本發(fā)明涉及虛擬化技術領域，具體涉及一種執(zhí)行環(huán)境的虛擬化、虛擬執(zhí)行環(huán)境的訪問方法及裝置。

背景技術：

隨著移動終端的日益普及，越來越多與用戶隱私密切相關的數(shù)據(jù)被儲存于其中，這也使得人們愈發(fā)關注移動終端的安全性?，F(xiàn)有一種主流的安全解決方案是利用硬件提供的可信執(zhí)行環(huán)境將移動終端中運行的安全應用與普通應用隔離，即將安全應用在移動終端的硬件提供的可信執(zhí)行環(huán)境中運行，而普通應用則在移動終端的硬件提供的普通執(zhí)行環(huán)境中運行。硬件級別的隔離能夠有效保證可信執(zhí)行環(huán)境中的安全應用免受惡意應用的“騷擾”。

隨著移動終端性能的提升，移動終端中的虛擬化系統(tǒng)愈發(fā)的成熟，然而移動終端中硬件提供的可信執(zhí)行環(huán)境卻沒有適應愈發(fā)完善的虛擬化系統(tǒng)。事實上，由于移動終端硬件僅提供了一個可信執(zhí)行環(huán)境，但是該移動終端上可能配置了多臺虛擬機，因此該移動終端上的所有虛擬機用戶不得不共享同一個可信執(zhí)行環(huán)境，也就是說，所有虛擬機用戶的安全應用要在同一個可信執(zhí)行環(huán)境中運行。顯然，這完全喪失了可信執(zhí)行環(huán)境為安全應用提供安全執(zhí)行環(huán)境的本質(zhì)功能。一旦移動終端中存在惡意虛擬機用戶用，該惡意虛擬機用戶能夠輕易通過共享的可信執(zhí)行環(huán)境竊取其他虛擬機用戶的隱私數(shù)據(jù)。

因此，如何在移動終端中的虛擬化系統(tǒng)中為各個虛擬機用戶提供一個獨立、安全的可信執(zhí)行環(huán)境，已經(jīng)成為了一個亟需解決的問題。

技術實現(xiàn)要素：

本發(fā)明提供了一種執(zhí)行環(huán)境的虛擬化方法，能夠分別為各個虛擬機用戶提供一個獨立、安全的可信執(zhí)行環(huán)境，保證用戶的數(shù)據(jù)安全。

為了解決以上技術問題，本發(fā)明的第一方面提供了一種執(zhí)行環(huán)境的虛擬化方法，所述方法應用于移動終端，所述移動終端具有硬件提供的普通執(zhí)行環(huán)境； 所述移動終端中的虛擬機監(jiān)視器在所述普通執(zhí)行環(huán)境中為用戶建立普通虛擬機和可信虛擬機，其中，所述普通虛擬機用于執(zhí)行所述用戶的普通應用，所述可信虛擬機用于執(zhí)行所述用戶的安全應用。同時，所述虛擬機監(jiān)視器為所述普通虛擬機和所述可信虛擬機分配相同大小的虛擬物理內(nèi)存，其中，所述普通虛擬機的虛擬物理內(nèi)存包括普通內(nèi)存和安全內(nèi)存；所述可信虛擬機的虛擬物理內(nèi)存包括普通內(nèi)存和安全內(nèi)存；所述普通虛擬機的普通內(nèi)存與所述可信虛擬機的普通內(nèi)存大小相同。建立所述普通虛擬機的普通內(nèi)存與物理內(nèi)存的映射關系，并將所述普通虛擬機的普通內(nèi)存與物理內(nèi)存的映射關系存儲在第一內(nèi)存映射表中，以使得所述普通虛擬機根據(jù)所述第一內(nèi)存映射表訪問所述普通虛擬機的普通內(nèi)存。建立所述可信虛擬機的虛擬物理內(nèi)存與物理內(nèi)存的映射關系，并將所述可信虛擬機的虛擬物理內(nèi)存與物理內(nèi)存的映射關系存儲在第二內(nèi)存映射表中，以使得所述可信虛擬機根據(jù)所述第二內(nèi)存映射表訪問所述可信虛擬機的安全內(nèi)存和普通內(nèi)存；其中，所述可信虛擬機的普通內(nèi)存映射的物理內(nèi)存與所述普通虛擬機的普通內(nèi)存映射的物理內(nèi)存相同。

結合第一方面，可選的，本發(fā)明利用普通虛擬機和可信虛擬機為一個用戶分別模擬移動終端硬件提供的普通執(zhí)行環(huán)境和可信執(zhí)行環(huán)境，以便所述用戶的普通應用和安全應用可以在普通虛擬機和可信虛擬機上分別運行，達到安全應用與普通應用的執(zhí)行環(huán)境隔離的效果，保證用戶的數(shù)據(jù)安全。另外，本發(fā)明還通過模擬移動終端硬件提供的執(zhí)行環(huán)境的內(nèi)存訪問情況，為所述用戶的普通虛擬機和可信虛擬機進行內(nèi)存的分配，并生成第一內(nèi)存映射表和第二內(nèi)存映射表，其中，所述用戶的普通虛擬機和可信虛擬機可以訪問普通內(nèi)存對應的物理內(nèi)存，但是普通虛擬機不能訪問可信虛擬機的安全內(nèi)存對應的物理內(nèi)存，也實現(xiàn)運行于可信虛擬機和普通虛擬機的應用的隔離。

結合第一方面，需要指出的是，本發(fā)明提供的執(zhí)行環(huán)境的虛擬化方法還為所述用戶建立并維護設備訪問權限表和中斷處理權限表，其中，所述設備訪問權限表用于存儲所述用戶的普通虛擬機和可信虛擬機分別能夠訪問的設備；所述中斷處理權限表用于存儲所述用戶的普通虛擬機和可信虛擬機分別負責處理的中斷類型。

通過為各個用戶建立并維護設備訪問權限表和中斷處理權限表，預先設置 各個用戶的普通虛擬機和可信虛擬機分別能夠訪問的設備，以及用戶的普通虛擬機和可信虛擬機分別負責處理的中斷類型。

結合第一方面，本發(fā)明提供的執(zhí)行環(huán)境的虛擬化方法分別將所述第一內(nèi)存映射表的合法修改條件、所述第二內(nèi)存映射表的合法修改條件、所述設備訪問權限表的合法修改條件和所述中斷處理權限表的合法修改條件以及虛擬機監(jiān)視器的頁表的合法修改條件存儲于安全模塊，所述安全模塊位于所述移動終端硬件提供的可信執(zhí)行環(huán)境中，所述可信虛擬機可對所述安全模塊進行操作。

本發(fā)明提供的執(zhí)行環(huán)境的虛擬化方法中，所述安全模塊存儲的所述第一內(nèi)存映射表的合法修改條件、所述第二內(nèi)存映射表的合法修改條件、所述設備訪問權限表的合法修改條件和所述中斷處理權限表的合法修改條件均可以包括發(fā)送修改請求的虛擬機為可信虛擬機；同時，所述合法修改條件還包括所述虛擬機發(fā)送的修改請求是對所述虛擬機所屬用戶的第一內(nèi)存映射表、第二內(nèi)存映射表、設備訪問權限表或中斷處理權限表進行的修改。

本發(fā)明利用設置于移動終端硬件提供的安全模塊存儲所述第一內(nèi)存映射表的合法修改條件、所述第二內(nèi)存映射表的合法修改條件、所述設備訪問權限表的合法修改條件和所述中斷處理權限表的合法修改條件以及虛擬機監(jiān)視器的頁表的合法修改條件，對修改請求的合法性進行驗證，防止用戶的數(shù)據(jù)被惡意修改，進一步保證了用戶數(shù)據(jù)的安全。

本發(fā)明的第二方面提供了一種虛擬執(zhí)行環(huán)境的訪問方法，其中，所述方法應用于移動終端，所述移動終端具有硬件提供的普通執(zhí)行環(huán)境,所述普通執(zhí)行環(huán)境中運行有兩臺與預設用戶相關聯(lián)的虛擬機，分別為普通虛擬機和可信虛擬機，其中，所述普通虛擬機用于執(zhí)行所述用戶的普通應用，所述可信虛擬機用于執(zhí)行所述用戶的安全應用。所述移動終端的虛擬機監(jiān)視器截獲用戶在普通虛擬機或可信虛擬機中執(zhí)行的環(huán)境切換指令；并根據(jù)所述環(huán)境切換指令，確定所述用戶需要切換的目標虛擬機；保存所述用戶當前使用的虛擬機的執(zhí)行狀態(tài)信息；讀取并恢復所述目標虛擬機的執(zhí)行狀態(tài)信息。

