CN115185643A - 访问控制方法、装置、计算机可读存储介质及电子设备 - Google Patents

Abstract

公开了一种访问控制方法、装置、计算机可读存储介质及电子设备。其中，该方法包括：通过目标虚拟机生成地址转换请求，地址转换请求包括中间物理地址；通过内存管理单元将中间物理地址转换为物理地址；通过虚拟化管理器确定目标虚拟机对物理地址的访问权限信息；响应于访问权限信息表征目标虚拟机具有对物理地址的访问权限，通过目标虚拟机将物理地址配置于直接存储器访问控制器中。本公开的实施例能够降低芯片的制造成本。

Description

访问控制方法、装置、计算机可读存储介质及电子设备

技术领域

本公开涉及芯片技术，尤其涉及一种访问控制方法、装置、计算机可读存储介质及电子设备。

背景技术

当使用虚拟化管理器来实现多个虚拟机同时在一颗芯片上运行时，为了保证芯片中的直接存储器访问(Direct Memory Access，DMA)控制器访问内存的安全性，芯片中必须配备系统内存管理单元(System Memory Management Unit，SMMU)，这样会增加芯片的制造成本。

发明内容

为了解决上述技术问题，提出了本公开。本公开的实施例提供了一种访问控制方法、装置、计算机可读存储介质及电子设备。

根据本公开实施例的一个方面，提供了一种访问控制方法，包括：

通过目标虚拟机生成地址转换请求，所述地址转换请求包括中间物理地址；

通过内存管理单元将所述中间物理地址转换为物理地址；

通过虚拟化管理器确定所述目标虚拟机对所述物理地址的访问权限信息；

响应于所述访问权限信息表征所述目标虚拟机具有对所述物理地址的访问权限，通过所述目标虚拟机将所述物理地址配置于直接存储器访问控制器中。

根据本公开实施例的另一个方面，提供了一种访问权限控制装置，包括：

生成模块，用于通过目标虚拟机生成地址转换请求，所述地址转换请求包括中间物理地址；

转换模块，用于通过内存管理单元将所述生成模块生成的所述地址转换请求包括的所述中间物理地址转换为物理地址；

确定模块，用于通过虚拟化管理器确定所述目标虚拟机对所述转换模块转换得到的所述物理地址的访问权限信息；

配置模块，用于响应于所述确定模块确定的所述访问权限信息表征所述目标虚拟机具有对所述物理地址的访问权限，通过所述目标虚拟机将所述物理地址配置于直接存储器访问控制器中。

根据本公开实施例的再一个方面，提供了一种计算机可读存储介质，所述存储介质存储有计算机程序，所述计算机程序用于执行上述访问控制方法。

根据本公开实施例的又一个方面，提供了一种电子设备，包括：

处理器；

用于存储所述处理器可执行指令的存储器；

所述处理器，用于从所述存储器中读取所述可执行指令，并执行所述指令以实现上述访问控制方法。

基于本公开上述实施例提供的一种访问控制方法、装置、计算机可读存储介质及电子设备，可以通过目标虚拟机生成地址转换请求，通过内存管理单元将地址转换请求中的中间物理地址转换为物理地址，并在通过虚拟化管理器确定的访问权限信息表征目标虚拟机具有对物理地址的访问权限的情况下，通过目标虚拟机将物理地址配置于直接存储器访问控制器中。由于本公开的实施例中，配置至直接存储器访问控制器中的是物理地址，而不是中间物理地址，直接存储器访问控制器可以直接基于物理地址执行数据拷贝处理，并且，在将物理地址配置至直接存储器访问控制器中之前，已经进行了访问权限相关的判定(即确定目标虚拟机是否具有对物理地址的访问权限)，由此对目标虚拟机通过直接存储器访问控制器所能访问到的区域进行了限制，这样，本公开的实施例中，直接存储器访问控制器无需通过系统内存管理单元获取物理地址，也无需通过系统内存管理单元进行访问权限相关的判定，因此，芯片中无需配备系统内存管理单元(具体可参见图7中的芯片结构)，从而能够降低芯片的制造成本。

下面通过附图和实施例，对本公开的技术方案做进一步的详细描述。

附图说明

通过结合附图对本公开实施例进行更详细的描述，本公开的上述以及其他目的、特征和优势将变得更加明显。附图用来提供对本公开实施例的进一步理解，并且构成说明书的一部分，与本公开实施例一起用于解释本公开，并不构成对本公开的限制。在附图中，相同的参考标号通常代表相同部件或步骤。

