目录 #
执行摘要 #
可信空间是基于可信计算技术构建的一种新型数据流通与计算环境，旨在为数据要素的共享与利用提供安全可控的基础设施。它通过在计算和通信系统中引入以硬件安全模块为核心的可信机制，实现对系统启动、运行、数据存储与传输全过程的动态可信管控。近年来，国家层面高度重视可信空间的发展，将其纳入数字经济发展和数据要素市场建设的重要布局。2024年11月，国家数据局发布《可信数据空间发展行动计划（2024—2028年）》，提出到2028年建成100个以上可信数据空间，形成广泛互联、资源集聚、生态繁荣、价值共创、治理有序的可信数据空间网络。该行动计划明确了可信数据空间作为数据流通利用基础设施和数据要素价值共创应用生态的定位，强调其需具备数据可信管控、资源交互、价值共创三大核心能力。当前，我国可信计算产业生态初具规模，以自主可控的CPU、操作系统和可信计算技术为基础的“PKS”体系已成为主流技术路线。在政策驱动和市场需求的双重推动下，可信空间正从概念走向实践，各地在政府、金融、能源、交通、工业等领域积极开展试点建设，市场规模预计将持续高速增长。
技术原理 #
可信计算概述 #
可信计算（Trusted Computing）是一项由可信计算组织（TCG）推动的技术，其核心是在计算和通信系统中广泛使用基于硬件安全模块支持下的可信计算平台，以提高系统整体的安全性。可信计算的基石是可信平台模块（TPM），它是一种专用的微控制器芯片，能够存储密钥、密码和数字证书，并提供加密、解密、签名等安全功能。TPM芯片在出厂时会生成并永久保存一个2048位的RSA签注密钥对，其私钥永远不离开芯片，公钥用于认证和加密敏感数据。通过这一机制，TPM为平台提供了一个不可伪造的身份标识和安全存储环境。
可信计算的关键技术 #
可信计算体系涵盖了多个关键技术概念，共同构建了一个从硬件到应用的完整信任链。
- 可信启动（Trusted Boot）：可信计算要求建立一条从信任根开始的信任链，即从信任根→硬件平台→操作系统→应用，一级度量认证一级，一级信任一级，最终将信任扩展到整个计算机系统。在系统启动过程中，TPM通过验证BIOS、引导加载程序、操作系统内核等组件的完整性度量值，确保系统在可信状态下启动。
- 内存屏蔽/受保护执行（Memory Curtaining）：可信计算通过硬件隔离技术为系统创建独立的受保护内存区域，即使操作系统本身也无法完全访问该区域，从而保护密钥等敏感数据不被恶意软件窃取。
- 安全输入输出（Secure I/O）：该技术为用户与软件之间的交互提供一个受保护的通道，防止键盘记录、屏幕截取等中间人攻击。
- 封装存储（Sealed Storage）：TPM允许将数据加密存储，并与特定的平台状态（如PCR值）绑定。只有当平台处于预期的可信状态时，数据才能被解密，从而实现数据的安全存储和迁移。
- 远程证明（Remote Attestation）：通过TPM生成的平台配置报告，可以向远程实体证明当前系统的软件和配置状态，用于判断对方是否处于可信状态。
这些技术共同作用，为可信空间奠定了坚实的底层安全基础。随着技术的发展，可信计算的实现形式也在演进，例如在资源受限的移动和嵌入式环境中，可信执行环境（TEE）逐渐成为研究热点。
市场分析 #
市场规模与增长趋势 #
可信计算相关市场正呈现出高速增长态势，但不同细分领域的统计数据有所差异。
可信计算芯片市场：根据市场研究机构预测，2024年中国可信计算芯片市场规模约为387亿元人民币，同比增长22.8%。预计到2025年，这一市场规模将进一步扩大至476亿元人民币，年复合增长率保持在20%以上。增长动力主要来自云计算、大数据、物联网等新兴技术对信息安全需求的持续提升。
