EtherCAT 主站 DC PDO 节拍发生器DC 预测器、重锚控制器与周期平滑切换的硬核设计写给正在手搓 EtherCAT 主站的 FPGA 工程师。全文基于一个真实模块的七轮代码迭代所有故障推演都带具体数字不讲故事。0. 先立规矩商业主站从来不补发过期帧在讨论节拍发生器之前必须先钉死一件事情否则后面所有设计都会长歪。过程数据PDO代表的是当前时刻的 IO / 轴状态。第 N 周期的帧在第 N1 周期才发出去业务上没有意义反而带来相位抖动。所以通道是否重传机制周期 PDO永不重传下一周期天然携带最新状态丢一帧 丢一拍邮箱 / CoE SDO有界重传mailbox counter 配对 超时 有限次重试FoE有界重传包号 ACK 窗口EoE交给 TCP—PDO 的重传就是周期本身。因此节拍发生器的核心职责不是保证每一帧都发出去而是按栅格产生发帧请求相位稳定丢弃过期帧而不是补发新鲜度优先任何异常都必须可观测现场没有逻辑分析仪。这三条决定了后面每一个设计取舍。1. 时间基准64-bit 无符号回绕的正确姿势1.1 一个让整个状态机跑不起来的经典错误模块需要比较当前 DC 时间和下次发帧目标时间。目标时间绝大多数情况下在未来wire [63:0] time_delta dc_sys_time_ns - sync_target_time_ns; wire lag_over_one_period (time_delta effective_period);看起来人畜无害还贴心地用了 64 bit 防溢出。但注意dc - target在target处于未来时无符号减法直接回绕dc D, target D 2ms time_delta 2^64 - 2e6 ≈ 1.8446744e19 ns 1.8446744e19 2e6 → 恒为真后果链等待期里lag_over_one_period恒为 1sync_target_time_ns以每 25 ns 前进 2 ms 的速度狂奔约 80000 倍实时miss_sync_cnt以 40 MHz 速率累加6.4 µs 后饱和到 255正常发帧分支永远进不去frame_req此后再不拉高。结论无符号回绕只能用于求差值不能用于判大小。1.2 正解先判方向再算差值最干净的写法是把差值当有符号数看wire signed [63:0] time_delta_s $signed(dc_sys_time_ns - sync_target_time_ns); wire lag_over_one_period (time_delta_s $signed(effective_period));target在未来时差值为负 → 条件为假 → 正常等待dc越过target后差值为正 → 才是真正的滞后。成立前提真实滞后量 2⁶³ ns ≈ 292 年。这个前提在工程上永远成立但要写进注释。另一个等价写法是先判target_reached (dc target)再在无符号差值上比较。两者都行千万不要混用先判方向再用无符号差或者不判方向直接用有符号差选一个贯彻到底。2. DC 预测器把刷新率从设计约束里彻底删掉2.1 问题起源per-cycle delta 阈值是个陷阱早期版本这样检测 DC 异常wire [63:0] dc_delta dc_sys_time_ns - dc_sys_time_prev; wire dc_advancing (dc_delta DC_DELTA_MAX_NS) (dc_delta ! 0); wire dc_stalled (dc_stall_cnt DC_STALL_THRESH_CYCLES);当DC_DELTA_MAX_NS 1000、DC_STALL_THRESH_CYCLES 100时它隐含了一个从未写进文档的假设DC 必须每 25 ns 更新一次步长约 25 ns。现实是dc_sys_time_ns往往来自 ESC 寄存器经 SPI / PDI 读取。若刷新间隔是 10 µs变化那一拍delta 10000 1000 → 误判为正向跳变中间 399 拍dc_changed 0→no_change_cnt涨到 100 → 误判冻结 → 退回 WARMUPWARMUP 跑满 255 帧0.5 s再进 SYNC → 2.5 µs 后又被踢回。结果DC 完全健康但模块在 SYNC ↔ WARMUP 之间永久弹跳sync_lock永远是 0网络永远起不来。