CN117917660A - 数据处理方法、终端设备及系统 - Google Patents

Abstract

本申请实施例公开了一种数据处理方法、终端设备和系统，该方法应用于部署有可信执行环境TEE和富执行环境REE的终端设备，该REE中运行虚拟机管理器VMM，该方法包括：运行于该TEE的数据采集模块通过该VMM采集第一特征数据，该第一特征数据包括用户的个人信息；运行于该TEE的推理模块将该第一特征数据输入第一风控模型进行推理，输出风险分析的结果。该方法在TEE中进行风险分析，可以保障数据安全性，此外可以充分利用采集的信息，提高了风控分析结果的准确度。

Description

数据处理方法、终端设备及系统

技术领域

本申请涉及通信技术领域，尤其涉及一种数据处理方法、终端设备及系统。

背景技术

随着互联网、智能设备、5G等新科技的发展，越来越多的行业和场景开始数字化运营。这类业务即给普通用户带来生活的便捷、高效，也为黑灰产带来新的获利渠道，从而衍生出一系列新的业务风险类型。

现有的风控方法，风控服务器需要从设备端获取特征数据，并将特征数据发送至风控服务器，通过风控模型进行分析，得到风控结果，进而可以进行风控决策。

由于特征数据包括涉及用户个人数据等敏感信息，受法律法规的限制，终端设备无法获取部分特征数据并发送至风控服务器，风控服务器基于有限的特征数据进行风控分析，使得风控结果的准确度较低。

发明内容

本申请提供的数据处理方法、终端设备和系统，提高了风控分析结果的准确度。

本申请的第一方面提供了一种数据处理方法，应用于终端设备，所述终端设备部署有可信执行环境TEE和富执行环境REE，所述REE中运行虚拟机管理器VMM，所述方法包括：运行于所述TEE的数据采集模块通过所述VMM采集第一特征数据，所述第一特征数据包括用户的个人信息；运行于所述TEE的推理模块将所述第一特征数据输入第一风控模型进行推理，输出风险分析的结果。

本申请提供的数据处理方法，终端设备在TEE中的数据采集模块在本地获取用于风控分析的第一特征数据，并在TEE的推理模块中输入本地的第一风控模型进行推理分析，直接获取风险分析的结果。由于TEE不能直接获取用于分控分析的第一特征数据，因此通过VMM进行数据采集，可以获取数据对应的语义信息，便于直接输入第一风控模型进行推理。由于在TEE中进行风险分析，可以保障数据安全性。此外，由于不需要将信息发送至服务器侧，可以充分利用采集的信息，提高了风控分析结果的准确度。

在第一方面的一种可能的实现方式中，所述TEE和所述REE共享第一内存，所述第一内存用于储存所述第一风控模型对应的第一文件。

本申请提供的数据处理方法，考虑到风控模型对应的模型文件通常较大，通过共享内存的方式读写模型文件，可以减少开销。

在第一方面的一种可能的实现方式中，所述第一内存中存储有所述第一文件的读写状态信息；所述方法还包括：运行于所述TEE的模型管理模块读写所述第一文件，并更新所述文件读写状态信息为第一状态；若运行于所述REE的文件读写模块检测到所述第一状态，则执行读写操作；在所述文件读写模块执行读写操作完成后，更新所述文件读写状态信息为第二状态；若所述模型管理模块检测到所述第二状态，则结束读写操作。

本申请提供的数据处理方法，提供了一种大文件读写的具体实现方法，可以减少终端设备运行开销。

在第一方面的一种可能的实现方式中，所述第一风控模型用于为第一应用程序提供风控分析；或者，所述第一风控模型用于为所述TEE提供风控分析。

本申请提供的数据处理方法，第一风控模型用于为第一应用程序提供风控分析，可以应对应用级风险，通过采集应用相关的数据，为应用程序提供可靠的风险分析；或者，第一风控模型用于为TEE提供风控分析，通过采集运行环境相关的数据，分析运行环境中可能的威胁，提高TEE的安全性。

