CN112906071B - 一种基于页温动态冷热切换的数据保护方法和装置 - Google Patents

Abstract

本发明提供了一种基于页温动态冷热切换的数据保护方法和装置，所述装置包括：读写控制电路、页温统计单元、密钥产生单元、门限值存储单元、页温判断单元、判断结果存储单元、加解密电路和数据存储单元；所述数据存储单元包括至少一个页存储区域。所述方法先通过实时统计当前数据存储单元中的各页存储区域的访问温度，并依据页存储区域的访问温度确定待访问页存储区域安全等级，而后密钥产生单元根据待访问页存储区域安全等级生成相应等级的访问密钥信息，并基于访问密钥信息对数据存储单元进行读写操作。由于访问密钥信息是实时生成的，从而有效提升了数据访问的安全性。

Description

一种基于页温动态冷热切换的数据保护方法和装置

技术领域

本发明涉及芯片电路设计领域，特别涉及一种基于页温动态冷热切换的数据保护方法和装置。

背景技术

通常，数据存储单元是以页为单位划为存储区域的，随着页存储区域在单位时间内被访问次数的增加，其温度也会随之上升，因而可以根据各个页存储区域当前的温度来确定当前各页存储中的数据被访问的频繁程度，并基于各个页存储区域的温度将其划为热数据页存储区域和冷数据页存储区域。页存储区域的温度会随着访问次数的变化而发生变化，因而其保护机制也要能够随机应变，以便对于热数据页存储区域的数据能实时加强保护，但现有技术中对于不同访问频次的存储区域的安全保护往往采用一刀切的方式，并没有提出一种很好的基于页存储区域温度动态冷热切换的数据保护的解决方案。

发明内容

为此，需要提供一种基于页温动态冷热切换的数据保护的技术方案，用以解决目前对于不同访问频次的页存储区域中数据的保护方式单一、安全性弱的问题。

为实现上述目的，本发明提供了一种基于页温动态冷热切换的数据保护方法，所述方法应用于基于页温动态冷热切换的数据保护装置；

所述装置包括：读写控制电路、页温统计单元、密钥产生单元、门限值存储单元、页温判断单元、页温等级存储单元、对应关系存储单元、加解密电路和数据存储单元；所述门限值存储单元中存储有页温门限值，所述对应关系存储单元中存储有页存储区域的热度类型与密钥安全等级的对应关系；所述数据存储单元包括多个页存储区域；

所述方法包括以下步骤：

页温统计单元统计数据存储单元中当前所有页存储区域的访问温度信息；

页温判断单元获取所述页温门限值和当前所有页存储区域的访问温度信息，依次将当前各个页存储区域的访问温度信息与所述页温门限值进行比较，确定当前各个页存储区域对应的热度类型，并根据所述页存储区域的热度类型与密钥安全等级的对应关系，确定当前各个页存储区域对应的访问密钥安全等级，并将确定的各个页存储区域的标识信息与各页存储区域对应的访问密钥信息的安全等级对应存储于所述页温等级存储单元中；

读写控制电路接收数据读写指令，根据所述数据读写指令中的数据读写地址确定待访问页存储区域对应的访问密钥信息的安全等级；

密钥产生单元根据所述待访问页存储区域对应的访问密钥的安全等级生成相应安全等级的访问密钥信息；

加解密电路获取所述访问密钥信息，基于所述访问密钥信息对待访问页存储区域中的数据进行访问。

进一步地，当所述数据读写指令为数据读取指令时，所述数据读写地址为数据读取地址，所述方法包括：加解密电路采用所述访问密钥信息对从所述数据读取地址所在的页存储区域中读取的加密后的数据进行解密，并将解密后的数据传输给所述读写控制电路；

当所述数据读写指令为数据写入指令时，所述数据读写地址为数据写入地址，所述方法包括：加解密电路采用所述访问密钥信息对待写入的数据进行加密，并根据数据写入地址将加密后的待写入数据写入到对应的页存储区域中。

进一步地，所述装置还包括时序存储单元，所述时序存储单元用于存储预设统计更新信息，所述预设统计更新信息包括预设统计间隔次数或预设统计间隔时间；

所述方法包括：

页温统计单元根据所述预设统计更新信息对当前所有页存储区域的访问温度信息进行实时更新。

进一步地，所述装置包括变化次数统计单元；

所述方法包括：

变化次数统计单元统计数据存储单元中页存储区域温度发生变化的次数值，并在至少一个页存储区域温度发生变化时，调整所述次数值；

密钥产生单元根据所述次数值以及所述待访问页存储区域对应的访问密钥的安全等级生成相应安全等级的访问密钥信息。

进一步地，所述密钥产生单元包括源数据存储单元和源密钥合并单元，所述源数据存储单元存储有源数据，所述源数据包括源密钥；

所述方法包括：

源密钥合并单元获取调整后的次数值和源密钥，并将两者合并为源合并密钥信息；

访问密钥信息基于所述源合并密钥信息产生。

进一步地，所述密钥产生单元还包括根密钥运算单元和层级解密运算单元；所述源数据还包括层级加解密算法；

所述“访问密钥信息基于所述源合并密钥信息产生”方法包括：

根密钥运算单元根据所述源合并密钥信息计算得到根密钥信息；

层级解密运算单元获取层级密钥信息、层级加解密算法和根密钥信息，根据所述层级加解密算法采用所述根密钥信息对所述层级密钥信息进行解密，得到访问密钥信息。

进一步地，所述源数据以加密的形式存储于源数据存储单元中，所述密钥产生单元还包括源数据解密单元；

源数据解密单元获取加密后的源数据进行解密，得到解密后的源密钥传输给所述源密钥合并单元，将解密后的层级加解密算法传输给层级解密运算单元。

进一步地，所述密钥产生单元还包括层级信息存储单元和主控芯片；所述层级信息存储单元存储有层级密钥信息；

所述层级解密运算单元包括一级解密运算单元和二级解密运算单元；所述层级密钥信息包括第一层级密钥信息和第二层级密钥信息；所述层级加解密算法包括第一层级加解密算法和第二层级加解密算法；

