[发明专利]数据隔离方法及装置、电子设备

摘要

一种数据隔离方法，终端设备搭载了虚拟机管理器；运行在第一虚拟机上的用户操作系统，运行在第二虚拟机上的可信执行环境；包括：响应于用户操作系统中的用户应用触发的数据采集指令，调用终端设备搭载的数据采集硬件采集用户数据；数据采集硬件搭载了第一MMU和DMA；用户操作系统维护了与可信执行环境中的安全内存空间对应的句柄；在用户操作系统中查询句柄指向的第一虚拟内存地址，并由第一MMU将第一虚拟内存地址转换为第二虚拟内存地址；虚拟机管理器控制终端设备搭载的第二MMU将第二虚拟内存地址转换为安全内存空间的物理内存地址；DMA基于该物理内存地址将用户数据写入安全内存空间，由可信执行环境中的可信应用对用户数据进行安全处理。

主权项

1.一种数据隔离方法，应用于终端设备；其中，所述终端设备搭载了虚拟机管理器；以及，运行在由所述虚拟机管理器管理的第一虚拟机上的用户操作系统，和运行在由所述虚拟机程序管理的第二虚拟机上的可信执行环境；所述可信执行环境包括用于存储所述终端设备采集到的用户数据的安全内存空间；所述方法包括：响应于所述用户操作系统中的用户应用触发的数据采集指令，调用所述终端设备搭载的数据采集硬件采集用户数据；其中，所述数据采集硬件搭载了第一MMU和DMA；所述用户操作系统维护了与所述安全内存空间对应的句柄；在所述用户操作系统中查询所述句柄指向的第一虚拟内存地址，并由所述第一MMU对所述第一虚拟内存地址进行一级地址映射，将所述第一虚拟内存地址转换为第二虚拟内存地址；将所述第二虚拟内存地址进一步提交至所述虚拟机管理器，由所述虚拟机管理器控制所述终端设备搭载的第二MMU对所述第二虚拟内存地址进行二级地址映射，将所述第二虚拟内存地址转换为所述安全内存空间的物理内存地址；所述DMA基于所述安全内存空间的物理内存地址将所述用户数据写入所述安全内存空间，以由所述可信执行环境中的可信应用对所述用户数据进行安全处理。