在第一方面的一种可能的实现方式中，所述方法还包括：所述终端设备的收发模块接收服务器发送的所述第一风控模型。

本申请提供的数据处理方法，终端设备的收发模块接收服务器发送的第一风控模型，在一种可能的实现方式中，服务器周期性发送最新的第一风控模型，收发模块接收并更新第一风控模型。在另一种可能的实现方式中，当服务器更新第一风控模型后，向终端设备发送更新的第一风控模型。

在第一方面的一种可能的实现方式中，所述方法还包括：所述推理模块获取所述第一风控模型推理得到的中间数据；所述终端设备的收发模块向所述服务器发送所述中间数据，所述中间数据用于模型训练；所述收发模块接收服务器发送的第二风控模型，所述第二风控模型根据所述中间数据训练得到；所述模型管理模块根据所述第二风控模型更新所述第一风控模型。

本申请提供的数据处理方法，终端设备还可以获取风控风险的中间数据，并将该中间数据发送给服务器，由于中间数据不直接涉及用户个人数据等敏感信息，可以发送给服务器，服务器基于中间数据对第一风控模型进行模型训练，可以提高模型的性能，进而提升风控分析的准确度。

本申请第二方面提供了一种终端设备，所述终端设备部署有可信执行环境TEE和富执行环境REE，所述REE中运行虚拟机管理器VMM，所述终端设备包括：数据采集模块，运行于所述TEE，用于通过所述VMM采集第一特征数据，所述第一特征数据包括用户的个人信息；推理模块，运行于所述TEE，用于将所述第一特征数据输入第一风控模型进行推理，输出风险分析的结果。

在第二方面的一种可能的实现方式中，所述终端设备包括第一内存，所述TEE和所述REE共享所述第一内存，所述第一内存用于储存所述第一风控模型对应的第一文件。

在第二方面的一种可能的实现方式中，所述第一内存中存储有所述第一文件的读写状态信息；所述终端设备还包括：模型管理模块，运行于所述TEE，用于读写所述第一文件，并更新所述文件读写状态信息为第一状态；文件读写模块，运行于所述REE，用于若检测到所述第一状态，则执行读写操作；所述文件读写模块还用于在执行读写操作完成后，更新所述文件读写状态信息为第二状态；所述模型管理模块还用于，若检测到所述第二状态，则结束读写操作。

在第二方面的一种可能的实现方式中，所述第一风控模型用于为第一应用程序提供风控分析；或者，所述第一风控模型用于为所述TEE提供风控分析。

在第二方面的一种可能的实现方式中，所述收发模块还用于：接收服务器发送的所述第一风控模型。

在第二方面的一种可能的实现方式中，所述推理模块还用于：获取所述第一风控模型推理得到的中间数据；所述终端设备还包括，收发模块，用于向所述服务器发送所述中间数据，所述中间数据用于模型训练；所述收发模块还用于，接收服务器发送的第二风控模型，所述第二风控模型根据所述中间数据训练得到；所述模型管理模块还用于，根据所述第二风控模型更新所述第一风控模型。

本申请第三方面提供了一种终端设备，包括：存储器，所述存储器中存储有计算机可读指令；与所述存储器相连的处理器，所述计算机可读指令被所述处理器执行时，使得所述终端设备实现如上述第一方面以及各种可能的实现方式中任一项所述的方法。

本申请第四方面提供了计算机程序产品，包括计算机可读指令，当所述计算机可读指令在计算机上运行时，使得所述计算机执行如上述第一方面以及各种可能的实现方式中任一项所述的方法。

本申请第五方面提供了一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有指令，当所述指令在计算机上运行时，使得计算机执行如上述第一方面以及各种可能的实现方式中任一项所述的方法。

本申请第六方面提供了一种数据处理系统，包括终端设备和服务器，所述终端设备上述第一方面以及各种可能的实现方式中任一项所述的方法。

本申请第七方面提供了一种芯片，包括处理器。处理器用于读取并执行存储器中存储的计算机程序，以执行上述任一方面任意可能的实现方式中的方法。可选地，该芯片该包括存储器，该存储器与该处理器通过电路或电线与存储器连接。进一步可选地，该芯片还包括通信接口，处理器与该通信接口连接。通信接口用于接收需要处理的数据和/或信息，处理器从该通信接口获取该数据和/或信息，并对该数据和/或信息进行处理，并通过该通信接口输出处理结果。该通信接口可以是输入输出接口。