图1是相关技术中芯片的结构示意图。

图2是相关技术中芯片的工作原理示意图。

图3是相关技术中芯片的另一工作原理示意图。

图4是本公开一示例性实施例提供的访问控制方法的流程示意图。

图5是本公开的实施例中芯片的工作原理图。

图6是本公开的实施例中芯片的另一工作原理图。

图7是本公开的实施例中芯片的结构示意图。

图8-1是本公开另一示例性实施例提供的访问控制方法的流程示意图。

图8-2是本公开再一示例性实施例提供的访问控制方法的流程示意图。

图9-1是本公开又一示例性实施例提供的访问控制方法的流程示意图。

图9-2是本公开又一示例性实施例提供的访问控制方法的流程示意图。

图10-1是本公开又一示例性实施例提供的访问控制方法的流程示意图。

图10-2是本公开又一示例性实施例提供的访问控制方法的流程示意图。

图11是本公开又一示例性实施例提供的访问控制方法的流程示意图。

图12是本公开又一示例性实施例提供的访问控制方法的流程示意图。

图13是本公开又一示例性实施例提供的访问控制方法的流程示意图。

图14是本公开一示例性实施例提供的访问控制装置的结构示意图。

图15-1是本公开另一示例性实施例提供的访问控制装置的结构示意图。

图15-2是本公开再一示例性实施例提供的访问控制装置的结构示意图。

图16是本公开又一示例性实施例提供的访问控制装置的结构示意图。

图17是本公开又一示例性实施例提供的访问控制装置的结构示意图。

图18是本公开一示例性实施例提供的电子设备的结构图。

具体实施方式

下面，将参考附图详细地描述根据本公开的示例实施例。显然，所描述的实施例仅仅是本公开的一部分实施例，而不是本公开的全部实施例，应理解，本公开不受这里描述的示例实施例的限制。

应注意到：除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对布置、数字表达式和数值不限制本公开的范围。

本领域技术人员可以理解，本公开实施例中的“第一”、“第二”等术语仅用于区别不同步骤、设备或模块等，既不代表任何特定技术含义，也不表示它们之间的必然逻辑顺序。

还应理解，在本公开实施例中，“多个”可以指两个或两个以上，“至少一个”可以指一个、两个或两个以上。

还应理解，对于本公开实施例中提及的任一部件、数据或结构，在没有明确限定或者在前后文给出相反启示的情况下，一般可以理解为一个或多个。

另外，本公开中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本公开中字符“/”，一般表示前后关联对象是一种“或”的关系。

还应理解，本公开对各个实施例的描述着重强调各个实施例之间的不同之处，其相同或相似之处可以相互参考，为了简洁，不再一一赘述。

同时，应当明白，为了便于描述，附图中所示出的各个部分的尺寸并不是按照实际的比例关系绘制的。

以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本公开及其应用或使用的任何限制。

对于相关领域普通技术人员已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为说明书的一部分。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步讨论。

本公开实施例可以应用于终端设备、计算机系统、服务器等电子设备，其可与众多其它通用或专用计算系统环境或配置一起操作。适于与终端设备、计算机系统、服务器等电子设备一起使用的众所周知的终端设备、计算系统、环境和/或配置的例子包括但不限于：个人计算机系统、服务器计算机系统、瘦客户机、厚客户机、手持或膝上设备、基于微处理器的系统、机顶盒、可编程消费电子产品、网络个人电脑、小型计算机系统、大型计算机系统和包括上述任何系统的分布式云计算技术环境，等等。

终端设备、计算机系统、服务器等电子设备可以在由计算机系统执行的计算机系统可执行指令(诸如程序模块)的一般语境下描述。通常，程序模块可以包括例程、程序、目标程序、组件、逻辑、数据结构等等，它们执行特定的任务或者实现特定的抽象数据类型。计算机系统/服务器可以在分布式云计算环境中实施，分布式云计算环境中，任务是由通过通信网络链接的远程处理设备执行的。在分布式云计算环境中，程序模块可以位于包括存储设备的本地或远程计算系统存储介质上。

申请概述

芯片可以为系统级芯片(System on Chip，SOC)，如图1、图2、图3所示，芯片中可以包括：内存管理单元(Memory Management Unit，MMU)、内存模块、外设模块、直接存储器访问控制器、系统内存管理单元和芯片总线模块。

内存管理单元的一个基本功能是虚拟内存管理，包括但不限于将虚拟地址(Virtual Address)转换为物理地址(Physical Address，PA)，将虚拟地址转换为中间物理地址(Intermediate Physical Address，IPA)，将中间物理地址转换为物理地址等。

直接存储器访问控制器用于数据拷贝，即实现数据从一个地址空间至另一个地址空间的复制。

系统内存管理单元可以负责芯片外设的管理。

需要说明的是，可以通过使用图1、图2、图3所示的虚拟化管理器，实现多个虚拟机(Guest OS)同时在一颗芯片上运行；其中，虚拟化管理器和多个虚拟机均可以是运行在芯片上的软件模块。

实际工作时，虚拟机可以通过虚拟化管理器来间接操作硬件。当虚拟机使用直接存储器访问控制器时，可以将数据的源地址和目标地址以IPA形式配置到直接存储器访问控制器中。例如，如图2所示，当Guest OS A这一虚拟机独占直接存储器访问控制器时，Guest OS A可以将IPA形式的源地址和目标地址直接配置到直接存储器访问控制器中。再例如，如图3所示，当Guest OS A这一虚拟机未独占直接存储器访问控制器，而是与其他虚拟机共享直接存储器访问控制器时(这种情况下，虚拟化管理器负责实现各个虚拟机访问直接存储器访问控制器时的互斥)，Guest OS A可以通过虚拟化管理器将IPA形式的源地址和目标地址配置到直接存储器访问控制器中。

直接存储器访问控制器可以将IPA形式的源地址和目标地址提供给系统内存管理单元，以借助系统内存管理单元将IPA形式的源地址和目标地址转换为PA形式的源地址和目标地址。直接存储器访问控制器还可以基于PA形式的源地址和目标地址，执行数据拷贝处理，即控制相关模块(例如内存模块或外设模块)将数据从PA形式的源地址对应的地址空间复制到PA形式的目标地址对应的地址空间。

