diff --git a/docs/design_report.md b/docs/design_report.md new file mode 100644 index 0000000..8bda8c2 --- /dev/null +++ b/docs/design_report.md @@ -0,0 +1,326 @@ +# ML-KEM 硬件 IP 设计报告 + +> 模块:`mlkem_top`（FIPS 203 ML-KEM 全功能加速器） +> 器件:Xilinx Artix-7 `xc7a200tfbg676-1` +> 工具:Vivado 2019.2（综合）+ XSIM（功能仿真） +> 日期:2026-06 + +--- + +## 1. 概述 + +### 1.1 设计目标 + +本 IP 实现 NIST FIPS 203 标准化的后量子密钥封装机制 **ML-KEM**（源自 CRYSTALS-Kyber）， +在单一硬件模块 `mlkem_top` 中同时支持三种核心操作，并在运行时可选三种安全等级: + +| 操作 | `op_i` | FIPS 203 算法 | 输入 | 输出 | +|:---|:---:|:---|:---|:---| +| 密钥生成 KeyGen | 0 | 算法 16 | 种子 `d`, `z` | 公钥 `ek`、私钥 `dk` | +| 密钥封装 Encaps | 1 | 算法 17 | `ek`, 消息 `m` | 共享密钥 `K`、密文 `c` | +| 密钥解封装 Decaps | 2 | 算法 18 | `dk`, 密文 `c` | 共享密钥 `K`（含隐式拒绝） | + +| 等级 (`k_i`) | 方案 | K | η₁ | (d_u,d_v) | ek | dk | 密文 c | +|:---:|:---|:---:|:---:|:---:|:---:|:---:|:---:| +| 2 | ML-KEM-512 | 2 | 3 | (10,4) | 800 B | 1632 B | 768 B | +| 3 | ML-KEM-768 | 3 | 2 | (10,4) | 1184 B | 2400 B | 1088 B | +| 4 | ML-KEM-1024 | 4 | 2 | (11,5) | 1568 B | 3168 B | 1568 B | + +固定参数:模数 **q = 3329**、多项式次数 **n = 256**、共享密钥 32 B。 + +### 1.2 关键特性 + +- **运行时可重构**:`k_i`/`op_i` 在 `start_i` 时锁存，存储按最坏情况（ML-KEM-1024）静态分配， + 无需为不同等级重新综合。 +- **资源高度复用**:同一套叶子算子与存储库被三条数据通路分时复用;Decaps 的重加密 + （FO 变换核心）直接复用整条 Encaps 流水线。 +- **共享 Keccak 核**:G/H/J、SampleNTT、CBD 三类哈希消费者分时共用单个 `keccak_core`。 +- **逐字节流式 I/O**:`ek/dk/c` 经 BRAM 端口逐字节装载与回读，避免超宽顶层总线。 +- **常量时间隐式拒绝**:Decaps 比较 `c'==c` 全程恒定工作量，无早退分支。 +- **完整 KAT 验证**:三种等级、三种操作全部对 NIST KAT 标准答案逐字节比对通过。 + +### 1.3 代码规模 + +| 项 | 行数 | +|:---|:---:| +| `mlkem_top.v`（顶层集成 + FSM + 数据通路） | 2252 | +| RTL 合计（不含测试平台） | 5517 | + +--- + +## 2. 顶层接口 + +```verilog +module mlkem_top #(parameter KMAX = 4) ( + input clk, rst_n, // 100 MHz 设计时钟, 低电平异步复位 + input [2:0] k_i, // 运行时等级 2/3/4 (start_i 锁存) + input [1:0] op_i, // 0=KeyGen 1=Encaps 2=Decaps + input [255:0] d_i, z_i, msg_i, // 种子 d/z, Encaps 消息 m + input start_i, + output busy_o, done_o, + output [255:0] ss_o, // 共享密钥 K + + input