doc: add ML-KEM IP design report with figures

doc/reports/mlkem_ip_design_report.tex

@@ -0,0 +1,578 @@
+\documentclass[11pt,a4paper,twoside]{article}
+
+% ─── Packages ────────────────────────────────────────────────
+\usepackage{ctex}
+\usepackage[top=2.5cm, bottom=2.5cm, left=2.8cm, right=2.8cm]{geometry}
+\usepackage{graphicx}
+\usepackage{float}
+\usepackage{booktabs}
+\usepackage{longtable}
+\usepackage{multirow}
+\usepackage{array}
+\usepackage{amsmath,amssymb}
+\usepackage{hyperref}
+\usepackage{caption}
+\usepackage{subcaption}
+\usepackage{fancyhdr}
+\usepackage{tikz}
+\usepackage{enumitem}
+\usepackage{listings}
+\usepackage{xcolor}
+\usepackage{algorithm}
+\usepackage{algpseudocode}
+
+% ─── Styling ─────────────────────────────────────────────────
+\hypersetup{colorlinks=true,linkcolor=black,citecolor=black,urlcolor=blue}
+\pagestyle{fancy}
+\fancyhead[LO,RE]{ML-KEM硬件IP设计报告}
+\fancyhead[RO,LE]{\thepage}
+\fancyfoot[C]{}
+\setlength{\parskip}{6pt plus 2pt minus 1pt}
+\setlength{\parindent}{2em}
+\setlength{\headheight}{14pt}
+
+\lstset{basicstyle=\ttfamily\small,breaklines=true,frame=single,numbers=left,numberstyle=\tiny,xleftmargin=2em,language=Verilog}
+
+\newcommand{\Zq}{\mathbb{Z}_q}
+\newcommand{\etal}{\textit{et al.}}
+
+\title{\textbf{ML-KEM后量子密钥封装硬件IP核\\设计与验证}}
+\author{碳基生物\\[4pt] \small 团队编号：CICC1008439\\[8pt] \normalsize 龙芯中科杯·2026全国大学生集成电路创新创业大赛}
+\date{\today}
+
+\begin{document}
+
+\maketitle
+\tableofcontents
+\newpage
+
+% ================================================================
+\section{绪论}
+
+\subsection{设计背景}
+
+ML-KEM（Module-Lattice-based Key-Encapsulation Mechanism，FIPS 203）是NIST于2024年8月发布的后量子密码标准，用于替代RSA和ECC在密钥交换中的角色。其安全性建立在模格上的带误差学习问题（MLWE）之上，多项式环为$\Zq[x]/(x^{256}+1)$，素数模$q=3329$，多项式次数$n=256$。
+
+软件实现的ML-KEM在嵌入式处理器上存在显著性能瓶颈——以ML-KEM-768为例，一轮完整的密钥生成、封装和解封装在通用CPU上需要数百万个时钟周期。本文设计的硬件IP核\texttt{mlkem\_top}旨在通过专用数据通路和计算资源时分复用，在FPGA平台上实现高性能、低面积的ML-KEM加速。
+
+\subsection{关键设计特性}
+
+本IP核在单一硬件模块内具有以下特性：
+
+\begin{enumerate}[label=(\arabic*)]
+    \item \textbf{运行时三等级支持}：通过$k\_i\in\{2,3,4\}$端口在运行时选择ML-KEM-512/768/1024安全等级，存储资源按$K_{MAX}=4$静态分配，无需重综合。
+    \item \textbf{全操作覆盖}：支持KeyGen（FIPS 203算法16）、Encaps（算法17）和Decaps（算法18，含FO变换隐式拒绝）。
+    \item \textbf{Keccak核跨阶段复用}：单一\texttt{keccak\_core}实例在G/H/J哈希、SampleNTT采样和CBD采样三个消费者之间时分复用，是面积优化的最大贡献因素。
+    \item \textbf{Decaps重加密路径复用}：D6步的K-PKE重加密直接复用整条Encaps流水线的全部FSM状态，避免重复实现加密数据通路。
+    \item \textbf{逐字节流式I/O}：公钥$ek$、私钥$dk$和密文$c$通过BRAM窗口逐字节装载与回读，免去超宽顶层总线。
+    \item \textbf{NIST KAT完全验证}：三种等级、三种操作全部逐字节比对NIST FIPS 203 KAT标准答案通过。
+\end{enumerate}
+
+\subsection{代码规模}
+
+RTL代码总计约5,517行（不含测试平台），其中\texttt{mlkem\_top.v}（顶层FSM集成+数据通路+三库存储管理）约2,264行，各叶子算子模块合计约3,253行。全部采用SystemVerilog编写，统一使用\texttt{valid/ready}流式握手接口。
+
+% ================================================================
+\section{IP模块规格}
+
+\subsection{算法参数}
+
+\texttt{mlkem\_top}的运行时参数由输入端口$k\_i$和$op\_i$在\texttt{start\_i}脉冲时刻锁存至内部寄存器$k\_r$和$op\_r$，后续所有数据通路宽度、存储子区间基地址和循环次数均由$k\_r$推导。表\ref{tab:params}列出三种安全等级的密钥和密文尺寸。
+
+\begin{table}[H]
+\centering
+\caption{运行时安全等级参数}
+\label{tab:params}
+\begin{tabular}{cccccccc}
+\toprule
+$k\_i$ & 方案 & $K$ & $\eta_1$ & $(d_u,d_v)$ & ek(B) & dk(B) & ct(B) \\
+\midrule