其中，第二方面、第三方面、第四方面、第五方面、第六方面或第七方面以及其中任一种实现方式所带来的技术效果可参见第一方面中相应实现方式所带来的技术效果，此处不再赘述。

本申请提供的数据处理方法，终端设备基于在TEE中的数据采集模块在本地获取用于风控分析的第一特征数据，并在TEE的推理模块中输入本地的第一风控模型进行推理分析，直接获取风险分析的结果。

由于TEE不能直接获取用于分控分析的第一特征数据，通过VMM进行数据采集，可以获取数据对应的语义信息，便于直接输入第一风控模型进行推理。

由于在TEE中进行风险分析，可以保障数据安全性。

由于不需要将信息发送至服务器侧，可以充分利用采集的信息，提高了风控分析结果的准确度。

附图说明

图1为本申请实施例提供的数据处理方法的一个应用场景架构图；

图2为本申请实施例中终端设备的系统架构图；

图3为本申请实施例中数据处理方法的实施例示意图；

图4为本申请实施例中数据处理方法的交互实施例示意图；

图5为本申请实施例中数据处理方法的另一个实施例示意图；

图6为本申请实施例中终端设备的一个实施例示意图；

图7为本申请实施例中终端设备的另一个实施例示意图。

具体实施方式

本申请提供的数据处理方法，用于风控分析结果的准确度。

下面结合附图，对本申请的实施例进行描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。本领域普通技术人员可知，随着技术的发展和新场景的出现，本申请实施例提供的技术方案对于类似的技术问题，同样适用。

本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的实施例能够以除了在这里图示或描述的内容以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或模块的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或模块，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或模块。在本申请中出现的对步骤进行的命名或者编号，并不意味着必须按照命名或者编号所指示的时间/逻辑先后顺序执行方法流程中的步骤，已经命名或者编号的流程步骤可以根据要实现的技术目的变更执行次序，只要能达到相同或者相类似的技术效果即可。

下面结合附图，对本申请的实施例进行描述。

随着互联网、智能设备、5G等新科技的发展，越来越多的行业和场景开始数字化运营。这类业务既给普通用户带来生活的便捷、高效，也为黑灰产带来新的获利渠道，从而衍生出一系列新的业务风险类型。

业务风控就是对以上不同行业、场景中的业务风险进行管控的产品和解决方案。对于移动终端类设备，需要在设备上收集一些特征数据，用于业务风控的决策。对应到上述业务场景，业务APP会在设备上收集数据，并发送给服务器做决策。

随着国内外法律法规的完善健全和监管越来越严格，数据合规使用已成为风控行业关注的重点。由于法律法规的限制，应用在端侧可获取的信息越来越少，影响风控决策的准确度。如何在满足数据合规的前提下完成端侧设备的信息收集或风险识别，成为业务风控的一个重要环节。

用于随着法律法规的完善和严格，应用在端侧采集的数据越来越受限，特别是涉及用户的个人信息的敏感信息。端侧操作系统需要提供一种完或风险识别的方法，帮助业务完成更准确、更有效的风控识别。

有鉴于此，本申请实施例提供了一种数据处理方法、终端设备和系统，用于在满足数据合规的前提下，成端侧设备的特征数据收集，并进行数据处理获取风险分析结果，帮助业务完成更准确、更有效的风控识别，并提高风控分析的准确度。

下面对本申请实施例中数据处理方法的应用场景架构进行介绍，请参阅图1，为本申请实施例中数据处理方法的应用场景架构图。

包括：终端设备100和服务器200。其中，终端设备可以为各种形式的终端设备。终端可以手机(mobile phone)、平板电脑(pad)、电脑、虚拟现实(virtual reality，VR)终端设备、增强现实(augmented reality，AR)终端设备、工业控制(industrial control)中的终端设备、无人驾驶(self driving)中的终端设备(例如，无人驾驶汽车)、智能电网(smartgrid)中的终端设备(例如机顶盒、智能电视等)、智慧城市(smart city)中的终端设备、智慧家庭(smart home)中的终端设备等等。