所述方法包括：

主控芯片从所述层级信息存储单元获取一级层级密钥信息，并将所述一级层级密钥信息传输给一级解密运算单元，以及从所述层级信息存储单元获取二级层级密钥信息，并将所述二级层级密钥信息传输给二级解密运算单元；

一级解密运算单元根据所述第一层级加解密算法采用所述根密钥信息对所述一级层级密钥信息进行解密，得到一级密钥；

二级解密运算单元获取所述一级密钥，并根据所述第二层级加解密算法采用所述一级密钥信息对所述二级层级密钥信息进行解密，得到二级密钥。

进一步地，所述层级信息存储单元还存储有握手请求信息和握手响应信息；所述密钥产生单元还包括握手解密运算电路、握手加密运算电路和握手信息校验电路；

所述方法包括：

握手解密运算电路采用所述访问密钥信息对所述访问密钥信息自身进行解密，得到握手加密密钥信息；

握手加密运算电路接收主控芯片发送的所述握手请求信息，并采用所述握手加密密钥信息对所述握手请求信息进行加密，得到握手加密信息；

握手信息校验电路获取所述握手加密信息和主控芯片发送的握手响应信息，并判断两者是否匹配，若是则输出访问密钥信息。

本发明第二方面还提供了一种基于页温动态冷热切换的数据保护装置，其特征在于，所述装置为如本发明第一方面所述的基于页温动态冷热切换的数据保护装置，所述装置用于执行如本发明第一方面所述的基于页温动态冷热切换的数据保护方法。

区别于现有技术，本发明提供了一种基于页温动态冷热切换的数据保护方法和装置，所述装置包括：读写控制电路、页温统计单元、密钥产生单元、门限值存储单元、页温判断单元、页温等级存储单元、对应关系存储单元、加解密电路和数据存储单元；所述门限值存储单元中存储有页温门限值，所述对应关系存储单元中存储有页存储区域的热度类型与密钥安全等级的对应关系；所述数据存储单元包括多个页存储区域。

所述方法包括以下步骤：页温统计单元统计数据存储单元中当前所有页存储区域的访问温度信息；页温判断单元获取所述页温门限值和当前所有页存储区域的访问温度信息，依次将当前各个页存储区域的访问温度信息与所述页温门限值进行比较，确定当前各个页存储区域对应的热度类型，并根据所述页存储区域的热度类型与密钥安全等级的对应关系，确定当前各个页存储区域对应的访问密钥安全等级，并将确定的各个页存储区域的标识信息与各页存储区域对应的访问密钥信息的安全等级对应存储于所述页温等级存储单元中；读写控制电路接收数据读写指令，根据所述数据读写指令中的数据读写地址确定待访问页存储区域对应的访问密钥信息的安全等级；密钥产生单元根据所述待访问页存储区域对应的访问密钥的安全等级生成相应安全等级的访问密钥信息；加解密电路获取所述访问密钥信息，基于所述访问密钥信息对待访问页存储区域中的数据进行访问。

上述方案中针对访问温度不同的页存储区域设置了不同安全等级的访问密钥信息来完成数据访问，且访问密钥信息是密钥产生单元实时生成的，从而有效提升了数据访问的安全性。

附图说明

图1为本发明一实施例涉及的密钥产生单元的结构示意图；

图2为本发明另一实施例涉及的密钥产生单元的结构示意图；

图3为本发明另一实施例涉及的密钥产生单元的结构示意图；

图4为本发明为本发明另一实施例涉及的基于页温动态冷热切换的数据保护系统的结构示意图；

图5为本发明另一实施例涉及的基于页温动态冷热切换的数据保护系统的结构示意图；

图6为本发明另一实施例涉及的密钥产生方法的流程图；

图7为本发明一实施例涉及的基于页温动态冷热切换的数据保护装置的结构示意图；

图8为本发明一实施例涉及的基于页温动态冷热切换的数据保护方法的流程图。

附图标记说明：

10、基于页温动态冷热切换的数据保护装置；

20、基于页温动态冷热切换的数据保护系统；

201、页温统计单元；202、门限值存储单元；203、页温判断单元；204、数据存储单元；205、读写控制电路；206、页温等级存储单元；207、加解密电路；208、第一热度页存储区域；209、第二热度页存储区域；211、时序存储单元；212、对应关系存储单元；213、变化次数统计单元；

30、密钥产生单元；

300、源密钥合并单元；

301、源数据存储单元；

302、源数据解密单元；

303、算法信息存储单元；

304、层级信息存储单元；

305、根密钥运算单元；

306、层级解密运算单元；3061、一级解密运算单元；3062、二级解密运算单元；

307、握手解密运算电路；3071、一级握手解密运算电路；3072、二级握手解密运算电路；

308、握手加密运算电路；3081、一级握手加密运算电路；3082、二级握手加密运算电路；

309、握手信息校验电路；

310、密钥选择单元；

311、算法选择单元；3111、一级算法选择单元；3112、二级算法选择单元；

40、密钥记录单元；

50、数据读写设备。

具体实施方式

为详细说明技术方案的技术内容、构造特征、所实现目的及效果，以下结合具体实施例并配合附图详予说明。

如图8所示，本发明第一方面提供了一种基于页温动态冷热切换的数据保护方法，所述方法应用于基于页温动态冷热切换的数据保护装置；

所述装置包括：读写控制电路、页温统计单元、密钥产生单元、门限值存储单元、页温判断单元、页温等级存储单元、对应关系存储单元、加解密电路和数据存储单元；所述门限值存储单元中存储有页温门限值，所述对应关系存储单元中存储有页存储区域的热度类型与密钥安全等级的对应关系；所述数据存储单元包括多个页存储区域；

