1. 从TCHES 2026这篇综述说起：IC逆向到底在逆什么
第一次看到"IC逆向综述"这个题目，很多人脑子里冒出来的画面可能是拿着显微镜一层层磨芯片、拍照片、拼版图。这个印象不算错，但只覆盖了整条链路的前半段。TCHES（IACR Transactions on Cryptographic Hardware and Embedded Systems）作为硬件安全领域的顶会级刊物，2026年这篇综述把"IC逆向"放到了一个更完整的框架里：它不只是把硅片变成图像，而是把一颗已经封装好的、功能未知的芯片，逐步还原成可理解、可分析、可复用的抽象层次——从物理版图，到门级网表（netlist），再到寄存器传输级（RTL），最后到行为级的功能描述。
这个链条里，netlist是承上启下的关键节点。往上看，它是版图提取（layout extraction）的产物；往下看，它是功能分析、漏洞挖掘、IP复用、甚至密码算法识别的起点。综述之所以值得单独拿出来讲，是因为它把过去十几年散落在各个子领域的方法做了系统梳理，并且明确指出了当前的技术瓶颈和未来方向。对于做硬件安全、芯片取证、IP合规审查、以及FPGA逆向工程的人来说，这是一份难得的路线图。
我自己在接触IC逆向相关工作时，最大的感受是：这个领域的信息不对称极其严重。工具链要么贵得离谱，要么散落在学术论文里没有工程化；流程要么依赖老师傅的手工经验，要么需要跨学科知识（半导体物理、图像处理、图论、机器学习）。这篇综述的价值就在于，它试图把这些碎片拼成一张完整的地图。下面我会结合综述的核心内容，加上我自己在实操中积累的理解，把IC逆向的完整链路拆开来讲。
2. 逆向链路的第一公里：从封装到版图图像
2.1 样品制备：为什么"磨芯片"是最容易被低估的环节
所有逆向工作的起点都是样品制备。芯片被封在塑料或陶瓷封装里，要看到内部的金属层和晶体管，必须逐层去除材料。常见的手段包括等离子体刻蚀、化学机械抛光、聚焦离子束（FIB）切片等。这一步听起来像是纯体力活，但实际上它决定了后续所有图像的质量上限。
我见过太多案例，图像拼接算法调了半天效果不好，最后发现根源是制备阶段某一层抛光不均匀，导致局部区域对比度完全丢失。制备的均匀性比分辨率更重要。综述里特别提到，对于先进工艺节点（比如FinFET及以下），金属层数量多、线宽极细，传统的光学显微成像已经接近衍射极限，必须依赖扫描电子显微镜（SEM）甚至透射电子显微镜（TEM）。但SEM的成像速度慢、视场小，大面积扫描的时间成本极高。
这里有一个实操中的权衡：用SEM拍高分辨率局部，用光学显微镜拍低分辨率全局，然后做多尺度配准。综述中提到的图像拼接（image stitching）方法，本质上就是解决这个多尺度融合问题。常见做法是先提取每张图的特征点（SIFT、ORB等），做粗配准，再用互信息或相位相关做精配准。但芯片图像有个特殊难点：金属线是高度周期性的结构，特征点匹配容易产生歧义。我的经验是，在配准阶段引入版图的全局约束（比如已知的电源网格走向、时钟树对称性），可以大幅降低误匹配率。
2.2 图像分割与层间对齐：netlist提取的前置条件
拿到拼接好的图像之后，下一步是把每一层的结构分割出来。金属层相对好处理，因为金属和介电质的对比度通常较高；晶体管层就麻烦得多，掺杂区、栅极、接触孔在SEM下的灰度差异很小，需要结合工艺知识做语义分割。
综述里花了不少篇幅讨论基于深度学习的图像分割方法。早期的方法靠阈值分割加形态学操作，对工艺变化和成像噪声非常敏感。现在主流做法是训练U-Net或其变体，用少量标注数据做迁移学习。但这里有个坑：训练数据和目标芯片的工艺差异会导致严重的域偏移（domain shift）。你在28nm工艺上训的模型，直接用到14nm芯片上，分割精度可能掉一半以上。综述建议的做法是结合无监督域适应（UDA）或者少样本微调，这个方向目前还在演进中。
