国芯科技云安全芯片CCP917T通过商用密码产品认证

近日，国芯科技超高性能云安全芯片CCP917T通过了商用密码检测认证中心的商用密码检测认证，获得《商用密码产品认证证书》（二级），这标志着公司在该芯片的商业化应用上又迈出了重要的一步。

随着《网络安全法》、《密码法》、《数据安全法》等一系列法律法规的深入实施，商用密码技术在政务、金融、能源、通信等关键领域的应用日益广泛，云密码服务和网络安全应用对高性能、高可靠、全自主的密码芯片提出了迫切需求。在此背景下，国芯科技坚持自主创新，率先拥抱开放指令集架构RISC-V，成功研发出超高性能云安全芯片CCP917T。该芯片不仅在性能上实现突破，更在架构自主性、场景适应性、生态开放性等方面树立了行业新标杆。

CCP917T是基于国芯自研64位RISC-V处理器（CRV7）的高性能安全芯片。芯片包含4组高性能SEC（Security engine），支持对称、非对称、散列等密码算法；支持PCI-E 4.0、DDR4、USB3.0等高速接口；支持TD/VD/FD/LD/PGD等异常检测；芯片具有以下特点：

开放的RISC-V内核：64位自主RISC-V CRV7 四核，主频可达1.4GH，集成了神经网络处理单元（NPU），为复杂的密码协议处理和任务调度提供了充沛的算力保障。

业界领先的算法性能：非对称算法SM2签名性能高达100万次/秒，验签性能达40万次/秒；对称算法SM4加解密吞吐量高达80Gbps，AES性能达80Gbps，能够轻松应对大数据块的实时加密需求。摘要算法SM3杂凑运算性能达85Gbps，为数据完整性校验提供了高速保障。

高速PCI-E接口：芯片支持PCI-E 4.0 x16高速接口，支持RC或者EP，支持 x16/x8/x4/x2/x1,单 lane 吞吐可达 16.0GT/s,提供了极高的数据吞吐带宽，确保系统I/O不会成为密码运算的瓶颈。此外还支持丰富的低速接口（如GMAC、SPI、I2C等）为其在各种硬件形态中的集成提供了便利。

支持256路硬件虚拟化：CCP917T支持SR-IOV（Single Root I/O Virtualization）技术，可支持多达256个虚拟功能（VF）。这意味着一颗物理芯片可以被虚拟化成256个独立的、安全的虚拟密码模块，分别分配给云环境中的不同虚拟机使用。

随着云计算、大数据和人工智能等技术的不断发展，海量数据快速增长和流动，我国云计算、数据中心、金融、电信、政府、视频监控等关键领域对数据安全的要求极高，需要确保数据的机密性、完整性和抗抵赖性。云服务密码机对硬件虚拟化技术的需求，网络协议（SSL/IPsec）卸载应用对高速密码和高速接口的需求，CPU内生安全对RISC-V内核融合密码技术的需求，一个个摆在行业从业者的面前，对于国芯科技来说是挑战也是机遇。CCP917T成功获得《商用密码产品认证证书》（二级），意味着产品已经可以为云安全、网络数据卸载、可信计算、安全CPU主控等应用场景提供国芯科技解决方案。

云服务密码应用

云计算是对信息资源的整合，实现共享资源的平台化的服务。用户可以不用关心信息平台建设的细节，只按照自己的需求，随时从云计算平台获得信息资源。云密码服务是一种全新的密码功能交付模式，是云计算技术与身份认证、授权访问、传输加密、存储加密等密码技术的深度融合，用户不再“购买”密码硬件或密码系统等密码产品，而是以“租用” 的方式使用云中提供的各种密码功能，因此云密码服务也是一种新的商业模式。

《GM/T 0104-2021云服务器密码机技术规范》指出，云服务器密码机应具备密钥隔离功能，防止虚拟密码机的密钥被盗用、防止虚拟密码机之间交叉使用密钥、防止宿主机管理员获取虚拟密码机密钥，因此云服务密码机硬件虚拟化技术是关键技术。CCP917T支持5个PF，最大支持256个VF，最多可支持256个虚拟机同时访问，支持多卡可叠加，虚拟机算法资源可以灵活划分，可以为公有云服务商、私有云数据中心提供KMS（密钥管理）、加解密、签名验签，证书生成与管理等功能。

近年来云密码服务正在由“云服务器中配置支持虚拟化的硬件密码模块（芯片或 PCI-E 接口的密码卡）”向“独立的云密码机资源池(云中的虚拟主机通过网络连接云密码资源池中的硬件密码模块)”的解决方案转变，市场前景可期。

网络协议加速应用

计算机操作系统使用分层体系结构，使得数据包在各层之间传递时都需要相当数量的CPU和存储资源，例如应用于VPN、SD-WAN中建立安全的加密传输通道的IPsec协议；应用于Https网页协议，SMTP/POP3邮件协议中的SSL (Secure Sockets Layer）安全套接层协议；这些功能对CPU资源的占用极大地影响了计算机系统和网络转发的性能。针对上述影响CPU计算瓶颈的相关运算，通常将一些运算或协议处理卸载到外部卸载卡上，例如Intel QAT（Quick Assist Technology）卡技术。

国芯科技CCP917T芯片可应用于研发网络协议卸载卡，同时支持国际算法和国密算法，解决了国外产品虽然国际算法性能高，但是不支持国密算法的问题。通过SM3+SM4计算级联模式降低带宽要求，Scatter-Gather DMA方式提升网络小包数据处理性能。在IPSEC的SM3+SM4组合算法运算中，如果使用Scatter-Gather DMA方式，数据处理性能可达到80Gbps，1KB小包数据包处理性能可达65Gbps。

根据Dell’Oro Group的网络设备附加卡市场分析以及英特尔财报中“数据中心事业部（DCG）细分收入”分析推测，全球网络协议加速卸载卡主要厂商有Intel QAT 8960/8970等，Marvell的OCTEON卡，NVIDIA的 BlueField卡等。年出货规模在百万张量级，国产化趋势和国密算法替代的需求为CCP917T网络协议卸载卡提供了广阔的市场空间。

安全CPU应用

目前，业界的密码设备的主流方案是采用分立式的“CPU+密码卡”，尤其是通用CPU为了支持国密，单独使用密码卡非常灵活。同时在CPU中内置加密计算模块产业界已经开始技术探索，例如英特尔、ARM都在其CPU中内置了相关模块，国内的CPU厂商飞腾、海光、海思等也开始推出CPU+密码协处理器 (CCP)的产品，同时支持国际算法和商密算法。

CCP917T拥有64位自主RISC-V CRV7 四核，主频可达1.4GH，为复杂的密码协议处理和控制平面任务提供了充沛的算力保障。同时具有PCI-E RC/EP，DDR，EMMC控制器，千兆网络GMAC，USB3.0、SPI、I2C等丰富的接口资源。可以作为一颗安全主控CPU使用，应用于密码机，签名验签服务器，VPN网关等设备中。

国芯科技超高性能云安全芯片CCP917T通过国家商用密码检测认证，是国芯科技在核心信息技术领域坚持自主创新、勇于向更高峰攀登的一个缩影。公司将继续以开源开放的RISC-V架构，服务国家数字安全，以从芯片架构到算法实现的完整技术链，从根本上筑牢数字中国的安全底座。