結合第二方面，需要指出的是，本發(fā)明為各個用戶的可信虛擬機和普通虛擬機模擬移動終端硬件提供的可信執(zhí)行環(huán)境和普通執(zhí)行環(huán)境的執(zhí)行環(huán)境切換 過程，為用戶的安全應用和普通應用提供相互獨立的執(zhí)行環(huán)境，保證數(shù)據(jù)信息的安全。

結合第二方面，本發(fā)明提供的虛擬執(zhí)行環(huán)境的訪問方法中，所述虛擬機監(jiān)視器在截獲所述環(huán)境切換指令后，查詢與所述用戶相關聯(lián)的兩臺虛擬機，其中一臺為當前使用的虛擬機，另一臺則為所述用戶需要切換的目標虛擬機。

本發(fā)明提供的虛擬執(zhí)行環(huán)境的訪問方法中，虛擬機監(jiān)視器接收來自所述普通虛擬機的內(nèi)存訪問請求，所述內(nèi)存訪問請求攜帶虛擬物理內(nèi)存。在預設的第一內(nèi)存映射表中查詢與所述虛擬物理內(nèi)存具有映射關系的真實物理內(nèi)存；如果查詢到所述真實物理內(nèi)存，則完成所述內(nèi)存訪問請求，否則提示訪問異常。

虛擬機監(jiān)視器接收來自所述可信虛擬機的內(nèi)存訪問請求，所述內(nèi)存訪問請求攜帶虛擬物理內(nèi)存；在預設的第二內(nèi)存映射表中查詢與所述虛擬物理內(nèi)存具有映射關系的真實物理內(nèi)存；如果查詢到所述真實物理內(nèi)存，則完成所述內(nèi)存訪問請求，否則提示訪問異常。

虛擬機監(jiān)視器接收來自任一虛擬機的設備訪問請求，所述設備訪問請求攜帶設備標識；在預設的設備訪問權限表中查詢所述虛擬機是否能夠訪問所述設備標識對應的設備；如果確定所述虛擬機能夠訪問所述設備標識對應的設備，則完成所述設備訪問請求，否則提示訪問異常。

虛擬機監(jiān)視器接收任一中斷處理請求，所述中斷處理請求攜帶中斷類型；在預設的中斷處理權限表中查詢負責處理所述中斷類型的虛擬機，并將所述中斷處理請求分配至所述虛擬機進行處理。

結合第二方面，可選的，本發(fā)明中的移動終端還具有硬件提供的可信執(zhí)行環(huán)境，所述可信執(zhí)行環(huán)境中設置有安全模塊。所述虛擬機監(jiān)視器接收來自任一虛擬機的修改請求，所述修改請求為對預設的第一內(nèi)存映射表、第二內(nèi)存映射表、設備訪問權限表、中斷處理權限表或虛擬機監(jiān)視器的頁表的修改請求；將所述修改請求轉發(fā)至位于可信執(zhí)行環(huán)境中的安全模塊，由所述安全模塊判斷所述修改請求是否符合所述第一內(nèi)存映射表的合法修改條件、所述第二內(nèi)存映射表的合法修改條件、所述設備訪問權限表的合法修改條件、所述中斷處理權限表的合法修改條件或虛擬機監(jiān)視器的頁表的合法修改條件，并在確定符合任一合法修改條件時，允許所述修改請求；其中，所述合法修改條件包括發(fā)送所述 修改請求的虛擬機為可信虛擬機。

本發(fā)明的第二方面提供的虛擬執(zhí)行環(huán)境的訪問方法通過在移動終端硬件提供的可信執(zhí)行環(huán)境中設置安全模塊為用戶的數(shù)據(jù)安全提供進一步的保證，安全模塊通過對修改請求的合法性判斷，避免惡意程序對用戶的數(shù)據(jù)信息的非法修改，保證用戶數(shù)據(jù)安全。

本發(fā)明的第三方面提供了一種執(zhí)行環(huán)境的虛擬化裝置，所述裝置應用于移動終端，所述移動終端具有硬件提供的普通執(zhí)行環(huán)境；所述裝置包括：第一建立模塊，用于在所述普通執(zhí)行環(huán)境中為用戶建立普通虛擬機和可信虛擬機，其中，所述普通虛擬機用于執(zhí)行所述用戶的普通應用，所述可信虛擬機用于執(zhí)行所述用戶的安全應用；分配模塊，用于為所述普通虛擬機和所述可信虛擬機分配相同大小的虛擬物理內(nèi)存，其中，所述普通虛擬機的虛擬物理內(nèi)存包括普通內(nèi)存和安全內(nèi)存；所述可信虛擬機的虛擬物理內(nèi)存包括普通內(nèi)存和安全內(nèi)存；所述普通虛擬機的普通內(nèi)存與所述可信虛擬機的普通內(nèi)容大小相同；第二建立模塊，用于建立所述普通虛擬機的普通內(nèi)存與物理內(nèi)存的映射關系，并將所述普通虛擬機的普通內(nèi)存與物理內(nèi)存的映射關系存儲在第一內(nèi)存映射表中，以使得所述普通虛擬機根據(jù)所述第一內(nèi)存映射表訪問所述普通虛擬機的普通內(nèi)存；第三建立模塊，用于建立所述可信虛擬機的虛擬物理內(nèi)存與物理內(nèi)存的映射關系，并將所述可信虛擬機的虛擬物理內(nèi)存與物理內(nèi)存的映射關系存儲在第二內(nèi)存映射表中，以使得所述可信虛擬機根據(jù)所述第二內(nèi)存映射表訪問所述可信虛擬機的安全內(nèi)存和普通內(nèi)存；其中，所述可信虛擬機的普通內(nèi)存映射的物理內(nèi)存與所述普通虛擬機的普通內(nèi)存映射的物理內(nèi)存相同。

本發(fā)明的第三方面提供的執(zhí)行環(huán)境的虛擬化裝置利用可信虛擬機和普通虛擬機模擬移動終端硬件提供的可信執(zhí)行環(huán)境和普通執(zhí)行環(huán)境，為虛擬機用戶的安全應用和普通應用提供相互隔離的執(zhí)行環(huán)境，保證安全應用的數(shù)據(jù)安全。

結合第三方面，本發(fā)明提供的執(zhí)行環(huán)境的虛擬化裝置還包括：第四建立模塊，用于為所述用戶建立并維護設備訪問權限表和中斷處理權限表，其中，所述設備訪問權限表用于存儲所述用戶的普通虛擬機和可信虛擬機分別能夠訪問的設備；所述中斷處理權限表用于存儲所述用戶的普通虛擬機和可信虛擬機分別負責處理的中斷類型。

本發(fā)明的移動終端具有硬件提供的可信執(zhí)行環(huán)境，所述可信執(zhí)行環(huán)境中設置有安全模塊。本發(fā)明提供的執(zhí)行環(huán)境的虛擬化裝置還包括：存儲模塊，用于分別將所述第一內(nèi)存映射表的合法修改條件、所述第二內(nèi)存映射表的合法修改條件、所述設備訪問權限表的合法修改條件和所述中斷處理權限表的合法修改條件以及虛擬機監(jiān)視器的頁表的合法修改條件存儲于安全模塊，所述安全模塊位于所述可信執(zhí)行環(huán)境中，所述可信虛擬機可對所述安全模塊進行操作。

本發(fā)明的第四方面提供了一種虛擬執(zhí)行環(huán)境的訪問裝置，所述裝置應用于移動終端，所述移動終端具有硬件提供的普通執(zhí)行環(huán)境,所述普通執(zhí)行環(huán)境中運行有兩臺與預設用戶相關聯(lián)的虛擬機，分別為普通虛擬機和可信虛擬機，其中，所述普通虛擬機用于執(zhí)行所述用戶的普通應用，所述可信虛擬機用于執(zhí)行所述用戶的安全應用；所述裝置包括：截獲模塊，用于截獲用戶在普通虛擬機或可信虛擬機中執(zhí)行的環(huán)境切換指令；確定模塊，用于根據(jù)所述環(huán)境切換指令，確定所述用戶需要切換的目標虛擬機；保存模塊，用于保存所述用戶當前使用的虛擬機的執(zhí)行狀態(tài)信息；讀取模塊，用于讀取并恢復所述目標虛擬機的執(zhí)行狀態(tài)信息。

