基于Verilog的FPGA流水线AES-128硬件加密实现详解-编程实验室

简介：本资源是一套基于Verilog语言实现的AES-128加密解密系统FPGA工程，面向本科至博士阶段的数字电路、密码学与FPGA开发学习者，用于深入理解对称加密算法硬件实现原理及Vivado全流程开发实践。压缩包共289个文件，含核心Verilog源码（.v）、完整Testbench测试激励、自动化仿真脚本（.bat/.tcl）、综合与调试日志（.log/.wdb）、工程配置文件（.xpr/.prj）以及关键操作录屏视频（.avi），整体大小22.58MB。已有1004人下载学习，配套视频详细演示从Vivado 2019.2工程创建、代码导入、仿真运行到波形分析的全过程，并提供路径规范提醒与常见报错说明；所有代码纯Verilog编写，不依赖IP核，具备良好跨平台移植性，适合作为密码算法硬件化教学案例或课程设计基础框架。

1. 项目缘起：为什么要在FPGA上实现AES？

在数字安全领域，AES（高级加密标准）算法是当之无愧的基石，从HTTPS通信到文件加密，无处不在。作为一名硬件工程师，当项目需求从“能用软件跑”转向“需要高速、低延迟、高并发的硬件加密”时，FPGA（现场可编程门阵列）就成了一个极具吸引力的选择。这个项目，就是一次将标准算法从软件世界“翻译”到硬件逻辑世界的完整实践。

你可能会有疑问：用CPU跑AES库函数不香吗？对于单次、非实时的加密任务，确实如此。但当你面对的是数据中心里海量的网络数据包、或者嵌入式系统中对实时性要求极高的传感器数据流时，软件处理的延迟和CPU占用率就成了瓶颈。FPGA的优势在于其并行处理能力——AES算法中的字节代换（SubBytes）、行移位（ShiftRows）、列混淆（MixColumns）等操作，在FPGA中可以被设计成并行的数据通路，一个时钟周期就能处理一整块（128位）数据。这种“来一块，处理一块”的流水线或全展开架构，能轻松实现每秒吉比特（Gbps）量级的加解密吞吐率，这是通用处理器难以企及的。

我选择用Verilog来实现，是因为它是数字电路设计的“通用语”，直接描述了寄存器传输级（RTL）的逻辑行为。通过Vivado这样的集成开发环境进行综合、实现，最终将代码变成在FPGA芯片上运行的实实在在的电路。这个过程，不仅是完成一个功能，更是对数字系统设计、时序收敛、资源优化的一次深度演练。接下来，我将从设计思路、关键模块、测试验证到工程实践中的那些“坑”，为你完整拆解这个基于Verilog的AES系统。

2. AES-128算法核心与硬件实现架构选型

在动手写代码之前，必须吃透算法并做出关键的架构决策。我们实现的是AES-128，即密钥长度为128位，数据块也是128位。算法流程包括初始轮密钥加、9轮标准轮函数（每轮包含SubBytes, ShiftRows, MixColumns, AddRoundKey），以及最后一轮（不含MixColumns）。在硬件中实现，主要有三种架构：

2.1 三种主流硬件架构剖析

迭代架构（Iterative）：最节省资源的方式。整个数据通路只有一套轮函数计算单元。加密一个128位数据块需要10个时钟周期（对应10轮运算），每周期完成一轮操作，数据在同一个计算单元中循环。优点是面积小，缺点是吞吐率低，约为时钟频率 * 128位 / 10。
流水线架构（Pipelined）：追求高吞吐率的方案。它将10轮运算展开成10级连续的流水线。数据块从第一级进入，每个时钟周期都向后移动一级，同时一个新的数据块可以进入第一级。10个周期后，每个时钟周期都能吐出一个加密结果。吞吐率理论上可达时钟频率 * 128位，但资源消耗大约是迭代架构的10倍。
全展开架构（Full Unrolled）：极致的性能，将10轮运算完全展开成组合逻辑，理论上一个时钟周期就能出结果。但这会消耗巨大的逻辑资源，且关键路径很长，难以达到高时钟频率，在实际工程中较少采用。

