系统架构

鲲鹏BoostKit机密计算TrustZone套件并不针对特定业务的业务功能，而是一个由硬件（包括BIOS、BMC）、机密计算运行环境，以及配套的patch、应用开发指导和应用打包工具等组成的技术方案。

本文不会针对具体某一个组件展开说明，而是面向行业开发者，以解决方案角度展开对涉及的组件说明，旨在指导开发者可以快速地了解鲲鹏BoostKit机密计算TrustZone套件所涉及的软硬件实体，以便快速部署和使用自己的开发环境。

图1 鲲鹏BoostKit机密计算TrustZone套件组成

通过此套件，华为旨在提供一个安全的，方便客户开发者部署自有应用（包括CA和TA）的平台。涉及方包括华为以及客户，表1分别以华为和客户责任方来描述套件中所涉及的组件和功能。

表1 基于鲲鹏BoostKit机密计算TrustZone套件完整组成说明
类别	子类	说明
行业客户	业务应用	根据TrustZone的软件开发模型，某一个具体的业务应用分别被拆分为TA和CA。 TA（Trusted Application），运行在安全世界TEE的应用服务。 CA（Client Application），运行在Host OS非安全世界REE的应用。
行业客户	Linux OS	客户自行选择并部署的Linux操作系统。TEE执行环境与用户操作系统没有耦合关系，但是CA和TA的通信会依赖于REE侧的通信框架，华为以REE Patch的方式提供。为了确保与操作系统兼容，华为已将REE Patch在openEuler社区开源，开发者可以根据自己的需要，在选定的OS上自行编译。
华为交付件	安全OS	华为TEE侧OS，提供在TEE内的应用执行环境。它适配了鲲鹏平台的多CPU多核，以及鲲鹏平台特有硬件。正常情况下，客户如果购买了支持TrustZone功能的鲲鹏服务器，TEE OS会内置于硬件平台内，后续可以通过升级更新版本。
	硬件Firmware	为支持TrustZone特性，硬件Firmware版本也进行了相关的适配。 BIOS：支持对TEE OS的解密、安全启动，以及对TEE OS涉及功能的配置。 iBMC：支持对TEE OS的升级维护。支持TrustZone功能的硬件Firmware随同硬件在产线预装，客户需要通过硬件的Firmware版本获取途径获得更新。
	REE侧Patch	为了让客户的业务应用CA与部署在TEE内的TA通信，需要在客户的操作系统中部署Patch，该Patch包括用户态的API库、守护进程以及内核驱动。为应对客户不同的操作系统的诉求，华为已将源码开源。
	应用开发SDK	包括应用开发接口说明、应用打包工具、头文件以及Demo代码等。目前SDK已开源发布。

父主题： 鲲鹏BoostKit机密计算TrustZone套件