+2 & ML-KEM-512  & 2 & 3 & (10,4) & 800  & 1632 & 768  \\
+3 & ML-KEM-768  & 3 & 2 & (10,4) & 1184 & 2400 & 1088 \\
+4 & ML-KEM-1024 & 4 & 2 & (11,5) & 1568 & 3168 & 1568 \\
+\bottomrule
+\end{tabular}
+\end{table}
+
+固定参数：模数$q=3329$、多项式次数$n=256$、$\eta_2=2$（所有等级）、共享密钥32字节。
+
+\subsection{顶层端口信号}
+
+\texttt{mlkem\_top}的端口按功能分为四组。表\ref{tab:ports}列出主要信号。
+
+\begin{table}[H]
+\centering
+\caption{mlkem\_top主要端口}
+\label{tab:ports}
+\small
+\begin{tabular}{lll}
+\toprule
+\textbf{信号} & \textbf{位宽} & \textbf{功能} \\
+\midrule
+clk, rst\_n         & 1, 1   & 时钟（25 MHz）与低电平异步复位 \\
+k\_i, op\_i         & 3, 2   & 安全等级（2/3/4）与操作码（0=KG, 1=Enc, 2=Dec） \\
+d\_i, z\_i, msg\_i  & 256×3  & KeyGen种子$d$、隐式拒绝种子$z$、Encaps消息$m$ \\
+start\_i            & 1       & 启动脉冲，锁存$k\_i$和$op\_i$ \\
+busy\_o, done\_o    & 1, 1   & 运行标志与完成脉冲 \\
+ss\_o               & 256    & 共享密钥输出（done\_o时有效） \\
+ek\_in\_we/addr/byte & 1,11,8 & Encaps公钥流式预装载 \\
+dk\_in\_we/addr/byte & 1,12,8 & Decaps私钥流式预装载（自动路由至dkp\_bram/ek\_bram/寄存器） \\
+c\_in\_we/addr/byte  & 1,11,8 & Decaps密文流式预装载 \\
+dbg\_*              & 多种   & 调试抽头：系数、ek/dk/ct字节、中间哈希值 \\
+\bottomrule
+\end{tabular}
+\end{table}
+
+握手协议分三阶段：\texttt{ST\_IDLE}状态下通过流式端口逐字节预装载数据；\texttt{start\_i}脉冲启动并锁存参数；\texttt{busy\_o}拉高期间执行计算；\texttt{done\_o}脉冲时\texttt{ss\_o}和BRAM产物有效。所有256-bit端口采用字节0在低位的约定。
+
+Decaps私钥预装载路径中，\texttt{dk\_in\_*}端口根据写入地址自动将字节流路由至不同目的地：地址$[0,384K)$写入\texttt{dkp\_bram}（$\hat{s}$编码），$[384K,768K+32)$写入\texttt{ek\_bram}（$\hat{t}$编码$\|\rho$），$[768K+32,768K+64)$和$[768K+64,768K+96)$分别写入$H(ek)$和$z$的寄存器。
+
+% ================================================================
+\section{总体架构设计}
+
+\subsection{设计原则}
+
+\texttt{mlkem\_top}的架构遵循三条核心原则。
+
+\textbf{原则一：存储按最大等级分配，运行时参数递推。} 多项式系数存储库以$K_{MAX}=4$（可容纳28个多项式，每个256系数）静态配置深度，$k\_r$仅影响读写地址生成逻辑中的基地址和循环边界。字节存储库（ek\_bram、dkp\_bram、ct\_bram）同样按最大密钥尺寸（1568/1536/1568字节）分配。运行时地址计算通过少量组合逻辑完成，无动态内存分配开销。
+
+\textbf{原则二：Keccak核全阶段时分复用。} Keccak-f[1600]置换是设计中面积最大的单一算子（OOC综合约5,300 LUT）。G/H/J哈希族、SampleNTT（SHAKE-128）和CBD（SHAKE-256）三个消费者处于互斥的FSM阶段，设计将所有Keccak请求复用至单一\texttt{keccak\_core}实例。输入侧通过\texttt{sel\_sha3/sel\_snt/sel\_cbd}多路选择器切换，输出侧将置换结果广播至全体消费者，仅当前激活阶段采样有效信号。
+
+\textbf{原则三：Decaps重加密完全复用Encaps流水线。} FIPS 203算法18的D6步需要以恢复的消息$m'$和随机种子$r'$重新执行一次K-PKE加密以产生参考密文$c'$。这一流程与算法17的Encaps操作的数据通路完全同构。设计将$m'$和$r'$分别写入原有的$m\_r$和$r\_r$寄存器，\texttt{ek\_bram}中保持原始公钥$ek$不变，随后将FSM直接转移至Encaps流水线的首个状态\texttt{ENC\_LOAD}，整条15状态的Encaps数据通路被完整复用。
+
+\subsection{模块层次结构}
+
+图\ref{fig:mlkem_modules}给出\texttt{mlkem\_top}的内部层次结构。设计分为三个逻辑层：控制调度层（FSM + 地址生成 + 数据通路复用）、算子计算层（7个已验证的叶子模块）和存储层（7个BRAM实例）。
+
+\begin{figure}[H]
+\centering
+\includegraphics[width=\textwidth]{mlkem_modules.png}
+\caption{mlkem\_top内部三层模块结构}
+\label{fig:mlkem_modules}
+\end{figure}
+
+\subsection{顶层FSM调度}
+
+全部运算由5-bit状态机集中调度，从\texttt{ST\_IDLE}出发按$op\_r$分支为三条数据通路。图\ref{fig:fsm}给出状态转移图。
+
+\begin{figure}[H]
+\centering
+\includegraphics[width=\textwidth]{fsm.png}
+\caption{mlkem\_top顶层FSM状态转移图}
+\label{fig:fsm}
+\end{figure}
+
+KeyGen路径对应FIPS 203算法16，共7个主状态（不含ST\_IDLE和ST\_DONE）。各状态间的数据传递通过多项式存储库完成：前序状态将结果写入BRAM，后续状态从BRAM读取。
+
+\begin{algorithm}[H]
+\caption{KeyGen数据通路（FIPS 203算法16）}
+\begin{algorithmic}[1]
+\State \textbf{ST\_G}：$G(d \| K) \rightarrow (\rho, \sigma)$，单块SHA3-512，约1,800周期
