---
title: 系统架构
description: "鲲鹏BoostKit 机密计算TrustZone套件 并不针对特定业务的业务功能，而是一个由硬件（包括BIOS、BMC）、机密计算运行环境，以及配套的patch、应用开发指导和应用打包工具等组成的技术方案。"
url: https://www.hikunpeng.com/document/detail/zh/kunpengcctrustzone/trustzone/twp/kunpengtrustzone_19_0007.html
sourcePath: /source/zh/kunpengcctrustzone/trustzone/twp/kunpengtrustzone_19_0007.html
indexId: f60cccd7c57c360c9c6421179dbcb0a477c66fa58ad4b16297b73d09f6c21e1673
---
# 系统架构

鲲鹏BoostKit 机密计算TrustZone套件 并不针对特定业务的业务功能，而是一个由硬件（包括BIOS、BMC）、机密计算运行环境，以及配套的patch、应用开发指导和应用打包工具等组成的技术方案。

本文不会针对具体某一个组件展开说明，而是面向行业开发者，以解决方案角度展开对涉及的组件说明，旨在指导开发者可以快速地了解鲲鹏BoostKit机密计算TrustZone套件所涉及的软硬件实体，以便快速部署和使用自己的开发环境。

图1 鲲鹏BoostKit机密计算TrustZone套件组成

通过此套件，华为旨在提供一个安全的，方便客户开发者部署自有应用（包括CA和TA）的平台。涉及方包括华为以及客户，表1分别以华为和客户责任方来描述套件中所涉及的组件和功能。


**表1 基于鲲鹏BoostKit机密计算TrustZone套件完整组成说明**

| 类别 | 子类 | 说明 |
| --- | --- | --- |
| 行业客户 | 业务应用 | 根据TrustZone的软件开发模型，某一个具体的业务应用分别被拆分为TA和CA。 TA（Trusted Application），运行在安全世界TEE的应用服务。 CA（Client Application），运行在Host OS非安全世界REE的应用。 |
| 行业客户 | Linux OS | 客户自行选择并部署的Linux操作系统。TEE执行环境与用户操作系统没有耦合关系，但是CA和TA的通信会依赖于REE侧的通信框架，华为以REE Patch的方式提供。为了确保与操作系统兼容，华为已将REE Patch在openEuler社区开源，开发者可以根据自己的需要，在选定的OS上自行编译。 |
| 华为交付件 | 安全OS | 华为TEE侧OS，提供在TEE内的应用执行环境。它适配了鲲鹏平台的多CPU多核，以及鲲鹏平台特有硬件。正常情况下，客户如果购买了支持TrustZone功能的鲲鹏服务器， TEE OS 会内置于硬件平台内，后续可以通过升级更新版本。 |
| 华为交付件 | 硬件Firmware | 为支持TrustZone特性，硬件Firmware版本也进行了相关的适配。 BIOS：支持对TEE OS的解密、安全启动，以及对TEE OS涉及功能的配置。 iBMC：支持对TEE OS的升级维护。 支持TrustZone功能的硬件Firmware随同硬件在产线预装，客户需要通过硬件的Firmware版本获取途径获得更新。 |
| 华为交付件 | REE侧Patch | 为了让客户的业务应用CA与部署在TEE内的TA通信，需要在客户的操作系统中部署Patch，该Patch包括用户态的API库、守护进程以及内核驱动。 为应对客户不同的操作系统的诉求，华为已将源码开源。 |
| 华为交付件 | 应用开发SDK | 包括应用开发接口说明、应用打包工具、头文件以及Demo代码等。目前SDK已开源发布。 |