编者荐语
数据空间是当前支撑数据安全流通的重要技术基础设施，其技术方案融合了访问控制与可信数据存算环境等多项能力。在数据要素化加速、隐私保护法规趋严的背景下，基于“数据空间+TEE（可信执行环境）”的融合路径，为企业提供了兼顾安全与效能的多方协作方案，成为构建可信数据生态的重要探索。本文将帮助读者理解如何借助硬件级安全技术与数据治理框架，破解“不敢共享、不能共享”的数据协作困境。
基于数据空间和TEE结合的多方数据存算技术探索
亚信科技（中国）有限公司
摘要：本文聚焦“数据空间+TEE”融合方案，分析了二者结合的特点和优势，包括TEE发挥的作用与功能、数据空间与TEE的结合方式等，并对医疗、金融、智慧城市等行业的应用场景进行了介绍。二者的结合可以应对数据协作中的安全与信任挑战，提供了一种将数据治理框架（数据空间）与硬件级安全技术（TEE/机密容器）深度融合的解决方案，并强调了国产化技术（如海光CSV）在其中的实践优势与应用潜力。
一
引言
随着数字经济的快速发展，数据成为驱动创新和经济增长的重要生产要素。然而，数据的价值往往需要通过多方协作才能充分释放，而这种协作面临诸多挑战，例如数据隐私保护、数据主权维护以及计算资源的安全共享等。近年来，基于数据空间（Data Space）和可信执行环境（Trusted Execution Environment, TEE）的技术逐渐成为解决上述问题的关键方向。
数据空间是一种新型的数据治理框架，旨在促进数据的跨组织共享和利用，同时确保数据主权和隐私保护。而TEE则是一种硬件级的安全技术，能够在计算过程中提供隔离的执行环境，确保数据在使用过程中的机密性和完整性。
本文将探讨一种基于数据空间和TEE结合的多方数据存算技术，并重点分析海光 CSV（China Secure Virtualization，机密安全虚拟化）等机密容器在该技术中的应用及其优势。期望通过这种方式，能为实现安全、高效、灵活的多方数据协作提供一种可行的解决方案。
二
数据空间与TEE结合的技术架构
（一）数据空间的核心理念
【 数据空间 】
数据空间是指利用先进的数字技术，对各种数据进行收集、存储、处理、分析和应用的空间。欧盟出版局发布的报告《欧洲共同数据空间：进展与挑战》将数据空间定义为：互相信任的合作伙伴之间的数据关系，每一方都对其数据的存储和共享适用相同的高标准和规则。数据空间是一种以数据为中心的分布式架构，其核心目标是通过标准化协议和工具，支持不同组织之间的数据共享和协同计算，同时保障数据所有者的控制权,定义数据生态系统中各方之间的可信赖数据关系。
【 数据控制 】
数据控制主要涉及到数据访问权限的管理，确保只有授权的用户或系统可以访问特定的数据。这在多方数据共享的场景中尤为重要，因为它可以防止数据泄露和未经授权的访问。为了使得数据空间中多方商定的使用控制策略被准确、完整地执行，且数据在使用过程中不被泄露，需要一个可信存算环境作为数据可控使用的技术保证。
（二）TEE的作用与功能
TEE是一种硬件隔离技术，能够在一个受信任的环境中运行应用程序，防止未经授权的访问或篡改。在多环境等方面的保证。其中数据加解密确保数据在计算过程中始终保持加密状态。代码完整性验证防止恶意软件或攻击者篡改计算逻辑。隔离执行环境避免敏感数据泄露到外部环境。
在多方数据存算技术中，可信执行环境（TEE）是确保数据安全的关键组件。而如海光CSV（China Secure Virtualization）2等TEE产品方案提供的机密容器作为一种基于硬件虚拟化的TEE实现，为多方协作场景提供了高效且安全的解决方案，具有独特的技术优势和适用性。基于TEE的机密容器技术依托于处理器的硬件隔离能力，通过虚拟化技术创建一个完全隔离的执行环境。其核心特性包括：
· 硬件级隔离：利用处理器的安全扩展功能，在物理层面上将计算任务与其他系统资源隔离开来，防止未经授权的访问。
· 内存加密：所有存储在机密容器中的数据都会自动进行加密处理，即使发生物理攻击，也无法直接读取敏感信息。