+\State \textbf{ST\_A}：对全部$K^2$个$(j,i)$索引执行SampleNTT$(\rho \| j \| i) \rightarrow \hat{A}[i][j]$，逐系数写入\texttt{bank\_a}
+\State \textbf{ST\_C}：CBD$_{\eta_1}(\sigma, i) \rightarrow s[i]$，CBD$_{\eta_1}(\sigma, K+i) \rightarrow e[i]$，写入\texttt{bank\_se}
+\State \textbf{ST\_N}：NTT$(s[i]) \rightarrow \hat{s}[i]$，NTT$(e[i]) \rightarrow \hat{e}[i]$，原位更新\texttt{bank\_se}
+\State \textbf{ST\_M}：$\hat{t}[i] = \hat{e}[i] + \sum_{j=0}^{K-1} \hat{A}[i][j] \circ \hat{s}[j]$，逐点乘通过\texttt{poly\_mul\_sync}，累加写入\texttt{bank\_t}
+\State \textbf{ST\_E}：byteEncode$_{12}(\hat{t}) \| \rho \rightarrow ek$，byteEncode$_{12}(\hat{s}) \rightarrow dk_{pke}$，写入\texttt{ek\_bram}和\texttt{dkp\_bram}
+\State \textbf{ST\_H}：SHA3-256$(ek) \rightarrow H(ek)$，多块吸收（块数$=\lceil(ek\_bytes+1)/136\rceil$）
+\end{algorithmic}
+\end{algorithm}
+
+Encaps路径对应FIPS 203算法17，共12个主状态。
+
+\begin{algorithm}[H]
+\caption{Encaps数据通路（FIPS 203算法17）}
+\begin{algorithmic}[1]
+\State \textbf{ST\_ENC\_H}：SHA3-256$(ek) \rightarrow H(ek)$
+\State \textbf{ST\_ENC\_G}：$G(m \| H(ek)) \rightarrow (K, r)$，单块SHA3-512
+\State \textbf{ST\_ENC\_A}：重新生成$\hat{A}^T$矩阵（SampleNTT，行列索引交换），写入\texttt{bank\_a}
+\State \textbf{ST\_ENC\_TDEC}：byteDecode$_{12}(ek) \rightarrow \hat{t}[i]$，逐系数解码至\texttt{bank\_a}
+\State \textbf{ST\_ENC\_C}：CBD$_{\eta_1}(r, 0) \rightarrow y$，CBD$_{\eta_2}(r, K) \rightarrow e_1$，CBD$_{\eta_2}(r, 2K) \rightarrow e_2$，写入\texttt{bank\_se}和\texttt{bank\_t}
+\State \textbf{ST\_ENC\_N}：NTT$(y) \rightarrow \hat{y}$，原位更新\texttt{bank\_se}
+\State \textbf{ST\_ENC\_U}：$\hat{A}^T \circ \hat{y}$逐点乘后INTT，再加$e_1$得$u$，写入\texttt{bank\_se}
+\State \textbf{ST\_ENC\_C1}：Compress$_{d_u}(u)$后byteEncode$_{d_u} \rightarrow c_1$字节，写入\texttt{ct\_bram}
+\State \textbf{ST\_ENC\_E2MV}：将$e_2$从\texttt{bank\_t}搬迁至\texttt{bank\_a}，为V步累加准备
+\State \textbf{ST\_ENC\_V}：$\hat{t} \circ \hat{y}$逐点乘后INTT，加$e_2$和Decompress$_1(m)$得$v$，写入\texttt{bank\_t}
+\State \textbf{ST\_ENC\_C2}：Compress$_{d_v}(v)$后byteEncode$_{d_v} \rightarrow c_2$字节，拼接至\texttt{ct\_bram}
+\State \textbf{输出}：$ss = K$
+\end{algorithmic}
+\end{algorithm}
+
+Decaps路径对应FIPS 203算法18，前5个主状态完成D1--D5步解密恢复，随后复用整条Encaps流水线（D6重加密），最后以一个比较状态（D7）完成隐式拒绝密钥选择。这是硬件设计中最复杂的控制流，也是Decaps流水线复用创新的集中体现。
+
+\begin{algorithm}[H]
+\caption{Decaps数据通路（FIPS 203算法18，含流水线复用）}
+\begin{algorithmic}[1]
+\State \textbf{ST\_DEC\_DECOMP}（D1）：byteDecode$_{d_u}(c_1) \rightarrow$ Decompress$_{d_u} \rightarrow u'$，byteDecode$_{d_v}(c_2) \rightarrow$ Decompress$_{d_v} \rightarrow v'$，写入\texttt{bank\_se}和\texttt{bank\_a}
+\State \textbf{ST\_DEC\_SDEC}（D2）：byteDecode$_{12}(dk_{pke}) \rightarrow \hat{s}[i]$，逐系数解码至\texttt{bank\_a}
+\State \textbf{ST\_DEC\_NTT}（D2续）：NTT$(u'[i]) \rightarrow \hat{u}[i]$，原位更新\texttt{bank\_se}
+\State \textbf{ST\_DEC\_W}（D3）：$\hat{s}[j] \circ \hat{u}[j]$逐点乘后INTT，$v'$减去累加和得$w$，写入\texttt{bank\_t}
+\State \textbf{ST\_DEC\_MENC}（D4）：Compress$_1(w)$后byteEncode$_1 \rightarrow m'$
+\State \textbf{ST\_DEC\_G}（D5）：$G(m' \| H(ek)) \rightarrow (K', r')$
+\State \textbf{ST\_DEC\_J}（D5续）：$J(z \| c) \rightarrow \bar{K}$（隐式拒绝备用密钥）
+\State \textbf{流水线复用}（D6）：将$m'$写入$m\_r$、$r'$写入$r\_r$，跳转至\textbf{ST\_ENC\_LOAD}，完整复用Encaps路径全部12个状态，产生参考密文$c'$（存入\texttt{ct\_bram}）
