CN109669884A - 一种处理器系统和终端芯片 - Google Patents

Abstract

本发明提供一种处理器系统，包括处理器，第一内存权限单元，第二内存权限单元，以及内存控制器。所述第一内存权限单元用于在所述内存控制器管理的内存中划分出第一类内存区域；所述第二内存权限单元用于在所述内存中划分出第二类内存区域；所述处理器基于要访问的内存区域的类别，在访问请求中携带对应的标识。所述处理器系统能够应对应用运行过程中的不同级别的安全要求，对需要写入内存中的敏感数据进行保护。

Description

一种处理器系统和终端芯片

技术领域

本发明涉及芯片领域，尤其涉及一种配置有安全内存的处理器系统和终端芯片。

背景技术

随着智能手机的技术的发展，智能手机越来越多的处理例如支付、身份验证等有高安全需求的应用。这一情况对智能手机的数据安全带来了越来越高的要求。同时，随着智能化技术的发展，各种智能化应用要求智能手机开放更多地内部数据，这就带来了越来越严重的数据泄漏的风险。尤其在Android阵营的智能手机中，因支持更自由开发的应用下载模式，很容易给病毒或恶意程序可乘之机，此类程序凭借其恶意木马后台程序非法占用和盗取内存数据，造成用户敏感信息和隐私数据的泄露。

因此，对内存中的数据进行保护，也就成为了当前技术发展的一个热点。

发明内容

本发明提供一种处理器系统，包括处理器，第一内存权限单元，第二内存权限单元，以及内存控制器。所述第一内存权限单元用于在所述内存控制器管理的内存中划分出第一类内存区域；所述第二内存权限单元用于在所述内存中划分出第二类内存区域；所述处理器基于要访问的内存区域的类别，在访问请求中携带对应的标识。所述处理器系统提供了2级的安全内存，能够应对应用运行过程中的不同级别的安全要求。在有需要的情况下，也完全可以在本发明的处理器系统的基础上再增加第三、第四等多个内存权限单元，提供更多级的安全内存配置。

所述第一内存权限单元和第二内存权限单元设置有寄存器或者片内存储区域，用于保存一个或多个安全类别标识值。所述安全类别标识值可以为一个二进制的数值。每个安全类别标识值用于指示内存中一个内存区域的安全类别，比如“0”指示对应的内存区域是“普通”的内存区域，而“1”指示对应的内存区域是“可信”或“保护”的内存区域，反之亦可。

第一内存权限单元和第二内存权限单元的安全类别标识值对应的内存区域是可以配置的。当应用在被运行时，可以由应用发起安全内存的分配请求，然后由处理器系统中的安全内存管理模块根据应用需要的安全内存的类别和大小，对所述第一内存权限单元和第二内存权限单元进行配置。在配置的安全内存使用完毕后，所述安全内存管理模块也可以将配置的安全内存释放掉，比如，将使用完的内存区域的安全类别置为“普通”。

在硬件结构上来说，所述第一内存权限单元和第二内存权限单元被设置在总线和内存控制器之间。从而保证处理器发往所述内存控制器的访问请求会依次经过所述第一内存权限单元和所述第二内存权限单元。在可选择的实施例中，也可以在逻辑上设置发向内存控制器的访问请求需要先经过第一内存权限单元再经过第二内存权限单元，而不需要特意将二者依次设置在总线和内存控制器之间。

本发明的处理器系统可以设置在处理器芯片中。本发明涉及内存中的内存区域的划分，由于内存尺寸较大的原因，所述内存通常设置在所述处理器芯片外。如果不限制处理器芯片本身的空间尺寸，也可以将所述内存设置在所述处理器芯片内部。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例的处理器系统的示意图；

图2是本发明又一实施例的处理器系统的示意图；

图3是本发明实施例的安全内存的创建方法的示意图；

图4是本发明实施例的安全内存的释放方法的示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施例作进一步地详细描述。