所述方法包括以下步骤：

首先进入步骤S801页温统计单元统计数据存储单元中当前所有页存储区域的访问温度信息；

而后进入步骤S802页温判断单元获取所述页温门限值和当前所有页存储区域的访问温度信息，依次将当前各个页存储区域的访问温度信息与所述页温门限值进行比较，确定当前各个页存储区域对应的热度类型，并根据所述页存储区域的热度类型与密钥安全等级的对应关系，确定当前各个页存储区域对应的访问密钥安全等级，并将确定的各个页存储区域的标识信息与各页存储区域对应的访问密钥信息的安全等级对应存储于所述页温等级存储单元中；

而后进入步骤S803读写控制电路接收数据读写指令，根据所述数据读写指令中的数据读写地址确定待访问页存储区域对应的访问密钥信息的安全等级；

而后进入步骤S804密钥产生单元根据所述待访问页存储区域对应的访问密钥的安全等级生成相应安全等级的访问密钥信息；

而后进入步骤S805加解密电路获取所述访问密钥信息，基于所述访问密钥信息对待访问页存储区域中的数据进行访问。

在这一实施例中，针对访问温度不同的页存储区域设置了不同安全等级的访问密钥信息来完成数据访问，且访问密钥信息是密钥产生单元实时生成的，从而有效提升了数据访问的安全性。

在某些实施例中，当所述数据读写指令为数据读取指令时，所述数据读写地址为数据读取地址，所述方法包括：加解密电路采用所述访问密钥信息对从所述数据读取地址所在的页存储区域中读取的加密后的数据进行解密，并将解密后的数据传输给所述读写控制电路；当所述数据读写指令为数据写入指令时，所述数据读写地址为数据写入地址，所述方法包括：加解密电路采用所述访问密钥信息对待写入的数据进行加密，并根据数据写入地址将加密后的待写入数据写入到对应的页存储区域中。这样，数据始终是以加密的方式存储于数据存储单元中，当需要读取时就通过加解密电路解密后输出，当需要写入时就通过加解密电路加密后再写入，从而进一步提升了数据存储的安全性。

在某些实施例中，所述装置还包括时序存储单元，所述时序存储单元用于存储预设统计更新信息，所述预设统计更新信息包括预设统计间隔次数或预设统计间隔时间。所述方法包括：页温统计单元根据所述预设统计更新信息对当前所有页存储区域的访问温度信息进行实时更新。简言之，页温统计单元可以每间隔一段时间更新所述数据存储单元中的页存储区域的访问温度信息，也可以在数据访问次数达到预设统计间隔次数后，更新所述数据存储单元中的页存储区域的访问温度信息。这样，可以保证判断结果存储单元存储的始终是最新的各页存储区域的访问温度信息。

在某些实施例中，所述装置包括变化次数统计单元。所述方法包括：变化次数统计单元统计数据存储单元中页存储区域热度类型发生变化的次数值，并在至少一个页存储区域热度类型发生变化时，调整所述次数值；密钥产生单元根据所述次数值以及所述待访问页存储区域对应的访问密钥的安全等级生成相应安全等级的访问密钥信息。“调整所述次数值”包括：每当检测到页存储区的热度类型发生变化时(如从“热数据存储区”转变为“冷数据存储区”，或者从“冷数据存储区”转变为“热数据存储区”)，将所述次数值加1。

在某些实施例中，所述密钥产生单元包括源数据存储单元和源密钥合并单元，所述源数据存储单元存储有源数据，所述源数据包括源密钥；所述方法包括：源密钥合并单元获取调整后的次数值和源密钥，并将两者合并为源合并密钥信息；访问密钥信息基于所述源合并密钥信息产生。

这样，当读写控制电路判断本次页温等级存储单元中的判断结果与上一次页温等级存储单元中的判断结果有所不同时，即检测到数据存储单元中某一个或多个页存储区域的热度类型发生变化时，变化次数统计单元会更新所述次数值。又由于密钥产生单元是基于所述次数值和源密钥得到的源合并密钥实时生成当前访问密钥信息的，因而一旦次数值发生变化，密钥产生单元每次生成的访问密钥信息(哪怕是等级相同)也是不同的，从而极大提高了数据访问的安全性。

在某些实施例中，所述密钥产生单元还包括根密钥运算单元和层级解密运算单元；所述源数据还包括层级加解密算法。所述“访问密钥信息基于所述源合并密钥信息产生”方法包括：根密钥运算单元根据所述源合并密钥信息计算得到根密钥信息；层级解密运算单元获取层级密钥信息、层级加解密算法和根密钥信息，根据所述层级加解密算法采用所述根密钥信息对所述层级密钥信息进行解密，得到访问密钥信息。

进一步地，所述源数据以加密的形式存储于源数据存储单元中，所述密钥产生单元还包括源数据解密单元。所述方法包括：源数据解密单元获取加密后的源数据进行解密，得到解密后的源密钥传输给所述源密钥合并单元，将解密后的层级加解密算法传输给层级解密运算单元。

如图7所示，本发明第二方面提供了一种基于页温动态冷热切换的数据保护装置。

所述装置10包括：读写控制电路205、页温统计单元201、密钥产生单元30、门限值存储单元202、页温判断单元203、页温等级存储单元206、对应关系存储单元212、加解密电路207和数据存储单元204；所述数据存储单元204包括多个页存储区域。所述页温判断单元203分别与所述页温统计单元201、所述门限值存储单元202、所述页温等级存储单元206、对应关系存储单元212连接；所述读写控制电路205分别与页温等级存储单元206、加解密电路207连接；所述密钥产生单元30与所述读写控制电路205连接；所述加解密电路207分别与所述密钥产生单元30、所述数据存储单元204连接。

在使用基于页温动态冷热切换的数据保护装置10时，首先页温统计单元201获取数据存储单元204中所有页存储区域的访问温度信息，并将获取的所有页存储区域的访问温度信息送往页温判断单元203中。页温判断单元203接收所有页存储区域的访问温度信息后，根据所述门限值存储单元202中存储的页温门限值对各个页存储区域进行归类，以及根据对应关系存储单元212中存储的类别与访问密钥安全等级的对应关系(一般页温越高，所需的访问密钥安全等级也越高)，确定当前数据存储单元204内各个页存储区域对应的访问密钥安全等级，并将确定的各页存储区域的标识(一般为页编码)与其对应的访问密钥安全等级对应存储于页温安全等级206中。