ek_in_we; input [10:0] ek_in_addr; input [7:0] ek_in_byte; // Encaps ek 装载 + input dk_in_we; input [11:0] dk_in_addr; input [7:0] dk_in_byte; // Decaps dk 装载 + input c_in_we; input [10:0] c_in_addr; input [7:0] c_in_byte; // Decaps c 装载 + + // 调试 / 结果回读抽头(只读) + input [10:0] dbg_ct_idx_i; output [7:0] dbg_ct_o; // 密文 c + input [5:0] dbg_slot_i; input [7:0] dbg_idx_i; output [11:0] dbg_coeff_o; // 系数 + input dbg_byte_sel_i; input [10:0] dbg_byte_idx_i; output [7:0] dbg_byte_o; // ek/dk_pke + input [11:0] dbg_dk_idx_i; output [7:0] dbg_dk_o; // 完整 dk + output [255:0] dbg_rho_o, dbg_sigma_o, dbg_r_o, dbg_hek_o, + dbg_mprime_o, dbg_kbar_o, dbg_decz_o, dbg_dech_o +); +``` + +**握手时序**:外部先经流式端口预装载所需数据（Encaps→ek，Decaps→dk+c）， +`start_i` 拉一拍锁存 `k_i/op_i` 并启动;`busy_o` 在 `st≠IDLE` 期间为高; +`done_o` 在 `st==DONE` 拉高，此时 `ss_o` 及各 BRAM 产物有效。 + +数据约定:所有 256-bit 端口为「byte0 在低位」，即 `value[8m+:8] = byte m`。 + +--- + +## 3. 微架构 + +### 3.1 总体结构 + +`mlkem_top` 采用「**单 FSM 调度 + 共享叶子算子 + 统一存储库**」架构。顶层 RTL 结构见 +`docs/mlkem_top_rtl.svg`。数据流分为四层: + +``` +输入端口 ──► 控制 FSM / 状态寄存器 ──► 叶子算子(共享 keccak + 算术引擎) ◄──► 存储库 ──► 输出/回读 +``` + +### 3.2 叶子算子 + +| 实例 | 模块 | 功能 | +|:---|:---|:---| +| `u_keccak` | `keccak_core` | Keccak-f[1600] 置换（单核，三方共享） | +| `u_sha3` | `sha3_top_shared` | SHA3-512 (G) / SHA3-256 (H) / SHAKE-256 (J)，单/多块吸收 | +| `u_snt` | `sample_ntt_sync_shared` | SampleNTT（SHAKE-128 拒绝采样）生成 Â | +| `u_cbd` | `sample_cbd_sync_shared` | CBD_η 中心二项分布采样（s/e/y/e1/e2） | +| `u_ntt` | `ntt_core` | 前向 NTT / 逆向 NTT（mode 选择，×3303 尾乘） | +| `u_pmul` | `poly_mul_sync` | NTT 域逐点乘（basecase，含 Barrett 模乘） | +| `u_comp` | `comp_decomp_sync` | Compress_d / Decompress_d（Barrett 除法约简） | + +模加、byteEncode₁₂/byteDecode₁₂、bit-packer/解包、`c'==c` 比较等轻量逻辑在顶层内联实现。 + +### 3.3 共享 Keccak 核 + +G/H/J、SampleNTT、CBD 都需要 Keccak 置换，但分处互斥的 FSM 阶段，故共用单个 `u_keccak`: + +- **输入复用**:`kc_state_i_mux` / `kc_valid_i_mux` 按相位三选一 + （`sel_snt` / `sel_cbd` / 默认 SHA3）。 +- **输出门控**:核输出 `kc_state_o` / `kc_valid_o` 广播给所有消费者，但只有当前激活方看到有效信号 + （`kc_valid_o_sha3` / `_snt` / `_cbd`）。 +- 相位选择由 FSM 状态推导:`sel_sha3 = (st∈{G,H,J,…})`、`sel_snt = (st∈{A,ENC_A})`、 + `sel_cbd = (st∈{C,ENC_C})`。 + +此设计省去 Keccak 核的多份例化（Keccak-f 是面积大户），是 LUT 占用仅 25% 的主要原因之一。 + +### 3.4 存储库 + +| 实例 | 宽×深 | 用途 | 读写信号 | +|:---|:---|:---|:---| +| `u_bank_a` | 12×4096 | Â[i][j] 矩阵；Decaps 中转 ŝ/e2/v' | `ba_rd_*` / `ba_we/wa/wd` | +| `u_bank_se` | 12×2048 | ŝ/ê (KeyGen)·ŷ (Encaps)·û (Decaps) | `bse_rd_*` / `bse_we/wa/wd` | +| `u_bank_t` | 12×1024 | t̂·累加和·Encaps v·Decaps w | `bt_rd_*` / `bt_we/wa/wd` | +| `u_ek_bram` | 8×2048 | ek = byteEncode₁₂(t̂)‖ρ | — | +| `u_dkp_bram` | 8×2048 | dk_pke = byteEncode₁₂(ŝ) | — | +| `u_ct_bram` | 8×2048 | 计算出的密文 c / Decaps c' | — | +| `u_c_in_bram` | 8×2048 | Decaps 输入密文 c（与 ct 分开以便比较） | — | + +全部基于 `sd_bram`（1R/1W、寄存读、1 拍读延迟，综合映射为块 RAM）。系数库槽基址由 `k_r` +运行时推导:Â 占 slot 0..K²-1，`slot_s=K²`、`slot_e=K²+K`、`slot_t=K²+2K`。 + +### 3.5 控制 FSM 与数据流 + +5-bit 状态机从 `ST_IDLE` 按锁存的 `op_r` 分支为三条数据通路: + +**KeyGen（算法 16）** +``` +G: (ρ,σ)=G(d‖K) SHA3-512 +A: Â[i][j]=SampleNTT(ρ‖j‖i) → bank_a +C: s/e = CBD_η1(PRF(σ,·)) → bank_se +N: ŝ=NTT(s), ê=NTT(e) 原地 +M: t̂=ê+Σⱼ Â∘ŝ 逐点乘+modQ 累加 → bank_t +E: ek=Enc12(t̂)‖ρ, dk_pke=Enc12(ŝ) → ek/dkp_bram +H: H(ek) 多块 SHA3-256 + dk = dk_pke‖ek‖H(ek)‖z +``` + +**Encaps（算法 17）** +``` +ENC_H/G: H(ek), (K,r)=G(m‖H(ek)) +ENC_LOAD/A/TDEC: ρ载入, Â重生成, t̂=byteDecode12(ek) +ENC_C/N: y,e1,e2=CBD(PRF(r,·)), ŷ=NTT(y) +ENC_U: u=INTT(Σ Âᵀ∘ŷ)+e1 +ENC_C1: c1=Enc_du(Compress_du(u)) +ENC_V: v=INTT(Σ t̂∘ŷ)+e2+Decompress1(m) +ENC_C2: c2=Enc_dv(Compress_dv(v)); c=c1‖c2; K=共享密钥 +``` + +**Decaps（算法 18，FO 变换 + 隐式拒绝）** +``` +DEC_DECOMP: u'/v' = Decompress(byteDecode(c)) D1 +DEC_SDEC/NTT: ŝ=byteDecode12(dk_pke), û=NTT(u') D2 +DEC_W: w=v'-INTT(Σⱼ ŝ∘û) D3 +DEC_MENC: m'=Enc1(Compress1(w)) D4 +DEC_G/J: (K',r')=G(m'‖h), K̄=J(z‖c) D5 +(重加密): c'=K-PKE.Encrypt(ek_pke,m',r') ←复用 Encaps 流水 D6 +DEC_CMP: ss = (c'==c) ? K' : K̄ D7 +``` + +**核心复用点**:D6 重加密整段复用 Encaps 的 `ENC_LOAD…ENC_C2`——m' 写入 `m_r`、 +r' 在 `r_r`、ek_pke 已在 `ek_bram`，前置条件天然就位，无需另起数据通路。 +D7 逐字节比较 `u_ct_bram`(c') 与 `u_c_in_bram`(c)，恒定工作量，按 `dec_reject` +在 `ss_r`(K') 与 `kbar_r`(K̄) 间选择:`ss_o = dec_reject ? kbar_r : ss_r`。 + +### 3.6 模运算策略 + +所有模 q（q=3329）约简采用 **Barrett 乘法**替代除法器:`floor(x/q) ≈ (x·5039)>>24`， +其中 `5039 = floor(2²⁴/q)`，再做至多两次条件减校正。`q·x` 用移位加实现 +（3329 = 2048+512+256+1，无需第二个乘法器）。早期版本使用组合除法器，已于提交 `717a992` +替换为 Barrett，显著缩短关键路径。按设计约束，**全部乘法标注 `use_dsp="no"`，不使用 DSP48**。 + +--- + +## 4. 功能验证 + +### 4.1 验证策略 + +采用「分阶段中间量核对 + 端到端 KAT 比对」双层策略，全部对照 NIST FIPS 203 的 KAT 标准答案: + +- **分阶段**:KeyGen 按 G/A/C/N/M/E/H、Encaps 按 E1–E7、Decaps 按 D0–D7 逐级验证中间多项式 + /哈希/编码，经调试抽头逐字节回读比对。 +- **端到端**:KeyGen 核对 `ek==pk`、`dk==sk`;Encaps 核对 `ss`、`c`;Decaps 核对最终 `ss`， + 并用 KAT 自带的损坏密文 `ct_n`/`ss_n` 验证隐式拒绝路径（`ss==ss_n=J(z‖ct_n)`）。 + +### 4.2 测试平台 + +| 测试平台 | 操作 | 覆盖 | +|:---|:---|:---| +| `tb_mlkem_kg_katK_xsim.v` | KeyGen | K=2/3/4 各 KAT 用例，`ek==pk`/`dk==sk` | +| `tb_mlkem_enc_katK_xsim.v` | Encaps | E1–E7 分阶段 + `ss`/`c` | +| `tb_mlkem_dec_katK_xsim.v` | Decaps | D0–D7 分阶段 + 接受/拒绝双路径 | +| `tb_mlkem_hello_world_xsim.v` | 全流程（单实例） | KeyGen→Encaps→XOR→Decaps→XOR | +| `tb_mlkem_two_inst_xsim.v` | 全流程（双实例） | 实例 A 做 KeyGen+Encaps，实例 B 做 Decaps | + +参数化 TB 通过 `xelab -generic_top KP=2|3|4` 选等级，`+CASE=n` 选用例。统一脚本 +`run_tb.sh {top|enc|dec|hello}` 驱动。 + +### 4.3 验证结果 + +- **KeyGen / Encaps / Decaps** 三操作、K=2/3/4 三等级全部 KAT 用例逐字节 PASS。 +- **隐式拒绝**:损坏密文路径正确输出 K̄，`dec_reject=1`。 +- **端到端**:`hello_world` 单/双实例均通过，共享密钥与消息正确还原 + （`shared_key=ced0c031a4bee34a…`，`decrypted="hello world"`）。 + +### 4.4 增量验证里程碑（git 记录） + +设计按阶段增量构建，每阶段独立提交并通过 KAT，历史可二分定位: + +``` +KeyGen 各阶段 → Encaps E1–E7 (7228beb…) → Decaps D0–D7 (030931d…2b70431) +→ hello_world 端到端 (f279222, ee2bf1c) +``` + +--- + +## 5. 