施例中，在任何组合中，用户界面模块108、上下文触发监视器110、数据保护执行器112、DS选择器116、DPR选择器118、CT选择器120、数据保护系统136、系统800、安全模块802、主OS814、电路1302、片上系统1304、第二OS1306、集成电路1308、集成电路1310、处理器电路1312、处理器电路1314、流程图200、步骤302、流程图400、流程图500、步骤602、步骤702、步骤902、流程图1000和/或流程图1100中的一者或多者可在SoC中一起被实现。SoC可包括集成电路芯片，该集成电路芯片包括以下一个或多个：处理器(如中央处理单元(CPU)、微控制器、微处理器、数字信号处理器(DSP)等等)、存储器、一个或多个通信接口、和/或用于执行其功能的进一步的电路和可任选地执行接收到的程序代码和/或包括嵌入的固件。

图14示出了示例性移动设备1400的框图，该电子设备1400包括概括地示为组件1402的各种任选硬件和软件组件。例如，移动设备1400的组件1402是可被包括在移动设备实施例中的计算设备102(图1)内的组件的示例。组件1402的特征/要素的任何数量和组合以及附加和/或替代特征/要素可被包括在移动设备实施例中，如相关领域技术人员所知的。注意，组件1402中的任一组件可与组件1402中的任何其他组件通信，尽管为了便于说明并未示出所有连接。移动设备1400可以是本文中其它地方所述或提及的、或者以其它方式已知的各种移动设备(例如，蜂窝电话、智能电话、手持式计算机、个人数字助理(PDA)等)中的任一种，并且可允许经由诸如蜂窝或卫星网络等一个或多个通信网络1404或通过局域网或广域网进行与一个或多个移动设备的无线双向通信。

所示移动设备1400可包括用于执行诸如信号编码、图像处理、数据处理、输入/输出处理、电源控制、和/或其他功能之类的任务的控制器或处理器(称为处理器电路1410)。处理器电路1410是在一个或多个物理硬件电子电路设备元件和/或作为中央处理单元(CPU)、微控制器、微处理器、和/或其它物理硬件处理电路的集成电路设备(半导体材料芯片或管芯)中实现的电子和/或光学电路。处理器电路1410可执行存储在计算机可读介质中的程序代码，诸如一个或多个应用1414、操作系统1412的程序代码、存储器1420中存储的任何程序代码等。操作系统1412可控制对组件1402的分配和使用，并支持一个或多个应用程序1414(也称为“应用”、“app”等)。应用程序1414可包括公共移动计算应用程序(例如，电子邮件应用程序、日历、联系人管理器、web浏览器、消息接发应用程序)、或任何其他计算应用(例如字处理应用、映射应用、介质播放器应用)。

如所示地，移动设备1400可包括存储器1420。存储器1420可包括不可移动存储器1422和/或可移动存储器1424。不可移动存储器1422可包括RAM、ROM、闪存、硬盘、或其它众所周知的存储器存储技术。可移动存储器1424可包括闪存或在GSM通信系统中公知的订户身份模块(SIM)卡，或者诸如“智能卡”的其它公知存储器存储技术。存储器1420可用于存储数据和/或用于运行操作系统1412和应用1414的代码。示例数据可包括经由一个或多个有线或无线网络发送给和/或接收自一个或多个网络服务器或其它设备的网页、文本、图像、声音文件、视频数据、或其它数据集。存储器1420可用于存储诸如国际移动订户身份(IMSI)等订户标识符，以及诸如国际移动设备标识符(IMEI)等设备标识符。可将此类标识符传送给网络服务器以标识用户和设备。

多个程序可被储存在存储器1420中。这些程序包括操作系统1412、一个或多个应用程序1414、其他程序模块以及程序数据。这样的应用程序或程序模块的示例可包括例如，用于实现以下的计算机程序逻辑(例如，计算机程序代码或指令)：用户界面模块108、上下文触发监视器110、数据保护执行器112、DS选择器116、DPR选择器118、CT选择器120、用户界面模块128、DS选择器130、DPR选择器132、CT选择器134、数据保护系统136、系统800、安全模块802、主OS814、流程图200、步骤302、流程图400、流程图500、步骤602、步骤702、步骤902、流程图1000、和/或流程图1100(包括流程图200、400、500、1000、1100的任意合适步骤)和/或本文中描述的其它实施例。