所述页温门限值是指用于区分当前被访问的页存储区域是否为热数据存储区和冷数据存储区的临界值。以数据访问每隔100次统计一次，假设区分热数据存储区和冷数据存储区的门限值为10。如果在最近的100次数据访问里有10次以上都用到某一页存储区域中的数据，则可以判定该页存储区域为热数据存储区。如果最近的100次数据访问里有2-9次用到某一页存储区域的数据，则可以判定该页存储区域为冷数据存储区。通过遍历所有页存储区域在最近100次的数据访问中的访问次数比例后，可以对各个页存储区域进行归类(划分为热数据存储区和冷数据存储区)，进而确定各页存储区域对应的访问密钥安全等级(热数据存储区对应第一密钥安全等级，冷数据区对应第二密钥安全等级，第一密钥安全等级一般高于第二密钥安全等级)，并将各页存储区域的标识(如页地址)与该页存储区域对应的访问密钥安全等级存储于页温等级存储单元206中。

当读写控制电路205接收到数据读写指令，需要对访问数据存储单元204中相应的页存储区域时，读写控制电路205会首先从所述页温等级存储单元206中读取待访问的页存储区域对应的访问密钥安全等级，并将获取的所述待访问的页存储区域对应的密钥安全等级发送给密钥产生单元30，以使得密钥产生单元30根据接收的密钥安全等级产生与所述密钥安全等级相适配的访问密钥信息。而后加解密电路207根据密钥产生单元30生成的访问密钥信息对待写入数据进行加密后写入数据存储单元中，或者对从数据存储单元中读取的数据进行解密后输出，从而完成对数据存储单元204的访问。

上述方案通过实时统计当前数据存储单元中的各页存储区域的温度，并依据页存储区域温度的不同确定各页存储区域对应的密钥安全等级，以使得密钥产生单元根据不同密钥安全等级生成不同安全等级的访问密钥信息。而后读写控制电路依据不同安全等级的访问密钥信息访问相应的页存储区域。由于访问密钥信息是密钥产生单元实时生成的，从而极大提高了数据访问的安全性。

在某些实施例中，所述装置10还包括时序存储单元211，所述时序存储单元211与所述页温统计单元201连接。所述时序存储单元211用于存储更新的时间段信息或访问次数信息，即告知页温统计单元201每隔多长时间或完成多少次数据访问后需要更新所述数据存储单元204中的所有页存储区域的访问温度信息。通过设置时序存储单元211，可以保证页温统计单元201统计的各个页存储区域的温度都是最新的访问温度，有效提升密钥生成的准确性。

在某些实施例中，所述数据存储单元包括第一热度页存储区域208和第二热度页存储区域209；所述第一热度页存储区域208和第二热度页存储区域209对应不同安全等级的访问密钥信息，第一热度页存储区域208和第二热度页存储区域209对应的访问密钥信息的安全等级基于页温等级存储单元中存储的判断结果确定。优选的，所述第二热度页存储区域的页温度高于所述第一热度页存储区域。

如图1所示，数据存储单元204中包括第一热度页存储区域208和第二热度页存储区域209。所述第一热度页存储区域208为页温等级存储单元中存储的判断结果为“冷数据存储区”对应的存储区域；所述第二热度页存储区域209为页温等级存储单元中存储的判断结果为“热数据存储区”对应的存储区域。相对应的，密钥产生单元所产生的密钥的安全等级包括第一安全等级和第二安全等级，其中，所述第二安全等级高于所述第一安全等级。如果需要访问第一热度页存储区域208中的数据，则密钥产生单元30需要生成第一安全等级的访问密钥信息；如果需要访问第二热度页存储区域209中的数据，则密钥产生单元30需要生成第二安全等级的访问密钥信息。由于不同安全等级的密钥是由密钥产生单元实时生成的，且密钥产生单元生成访问密钥信息的安全等级取决于页存储区域的安全等级(一般而言，热数据存储区的安全等级大于冷数据存储区的安全等级)，从而极大了提高了数据访问的安全性。

需要说明的是，热数据存储区和冷数据存储区所包含的页存储区域的位置并非固定不变的，当页温等级存储单元中存储的判断结果改变时，热数据存储区和冷数据存储区所包含的页存储区域也会随之改变。这样，可以保证最近被访问最频繁的存储区域中的数据始终是采用较高安全等级的密钥信息进行加密或解密的，进而提高数据访问的安全性。

在某些实施例中，在某些实施例中，所述装置包括变化次数统计单元213，所述密钥产生单元30通过所述变化次数统计单元213与所述读写控制电路205连接。所述变化次数统计单元用于统计数据存储单元中页存储区域热度类型发生变化的次数值，并在至少一个页存储区域热度类型发生变化时，调整所述次数值；密钥产生单元30用于根据所述次数值以及所述待访问页存储区域对应的访问密钥的安全等级生成相应安全等级的访问密钥信息。优选的，所述变化次数统计单元用于在页存储区域热度类型发生变化时，调整次数值(如将次数值+1)。

这样，当读写控制电路判断本次页温等级存储单元中的判断结果与上一次页温等级存储单元中的判断结果有所不同时，即检测到数据存储单元中某一个或多个页存储区域的冷热类型发生变化时，变化次数统计单元会更新变化次数统计单元统计的次数值。又由于密钥产生单元是基于所述次数值和源密钥实时生成当前访问密钥信息的，因而一旦次数值发生变化，密钥产生单元每次生成的访问密钥信息(哪怕是等级相同)也是不同的，从而极大提高了数据访问的安全性。

