第1章 CDC基础与跨时钟域设计挑战

现代SoC设计中，时钟域数量动辄数十个，跨时钟域几乎不可回避。信号的每一次“跨境”都意味着亚稳态风险、采样不一致风险以及系统级功能异常风险。CDC验证的核心目标，正是用结构化的方法——尤其是形式化验证——证明所有跨时钟路径的行为具备确定性和安全性。

1.1 问题背景：为什么CDC验证是必选项

处理器、总线、DDR、外设IP、AI加速器各自工作在不同频率与相位，跨时钟域传输不可避免。传统仿真无法穷举所有时钟相位组合与数据变化窗口，CDC结构缺陷往往到流片后才在真实硅片上暴露——轻则功能异常，重则整片报废。

工程统计表明，CDC相关缺陷占数字芯片RTL bug的比例可达 15%～30%，且缺陷越晚发现修复成本指数上升。

1.2 核心概念与知识框架

构建跨时钟域验证能力，首先需要统一概念地图。下表给出五个核心术语的工程定义。

本节知识框架如图所示，五个关键方向共同支撑CDC形式化验证体系。

1.3 原理机制：亚稳态与同步器

亚稳态是CDC一切问题的根源。当数据在触发器的 setup/hold 窗口内变化时，输出会进入非0非1的不确定电压区间，且首次稳定所需时间不可预测，甚至可能振荡。

MTBF 是量化亚稳态风险的核心指标：

MTBF = T0 · exp(tr / τ)

T0 —— 器件时序特性常数
tr —— 允许的额外稳定时间
τ  —— 亚稳态分辨时间常数

工程中广泛使用两级同步器降低亚稳态传播概率：

module sync_2ff (
    input  wire clk,
    input  wire rst_n,
    input  wire d_in,
    output reg  q_out
);
    reg q1;
    always @(posedge clk or negedge rst_n) begin
        if (!rst_n) begin
            q1   <= 1'b0;
            q_out <= 1'b0;
        end else begin
            q1   <= d_in;
            q_out <= q1;
        end
    end
endmodule

两级触发器给亚稳态留出“额外一个周期”来收敛，从概率上将失败风险压到极低。但需要注意：同步器并不能保证“值正确”，也不能处理短脉冲与多位数据。

1.4 CDC验证流程步骤

1. 设计信息收集：提取时钟域清单、复位策略、时钟关系矩阵。
2. 结构检查：自动识别所有CDC路径与同步器配置，标记未保护路径。
3. 静态规则检查：按约束规则评估CDC风格是否符合规范，输出告警与严重级别。
4. 形式化验证：对选定的关键属性和断言进行穷举证明，覆盖仿真无法触达的时钟相位组合。
5. 约束固化与报告：将验证结果以可审查文档形式输出，支撑流片签核。

1.5 案例说明：单脉冲跨时钟域丢脉冲

场景设定：clk_a 域产生一个周期宽的高脉冲 pulse_a，通过两级同步器直接送入 clk_b 域。

// clk_a 域产生单周期脉冲 pulse_a
// 错误做法：直接把脉冲送入两级同步器
wire pulse_a;
reg pulse_b_int;
always @(posedge clk_b or negedge rst_n) begin
    if (!rst_n) pulse_b_int <= 1'b0;
    else pulse_b_int <= pulse_a;
end
assign pulse_b = pulse_b_int;

当 pulse_a 宽度小于 clk_b 周期，或采样沿偏移时，两级同步器可能在采样前就已错过脉冲，导致 clk_b 域永远看不到该事件。

1.6 知识表格：CDC同步方法对比

1.7 常见误区提醒