基于虛擬化的塊內(nèi)工作負(fù)荷隔離的制作方法
【專利摘要】本公開(kāi)一般地提供用于基于虛擬化的塊內(nèi)工作負(fù)荷隔離的系統(tǒng)、設(shè)備、方法和計(jì)算機(jī)可讀介質(zhì)。該系統(tǒng)可包括創(chuàng)建安全虛擬化環(huán)境或沙箱的虛擬機(jī)管理器（VMM）模塊。該系統(tǒng)還可包括將數(shù)據(jù)加載到沙箱的第一區(qū)域中并且基于數(shù)據(jù)生成工作負(fù)荷包的處理器塊。工作負(fù)荷包被存儲(chǔ)在沙箱的第二區(qū)域中。該系統(tǒng)可進(jìn)一步包括從工作負(fù)荷包取回并執(zhí)行指令的操作塊。
【專利說(shuō)明】
基于虛擬化的塊內(nèi)工作負(fù)荷隔離
技術(shù)領(lǐng)域
[0001]本公開(kāi)涉及塊內(nèi)工作負(fù)荷隔離，例如在片上系統(tǒng)(SoC)的組件塊上，并且更具體地涉及采用安全性引擎或虛擬機(jī)管理器(VMM)的塊內(nèi)工作負(fù)荷隔離。
【背景技術(shù)】
[0002]諸如例如片上系統(tǒng)(SoC)或其它類型的平臺(tái)之類的計(jì)算系統(tǒng)典型地具有一個(gè)或多個(gè)處理器或核以及其它操作塊或組件，其它操作塊或組件可包括設(shè)備控制器、圖形處理器、音頻處理器、通信模塊等。這些操作塊往往能夠以與處理器可執(zhí)行多個(gè)線程的方式類似的方式執(zhí)行多個(gè)工作負(fù)荷。在這種情況下可以出現(xiàn)安全性問(wèn)題。在操作塊上執(zhí)行的不受信工作負(fù)荷可以無(wú)意或惡意地干擾在相同操作塊上的另一個(gè)工作負(fù)荷的執(zhí)行(即塊內(nèi)干擾)。例如，在媒體引擎(圖形、成像、視頻等)上執(zhí)行的不同工作負(fù)荷可能潛在地彼此干擾(無(wú)論惡意還是無(wú)意)，從而破壞工作負(fù)荷的正常流或期望的操作。
[0003]雖然訪問(wèn)控制機(jī)制對(duì)于塊間事務(wù)和/或塊到存儲(chǔ)器事務(wù)可能是可用的，但是這些技術(shù)沒(méi)有解決塊內(nèi)干擾的問(wèn)題，隨著工業(yè)進(jìn)一步朝著異構(gòu)計(jì)算和并行工作負(fù)荷執(zhí)行前進(jìn)，塊內(nèi)干擾的問(wèn)題正變得越來(lái)越重要。
【附圖說(shuō)明】
[0004]隨著下面的【具體實(shí)施方式】的繼續(xù)進(jìn)行，并且在參考附圖時(shí)，要求保護(hù)的主題的實(shí)施例的特征和優(yōu)點(diǎn)將變得顯而易見(jiàn)，其中相同的附圖標(biāo)記描繪相同的部件，并且在附圖中:
圖1圖示與本公開(kāi)一致的一個(gè)示例性實(shí)施例的頂層系統(tǒng)圖；
圖2圖示與本公開(kāi)一致的一個(gè)示例性實(shí)施例的框圖；
圖3圖示與本公開(kāi)一致的一個(gè)示例性實(shí)施例的操作的流程圖；
圖4圖示與本公開(kāi)一致的另一個(gè)示例性實(shí)施例的框圖；
圖5圖示與本公開(kāi)一致的另一個(gè)示例性實(shí)施例的操作的流程圖；以及圖6圖示與本公開(kāi)一致的另一個(gè)示例性實(shí)施例的平臺(tái)的系統(tǒng)圖。
[0005]雖然下面的【具體實(shí)施方式】將繼續(xù)進(jìn)行，同時(shí)對(duì)說(shuō)明性的實(shí)施例進(jìn)行參考，但是許多替代方案、修改及其變型將對(duì)本領(lǐng)域技術(shù)人員顯而易見(jiàn)。
【具體實(shí)施方式】
[0006]通常，本公開(kāi)提供用于基于虛擬化的塊內(nèi)工作負(fù)荷隔離的系統(tǒng)、設(shè)備、方法和計(jì)算機(jī)可讀介質(zhì)。例如片上系統(tǒng)(SoC)的系統(tǒng)可包括處理塊(核或CPU)、存儲(chǔ)器和一個(gè)或多個(gè)其它操作塊或組件，諸如例如設(shè)備控制器、圖形處理器(GPU)、音頻處理器、成像設(shè)備、通信模塊等。每個(gè)操作塊可被配置成執(zhí)行多個(gè)工作負(fù)荷。工作負(fù)荷可由CPU生成，并且作為工作負(fù)荷包被提交給操作塊以用于執(zhí)行。工作負(fù)荷可被生成并且安全地存儲(chǔ)在存儲(chǔ)器中(例如使用基于虛擬化和頁(yè)表的訪問(wèn))，以包含沙箱中的工作負(fù)荷。虛擬機(jī)管理器(VMM)或其它類型的安全性引擎可被配置成允許操作塊在特定上下文中執(zhí)行來(lái)自沙箱的工作負(fù)荷，使得在包括其它沙箱中的其它工作負(fù)荷的該操作塊上執(zhí)行的任何其它代碼可以不訪問(wèn)該沙箱。因此虛擬化可用于在操作塊內(nèi)提供工作負(fù)荷隔離，包括與工作負(fù)荷相關(guān)聯(lián)的代碼、數(shù)據(jù)(存儲(chǔ)器或寄存器內(nèi)容)和狀態(tài)信息的隔離，如以下將更詳細(xì)地描述的。基于工作負(fù)荷執(zhí)行，VMM還可被配置成允許操作塊將結(jié)果安全地寫(xiě)回沙箱中。