对于本项目，我选择了流水线架构作为目标。这是一个在性能与资源间取得较好平衡的经典方案，也更能体现FPGA的并行优势。我们的设计目标是构建一个能够持续吞吐数据的加密/解密引擎。

2.2 轮函数关键模块的硬件映射

算法中的数学运算需要转化为位逻辑操作：

SubBytes（字节代换）：核心是一个8位输入到8位输出的非线性变换。软件中常用查表（S-Box），在硬件中，可以直接用查找表（LUT）实现，即用组合逻辑实现一个256项的ROM。在Verilog中，我们可以用一个case语句或一个预定义的reg [7:0] s_box [0:255]数组来实现。为了同时支持加密和解密，需要实现正向S盒和逆向S盒。
ShiftRows（行移位）：这是一个固定的数据重排操作，不消耗逻辑资源，在硬件中就是连线的重新排列。对于128位数据[127:0]，我们将其视为4x4的字节矩阵，行移位就是简单地重新组织这些字节的排列顺序。
MixColumns（列混淆）：这是算法中最复杂的运算，涉及有限域GF(2^8)上的矩阵乘法。在硬件中，它被分解为一系列的异或（XOR）和有限域上的“xtime”操作（即乘以多项式{02}）。我们可以为每一列设计一个固定的组合逻辑电路来计算。解密时需要使用逆列混淆模块。
AddRoundKey（轮密钥加）：简单的128位异或操作。关键在于密钥扩展模块需要提前计算好每一轮所需的轮密钥，并按时钟节拍提供给对应的流水线级。

2.3 顶层模块接口设计

一个实用的AES IP核需要有清晰的外部接口。通常包括：

clk,rst_n：时钟和复位信号。
data_in [127:0]：明文/密文输入。
key_in [127:0]：初始密钥输入。
start_i：启动信号，高有效时开始加载数据和密钥。
enc_dec_i：模式选择，1为加密，0为解密。
data_out [127:0]：密文/明文输出。
valid_o：输出有效信号，指示data_out上的数据是有效的。

在流水线架构下，从start_i有效到第一个valid_o输出，会有固定的流水线延迟（例如10个周期）。之后，只要持续输入数据，就会每个周期输出一个结果。

3. Verilog实现详解：从密钥扩展到流水线搭建

有了架构蓝图，我们就可以开始用Verilog“搭建”这个系统了。这里我将分模块阐述核心代码逻辑和设计考量。

3.1 密钥扩展模块（Key Expansion）

这是AES正确运行的前提。该模块接收128位初始密钥，扩展出10个128位的轮密钥。算法涉及S盒变换、轮常数（Rcon）异或等。在流水线架构中，密钥扩展可以独立于数据通路提前完成。

module key_expansion ( input clk, input rst_n, input [127:0] key, input key_valid, output reg [127:0] round_key [0:10], output reg key_ready ); // 内部状态机或计数器，控制扩展轮数 // 使用寄存器存储中间密钥 // 根据AES标准实现扩展逻辑，特别是对每列首个字的特殊处理 // key_ready信号在所有轮密钥计算完成后拉高 endmodule

注意：密钥扩展在加解密开始时执行一次即可，计算出的轮密钥可以存储在寄存器或Block RAM中，供后续流水线各级使用。在设计时，要确保密钥扩展的时序路径不会成为整个系统的瓶颈。

3.2 单级流水线单元（One Round Pipeline Stage）

这是构建流水线的基石。我们设计一个模块，完成一轮操作（除了最后一轮）。它需要包含SubBytes、ShiftRows、MixColumns（解密时为InvMixColumns）和AddRoundKey。

