add design report and timing analysis report

docs/design_report.md

@@ -0,0 +1,326 @@
+# ML-KEM 硬件 IP 设计报告
+
+> 模块:`mlkem_top`（FIPS 203 ML-KEM 全功能加速器）
+> 器件:Xilinx Artix-7 `xc7a200tfbg676-1`
+> 工具:Vivado 2019.2（综合）+ XSIM（功能仿真）
+> 日期:2026-06
+
+---
+
+## 1. 概述
+
+### 1.1 设计目标
+
+本 IP 实现 NIST FIPS 203 标准化的后量子密钥封装机制 **ML-KEM**（源自 CRYSTALS-Kyber），
+在单一硬件模块 `mlkem_top` 中同时支持三种核心操作，并在运行时可选三种安全等级:
+
+| 操作 | `op_i` | FIPS 203 算法 | 输入 | 输出 |
+|:---|:---:|:---|:---|:---|
+| 密钥生成 KeyGen | 0 | 算法 16 | 种子 `d`, `z` | 公钥 `ek`、私钥 `dk` |
+| 密钥封装 Encaps | 1 | 算法 17 | `ek`, 消息 `m` | 共享密钥 `K`、密文 `c` |
+| 密钥解封装 Decaps | 2 | 算法 18 | `dk`, 密文 `c` | 共享密钥 `K`（含隐式拒绝） |
+
+| 等级 (`k_i`) | 方案 | K | η₁ | (d_u,d_v) | ek | dk | 密文 c |
+|:---:|:---|:---:|:---:|:---:|:---:|:---:|:---:|
+| 2 | ML-KEM-512 | 2 | 3 | (10,4) | 800 B | 1632 B | 768 B |
+| 3 | ML-KEM-768 | 3 | 2 | (10,4) | 1184 B | 2400 B | 1088 B |
+| 4 | ML-KEM-1024 | 4 | 2 | (11,5) | 1568 B | 3168 B | 1568 B |
+
+固定参数:模数 **q = 3329**、多项式次数 **n = 256**、共享密钥 32 B。
+
+### 1.2 关键特性
+
+- **运行时可重构**:`k_i`/`op_i` 在 `start_i` 时锁存，存储按最坏情况（ML-KEM-1024）静态分配，
+  无需为不同等级重新综合。
+- **资源高度复用**:同一套叶子算子与存储库被三条数据通路分时复用;Decaps 的重加密
+  （FO 变换核心）直接复用整条 Encaps 流水线。
+- **共享 Keccak 核**:G/H/J、SampleNTT、CBD 三类哈希消费者分时共用单个 `keccak_core`。
+- **逐字节流式 I/O**:`ek/dk/c` 经 BRAM 端口逐字节装载与回读，避免超宽顶层总线。
+- **常量时间隐式拒绝**:Decaps 比较 `c'==c` 全程恒定工作量，无早退分支。
+- **完整 KAT 验证**:三种等级、三种操作全部对 NIST KAT 标准答案逐字节比对通过。
+
+### 1.3 代码规模
+
+| 项 | 行数 |
+|:---|:---:|
+| `mlkem_top.v`（顶层集成 + FSM + 数据通路） | 2252 |
+| RTL 合计（不含测试平台） | 5517 |
+
+---
+
+## 2. 顶层接口
+
+```verilog
+module mlkem_top #(parameter KMAX = 4) (
+    input              clk, rst_n,        // 100 MHz 设计时钟, 低电平异步复位
+    input  [2:0]       k_i,              // 运行时等级 2/3/4 (start_i 锁存)
+    input  [1:0]       op_i,             // 0=KeyGen 1=Encaps 2=Decaps
+    input  [255:0]     d_i, z_i, msg_i,  // 种子 d/z, Encaps 消息 m
+    input              start_i,
+    output             busy_o, done_o,
+    output [255:0]     ss_o,             // 共享密钥 K
+
