[发明专利]使用受信执行环境的多个处理器设备的安全执行

权利要求书

1.一种计算机实现的方法，包括：

使得与并行处理单元PPU相关联的安全处理器创建所述PPU的存储器区域，其中第一组实体被阻止写入所述区域并且第二组实体不能写入所述区域之外；以及

使得管理程序将所述PPU提供给受信执行环境内的虚拟机，其中在所述PPU和所述虚拟机之间传输的数据使用所述管理程序不可访问的加密密钥进行加密。

2.如权利要求1所述的计算机实现的方法，其中使得与所述PPU相关联的所述安全处理器创建所述PPU的存储器区域包括以下中的至少一项：

确定所述PPU是空闲的；

使得所述PPU重置；或

向所述PPU的存储器管理单元指示与所述存储器区域相关联的存储器范围。

3.如权利要求1所述的计算机实现的方法，其中所述计算机实现的方法还包括：使得所述安全处理器至少部分地基于私钥生成对所述PPU的状态的证明。

4.如权利要求1所述的计算机实现的方法，其中所述计算机实现的方法还包括：使得所述安全处理器至少部分地基于所述加密密钥生成对所述PPU的状态的证明。

5.如权利要求1所述的计算机实现的方法，其中所述计算机实现的方法还包括：

确定访问所述受信执行环境内的所述PPU的所述虚拟机已经被终止；

使得向所述PPU发送退出安全执行模式的请求；

使得所述PPU重置；以及

使得所述安全处理器删除在所述存储器区域中维护的数据。

6.如权利要求1所述的计算机实现的方法，其中所述PPU是图形处理单元GPU。

7.一种非暂时性计算机可读存储介质，其上存储可执行指令，所述可执行指令由于由计算机系统的一个或更多个处理器执行，使得计算机系统：

向并行处理单元PPU发送进入安全执行模式的请求；

响应于所述请求，使得所述PPU重置并保护存储器的第一部分，使得一旦实体在所述存储器的所述第一部分内执行操作，则阻止所述实体在所述存储器的所述第一部分之外执行操作；

使得管理程序将所述PPU提供给在受信执行环境内执行的虚拟机；

使得所述虚拟机和所述PPU生成用于加密所述虚拟机和所述PPU之间的数据传输的加密密钥；以及

使得所述虚拟机能够使用所述PPU执行应用程序。

8.如权利要求7所述的非暂时性计算机可读存储介质，其中所述指令进一步包括指令，该指令由于由所述一个或更多个处理器执行而使所述计算机系统：

使得所述虚拟机使用所述加密密钥对数据进行加密以生成加密数据；

使得所述虚拟机将所述加密数据写入所述PPU可访问的所述受信执行环境之外的存储器区域；

使得所述PPU获取所述加密数据；以及

至少通过使用所述加密密钥对所述加密数据进行解密，来使得所述PPU将所述数据写入所述存储器的所述第一部分。

9.如权利要求7所述的非暂时性计算机可读存储介质，其中所述指令进一步包括指令，该指令由于由所述一个或更多个处理器执行而使所述计算机系统：

使得所述PPU的安全处理器用所述加密密钥对数据进行加密以生成加密数据；

使得所述安全处理器将所述加密数据写入所述虚拟机可访问的所述受信执行环境之外的存储器区域；以及

使得所述虚拟机至少通过使用所述加密密钥对所述加密数据进行解密来获得所述数据。

10.如权利要求7所述的非暂时性计算机可读存储介质，其中所述指令进一步包括指令，该指令由于由所述一个或更多个处理器执行而使所述计算机系统使得所述虚拟机至少部分地基于由所述PPU生成的证明来认证所述PPU。

11.如权利要求7所述的非暂时性计算机可读存储介质，其中所述应用程序是计算统一设备架构CUDA应用程序。