2.2 预测器模型正确做法是用本地时钟预测 DC与刷新率彻底解耦// 每拍推进本地预测 dc_predicted dc_predicted CLK_PERIOD_NS; if (dc_changed) begin if (dc_in_tol) begin dc_predicted dc_sys_time_ns; // 容差内重同步消除累积漂移 end else if (can_reanchor) begin dc_predicted dc_sys_time_ns; // 超容差重锚强制重同步 ... end dc_no_change_cnt 22d0; end else begin dc_no_change_cnt dc_no_change_cnt 1b1; // 冻结计数与幅值无关 end要点预测器每拍 25 ns代表我认为 DC 现在应该是多少DC 刷新时比对而不是每拍比对 → 刷新间隔 25 ns / 10 µs / 1 ms / 40 ms 都无所谓冻结检测只看有没有变化不看变化幅度 → 阈值只需大于最大刷新间隔40 ms 足够宽松容差只需覆盖单次刷新间隔内的晶振漂移那是 ns 级而不是 µs 级。2.3 容差设计三层钳位wire [63:0] dc_tol_raw (period_ns 2) DC_TOLERANCE_MAX_NS ? {32b0, period_ns 2} : DC_TOLERANCE_MAX_NS; // 上限 1ms wire [63:0] dc_tolerance (dc_tol_raw DC_TOLERANCE_MIN_NS) ? dc_tol_raw : DC_TOLERANCE_MIN_NS; // 下限 50us wire signed [63:0] dc_pred_err $signed(dc_sys_time_ns - dc_predicted); wire dc_in_tol (dc_pred_err $signed(dc_tolerance)) (dc_pred_err -$signed(dc_tolerance));三层含义层表达作用比例period/4周期自适应长周期容忍大偏差上限 1 ms防长周期过松4 s 周期不会容忍秒级偏差下限 50 µs防短周期过紧50 µs 周期下SPI 读取抖动 ±20 µs 不会误判不连续下限这一层是最容易漏的。没有它50 µs 周期的容差只有 12.5 µs而 SPI 读一次 ESC 寄存器的抖动轻易超过它 → 疯狂误判。2.4 核心陷阱预测器污染有状态模块的通病这是整个模块最隐蔽的一个坑。预测器一旦被污染会产生一个永久偏差再也收敛不回来。错误写法只在容差内重同步if (dc_changed dc_in_tol) dc_predicted dc_sys_time_ns; // 超容差时永远不重同步推演DC 发生一次 1 ms 跳变容差 500 µs。时刻事件结果T0DC 跳 1 ms →dc_disc重锚target推到未来一个周期预测器未对齐遗留 1 ms 偏差T025 nsDC 变化err 1ms 500µsdc_disc再次成立冷却中忽略T025 µs冷却结束再次重锚target又被推到未来一个周期…每 25 µs 循环target永远领先 dc 约 2 msdc target永不成立T0200 µs重锚计数达 8dc_jump_alarm锁存最终状态frame_req → 永不拉高PDO 永久中断 miss_sync_cnt → 0从不进追赶分支 sync_alarm → 0证据被抹 sync_lock → 1 dc_jump_alarm → 1但清除条件依赖 cnt0ack 也清不掉 → 只能复位根因有状态模块必须设计失效重同步路径不能只在看起来正常时才收敛。修复只有三行但必须覆盖所有不连续出口// ① 重锚分支 else if (dc_disc can_reanchor) begin dc_predicted dc_sys_time_ns; // ★ 强制重同步 ... end // ② 进入 SYNC 时覆盖冻结恢复路径 state_reg ST_SYNC; dc_predicted dc_sys_time_ns; // ★ // ③ 冻结恢复后第一次 DC 变化无条件重同步 if (dc_changed (dc_in_tol || dc_pred_invalid)) begin dc_predicted dc_sys_time_ns; // ★ dc_pred_invalid 1b0; end只补①不够——冻结恢复不经过重锚分支必须同时补②。3. 重锚控制器重锚不是万能药3.1 一次性重锚 vs 逐拍追赶早期版本的追赶逻辑else if (lag_over_one_period) begin sync_target_time_ns sync_target_time_ns effective_period; // 每拍推进一步 miss_sync_cnt miss_sync_cnt 1b1; end追赶步数 delta / P每步一个时钟周期场景步数恢复时间判定阻塞 10 msP2 ms5125 ns✅DC 前跳 1 s50012.5 µs✅DC 前跳 1e18 ns≈31 年5×10¹¹3.47 小时❌追赶期间还有两个副作用miss_sync_cnt在6.4 µs 内饱和到 255诊断精度全丢、frame_dropped以 40 MHz 连续脉冲 5×10¹¹ 拍下游边沿计数完全失真。