服务器具体为风控服务器，用于完成风控模型从云到端的下发。终端设备和服务器之间通信连接。

下面对终端设备的系统架构进一步进行介绍，请参阅图2。

该终端设备100部署有TEE和REE，其中，REE运行有虚拟机监视器(virtualmachine monitor，VMM，或称hypervisor)。

其中，在TEE内部署风控服务，其中，模型管理模块接收来自风控服务器的风控模型，数据采集模块利用hypervisor的能力安全、可靠地采集用于风控分析的特征数据，例如系统运行状态信息等，推理模块根据采集的特征数据输入风控模型进行风险分析，得到识别的风险结果，当对应用程序进行风险分析时可以将风险结果返回给对应的应用程序，此外，还可以对整个TEE运行环境进行风险识别。

参见图3，本申请实施例提出了一种数据处理方法。所述方法可以应用于图1所示的场景中，其中，在图1所示的应用场景中，终端设备相当于图1所示的终端设备，该方法包括步骤S301-S302。

S301、运行于TEE的数据采集模块通过VMM采集第一特征数据。

终端设备进行风控分析的场景有多种：

在一种可能的实现方式中，终端设备进行应用级风控，用户操作应用程序的过程中(例如支付操作，登录操作，注册操作等)，可以面临不同的风险场景。例如：账号注册，用户注册账号往往是业务使用的第一步。常见的风险表现包括通过囤积、购买虚假信息等方式注册批量账号；平台登录：用户通过已注册的账号登录平台享受服务。常见的风险表现包括账号被盗、账号资金被盗用、信息被恶意修改等。此外，不同类型的应用程序可能面临特定的风险，例如：电商类应用程序中的营销类场景：常见活动类型包括领优惠券、商品秒杀、积分兑换等，常见风险表现为通过批量小号、机器脚本等形式批量参与或占用营销资源；金融类应用程序：常见风险表现为欺诈风险的识别，包括消费贷款、企业经营贷款、汽车金融等金融活动。

可以理解的是，对于不同类型的应用程序或者不同风险场景，由用户操作触发，终端设备可以采集不同的第一特征数据，第一特征数据包括以下一种或多种：身份标识(ID)、账户信息、设备信息、位置信息、用户历史行为数据或系统运行状态信息等。本申请实施例中，第一特征数据包括至少部分敏感数据，例如身份验证ID信息等。第一特征数据的具体内容此处不做限定。

在另一种可能的实现方式中，终端设备可以对TEE操作系统进行风控管理，第一特征数据为系统运行状态信息等。由此，TEE运行过程中感知所处运行环境可能遇到的威胁，针对高威胁环境，终端设备可以及时终止服务。

运行于TEE的数据采集模块通过虚拟机监视器(virtual machine monitor，VMM，或称hypervisor)采集数据，通过hypervisor可以获取数据对应的语义信息，即第一特征数据。此外，在一种可能的实现方式中，REE获取第一特征数据，然后转发给TEE。

S302、运行于TEE的推理模块将第一特征数据输入第一风控模型进行推理，输出风险分析的结果。

终端设备存储有第一风控模型对应的模型文件，该第一风控模型可以为终端设备内预置的风控模型，或者为服务器发送至终端设备的风控模型。风控模型可以为现有的任意类型的模型，具体此处不做限定。

由于第一风控模型对应的模型文件通常较大，本申请实施例提供的数据处理方法中，终端设备包括第一共享内存。TEE的模型管理模块和REE的文件读写守护进程的文件读写模块，共同维护该第一共享内存，第一共享内存内记录第一风控模型对应的第一文件的读写状态信息，由此，可以减少读写过程中的切换开销。