[0007]圖1圖示與本公開(kāi)一致的一個(gè)示例性實(shí)施例的頂層系統(tǒng)圖100。系統(tǒng)102被示為包括許多塊或組件，包括處理器104、存儲(chǔ)器106、VMM 108和被配置用于工作負(fù)荷隔離的一個(gè)或多個(gè)操作塊110-1，...110-n，該系統(tǒng)102可能是固定或移動(dòng)的片上系統(tǒng)(SoC)或者其它類型的計(jì)算或通信平臺(tái)。
[0008]在一些實(shí)施例中，例如互聯(lián)網(wǎng)服務(wù)供應(yīng)商的第三方實(shí)體(未示出)可將請(qǐng)求發(fā)送給系統(tǒng)102。為了滿足這些請(qǐng)求，處理器104可生成并提交工作負(fù)荷給操作塊110之一，用于與其它工作負(fù)荷一起執(zhí)行。執(zhí)行的結(jié)果可被返回給第三方實(shí)體，并且處理器102可證明由于系統(tǒng)的工作負(fù)荷隔離能力的結(jié)果的安全性或完整性，如以下將更詳細(xì)地描述的。
[0009]圖2圖示與本公開(kāi)一致的一個(gè)示例性實(shí)施例的框圖200。處理器104可被配置成執(zhí)行一個(gè)或多個(gè)進(jìn)程(或線程)，例如進(jìn)程A 202、進(jìn)程B 204和進(jìn)程C 206。這些進(jìn)程可包括操作系統(tǒng)(OS)、應(yīng)用程序或任何其它系統(tǒng)或用戶軟件組件。這些進(jìn)程202、204、206中的一個(gè)或多個(gè)可與做出進(jìn)程的請(qǐng)求的外部或第三方實(shí)體(例如互聯(lián)網(wǎng)服務(wù)供應(yīng)商)通信。最終可以生成的工作負(fù)荷的形式將這些請(qǐng)求分派任務(wù)給操作塊110中的一個(gè)或多個(gè)，如以下描述的。
[0010]操作塊110被示為包括可能是處理器或電路的塊引擎214，處理器或電路被配置成執(zhí)行一個(gè)或多個(gè)工作負(fù)荷，例如工作負(fù)荷A 216、工作負(fù)荷B218和工作負(fù)荷C220。工作負(fù)荷可與進(jìn)程相關(guān)聯(lián)(例如由進(jìn)程生成或代表進(jìn)程)。例如，工作負(fù)荷A 216可與進(jìn)程A 202相關(guān)聯(lián)，等等，雖然這無(wú)須是這種情況。工作負(fù)荷可被彼此分離(例如通過(guò)虛擬化硬件支持或其它合適的機(jī)制)，以提供安全性并且防止在給定的操作塊上的工作負(fù)荷之間的無(wú)意或惡意干擾。
[0011]CPU虛擬化208由VMM 208生成，作為處理器104、進(jìn)程202、204、206、存儲(chǔ)器106和操作塊110之間的接口。頁(yè)表可用作該虛擬化的部分，以在物理和虛擬地址之間變換并維持對(duì)與沙箱相關(guān)聯(lián)的存儲(chǔ)器106的受保護(hù)區(qū)域或頁(yè)210的訪問(wèn)控制(例如讀取/寫(xiě)入/執(zhí)行)。類似地，基于頁(yè)表和訪問(wèn)控制，設(shè)備虛擬化212由VMM 208生成，作為操作塊110與處理器104和存儲(chǔ)器106之間的接口。
[0012]VMM被配置成提供虛擬化環(huán)境，虛擬化環(huán)境充當(dāng)用于工作負(fù)荷的安全容器或沙箱。沙箱受到保護(hù)以免于托管它的進(jìn)程，并且受到保護(hù)以免于處理器104上的OS和其它進(jìn)程，使得平臺(tái)上的惡意軟件不可以干擾工作負(fù)荷的生成。沙盤(pán)還受到保護(hù)以免于在操作塊上執(zhí)行的其它工作負(fù)荷和軟件組件。在一些實(shí)施例中，對(duì)于包含工作負(fù)荷包的沙箱的區(qū)域，VMM可將訪問(wèn)控制設(shè)置成對(duì)于除了沙箱內(nèi)的代碼以外的所有實(shí)體不可執(zhí)行。沙箱從而在操作塊內(nèi)提供工作負(fù)荷隔離，包括與工作負(fù)荷相關(guān)聯(lián)的代碼、數(shù)據(jù)(存儲(chǔ)器或寄存器內(nèi)容)和狀態(tài)信息的隔離。
[0013]在一些實(shí)施例中，操作塊可包括被配置成監(jiān)視工作負(fù)荷的上下文并實(shí)施訪問(wèn)控制策略(例如讀取/寫(xiě)入/執(zhí)行許可)的存儲(chǔ)器訪問(wèn)控制器。