需要说明的是，本申请中所涉及的多个，是指两个或两个以上。另外，需要理解的是，在本申请的描述中，“第一”、“第二”等词汇，仅用于区分描述的目的，而不能理解为指示或暗示相对重要性，也不能理解为指示或暗示顺序。

图1所示的是本发明实施例中的一种处理器系统10的示意图。所述处理器系统10可以用于诸如手机、机顶盒等终端设备的处理器芯片中，也可以应用于为网络供应商或者内容供应商的服务器设备芯片中。所述处理器系统10包括中央处理器(CentralProcessing Unit,简称CPU)12，图形处理器(Graphics Processing Unit，简称GPU)14，以及其他类处理器16。所述其他处理器16可以为各种用于处理图像，视频或者声音的处理器，比如用于对拍摄的图片进行处理的图像信号处理器(Image Signal Processing，简称ISP)。其他处理器16也可以是应用处理器，当然在某些产品中，应用处理器就是CPU。通常来说，CPU，GPU或者其他类处理器都可以被统称为处理器单元。

所述处理器系统10中还包括内存管理单元(Memory Management Unit，简称MMU)13，总线17，内存控制器18。所述内存控制器用于基于访问请求读写内存19。总线17用于实现在芯内实现不同功能模块间的数据传输。

内存19用于暂时存放处理器需要的运算数据，以及与硬盘等外部存储器交换的数据，现在比较常见的内存是DDR SDRAM(Double Data Rate Synchronous Dynamic RandomAccess Memory，双倍速率同步动态随机存储器)。对应的所述内存控制器18即为通常的DDRC，也就是通常所说的DDR controller。因为尺寸的关系，DDR SDRAM往往设置在芯片外部，因此又称为片外内存，但实际上，随着技术的发展或者不限定芯片的空间尺寸大小的话，内存可以被迁移至芯片内部。

MMU17的作用是管理虚拟存储器、物理存储器的控制线路，同时也负责虚拟地址映射为物理地址，以及提供硬件机制的内存访问授权。在本发明实施例中，当CPU12，GPU14或其他类处理器16向内存19中读写数据时，CPU12，GPU14或其他类处理器16通常会生成些带有虚拟地址的访问请求(读请求或者写请求)，并将所述访问请求发送给MMU19。MMU19则会将所述访问请求中的虚拟地址映射为内存19中的具体的物理地址，并通过总线17向内存控制器18发送带有所述物理地址的访问请求。所述内存控制器18用于基于所述物理地址向所述内存19中写入数据，或者从所述内存中读出数据。如果所述内存控制器18从所述内存中读出数据，所述内存控制器18还用于通过总线27将读出的数据回传给需要的处理器。

在本发明实施例中，为了保护内存19中的数据安全，所述处理器系统10还包括第一内存权限单元11。所述第一内存权限单元11存在于内存控制器18与总线17之间。所有经过总线17访问内存19的访问请求均需经过第一内存权限单元11。所述第一内存权限单元11用于为内存19中的地址空间标识属性-可信或普通。对标识为“可信”的地址空间，所述第一内存权限单元11将仅允许带有“可信标识”的访问请求通过。相应的，当CPU等处理器要访问内存中标识为“可信”的地址空间时，会在访问请求中添加“可信标识”。通过这种方法，有安全需求的敏感数据会被妥善保管在“安全”的地址空间中，并只接受可信的访问请求，避免了非法的访问请求提取敏感数据。

图2所示为本发明实施例又一实施例的处理器系统20的示意图。与处理器系统10类似，所述处理器系统20包括CPU22，GPU24，其他类处理器26，MMU23，总线27，内存控制器28，以及第一内存权限单元21。不同的是，所述处理器系统20在所述第一内存权限单元21和所述内存控制器28之间更包括第二内存权限单元25。与处理器系统10不同之处在于，处理器系统20通过第二内存权限单元25和第一内存权限单元21一起实现了对内存中的地址空间实现了三种安全类别的划分，这三种安全类别分别为：可信，保护和普通。

