作為行業內專業的IT/CAD技術服務團隊，摩爾精英IT/CAD事業部曾于2019年11月21日的南京ICCAD大會上發表的《芯片設計云計算白皮書1.0》中，初步探索了基于公有云的EDA計算平臺的實現方案。隨著進一步的探索和方案優化，我們今天將發布《芯片設計云技術白皮書2.0》，進一步升級迭代EDA云計算的實現方案。在這一稿白皮書中，將基于Azure云平臺，呈現包括彈性算力、安全方案、EDA設計生態云模型等。
以下內容摘取《中國芯片設計云技術白皮書2.0》部分內容：
第二章 設計云平臺中國市場規劃
第二節 芯片設計云生態規劃
對比于國外半導體發展軌跡來看，國外的半導體行業經過30多年發展，成就了一個個大公司，國外大公司的云計算之路的驅動力更多在于混合算力的需要，前面的案例中都顯示了這一點。而國內的云計算之路的驅動力則更偏重于資源共享的需要。中國國內的芯片設計企業眾多，規模小、階段早，以云計算技術為基礎，將IP資源和技術支持、PDK資源和技術支持、EDA資源和技術支持、IT基礎架構資源和技術支持、CAD技術支持資源整合、標準化，打造生態型的設計云平臺，極大地實現資源共享、技術共享、平臺共享，加速中國半導體事業發展。
中國現在的半導體行業得天獨厚，國內的半導體發展正處于一個“百舸爭流千帆競”的歷史發展特定時期，充滿機遇與挑戰。當前芯片行業的特點，正由封閉模式轉向半開放模式，市場投入以及政策支持，正加速中國當前出現越來越多的創業芯片公司，這些初創芯片公司都關注的是特定領域的芯片研發。在這樣的大環境下，集大成的生態型設計云平臺呼之欲出，以云平臺的方式提供一個相對平等的環境，支持協作和共享，可以更靈活地幫助大量芯片公司共同發展。
根據對半導體行業的深入研究和調查，摩爾精英IT/CAD事業部對即將到來的國內半導體行業戰略發展面臨的云計算平臺作出了戰略規劃，“擁抱云計算，打造適合中國國情的芯片設計云生態模型”。
設計生態云模型
2.1 統一云平臺，集成五要素
以云計算為IT基礎底層，整合行業核心資源，打造統一的芯片設計云平臺，集成包括：IT基礎架構層與技術服務、CAD管理與技術服務、EDA資源池與技術服務、IP資源池與技術服務、PDK資源池與技術服務等五大技術支持平臺的整合型設計生態云平臺。
設計、EDA、IP、PDK在云計算平臺上可以各自成云，彼此安全隔離，數據共享可追溯，上傳下載加密，形成安全高效的生態設計環境。
2.2 各自上云，永不落地
核心資源包括IP、PDK等，可以在云平臺上，擁有各自供應商的私有云空間，數據對設計公司的開放與否，一方面依賴于傳統合作協議與商務條約，另一方面依賴于云平臺技術安全管控手段。不同角色的用戶，例如IP供應商、晶圓廠、EDA公司，對各自的數據擁有完全的管理權限。重要數據在不同隔離區間進行傳遞，通過數據加密或指紋追蹤技術，進行有效的安全監管，對核心數據資源的管控做到各自成云，永不落地。
2.3 云計算三層架構
基于云計算的IT架構包括IaaS層、PaaS層、SaaS層，分別管理物理層資源、物理資源敏捷運維、應用層資源以及應用層資源自助管理。
在設計生態云平臺上，安全高效地整合了芯片設計開發所需的全部技術支撐，可以做到對眾多芯片設計企業的平臺化支持，幫助他們可以短時間內擁有更快更標準統一化的研發平臺，從而幫助他們更為容易地加快芯片開發與迭代速度，為產品上市贏取時間。通過設計生態云統一化的平臺，更多的IP、PDK和EDA資源可以快速匯集、并提供統一的技術支持窗口，這也能對國內EDA工具及IP的發展起到非常好的促進作用。
掃碼可下載完整版
《中國芯片設計云技術白皮書2.0》
第三章 設計生態云技術架構詳解
在前一章節中闡述的5個技術角色以及芯片設計公司，將在設計生態云上構成一個多租戶的生態系統。相較于上一版白皮書的探討，這次探討的設計生態云從技術上呈現的主要特征為：