[0014]圖3圖示與本公開(kāi)一致的一個(gè)示例性實(shí)施例的操作300的流程圖。更詳細(xì)地示出在圖的左側(cè)上的處理器104的操作以及在圖的右側(cè)上的塊110的操作之間的交互。在操作302處，處理器例如從第三方或其它實(shí)體接收請(qǐng)求。請(qǐng)求可包括以任何合適格式的代碼和/或數(shù)據(jù)。在操作304處，處理器使用VMM 108或任何其它類型的安全性引擎創(chuàng)建安全虛擬化環(huán)境(例如沙箱)。在操作306處，處理器將代碼/數(shù)據(jù)加載到沙箱的區(qū)域(或頁(yè))中，并且在操作308處例如使用加密技術(shù)或任何其它合適的驗(yàn)證機(jī)制認(rèn)證它。在操作310處，基于提供的代碼/數(shù)據(jù)或基于從另一個(gè)源獲得的或本地創(chuàng)建的附加信息，處理器生成工作負(fù)荷包。工作負(fù)荷包也被存儲(chǔ)在沙箱中，例如在可能或可能不在任何程度上與第一區(qū)域重疊的第二區(qū)域中?？赏ㄟ^(guò)任何合適類型的變換、轉(zhuǎn)換、拆包和/或解密過(guò)程從提供的代碼/數(shù)據(jù)中生成工作負(fù)荷包。生成的工作負(fù)荷包可包括適合于由操作塊的引擎執(zhí)行的指令。
[0015]在操作312處，處理器請(qǐng)求VMM建立包括頁(yè)表的設(shè)備虛擬化，操作塊可通過(guò)設(shè)備虛擬化訪問(wèn)工作負(fù)荷包。在操作314處，工作負(fù)荷包被提交給操作塊。
[0016]在操作320處，操作塊將塊引擎設(shè)置成安全或受保護(hù)模式，該模式可能是由VMM維護(hù)的塊引擎或狀態(tài)標(biāo)識(shí)符的硬件模式。在該安全模式中，引擎可僅僅從由VMM指定的沙箱取回并執(zhí)行指令。在操作322和324處，操作塊通過(guò)從沙箱取回指令(和數(shù)據(jù))而收集并執(zhí)行工作負(fù)荷包。在操作326處，執(zhí)行的結(jié)果可被回寫(xiě)給沙箱的第三區(qū)域，第三區(qū)域可能或可能不在任何程度上與其它區(qū)域重疊。在操作316處，處理器收集這些結(jié)果，并可將它們返回到第三方請(qǐng)求實(shí)體。處理器還可基于工作負(fù)荷隔離證明結(jié)果的安全性或完整性。
[0017]在一些實(shí)施例中，工作負(fù)荷包可由嵌入式安全性引擎生成，該引擎諸如例如融合安全性引擎(CSE)或融合安全性可管理性引擎(CSME)t3CSE可被配置成產(chǎn)生進(jìn)程以響應(yīng)于應(yīng)用程序請(qǐng)求創(chuàng)建工作負(fù)荷包。從其它CPU軟件、進(jìn)程和應(yīng)用程序隔離CSE產(chǎn)生的進(jìn)程以提供保護(hù)以免于干擾或攻擊。
[0018]在一些實(shí)施例中，CSE可被配置成將代碼/數(shù)據(jù)加密為二進(jìn)制大對(duì)象(BLOB)，并使用VMM加密地將它綁定到操作塊。只有授權(quán)的操作塊可被配置成解密代碼/數(shù)據(jù)，以獲得工作負(fù)荷包。VMM可識(shí)別授權(quán)的操作塊，并提供解密所需的憑據(jù)。該實(shí)施例可能對(duì)于不執(zhí)行代碼和/或可不與處理器共享地址空間的諸如例如顯示元件的相對(duì)“啞的(dumb) ”設(shè)備特別有用。
[0019]圖4圖示與本公開(kāi)一致的另一個(gè)示例性實(shí)施例的框圖400。示出簡(jiǎn)化的示例，簡(jiǎn)化的示例僅包括兩個(gè)操作塊:圖形處理單元(GPU) 110-1和顯示引擎110-2。在GPU 110_1通常被配置成生成顯示表面(例如待顯示的位圖)，而顯示引擎110-2通常被配置成向顯示元件提供驅(qū)動(dòng)信號(hào)以使得顯示表面被顯示。
[0020]在本示例中，第三方402可將請(qǐng)求提交給系統(tǒng)，以顯示某種類型的圖像。請(qǐng)求可以任何提取級(jí)別(例如范圍從通常的描述下到單獨(dú)的像素)指定圖像，并且可包括可用于生成圖像的數(shù)據(jù)、代碼、偽代碼和/或算法。在處理器104上的進(jìn)程404可接收該代碼/數(shù)據(jù)并將它加載到基于虛擬化和頁(yè)表的容器或沙箱中，其中它將受到保護(hù)以免于包括OS的其它進(jìn)程202、204、206。進(jìn)程404可被配置成驗(yàn)證代碼/數(shù)據(jù)的真實(shí)性，并使用它來(lái)為GPU 110-1生成工作負(fù)荷包。工作負(fù)荷包可包括GHJ不可理解的機(jī)器代碼。用于保持生成的工作負(fù)荷包的沙箱的存儲(chǔ)器區(qū)域(頁(yè))的訪問(wèn)控制例如可由VMM 108設(shè)置成不可執(zhí)行的狀態(tài)，以防止由任何其它未授權(quán)的進(jìn)程或處理塊的意外的執(zhí)行。
[0021]可進(jìn)一步請(qǐng)求VMM 108，以允許GPU例如通過(guò)塊引擎214從沙箱中的工作負(fù)荷包取回并執(zhí)行指令。這些指令的執(zhí)行為顯示生成工作負(fù)荷406形成基礎(chǔ)，顯示生成工作負(fù)荷406可被配置成生成對(duì)應(yīng)于來(lái)自第三方402的請(qǐng)求的顯示表面。