+    input              ek_in_we;  input [10:0] ek_in_addr;  input [7:0] ek_in_byte; // Encaps ek 装载
+    input              dk_in_we;  input [11:0] dk_in_addr;  input [7:0] dk_in_byte; // Decaps dk 装载
+    input              c_in_we;   input [10:0] c_in_addr;   input [7:0] c_in_byte;  // Decaps c 装载
+
+    // 调试 / 结果回读抽头(只读)
+    input  [10:0] dbg_ct_idx_i;  output [7:0]  dbg_ct_o;      // 密文 c
+    input  [5:0]  dbg_slot_i; input [7:0] dbg_idx_i; output [11:0] dbg_coeff_o; // 系数
+    input         dbg_byte_sel_i; input [10:0] dbg_byte_idx_i; output [7:0] dbg_byte_o; // ek/dk_pke
+    input  [11:0] dbg_dk_idx_i;  output [7:0]  dbg_dk_o;      // 完整 dk
+    output [255:0] dbg_rho_o, dbg_sigma_o, dbg_r_o, dbg_hek_o,
+                   dbg_mprime_o, dbg_kbar_o, dbg_decz_o, dbg_dech_o
+);
+```
+
+**握手时序**:外部先经流式端口预装载所需数据（Encaps→ek，Decaps→dk+c），
+`start_i` 拉一拍锁存 `k_i/op_i` 并启动;`busy_o` 在 `st≠IDLE` 期间为高;
+`done_o` 在 `st==DONE` 拉高，此时 `ss_o` 及各 BRAM 产物有效。
+
+数据约定:所有 256-bit 端口为「byte0 在低位」，即 `value[8m+:8] = byte m`。
+
+---
+
+## 3. 微架构
+
+### 3.1 总体结构
+
+`mlkem_top` 采用「**单 FSM 调度 + 共享叶子算子 + 统一存储库**」架构。顶层 RTL 结构见
+`docs/mlkem_top_rtl.svg`。数据流分为四层:
+
+```
+输入端口 ──► 控制 FSM / 状态寄存器 ──► 叶子算子(共享 keccak + 算术引擎) ◄──► 存储库 ──► 输出/回读
+```
+
+### 3.2 叶子算子
+
+| 实例 | 模块 | 功能 |
+|:---|:---|:---|
+| `u_keccak` | `keccak_core` | Keccak-f[1600] 置换（单核，三方共享） |
+| `u_sha3` | `sha3_top_shared` | SHA3-512 (G) / SHA3-256 (H) / SHAKE-256 (J)，单/多块吸收 |
+| `u_snt` | `sample_ntt_sync_shared` | SampleNTT（SHAKE-128 拒绝采样）生成 Â |
+| `u_cbd` | `sample_cbd_sync_shared` | CBD_η 中心二项分布采样（s/e/y/e1/e2） |
+| `u_ntt` | `ntt_core` | 前向 NTT / 逆向 NTT（mode 选择，×3303 尾乘） |
+| `u_pmul` | `poly_mul_sync` | NTT 域逐点乘（basecase，含 Barrett 模乘） |
+| `u_comp` | `comp_decomp_sync` | Compress_d / Decompress_d（Barrett 除法约简） |
+
+模加、byteEncode₁₂/byteDecode₁₂、bit-packer/解包、`c'==c` 比较等轻量逻辑在顶层内联实现。
+
+### 3.3 共享 Keccak 核
+
+G/H/J、SampleNTT、CBD 都需要 Keccak 置换，但分处互斥的 FSM 阶段，故共用单个 `u_keccak`:
+
+- **输入复用**:`kc_state_i_mux` / `kc_valid_i_mux` 按相位三选一
+  （`sel_snt` / `sel_cbd` / 默认 SHA3）。