第一節 系統拓撲設計
一個多租戶的云計算平臺，需要以下六類角色的參與：
下圖是一個完整包括這六類角色的系統拓撲圖。
第二節 云計算基礎架構層
云計算是在傳統物理數據中心的基礎上，通過虛擬化技術實現物理資源的多租戶共享，從而提高資源的利用率。云計算基礎設備服務即包括了計算，存儲，網絡三部分的服務。用戶可以通過管理平臺快速自助的獲得所需要的計算能力。基礎設施服務（IaaS）是芯片設計云的基礎，解決了各設計公司的計算資源峰值缺口問題。
從本地進入到云端，隨著環境的變化，對使用者，維護者以及云供應商都提出來全新的要求與課題。從混合云上講，大部分大型設計公司，都有原有的自建機房，這部分計算資源在一定時期內還承擔著主要的計算任務，云上資源在開始兩三年還是以算力補充為主。如何管理好云上資源，做好與本地計算資源的協同，如何結合云供應商的產品能力以及企業自身的要求，對IT管理人員提出了新的要求。同時值得注意的是平臺服務部分，從短期來看，對芯片設計云沒有直接的使用價值，但是從長期看，利用平臺服務（PaaS）可以快速實現基于數據的先進應用，如基于歷史數據的設計優化建議，更完整的安全閉環管理等。
第三節 設計云管理平臺
對于設計公司使用的設計環境可以理解為各種設計資源的有效結合，例如：硬件資源（服務器，存儲，網絡），軟件資源（EDA工具，版本管理工具），其他資源（IP，PDK）等。隨著設計工藝的發展，設計環境變得更加復雜。如何快速搭建和高效管理設計環境成為了現在CAD服務最挑戰的課題。
設計云管理平臺（DCMP，Design Cloud Management Platform）就是針對芯片設計環境而設計的資源管理平臺，按照資源的類型用不同的模塊進行管理，實現各種生態云上自住和管理各種設計資源：
3.1資源規劃與實現——PaaS層
設計云管理平臺的云資源管理（CMP）模塊將會對接下面的IaaS層的各種資源，通過云管理接口來管理IaaS層的硬件資源。
CMP提供了對IaaS層各種資源的自助運維管理、資源監控和報警、日志管理以及利用AI技術提供智能化運維。通過CMP可以對平臺上所有用戶設計環境的基礎架構進行標準化，降低環境管理的復雜度；并將運維中的重復工作通過腳本實現自助服務，把管理員從大量的重復勞動中解放出來；通過智能化運維能準確預測設計環境可能會碰到的問題，并在問題發生前采取相應的措施減少設計環境中斷情況的發生。
同時，CMP還針對芯片設計行業的特點，提供計算集群管理功能、設計作業調度功能以及彈性算力管理功能等。
Cyclecloud是Azure云提供的強大的創建、管理、操作和優化HPC和大型計算群集的服務，此服務可以和作業調度系統結合在Azure上實現彈性算力的功能。
Azure CycleCloud旨在使企業IT組織能夠向其最終用戶提供安全靈活的云HPC計算環境。通過群集的動態擴展，企業可以以正確的時間和價格獲得所需的資源。
Azure CycleCloud的自動化配置使IT部門能夠專注于向業務用戶提供服務。Azure CycleCloud是很方便在企業級用于協調和管理Azure上的高性能計算（HPC）環境的工具。借助CycleCloud，用戶可以為HPC系統預配基礎結構，部署熟悉的HPC調度程序，并自動擴展基礎結構以在任何規模下高效地運行作業。通過CycleCloud，用戶可以創建不同類型的文件系統，并將它們裝載到計算群集節點，以支持HPC工作負載。
