T/CSAC
T/CSAC024-2025
数据中心人工智能加速芯片安全技术规范
Technical Specification for Security of Artificial Intelligence Acceleration Chips inData Centers
中国网络空间安全协会 发布
目次
前言1范围..2规范性引用文件，4概述... 3术语和定义5安全要求.5.1硬件安全 25.2接口安全 5.3固件安全. 25.4安全存储单元.5.5密码技术机制 35.7数据保护 5.6故障检测与诊断6测评方法， 36.1硬件安全 6.2接口安全，6.3固件安全，6.4安全存储单元， 66.5密码技术机制6.6故障检测与诊断 6.7数据保护，附录A（资料性）安全要求与测评方法映射参考文献
前言
本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草.
请注意本文件的某些内容可能涉及专利.本文件的发布机构不承担识别专利的责任.
本文件由中国网络空间安全协会归口.
本文件由中国网络空间安全协会人工智能安全治理专业委员会与中国电子技术标准化研究院联合提出.
本文件起草单位：中国电子技术标准化研究院、华为技术有限公司、上海原科技有限公司、中科寒武纪科技股份有限公司、中国科学院信息工程研究所、北京航空航天大学、上海天数智芯半导体股份有限公司、阿里云计算有限公司、平头哥半导体有限公司、河南科技大学、北京三快科技有限公司、联通数字科技有限公司、中国移动通信集团有限公司、中移（杭州）信息技术有限公司、科大讯飞股份有限公司、三六零数字安全科技集团有限公司、北京市商汤科技开发有限公司、北京金山办公软件股份有限公司、广西电网有限责任公司、浙江蚂蚁密算科技有限公司、杭州海康威视数字技术股份有限公司、用友网络科技股份有限公司、远光软件股份有限公司.
本文件主要起草人：王健兵、郝春亮、夏文辉、吕飞霄、张妍婷、许晓耕、严敏瑞、梅敬青、王顺利、王蕊、关振宇、张志勇、张宗洋、边松、余雪松、蔡倩楠、胡铭珊、杨穷干、宋文娣、荆丽桦、张艺伯、权高原、张立尧、费凡芮、王思善、江为强、李德超、胡占锋、胡科开、卢孝新、王麟、岳龙广、梅瑞、白晓媛、谢铭、曾明罪、杜皓华、股宇辉、张品晶、李超、闫皓楠、季晟宇、潘登、李思職、李瑾、杨万禄、肖青、王卫、王少康、陈勇.
数据中心人工智能加速芯片安全技术规范
1范围
存储单元、密码技术机制、故障检测与诊断和数据保护七个方面的安全功能要求，并给出了相应的测评 本文件规定了适用于数据中心环境的人工智能加速芯片，在硬件安全、接口安全、固件安全、安全方法.
本文件为适用于为数据中心环境的人工智能加速芯片的研发与应用提供技术依据，也为开展相应的安全评估和检测认证活动提供参考.
2规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款.其中，注日期的引用文件，仅该日期对应的版本适用于本文件：不注日期的引用文件，其最新版本（包括的修改单）适用于本 文件.
GM/T0008-2012安全芯片密码检测准则
3术语和定义
下列术语和定义适用于本文件.
3.1人工智能加速芯片artificialintelligence accelerating chip人工智能加速处理器artificialintelligence accelerating chip 具备适配人工智能算法的运算微架构，能够完成人工智能应用运算处理的集成电路元件.注：典型的人工智能加速处理器有图形处理器（GPU）、神经网络处理器（NPU）和张量处理器（TPU）.[来源：GB/T41867-2022，3.1.5，有修改]
3.2
逻辑接口logicinterface
能够实现数据交换功能但在物理上不存在，需要通过配置来建立的接口.
[来源：GM/T0008-2012，3.1.19，有修改]
3.3
涉及各种传输介质或传输设备的接口.
[来源：GM/T 0008-2012，3.1.18]
3.4
硬件可信根hardwarerootoftrust
嵌入在硬件内部、受物理保护的安全模块或功能组件，作为建立计算系统信任链的初始可信基点，能够防募改，用于安全地生成、存储和处理密钥及敏感数据，并提供可验证的信任度量功能.
3. 5
侧信道攻击side-channelattack
通过观测和分析系统运行过程中泄露的、与内部敏感操作或数据相关的物理信息（如执行时间、功耗、电磁辐射、声音、缓存访问模式等），而非直接攻击其算法或逻辑漏洞，从而推断出系统敏感信息（例如，密钥）的攻击方法.
3.6
可信执行环境trustedexecutionenvironment
基于硬件级隔离及安全启动机制，为确保安全敏感应用相关数据和代码的机密性、完整性、真实性和不可否认性目标构建的一种运算环境.
[来源：GB/T 41388-2022，3.3，有修改]
4概述
人工智能加速芯片的典型组成，包括加速计算核、控制单元、存储单元和互联接口等，是人工智能应用系统中的算力根基.
本文件从芯片组成及功能作用等方面，将人工智能加速芯片安全分为硬件安全、接口安全、固件安全、安全存储单元、密码技术机制、故障检测与诊断和数据保护七个方面.
具体的安全要求与测评方法映射关系见附录A.本文件中使用“应”修饰的条款是必须满足的，是纳入标准符合性判断的，使用“宜”修饰的条款是推荐满足的，不纳入标准符合性判断，但仍给出相应的测评方法，支撑测评活动，参测方可自愿参与测评.
5安全要求
5.1硬件安全
人工智能加速芯片硬件安全，满足如下要求：
a）应具有唯一标识： b）宜基于硬件可信根生成身份证书，支撑实现接入认证等安全保护：c）使用受硬件保护的根密钥加解密数据或由根密钥派生密钥过程中，宜能防止通过计时攻击、能量分析攻击或电磁分析攻击等，窃取芯片的关键信息（例如，密钥）：d）硬件上电启动校验过程中，宜能防止通过电压、频率或温度等实施故障注入攻击，获得芯片的关键权限（例如，Boot权限）进而窃取敏感信息.
5.2接口安全
人工智能加速芯片接口安全，满足以下要求：b）不应对外提供绕过安全保护机制直接或间接访问芯片内部存储单元的物理或逻辑接口： a）应提供逻辑或物理调试接口关闭机制：c）应对调试接口、串口等接口调用提供鉴权机制，并且保护鉴权信息的机密性和完整性.
5.3固件安全
a）固件不应存在权威漏润库（例如，CNNVD、CVE、CNVD等）六个月前已公布的高危漏润，并且应 人工智能加速芯片固件安全，满足以下要求：建立漏洞响应和恢复机制：
