采用MAX II器件实现FPGA设计安全解决方案

　　1、时钟分频器FPGA中的时钟分频器用于从系统时钟产生速率较低的时钟，供给FPGA和MAX II器件的安全内核使用。这是因为安全内核不需要运行在非常高的频率下。特别是当系统运行频率非常高时，时钟分频器的作用便比较显著，否则，如果系统运行频率较低，可以不使用该分频器。

　　2、随机数发生器（RNG）每次启动/复位信号置位时，RNG为64位计数器产生随机初始值。然后，随机数同时串行移位至FPGA和MAX II器件的安全内核。参考设计采用32位RNG。

　　3、随机数接收器随机数接收器接收来自RNG的串行随机数，并按照正确的顺序排列数据，将其做为初始值送入64位计数器。

　　4、64位计数器64位计数器用于产生送入编码器的64位数据。它是按照公式X=X+A进行的一个简单加法器。X是一个64位初始值，而A是计数器递增值，应为质数。初始值X来自RNG。参考设计中，32位来自RNG，其余32位由用户在设计代码中设置。A可以由用户在设计代码中设置。计数器输出送入编码器，对数据进行加密。编码器每次完成前一数据的加密后，计数器数值递增。

　　5、编码器编码器可以采用任何难以破译的加密标准。参考设计采用了三重数据加密标准（3DES）。3DES编码器的输入和输出是64位值，需要48个时钟周期完成64位数据加密。

　　6、移位器/复用器移位器/复用器将编码器输出比特（16位）的一部分按照特定顺序，存储在寄存器中，编码器准备下一数值时，将其串行移位至比较器。

　　7、比较器比较器将MAX II器件的编码数据（握手令牌）与FPGA内部产生的编码数据逐位比较。如果MAX II器件和FPGA的数据相匹配，Enable信号置位，使能用户设计功能。如果出现不匹配，请参见下面的可靠性保证一节。这种方式可以重复几次，以产生更多的Enable信号，使能用户设计的不同部分。这种重复方式可以防止有人篡改FPGA比特流（这种可能性较低），致使Enable信号变为高电平，导致设计安全方案失效。

　　8、可靠性可靠性部分处理随机比特错误，这种错误可能会导致系统停止工作。参考设计允许每10个时钟周期中出现一次数据不匹配（这仅仅是一个例子，用户可以根据实际应用，修改该方法，达到最佳效果）。换句话说，如果10个时钟周期中，数据不匹配不超过一次，Enable信号仍将保持高电平，系统继续工作。如果10个时钟周期中出现两个错误，那么，Enable信号变为低电平，禁止用户设计功能。在启动/复位信号置位，复位系统前，系统停止工作。

图3：不支持安全方案的FPGA设计。