在处理器系统20中，第一内存权限单元21用于在内存29中标识出安全类别为“可信”的地址空间，并仅允许具有“可信标识”的访问请求对安全标识为“可信”的地址空间进行读操作和写操作。而第二内存权限单元25则用于在内存29中标识出安全类别为“保护”的地址空间，并仅允许带有“可信标识”或者“保护标识”的访问请求对安全类别为“保护”的地址空间进行读操作，以及仅允许带有“保护标识”的访问请求对安全类别为“保护”的地址空间进行写操作。

从上文可以很容易得出，相对于标志为“保护”的地址空间，标识为“可信”的地址空间是用于保存更高安全要求的数据。至于带有“可信标识”的访问请求要向安全类别为““保护”或者“普通”的地址空间写入数据，只要程序没有出现错误，一个正常的处理器并不会产生这种将保密数据写入低保密等级的地址空间中的访问请求。同样的，带有“保护标识”的访问请求向安全类别为“普通”的地址空间写入数据，这样的事情也通常不会发生。所以通常来说，并不需要使得第一内存权限单元21能够屏蔽掉带有“可信标识”的访问请求对安全类别为“保护”或者“普通”的地址空间的写操作，也不需要使得第二内存权限单元25能够屏蔽带有“保护标识”的访问请求对安全类别为“普通”的地址空间的写操作。但是如果出现了未来黑客篡改访问请求中的地址信息的风险，也可以增加这种功能，来阻止高安全类别的访问请求向低安全类别的地址空间中写入数据。

在实际工作过程中，当第一内存权限单元21接收到一个访问请求后，所述第一内存权限单元21会先从所述访问请求获取访问地址，并判断所述访问地址是否命中安全类别为“可信”的地址空间。如果所述访问地址命中安全类别为“可信”的地址空间，所述第一内存权限单元21还会识别访问请求中是否带有“可信标识”。如果所述访问地址命中安全类别为“可信”的地址空间，且所述访问请求中携带有“可信标识”，则所述第一内存权限单元21会直接将所述访问请求发送给所述内存控制器28，进而对内存29进行访问。

对于所述第一内存权限单元21来说，如果访问地址命中安全类别为“可信”的地址空间，但访问请求并没有携带“可信标识”，则可以判断所述访问请求是非法的，所述第一内存权限单元21会对所述访问请求进行拦截。

如果访问地址没有命中安全类别为“可信”的地址空间，所述第一内存权限单元21会将所述访问请求发送给第二内存权限单元25。第二内存权限单元25用于在内存29中标识出安全类别为“保护”的地址空间，并监控针对安全类别为“保护”的地址空间的访问请求。当第二内存权限单元25从所述第一内存权限单元21处接收到一个访问请求后，第二内存权限单元25判断所述访问请求的访问地址是否命中安全类别为“保护”的地址空间。如果访问请求中的访问地址命中安全类别为“保护”的地址空间，则所述第二内存权限单元25进一步判断所述访问请求中是否携带“保护标识”，如果所述访问请求中携带有“保护标识”，则所述第二内存权限单元25将所述访问请求发送给内存控制器28，进而对内存29进行读操作和写操作；如果访问请求中的访问地址命中安全类别为“保护”的地址空间，但所述访问请求中没有携带“保护标识”，所述第二内存权限单元25将止允许带有“可信”标识的访问请求对所述访问地址命中的地址空间进行读操作，或者拦截仅带有““普通”标识的访问请求。如果所述访问请求的访问地址没有命中安全类别为“保护”的地址空间，所述第二内存权限单元25将所述访问请求发送给内存控制器28。

