MIPS千兆网闸系统实现及其信号完整性设计

摘　要: 本文描述了网闸技术原理和实际采用的技术路线,提供了一套千兆网闸的架构设计方案及其隔离设备的设计方法. 给出了基于仿真分析的印刷线路板( PCB) 信号完整性设计方法,通过对重要时钟信号网络两次布线前的仿真分析,调整了时钟芯片及其他接收芯片的布局,保证了整个系统的强壮性. 而且系统的精确度和稳定性得到了改善,并以其优良的性能使之成为新一代网络安全控制模块有价值的候选者.

关键词: 千兆网;网闸技术;信号完整性

随着互联网的快速发展,网络安全的问题日益突出. 目前采用的网络安全措施一般是防火墙类软件,但该类软件本身也存在着先天缺陷. 因为防火墙隔离的网络是基于TCP/IP协议进行信息交换的,而TCP/IP本身也存在漏洞. 同时,防火墙的运行离不开操作系统,操作系统也可能存在未知的漏洞. 而采用网络隔离技术的网闸,能有效阻断已知和未知的攻击,防范安全漏洞,隔离可信网络和不可信网络并能保持数据的高效交换,从而提供更好的安全保护,这是网络安全技术的发展方向.MIPS CPU作为RISC CPU体系结构的一种,无论是在高端的服务器还是在低端的嵌入式系统中都得到了广泛的应用. 目前为应对网络速度的要求、服务器的瓶颈、应用方式的变化,都在促使网络向千兆带宽方向发展. MIPS千兆网闸系统的开发,对于网络安全具有重要意义. 千兆网闸系统的PCB上有许多高速器件,时钟速度和信号上升时间很快. PCB本身尺寸也在逐渐缩小,导致PCB密度增加. 元器件和PCB的参数、损耗的影响、电源分配、元器件在PCB上的布局、高速信号的布线等因素,都会引起信号完整性( Signal Integrity ,简称SI) 问题,导致系统工作不稳定,甚至完全不工作,因此高速设计本身已成为设计过程的重要部分. 在千兆网闸的系统设计完成后,必须考虑其信号完整性的设计问题.

1 　设计指导原则

1.1 　网闸技术
网络隔离的思路在于: 中断直接连接、剥离协议并还原成原始数据、对数据进行检查和扫描,防止恶意代码和病毒,使之不依赖于操作系统. 网络隔离技术具有最高的安全性,因此成为安全市场的黑马,而基于网络隔离技术的产品—网闸则逐渐成为主流. 网闸在OSI 7层模型上全面进行隔离. 采用三模块结构:两个主机子系统、控制电路和存储介质组成的隔离设备. 两个独立主机子系统分别联接安全与非安全网络,保证了在存储介质与安全网络联通时,断开与非安全网络的联接;在与非安全网络联通时,断开与安全网络的联接,并通过数据摆渡实现安全的数据交换. 网闸从物理层进行网络隔离,消除了数据链路的通信协议,剥离了TCP/IP协议和应用协议,在安全交换后再进行协议的恢复和重建.

文中的网闸系统采用了动态开关技术—基于内存总线的设计. FPGA作为独立控制电路,存储介质为双端口静态存储器(Dual Port SRAM ,以下简称DPRAM) . DPRAM每一个端口的接口部分分别与外部、内部主机的内存系统相连,以实现在外部、内部主机两个端口上的开关,两个开关不能同时闭合. 其技术原理见图1.

图1 基于内存总线网闸原理

1. 2 　信号完整性
信号完整性指信号在电路中能以正确的时序和电压作出响应的能力. 当信号能以要求的时序、持续时间和电压幅度到达集成电路芯片接收端时,则称该电路具有较好的信号完整性,反之就存在信号完整性问题. 该问题带来的延迟、信号畸变已成为制约高速系统性能的瓶颈.

从物理到电气规则映射千兆网闸系统设计的理念是一种包含芯片、封装、板级和系统4 个层面的设计方法,而基于仿真分析策略的信号完整性设计可很好地贯彻这一设计理念. 在满足电气规则的指导思想下,利用先进EDA 工具布局、布线,通过对重要信号的仿真分析,可及时发现电路板上存在的问题,并加以解决.

2 　设计方案

2. 1 　网闸系统设计
2. 1. 1 　内外网接口的实现　
网闸系统的内外网接口单元采用相同的结构,其硬件核心系统设计框图见图2.

图2 系统核心设计框
　　
考虑到X86架构的安全问题,采用了完全不同于英特尔X86架构的MIPS CPU. 由于整个系统的数据交换速度达到千兆,必须要求所选择的处理器具有很高的处理性能. 据此选择了PMC-Sierra公司的RM 7065C 处理器. 它是具有指令预取功能的双发射对称超标量64 位处理器, 主频600MHz ,64 位SysAD总线工作频率为100MHz.GT64240是MARVELL公司的北桥芯片,该芯片拥有两个32/64 位PCI接口,3个百兆网口,内建有DMA 控制器和PCI仲裁器. 其内部使用的Crossbar技术能提供高达100Gbps的数据吞吐量,同时允许CPU、PCI、LAN、WAN和Memory间数据的DMA 无阻塞传输. Intel 82544GC千兆以太网芯片连接到北桥的PCI 0端口,数据传输采用DMA方式. 82371AB 是Intel南桥芯片,与北桥的PCI1端口相连,为系统提供IDE 接口,同时通过ISA总线连接I/O芯片,再凭借I/O芯片为系统提供PS/2鼠标键盘接口. SDRAM为系统内存,采用标准168脚SDRAM插槽, 工作时钟频率133MHz, 256 Mbit . EEPROM使用29C040 存放BIOS ,大小为4Mbit .

