📚 课程目录第3章 BootROM初始化CPU核心状态

BootROM初始化CPU核心状态

当高通8155 SoC上电或复位后，第一段执行代码来自芯片内部的BootROM。在跳转到任何外部存储（如eMMC、UFS）之前，BootROM必须完成CPU核心的初始状态设置，为后续的安全固件加载构建一个可预测、无中断风险的执行环境。这一阶段的初始化涉及四个关键操作：异常等级设定、栈指针初始化、MMU/缓存关闭以及内存屏障。下面逐一解释其原理和必要性。

一、异常等级（Exception Level）设定

核心概念：ARMV8-A架构定义了四个异常等级（EL0～EL3），数字越大特权越高。BootROM作为芯片最底层的固件，必须运行在最高特权级EL3，才能配置安全监控器、电源管理以及后续的镜像验证。

复位后，CPU默认进入EL3（除非硬件信号强制改变）。BootROM的第一步是明确将当前异常等级锁定为EL3，并通过SCR_EL3（安全配置寄存器）设置后续阶段的安全状态。此操作确保后续所有中断和异常都按照EL3的规则处理，防止低等级代码篡改关键状态。

异常等级	典型用途	BootROM中的角色
EL3	安全监控器、可信固件	运行BootROM主体代码，管理硬件初始化
EL2	虚拟化、Hypervisor	不涉及，后续XBL/ABL可能使用
EL1	操作系统内核	不涉及，BootROM后阶段才进入
EL0	用户态应用	不涉及

类比：可以把EL3想象成酒店的“总控制室”——只有从这里才能关闭所有楼层的水电、打开安全通道。BootROM在总控制室完成所有“硬切换”操作后，才把钥匙交给下一层的管家（EL1/EL2的Boot Loader）。

二、栈指针初始化

BootROM在执行任何复杂逻辑（如函数调用、跳转表）之前，必须为当前异常等级配置一个有效的栈指针。ARMV8架构中每个异常等级都有独立的栈指针寄存器：SP_EL3、SP_EL2、SP_EL1、SP_EL0。由于BootROM运行在EL3，它需要初始化SP_EL3指向一段可写的SRAM或片上内存区域。

为什么需要独立的栈？因为函数调用、嵌套中断、异常处理都会压栈。如果栈指针未初始化，任何BL指令或B.LT等分支都会导致数据写向随机地址，引发不可恢复的崩溃。BootROM通常将栈设置在片上SRAM的高地址端，向下生长。

常见误区：有人误以为BootROM很小，不需要栈。实际上，BootROM虽然代码量不大，但它在验证签名时需要调用复杂的数学库（如RSA、ECDSA），这些函数必然使用栈。栈指针不初始化，验证过程会直接死机。

三、MMU/缓存关闭

复位后，MMU（内存管理单元）默认是关闭的，但CPU内部的数据缓存（L1/L2）和指令缓存可能处于未知状态。BootROM必须显式关闭所有缓存和MMU，以确保对物理内存的访问是强序、无缓存干扰的。具体操作是写入SCTLR_EL3控制寄存器，清除其中的M（MMU使能）、C（数据缓存使能）、I（指令缓存使能）位。

SCTLR_EL3 位域（部分）：
bit 0 : M     - MMU使能          -> 必须为0
bit 1 : A     - 对齐检查         -> 可选
bit 2 : C     - 数据/统一缓存使能 -> 必须为0
bit 12: I     - 指令缓存使能     -> 必须为0
bit 16: D     - 数据预取         -> 可选关闭
bit 25: EE    - 大小端           -> 通常指定为小端

为什么要关闭缓存？因为BootROM需要直接访问eMMC、UFS、SPI Flash等外设的映射地址空间。如果缓存未关闭，读到的数据可能来自过时的cache line，导致验证签名失败。另外，外设寄存器的访问需要保证顺序和不可缓冲，关闭缓存是唯一的保证方式。

类比：这就像在图书馆整理书籍时，必须先把所有临时书车（缓存）清空，并且不许任何人随意打乱书架顺序（MMU），只有这样才能确保你手中拿到的书是真实放在那个书架上的。

四、内存屏障（Memory Barrier）

在更改异常等级、修改栈指针、关闭缓存之后，ARM架构要求插入内存屏障指令以保证之前所有写操作对后续指令可见且顺序正确。常见的屏障指令包括：

DSB（Data Synchronization Barrier）：等待之前所有数据访问完成，随后唤醒CPU继续。
ISB（Instruction Synchronization Barrier）：清空流水线，确保后续指令从最新的内存或缓存状态中获取。

BootROM在设置完异常等级、初始化栈指针、关闭缓存的最后阶段，必须执行一条DSB + ISB序列。否则，CPU可能还在使用旧的缓存设置执行后续指令，导致不可预测行为。

屏障类型	作用范围	典型使用场景
DSB	所有数据访问	关闭缓存后、切换页表后
ISB	指令流水线	修改异常等级后、修改系统控制寄存器后
DMB	数据内存顺序	多核共享数据时（BootROM通常单核运行，较少用）

常见误区：初学者认为内存屏障等同于“空操作”（NOP），可以随意省略。实际上，在乱序执行CPU上，缺少DSB/ISB可能导致关闭缓存后还读到旧数据，这是极其隐蔽的bug。

五、整体流程图示

下面的SVG展示了BootROM初始化CPU核心状态的全部步骤，从复位开始到准备跳转后续阶段。

六、常见误区与疑点

误区：BootROM运行在EL1而非EL3。实际上，BootROM是SoC出厂固件，有最高硬件权限，必然在EL3。如果错误地认为EL1，则无法解释安全启动链的信任根。
误区：栈指针可以留空，因为BootROM不使用C语言。即便全部用汇编，子程序调用（BL/RET）也需要栈来保存返回地址；否则多层调用会覆盖链接寄存器（X30）。
误区：关闭缓存后性能会大幅下降，所以应该保留。BootROM只执行很短时间，且访问外设时需要一致性，关闭缓存是安全要求；后续XBL会重新开启。
误区：内存屏障只对多核有意义。单核乱序执行同样需要屏障来保证SCTLR_EL3的修改即时生效。

七、应用边界

上述初始化流程适用于大部分ARMV8-A架构的SoC BootROM，但存在以下变体：

场景	差异
支持安全监视器（Secure Monitor）	BootROM可能额外初始化SCR_EL3中的NS位，区分安全/非安全世界。
多核启动	仅主核（CPU0）执行上述流程，从核被WFE等待；主核完成初始化后再唤醒从核。
调试版本	有时会保留调试访问端口（如JTAG），但不会改变关闭MMU/缓存的策略。
虚拟化延伸	若BootROM后续要支持Hypervisor，它可能预先配置EL2的上下文（但依然在EL3做完基础初始化）。

练习题：

为什么BootROM必须关闭数据缓存，但可以暂时不关闭指令缓存？（提示：考虑自修改代码的可能性。）
如果BootROM在设置完SP_EL3后忘记执行ISB，后续第一条指令可能发生什么？
在实际高通8155中，BootROM初始化栈的大致地址范围是多少？（查阅公开文档或逆向：通常位于LPI SRAM的0x14600000附近。）

通过以上四个关键步骤，BootROM为CPU建立了一个确定、安全、低层次的执行环境。后续我们将在第4章分析BootROM如何识别启动设备。