+\State \textbf{ST\_DEC\_CMP}（D7）：逐字节比较$c'$（\texttt{ct\_bram}）与原始$c$（\texttt{c\_in\_bram}），常量时间无早退；$c' = c$时输出$K'$，否则输出$\bar{K}$
+\end{algorithmic}
+\end{algorithm}
+
+
+% ================================================================
+\section{各功能模块数据通路与控制逻辑}
+
+\subsection{Keccak-f[1600]置换核与哈希族}
+
+\texttt{keccak\_core}模块实现24轮连续Keccak-f[1600]置换，内部结构为简单的迭代流水线：1600-bit状态寄存器$\rightarrow$组合\texttt{keccak\_round}$\rightarrow$写回状态寄存器。\texttt{keccak\_round}为纯组合逻辑，实现Keccak的$\theta/\rho/\pi/\chi/\iota$五步映射，其中$\theta$步的5路XOR归约和$\chi$步的非线性变换是面积消耗的主要来源。
+
+\begin{figure}[H]
+\centering
+\includegraphics[width=\textwidth]{keccak_core.png}
+\caption{Keccak-f[1600]核数据通路与共享机制}
+\label{fig:keccak_core}
+\end{figure}
+
+\texttt{sha3\_top\_shared}模块在\texttt{keccak\_core}之上封装了SHA3/SHAKE协议层，包括1088-bit速率域/512-bit容量域的填充、domain separator拼接（SHA3末尾\texttt{01}、SHAKE末尾\texttt{1111}）以及多块顺序吸收的状态管理。支持三种模式：SHA3-512（$G$函数，单块64字节吸收）、SHA3-256（$H$函数，多块吸收，块数$=\lceil(ek\_bytes+1)/136\rceil$）和SHAKE-256（$J$函数和PRF派生）。
+
+\textbf{共享Keccak的复用机制}通过两级多路选择实现。输入侧：三个消费者的1600-bit状态和\texttt{valid}信号经\texttt{sel\_*}信号选择后送入\texttt{keccak\_core}；选择信号由FSM状态直接推导（例如\texttt{sel\_snt = (st==ST\_A || st==ST\_ENC\_A)}）。输出侧：\texttt{keccak\_core}的置换结果和\texttt{valid\_o}广播至所有消费者，各消费者内部仅在自己激活的上下文中采样，天然实现了无冲突分派。此复用方案将Keccak的硬件开销从三份实例（约16,000 LUT）降至一份（约5,300 LUT），是IP核面积仅为25.5\% LUT利用率的关键设计决策。
+
+\subsection{NTT核}
+
+\texttt{ntt\_core}模块实现256点前向/逆向数论变换，采用单蝶形流水线加256$\times$12-bit寄存器阵列的架构。图\ref{fig:ntt_core}给出数据通路与控制状态机。
+
+\begin{figure}[H]
+\centering
+% [IMAGE_PROMPT: Data path diagram for ntt_core. Left side: 256-entry × 12-bit coefficient register file (cr[0..255]). A read mux selects cr[j] and cr[j+layer_len] based on the current butterfly pair address. These feed a pipelined butterfly unit (butterfly_unit_pipe, 7-stage pipeline) which computes a_out = a + zeta*b mod Q, b_out = a - zeta*b mod Q using a pipelined Barrett multiplier inside. Zeta comes from zeta_rom (128 entries × 12-bit). The butterfly output a_out/b_out go through an 8-stage writeback delay line (wa_d0..wa_d7, wb_d0..wb_d7) that matches pipeline depth, then write back to cr[wa] and cr[wb]. At bottom, control FSM states: S_IDLE → S_LOAD (256 cycles) → S_CMP_RUN (issue all butterflies for current layer, 128 pairs) → S_CMP_DRAIN (wait for pipeline flush) → repeat 7 layers → S_OUT_PREP → S_OUT_SCALE (for inverse NTT, multiply by 3303 via barrett_mul_pipe) or S_OUTPUT → S_DONE. Annotate total cycles: ~2260 for full forward NTT. Clean academic style.]
+\caption{NTT核数据通路与控制状态机}
+\label{fig:ntt_core}
+\end{figure}
+
+NTT的7层蝶形网络按Cooley-Tukey位反转置换顺序执行。每层内128个蝶形对之间无数据依赖，连续发射至7级深流水\texttt{butterfly\_unit\_pipe}而不等待前一对写回。流水线排空等待周期（约7拍）远小于一层中的蝶形总数（128对），因此额外延迟占比较小。
+
+\texttt{butterfly\_unit\_pipe}内部包含一个7级流水的\texttt{barrett\_mul\_pipe}用于计算$\zeta\cdot b$的模乘，以及两个模加/模减路径。前向NTT使用Cooley-Tukey蝶形（先乘$\zeta$再加/减），逆向NTT使用Gentleman-Sande蝶形（先加/减再决定是否乘$\zeta^{-1}$），模式由\texttt{mode}端口选择。
+
+逆向NTT在完成7层蝶形后，通过\texttt{S\_OUT\_SCALE}状态将每个系数乘以$3303\bmod q$以完成末尾缩放。缩放操作复用同一个7级\texttt{barrett\_mul\_pipe}实例，256个系数顺序通过流水线后输出。
+
+\texttt{zeta\_rom}存储128个12-bit旋转因子，位反转索引。ROM综合为LUT，无需额外BRAM。
+
+\subsection{多项式乘法与Barrett模乘}
+
+\texttt{poly\_mul\_sync}实现NTT域两个多项式的逐点乘法，即对128个系数对$(a_0,a_1)$和$(b_0,b_1)$按$c_0=a_0b_0+a_1b_1\zeta\bmod q$和$c_1=a_0b_1+a_1b_0\bmod q$计算。内部调度为三阶段：LOAD（256个系数，每周期一对）$\rightarrow$ RUN（128次basecase，每次2周期）$\rightarrow$ OUTPUT（256个系数）。
