[发明专利]数据隔离方法及装置、电子设备

权利要求书

1.一种数据隔离方法，应用于终端设备；其中，所述终端设备搭载了虚拟机管理器；以及，运行在由所述虚拟机管理器管理的第一虚拟机上的用户操作系统，和运行在由所述虚拟机管理器管理的第二虚拟机上的可信执行环境；所述可信执行环境包括用于存储所述终端设备采集到的用户数据的安全内存空间；所述方法包括：

响应于所述用户操作系统中的用户应用触发的数据采集指令，调用所述终端设备搭载的数据采集硬件采集用户数据；其中，所述数据采集硬件搭载了第一MMU和DMA；所述用户操作系统维护了与所述安全内存空间对应的句柄；

在所述用户操作系统中查询所述句柄指向的第一虚拟内存地址，并由所述第一MMU对所述第一虚拟内存地址进行一级地址映射，将所述第一虚拟内存地址转换为第二虚拟内存地址；

将所述第二虚拟内存地址进一步提交至所述虚拟机管理器，由所述虚拟机管理器控制所述终端设备搭载的第二MMU对所述第二虚拟内存地址进行二级地址映射，将所述第二虚拟内存地址转换为所述安全内存空间的物理内存地址；

所述DMA基于所述安全内存空间的物理内存地址将所述用户数据写入所述安全内存空间，以由所述可信执行环境中的可信应用对所述用户数据进行安全处理。

2.如权利要求1所述的方法，所述方法还包括：

所述第一虚拟机对应的虚拟机进程，获取所述第二虚拟机对应的虚拟机进程，通过共享内存的方式传递的与所述安全内存空间对应的句柄；

在所述用户操作系统中维护所述句柄，并将所述句柄指向为所述用户应用对应的应用进程分配的所述第一虚拟内存地址。

3.如权利要求2所述的方法，所述第一虚拟机对应的虚拟机进程，获取所述第二虚拟机对应的虚拟机进程，通过共享内存的方式传递的与所述安全内存空间对应的句柄，包括：

所述虚拟机管理器为所述第一虚拟机对应的虚拟机进程，和所述第二虚拟机对应的虚拟机进程，创建共享内存；

所述第二虚拟机对应的虚拟进程将与所述安全内存空间对应的句柄写入所述共享内存；以及，所述第一虚拟机对应的虚拟进程从所述共享内存中读取所述句柄。

4.如权利要求1所述的方法，所述将所述第二虚拟内存地址进一步提交至所述虚拟机管理器，包括：

所述DMA基于所述第二虚拟内存地址向所述安全内存空间写入所述用户数据；

响应于所述DMA向所述安全内存空间写入所述用户数据的写入失败事件，将所述第二虚拟内存地址进一步提交至所述虚拟机管理器。

5.如权利要求1所述的方法，所述虚拟机管理器为hypervisor。

6.如权利要求5所述的方法，所述虚拟机管理器为Type1 hyperviso。

7.如权利要求1所述的方法，所述用户数据包括用户面部图像数据；所述安全处理包括针对用户进行人脸识别。

8.如权利要求7所述的方法，所述数据采集硬件包括相机硬件；所述相机硬件包括摄像头模组和与摄像头模组连接的SOC主芯片；SOC主芯片包括图像处理芯片和所述第二MMU；所述图像处理芯片包括所述第一MMU和所述DMA。

9.如权利要求1所述的方法，所述用户数据包括用户指纹数据；所述安全处理包括针对用户进行指纹识别。

10.如权利要求1所述的方法，所述用户数据包括用户语音数据；所述安全处理包括针对用户进行声纹识别。