說實話最開始我并不太熱衷于用QEMU去調(diào)MPU。原因很簡單QEMU畢竟是個模擬器跑個裸機點燈、驗證外設(shè)驅(qū)動還行MPU這種跟“異?！?、“訪問控制”強相關(guān)的東西模擬器能復(fù)現(xiàn)出真機那種微妙的行為嗎直到我接手一個Cortex-M33項目廠家板子的調(diào)試器固件版本老舊每次配置MPU錯誤都得重新燒錄、連調(diào)試器讀寄存器、再翻手冊比對寄存器位一個上午就搭進去三回。后來我索性把整套實驗搬到了QEMU上在mps2-an505這臺虛擬的MPS2開發(fā)板環(huán)境里跑Cortex-M33從配置MPU到觸發(fā)MemManage Fault再到恢復(fù)現(xiàn)場全部可以在主機上直接觀察。這個“用QEMU玩轉(zhuǎn)Cortex-M33 MPU”的方法對剛開始接觸ARMv8-M、TrustZone以及MPU的開發(fā)者來說是一條成本極低的學(xué)習(xí)路徑。這篇文章不打算講太虛的概念直接給你一整套能編譯、能運行、能看到fault現(xiàn)場的實驗工程。你不需要買板子也不需要J-Link只需要一臺能跑QEMU的x86機器裝上交叉編譯工具鏈照著我下面的步驟走一遍就能親手感受到MPU是怎么把一個“越權(quán)訪問”攔下來的也能學(xué)會用QEMU的調(diào)試手段去定位這類問題。適合正在做Cortex-M33相關(guān)開發(fā)、或者想搞懂ARMv8-M內(nèi)存保護機制的朋友。1. 為什么我堅持認(rèn)為MPU調(diào)試應(yīng)該先在QEMU上做1.1 真機調(diào)試MPU的三個痛點真機上調(diào)MPU最煩的不是配置本身而是出錯之后的排查效率。MPU的配置一旦把關(guān)鍵內(nèi)存區(qū)域的訪問權(quán)限收得過緊CPU立刻就會進入異常連printf都可能來不及輸出程序直接卡死。這個時候你只能靠調(diào)試器去讀SCB-CFSR、SCB-MMFAR這些寄存器才能知道是哪個地址訪問違例了。聽起來不難問題是很多開發(fā)板的調(diào)試器連接不穩(wěn)定加上Cortex-M33大多配合TrustZone使用調(diào)試器的連接方式比傳統(tǒng)Cortex-M復(fù)雜現(xiàn)場一亂排查時間成倍增長。另外一個痛點是板子的外設(shè)地址各不相同。你在A廠家的芯片上調(diào)好的MPU region換到B廠家的板子外設(shè)基地址可能完全不同鏈接腳本、內(nèi)存布局都要跟著改。而QEMU的MPS2平臺是固定的內(nèi)存地圖清清楚楚學(xué)一次原理跑到哪里都能用。最讓我崩潰的是燒錄等待。真機上每改一次代碼編譯、燒錄、復(fù)位、復(fù)現(xiàn)異常、抓現(xiàn)場一個循環(huán)怎么也得一兩分鐘如果是復(fù)雜一點的配置一天下來大部分時間都耗在等燒錄器上了。QEMU秒級啟動改完直接跑效率完全不在一個量級。1.2 QEMU能替你做哪些事不能替你做哪些事QEMU在MPU調(diào)試上的強項首先是異?，F(xiàn)場可視化。MemManage Fault發(fā)生時QEMU的日志模式可以直接把寄存器和內(nèi)存狀態(tài)打出來甚至能用GDB斷點停在handler入口像看普通程序一樣看異常現(xiàn)場。其次是隨意構(gòu)造非法訪問。在真機上你不敢隨便寫一個越權(quán)訪問的測試代碼因為真機可能因為配置錯誤導(dǎo)致鎖死但QEMU里你隨便作大不了重啟虛擬機成本幾乎為零。但QEMU也有明顯的邊界。它不會模擬真實的內(nèi)存時序也不會模擬CacheCortex-M33本身沒有內(nèi)部Cache但部分帶Cache擴展的型號有所以你在QEMU里感受到的MPU性能開銷和真機并不一致。此外QEMU對一些外設(shè)的安全屬性建模并不完整特別是TrustZone中涉及物理隔離的部分QEMU能做到邏輯層面的模擬但沒法覆蓋所有硬件細(xì)節(jié)。我的建議是邏輯和權(quán)限設(shè)計先在QEMU里驗證時序、低功耗、外設(shè)電氣特性這些仍然需要真機。1.3 什么水平的讀者適合直接上手這篇文章適合三類人一是剛開始用Cortex-M33做開發(fā)想理解MPU到底怎么配置才安全的嵌入式工程師二是學(xué)習(xí)ARMv8-M架構(gòu)想通過實驗驗證理論的學(xué)生三是做RTOS移植或者安全啟動方案的開發(fā)者手里有真機但不想頻繁燒錄的。你只需要會基本的C語言和Makefile知道什么是編譯、鏈接就能跟上。2. 環(huán)境準(zhǔn)備QEMU版本、交叉編譯鏈與MPS2機型選擇2.1 安裝QEMU注意別用太老的版本QEMU對MPS2平臺的支持已經(jīng)有很多年了但不同版本的完成度差別很大。早期的QEMU對Cortex-M33的MPU建模不完整跑起來經(jīng)常出現(xiàn)匪夷所思的行為。