+
+\texttt{basecase\_mul}为纯组合逻辑，数据通路包含5个\texttt{barrett\_mul}实例。$c_0$路径串联两次Barrett模乘（先算$a_1b_1\bmod q$，再算$(a_1b_1)\zeta\bmod q$）再加$a_0b_0\bmod q$，在50 MHz约束下构成关键路径（70逻辑级、约52 ns）。
+
+\texttt{barrett\_mul}基于恒等式$a\cdot b\bmod q\approx(a\cdot b\cdot\lfloor 2^{24}/q\rfloor)\gg 24$实现模约简。对于$q=3329$，$\lfloor 2^{24}/3329\rfloor=5039$。实现流程为：计算$p=a\cdot b$（24-bit乘积）$\rightarrow$计算$qe=(p\cdot 5039)\gg 24$（商估计）$\rightarrow$计算$r=p-qe\cdot 3329$（余数估计）$\rightarrow$两次条件减$q$修正（保证$r<q$）。当前实现为纯组合逻辑，在25 MHz集成频率下不构成时序违例。关于流水线化改造以支持50 MHz的讨论见第\ref{sec:timing}节。
+
+\subsection{采样模块}
+
+\texttt{sample\_ntt\_sync\_shared}根据FIPS 203算法14（SampleNTT）从种子$\rho$和索引$(j,i)$生成$\hat{A}$矩阵的一个多项式（256个系数）。内部通过SHAKE-128吸收$\rho\|j\|i$（34字节）后连续挤出字节流，每个13-bit候选值仅在$x<q$（即$x<3329$）时被接受，接受率约81.3\%。逐系数通过\texttt{valid/ready}握手输出，直接写入\texttt{bank\_a}。
+
+\texttt{sample\_cbd\_sync\_shared}实现中心二项分布CBD$_\eta$采样。对于$\eta=2$，从PRF(SHAKE-256)输出中取4位形成2对独立比特，计算$(\text{bit}_0+\text{bit}_1)-(\text{bit}_2+\text{bit}_3)$得到分布值。对于$\eta=3$（仅ML-KEM-512），取6位形成3对。模块通过\texttt{valid/ready}握手逐系数输出，直接写入\texttt{bank\_se}或\texttt{bank\_t}。
+
+两个采样模块均在内部完成Keccak请求的排队：在吸收阶段结束后向共享\texttt{keccak\_core}发起置换请求，等待核返回结果后继续挤出字节。由于采样模块与SHA3族消费者处于互斥的FSM阶段，对共享核的竞争不存在。
+
+\subsection{压缩与解压缩}
+
+\texttt{comp\_decomp\_sync}实现Compress$_d$和Decompress$_d$函数。Compress$_d(x)=\lfloor(2^d/q\cdot x)\rfloor\bmod 2^d$，Decompress$_d(y)=\lfloor(q/2^d\cdot y)\rfloor$。实现将除数$q$替换为Barrett风格的$5039\cdot 2^{-24}$近似，避免组合除法器。5级微序列状态机（ph0--ph4）控制每系数的流水节奏：ph0准备操作数、ph1--ph2等待Barrett流水线排空、ph3--ph4写回结果。模块逐系数通过\texttt{valid/ready}握手输入输出，吞吐为每5周期一个系数。
+
+\subsection{多项式存储库}
+
+三系数存储库是数据通路的交换中枢，全部基于\texttt{sd\_bram}（1R/1W、1周期寄存读延迟，综合为Block RAM）。表\ref{tab:banks}列出配置和内容。
+
+\begin{table}[H]
+\centering
+\small
+\caption{多项式系数存储库配置}
+\label{tab:banks}
+\begin{tabular}{cccp{5.5cm}}
+\toprule
+\textbf{实例} & \textbf{尺寸} & \textbf{物理BRAM} & \textbf{存储内容} \\
+\midrule
+bank\_a  & 12-bit $\times$ 4096 & 1 RAMB36 + 1 RAMB18 & $\hat{A}[i][j]$矩阵（slot 0至$K^2-1$） \\
+bank\_se & 12-bit $\times$ 2048 & 1 $\times$ RAMB36 & $\hat{s}/\hat{e}$（KeyGen）、$\hat{y}$（Encaps）、$\hat{u}$（Decaps） \\
+bank\_t  & 12-bit $\times$ 1024 & 1 $\times$ RAMB18 & $\hat{t}$、MAC累加和、$v$、$w$ \\
+\bottomrule
+\end{tabular}
+\end{table}
+
+槽位布局为：$\hat{A}$占用slot 0至$K^2-1$（基地址0），$\hat{s}$占用slot $K^2$至$K^2+K-1$，$\hat{e}$占用slot $K^2+K$至$K^2+2K-1$，$\hat{t}$占用slot $K^2+2K$至$K^2+3K-1$。所有槽位寻址在运行时由$k\_r$递推，例如$\hat{s}$基地址$\texttt{slot\_s\_rt}=K^2$。
+
+库的读写端口在多个FSM状态之间分时复用。\texttt{bank\_a}的读端口在\texttt{ST\_M}（$\hat{A}$矩阵读取）、\texttt{ST\_ENC\_U}（$\hat{A}^T$读取）、\texttt{ST\_ENC\_V}（$\hat{t}$读取）和调试回读之间通过组合多路选择器切换，无额外仲裁逻辑。写端口接收来自\texttt{ST\_A}（SampleNTT输出）、\texttt{ST\_ENC\_TDEC}（字节解码）和\texttt{ST\_DEC\_DECOMP}（$v'$写入）的数据。
+
+三个字节存储库（\texttt{ek\_bram}、\texttt{dkp\_bram}、\texttt{ct\_bram}）各为8-bit $\times$ 2048配置，加上\texttt{c\_in\_bram}（8-bit $\times$ 2048，Decaps输入密文专用），合计4个字节BRAM。\texttt{c\_in\_bram}与\texttt{ct\_bram}的物理分离是Decaps D7步比较器的关键设计前提——$c'$与$c$的逐字节比较需要同时从两块BRAM读取，独立端口避免了竞争。
+
+% ================================================================
+\section{验证方案}
+
+\subsection{分层验证策略}
+
+验证分为四个层级：
+
+\begin{enumerate}[label=(\arabic*)]