考虑到虚拟机通过直接存储器访问控制器访问内存的安全性，在直接存储器访问控制器将IPA形式的源地址和目标地址提供给系统内存管理单元之后，系统内存管理单元可以检查直接存储器访问控制器是否具有对PA形式的源地址和目标地址的访问权限，如果检查结果为否，系统内存管理单元不会向直接存储器访问控制器返回IPA形式的源地址和目标地址，并且，系统内存管理单元会报错。

需要说明的是，如果芯片中没有系统内存管理单元，在运行多个虚拟机和虚拟化管理器的过程中，无法限制直接存储器访问控制器的内存访问权限，从而会影响到直接存储器访问控制器访问内存的安全性。为了保证直接存储器访问控制器访问内存的安全性，芯片中必须配备系统内存管理单元，这样会增加芯片的制造成本。

示例性方法

图4是本公开一示例性实施例提供的访问控制方法的流程示意图。图4所示的方法可以包括步骤410、步骤420、步骤430和步骤440，下面分别对各步骤进行说明。

步骤410，通过目标虚拟机生成地址转换请求，地址转换请求包括中间物理地址。

需要说明的是，目标虚拟机可以为芯片上运行的多个虚拟机中的任一虚拟机，例如为图2、图3、图5、图6中的Guest OS A，目标虚拟机中的“目标”并不构成对目标虚拟机的任何限定。

在生成地址转换请求之前，目标虚拟机可以获得虚拟地址，并调用内存管理单元将虚拟地址转换为中间物理地址。接下来，目标虚拟机可以生成包括中间物理地址的地址转换请求，地址转换请求用于请求将中间物理地址转换为物理地址。

步骤420，通过内存管理单元将中间物理地址转换为物理地址。

可选地，目标虚拟机可以将地址转换请求转发给内存管理单元，内存管理单元可以响应于地址转换请求，将地址转换请求包括的中间物理地址转换为物理地址，并将物理地址发送给虚拟化管理器。

可选地，目标虚拟机可以将地址转换请求转发给虚拟化管理器，虚拟化管理器可以响应于地址转换请求，调用内存管理单元将地址转换请求包括的中间物理地址转换为物理地址。

步骤430，通过虚拟化管理器确定目标虚拟机对物理地址的访问权限信息。

可选地，虚拟化管理器可以按照预定的访问权限控制策略，确定目标虚拟机对物理地址的访问权限信息，访问权限信息可以用于表征目标虚拟机是否具有对物理地址的访问权限。

步骤440，响应于访问权限信息表征目标虚拟机具有对物理地址的访问权限，通过目标虚拟机将物理地址配置于直接存储器访问控制器中。

如果访问权限信息表示为“1”，这说明目标虚拟机具有对物理地址的访问权限，虚拟化管理器可以将物理地址发送至目标虚拟机，目标虚拟机可以将物理地址配置于直接存储器访问控制器中，这样，直接存储器访问控制器可以基于物理地址，执行数据拷贝处理。

如果访问权限信息表示为“0”，这说明目标虚拟机不具有对物理地址的访问权限，虚拟化管理器可以不将物理地址发送至目标虚拟机，目标虚拟机也不进行物理地址的配置。

本公开的实施例中，可以通过目标虚拟机生成地址转换请求，通过内存管理单元将地址转换请求中的中间物理地址转换为物理地址，并在通过虚拟化管理器确定的访问权限信息表征目标虚拟机具有对物理地址的访问权限的情况下，通过目标虚拟机将物理地址配置于直接存储器访问控制器中。由于本公开的实施例中，配置至直接存储器访问控制器中的是物理地址，而不是中间物理地址，直接存储器访问控制器可以直接基于物理地址执行数据拷贝处理，并且，在将物理地址配置至直接存储器访问控制器中之前，已经进行了访问权限相关的判定(即确定目标虚拟机是否具有对物理地址的访问权限)，由此对目标虚拟机通过直接存储器访问控制器所能访问到的区域进行了限制，这样，本公开的实施例中，直接存储器访问控制器无需通过系统内存管理单元获取物理地址，也无需通过系统内存管理单元进行访问权限相关的判定，因此，芯片中无需配备系统内存管理单元(具体可参见图7中的芯片结构)，从而能够降低芯片的制造成本。

在一个可选示例中，物理地址存在对应的访问白名单，访问白名单中包括多个虚拟机标识信息，在图4所示实施例的基础上，步骤430包括图8-1所示的步骤4301或者图8-2所示的步骤4303。

步骤4301，响应于目标虚拟机的标识信息位于访问白名单中，通过虚拟化管理器确定访问权限信息表征目标虚拟机具有对物理地址的访问权限。

步骤4303，响应于目标虚拟机的标识信息不位于访问白名单中，通过虚拟化管理器确定访问权限信息表征目标虚拟机不具有对物理地址的访问权限。

需要说明的是，可以预先对物理地址与访问白名单之间的对应关系进行存储。在通过内存管理单元将地址转换请求包括的中间物理地址转换为物理地址之后，虚拟化管理器可以根据预先存储的对应关系，确定物理地址对应的访问白名单，并对物理地址对应的访问白名单进行遍历，以确定目标虚拟机的标识信息是否位于物理地址对应的访问白名单中。