本發(fā)明的第四方面提供的虛擬執(zhí)行環(huán)境的訪問裝置為一個用戶的可信虛擬機和普通虛擬機模擬移動終端硬件提供的可信執(zhí)行環(huán)境和普通執(zhí)行環(huán)境的執(zhí)行環(huán)境切換過程，為用戶的安全應用和普通應用提供相互獨立的執(zhí)行環(huán)境，保證用戶的數(shù)據(jù)信息安全。

本發(fā)明的第四方面提供的虛擬執(zhí)行環(huán)境的訪問裝置中的確定模塊，具體用于在截獲所述環(huán)境切換指令后，查詢與所述用戶相關聯(lián)的兩臺虛擬機，其中一臺為當前使用的虛擬機，將另一臺虛擬機則確定為所述用戶需要切換的目標虛擬機。

結合第四方面，可選的，本發(fā)明提供的虛擬執(zhí)行環(huán)境的訪問裝置還包括：第一接收模塊，用于接收來自所述普通虛擬機的內(nèi)存訪問請求，所述內(nèi)存訪問請求攜帶虛擬物理內(nèi)存；第一查詢模塊，用于在預設的第一內(nèi)存映射表中查詢與所述虛擬物理內(nèi)存具有映射關系的真實物理內(nèi)存；如果查詢到所述真實物理內(nèi)存，則完成所述內(nèi)存訪問請求，否則提示訪問異常。

結合第四方面，需要指出的是，本發(fā)明提供的虛擬執(zhí)行環(huán)境的訪問裝置還 包括：第二接收模塊，用于接收來自所述可信虛擬機的內(nèi)存訪問請求，所述內(nèi)存訪問請求攜帶虛擬物理內(nèi)存；第二查詢模塊，用于在預設的第二內(nèi)存映射表中查詢與所述虛擬物理內(nèi)存具有映射關系的真實物理內(nèi)存；如果查詢到所述真實物理內(nèi)存，則完成所述內(nèi)存訪問請求，否則提示訪問異常。

本發(fā)明提供的虛擬執(zhí)行環(huán)境的訪問裝置還包括：第三接收模塊，用于接收來自任一虛擬機的訪問請求，所述訪問請求攜帶設備標識；第三查詢模塊，用于在預設的設備訪問權限表中查詢所述虛擬機是否能夠訪問所述設備標識對應的設備；如果確定所述虛擬機能夠訪問所述設備標識對應的設備，則完成所述訪問請求，否則提示訪問異常。

本發(fā)明提供的虛擬執(zhí)行環(huán)境的訪問裝置還包括：第四接收模塊，用于接收任一中斷處理請求，所述中斷處理請求攜帶中斷類型；第四查詢模塊，用于在預設的中斷處理權限表中查詢負責處理所述中斷類型的虛擬機，并將所述中斷處理請求分配至所述虛擬機進行處理。

本發(fā)明的移動終端具有硬件提供的可信執(zhí)行環(huán)境，所述可信執(zhí)行環(huán)境中設置有安全模塊。本發(fā)明提供的虛擬執(zhí)行環(huán)境的訪問裝置還包括：第五接收模塊，用于接收來自任一虛擬機的修改請求，所述修改請求為對預設的第一內(nèi)存映射表、第二內(nèi)存映射表、設備訪問權限表、中斷處理權限表或虛擬機監(jiān)視器的頁表的修改請求；轉發(fā)模塊，用于將所述修改請求轉發(fā)至位于可信執(zhí)行環(huán)境中的安全模塊，由所述安全模塊判斷所述修改請求是否符合所述第一內(nèi)存映射表的合法修改條件、所述第二內(nèi)存映射表的合法修改條件、所述設備訪問權限表的合法修改條件、所述中斷處理權限表的合法修改條件或虛擬機監(jiān)視器的頁表的合法修改條件，并在確定符合任一合法修改條件時，允許所述修改請求；其中，所述合法修改條件包括發(fā)送所述修改請求的虛擬機為可信虛擬機。

本發(fā)明提供的虛擬執(zhí)行環(huán)境的訪問裝置中的所述第一內(nèi)存映射表的合法修改條件、所述第二內(nèi)存映射表的合法修改條件、所述設備訪問權限表的合法修改條件和所述中斷處理權限表的合法修改條件均可以包括發(fā)送修改請求的虛擬機為可信虛擬機；同時，所述合法修改條件還包括所述虛擬機發(fā)送的修改請求是對所述虛擬機所屬用戶的第一內(nèi)存映射表、第二內(nèi)存映射表、設備訪問權限表或中斷處理權限表進行的修改。

本發(fā)明提供的虛擬執(zhí)行環(huán)境的訪問裝置在可信執(zhí)行環(huán)境中設置的安全模塊通過對修改請求的合法性判斷，避免惡意程序對用戶的數(shù)據(jù)信息的非法修改，保證用戶的數(shù)據(jù)安全。

附圖說明

為了更清楚地說明本申請實施例中的技術方案，下面將對實施例描述中所需要使用的附圖作簡單地介紹，顯而易見地，下面描述中的附圖僅僅是本申請中記載的一些實施例，對于本領域普通技術人員來講，還可以根據(jù)這些附圖獲得其他的附圖。

圖1是本發(fā)明實施例提供的執(zhí)行環(huán)境的虛擬化的架構示意圖；

圖2是本發(fā)明實施例提供的為虛擬機用戶的普通虛擬機和可信虛擬機進行內(nèi)存分配的示意圖；

圖3是本發(fā)明實施例提供的一種執(zhí)行環(huán)境的虛擬化方法流程圖；

圖4是本發(fā)明實施例提供的一種虛擬執(zhí)行環(huán)境的訪問方法流程圖；

圖5是本發(fā)明實施例提供的一種對虛擬執(zhí)行環(huán)境中的第一內(nèi)存映射表的訪問方法流程圖；

圖6是本發(fā)明實施例提供的一種對虛擬執(zhí)行環(huán)境中的第二內(nèi)存映射表的訪問方法流程圖；

圖7是本發(fā)明實施例提供的一種對虛擬執(zhí)行環(huán)境中的設備訪問權限表的訪問方法流程圖；

圖8是本發(fā)明實施例提供的一種對虛擬執(zhí)行環(huán)境中的中斷處理權限表的訪問方法流程圖；

圖9是本發(fā)明實施例提供的一種分別針對預設的第一內(nèi)存映射表、第二內(nèi)存映射表、設備訪問權限表和中斷處理權限表的修改處理方法流程圖；

圖10是本發(fā)明實施例提供的一種執(zhí)行環(huán)境的虛擬化裝置的結構示意圖；

圖11是本發(fā)明實施例提供的一種虛擬執(zhí)行環(huán)境的訪問裝置的結構示意圖；

圖12是本發(fā)明實施例提供的一種執(zhí)行環(huán)境的虛擬化裝置的硬件結構示意圖；

圖13是本發(fā)明實施例提供的一種虛擬執(zhí)行環(huán)境的訪問裝置的硬件結構示 意圖。

具體實施方式

為了使本技術領域的人員更好地理解本發(fā)明方案，下面結合附圖和實施方式對本發(fā)明實施例作進一步的詳細說明。

移動終端具有硬件提供的可信執(zhí)行環(huán)境和普通執(zhí)行環(huán)境，為了保證用戶的安全應用的數(shù)據(jù)安全性，將對數(shù)據(jù)安全要求較高的安全應用單獨運行于所述可信執(zhí)行環(huán)境中，而將普通應用運行于與所述可信執(zhí)行環(huán)境隔離開的普通執(zhí)行環(huán)境中。然而，由于目前的移動終端硬件僅能為配置的多臺虛擬機提供一個可信執(zhí)行環(huán)境，因此，該移動終端上的所有虛擬機用戶不得不共享同一個可信執(zhí)行環(huán)境，用于運行各自的安全應用。但是這完全喪失了可信執(zhí)行環(huán)境為安全應用提供安全執(zhí)行環(huán)境的本質(zhì)功能，一旦移動終端中存在惡意虛擬機用戶，該惡意虛擬機用戶能夠輕易通過共享的可信執(zhí)行環(huán)境竊取其他虛擬機用戶的隱私數(shù)據(jù)。