[0022]生成的顯示表面可被存儲(chǔ)在專用于工作負(fù)荷結(jié)果的沙箱的區(qū)域中。VMM可被配置成允許顯示引擎110-2訪問(wèn)沙箱的該結(jié)果區(qū)域。然而，在一些實(shí)施例中，可將結(jié)果從GPU110-1直接發(fā)送到顯示引擎110-2，在這種情況下可加密結(jié)果并且可通過(guò)VMM以安全方式將密鑰(用于解密)提供給顯示引擎。
[0023]VMM 108還可被配置成在用于來(lái)自多個(gè)沙箱的顯示資源的請(qǐng)求之間仲裁，每個(gè)沙箱執(zhí)行顯示生成工作負(fù)荷。例如，如果對(duì)于Z次序優(yōu)先級(jí)(來(lái)自一個(gè)沙箱的圖像平面或表面重疊來(lái)自另一個(gè)沙箱的圖像平面)存在多個(gè)請(qǐng)求，VMM可決定優(yōu)先級(jí)并確定顯示圖像的哪些部分。VMM可以向代表多個(gè)沙箱的顯示表面提供顯示引擎110-2所需的加密資源。顯示引擎可被配置成跟蹤哪些表面屬于哪些沙箱，并且保護(hù)工作負(fù)荷請(qǐng)求免于任何沙箱讀取不屬于它的表面。類似地，顯示引擎110-2可被配置成實(shí)施如由沙箱的工作負(fù)荷請(qǐng)求的Z次序。顯示引擎還可被配置成生成顯示表面的配置的快照并將其發(fā)送給沙箱作為表面的可見(jiàn)性的證明。每當(dāng)顯示表面的配置不符合由沙箱請(qǐng)求的配置時(shí)，顯示引擎可進(jìn)一步通知沙箱。
[0024]圖5圖示與本公開(kāi)一致的另一個(gè)示例性實(shí)施例的操作500的流程圖。該操作提供用于基于虛擬化的塊內(nèi)工作負(fù)荷隔離的方法。在操作510處，創(chuàng)建安全虛擬化環(huán)境(沙箱)ο沙箱與系統(tǒng)的處理器塊相關(guān)聯(lián)，并且由虛擬機(jī)管理器(VMM)管理。在操作520處，將數(shù)據(jù)加載到沙箱中。數(shù)據(jù)加載可由處理器塊執(zhí)行。在操作530處，認(rèn)證數(shù)據(jù)。在操作540處，基于數(shù)據(jù)生成工作負(fù)荷包。與工作負(fù)荷相關(guān)聯(lián)的工作負(fù)荷包被存儲(chǔ)在沙箱中的存儲(chǔ)器的非可執(zhí)行區(qū)域中。在操作550處，將工作負(fù)荷包從沙箱提交給系統(tǒng)的操作塊以用于執(zhí)行。
[0025]圖6圖示與本公開(kāi)一致的一個(gè)示例性實(shí)施例的系統(tǒng)圖600。系統(tǒng)600可能是移動(dòng)平臺(tái)610或計(jì)算設(shè)備，諸如例如智能手機(jī)、智能平板、個(gè)人數(shù)字助理(PDA)、移動(dòng)互聯(lián)網(wǎng)設(shè)備(MID)、可轉(zhuǎn)換平板、筆記本或膝上型電腦、臺(tái)式電腦、服務(wù)器、智能電視或不論是固定還是移動(dòng)的任何其它設(shè)備。經(jīng)由顯示元件670，諸如例如觸摸屏、液晶顯示器(LCD)或任何其它合適的顯示器類型，該設(shè)備通常可向用戶呈現(xiàn)各種界面。
[0026]系統(tǒng)600被示為包括處理器104。在一些實(shí)施例中，處理器104可被實(shí)現(xiàn)為任何數(shù)量的處理器核。處理器(或處理器核)可能是任何類型的處理器，諸如例如微處理器、嵌入式處理器、數(shù)字信號(hào)處理器(DSP)、網(wǎng)絡(luò)處理器、現(xiàn)場(chǎng)可編程門(mén)陣列或被配置成執(zhí)行代碼的其它設(shè)備。處理器104可能是單線程核或多線程核，在多線程核中它可包括每個(gè)核一個(gè)以上的硬件線程上下文(或“邏輯處理器”)。系統(tǒng)600還被示為包括耦合到處理器104的存儲(chǔ)器106。存儲(chǔ)器106可能是對(duì)本領(lǐng)域技術(shù)人員已知或可以其它方式獲得的任何的各種各樣的存儲(chǔ)器(包括存儲(chǔ)器分層結(jié)構(gòu)的各種層和/或存儲(chǔ)器高速緩存)。系統(tǒng)600還被示為包括VMM模塊108或其它合適的安全性引擎，如先前所述。
[0027]系統(tǒng)600還被示為包括任何數(shù)量的操作塊110，操作塊110可包括輸入/輸出(1)系統(tǒng)或控制器650，輸入/輸出(1)系統(tǒng)或控制器650可被配置成使能或管理在處理器104和系統(tǒng)600的其它元件或系統(tǒng)600外部的其它元件(未示出)之間的數(shù)據(jù)通信。操作塊110還可包括無(wú)線通信接口 620，無(wú)線通信接口 620被配置成使能系統(tǒng)600和任何外部實(shí)體之間的無(wú)線通信(例如通過(guò)無(wú)線通信收發(fā)器660)。無(wú)線通信可符合或以其它方式與任何現(xiàn)有的或尚未開(kāi)發(fā)的通信標(biāo)準(zhǔn)兼容，該通信標(biāo)準(zhǔn)包括移動(dòng)電話通信標(biāo)準(zhǔn)。操作塊110還可包括圖形處理器(或GPU)630和被配置成驅(qū)動(dòng)顯示元件670的顯示引擎640。操作塊110可被配置成如本文所述地采用VMM模塊108的安全性能力提供塊內(nèi)工作負(fù)荷隔離。