正解stale 就一次性重锚绝不逐拍追赶。wire [63:0] tx_deadline next_tx_target_ns tx_budget; wire frame_stale (dc_sys_time_ns tx_deadline); if (frame_stale) begin frame_dropped 1b1; next_tx_target_ns dc_sys_time_ns {32b0, period_ns} - {32b0, TX_OFFSET_NS}; // 一次到位 miss_sync_cnt_reg miss_sync_cnt_reg 1b1; end一步到位栅格相位重新锚定在dc P - TX_OFFSET。追赶步数从百万级降到 1 步顺带把 miss 饱和和 pulse 密度问题一并解决。3.2 冷却节流防止重锚饿死发帧重锚把target推到未来一个周期。如果 DC 持续抖动每隔几拍跳一次抖动 → 重锚 → target 推到未来 → 还没等到 → 又抖动 → 又重锚 → … → 永远不发帧必须加冷却parameter DC_REANCHOR_CD 16d1000; // 25 µs 40MHz wire can_reanchor (dc_reanchor_cd 16d0); // 重锚时 dc_reanchor_cd DC_REANCHOR_CD; // 每拍递减 if (dc_reanchor_cd ! 0) dc_reanchor_cd dc_reanchor_cd - 1b1;冷却期内即使检测到不连续也不重锚让target有机会被追上并发帧由 stale 分支兜底。3.3 滑动窗口 vs 生命期累计一个致命的设计差异下面这个写法看起来很合理dc_reanchor_cnt_reg dc_reanchor_cnt_reg 1b1; // 只在复位时清零 if ((dc_reanchor_cnt_reg 1b1) DC_REANCHOR_ALARM_THRESH) dc_jump_alarm 1b1;问题dc_reanchor_cnt是生命周期累计永不复位。一旦累计到 8此后任何一次DC 不连续哪怕是一次正常的漂移校正、一次热连接后 DC 重建都立刻dc_jump_alarm 1而dc_jump_alarm是失锁条件 →立刻退回 WARMUP运行一段时间后一次轻微 DC 抖动就掀掉整条同步链路且每次都会。正解滑动窗口计数 成功锁定清零。reg [7:0] reanchor_win_cnt; reg [23:0] reanchor_win_timer; // 窗口 0.25 s if (reanchor_win_timer ! 0) reanchor_win_timer reanchor_win_timer - 1b1; else reanchor_win_cnt 8d0; // 重锚时 reanchor_win_cnt reanchor_win_cnt 1b1; reanchor_win_timer REANCHOR_WIN_CYC; if (reanchor_win_cnt 1b1 DC_REANCHOR_ALARM_THRESH) dc_jump_alarm 1b1; // 0.25s 内跳了 8 次 DC 真的不稳 // 连续成功锁定 / alarm_ack → 清零 if (alarm_ack || (ok_streak_reg OK_RESET_THRESH)) begin reanchor_win_cnt 8d0; end语义从历史上共跳了几次变成最近 0.25 s 内跳了几次——这才是DC 不稳的正确定义。3.4 重锚绝不能清零 miss证据保全else if (dc_disc can_reanchor) begin miss_sync_cnt 8d0; // 把已累计的丢帧证据抹平 end一次 500 ms 的链路中断若期间伴随一次 DC 跳变miss被清零 →sync_alarm永不置位。重锚是恢复动作不是免责动作。唯一有权清零miss_sync_cnt的是成功发出一帧且收到 ACK。这条可以用断言钉死assert_never_clear_miss_on_reanchor: assert property ((posedge clk) disable iff (~rst_n) (dc_disc can_reanchor) | (miss_sync_cnt $past(miss_sync_cnt)));3.5 告警必须锁存单拍脉冲等于没有dc_jump_alarm 1b1; // 顶部默认清零 → 实际是 25 ns 单拍脉冲上位机 1 ms 轮询一次的漏看概率1 - 25ns / 1ms 99.9975%sync_alarm/dc_stall_alarm/tx_fatal都是锁存式需alarm_ack清除唯独最关键的重锚事件做成单拍——这是明显的遗漏。