图1：2024-2025年中国可信计算芯片市场规模及增长预测
可信平台模块（TPM）市场：全球范围内，2024年可信执行环境（TEE）工具市场规模约为32亿美元，而TEE市场整体规模约为35亿美元。TEE管理市场在2024年已达到28亿美元的规模。TEE在物联网领域的应用市场在2024年也达到了23亿美元。这些数据表明，与可信计算相关的硬件安全市场正在快速扩张。
可信数据空间市场：作为一个新兴概念，目前尚无权威机构对可信数据空间市场规模进行专门统计。然而，从国家政策目标和各地实践来看，可信数据空间建设正进入加速期。预计未来几年，与可信数据空间相关的软件、平台和服务市场将迎来爆发式增长。
竞争格局 #
可信计算产业链涵盖上游芯片设计与制造、中游的平台集成与解决方案提供，以及下游的行业应用与服务。目前，国内外已形成一批具有代表性的企业。
国际厂商：在TPM芯片领域，英飞凌、意法半导体、Atmel、华邦电子等国际厂商起步较早，拥有成熟的TPM1.2和TPM2.0产品。在可信执行环境（TEE）方面，ARM公司提出的TrustZone架构是移动领域的主流方案，而Intel的SGX（Software Guard Extensions）技术则在服务器和PC领域得到广泛应用。此外，AMD的SEV（Secure Encrypted Virtualization）技术也为虚拟化环境提供了内存加密支持。
国内厂商：在国家信创战略的推动下，国内可信计算产业生态逐步完善。在芯片层面，国民技术是较早具备可信计算芯片自主研发及批量生产能力的本土企业，其推出的第四代可信计算芯片NS350已获得国家商密检测中心颁发的认证证书。在服务器和PC整机领域，以华为、飞腾、龙芯、海光、兆芯等为代表的国产CPU厂商正积极布局可信计算功能。在操作系统层面，中标麒麟、银河麒麟、统信UOS等国产操作系统已经与国产CPU深度融合，构建了“PKS”等自主可信计算体系。此外，中创中间件、东方通、金蝶等国产中间件厂商也在为可信计算环境提供软件支持。
主要驱动因素 #
可信空间市场的蓬勃发展，背后有多重驱动因素。
- 政策法规驱动：近年来，我国陆续出台《网络安全法》《数据安全法》《个人信息保护法》等法律法规，为数据安全和隐私保护提供了法律依据。国家层面启动的“信创”战略，要求在关键信息基础设施中实现核心技术自主可控，为可信计算技术的推广提供了强大的政策红利。《“十四五”规划》明确提出要加快新型基础设施建设，为数据流通基础设施的建设指明了方向。
- 市场需求驱动：随着数字经济的深入发展，数据已成为关键生产要素。各行业对数据共享和利用的需求日益迫切，但数据泄露、滥用等风险也随之增加。可信空间能够解决数据流通中的信任难题，实现“数据可用不可见”，满足企业对数据安全与价值释放的双重需求。
- 技术进步驱动：云计算、大数据、人工智能、物联网等技术的广泛应用，对底层安全提出了更高要求。可信计算技术与虚拟化、容器、区块链、隐私计算等前沿技术的融合，为构建更安全、更高效的数字基础设施提供了技术支撑。
典型应用案例 #
可信空间技术已在多个行业展现出应用价值。
- 政务领域：多地政府积极探索城市可信数据空间建设，通过构建统一的数字身份体系和数据共享平台，实现政务数据、企业数据、个人数据的融合应用。例如，广州已启动城市可信数据空间建设，覆盖37个高价值场景，推动城市治理数字化升级。
- 金融领域：金融机构利用可信计算技术保护用户敏感信息和交易数据。例如，采用TPM芯片存储加密密钥，防止用户身份和账户信息被盗用。在跨境支付等场景中，可信空间技术有助于满足合规要求并降低风险。
- 能源与工业领域：能源行业通过可信数据空间实现供应链数据协同和质量追溯。工业领域中，可信计算技术被用于构建安全的生产控制环境，保障工业互联网平台的数据安全。