具体地：TEE模型管理模块读写所述第一文件，并更新文件读写状态信息为第一状态；REE文件读写模块检测到所述第一状态，执行读写操作；在REE文件读写模块执行读写操作完成后，更新所述文件读写状态信息为第二状态；若TEE模型管理模块检测到第二状态，则结束读写操作。该大文件读写的具体实现方法可以减少终端设备的开销。

TEE将第一特征数据输入第一风控模型，执行推理以获取风控结果。

可选地，终端设备将第一特征数据输入第一风控模型进行处理，还可以获取中间数据；终端设备向所述服务器发送该中间数据，服务器可以基于该中间数据训练风控模型，得到更新的第二风控模型。进一步地，终端设备接收服务器发送的第二风控模型。

为便于理解，下面对终端设备与服务器之间的交互过程进行介绍，具体请参阅图4。

S401、服务器向终端设备发送第一风控模型；

本实施例中，服务器用于完成风控模型从云到端的下发，或称风控服务器，在一些可能的实现方式中，服务器还可基于终端设备可能遇到的威胁进行风控模型训练。可以理解的是服务器端可以向终端设备发送一个或多个风控模型，用于应对不同的风控场景。终端设备收发模块接收该第一风控模型。

在一种可能的实现方式中，服务器可以定时向终端设备发送第一风控模型；在另一种可能的实现方式中，服务器在第一风控模型更新后向终端设备发送最新的第一风控模型。

在一种可能的实现方式中，TEE与服务器的通信协议采用开放信任协议(OpenTrust Protocol，OTrP)协议，模型文件作为TEE风控服务的定制化数据被发送。

在一种可能的实现方式中，模型文件在下发前，服务器需要认证端侧TEE的身份，保证模型文件下发到正确的设备；

在一种可能的实现方式中，服务器向终端设备(本实施例中可称为端侧)，需要对模型文件做加密和签名处理，端侧TEE收到模型文件后，需要做验签和解密处理，保证模型文件在传输过程中的机密性和完整性。

需要说明的是，第一风控模型还可以预置于终端设备中，在这一实现方式中，步骤S401为可选步骤。

S402、运行于TEE的数据采集模块通过VMM采集第一特征数据；

可参考图3对应的实施例中步骤S301，此处不再赘述。

S403、运行于TEE的推理模块将第一特征数据输入第一风控模型进行推理，输出风险分析的结果；

运行于TEE的推理模块将第一特征数据输入第一风控模型，可获取风控模型输出的风控分析的结果。

在一种可能的实现方式中，推理模块还可以获取推理过程中的中间数据，可以理解的是，中间数据不直接呈现用户的个人数据等敏感信息，可以发送至服务器用于模型训练。

终端设备执行推理的过程可参考图3对应的实施例中步骤S302，此处不再赘述。

S404、终端设备向服务器发送中间数据；

终端设备通过收发模块可以将中间数据上报服务器，用于风控模型的训练优化。在一种可能的实现方式中，中间数据为非敏感数据，可以在规避法律法规限制的条件下上报至服务器。

S405、服务器根据中间数据进行模型训练，获取第二风控模型；

服务器可以根据中间数据对第一风控模型进行训练，获取优化后的第二风控模型。

S406、服务器向终端设备发送第二风控模型；

服务器可以定时或者在完成更新后向终端设备发送第二风控模型，终端设备通过收发模块接收第二风控模型，并用于更新第一风控模型，终端设备通过更新的第二风控模型进行数据处理可以进一步提高风控分析结果的准确度。

需要说明的是，步骤S404至步骤S406为可选步骤，可以执行也可以不执行，具体此处不做限定。

下面对终端设备与服务器之间的交互过程进一步进行介绍，具体请参阅图5。

图5中的终端设备相当于图1中的终端设备100，TEE风控服务器相当于于图1中的服务器200，

TEE风控服务器根据可能的威胁场景，在风控服务器完成风控模型的训练，并将风控模型从云下发到端(501)。

终端设备侧：

运行于REE的模型守护进程获取风控模型，可以存储于磁盘(disk)等存储设备，文件读写模块可以对模型文件进行读写操作。

运行于TEE的模型管理服务获取从风控服务器下载模型文件(502)，推理模块获取模型文件对应的第一风控模型(503)，数据采集模块通过hypervisor完成特征数据的采集(504)通过推理模块进行风险识别(505)得到风险识别结果，在TEE内支持AI推理框架，TEE运行时，风控服务采集威胁数据，并进行推理运算，得到风险结果。

