[发明专利]一种基于访问分区物理隔离的双系统安全智能终端架构

说明书

本发明公开了一种基于访问分区物理隔离的双系统安全智能终端架构，包括通过总线连接的CPU、LDDR、Nor FLASH和NAND FLASH，所述CPU还分别与EEPROM和分区访问控制逻辑连接，所述NAND FLASH包括普通存储分区和安全存储分区，所述普通存储分区包括普通系统软件代码镜像和普通系统存储空间，所述安全存储分区包括安全系统软件代码镜像和安全系统存储空间，所述分区访问控制逻辑分别与普通系统存储空间和安全系统存储空间连接。本发明使得处理敏感文件的智能终端可以安全地利用公共互联网提供的通信便利，可作为涉密通信的安全智能终端使用。

技术领域

本发明涉及信息安全技术领域，具体涉及一种基于访问分区物理隔离的双系统安全智能终端架构。

背景技术

在现有的移动智能终端(主要指智能终端和平板电脑)架构内，敌手利用互联网协议、终端App、USB数据接口、WiFi连接、蓝牙连接、NFC连接中任何一个环节存在的安全漏洞都可能侵入智能终端的软件系统，窃取用户的重要敏感信息。面对移动智能终端的各种未知的网络安全威胁层出不穷、用户信息泄露事件频发的形势，用户使用移动智能终端编辑、存储、阅读敏感文件以及在智能终端之间基于互联网传递交换敏感文件，都存在泄露敏感信息的巨大安全风险。

移动智能终端的应用已越来越普及，直接使用智能终端处理敏感文件的许多安全应用场景应运而生，这就需要设计满足安全需求的新型智能终端架构，既能够在智能终端内为敏感文件的处理与存储提供一个与互联网严格安全隔离、安全完全受控的运行环境，而且也能够随时随地利用移动互联网实现敏感文件的安全传输。

发明内容

针对现有技术中的上述不足，本发明提供的一种基于访问分区物理隔离的双系统安全智能终端架构解决了移动智能终端存在泄露敏感信息的巨大安全风险的问题。

为了达到上述发明目的，本发明采用的技术方案为：一种基于访问分区物理隔离的双系统安全智能终端架构，包括通过总线连接的CPU(中央处理器)、LDDR(低功耗内存)、Nor FLASH(Nor闪存)和NAND FLASH(NAND闪存)，所述CPU还分别与EEPROM和分区访问控制逻辑连接，所述NAND FLASH包括普通存储分区和安全存储分区，所述普通存储分区包括普通系统软件代码镜像和普通系统存储空间，所述安全存储分区包括安全系统软件代码镜像和安全系统存储空间，所述分区访问控制逻辑分别与普通系统存储空间和安全系统存储空间连接，所述普通存储分区安装有普通系统软件，所述安全存储分区安装有安全系统软件。

进一步地：所述普通系统软件代码镜像和安全系统软件代码镜像的开机加载处理流程为：

A1、在CPU上电复位后，直接执行Nor FLASH中的BootLoader程序，完成中断向量表和堆栈指针的设置、硬件初始化、片外LDDR控制寄存器的设置和MMU寄存器设置；

A2、将LDDR整个内存清零；

A3、通过BootLoader程序读取EEPROM保存的镜像加载选择标志，若镜像加载选择标志为0x0F，则将NAND FLASH普通存储分区中保存的普通系统软件代码镜像加载到LDDR中执行，首先出现CE1信号，若镜像加载选择标志为0xF0，则将NAND FLASH安全存储分区中保存的安全系统软件代码镜像加载到LDDR中执行，首先出现CE2信号；

A4、根据首次出现的CE1/CE2信号，分区访问控制逻辑连接实施对CE1/CE2信号的阻断控制，若首次出现的为CE1信号，则放行CE1信号，阻断CE2信号，启动普通系统软件，若首次出现为CE2信号，则放行CE2信号，阻断CE1信号，启动安全系统软件。

进一步地：所述安全系统软件的初始化流程为：

B1、分配一块LDDR动态内存，将安全存储分区文件系统隐藏的安全控制文件加载到该LDDR动态内存暂存备用；