我建議直接使用當(dāng)前最新的穩(wěn)定版比如QEMU 8.x或9.x尤其是9.0以后的版本mps2-an505和mps2-an521這兩個機器的支持已經(jīng)相當(dāng)成熟。在Ubuntu或Debian上可以直接用apt安裝sudo apt update sudo apt install qemu-system-arm裝完之后驗證一下版本并確認(rèn)MPS2機器列表是否存在qemu-system-arm --version qemu-system-arm -machine help | grep mps2如果machine help里能看到mps2-an385、mps2-an500、mps2-an505、mps2-an521那環(huán)境就基本可用了。注意qemu-system-arm和qemu-system-aarch64是兩個不同的二進制包本文用到的Cortex-M33是32位ARM架構(gòu)需要的是qemu-system-arm別下錯了。2.2 安裝arm-none-eabi-gcc交叉編譯器裸機程序編譯需要arm-none-eabi工具鏈。Ubuntu下同樣可以直接安裝sudo apt install gcc-arm-none-eabi binutils-arm-none-eabi驗證arm-none-eabi-gcc --version如果你的發(fā)行版源里的工具鏈版本太老建議去Arm官網(wǎng)下載最新的GNU Arm Embedded Toolchain解壓后把bin目錄加到PATH里。這里沒什么技術(shù)含量但版本老確實可能遇到奇怪的問題比如某些新指令不支持我遇到過gcc 9的鏈接器對ARMv8-M的某些section處理不干凈換新版本就好了。2.3 為什么選mps2-an505而不是其他MPS2型號QEMU里MPS2平臺有多個型號mps2-an385是Cortex-M3mps2-an500是Cortex-M7mps2-an505是單核Cortex-M33mps2-an521是雙核Cortex-M33。既然目標(biāo)是學(xué)習(xí)Cortex-M33的MPU選AN505最合適單核結(jié)構(gòu)簡單而且它使用了SSE-200子系統(tǒng)地址映射清晰適合教學(xué)實驗。另外AN505的默認(rèn)啟動方式也很有意思。它把向量表從地址0x00000000開始加載代碼和RAM分別映射在ITCM和DTCM上非常像一個“干凈的MCU模型”比直接在STM32L5這種芯片上做實驗更容易理解。2.4 先用QEMU自帶的方式驗證環(huán)境通不通環(huán)境是否通了不一定要先寫程序。QEMU的-kernel參數(shù)可以直接加載一個裸機二進制文件到內(nèi)存開頭。我們可以先用一個最簡單的、只有向量表和空循環(huán)的bin來測試避免一上來就扎進MPU配置里。一個空程序如果能在QEMU里正常啟動不報錯說明機器、工具鏈、啟動方式都對了。3. MPS2 AN505內(nèi)存布局與最小啟動工程3.1 內(nèi)存地圖ITCM、DTCM和外設(shè)區(qū)域MPS2 AN505的內(nèi)存分布是QEMU模擬出來的固定地址學(xué)習(xí)它比翻一摞芯片手冊來得舒服。關(guān)鍵地址如下地址范圍用途0x00000000 - 0x0007FFFFITCM代碼區(qū)中斷向量表在這里0x20000000 - 0x2003FFFFDTCMRAM區(qū)棧和全局變量在這里0x40000000 - 0x4FFFFFFFSSE-200內(nèi)部外設(shè)、FPGAIO等0xE0000000 - 0xE00FFFFFUART、定時器、系統(tǒng)控制等外設(shè)0xF0000000 附近系統(tǒng)控制寄存器、SCC需要特別注意的是Cortex-M33的內(nèi)核外設(shè)SCB、NVIC、MPU寄存器映射在0xE000E000開始的系統(tǒng)控制空間這部分和普通的MCU外設(shè)不一樣是ARM內(nèi)核定義的必須清楚。3.2 極簡鏈接腳本把代碼放ITCM數(shù)據(jù)放DTCM有了內(nèi)存地圖鏈接腳本就很好寫了。下面是我用的mps2_an505.ldENTRY(Reset_Handler) MEMORY { FLASH (rx) : ORIGIN 0x00000000, LENGTH 512K RAM (rwx) : ORIGIN 0x20000000, LENGTH 256K } _estack ORIGIN(RAM) LENGTH(RAM); SECTIONS { .text : { KEEP(*(.isr_vector)) *(.text*) *(.rodata*) . ALIGN(4); _etext .; } FLASH .data : AT(_etext) { _sdata .; *(.data*) . ALIGN(4); _edata .; } RAM .bss : { _sbss .; *(.bss*) *(COMMON) . ALIGN(4); _ebss .; } RAM }這個腳本里_estack直接用RAM的最高地址作為棧頂簡單可靠。