FPGA轻量级NTT故障检测架构设计与实现

1. FPGA轻量级NTT故障检测架构设计背景

在当今量子计算快速发展的时代，后量子密码学(Post-Quantum Cryptography, PQC)已成为信息安全领域的重要研究方向。数论变换(Number Theoretic Transform, NTT)作为众多PQC算法(如Kyber、Dilithium等)的核心运算单元，其硬件实现的安全性直接关系到整个密码系统的可靠性。然而，硬件实现面临着两大主要威胁：

自然故障：随着半导体工艺尺寸的不断缩小，FPGA等硬件设备更容易受到电磁辐射、离子干扰等因素影响，导致计算错误。在28nm及更先进工艺节点中，单个逻辑单元的平均软错误率可达10^-14-10^-15/位/小时，这使得长时间运行的密码硬件面临严峻挑战。

恶意故障注入攻击：攻击者通过精确控制电压、时钟或电磁脉冲等手段，在密码运算关键阶段注入故障，从而破坏算法正常执行流程。据统计，一次成功的故障注入攻击可在毫秒级时间内获取密钥信息，对金融、国防等关键领域构成严重威胁。

传统解决方案如全电路冗余或复杂纠错码虽然能提高可靠性，但往往带来30%以上的面积开销和显著性能下降，难以满足资源受限场景的需求。这促使我们设计一种轻量级、高效率的专用故障检测架构，在保证安全性的同时最小化硬件开销。

2. NTT核心架构与故障模型分析

2.1 NTT硬件组成结构

典型NTT硬件实现包含三个关键子系统：

• 存储单元：包括存储多项式系数的RAM(随机存取存储器)和存储旋转因子的ROM(只读存储器)。以Kyber-768为例，需要10个RAM模块和1个ROM模块，在256点NTT运算中产生超过49,000次存储访问。

• Cooley-Tukey蝶形单元(CT-BU)：执行核心的模乘加运算，其数学表达为：

  U = α[j + k] V = α[j + k + i/2] × ω mod q

  其中ω是单位根，q是素数模数。CT-BU占NTT总功耗的60%以上，是故障检测的重点区域。

• 控制逻辑：协调存储访问和计算流程，包含地址生成、时序控制等模块。

2.2 典型故障模式与攻击场景

通过对主流FPGA平台的实测分析，我们识别出以下高风险故障模式：

CT-BU故障：

1. 瞬态位翻转：主要影响Montgomery模乘器的中间计算结果，在40nm工艺下单个乘法器平均每月可能发生1-2次自然位翻转。
2. 永久性短路/开路：导致运算功能完全失效，在加速老化测试中约0.1%的芯片会出现此类缺陷。

存储子系统故障：

1. 地址总线篡改：攻击者通过时钟毛刺使地址计数器跳变，在实测中仅需5-10次精确注入即可泄露密钥信息。
2. 数据总线干扰：通过电磁探头改变传输中的系数值，错误率可达15-30%。

3. REMO故障检测方法设计

3.1 改进的Montgomery模约减算法

传统Montgomery算法直接计算：

γ = α×β×R^(-1) mod q

其中R=2^l。我们提出的字级改进算法将l位运算分解为w位字级处理(w≤l)，通过以下创新实现故障检测：

1. 双重计算路径：
   • 主路径计算常规γi
   • 检测路径计算带模偏移的γfi，使用编码输入：

     awfi = awi + K·q

2. 动态比较机制：每w位比较γi与γfi，差异超过阈值即触发警报。

数学上可证明(见引理1)：在无故障情况下，两条路径结果应完全一致。该性质与字长w无关，保证了检测的可靠性。

3.2 硬件架构优化

REMO检测模块包含以下关键优化：

• 并行计算单元：主路径(γi Gen)使用3个乘法器和2个加法器；检测路径(γfi REMO)增加1个乘法器和1个加法器，总面积开销仅增加16个Slice。

• 位操作替代复杂运算：

  • mod 2^w→ 截取低w位
  • /2^w→ 右移w位 实测显示这可使关键路径延迟降低42%。

• 可配置字长w：支持8/16/32位配置，在Artix-7上实测资源占用为：

  字长w	LUT使用量	频率(MHz)	功耗(mW)
  8	143	310	2.8
  16	167	287	3.1
  32	215	254	3.5

4. 内存规则检查器(Memory RC)设计

4.1 访问模式验证原理

基于Kyber算法的NTT访问具有严格规律性：

• RAM访问：遵循i-k规则，即k ≤ s_i，其中s_i初始为n-1，每256次迭代右移1位。
• ROM访问：遵循i-j规则，j ≤ 2i - 1。

Memory RC通过实时验证这些不变量来检测异常访问。硬件实现采用两级比较器：

1. 边界检查：使用带使能端的比较器核验当前地址是否越界
2. 序列检查：通过移位寄存器记录最近8次地址差，检测异常跳变

4.2 实施效果

在Xilinx Artix-7上的综合结果显示：

• 面积开销：每个检查器仅需2个LUT和1个寄存器
• 延迟：增加2.3ns的时序路径
• 覆盖率：对地址总线故障的检测率达到：
  • 单bit错误：100%
  • 多bit突发错误(≤4bit)：92.7%
  • 针对性攻击模式：50.7-100%

5. 系统集成与性能评估

5.1 整体架构

完整NTT故障检测系统包含：

1. CT-BU流水线：3级流水(缓冲→计算→更新)
2. REMO检测单元：与主计算路径并行
3. Memory RC：集成在地址生成器与存储接口之间
4. 错误响应机制：检测到故障时清零敏感数据并复位

5.2 实测性能指标

在KCU105开发板(Kintex UltraScale+)上的测试结果：

与现有方案对比：

6. 实际部署建议

1. 字长选择策略：

   • 高性能场景：选用w=32，检测延迟<5周期
   • 低功耗场景：选用w=8，功耗可降低20%

2. 时序收敛技巧：

   • 对REMO比较器添加多周期路径约束
   • 将Memory RC置于独立时钟域

3. 安全增强措施：

   • 对K值进行动态随机化，防止攻击者预测
   • 关键信号采用差分路由

实际测试中发现，在极端温度条件(-40°C~125°C)下，误报率会上升至0.1%。建议在环境恶劣的应用中添加简单的滤波电路，对连续3次以上报警才触发复位。

该架构已成功应用于我们的Kyber-768硬件加速器，连续72小时故障注入测试中保持零漏检。未来可进一步扩展至Saber、NTRU等其他格基密码算法，为PQC硬件实现提供可靠的安全保障。