如果目标虚拟机的标识信息位于物理地址对应的访问白名单中，虚拟化管理器确定的访问权限信息可以表示为“1”，以表征目标虚拟机具有对物理地址的访问权限。如果目标虚拟机的标识信息不位于物理地址对应的访问白名单中，虚拟化管理器确定的访问权限信息可以表示为“0”，以表征目标虚拟机不具有对物理地址的访问权限。

本公开的实施例中，由于访问白名单的设置，通过判断目标虚拟机的标识信息是否位于物理地址对应的访问白名单中，可以高效可靠地确定目标虚拟机是否具有对物理地址的访问权限。

需要指出的是，具体实现时，也可以为物理地址设置对应的访问黑名单，如果目标虚拟机的标识信息位于访问黑名单中，访问权限信息可以表征目标虚拟机不具有对物理地址的访问权限，而如果目标虚拟机的标识信息不位于访问黑名单中，访问权限信息可以表征目标虚拟机具有对物理地址的访问权限。

在图8-1或图8-2所示实施例的基础，如图9-1或图9-2所示，步骤420包括步骤4201。

步骤4201，响应于已记录地址中不存在中间物理地址，通过内存管理单元将中间物理地址转换为物理地址。

步骤430之后，该方法还包括步骤450。

步骤450，响应于访问权限信息表征目标虚拟机不具有对物理地址的访问权限，向已记录地址中添加中间物理地址。

可选地，已记录地址可以通过一个地址表的形式表示。

在一个具体例子中，目标虚拟机为Guest OS A，假设Guest OS A生成了包括的中间物理地址为IPA0的地址转换请求之后，Guest OS A将地址转换请求发送给了虚拟化管理器，虚拟化管理器可以对已记录地址进行遍历，以确定已记录地址中是否存在IPA0。

如果已记录地址中存在IPA0，虚拟化管理器可以直接拒绝Guest OS A的地址转换请求。

如果已记录地址中不存在IPA0，虚拟化管理器可以调用内存管理单元将IPA0转换为物理地址，转换得到的物理地址可以为PA0，虚拟化管理器可以进一步确定Guest OS A对PA0的访问权限信息。如果访问权限信息表征Guest OS A不具有对PA0的访问权限，虚拟化管理器可以向已记录地址中添加IPA0；如果访问权限信息表征Guest OS A具有对PA0的访问权限，虚拟化管理器不向已记录地址中添加IPA0，虚拟化管理器还可以将PA0发送至Guest OS A，以便Guest OS A将PA0配置于直接存储器访问控制器中。

对于上段中访问权限信息表征Guest OS A不具有对PA0的访问权限的情况，由于虚拟化管理器向已记录地址中添加了IPA0，当Guest OS A再次生成包括中间物理地址为IPA0的地址转换请求，并将地址转换请求发送给虚拟化管理器之后，虚拟化管理器通过对已记录地址进行遍历，可以确定已记录地址中存在IPA0，此时，虚拟化管理器可以直接拒绝Guest OS A的地址转换请求，而无需调用内存管理单元将IPA0转换为物理地址，并基于物理地址执行访问权限信息确定步骤以及物理地址配置步骤，这样有利于节约运算资源。

本公开的实施例中，通过已记录地址的更新和运用，无需通过内存管理单元对所有地址转换请求中的中间物理地址均进行转换，而仅需要对不存在于已记录地址中的中间物理地址进行转换，从而有利于节约运算资源。

在图8-1或图8-2所示实施例的基础，如图10-1或图10-2所示，该方法还包括步骤460和步骤470。

步骤460，响应于目标虚拟机在预设时长内生成大于预设数量的地址转换请求，且各地址转换请求对应的访问权限信息均表征目标虚拟机不具有对物理地址的访问权限，输出权限确认提示信息；其中，权限确认提示信息包括目标虚拟机的标识信息和物理地址。

可选地，预设时长可以为30秒、1分钟、2分钟等，预设数量可以为30个、40个、50个、60个、100个等，在此不再一一列举。

假设目标虚拟机在1分钟内生成了105个包括物理地址的地址转换请求，且基于物理地址对应的访问白名单，虚拟化管理器确定各地址转换请求对应的访问权限信息均表征目标虚拟机不具有对物理地址的访问权限，则可以通过语音方式、文字方式等输出包括目标虚拟机的标识信息和物理地址的权限确认提示信息，例如，可以通过语音说“请确认Guest OS A是否具有对PA0的访问权限”，再例如，可以通过屏幕上的弹窗显示“请确认Guest OS A是否具有对PA0的访问权限”，以提示人工确认Guest OS A是否具有对PA0的访问权限。

步骤470，响应于针对权限确认提示信息的触发操作，向访问白名单中添加目标虚拟机的标识信息。

可选地，针对步骤460中输出的权限确认提示信息，在一种可实现的方式中，可以采用语音的方式输出“是”或者“否”，如果响应于获得语音输出的“是”指令，可以认为接收到针对权限确认提示信息的触发操作，那么，可以向访问白名单中添加Guest OS A的名称；或者，在另一种可实现的方式中，屏幕上弹窗的下方可以显示“是”和“否”两个选择按钮，针对步骤460中输出的权限确认提示信息，可以选择“是”这个选择按钮或者“否”这个选择按钮，如果选择“是”这个选择按钮，可以认为接收到针对权限确认提示信息的触发操作，那么，可以向访问白名单中添加Guest OS A的名称。