层间对齐是另一个容易被忽视的环节。每一层图像是独立拍摄的，要把它们叠在一起形成三维结构，必须知道层与层之间的精确偏移。通常的做法是在芯片上找通孔（via）作为锚点，因为通孔贯穿多层，在每一层都有对应的图案。但先进工艺里通孔尺寸极小，有些甚至需要TEM才能看清。综述提到，利用设计规则中的层间最小间距和通孔阵列的周期性，可以在没有明确锚点的情况下做统计对齐，这是一个很实用的工程技巧。
3. 从版图到netlist：提取算法的核心逻辑
3.1 器件识别：晶体管不是"看"出来的，是"推"出来的
版图图像里，你看到的是一堆多边形和灰度区域。要把它变成netlist，第一步是识别器件。对于CMOS工艺，核心是识别栅极、源漏区和阱区。但图像本身并不直接告诉你"这是一个NMOS"，你需要结合工艺参数和几何关系来推断。
综述里把器件识别方法分成两类：基于规则的方法和基于学习的方法。基于规则的方法依赖设计规则检查（DRC）的逆过程——比如栅极多晶硅跨过有源区就是一个晶体管，源漏区的掺杂类型由阱的包围关系决定。这种方法可解释性强，但对工艺变化和成像缺陷很敏感。基于学习的方法则是把器件识别当成目标检测问题，用CNN直接回归晶体管的边界框和类型。后者的泛化能力更好，但需要大量标注数据，而芯片图像的标注成本极高。
我在实操中的一个体会是：混合方法最靠谱。先用基于规则的方法做粗筛，把明显不是器件的区域排除掉；再用学习模型做精细分类。这样既降低了标注需求，又保留了可解释性。综述里也提到了类似的思路，叫做"规则引导的神经网络"。
3.2 网表连接：图论问题，但图很大
器件识别完之后，下一步是确定它们之间的连接关系。金属线、通孔、接触孔构成了连接网络。从图像中提取这些连接，本质上是一个图构建问题：把每个器件端口当成节点，把金属走线当成边。
难点在于，金属线在图像里可能断裂（成像噪声、制备缺陷），也可能粘连（分辨率不足导致相邻线合并）。综述里讨论了几种处理策略：一种是基于形态学的修复，用膨胀腐蚀操作把断裂处连上、把粘连处分开；另一种是基于图优化的方法，把连接关系建模成最小割问题，用全局约束来纠正局部错误。
这里有一个非常实用的经验：电源和地网络的识别可以大幅简化问题。VDD和GND网络通常占据最大的金属面积，且连接关系最密集。先把这两张网络提取出来并从图中移除，剩下的信号网络规模会小很多，后续的图匹配和路径搜索效率会显著提升。综述里虽然没有明确强调这一点，但从它引用的几篇经典论文来看，这已经是业内的默认操作。
3.3 网表抽象：从晶体管级到门级
晶体管级netlist（SPICE网表）对于大规模芯片来说太细了，几千万个晶体管，人根本看不懂。所以下一步是门级抽象：把一组晶体管识别成标准单元（NAND、NOR、DFF等），把网表压缩到可理解的规模。
综述里把这一步叫做"门级网表提取"（gate-level netlist extraction）。核心方法是子图同构匹配：把标准单元的晶体管级结构做成模板，然后在晶体管级net表中搜索匹配。但子图同构是NP难问题，大规模网表上直接跑会爆炸。实际做法是先用启发式规则做分区，把网表切成小块，再在每块内做匹配。
另一个思路是基于功能签名的匹配。比如一个CMOS反相器的功能签名就是"输入高时输出低"，这个签名可以通过模拟或形式化方法计算出来。然后用签名去匹配未知子电路。这种方法对工艺变化更鲁棒，但计算成本更高。综述里提到，结合结构签名和功能签名可以在精度和速度之间取得较好的平衡。
4. FPGA在IC逆向中的角色：加速器还是目标？
4.1 FPGA作为逆向加速平台
IC逆向的计算量极大，尤其是图像处理和子图匹配阶段。综述里专门讨论了用FPGA做硬件加速的方案。比如图像分割中的卷积操作、网表匹配中的图遍历，都可以映射到FPGA上做流水线加速。
一个典型的例子是基于FPGA的连通域标记（connected component labeling）。在金属层图像中，需要把属于同一网络的像素标记出来，这是一个典型的并查集问题。CPU上跑几亿像素的图，可能要几分钟；FPGA上用流水线并查集，可以做到实时。综述引用的几篇工作中，FPGA加速比普遍在10倍到100倍之间，取决于算法和数据的并行度。