移动设备1400可支持诸如触摸屏1430、话筒1434、相机1436、物理键盘1438、和/或跟踪球1440的一个或多个输入设备1430，以及诸如扬声器1452和显示器1454的一个或多个输出设备1450。诸如触摸屏1432的触摸屏可以不同方式检测输入。例如，电容式触摸屏在物体(例如，指尖)使流过表面的电流变形或中断时检测到触摸输入。作为另一示例，触摸屏可使用光学传感器，在来自光学传感器的光束被中断时检测到触摸输入。对于通过某些触摸屏被检测到的输入来说，与屏幕表面的物理接触并不是必需的。例如，如本领域公知地，触摸屏1432可被配置成使用电容感测支持手指悬停检测。可使用如以上已经描述的其它检测技术，包括基于相机的检测和基于超声波的检测。为了实现手指悬停，用户的手指通常在触摸屏上方预定间隔距离内，诸如在0.1至0.25英寸之间、或0.25至0.5英寸之间、或0.5至0.75英寸之间、或0.75至1英寸之间、或1至1.5英寸之间等等。

为了说明目的，触摸屏1432被视为包括控制界面1492。控制界面1492被配置成控制与显示在触摸屏1432上的虚拟元素相关联的内容。在一示例实施例中，控制界面1492被配置成控制由一个或多个应用程序1414提供的内容。例如，当移动设备1400的用户利用应用时，控制界面1492可在触摸屏1432上被呈现给用户以使用户能够访问控制这种内容的控件。控制界面1492的呈现可基于(例如触发于)距触摸屏1432指定距离内的运动的检测、或者没有此类运动。用于基于运动或没有运动使控制界面(例如控制界面1492)呈现在触摸屏(例如触摸屏1432)上的示例实施例在以下更具体地描述。

其他可能的输出设备(未示出)可包括压电或其他触觉输出设备。一些设备可提供一个以上的输入/输出功能。例如，触摸屏1432和显示器1454可被组合在单个输入/输出设备中。输入设备1430可包括自然用户界面(NUI)。NUI是使得用户能够以“自然”方式与设备交互而不受由诸如鼠标、键盘、遥控器等输入设备强加的人为约束的任何接口技术。NUI方法的示例包括依赖于语音识别、触摸和指示笔识别、屏幕上和屏幕附近的姿势识别、空中姿势、头部和眼睛跟踪、嗓音和语音、视觉、触摸、姿势、以及机器智能的那些方法。NUI的其它示例包括使用加速计/陀螺仪、脸部识别、3D显示、头、眼以及凝视跟踪、身临其境的增强现实和虚拟现实系统的运动姿势检测(所有这些都提供更为自然的接口)，以及用于通过使用电场感测电极(EEG和相关方法)感测脑部活动的技术。由此，在一特定示例中，操作系统1412或应用程序1414可包括作为允许用户经由语音命令来操作设备1400的语音控制界面的一部分的语音识别软件。此外，设备1400可包括允许经由用户的空间姿势进行用户交互(诸如检测和解释姿势以向游戏应用提供输入)的输入设备和软件。

无线调制解调器1460可被耦合至天线(未示出)，并且可支持处理器电路1410与外部设备间的双向通信，如本领域中充分理解的那样。调制解调器1460被一般性地示出，并且可包括用于与移动通信网络1404和/或其它基于无线电的调制解调器(例如，蓝牙1464或/或Wi-Fi1462)进行通信的蜂窝调制解调器1466。蜂窝调制解调器1466可被配置成根据任何适当的通信标准或技术(诸如GSM,3G,4G,5G等)实现电话呼叫(以及可任选地传送数据)。无线调制解调器1460的至少之一通常被配置用于与一个或多个蜂窝网络(诸如，用于在单个蜂窝网络内、蜂窝网络之间、或移动设备与公共交换电话网络(PSTN)之间的数据和语音通信的GSM网络)进行通信。