[0028]將理解的是:在一些實(shí)施例中，可在片上系統(tǒng)(SoC)架構(gòu)中組合系統(tǒng)600的各種組件。在一些實(shí)施例中，組件可能是硬件組件、固件組件、軟件組件或者硬件、固件或軟件的任何合適的組合。
[0029]可在包括一個(gè)或多個(gè)存儲(chǔ)介質(zhì)的系統(tǒng)中實(shí)現(xiàn)本文所述的方法的實(shí)施例，一個(gè)或多個(gè)存儲(chǔ)介質(zhì)具有單獨(dú)地或組合地在其上存儲(chǔ)的指令，該指令在由一個(gè)或多個(gè)處理器執(zhí)行時(shí)執(zhí)行方法。這里，處理器例如可包括系統(tǒng)CPU(例如核處理器)和/或可編程電路。從而，其意圖是:根據(jù)本文所述的方法的操作可以跨越多個(gè)物理設(shè)備(諸如在幾個(gè)不同物理位置處的處理結(jié)構(gòu))而分布。此外，其意圖是:可單獨(dú)地或在子組合中執(zhí)行方法操作，如將由本領(lǐng)域技術(shù)人員所理解。從而，不需要執(zhí)行流程圖中每一個(gè)的所有操作，并且本公開(kāi)明確的意圖是:使能將由本領(lǐng)域普通技術(shù)人員理解的這樣的操作的所有子組合。
[0030]存儲(chǔ)介質(zhì)可包括任何類型的有形介質(zhì)，例如任何類型的盤(pán)，包括軟盤(pán)、光盤(pán)、致密盤(pán)只讀存儲(chǔ)器(CD-ROM)、可重寫(xiě)致密盤(pán)(CD-RW)、數(shù)字多功能盤(pán)(DVD)和磁光盤(pán)，半導(dǎo)體器件，諸如只讀存儲(chǔ)器(R0M)、諸如動(dòng)態(tài)和靜態(tài)RAM之類的隨機(jī)存取存儲(chǔ)器(RAM)、可擦除可編程只讀存儲(chǔ)器(EPROM)、電可擦除可編程只讀存儲(chǔ)器(EEPR0M)、快閃存儲(chǔ)器、磁或光卡，或者適合于存儲(chǔ)電子指令的任何類型的介質(zhì)。
[0031]如在本文的任何實(shí)施例中使用的“電路”例如可單獨(dú)地或任意組合地包括硬連線電路、可編程電路、狀態(tài)機(jī)電路和/或存儲(chǔ)由可編程電路執(zhí)行的指令的固件。app可被體現(xiàn)為可在諸如主機(jī)處理器或其它可編程電路之類的可編程電路上執(zhí)行的代碼或指令。如在本文中任何實(shí)施例中使用的模塊可被體現(xiàn)為電路。該電路可被體現(xiàn)為集成電路，諸如集成電路芯片。
[0032]從而，本公開(kāi)提供用于基于虛擬化的塊內(nèi)工作負(fù)荷隔離的系統(tǒng)、設(shè)備、方法以及計(jì)算機(jī)可讀介質(zhì)。下面的示例涉及進(jìn)一步的實(shí)施例。
[0033]根據(jù)示例I，提供有一種用于塊內(nèi)工作負(fù)荷隔離的系統(tǒng)。該系統(tǒng)可包括創(chuàng)建安全虛擬化環(huán)境(沙箱)的虛擬機(jī)管理器(VMM)模塊。該示例的系統(tǒng)還可包括將數(shù)據(jù)加載到沙箱的第一區(qū)域中的處理器塊。該示例的處理器塊可被進(jìn)一步配置成生成與工作負(fù)荷相關(guān)聯(lián)的工作負(fù)荷包，該工作負(fù)荷包基于該數(shù)據(jù)并存儲(chǔ)在沙箱的第二區(qū)域中。該示例的系統(tǒng)可進(jìn)一步包括從工作負(fù)荷包取回并執(zhí)行指令的操作塊。
[0034]示例2可包括前述示例的元件，并且VMM將進(jìn)一步設(shè)置沙箱的第二區(qū)域的訪問(wèn)控制，以提供與工作負(fù)荷相關(guān)聯(lián)的代碼、數(shù)據(jù)和狀態(tài)信息的塊內(nèi)隔離。
[0035]示例3可包括前述示例的元件，并且VMM將進(jìn)一步將沙箱的第二區(qū)域的訪問(wèn)控制設(shè)置成非可執(zhí)行模式。
[0036]示例4可包括前述示例的元件，并且在工作負(fù)荷包的選擇的執(zhí)行時(shí)段期間，VMM將進(jìn)一步將沙箱的第二區(qū)域的訪問(wèn)控制設(shè)置成針對(duì)操作塊的可執(zhí)行模式。
[0037]示例5可包括前述示例的元件，并且操作塊將進(jìn)一步向沙箱的第三區(qū)域?qū)懭虢Y(jié)果，該結(jié)果基于工作負(fù)荷包的執(zhí)行。
[0038]示例6可包括前述示例的元件，并且處理器塊將進(jìn)一步加密地認(rèn)證數(shù)據(jù)。
[0039]示例7可包括前述示例的元件，并且VMM將進(jìn)一步提供與沙箱相關(guān)聯(lián)的虛擬和物理地址之間的基于頁(yè)表的變換，并且進(jìn)一步提供與地址相關(guān)聯(lián)的讀取/寫(xiě)入/執(zhí)行訪問(wèn)控制。
