4. ARMv7与ARMv8 TrustZone差异

在安全固件部署实践中，ARMv7 与 ARMv8 的 TrustZone 虽然共享“安全世界/非安全世界”这一基本思想，但在安全状态、寄存器组织、指令集和异常模型上存在结构性差异。理解这些差异，是决定固件能否跨代移植、安全监控器如何设计、以及异常入口如何配置的前提。本节从工程视角梳理两代架构的关键区别，并给出可落地的对照方法。

一、核心原理：安全状态与执行环境的演进

ARMv7 的 TrustZone 以“安全状态”为核心，处理器在同一时刻处于 Secure 或 Non-secure 状态，通过 SCR.NS 位切换。安全状态与特权级（EL 概念尚未引入）耦合在 ARM 的 7 种模式下，例如 Secure 侧的 Monitor 模式负责世界切换。ARMv8 则把安全状态扩展为“安全状态 + 异常级别”的二维模型：异常级别 EL0～EL3 与 Secure/Non-secure 两个安全状态组合，形成 EL0S/EL0N、EL1S/EL1N、EL2、EL3 等执行环境。EL3 始终属于 Secure，是 TrustZone 的监控层；EL2 通常用于虚拟化，在 Secure 侧可选支持。

这一变化带来的直接工程影响是：ARMv7 中“Monitor 模式”是一个独立的处理器模式，而 ARMv8 中“EL3”是一个异常级别，二者在异常入口、栈管理和上下文保存上完全不同。固件若从 ARMv7 迁移到 ARMv8，不能简单地把 Monitor 模式代码平移到 EL3，而需要重新设计异常向量和状态切换路径。

二、寄存器与指令集对比

寄存器层面，ARMv7 使用 R0–R15、CPSR、SPSR 以及协处理器寄存器（如 SCR、NSACR、SCTLR）来控制安全属性。ARMv8 AArch64 则使用 X0–X30、SP、PC、PSTATE，并通过系统寄存器（如 SCR_EL3、SPSR_EL3、ELR_EL3、VBAR_EL3）完成安全配置与异常返回。AArch32 在 ARMv8 上仍可运行，但此时 EL 与 AArch32 模式存在映射关系，例如 EL3 对应 Monitor 模式，EL1 对应 SVC 等。

指令集方面，ARMv7 以 ARM/Thumb 指令为主，安全切换依赖 SMC 指令进入 Monitor 模式。ARMv8 在 AArch64 下使用 A64 指令集，安全切换通过 SMC 进入 EL3，异常返回使用 ERET。AArch32 兼容模式下仍可使用 SMC，但异常模型已按 EL 重新组织。工程上需要特别注意：AArch64 没有 CPSR 的直接写模式位，状态切换必须通过异常进入/返回机制完成。

三、方法流程：从 ARMv7 迁移到 ARMv8 的检查清单

在实际工程中，把安全固件从 ARMv7 迁移到 ARMv8，建议按以下顺序逐项核对，避免“能启动但切换异常”的隐性故障。

1. 确认执行状态：目标核启动后是 AArch64 还是 AArch32。若为 AArch64，EL3 固件必须使用 A64 指令编写；若为 AArch32，则需确认 EL 与模式的映射关系。
2. 重建异常向量：ARMv7 的向量表通常位于 0x00000000 或 VBAR；ARMv8 必须设置 VBAR_EL3，并按当前 EL 和异常类型组织 16 个入口。
3. 替换状态切换代码：ARMv7 的 Monitor 模式入口需改写为 EL3 异常处理；SMC 调用约定、参数传递寄存器（ARMv7 常用 R0–R3，ARMv8 常用 X0–X7）需同步调整。
4. 重配系统寄存器：把 SCR、NSACR 等替换为 SCR_EL3、CPTR_EL3、HCR_EL2 等，并确认各字段默认值。
5. 验证上下文保存：EL3 异常进入时需保存 SPSR_EL3、ELR_EL3 及通用寄存器；返回时用 ERET 恢复。

四、案例场景：安全监控器调用路径对比

假设一个安全固件需要响应非安全世界的服务请求。在 ARMv7 上，非安全世界执行 SMC 后，处理器进入 Monitor 模式，Monitor 代码读取 SPSR 判断来源，保存上下文，再切换到 Secure 侧执行。整个过程依赖模式切换和协处理器配置。

在 ARMv8 AArch64 上，非安全世界执行 SMC 后，处理器进入 EL3。EL3 异常处理程序读取 ESR_EL3 判断异常原因，保存 SPSR_EL3、ELR_EL3 和通用寄存器，然后根据调用号分发到 Secure EL1 的安全服务。返回时通过 ERET 恢复非安全世界上下文。两者的调用语义相似，但入口、寄存器和返回机制完全不同。

// ARMv7 典型 SMC 调用（AArch32）
register uint32_t r0 asm("r0") = service_id;
register uint32_t r1 asm("r1") = arg0;
asm volatile("smc #0" : "+r"(r0) : "r"(r1) : "memory");

// ARMv8 典型 SMC 调用（AArch64）
register uint64_t x0 asm("x0") = service_id;
register uint64_t x1 asm("x1") = arg0;
asm volatile("smc #0" : "+r"(x0) : "r"(x1) : "memory");

五、误区与复盘

复盘时建议建立一张“架构差异对照表”，把安全状态、异常级别、关键寄存器、切换指令、异常入口和返回指令逐项列出，并在每次移植后逐项验证。下表给出可直接使用的对照清单。