+- **输出门控**:核输出 `kc_state_o` / `kc_valid_o` 广播给所有消费者，但只有当前激活方看到有效信号
+  （`kc_valid_o_sha3` / `_snt` / `_cbd`）。
+- 相位选择由 FSM 状态推导:`sel_sha3 = (st∈{G,H,J,…})`、`sel_snt = (st∈{A,ENC_A})`、
+  `sel_cbd = (st∈{C,ENC_C})`。
+
+此设计省去 Keccak 核的多份例化（Keccak-f 是面积大户），是 LUT 占用仅 25% 的主要原因之一。
+
+### 3.4 存储库
+
+| 实例 | 宽×深 | 用途 | 读写信号 |
+|:---|:---|:---|:---|
+| `u_bank_a` | 12×4096 | Â[i][j] 矩阵；Decaps 中转 ŝ/e2/v' | `ba_rd_*` / `ba_we/wa/wd` |
+| `u_bank_se` | 12×2048 | ŝ/ê (KeyGen)·ŷ (Encaps)·û (Decaps) | `bse_rd_*` / `bse_we/wa/wd` |
+| `u_bank_t` | 12×1024 | t̂·累加和·Encaps v·Decaps w | `bt_rd_*` / `bt_we/wa/wd` |
+| `u_ek_bram` | 8×2048 | ek = byteEncode₁₂(t̂)‖ρ | — |
+| `u_dkp_bram` | 8×2048 | dk_pke = byteEncode₁₂(ŝ) | — |
+| `u_ct_bram` | 8×2048 | 计算出的密文 c / Decaps c' | — |
+| `u_c_in_bram` | 8×2048 | Decaps 输入密文 c（与 ct 分开以便比较） | — |
+
+全部基于 `sd_bram`（1R/1W、寄存读、1 拍读延迟，综合映射为块 RAM）。系数库槽基址由 `k_r`
+运行时推导:Â 占 slot 0..K²-1，`slot_s=K²`、`slot_e=K²+K`、`slot_t=K²+2K`。
+
+### 3.5 控制 FSM 与数据流
+
+5-bit 状态机从 `ST_IDLE` 按锁存的 `op_r` 分支为三条数据通路:
+
+**KeyGen（算法 16）**
+```
+G:  (ρ,σ)=G(d‖K)                         SHA3-512
+A:  Â[i][j]=SampleNTT(ρ‖j‖i)             → bank_a
+C:  s/e = CBD_η1(PRF(σ,·))               → bank_se
+N:  ŝ=NTT(s), ê=NTT(e)                    原地
+M:  t̂=ê+Σⱼ Â∘ŝ                            逐点乘+modQ 累加 → bank_t
+E:  ek=Enc12(t̂)‖ρ, dk_pke=Enc12(ŝ)       → ek/dkp_bram
+H:  H(ek)                                 多块 SHA3-256
+    dk = dk_pke‖ek‖H(ek)‖z
+```
+
+**Encaps（算法 17）**
+```
+ENC_H/G:  H(ek), (K,r)=G(m‖H(ek))
+ENC_LOAD/A/TDEC: ρ载入, Â重生成, t̂=byteDecode12(ek)
+ENC_C/N:  y,e1,e2=CBD(PRF(r,·)), ŷ=NTT(y)
+ENC_U:    u=INTT(Σ Âᵀ∘ŷ)+e1
+ENC_C1:   c1=Enc_du(Compress_du(u))
+ENC_V:    v=INTT(Σ t̂∘ŷ)+e2+Decompress1(m)
+ENC_C2:   c2=Enc_dv(Compress_dv(v));  c=c1‖c2;  K=共享密钥
+```
+
+**Decaps（算法 18，FO 变换 + 隐式拒绝）**
+```
+DEC_DECOMP:  u'/v' = Decompress(byteDecode(c))         D1
+DEC_SDEC/NTT: ŝ=byteDecode12(dk_pke), û=NTT(u')         D2
+DEC_W:       w=v'-INTT(Σⱼ ŝ∘û)                          D3
+DEC_MENC:    m'=Enc1(Compress1(w))                      D4