[0040]示例8可包括前述示例的元件，并且操作塊是從由圖形處理單元、設(shè)備控制器、無(wú)線通信接口、數(shù)字信號(hào)處理器和音頻處理器組成的組中選擇的。
[0041 ]示例9可包括前述示例的元件，并且系統(tǒng)是片上系統(tǒng)。
[0042]示例10可包括前述示例的元件，并且系統(tǒng)是智能手機(jī)、膝上型計(jì)算設(shè)備、智能TV或智能平板。
[0043]示例11可包括前述示例的元件，并且進(jìn)一步包括用戶界面，并且該用戶界面是觸摸屏。
[0044]根據(jù)示例12，提供有一種用于塊內(nèi)工作負(fù)荷隔離的方法。該示例的方法可包括:創(chuàng)建與系統(tǒng)的處理器塊相關(guān)聯(lián)的安全虛擬化環(huán)境(沙箱)，該沙箱由虛擬機(jī)管理器(VMM)管理。該示例的方法還可包括將數(shù)據(jù)加載到沙箱中。該示例的方法可進(jìn)一步包括認(rèn)證數(shù)據(jù)。該示例的方法可進(jìn)一步包括生成與工作負(fù)荷相關(guān)聯(lián)的工作負(fù)荷包，該工作負(fù)荷包基于該數(shù)據(jù)并且存儲(chǔ)在沙箱中的存儲(chǔ)器的非可執(zhí)行區(qū)域中。該示例的方法可進(jìn)一步包括從沙箱向系統(tǒng)的操作塊提交工作負(fù)荷包以用于執(zhí)行。
[0045]示例13可包括前述示例的元件，并且進(jìn)一步包括在沙箱上設(shè)置訪問(wèn)控制，以提供與工作負(fù)荷相關(guān)聯(lián)的代碼、數(shù)據(jù)和狀態(tài)信息的塊內(nèi)隔離。
[0046]示例14可包括前述示例的元件，并且提交進(jìn)一步包括:請(qǐng)求VMM以使得操作塊能夠從工作負(fù)荷包取回并執(zhí)行指令。
[0047]示例15可包括前述示例的元件，并且進(jìn)一步包括:從操作塊接收結(jié)果，該結(jié)果基于執(zhí)行。
[0048I示例16可包括前述示例的元件，并且接收進(jìn)一步包括:請(qǐng)求VMM以使得操作塊能夠?qū)懭氲缴诚渲械拇鎯?chǔ)器的區(qū)域。
[0049]示例17可包括前述示例的元件，并且操作塊是圖形處理單元、設(shè)備控制器、無(wú)線通信接口、數(shù)字信號(hào)處理器或音頻處理器。
[0050]示例18可包括前述示例的元件，并且認(rèn)證進(jìn)一步包括驗(yàn)證加密簽名。
[0051]示例19可包括前述示例的元件，并且VMM提供與沙箱相關(guān)聯(lián)的虛擬和物理地址之間的基于頁(yè)表的變換，并且進(jìn)一步提供與地址相關(guān)聯(lián)的讀取/寫(xiě)入/執(zhí)行訪問(wèn)控制。
[0052]根據(jù)示例20，提供有一種用于塊內(nèi)工作負(fù)荷隔離的系統(tǒng)。該示例的系統(tǒng)可包括:用于創(chuàng)建與系統(tǒng)的處理器塊相關(guān)聯(lián)的安全虛擬化環(huán)境(沙箱)的裝置，該沙箱由虛擬機(jī)管理器(VMM)管理。該示例的系統(tǒng)還可包括用于將數(shù)據(jù)加載到沙箱中的裝置。該示例的系統(tǒng)可進(jìn)一步包括用于認(rèn)證數(shù)據(jù)的裝置。該示例的系統(tǒng)可進(jìn)一步包括用于生成與工作負(fù)荷相關(guān)聯(lián)的工作負(fù)荷包的裝置，該工作負(fù)荷包基于該數(shù)據(jù)并且存儲(chǔ)在沙箱中的存儲(chǔ)器的非可執(zhí)行區(qū)域中。該示例的系統(tǒng)可進(jìn)一步包括用于從沙箱向系統(tǒng)的操作塊提交工作負(fù)荷包以用于執(zhí)行的
目.ο
[0053]示例21可包括前述示例的元件，并且進(jìn)一步包括用于在沙箱上設(shè)置訪問(wèn)控制以提供與工作負(fù)荷相關(guān)聯(lián)的代碼、數(shù)據(jù)和狀態(tài)信息的塊內(nèi)隔離的裝置。
[0054]示例22可包括前述示例的元件，并且用于提交的裝置進(jìn)一步包括用于請(qǐng)求VMM以使得操作塊能夠從工作負(fù)荷包取回并執(zhí)行指令的裝置。
[0055]示例23可包括前述示例的元件，并且進(jìn)一步包括用于從操作塊接收結(jié)果的裝置，該結(jié)果基于執(zhí)行。
[0056]示例24可包括前述示例的元件，并且用于接收的裝置進(jìn)一步包括用于請(qǐng)求VMM以使得操作塊能夠?qū)懭氲缴诚渲械拇鎯?chǔ)器的區(qū)域的裝置。
[0057]示例25可包括前述示例的元件，并且操作塊是圖形處理單元、設(shè)備控制器、無(wú)線通信接口、數(shù)字信號(hào)處理器或音頻處理器。
[0058]示例26可包括前述示例的元件，并且用于認(rèn)證的裝置進(jìn)一步包括用于驗(yàn)證加密簽名的裝置。
