[发明专利]处理单元、电子设备以及安全控制方法

说明书

公开了一种处理单元、电子设备、计算机可读存储介质以及安全控制方法，处理单元包括：处理器；存储器，与处理器耦接，适于提供相互隔离的多个安全区，多个安全区包括多个应用安全区，每个应用安全区分别用于运行相应的应用程序，多个安全区还包括如下至少之一：运行时安全区，适于提供可调用程序所需的存储空间；密码安全区，适于提供密码相关程序所需的存储空间，运行时安全区和密码安全区具有对多个应用安全区的读写权限，每个应用安全区不具有对运行时安全区和密码安全区的读写权限。本发明实施例提供的处理单元安全控制方法基于多个应用安全区、以及密码安全区和/或运行时安全区建立可信执行环境，从而能够保护应用程序涉及到的敏感信息。

技术领域

本发明涉及处理器领域，更具体而言，涉及一种处理单元、电子设备、计算机可读存储介质以及安全控制方法。

背景技术

随着智能终端技术的不断发展，各种应用程序(Application，简称为App)为用户带来了便利，随之而来的是用户对这些应用程序的安全性的关注。尤其是在物联网领域、人工智能领域以及其它的一些领域中，对于涉及到一些敏感信息(例如身份信息、财产信息等不希望被他人获取的信息)的应用程序，用户期望这些敏感信息能够得到有效的安全保护。

因此，希望可以基于处理器和存储器等硬件结构中建立可信执行环境(TrustedExecution Environment,TEE)，用于为需要受保护的应用程序提供具有安全保护功能的执行环境。

传统的技术方案主要基于复杂的处理器架构和独立的安全芯片(与处理器芯片分立)建立整个电子设备的TEE，因此在安全芯片与电子设备中其他硬件结构传输信息的过程中，无法保证良好的安全性能，且传输效率较低。

发明内容

有鉴于此，本发明实施例提供一种处理单元、电子设备、计算机可读存储介质以及安全控制方法，以解决以上问题。

为了达到这个目的，第一方面，提供了一种处理单元，包括：处理器，适于运行程序；存储器，与所述处理器耦接，适于提供相互隔离的多个安全区，所述多个安全区包括多个应用安全区，每个所述应用安全区分别被用于运行相应的应用程序，所述多个安全区还包括如下至少之一：运行时安全区，适于提供可调用程序的运行所需的存储空间；密码安全区，适于提供密码相关程序的运行所需的存储空间，其中，所述运行时安全区和所述密码安全区至少具有对所述多个应用安全区的读写权限，每个所述应用安全区不具有对所述运行时安全区和所述密码安全区的读写权限。

在一些实施例中，所述可调用程序是面向不同应用程序的共享程序和/或通用驱动程序。

在一些实施例中，所述处理器包括第一处理器核，适于在所述密码安全区内运行面向密码服务的所述密码相关程序。

在一些实施例中，处理单元还包括密钥管理组件，适于提供所述密码服务以生成加密/解密结果，所述第一处理器核与所述密钥管理组件耦接，并通过在所述密码安全区内运行所述密码相关程序将所述加密/解密结果写入相应的所述应用安全区中。

在一些实施例中，所述处理器还包括第二处理器核，适于在所述多个应用安全区内分别运行相应的应用程序。

在一些实施例中，所述第二处理器核是基于RISC-V指令集架构实现的。

在一些实施例中，处理单元还包括：总线结构，与所述第一处理器核、所述第二处理器核以及所述存储器分别耦接。

在一些实施例中，处理单元还包括：地址寄存器，用于存储每个所述安全区对应的地址信息；以及权限寄存器，用于存储每个所述安全区的权限信息，所述处理器适于根据所述权限信息指示的访问权限控制每个所述安全区的访问操作，所述访问权限至少包括读写权限和执行权限。

在一些实施例中，所述应用安全区的权限信息被配置以不具有对自身之外的所述应用安全区的访问权限。