移动设备1400还可包括至少一个输入/输出端口1480、电源1482、诸如全球定位系统(GPS)接收机之类的卫星导航系统接收机1484、加速计1486、和/或物理连接器1490，该物理连接器1490可以是USB端口、IEEE1394(火线)端口、和/或RS-232端口。所示的组件1402并非是必需或者涵盖全部的，因为如本领域技术人员所理解地，任何组件可不存在且附加地其它组件可存在。

此外，图15示出其中可实现各实施例的计算设备1500的示例性实现。例如，计算设备102和/或服务器104(图1)可在与静态计算机实施例中的计算设备1500相似的一个或多个计算设备中实现，包括计算设备1500的一个或多个特征和/或替代特征。此处所提供的对计算机1500的描述只是为了说明，并不是限制性的。实施例也可以在相关领域的技术人员所知的其它类型的计算机系统中实现。

如图15所示，计算设备1500包括一个或多个处理器(被称为处理器线路1502)、系统存储器1504，以及将包括系统存储器1504的各种系统组件耦合到处理器电路1502的总线1506。处理器电路1502是在一个或多个物理硬件电子电路设备元件和/或作为中央处理单元(CPU)、微控制器、微处理器、和/或其它物理硬件处理电路的集成电路设备(半导体材料芯片或管芯)中实现的电子和/或光学电路。处理器电路1502可执行存储在计算机可读介质中的程序代码，诸如操作系统1530的程序代码、应用程序1532、其它程序1534等。总线1506表示若干类型的总线结构中的任何一种总线结构的一个或多个，包括存储器总线或存储器控制器、外围总线、加速图形端口，以及处理器或使用各种总线体系结构中的任何一种的局部总线。系统存储器1504包括只读存储器(ROM)1508和随机存取存储器(RAM)1510。基本输入/输出系统1512(BIOS)储存在ROM1508中。

计算机系统1500还具有一个或多个以下驱动器：用于读写硬盘的硬盘驱动器1514、用于读或写可移动磁盘1518的磁盘驱动器1516、以及用于读或写诸如CDROM、DVDROM或其他光介质之类的可移动光盘1522的光盘驱动器1520。硬盘驱动器1514、磁盘驱动器1516，以及光驱动器1520分别通过硬盘驱动器接口1524、磁盘驱动器接口1526，以及光学驱动器接口1528连接到总线1506。驱动器以及它们相关联的计算机可读介质为计算机提供了对计算机可读指令、数据结构、程序模块，及其他数据的非易失存储器。虽然描述了硬盘、可移动磁盘和可移动光盘，但是，也可以使用诸如闪存卡、数字视频盘、RAM、ROM等等之类的其他类型的基于硬件的计算机可读存储介质来储存数据。

数个程序模块可被储存在硬盘、磁盘、光盘、ROM或RAM上。这些程序包括操作系统1530、一个或多个应用程序1532、其他程序1534以及程序数据1536。应用程序1532或其它程序1534可包括例如，用于实现以下的计算机程序逻辑(例如，计算机程序代码或指令)：用户界面模块108、上下文触发监视器110、数据保护执行器112、DS选择器116、DPR选择器118、CT选择器120、用户界面模块128、DS选择器130、DPR选择器132、CT选择器134、数据保护系统136、系统800、安全模块802、主OS814、流程图200、步骤302、流程图400、流程图500、步骤602、步骤702、步骤902、流程图1000、和/或流程图1100(包括流程图200、400、500、1000、1100的任意合适步骤)和/或本文中描述的其它实施例。

用户可以通过诸如键盘1538和定点设备1540之类的输入设备向计算设备1500中输入命令和信息。其它输入设备(未示出)可包括话筒、控制杆、游戏手柄、卫星天线、扫描仪、触摸屏和/或触摸平板、用于接收语音输入的语音识别系统、用于接收手势输入的手势识别系统、诸如此类。这些及其他输入设备常常通过耦合到总线1506的串行端口接口1542连接到处理线路1502，但是，也可以通过其他接口，诸如并行端口、游戏端口、通用串行总线(USB)端口，来进行连接。