如圖1所示，圖1為本發(fā)明實施例提供的執(zhí)行環(huán)境的虛擬化的架構示意圖。其中，本發(fā)明提供的執(zhí)行環(huán)境虛擬化方法應用于移動終端，如智能手機、平板電腦等，所述移動終端具有硬件提供的普通執(zhí)行環(huán)境和可信執(zhí)行環(huán)境。本發(fā)明分別利用兩臺虛擬機為該移動終端上的各個虛擬機用戶模擬硬件提供的可信執(zhí)行環(huán)境和普通執(zhí)行環(huán)境，所述兩臺虛擬機分別為可信虛擬機和普通虛擬機。如圖1所示，用戶1配置有普通虛擬機-1和可信虛擬機-1；用戶2配置有普通虛擬機-2和可信虛擬機-2。由于每個虛擬機用戶擁有獨立的可信虛擬機用于執(zhí)行各自的安全應用，所以本發(fā)明能夠實現(xiàn)每個虛擬機用戶的安全應用的執(zhí)行環(huán)境之間的隔離，避免了惡意虛擬機用戶通過共享的可信執(zhí)行環(huán)境竊取其他虛擬機用戶的隱私數(shù)據(jù)的威脅。

另外，移動終端的普通執(zhí)行環(huán)境中運行有虛擬機監(jiān)視器，所述虛擬機監(jiān)視器包括執(zhí)行環(huán)境虛擬模塊、執(zhí)行環(huán)境調(diào)度模塊、內(nèi)存管理模塊和外部設備管理模塊。所述執(zhí)行環(huán)境虛擬模塊用于為所述移動終端的各個虛擬機用戶建立普通虛擬機和可信虛擬機，并對其進行維護和管理，具體包括對普通虛擬機與可信虛擬機的初始化、系統(tǒng)狀態(tài)維護以及保證兩者之間的關聯(lián)關系等。

所述執(zhí)行環(huán)境調(diào)度模塊用于通過下陷的方式截獲用戶在普通虛擬機或可信虛擬機中執(zhí)行的環(huán)境切換指令，并通過查詢所述執(zhí)行環(huán)境虛擬模塊維護的用戶與普通虛擬機、可信虛擬機的關聯(lián)關系，確定所述用戶需要切換的目標虛擬機，并進行執(zhí)行環(huán)境的切換。具體為，保存所述用戶當前使用的虛擬機的執(zhí)行狀態(tài)信息；讀取并恢復所述目標虛擬機的執(zhí)行狀態(tài)信息。為了保證被所述執(zhí)行環(huán)境調(diào)度模塊切換出去的虛擬機，只有所述用戶再次執(zhí)行所述環(huán)境切換指令時才能被再次執(zhí)行，所述執(zhí)行環(huán)境調(diào)度模塊標記所述被切換出去的虛擬機，以使所述執(zhí)行環(huán)境調(diào)度模塊在進行執(zhí)行環(huán)境切換時不會選擇標記的虛擬機。

本發(fā)明通過模擬移動終端硬件提供的可信執(zhí)行環(huán)境和普通執(zhí)行環(huán)境的內(nèi)存分配情況，為各個用戶的可信虛擬機和普通虛擬機進行內(nèi)存的分配。具體的，利用所述內(nèi)存管理模塊為各個虛擬機用戶的可信虛擬機和普通虛擬機進行內(nèi)存的分配。如圖2所示，圖2為本發(fā)明提供的為虛擬機用戶的普通虛擬機和可信虛擬機進行內(nèi)存分配的示意圖。其中，所述內(nèi)存管理模塊為屬于一個用戶的普通虛擬機和可信虛擬機分配相同大小的虛擬物理內(nèi)存，其中，所述普通虛擬機的虛擬物理內(nèi)存包括普通內(nèi)存和安全內(nèi)存；所述可信虛擬機的虛擬物理內(nèi)存包括普通內(nèi)存和安全內(nèi)存；所述普通虛擬機的普通內(nèi)存與所述可信虛擬機的普通內(nèi)存大小相同。所述內(nèi)存管理模塊建立所述普通虛擬機的普通內(nèi)存與物理內(nèi)存的映射關系，所述可信虛擬機的虛擬物理內(nèi)存與物理內(nèi)存的映射關系。并將所述普通虛擬機的普通內(nèi)存與物理內(nèi)存的映射關系存儲在第一內(nèi)存映射表中，將所述可信虛擬機的虛擬物理內(nèi)存與物理內(nèi)存的映射關系存儲在第二內(nèi)存映射表中，以使得所述普通虛擬機只能訪問所述普通虛擬機的普通內(nèi)存，所述可信虛擬機可訪問全部的虛擬物理內(nèi)存。另外，為了使得同一用戶的普通虛擬機與可信虛擬機共享同樣的普通內(nèi)存，兩臺虛擬機的普通內(nèi)存被映射至同一段真實的物理內(nèi)存。

所述外部設備管理模塊用于為各個虛擬機用戶建立并維護設備訪問權限表和中斷處理權限表。其中，所述設備訪問權限表用于存儲所述用戶的普通虛擬機和可信虛擬機分別能夠訪問的設備；所述中斷處理權限表用于存儲所述用戶的普通虛擬機和可信虛擬機分別負責處理的中斷類型。當所述外部設備管理模塊接收到用戶的虛擬機發(fā)出的設備訪問請求時，在所述設備訪問權限表中查 詢所述虛擬機是否能夠訪問該設備，如果確定能夠訪問，則完成所述設備訪問請求；否則提示訪問異常。另外，當所述外部設備管理模塊接收到用戶的虛擬機發(fā)出的中斷處理請求時，在中斷處理權限表中查詢負責處理所述中斷類型的虛擬機，并將所述中斷處理請求分配至所述虛擬機進行處理。

本發(fā)明中的移動終端硬件提供了可信執(zhí)行環(huán)境，所述可信執(zhí)行環(huán)境中設置有安全模塊，所述安全模塊可以由trustzone硬件架構中的處理器實現(xiàn)。利用移動終端硬件提供的隔離性，單獨運行于所述可信執(zhí)行環(huán)境中的安全模塊不易被惡意程序破壞。同時，所述內(nèi)存管理模塊維護的所述第一內(nèi)存映射表、所述第二內(nèi)存映射表，以及所述外部設備管理模塊維護的所述設備訪問權限表和所述中斷處理權限表作為關鍵管理數(shù)據(jù)存儲于所述虛擬機監(jiān)視器中。所述安全模塊中預先存儲了各個關鍵管理數(shù)據(jù)的合法修改條件，由所述安全模塊完成任一對關鍵管理數(shù)據(jù)的修改請求的合法性驗證，具體的，所述合法修改條件包括發(fā)出所述修改請求的虛擬機必須是可信虛擬機。在所述安全模塊確定所述修改請求合法后，所述虛擬機監(jiān)視器才能夠完成所述修改請求。也就是說，存儲于所述虛擬機監(jiān)視器中的關鍵管理數(shù)據(jù)對于普通執(zhí)行環(huán)境中的程序為只讀格式，不能對其進行直接修改。

另外，為了防止惡意程序通過修改所述虛擬機監(jiān)視器的代碼的方式繞過所述安全模塊的合法性驗證步驟，本發(fā)明將所述虛擬機監(jiān)視器的頁表也標記為關鍵管理數(shù)據(jù)，只有通過所述安全模塊的合法性驗證后才能夠對其進行修改。其中，所述虛擬機監(jiān)視器的頁表包括所述虛擬機監(jiān)視器的虛擬地址到真實物理地址的映射關系。本方法能夠有效防止所述虛擬機監(jiān)視器的代碼遭受篡改，進一步保證了用戶的數(shù)據(jù)安全。

本發(fā)明實施例提供了一種執(zhí)行環(huán)境的虛擬化方法，參考圖3，圖3為本發(fā)明實施例提供的一種執(zhí)行環(huán)境的虛擬化方法流程圖，所述方法包括：

s301：在所述普通執(zhí)行環(huán)境中為用戶建立普通虛擬機和可信虛擬機，其中，所述普通虛擬機用于執(zhí)行所述用戶的普通應用，所述可信虛擬機用于執(zhí)行所述用戶的安全應用。

本發(fā)明實施例提供的執(zhí)行環(huán)境的虛擬化方法應用于移動終端，其中，移動 終端具有硬件提供的普通執(zhí)行環(huán)境和可信執(zhí)行環(huán)境，本發(fā)明實施例提供的方法即是對所述普通執(zhí)行環(huán)境和所述可信執(zhí)行環(huán)境的虛擬化方法。