本公开的实施例中，如果目标虚拟机在短时间内生成了包括相同中间物理地址的大量地址转换请求，且各地址转换请求对应的访问权限信息均表征目标虚拟机不具有对物理地址的访问权限，则可以通过权限确认提示信息的输出，提示用户确认目标虚拟机是否具有对物理地址的访问权限，如果用户确认目标虚拟机具有对物理地址的访问权限，则可以向访问白名单中添加目标虚拟机的标识信息，从而保证访问白名单中记录的信息的准确性。

在一个可选示例中，中间物理地址包括中间物理源地址和中间物理目标地址，物理地址包括由中间物理源地址转换得到的物理源地址，以及由中间物理目标地址转换得到的物理目标地址；

在图4所示实施例的基础上，如图11所示，步骤440包括步骤4401。

步骤4401，响应于访问权限信息表征目标虚拟机同时具有对物理地址中的物理源地址和物理目标地址的访问权限，通过目标虚拟机将物理地址配置于直接存储器访问控制器中。

假设中间物理地址中包括的中间物理源地址为IPA1，中间物理地址中包括的中间物理目标地址为IPA2，由IPA1转换得到的物理源地址为PA1，由IPA2转换得到的物理目标地址为PA2，则物理地址中可以包括PA1和PA2。

可选地，PA1和PA2可以分别具有对应的访问白名单，如果目标虚拟机的标识信息同时位于PA1对应的访问白名单和PA2对应的访问白名单中，可以认为目标虚拟机同时具有对PA1和PA2的访问权限，那么，目标虚拟机可以将包括PA1和PA2的物理地址配置于直接存储器访问控制器中，直接存储器访问控制器后续可以将数据由PA1对应的地址空间复制至PA2对应的地址空间。如果目标虚拟机的标识信息不位于PA1对应的访问白名单，和/或，目标虚拟机的标识信息不位于PA2对应的访问白名单，可以认为目标虚拟机未同时具有对PA1和PA2的访问权限，那么，目标虚拟机不进行包括PA1和PA2的物理地址的配置。

本公开的实施例中，可以分别针对物理地址中的物理源地址和物理目标地址进行访问权限相关的判断，并结合判定结果，决定是否将物理地址配置于直接存储器访问控制器中，以有效地保证直接存储器访问控制器访问内存的安全性。

在图4所示实施例的基础上，如图12所示，在步骤440之前，该方法还包括步骤432和步骤434。

步骤432，获取目标虚拟机对直接存储器访问控制器的占用模式。

需要说明的是，占用模式存在两种可能的情况，一种是独占模式，另一种是非独占模式；其中，独占模式下，目标虚拟机可以直接与直接存储器访问控制器通信；非独占模式下，目标虚拟机可以通过虚拟化管理器与直接存储器访问控制器通信。其中，独占模式的情况可以参见图5，非独占模式的情况可以参见图6。

步骤434，获取针对直接存储器访问控制器的控制信息。

可选地，步骤434中获取的控制信息也可以称为DMA控制信息，DMA控制信息中可以包括以下至少一项：拷贝速度信息、拷贝模式信息、数据校验方式。

步骤440包括步骤4403和步骤4405。

步骤4403，确定与占用模式匹配的配置方式。

如果占用模式为独占模式，与占用模式匹配的配置方式可以为：直接配置；如果占用模式为非独占模式，与占用模式匹配的配置方式可以为：通过虚拟化管理器进行配置。

步骤4405，通过目标虚拟机将物理地址和控制信息按照配置方式配置于直接存储器访问控制器中。

如果占用模式为独占模式，目标虚拟机可以将物理地址和控制信息直接配置于直接存储器访问控制器；如果占用模式为非独占模式，目标虚拟机可以将物理地址和控制信息通过虚拟化管理器配置于直接存储器访问控制器。

本公开的实施例中，参考目标虚拟机对直接存储器访问控制器的占用模式，可以采用合适的配置方式，将物理地址和控制信息配置于直接存储器访问控制器，以便直接存储器访问控制器参考物理地址和控制信息，进行数据拷贝处理。

可选地，如图13所示，本公开的实施例提供的访问控制方法可以包括如下步骤：

步骤1201，Guest OS A使用MMU将虚拟源地址VA1和虚拟目标地址VA2转换成中间物理源地址IPA1和中间物理目标地址IPA2；

步骤1203，Guest OS A向虚拟化管理器请求使用MMU将中间物理源地址IPA1和中间物理目标地址IPA2转换成物理源地址PA1和物理目标地址PA2；

步骤1205，虚拟化管理器判断Guest OS A是否同时具有对物理源地址PA1和物理目标地址PA2的访问权限；如果是，执行步骤1207；如果否，结束；

步骤1207，虚拟化管理器将物理源地址PA1和物理目标地址PA2返回给Guest OSA；

步骤1209，Guest OS A将物理源地址PA1、物理目标地址PA2，以及控制信息配置到DMA控制器中(适于Guest OS A独占DMA控制器的情况)；或者，Guest OS A将物理源地址PA1、物理目标地址PA2，以及控制信息通过虚拟化管理器配置到DMA控制器中(适于GuestOS A与其他虚拟机共享DMA控制器的情况)。