_sdata、_edata、_etext是啟動代碼拷貝data段用的標(biāo)號后面匯編里會用到。3.3 啟動代碼和向量表啟動代碼的邏輯很清楚硬件復(fù)位后從0x00000000取出初始棧指針從0x00000004取出Reset_Handler地址然后跳到Reset_Handler執(zhí)行。Reset_Handler里做的事情只有三件把.data段從Flash拷到RAM把.bss段清零最后調(diào)用main。.syntax unified .cpu cortex-m33 .thumb .section .isr_vector,a,%progbits .align 2 .globl __Vectors __Vectors: .word _estack .word Reset_Handler .word NMI_Handler .word HardFault_Handler .word MemManage_Handler .word BusFault_Handler .word UsageFault_Handler .word 0, 0, 0, 0, 0, 0, 0, 0, 0, 0 .word 0, 0, 0, 0, 0, 0, 0, 0, 0, 0 .word 0, 0, 0, 0, 0, 0, 0, 0, 0, 0 .section .text .thumb_func .globl Reset_Handler Reset_Handler: ldr r0, _sdata ldr r1, _edata ldr r2, _etext b 2f 1: ldr r3, [r2], #4 str r3, [r0], #4 2: cmp r0, r1 bcc 1b ldr r0, _sbss ldr r1, _ebss movs r2, #0 b 4f 3: str r2, [r0], #4 4: cmp r0, r1 bcc 3b bl main b . .thumb_func .weak NMI_Handler NMI_Handler: b NMI_Handler .thumb_func .weak HardFault_Handler HardFault_Handler: b HardFault_Handler .thumb_func .weak MemManage_Handler MemManage_Handler: b MemManage_Handler .thumb_func .weak BusFault_Handler BusFault_Handler: b BusFault_Handler .thumb_func .weak UsageFault_Handler UsageFault_Handler: b UsageFault_Handler這里把幾個fault handler定義成weak符號后面C代碼里如果定義了強符號鏈接器會優(yōu)先使用C的版本。很多人第一次寫M33啟動代碼會忘記.thumb_func結(jié)果跳轉(zhuǎn)時處理器狀態(tài)切到ARM模式立刻HardFault。這是個老坑。3.4 Makefile和第一條輸出用semihosting的方式在QEMU里打一條字符串可以繞開串口驅(qū)動的復(fù)雜度便于先驗證工程本身沒問題。Makefile是這樣的CC arm-none-eabi-gcc OBJCOPY arm-none-eabi-objcopy CFLAGS -mcpucortex-m33 -mthumb -O2 -g -Wall -Wextra -ffreestanding -nostdlib LDFLAGS -mcpucortex-m33 -mthumb -nostdlib -Wl,--gc-sections -T mps2_an505.ld OBJS startup_mps2.o main.o all: mpu_demo.elf mpu_demo.bin mpu_demo.elf: $(OBJS) $(CC) $(LDFLAGS) -o $ $(OBJS) %.o: %.c $(CC) $(CFLAGS) -c -o $ $ %.o: %.s $(CC) $(CFLAGS) -x assembler-with-cpp -c -o $ $ mpu_demo.bin: mpu_demo.elf $(OBJCOPY) -O binary $ $ clean: rm -f *.o *.elf *.bin運行命令qemu-system-arm -machine mps2-an505 -cpu cortex-m33 \ -nographic -kernel mpu_demo.bin -semihosting如果能看到你打印的字符串說明整條鏈路已經(jīng)通了。