if (reanchor_win_cnt DC_REANCHOR_ALARM_THRESH) dc_jump_alarm 1b1; else if (alarm_ack) dc_jump_alarm 1b0; // 锁存 软件确认清除4. 周期平滑切换一个看起来很简单的状态机陷阱4.1 三版演进V1pending 缓存有陈旧值 bugif (period_cfg_valid (loop_period_ns ! curr_loop_period_ns) !period_update_pend) begin new_loop_period_ns loop_period_ns; period_update_pend 1b1; end故障场景当前 P2mspending 已置起、new4ms 用户在发帧前把 loop_period_ns 改回 2ms 捕获条件 (loop_period_ns ! curr_loop_period_ns) 为假 → new_loop_period_ns 不更新但 period_update_pend 仍为 1 发帧沿curr_loop_period_ns new_loop_period_ns → 生效成 4ms错误周期 下一周期才重新捕获回 2ms同时 pending 期间的第二次修改被直接丢弃滞后一个周期。V2无条件跟随 取消 on-revertif (period_cfg_valid) begin period_track period_cfg_ns; // 每拍无条件跟随杜绝陈旧值 if (period_cfg_ns ! period_track) period_update_pend 1b1; end else if (period_in_window (period_cfg_ns period_track)) begin period_update_pend 1b0; // 输入回退 → 取消挂起 period_in_window 1b0; endV3发帧沿一次性提交// 只在真正发出这一帧的时刻提交新周期保证 target 推进与发帧同拍 if (period_update_pend) begin period_ns period_track; period_update_pend 1b0; end next_tx_target_ns next_tx_target_ns {32b0, period_ns};三条规则采样无条件杜绝陈旧值回退即取消杜绝错误周期瞬时生效提交在发帧沿杜绝相位跳变。4.2 周期校验别信外部给的period_cfg_valid把校验完全交给外部输入是个坑input wire period_cfg_valid; // 外部说有效就有效内部必须自己兜底尤其是下溢wire cfg_valid period_cfg_valid (period_cfg_ns MIN_LOOP_PERIOD_NS) // 50 µs (period_cfg_ns MAX_LOOP_PERIOD_NS); // 4 s // TX_OFFSET 下溢保护period TX_OFFSET 时 target 会落到过去 wire [63:0] period_minus_offset ({32b0, period_ns} {32b0, TX_OFFSET_NS}) ? ({32b0, period_ns} - {32b0, TX_OFFSET_NS}) : {32b0, period_ns};若period_ns TX_OFFSET_NStarget dc P - TX_OFFSET dc - 5000落在过去 frame_stale (dc target tx_budget) 恒真 → 每拍丢弃、每拍重锚回过去 → 永不发帧4.3 位宽21 bit 是配不进 4 ms 的input [20:0] loop_period_ns; // 上限 2,097,151 ns ≈ 2.097 ms配 4 ms / 8 ms / 16 ms 时输入直接被截低 21 位4 ms → 约 1.9 ms没有任何报错周期悄悄变错。周期和计时器统一 32 bit计时器用 33 bit 容纳周期值 增量余量。5. 过期帧丢弃tx_budget 决定你会不会打出背靠背双帧5.1 只用周期做判据会怎样如果允许迟到近一个整周期才判过期T0 到点busy 拉住直到 dc T0 1.999ms 才释放 → 发出一帧相位迟到 1.999 ms纯过期帧 → target P → T0 2ms → 下一窗口 1 µs 后到达 → 背靠背第二帧间隔 ≈ 1 µs丢一拍只损失一拍背靠背双帧 下一周期压缩到微秒级抖动远大于丢拍。