可选地，物理源地址PA1既可以是内存中的地址，也可以是总线上外设的地址；物理目标地址PA2既可以是内存中的地址，也可以是总线上外设的地址。这样，DMA控制器处的数据拷贝处理可以有以下四种情况：内存中的地址→内存中的地址；内存中的地址→外设的地址；外设的地址→外设的地址；外设的地址→内存中的地址。

综上，本公开的实施例可以在没有SMMU的芯片上实现DMA控制器的虚拟化，使得芯片上运行的多个虚拟机使用DMA控制器时的权限都可以受到控制，有利于降低芯片成本，并且，虚拟机可以更快速地访问DMA控制器。

本公开实施例提供的任一种访问控制方法可以由任意适当的具有数据处理能力的设备执行，包括但不限于：终端设备和服务器等。或者，本公开实施例提供的任一种访问控制方法可以由处理器执行，如处理器通过调用存储器存储的相应指令来执行本公开实施例提及的任一种访问控制方法。下文不再赘述。

示例性装置

图14是本公开一示例性实施例提供的访问控制装置的结构示意图。图10所示的装置包括生成模块1410、转换模块1420、确定模块1430和配置模块1440。

生成模块1410，用于通过目标虚拟机生成地址转换请求，地址转换请求包括中间物理地址；

转换模块1420，用于通过内存管理单元将生成模块1410生成的地址转换请求包括的中间物理地址转换为物理地址；

确定模块1430，用于通过虚拟化管理器确定目标虚拟机对转换模块1420转换得到的物理地址的访问权限信息；

配置模块1440，用于响应于确定模块1430确定的访问权限信息表征目标虚拟机具有对物理地址的访问权限，通过目标虚拟机将物理地址配置于直接存储器访问控制器中。

在一个可选示例中，物理地址存在对应的访问白名单，访问白名单中包括多个虚拟机标识信息，确定模块1430包括图15-1所示的第一确定子模块14301或图15-2所示的第二确定子模块14303；

第一确定子模块14301，用于响应于目标虚拟机的标识信息位于访问白名单中，通过虚拟化管理器确定访问权限信息表征目标虚拟机具有对物理地址的访问权限；或者，

第二确定子模块14303，用于响应于目标虚拟机的标识信息不位于访问白名单中，通过虚拟化管理器确定访问权限信息表征目标虚拟机不具有对物理地址的访问权限。

在一个可选示例中，如图15-1、图15-2所示，转换模块1420，包括：

转换子模块14201，用于响应于已记录地址中不存在生成模块1410生成的地址转换请求包括的中间物理地址，通过内存管理单元将生成模块1410生成的地址转换请求包括的中间物理地址转换为物理地址；

该装置还包括：

第一添加模块1450，用于在确定模块1430通过虚拟化管理器确定目标虚拟机对转换模块1420转换得到的物理地址的访问权限信息之后，响应于确定模块1430确定的访问权限信息表征目标虚拟机不具有对转换子模块14201转换得到的物理地址的访问权限，向已记录地址中添加生成模块1410生成的地址转换请求包括的中间物理地址。

在一个可选示例中，如图15-1、图15-2所示，该装置还包括：

输出模块1460，用于响应于目标虚拟机在预设时长内生成大于预设数量的地址转换请求，且确定模块1430确定的各地址转换请求对应的访问权限信息均表征目标虚拟机不具有对转换模块1420转换得到的物理地址的访问权限，输出权限确认提示信息；其中，权限确认提示信息包括目标虚拟机的标识信息和物理地址；

第二添加模块1470，用于响应于针对输出模块1460输出的权限确认提示信息的触发操作，向访问白名单中添加目标虚拟机的标识信息。

在一个可选示例中，中间物理地址包括中间物理源地址和中间物理目标地址，物理地址包括由中间物理源地址转换得到的物理源地址，以及由中间物理目标地址转换得到的物理目标地址；

如图16所示，配置模块1440，包括：

第三确定子模块14401，用于确定由确定模块1430确定的访问权限信息是否表征目标虚拟机同时具有对物理地址中的物理源地址和物理目标地址的访问权限；

第一配置子模块14403，用于响应于第三确定子模块14401确定的访问权限信息表征目标虚拟机同时具有对物理地址中的物理源地址和物理目标地址的访问权限，通过目标虚拟机将物理地址配置于直接存储器访问控制器中。

在一个可选示例中，如图17所示，该装置还包括：

第一获取模块1432，用于在通过虚拟机将物理地址配置于直接存储器访问控制器中之前，获取目标虚拟机对直接存储器访问控制器的占用模式；

第二获取模块1434，用于获取针对直接存储器访问控制器的控制信息；

配置模块1440，包括：

第四确定子模块14405，用于确定与第一获取模块1432获取的占用模式匹配的配置方式；

第二配置子模14407，用于通过目标虚拟机将物理地址和第二获取模块1434获取的控制信息按照第四确定子模块14405确定的配置方式配置于直接存储器访问控制器中。

示例性电子设备

下面，参考图18来描述根据本公开实施例的电子设备。该电子设备可以是第一设备和第二设备中的任一个或两者、或与它们独立的单机设备，该单机设备可以与第一设备和第二设备进行通信，以从它们接收所采集到的输入信号。