4. Cortex-M33的MPU到底改了什么與ARMv7-M對比理解4.1 從ARMv7-M到ARMv8-MMPU最大的變化是“Region拆成了兩部分寄存器”在Cortex-M3/M4上MPU的每個region通過一個RBAR寄存器基地址大小權(quán)限加上子區(qū)域掩碼來配置。region的基地址、大小、訪問權(quán)限全擠在一個寄存器里配置起來雖然也不算難但確實繞。Cortex-M33采用的ARMv8-M MPU把region定義拆成了兩個寄存器RBAR負(fù)責(zé)描述基地址和訪問權(quán)限AP、XN、SHRLAR負(fù)責(zé)描述limit地址和屬性索引AttrIdx。屬性類型又單獨放在MAIR0/MAIR1寄存器里通過AttrIdx索引。這種設(shè)計讓“地址范圍”和“內(nèi)存屬性”兩個維度徹底解耦一個MAIR屬性可以被多個region復(fù)用邏輯上更符合現(xiàn)代MMU的設(shè)計思路。4.2 一個Region由哪三個寄存器決定MPU_MAIR0和MPU_MAIR1提供了8個8位的屬性槽位每個槽位可以編碼Device或Normal內(nèi)存類型以及對應(yīng)的Cache策略。比如0x44表示Normal內(nèi)存non-cacheable0x00表示Device-nGnRnE0xFF表示Normal內(nèi)存Write-Back Write-Allocate。這些屬性值不需要死記知道怎么查就行。RBAR除了基地址還包含APAccess Permission和XNExecute Never字段。AP決定了該區(qū)域在特權(quán)模式和用戶模式下的讀寫權(quán)限XN則控制是否允許取指。RLAR的低位放著AttrIdx和ENEN是這個region的使能開關(guān)。一個region在實際生效前必須同時滿足RBAR設(shè)置了正確的基地址RLAR設(shè)置了正確的limit和AttrIdx且EN為1。4.3 AP和Attr到底誰管什么容易混淆我見過不少人在這個地方搞混AP管的是“誰能訪問”Attr管的是“訪問時的行為”。AP是權(quán)限控制比如特權(quán)模式可讀寫、用戶模式不可訪問Attr是內(nèi)存類型控制比如這個區(qū)域是Device還是NormalCache策略是什么。兩者不互相替代。理解一個典型場景就清楚了外設(shè)寄存器區(qū)域通常配成Device內(nèi)存同時AP應(yīng)該是特權(quán)模式可讀寫、用戶模式不可訪問。而普通的RAM區(qū)域可以配成Normal內(nèi)存AP設(shè)為用戶可讀寫。QEMU里也是這樣把區(qū)域訪問權(quán)限收得再狠也不會影響Memory Type屬性。4.4 QEMU里的MPU行為跟真機一樣嗎QEMU對ARMv8-M MPU的建模已經(jīng)相當(dāng)完整尤其在你觸發(fā)MemManage Fault的時候CFSR、MMFAR這些寄存器的行為和真機的軟件模型是吻合的。但它畢竟是模擬器不會精確模擬Cache的時序效應(yīng)也不會模擬某些芯片廠商額外加入的安全擴展。所以用QEMU驗證“權(quán)限規(guī)則”效果很好用QEMU驗證“性能影響”效果為零。5. 手寫MPU實驗用戶態(tài)訪問特權(quán)Region的完整過程5.1 實驗設(shè)計思路實驗不能太做作要真實可感。我的設(shè)計是這樣的在DTCM里劃出兩塊region一塊0x20000000-0x2001FFFF設(shè)為特權(quán)模式專用另一塊0x20020000-0x2003FFFF設(shè)為用戶模式可訪問。然后程序先在特權(quán)模式下讀0x20000000再切到用戶模式讀同一個地址觸發(fā)MemManage Fault。異常處理程序里采集CFSR、MMFAR等信息再把特權(quán)region的權(quán)限放開返回用戶模式后再次讀取這次就能成功。在這里還要特別強調(diào)一個重要的細(xì)節(jié)不能把整個Flash設(shè)為特權(quán)專用。因為用戶模式下的代碼取指仍然在Flash區(qū)域如果把Flash的AP設(shè)成特權(quán)專用CPU在用戶模式下連取指都會被攔截根本走不到你設(shè)計好的“越權(quán)訪問”那一步。實驗設(shè)計階段一定要想清楚“數(shù)據(jù)訪問”和“取指訪問”的區(qū)別。