在芯片設計領域常用調度工具LSF與CycleCloud之間有著工程級的合作，CycleCloud可以協助LSF更高效的調度Azure云上資源。雖然今天利用LSF的Resource Connector，可以實現與不同公有云供應商的對接，然而使用CycleCloud依然有著許多的優勢，首先是LSF與CycleCloud之間認真定義必要功能的接口，所以云上的特性都由Cyclecloud來管理與控制。今天的公有云每天都在發生著變化，CycleCloud做為微軟原廠工具可以在第一時間支持這些新功能。其次在日常運維過程中，如果計算資源的調度出現了問題，運維人員只需要找到CycleCloud的原廠支持，來進行問題的定位與判斷，而且所有CycleCloud支持都是相關領域的專家。同時微軟也有專有的與LSF工程團隊的溝通機制。相較直接對接計算資源的方案，當問題發生時，云提供商往往第一時間反饋給的是云上虛擬機的部門，很多支持工程師對于EDA或是高性能計算的模式與特點，以及工具都是一無所知的。
計算任務上云的最大好處是可以利用云資源進行動態調度，運維與研發團隊可以根據項目的需要選擇最省錢的方案或是用時最短的方案。同時由于云上資源以使用量計費，當面對龐大云計算資源管理時，對不再工作的計算資源需要即時停止是很重要的，對于管理運維人員也是很大的挑戰。Cyclecloud正好幫助運維團隊填補了這部分的能力，可以助力動態調度快速落地。
3.2資源管理規劃與實現——SaaS層
設計云管理平臺的設計資源管理（DMP）模塊將會針對平臺2大類租戶：資源供給方和資源使用方分別對除了云提供的IaaS層資源之外的設計資源進行管理和監控，例如：賬號，項目，IP，PDK，EDA工具、設計流程和設計環境等。
資源供給方
在此平臺上，資源供給方主要指：IP供應商，晶圓廠，EDA公司，CAD技術服務公司。這些公司可以提供芯片設計環節中所需的IP，PDK，EDA工具，設計流程等。DMP可以讓資源供給方將這些資源上傳到云上，并通過一定的授權流程完成資源授權給到云上的資源使用方--設計公司，并使得資源供給方按照線上定價策略獲取收益。統一的設計云資源管理平臺將這些資源供給方的資源極大化整合，充分共享、自由交易，加快促進IP、EDA的銷售過程和技術支持過程，從而加快上下游的通暢。在云上，所有租戶都各自成云，數據的傳輸可以借用云上的安全中技術以及加密和指紋技術保證上傳資源的安全。
資源使用方
資源使用方主要指設計公司，設計公司通過DMP可以快速和容易地獲取更多的設計資源，在芯片設計早期利用云上的所有資源進行比較（例如：不同IP供應商提供的相同功能的IP，相同功能的不同EDA工具等），選擇滿足產品設計要求的IP/PDK/EDA/設計流程的最優組合，從而使得設計成本最優并提高產品成功率。設計公司的環境中一般還可以細分為2種角色---管理員和普通用戶：管理員將通過DMP提供的自助運維功能對設計環境中的各種資源（賬號、項目、IP、PDK、EDA工具、設計流程和設計環境）進行申請和搭建，并進行日常運維。DMP通過腳本自動化的方式將傳統的ITCAD工作遷移到了云端，并實現了可視化和智能化。普通用戶通過DMP提供的遠程登陸臺直接接入云端設計環境，云端設計環境的架構遵循私有云的安全架構，對用戶來說是透明的遷移，不會改變任何設計使用習慣。并且用戶可以通過DMP可視化地查詢環境中的資源使用情況、項目進度以及管理自己的賬戶信息和數據，從而提升用戶的使用體驗。
掃碼可下載完整版
《中國芯片設計云技術白皮書2.0》
第四節 平臺安全方案
根據Gartner云安全評估報告顯示（參見P25圖表），在安全能力評估中微軟得到了13個High，拿下整體安全能力全球第一。評估維度包括基礎設施安全，云治理和合規，網絡安全，應用和容器安全，數據安全，日志和預警，應用和工作負載保護等7大模塊24項能力。無論國內還是國外的設計公司，在上云的過程中還十分關注安全問題。從安全上講，由于設計云中進行仿真的原代碼對設計公司都是機密而又重要知識產權的內容，如何進行數據安全的保證以及使用者的權限管控就成為一個十分重要的問題。