图18图示了根据本公开实施例的电子设备的框图。

如图18所示，电子设备1800包括一个或多个处理器1810和存储器1820。

处理器1810可以是中央处理单元(CPU)或者具有数据处理能力和/或指令执行能力的其他形式的处理单元，并且可以控制电子设备1800中的其他组件以执行期望的功能。

存储器1820可以包括一个或多个计算机程序产品，所述计算机程序产品可以包括各种形式的计算机可读存储介质，例如易失性存储器和/或非易失性存储器。所述易失性存储器例如可以包括随机存取存储器(RAM)和/或高速缓冲存储器(cache)等。所述非易失性存储器例如可以包括只读存储器(ROM)、硬盘、闪存等。在所述计算机可读存储介质上可以存储一个或多个计算机程序指令，处理器1810可以运行所述程序指令，以实现上文所述的本公开的各个实施例的访问控制方法以及/或者其他期望的功能。在所述计算机可读存储介质中还可以存储诸如输入信号、信号分量、噪声分量等各种内容。

在一个示例中，电子设备1800还可以包括：输入装置1830和输出装置1840，这些组件通过总线系统和/或其他形式的连接机构(未示出)互连。

例如，在该电子设备是第一设备或第二设备时，该输入装置1830可以是麦克风或麦克风阵列。在该电子设备是单机设备时，该输入装置1830可以是通信网络连接器，用于从第一设备和第二设备接收所采集的输入信号。

此外，该输入装置1830还可以包括例如键盘、鼠标等等。

该输出装置1840可以向外部输出各种信息，包括确定出的距离信息、方向信息等。该输出装置1840可以包括例如显示器、扬声器、打印机、以及通信网络及其所连接的远程输出设备等等。

当然，为了简化，图18中仅示出了该电子设备1800中与本公开有关的组件中的一些，省略了诸如总线、输入/输出接口等等的组件。除此之外，根据具体应用情况，电子设备1800还可以包括任何其他适当的组件。

示例性计算机程序产品和计算机可读存储介质

除了上述方法和设备以外，本公开的实施例还可以是计算机程序产品，其包括计算机程序指令，所述计算机程序指令在被处理器运行时使得所述处理器执行本说明书上述“示例性方法”部分中描述的根据本公开各种实施例的访问控制方法中的步骤。

所述计算机程序产品可以以一种或多种程序设计语言的任意组合来编写用于执行本公开实施例操作的程序代码，所述程序设计语言包括面向对象的程序设计语言，诸如Java、C++等，还包括常规的过程式程序设计语言，诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。

此外，本公开的实施例还可以是计算机可读存储介质，其上存储有计算机程序指令，所述计算机程序指令在被处理器运行时使得所述处理器执行本说明书上述“示例性方法”部分中描述的根据本公开各种实施例的访问控制方法中的步骤。

所述计算机可读存储介质可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以包括但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

以上结合具体实施例描述了本公开的基本原理，但是，需要指出的是，在本公开中提及的优点、优势、效果等仅是示例而非限制，不能认为这些优点、优势、效果等是本公开的各个实施例必须具备的。另外，上述公开的具体细节仅是为了示例的作用和便于理解的作用，而非限制，上述细节并不限制本公开为必须采用上述具体的细节来实现。

本说明书中各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似的部分相互参见即可。对于系统实施例而言，由于其与方法实施例基本对应，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

本公开中涉及的器件、装置、设备、系统的方框图仅作为例示性的例子并且不意图要求或暗示必须按照方框图示出的方式进行连接、布置、配置。如本领域技术人员将认识到的，可以按任意方式连接、布置、配置这些器件、装置、设备、系统。诸如“包括”、“包含”、“具有”等等的词语是开放性词汇，指“包括但不限于”，且可与其互换使用。这里所使用的词汇“或”和“和”指词汇“和/或”，且可与其互换使用，除非上下文明确指示不是如此。这里所使用的词汇“诸如”指词组“诸如但不限于”，且可与其互换使用。

可能以许多方式来实现本公开的方法和装置。例如，可通过软件、硬件、固件或者软件、硬件、固件的任何组合来实现本公开的方法和装置。用于所述方法的步骤的上述顺序仅是为了进行说明，本公开的方法的步骤不限于以上具体描述的顺序，除非以其它方式特别说明。此外，在一些实施例中，还可将本公开实施为记录在记录介质中的程序，这些程序包括用于实现根据本公开的方法的机器可读指令。因而，本公开还覆盖存储用于执行根据本公开的方法的程序的记录介质。

还需要指出的是，在本公开的装置、设备和方法中，各部件或各步骤是可以分解和/或重新组合的。这些分解和/或重新组合应视为本公开的等效方案。

提供所公开的方面的以上描述以使本领域的任何技术人员能够做出或者使用本公开。对这些方面的各种修改对于本领域技术人员而言是非常显而易见的，并且在此定义的一般原理可以应用于其他方面而不脱离本公开的范围。因此，本公开不意图被限制到在此示出的方面，而是按照与在此公开的原理和新颖的特征一致的最宽范围。