显示屏1544也通过诸如视频适配器1546之类的接口连接到总线1506。显示屏1544可在计算设备1500外部或纳入其中。显示屏1544可显示信息，以及作为用于接收用户命令和/或其它信息(例如，通过触摸、手指姿势、虚拟键盘等等)的用户界面。除了显示屏1544之外，计算设备1500还可包括其他外围输出设备(未示出)，如扬声器和打印机。

计算机1500通过适配器或网络接口1550、调制解调器1552、或用于通过网络建立通信的其他手段连接到网络1548(例如，因特网)。可以是内置的或外置的调制解调器1552可以经由串行端口接口1542连接到总线1506，如图15所示，或者可以使用包括并行接口的另一接口类型连接到总线1506。

如此处所用的，术语“计算机程序介质”、“计算机可读介质”以及“计算机可读存储介质”被用于泛指物理硬件介质，诸如与硬盘驱动器1514相关联的硬盘、可移动磁盘1518、可移动光盘1522、其它诸如RAM、ROM之类的物理硬件介质、闪存卡、数字视频盘、zip盘、MEM、基于纳米技术的存储设备、以及其它类型的物理/有形存储介质等(包括图14的存储器1420)。这些计算机可读存储介质与通信介质(不包括通信介质)相区别且不重叠。通信介质通常在诸如载波等已调制数据信号中承载计算机可读指令、数据结构、程序模块或者其它数据。术语“已调制数据信号”是指使得以在信号中编码信息的方式来设置或改变其一个或多个特性的信号。作为示例而非限制，通信介质包括诸如声学、RF、红外线的无线介质和其它无线介质以及有线介质。实施例也针对这些通信介质。

如上文所指示的，计算机程序和模块(包括应用程序1532及其他程序1534)可被储存在硬盘、磁盘、光盘、ROM、RAM或其它硬件存储介质上。这样的计算机程序也可以通过网络接口1550、串行端口接口1542或任何其他接口类型来接收。这些计算机程序在由应用程序执行或加载时使得计算机1500能够实现此处所讨论的实施例的特征。因此，这些计算机程序表示计算机系统1500的控制器。

各实施例还涉及包括存储在任何计算机可读介质上的计算机代码或指令的计算机程序产品。这样的计算机程序产品包括硬盘驱动、光盘驱动、存储器设备包、便携式记忆棒、存储器卡以及其它类型的物理存储硬件。

V.示例实施例

在一个实施例中，计算设备中的系统保护所述计算设备存储的数据。所述计算设备包括在所述计算设备的处理器硬件中执行的主操作系统。所述系统包括配置用于检测对所述计算设备的篡改的至少一个传感器，以及与操作系统分开的配置用于在所述计算设备中连续执行(包括被配置以在所述计算设备关机时执行)的安全模块。所述安全模块与所述至少一个传感器通信地耦合。安全模块包括配置用于接收对所检测到的对所述计算设备的篡改的指示的上下文触发监视器，以及配置用于响应于对所检测到的篡改的接收执行与所述数据相关联的数据保护响应的数据保护执行器。

在所述系统的一个实施例中，所述数据保护响应是所述数据的硬删除。

在所述系统的一实施例中，所述安全模块被实现为电路。

在所述系统的一实施例中，所述安全模块被实现在片上系统(SOC)设备中。

在所述系统的一实施例中，所述系统可进一步包括第二操作系统，其中包括所述安全模块。

在所述系统的一实施例中，所述系统可进一步包括执行所述第二操作系统并且与执行所述主操作系统的处理器硬件分开的处理器电路，所述处理器电路被配置以在所述计算设备关机时以通电模式操作。

在所述系统的一实施例中，所述至少一个传感器被配置成执行以下操作的至少一个：监视紧固所述计算设备的外壳和/或紧固存储框架的一个或多个螺丝、监视所述外壳的各部分变得相互分开、监视对外壳的破坏、或监视所述外壳形成的包围内的光。

在所述系统的一实施例中，所述系统可进一步包括用户界面模块，其使得数据敏感性级别、数据保护响应以及上下文触发能够与所述计算设备存储的数据相关联。

在一个实施例中，计算设备中的方法保护所述计算设备存储的数据。所述计算设备包括在所述计算设备的处理器硬件中执行的主操作系统。所述方法包括：执行与所述计算设备中的所述操作系统分开且与至少一个传感器通信地耦合的安全模块。执行所述安全模块包括在所述设备关机时执行所述安全模块、从至少一个传感器接收有关对所述计算设备的篡改的指示、并响应于所接收到的所述篡改的指示来执行与所述数据相关联的数据保护响应。