本發(fā)明實施例利用兩臺虛擬機(分別為普通虛擬機和可信虛擬機)為一個虛擬機用戶模擬普通執(zhí)行環(huán)境和可信執(zhí)行環(huán)境。所述虛擬機用戶的普通應用在普通虛擬機中執(zhí)行，安全應用在可信虛擬機中執(zhí)行，實現(xiàn)了所述用戶的安全應用與普通應用的隔離。具體的，所述安全應用為對數(shù)據(jù)安全要求較高的應用，如涉及到交易、支付等的應用。

s302：為所述普通虛擬機和所述可信虛擬機分配相同大小的虛擬物理內(nèi)存，其中，所述普通虛擬機的虛擬物理內(nèi)存包括普通內(nèi)存和安全內(nèi)存；所述可信虛擬機的虛擬物理內(nèi)存包括普通內(nèi)存和安全內(nèi)存；所述普通虛擬機的普通內(nèi)存與所述可信虛擬機的普通內(nèi)存大小相同。

基于移動終端具有的硬件提供的可信執(zhí)行環(huán)境與普通執(zhí)行環(huán)境的內(nèi)存分配的特點，本發(fā)明實施例為用戶的普通虛擬機和可信虛擬機分配相同大小的虛擬物理內(nèi)存。同時，所述普通虛擬機和可信虛擬機具有的普通內(nèi)存大小相同。

s303：建立所述普通虛擬機的普通內(nèi)存與物理內(nèi)存的映射關系，并將所述普通虛擬機的普通內(nèi)存與物理內(nèi)存的映射關系存儲在第一內(nèi)存映射表中，以使得所述普通虛擬機根據(jù)所述第一內(nèi)存映射表訪問所述普通虛擬機的普通內(nèi)存。

s304：建立所述可信虛擬機的虛擬物理內(nèi)存與物理內(nèi)存的映射關系，并將所述可信虛擬機的虛擬物理內(nèi)存與物理內(nèi)存的映射關系存儲在第二內(nèi)存映射表中，以使得所述可信虛擬機根據(jù)所述第二內(nèi)存映射表訪問所述可信虛擬機的安全內(nèi)存和普通內(nèi)存；其中，所述可信虛擬機的普通內(nèi)存映射的物理內(nèi)存與所述普通虛擬機的普通內(nèi)存映射的物理內(nèi)存相同。

由于只有映射至真實的物理內(nèi)存的虛擬物理內(nèi)存才能夠被正常訪問，否則會出現(xiàn)訪問異常。所以，本發(fā)明實施例將可信虛擬機的虛擬物理內(nèi)存映射至真實的物理內(nèi)存，使得所述可信虛擬機可訪問所述可信虛擬機的普通內(nèi)存和安全內(nèi)存；另外，本發(fā)明實施例還將普通虛擬機的普通內(nèi)存映射至真實的物理內(nèi)存，而安全內(nèi)存并未映射至真實的物理內(nèi)存，使得所述普通虛擬機只能訪問所述普通虛擬機的普通內(nèi)存，而訪問其安全內(nèi)存時會出現(xiàn)訪問異常。另外，由于一個用戶的可信虛擬機和普通虛擬機具有關聯(lián)關系，所以在內(nèi)存分配的過程中，虛 擬機監(jiān)視器將普通虛擬機的普通內(nèi)存和可信虛擬機的普通內(nèi)存映射至同一塊真實的物理內(nèi)存上，完成一個用戶的可信虛擬機和普通虛擬機在內(nèi)存方面的關聯(lián)關系的建立。

本發(fā)明實施例中，在建立普通虛擬機的普通內(nèi)存與物理內(nèi)存的映射關系時，產(chǎn)生第一內(nèi)存映射表，用于存儲所述普通虛擬機的普通內(nèi)存和物理內(nèi)存的映射關系。在建立可信虛擬機的虛擬物理內(nèi)存與物理內(nèi)存的映射關系時，產(chǎn)生第二內(nèi)存映射表，用于存儲所述可信虛擬機的虛擬物理內(nèi)存與物理內(nèi)存的映射關系。

本發(fā)明實施例提供的執(zhí)行環(huán)境的虛擬化方法中，為各個用戶建立并維護設備訪問權限表和中斷處理權限表。其中，所述設備訪問權限表用于存儲所述用戶的普通虛擬機和可信虛擬機分別能夠訪問的設備；所述中斷處理任務表用于存儲所述用戶的普通虛擬機和可信虛擬機分別負責處理的中斷類型。

另外，為了加強移動終端中數(shù)據(jù)信息的安全性，本發(fā)明實施例中的第一內(nèi)存映射表、第二內(nèi)存映射表、設備訪問權限表和中斷處理權限表對于普通執(zhí)行環(huán)境中的程序為只讀格式，即普通執(zhí)行環(huán)境中的程序不能直接對其進行修改。

本發(fā)明實施例在移動終端的硬件提供的可信執(zhí)行環(huán)境中設置有安全模塊，分別將所述第一內(nèi)存映射表的合法修改條件、所述第二內(nèi)存映射表的合法修改條件、所述設備訪問權限表的合法修改條件和所述中斷處理權限表的合法修改條件存儲于所述安全模塊中。

另外，為了防止移動終端內(nèi)的虛擬機監(jiān)視器被惡意程序篡改，所以，將所述虛擬機監(jiān)視器的頁表也設置為對于普通執(zhí)行環(huán)境中的程序為只讀格式。同時，所述虛擬機監(jiān)視器的頁表的合法修改條件也存儲于所述安全模塊中。

本發(fā)明實施例提供的執(zhí)行環(huán)境的虛擬化方法中，利用可信虛擬機和普通虛擬機模擬移動終端硬件提供的可信執(zhí)行環(huán)境和普通執(zhí)行環(huán)境，為虛擬機用戶的安全應用和普通應用提供相互隔離的執(zhí)行環(huán)境，保證安全應用的數(shù)據(jù)安全。

本發(fā)明實施例還提供了一種虛擬執(zhí)行環(huán)境的訪問方法，參考圖4，為本發(fā)明實施例提供的虛擬執(zhí)行環(huán)境的訪問方法流程圖，所述方法包括：

s401：截獲用戶在普通虛擬機或可信虛擬機中執(zhí)行的環(huán)境切換指令。

s402：根據(jù)所述環(huán)境切換指令，確定所述用戶需要切換的目標虛擬機。

s403：保存所述用戶當前使用的虛擬機的執(zhí)行狀態(tài)信息；讀取并恢復所述目標虛擬機的執(zhí)行狀態(tài)信息。

在對移動終端的硬件提供的執(zhí)行環(huán)境進行虛擬化之后，本發(fā)明實施例對虛擬化的執(zhí)行環(huán)境進行訪問。

實際應用中，一個虛擬機用戶具有普通虛擬機和可信虛擬機，當所述用戶在當前使用的虛擬機中觸發(fā)環(huán)境切換指令時，移動終端的虛擬機監(jiān)視器截獲所述用戶執(zhí)行的環(huán)境切換指令，對執(zhí)行環(huán)境進行切換。

由于一個用戶具有的普通虛擬機和可信虛擬機具有關聯(lián)關系，所以，在截獲所述環(huán)境切換指令后，查詢與所述用戶當前使用的虛擬機具有關聯(lián)關系的虛擬機，并將所述虛擬機作為所述用戶需要切換的目標虛擬機。

具體的，在切換執(zhí)行環(huán)境的過程中，所述虛擬機監(jiān)視器保存所述用戶當前使用的虛擬機的執(zhí)行狀態(tài)信息，以便后續(xù)再次啟動時使用；同時讀取并恢復所述目標虛擬機的執(zhí)行狀態(tài)信息。具體的，在執(zhí)行所述環(huán)境切換指令之前所述用戶使用的虛擬機將暫停運行，直至所述用戶再次執(zhí)行所述環(huán)境切換指令。