5.2 双层钳位的 tx_budgetwire [63:0] tx_budget (({32b0, period_ns} TX_BUDGET_SHIFT) TX_BUDGET_MAX_NS) ? ({32b0, period_ns} TX_BUDGET_SHIFT) : TX_BUDGET_MAX_NS; // 上限 100 µs wire [63:0] tx_deadline next_tx_target_ns tx_budget; wire frame_stale (dc_sys_time_ns tx_deadline);比例层period 2短周期下给足余量上限层 100 µs长周期下不放大新鲜度阈值4 s 周期若用 25%容忍 1 s 迟发等于没有判据。注意语义tx_budget在这里实际是**“允许迟发多久”**late tolerance不是一帧传输要多久。命名别误导自己。6. 诊断工业现场没有逻辑分析仪6.1 8-bit 计数器的回绕陷阱必现故障ok_streak_reg ok_streak_reg 1b1; // 无饱和255 → 0 frame_valid sync_lock (ok_streak_reg LOCK_OK_THRESH) ...;周期 2 ms 下连续成功 256 帧 0.512 s后回绕到 0frame_valid每隔半秒掉低一次 → 下游每 0.5 s 被告知本帧 PDO 不可信alarm_ack (ok_streak ALARM_CLEAR_THRESH)在回绕后的 8 帧内失效 → 告警窗口周期性关闭SVA 断言在回绕期误报。所有计数器都必须饱和不要回绕ok_streak_reg (ok_streak_reg ! 8hFF) ? ok_streak_reg 1b1 : ok_streak_reg; miss_sync_cnt_reg (miss_sync_cnt_reg ! 8hFF) ? miss_sync_cnt_reg 1b1 : miss_sync_cnt_reg; dc_no_change_cnt (dc_no_change_cnt ! 22h3FFFFF) ? dc_no_change_cnt 1b1 : dc_no_change_cnt;6.2 sync_lock 必须能自动摘锁sync_lock只表示状态机在 ST_SYNC是不够的。持续丢帧miss饱和、sync_alarm1期间它仍为 1下游无法区分锁定和已失步。sync_lock (state_reg ST_SYNC) (miss_sync_cnt MAX_CONT_MISS) ~tx_fatal;放在 always 块末尾用后赋值覆盖前面的sync_lock 1b1可避免状态切换那一拍的毛刺。6.3 告警滞回一次成功不能清告警// ALARM_CLEAR_THRESH 0一次成功发帧即 miss0ack 一到就清除 if (miss_sync_cnt MAX_CONT_MISS) sync_alarm 1b1; else if (alarm_ack (miss_sync_cnt 8d0)) sync_alarm 1b0; // 要求连续 N 拍正常 else if (alarm_ack (ok_streak ALARM_CLEAR_THRESH)) sync_alarm 1b0; // N8 ~ 1006.4 frame_valid给下游一个这帧能不能信frame_valid sync_lock (ok_streak_reg LOCK_OK_THRESH) !sync_alarm !dc_jump_alarm;下游PDO 组装 / 运动控制用这个标志决定本拍输入是 freezing 上一拍还是真的采样值。没有这个信号丢帧在应用层是不可见的。6.5 发送通路看门狗ACK 丢失不能无限等if (tx_inflight) begin if (frame_tx_done_ack) begin tx_inflight 1b0; tx_retry_cnt 4d0; end else if (frame_tx_tout_cnt FRAME_TX_TIMEOUT_CYCLES) begin frame_tx_timeout 1b1; tx_inflight 1b0; if (tx_retry_cnt TX_RETRY_LIMIT) begin tx_fatal 1b1; tx_fatal_cooldown TX_FATAL_COOLDOWN_CYCLES; // 20 ms 冷却防震荡 end else tx_retry_cnt tx_retry_cnt 1b1; end else frame_tx_tout_cnt frame_tx_tout_cnt 1b1; end三个细节超时必须强制释放tx_inflight否则 ack 一丢就永久挂死冷却期必须在看门狗处而非 WARMUP 分支设置否则在 SYNC 态触发的tx_fatal永远清不掉tx_fatal必须真的阻断发帧回门frame_req否则只是个哑锁存。