在某些实施例中，所述密钥产生单元30包括源数据存储单元301和源密钥合并单元300，所述源数据存储单元301存储有源密钥，所述源密钥合并单元300用于获取调整后的次数值和源密钥，并将两者合并为源合并密钥信息。合并的方式可以是将源密钥和次数值进行哈希运算，也可以是将次数值直接串入源密钥的开头、中部或尾部。由于次数值是随之页存储区域热度的改变不断变化的，因而源合并密钥信息也是不断变化的，基于所述源合并密钥信息生成的访问密钥信息也是不对变化的，从而保证每次生成的第一安全等级的访问密钥信息或第二安全等级的访问密钥信息各不相同，进而提升了数据安全性。

如图5所示，本发明的第三方面还提供了一种基于页温动态冷热切换的数据保护系统，所述系统包括数据读写设备50和如本申请第二方面所述的基于页温动态冷热切换的数据保护装置10；所述数据读写设备50与所述装置10中的读写控制电路205连接，用于发送数据读取指令或数据写入指令至所述读写控制电路。

下面结合从数据存储单元204中读取数据以及将数据写入数据存储单元204中两个过程，对于图5涉及的本发明涉及的系统20的数据处理流程做进一步说明。

数据读取过程具体如下：装置10的读写控制电路205接收所述数据读写设备50的数据读取指令(包括读取地址)，根据数据读取指令中读写地址所在的页存储区域的访问温度信息确定访问密钥信息的安全等级。例如读取地址对应的页存储区域为热数据存储区，则可以确定密钥产生单元需要生成的访问密钥信息的安全等级为第二安全等级。而后读写控制电路205会根据页温等级存储单元中的判断结果(存储有当前读取地址的页存储区域对应到产生哪个安全等级的访问密钥信息)发送给密钥产生单元，密钥产生单元将生成的相应安全等级的访问密钥信息发送给加解密电路207。加解密电路207采用相应安全等级的访问密钥信息对从数据存储单元204中读取的加密的待读取数据进行解密(为了数据存储的安全性，所有在数据存储单元204中存储的数据都是经过加密后存储的)，并将解密后的待读取数据通过读写控制电路205返回给数据读写设备50，从而完成整个数据读取过程。

数据写入过程具体如下：读写控制电路205接收所述数据读写设备50的数据写入指令(包含写入地址)和待写入数据，根据数据写入指令中写入地址所在的页存储区域的访问温度信息确定访问密钥信息的安全等级。例如写入地址对应的页存储区域为冷数据存储区，则可以确定密钥产生单元需要生成的访问密钥信息的安全等级为第一安全等级。而后读写控制电路205会根据页温等级存储单元中的判断结果(存储有当前写入地址对应的页存储区域与访问该页存储区域所需的访问密钥信息的安全等级的对应关系)发送给密钥产生单元，密钥产生单元将根据所述判断结果生成的相应安全等级的访问密钥信息发送给加解密电路207。加解密电路207采用相应安全等级的访问密钥信息对待写入数据进行加密后存储到数据存储单元204中(为了数据存储的安全性，所有在数据存储单元204中存储的数据都是经过加密后存储的)，从而完成整个数据写入过程。

密钥信息作为数据加解密的工具，是芯片安全认证的关键一环，保证密钥生成过程的安全性就显得尤为重要。为了加强密钥生成过程的安全性，本申请设计了专门的密钥产生单元30来生成最终所需的密钥信息。

如图1所示，为本发明一实施例涉及的密钥产生单元30的结构示意图。所述密钥产生单元30包括：

源数据解密单元301，用于获取加密后的源数据进行解密，得到解密后的源密钥和解密后的层级加解密算法；

源密钥合并单元300，用于获取调整后的次数值和解密后的源密钥，并将所述次数值和所述源密钥合并为源合并密钥信息；

根密钥运算单元305，用于根据所述源合并密钥信息计算得到根密钥信息；

层级解密运算单元306，用于获取层级密钥信息、层级加解密算法和根密钥信息，根据所述层级加解密算法采用所述根密钥信息对所述层级密钥信息进行解密，得到访问密钥信息。

由于源合并密钥信息会随着次数值的变化而变化，且访问密钥信息是由源合并密钥信息经过多层加密手段得到，保证当冷热数据区发生变化时，不同安全等级的访问密钥信息也会随之发生变化，从而极大提升了密钥生成过程中的安全性。

如图2所示，在某些实施例中，所述密钥产生单元30还包括：

算法信息存储单元303，用于存储解密后的层级加解密算法。所述层级加解密算法是后续进行数据加解密时所选择的算法，具体可以包括aes算法、tdes算法、sm4算法中的任意一种或多种。源数据解密单元301解密得到层级加解密算法后，会将层级加解密算法存储到算法信息存储单元303中，以等到后续调用。

算法选择单元311，用于根据待访问页存储区域的安全等级选择不同的层级加解密算法至所述层级解密运算单元306。所述待访问页存储区域的安全等级是指能够访问数据存储单元中不同安全等级存储区所需的访问权限。待访问页存储区域的安全等级越高，其能够访问的安全存储区的安全性越高，对应的密钥生成过程也越复杂。

在这一实施例中，通过算法选择单元311根据待访问页存储区域的安全等级的不同从所述算法信息存储单元303中选择不同的层级加解密算法至相应的层级解密运算单元306，可以进一步提升访问过程的私密性和安全性。页存储区域的安全等级根据当前该页存储区域的访问温度确定，一般而言，页存储区域中的数据被访问越频繁，访问温度越高，该页存储区域的安全等级越高。

在某些实施例中，所述密钥产生单元30还包括：

层级信息存储单元304，用于存储层级密钥信息；

主控芯片312，用于获取所述层级信息存储单元304中的层级密钥信息，并将所述层级密钥信息传输给所述层级密钥解密运算单元306。

这样，访问密钥信息产生过程中的解密算法来自于算法信息存储单元303中的加解密算法，并通过算法选择单元311进行筛选，筛选的加解密算法的解密对象为主控芯片312发送的层级密钥信息，解密过程中使用的密钥为根密钥信息，具体是：层级解密运算单元306根据所述层级加解密算法采用所述根密钥信息对所述层级密钥信息进行解密，得到访问密钥信息。由于层级密钥信息、层级加解密算法和根密钥信息三者分别来自于不同的单元，从而进一步提升了生成的访问密钥信息的安全性。

