CN114287002B 用于控制对设备资源的访问的电子设备及其操作方法 （三星电子株式会社）

2022.02.24PCT/KR2020/0113742020.08.26WO2021/040395EN2021.03.04KR20150124757A,2015.11.06US2014189852A1,2014.07.03US2018129525A1,2018.05.10用于控制对设备资源的访问的电子设备及本公开涉及了一种用于控制对设备资源的于第一权限的操作的第一区域中执行的至少一过使用在允许基于第三权限的操作的第三区域中执行的权限确定模块来确定对至少一个设备2执行在允许基于第一权限的操作的处理器的第一区域中执行在允许基于第二权限的操作的处理器的第二区域中执行的至少一三权限的操作的处理器的第三区域中执行的权限确定模块来配置对所述至少一个设备资在允许基于第三权限的操作的第三区域中存储权限策略，通过处理器的安全区域向允许基于第三权限的操作的处理器的非安全区域提供权限通过处理器的安全区域向允许基于第三权限的操作的处理器的安全区域提供权限策基于所配置的对所述至少一个设备资源的访问权限，确定所述至如果所配置的权限被确定为限制对所述至少一个设备资源执行在允许基于第一权限的操作的处理器的第一区域中执行在允许基于第二权限的操作的处理器的第二区域中执行的至少一三权限的操作的处理器的第三区域中执行的权限确定模块来配置对所述至少一个设备资在允许基于第三权限的操作的第三区域中存储权限策略，通过处理器的安全区域向允许基于第三权限的操作的处理器的非安全区域提供权限3通过处理器的非安全区域向允许基于第三权限的操作的处理器的非安全区域提供权通过处理器的安全区域向允许基于第三权限的操作的处理器的安全区域提供权限策基于所配置的对所述至少一个设备资源的访问权限，确定所述至如果所配置的权限被确定为限制对所述至少一个设备资源4至少一个传感器模块、至少一个扬声器模块、至少一个麦克风模块和/或至少一个显示模[0004]通常，电子设备可以通过数据库管理对架构(framework)上的设备资源的访问权定模块来配置所述至少一个应用访问所述至少一个使用在允许基于第三权限的操作的第三区域中执行的权限确定模块来配置所述至少一个5[0019]图8A是示出根据实施例的向允许基于第三权限的操作的区域提供权限策略的过开中的功能来定义如下所述的术语，并且这些术语的含义可以根据用户或操作者的意图、6121)可控制与电子设备101的部件之中的至少一个部件(例如，显示设备160、传感器模块176或通信模块190)相关的功能或状态中的至少一些，或者在主处理器121处于激活状态现为在功能上与辅助处理器123相关的另一部件(例如，相机模块180或通信模块190)的一[0029]可将程序140作为软件存储在存储器130中，并且程序140可包括例如操作系统[0030]输入设备150可从电子设备101的外部(例如，用户)接收将由电子设备101的其它[0031]声音输出设备155可将声音信号输出到电子设备101的外部。声音输出设备155可[0034]传感器模块176可检测电子设备101的操作状态(例如，电力或温度)或电子设备101外部的环境状态(例如，用户的状态)，然后生成与检测到的状态相应的电信号或数据[0035]接口177可支持将用来使电子设备101与外部电子设备(例如，电子设备102)直接7[0037]触觉模块179可将电信号转换为可被用户经由他的触觉或动觉识别的机械刺激星系统(GNSS)通信模块)或有线通信模块194(例如，局域网(LAN)通信模块或电力线通信在用户识别模块196中的用户信息(例如，国际移动用户识别码(IMSI))识别并验证通信网络(诸如第一网络198或第二网络199)中的电所选择的至少一个天线在通信模块190和外部电子设备之间发送或接收信号或电力。根据[0043]上述部件中的至少一些可经由外设间通信方案(例如，总线、通用输入输出8[0044]根据实施例，可经由与第二网络199连接的服务器108在电子设备101和外部电子设备104之间发送或接收命令或数据。电子设备102和电子设备104中的每一个可以是与电来自用户或另一设备的请求执行功能或服务，则电子设备101可请求所述一个或更多个外备101除了运行所述功能或服务以外，还可请求所述一个或更多个外部电子设备执行所述功能或服务中的所请求的所述至少部分，或者执行与所述请求相关的另外功能或另外服情况下或者在不对所述结果进行进一步处理的情况下将所述结果提供作为对所述请求的应用146的至少一个资源。操作系统142可以包括例如AndroidTM、iOSTM、WindowsTM、SymbianTM、TizenTM或BadaTM。程序140的至少一部分可以例如在制造时预加载到电子设备[0048]应用管理器201可以管理例如应用146的生命周期。窗口管理器203可以管理例如体文件中的相应媒体文件。资源管理器207可以管理例如应用146的源代码或存储器130的电力管理器209可以链接到电子设备101的基本输入/输出系统(basicinput/output9的语音数据发送到服务器108，并且至少部分基于语音数据或者至少部分基于语音数据转的至少一部分可以作为其一部分被包括在操作系统142中，或者可以被实现为不同于操作设备101和外部电子设备之间的信息交换的信息交换应用。