[0059]示例27可包括前述示例的元件，并且VMM提供用于與沙箱相關(guān)聯(lián)的虛擬和物理地址之間的基于頁(yè)表的變換的裝置，并且進(jìn)一步提供用于與地址相關(guān)聯(lián)的讀取/寫(xiě)入/執(zhí)行訪問(wèn)控制的裝置。
[0060]根據(jù)另一個(gè)示例，提供有具有在其上存儲(chǔ)的指令的至少一個(gè)計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，該指令在由處理器執(zhí)行時(shí)使得處理器執(zhí)行如以上任何示例中所述的方法的操作。
[0061]根據(jù)另一個(gè)示例，提供有一種裝置，包括執(zhí)行如以上任何示例中所述的方法的裝置。
[0062]已經(jīng)在本文中采用的術(shù)語(yǔ)和表達(dá)用作描述的術(shù)語(yǔ)而不是限制，并且在這樣的術(shù)語(yǔ)和表達(dá)的使用中沒(méi)有意圖排除所示和所述的特征(或其部分)的任何等同物，并且認(rèn)識(shí)到:在權(quán)利請(qǐng)求的范圍內(nèi)各種修改是可能的。因此，權(quán)利請(qǐng)求意在覆蓋所有這樣的等同物。本文已經(jīng)描述了各種特征、方面和實(shí)施例。特征、方面和實(shí)施例易于與彼此以及變型和修改組合，如將由本領(lǐng)域技術(shù)人員所理解的。因此，本公開(kāi)應(yīng)當(dāng)被認(rèn)為包含這樣的組合、變型和修改。
【主權(quán)項(xiàng)】
1.一種用于塊內(nèi)工作負(fù)荷隔離的系統(tǒng)，所述系統(tǒng)包括: 創(chuàng)建安全虛擬化環(huán)境(沙箱)的虛擬機(jī)管理器(VMM)模塊； 將數(shù)據(jù)加載到所述沙箱的第一區(qū)域中的處理器塊； 所述處理器塊進(jìn)一步生成與所述工作負(fù)荷相關(guān)聯(lián)的工作負(fù)荷包，所述工作負(fù)荷包基于所述數(shù)據(jù)并存儲(chǔ)在所述沙箱的第二區(qū)域中；以及 從所述工作負(fù)荷包取回并執(zhí)行指令的操作塊。2.根據(jù)權(quán)利要求1所述的系統(tǒng)，其中所述VMM將進(jìn)一步設(shè)置所述沙箱的所述第二區(qū)域的訪問(wèn)控制，以提供與所述工作負(fù)荷相關(guān)聯(lián)的代碼、數(shù)據(jù)和狀態(tài)信息的塊內(nèi)隔離。3.根據(jù)權(quán)利要求1所述的系統(tǒng)，其中所述VMM將進(jìn)一步將所述沙箱的所述第二區(qū)域的訪問(wèn)控制設(shè)置成非可執(zhí)行模式。4.根據(jù)權(quán)利要求3所述的系統(tǒng)，其中在所述工作負(fù)荷包的選擇的執(zhí)行時(shí)段期間，所述VMM將進(jìn)一步將所述沙箱的所述第二區(qū)域的訪問(wèn)控制設(shè)置成針對(duì)所述操作塊的可執(zhí)行模式。5.根據(jù)權(quán)利要求1所述的系統(tǒng)，其中所述操作塊將進(jìn)一步向所述沙箱的第三區(qū)域?qū)懭虢Y(jié)果，所述結(jié)果基于所述工作負(fù)荷包的執(zhí)行。6.根據(jù)權(quán)利要求1所述的系統(tǒng)，其中所述處理器塊將進(jìn)一步加密地認(rèn)證所述數(shù)據(jù)。7.根據(jù)權(quán)利要求1所述的系統(tǒng)，其中所述VMM將進(jìn)一步提供與所述沙箱相關(guān)聯(lián)的虛擬和物理地址之間的基于頁(yè)表的變換，并且進(jìn)一步提供與所述地址相關(guān)聯(lián)的讀取/寫(xiě)入/執(zhí)行訪問(wèn)控制。8.根據(jù)權(quán)利要求1所述的系統(tǒng)，其中所述操作塊是從由圖形處理單元、設(shè)備控制器、無(wú)線通信接口、數(shù)字信號(hào)處理器和音頻處理器組成的組中選擇的。9.根據(jù)權(quán)利要求1所述的系統(tǒng)，其中所述系統(tǒng)是片上系統(tǒng)。10.根據(jù)權(quán)利要求1所述的系統(tǒng)，其中所述系統(tǒng)是智能手機(jī)、膝上型計(jì)算設(shè)備、智能TV或智能平板。11.根據(jù)權(quán)利要求1所述的系統(tǒng)，進(jìn)一步包括用戶界面，其中所述用戶界面是觸摸屏。12.—種用于塊內(nèi)工作負(fù)荷隔離的方法，所述方法包括: 創(chuàng)建與系統(tǒng)的處理器塊相關(guān)聯(lián)的安全虛擬化環(huán)境(沙箱)，所述沙箱由虛擬機(jī)管理器(VMM)管理； 將數(shù)據(jù)加載到所述沙箱中； 認(rèn)證所述數(shù)據(jù)； 生成與所述工作負(fù)荷相關(guān)聯(lián)的工作負(fù)荷包，所述工作負(fù)荷包基于所述數(shù)據(jù)并且存儲(chǔ)在所述沙箱中的存儲(chǔ)器的非可執(zhí)行區(qū)域中；以及 從所述沙箱向所述系統(tǒng)的操作塊提交所述工作負(fù)荷包以用于執(zhí)行。