4.1 云計算安全基礎
設計環境遷入公有云不僅僅意味著基礎設施物理位置的變化，相較于傳統私有數據中心，在管理上與運維上也提出了極大的挑戰變化。
首先是對于安全職責將由云供應商與客戶共同承擔，如下圖所示，云使用方的IT需要將更多精力放在應用層之上的安全，包括信息數據安全，身份管理以及應用層面安全，而云供應商負責應用層以下的基礎安全。使用方應當多利用云供應商應提供的基于云的安全監控工具與服務，同時為了方便管理與維護，應當使用云供應商或是自建的統一平臺，集中展示設計云平臺中的計算，存儲以及網絡各方面安全以及性能問題，以及設計并實施相關的安全策略。同時需要注意隨著地區與行業法規的日益完善，合規性也成為平臺安全的重要一環。使用方需要可以利用云供應商或是第三方工具對所使用平臺及系統進行快速便捷的合規性評價，并對不合規可以提出改善性建議。
其次對于更為復雜云端環境，安全包括基礎設施安全，合規性，網絡安全，應用安全，數據安全，身份管控與報警多個方面。2020年Gartner對各大共有公供應商就這些方面進行了安全評測，其中微軟Azure以13項高安全排名第一，阿里云與AWS排名第二第三。同時對于IT運維管理人員需要注意，今天的安全不僅僅需要依靠各種安全規則進行被動安全管理，更需要依賴大數據的后臺分析，進行主動防護。這對云供應商的數據收集與分析能力提出了極大的挑戰。
這方面30多年來微軟為全球用戶提供超過200多種商業服務，積累了海量的數據和運營盡量。并從中獲取的獨特的安全見解。例如每月有4000億份郵件，120億個設備受到WindowsDefender掃描保護，微軟后臺可以清楚的了解到客戶端受到的攻擊是哪里發起的，是怎么擴展的。微軟對安全的理解來自海量的數據和30多來的運營經驗，利用這些經驗，微軟可以很容易的分析出正常用戶的登錄授權行為是怎么樣的，異常的行為又是如何的以及用戶密碼被盜取的頻率，保護著7億5000萬Azure用戶的身份安全。智能安全圖譜是在微軟非常特別的東西，我們覺得是這個行業獨一無二的。通過智能安全圖譜我們把數萬億的信號整合起來，這些信號就不僅僅是孤立信息點，微軟全球7500多位安全專家可以從對多個信號的分析整理，描述出攻擊者的行為模式，保護沒有受到攻擊的節點。
最后我們要注意安全問題不僅僅來源于外部網絡的攻擊，也會借助相關人員的賬號與設備進行攻擊。在攻擊云基礎架構時，黑客通常會攻擊多個資源，以嘗試訪問客戶數據或公司機密。云殺鏈模型解釋了攻擊者如何試圖通過四個步驟（發掘漏洞、訪問、橫向移動和操作）訪問在公共云中運行的任何資源。
發掘漏洞是指攻擊者尋找訪問基礎架構的機會地方。例如，攻擊者知道面向客戶的應用程序必須開放，合法用戶才能訪問它們。這些應用程序暴露在Internet上，因此容易受到攻擊。攻擊者將嘗試攻擊漏洞或利用公開應用程序中的弱憑據。在漏洞或基于惡意軟件的攻擊中，也存在危害用戶憑據的暴露。
攻擊者將嘗試利用漏洞來訪問公共云基礎架構后，這可以通過有風險的用戶憑據、實例或配置錯誤的資源完成。通過危害實例，攻擊者可以通過利用漏洞（例如在面向公眾的Web應用程序上）或利用弱憑據（如暴力強制面向公開的SSH服務器）來訪問實例。如果沒有安全控制，68%的違規需要數月或更長時間才能發現。
數據來源：Gartner
在橫向移動階段，攻擊者會發現他們有權訪問哪些資源以及該訪問的范圍。對實例的成功攻擊使攻擊者能夠訪問數據庫和其他敏感信息。然后，攻擊者會搜索其他憑據。如果沒有安全工具來快速通知您攻擊，組織平均需要 101 天才能發現漏洞。同時，在突破后 24-48 小時內，攻擊者通常會完全控制網絡。