5.2 完整的MPU配置代碼下面這段代碼是一個可直接運行的main.c去掉了多余的頭文件依賴只用寄存器宏實現(xiàn)#include stdint.h /* SCB */ #define SCB_SHCSR (*(volatile uint32_t *)0xE000ED24UL) #define SCB_CFSR (*(volatile uint32_t *)0xE000ED28UL) #define SCB_MMFAR (*(volatile uint32_t *)0xE000ED34UL) /* MPU registers */ #define MPU_CTRL (*(volatile uint32_t *)0xE000ED94UL) #define MPU_RNR (*(volatile uint32_t *)0xE000ED98UL) #define MPU_RBAR (*(volatile uint32_t *)0xE000ED9CUL) #define MPU_RLAR (*(volatile uint32_t *)0xE000EDA0UL) #define MPU_MAIR0 (*(volatile uint32_t *)0xE000EDC0UL) #define MPU_MAIR1 (*(volatile uint32_t *)0xE000EDC4UL) /* RBAR/RLAR bit helpers, layout follows CMSIS core_cm33.h */ #define MPU_RBAR_XN_Pos 12UL #define MPU_RBAR_AP_Pos 8UL #define MPU_RBAR_SH_Pos 6UL #define MPU_RBAR_REGION_Pos 1UL #define MPU_RBAR_VALID_Pos 0UL #define MPU_RBAR_MAKE(xn, ap, sh, region, base) \ (((uint32_t)(xn) MPU_RBAR_XN_Pos) | \ ((uint32_t)(ap) MPU_RBAR_AP_Pos) | \ ((uint32_t)(sh) MPU_RBAR_SH_Pos) | \ ((uint32_t)(region) MPU_RBAR_REGION_Pos) | \ ((uint32_t)(base) 0xFFFFFFE0UL) | \ (1UL MPU_RBAR_VALID_Pos)) #define MPU_RLAR_MAKE(attr, limit_plus_1) \ (((uint32_t)(limit_plus_1) 0xFFFFFFE0UL) | \ ((uint32_t)(attr) 1UL) | 1UL) #define AP_FULL 3UL #define AP_PRIV 1UL #define ATTR_NORMAL_NC 0UL #define ATTR_NORMAL_WBWA 1UL #define ATTR_DEVICE_NGNRNE 2UL static volatile struct { uint32_t cfsr; uint32_t mmfar; uint32_t pc; uint32_t relaxed; } fault_sig; /* semihosting: write string to QEMU stdin/stdout */ static void semihost_write0(const char *s) { register uint32_t r0 __asm(r0) 0x04; register const char *r1 __asm(r1) s; __asm volatile(bkpt 0xab : : r(r0), r(r1) : memory); } static void print_str(const char *s) { semihost_write0(s); } static void print_hex32(uint32_t v) { static const char hex[] 0123456789ABCDEF; char buf[11]; buf[0] 0; buf[1] x; for (int i 9; i 2; i--) { buf[i] hex[v 0xF]; v 4; } buf[10] \0; semihost_write0(buf); } static void mpu_put_region(uint32_t idx, uint32_t base, uint32_t end, uint32_t attr_idx, uint32_t ap) { MPU_RNR idx; MPU_RBAR MPU_RBAR_MAKE(0, ap, 0, idx, base); MPU_RLAR MPU_RLAR_MAKE(attr_idx, end 1U); __asm volatile(dsb ::: memory); __asm volatile(isb); } static void