综合与实现结果 + +### 5.1 资源占用（OOC 综合，xc7a200tfbg676-1） + +| 资源 | 使用 | 可用 | 占用率 | +|:---|:---:|:---:|:---:| +| Slice LUTs（全为逻辑） | 34 318 | 134 600 | 25.5 % | +| Slice Registers (FF) | 23 254 | 269 200 | 8.6 % | +| F7 Muxes | 3 645 | 67 300 | 5.4 % | +| F8 Muxes | 1 191 | 33 650 | 3.5 % | +| Block RAM Tile | 5（RAMB36×2 + RAMB18×6） | 365 | 1.4 % | +| **DSP48** | **0** | 740 | **0 %** | + +面积占用低，DSP 完全未用（符合设计约束），器件资源充裕。 + +### 5.2 性能（周期数，实测） + +| 操作 | 周期数（K=2，ML-KEM-512） | +|:---|:---:| +| KeyGen | ≈ 22 904 | +| Encaps | ≈ 32 493 | +| Decaps | ≈ 50 819 | + +K=3/4 因模秩增大按比例上升。Decaps 最长，因其包含完整重加密（≈ 一次 Encaps）。 + +### 5.3 时序现状与瓶颈 + +当前对 **50 MHz（20 ns）** 目标**尚未收敛**: + +| 指标 | 值 | +|:---|:---| +| WNS | -32.2 ns（关键路径实际 ≈ 52 ns） | +| 失败端点 | 3 132 / 44 689 | +| Hold (WHS) | +0.134 ns（无违例） | +| 关键路径 | `u_pmul/mem_A_reg → u_pmul/c0_reg`，70 逻辑级 | + +**根因**:`basecase_mul` 单周期组合计算 `c0=(a0·b0+(a1·b1)·zeta) mod q`，其中 +**两级 Barrett 模乘串联**（`t2=a1·b1` 再 `t2·zeta`）+ 模加;在 `use_dsp="no"` 约束下， +每级 Barrett 约 24 ns，串联即 ≈ 52 ns。 + +**修复方向**（不使用 DSP，详见 `timing_analysis.md`）:将 `barrett_mul` 改为 3 级内部流水 +（乘法 / ×K 移位 / ×q 约简各一拍），`basecase_mul` 的 c0 双乘级联为 6 拍、c1 对齐， +`poly_mul_sync` 节拍相应加深。吞吐几乎不变（仅增加固定启动延迟，相对数万周期可忽略）， +WNS 预计转正。每步需重跑全部 KAT 确保功能不变。 + +--- + +## 6. 设计权衡与结论 + +### 6.1 主要权衡 + +| 决策 | 收益 | 代价 | +|:---|:---|:---| +| 单 FSM 串行调度 + 资源复用 | 面积小（LUT 25%）、控制清晰 | 串行执行，周期数较高 | +| 共享单 Keccak 核 | 省大量面积 | 哈希/采样不能并行 | +| Decaps 复用 Encaps 流水 | 省去独立重加密通路 | FSM 状态耦合较紧 | +| 运行时选 k_i/op_i | 单比特流支持全部配置 | 存储按最坏情况分配 | +| 不使用 DSP | 满足约束、可移植性强 | 乘法走 LUT，时序压力大 | + +### 6.2 结论 + +`mlkem_top` 是一个**功能完整、KAT 全过**的 ML-KEM 硬件 IP，在单模块内支持 KeyGen/Encaps/Decaps +三种操作与三种安全等级，面积占用低（LUT 25.5%、零 DSP）。设计经分阶段增量验证，正确性可靠。 + +当前唯一未达标项是 **50 MHz 时序收敛**:瓶颈明确（`basecase_mul` 双 Barrett 串联组合路径）， +修复方案已制定（纯流水化，不依赖 DSP），改动范围可控。完成该流水化改造并重跑 KAT 后， +预计可收敛至 50 MHz 目标。 + +### 6.3 后续工作 + +1. 按 `timing_analysis.md` 实施 Barrett / basecase / poly_mul 流水化，收敛 50 MHz。 +2. 流水化后检查次要瓶颈（如 `comp_decomp` 的 Barrett），同法处理。 +3. 补充布局布线（implementation）后的时序签核，目前仅有综合后时序。 +4. 视吞吐需求，评估关键算子（NTT、采样）并行化以降低周期数。 + +--- + +## 附:复现命令 + +```bash +source /opt/Xilinx/Vivado/2019.2/settings64.sh +export LD_PRELOAD=/usr/lib64/libtinfo.so.5 + +# 功能验证 +./run_tb.sh top # KeyGen KAT (K=2/3/4) +./run_tb.sh enc # Encaps KAT +./run_tb.sh dec # Decaps KAT (含拒绝路径) +./run_tb.sh hello # 端到端 hello_world + +# 综合 + 时序报告 +vivado -mode batch -source synth_timing.tcl # → timing.rpt / timing_worst.rpt / util.rpt +``` + +**相关文档**:`README.md`（使用说明）、`docs/mlkem_top_rtl.svg`（RTL 结构图）、 +`timing_analysis.md`（时序分析与修复方案）。 diff --git a/docs/timing_analysis.md b/docs/timing_analysis.md new file mode 100644 index 0000000..09ec501 --- /dev/null +++ b/docs/timing_analysis.md @@ -0,0 +1,101 @@ +# 50 MHz 时序收敛分析与修复方案 + +> 报告来源:`synth_timing.tcl`（OOC 综合 `mlkem_top`，器件 `xc7a200tfbg676-1`， +> `sysclk` 20 ns / 50 MHz）。生成 `timing.rpt` / `timing_worst.rpt` / `util.rpt`。 + +## 一、现状 + +| 指标 | 值 | +|:---|:---| +| WNS | **-32.206 ns**（目标 20 ns，实际关键路径 ~52 ns） | +| TNS | -37879 ns，失败端点 3132 / 44689 | +| Hold (WHS) | +0.134 ns ✅（无 hold 违例） | +| 关键路径 | `u_pmul/mem_A_reg[239][2]` → `u_pmul/c0_reg_reg[0]` | +| 路径延迟 | 52.055 ns（逻辑 21.9 ns / 布线 30.1 ns），**70 逻辑级**（CARRY4×26 + LUT×43 + MUXF×3） | +| 面积 | LUT 25.5%、FF 8.6%、BRAM ~5 片、**DSP 0 / 740（完全没用）** | + +之前那份 `timing.rpt`（WNS -17.7 ns，关键路径在 comp_decomp 的组合除法器）已经过时—— +`717a992` 用 Barrett 乘法替换了组合除法器,comp_decomp 不再是瓶颈。本次重新综合后, +**瓶颈转移到 `poly_mul` 的 basecase 乘法器 `u_pmul`**。 + +## 二、根因 + +`basecase_mul`（NTT 域 degree-1 乘法）单周期组合计算 c0/c1: + +``` +c0 = (a0·b0 + (a1·b1)·zeta) mod Q +c1 = (a0·b1 + a1·b0) mod Q +``` + +c0 这条路径**串联了两级 Barrett 模乘**:先 `t2 = a1·b1 mod Q`,再 `t2_zeta = t2·zeta mod Q`, +最后再做一次模加。每级 `barrett_mul` 含 12×12 乘 + ×K 乘 + ×Q 移位加 + 两次条件减, +而且全局带 `(* use_dsp = "no" *)` —— 所有乘法都摊成 LUT+CARRY4 阵列。两级串联 ⇒ 70 级、52 ns。 + +**两个叠加的放大因素:** +1. **串联两次 Barrett 模乘**(t2 → t2·zeta)挤在一个组合周期。 +2. **`use_dsp="no"`** 把每个乘法变成进位链,本可用的 740 个 DSP48 一个没用。 + +> 注:此前给乘法器加 `use_dsp="no"` 多半是为了规避 XSIM 仿真问题;但综合时这逼着工具 +> 用 LUT 搭乘法,正是当前 52 ns 关键路径的主因。 + +## 三、修复方案（约束:**不允许使用 DSP**，纯 LUT/CARRY4 流水化） + +> 实测细节(timing_worst.rpt 逐级):一个 `barrett_mul` 单独就要 **~24 ns** +> (t2 = a1·b1 走到 ~28 ns,其中乘法本体 + ×K + ×Q 约简占大头),c0 又把 +> **两个 Barrett 串联**(t2 → t2·zeta)+ 模加 ⇒ 52 ns。 +> 关键结论:**单级 Barrett(~24 ns)本身就超 20 ns**,所以光在两次乘法之间插一拍 +> (26 ns/级)不够,必须**在 `barrett_mul` 内部也切流水**。 + +### 推荐方案:三段式流水的 Barrett 模乘 + basecase 重构 + +把 `a·b mod Q` 拆成 3 个寄存级,每级 < ~12 ns: + +``` +级1: p = a * b (12×12 → 24b 乘法,纯 LUT/CARRY4) → 寄存 p +级2: qe = (p * K) >> 24 (24×13 乘法 + 移位) → 寄存 qe、p +级3: r = p - qe*Q; 两次条件减 Q → 寄存 product +``` + +- 单个乘法(12×12 或 24×13)在 LUT 上约 ~10–12 ns,加约简一拍单独走,各级都能压到 20 ns 内。 +- `barrett_mul` 从纯组合改成 **3 拍流水**(加 `clk`/`valid` 端口或用上层节拍计数)。 + +basecase 的 c0 双乘串联(`a1·b1` 再 `·zeta`)= 两个 3 级流水级联 = **6 拍**; +c1 只有单乘 = 3 拍。让两条对齐到 6 拍输出。`poly_mul_sync` 现有 +`S_COMP_CALC → S_COMP_C0 → S_COMP_C1` 节拍改为:CALC 阶段等待乘法流水排空(固定 N 拍), +再依次输出 c0/c1。**吞吐**:逐点乘本就 1 系数/多拍,加深流水只增加固定启动延迟(~6 拍/128 次 +basecase = 几百拍),相对 KeyGen ~22.9k、Decaps ~50.8k 周期可忽略。 + +### 同源风险:comp_decomp 的 Barrett + +`comp_decomp_sync` 也用同样的 Barrett 结构(compress 路径 `dividend*5039>>24` + ×Q 约简), +单条也可能逼近 20 ns。修好 basecase 后若它冒头,同样按“Barrett 内部 3 级流水”处理。 +其 5-phase 微序列(cd_valid 脉冲 + ph 等待)很容易吸收额外流水拍。 + +### 备选:更激进的乘法器结构（若 3 级仍不够） + +- 12×12 乘法本身用 **2 级流水**(部分积分两半累加),把 Barrett 拉成 4–5 级; +- 或对乘法做 **基-4/基-8 部分积 + 进位保存加法器(CSA)树**,减少 CARRY4 链深度。 + 改动大,仅在 3 级流水实测仍 > 20 ns 时再考虑。 + +## 四、建议路线（不用 DSP） + +1. 把 `barrett_mul` 改成 3 级流水版(带 clk/valid),单独综合确认单级 < 20 ns。 +2. 重构 `basecase_mul`:c0 路径两级 Barrett 级联(6 拍),c1 对齐;`poly_mul_sync` 节拍 + 按固定流水深度调整(CALC 等 N 拍再出 c0/c1)。 +3. 全量 KAT 复测(`run_tb.sh top/enc/dec` + `hello`)确认功能不变 —— 流水加深会改变 + `poly_mul`/`ntt`/`comp_decomp` 的拍数,各 FSM 的 done/valid 判定需同步更新。 +4. 重综合看 WNS;若 comp_decomp 成新瓶颈,同法流水化。 +5. 迭代直到 WNS ≥ 0 @ 20 ns。 + +> 注意:本项目所有时序验证目前靠 XSIM 功能仿真 + KAT,**没有跑过布局布线后时序**。 +> 加流水属于改时序行为的大改,务必每步重跑全部 KAT,确保 ek/dk/ss/ct 仍逐字节正确。 + + +## 五、复现命令 + +```bash +source /opt/Xilinx/Vivado/2019.2/settings64.sh +export LD_PRELOAD=/usr/lib64/libtinfo.so.5 +vivado -mode batch -source synth_timing.tcl # 器件在脚本里:xc7a200tfbg676-1 +# 读 timing.rpt(摘要) / timing_worst.rpt(逐路径) / util.rpt(面积、DSP 占用) +```