攻擊者在橫向移動后采取的行動在很大程度上取決于他們在橫向移動階段能夠訪問的資源。攻擊者可以采取導致數據泄露、數據丟失或發動其他攻擊的操作。對于企業來說，數據丟失的平均財務影響現在達到123萬美元。
基于此如何構建一個從設備到云的端到端的零信任安全體系，成為越來越多安全專家們的共識。下圖展示了基于微軟技術體系的，混合云的模式下的安全參考結構。其中設備側通過SCCM對不同設備進行安全策略的設置，單個設備可以基于MicrosoftATP進行主動保護。設備到云的網絡層面對鏈路以及接入點進行保護。云端產品與服務從開發階段就嚴格遵守安全開發生命周期模式，提供完整的身份管控，數據加密，行為監控等一系列安全措施。安全運營中心提供了一個云原生的安全統一管理平臺，運維人員可以從統一入口監控管理云端服務，并針對安全與合規性問題對云資源進行安全升級與管控。
4.2 數據傳輸和指紋技術
數據傳輸管理
管理員可以通過 DMP 的數據傳輸管理功能對設計數據傳輸進行自助管理：實現創建 / 更改 / 刪除數據傳輸通道，自助配置數據傳輸通道的安全策略。支持人工審核的數據傳輸方式，提供人工審核流程并在數據傳輸申請批準后自助進行數據傳輸。對所有數據傳輸操作進行監控和日志記錄，滿足安全審計的需求。
普通用戶可以通過DMP的數據傳輸管理功能傳輸通道信息進行查詢，并能通過人工審核提交數據傳輸申請。
指紋技術
指紋技術是對預先定義的非結構化數據文件或者結構化數據庫進行掃描，在對掃描內容進行指定指紋算法計算，生成指紋存放在指紋庫中。當系統中有數據傳輸時，會將傳輸數據按照同樣的方式處理生成指紋，并與指紋庫中指紋進行對比得到指紋相似度。
指紋生成
指紋生成是對預處理過的文本按照選定的文本細粒度，使用相應的文件指紋算法計算文件指紋。文件指紋算法是指紋系統中至關重要的一個環節，其性能的優劣直接影響指紋系統的好壞。目前常用的文件指紋算法有MD5、SHA-1、Rabinhash、Simhash、Minhash等。不同的算法有不同的用處，可以根據實際需要選擇不同的算法。
指紋選取
合適的或優秀的指紋選取策略可以在獲得的指紋數量相對較少的情況下，取得更準確的檢測結果。指紋選取是文件指紋系統中另一個至關重要的環節，如果指紋選取的不當，會導致選取的指紋不能充分代表文件本身，最終直接導致文檔相似度檢測時出現很大偏差，影響文件相似度的計算結果。常用的指紋選取策略主要包括全指紋選取、半指紋選取、哈希斷點法和最小哈希值法等。
指紋驗證
指紋驗證，即指紋相似度計算是文件指紋匹配系統的最后一步。相似度計算主要對待檢驗文件指紋和文件指紋庫中的文件指紋進行比對，并計算文件指紋值之間的匹配程度（文件相似度）。計算相似度的時候，不但要返回文件指紋與文件指紋庫對比的相似度值，還要返回最相似的文件和最相似文件的相似度，以方便用戶對文件匹配結果進行檢查。
第四章 基于Azure的MVP
為了實現上述的“大三層平臺規劃”，摩爾精英這次結合 Azure 云的基礎架構，開發了一個最小化可視產品 MVP，驗證了設計云平臺的技術可行性和基本功能。為此我們錄制了一段MVP的視頻供讀者參考。
掃碼可下載完整版
《中國芯片設計云技術白皮書2.0》
結語
一切都剛剛開始，一切都即將結束。自集成電路在1958年以來，芯片產業獲得了指數級的增長。終端也從早期的大型機到PC、轉移到移動設備，再到現在的萬物互聯時代。人類的日常工作和生活也隨著這些技術的變遷而發生了翻天覆地的變化。而在芯片變革終端的同時，終端也在回饋半導體產業。無論是EDA等工具的發展，還是各種自動化設備的升級，無一不在推動著芯片產業往更強大的方向發展，以滿足未來多樣化的需求。現在，在芯片支撐下的云計算產業已經成為了當代數字社會的重要支撐。對于芯片產業而言，也開啟了跑步融入云計算，提升設計和生產效率的時候。讓我們一起攜手共同迎接新時代的到來。