在某些实施例中，所述主控芯片312还用于根据当前待访问页存储区域的安全等级发送相应的层级密钥信息至所述层级解密运算单元。根据当前各个页存储区域的访问温度信息，确定各个页存储区域的安全等级，并根据页存储区域的安全等级匹配有相应的层级密钥信息，以便于对不同安全等级的页存储区域进行访问时密钥产生单元30能够产生不同安全等级的访问密钥信息。

例如待访问页存储区域A对应的密钥等级是低安全等级，待访问页存储区域B对应的密钥等级是高安全等级。层级密钥解密运算单元包括第一层级密钥解密运算单元和第二层级密钥解密运算单元。层级密钥信息包括第一层源密钥和第二层源密钥。

在生成待访问页存储区域A(假设为前文提及的冷数据存储区中的某一页存储区域，冷数据存储区可能包含一个或多个页存储区域，但所包含的页存储区域的页温都低于所述门限值)对应的访问密钥信息时，所述密钥产生单元30只启动第一层级密钥解密运算单元完成加解密运算，算法选择单元只需要将加解密算法a发送至第一层级密钥解密运算单元，第一层级解密运算单元根据加解密算法a采用所述根密钥信息对所述第一层源密钥进行解密，得到一级密钥。对于待访问页存储区域A而言，一级密钥即为所需的访问密钥信息。

在生成待访问页存储区域B(假设为前文提及的热数据存储区中的某一页存储区域，热数据存储区可能包含一个或多个页存储区域，但所包含的页存储区域的页温都低于所述门限值)对应的访问密钥信息时，所述密钥产生单元30会启动第一层级密钥解密运算单元和第二层级密钥解密运算单元进行加解密运算，算法选择单元先选择加解密算法a发送至第一层级密钥解密运算单元，第一层级密钥解密运算单元解密得到一级密钥后(具体做法参考待访问页存储区域A对应的访问密钥信息的生成过程)，会将一级密钥发送给所述第二层级密钥解密运算单元。在第二层级密钥解密运算单元进行解密运算时，主控芯片会将第二层源密钥发送给第二层级密钥解密运算单元，算法选择单元会选择加解密算法b发送至第二层级密钥解密运算单元。而后第二层级密钥解密运算单元根据加解密算法b采用所述一级密钥对所述第二层源密钥进行解密，得到二级密钥。对于待访问页存储区域B而言，二级密钥即为所需的访问密钥信息。

在某些实施例中，所述密钥产生单元30还包括：源数据存储单元301，用于存储加密后的源数据，所述源数据包括源密钥和层级加解密算法。在本实施方式中，所述源数据存储单元301为OTP存储单元(即一次性可编程单元)，这样可以有效防止源数据被篡改。为了防止黑客从源数据存储单元301中直接获得源数据，因而在本申请中是先对源数据进行加密后再存储至OTP存储单元中，对源数据进行加密采用的初始密钥可以被存储于其他存储单元中，以提升源数据存储的安全性。

为了防止访问密钥信息在生成过程中被截获篡改，在本实施方式中，所述层级信息存储单元还用于存储握手请求信息和握手响应信息，如图3所示，所述密钥产生单元30包括：

握手解密运算电路307，用于采用访问密钥信息对访问密钥信息自身进行解密，得到握手加密密钥信息。访问密钥信息自身在传输过程中容易被截获或篡改，但是如果先用访问密钥信息对访问密钥信息自身进行解密后，黑客反向破解的难度就会成指数级增加，因而本申请在进行密钥数据校验前先让访问密钥信息对访问密钥信息自身进行解密，得到握手加密密钥信息。

握手加密运算电路308，用于接收所述握手请求信息，并采用所述握手加密密钥信息对所述握手请求信息进行加密，得到握手加密信息。握手请求信息可以预先存储于握手信息存储单元304中，握手请求信息是指待验证的信息，其通过握手加密密钥信息进行加密后可以得到握手加密信息。

握手信息校验电路309，用于获取所述握手响应信息和所述握手加密信息，并判断两者是否匹配，若是则通过校验则输出访问密钥信息。所述握手响应信息是指预先存储于握手信息存储单元304中、且是握手请求信息经过加密后得到的校验标准信息。通过比对所述握手响应信息和所述握手加密信息，就可以推知当前访问密钥信息是否被篡改，若两者匹配则可以输出访问密钥信息。

如图3所示，密钥产生单元30可以根据待访问页存储区域的安全等级产生相应层级的访问密钥信息，待访问页存储区域的安全等级越高，产生的访问密钥信息的安全性也就越高。

以密钥等级为两个安全等级为例，所述密钥产生单元30包括密钥选择单元310。所述解密运算单元包括一级解密运算单元3061和二级解密运算单元3062，所述握手解密运算电路包括一级握手解密运算电路3071和二级握手解密运算电路3072。所述握手加密运算电路包括一级握手加密运算电路3081和二级握手加密运算电路3082，算法信息存储单元303中设置有多种加解密算法，包括一级加解密算法和二级加解密算法，并依次通过一级算法选择单元3111和二级算法选择单元3112进行选择。所述层级密钥信息包括第一层源密钥和第二层源密钥。

图3所述的密钥产生单元30的工作原理如下：密钥产生单元30获取当前待访问页存储区域的安全等级，并通过密钥选择单元310输出与所述待访问页存储区域的安全等级相匹配的访问密钥信息，并将输出的访问密钥信息存储至所述密钥记录单元40。假设待访问页存储区域的安全等级有两级，则密钥选择单元310可以根据当前待访问页存储区域的安全等级选择一级密钥或二级密钥进行输出。优选的，所述二级密钥的安全等级大于所述一级密钥。