7. 一图流完整优先级链ST_SYNC 每拍判定顺序顺序错误会导致路径不可达 1. tx_fatal → 退回 WARMUP 2. DC 冻结 (dc_frozen) → 退回 WARMUP dc_stall_alarm 3. 配置失效 (!cfg_valid) → 退回 WARMUP 4. 重锚: dc_disc can_reanchor → target dc P - TX_OFFSET一次性 → dc_predicted 强制重同步 → 冷却启动 窗口计数 → miss 保留证据保全 5. 过期 stale → frame_dropped 一次性重锚 miss 6. 到点 !busy !tx_fatal → frame_req target P miss0 ok_streak 7. 隐式 else → 等待不推进不发帧顺序 4 必须在 6 之前——否则重锚分支永远被正常发帧抢先退化成死代码这个 bug 在早期版本真实存在且注释还写着已修复。8. 验证清单能直接抓 bug 的断言// ① 核心锁定 配置有效 通路正常 → 必须在限定拍内再次发帧 // 直接抓sync_lock1 但永久不发帧的假活状态 assert property ((posedge clk) disable iff (~rst_n) (sync_lock cfg_valid !tx_fatal !tx_inflight) |- ##[1:200000] frame_req); // ② 过期帧永不被发出 assert property ((posedge clk) disable iff (~rst_n) frame_req |- !frame_stale); // ③ tx_fatal 时绝不发帧 assert property ((posedge clk) disable iff (~rst_n) tx_fatal |- !frame_req); // ④ 重锚不清 miss assert property ((posedge clk) disable iff (~rst_n) (dc_disc can_reanchor) | (miss_sync_cnt $past(miss_sync_cnt))); // ⑤ 告警清除必须满足滞回 assert property ((posedge clk) disable iff (~rst_n) (alarm_ack $fell(sync_alarm)) |- (ok_streak ALARM_CLEAR_THRESH)); // ⑥ 序号恒在约定区间 assert property ((posedge clk) disable iff (~rst_n) (frame_seq_id SEQ_ID_MIN) (frame_seq_id SEQ_ID_MAX));必须跑的 8 项场景#场景通过判据1长稳 ≥1000 帧frame_valid无不定期掉低抓计数器回绕2DC 跳 1ms / −1ms / 1s / 复位到 0每种都必须在 ≤2 周期内恢复发帧且重锚计数回到 03DC 冻结 50 ms 后恢复能重新进 SYNC 并发帧抓预测器污染4DC 刷新率 25ns / 10µs / 1ms / 40ms均不误判、不弹跳5DC 读取抖动 ±10µs / ±50µs短周期50 µs下不误触发重锚6累计 8 次重锚后再轻微抖动不应再掀掉 SYNC抓生命期累计7period 0 / 1µs / TX_OFFSET / 4s均被拒绝或安全降级不得永久丢弃8ACK 永不回来100 µs 后frame_tx_timeoutbusy 释放模块继续发帧9. 血的教训清单按踩坑代价排序每一条都是真实推演出来的无符号回绕判大小→ 状态机整个跑不起来80000 倍速狂奔。预测器只在容差内重同步→ 污染后永久不发帧且告警全 0、lock1假活。逐拍target P追赶→ DC 前跳 1e18 ns 时中断 3.47 小时。生命期累计的重锚计数→ 8 次后每次 DC 抖动都掀掉同步。8-bit 计数器无饱和→frame_valid每 0.512 s 失效一次必现。单拍告警脉冲→ 上位机漏看率 99.9975%。period TX_OFFSET无下溢保护→ target 落回过去永久丢弃。pending 缓存周期值→ 提交陈旧周期瞬时相位错误。21-bit 周期位宽→ 4 ms 静默截断成 1.9 ms。frame_busy只声明不 assign→ 输出悬空 Z下游仲裁全乱。x 8hFF归约与→ 恒假序号跑出约定区间Lint 可直接抓。~period_cfg_valid多写一个取反→ SYNC 态永远不发帧。最后一句这个模块的全部难点不在怎么发帧而在什么时候坚决不发、并且让人知道。把丢弃路径、重锚路径、告警路径设计扎实发帧路径自然就对了。如果这篇对你有帮助欢迎点赞收藏。如有问题欢迎评论区交流。