2. SDM硬件架构：SDM内部模块划分、主处理器子系统、安全子系统、配置子系统、外设接口

Agilex 器件的 SDM（安全设备管理器）是一个高度集成的专用硬件单元，负责整个芯片的生命周期管理，包括上电初始化、配置加载、安全认证、电源管理以及系统监控。理解 SDM 的内部架构是掌握 HPS 与 FPGA 协同配置的基础。SDM 并非一个简单的状态机，而是一个包含多个独立子系统的微型计算平台。

2.1 SDM 内部模块划分总览

SDM 硬件架构由四大核心子系统构成，它们通过内部高速总线互联，协同完成从裸片上电到系统稳定运行的全过程。下表总结了各子系统的核心功能与定位：

2.2 主处理器子系统

主处理器子系统是 SDM 的“大脑”，通常基于一个 ARM Cortex-M3 或 Cortex-M4 处理器内核。它运行 Intel 提供的 SDM 固件，该固件实现了配置协议栈、命令解析、电源状态转换和错误处理逻辑。

• 处理器核心： 32位 ARM Cortex-M 系列，主频通常在 100-200 MHz 范围，具备单周期乘法器和嵌套向量中断控制器（NVIC），确保对配置事件的快速响应。
• 内部存储器： 包含片上 SRAM 用于固件运行和数据缓存，以及一次性可编程（OTP）存储区用于存储芯片唯一标识和熔丝配置。
• 固件角色： 固件是 SDM 的灵魂。它负责解析来自 HPS、JTAG 或外部存储器的配置命令，并将这些命令转化为对配置子系统的具体操作。固件可通过安全更新机制进行升级。

2.3 安全子系统

安全子系统是 Agilex 器件的信任根（Root of Trust）。它独立于主处理器运行，确保即使主处理器固件被攻破，密钥和加密操作也不会泄露。

• 安全处理器： 一个独立的、仅用于安全操作的微控制器，运行经过严格验证的安全固件。
• 加密引擎： 硬件加速的 AES、SHA、RSA 和 ECC 引擎，用于位流解密、签名验证和哈希计算。这些引擎直接与配置子系统交互，实现“零延迟”解密。
• 物理不可克隆函数（PUF）： 利用芯片制造过程中的工艺差异生成唯一的、不可预测的密钥。PUF 密钥无需存储在非易失性存储器中，极大地提高了防物理攻击能力。
• 密钥存储： 提供安全的密钥存储区，支持多种密钥层级（如设备密钥、用户密钥、配置密钥）。

下图展示了安全子系统在配置流程中的核心位置：

2.4 配置子系统

配置子系统是 SDM 中负责实际数据传输和 FPGA 配置的硬件引擎。它设计用于高速、可靠地将配置数据从源（外部存储器、HPS 或 JTAG）搬运到 FPGA 配置端口。

• 配置控制器： 核心状态机，管理配置的各个阶段：复位、检测、加载、初始化、用户模式。它处理配置错误并触发重试或回退机制。
• DMA 引擎： 直接内存访问控制器，负责从外部存储器（如 QSPI Flash）或内部缓冲区高速读取数据，无需主处理器干预。DMA 通道支持链式描述符，可实现复杂的配置序列。
• 位流解析器： 实时解析 FPGA 位流格式，提取配置包、同步字、CRC 校验值和配置寄存器设置。它确保数据按 FPGA 阵列要求的时序和协议发送。
• 配置通道： 支持多种配置源（AS、PS、FPP、CVP），并通过专用的配置总线（如 Avalon-ST 配置接口）连接到 FPGA 逻辑阵列。

2.5 外设接口

SDM 的外设接口提供了与外部世界通信的物理层。这些接口在配置阶段用于加载初始位流，在运行阶段可用于系统管理、调试和固件更新。

下图展示了 SDM 外设接口与外部器件的连接关系：

2.6 子系统间协同工作流

以一个典型的“从 QSPI Flash 加载加密位流”为例，展示四个子系统如何协同工作：

1. 上电复位： 主处理器子系统启动，执行 SDM 固件。固件初始化内部时钟和电源。
2. 配置源检测： 主处理器通过外设接口子系统读取配置引脚（MSEL）状态，确定配置源为 QSPI Flash。
3. 安全启动： 主处理器通知安全子系统验证 QSPI Flash 中的引导加载程序（Bootloader）签名。安全子系统使用 PUF 生成的密钥进行验证。
4. 加载位流： 主处理器指示配置子系统的 DMA 引擎从 QSPI Flash 读取加密的 FPGA 位流。
5. 解密与验证： 数据流经安全子系统，硬件解密引擎实时解密位流，并计算哈希值与存储的签名比对。
6. 配置 FPGA： 验证通过后，明文位流被送入配置子系统的位流解析器，通过配置总线加载到 FPGA 阵列。
7. 进入用户模式： 配置完成后，SDM 释放 FPGA 的复位信号，FPGA 进入用户模式开始运行。