《Electronics》：Architecture-Level Risk-Guided Fault-Injection Prioritization for Systolic AI Accelerators: A Fixed Candidate-Pool Evaluation
编辑推荐：
本文提出一种适用于嵌入式系统安全芯片的低功耗高级加密标准计数器附带密码分组链接消息认证码（Advanced Encryption Standard Counter with Cipher Block Chaining Message Authenticatio
本文提出一种适用于嵌入式系统安全芯片的低功耗高级加密标准计数器附带密码分组链接消息认证码（Advanced Encryption Standard Counter with Cipher Block Chaining Message Authentication Code，AES-CCM）协处理器硬件实现方案。研究人员所提设计仅在初始化阶段执行一次密钥扩展（Key Expansion）并将10轮轮密钥存储于片内随机存取存储器（RAM）中，以避免重复计算；同时密钥扩展模块与加密轮函数共用同一组S盒（Substitution box，S-box），通过时分复用减少硬件开销。研究人员实现了支持并行（双核）与串行（单核）两种模式可动态切换的双模架构，以适应高吞吐量与低功耗应用场景。该设计支持AES-128，使用1.25 Kb RAM存储10个128位轮密钥。基于台积电（Taiwan Semiconductor Manufacturing Company，TSMC）40 nm工艺的实验结果表明：并行模式下相较于参考设计面积增加12.8%，功耗降低5.4%；并行模式能效可达2.11 pJ/bit，串行模式可达2.17 pJ/bit。
论文解读：面向嵌入式IoT的低功耗AES-128-CCM双模可配置协处理器设计与实现
一、研究背景与意义
随着嵌入式物联网（Internet of Things，IoT）终端、可穿戴设备、智能计量芯片及汽车安全控制器的广泛部署，嵌入式安全芯片已成为数据机密性与防篡改保护的核心组件。此类微型嵌入式硬件受限于电池容量与片上资源，对密码协处理器在功耗、硅片面积及实时吞吐量方面提出严苛要求。高级加密标准计数器附带密码分组链接消息认证码（Advanced Encryption Standard Counter with Cipher Block Chaining Message Authentication Code，AES-CCM）系IEEE无线局域网安全标准，兼具AES密码分组链接（Cipher Block Chaining，CBC）模式的消息认证与计数器（Counter，CTR）模式的加密功能。然而现有AES-CCM硬件实现面临三个尚未被统一架构解决的瓶颈：第一，几乎所有已有实现对每个新加密数据包重复执行密钥扩展（Key Expansion），即便部分AES实现将预扩展轮密钥存于片内RAM，但无前人将其与统一S盒共享及运行时可配置双模（并行/串行）操作结合；第二，多数S盒优化各自独立优化密钥扩展与轮加密模块，极少实现两者间动态时分复用S盒资源，导致重复布局与额外面积代价；第三，既有架构多为固定全并行多核（高吞吐）或固定单串行核（低功耗），缺乏可根据任务需求在运行时动态切换并行/串行工作模式的可配置硬件，致使单一芯片无法兼顾突发高速传输与电池节电工况。针对上述空白，研究人员提出一种集成一次性密钥扩展并存储轮密钥于RAM、密钥扩展与加密核动态时分复用S盒、以及运行时可配置双模操作的低功耗AES-128-CCM协处理器，填补了上述三项优化协同集成的空白，并引入一阶代数掩码（Algebraic Masking）以抵抗差分功耗分析（Differential Power Analysis，DPA）/相关功耗分析（Correlation Power Analysis，CPA）侧信道攻击。该论文发表于《Electronics》。
二、主要关键技术方法
研究人员采用Verilog进行寄存器传输级（Register Transfer Level，RTL）描述，通过NC-Verilog完成功能仿真验证，使用Synopsys Design Compiler于台积电（Taiwan Semiconductor Manufacturing Company，TSMC）40 nm嵌入式闪存（eFlash）工艺、200 MHz时钟频率下进行逻辑综合。(1) 一次性密钥扩展方案：初始化阶段完成AES-128密钥扩展，将10个128位轮密钥写入1.25 Kb片内RAM，后续加解密直接读取，消除每包重复计算；(2) S盒共享机制：密钥扩展阶段仅需4个S盒并行字节替代，轮加密需16个，研究人员设计时分复用同一组S盒阵列——密钥扩展期占用，非扩展期释放给加密核，且每轮加密通过两周期完成8个S盒操作替代原16个，双核并行总S盒数由40减至16，单核串行由20减至8；(3) 双模可重构架构：并行模式实例化两个独立AES加密核分别处理CBC-MAC（Message Authentication Code，消息认证码）首块与CTR加密；串行模式仅一个AES核时分复用CBC与CTR通路；(4) 高级高性能总线（Advanced High-performance Bus，AHB）从设备接口配直接内存访问（Direct Memory Access，DMA）握手，轮密钥RAM仅内部专用总线可达，外部AHB无法访问以增强安全性；(5) 层次化时钟门控（Clock Gating）策略及一阶布尔代数掩码（基于Canright复合域S盒）应用于S盒与密钥扩展路径，每轮刷新随机掩码，RAM内存储掩码化轮密钥。
