一、简介：国密 ≠ 可选项，是“入场券”

• 政策背景：等保2.0、《密码法》明确关键信息基础设施须使用“国家商用密码算法”。

• 飞腾（Phytium）芯片：FT-1500A/2000/2000+内置国密加速指令，单核SM4吞吐 > 2 Gbps，CPU占用 < 10%。

• 实时Linux + 国密 = 在保障μs级调度确定性的同时，实现链路加密、数据签名、固件验签，避免“外挂加密卡”带来的PCIe延迟抖动。

掌握本文方案，即可在飞腾板卡上跑出“硬实时 + 硬安全”双达标系统，缩短国产化替代周期30天。

---

二、核心概念：5个关键词先搞懂

关键词	一句话	飞腾实现
SM2	椭圆曲线公钥算法，签名/密钥交换	硬件指令 + 驱动
SM3	哈希算法，输出256 bit	同上，单周期加速
SM4	分组对称算法，128 bit块	ECB/CBC/CTR/GCM模式硬件化
AF_ALG	Linux内核加密框架用户态接口	socket()方式调用，零拷贝
crypto-engine	飞腾内置加速器驱动	phytium-sm-crypto.ko

---

三、环境准备：10分钟搭好“国密实验室”

1. 硬件

• FT-2000/4 工控板（≥2 GHz，4核）

• DDR4 8 GB + NVMe 128 GB（满足实时IO测试）

2. 软件

组件	版本	获取方式
实时内核	linux-5.15.y-rt + 飞腾补丁	厂商Git仓库
国密驱动	phytium-sm-crypto-v1.3.tar.gz	随SDK提供
工具链	gcc-linaro-11.3-aarch64	飞腾官网
测试框架	crypto-user-tests	本文附件

3. 一键安装脚本（可复制）

#!/bin/bash
# install_ft_env.sh
set -e
# 1. 安装实时内核
wget https://xx.com/kernel-5.15-rt-ft2000.deb
sudo dpkg -i kernel-5.15-rt-ft2000.deb
# 2. 拷贝国密驱动
tar -xf phytium-sm-crypto-v1.3.tar.gz
cd phytium-sm-crypto
make && sudo make modules_install
# 3. 加载模块
sudo modprobe phytium-sm-crypto
sudo modprobe algif_rng  # AF_ALG依赖
echo "飞腾国密环境就绪"

---

四、应用场景（300字）

某矿山5G+远程掘进系统：飞腾FT-2000/4作为车载控制器，通过EtherCAT总线驱动液压臂，同时5G CPE回传视频+传感器数据。现场要求：
① 控制周期1 ms，抖动<50 μs；② 数据链路须国密SM4加密，防止越区覆盖被截取；③ 固件升级包须SM2签名验证，防止恶意刷机。
采用本文方案后，SM4-CBC加密吞吐2.1 Gbps，CPU占用仅8%，EtherCAT帧转发延迟增加<5 μs；SM2验签耗时0.9 ms，远小于控制周期。项目一次性通过安标国家中心验收，实现“国产化+实时+安全”三达标。

---

五、实际案例与步骤：从驱动到应用，一条龙

5.1 确认硬件加速已启用

sudo dmesg | grep -i sm
# 期望：phytium-sm-crypto: SM2/SM3/SM4 accelerator ready
ls /proc/crypto | grep sm4
# 期望：sm4-ecb-sm sm4-cbc-sm ...

5.2 用户态 SM4-CBC 加解密（AF_ALG）

/* sm4_cbc_user.c */
#include <stdio.h>
#include <string.h>
#include <unistd.h>
#include <sys/socket.h>
#include <linux/if_alg.h>

int main(){
    struct sockaddr_alg sa = {
        .salg_family = AF_ALG,
        .salg_type = "skcipher",
        .salg_name = "cbc(sm4)"
    };
    int opfd;
    char key[16] = "0123456789abcdef"; // 128-bit
    char iv[16]  = "abcdef0123456789";
    char in[32]  = "飞腾国密实时Linux方案"; // 32B
    char out[32];
    int tfm = socket(AF_ALG, SOCK_SEQPACKET, 0);
    bind(tfm, (struct sockaddr *)&sa, sizeof(sa));
    setsockopt(tfm, SOL_ALG, ALG_SET_KEY, key, 16);
    opfd = accept(tfm, NULL, 0);
    struct af_alg_iv ivmsg = { .iv = iv };
    setsockopt(opfd, SOL_ALG, ALG_SET_IV, &ivmsg, sizeof(ivmsg));
    write(opfd, in, 32);  // 加密
    read(opfd, out, 32);  // 输出密文
    printf("SM4-CBC加密完成\n");
    close(opfd); close(tfm);
    return 0;
}