为了例示和描述的目的已经给出了以上描述。此外，此描述不意图将本公开的实施例限制到在此公开的形式。尽管以上已经讨论了多个示例方面和实施例，但是本领域技术人员将认识到其某些变型、修改、改变、添加和子组合。

Claims (10)

1.一种访问控制方法，包括：

通过目标虚拟机生成地址转换请求，所述地址转换请求包括中间物理地址；

通过内存管理单元将所述中间物理地址转换为物理地址；

通过虚拟化管理器确定所述目标虚拟机对所述物理地址的访问权限信息；

响应于所述访问权限信息表征所述目标虚拟机具有对所述物理地址的访问权限，通过所述目标虚拟机将所述物理地址配置于直接存储器访问控制器中。

2.根据权利要求1所述的方法，其中，所述物理地址存在对应的访问白名单，所述访问白名单中包括多个虚拟机标识信息，所述通过虚拟化管理器确定所述目标虚拟机对所述物理地址的访问权限信息，包括；

响应于所述目标虚拟机的标识信息位于所述访问白名单中，通过所述虚拟化管理器确定所述访问权限信息表征所述目标虚拟机具有对所述物理地址的访问权限；或者，

响应于所述目标虚拟机的标识信息不位于所述访问白名单中，通过所述虚拟化管理器确定所述访问权限信息表征所述目标虚拟机不具有对所述物理地址的访问权限。

3.根据权利要求2所述的方法，其中，所述通过内存管理单元将所述中间物理地址转换为物理地址，包括：

响应于已记录地址中不存在所述中间物理地址，通过内存管理单元将所述中间物理地址转换为物理地址；

所述通过虚拟化管理器确定所述目标虚拟机对所述物理地址的访问权限信息之后，所述方法还包括：

响应于所述访问权限信息表征所述目标虚拟机不具有对所述物理地址的访问权限，向所述已记录地址中添加所述中间物理地址。

4.根据权利要求2所述的方法，还包括：

响应于所述目标虚拟机在预设时长内生成大于预设数量的所述地址转换请求，且各所述地址转换请求对应的所述访问权限信息均表征所述目标虚拟机不具有对所述物理地址的访问权限，输出权限确认提示信息；其中，所述权限确认提示信息包括所述目标虚拟机的标识信息和所述物理地址；

响应于针对所述权限确认提示信息的触发操作，向所述访问白名单中添加所述目标虚拟机的标识信息。

5.根据权利要求1所述的方法，其中，所述中间物理地址包括中间物理源地址和中间物理目标地址，所述物理地址包括由所述中间物理源地址转换得到的物理源地址，以及由所述中间物理目标地址转换得到的物理目标地址；

所述响应于所述访问权限信息表征所述目标虚拟机具有对所述物理地址的访问权限，通过所述目标虚拟机将所述物理地址配置于直接存储器访问控制器中，包括：

响应于所述访问权限信息表征所述目标虚拟机同时具有对所述物理地址中的所述物理源地址和所述物理目标地址的访问权限，通过所述目标虚拟机将所述物理地址配置于所述直接存储器访问控制器中。

6.根据权利要求1所述的方法，其中，

所述通过所述虚拟机将所述物理地址配置于直接存储器访问控制器中之前，所述方法还包括：

获取所述目标虚拟机对所述直接存储器访问控制器的占用模式；

获取针对所述直接存储器访问控制器的控制信息；

所述通过所述目标虚拟机将所述物理地址配置于直接存储器访问控制器中，包括：

确定与所述占用模式匹配的配置方式；

通过所述目标虚拟机将所述物理地址和所述控制信息按照所述配置方式配置于所述直接存储器访问控制器中。

7.一种访问控制装置，包括：

生成模块，用于通过目标虚拟机生成地址转换请求，所述地址转换请求包括中间物理地址；

转换模块，用于通过内存管理单元将所述生成模块生成的所述地址转换请求包括的所述中间物理地址转换为物理地址；

确定模块，用于通过虚拟化管理器确定所述目标虚拟机对所述转换模块转换得到的所述物理地址的访问权限信息；

配置模块，用于响应于所述确定模块确定的所述访问权限信息表征所述目标虚拟机具有对所述物理地址的访问权限，通过所述目标虚拟机将所述物理地址配置于直接存储器访问控制器中。

8.根据权利要求7所述的装置，其中，所述物理地址存在对应的访问白名单，所述访问白名单中包括多个虚拟机标识信息，所述确定模块包括；

第一确定子模块，用于响应于所述目标虚拟机的标识信息位于所述访问白名单中，通过所述虚拟化管理器确定所述访问权限信息表征所述目标虚拟机具有对所述物理地址的访问权限；或者，

第二确定子模块，用于响应于所述目标虚拟机的标识信息不位于所述访问白名单中，通过所述虚拟化管理器确定所述访问权限信息表征所述目标虚拟机不具有对所述物理地址的访问权限。

9.一种计算机可读存储介质，所述存储介质存储有计算机程序，所述计算机程序用于执行上述权利要求1-6中任一所述的访问控制方法。

10.一种电子设备，包括：

处理器；

用于存储所述处理器可执行指令的存储器；

所述处理器，用于从所述存储器中读取所述可执行指令，并执行所述指令以实现上述权利要求1-6中任一所述的访问控制方法。

Images