一种安全处理器架构和计算机设备的制作方法

本技术涉及处理器，尤其涉及一种安全处理器架构和计算机设备。

背景技术：

1、随着用户对设备安全性要求的不断提高，越来越多的安全技术应用到计算机设备中。随着设备软件功能的日趋丰富，以及设备数据量的不断增加，越来越多以及越来越多样化的数据和程序运行于设备处理器架构中，由此使得保障处理器架构的系统安全成为了保障计算机设备安全的重要手段。因此，有必要研究能够保障处理器架构系统安全的技术方案，以提高设备安全性。

技术实现思路

1、为解决上述技术问题，本实用新型提供一种安全处理器架构和计算机设备，能够提高处理器的安全性，从而可以提高用户设备安全性。

2、为达到上述目的，本实用新型具体提出如下方案：

3、第一方面，本实用新型提出一种安全处理器架构，包括：中央处理器硬件层和中央处理器软件层；其中，所述中央处理器硬件层包括安全/可信服务平台，所述中央处理器软件层包括普通执行环境子系统ree、可信执行环境子系统tee和安全元件子系统se，其中，所述可信执行环境子系统tee和所述安全元件子系统se构成所述安全/可信服务平台对应的软件层。基于上述设置，本实用新型提出的安全处理器架构中的安全/可信服务平台的软件层仅包括可信执行环境子系统tee和安全元件子系统se，由此使得安全/可信服务平台的软件程序都运行在tee或se中，基于tee和se与ree的隔离机制，能够保障安全/可信服务平台的软件程序的安全性，避免受到ree中的普通应用的攻击，这样设置能够保证安全/可信服务平台的安全性，也就是能够保证可信度量服务的安全性和可靠性，从而保证了整个处理器架构的安全性。

4、在一种实现方式中，所述安全/可信服务平台包括可信密码模块tcm、可信平台模块tpm和可信平台控制模块tpcm。基于上述设置，本实用新型提出的安全处理器架构能够提供tcm安全度量服务，和/或tpm安全度量服务，和/或tpcm安全度量服务，基于上述的安全度量服务，使得该安全处理器架构能够及时明确该处理器架构中的运行对象的安全性，从而识别危险运行对象，因此有利于保障整个处理器架构的安全性。进一步的，本实用新型提出的安全处理器架构集成了tcm、tpm和tpcm，从而可以提供多种类型的安全度量服务，能够满足不同应用或不同用户的安全度量需求，在保证处理器架构的安全性的同时，还可以提高处理器架构的通用性。

5、另外，需要说明的是，相关现有技术中，外置tpm、tcm以及tpcm的实现方式，会额外增加计算机设备中硬件资源的消耗。而本实用新型提出的安全处理器架构，在不涉及可信计算的场景下，可以直接升级传统技术中关于处理器的设置；在涉及可信计算的场景下，可以直接更新处理器中关于可信技术的设置。这里，关于可信技术的实现方案可以包括：外置tpm、tcm以及tpcm中的一个或多个；或者，处理器内部集成一个tpm；或者，处理器内部集成一个tcm；或者，处理器内部集成一个tpm和一个tcm等等。

6、在一种实现方式中，所述tcm、所述tpm和所述tpcm共同构建于所述安全/可信服务平台对应的软件层中的同一子系统中，或者，所述tcm、所述tpm和所述tpcm分散构建于所述安全/可信服务平台对应的软件层中的不同子系统中。基于这种实现方式，tcm、tpm和tpcm可以在相同子系统和不同子系统中灵活设置，增强了系统架构设计的灵活性。

7、在一种实现方式中，所述中央处理器硬件层还包括至少一个处理器核，所述tee和所述se运行在第一处理器核中；所述第一处理器核为所述至少一个处理器核中的一个，或者，所述第一处理器核为独立于所述至少一个处理器核之外的处理器核。基于这种实现方式，可以节省处理器资源；另外，以同构的方式设置，可以降低设计复杂度。

8、在一种实现方式中，所述中央处理器硬件层还包括至少一个处理器核，所述tee运行在第一处理器核中、所述se运行在第二处理器核中；所述第一处理器核为所述至少一个处理器核中的一个，或者，所述第一处理器核为独立于所述至少一个处理器核之外的处理器核；所述第二处理器核为所述至少一个处理器核中的一个，或者，所述第二处理器核为独立于所述至少一个处理器核之外的处理器核。这种实现方式使得se具有独立处理任务、响应请求的能力，使得se的任务执行完全独立且不受其他子系统执行环境的影响，有利于提高安全架构系统的安全性，同时也有利于se的任务执行效率的提升。进一步地，这一实现方式，可以降低处理器的硬件资源消耗，可以提高处理器的处理性能。

9、在一种实现方式中，所述tcm包括tcm服务模块和tcm密码模块，所述tpm包括tpm服务模块和tpm密码模块；所述tcm密码模块用于为tcm可信计算服务提供可信计算资源，所述tcm服务模块用于通过调用所述tcm密码模块的计算资源，提供tcm可信计算服务；所述tpm密码模块用于为tpm可信计算服务提供可信计算资源，所述tpm服务模块用于通过调用所述tpm密码模块的计算资源，提供tpm可信计算服务。将tcm和tpm划分为服务模块和密码模块，有利于保证密码模块的计算资源的安全性，以及有利于实现对计算资源的复用，从而可以实现更加灵活、多样的可信计算服务。