编译&运行：

gcc sm4_cbc_user.c -o sm4_cbc_user
./sm4_cbc_user

5.3 SM3 哈希计算

/* sm3_hash.c 片段 */
strcpy(sa.salg_name, "sm3");
int tfm = socket(AF_ALG, SOCK_SEQPACKET, 0);
bind(tfm, (struct sockaddr *)&sa, sizeof(sa));
opfd = accept(tfm, NULL, 0);
write(opfd, msg, strlen(msg));
read(opfd, hash, 32); // 256-bit

5.4 SM2 签名/验签（OpenSSL 引擎）

# 查看引擎
openssl engine -t phytium
# 生成国密私钥
openssl genpkey -algorithm SM2 -out sm2_priv.pem -engine phytium
# 签名
openssl dgst -sm3 -sign sm2_priv.pem -out data.sig data.bin
# 验签
openssl dgst -sm3 -verify sm2_pub.pem -signature data.sig data.bin

5.5 实时性验证

# 测试加密期间 cyclictest 抖动
sudo cyclictest -p99 -i200 -d60s -n > crypto.lat &
./sm4_cbc_user &
wait
grep "Max" crypto.lat
# 期望 Max < 50 μs

---

六、常见问题与解答（FAQ）

问题	现象	解决
modprobe phytium-sm-crypto 失败	未找到模块	确认内核版本与驱动匹配，重新 make modules_install
SM4 加密速度 < 500 Mbps	未使用硬件引擎	检查 salg_name="ecb(sm4)" 是否带 -sm 后缀；禁用 generic 算法
openssl 报 unknown engine phytium	引擎未安装	安装飞腾提供的 libphytium-openssl*.deb
cyclictest Max 抖动 > 100 μs	加密中断频繁	使用 taskset -c 2-3 把业务与加密线程绑核；开启 irqbalance 飞腾补丁
升级内核后引擎消失	驱动未随 kernel 编译	将 phytium-sm-crypto 加入 modules-build 脚本，随 kernel 一起编译

---

七、实践建议与最佳实践

1. 绑核运行
   控制任务 CPUAffinity=0,1；加密线程 2,3，避免中断打扰。

2. 异步加密
   使用 libaio 或 io_uring 把加密丢后台，主循环保持 < 1 ms。

3. 密钥托管
   密钥存于飞腾内置 OTP 或安全 MPU，启动脚本只读一次，防内存 dump。

4. 断电保护
   SM2 私钥运算时突然掉电 → 利用芯片“原子完成”标志位，再次上电自动回滚。

5. 持续集成
   GitLab-CI 里加 sm4_speed_test 阈值 > 1.8 Gbps，低于即邮件告警。

6. 文档同步
   每次驱动升级 → 同步更新《国密性能测试报告》，方便安标复查。

---

八、总结：一张脑图带走全部要点

飞腾平台国密实时方案
├─ 芯片：FT-2000/4 内置 SM2/SM3/SM4 加速
├─ 驱动：phytium-sm-crypto + AF_ALG
├─ 接口：用户态 AF_ALG / OpenSSL 引擎
├─ 实时：绑核 + 异步 + 中断隔离
└─ 合规：安标 / 等保 / 密码法 三达标

“国产芯 + 国密算法 + 实时Linux”不再是口号。
按照本文步骤，你可在 1 小时内完成驱动加载、加密演示、实时性验证，让矿山机械臂、电网继保、轨道交通信号系统在“自主可控”基础上，既快又安全。立刻拉分支，把 sm4_cbc_user.c 推入你的代码仓库，下一个国产化项目验收，国密合规项一次性通过！