1. 低功耗设备密码性能优化导论

低功耗设备通常指以电池供电、依靠微控制器或低端应用处理器运行、内存与算力都受限的嵌入式终端，例如智能门锁、可穿戴设备、无线传感器节点、车载无钥匙进入模块、工业手持终端等。这类设备越来越多地承担身份认证、数据加密、固件校验、安全启动等密码任务。密码算法本身是"数学正确"的，但把它放进一颗主频几十兆赫兹、RAM 只有几十到几百 KB、还要靠纽扣电池撑数年的芯片里，"能不能算对"就变成了"能不能在有限时间、有限能量、有限内存里算完，并且不被攻击者从功耗、时间、缓存行为中反推出密钥"。

本课程的目标不是重新推导 AES 或 ECC 的数学原理，而是建立一套面向工程落地的优化方法论：给定一颗具体的低功耗芯片和一组具体的密码任务，能够判断瓶颈在哪里、选择哪条优化路径、用哪些参数和指标去度量、如何验证优化确实有效且没有引入新的安全风险。学完本课程，你应当能够独立完成一次从"性能画像"到"优化实施"再到"功耗与安全复核"的完整闭环。

核心挑战：三个约束互相拉扯

低功耗设备上的密码性能问题，本质上是三组约束的博弈。第一组是算力与时间：MCU 主频低、缺少硬件乘法器或大位宽运算单元，一次 RSA-2048 签名在纯软件下可能耗时数百毫秒甚至数秒，而门锁的响应要求往往在几百毫秒内。第二组是能量与寿命：每次密码运算消耗的能量直接决定电池寿命，一次 ECC 点乘可能消耗数毫焦，若每天触发上百次，累积功耗不可忽视。第三组是安全与侧信道：为了省时间而采用查表、提前退出、数据相关分支等优化手段，恰恰是时序攻击和功耗分析攻击最喜欢的入口。

这三者往往此消彼长。例如用查表加速 AES 的 S 盒替换，能显著提升速度，但表访问的缓存/内存地址与密钥相关，会泄露信息；用固定时间算法可以抵抗时序攻击，但通常比数据相关实现慢。优化的真正难点，是在给定安全等级下找到三者的可行交集，而不是单点追求最快。

优化维度：从算法到硬件的五个层次

密码性能优化可以按抽象层次划分为五个维度，越往下越接近硬件，收益与代价也各不相同。

• 算法与协议层：选择更轻量的算法或参数。例如在资源极受限时用 AES-128 而非 AES-256，用 ECC 的 Curve25519 而非 RSA-2048，用 ChaCha20-Poly1305 替代 AES-GCM 以规避查表侧信道。这一层改动收益最大，但受互操作性和标准约束。
• 实现层：优化代码结构，如循环展开、预计算、窗口法、Montgomery 阶梯、常数时间选择。这是本课程的重点，通常能在不改算法的情况下获得数倍提升。
• 数据表示层：选择适合目标字长的表示，如把大整数按 32 位或 64 位 limb 组织，利用进位保留、延迟归约减少中间开销。
• 指令与编译层：利用芯片的 DSP 指令、SIMD、位操作指令，配合编译器内联、寄存器分配、消除冗余内存访问。
• 硬件加速层：使用 AES 引擎、PKA（公钥加速器）、TRNG、安全元件等专用外设，把运算卸载到硬件，同时降低功耗。

实际工程中，这五个层次往往组合使用。一个典型的智能门锁方案可能是：协议层选 ECC P-256 + AES-128-GCM，实现层用 Montgomery 阶梯和常数时间查表，数据层用 32 位 limb，指令层启用芯片的硬件乘法，硬件层调用 PKA 完成点乘。每一层都要单独度量，才能知道收益来自哪里。

整体学习路径

本课程后续章节将沿着"度量—优化—验证"的主线展开。先建立性能与功耗的度量方法，学会用周期计数、能量探针、示波器或芯片内置计数器获取可信数据；再分别深入对称密码、公钥密码、哈希与随机数的优化技术；随后讨论侧信道防护、安全启动与密钥存储对性能的影响；最后通过若干完整案例，把算法选择、实现技巧、硬件加速和功耗预算整合起来。

下面这张图给出了本课程的核心结构：左侧是三类约束，中间是五个优化维度，右侧是贯穿始终的度量与验证闭环。它也是你后续每做一次优化时应当对照的检查框架。

一个可对照的示例：智能门锁的密码任务画像

为了让后续章节有统一的参照，这里给出一个贯穿课程的示例场景。假设某智能门锁采用 Cortex-M4F 内核，主频 48 MHz，SRAM 128 KB，Flash 512 KB，由两节 AA 电池供电，目标寿命 2 年。它的密码任务包括：蓝牙配对时做一次 ECDH（P-256）密钥协商，每次开锁做一次 AES-128-GCM 解密与认证，每次上电做一次固件签名验证（ECDSA P-256）。

在未优化的情况下，纯软件 P-256 点乘在 M4F 上大约需要 8～15 ms（示例量级，实际取决于实现），ECDSA 验签约 20～40 ms，AES-128-GCM 对 64 字节数据约 30～60 μs。看起来时间不是问题，但能量才是关键：若每次开锁触发一次 ECDH 和一次 AES，按平均电流 12 mA、单次 ECDH 10 ms 估算，单次开锁密码运算约消耗 0.6 mJ；每天 20 次开锁，一年约 4.4 J，对 AA 电池（约 10000 J）占比虽小，但若加上蓝牙广播、传感器轮询和固件校验，累积起来就会显著压缩寿命。

因此，本课程后续会反复使用"时间—能量—安全"三轴来评估每一个优化动作。你在做自己的项目时，也应当先建立这样一份画像：列出密码任务、调用频率、单次时间与能量、安全等级要求，再决定优化优先级。没有画像的优化，往往是凭感觉调参，收益不可复现。

本课程的学习方法

密码性能优化是一门"动手优先"的课程。阅读之外，建议你准备一块带电流测量能力的开发板（如带 J-Link 或功耗探针的板卡），以及一个可以复现的密码测试向量集。每学完一个优化技术，就在自己的目标芯片上实现并测量，对比基线。遇到与理论不符的结果，优先检查测量方法、编译器优化等级和时钟配置，而不是急于否定技术本身。