本發(fā)明實施例還提供了對虛擬執(zhí)行環(huán)境中的第一內(nèi)存映射表、第二內(nèi)存映射表、設備訪問權限表、中斷處理請求的訪問方法。

參考圖5，圖5為本發(fā)明實施例提供的對虛擬執(zhí)行環(huán)境中的第一內(nèi)存映射表的訪問方法流程圖，所述方法包括：

s501：接收來自所述普通虛擬機的內(nèi)存訪問請求，所述內(nèi)存訪問請求攜帶虛擬物理內(nèi)存。

s502：在預設的第一內(nèi)存映射表中查詢與所述虛擬物理內(nèi)存具有映射關系的物理內(nèi)存；如果查詢到所述物理內(nèi)存，則執(zhí)行s503。

s503：完成所述內(nèi)存訪問請求。

本發(fā)明實施例中，移動終端的虛擬機監(jiān)視器在接收到來自普通虛擬機的內(nèi)存訪問請求時，在預設的第一內(nèi)存映射表中查詢與所述內(nèi)存訪問請求攜帶的虛擬物理內(nèi)存具有映射關系的真實的物理內(nèi)存，如果查詢存在與所述虛擬物理內(nèi) 存具有映射關系的物理內(nèi)存，則完成所述內(nèi)存訪問請求，即將所述物理內(nèi)存返回至所述普通虛擬機，以便所述普通虛擬機能夠訪問所述物理內(nèi)存。如果查詢不存在與所述虛擬物理內(nèi)存具有映射關系的物理內(nèi)存，則提示訪問異常。

參考圖6，圖6為本發(fā)明實施例提供的對虛擬執(zhí)行環(huán)境中的第二內(nèi)存映射表的訪問方法流程圖，所述方法包括：

s601：接收來自所述可信虛擬機的內(nèi)存訪問請求，所述內(nèi)存訪問請求攜帶虛擬物理內(nèi)存。

s602：在預設的第二內(nèi)存映射表中查詢與所述虛擬物理內(nèi)存具有映射關系的真實物理內(nèi)存；如果查詢到所述真實物理內(nèi)存，則執(zhí)行s603。

s603：完成所述內(nèi)存訪問請求。

本發(fā)明實施例中，移動終端的虛擬機監(jiān)視器在接收到來自可信虛擬機的內(nèi)存訪問請求時，在預設的第二內(nèi)存映射表中查詢與所述內(nèi)存訪問請求攜帶的虛擬物理內(nèi)存具有映射關系的真實的物理內(nèi)存，如果查詢存在與所述虛擬物理內(nèi)存具有映射關系的物理內(nèi)存，則完成所述內(nèi)存訪問請求，即將所述物理內(nèi)存返回至所述可信虛擬機，以便所述可信虛擬機能夠訪問所述物理內(nèi)存。如果查詢不存在與所述虛擬物理內(nèi)存具有映射關系的物理內(nèi)存，則提示訪問異常。

參考圖7，圖7為本發(fā)明實施例提供的對虛擬執(zhí)行環(huán)境中的設備訪問權限表的訪問方法流程圖，所述方法包括：

s701：接收來自任一虛擬機的設備訪問請求，所述訪問請求攜帶設備標識；

s702：在預設的設備訪問權限表中查詢所述虛擬機是否能夠訪問所述設備標識對應的設備；如果確定所述虛擬機能夠訪問所述設備標識對應的設備，則執(zhí)行s703。

s703：完成所述訪問請求。

本發(fā)明實施例中，移動終端的虛擬機監(jiān)視器在接收到來自任一臺虛擬機的設備訪問請求時，在預設的設備訪問權限表中查詢所述虛擬機是否能夠訪問所述設備。如果確定所述虛擬機能夠訪問所述設備，則允許所述虛擬機對設備的訪問，否則禁止所述虛擬機對所述設備的訪問，如提示訪問異常等。

參考圖8，圖8為本發(fā)明實施例提供的對虛擬執(zhí)行環(huán)境中的中斷處理權限表的訪問方法流程圖，所述方法包括：

s801：接收任一中斷處理請求，所述中斷處理請求攜帶中斷類型。

s802：在預設的中斷處理權限表中查詢負責處理所述中斷類型的虛擬機。

s803：將所述中斷處理請求分配至所述虛擬機進行處理。

本發(fā)明實施例中，移動終端的虛擬機監(jiān)視器在接收到任一中斷處理請求后，在預設的中斷處理權限表中查詢負責處理所述中斷處理請求攜帶中斷類型的虛擬機，并將所述中斷處理請求分配至所述虛擬機進行處理。

另外，本發(fā)明實施例中的移動終端硬件提供的可信執(zhí)行環(huán)境中設置有安全模塊，為了進一步保證虛擬機用戶的數(shù)據(jù)安全，本發(fā)明實施例提供了分別針對預設的第一內(nèi)存映射表、第二內(nèi)存映射表、設備訪問權限表和中斷處理權限表的修改處理方法。參考圖9，為本發(fā)明實施例提供的分別針對預設的第一內(nèi)存映射表、第二內(nèi)存映射表、設備訪問權限表和中斷處理權限表的修改處理方法流程圖，所述方法包括：

s901：接收來自任一虛擬機的修改請求，所述修改請求為對預設的第一內(nèi)存映射表、第二內(nèi)存映射表、設備訪問權限表、中斷處理權限表或虛擬機監(jiān)視器的頁表的修改請求。

s902：將所述修改請求轉發(fā)至位于可信執(zhí)行環(huán)境中的安全模塊。

s903：所述安全模塊判斷所述修改請求是否符合所述第一內(nèi)存映射表的合法修改條件、所述第二內(nèi)存映射表的合法修改條件、所述設備訪問權限表的合法修改條件、所述中斷處理權限表的合法修改條件或虛擬機監(jiān)視器的頁表的合法修改條件，并在確定符合任一合法修改條件時，執(zhí)行s904。

其中，所述合法修改條件包括發(fā)送所述修改請求的虛擬機為可信虛擬機。

s904：允許所述修改請求。

由于安全模塊位于移動終端硬件提供的可信執(zhí)行環(huán)境中，利用硬件提供的隔離性，本發(fā)明實施例中的安全模塊能夠防止被惡意程序破壞。另外，將第一內(nèi)存映射表、第二內(nèi)存映射表、設備訪問權限表、中斷處理權限表或虛擬機監(jiān)視器的頁表的合法修改條件存儲于所述安全模塊中，一旦存在對第一內(nèi)存映射表、第二內(nèi)存映射表、設備訪問權限表、中斷處理權限表或虛擬機監(jiān)視器的頁表的修改請求后，由所述安全模塊根據(jù)預設的合法修改條件判斷所述修改請求 是否合法，如果合法才允許對第一內(nèi)存映射表、第二內(nèi)存映射表、設備訪問權限表、中斷處理權限表或虛擬機監(jiān)視器的頁表的修改。所以，本發(fā)明實施例能夠防止第一內(nèi)存映射表、第二內(nèi)存映射表、設備訪問權限表、中斷處理權限表和虛擬機監(jiān)視器的頁表被惡意修改，保證了虛擬機用戶的數(shù)據(jù)安全。

具體的，所述第一內(nèi)存映射表、所述第二內(nèi)存映射表、所述設備訪問權限表的合法修改條件、所述中斷處理權限表的合法修改條件均為發(fā)送所述修改請求的虛擬機為可信虛擬機，同時所述虛擬機的修改請求是對所述虛擬機所屬用戶的第一內(nèi)存映射表、第二內(nèi)存映射表、設備訪問權限表或中斷處理權限表進行修改。所述虛擬機監(jiān)視器的頁表的合法修改條件為發(fā)送所述修改請求的虛擬機為可信虛擬機。

本發(fā)明實施例提供的虛擬執(zhí)行環(huán)境的訪問方法中，一個用戶的可信虛擬機和普通虛擬機模擬移動終端硬件提供的可信執(zhí)行環(huán)境和普通執(zhí)行環(huán)境的執(zhí)行環(huán)境切換過程，為用戶的安全應用和普通應用提供相互獨立的執(zhí)行環(huán)境，保證數(shù)據(jù)信息的安全。

另外，本發(fā)明實施例通過在移動終端硬件提供的可信執(zhí)行環(huán)境中設置安全模塊為用戶的數(shù)據(jù)安全提供進一步的保證。安全模塊通過對修改請求的合法性判斷，避免惡意程序對用戶的數(shù)據(jù)信息的非法修改，保證用戶數(shù)據(jù)安全。

本發(fā)明實施例還提供了一種執(zhí)行環(huán)境的虛擬化裝置，參考圖10，圖10為本發(fā)明實施例提供的一種執(zhí)行環(huán)境的虛擬化裝置的結構示意圖，所述裝置應用于移動終端，所述移動終端具有硬件提供的普通執(zhí)行環(huán)境和可信執(zhí)行環(huán)境；所述裝置包括：