13.根據(jù)權(quán)利要求12所述的方法，進(jìn)一步包括在所述沙箱上設(shè)置訪問(wèn)控制，以提供與所述工作負(fù)荷相關(guān)聯(lián)的代碼、數(shù)據(jù)和狀態(tài)信息的塊內(nèi)隔離。14.根據(jù)權(quán)利要求12所述的方法，其中所述提交進(jìn)一步包括:請(qǐng)求所述VMM以使得所述操作塊能夠從所述工作負(fù)荷包取回并執(zhí)行指令。15.根據(jù)權(quán)利要求12所述的方法，進(jìn)一步包括:從所述操作塊接收結(jié)果，所述結(jié)果基于所述執(zhí)行。16.根據(jù)權(quán)利要求15所述的方法，其中所述接收進(jìn)一步包括:請(qǐng)求所述VMM以使得所述操作塊能夠?qū)懭氲剿錾诚渲械拇鎯?chǔ)器的區(qū)域。17.根據(jù)權(quán)利要求12所述的方法，其中所述操作塊是從由圖形處理單元、設(shè)備控制器、無(wú)線通信接口、數(shù)字信號(hào)處理器和音頻處理器組成的組中選擇的。18.根據(jù)權(quán)利要求12所述的方法，其中所述認(rèn)證進(jìn)一步包括驗(yàn)證加密簽名。19.根據(jù)權(quán)利要求12所述的方法，其中所述VMM提供與所述沙箱相關(guān)聯(lián)的虛擬和物理地址之間的基于頁(yè)表的變換，并且進(jìn)一步提供與所述地址相關(guān)聯(lián)的讀取/寫(xiě)入/執(zhí)行訪問(wèn)控制。20.具有在其上存儲(chǔ)的指令的至少一個(gè)計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，該指令在由處理器執(zhí)行時(shí)導(dǎo)致用于塊內(nèi)工作負(fù)荷隔離的下列操作，所述操作包括: 創(chuàng)建與系統(tǒng)的處理器塊相關(guān)聯(lián)的安全虛擬化環(huán)境(沙箱)，所述沙箱由虛擬機(jī)管理器(VMM)管理； 將數(shù)據(jù)加載到所述沙箱中； 認(rèn)證所述數(shù)據(jù)； 生成與所述工作負(fù)荷相關(guān)聯(lián)的工作負(fù)荷包，所述工作負(fù)荷包基于所述數(shù)據(jù)并且存儲(chǔ)在所述沙箱中的存儲(chǔ)器的非可執(zhí)行區(qū)域中；以及 從所述沙箱向所述系統(tǒng)的操作塊提交所述工作負(fù)荷包以用于執(zhí)行。21.根據(jù)權(quán)利要求20所述的計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，進(jìn)一步包括:在所述沙箱上設(shè)置訪問(wèn)控制以提供與所述工作負(fù)荷相關(guān)聯(lián)的代碼、數(shù)據(jù)和狀態(tài)信息的塊內(nèi)隔離的操作。22.根據(jù)權(quán)利要求20所述的計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其中所述提交進(jìn)一步包括:請(qǐng)求所述VMM以使得所述操作塊能夠從所述工作負(fù)荷包取回并執(zhí)行指令的操作。23.根據(jù)權(quán)利要求20所述的計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，進(jìn)一步包括:從所述操作塊接收結(jié)果的操作，所述結(jié)果基于所述執(zhí)行。24.根據(jù)權(quán)利要求23所述的計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其中所述接收進(jìn)一步包括:請(qǐng)求所述VMM以使得所述操作塊能夠?qū)懭氲剿錾诚渲械拇鎯?chǔ)器的區(qū)域的操作。25.根據(jù)權(quán)利要求18所述的計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其中所述認(rèn)證進(jìn)一步包括驗(yàn)證加密簽名的操作。26.根據(jù)權(quán)利要求18所述的計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其中所述VMM提供與所述沙箱相關(guān)聯(lián)的虛擬和物理地址之間的基于頁(yè)表的變換，并且進(jìn)一步提供與所述地址相關(guān)聯(lián)的讀取/寫(xiě)入/執(zhí)行訪問(wèn)控制。
【文檔編號(hào)】G06F21/53GK106030602SQ201580010723
【公開(kāi)日】2016年10月12日
【申請(qǐng)日】2015年3月26日
【發(fā)明人】D.普拉尚特, U.森古塔, S.齊哈布拉, D.杜爾罕, X.康, U.薩瓦高恩卡, A.納倫拉特里維迪
【申請(qǐng)人】英特爾公司