但FPGA加速也有代价：开发周期长、灵活性差。逆向流程中很多步骤需要反复调参，算法一变，硬件就要重新综合布线。所以我的建议是：只在最耗时的核心循环上用FPGA，外围逻辑用CPU。比如图像预处理和特征提取用CPU，子图匹配的内核用FPGA。这样既拿到了加速收益，又保留了流程的灵活性。
4.2 FPGA作为逆向目标：bitstream逆向的特殊性
综述的另一条主线是FPGA本身的逆向。FPGA的配置比特流（bitstream）是加密的，但学术界一直在研究如何从bitstream还原出设计意图。这和ASIC逆向有本质区别：ASIC逆向是从物理结构推功能，FPGA逆向是从配置数据推逻辑。
FPGA bitstream逆向的核心难点是比特流格式的私有性。每家厂商的bitstream格式都不公开，而且随器件系列变化。综述里提到的方法主要有两类：基于差分分析的方法和基于机器学习的方法。差分分析的做法是：用已知设计生成bitstream，对比不同设计之间的比特差异，推断每个比特的功能。机器学习的方法则是把bitstream当成序列数据，用神经网络学习比特到逻辑资源的映射。
这里有一个很有意思的交叉点：LLM在bitstream逆向中的潜在应用。bitstream本质上是一种结构化序列，和自然语言有相似之处——都有语法（格式规范）和语义（逻辑功能）。综述里提到，有初步工作尝试用Transformer模型学习bitstream的表示，然后做功能预测。虽然目前精度还不够工程化，但方向值得关注。
5. LLM介入IC逆向：哪些环节真的有用
5.1 网表理解与自然语言查询
LLM在IC逆向中最直接的应用是网表理解。传统上，分析一个未知网表需要工程师手动追踪信号路径、识别功能模块，非常耗时。LLM可以把网表转换成自然语言描述，比如"这个模块是一个8位加法器，输入是A和B，输出是S"。
但这里有个关键问题：网表是图结构，LLM是序列模型。直接把网表序列化喂给LLM，会丢失大量的结构信息。综述里讨论了几种解决方案：一种是用图神经网络（GNN）先做网表编码，再把嵌入向量投影到LLM的输入空间；另一种是用LLM做高层推理，底层图分析用传统算法。目前来看，混合架构更现实。
我在实验中发现，LLM在模块级功能推断上表现不错，但在门级细节上容易出错。比如给它一个32位乘法器的网表，它能识别出这是乘法器；但问它具体用的是Wallace树还是Booth编码，它经常猜错。所以LLM适合做"第一遍粗筛"，把大网表切成功能块，然后每个块用传统方法精细分析。
5.2 逆向流程的自动化编排
IC逆向是一个多步骤流程，每一步都有多个可选算法和参数。传统上，流程编排靠工程师的经验。LLM可以在这方面发挥作用：根据当前步骤的输出质量，动态推荐下一步的算法和参数。
比如图像分割阶段，如果LLM检测到分割结果的连通域数量异常多（说明过分割），它可以建议增大形态学操作的核尺寸，或者切换到基于学习的分割模型。这种"元级别"的决策，LLM做起来比固定规则灵活得多。综述里把这叫做"LLM作为流程控制器"（LLM as process controller），是一个很有前景的方向。
但要注意，LLM的决策需要可验证的反馈信号。你不能让LLM凭空猜，必须给它量化的质量指标（分割精度、网表匹配率等）。否则它会给出看似合理但实际上错误的建议。综述里建议的做法是，在每个步骤后插入一个轻量级的验证器，把验证结果作为LLM的输入。
5.3 密码算法识别：LLM的模式匹配能力
IC逆向的一个经典应用是密码算法识别：给定一个未知网表，判断它是不是AES、DES、RSA等。传统方法靠结构特征（比如AES的S盒、DES的P盒）做匹配。但现代密码实现会加混淆，结构特征可能被隐藏。
LLM在这方面有独特优势：它可以从大量代码和文档中学习密码算法的实现模式，然后把这些模式迁移到网表分析上。综述里提到，有工作用LLM做密码算法的"语义指纹"识别，即使结构被混淆，功能层面的特征仍然可以被捕捉到。
不过，这个方向目前还在早期。LLM的密码学知识主要来自软件实现，硬件实现的模式差异很大。而且密码算法识别对误报率极其敏感——把普通逻辑误判成密码模块，后果可能很严重。所以实际使用中，LLM的输出必须经过严格的形式化验证。