module aes_round_pipeline ( input clk, input rst_n, input [127:0] data_in, input [127:0] round_key_in, input enc_dec, // 当前轮是加密还是解密 input is_first_round, // 是否为第一轮（需要特殊处理吗？） input is_last_round, // 是否为最后一轮（决定是否跳过MixColumns） output reg [127:0] data_out ); wire [127:0] after_subbytes; wire [127:0] after_shiftrows; wire [127:0] after_mixcols; wire [127:0] after_addroundkey; // 根据enc_dec选择正向或逆向S盒 sub_bytes u_sub_bytes (.data_in(data_in), .enc_dec(enc_dec), .data_out(after_subbytes)); // 根据enc_dec选择正向或逆向行移位 shift_rows u_shift_rows (.data_in(after_subbytes), .enc_dec(enc_dec), .data_out(after_shiftrows)); // 列混淆逻辑：最后一轮不执行，解密时用逆列混淆 always @(*) begin if (is_last_round) begin after_mixcols = after_shiftrows; // 最后一轮跳过 end else begin if (enc_dec) begin mix_columns u_mix_enc (.data_in(after_shiftrows), .data_out(after_mixcols)); end else begin inv_mix_columns u_mix_dec (.data_in(after_shiftrows), .data_out(after_mixcols)); end end end // 轮密钥加 assign after_addroundkey = after_mixcols ^ round_key_in; // 寄存器打拍，形成流水线 always @(posedge clk or negedge rst_n) begin if (!rst_n) begin data_out <= 128'b0; end else begin data_out <= after_addroundkey; end end endmodule

3.3 顶层集成与流水线控制

顶层模块将多个aes_round_pipeline实例串联起来，并插入初始和最终的密钥加操作。同时，需要生成控制每个流水线级的is_last_round等信号。

module aes128_pipeline_top ( input clk, input rst_n, input [127:0] data_in, input [127:0] key_in, input start_i, input enc_dec_i, output reg [127:0] data_out, output reg valid_o ); // 实例化密钥扩展模块 // 实例化10级流水线模块（或9级标准轮+1级特殊轮） // 设计一个深度为10的移位寄存器，用于传递valid信号，以对齐数据输出 // 当valid信号传递到最后一级时，valid_o拉高，同时输出最终数据 // 初始轮密钥加在数据进入第一级流水线前完成 // 最终轮密钥加在数据离开最后一级流水线后完成（根据算法，解密流程略有不同，需注意顺序） endmodule

实操心得：流水线控制中最容易出错的就是数据对齐。数据在流水线中流动，而控制信号（如valid、is_last_round）也需要同步流动。我常用的方法是使用一个与流水线深度相同的移位寄存器来传递valid信号。当start_i有效时，向这个移位寄存器注入一个‘1’，每个时钟周期右移一位。当这个‘1’出现在移位寄存器的最后一位时，就意味着第一个输入的数据已经走完了全部流水线，此时data_out是有效的，将valid_o拉高。这种方法简单可靠。

4. Testbench设计与Vivado功能仿真实战

代码写完了，但它真的对吗？Testbench就是我们的“试金石”。一个完善的Testbench不仅能验证功能，还能帮助我们调试和排查问题。

4.1 构建自验证的Testbench结构

我的Testbench通常包含以下部分：

时钟与复位生成：产生稳定的时钟和复位信号。
待测设计（DUT）实例化：把我们写的aes128_pipeline_top模块例化进来。
测试向量生成：使用NIST（美国国家标准与技术研究院）官方提供的标准测试向量。这是验证功能正确性的黄金标准。我会把已知的明文、密钥和密文对，以任务（task）或文件读取（$readmemh）的方式加载进来。
测试过程控制：一个初始块（initial），在其中按顺序施加激励（输入明文、密钥、启动信号），并等待输出。
自动结果比对：在always @(posedge clk)块中监测valid_o信号。一旦valid_o拉高，就将DUT输出的data_out与预期的密文（或解密后的明文）进行比对。如果匹配，打印通过信息；如果不匹配，打印错误并停止仿真。
波形文件导出：使用$dumpfile和$dumpvars生成VCD或FSDB波形文件，用于在Vivado或ModelSim中图形化调试。

4.2 一个关键的Testbench技巧：处理流水线延迟

由于我们的设计是流水线，输入和输出不是即时的。在Testbench中驱动激励时，必须考虑这个延迟。

initial begin // ... 复位等操作 @(posedge clk); data_in = 128'h00112233445566778899aabbccddeeff; // 测试明文 key_in = 128'h000102030405060708090a0b0c0d0e0f; // 测试密钥 enc_dec_i = 1'b1; // 加密模式 start_i = 1'b1; @(posedge clk); start_i = 1'b0; // 启动信号只需维持一个周期 // 等待足够多的周期，让数据流过流水线 repeat(15) @(posedge clk); // 等待周期数应略大于流水线深度 // 结果比对会在监测到valid_o的always块中自动进行 end