产品与方案 #
安全芯片与可信平台模块（TPM） #
可信空间的基础是硬件级别的安全芯片。TPM芯片是实现可信计算的基石，它为系统提供了一个可信根（Root of Trust）。TPM芯片内部集成了密码协处理器、随机数发生器、非易失性存储器等模块，能够执行密钥生成、加密解密、签名验证、完整性度量等功能。TPM通过一组平台配置寄存器（PCR）来记录系统启动过程中的度量值，实现对系统完整性的动态监控。随着技术演进，TPM规范已从1.2版本发展到2.0版本，提供了更灵活的算法支持和更强大的功能。
除了传统的TPM芯片，可信执行环境（TEE）是另一种重要的安全芯片技术。TEE通过在CPU中划分出一个隔离的“安全世界”，为敏感数据和代码提供一个独立于操作系统的运行环境。ARM的TrustZone技术和Intel的SGX技术是TEE的典型代表，它们在移动设备和服务器/PC领域分别得到广泛应用。
可信操作系统与中间件 #
可信空间的实现离不开操作系统和中间件的支持。在操作系统层面，国产操作系统如中标麒麟、银河麒麟、统信UOS等已经将可信计算功能内置其中。它们通过可信引导、可信内核模块、可信应用框架等技术，构建了一个从启动到运行的完整信任链。例如，麒麟可信安全操作系统通过预置可信软件基（TSB）和可信管理中心，实现了对平台软硬件的完整性度量，保障了系统的可信启动和运行安全。
在中间件层面，可信计算提供了可信软件栈（TSS）作为应用与TPM交互的桥梁。TSS定义了层次化的API，包括TSS服务提供层（TSP）、TSS核心服务层（TCS）和TSS设备驱动层（TDDL），为开发者提供了标准的编程接口。此外，一些中间件产品还提供了可信身份认证、可信数据加密、可信计算资源管理等功能，为上层应用提供安全服务。
典型信创部署方案 #
在国家信创战略的指导下，可信空间的部署正在与国产化替代紧密结合。典型的信创部署方案通常采用“全栈国产化”架构，涵盖硬件、操作系统、数据库、中间件和应用软件等各层。
- 硬件层：采用国产服务器和存储设备，如基于华为鲲鹏或飞腾CPU的服务器，以及华为OceanStor存储。这些硬件平台支持可信启动和可信计算功能，能够满足高安全等级要求。
- 操作系统层：部署国产操作系统，如银河麒麟或统信UOS。这些操作系统已经与国产CPU深度适配，支持可信引导和完整性度量，能够为上层应用提供可信运行环境。
- 数据库与中间件层：采用国产数据库，如达梦数据库、人大金仓数据库等。同时使用国产中间件，如东方通TongWeb、金蝶Apusic等，替代国外同类产品。
- 应用层：对现有业务系统进行适配改造，使其能够在国产化环境中运行。对于新系统，则直接基于国产技术栈进行开发，以满足信创要求。
在部署过程中，通常会采用离线部署模式，以适应内网环境的要求。例如，有厂商提供了针对鲲鹏ARM架构和麒麟V10操作系统的离线部署解决方案，包括Kubernetes集群、镜像仓库等组件的离线安装包，以及一键部署脚本。这种方案能够有效解决信创环境中网络受限的问题，加速国产化项目的落地。
信创部署实施路径 #
实现可信空间的信创部署并非一蹴而就，需要制定系统化的实施路径。
- 评估与规划：首先对现有IT系统进行全面评估，包括硬件、操作系统、数据库、中间件、应用架构、数据规模等。明确改造目标、范围和优先级，制定详细的迁移计划。
- 环境准备：采购和部署国产化硬件和基础软件环境，包括国产服务器、操作系统、数据库和中间件等。同时，搭建测试环境，用于验证应用的兼容性和性能。
- 数据与应用迁移：使用数据迁移工具将现有数据迁移至国产数据库，确保数据完整性和一致性。对应用进行适配改造，包括代码重构、配置修改、依赖库替换等，使其能够在国产化环境中稳定运行。
