2. 算能边缘设备与TPU基础
在讨论权限控制、镜像加固和访问管理之前，必须先理解算能边缘设备的硬件底座。算能（Sophgo）的BM1684和BM1688是当前边缘AI部署中最常见的两颗芯片，它们决定了你能跑多大的模型、能支持多少路视频流、以及安全策略的边界在哪里。本章从芯片架构、板卡形态、部署场景三个维度展开，帮助你建立对算能边缘设备的完整认知。
2.1 算能系列硬件：BM1684与BM1688核心差异
BM1684是算能2020年推出的12nm工艺AI芯片，主打16TOPS（INT8）算力，内置8核ARM Cortex-A53处理器，支持FP32/FP16/INT8三种精度。它被广泛用于早期的SE5系列智能盒和SM5M模组。BM1688则是2023年后的主力，采用8nm工艺，算力提升至32TOPS（INT8），CPU升级为8核Cortex-A55，并增加了对BF16的支持，同时功耗控制更优。从安全部署角度看，两颗芯片最大的区别在于：BM1688的TPU支持更细粒度的内存隔离（通过IOMMU），而BM1684在共享内存场景下需要更谨慎的权限管理。
| 对比维度 | BM1684 | BM1688 |
|---|---|---|
| 制程工艺 | 12nm | 8nm |
| INT8算力 | 16 TOPS | 32 TOPS |
| CPU核心 | 8×Cortex-A53 | 8×Cortex-A55 |
| 内存支持 | LPDDR4x 最大16GB | LPDDR4x/5 最大32GB |
| TPU隔离 | 基础内存保护 | IOMMU硬件隔离 |
| 典型功耗 | 16W | 12W |
| 常见形态 | SE5、SM5M、PCIe卡 | SE9、SM8M、定制载板 |
在实际选型时，如果项目需要同时运行多个模型或需要更强的安全隔离（例如多租户场景），优先选择BM1688。如果只是单模型推理且成本敏感，BM1684仍然够用。但要注意，BM1684的驱动版本较老，部分安全补丁需要手动合入。
2.2 TPU架构：从计算单元到安全边界
算能TPU的核心是一个可配置的脉动阵列（Systolic Array），配合片上SRAM和DMA控制器。以BM1684为例，其TPU包含64个NPU（Neural Processing Unit）核心，每个核心支持INT8乘加运算。数据流从DDR通过DMA搬运到SRAM，再由计算单元完成矩阵运算，结果写回DDR。这个过程中，TPU驱动（/dev/sgpu）是用户态与硬件之间的唯一通道，所有对TPU的访问都必须通过ioctl系统调用。因此，驱动层的权限控制是安全部署的第一道闸门。
从软件栈看，TPU的访问路径为：应用程序 → libsophon（用户态库） → 内核驱动 → TPU硬件。libsophon提供了bmrt（运行时）和bmcv（计算机视觉）等接口。在多进程场景下，多个进程可以同时打开/dev/sgpu，但驱动内部通过文件描述符的引用计数管理资源释放。这里存在一个常见风险：如果某个进程异常退出，驱动可能无法正确回收TPU上下文，导致后续进程初始化失败。建议在部署脚本中增加TPU状态检测和重置逻辑。
2.3 常见边缘设备形态与部署场景
算能边缘设备主要有四种形态：模组（SM5M/SM8M）、智能盒（SE5/SE9）、PCIe加速卡和定制载板。模组适合嵌入到自有硬件中，通过邮票孔或连接器与载板通信；智能盒是完整的边缘计算设备，自带外壳、电源和散热，开箱即用；PCIe卡则用于服务器或工控机中扩展AI算力；定制载板则针对特殊场景（如车载、军工）进行定制。
部署场景决定了安全策略的侧重点：
- 智慧安防/园区：通常部署在弱电机房或室外防水箱，需要关注物理安全和网络隔离，模型文件容易被物理窃取。
- 工业质检：设备部署在产线旁，环境恶劣（高温、粉尘），需要关注散热和电源稳定性，同时模型更新频率高，需要安全的OTA机制。
- AI Box / 边缘网关：通常连接多路摄像头，需要处理RTSP流，对网络端口开放较多，需严格限制访问来源。
- 车载/机器人：移动场景，网络不稳定，需要断网续传和本地缓存机制，同时防止调试接口暴露。
2.4 案例拆解：SE5智能盒在园区安防中的安全部署
某园区部署了20台SE5智能盒，每台接入8路1080P摄像头，运行人脸识别和车辆结构化模型。初始部署时，运维人员为了方便，将所有设备使用默认密码，并开启了SSH root登录。上线两周后，发现其中3台设备被植入挖矿程序，CPU占用率持续100%。排查发现，攻击者通过扫描默认端口（22）和弱口令（admin/admin）进入系统，利用root权限修改了TPU驱动配置，并尝试读取模型文件。
整改措施：
- 立即修改所有设备密码，禁用root远程登录，改用普通用户+sudo提权。
- 关闭SSH端口，改为通过VPN或堡垒机访问。
- 对模型文件进行AES-256加密，运行时由解密模块加载到内存。
- 在防火墙层面限制仅允许管理网段访问设备。
- 部署监控脚本，定期检查TPU利用率、进程列表和文件完整性。
整改后运行一个月，未再发生入侵事件。复盘发现，攻击者利用的是设备出厂时的默认配置，而非系统漏洞。这提醒我们：边缘设备的安全部署，第一步永远是修改默认凭据和最小化服务暴露面。
2.5 常见误区与总结复盘
在算能边缘设备的实际部署中，以下误区需要特别警惕：
- 误区一：认为TPU算力大就一定能跑所有模型。BM1684的16TOPS是INT8理论峰值，实际部署时受限于内存带宽和DMA效率，通常只能达到60%-70%的利用率。模型过大或输入分辨率过高会导致内存溢出。
- 误区二：忽略驱动版本与内核版本的兼容性。算能驱动对内核版本有严格要求，盲目升级内核可能导致驱动编译失败或TPU无法识别。
- 误区三：将模型文件直接放在可读目录。BModel文件是明文格式，一旦被拷贝即可被反编译。必须结合加密和权限控制。
- 误区四：多进程共享TPU时不做资源限制。如果多个容器同时访问/dev/sgpu，可能导致内存冲突或性能下降。建议使用cgroup限制内存和CPU，并设置TPU上下文数量上限。