在所述方法的一实施例中，所述安全模块被实现为电路，且执行所述安全模块包括操作所述电路。

在所述方法的一实施例中，所述安全模块被实现在片上系统(SOC)设备中，且执行所述安全模块包括操作所述SOC设备。

在所述方法的一个实施例中，执行所述安全模块包括执行其中包括所述安全模块的第二操作系统。

在所述方法的一实施例中，执行所述安全模块进一步包括用与执行所述主操作系统的处理器硬件分开的处理器电路来执行所述第二操作系统，所述处理器电路被配置以在所述计算设备关机时以通电模式操作。

在所述方法的一实施例中，所述至少一个传感器被配置来执行以下之一：监视紧固所述计算设备的外壳和/或紧固存储框架的一个或多个螺丝、监视所述外壳的各部分变得相互分开、监视对外壳的破坏、或监视所述外壳形成的包围内的光。

在另一个实施例中，计算设备中的方法保护所述计算设备存储的数据。所述计算设备包括在所述计算设备的处理器硬件中执行的主操作系统。所述方法包括提供用户界面，该用户界面允许将数据保护响应分派到所述数据，所分派的数据保护响应包括数据的硬删除，并执行与所述计算设备中的操作系统分开的且与至少一个传感器通信地耦合的安全模块。执行所述安全模块包括在所述设备关机时执行所述安全模块、从至少一个传感器接收有关对所述计算设备的篡改的指示、并响应于所接收到的所述篡改的指示来执行与所述数据相关联的数据保护响应。

在所述方法的一实施例中，所述安全模块被实现为电路，且执行所述安全模块包括执行所述电路。

在所述方法的一实施例中，所述安全模块被实现在片上系统(SOC)设备中，且执行所述安全模块包括执行所述SOC设备。

在所述方法的一个实施例中，执行所述安全模块包括执行其中包括所述安全模块的第二操作系统。

在所述方法的一实施例中，执行所述安全模块进一步包括用与执行所述主操作系统的处理器硬件分开的处理器电路来执行所述第二操作系统，所述处理器电路被配置以在所述计算设备关机时以通电模式操作。

在所述方法的一实施例中，所述至少一个传感器被配置来执行以下之一：监视紧固所述计算设备的外壳和/或紧固存储构架的一个或多个螺丝、监视所述外壳的各部分变得相互分开、监视对外壳的破坏、或监视所述外壳形成的包围内的光。

VI.结语

尽管上文描述了本发明的各实施例，但是，应该理解，它们只是作为示例来呈现的，而不作为限制。那些精通有关技术的人员将理解，在不偏离如所附权利要求书所定义的本发明的精神和范围的情况下，可以在形式和细节方面进行各种修改。因此，本发明的范围不应该受到上述示例性实施例的任一个的限制，而只应根据下面的权利要求和它们的等效内容进行定义。

Claims (20)

1.一种在计算设备中的用于保护由所述计算设备存储的数据的系统，所述计算设备包括在所述计算设备的处理器硬件中执行的主操作系统，所述系统包括：

配置用于检测对所述计算设备的篡改的至少一个传感器；以及

与所述操作系统分开的安全模块，所述安全模块被配置成在所述计算设备中持续执行，包括被配置成在所述计算设备关机时执行，所述安全模块与所述至少一个传感器通信地耦合，所述安全模块包括：