在本发明实施例中，“可信标识”和“保护标识”可以通过2比特的总线随路信号传递。在通过总线传递访问请求时，访问请求中往往会被增加几个比特的信号，作为随路信号用来指示额外信息。在本发明实施例中，就是利用这几比特的总线随路信号来传递标识信息，指示访问请求的访问权限。如下表所示，第一内存权限单元21和第二内存权限单元25提取总线随路信号中对应的2比特位，如果是00，则判断对应的访问请求具有可信标识，如果是10则认为对应的访问请求具有保护标识。当然，“00”对应可信标识，“10”对应保护标识仅是一个可选择的设置方案，在实际应用中，也完全可以使得“10”或者“01”代表可信标识，用“00”或者“10”代表保护标识。

在本发明实施例中，所述第一内存权限单元21和第二内存权限单元25可以通过一组寄存器中的值来标识对应的内存地址范围的安全类型。比如为第一内存权限单元设置多个寄存器，分别对应内存中的多个区域。寄存器用记录有安全类别标识值，比如“0”或者“1”，用来指示对应的区域中的地址空间的安全类别是否为“可信”；为第二内存权限单元25也可以设置多个寄存器，保存有分别对应内存的多个区域的安全类别标识值，，用来指示这些区域中的地址空间的安全类别是否为“保护”。

在可选择的方案中，也可以在本发明实施例的处理器系统所处的芯片内部的增加一块存储区，用与寄存器类似的方法，通过存储多个数值来分别标识内存29中的多个区域的安全类别，这样做能节省寄存器的设置。比如，业界有时候会在芯片内部设置RAM(RamdomAccess Memory，随机存取存储器)作为芯片内部的存储区，这一般被称为片内RAM。

本发明实施例中，通过在内存中划定“安全区域”使得仅允许具有对应权限的指令读取其中的敏感数据，这很显然提高了敏感数据的安全性。进一步的，处理器系统20中更是设置了2种安全类别的内存设计，这样的好处就是根据行为需求，将指令的权限和敏感数据进一步区分，保证处理器正常下发的具有安全类别的访问请求不会被利用来访问有更高安全需求的敏感数据。比如，虹膜识别的应用中就可能会用到这种方案。

在本发明实施例中，内存中包括了两种安全的内存类别“可信”和“保护”，这里用的“可信”和“保护”这种命名方式仅仅是为了对这两种内存类别进行区分，其字面意思并不为这两种内存类别的实施带来额外的限定。甚至，我们可以将“可信”类别的内存区域称为“第一类安全区域”，将“保护”类别的内存区域称为“第二类安全区域”，将“可信标识”称为“第一类标识”，将“保护标识”称为“第二类标识”。这里的“第一”和“第二”不应在字面意思上为这两种类别带来任何顺序上或者优先级上的区别关系。

人机识别是手机安全实现的一个重要方向，而虹膜识别则是其中的热点领域。如何保证虹膜识别过程的安全性，以及如何保证个人的虹膜数据不被恶意获取，一直是手机虹膜识别的重要课题。

本发明实施例中，能够利用本发明方案对虹膜识别这个场景进行安全保护设计，充分保护其在控制面和数据面上过程中各个环节上的权限安全，从而实现对虹膜场景的业务数据流的安全保护。

虹膜识别的场景中需要用到其他处理器中的IVP和ISP。

本发明实施例中的处理器系统在虹膜识别场景中的配置流程如下：

1、为ISP和IVP分配安全类别为“可信”的内存空间，用于ISP和IVP运行相关的镜像软件；

2、在内存空间中设置安全类别为“保护”的内存空间，用于存储采集到的虹膜数据。

3、在安全运行环境下，比如Arm公司开发的TEE(Trusted ExecutionEnvironment，可信执行环境)，通过安全属性使能寄存器，为ISP和IVP(Image and VideoProcessor，图象视频处理器)的对内存的访问请求配置“保护标识”，以允许ISP和IVP访问“安全”内存空间中的虹膜数据。