+    \item \textbf{叶子模块级}：独立验证\texttt{keccak\_core}、\texttt{ntt\_core}、\texttt{sample\_ntt\_sync}、\texttt{sample\_cbd\_sync}、\texttt{poly\_mul\_sync}、\texttt{comp\_decomp\_sync}共6个算子模块与Python参考模型的一致性。每个模块通过其\texttt{TB/}子目录下的专用测试平台验证。
+    \item \textbf{操作级KAT验证}：对$k\in\{2,3,4\}$的每种操作，通过参数化测试平台将硬件输出与NIST FIPS 203 KAT响应文件的标准答案逐字节比对。Encaps和Decaps测试覆盖正常路径和隐式拒绝路径（损坏密文$ct\_n$）。
+    \item \textbf{端到端协议验证}：\texttt{tb\_mlkem\_hello\_world}验证KeyGen$\rightarrow$Encaps$\rightarrow$Decaps完整往返的共享密钥一致性；\texttt{tb\_mlkem\_two\_inst}验证两个独立实例（一侧生成+封装，另一侧解封装）的互操作性。
+    \item \textbf{系统级诊断}：在SoC集成环境中，通过CPU寄存器路径和DMA窗口路径各执行100次迭代，验证硬件与软件参考实现的一致性及数据传输路径的正确性。
+\end{enumerate}
+
+\subsection{测试平台与黄金向量}
+
+表\ref{tab:tbs}列出全部操作级和系统级测试平台。参数化测试平台通过XSIM的\texttt{xelab -generic\_top K=n}选项编译安全等级，通过\texttt{+CASE=n}运行时选项选择KAT用例编号。
+
+\begin{table}[H]
+\centering
+\caption{测试平台清单}
+\label{tab:tbs}
+\begin{tabular}{lccc}
+\toprule
+\textbf{测试平台} & \textbf{覆盖操作} & \textbf{安全等级} & \textbf{测试向量来源} \\
+\midrule
+tb\_mlkem\_kg\_katK    & KeyGen & K=2/3/4 & NIST KAT 100用例/级 \\
+tb\_mlkem\_enc\_katK   & Encaps & K=2/3/4 & NIST KAT 100用例/级 \\
+tb\_mlkem\_dec\_katK   & Decaps & K=2/3/4 & NIST KAT 100用例/级 + ct\_n \\
+tb\_mlkem\_hello\_world & 全流程  & K=3      & 固定测试向量 \\
+tb\_mlkem\_two\_inst    & 双实例  & K=3      & 固定测试向量 \\
+mlkem\_test (SoC)       & CPU/DMA & K=2/3/4 & KAT count=0确定性输入 \\
+\bottomrule
+\end{tabular}
+\end{table}
+
+黄金向量来自NIST FIPS 203的KAT响应文件，由Python脚本解析为每用例独立的hex文件。每个KAT用例包含种子$d$、$z$、$m$以及期望的$ek$、$dk$、$c$和共享密钥。Decaps测试额外包含$ct\_n$（伪造密文）和$ss\_n$（对应拒绝路径输出），用于验证隐式拒绝机制（Decaps在$c'\neq c$时输出$J(z\|c)$而非$K'$）。
+
+Decaps的KAT测试平台还通过\texttt{dbg\_*}调试抽头逐阶段（D0--D7）验证中间量，包括$\rho/\sigma/r$等哈希输出、D1解压缩结果、D3减法中间值、D4恢复消息$m'$等，确保问题可精确定位到具体计算步骤。
+
+\subsection{系统级诊断测试}
+
+SoC诊断程序\texttt{mlkem\_test}实现三条独立测试路径：
+
+\textbf{软件参考路径}在33 MHz Loongson CPU上运行纯C语言ML-KEM实现，记录各阶段周期数作为加速比的基准，并验证结果自洽性与黄金向量一致性。
+
+\textbf{CPU寄存器路径}通过AXI寄存器接口直接控制IP核：写入CONFIG配置、通过D[0..7]/Z[0..7]写入种子、通过PRE\_SEL/ADR/DAT序列逐字节预装载公钥/私钥/密文、写CTRL.start启动、轮询STATUS.done、通过RDB\_SEL/ADR/DAT读回结果。该路径验证了IP核的AXI从机接口逻辑和寄存器级控制流的正确性。
+
+\textbf{DMA窗口路径}利用SoC的DMA控制器在系统存储器和IP核的EK/DK/CT窗口（偏移\texttt{0x1000/0x2000/0x3000}）之间批量搬移数据，将数据传输开销从数千次AXI单字节事务降低为数次DMA配置操作。该路径验证了IP核存储器窗口与DMA控制器之间的数据搬移正确性，以及批量传输模式相对于逐字节读写的效率提升。
+
+每种路径对每个安全等级执行100次迭代，记录自洽性（\texttt{ss\_enc == ss\_dec}）和黄金向量一致性。
+
+% ================================================================
+\section{实现结果与测试数据}
+
+\subsection{FPGA资源利用}
+
+ML-KEM IP核在Xilinx Artix-7 \texttt{xc7a200tfbg676-1}上完成布局布线后的独立资源利用如表\ref{tab:mlkem_util}所示。
+
+\begin{table}[H]
+\centering
+\caption{mlkem\_top布局布线后资源利用（25 MHz集成频率）}
+\label{tab:mlkem_util}
+\begin{tabular}{lccc}
+\toprule
+\textbf{资源} & \textbf{已用} & \textbf{可用} & \textbf{利用率} \\
+\midrule
+Slice LUTs   & 31,884 & 133,800 & 23.8\% \\
+Slice FFs    & 24,736 & 267,600 &  9.2\% \\
+Block RAM Tile &  5.5 &     365 &  1.5\% \\
+DSP48E1      &      0 &     740 &  0.0\% \\
+\bottomrule
+\end{tabular}
+\end{table}
+
+DSP使用量为零体现了设计的主动约束——所有乘法（包括NTT蝶形中的Barrett模乘和\texttt{basecase\_mul}中的乘法）均强制映射至LUT和CARRY4逻辑，不消耗任何DSP48E1资源。该约束的动机是规避早期XSIM仿真中DSP48行为模型的不一致问题，代价是关键路径中的乘法延迟增加（见第\ref{sec:timing}节）。
+
+表\ref{tab:modules_util}给出布局布线后的子模块级资源分解。
+
+\begin{table}[H]