2. 1. 2 　隔离设备的实现　
隔离设备由存储介质和FPGA控制芯片构成. 选用的FPGA是Xilinx公司的XC2V40,存储介质采用IDT公司的70V3579S 。它是32K×36bit 双端口高速同步的SRAM ,它的两个端口分别拥有独立的控制线、数据线和地址线,允许两端同时进行读写操作,最高工作频率为133MHz.

设计中采用两片70V3579S ,使得数据存储区域和SDRAM 位宽相同. MIPS体系架构中,空间地址统一编址. 北桥负责完成地址映射, 北桥的SDRAM控制器的SCS[3:0]片选端对应一定的地址段. 当CPU访问内存即这些地址段时,就会使相应的SDRAM的片选信号. 使用L/R_SCS3选中FPGA,从而使整个隔离设备开始工作, 把双口SRAM当成SDRAM的一部分,当CPU访问到相应地址时就能对双口SRAM 进行操作,从而完成数据摆渡的工作.

把两片双口SRAM 中资源以地址形式分成了高低两部分. 考虑到CPU对cache每次存取数据的大小是2KB,为了取得较好的cache命中率,相应地把双口SRAM资源分成2KB大小的段. 因为两片双口SRAM 共有256 KB 容量,总共128 段,并划分成高64段和低64段. 再把高64段作为左端北桥写入部分和右端北桥读出部分; 把低64段作为右端北桥写入部分和左端北桥读出部分. FPGA发出高7 位地址L/R_SEG_AD[14:8] 作为双口SRAM的段地址(选中128段中的某一段) ,与北桥发出的14位地址L/R_ADD[13:0]中的低8 位地址L/R_ADD[7:0] (作为段内地址,选中某一段中的某8B)组成15位的完整地址,访问双口SRAM.

2. 2 　信号完整性仿真设计
原设计方式是当PCB设计完成后,不经过SI仿真分析就直接投板生产, 随即在板上焊接芯片和其他元器件后通过调试的手段发现问题. 随着系统工作频率的增高和功能更趋复杂,需要通过板级仿真进行信号完整性分析,用以发现电路板上存在的问题. 基于SI仿真分析的PCB设计流程见图3.

图3 基于SI模型仿真分析的PCB设计流程

在实际设计中, 运用Cadence公司的Specct raQuest (以下简称SQ) . SQ是一个功能强大并全面支持IBIS模型的仿真工具,它提供图形化的拓扑结构显示(即在Sigxplorer中显示,再调入SigWave显示仿真结果的波形) ,可进行完整的有损传输线SI分析:释放鼠线提取布线前或布线后的互连参数,从而控制驱动能力、阻抗匹配、防止串扰和反射等设计. 由于网闸主板中信号数量非常多,对全部信号进行SI分析是不现实的,也是完全没有必要的. 这里采取了重点分析的策略,选取的重要信号是左边外部子系统的共用信号L_SD_DP_CLK,它是北桥、两片双口SRAM ———IDT公司的70V3579S(采用位扩展方式将32位数据扩展成64位以符合SDRAM读写方式) 以及FPGA三者的共同时钟信号,对它进行仿真分析. 仿真结果见图4.

图4 L_SD_DP_CLK信号网络布线前仿真( 第1次)
　
较粗的一根线是主时钟芯片发出的数据信号L_SD_DP_CL K, 另外4根较细的线分别是北桥、FPGA、两片双口SRAM(每片各需要一个) 的接收信号波形. 无论是输入信号,还是输出信号,波形出现了严重的失真:在高电平和低电平的维持阶段,信号很不平稳;在高电平处有明显的振铃效应,信号上升沿出现了非单调的情况,并且上升沿的切换时间很长;信号的下冲最大接近- 900 mV ,某些信号在下冲幅值较大时持续时间较长,可能会对接收端芯片造成损坏或影响.

分析仿真情况,发现离驱动芯片越远,越容易出现超过门限的负过冲,且持续时间更长,幅度更大. 同时一个驱动芯片有多个接收芯片,要使驱动芯片尽量处于多个接收芯片的中间位置,以保证信号完整性. 根据分析结果对布局进行调整,为主时钟驱动芯片腾出空间,相应地调整了其他接收芯片的相对位置,并注意调整了源端和负载端的端接电阻值. 然后对此信号网络进行了二次布线前的仿真,其仿真波形见图5.

图5 L_SD_DP_CLK信号网络布线前仿真( 第2次)
　
由图5可以看出,无论发送信号和接收信号时,第1 次出现的振铃、非单调上升沿、下冲、上升沿切换时间过长等现象都得到了改善,而且与输出信号波形相比,除了一个接收信号稍有差异外, 其余接收信号与发送信号的波形几乎吻合,说明时延很小,信号完整性得到了保证. 仿真结果提示,这种布局是可取的,其作为对新设计的探索性仿真,无疑是成功的.

3 　结　语

文中提出的一套MIPS千兆网闸的实现方案,为同样采用MIPS IV指令集的国产CPU龙芯2号的推广和应用提供了借鉴. 同时,提出的千兆系统PCB信号完整性设计方法,具有很强的实用性,不仅能有效提高产品的设计性能,而且可以大幅缩短产品开发周期,降低开发成本.