同时，在监测块中：

always @(posedge clk) begin if (valid_o) begin if (data_out === expected_ciphertext) begin $display("[PASS] Time=%t, Output matches expected.", $time); end else begin $display("[ERROR] Time=%t, Got %h, Expected %h", $time, data_out, expected_ciphertext); $finish; end end end

4.3 在Vivado中运行仿真与调试

在Vivado 2019.2中：

将设计文件（.v）和测试文件（.v或.sv）添加到工程。
在“Simulation Sources”中设置测试文件为顶层。
点击“Run Simulation” -> “Run Behavioral Simulation”。
仿真运行时，会自动打开波形窗口。在这里，你可以清晰地看到时钟、复位、输入输出数据、内部流水线每一级的数据、以及valid_o信号。
调试常见问题：
- 输出全是X（不定态）：检查复位逻辑是否生效，所有寄存器是否在复位时被正确初始化。
- 输出结果错误：首先检查密钥扩展模块的输出是否正确。使用NIST的中间值测试向量，逐轮比对。在波形中，找到第一级流水线的输入和输出，看SubBytes、ShiftRows等操作是否符合预期。
- valid_o信号时序不对：检查控制valid_o生成的流水线对齐逻辑（那个移位寄存器）是否与数据通路的延迟严格匹配。

踩坑实录：我曾遇到一个诡异的错误，解密结果偶尔正确，偶尔错误。在波形里盯了很久，最后发现是密钥扩展模块的时序问题。在解密模式下，需要先生成所有轮密钥并逆序使用。我的密钥扩展模块是组合逻辑生成的，但在顶层，我使用一个always @(posedge clk)块去采样这些轮密钥并分配给流水线各级。由于组合逻辑的毛刺，在时钟上升沿采样时，偶尔会采到错误的中间值。解决方法：在密钥扩展模块的输出端添加一级寄存器打拍，确保在时钟边沿输出稳定的轮密钥。这个坑让我深刻理解到，在同步设计中，确保所有进入数据通路的信号都经过寄存器同步是多么重要。

5. 综合、实现与上板调试：从代码到电路

通过仿真验证后，我们就要把代码变成真正的硬件电路了。这一步主要在Vivado中完成。

5.1 综合（Synthesis）与关键约束

点击“Run Synthesis”，Vivado会将RTL代码翻译成由FPGA底层基本单元（如LUT、触发器、BRAM等）组成的网表。综合后，必须查看综合报告：

资源利用率：关注LUT、FF、BRAM的用量，评估是否在目标芯片（如Xilinx Artix-7）的资源范围内。我们的流水线AES设计，LUT用量可能在几千到上万个，属于中等规模设计。
时序报告：重点关注“最差负裕量（Worst Negative Slack, WNS）”。WNS必须为正，否则电路无法在你设定的时钟频率下稳定工作。如果WNS为负，说明关键路径（从输入到输出延迟最长的路径）太长。
- 优化策略：如果时序违例，首先看关键路径在哪里。通常是MixColumns或密钥扩展中的复杂组合逻辑。可以通过流水线打拍来切割长路径。例如，在MixColumns计算中间插入一级寄存器。虽然这会增加一个周期的延迟，但能显著提高系统可运行的最高时钟频率。

5.2 实现（Implementation）与布局布线

综合后的网表还只是逻辑连接。“实现”步骤包括布局（将逻辑单元放到芯片的具体位置）和布线（用芯片内部的连线资源连接它们）。点击“Run Implementation”。

布线后时序分析：实现后的时序报告更准确，因为它考虑了真实的走线延迟。同样要确保WNS为正。
I/O规划：如果你的设计需要与外部芯片（如DDR、PHY）通信，需要在此步骤或之前设置管脚约束（XDC文件），将顶层模块的端口分配到FPGA的具体物理管脚上。