mpu_init(void) { /* MAIR0: attr0Normal non-cacheable(0x44), attr1Normal WBWA(0xFF), attr2Device-nGnRnE(0x00) */ MPU_MAIR0 (0x44UL 0) | (0xFFUL 8) | (0x00UL 16); MPU_MAIR1 0UL; /* Region0: entire ITCM/Flash, full access */ mpu_put_region(0, 0x00000000U, 0x000FFFFFU, ATTR_NORMAL_WBWA, AP_FULL); /* Region1: upper DTCM, user accessible */ mpu_put_region(1, 0x20020000U, 0x2003FFFFU, ATTR_NORMAL_NC, AP_FULL); /* Region2: lower DTCM, privileged only */ mpu_put_region(2, 0x20000000U, 0x2001FFFFU, ATTR_NORMAL_NC, AP_PRIV); /* Region3: system control space, device memory */ mpu_put_region(3, 0xE0000000U, 0xE00FFFFFU, ATTR_DEVICE_NGNRNE, AP_FULL); /* ENABLE1, PRIVDEFENA1, HFNMIENA0 */ MPU_CTRL (1UL 0) | (1UL 1); __asm volatile(dsb ::: memory); __asm volatile(isb); } /* get PC from exception frame on MSP */ __attribute__((naked)) static uint32_t fault_pc_from_msp(void) { __asm volatile(mrs r0, msp\n\t ldr r0, [r0, #24]\n\t bx lr); } __attribute__((naked)) static void switch_to_unprivileged(void) { __asm volatile(mrs r0, control\n\t orr r0, r0, #1\n\t msr control, r0\n\t isb\n\t bx lr); } void MemManage_Handler(void) { fault_sig.cfsr SCB_CFSR; fault_sig.mmfar SCB_MMFAR; fault_sig.pc fault_pc_from_msp(); /* relax Region2 so that unprivileged access becomes legal */ mpu_put_region(2, 0x20000000U, 0x2001FFFFU, ATTR_NORMAL_NC, AP_FULL); fault_sig.relaxed 1; /* clear fault status: write 1 to clear */ SCB_CFSR SCB_CFSR; __asm volatile(dsb ::: memory); __asm volatile(isb); } int main(void) { print_str( CM33 MPU demo on QEMU MPS2-AN505 \r\n); mpu_init(); print_str([INIT] MPU regions configured\r\n); /* enable MemManage exception */ SCB_SHCSR | (1UL 16); print_str([INIT] MemManage exception enabled\r\n); /* write a magic value at the start of protected region, privileged OK */ *(volatile uint32_t *)0x20000000UL 0xC0FFEE00UL; uint32_t v *(volatile uint32_t *)0x20000000UL; print_str([PRIV] read 0x20000000 ); print_hex32(v); print_str(\r\n); switch_to_unprivileged(); print_str([USER] switched to unprivileged\r\n); /* this read should trigger MemManage fault */ v *(volatile uint32_t *)0x20000000UL; print_str([USER] read 