+\centering
+\caption{mlkem\_top主要子模块资源利用}
+\label{tab:modules_util}
+\begin{tabular}{lcc}
+\toprule
+\textbf{子模块} & \textbf{LUT} & \textbf{FF} \\
+\midrule
+ntt\_core (含蝶形流水线与Barrett) & 8,625 & 3,861 \\
+keccak\_core (Keccak-f[1600]置换核) & 5,274 & 1,606 \\
+poly\_mul\_sync (含basecase\_mul)   & 3,881 & 6,743 \\
+sample\_cbd\_sync\_shared           & 2,741 & 3,186 \\
+sample\_ntt\_sync\_shared           & 2,109 & 1,669 \\
+sha3\_top\_shared (哈希族封装)      & 1,766 & 2,388 \\
+comp\_decomp\_sync                  &   467 &   323 \\
+存储库及胶合逻辑                     & 4,302 &     0 \\
+其它（FSM/多路复用/地址生成/顶层连线）& 2,719 & 4,960 \\
+\midrule
+\textbf{合计} & \textbf{31,884} & \textbf{24,736} \\
+\bottomrule
+\end{tabular}
+\end{table}
+
+NTT核是最大的单一逻辑单元（8,625 LUT），主要由256系数寄存器阵列和7级深流水Barrett蝶形单元贡献。Keccak核（5,274 LUT）的1600-bit状态寄存器和5路并行置换逻辑构成第二大开销。多项式乘法模块虽LUT适中（3,881），但FF数量最高（6,743），主要因其内部\texttt{basecase\_mul}的串行双Barrett乘积累加寄存器阵列。
+
+\subsection{时序性能}\label{sec:timing}
+
+表\ref{tab:timing}列出布局布线后的时序收敛情况。ML-KEM IP工作于25 MHz的独立时钟域（PLL CLKOUT2输出，周期40 ns）。
+
+\begin{table}[H]
+\centering
+\caption{布局布线后时序收敛结果（25 MHz集成频率）}
+\label{tab:timing}
+\begin{tabular}{lccc}
+\toprule
+\textbf{时钟域} & \textbf{Setup WNS} & \textbf{违例端点} & \textbf{最大可行频率} \\
+\midrule
+mlkem\_clk (25 MHz) & +10.807 ns & 0 & $\approx$ 34.3 MHz \\
+\bottomrule
+\end{tabular}
+\end{table}
+
+\texttt{mlkem\_clk}域的+10.807 ns正余量表明，在25 MHz下所有路径延迟远小于40 ns的时钟周期。最差路径位于\texttt{sha3\_mb\_en0}高扇出网络（驱动936个负载），路由延迟（28.345 ns）占路径总延迟（29.049 ns）的97.6\%，逻辑延迟仅0.704 ns（2级LUT）。
+
+\subsection{功耗分析}
+
+布局布线后功耗估计如表\ref{tab:power}所示。ML-KEM IP核的片上功耗约0.115 W（动态），占SoC总动态功耗（0.409 W）的28.1\%。
+
+\begin{table}[H]
+\centering
+\caption{ML-KEM IP功耗估计（布局布线后，典型工艺角）}
+\label{tab:power}
+\begin{tabular}{lcc}
+\toprule
+\textbf{功耗来源} & \textbf{功率(W)} & \textbf{说明} \\
+\midrule
+Slice Logic & 0.046 & LUT翻转 + FF时钟功耗 \\
+Signals     & 0.052 & 互联线翻转功耗 \\
+Block RAM   & 0.017 & 7个BRAM实例的读写功耗 \\
+\midrule
+\textbf{ML-KEM合计} & \textbf{0.115} & 占SoC动态功耗28.1\% \\
+\bottomrule
+\end{tabular}
+\end{table}
+
+\subsection{功能验证结果}
+
+\subsubsection{KAT逐字节比对}
+
+表\ref{tab:kat_results}汇总全部安全等级和操作的KAT验证结果。
+
+\begin{table}[H]
+\centering
+\caption{KAT验证结果汇总}
+\label{tab:kat_results}
+\begin{tabular}{lccccc}
+\toprule
+\textbf{操作} & \textbf{K=2} & \textbf{K=3} & \textbf{K=4} & \textbf{用例数} & \textbf{通过率} \\
+\midrule
+KeyGen（算法16）      & PASS & PASS & PASS & 100/级 & 100\% \\
+Encaps（算法17）      & PASS & PASS & PASS & 100/级 & 100\% \\
+Decaps正常路径（算法18）& PASS & PASS & PASS & 100/级 & 100\% \\
+Decaps隐式拒绝路径    & PASS & PASS & PASS & 100/级 & 100\% \\
+\bottomrule
+\end{tabular}
+\end{table}
+
+全部360个KAT测试用例均逐字节比对NIST标准答案通过，无任何字节级偏差。Decaps隐式拒绝路径（$c'_n\neq c$）验证了FO变换中常量时间比较器和$J(z\|c)$拒绝密钥生成逻辑的正确性。
+
+\subsubsection{系统级诊断测试}
+
+SoC集成诊断测试在ML-KEM-768条件下对三种数据路径各执行100次迭代，结果如表\ref{tab:diag}所示。
+
+\begin{table}[H]
+\centering
+\caption{系统级诊断测试结果（ML-KEM-768，100次迭代）}
+\label{tab:diag}
+\begin{tabular}{lccc}
+\toprule
+\textbf{测试路径} & \textbf{失败次数} & \textbf{自洽性通过率} & \textbf{黄金向量通过率} \\
+\midrule
+SW（纯软件参考）  & 0 & 100\% & 100\% \\
+CPU寄存器路径     & 0 & 100\% & 100\% \\
+DMA窗口路径       & 0 & 100\% & 100\% \\
+\bottomrule
+\end{tabular}
+\end{table}
+
+\subsection{性能分析}
+