第一建立模塊1001，用于在所述普通執(zhí)行環(huán)境中為用戶建立普通虛擬機和可信虛擬機，其中，所述普通虛擬機用于執(zhí)行所述用戶的普通應用，所述可信虛擬機用于執(zhí)行所述用戶的安全應用；

分配模塊1002，用于為所述普通虛擬機和所述可信虛擬機分配相同大小的虛擬物理內(nèi)存，其中，所述普通虛擬機的虛擬物理內(nèi)存包括普通內(nèi)存和安全內(nèi)存；所述可信虛擬機的虛擬物理內(nèi)存包括普通內(nèi)存和安全內(nèi)存；所述普通虛擬機的普通內(nèi)存與所述可信虛擬機的普通內(nèi)容大小相同；

第二建立模塊1003，用于建立所述普通虛擬機的普通內(nèi)存與物理內(nèi)存的映射關系，并將所述普通虛擬機的普通內(nèi)存與物理內(nèi)存的映射關系存儲在第一內(nèi)存映射表中，以使得所述普通虛擬機根據(jù)所述第一內(nèi)存映射表訪問所述普通虛擬機的普通內(nèi)存；

第三建立模塊1004，用于建立所述可信虛擬機的虛擬物理內(nèi)存與物理內(nèi)存的映射關系，并將所述可信虛擬機的虛擬物理內(nèi)存與物理內(nèi)存的映射關系存儲在第二內(nèi)存映射表中，以使得所述可信虛擬機根據(jù)所述第二內(nèi)存映射表訪問所述可信虛擬機的安全內(nèi)存和普通內(nèi)存；其中，所述可信虛擬機的普通內(nèi)存映射的物理內(nèi)存與所述普通虛擬機的普通內(nèi)存映射的物理內(nèi)存相同。

另外，所述裝置還包括：

第四建立模塊，用于為所述用戶建立并維護設備訪問權限表和中斷處理權限表，其中，所述設備訪問權限表用于存儲所述用戶的普通虛擬機和可信虛擬機分別能夠訪問的設備；所述中斷處理任務表用于存儲所述用戶的普通虛擬機和可信虛擬機分別負責處理的中斷類型。

為了進一步保證用戶的數(shù)據(jù)信息安全，所述裝置還包括：

存儲模塊，用于分別將所述第一內(nèi)存映射表的合法修改條件、所述第二內(nèi)存映射表的合法修改條件、所述設備訪問權限表的合法修改條件和所述中斷處理權限表的合法修改條件以及虛擬機監(jiān)視器的頁表的合法修改條件存儲于安全模塊，所述安全模塊位于所述可信執(zhí)行環(huán)境中，所述可信虛擬機可對所述安全模塊進行操作。

本發(fā)明實施例提供的執(zhí)行環(huán)境的虛擬化裝置利用可信虛擬機和普通虛擬機模擬移動終端硬件提供的可信執(zhí)行環(huán)境和普通執(zhí)行環(huán)境，為虛擬機用戶的安全應用和普通應用提供相互隔離的執(zhí)行環(huán)境，保證安全應用的數(shù)據(jù)安全。

本發(fā)明實施例還提供了一種虛擬執(zhí)行環(huán)境的訪問裝置，參考圖11，為本發(fā)明實施例提供的一種虛擬執(zhí)行環(huán)境的訪問裝置的結構示意圖，所述裝置包括：

截獲模塊1101，用于截獲用戶在普通虛擬機或可信虛擬機中執(zhí)行的環(huán)境切換指令；

確定模塊1102，用于根據(jù)所述環(huán)境切換指令，確定所述用戶需要切換的目標虛擬機；

保存模塊1103，用于保存所述用戶當前使用的虛擬機的執(zhí)行狀態(tài)信息；

讀取模塊1104，用于讀取并恢復所述目標虛擬機的執(zhí)行狀態(tài)信息。

實際應用中，所述裝置還包括：

第一接收模塊，用于接收來自所述普通虛擬機的內(nèi)存訪問請求，所述內(nèi)存訪問請求攜帶虛擬物理內(nèi)存；

第一查詢模塊，用于在預設的第一內(nèi)存映射表中查詢與所述虛擬物理內(nèi)存具有映射關系的真實物理內(nèi)存；如果查詢到所述真實物理內(nèi)存，則完成所述內(nèi)存訪問請求。

實際應用中，所述裝置還包括：

第二接收模塊，用于接收來自所述可信虛擬機的內(nèi)存訪問請求，所述內(nèi)存訪問請求攜帶虛擬物理內(nèi)存；

第二查詢模塊，用于在預設的第二內(nèi)存映射表中查詢與所述虛擬物理內(nèi)存具有映射關系的真實物理內(nèi)存；如果查詢到所述真實物理內(nèi)存，則完成所述內(nèi)存訪問請求。

實際應用中，所述裝置還包括：

第三接收模塊，用于接收來自任一虛擬機的訪問請求，所述訪問請求攜帶設備標識；

第三查詢模塊，用于在預設的設備訪問權限表中查詢所述虛擬機是否能夠訪問所述設備標識對應的設備；如果確定所述虛擬機能夠訪問所述設備標識對應的設備，則完成所述訪問請求。

實際應用中，所述裝置還包括：

第四接收模塊，用于接收任一中斷處理請求，所述中斷處理請求攜帶中斷類型；

第四查詢模塊，用于在預設的中斷處理權限表中查詢負責處理所述中斷類型的虛擬機，并將所述中斷處理請求分配至所述虛擬機進行處理。

為了進一步保證用戶數(shù)據(jù)信息安全，所述裝置還包括：

第五接收模塊，用于接收來自任一虛擬機的修改請求，所述修改請求為對 預設的第一內(nèi)存映射表、第二內(nèi)存映射表、設備訪問權限表、中斷處理權限表或虛擬機監(jiān)視器的頁表的修改請求；

轉發(fā)模塊，用于將所述修改請求轉發(fā)至位于可信執(zhí)行環(huán)境中的安全模塊，由所述安全模塊判斷所述修改請求是否符合所述第一內(nèi)存映射表的合法修改條件、所述第二內(nèi)存映射表的合法修改條件、所述設備訪問權限表的合法修改條件、所述中斷處理權限表的合法修改條件或虛擬機監(jiān)視器的頁表的合法修改條件，并在確定符合任一合法修改條件時，允許所述修改請求；其中，所述合法修改條件包括發(fā)送所述修改請求的虛擬機為可信虛擬機。

本發(fā)明實施例提供的虛擬執(zhí)行環(huán)境的訪問裝置為一個用戶的可信虛擬機和普通虛擬機模擬移動終端硬件提供的可信執(zhí)行環(huán)境和普通執(zhí)行環(huán)境的執(zhí)行環(huán)境切換過程，為用戶的安全應用和普通應用提供相互獨立的執(zhí)行環(huán)境，保證數(shù)據(jù)信息的安全。另外，在可信執(zhí)行環(huán)境中設置的安全模塊通過對修改請求的合法性判斷，避免惡意程序對用戶的數(shù)據(jù)信息的非法修改，保證用戶數(shù)據(jù)安全。

圖12為本發(fā)明一實施例提供的執(zhí)行環(huán)境的虛擬化裝置的結構示意圖，所述裝置應用于移動終端，所述移動終端具有硬件提供的普通執(zhí)行環(huán)境。如圖12所示，所述裝置包括處理器1201、存儲器1202，還包括i\o接口1203，所述處理器和所述存儲器通過總線連接，其中，所述存儲器存儲程序代碼，并將所述程序代碼傳輸給所述處理器，所述處理器根據(jù)所述程序代碼中的指令，執(zhí)行以下步驟：