0x20000000 again ); print_hex32(v); print_str(\r\n); print_str([USER] survived, fault_sig.cfsr ); print_hex32(fault_sig.cfsr); print_str(\r\n[USER] fault_sig.mmfar ); print_hex32(fault_sig.mmfar); print_str(\r\n[USER] fault_sig.pc ); print_hex32(fault_sig.pc); print_str(\r\n[USER] spin here\r\n); for (;;) { } }這里的MemManage_Handler被定義為強符號匯編里的weak符號會被它覆蓋。handler里先保存現(xiàn)場再把Region2的權(quán)限從AP_PRIV臨時改成AP_FULL相當(dāng)于在異常處理中“救場”返回后程序還能繼續(xù)跑。這是理解MPU動態(tài)更新能力的最直觀實驗。5.3 運行實驗并觀察輸出編譯運行make clean make qemu-system-arm -machine mps2-an505 -cpu cortex-m33 \ -nographic -kernel mpu_demo.bin -semihosting預(yù)期輸出大致如下 CM33 MPU demo on QEMU MPS2-AN505 [INIT] MPU regions configured [INIT] MemManage exception enabled [PRIV] read 0x20000000 0xC0FFEE00 [USER] switched to unprivileged [USER] read 0x20000000 again 0xC0FFEE00 [USER] survived, fault_sig.cfsr 0x00000082 [USER] fault_sig.mmfar 0x20000000 [USER] fault_sig.pc 0x0000049A [USER] spin hereCFSR 0x00000082這行是關(guān)鍵。0x80表示MMARVALID說明MMFAR里的地址有效0x02表示DACCVIOL即數(shù)據(jù)訪問違例。如果是取指訪問違例你會看到0x01IACCVIOL。這個值能直接告訴你異常類型排查問題的時候非常有用。5.4 為什么CFSR和MMFAR能證明MPU生效MPU的實驗最怕的就是“看起來正常但其實是沒生效”。CFSR的值就是證據(jù)。在特權(quán)模式讀0x20000000是成功的說明MPU沒有阻止特權(quán)模式切到用戶模式后立刻觸發(fā)MemManage FaultCFSR里出現(xiàn)DACCVIOL說明MPU確實攔截了這次用戶態(tài)數(shù)據(jù)訪問。如果MPU沒配置好或者沒使能那么這次讀操作會正常返回就不會看到fault。我建議你自己做個小改動試試把mpu_put_region(2, ...)里最后的AP_PRIV改成AP_FULL重新編譯運行你會發(fā)現(xiàn)程序全程沒有任何fault輸出CFSR保持0MMFAR也不會變化。這就是對比驗證的價值。6. QEMU調(diào)試MPU的幾個實用技巧6.1 用QEMU monitor看內(nèi)存和寄存器QEMU的monitor是一臺隱藏的調(diào)試終端啟動命令里加一行就可以打開qemu-system-arm -machine mps2-an505 -cpu cortex-m33 \ -nographic -kernel mpu_demo.bin -semihosting \ -monitor telnet:127.0.0.1:5555,server,nowait然后在另一個終端連接telnet 127.0.0.1 5555monitor里我最常用的命令有info registers查看當(dāng)前CPU寄存器狀態(tài)xp /16x 0x20000000以十六進制查看內(nèi)存內(nèi)容info mtree查看QEMU模擬出的內(nèi)存樹結(jié)構(gòu)quit退出QEMU。比如你想確認(rèn)MPU配置是否生效可以在程序spin的時候用info registers看CONTROL寄存器的值判斷當(dāng)前處理器處于特權(quán)模式還是用戶模式。6.2 用GDB把斷點直接設(shè)在MemManage_Handler里QEMU自帶GDB stub裸機程序也能用GDB調(diào)試。啟動時加兩個參數(shù)qemu-system-arm -machine mps2-an505 -cpu cortex-m33 \ -nographic -kernel mpu_demo.bin -semihosting \ -gdb tcp::1234 -S-S表示啟動后停在第一條指令之前等待GDB連接。