+DEC_G/J:     (K',r')=G(m'‖h),  K̄=J(z‖c)                D5
+(重加密):    c'=K-PKE.Encrypt(ek_pke,m',r')  ←复用 Encaps 流水  D6
+DEC_CMP:     ss = (c'==c) ? K' : K̄                      D7
+```
+
+**核心复用点**:D6 重加密整段复用 Encaps 的 `ENC_LOAD…ENC_C2`——m' 写入 `m_r`、
+r' 在 `r_r`、ek_pke 已在 `ek_bram`，前置条件天然就位，无需另起数据通路。
+D7 逐字节比较 `u_ct_bram`(c') 与 `u_c_in_bram`(c)，恒定工作量，按 `dec_reject`
+在 `ss_r`(K') 与 `kbar_r`(K̄) 间选择:`ss_o = dec_reject ? kbar_r : ss_r`。
+
+### 3.6 模运算策略
+
+所有模 q（q=3329）约简采用 **Barrett 乘法**替代除法器:`floor(x/q) ≈ (x·5039)>>24`，
+其中 `5039 = floor(2²⁴/q)`，再做至多两次条件减校正。`q·x` 用移位加实现
+（3329 = 2048+512+256+1，无需第二个乘法器）。早期版本使用组合除法器，已于提交 `717a992`
+替换为 Barrett，显著缩短关键路径。按设计约束，**全部乘法标注 `use_dsp="no"`，不使用 DSP48**。
+
+---
+
+## 4. 功能验证
+
+### 4.1 验证策略
+
+采用「分阶段中间量核对 + 端到端 KAT 比对」双层策略，全部对照 NIST FIPS 203 的 KAT 标准答案:
+
+- **分阶段**:KeyGen 按 G/A/C/N/M/E/H、Encaps 按 E1–E7、Decaps 按 D0–D7 逐级验证中间多项式
+  /哈希/编码，经调试抽头逐字节回读比对。
+- **端到端**:KeyGen 核对 `ek==pk`、`dk==sk`;Encaps 核对 `ss`、`c`;Decaps 核对最终 `ss`，
+  并用 KAT 自带的损坏密文 `ct_n`/`ss_n` 验证隐式拒绝路径（`ss==ss_n=J(z‖ct_n)`）。
+
+### 4.2 测试平台
+
+| 测试平台 | 操作 | 覆盖 |
+|:---|:---|:---|
+| `tb_mlkem_kg_katK_xsim.v` | KeyGen | K=2/3/4 各 KAT 用例，`ek==pk`/`dk==sk` |
+| `tb_mlkem_enc_katK_xsim.v` | Encaps | E1–E7 分阶段 + `ss`/`c` |
+| `tb_mlkem_dec_katK_xsim.v` | Decaps | D0–D7 分阶段 + 接受/拒绝双路径 |
+| `tb_mlkem_hello_world_xsim.v` | 全流程（单实例） | KeyGen→Encaps→XOR→Decaps→XOR |
+| `tb_mlkem_two_inst_xsim.v` | 全流程（双实例） | 实例 A 做 KeyGen+Encaps，实例 B 做 Decaps |
+
+参数化 TB 通过 `xelab -generic_top KP=2|3|4` 选等级，`+CASE=n` 选用例。统一脚本
+`run_tb.sh {top|enc|dec|hello}` 驱动。
+
+### 4.3 验证结果
+
+- **KeyGen / Encaps / Decaps** 三操作、K=2/3/4 三等级全部 KAT 用例逐字节 PASS。
+- **隐式拒绝**:损坏密文路径正确输出 K̄，`dec_reject=1`。
+- **端到端**:`hello_world` 单/双实例均通过，共享密钥与消息正确还原
+  （`shared_key=ced0c031a4bee34a…`，`decrypted="hello world"`）。
+
+### 4.4 增量验证里程碑（git 记录）
+
+设计按阶段增量构建，每阶段独立提交并通过 KAT，历史可二分定位:
+
+```
+KeyGen 各阶段 → Encaps E1–E7 (7228beb…) → Decaps D0–D7 (030931d…2b70431)
+→ hello_world 端到端 (f279222, ee2bf1c)
+```
+
+---
+
+## 5. 综合与实现结果