10、在一种实现方式中，在所述tcm、所述tpm和所述tpcm分散构建于所述安全/可信服务平台对应的软件层中的不同子系统中的情况下，所述tcm服务模块、所述tcm密码模块、所述tpm服务模块和所述tpm密码模块共同构建于所述安全/可信服务平台对应的软件层中的同一子系统中，或者，分散构建于所述安全/可信服务平台对应的软件层中的不同子系统中。基于这种实现方式，服务模块和密码模块可以集中设置也可以分散设置，提升了系统结构的多样性和设计灵活性，可以满足更多样的实际场景需求。

11、在一种实现方式中，在所述tcm服务模块、所述tcm密码模块、所述tpm服务模块和所述tpm密码模块分散构建于所述安全/可信服务平台对应的软件层中的不同子系统中的情况下，所述tcm密码模块和所述tcm服务模块构建于所述安全/可信服务平台对应的软件层中的不同子系统中，和/或，所述tpm密码模块和所述tpm服务模块构建于所述安全/可信服务平台对应的软件层中的不同子系统中。在这种实现方式中，将tcm服务模块与tcm密码模块分开设置，或者将tpm服务模块与tpm密码模块分开设置，使得tcm密码模块或tpm密码模块脱离服务模块而处于单独的子系统环境中，能够保障密码模块的安全性。

12、在一种实现方式中，所述tcm密码模块和所述tcm服务模块构建于所述安全/可信服务平台对应的软件层中的不同子系统中，和/或，所述tpm密码模块和所述tpm服务模块构建于所述安全/可信服务平台对应的软件层中的不同子系统中，包括：所述tpm密码模块与所述tcm密码模块构建于所述安全/可信服务平台对应的软件层中的同一子系统中，所述tpm服务模块和所述tcm服务模块不同时与所述tpm密码模块和所述tcm密码模块构建于同一子系统中。在这种实现方式中，将tpm密码模块与tcm密码模块设置于同一子系统，有利于实现可信计算硬件资源的复用，以及，将tpm密码模块与tcm密码模块设置在同一子系统中，可以通过保障该子系统的安全，实现全面地保障tpm密码模块与tcm密码模块的安全性。

13、在一种实现方式中，所述tpm密码模块与所述tcm密码模块构建于所述安全/可信服务平台对应的软件层中的同一子系统中，所述tpm服务模块和所述tcm服务模块不同时与所述tpm密码模块和所述tcm密码模块构建于同一子系统中，包括：所述tpm密码模块与所述tcm密码模块构建于所述tee中，所述tpm服务模块和所述tcm服务模块构建于所述se中；或者，所述tpm密码模块与所述tcm密码模块构建于所述se中，所述tpm服务模块和所述tcm服务模块构建于所述tee中。依托于tee和se与ree之间的物理隔离，上述的实现方式能够保障tpm密码模块与所述tcm密码模块的安全，并且，上述实现方式实现了密码模块与服务模块集中设置，便于管理和维护。

14、在一种实现方式中，所述tcm包括tcm驱动模块，所述tpm包括tpm驱动模块；所述tcm驱动模块，用于响应应用程序的tcm服务发起请求，发起tcm安全服务请求，所述tcm安全服务请求用于请求所述tcm提供安全度量服务；所述tpm驱动模块，用于响应应用程序的tpm服务发起请求，发起tpm安全服务请求，所述tpm安全服务请求用于请求所述tpm提供安全度量服务。基于这种实现方式，tcm驱动模块和tpm驱动模块可以满足应用程序发起安全服务请求的需求，实现安全服务请求的顺利触发。

15、在一种实现方式中，所述tcm驱动模块设置于所述ree和/或所述tee中，以及，所述tpm驱动模块设置于所述ree和/或所述tee中。这些实现方式将tcm驱动模块和tpm驱动模块在ree和/或tee中设置，可以实现不同结构的安全架构系统，同时可以使得ree和/或tee中的应用程序以各种不同的方式发起安全服务请求。

16、在一些实现方式中，所述安全/可信服务平台包括以下中的一种或多种：非易失存储区、易失存储区、密码加速引擎和随机数发生器；其中，所述非易失存储区用于存储以下信息中的一种或多种：处理器安全可信固件、密钥、根密钥、可信根、可信度量结果对应的pcr值、所有者的授权数据和永久标志、用于所述可信密码服务模块的可信基准值和签名以及其它关键数据；所述易失存储区用于存储以下信息中的一种或多种：所述可信密码服务模块运行过程中生成的变量值、瞬态密钥和哈希算法对应的pcr值；所述密码加速引擎用于为所述可信密码服务模块提供密码运算服务；所述随机数发生器用于生成密钥、签名所需的随机数和增强口令访问的熵。上述的硬件结构设置，使得安全/可信服务平台具备了提供可信计算服务的硬件基础，保障了可信计算服务的顺利实施。

17、第二方面，本实用新型提供了一种计算机设备，该计算机设备包括上述的安全处理器架构。将上述的安全处理器架构应用于上述的计算机设备，可以借助该安全处理器架构的优秀的安全性能，使得整个计算机设备运行于安全环境中，保证计算机设备上述的数据安全，以及保证计算机设备的用户信息安全。