一级密钥的产生过程如下：

源数据解密单元302获取所述源数据存储单元301中加密后的源密钥和层级加解密算法进行解密，得到解密后的源密钥和层级加解密算法，并将所述解密后的源密钥送往源密钥合并单元300，源密钥合并单元300根据变化次数统计单元213中的次数值和所述源密钥生成源合并密钥。根密钥运算单元305，将所述解密后的层级加解密算法存储于算法信息存储单元303中。根密钥运算单元获取所述源合并密钥，并采用所述源合并密钥对所述源合并密钥自身进行哈希运算，得到根密钥信息。

而后一级解密运算单元3061接收层级信息存储单元304的第一层源密钥，一级算法选择单元3111选择一级密钥加解密算法至一级解密运算单元3061，以使得一级解密运算单元3061采用一级密钥加解密算法应用所述根密钥信息对所述第一层源密钥进行解密，得到一级密钥。如果当前待访问页存储区域的安全等级为一级，则密钥选择单元310可以选择所述一级密钥输出。

在输出之前，为了防止一级密钥在传输过程中被篡改，需要对生成的一级密钥进行校验，具体是先通过一级握手解密运算电路3071使用一级密钥对一级密钥自身做一次加密，得到一级握手加密密钥信息。而后通过一级握手加密运算电路3081接收所述层级信息存储单元304传输的第一层握手请求数据，并采用所述一级握手加密密钥信息对所述第一层握手请求数据进行加密，得到第一层握手加密信息。而后接收所述层级信息存储单元304传输的第一层握手响应数据，将所述第一层握手响应数据与所述第一层握手加密信息进行比较，若两者匹配说明一级密钥没有被篡改，可以通过密钥选择单元310进行输出。

二级密钥的产生过程如下：

二级密钥的产生过程与一级密钥类似，区别在于一级密钥作为二级密钥产生的输入参数(相当于一级密钥产生时输入的根密钥)，具体是二级解密运算单元3062接收层级信息存储单元304的第二层源密钥，二级算法选择单元3112选择二级密钥加解密算法至二级解密运算单元3062，以使得二级解密运算单元3062采用二级密钥加解密算法应用所述一级密钥对所述第二层源密钥进行解密，得到二级密钥。如果当前待访问页存储区域的安全等级为二级，则密钥选择单元310可以选择所述二级密钥输出。

在输出之前，为了防止二级密钥在传输过程中被篡改，需要对生成的二级密钥进行校验，具体是先通过二级握手解密运算电路3072使用二级密钥对二级密钥自身做一次加密，得到二级握手加密密钥信息。而后通过二级握手加密运算电路3082接收所述层级信息存储单元304传输的第二层握手请求数据，并采用所述二级握手加密密钥信息对所述第二层握手请求数据进行加密，得到第二层握手加密信息。而后接收所述层级信息存储单元304传输的第二层握手响应数据，将所述第二层握手响应数据与所述第二层握手加密信息进行比较，若两者匹配说明二级密钥没有被篡改，可以通过密钥选择单元310进行输出，否则可以发出提示信息。

当然，在另一些实施例中，设置的待访问页存储区域对应的安全等级数量还可以为其他数值，如两个安全等级或四个以上的安全等级，相对应的，生成访问密钥信息所需的层级数量也可以为其他数量，不同热度的数据存储区所选用何种安全等级的密钥也可以根据实际需要进行设置。当访问密钥信息的层级为其他数量时，其产生的方式可以参考图3所示的密钥生成过程，此处不再赘述。

在某些实施例中，所述装置还包括密钥记录单元40，密钥产生单元30产生的访问密钥信息可以被存储至密钥记录单元40中，以便其他功能模块的选择调用。

如图4所示，本申请还提供了一种密钥产生方法，所述方法应用于如本申请所述的密钥产生单元，所述方法包括以下步骤：

首先进入步骤S401源数据解密单元获取加密后的源数据进行解密，得到解密后的源密钥和解密后的层级加解密算法；

而后进入步骤S402源密钥合并单元获取变化次数统计单元中的次数值和所述解密后的源密钥，将两者合并得到源合并密钥；

而后进入步骤S403根密钥运算单元根据所述源合并密钥计算得到根密钥信息；

而后进入步骤S404层级解密运算单元获取层级密钥信息、层级加解密算法和根密钥信息，根据所述层级加解密算法采用所述根密钥信息对所述层级密钥信息进行解密，得到访问密钥信息。

如图6所示，在某些实施例中，所述密钥产生方法包括以下步骤：

首先进入步骤S601源数据存储单元存储加密后的源数据，所述源数据包括源密钥和层级加解密算法。

而后可以进入步骤S602源数据解密单元获取所述加密后的源数据进行解密，得到解密后的源密钥和解密后的层级加解密算法，并将所述解密后的源密钥送往源密钥合并单元，将所述解密后的层级加解密算法存储于算法信息存储单元中。

而后进入步骤S603源密钥合并单元获取变化次数统计单元中的次数值和所述解密后的源密钥，将两者合并得到源合并密钥。

而后进入步骤S604根密钥运算单元获取所述源合并密钥，根据所述源合并密钥对所述源合并密钥自身进行哈希运算，得到根密钥信息。

步骤S604之后可以进入步骤S605层级解密运算单元获取所述层级加解密算法、层级密钥信息和所述根密钥信息，采用所述层级加解密算法应用所述根密钥信息对所述层级密钥信息进行解密，得到访问密钥信息。所述层级密钥信息存储于层级信息存储单元中。

需要说明的是，尽管在本文中已经对上述各实施例进行了描述，但并非因此限制本发明的专利保护范围。因此，基于本发明的创新理念，对本文所述实施例进行的变更和修改，或利用本发明说明书及附图内容所作的等效结构或等效流程变换，直接或间接地将以上技术方案运用在其他相关的技术领域，均包括在本发明的专利保护范围之内。

Claims (10)