+
+### 5.1 资源占用（OOC 综合，xc7a200tfbg676-1）
+
+| 资源 | 使用 | 可用 | 占用率 |
+|:---|:---:|:---:|:---:|
+| Slice LUTs（全为逻辑） | 34 318 | 134 600 | 25.5 % |
+| Slice Registers (FF) | 23 254 | 269 200 | 8.6 % |
+| F7 Muxes | 3 645 | 67 300 | 5.4 % |
+| F8 Muxes | 1 191 | 33 650 | 3.5 % |
+| Block RAM Tile | 5（RAMB36×2 + RAMB18×6） | 365 | 1.4 % |
+| **DSP48** | **0** | 740 | **0 %** |
+
+面积占用低，DSP 完全未用（符合设计约束），器件资源充裕。
+
+### 5.2 性能（周期数，实测）
+
+| 操作 | 周期数（K=2，ML-KEM-512） |
+|:---|:---:|
+| KeyGen | ≈ 22 904 |
+| Encaps | ≈ 32 493 |
+| Decaps | ≈ 50 819 |
+
+K=3/4 因模秩增大按比例上升。Decaps 最长，因其包含完整重加密（≈ 一次 Encaps）。
+
+### 5.3 时序现状与瓶颈
+
+当前对 **50 MHz（20 ns）** 目标**尚未收敛**:
+
+| 指标 | 值 |
+|:---|:---|
+| WNS | -32.2 ns（关键路径实际 ≈ 52 ns） |
+| 失败端点 | 3 132 / 44 689 |
+| Hold (WHS) | +0.134 ns（无违例） |
+| 关键路径 | `u_pmul/mem_A_reg → u_pmul/c0_reg`，70 逻辑级 |
+
+**根因**:`basecase_mul` 单周期组合计算 `c0=(a0·b0+(a1·b1)·zeta) mod q`，其中
+**两级 Barrett 模乘串联**（`t2=a1·b1` 再 `t2·zeta`）+ 模加;在 `use_dsp="no"` 约束下，
+每级 Barrett 约 24 ns，串联即 ≈ 52 ns。
+
+**修复方向**（不使用 DSP，详见 `timing_analysis.md`）:将 `barrett_mul` 改为 3 级内部流水
+（乘法 / ×K 移位 / ×q 约简各一拍），`basecase_mul` 的 c0 双乘级联为 6 拍、c1 对齐，
+`poly_mul_sync` 节拍相应加深。吞吐几乎不变（仅增加固定启动延迟，相对数万周期可忽略），
+WNS 预计转正。每步需重跑全部 KAT 确保功能不变。
+
+---
+
+## 6. 设计权衡与结论
+
+### 6.1 主要权衡
+
+| 决策 | 收益 | 代价 |
+|:---|:---|:---|
+| 单 FSM 串行调度 + 资源复用 | 面积小（LUT 25%）、控制清晰 | 串行执行，周期数较高 |
+| 共享单 Keccak 核 | 省大量面积 | 哈希/采样不能并行 |
+| Decaps 复用 Encaps 流水 | 省去独立重加密通路 | FSM 状态耦合较紧 |
+| 运行时选 k_i/op_i | 单比特流支持全部配置 | 存储按最坏情况分配 |
+| 不使用 DSP | 满足约束、可移植性强 | 乘法走 LUT，时序压力大 |
+
+### 6.2 结论
+
+`mlkem_top` 是一个**功能完整、KAT 全过**的 ML-KEM 硬件 IP，在单模块内支持 KeyGen/Encaps/Decaps
+三种操作与三种安全等级，面积占用低（LUT 25.5%、零 DSP）。设计经分阶段增量验证，正确性可靠。
+
+当前唯一未达标项是 **50 MHz 时序收敛**:瓶颈明确（`basecase_mul` 双 Barrett 串联组合路径），
+修复方案已制定（纯流水化，不依赖 DSP），改动范围可控。完成该流水化改造并重跑 KAT 后，
+预计可收敛至 50 MHz 目标。
+
+### 6.3 后续工作
+
+1. 按 `timing_analysis.md` 实施 Barrett / basecase / poly_mul 流水化，收敛 50 MHz。
+2. 流水化后检查次要瓶颈（如 `comp_decomp` 的 Barrett），同法处理。
+3. 补充布局布线（implementation）后的时序签核，目前仅有综合后时序。
+4. 视吞吐需求，评估关键算子（NTT、采样）并行化以降低周期数。
+