在所述普通執(zhí)行環(huán)境中為用戶建立普通虛擬機和可信虛擬機，其中，所述普通虛擬機用于執(zhí)行所述用戶的普通應用，所述可信虛擬機用于執(zhí)行所述用戶的安全應用；為所述普通虛擬機和所述可信虛擬機分配相同大小的虛擬物理內(nèi)存，其中，所述普通虛擬機的虛擬物理內(nèi)存包括普通內(nèi)存和安全內(nèi)存；所述可信虛擬機的虛擬物理內(nèi)存包括普通內(nèi)存和安全內(nèi)存；所述普通虛擬機的普通內(nèi)存與所述可信虛擬機的普通內(nèi)存大小相同；建立所述普通虛擬機的普通內(nèi)存與物理內(nèi)存的映射關系，并將所述普通虛擬機的普通內(nèi)存與物理內(nèi)存的映射關系存儲在第一內(nèi)存映射表中，以使得所述普通虛擬機根據(jù)所述第一內(nèi)存映射表訪問所述普通虛擬機的普通內(nèi)存；建立所述可信虛擬機的虛擬物理內(nèi)存與物理內(nèi) 存的映射關系，并將所述可信虛擬機的虛擬物理內(nèi)存與物理內(nèi)存的映射關系存儲在第二內(nèi)存映射表中，以使得所述可信虛擬機根據(jù)所述第二內(nèi)存映射表訪問所述可信虛擬機的安全內(nèi)存和普通內(nèi)存；其中，所述可信虛擬機的普通內(nèi)存映射的物理內(nèi)存與所述普通虛擬機的普通內(nèi)存映射的物理內(nèi)存相同。

可選地，所述處理器還用于為所述用戶建立并維護設備訪問權限表和中斷處理權限表，其中，所述設備訪問權限表用于存儲所述用戶的普通虛擬機和可信虛擬機分別能夠訪問的設備；所述中斷處理權限表用于存儲所述用戶的普通虛擬機和可信虛擬機分別負責處理的中斷類型。

可選地，所述移動終端具有硬件提供的可信執(zhí)行環(huán)境，所述處理器還用于分別將所述第一內(nèi)存映射表的合法修改條件、所述第二內(nèi)存映射表的合法修改條件、所述設備訪問權限表的合法修改條件和所述中斷處理權限表的合法修改條件以及虛擬機監(jiān)視器的頁表的合法修改條件存儲于安全模塊，所述安全模塊位于所述可信執(zhí)行環(huán)境中，所述可信虛擬機可對所述安全模塊進行操作。

圖13為本發(fā)明一實施例提供的虛擬執(zhí)行環(huán)境的訪問裝置的結構示意圖，所述裝置應用于移動終端，所述移動終端具有硬件提供的普通執(zhí)行環(huán)境,所述普通執(zhí)行環(huán)境中運行有兩臺與預設用戶相關聯(lián)的虛擬機，分別為普通虛擬機和可信虛擬機，其中，所述普通虛擬機用于執(zhí)行所述用戶的普通應用，所述可信虛擬機用于執(zhí)行所述用戶的安全應用。如圖13所示，所述裝置包括處理器1301、存儲器1302，還包括i\o接口1303，所述處理器和所述存儲器通過總線連接，其中，所述存儲器存儲程序代碼，并將所述程序代碼傳輸給所述處理器，所述處理器根據(jù)所述程序代碼中的指令，執(zhí)行以下步驟：

截獲用戶在普通虛擬機或可信虛擬機中執(zhí)行的環(huán)境切換指令；根據(jù)所述環(huán)境切換指令，確定所述用戶需要切換的目標虛擬機；保存所述用戶當前使用的虛擬機的執(zhí)行狀態(tài)信息；讀取并恢復所述目標虛擬機的執(zhí)行狀態(tài)信息。

可選地，所述處理器還用于接收來自所述普通虛擬機的內(nèi)存訪問請求，所述內(nèi)存訪問請求攜帶虛擬物理內(nèi)存；在預設的第一內(nèi)存映射表中查詢與所述虛擬物理內(nèi)存具有映射關系的真實物理內(nèi)存；如果查詢到所述真實物理內(nèi)存，則完成所述內(nèi)存訪問請求。

所述處理器還用于接收來自所述可信虛擬機的內(nèi)存訪問請求，所述內(nèi)存訪問請求攜帶虛擬物理內(nèi)存；在預設的第二內(nèi)存映射表中查詢與所述虛擬物理內(nèi)存具有映射關系的真實物理內(nèi)存；如果查詢到所述真實物理內(nèi)存，則完成所述內(nèi)存訪問請求。

所述處理器還用于接收來自任一虛擬機的設備訪問請求，所述設備訪問請求攜帶設備標識；在預設的設備訪問權限表中查詢所述虛擬機是否能夠訪問所述設備標識對應的設備；如果確定所述虛擬機能夠訪問所述設備標識對應的設備，則完成所述設備訪問請求。

所述處理器還用于接收任一中斷處理請求，所述中斷處理請求攜帶中斷類型；在預設的中斷處理權限表中查詢負責處理所述中斷類型的虛擬機，并將所述中斷處理請求分配至所述虛擬機進行處理。

可選地，所述移動終端具有硬件提供的可信執(zhí)行環(huán)境，所述處理器還用于接收來自任一虛擬機的修改請求，所述修改請求為對預設的第一內(nèi)存映射表、第二內(nèi)存映射表、設備訪問權限表、中斷處理權限表或虛擬機監(jiān)視器的頁表的修改請求；

將所述修改請求轉發(fā)至位于可信執(zhí)行環(huán)境中的安全模塊，由所述安全模塊判斷所述修改請求是否符合所述第一內(nèi)存映射表的合法修改條件、所述第二內(nèi)存映射表的合法修改條件、所述設備訪問權限表的合法修改條件、所述中斷處理權限表的合法修改條件或虛擬機監(jiān)視器的頁表的合法修改條件，并在確定符合任一合法修改條件時，允許所述修改請求；其中，所述合法修改條件包括發(fā)送所述修改請求的虛擬機為可信虛擬機。

本發(fā)明實施例所述執(zhí)行環(huán)境的虛擬化裝置和所述虛擬執(zhí)行環(huán)境的訪問裝置的技術原理和技術效果可以參考圖1至圖11所示實施例中的相關描述，不再贅述。所屬領域的技術人員可以清楚地了解到，為描述的方便和簡潔，上述描述的系統(tǒng)，裝置和單元的具體工作過程，可以參考前述方法實施例中的對應過程，在此不再贅述。

在本申請所提供的幾個實施例中，應該理解到，所揭露的裝置和方法，可以通過其它的方式實現(xiàn)。例如，以上所描述的裝置實施例僅僅是示意性的，例 如，所述單元的劃分，僅僅為一種邏輯功能劃分，實際實現(xiàn)時可以有另外的劃分方式，例如多個單元或組件可以結合或者可以集成到另一個系統(tǒng)，或一些特征可以忽略，或不執(zhí)行。另一點，所顯示或討論的相互之間的耦合或直接耦合或通信連接可以是通過一些接口，裝置或單元的間接耦合或通信連接，可以是電性，機械或其它的形式。

所述作為分離部件說明的單元可以是或者也可以不是物理上分開的，作為單元顯示的部件可以是或者也可以不是物理單元，即可以位于一個地方，或者也可以分布到多個網(wǎng)絡單元上?？梢愿鶕?jù)實際的需要選擇其中的部分或者全部單元來實現(xiàn)本實施例方案的目的。

另外，在本發(fā)明各個實施例中的各功能單元可以集成在一個處理單元中，也可以是各個單元單獨物理存在，也可以兩個或兩個以上單元集成在一個單元中。上述集成的單元既可以采用硬件的形式實現(xiàn)，也可以采用硬件加軟件功能單元的形式實現(xiàn)。

上述以軟件功能單元的形式實現(xiàn)的集成的單元，可以存儲在一個計算機可讀取存儲介質(zhì)中。上述軟件功能單元存儲在一個存儲介質(zhì)中，包括若干指令用以使得一臺計算機設備(可以是個人計算機，服務器，或者網(wǎng)絡設備等)執(zhí)行本發(fā)明各個實施例所述方法的部分步驟。而前述的存儲介質(zhì)包括：移動硬盤、只讀存儲器(英文：read-onlymemory，簡稱rom)、隨機存取存儲器(英文：randomaccessmemory，簡稱ram)、磁碟或者光盤等各種可以存儲程序代碼的介質(zhì)。

最后應說明的是：以上實施例僅用以說明本發(fā)明的技術方案，而非對其限制；盡管參照前述實施例對本發(fā)明進行了詳細的說明，本領域的普通技術人員應當理解：其依然可以對前述各實施例所記載的技術方案進行修改，或者對其中部分技術特征進行等同替換；而這些修改或者替換，并不使相應技術方案的本質(zhì)脫離本發(fā)明各實施例技術方案的保護范圍。