三、研究结果
3.1 密钥扩展优化与RAM存储（Key Expansion Optimization with RAM Storage）
研究人员将AES-128密钥扩展移至初始化阶段一次性完成，10轮128位轮密钥存入1.25 Kb RAM。并行与串行模式加密时均直接读取RAM中轮密钥。分析表明初始化消耗14个时钟周期（含4周期128位密钥输入），在200 MHz下对应70 ns，处理仅两个128位数据块即可抵消初始化能耗，典型4 KB载荷并行模式节能17.3 nJ、串行29.7 nJ，而附加RAM漏电能仅数pJ，动态收益超三个数量级，证明一次性扩展方案显著削减重复计算带来的动态功耗。
3.2 S盒共享机制（S-Box Sharing Mechanism）
研究人员通过时分复用消除密钥扩展模块独立S盒阵列，加密核每轮分两周期完成原本需16个S盒的字节替代操作（每周期8个）。双核并行总S盒数降至16（原40），单核串行降至8（原20），以每轮额外一周期延迟换取可观面积缩减，合成后逻辑面积（不含RAM）较参照设计分别缩小5.1%与7.9%。
3.3 双模架构（Dual-Mode Architecture）
并行模式同时断言两个AES核使能信号，CBC核计算首数据块MAC，CTR核同步加密后续明文块；串行模式仅断言单个AES核，顺序执行CBC首块认证再切换至CTR逐块加密，轮密钥仍源自预存RAM。双模可通过控制寄存器在运行时切换，满足高吞吐突发与长期待机低功耗双重需求。
3.4 AHB接口集成与数据流控制（Advanced High-Performance Bus (AHB) Interface Integration and Data Flow Control）
研究人员设计32位AHB从接口，128位数据分4次32位猝发传输，内部组装后送入AES核；配备DMA握手信号允许系统DMA自主取明文、送密文回写以减少CPU干预；轮密钥RAM物理隔离于AES核内部，仅密钥扩展模块写入、AES核读出，外部总线不可寻址，防止总线嗅探泄露掩码化轮密钥。
3.5 时钟门控与动态功耗管理（Clock Gating and Dynamic Power Management）
顶层全局时钟门控可在无任务时完全关断协处理器时钟；轮密钥RAM配读激活时钟门控，仅AES核请求轮密钥时开启RAM时钟，利用轮密钥读取间歇抑制不必要翻转，串行模式下节能效果更显著。
3.6 安全实现与侧信道评估（Security Implementation & TVLA/CPA）
研究人员在复合域S盒上实现一阶布尔掩码，每AES轮更新随机掩码，密钥扩展沿用相同掩码方案，RAM存掩码化轮密钥。基于汉明重量（Hamming Weight）功耗模型的仿真测试向量泄露评估（Test Vector Leakage Assessment，TVLA）采集10万条迹线，最大|t|=4.2（低于4.5检测阈值）；相关功耗分析（Correlation Power Analysis，CPA）最大相关系数0.019（低于0.05利用阈值），表明所采用代数掩码在仿真层面具备一阶侧信道抵抗能力（待流片硅片实测验证）。RTL通过了NIST SP 800-38A/C、RFC 3610 CCM标准测试向量及10万组OpenSSL交叉随机验证，语句与分支覆盖率达99.7%。
3.7 综合结果与性能对比（Synthesis Results and Performance Comparison）
TSMC 40 nm、200 MHz下：并行方案面积26.45 KGates（KGE），平均功耗1.92 mW，较参照[Cui et al.]归一化后功耗降5.4%（面积增12.8%源于1.25 Kb RAM）；串行方案面积19.35 KGE，平均功耗1.15 mW，较参照归一化后因集成掩码略增12.7%功耗。并行模式吞吐0.91 Gbps、能效2.11 pJ/bit；串行模式吞吐0.53 Gbps、能效2.17 pJ/bit。功耗分解显示AES加密核（含S盒与数据通路）为主耗电模块，RAM静态漏电0.11 μW已计入总功耗。
四、讨论与结论（翻译并总结）
研究人员指出，本文利用AES-CCM协议中CBC与CTR模式共用同一密钥的特性，将密钥扩展限定于初始化阶段单次执行，并结合AES算法结构引入S盒硬件电路复用机制，提出包含并行与串行双模配置的AES-128-CCM低功耗协处理器实现方案。并行方案中S盒数量较传统设计减少24个并去除重复密钥扩展；串行方案中S盒减少12个且密钥扩展亦仅执行一次。该设计在对高性能场景维持较高处理能力的同时降低了AES-CCM模块功耗，为嵌入式低功耗场景下的AES-CCM协议提供了高效硬件解决方案。
论文同时说明设计局限：仅支持AES-128（AES-192/256需重设计RAM架构）；掩码为一阶，不足以抵抗高阶DPA；侧信道评估基于仿真功耗迹线未经流片硅片物理验证；未集成专门针对故障注入（时钟/电压毛刺、激光）的防护逻辑。未来工作将进行TSMC 40 nm流片及物理侧信道实测，探索支持多密钥长度的可重构架构、面向IoT的轻量级高阶掩码实现、集成电压/频率监测与故障检测逻辑，并将该低功耗优化方法论扩展至AES-GCM等其他认证加密模式。