+---
+
+## 附:复现命令
+
+```bash
+source /opt/Xilinx/Vivado/2019.2/settings64.sh
+export LD_PRELOAD=/usr/lib64/libtinfo.so.5
+
+# 功能验证
+./run_tb.sh top        # KeyGen KAT (K=2/3/4)
+./run_tb.sh enc        # Encaps KAT
+./run_tb.sh dec        # Decaps KAT (含拒绝路径)
+./run_tb.sh hello      # 端到端 hello_world
+
+# 综合 + 时序报告
+vivado -mode batch -source synth_timing.tcl   # → timing.rpt / timing_worst.rpt / util.rpt
+```
+
+**相关文档**:`README.md`（使用说明）、`docs/mlkem_top_rtl.svg`（RTL 结构图）、
+`timing_analysis.md`（时序分析与修复方案）。

docs/timing_analysis.md

@@ -0,0 +1,101 @@
+# 50 MHz 时序收敛分析与修复方案
+
+> 报告来源:`synth_timing.tcl`（OOC 综合 `mlkem_top`，器件 `xc7a200tfbg676-1`，
+> `sysclk` 20 ns / 50 MHz）。生成 `timing.rpt` / `timing_worst.rpt` / `util.rpt`。
+
+## 一、现状
+
+| 指标 | 值 |
+|:---|:---|
+| WNS | **-32.206 ns**（目标 20 ns，实际关键路径 ~52 ns） |
+| TNS | -37879 ns，失败端点 3132 / 44689 |
+| Hold (WHS) | +0.134 ns ✅（无 hold 违例） |
+| 关键路径 | `u_pmul/mem_A_reg[239][2]` → `u_pmul/c0_reg_reg[0]` |
+| 路径延迟 | 52.055 ns（逻辑 21.9 ns / 布线 30.1 ns），**70 逻辑级**（CARRY4×26 + LUT×43 + MUXF×3） |
+| 面积 | LUT 25.5%、FF 8.6%、BRAM ~5 片、**DSP 0 / 740（完全没用）** |
+
+之前那份 `timing.rpt`（WNS -17.7 ns，关键路径在 comp_decomp 的组合除法器）已经过时——
+`717a992` 用 Barrett 乘法替换了组合除法器,comp_decomp 不再是瓶颈。本次重新综合后,
+**瓶颈转移到 `poly_mul` 的 basecase 乘法器 `u_pmul`**。
+
+## 二、根因
+
+`basecase_mul`（NTT 域 degree-1 乘法）单周期组合计算 c0/c1:
+
+```
+c0 = (a0·b0 + (a1·b1)·zeta) mod Q
+c1 = (a0·b1 + a1·b0) mod Q
+```
+
+c0 这条路径**串联了两级 Barrett 模乘**:先 `t2 = a1·b1 mod Q`,再 `t2_zeta = t2·zeta mod Q`,
+最后再做一次模加。每级 `barrett_mul` 含 12×12 乘 + ×K 乘 + ×Q 移位加 + 两次条件减,
+而且全局带 `(* use_dsp = "no" *)` —— 所有乘法都摊成 LUT+CARRY4 阵列。两级串联 ⇒ 70 级、52 ns。
+
+**两个叠加的放大因素:**
+1. **串联两次 Barrett 模乘**(t2 → t2·zeta)挤在一个组合周期。
+2. **`use_dsp="no"`** 把每个乘法变成进位链,本可用的 740 个 DSP48 一个没用。
+
+> 注:此前给乘法器加 `use_dsp="no"` 多半是为了规避 XSIM 仿真问题;但综合时这逼着工具
+> 用 LUT 搭乘法,正是当前 52 ns 关键路径的主因。
+
+## 三、修复方案（约束:**不允许使用 DSP**，纯 LUT/CARRY4 流水化）
+
+> 实测细节(timing_worst.rpt 逐级):一个 `barrett_mul` 单独就要 **~24 ns**
+> (t2 = a1·b1 走到 ~28 ns,其中乘法本体 + ×K + ×Q 约简占大头),c0 又把
