1. Lattice FPGA安全控制与可靠性设计导论

在工业控制、通信设备、医疗仪器和汽车电子中，FPGA 往往承担上电时序管理、密钥存储、总线仲裁、故障联锁等关键职责。一旦 FPGA 配置被篡改、密钥被读出或逻辑在异常条件下进入不确定状态，整台设备的安全边界就可能失效。Lattice FPGA 因低功耗、小封装、内置配置闪存和丰富的安全特性，被广泛用于这类"设备可信根"位置。本课程围绕一个核心问题展开：如何用 Lattice FPGA 构建既安全又可靠的设备控制逻辑，并让这种能力可验证、可复现。

课程目标与能力地图

本课程不是单纯的器件手册讲解，而是沿着"概念—设计—实现—验证—排障"的工程路径推进。学完后应具备四类能力：其一，能识别设备安全需求中的机密性、完整性、真实性、可用性分别落在 FPGA 的哪些资源上；其二，能针对具体器件（如 MachXO2/MachXO3、iCE40 UltraPlus、CrossLink-NX、Certus-NX 等）选择合适的配置保护、密钥管理和物理防护手段；其三，能设计复位、时钟、看门狗、ECC、冗余表决等可靠性机制，并说明其失效覆盖范围；其四，能通过配置回读、边界扫描、在线调试和故障注入，判断设计是否达到预期。

需要强调的是，安全与可靠性不是两个独立目标。安全机制本身可能引入新的失效模式，例如加密配置增加启动时间、密钥握手失败导致设备无法启动；可靠性机制也可能被攻击者利用，例如看门狗被恶意喂狗。因此课程始终要求把两者放在同一张设计图上权衡。

Lattice FPGA在设备安全中的角色

在典型设备中，FPGA 处于"承上启下"的位置：向上连接主处理器或网络接口，向下控制传感器、执行器、电源和存储。它既是数据通道，也是策略执行点。Lattice FPGA 的几类特性使其适合这一角色：基于 SRAM 或闪存的配置结构、内置用户闪存（UFM）、一次性可编程（OTP）存储区、AES 配置解密、位流认证、唯一 ID（UID）、以及部分器件提供的物理防篡改检测。

可以把 FPGA 在安全链中的职责理解为三层：信任根层负责保存密钥、UID 和启动策略；控制层负责上电时序、联锁逻辑和状态机；监控层负责看门狗、电压/温度监测和异常上报。三层之间通过内部总线和状态信号耦合，任何一层被绕过，整体安全性都会下降。

安全与可靠性基本概念

安全性关注"对抗主动攻击"：攻击者可能读取配置位流、注入错误、伪造身份或重放命令。对应的防护目标是机密性（密钥与位流不可读）、完整性（配置与数据未被篡改）、真实性（通信对端可信）和抗重放（旧命令不能再次生效）。可靠性关注"对抗非恶意失效"：单粒子翻转（SEU）、电源毛刺、时钟抖动、温度漂移、器件老化都可能导致逻辑错误。对应的目标是可用性、可恢复性和故障可检测性。

两者共享一些底层手段，例如 CRC 校验既能发现位流损坏，也能发现部分篡改；冗余表决既能容忍 SEU，也能提高攻击者注入错误后被发现的概率。但它们的验证方法不同：安全性需要威胁建模和攻击测试，可靠性需要失效模式分析和加速老化/故障注入。课程中会反复区分这两类验证。

典型应用场景与设计挑战

场景一：工业安全控制器。FPGA 负责急停联锁，要求响应时间确定、失效导向安全。挑战在于联锁逻辑必须可诊断，且不能因单点故障而失效。常用做法是双通道比较加看门狗，任一通道不一致即进入安全状态。

场景二：通信设备可信启动。FPGA 在主处理器启动前完成配置认证和密钥协商。挑战是启动时间与安全强度的平衡，以及密钥更新时的回滚保护。

场景三：医疗仪器数据采集。FPGA 采集传感器数据并做预处理。挑战是数据完整性（ECC、CRC）与实时性（低延迟）的冲突，以及校准参数的防篡改存储。

场景四：汽车电子网关。FPGA 做协议转换和防火墙。挑战是宽温范围内的时序收敛、EMC 干扰下的信号完整性，以及功能安全等级（如 ISO 26262）对诊断覆盖率的要求。

这些场景的共同挑战可以归纳为四点：资源受限（小容量 FPGA 上同时实现安全与冗余）、启动确定性（安全机制不能导致启动失败或超时）、可验证性（安全声明必须有测试证据）、生命周期管理（密钥更新、固件升级、报废处理）。

一个可执行的设计检查起点

在进入后续章节前，建议用下面这张检查表对目标设备做一次快速盘点。它不替代详细设计，但能帮助定位最薄弱的环节。表中"示例填写"为假设值，仅用于说明填写方式。

完成盘点后，通常会得到一张"风险—措施"对应关系。例如，若发现密钥可读，优先措施是启用 UFM 保护或改用 OTP；若发现联锁无诊断，优先措施是增加双通道比较和测试注入点。后续章节将分别展开配置安全、密钥管理、可靠性机制、验证方法和排障流程，最终形成一套可落地的 Lattice FPGA 安全可靠设计方法。