· 动态资源分配：基于CSV等TEE技术的机密容器支持根据任务需求动态调整资源分配，能够适应不同规模的计算负载。
· 兼容性强：与主流操作系统和容器运行时（如Docker、Kubernetes）无缝集成，便于现有系统的迁移和部署。
（三）数据空间与TEE的结合
将数据空间与TEE结合，可以构建一个既能支持多方协作又能保障数据安全的存算平台。具体而言，数据空间负责管理和协调数据资源，而TEE则为数据的处理提供安全保障。 采用以基于TEE的机密容器作为核心技术基础，为多方数据存算带来了显著的优势。
1.高性能与低延迟
机密容器在设计上充分考虑了高性能计算的需求。它利用硬件加速技术优化加密、解密和计算操作，大幅减少了系统开销。在实际测试中，CSV容器的吞吐量和延迟表现均优于同类产品，尤其是在大规模分布式计算场景中表现出色。
2.强大的安全保障
机密容器的硬件级隔离机制使其成为抵御高级威胁的理想选择。无论是侧信道攻击、恶意软件还是物理攻击，都能有效防范。此外，内存加密和代码完整性验证等功能进一步增强了系统的安全性，为敏感数据的处理提供了全方位的保护。
3.易用性与兼容性
相比其他复杂的TEE解决方案，机密容器在易用性方面具有明显优势。它支持主流的操作系统和容器运行时，开发者无需对现有应用程序进行重大改动即可迁移到可信执行环境中。这种高度的兼容性降低了企业的迁移成本，同时也缩短了部署周期。
4.经济性与可扩展性
机密容器支持按需分配资源，使企业可以根据实际需求灵活调整计算规模。这种弹性架构不仅提高了资源利用率，还帮助企业节省了大量的硬件投资。此外，机密容器的模块化设计使得系统具备良好的可扩展性，能够轻松应对未来的业务增长和技术升级。
5.生态支持与社区驱动
机密容器在国内拥有强大的生态支持3，包括硬件供应商、软件开发商和服务提供商等。这些建立在本土市场的合作关系，使得机密容器能够快速适应国内用户的特定需求，并提供完善的售后服务。与此同时，活跃的技术社区也为开发者提供了丰富的学习资源和技术交流平台，推动了整个生态的持续发展。
三
应用场景与未来展望
（一）应用场景
基于数据空间和基于TEE机密容器的多方数据存算技术，已在多个领域展现出巨大潜力，包括但不限于以下场景：
· 医疗健康：医院、研究机构和制药公司可以通过该技术共享患者数据，开展联合研究，同时保护个人隐私。
· 金融服务：银行和保险公司可以合作分析客户行为，优化风险评估模型，而无需直接共享原始数据。
· 智慧城市：政府部门和企业可以协同处理交通、能源等领域的数据，提升城市管理效率。
（二）挑战与应对策略
尽管该技术具备诸多优势，但在实际应用中仍面临一些挑战，包括标准化不足、成本问题、生态建设等。对于目前数据空间的标准，特别是针对可信存算环境的标准尚处于发展阶段，需要进一步完善。支持TEE的设备普遍有一定的成本问，特别是高性能硬件设备的部署可能带来较高的初期投入。在生态建设方面需要吸引更多开发者和企业加入，共同推动技术普及。
为推动行业规范发展与技术协同，行业各界当联合推进相关行业标准制定，助力不同系统互操作性提升。在此基础上，还可以提供按需付费或租赁服务等灵活商业模式以降低用户门槛，并依托社区建设、技术培训及案例分享活动的开展，逐步提高市场认知度。
（三）未来发展方向
展望未来，基于数据空间和TEE的技术将继续向更深层次发展。一方面，随着量子计算和人工智能的进步，数据安全的要求将进一步提高；另一方面，区块链、边缘计算等新兴技术的融合，也将为该领域带来更多可能性。未来，期待这一技术能够在数据要素化的浪潮中得到广泛应用，为数字经济的发展注入新的活力。
参考资料：
[1] 欧盟出版局(Publications Office of the European Union）,《欧洲共同数据空间：进展与挑战》（EN data europa eu and the European common data spaces）
[2] 龙蜥社区.云原生机密计算最佳实践白皮书.2023
[3]龙蜥社区.https://openanolis.cn/sig/coco/doc/533508829133259244