+> **两个 Barrett 串联**(t2 → t2·zeta)+ 模加 ⇒ 52 ns。
+> 关键结论:**单级 Barrett(~24 ns)本身就超 20 ns**,所以光在两次乘法之间插一拍
+> (26 ns/级)不够,必须**在 `barrett_mul` 内部也切流水**。
+
+### 推荐方案:三段式流水的 Barrett 模乘 + basecase 重构
+
+把 `a·b mod Q` 拆成 3 个寄存级,每级 < ~12 ns:
+
+```
+级1:  p   = a * b            (12×12 → 24b 乘法,纯 LUT/CARRY4)         → 寄存 p
+级2:  qe  = (p * K) >> 24    (24×13 乘法 + 移位)                       → 寄存 qe、p
+级3:  r   = p - qe*Q; 两次条件减 Q                                     → 寄存 product
+```
+
+- 单个乘法(12×12 或 24×13)在 LUT 上约 ~10–12 ns,加约简一拍单独走,各级都能压到 20 ns 内。
+- `barrett_mul` 从纯组合改成 **3 拍流水**(加 `clk`/`valid` 端口或用上层节拍计数)。
+
+basecase 的 c0 双乘串联(`a1·b1` 再 `·zeta`)= 两个 3 级流水级联 = **6 拍**;
+c1 只有单乘 = 3 拍。让两条对齐到 6 拍输出。`poly_mul_sync` 现有
+`S_COMP_CALC → S_COMP_C0 → S_COMP_C1` 节拍改为:CALC 阶段等待乘法流水排空(固定 N 拍),
+再依次输出 c0/c1。**吞吐**:逐点乘本就 1 系数/多拍,加深流水只增加固定启动延迟(~6 拍/128 次
+basecase = 几百拍),相对 KeyGen ~22.9k、Decaps ~50.8k 周期可忽略。
+
+### 同源风险:comp_decomp 的 Barrett
+
+`comp_decomp_sync` 也用同样的 Barrett 结构(compress 路径 `dividend*5039>>24` + ×Q 约简),
+单条也可能逼近 20 ns。修好 basecase 后若它冒头,同样按“Barrett 内部 3 级流水”处理。
+其 5-phase 微序列(cd_valid 脉冲 + ph 等待)很容易吸收额外流水拍。
+
+### 备选:更激进的乘法器结构（若 3 级仍不够）
+
+- 12×12 乘法本身用 **2 级流水**(部分积分两半累加),把 Barrett 拉成 4–5 级;
+- 或对乘法做 **基-4/基-8 部分积 + 进位保存加法器(CSA)树**,减少 CARRY4 链深度。
+  改动大,仅在 3 级流水实测仍 > 20 ns 时再考虑。
+
+## 四、建议路线（不用 DSP）
+
+1. 把 `barrett_mul` 改成 3 级流水版(带 clk/valid),单独综合确认单级 < 20 ns。
+2. 重构 `basecase_mul`:c0 路径两级 Barrett 级联(6 拍),c1 对齐;`poly_mul_sync` 节拍
+   按固定流水深度调整(CALC 等 N 拍再出 c0/c1)。
+3. 全量 KAT 复测(`run_tb.sh top/enc/dec` + `hello`)确认功能不变 —— 流水加深会改变
+   `poly_mul`/`ntt`/`comp_decomp` 的拍数,各 FSM 的 done/valid 判定需同步更新。
+4. 重综合看 WNS;若 comp_decomp 成新瓶颈,同法流水化。
+5. 迭代直到 WNS ≥ 0 @ 20 ns。
+
+> 注意:本项目所有时序验证目前靠 XSIM 功能仿真 + KAT,**没有跑过布局布线后时序**。
+> 加流水属于改时序行为的大改,务必每步重跑全部 KAT,确保 ek/dk/ss/ct 仍逐字节正确。
+
+
+## 五、复现命令
+
+```bash
+source /opt/Xilinx/Vivado/2019.2/settings64.sh
+export LD_PRELOAD=/usr/lib64/libtinfo.so.5
+vivado -mode batch -source synth_timing.tcl     # 器件在脚本里:xc7a200tfbg676-1
+# 读 timing.rpt(摘要) / timing_worst.rpt(逐路径) / util.rpt(面积、DSP 占用)
+```