6. 实操中的坑与经验：从论文到工程的距离
6.1 数据集的稀缺与偏差
IC逆向领域最大的工程障碍是数据稀缺。芯片版图涉及商业机密，公开数据集极少。综述里引用的很多工作，都是在少数几个老旧工艺节点（比如180nm、65nm）上验证的。这些方法迁移到先进工艺上，效果往往大打折扣。
我的建议是：不要迷信论文里的精度指标。论文里的数据集通常是精心挑选的，成像质量好、工艺稳定。实际项目中，你拿到的可能是模糊的、有缺陷的、工艺未知的图像。所以，鲁棒性比精度更重要。在算法选型时，优先选那些对噪声和工艺变化不敏感的方法，哪怕它的理想精度低一点。
6.2 工具链的碎片化
IC逆向没有端到端的商业工具。你通常需要组合多个开源工具和自研脚本。比如图像拼接用OpenCV，器件识别用PyTorch，网表匹配用NetworkX，可视化用Gephi。这些工具之间的数据格式转换、坐标系对齐、精度损失，都是坑。
综述里呼吁建立统一的中间表示格式，类似于软件逆向中的LLVM IR。这个想法很好，但目前还没有被广泛采纳。实际工作中，我的做法是尽早定义自己的中间格式，把所有工具的输出都转成这个格式，然后再做后续处理。这样虽然前期麻烦一点，但后期流程会顺畅很多。
6.3 验证的困难
逆向结果的验证是个大问题。你怎么知道提取的netlist是对的？对于小规模电路，可以人工比对；对于大规模电路，只能靠功能仿真。但功能仿真需要测试向量，而未知芯片的测试向量往往不可得。
综述里讨论了几种验证策略：一致性检查（比如网表的连通性是否符合物理约束）、交叉验证（用多种方法提取，看结果是否一致）、部分已知信息验证（比如如果知道芯片里有一个CPU核，可以检查提取的网表里是否有对应的结构）。我的经验是，交叉验证最实用。用两种不同的分割算法、两种不同的匹配算法，如果结果高度一致，那可信度就很高；如果差异大，说明某个环节有问题，需要人工介入。
7. 这个方向接下来值得盯的几个点
综述的最后部分展望了几个方向，我挑几个我觉得最值得关注的说说。
第一个是端到端学习。目前逆向流程是分步骤的，每一步都有信息损失。如果能把从图像到网表的整个流程用一个可微的模型串起来，理论上可以做到全局最优。但难点在于中间步骤（如器件识别、网表匹配）是离散的，不可微。综述提到可以用强化学习或可微松弛来解决，但目前还没有成熟方案。
第二个是跨工艺迁移。不同工艺节点的版图风格差异很大，在一个节点上训的模型很难直接用到另一个节点。综述建议用元学习（meta-learning）或域适应来解决。这个方向如果突破，会极大降低逆向工程的成本。
第三个是LLM与形式化方法的结合。LLM擅长模式识别，但不擅长严格推理；形式化方法擅长严格推理，但不擅长处理噪声和模糊信息。把两者结合，用LLM做粗筛和假设生成，用形式化方法做验证和精化，可能是未来的主流范式。
第四个是FPGA在逆向加速中的新角色。随着芯片规模越来越大，逆向的计算需求也在增长。FPGA的可重构性使它非常适合做逆向流程中的可变计算任务。综述里提到，有工作在用FPGA做动态的图匹配加速，根据网表规模自动调整并行度。这个思路很实用。
我在实际项目中的体会是，IC逆向不是一个纯算法问题，而是一个系统工程问题。你需要懂半导体工艺、懂图像处理、懂图论、懂机器学习，还要有足够的耐心去调参和验证。综述提供的是一张地图，但路上的坑还得自己踩。对于刚入行的人，我的建议是先从一个小规模、已知功能的芯片入手，把完整流程跑通一遍，再逐步扩展到复杂芯片。不要一上来就挑战先进工艺的SoC，那样很容易在某个环节卡死，失去信心。
最后分享一个很实用的小技巧：在逆向流程的每个阶段都保存中间结果和对应的可视化。比如图像分割后的标签图、器件识别后的边界框、网表匹配后的子图高亮。这些可视化不仅帮你调试，还能在结果异常时快速定位问题环节。我见过太多人只保存最终netlist，出了问题完全不知道是哪一步错了，只能从头再来。这个习惯看起来笨，但能省下大量时间。