信息交换应用可以包括例如被[0052]设备管理应用可以控制例如与电子设备101或外部电子设备的元件的一部分(例如，显示设备160或相机模块180)通信的外部电子设备的电力(例如，开启或关闭)或功能[0053]根据各种实施例，如上所述的程序140可以包括用于管理对设备资源的访问的附[0054]根据实施例，权限管理管理器297可以响应于至少一个应用146和操作系统142的[0055]根据实施例，管理程序291可以在操作系统142和至少一个应用146不能访问的区的单数形式的名词可包括一个或更多个事物，除非相关上下文另有明确指示。如这里所使由第三元件与所述另一元件连接。外部存储器138)中的可由机器(例如，电子设备101)读取的一个或更多个指令的软件(例理器120)可在使用或无需使用一个或更多个其它部件的情况下调用存储在存储介质中的波)，但是该术语并不在数据被半永久性地存储在存储介质中与数据被临时存储在存储介[0060]根据实施例，可在计算机程序产品中包括和提供根据本公开的各种实施例的方机程序产品中的至少部分至少临时存储在机器可读存储介质(诸如制造商的服务器、应用件334和安全监测器344可以在第二区域36个应用312无法访问的EL2330处管理设备资源的权限策略。权限策略可以是定义限制(或置处理器120以确定至少一个应用312和/或操作系统322是否有权访问至少一个设备资源。322对设备资源的访问，则基于配置的权限策略来确定将由至少一个应用312和/或操作系述权限策略定义限制所述至少一个应用限制的[0071]处理器可以被配置为通过处理器的非安全区域向允许基于第三权限的操作的非[0072]处理器可以被配置为通过处理器的安全区域向允许基于第三权限的操作的安全[0073]处理器可以被配置为通过处理器的安全区域向允许基于第三权限的操作的非安[0075]处理器可以被配置为在引导(boot-on)操作期间获得指定的第一权限策略，并且[0076]图4A是根据实施例的用于确定对电子设备101中的设备资源的访问权限的流程图处理器120可以处理要在允许基于第一权限的操作的区域中执行的至少一个操作系统。例器120可以被请求以通过使用在允许基于第三权限的操作的区域中执行的权限确定模块来[0080]图4B是根据实施例的用于确定对电子设备中的设备资源的访问权限的流程图操作的区域(例如EL2330)中执行的权限确定模块接收用于确定对设备资源的访问权限的理器120可以基于从权限确定模块接收的访问权限来确定访问特定硬件的至少一个应用的置。响应于检测到至少一个应用访问设备资源的访问限制被配置，处理器120可以执行处通过将获得的权限策略存储在允许基于第三权限的操作的区域(例如，EL2)中来配置资源为另一个示例，附加权限策略可以由外部公司(例如，金融机构)定义，用于主张(或保护理器120可以执行与图4A中的步骤401是示出根据实施例的向允许基于第三权限的操作的区域提供权限策略的过程的图800，图8B是示出根据实施例的向允许基于第三权限的操作的区域提供权限策略的过程的图820，以及图8C是示出根据实施例的向允许基于第三权限的操作的区域提供权限策略的过程的[0095]处理器120可以通过被称为非安全状态(或正常世界)的第一区域810向允许基于[0097]根据另一实施例，处理器120可以通过被称为安全状态(或安全世界)并且与第一器120可以通过安全操作系统模块834将通过可信的应用832获得的权限策略存储在安全[0098]根据另一实施例，处理器120可以通过被称为安全状态(或安全世界)并且与第一区域810分离的不同的第二区域850向允许基于第三权限的操作的非安全区域提供权限策[0099]在步骤720，处理器120可以通过允许基于第三权限的操作的区域来解码权限策略。处理器120可以通过使用在允许基于第三权限的操作的区域中执行的管理程序来解码区域中。处理器120可以将解码的权限策略存储在允许基于第三权限的操作的非安全区域[0101]处理器120可以将解码的权限策略存储在允许基于第三权限的操作的区域中，以[0102]图9是根据实施例的用于处理对电子设备101中的设备资源的访问的流程图900。[0104]如果没有检测到对设备资源的访问，则处理器120可以重复执行确定是否检测到骤920。访问权限确定事件可以是当限制对设备资源的访问时允许权限管理模块执行后续处理操作的指定的事件。处理器120可以响应于检测到对被限制访问权限的设备资源的访得定义限制或允许的至少一个设备资源的附加权限策略，处理器120可以确定被限制访问的区域中预先地配置了限制对相应设备资源区域的访问权限被，则在步骤920，在硬件方理器120可以请求不同区域中的模块对允许基于第三权限的操作的区域中的设备资源访问面描述的图10中的步骤可以与图4A中的步骤430或图9中的步骤920的各种实施例相对应。被识别。处理器120可以通过使用在允许基于第三权限的操作的区域中执行的权限确定模问限制的通知。处理器120可以向架构模块或操作系统模块中的至少一个提供告知访问限101中(诸如在存储器130中)或电子设备101的外部(例如，外部电子设备(例如，电子设备[0116]参考图11A，电子设备可以基于指定的输入执行至少一个应用，例如，相机应用相机驱动器1104可以访问与相机模块的输入/输出相关的寄存器1106，以处理要操作的相用在允许基于第三权限的操作的第三区域中执行的权限确定模块来配置对至少一个设备[0121]允许基于第三权限的操作的第三区域可以包括在其中执行管理程序、安全EL2和[0122]电子设备的方法还可以包括处理器还被配置为在允许基于第三权限的操作的第[0124]权限策略可以通过处理器的非安全区域被提供给允许基于第三权限的操作的非[0125]权限策略可以通过处理器的安全区域被提供给允许基于第三权限的操作的安全[0126]权限策略可以通过处理器的安全区域被提供给允许基于第三权限的操作的非安[0127]电子设备的方法还可以包括基于所配置的对所述至少一