在启动虹膜识别的业务时，在用户眼睛对准镜头后，相关的应用程序通知ISP从镜头传感器中采集虹膜数据和前处理(如对焦，拍照计时等)，并将处理后的虹膜数据保存到虹膜数据对应的内存区域中。ISP的输出数据包含两种类型，一种是普通的拍照数据，这部分数据通常被保存在“普通”类别的内存区域中；另一种就是虹膜数据。当虹膜数据被保存到内存中后，IVP将对数据进行匹配核对工作。

通过这种设置方法，使得虹膜识别运行最基础的镜像软件被置放于安全级别最高的“可信”的内存区域中，而ISP和IVP则可以访问“保护”的内存区域中的内存数据。

由于不同的应用中涉及的敏感数据是不同的，那么就需要灵活的配置内存中的“可信”类别的内存区域和“安全”类别的内存区域的大小，位置或数量。因此在本发明可选择的实施例中，更提出了灵活配置安全内存的方案。如前所述，第一内存权限单元和第二内存权限单元是通过寄存器或者内存空间来记录数值，从而标识这些数值对应的内存区域的安全类别。因此，可以采用更改这些数值的方式来调整内存中的各个类别的安全区域的数量和位置。

在本发明实施例中，第一内存权限单元21和第二内存权限单元25为了能先验证访问请求中是否具有可信标识或者保护标识，因此被设置在了总线27和内存控制器28之间。但是在可选择的实施例中，所述内存权限单元21和第二内存权限单元也可以设置在其他位置，比如MMU和总线之间，只需要保证在内存控制器28之前能够验证访问请求中的标识信息。

如图2所示，在可选择的实施例中，本发明实施例所示的处理器系统20还包括安全内存管理模块30。所述安全内存管理模块30可以是在驱动层上设计的一个虚拟模块，作为操作系统的内核的一部分，其作用是对第一内存权限单元和第二内存权限单元进行配置，控制“可信”类别的内存区域和“保护”类别的内存区域的位置和数量。由此而来，本发明提供了一种安全内存的创建。

请参照图3，本发明实施例中的安全内存的创建方法包括：

步骤301：接收应用对安全内存的分配请求。

当CPU或应用处理器在运行应用程序时，应用程序会针对安全内存发出请求。

在本发明实施例中，“可信”类别的内存区域和“保护”类别的内存区域均可被称为安全内存。当应用的运行涉及到敏感数据时，应用就可以向安全内存管理模块发出对安全内存的分配请求。所述分配请求中携带有需要的安全内存的类别，以及需要的安全内存的大小。在可选择的实施例中，分配请求中还可以携带需要的安全内存的物理地址的首地址。

步骤302：根据所述分配请求，在第一内存权限单元和第二内存权限单元中配置安全内存。

如上所述，第一内存权限单元维护有用于指示“可信”类别的内存区域的指示信息，第二内存权限维护有用于指示“安全”类别的内存区域的指示信息。所述安全内存管理模块基于所述分配请求中要求的安全内存的类别和大小，修改所述第一内存权限单元或者第二内存权限单元中的用于指示一个或多个内存区域的安全类别的指示信息。

举例来说，第一内存权限单元管理有15个寄存器，每个寄存器对应一个颗粒度为4kb的内存区域。如果分配请求中要求的是8kb的“可信”类别的安全内存，那么所述安全内存管理模块就会将2个寄存器中的指示信息修改为“可信”类别对应的值，从而将这两个寄存器对应的内存区域划分为“可信”类别的安全内存。

在可选择实施例中，由于第一内存权限单元和第二内存权限单元与内存区域的映射实际上是一种虚拟映射，因此每个指示信息对应的内存区域的大小也是可调的。也就是说，安全内存管理模块会根据分配请求中的要求的安全内存的大小，调整每个指示信息对应的内存区域的大小。在可选择的实施例中，安全内存管理模块甚至可以根据应用的类别来调整第一内存权限单元或第二内存权限单元中的指示信息对应的内存区域的大小。