- 功能与性能测试：在测试环境中对迁移后的系统进行全面的功能测试、集成测试和性能测试，确保系统功能完整、性能达标。
- 安全加固：对系统进行安全加固，包括配置强密码策略、开启访问控制、部署安全防护软件、进行漏洞扫描和修复等。
- 上线与优化：在生产环境中逐步上线新系统，采用灰度发布等方式降低风险。根据实际运行情况，持续进行性能调优和功能完善。
通过上述步骤，可以平稳地将现有业务系统迁移到可信空间的国产化环境中，实现技术与业务的无缝衔接。
主要厂商分析 #
国内厂商 #
华为：作为国内信创领域的领军企业，华为在可信空间技术上布局全面。其自研的鲲鹏系列CPU和昇腾系列AI芯片，均支持可信计算功能，如内置可信根、支持国密算法等。华为基于“鹏腾”生态（鲲鹏+昇腾）打造了全栈可信计算解决方案，从硬件、操作系统（华为EulerOS）到数据库（GaussDB）和应用，形成了完整的自主可控技术栈。此外，华为在可信执行环境（TEE）领域也有深入研究，其TEE相关产品和解决方案已应用于云计算、大数据等场景。
飞腾：飞腾是国内最早从事自主可控CPU研发的企业之一。其“腾云S”系列高性能服务器CPU和“腾锐D”系列高效能桌面CPU，已广泛应用于党政、金融、能源等关键领域。飞腾与麒麟操作系统深度合作，共同构建了“PKS”可信计算体系，将可信计算3.0技术融入CPU、操作系统和存储控制器中，实现了底层架构的本质安全。飞腾的CPU产品支持国密算法，具备硬件级别的安全防护能力，为可信空间提供了坚实的硬件基础。
麒麟软件：麒麟软件是国内领先的操作系统厂商，其“银河麒麟”系列操作系统是国产操作系统市场的领军产品。麒麟操作系统将可信计算作为其核心安全特性之一，通过可信引导、强制访问控制、可信应用框架等技术，构建了高安全等级的操作系统平台。麒麟操作系统还积极构建生态，与众多软硬件厂商进行兼容性认证，形成了完善的可信计算生态体系。
中标软件：中标软件是国内另一家重要的操作系统厂商，其“中标麒麟”操作系统在党政、金融等领域有广泛应用。中标软件也在积极布局可信计算领域，其操作系统支持可信计算规范，为用户提供了安全可信的运行环境。
浪潮：浪潮作为国内服务器行业的龙头企业，也在积极布局可信计算相关产品。浪潮的服务器产品线覆盖x86和ARM架构，支持可信计算功能。例如，浪潮的NF5280M6服务器支持国密算法和可信启动，能够满足高安全等级需求。浪潮还提供基于可信计算技术的解决方案，帮助用户构建安全可靠的计算环境。
其他厂商：此外，国内还有许多厂商在可信空间领域积极布局。如中安星云等公司专注于数据安全和可信计算技术，提供数据安全管控平台和信创可信集成创新系统。这些企业共同推动了可信空间技术的创新和应用落地。
国际厂商 #
Intel：Intel是可信计算技术的重要推动者之一。其第六代及以后处理器集成的Intel SGX（Software Guard Extensions）技术，为应用程序提供了一个隔离的执行环境（Enclave），能够保护代码和数据免受恶意软件攻击。Intel的至强可扩展处理器也支持内存加密和完整性校验功能，为服务器平台提供了硬件级别的安全防护。
AMD：AMD通过其SEV（Secure Encrypted Virtualization）技术为虚拟化环境提供了安全增强。SEV能够为每个虚拟机分配独立的加密密钥，实现虚拟机内存的隔离和加密，防止恶意虚拟机监控程序或其它虚拟机窥探内存数据。此外，AMD的EPYC系列处理器也支持可信平台模块（TPM）和安全启动等功能。
