安恒信息携手海光信息联合推出安全岛隐私计算一体机

8月18日，安恒信息联合海光信息技术股份有限公司（以下简称“海光公司”）发布安全岛隐私计算一体机，深度适配海光国产可信硬件底座，结合安恒AiLand安全岛隐私计算应用系统，提供安全、方便、快捷的基于隐私计算一体机的数据可信安全流通产品，助力数据要素流通，赋能数据价值释放。安恒信息首席科学家、高级副总裁刘博与海光公司副总裁应志伟出席联合发布仪式。

海光信息技术股份有限公司成立于2014年，是一家致力于国产高性能处理器技术研究和芯片研发的高科技企业。通过几年的努力，海光公司已成长为全球除美国Intel和AMD之外唯一可以独立设计生产国际主流的通用高性能x86架构CPU产品的上市公司。2020年，海光独立研发了以安全加密虚拟机为基础的可信执行环境CSV（China Secure Virtualization）。CSV虚拟机使用国密SM4硬件引擎加密内存数据，使用独立的Cache和TLB等资源，在CPU内构造出一个安全的TEE可信执行环境，保证主机管理员或其他用户无法访问TEE内的数据。CSV支持启动度量和运行时远程身份认证，保证运行的是合法的用户程序。CSV加密内存的密钥由硬件随机数发生器生成，密钥对软件不可见，保证用户的数据安全。

安全岛隐私计算一体机基于海光自主研发的3000、5000、7000三个系列的CPU，与CSV可信执行环境进行了深度融合，获得了海光CPU的TEE特性兼容性认证证书，与海光CPU硬件TEE生态兼容性认证。其中，海光可信执行环境CSV技术，将可信环境与计算任务、数据合约绑定，给用户提供了从硬件到软件的，数据全生命周期的安全保护；海光C86 处理器安全计算架构（CSCA）的各项安全功能，为业务系统提供更安全、更快速、更稳定的支撑。

如图所示，海光CPU的架构设计包括安全支撑系统和性能支撑系统，给安全岛隐私计算中台及上层应用平台提供了性能、安全性及稳定性上的支撑。

在安全支撑系统中，基于硬件机密计算功能构建的CSV机密计算模块，给程序和数据提供了安全的执行环境。基于硬件安全启动功能构建的系统可信模块，给安全岛隐私计算一体机上运行的系统提供了系统层面的可信保证。基于硬件动态度量的合约可信模块，可以给安全岛隐私计算一体机上运行的应用程序与数据提供可信保障。基于硬件安全存储、安全密钥、密码计算的数据全生命周期加密模块，可以给应用系统中的数据提供硬件级别的数据安全保护。基于硬件密钥管理的密钥管理和身份认证模块，可以给业务系统提供安全、灵活的用户管理功能。

在性能支撑系统中，安全岛隐私计算一体机的架构设计中包含两个部分：首先，对于密码计算任务，使用基于海光硬件密码计算的密码计算模块，给国密算法与基于国密算法的各种应用进行加速服务。然后，对于普通计算任务，特别是大数据、深度学习相关的任务，基于海光硬件DCU，给业务系统的性能与稳定性优化。

该方案构建安全支撑系统，给安全岛隐私计算一体机的应用中台提供安全保证。安全保证从以下几个方面实现：

·基于国产化硬件海光的可信执行环境CSV，保证了无硬件后门的存在，最小化可信执行环境技术的攻击面，给政务、金融等高安全需求领域提供了可信的底层支撑。

·结合硬件及软件，保证了数据全生命周期的安全。硬件层面基于海光芯片，软件层面使用有安恒信息独立开发的安全岛数据互联平台，安全层面由安恒信息多维度的网络安全防护系统进行保障，满足了政府机构对IT设施和软件严格的安全性要求。

·可信执行环境技术与密钥管理与身份认证绑定，为每个用户的身份验证及数据安全保护提供安全保护功能。

·可信执行环境技术与数据合约绑定，为每个计算任务创建独立的可信环境，使不同合约之间的数据完全隔离，最终实现数据的“可用不可见”、“可用不可取”，保障多源多方数据安全计算的可靠、可控和可溯。

·可信执行环境技术与其他隐私计算平台结合，提供安全、可信、快速执行计算任务的基础。其他隐私计算平台包括安全多方计算平台、联邦学习平台等。

·可信执行环境内的操作被详细审计和记录，并保存在区块链上，实现操作监控和历史回放，方便后续事件溯源。

隐私计算技术已成为提升数据要素市场安全性的重要抓手。安恒信息与海光公司的强强联手，充分融合了双方的先进技术和行业经验，通过软硬件结合方式，提供一站式隐私保护计算解决方案，推动隐私计算在政府、电信、医疗、金融等关键领域的快速落地。