步骤303：基于配置的安全内存的物理地址，设置与其映射的虚拟地址；

通过MMU设置虚拟地址和物理地址之间的对应关系，以保证所述应用能通过虚拟地址可访问到配置的安全内存。本发明实施例提到的物理地址均可为对应的内存区域的物理地址的首地址。

步骤304：向所述应用返回配置的安全内存的信息。

所述安全内存管理模块将配置的安全内存的信息，比如物理地址，大小等信息发送给应用。从计算机编程简化的角度，所述安全内存管理模块可以将配置的安全内存的信息生成对应的信息快，然后将所述信息块的句柄返回给上层应用。

对应的，本发明实施例还提供一种安全内存释放方法。请参照图4，所述方法包括：

步骤401：接收应用发送来的安全内存的释放请求；

所述释放请求中携带有所述安全内存对应的内存区域的信息，包括所述内存区域的类别，物理地址和大小。

步骤402：解除与所述安全内存的物理地址映射的虚拟地址；

步骤403：基于所述安全内存的内存区域类别，物理地址和大小，配置第一内存权限单元或第二内存权限单元中对应的指示信息，使得所述第一内存权限单元和第二内存权限单元将所述安全内存的的内存区域类别设置成“普通”。

如果之前为所述安全内存设置了信息块和句柄，所述安全内存管理单元还将释放对应的信息块和句柄。

在本申请所提供的实施例中，应该理解到，所揭露的系统可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述模块的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的模块可以是或者也可以不是物理上分开的，作为模块显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络节点上。可以根据实际的需要选择其中的部分或者全部节点来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能模块可以集成在一个处理单元中，也可以是各个模块单独物理存在，也可以两个或两个以上模块集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

以上所述，以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (10)

1.一种处理器系统，包括处理器，第一内存权限单元，第二内存权限单元，以及内存控制器，

所述第一内存权限单元用于在所述内存控制器管理的内存中划分出第一类内存区域；

所述第二内存权限单元用于在所述内存中划分出第二类内存区域；

所述处理器基于要访问的内存区域的类别，在访问请求中携带对应的标识。

2.如权利要求1所述的处理器系统，其特征在于，所述第一内存权限单元仅允许携带有第一类标识的访问请求对所述第一类内存区域进行读操作和写操作，

所述第二内存权限单元仅允许：携带有第二类标识或所述第一类标识的访问请求对所述第二类内存区域进行读操作，以及携带有第二类标识的访问请求对所述第二类内存区域进行写操作。

3.如权利要求1或2所述的处理器系统，其特征在于，还包括安全内存管理模块，用于对所述第一内存权限单元和所述第二内存权限单元进行配置。

4.如权利要求3所述的处理器系统，其特征在于，所述第一内存权限单元和所述第二内存权限单元管理有一个或多个安全类别标识值，所述一个或多个安全类别标识值用于指示内存中对应的内存区域的安全类别。

5.如权利要求4所述的处理器系统，其特征在于，所述第一内存权限单元管理的安全类别标识值用于指示对应的内存区域的安全类别是第一类安全区域或者普通区域；所述第二内存权限单元管理的安全类别标识值用于指示对应的内存区域是第二类安全区域或者普通区域。

6.如权利要求3所述的处理器系统，其特征在于，所述安全内存管理模块基于应用程序发出的分配请求，对所述第一内存权限单元或所述第二内存权限单元进行配置。

7.如权利要求6所述的处理器系统，其特征在于，所述安全内存管理模块基于应用程序发出的释放请求，释放所述第一内存权限单元或所述第二内存权限单元中已经划分的第一类内存区域或第二类内存区域。

8.如权利要求1所述的处理器系统，其特征在于，包括总线，所述处理器通过所述总线向所述内存控制器发送访问请求。

9.如权利要求8所述的处理器系统，其特征在于，所述第一内存权限单元和第二内存权限依次设置于所述总线和所述内存控制器之间。

10.一种处理器芯片，包括如权利要求1-9任一项所述的处理器系统。