5.3 生成比特流与上板调试

时序满足后，就可以“Generate Bitstream”了。这个过程会生成一个.bit文件，包含了配置FPGA内部所有资源的位信息。

硬件连接：通过JTAG或SPI接口将.bit文件下载到FPGA开发板（如“璞致”开发板）。
上板验证：这是最激动人心也最考验人的一步。Testbench通过了，不代表板上一定能工作。
- 第一步：静态测试。编写一个简单的上板测试程序，用开关或按键输入固定的测试向量，用LED或数码管显示输出结果的几个位。比对是否与仿真结果一致。这一步可以快速验证最基本的电源、时钟、复位和I/O功能是否正常。
- 第二步：动态测试与性能评估。如果FPGA板卡有UART或以太网接口，可以设计一个更复杂的测试系统。例如，通过UART从PC发送多组测试向量到FPGA，FPGA加密后回传，PC端自动比对。这可以验证系统在连续工作下的稳定性。同时，可以测量实际的吞吐率：统计一段时间内处理的数据量，除以时间，看是否接近理论值（时钟频率 * 128位）。

注意事项：Vivado在综合时可能会优化掉未使用的端口或信号。如果你在顶层定义了一些用于调试的中间信号（如流水线每一级的输出），但在模块输出中未使用，Vivado默认会优化掉它们，导致你在ILA（集成逻辑分析仪）中抓不到信号。解决方法：在信号声明前加上(* keep = “true” *)或(* mark_debug = “true” *)属性，或者在XDC约束文件中使用set_property MARK_DEBUG true [get_nets …]来保留这些调试网络。

6. 工程优化与扩展思考

一个能工作的基础版本只是起点。要让这个AES核更实用、更高效，还有很多可以深入的方向。

6.1 资源与性能的权衡

S-Box的实现：用组合逻辑LUT实现256个项会占用大量资源。对于Artix-7等芯片，可以利用其内置的分布式RAM（Distributed RAM）或块RAM（Block RAM）来存储S盒表，通过查表方式实现，可能更节省LUT资源。
支持多种密钥长度：AES-128、AES-192、AES-256。这需要设计一个更通用的密钥扩展模块和数据通路控制逻辑。在硬件上，通常通过复用部分计算单元并增加一些控制逻辑来实现，会比三个独立核更省面积。
加密解密复用：我们的设计通过enc_dec信号选择了两套数据通路（正/逆S盒，正/逆列混淆）。如果资源极其紧张，可以考虑时分复用同一套计算单元，但这会降低吞吐率。

6.2 系统级集成

一个孤立的AES加密核价值有限。真正的挑战在于如何将它集成到一个更大的系统中。

与处理器协同：通过AXI4-Lite或AXI4-Stream总线，将AES核封装成IP，挂载到MicroBlaze或ARM Cortex-M处理器上。处理器负责准备数据流、配置密钥和启动命令，AES核作为硬件加速器高速处理数据。Vivado的IP Packager功能可以辅助完成这项工作。
与高速接口对接：例如，对接一个千兆以太网MAC IP，实现线速的网络数据加密。这就需要处理数据流的反压（backpressure）、帧边界对齐等复杂问题。
增加操作模式：AES-ECB（电子密码本）模式是最简单的，但安全性有缺陷。在实际应用中，可能需要实现CBC（密码分组链接）、CTR（计数器）等模式。这些模式通常需要在AES核之外，增加少量的反馈逻辑和计数器。

6.3 安全性与侧信道攻击防护

这是一个高级话题。基础实现容易受到功耗分析（DPA）、电磁分析等侧信道攻击。防护措施包括：

掩码：在计算过程中，对中间数据加入随机数掩码，使功耗与真实数据无关。
随机化执行顺序：随机化S盒查表或轮运算的顺序。这些防护会显著增加设计的复杂性和资源开销，主要用于金融、国防等高安全等级场景。

从一行行Verilog代码，到一个在FPGA芯片上高速运转的加密引擎，这个过程充满了挑战与乐趣。它要求你同时是算法专家、硬件架构师和调试工程师。希望这篇详尽的拆解，不仅能帮你复现这个AES核，更能让你理解硬件设计背后的权衡与艺术。当你在示波器上看到加密后的数据波形如预期般输出时，那种成就感，是纯粹的软件编程难以替代的。

本文还有配套的精品资源，点击获取