Microsoft：作为操作系统和应用软件巨头，Microsoft在可信计算领域也扮演着重要角色。其Windows操作系统内置了对TPM的支持，能够利用TPM实现BitLocker驱动器加密、安全启动等功能。Microsoft还推出了Pluton安全处理器，将TPM功能直接集成到CPU中，以减少攻击面。在应用层面，Microsoft的Office等产品也支持信息版权管理（IRM）等安全功能，与可信计算技术相配合，保护用户数据安全。
发展趋势与挑战 #
发展趋势 #
- 技术融合趋势：可信计算技术正与多种前沿技术深度融合。一方面，可信计算与云计算、大数据、人工智能的结合，推动了“可信云”“可信AI”等新概念的兴起。例如，通过在云平台中部署可信计算环境，可以实现“云中可信计算”，保障用户数据在云端的安全。另一方面，可信计算与区块链、隐私计算等技术相结合，能够构建更完善的数据流通信任体系。
- 标准化与生态化：随着可信计算技术的成熟，标准化工作也在加速推进。国际标准化组织（ISO）和国际电工委员会（IEC）已将TPM规范标准化为ISO/IEC 11889。在国内，全国信息安全标准化技术委员会等机构也在制定相关标准。生态建设方面，各地政府和行业组织正积极推动可信数据空间的试点建设，形成了一批可复制、可推广的解决方案和最佳实践。
- 商业化模式创新：可信空间的发展正催生新的商业模式。例如，可信计算即服务（Trusted Computing as a Service）模式开始出现，企业无需自行部署复杂的可信计算基础设施，而是通过云服务获取可信计算能力。这将降低中小企业使用可信计算技术的门槛，推动其在更广泛领域的普及。
面临的挑战 #
尽管可信空间技术前景广阔，但在实际应用中仍面临诸多挑战。
- 技术挑战：可信计算技术本身在不断发展，但其在性能、易用性等方面仍存在瓶颈。例如，SGX等TEE技术在应对侧信道攻击方面仍存在安全风险。此外，可信计算技术的引入会增加系统复杂度，对开发者和运维人员提出了更高要求。
- 生态挑战：可信计算技术的推广依赖于完善的产业生态。目前，国内可信计算产业虽已初具规模，但在芯片、操作系统、应用软件等各环节仍存在“卡脖子”风险。如何构建一个自主可控、协同创新的可信计算生态，是当前亟待解决的问题。
- 法规与标准挑战：可信计算技术的广泛应用对法律法规和行业标准提出了新要求。如何在现有法律框架下界定可信计算相关主体的权利与责任，如何制定统一的技术标准和互认机制，都需要进一步探索。
- 用户认知与接受度挑战：对于许多用户而言，可信计算技术仍是一个新兴概念。提高用户对可信计算价值的认知，增强其对可信空间安全性的信任，是推动其广泛应用的关键。
未来展望 #
展望未来，可信空间将在以下几个方向持续演进。
- 更广泛的场景应用：随着技术的成熟和成本的降低，可信空间将从政府、金融等高安全需求领域，向教育、医疗、零售等更多行业渗透。特别是在数据要素市场加速建设的背景下，可信空间将成为数据流通和交易的基础设施。
- 更强大的技术支撑：新一代可信计算技术将更加注重智能化和自动化。例如，通过引入人工智能技术，实现对系统安全状态的智能感知和自动响应。同时，硬件厂商将推出更高性能、更安全的安全芯片，为可信空间提供更强大的底层支撑。
- 更完善的标准体系：预计未来将形成更加完善的可信计算标准体系，涵盖芯片、平台、应用、评估等多个层面。标准的统一将促进不同厂商产品和解决方案之间的互操作性，加速可信计算技术的规模化应用。
- 更丰富的商业模式：可信空间的发展将催生更多创新的商业模式和服务形态。例如，基于可信计算的数据交易平台、可信计算资源租赁服务、安全审计与合规咨询等新业态将不断涌现，为数字经济发展注入新活力。
总之，可信空间作为保障数据安全和促进数据流通的关键技术，正迎来前所未有的发展机遇。通过技术创新、生态培育和政策引导，可信空间有望成为数字经济时代的重要基础设施，为各行业的数字化转型提供坚实支撑。