+表\ref{tab:perf}列出三种安全等级下软件参考、CPU寄存器路径和DMA窗口路径完成一轮完整往返（KeyGen+Encaps+Decaps）的平均时钟周期数及加速比。数据来自SoC实际运行的100次迭代统计。
+
+\begin{table}[H]
+\centering
+\small
+\caption{三路径完整往返性能对比（100次迭代平均值）}
+\label{tab:perf}
+\begin{tabular}{lrrrrrr}
+\toprule
+\textbf{安全等级} & \textbf{SW} & \textbf{CPU} & \textbf{DMA} & \textbf{CPU加速比} & \textbf{DMA加速比} & \textbf{DMA/CPU} \\
+\midrule
+ML-KEM-512  (k=2) & 2,587,784 & 352,684 & 185,671 & 7.34$\times$ & 13.94$\times$ & 1.90$\times$ \\
+ML-KEM-768  (k=3) & 4,056,378 & 523,656 & 279,588 & 7.75$\times$ & 14.51$\times$ & 1.87$\times$ \\
+ML-KEM-1024 (k=4) & 6,025,486 & 718,672 & 388,959 & 8.38$\times$ & 15.49$\times$ & 1.85$\times$ \\
+\bottomrule
+\end{tabular}
+\end{table}
+
+从数据中可以得出以下结论。CPU寄存器路径相对于纯软件实现了7.34$\times$至8.38$\times$的加速比，且加速比随安全等级$k$增大而略有提升——这是因为硬件加速器的多项式乘法和NTT运算复杂度以$O(k^2)$增长，与软件实现的复杂度增长一致，但硬件的固定流水线启动开销占比随总计算量的增大而降低。
+
+DMA路径相对于CPU寄存器路径额外贡献了约1.85--1.90$\times$的效率提升。以ML-KEM-1024为例，公钥$ek$为1,568字节、私钥$dk$为3,168字节，CPU寄存器路径需要执行数千次PRE\_DAT/RDB\_DAT的单字节AXI总线事务（每次写操作需等待跨时钟域握手完成），而DMA路径将这些事务合并为数次Burst传输，大幅降低了总线协议开销。
+
+\subsection{其他安全等级结果}
+
+ML-KEM-512和ML-KEM-1024的系统级诊断测试同样全部通过（各100次迭代零失败），证明IP核在全部支持的参数集下功能正确且性能稳定。
+
+% ================================================================
+\section{结论与展望}
+
+本文设计并实现了一款完整的ML-KEM后量子密钥封装硬件IP核。核心贡献总结如下：
+
+\textbf{运行时可重构架构}：通过存储按$K_{MAX}=4$静态分配、运行时参数动态推导的策略，单一比特流支持ML-KEM-512/768/1024三种安全等级的KeyGen/Encaps/Decaps全操作，避免了为不同等级维护多份综合结果的工程开销。
+
+\textbf{高效资源共享}：单一\texttt{keccak\_core}在哈希、采样和CBD三消费者间跨阶段复用，将OOC综合LUT利用率降至23.8\%；Decaps D6步重加密复用整条Encaps流水线，避免了约800行RTL的重复实现。
+
+\textbf{完整标准合规}：360个NIST KAT测试用例全部逐字节比对通过，覆盖三种等级三种操作及隐式拒绝路径。端到端协议测试和系统级诊断验证了软硬件协同的完整正确性。
+
+\textbf{显著性能提升}：相对于33 MHz CPU上的软件参考实现，25 MHz硬件IP在CPU寄存器路径实现7.3--8.4$\times$加速比，在DMA路径实现13.9--15.5$\times$加速比。
+
+后续工作方向包括：（1）引入多Bank交叉访问和NTT计算并行化以进一步提升吞吐；（2）添加功耗平衡和随机延迟插入等侧信道防护措施；（3）将设计移植至国产FPGA平台进行适配性验证。
+
+\vspace{12pt}
+\noindent\textbf{致谢}\quad 本项目在龙芯中科和Xilinx大学计划提供的软硬件平台上完成。
+
+\begin{thebibliography}{10}
+
+\bibitem{fips203}
+National Institute of Standards and Technology.
+\emph{FIPS 203: Module-Lattice-Based Key-Encapsulation Mechanism Standard}.
+August 2024.
+
+\bibitem{fips202}
+National Institute of Standards and Technology.
+\emph{FIPS 202: SHA-3 Standard: Permutation-Based Hash and Extendable-Output Functions}.
+August 2015.
+
+\bibitem{kyber}
+R.~Avanzi \etal.
+\emph{CRYSTALS-Kyber: Algorithm Specifications and Supporting Documentation}.
+NIST PQC Round 3 Submission, 2021.
+
+\bibitem{dang2022}
+V.~B.~Dang, F.~Farahmand, M.~Andrzejczak, and K.~Gaj.
+\emph{Implementing and Benchmarking CRYSTALS-Kyber on FPGAs}.
+IEEE Trans. Computers, 71(10):2475--2488, 2022.
+
+\bibitem{xing2023}
+Y.~Xing and S.~Li.
+\emph{A Compact Hardware Architecture for CRYSTALS-Kyber}.
+IEEE Trans. Circuits Syst. I, 70(3):1124--1137, 2023.
+
+\bibitem{barrett}
+P.~Barrett.
+\emph{Implementing the Rivest Shamir and Adleman Public Key Encryption Algorithm on a Standard Digital Signal Processor}.
+CRYPTO 1986, pp. 311--323.
+
+\bibitem{vivado}
+Xilinx Inc.
+\emph{Vivado Design Suite User Guide: Synthesis (UG901)}.
+v2019.2, 2019.
+
+\bibitem{artix7}
+Xilinx Inc.
+\emph{7 Series FPGAs Data Sheet: Overview (DS180)}.
+v2.6, 2020.
+
+\end{thebibliography}
+
+\end{document}