4. 逻辑隔离技术：虚拟化、分区、地址空间隔离

做硬件隔离的朋友，很多一上来就去挑硬件信任根、看安全元件。但说实话，逻辑隔离才是日常开发中最常用、也最容易被轻视的一层防线。它不依赖额外芯片，全靠软件手段把系统拆成互不干扰的"格子间"。我在好几个物联网网关项目里踩过逻辑隔离的坑，今天就把这些经验掰开聊。

4.1 先从概念说起：隔离的层级

逻辑隔离说到底就一句话：让A跑A的，B跑B的，哪怕它们共用一颗CPU。但隔离有深浅，我习惯按下面这张表来分类：

4.2 地址空间隔离——最朴素的"人墙"

地址空间隔离靠的是内存管理单元（MMU）或者内存保护单元（MPU）。MMU在Linux等大型系统里常见，MPU在ARM Cortex-R/M系列上能见到。

说白了，就是给每个任务/进程一张"虚拟地址→物理地址"的翻译表。任务A只能看到翻译表里分配给它的那几块物理内存。任务B哪怕知道虚拟地址0x1000，也不知道在哪块物理内存上。

// 伪代码：ARMv8-A 页表配置示意
// 我习惯把关键区域设成只读，避免被非法修改
#define TTBR0_EL1   (MMU_TABLE_BASE)
#define TCR_EL1     (TCR_T0SZ(25)      |  /* 虚拟地址空间大小 */  \
                     TCR_IRGN0_NC      |  /* 正常不可缓存   */    \
                     TCR_ORGN0_NC      |  /* 正常不可缓存   */    \
                     TCR_SH0_NSH)         /* 非共享域       */

// 配置内核页表，隔离内核与用户空间
void mmu_init(void) {
    // 我遇到过页表项属性配错了，导致用户空间能读到内核密钥缓存
    // 从那以后我强制对内核页表添加 PXN（特权执行禁止）
    for (int i = 0; i < kernel_page_num; i++) {
        kernel_pt[i].descriptor = (phys_addr[i] | 
                                   PAGE_STRONG_ORDERING |
                                   PAGE_AP_RW_KERNEL |
                                   PAGE_PXN);  // 关键：禁止非特权执行
    }
    // 设置页表基址
    set_ttbr0_el1((uint64_t)user_pt);
    set_ttbr1_el1((uint64_t)kernel_pt);
    enable_mmu();
}

4.3 虚拟化隔离——把整个系统"包起来"

虚拟化隔离就厉害了。它引入一个Hypervisor（或者叫VMM），在硬件之上再建一层"虚拟世界"。

• Type 1 Hypervisor：直接跑在裸金属上，比如Xen、PikeOS。我在一个工业控制器项目里用过PikeOS，把实时Linux和裸金属控制程序隔离在两个分区里，实时性一点没打折扣。
• Type 2 Hypervisor：跑在现有OS上，比如KVM、QEMU。嵌入式用得少，性能开销比较尴尬。

虚拟化的价值在于：你能在同一个硬件上跑两个完全不同的"世界"。一个跑Linux做网络管理，一个跑裸金属做实时控制，互相不知道对方存在。

// 用户态 QEMU 启动一个 ARM 虚拟机实例
// 我个人习惯把安全相关的设备（TPM、内存加密引擎）直接穿透给安全分区
$ qemu-system-arm -machine virt -cpu cortex-a57 \
    -m 512M \
    -kernel rootfs_a.bin \
    -device virtio-blk-device,drive=disk_a \
    -drive file=disk_a.img,if=none,id=disk_a \
    -device virtio-net-device,netdev=net_a \
    -netdev user,id=net_a,hostfwd=tcp::2222-:22 \
    -object memory-backend-ram,size=256M,policy=private,id=sec_ram \
    -device virtio-gpu-pci  # 嗯，虚拟机也能有独立的显示

4.4 分区隔离——ARINC 653里的军规级做法

分区隔离是从航电系统（ARINC 653）里"下放"到嵌入式的。它的理念是：系统被分成多个分区（partition），每个分区有固定时间片和专用资源，分区之间通过端口（port）通信。

我在做无人机飞控时，把"飞控算法"、"地面链路通信"、"故障诊断"各自放在独立分区里。飞控分区的时间片是50ms，通信分区是20ms，诊断分区是10ms。它们不共享栈、不共享堆、不共享调度器。

4.5 分区调度——时间看得见

// 一个简化版的分区调度逻辑伪代码
// 我习惯用分时调度，时间片 = 分区周期 × 分区百分比
typedef struct {
    uint8_t  partition_id;   // 分区编号
    uint32_t time_slot_us;   // 固定时间片（微秒）
    uint32_t period_ms;       // 循环周期（毫秒）
    void*    entry;           // 分区入口函数
} PartitionDef;

PartitionDef partition_table[] = {
    { .partition_id = 1, .time_slot_us = 50000, .period_ms = 50, .entry = flight_control },
    { .partition_id = 2, .time_slot_us = 20000, .period_ms = 20, .entry = radio_comm },
    { .partition_id = 3, .time_slot_us = 10000, .period_ms = 10, .entry = health_monitor },
};

void partition_scheduler(void) {
    uint64_t tick = get_system_tick_us();
    for (int i = 0; i < 3; i++) {
        if (tick % partition_table[i].period_ms * 1000 == 0) {
            // 调度该分区，独占CPU
            switch_to_partition(partition_table[i].entry, 
                                partition_table[i].time_slot_us);
        }
    }
}

4.6 实现逻辑隔离的避坑指南

1. 我曾经忽略过"共享可写数据"的隔离：两个分区通过共享内存通信，但没在共享区加锁或原子操作。结果高优先级分区写了一半，低优先级分区读了脏数据。从那以后，我强制共享内存用无锁环形队列 + 原子比较并交换。
2. 我也试过"软中断不被隔离"的坑：一个分区发了软中断（SGI）给另一个分区，结果Hypervisor没过滤，导致目标分区异常崩溃。后来我用虚拟中断控制器（vGIC）给每个分区独立的IRQ配置。
3. 时间隔离的假象：有些方案说"支持分区隔离"，实际只是任务级优先级抢占，时间片根本不可预测。真要做时间隔离，得用静态固定时间片调度，或者时间触发架构（TTA）。