配置用于接收所检测到的对所述计算设备的篡改的指示的上下文触发监视器，以及

配置成响应于对所检测到的篡改的接收来执行与所述数据相关联的数据保护响应的数据保护执行器。

2.如权利要求1所述的系统，其特征在于，所述数据保护响应是对所述数据的硬删除。

3.如权利要求1所述的系统，其特征在于，所述安全模块被实现为电路。

4.如权利要求3所述的系统，其特征在于，所述安全模块被实现在片上系统(SOC)设备中。

5.如权利要求1所述的系统，其特征在于，进一步包括：

所述安全模块被包括在其中的第二操作系统。

6.如权利要求5所述的系统，其特征在于，进一步包括：

执行所述第二操作系统并且与执行所述主操作系统的处理器硬件分开的处理器电路，所述处理器电路被配置以在所述计算设备关机时以通电模式操作。

7.如权利要求1所述的系统，其特征在于，所述至少一个传感器被配置成执行以下操作的至少一个：

监视紧固所述计算设备的外壳和/或紧固存储框架的一个或多个螺丝；

监视所述外壳的各部分变得相互分开；

监视对所述外壳的破坏；或

监视所述外壳形成的包围内的光。

8.如权利要求1所述的系统，其特征在于，进一步包括：

用户界面模块，所述用户界面模块使得数据敏感性级别、数据保护响应以及上下文触发器能够与所述计算设备存储的数据相关联。

9.一种在计算设备中的用于保护由所述计算设备存储的数据的方法，所述计算设备包括在所述计算设备的处理器硬件中执行的主操作系统，所述方法包括：

执行与所述计算设备中的所述操作系统分开且与至少一个传感器通信地耦合的安全模块，所述执行所述安全模块包括：

在所述计算设备关机时执行所述安全模块，

接收来自至少一个传感器的关于对所述计算设备的篡改的指示，以及

响应于所接收到的对所述篡改的指示，执行与所述数据相关联的数据保护响应。

10.如权利要求9所述的方法，其特征在于，所述安全模块被实现为电路，且所述执行所述安全模块包括：

操作所述电路。

11.如权利要求10所述的方法，其特征在于，所述安全模块被实现在片上系统(SOC)设备中，且所述执行所述安全模块包括：

操作所述SOC设备。

12.如权利要求9所述的方法，其特征在于，所述执行所述安全模块包括：

执行所述安全模块被包括在其中的第二操作系统。

13.如权利要求12所述的方法，其特征在于，所述执行所述安全模块还包括：

用与执行所述主操作系统的处理器硬件分开的处理器电路执行所述第二操作系统，所述处理器电路被配置以在所述计算设备关机时以通电模式操作。

14.如权利要求9所述的方法，其特征在于，所述至少一个传感器被配置成执行以下至少一个：

监视紧固所述计算设备的外壳和/或紧固存储框架的一个或多个螺丝；

监视所述外壳的各部分变得相互分开；

监视对所述外壳的破坏；或

监视外壳形成的包围内的光。

15.一种在计算设备中的用于保护由所述计算设备存储的数据的方法，所述计算设备包括在所述计算设备的处理器硬件中执行的主操作系统，所述方法包括：

提供用户界面，所述用户界面允许将数据保护响应分派到所述数据，所分派的数据保护响应包括对所述数据的硬删除；

执行与所述计算设备中的所述操作系统分开且与至少一个传感器通信地耦合的安全模块，所述执行所述安全模块包括：

在所述计算设备关机时执行所述安全模块，

接收来自至少一个传感器的关于对所述计算设备的篡改的指示，以及

响应于所接收到的所述篡改的指示，执行与所述数据相关联的数据保护响应。

16.如权利要求15所述的方法，其特征在于，所述安全模块被实现为电路，且所述执行所述安全模块包括：

执行所述电路。

17.如权利要求16所述的方法，其特征在于，所述安全模块被实现在片上系统(SOC)设备中，且所述执行所述安全模块包括：

执行所述SOC设备。

18.如权利要求15所述的方法，其特征在于，所述执行所述安全模块包括：

执行所述安全模块包括其中的第二操作系统。

19.如权利要求18所述的方法，其特征在于，所述执行所述安全模块还包括：

用与执行所述主操作系统的处理器硬件分开的处理器电路执行所述第二操作系统，所述处理器电路被配置成在所述计算设备关机时以通电模式操作。

20.如权利要求19所述的方法，其特征在于，所述至少一个传感器被配置成执行以下至少一个：

监视紧固所述计算设备的外壳和/或紧固存储框架的一个或多个螺丝；

监视所述外壳的各部分变得相互分开；

监视对所述外壳的破坏；或

监视外壳形成的包围内的光。