1.一种基于页温动态冷热切换的数据保护方法，其特征在于，所述方法应用于基于页温动态冷热切换的数据保护装置；

所述装置包括：读写控制电路、页温统计单元、密钥产生单元、门限值存储单元、页温判断单元、页温等级存储单元、对应关系存储单元、加解密电路和数据存储单元；所述门限值存储单元中存储有页温门限值，所述对应关系存储单元中存储有页存储区域的热度类型与密钥安全等级的对应关系；所述数据存储单元包括多个页存储区域；

所述方法包括以下步骤：

页温统计单元统计数据存储单元中当前所有页存储区域的访问温度信息；

页温判断单元获取所述页温门限值和当前所有页存储区域的访问温度信息，依次将当前各个页存储区域的访问温度信息与所述页温门限值进行比较，确定当前各个页存储区域对应的热度类型，并根据所述页存储区域的热度类型与密钥安全等级的对应关系，确定当前各个页存储区域对应的访问密钥安全等级，并将确定的各个页存储区域的标识信息与各页存储区域对应的访问密钥信息的安全等级对应存储于所述页温等级存储单元中；

读写控制电路接收数据读写指令，根据所述数据读写指令中的数据读写地址确定待访问页存储区域对应的访问密钥信息的安全等级；

密钥产生单元根据所述待访问页存储区域对应的访问密钥的安全等级生成相应安全等级的访问密钥信息；

加解密电路获取所述访问密钥信息，基于所述访问密钥信息对待访问页存储区域中的数据进行访问。

2.如权利要求1所述的基于页温动态冷热切换的数据保护方法，其特征在于：

当所述数据读写指令为数据读取指令时，所述数据读写地址为数据读取地址，所述方法包括：加解密电路采用所述访问密钥信息对从所述数据读取地址所在的页存储区域中读取的加密后的数据进行解密，并将解密后的数据传输给所述读写控制电路；

当所述数据读写指令为数据写入指令时，所述数据读写地址为数据写入地址，所述方法包括：加解密电路采用所述访问密钥信息对待写入的数据进行加密，并根据数据写入地址将加密后的待写入数据写入到对应的页存储区域中。

3.如权利要求1所述的基于页温动态冷热切换的数据保护方法，其特征在于，所述装置还包括时序存储单元，所述时序存储单元用于存储预设统计更新信息，所述预设统计更新信息包括预设统计间隔次数或预设统计间隔时间；

所述方法包括：

页温统计单元根据所述预设统计更新信息对当前所有页存储区域的访问温度信息进行实时更新。

4.如权利要求1所述的基于页温动态冷热切换的数据保护方法，其特征在于，所述装置包括变化次数统计单元；

所述方法包括：

变化次数统计单元统计数据存储单元中页存储区域温度发生变化的次数值，并在至少一个页存储区域温度发生变化时，调整所述次数值；

密钥产生单元根据所述次数值以及所述待访问页存储区域对应的访问密钥的安全等级生成相应安全等级的访问密钥信息。

5.如权利要求4所述的基于页温动态冷热切换的数据保护方法，其特征在于：

所述密钥产生单元包括源数据存储单元和源密钥合并单元，所述源数据存储单元存储有源数据，所述源数据包括源密钥；

所述方法包括：

源密钥合并单元获取调整后的次数值和源密钥，并将两者合并为源合并密钥信息；

访问密钥信息基于所述源合并密钥信息产生。

6.如权利要求5所述的基于页温动态冷热切换的数据保护方法，其特征在于，所述密钥产生单元还包括根密钥运算单元和层级解密运算单元；所述源数据还包括层级加解密算法；

所述访问密钥信息基于所述源合并密钥信息产生包括：

根密钥运算单元根据所述源合并密钥信息计算得到根密钥信息；

层级解密运算单元获取层级密钥信息、层级加解密算法和根密钥信息，根据所述层级加解密算法采用所述根密钥信息对所述层级密钥信息进行解密，得到访问密钥信息。

7.如权利要求6所述的基于页温动态冷热切换的数据保护方法，其特征在于，所述源数据以加密的形式存储于源数据存储单元中，所述密钥产生单元还包括源数据解密单元；

源数据解密单元获取加密后的源数据进行解密，得到解密后的源密钥传输给所述源密钥合并单元，将解密后的层级加解密算法传输给层级解密运算单元。

8.如权利要求6所述的基于页温动态冷热切换的数据保护方法，其特征在于，所述密钥产生单元还包括层级信息存储单元和主控芯片；所述层级信息存储单元存储有层级密钥信息；

所述层级解密运算单元包括一级解密运算单元和二级解密运算单元；所述层级密钥信息包括第一层级密钥信息和第二层级密钥信息；所述层级加解密算法包括第一层级加解密算法和第二层级加解密算法；

所述方法包括：

主控芯片从所述层级信息存储单元获取一级层级密钥信息，并将所述一级层级密钥信息传输给一级解密运算单元，以及从所述层级信息存储单元获取二级层级密钥信息，并将所述二级层级密钥信息传输给二级解密运算单元；

一级解密运算单元根据所述第一层级加解密算法采用所述根密钥信息对所述一级层级密钥信息进行解密，得到一级密钥；

二级解密运算单元获取所述一级密钥，并根据所述第二层级加解密算法采用所述一级密钥信息对所述二级层级密钥信息进行解密，得到二级密钥。

9.如权利要求8所述的基于页温动态冷热切换的数据保护方法，其特征在于，所述层级信息存储单元还存储有握手请求信息和握手响应信息；所述密钥产生单元还包括握手解密运算电路、握手加密运算电路和握手信息校验电路；

所述方法包括：

握手解密运算电路采用所述访问密钥信息对所述访问密钥信息自身进行解密，得到握手加密密钥信息；

握手加密运算电路接收主控芯片发送的所述握手请求信息，并采用所述握手加密密钥信息对所述握手请求信息进行加密，得到握手加密信息；

握手信息校验电路获取所述握手加密信息和主控芯片发送的握手响应信息，并判断两者是否匹配，若是则输出访问密钥信息。

10.一种基于页温动态冷热切换的数据保护装置，其特征在于，所述装置用于执行如权利要求1至9任一项所述的基于页温动态冷热切换的数据保护方法。

Images