然后打開一個終端用arm-none-eabi-gdb連接arm-none-eabi-gdb mpu_demo.elf (gdb) target remote :1234 (gdb) break MemManage_Handler (gdb) continue程序執(zhí)行到MemManage_Handler時會自動停下。這時候你可以直接查看全局結(jié)構(gòu)體(gdb) p fault_sig $1 {cfsr 0, mmfar 0, pc 0, relaxed 0}當(dāng)你單步過觸發(fā)fault的那一行后CFSR和MMFAR已經(jīng)更新p fault_sig能看到完整的現(xiàn)場信息。這個調(diào)試方式比真機上打斷點要清爽太多。6.3 讓QEMU記錄MPU相關(guān)日志QEMU還支持日志模式可以輸出詳細(xì)的異常和MMU訪問記錄。啟動時加上qemu-system-arm -machine mps2-an505 -cpu cortex-m33 \ -nographic -kernel mpu_demo.bin -semihosting \ -d mmu,cpu -D /tmp/mpu_run.log運行完查看/tmp/mpu_run.log里面會記錄CPU訪問內(nèi)存時觸發(fā)的MPU fault細(xì)節(jié)。這個日志對于理解“哪條指令在哪個地址被攔”很有幫助。7. QEMU和真芯片的差異踩坑記錄與選型建議7.1 QEMU不會暴露MPU配置帶來的性能差異QEMU的內(nèi)存訪問時序是模擬的不考慮Cache miss、bus turnaround這些真實開銷。你在QEMU里把整塊RAM配成Device內(nèi)存程序還是跑得飛快真機上如果這么配一條普通的讀寫指令可能要慢上幾個數(shù)量級。因此用QEMU驗證完邏輯后上真機前一定要把內(nèi)存屬性重新過一遍尤其是外設(shè)區(qū)域和熱點數(shù)據(jù)區(qū)域。7.2 region對齊和limit地址的理解誤區(qū)ARMv8-M MPU中region的基地址和limit地址都必須滿足32字節(jié)對齊region大小必須是2的冪。我在代碼里寫mpu_put_region(2, 0x20000000U, 0x2001FFFFU, ...)傳進去的end是閉區(qū)間的上界函數(shù)內(nèi)部用end 1U作為RLAR的limit地址。如果你傳進去的end不對齊RLAR的低5位會被強制清零配置出來的region范圍和你想的完全不一樣。QEMU里這種錯誤通常不會立刻報錯但會以詭異的方式表現(xiàn)出來比如越界訪問沒有被攔截或者莫名觸發(fā)fault。排查時先算對齊。7.3 關(guān)于TrustZone的邊界情況Cortex-M33支持TrustZoneQEMU的mps2-an505也有一部分TrustZone相關(guān)建模但SAU的配置、安全/非安全屬性檢查、以及外設(shè)的安全隔離在不同QEMU版本上支持程度不一樣。本文的實驗是在默認(rèn)的非安全增強特性之外做的刻意避開了TrustZone。如果你后續(xù)要研究SAU和Secure/Non-Secure切換建議單獨用mps2-an521做并且在QEMU源碼中確認(rèn)該版本對TrustZone的支持范圍。不要指望QEMU完全等價于真芯片的安全邊界。7.4 什么樣的項目適合先上QEMU我現(xiàn)在做Cortex-M33的項目凡是涉及“內(nèi)存權(quán)限模型設(shè)計”、“啟動早期配置”、“異常處理流程驗證”的工作都先在QEMU的MPS2環(huán)境里跑通再移植到目標(biāo)芯片。QEMU很適合這類場景因為它啟動快、可重現(xiàn)、不燒調(diào)試器。只要你的目標(biāo)芯片支持ARMv8-M的MPU模型那么基于這套環(huán)境的實驗結(jié)論基本可以平滑遷移。反過來涉及低功耗、時鐘、外設(shè)時序、DMA行為和實際中斷延遲的項目QEMU不管用需要板級驗證。我的習(xí)慣是先QEMU快跑權(quán)限邏輯再真機慢調(diào)硬件細(xì)節(jié)兩條腿走路效率最高。最后再分享一個實際操作中養(yǎng)成的小習(xí)慣每次配置MPU前都先讀一下MPU_TYPE寄存器確認(rèn)當(dāng)前實現(xiàn)到底支持多少個region。QEMU里這個值通常穩(wěn)定但不同QEMU版本和不同芯片確實存在差異。拿到硬件先讀這個寄存器能避免把region數(shù)量用超了導(dǎo)致后續(xù)莫名其妙的行為。希望這套QEMU MPS2 Cortex-M33 MPU的實驗環(huán)境能幫你少走點坑。