TEE可以将风险识别的中间结果上报给风控服务器(506和501)，风控服务器基于中间结果进行模型训练，得到优化的模型，再将优化后的模型更新到TEE。

现有技术中TEE只能获取到REE侧物理内存的数据，无法获取这些数据对应的语义信息。为了解决这个问题，本申请实施例提供的数据处理方法中TEE通过hypervisor来辅助完成数据采集。具体可以基于终端设备是否支持HKIP的场景进行介绍：

1.支持内核完整性保护的场景：内核完整性保护作为一种主动实时的防御技术，可以保护内核运行时的完整性，在运行过程中计算和校验代码段的哈希。TEE可以从hypervisor获取内核完整性保护在保护过程中的计算结果，从而获取到REE内核代码是否被篡改等信息。

2.不支持内核完整性保护的场景：TEE陷入到ATF，由ATF动态启动REE侧的一个hypervisor；为了保证系统认可正常运行，hypervisor需要开启stage-2存储器管理部件(memory management unit，MMU)，并采用1:1映射；这样，就可以在hyperviosr里通过设置内存访问的权限和控制寄存器的读写，获取到系统的信息。

由此，本申请实施例中TEE利用hypervisor的能力安全、可靠地采集系统运行状态信息。

上面介绍了本申请提供的数据处理方法，下面对实现该数据处理方法的终端设备进行介绍，请参阅图6，为本申请实施例中终端设备的一个实施例示意图。

该终端设备600，部署有可信执行环境TEE和富执行环境REE，该REE中运行虚拟机管理器VMM，该终端设备600包括：

数据采集模块601，运行于该TEE，用于通过该VMM采集第一特征数据，该第一特征数据包括用户的个人信息；

推理模块602，运行于该TEE，用于将该第一特征数据输入第一风控模型进行推理，输出风险分析的结果。

在一种可能的实现方式中，该终端设备600包括第一内存，该TEE和该REE共享该第一内存，该第一内存用于储存该第一风控模型对应的第一文件。

在一种可能的实现方式中，该第一内存中存储有该第一文件的读写状态信息；该终端设备600还包括：模型管理模块603，运行于该TEE，用于读写该第一文件，并更新该文件读写状态信息为第一状态；文件读写模块604，运行于该REE，用于若检测到该第一状态，则执行读写操作；该文件读写模块604还用于在执行读写操作完成后，更新该文件读写状态信息为第二状态；该模型管理模块603还用于，若检测到该第二状态，则结束读写操作。

在一种可能的实现方式中，该第一风控模型用于为第一应用程序提供风控分析；或者，该第一风控模型用于为该TEE提供风控分析。

在一种可能的实现方式中，该终端设备还包括，收发模块605，用于该收发模块还用于：接收服务器发送的该第一风控模型。

在一种可能的实现方式中，该推理模块602还用于：获取该第一风控模型推理得到的中间数据；该收发模块还用于，向该服务器发送该中间数据，该中间数据用于模型训练；该收发模块还用于，接收服务器发送的第二风控模型，该第二风控模型根据该中间数据训练得到；该模型管理模块603还用于，根据该第二风控模型更新该第一风控模型。

应理解以上终端设备的各个单元的划分仅仅是一种逻辑功能的划分，实际实现时可以全部或部分集成到一个物理实体上，也可以物理上分开。且这些单元可以全部以软件通过处理元件调用的形式实现；也可以全部以硬件的形式实现；还可以部分单元以软件通过处理元件调用的形式实现，部分单元以硬件的形式实现。例如，以上这些单元可以是被配置成实施以上方法的一个或多个集成电路，例如：一个或多个特定集成电路(applicationspecific integrated circuit，ASIC)，或，一个或多个微处理器(digital signalprocessor，DSP)，或，一个或者多个现场可编程门阵列(field programmable gate array，FPGA)等。再如，当以上某个单元通过处理元件调度程序的形式实现时，该处理元件可以是通用处理器，例如中央处理器(central processing unit，CPU)或其它可以调用程序的处理器。再如，这些单元可以集成在一起，以片上系统(system-on-a-chip，SOC)的形式实现。

请参阅图7，为本申请实施例中终端设备的另一个实施例示意图；

该终端设备700包括TEE 710、REE 720、存储空间730以及处理器740。

TEE 710旨在保证加载到该环境内部的代码和数据的安全性、机密性以及完整性。TEE提供一个隔离的执行环境，提供的安全特征包含：隔离执行、可信应用的完整性、可信数据的机密性、安全存储等。

上述电子设备可以是终端设备，这样TEE可以是终端设备的主处理器上的一个安全区域。例如，可以是TrustZone。

上述电子设备还可以是服务器，例如云计算架构中的服务器，这样，TEE可以是服务器的主处理器上的一个安全区域。

REE 720，旨在提供一种开放的系统运行环境。可以理解为包括电子设备中除上述TEE之外的其他系统运行环境，与TEE是并行的两种系统运行环境。由于REE是一种开放的系统运行环境，因此，REE的安全性能低于TEE的安全性能。但是，由于REE是一种开放的系统运行环境，通常需要运行大量的应用程序，因此REE中配置的计算资源以及存储资源会多于TEE中配置的计算资源以及存储资源。

存储空间730，用于存储数据。例如，TEE中需要使用的数据可以存储在存储空间730中，REE中需要使用的数据也可以存储在存储空间730中。又例如，当REE中运行的程序需要使用TEE中的数据时，TEE也可以将数据存储在存储空间中，这样REE可以直接从存储空间730中读取该数据，此时，存储空间730可以作为TEE和REE的共享存储空间。

处理器740，用于在TEE或REE中执行代码，以实现特定的功能。在一种可能的实现方式中，处理器740可以执行上文风控模型对应的代码，以实现数据处理的功能。在另一种可能的实现方式中，处理单元740还可以对存储空间730进行访问，以将数据处理后的输出数据存储至存储空间730中。

可选地，上述处理器740可以是电子设备中的具有处理功能的处理单元。例如，可以是电子设备中的CPU，还可以是电子设备中的图形处理器(graphics processing unit，GPU)。上述风控模型为神经网络时，上述处理器还可以是神经网络处理器(neural-networkprocessing unit，NPU)。

需要说明的是，在本申请实施例中，上述处理器740在执行风控模型对应的代码的过程中，可以在TEE和REE之间切换，具体的切换流程与传统的TEE和REE之间切换的方式相似。例如，处理器740可以通过执行专用指令来从TEE切换至REE，或者从REE切换至TEE。其中，上文中风控模型的代码中，每段代码对应的执行环境(TEE或者REE)可以是预先配置的。

还需要说明的是，上述TEE和REE可以理解为电子设备中的两类执行环境，本申请实施例对这两类执行环境中的环境数量不做限定，例如，上述TEE实际上可以包括两个独立的可信执行环境，即第一TEE和第二TEE。

另一方面，TEE和REE仅仅为了区别上述两类执行环境的名称，随着技术的发展，TEE和REE还可以替换为具有相同功能的其他名称。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(read-only memory，ROM)、随机存取存储器(random access memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，以上实施例仅用以说明本申请的技术方案，而非对其限制；尽管参照前述实施例对本申请进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本申请各实施例技术方案的范围。

Claims (16)

1.一种数据处理方法，其特征在于，应用于终端设备，所述终端设备部署有可信执行环境TEE和富执行环境REE，所述REE中运行虚拟机管理器VMM，所述方法包括：

运行于所述TEE的数据采集模块通过所述VMM采集第一特征数据，所述第一特征数据包括用户的个人信息；

运行于所述TEE的推理模块将所述第一特征数据输入第一风控模型进行推理，输出风险分析的结果。

2.根据权利要求1所述的方法，其特征在于，所述TEE和所述REE共享第一内存，所述第一内存用于储存所述第一风控模型对应的第一文件。

3.根据权利要求2所述的方法，其特征在于，

所述第一内存中存储有所述第一文件的读写状态信息；

所述方法还包括：

运行于所述TEE的模型管理模块读写所述第一文件，并更新所述文件读写状态信息为第一状态；

若运行于所述REE的文件读写模块检测到所述第一状态，则执行读写操作；

在所述文件读写模块执行读写操作完成后，更新所述文件读写状态信息为第二状态；

若所述模型管理模块检测到所述第二状态，则结束读写操作。

4.根据权利要求1至3中任一项所述的方法，其特征在于，

所述第一风控模型用于为第一应用程序提供风控分析；或者，

所述第一风控模型用于为所述TEE提供风控分析。

5.根据权利要求1至4中任一项所述的方法，其特征在于，所述方法还包括：

所述终端设备的收发模块接收服务器发送的所述第一风控模型。

6.根据权利要求5所述的方法，其特征在于，所述方法还包括：

所述推理模块获取所述第一风控模型推理得到的中间数据；

所述终端设备的收发模块向所述服务器发送所述中间数据，所述中间数据用于模型训练；

所述收发模块接收服务器发送的第二风控模型，所述第二风控模型根据所述中间数据训练得到；

所述模型管理模块根据所述第二风控模型更新所述第一风控模型。

7.一种终端设备，所述终端设备部署有可信执行环境TEE和富执行环境REE，所述REE中运行虚拟机管理器VMM，所述终端设备包括：

数据采集模块，运行于所述TEE，用于通过所述VMM采集第一特征数据，所述第一特征数据包括用户的个人信息；

推理模块，运行于所述TEE，用于将所述第一特征数据输入第一风控模型进行推理，输出风险分析的结果。

8.根据权利要求7所述的终端设备，其特征在于，所述终端设备包括第一内存，所述TEE和所述REE共享所述第一内存，所述第一内存用于储存所述第一风控模型对应的第一文件。

9.根据权利要求8所述的终端设备，其特征在于，所述第一内存中存储有所述第一文件的读写状态信息；

所述终端设备还包括：

模型管理模块，运行于所述TEE，用于读写所述第一文件，并更新所述文件读写状态信息为第一状态；

文件读写模块，运行于所述REE，用于若检测到所述第一状态，则执行读写操作；

所述文件读写模块还用于在执行读写操作完成后，更新所述文件读写状态信息为第二状态；

所述模型管理模块还用于，若检测到所述第二状态，则结束读写操作。

10.根据权利要求7至9中任一项所述的终端设备，其特征在于，

所述第一风控模型用于为第一应用程序提供风控分析；或者，

所述第一风控模型用于为所述TEE提供风控分析。

11.根据权利要求7至10中任一项所述的终端设备，其特征在于，所述收发模块还用于：

接收服务器发送的所述第一风控模型。

12.根据权利要求11所述的终端设备，其特征在于，所述推理模块还用于：

获取所述第一风控模型推理得到的中间数据；

所述终端设备还包括，收发模块，用于向所述服务器发送所述中间数据，所述中间数据用于模型训练；

所述收发模块还用于，接收服务器发送的第二风控模型，所述第二风控模型根据所述中间数据训练得到；

所述模型管理模块还用于，根据所述第二风控模型更新所述第一风控模型。

13.一种终端设备，其特征在于，包括：

存储器，用于存储可执行指令；

处理器，用于调用并运行所述存储器中的所述可执行指令，以执行如权利要求1至6中任一项所述的方法。

14.一种计算机程序产品，其特征在于，包括计算机可读指令，当所述计算机可读指令在计算机上运行时，使得所述计算机执行如权利要求1至6中任一项所述的方法。

15.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有指令，当所述指令在计算机上运行时，使得所述计算机执行如权利要求1至6中任一项所述的方法。

16.一种数据处理系统，包括终端设备和服务器，所述终端设备用于执行如权利要求1至6中任一项所述的方法。